WO2006003859A1 - 通信ハンドオーバ方法及び通信メッセージ処理方法並びに通信制御方法 - Google Patents

通信ハンドオーバ方法及び通信メッセージ処理方法並びに通信制御方法 Download PDF

Info

Publication number
WO2006003859A1
WO2006003859A1 PCT/JP2005/011722 JP2005011722W WO2006003859A1 WO 2006003859 A1 WO2006003859 A1 WO 2006003859A1 JP 2005011722 W JP2005011722 W JP 2005011722W WO 2006003859 A1 WO2006003859 A1 WO 2006003859A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
mobile terminal
access point
access
key
Prior art date
Application number
PCT/JP2005/011722
Other languages
English (en)
French (fr)
Inventor
Makis Kasapidis
Original Assignee
Matsushita Electric Industrial Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Matsushita Electric Industrial Co., Ltd. filed Critical Matsushita Electric Industrial Co., Ltd.
Priority to EP05765143A priority Critical patent/EP1775972A1/en
Priority to BRPI0512734-3A priority patent/BRPI0512734A/pt
Priority to US11/571,278 priority patent/US20090172391A1/en
Priority to KR1020077001073A priority patent/KR20070034060A/ko
Priority to JP2006528660A priority patent/JPWO2006003859A1/ja
Publication of WO2006003859A1 publication Critical patent/WO2006003859A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0433—Key management protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/062—Pre-authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0016—Hand-off preparation specially adapted for end-to-end data sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/08—Reselecting an access point

