無線装置、通信方法
【課題】センサネットワークにおけるデータ伝送の安全を確保しつつ、多くのセンサをもつ地域ネットワークを容易に実現することのできる無線装置、通信方法を提供する。
【解決手段】上記した課題を解決するため、本発明の一つの実施形態に係る無線装置は、センシング情報と自己の登録先を示す管理者情報とを保持したセンサが接続された第１のネットワーク、および、センサの登録情報および認証情報を保持するセンサ管理装置が接続された第２のネットワークに接続された無線装置であって、第１のネットワークに接続されセンサと通信するセンサ通信部と、第２のネットワークに接続されセンサ管理装置と通信するネットワーク通信部と、センサに保持された管理者情報に基づき、センサ管理装置からセンサの認証情報を取得する第１の認証部と、取得した認証情報を用いてセンサからセンシング情報を取得する第２の認証部とを備えたことを特徴としている。
【解決手段】上記した課題を解決するため、本発明の一つの実施形態に係る無線装置は、センシング情報と自己の登録先を示す管理者情報とを保持したセンサが接続された第１のネットワーク、および、センサの登録情報および認証情報を保持するセンサ管理装置が接続された第２のネットワークに接続された無線装置であって、第１のネットワークに接続されセンサと通信するセンサ通信部と、第２のネットワークに接続されセンサ管理装置と通信するネットワーク通信部と、センサに保持された管理者情報に基づき、センサ管理装置からセンサの認証情報を取得する第１の認証部と、取得した認証情報を用いてセンサからセンシング情報を取得する第２の認証部とを備えたことを特徴としている。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークにおけるセキュリティを確保する無線装置、通信方法に関する。
【背景技術】
【０００２】
新世代ネットワークの基礎技術を実現すべく、ネットワークアーキテクチャの確立および設計をするＡＫＡＲＩプロジェクトが進められている（非特許文献１）。そのプロジェクトにおいて、地域社会や住民、あるいはその地域を訪れた人が求める情報やサービスが適切なタイミングで提供される地域情報共有通信網「ＮｅｒｖｅＮｅｔ」が提唱されている。ＮｅｒｖｅＮｅｔでは、管理されたメッシュ型ネットワークがパケット伝送機能を提供し、周囲の環境を検出（センシング）する神経細胞として機能するセンサネットワーク（ＳＮ）およびデータベース（ＤＢ）が情報流通に用いられる。
【０００３】
一般に知られているセンサの利用形態においては、センサネットワークは通信プラットフォームに直接接続され、センサは個人環境を検出し、センサのデータはサーバに集められて保管された上で、エンドユーザに提供される。この形態では、個々人は、いつどこに個人環境が集められ保管されたのか、誰がこの集められた情報を用いるのかについて知ることができない。すなわち、個々人の位置情報や写真などの私的データをコントロールすることができない。
【０００４】
一方、ＮｅｒｖｅＮｅｔでは、センサが至るところに配置されてこそその真価を発揮できると言えるから、センサの数は多いほどセンサネットワークのユーザに利便が大きいことになる。しかし、現在のセンサの利用形態では、センサネットワークは特定のプロバイダより運営・維持されている。すなわち、ユーザはプロバイダ相互に閉じたセンサネットワークしか利用できず、利便性に欠けることになる。また、多くのセンサを配置する観点からも経済的に困難が伴うものである。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】独立行政法人情報通信研究機構、”Akari Architecture Design Project”、[online]、[平成22年8月12日検索]、インターネット<http://akari-project.nict.go.jp/>
【発明の概要】
【発明が解決しようとする課題】
【０００６】
このように、従来のセンサ使用方法では、ユーザが自己のデータを完全な支配下に置くことができないという問題がある。また、従来のセンサ使用方法では、多くのセンサを配置することが難しいという問題がある。本発明はかかる課題を解決するためになされたもので、センサネットワークにおけるデータ伝送の安全を確保しつつ、多くのセンサをもつ地域ネットワークを容易に実現することのできる無線装置、通信方法を提供することを目的としている。
【課題を解決するための手段】
【０００７】
上記した課題を解決するため、本発明の一つの実施形態に係る無線装置は、センシング情報と自己の登録先を示す管理者情報とを保持したセンサが接続された第１のネットワーク、および、センサの登録情報および認証情報を保持するセンサ管理装置が接続された第２のネットワークに接続された無線装置であって、第１のネットワークに接続されセンサと通信するセンサ通信部と、第２のネットワークに接続されセンサ管理装置と通信するネットワーク通信部と、センサに保持された管理者情報に基づき、センサ管理装置からセンサの認証情報を取得する第１の認証部と、取得した認証情報を用いてセンサからセンシング情報を取得する第２の認証部とを備えたことを特徴としている。
【発明の効果】
【０００８】
本発明によれば、センサネットワークにおけるデータ伝送の安全を確保しつつ、多くのセンサをもつ地域ネットワークを容易に実現することのできる無線装置、通信方法を提供することができる。
【図面の簡単な説明】
【０００９】
【図１】センサ情報を自己支配可能に流通する地域ネットワークについて説明する概念図である。
【図２】広範にセンサ情報を収集できる地域ネットワークを説明する概念図である。
【図３】第１の実施形態に係る無線システムの構成を説明するブロック図である。
【図４】第１の実施形態に係る無線システムの動作を説明する図である。
【図５】第１の実施形態に係る無線システムの動作を説明する図である。
【図６】第２の実施形態に係る無線システムの構成を説明するブロック図である。
【図７】ポリシーツリーの一例を示す図である。
【図８】ＳＮＳＰにおけるセンサの登録内容の例を示す図である。
【図９】第２の実施形態に係る無線システムの動作を説明する図である。
【図１０】第２の実施形態に係る無線システムの動作を説明する図である。
【発明を実施するための形態】
【００１０】
（地域ネットワークの概要）
図１を参照して、実施形態に係る無線システムの一要素となるセンサネットワークを含んだ地域ネットワークについて説明する。図１に示すように、センサネットワーク（以下「ＳＮ」と称する。）は、周囲の環境をセンシングするセンサＳからなるネットワークである。センサがセンシングする周囲の環境情報は、位置情報や気候情報など、センサが配置された場所・物に関係するあらゆる情報が含まれる。センサは、例えば無線などにより環境情報を発信可能に構成され、センサネットワークユーザ（以下「ＳＮＵ」と称する。）は、当該センサに接近した際に当該環境情報を受け取ることができる。
【００１１】
ＳＮＵは、センサが発信する環境情報を受け取る個人などであるが、無線システムにおける位置づけとしてはセンサと通信可能な無線端末になる。ＳＮＵは、周囲のセンサから環境情報を受け取るか否か、受け取った情報をどこに保管するか等を決定することができる。センサとＳＮＵとの間の通信を担う無線回線（第１の回線）は、比較的近距離で直接通信を行うように構成される。第１の回線は、例えばBluetooth（登録商標）のように双方向通信可能なものでもよいし、ＲＦＩＤのようにセンサからＳＮＵに対する一方向のものでもよい。
【００１２】
さらに、ＳＮＵは、基地局（以下「ＢＳ」と称する。）を介して特定のサーバと無線などの回線（第２の回線）を介して通信可能に構成されている。ＳＮＵは、第２の回線およびＢＳを介して、論理的ネットワークを管理する地域ネットワークプロバイダＲＮＰが提供する地域ネットワークＲＮに属している。ＢＳは、管理されたメッシュ型ネットワークを構成しデータを伝送する。ＳＮＵと通信するサーバ（以下「ＳＶ」と称する。）は、例えば、データベースやアプリケーションサービスを提供する地域サービスゲートウェイである。ＳＶは、ＳＮＵが自ら管理するものでもよいし、サービスプロバイダなどの管理下にあるものでも構わないが、既存の公衆通信ネットワークから論理的に分離されるように構成する。第２の回線からなる地域ネットワークＲＮ内では、プロバイダＲＮＰが提供する機能により、ＳＮＵ・ＳＶ・ＢＳ相互間の通信の安全が確保されている。一方、ＳＮは、メッシュ型ネットワークをなす第２の回線から独立した第１の回線からなるから、ＳＮは、ＳＮＵを介して地域ネットワークＲＮと接続されることになる。
【００１３】
ここで、ＳＮは、それぞれ異なるセンサ管理者（センサネットワークオーナー：ＳＮＯ）により管理されている。これは、センサ個々が十分に保護されていないことを意味する。一方、ＳＮＵがセンサから受け取る環境情報は、ＳＮＵが直接接近して受け取るものであるから、ＳＮＵたる個人のプライバシーを含みうるものである。例えば、環境情報が位置情報であれば、ＳＮＵの居場所を示すことになるし、環境情報が食料品店の商品のタグであれば、ＳＮＵたる個人が購入した物品を示すことになる。すなわち、センサが発する環境情報は、ＳＮＵと結びつくことでプライバシーの問題が発生する。
【００１４】
そこで、ＳＮＵたる個人のプライバシーを守るため、各所に配置されたセンサからなるＳＮは、３Ｇ回線や無線ＬＡＮなどの通信プラットフォームから論理的に分離されている。すなわち、ＳＮＵは、センサと直接第１の回線を介して通信して環境情報を受取るように構成される。ＳＮＵは、受け取った環境情報を、第２の回線を用いてユーザが選択したサーバＳＶに転送する。すなわち、センサとＳＮＵとの間は近距離の第１の回線を用い、ＳＮＵとサーバ等との間は論理的に他の回線と独立した第２の回線を用いることで、環境情報を安全にサーバまで転送することが可能となる。
【００１５】
このように、実施形態に係る無線システムは、複数のセンサをもつＳＮ、ＳＮのセンサから情報を受け取るＳＮＵ、当該ＳＮを管理するＳＮＯを結ぶネットワークを構成する。さらに、ＳＮＵが受け取った情報を保管する保管サーバをＳＶに加えて備えてもよいし、当該受け取った情報を用いてサービスを提供するアプリケーションサーバを備えてもよい。ＳＮＵ、保管サーバ、アプリケーションサーバの間を結ぶ通信は、前述の通り通信プラットフォームから論理的に分離された第２の回線を用いていれば、ＳＮＵからＳＶまでのプライバシーの問題は解消する。すなわち、ＳＮＵは、ＳＮＵのプライバシーに関係する環境情報を他の回線等と分離した完全に支配下に置くことができ、プライバシーを守ることができる。
【００１６】
（センサネットワークのセキュリティ）
続いて、図２を参照して、センサ管理者が複数存在する場合のＳＮのセキュリティについて説明する。
【００１７】
単一の管理者が数多くのセンサを自ら配置することは経済的に困難であり、ユーザの利便性も下げてしまうから、センサを配置する管理者は、複数存在することが望ましい。すなわち、ＳＮＵが新しい場所に移動すれば、そのＳＮＵは、その場所において異なるセンサ管理者（ＳＮＯ）により維持管理されているセンサと通信可能とすることが望ましい。ＳＮＯは、センサを維持管理する者であるが、無線システムにおける位置づけは配下のセンサを管理するサーバになる。
【００１８】
例えば、図２に示すように、ＳＮＵが矢印に沿って移動するケースを考える。ＳＮＵが、自己が所属するネットワーク圏内（ＲＮＸ）を移動して、ＳＮＯ１が管理するＳＮ１の周辺に位置した場合、ＳＮＵはＳＮ１に属するセンサにアクセス可能となる。続いてＳＮＵが移動してＳＮＯ２が管理するＳＮ２の周辺に移動した場合、ＳＮＵはＳＮ２に属するセンサにアクセス可能となる。さらに、ＳＮＵが、自己が所属するネットワークＲＮＸ圏内から外れてネットワークＲＮＹ圏内のＳＮＯ３が管理するＳＮ３の周辺に移動した場合、ＳＮ３に属するセンサにアクセス可能となる。
【００１９】
ＳＮＵが動き回ると、ＳＮＵはいくつかのＳＮ、例えばＳＮ１、ＳＮ２、ＳＮ３のように通過していく。これらのＳＮは、異なるＳＮＯ、すなわちＳＮＯ１、ＳＮＯ２、ＳＮＯ３に属している。ここで、ＳＮ１およびＳＮ２は地域ネットワークＲＮＸの域内にあり、ＳＮ３は同じくＲＮＹの域内にあるものとする。ＳＮＵがこれらのＳＮの域内にある場合、ＳＮＵはＳＮをなすセンサから個人や環境に関する情報を受け取ることができる。例えば、ＳＮＵは、ＳＮ１に属するセンサ１、ＳＮ２に属するセンサ２、ＳＮ３に属するセンサ３から直接情報を受け取ることができる。これらのセンサにアクセスする場合、ＳＮＵは、各々のセンサネットワークオーナー、すなわちＳＮＯ１、ＳＮＯ２およびＳＮＯ３から許可を得なければならない。
