認証メッセージ交換システムおよび認証メッセージ交換方法
【課題】エンドツーエンドの認証を実現し、かつ、プロキシサーバによる認証メッセージの盗聴や改竄を防ぐことを課題とする。
【解決手段】認証クライアント１０や認証サーバ４０と同一の拠点網に設置された認証信号制御装置２０各々は、拠点網識別子と広域網識別子とを対応づけて識別子テーブルに格納する。また、認証信号制御装置２０各々は、同一の拠点網に設置された認証クライアント１０や認証サーバ４０との間で認証メッセージを送受信する。また、認証信号制御装置２０各々は、他方の認証信号制御装置２０との間で認証メッセージの暗号化に関する処理や電子署名に関する処理を相互に行う。また、認証信号制御装置２０各々は、他方の認証信号制御装置２０との間で、暗号化に関する処理が行われ電子署名に関する処理が行われた認証メッセージを送受信する。
【解決手段】認証クライアント１０や認証サーバ４０と同一の拠点網に設置された認証信号制御装置２０各々は、拠点網識別子と広域網識別子とを対応づけて識別子テーブルに格納する。また、認証信号制御装置２０各々は、同一の拠点網に設置された認証クライアント１０や認証サーバ４０との間で認証メッセージを送受信する。また、認証信号制御装置２０各々は、他方の認証信号制御装置２０との間で認証メッセージの暗号化に関する処理や電子署名に関する処理を相互に行う。また、認証信号制御装置２０各々は、他方の認証信号制御装置２０との間で、暗号化に関する処理が行われ電子署名に関する処理が行われた認証メッセージを送受信する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証メッセージ交換システムおよび認証メッセージ交換方法に関する。
【背景技術】
【０００２】
端末や端末の利用者に対してネットワークへの接続性を提供する際の認証をＩＰ（Internet Protocol）ネットワーク上で実現するプロトコルとして、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）プロトコルが知られている（非特許文献１）。ＲＡＤＩＵＳプロトコルは、認証や課金を行うための汎用的なプロトコルであり、ＩＳＰ（Internet Service Provider）における利用者認証に広く利用される他、他の認証方式とも組み合わせて利用される。例えば、ＲＡＤＩＵＳプロトコルは、ＩＥＥＥ（Institute Of Electrical And Electronics Engineers）８０２．１Ｘ／ＥＡＰ（Extensible Authentication Protocol）、ＰＡＰ（Password Authentication Protocol）やＣＨＡＰ（Challenge Handshake Authentication Protocol）、ＥＡＰ−ＴＬＳ（Transport Layer Security）やＥＡＰ−ＴＴＬＳ（Tunneled ＴＬＳ）などと組み合わせて利用される。
【０００３】
ここで、ＲＡＤＩＵＳプロトコルは、クライアント・サーバモデルに基づくプロトコルである。具体的には、端末に対してネットワークへの接続性を提供する無線ＡＰ（Access Point）やレイヤ２スイッチなどのＲＡＤＩＵＳクライアントが、認証要求メッセージをＲＡＤＩＵＳサーバに送信し、ＲＡＤＩＵＳサーバが、認証結果を認証応答メッセージとしてＲＡＤＩＵＳクライアントに送信する。
【０００４】
また、ＲＡＤＩＵＳサーバは、ＲＡＤＩＵＳクライアントから送信された認証要求メッセージを自身では処理せず、別のＲＡＤＩＵＳサーバに転送するプロキシ機能を持つことができる。プロキシ機能を持ったＲＡＤＩＵＳサーバ（以下、ＲＡＤＩＵＳプロキシサーバと呼ぶ）は、認証要求メッセージに含まれる識別ＩＤに基づいて、当該認証要求メッセージを認証可能なＲＡＤＩＵＳサーバに当該認証要求メッセージを転送する。
【０００５】
なお、ＲＡＤＩＵＳプロキシサーバは、多段に構成されることができる。例えば、非特許文献２に開示される大規模な無線ＬＡＮ（Local Area Network）ローミング基盤では、大学や研究機関などの拠点毎に設置されるＲＡＤＩＵＳプロキシサーバを集約する上位のＲＡＤＩＵＳプロキシサーバを地域毎に設置し、さらにそれらのＲＡＤＩＵＳプロキシサーバをより広域で集約するＲＡＤＩＵＳプロキシサーバを設置するといった形態で、ＲＡＤＩＵＳプロキシサーバのツリーを構成している。ある拠点で発生した認証要求メッセージは、当該認証要求メッセージを認証可能な拠点のＲＡＤＩＵＳサーバまで、複数のＲＡＤＩＵＳプロキシサーバを経由して転送される。
【０００６】
【非特許文献１】ＲＦＣ２８６５：“Remote Authentication Dial In User Service（RADIUS）”、2000
【非特許文献２】Wierenga, K. and Florio, L., “Eduroam： past, present and future”、 Computational Methods IN Science AND Technology、pp.169-173、2005
【発明の開示】
【発明が解決しようとする課題】
【０００７】
ところで、上記した従来の技術では、エンドツーエンドの認証ができず、また、プロキシサーバによる認証メッセージの盗聴や改竄を防ぐことができないという課題があった。
【０００８】
まず、ＲＡＤＩＵＳプロトコルでは、ＲＡＤＩＵＳクライアントとＲＡＤＩＵＳサーバとが事前共有鍵を用いてエンドツーエンドの認証を行うことができる。しかしながら、ＲＡＤＩＵＳプロキシサーバが設置される形態では、ＲＡＤＩＵＳクライアントとＲＡＤＩＵＳプロキシサーバとが事前共有鍵を共有し、ＲＡＤＩＵＳプロキシサーバとＲＡＤＩＵＳサーバとが事前共有鍵を共有するので、ＲＡＤＩＵＳクライアントとＲＡＤＩＵＳサーバとは直接相互に認証を行うことができない。このため、ＲＡＤＩＵＳクライアントは、ＲＡＤＩＵＳプロキシサーバが認証要求メッセージを転送するＲＡＤＩＵＳサーバが、確かにＲＡＤＩＵＳクライアントの意図するＲＡＤＩＵＳサーバであるか否かを確認できない。また、ＲＡＤＩＵＳサーバも、認証要求メッセージの送信元であるＲＡＤＩＵＳクライアントが、確かにＲＡＤＩＵＳサーバの意図するＲＡＤＩＵＳクライアントであるか否かを確認できない。
【０００９】
次に、ＲＡＤＩＵＳプロトコルでは、認証メッセージは暗号化されない。この点、ＲＡＤＩＵＳクライアントとＲＡＤＩＵＳプロキシサーバとの間、ＲＡＤＩＵＳプロキシサーバとＲＡＤＩＵＳサーバとの間については、ＩＰｓｅｃ等（Security Architecture for Internet Protocol）を用いて通信路を保護し、通信路上でのＲＡＤＩＵＳメッセージの盗聴を防止することはできる。しかしながら、ＲＡＤＩＵＳプロキシサーバによる認証メッセージの盗聴を防止することはできない。例えば、認証方式としてＰＡＰを用いた場合、ＲＡＤＩＵＳプロキシサーバは、パスワードを平文で取得できてしまう。また、ＥＡＰ−ＴＬＳやＥＡＰ−ＴＴＬＳを用いた場合、ＲＡＤＩＵＳプロキシサーバは、端末が無線ＬＡＮアクセスポイントとの通信に使用するＷＥＰ（Wired Equivalent Privacy）キーなどのセッション暗号鍵を取得できてしまう。また、上記したように、ＲＡＤＩＵＳクライアントとＲＡＤＩＵＳサーバとの間ではエンドツーエンドの認証を行うことができないので、ＲＡＤＩＵＳクライアントとＲＡＤＩＵＳサーバとの間での認証メッセージの完全性は保証されず、ＲＡＤＩＵＳプロキシサーバが認証メッセージを改竄する恐れがある。
【００１０】
そこで、本発明は、上記した従来の技術の課題を解決するためになされたものであり、エンドツーエンドの認証が可能であり、かつ、プロキシサーバによる認証メッセージの盗聴や改竄を防ぐことが可能な認証メッセージ交換システムおよび認証メッセージ交換方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記した課題を解決し、目的を達成するため、異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換システムであって、認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置各々は、同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信手段と、認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理手段と、認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理手段と、拠点網外の広域網に設置された認証信号中継装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対中継装置送受信手段と、を備え、前記認証信号中継装置各々は、前記対中継装置送受信手段によって送信された認証メッセージを当該認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置に向けて中継する中継手段と、を備えたことを特徴とする。
【発明の効果】
【００１２】
本発明によれば、エンドツーエンドの認証が可能になり、かつ、プロキシサーバによる認証メッセージの盗聴や改竄を防ぐことが可能になる。
【発明を実施するための最良の形態】
【００１３】
以下に添付図面を参照して、本発明に係る認証メッセージ交換システムおよび認証メッセージ交換方法の実施例を詳細に説明する。なお、以下では、まず、実施例１に係る認証メッセージ交換システムの概要を説明し、続いて、実施例１に係る認証メッセージ交換システムの全体構成、処理手順、構成、効果を説明する。その後、他の実施例を説明する。
【実施例１】
【００１４】
［実施例１に係る認証メッセージ交換システムの概要］
まず、図１を用いて、実施例１に係る認証メッセージ交換システムの概要を説明する。図１は、実施例１に係る認証メッセージ交換システムの概要を説明するための図である。
【００１５】
実施例１に係る認証メッセージ交換システムは、図１に示すように、異なる拠点網に設置された認証クライアント１０と認証サーバ４０との間で認証メッセージを交換するシステムである。また、図１に示すように、認証クライアント１０が設置された拠点網と同一の拠点網に認証信号制御装置２０が設置され、認証サーバ４０が設置された拠点網と同一の拠点網に認証信号制御装置２０が設置される。また、図１に示すように、拠点網と拠点網と間の広域網に認証信号中継装置３０が設置される。
【００１６】
ここで、認証信号制御装置２０各々は、図１に示すように、認証メッセージを拠点網内にて識別する拠点網識別子と広域網にて識別する広域網識別子とを対応づけて識別子テーブルに格納する。
【００１７】
また、認証信号制御装置２０各々は、図１に示すように、識別子テーブルに格納された拠点網識別子を用いて、同一の拠点網に設置された認証クライアント１０や認証サーバ４０との間で認証メッセージを送受信する。
【００１８】
また、認証信号制御装置２０各々は、図１に示すように、認証メッセージの交換相手となる認証サーバ４０や認証クライアント１０と同一の拠点網に設置された認証信号制御装置２０との間で、認証メッセージの暗号化に関する処理や電子署名に関する処理を相互に行う。例えば、認証クライアント１０と同一の拠点網に設置された認証信号制御装置２０は、認証メッセージを暗号化し、電子署名を添付する。一方、認証サーバ４０と同一の拠点網に設置された認証信号制御装置２０は、暗号化された認証メッセージを復号化し、添付された電子署名を検証する。
【００１９】
また、認証信号制御装置２０各々は、図１に示すように、識別子テーブルに格納された広域網識別子を用いて、認証信号中継装置３０との間で、暗号化に関する処理が行われ電子署名に関する処理が行われた認証メッセージを送受信する。認証信号中継装置３０は、図１に示すように、暗号化に関する処理が行われ電子署名に関する処理が行われた認証メッセージを中継する。
【００２０】
例えば、認証クライアント１０と同一の拠点網に設置された認証信号制御装置２０は、暗号化し電子署名を添付した認証メッセージを認証信号中継装置３０に送信する。すると、認証信号中継装置３０は、認証メッセージの交換相手となる認証サーバ４０と同一の拠点網に設置された認証信号制御装置２０に向けて、暗号化され電子署名を添付された認証メッセージを中継する。一方、認証サーバ４０と同一の拠点網に設置された認証信号制御装置２０は、暗号化され電子署名を添付された認証メッセージを認証信号中継装置３０から受信すると、認証メッセージを復号化し、電子署名を検証する。
【００２１】
このように、実施例１に係る認証メッセージ交換システムにおいては、拠点網各々に設置された認証信号制御装置２０間で暗号化に関する処理や電子署名に関する処理が相互に行われ、認証信号中継装置３０は、暗号化され電子署名を添付された認証メッセージを中継するにすぎない。このようなことから、実施例１に係る認証メッセージ交換システムは、エンドツーエンドの認証が可能になり、かつ、ＲＡＤＩＵＳプロキシサーバによる認証メッセージの盗聴や改竄を防ぐことが可能になる。
【００２２】
また、実施例１に係る認証メッセージ交換システムは、ＲＡＤＩＵＳプロキシサーバの負荷を抑えることも可能になる。すなわち、実施例１に係る認証メッセージ交換システムは、従来のＲＡＤＩＵＳプロキシサーバが持つ認証メッセージ中継機能と状態管理機能とを分離し、認証メッセージ中継機能のみをＲＡＤＩＵＳプロキシサーバに持たせようとするものである。
【００２３】
ここで、従来のＲＡＤＩＵＳプロキシサーバによる状態管理機能について説明する。ＲＡＤＩＵＳクライアントは、一般に、送信した認証要求メッセージに応答する認証応答メッセージを受信するまでの間、周期的に認証要求メッセージを再送信する。この時、再送信する認証要求メッセージには、元の認証要求メッセージと同じ識別子を含める必要がある。このため、ＲＡＤＩＵＳクライアントは、認証応答メッセージを受信するまでの間、送信した認証要求メッセージと識別子との対応づけを記憶部に記憶して管理する。一方、従来のＲＡＤＩＵＳプロキシサーバは、ＲＡＤＩＵＳクライアントと同様に、ＲＡＤＩＵＳサーバから認証応答メッセージが返信されるまでの間、ＲＡＤＩＵＳクライアントから送信された認証要求メッセージに含まれる識別子と、当該認証要求メッセージにＲＡＤＩＵＳプロキシサーバが新たに設定する識別子との対応づけを記憶部に記憶して管理しなければならなかった。
【００２４】
また、従来のＲＡＤＩＵＳプロキシサーバは、ＲＡＤＩＵＳサーバから送信された認証応答メッセージをＲＡＤＩＵＳクライアントに転送する際、認証応答メッセージに含まれる識別子を、ＲＡＤＩＵＳクライアントが送信した認証要求メッセージに含まれていた識別子に設定し直さなければならなかった。一般に、ＲＡＤＩＵＳプロキシサーバは、複数のＲＡＤＩＵＳクライアントからの認証要求メッセージを中継するように構成され、ＲＡＤＩＵＳプロキシサーバが管理する認証メッセージの状態数は、ＲＡＤＩＵＳクライアントが管理する認証メッセージの状態数に比べ大きい。このため、状態管理のための負荷が大きく、認証メッセージ交換システムにおいて、ＲＡＤＩＵＳプロキシサーバの性能がボトルネックとなる可能性があった。