Definitions

  • the present invention relates to a communication handover method, a communication message processing method, and a communication control method, and in particular, in a wireless LAN system, a communication handover in a communication system that implements security measures for communication between a mobile terminal and an access point.
  • the present invention relates to a method, a communication message processing method, and a communication control method.
  • MN Mobile Node
  • AP access point
  • AR access router
  • a LAN environment can be constructed without physically wiring, so it is easy for a third party to intercept communication or to illegally access the network. It is in an environment that will be done.
  • IEEE802.lx (see Non-Patent Document 1 below) has been developed as a security measure for such an environment.
  • IEEE802.lx uses RADIUS (Radius: Remote Authentication Dial-In User Service) or EAP (Extensible Authentication Protocol: Extensible Authentication Protocol) when MN accesses AP. Access control).
  • FIG. 10 is a diagram showing an overview of port control in IEEE802.lx according to the prior art (see Chapter 6 of Non-Patent Document 1 below).
  • FIG. 10 shows a supplicant system, an authenticator system, and an authentication server system. Supplicant system The authenticator system and authentication server system correspond to the access client MN, access server AP, and RADIUS server system, respectively.
  • the supplicant system implements supplicant PAE (Port Access Entity), which is software necessary for access clients in order to realize authentication based on IEEE802.lx. .
  • the authenticator system also implements the authenticator PAE.
  • This authenticator PAE can be connected to a supplicant system accessed via a LAN (wireless LAN) via a non-control port and communicate with the authentication server of the authentication server system.
  • the authenticator PAE controls the port so that the supplicant system can acquire a predetermined service such as an Internet access service through the control port. I do.
  • the authenticator system refers to the MAC (Media Access Control) address of the supplicant system, and controls the port so that the supplicant system cannot connect to both the control port and the non-control port. It is also possible to do this.
  • FIG. 11 is a sequence chart showing an example of an operation when the supplicant system acquires a predetermined service through the authenticator in the configuration of FIG.
  • the operation related to authentication using EAP and RADIUS is described as an example.
  • step S1001 to S1004 The operations in the sequence chart shown in FIG. 11 are broadly classified into first half MAC authentication (steps S1001 to S1004) and second half authentication based on IEEE802.lx (steps S1101 to S1111).
  • the supplicant system uses the SSID (Service Set ID) to be used as a Probe Request to the authenticator system.
  • the authenticator system transmits the communication speed to be used as a probe response as a response to the supplicant system (step S1002).
  • the supplicant system sends the MAC address as an Open Authentication Request to the authenticator system (step S 100).
  • step S 1004 After confirming the MAC address, the authenticator system notifies the supplicant system that the wireless line can be used normally as MAC Authentication Ack (step S 1004).
  • the supplicant system sends EAPOL-START, which is an EAP start request, to the authenticator system (step S1101), and the authenticator system sends an EAP start request to the supplicant system.
  • -EAP is started by transmitting Request / Identity (step S1102).
  • the supplicant system sends an EAP-Response / Identity that includes the identity (identification information) of the supplicant system to the authenticator system (step S 1103), and authenticates.
  • the caterer system transfers this information as a Radius-Access-Request to the authentication server system (step S 1104).
  • the authentication server system sends a supplicant system certificate sending request to the authenticator system and the authentication server system certificate as Radius-Access-Challenge (step SI 105), and the authenticator system This information is transferred as an EAP-Request to the supplicant system (step S 1106).
  • the supplicant system transmits an EAP-Response (credentials) including a certificate indicating that it is an authorized client to the authenticator system (step S1107), and the authenticator system.
  • the system transfers this information as a Radius-Access-Request to the authentication server system (step SI 108).
  • the authentication server system authenticates the supplicant system through a predetermined authentication process, and then uses the authenticator system as the Radius-Access-Challenge to indicate information indicating the success of authentication and the information used as the basis for the communication decryption key. (Step S1109).
  • the authenticator system notifies the supplicant system of successful authentication by EAP-Success (step S1 110) and generates a communication decryption key (here, EAPOL-Key (WEP)). To the supplicant system (step S1111).
  • EAPOL-Key EAPOL-Key
  • the above operation generates and shares the communication key / decryption key used in the wireless line between the supplicant system and the authenticator system, and the authenticator system is authenticated. Control the port to provide access to the specified service through the control port for the completed supplicant system.
  • the usable signal ⁇ Z compression method such as TLS (Transport Layer Security). Such message exchange is also performed.
  • the authentication key decryption key between the MN 900 and the AP 901 is authenticated against the authentication Sano 903 force AP 902.
  • the MN900 makes a knockover between AP901 and 902
  • wireless communication with the handover destination AP902 is used before the handover until a new communication key / decryption key is distributed by authentication.
  • a technique is disclosed that uses a communication decryption key for communication. According to this technology, even when authentication for MN900 is required every time it connects with MN900 power AP901, 902, when MN900 hands over between AP901 and 902, it is possible to authenticate between MN900 and AP901, 902. It is possible to ensure that the communication is interrupted.
  • Non-Patent Document 2 the MN configures a CoA (Care of Address) adapted in the subnet connected after the handover before the handover, thereby quickly Describes a technique (usually called FMIP (Fast Mobile IP)) that enables communication to be resumed.
  • CoA Care of Address
  • FMIP Fest Mobile IP
  • Non-Patent Document 1 IEEE Std 802. IX- 2001, "IEEE Standard for Local and metropolitan ar ea networks-Port-Based Network Access Control” published 13 July 2001.
  • Non-patent document 2 Rajeev Koodli "Fast Handovers for Mobile IPv, draft- ietf-mobileip- fast- mipv6- 08, October 2003
  • Patent Document 1 Japanese Patent Laid-Open No. 2003-259417 (FIGS. 1, 14, paragraphs 0074 to 0079)
  • Non-Patent Document 2 the force that enables rapid processing in layers 3 and above such as the IP layer at the time of handover can be realized. It is necessary to perform the authentication process described in Non-Patent Document 1 (for example, a series of operations shown in FIG. 11). In other words, the technique described in Non-Patent Document 2 has a problem that communication delay and disconnection caused by processing in layer 2 and below cannot be solved during handover.
  • the present invention quickly establishes security between a mopile node and an access point even when performing handover between access points existing on links of different access routers.
  • the purpose is to reduce communication delays and interruptions due to handover.
  • the communication handover method of the present invention includes a first access router having a first access point, a second access router having a second access point, and a power communication network.
  • the mobile terminal that is performing communication decides to perform the handover from the first access point to the second access point, and acquires identification information of the second access point from the second access point Handover decision step,
  • the mobile terminal transmits the identification information of the second access point, the identification information of the mobile terminal, and the encryption of the first access point to the first access router via the first access point.
  • the first access router identifies the second access router based on the identification information of the second access point notified from the mobile terminal, and identifies the identification information of the mobile terminal to the second access router. And a second notifying step for notifying the communication decryption key for encrypted communication with the first access point;
  • the second access router uses the identification information of the mobile terminal notified from the first access router to the second access point and the communication for the encrypted communication with the first access point.
  • the second access point identifies the mobile terminal connected to the second access point by the handover by the identification information of the mobile terminal, and the identification information of the mobile terminal connected to the second access point;
  • the comparison step of comparing the identification information of the mobile terminal notified of the second access router power in the third notification step and the second access point are notified based on the comparison result of the comparison step.
  • the communication terminal used for encrypted communication between the mobile terminal and the first access point with the mobile terminal having the identification information that matches the identification information of the mobile terminal. ⁇ Performs encrypted communication using a decryption key and permits the mobile terminal to access the second access router And a communication control step of performing the control of the order, Ru.
  • the mobile terminal is authenticated in parallel with the encrypted communication with the mobile terminal in the communication control step, and the mobile terminal is authenticated.
  • the second access point communicates with the mobile terminal. Authentication successful communication in which encrypted communication is performed using the new communication key / decryption key and control for allowing the mobile terminal to permit access to the second access router is continued. Steps,
  • the point includes an authentication failure communication step for performing control for disabling access to the second access router with respect to the mobile terminal.
  • second access point By performing the authentication process in parallel, authentication and access control of the mobile terminal can be performed again.
  • the mobile terminal transmits the FMIP RtSolPr message or FBU message to the first access router, and the identification information of the mobile terminal.
  • the communication key / decryption key relating to the encrypted communication with the first access point is embedded and transmitted.
  • the mobile terminal puts it in each FMIP message to the access router (first access router) to which the mobile terminal is connected before the handover.
  • the access point to which the mobile terminal is connected (first access) It is possible to efficiently transmit the communication key / decryption key related to the encryption key communication with the point.
  • the second notification step from the first access router to the second access router, the mobile terminal identification information and the mobile terminal identification information in the FMIP HI message;
  • the communication key / decryption key related to the encrypted key communication with the first access point is transmitted.
  • the access router (first access router) to which the mobile terminal is connected before the handover is placed in each FMIP message from the access router (second access router) to which the mobile terminal is connected after the handover.
  • the access router (second access router) to which the mobile terminal is connected after the handover is placed in each FMIP message from the access router (second access router) to which the mobile terminal is connected after the handover.
  • the communication handover method of the present invention includes a first access router having a first access point, a second access router having a second access point, and a power communication network.
  • the first access point shares a communication key / decryption key with the first access point, and uses the communication key / decryption key to encrypt data with the first access point.
  • a handover decision step to be acquired; and to the first access router via the first access point, the identification information of the second access point, the identification information of the mobile terminal, and the first access point
  • the communication related to the encrypted communication between the identification information of the mobile terminal and the first access point via the first access router and the second access router The communication related to the encrypted communication with the first access point with the second access point that has received the key decryption key. And a communication step for performing encrypted communication using a trusted decryption key.
  • the mobile terminal authentication process is performed in parallel with the encrypted communication with the mobile terminal in the communication step, and the mobile terminal is authenticated.
  • the mobile terminal transmits the new communication with the second access point.
  • Successful authentication communication in which control for permitting access to the second access router is continued for the mobile terminal together with a successful authentication communication step in which encrypted communication is performed using the private key for decryption. Has steps.
  • the communication handover method of the present invention includes an FMI RtSolPr message in which the identification information of the mobile terminal and the communication key / decryption key for encryption communication with the first access point are embedded. Or generating a FBU message,
  • the RtSolPr message or the FBU message is transmitted to the first access router.
  • the communication message processing method of the present invention includes a first access router having a first access point and a second access router having a second access point.
  • a communication message processing method in the first access router when a mobile terminal performs a handover from the first access point to the second access point.
  • the mobile terminal in the reception step, identifies information related to the mobile terminal and the encrypted communication with the first access point from the mobile terminal. Receives an FMIP RtSolPr message or FBU message with the communication decryption key embedded.
  • the mobile terminal puts it in each FMIP message to the access router (first access router) to which the mobile terminal is connected before the handover. It is possible to efficiently transmit the communication decryption key for encryption communication with the access point (first access point) to which the mobile terminal is connected. It becomes.
  • the communication message processing method of the present invention includes the identification information of the mobile terminal, the first
  • the HI message is transmitted to the second access router.
  • the access router (first access router) to which the mobile terminal is connected before the handover is placed in each FMIP message from the access router (second access router) to which the mobile terminal is connected after the handover.
  • the access router (second access router) to which the mobile terminal is connected after the handover is placed in each FMIP message from the access router (second access router) to which the mobile terminal is connected after the handover.
  • the communication message processing method includes a first access router having a first access point and a second access router having a second access point.
  • a communication message processing method in the second access router when a mobile terminal performs a handover from the first access point to the second access point. And receiving from the first access router the identification information of the mobile terminal and the communication key / decryption key related to encrypted key communication with the first access point;
  • Notification for notifying the second access point of the identification information of the mobile terminal notified from the first access router and the encryption / decryption key for communication related to encrypted communication with the first access point have steps.
  • the first access router performs encryption information communication with the identification information of the mobile terminal and the first access point.
  • the FMIP HI message in which the communication key / decryption key is embedded is received.
  • the access router (first access router) to which the mobile terminal is connected before the handover is placed in each FMIP message from the access router (second access router) to which the mobile terminal is connected after the handover.
  • the access router (second access router) to which the mobile terminal is connected after the handover is placed in each FMIP message from the access router (second access router) to which the mobile terminal is connected after the handover.
  • the communication message processing method of the present invention generates a notification message in which the identification information of the mobile terminal and the communication decryption key for encryption communication with the first access point are embedded.
  • the notification message is transmitted to the second access point.
  • the mobile terminal transmits the notification message from the access router (second access router) to which the mobile terminal connects after the handover to the access point (second access point) to which the mobile terminal connects after the handover. It is possible to transmit the mobile terminal identification information and the communication decryption key for communication notified from the access router (first access router) that the terminal connected to before handover to the second access point.
  • the communication control method of the present invention is such that a first access router having a first access point under control and a second access router having a second access point under control communicate with each other.
  • a mobile terminal force is a communication control method in the second access point when performing handover from the first access point to the second access point,
  • the identification information of the mobile terminal notified by the second access router to the first access router force and the communication key / decryption key for encrypted communication with the first access point are also used for the second access router force.
  • the mobile terminal connected to the second access point by the handover The identification information of the mobile terminal that is identified by the identification information of the mobile terminal and is connected to the second access point is compared with the identification information of the mobile terminal notified from the second access router in the reception step.
  • the mobile terminal authentication process is performed in parallel with the encrypted communication with the mobile terminal in the communication control step, the mobile terminal is authenticated, When a new communication key / decryption key for encryption communication between the mobile terminal and the second access point is generated, the new communication key / decryption key is generated with the mobile terminal.
  • a successful authentication communication step in which the encryption communication is performed using and the control for allowing the mobile terminal to allow access to the second access router is continued.
  • an authentication failure communication step for performing control for disabling access to the second access router is provided.
  • the communication handover method, the communication message processing method, and the communication control method of the present invention have the above-described configuration, and even when performing handover between access points existing on links of access routers having different mopile node powers, If security between a mopile node and an access point can be quickly established and communication delays and interruptions due to handover can be reduced, this has the effect.
  • FIG. 1 is a diagram showing an example of a network configuration according to an embodiment of the present invention.
  • FIG. 2 is a diagram showing an example of the configuration of the MN in the embodiment of the present invention.
  • FIG. 3 is a diagram showing an example of a pAR configuration in the embodiment of the present invention.
  • FIG. 4 is a diagram showing an example of the configuration of nAR in the embodiment of the present invention.
  • FIG. 5 is a diagram showing an example of the configuration of an AP existing under the nAR in the embodiment of the present invention.
  • FIG. 6 is a sequence chart showing an example of operation in the embodiment of the present invention.
  • FIG. 7A is a diagram showing an example of a message related to notification of a MAC address and a communication key / decryption key from the MN to the pAR used in the embodiment of the present invention.
  • FIG. 7B is a diagram showing an example of a message related to the notification of the MAC address and the communication key / decryption key from the MN to the pAR used in the embodiment of the present invention, where the MAC address and the communication key / decryption key are Diagram showing embedded RtSolPr message
  • FIG. 7C is a diagram showing an example of a message related to the notification of the MAC address and the communication key / decryption key from the MN to the pAR used in the embodiment of the present invention, where the MAC address and the communication key / decryption key are
  • FIG. 8A is a diagram showing an example of a message related to notification of the MAC address from pAR to nAR and the communication decryption key used in the embodiment of the present invention. Figure showing HI message with MAC address and communication decryption key embedded
  • FIG. 8B is a diagram showing an example of a message related to notification of a MAC address and a communication key / decryption key from pAR to nAR used in the embodiment of the present invention, where the MAC address and the communication key / decryption key are Figure showing embedded MAC address Z key notification message
  • FIG. 9A schematically shows an authentication process performed for a MN configured to be able to use a communication decryption key used before a handover after a node over in the embodiment of the present invention.
  • This figure is a diagram schematically showing the state where the AP permits the MN to use the communication key / decryption key used before the handover.
  • FIG. 9B schematically shows an authentication process performed for the MN configured to be able to use the communication decryption key used before the handover after the handover in the embodiment of the present invention.
  • This figure is a diagram schematically showing the state in which the MN is authenticated as a result of the AP performing the MN authentication process after handover.
  • FIG. 9C schematically shows an authentication process performed on the MN set so that the communication decryption key used before the handover can be used after the handover in the embodiment of the present invention. It is a figure that schematically shows the state where the MN has not been authenticated as a result of the AP performing the MN authentication process after handover.
  • FIG. 10 Diagram showing the outline of port access control in IEEE802.lx related to the conventional technology.
  • FIG. 11 Operation in the configuration of Fig. 10 when the supplicant system acquires a predetermined service through the authenticator. Sequence chart showing an example
  • FIG. 12 is a diagram showing an example of a network configuration according to a conventional technique
  • FIG. 13 shows an example of a network configuration for explaining the problem to be solved by the present invention.
  • the basic outline of the present invention is that MN10 power that performs handover between AP21 and 31 existing under different access routers (pAR20, nAR30) connected to IP network 50, before MN10
  • the identification information for example, MAC address
  • the communication key used for communication with the AP 21 before the handover are transmitted, and the MAC address of the MN 10 is sent to the upper nAR 30 of the AP 31 that is newly connected after the handover.
  • the MN10 is secured between the AP31 and the AP31 by supplying the MAC address of the MN10 and the communication decryption key for the communication to the AP31.
  • Perform a series of operations related to securing for example, operations in the sequence chart of FIG. 11). In other words, the communication state before handover can be quickly recovered by using the communication key / decryption key before handover.
  • FIG. 1 is a diagram showing an example of a network configuration according to the embodiment of the present invention.
  • Figure 1 shows the authentication server 22 existing in the link of MN10, pAR20, pAR20, the authentication server 22 existing in the link of pAR20, the AP31 existing in the link of nAR30, nAR30, the authentication server 32 existing in the link of nAR30, CN Correspondent Node) 40 and IP network 50 are shown.
  • the 1S MN 10 in which only one CN 40 is shown, can communicate with a plurality of CNs 40 via the IP network 50, that is, a plurality of CNs 40 may exist.
  • the pAR 20 and the nAR 30 are access routers connected to the IP network 50, and each form a subnet.
  • MN10 can access IP network 50 through AP21 and pAR20 when it exists in the communication cell of AP21 that exists under pAR20, and within the communication cell of AP31 that exists under nAR30. If present, it is possible to access the IP network 50 through AP31 and nAR30.
  • the authentication servers 22 and 32 are servers that authenticate the MN 10 connected to each of the APs 21 and 31, and are realized by, for example, a RADIUS server. Although not shown, the authentication servers 22 and 32 can hold or refer to a user account database that stores authentication qualification information and property information of each user.
  • the MN10, AP21, 31, and the authentication servers 22, 32 perform mutual authentication between the MN10 and the AP21, 31 as in IEEE802.lx and EAP, and the encryption between the MN10 and the AP21, 31.
  • Each has an entity for enabling communication.
  • the IP network 50 is a WAN (Wide Area Network) using IP communication such as the Internet, for example.
  • the above-described pAR20 and nAR30 can be connected to the IP network 50.
  • FIG. 1 it is possible to connect to the IP network 50, and between the MN 10 and Communicating, the CN40 is shown!
  • the MN 10 is connected to the AP 21 as an initial state and is communicating with the CN 40 through the pAR 20. Then, the MN 10 performs communication with the CN 40 through the nAR 30 newly after the handover by performing a handover from the AP 21 to the AP 31.
