[go: up one dir, main page]

JP2007194848A - 無線ｌａｎシステムの移動無線端末認証方法 - Google Patents

無線ｌａｎシステムの移動無線端末認証方法 Download PDF

Info

Publication number
JP2007194848A
JP2007194848A JP2006010311A JP2006010311A JP2007194848A JP 2007194848 A JP2007194848 A JP 2007194848A JP 2006010311 A JP2006010311 A JP 2006010311A JP 2006010311 A JP2006010311 A JP 2006010311A JP 2007194848 A JP2007194848 A JP 2007194848A
Authority
JP
Japan
Prior art keywords
wireless terminal
access router
access point
access
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2006010311A
Other languages
English (en)
Inventor
Biran Okazaki
美蘭 岡崎
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Priority to JP2006010311A priority Critical patent/JP2007194848A/ja
Publication of JP2007194848A publication Critical patent/JP2007194848A/ja
Pending legal-status Critical Current

Links

Images

Landscapes

  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

【課題】移動する無線端末の認証をより高速に且つ安全に管理できる無線ＬＡＮシステムの移動無線端末認証方法を提供する。
【解決手段】無線端末(MS)１０１が、移動先の第２のアクセスポイント(AP2)５３に接続する前に、現在接続している第１のアクセスポイント(AP1)５２の第１のアクセスルータ(PAR)４２へ事前認証を要求して完了させて、第１のアクセスルータ(PAR)４１から第２のアクセスルータ(NAR)へのＩＰトンネルを用いて、事前共有鍵に基づき認証済みの無線端末(MS)のセッション情報を第２のアクセスルータ(NAR)へ転送して、無線端末(MS)が、移動先の第２のアクセスポイント(AP2)５３に移動した際には、先のセッション情報を用いて、第２のアクセスルータ(NAR)４２との相互認証を行う。
【選択図】 図１

