JP2006109449A - 認証された無線局に暗号化キーを無線で提供するアクセスポイント - Google Patents

Abstract

【課題】ユーザに手間をかけさせずに、無線ネットワークにおいて、暗号化通信のための無線局を構成する。
【解決手段】本発明にかかるアセスポイント（２２）は、無線送受信機（３４、４８）と、無線送受信機（３４、４８）に結合され、無線局（２４）による有線ネットワーク（２３）へのアクセスを可能にするように適合されたホストロジック（３０）とを具備し、ホストロジック（３０）は、無線送受信機（３４、４８）を通して、非対称暗号化を使用して無線局（２４）に対称暗号化キーを無線で提供する。
【選択図】図２

Description

本発明は、認証された無線局に暗号化キーを無線で提供するアクセスポイントに関する。

無線ネットワークは、一般に、１つまたは複数の無線デバイス（無線「局」とも呼ぶ）が無線で通信することができる１つまたは複数の「アクセスポイント」を含む。
アクセスポイントおよび無線局はアンテナを有し、それによってアクセスポイントおよびデバイスは、互いに無線で通信することができる。
各アクセスポイントはまた、通常、ネットワークケーブル（たとえば、ＣＡＴ−５ケーブル）へ、したがってサーバ、記憶デバイスおよびプリンタ等のさまざまな機器への有線接続も有する。
無線ネットワークを、暗号化通信に対して構成することができ、または非暗号化通信に対して構成することができる。
暗号化通信に対して構成する場合、非常に長い、外見上任意の暗号化キーを、アクセスポイントおよび無線局にプログラムする。
無線ネットワークにおいて暗号化通信に対して無線局を構成することは、無線局のユーザには厄介である可能性がある。

少なくともいくつかの実施形態によれば、アクセスポイントは、無線送受信機と、無線送受信機に結合されたホストロジックと、を備える。
ホストロジックは、無線局による有線ネットワークへのアクセスを可能にするように適合される。
ホストロジックは、無線送受信機を通して、非対称暗号化を使用して対称暗号化キーを無線局に無線で提供する。

本発明の例示的な実施形態の詳細な説明に対し、ここで、添付図面を参照する。

［表記および命名法］
以下の説明および特許請求の範囲を通して、特定のシステムコンポーネントを指すためにいくつかの用語を使用する。
当業者は理解するように、コンピュータ会社は、１つのコンポーネントを異なる名称で呼ぶ場合がある。
この文書は、名称は異なるが機能は異ならないコンポーネントを識別することを意図していない。
以下の考察においてかつ特許請求の範囲において、「含む（including）」および「具備する、備える（comprising）」という用語は、限定的でない（open-ended）ように使用されており、そのため、「含むが、それに限定されない」を意味するように解釈されなければならない。
また、「結合する（couple）」という用語は、間接的な電気接続または直接的な電気接続のいずれかを意味するように意図される。
このため、第１のデバイスが第２のデバイスに結合する場合、その接続は、直接的な電気接続によってもよく、または他のデバイスおよび接続を介して間接的な電気接続によってもよい。

［詳細な説明］
図１を参照すると、無線ネットワーク２０は、１つまたは複数の無線局（「ＷＳＴＡ」）２４が無線で通信する１つまたは複数のアクセスポイント２２（簡単のために１つしか示さないが）を含む。
各ＷＳＴＡ２４は、デスクトップコンピュータ、ノートブック、ハンドヘルドコンピュータおよび携帯情報端末（「ＰＤＡ」）を含むポータブルコンピュータ、または無線ネットワークに無線でアクセスすることができる他の任意のタイプのデバイス等のコンピュータを含む。
アクセスポイント（「ＡＰ」）２２は、サーバ２５と、記憶デバイスおよびプリンタ等の他のタイプのデバイス（特に示さず）と、を含んでもよい有線ネットワークに対する有線接続２３を有する。
ＷＳＴＡ２４は、ＡＰ２２を介して、さまざまな有線ネットワークデバイス（たとえば、サーバ２５）にアクセスすることができる。
無線ネットワークを、任意の所望の標準プロトコルまたはカスタマイズされたプロトコルに従って実施してもよい。
適当な規格の一例は、適用可能なＩＥＥＥ８０２．１１無線規格のうちの１つまたは複数を含む。