【００２０】
このように、ＳＮＵとセンサとの通信が一時的なものとなるような場合、すなわち、異なるＳＮをまたいでＳＮＵが移動するような場合、様々なセキュリティ上の脅威が考えられる。例えば、攻撃者が正規のセンサになりすましたり、偽造したＩＤを用いて誤った情報をＳＮＵに提供したりすることが考えられる。すなわち、攻撃者がセンサを介してユーザに攻撃するものである。一方、攻撃者が、正規のＳＮＵになりすましてセンサから情報を入手してしまうことも考えられる。さらには、伝送において認証のアサーション認可を改ざんすることも考えられる。こうした攻撃に対する防御をアーキテクチャレベルで検討する場合、センサネットワークユーザとセンサとの通信がオンデマンドで確立されること、センサには多くの機能を備えることができないこと等を考慮する必要がある。
【００２１】
ＳＮＵが移動する前提でセンサとＳＮＵとの間の通信に発生する脅威は、ＩＤ指向の攻撃とＭＩＭＡ（man-in-the-middle attack）とが考えられる。ＩＤ指向の攻撃は、虚偽・なりすまし・識別の偽造の使用として定義される。
【００２２】
センサに対する典型的なＩＤ指向の攻撃には、シビルアタック、なりすましアタック、偽造ＩＤアタック、および偽造所有者アタックが含まれる。シビルアタックでは、攻撃者はある特定の時点において一カ所以上の場所で複数の身元として振る舞うことで、誤った情報を提供する。 なりすましアタックでは、攻撃者は現存するセンサのＩＤを複製してこのＩＤを用いて誤った情報を提供する。偽造所有者アタックでは、攻撃者は、実際は所有者ではないのに所有者であると偽るものである。偽造ＩＤアタックでは、攻撃者は偽造したＩＤを用いてＳＮＵに誤った情報を提供する。
【００２３】
一方、ＳＮＵの観点からは、ＩＤ指向の攻撃は、ＳＮＵの偽造ＩＤアタックや偽造特権アタックとして説明される。ＳＮＵの偽造ＩＤアタックでは、攻撃者は偽造ＩＤを用いてセンサの情報を受け取る。偽造特権アタックでは、攻撃者は、センサ素子への特権を偽造して実際の条件を超えて情報を受け取る。
【００２４】
また、ＳＮＵからセンサへのメッセージは、マルチホップの形態によりいくつかの中間センサを横断することも可能である。攻撃者は、ＭＩＭＡを行うものとしてなりすまし、承認条件を変更してしまう。
【００２５】
これらのアタックを防ぐためには、次のセキュリティ要件を特定する必要がある。
（Ｓ１）アサーション認可（Assertion Authorization）：アサーション（Assertion）は、ＳＮＵの特権を表すのに用いられる。例えば、あるＳＮＵがある特定の日の一定時間の間、センサにアクセスしてローカル情報を取得することが承認される、というような条件を指す。
（Ｓ２）アサーション認可の完全性（Assertion Authorization Integrity）：ＳＮＵや中間に位置する転送センサのような中間要素によりアサーション認可が修正され得ないことを保証する。ＭＩＭＡを防ぐものである。
（Ｓ３）認可の柔軟性（Flexible Authorization）：ＳＮＵがセンサ群に自由にアクセスすることを認可する。これは、センサ群にアクセスするＳＮＵの要求を満たすものである。
（Ｓ４）センサオーナー認証（Sensor Ownership Authentication）：センサのオーナーが正しく証明されることを保証する。これは、センサへのＩＤ指向のアタックを防ぐものである。
（Ｓ５）ＳＮＵ身元認証：通信するセンサにＳＮＵの身元を保証する。これは、ＳＮＵの偽造ＩＤアタックを防ぐものである。
【００２６】
（第１の実施形態の構成）
続いて、図３および図４を参照して、この実施形態の無線システムについて詳細に説明する。図３に示すように、この実施形態の無線システムは、センサ１、センサネットワークユーザ（ＳＮＵ）２、基地局（ＢＳ）３、センサネットワークオーナー（ＳＮＯ）４、地域ネットワークプロバイダ（ＲＮＰ）５、およびサーバ（ＳＶ）６を有している。センサ１とＳＮＵ２とは、前述の第１の回線を用いた第１のネットワークを構成する。一方、ＳＮＵ２、ＢＳ３、ＳＮＯ４、ＲＮＰ５およびＳＶ６は、前述の第２の回線を用いた第２のネットワークを構成する。第１の回線（第１のネットワーク）と第２の回線（第２のネットワーク）は、物理的に独立している。以下の説明において、図１および図２と共通する機能要素については共通する略称および符号を用いて示すものとし、重複する説明を省略する。
【００２７】
センサ１は、周囲の環境をセンシングする無線装置の機能を有しており、アンテナ１１２、センサ無線部１１４、認証部１１６、センサ１１８ａおよびメモリ１１８ｂを有している。アンテナ１１２およびセンサ無線部１１４は、センサ１とＳＮＵ２とが通信を行う無線ユニットとして機能する。センサ部１１８ａは、センサ１の周囲環境をセンシングするセンサ素子であり、メモリ１１８ｂは、センサ１の周囲環境に関連する所定の情報を記憶するメモリ素子である。センサ部１１８ａおよびメモリ１１８ｂは、センサ１が提供する環境情報の種類によって適宜選択することができる。
【００２８】
ＳＮＵ２は、センサが発信する環境情報を受け取る無線端末であり、アンテナ１２１およびセンサ無線部１２２、認証部１２３、メモリ１２４、アンテナ１２５およびネットワーク（ＮＷ）無線部１２６、および変復調部１２７を有している。アンテナ１２１およびセンサ無線部１２２は、センサ１におけるアンテナ１１２およびセンサ無線部１１４と対応する無線ユニットであり、前述の第１の回線（第１のネットワーク）を構成する。認証部１２３は、センサ１の認証を行うとともにＳＮＵの認証を受けるための演算を行うプロセッサである。メモリ部１２４は、認証部１２３が演算に用いる暗号鍵などが格納されるメモリである。アンテナ１２５およびＮＷ無線部１２６は、ＳＮＵ２が属する地域ネットワークと前述の第２の回線（第２のネットワーク）を構築する無線ユニットである。アンテナ１２５およびＮＷ無線部１２６は、アンテナ１１２およびセンサ無線部１１４とは独立した回線（ネットワーク）を構成する。変復調部１２７は、第２の回線を通じて通信を行う変復調器であり、例えば携帯電話などの機能を提供する。
【００２９】
ＢＳ３は、ＳＮＵ２と第２の回線を用いてＳＮＵ２を地域ネットワークに接続する基地局である。ＢＳ３は、アンテナ１３１およびＮＷ無線部１３２、インタフェース（Ｉ／Ｆ）部１３３を有している。アンテナ１３１およびＮＷ無線部１３２は、ＳＮＵ２のアンテナ１２５およびＮＷ無線部１２６と対応する無線ユニットであり、ＳＮＵ２と第２の回線を通じて通信する。Ｉ／Ｆ部１３３は、アンテナ１３１およびＮＷ無線部１３２を介してＳＮＵ２から送られる情報およびＳＮＵ２へ送る情報を、地域ネットワーク（ＲＮ）へ送りまたは受け取るインタフェースである。すなわちＢＳ３は、ＳＮＵ２とＲＮとを接続する無線インタフェースとして機能する。
【００３０】
ＳＮＯ４は、センサ１が構成するセンサネットワーク（ＳＮ）を管理する管理装置である。ＳＮＯ４は、インタフェース（Ｉ／Ｆ）部１４１、センサ認証部１４２およびデータベース（ＤＢ）１４３を有している。Ｉ／Ｆ部１４１は、ＲＮと接続するネットワークインタフェースである。センサ認証部１４２は、ＳＮＵ２を介してセンサ１を認証するプロセッサである。ＤＢ１４３は、ＳＮＯ４が管理するセンサを登録するデータベースである。
【００３１】
地域ネットワークプロバイダ（ＲＮＰ）５は、ＳＮＵ２が属する地域ネットワークＲＮを管理する管理装置である。ＲＮＰ５は、インタフェース（Ｉ／Ｆ）部１５１、ネットワーク（ＮＷ）認証部１５２およびデータベース（ＤＢ）１５３を有している。Ｉ／Ｆ部１５１は、ＲＮと接続するネットワークインタフェースである。ＮＷ認証部１５２は、ＳＮＵ２の同一性（Identity）を認証するプロセッサである。ＤＢ１５３は、ＲＮＰ５が管理するＳＮＵを登録するデータベースである。
【００３２】
サーバ（ＳＶ）６は、ＳＮＵ２が利用するネットワークサーバである。ＳＶ６は、インタフェース（Ｉ／Ｆ）部１６１、認証部１６２およびデータベース（ＤＢ）１６３を有している。Ｉ／Ｆ部１６１は、ＲＮと接続するネットワークインタフェースである。認証部１６２は、ＳＮＵ２と論理的に第２の回線を構築するためのプロセッサである。ＤＢ１６３は、ＳＮＵ２がセンサ１から受け取った環境情報を格納する記憶部である。
【００３３】
（第１の実施形態の動作）
続いて、図３ないし図５を参照して、この実施形態の無線システムの動作を説明する。この実施形態では、ＳＮＯが生成した共通鍵（Ｋセンサ１−ＳＮＯ１）をＳＮＯとセンサとが保持している。以下の説明では、説明を単純化するため、図５に示す複数のＳＮＯのうちＳＮＯ４として「ＳＮＯ１」、センサ１として「センサ１」にアクセスするものとして、それぞれＳＮＯ４・センサ１と称して説明する。
【００３４】
ＳＮＵ２がセンサ１から情報を受け取る場合、ＳＮＵ２のセンサ無線部１２２は、センサ１の無線部１１４に対して環境情報の取得を要求する（ステップ１０１。以下「Ｓ１０１」のように称する。）。
【００３５】
環境情報の取得要求を受けると、センサ１の認証部１１６は、センサ１の管理者であるＳＮＯ４の情報を自己の記憶領域から読出し、センサ無線部１１４を介してＳＮＵ２に送信する（Ｓ１０２）。
【００３６】
ＳＮＯ４の情報を受け取ると、ＳＮＵ２の認証部１２３は、ＮＷ無線部１２６を介して、ＳＮＯ４に対しサービス要求、すなわち、センサ１へのアクセス要求を発する（Ｓ１０３）。
【００３７】
ＳＮＵ２からサービス要求を受けると、ＳＮＯ４のセンサ認証部１４２は、ＳＮＵ２を管理するＲＮＰ５に対し、ＳＮＵ２の身元、すなわちＳＮＵ２が正しくＲＮＰ５に管理されているユーザが否かを問い合わせる（Ｓ１０４）。
【００３８】
ＳＮＵ２について問い合わせを受けると、ＲＮＰ５のＮＷ認証部１５２は、ＤＢ１５３にＳＮＵ２が正式なネットワークユーザであるか確認する。確認が取れると、ＲＮＰ５のＮＷ認証部１５２は、身元認証の結果がＯＫである旨ＳＮＯ４に回答する（Ｓ１０５）。
【００３９】
身元認証ＯＫの結果を得ると、ＳＮＯ４は、ＳＮＵ２にアサーション（センサ１のアクセス許可）を与える（Ｓ１０６）。ＳＮＯ４は、ＳＮＵ２とセンサ１との間のセッション鍵（ＳＫ１）を生成し、ＳＮＵの権限を表現するアサーションの後に付加する。具体的には、ＳＮＯ４のセンサ認証部１４２は、アサーション（assertion）、ＳＫ１およびこれらのハッシュ値を共有鍵（Ｋセンサ―ＳＮＯ）を用いて暗号化し、その暗号化したメッセージにＳＫ１を付加してＳＮＵ２に伝送する。ここで、「アサーション（assertion）、ＳＫ１およびこれらのハッシュ値を共有鍵を用いて暗号化したメッセージ」を「{Assertion,ＳＫ１,Ｈ（Assertion,ＳＫ１）}Ｋセンサ―ＳＮＯ」と表し、アサーション認可と呼ぶ。なお、ＳＫ１は、ＳＮＵに対して安全に配布されるものとする。
【００４０】
ＳＮＯ４からメッセージとＳＫ１を受けると、ＳＮＵ２の認証部１２３は、乱数ＮＳＮＵを生成し、ＳＮＯ４から送られたメッセージ（アサーション認可）にＮＳＮＵを付加してセンサ１に送る（Ｓ１０７）。
【００４１】
ＮＳＮＵが付加されたメッセージを受けると、センサ１の認証部１１６は、ＳＮＯ４との共有鍵を用いてメッセージを復号してアサーション・ＳＫ１・ハッシュ値を取り出し、ハッシュ値をチェックしてアサーションが修正されていないかを確認し、アサーションを得る。アサーションを得ると、センサ１の認証部１１６は、乱数Ｎセンサを生成する。次いで、認証部１１６は、受け取ったＮＳＮＵをＳＫ１により暗号化し、暗号化したメッセージに乱数Ｎセンサを付加して、センサ無線部１１４を介してＳＮＵ２に送信する（Ｓ１０８）。
【００４２】
センサ１から乱数Ｎセンサが付加されたメッセージを受けると、ＳＮＵ２の認証部１２３は、ＳＮＯ４によりセンサ１が認証されたことを知る。すなわち、このセンサの管理者が保証される。そこで、ＳＮＵ２の認証部１２３は、乱数ＮセンサをＳＫ１により暗号化してセンサ無線部１２２を介してセンサ１に送信する（Ｓ１０９）。
【００４３】
暗号化された乱数Ｎセンサを受けると、センサ１の認証部１１６は、ＳＮＵ２の身元認証が得られたことを知る。すなわち、センサ１はＳＮＵの身元が信頼できることを知ることができる。センサ１のセンサ無線部１１４は、センサ１１８ａやメモリ１１８ｂから環境情報を読出してＳＮＵ２に送信する（Ｓ１１０）。
【００４４】
環境情報を受けると、ＳＮＵ２のＮＷ無線部１２６は、ＢＳ３を介してＳＶ６に環境情報を転送する（Ｓ１１１）。ＳＶ６のＩ／Ｆ部１６１は、受け取った環境情報をＤＢ１６３に格納する。
