JP4831066B2 - 無線通信システムにおける認証方式、それを備える無線端末装置と無線基地局、それらを用いた無線通信システム及びプログラム - Google Patents

Description

本発明は、無線通信システムにおける認証方式、この認証方式を備える無線端末装置と無線基地局、それらを用いた無線通信システム、及びプログラムに関し、特にＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワーク上において予め認証処理を実行することができる無線通信システムにおける認証方式、この認証方式を備える無線端末装置と無線基地局、それらを用いた無線通信システム、及びプログラムに関する。

近年、無線ＬＡＮセキュリティの脆弱性が指摘されている。つまり、無線ＬＡＮに用いられるＷＥＰ（Ｗｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ）キーによって暗号化されたデータも解析されてしまう可能性があると同時に、ＷＥＰキーが解析されることによって、無線ＬＡＮを介するすべてのデータ通信まで解析されてしまう危険性があることが指摘されている。

これらの危険性をできるだけ排除するために、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｓ） ８０２．１１ｉというＩＥＥＥ ８０２．１１無線ＬＡＮのセキュリティを強化するための規格が規定されている。（ＩＥＥＥ Ｐ８０２．１１ｉ／Ｄ１０．０、“Ｐａｒｔ １１： Ｗｉｒｅｌｅｓｓ Ｍｅｄｉｕｍ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ （ＭＡＣ） ａｎｄ Ｐｈｙｓｉｃａｌ Ｌａｙｅｒ （ＰＨＹ） ｓｐｅｃｉｆｉｃａｔｉｏｎｓ： Ａｍｅｎｄｍｅｎｔ ６： Ｍｅｄｉｕｍ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ （ＭＡＣ） Ｓｅｃｕｒｉｔｙ Ｅｎｈａｎｃｅｍｅｎｔｓ”、米国、２００４年、８．４．６．１ Ｐｒｅ−ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ ＲＳＮＡ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔの項、参照）。

ＩＥＥＥ ８０２．１１ｉは、ＩＥＥＥ ８０２．１１無線ＬＡＮシステムの無線区間における前記のような脆弱性を解決するために、ＩＥＥＥ ８０２．１Ｘに基づいたアクセス制御、安全なセッション管理、動的な鍵交換や鍵管理、ＷＥＰ暗号化アルゴリズムをより強化した無線区間のデータ暗号化アルゴリズムなどを規定している。（ＩＥＥＥ ８０２．１Ｘ、”Ｐｏｒｔ−Ｂａｓｅｄ Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ”、米国、２００１年、６． Ｐｒｉｎｃｉｐｌｅｓ ｏｆ ｏｐｅｒａｔｉｏｎの項、参照）。

ＩＥＥＥ ８０２．１Ｘは、ユーザー認証及び鍵交換のフレームワークを規定している。ＩＥＥＥ ８０２．１１ｉでは、新たに鍵交換方式である４ウェイハンドシェイク及びグループキーハンドシェイク、鍵の用途を決める鍵階層（Ｋｅｙ ｈｉｅｒａｒｃｈｙ）、無線区間の暗号化アルゴリズム（ＣｉｐｈｅｒＳｕｉｔｅｓ）を定義している。

図１は、通常のＩＥＥＥ ８０２．１１ｉ及びＩＥＥＥ ８０２．１Ｘを利用した場合の無線ＬＡＮ接続シーケンスを示している。

図１に示すように、無線端末が基地局を介してデータ通信が可能となるまでには、ＩＥＥＥ ８０２．１１ネゴシエーション（８０２．１１ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ、Ａｓｓｏｃａｉｔｉｏｎ）、ＩＥＥＥ ８０２．１Ｘ認証（ＥＡＰ［Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ］認証）、ＩＥＥＥ ８０２．１１ｉ鍵交換（４ウェイハンドシェイク、グループキーハンドシェイク）を必要とする。

ＩＥＥＥ ８０２．１Ｘ認証を成功裏に完了することにより、無線端末と基地局は端末と基地局及び認証サーバ以外知りえないペアワイズマスターキー（Ｐａｉｒｗｉｓｅ Ｍａｓｔｅｒ Ｋｅｙ 以下、ＰＭＫと記す）を共有する。

このＰＭＫは以後、無線端末と基地局間におけるデータ通信を暗号化するための鍵を決定する処理である鍵交換において通信内容の暗号化、通信内容の改竄確認のために使用される。ＰＭＫはＩＥＥＥ ８０２．１Ｘ認証の結果、無線端末と認証サーバの両者によって共有され、認証サーバから基地局に対して認証成功を通知するとともにＰＭＫも一緒に通知することにより、無線端末と基地局で共有される。

図２のネットワーク構成における無線端末１は、移動性を有しているので現在接続している基地局２から新しい基地局３に移動することができる。

通常、無線端末１が新しい基地局３においてもこれまで接続していた基地局２によって提供されていたサービスを受けようとする場合、新しい基地局３に対してもう一度接続ネゴシエーション、つまり、ＩＥＥＥ ８０２．１１ネゴシエーション、ＩＥＥＥ ８０２．１Ｘ認証、ＩＥＥＥ ８０２．１１ｉ鍵交換シーケンスを必要とする。

しかし、基地局間を移動する毎に前述シーケンスを行うことによって、その期間はネットワークとの通信が断絶されてしまうため、提供するサービスに影響を及ぼしかねない。この問題を解決するために、前述シーケンスを簡略化する方式がＩＥＥＥ ８０２．１１ｉにてＰＭＫキャッシュとして提案されている。

図３は、前述ＰＭＫキャッシュを使用した場合の無線ＬＡＮ接続シーケンスを示している。

ＰＭＫキャッシュは、一度、成功裏に認証が完了し接続した基地局に対して無線端末及び前述基地局がそのときに取得したＰＭＫを保持しておき、再び同じ基地局に接続するときに保持しておいたＰＭＫを利用して、ＩＥＥＥ ８０２．１Ｘ認証の処理を省略する仕組みとなっている。

無線端末は、前述基地局に対して以前取得したＰＭＫを識別するための識別子をＡｓｓｏｃｉａｔｉｏｎ ＲｅｑｕｅｓｔフレームもしくはＲｅａｓｓｏｃｉａｔｉｏｎ Ｒｅｑｕｅｓｔフレームにて含むことにより基地局に対してＰＭＫキャッシュを利用したい旨を通知する。

ＰＭＫを識別するための識別子を含むＡｓｓｏｃｉａｔｉｏｎ ＲｅｑｕｅｓｔフレームもしくはＲｅａｓｓｏｃｉａｔｉｏｎ Ｒｅｑｕｅｓｔフレームを受信した基地局は、同様に自身で保持している前述無線端末のためのＰＭＫが存在するならば引き続きＩＥＥＥ ８０２．１Ｘ認証ではなくＩＥＥＥ ８０２．１１ｉ鍵交換シーケンスを行う。

その際、ＩＥＥＥ ８０２．１１ｉ鍵交換シーケンスの一番目のフレームにおいて選択したＰＭＫ識別子を含めることにより無線端末と基地局での確認が行われる。

なお、前述無線端末のためのＰＭＫが存在しないならば通常通り引き続きＩＥＥＥ ８０２．１Ｘ認証を開始する。このようにＰＭＫキャッシュを利用することによりＩＥＥＥ ８０２．１Ｘ認証シーケンスを省略することが可能となる。

しかし、前述ＰＭＫキャッシュの問題点として、一度成功裏に認証が完了し接続した基地局との接続においてのみ有効であるということが挙げられる。

この点を一部解決するために、現在接続している基地局を介して新しく接続する基地局と事前にＩＥＥＥ ８０２．１Ｘ認証を行うことでＰＭＫを取得しておくことによって、一度も接続したことのない基地局に対してもＰＭＫキャッシュを利用できるようにする方式が同様にＩＥＥＥ ８０２．１１ｉにて事前認証（Ｐｒｅａｕｔｈｅｎｔｉｃａｔｉｏｎ）として提案されている。

図４は、前述事前認証を使用した場合の無線ＬＡＮ接続シーケンスを示している。

無線端末は現在接続している基地局とは成功裏に認証が完了し動的に設定された鍵を用いて暗号化されたデータ通信が行えている状態である。

この状態で無線端末は新しく接続しようとする基地局、つまり事前認証の対象となる基地局が報知しているビーコンを取得することにより前述基地局を検出し、事前認証を開始する。事前認証は、ＩＥＥＥ ８０２．１Ｘプロトコルおよびステートマシンを利用し、イーサフレームのイーサタイプを通常は８８−８Ｅを使う代わりに８８−Ｃ７を使うことで事前認証であること識別する。

イーサタイプ８８−Ｃ７のフレームを受信した基地局は、あて先アドレスに記述されたＭＡＣアドレスを保持する装置に対して前述フレームを転送する。

また事前認証のフレームはあて先アドレスに事前認証の対象である基地局のＢＳＳＩＤを指定し、基本サービスセットの範囲には現在接続している基地局のＢＳＳＩＤを指定することで、無線端末は現在接続している基地局を介して事前認証の対象である基地局と事前認証を行うことが可能となる。

なお、事前認証の対象である基地局のＢＳＳＩＤは事前認証の対象である基地局が報知しているビーコンから取得される。また、認証自体はＩＥＥＥ ８０２．１Ｘ認証と同じであり、成功裏に認証が完了することで無線端末と事前認証の対象である基地局とで新たなＰＭＫが共有される。ＰＭＫが共有されると、無線端末は事前認証済みの新たな基地局との接続ネゴシエーションにＰＭＫキャッシュを利用することができる。

しかし、前述事前認証の問題点として、現在接続している基地局と事前認証の対象である基地局が同じブロードキャストドメインのネットワーク、言い換えると同じＩＰサブネットワーク内にのみ適用可能である、ということが挙げられる。つまり、ＩＰサブネットワークを越えて基地局が位置する場合には適用できないということである。

第１の問題点は、ブロードキャストドメイン（サブネットワーク）内でしか事前認証を行うことができないということである。その理由は、従来の事前認証システムではブロードキャストドメインを超えた事前認証について何ら考慮されていないためである。

第２の問題点は、事前認証の対象となる基地局を識別するためのＩＰアドレスを、事前認証を行おうとする無線端末は取得することができないということである。その理由は、第１の問題点の理由と同じである。

本発明は、無線端末が現在接続している基地局が所属するブロードキャストドメインを超えて存在する基地局に対する事前認証を行い得る無線通信システムを提供することができる。

また、本発明は、無線端末が現在接続している基地局から他の基地局へ移動する場合に、移動先の基地局が移動元の基地局と異なるブロードキャストドメインに所属している場合でも、認証処理によるデータ通信不可期間を減少させ得る無線通信システムを提供することができる。

さらに、本発明は、事前認証のための情報も含むネットワーク接続のための情報を動的に取得／設定し得る無線通信システムを提供することができる。

本発明による無線通信システムは、無線端末から基地局を介してネットワーク接続する際に認証サーバによる認証を必要とする通信システムであって、前記無線端末から別の基地局に対してＩＰネットワークを介して事前に認証を行う手段を前記無線端末及び前記基地局に備えている。

本発明による基地局は、ネットワーク接続する際に認証サーバによる認証を必要とする無線端末を当該認証結果に応じて前記ネットワークへの接続を行う基地局であって、すでに接続されているネットワーク側を介した前記無線端末からのＩＰネットワーク上でやり取りされる事前認証を処理する手段を備えている。

本発明による無線端末は、基地局を介してネットワーク接続する際に認証サーバによって認証を必要とする無線端末であって、接続されたネットワークを介してＩＰデータ通信を行うことが可能である基地局に対する事前認証を要求する手段を備えている。

本発明による無線端末は、また、基地局に対応する情報を基地局管理サーバもしくは設定情報サーバから取得する手段を備えている。また、複数の無線通信手段を備えている。

本発明による基地局管理サーバは、基地局に対するＩＰアドレス情報を保持しているサーバであって、無線端末からの基地局ＩＰアドレス取得要求に対して該当する基地局のＩＰアドレスを返す手段を備えている。

本発明による設定情報サーバは、無線端末において無線ネットワーク接続に必要となる情報を保持しているサーバであって、無線端末からの取得要求に対して自身で保持している情報を返す手段を備えている。

すなわち、本発明の無線通信システムは、無線端末が基地局を介してネットワーク接続する際に認証サーバによって認証を必要とし、すでに接続しているネットワークを介して無線端末が基地局に対して事前認証を行う場合において、事前認証のやり取りをＩＰネットワーク上で行うことによって解決しようとするものである。

本発明の無線通信システムでは、無線端末において保持する事前認証の対象とする基地局のＩＰアドレスから事前認証を行うことが可能となる。

あるいは、本発明の無線通信システムでは、基地局管理サーバにおいて保持する基地局に対応するＩＰアドレスを、無線端末が基地局管理サーバから基地局に対応するＩＰアドレスを取得して事前認証を行うことが可能である。