【００２５】
この点、実施例１に係る認証メッセージ交換システムにおいては、拠点網各々に設置された認証信号制御装置２０各々が、認証メッセージに含まれる識別子の対応づけを記憶部に記憶して管理するので、認証信号中継装置３０は、識別子の対応づけを管理する必要がない。このようなことから、実施例１に係る認証メッセージ交換システムは、ＲＡＤＩＵＳプロキシサーバの負荷を抑えることも可能になる。
【００２６】
［実施例１に係る認証メッセージ交換システムの全体構成］
次に、図２を用いて、実施例１に係る認証メッセージ交換システムの全体構成を説明する。図２は、実施例１に係る認証メッセージ交換システムの全体構成を説明するための図である。なお、図２において、ＬＡＮは「拠点網」に対応し、インターネットは「広域網」に対応し、無線ＡＰ１０は認証クライアント１０に対応する。また、以下では、同一の拠点網に設置されている装置のことを適宜「ローカルの装置」と表現する。
【００２７】
実施例１に係る認証メッセージ交換システムは、例えば、図２に示すように構成される。すなわち、レルム（a.co.jp）で示されるＡ社ネットワーク、レルム（b.org）で示されるＢ社ネットワーク、レルム（c.net）で示されるＣ社ネットワーク、およびレルム（d.com）で示されるＤ社ネットワークが、インターネットを介して接続され、異なるネットワークに設置された無線ＡＰ１０や認証サーバ４０間で認証メッセージが交換される。
【００２８】
無線ＡＰ１０は、ＩＥＥＥ８０２．１Ｘによる無線ＬＡＮ接続認証機能を備える。無線ＡＰ１０は、ＩＥＥＥ８０２．１Ｘプロトコルによって端末５０からＥＡＰメッセージを受信し、受信したＥＡＰメッセージをＲＡＤＩＵＳプロトコルによってＲＡＤＩＵＳサーバに転送する。実施例１における無線ＡＰ１０は、ＲＡＤＩＵＳサーバとして、認証信号制御装置２０のＩＰアドレスを事前に登録している。
【００２９】
認証信号制御装置２０は、Ｌｉｎｕｘサーバなどのサーバ用コンピュータにＲＤＢＭＳ（Relational Database Management System）を動作させ、ＲＤＢＭＳ上のテーブルとして、後述するメッセージＩＤ対応テーブルを実現する。また、認証信号制御装置２０は、後述するローカル側認証メッセージ受信部、メッセージＩＤ対応づけ部、エンベロープ付加部、エンベロープ付き認証メッセージ送信部、エンベロープ検証部、ローカル側認証メッセージ送信部をソフトウェアプログラムで実現する。なお、認証信号制御装置２０は、認証メッセージの送信先として、認証信号中継装置３０のＩＰアドレスおよびローカルの認証サーバ４０のＩＰアドレスを事前に登録している。また、認証信号制御装置２０は、認証メッセージの送信先の各企業（Ａ社、Ｂ社、Ｃ社、Ｄ社など）の公開鍵証明書を事前に登録している。
【００３０】
認証信号中継装置３０は、Ｌｉｎｕｘサーバなどのサーバ用コンピュータにＲＤＢＭＳを動作させ、ＲＤＢＭＳ上のテーブルとして、後述するレルム管理テーブルを実現する。また、認証信号中継装置３０は、後述するエンベロープ付き認証メッセージ中継部をソフトウェアプログラムで実現する。なお、認証信号中継装置３０は、レルム管理テーブルに、各企業のレルムと認証信号制御装置２０のＩＰアドレスとの対応づけを事前に登録している。
【００３１】
認証サーバ４０は、Ｌｉｎｕｘサーバなどのサーバ用コンピュータにＲＡＤＩＵＳプロトコルによる認証を行うソフトウェアプログラムを動作させたものである。認証サーバ４０は、認証を行うための認証情報を事前に登録している。あるいは、認証サーバ４０は、認証情報を保持するサーバへアクセスするための情報を事前に登録している。
【００３２】
端末５０は、無線ＬＡＮインタフェースを備えるＰＣ（Personal Computer）である。端末５０は、ＩＥＥＥ８０２．１Ｘ／ＥＡＰ認証による無線ＬＡＮ接続認証に対応するクライアント機能を備える。
【００３３】
［実施例１に係る認証メッセージ交換システムによる処理手順］
次に、図３を用いて、実施例１に係る認証メッセージ交換システムによる処理手順を説明する。図３は、実施例１に係る認証メッセージ交換システムによる処理手順を示すシーケンス図である。なお、図３においては、Ａ社ネットワークに設置される端末５０の利用者を認証することを目的として、Ａ社ネットワークに設置される無線ＡＰ１０と、Ｃ社ネットワークに設置される認証サーバ４０との間で認証メッセージを交換する例を説明する。また、ローカル側メッセージＩＤは「拠点網識別子」に対応し、広域側メッセージＩＤは「広域網識別子」に対応する。
【００３４】
まず、図３に示すように、Ａ社ネットワークに設置される端末５０が、無線接続要求を無線ＡＰ１０に送信する（ステップＳ１０１）。なお、無線接続要求の送信を契機として、端末５０と無線ＡＰ１０との間で無線リンクが確立される。
【００３５】
続いて、無線ＡＰ１０は、ＩＥＥＥ８０２．１Ｘに定められる手順に従って、ＥＡＰで定められる認証要求（ＥＡＰ Ｒｅｑｕｅｓｔ）を端末５０に送信する（ステップＳ１０２）。
【００３６】
すると、端末５０は、無線ＡＰ１０から送信された認証要求に基づいて、ＥＡＰで定められる認証応答（ＥＡＰ Ｉｄｅｎｔｉｔｙ）を無線ＡＰ１０に送信する（ステップＳ１０３）。認証応答には、端末５０の利用者の識別ＩＤが含まれる。識別ＩＤは、ＮＡＩ（Network Access Identifier）形式となっており、レルム部から端末５０の利用者の所属企業を識別できるものとする。
【００３７】
次に、無線ＡＰ１０は、端末５０から送信された認証応答を自身で検証できないので、当該認証応答をＲＡＤＩＵＳプロトコルで定められる認証要求メッセージとして認証信号制御装置２０に送信する（ステップＳ１０４）。なお、認証要求メッセージには、無線ＡＰ１０が決定するローカル側メッセージＩＤが含まれる。
【００３８】
すると、認証信号制御装置２０は、認証要求メッセージの広域側メッセージＩＤを決定し、ローカル側メッセージＩＤと、送信元の無線ＡＰ１０のＩＰアドレスと、タイムアウト時刻と、決定した広域側メッセージＩＤとを対応づけて、認証信号制御装置２０内のメッセージＩＤ対応テーブルに格納する（ステップＳ１０５）。
【００３９】
また、認証信号制御装置２０は、認証要求メッセージに含まれる端末５０の利用者の識別ＩＤのレルム部から端末５０の利用者の所属企業を識別し、予め登録している当該企業の公開鍵を用いて、認証要求メッセージを暗号化する（ステップＳ１０６）。
【００４０】
そして、認証信号制御装置２０は、暗号化した認証要求メッセージにエンベロープを付加し、電子署名を添付する（ステップＳ１０７）。なお、認証信号制御装置２０は、エンベロープに、認証信号制御装置２０自身の識別子として送信元のレルムを含める。
【００４１】
その後、認証信号制御装置２０は、エンベロープを付加したエンベロープ付き認証要求メッセージを認証信号中継装置３０に送信する（ステップＳ１０８）。
【００４２】
一方、認証信号中継装置３０は、認証要求メッセージを受信すると、認証要求メッセージのエンベロープに含まれる送信先のレルムを検索キーとしてレルム管理テーブルを参照し、送信先の認証信号制御装置２０のＩＰアドレスを取得する（ステップＳ１０９）。
【００４３】
そして、認証信号中継装置３０は、取得した認証信号制御装置２０のＩＰアドレスに対して認証要求メッセージを転送する（ステップＳ１１０）。
【００４４】
一方、Ｃ社ネットワークに設置された認証信号制御装置２０は、受信した認証要求メッセージのエンベロープに含まれる送信元のレルムから送信元の企業を識別し、予め登録している当該企業の公開鍵を用いて、エンベロープの電子署名を検証する。電子署名の検証結果が否であれば、認証信号制御装置２０は、認証要求メッセージを破棄する。電子署名の検証結果が可であれば、認証信号制御装置２０は、自身の秘密鍵を用いて、認証要求メッセージを復号化する（ステップＳ１１１）。
【００４５】
そして、認証信号制御装置２０は、受信した認証要求メッセージに設定するローカル側メッセージＩＤを決定し、決定したローカル側メッセージＩＤと、送信先の認証サーバ４０のＩＰアドレスと、タイムアウト時刻と、広域側メッセージＩＤとを対応づけて、認証信号制御装置２０内のメッセージＩＤ対応テーブルに格納する（ステップＳ１１２）。また、認証信号制御装置２０は、認証要求メッセージに含まれるローカル側メッセージＩＤを、新たに決定したローカル側メッセージＩＤに更新する。
【００４６】
続いて、認証信号制御装置２０は、認証要求メッセージのエンベロープを除去し、ＲＡＤＩＵＳプロトコルに従って認証サーバ４０に送信する（ステップＳ１１３）。
【００４７】
すると、認証サーバ４０は、認証要求メッセージに基づいて認証を行う（ステップＳ１１４）。
【００４８】
そして、認証サーバ４０は、ＲＡＤＩＵＳプロトコルに従って認証応答メッセージを認証信号制御装置２０に送信する（ステップＳ１１５）。
【００４９】
一方、認証信号制御装置２０は、認証応答メッセージに含まれる認証要求元のレルムから、認証要求元の所属企業を識別し、予め登録している当該企業の公開鍵を用いて、認証応答メッセージを暗号化する（ステップＳ１１６）。
【００５０】
次に、認証信号制御装置２０は、認証応答メッセージに含まれるローカル側メッセージＩＤを検索キーとしてメッセージＩＤ対応テーブルを参照し、対応づけて記憶されている広域側メッセージＩＤを取得する。続いて、認証信号制御装置２０は、暗号化した認証応答メッセージに、取得した広域側メッセージＩＤを含めたエンベロープを付加し、電子署名を添付する（ステップＳ１１７）。なお、認証信号制御装置２０は、エンベロープに、認証信号制御装置２０自身の識別子として送信元のレルムを含める。
【００５１】
そして、認証信号制御装置２０は、エンベロープを付加したエンベロープ付き認証応答メッセージを認証信号中継装置３０に送信する（ステップＳ１１８）。
【００５２】
一方、認証信号中継装置３０は、受信した認証応答メッセージのエンベロープに含まれる送信先のレルムを検索キーとしてレルム管理テーブルを参照し、事前に登録されている送信先の認証信号制御装置２０のＩＰアドレスを取得する（ステップＳ１１９）。
【００５３】
そして、認証信号中継装置３０は、取得した送信先の認証信号制御装置２０のＩＰアドレスに対して認証応答メッセージを転送する（ステップＳ１２０）。
【００５４】
一方、認証信号制御装置２０は、受信した認証応答メッセージのエンベロープに含まれる送信元のレルムから送信元の企業を識別し、予め登録している当該企業の公開鍵を用いて、エンベロープの電子署名を検証する。そして、電子署名の検証結果が否であれば、認証信号制御装置２０は、認証応答メッセージを破棄する。電子署名の検証結果が可であれば、認証信号制御装置２０は、自身の秘密鍵を用いて認証応答メッセージを復号化する（ステップＳ１２１）。
【００５５】
そして、認証信号制御装置２０は、受信した認証応答メッセージの広域側メッセージＩＤを検索キーとしてメッセージＩＤ対応テーブルを参照し、対応づけて記憶されているローカル側メッセージＩＤを取得する。そして、認証信号制御装置２０は、取得したローカル側メッセージＩＤを用いて、認証応答メッセージに含まれるローカル側メッセージＩＤを更新し、認証応答メッセージのエンベロープを除去する（ステップＳ１２２）。
【００５６】
続いて、認証信号制御装置２０は、ＲＡＤＩＵＳプロトコルに従って、認証応答メッセージを無線ＡＰ１０に送信する（ステップＳ１２３）。
【００５７】
その後、無線ＡＰ１０は、認証応答メッセージに従って端末５０の無線接続を認可し、ＥＡＰによって認証結果を端末５０に通知する（ステップＳ１２４）。
【００５８】
［実施例１に係る認証メッセージ交換システムの構成］
次に、図４〜図７を用いて、実施例１に係る認証メッセージ交換システムの構成を説明する。図４は、実施例１に係る認証メッセージ交換システムの構成を説明するための図であり、図５は、メッセージＩＤを説明するための図であり、図６は、メッセージＩＤ対応テーブルを説明するための図であり、図７は、エンベロープを説明するための図である。
【００５９】
図４に示すように、実施例１に係る認証メッセージ交換システムは、無線ＡＰ１０と認証信号制御装置２０と認証信号中継装置３０と認証サーバ４０とを備える。なお、図４においては、説明の便宜上、認証メッセージ交換システムが備える装置を１台ずつ示し、装置間の情報の流れを示すこととするが、上記してきたように、認証信号制御装置２０は、認証クライアント１０と同一の拠点網と、認証サーバ４０と同一の拠点網とに各々設置される。以下、各装置の構成を順に説明する。
【００６０】
無線ＡＰ１０は、図４に示すように、認証要求部１１を備える。
【００６１】
認証要求部１１は、認証サーバ４０との間で認証メッセージを交換する。具体的には、認証要求部１１は、認証信号制御装置２０のローカル側認証メッセージ受信部２１と接続され、認証信号制御装置２０に対して認証要求メッセージを送信する。また、認証要求部１１は、認証信号制御装置２０のローカル側認証メッセージ送信部２７と接続され、認証信号制御装置２０から認証応答メッセージを受信する。
【００６２】
なお、認証要求部１１は、認証要求メッセージを送信する際、認証要求メッセージを拠点網内にて識別するローカル側メッセージＩＤを決定し、認証要求メッセージに含める。例えば、認証要求部１１は、図５の（Ａ）に示すように、ローカル側メッセージＩＤ『Ａ』を決定し、認証要求メッセージに含める。
【００６３】
認証サーバ４０は、図４に示すように、認証応答部４１を備える。
【００６４】
認証応答部４１は、無線ＡＰ１０との間で認証メッセージを交換し、認証を行う。具体的には、認証応答部４１は、認証信号制御装置２０のローカル側認証メッセージ送信部２７と接続され、認証信号制御装置２０から認証要求メッセージを受信する。また、認証応答部４１は、認証要求メッセージを受信すると、受信した認証要求メッセージに基づいて認証を行う。また、認証応答部４１は、認証信号制御装置２０のローカル側認証メッセージ受信部２１と接続され、認証信号制御装置２０に対して、認証結果を示す認証応答メッセージを送信する。
【００６５】
なお、認証応答部４１は、認証応答メッセージを送信する際、受信した認証要求メッセージに含まれていたローカル側メッセージＩＤと同じローカル側メッセージＩＤを認証応答メッセージに含める。例えば、認証応答部４１は、図５の（Ｂ）および（Ｃ）に示すように、受信した認証要求メッセージに含まれていたローカル側メッセージＩＤ『Ｂ』と同じローカル側メッセージＩＤ『Ｂ』を認証応答メッセージに含める。
【００６６】