ＡＰ２２およびＷＳＴＡ２４は、互いとの暗号化通信または非暗号化通信が可能である。
暗号化は、対称であっても非対称であってもよい。
対称暗号化の場合、各デバイスに、メッセージを暗号化し解読するために同じ暗号化キーが与えられる。
２つのデバイス（たとえば、ＡＰ２２およびＷＳＴＡ２４）は、互いの間で両方向に送信されるメッセージに対して対称暗号化を採用してもよく、かかるデバイスはそれぞれ、他のデバイスと同じ暗号化／解読キーを使用する。
対称暗号化の一例は、Wired Equivalent Privacy（「ＷＥＰ」）プロトコルである。
実施形態によっては、対称暗号化プロトコルは、実施される無線規格で指定されるプロトコルである。
たとえば、ＩＥＥＥ８０２．１１規格は、ＷＥＰプロトコルの使用を指定し、したがって、無線ネットワーク２０において無線規格に対し８０２．１１が使用される場合、対称暗号化プロトコルに対してＷＥＰプロトコルが使用される。

対称暗号化は非対称暗号化とは異なり、２つの鍵を使用する。
すなわち、１つの鍵はメッセージを暗号化するためのものであり、もう１つの鍵はメッセージを解読するためのものである。
非対称暗号化の一例は、セキュア・ソケット・レイヤー（Secure Socket Layer）（「ＳＳＬ」）またはプリティ・グッド・プライバシー（Pretty Good Privacy）（「ＰＧＰ」）プロトコル等の公開鍵／秘密鍵プロトコルである。
公開鍵／秘密鍵暗号化プロトコルでは、公開鍵はすべての人に対して既知でありまたは他の方法で入手可能であり、秘密鍵は、メッセージの受信者に対してのみ既知である。
ＷＳＴＡ２４は、ＡＰ２２に非対称に暗号化されたメッセージを送信する場合、ＡＰ２２に関連する公開鍵を使用してメッセージを暗号化する。
そして、ＡＰ２２は、秘密鍵を使用してメッセージを解読する。
公開鍵／秘密鍵プロトコルでは、公開鍵および秘密鍵は、メッセージを暗号化するためにはその公開鍵しか使用することができず、メッセージを解読するためには対応する秘密鍵しか使用することができないように、互いに数学的に関連する。

図２は、アクセスポイント２２の例示的な実施形態を示す。
図示するように、アクセスポイント２２は、ホスト３０、媒体アクセス制御モジュール（「ＭＡＣ」）３２および物理モジュール（「ＰＨＹ」）３４を備える。
ＰＨＹ３４は、ラジオトランシーバ等の無線送受信機を備え、１つまたは複数のアンテナ４８が接続されることにより、他の無線対応デバイスとの無線通信が可能になる。
ＭＡＣ３２は、共有無線チャネルへのアクセスを調整し無線媒体にわたる通信を向上させるプロトコルを使用することにより、アクセスポイント２２とＷＳＴＡ２４との間の通信を管理しかつ維持する。
ホスト３０は、ＭＡＣ３２によって提供されるサービスを使用して、無線媒体による通信を実現する。
ホストはまた、有線ネットワークインタフェース３５にも接続される。
このインタフェース３５を使用することにより、アクセスポイント２２のホスト３０はまた、上述したサーバ、プリンタおよび記憶デバイス等の有線ネットワーク機器へのアクセスも提供する。
ホストは、別個の有線ネットワークおよび無線ネットワークを接続するパケット転送またはルーティングメカニズムを提供する。