  • the MN10, pAR20, nAR30, and AP31 shown in FIGS. 2 to 5 are detailed configurations of the MN10, pAR20, nAR30, and AP31 shown in FIG. Also, in FIG. 2 to FIG. 5, each function is illustrated by a block. Each of these functions can be realized by hardware and Z or software. In particular, the main processing of the present invention (for example, processing of each step shown in FIG. 6 described later) can be executed by a computer program.
  • FIG. 2 is a diagram showing an example of the configuration of the MN in the embodiment of the present invention.
  • the MN 10 shown in FIG. 2 includes a handover determination unit 1001, a radio reception unit 1002, a radio transmission unit 1003, a decoding unit 1004, a B-sound key unit 1005, a key storage unit 1006, a MAC address storage unit 1007, and a MAC address. It has a Z key acquisition unit 1008 and an FMIP processing unit 1009.
  • the handover determining unit 1001 compares arbitrary signal strengths from a plurality of different APs, for example, and performs L2 handover to the AP with the highest signal strength (switching the connection destination AP). It is a processing unit that determines the start of handover based on conditions
  • the wireless reception unit 1002 and the wireless transmission unit 1003 are processing units for performing data reception and data transmission by wireless communication, respectively, and these have various functions necessary for performing wireless communication. Included. [0045] Also, each of the decryption unit 1004 and the encryption key unit 1005 uses the communication key decryption key stored in the key storage unit 1006 to decrypt the data received by the wireless reception unit 1002, and to perform wireless transmission A processing unit for encrypting data transmitted from the unit 1003. Note that the encrypted communication using the decryption unit 1004 and the encryption unit 1005 is performed in order to improve the security in the wireless transmission path between the MN 10 and the APs 21 and 31.
  • the key storage unit 1006 is used to enhance security used for encryption communication (crypto communication using the decryption unit 1004 and the encryption unit 1005) between the APs 21 and 31. It is a processing unit that stores keys. This communication key / decryption key is conventionally generated through authentication processing when the MN 10 connects to each of the APs 21 and 31, and is periodically updated to enhance security. .
  • the MAC address storage unit 1007 indicates a nonvolatile memory or the like that stores a MAC address that can uniquely identify a network device.
  • the MAC address Z key acquisition unit 1008 is a processing unit for reading the MAC address stored in the MAC address storage unit 1007 and the communication key / decryption key stored in the key storage unit 1006. In the present invention, reading of the MAC address and the communication dark composite key is performed in accordance with the processing related to FMIP. Also, the MAC address and communication key / decryption key acquired by the MAC address Z key acquisition unit 1008 are supplied to the FMIP processing unit 1009 and transmitted to the PAR20 together with the transmission message related to FMIP, or to the FMIP. It is configured to be sent to PAR20 as a unique MAC address / key notification message according to the transmission timing of the transmission message and the reception timing of the reception message! Speak.
  • the FMIP processing unit 1009 receives a decision to start handover by the handover determining unit 1001, and transmits a transmission message (for example, RtSolPr (Router Solicitation for Proxy ⁇ or ⁇ Router Solicitation for Proxy Advertisement)) related to FMIP. Messe ⁇ "FBU (Fast Binding Update) message) generation, FMIP received messages (for example, PrR tAav (Proxy Router Advertisement) message ⁇ Nya FBAck (Fast Binding Acknowledgment) message) processing, etc.
  • This is a processing unit for performing processing related to FMIP, and the presence of this FMIP processing unit 1009 indicates that MN10 force FMIP is implemented.
  • the MN 10 adds the MAC address of the MN 10 itself to the transmission message related to the FMIP. Embedded in the communication and decryption key for communication and sent to PAR20, or according to the transmission timing of the transmission message related to FMIP and the reception timing of the reception message, the address including the MAC address of MN10 and the communication decryption key for communication Z It is configured to be able to send key notification messages! RU
  • FIG. 3 is a diagram showing an example of the configuration of the pAR in the embodiment of the present invention.
  • the pAR 20 shown in FIG. 3 includes a reception unit 2001, a transmission unit 2002, an FMIP processing unit 2003, and a MAC address Z key extraction unit 2004. Note that the pAR 20 also has a transfer unit for transferring received packets and the like.
  • the receiving unit 2001 and the transmitting unit 2002 are connected to the link of the pAR 20 where the AP 21 exists and the IP network 50, and are processing units for receiving and transmitting data.
  • the FMIP processing unit 2003 searches for a connection destination access router (nAR30) to which the MN 10 connects by the next handover, obtains a network prefix of a subnet formed by the nAR30, and transmits a transmission message (eg, HI (Handover Initiate) message is generated by FBAck message), FMIP received message (for example, FBU message is HAck (Handover Acknowledge) message), etc. is there.
  • HI Heandover Initiate
  • FMIP received message for example, FBU message is HAck (Handover Acknowledge) message
  • the presence of this FMIP processing unit 2003 indicates that pAR20 implements FMIP! /
  • the MAC address Z key extraction unit 2004 extracts the MAC address of the MN 10 embedded in the reception message related to FMIP received from the MN 10 and the communication decryption key for communication, and the unique address received from the MN 10. This is a processing unit for extracting the MAC address of the MN 10 itself and the communication decryption key from the address Z key notification message. Also, the MAC address and communication decryption key of the MN 10 itself extracted by the MAC address Z key extraction unit 2004 are supplied to the FMIP processing unit 2003 and transmitted to the nAR 30 together with the transmission message related to FMIP. Or, it is configured to send to the nAR30 as a unique address Z key notification message according to the reception timing of the received message when the transmission message related to FMIP is sent! RU
  • the pAR 20 when the pAR 20 receives a notification of the MN 10's own MAC address and communication key / decryption key from the MN 10, the pAR 20 transmits the MN 10's own MAC key to the transmission message related to FMIP.
  • the address and Z including the MAC address of the MN10 itself and the communication ⁇ decryption key are sent according to the transmission timing of the transmission message related to FMIP and the reception timing of the received message. Configured to send key notification messages to the nAR30! RU
  • FIG. 4 is a diagram showing an example of the configuration of the nAR in the embodiment of the present invention.
  • the nAR 30 shown in FIG. 4 has a receiving unit 3001, a transmitting unit 3002, an FMIP processing unit 3003, a MAC / address key extracting unit 3004, and a MAC address Z key notification message generating unit 3005.
  • the nAR 30 also has a transfer unit for transferring received packets and the like.
  • the receiving unit 3001 and the transmitting unit 3002 are connected to the nAR30 link where the AP 31 exists and the IP network 50, and are processing units for receiving and transmitting data.
  • the FMIP processing unit 3003 verifies the validity of the IP address of the MN 10 received from the pAR20, generates a transmission message (eg, HAck message) related to FMIP, and receives a message (eg, HI message) related to FMIP. And processing related to FMIP, such as FNA (Fast Neighbor Advertisement) messages. The presence of this FMIP processing unit 3003 indicates that nAR30 implements FMIP! /.
  • a transmission message eg, HAck message
  • a message eg, HI message
  • FNA Fast Neighbor Advertisement
  • the MAC address Z key extraction unit 3004 extracts the MAC address and communication ⁇ decryption key for MN10 embedded in the reception message related to FMIP received from pAR20, and the unique address received from pAR20. It is a processing unit for extracting the MAC address of MN10 and the communication decryption key from the address Z key notification message. Further, the MAC address and communication key / decryption key of MN 10 extracted by the MAC address Z key extraction unit 3004 are configured to be supplied to the MAC address Z key notification message generation unit 3005.
  • the MAC address Z key notification message generation unit 3005 generates a notification message including the MAC address of the MN 10 itself extracted by the MAC address Z key extraction unit 3004 and the communication decryption key for communication. It is.
  • the notification message generated by the MAC address Z key notification message generation unit 3005 is transmitted to the subordinate AP 31 through the transmission unit 3002.
  • the nAR 30 receives the notification of the MNIO MAC address and the communication decryption key from the pAR20 force, the nAR 30 transmits the MAC address of the MN 10 and the communication decryption to the subordinate AP31. It is configured to be able to notify the key.
  • FIG. 5 is a diagram showing an example of a configuration of an AP existing under the nAR in the embodiment of the present invention.
  • the AP 31 shown in FIG. 5 includes a wireless reception unit 3101, a wireless transmission unit 3102, a reception unit 3103, a transmission unit 3104, a decryption unit 3105, an encryption unit 3106, a MAC address Z key extraction unit 3107, a key storage unit 3108, and a MAC address.
  • a confirmation unit 3109 and a port control unit 3110 are provided.
  • the wireless reception unit 3101 and the wireless transmission unit 3102 are processing units for performing data reception and data transmission by wireless communication, respectively, and these include various functions necessary for performing wireless communication. ing. Note that the wireless reception unit 3101 and the wireless transmission unit 3102 form a communication cell that is a radio wave transmission / reception range related to wireless communication, and can communicate with the MN 10 existing in the communication cell.
  • the receiving unit 3103 and the transmitting unit 3104 are connected to the nAR 30 link, and are processing units for receiving and transmitting data.
  • each of the decryption unit 3105 and the encryption unit 3106 uses the communication key decryption key stored in the key storage unit 3108 to decrypt the data received by the wireless reception unit 3101 and the wireless transmission unit A processing unit for encrypting data transmitted from 3102.
  • the data decrypted by the decryption unit 3105 is transmitted to the nAR 30 and the authentication server 32 by the port control unit 3110 through the control port or the non-control port. Further, the data encrypted by the encryption unit 3106 is transmitted to the MN 10 through the wireless transmission path.
  • the MAC address Z key extraction unit 3107 is a processing unit for performing processing related to the notification message including the MAC address of the MN 10 received from the nAR 30 and the communication key decryption key.
  • the MAC address Z key extraction unit 3107 extracts the MAC address and communication key / decryption key of the MN 10 from the notification message received from the nAR 30, and supplies them to the key storage unit 3108.
  • the key storage unit 3108 is a key for enhancing security used for encrypted communication with the MN 10 (encrypted communication using the decryption unit 3105 and the encryption key unit 3106).
  • the In the present invention in the same manner as the communication key decryption key generated through the normal authentication process.
  • the communication key decryption key included in the notification message received from the nAR 30 is also stored in the key storage unit 3108.
  • the MAC address confirmation unit 3109 stores the MAC address notified from the MN 10, the MAC address described as the transmission source of the data received from the MN 10 through the wireless reception unit 3101, and the key storage unit 3108. It is a processing unit for confirming a match with the MAC address of the MN10.
  • the port control unit 3110 is a processing unit for controlling whether or not the control port shown in FIG. 10 can be used, for example. That is, the MN 10 having the MAC address stored in the key storage unit 3108 is regarded as the MN 10 authenticated by the authentication process by the MAC address confirmation unit 3109 and the port control unit 3110, and the control port can be used. It is configured to be
  • the AP 31 is configured to perform port control based on these information when receiving the notification of the MAC address of the MN 10 and the communication key / decryption key notified from the nAR 30.
  • FIG. 6 is a sequence chart showing an example of the operation in the embodiment of the present invention.
  • step S101 when a movement from the area of MN10 power 3 ⁇ 4AR20 (communication cell range of AP21) to the area of nAR30 (communication cell range of AP31) is started, the movement is detected by layer 2, and the layer is The start of handover in 3 is determined (step S101).
  • the start of handover is determined by, for example, comparing the received electric field strength from AP 21 and the received electric field strength from AP 31.
  • the MN 10 obtains information including the AP ID (identification information of each AP) from the AP 31 by using a beacon from the AP 31 that is the movement destination, and the AP 31's AP— An RtSolPr message including the ID is transmitted (step S102). Send from MN10 The received RtSolPr message is transferred by AP21 to reach pAR20 (step S103). The pAR20 that has received this RtSolPr message is based on the AP-ID of the AP 31 notified from the MN10! /, And is able to search for access routers in the vicinity and obtain the information of nAR30, or already Retrieved information (information held in PAR20) Force nAR30 information is acquired.
  • the pAR 20 transmits a PrRtAdv message including information on the nAR 30 (for example, information on a network prefix of a subnet included in the nAR 30) to the MN 10 as a response to the RtSolPr message (step S104).
  • the PrRt Adv message transmitted from the pAR 20 is transferred by the AP 21 and reaches the MN 10 (step S105).
  • the MN10 that received the PrRtAdv message uses the network prefix of the subnet formed by the nAR30 included in the PrRtAdv message and the link layer address of the MN10 itself, etc. NCo A (New Care of Address) is generated. The operation so far is the same as that specified by FMIP.
  • the MAC address Z key acquisition unit 1008 of the MN 10 acquires the MAC address of its own MN 10 and the communication decryption key used for communication with the AP 21, and obtains these pieces of information. F Pass to MIP processing unit 1009.
  • the FMIP processing unit 1009 of the MN 10 generates an FBU (Fast Binding Update) message in which the MAC address and the communication decryption key are embedded in addition to the generated NCoA.
  • the MN 10 transmits an FBU message (denoted as FBU (MAC, key) in FIG. 6) in which the MAC address and the communication decryption key are embedded toward the pAR20 (step S106).
  • the FBU message embedded with the MAC address and the communication decryption key transmitted from the MN 10 is transferred by the AP 21 and reaches the pAR 20 (step S 107).
  • the pA R20 Upon receiving the FBU message in which the MAC address and the communication key / decryption key are embedded, the pA R20 extracts the MAC address and the communication key / decryption key in the FBU message by the MAC address / key extraction unit 2004, Notifies the extracted MAC address and communication key / decryption key to FMIP processing unit 2003.
  • the FMIP processing unit 2003 uses the HI method to check whether the NCoA generated in MN10 is an address that can be used in the nAR30 subnet.
  • the MAC address received from MNIO and the communication decryption key are embedded in the HI message.
  • the pAR 20 transmits an HI message (denoted as HI (MAC, key) in FIG. 6) in which the MAC address and the communication decryption key are embedded to the nAR 30 (step S108).
  • HI MAC, key
  • the HI message embedded with the MAC address and communication key / decryption key transmitted from pAR20 to nAR30 reaches nAR30 via a number of relay nodes (not shown) constituting IP network 50. .
  • the nAR30 Upon receiving the HI message in which the MAC address and the communication decryption key are embedded, the nAR30 extracts the MAC address and the communication decryption key for communication by the MAC address / key extraction unit 3004, The extracted MAC address and communication B sound decryption key are notified to the MAC address Z key notification message generation unit 3005, and the MAC address Z key notification message generation unit 3005 includes the MAC address and the communication decryption key for communication.
  • An address Z key notification message (indicated as a notification message (MAC, key) in FIG. 6) is generated (step S109). Then, the nAR 30 transmits this notification message to the AP 31 (Step S110). As a result, the AP 31 can acquire the MAC address of the MN 10 to be handed over and the communication key / decryption key that the MN 10 used with the AP 21 before the handover.
  • NCoA included in the HI message in which the nAR30 power MAC address and the communication decryption key are embedded is valid. If NCoA is valid, the result The ability to send HAck messages with statuses indicating pAR20 (normal FMIP processing), send FBAck messages by pAR20, and transfer packets from pAR20 to nAR30. The explanation is omitted.
  • the handover process from the AP 21 existing under the pAR 20 to the AP 31 existing under the nAR 30 is performed. (Step Sl ll). Then, the MN 10 transmits a handover notification for requesting connection to the AP 31 (step S112). By this handover notification, the MN 10 notifies the AP 31 of the MAC address. [0075] Upon receiving the handover notification, AP31 detects that MN10 is attempting to connect to AP31.
  • the MAC address confirmation unit 3109 confirms whether there is a MAC address notified by the notification message from the nAR 30 that matches the MAC address notified by the handover notification from the MN 10 (step S 113).
  • the MAC address confirmation unit 3109 confirms the presence of the matching MAC address
  • the MAC address confirmation unit 3109 generates information notifying that the MAC address has been confirmed, and transmits the information to the MN 10 ( Step S114).
  • the MN 10 starts encrypted communication with the AP 31 using the communication B sound decryption key used with the AP 21 before the handover (step S115).
  • the AP 31 can decrypt the packet received from the MN 10 using the communication key decryption key related to the MN 10 received from the nAR 30.
  • the AP 31 sets the control port to a usable state for the MN 10, and the MN 10 accesses, for example, the Internet access through the control port. Port control is performed so that a predetermined service such as a service can be acquired.
  • the handover timing of the MN 10 is early.
  • the notification message power including the MAC address of the MN 10 and the communication decryption key has not yet reached the AP 31 such as the nAR 30. It is assumed that there is not.
  • AP31 starts the conventional authentication process related to step S116, and as soon as it can acquire the MAC address and communication key / decryption key of MN10 from nAR30, it performs the communication key / decryption used before the handover.
  • the MN10 force after handover will be able to quickly start communication using the ⁇ decryption key for communication before handover
  • the AP 31 to which the MN 10 connects after the handover can acquire the MAC address of the MN 10 and the communication decryption key used by the MN 10 with the AP 21 before the handover.
  • the MN 10 continues the communication using the communication key / decryption key used before the handover without performing the authentication process for generating a new communication key / decryption key. Can be performed.
  • the communication decryption key used by the MN 10 before the handover is the handover It is information that has been distributed through some kind of authentication processing before, and can be said to be information indicating that the MN 10 has a legitimate qualification for communication with the AP 21 connected before the handover. Therefore, it is appropriate that the MN 10 can use the communication key / decryption key used before the handover even after the handover.
  • the communication key / decryption key used before handover is used as it is after the handover, there is a possibility that security may be lowered. Therefore, it is desirable to make it possible to use the communication key / decryption key that was used before handover after the handover, but to prevent communication delays and interruptions immediately after handover.
  • the use of a communication / decryption key for communication that was used before the handover is intended to temporarily provide a continuous service, and a new one generated by a reliable authentication process within the shortest possible time. It is desirable to perform key replacement with a communication key / decryption key (replacement of a communication key / decryption key used before handover with a newly generated communication key / decryption key).
  • the AP 31 sets the control port to an available state for the MN 10, and the MN 10 uses it before the handover.
  • the communication key / decryption key can be used even after the handover, and the conventional authentication process and generation of a new communication key / decryption key (for example, the processing of steps SI 101 to S1111 in the sequence chart of FIG. 11). ) In parallel (Step S 116).
  • FIG. 9 schematically shows an authentication process performed for the MN configured to be able to use the communication encryption / decryption key used before the handover after the handover in the embodiment of the present invention.
  • FIG. 9A is a diagram schematically illustrating a state in which the AP permits the MN to use the communication key decryption key that was used before handover
  • FIG. Fig. 9C is a diagram schematically showing the state in which the MN is authenticated as a result of the AP performing the MN authentication process after the handover
  • Fig. 9C is the result of the AP performing the MN authentication process after the handover, and the MN authenticating. It is a figure which shows typically the state which was not made.
  • 9A to 9C schematically show the state of the port control in the AP 31.
  • AP31 that has confirmed the MAC address of MN10 in step S113 is shown in FIG. 9A.
  • MNIO enables encrypted communication using the communication decryption key that was used before handover, and connection to an external IP network 50 such as the Internet (connection to nAR30) by the port control unit 3110
  • the control port for providing a predetermined service to the MN 10 such as the service related to the management is managed.
  • the MN 10 can continue and resume the communication performed before the handover quickly and temporarily using the communication key / decryption key used before the handover.
  • the AP 31 performs the conventional authentication process of the MN 10 in step S116.
  • the AP 31 distributes a new communication key / decryption key used with the MN 10 to the MN 10.
  • the AP 31 enables encrypted communication using a new communication key / decryption key, and controls the port control unit 3110 to provide a predetermined service to the MN 10.
  • the port is continuously managed.
  • the MN 10 is not authenticated as a result of the authentication process, as shown in FIG. 9C, a new communication key / decryption key is not distributed to the MN 10, and the port control unit 31 10 of the AP 31 In this state, the control port is managed so that the predetermined service is not provided to the MN 10 (so that the MN 10 cannot use the predetermined service).
  • the MN 10 embeds the MAC address and communication trap / decryption key in the FBU message, which is embedded in the RtSolPr message, or is not related to the FMIP message. It can be embedded in an independent MAC address Z key notification message.
  • the FBU message since it is assumed that the FBU message is not transmitted before the handover when the handover timing of the MN 10 is early, it is effective to embed the MAC address and the communication key / decryption key in the RtSolPr message in this case.
  • FIGS. 7A to 7C illustrate the above three examples related to the message relating to the notification of the MAC address and the communication key / decryption key from the MN 10 to the pAR 20.
  • the pAR20 describes the case where the MAC address of MN10 and the communication decryption key for communication are embedded in the HI message. It is embedded in an independent MAC address Z key notification message that is not related to the message related to FMIP. It is also possible.
  • Figures 8A and B show the messages related to the MAC address from pAR 20 to nAR30 and the message related to the communication decryption key. Two examples are shown.
  • a handover is performed between APs 21 and 31 existing under different access routers (pAR20 and nAR30) connected to IP network 50.
  • the MN 10 sends the MAC address of the MN 10 and the communication key / decryption key used for communication with the AP 21 before the handover, to the upper nAR 30 of the AP 31 that newly connects after the handover.
  • the MN10 MAC address and communication ⁇ decryption key are supplied, and the MN10 MAC address and communication ⁇ decryption key are supplied from the nAR30 to the AP31.
  • each functional block used in the above description of the embodiment of the present invention is typically realized as an LSI (Large Scale Integration) which is an integrated circuit. These may be individually chipped, or may be integrated into one chip to include a part or all of them. Although referred to here as LSI, depending on the degree of integration, it may also be called IC (Integrated Circuit), system LSI, super LSI, or unroller LSI.
  • LSI Large Scale Integration
  • the method of circuit integration is not limited to LSI's, and implementation using dedicated circuitry or general purpose processors is also possible. You can use an FPGA (Field Programmable Gate Array) that can be programmed after LSI manufacturing, or a reconfigurable processor that can reconfigure the connection and settings of circuit cells inside the LSI.
  • FPGA Field Programmable Gate Array
  • the communication handover method, communication message processing method, and communication control method of the present invention can be used between a mopile node and an access point even when a handover is performed between access points existing on links of different access routers. Sekiyuri This is effective in reducing the delay and disconnection of communication due to handover, and is applied to the technology related to handover of a mopile node that performs wireless communication. It can be applied to technologies related to mobile nodes that perform wireless communication using mopile IPv6.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Small-Scale Networks (AREA)