なお、センサが異なる地域ネットワークＲＮＹに属する場合、図５のステップ１０１＊ないし１０７＊のルートでＳＮＵにアサーション認可が与えられる。
【００４５】
このように、この実施形態の無線システムでは、ＳＮＵがセンサにアクセスする際の認証問題を解決することができる。ここでは、ＳＮＵが図５に示すセンサ１にアクセスするものとして説明したが、ＳＮＵが図５に示すセンサ３にアクセする場合は、認証先がセンサ３を管理するＳＮＯ３となる。また、ＳＮＵが図５に示す自己の地域ネットワークＲＮＸに存在しない場合（図５に示すＲＮＹに存在する場合）、ＳＮＵの認証を行うＲＮＰへの問い合わせが、所在地のＲＮＹを構築するＲＮＰＹではなく本拠地たるＲＮＰＸ宛になる。
【００４６】
（第２の実施形態）
第１の実施形態に係る無線システムでは、アサーション認可が用いられ、アサーションを用いてＳＮＵからセンサへのアクセス権限が規定される。また、第１の実施形態に係る無線システムでは、各センサと対応するＳＮＯとの間で共有鍵が用いられている。こうした方法を用いることで、ＳＮＵは、ＳＮＯからセンサへのアクセスに必要となる度にアサーション認可を得ることになる。
【００４７】
第２の実施形態に係る無線システムでは、センサネットワークサービスプロバイダ（ＳＮＳＰ）を要素として含んでいる。ＳＮＳＰは、異なるＳＮＯに属するセンサを共用し、ＳＮＵに対して柔軟なセンサアクセス権限を提供する。センサの共用を可能にするには、異なるＳＮＳＰが秘密を維持した異なるマスター鍵を用い、センサが一つのＳＮＳＰについて一つの秘密鍵を保持する。
【００４８】
柔軟なアサーション認可の発行には、ＳＮＵに対しセンサの柔軟なアクセス権限を承認するため、暗号文ポリシー属性ベース暗号化（Ciphertext-Policy Attribute Based Encryption：CP-ABE）が用いられる。ＳＮＵが情報受け取りを求めるとき、ＳＮＵはＳＮＳＰへクエリを送る。ＳＮＳＰは、ＳＮＵに好ましいセンサを探索してＳＮＵに対して選択したセンサのアクセス権限承認を発行する。
【００４９】
（第２の実施形態の構成）
図６を参照して、第２の実施形態に係る無線システムの構成を説明する。この実施形態の無線システムは、第１の実施形態の無線システムにセンサネットワークサービスプロバイダ（ＳＮＳＰ）をさらに備えたものである。以下の説明において、第１の実施形態と共通する構成について共通の符号を付して示し、重複する説明を省略する。
【００５０】
図６に示すように、この実施形態の無線システムは、センサ１、センサネットワークユーザ（ＳＮＵ）２、基地局（ＢＳ）３、センサネットワークオーナー（ＳＮＯ）４、地域ネットワークプロバイダ（ＲＮＰ）５、サーバ（ＳＶ）６、およびセンサネットワークサービスプロバイダ（ＳＮＳＰ）７を有している。このうち、センサ１、ＳＮＵ２、ＢＳ３、ＳＮＯ４、ＲＮＰ５およびＳＶ６は、第１の実施形態と共通する。
【００５１】
ＳＮＳＰ７は、様々なＳＮＯにより管理されたセンサを共用してＳＮＵにサービスを提供するサービスプロバイダである。ＳＮＳＰ７は、インタフェース（Ｉ／Ｆ）部１７１、認証部１７２およびデータベース（ＤＢ）１７３を有している。Ｉ／Ｆ部１７１は、第２のネットワークたるＲＮと接続するネットワークインタフェースである。認証部１７２は、センサの登録、センサ通信の検査、センサ情報の通知とクエリ処理、および承認を行うプロセッサである。ＤＢ１７３は、ＳＮＯ４から送られるセンサ情報を格納する記憶部である。
【００５２】
認証部１７２によるセンサ情報の登録機能は、ＳＮＯから送られた管理下にあるセンサの情報をＤＢ１７３に登録し、認可ポリシーを設定する機能である。認証部１７２によるセンサ通信の検査機能は、ＳＮＵに対しよりよいサービスを提供すべくＳＮＯに求める機能である。認証部１７２によるセンサ情報の通知とクエリ処理機能は、ＳＮＵの要求に合致するセンサをＤＢ１７３から選択する機能である。認証部１７２による認可機能は、ＳＮＵに対してＤＢ１７３から選択されたセンサのフレキシブルなアクセス権限を承認する機能である。
【００５３】
（第２の実施形態でのアクセス制御）
センサの秘密鍵の生成やＳＮＵへのアサーション認可の発行には、柔軟なアクセス制御を可能にするＣＰ−ＡＢＥを用いる。すなわち、各々のセンサは、属性に対応した秘密鍵を保持する。ＣＰ−ＡＢＥは、異なる属性ポリシーツリーを用いてメッセージを暗号化することにより、センサを特定することができる。
【００５４】
ＣＰ−ＡＢＥでは、秘密鍵の生成手順において、各センサに一つのユニークな乱数が用いられる。すなわち、全く同一の属性を持つ２つのセンサがあったとしても、それぞれ異なる秘密鍵を持つようにする。また、ＳＮＳＰは、異なるマスター鍵（master key）と異なるパラメータを用いて、センサの共用を可能とする。もしあるセンサが複数のＳＮＳＰにより共用されると、センサは、ＳＮＳＰそれぞれに対応する秘密鍵を保持することになる。
【００５５】
柔軟な承認を実現するためにＣＰ−ＡＢＥを用いる場合、解決すべきいくつかの課題が考えられる。
【００５６】
１．属性の選択
将来的に、全てのセンサが異なるＳＮＯに属するように配置される可能性がある。同一の属性であっても、異なるＳＮＯは異なる値を持つかもしれない。属性の数が増加すると、管理することが困難になってくる。本発明者らは、既知の属性値はＣＰ−ＡＢＥのセキュリティに影響を与えないことを見いだした。そこで、ＳＮＳＰから抽出した属性を保管する属性サーバを用いることとする。ＳＮＳＰがＳＮＵを承認するとき、ＳＮＳＰは、属性サーバから属性をダウンロードし、ポリシーツリーを生成し、アサーションを暗号化する。
【００５７】
属性の生成に続いて、属性の種類が問題となる。属性は、静的属性と動的属性とに分けることができる。センサの静的属性は、例えば、位置センシングや写真センシングなどのようなセンサの種類である。センサの動的属性は、センサが移動可能であることから、例えばセンサの位置である。
【００５８】
位置は、センサの重要な属性であり、センサを識別するために用いることができる。ＳＮＵがセンサからのサービスを要求すると、これらのセンサは位置などの属性を用いて探索される。位置属性としては、センサの位置を示す２つの方法が挙げられる。一方は現実の物理アドレスを用いる方法であり、他方は論理アドレスを用いる方法である。センサ毎の物理アドレスや物理領域の境界線を追跡するのは簡単ではないから、位置属性としては論理アドレスが用いられる。
【００５９】
２．移動性
センサは、移動することが可能である。そのため、位置の属性は更新されなければならない。位置属性が変更されると、当該センサにより保持された秘密鍵もまた変更される。センサは、ネットワークのプラットフォームと直接接続されていないから、センサがＳＮＳＰと接続して秘密鍵を更新するのは簡単ではない。そこで、移動性を隠す粒度を用いることで、属性を頻繁には変更しない。一つの属性として、「移動性」を設定する。
【００６０】
３．廃止
センサに障害が発生したとき、そのセンサは廃止されなければならない。もし、あるセンサを信頼できないことが判明した場合、以後ポリシーツリーに含めない処理をする。それにより、ＳＮＵは当該センサへのアクセスができなくなり、ＳＮＵに誤った情報を提供することがなくなる。
【００６１】
４．異なるＳＮＯに属するセンサへの複数の認可
もしあるＳＮＯについて、ＳＮＳＰがＳＮＵにアサーション認可を与えた場合、ＳＮＵはこの承認を区別して正しい承認証を正しいセンサに与えなければならない。あるＳＮＯにセンサのある属性を設定すると、いくつかのＳＮＯのための異なるポリシーツリーが結合される。
【００６２】
図７に示すのは、ポリシーツリーの例である。ポリシーツリーＰＴは、二次元の広がりを持ったアクセス権の範囲を示す情報である。図７に示すポリシーツリーにより暗号化されたアサーションが認可されたＳＮＵは、ＳＮＯ１に管理され渋谷地域と新宿地域に配置された位置センサやＳＮＯ２により管理され大阪地域に配置されたフォトセンサにアクセスすることができる。
【００６３】
以下、認可のための属性鍵暗号システムについて説明する。ＳＮＳＰは、センサの鍵サーバとして機能する。ＳＮＯは、属性と関連づけられた秘密鍵をセンサにインストールする。センサは、その秘密鍵を用いてメッセージを復号する。
【００６４】
１）セットアップ：ＳＮＳＰは、２本の線のグループとマスター鍵（master key：ＭＫ）と公開鍵（public key：ＰＫ）を選択する。ＳＮＯは、センサの情報をＳＮＳＰに登録する。図８は、センサの情報の記録の例である。ＳＮＳＰは、全ての属性が属性サーバに存在するか否かチェックする。もし新規の属性が存在する場合、当該属性は抽出されて属性サーバに保管される。
【００６５】
２）鍵生成：ＳＮＳＰは、属性Ｓに基づき関数KeyGen(MK,S)を用いてセンサの秘密鍵を生成する。もしあるセンサが移動可能なセンサである場合、いくつかの秘密鍵が割り当てられる。各秘密鍵は、異なる粒度で生成される。例えば、あるセンサが現在(BSZ, ClusterY, NerveNetX)に存在する場合、位置(BSZ, ClusterY, NerveNetX)に基づき一つの秘密鍵が粒度１で割り当てられ、位置(ClusterY, NerveNetX)に基づき一つの秘密鍵が粒度２で割り当てられ、位置(NerveNetX)に基づき一つの秘密鍵が粒度３で割り当てられる。このセンサがBSZの領域から外に移動すると、粒度２の秘密鍵のみが用いられる。同様に、このセンサがClusterY の領域から外に移動すると、粒度３の秘密鍵のみが用いられる。これらの秘密鍵が生成された後、ＳＮＳＰは、これらの秘密鍵を当該センサの管理者たるＳＮＯに送る。ＳＮＯは、これらの秘密鍵を対応するセンサにインストールする。
【００６６】
ＳＮＳＰは、異なるセンサに対して秘密鍵を生成するとき、異なる乱数を用いる。もしＳＮＯが配下のセンサをいくつかのＳＮＳＰに登録し、これらのＳＮＳＰがこれらのセンサを共用すると、各々のＳＮＳＰは自己のマスター鍵を用いてこれらのセンサのために秘密鍵を生成する。このように、各センサはＳＮＳＰ毎に一つの秘密鍵を保持し、それがＳＮＳＰに登録される。
【００６７】
３）暗号化：センサを探索した後、ＳＮＳＰはこれらのセンサの属性に基づいてポリシーツリーＰＴを生成する。そして、ＳＮＳＰは、属性サーバから属性をダウンロードする。これらの属性は、ＳＮＯや位置、他の属性を含んでいる。ＳＮＯは、関数Encryption(PK, M, T)を用いてアサーションを暗号化する。ここで、Ｍ（メッセージ）はアサーションとＳＫである。ＳＮＳＰは、センサのブラックリストを保持していて、ポリシーツリーを生成するときこれらのセンサがポリシーツリーに含まれないようにする。
【００６８】
４）復号：センサは、関数Decrypt(CT, PrivateKey)により自己が保持する秘密鍵を用いてメッセージを復号する。ＰＴを満足する属性を保持するセンサのみがメッセージを正しく復号することができる。鍵生成手順においていくつかの粒度を追加し、各センサは対応するＳＮＳＰの秘密鍵を複数提供されるかもしれないが、ＣＰ−ＡＢＥの根幹は変わらない。柔軟なアサーション認可手順はＣＰ−ＡＢＥにより安全が確保される。
【００６９】
このように、この実施形態ではセンサは、属性に対応しペアリング関数やハッシュ関数を持った一以上の秘密鍵を保持する。移動可能なセンサは、異なる粒度でいくつかの秘密鍵を保持することになる。ＳＮＳＰは、ペアリング関数、公開鍵、マスター鍵を保持する。
【００７０】
（第２の実施形態の動作）
以下、図６ないし図１０を参照して、具体的動作を説明する。以下の説明においても、説明を単純化するため、図５に示す複数のＳＮＯのうちＳＮＯ４として「ＳＮＯ１」、センサ１として「センサ１」にアクセスするものとして、それぞれＳＮＯ４・センサ１と称して説明する。
【００７１】
ＳＮＯ４は、第２の回線を介して配下のＳＮに属するセンサに関するセンサ情報をＳＮＳＰ７に登録し、認可ポリシーをＳＮＳＰ７に設定する（Ｓ２００）。センサ情報と認可ポリシーを受け取ると、ＳＮＳＰ７は、センサの属性を抽出して属性サーバとして機能するＤＢ１７３に格納する。
【００７２】
次いで、ＳＮＳＰ７は、各属性に従って各センサの秘密鍵を生成し、第２の回線を介して対応するＳＮＯ４に送る（Ｓ２０１）。秘密鍵を受けたＳＮＯ４は、受け取った秘密鍵を対応するセンサに導入（インストール）する（Ｓ２０２）。秘密鍵の導入は、センサとＳＮＯとを結ぶ第３の回線を介してもよいし、直接導入してもよい。
【００７３】
