JP5276592B2

JP5276592B2 - System and method for gaining network access

Info

Publication number: JP5276592B2
Application number: JP2009527411A
Authority: JP
Inventors: ウィン，サイモン; ゴードン，ジョン
Original assignee: デバイススケープ・ソフトウェア・インコーポレーテッド
Priority date: 2006-09-06
Filing date: 2007-09-06
Publication date: 2013-08-28
Anticipated expiration: 2027-09-06
Also published as: WO2008030527A3; WO2008030525A3; EP2062129A4; WO2008030525A2; WO2008030526A2; EP2062129A2; JP2010503317A; EP2060050A4; JP2010503319A; EP2062130A2; EP2060050A2; JP2010503318A; JP5276593B2; WO2008030526A3; EP2062130A4; WO2008030527A2; JP5368307B2

Description

本発明の実施態様は、ネットワーキングに、より詳細に述べれば、通信ネットワークにアクセスするためにネットワーク・デバイスに信用証明書を提供することに指向されている。 Embodiments of the present invention are directed to networking, and more particularly to providing credentials to network devices for accessing a communications network.

従来から、あらかじめユーザがわかっていないエリア内にホットスポットが開設されることがある。ホットスポットの例は、ホテル、コーヒー・ショップ、大学構内、およびそのほかの、デジタル・デバイス・ユーザがインターネット等の通信ネットワークへの接続に関心を示すと見られる公的または私的な場所（ロケーション）を包含できる。通常、それらのホットスポットは無線である。 Conventionally, a hot spot may be established in an area that the user does not know in advance. Examples of hotspots are hotels, coffee shops, university campuses, and other public or private locations where digital device users are likely to be interested in connecting to a communications network such as the Internet. Can be included. Usually, these hot spots are wireless.

多くの実施態様において、ホットスポットは、ユーザが認証されることを求める。したがって、通常、ユーザのデジタル・デバイスにホットスポットへのアクセスが許可される前には、ユーザにログイン・プロセスを実行することが要求される。一般的なログイン・プロセスは、ウェブ・ブラウザを開くこと、およびユーザ名およびパスワードを入力することができる専用のポータル・ウェブ・サイトに接続することを包含する。別のプロセスは、ユーザに支払情報の提供を要求することがある。支払の確認の後にアクセス・ポイントが、ユーザのデジタル・デバイスにホットスポットへのアクセスを許可することになる。 In many embodiments, the hotspot requires the user to be authenticated. Thus, the user is typically required to perform a login process before the user's digital device is allowed access to the hotspot. A typical login process involves opening a web browser and connecting to a dedicated portal web site where a username and password can be entered. Another process may require the user to provide payment information. After payment confirmation, the access point will allow the user's digital device to access the hotspot.

残念ながら、すべてのデジタル・デバイスがブラウザ能力を有しているわけではない。その種のデジタル・デバイスは、たとえば、ワイファイ（Ｗｉ‐Ｆｉ）、ＶｏＩＰ電話、カメラ、およびＭＰ３プレーヤを含むことができる。これらのデジタル・デバイスは、通常、ウェブ・ブラウザまたは、信用証明書または支払情報を入力するメカニズムを含まない。その結果として、それらのデジタル・デバイスがホットスポットを使用することが困難になる。 Unfortunately, not all digital devices have browser capabilities. Such digital devices can include, for example, Wi-Fi, VoIP phones, cameras, and MP3 players. These digital devices typically do not include a web browser or mechanism for entering credentials or payment information. As a result, it becomes difficult for those digital devices to use hot spots.

この問題に対する１つの従来的な解決策は、前もってデジタル・デバイスに信用証明書を構成することである。しかしながらこれは、ユーザが使用を予定しているすべてのホットスポットのための信用証明書が、構成の時点において既知であることを要求することになる。また、ユーザがそれらすべてのホットスポットに登録されるか、または申し込むことを要求することもあり得る。さらに、新しいホットスポットがこのあらかじめ構成されたデジタル・デバイスによってアクセスされることは、そのデジタル・デバイスが更新（たとえば、完全に機能するネットワーク接続を介してデジタル・デバイスにダウンロード）されない限り不可能である。さらに別の欠点は、デジタル・デバイスが、すべての信用証明書情報をストアできる充分なメモリを包含していなければならないことである。 One conventional solution to this problem is to configure credentials in advance on the digital device. However, this would require that the credentials for all hot spots that the user intends to use are known at the time of configuration. The user may also be required to register or subscribe to all those hotspots. In addition, a new hotspot cannot be accessed by this preconfigured digital device unless it is updated (for example, downloaded to the digital device over a fully functional network connection). is there. Yet another drawback is that the digital device must contain enough memory to store all the credential information.

