無線ＬＡＮ端末接続方法およびその方法を用いた無線ＬＡＮシステム
【課題】無線回線で送受信するパケットデータからＥＳＳＩＤを盗難されて悪用されることを防止する。
【解決手段】無線ＬＡＮ端末１０がアクセスポイント（ＡＰ）２０と通信する際、それぞれが保持する予め付与される公開鍵１９，２７および必要の都度生成する秘密鍵１８，２８を暗号鍵として、無線ＬＡＮ１００のアクセスポイント（ＡＰ）２０に付与されかつ送受信するパケットデータに挿入されるネットワーク名（ＥＳＳＩＤ）を暗号化する。無線ＬＡＮ端末１０の秘密鍵１８は乱数を用いて生成する。
【解決手段】無線ＬＡＮ端末１０がアクセスポイント（ＡＰ）２０と通信する際、それぞれが保持する予め付与される公開鍵１９，２７および必要の都度生成する秘密鍵１８，２８を暗号鍵として、無線ＬＡＮ１００のアクセスポイント（ＡＰ）２０に付与されかつ送受信するパケットデータに挿入されるネットワーク名（ＥＳＳＩＤ）を暗号化する。無線ＬＡＮ端末１０の秘密鍵１８は乱数を用いて生成する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、無線ＬＡＮ端末で接続する無線ＬＡＮのネットワーク名を他人に盗まれることなく無線通信路を安全に接続する方法およびその方法を用いた無線ＬＡＮシステムに関するものである。
【背景技術】
【０００２】
従来の無線ＬＡＮシステムでは、ＩＥＥＥにおける無線ＬＡＮ標準として規定される「IEEE 802.11a,…11i,…」などのＩＥＥＥ規格群がある。それによれば、無線ＬＡＮのアクセスポイント（以後、ＡＰと略称することがある。）がネットワーク名をビーコン（Beacon）パケットに格納しそのビーコンパケットをブロードキャストすることによって周辺の無線ＬＡＮ端末に通知している。一つの無線ネットワークと接続する無線端末では同一のネットワーク名が使用され、アクセスポイントを含むネットワークの識別のためにはＥＳＳＩＤ（Extended Service Set Identifier）が使用される。すなわち、無線ＬＡＮ端末は、アクセスポイントのビーコンを受信してネットワーク名を抽出することで、自分が接続したいネットワークと同じネットワーク名を有するアクセスポイントに接続を要求しその接続を確立する（例えば、非特許文献１および特許文献１参照。）。
【０００３】
一方、無線ＬＡＮにおけるセキュリティを確保するためには、送信内容を暗号化する暗号鍵を利用する方式などがあるが、無線ＬＡＮ端末が無線通信を行う際に、第三者の成りすましを防止するため、アクセスポイントが無線端末からセキュリティ設定処理の開始指示を受付ける前にセキュリティ処理の開始を示す開始指示データを受付けしていない場合にのみ、セキュリティ設定処理を実行するというシステムがある（例えば、特許文献２参照。）。
【０００４】
しかしながら、従来のこれらシステムにおいて、通常はネットワーク名が無線ＬＡＮ上にそのまま放送されるため、第三者に簡単に知られてしまうので、それを悪用される可能性がある。ネットワーク名は重要ではないように見られるが、特にＶＰＮ（Virtual Private Network）での無線ＬＡＮネットワーク名は企業の部門名または開発プロジェクトの名称などのような意味ある言葉が一般的に多く使われるため、このような情報が悪用されることは否定できない。
【０００５】
例えば、組織内にある複数の無線ＬＡＮのネットワーク名すなわち上述したＥＳＳＩＤから、組織構成を知ることができる。また、無線ＬＡＮプロトコルアナライザなどを利用することにより、無線ＬＡＮのトラフィック量などが簡単に計測できるため、トラフィック量とネットワーク名またはＥＳＳＩＤとを利用して企業の活動などが推測可能である。また、同じネットワーク名またはＥＳＳＩＤを持つアクセスポイントを近くに設置して、通信妨害および成りすましが可能である。
【０００６】
ＥＳＳＩＤは、アクセスポイントから送信されるビーコンに格納しないようなシステムもあるが、無線ＬＡＮ端末とアクセスポイントとの間で送受信する種々の要求パケットおよびその応答パケットに含まれており、その抽出は無線ＬＡＮプロトコルアナライザなどにより容易に可能である。例えば、一つのアクセスポイントに成りすまして通信中の無線ＬＡＮ端末にデオーセンティケーション（De-authentication）パケットを送信した場合、無線ＬＡＮ端末から再アソシエーションが実行されるので、その結果、容易にＥＳＳＩＤを知ることができるからである。
【０００７】
【非特許文献１】Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) Specifications, ANSI/IEEE Std. 802.11,1999 Edition
【特許文献１】特開２００３−２０４３３５号公報
【特許文献２】特開２００７−０１３３４８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
解決しようとする課題は、無線ＬＡＮ端末が通信するアクセスポイントとの間で送受信する各種の要求パケットおよび応答パケットに含まれるネットワーク名としてのＥＳＳＩＤが第三者により容易に盗まれる可能性が高いことである。特に企業内ネットワークでは組織内にある複数の無線ＬＡＮのネットワーク名（ＥＳＳＩＤ）から、組織構成を知ることにより企業の活動などが推測可能であり、更に、通信妨害などという、盗まれたＥＳＳＩＤによる悪用に対して防止が困難なことである。
【課題を解決するための手段】
【０００９】
本発明は、無線回線で送受信するパケットデータからＥＳＳＩＤを盗難されて悪用されることを防止することを目的とする。そのため、無線ＬＡＮ端末およびアクセスポイントに予め暗号鍵を保有している。そして、前記無線ＬＡＮ端末と前記アクセスポイントとの間の通信路を形成する際に、その暗号鍵を用いて、無線ＬＡＮのアクセスポイントに付与されかつ送受信するパケットデータに挿入されるネットワーク名すなわちＥＳＳＩＤを、暗号化することを主要な特徴とする。したがって、受信側では受信した暗号化されたＥＳＳＩＤを暗号鍵で復号する。
【００１０】
暗号化技術には上述した「IEEE 802.11」シリーズで規定されたものなどがある。
【００１１】
本発明では、無線ＬＡＮ端末およびそのアクセスポイントそれぞれで暗号鍵として予め付与された公開鍵および必要の都度生成する秘密鍵を保持し、その公開鍵および秘密鍵によりＥＳＳＩＤを暗号化しかつそれを復号する。その秘密鍵は、無線ＬＡＮ端末で乱数を用いて生成することが望ましい。
【発明の効果】
【００１２】
本発明の無線ＬＡＮ端末接続方法およびその方法を用いた無線ＬＡＮシステムは、送信パケットに挿入されるＥＳＳＩＤを暗号化し受信側で復号するため、第三者が一つのパケットのみを傍受してデータを盗難しても、そこに含まれるＥＳＳＩＤは暗号化されているので、ＥＳＳＩＤによる悪用を防止することができる。また、暗号化には、公開鍵および秘密鍵が用いられ、特に秘密鍵にその都度発生させる乱数を使用する場合、ＥＳＳＩＤの盗難に対する保護が更に強化できる。
【発明を実施するための最良の形態】
【００１３】
無線ＬＡＮ端末がアクセスポイント（以後、ＡＰと略称することがある。）と通信する際に送受信するパケットデータから通信するネットワーク名であるＥＳＳＩＤを盗まれて悪用されることを防止するという目的を、送信パケットに挿入されるＥＳＳＩＤを暗号鍵で暗号化する一方、受信側で受信したＥＳＳＩＤを暗号鍵で復号することにより、高い確実性をもって実現した。
【００１４】
以降に、図面を参照して実施例を説明するが、図示されるものは本発明に係る主要部分であり、必須機能であっても省略された部分がある。ＩＥＥＥ規格による英文表記の用語は図面表記のため和文の短縮用語を定義して用いている。また、図示された機能ブロックの分離併合、および動作手順の前後入替えなどは、特許請求の範囲を含む本発明の趣旨を満たすものであれば自由であり、下記説明が本発明を限定するものではない。
【００１５】
図１は、無線ＬＡＮ端末１０がアクセスポイント（ＡＰ）２０を介して無線ＬＡＮ１００と連結し通信する状態を示す。無線ＬＡＮ端末１０は、移動した際、同一ＥＳＳＩＤでのよりよい通信条件のＡＰ２０Ａに接続をハンドオーバ（切替え）可能である。
