接続制御装置、接続制御方法及び接続制御プログラム
【課題】ネットワーク接続のセキュリティを向上させることができる接続制御装置、接続制御方法及び接続制御プログラムを提供する。
【解決手段】ユーザ端末１０の制御部は、接続指示を受け入れると、ユーザ識別子及びパスワードを取得して、ユーザ認証要求を行なう。ユーザ識別子及びパスワードを用いて認証情報管理サーバ５０が認証処理を実行すると、ユーザ認証サーバ４０は、この認証結果を、ユーザ端末１０に送信する。ユーザ端末１０の制御部は、認証に成功した認証結果を取得した場合には、ＤＨＣＰサーバ３０にＩＰアドレスの要求処理を行なう。ＤＨＣＰサーバ３０は、ＭＡＣアドレスの照合処理を行なって、照合が完了した場合には、ＩＰアドレスを配布する。ユーザ端末１０は、配布されたＩＰアドレスを用いて、社内ネットワークＮ１に接続されているコンピュータからデータを取得する。
【解決手段】ユーザ端末１０の制御部は、接続指示を受け入れると、ユーザ識別子及びパスワードを取得して、ユーザ認証要求を行なう。ユーザ識別子及びパスワードを用いて認証情報管理サーバ５０が認証処理を実行すると、ユーザ認証サーバ４０は、この認証結果を、ユーザ端末１０に送信する。ユーザ端末１０の制御部は、認証に成功した認証結果を取得した場合には、ＤＨＣＰサーバ３０にＩＰアドレスの要求処理を行なう。ＤＨＣＰサーバ３０は、ＭＡＣアドレスの照合処理を行なって、照合が完了した場合には、ＩＰアドレスを配布する。ユーザ端末１０は、配布されたＩＰアドレスを用いて、社内ネットワークＮ１に接続されているコンピュータからデータを取得する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続するときの接続制御装置、接続制御方法及び接続制御プログラムに関する。
【背景技術】
【０００２】
近年、ネットワークに接続するための技術として無線ＬＡＮ技術が利用されている。無線ＬＡＮ技術においては、ユーザ端末は、アクセスポイントと無線によりデータ通信を行なう。ユーザ端末からアクセスポイントに接続する場合には、接続先のネットワークを識別するための識別子であるＳＳＩＤ（Service Set Identifier）を用いる。通常、このＳＳＩＤコードは、アクセスポイントが定期的に送出するビーコン信号に含められており、このビーコン信号をユーザ端末で検出することによりＳＳＩＤコードを把握することができる。
【０００３】
ところで、無線によりデータ通信を行なう無線ＬＡＮ技術においては、不正アクセスや盗聴等が容易に行なわれやすいため、セキュリティ対策が必要である。無線ＬＡＮのセキュリティ技術としては、ＷＰＡ認証（例えば、特許文献１参照。）やＩＥＥＥ８０２．１Ｘ等の認証技術が知られている。
【０００４】
この文献に記載の発明においては、情報処理端末装置とアクセスポイントとは、ＷＰＡ認証を用いて無線ＬＡＮ通信を行なう。この場合、ユーザ端末において高速の応答が要求される４ウェイハンドシェークを失敗した場合、デバイス側にて４ウェイハンドシェークを実施する。これにより、認証中の所定のメッセージを受け取るまでに待機制限時間を超えた場合には、高速にＷＰＡ認証を成功させることが可能になる。
【特許文献１】特開２００７−２０８８１６号公報（図１、図２及び図５）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
また、ＩＥＥＥ８０２．１Ｘは、認証サーバを用いた認証技術である。この技術では、ユーザ端末からの認証プロトコルをアクセスポイントで終端し、アクセスポイントから認証サーバまでは異なるプロトコルで認証に必要な情報を送受信する。これにより、未認証のユーザが送信したパケットをネットワークに流出させない。
【０００６】
しかしながら、無線ＬＡＮ技術においては、不正アクセスや盗聴等が容易であるため、接続するときの認証において、有線を用いた接続の場合よりもセキュリティを向上させたいというニーズがある。
【０００７】
本発明は、上述の課題に鑑みてなされ、その目的は、ネットワーク接続のセキュリティを向上させることができる接続制御装置、接続制御方法及び接続制御プログラムを提供することにある。
【課題を解決するための手段】
【０００８】
上記問題点を解決するために、請求項１に記載の発明は、ユーザのユーザ識別子及びパスワードを関連付けて記憶したユーザ認証サーバと、接続可能なユーザ端末のネットワーク通信手段を特定するＭＡＣアドレスが登録された端末認証サーバとが接続されているネットワークにアクセスするネットワーク通信手段の通信を制御する通信制御手段を備えた接続制御装置であって、前記通信制御手段が、前記ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユー
ザ識別子及びパスワードを含むユーザ認証要求を前記ユーザ認証サーバに送信して、このユーザ認証サーバにおけるユーザ認証結果を取得するユーザ認証手段と、認証成功したことを示すユーザ認証結果を取得した場合には、前記ネットワーク通信手段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する端末認証手段と、認証成功したことを示す端末認証結果を取得した場合には、前記ネットワーク通信手段に対して前記ネットワークへのアクセスを許可する許可手段とを備えたことを要旨とする。
【０００９】
請求項２に記載の発明は、請求項１に記載の接続制御装置において、前記端末認証サーバは、配布可能なＩＰアドレスを記憶しており、前記端末認証手段は、前記端末認証サーバにおいて、前記ＭＡＣアドレスを用いた端末認証が成功した場合には、前記端末認証結果としてＩＰアドレスを受信し、前記通信制御手段は、受信したＩＰアドレスを用いてネットワーク通信手段が前記ネットワークへのアクセスを行なうように設定する設定手段を更に備えたことを要旨とする。
【００１０】
請求項３に記載の発明は、請求項１又は２に記載の接続制御装置において、前記ユーザ端末は、前記ネットワークに接続するアクセスポイントに、無線ＬＡＮ接続により接続されており、前記通信制御手段は、前記ユーザ端末に搭載されており、前記ネットワーク通信手段は、前記ユーザ認証サーバとのデータ送受信において前記ユーザ認証手段が取得した鍵の基データに基づく暗号鍵を用いて、前記アクセスポイントと暗号化通信を行なう暗号通信手段を更に備えたことを要旨とする。
【００１１】
請求項４に記載の発明は、請求項１又は２に記載の接続制御装置において、前記ユーザ端末は、前記ネットワークに接続するアクセスポイントに、無線ＬＡＮ接続により接続されており、前記通信制御手段は、前記アクセスポイントに搭載されており、前記通信制御手段は、前記ユーザ認証手段とのデータ送受信において前記ユーザ認証手段が取得した鍵の基データに基づく暗号鍵を用いて、前記ユーザ端末と暗号化通信を行なう暗号通信手段を更に備えたことを要旨とする。
【００１２】
請求項５に記載の発明は、ユーザのユーザ識別子及びパスワードを関連付けて記憶したユーザ認証サーバと、接続可能なユーザ端末のネットワーク通信手段を特定するＭＡＣアドレスが登録された端末認証サーバとが接続されているネットワークにアクセスするネットワーク通信手段の通信を制御する通信制御手段を備えた接続制御装置を用いた接続制御方法であって、前記通信制御手段が、前記ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユーザ識別子及びパスワードを含むユーザ認証要求を前記ユーザ認証サーバに送信して、このユーザ認証サーバにおけるユーザ認証結果を取得するユーザ認証段階、認証成功したことを示すユーザ認証結果を取得した場合には、前記ネットワーク通信手段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する端末認証段階、及び認証成功したことを示す端末認証結果を取得した場合には、前記ネットワーク通信手段に対して前記ネットワークへのアクセスを許可する許可段階を実行することを要旨とする。
【００１３】
請求項６に記載の発明は、ユーザのユーザ識別子及びパスワードを関連付けて記憶したユーザ認証サーバと、接続可能なユーザ端末のネットワーク通信手段を特定するＭＡＣアドレスが登録された端末認証サーバとが接続されているネットワークにアクセスするネットワーク通信手段の通信を制御する通信制御手段を備えた接続制御装置を用いた接続制御プログラムであって、前記通信制御手段を、前記ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユーザ識別子及びパスワードを含むユーザ認証要求を前記ユーザ認証サーバに送信して、このユ
ーザ認証サーバにおけるユーザ認証結果を取得するユーザ認証手段、認証成功したことを示すユーザ認証結果を取得した場合には、前記ネットワーク通信手段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する端末認証手段、及び認証成功したことを示す端末認証結果を取得した場合には、前記ネットワーク通信手段に対して前記ネットワークへのアクセスを許可する許可手段として機能することを要旨とする。
【００１４】
（作用）
本発明によれば、通信制御手段は、ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユーザ識別子及びパスワードを含むユーザ認証要求をユーザ認証サーバに送信して、このユーザ認証サーバにおけるユーザ認証結果を取得する。通信制御手段は、認証成功したことを示すユーザ認証結果を取得した場合には、ネットワーク通信手段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する。通信制御手段は、認証成功したことを示す端末認証結果を取得した場合には、ネットワーク通信手段に対してネットワークへのアクセスを許可する。このため、ユーザ端末を用いるユーザの認証と、ユーザ端末自体の端末認証との両方が成功した場合にのみ、ネットワークに接続されるので、セキュリティを向上させることができる。
【００１５】