さらに図２を参照すると、アクセスポイント２２は、ホスト３０の一部として実施してもよい中央処理装置（「ＣＰＵ」）３６を備える。
ＣＰＵ３６は、管理ソフトウェア３８等の種々の実行可能コードを実行するように適合される。
管理ソフトウェア３８は、ウェブベースアプリケーションとして動作し、概して、アクセスポイント２２を管理しアクセスポイント２２がリモートに構成されるのを可能にする。
アクセスポイントを、ケーブルによりホスト３０に関連するポート３１に接続されるコンピュータ等のデバイスを介して構成することができる。
他の実施形態では、アクセスポイント２２を、適当に許可されたＷＳＴＡ２４によってアクセスポイントとＷＳＴＡとの間の無線通信を介して構成する。
許可されたＷＳＴＡ２４は、対称暗号化キーがアクセスポイント２２に格納された対称暗号化キーと一致するＷＳＴＡであり、実施される場合、アクセスポイントのＭＡＣ制限（後述する）は、ＷＳＴＡによる通信を可能にする。

管理ソフトウェア３８は、ＣＰＵ３６により、アクセスポイント２２が望まれるように構成されるのを可能にするように実行される。
構成アクティビティの例には、アクセスポイントにおいて暗号化キー（複数可）をロードしまたは変更すること、およびアクセスポイントを介して有線ネットワークにアクセスすることが許可されるＷＳＴＡ２４の１つまたは複数のＭＡＣアドレスを用いてアクセスポイントをプログラムすることが含まれる。

アクセスポイント２２におけるＭＡＣ３２は、ＷＥＰプロトコルまたは他の対称暗号化プロトコルに従って実施してもよい１つまたは複数の対称暗号化キー４０を含む。
ＭＡＣはまた、１つまたは複数の許容可能なＭＡＣアドレス４２に対する記憶装置を有してもよい。
アドレス４２は、無線ネットワーク２０にアクセスすることが許可されるＷＳＴＡ２４に対応する。
許容可能なＭＡＣアドレスを、管理ソフトウェア３８を介してアクセスポイント２２のＭＡＣ３２に格納してもよい。

図３は、ＷＳＴＡ２４の例示的な実施形態を示す。
ＷＳＴＡ２４は、図示するように互いに結合されるホスト５０、ＭＡＣ５２およびＰＨＹ５４を備える。
アンテナ５６は、ＰＨＹ５４に接続する。
ＨＯＳＴ５０は、上述したようなノートブックコンピュータまたは他のタイプの無線対応携帯電子機器を含むロジックの少なくとも一部を表してもよい。
したがって、ホスト５０は、ＣＰＵ、メモリ、オペレーティングシステムおよびさまざまなソフトウェアアプリケーションを有してもよい。
ホスト５０は、ＷＳＴＡ２４が管理ソフトウェア３８にアクセスしそれを実行するのを可能にするウェブインタフェース５８を備えてもよい。
ＷＳＴＡ２４のＭＡＣ５２は、１つまたは複数の暗号化キーのための記憶装置６０を有する。

アクセスポイント２２およびＷＳＴＡ２４は、複数の無線通信チャネルのうちの任意のものを介して互いに通信することができる。
たとえば、ＩＥＥＥ８０２．１１ｂ規格は、２４００ＭＨｚから２４８３．５ＭＨｚのスペクトルで１１チャネルを指定する。
望まれるように、個々のチャネルによる通信は、暗号化であっても非暗号化であってもよい。
本開示では、対称暗号化プロトコルを使用して通信が暗号化されるチャネルを、「セキュア」チャネルと呼ぶ。
セキュアチャネルでは、ＡＰ２２およびＷＳＴＡ２４等の通信デバイスは、各々対称暗号化キーを有する。
各デバイスは、その対称暗号化キーを使用して、別のデバイスに送信されかつ別のデバイスから受信される通信パケットを暗号化し解読する。
セキュアなチャネルもあれば、セキュアでないチャネルがあってもよい。
本発明の例示的な実施形態によれば、ＡＰ２２に関連する少なくとも１つのチャネルはセキュアではない。
実施形態によっては、２つ以上のチャネルがセキュアではない。
非対称暗号化もまた使用してもよく、セキュアチャネルと非セキュアチャネルとの両方において使用してもよい。
非対称暗号化の例示的な使用は、後に説明するように、ＷＳＴＡ２４に、非セキュアチャネルにおいて対称暗号化キーを提供する、というものである。