【実施例１】
【００１６】
本発明の実施例１について図１から図７までを参照して説明する。
【００１７】
図２は、本発明の一実施例をブロックで示す説明図であって、図１において通信する無線ＬＡＮ端末１０およびＡＰ２０の詳細を示す。無線ＬＡＮ端末１０は、無線送受信部１１、ＡＤ変換部１２、ＭＡＣデータ処理部１３、暗号化復号化部１４、暗号鍵用メモリ１５、上位層プロトコル処理部１６、およびＡＰ公開鍵メモリ１７、を有し、暗号鍵用メモリ１５は秘密鍵１８および公開鍵１９を記憶する。ＡＰ２０は、無線送受信部２１、ＡＤ変換部２２、ＭＡＣデータ処理部２３、暗号化復号化部２４、暗号鍵用メモリ２５、および上位層プロトコル処理部２６を有し、暗号鍵用メモリ２５は公開鍵２７および秘密鍵２８を記憶する。
【００１８】
無線送受信部１１，２１は、無線ＬＡＮ端末１０とＡＰ２０との間で変調されたアナログ信号を所定の電波により送受信する。ＡＤ変換部１２，２２は、無線送受信部１１，２１で受けたアナログ信号をディジタル信号に変換してＭＡＣデータ処理部１３，２３へ送出する一方、ＭＡＣデータ処理部１３，２３から受けたディジタル信号をアナログ信号に変換して無線送受信部１１，２１へ送出する。ＭＡＣデータ処理部１３，２３は、ＯＳＩ参照モデルにおけるＬＡＮのフレーム構造およびアクセス手法を規定するＭＡＣ層（Media Access Control layer）におけるデータパケットの構成処理を行うもので、ＡＤ変換部１２，２２と上位層プロトコル処理部１６，２６との間に接続される。
【００１９】
また、ＭＡＣデータ処理部１３，２３は、暗号化復号化部１４，２４および暗号鍵用メモリ１５，２５と接続し、暗号化復号化部１４，２４が「ＥＳＳＩＤ」の暗号化およびその復号を実行してその読取りを処理する。暗号鍵用メモリ１５，２５は、通信相手に送る公開鍵１９，２７を予め保持して提供するとともに、暗号化復号化部１４，２４に暗号化または復号のために秘密鍵１８，２８を提供する。上位層プロトコル処理部１６，２６は、ＭＡＣ層より上位層にあたるプロトコルに準じてデータを処理する。ＡＰ公開鍵メモリ１７は、通信する際に接続したＡＰ２０から受けた公開鍵を保持する。
【００２０】
本発明による特徴は、暗号化復号化部１４，２４、暗号鍵用メモリ１５，２５、およびＡＰ公開鍵メモリ１７にあり、他の構成要素を一般的な通常のデバイスにより構成する。
【００２１】
すなわち、無線ＬＡＮ端末１０の暗号化復号化部１４は、ＡＰ公開鍵用メモリ１７に保管されている公開鍵を使用してＥＳＳＩＤを暗号化する機能、ＡＰ２０から受信した暗号化データを無線ＬＡＮ端末１０の秘密鍵１８で復号してＥＳＳＩＤを読み取る機能、および秘密鍵１８となる乱数「ＲＡＮＤ」を必要の都度生成する機能を有する。暗号鍵用メモリ１５は、自己に付与された端末公開鍵１９「ＰＬＫＣ」と暗号化復号化部１４でその都度生成される秘密鍵１８とを記録する。
【００２２】
一方、ＡＰ２０の暗号化復号化部２４は、無線ＬＡＮ端末１０から受信した端末の公開鍵を使用してＥＳＳＩＤを暗号化する機能、無線ＬＡＮ端末１０から受信した暗号化データをＡＰ２０の秘密鍵２８で復号してＥＳＳＩＤを読み取る機能、および秘密鍵２８となる乱数「ＲＡＮＤ」を必要の際に生成する機能を有する。暗号鍵用メモリ２５は、自己に付与されたＡＰ公開鍵２７「ＰＬＫＡ」を記録すると共に、秘密鍵２８として、その都度無線ＬＡＮ端末１０で生成され送信される乱数「ＲＡＮＤ」を受付けし記録する。
【００２３】
次に、図３に図４から図７まで及び図２を併せ参照して無線ＬＡＮ端末１０がアクセスポイント（ＡＰ）２０と接続する手順について説明する。
【００２４】
まず、無線ＬＡＮ端末１０は、ＡＰ２０との通信路が確立する以前では、固定するＡＰ２０の公開鍵をまだ取得していない。したがって、通信開始に際して、無線ＬＡＮ端末１０は、プローブ要求（Prove Request）（以後、探査要求と短縮呼称することとする。）をブロードキャスト（以後、放送と短縮呼称することとする。）（手順Ｓ１）する。したがって、近接するＡＰ２０がこの探査要求を受け、この探査要求に対するプローブ応答（Prove Response）（以後、探査応答と短縮呼称することとする。）をその探査要求の発信元に返送（手順Ｓ２）する。
【００２５】
図４は、無線ＬＡＮ端末１０からＡＰ２０へ送出する探査要求（プローブ要求：Prove Request）の一実施例をフォーマットで示す。図示される探査要求は、ＩＥＥＥ８０２．１１規格群に準じたデータに、無線ＬＡＮ端末１０の端末公開鍵ＰＬＫＣを端末公開鍵情報とし、またこの際に無線ＬＡＮ端末１０で発生する第１の乱数ＲＡＮＤＡを端末乱数情報とした二つの情報要素を追加している。乱数ＲＡＮＤＡは発生した際に暗号鍵用メモリ１５の秘密鍵１８として記録される。
【００２６】
すなわち、無線ＬＡＮ端末１０では、通信開始に際し上記手順Ｓ１として、ＭＡＣデータ処理部１３が、暗号鍵用メモリ１５の端末公開鍵ＰＬＫＣと暗号化復号化部１４で生成する乱数ＲＡＮＤＡとを含む探査要求（Probe Request［ＰＬＫＣ，ＲＡＮＤＡ］）を作成して放送する。その結果、この探査要求を受けたＡＰ２０は、上記手順Ｓ２として、探査応答を返送する。
【００２７】
図５は、ＡＰ２０から無線ＬＡＮ端末１０へ返送する探査応答（プローブ応答：Prove Response）の一実施例をフォーマットで示す。図示される探査応答は、ＩＥＥＥ８０２．１１規格群に準じたデータに、二つの情報要素を追加して形成される。一つは、ＡＰ２０の公開鍵ＰＬＫＡをＡＰ公開鍵情報としている。二つ目の情報要素は、そのＡＰ２０のＥＳＳＩＤと受けた探査要求に含まれる乱数ＲＡＮＤＡとの排他的論理和を端末側公開鍵ＰＬＫＣで暗号化して得たＥＳＳＩＤの暗号化データである。したがって、図示されるような探査応答（Probe Response） ［ＰＬＫＡ，ＰＬＫＣ（ＥＳＳＩＤ，ＲＡＮＤＡ）］が作成される。
【００２８】
ＡＰ２０は、複数のＥＳＳＩＤを有する場合、それぞれのＥＳＳＩＤについて情報要素「ＰＬＫＣ（ＥＳＳＩＤ，ＲＡＮＤＡ）」を求めそれを探査応答に追加して無線ＬＡＮ端末１０に送出する。
【００２９】
無線ＬＡＮ端末１０は、応答データの中から自己の「ＰＬＫＣ」を有する探査応答を受け、そのデータ（ＥＳＳＩＤ，ＲＡＮＤＡ）と秘密鍵１８として以前に記憶する第１の乱数ＲＡＮＤＡとの排他的論理和を求めＥＳＳＩＤを解読（手順Ｓ３）する。この際、無線ＬＡＮ端末１０は、受けた複数の探査応答で例えば最大レベルの受信信号を有するアクセスポイントのうちの一つのＡＰ２０を選択し、ＥＳＳＩＤが自分と接続したいネットワーク名であれば、オーセンティケーション要求（Authentication Request）（以後、認証要求と短縮呼称することとする。）のデータフレームをＡＰ２０に送出（手順Ｓ４）して認証を要求する。このデータフレームはＩＥＥＥ８０２．１１規格群に準じたデータフレームであり、周知の処理が実行される。
【００３０】
認証要求を受けたＡＰ２０は、認証結果をオーセンティケーション応答（Authentication Response）（以後、認証応答と短縮呼称することとする。）のデータフレームに搭載し無線ＬＡＮ端末１０に返送（手順Ｓ５）する。このデータフレームはＩＥＥＥ８０２．１１規格群に準じた周知のデータフレームである。
【００３１】
認証結果が成功の場合、無線ＬＡＮ端末１０では、暗号化復号化部１４が新たに第２の乱数ＲＡＮＤＢを生成して秘密鍵１８とし、暗号鍵用メモリ１５の第１の乱数ＲＡＮＤＡを乱数ＲＡＮＤＢに更新すると共に、アソシエーション要求（Association Request）（以後、連結要求と短縮呼称することとする。）のデータフレームをＡＰ２０に送出（手順Ｓ６）して通信接続を要求する。
【００３２】
図６は無線ＬＡＮ端末１０からＡＰ２０へ送出する上記連結要求の一実施例をフォーマットで示す。図示される連結要求は、ＩＥＥＥ８０２．１１規格群に準じたデータに、一つの情報要素を格納するものであって、ＥＳＳＩＤと上記乱数ＲＡＮＤＢとの排他的論理和を、保持しているＡＰ公開鍵ＰＬＫＡで暗号化して得たデータ「ＰＬＫＡ（ＥＳＳＩＤ，ＲＡＮＤＢ）」である。
【００３３】