あるいは、本発明の無線通信システムでは、設定情報サーバにおいて保持するネットワーク接続に関する情報を、無線端末が設定情報サーバから取得してネットワーク接続に利用もしくは事前認証に利用することが可能である。

ここでの事前認証とは、例えば、ＩＥＥＥ ８０２．１１ｉのＰＭＫキャッシュを利用するための事前認証であり、ＩＥＥＥ ８０２．１Ｘ認証を現在接続しているＩＰネットワークを介して行ってしまうことにより予めＰＭＫを共有しておくことであって、実際の無線ＬＡＮ接続時には、ＩＥＥＥ ８０２．１１ネゴシエーション及び鍵交換のみを行うことで無線ＬＡＮ接続が可能である。

本発明では、ＬＡＮ回線またはＷＡＮ回線にてネットワークに接続して伝送媒体に無線を利用した基地局と、同じくＬＡＮ回線またはＷＡＮ回線にてネットワークに接続して伝送媒体に無線を利用した基地局と、ＬＡＮ回線またはＷＡＮ回線に基地局を介して伝送媒体に無線を利用してネットワーク接続する無線端末と、ＬＡＮ回線またはＷＡＮ回線に接続して基地局を介した無線端末からの認証要求を処理する認証サーバとから構成されている。

無線端末は基地局を介して接続するためにユーザー認証もしくは相互認証を必要とし、前記認証をすでに接続されているネットワークを介して行ってしまうことが可能である無線ネットワークシステムにおいて、無線端末と基地局がＩＰネットワーク上で事前認証を行うことができるようにすることによって、無線端末と基地局が異なるＩＰサブネットワーク内に存在しているときでも事前認証を行うことが可能となる。

上記各態様を有する本発明は、下記の効果を奏する。

第１の効果は、無線端末はＩＰサブネットワークが異なる基地局に対してもＩＥＥＥ ８０２．１１ｉのＰＭＫキャッシュを利用するための事前認証を行うことができることにある。この結果、ＩＰサブネットワークを越えて無線端末が初めて接続する基地局に移動した場合でもＰＭＫキャッシュを利用することで接続ネゴシエーション処理を減らすことができ、接続に待たされる時間も減少される。その理由は、事前認証のためのやり取りをＩＰネットワーク上で行うことができるようにＩＰ通信が可能である認証プロトコル処理手段を無線端末及び基地局にて備えるためである。

第２の効果は、無線端末において事前認証の対象とする基地局のＩＰアドレスを予め設定しておく必要がないということにある。この結果、ユーザーによる設定間違いの減少や基地局のＩＰアドレスが変更になった場合の対応、沢山の設定をする煩わしさの減少などの効果が得られる。その理由は、無線端末においては動的に取得可能な手段を備え、管理しているサーバにその都度問い合わせることにより動的に取得することが可能であるためである。

図１は、従来のＩＥＥＥ ８０２．１１ｉ及びＩＥＥＥ ８０２．１Ｘを利用した場合の無線ＬＡＮ接続動作を示すシーケンスチャート図である。 図２は、従来の無線通信システムの構成を示すブロック図である。 図３は、従来のＩＥＥＥ ８０２．１１ｉ規定のＰＭＫキャッシュを利用した場合の無線ＬＡＮ接続動作を示すシーケンスチャート図である。 図４は、従来のＩＥＥＥ ８０２．１１ｉ規定の事前認証（ｐｒｅａｕｔｈｅｎｔｉｃａｔｉｏｎ）を利用した場合の無線ＬＡＮ接続動作を示すシーケンスチャート図である。 図５は、本発明の第１の形態による無線通信システムの構成を示すブロック図である。 図６は、図５に示す無線端末１０−１の構成を示すブロック図である。 図７は、図５に示す基地局３０の構成を示すブロック図である。 図８は、本発明の第１の形態における動作を示すシーケンスチャート図である。 図９は、本発明の第１の形態におけるデータの流れを示すブロック図である。 図１０は、図６に示す無線端末構成における動作を示すシーケンスチャート図である。 図１１は、図７に示す基地局構成における動作を示すシーケンスチャート図である。 図１２は、本発明の第２の形態による無線通信システムの構成を示すブロック図である。 図１３は、図１２に示す無線端末１０−２の構成を示すブロック図である。 図１４は、本発明の第３の形態による無線通信システムの構成を示すブロック図である。 図１５は、図１４に示す無線端末１０−３の構成を示すブロック図である。 図１６は、本発明の第４の形態による無線通信システムの構成を示すブロック図である。 図１７は、図１６に示す無線端末１０−４の構成を示すブロック図である。 図１８は、本発明の第５の形態による無線通信システムの構成を示すブロック図である。 図１９は、図１８に示す無線端末１０−５の構成を示すブロック図である。 図２０は、本発明の第６の形態における無線通信システムの構成を示すブロック図である。

次に、本発明を実施するための幾つかの好ましい最良の形態について添付の図面を参照して詳細に説明する。

以降の説明において、本発明の特徴を明確にするために、関連した公知機能及び構成に関する具体的な説明は省略する。
（第１の形態）
図５は、本発明の第１の形態による無線通信システムの構成を示す図である。

第５図を参照すると、第１の形態による無線通信システムは、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）回線またはＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）回線などを結ぶネットワーク４０と、ＬＡＮ回線またはＷＡＮ等のネットワーク回線に接続されている第１の基地局２０と、第１の基地局２０から移行接続されようとしている第２の基地局３０と、第１の基地局２０を介して伝送媒体に無線を利用してネットワークに接続している無線端末１０−１と、基地局２０及び３０とＬＡＮ回線またはＷＡＮ等のネットワーク回線で接続され、第２の基地局を介して移行接続しようとしている無線端末１０−１に対する接続の可否を判断する認証サーバ５０と、認証サーバとＬＡＮ回線またはＷＡＮ等のネットワーク回線で接続され、第２の基地局を介して移行接続しようとしている無線端末１０−１に対する接続の可否に関する情報を保持する管理装置６０とから構成されている。

基地局２０は、ＩＥＥＥ ８０２．１１に基づく基地局としての機能を保持し、無線端末１０−１とネットワーク４０に接続された装置との間でのデータ通信を中継する動作を行う。

基地局２０は、ＩＥＥＥ ８０２．１１ｉ及びＩＥＥＥ ８０２．１Ｘに基づく基地局としての機能及びＩＥＥＥ ８０２．１Ｘで規定されるオーセンティケータ（Ａｕｔｈｅｎｔｉｃａｔｏｒ）の機能を保持し、無線端末１０−１からの接続ネゴシエーション要求に応じて接続ネゴシエーションを行い、接続ネゴシエーション完了後、無線端末１０−１に対してネットワーク接続のためのＩＥＥＥ ８０２．１Ｘに基づく認証を開始する。

基地局２０は、無線端末１０−１からの認証情報を認証サーバ５０に転送することにより、つまり無線端末１０−１に対する認証可否は認証サーバ５０で行い、基地局２０は認証サーバ５０から受信するネットワーク接続のための認証結果に伴い、無線端末毎のアクセス制御を行う。

基地局２０は、認証サーバ５０からの認証成功通知と共に、以後の基地局２０と無線端末１０−１との間のデータ通信を暗号化するための情報の基となるＰＭＫを受信すると、無線端末１０−１に対して認証成功を通知した後に、その後のデータ通信を暗号化するための鍵をやり取りするために４ウェイハンドシェイク及びグループキーハンドシェイクを行い、データ通信を暗号化するための鍵が設定され、無線通信区間での暗号化されたデータ通信が可能となる。

基地局２０は、ＩＥＥＥ ８０２．１１ｉに基づくＰＭＫキャッシュの機能を保持し、一度認証が成功した無線端末毎のＰＭＫを保持しておき再び前述無線端末との（再）接続ネゴシエーションにおいて無線端末１０−１からＰＭＫキャッシュを利用する旨通知があった場合は自身が保持しているＰＭＫの中から適するものを選択し利用することによってＩＥＥＥ ８０２．１Ｘ認証を省略し引き続き無線端末１０−１と４ウェイハンドシェイク及びグループキーハンドシェイクを行い、データ通信を暗号化するための鍵が設定され、無線区間が暗号化されたデータ通信が可能となる。

基地局３０は、基地局２０の機能に加え、認証サーバ及び認証プロキシサーバそして認証クライアントとしての機能を保持し、事前認証のためのＩＥＥＥ ８０２．１Ｘ認証フレームをＩＰネットワーク上での通信（以下、単にＩＰ通信と言う）が可能である認証パケットでカプセル化してトンネリング処理を実行することが可能である。また、カプセル化された認証パケットからカプセル化を解き、ＩＥＥＥ ８０２．１Ｘ認証フレームを取り出す処理も可能である。

無線端末１０−１から受信したＩＥＥＥ ８０２．１Ｘ認証パケットをＩＰ通信が可能である認証パケットでカプセル化してトンネリングすることによりＩＰネットワークを介して認証サーバとの間の通信を行う方法が一般的であるが、それに加え、ＩＰ通信が可能である認証パケットでカプセル化してトンネリングすることにより無線端末１０−１との間でＩＰネットワークを介したＩＥＥＥ ８０２．１Ｘ認証パケットのやり取りが可能である。ＩＰ通信が可能である認証プロトコルとしては、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）プロトコル等がある。

無線端末１０−１は、ＩＥＥＥ ８０２．１１に基づく端末の機能を保持し、基地局２０を介してネットワーク４０に接続された装置とインターネットプロトコル（ＩＰ）を用いて通信が可能である。

また、無線端末１０−１は、ＩＥＥＥ ８０２．１１ｉ及びＩＥＥＥ ８０２．１Ｘに基づく端末としての機能及びＩＥＥＥ ８０２．１Ｘで規定されるサプリカント（Ｓｕｐｐｌｉｃａｎｔ）の機能を保持し、データ通信が可能となる前に、基地局２０基地局３０と無線物理層を用いて接続ネゴシエーションを行い、接続ネゴシエーション完了後、ＩＥＥＥ ８０２．１Ｘによるユーザー認証を必要とし、ユーザー認証完了後、その後のデータ通信を暗号化するための鍵をやり取りするために４ウェイハンドシェイク及びグループキーハンドシェイクを行い、データ通信を暗号化するための鍵が設定された時点で、本ネットワークの一端末として動作する。

ＩＥＥＥ ８０２．１Ｘ認証時には、ユーザーＩＤ及びパスワードを必要とするかもしれないし、保持している自身のユーザー証明書を用いるかもしれない。どちらを使用するかはネットワーク接続のための認証時に選択される認証方式しだいである。

無線端末１０−１は、ＩＥＥＥ ８０２．１１ｉに基づくＰＭＫキャッシュの機能を保持し、一度認証が成功した基地局のＰＭＫを保持しておき、再び前述基地局との（再）接続ネゴシエーションにおいてＰＭＫキャッシュを使用する旨通知し、前述基地局においてもＰＭＫキャッシュに対応している場合は、前述基地局に対応するＰＭＫを使用して、ＩＥＥＥ ８０２．１Ｘ認証を省略し引き続き基地局と４ウェイハンドシェイク及びグループキーハンドシェイクを行い、データ通信を暗号化するための鍵が設定され、無線区間が暗号化されたデータ通信が可能となる。

無線端末１０−１は、認証クライアントとしての機能を保持し、事前認証のためのＩＥＥＥ ８０２．１Ｘ認証フレームをＩＰ通信が可能である認証パケットでカプセル化してトンネリング処理を実行することにより基地局３０との間でＩＰネットワークを介したＩＥＥＥ ８０２．１Ｘ認証パケットのやり取りが可能である。また、カプセル化された認証パケットからカプセル化を解き、ＩＥＥＥ ８０２．１Ｘ認証フレームを取り出す処理も可能である。通常、ＩＥＥＥ ８０２．１Ｘ認証時及びＩＥＥＥ ８０２．１１ｉで規定されている事前認証時には、無線ＬＡＮのＭＡＣフレーム上でＩＥＥＥ ８０２．１Ｘ認証パケットの送受信を行う。

認証サーバ５０は、無線端末１０−１が基地局２０との接続ネゴシエーション後もしくは基地局３０との事前認証時にネットワーク接続のための認証を行う際に、基地局２０、３０に代わって無線端末１０−１の認証を行う。認証サーバ５０は、基地局からのユーザー認証要求に応じて、無線端末１０−１のユーザー認証を自身で保持しているユーザー情報を利用し、もしくは管理装置６０と通信することで行い、ユーザー認証結果を基地局２０、３０へ通知する。