本発明の実施態様は、通信ネットワークにアクセスするためにネットワーク信用証明書を提供するためのシステムおよび方法を提供する。ネットワーク・デバイスが、通信ネットワークのためのアクセス・ポイントを構成できる。 Embodiments of the present invention provide systems and methods for providing network credentials for accessing a communication network. A network device can configure an access point for a communication network.

例示的な実施態様においては、デジタル・デバイスが、ネットワーク・デバイスに提供するネットワーク信用証明書の獲得を必要とすることがある。したがって、デジタル・デバイスの信用証明書エンジンが、ネットワーク信用証明書を獲得するべく信用証明書要求を生成できる。この信用証明書要求は、信用証明書サーバに送信できる。その後、信用証明書エンジンが信用証明書要求応答を受信し、分析してネットワーク信用証明書を取得できる。いくつかの実施態様においては、信用証明書要求応答がログイン・プロシージャ情報も包含することがある。 In an exemplary implementation, a digital device may require acquisition of network credentials to provide to the network device. Thus, the digital device's credential engine can generate a credential request to obtain network credentials. This credential request can be sent to a credential server. The credential engine can then receive the credential request response and analyze it to obtain a network credential. In some implementations, the credential request response may also include login procedure information.

通信ネットワークへのアクセスを試みているデジタル・デバイスは、通信ネットワークへのアクセスの試行時にネットワーク・デバイスから認証要求を受信することがある。当該認証要求に基づいて、認証レコードが、デジタル・デバイスの認証レコード・モジュールによって取得される。いくつかの実施態様においては、この取得が、信用証明書要求応答内で受信されたログイン・プロシージャ情報に基づくことができる。 A digital device attempting to access a communication network may receive an authentication request from the network device when attempting to access the communication network. Based on the authentication request, an authentication record is obtained by the authentication record module of the digital device. In some implementations, this acquisition can be based on login procedure information received in the credential request response.

その後、認証レコード内に信用証明書が提供され、認証応答としてネットワーク・デバイスに送信される。ネットワーク・デバイスによる認証に応答して、デジタル・デバイスに通信ネットワークへのアクセスが提供される。 The credentials are then provided in the authentication record and sent as an authentication response to the network device. In response to authentication by the network device, the digital device is provided with access to the communication network.

本発明の実施態様が実施できる環境の概略図である。1 is a schematic diagram of an environment in which embodiments of the present invention may be implemented. 例示的なデジタル・デバイスのブロック図である。1 is a block diagram of an exemplary digital device. デジタル・デバイスにネットワーク・アクセスを提供するための例示的な方法のフローチャートである。2 is a flowchart of an exemplary method for providing network access to a digital device. ネットワーク信用証明書を獲得するための例示的な方法のフローチャートである。2 is a flowchart of an exemplary method for obtaining network credentials. ネットワーク・デバイスを用いてデジタル・デバイスを認証するための例示的な方法のフローチャートである。2 is a flowchart of an exemplary method for authenticating a digital device using a network device. 本発明の１つの実施態様に従った例示的なネットワーク・アクセス認証ページの表示である。2 is a display of an exemplary network access authentication page according to one embodiment of the present invention. デジタル・デバイスにネットワーク・アクセスを提供するための例示的なプロセスのフローチャートである。2 is a flowchart of an exemplary process for providing network access to a digital device. 例示的な信用証明書要求のブロック図である。FIG. 3 is a block diagram of an exemplary credential request.

本発明の実施態様は、ホットスポットを介して通信ネットワークにアクセスするためのシステムおよび方法を提供する。例示的な実施態様においては、デジタル・デバイスがユーザと関連付けされる。ネットワーク・デバイス（たとえば、ホットスポット・アクセス・ポイント）が、デジタル・デバイスに、それ自体を、ホットスポットを使用するためにネットワーク・デバイスに対して認証することを要求する。通常、認証は、アクセスを許可する前にネットワーク・デバイスによって検証されるデジタル・デバイスからのネットワーク信用証明書の要求を包含できる。１つの実施態様においては、通信ネットワークがインターネットを包含する。 Embodiments of the present invention provide systems and methods for accessing a communication network via hotspots. In the exemplary embodiment, a digital device is associated with the user. A network device (eg, hotspot access point) requires a digital device to authenticate itself to the network device to use the hotspot. Typically, authentication can include a request for network credentials from a digital device that is verified by the network device before allowing access. In one embodiment, the communication network includes the Internet.