連結要求を受けたＡＰ２０は、受信したデータ「ＰＬＫＡ（ＥＳＳＩＤ，ＲＡＮＤＢ）」を自分の秘密鍵２８で暗号化し、自分のＡＰ公開鍵ＰＬＫＡと自分のＥＳＳＩＤとの排他的論理和を求めて乱数ＲＡＮＤＢを算出する。そして、算出された乱数ＲＡＮＤＢをアソシエーション応答（Association Response）（以後、連結応答と短縮呼称することとする。）のデータフレームに格納し無線ＬＡＮ端末１０に返送（手順Ｓ７）する。
【００３４】
図７は、ＡＰ２０から無線ＬＡＮ端末１０へ返送する連結応答の一実施例をフォーマットで示す。図示される連結応答は、ＩＥＥＥ８０２．１１規格群に準じたデータに、一つの情報要素を格納するものであって、その情報要素は乱数格納情報としてのデータ「ＲＡＮＤＢ」である。
【００３５】
連結応答を受けた無線ＬＡＮ端末１０は、連結応答に含まれる乱数ＲＡＮＤＢと、上記手順Ｓ６で自分が生成した乱数ＲＡＮＤＢとを比較し、一致確認の際には受けた連結応答を有効なデータフレームとして連結成立（手順Ｓ８）と判断して通常のＩＥＥＥ８０２．１１規格群に準じた処理を行う。
【００３６】
比較結果が不一致になった場合、無線ＬＡＮ端末１０は、パケットによるデオーセンティケーション（De-authentication）データフレームをＡＰ２０に送出して先の連結要求を取り消す。
【００３７】
このような形態を採用したので、無線ＬＡＮで電波により通信されるデータに含まれるＥＳＳＩＤは暗号鍵により暗号化されている。そのため、通信中のネットワーク名が第三者に漏洩することが防止できる。更に、暗号鍵に乱数を用いることにより、繰返しの攻撃に対しても有効に防御することができる。
【実施例２】
【００３８】
本発明の実施例２としてハンドオーバ接続手順について図８に図１を併せ参照して説明する。
【００３９】
図８の実施例は、図１の接続図において、上述した実施例１による連結成立し通信接続中の場合、通信中の信号の受信レベルが低下したことにより、受信レベルがより高いＡＰ２０Ａにハンドオーバする際の手順である。無線ＬＡＮ端末１０の手順Ｓ１Ａから手順Ｓ８Ａまでは図３のシーケンスチャートとほぼ同じである。
【００４０】
相違点は、手順Ｓ３Ａに続く手順Ｓ３Ｂで、通信中の受信電波より高い受信レベルの電波を有するＡＰ２０Ａが検出されていること、および、その結果、無線ＬＡＮ端末１０は、対応のＡＰ２０Ａに認証要求を送出し、その認証成功の応答により、最初の接続である連結要求に替えて、再連結要求（Re-association Request）を送出していることである。したがって、ＡＰ２０Ａからは再連結応答（Re-association Response）が返送される。
【００４１】
その他の機能動作は、上述の実施例１と同一なのでその説明は省略する。
【実施例３】
【００４２】
本発明の実施例３としてＡＰの再接続手順について上記図２および図３に図８を併せ参照して説明する。
【００４３】
図３において、通信接続中に切断が生じた場合、ＡＰ公開鍵メモリ１７を調査して公開鍵を確認し、その公開鍵を用いて手順Ｓ３および手順Ｓ４により認証要求を送出する以降の手順を、再接続手順として実行する。この再接続手順の場合、無線ＬＡＮ端末１０における手順は図８と同様の手順Ｓ６Ａおよび手順Ｓ８Ａとなり、最初の接続における連結要求および連結応答のそれぞれは、再連結要求および再連結応答となる。
【実施例４】
【００４４】
本発明の実施例４として上述の機能を総合して有する無線ＬＡＮ端末１０の主要動作手順について図９のフローチャートに図１から図８までを併せ参照して説明する。このチャートには、障害のような異常動作に関する手順は含まれていない。
【００４５】
無線ＬＡＮ端末１０は、一つのＶＰＮに使用され、同一ＥＳＳＩＤのＡＰ２０またはＡＰ２０Ａとアクセス可能なものとする。また、無線ＬＡＮ端末１０およびＡＰ２０はそれぞれ独自の公開鍵１９「ＰＬＫＣ」および公開鍵２７「ＰＬＫＡ」を予め記憶している。
【００４６】
無線ＬＡＮ端末１０は、例えば電源投入の際または通信開始の際に、ＭＡＣデータ処理部１３からＡＰ接続要求を発生（手順Ｓ１０）する。ＡＰ接続要求を発生した場合には、無線ＬＡＮ端末１０は、ＡＰ公開鍵メモリ１７における公開鍵の取得なし（手順Ｓ１１のＮＯ）の状態である。
【００４７】
手順Ｓ１１が「ＮＯ」でＡＰ公開鍵メモリ１７に公開鍵の取得なしの場合、ＭＡＣデータ処理部１３は、暗号鍵用メモリ１５の端末公開鍵「ＰＬＫＣ」およびこの時点に暗号化複合化部１４で発生し秘密鍵１８として記録した乱数「ＲＡＮＤＡ」を含む探査要求（図４参照）をパケットに作成する。探査要求は、ＡＤ変換部１２を介して、無線送受信部１１から周囲のアクセスポイント（ＡＰ２０，ＡＰ２０Ａ）に向け放送（手順Ｓ１２）される。その探査要求に対して、無線ＬＡＮ端末１０は、アクセスポイントから上述とは逆の経路で返送される自己端末公開鍵「ＰＬＫＣ」を含む探査応答（図５参照）のパケットを受付けする。複数の探査応答を受付けの場合、ＭＡＣデータ処理部１３は、そのうちの一つ、例えば最大受信レベルを有する相手先のＡＰ２０からのパケットを受付け（手順Ｓ１３のＹＥＳ）する。探査応答には、ＡＰ２０でそのＡＰのＥＳＳＩＤと乱数「ＲＡＮＤＡ」との排他的論理和を端末側公開鍵ＰＬＫＣによって暗号化して得たＥＳＳＩＤの暗号化データとＡＰ２０の公開鍵「ＰＬＫＡ」とが含まれる。
【００４８】
ＭＡＣデータ処理部１３は、受付けした探査応答情報を暗号化復号化部１４で復号し、ＡＰ２０のＥＳＳＩＤを解読（手順Ｓ１４）して、自己の接続先ＥＳＳＩＤを確認（手順Ｓ１５のＹＥＳ）する。ＭＡＣデータ処理部１３は、そのＥＳＳＩＤが自分の接続要求するネットワーク名と一致した場合、別に取得したＡＰ２０の公開鍵「ＰＬＫＡ」をＡＰ公開鍵メモリ１７に記録して規定された認証要求のパケットをＡＰ２０に上述と同一経路で送出（手順Ｓ１６）する。
【００４９】
ＭＡＣデータ処理部１３は、その認証要求に対しＡＰ２０から認証成功の認証応答を受付け（手順Ｓ１７のＹＥＳ）の場合、この時点に暗号化複合化部１４で発生し秘密鍵１８として記録を更新した乱数「ＲＡＮＤＢ」とＥＳＳＩＤとの排他的論理和を、保持しているＡＰ公開鍵ＰＬＫＡで暗号化して得たデータを含む連結要求（図６参照）をパケットに作成してＡＰ２０宛てに送出（手順Ｓ１８）する。
【００５０】
ＭＡＣデータ処理部１３は、その連結要求に対しＡＰ２０から連結成立の連結応答（図７参照）のパケットを受付け（手順Ｓ１９のＹＥＳ）の場合、その連結応答に含まれる乱数「ＲＡＮＤＢ」と暗号用メモリ１５に記録された秘密鍵１８の乱数「ＲＡＮＤＢ」との一致により、通信路の確立（手順Ｓ２０）を確認することができる。その結果、端末同士のパケット通信が可能である。
【００５１】
上記手順Ｓ１３が「ＮＯ」で探査応答なしの場合、応答があるまで待ち合わせとなる。上記手順Ｓ１５が「ＮＯ」で接続先ＥＳＳＩＤの一致が確認できない場合、または、上記手順Ｓ１７若しくは手順Ｓ１９が、図示されていないが例えば、所定のタイミング超過で「ＮＯ」となり、認証成功若しくは連結成立の応答なしの場合、何れの場合も手順は上記手順Ｓ１３に戻り、他の探査応答がなければ次の探査応答を待ち受けし、他の探査応答があればそのうちの一つを受付けする。更に、図示されていないが、手順Ｓ２０で乱数不一致の場合、ＭＡＣデータ処理部１３は、デオーセティケーション（De-authentication）データフレームをＡＰ２０に送出して先の連結要求を取り消す。
【００５２】
一方、再接続要求のため、上記手順Ｓ１１が「ＹＥＳ」でＡＰ公開鍵メモリ１７に公開鍵の取得ありの場合、ＭＡＣデータ処理部１３は、そのアクセスポイント、例えばＡＰ２０に対して認証要求を送出（手順Ｓ２１）する。ＭＡＣデータ処理部１３は、その認証要求に対しＡＰ２０から認証成功の認証応答を受付け（手順Ｓ２２のＹＥＳ）の場合、この時点に暗号化複合化部１４で発生の乱数「ＲＡＮＤＢ」とＥＳＳＩＤとの排他的論理和を、保持しているＡＰ公開鍵ＰＬＫＡで暗号化して得たデータを含む再連結要求をパケットに作成してＡＰ２０宛てに送出（手順Ｓ２３）する。次いで、ＭＡＣデータ処理部１３は、上記手順Ｓ１９に進み、上記再連結要求に対しＡＰ２０から再連結成立の再連結応答で受付けする。
【産業上の利用可能性】