Description

本発明は、移動通信ネットワークを構成する無線ＬＡＮシステム上を移動する無線端末のアクセス認証方法に関するものであり、特に無線端末の認証サーバへの高速認証及び移動に伴う端末の認証を高速かつ安全に行うことができる無線ＬＡＮシステムの移動無線端末認証方法に関するものである。
現在、ユビキタスネットワークを確立する際のアクセス網として飛躍的な発展を続けている高速無線ＬＡＮ(ＷＬＡＮ)が注目を集めている。しかし、無線ＬＡＮには、人間がネットワークを意識しないような環境で情報を送受、蓄積し、必要なときにそれらの情報を利用できるという特性上、個人のプライバシーを十分保護し、安全な情報交換を保証できるセキュリティのソリューションが非常に重要な課題となる。
そこで、従来、無線ＬＡＮなどの移動通信ネットワーク上にある無線端末(MS)の認証方法として、グローバルネットワーク側に認証サーバ(AS)を用意し、ユーザ毎にパスワード及び証明書などを用いて認証する方法が提案されている。この方法においては、無線端末(MS)がアクセスポイント(AP)に認証を要求すると、アクセスポイント(AP)は、認証サーバ(AS)にその要求を伝え無線端末(MS)と認証サーバ(AS)間での認証が成功すると無線端末(MS)とアクセスポイント(AP)との間にセキュア・セッションが張られる（例えば、非特許文献１参照）。
図７は従来の無線ＬＡＮにおける802.1X/EAP(Extensible Authentication Protocol)認証手順を説明するタイミングチャートである。図７にそって従来の無線ＬＡＮにおける動作を説明する。
１．無線端末(MS)＝アクセスポイント(AP)間の接続（802.11無線リンク接続）
まず、無線端末(MS)は、接続可能な電波のアクセスポイント(AP)を発見し、802.11無線リンク接続を行う。ここで、無線端末(MS)とアクセスポイント(AP)の802.11本来の認証は空であり、無線端末(MS)が認証サーバ(AS)とにより実施可能な認証プロトコル（EAP：Extensible Authentication Protocol）によりユーザ認証方法が決められる。
２．無線端末(MS)＝認証サーバ(AS)間の接続
（認証サーバ(AS)による無線端末(MS)の認証）
次に、１．にて決めたユーザ認証方法により認証が行われる。ここではアクセスポイント(AP)はパススルーされる。認証が成功すると無線端末(MS)と認証サーバ(AS)との間で共通鍵(MSK：Master Session Key)が生成される。
３．無線端末(MS)＝アクセスポイント(AP)間の接続（暗号鍵の生成）
次いで、２．にて認証が成功すると、認証サーバ(AS)は、共通鍵(MSK)をアクセスポイント(AP)に渡し、アクセスポイント(AP)と無線端末(MS)は、その共通鍵を用いてデータ暗号通信のための暗号鍵を生成する。
４．無線端末(MS)＝アクセスポイント(AP)間の接続（セキュア・アソシエーション確立） さらに、無線端末(MS)は、ＤＨＣＰ(Dynamic Host Configuration Protocol)によるＩＰアドレスを取得する。
５．無線端末(MS)＝アクセスポイント(AP)間の接続（データ暗号通信開始）
その後、無線端末(MS)は、暗号アルゴリズムによるデータ暗号通信を開始する。
無線ＬＡＮにおける移動端末が単一アクセスポイント(AP)の領域(ＢＳＳ：Basic Service Set)内で移動する場合は特にハンドオフが必要ないが、同一の拡張サービスセット(ＥＳＳ：Extended Service Set)内に位置するアクセスポイント(AP)間を移動する場合はハンドオフが必要である。また、異なるＥＳＳ内に位置するアクセスポイント(AP)間を移動する場合もハンドオフが必要である。
このようなハンドオフが必要な移動端末(MS)の移動時における移動端末(MS)の認証には、認証済みの無線端末(MS)がこの移動により接続先のアクセスポイント(AP)が変ったとき、移動先における新たなアクセスポイント(AP)に接続するために、上記の認証手順を再度行わなければならない。従って、多くのメッセージ交換による遅延が生じ、通信の中断が起きる可能性があり、シームレスサービスを提供できないという課題がある。このような通信の中断の問題は、ボイスオーバーＩＰ(VoIP)やストリーミングのような滑らかな動作及びサービス品質(QoS)を保証しなければならないリアルタイムアプリケーションにとっては大きな問題となる。
一方、モバイルIPv6環境下で頻繁に移動する移動端末(MN)が、ＩＰ接続手順の遅延を短くする高速ハンドオーバを実現するためのプロトコルとして、従来、ＩＥＴＦ(Internet Engineering Task Force)のドラフト資料であるFMIPv6（Fast Handover for Mobile IPv6）が提案されている。図８はこの高速ハンドオーバの接続手順を示すタイミングチャートである。図８にそって動作を説明する。項番は図８中の番号に対応している。
（１）まず、移動端末(MN)は新たに検知したアクセスポイント(AP2)の情報(LLA, AP-ID)を用いて近隣ルータ探索の問い合わせを出す。
（２）次に、アクセスルータ(PAR)はアクセスポイント(AP2)の情報を元にそのアクセスポイント(AP)が接続されているアクセスルータ(NAR)の情報[AP-ID,AR-Info]を移動端末(MN)に通知する。
（３）移動端末(MN)はここで得られたアクセスルータ(NAR)のネットワークプレフィクスを用いて移動後に用いる気付けアドレス(NCoA：New Care-of Address)を導出し、それをアクセスルータ(PAR)に伝える。アクセスルータ(PAR)は移動端末(MN)の移動中に、移動前のアドレス(PCoA)に送られたパケットを移動後のアドレス(NCoA)に転送するためのトンネルを生成する。
（４）移動端末(MN)が導出したアドレス(NCoA)が利用可能であるかをアクセスルータ(NAR)に問い合わせるメッセージを出す。
（５）アクセスルータ(NAR)は、アドレス(NCoA)が利用可能かどうかを調べ、アクセスルータ(PAR)にアドレス(NCoA)の利用可否と利用可能でなければ代替アドレスを送るメッセージを出す。
（６）アクセスルータ(PAR)は、移動端末(MN)とアクセスルータ(NAR)にバインディング(PCoA/NCoA)応答メッセージを送りハンドオーバの準備を行う。
（７）移動端末(MN)は、アクセスルータ(PAR)から離れアクセスルータ(NAR)に接続し、パケット転送の要求を行う。
このプロトコルにおいては、移動端末(MN)が、移動元の無線リンク情報と移動先の無線リンク情報(例えば、無線ＬＡＮの場合はスキャン(scan))との両方を受けることができるエリアにおいて、移動元で接続しているアクセスルータ(Previous Access Router：アクセスルータ(PAR))から、移動先と予想される位置のアクセスルータ(Next Access Router：アクセスルータ(NAR))に新しいアクセスポイント(AP)の検知を要求するところから始まる。そして移動先の気付けアドレス(NCoA：New Care-of Address)を生成し、アクセスルータ(PAR)とアクセスルータ(NAR)と間に双方向のＩＰトンネルを確立することで、移動後にアクセスルータ(PAR)の移動前のアドレス(PCoA：Previous Care-of Address)に届くパケットをアクセスルータ(NAR)の移動後のアドレス(NCoA)に転送することができ、通信の中断が短くなると共にパケットロースも減らせることができる（例えば、非特許文献２参照）。
Aboba, B., Blunk, L., Vollbrecht, J., Carlson, J. and H. Levkowetz, "Extensible Authentication Protocol (EAP)" RFC 3748, June 2004. FMIPv6：Fast Handovers for Mobile IPv6, RFC4068, IETF
以上のように従来の認証方法においては、認証済みの無線端末(MS)が移動によって接続先のアクセスポイント(AP)が変ったとき、新しいアクセスポイント(AP)へのセキュア・セッションを確立するために、上記の認証手順を再度行わなければならないので、遅延により通信の中断が起きる可能性があり、シームレスサービスを提供できないといった未解決の問題がある。
本発明は上記のような問題点を解決するためになされたもので、移動通信ネットワークにおける認証システムを構築する際、移動する無線端末の端末認証をより高速にかつ安全に提供できる無線ＬＡＮシステムの移動無線端末認証方法を提供することを目的とする。
上述した問題を解決し、目的を達成するために、本発明に係る無線ＬＡＮシステムの移動無線端末認証方法は、無線ＬＡＮシステムにおいて、第１のアクセスルータ(PAR)の配下の第１のアクセスポイント(APi)に接続する無線端末(MS)が、第２のアクセスルータ(NAR)の配下の第２のアクセスポイント(APj)に移動する場合の無線端末(MS)の認証方法であって、