認証信号制御装置２０は、図４に示すように、ローカル側認証メッセージ受信部２１と、メッセージＩＤ対応づけ部２２と、メッセージＩＤ対応テーブル２３と、エンベロープ付加部２４と、エンベロープ付き認証メッセージ送信部２５と、エンベロープ検証部２６と、ローカル側認証メッセージ送信部２７とを備える。
【００６７】
ローカル側認証メッセージ受信部２１は、ローカル側メッセージＩＤを用いて、同一の拠点網に設置された認証クライアント１１や認証サーバ４０から認証メッセージを受信する。具体的には、ローカル側認証メッセージ受信部２１は、無線ＡＰ１０の認証要求部１１と接続され、無線ＡＰ１０から認証要求メッセージを受信する。受信した認証要求メッセージには、ローカル側メッセージＩＤが含められている。例えば、図５の（Ａ）に示すように、ローカル側メッセージＩＤ『Ａ』が含められている。
【００６８】
また、ローカル側認証メッセージ受信部２１は、メッセージＩＤ対応づけ部２２とエンベロープ付加部２４と接続され、受信した認証要求メッセージに含められているローカル側メッセージＩＤをメッセージＩＤ対応づけ部２２に通知するとともに、認証要求メッセージをエンベロープ付加部２４に通知する。
【００６９】
また、ローカル側認証メッセージ受信部２１は、認証サーバ４０の認証応答部４１と接続され、認証サーバ４０から認証応答メッセージを受信する。受信した認証応答メッセージには、ローカル側メッセージＩＤが含められている。例えば、図５の（Ｃ）に示すように、ローカル側メッセージＩＤ『Ｂ』が含められている。
【００７０】
また、ローカル側認証メッセージ受信部２１は、受信した認証応答メッセージに含められているローカル側メッセージＩＤをメッセージＩＤ対応づけ部２２に通知するとともに、認証応答メッセージをエンベロープ付加部２４に通知する。
【００７１】
メッセージＩＤ対応づけ部２２は、認証メッセージを拠点網内にて識別するローカル側メッセージＩＤと広域網にて識別する広域側メッセージＩＤとを対応づけて格納する。具体的には、メッセージＩＤ対応づけ部２２は、ローカル側認証メッセージ受信部２１とメッセージＩＤ対応テーブル２３と接続され、ローカル側認証メッセージ受信部２１から認証要求メッセージに含められているローカル側メッセージＩＤを通知されると、認証要求メッセージについて広域側メッセージＩＤを決定する。例えば、メッセージＩＤ対応づけ部２２は、図５の（Ａ）に示すように、ローカル側メッセージＩＤ『Ａ』を通知されると、広域側メッセージＩＤ『Ｘ』を決定する。また、メッセージＩＤ対応づけ部２２は、ローカル側メッセージＩＤと、送信元の無線ＡＰ１０のＩＰアドレスと、タイムアウト時刻と、広域側メッセージＩＤとを対応づけて、メッセージＩＤ対応テーブル２３に格納する。
【００７２】
また、メッセージＩＤ対応づけ部２２は、エンベロープ付加部２４と接続され、認証要求メッセージについて決定した広域側メッセージＩＤをエンベロープ付加部２４に通知する。
【００７３】
また、メッセージＩＤ対応づけ部２２は、エンベロープ検証部２６とメッセージＩＤ対応テーブル２３と接続され、エンベロープ検証部２６から認証要求メッセージのエンベロープに含められている広域側メッセージＩＤを通知されると、認証要求メッセージについてローカル側メッセージＩＤを決定する。例えば、メッセージＩＤ対応づけ部２２は、図５の（Ｂ）に示すように、広域側メッセージＩＤ『Ｘ』を通知されると、ローカル側メッセージＩＤ『Ｂ』を決定する。また、メッセージＩＤ対応づけ部２２は、ローカル側メッセージＩＤと、ローカルの認証サーバ４０のＩＰアドレスと、タイムアウト時刻と、広域側メッセージＩＤとを対応づけて、メッセージＩＤ対応テーブル２３に格納する。
【００７４】
また、メッセージＩＤ対応づけ部２２は、ローカル側認証メッセージ送信部２７と接続され、認証要求メッセージについて決定したローカル側メッセージＩＤをローカル側認証メッセージ送信部２７に通知する。
【００７５】
また、メッセージＩＤ対応づけ部２２は、ローカル側認証メッセージ受信部２１から認証応答メッセージに含められているローカル側メッセージＩＤを通知されると、通知されたローカル側メッセージＩＤを検索キーとしてメッセージＩＤ対応テーブル２３を参照し、対応づけて記憶されている広域側メッセージＩＤを取得する。例えば、メッセージＩＤ対応づけ部２２は、図５の（Ｃ）に示すように、ローカル側メッセージＩＤ『Ｂ』を通知されると、広域側メッセージＩＤ『Ｘ』を取得する。なお、メッセージＩＤ対応づけ部２２は、メッセージＩＤ対応テーブル２３を参照した際に、該当するレコードがなければ、当該認証応答メッセージを破棄する。
【００７６】
また、メッセージＩＤ対応づけ部２２は、認証応答メッセージについて取得した広域側メッセージＩＤをエンベロープ付加部２４に通知する。
【００７７】
また、メッセージＩＤ対応づけ部２２は、エンベロープ検証部２６から認証応答メッセージのエンベロープに含められている広域側メッセージＩＤを通知されると、通知された広域側メッセージＩＤを検索キーとしてメッセージＩＤ対応テーブル２３を参照し、対応づけて記憶されているローカル側メッセージＩＤを取得する。例えば、メッセージＩＤ対応づけ部２２は、図５の（Ｄ）に示すように、広域側メッセージＩＤ『Ｘ』を通知されると、ローカル側メッセージＩＤ『Ａ』を取得する。また、メッセージＩＤ対応づけ部２２は、対応づけて記憶されている無線ＡＰ１０のＩＰアドレスも取得する。なお、メッセージＩＤ対応づけ部２２は、メッセージＩＤ対応テーブル２３を参照した際に、該当するレコードがなければ、当該認証応答メッセージを破棄する。
【００７８】
また、メッセージＩＤ対応づけ部２２は、認証応答メッセージについて取得したローカル側メッセージＩＤと無線ＡＰ１０のＩＰアドレスとをローカル側認証メッセージ送信部２７に通知する。
【００７９】
メッセージＩＤ対応テーブル２３は、ローカル側メッセージＩＤと広域側メッセージＩＤとを対応づけて記憶する。具体的には、メッセージＩＤ対応テーブル２３は、メッセージＩＤ対応づけ部２２と接続され、メッセージＩＤ対応づけ部２２によって格納されることで、ローカル側メッセージＩＤと広域側メッセージＩＤとを対応づけて記憶する。
【００８０】
例えば、メッセージＩＤテーブル２３は、図６に示すように、ローカル側メッセージＩＤと、送信元の無線ＡＰ１０のＩＰアドレスと、タイムアウト時刻と、広域側メッセージＩＤとを対応づけて記憶する。
【００８１】
エンベロープ付加部２４は、認証メッセージにエンベロープを付加することで、認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置２０との間で、認証メッセージの暗号化に関する処理や電子署名に関する処理を相互に行う。具体的には、エンベロープ付加部２４は、ローカル側認証メッセージ受信部２１とメッセージＩＤ対応づけ部２２とエンベロープ付き認証メッセージ送信部２５と接続される。
【００８２】
まず、エンベロープ付加部２４が、ローカルの無線ＡＰ１０から送信された認証要求メッセージにエンベロープを付加する場合について説明する。エンベロープ付加部２４は、ローカル側認証メッセージ受信部２１から認証要求メッセージを通知されると、予め登録している送信先の認証信号制御装置２０の公開鍵を用いて、通知された認証要求メッセージを暗号化する。また、エンベロープ付加部２４は、暗号化した認証要求メッセージについて、図７に示すように、送信元の認証信号制御装置２０を示すレルム、送信先の認証信号制御装置２０を示すレルム、メッセージＩＤ対応づけ部２２から通知された広域側メッセージＩＤ、送信元の認証信号制御装置２０の秘密鍵による電子署名、送信元の認証信号制御装置２０の公開鍵を送信先の認証信号制御装置２０が取得するためのＵＲＬ（Uniform Resource Locator）をエンベロープとして付加する。なお、送信先の認証信号制御装置２０を示すレルムは、認証要求メッセージに含まれる識別ＩＤのレルムとする。また、エンベロープ付加部２４は、認証要求メッセージにエンベロープを付加すると、エンベロープ付き認証要求メッセージをエンベロープ付き認証メッセージ送信部２５に通知する。
【００８３】
次に、エンベロープ付加部２４が、ローカルの認証サーバ４０から送信された認証応答メッセージにエンベロープを付加する場合について説明する。エンベロープ付加部２４は、ローカル側認証メッセージ受信部２１から認証応答メッセージを通知されると、予め登録している送信先の認証信号制御装置２０の公開鍵を用いて、通知された認証応答メッセージを暗号化する。また、エンベロープ付加部２４は、暗号化した認証応答メッセージについて、送信元の認証信号制御装置２０を示すレルム、送信先の認証信号制御装置２０を示すレルム、メッセージＩＤ対応づけ部２２から通知された広域側メッセージＩＤ、送信元の認証信号制御装置２０の秘密鍵による電子署名、送信元の認証信号制御装置２０の公開鍵を送信先の認証信号制御装置２０が取得するためのＵＲＬをエンベロープとして付加する。なお、送信先の認証信号制御装置２０を示すレルムは、認証要求メッセージに含まれる送信元のレルムとする。また、エンベロープ付加部２４は、認証応答メッセージにエンベロープを付加すると、エンベロープ付き認証応答メッセージをエンベロープ付き認証メッセージ送信部２５に通知する。
【００８４】
エンベロープ付き認証メッセージ送信部２５は、広域側メッセージＩＤを用いて、認証信号中継装置３０に対して、暗号に関する処理が行われ電子署名に関する処理が行われた認証メッセージを送信する。具体的には、エンベロープ付き認証メッセージ送信部２５は、エンベロープ付加部２４と認証信号中継装置３０と接続され、エンベロープ付加部２４から通知されたエンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージを認証信号中継装置３０に送信する。
【００８５】
また、エンベロープ付き認証メッセージ送信部２５は、メッセージＩＤ対応テーブル２３と接続され、認証要求メッセージ送信後、メッセージＩＤ対応テーブル２３に記憶されている当該認証要求メッセージのタイムアウト時刻に達するか、あるいは、エンベロープ検証部２６が当該認証要求メッセージに対応する認証応答メッセージを受信するまで、一定時間おきに認証要求メッセージを再送信する。エンベロープ付き認証メッセージ送信部２５は、タイムアウト時刻に達した場合には、認証要求メッセージのレコードをメッセージＩＤ対応テーブル２３から削除する。
【００８６】
エンベロープ検証部２６は、認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置２０との間で、認証メッセージの暗号化に関する処理や電子署名に関する処理を相互に行う。具体的には、エンベロープ検証部２６は、認証信号中継装置３０と、メッセージＩＤ対応づけ部２２と、ローカル側認証メッセージ送信部２７と接続される。
【００８７】
エンベロープ検証部２６は、認証信号中継装置３０からエンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージを受信すると、送信元の認証信号制御装置２０の公開鍵を用いてエンベロープの電子署名を検証する。なお、エンベロープ検証部２６は、送信元の認証信号制御装置２０の公開鍵を登録していない場合には、エンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージに含まれる公開鍵取得用のＵＲＬへとアクセスし、公開鍵を取得する。エンベロープ検証部２６は、電子署名の検証結果が否であれば、当該認証要求メッセージや当該認証応答メッセージを破棄する。一方、エンベロープ検証部２６は、電子署名の検証結果が可であれば、予め登録する秘密鍵を用いて認証要求メッセージや認証応答メッセージを復号化する。
【００８８】
また、エンベロープ検証部２６は、認証要求メッセージを復号化すると、認証要求メッセージのエンベロープに含められている広域側メッセージＩＤをメッセージＩＤ対応づけ部２２に通知し、復号した認証要求メッセージをローカル側認証メッセージ送信部２７に通知する。また、エンベロープ検証部２６は、認証応答メッセージを復号化すると、認証応答メッセージのエンベロープに含められている広域側メッセージＩＤをメッセージＩＤ対応づけ部２２に通知し、復号した認証応答メッセージをローカル側認証メッセージ送信部２７に通知する。
【００８９】
ローカル側認証メッセージ送信部２７は、ローカル側メッセージＩＤを用いて、ローカルの認証クライアント１１や認証サーバ４０に対して認証メッセージを送信する。具体的には、ローカル側認証メッセージ送信部２７は、エンベロープ検証部２６と認証サーバ４０の認証応答部４１と接続され、エンベロープ検証部２６から通知された認証要求メッセージを認証サーバ４０に対して送信する。この時、ローカル側認証メッセージ送信部２７は、認証要求メッセージに含まれているローカル側メッセージＩＤを、メッセージＩＤ対応づけ部２２から通知されたローカル側メッセージＩＤに更新する。また、ローカル側認証メッセージ送信部２７は、認証要求メッセージに付加されたエンベロープを除去してから、認証要求メッセージを送信する。
【００９０】
また、ローカル側認証メッセージ送信部２７は、メッセージＩＤ対応テーブル２３と接続され、認証要求メッセージ送信後、メッセージＩＤ対応テーブル２３に記憶されている当該認証要求メッセージのタイムアウト時刻に達するか、あるいは、ローカル側認証メッセージ受信部２１が認証要求メッセージに対応する認証応答メッセージを受信するまで、一定時間おきに認証要求メッセージを再送信する。ローカル側認証メッセージ送信部２７は、タイムアウト時刻に達した場合には、認証要求メッセージのレコードをメッセージＩＤ対応テーブル２３から削除する。
【００９１】
また、ローカル側認証メッセージ送信部２７は、エンベロープ検証部２６と認証クライアント１０の認証要求部１１と接続され、エンベロープ検証部２６から通知された認証応答メッセージを認証クライアント１０に対して送信する。この時、ローカル側認証メッセージ送信部２７は、認証応答メッセージに含まれているローカル側メッセージＩＤを、メッセージＩＤ対応づけ部２２から通知されたローカル側メッセージＩＤに更新する。また、ローカル側認証メッセージ送信部２７は、認証応答メッセージに付加されたエンベロープを除去してから、認証応答メッセージを送信する。
【００９２】
認証信号中継装置３０は、図４に示すように、エンベロープ付き認証メッセージ中継部３１と、レルム管理テーブル３２とを備える。
【００９３】
エンベロープ付き認証メッセージ中継部３１は、認証信号制御装置２０から送信されたエンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージを受信すると、エンベロープに含まれる送信先レルムに基づいて、送信先の認証信号制御装置２０に向けて認証メッセージを中継する。具体的には、エンベロープ付き認証メッセージ中継部３１は、レルム管理テーブル３２と接続され、エンベロープに含まれる送信先レルムを用いてレルム管理テーブル３２を参照し、レルムに対応づけて記憶されているＩＰアドレスを取得する。そして、エンベロープ付き認証メッセージ中継部３１は、取得したＩＰアドレスに対して認証メッセージを送信する。