本発明によれば、端末認証サーバは、配布可能なＩＰアドレスデータを記憶している。端末認証手段は、端末認証サーバにおいてＭＡＣアドレスを用いた端末認証が成功した場合には、端末認証結果としてＩＰアドレスを受信する。通信制御手段は、受信したＩＰアドレスを用いてネットワーク通信手段がネットワークへのアクセスを行なうように設定する。このため、ＩＰアドレスを自動で割り当てることができるので、ユーザ端末の設定が容易である。従って、多数の端末が無線ＬＡＮでネットワークに接続する場合であっても、各ユーザ端末にＩＰアドレスを手動で設定する必要がないので、設定を容易に行なうことができる。
【００１６】
本発明によれば、ユーザ端末は、ネットワークに接続するアクセスポイントに、無線ＬＡＮ接続により接続されている。通信制御手段は、ユーザ端末に搭載されている。ネットワーク通信手段は、ユーザ認証サーバとのデータ送受信においてユーザ認証手段が取得した鍵の基データに基づく暗号鍵を用いて、アクセスポイントと暗号化通信を行なう。ここで、ユーザ認証手段がユーザ認証サーバとのデータ送受信において取得した鍵の基データは、認証を行なうたびに変更される。更に、認証において生成された鍵の基データを用いて暗号鍵が作成されるので、鍵自体をユーザ端末とアクセスポイントとの間で交換する必要がない。このため、ユーザ端末とアクセスポイントとの暗号化通信が解読され難く、より安全にデータの送受信を行なうことができる。
【００１７】
本発明によれば、ユーザ端末は、ネットワークに接続するアクセスポイントに、無線ＬＡＮ接続により接続されている。通信制御手段は、アクセスポイントに搭載されている。通信制御手段は、ユーザ認証手段とのデータ送受信においてユーザ認証手段が取得した鍵の基データに基づく暗号鍵を用いて、ユーザ端末と暗号化通信を行なう。ここで、ユーザ認証サーバがユーザ認証手段とのデータ送受信において取得した鍵の基データは、認証を行なうたびに変更される。更に、認証において生成された鍵の基データを用いて暗号鍵が作成されるので、鍵自体をユーザ端末とアクセスポイントとの間で交換する必要がない。このため、ユーザ端末とアクセスポイントとの暗号化通信が解読され難く、より安全にデータの送受信を行なうことができる。
【発明の効果】
【００１８】
本発明によれば、ネットワークのセキュリティを向上させることができる。
【発明を実施するための最良の形態】
【００１９】
以下、本発明を具体化した一実施形態を図１〜図４に基づいて説明する。本実施形態においては、図１に示すように、ユーザ端末１０が無線ＬＡＮにより社内ネットワークＮ１に接続する場合に用いられる接続制御装置について説明する。社内ネットワークＮ１は、各事業所内で構築されているサブネットが、ルータ（２２，４２）を介して接続されて形成される。
【００２０】
各事業所内において、利用者はユーザ端末１０を用いる。ユーザ端末１０は、本実施形態では、接続制御装置として機能する。このユーザ端末１０は、キーボードやポインティングデバイス等の入力手段及びディスプレイ等の表示手段を備えたコンピュータである。このユーザ端末１０は、本実施形態では、無線ＬＡＮによりアクセスポイント２０に接続される。
【００２１】
アクセスポイント２０は、所定の認証規格に対応した無線ＬＡＮアクセスポイントである。本実施形態では、認証規格としてＩＥＥＥ８０２．１Ｘを用いる。アクセスポイント２０は、Ｌ２スイッチ２１に接続されている。Ｌ２スイッチ２１は、公知の構成を有し、データの転送先を変更する。このＬ２スイッチ２１は、ユーザ端末１０からアクセスポイント２０を介して取得したデータをその宛先（後述するＤＨＣＰサーバ３０やユーザ認証サーバ４０等）に転送する。
【００２２】
事業所内で構築されているサブネットには、端末認証サーバとしてのＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ３０が接続されている。このＤＨＣＰサーバ３
０は、ユーザ端末１０が社内ネットワークＮ１を利用できる端末であるか否かの認証を行ない、利用可能端末の場合にはＩＰアドレスの配布を行なう。このため、ＤＨＣＰサーバ３０は、ＭＡＣアドレスデータ記憶部３１及びＩＰアドレス管理データ記憶部を備えている。
【００２３】
ＭＡＣアドレスデータ記憶部３１には、図２（ａ）に示すように、社内ネットワークＮ１への接続を許可するユーザ端末１０のＭＡＣアドレスデータ３１０が記憶されている。また、ＩＰアドレス管理データ記憶部は、ユーザ端末１０に割り当て可能なＩＰアドレスに関するデータを記憶している。このＩＰアドレス管理データ記憶部は、使用中のＩＰアドレスに対して、使用しているユーザ端末１０のＭＡＣアドレスが関連付けて記憶されている。従って、ＭＡＣアドレスに関連付けられていないＩＰアドレスは、新たに配布可能である。
【００２４】
ＤＨＣＰサーバ３０は、ＭＡＣアドレスを取得すると、ＭＡＣアドレスデータ記憶部３１に記録されているＭＡＣアドレスデータ３１０と比較する。そして、ＭＡＣアドレスが一致した場合には、ＩＰアドレス管理データ記憶部に記憶されているＩＰアドレスの中で使用中でないアドレスをユーザ端末１０に配布する。
【００２５】
一方、社内ネットワークＮ１には、ルータ４２を介してユーザ認証サーバ４０が接続されている。このユーザ認証サーバ４０は、本実施形態では、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバである。本実施形態のユーザ認証サーバ４０は、ＥＡＰ−ＴＴＬＳ（Extensible Authentication Protocol-Tunneled Transport Layer Security）認証方式を用いて、ユーザ端末１０から認証するためのデータ（ユーザ識別子及びパスワード）を取得する。ユーザ認証サーバ４０は、ユーザ端末１０から取得したユーザ識別子及びパスワードを、認証情報管理サーバ５０に転送する。ユーザ認証サーバ４０は、認証情報管理サーバ５０から認証結果を取得すると、認証要求を行なったユーザ端末１０に送信する。
【００２６】
認証情報管理サーバ５０は、社内ネットワークＮ１を利用できるユーザに関する情報を管理する。そして、本実施形態では、認証情報管理サーバ５０が、社内ネットワークＮ１を利用できるユーザであるか否かの認証を行なう。
【００２７】
この認証情報管理サーバ５０は、ユーザ管理データ記憶部５１を備えている。このユーザ管理データ記憶部５１には、図２（ｂ）に示すように、ユーザデータ５１０が記録されている。このユーザデータ５１０は、ユーザ識別子及びパスワードを含む。ユーザ識別子データ領域には、ユーザを特定するための識別子に関するデータが記録されている。パスワードデータ領域には、パスワードに関するデータが記録されている。本実施形態では、ユーザ識別子及びパスワードを用いて、ユーザ認証が行なわれる。
【００２８】
認証情報管理サーバ５０は、ユーザ端末１０から供給されたユーザ識別子及びパスワードを取得した場合、ユーザデータ５１０に記録されたユーザ識別子及びパスワードと比較する。認証情報管理サーバ５０は、ユーザ識別子及びパスワードが一致した場合には認証が成功したことを示す認証結果をユーザ認証サーバ４０に送信する。一方、認証情報管理サーバ５０は、一致しなかった場合には認証に失敗したことを示す認証結果を、ユーザ認証サーバ４０に送信する。
【００２９】
次に、ユーザ端末１０の内部構成について、図３を用いて説明する。
ユーザ端末１０は、制御部１００を備える。制御部１００は、図示しないＣＰＵ、ＲＡＭ及びＲＯＭ等を有し、後述する処理（ユーザ認証段階、端末認証段階、許可段階、設定段階及び暗号通信段階等を含む処理）を行なう。制御部１００は、ＯＳ（Operating System）、ウェブブラウザ、サプリカント及びＤＨＣＰ対応プログラム等のプログラムを記憶している。本実施形態では、ＤＨＣＰ対応プログラムの処理よりも、サプリカントによる処理が優先的に実行されるように設定されている。制御部１００は、これらプログラムを実行することにより、接続指示受入手段１１０、通信制御手段１２０、ユーザ認証要求手段１３１、ユーザ認証結果取得手段１３２、ＩＰアドレス要求手段１４１、ＩＰアドレス取得手段１４２及び通信手段１５０等として機能する。ここで、通信制御手段１２０は、許可手段及び設定手段として機能し、ユーザ認証要求手段１３１及びユーザ認証結果取得手段１３２は、ユーザ認証手段として機能する。更に、ＩＰアドレス要求手段１４１及びＩＰアドレス取得手段１４２は、端末認証手段として機能し、通信手段１５０は、暗号通信手段を含むネットワーク通信手段として機能する。
【００３０】
接続指示受入手段１１０は、認証画面データを記憶している。この接続指示受入手段１１０は、入力手段を介して社内ネットワークＮ１への接続指示を取得すると、認証画面データを表示手段に表示して、認証に必要なユーザ識別子及びパスワードを取得する。
【００３１】
通信制御手段１２０は、社内ネットワークＮ１への接続を制御する。通信制御手段１２０は、接続指示受入手段１１０から取得したユーザ識別子及びパスワードをユーザ認証要求手段１３１に提供し、ユーザ認証結果取得手段１３２からユーザ認証結果を取得する。通信制御手段１２０は、認証成功を示すユーザ認証結果を取得した場合には、ＩＰアドレス要求手段１４１を介してＭＡＣアドレスデータを提供し、ＩＰアドレス取得手段１４２からＩＰアドレスを取得する。
【００３２】
ユーザ認証要求手段１３１は、ＩＥＥＥ８０２．１ＸのＥＡＰ−ＴＴＬＳ認証方式を用いて、認証情報管理サーバ５０においてユーザ認証を要求するために、ユーザ識別子及びパスワードをアクセスポイント２０に送信する。
【００３３】
ユーザ認証結果取得手段１３２は、認証情報管理サーバ５０において行なわれたユーザ
認証の結果を取得する。更に、ユーザ認証結果取得手段１３２は、ＥＡＰ−ＴＴＬＳ認証方式において生成された鍵の基データを取得して通信制御手段１２０に供給する。
【００３４】
ＩＰアドレス要求手段１４１は、ＤＨＣＰサーバ３０に対してユーザ端末１０のＭＡＣアドレスを送信することにより、ＩＰアドレスの配布要求を実行する。
ＩＰアドレス取得手段１４２は、ＤＨＣＰサーバ３０から配布されたＩＰアドレスを取得して、通信制御手段１２０に提供する。
【００３５】
通信手段１５０は、取得したＩＰアドレスを用いて、社内ネットワークＮ１に接続されたコンピュータと通信を行なう。この場合、通信手段１５０は、鍵の基データから暗号鍵を生成し、この暗号鍵を用いてアクセスポイント２０との間で暗号化通信を行なう。
【００３６】
以上のように構成されたシステムを用いて、ユーザ端末１０が社内ネットワークＮ１に接続されて、データの取得が可能になるまでに行なわれる接続制御処理について、図４を用いて説明する。