（１）無線端末(MS)が、移動先の第２のアクセスポイント(APj)に接続する前に、現在接続している第１のアクセスポイント(APi)の第１のアクセスルータ(PAR)へ事前認証を要求して該認証を完了させて、
（２）第１のアクセスルータ(PAR)から第２のアクセスルータ(NAR)へのＩＰトンネルを確立して、
（３）ＩＰトンネルを用いて、事前共有鍵に基づき認証済みの無線端末(MS)のセッション情報を第２のアクセスルータ(NAR)へ転送して、
（４）無線端末(MS)が、移動先の第２のアクセスポイント(APj)に移動した際には、セッション情報を用いて、第２のアクセスポイント(APj)の第２のアクセスルータ(NAR)との相互認証を行うことを特徴とする。
また、第１のＬＡＮセグメントの第１のアクセスルータ(PAR)の配下の第１のアクセスポイント(APi)にて認証済みの無線端末(MS)が、第２のＬＡＮセグメントの第２のアクセスルータ(NAR)の配下の第２のアクセスポイント(APj)に移動する場合には、無線端末(MS)が第１のアクセスルータ(PAR)に接続している間に、ハンドオーバの接続手順を用いて、事前認証が行われ、第１のアクセスルータ(PAR)での無線端末(MS)の事前認証情報、移動先アクセスルータ(NAR)情報および移動先ＩＰアドレスが導出さられ、これら情報に基づいてトンネルが張られることを特徴とする。
さらに、第１のＬＡＮセグメントの第１のアクセスルータ(PAR)の配下の第１のアクセスポイント(APi)にて認証済みの無線端末(MS)が、第２のＬＡＮセグメントの第２のアクセスルータ(NAR)の配下の第２のアクセスポイント(APj)に移動する場合には、無線端末(MS)は、近隣ルータ探索メッセージを、第１のアクセスポイント(APi)に送信することにより、第２のアクセスポイント(APj)を管理する第２のアクセスルータ(NAR)を探索することを特徴とする。
さらにまた、無線端末(MS)は、移動先ＩＰアドレスを第１のアクセスルータ(PAR)に伝えるためのメッセージに、セッション情報も含めて送り、第１のアクセスルータ(PAR)は、セッション情報を用いて無線端末(MS)の認証を行うことを特徴とする。
また、第１のアクセスルータ(PAR)に接続していた無線端末(MS)が、第２のアクセスルータ(NAR)へのハンドオーバの応答を受け取る前に、第１のアクセスルータ(PAR)の接続から離れてアクセスルータ(NAR)に進んだ際に、第２のアクセスルータ(NAR)は、第２のアクセスルータ(NAR)から第１のアクセスルータ(PAR)へのトンネルを介して無線端末(MS)の認証を行うことを特徴とする。
さらに、第２のアクセスポイント(APj)に接続した無線端末(MS)は、ＩＰアドレス(NCoA)が使用できるか否かを確認するためのメッセージにセッション情報も含めて第２のアクセスルータ(NAR)に送り、第２のアクセスルータ(NAR)は、ＩＰアドレス(NCoA)が使用できるか否かを確認した後、メッセージを第１のアクセスルータ(PAR)に送り、第１のアクセスルータ(PAR)は、セッション情報を用いて無線端末(MS)の認証を行うことを特徴とする。
さらにまた、本発明に係る他の無線ＬＡＮシステムの移動無線端末認証方法は、無線ＬＡＮシステムにおいて、第１のアクセスポイント(APi)に接続する無線端末(MS)が同一のアクセスルータ(PAR)の配下の第２アクセスポイント(APj)に移動する場合の無線端末(MS)の認証方法であって、
（１）無線端末(MS)が、移動先の第２のアクセスポイント(APj)に接続する前に、現在接続している第１のアクセスポイント(APi)の第１のアクセスルータ(PAR)へ事前認証を要求して該認証を完了させて、
（２）第１のアクセスルータ(PAR)は、事前共有鍵に基づき認証済みの無線端末(MS)のセッション情報を第２のアクセスポイント(APj)に送り、
（３）無線端末(MS)が、移動先の第２のアクセスポイント(APj)に移動した際には、セッション情報を用いて、第２のアクセスポイント(APj)との相互認証を行うことを特徴とする。
この発明によれば、第１のアクセスルータ(PAR)から第２のアクセスルータ(NAR)へのＩＰトンネルを確立して、事前共有鍵に基づき認証済みの無線端末(MS)のセッション情報を第２のアクセスルータ(NAR)へ転送しておき、無線端末(MS)が、移動先の第２のアクセスポイント(APj)に移動した際には、セッション情報を用いて、第２のアクセスポイント(APj)の第２のアクセスルータ(NAR)との相互認証を行うので、移動前に第１のアクセスルータ(PAR)との第２のアクセスルータ(NAR)との間のトンネルを用いてセッション認証情報を転送すると共に事前認証を行うことができ、移動先で改めて認証サーバ(AS)への認証を行わないので、通信中断の時間が短くなりよりシームレスサービスを実現することができる。そして、移動する無線端末の端末認証をより高速にかつ安全に提供することができる。
以下、本発明に係る無線ＬＡＮシステムのユーザ認証方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。
実施の形態１．
図１は本発明に係る無線ＬＡＮシステムのユーザ認証方法を適用可能とするネットワークシステムのシステム構成を表すシステムブロック図である。図１において、ネットワークは、無線端末(MS)１０１がネットワークに接続することができるリンク接続を提供する４つのアクセスポイント(AP)５１〜５４と、この４つのアクセスポイントのうちアクセスポイント(AP1,AP2)５２，５３の電波によってネットワーク接続を行う無線ＬＡＮ６１，６２と、アクセスポイント(AP,AP1)５１，５２をネットワークへ接続する第１のアクセスルータ（PAR）４１と、アクセスポイント(AP2,AP)５３，５４をネットワークへ接続する第２のアクセスルータ（NAR）４２と、無線端末(MS)１０１を認証する認証サーバ(AS：Authentication Server)２１とを含んでいる。
本実施の形態の事前共有鍵による事前認証方法の概念を説明する。現在第１のアクセスポイント(AP1)に接続していた無線端末（MS)が、第２のアクセスポイント(AP2)に移動する際、第２のアクセスポイント(AP2)に接続する前に、現在接続している第１のアクセスルータ(PAR)へ事前認証要求メッセージを出す。第１のアクセスルータ(PAR)は事前共有鍵による認証方法によって認証済みの無線端末(MS)のセッション情報(ＵID,ＫMU)を保管しており、無線端末(MS)の事前認証をする。
事前認証が終わると、無線端末(MS)が第２のアクセスポイント(AP2)の第２のアクセスルータ(NAR)へ移動する前に、第１のアクセスルータ(PAR)と第２のアクセスルータ(NAR)との間のトンネルを用いてセッション認証情報が転送されると共に事前認証応答メッセージが送られる。これにより、無線端末(MS)は、移動先アクセスポイント(AP2)で改めて認証サーバ(AS)への認証を行うことなくセキュア・セッションの確立をすることができる。
図２は本実施の形態の事前認証手順を示すタイミングチャートである。図２にそって動作を説明する。
(1)無線端末(MS)＝第２のアクセスルータ(AP2)間の接続（無線リンク接続）
まず、無線端末(MS)は、発見した第２のアクセスルータ(AP2)への無線リンク接続を要求し、802.11無線リンク接続を行う。
(2)無線端末(MS)＝アクセスルータ(PAR,NAR)間の接続（事前共有鍵を用いた事前認証）
次に、無線端末(MS)は、第１のアクセスルータ(PAR)への事前認証要求メッセージ(PRE_AUTH_REQ)を現在接続している第１のアクセスポイント(AP1)に出す。このメッセージは認証サーバ(AS)との事前共有鍵で暗号化した無線端末(MS)の識別子情報(ＵID)と無線リンク接続しているアクセスポイント(AP2)の情報を含む。
そして、第１のアクセスポイント(AP1)は、無線端末(MS)の事前認証要求メッセージを第１のアクセスルータ(PAR)に転送する。
第１のアクセスルータ(PAR)は、予めキャッシュ(cache)しておいた認証済み無線端末(MS)の情報に基づき無線端末(MS)を事前認証し、第１のアクセスポイント(AP1)に事前認証完了メッセージ(PRE_AUTH_ACK)を送る。第１のアクセスルータ(PAR)は、同時に第１のアクセスルータ(PAR)と第２のアクセスルータ(NAR)との間のトンネルを用いて第２のアクセスルータ(NAR)に無線端末(MS)の認証情報を転送する目的で事前認証完了メッセージを送る。
第２のアクセスルータ(NAR)は、無線端末(MS)の識別子情報と共有鍵とをキャッシュして置くと共に、第２のアクセスポイント(AP2)に無線端末(MS)の事前認証完了メッセージを送る。