【００５３】
周知の暗号化手法を用いて容易に無線ＬＡＮのネットワーク名であるＥＳＳＩＤの暗号化ができ、無線ＬＡＮ端末とアクセスポイントとの間の伝達情報に含まれるＥＳＳＩＤを暗号化することによって、ＥＳＳＩＤの盗難を困難にすることが必要かつ不可欠な用途、特にＶＰＮなどのネットワーク形成の全般にわたり適用可能である。
【図面の簡単な説明】
【００５４】
【図１】無線ＬＡＮシステム構成の一実施例をブロックで示した説明図である。
【図２】無線ＬＡＮ端末と無線ＬＡＮのアクセスポイントとのそれぞれの本発明による構成の一実施例をブロックで示した説明図である。（実施例１〜４）
【図３】図２において、無線ＬＡＮ端末がアクセスポイントと接続する際の主要動作手順の一実施例をシーケンスチャートで示した説明図である。（実施例１）
【図４】本発明によるプローブ要求パケット構成の一実施例をフォーマットで示した説明図である。（実施例１）
【図５】本発明によるプローブ応答パケット構成の一実施例をフォーマットで示した説明図である。（実施例１）
【図６】本発明によるアソシエーション要求パケット構成の一実施例をフォーマットで示した説明図である。（実施例１）
【図７】本発明によるアソシエーション応答パケット構成の一実施例をフォーマットで示した説明図である。（実施例１）
【図８】本発明による無線ＬＡＮ端末がアクセスポイントと接続する際のハンドオーバ接続または再接続における主要動作手順の一実施例をシーケンスチャートで示した説明図である。（実施例２，３）
【図９】本発明による無線ＬＡＮ端末がアクセスポイントと接続する際の主要動作手順の一実施例をフローチャートで示した説明図である。（実施例４）
【符号の説明】
【００５５】
１０ 無線ＬＡＮ端末
１１、２１ 無線送受信部
１２、２２ ＡＤ変換部
１３、２３ ＭＡＣデータ処理部
１４、２４ 暗号化復号化部
１５、２５ 暗号鍵用メモリ
１６、２６ 上位層プロトコル処理部
１７ ＡＰ公開鍵メモリ
１８、２８ 秘密鍵
１９、２７ 公開鍵
２０、２０Ａ ＡＰ
【技術分野】
【０００１】
本発明は、無線ＬＡＮ端末で接続する無線ＬＡＮのネットワーク名を他人に盗まれることなく無線通信路を安全に接続する方法およびその方法を用いた無線ＬＡＮシステムに関するものである。
【背景技術】
【０００２】
従来の無線ＬＡＮシステムでは、ＩＥＥＥにおける無線ＬＡＮ標準として規定される「IEEE 802.11a,…11i,…」などのＩＥＥＥ規格群がある。それによれば、無線ＬＡＮのアクセスポイント（以後、ＡＰと略称することがある。）がネットワーク名をビーコン（Beacon）パケットに格納しそのビーコンパケットをブロードキャストすることによって周辺の無線ＬＡＮ端末に通知している。一つの無線ネットワークと接続する無線端末では同一のネットワーク名が使用され、アクセスポイントを含むネットワークの識別のためにはＥＳＳＩＤ（Extended Service Set Identifier）が使用される。すなわち、無線ＬＡＮ端末は、アクセスポイントのビーコンを受信してネットワーク名を抽出することで、自分が接続したいネットワークと同じネットワーク名を有するアクセスポイントに接続を要求しその接続を確立する（例えば、非特許文献１および特許文献１参照。）。
【０００３】
一方、無線ＬＡＮにおけるセキュリティを確保するためには、送信内容を暗号化する暗号鍵を利用する方式などがあるが、無線ＬＡＮ端末が無線通信を行う際に、第三者の成りすましを防止するため、アクセスポイントが無線端末からセキュリティ設定処理の開始指示を受付ける前にセキュリティ処理の開始を示す開始指示データを受付けしていない場合にのみ、セキュリティ設定処理を実行するというシステムがある（例えば、特許文献２参照。）。
【０００４】
しかしながら、従来のこれらシステムにおいて、通常はネットワーク名が無線ＬＡＮ上にそのまま放送されるため、第三者に簡単に知られてしまうので、それを悪用される可能性がある。ネットワーク名は重要ではないように見られるが、特にＶＰＮ（Virtual Private Network）での無線ＬＡＮネットワーク名は企業の部門名または開発プロジェクトの名称などのような意味ある言葉が一般的に多く使われるため、このような情報が悪用されることは否定できない。
【０００５】
例えば、組織内にある複数の無線ＬＡＮのネットワーク名すなわち上述したＥＳＳＩＤから、組織構成を知ることができる。また、無線ＬＡＮプロトコルアナライザなどを利用することにより、無線ＬＡＮのトラフィック量などが簡単に計測できるため、トラフィック量とネットワーク名またはＥＳＳＩＤとを利用して企業の活動などが推測可能である。また、同じネットワーク名またはＥＳＳＩＤを持つアクセスポイントを近くに設置して、通信妨害および成りすましが可能である。
【０００６】
ＥＳＳＩＤは、アクセスポイントから送信されるビーコンに格納しないようなシステムもあるが、無線ＬＡＮ端末とアクセスポイントとの間で送受信する種々の要求パケットおよびその応答パケットに含まれており、その抽出は無線ＬＡＮプロトコルアナライザなどにより容易に可能である。例えば、一つのアクセスポイントに成りすまして通信中の無線ＬＡＮ端末にデオーセンティケーション（De-authentication）パケットを送信した場合、無線ＬＡＮ端末から再アソシエーションが実行されるので、その結果、容易にＥＳＳＩＤを知ることができるからである。
【０００７】
【非特許文献１】Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) Specifications, ANSI/IEEE Std. 802.11,1999 Edition
【特許文献１】特開２００３−２０４３３５号公報
【特許文献２】特開２００７−０１３３４８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
解決しようとする課題は、無線ＬＡＮ端末が通信するアクセスポイントとの間で送受信する各種の要求パケットおよび応答パケットに含まれるネットワーク名としてのＥＳＳＩＤが第三者により容易に盗まれる可能性が高いことである。特に企業内ネットワークでは組織内にある複数の無線ＬＡＮのネットワーク名（ＥＳＳＩＤ）から、組織構成を知ることにより企業の活動などが推測可能であり、更に、通信妨害などという、盗まれたＥＳＳＩＤによる悪用に対して防止が困難なことである。
【課題を解決するための手段】
【０００９】
本発明は、無線回線で送受信するパケットデータからＥＳＳＩＤを盗難されて悪用されることを防止することを目的とする。そのため、無線ＬＡＮ端末およびアクセスポイントに予め暗号鍵を保有している。そして、前記無線ＬＡＮ端末と前記アクセスポイントとの間の通信路を形成する際に、その暗号鍵を用いて、無線ＬＡＮのアクセスポイントに付与されかつ送受信するパケットデータに挿入されるネットワーク名すなわちＥＳＳＩＤを、暗号化することを主要な特徴とする。したがって、受信側では受信した暗号化されたＥＳＳＩＤを暗号鍵で復号する。
【００１０】
暗号化技術には上述した「IEEE 802.11」シリーズで規定されたものなどがある。
【００１１】
本発明では、無線ＬＡＮ端末およびそのアクセスポイントそれぞれで暗号鍵として予め付与された公開鍵および必要の都度生成する秘密鍵を保持し、その公開鍵および秘密鍵によりＥＳＳＩＤを暗号化しかつそれを復号する。その秘密鍵は、無線ＬＡＮ端末で乱数を用いて生成することが望ましい。
【発明の効果】
【００１２】
本発明の無線ＬＡＮ端末接続方法およびその方法を用いた無線ＬＡＮシステムは、送信パケットに挿入されるＥＳＳＩＤを暗号化し受信側で復号するため、第三者が一つのパケットのみを傍受してデータを盗難しても、そこに含まれるＥＳＳＩＤは暗号化されているので、ＥＳＳＩＤによる悪用を防止することができる。また、暗号化には、公開鍵および秘密鍵が用いられ、特に秘密鍵にその都度発生させる乱数を使用する場合、ＥＳＳＩＤの盗難に対する保護が更に強化できる。
【発明を実施するための最良の形態】
【００１３】