【００９４】
レルム管理テーブル３２は、認証メッセージに含まれるレルムと、当該レルムを含む認証メッセージを転送するべき認証信号制御装置２０のＩＰアドレスとを対応づけて記憶する。
【００９５】
［実施例１の効果］
上記してきたように、実施例１に係る認証メッセージ交換システムは、異なるＬＡＮに設置された無線ＡＰ１０と認証サーバ４０との間で認証メッセージを交換する認証メッセージ交換システムである。また、無線ＡＰ１０や認証サーバ４０が設置されたＬＡＮと同一のＬＡＮに設置された認証信号制御装置２０各々は、ローカルの無線ＡＰ１０や認証サーバ４０との間で認証メッセージを送受信する。また、認証信号制御装置２０各々は、認証メッセージの交換相手となる認証サーバ４０や無線ＡＰ１０が設置されたＬＡＮと同一のＬＡＮに設置された認証信号制御装置２０との間で、認証メッセージの暗号化に関する処理や電子署名に関する処理を相互に行う。また、認証信号制御装置２０各々は、インターネットに設置された認証信号中継装置３０との間で、暗号化に関する処理が行われ電子署名に関する処理が行われた認証メッセージを送受信する。認証信号中継装置３０各々は、送信された認証メッセージを認証メッセージの交換相手となる認証サーバ４０や無線ＡＰ１０と同一のＬＡＮに設置された認証信号制御装置２０に向けて中継する。
【００９６】
このように、実施例１に係る認証メッセージ交換システムにおいては、ＬＡＮ各々に設置された認証信号制御装置２０間で暗号化に関する処理や電子署名に関する処理が相互に行われ、認証信号中継装置３０は、暗号化され電子署名を添付された認証メッセージを中継するにすぎない。このようなことから、実施例１に係る認証メッセージ交換システムは、従来のＲＡＤＩＵＳクライアントやＲＡＤＩＵＳサーバへの変更を不要としつつ、エンドツーエンドの認証が可能になり、かつ、ＲＡＤＩＵＳプロキシサーバによる認証メッセージの盗聴や改竄を防ぐことが可能になる。
【００９７】
また、実施例１に係る認証メッセージ交換システムの認証信号制御装置２０各々は、ローカル側メッセージＩＤと広域側メッセージＩＤとを対応づけてメッセージＩＤ対応テーブルに格納する。また、認証信号制御装置２０各々は、ローカル側メッセージＩＤを用いて認証メッセージを送受信し、広域側メッセージＩＤを用いて認証メッセージを送受信する。
【００９８】
このように、実施例１に係る認証メッセージ交換システムにおいては、ＬＡＮ各々に設置された認証信号制御装置２０各々が、認証メッセージに含まれるメッセージＩＤの対応づけを記憶部に記憶して管理するので、認証信号中継装置３０は、メッセージＩＤの対応づけを管理する必要がない。このようなことから、実施例１に係る認証メッセージ交換システムは、ＲＡＤＩＵＳプロキシサーバの負荷を抑えることも可能になる。
【実施例２】
【００９９】
［他の実施例］
さて、これまで本発明の実施例１について説明してきたが、本発明は実施例１以外にも種々の異なる形態にて実施されてよいものである。
【０１００】
［認証信号中継装置３０を中継しない構成］
実施例１においては、認証信号制御装置２０のエンベロープ付き認証メッセージ送信部２５が、エンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージを認証信号中継装置３０に送信するものとして説明した。しかしながら、本発明はこれに限られるものではない。エンベロープ付き認証メッセージ送信部２５は、エンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージを認証信号中継装置３０に送信せずに、送信先の認証信号制御装置２０に直接送信してもよい。例えば、認証信号制御装置２０が、送信先の認証信号制御装置２０を示すレルムとＩＰアドレスとの対応づけを事前に記憶部に登録していたとする。すると、エンベロープ付き認証メッセージ送信部２５は、エンベロープに含まれる送信先の認証信号制御装置２０を示すレルムを用いて記憶部を参照し、当該レルムに対応づけて記憶されているＩＰアドレスを取得することで、ＩＰアドレスを解決する。そして、エンベロープ付き認証メッセージ送信部２５は、解決したＩＰアドレスを用いて、エンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージを送信先の認証信号制御装置２０に直接送信する。
【０１０１】
このような場合、認証メッセージ交換システムは、広域網に認証信号中継装置３０を設置する必要がない。すなわち、認証メッセージ交換システムにおいて、認証信号制御装置２０各々は、認証メッセージの交換相手となる認証サーバ４０や認証クライアント１０と同一の拠点網に設置された認証信号制御装置２０との間で、暗号化に関する処理が行われ電子署名に関する処理が行われた認証メッセージを直接送受信する。このため、広域網に認証信号中継装置３０を設置する必要がないのである。なお、認証メッセージ交換システムにおいて、認証メッセージを認証信号中継装置３０に送信する手法と認証信号制御装置２０に直接送信する手法とが混在してもよい。
【０１０２】
［暗号化に関する処理、電子署名に関する処理］
また、実施例１においては、暗号化に関する処理や電子署名に関する処理として、例えば、端末５０の利用者の所属企業の公開鍵を用いて認証要求メッセージを暗号化し、送信元の認証信号制御装置２０の秘密鍵による電子署名をエンベロープの一部として付加する手法を説明してきた。しかしながら、本発明はこれに限られるものではない。
【０１０３】
例えば、送信元の認証信号制御装置２０と送信先の認証信号制御装置２０とが共通鍵を保持しているとする。このような場合、送信元の認証信号制御装置２０は、例えば、認証要求メッセージをハッシュ化し、ハッシュ化した認証要求メッセージを送信元の認証信号制御装置２０の秘密鍵によって暗号化して電子署名とする。そして、送信元の認証信号制御装置２０は、認証要求メッセージと電子署名と公開鍵証明書とを共通鍵によって暗号化し、送信先の認証信号制御装置２０に向けて送信してもよい。すなわち、認証メッセージ交換システムにおいて、暗号化に関する処理や電子署名に関する処理には、任意の手法を用いることができる。
【０１０４】
［システム構成等］
また、明細書や図面で示した処理手順（図３など）、具体的名称（図１〜図７など）、各種のデータやパラメータを含む情報（図６〜図７など）については、特記する場合を除いて任意に変更することができる。
【０１０５】
また、図面で示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵ（Central Processing Unit）および当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１０６】
なお、上記の実施例で説明した認証メッセージ交換方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。
【産業上の利用可能性】
【０１０７】
以上のように、本発明に係る認証メッセージ交換システムおよび認証メッセージ交換方法は、異なる拠点網に設置された認証装置間で認証メッセージを交換することに有用であり、特に、エンドツーエンドの認証を実現し、かつ、プロキシサーバによる認証メッセージの盗聴や改竄を防ぐことに適する。
【図面の簡単な説明】
【０１０８】
【図１】実施例１に係る認証メッセージ交換システムの概要を説明するための図である。
【図２】実施例１に係る認証メッセージ交換システムの全体構成を説明するための図である。
【図３】実施例１に係る認証メッセージ交換システムによる処理手順を説明するためのシーケンス図である。
【図４】実施例１に係る認証メッセージ交換システムの構成を説明するための図である。
【図５】メッセージＩＤを説明するための図である。
【図６】メッセージＩＤ対応テーブルを説明するための図である。
【図７】エンベロープを説明するための図である。
【符号の説明】
【０１０９】
１０ 認証クライアント
１１ 認証要求部
２０ 認証信号制御装置
２１ ローカル側認証メッセージ受信部
２２ メッセージＩＤ対応づけ部
２３ メッセージＩＤ対応テーブル
２４ エンベロープ付加部
２５ エンベロープ付き認証メッセージ送信部
２６ エンベロープ検証部
２７ ローカル側認証メッセージ送信部
３０ 認証信号中継装置
３１ エンベロープ付き認証メッセージ中継部
３２ レルム管理テーブル
４０ 認証サーバ
４１ 認証応答部
５０ 端末
【技術分野】
【０００１】
本発明は、認証メッセージ交換システムおよび認証メッセージ交換方法に関する。
【背景技術】
【０００２】
端末や端末の利用者に対してネットワークへの接続性を提供する際の認証をＩＰ（Internet Protocol）ネットワーク上で実現するプロトコルとして、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）プロトコルが知られている（非特許文献１）。ＲＡＤＩＵＳプロトコルは、認証や課金を行うための汎用的なプロトコルであり、ＩＳＰ（Internet Service Provider）における利用者認証に広く利用される他、他の認証方式とも組み合わせて利用される。例えば、ＲＡＤＩＵＳプロトコルは、ＩＥＥＥ（Institute Of Electrical And Electronics Engineers）８０２．１Ｘ／ＥＡＰ（Extensible Authentication Protocol）、ＰＡＰ（Password Authentication Protocol）やＣＨＡＰ（Challenge Handshake Authentication Protocol）、ＥＡＰ−ＴＬＳ（Transport Layer Security）やＥＡＰ−ＴＴＬＳ（Tunneled ＴＬＳ）などと組み合わせて利用される。
【０００３】
ここで、ＲＡＤＩＵＳプロトコルは、クライアント・サーバモデルに基づくプロトコルである。具体的には、端末に対してネットワークへの接続性を提供する無線ＡＰ（Access Point）やレイヤ２スイッチなどのＲＡＤＩＵＳクライアントが、認証要求メッセージをＲＡＤＩＵＳサーバに送信し、ＲＡＤＩＵＳサーバが、認証結果を認証応答メッセージとしてＲＡＤＩＵＳクライアントに送信する。
【０００４】
また、ＲＡＤＩＵＳサーバは、ＲＡＤＩＵＳクライアントから送信された認証要求メッセージを自身では処理せず、別のＲＡＤＩＵＳサーバに転送するプロキシ機能を持つことができる。プロキシ機能を持ったＲＡＤＩＵＳサーバ（以下、ＲＡＤＩＵＳプロキシサーバと呼ぶ）は、認証要求メッセージに含まれる識別ＩＤに基づいて、当該認証要求メッセージを認証可能なＲＡＤＩＵＳサーバに当該認証要求メッセージを転送する。
【０００５】
なお、ＲＡＤＩＵＳプロキシサーバは、多段に構成されることができる。例えば、非特許文献２に開示される大規模な無線ＬＡＮ（Local Area Network）ローミング基盤では、大学や研究機関などの拠点毎に設置されるＲＡＤＩＵＳプロキシサーバを集約する上位のＲＡＤＩＵＳプロキシサーバを地域毎に設置し、さらにそれらのＲＡＤＩＵＳプロキシサーバをより広域で集約するＲＡＤＩＵＳプロキシサーバを設置するといった形態で、ＲＡＤＩＵＳプロキシサーバのツリーを構成している。ある拠点で発生した認証要求メッセージは、当該認証要求メッセージを認証可能な拠点のＲＡＤＩＵＳサーバまで、複数のＲＡＤＩＵＳプロキシサーバを経由して転送される。
【０００６】
【非特許文献１】ＲＦＣ２８６５：“Remote Authentication Dial In User Service（RADIUS）”、2000
【非特許文献２】Wierenga, K. and Florio, L., “Eduroam： past, present and future”、 Computational Methods IN Science AND Technology、pp.169-173、2005
【発明の開示】
【発明が解決しようとする課題】
【０００７】
ところで、上記した従来の技術では、エンドツーエンドの認証ができず、また、プロキシサーバによる認証メッセージの盗聴や改竄を防ぐことができないという課題があった。
【０００８】
まず、ＲＡＤＩＵＳプロトコルでは、ＲＡＤＩＵＳクライアントとＲＡＤＩＵＳサーバとが事前共有鍵を用いてエンドツーエンドの認証を行うことができる。しかしながら、ＲＡＤＩＵＳプロキシサーバが設置される形態では、ＲＡＤＩＵＳクライアントとＲＡＤＩＵＳプロキシサーバとが事前共有鍵を共有し、ＲＡＤＩＵＳプロキシサーバとＲＡＤＩＵＳサーバとが事前共有鍵を共有するので、ＲＡＤＩＵＳクライアントとＲＡＤＩＵＳサーバとは直接相互に認証を行うことができない。このため、ＲＡＤＩＵＳクライアントは、ＲＡＤＩＵＳプロキシサーバが認証要求メッセージを転送するＲＡＤＩＵＳサーバが、確かにＲＡＤＩＵＳクライアントの意図するＲＡＤＩＵＳサーバであるか否かを確認できない。また、ＲＡＤＩＵＳサーバも、認証要求メッセージの送信元であるＲＡＤＩＵＳクライアントが、確かにＲＡＤＩＵＳサーバの意図するＲＡＤＩＵＳクライアントであるか否かを確認できない。
【０００９】
次に、ＲＡＤＩＵＳプロトコルでは、認証メッセージは暗号化されない。この点、ＲＡＤＩＵＳクライアントとＲＡＤＩＵＳプロキシサーバとの間、ＲＡＤＩＵＳプロキシサーバとＲＡＤＩＵＳサーバとの間については、ＩＰｓｅｃ等（Security Architecture for Internet Protocol）を用いて通信路を保護し、通信路上でのＲＡＤＩＵＳメッセージの盗聴を防止することはできる。しかしながら、ＲＡＤＩＵＳプロキシサーバによる認証メッセージの盗聴を防止することはできない。例えば、認証方式としてＰＡＰを用いた場合、ＲＡＤＩＵＳプロキシサーバは、パスワードを平文で取得できてしまう。また、ＥＡＰ−ＴＬＳやＥＡＰ−ＴＴＬＳを用いた場合、ＲＡＤＩＵＳプロキシサーバは、端末が無線ＬＡＮアクセスポイントとの通信に使用するＷＥＰ（Wired Equivalent Privacy）キーなどのセッション暗号鍵を取得できてしまう。また、上記したように、ＲＡＤＩＵＳクライアントとＲＡＤＩＵＳサーバとの間ではエンドツーエンドの認証を行うことができないので、ＲＡＤＩＵＳクライアントとＲＡＤＩＵＳサーバとの間での認証メッセージの完全性は保証されず、ＲＡＤＩＵＳプロキシサーバが認証メッセージを改竄する恐れがある。
【００１０】