【００３７】
ユーザ端末１０を社内ネットワークＮ１に接続する場合、ユーザは、ユーザ端末１０においてウェブブラウザを起動し、社内ネットワークＮ１に接続されたコンピュータ等のアドレスを入力して、接続を指示する。これにより、ユーザ端末１０の制御部１００は、接続指示の受入処理を実行する（ステップＳ１−１）。具体的には、制御部１００の接続指示受入手段１１０は、接続指示を受けた場合、認証画面を取得し、ユーザ端末１０のディスプレイに表示する。この認証画面には、ユーザ識別子及びパスワードを入力するための入力欄と送信ボタンとが含まれる。
【００３８】
ユーザは、認証画面の入力欄に、ユーザ識別子及びパスワードを入力して、送信ボタンを選択する。これにより、ユーザ端末１０の制御部１００は、ユーザ認証要求処理を実行する（ステップＳ１−２）。具体的には、制御部１００の接続指示受入手段１１０は、入力されたユーザ識別子及びパスワードを通信制御手段１２０に供給する。通信制御手段１２０は、ユーザ識別子及びパスワードをユーザ認証要求手段１３１に供給する。ユーザ認証要求手段１３１は、ＩＥＥＥ８０２．１ＸのＥＡＰ−ＴＴＬＳ認証方式を用いて、アクセスポイント２０に対してユーザ識別子及びパスワードを送信する。
【００３９】
アクセスポイント２０は、ユーザ識別子及びパスワードをユーザ認証サーバ４０に転送する（ステップＳ１−３）。この場合、アクセスポイント２０は、ＩＥＥＥ８０２．１ＸのＥＡＰ−ＴＴＬＳ認証方式を用いる。具体的には、アクセスポイント２０は、ユーザ端末１０からＭＡＣフレームで取得したデータをＲＡＤＩＵＳフレームに載せ代えてユーザ認証サーバ４０に送信する。なお、アクセスポイント２０は、ユーザ端末１０とのセッション開始時には、ユーザ認証サーバ４０への接続のみを受け付ける。
【００４０】
アクセスポイント２０からユーザ識別子及びパスワードを取得したユーザ認証サーバ４０は、認証の問い合わせ処理を実行する（ステップＳ１−４）。具体的には、ユーザ認証サーバ４０は、取得したユーザ識別子及びパスワードを認証情報管理サーバ５０に送信する。
【００４１】
認証情報管理サーバ５０は、認証処理を実行して、認証結果をユーザ認証サーバ４０に提供する。具体的には、認証情報管理サーバ５０は、受信したユーザ識別子及びパスワードに一致するユーザデータ５１０をユーザ管理データ記憶部５１において検索する。認証情報管理サーバ５０は、ユーザ管理データ記憶部５１において、一致するユーザデータ５１０を抽出できた場合には、認証に成功したことを示す認証結果をユーザ認証サーバ４０に提供する。一方、認証情報管理サーバ５０は、ユーザ管理データ記憶部５１において、
一致するユーザデータ５１０が抽出できなかった場合には、認証に失敗したことを示す認証結果をユーザ認証サーバ４０に提供する。
【００４２】
ユーザ認証サーバ４０は、認証結果の送信処理を実行する（ステップＳ１−５）。具体的には、ユーザ認証サーバ４０は、認証情報管理サーバ５０から提供された認証結果を、ユーザ認証要求を送信したアクセスポイント２０に対して返信する。ここで、ユーザ認証サーバ４０は、認証に成功した認証結果を送信する場合には、ＥＡＰ−ＴＴＬＳ認証方式の手順の途中で生成される鍵の基データも送信する。
【００４３】
アクセスポイント２０は、認証結果をユーザ端末１０に転送する（ステップＳ１−６）。ここで、アクセスポイント２０は、認証結果とともに鍵の基データを受信した場合には、この鍵の基データを保持する。そして、アクセスポイント２０は、ユーザ端末１０に認証結果を送信する。
【００４４】
ユーザ端末１０の制御部１００は、ユーザ認証結果の取得処理を実行する（ステップＳ１−７）。具体的には、制御部１００のユーザ認証結果取得手段１３２が、認証結果を受信して通信制御手段１２０に提供する。ここで、制御部１００の通信制御手段１２０は、認証に失敗したことを示す認証結果を取得した場合には、ユーザ識別子又はパスワードが正しくないため接続ができないことを示すメッセージを表示手段に表示する。
【００４５】
一方、認証に成功した認証結果を取得した場合には、ユーザ端末１０の制御部１００は、ＥＡＰ−ＴＴＬＳ認証方式の手順の途中で生成された鍵の基データを保持する。そして、このユーザ端末１０の制御部１００は、ＩＰアドレスの要求処理を実行する（ステップＳ１−８）。具体的には、制御部１００の通信制御手段１２０は、認証に成功したことを検出した場合、ＩＰアドレス要求手段１４１にＩＰアドレスの要求を行なう。ＩＰアドレス要求手段１４１は、鍵の基データから暗号鍵を生成し、この暗号鍵を用いてＩＰアドレス要求を暗号化してアクセスポイント２０に送信する。このＩＰアドレス要求には、ユーザ端末１０のＭＡＣアドレスを含める。
【００４６】
アクセスポイント２０は、ＩＰアドレス要求を転送する（ステップＳ１−９）。具体的には、アクセスポイント２０は、保持している鍵の基データから暗号鍵を生成し、この暗号鍵を用いてデータを復号し、このＩＰアドレス要求をＤＨＣＰサーバ３０に送信する。
【００４７】
ＤＨＣＰサーバ３０は、ＩＰアドレス要求を受信すると、ＭＡＣアドレスの照合処理を実行する（ステップＳ１−１０）。ここでは、ＤＨＣＰサーバ３０は、アクセスポイント２０から取得したＭＡＣアドレスがＭＡＣアドレスデータ記憶部３１に登録されているか否かについて検索する。具体的には、ＤＨＣＰサーバ３０は、取得したＭＡＣアドレスのデータとＭＡＣアドレスデータ３１０とを比較し、一致するＭＡＣアドレスをＭＡＣアドレスデータ記憶部３１において検索する。
【００４８】
ここで、ＭＡＣアドレスデータ記憶部３１に、受信したＭＡＣアドレスに一致するＭＡＣアドレスデータ３１０がない場合には、ＤＨＣＰサーバ３０は、ＩＰアドレスの配布を行なわない。この場合、ＤＨＣＰサーバ３０は、アクセスポイント２０を介して、ユーザ端末１０に社内ネットワークＮ１に接続できない旨のデータを送信し、ユーザ端末１０のディスプレイに表示させる。
【００４９】
一方、受信したＭＡＣアドレスに一致するＭＡＣアドレスデータ３１０が抽出できた場合には、ＤＨＣＰサーバ３０は、ＩＰアドレスの配布処理を実行する（ステップＳ１−１１）。具体的には、ＤＨＣＰサーバ３０は、ＩＰアドレス管理データ記憶部から、使用されていないＩＰアドレスを抽出して、このＩＰアドレスを含む通知データをアクセスポイ
ント２０に送信する。この場合、通知データには、ＩＰアドレスのデータとともに、リース期間等のオプションに関するデータを含める。
【００５０】
アクセスポイント２０は、ＩＰアドレスを含む通知データをユーザ端末１０に転送する（ステップＳ１−１２）。具体的には、アクセスポイント２０は、取得したＩＰアドレスと、転送するユーザ端末１０のＭＡＣアドレスとを関連付けて記憶する。更に、アクセスポイント２０は、生成した暗号鍵を用いて通知データを暗号化して、ユーザ端末１０に送信する。
【００５１】
そして、ユーザ端末１０が通知データを受信すると、ユーザ端末１０の制御部１００は、ＩＰアドレスの設定処理を実行する（ステップＳ１−１３）。具体的には、制御部１００のＩＰアドレス取得手段１４２は、生成した暗号鍵を用いて通知データを復号して、通信制御手段１２０に提供する。通信制御手段１２０は、通信手段１５０にＩＰアドレス及び暗号鍵を提供する。以上により、認証処理が完了する。
【００５２】
そして、これ以降、通信手段１５０は、取得したＩＰアドレスを用いて、社内ネットワークＮ１に接続されている各コンピュータとの通信を開始する。具体的には、通信手段１５０は、ユーザによって指示されたアドレスのコンピュータに対して指示された要求を送信する。この場合、通信手段１５０は、ＤＨＣＰサーバ３０から取得したＩＰアドレスを、この社内ネットワークＮ１とのセッションが終了するまで用いる。なお、通信手段１５０は、生成した暗号鍵を用いて送受信データを暗号化又は復号を行なって、アクセスポイント２０と通信する。
【００５３】
本実施形態によれば、以下のような効果を得ることができる。
・ 本実施形態では、ユーザ端末１０の制御部１００は、接続指示を受け入れると（ステップＳ１−１）、ユーザ識別子及びパスワードを取得して、ユーザ認証要求処理を実行する（ステップＳ１−２）。そして、ユーザ識別子及びパスワードを用いて認証情報管理サーバ５０が認証処理を実行すると、ユーザ認証サーバ４０は、その認証結果を、アクセスポイント２０を介してユーザ端末１０に送信する（ステップＳ１−５）。ユーザ端末１０の制御部１００は、認証に成功した認証結果を取得した場合には、ユーザ端末１０の制御部１００は、ＩＰアドレスの要求処理を実行する（ステップＳ１−８）。ＤＨＣＰサーバ３０は、ＩＰアドレス要求を受信すると、ＭＡＣアドレスの照合処理を実行し（ステップＳ１−１０）、照合が完了した場合には、ＩＰアドレスの配布処理を実行する（ステップＳ１−１１）。ユーザ端末１０は、このＩＰアドレスの配布処理で取得したＩＰアドレスを用いて、社内ネットワークＮ１に接続されているコンピュータからデータを取得できる。このため、ユーザ認証と端末認証との両方が成功した場合に限り、ユーザ端末１０は、社内ネットワークＮ１に接続することができるので、セキュリティを向上させることができる。
【００５４】
・ 本実施形態では、ユーザ端末１０が無線ＬＡＮ接続を行なうアクセスポイント２０は、ＩＥＥＥ８０２．１Ｘの認証規格に対応した無線ＬＡＮアクセスポイントである。このため、アクセスポイント２０は、ユーザ端末１０とのセッション開始時には、ユーザ認証サーバ４０への接続以外のものは受け付けない。従って、ユーザ認証に成功していないユーザ端末１０からのアクセスを自動的にアクセスポイント２０が拒否するので、ネットワークのセキュリティを、公知の技術を用いて向上することができる。
【００５５】
・ 本実施形態では、ＤＨＣＰサーバ３０は、ＭＡＣアドレスを取得すると、ＭＡＣアドレスデータ３１０と比較し、一致するＭＡＣアドレスデータ３１０が抽出できた場合には、ＩＰアドレス管理データ記憶部に記憶されているＩＰアドレスをユーザ端末１０に配布する。このため、事業所内のサブネットにおいて、複数のアクセスポイント２０が設け
られている場合であっても、ＤＨＣＰサーバ３０において、社内ネットワークＮ１に接続可能なユーザ端末１０のＭＡＣアドレスを一括して管理することができる。また、多数のユーザ端末１０が社内ネットワークＮ１に接続する場合であっても、各ユーザ端末１０にＩＰアドレスを手動で設定する必要がないので、設定を容易に行なうことができる。