第１のアクセスポイント(AP1)は、無線端末(MS)に事前認証完了メッセージを送る。
第２のアクセスポイント(AP2)は、無線端末(MS)の識別子情報を保存して置く。
無線端末(MS)は、第２のアクセスポイント(AP2)の識別子情報を持つ認証完了メッセージを確認することによって第２のアクセスポイント(AP2)を認証することができる。
(3)無線端末(MS)＝第２のアクセスポイント(AP2)間の接続
（セキュア・アソシエーション確立）
事前認証完了メッセージを受け取った無線端末(MS)は、第２のアクセスポイント(AP2)に暗号通信のためのネットワーク接続を要求する。
第２のアクセスポイント(AP2)は、無線端末(MS)を確認し第２のアクセスルータ(NAR)にデータ暗号化のための鍵配布要求メッセージ(KEY_DIS_REQ)を出す。
第２のアクセスルータ(NAR)は、保管している移動端末無線端末(MS)の認証情報から無線端末(MS)と第２のアクセスポイント(AP2)を確認し、無線端末(MS)の事前共有鍵を取り出し第２のアクセスポイント(AP2)に配布する。
第２のアクセスポイント(AP2)は、無線端末(MS)の事前共有鍵情報を取得し、無線端末(MS)にネットワーク接続応答メッセージ(CONN_ACK)を送る。
(4)無線端末(MS)は、第２のアクセスポイント(AP2)と事前共有鍵を用いてデータ暗号通信を開始する。
以上説明したように、この発明によれば無線端末が現在接続している第１のアクセスルータ(PAR)で認証済みの端末ユーザのセッション情報を持つことによって、あるＬＡＮセグメントの第１のアクセスポイント(AP1)に接続していた無線端末が異なるＬＡＮセグメントの第２のアクセスルータ(NAR)の第２のアクセスポイント(AP2)に移動接続する際、移動前に第１のアクセスルータ(PAR)と第２のアクセスルータ(NAR)との間のトンネルを用いてセッション認証情報を転送して事前認証を行うことができ、移動先で改めて認証サーバ(AS)への認証を行わないので、通信中断の時間が短くなりよりシームレスサービスを実現することができる。また、なお、第１のアクセスルータ(PAR)からのデータパケットを転送してもらうことができ、パケットロースが少ない品質のよいサービスを提供できるという効果が得られる。
実施の形態２．
図３は本発明に係る無線ＬＡＮシステムのユーザ認証方法を適用可能とする分散型コンピュータシステム構成を表すシステムブロック図である。分散型コンピュータシステムは、一つ以上の端末が一つ以上の他の端末と通信するコンピュータ環境であればどのようなものでもよい。本実施の形態のシステムでは、サブネットワーク１１，１２上の無線端末(MS)１０１，２０２がインターネット１を介して端末９とエンド・エンド暗号通信を可能とする環境の例を示す。
サブネットワーク１１は、無線端末(MS)１０１がネットワークに接続することができるリンク接続を提供するアクセスポイント(AP)５１〜５３と、アクセスポイント(AP)５１〜５３の電波によってネットワーク接続を行う無線ＬＡＮ６１〜６３と、アクセスポイント(AP)５１〜５３をグローバルネットワークのインターネット１側へ接続するアクセスルータ（AR）４１〜４３と、無線端末(MS)１０１を認証する認証サーバ(AS)２１とを含む。
一方、このサブネットワーク１１とインターネット１を介して接続するサブネットワーク１２は、無線端末(MS)２０２がネットワークに接続することができるリンク接続を提供するアクセスポイント(AP)５７〜５９と、アクセスポイント(AP)５７〜５９の電波によってネットワーク接続を行う無線ＬＡＮ６４〜６５と、アクセスポイント(AP)５７〜５９をグローバルネットワークのインターネット１側へ接続するアクセスルータ（AR）４４〜４６と、無線端末(MS)２０２を認証する認証サーバ(AS)２５とを含む。
ここで、無線端末(MS)は、無線ＬＡＮカードを実装しておりアクセスポイント(AP)と相互に無線通信を行う。また、アクセスルータ(AR)は、アクセスポイントからのデータを処理し、無線端末(MS)をネットワークに接続し、ネットワークから受信したデータをアクセスポイント(AP)に転送し、アクセスルータ(AR)は、有線ネットワークを介して認証サーバ(AS)サーバと接続されている。
認証サーバ(AS)は、鍵生成機能を持ち無線端末(MS)、アクセスポイント(AP)及びアクセスルータ（AR）との共有鍵を生成し事前に配布しており、それを用いて無線端末(MS)の認証を行う。無線端末(MS)は、認証サーバによって正当なユーザとして認証されたときののみ外部ネットワークにアクセス可能になる。また、同様に事前に鍵を配布したアクセスルータ（AR）を認証し管理する機能を持っている。
アクセスポイント(AP)は、それぞれ無線端末(MS)と固有の通信可能範囲(６１，６２，６３)を持っており、無線端末(MS)から受信したデータを処理し、有線ネットワークのアクセスルータ（AR）へデータを送信する機能とアクセスルータ(AR)から受信したデータを処理し無線端末(MS)に送信する機能を持っている。また認証済みの無線端末(MS)が移動した場合、アクセスルータ(AR)と連携し簡易かつ高速にアクセスポイント(AP)間のハンドオフを行い得るようになっている。
アクセスルータ(AR)は、自分の配下のアクセスポイント(AP)を認証し管理する機能とアクセスポイント(AP)から受信したデータが、自分が管理するアクセスポイント(AP)からのデータであるかを確認する機能と、確認したデータを認証サーバに転送する機能、また、認証済みのユーザのデータを保護するために暗号通信のための鍵を認証サーバ(AS)からもらって配布する機能を持っている。
実施の形態３．（ＥＳＳ間の移動その１）
本実施の形態３は、図３に示された実施の形態２と同様なシステム構成において、あるＬＡＮセグメントの第１のアクセスルータ(PAR)の配下の第１のアクセスポイント(APi)にて認証済みの無線端末(MS)が、他のＬＡＮセグメントの第２のアクセスルータ(NAR)の配下の第２のアクセスポイント(APj)に移動する場合の事前共有鍵を用いた無線端末(MS)の事前認証手順について説明する。ここでは、無線端末(MS)が、第１のアクセスルータ(PAR)に接続している間に第２のアクセスルータ(NAR)へのハンドオーバが進んでトンネルが張られる場合を示す。
図４は本実施の形態の事前認証手順を示すタイミングチャートである。図４にそって動作を説明する。項番は図４中の番号に対応している。
１．無線端末(MS)＝第２のアクセスポイント(APj)間の接続（無線リンク接続要求）
(1-1)無線端末(MS)が移動し始め現在接続されている第１のアクセスポイント(APi)以外の他のＥＳＳ内の第２のアクセスポイント(APj)の無線リンク情報を受けると、その第２のアクセスポイント(APj)に802.11無線リンク接続を要求し始める(Probe request)。
２．無線端末(MS)＝第１のアクセスルータ(PAR)間の接続
（セッション認証情報(ＫMU)を用いたアクセスルータ(PAR)の無線端末(MS)事前認証）
(2-1)無線端末(MS)は、検知した第２のアクセスポイント(APj)の情報(LLA：Link layer address、AP-ID)を元に第２のアクセスポイント(APj)の管理アクセスルータ(AR)を探すために、FMIPv6の近隣ルータ探索メッセージ(RtSolPr：Router Solicitation for Proxy Advertisement)を第１のアクセスルータ(PAR)に送信する。
(2-2)第１のアクセスルータ(PAR)は、第２のアクセスポイント(APj)の情報(LLA、AP-ID)に基づき、そのアクセスポイント(AP)が接続されているアクセスルータ(AR(NAR))の情報を含むメッセージ(PrRtAdv：Proxy Router Advertisement)を無線端末(MS)に返す。
(2-3)無線端末(MS)は、移動前に移動後に用いるＩＰアドレス(NCoA)を導出し、それを第１のアクセスルータ(PAR)に伝えるためのバインディングアップデートメッセージ(FBU：Fast Binding Update)を第１のアクセスルータ(PAR)に送る。ただし、このとき無線端末(MS)は、ＦＢＵに事前共有鍵で暗号化した事前認証要求メッセージ(PRE_AUTH_REQ)情報も送る。
(2-4)事前認証要求メッセージを受け取った第１のアクセスルータ(PAR)は、キャッシュセッション認証情報(ＫMU,ＵID)を用いて無線端末(MS)認証を行う。
(2-5)認証が成功すると、第１のアクセスルータ(PAR)は、第２のアクセスルータ(NAR)に無線端末(MS)の新しいＩＰアドレス（NCoA）が利用できるかどうか問い合わせるハンドオーバ初期化メッセージ（HI：Handover Initiate）を送る。