そこで、本発明は、上記した従来の技術の課題を解決するためになされたものであり、エンドツーエンドの認証が可能であり、かつ、プロキシサーバによる認証メッセージの盗聴や改竄を防ぐことが可能な認証メッセージ交換システムおよび認証メッセージ交換方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記した課題を解決し、目的を達成するため、異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換システムであって、認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置各々は、同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信手段と、認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理手段と、認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理手段と、拠点網外の広域網に設置された認証信号中継装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対中継装置送受信手段と、を備え、前記認証信号中継装置各々は、前記対中継装置送受信手段によって送信された認証メッセージを当該認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置に向けて中継する中継手段と、を備えたことを特徴とする。
【発明の効果】
【００１２】
本発明によれば、エンドツーエンドの認証が可能になり、かつ、プロキシサーバによる認証メッセージの盗聴や改竄を防ぐことが可能になる。
【発明を実施するための最良の形態】
【００１３】
以下に添付図面を参照して、本発明に係る認証メッセージ交換システムおよび認証メッセージ交換方法の実施例を詳細に説明する。なお、以下では、まず、実施例１に係る認証メッセージ交換システムの概要を説明し、続いて、実施例１に係る認証メッセージ交換システムの全体構成、処理手順、構成、効果を説明する。その後、他の実施例を説明する。
【実施例１】
【００１４】
［実施例１に係る認証メッセージ交換システムの概要］
まず、図１を用いて、実施例１に係る認証メッセージ交換システムの概要を説明する。図１は、実施例１に係る認証メッセージ交換システムの概要を説明するための図である。
【００１５】
実施例１に係る認証メッセージ交換システムは、図１に示すように、異なる拠点網に設置された認証クライアント１０と認証サーバ４０との間で認証メッセージを交換するシステムである。また、図１に示すように、認証クライアント１０が設置された拠点網と同一の拠点網に認証信号制御装置２０が設置され、認証サーバ４０が設置された拠点網と同一の拠点網に認証信号制御装置２０が設置される。また、図１に示すように、拠点網と拠点網と間の広域網に認証信号中継装置３０が設置される。
【００１６】
ここで、認証信号制御装置２０各々は、図１に示すように、認証メッセージを拠点網内にて識別する拠点網識別子と広域網にて識別する広域網識別子とを対応づけて識別子テーブルに格納する。
【００１７】
また、認証信号制御装置２０各々は、図１に示すように、識別子テーブルに格納された拠点網識別子を用いて、同一の拠点網に設置された認証クライアント１０や認証サーバ４０との間で認証メッセージを送受信する。
【００１８】
また、認証信号制御装置２０各々は、図１に示すように、認証メッセージの交換相手となる認証サーバ４０や認証クライアント１０と同一の拠点網に設置された認証信号制御装置２０との間で、認証メッセージの暗号化に関する処理や電子署名に関する処理を相互に行う。例えば、認証クライアント１０と同一の拠点網に設置された認証信号制御装置２０は、認証メッセージを暗号化し、電子署名を添付する。一方、認証サーバ４０と同一の拠点網に設置された認証信号制御装置２０は、暗号化された認証メッセージを復号化し、添付された電子署名を検証する。
【００１９】
また、認証信号制御装置２０各々は、図１に示すように、識別子テーブルに格納された広域網識別子を用いて、認証信号中継装置３０との間で、暗号化に関する処理が行われ電子署名に関する処理が行われた認証メッセージを送受信する。認証信号中継装置３０は、図１に示すように、暗号化に関する処理が行われ電子署名に関する処理が行われた認証メッセージを中継する。
【００２０】
例えば、認証クライアント１０と同一の拠点網に設置された認証信号制御装置２０は、暗号化し電子署名を添付した認証メッセージを認証信号中継装置３０に送信する。すると、認証信号中継装置３０は、認証メッセージの交換相手となる認証サーバ４０と同一の拠点網に設置された認証信号制御装置２０に向けて、暗号化され電子署名を添付された認証メッセージを中継する。一方、認証サーバ４０と同一の拠点網に設置された認証信号制御装置２０は、暗号化され電子署名を添付された認証メッセージを認証信号中継装置３０から受信すると、認証メッセージを復号化し、電子署名を検証する。
【００２１】
このように、実施例１に係る認証メッセージ交換システムにおいては、拠点網各々に設置された認証信号制御装置２０間で暗号化に関する処理や電子署名に関する処理が相互に行われ、認証信号中継装置３０は、暗号化され電子署名を添付された認証メッセージを中継するにすぎない。このようなことから、実施例１に係る認証メッセージ交換システムは、エンドツーエンドの認証が可能になり、かつ、ＲＡＤＩＵＳプロキシサーバによる認証メッセージの盗聴や改竄を防ぐことが可能になる。
【００２２】
また、実施例１に係る認証メッセージ交換システムは、ＲＡＤＩＵＳプロキシサーバの負荷を抑えることも可能になる。すなわち、実施例１に係る認証メッセージ交換システムは、従来のＲＡＤＩＵＳプロキシサーバが持つ認証メッセージ中継機能と状態管理機能とを分離し、認証メッセージ中継機能のみをＲＡＤＩＵＳプロキシサーバに持たせようとするものである。
【００２３】
ここで、従来のＲＡＤＩＵＳプロキシサーバによる状態管理機能について説明する。ＲＡＤＩＵＳクライアントは、一般に、送信した認証要求メッセージに応答する認証応答メッセージを受信するまでの間、周期的に認証要求メッセージを再送信する。この時、再送信する認証要求メッセージには、元の認証要求メッセージと同じ識別子を含める必要がある。このため、ＲＡＤＩＵＳクライアントは、認証応答メッセージを受信するまでの間、送信した認証要求メッセージと識別子との対応づけを記憶部に記憶して管理する。一方、従来のＲＡＤＩＵＳプロキシサーバは、ＲＡＤＩＵＳクライアントと同様に、ＲＡＤＩＵＳサーバから認証応答メッセージが返信されるまでの間、ＲＡＤＩＵＳクライアントから送信された認証要求メッセージに含まれる識別子と、当該認証要求メッセージにＲＡＤＩＵＳプロキシサーバが新たに設定する識別子との対応づけを記憶部に記憶して管理しなければならなかった。
【００２４】
また、従来のＲＡＤＩＵＳプロキシサーバは、ＲＡＤＩＵＳサーバから送信された認証応答メッセージをＲＡＤＩＵＳクライアントに転送する際、認証応答メッセージに含まれる識別子を、ＲＡＤＩＵＳクライアントが送信した認証要求メッセージに含まれていた識別子に設定し直さなければならなかった。一般に、ＲＡＤＩＵＳプロキシサーバは、複数のＲＡＤＩＵＳクライアントからの認証要求メッセージを中継するように構成され、ＲＡＤＩＵＳプロキシサーバが管理する認証メッセージの状態数は、ＲＡＤＩＵＳクライアントが管理する認証メッセージの状態数に比べ大きい。このため、状態管理のための負荷が大きく、認証メッセージ交換システムにおいて、ＲＡＤＩＵＳプロキシサーバの性能がボトルネックとなる可能性があった。
【００２５】
この点、実施例１に係る認証メッセージ交換システムにおいては、拠点網各々に設置された認証信号制御装置２０各々が、認証メッセージに含まれる識別子の対応づけを記憶部に記憶して管理するので、認証信号中継装置３０は、識別子の対応づけを管理する必要がない。このようなことから、実施例１に係る認証メッセージ交換システムは、ＲＡＤＩＵＳプロキシサーバの負荷を抑えることも可能になる。
【００２６】
［実施例１に係る認証メッセージ交換システムの全体構成］
次に、図２を用いて、実施例１に係る認証メッセージ交換システムの全体構成を説明する。図２は、実施例１に係る認証メッセージ交換システムの全体構成を説明するための図である。なお、図２において、ＬＡＮは「拠点網」に対応し、インターネットは「広域網」に対応し、無線ＡＰ１０は認証クライアント１０に対応する。また、以下では、同一の拠点網に設置されている装置のことを適宜「ローカルの装置」と表現する。
【００２７】
実施例１に係る認証メッセージ交換システムは、例えば、図２に示すように構成される。すなわち、レルム（a.co.jp）で示されるＡ社ネットワーク、レルム（b.org）で示されるＢ社ネットワーク、レルム（c.net）で示されるＣ社ネットワーク、およびレルム（d.com）で示されるＤ社ネットワークが、インターネットを介して接続され、異なるネットワークに設置された無線ＡＰ１０や認証サーバ４０間で認証メッセージが交換される。
【００２８】
無線ＡＰ１０は、ＩＥＥＥ８０２．１Ｘによる無線ＬＡＮ接続認証機能を備える。無線ＡＰ１０は、ＩＥＥＥ８０２．１Ｘプロトコルによって端末５０からＥＡＰメッセージを受信し、受信したＥＡＰメッセージをＲＡＤＩＵＳプロトコルによってＲＡＤＩＵＳサーバに転送する。実施例１における無線ＡＰ１０は、ＲＡＤＩＵＳサーバとして、認証信号制御装置２０のＩＰアドレスを事前に登録している。
【００２９】
認証信号制御装置２０は、Ｌｉｎｕｘサーバなどのサーバ用コンピュータにＲＤＢＭＳ（Relational Database Management System）を動作させ、ＲＤＢＭＳ上のテーブルとして、後述するメッセージＩＤ対応テーブルを実現する。また、認証信号制御装置２０は、後述するローカル側認証メッセージ受信部、メッセージＩＤ対応づけ部、エンベロープ付加部、エンベロープ付き認証メッセージ送信部、エンベロープ検証部、ローカル側認証メッセージ送信部をソフトウェアプログラムで実現する。なお、認証信号制御装置２０は、認証メッセージの送信先として、認証信号中継装置３０のＩＰアドレスおよびローカルの認証サーバ４０のＩＰアドレスを事前に登録している。また、認証信号制御装置２０は、認証メッセージの送信先の各企業（Ａ社、Ｂ社、Ｃ社、Ｄ社など）の公開鍵証明書を事前に登録している。
【００３０】
認証信号中継装置３０は、Ｌｉｎｕｘサーバなどのサーバ用コンピュータにＲＤＢＭＳを動作させ、ＲＤＢＭＳ上のテーブルとして、後述するレルム管理テーブルを実現する。また、認証信号中継装置３０は、後述するエンベロープ付き認証メッセージ中継部をソフトウェアプログラムで実現する。なお、認証信号中継装置３０は、レルム管理テーブルに、各企業のレルムと認証信号制御装置２０のＩＰアドレスとの対応づけを事前に登録している。
【００３１】
認証サーバ４０は、Ｌｉｎｕｘサーバなどのサーバ用コンピュータにＲＡＤＩＵＳプロトコルによる認証を行うソフトウェアプログラムを動作させたものである。認証サーバ４０は、認証を行うための認証情報を事前に登録している。あるいは、認証サーバ４０は、認証情報を保持するサーバへアクセスするための情報を事前に登録している。
【００３２】
端末５０は、無線ＬＡＮインタフェースを備えるＰＣ（Personal Computer）である。端末５０は、ＩＥＥＥ８０２．１Ｘ／ＥＡＰ認証による無線ＬＡＮ接続認証に対応するクライアント機能を備える。
【００３３】
［実施例１に係る認証メッセージ交換システムによる処理手順］
次に、図３を用いて、実施例１に係る認証メッセージ交換システムによる処理手順を説明する。図３は、実施例１に係る認証メッセージ交換システムによる処理手順を示すシーケンス図である。なお、図３においては、Ａ社ネットワークに設置される端末５０の利用者を認証することを目的として、Ａ社ネットワークに設置される無線ＡＰ１０と、Ｃ社ネットワークに設置される認証サーバ４０との間で認証メッセージを交換する例を説明する。また、ローカル側メッセージＩＤは「拠点網識別子」に対応し、広域側メッセージＩＤは「広域網識別子」に対応する。
【００３４】
まず、図３に示すように、Ａ社ネットワークに設置される端末５０が、無線接続要求を無線ＡＰ１０に送信する（ステップＳ１０１）。なお、無線接続要求の送信を契機として、端末５０と無線ＡＰ１０との間で無線リンクが確立される。
【００３５】
続いて、無線ＡＰ１０は、ＩＥＥＥ８０２．１Ｘに定められる手順に従って、ＥＡＰで定められる認証要求（ＥＡＰ Ｒｅｑｕｅｓｔ）を端末５０に送信する（ステップＳ１０２）。
【００３６】
すると、端末５０は、無線ＡＰ１０から送信された認証要求に基づいて、ＥＡＰで定められる認証応答（ＥＡＰ Ｉｄｅｎｔｉｔｙ）を無線ＡＰ１０に送信する（ステップＳ１０３）。認証応答には、端末５０の利用者の識別ＩＤが含まれる。識別ＩＤは、ＮＡＩ（Network Access Identifier）形式となっており、レルム部から端末５０の利用者の所属企業を識別できるものとする。
【００３７】
次に、無線ＡＰ１０は、端末５０から送信された認証応答を自身で検証できないので、当該認証応答をＲＡＤＩＵＳプロトコルで定められる認証要求メッセージとして認証信号制御装置２０に送信する（ステップＳ１０４）。なお、認証要求メッセージには、無線ＡＰ１０が決定するローカル側メッセージＩＤが含まれる。
【００３８】
すると、認証信号制御装置２０は、認証要求メッセージの広域側メッセージＩＤを決定し、ローカル側メッセージＩＤと、送信元の無線ＡＰ１０のＩＰアドレスと、タイムアウト時刻と、決定した広域側メッセージＩＤとを対応づけて、認証信号制御装置２０内のメッセージＩＤ対応テーブルに格納する（ステップＳ１０５）。
【００３９】
また、認証信号制御装置２０は、認証要求メッセージに含まれる端末５０の利用者の識別ＩＤのレルム部から端末５０の利用者の所属企業を識別し、予め登録している当該企業の公開鍵を用いて、認証要求メッセージを暗号化する（ステップＳ１０６）。
【００４０】
そして、認証信号制御装置２０は、暗号化した認証要求メッセージにエンベロープを付加し、電子署名を添付する（ステップＳ１０７）。なお、認証信号制御装置２０は、エンベロープに、認証信号制御装置２０自身の識別子として送信元のレルムを含める。
【００４１】
その後、認証信号制御装置２０は、エンベロープを付加したエンベロープ付き認証要求メッセージを認証信号中継装置３０に送信する（ステップＳ１０８）。
【００４２】
一方、認証信号中継装置３０は、認証要求メッセージを受信すると、認証要求メッセージのエンベロープに含まれる送信先のレルムを検索キーとしてレルム管理テーブルを参照し、送信先の認証信号制御装置２０のＩＰアドレスを取得する（ステップＳ１０９）。
【００４３】
そして、認証信号中継装置３０は、取得した認証信号制御装置２０のＩＰアドレスに対して認証要求メッセージを転送する（ステップＳ１１０）。
【００４４】