ＳＮＵ２がセンサ１のような属性を持つセンサ群から情報を受け取る場合、ＳＮＵ２のセンサ無線部１２１は、ＮＷ無線部１２６を介して、ユーザの興味に基づくセンサ群の属性を含む関心事項情報をクエリとしてＳＮＳＰ７に送る（Ｓ２０３）。クエリを受けたＳＮＳＰ７は、センサ情報データベースとしても機能するＤＢ１７３から、クエリに含まれるセンサの属性等に関係するセンサを選択する。
【００７４】
センサを選択すると、ＳＮＳＰ７の認証部１７２は、ＳＮＵ２を管理するＲＮＰ５に対し、ＳＮＵ２の身元、すなわち正しくＲＮＰ５に管理されているユーザが否かを問い合わせる（Ｓ２０４）。
【００７５】
ＳＮＵ２について問い合わせを受けると、ＲＮＰ５のＮＷ認証部１５２は、ＤＢ１５３にＳＮＵ２が正式なネットワークユーザであるか確認する。確認が取れると、ＲＮＰ５のＮＷ認証部１５２は、身元認証の結果がＯＫである旨ＳＮＳＰ７に回答する（Ｓ２０５）。
【００７６】
身元認証ＯＫの結果を得ると、ＳＮＳＰ７は、ＳＮＵ２にアサーション（センサ１のアクセス許可）を与える（Ｓ２０６）。まず、ＳＮＳＰ７は、選択したセンサ群の属性に基づき、例えば図７に示すようなポリシーツリーＰＴを生成する。図７に示す例では、ＳＮＯ１の管理下の特定のセンサとＳＮＯ２の管理下の特定のセンサとがＰＴに含まれているから、これらのセンサは、ＰＴを用いて暗号化したメッセージをステップ２０２で導入した秘密鍵を用いて復号可能な状態となる。一方、例えばＳＮＯ３などは含まれていないから、ＳＮＯ３の管理下のセンサは、当該ＰＴを用いて暗号化したメッセージを復号することができないことになる。
続いて、ＳＮＳＰ７は、ＳＮＵ２とセンサ１との間のセッション鍵（ＳＫ１）を生成し、ＳＮＵの権限を表現するアサーションの後に付加する。具体的には、ＳＮＳＰ７の認証部１７２は、アサーション（assertion）、ＳＫ１およびこれらのハッシュ値を、ＳＮＳＰ７の公開鍵および生成したポリシーツリーを用いて暗号化し、その暗号化したメッセージにＳＫ１を付加してＳＮＵ２に伝送する。ここで、「アサーション（assertion）、SK1およびこれらのハッシュ値を公開鍵およびポリシーツリーを用いて暗号化したメッセージ」を「{Assertion,ＳＫ１,Ｈ（Assertion,ＳＫ１）}（ＰＫ，ＰＴ）」と表す。なお、ＳＫ１は、ＳＮＵに対して安全に配布されるものとする。この状態で、ＳＮＵ２は、センサ１から情報を受け取る準備が整ったことになる。
もし選択されたセンサが異なる地域ネットワークＲＮＹに属する場合は、当該ＲＮＹに属するＳＮＳＰ（図１０の例ではＳＮＳＰ３）を経由し、図１０のステップ２０５ａ・２０５ｂ・２０６ａのルートでＳＮＵにアサーション認可が与えられる。
【００７７】
ＳＮＵ２のセンサ無線部１２１は、センサ１の無線部１１４に対して環境情報の取得を要求する（Ｓ２０７）。このとき、センサ１は、複数のＳＮＳＰにより共用されていてもよい。
【００７８】
環境情報の取得要求を受けると、センサ１の認証部１１６は、センサ１が登録されているＳＮＳＰ７の情報を自己の記憶領域から読出し、センサ無線部１１４を介してＳＮＵ２に送信する（Ｓ２０８）。
【００７９】
ＳＮＳＰ７の情報を受けると、ＳＮＵ２の認証部１２３は、当該情報に対応するＳＮＳＰ７から受け取っていたアサーションの認可を探索する。そして、認証部１２３は、乱数ＮＳＮＵを生成し、ＳＮＳＰ７からステップ２０６にて送られたアサーション認可のメッセージに乱数ＮＳＮＵおよび対応するＳＮＳＰ７の情報を付加してセンサ１に送る（Ｓ２０９）。
【００８０】
乱数ＮＳＮＵおよびＳＮＳＰ７の情報が付加されたメッセージを受けると、センサ１の認証部１１６は、秘密鍵を用いてメッセージを復号してアサーション・ＳＫ１・ハッシュ値を取り出し、ハッシュ値をチェックしてアサーションが修正されていないかを確認し、アサーションを得る。前述の通り、ＳＮＳＰ７が暗号化に用いたポリシーツリーＰＴにセンサ１が含まれていれば、復号に成功することになる。アサーションを得ると、センサ１の認証部１１６は、乱数Ｎセンサを生成する。次いで、認証部１１６は、受け取った乱数ＮＳＮＵをＳＫ１により暗号化し、暗号化したメッセージに乱数Ｎセンサを付加して、センサ無線部１１４を介してＳＮＵ２に送信する（Ｓ２１０）。
【００８１】
センサ１から乱数Ｎセンサが付加されたメッセージを受けると、ＳＮＵ２の認証部１２３は、ＳＮＳＰ７により認証されたことを知る。すなわち、このセンサの管理者ＳＮＯがＳＮＳＰを介して保証される。そこで、ＳＮＵ２の認証部１２３は、乱数ＮセンサをＳＫ１により暗号化してセンサ無線部１２２を介してセンサ１に送信する（Ｓ２１１）。
【００８２】
暗号化された乱数Ｎセンサを受けると、センサ１の認証部１１６は、ＳＮＵ２の身元認証が得られたことを知る。すなわち、センサ１はＳＮＵの身元が信頼できることを知ることができる。センサ１のセンサ無線部１１４は、センサ１１８ａやメモリ１１８ｂから環境情報を読出してＳＮＵ２に送信する（Ｓ２１２）。
【００８３】
環境情報を受けると、ＳＮＵ２のＮＷ無線部１２６は、ＢＳ３を介してＳＶ６に環境情報を転送する（Ｓ２１３）。ＳＶ６のＩ／Ｆ部１６１は、受け取った環境情報をＤＢ１６３に格納する。
なお、一旦ＳＮＳＰ７からアサーションを付与されると、ＳＮＳＰにより選択されポリシーツリーＰＴに規定されたセンサに対してアサーションにより連続して情報要求が可能である。すなわち、ポリシーツリーの範囲内で、ステップ２０７から２１２までを行うことで、連続して情報要求と情報取得を行うことができる。
【００８４】
第１の実施形態と第２の実施形態との相違点は、アサーション認可の暗号化方法である。第１の実施形態では、ＳＮＯとセンサとの間の共有鍵が暗号化に用いられたが、第２の実施形態では、公開鍵ＰＫおよびポリシーツリーＰＴが用いられる。第２の実施形態の無線システムでは、各センサが異なる秘密鍵を保持し、所望のセンサ群がメッセージの復号を可能にしている。
【００８５】
この実施形態では、アサーションの同一性を担保するため、アサーションとＳＫ１のハッシュ値H(Assertion, SK1)を用いている。もし中間のセンサや他の中間に位置する攻撃者がこのメッセージを改竄した場合、アサーションとＳＫ１のハッシュ値が同一とはならない。すなわち、中間での改竄の有無を確認することができる。
【００８６】
メッセージには、ＳＮＳＰにより割り当てられたＳＫ１がセッション鍵として用いられる。ＳＮＳＰは、ＳＫ１とともにＳＮＵに通知するので、これによりＳＮＵはＳＫ１を知ることができる。また、アサーションを復号した後、目的のセンサもこのＳＫ１を知ることができる。
【００８７】
柔軟な（フレキシブルな）センサのグループは、ポリシーツリーＰＴにより設定され、これはアサーション認可の暗号化の際に用いられる。
【００８８】
アサーションは、ＰＫおよびＰＴにより暗号化される。アサーションとＳＫ１は、公開鍵ＰＫおよびポリシーツリーＰＴにより暗号化される。これにより、ＰＴに規定された属性を持つセンサのみがメッセージを復号することができる。ここで、乱数ＮＳＮＵがセンサ管理者の認証を手助けする。アサーション認可を復号することができたセンサのみがセッション鍵ＳＫ１を得ることができる。すなわち、もしセンサがＳＫ１により正しく暗号化された乱数ＮＳＮＵを返答した場合、その属性はＰＴを満足することになる。これは、センサの管理者認証が達成されたことを意味している。
【００８９】
乱数Ｎセンサは、ＳＮＵの身元を認証する手助けをする。自己が属する地域ネットワークのプロバイダＲＮＰにより認証されたＳＮＵのみがＳＫ１を知ることができる。すなわち、もしＳＮＵがＳＫ１により正しく暗号化された乱数Ｎセンサを返答した場合、そのＳＮＵは真正のＳＮＵであることになる。
【００９０】
以上説明したとおり、第１の実施形態ではセンサとＳＮＯの間で共通鍵を用いており、ＳＮＵの同一性はＲＮＰにより担保される。あるＳＮＵがセンサから情報取得を望む場合、ＳＮＵは、まずＳＮＯからアサーション認可を取得し、ＳＮＵはセンサにこの認可を提示して情報取得を実現する。従って、比較的簡単にセンサおよびその管理者たるＳＮＯとＳＮＵの認証を実現することができる。
【００９１】
一方、第２の実施形態では、ＣＰ−ＡＢＥを用いて事前にセンサへのアクセス承認を取得している。属性に基づいてセンサの秘密鍵を生成する鍵サーバとして機能するＳＮＳＰを配置し、ＳＮＳＰがマスター鍵を用いて各センサの秘密鍵を生成することで、同じセンサの共用を可能にしている。あるＳＮＵがセンサから情報取得を望む場合、ＳＮＵはＳＮＳＰに所望のサービスをクエリとして送り、ＳＮＳＰは予めＳＮＯにより登録されたセンサから適当なセンサ群を選択し、ポリシーツリーを生成し、アサーション認可を暗号化してＳＮＵに返答する。ＳＮＵは、送られたアサーション認可を用いてセンサから直接環境情報を取得する。従って、センサからの情報取得に先立って認証を完了するため、複数のセンサから連続して情報を取得するような場合に、センサ個々のアサーション認可処理が省略され、高速処理が可能となる。また、特定のセンサを指定した情報要求ではなく、所望のセンサ群からなるサービス提供の要求という形を取り、ＳＮＳＰが当該サービスに応じて適宜選択したセンサ群を選択するので、ユーザの利便性が向上する。
【００９２】
このように、以上説明した実施形態では、センサネットワークにおけるデータ伝送の安全を確保しつつ、多くのセンサをもつ地域センサネットワークを容易に実現することができる。また、複数のサービスプロバイダが存在した場合に、異なるセンサ管理者に属するセンサを共有することができる。
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え，変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【００９３】
１…センサ、２…センサネットワークユーザ、３…基地局、４…センサネットワークオーナー、５…地域ネットワークプロバイダ、６…サーバ、７…センサネットワークサービスプロバイダ。
【技術分野】
【０００１】
本発明は、ネットワークにおけるセキュリティを確保する無線装置、通信方法に関する。
【背景技術】
【０００２】
新世代ネットワークの基礎技術を実現すべく、ネットワークアーキテクチャの確立および設計をするＡＫＡＲＩプロジェクトが進められている（非特許文献１）。そのプロジェクトにおいて、地域社会や住民、あるいはその地域を訪れた人が求める情報やサービスが適切なタイミングで提供される地域情報共有通信網「ＮｅｒｖｅＮｅｔ」が提唱されている。ＮｅｒｖｅＮｅｔでは、管理されたメッシュ型ネットワークがパケット伝送機能を提供し、周囲の環境を検出（センシング）する神経細胞として機能するセンサネットワーク（ＳＮ）およびデータベース（ＤＢ）が情報流通に用いられる。
【０００３】
一般に知られているセンサの利用形態においては、センサネットワークは通信プラットフォームに直接接続され、センサは個人環境を検出し、センサのデータはサーバに集められて保管された上で、エンドユーザに提供される。この形態では、個々人は、いつどこに個人環境が集められ保管されたのか、誰がこの集められた情報を用いるのかについて知ることができない。すなわち、個々人の位置情報や写真などの私的データをコントロールすることができない。
【０００４】
一方、ＮｅｒｖｅＮｅｔでは、センサが至るところに配置されてこそその真価を発揮できると言えるから、センサの数は多いほどセンサネットワークのユーザに利便が大きいことになる。しかし、現在のセンサの利用形態では、センサネットワークは特定のプロバイダより運営・維持されている。すなわち、ユーザはプロバイダ相互に閉じたセンサネットワークしか利用できず、利便性に欠けることになる。また、多くのセンサを配置する観点からも経済的に困難が伴うものである。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】独立行政法人情報通信研究機構、”Akari Architecture Design Project”、[online]、[平成22年8月12日検索]、インターネット<http://akari-project.nict.go.jp/>
【発明の概要】
【発明が解決しようとする課題】
【０００６】
このように、従来のセンサ使用方法では、ユーザが自己のデータを完全な支配下に置くことができないという問題がある。また、従来のセンサ使用方法では、多くのセンサを配置することが難しいという問題がある。本発明はかかる課題を解決するためになされたもので、センサネットワークにおけるデータ伝送の安全を確保しつつ、多くのセンサをもつ地域ネットワークを容易に実現することのできる無線装置、通信方法を提供することを目的としている。