図１は、本発明の実施態様が実施されることのある環境１００の概略図を図解している。例示的な実施態様においては、ユーザが、デジタル・デバイス１０２を伴ってホットスポットに入る。デジタル・デバイス１０２は、ネットワーク・デバイス１０４を介した標準プロトコルとして信用証明書要求を自動的に送信できる。その信用証明書要求は、信用証明書サーバ１１６に転送されることがあり、それが、その信用証明書要求の中に含められている情報に基づいて、デジタル・デバイス１０２に信用証明書要求応答を返送する。この信用証明書要求応答は、デジタル・デバイス１０２が、通信ネットワーク１１４へのアクセスを獲得するべくネットワーク・デバイス１０４、認証サーバ１０８、またはアクセス・コントローラ１１２に提供することができるネットワーク信用証明書を含む。 FIG. 1 illustrates a schematic diagram of an environment 100 in which embodiments of the present invention may be implemented. In the exemplary embodiment, a user enters a hotspot with digital device 102. The digital device 102 can automatically send a credential request as a standard protocol via the network device 104. The credential request may be forwarded to the credential server 116, which sends a credential request response to the digital device 102 based on the information included in the credential request. Will be returned. The credential request response includes a network credential that the digital device 102 can provide to the network device 104, the authentication server 108, or the access controller 112 to gain access to the communication network 114. .

多様な実施態様においては、ホットスポットが、ネットワーク・デバイス１０４、認証サーバ１０８、ＤＮＳサーバ１１０、およびアクセス・コントローラ１１２を含み、それらはローカル・エリア・ネットワーク１０６（たとえば『ウォールド・ガーデン』）に結合される。ネットワーク・デバイス１０４は、デジタル・デバイス１０２が、ローカル・エリア・ネットワーク１０６を介して認証サーバ１０８、ＤＮＳサーバ１１０、およびアクセス・コントローラ１１２と通信することを可能にするアクセス・ポイントを包含できる。デジタル・デバイス１０２は、ラップトップ、携帯電話、カメラ、携帯情報端末、またはそのほかの任意のコンピューティング・デバイスを包含できる。認証サーバ１０８は、通信ネットワーク１１４にわたる通信にアクセスすることをデジタル・デバイス１０２に許可する前にデジタル・デバイス１０２にネットワーク信用証明書を要求するサーバである。ネットワーク信用証明書は、ユーザ名、パスワード、およびログイン・プロシージャ情報を包含する。ＤＮＳサーバ１１０は、ローカル・エリア・ネットワーク１０６にわたってＤＮＳサービスを提供し、かつ通信ネットワーク１１４を横切ってほかのＤＮＳサーバ（図示せず）に要求を中継することができる。アクセス・コントローラ１１２は、ネットワーク・デバイス１０４に機能的に結合されたデバイスと通信ネットワーク１１４に結合されたデバイスの間における通信を可能にするルータまたはブリッジ等のアクセス・デバイスである。 In various embodiments, the hotspot includes a network device 104, an authentication server 108, a DNS server 110, and an access controller 112, which are coupled to a local area network 106 (eg, “Walled Garden”). Is done. Network device 104 can include an access point that enables digital device 102 to communicate with authentication server 108, DNS server 110, and access controller 112 via local area network 106. Digital device 102 may include a laptop, mobile phone, camera, personal digital assistant, or any other computing device. The authentication server 108 is a server that requests network credentials from the digital device 102 before allowing the digital device 102 to access communications over the communication network 114. The network credentials include username, password, and login procedure information. The DNS server 110 can provide DNS services across the local area network 106 and relay requests across the communication network 114 to other DNS servers (not shown). Access controller 112 is an access device such as a router or bridge that enables communication between a device operatively coupled to network device 104 and a device coupled to communication network 114.