認証サーバ５０は、ユーザー認証結果が成功である場合、ＩＥＥＥ ８０２．１Ｘ認証の結果得られる無線端末と認証サーバ間においてのみ共有されるＰＭＫを、ユーザー認証結果と共に基地局２０、３０に対して通知する。認証サーバ５０は、基地局２０、３０と認証に関する通信及び無線端末１０−１との暗号化データ通信に使用するＰＭＫの通知を行い、ユーザー情報の認証に関する通信を管理装置６０と行う。認証サーバ５０は、ネットワーク接続のための認証方式によっては、無線端末１０−１から渡される証明書を検証することによってユーザー認証を行う。

管理装置６０は、無線端末１０−１を使用しているユーザーのアカウント及びパスワードを管理している。この機能は認証サーバ５０内に含まれるかもしれない。

図６は、図５の無線端末１０−１の構成を示すブロック図である。

図６において、無線端末１０−１は、ＲＡＤＩＵＳクライアント１１０と、８０２．１Ｘサプリカント１２０と、プロトコル処理部１３０と、ＩＰプロトコル処理部１４０と、ネットワークアクセス制御部１５０と、無線ＬＡＮ端末ドライバ１６０と、無線ＬＡＮ通信インタフェース部１７０と、パラメータ記憶部１８０と、記憶媒体１９０とから構成されている。

これらの手段は概略、次のように動作する。

ＲＡＤＩＵＳクライアント１１０は、８０２．１Ｘサプリカント１２０から受け取ったＩＰサブネットワークを越えた事前認証のためのＩＥＥＥ ８０２．１Ｘ認証パケットをＲＡＤＩＵＳパケットでカプセル化し８０２．１Ｘサプリカント１２０へ受け渡す。また８０２．１Ｘサプリカントから受け取ったＲＡＤＩＵＳパケットでカプセル化された事前認証のためのＩＥＥＥ ８０２．１Ｘ認証パケットをカプセル化から解き、８０２．１Ｘサプリカントへ受け渡す。

なお、ＲＡＤＩＵＳクライアント１１０は、ＩＰ通信が可能である他の認証プロトコルを実現するクライアントでもかまわない。

８０２．１Ｘサプリカント１２０は、８０２．１Ｘオーセンティケータ宛、及び８０２．１ＸオーセンティケータからのＩＥＥＥ ８０２．１Ｘパケットを、ネットワークアクセス処理部を介して送信及び受信する。

８０２．１Ｘサプリカント１２０は、ＩＥＥＥ ８０２．１Ｘ認証に必要な認証処理を行う機能を保持する。ＩＥＥＥ ８０２．１１ｉで規定されるＰＭＫキャッシュの機能を保持し、一度成功裏に認証が完了したときのＰＭＫをキャッシュしておく機能を備える。また、ＰＭＫは同時に複数保持することも可能であり、接続する基地局毎に適切に使い分けることが可能である。また、ＩＥＥＥ ８０２．１１ｉで規定される事前認証（ｐｒｅａｕｔｈｅｎｔｉｃａｔｉｏｎ）に加え、ＲＡＤＩＵＳパケットでカプセル化して送受信される事前認証のためのＩＥＥＥ ８０２．１Ｘ認証機能を備える。認証に必要となる情報及び認証開始・切断などの要求をネットワークアクセス制御部１５０から受ける。

プロトコル処理部１３０は、ＩＰプロトコル処理部１４０から受け取ったデータを適切に処理し、必要に応じて処理したデータをアプリケーションへ受け渡す。また、アプリケーションから受け取ったデータを適切に処理し、ＩＰプロトコル処理部１４０へ送信のために引き渡す。

プロトコル処理部１４０は、ＴＣＰ処理部１３１、ＵＤＰ処理部１３２、それ以外のプロトコル処理部１３３で構成され、前述各処理部はそれぞれ特定のプロトコルに対する処理を行う。例えば、ＵＤＰ／ＩＰでやり取りされる認証プロトコルのパケットは、ＵＤＰ処理部１３２において適切に処理される。

ＩＰプロトコル処理部１４０は、無線ＬＡＮ端末ドライバ１６０から受け取ったＩＥＥＥ ８０２．３プロトコルフレームを適切に処理し、必要に応じてプロトコル処理部１３０へ引き渡す。また、プロトコル処理部１３０から受け取ったフレームをＩＥＥＥ ８０２．３プロトコルに処理し、送信するために無線ＬＡＮ端末ドライバ１６０へ引き渡す。

ネットワークアクセス制御部１５０は、接続先及び接続タイミングなどネットワーク接続に関する制御を行う。無線ＬＡＮ端末ドライバ１６０に対しては無線ＬＡＮ接続ネゴシエーションの制御を、８０２．１Ｘサプリカント１２０に対しては認証開始などの制御を、プロトコル処理部１３０、ＩＰプロトコル処理部１４０に対しては通信先アドレスなどに関する制御を行う。また、ネットワーク接続において必要な情報の指示／提供もネットワークアクセス制御部１５０は行う。ネットワーク接続に必要となる情報はパラメータ記憶部１８０から取得する。

無線ＬＡＮ端末ドライバ１６０は、ＩＥＥＥ ８０２．１１の端末としての機能を実現するためのＭＡＣ処理を行う。つまり、基地局との接続ネゴシエーション処理を行うためのＩＥＥＥ ８０２．１１パケットの生成及び解析を行う。また、無線ＬＡＮ通信インタフェース部１７０から受信したＩＥＥＥ ８０２．１１パケットをＴＣＰ／ＩＰやＵＤＰ／ＩＰなどのＩＥＥＥ ８０２．３プロトコルに変換しプロトコル処理部１３０に渡す。逆に、プロトコル処理部１３０から受信したＩＥＥＥ ８０２．３プロトコルのフレームをＩＥＥＥ ８０２．１１パケットでカプセル化し無線ＬＡＮ通信インタフェース部１７０を介して送信する。

無線ＬＡＮ端末ドライバ１６０は、無線ＬＡＮ通信インタフェース部１７０から受信したＩＥＥＥ ８０２．１Ｘパケットを８０２．１Ｘサプリカント１２０へ渡し、８０２．１Ｘサプリカント１２０から送信要求されたＩＥＥＥ ８０２．１Ｘパケットを無線ＬＡＮ通信インタフェース部１７０を介して送信する。

無線ＬＡＮ通信インタフェース部１７０は、無線ＬＡＮ端末ドライバ１６０から受けとったデータを無線で送信する処理を行う。

また、無線ＬＡＮ通信インタフェース部１７０は、受信したデータを無線ＬＡＮ端末ドライバ１６０へ渡す処理を行う。無線ＬＡＮ通信インタフェース部１７０は、主に、基地局２０、３０との通信の際に用いられる。

パラメータ記憶部１８０は、ネットワーク接続に必要となる情報を保持している。例えば、接続する基地局を識別するためのＥＳＳＩＤとＥＳＳＩＤに対応するセキュリティ設定情報（ＩＥＥＥ ８０２．１Ｘ認証のためのユーザー情報やＥＡＰ−ＴＬＳ、ＥＡＰ−ＴＴＬＳ、ＰＥＡＰ、ＥＡＰ−ＳＩＭなどの認証方式、ＴＫＩＰやＡＥＳなどの暗号化方式）を保持している。

また、パラメータ記憶部１８０は、基地局のＥＳＳＩＤもしくはＢＳＳＩＤに対応するＩＰアドレスの対応表を保持している。パラメータ記憶部１８０にて保持される値はネットワークアクセス制御部１５０によって使用される。

無線端末１０−１が図示せぬＣＰＵ（中央処理装置）及びＲＡＭ（リードオンリーメモリ）を含むコンピュータの場合、ＣＰＵは記憶媒体１９０に格納されたプログラムを実行することで、上述した各部の処理を実現する。

図７は、図５の基地局３０の構成を示すブロック図である。

図７において、基地局３０は、ＲＡＤＩＵＳクライアント部３１０と、ＲＡＤＩＵＳサーバ部３２０と、８０２．１Ｘオーセンティケーター３３０と、プロトコル処理部３４０と、ＩＰプロトコル処理部３５０と、ブリッジ部３６０と、有線ＬＡＮ通信インタフェース部３７０と、ネットワークアクセス制御部３８０と、無線ＬＡＮ ＡＰドライバ３９０と、無線ＬＡＮ通信インタフェース部４００と、記憶媒体４１０とから構成されている。

これらの手段は概略、次のように動作する。

ＲＡＤＩＵＳクライアント部３１０は、無線端末１０−１とのＩＥＥＥ ８０２．１Ｘ認証においてＩＥＥＥ ８０２．１Ｘ認証を認証サーバ５０へ転送するために使用される。

ＲＡＤＩＵＳクライアント部３１０は、８０２．１Ｘオーセンティケーター３３０から受け取ったＩＥＥＥ ８０２．１ＸパケットをＲＡＤＩＵＳパケットでカプセル化し８０２．１Ｘオーセンティケーター３３０へ受け渡す。また８０２．１Ｘオーセンティケーター３３０から受け取ったＲＡＤＩＵＳパケットでカプセル化されたＩＥＥＥ ８０２．１Ｘパケットをカプセル化から解き、８０２．１Ｘオーセンティケーター３３０へ受け渡す。なお、ＲＡＤＩＵＳクライアント部３１０は、ＩＰ通信が可能である他の認証プロトコルを実現するクライアント機能でもかまわない。

ＲＡＤＩＵＳサーバ部３２０は、８０２．１Ｘオーセンティケーター３３０から受け取ったＩＰサブネットワークを越えた事前認証のためのＩＥＥＥ ８０２．１ＸパケットをＲＡＤＩＵＳパケットでカプセル化し８０２．１Ｘオーセンティケーター３３０へ受け渡す。また８０２．１Ｘオーセンティケーター３３０から受け取ったＲＡＤＩＵＳパケットでカプセル化された事前認証のための８０２．１Ｘパケットをカプセル化から解き、８０２．１Ｘオーセンティケーター３３０へ受け渡す。

なお、ＲＡＤＩＵＳサーバ部３２０は、ＩＰ通信が可能である他の認証プロトコルを実現するサーバ機能でもかまわない。

８０２．１Ｘオーセンティケーター３３０は、８０２．１Ｘサプリカント宛、及び８０２．１ＸサプリカントからのＩＥＥＥ ８０２．１Ｘパケットを、ネットワークアクセス処理部を介して送信及び受信する。

８０２．１Ｘオーセンティケーター３３０は、ＩＥＥＥ ８０２．１Ｘ認証に必要な認証処理を行う機能を保持する。ＩＥＥＥ ８０２．１１ｉで規定されるＰＭＫキャッシュの機能を保持し、無線端末１０−１に対して一度成功裏に認証が完了したときのＰＭＫをキャッシュしておく機能を備える。また、ＰＭＫは同時に複数保持することも可能であり、接続してくる無線端末毎に適切に使い分けることが可能である。また、ＩＥＥＥ ８０２．１１ｉで規定される事前認証（ｐｒｅａｕｔｈｅｎｔｉｃａｔｉｏｎ）に加え、ＲＡＤＩＵＳパケットでカプセル化して送受信される事前認証のためのＩＥＥＥ ８０２．１Ｘ認証機能を備える。

プロトコル処理部３４０は、ＩＰプロトコル処理部３５０から受け取ったデータを適切に処理し、必要に応じて処理したデータをアプリケーションへ受け渡す。また、アプリケーションから受け取ったデータを適切に処理し、ＩＰプロトコル処理部３５０へ送信のために引き渡す。

プロトコル処理部３４０は、ＴＣＰ処理部３４１、ＵＤＰ処理部３４２、それ以外のプロトコル処理部３４３で構成され、前述各処理部はそれぞれ特定のプロトコルに対する処理を行う。例えば、ＵＤＰ／ＩＰでやり取りされる認証プロトコルのパケットは、ＵＤＰ処理部３４２において適切に処理される。

ＩＰプロトコル処理部３５０は、ブリッジ部３６０から受け取ったＩＥＥＥ ８０２．３プロトコルフレームを適切に処理し、必要に応じてプロトコル処理部３４０へ引き渡す。また、プロトコル処理部３４０から受け取ったフレームをＩＥＥＥ ８０２．３プロトコルに処理し、送信するためにブリッジ３６０へ引き渡す。

ブリッジ部３６０は、ＩＰプロトコル処理部３５０から受け取った送信データを送信先によって有線ＬＡＮ通信インタフェース部３７０、もしくは無線ＬＡＮ ＡＰドライバ３９０へ振り分ける処理を行う。

基地局３０は、有線ＬＡＮ通信インタフェース部３７０から受け取ったデータを自身で処理せずに転送する場合は、無線ＬＡＮ ＡＰドライバ３９０へ、または無線ＬＡＮ ＡＰドライバ３９０から受け取ったデータを自身で処理せず転送する場合は、有線ＬＡＮ通信インタフェース部３７０へそのまま受け渡す動作を行う。自身で処理するデータについてはＩＰプロトコル処理部３５０へ受け渡す。