【課題を解決するための手段】
【０００７】
上記した課題を解決するため、本発明の一つの実施形態に係る無線装置は、センシング情報と自己の登録先を示す管理者情報とを保持したセンサが接続された第１のネットワーク、および、センサの登録情報および認証情報を保持するセンサ管理装置が接続された第２のネットワークに接続された無線装置であって、第１のネットワークに接続されセンサと通信するセンサ通信部と、第２のネットワークに接続されセンサ管理装置と通信するネットワーク通信部と、センサに保持された管理者情報に基づき、センサ管理装置からセンサの認証情報を取得する第１の認証部と、取得した認証情報を用いてセンサからセンシング情報を取得する第２の認証部とを備えたことを特徴としている。
【発明の効果】
【０００８】
本発明によれば、センサネットワークにおけるデータ伝送の安全を確保しつつ、多くのセンサをもつ地域ネットワークを容易に実現することのできる無線装置、通信方法を提供することができる。
【図面の簡単な説明】
【０００９】
【図１】センサ情報を自己支配可能に流通する地域ネットワークについて説明する概念図である。
【図２】広範にセンサ情報を収集できる地域ネットワークを説明する概念図である。
【図３】第１の実施形態に係る無線システムの構成を説明するブロック図である。
【図４】第１の実施形態に係る無線システムの動作を説明する図である。
【図５】第１の実施形態に係る無線システムの動作を説明する図である。
【図６】第２の実施形態に係る無線システムの構成を説明するブロック図である。
【図７】ポリシーツリーの一例を示す図である。
【図８】ＳＮＳＰにおけるセンサの登録内容の例を示す図である。
【図９】第２の実施形態に係る無線システムの動作を説明する図である。
【図１０】第２の実施形態に係る無線システムの動作を説明する図である。
【発明を実施するための形態】
【００１０】
（地域ネットワークの概要）
図１を参照して、実施形態に係る無線システムの一要素となるセンサネットワークを含んだ地域ネットワークについて説明する。図１に示すように、センサネットワーク（以下「ＳＮ」と称する。）は、周囲の環境をセンシングするセンサＳからなるネットワークである。センサがセンシングする周囲の環境情報は、位置情報や気候情報など、センサが配置された場所・物に関係するあらゆる情報が含まれる。センサは、例えば無線などにより環境情報を発信可能に構成され、センサネットワークユーザ（以下「ＳＮＵ」と称する。）は、当該センサに接近した際に当該環境情報を受け取ることができる。
【００１１】
ＳＮＵは、センサが発信する環境情報を受け取る個人などであるが、無線システムにおける位置づけとしてはセンサと通信可能な無線端末になる。ＳＮＵは、周囲のセンサから環境情報を受け取るか否か、受け取った情報をどこに保管するか等を決定することができる。センサとＳＮＵとの間の通信を担う無線回線（第１の回線）は、比較的近距離で直接通信を行うように構成される。第１の回線は、例えばBluetooth（登録商標）のように双方向通信可能なものでもよいし、ＲＦＩＤのようにセンサからＳＮＵに対する一方向のものでもよい。
【００１２】
さらに、ＳＮＵは、基地局（以下「ＢＳ」と称する。）を介して特定のサーバと無線などの回線（第２の回線）を介して通信可能に構成されている。ＳＮＵは、第２の回線およびＢＳを介して、論理的ネットワークを管理する地域ネットワークプロバイダＲＮＰが提供する地域ネットワークＲＮに属している。ＢＳは、管理されたメッシュ型ネットワークを構成しデータを伝送する。ＳＮＵと通信するサーバ（以下「ＳＶ」と称する。）は、例えば、データベースやアプリケーションサービスを提供する地域サービスゲートウェイである。ＳＶは、ＳＮＵが自ら管理するものでもよいし、サービスプロバイダなどの管理下にあるものでも構わないが、既存の公衆通信ネットワークから論理的に分離されるように構成する。第２の回線からなる地域ネットワークＲＮ内では、プロバイダＲＮＰが提供する機能により、ＳＮＵ・ＳＶ・ＢＳ相互間の通信の安全が確保されている。一方、ＳＮは、メッシュ型ネットワークをなす第２の回線から独立した第１の回線からなるから、ＳＮは、ＳＮＵを介して地域ネットワークＲＮと接続されることになる。
【００１３】
ここで、ＳＮは、それぞれ異なるセンサ管理者（センサネットワークオーナー：ＳＮＯ）により管理されている。これは、センサ個々が十分に保護されていないことを意味する。一方、ＳＮＵがセンサから受け取る環境情報は、ＳＮＵが直接接近して受け取るものであるから、ＳＮＵたる個人のプライバシーを含みうるものである。例えば、環境情報が位置情報であれば、ＳＮＵの居場所を示すことになるし、環境情報が食料品店の商品のタグであれば、ＳＮＵたる個人が購入した物品を示すことになる。すなわち、センサが発する環境情報は、ＳＮＵと結びつくことでプライバシーの問題が発生する。
【００１４】
そこで、ＳＮＵたる個人のプライバシーを守るため、各所に配置されたセンサからなるＳＮは、３Ｇ回線や無線ＬＡＮなどの通信プラットフォームから論理的に分離されている。すなわち、ＳＮＵは、センサと直接第１の回線を介して通信して環境情報を受取るように構成される。ＳＮＵは、受け取った環境情報を、第２の回線を用いてユーザが選択したサーバＳＶに転送する。すなわち、センサとＳＮＵとの間は近距離の第１の回線を用い、ＳＮＵとサーバ等との間は論理的に他の回線と独立した第２の回線を用いることで、環境情報を安全にサーバまで転送することが可能となる。
【００１５】
このように、実施形態に係る無線システムは、複数のセンサをもつＳＮ、ＳＮのセンサから情報を受け取るＳＮＵ、当該ＳＮを管理するＳＮＯを結ぶネットワークを構成する。さらに、ＳＮＵが受け取った情報を保管する保管サーバをＳＶに加えて備えてもよいし、当該受け取った情報を用いてサービスを提供するアプリケーションサーバを備えてもよい。ＳＮＵ、保管サーバ、アプリケーションサーバの間を結ぶ通信は、前述の通り通信プラットフォームから論理的に分離された第２の回線を用いていれば、ＳＮＵからＳＶまでのプライバシーの問題は解消する。すなわち、ＳＮＵは、ＳＮＵのプライバシーに関係する環境情報を他の回線等と分離した完全に支配下に置くことができ、プライバシーを守ることができる。
【００１６】
（センサネットワークのセキュリティ）
続いて、図２を参照して、センサ管理者が複数存在する場合のＳＮのセキュリティについて説明する。
【００１７】
単一の管理者が数多くのセンサを自ら配置することは経済的に困難であり、ユーザの利便性も下げてしまうから、センサを配置する管理者は、複数存在することが望ましい。すなわち、ＳＮＵが新しい場所に移動すれば、そのＳＮＵは、その場所において異なるセンサ管理者（ＳＮＯ）により維持管理されているセンサと通信可能とすることが望ましい。ＳＮＯは、センサを維持管理する者であるが、無線システムにおける位置づけは配下のセンサを管理するサーバになる。
【００１８】
例えば、図２に示すように、ＳＮＵが矢印に沿って移動するケースを考える。ＳＮＵが、自己が所属するネットワーク圏内（ＲＮＸ）を移動して、ＳＮＯ１が管理するＳＮ１の周辺に位置した場合、ＳＮＵはＳＮ１に属するセンサにアクセス可能となる。続いてＳＮＵが移動してＳＮＯ２が管理するＳＮ２の周辺に移動した場合、ＳＮＵはＳＮ２に属するセンサにアクセス可能となる。さらに、ＳＮＵが、自己が所属するネットワークＲＮＸ圏内から外れてネットワークＲＮＹ圏内のＳＮＯ３が管理するＳＮ３の周辺に移動した場合、ＳＮ３に属するセンサにアクセス可能となる。
【００１９】
ＳＮＵが動き回ると、ＳＮＵはいくつかのＳＮ、例えばＳＮ１、ＳＮ２、ＳＮ３のように通過していく。これらのＳＮは、異なるＳＮＯ、すなわちＳＮＯ１、ＳＮＯ２、ＳＮＯ３に属している。ここで、ＳＮ１およびＳＮ２は地域ネットワークＲＮＸの域内にあり、ＳＮ３は同じくＲＮＹの域内にあるものとする。ＳＮＵがこれらのＳＮの域内にある場合、ＳＮＵはＳＮをなすセンサから個人や環境に関する情報を受け取ることができる。例えば、ＳＮＵは、ＳＮ１に属するセンサ１、ＳＮ２に属するセンサ２、ＳＮ３に属するセンサ３から直接情報を受け取ることができる。これらのセンサにアクセスする場合、ＳＮＵは、各々のセンサネットワークオーナー、すなわちＳＮＯ１、ＳＮＯ２およびＳＮＯ３から許可を得なければならない。
【００２０】
このように、ＳＮＵとセンサとの通信が一時的なものとなるような場合、すなわち、異なるＳＮをまたいでＳＮＵが移動するような場合、様々なセキュリティ上の脅威が考えられる。例えば、攻撃者が正規のセンサになりすましたり、偽造したＩＤを用いて誤った情報をＳＮＵに提供したりすることが考えられる。すなわち、攻撃者がセンサを介してユーザに攻撃するものである。一方、攻撃者が、正規のＳＮＵになりすましてセンサから情報を入手してしまうことも考えられる。さらには、伝送において認証のアサーション認可を改ざんすることも考えられる。こうした攻撃に対する防御をアーキテクチャレベルで検討する場合、センサネットワークユーザとセンサとの通信がオンデマンドで確立されること、センサには多くの機能を備えることができないこと等を考慮する必要がある。
【００２１】
ＳＮＵが移動する前提でセンサとＳＮＵとの間の通信に発生する脅威は、ＩＤ指向の攻撃とＭＩＭＡ（man-in-the-middle attack）とが考えられる。ＩＤ指向の攻撃は、虚偽・なりすまし・識別の偽造の使用として定義される。
【００２２】
センサに対する典型的なＩＤ指向の攻撃には、シビルアタック、なりすましアタック、偽造ＩＤアタック、および偽造所有者アタックが含まれる。シビルアタックでは、攻撃者はある特定の時点において一カ所以上の場所で複数の身元として振る舞うことで、誤った情報を提供する。 なりすましアタックでは、攻撃者は現存するセンサのＩＤを複製してこのＩＤを用いて誤った情報を提供する。偽造所有者アタックでは、攻撃者は、実際は所有者ではないのに所有者であると偽るものである。偽造ＩＤアタックでは、攻撃者は偽造したＩＤを用いてＳＮＵに誤った情報を提供する。
【００２３】
一方、ＳＮＵの観点からは、ＩＤ指向の攻撃は、ＳＮＵの偽造ＩＤアタックや偽造特権アタックとして説明される。ＳＮＵの偽造ＩＤアタックでは、攻撃者は偽造ＩＤを用いてセンサの情報を受け取る。偽造特権アタックでは、攻撃者は、センサ素子への特権を偽造して実際の条件を超えて情報を受け取る。
【００２４】
また、ＳＮＵからセンサへのメッセージは、マルチホップの形態によりいくつかの中間センサを横断することも可能である。攻撃者は、ＭＩＭＡを行うものとしてなりすまし、承認条件を変更してしまう。
【００２５】
これらのアタックを防ぐためには、次のセキュリティ要件を特定する必要がある。
（Ｓ１）アサーション認可（Assertion Authorization）：アサーション（Assertion）は、ＳＮＵの特権を表すのに用いられる。例えば、あるＳＮＵがある特定の日の一定時間の間、センサにアクセスしてローカル情報を取得することが承認される、というような条件を指す。
（Ｓ２）アサーション認可の完全性（Assertion Authorization Integrity）：ＳＮＵや中間に位置する転送センサのような中間要素によりアサーション認可が修正され得ないことを保証する。ＭＩＭＡを防ぐものである。
（Ｓ３）認可の柔軟性（Flexible Authorization）：ＳＮＵがセンサ群に自由にアクセスすることを認可する。これは、センサ群にアクセスするＳＮＵの要求を満たすものである。
（Ｓ４）センサオーナー認証（Sensor Ownership Authentication）：センサのオーナーが正しく証明されることを保証する。これは、センサへのＩＤ指向のアタックを防ぐものである。
（Ｓ５）ＳＮＵ身元認証：通信するセンサにＳＮＵの身元を保証する。これは、ＳＮＵの偽造ＩＤアタックを防ぐものである。
【００２６】
（第１の実施形態の構成）
続いて、図３および図４を参照して、この実施形態の無線システムについて詳細に説明する。図３に示すように、この実施形態の無線システムは、センサ１、センサネットワークユーザ（ＳＮＵ）２、基地局（ＢＳ）３、センサネットワークオーナー（ＳＮＯ）４、地域ネットワークプロバイダ（ＲＮＰ）５、およびサーバ（ＳＶ）６を有している。センサ１とＳＮＵ２とは、前述の第１の回線を用いた第１のネットワークを構成する。一方、ＳＮＵ２、ＢＳ３、ＳＮＯ４、ＲＮＰ５およびＳＶ６は、前述の第２の回線を用いた第２のネットワークを構成する。第１の回線（第１のネットワーク）と第２の回線（第２のネットワーク）は、物理的に独立している。以下の説明において、図１および図２と共通する機能要素については共通する略称および符号を用いて示すものとし、重複する説明を省略する。