ＷＳＴＡ２４が、サーバ２５によって提供される任意のサービス等のネットワークサービスにアクセスするために、ＷＳＴＡ２４と、ＷＳＴＡがネットワークサービスへのアクセスを取得する際に用いるＡＰ２２とは、セキュアチャネル（すなわち、対称暗号化を採用するチャネル）により通信する。
セキュアチャネルでネットワークサービスへのアクセスを許可することにより、無許可のエンティティが有線ネットワークにアクセスするかまたはそのネットワークに関連するデータを無線で受信することができる可能性が低減する。
ＷＳＴＡ２４は、ＡＰによって使用されるものと同じ対称暗号化キーを用いてプログラムされる場合、セキュアチャネルにおいてそのＡＰ２２と通信することができる。
ネットワーク管理者または他の適当な人は、ＡＰ２２を、所望の対称暗号化キーを用いてプログラムする。
ＡＰ２２に接続された入出力デバイスにより管理ソフトウェア３８を実行することによって、対称暗号化キーをＡＰ２２にプログラムしてもよい。
たとえば、ネットワーク管理者は、ラップトップコンピュータをＡＰのポート３１に接続し、管理ソフトウェア３８がポート３１を介して実行されるようにしてもよい。
管理ソフトウェア３８の少なくとも１つの特徴は、１つまたは複数の対称暗号化キーをＡＰ２２に構成することができるということである。

しかしながら、ＷＳＴＡ２４は、正確な対称暗号化キーを用いてプログラムされない場合があり、あるいはいかなる対称暗号化キーをも用いてプログラムされない場合もある。
本発明の例示的な実施形態は、正確な対称暗号化キー（複数可）を用いてＷＳＴＡを構成することを容易にする。
以下の考察はこのプロセスについて説明する。

ＷＳＴＡ２４は、最初に無線ネットワーク２０に関連付けするように試みる時、無線ネットワーク２０で使用するために適当な対称暗号化キーを有していない場合がある。
図４は、ＡＰ２２がＷＳＴＡ２４に１つまたは複数の対称暗号化キーを提供することにより、セキュアチャネルでのＷＳＴＡ２４の無線ネットワークに対するアクセスを許可する方法１００を示す。
実施形態によっては、方法１００を実行する前に、ＷＳＴＡ２４またはＷＳＴＡ２４のユーザは、無線ネットワーク２０へのアクセスが許可される。
許可を得ることには、任意の適当な技法が含まれていてもよい。
たとえば、ＷＳＴＡのユーザに対し、クレジットカード番号を提供するように要求してもよく、それが確認されると、ユーザに対し無線ネットワーク２０を使用することが許可される。
この種の許可方式は、たとえば、手数料を徴収して無線ネットワークへのアクセスを提供する公共機関において適当である場合がある。
別法として、ＷＳＴＡ２４のユーザに対し、無線ネットワーク２０によって認証される正しいユーザ名およびパスワードを入力するように要求してもよい。
アクセスポイント２２は、ＷＳＴＡ許可を実行しまたはそれが実行されるようにする。