無線ＬＡＮ端末がアクセスポイント（以後、ＡＰと略称することがある。）と通信する際に送受信するパケットデータから通信するネットワーク名であるＥＳＳＩＤを盗まれて悪用されることを防止するという目的を、送信パケットに挿入されるＥＳＳＩＤを暗号鍵で暗号化する一方、受信側で受信したＥＳＳＩＤを暗号鍵で復号することにより、高い確実性をもって実現した。
【００１４】
以降に、図面を参照して実施例を説明するが、図示されるものは本発明に係る主要部分であり、必須機能であっても省略された部分がある。ＩＥＥＥ規格による英文表記の用語は図面表記のため和文の短縮用語を定義して用いている。また、図示された機能ブロックの分離併合、および動作手順の前後入替えなどは、特許請求の範囲を含む本発明の趣旨を満たすものであれば自由であり、下記説明が本発明を限定するものではない。
【００１５】
図１は、無線ＬＡＮ端末１０がアクセスポイント（ＡＰ）２０を介して無線ＬＡＮ１００と連結し通信する状態を示す。無線ＬＡＮ端末１０は、移動した際、同一ＥＳＳＩＤでのよりよい通信条件のＡＰ２０Ａに接続をハンドオーバ（切替え）可能である。
【実施例１】
【００１６】
本発明の実施例１について図１から図７までを参照して説明する。
【００１７】
図２は、本発明の一実施例をブロックで示す説明図であって、図１において通信する無線ＬＡＮ端末１０およびＡＰ２０の詳細を示す。無線ＬＡＮ端末１０は、無線送受信部１１、ＡＤ変換部１２、ＭＡＣデータ処理部１３、暗号化復号化部１４、暗号鍵用メモリ１５、上位層プロトコル処理部１６、およびＡＰ公開鍵メモリ１７、を有し、暗号鍵用メモリ１５は秘密鍵１８および公開鍵１９を記憶する。ＡＰ２０は、無線送受信部２１、ＡＤ変換部２２、ＭＡＣデータ処理部２３、暗号化復号化部２４、暗号鍵用メモリ２５、および上位層プロトコル処理部２６を有し、暗号鍵用メモリ２５は公開鍵２７および秘密鍵２８を記憶する。
【００１８】
無線送受信部１１，２１は、無線ＬＡＮ端末１０とＡＰ２０との間で変調されたアナログ信号を所定の電波により送受信する。ＡＤ変換部１２，２２は、無線送受信部１１，２１で受けたアナログ信号をディジタル信号に変換してＭＡＣデータ処理部１３，２３へ送出する一方、ＭＡＣデータ処理部１３，２３から受けたディジタル信号をアナログ信号に変換して無線送受信部１１，２１へ送出する。ＭＡＣデータ処理部１３，２３は、ＯＳＩ参照モデルにおけるＬＡＮのフレーム構造およびアクセス手法を規定するＭＡＣ層（Media Access Control layer）におけるデータパケットの構成処理を行うもので、ＡＤ変換部１２，２２と上位層プロトコル処理部１６，２６との間に接続される。
【００１９】
また、ＭＡＣデータ処理部１３，２３は、暗号化復号化部１４，２４および暗号鍵用メモリ１５，２５と接続し、暗号化復号化部１４，２４が「ＥＳＳＩＤ」の暗号化およびその復号を実行してその読取りを処理する。暗号鍵用メモリ１５，２５は、通信相手に送る公開鍵１９，２７を予め保持して提供するとともに、暗号化復号化部１４，２４に暗号化または復号のために秘密鍵１８，２８を提供する。上位層プロトコル処理部１６，２６は、ＭＡＣ層より上位層にあたるプロトコルに準じてデータを処理する。ＡＰ公開鍵メモリ１７は、通信する際に接続したＡＰ２０から受けた公開鍵を保持する。
【００２０】
本発明による特徴は、暗号化復号化部１４，２４、暗号鍵用メモリ１５，２５、およびＡＰ公開鍵メモリ１７にあり、他の構成要素を一般的な通常のデバイスにより構成する。
【００２１】
すなわち、無線ＬＡＮ端末１０の暗号化復号化部１４は、ＡＰ公開鍵用メモリ１７に保管されている公開鍵を使用してＥＳＳＩＤを暗号化する機能、ＡＰ２０から受信した暗号化データを無線ＬＡＮ端末１０の秘密鍵１８で復号してＥＳＳＩＤを読み取る機能、および秘密鍵１８となる乱数「ＲＡＮＤ」を必要の都度生成する機能を有する。暗号鍵用メモリ１５は、自己に付与された端末公開鍵１９「ＰＬＫＣ」と暗号化復号化部１４でその都度生成される秘密鍵１８とを記録する。
【００２２】
一方、ＡＰ２０の暗号化復号化部２４は、無線ＬＡＮ端末１０から受信した端末の公開鍵を使用してＥＳＳＩＤを暗号化する機能、無線ＬＡＮ端末１０から受信した暗号化データをＡＰ２０の秘密鍵２８で復号してＥＳＳＩＤを読み取る機能、および秘密鍵２８となる乱数「ＲＡＮＤ」を必要の際に生成する機能を有する。暗号鍵用メモリ２５は、自己に付与されたＡＰ公開鍵２７「ＰＬＫＡ」を記録すると共に、秘密鍵２８として、その都度無線ＬＡＮ端末１０で生成され送信される乱数「ＲＡＮＤ」を受付けし記録する。
【００２３】
次に、図３に図４から図７まで及び図２を併せ参照して無線ＬＡＮ端末１０がアクセスポイント（ＡＰ）２０と接続する手順について説明する。
【００２４】
まず、無線ＬＡＮ端末１０は、ＡＰ２０との通信路が確立する以前では、固定するＡＰ２０の公開鍵をまだ取得していない。したがって、通信開始に際して、無線ＬＡＮ端末１０は、プローブ要求（Prove Request）（以後、探査要求と短縮呼称することとする。）をブロードキャスト（以後、放送と短縮呼称することとする。）（手順Ｓ１）する。したがって、近接するＡＰ２０がこの探査要求を受け、この探査要求に対するプローブ応答（Prove Response）（以後、探査応答と短縮呼称することとする。）をその探査要求の発信元に返送（手順Ｓ２）する。
【００２５】
図４は、無線ＬＡＮ端末１０からＡＰ２０へ送出する探査要求（プローブ要求：Prove Request）の一実施例をフォーマットで示す。図示される探査要求は、ＩＥＥＥ８０２．１１規格群に準じたデータに、無線ＬＡＮ端末１０の端末公開鍵ＰＬＫＣを端末公開鍵情報とし、またこの際に無線ＬＡＮ端末１０で発生する第１の乱数ＲＡＮＤＡを端末乱数情報とした二つの情報要素を追加している。乱数ＲＡＮＤＡは発生した際に暗号鍵用メモリ１５の秘密鍵１８として記録される。
【００２６】
すなわち、無線ＬＡＮ端末１０では、通信開始に際し上記手順Ｓ１として、ＭＡＣデータ処理部１３が、暗号鍵用メモリ１５の端末公開鍵ＰＬＫＣと暗号化復号化部１４で生成する乱数ＲＡＮＤＡとを含む探査要求（Probe Request［ＰＬＫＣ，ＲＡＮＤＡ］）を作成して放送する。その結果、この探査要求を受けたＡＰ２０は、上記手順Ｓ２として、探査応答を返送する。
【００２７】
図５は、ＡＰ２０から無線ＬＡＮ端末１０へ返送する探査応答（プローブ応答：Prove Response）の一実施例をフォーマットで示す。図示される探査応答は、ＩＥＥＥ８０２．１１規格群に準じたデータに、二つの情報要素を追加して形成される。一つは、ＡＰ２０の公開鍵ＰＬＫＡをＡＰ公開鍵情報としている。二つ目の情報要素は、そのＡＰ２０のＥＳＳＩＤと受けた探査要求に含まれる乱数ＲＡＮＤＡとの排他的論理和を端末側公開鍵ＰＬＫＣで暗号化して得たＥＳＳＩＤの暗号化データである。したがって、図示されるような探査応答（Probe Response） ［ＰＬＫＡ，ＰＬＫＣ（ＥＳＳＩＤ，ＲＡＮＤＡ）］が作成される。
【００２８】
ＡＰ２０は、複数のＥＳＳＩＤを有する場合、それぞれのＥＳＳＩＤについて情報要素「ＰＬＫＣ（ＥＳＳＩＤ，ＲＡＮＤＡ）」を求めそれを探査応答に追加して無線ＬＡＮ端末１０に送出する。
【００２９】
無線ＬＡＮ端末１０は、応答データの中から自己の「ＰＬＫＣ」を有する探査応答を受け、そのデータ（ＥＳＳＩＤ，ＲＡＮＤＡ）と秘密鍵１８として以前に記憶する第１の乱数ＲＡＮＤＡとの排他的論理和を求めＥＳＳＩＤを解読（手順Ｓ３）する。この際、無線ＬＡＮ端末１０は、受けた複数の探査応答で例えば最大レベルの受信信号を有するアクセスポイントのうちの一つのＡＰ２０を選択し、ＥＳＳＩＤが自分と接続したいネットワーク名であれば、オーセンティケーション要求（Authentication Request）（以後、認証要求と短縮呼称することとする。）のデータフレームをＡＰ２０に送出（手順Ｓ４）して認証を要求する。このデータフレームはＩＥＥＥ８０２．１１規格群に準じたデータフレームであり、周知の処理が実行される。
【００３０】
認証要求を受けたＡＰ２０は、認証結果をオーセンティケーション応答（Authentication Response）（以後、認証応答と短縮呼称することとする。）のデータフレームに搭載し無線ＬＡＮ端末１０に返送（手順Ｓ５）する。このデータフレームはＩＥＥＥ８０２．１１規格群に準じた周知のデータフレームである。