【００２７】
センサ１は、周囲の環境をセンシングする無線装置の機能を有しており、アンテナ１１２、センサ無線部１１４、認証部１１６、センサ１１８ａおよびメモリ１１８ｂを有している。アンテナ１１２およびセンサ無線部１１４は、センサ１とＳＮＵ２とが通信を行う無線ユニットとして機能する。センサ部１１８ａは、センサ１の周囲環境をセンシングするセンサ素子であり、メモリ１１８ｂは、センサ１の周囲環境に関連する所定の情報を記憶するメモリ素子である。センサ部１１８ａおよびメモリ１１８ｂは、センサ１が提供する環境情報の種類によって適宜選択することができる。
【００２８】
ＳＮＵ２は、センサが発信する環境情報を受け取る無線端末であり、アンテナ１２１およびセンサ無線部１２２、認証部１２３、メモリ１２４、アンテナ１２５およびネットワーク（ＮＷ）無線部１２６、および変復調部１２７を有している。アンテナ１２１およびセンサ無線部１２２は、センサ１におけるアンテナ１１２およびセンサ無線部１１４と対応する無線ユニットであり、前述の第１の回線（第１のネットワーク）を構成する。認証部１２３は、センサ１の認証を行うとともにＳＮＵの認証を受けるための演算を行うプロセッサである。メモリ部１２４は、認証部１２３が演算に用いる暗号鍵などが格納されるメモリである。アンテナ１２５およびＮＷ無線部１２６は、ＳＮＵ２が属する地域ネットワークと前述の第２の回線（第２のネットワーク）を構築する無線ユニットである。アンテナ１２５およびＮＷ無線部１２６は、アンテナ１１２およびセンサ無線部１１４とは独立した回線（ネットワーク）を構成する。変復調部１２７は、第２の回線を通じて通信を行う変復調器であり、例えば携帯電話などの機能を提供する。
【００２９】
ＢＳ３は、ＳＮＵ２と第２の回線を用いてＳＮＵ２を地域ネットワークに接続する基地局である。ＢＳ３は、アンテナ１３１およびＮＷ無線部１３２、インタフェース（Ｉ／Ｆ）部１３３を有している。アンテナ１３１およびＮＷ無線部１３２は、ＳＮＵ２のアンテナ１２５およびＮＷ無線部１２６と対応する無線ユニットであり、ＳＮＵ２と第２の回線を通じて通信する。Ｉ／Ｆ部１３３は、アンテナ１３１およびＮＷ無線部１３２を介してＳＮＵ２から送られる情報およびＳＮＵ２へ送る情報を、地域ネットワーク（ＲＮ）へ送りまたは受け取るインタフェースである。すなわちＢＳ３は、ＳＮＵ２とＲＮとを接続する無線インタフェースとして機能する。
【００３０】
ＳＮＯ４は、センサ１が構成するセンサネットワーク（ＳＮ）を管理する管理装置である。ＳＮＯ４は、インタフェース（Ｉ／Ｆ）部１４１、センサ認証部１４２およびデータベース（ＤＢ）１４３を有している。Ｉ／Ｆ部１４１は、ＲＮと接続するネットワークインタフェースである。センサ認証部１４２は、ＳＮＵ２を介してセンサ１を認証するプロセッサである。ＤＢ１４３は、ＳＮＯ４が管理するセンサを登録するデータベースである。
【００３１】
地域ネットワークプロバイダ（ＲＮＰ）５は、ＳＮＵ２が属する地域ネットワークＲＮを管理する管理装置である。ＲＮＰ５は、インタフェース（Ｉ／Ｆ）部１５１、ネットワーク（ＮＷ）認証部１５２およびデータベース（ＤＢ）１５３を有している。Ｉ／Ｆ部１５１は、ＲＮと接続するネットワークインタフェースである。ＮＷ認証部１５２は、ＳＮＵ２の同一性（Identity）を認証するプロセッサである。ＤＢ１５３は、ＲＮＰ５が管理するＳＮＵを登録するデータベースである。
【００３２】
サーバ（ＳＶ）６は、ＳＮＵ２が利用するネットワークサーバである。ＳＶ６は、インタフェース（Ｉ／Ｆ）部１６１、認証部１６２およびデータベース（ＤＢ）１６３を有している。Ｉ／Ｆ部１６１は、ＲＮと接続するネットワークインタフェースである。認証部１６２は、ＳＮＵ２と論理的に第２の回線を構築するためのプロセッサである。ＤＢ１６３は、ＳＮＵ２がセンサ１から受け取った環境情報を格納する記憶部である。
【００３３】
（第１の実施形態の動作）
続いて、図３ないし図５を参照して、この実施形態の無線システムの動作を説明する。この実施形態では、ＳＮＯが生成した共通鍵（Ｋセンサ１−ＳＮＯ１）をＳＮＯとセンサとが保持している。以下の説明では、説明を単純化するため、図５に示す複数のＳＮＯのうちＳＮＯ４として「ＳＮＯ１」、センサ１として「センサ１」にアクセスするものとして、それぞれＳＮＯ４・センサ１と称して説明する。
【００３４】
ＳＮＵ２がセンサ１から情報を受け取る場合、ＳＮＵ２のセンサ無線部１２２は、センサ１の無線部１１４に対して環境情報の取得を要求する（ステップ１０１。以下「Ｓ１０１」のように称する。）。
【００３５】
環境情報の取得要求を受けると、センサ１の認証部１１６は、センサ１の管理者であるＳＮＯ４の情報を自己の記憶領域から読出し、センサ無線部１１４を介してＳＮＵ２に送信する（Ｓ１０２）。
【００３６】
ＳＮＯ４の情報を受け取ると、ＳＮＵ２の認証部１２３は、ＮＷ無線部１２６を介して、ＳＮＯ４に対しサービス要求、すなわち、センサ１へのアクセス要求を発する（Ｓ１０３）。
【００３７】
ＳＮＵ２からサービス要求を受けると、ＳＮＯ４のセンサ認証部１４２は、ＳＮＵ２を管理するＲＮＰ５に対し、ＳＮＵ２の身元、すなわちＳＮＵ２が正しくＲＮＰ５に管理されているユーザが否かを問い合わせる（Ｓ１０４）。
【００３８】
ＳＮＵ２について問い合わせを受けると、ＲＮＰ５のＮＷ認証部１５２は、ＤＢ１５３にＳＮＵ２が正式なネットワークユーザであるか確認する。確認が取れると、ＲＮＰ５のＮＷ認証部１５２は、身元認証の結果がＯＫである旨ＳＮＯ４に回答する（Ｓ１０５）。
【００３９】
身元認証ＯＫの結果を得ると、ＳＮＯ４は、ＳＮＵ２にアサーション（センサ１のアクセス許可）を与える（Ｓ１０６）。ＳＮＯ４は、ＳＮＵ２とセンサ１との間のセッション鍵（ＳＫ１）を生成し、ＳＮＵの権限を表現するアサーションの後に付加する。具体的には、ＳＮＯ４のセンサ認証部１４２は、アサーション（assertion）、ＳＫ１およびこれらのハッシュ値を共有鍵（Ｋセンサ―ＳＮＯ）を用いて暗号化し、その暗号化したメッセージにＳＫ１を付加してＳＮＵ２に伝送する。ここで、「アサーション（assertion）、ＳＫ１およびこれらのハッシュ値を共有鍵を用いて暗号化したメッセージ」を「{Assertion,ＳＫ１,Ｈ（Assertion,ＳＫ１）}Ｋセンサ―ＳＮＯ」と表し、アサーション認可と呼ぶ。なお、ＳＫ１は、ＳＮＵに対して安全に配布されるものとする。
【００４０】
ＳＮＯ４からメッセージとＳＫ１を受けると、ＳＮＵ２の認証部１２３は、乱数ＮＳＮＵを生成し、ＳＮＯ４から送られたメッセージ（アサーション認可）にＮＳＮＵを付加してセンサ１に送る（Ｓ１０７）。
【００４１】
ＮＳＮＵが付加されたメッセージを受けると、センサ１の認証部１１６は、ＳＮＯ４との共有鍵を用いてメッセージを復号してアサーション・ＳＫ１・ハッシュ値を取り出し、ハッシュ値をチェックしてアサーションが修正されていないかを確認し、アサーションを得る。アサーションを得ると、センサ１の認証部１１６は、乱数Ｎセンサを生成する。次いで、認証部１１６は、受け取ったＮＳＮＵをＳＫ１により暗号化し、暗号化したメッセージに乱数Ｎセンサを付加して、センサ無線部１１４を介してＳＮＵ２に送信する（Ｓ１０８）。
【００４２】
センサ１から乱数Ｎセンサが付加されたメッセージを受けると、ＳＮＵ２の認証部１２３は、ＳＮＯ４によりセンサ１が認証されたことを知る。すなわち、このセンサの管理者が保証される。そこで、ＳＮＵ２の認証部１２３は、乱数ＮセンサをＳＫ１により暗号化してセンサ無線部１２２を介してセンサ１に送信する（Ｓ１０９）。
【００４３】
暗号化された乱数Ｎセンサを受けると、センサ１の認証部１１６は、ＳＮＵ２の身元認証が得られたことを知る。すなわち、センサ１はＳＮＵの身元が信頼できることを知ることができる。センサ１のセンサ無線部１１４は、センサ１１８ａやメモリ１１８ｂから環境情報を読出してＳＮＵ２に送信する（Ｓ１１０）。
【００４４】
環境情報を受けると、ＳＮＵ２のＮＷ無線部１２６は、ＢＳ３を介してＳＶ６に環境情報を転送する（Ｓ１１１）。ＳＶ６のＩ／Ｆ部１６１は、受け取った環境情報をＤＢ１６３に格納する。
なお、センサが異なる地域ネットワークＲＮＹに属する場合、図５のステップ１０１＊ないし１０７＊のルートでＳＮＵにアサーション認可が与えられる。
【００４５】
このように、この実施形態の無線システムでは、ＳＮＵがセンサにアクセスする際の認証問題を解決することができる。ここでは、ＳＮＵが図５に示すセンサ１にアクセスするものとして説明したが、ＳＮＵが図５に示すセンサ３にアクセする場合は、認証先がセンサ３を管理するＳＮＯ３となる。また、ＳＮＵが図５に示す自己の地域ネットワークＲＮＸに存在しない場合（図５に示すＲＮＹに存在する場合）、ＳＮＵの認証を行うＲＮＰへの問い合わせが、所在地のＲＮＹを構築するＲＮＰＹではなく本拠地たるＲＮＰＸ宛になる。
【００４６】
（第２の実施形態）
第１の実施形態に係る無線システムでは、アサーション認可が用いられ、アサーションを用いてＳＮＵからセンサへのアクセス権限が規定される。また、第１の実施形態に係る無線システムでは、各センサと対応するＳＮＯとの間で共有鍵が用いられている。こうした方法を用いることで、ＳＮＵは、ＳＮＯからセンサへのアクセスに必要となる度にアサーション認可を得ることになる。
【００４７】
第２の実施形態に係る無線システムでは、センサネットワークサービスプロバイダ（ＳＮＳＰ）を要素として含んでいる。ＳＮＳＰは、異なるＳＮＯに属するセンサを共用し、ＳＮＵに対して柔軟なセンサアクセス権限を提供する。センサの共用を可能にするには、異なるＳＮＳＰが秘密を維持した異なるマスター鍵を用い、センサが一つのＳＮＳＰについて一つの秘密鍵を保持する。
【００４８】
柔軟なアサーション認可の発行には、ＳＮＵに対しセンサの柔軟なアクセス権限を承認するため、暗号文ポリシー属性ベース暗号化（Ciphertext-Policy Attribute Based Encryption：CP-ABE）が用いられる。ＳＮＵが情報受け取りを求めるとき、ＳＮＵはＳＮＳＰへクエリを送る。ＳＮＳＰは、ＳＮＵに好ましいセンサを探索してＳＮＵに対して選択したセンサのアクセス権限承認を発行する。
【００４９】
（第２の実施形態の構成）
図６を参照して、第２の実施形態に係る無線システムの構成を説明する。この実施形態の無線システムは、第１の実施形態の無線システムにセンサネットワークサービスプロバイダ（ＳＮＳＰ）をさらに備えたものである。以下の説明において、第１の実施形態と共通する構成について共通の符号を付して示し、重複する説明を省略する。
【００５０】
図６に示すように、この実施形態の無線システムは、センサ１、センサネットワークユーザ（ＳＮＵ）２、基地局（ＢＳ）３、センサネットワークオーナー（ＳＮＯ）４、地域ネットワークプロバイダ（ＲＮＰ）５、サーバ（ＳＶ）６、およびセンサネットワークサービスプロバイダ（ＳＮＳＰ）７を有している。このうち、センサ１、ＳＮＵ２、ＢＳ３、ＳＮＯ４、ＲＮＰ５およびＳＶ６は、第１の実施形態と共通する。
【００５１】
ＳＮＳＰ７は、様々なＳＮＯにより管理されたセンサを共用してＳＮＵにサービスを提供するサービスプロバイダである。ＳＮＳＰ７は、インタフェース（Ｉ／Ｆ）部１７１、認証部１７２およびデータベース（ＤＢ）１７３を有している。Ｉ／Ｆ部１７１は、第２のネットワークたるＲＮと接続するネットワークインタフェースである。認証部１７２は、センサの登録、センサ通信の検査、センサ情報の通知とクエリ処理、および承認を行うプロセッサである。ＤＢ１７３は、ＳＮＯ４から送られるセンサ情報を格納する記憶部である。
【００５２】
認証部１７２によるセンサ情報の登録機能は、ＳＮＯから送られた管理下にあるセンサの情報をＤＢ１７３に登録し、認可ポリシーを設定する機能である。認証部１７２によるセンサ通信の検査機能は、ＳＮＵに対しよりよいサービスを提供すべくＳＮＯに求める機能である。認証部１７２によるセンサ情報の通知とクエリ処理機能は、ＳＮＵの要求に合致するセンサをＤＢ１７３から選択する機能である。認証部１７２による認可機能は、ＳＮＵに対してＤＢ１７３から選択されたセンサのフレキシブルなアクセス権限を承認する機能である。
【００５３】
（第２の実施形態でのアクセス制御）
センサの秘密鍵の生成やＳＮＵへのアサーション認可の発行には、柔軟なアクセス制御を可能にするＣＰ−ＡＢＥを用いる。すなわち、各々のセンサは、属性に対応した秘密鍵を保持する。ＣＰ−ＡＢＥは、異なる属性ポリシーツリーを用いてメッセージを暗号化することにより、センサを特定することができる。