【００５６】
・ 本実施形態では、ユーザ端末１０の制御部１００は、ＤＨＣＰ対応プログラムの処理よりも、サプリカントによる処理が優先的に実行されるように設定されている。このため、ユーザ端末１０の制御部１００は、接続指示の受入処理（ステップＳ１−１）を実行すると、ユーザ認証要求手段１３１がユーザ認証要求を実行する。これに応じて取得したユーザ認証結果が認証成功であった場合には、制御部１００は、ＩＰアドレスの要求処理を実行する（ステップＳ１−８）。このため、公知の技術を用いて、簡単な設定を行なうだけで、ユーザ認証を行なうとともに、端末認証も行なうことができる。
【００５７】
・ 本実施形態では、ユーザ認証要求を行なう場合、制御部１００は、ＩＥＥＥ８０２．１ＸのＥＡＰ−ＴＴＬＳ認証方式を用いて、アクセスポイント２０に対してユーザ識別子及びパスワードを送信する。ＥＡＰ−ＴＴＬＳ認証方式においては、ユーザ端末１０とユーザ認証サーバ４０との間で鍵の基データが生成される。ユーザ認証サーバ４０は、認証が成功した場合には鍵の基データをアクセスポイント２０に送信する。ユーザ端末１０及びアクセスポイント２０は、この鍵の基データを用いて暗号鍵を生成し、この暗号鍵を用いて暗号化通信を行なう。この鍵の基データは、認証の途中で生成され、認証を行なうたびに鍵の基データが決定されて変更されるので、セキュリティをより向上させた無線ＬＡＮ通信を行なうことができる。更に、ユーザ端末１０とアクセスポイント２０は、暗号鍵を送受信しないので、セキュリティをより向上させた無線ＬＡＮ通信を行なうことができる。
【００５８】
また、上記実施形態は以下のように変更してもよい。
○ 上記実施形態においては、制御部１００は、ユーザ認証を行なう場合、ＩＥＥＥ８０２．１Ｘの認証規格に対応した認証方式（認証プロトコル）としてＥＡＰ−ＴＴＬＳ方式を用いた。これに限らず、ＥＡＰ−ＴＬＳ（Extensible Authentication Protocol−Transport Layer Security）やＰＥＡＰ（Protected Extensible Authentication Protocol）等を用いてもよい。この場合、認証手順にＴＬＳの手順が含まれている認証方式を用いれば、認証を行なう毎に鍵の基データが生成される。このため、ユーザ端末１０が社内ネットワークＮ１に接続するたびに異なる暗号鍵が作成されて使用されるので、無線ＬＡＮにおいてセキュリティの向上を図ることができる。
【００５９】
○ 上記実施形態においては、ユーザ端末１０の制御部１００が、ユーザ認証手段、端末認証手段及び許可手段として機能した。これに限らず、ユーザ認証手段、端末認証手段及び許可手段としての機能をアクセスポイント２０に設けてもよい。この場合、アクセスポイント２０が接続制御装置として機能する。具体的には、アクセスポイント２０は、上記実施形態と同様に、ユーザ端末１０からのセッション開始時においては、ユーザ認証サーバに送信されるデータ以外のアクセスは拒否する。そして、ユーザ認証サーバ４０から、認証成功の認証結果とともに鍵の基データを受信した場合には、アクセスポイント２０は、ユーザ端末１０から取得したＭＡＣフレームに含まれるＭＡＣアドレスを、ＤＨＣＰサーバ３０に送信する。ＤＨＣＰサーバ３０は、受信したＭＡＣアドレスの照合処理を行ない（ステップＳ１−１０）、ＩＰアドレスの配布処理を実行する（ステップＳ１−１１）。アクセスポイント２０は、ＤＨＣＰサーバ３０から取得したＩＰアドレスをユーザ端末１０に送信する。ユーザ端末１０は、このＩＰアドレスを用いて社内ネットワークＮ１に接続されたコンピュータとデータの送受信を行なう。この場合においても、ユーザ認証及び端末認証の両方が成功しないと、ユーザ端末１０は社内ネットワークＮ１に接続できない。また、アクセスポイント２０は、ユーザ認証サーバ４０から鍵の基データを受信し
、この鍵の基データに基づく暗号鍵を用いて、ユーザ端末１０と暗号化通信を行なう。この鍵の基データは、認証を行なうたびに変更される。また、鍵自体をユーザ端末１０とアクセスポイント２０との間で交換する必要がない。従って、ユーザ端末１０とアクセスポイント２０との暗号化通信が解読され難く、より安全にデータの送受信を行なうことができる。
【００６０】
○ 上記実施形態においては、ユーザ端末１０の制御部１００は、起動したウェブブラウザを用いて、社内ネットワークＮ１への接続指示を取得した。接続指示を取得するためのプログラムは、これに限らず、ネットワーク等においてデータを閲覧・検索するアプリケーションソフトであればよい。
【図面の簡単な説明】
【００６１】
【図１】実施形態におけるシステムの概略図。
【図２】データの構成を説明する図であり、（ａ）はＭＡＣアドレスデータ記憶部、（ｂ）はユーザ管理データ記憶部に記録されたデータの説明図。
【図３】ユーザ端末の制御部の内部構成を説明するためのブロック図。
【図４】実施形態における認証処理の処理手順を説明するための流れ図。
【符号の説明】
【００６２】
Ｎ１…社内ネットワーク、１０…ユーザ端末、２０…アクセスポイント、２１…Ｌ２スイッチ、２２，４２…ルータ、３０…端末認証サーバとしてのＤＨＣＰサーバ、３１…ＭＡＣアドレスデータ記憶部、４０…ユーザ認証サーバ、５０…認証情報管理サーバ、５１…ユーザ管理データ記憶部、１００…制御部、１１０…接続指示受入手段、１２０…許可手段及び設定手段としての通信制御手段、１３１…ユーザ認証手段を構成するユーザ認証要求手段、１３２…ユーザ認証手段を構成するユーザ認証結果取得手段、１４１…端末認証手段として構成するＩＰアドレス要求手段、１４２…端末認証手段として構成するＩＰアドレス取得手段、１５０…暗号通信手段を含むネットワーク通信手段としての通信手段、３１０…ＭＡＣアドレスデータ、５１０…ユーザデータ。
【技術分野】
【０００１】
本発明は、ネットワークに接続するときの接続制御装置、接続制御方法及び接続制御プログラムに関する。
【背景技術】
【０００２】
近年、ネットワークに接続するための技術として無線ＬＡＮ技術が利用されている。無線ＬＡＮ技術においては、ユーザ端末は、アクセスポイントと無線によりデータ通信を行なう。ユーザ端末からアクセスポイントに接続する場合には、接続先のネットワークを識別するための識別子であるＳＳＩＤ（Service Set Identifier）を用いる。通常、このＳＳＩＤコードは、アクセスポイントが定期的に送出するビーコン信号に含められており、このビーコン信号をユーザ端末で検出することによりＳＳＩＤコードを把握することができる。
【０００３】
ところで、無線によりデータ通信を行なう無線ＬＡＮ技術においては、不正アクセスや盗聴等が容易に行なわれやすいため、セキュリティ対策が必要である。無線ＬＡＮのセキュリティ技術としては、ＷＰＡ認証（例えば、特許文献１参照。）やＩＥＥＥ８０２．１Ｘ等の認証技術が知られている。
【０００４】
この文献に記載の発明においては、情報処理端末装置とアクセスポイントとは、ＷＰＡ認証を用いて無線ＬＡＮ通信を行なう。この場合、ユーザ端末において高速の応答が要求される４ウェイハンドシェークを失敗した場合、デバイス側にて４ウェイハンドシェークを実施する。これにより、認証中の所定のメッセージを受け取るまでに待機制限時間を超えた場合には、高速にＷＰＡ認証を成功させることが可能になる。
【特許文献１】特開２００７−２０８８１６号公報（図１、図２及び図５）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
また、ＩＥＥＥ８０２．１Ｘは、認証サーバを用いた認証技術である。この技術では、ユーザ端末からの認証プロトコルをアクセスポイントで終端し、アクセスポイントから認証サーバまでは異なるプロトコルで認証に必要な情報を送受信する。これにより、未認証のユーザが送信したパケットをネットワークに流出させない。
【０００６】
しかしながら、無線ＬＡＮ技術においては、不正アクセスや盗聴等が容易であるため、接続するときの認証において、有線を用いた接続の場合よりもセキュリティを向上させたいというニーズがある。
【０００７】
本発明は、上述の課題に鑑みてなされ、その目的は、ネットワーク接続のセキュリティを向上させることができる接続制御装置、接続制御方法及び接続制御プログラムを提供することにある。
【課題を解決するための手段】
【０００８】
上記問題点を解決するために、請求項１に記載の発明は、ユーザのユーザ識別子及びパスワードを関連付けて記憶したユーザ認証サーバと、接続可能なユーザ端末のネットワーク通信手段を特定するＭＡＣアドレスが登録された端末認証サーバとが接続されているネットワークにアクセスするネットワーク通信手段の通信を制御する通信制御手段を備えた接続制御装置であって、前記通信制御手段が、前記ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユー
ザ識別子及びパスワードを含むユーザ認証要求を前記ユーザ認証サーバに送信して、このユーザ認証サーバにおけるユーザ認証結果を取得するユーザ認証手段と、認証成功したことを示すユーザ認証結果を取得した場合には、前記ネットワーク通信手段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する端末認証手段と、認証成功したことを示す端末認証結果を取得した場合には、前記ネットワーク通信手段に対して前記ネットワークへのアクセスを許可する許可手段とを備えたことを要旨とする。
【０００９】
請求項２に記載の発明は、請求項１に記載の接続制御装置において、前記端末認証サーバは、配布可能なＩＰアドレスを記憶しており、前記端末認証手段は、前記端末認証サーバにおいて、前記ＭＡＣアドレスを用いた端末認証が成功した場合には、前記端末認証結果としてＩＰアドレスを受信し、前記通信制御手段は、受信したＩＰアドレスを用いてネットワーク通信手段が前記ネットワークへのアクセスを行なうように設定する設定手段を更に備えたことを要旨とする。
【００１０】
請求項３に記載の発明は、請求項１又は２に記載の接続制御装置において、前記ユーザ端末は、前記ネットワークに接続するアクセスポイントに、無線ＬＡＮ接続により接続されており、前記通信制御手段は、前記ユーザ端末に搭載されており、前記ネットワーク通信手段は、前記ユーザ認証サーバとのデータ送受信において前記ユーザ認証手段が取得した鍵の基データに基づく暗号鍵を用いて、前記アクセスポイントと暗号化通信を行なう暗号通信手段を更に備えたことを要旨とする。