【００３１】
認証結果が成功の場合、無線ＬＡＮ端末１０では、暗号化復号化部１４が新たに第２の乱数ＲＡＮＤＢを生成して秘密鍵１８とし、暗号鍵用メモリ１５の第１の乱数ＲＡＮＤＡを乱数ＲＡＮＤＢに更新すると共に、アソシエーション要求（Association Request）（以後、連結要求と短縮呼称することとする。）のデータフレームをＡＰ２０に送出（手順Ｓ６）して通信接続を要求する。
【００３２】
図６は無線ＬＡＮ端末１０からＡＰ２０へ送出する上記連結要求の一実施例をフォーマットで示す。図示される連結要求は、ＩＥＥＥ８０２．１１規格群に準じたデータに、一つの情報要素を格納するものであって、ＥＳＳＩＤと上記乱数ＲＡＮＤＢとの排他的論理和を、保持しているＡＰ公開鍵ＰＬＫＡで暗号化して得たデータ「ＰＬＫＡ（ＥＳＳＩＤ，ＲＡＮＤＢ）」である。
【００３３】
連結要求を受けたＡＰ２０は、受信したデータ「ＰＬＫＡ（ＥＳＳＩＤ，ＲＡＮＤＢ）」を自分の秘密鍵２８で暗号化し、自分のＡＰ公開鍵ＰＬＫＡと自分のＥＳＳＩＤとの排他的論理和を求めて乱数ＲＡＮＤＢを算出する。そして、算出された乱数ＲＡＮＤＢをアソシエーション応答（Association Response）（以後、連結応答と短縮呼称することとする。）のデータフレームに格納し無線ＬＡＮ端末１０に返送（手順Ｓ７）する。
【００３４】
図７は、ＡＰ２０から無線ＬＡＮ端末１０へ返送する連結応答の一実施例をフォーマットで示す。図示される連結応答は、ＩＥＥＥ８０２．１１規格群に準じたデータに、一つの情報要素を格納するものであって、その情報要素は乱数格納情報としてのデータ「ＲＡＮＤＢ」である。
【００３５】
連結応答を受けた無線ＬＡＮ端末１０は、連結応答に含まれる乱数ＲＡＮＤＢと、上記手順Ｓ６で自分が生成した乱数ＲＡＮＤＢとを比較し、一致確認の際には受けた連結応答を有効なデータフレームとして連結成立（手順Ｓ８）と判断して通常のＩＥＥＥ８０２．１１規格群に準じた処理を行う。
【００３６】
比較結果が不一致になった場合、無線ＬＡＮ端末１０は、パケットによるデオーセンティケーション（De-authentication）データフレームをＡＰ２０に送出して先の連結要求を取り消す。
【００３７】
このような形態を採用したので、無線ＬＡＮで電波により通信されるデータに含まれるＥＳＳＩＤは暗号鍵により暗号化されている。そのため、通信中のネットワーク名が第三者に漏洩することが防止できる。更に、暗号鍵に乱数を用いることにより、繰返しの攻撃に対しても有効に防御することができる。
【実施例２】
【００３８】
本発明の実施例２としてハンドオーバ接続手順について図８に図１を併せ参照して説明する。
【００３９】
図８の実施例は、図１の接続図において、上述した実施例１による連結成立し通信接続中の場合、通信中の信号の受信レベルが低下したことにより、受信レベルがより高いＡＰ２０Ａにハンドオーバする際の手順である。無線ＬＡＮ端末１０の手順Ｓ１Ａから手順Ｓ８Ａまでは図３のシーケンスチャートとほぼ同じである。
【００４０】
相違点は、手順Ｓ３Ａに続く手順Ｓ３Ｂで、通信中の受信電波より高い受信レベルの電波を有するＡＰ２０Ａが検出されていること、および、その結果、無線ＬＡＮ端末１０は、対応のＡＰ２０Ａに認証要求を送出し、その認証成功の応答により、最初の接続である連結要求に替えて、再連結要求（Re-association Request）を送出していることである。したがって、ＡＰ２０Ａからは再連結応答（Re-association Response）が返送される。
【００４１】
その他の機能動作は、上述の実施例１と同一なのでその説明は省略する。
【実施例３】
【００４２】
本発明の実施例３としてＡＰの再接続手順について上記図２および図３に図８を併せ参照して説明する。
【００４３】
図３において、通信接続中に切断が生じた場合、ＡＰ公開鍵メモリ１７を調査して公開鍵を確認し、その公開鍵を用いて手順Ｓ３および手順Ｓ４により認証要求を送出する以降の手順を、再接続手順として実行する。この再接続手順の場合、無線ＬＡＮ端末１０における手順は図８と同様の手順Ｓ６Ａおよび手順Ｓ８Ａとなり、最初の接続における連結要求および連結応答のそれぞれは、再連結要求および再連結応答となる。
【実施例４】
【００４４】
本発明の実施例４として上述の機能を総合して有する無線ＬＡＮ端末１０の主要動作手順について図９のフローチャートに図１から図８までを併せ参照して説明する。このチャートには、障害のような異常動作に関する手順は含まれていない。
【００４５】
無線ＬＡＮ端末１０は、一つのＶＰＮに使用され、同一ＥＳＳＩＤのＡＰ２０またはＡＰ２０Ａとアクセス可能なものとする。また、無線ＬＡＮ端末１０およびＡＰ２０はそれぞれ独自の公開鍵１９「ＰＬＫＣ」および公開鍵２７「ＰＬＫＡ」を予め記憶している。
【００４６】
無線ＬＡＮ端末１０は、例えば電源投入の際または通信開始の際に、ＭＡＣデータ処理部１３からＡＰ接続要求を発生（手順Ｓ１０）する。ＡＰ接続要求を発生した場合には、無線ＬＡＮ端末１０は、ＡＰ公開鍵メモリ１７における公開鍵の取得なし（手順Ｓ１１のＮＯ）の状態である。
【００４７】
手順Ｓ１１が「ＮＯ」でＡＰ公開鍵メモリ１７に公開鍵の取得なしの場合、ＭＡＣデータ処理部１３は、暗号鍵用メモリ１５の端末公開鍵「ＰＬＫＣ」およびこの時点に暗号化複合化部１４で発生し秘密鍵１８として記録した乱数「ＲＡＮＤＡ」を含む探査要求（図４参照）をパケットに作成する。探査要求は、ＡＤ変換部１２を介して、無線送受信部１１から周囲のアクセスポイント（ＡＰ２０，ＡＰ２０Ａ）に向け放送（手順Ｓ１２）される。その探査要求に対して、無線ＬＡＮ端末１０は、アクセスポイントから上述とは逆の経路で返送される自己端末公開鍵「ＰＬＫＣ」を含む探査応答（図５参照）のパケットを受付けする。複数の探査応答を受付けの場合、ＭＡＣデータ処理部１３は、そのうちの一つ、例えば最大受信レベルを有する相手先のＡＰ２０からのパケットを受付け（手順Ｓ１３のＹＥＳ）する。探査応答には、ＡＰ２０でそのＡＰのＥＳＳＩＤと乱数「ＲＡＮＤＡ」との排他的論理和を端末側公開鍵ＰＬＫＣによって暗号化して得たＥＳＳＩＤの暗号化データとＡＰ２０の公開鍵「ＰＬＫＡ」とが含まれる。
【００４８】
ＭＡＣデータ処理部１３は、受付けした探査応答情報を暗号化復号化部１４で復号し、ＡＰ２０のＥＳＳＩＤを解読（手順Ｓ１４）して、自己の接続先ＥＳＳＩＤを確認（手順Ｓ１５のＹＥＳ）する。ＭＡＣデータ処理部１３は、そのＥＳＳＩＤが自分の接続要求するネットワーク名と一致した場合、別に取得したＡＰ２０の公開鍵「ＰＬＫＡ」をＡＰ公開鍵メモリ１７に記録して規定された認証要求のパケットをＡＰ２０に上述と同一経路で送出（手順Ｓ１６）する。
【００４９】
ＭＡＣデータ処理部１３は、その認証要求に対しＡＰ２０から認証成功の認証応答を受付け（手順Ｓ１７のＹＥＳ）の場合、この時点に暗号化複合化部１４で発生し秘密鍵１８として記録を更新した乱数「ＲＡＮＤＢ」とＥＳＳＩＤとの排他的論理和を、保持しているＡＰ公開鍵ＰＬＫＡで暗号化して得たデータを含む連結要求（図６参照）をパケットに作成してＡＰ２０宛てに送出（手順Ｓ１８）する。
【００５０】
ＭＡＣデータ処理部１３は、その連結要求に対しＡＰ２０から連結成立の連結応答（図７参照）のパケットを受付け（手順Ｓ１９のＹＥＳ）の場合、その連結応答に含まれる乱数「ＲＡＮＤＢ」と暗号用メモリ１５に記録された秘密鍵１８の乱数「ＲＡＮＤＢ」との一致により、通信路の確立（手順Ｓ２０）を確認することができる。その結果、端末同士のパケット通信が可能である。
【００５１】
上記手順Ｓ１３が「ＮＯ」で探査応答なしの場合、応答があるまで待ち合わせとなる。上記手順Ｓ１５が「ＮＯ」で接続先ＥＳＳＩＤの一致が確認できない場合、または、上記手順Ｓ１７若しくは手順Ｓ１９が、図示されていないが例えば、所定のタイミング超過で「ＮＯ」となり、認証成功若しくは連結成立の応答なしの場合、何れの場合も手順は上記手順Ｓ１３に戻り、他の探査応答がなければ次の探査応答を待ち受けし、他の探査応答があればそのうちの一つを受付けする。更に、図示されていないが、手順Ｓ２０で乱数不一致の場合、ＭＡＣデータ処理部１３は、デオーセティケーション（De-authentication）データフレームをＡＰ２０に送出して先の連結要求を取り消す。