有線ＬＡＮ通信インタフェース部３７０は、ネットワーク４０に接続しており、ブリッジ部３６０から受け取ったデータをネットワーク４０に送信する処理を行う。

また、有線ＬＡＮ通信インタフェース部３７０は、ネットワーク４０から受信したデータをブリッジ部３６０へ受け渡す処理を行う。

有線ＬＡＮ通信インタフェース部３７０は、ＩＥＥＥ ８０２．１Ｘ認証時には無線端末１０−１とのＩＥＥＥ ８０２．１ＸパケットをＲＡＤＩＵＳパケットとして認証サーバと送受信する際に用いられ、また有線側に接続されている端末との通信の際にも用いられる。

ネットワークアクセス制御部３８０は、自身つまり基地局３０へ接続しようとするもしくは接続している無線端末１０−１の接続に関する制御を行う。無線ＬＡＮ ＡＰドライバ３９０に対しては、無線ＬＡＮ接続ネゴシエーションの制御を、８０２．１Ｘオーセンティケーター３３０に対しては認証開始などの制御を、プロトコル処理部３４０、ＩＰプロトコル処理部３５０、ブリッジ部３６０に対しては通信先アドレスやデータのルーティングなどに関する制御を行う。また、無線端末１０−１からのネットワーク接続要求に対して必要な情報の指示／提供もネットワークアクセス制御部３８０は行う。

無線ＬＡＮ ＡＰドライバ３９０は、ＩＥＥＥ ８０２．１１の基地局としての機能を実現するためのＭＡＣ処理を行う。つまり、無線端末１０−１との接続ネゴシエーション処理を行うためのＩＥＥＥ ８０２．１１パケットの生成及び解析を行う。また、無線ＬＡＮ通信インタフェース部４００から受信したＩＥＥＥ ８０２．１１パケットをＴＣＰ／ＩＰやＵＤＰ／ＩＰなどのＩＥＥＥ ８０２．３プロトコルに変換しブリッジ部３６０に渡す。逆に、ブリッジ部３６０から受信したＩＥＥＥ ８０２．３プロトコルのフレームをＩＥＥＥ ８０２．１１パケットでカプセル化し無線ＬＡＮ通信インタフェース部４００を介して送信する。

無線ＬＡＮ ＡＰドライバ３９０は、無線ＬＡＮ通信インタフェース部４００から受信したＩＥＥＥ ８０２．１Ｘパケットを８０２．１Ｘオーセンティケーター３３０へ渡し、８０２．１Ｘオーセンティケーター３３０から送信要求されたＩＥＥＥ ８０２．１Ｘパケットを無線ＬＡＮ通信インタフェース部４００を介して送信する。

無線ＬＡＮ通信インタフェース部４００は、無線ＬＡＮ ＡＰドライバ３９０から受け取ったデータを無線で送信する処理を行う。また、無線ＬＡＮ通信インタフェース部４００は、受信したデータを無線ＬＡＮ ＡＰドライバ３９０へ渡す処理を行う。無線ＬＡＮ通信インタフェース部４００は、主に、無線端末１０−１との通信の際に用いられる。

基地局３０が図示せぬＣＰＵ（中央処理装置）及びＲＡＭ（リードオンリーメモリ）を含むコンピュータの場合、ＣＰＵは記憶媒体４１０に格納されたプログラムを実行することで、上述した各部の処理を実現する。

次に、図８の無線通信システムの全体的な動作の流れを示すシーケンスチャート図、図９の無線通信システムを構成する装置間のデータの流れを示すネットワーク構成図、図１０の無線端末１０−１の動作を示すフローチャート図、図１１の事前認証の対象となる基地局３０の動作を示すフローチャート図及び図５〜図７を参照して本実施の形態における全体の動作について詳細に説明する。

尚、図１０に示す処理は無線端末１０−１を構成するコンピュータのＣＰＵが記憶媒体１９０のプログラムをＲＡＭに移して実行することで実現され、図１１に示す処理は基地局３０を構成するコンピュータのＣＰＵが記憶媒体４１０のプログラムをＲＡＭに移して実行することで実現される。

まず、基地局２０を介して無線端末１０−１がネットワーク４０に接続して通信を行うには、無線端末１０−１と基地局２０との間でネゴシエーションを行いデータ通信が可能となる（図８のＣ１、図９の（１）、図１０のステップＡ１、ステップＡ２）。

無線端末１０−１と基地局２０との間のネゴシエーションは、ＩＥＥＥ ８０２．１１接続ネゴシエーションのみでＷＥＰキーによる暗号化通信であるかもしれないし、ＩＥＥＥ ８０２．１Ｘ認証の結果接続が許可され動的に設定されたＷＥＰキーによる暗号化通信であるかもしれないし、もしくはＷＰＡ（Ｗｉ−Ｆｉ Ｐｒｏｔｅｃｔｅｄ Ａｃｃｅｓｓ）によるよりセキュリティが強化された接続であるかもしれない。

次に、無線端末１０−１は現在接続している基地局２０とは別の事前認証の対象とする基地局３０の存在を前述基地局３０が報知している情報を取得することによって検出する（図８のＣ２、図９の（５）、図１０のステップＡ３）。無線端末１０−１においては、無線ＬＡＮ通信インタフェース部１７０から受信した前述報知情報が無線ＬＡＮ端末ドライバ１６０を介してネットワークアクセス制御部１５０へ受け渡される。例えば、前記基地局３０が報知しているビーコンもしくはプローブレスポンスには自身のネットワークを識別するＥＳＳＩＤやＢＳＳＩＤ及び基地局名などが含まれている。

無線端末１０−１は、事前認証の対象とする基地局３０に対して現在接続している基地局２０を介して本発明の事前認証を行うことを決定すると、事前認証の対象とする基地局３０が報知している情報から取得した情報（ＥＳＳＩＤ、ＢＳＳＩＤなど）を元に、図６のネットワークアクセス制御部１５０はパラメータ記憶部１８０に記憶されているＥＳＳＩＤもしくはＢＳＳＩＤとＩＰアドレスとの対応表から事前認証の対象とする基地局３０のＩＰアドレスを取得する（図１０のステップＡ４）。例えば、パラメータ記憶部１８０にはあるＥＳＳＩＤに対するＩＰアドレスが、もしくはあるＢＳＳＩＤに対するＩＰアドレスが記憶されており、事前認証の対象とする基地局のＢＳＳＩＤに対応するＩＰアドレスを取得する。

無線端末１０−１は、事前認証の対象とする基地局３０のＩＰアドレスを取得すると、事前認証の対象とする基地局３０に対して事前認証を開始する（図８のＣ３、図１０の（５）、図１０のステップＡ５）。

無線端末１０−１においては、ネットワークアクセス制御部１５０から８０２．１Ｘサプリカント１２０に対して前述基地局３０に対して事前認証を開始する旨を指示する。

８０２．１Ｘサプリカント１２０は、事前認証を開始するためのＩＥＥＥ ８０２．１Ｘフレームを生成し、ＲＡＤＩＵＳクライアント部１１０を通してＲＡＤＩＵＳパケットを生成し、前述取得したＩＰアドレス宛にプロトコル処理部１３０、ＩＰプロトコル処理部１４０、無線ＬＡＮ端末ドライバ１６０及び無線ＬＡＮ通信インタフェース部１７０を介して現在接続している基地局２０に対して送信する。以後、無線端末１０−１においては、事前認証のためのＩＥＥＥ ８０２．１ＸパケットはＲＡＤＩＵＳパケットでカプセル化され送信されるという上記の流れで行われるものとする。

また、送信したＲＡＤＩＵＳパケットに対する応答として受信したＲＡＤＩＵＳパケットは、上記とまったく逆の流れにおいて８０２．１Ｘサプリカント１２０に届けられる。例えば、無線ＬＡＮ区間において基地局のＢＳＳＩＤを示すフィールドには現在接続している基地局のＭＡＣアドレスを指定し、ＩＰヘッダーのあて先ＩＰアドレスには事前認証の対象とする基地局のＩＰアドレスが指定され、ＲＡＤＩＵＳパケットが含まれたパケットである。

前述ＲＡＤＩＵＳパケットを受信した現在無線端末１０−１が接続している基地局２０は、前述ＩＰアドレスへ配送されるように適切に配送処理を行う（図８のＣ４、図９の（２）、図１１のステップＢ１）。

ネットワーク４０を介して前述ＲＡＤＩＵＳパケットを受信した事前認証の対象となる基地局３０は、無線端末１０−１の識別子を要求するためにＩＥＥＥ ８０２．１ＸパケットであるＥＡＰ−Ｒｅｑｕｅｓｔ／ＩｄｅｎｔｉｔｙパケットをＲＡＤＩＵＳパケットでカプセル化して、無線端末１０−１と同様にネットワーク４０を介して無線端末１０−１が接続している基地局２０を経由して返信する（図８のＣ５、図９の（２），（１）、図１１のステップＢ２）。

事前認証の対象となる基地局３０においては、有線ＬＡＮ通信インタフェース部３７０より受信したＲＡＤＩＵＳパケットをブリッジ部３６０、ＩＰプロトコル処理部３５０、プロトコル処理部３４０を介して８０２．１Ｘオーセンティケーター３３０と受け渡され、ＲＡＤＩＵＳサーバ部３２０においてＲＡＤＩＵＳパケットのカプセル化が解かれ事前認証のためのＩＥＥＥ ８０２．１Ｘフレームが８０２．１Ｘオーセンティケーター３３０へ届けられる。

８０２．１Ｘオーセンティケーター３３０は、まず最初に無線端末１０−１の識別子を要求するためにＩＥＥＥ ８０２．１ＸフレームであるＥＡＰ−Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙパケットを送信する（図８、図１１のステップＢ２）。

送信時は、受信時とは逆に、ＲＡＤＩＵＳサーバ部３２０においてＲＡＤＩＵＳパケットへのカプセル化が行われ、ＲＡＤＩＵＳパケットをプロトコル処理部４０、ＩＰプロトコル処理部３５０、ブリッジ部３６０、有線ＬＡＮ通信インタフェース部３７０を介して送信元である無線端末１０−１へ届けられる。

以後、事前認証の対象となる基地局３０においては、上記の流れで事前認証のためのＩＥＥＥ ８０２．１Ｘフレームの送受信が行われる。

以降、無線端末１０−１と事前認証の対象となる基地局３０との間でやり取りされるＲＡＤＩＵＳパケットでカプセル化された事前認証のためのＩＥＥＥ ８０２．１Ｘフレームのやり取りは、通常のＩＥＥＥ ８０２．１Ｘ認証のやり取りと同様に行われる。

また、前述ＩＥＥＥ ８０２．１Ｘ認証のやり取りは認証方式、例えばＥＡＰ−ＴＬＳ、ＥＡＰ−ＴＴＬＳ、ＰＥＡＰ、ＥＡＰ−ＡＫＡなど利用する認証によって異なるのも通常のＩＥＥＥ ８０２．１Ｘ認証のやり取りと同様である。

事前認証の対象となる基地局３０において、無線端末１０−１の認証を基地局自身では行わずに認証サーバ５０において代わりに行ってもらうために、８０２．１Ｘオーセンティケーター３３０において受信したＩＥＥＥ ８０２．１Ｘフレームを認証サーバ５０とやり取りするためにＲＡＤＩＵＳクライアント部３１０を介してＲＡＤＩＵＳパケットとして認証サーバ５０との送受信を行う。

認証サーバ５０は、基地局３０に代わって無線端末１０−１の認証を行う。認証サーバ５０は、基地局からのユーザー認証要求に応じて、無線端末１０−１のユーザー認証を自身で保持しているユーザー情報を利用し、もしくは管理装置６０と通信することで行い、ユーザー認証結果を基地局３０へ通知する。

認証サーバ５０は、ユーザー認証結果が成功である場合、ＩＥＥＥ ８０２．１Ｘ認証の結果得られる無線端末１０−１と認証サーバ５０間においてのみ共有されるＰＭＫを、ユーザー認証結果と共に基地局３０に対して通知する（図８のＣ６、図１１のステップＢ４）。

事前認証の対象となる基地局３０は、認証サーバ５０から無線端末１０−１に対する認証結果を受信すると、これまでと同様、ＲＡＤＩＵＳパケットでカプセル化された形で事前認証のためのＩＥＥＥ ８０２．１Ｘ認証結果通知を無線端末１０−１に対して、これまた同様にネットワーク４０、基地局２０を介して送信する（図８のＣ７、図１０のステップＡ６、図１１のステップＢ５）。