【００１１】
請求項４に記載の発明は、請求項１又は２に記載の接続制御装置において、前記ユーザ端末は、前記ネットワークに接続するアクセスポイントに、無線ＬＡＮ接続により接続されており、前記通信制御手段は、前記アクセスポイントに搭載されており、前記通信制御手段は、前記ユーザ認証手段とのデータ送受信において前記ユーザ認証手段が取得した鍵の基データに基づく暗号鍵を用いて、前記ユーザ端末と暗号化通信を行なう暗号通信手段を更に備えたことを要旨とする。
【００１２】
請求項５に記載の発明は、ユーザのユーザ識別子及びパスワードを関連付けて記憶したユーザ認証サーバと、接続可能なユーザ端末のネットワーク通信手段を特定するＭＡＣアドレスが登録された端末認証サーバとが接続されているネットワークにアクセスするネットワーク通信手段の通信を制御する通信制御手段を備えた接続制御装置を用いた接続制御方法であって、前記通信制御手段が、前記ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユーザ識別子及びパスワードを含むユーザ認証要求を前記ユーザ認証サーバに送信して、このユーザ認証サーバにおけるユーザ認証結果を取得するユーザ認証段階、認証成功したことを示すユーザ認証結果を取得した場合には、前記ネットワーク通信手段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する端末認証段階、及び認証成功したことを示す端末認証結果を取得した場合には、前記ネットワーク通信手段に対して前記ネットワークへのアクセスを許可する許可段階を実行することを要旨とする。
【００１３】
請求項６に記載の発明は、ユーザのユーザ識別子及びパスワードを関連付けて記憶したユーザ認証サーバと、接続可能なユーザ端末のネットワーク通信手段を特定するＭＡＣアドレスが登録された端末認証サーバとが接続されているネットワークにアクセスするネットワーク通信手段の通信を制御する通信制御手段を備えた接続制御装置を用いた接続制御プログラムであって、前記通信制御手段を、前記ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユーザ識別子及びパスワードを含むユーザ認証要求を前記ユーザ認証サーバに送信して、このユ
ーザ認証サーバにおけるユーザ認証結果を取得するユーザ認証手段、認証成功したことを示すユーザ認証結果を取得した場合には、前記ネットワーク通信手段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する端末認証手段、及び認証成功したことを示す端末認証結果を取得した場合には、前記ネットワーク通信手段に対して前記ネットワークへのアクセスを許可する許可手段として機能することを要旨とする。
【００１４】
（作用）
本発明によれば、通信制御手段は、ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユーザ識別子及びパスワードを含むユーザ認証要求をユーザ認証サーバに送信して、このユーザ認証サーバにおけるユーザ認証結果を取得する。通信制御手段は、認証成功したことを示すユーザ認証結果を取得した場合には、ネットワーク通信手段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する。通信制御手段は、認証成功したことを示す端末認証結果を取得した場合には、ネットワーク通信手段に対してネットワークへのアクセスを許可する。このため、ユーザ端末を用いるユーザの認証と、ユーザ端末自体の端末認証との両方が成功した場合にのみ、ネットワークに接続されるので、セキュリティを向上させることができる。
【００１５】
本発明によれば、端末認証サーバは、配布可能なＩＰアドレスデータを記憶している。端末認証手段は、端末認証サーバにおいてＭＡＣアドレスを用いた端末認証が成功した場合には、端末認証結果としてＩＰアドレスを受信する。通信制御手段は、受信したＩＰアドレスを用いてネットワーク通信手段がネットワークへのアクセスを行なうように設定する。このため、ＩＰアドレスを自動で割り当てることができるので、ユーザ端末の設定が容易である。従って、多数の端末が無線ＬＡＮでネットワークに接続する場合であっても、各ユーザ端末にＩＰアドレスを手動で設定する必要がないので、設定を容易に行なうことができる。
【００１６】
本発明によれば、ユーザ端末は、ネットワークに接続するアクセスポイントに、無線ＬＡＮ接続により接続されている。通信制御手段は、ユーザ端末に搭載されている。ネットワーク通信手段は、ユーザ認証サーバとのデータ送受信においてユーザ認証手段が取得した鍵の基データに基づく暗号鍵を用いて、アクセスポイントと暗号化通信を行なう。ここで、ユーザ認証手段がユーザ認証サーバとのデータ送受信において取得した鍵の基データは、認証を行なうたびに変更される。更に、認証において生成された鍵の基データを用いて暗号鍵が作成されるので、鍵自体をユーザ端末とアクセスポイントとの間で交換する必要がない。このため、ユーザ端末とアクセスポイントとの暗号化通信が解読され難く、より安全にデータの送受信を行なうことができる。
【００１７】
本発明によれば、ユーザ端末は、ネットワークに接続するアクセスポイントに、無線ＬＡＮ接続により接続されている。通信制御手段は、アクセスポイントに搭載されている。通信制御手段は、ユーザ認証手段とのデータ送受信においてユーザ認証手段が取得した鍵の基データに基づく暗号鍵を用いて、ユーザ端末と暗号化通信を行なう。ここで、ユーザ認証サーバがユーザ認証手段とのデータ送受信において取得した鍵の基データは、認証を行なうたびに変更される。更に、認証において生成された鍵の基データを用いて暗号鍵が作成されるので、鍵自体をユーザ端末とアクセスポイントとの間で交換する必要がない。このため、ユーザ端末とアクセスポイントとの暗号化通信が解読され難く、より安全にデータの送受信を行なうことができる。
【発明の効果】
【００１８】
本発明によれば、ネットワークのセキュリティを向上させることができる。
【発明を実施するための最良の形態】
【００１９】
以下、本発明を具体化した一実施形態を図１〜図４に基づいて説明する。本実施形態においては、図１に示すように、ユーザ端末１０が無線ＬＡＮにより社内ネットワークＮ１に接続する場合に用いられる接続制御装置について説明する。社内ネットワークＮ１は、各事業所内で構築されているサブネットが、ルータ（２２，４２）を介して接続されて形成される。
【００２０】
各事業所内において、利用者はユーザ端末１０を用いる。ユーザ端末１０は、本実施形態では、接続制御装置として機能する。このユーザ端末１０は、キーボードやポインティングデバイス等の入力手段及びディスプレイ等の表示手段を備えたコンピュータである。このユーザ端末１０は、本実施形態では、無線ＬＡＮによりアクセスポイント２０に接続される。
【００２１】
アクセスポイント２０は、所定の認証規格に対応した無線ＬＡＮアクセスポイントである。本実施形態では、認証規格としてＩＥＥＥ８０２．１Ｘを用いる。アクセスポイント２０は、Ｌ２スイッチ２１に接続されている。Ｌ２スイッチ２１は、公知の構成を有し、データの転送先を変更する。このＬ２スイッチ２１は、ユーザ端末１０からアクセスポイント２０を介して取得したデータをその宛先（後述するＤＨＣＰサーバ３０やユーザ認証サーバ４０等）に転送する。
【００２２】
事業所内で構築されているサブネットには、端末認証サーバとしてのＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ３０が接続されている。このＤＨＣＰサーバ３
０は、ユーザ端末１０が社内ネットワークＮ１を利用できる端末であるか否かの認証を行ない、利用可能端末の場合にはＩＰアドレスの配布を行なう。このため、ＤＨＣＰサーバ３０は、ＭＡＣアドレスデータ記憶部３１及びＩＰアドレス管理データ記憶部を備えている。
【００２３】
ＭＡＣアドレスデータ記憶部３１には、図２（ａ）に示すように、社内ネットワークＮ１への接続を許可するユーザ端末１０のＭＡＣアドレスデータ３１０が記憶されている。また、ＩＰアドレス管理データ記憶部は、ユーザ端末１０に割り当て可能なＩＰアドレスに関するデータを記憶している。このＩＰアドレス管理データ記憶部は、使用中のＩＰアドレスに対して、使用しているユーザ端末１０のＭＡＣアドレスが関連付けて記憶されている。従って、ＭＡＣアドレスに関連付けられていないＩＰアドレスは、新たに配布可能である。
【００２４】
ＤＨＣＰサーバ３０は、ＭＡＣアドレスを取得すると、ＭＡＣアドレスデータ記憶部３１に記録されているＭＡＣアドレスデータ３１０と比較する。そして、ＭＡＣアドレスが一致した場合には、ＩＰアドレス管理データ記憶部に記憶されているＩＰアドレスの中で使用中でないアドレスをユーザ端末１０に配布する。
【００２５】
一方、社内ネットワークＮ１には、ルータ４２を介してユーザ認証サーバ４０が接続されている。このユーザ認証サーバ４０は、本実施形態では、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバである。本実施形態のユーザ認証サーバ４０は、ＥＡＰ−ＴＴＬＳ（Extensible Authentication Protocol-Tunneled Transport Layer Security）認証方式を用いて、ユーザ端末１０から認証するためのデータ（ユーザ識別子及びパスワード）を取得する。ユーザ認証サーバ４０は、ユーザ端末１０から取得したユーザ識別子及びパスワードを、認証情報管理サーバ５０に転送する。ユーザ認証サーバ４０は、認証情報管理サーバ５０から認証結果を取得すると、認証要求を行なったユーザ端末１０に送信する。
【００２６】
認証情報管理サーバ５０は、社内ネットワークＮ１を利用できるユーザに関する情報を管理する。そして、本実施形態では、認証情報管理サーバ５０が、社内ネットワークＮ１を利用できるユーザであるか否かの認証を行なう。
【００２７】