【００５４】
ＣＰ−ＡＢＥでは、秘密鍵の生成手順において、各センサに一つのユニークな乱数が用いられる。すなわち、全く同一の属性を持つ２つのセンサがあったとしても、それぞれ異なる秘密鍵を持つようにする。また、ＳＮＳＰは、異なるマスター鍵（master key）と異なるパラメータを用いて、センサの共用を可能とする。もしあるセンサが複数のＳＮＳＰにより共用されると、センサは、ＳＮＳＰそれぞれに対応する秘密鍵を保持することになる。
【００５５】
柔軟な承認を実現するためにＣＰ−ＡＢＥを用いる場合、解決すべきいくつかの課題が考えられる。
【００５６】
１．属性の選択
将来的に、全てのセンサが異なるＳＮＯに属するように配置される可能性がある。同一の属性であっても、異なるＳＮＯは異なる値を持つかもしれない。属性の数が増加すると、管理することが困難になってくる。本発明者らは、既知の属性値はＣＰ−ＡＢＥのセキュリティに影響を与えないことを見いだした。そこで、ＳＮＳＰから抽出した属性を保管する属性サーバを用いることとする。ＳＮＳＰがＳＮＵを承認するとき、ＳＮＳＰは、属性サーバから属性をダウンロードし、ポリシーツリーを生成し、アサーションを暗号化する。
【００５７】
属性の生成に続いて、属性の種類が問題となる。属性は、静的属性と動的属性とに分けることができる。センサの静的属性は、例えば、位置センシングや写真センシングなどのようなセンサの種類である。センサの動的属性は、センサが移動可能であることから、例えばセンサの位置である。
【００５８】
位置は、センサの重要な属性であり、センサを識別するために用いることができる。ＳＮＵがセンサからのサービスを要求すると、これらのセンサは位置などの属性を用いて探索される。位置属性としては、センサの位置を示す２つの方法が挙げられる。一方は現実の物理アドレスを用いる方法であり、他方は論理アドレスを用いる方法である。センサ毎の物理アドレスや物理領域の境界線を追跡するのは簡単ではないから、位置属性としては論理アドレスが用いられる。
【００５９】
２．移動性
センサは、移動することが可能である。そのため、位置の属性は更新されなければならない。位置属性が変更されると、当該センサにより保持された秘密鍵もまた変更される。センサは、ネットワークのプラットフォームと直接接続されていないから、センサがＳＮＳＰと接続して秘密鍵を更新するのは簡単ではない。そこで、移動性を隠す粒度を用いることで、属性を頻繁には変更しない。一つの属性として、「移動性」を設定する。
【００６０】
３．廃止
センサに障害が発生したとき、そのセンサは廃止されなければならない。もし、あるセンサを信頼できないことが判明した場合、以後ポリシーツリーに含めない処理をする。それにより、ＳＮＵは当該センサへのアクセスができなくなり、ＳＮＵに誤った情報を提供することがなくなる。
【００６１】
４．異なるＳＮＯに属するセンサへの複数の認可
もしあるＳＮＯについて、ＳＮＳＰがＳＮＵにアサーション認可を与えた場合、ＳＮＵはこの承認を区別して正しい承認証を正しいセンサに与えなければならない。あるＳＮＯにセンサのある属性を設定すると、いくつかのＳＮＯのための異なるポリシーツリーが結合される。
【００６２】
図７に示すのは、ポリシーツリーの例である。ポリシーツリーＰＴは、二次元の広がりを持ったアクセス権の範囲を示す情報である。図７に示すポリシーツリーにより暗号化されたアサーションが認可されたＳＮＵは、ＳＮＯ１に管理され渋谷地域と新宿地域に配置された位置センサやＳＮＯ２により管理され大阪地域に配置されたフォトセンサにアクセスすることができる。
【００６３】
以下、認可のための属性鍵暗号システムについて説明する。ＳＮＳＰは、センサの鍵サーバとして機能する。ＳＮＯは、属性と関連づけられた秘密鍵をセンサにインストールする。センサは、その秘密鍵を用いてメッセージを復号する。
【００６４】
１）セットアップ：ＳＮＳＰは、２本の線のグループとマスター鍵（master key：ＭＫ）と公開鍵（public key：ＰＫ）を選択する。ＳＮＯは、センサの情報をＳＮＳＰに登録する。図８は、センサの情報の記録の例である。ＳＮＳＰは、全ての属性が属性サーバに存在するか否かチェックする。もし新規の属性が存在する場合、当該属性は抽出されて属性サーバに保管される。
【００６５】
２）鍵生成：ＳＮＳＰは、属性Ｓに基づき関数KeyGen(MK,S)を用いてセンサの秘密鍵を生成する。もしあるセンサが移動可能なセンサである場合、いくつかの秘密鍵が割り当てられる。各秘密鍵は、異なる粒度で生成される。例えば、あるセンサが現在(BSZ, ClusterY, NerveNetX)に存在する場合、位置(BSZ, ClusterY, NerveNetX)に基づき一つの秘密鍵が粒度１で割り当てられ、位置(ClusterY, NerveNetX)に基づき一つの秘密鍵が粒度２で割り当てられ、位置(NerveNetX)に基づき一つの秘密鍵が粒度３で割り当てられる。このセンサがBSZの領域から外に移動すると、粒度２の秘密鍵のみが用いられる。同様に、このセンサがClusterY の領域から外に移動すると、粒度３の秘密鍵のみが用いられる。これらの秘密鍵が生成された後、ＳＮＳＰは、これらの秘密鍵を当該センサの管理者たるＳＮＯに送る。ＳＮＯは、これらの秘密鍵を対応するセンサにインストールする。
【００６６】
ＳＮＳＰは、異なるセンサに対して秘密鍵を生成するとき、異なる乱数を用いる。もしＳＮＯが配下のセンサをいくつかのＳＮＳＰに登録し、これらのＳＮＳＰがこれらのセンサを共用すると、各々のＳＮＳＰは自己のマスター鍵を用いてこれらのセンサのために秘密鍵を生成する。このように、各センサはＳＮＳＰ毎に一つの秘密鍵を保持し、それがＳＮＳＰに登録される。
【００６７】
３）暗号化：センサを探索した後、ＳＮＳＰはこれらのセンサの属性に基づいてポリシーツリーＰＴを生成する。そして、ＳＮＳＰは、属性サーバから属性をダウンロードする。これらの属性は、ＳＮＯや位置、他の属性を含んでいる。ＳＮＯは、関数Encryption(PK, M, T)を用いてアサーションを暗号化する。ここで、Ｍ（メッセージ）はアサーションとＳＫである。ＳＮＳＰは、センサのブラックリストを保持していて、ポリシーツリーを生成するときこれらのセンサがポリシーツリーに含まれないようにする。
【００６８】
４）復号：センサは、関数Decrypt(CT, PrivateKey)により自己が保持する秘密鍵を用いてメッセージを復号する。ＰＴを満足する属性を保持するセンサのみがメッセージを正しく復号することができる。鍵生成手順においていくつかの粒度を追加し、各センサは対応するＳＮＳＰの秘密鍵を複数提供されるかもしれないが、ＣＰ−ＡＢＥの根幹は変わらない。柔軟なアサーション認可手順はＣＰ−ＡＢＥにより安全が確保される。
【００６９】
このように、この実施形態ではセンサは、属性に対応しペアリング関数やハッシュ関数を持った一以上の秘密鍵を保持する。移動可能なセンサは、異なる粒度でいくつかの秘密鍵を保持することになる。ＳＮＳＰは、ペアリング関数、公開鍵、マスター鍵を保持する。
【００７０】
（第２の実施形態の動作）
以下、図６ないし図１０を参照して、具体的動作を説明する。以下の説明においても、説明を単純化するため、図５に示す複数のＳＮＯのうちＳＮＯ４として「ＳＮＯ１」、センサ１として「センサ１」にアクセスするものとして、それぞれＳＮＯ４・センサ１と称して説明する。
【００７１】
ＳＮＯ４は、第２の回線を介して配下のＳＮに属するセンサに関するセンサ情報をＳＮＳＰ７に登録し、認可ポリシーをＳＮＳＰ７に設定する（Ｓ２００）。センサ情報と認可ポリシーを受け取ると、ＳＮＳＰ７は、センサの属性を抽出して属性サーバとして機能するＤＢ１７３に格納する。
【００７２】
次いで、ＳＮＳＰ７は、各属性に従って各センサの秘密鍵を生成し、第２の回線を介して対応するＳＮＯ４に送る（Ｓ２０１）。秘密鍵を受けたＳＮＯ４は、受け取った秘密鍵を対応するセンサに導入（インストール）する（Ｓ２０２）。秘密鍵の導入は、センサとＳＮＯとを結ぶ第３の回線を介してもよいし、直接導入してもよい。
【００７３】
ＳＮＵ２がセンサ１のような属性を持つセンサ群から情報を受け取る場合、ＳＮＵ２のセンサ無線部１２１は、ＮＷ無線部１２６を介して、ユーザの興味に基づくセンサ群の属性を含む関心事項情報をクエリとしてＳＮＳＰ７に送る（Ｓ２０３）。クエリを受けたＳＮＳＰ７は、センサ情報データベースとしても機能するＤＢ１７３から、クエリに含まれるセンサの属性等に関係するセンサを選択する。
【００７４】
センサを選択すると、ＳＮＳＰ７の認証部１７２は、ＳＮＵ２を管理するＲＮＰ５に対し、ＳＮＵ２の身元、すなわち正しくＲＮＰ５に管理されているユーザが否かを問い合わせる（Ｓ２０４）。
【００７５】
ＳＮＵ２について問い合わせを受けると、ＲＮＰ５のＮＷ認証部１５２は、ＤＢ１５３にＳＮＵ２が正式なネットワークユーザであるか確認する。確認が取れると、ＲＮＰ５のＮＷ認証部１５２は、身元認証の結果がＯＫである旨ＳＮＳＰ７に回答する（Ｓ２０５）。
【００７６】
身元認証ＯＫの結果を得ると、ＳＮＳＰ７は、ＳＮＵ２にアサーション（センサ１のアクセス許可）を与える（Ｓ２０６）。まず、ＳＮＳＰ７は、選択したセンサ群の属性に基づき、例えば図７に示すようなポリシーツリーＰＴを生成する。図７に示す例では、ＳＮＯ１の管理下の特定のセンサとＳＮＯ２の管理下の特定のセンサとがＰＴに含まれているから、これらのセンサは、ＰＴを用いて暗号化したメッセージをステップ２０２で導入した秘密鍵を用いて復号可能な状態となる。一方、例えばＳＮＯ３などは含まれていないから、ＳＮＯ３の管理下のセンサは、当該ＰＴを用いて暗号化したメッセージを復号することができないことになる。
続いて、ＳＮＳＰ７は、ＳＮＵ２とセンサ１との間のセッション鍵（ＳＫ１）を生成し、ＳＮＵの権限を表現するアサーションの後に付加する。具体的には、ＳＮＳＰ７の認証部１７２は、アサーション（assertion）、ＳＫ１およびこれらのハッシュ値を、ＳＮＳＰ７の公開鍵および生成したポリシーツリーを用いて暗号化し、その暗号化したメッセージにＳＫ１を付加してＳＮＵ２に伝送する。ここで、「アサーション（assertion）、SK1およびこれらのハッシュ値を公開鍵およびポリシーツリーを用いて暗号化したメッセージ」を「{Assertion,ＳＫ１,Ｈ（Assertion,ＳＫ１）}（ＰＫ，ＰＴ）」と表す。なお、ＳＫ１は、ＳＮＵに対して安全に配布されるものとする。この状態で、ＳＮＵ２は、センサ１から情報を受け取る準備が整ったことになる。
もし選択されたセンサが異なる地域ネットワークＲＮＹに属する場合は、当該ＲＮＹに属するＳＮＳＰ（図１０の例ではＳＮＳＰ３）を経由し、図１０のステップ２０５ａ・２０５ｂ・２０６ａのルートでＳＮＵにアサーション認可が与えられる。
【００７７】
ＳＮＵ２のセンサ無線部１２１は、センサ１の無線部１１４に対して環境情報の取得を要求する（Ｓ２０７）。このとき、センサ１は、複数のＳＮＳＰにより共用されていてもよい。
【００７８】
環境情報の取得要求を受けると、センサ１の認証部１１６は、センサ１が登録されているＳＮＳＰ７の情報を自己の記憶領域から読出し、センサ無線部１１４を介してＳＮＵ２に送信する（Ｓ２０８）。
【００７９】
ＳＮＳＰ７の情報を受けると、ＳＮＵ２の認証部１２３は、当該情報に対応するＳＮＳＰ７から受け取っていたアサーションの認可を探索する。そして、認証部１２３は、乱数ＮＳＮＵを生成し、ＳＮＳＰ７からステップ２０６にて送られたアサーション認可のメッセージに乱数ＮＳＮＵおよび対応するＳＮＳＰ７の情報を付加してセンサ１に送る（Ｓ２０９）。
【００８０】
乱数ＮＳＮＵおよびＳＮＳＰ７の情報が付加されたメッセージを受けると、センサ１の認証部１１６は、秘密鍵を用いてメッセージを復号してアサーション・ＳＫ１・ハッシュ値を取り出し、ハッシュ値をチェックしてアサーションが修正されていないかを確認し、アサーションを得る。前述の通り、ＳＮＳＰ７が暗号化に用いたポリシーツリーＰＴにセンサ１が含まれていれば、復号に成功することになる。アサーションを得ると、センサ１の認証部１１６は、乱数Ｎセンサを生成する。次いで、認証部１１６は、受け取った乱数ＮＳＮＵをＳＫ１により暗号化し、暗号化したメッセージに乱数Ｎセンサを付加して、センサ無線部１１４を介してＳＮＵ２に送信する（Ｓ２１０）。
【００８１】
センサ１から乱数Ｎセンサが付加されたメッセージを受けると、ＳＮＵ２の認証部１２３は、ＳＮＳＰ７により認証されたことを知る。すなわち、このセンサの管理者ＳＮＯがＳＮＳＰを介して保証される。そこで、ＳＮＵ２の認証部１２３は、乱数ＮセンサをＳＫ１により暗号化してセンサ無線部１２２を介してセンサ１に送信する（Ｓ２１１）。