Abstract

　モバイルノード（ＭＮ）が、異なるアクセスルータ（ＡＲ）のリンク上に存在するアクセスポイント（ＡＰ）間のハンドオーバを行う場合に、ＭＮとＡＰとの間のセキュリティを迅速に確立し、ハンドオーバによる通信の遅延や断絶を低減させる技術が開示され、その技術によればハンドオーバを行うＭＮ１０が、そのハンドオーバ前に、ＭＮ自身のＭＡＣアドレスと、ハンドオーバ前にＡＰ２１との間で使用している通信用暗復号鍵とを、ハンドオーバ後に新たに接続するアクセスルータ（ｎＡＲ）３０に対して通知し、ｎＡＲは、ＭＮがハンドオーバ後に接続するＡＰ３１に対して、これらの情報を通知する。これにより、ＭＮは、ハンドオーバ前に使用していた通信用暗復号鍵を使用して、ハンドオーバ後のＡＰとの通信を行うことが可能となる。また、ＦＭＩＰに係る処理を利用して、ｎＡＲに対して、ＭＮのＭＡＣアドレス及び通信用暗復号鍵を通知することが可能である。

Description

明 細 書
通信ハンドオーバ方法及び通信メッセージ処理方法並びに通信制御方 法
技術分野
[0001] 本発明は、通信ハンドオーバ方法及び通信メッセージ処理方法並びに通信制御方 法に関し、特に、無線 LANシステムにおいて、移動端末とアクセスポイントとの間の 通信のセキュリティ対策を実現する通信システムにおける通信ハンドオーバ方法及 び通信メッセージ処理方法並びに通信制御方法に関する。
背景技術
[0002] 近年、無線 LAN (ローカルエリアネットワーク： Local Area Network)を利用した移動 端末（モパイルノード： Mobile Node,以下、 MNと記載）によって、ネットワークにァク セスする技術が進展している。例えば、 MNは、 IEEE (Institute of Electrical and Ele ctronics Engineers :アメリカ電気 ·電子学会） 802. 11などの無線方式を利用して、ァ クセスポイント（Access Point,以下、 APと記載）に接続することによって、 APの上位 に存在するアクセスルータ（Access Router,以下、 ARと記載）を通じて、インターネッ トなどの外部の IPネットワークへのアクセスを行うことが可能である。
[0003] し力しながら、このような無線 LAN通信は、物理的に配線を行うことなく LAN環境 を構築できてしまうため、第三者による通信の傍受やネットワークへの不正アクセスな どが容易に行われてしまう環境にある。このような環境に対するセキュリティ対策とし て、例えば、 IEEE802. lx (下記の非特許文献 1を参照）のような強固なセキュリティ を実現するための技術が開発されている。
[0004] IEEE802. lxは、 MNが APにアクセスした際、 RADIUS (ラディウス： Remote Aut hentication Dial-In User Service)や EAP (拡張認証プロトコノレ： Extensible Authentic ation Protocol)などを利用してポート制御（ポートアクセス制御）を行う技術である。図 10は、従来の技術に係る IEEE802. lxにおけるポート制御の概要を示す図である（ 下記の非特許文献 1の第 6章を参照)。図 10には、サプリカントシステム、オーセンテ ィケータシステム、認証サーバシステムが図示されている。なお、サプリカントシステム 、オーセンティケータシステム、認証サーバシステムは、それぞれ、アクセスクライアン トである MN、アクセスサーバである AP、 RADIUSサーバシステムに対応するもので ある。
[0005] サプリカントシステムは、 IEEE802. lxに準拠した認証を実現するためにアクセス クライアントにぉ 、て必要なソフトウェアであるサプリカント PAE (ポートアクセスェンテ ィティ： Port Access Entity)を実装している。また、オーセンティケータシステムは、ォ 一センティケータ PAEを実装している。このオーセンティケータ PAEは、 LAN (無線 LAN)を通じてアクセスしてくるサプリカントシステムと、非制御ポートを介して接続す るとともに、認証サーバシステムの認証サーバとの通信を行うことが可能である。そし て、サプリカントシステムが認証サーバによって認証された場合には、オーセンティケ ータ PAEは、サプリカントシステムが制御ポートを通じて、例えば、インターネットァク セスサービスなどの所定のサービスを取得できるようにポート制御を行う。なお、ォー センティケータシステムは、サプリカントシステムの MAC (Media Access Control)アド レスを参照することによって、サプリカントシステムが制御ポート及び非制御ポートの 両方に接続できな 、ように、ポート制御を行うことも可能である。
[0006] また、図 11は、図 10の構成において、サプリカントシステムがオーセンティケータを 通じて所定のサービスを取得する際の動作の一例を示すシーケンスチャートである。 なお、ここでは、 EAP及び RADIUSを利用した認証に係る動作を一例に挙げて説 明する。
[0007] 図 11に示すシーケンスチャートにおける動作は、前半部の MAC認証 (ステップ S1 001〜S1004)と後半咅の IEEE802. lxに基づく認証 (ステップ S1101〜S1111) に大別される。まず、サプリカントシステムがオーセンティケータシステムに接続した 場合 (すなわち、 MNが APに接続した場合）、サプリカントシステムは、オーセンティ ケータシステムに対して、 Probe Requestとして、使用する SSID (Service Set ID)及び 通信速度を送信し (ステップ S 1001)、オーセンティケータシステムは、サプリカントシ ステムに対して、その応答である Probe Responseとして、使用する通信速度を送信す る（ステップ S1002)。次に、サプリカントシステムは、オーセンティケータシステムに 対して、 Open Authentication Requestとして、 MACアドレスを送信し（ステップ S 100 3)、オーセンティケータシステムは、 MACアドレスの確認を行った後、サプリカントシ ステムに対して、 MAC Authentication Ackとして、無線回線が正常に利用可能であ る旨を通知する（ステップ S 1004)。
[0008] 次に、サプリカントシステムは、オーセンティケータシステムに対して、 EAPの開始 要求である EAPOL-STARTを送信し (ステップ S1101)、オーセンティケータシステム は、サプリカントシステムに対して、 EAP-Request/Identityを送信することによって、 E APを開始する（ステップ S 1102)。 EAPの開始を受けて、サプリカントシステムは、ォ 一センティケータシステムに対して、自サプリカントシステムの ID (識別情報）を含む E AP- Response/Identityを送信し（ステップ S 1103)、オーセンティケータシステムは、 この情報を Radius-Access-Requestとして、認証サーバシステムに転送する（ステップ S 1104)。認証サーバシステムは、オーセンティケータシステムに対して、サプリカン トシステムの証明書の送付要求、及び認証サーバシステムの証明書を Radius-Access -Challengeとして送信し (ステップ S I 105)、オーセンティケータシステムは、この情報 を EAP- Requestとして、サプリカントシステムに転送する (ステップ S 1106)。
[0009] 次に、サプリカントシステムは、オーセンティケータシステムに対して、正式なクライ アントであることを示す証明書を含む EAP-Response(credentials)を送信し（ステップ S 1107)、オーセンティケータシステムは、この情報を Radius- Access- Requestとして、 認証サーバシステムに転送する (ステップ SI 108)。認証サーバシステムは、所定の 認証処理によって、サプリカントシステムの認証を行った後、認証の成功を示す情報 、及び通信用喑復号鍵の基になる情報を Radius-Access-Challengeとしてオーセンテ ィケータシステムに送信する（ステップ S1109)。オーセンティケータシステムは、サプ リカントシステムに対して、 EAP-Successによって認証の成功を通知する（ステップ S1 110)とともに、通信用喑復号鍵 (ここでは、 EAPOL-Key(WEP))を生成して、サプリカ ントシステムに渡す (ステップ S 1111)。
[0010] 以上の動作によって、サプリカントシステムとオーセンティケータシステムとの間の無 線回線において使用される通信用喑復号鍵の生成及び共有が行われるとともに、ォ 一センティケータシステムは、認証が完了したサプリカントシステムに対して、制御ポ ートを通じた所定のサービスへのアクセスを提供するようにポートの制御を行う。なお 、説明を省略した力 上述の動作において、さらに、サプリカントシステムと認証サー バシステムとの間で、例えば、 TLS (Transport Layer Security)などの使用可能な喑 号ィ匕 Z圧縮方式の確認などに係るメッセージ交換も行われる。
[0011] 一方、上述のような IEEE802. lxなどに基づくセキュリティの確保は、 MNが APに 接続するたびに行われるようになつている。したがって、 MNが、新たな APと接続を 行う場合には、図 10に示す一連の動作が行われる必要があり、例えば、異なる AP間 において接続を切り換えるハンドオーバの際には（特に、リアルタイムに通信を行うこ とが要請される進行中のセッションなどが存在する場合には）、ハンドオーバのたび に、通信の遅延や断絶などが発生してしまうことになる。
[0012] このような課題に鑑みて、例えば、下記の特許文献 1には、図 12に示すネットワーク 構成において、認証サーノ 903力 AP902に対して、 MN900と AP901との間の通 信用喑復号鍵を配布することによって、 MN900が AP901、 902間をノヽンドオーバし た場合に、認証によって新しい通信用喑復号鍵が配布されるまで、ハンドオーバ先 の AP902との無線通信をノヽンドオーバ前に使用していた通信用喑復号鍵を用いて 行うようにする技術が開示されている。この技術によれば、 MN900力AP901、 902 と接続するたびに、 MN900に対する認証が必要となる場合でも、 MN900が AP90 1、 902間をハンドオーバした際に認証によって、 MN900と AP901、 902との間の 通信が途切れな 、ようにすることが可能となる。
[0013] また、下記の非特許文献 2には、 MNが、そのハンドオーバ前に、ハンドオーバ後 に接続するサブネットにおいて適合される CoA (Care of Address)を構成することによ つて、ハンドオーバ直後に迅速に通信を再開することを可能にするための技術 (通常 、 FMIP (Fast Mobile IP)と呼ばれる）が記載されている。
非特許文献 1： IEEE Std 802. IX- 2001, "IEEE Standard for Local and metropolitan ar ea networks - Port-Based Network Access Control" published 13 July 2001.
非特許文献 2： Rajeev Koodli "Fast Handovers for Mobile IPvり , draft- ietf-mobileip- fast- mipv6- 08, October 2003
特許文献 1 :特開 2003— 259417号公報（図 1、図 14、段落 0074〜0079)
[0014] しカゝしながら、特許文献 1に開示されて!ヽる技術では、複数の APが、同一の認証サ ーバ (あるいは、同一の管理者 (事業者)が運営する認証サーバ）によって管理され ているネットワーク構成の場合には有用である力 図 13に示すように、 IPネットワーク 910に接続された異なる認証サーバ 911、 912によって管理されている場合には、そ れぞれの配下に存在する APに同一の通信用喑復号鍵を配布することが困難な状況 となる。特に、今後は、無線 LANの普及につれて、各管理者が独自に APを配設し て、異なる管理者が管理する AP間にお 、てハンドオーバが行われるような環境が増 えることが予想される。こうした異なる管理者が管理する AP間のハンドオーバでは、 特許文献 1に記載されて ヽる技術を応用して認証サーバ 911、 912間で通信用 B音復 号鍵のやり取りを行おうとしても、一方の AP (ハンドオーバ前に MN900が接続して いる AP) 901の認証サーバ 911は、他方の AP (ノヽンドオーバ後に MN900が接続す る AP) 902の認証サーバ 912の位置を特定できず、通信用喑復号鍵の交換を行うこ とは不可能となってしまうという問題がある。
[0015] また、非特許文献 2に記載されている技術によれば、ハンドオーバの際に IPレイヤ などのレイヤ 3以上における迅速な処理は実現可能となる力 レイヤ 2以下の処理に 関しては、上述した非特許文献 1に記載の認証処理 (例えば、図 11に示す一連の動 作)を行う必要がある。すなわち、非特許文献 2に記載されている技術では、ハンドォ ーバの際に、レイヤ 2以下における処理によって生じる通信の遅延や断絶は解決さ れないという問題がある。
発明の開示
[0016] 上記課題に鑑み、本発明では、モパイルノード力 異なるアクセスルータのリンク上 に存在するアクセスポイント間のハンドオーバを行う場合でも、モパイルノードとァクセ スポイントとの間のセキュリティを迅速に確立して、ハンドオーバによる通信の遅延や 断絶を低減させることを目的とする。
[0017] 上記目的を達成するため、本発明の通信ハンドオーバ方法は、第 1アクセスポイン トを配下に有する第 1アクセスルータと、第 2アクセスポイントを配下に有する第 2ァク セスルータと力 通信ネットワークを介して接続されている通信システムにおいて、移 動端末力 前記第 1アクセスポイントから前記第 2アクセスポイントへのハンドオーバを 行う際の通信ハンドオーバ方法であって、 前記第 1アクセスポイントに接続しており、前記第 1アクセスポイントとの間で通信用 喑復号鍵を共有し、前記通信用喑復号鍵を使用して前記第 1アクセスポイントとの間 の暗号化通信を行っている前記移動端末が、前記第 1アクセスポイントから前記第 2 アクセスポイントへの前記ハンドオーバを行う旨を決定するとともに、前記第 2アクセス ポイントから前記第 2アクセスポイントの識別情報を取得するハンドオーバ決定ステツ プと、
前記移動端末が、前記第 1アクセスポイントを介して前記第 1アクセスルータに対し て、前記第 2アクセスポイントの識別情報と、前記移動端末の識別情報と、前記第 1ァ クセスポイントとの暗号ィ匕通信に係る前記通信用喑復号鍵とを通知する第 1通知ステ ップと、
前記第 1アクセスルータが、前記移動端末から通知された前記第 2アクセスポイント の識別情報に基づいて、前記第 2アクセスルータを特定し、前記第 2アクセスルータ に対して、前記移動端末の識別情報と、前記第 1アクセスポイントとの暗号化通信に 係る前記通信用喑復号鍵とを通知する第 2通知ステップと、
前記第 2アクセスルータが、前記第 2アクセスポイントに対して、前記第 1アクセスル ータから通知された前記移動端末の識別情報と、前記第 1アクセスポイントとの暗号 化通信に係る前記通信用喑復号鍵とを通知する第 3通知ステップと、
前記第 2アクセスポイントが、前記ハンドオーバによって前記第 2アクセスポイントに 接続する前記移動端末を前記移動端末の識別情報によって識別し、前記第 2ァクセ スポイントに接続する前記移動端末の識別情報と、前記第 3通知ステップで前記第 2 アクセスルータ力 通知された前記移動端末の識別情報とを比較する比較ステップと 前記第 2アクセスポイントが、前記比較ステップの比較結果に基づき、前記第 2ァク セスルータカ 通知された前記移動端末の識別情報と一致する前記識別情報を持 つた前記移動端末との間で、前記移動端末と前記第 1アクセスポイントとの間の暗号 化通信に使用されて ヽた前記通信用喑復号鍵を使用して暗号ィ匕通信を行うとともに 、前記移動端末に対して、前記第 2アクセスルータへのアクセスを許可するための制 御を行う通信制御ステップとを有して 、る。 これにより、移動端末 (モパイルノード）力 異なるアクセスルータ（第 1アクセスルー タ及び第 2アクセスルータ）のリンク上に存在するアクセスポイント（第 1アクセスポイン ト及び第 2アクセスポイント）間のハンドオーバを行う場合でも、移動端末と、ハンドォ ーバ後に移動端末が接続するアクセスポイント（第 2アクセスポイント）との間のセキュ リティを迅速に確立して、ハンドオーバによる通信の遅延や断絶を低減させることが 可能となる。
[0018] さらに、本発明の通信ハンドオーバ方法は、前記通信制御ステップにおける前記移 動端末との間の暗号化通信と並行して、前記移動端末の認証処理が行われ、前記 移動端末が認証されて、前記移動端末と前記第 2アクセスポイントとの間の暗号化通 信に係る新たな通信用喑復号鍵が生成された場合には、前記第 2アクセスポイントが 、前記移動端末との間で、前記新たな通信用喑復号鍵を使用して暗号化通信を行う とともに、前記移動端末に対して、前記第 2アクセスルータへのアクセスを許可するた めの制御を継続して行う認証成功通信ステップと、
前記通信制御ステップにおける前記移動端末との間の暗号ィ匕通信と並行して、前 記移動端末の認証処理が行われ、前記移動端末が認証されな力つた場合には、前 記第 2アクセスポイントが、前記移動端末に対して、前記第 2アクセスルータへのァク セスを不許可とするための制御を行う認証失敗通信ステップとを有している。
これにより、ハンドオーバによってアクセスポイント（第 2アクセスポイント）に接続した 移動端末に対して、移動端末がハンドオーバ前に使用していた通信用喑復号鍵を 使用した一時的な通信を迅速に開始させるとともに、並行して認証処理を行うことに よって、移動端末の認証及びアクセス制御を改めて行うことが可能となる。
[0019] さらに、本発明の通信ハンドオーバ方法は、前記第 1通知ステップにおいて、前記 移動端末から前記第 1アクセスルータに対して、 FMIPの RtSolPrメッセージ又は FB Uメッセージに、前記移動端末の識別情報と、前記第 1アクセスポイントとの暗号化通 信に係る前記通信用喑復号鍵とを埋め込んで送信する。
これにより、移動端末から、移動端末がハンドオーバ前に接続しているアクセスル ータ（第 1アクセスルータ）に対して、 FMIPの各メッセージに載せて、移動端末の識 別情報と、ハンドオーバ前に移動端末が接続しているアクセスポイント (第 1アクセス ポイント)との暗号ィ匕通信に係る通信用喑復号鍵を効率良く伝送することが可能とな る。
[0020] さらに、本発明の通信ハンドオーバ方法は、前記第 2通知ステップにおいて、前記 第 1アクセスルータから前記第 2アクセスルータに対して、 FMIPの HIメッセージに前 記移動端末の識別情報と、前記第 1アクセスポイントとの暗号ィ匕通信に係る前記通信 用喑復号鍵とを送信する。
これにより、移動端末がハンドオーバ前に接続しているアクセスルータ（第 1アクセス ルータ）から、移動端末がハンドオーバ後に接続するアクセスルータ (第 2アクセスル ータ）に対して、 FMIPの各メッセージに載せて、移動端末の識別情報と、ハンドォー バ前に移動端末が接続して ヽるアクセスポイント (第 1アクセスポイント）との暗号化通 信に係る通信用喑復号鍵を効率良く伝送することが可能となる。
[0021] また、上記目的を達成するため、本発明の通信ハンドオーバ方法は、第 1アクセス ポイントを配下に有する第 1アクセスルータと、第 2アクセスポイントを配下に有する第 2アクセスルータと力 通信ネットワークを介して接続されている通信システムにおい て、前記第 1アクセスポイントから前記第 2アクセスポイントへのハンドオーバを行う移 動端末における通信ハンドオーバ方法であって、
前記第 1アクセスポイントに接続しており、前記第 1アクセスポイントとの間で通信用 喑復号鍵を共有し、前記通信用喑復号鍵を使用して前記第 1アクセスポイントとの間 の暗号ィ匕通信を行って 、る状態で、前記第 1アクセスポイントから前記第 2アクセスポ イントへの前記ハンドオーバを行う旨を決定するとともに、前記第 2アクセスポイントか ら前記第 2アクセスポイントの識別情報を取得するハンドオーバ決定ステップと、 前記第 1アクセスポイントを介して前記第 1アクセスルータに対して、前記第 2ァクセ スポイントの識別情報と、前記移動端末の識別情報と、前記第 1アクセスポイントとの 暗号化通信に係る前記通信用喑復号鍵とを通知する通知ステップと、
前記ハンドオーバによって前記第 2アクセスポイントに接続した場合、前記第 1ァク セスルータカ 前記第 2アクセスルータを経由して前記移動端末の識別情報と前記 第 1アクセスポイントとの暗号ィ匕通信に係る前記通信用喑復号鍵とを受信した前記第 2アクセスポイントとの間で、前記第 1アクセスポイントとの暗号ィ匕通信に係る前記通 信用喑復号鍵を使用して暗号ィ匕通信を行う通信ステップとを有している。
これにより、移動端末 (モパイルノード）力 異なるアクセスルータ（第 1アクセスルー タ及び第 2アクセスルータ）のリンク上に存在するアクセスポイント（第 1アクセスポイン ト及び第 2アクセスポイント）間のハンドオーバを行う場合でも、移動端末と、ハンドォ ーバ後に移動端末が接続するアクセスポイント（第 2アクセスポイント）との間のセキュ リティを迅速に確立して、ハンドオーバによる通信の遅延や断絶を低減させることが 可能となる。
[0022] さらに、本発明の通信ハンドオーバ方法は、前記通信ステップにおける前記移動端 末との間の暗号化通信と並行して、前記移動端末の認証処理が行われ、前記移動 端末が認証されて、前記第 2アクセスポイントとの間の暗号ィ匕通信に係る新たな通信 用喑復号鍵が生成された場合には、前記移動端末は、前記第 2アクセスポイントとの 間で、前記新たな通信用喑復号鍵を使用して暗号ィ匕通信を行う認証成功通信ステツ プと共に、前記移動端末に対して、前記第 2アクセスルータへのアクセスを許可する ための制御を継続して行う認証成功通信ステップを有している。
これにより、ハンドオーバによって新たなアクセスポイント（第 2アクセスポイント）に接 続した移動端末に対して、移動端末がハンドオーバ前に使用していた通信用喑復号 鍵を使用した一時的な通信を迅速に開始させるとともに、並行して認証処理を行うこ とによって、移動端末の認証及びアクセス制御を改めて行うことが可能となる。
[0023] さらに、本発明の通信ハンドオーバ方法は、前記移動端末の識別情報と、前記第 1 アクセスポイントとの暗号ィ匕通信に係る前記通信用喑復号鍵とが埋め込まれた FMI Pの RtSolPrメッセージ又は FBUメッセージを生成するステップを有し、
前記通知ステップにおいて、前記第 1アクセスルータに対して、前記 RtSolPrメッセ ージ又は FBUメッセージを送信する。
これにより、移動端末から、移動端末ノヽンドオーバ前に接続しているアクセスルータ (第 1アクセスルータ）に対して、 FMIPの各メッセージに載せて、移動端末の識別情 報と、ハンドオーバ前に移動端末が接続して 、るアクセスポイント (第 1アクセスポイン ト）との暗号化通信に係る前記通信用喑復号鍵を効率良く伝送することが可能となる [0024] また、上記目的を達成するため、本発明の通信メッセージ処理方法は、第 1ァクセ スポイントを配下に有する第 1アクセスルータと、第 2アクセスポイントを配下に有する 第 2アクセスルータとが、通信ネットワークを介して接続されている通信システムにお いて、移動端末が、前記第 1アクセスポイントから前記第 2アクセスポイントへのハンド オーバを行う際の前記第 1アクセスルータにおける通信メッセージ処理方法であって 前記移動端末から、前記第 2アクセスポイントの識別情報と、前記移動端末の識別 情報と、前記第 1アクセスポイントとの暗号化通信に係る前記通信用喑復号鍵とを受 信する受信ステップと、