この認証情報管理サーバ５０は、ユーザ管理データ記憶部５１を備えている。このユーザ管理データ記憶部５１には、図２（ｂ）に示すように、ユーザデータ５１０が記録されている。このユーザデータ５１０は、ユーザ識別子及びパスワードを含む。ユーザ識別子データ領域には、ユーザを特定するための識別子に関するデータが記録されている。パスワードデータ領域には、パスワードに関するデータが記録されている。本実施形態では、ユーザ識別子及びパスワードを用いて、ユーザ認証が行なわれる。
【００２８】
認証情報管理サーバ５０は、ユーザ端末１０から供給されたユーザ識別子及びパスワードを取得した場合、ユーザデータ５１０に記録されたユーザ識別子及びパスワードと比較する。認証情報管理サーバ５０は、ユーザ識別子及びパスワードが一致した場合には認証が成功したことを示す認証結果をユーザ認証サーバ４０に送信する。一方、認証情報管理サーバ５０は、一致しなかった場合には認証に失敗したことを示す認証結果を、ユーザ認証サーバ４０に送信する。
【００２９】
次に、ユーザ端末１０の内部構成について、図３を用いて説明する。
ユーザ端末１０は、制御部１００を備える。制御部１００は、図示しないＣＰＵ、ＲＡＭ及びＲＯＭ等を有し、後述する処理（ユーザ認証段階、端末認証段階、許可段階、設定段階及び暗号通信段階等を含む処理）を行なう。制御部１００は、ＯＳ（Operating System）、ウェブブラウザ、サプリカント及びＤＨＣＰ対応プログラム等のプログラムを記憶している。本実施形態では、ＤＨＣＰ対応プログラムの処理よりも、サプリカントによる処理が優先的に実行されるように設定されている。制御部１００は、これらプログラムを実行することにより、接続指示受入手段１１０、通信制御手段１２０、ユーザ認証要求手段１３１、ユーザ認証結果取得手段１３２、ＩＰアドレス要求手段１４１、ＩＰアドレス取得手段１４２及び通信手段１５０等として機能する。ここで、通信制御手段１２０は、許可手段及び設定手段として機能し、ユーザ認証要求手段１３１及びユーザ認証結果取得手段１３２は、ユーザ認証手段として機能する。更に、ＩＰアドレス要求手段１４１及びＩＰアドレス取得手段１４２は、端末認証手段として機能し、通信手段１５０は、暗号通信手段を含むネットワーク通信手段として機能する。
【００３０】
接続指示受入手段１１０は、認証画面データを記憶している。この接続指示受入手段１１０は、入力手段を介して社内ネットワークＮ１への接続指示を取得すると、認証画面データを表示手段に表示して、認証に必要なユーザ識別子及びパスワードを取得する。
【００３１】
通信制御手段１２０は、社内ネットワークＮ１への接続を制御する。通信制御手段１２０は、接続指示受入手段１１０から取得したユーザ識別子及びパスワードをユーザ認証要求手段１３１に提供し、ユーザ認証結果取得手段１３２からユーザ認証結果を取得する。通信制御手段１２０は、認証成功を示すユーザ認証結果を取得した場合には、ＩＰアドレス要求手段１４１を介してＭＡＣアドレスデータを提供し、ＩＰアドレス取得手段１４２からＩＰアドレスを取得する。
【００３２】
ユーザ認証要求手段１３１は、ＩＥＥＥ８０２．１ＸのＥＡＰ−ＴＴＬＳ認証方式を用いて、認証情報管理サーバ５０においてユーザ認証を要求するために、ユーザ識別子及びパスワードをアクセスポイント２０に送信する。
【００３３】
ユーザ認証結果取得手段１３２は、認証情報管理サーバ５０において行なわれたユーザ
認証の結果を取得する。更に、ユーザ認証結果取得手段１３２は、ＥＡＰ−ＴＴＬＳ認証方式において生成された鍵の基データを取得して通信制御手段１２０に供給する。
【００３４】
ＩＰアドレス要求手段１４１は、ＤＨＣＰサーバ３０に対してユーザ端末１０のＭＡＣアドレスを送信することにより、ＩＰアドレスの配布要求を実行する。
ＩＰアドレス取得手段１４２は、ＤＨＣＰサーバ３０から配布されたＩＰアドレスを取得して、通信制御手段１２０に提供する。
【００３５】
通信手段１５０は、取得したＩＰアドレスを用いて、社内ネットワークＮ１に接続されたコンピュータと通信を行なう。この場合、通信手段１５０は、鍵の基データから暗号鍵を生成し、この暗号鍵を用いてアクセスポイント２０との間で暗号化通信を行なう。
【００３６】
以上のように構成されたシステムを用いて、ユーザ端末１０が社内ネットワークＮ１に接続されて、データの取得が可能になるまでに行なわれる接続制御処理について、図４を用いて説明する。
【００３７】
ユーザ端末１０を社内ネットワークＮ１に接続する場合、ユーザは、ユーザ端末１０においてウェブブラウザを起動し、社内ネットワークＮ１に接続されたコンピュータ等のアドレスを入力して、接続を指示する。これにより、ユーザ端末１０の制御部１００は、接続指示の受入処理を実行する（ステップＳ１−１）。具体的には、制御部１００の接続指示受入手段１１０は、接続指示を受けた場合、認証画面を取得し、ユーザ端末１０のディスプレイに表示する。この認証画面には、ユーザ識別子及びパスワードを入力するための入力欄と送信ボタンとが含まれる。
【００３８】
ユーザは、認証画面の入力欄に、ユーザ識別子及びパスワードを入力して、送信ボタンを選択する。これにより、ユーザ端末１０の制御部１００は、ユーザ認証要求処理を実行する（ステップＳ１−２）。具体的には、制御部１００の接続指示受入手段１１０は、入力されたユーザ識別子及びパスワードを通信制御手段１２０に供給する。通信制御手段１２０は、ユーザ識別子及びパスワードをユーザ認証要求手段１３１に供給する。ユーザ認証要求手段１３１は、ＩＥＥＥ８０２．１ＸのＥＡＰ−ＴＴＬＳ認証方式を用いて、アクセスポイント２０に対してユーザ識別子及びパスワードを送信する。
【００３９】
アクセスポイント２０は、ユーザ識別子及びパスワードをユーザ認証サーバ４０に転送する（ステップＳ１−３）。この場合、アクセスポイント２０は、ＩＥＥＥ８０２．１ＸのＥＡＰ−ＴＴＬＳ認証方式を用いる。具体的には、アクセスポイント２０は、ユーザ端末１０からＭＡＣフレームで取得したデータをＲＡＤＩＵＳフレームに載せ代えてユーザ認証サーバ４０に送信する。なお、アクセスポイント２０は、ユーザ端末１０とのセッション開始時には、ユーザ認証サーバ４０への接続のみを受け付ける。
【００４０】
アクセスポイント２０からユーザ識別子及びパスワードを取得したユーザ認証サーバ４０は、認証の問い合わせ処理を実行する（ステップＳ１−４）。具体的には、ユーザ認証サーバ４０は、取得したユーザ識別子及びパスワードを認証情報管理サーバ５０に送信する。
【００４１】
認証情報管理サーバ５０は、認証処理を実行して、認証結果をユーザ認証サーバ４０に提供する。具体的には、認証情報管理サーバ５０は、受信したユーザ識別子及びパスワードに一致するユーザデータ５１０をユーザ管理データ記憶部５１において検索する。認証情報管理サーバ５０は、ユーザ管理データ記憶部５１において、一致するユーザデータ５１０を抽出できた場合には、認証に成功したことを示す認証結果をユーザ認証サーバ４０に提供する。一方、認証情報管理サーバ５０は、ユーザ管理データ記憶部５１において、
一致するユーザデータ５１０が抽出できなかった場合には、認証に失敗したことを示す認証結果をユーザ認証サーバ４０に提供する。
【００４２】
ユーザ認証サーバ４０は、認証結果の送信処理を実行する（ステップＳ１−５）。具体的には、ユーザ認証サーバ４０は、認証情報管理サーバ５０から提供された認証結果を、ユーザ認証要求を送信したアクセスポイント２０に対して返信する。ここで、ユーザ認証サーバ４０は、認証に成功した認証結果を送信する場合には、ＥＡＰ−ＴＴＬＳ認証方式の手順の途中で生成される鍵の基データも送信する。
【００４３】
アクセスポイント２０は、認証結果をユーザ端末１０に転送する（ステップＳ１−６）。ここで、アクセスポイント２０は、認証結果とともに鍵の基データを受信した場合には、この鍵の基データを保持する。そして、アクセスポイント２０は、ユーザ端末１０に認証結果を送信する。
【００４４】
ユーザ端末１０の制御部１００は、ユーザ認証結果の取得処理を実行する（ステップＳ１−７）。具体的には、制御部１００のユーザ認証結果取得手段１３２が、認証結果を受信して通信制御手段１２０に提供する。ここで、制御部１００の通信制御手段１２０は、認証に失敗したことを示す認証結果を取得した場合には、ユーザ識別子又はパスワードが正しくないため接続ができないことを示すメッセージを表示手段に表示する。
【００４５】
一方、認証に成功した認証結果を取得した場合には、ユーザ端末１０の制御部１００は、ＥＡＰ−ＴＴＬＳ認証方式の手順の途中で生成された鍵の基データを保持する。そして、このユーザ端末１０の制御部１００は、ＩＰアドレスの要求処理を実行する（ステップＳ１−８）。具体的には、制御部１００の通信制御手段１２０は、認証に成功したことを検出した場合、ＩＰアドレス要求手段１４１にＩＰアドレスの要求を行なう。ＩＰアドレス要求手段１４１は、鍵の基データから暗号鍵を生成し、この暗号鍵を用いてＩＰアドレス要求を暗号化してアクセスポイント２０に送信する。このＩＰアドレス要求には、ユーザ端末１０のＭＡＣアドレスを含める。
【００４６】
アクセスポイント２０は、ＩＰアドレス要求を転送する（ステップＳ１−９）。具体的には、アクセスポイント２０は、保持している鍵の基データから暗号鍵を生成し、この暗号鍵を用いてデータを復号し、このＩＰアドレス要求をＤＨＣＰサーバ３０に送信する。
【００４７】
ＤＨＣＰサーバ３０は、ＩＰアドレス要求を受信すると、ＭＡＣアドレスの照合処理を実行する（ステップＳ１−１０）。ここでは、ＤＨＣＰサーバ３０は、アクセスポイント２０から取得したＭＡＣアドレスがＭＡＣアドレスデータ記憶部３１に登録されているか否かについて検索する。具体的には、ＤＨＣＰサーバ３０は、取得したＭＡＣアドレスのデータとＭＡＣアドレスデータ３１０とを比較し、一致するＭＡＣアドレスをＭＡＣアドレスデータ記憶部３１において検索する。
【００４８】
ここで、ＭＡＣアドレスデータ記憶部３１に、受信したＭＡＣアドレスに一致するＭＡＣアドレスデータ３１０がない場合には、ＤＨＣＰサーバ３０は、ＩＰアドレスの配布を行なわない。この場合、ＤＨＣＰサーバ３０は、アクセスポイント２０を介して、ユーザ端末１０に社内ネットワークＮ１に接続できない旨のデータを送信し、ユーザ端末１０のディスプレイに表示させる。
【００４９】