図１内のホットスポットは、ローカル・エリア・ネットワーク１０６に結合された別々のサーバを図示しているが、当業者は、ローカル・エリア・ネットワーク１０６に結合される任意数のデバイス（たとえば、サーバ、デジタル・デバイス、アクセス・コントローラ、およびネットワーク・デバイス）が存在できることを認識するであろう。いくつかの実施態様においては、ローカル・エリア・ネットワーク１０６がオプションとなる。１つの例においては、認証サーバ１０８、ＤＮＳサーバ１１０、およびアクセス・コントローラ１１２が、ネットワーク・デバイス１０４に直接結合される。多様な実施態様においては、認証サーバ１０８、ＤＮＳサーバ１１０、およびアクセス・コントローラ１１２が、１つまたは複数のサーバまたは１つまたは複数のデジタル・デバイス内に結合されることもある。さらに、図１は、無線アクセスを図示しているが、デジタル・デバイス１０２が無線または有線（テン・ベース・ティ（１０ｂａｓｅＴ）等）を介してネットワーク・デバイス１０４に結合されることもある。 Although the hotspots in FIG. 1 illustrate separate servers coupled to the local area network 106, those skilled in the art will recognize any number of devices (eg, servers) coupled to the local area network 106. Will recognize that digital devices, access controllers, and network devices) can exist. In some embodiments, a local area network 106 is optional. In one example, authentication server 108, DNS server 110, and access controller 112 are directly coupled to network device 104. In various implementations, the authentication server 108, DNS server 110, and access controller 112 may be coupled into one or more servers or one or more digital devices. Further, although FIG. 1 illustrates wireless access, the digital device 102 may be coupled to the network device 104 via wireless or wired (such as ten base tee (10baseT)).

通信ネットワーク１１４にアクセスするために、認証サーバ１０８が、ホットスポットへのアクセスのための１つまたは複数のネットワーク信用証明書の提供をデジタル・デバイス１０２に要求することがある。ネットワーク信用証明書は、たとえば、当該ホットスポットに関連付けされたアカウントのためのユーザ名およびパスワードを包含できる。代替実施態様においては、ユーザ名およびパスワードのほかのネットワーク信用証明書が利用されることがある。 To access the communication network 114, the authentication server 108 may request the digital device 102 to provide one or more network credentials for access to the hotspot. The network credentials can include, for example, a username and password for an account associated with the hotspot. In alternative embodiments, network credentials other than username and password may be utilized.

例示的な実施態様によれば、デジタル・デバイス１０２が信用証明書サーバ１１６から動的にネットワーク信用証明書を獲得できる。デジタル・デバイス１０２は、デジタル・デバイス１０２の（またはデジタル・デバイス１０２のユーザの）アイデンティティおよびネットワーク・デバイス１０４についての詳細（たとえば、ネットワーク・デバイス１０４またはワイファイ（Ｗｉ‐Ｆｉ）サービス・プロバイダの名前）を包含する信用証明書要求を、信用証明書サーバ１１６に送信できる。 According to an exemplary embodiment, digital device 102 can dynamically obtain network credentials from credential server 116. The digital device 102 is the identity of the digital device 102 (or the user of the digital device 102) and details about the network device 104 (eg, the name of the network device 104 or the Wi-Fi service provider). Can be sent to the credential server 116.

１つの例においては、デジタル・デバイス１０２がホットスポットに入るとき、ネットワーク・デバイス１０４は、たとえばＤＨＣＰ（ダイナミック・ホスト・コンフィグレーション・プロトコル）を介してＤＮＳクエリの提出ができる提出先のＩＰアドレスを提供できる。信用証明書要求は、標準プロトコルとしてフォーマットできる。ある例においては、信用証明書要求をＤＮＳ要求としてフォーマットできる。信用証明書要求は、ネットワーク・インフラストラクチャ（たとえばアクセス・コントローラ１１２）が要求をブロックすることがないように、標準レコード型を包含するテキスト・レコード要求（たとえば、ＴＸＴ）とすることができる。 In one example, when the digital device 102 enters a hotspot, the network device 104 may provide a destination IP address that can submit a DNS query via, for example, DHCP (Dynamic Host Configuration Protocol). Can be provided. The credential request can be formatted as a standard protocol. In one example, the credential request can be formatted as a DNS request. The credential request can be a text record request (eg, TXT) that includes a standard record type so that the network infrastructure (eg, access controller 112) does not block the request.