(2-6)第２のアクセスルータ(NAR)は、ＩＰアドレス（NCoA）が利用できるかどうかを調べ、第１のアクセスルータ(PAR)にＩＰアドレス（NCoA）の利用可否と利用可能なアクセスポイント(AP)を知らせるハンドオーバ応答メッセージ(Hack：Handover Acknowedgement)を返す。
(2-7)第１のアクセスルータ(PAR)は、第２のアクセスルータ(NAR)に無線端末(MS)の事前認証ＯＫである旨のメッセージを含むバインディング応答メッセージ(FBack：Fast Binding Acknowedgement)を送り、ハンドオーバの準備を行う。その事前認証ＯＫのメッセージには、無線端末(MS)の事前認証情報(ＫMU,ＵID)が入れられており、第２のアクセスルータ(NAR)は、この無線端末(MS)の事前認証情報(ＫMU,ＵID)をキャッシュして置く。なお、このとき、事前認証要求メッセージを送られてきた無線端末(MS)にも事前認証ＯＫのメッセージを含むバインディング応答メッセージ(FBack：Fast Binding Acknowedgement)を送る。
(2-8)第２のアクセスルータ(NAR)は、自分の配下の第２のアクセスポイント(APj)に無線端末(MS)の事前認証ＯＫメッセージ(PRE_AUTH_ACK)を出す。第２のアクセスポイント(APj)は、無線端末(MS)の事前認証情報(ＵID)をキャッシュして置く。
３．無線端末(MS)＝第２のアクセスルータ(NAR)間の接続
（第２のアクセスルータ(NAR)への接続）
(3-1)第１のアクセスルータ(PAR)は、無線端末(MS)宛のパケットを第２のアクセスルータ(NAR)に転送する。
(3-2)無線端末(MS)は、第１のアクセスポイント(APi)から離れて第２のアクセスポイント(APj)に接続する。
(3-3)第２のアクセスポイント(APj)は、無線端末(MS)を認証し無線リンク接続を確立する。
４．無線端末(MS)＝アクセスポイント(APj)間の接続（セキュア・セッション確立）
(4-1)第２のアクセスポイント(APj)に802.11無線リンク接続した無線端末(MS)は、第２のアクセスポイント(APj)へのセキュア・セッション接続を要求する。
(4-2)第２のアクセスポイント(APj)は、第２のアクセスルータ(NAR)からの事前認証情報ＯＫメッセージ情報(ＵID)によって無線端末(MS)を認証し、第２のアクセスルータ(NAR)へのセッション鍵配布要求メッセージを出す。
(4-3)第２のアクセスルータ(NAR)は、無線端末(MS)とAPを確認・認証し、第２のアクセスポイント(APj)に無線端末(MS)のセッション鍵情報(ＫMU)を配布する。
(4-4)第２のアクセスポイント(APj)は、無線端末(MS)のセッション鍵情報(ＫMU)を取得し、無線端末(MS)にセキュア・セッション接続応答メッセージを送る。
(4-5)第２のアクセスルータ(NAR)は、第１のアクセスルータ(PAR)から転送されたパケット情報を無線端末(MS)に転送し、無線端末(MS)は、第２のアクセスポイント(APj)との暗号通信を開始することができる。
このような構成の無線ＬＡＮシステムの移動無線端末認証方法においては、あるＬＡＮセグメントの第１のアクセスポイント(APi)に接続していた無線端末(MS)が異なるＬＡＮセグメントのアクセスルータ(AR(NAR))の第２のアクセスポイント(APj)に移動接続する際、第１のアクセスルータ(PAR)で認証済みのユーザセッション情報を持つことによって移動前に第１のアクセスルータ(PAR)で事前認証すると共に、第１のアクセスルータ(PAR)と第２のアクセスルータ(NAR)との間のトンネルを用いて無線端末(MS)のセッション認証情報を転送することができ、移動先第２のアクセスポイント(APj)で改めて認証サーバ(AS)への認証を行わないので、無線端末(MS)の再認証による通信中断の時間が短くなりよりシームレスサービスを実現することができる。
実施の形態４．（ＥＳＳ間の移動その２）
本実施の形態４は、図３に示された実施の形態２と同様なシステム構成において、あるサーブネットの第１のアクセスルータ(PAR)の配下の第１のアクセスポイント(APi)にて認証済みの無線端末(MS)が、他の第２のアクセスルータ(NAR)の配下のアクセスポイント (APj)に移動する場合の事前共有鍵を用いた無線端末(MS)の事前認証手順について説明する。ここでは、無線端末(MS)が第１のアクセスルータ(PAR)のリンクに接続している間に第２のアクセスルータ(NAR)へのハンドオーバの応答を受け取る前にそのリンクから離れて第２のアクセスルータ(NAR)に進んでしまった場合を示す。
図５は本実施の形態の事前認証手順を示すタイミングチャートである。図５にそって動作を説明する。項番は図５中の番号に対応している。
１．無線端末(MS)＝第２のアクセスポイント(APj)間の接続（無線リンク接続要求）
(1-1)移動中のネットワークで異なるＥＳＳの第２のアクセスポイント(APj)を検知した無線端末(MS)は、第２のアクセスポイント(APj)に無線リンク接続要求を出す。
２．無線端末(MS)＝第１のアクセスルータ(PAR)間の接続
（第１のアクセスルータ(PAR)から第２のアクセスルータ(NAR)の探索）
(2-1)無線端末(MS)は、検知した第２のアクセスポイント(APj)の情報(LLA：Linklayer address、AP-ID)を元に第２のアクセスポイント(APj)の管理アクセスルータ(AR)を探すために、近隣ルータ探索メッセージ(RtSolPr：Router Solicitation for Proxy Advertisement)を第１のアクセスルータ(PAR)に送信する。
(2-2)第１のアクセスルータ(PAR)は、第２のアクセスポイント(APj)の情報(LLA、AP-ID)に基づき、そのアクセスポイント(AP)が接続されているアクセスルータ(AR(NAR))の情報を含むメッセージ(PrRtAdv：Proxy Router Advertisement)を無線端末(MS)に返す。
(2-3)無線端末(MS)は、ここで得られた第２のアクセスルータ(NAR)のネットワークプレフィクスを用いて移動後に使うＩＰアドレス(NCoA)を導出できる。無線端末(MS)は、移動により第１のアクセスポイント(APi)の接続範囲から離れて第２のアクセスポイント(APj)に802.11無線リンク接続する。
３．無線端末(MS)＝アクセスルータ(PAR(NAR))間の接続
（アクセスルータ(NAR)からアクセスルータ(PAR)へのトンネルで無線端末(MS)認証）
(3-1)第２のアクセスポイント(APj)に接続した無線端末(MS)は、第２のアクセスルータ(NAR)にアタッチメント(attachment)を知らせるメッセージ(FNA：Fast Neighbor Advertisement)を送る。また、新しいアドレス(NCoA)が使用できるかどうかを確認するためのバインディングアップデートメッセージ(FBU:Fast Binding Update)を第２のアクセスルータ(NAR)に送る。このとき、無線端末(MS)は、ＦＢＵに事前共有鍵で暗号化した認証要求メッセージ(AUTH_REQ)情報を入れて置く。
(3-2) ＦＢＵを受け取った第２のアクセスルータ(NAR)は、新しいアドレス(NCoA)が利用できるかどうかを調べると共に、確認したらそのＦＢＵを第１のアクセスルータ(PAR)に送る。
(3-3)ＦＢＵを受け取った第１のアクセスルータ(PAR)は、無線端末(MS)宛のパケットデータを転送するために無線端末(MS)の新しいアドレス(NCoA)を記録し、さらにキャッシュセッション認証情報(ＫMU,ＵID)を用いて無線端末(MS)認証を行う。
(3-4)認証が終わったら第２のアクセスルータ(NAR)に無線端末(MS)の認証情報を含むバインディングアップデート応答メッセージ(FBack)メッセージを送る。
(3-5)第２のアクセスルータ(NAR)は、無線端末(MS)のセッション認証情報(ＫMU,ＵID)をキャッシュして置く。そして無線端末(MS)に第２のアクセスポイント(APj)へのFBackメッセージを送る。
(3-6)第１のアクセスルータ(PAR)は、無線端末(MS)宛のパケットを第２のアクセスルータ(NAR)に転送する。
(3-7)第２のアクセスルータ(NAR)は、自分の配下の第２のアクセスポイント(APj)に無線端末(MS)の認証ＯＫメッセージ(AUTH_ACK)を出す。第２のアクセスポイント(APj)は、そのユーザIDをキャッシュして置く。
４．無線端末(MS)＝アクセスポイント(APj)間の接続（セキュア・セッション確立）
(4-1)第２のアクセスルータ(NAR)からFBackメッセージをもらった無線端末(MS)は、第２のアクセスポイント(APj)へのセキュア・セッション接続を要求する。
(4-2)第２のアクセスポイント(APj)は、無線端末(MS)を確認し、第２のアクセスルータ(NAR)にセッション鍵配布要求メッセージを出す。