一方、受信したＭＡＣアドレスに一致するＭＡＣアドレスデータ３１０が抽出できた場合には、ＤＨＣＰサーバ３０は、ＩＰアドレスの配布処理を実行する（ステップＳ１−１１）。具体的には、ＤＨＣＰサーバ３０は、ＩＰアドレス管理データ記憶部から、使用されていないＩＰアドレスを抽出して、このＩＰアドレスを含む通知データをアクセスポイ
ント２０に送信する。この場合、通知データには、ＩＰアドレスのデータとともに、リース期間等のオプションに関するデータを含める。
【００５０】
アクセスポイント２０は、ＩＰアドレスを含む通知データをユーザ端末１０に転送する（ステップＳ１−１２）。具体的には、アクセスポイント２０は、取得したＩＰアドレスと、転送するユーザ端末１０のＭＡＣアドレスとを関連付けて記憶する。更に、アクセスポイント２０は、生成した暗号鍵を用いて通知データを暗号化して、ユーザ端末１０に送信する。
【００５１】
そして、ユーザ端末１０が通知データを受信すると、ユーザ端末１０の制御部１００は、ＩＰアドレスの設定処理を実行する（ステップＳ１−１３）。具体的には、制御部１００のＩＰアドレス取得手段１４２は、生成した暗号鍵を用いて通知データを復号して、通信制御手段１２０に提供する。通信制御手段１２０は、通信手段１５０にＩＰアドレス及び暗号鍵を提供する。以上により、認証処理が完了する。
【００５２】
そして、これ以降、通信手段１５０は、取得したＩＰアドレスを用いて、社内ネットワークＮ１に接続されている各コンピュータとの通信を開始する。具体的には、通信手段１５０は、ユーザによって指示されたアドレスのコンピュータに対して指示された要求を送信する。この場合、通信手段１５０は、ＤＨＣＰサーバ３０から取得したＩＰアドレスを、この社内ネットワークＮ１とのセッションが終了するまで用いる。なお、通信手段１５０は、生成した暗号鍵を用いて送受信データを暗号化又は復号を行なって、アクセスポイント２０と通信する。
【００５３】
本実施形態によれば、以下のような効果を得ることができる。
・ 本実施形態では、ユーザ端末１０の制御部１００は、接続指示を受け入れると（ステップＳ１−１）、ユーザ識別子及びパスワードを取得して、ユーザ認証要求処理を実行する（ステップＳ１−２）。そして、ユーザ識別子及びパスワードを用いて認証情報管理サーバ５０が認証処理を実行すると、ユーザ認証サーバ４０は、その認証結果を、アクセスポイント２０を介してユーザ端末１０に送信する（ステップＳ１−５）。ユーザ端末１０の制御部１００は、認証に成功した認証結果を取得した場合には、ユーザ端末１０の制御部１００は、ＩＰアドレスの要求処理を実行する（ステップＳ１−８）。ＤＨＣＰサーバ３０は、ＩＰアドレス要求を受信すると、ＭＡＣアドレスの照合処理を実行し（ステップＳ１−１０）、照合が完了した場合には、ＩＰアドレスの配布処理を実行する（ステップＳ１−１１）。ユーザ端末１０は、このＩＰアドレスの配布処理で取得したＩＰアドレスを用いて、社内ネットワークＮ１に接続されているコンピュータからデータを取得できる。このため、ユーザ認証と端末認証との両方が成功した場合に限り、ユーザ端末１０は、社内ネットワークＮ１に接続することができるので、セキュリティを向上させることができる。
【００５４】
・ 本実施形態では、ユーザ端末１０が無線ＬＡＮ接続を行なうアクセスポイント２０は、ＩＥＥＥ８０２．１Ｘの認証規格に対応した無線ＬＡＮアクセスポイントである。このため、アクセスポイント２０は、ユーザ端末１０とのセッション開始時には、ユーザ認証サーバ４０への接続以外のものは受け付けない。従って、ユーザ認証に成功していないユーザ端末１０からのアクセスを自動的にアクセスポイント２０が拒否するので、ネットワークのセキュリティを、公知の技術を用いて向上することができる。
【００５５】
・ 本実施形態では、ＤＨＣＰサーバ３０は、ＭＡＣアドレスを取得すると、ＭＡＣアドレスデータ３１０と比較し、一致するＭＡＣアドレスデータ３１０が抽出できた場合には、ＩＰアドレス管理データ記憶部に記憶されているＩＰアドレスをユーザ端末１０に配布する。このため、事業所内のサブネットにおいて、複数のアクセスポイント２０が設け
られている場合であっても、ＤＨＣＰサーバ３０において、社内ネットワークＮ１に接続可能なユーザ端末１０のＭＡＣアドレスを一括して管理することができる。また、多数のユーザ端末１０が社内ネットワークＮ１に接続する場合であっても、各ユーザ端末１０にＩＰアドレスを手動で設定する必要がないので、設定を容易に行なうことができる。
【００５６】
・ 本実施形態では、ユーザ端末１０の制御部１００は、ＤＨＣＰ対応プログラムの処理よりも、サプリカントによる処理が優先的に実行されるように設定されている。このため、ユーザ端末１０の制御部１００は、接続指示の受入処理（ステップＳ１−１）を実行すると、ユーザ認証要求手段１３１がユーザ認証要求を実行する。これに応じて取得したユーザ認証結果が認証成功であった場合には、制御部１００は、ＩＰアドレスの要求処理を実行する（ステップＳ１−８）。このため、公知の技術を用いて、簡単な設定を行なうだけで、ユーザ認証を行なうとともに、端末認証も行なうことができる。
【００５７】
・ 本実施形態では、ユーザ認証要求を行なう場合、制御部１００は、ＩＥＥＥ８０２．１ＸのＥＡＰ−ＴＴＬＳ認証方式を用いて、アクセスポイント２０に対してユーザ識別子及びパスワードを送信する。ＥＡＰ−ＴＴＬＳ認証方式においては、ユーザ端末１０とユーザ認証サーバ４０との間で鍵の基データが生成される。ユーザ認証サーバ４０は、認証が成功した場合には鍵の基データをアクセスポイント２０に送信する。ユーザ端末１０及びアクセスポイント２０は、この鍵の基データを用いて暗号鍵を生成し、この暗号鍵を用いて暗号化通信を行なう。この鍵の基データは、認証の途中で生成され、認証を行なうたびに鍵の基データが決定されて変更されるので、セキュリティをより向上させた無線ＬＡＮ通信を行なうことができる。更に、ユーザ端末１０とアクセスポイント２０は、暗号鍵を送受信しないので、セキュリティをより向上させた無線ＬＡＮ通信を行なうことができる。
【００５８】
また、上記実施形態は以下のように変更してもよい。
○ 上記実施形態においては、制御部１００は、ユーザ認証を行なう場合、ＩＥＥＥ８０２．１Ｘの認証規格に対応した認証方式（認証プロトコル）としてＥＡＰ−ＴＴＬＳ方式を用いた。これに限らず、ＥＡＰ−ＴＬＳ（Extensible Authentication Protocol−Transport Layer Security）やＰＥＡＰ（Protected Extensible Authentication Protocol）等を用いてもよい。この場合、認証手順にＴＬＳの手順が含まれている認証方式を用いれば、認証を行なう毎に鍵の基データが生成される。このため、ユーザ端末１０が社内ネットワークＮ１に接続するたびに異なる暗号鍵が作成されて使用されるので、無線ＬＡＮにおいてセキュリティの向上を図ることができる。
【００５９】
○ 上記実施形態においては、ユーザ端末１０の制御部１００が、ユーザ認証手段、端末認証手段及び許可手段として機能した。これに限らず、ユーザ認証手段、端末認証手段及び許可手段としての機能をアクセスポイント２０に設けてもよい。この場合、アクセスポイント２０が接続制御装置として機能する。具体的には、アクセスポイント２０は、上記実施形態と同様に、ユーザ端末１０からのセッション開始時においては、ユーザ認証サーバに送信されるデータ以外のアクセスは拒否する。そして、ユーザ認証サーバ４０から、認証成功の認証結果とともに鍵の基データを受信した場合には、アクセスポイント２０は、ユーザ端末１０から取得したＭＡＣフレームに含まれるＭＡＣアドレスを、ＤＨＣＰサーバ３０に送信する。ＤＨＣＰサーバ３０は、受信したＭＡＣアドレスの照合処理を行ない（ステップＳ１−１０）、ＩＰアドレスの配布処理を実行する（ステップＳ１−１１）。アクセスポイント２０は、ＤＨＣＰサーバ３０から取得したＩＰアドレスをユーザ端末１０に送信する。ユーザ端末１０は、このＩＰアドレスを用いて社内ネットワークＮ１に接続されたコンピュータとデータの送受信を行なう。この場合においても、ユーザ認証及び端末認証の両方が成功しないと、ユーザ端末１０は社内ネットワークＮ１に接続できない。また、アクセスポイント２０は、ユーザ認証サーバ４０から鍵の基データを受信し
、この鍵の基データに基づく暗号鍵を用いて、ユーザ端末１０と暗号化通信を行なう。この鍵の基データは、認証を行なうたびに変更される。また、鍵自体をユーザ端末１０とアクセスポイント２０との間で交換する必要がない。従って、ユーザ端末１０とアクセスポイント２０との暗号化通信が解読され難く、より安全にデータの送受信を行なうことができる。
【００６０】
○ 上記実施形態においては、ユーザ端末１０の制御部１００は、起動したウェブブラウザを用いて、社内ネットワークＮ１への接続指示を取得した。接続指示を取得するためのプログラムは、これに限らず、ネットワーク等においてデータを閲覧・検索するアプリケーションソフトであればよい。
【図面の簡単な説明】
【００６１】
【図１】実施形態におけるシステムの概略図。
【図２】データの構成を説明する図であり、（ａ）はＭＡＣアドレスデータ記憶部、（ｂ）はユーザ管理データ記憶部に記録されたデータの説明図。
【図３】ユーザ端末の制御部の内部構成を説明するためのブロック図。
【図４】実施形態における認証処理の処理手順を説明するための流れ図。
【符号の説明】
【００６２】
Ｎ１…社内ネットワーク、１０…ユーザ端末、２０…アクセスポイント、２１…Ｌ２スイッチ、２２，４２…ルータ、３０…端末認証サーバとしてのＤＨＣＰサーバ、３１…ＭＡＣアドレスデータ記憶部、４０…ユーザ認証サーバ、５０…認証情報管理サーバ、５１…ユーザ管理データ記憶部、１００…制御部、１１０…接続指示受入手段、１２０…許可手段及び設定手段としての通信制御手段、１３１…ユーザ認証手段を構成するユーザ認証要求手段、１３２…ユーザ認証手段を構成するユーザ認証結果取得手段、１４１…端末認証手段として構成するＩＰアドレス要求手段、１４２…端末認証手段として構成するＩＰアドレス取得手段、１５０…暗号通信手段を含むネットワーク通信手段としての通信手段、３１０…ＭＡＣアドレスデータ、５１０…ユーザデータ。
【特許請求の範囲】
【請求項１】
ユーザのユーザ識別子及びパスワードを関連付けて記憶したユーザ認証サーバと、接続可能なユーザ端末のネットワーク通信手段を特定するＭＡＣアドレスが登録された端末認証サーバとが接続されているネットワークにアクセスするネットワーク通信手段の通信を制御する通信制御手段を備えた接続制御装置であって、