許可が得られると、ＷＳＴＡ２４は、セキュアチャネルを介して無線ネットワークと通信するために正確な対称暗号化キーを必要とする。
方法１００のブロック１０２において、ＷＳＴＡは、ＡＰ２２に関連付けするように試みる。
この行為は、正確な対称暗号化キー（すなわち、ＡＰによってもまた使用される対称暗号化キー）を使用することなく行われる。
関連付けプロセスは、種々の関連付け技法のうちの任意のものに従っていてもよい。
ＷＳＴＡは、たとえば、任意のＡＰに対し存在する場合は応答するように要求するメッセージを送信してもよい。
この要求には、ＷＳＴＡのＭＡＣアドレスが含まれていてもよい。
ＡＰは、ＷＳＴＡ２４の通信範囲内にある場合、非セキュアチャネルによりＡＰのＭＡＣアドレスと関連付けする試みに応答する（ブロック１０４）。
ＡＰは、２つ以上の非セキュアチャネルを有する場合、かかる非セキュアチャネルのうちの任意のものまたはすべてによって応答してもよい。
この時点で、ＡＰは、一般に、セキュアチャネルを介して関連付けの試みに応答しない。
ＷＳＴＡ２４は、１つのＡＰが近くにある場合は１つの応答メッセージを受け取る可能性があり、または２つ以上のＡＰが近くにある場合は２つ以上の応答メッセージを受け取る可能性がある。
応答するＡＰのリストは、ＷＳＴＡに結合されたディスプレイに表示される。
１つのＡＰのみが応答する場合、ＷＳＴＡ２４のユーザは、関連付けするその１つのＡＰを選択する（ブロック１０６）。
２つ以上のＡＰが応答する場合は、ユーザは、リストにおける関連付けする任意の所望のＡＰを選択することができる。

ＷＳＴＡ２４が、セキュアチャネルにより無線ネットワークにアクセスすることに対し適当に許可された場合、ブロック１０８において、ＡＰは、非セキュアチャネルにより適当な暗号化キーを許可されたＷＳＴＡに送信する。
対称暗号化キーのセキュリティは、非対称暗号化プロトコルを使用して対称暗号化キーを暗号化することによって保証される。
望ましい場合、２つ以上の暗号化キーをＷＳＴＡ２４に送信してもよい。
ブロック１１０において、ＷＳＴＡは、ＡＰによって提供される対称暗号化キー（複数可）を使用してＡＰ２２に対する対称的に暗号化された通信を可能にする。
そして、ＷＳＴＡおよびＡＰは、対称暗号化キー（複数可）を使用してセキュアチャネルにより対称的に暗号化された通信を開始することができる（ブロック１１２）。
セキュア通信を開始するためには、ＷＳＴＡが、この場合は対称暗号化キー（複数可）を使用して、上述したようなＡＰ２２の新たな一連の発見を開始する必要のある場合がある。
同じ対称暗号化キーを有するＡＰ（恐らくは、少なくとも、ブロック１０８においてＷＳＴＡに暗号化キーを提供したＡＰとなる）は、ＷＳＴＡの関連付けしようという試みに応答する。

ＷＳＴＡ２４の観点から、セキュアチャネルと非セキュアチャネルとをともに有するＡＰ２２は、論理的に２つの別個のＡＰとして見えることになる。
すなわち、１つのＡＰはセキュア通信に対するものであり、もう１つのＡＰは非セキュア通信に対するものである。
非セキュアチャネルによって通信する場合、ＡＰ２２は、ＷＳＴＡ２４が有線ネットワークで通信することを許可しない。
非セキュアチャネルは、上述したようなネットワークで利用可能な１つまたは複数の他のデバイスおよびサービスへのアクセスを提供するためではなく、セキュアチャネルを構成する目的のために、アクセスポイント２２との通信を許可する。
他の実施形態では、物理的に別個のＡＰを提供してもよく、いくつかのＡＰは、許可されたＷＳＴＡ２４に対して他のＡＰに対するセキュアチャネルでの通信のために暗号化キーを提供する目的のみのために、非セキュア通信に対して構成される。

少なくともいくつかの実施形態では、各ＡＰを、許容可能なＷＳＴＡ ＭＡＣアドレス４２のリストを用いてプログラムしてもよい。
たとえば、ネットワーク管理者は、許可されたＷＳＴＡ２４のＭＡＣアドレスを、ＡＰ２２の許容可能なアドレス記憶装置４２にプログラムしてもよい。
ＡＰ２２は、発見プロセス中にＭＡＣアドレスがＡＰに提供されるＷＳＴＡ２４に対し、そのＷＳＴＡのＭＡＣアドレスが許容可能なアドレス４２のエントリに一致しない場合、無線ネットワーク２０へのアクセスを許可しない。
実施形態によっては、ＷＳＴＡが許可される場合であっても、ＷＳＴＡのＭＡＣアドレスが許容可能アドレス４２のアドレスに一致しない場合、ＷＳＴＡ２４に対し対称暗号化キーを提供しない。