(4-3)第２のアクセスルータ(NAR)は、第２のアクセスポイント(APj)を認証し、無線端末(MS)のセッション鍵を配布する。
(4-4)第２のアクセスポイント(APj)は、無線端末(MS)のセッション鍵情報(ＫMU)を取得し、無線端末(MS)にセキュア・セッション接続応答メッセージを送る。
(4-5)無線端末(MS)は、第２のアクセスポイント(APj)を確認し暗号通信を開始することができる。第２のアクセスルータ(NAR)は、第１のアクセスルータ(PAR)から転送されたパケット情報を無線端末(MS)に転送する。
このような構成の無線ＬＡＮシステムの移動無線端末認証方法においては、第１のアクセスルータ(PAR)で認証済みのユーザセッション情報を持つことによって、ある第１のアクセスポイント(APi)に接続していた無線端末が異なるAR(NAR)の第２のアクセスポイント(APj)に移動接続する際、移動先の第２のアクセスルータ(NAR)と第１のアクセスルータ(PAR)との間のトンネルを用いて無線端末(MS)を認証し、無線端末(MS)の認証情報を第２のアクセスルータ(NAR)に転送することによって、移動先で改めて認証サーバ(AS)への認証を行わないので、第２のアクセスルータ(NAR)で第２のアクセスポイント(APj)へのセッション鍵を配布でき、通信中断の時間が短くなりよりシームレスサービスを実現することができる。なお、第１のアクセスルータ(PAR)から第２のアクセスルータ(NAR)へのデータパケットを転送してもらうことができ、パケットロースが少ない品質のよいサービスを提供できる。
実施の形態５．（ＥＳＳ間の移動）
本実施の形態５は、ある第１のアクセスポイント(APi)にて認証済みの無線端末(MS)が同一アクセスルータ(PAR)の配下の他第２のアクセスポイント(APj)に移動する場合の事前認証手順である。
図６は本実施の形態の事前認証手順を示すタイミングチャートである。図６にそって動作を説明する。項番は図６中の番号に対応している。
１．無線端末(MS)＝第２のアクセスポイント(APj)間の接続（無線リンク接続要求）
(1-1)無線端末(MS)が移動し始め、異なるＥＳＳの第１のアクセスポイント(APi)と第２のアクセスポイント(APj)の無線リンク情報を受けると、第２のアクセスポイント(APj)に無線リンク接続を要求し始める。
２．無線端末(MS)＝第１のアクセスルータ(PAR)間の接続
（セッション認証情報(ＫMU)を用いたアクセスルータ(PAR)の無線端末(MS)事前認証）
(2-1)無線端末(MS)は、検知した第２のアクセスポイント(APj)に接続するために、第２のアクセスポイント(APj)の情報を用いて現在接続している第１のアクセスポイント(APi)に認証サーバ(AS)との事前共有鍵(ＫMU)を用いて第２のアクセスポイント(APj)へ移動する前の事前認証要求メッセージ(PRE_AUTH_REQ)を出す。
(2-2)第１のアクセスポイント(APi)は、無線端末(MS)の事前認証要求メッセージ情報を第１のアクセスルータ(PAR)に転送する。
(2-3)第１のアクセスルータ(PAR)は、キャッシュセッション認証情報(ＫMU,ＵID)を用いて無線端末(MS)認証を行い、第２のアクセスポイント(APj)の情報(LLA、AP-ID)を確認する。
(2-4)第１のアクセスルータ(PAR)は、第２のアクセスポイント(APj)に無線端末(MS)の事前認証ＯＫのメッセージを送信し、第２のアクセスポイント(APj)は、その無線端末(MS)の情報(ＵID)をキャッシュして置く。また、同時に事前認証要求メッセージを出した現在の第１のアクセスポイント(APi)にも事前認証ＯＫのメッセージを送信する。
(2-5)第１のアクセスポイント(APi)は、無線端末(MS)に第２のアクセスポイント(APj)への事前認証ＯＫメッセージを送る。
３．無線端末(MS)＝アクセスポイント(APj)間の接続（セキュア・セッション確立）
(3-1)第１のアクセスポイント(APi) から離れて第２のアクセスポイント(APj)に802.11無線リンク接続した無線端末(MS)は、第２のアクセスポイント(APj)へのセキュア・セッション接続を要求する。
(3-2)第２のアクセスポイント(APj)は、第１のアクセスルータ(PAR)からの事前認証情報(ＵID)を用いて無線端末(MS)認証を行い、第１のアクセスルータ(PAR)にセッション鍵配布を要求する。
(3-3)第１のアクセスルータ(PAR)は、第２のアクセスポイント(APj)を認証した後無線端末(MS)の鍵情報(ＫMU)を第２のアクセスポイント(APj)に配布する。
(3-4)第２のアクセスポイント(APj)は、鍵情報(ＫMU)を格納しておき、無線端末(MS)にセキュア・セッション接続確立メッセージを送る。
(3-5)無線端末(MS)は、第２のアクセスポイント(APj)を認証し、暗号通信を開始する。
このような構成の無線ＬＡＮシステムの移動無線端末認証方法においては、第１のアクセスルータ(PAR)で認証済みのユーザセッション情報を持つことによって、ある第１のアクセスポイント(APi)に接続していた無線端末(MS)が、異なる第２のアクセスポイント(APj)に移動接続する際、アクセスルータ(AR)で移動前に事前認証を行うことができ、移動先で改めて認証サーバ(AS)への認証を行わないので、通信中断の時間が短くなりよりシームレスサービスを実現することができる。
［発明の効果］
以上説明したように、この発明に係る無線ＬＡＮシステムの移動無線端末認証方法においては、無線ＬＡＮの認証方法IEEE802.1X/EAPにFMIPv6を適用し、移動前にアクセスルータ間でトンネルを確立し事前認証を行うことにより、移動する無線端末(MS)の再認証による遅延時間を短くしている。また、認証プロトコル(EAP)による認証動作やセキュア・アソシエーションの遅延を短くする目的で、事前共有鍵(PSK)を用いて認証の高速化を計っている。すなわち、まず、認証サーバ(AS)がサービス加入登録してある無線端末(MS)を認証するための鍵ＫMUを生成し、事前に共有鍵を配布しておく。また、予め認証サーバ(AS)は各アクセスルータ(AR)（アクセスルータ(PAR)またはアクセスルータ(NAR)）と事前に秘密鍵を共有しておくことによりセキュアな通信路を確保しておくとする。また、認証サーバ(AS)は、アクセスポイント(AP)を認証するための機能をアクセスルータ(AR)に任せるため鍵ＫARを生成し、アクセスルータ(PAR)とのセキュア通信路を通してアクセスルータ(AR)に配布しておくとする。アクセスルータ(AR)はその鍵を用いて自分の配下にあるアクセスポイント(AP)と事前に秘密鍵を共有しておくことによりセキュアな通信路を確保することができる。
すなわち、この発明によれば無線端末(MS)が現在接続しているアクセスルータ(PAR)で認証済みの端末ユーザのセッション情報を持つことによって、あるＬＡＮセグメントの第１のアクセスポイント(APi)に接続していた無線端末(MS)が異なるＬＡＮセグメントのAR(NAR)の第２のアクセスポイント(APj)に移動接続する際、移動前後の第１のアクセスルータ(PAR)と第２のアクセスルータ(NAR)との間のトンネルを用いてセッション認証情報を転送すると共に事前認証を行うことができ、移動先で改めて認証サーバ(AS)に対する認証を行わないので、通信中断の時間が短くなりよりシームレスサービスを実現することができる。さらに、アクセスルータ(PAR)からのデータパケットを転送してもらうことができ、パケットロースが少ない品質のよいサービスを提供できるという効果も得られる。
ユビキタスネットワークを確立する際のアクセス網として有効な高速無線ＬＡＮシステム等に適用して好適なものであり、特に第１のアクセスルータの配下の第１のアクセスポイントに接続する無線端末が、第２のアクセスルータの配下の第２のアクセスポイントに移動する場合の無線端末の認証方法として用いられて好適なものである。
本発明に係る無線ＬＡＮシステムの実施の形態１のユーザ認証方法を適用可能とするネットワークシステムのシステム構成を表すシステムブロック図である。 実施の形態１の事前認証手順を示すタイミングチャートである。 本発明に係る無線ＬＡＮシステムの実施の形態２のユーザ認証方法を適用可能とする分散型コンピュータシステム構成を表すシステムブロック図である。 実施の形態３の事前認証手順を示すタイミングチャートである。 実施の形態４の事前認証手順を示すタイミングチャートである。 実施の形態５の事前認証手順を示すタイミングチャートである。 従来の無線ＬＡＮにおける802.1X/ EAP認証手順を説明するタイミングチャートである。 従来の高速ハンドオーバの接続手順を示すタイミングチャートである。
符号の説明
１１，１２ サブネットワーク
２１，２５ 認証サーバ(AS)
４１〜４３，４４〜４６ アクセスルータ（AR）
５１〜５３，５７〜５９ アクセスポイント(AP)
６１〜６３，６４〜６５ 無線ＬＡＮ
１０１，２０２ 無線端末(MS)