【００８２】
暗号化された乱数Ｎセンサを受けると、センサ１の認証部１１６は、ＳＮＵ２の身元認証が得られたことを知る。すなわち、センサ１はＳＮＵの身元が信頼できることを知ることができる。センサ１のセンサ無線部１１４は、センサ１１８ａやメモリ１１８ｂから環境情報を読出してＳＮＵ２に送信する（Ｓ２１２）。
【００８３】
環境情報を受けると、ＳＮＵ２のＮＷ無線部１２６は、ＢＳ３を介してＳＶ６に環境情報を転送する（Ｓ２１３）。ＳＶ６のＩ／Ｆ部１６１は、受け取った環境情報をＤＢ１６３に格納する。
なお、一旦ＳＮＳＰ７からアサーションを付与されると、ＳＮＳＰにより選択されポリシーツリーＰＴに規定されたセンサに対してアサーションにより連続して情報要求が可能である。すなわち、ポリシーツリーの範囲内で、ステップ２０７から２１２までを行うことで、連続して情報要求と情報取得を行うことができる。
【００８４】
第１の実施形態と第２の実施形態との相違点は、アサーション認可の暗号化方法である。第１の実施形態では、ＳＮＯとセンサとの間の共有鍵が暗号化に用いられたが、第２の実施形態では、公開鍵ＰＫおよびポリシーツリーＰＴが用いられる。第２の実施形態の無線システムでは、各センサが異なる秘密鍵を保持し、所望のセンサ群がメッセージの復号を可能にしている。
【００８５】
この実施形態では、アサーションの同一性を担保するため、アサーションとＳＫ１のハッシュ値H(Assertion, SK1)を用いている。もし中間のセンサや他の中間に位置する攻撃者がこのメッセージを改竄した場合、アサーションとＳＫ１のハッシュ値が同一とはならない。すなわち、中間での改竄の有無を確認することができる。
【００８６】
メッセージには、ＳＮＳＰにより割り当てられたＳＫ１がセッション鍵として用いられる。ＳＮＳＰは、ＳＫ１とともにＳＮＵに通知するので、これによりＳＮＵはＳＫ１を知ることができる。また、アサーションを復号した後、目的のセンサもこのＳＫ１を知ることができる。
【００８７】
柔軟な（フレキシブルな）センサのグループは、ポリシーツリーＰＴにより設定され、これはアサーション認可の暗号化の際に用いられる。
【００８８】
アサーションは、ＰＫおよびＰＴにより暗号化される。アサーションとＳＫ１は、公開鍵ＰＫおよびポリシーツリーＰＴにより暗号化される。これにより、ＰＴに規定された属性を持つセンサのみがメッセージを復号することができる。ここで、乱数ＮＳＮＵがセンサ管理者の認証を手助けする。アサーション認可を復号することができたセンサのみがセッション鍵ＳＫ１を得ることができる。すなわち、もしセンサがＳＫ１により正しく暗号化された乱数ＮＳＮＵを返答した場合、その属性はＰＴを満足することになる。これは、センサの管理者認証が達成されたことを意味している。
【００８９】
乱数Ｎセンサは、ＳＮＵの身元を認証する手助けをする。自己が属する地域ネットワークのプロバイダＲＮＰにより認証されたＳＮＵのみがＳＫ１を知ることができる。すなわち、もしＳＮＵがＳＫ１により正しく暗号化された乱数Ｎセンサを返答した場合、そのＳＮＵは真正のＳＮＵであることになる。
【００９０】
以上説明したとおり、第１の実施形態ではセンサとＳＮＯの間で共通鍵を用いており、ＳＮＵの同一性はＲＮＰにより担保される。あるＳＮＵがセンサから情報取得を望む場合、ＳＮＵは、まずＳＮＯからアサーション認可を取得し、ＳＮＵはセンサにこの認可を提示して情報取得を実現する。従って、比較的簡単にセンサおよびその管理者たるＳＮＯとＳＮＵの認証を実現することができる。
【００９１】
一方、第２の実施形態では、ＣＰ−ＡＢＥを用いて事前にセンサへのアクセス承認を取得している。属性に基づいてセンサの秘密鍵を生成する鍵サーバとして機能するＳＮＳＰを配置し、ＳＮＳＰがマスター鍵を用いて各センサの秘密鍵を生成することで、同じセンサの共用を可能にしている。あるＳＮＵがセンサから情報取得を望む場合、ＳＮＵはＳＮＳＰに所望のサービスをクエリとして送り、ＳＮＳＰは予めＳＮＯにより登録されたセンサから適当なセンサ群を選択し、ポリシーツリーを生成し、アサーション認可を暗号化してＳＮＵに返答する。ＳＮＵは、送られたアサーション認可を用いてセンサから直接環境情報を取得する。従って、センサからの情報取得に先立って認証を完了するため、複数のセンサから連続して情報を取得するような場合に、センサ個々のアサーション認可処理が省略され、高速処理が可能となる。また、特定のセンサを指定した情報要求ではなく、所望のセンサ群からなるサービス提供の要求という形を取り、ＳＮＳＰが当該サービスに応じて適宜選択したセンサ群を選択するので、ユーザの利便性が向上する。
【００９２】
このように、以上説明した実施形態では、センサネットワークにおけるデータ伝送の安全を確保しつつ、多くのセンサをもつ地域センサネットワークを容易に実現することができる。また、複数のサービスプロバイダが存在した場合に、異なるセンサ管理者に属するセンサを共有することができる。
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え，変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【００９３】
１…センサ、２…センサネットワークユーザ、３…基地局、４…センサネットワークオーナー、５…地域ネットワークプロバイダ、６…サーバ、７…センサネットワークサービスプロバイダ。
【特許請求の範囲】
【請求項１】
センシング情報と自己の登録先を示す管理者情報とを保持したセンサが接続された第１のネットワーク、および、前記センサの登録情報および認証情報を保持するセンサ管理装置が接続された第２のネットワークに接続された無線装置であって、
前記第１のネットワークに接続され前記センサと通信するセンサ通信部と、
前記第２のネットワークに接続され前記センサ管理装置と通信するネットワーク通信部と、
前記センサに保持された前記管理者情報に基づき、前記センサ管理装置から前記センサの認証情報を取得する第１の認証部と、
前記取得した認証情報を用いて前記センサからセンシング情報を取得する第２の認証部と
を備えたことを特徴とする無線装置。
【請求項２】
前記第１の認証部は、前記センサ管理装置が前記センサとの共通鍵を用いて暗号化した認証情報を取得し、
前記第２の認証部は、前記認証情報および所定の乱数情報を用いて前記センサからセンシング情報を取得すること
を特徴とする請求項１記載の無線装置。
【請求項３】
センシング情報と自己の登録先を示す管理者情報とを保持したセンサが接続された第１のネットワーク、および、前記センサの登録情報および認証情報を保持するセンサ管理装置が接続された第２のネットワークに接続された無線装置であって、
前記第１のネットワークに接続され前記センサと通信するセンサ通信部と、
前記第２のネットワークに接続され前記センサ管理装置と通信するネットワーク通信部と、
前記センサ管理装置から前記センサの認証情報を取得する第１の認証部と、
前記認証情報および該認証情報に対応する前記センサから取得した前記管理者情報を用いて前記センサからセンシング情報を取得する第２の認証部と
を備えたことを特徴とする無線装置。
【請求項４】
前記第１の認証部は、前記センサ管理装置が自己の公開鍵および権限の範囲を示すポリシーツリーを用いて暗号化した認証情報を取得し、
前記第２の認証部は、前記認証情報に含まれた前記ポリシーツリーおよび前記センサ管理装置の公開鍵を用いて暗号化した前記認証情報と、所定の乱数情報とを用いて前記センサからセンシング情報を取得すること
を特徴とする請求項３記載の無線装置。
【請求項５】
センシング情報と自己の登録先を示す管理者情報とを保持したセンサが接続された第１のネットワーク、および、前記センサの登録情報および認証情報を保持するセンサ管理装置が接続された第２のネットワークに接続された無線装置による通信方法であって、
前記センサに保持された前記管理者情報に基づき、前記センサ管理装置から前記センサの認証情報を取得し、
前記取得した認証情報を用いて前記センサからセンシング情報を取得すること
を特徴とする通信方法。
【請求項６】
センシング情報と自己の登録先を示す管理者情報とを保持したセンサが接続された第１のネットワーク、および、前記センサの登録情報および認証情報を保持するセンサ管理装置が接続された第２のネットワークに接続された無線装置による通信方法であって、
前記センサ管理装置から前記センサの認証情報を取得し、
前記認証情報および該認証情報に対応する前記センサから取得した前記管理者情報を用いて前記センサからセンシング情報を取得すること
を特徴とする通信方法。
【請求項１】
センシング情報と自己の登録先を示す管理者情報とを保持したセンサが接続された第１のネットワーク、および、前記センサの登録情報および認証情報を保持するセンサ管理装置が接続された第２のネットワークに接続された無線装置であって、
前記第１のネットワークに接続され前記センサと通信するセンサ通信部と、
前記第２のネットワークに接続され前記センサ管理装置と通信するネットワーク通信部と、
前記センサに保持された前記管理者情報に基づき、前記センサ管理装置から前記センサの認証情報を取得する第１の認証部と、
前記取得した認証情報を用いて前記センサからセンシング情報を取得する第２の認証部と
を備えたことを特徴とする無線装置。
【請求項２】
前記第１の認証部は、前記センサ管理装置が前記センサとの共通鍵を用いて暗号化した認証情報を取得し、
前記第２の認証部は、前記認証情報および所定の乱数情報を用いて前記センサからセンシング情報を取得すること
を特徴とする請求項１記載の無線装置。
【請求項３】
センシング情報と自己の登録先を示す管理者情報とを保持したセンサが接続された第１のネットワーク、および、前記センサの登録情報および認証情報を保持するセンサ管理装置が接続された第２のネットワークに接続された無線装置であって、
前記第１のネットワークに接続され前記センサと通信するセンサ通信部と、
前記第２のネットワークに接続され前記センサ管理装置と通信するネットワーク通信部と、
前記センサ管理装置から前記センサの認証情報を取得する第１の認証部と、
前記認証情報および該認証情報に対応する前記センサから取得した前記管理者情報を用いて前記センサからセンシング情報を取得する第２の認証部と
を備えたことを特徴とする無線装置。
【請求項４】
前記第１の認証部は、前記センサ管理装置が自己の公開鍵および権限の範囲を示すポリシーツリーを用いて暗号化した認証情報を取得し、
前記第２の認証部は、前記認証情報に含まれた前記ポリシーツリーおよび前記センサ管理装置の公開鍵を用いて暗号化した前記認証情報と、所定の乱数情報とを用いて前記センサからセンシング情報を取得すること
を特徴とする請求項３記載の無線装置。
【請求項５】
センシング情報と自己の登録先を示す管理者情報とを保持したセンサが接続された第１のネットワーク、および、前記センサの登録情報および認証情報を保持するセンサ管理装置が接続された第２のネットワークに接続された無線装置による通信方法であって、
前記センサに保持された前記管理者情報に基づき、前記センサ管理装置から前記センサの認証情報を取得し、
前記取得した認証情報を用いて前記センサからセンシング情報を取得すること
を特徴とする通信方法。
【請求項６】
センシング情報と自己の登録先を示す管理者情報とを保持したセンサが接続された第１のネットワーク、および、前記センサの登録情報および認証情報を保持するセンサ管理装置が接続された第２のネットワークに接続された無線装置による通信方法であって、
前記センサ管理装置から前記センサの認証情報を取得し、
前記認証情報および該認証情報に対応する前記センサから取得した前記管理者情報を用いて前記センサからセンシング情報を取得すること
を特徴とする通信方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１２−４３２２４（Ｐ２０１２−４３２２４Ａ）
【公開日】平成２４年３月１日（２０１２．３．１）
【国際特許分類】
【出願番号】特願２０１０−１８４３５５（Ｐ２０１０−１８４３５５）
【出願日】平成２２年８月１９日（２０１０．８．１９）
【出願人】（３０１０２２４７１）独立行政法人情報通信研究機構 (1,071)
【Ｆターム（参考）】
【公開日】平成２４年３月１日（２０１２．３．１）
【国際特許分類】
【出願日】平成２２年８月１９日（２０１０．８．１９）
【出願人】（３０１０２２４７１）独立行政法人情報通信研究機構 (1,071)
【Ｆターム（参考）】
[ Back to top ]