【００５２】
一方、再接続要求のため、上記手順Ｓ１１が「ＹＥＳ」でＡＰ公開鍵メモリ１７に公開鍵の取得ありの場合、ＭＡＣデータ処理部１３は、そのアクセスポイント、例えばＡＰ２０に対して認証要求を送出（手順Ｓ２１）する。ＭＡＣデータ処理部１３は、その認証要求に対しＡＰ２０から認証成功の認証応答を受付け（手順Ｓ２２のＹＥＳ）の場合、この時点に暗号化複合化部１４で発生の乱数「ＲＡＮＤＢ」とＥＳＳＩＤとの排他的論理和を、保持しているＡＰ公開鍵ＰＬＫＡで暗号化して得たデータを含む再連結要求をパケットに作成してＡＰ２０宛てに送出（手順Ｓ２３）する。次いで、ＭＡＣデータ処理部１３は、上記手順Ｓ１９に進み、上記再連結要求に対しＡＰ２０から再連結成立の再連結応答で受付けする。
【産業上の利用可能性】
【００５３】
周知の暗号化手法を用いて容易に無線ＬＡＮのネットワーク名であるＥＳＳＩＤの暗号化ができ、無線ＬＡＮ端末とアクセスポイントとの間の伝達情報に含まれるＥＳＳＩＤを暗号化することによって、ＥＳＳＩＤの盗難を困難にすることが必要かつ不可欠な用途、特にＶＰＮなどのネットワーク形成の全般にわたり適用可能である。
【図面の簡単な説明】
【００５４】
【図１】無線ＬＡＮシステム構成の一実施例をブロックで示した説明図である。
【図２】無線ＬＡＮ端末と無線ＬＡＮのアクセスポイントとのそれぞれの本発明による構成の一実施例をブロックで示した説明図である。（実施例１〜４）
【図３】図２において、無線ＬＡＮ端末がアクセスポイントと接続する際の主要動作手順の一実施例をシーケンスチャートで示した説明図である。（実施例１）
【図４】本発明によるプローブ要求パケット構成の一実施例をフォーマットで示した説明図である。（実施例１）
【図５】本発明によるプローブ応答パケット構成の一実施例をフォーマットで示した説明図である。（実施例１）
【図６】本発明によるアソシエーション要求パケット構成の一実施例をフォーマットで示した説明図である。（実施例１）
【図７】本発明によるアソシエーション応答パケット構成の一実施例をフォーマットで示した説明図である。（実施例１）
【図８】本発明による無線ＬＡＮ端末がアクセスポイントと接続する際のハンドオーバ接続または再接続における主要動作手順の一実施例をシーケンスチャートで示した説明図である。（実施例２，３）
【図９】本発明による無線ＬＡＮ端末がアクセスポイントと接続する際の主要動作手順の一実施例をフローチャートで示した説明図である。（実施例４）
【符号の説明】
【００５５】
１０ 無線ＬＡＮ端末
１１、２１ 無線送受信部
１２、２２ ＡＤ変換部
１３、２３ ＭＡＣデータ処理部
１４、２４ 暗号化復号化部
１５、２５ 暗号鍵用メモリ
１６、２６ 上位層プロトコル処理部
１７ ＡＰ公開鍵メモリ
１８、２８ 秘密鍵
１９、２７ 公開鍵
２０、２０Ａ ＡＰ
【特許請求の範囲】
【請求項１】
無線ＬＡＮ端末がアクセスポイントと通信する際の無線ＬＡＮ端末接続方法において、前記無線ＬＡＮ端末と前記アクセスポイントとの間の通信路を形成する際に、暗号鍵を用いて、無線ＬＡＮのアクセスポイントに付与されかつ送受信するパケットデータに挿入されるネットワーク名（ＥＳＳＩＤ）を、暗号化することを特徴とする無線ＬＡＮ端末接続方法。
【請求項２】
請求項１に記載の無線ＬＡＮ端末接続方法において、前記暗号鍵には、無線ＬＡＮ端末およびそのアクセスポイントそれぞれで保持する予め付与される公開鍵および必要の都度生成する秘密鍵を用いることを特徴とする無線ＬＡＮ端末接続方法。
【請求項３】
請求項２に記載の無線ＬＡＮ端末接続方法において、前記秘密鍵は、乱数を用いて、無線ＬＡＮ端末で生成することを特徴とする無線ＬＡＮ端末接続方法。
【請求項４】
請求項３に記載の無線ＬＡＮ端末接続方法において、無線ＬＡＮ端末からアクセスポイントに自己の端末公開鍵と別に生成した第１の秘密鍵とを探査要求に形成して送出し、受付けした端末公開鍵と第１の秘密鍵とで自己のＥＳＳＩＤを暗号化した探査応答を形成してアクセスポイントから返送し、無線ＬＡＮ端末が受付けした探査応答から暗号化ＥＳＳＩＤを解読し、ＥＳＳＩＤが接続先一致の場合には無線ＬＡＮ端末からそのアクセスポイントに認証要求し、このアクセスポイントから認証成功応答を受付けした際に無線ＬＡＮ端末は第２の秘密鍵を生成してＥＳＳＩＤと共に端末公開鍵により暗号化し、それを連結要求に形成して相手先アクセスポイントに送出し、アクセスポイントで受付けした連結要求の暗号化データから第２の秘密鍵を復号し、連結成立の際にはこの第２の秘密鍵をアクセスポイントから無線ＬＡＮ端末へ返送することを特徴とする無線ＬＡＮ端末接続方法。
【請求項５】
無線ＬＡＮ端末がアクセスポイントと接続して通信する無線ＬＡＮシステムにおいて、前記無線ＬＡＮ端末および前記アクセスポイントそれぞれは、所定の暗号鍵を保持し、送信するパケットデータの所定位置に挿入するＥＳＳＩＤを暗号鍵で暗号化する手段と、受信するパケットデータの所定位置のデータからＥＳＳＩＤを暗号鍵で復号する手段と、を有することを特徴とする無線ＬＡＮシステム。
【請求項６】
請求項５に記載の無線ＬＡＮシステムにおいて、前記暗号化および復号のための暗号鍵には、無線ＬＡＮ端末およびそのアクセスポイントそれぞれで保持する予め付与される公開鍵と必要の都度生成する秘密鍵とを用いることを特徴とする無線ＬＡＮシステム。
【請求項７】
請求項６に記載の無線ＬＡＮシステムにおいて、前記秘密鍵は、無線ＬＡＮ端末が乱数から生成することを特徴とする無線ＬＡＮシステム。
【請求項８】
無線ＬＡＮシステムにおいて、アクセスポイントと無線回線で接続する無線ＬＡＮ端末が、自己に予め付与された端末公開鍵と別に生成する秘密鍵とを暗号化用に保持する暗号鍵用メモリと、通信相手のアクセスポイントから送られるアクセスポイント公開鍵を保持するアクセスポイント公開鍵メモリと、暗号化用鍵を用いてデータを暗号化する一方、暗号化されたデータを復号する暗号化複合化部と、ＭＡＣ（Media Access Control layer）層のデータパケット構成に含まれ、無線ＬＡＮの接続先アクセスポイントに付与されるネットワーク名「ＥＳＳＩＤ」を暗号化して送信する一方、受信する暗号化ＥＳＳＩＤを復号処理するデータ処理部と、を備えることを特徴とする無線ＬＡＮシステム。
【請求項９】
請求項８に記載の無線ＬＡＮシステムにおいて、前記データ処理部が、前記メモリと暗号化複合化部とを用いて、前記アクセスポイントと送受信するデータパケットで、無線ＬＡＮの接続先アクセスポイントに付与されるネットワーク名「ＥＳＳＩＤ」をそのアクセスポイントから取得する場合、前記端末公開鍵とその時点で生成する第１の秘密鍵とをプローブ要求に含ませて周囲のアクセスポイント宛てに放送する手段と、このプローブ要求に応答して受付けするプローブ応答の所定位置から、相手先アクセスポイントの公開鍵を取得して前記アクセスポイント公開鍵メモリに記録し、かつ、前記第１の秘密鍵で暗号化された前記ＥＳＳＩＤを解読して接続先ネットワークとの一致を確認する手段と、一致を確認した際に、所定のオーセンティケーション要求を相手先アクセスポイントの公開鍵を付して送出する手段と、このオーセンティケーション要求に応答して認証成功のオーセンティケーション応答を受付けの際には第２の秘密鍵を生成してＥＳＳＩＤと共に端末公開鍵により暗号化し、アソシエーション要求として相手先アクセスポイントに送出する手段と、アソシエーション要求に応答して受付けするアソシエーション応答の所定位置から前記第２の秘密鍵を取得して通信路の接続を確認する手段と、を有することを特徴とする無線ＬＡＮシステム。
【請求項１０】
無線ＬＡＮシステムにおいて、無線ＬＡＮ端末と無線回線で接続するアクセスポイントが、自己に予め付与されたアクセスポイント公開鍵と通信相手の無線ＬＡＮ端末から受ける秘密鍵とを暗号化用に保持するメモリと、暗号化用鍵を用いてデータを暗号化する一方で暗号化されたデータを復号する暗号化複合化部と、ＭＡＣ（Media Access Control layer）層のデータパケット構成に含まれ、無線ＬＡＮの接続先アクセスポイントに付与されるネットワーク名「ＥＳＳＩＤ」を暗号化して送信する一方、受信する暗号化ＥＳＳＩＤを復号処理するデータ処理部と、を備えることを特徴とする無線ＬＡＮシステム。