前記第 2アクセスポイントの識別情報に基づ 、て、前記第 2アクセスルータを特定す る接続先特定ステップと、
前記接続先特定ステップで特定された前記第 2アクセスルータに対して、前記移動 端末の識別情報と、前記第 1アクセスポイントとの暗号化通信に係る前記通信用喑復 号鍵とを通知する通知ステップとを有して 、る。
これにより、移動端末 (モパイルノード）力 異なるアクセスルータ（第 1アクセスルー タ及び第 2アクセスルータ）のリンク上に存在するアクセスポイント（第 1アクセスポイン ト及び第 2アクセスポイント）間のハンドオーバを行う場合でも、移動端末と、ハンドォ ーバ後に移動端末が接続するアクセスポイント（第 2アクセスポイント）との間のセキュ リティを迅速に確立して、ハンドオーバによる通信の遅延や断絶を低減させることが 可能となる。
[0025] さらに、本発明の通信メッセージ処理方法は、前記受信ステップにお 、て、前記移 動端末から、前記移動端末の識別情報と、前記第 1アクセスポイントとの暗号ィ匕通信 に係る前記通信用喑復号鍵とが埋め込まれた FMIPの RtSolPrメッセージ又は FB Uメッセージを受信する。
これにより、移動端末から、移動端末がハンドオーバ前に接続しているアクセスル ータ（第 1アクセスルータ）に対して、 FMIPの各メッセージに載せて、移動端末の識 別情報と、ハンドオーバ前に移動端末が接続しているアクセスポイント (第 1アクセス ポイント)との暗号ィ匕通信に係る前記通信用喑復号鍵を効率良く伝送することが可能 となる。
[0026] さらに、本発明の通信メッセージ処理方法は、前記移動端末の識別情報と、前記第
1アクセスポイントとの暗号ィ匕通信に係る前記通信用喑復号鍵とが埋め込まれた FMI Pの HIメッセージを生成するステップを有し、
前記通知ステップにおいて、前記第 2アクセスルータに対して、前記 HIメッセージを 送信する。
これにより、移動端末がハンドオーバ前に接続しているアクセスルータ（第 1アクセス ルータ）から、移動端末がハンドオーバ後に接続するアクセスルータ (第 2アクセスル ータ）に対して、 FMIPの各メッセージに載せて、移動端末の識別情報と、ハンドォー バ前に移動端末が接続して ヽるアクセスポイント (第 1アクセスポイント）との暗号化通 信に係る前記通信用喑復号鍵を効率良く伝送することが可能となる。
[0027] また、上記目的を達成するため、本発明の通信メッセージ処理方法は、第 1ァクセ スポイントを配下に有する第 1アクセスルータと、第 2アクセスポイントを配下に有する 第 2アクセスルータとが、通信ネットワークを介して接続されている通信システムにお いて、移動端末が、前記第 1アクセスポイントから前記第 2アクセスポイントへのハンド オーバを行う際の前記第 2アクセスルータにおける通信メッセージ処理方法であって 前記第 1アクセスルータから、前記移動端末の識別情報と、前記第 1アクセスポイン トとの暗号ィ匕通信に係る前記通信用喑復号鍵とを受信する受信ステップと、
前記第 2アクセスポイントに対して、前記第 1アクセスルータから通知された前記移 動端末の識別情報と、前記第 1アクセスポイントとの暗号化通信に係る前記通信用暗 復号鍵とを通知する通知ステップとを有して 、る。
これにより、移動端末 (モパイルノード）力 異なるアクセスルータ（第 1アクセスルー タ及び第 2アクセスルータ）のリンク上に存在するアクセスポイント（第 1アクセスポイン ト及び第 2アクセスポイント）間のハンドオーバを行う場合でも、移動端末と、ハンドォ ーバ後に移動端末が接続するアクセスポイント（第 2アクセスポイント）との間のセキュ リティを迅速に確立して、ハンドオーバによる通信の遅延や断絶を低減させることが 可能となる。 [0028] さらに、本発明の通信メッセージ処理方法は、前記受信ステップにお 、て、前記第 1アクセスルータから、前記移動端末の識別情報と、前記第 1アクセスポイントとの暗 号ィ匕通信に係る前記通信用喑復号鍵とが埋め込まれた FMIPの HIメッセージを受 信する。
これにより、移動端末がハンドオーバ前に接続しているアクセスルータ（第 1アクセス ルータ）から、移動端末がハンドオーバ後に接続するアクセスルータ (第 2アクセスル ータ）に対して、 FMIPの各メッセージに載せて、移動端末の識別情報と、ハンドォー バ前に移動端末が接続して ヽるアクセスポイント (第 1アクセスポイント）との暗号化通 信に係る前記通信用喑復号鍵を効率良く伝送することが可能となる。
[0029] さらに、本発明の通信メッセージ処理方法は、前記移動端末の識別情報と、前記第 1アクセスポイントとの暗号ィ匕通信に係る前記通信用喑復号鍵とが埋め込まれた通知 メッセージを生成するメッセージ生成ステップを有し、
前記通知ステップにおいて、前記第 2アクセスポイントに対して、前記通知メッセ一 ジを送信する。
これにより、移動端末がハンドオーバ後に接続するアクセスルータ (第 2アクセスル ータ）から、移動端末がハンドオーバ後に接続するアクセスポイント (第 2アクセスボイ ント）に対して通知メッセージを送信することによって、移動端末がハンドオーバ前に 接続して ヽたアクセスルータ (第 1アクセスルータ)から通知された移動端末の識別情 報及び通信用喑復号鍵を、第 2アクセスポイントに伝送することが可能となる。
[0030] また、上記目的を達成するため、本発明の通信制御方法は、第 1アクセスポイントを 配下に有する第 1アクセスルータと、第 2アクセスポイントを配下に有する第 2アクセス ルータとが、通信ネットワークを介して接続されている通信システムにおいて、移動端 末力 前記第 1アクセスポイントから前記第 2アクセスポイントへのハンドオーバを行う 際の前記第 2アクセスポイントにおける通信制御方法であって、
前記第 2アクセスルータが前記第 1アクセスルータ力 通知された前記移動端末の 識別情報と、前記第 1アクセスポイントとの暗号化通信に係る前記通信用喑復号鍵と を、前記第 2アクセスルータ力も受信する受信ステップと、
前記ハンドオーバによって前記第 2アクセスポイントに接続する前記移動端末を前 記移動端末の識別情報によって識別し、前記第 2アクセスポイントに接続する前記移 動端末の識別情報と、前記受信ステップで前記第 2アクセスルータから通知された前 記移動端末の識別情報とを比較する比較ステップと、
前記比較ステップの比較結果に基づき、前記第 2アクセスルータから通知された前 記移動端末の識別情報と一致する前記識別情報を持った前記移動端末との間で、 前記移動端末と前記第 1アクセスポイントとの間の暗号化通信に使用されて！ヽた前記 通信用喑復号鍵を使用して暗号ィ匕通信を行うとともに、前記移動端末に対して、前 記第 2アクセスルータへのアクセスを許可するための制御を行う通信制御ステップと を有している。
これにより、ハンドオーバによって新たなアクセスポイント（第 2アクセスポイント）に接 続した移動端末に対して、移動端末がハンドオーバ前に使用していた通信用喑復号 鍵を使用した一時的な通信を迅速に開始させるとともに、並行して認証処理を行うこ とによって、移動端末の認証及びアクセス制御を改めて行うことが可能となる。
さらに、本発明の通信制御方法は、前記通信制御ステップにおける前記移動端末 との間の暗号化通信と並行して、前記移動端末の認証処理が行われ、前記移動端 末が認証されて、前記移動端末と前記第 2アクセスポイントとの間の暗号ィ匕通信に係 る新たな通信用喑復号鍵が生成された場合には、前記移動端末との間で、前記新た な通信用喑復号鍵を使用して暗号ィ匕通信を行うとともに、前記移動端末に対して、 前記第 2アクセスルータへのアクセスを許可するための制御を継続して行う認証成功 通信ステップと、
前記通信制御ステップにおける前記移動端末との間の暗号ィ匕通信と並行して、前 記移動端末の認証処理が行われ、前記移動端末が認証されな力つた場合には、前 記移動端末に対して、前記第 2アクセスルータへのアクセスを不許可とするための制 御を行う認証失敗通信ステップとを有して 、る。
これにより、ハンドオーバによって新たなアクセスポイント（第 2アクセスポイント）に接 続した移動端末に対して、移動端末がハンドオーバ前に使用していた通信用喑復号 鍵を使用した一時的な通信を迅速に開始させるとともに、並行して認証処理を行うこ とによって、移動端末の認証及びアクセス制御を改めて行うことが可能となる。 [0032] 本発明の通信ハンドオーバ方法及び通信メッセージ処理方法並びに通信制御方 法は、上記構成を有しており、モパイルノード力 異なるアクセスルータのリンク上に 存在するアクセスポイント間のハンドオーバを行う場合でも、モパイルノードとアクセス ポイントとの間のセキュリティを迅速に確立して、ハンドオーバによる通信の遅延や断 絶を低減させることが可能となると 、う効果を有して 、る。
図面の簡単な説明
[0033] [図 1]本発明の実施の形態におけるネットワーク構成の一例を示す図
[図 2]本発明の実施の形態における MNの構成の一例を示す図
[図 3]本発明の実施の形態における pARの構成の一例を示す図
[図 4]本発明の実施の形態における nARの構成の一例を示す図
[図 5]本発明の実施の形態における nARの配下に存在する APの構成の一例を示す 図
[図 6]本発明の実施の形態における動作の一例を示すシーケンスチャート
[図 7A]本発明の実施の形態において用いられる MNから pARへの MACアドレス及 び通信用喑復号鍵の通知に係るメッセージの一例を示す図であり、 MACアドレス及 び通信用喑復号鍵が埋め込まれた FBUメッセージを示す図
[図 7B]本発明の実施の形態において用いられる MNから pARへの MACアドレス及 び通信用喑復号鍵の通知に係るメッセージの一例を示す図であり、 MACアドレス及 び通信用喑復号鍵が埋め込まれた RtSolPrメッセージを示す図
[図 7C]本発明の実施の形態において用いられる MNから pARへの MACアドレス及 び通信用喑復号鍵の通知に係るメッセージの一例を示す図であり、 MACアドレス及 び通信用喑復号鍵が埋め込まれた MACアドレス Z鍵通知メッセージを示す図 [図 8A]本発明の実施の形態において用いられる pARから nARへの MACアドレス及 び通信用喑復号鍵の通知に係るメッセージの一例を示す図であり、 MACアドレス及 び通信用喑復号鍵が埋め込まれた HIメッセージを示す図
[図 8B]本発明の実施の形態において用いられる pARから nARへの MACアドレス及 び通信用喑復号鍵の通知に係るメッセージの一例を示す図であり、 MACアドレス及 び通信用喑復号鍵が埋め込まれた MACアドレス Z鍵通知メッセージを示す図 [図 9A]本発明の実施の形態において、ハンドオーバ前に使用していた通信用喑復 号鍵をノヽンドオーバ後に使用できるように設定された MNに対して行われる認証処 理を模式的に示す図であり、 APが、 MNに対して、ハンドオーバ前に使用していた 通信用喑復号鍵の使用を許可している状態を模式的に示す図
[図 9B]本発明の実施の形態において、ハンドオーバ前に使用していた通信用喑復 号鍵をノヽンドオーバ後に使用できるように設定された MNに対して行われる認証処 理を模式的に示す図であり、 APがハンドオーバ後の MNの認証処理を行った結果、 MNが認証された状態を模式的に示す図
[図 9C]本発明の実施の形態において、ハンドオーバ前に使用していた通信用喑復 号鍵をノヽンドオーバ後に使用できるように設定された MNに対して行われる認証処 理を模式的に示す図であり、 APがハンドオーバ後の MNの認証処理を行った結果、 MNが認証されな力つた状態を模式的に示す図
[図 10]従来の技術に係る IEEE802. lxにおけるポートアクセス制御の概要を示す図 [図 11]図 10の構成において、サプリカントシステムがオーセンティケータを通じて所 定のサービスを取得する際の動作の一例を示すシーケンスチャート
[図 12]従来の技術に係るネットワーク構成の一例を示す図
[図 13]本発明が解決しょうとする課題を説明するためのネットワーク構成の一例を示 す図
発明を実施するための最良の形態
以下、図面を参照しながら、本発明の実施の形態について説明する。本発明の基 本的な概要は、 IPネットワーク 50に接続された異なるアクセスルータ（pAR20、 nAR 30)の配下に存在する AP21、 31間のハンドオーバを行う MN10力 そのハンドォ ーバ前に、 MN10の識別情報（例えば、 MACアドレス）、及びハンドオーバ前に AP 21との通信で使用して ヽる通信用喑復号鍵を送信し、ハンドオーバ後に新たに接続 する AP31の上位の nAR30に、 MN10の MACアドレス及び通信用喑復号鍵が供 給され、さらに、 nAR30力ら AP31に対して、 MN10の MACアドレス及び通信用喑 復号鍵が供給されるようにすることによって、 MN10が、 AP31との間でセキュリティ 確保に係る一連の動作 (例えば、図 11のシーケンスチャートにおける動作)を行うこと なぐハンドオーバ前の通信用喑復号鍵を使用して、ハンドオーバ前の通信状態を 迅速に回復することができるようにすることにある。
[0035] 図 1は、本発明の実施の形態におけるネットワーク構成の一例を示す図である。図 1には、 MN10、 pAR20、 pAR20の配下に存在する AP21、 pAR20のリンクに存在 する認証サーバ 22、 nAR30、 nAR30の配下に存在する AP31、 nAR30のリンクに 存在する認証サーバ 32、 CN (コレスポンデントノード： Correspondent Node) 40、 IP ネットワーク 50が図示されている。なお、図 1では、 CN40が 1つのみ図示されている 1S MN10は、 IPネットワーク 50を介して複数の CN40と通信を行うことが可能であり 、すなわち、複数の CN40が存在してもよい。
[0036] pAR20及び nAR30は、 IPネットワーク 50に接続されているアクセスルータであり、 それぞれサブネットを形成している。 MN10は、 pAR20の配下に存在する AP21の 通信セル内に存在する場合には、 AP21及び pAR20を通じて IPネットワーク 50にァ クセスすることが可能であり、 nAR30の配下に存在する AP31の通信セル内に存在 する場合には、 AP31及び nAR30を通じて IPネットワーク 50にアクセスすることが可 能である。また、認証サーバ 22、 32は、 AP21、 31のそれぞれに接続する MN10の 認証を行うサーバであり、例えば、 RADIUSサーバによって実現される。なお、不図 示だが、認証サーバ 22、 32は、認証のための資格情報や各ユーザのプロパティ情 報などを格納するユーザアカウントデータベースを保持する力、あるいは参照するこ とが可能である。なお、 pAR20と nAR30との間（あるいは、 pAR20のリンクに存在す る任意のノードと、 nAR30のリンクに存在する任意のノードとの間）には、あらかじめ 信頼関係が設定されており、通信用喑復号鍵の伝送がセキュアに行われるように構 成されて!/、ることが望まし!/、。
[0037] また、 MN10、 AP21、 31、認証サーバ 22、 32は、 IEEE802. lx及び EAPなどの ように、 MN10と AP21、 31との相互認証を行い、 MN10と AP21、 31との間の暗号 化通信を可能とするためのエンティティをそれぞれ有している。
[0038] 一方、 IPネットワーク 50は、例えば、インターネットなどの IP通信を利用した WAN ( Wide Area Network)である。上述の pAR20、 nAR30は、 IPネットワーク 50に接続可 能である。また、さらに、図 1には、 IPネットワーク 50に接続可能であり、 MN10と間で 通信を行って 、る CN40が図示されて!、る。
[0039] ここで、 MN10は、初期状態として AP21に接続されており、 pAR20を通じて CN4 0との通信を行っているものとする。そして、 MN10は、 AP21から AP31へのハンド オーバを行うことによって、ハンドオーバ後は、新たに nAR30を通じて CN40との通 信を行うものとする。
[0040] 次に、本発明の実施の形態について説明する。本実施の形態では、非特許文献 2 に記載されている技術を利用し、 MN10力 nAR30に対して、 MACアドレス及び通 信用喑復号鍵 (以下、単に鍵と呼ぶこともある）が通知され、 nAR30から AP31に対 して、これらの情報が提供されることによって、ハンドオーバ後の通信が迅速に開始さ れる方法にっ 、て説明する。
[0041] 次に、本発明の実施の形態における MN10、 pAR20、 nAR30、 AP31のそれぞ れの構成について説明する。なお、図 2〜図 5に図示されている MN10、 pAR20、 n AR30、 AP31は、図 1に図示されている MN10、 pAR20、 nAR30、 AP31の詳細 な構成である。また、図 2〜図 5では、各機能がブロックにより図示されている力 これ らの各機能はハードウェア及び Z又はソフトウェアによって実現可能である。特に、本 発明の主要な処理 (例えば、後述の図 6に示す各ステップの処理）は、コンピュータプ ログラムによって実行可能である。
[0042] 図 2は、本発明の実施の形態における MNの構成の一例を示す図である。図 2に示 す MN10は、ハンドオーバ決定部 1001、無線受信部 1002、無線送信部 1003、復 号部 1004、 B音号ィ匕部 1005、鍵格納部 1006、 MACアドレス格納部 1007、 MACァ ドレス Z鍵取得部 1008、 FMIP処理部 1009を有している。
[0043] ハンドオーバ決定部 1001は、例えば、異なる複数の APからの電波強度の比較を 行って、最も電波強度の高い APへの L2ハンドオーバ（通信先の APの接続切り換え )を行うなど、任意の条件に基づいてハンドオーバの開始の決定を行う処理部である
[0044] また、無線受信部 1002及び無線送信部 1003は、それぞれ無線通信によるデータ 受信及びデータ送信を行うための処理部であり、これらには、無線通信を行うために 必要な様々な機能が含まれて 、る。 [0045] また、復号部 1004及び暗号ィ匕部 1005はそれぞれ、鍵格納部 1006に格納されて いる通信用喑復号鍵を使用して、無線受信部 1002で受信したデータの復号、及び 無線送信部 1003から送信するデータの暗号ィ匕を行うための処理部である。なお、こ の復号部 1004及び暗号化部 1005を利用した暗号化通信は、 MN10と AP21、 31 との間の無線伝送路におけるセキュリティの向上のために行われるものである。
[0046] また、鍵格納部 1006は、 AP21、 31との間における暗号ィ匕通信 (復号部 1004及 び暗号ィ匕部 1005を利用した暗号ィ匕通信）に使用されるセキュリティ強化のための鍵 を格納する処理部である。なお、この通信用喑復号鍵は、従来、 MN10が各 AP21、 31に接続した際に認証処理を経て生成されるものであり、また、セキュリティ強化の ため、定期的に更新されるものである。
[0047] また、 MACアドレス格納部 1007は、ネットワーク機器を一意に識別することが可能 な MACアドレスを格納する不揮発性メモリなどを指している。また、 MACアドレス Z 鍵取得部 1008は、 MACアドレス格納部 1007に格納された MACアドレスと、鍵格 納部 1006に格納された通信用喑復号鍵とを読み出すための処理部である。なお、 本発明では、 FMIPに係る処理に合わせて、 MACアドレス及び通信用暗複合鍵の 読み出しが行われる。また、 MACアドレス Z鍵取得部 1008によって取得された MA Cアドレス及び通信用喑復号鍵は、 FMIP処理部 1009に供給されて、 FMIPに係る 送信メッセージと共に PAR20に送信される力、あるいは、 FMIPに係る送信メッセ一 ジの送信タイミングや受信メッセージの受信タイミングに従って、固有の MACァドレ ス/鍵通知メッセージとして PAR20に送信されるように構成されて！ヽる。
[0048] また、 FMIP処理部 1009は、ハンドオーバ決定部 1001によるハンドオーバの開始 の決定を受けて、 FMIPに係る送信メッセージ（例えば、 RtSolPr (Router Solicitatio n for Proxy ^又 ίま Router Solicitation for Proxy Advertisement)メッセ ~~ン" FBU (Fa st Binding Update)メッセージ）の生成や、 FMIPに係る受信メッセージ（例えば、 PrR tAav (Proxy Router Advertisement)メッセ ~~ンゃ FBAck(Fast Binding Acknowledg e)メッセージ）の処理など、 FMIPに係る処理を行うための処理部である。なお、この FMIP処理部 1009の存在は、 MN10力FMIPを実装していることを示している。
[0049] 以上のように、 MN10は、 FMIPに係る送信メッセージに、 MN10自身の MACアド レス及び通信用喑復号鍵を埋め込んで PAR20に送信したり、 FMIPに係る送信メッ セージの送信タイミングや受信メッセージの受信タイミングに応じて、 MN10自身の MACアドレス及び通信用喑復号鍵を含むアドレス Z鍵通知メッセージを送信したり することが可能なように構成されて！、る。
[0050] また、図 3は、本発明の実施の形態における pARの構成の一例を示す図である。
図 3に示す pAR20は、受信部 2001、送信部 2002、 FMIP処理部 2003、 MACアド レス Z鍵抽出部 2004を有している。なお、 pAR20は、受信したパケットを転送する ための転送部なども有している力 ここでは図示省略する。受信部 2001及び送信部 2002は、 AP21が存在する pAR20のリンクや IPネットワーク 50に接続されており、 データ受信及びデータ送信を行うための処理部である。
[0051] また、 FMIP処理部 2003は、 MN10が次のハンドオーバによって接続する接続先 のアクセスルータ（nAR30)の探索、 nAR30が形成するサブネットのネットワークプリ フィックスの取得、 FMIPに係る送信メッセージ（例えば、 HI (Handover Initiate)メッセ ージゃ FBAckメッセージ）の生成、 FMIPに係る受信メッセージ（例えば、 FBUメッセ ージゃ HAck (Handover Acknowledge)メッセージ）の処理など、 FMIPに係る処理を 行うための処理部である。なお、この FMIP処理部 2003の存在は、 pAR20が FMIP を実装して 、ることを示して！/、る。
[0052] また、 MACアドレス Z鍵抽出部 2004は、 MN10から受信した FMIPに係る受信メ ッセージ内に埋め込まれている MN10自身の MACアドレス及び通信用喑復号鍵の 抽出や、 MN10から受信した固有のアドレス Z鍵通知メッセージから、 MN10自身 の MACアドレス及び通信用喑復号鍵の抽出を行うための処理部である。また、 MA Cアドレス Z鍵抽出部 2004によって抽出された MN10自身の MACアドレス及び通 信用喑復号鍵は、 FMIP処理部 2003に供給されて、 FMIPに係る送信メッセージと 共に nAR30に送信されるカゝ、あるいは、 FMIPに係る送信メッセージの送信タイミン グゃ受信メッセージの受信タイミングに従って、固有のアドレス Z鍵通知メッセージと して nAR30に送信されるように構成されて！、る。