Claims (10)

  1. 無線ＬＡＮシステムにおいて、第１のアクセスルータの配下の第１のアクセスポイントに接続する無線端末が、第２のアクセスルータの配下の第２のアクセスポイントに移動する場合の前記無線端末の認証方法であって、
    （１）前記無線端末が、移動先の前記第２のアクセスポイントに接続する前に、現在接続している前記第１のアクセスポイントの前記第１のアクセスルータへ事前認証を要求して該認証を完了させて、
    （２）前記第１のアクセスルータから前記第２のアクセスルータへのＩＰトンネルを確立して、
    （３）前記ＩＰトンネルを用いて、事前共有鍵に基づき認証済みの前記無線端末のセッション情報を前記第２のアクセスルータへ転送して、
    （４）前記無線端末が、移動先の前記第２のアクセスポイントに移動した際には、前記セッション情報を用いて、前記第２のアクセスポイントの前記第２のアクセスルータとの相互認証を行う
    ことを特徴とする無線ＬＡＮシステムの移動無線端末認証方法。
  2. 第１のＬＡＮセグメントの前記第１のアクセスルータの配下の前記第１のアクセスポイントにて認証済みの前記無線端末が、第２のＬＡＮセグメントの前記第２のアクセスルータの配下の前記第２のアクセスポイントに移動する場合には、
    前記無線端末が前記第１のアクセスルータに接続している間に、ハンドオーバの接続手順を用いて、前記事前認証が行われ、前記第１のアクセスルータでの無線端末の事前認証情報、移動先アクセスルータ情報および移動先ＩＰアドレスが導出さられ、これら情報に基づいて前記トンネルが張られる
    ことを特徴とする請求項１に記載の無線ＬＡＮシステムの移動無線端末認証方法。
  3. 第１のＬＡＮセグメントの前記第１のアクセスルータの配下の前記第１のアクセスポイントにて認証済みの前記無線端末が、第２のＬＡＮセグメントの前記第２のアクセスルータの配下の前記第２のアクセスポイントに移動する場合には、
    前記無線端末は、近隣ルータ探索メッセージを、前記第１のアクセスポイントに送信することにより、前記第２のアクセスポイントを管理する前記第２のアクセスルータを探索する
    ことを特徴とする請求項１に記載の無線ＬＡＮシステムの移動無線端末認証方法。
  4. 前記無線端末は、前記移動先ＩＰアドレスを前記第１のアクセスルータに伝えるためのメッセージに、前記セッション情報も含めて送り、前記第１のアクセスルータは、前記セッション情報を用いて無線端末の認証を行う
    ことを特徴とする請求項２に記載の無線ＬＡＮシステムの移動無線端末認証方法。
  5. 前記第１のアクセスルータに接続していた前記無線端末が、前記第２のアクセスルータへのハンドオーバの応答を受け取る前に、前記第１のアクセスルータの接続から離れてアクセスルータに進んだ際に、
    前記第２のアクセスルータは、前記第２のアクセスルータから前記第１のアクセスルータへのトンネルを介して前記無線端末の認証を行う
    ことを特徴とする請求項１に記載の無線ＬＡＮシステムの移動無線端末認証方法。
  6. 前記第２のアクセスポイントに接続した無線端末は、前記ＩＰアドレスが使用できるか否かを確認するためのメッセージに前記セッション情報も含めて前記第２のアクセスルータに送り、前記第２のアクセスルータは、前記ＩＰアドレスが使用できるか否かを確認した後、前記メッセージを前記第１のアクセスルータに送り、前記第１のアクセスルータは、前記セッション情報を用いて前記無線端末の認証を行う
    ことを特徴とする請求項５に記載の無線ＬＡＮシステムの移動無線端末認証方法。
  7. 無線ＬＡＮシステムにおいて、第１のアクセスポイントに接続する無線端末が同一のアクセスルータの配下の第２アクセスポイントに移動する場合の無線端末の認証方法であって、
    （１）無線端末が、移動先の前記第２のアクセスポイントに接続する前に、現在接続している前記第１のアクセスポイントの前記第１のアクセスルータへ事前認証を要求して該認証を完了させて、
    （２）前記第１のアクセスルータは、事前共有鍵に基づき認証済みの前記無線端末のセッション情報を前記第２のアクセスポイントに送り、
    （３）前記無線端末が、移動先の前記第２のアクセスポイントに移動した際には、前記セッション情報を用いて、前記第２のアクセスポイントとの相互認証を行う
    ことを特徴とする無線ＬＡＮシステムの移動無線端末認証方法。
  8. 前記ハンドオーバの接続手順が、FMIPv6である
    ことを特徴とする請求項２に記載の無線ＬＡＮシステムの移動無線端末認証方法。
  9. 前記事前認証の要求は、FMIPv6のメッセージを用いて行われる
    ことを特徴とする請求項１から８のいずれか１項に記載の無線ＬＡＮシステムの移動無線端末認証方法。
  10. 前記セッション情報は、事前共有鍵とユーザ識別子とを含む
    ことを特徴とする請求項１から９のいずれか１項に記載の無線ＬＡＮシステムの移動無線端末認証方法。
JP2006010311A 2006-01-18 2006-01-18 無線ｌａｎシステムの移動無線端末認証方法 Pending JP2007194848A (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2006010311A JP2007194848A (ja) 2006-01-18 2006-01-18 無線ｌａｎシステムの移動無線端末認証方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2006010311A JP2007194848A (ja) 2006-01-18 2006-01-18 無線ｌａｎシステムの移動無線端末認証方法