前記通信制御手段が、
前記ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユーザ識別子及びパスワードを含むユーザ認証要求を前記ユーザ認証サーバに送信して、このユーザ認証サーバにおけるユーザ認証結果を取得するユーザ認証手段と、
認証成功したことを示すユーザ認証結果を取得した場合には、前記ネットワーク通信手段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する端末認証手段と、
認証成功したことを示す端末認証結果を取得した場合には、前記ネットワーク通信手段に対して前記ネットワークへのアクセスを許可する許可手段と
を備えたことを特徴とする接続制御装置。
【請求項２】
前記端末認証サーバは、配布可能なＩＰアドレスを記憶しており、
前記端末認証手段は、前記端末認証サーバにおいて、前記ＭＡＣアドレスを用いた端末認証が成功した場合には、前記端末認証結果としてＩＰアドレスを受信し、
前記通信制御手段は、受信したＩＰアドレスを用いてネットワーク通信手段が前記ネットワークへのアクセスを行なうように設定する設定手段を更に備えたことを特徴とする請求項１に記載の接続制御装置。
【請求項３】
前記ユーザ端末は、前記ネットワークに接続するアクセスポイントに、無線ＬＡＮ接続により接続されており、
前記通信制御手段は、前記ユーザ端末に搭載されており、
前記ネットワーク通信手段は、前記ユーザ認証サーバとのデータ送受信において前記ユーザ認証手段が取得した鍵の基データに基づく暗号鍵を用いて、前記アクセスポイントと暗号化通信を行なう暗号通信手段を更に備えたことを特徴とする請求項１又は２に記載の接続制御装置。
【請求項４】
前記ユーザ端末は、前記ネットワークに接続するアクセスポイントに、無線ＬＡＮ接続により接続されており、
前記通信制御手段は、前記アクセスポイントに搭載されており、
前記通信制御手段は、前記ユーザ認証手段とのデータ送受信において前記ユーザ認証手段が取得した鍵の基データに基づく暗号鍵を用いて、前記ユーザ端末と暗号化通信を行なう暗号通信手段を更に備えたことを特徴とする請求項１又は２に記載の接続制御装置。
【請求項５】
ユーザのユーザ識別子及びパスワードを関連付けて記憶したユーザ認証サーバと、接続可能なユーザ端末のネットワーク通信手段を特定するＭＡＣアドレスが登録された端末認証サーバとが接続されているネットワークにアクセスするネットワーク通信手段の通信を制御する通信制御手段を備えた接続制御装置を用いた接続制御方法であって、
前記通信制御手段が、
前記ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユーザ識別子及びパスワードを含むユーザ認証要求を前記ユーザ認証サーバに送信して、このユーザ認証サーバにおけるユーザ認証結果を取得するユーザ認証段階、
認証成功したことを示すユーザ認証結果を取得した場合には、前記ネットワーク通信手
段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する端末認証段階、及び
認証成功したことを示す端末認証結果を取得した場合には、前記ネットワーク通信手段に対して前記ネットワークへのアクセスを許可する許可段階
を実行することを特徴とする接続制御方法。
【請求項６】
ユーザのユーザ識別子及びパスワードを関連付けて記憶したユーザ認証サーバと、接続可能なユーザ端末のネットワーク通信手段を特定するＭＡＣアドレスが登録された端末認証サーバとが接続されているネットワークにアクセスするネットワーク通信手段の通信を制御する通信制御手段を備えた接続制御装置を用いた接続制御プログラムであって、
前記通信制御手段を、
前記ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユーザ識別子及びパスワードを含むユーザ認証要求を前記ユーザ認証サーバに送信して、このユーザ認証サーバにおけるユーザ認証結果を取得するユーザ認証手段、
認証成功したことを示すユーザ認証結果を取得した場合には、前記ネットワーク通信手段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する端末認証手段、及び
認証成功したことを示す端末認証結果を取得した場合には、前記ネットワーク通信手段に対して前記ネットワークへのアクセスを許可する許可手段
として機能することを特徴とする接続制御プログラム。
【請求項１】
ユーザのユーザ識別子及びパスワードを関連付けて記憶したユーザ認証サーバと、接続可能なユーザ端末のネットワーク通信手段を特定するＭＡＣアドレスが登録された端末認証サーバとが接続されているネットワークにアクセスするネットワーク通信手段の通信を制御する通信制御手段を備えた接続制御装置であって、
前記通信制御手段が、
前記ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユーザ識別子及びパスワードを含むユーザ認証要求を前記ユーザ認証サーバに送信して、このユーザ認証サーバにおけるユーザ認証結果を取得するユーザ認証手段と、
認証成功したことを示すユーザ認証結果を取得した場合には、前記ネットワーク通信手段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する端末認証手段と、
認証成功したことを示す端末認証結果を取得した場合には、前記ネットワーク通信手段に対して前記ネットワークへのアクセスを許可する許可手段と
を備えたことを特徴とする接続制御装置。
【請求項２】
前記端末認証サーバは、配布可能なＩＰアドレスを記憶しており、
前記端末認証手段は、前記端末認証サーバにおいて、前記ＭＡＣアドレスを用いた端末認証が成功した場合には、前記端末認証結果としてＩＰアドレスを受信し、
前記通信制御手段は、受信したＩＰアドレスを用いてネットワーク通信手段が前記ネットワークへのアクセスを行なうように設定する設定手段を更に備えたことを特徴とする請求項１に記載の接続制御装置。
【請求項３】
前記ユーザ端末は、前記ネットワークに接続するアクセスポイントに、無線ＬＡＮ接続により接続されており、
前記通信制御手段は、前記ユーザ端末に搭載されており、
前記ネットワーク通信手段は、前記ユーザ認証サーバとのデータ送受信において前記ユーザ認証手段が取得した鍵の基データに基づく暗号鍵を用いて、前記アクセスポイントと暗号化通信を行なう暗号通信手段を更に備えたことを特徴とする請求項１又は２に記載の接続制御装置。
【請求項４】
前記ユーザ端末は、前記ネットワークに接続するアクセスポイントに、無線ＬＡＮ接続により接続されており、
前記通信制御手段は、前記アクセスポイントに搭載されており、
前記通信制御手段は、前記ユーザ認証手段とのデータ送受信において前記ユーザ認証手段が取得した鍵の基データに基づく暗号鍵を用いて、前記ユーザ端末と暗号化通信を行なう暗号通信手段を更に備えたことを特徴とする請求項１又は２に記載の接続制御装置。
【請求項５】
ユーザのユーザ識別子及びパスワードを関連付けて記憶したユーザ認証サーバと、接続可能なユーザ端末のネットワーク通信手段を特定するＭＡＣアドレスが登録された端末認証サーバとが接続されているネットワークにアクセスするネットワーク通信手段の通信を制御する通信制御手段を備えた接続制御装置を用いた接続制御方法であって、
前記通信制御手段が、
前記ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユーザ識別子及びパスワードを含むユーザ認証要求を前記ユーザ認証サーバに送信して、このユーザ認証サーバにおけるユーザ認証結果を取得するユーザ認証段階、
認証成功したことを示すユーザ認証結果を取得した場合には、前記ネットワーク通信手
段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する端末認証段階、及び
認証成功したことを示す端末認証結果を取得した場合には、前記ネットワーク通信手段に対して前記ネットワークへのアクセスを許可する許可段階
を実行することを特徴とする接続制御方法。
【請求項６】
ユーザのユーザ識別子及びパスワードを関連付けて記憶したユーザ認証サーバと、接続可能なユーザ端末のネットワーク通信手段を特定するＭＡＣアドレスが登録された端末認証サーバとが接続されているネットワークにアクセスするネットワーク通信手段の通信を制御する通信制御手段を備えた接続制御装置を用いた接続制御プログラムであって、
前記通信制御手段を、
前記ネットワークに対するアクセス指示をユーザ端末が取得した場合、ユーザのユーザ識別子及びパスワードを取得して、このユーザ識別子及びパスワードを含むユーザ認証要求を前記ユーザ認証サーバに送信して、このユーザ認証サーバにおけるユーザ認証結果を取得するユーザ認証手段、
認証成功したことを示すユーザ認証結果を取得した場合には、前記ネットワーク通信手段のＭＡＣアドレスを含む端末認証要求を前記端末認証サーバに送信して、この端末認証サーバにおける端末認証結果を取得する端末認証手段、及び
認証成功したことを示す端末認証結果を取得した場合には、前記ネットワーク通信手段に対して前記ネットワークへのアクセスを許可する許可手段
として機能することを特徴とする接続制御プログラム。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２００９−２２３３８９（Ｐ２００９−２２３３８９Ａ）
【公開日】平成２１年１０月１日（２００９．１０．１）
【国際特許分類】
【出願番号】特願２００８−６４２７５（Ｐ２００８−６４２７５）
【出願日】平成２０年３月１３日（２００８．３．１３）
【出願人】（０００００６７４７）株式会社リコー (37,907)
【出願人】（５９６０１７７６１）リコーテクノシステムズ株式会社 (37)
【Ｆターム（参考）】
【公開日】平成２１年１０月１日（２００９．１０．１）
【国際特許分類】
【出願日】平成２０年３月１３日（２００８．３．１３）
【出願人】（０００００６７４７）株式会社リコー (37,907)
【出願人】（５９６０１７７６１）リコーテクノシステムズ株式会社 (37)
【Ｆターム（参考）】
[ Back to top ]