[0053] 以上のように、 pAR20は、 MN10から、 MN10自身の MACアドレス及び通信用喑 復号鍵の通知を受けた場合、 FMIPに係る送信メッセージに MN10自身の MACァ ドレス及び通信用喑復号鍵を埋め込んで nAR30に送信したり、 FMIPに係る送信メ ッセージの送信タイミングや受信メッセージの受信タイミングに応じて、 MN10自身の MACアドレス及び通信用喑復号鍵を含むアドレス Z鍵通知メッセージを nAR30に 送信したりすることが可能なように構成されて！、る。
[0054] また、図 4は、本発明の実施の形態における nARの構成の一例を示す図である。
図 4に示す nAR30は、受信部 3001、送信部 3002、 FMIP処理部 3003、 MAC/ アドレス鍵抽出部 3004、 MACアドレス Z鍵通知メッセージ生成部 3005を有して!/ヽ る。なお、 nAR30は、受信したパケットを転送するための転送部なども有している力 ここでは図示省略する。受信部 3001及び送信部 3002は、 AP31が存在する nAR3 0のリンクや IPネットワーク 50に接続されており、データ受信及びデータ送信を行うた めの処理部である。
[0055] また、 FMIP処理部 3003は、 pAR20から受けた MN10の IPアドレスの妥当性の 検証、 FMIPに係る送信メッセージ（例えば、 HAckメッセージ）の生成、 FMIPに係 る受信メッセージ（例えば、 HIメッセージや FNA (Fast Neighbor Advertisement)メッ セージ）の処理など、 FMIPに係る処理を行うための処理部である。なお、この FMIP 処理部 3003の存在は、 nAR30が FMIPを実装して!/、ることを示して!/、る。
[0056] また、 MACアドレス Z鍵抽出部 3004は、 pAR20から受信した FMIPに係る受信メ ッセージ内に埋め込まれている MN10の MACアドレス及び通信用喑復号鍵の抽出 や、 pAR20から受信した固有のアドレス Z鍵通知メッセージから、 MN10の MACァ ドレス及び通信用喑復号鍵の抽出を行うための処理部である。また、 MACアドレス Z鍵抽出部 3004によって抽出された MN10の MACアドレス及び通信用喑復号鍵 は、 MACアドレス Z鍵通知メッセージ生成部 3005に供給されるように構成されてい る。
[0057] また、 MACアドレス Z鍵通知メッセージ生成部 3005は、 MACアドレス Z鍵抽出 部 3004によって抽出された MN10自身の MACアドレス及び通信用喑復号鍵を含 む通知メッセージを生成するための処理部である。 MACアドレス Z鍵通知メッセ一 ジ生成部 3005によって生成された通知メッセージは、送信部 3002を通じて、配下 の AP31に送信される。 [0058] 以上のように、 nAR30は、 pAR20力ら、 MNIOの MACアドレス及び通信用喑復 号鍵の通知を受けた場合、配下の AP31に対して、この MN10の MACアドレス及び 通信用喑復号鍵を通知することが可能なように構成されて ヽる。
[0059] また、図 5は、本発明の実施の形態における nARの配下に存在する APの構成の 一例を示す図である。図 5に示す AP31は、無線受信部 3101、無線送信部 3102、 受信部 3103、送信部 3104、復号部 3105、暗号化部 3106、 MACアドレス Z鍵抽 出部 3107、鍵格納部 3108、 MACアドレス確認部 3109、ポート制御部 3110を有し ている。
[0060] 無線受信部 3101及び無線送信部 3102は、それぞれ無線通信によるデータ受信 及びデータ送信を行うための処理部であり、これらには、無線通信を行うために必要 な様々な機能が含まれている。なお、これらの無線受信部 3101及び無線送信部 31 02は、無線通信に係る電波の送受信範囲である通信セルを形成しており、この通信 セル内に存在する MN10との通信が可能である。また、受信部 3103及び送信部 31 04は、 nAR30のリンクに接続されており、データ受信及びデータ送信を行うための 処理部である。
[0061] また、復号部 3105及び暗号化部 3106はそれぞれ、鍵格納部 3108に格納されて いる通信用喑復号鍵を使用して、無線受信部 3101で受信したデータの復号、及び 無線送信部 3102から送信するデータの暗号ィ匕を行うための処理部である。なお、復 号部 3105で復号されたデータは、ポート制御部 3110によって、制御ポート又は非 制御ポートを通じて、 nAR30や認証サーバ 32に送信される。また、暗号化部 3106 で暗号ィ匕されたデータは、無線伝送路を通じて MN10に送信される。
[0062] また、 MACアドレス Z鍵抽出部 3107は、 nAR30から受信する MN10の MACァ ドレス及び通信用喑復号鍵を含む通知メッセージに係る処理を行うための処理部で ある。 MACアドレス Z鍵抽出部 3107は、 nAR30から受信した通知メッセージ内か ら MN10の MACアドレス及び通信用喑復号鍵を抽出し、鍵格納部 3108に供給す る。
[0063] また、鍵格納部 3108は、 MN10との間における暗号化通信 (復号部 3105及び暗 号ィ匕部 3106を利用した暗号ィ匕通信）に使用されるセキュリティ強化のための鍵であ る。なお、本発明では、通常の認証処理を経て生成された通信用喑復号鍵と同様に
、 nAR30から受信する通知メッセージに含まれる通信用喑復号鍵も、鍵格納部 310 8に格納される。
[0064] また、 MACアドレス確認部 3109は、 MN10から通知された MACアドレスや無線 受信部 3101を通じて MN10から受信したデータの送信元として記載されている MA Cアドレスと、鍵格納部 3108に格納されている MN10の MACアドレスとの一致を確 認するための処理部である。また、ポート制御部 3110は、例えば、図 10に図示され ている制御ポートの利用の可否を制御するための処理部である。すなわち、 MACァ ドレス確認部 3109及びポート制御部 3110によって、鍵格納部 3108に格納されて いる MACアドレスを有する MN10は、認証処理によって認証された MN10であると みなされ、制御ポートの利用が可能となるように構成されて 、る。
[0065] 以上のように、 AP31は、 nAR30から通知された MN10の MACアドレス及び通信 用喑復号鍵の通知を受けた場合、これらの情報に基づくポート制御を行うように構成 されている。
[0066] 次に、本発明の実施の形態に係る動作について説明する。ここでは、図 6を参照し ながら、図 1に示すネットワーク構成において、図 2〜図 5に図示されている MN10、 pAR20、 nAR30、 AP31を構成要素とした場合の動作について説明する。なお、 A P21〖こ関しては、図 5に示す AP31と同一の構成でもよぐまた、従来の APを利用し てもよい。図 6は、本発明の実施の形態における動作の一例を示すシーケンスチヤ一 トである。
[0067] 例えば、 MN10力 ¾AR20のエリア（AP21の通信セル範囲）から nAR30のエリア（ AP31の通信セル範囲）への移動を開始した場合、レイヤ 2によってその移動が検出 され、それを起点としてレイヤ 3におけるハンドオーバの開始が決定される (ステップ S 101)。このハンドオーバの開始の決定は、例えば、 AP21からの受信電界強度と AP 31からの受信電界強度との比較などによって行われる。
[0068] MN10は、移動先となる AP31からのビーコンなどによって、 AP31から AP— ID ( 各 APの識別情報）を含む情報を取得し、現在接続している pAR20に対して、 AP31 の AP—IDを含む RtSolPrメッセージを送信する（ステップ S102)。 MN10から送信 された RtSolPrメッセージは、 AP21によって転送されて pAR20に到達する（ステツ プ S103)。この RtSolPrメッセージを受信した pAR20は、 MN10から通知された AP 31の AP— IDに基づ!/、て、近隣に存在するアクセスルータを検索して nAR30の情 報を取得する力、あるいは、すでに検索済みの情報 (PAR20に保持されている情報 )力 nAR30の情報を取得する。
[0069] そして、 pAR20は、 nAR30の情報（例えば、 nAR30が構成するサブネットのネット ワークプリフィックスなどの情報）を含む PrRtAdvメッセージを、 RtSolPrメッセージの レスポンスとして、 MN10に送信する（ステップ S104)。 pAR20から送信された PrRt Advメッセージは、 AP21によって転送されて MN10に到達する（ステップ S105)。 P rRtAdvメッセージを受信した MN10は、 PrRtAdvメッセージに含まれる nAR30が 形成するサブネットのネットワークプリフィックスと、 MN10自身のリンクレイヤアドレス などを用いて、 nAR30が形成するサブネットにお!/、て適合し得るアドレスである NCo A (New Care of Address)を生成する。なお、ここまでの動作は、 FMIPによって規定 されている動作と同一である。
[0070] ここで、 MN10の MACアドレス Z鍵取得部 1008は、自 MN10の MACアドレスと、 AP21との間の通信に使用している通信用喑復号鍵とを取得して、これらの情報を F MIP処理部 1009に渡す。 MN10の FMIP処理部 1009は、生成された NCoAに加 えて、上記の MACアドレス及び通信用喑復号鍵が埋め込まれた FBU (Fast Binding Update)メッセージを生成する。そして、 MN10は、 MACアドレス及び通信用喑復 号鍵が埋め込まれた FBUメッセージ（図 6では、 FBU (MAC, key)と表記）を pAR2 0に向けて送信する（ステップ S106)。 MN10から送信された MACアドレス及び通 信用喑復号鍵が埋め込まれた FBUメッセージは、 AP21によって転送されて pAR20 に到達する (ステップ S 107)。
[0071] MACアドレス及び通信用喑復号鍵が埋め込まれた FBUメッセージを受信した pA R20は、 MACアドレス/鍵抽出部 2004によって、 FBUメッセージ内の MACァドレ ス及び通信用喑復号鍵を抽出し、抽出された MACアドレス及び通信用喑復号鍵を FMIP処理部 2003に通知する。 FMIP処理部 2003は、 MN10において生成され た NCoAが nAR30のサブネットで使用可能なアドレスか否かを確認するための HIメ ッセージを生成する際に、 MNIOから受信した MACアドレス及び通信用喑復号鍵 を HIメッセージに埋め込む。そして、 pAR20は、 nAR30〖こ向けて、 MACアドレス及 び通信用喑復号鍵が埋め込まれた HIメッセージ（図 6では HI (MAC, key)と表記） を送信する（ステップ S108)。なお、 pAR20から nAR30に向けて送信された MAC アドレス及び通信用喑復号鍵が埋め込まれた HIメッセージは、 IPネットワーク 50を構 成する多数の中継ノード (不図示）を経由して nAR30に到達する。
[0072] MACアドレス及び通信用喑復号鍵が埋め込まれた HIメッセージを受信した nAR3 0は、 MACアドレス/鍵抽出部 3004によって、 HIメッセージ内の MACアドレス及び 通信用喑復号鍵を抽出して、抽出された MACアドレス及び通信用 B音復号鍵を MA Cアドレス Z鍵通知メッセージ生成部 3005に通知し、 MACアドレス Z鍵通知メッセ ージ生成部 3005は、 MACアドレス及び通信用喑復号鍵を含むアドレス Z鍵通知メ ッセージ（図 6では通知メッセージ（MAC, key)と表記）を生成する（ステップ S 109) 。そして、 nAR30は、この通知メッセージを AP31に送信する（ステップ S 110)。これ により、 AP31は、これからハンドオーバしてくる MN10の MACアドレスと、その MN1 0がハンドオーバ前に AP21との間で使用していた通信用喑復号鍵とを取得すること が可能となる。
[0073] なお、 nAR30力 MACアドレス及び通信用喑復号鍵が埋め込まれた HIメッセ一 ジに含まれる NCoAが有効なものであるか否かを検証し、 NCoAが有効である場合 は、その結果を示すステータスを指定した HAckメッセージを pAR20に向けて送信 する処理（通常の FMIPに係る処理）や、 pAR20による FBAckメッセージの送信処 理、 pAR20から nAR30へのパケットの転送処理などが行われる力 ここでは、説明 を省略する。
[0074] 一方、 MACアドレス及び通信用喑復号鍵が埋め込まれた FBUメッセージを送信し た MN10では、 pAR20の配下に存在する AP21から、 nAR30の配下に存在する A P31へのハンドオーバ処理が行われる（ステップ Sl l l)。そして、 MN10は、 AP31 に対して、接続の要求を行うためのハンドオーバ通知を送信する (ステップ S112)。 なお、このハンドオーバ通知によって、 MN10は、 AP31に対して MACアドレスの通 知を行う。 [0075] AP31は、ハンドオーバ通知を受けて、 MN10が AP31に接続しょうとしていること を検知する。 MACアドレス確認部 3109は、 nAR30から通知メッセージによって通 知された MACアドレスの中に、 MN10からハンドオーバ通知によって通知された M ACアドレスと一致するものがあるかどうかを確認する（ステップ S 113)。そして、 MA Cアドレス確認部 3109によって一致する MACアドレスの存在が確認された場合、 M ACアドレス確認部 3109は、 MACアドレスが確認された旨を通知する情報を生成し て、 MN10に送信する（ステップ S114)。この通知を受けた MN10は、ハンドオーバ 前に AP21との間で使用して 、た通信用 B音復号鍵を用いて、 AP31との間での暗号 化通信を開始する（ステップ S115)。なお、 AP31は、 nAR30から受信した MN10 に係る通信用喑復号鍵を用いて、 MN10から受信したパケットの復号を行うことが可 能である。また、 AP31は、ステップ S 113で一致する MACアドレスが確認された場 合には、その MN10に対して制御ポートを利用可能な状態に設定し、 MN10が、制 御ポートを通じて、例えば、インターネットアクセスサービスなどの所定のサービスを 取得できるようにポート制御を行う。
[0076] なお、 MN10のハンドオーバのタイミングが早ぐ MN10がハンドオーバ通知を行 つた際に、 nAR30力ら AP31に対して、 MN10の MACアドレス及び通信用喑復号 鍵を含む通知メッセージ力 まだ到達していない場合も想定される。この場合には、 AP31は、ステップ S116に係る従来の認証処理を開始するとともに、 nAR30から M N10の MACアドレス及び通信用喑復号鍵を取得でき次第、ハンドオーバ前に使用 していた通信用喑復号鍵の使用を許可することによって、ハンドオーバ後の MN10 力 ハンドオーバ前の通信用喑復号鍵を使用した通信を迅速に開始できるようになる
[0077] 以上の動作によって、 MN10がハンドオーバ後に接続する AP31が、 MN10の M ACアドレスと、 MN10がハンドオーバ前に AP21との間で使用していた通信用喑復 号鍵とを取得することが可能となり、 MN10は、 AP31へのハンドオーバ後、新たな 通信用喑復号鍵の生成に係る認証処理を行うことなぐハンドオーバ前に使用してい た通信用喑復号鍵をそのまま用いて、通信を継続的に行うことが可能となる。
[0078] また、ハンドオーバ前に MN10が使用していた通信用喑復号鍵は、ハンドオーバ 前に、何らかの認証処理を経て配布されたものであり、 MN10が、ハンドオーバ前に 接続していた AP21との通信に関して、正当な資格を有していることを示す情報と言 える。したがって、 MN10が、ハンドオーバ後も、ハンドオーバ前に使用していた通信 用喑復号鍵を使用できるようにすることは妥当である。
[0079] ただし、ハンドオーバ前に使用していた通信用喑復号鍵をノヽンドオーバ後もそのま ま使用することは、セキュリティの低下につながるおそれがある。したがって、ハンドォ ーバ前に使用していた通信用喑復号鍵をノヽンドオーバ後に使用できるようにすること は、あくまでも、ハンドオーバ直後における通信の遅延や断絶を防ぐことを目的とする ことが望ましぐハンドオーバ前に使用していた通信用喑復号鍵の使用は、 «続的な サービスの提供を一時的に実現するためのものとして、なるべく短い時間内で、確実 な認証処理によって生成された新たな通信用喑復号鍵による鍵の置換 (ハンドォー バ前に使用していた通信用喑復号鍵から、新たに生成された通信用喑復号鍵への 置換)を行うことが望ましい。
[0080] 例えば、 AP31は、ステップ S 113で一致する MACアドレスが確認された場合、そ の MN10に対して制御ポートを利用可能状態に設定して、 MN10が、ハンドオーバ 前に使用して 、た通信用喑復号鍵をハンドオーバ後においても使用できるようにす るとともに、従来の認証処理及び新たな通信用喑復号鍵の生成 (例えば、図 11のシ 一ケンスチャートのステップ SI 101〜S1111の処理）を並行して行うようにする（ステ ップ S 116)。
[0081] 図 9は、本発明の実施の形態において、ハンドオーバ前に使用していた通信用暗 復号鍵をノヽンドオーバ後に使用できるように設定された MNに対して行われる認証 処理を模式的に示す図であり、図 9Aは、 APが、 MNに対して、ハンドオーバ前に使 用して ヽた通信用喑復号鍵の使用を許可して ヽる状態を模式的に示す図、図 9Bは 、 APがハンドオーバ後の MNの認証処理を行った結果、 MNが認証された状態を模 式的に示す図、図 9Cは、 APがハンドオーバ後の MNの認証処理を行った結果、 M Nが認証されなかった状態を模式的に示す図である。なお、この図 9A〜Cでは、 AP 31におけるポート制御の状態が模式的に図示されている。
[0082] ステップ S113で MN10の MACアドレスの確認を行った AP31は、図 9Aに示すよ うに、 MNIOがハンドオーバ前に使用していた通信用喑復号鍵による暗号ィ匕通信を 可能とするとともに、ポート制御部 3110によって、インターネットなどの外部の IPネッ トワーク 50への接続 (nAR30へ接続）に係るサービスなど、 MN10に対して所定の サービスを提供するための制御ポートの管理を行う状態となる。これにより、 MN10は 、ハンドオーバ前に使用していた通信用喑復号鍵を用いて、迅速に、かつ一時的に ハンドオーバ前に行っていた通信を継続して再開することが可能となる。
[0083] 一方、図 9Aに示す一時的な状態で、 AP31は、ステップ S116における MN10の 従来の認証処理を行う。認証処理の結果、 MN10が認証された場合には、 AP31は 、 MN10との間で使用される新たな通信用喑復号鍵を MN10に配布する。そして、 AP31は、図 9Bに示すように、新たな通信用喑復号鍵による暗号ィ匕通信を可能とす るとともに、ポート制御部 3110によって、 MN10に対して所定のサービスを提供する ための制御ポートの管理を引き続き行う状態となる。
[0084] また、認証処理の結果、 MN10が認証されなかった場合には、図 9Cに示すように 、 MN10への新たな通信用喑復号鍵の配布は行われず、 AP31のポート制御部 31 10は、 MN10に対して所定のサービスを提供しないように（MN10が所定のサービ スを利用できないように）、制御ポートの管理を行う状態となる。
[0085] また、上記の実施の形態では、 MN10が MACアドレス及び通信用喑復号鍵を FB Uメッセージに埋め込む場合について説明した力 RtSolPrメッセージに埋め込んだ り、 FMIPに係るメッセージとは関係のない、独立した MACアドレス Z鍵通知メッセ ージに埋め込んだりすることも可能である。特に、 MN10のハンドオーバのタイミング が早ぐハンドオーバ前に FBUメッセージを送信しない場合も想定されるので、この 場合には、 RtSolPrメッセージに MACアドレス及び通信用喑復号鍵を埋め込むこと が有効となる。図 7A〜Cには、 MN10から pAR20への MACアドレス及び通信用喑 復号鍵の通知に係るメッセージに関する上記の 3つの例が図示されている。また、同 様に、 pAR20が MN10の MACアドレス及び通信用喑復号鍵を HIメッセージに埋 め込む場合について説明した力 FMIPに係るメッセージとは関係のない、独立した MACアドレス Z鍵通知メッセージに埋め込むことも可能である。図 8A、 Bには、 pAR 20から nAR30への MACアドレス及び通信用喑復号鍵に係るメッセージに関する上 記の 2つの例が図示されている。
[0086] 以上、説明したように、本発明の実施の形態によれば、 IPネットワーク 50に接続さ れた異なるアクセスルータ（pAR20、 nAR30)の配下に存在する AP21、 31間のハ ンドオーバを行う MN10が、そのハンドオーバ前に、 MN10の MACアドレス、及び ハンドオーバ前に AP21との通信で使用している通信用喑復号鍵を送信し、ハンドォ ーバ後に新たに接続する AP31の上位の nAR30に、 MN10の MACアドレス及び 通信用喑復号鍵が供給され、さらに、 nAR30から AP31に対して、 MN10の MAC アドレス及び通信用喑復号鍵が供給されるように構成されており、 MN 10と AP31と の間、及び AP31と認証サーバ 32との間において、セキュリティ確保に係る一連の動 作 (例えば、図 11のシーケンスチャートにおける動作)を行うことなぐハンドオーバ前 の通信用喑復号鍵を使用して、ハンドオーバ前の通信状態を迅速に回復することが 可能となる。
[0087] なお、上記の本発明の実施の形態の説明で用いた各機能ブロックは、典型的には 集積回路である LSI (Large Scale Integration)として実現される。これらは個別に 1チ ップィ匕されてもよいし、一部又はすベてを含むように 1チップ化されてもよい。なお、こ こでは、 LSIとしたが、集積度の違いにより、 IC (Integrated Circuit)、システム LSI、ス 一パー LSI、ウノレ卜ラ LSIと呼称されることもある。
[0088] また、集積回路化の手法は LSIに限るものではなぐ専用回路又は汎用プロセッサ で実現してもよい。 LSI製造後に、プログラムすることが可能な FPGA (Field Program mable Gate Array)や、 LSI内部の回路セルの接続や設定を再構成可能なリコンフィ ギュラブノレ ·プロセッサを利用してもよ 、。
[0089] さらには、半導体技術の進歩又は派生する別技術により LSIに置き換わる集積回 路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積ィ匕を行って もよい。例えば、バイオ技術の適応などが可能性としてあり得る。
産業上の利用可能性
[0090] 本発明の通信ハンドオーバ方法及び通信メッセージ処理方法並びに通信制御方 法は、モパイルノード力 異なるアクセスルータのリンク上に存在するアクセスポイント 間のハンドオーバを行う場合でも、モパイルノードとアクセスポイントとの間のセキユリ ティを迅速に確立して、ハンドオーバによる通信の遅延や断絶を低減させることが可 能となるという効果を有しており、無線通信を行うモパイルノードのハンドオーバに関 連した技術に適用され、特に、モパイル IPv6を利用した無線通信を行うモバイルノー ドに関連した技術に適用可能である。