事前認証のためのＩＥＥＥ ８０２．１Ｘ認証が成功であるとともに、認証が成功した無線端末１０−１に対するＰＭＫを受信した基地局３０においては、ＲＡＤＩＵＳクライアント部３１０にてＩＥＥＥ ８０２．１Ｘ認証成功通知とＰＭＫが分割され８０２．１Ｘオーセンティケーター３３０に受け渡される。無線端末１０−１に対しては、ＩＥＥＥ ８０２．１Ｘ認証成功通知のみをＲＡＤＩＵＳサーバ部３２０を介してＲＡＤＩＵＳパケットでカプセル化した形で無線端末１０−１へ送信する。ＰＭＫに関しては無線端末１０−１へ転送せず、自身でキャッシュしておく（図８のＣ８、図１０のステップＡ６、図１１のステップＢ６）。

現在接続している基地局２０を介して事前認証の対象とする基地局３０からの事前認証成功通知を受信した無線端末１０−１は、前述事前認証のためのＩＥＥＥ ８０２．１Ｘ認証の過程で取得したＰＭＫを自身でキャッシュし、事前認証の対象とする基地局３０が報知する情報（ＥＳＳＩＤやＢＳＳＩＤなど）と前述キャッシュしたＰＭＫとの対応を保持しておく（図８のＣ８、図１０のステップＡ６）。

無線端末１０−１は、ＩＥＥＥ ８０２．１１ｉで規定されるＰＭＫキャッシュを利用するために必要となる無線端末１０−１自身のＭＣアドレスをＩＥＥＥ ８０２．１Ｘ認証フレームをカプセル化するためのＲＡＤＩＵＳパケットに含めることにより基地局３０に対して通知する。

無線端末１０−１は、前述事前認証を行った基地局３０の存在を、前述基地局３０が報知する情報から検出し、現在接続している基地局２０から前述事前認証を行った基地局３０へ移動することを決定すると、無線端末１０−１は、前述事前認証を行った基地局３０に対して接続ネゴシエーションを開始する（図８のＣ９、図１０のステップＡ７，Ａ８、図１１のステップＢ７）。

無線端末１０−１と事前認証を行った基地局３０との接続ネゴシエーションは、ＩＥＥＥ ８０２．１１ｉ規定のＰＭＫキャッシュを利用することができる。つまり、無線端末１０−１は基地局３０に対するＩＥＥＥ ８０２．１１（再）アソシエーション要求において前述事前認証にてキャッシュしておいたＰＭＫを識別するためのＩＤをＲＳＮ ＩＥ（Ｒｏｂｕｓｔ Ｓｅｃｕｒｉｔｙ？ Ｎｅｔｗｏｒｋ Ｉｎｆｏｒｍａｔｉｏｎ Ｅｌｅｍｅｎｔ）と共に指定する。無線端末１０−１は、ＰＭＫを複数同時に保持することが可能であるため、前述ＰＭＫをキャッシュするときに対応付けて保持している基地局の情報（ＥＳＳＩＤやＢＳＳＩＤ）を参考にして、適切なＰＭＫを選択することが可能である。また、ＩＥＥＥ ８０２．１１（再）アソシエーション要求において同時に複数のＰＭＫ ＩＤを含むこともできる。この場合、後述するが基地局３０が選択したＰＭＫ ＩＤを利用して引き続き鍵交換が行われる。

無線端末１０−１と接続ネゴシエーション中の基地局３０は、ＲＳＮ ＩＥ／ＰＭＫ ＩＤを含むＩＥＥＥ ８０２．１１（再）アソシエーション要求を受信すると、ＩＥＥＥ ８０２．１１（再）アソシエーション応答を無線端末１０−１に対して返信する（図８のＣ１０）。

前述の基地局３０は、無線端末１０−１とのＲＡＤＩＵＳパケットを介したＩＥＥＥ ８０２．１Ｘ認証時に、無線端末１０−１から通知されたＭＣＡアドレスと、無線端末１０−１との間で行われた事前認証を介して取得済みであって、無線端末自身でキャッシュしているＰＭＫとを用いて、予め無線端末１０−１を識別するためのＰＭＫ ＩＤを生成済みである。このＰＭＫ ＩＤは、無線端末１０−１がＰＭＫキャッシュを使用して接続する場合に、どのＰＭＫを使用するかについての識別を行うために使用される。

前述の基地局３０は、自身でキャッシュしているＰＭＫを識別するための各ＩＤと無線端末１０−１からＩＥＥＥ ８０２．１１（再）アソシエーション要求において受信したＰＭＫ ＩＤを比較し、一致するものがあった場合は該ＰＭＫ ＩＤで識別されるＰＭＫを使用して引き続き鍵交換を行う（図１１のステップＢ８，Ｂ９）。

鍵交換においては、４ウェイハンドシェイクの最初のメッセージであるＥＡＰＯＬ−Ｋｅｙフレームにおいて選択したＰＭＫ ＩＤを含んで無線端末１０−１へ送信する（図８のＣ１１）。

ＰＭＫ ＩＤを含んだＥＡＰＯＬ−Ｋｅｙフレームを受信した無線端末１０−１は、ＩＥＥＥ ８０２．１１（再）アソシエーション要求において指定したＰＭＫ ＩＤと一致していることを、もしくは複数指定したＰＭＫ ＩＤから基地局によって選択されたＰＭＫ ＩＤを確認する（図８のＣ１２）。

以降は、引き続き通常の４ウェイハンドシェイク及びグループキーハンドシェイク処理を行うことにより最終的に暗号化通信のための鍵が設定され、暗号化されたデータ通信が可能となる。

この時点で、別途他の基地局に対して本発明の事前認証を行うことも可能であり、この場合も同様に前述他の基地局との接続においてもＰＭＫキャッシュを使用した無線ＬＡＮ接続が可能となる。

図１０のステップＡ６において、事前認証が失敗した旨通知を受けた場合、無線端末１０−１は前述事前認証に失敗した基地局に無線ＬＡＮ接続する時には、通常のＩＥＥＥ ８０２．１１接続ネゴシエーション、ＩＥＥＥ ８０２．１Ｘ認証、鍵交換が行われることになり、その後、暗号化されたデータ通信が行われる（図１０のステップＡ１１、Ａ１２、Ａ１３、Ａ１０）。

事前認証によってＰＭＫをキャッシュする無線端末１０−１及び基地局３０は、それぞれキャッシュしたＰＭＫに対して保持期間を持っているかもしれない。保持期間を過ぎて利用されなかったＰＭＫは破棄されるかもしれない。つまり、保持期間を過ぎた後にＰＭＫキャッシュを利用して無線ＬＡＮ接続ネゴシエーションを行おうとした場合、基地局３０においてはＰＭＫがすでに破棄されているために通常の接続ネゴシエーションが要求されることになるかもしれないし、無線端末１０−１においてはＰＭＫがすでに破棄されているためにＰＭＫキャッシュでの接続を行うことができないかもしれない。

図８のアクセス要求は、ＥＡＰＯＬ−Ｓｔａｒｔフレームを含む代わりに、基地局３０が事前認証を開始することが判断できるフレーム、例えばアクセス要求に事前認証を開始する旨内容が伴うアクセス要求フレームであってもよい。

第１の形態における説明では、認証サーバは１つであったが、基地局毎に異なる認証サーバを使用して認証を行うような構成でもかまわない。

次に、第１の形態による効果について説明する。

第１の形態では、無線端末及び事前認証の対象となる基地局それぞれにおいてＩＥＥＥ ８０２．１Ｘ認証フレームをＩＰ通信可能な認証パケットでカプセル化することによってＩＰネットワーク上でお互いに通信することが可能であるように構成されているため、ＩＥＥＥ ８０２．１１ｉ規定の事前認証ではＩＰサブネットワーク内においてのみしか事前認証ができないのに対して、ＩＰネットワーク上で無線端末及び事前認証の対象となる基地局がお互いに通信可能であれば、事前認証を遂行することができる。このため、無線ＬＡＮ接続ネゴシエーションの量を減らすことができ、無線ＬＡＮ通信断となる期間を短くすることが可能となる。

また、第１の形態では、さらに、無線端末においてパラメータ記憶部１８０を備え基地局に対するＩＰアドレスの対応を予め保持できるように構成されているため、事前認証の対象とする基地局３０のＩＰアドレスを識別することができる。
（第１の形態の変形例）
次に、第１の形態の変形例について図７を参照して詳細に説明する。

図７を参照すると、第１の形態の変形例は、図７の８０２．１Ｘオーセンティケーター３３０及びＲＡＤＩＵＳサーバ部３２０の動作において第１の形態と一部異なる以外は、第１の形態と同様の構成となっている。

基地局３０における８０２．１Ｘオーセンティケーター３３０は、無線端末１０−１の８０２．１Ｘサプリカント１２０とやり取りされる事前認証のためのＲＡＤＩＵＳパケットの処理動作においてのみ、第１の形態とは一部異なる。

８０２．１Ｘオーセンティケーター３３０は、第１の形態では、事前認証のためのＲＡＤＩＵＳパケットを受け取るといったんＲＡＤＩＵＳサーバ部３２０へ受け渡し、ＲＡＤＩＵＳパケットのカプセル化を解いたＩＥＥＥ ８０２．１Ｘパケットとして受け取り、受け取ったＩＥＥＥ ８０２．１Ｘパケットを認証サーバ５０へ転送するためにＲＡＤＩＵＳクライアント部３１０においてＲＡＤＩＵＳパケットにして転送処理を、またその逆、認証サーバ５０から応答されたＲＡＤＩＵＳパケットをＲＡＤＩＵＳクライアント部３１０においてＩＥＥＥ ８０２．１Ｘパケットにし、無線端末１０−１の８０２．１Ｘサプリカント１２０へ送信するためにＲＡＤＩＵＳサーバ部３２０へ受け渡す処理をしていたが、第１の形態の変形零では、事前認証のためのＲＡＤＩＵＳパケットを受け取るとＲＡＤＩＵＳサーバ部３２０へ受け渡した後、ＲＡＤＩＵＳサーバ部３２０はＲＡＤＩＵＳプロキシーとしての動作を行い、つまりプロキシー動作として必要な処理を行った後、ＲＡＤＩＵＳパケットのまま８０２．１Ｘオーセンティケーター３３０に返される。８０２．１Ｘオーセンティケーター３３０は、前述ＲＡＤＩＵＳパケットを認証サーバ５０へ転送する。認証サーバ５０から返信されたＲＡＤＩＵＳパケットはＲＡＤＩＵＳプロキシーとして動作しているＲＡＤＩＵＳサーバ部３２０を介した後、そのまま無線端末１０−１へ送信される。

ＲＡＤＩＵＳサーバ部３２０は、第１の形態では、事前認証のためのＲＡＤＩＵＳパケットのカプセル化及びその逆の処理をしていたが、第１の形態の変形例では、ＲＡＤＩＵＳプロキシーサーバとして動作する点が大きく異なる。

ＲＡＤＩＵＳサーバ部３２０は、８０２．１Ｘオーセンティケーター３３０から受け取ったＲＡＤＩＵＳパケットに対してプロキシー動作としての処理を施した後、ＲＡＤＩＵＳパケットのまま８０２．１Ｘオーセンティケーター３３０へ受け渡す。

ＲＡＤＩＵＳサーバ部３２０は、認証サーバ５０から最終的に認証成功を通知するパケットを受信した場合、認証成功を通知するパケットに付随するＰＭＫ情報については無線端末１０−１へ転送せずに、認証成功を通知するパケットと分離し、認証成功を通知するパケットについては無線端末１０−１へ転送し、ＰＭＫは別に８０２．１Ｘオーセンティケーター３３０へ受け渡す。なお、ＲＡＤＩＵＳサーバ部３２０は、ＩＰ通信が可能である他の認証プロトコルを実現するサーバ機能でもかまわない。

第１の形態の変形例において、第１の形態と異なる点は、基地局３０における８０２．１Ｘオーセンティケーター３３０及びＲＡＤＩＵＳサーバ部３２０の動作に関してである。そこで、以下ではこれらの異なる点についてのみ説明する。

無線端末１０−１の構成及び動作は第１の形態と同様であり、まず最初の基地局２０に対して適切に接続ネゴシエーションを行い接続し、事前認証の対象とする基地局３０を何らかの方法で検出すると前述基地局に対して本発明の事前認証を開始する旨要求するパケットを送信する。

事前認証開始を要求するパケットを受信した基地局３０は、無線端末１０−１に対してＩＤを要求するパケットを送信する。

基地局３０においては、有線ＬＡＮ通信インタフェース部３７０、ブリッジ部３６０、ＩＰプロトコル処理部３５０、プロトコル処理部３４０を介して８０２．１Ｘオーセンティケーター３３０はＲＡＤＩＵＳパケットでカプセル化された事前認証開始を要求するパケットを受け取る。このＲＡＤＩＵＳパケットはＲＡＤＩＵＳサーバ部３２０においてカプセル化が解かれて、８０２．１Ｘオーセンティケーター３３０は無線端末１０−１からの事前認証開始要求に対して、ＩＤを要求するパケットにて応答する。