一方、Ｃ社ネットワークに設置された認証信号制御装置２０は、受信した認証要求メッセージのエンベロープに含まれる送信元のレルムから送信元の企業を識別し、予め登録している当該企業の公開鍵を用いて、エンベロープの電子署名を検証する。電子署名の検証結果が否であれば、認証信号制御装置２０は、認証要求メッセージを破棄する。電子署名の検証結果が可であれば、認証信号制御装置２０は、自身の秘密鍵を用いて、認証要求メッセージを復号化する（ステップＳ１１１）。
【００４５】
そして、認証信号制御装置２０は、受信した認証要求メッセージに設定するローカル側メッセージＩＤを決定し、決定したローカル側メッセージＩＤと、送信先の認証サーバ４０のＩＰアドレスと、タイムアウト時刻と、広域側メッセージＩＤとを対応づけて、認証信号制御装置２０内のメッセージＩＤ対応テーブルに格納する（ステップＳ１１２）。また、認証信号制御装置２０は、認証要求メッセージに含まれるローカル側メッセージＩＤを、新たに決定したローカル側メッセージＩＤに更新する。
【００４６】
続いて、認証信号制御装置２０は、認証要求メッセージのエンベロープを除去し、ＲＡＤＩＵＳプロトコルに従って認証サーバ４０に送信する（ステップＳ１１３）。
【００４７】
すると、認証サーバ４０は、認証要求メッセージに基づいて認証を行う（ステップＳ１１４）。
【００４８】
そして、認証サーバ４０は、ＲＡＤＩＵＳプロトコルに従って認証応答メッセージを認証信号制御装置２０に送信する（ステップＳ１１５）。
【００４９】
一方、認証信号制御装置２０は、認証応答メッセージに含まれる認証要求元のレルムから、認証要求元の所属企業を識別し、予め登録している当該企業の公開鍵を用いて、認証応答メッセージを暗号化する（ステップＳ１１６）。
【００５０】
次に、認証信号制御装置２０は、認証応答メッセージに含まれるローカル側メッセージＩＤを検索キーとしてメッセージＩＤ対応テーブルを参照し、対応づけて記憶されている広域側メッセージＩＤを取得する。続いて、認証信号制御装置２０は、暗号化した認証応答メッセージに、取得した広域側メッセージＩＤを含めたエンベロープを付加し、電子署名を添付する（ステップＳ１１７）。なお、認証信号制御装置２０は、エンベロープに、認証信号制御装置２０自身の識別子として送信元のレルムを含める。
【００５１】
そして、認証信号制御装置２０は、エンベロープを付加したエンベロープ付き認証応答メッセージを認証信号中継装置３０に送信する（ステップＳ１１８）。
【００５２】
一方、認証信号中継装置３０は、受信した認証応答メッセージのエンベロープに含まれる送信先のレルムを検索キーとしてレルム管理テーブルを参照し、事前に登録されている送信先の認証信号制御装置２０のＩＰアドレスを取得する（ステップＳ１１９）。
【００５３】
そして、認証信号中継装置３０は、取得した送信先の認証信号制御装置２０のＩＰアドレスに対して認証応答メッセージを転送する（ステップＳ１２０）。
【００５４】
一方、認証信号制御装置２０は、受信した認証応答メッセージのエンベロープに含まれる送信元のレルムから送信元の企業を識別し、予め登録している当該企業の公開鍵を用いて、エンベロープの電子署名を検証する。そして、電子署名の検証結果が否であれば、認証信号制御装置２０は、認証応答メッセージを破棄する。電子署名の検証結果が可であれば、認証信号制御装置２０は、自身の秘密鍵を用いて認証応答メッセージを復号化する（ステップＳ１２１）。
【００５５】
そして、認証信号制御装置２０は、受信した認証応答メッセージの広域側メッセージＩＤを検索キーとしてメッセージＩＤ対応テーブルを参照し、対応づけて記憶されているローカル側メッセージＩＤを取得する。そして、認証信号制御装置２０は、取得したローカル側メッセージＩＤを用いて、認証応答メッセージに含まれるローカル側メッセージＩＤを更新し、認証応答メッセージのエンベロープを除去する（ステップＳ１２２）。
【００５６】
続いて、認証信号制御装置２０は、ＲＡＤＩＵＳプロトコルに従って、認証応答メッセージを無線ＡＰ１０に送信する（ステップＳ１２３）。
【００５７】
その後、無線ＡＰ１０は、認証応答メッセージに従って端末５０の無線接続を認可し、ＥＡＰによって認証結果を端末５０に通知する（ステップＳ１２４）。
【００５８】
［実施例１に係る認証メッセージ交換システムの構成］
次に、図４〜図７を用いて、実施例１に係る認証メッセージ交換システムの構成を説明する。図４は、実施例１に係る認証メッセージ交換システムの構成を説明するための図であり、図５は、メッセージＩＤを説明するための図であり、図６は、メッセージＩＤ対応テーブルを説明するための図であり、図７は、エンベロープを説明するための図である。
【００５９】
図４に示すように、実施例１に係る認証メッセージ交換システムは、無線ＡＰ１０と認証信号制御装置２０と認証信号中継装置３０と認証サーバ４０とを備える。なお、図４においては、説明の便宜上、認証メッセージ交換システムが備える装置を１台ずつ示し、装置間の情報の流れを示すこととするが、上記してきたように、認証信号制御装置２０は、認証クライアント１０と同一の拠点網と、認証サーバ４０と同一の拠点網とに各々設置される。以下、各装置の構成を順に説明する。
【００６０】
無線ＡＰ１０は、図４に示すように、認証要求部１１を備える。
【００６１】
認証要求部１１は、認証サーバ４０との間で認証メッセージを交換する。具体的には、認証要求部１１は、認証信号制御装置２０のローカル側認証メッセージ受信部２１と接続され、認証信号制御装置２０に対して認証要求メッセージを送信する。また、認証要求部１１は、認証信号制御装置２０のローカル側認証メッセージ送信部２７と接続され、認証信号制御装置２０から認証応答メッセージを受信する。
【００６２】
なお、認証要求部１１は、認証要求メッセージを送信する際、認証要求メッセージを拠点網内にて識別するローカル側メッセージＩＤを決定し、認証要求メッセージに含める。例えば、認証要求部１１は、図５の（Ａ）に示すように、ローカル側メッセージＩＤ『Ａ』を決定し、認証要求メッセージに含める。
【００６３】
認証サーバ４０は、図４に示すように、認証応答部４１を備える。
【００６４】
認証応答部４１は、無線ＡＰ１０との間で認証メッセージを交換し、認証を行う。具体的には、認証応答部４１は、認証信号制御装置２０のローカル側認証メッセージ送信部２７と接続され、認証信号制御装置２０から認証要求メッセージを受信する。また、認証応答部４１は、認証要求メッセージを受信すると、受信した認証要求メッセージに基づいて認証を行う。また、認証応答部４１は、認証信号制御装置２０のローカル側認証メッセージ受信部２１と接続され、認証信号制御装置２０に対して、認証結果を示す認証応答メッセージを送信する。
【００６５】
なお、認証応答部４１は、認証応答メッセージを送信する際、受信した認証要求メッセージに含まれていたローカル側メッセージＩＤと同じローカル側メッセージＩＤを認証応答メッセージに含める。例えば、認証応答部４１は、図５の（Ｂ）および（Ｃ）に示すように、受信した認証要求メッセージに含まれていたローカル側メッセージＩＤ『Ｂ』と同じローカル側メッセージＩＤ『Ｂ』を認証応答メッセージに含める。
【００６６】
認証信号制御装置２０は、図４に示すように、ローカル側認証メッセージ受信部２１と、メッセージＩＤ対応づけ部２２と、メッセージＩＤ対応テーブル２３と、エンベロープ付加部２４と、エンベロープ付き認証メッセージ送信部２５と、エンベロープ検証部２６と、ローカル側認証メッセージ送信部２７とを備える。
【００６７】
ローカル側認証メッセージ受信部２１は、ローカル側メッセージＩＤを用いて、同一の拠点網に設置された認証クライアント１１や認証サーバ４０から認証メッセージを受信する。具体的には、ローカル側認証メッセージ受信部２１は、無線ＡＰ１０の認証要求部１１と接続され、無線ＡＰ１０から認証要求メッセージを受信する。受信した認証要求メッセージには、ローカル側メッセージＩＤが含められている。例えば、図５の（Ａ）に示すように、ローカル側メッセージＩＤ『Ａ』が含められている。
【００６８】
また、ローカル側認証メッセージ受信部２１は、メッセージＩＤ対応づけ部２２とエンベロープ付加部２４と接続され、受信した認証要求メッセージに含められているローカル側メッセージＩＤをメッセージＩＤ対応づけ部２２に通知するとともに、認証要求メッセージをエンベロープ付加部２４に通知する。
【００６９】
また、ローカル側認証メッセージ受信部２１は、認証サーバ４０の認証応答部４１と接続され、認証サーバ４０から認証応答メッセージを受信する。受信した認証応答メッセージには、ローカル側メッセージＩＤが含められている。例えば、図５の（Ｃ）に示すように、ローカル側メッセージＩＤ『Ｂ』が含められている。
【００７０】
また、ローカル側認証メッセージ受信部２１は、受信した認証応答メッセージに含められているローカル側メッセージＩＤをメッセージＩＤ対応づけ部２２に通知するとともに、認証応答メッセージをエンベロープ付加部２４に通知する。
【００７１】
メッセージＩＤ対応づけ部２２は、認証メッセージを拠点網内にて識別するローカル側メッセージＩＤと広域網にて識別する広域側メッセージＩＤとを対応づけて格納する。具体的には、メッセージＩＤ対応づけ部２２は、ローカル側認証メッセージ受信部２１とメッセージＩＤ対応テーブル２３と接続され、ローカル側認証メッセージ受信部２１から認証要求メッセージに含められているローカル側メッセージＩＤを通知されると、認証要求メッセージについて広域側メッセージＩＤを決定する。例えば、メッセージＩＤ対応づけ部２２は、図５の（Ａ）に示すように、ローカル側メッセージＩＤ『Ａ』を通知されると、広域側メッセージＩＤ『Ｘ』を決定する。また、メッセージＩＤ対応づけ部２２は、ローカル側メッセージＩＤと、送信元の無線ＡＰ１０のＩＰアドレスと、タイムアウト時刻と、広域側メッセージＩＤとを対応づけて、メッセージＩＤ対応テーブル２３に格納する。
【００７２】
また、メッセージＩＤ対応づけ部２２は、エンベロープ付加部２４と接続され、認証要求メッセージについて決定した広域側メッセージＩＤをエンベロープ付加部２４に通知する。
【００７３】
また、メッセージＩＤ対応づけ部２２は、エンベロープ検証部２６とメッセージＩＤ対応テーブル２３と接続され、エンベロープ検証部２６から認証要求メッセージのエンベロープに含められている広域側メッセージＩＤを通知されると、認証要求メッセージについてローカル側メッセージＩＤを決定する。例えば、メッセージＩＤ対応づけ部２２は、図５の（Ｂ）に示すように、広域側メッセージＩＤ『Ｘ』を通知されると、ローカル側メッセージＩＤ『Ｂ』を決定する。また、メッセージＩＤ対応づけ部２２は、ローカル側メッセージＩＤと、ローカルの認証サーバ４０のＩＰアドレスと、タイムアウト時刻と、広域側メッセージＩＤとを対応づけて、メッセージＩＤ対応テーブル２３に格納する。
【００７４】
また、メッセージＩＤ対応づけ部２２は、ローカル側認証メッセージ送信部２７と接続され、認証要求メッセージについて決定したローカル側メッセージＩＤをローカル側認証メッセージ送信部２７に通知する。
【００７５】
また、メッセージＩＤ対応づけ部２２は、ローカル側認証メッセージ受信部２１から認証応答メッセージに含められているローカル側メッセージＩＤを通知されると、通知されたローカル側メッセージＩＤを検索キーとしてメッセージＩＤ対応テーブル２３を参照し、対応づけて記憶されている広域側メッセージＩＤを取得する。例えば、メッセージＩＤ対応づけ部２２は、図５の（Ｃ）に示すように、ローカル側メッセージＩＤ『Ｂ』を通知されると、広域側メッセージＩＤ『Ｘ』を取得する。なお、メッセージＩＤ対応づけ部２２は、メッセージＩＤ対応テーブル２３を参照した際に、該当するレコードがなければ、当該認証応答メッセージを破棄する。
【００７６】
また、メッセージＩＤ対応づけ部２２は、認証応答メッセージについて取得した広域側メッセージＩＤをエンベロープ付加部２４に通知する。
【００７７】
また、メッセージＩＤ対応づけ部２２は、エンベロープ検証部２６から認証応答メッセージのエンベロープに含められている広域側メッセージＩＤを通知されると、通知された広域側メッセージＩＤを検索キーとしてメッセージＩＤ対応テーブル２３を参照し、対応づけて記憶されているローカル側メッセージＩＤを取得する。例えば、メッセージＩＤ対応づけ部２２は、図５の（Ｄ）に示すように、広域側メッセージＩＤ『Ｘ』を通知されると、ローカル側メッセージＩＤ『Ａ』を取得する。また、メッセージＩＤ対応づけ部２２は、対応づけて記憶されている無線ＡＰ１０のＩＰアドレスも取得する。なお、メッセージＩＤ対応づけ部２２は、メッセージＩＤ対応テーブル２３を参照した際に、該当するレコードがなければ、当該認証応答メッセージを破棄する。
【００７８】
また、メッセージＩＤ対応づけ部２２は、認証応答メッセージについて取得したローカル側メッセージＩＤと無線ＡＰ１０のＩＰアドレスとをローカル側認証メッセージ送信部２７に通知する。
【００７９】
メッセージＩＤ対応テーブル２３は、ローカル側メッセージＩＤと広域側メッセージＩＤとを対応づけて記憶する。具体的には、メッセージＩＤ対応テーブル２３は、メッセージＩＤ対応づけ部２２と接続され、メッセージＩＤ対応づけ部２２によって格納されることで、ローカル側メッセージＩＤと広域側メッセージＩＤとを対応づけて記憶する。
【００８０】
例えば、メッセージＩＤテーブル２３は、図６に示すように、ローカル側メッセージＩＤと、送信元の無線ＡＰ１０のＩＰアドレスと、タイムアウト時刻と、広域側メッセージＩＤとを対応づけて記憶する。
【００８１】
エンベロープ付加部２４は、認証メッセージにエンベロープを付加することで、認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置２０との間で、認証メッセージの暗号化に関する処理や電子署名に関する処理を相互に行う。具体的には、エンベロープ付加部２４は、ローカル側認証メッセージ受信部２１とメッセージＩＤ対応づけ部２２とエンベロープ付き認証メッセージ送信部２５と接続される。
【００８２】
まず、エンベロープ付加部２４が、ローカルの無線ＡＰ１０から送信された認証要求メッセージにエンベロープを付加する場合について説明する。エンベロープ付加部２４は、ローカル側認証メッセージ受信部２１から認証要求メッセージを通知されると、予め登録している送信先の認証信号制御装置２０の公開鍵を用いて、通知された認証要求メッセージを暗号化する。また、エンベロープ付加部２４は、暗号化した認証要求メッセージについて、図７に示すように、送信元の認証信号制御装置２０を示すレルム、送信先の認証信号制御装置２０を示すレルム、メッセージＩＤ対応づけ部２２から通知された広域側メッセージＩＤ、送信元の認証信号制御装置２０の秘密鍵による電子署名、送信元の認証信号制御装置２０の公開鍵を送信先の認証信号制御装置２０が取得するためのＵＲＬ（Uniform Resource Locator）をエンベロープとして付加する。なお、送信先の認証信号制御装置２０を示すレルムは、認証要求メッセージに含まれる識別ＩＤのレルムとする。また、エンベロープ付加部２４は、認証要求メッセージにエンベロープを付加すると、エンベロープ付き認証要求メッセージをエンベロープ付き認証メッセージ送信部２５に通知する。