Claims

請求の範囲
第 1アクセスポイントを配下に有する第 1アクセスルータと、第 2アクセスポイントを配 下に有する第 2アクセスルータとが、通信ネットワークを介して接続されている通信シ ステムにおいて、移動端末が、前記第 1アクセスポイントから前記第 2アクセスポイント へのハンドオーバを行う際の通信ハンドオーバ方法であって、
前記第 1アクセスポイントに接続しており、前記第 1アクセスポイントとの間で通信用 喑復号鍵を共有し、前記通信用喑復号鍵を使用して前記第 1アクセスポイントとの間 の暗号化通信を行っている前記移動端末が、前記第 1アクセスポイントから前記第 2 アクセスポイントへの前記ハンドオーバを行う旨を決定するとともに、前記第 2アクセス ポイントから前記第 2アクセスポイントの識別情報を取得するハンドオーバ決定ステツ プと、
前記移動端末が、前記第 1アクセスポイントを介して前記第 1アクセスルータに対し て、前記第 2アクセスポイントの識別情報と、前記移動端末の識別情報と、前記第 1ァ クセスポイントとの暗号ィ匕通信に係る前記通信用喑復号鍵とを通知する第 1通知ステ ップと、
前記第 1アクセスルータ力 前記移動端末力 通知された前記第 2アクセスポイント の識別情報に基づいて、前記第 2アクセスルータを特定し、前記第 2アクセスルータ に対して、前記移動端末の識別情報と、前記第 1アクセスポイントとの暗号化通信に 係る前記通信用喑復号鍵とを通知する第 2通知ステップと、
前記第 2アクセスルータが、前記第 2アクセスポイントに対して、前記第 1アクセスル ータから通知された前記移動端末の識別情報と、前記第 1アクセスポイントとの暗号 化通信に係る前記通信用喑復号鍵とを通知する第 3通知ステップと、
前記第 2アクセスポイントが、前記ハンドオーバによって前記第 2アクセスポイントに 接続する前記移動端末を前記移動端末の識別情報によって識別し、前記第 2ァクセ スポイントに接続する前記移動端末の識別情報と、前記第 3通知ステップで前記第 2 アクセスルータ力 通知された前記移動端末の識別情報とを比較する比較ステップと 前記第 2アクセスポイントが、前記比較ステップの比較結果に基づき、前記第 2ァク セスルータカ 通知された前記移動端末の識別情報と一致する前記識別情報を持 つた前記移動端末との間で、前記移動端末と前記第 1アクセスポイントとの間の暗号 化通信に使用されて ヽた前記通信用喑復号鍵を使用して暗号ィ匕通信を行うとともに
、前記移動端末に対して、前記第 2アクセスルータへのアクセスを許可するための制 御を行う通信制御ステップとを、
有する通信ハンドオーバ方法。
[2] 前記通信制御ステップにおける前記移動端末との間の暗号ィ匕通信と並行して、前 記移動端末の認証処理が行われ、前記移動端末が認証されて、前記移動端末と前 記第 2アクセスポイントとの間の暗号ィ匕通信に係る新たな通信用喑復号鍵が生成さ れた場合には、前記第 2アクセスポイントが、前記移動端末との間で、前記新たな通 信用喑復号鍵を使用して暗号ィ匕通信を行うとともに、前記移動端末に対して、前記 第 2アクセスルータへのアクセスを許可するための制御を継続して行う認証成功通信 ステップと、
前記通信制御ステップにおける前記移動端末との間の暗号ィ匕通信と並行して、前 記移動端末の認証処理が行われ、前記移動端末が認証されな力つた場合には、前 記第 2アクセスポイントが、前記移動端末に対して、前記第 2アクセスルータへのァク セスを不許可とするための制御を行う認証失敗通信ステップとを、
有する請求項 1に記載の通信ハンドオーバ方法。
[3] 前記第 1通知ステップにおいて、前記移動端末力 前記第 1アクセスルータに対し て、 FMIPの RtSolPrメッセージ又は FBUメッセージに、前記移動端末の識別情報 と、前記第 1アクセスポイントとの暗号ィ匕通信に係る前記通信用喑復号鍵とを埋め込 んで送信する請求項 1に記載の通信ハンドオーバ方法。
[4] 前記第 2通知ステップにおいて、前記第 1アクセスルータ力も前記第 2アクセスルー タに対して、 FMIPの HIメッセージに前記移動端末の識別情報と、前記第 1アクセス ポイントとの暗号ィ匕通信に係る前記通信用喑復号鍵とを送信する請求項 1に記載の 通信ハンドオーバ方法。
[5] 第 1アクセスポイントを配下に有する第 1アクセスルータと、第 2アクセスポイントを配 下に有する第 2アクセスルータとが、通信ネットワークを介して接続されている通信シ ステムにお 、て、前記第 1アクセスポイントから前記第 2アクセスポイントへのハンドォ ーバを行う移動端末における通信ハンドオーバ方法であって、
前記第 1アクセスポイントに接続しており、前記第 1アクセスポイントとの間で通信用 喑復号鍵を共有し、前記通信用喑復号鍵を使用して前記第 1アクセスポイントとの間 の暗号ィ匕通信を行って 、る状態で、前記第 1アクセスポイントから前記第 2アクセスポ イントへの前記ハンドオーバを行う旨を決定するとともに、前記第 2アクセスポイントか ら前記第 2アクセスポイントの識別情報を取得するハンドオーバ決定ステップと、 前記第 1アクセスポイントを介して前記第 1アクセスルータに対して、前記第 2ァクセ スポイントの識別情報と、前記移動端末の識別情報と、前記第 1アクセスポイントとの 暗号化通信に係る前記通信用喑復号鍵とを通知する通知ステップと、
前記ハンドオーバによって前記第 2アクセスポイントに接続した場合、前記第 1ァク セスルータカ 前記第 2アクセスルータを経由して前記移動端末の識別情報と前記 第 1アクセスポイントとの暗号ィ匕通信に係る前記通信用喑復号鍵とを受信した前記第 2アクセスポイントとの間で、前記第 1アクセスポイントとの暗号ィ匕通信に係る前記通 信用喑復号鍵を使用して暗号ィ匕通信を行う通信ステップとを、
有する通信ハンドオーバ方法。
[6] 前記通信ステップにおける前記移動端末との間の暗号ィ匕通信と並行して、前記移 動端末の認証処理が行われ、前記移動端末が認証されて、前記第 2アクセスポイント との間の暗号ィ匕通信に係る新たな通信用喑復号鍵が生成された場合には、前記移 動端末は、前記第 2アクセスポイントとの間で、前記新たな通信用喑復号鍵を使用し て暗号化通信を行う認証成功通信ステップと共に、前記移動端末に対して、前記第 2アクセスルータへのアクセスを許可するための制御を継続して行う認証成功通信ス テツプを、
有する請求項 5に記載の通信ハンドオーバ方法。
[7] 前記移動端末の識別情報と、前記第 1アクセスポイントとの暗号ィ匕通信に係る前記 通信用喑復号鍵とが埋め込まれた FMIPの RtSolPrメッセージ又は FBUメッセージ を生成するステップを有し、
前記通知ステップにおいて、前記第 1アクセスルータに対して、前記 RtSolPrメッセ ージ又は FBUメッセージを送信する請求項 5に記載の通信ハンドオーバ方法。
[8] 第 1アクセスポイントを配下に有する第 1アクセスルータと、第 2アクセスポイントを配 下に有する第 2アクセスルータとが、通信ネットワークを介して接続されている通信シ ステムにおいて、移動端末が、前記第 1アクセスポイントから前記第 2アクセスポイント へのハンドオーバを行う際の前記第 1アクセスルータにおける通信メッセージ処理方 法であって、
前記移動端末から、前記第 2アクセスポイントの識別情報と、前記移動端末の識別 情報と、前記第 1アクセスポイントとの暗号化通信に係る前記通信用喑復号鍵とを受 信する受信ステップと、
前記第 2アクセスポイントの識別情報に基づ 、て、前記第 2アクセスルータを特定す る接続先特定ステップと、
前記接続先特定ステップで特定された前記第 2アクセスルータに対して、前記移動 端末の識別情報と、前記第 1アクセスポイントとの暗号化通信に係る前記通信用喑復 号鍵とを通知する通知ステップとを、
有する通信メッセージ処理方法。
[9] 前記受信ステップにお!、て、前記移動端末から、前記移動端末の識別情報と、前 記第 1アクセスポイントとの暗号ィ匕通信に係る前記通信用喑復号鍵とが埋め込まれた FMIPの RtSolPrメッセージ又は FBUメッセージを受信する請求項 8に記載の通信 メッセージ処理方法。
[10] 前記移動端末の識別情報と、前記第 1アクセスポイントとの暗号ィ匕通信に係る前記 通信用喑復号鍵とが埋め込まれた FMIPの HIメッセージを生成するステップを有し、 前記通知ステップにおいて、前記第 2アクセスルータに対して、前記 HIメッセージを 送信する請求項 8に記載の通信メッセージ処理方法。
[11] 第 1アクセスポイントを配下に有する第 1アクセスルータと、第 2アクセスポイントを配 下に有する第 2アクセスルータとが、通信ネットワークを介して接続されている通信シ ステムにおいて、移動端末が、前記第 1アクセスポイントから前記第 2アクセスポイント へのハンドオーバを行う際の前記第 2アクセスルータにおける通信メッセージ処理方 法であって、 前記第 1アクセスルータから、前記移動端末の識別情報と、前記第 1アクセスポイン トとの暗号ィ匕通信に係る前記通信用喑復号鍵とを受信する受信ステップと、
前記第 2アクセスポイントに対して、前記第 1アクセスルータから通知された前記移 動端末の識別情報と、前記第 1アクセスポイントとの暗号化通信に係る前記通信用暗 復号鍵とを通知する通知ステップとを、
有する通信メッセージ処理方法。
[12] 前記受信ステップにお！、て、前記第 1アクセスルータから、前記移動端末の識別情 報と、前記第 1アクセスポイントとの暗号ィ匕通信に係る前記通信用喑復号鍵とが埋め 込まれた FMIPの HIメッセージを受信する請求項 11に記載の通信メッセージ処理方 法。
[13] 前記移動端末の識別情報と、前記第 1アクセスポイントとの暗号ィ匕通信に係る前記 通信用喑復号鍵とが埋め込まれた通知メッセージを生成するメッセージ生成ステップ を有し、
前記通知ステップにおいて、前記第 2アクセスポイントに対して、前記通知メッセ一 ジを送信する請求項 11に記載の通信メッセージ処理方法。
[14] 第 1アクセスポイントを配下に有する第 1アクセスルータと、第 2アクセスポイントを配 下に有する第 2アクセスルータとが、通信ネットワークを介して接続されている通信シ ステムにおいて、移動端末が、前記第 1アクセスポイントから前記第 2アクセスポイント へのハンドオーバを行う際の前記第 2アクセスポイントにおける通信制御方法であつ て、
前記第 2アクセスルータが前記第 1アクセスルータ力 通知された前記移動端末の 識別情報と、前記第 1アクセスポイントとの暗号化通信に係る前記通信用喑復号鍵と を、前記第 2アクセスルータ力も受信する受信ステップと、
前記ハンドオーバによって前記第 2アクセスポイントに接続する前記移動端末を前 記移動端末の識別情報によって識別し、前記第 2アクセスポイントに接続する前記移 動端末の識別情報と、前記受信ステップで前記第 2アクセスルータから通知された前 記移動端末の識別情報とを比較する比較ステップと、
前記比較ステップの比較結果に基づき、前記第 2アクセスルータから通知された前 記移動端末の識別情報と一致する前記識別情報を持った前記移動端末との間で、 前記移動端末と前記第 1アクセスポイントとの間の暗号化通信に使用されて！ヽた前記 通信用喑復号鍵を使用して暗号ィ匕通信を行うとともに、前記移動端末に対して、前 記第 2アクセスルータへのアクセスを許可するための制御を行う通信制御ステップと を、
有する通信制御方法。
前記通信制御ステップにおける前記移動端末との間の暗号ィ匕通信と並行して、前 記移動端末の認証処理が行われ、前記移動端末が認証されて、前記移動端末と前 記第 2アクセスポイントとの間の暗号ィ匕通信に係る新たな通信用喑復号鍵が生成さ れた場合には、前記移動端末との間で、前記新たな通信用喑復号鍵を使用して暗 号ィ匕通信を行うとともに、前記移動端末に対して、前記第 2アクセスルータへのァクセ スを許可するための制御を継続して行う認証成功通信ステップと、
前記通信制御ステップにおける前記移動端末との間の暗号ィ匕通信と並行して、前 記移動端末の認証処理が行われ、前記移動端末が認証されな力つた場合には、前 記移動端末に対して、前記第 2アクセスルータへのアクセスを不許可とするための制 御を行う認証失敗通信ステップとを、
有する請求項 14に記載の通信制御方法。
PCT/JP2005/011722 2004-06-30 2005-06-27 通信ハンドオーバ方法及び通信メッセージ処理方法並びに通信制御方法 WO2006003859A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
EP05765143A EP1775972A1 (en) 2004-06-30 2005-06-27 Communication handover method, communication message processing method, and communication control method
BRPI0512734-3A BRPI0512734A (pt) 2004-06-30 2005-06-27 métodos de transferência de passagem de comunicação, de processamento de mensagem de comunicação para um roteador de acesso, de processamento de mensagem de comunicação para um segundo roteador de acesso, e de controle de comunicação para um segundo ponto de acesso
US11/571,278 US20090172391A1 (en) 2004-06-30 2005-06-27 Communication handover method, communication message processing method, and communication control method
KR1020077001073A KR20070034060A (ko) 2004-06-30 2005-06-27 통신 핸드오버 방법과 통신 메시지 처리 방법, 및 통신제어 방법
JP2006528660A JPWO2006003859A1 (ja) 2004-06-30 2005-06-27 通信ハンドオーバ方法及び通信メッセージ処理方法並びに通信制御方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004-194374 2004-06-30
JP2004194374 2004-06-30