前述ＲＡＤＩＵＳパケットでカプセル化された事前認証開始を要求するパケットは、８０２．１Ｘオーセンティケーター３３０が事前認証を開始することが判断可能であるパケットがＲＡＤＩＵＳパケットでカプセル化されている形式かもしれないし、ＲＡＤＩＵＳパケット自体に含まれる属性値などにおいて事前認証の開始を要求していることを示しているＲＡＤＩＵＳパケットであるかもしれない。

無線端末１０−１は、ＲＡＤＩＵＳパケットでカプセル化されたＩＤを要求する事前認証パケットを受信すると、ＲＡＤＩＵＳパケットでカプセル化された自身のＩＤを挿入した事前認証パケットにて基地局へ応答する。

基地局３０は、前述ＲＡＤＩＵＳパケットでカプセル化された無線端末の利用者のＩＤが挿入された事前認証パケットを受信すると、ＲＡＤＩＵＳプロキシパケットである旨を示す属性を付与し、また認証サーバ５０との安全な通信をするための処理を施して認証サーバ５０へ転送する。認証サーバ５０から返信されたＲＡＤＩＵＳプロキシパケットに対しても同様に、ＲＡＤＩＵＳプロキシパケットである旨を示す属性をこの場合は取り除き、無線端末１０−１との安全な通信をするための処理を施して無線端末１０−１へ転送する。

以降、無線端末１０−１、基地局３０、認証サーバ５０において認証方式によってやり取りする内容は異なるが、ＩＥＥＥ ８０２．１Ｘ認証と同様に事前認証が行われる。

最終的に、ＰＭＫが含まれる属性を伴った認証成功を示すＲＡＤＩＵＳパケットを認証サーバ５０から受信した基地局３０は、ＰＭＫが含まれる属性はＲＡＤＩＵＳパケットから取り除き、無線端末１０−１へ転送する。ＰＭＫはＰＭＫキャッシュによる接続を可能とするために自身にキャッシュされる。

以降、前述無線端末１０−１が基地局３０へ無線ＬＡＮ接続ネゴシエーションを行うときに、前述キャッシュされたＰＭＫを使用してＰＭＫキャッシュを利用した接続が可能となる。

次に、第１の形態の変形例による効果について説明する。

第１の形態の変形例では、基地局３０において無線端末１０−１と基地局３０の間のＲＡＤＩＵＳパケットに対して基地局３０と認証サーバ５０の間のＲＡＤＩＵＳパケットを生成し直す必要がないように構成されているため、基地局３０におけるＲＡＤＩＵＳパケットの処理を少なくすることができる。
（第２の形態）
次に、本発明の第２の形態について添付の図面を参照して詳細に説明する。

図１２は、第２の形態による無線通信システムの構成を示す図である。

図１２を参照すると、前述した第１の形態及びその変形例による無線通信システムの構成とは、基地局管理サーバ７０を要している点で異なる。

基地局管理サーバ７０は、基地局のＢＳＳＩＤやＥＳＳＩＤ、基地局名などに対応するＩＰアドレスを管理している。無線端末などからＩＰアドレス解決要求を受信すると、自身で保持している基地局のＢＳＳＩＤやＥＳＳＩＤ、基地局名などとＩＰアドレスとの対応表から、ＩＰアドレス解決要求の対象である基地局に対応するＩＰアドレスを返す。

なお、基地局管理サーバ７０とＩＰアドレス解決要求を送信する端末間のプロトコルは、ＤＮＳ（Ｄｙｎａｍｉｃ Ｎａｍｅ Ｓｅｒｖｉｃｅ）プロトコルに似た独自プロトコルかもしれないし、ＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）もしくはＨＴＴＰＳ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ ＳＳＬ）を利用したプロトコルであるかもしれない。

図１３において、第２の形態による無線端末１０−２の構成は、上述した第１の形態及びその変形例による無線端末１０−１の構成に加え、基地局アドレス解決部２００を要する点で異なる。

基地局アドレス解決部２００は、図１２における基地局管理サーバ７０と通信を行い、基地局のＩＰアドレスを解決する役割を担う。

基地局アドレス解決部２００は、ネットワークアクセス処理部１５０からＩＰアドレスのわかっていない基地局のＢＳＳＩＤアドレスを渡されると、前述ＢＳＳＩＤアドレスに対するＩＰアドレスを基地局管理サーバ７０へ問い合わせる。基地局管理サーバ７０から取得したＩＰアドレスをネットワークアクセス処理部１５０へ返す。

また、基地局アドレス解決部２００は、ＢＳＳＩＤアドレスに対するＩＰアドレスを問い合わせるだけではなく、ＥＳＳＩＤからＩＰアドレスを問い合わせる機能も併せ持つ。また、基地局が報知している情報から基地局の基地局名が取得できる場合、基地局アドレス解決部２００は、基地局名からＩＰアドレスを問い合わせる機能も併せ持つ。なお、基地局アドレス解決部２００と基地局管理サーバ７０間のプロトコルは、ＤＮＳプロトコルに似た独自プロトコルかもしれないし、ＨＴＴＰもしくはＨＴＴＰＳを利用したプロトコルであるかもしれない。

図１３において、第２の形態による無線端末１０−２の動作は、上述した第１の形態及びその変形例における無線端末１０−１の動作と比較して、ネットワークアクセス処理部１５０において若干異なる。第１の形態及びその変形例では、事前認証の対象とする基地局のＩＰアドレスをパラメータ記憶部１８０から取得していたが、第２の形態では、基地局が報知している情報（ＢＳＳＩＤやＥＳＳＩＤ、基地局名など）からＩＰアドレスを解決するよう基地局アドレス解決部２００に対して要求し、基地局アドレス解決部２００の問い合わせによって取得したＩＰアドレスを用いて、ネットワークアクセス処理部１５０は本発明の事前認証の動作に入る。また、ネットワークアクセス処理部１５０は取得したＩＰアドレスをパラメータ記憶部１８０に格納しておくことが可能である。

第２の形態は、無線端末１０−２における上述の事前認証の対象とする基地局のＩＰアドレスの取得方法が異なるのみで他の動作に関しては、上述した第１の形態及びその変形例における無線端末１０−１の動作と同様である。また、基地局２０、３０、認証サーバ５０、管理装置６０に関しては上述した第１の形態及びその変形例におけるそれらと構成及び動作は同様である。

また、第２の形態は、上述した第１の形態及びその変形例のどちらにも組み合わせることが可能である。

次に、第２の形態による効果について説明する。

第１の形態およびその変形例では、無線端末１０において予め基地局のＩＰアドレスを保持していなければいけなかったが、第２の形態では基地局アドレス解決部２００を備えるように構成されているため、動的に基地局のＩＰアドレスを取得することが可能である。このため、予め無線端末１０−２において基地局のＩＰアドレスを設定しておく必要がないという効果が得られる。
（第３の形態）
次に、本発明の第３の形態について添付の図面を参照して詳細に説明する。

図１４は、第３の形態における無線通信システムの構成を示す図である。

図１４を参照すると、前述した第１及びその変形例における無線通信システムの構成とは、設定情報サーバ８０を要している点で異なる。

設定情報サーバ８０は、無線端末が基地局に対して無線ＬＡＮ接続する際に必要となる情報の組を保持している。無線端末などから設定情報取得要求を受信すると、無線端末に対する無線ＬＡＮ接続に必要な情報の組を返す。

前述無線ＬＡＮ接続に必要な情報にはＥＳＳＩＤとＥＳＳＩＤが設定されている基地局に接続するために必要となるセキュリティ情報（ＷＰＡなどの接続方式からＷＥＰ、ＴＫＩＰ、ＡＥＳなどの暗号化方式、ＩＥＥＥ ８０２．１Ｘの認証方式及び各認証方式に必要となる設定、及びパスフレーズなどを含む）及びＩＰ接続に必要となる情報（無線端末のＩＰアドレス、ネットマスク、ゲートウェイアドレス、ＤＮＳアドレスやＤＨＣＰ設定など）などが含まれている。

また、各基地局に対する設定には、本発明の事前認証への対応の不可も含まれており、対応している場合は、基地局に対する接続先であるＩＰアドレスも含まれている。なお、無線ＬＡＮ接続に必要な情報の組は複数含まれていてもよい。

また、設定情報サーバ８０と設定情報取得要求を送信する端末間のプロトコルは、ＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）もしくはＨＴＴＰＳ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ））を利用したプロトコルであるかもしれないし、独自に規定したプロトコルであるかもしれない。実際にやり取りされる情報は、ＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）言語に従い、＜ｎｅｔｗｏｒｋ＞＜ｗｌａｎ＞＜ｅｓｓｉｄ＞ａｐ１＜／ｅｓｓｉｄ＞＜ａｓｓｏｃ＞ｗｐａ＜／ａｓｓｏｃ＞＜ｅｎｃ＞ｔｋｉｐ＜／ｅｎｃ＞＜ｂｓｓｉｄ＞ａａａａａａａａａａａａ＜／ｂｓｓｉｄ＞＜ｉｐ＞０．０．０．０＜／ｉｐ＞＜／ｗｌａｎ＞＜ｎｅｔｗｏｒｋ＞などのように記述される。

図１５において、第３の形態における無線端末１０−３の構成は、上述した第１の形態及びその変形例における無線端末１０−１の構成に加え、設定情報ダウンロード部２１０を要する点で異なる。

設定情報ダウンロード部２１０は、図１４における設定情報サーバ８０と通信を行い、無線端末において無線ＬＡＮ接続のために必要となる設定情報を取得し、パラメータ記憶部に格納する役割を担う。設定情報ダウンロード部２１０は、ネットワークアクセス処理部１５０から特定の設定情報サーバ８０から設定情報をダウンロードする旨指示を受けると、前述特定の設定情報サーバ８０に対して設定情報取得要求を設定情報サーバ８０へ行う。設定情報サーバ８０から取得した無線ＬＡＮ接続のために必要となる設定情報をパラメータ記憶部１８０へ格納し、ネットワークアクセス処理部１５０へ設定情報の取得が完了した旨を通知する。

なお、無線ＬＡＮ接続に必要な情報の組は複数含まれていてもよい。

また、設定情報サーバ８０と設定情報取得要求を送信する端末間のプロトコルは、ＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）もしくはＨＴＴＰＳ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ））を利用したプロトコルであるかもしれないし、独自に規定したプロトコルであるかもしれない。実際にやり取りされる情報は、ＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）言語に従い、＜ｎｅｔｗｏｒｋ＞＜ｗｌａｎ＞＜ｅｓｓｉｄ＞ａｐ１＜／ｅｓｓｉｄ＞＜ａｓｓｏｃ＞ｗｐａ＜／ａｓｓｏｃ＞＜ｅｎｃ＞ｔｋｉｐ＜／ｅｎｃ＞＜ｂｓｓｉｄ＞ａａａａａａａａａａａａ＜／ｂｓｓｉｄ＞＜ｉｐ＞０．０．０．０＜／ｉｐ＞＜／ｗｌａｎ＞＜ｎｅｔｗｏｒｋ＞などのように記述される。

図１５において、第３の形態による無線端末１０−３の動作は、上述した第１の形態及びその変形例による無線端末１０−１の動作と比較してネットワークアクセス処理部１５０において若干異なる。第１の形態及びその変形例では、無線ＬＡＮ接続情報及び事前認証の対象とする基地局の情報つまりＩＰアドレスを予め記述されたパラメータ記憶部１８０から取得していた動作が、第３の形態では、ネットワークアクセス処理部１５０が、まず設定情報ダウンロード部２１０に対してネットワークアクセス処理部１５０が指定する特定の設定情報サーバ８０から無線ＬＡＮ接続のため、及び本発明の事前認証のための設定情報をダウンロードする旨を要求し、設定情報ダウンロード部２１０が設定情報サーバ８０から取得した設定情報をパラメータ記憶部１８０に格納し、格納が完了した旨がネットワークアクセス処理部１５０へ通知され、パラメータ記憶部１８０に格納された情報を用いて無線ＬＡＮ接続及び本発明の事前認証を開始する。事前認証を開始した後の動作に関しては、上述した第１の形態及びその変形例における動作と同様である。

第３の形態における無線端末１０−３の動作は、最初の基地局にすでに接続されネットワーク４０に接続された端末とのデータ通信が可能である状態であり、第３の形態における無線端末１０−３は設定情報サーバ８０と図１５の無線ＬＡＮ通信インタフェース部１７０を介して設定情報の取得動作を行う。