【００８３】
次に、エンベロープ付加部２４が、ローカルの認証サーバ４０から送信された認証応答メッセージにエンベロープを付加する場合について説明する。エンベロープ付加部２４は、ローカル側認証メッセージ受信部２１から認証応答メッセージを通知されると、予め登録している送信先の認証信号制御装置２０の公開鍵を用いて、通知された認証応答メッセージを暗号化する。また、エンベロープ付加部２４は、暗号化した認証応答メッセージについて、送信元の認証信号制御装置２０を示すレルム、送信先の認証信号制御装置２０を示すレルム、メッセージＩＤ対応づけ部２２から通知された広域側メッセージＩＤ、送信元の認証信号制御装置２０の秘密鍵による電子署名、送信元の認証信号制御装置２０の公開鍵を送信先の認証信号制御装置２０が取得するためのＵＲＬをエンベロープとして付加する。なお、送信先の認証信号制御装置２０を示すレルムは、認証要求メッセージに含まれる送信元のレルムとする。また、エンベロープ付加部２４は、認証応答メッセージにエンベロープを付加すると、エンベロープ付き認証応答メッセージをエンベロープ付き認証メッセージ送信部２５に通知する。
【００８４】
エンベロープ付き認証メッセージ送信部２５は、広域側メッセージＩＤを用いて、認証信号中継装置３０に対して、暗号に関する処理が行われ電子署名に関する処理が行われた認証メッセージを送信する。具体的には、エンベロープ付き認証メッセージ送信部２５は、エンベロープ付加部２４と認証信号中継装置３０と接続され、エンベロープ付加部２４から通知されたエンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージを認証信号中継装置３０に送信する。
【００８５】
また、エンベロープ付き認証メッセージ送信部２５は、メッセージＩＤ対応テーブル２３と接続され、認証要求メッセージ送信後、メッセージＩＤ対応テーブル２３に記憶されている当該認証要求メッセージのタイムアウト時刻に達するか、あるいは、エンベロープ検証部２６が当該認証要求メッセージに対応する認証応答メッセージを受信するまで、一定時間おきに認証要求メッセージを再送信する。エンベロープ付き認証メッセージ送信部２５は、タイムアウト時刻に達した場合には、認証要求メッセージのレコードをメッセージＩＤ対応テーブル２３から削除する。
【００８６】
エンベロープ検証部２６は、認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置２０との間で、認証メッセージの暗号化に関する処理や電子署名に関する処理を相互に行う。具体的には、エンベロープ検証部２６は、認証信号中継装置３０と、メッセージＩＤ対応づけ部２２と、ローカル側認証メッセージ送信部２７と接続される。
【００８７】
エンベロープ検証部２６は、認証信号中継装置３０からエンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージを受信すると、送信元の認証信号制御装置２０の公開鍵を用いてエンベロープの電子署名を検証する。なお、エンベロープ検証部２６は、送信元の認証信号制御装置２０の公開鍵を登録していない場合には、エンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージに含まれる公開鍵取得用のＵＲＬへとアクセスし、公開鍵を取得する。エンベロープ検証部２６は、電子署名の検証結果が否であれば、当該認証要求メッセージや当該認証応答メッセージを破棄する。一方、エンベロープ検証部２６は、電子署名の検証結果が可であれば、予め登録する秘密鍵を用いて認証要求メッセージや認証応答メッセージを復号化する。
【００８８】
また、エンベロープ検証部２６は、認証要求メッセージを復号化すると、認証要求メッセージのエンベロープに含められている広域側メッセージＩＤをメッセージＩＤ対応づけ部２２に通知し、復号した認証要求メッセージをローカル側認証メッセージ送信部２７に通知する。また、エンベロープ検証部２６は、認証応答メッセージを復号化すると、認証応答メッセージのエンベロープに含められている広域側メッセージＩＤをメッセージＩＤ対応づけ部２２に通知し、復号した認証応答メッセージをローカル側認証メッセージ送信部２７に通知する。
【００８９】
ローカル側認証メッセージ送信部２７は、ローカル側メッセージＩＤを用いて、ローカルの認証クライアント１１や認証サーバ４０に対して認証メッセージを送信する。具体的には、ローカル側認証メッセージ送信部２７は、エンベロープ検証部２６と認証サーバ４０の認証応答部４１と接続され、エンベロープ検証部２６から通知された認証要求メッセージを認証サーバ４０に対して送信する。この時、ローカル側認証メッセージ送信部２７は、認証要求メッセージに含まれているローカル側メッセージＩＤを、メッセージＩＤ対応づけ部２２から通知されたローカル側メッセージＩＤに更新する。また、ローカル側認証メッセージ送信部２７は、認証要求メッセージに付加されたエンベロープを除去してから、認証要求メッセージを送信する。
【００９０】
また、ローカル側認証メッセージ送信部２７は、メッセージＩＤ対応テーブル２３と接続され、認証要求メッセージ送信後、メッセージＩＤ対応テーブル２３に記憶されている当該認証要求メッセージのタイムアウト時刻に達するか、あるいは、ローカル側認証メッセージ受信部２１が認証要求メッセージに対応する認証応答メッセージを受信するまで、一定時間おきに認証要求メッセージを再送信する。ローカル側認証メッセージ送信部２７は、タイムアウト時刻に達した場合には、認証要求メッセージのレコードをメッセージＩＤ対応テーブル２３から削除する。
【００９１】
また、ローカル側認証メッセージ送信部２７は、エンベロープ検証部２６と認証クライアント１０の認証要求部１１と接続され、エンベロープ検証部２６から通知された認証応答メッセージを認証クライアント１０に対して送信する。この時、ローカル側認証メッセージ送信部２７は、認証応答メッセージに含まれているローカル側メッセージＩＤを、メッセージＩＤ対応づけ部２２から通知されたローカル側メッセージＩＤに更新する。また、ローカル側認証メッセージ送信部２７は、認証応答メッセージに付加されたエンベロープを除去してから、認証応答メッセージを送信する。
【００９２】
認証信号中継装置３０は、図４に示すように、エンベロープ付き認証メッセージ中継部３１と、レルム管理テーブル３２とを備える。
【００９３】
エンベロープ付き認証メッセージ中継部３１は、認証信号制御装置２０から送信されたエンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージを受信すると、エンベロープに含まれる送信先レルムに基づいて、送信先の認証信号制御装置２０に向けて認証メッセージを中継する。具体的には、エンベロープ付き認証メッセージ中継部３１は、レルム管理テーブル３２と接続され、エンベロープに含まれる送信先レルムを用いてレルム管理テーブル３２を参照し、レルムに対応づけて記憶されているＩＰアドレスを取得する。そして、エンベロープ付き認証メッセージ中継部３１は、取得したＩＰアドレスに対して認証メッセージを送信する。
【００９４】
レルム管理テーブル３２は、認証メッセージに含まれるレルムと、当該レルムを含む認証メッセージを転送するべき認証信号制御装置２０のＩＰアドレスとを対応づけて記憶する。
【００９５】
［実施例１の効果］
上記してきたように、実施例１に係る認証メッセージ交換システムは、異なるＬＡＮに設置された無線ＡＰ１０と認証サーバ４０との間で認証メッセージを交換する認証メッセージ交換システムである。また、無線ＡＰ１０や認証サーバ４０が設置されたＬＡＮと同一のＬＡＮに設置された認証信号制御装置２０各々は、ローカルの無線ＡＰ１０や認証サーバ４０との間で認証メッセージを送受信する。また、認証信号制御装置２０各々は、認証メッセージの交換相手となる認証サーバ４０や無線ＡＰ１０が設置されたＬＡＮと同一のＬＡＮに設置された認証信号制御装置２０との間で、認証メッセージの暗号化に関する処理や電子署名に関する処理を相互に行う。また、認証信号制御装置２０各々は、インターネットに設置された認証信号中継装置３０との間で、暗号化に関する処理が行われ電子署名に関する処理が行われた認証メッセージを送受信する。認証信号中継装置３０各々は、送信された認証メッセージを認証メッセージの交換相手となる認証サーバ４０や無線ＡＰ１０と同一のＬＡＮに設置された認証信号制御装置２０に向けて中継する。
【００９６】
このように、実施例１に係る認証メッセージ交換システムにおいては、ＬＡＮ各々に設置された認証信号制御装置２０間で暗号化に関する処理や電子署名に関する処理が相互に行われ、認証信号中継装置３０は、暗号化され電子署名を添付された認証メッセージを中継するにすぎない。このようなことから、実施例１に係る認証メッセージ交換システムは、従来のＲＡＤＩＵＳクライアントやＲＡＤＩＵＳサーバへの変更を不要としつつ、エンドツーエンドの認証が可能になり、かつ、ＲＡＤＩＵＳプロキシサーバによる認証メッセージの盗聴や改竄を防ぐことが可能になる。
【００９７】
また、実施例１に係る認証メッセージ交換システムの認証信号制御装置２０各々は、ローカル側メッセージＩＤと広域側メッセージＩＤとを対応づけてメッセージＩＤ対応テーブルに格納する。また、認証信号制御装置２０各々は、ローカル側メッセージＩＤを用いて認証メッセージを送受信し、広域側メッセージＩＤを用いて認証メッセージを送受信する。
【００９８】
このように、実施例１に係る認証メッセージ交換システムにおいては、ＬＡＮ各々に設置された認証信号制御装置２０各々が、認証メッセージに含まれるメッセージＩＤの対応づけを記憶部に記憶して管理するので、認証信号中継装置３０は、メッセージＩＤの対応づけを管理する必要がない。このようなことから、実施例１に係る認証メッセージ交換システムは、ＲＡＤＩＵＳプロキシサーバの負荷を抑えることも可能になる。
【実施例２】
【００９９】
［他の実施例］
さて、これまで本発明の実施例１について説明してきたが、本発明は実施例１以外にも種々の異なる形態にて実施されてよいものである。
【０１００】
［認証信号中継装置３０を中継しない構成］
実施例１においては、認証信号制御装置２０のエンベロープ付き認証メッセージ送信部２５が、エンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージを認証信号中継装置３０に送信するものとして説明した。しかしながら、本発明はこれに限られるものではない。エンベロープ付き認証メッセージ送信部２５は、エンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージを認証信号中継装置３０に送信せずに、送信先の認証信号制御装置２０に直接送信してもよい。例えば、認証信号制御装置２０が、送信先の認証信号制御装置２０を示すレルムとＩＰアドレスとの対応づけを事前に記憶部に登録していたとする。すると、エンベロープ付き認証メッセージ送信部２５は、エンベロープに含まれる送信先の認証信号制御装置２０を示すレルムを用いて記憶部を参照し、当該レルムに対応づけて記憶されているＩＰアドレスを取得することで、ＩＰアドレスを解決する。そして、エンベロープ付き認証メッセージ送信部２５は、解決したＩＰアドレスを用いて、エンベロープ付き認証要求メッセージやエンベロープ付き認証応答メッセージを送信先の認証信号制御装置２０に直接送信する。
【０１０１】
このような場合、認証メッセージ交換システムは、広域網に認証信号中継装置３０を設置する必要がない。すなわち、認証メッセージ交換システムにおいて、認証信号制御装置２０各々は、認証メッセージの交換相手となる認証サーバ４０や認証クライアント１０と同一の拠点網に設置された認証信号制御装置２０との間で、暗号化に関する処理が行われ電子署名に関する処理が行われた認証メッセージを直接送受信する。このため、広域網に認証信号中継装置３０を設置する必要がないのである。なお、認証メッセージ交換システムにおいて、認証メッセージを認証信号中継装置３０に送信する手法と認証信号制御装置２０に直接送信する手法とが混在してもよい。
【０１０２】
［暗号化に関する処理、電子署名に関する処理］
また、実施例１においては、暗号化に関する処理や電子署名に関する処理として、例えば、端末５０の利用者の所属企業の公開鍵を用いて認証要求メッセージを暗号化し、送信元の認証信号制御装置２０の秘密鍵による電子署名をエンベロープの一部として付加する手法を説明してきた。しかしながら、本発明はこれに限られるものではない。
【０１０３】
例えば、送信元の認証信号制御装置２０と送信先の認証信号制御装置２０とが共通鍵を保持しているとする。このような場合、送信元の認証信号制御装置２０は、例えば、認証要求メッセージをハッシュ化し、ハッシュ化した認証要求メッセージを送信元の認証信号制御装置２０の秘密鍵によって暗号化して電子署名とする。そして、送信元の認証信号制御装置２０は、認証要求メッセージと電子署名と公開鍵証明書とを共通鍵によって暗号化し、送信先の認証信号制御装置２０に向けて送信してもよい。すなわち、認証メッセージ交換システムにおいて、暗号化に関する処理や電子署名に関する処理には、任意の手法を用いることができる。
【０１０４】
［システム構成等］
また、明細書や図面で示した処理手順（図３など）、具体的名称（図１〜図７など）、各種のデータやパラメータを含む情報（図６〜図７など）については、特記する場合を除いて任意に変更することができる。
【０１０５】
また、図面で示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵ（Central Processing Unit）および当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１０６】
なお、上記の実施例で説明した認証メッセージ交換方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。
【産業上の利用可能性】
【０１０７】
以上のように、本発明に係る認証メッセージ交換システムおよび認証メッセージ交換方法は、異なる拠点網に設置された認証装置間で認証メッセージを交換することに有用であり、特に、エンドツーエンドの認証を実現し、かつ、プロキシサーバによる認証メッセージの盗聴や改竄を防ぐことに適する。
【図面の簡単な説明】
【０１０８】
【図１】実施例１に係る認証メッセージ交換システムの概要を説明するための図である。
【図２】実施例１に係る認証メッセージ交換システムの全体構成を説明するための図である。
【図３】実施例１に係る認証メッセージ交換システムによる処理手順を説明するためのシーケンス図である。
【図４】実施例１に係る認証メッセージ交換システムの構成を説明するための図である。
【図５】メッセージＩＤを説明するための図である。
【図６】メッセージＩＤ対応テーブルを説明するための図である。