Publications (1)

Publication Number Publication Date
WO2006003859A1 true WO2006003859A1 (ja) 2006-01-12

Family

ID=35782668

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/011722 WO2006003859A1 (ja) 2004-06-30 2005-06-27 通信ハンドオーバ方法及び通信メッセージ処理方法並びに通信制御方法

Country Status (8)

Country Link
US (1) US20090172391A1 (ja)
EP (1) EP1775972A1 (ja)
JP (1) JPWO2006003859A1 (ja)
KR (1) KR20070034060A (ja)
CN (1) CN101015225A (ja)
BR (1) BRPI0512734A (ja)
RU (1) RU2007103334A (ja)
WO (1) WO2006003859A1 (ja)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006024982A (ja) * 2004-07-06 2006-01-26 Keio Gijuku セキュリティ・アソシエーションの確立方法
JP2008136170A (ja) * 2006-10-30 2008-06-12 Fujitsu Ltd 通信方法、通信システム、鍵管理装置、中継装置及びコンピュータプログラム
JP2009130603A (ja) * 2007-11-22 2009-06-11 Sanyo Electric Co Ltd 通信方法およびそれを利用した基地局装置、端末装置、制御装置
JP2011512052A (ja) * 2007-12-18 2011-04-14 エレクトロニクス アンド テレコミュニケーションズ リサーチ インスチチュート 無線アクセス技術及び移動ｉｐ基盤の移動性制御技術が適用された次世代のネットワーク環境のための統合ハンドオーバー認証方法
JP2014531784A (ja) * 2011-08-04 2014-11-27 エンパイア テクノロジー ディベロップメント エルエルシー プロキシによるＷｉ−Ｆｉ認証
JP2017046351A (ja) * 2015-08-27 2017-03-02 華為技術有限公司Ｈｕａｗｅｉ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｃｏ．，Ｌｔｄ． Ｓｔａの認証データを管理する方法、装置及びデバイス

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101233723A (zh) * 2005-08-05 2008-07-30 三星电子株式会社 移动网络中将快速移动IPv6应用于移动节点的方法及其移动路由器和移动网络
EP2005780A2 (en) * 2006-03-27 2008-12-24 Nokia Corporation Apparatus, method and computer program product providing unified reactive and proactive handovers
KR20080013581A (ko) * 2006-08-09 2008-02-13 삼성전자주식회사 보안을 위한 정보 수집이 가능한 스테이션 및 그의 보안을위한 정보 수집 방법
KR100879986B1 (ko) * 2007-02-21 2009-01-23 삼성전자주식회사 모바일 네트워크 시스템 및 그 시스템의 핸드오버 방법
CN101335985B (zh) * 2007-06-29 2011-05-11 华为技术有限公司 安全快速切换的方法及***
US9398453B2 (en) 2007-08-17 2016-07-19 Qualcomm Incorporated Ad hoc service provider's ability to provide service for a wireless network
US20090046598A1 (en) * 2007-08-17 2009-02-19 Qualcomm Incorporated System and method for acquiring or distributing information related to one or more alternate ad hoc service providers
US20090047966A1 (en) * 2007-08-17 2009-02-19 Qualcomm Incorporated Method for a heterogeneous wireless ad hoc mobile internet access service
US20090073943A1 (en) * 2007-08-17 2009-03-19 Qualcomm Incorporated Heterogeneous wireless ad hoc network
US20090049158A1 (en) * 2007-08-17 2009-02-19 Qualcomm Incorporated Ad hoc service provider topology
US20090047964A1 (en) * 2007-08-17 2009-02-19 Qualcomm Incorporated Handoff in ad-hoc mobile broadband networks
US20090047930A1 (en) * 2007-08-17 2009-02-19 Qualcomm Incorporated Method for a heterogeneous wireless ad hoc mobile service provider
CN101394275B (zh) * 2007-09-19 2011-08-03 华为技术有限公司 一种实现路由安全的方法、***及设备
US8218459B1 (en) * 2007-12-20 2012-07-10 Genbrand US LLC Topology hiding of a network for an administrative interface between networks
US9179367B2 (en) 2009-05-26 2015-11-03 Qualcomm Incorporated Maximizing service provider utility in a heterogeneous wireless ad-hoc network
US8051141B2 (en) * 2009-10-09 2011-11-01 Novell, Inc. Controlled storage utilization
CN102056184B (zh) * 2009-10-30 2014-04-23 中兴通讯股份有限公司 射频拉远单元链路自适应方法及装置
JP5625703B2 (ja) * 2010-10-01 2014-11-19 富士通株式会社 移動通信システム、通信制御方法及び無線基地局
US8655322B2 (en) * 2011-05-19 2014-02-18 Apple Inc. Disabling access point notifications
US9237448B2 (en) 2012-08-15 2016-01-12 Interdigital Patent Holdings, Inc. Enhancements to enable fast security setup
CN105959950A (zh) * 2015-12-02 2016-09-21 珠海网博信息科技股份有限公司 一种无线接入***及其连接方法
US10341908B1 (en) * 2018-03-01 2019-07-02 Cisco Technology, Inc. Seamless roaming for clients between access points with WPA-2 encryption
US10412587B1 (en) * 2018-06-07 2019-09-10 Motorola Solutions, Inc. Device, system and method to secure deployable access points in a side-haul communication network from a compromised deployable access point
KR102347100B1 (ko) * 2018-07-18 2022-01-05 주식회사 빅솔론 서비스제공장치 및 보안 핸드오버 방법
US11283644B2 (en) * 2020-03-04 2022-03-22 At&T Intellectual Property I, L.P. Facilitation of access point authenticated tunneling for 5G or other next generation network

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003259417A (ja) * 2002-03-06 2003-09-12 Nec Corp 無線ｌａｎシステム及びそれに用いるアクセス制御方法
JP2004140545A (ja) * 2002-10-17 2004-05-13 Sony Corp 通信端末装置、通信基地局装置、通信中継装置、および方法、並びにコンピュータ・プログラム

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7454527B2 (en) * 2001-05-02 2008-11-18 Microsoft Corporation Architecture and related methods for streaming media content through heterogeneous networks

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003259417A (ja) * 2002-03-06 2003-09-12 Nec Corp 無線ｌａｎシステム及びそれに用いるアクセス制御方法
JP2004140545A (ja) * 2002-10-17 2004-05-13 Sony Corp 通信端末装置、通信基地局装置、通信中継装置、および方法、並びにコンピュータ・プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
KOODLI R.: "Fast Handovers for Mobile IPv6", October 2003 (2003-10-01), XP002987703, Retrieved from the Internet <URL:http://www.watersprings.org/pub/id/draft-ietf-mobileip-fast-mipv6-08.txt> *

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006024982A (ja) * 2004-07-06 2006-01-26 Keio Gijuku セキュリティ・アソシエーションの確立方法
JP2008136170A (ja) * 2006-10-30 2008-06-12 Fujitsu Ltd 通信方法、通信システム、鍵管理装置、中継装置及びコンピュータプログラム
JP2009130603A (ja) * 2007-11-22 2009-06-11 Sanyo Electric Co Ltd 通信方法およびそれを利用した基地局装置、端末装置、制御装置
JP2011512052A (ja) * 2007-12-18 2011-04-14 エレクトロニクス アンド テレコミュニケーションズ リサーチ インスチチュート 無線アクセス技術及び移動ｉｐ基盤の移動性制御技術が適用された次世代のネットワーク環境のための統合ハンドオーバー認証方法
JP2014531784A (ja) * 2011-08-04 2014-11-27 エンパイア テクノロジー ディベロップメント エルエルシー プロキシによるＷｉ−Ｆｉ認証
JP2017046351A (ja) * 2015-08-27 2017-03-02 華為技術有限公司Ｈｕａｗｅｉ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｃｏ．，Ｌｔｄ． Ｓｔａの認証データを管理する方法、装置及びデバイス
US10536442B2 (en) 2015-08-27 2020-01-14 Huawei Technologies Co., Ltd. Method, apparatus, and device for managing authentication data of STA
US10848472B2 (en) 2015-08-27 2020-11-24 Huawei Technologies Co., Ltd. Method and WLAN controller for managing authentication data of STA

Also Published As

Publication number Publication date
RU2007103334A (ru) 2008-08-10
JPWO2006003859A1 (ja) 2008-04-17
EP1775972A1 (en) 2007-04-18
KR20070034060A (ko) 2007-03-27
US20090172391A1 (en) 2009-07-02
BRPI0512734A (pt) 2008-04-08
CN101015225A (zh) 2007-08-08

Similar Documents

Publication Publication Date Title
WO2006003859A1 (ja) 通信ハンドオーバ方法及び通信メッセージ処理方法並びに通信制御方法
JP6592578B2 (ja) 基地局を自己構成する方法および装置
JP6293800B2 (ja) リンク設定および認証を実行するシステムおよび方法
CN101379801B (zh) 用于eap扩展（eap-ext）的eap方法
JP4575679B2 (ja) 無線ネットワークハンドオフ暗号鍵
JP4712094B2 (ja) リレーステーションの保安提供方法
JP5225459B2 (ja) トラフィック暗号化キーの派生方法
US9392453B2 (en) Authentication
US20060274695A1 (en) System and method for effectuating a connection to a network
JP5422037B2 (ja) セルラー無線システムにおける無線基地局鍵を生成する方法と装置
WO2010065008A1 (en) Method and system for pre-authentication
CA2675961A1 (en) Kerberized handover keying
EP1878202A2 (en) Exchange of key material
WO2008040178A1 (fr) Procédé et dispositif de mise à jour d&#39;association entre un noeud mobile et un noeud correspondant
WO2012151905A1 (zh) 网络切换方法及装置
JP5043928B2 (ja) 暗号化および整合性のために使用されるキーを処理する方法および装置
WO2016184351A1 (zh) 无线网络的ip地址分配方法和***
Martinovic et al. Measurement and analysis of handover latencies in IEEE 802.11 i secured networks
Zmezm et al. Pre-authentication design for seamless and secure handover in mobile WiMAX
Wienzek et al. Fast re-authentication for handovers in wireless communication networks
Krishnamurthi et al. Using the liberty alliance architecture to secure IP-level handovers
Morioka et al. MIS protocol for secure connection and fast handover on wireless LAN
Gu et al. Secure and efficient handover schemes for WiMAX over EPON networks
WO2006080079A1 (ja) 無線ネットワークシステムおよびそのユーザ認証方法

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KM KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NG NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2006528660

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

WWW Wipo information: withdrawn in national office

Country of ref document: DE

WWE Wipo information: entry into national phase

Ref document number: 2005765143

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 1020077001073

Country of ref document: KR

WWE Wipo information: entry into national phase

Ref document number: 2007103334

Country of ref document: RU

WWE Wipo information: entry into national phase

Ref document number: 200580029318.1

Country of ref document: CN

WWP Wipo information: published in national office

Ref document number: 1020077001073

Country of ref document: KR

WWP Wipo information: published in national office

Ref document number: 2005765143

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 11571278

Country of ref document: US

ENP Entry into the national phase

Ref document number: PI0512734

Country of ref document: BR