また、最初の基地局に接続するための無線ＬＡＮ接続情報は予めパラメータ記憶部１８０に格納されている必要がある。

なお、最初の基地局への接続動作と、設定情報サーバ８０からの設定情報の取得動作と、本発明の事前認証に関する開始動作のタイミングについては、必ずしも全て連続で行う必要はない。前述各動作における前提条件としては、最初の基地局への接続動作に関してはすでにパラメータ記憶部１８０に接続するための情報が格納されている必要があり、設定情報サーバ８０からの設定情報の取得動作に関しては何かしらネットワークに接続済みである必要があり、本発明の事前認証に関する開始動作のタイミングについては、事前認証の対象とする基地局に対する情報がすでにパラメータ記憶部１８０に格納されている必要があるということだけである。

つまり、次のようにいくつかの動作タイミングが考えられる。

第３の形態における無線端末１０−３は、最初ある基地局へ接続しており、あるタイミングでネットワークアクセス制御部１５０より設定情報サーバ８０からの設定情報の取得要求の指令が出されると設定情報ダウンロード部２１０は設定情報サーバ８０より設定情報を取得しパラメータ記憶部１８０へ取得して情報を格納し、ネットワークアクセス制御部１５０へ格納した旨通知する。その後、ネットワークアクセス制御部１５０は任意のタイミングでパラメータ記憶部１８０へ格納された情報を用いて本発明の事前認証を開始することが可能である。

別のタイミングとしては、無線端末１０−３は、最初ある基地局へ接続しており、あるタイミングでネットワークアクセス制御部１５０より設定情報サーバ８０からの設定情報の取得要求の指令が出されると設定情報ダウンロード部２１０は設定情報サーバ８０より設定情報を取得しパラメータ記憶部１８０へ取得して情報を格納し、ネットワークアクセス制御部１５０へ格納した旨通知する。その後、ネットワークアクセス制御部１５０は現在接続している基地局から切断し、前述設定情報サーバ８０から取得した情報を利用して別の基地局へ接続し直してから本発明の事前認証を開始するかもしれない。

第３の形態は、上述の事前認証の対象とする基地局のＩＰアドレスを含むネットワーク接続情報に加えて、１０−３が接続可能である基地局に対するネットワーク接続情報の取得手段を備え、取得手段を用いた取得方法が前述した第１の形態、その変形例、及び第２の形態における無線端末の動作と異なるのみで、他の動作に関しては第１の形態、その変形例、及び第２の形態における無線端末の動作と同様である。また、基地局２０、３０、認証サーバ５０、管理装置６０に関しては前述した第１の形態、その変形例、及び第２の形態におけるそれらと構成及び動作とも同様である。

第３の形態において、無線端末１０−３が設定情報サーバから設定情報を取得するときに相互認証が可能であるＨＴＴＰＳを利用してもよく、その場合、無線端末にて保持しているユーザー証明書を設定情報サーバに対して提供することも可能である。設定情報サーバは無線端末から提供されたユーザー証明書に基づき、設定情報を返す内容を変更したり、設定情報を渡してもよいかどうかの可否を判断して設定情報を返したり返さなかったりすることが可能である。

また、第３の形態は、前述した第１の形態、その変形例、及び第２の形態のどれにも組み合わせることが可能であり、さらに第１及び第２の形態を組み合わせた形態、及び第１の形態の変形例及び第２の形態を組み合わせた形態のどちらにも組み合わせることが可能である。

次に、第３の形態による効果について説明する。

第３の形態では、事前認証の対象となる／ならない基地局のどちらも含むネットワーク接続するための情報（事前認証の対象となる基地局のＩＰアドレスを含む）を無線端末が現在接続しているネットワークを介して設定情報サーバから取得できるように構成されているため、無線ＬＡＮ接続のためのネットワーク情報を動的に取得することができる。このため、予め無線端末に接続するための多くの基地局に対する情報を設定しておく必要がなく、また動的に設定してくれるため手動で設定する煩わしさ及び設定間違いなどを減らしてくれる効果が得られる。
（第４の形態）
次に、本発明の第４の形態について添付の図面を参照して詳細に説明する。

図１６は、第４の形態による無線通信システムの構成を示す図である。

図１６を参照すると、上述の第３の形態による無線通信システムの構成とは、設定情報サーバ８０が有線ＬＡＮ通信インタフェース以外のインタフェース部（赤外線通信インタフェース、可視光通信インタフェース、ＨｏｍｅＲＦ通信インタフェース、Ｂｌｕｅｔｏｏｔｈ通信インタフェースなど）８１を要している点で異なる。

第４の形態による設定情報サーバは、第３の形態による設定情報サーバに加え、有線ＬＡＮ通信インタフェース以外の無線通信インタフェース部（赤外線通信インタフェース、可視光通信インタフェース、ＨｏｍｅＲＦ通信インタフェース、Ｂｌｕｅｔｏｏｔｈ通信インタフェースなど）８１を要している。第４の形態においては、第３の形態における設定情報を、無線通信インタフェース部２２０を介して無線端末１０−４とやり取りするという動作のみ異なり、その他の動作に関しては第３の形態における動作と同様である。

なお、設定情報サーバ８０は、有線ＬＡＮ通信インタフェースを介してネットワーク４０に接続されていても接続されていなくてもよい。

図１７において、第４の形態における無線端末１０−４の構成は、第３の形態における無線端末１０−３の構成（図１５参照）に加え、無線ＬＡＮ通信インタフェース部１７０とは異なる無線通信インタフェース部２２０を要する点で異なる。

第４の形態においては、第３の形態におけるような、設定情報サーバとのやり取りを無線ＬＡＮ経由で行うのではなく、無線通信インタフェース部２２０を介して取得動作をするという点が異なる。

図１６に図示の設定情報サーバ８０においても、無線端末１０−４と同様に、自身で備える無線通信インタフェース部を介して無線端末１０−４からの設定情報取得要求に応える。

なお、ネットワークアクセス処理部１５０が設定情報ダウンロード部２１０に対して設定情報ダウンロードの指示を出し、設定情報ダウンロード部２１０が設定情報サーバ８０から取得した設定情報をパラメータ記憶部２１０へ格納し、格納が完了した旨をネットワークアクセス処理部１５０へ通知され、パラメータ記憶部１８０へ格納された情報を用いて無線ＬＡＮ接続及び本発明の事前認証を開始するという動作は、上述した第３の形態における動作と同様である。また、事前認証を開始した後の動作に関しては、前述した第１の形態及びその変形例における動作と同様である。

第４の形態における無線端末１０−４の動作は、上述した第３の形態における無線端末１０−３の動作と異なり、設定情報を無線通信インタフェース部２２０から取得するため、第４の形態における無線端末１０−４は予め無線ＬＡＮ接続に接続されている必要はない。

第４の形態は、上述の事前認証の対象とする基地局のＩＰアドレスを含むネットワーク接続情報に加えて、無線端末１０−４が接続可能である基地局に対するネットワーク接続情報の取得手段に無線通信インタフェース部２２０を用いる点が上述した第３の形態における動作と異なるのみで、他の動作に関しては上述した第３の形態における無線端末１０−３の動作と同様である。また、基地局２０、３０、認証サーバ５０、管理装置６０に関しては既述の第１の形態、その変形例、第２の形態、及び第３の形態のそれらと構成及び動作は同様である。

また、第４の形態は、第１の形態、その変形例、第２の形態、及び第３の形態のどれにも組み合わせることが可能であり、さらに、それら各形態の任意の組み合わせにも組み合わせることが可能である。

次に、第４の形態における効果について説明する。

第４の形態では、無線端末及び設定情報サーバにおいて無線ＬＡＮ通信インタフェース部もしくは有線ＬＡＮ通信インタフェース部の他に別途無線通信インタフェース部を備えるように構成されているため、無線通信インタフェース部を介して設定情報のやり取りができる。このため、無線端末においては無線ＬＡＮ接続していない状態でも設定情報を取得することが可能である。また設定情報サーバにおいては通信インタフェース部の特性を利用して、例えばある特定の範囲内でしか通信できない場合、その特性を活かして特定の無線端末とのみ通信したりすることが可能である。
（第５の形態）
次に、本発明の第５の形態について添付の図面を参照して詳細に説明する。

図１８は、第５の形態による無線通信システムの構成を示す図である。

図１８を参照すると、上述した第４の形態による無線通信システムの構成とは、無線通信インタフェース部の代わりに設定情報サーバ８０が設定情報の内容を含むバーコードの出力表示手段８２を要している点で異なる。

第５の形態における設定情報サーバは、第３の形態における設定情報サーバに加え、出力表示手段８２を要している。第５の形態においては、上述の第３の形態における設定情報を、第５の形態において備える設定情報の内容を含むバーコードの出力表示手段８２を介して無線端末に対して出力結果を読み取らせるという動作のみ異なり、その他の動作に関しては第４の形態における動作と同様である。

第５の形態における無線端末１０−５は、第４の形態における無線端末１０−４の構成とは無線通信インタフェース部２２０がバーコードリーダ読み取り手段２３０である点が異なる。

図１９において、第５の形態における無線端末１０−５の構成は、第４の形態における無線端末１０−４の構成と比較して、無線通信インタフェース部２２０がバーコードリーダ読み取り手段２３０である点が異なる。第５の形態においては、上述した第４の形態における、設定情報サーバとのやり取りを無線通信インタフェース部経由で行うのではなく、第５の形態において備えるバーコードリーダ読み取り手段２３０を介して取得するという点が異なる。

図１８における設定情報サーバ８０においても、無線端末１０−５と同様に、自身で備える設定情報の内容を含むバーコードの出力表示手段８２を介して無線端末１０−５に設定情報を提示する。

なお、ネットワークアクセス処理部１５０が設定情報ダウンロード部２１０に対して設定情報ダウンロードの指示を出し、設定情報ダウンロード部２１０が設定情報サーバ８０から取得した設定情報をパラメータ記憶部１８０へ格納し、格納が完了した旨がネットワークアクセス処理部１５０に通知され、パラメータ記憶部１８０へ格納された情報を用いて無線ＬＡＮ接続、及び本発明の事前認証を開始するという動作は、上述の第４の形態によるものと同様である。

また、事前認証を開始した後の動作に関しては、前述までの各形態における動作と同様である。

なお、設定情報サーバ８０は、設定情報の内容を含むバーコードの出力表示結果を自身で表示するのみではなく、別途媒体、例えば紙などのように印刷することが可能である媒体に写すことにより、設定情報サーバの存在位置に関わらず配布したりすることが可能である。

また、第５の形態は、前述までの各形態のどれにも組み合わせることが可能であり、さらに、それら各形態の任意の組み合わせにも組み合わせることが可能である。

次に、第５の形態による効果について説明する。

第５の形態では、無線端末においてはバーコード読み込み部を備え、設定情報サーバにおいてはバーコード出力表示手段を備えるように構成されているため、設定情報サーバの存在位置に関わらず設定情報を含むバーコードが記録された媒体を利用することが可能である。
（第６の形態）
次に、本発明の第６の形態について添付の図面を参照して詳細に説明する。

図２０は、第６の形態による無線通信システムの構成を示す図である。

図２０を参照すると、第３の形態における無線通信システムの構成（図１４参照）とは、携帯電話網９０、携帯電話網９０とインターネット４０とを繋ぐゲートウェイ９１、および無線端末を携帯電話網へ接続するための基地局９２を要している点で異なる。

携帯電話網９０は、携帯電話網における閉じたネットワークにおいてデータ通信を可能とする。携帯電話網９０に接続するためには、基地局９２よりアクセスする必要がある。

ゲートウェイ９１は、前述携帯電話網９０とインターネット４０間でデータ通信を可能にするためのゲートウェイである。

基地局９２は、携帯電話網９０へアクセスするために必要となる基地局としての機能を保持し、携帯電話網への接続機能を有する無線端末１０−６と携帯電話網９０に接続された装置との間でのデータ通信を中継する動作を行う。

第６の形態における無線端末１０−６は、無線端末の無線通信インタフェース部２２０（図１７参照）が基地局９２を介して携帯電話網９０へ接続する機能を有する点で上述の第４の形態における無線端末１０−４と異なる。

第６の形態における無線端末１０−６の動作は上述した第５の形態における無線端末１０−５の動作と略同様である。すなわち、設定情報の取得を携帯電話網への接続機能を有する無線通信インタフェース２２０を介して設定情報を取得する動作が異なるのみであり、それ以外の動作はまったく同様である。

第６の形態における無線端末１０−６から送信される設定情報取得要求は、基地局９２を介して携帯電話網９０を通り、ゲートウェイ９１によってインターネット４０へ届き設定情報サーバ８０へ届けられる。無線端末１０−６へ返す設定情報データはその逆の経路で届けられる。

また、第６の形態は、前述までの各形態のどれにも組み合わせることが可能であり、さらに、それら各形態の任意の組み合わせにも組み合わせることが可能である。

本発明によれば、無線ＬＡＮや有線ＬＡＮの端末または基地局において、無線ＬＡＮによるデータ通信を行う前にネットワーク接続のための認証が必要となる装置に適用可能であり、特に基地局間を頻繁に移動する状況において特に有効である。