【図７】エンベロープを説明するための図である。
【符号の説明】
【０１０９】
１０ 認証クライアント
１１ 認証要求部
２０ 認証信号制御装置
２１ ローカル側認証メッセージ受信部
２２ メッセージＩＤ対応づけ部
２３ メッセージＩＤ対応テーブル
２４ エンベロープ付加部
２５ エンベロープ付き認証メッセージ送信部
２６ エンベロープ検証部
２７ ローカル側認証メッセージ送信部
３０ 認証信号中継装置
３１ エンベロープ付き認証メッセージ中継部
３２ レルム管理テーブル
４０ 認証サーバ
４１ 認証応答部
５０ 端末
【特許請求の範囲】
【請求項１】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換システムであって、
認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置各々は、
同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理手段と、
拠点網外の広域網に設置された認証信号中継装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対中継装置送受信手段と、を備え、
前記認証信号中継装置各々は、
前記対中継装置送受信手段によって送信された認証メッセージを当該認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置に向けて中継する中継手段と、
を備えたことを特徴とする認証メッセージ交換システム。
【請求項２】
前記認証信号制御装置各々は、
認証メッセージを拠点網内にて識別する拠点網識別子と拠点網外の広域網にて識別する広域網識別子とを対応づけて識別子テーブルに格納する識別子格納手段をさらに備え、
前記対認証装置送受信手段は、前記識別子格納手段によって識別子テーブルに格納された拠点網識別子を用いて認証メッセージを送受信し、
前記対中継装置送受信手段は、前記識別子格納手段によって識別子テーブルに格納された広域網識別子を用いて認証メッセージを送受信することを特徴とする請求項１に記載の認証メッセージ交換システム。
【請求項３】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換システムにおいて、認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置であって、
同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理手段と、
拠点網外の広域網に設置された認証信号中継装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対中継装置送受信手段と、
を備えたことを特徴とする認証信号制御装置。
【請求項４】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換システムにおいて、広域網に設置された認証信号中継装置であって、
認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置によって送信された認証メッセージであって当該認証信号制御装置によって暗号化に関する処理が行われ電子署名に関する処理が行われた認証メッセージを、当該認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置に向けて中継する中継手段を備えたことを特徴とする認証信号中継装置。
【請求項５】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換方法であって、
認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置各々は、
同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信工程と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理工程と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理工程と、
拠点網外の広域網に設置された認証信号中継装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対中継装置送受信工程と、を備え、
前記認証信号中継装置各々は、
前記対中継装置送受信工程によって送信された認証メッセージを当該認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置に向けて中継する中継工程と、
を含んだことを特徴とする認証メッセージ交換方法。
【請求項６】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換システムであって、
認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置各々は、
同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対認証信号制御装置送受信手段と、
を備えたことを特徴とする認証メッセージ交換システム。
【請求項７】
前記認証信号制御装置各々は、
認証メッセージを拠点網内にて識別する拠点網識別子と拠点網外の広域網にて識別する広域網識別子とを対応づけて識別子テーブルに格納する識別子格納手段をさらに備え、
前記対認証装置送受信手段は、前記識別子格納手段によって識別子テーブルに格納された拠点網識別子を用いて認証メッセージを送受信し、
前記対認証信号制御装置送受信手段は、前記識別子格納手段によって識別子テーブルに格納された広域網識別子を用いて認証メッセージを送受信することを特徴とする請求項６に記載の認証メッセージ交換システム。
【請求項８】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換システムにおいて、認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置であって、
同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対認証信号制御装置送受信手段と、
を備えたことを特徴とする認証信号制御装置。
【請求項９】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換方法であって、
認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置各々は、
同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信工程と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理工程と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理工程と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対認証信号制御装置送受信工程と、
を含んだことを特徴とする認証メッセージ交換方法。
【請求項１】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換システムであって、
認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置各々は、
同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理手段と、
拠点網外の広域網に設置された認証信号中継装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対中継装置送受信手段と、を備え、
前記認証信号中継装置各々は、
前記対中継装置送受信手段によって送信された認証メッセージを当該認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置に向けて中継する中継手段と、
を備えたことを特徴とする認証メッセージ交換システム。
【請求項２】
前記認証信号制御装置各々は、
認証メッセージを拠点網内にて識別する拠点網識別子と拠点網外の広域網にて識別する広域網識別子とを対応づけて識別子テーブルに格納する識別子格納手段をさらに備え、
前記対認証装置送受信手段は、前記識別子格納手段によって識別子テーブルに格納された拠点網識別子を用いて認証メッセージを送受信し、
前記対中継装置送受信手段は、前記識別子格納手段によって識別子テーブルに格納された広域網識別子を用いて認証メッセージを送受信することを特徴とする請求項１に記載の認証メッセージ交換システム。
【請求項３】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換システムにおいて、認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置であって、
同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理手段と、
拠点網外の広域網に設置された認証信号中継装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対中継装置送受信手段と、
を備えたことを特徴とする認証信号制御装置。
【請求項４】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換システムにおいて、広域網に設置された認証信号中継装置であって、
認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置によって送信された認証メッセージであって当該認証信号制御装置によって暗号化に関する処理が行われ電子署名に関する処理が行われた認証メッセージを、当該認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置に向けて中継する中継手段を備えたことを特徴とする認証信号中継装置。
【請求項５】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換方法であって、
認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置各々は、
同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信工程と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理工程と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理工程と、
拠点網外の広域網に設置された認証信号中継装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対中継装置送受信工程と、を備え、
前記認証信号中継装置各々は、
前記対中継装置送受信工程によって送信された認証メッセージを当該認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置に向けて中継する中継工程と、
を含んだことを特徴とする認証メッセージ交換方法。
【請求項６】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換システムであって、
認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置各々は、
同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対認証信号制御装置送受信手段と、
を備えたことを特徴とする認証メッセージ交換システム。
【請求項７】
前記認証信号制御装置各々は、
認証メッセージを拠点網内にて識別する拠点網識別子と拠点網外の広域網にて識別する広域網識別子とを対応づけて識別子テーブルに格納する識別子格納手段をさらに備え、
前記対認証装置送受信手段は、前記識別子格納手段によって識別子テーブルに格納された拠点網識別子を用いて認証メッセージを送受信し、
前記対認証信号制御装置送受信手段は、前記識別子格納手段によって識別子テーブルに格納された広域網識別子を用いて認証メッセージを送受信することを特徴とする請求項６に記載の認証メッセージ交換システム。
【請求項８】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換システムにおいて、認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置であって、
同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理手段と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対認証信号制御装置送受信手段と、
を備えたことを特徴とする認証信号制御装置。
【請求項９】
異なる拠点網に設置された認証装置間で認証メッセージを交換する認証メッセージ交換方法であって、
認証装置が設置された拠点網と同一の拠点網に設置された認証信号制御装置各々は、
同一の拠点網に設置された認証装置との間で認証メッセージを送受信する対認証装置送受信工程と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの暗号化に関する処理を相互に行う暗号化処理工程と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、当該認証メッセージの電子署名に関する処理を相互に行う電子署名処理工程と、
認証メッセージの交換相手となる認証装置と同一の拠点網に設置された認証信号制御装置との間で、前記暗号化に関する処理が行われ前記電子署名に関する処理が行われた認証メッセージを送受信する対認証信号制御装置送受信工程と、
を含んだことを特徴とする認証メッセージ交換方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１０−４５６６８（Ｐ２０１０−４５６６８Ａ）
【公開日】平成２２年２月２５日（２０１０．２．２５）
【国際特許分類】
【出願番号】特願２００８−２０９０６４（Ｐ２００８−２０９０６４）
【出願日】平成２０年８月１４日（２００８．８．１４）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２２年２月２５日（２０１０．２．２５）
【国際特許分類】
【出願日】平成２０年８月１４日（２００８．８．１４）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]