【請求項１１】
請求項１０に記載の無線ＬＡＮシステムにおいて、前記データ処理部が、前記メモリと暗号化複合化部とを用いて、前記無線ＬＡＮ端末と送受信するデータパケットで、前記無線ＬＡＮ端末からプローブ要求の放送を受付けの際には、そのプローブ要求の所定位置から端末公開鍵と第１の秘密鍵とを取得してそれらにより自己に付与されるネットワーク名「ＥＳＳＩＤ」を暗号化し、自己の公開鍵と共にプローブ応答に形成して返送する手段と、前記無線ＬＡＮ端末からオーセンティケーション要求を受付けの際にはその認証成立で所定のオーセンティケーション応答を形成して返送する手段と、前記無線ＬＡＮ端末からアソシエーション要求を受付けの際には、そのアソシエーション要求の所定位置の暗号化されたデータを復号して第２の秘密鍵を取得し、アソシエーション応答として返送する手段と、を有することを特徴とする無線ＬＡＮシステム。
【請求項１】
無線ＬＡＮ端末がアクセスポイントと通信する際の無線ＬＡＮ端末接続方法において、前記無線ＬＡＮ端末と前記アクセスポイントとの間の通信路を形成する際に、暗号鍵を用いて、無線ＬＡＮのアクセスポイントに付与されかつ送受信するパケットデータに挿入されるネットワーク名（ＥＳＳＩＤ）を、暗号化することを特徴とする無線ＬＡＮ端末接続方法。
【請求項２】
請求項１に記載の無線ＬＡＮ端末接続方法において、前記暗号鍵には、無線ＬＡＮ端末およびそのアクセスポイントそれぞれで保持する予め付与される公開鍵および必要の都度生成する秘密鍵を用いることを特徴とする無線ＬＡＮ端末接続方法。
【請求項３】
請求項２に記載の無線ＬＡＮ端末接続方法において、前記秘密鍵は、乱数を用いて、無線ＬＡＮ端末で生成することを特徴とする無線ＬＡＮ端末接続方法。
【請求項４】
請求項３に記載の無線ＬＡＮ端末接続方法において、無線ＬＡＮ端末からアクセスポイントに自己の端末公開鍵と別に生成した第１の秘密鍵とを探査要求に形成して送出し、受付けした端末公開鍵と第１の秘密鍵とで自己のＥＳＳＩＤを暗号化した探査応答を形成してアクセスポイントから返送し、無線ＬＡＮ端末が受付けした探査応答から暗号化ＥＳＳＩＤを解読し、ＥＳＳＩＤが接続先一致の場合には無線ＬＡＮ端末からそのアクセスポイントに認証要求し、このアクセスポイントから認証成功応答を受付けした際に無線ＬＡＮ端末は第２の秘密鍵を生成してＥＳＳＩＤと共に端末公開鍵により暗号化し、それを連結要求に形成して相手先アクセスポイントに送出し、アクセスポイントで受付けした連結要求の暗号化データから第２の秘密鍵を復号し、連結成立の際にはこの第２の秘密鍵をアクセスポイントから無線ＬＡＮ端末へ返送することを特徴とする無線ＬＡＮ端末接続方法。
【請求項５】
無線ＬＡＮ端末がアクセスポイントと接続して通信する無線ＬＡＮシステムにおいて、前記無線ＬＡＮ端末および前記アクセスポイントそれぞれは、所定の暗号鍵を保持し、送信するパケットデータの所定位置に挿入するＥＳＳＩＤを暗号鍵で暗号化する手段と、受信するパケットデータの所定位置のデータからＥＳＳＩＤを暗号鍵で復号する手段と、を有することを特徴とする無線ＬＡＮシステム。
【請求項６】
請求項５に記載の無線ＬＡＮシステムにおいて、前記暗号化および復号のための暗号鍵には、無線ＬＡＮ端末およびそのアクセスポイントそれぞれで保持する予め付与される公開鍵と必要の都度生成する秘密鍵とを用いることを特徴とする無線ＬＡＮシステム。
【請求項７】
請求項６に記載の無線ＬＡＮシステムにおいて、前記秘密鍵は、無線ＬＡＮ端末が乱数から生成することを特徴とする無線ＬＡＮシステム。
【請求項８】
無線ＬＡＮシステムにおいて、アクセスポイントと無線回線で接続する無線ＬＡＮ端末が、自己に予め付与された端末公開鍵と別に生成する秘密鍵とを暗号化用に保持する暗号鍵用メモリと、通信相手のアクセスポイントから送られるアクセスポイント公開鍵を保持するアクセスポイント公開鍵メモリと、暗号化用鍵を用いてデータを暗号化する一方、暗号化されたデータを復号する暗号化複合化部と、ＭＡＣ（Media Access Control layer）層のデータパケット構成に含まれ、無線ＬＡＮの接続先アクセスポイントに付与されるネットワーク名「ＥＳＳＩＤ」を暗号化して送信する一方、受信する暗号化ＥＳＳＩＤを復号処理するデータ処理部と、を備えることを特徴とする無線ＬＡＮシステム。
【請求項９】
請求項８に記載の無線ＬＡＮシステムにおいて、前記データ処理部が、前記メモリと暗号化複合化部とを用いて、前記アクセスポイントと送受信するデータパケットで、無線ＬＡＮの接続先アクセスポイントに付与されるネットワーク名「ＥＳＳＩＤ」をそのアクセスポイントから取得する場合、前記端末公開鍵とその時点で生成する第１の秘密鍵とをプローブ要求に含ませて周囲のアクセスポイント宛てに放送する手段と、このプローブ要求に応答して受付けするプローブ応答の所定位置から、相手先アクセスポイントの公開鍵を取得して前記アクセスポイント公開鍵メモリに記録し、かつ、前記第１の秘密鍵で暗号化された前記ＥＳＳＩＤを解読して接続先ネットワークとの一致を確認する手段と、一致を確認した際に、所定のオーセンティケーション要求を相手先アクセスポイントの公開鍵を付して送出する手段と、このオーセンティケーション要求に応答して認証成功のオーセンティケーション応答を受付けの際には第２の秘密鍵を生成してＥＳＳＩＤと共に端末公開鍵により暗号化し、アソシエーション要求として相手先アクセスポイントに送出する手段と、アソシエーション要求に応答して受付けするアソシエーション応答の所定位置から前記第２の秘密鍵を取得して通信路の接続を確認する手段と、を有することを特徴とする無線ＬＡＮシステム。
【請求項１０】
無線ＬＡＮシステムにおいて、無線ＬＡＮ端末と無線回線で接続するアクセスポイントが、自己に予め付与されたアクセスポイント公開鍵と通信相手の無線ＬＡＮ端末から受ける秘密鍵とを暗号化用に保持するメモリと、暗号化用鍵を用いてデータを暗号化する一方で暗号化されたデータを復号する暗号化複合化部と、ＭＡＣ（Media Access Control layer）層のデータパケット構成に含まれ、無線ＬＡＮの接続先アクセスポイントに付与されるネットワーク名「ＥＳＳＩＤ」を暗号化して送信する一方、受信する暗号化ＥＳＳＩＤを復号処理するデータ処理部と、を備えることを特徴とする無線ＬＡＮシステム。
【請求項１１】
請求項１０に記載の無線ＬＡＮシステムにおいて、前記データ処理部が、前記メモリと暗号化複合化部とを用いて、前記無線ＬＡＮ端末と送受信するデータパケットで、前記無線ＬＡＮ端末からプローブ要求の放送を受付けの際には、そのプローブ要求の所定位置から端末公開鍵と第１の秘密鍵とを取得してそれらにより自己に付与されるネットワーク名「ＥＳＳＩＤ」を暗号化し、自己の公開鍵と共にプローブ応答に形成して返送する手段と、前記無線ＬＡＮ端末からオーセンティケーション要求を受付けの際にはその認証成立で所定のオーセンティケーション応答を形成して返送する手段と、前記無線ＬＡＮ端末からアソシエーション要求を受付けの際には、そのアソシエーション要求の所定位置の暗号化されたデータを復号して第２の秘密鍵を取得し、アソシエーション応答として返送する手段と、を有することを特徴とする無線ＬＡＮシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２００９−３３５８５（Ｐ２００９−３３５８５Ａ）
【公開日】平成２１年２月１２日（２００９．２．１２）
【国際特許分類】
【出願番号】特願２００７−１９６９１３（Ｐ２００７−１９６９１３）
【出願日】平成１９年７月３０日（２００７．７．３０）
【出願人】（０００２２７２０５）ＮＥＣインフロンティア株式会社 (1,047)
【Ｆターム（参考）】
【公開日】平成２１年２月１２日（２００９．２．１２）
【国際特許分類】
【出願日】平成１９年７月３０日（２００７．７．３０）
【出願人】（０００２２７２０５）ＮＥＣインフロンティア株式会社 (1,047)
【Ｆターム（参考）】
[ Back to top ]