上記考察は、本発明の原理およびさまざまな実施形態を例示するものであることが意図されている。
当業者には、上記開示が完全に理解されると、多数の変形および変更が明らかとなろう。
以下の特許請求の範囲は、かかる変形および変更のすべてを包含するように解釈されることが意図されている。

１つまたは複数のアクセスポイントおよび１つまたは複数の無線局を含む無線ネットワークの例示的な実施形態を示す図である。 無線局の例示的な実施形態を示す図である。 アクセスポイントの例示的な実施形態を示す図である。 無線局に暗号化キーを提供する例示的な方法を示す図である。

符号の説明

２５・・・サーバ，
３０・・・ホスト，
３８・・・管理ソフトウェア，
４０・・・暗号化キー，
４２・・・許容可能ＭＡＣアドレス，
５０・・・ホスト，
６０・・・暗号化キー，

Claims (10)

1. 無線送受信機（３４、４８）と、
   前記無線送受信機（３４、４８）に結合され、無線局（２４）による有線ネットワーク（２３）へのアクセスを可能にするように適合されたホストロジック（３０）と、
   を具備し、
   前記ホストロジック（３０）は、前記無線送受信機（３４、４８）を通して、非対称暗号化を使用して前記無線局（２４）に対称暗号化キーを無線で提供する
   アクセスポイント（２２）。
2. 前記ホストロジック（３０）は、前記対称暗号化キーを使用して、前記無線局（２４）と通信する
   請求項１に記載のアクセスポイント。
3. 前記ホストロジック（３０）は、前記無線局（２４）が前記有線ネットワーク（２３）へのアクセスに対して認証された後に、前記無線局（２４）に対し前記対称暗号化キーを提供する
   請求項１に記載のアクセスポイント。
4. 前記ホストロジック（３０）は、前記無線局（２４）が対称暗号化を使用していない場合に、対称暗号化を使用するように構成されていないチャネルにより、前記無線局（２４）に関連付けする試みに対して応答する
   請求項１に記載のアクセスポイント。
5. 前記ホストロジック（３０）は、前記無線局（２４）が前記対称暗号化を使用している場合に、対称的に暗号化された通信を使用するように構成されたチャネルにより、関連付けする試みに対して応答する
   請求項１に記載のアクセスポイント。
6. 前記非対称暗号化は、
   公開鍵／秘密鍵暗号化プロトコル
   を含む
   請求項１に記載のアクセスポイント。
7. 無線局（２４）が認証される場合に、非対称に暗号化された対称暗号化キーをアクセスポイント（２２）から前記無線局（２４）に無線で送信すること（１０８）と、
   前記無線局（２４）を、前記対称暗号化キーを用いてプログラムすること（１１０）と、
   前記対称暗号化キーを使用して、前記無線局（２４）と前記アクセスポイント（２２）との間の無線通信を確立することと（１１２）
   を含む方法。
8. 前記無線局（２４）によって提供されるアドレスを、前記アクセスポイント（２２）に関連する許容可能アドレスのリストと比較することと
   前記無線局（２４）によって提供される前記アドレスが、前記許容可能アドレスリストのアドレスと一致する場合にのみ、前記対称暗号化キーを、前記無線局（２４）に無線で送信すること
   をさらに含む請求項７に記載の方法。
9. 前記非対称に暗号化された対称暗号化キーを、前記無線局（２４）に、無線で送信する前に、前記無線局（２４）を認証すること
   をさらに含む、請求項７に記載の方法。
10. 前記対称暗号化キーを、非対称に暗号化すること
    をさらに含む請求項７に記載の方法。

Images