Publications (1)

Publication Number Publication Date
JP2007194848A true JP2007194848A (ja) 2007-08-02

Family

ID=38450196

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2006010311A Pending JP2007194848A (ja) 2006-01-18 2006-01-18 無線ｌａｎシステムの移動無線端末認証方法

Country Status (1)

Country Link
JP (1) JP2007194848A (ja)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009094651A (ja) * 2007-10-04 2009-04-30 Kddi Corp 移動体通信システムにおけるハンドオフ方法、無線基地局装置及びゲートウェイ装置
JP2009124684A (ja) * 2007-10-26 2009-06-04 Hitachi Communication Technologies Ltd 通信システム及びゲートウェイ装置
JP2009130603A (ja) * 2007-11-22 2009-06-11 Sanyo Electric Co Ltd 通信方法およびそれを利用した基地局装置、端末装置、制御装置
WO2009154277A1 (ja) * 2008-06-20 2009-12-23 株式会社エヌ・ティ・ティ・ドコモ 移動通信方法及び移動局
JP2010050819A (ja) * 2008-08-22 2010-03-04 Mitsumi Electric Co Ltd 移動局及びそのハンドオーバー方法、並びに通信システム
JP2010081031A (ja) * 2008-09-24 2010-04-08 Nakayo Telecommun Inc 無線中継装置および帰属管理方法
JP2011504698A (ja) * 2007-11-23 2011-02-10 テレフオンアクチーボラゲット エル エム エリクソン（パブル） 無線ｌａｎモビリティ
JP2011512052A (ja) * 2007-12-18 2011-04-14 エレクトロニクス アンド テレコミュニケーションズ リサーチ インスチチュート 無線アクセス技術及び移動ｉｐ基盤の移動性制御技術が適用された次世代のネットワーク環境のための統合ハンドオーバー認証方法
JP2012527135A (ja) * 2009-05-14 2012-11-01 西安西電捷通無線網絡通信股▲ふん▼有限公司 融合型ｗｌａｎにおける無線ターミナルポイントによりｗｐｉを完成する際のステーション切り替え方法及びシステム

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009094651A (ja) * 2007-10-04 2009-04-30 Kddi Corp 移動体通信システムにおけるハンドオフ方法、無線基地局装置及びゲートウェイ装置
JP2009124684A (ja) * 2007-10-26 2009-06-04 Hitachi Communication Technologies Ltd 通信システム及びゲートウェイ装置
JP2009130603A (ja) * 2007-11-22 2009-06-11 Sanyo Electric Co Ltd 通信方法およびそれを利用した基地局装置、端末装置、制御装置
JP2011504698A (ja) * 2007-11-23 2011-02-10 テレフオンアクチーボラゲット エル エム エリクソン（パブル） 無線ｌａｎモビリティ
US8442006B2 (en) 2007-11-23 2013-05-14 Telefonaktiebolaget Lm Ericsson Wireless LAN mobility
JP2011512052A (ja) * 2007-12-18 2011-04-14 エレクトロニクス アンド テレコミュニケーションズ リサーチ インスチチュート 無線アクセス技術及び移動ｉｐ基盤の移動性制御技術が適用された次世代のネットワーク環境のための統合ハンドオーバー認証方法
WO2009154277A1 (ja) * 2008-06-20 2009-12-23 株式会社エヌ・ティ・ティ・ドコモ 移動通信方法及び移動局
US8208928B2 (en) 2008-06-20 2012-06-26 Ntt Docomo, Inc. Mobile communication method and mobile station
JP2010050819A (ja) * 2008-08-22 2010-03-04 Mitsumi Electric Co Ltd 移動局及びそのハンドオーバー方法、並びに通信システム
JP4539768B2 (ja) * 2008-08-22 2010-09-08 ミツミ電機株式会社 移動局及びそのハンドオーバー方法、並びに通信システム
JP2010081031A (ja) * 2008-09-24 2010-04-08 Nakayo Telecommun Inc 無線中継装置および帰属管理方法
JP2012527135A (ja) * 2009-05-14 2012-11-01 西安西電捷通無線網絡通信股▲ふん▼有限公司 融合型ｗｌａｎにおける無線ターミナルポイントによりｗｐｉを完成する際のステーション切り替え方法及びシステム

Similar Documents

Publication Publication Date Title
JP5211155B2 (ja) Ｍｉｈ事前認証
JP4682250B2 (ja) マルチホップ無線ネットワークにおける無線ルータ支援セキュリティハンドオフ（ｗｒａｓｈ）
KR101467780B1 (ko) 이기종 무선접속망간 핸드오버 방법
JP5955352B2 (ja) 事前認証、事前設定及び／又は仮想ソフトハンドオフを使用するモビリティアーキテクチャ
TWI390893B (zh) 於無線網路中用於交遞後導出新金鑰之方法及裝置
Bargh et al. Fast authentication methods for handovers between IEEE 802.11 wireless LANs
TWI399988B (zh) 促進交遞之方法及裝置
Dutta et al. Media-independent pre-authentication supporting secure interdomain handover optimization
US20130305332A1 (en) System and Method for Providing Data Link Layer and Network Layer Mobility Using Leveled Security Keys
JP2007194848A (ja) 無線ｌａｎシステムの移動無線端末認証方法
CN101217781A (zh) 利用动态信道的移动装置的交递方法
WO2008063333A2 (en) Key caching, qos and multicast extensions to media-independent pre-authentication
JP2011504698A (ja) 無線ｌａｎモビリティ
US20130196708A1 (en) Propagation of Leveled Key to Neighborhood Network Devices
US9084111B2 (en) System and method for determining leveled security key holder
JP2009124684A (ja) 通信システム及びゲートウェイ装置
Dutta et al. A framework of media-independent pre-authentication (MPA) for inter-domain handover optimization
KR100485355B1 (ko) 무선랜에서의 분산 시스템간 핸드오프 방법
KR20110073181A (ko) 무선랜에서 셀룰러 망으로의 빠른 핸드 오버
JP5276106B2 (ja) モバイルノードの位置更新
JP2008146632A (ja) キーキャッシング、ＱｏＳおよびメディア独立事前認証のマルチキャスト拡張
Mathonsi Optimized handoff and secure roaming model for wireless networks
CN101860846A (zh) 基于位置预判的预认证快速切换方法
JP2006024982A (ja) セキュリティ・アソシエーションの確立方法
Baek et al. A novel pre-authentication scheme based on fast channel switching in IEEE 802.11 WLANs