Claims (40)

1. 第１の基地局を介してネットワーク接続している無線端末から異なるブロードキャストドメインのＩＰサブネットワークにおける第２の基地局を介して移行接続する際に、認証サーバによる認証を必要とする通信システムであって、前記無線端末から前記第２の基地局に対して接続中のネットワークを介して事前に認証を行うことによって前記無線端末が前記第２の基地局を介してネットワーク通信を開始する際に、移行接続手続きの一部を省略することができるように、前記事前に行う認証フレームをＩＰパケットによりカプセル化してＩＰネットワーク上をトンネリングすることを特徴とする通信システム。
2. 前記事前に行う認証フレームをＩＰパケットによりカプセル化してＩＰネットワーク上をトンネリングする手段を有する前記第２の基地局は、前記カプセル化された事前認証のためのＩＰパケットをＩＰパケットのまま認証サーバへ転送し、且つ、認証サーバから返送されたＩＰパケットをＩＰパケットのまま前記無線端末へ転送することを特徴とする請求項１に記載の通信システム。
3. 前記ＩＰパケットのまま無線端末へ転送する前記第２の基地局は、前記認証サーバからの認証成功通知とともに通知されるＰＭＫを認証成功通知から分離し、認証成功通知のみを無線端末へ転送することを特徴とする請求項２に記載の通信システム。
4. 前記事前に行う認証フレームをＩＰパケットによりカプセル化してＩＰネットワーク上をトンネリングする手段を有する無線端末は、前記第２の基地局の接続情報を取得する手段を有することを特徴とする請求項１または請求項３に記載の通信システム。
5. 前記第２の基地局の接続情報を取得する手段として、前記無線端末が自身で保持している基地局情報から取得することを特徴とする請求項４に記載の通信システム。
6. 前記第２の基地局の接続情報を取得する手段として、前記第２の基地局の設定情報を管理しているサーバを有し、前記第２の基地局の設定情報を管理しているサーバと通信することによって設定情報を取得することを特徴とする請求項４または請求項５に記載の通信システム。
7. 前記第２の基地局の接続情報を取得する手段として、無線ＬＡＮ通信インタフェースを介して通信することを特徴とする請求項６に記載の通信システム。
8. 前記第２の基地局の接続情報を取得する手段として、無線ＬＡＮ通信インタフェースとは別の無線通信インタフェースを介して通信することを特徴とする請求項６に記載の通信システム。
9. 前記第２の基地局の接続情報を取得する手段として、携帯電話網への接続機能を有する無線通信インタフェースを介して通信することを特徴とする請求項６に記載の通信システム。
10. 前記接続情報として、前記第２の基地局のＩＰアドレスであることを特徴とする請求項７から請求項９のいずれかに記載の通信システム。
11. 前記接続情報として、前記第２の基地局への接続ネゴシエーションにて必要となる情報であることを特徴とする請求項７から請求項９に記載のいずれかの通信システム。
12. 第１の基地局を介してネットワーク接続している無線端末から異なるブロードキャストドメインのＩＰサブネットワークにおける第２の基地局を介して移行接続する際に、認証サーバによる認証を必要とする無線端末を当該認証結果に応じて前記ネットワークへの接続を行う基地局であって、前記無線端末から接続中のネットワークを介して事前に認証を行うことによって前記無線端末に対してネットワーク通信を開始する際に、移行接続手続きの一部を省略することができるように、前記事前に行う認証フレームをＩＰパケットによりカプセル化してＩＰネットワーク上をトンネリングすることを特徴とする基地局。
13. 前記事前に行う認証フレームをＩＰパケットによりカプセル化してＩＰネットワーク上をトンネリングする手段を有する前記第２の基地局は、前記カプセル化された事前認証のためのＩＰパケットをＩＰパケットのまま認証サーバへ転送し、且つ、認証サーバから返送されたＩＰパケットをＩＰパケットのまま前記無線端末へ転送することを特徴とする請求項１２に記載の基地局。
14. 第１の基地局を介してネットワーク接続している無線端末から異なるブロードキャストドメインのＩＰサブネットワークにおける第２の基地局を介して移行接続する際に、認証サーバによる認証を必要とする無線端末であって、前記第２の基地局に対して接続中のネットワークを介して事前に認証を行うことによって前記第２の基地局を介してネットワーク通信を開始する際に、移行接続手続きの一部を省略することができる無線端末であって、前記事前に行う認証フレームをＩＰパケットによりカプセル化してＩＰネットワーク上をトンネリングすることを特徴とする無線端末。
15. 前記事前に行う認証フレームをＩＰパケットによりカプセル化してＩＰネットワーク上をトンネリングする手段を有する無線端末は、前記第２の基地局の接続情報を取得する手段を有することを特徴とする請求項１４に記載の無線端末。
16. 前記第２の基地局の接続情報を取得する手段として、自身で保持している基地局情報から取得することを特徴とする請求項１５に記載の無線端末。
17. 前記第２の基地局の接続情報を取得する手段として、前記第２の基地局の設定情報を管理しているサーバを有し、前記第２の基地局の設定情報を管理しているサーバと通信することによって設定情報を取得することを特徴とする請求項１５または請求項１６に記載の無線端末。
18. 前記第２の基地局の接続情報を取得する手段として、無線ＬＡＮ通信インタフェースを介して通信することを特徴とする請求項１７に記載の無線端末。
19. 前記第２の基地局の接続情報を取得する手段として、無線ＬＡＮ通信インタフェースとは別の無線通信インタフェースを介して通信することを特徴とする請求項１７に記載の無線端末。
20. 前記第２の基地局の接続情報を取得する手段として、携帯電話網への接続機能を有する無線通信インタフェースを介して通信することを特徴とする請求項１９に記載の無線端末。
21. 前記接続情報として、前記第２の基地局のＩＰアドレスであることを特徴とする請求項１８から請求項２０のいずれかに記載の無線端末。
22. 前記接続情報として、前記第２の基地局への接続ネゴシエーションにて必要となる情報であることを特徴とする請求項１８から請求項２０のいずれかに記載の無線端末。
23. 第１の基地局を介してネットワーク接続している無線端末から異なるブロードキャストドメインのＩＰサブネットワークにおける第２の基地局を介して移行接続する際に、認証サーバによる認証を必要とする通信システムに用いられる制御方法であって、前記無線端末から前記第２の基地局に対して接続中のネットワークを介して事前に認証を行うことによって前記無線端末が前記第２の基地局を介してネットワーク通信を開始する際に、移行接続手続きの一部を省略することができるように、前記事前に行う認証フレームをＩＰパケットによりカプセル化してＩＰネットワーク上をトンネリングすることを特徴とする制御方法。
24. 第１の基地局を介してネットワーク接続している無線端末から異なるブロードキャストドメインのＩＰサブネットワークにおける第２の基地局を介して移行接続する際に、認証サーバによる認証を必要とする通信システムに用いられる制御方法のプログラムであって、前記無線端末から前記第２の基地局に対して接続中のネットワークを介して事前に認証を行うことによって前記無線端末が前記第２の基地局を介してネットワーク通信を開始する際に、移行接続手続きの一部を省略することができるように、前記事前に行う認証フレームをＩＰパケットによりカプセル化してＩＰネットワーク上をトンネリングする処理を実行させるためのプログラム。
25. 前記第１の基地局は前記認証サーバからの認証成功を通知した後に、その後のデータ通信を暗号化するための鍵を設定するために４ウェイハンドシェイク及びグループキーハンドシェイクを行うことができることを特徴とする請求項１に記載の通信システム。
26. 前記第１の基地局は前記認証サーバからの認証成功を通知した後に、その後のデータ通信を暗号化するための鍵を設定するために４ウェイハンドシェイク及びグループキーハンドシェイクを行うことができることを特徴とする請求項１２に記載の基地局。
27. 前記第１の基地局は前記認証サーバからの認証成功を通知した後に、その後のデータ通信を暗号化するための鍵を設定するために４ウェイハンドシェイク及びグループキーハンドシェイクを行うことができることを特徴とする請求項２３に記載の制御方法。
28. 前記第１の基地局は前記認証サーバからの認証成功を通知した後に、その後のデータ通信を暗号化するための鍵を設定するために４ウェイハンドシェイク及びグループキーハンドシェイクを行うことができることを特徴とする請求項２４に記載のプログラム。
29. 前記第１の基地局は、認証が一旦成功した無線端末毎のＰＭＫを保持することができるように、ＩＥＥＥ ８０２．１１ｉに基づくＰＭＫキャッシュの機能を有し、前記無線端末との再接続ネゴシエーションにおいて該無線端末からＰＭＫキャッシュを利用するという通知があった場合、保持しているＰＭＫの中から、適宜、選択して利用することができることを特徴とする請求項１に記載の通信システム。
30. 前記第１の基地局は、認証が一旦成功した無線端末毎のＰＭＫを保持することができるように、ＩＥＥＥ ８０２．１１ｉに基づくＰＭＫキャッシュの機能を有し、前記無線端末との再接続ネゴシエーションにおいて該無線端末からＰＭＫキャッシュを利用するという通知があった場合、保持しているＰＭＫの中から、適宜、選択して利用することができることを特徴とする請求項１２に記載の基地局。
31. 前記第１の基地局は、認証が一旦成功した無線端末毎のＰＭＫを保持することができるように、ＩＥＥＥ ８０２．１１ｉに基づくＰＭＫキャッシュの機能を有し、前記無線端末との再接続ネゴシエーションにおいて該無線端末からＰＭＫキャッシュを利用するという通知があった場合、保持しているＰＭＫの中から、適宜、選択して利用することができることを特徴とする請求項２３に記載の制御方法。
32. 前記第１の基地局は、認証が一旦成功した無線端末毎のＰＭＫを保持することができるように、ＩＥＥＥ ８０２．１１ｉに基づくＰＭＫキャッシュの機能を有し、前記無線端末との再接続ネゴシエーションにおいて該無線端末からＰＭＫキャッシュを利用するという通知があった場合、保持しているＰＭＫの中から、適宜、選択して利用することができることを特徴とする請求項２４に記載のプログラム。
33. 前記無線端末は、データ通信が可能になる前に、前記第１及び第２の基地局と無線物理層を用いて接続ネゴシエーションを行うことができるように、ＩＥＥＥ ８０２．１Ｘで既定されるサプリカントの機能を保持していることを特徴とする請求項１に記載の通信システム。
34. 前記無線端末は、データ通信が可能になる前に、前記第１及び第２の基地局と無線物理層を用いて接続ネゴシエーションを行うことができるように、ＩＥＥＥ ８０２．１Ｘで既定されるサプリカントの機能を保持していることを特徴とする請求項１４に記載の無線端末。
35. 前記無線端末は、データ通信が可能になる前に、前記第１及び第２の基地局と無線物理層を用いて接続ネゴシエーションを行うことができるように、ＩＥＥＥ ８０２．１Ｘで既定されるサプリカントの機能を保持していることを特徴とする請求項２３に記載の制御方法。
36. 前記無線端末は、データ通信が可能になる前に、前記第１及び第２の基地局と無線物理層を用いて接続ネゴシエーションを行うことができるように、ＩＥＥＥ ８０２．１Ｘで既定されるサプリカントの機能を保持していることを特徴とする請求項２４に記載のプログラム。
37. 前記無線端末は、認証が一旦成功した基地局のＰＭＫを保持することができるように、ＩＥＥＥ ８０２．１１ｉに基づくＰＭＫキャッシュの機能を有し、前記基地局との再接続ネゴシエーションにおいてＰＭＫキャッシュを使用するという通知を出すことができることを特徴とする請求項１に記載の通信システム。
38. 前記無線端末は、認証が一旦成功した基地局のＰＭＫを保持することができるように、ＩＥＥＥ ８０２．１１ｉに基づくＰＭＫキャッシュの機能を有し、前記基地局との再接続ネゴシエーションにおいてＰＭＫキャッシュを使用するという通知を出すことができることを特徴とする請求項１４に記載の無線端末。
39. 前記無線端末は、認証が一旦成功した基地局のＰＭＫを保持することができるように、ＩＥＥＥ ８０２．１１ｉに基づくＰＭＫキャッシュの機能を有し、前記基地局との再接続ネゴシエーションにおいてＰＭＫキャッシュを使用するという通知を出すことができることを特徴とする請求項２３に記載の制御方法。
40. 前記無線端末は、認証が一旦成功した基地局のＰＭＫを保持することができるように、ＩＥＥＥ ８０２．１１ｉに基づくＰＭＫキャッシュの機能を有し、前記基地局との再接続ネゴシエーションにおいてＰＭＫキャッシュを使用するという通知を出すことができることを特徴とする請求項２４に記載のプログラム。

Images