いくつかの実施態様においては、信用証明書要求がＤＮＳサーバ１１０によって受信され、それがその信用証明書要求を、ネットワーク信用証明書のための信用証明書サーバ１１６に転送することができる。例示的な実施態様においては、信用証明書サーバ１１６が、ルックアップを実行して適正なネットワーク信用証明書（１つまたは複数）を決定し、ＤＮＳサーバ１１０に返送することができ、それが当該ネットワーク信用証明書を転送して要求しているデジタル・デバイス１０２に返す。多様な実施態様においては、適正なネットワーク信用証明書（１つまたは複数）が、信用証明書要求の送信と同じ経路を介して信用証明書サーバ１１６からデジタル・デバイス１０２に送信される。 In some implementations, a credential request is received by DNS server 110, which can forward the credential request to credential server 116 for network credentials. In the exemplary embodiment, the credential server 116 can perform a lookup to determine the proper network credential (s) and send it back to the DNS server 110, which Transfer and return the network credentials to the requesting digital device 102. In various embodiments, the proper network credential (s) is transmitted from the credential server 116 to the digital device 102 via the same path as the transmission of the credential request.

信用証明書サーバ１１６におけるネットワーク信用証明書の決定および提供のためのプロセスに関するより詳細は、２００７年９月６日に出願された『システム・アンド・メソッド・フォア・プロバイディング・ネットワーク・クレデンシャルズ（ＳｙｓｔｅｍａｎｄＭｅｔｈｏｄｆｏｒＰｒｏｖｉｄｉｎｇＮｅｔｗｏｒｋＣｒｅｄｅｎｔｉａｌｓ）』と題された同時係属の米国特許出願第＿＿号の中に提供されている。図１の中では１つのＤＮＳサーバ１１０だけが図示されているが、信用証明書要求が信用証明書サーバ１１６によって受信される前に、限定ではないがＤＮＳサーバを含む任意数のサーバを通って転送されることがある。ほかの実施態様においては、信用証明書要求が、ネットワーク・デバイス１０４から信用証明書サーバ１１６に直接転送される。 More details regarding the process for determining and providing network credentials in the credential server 116 can be found in “System and Method For Providing Network Credentials” filed on September 6, 2007 ( System and Method for Providing Network Credentials) is provided in co-pending US Patent Application No. _____. Although only one DNS server 110 is illustrated in FIG. 1, before a credential request is received by the credential server 116, it may be passed through any number of servers, including but not limited to a DNS server. May be transferred. In other embodiments, the credential request is forwarded directly from the network device 104 to the credential server 116.

いくつかの実施態様においては、信用証明書サーバ１１６からの信用証明書要求応答が、ユーザ名、パスワード、および／またはログイン・プロシージャ情報を包含できる。ログイン・プロシージャ情報は、たとえば、ＨＴＭＬのフォーム要素名、提出ＵＲＬ、または提出プロトコルを包含できる。いくつかの実施態様においては、ネットワーク信用証明書応答が、デジタル・デバイス１０２に返送される前に信用証明書サーバ１１６によって、デジタル・デバイス１０２に関連付けされた暗号鍵を使用して暗号化されることがある。 In some implementations, the credential request response from the credential server 116 can include a username, password, and / or login procedure information. The login procedure information can include, for example, an HTML form element name, a submission URL, or a submission protocol. In some implementations, the network credential response is encrypted by the credential server 116 using the encryption key associated with the digital device 102 before being sent back to the digital device 102. Sometimes.

デジタル・デバイス１０２がネットワーク信用証明書応答を受信した後は、デジタル・デバイス１０２が、（ネットワーク信用証明書応答から取得された）ネットワーク信用証明書を認証応答の中でネットワーク・デバイス１０４に提出できる。例示的な実施態様においては、認証応答が、検証のために認証サーバ１０８に転送されることがある。いくつかの実施態様においては、認証サーバ１０８が、ＡＡＡサーバまたはラディウス（ＲＡＤＩＵＳ）サーバを包含できる。 After the digital device 102 receives the network credential response, the digital device 102 can submit the network credential (obtained from the network credential response) to the network device 104 in the authentication response. . In the exemplary implementation, the authentication response may be forwarded to the authentication server 108 for verification. In some implementations, the authentication server 108 can include an AAA server or a RADIUS server.

注意される必要があるが、図１は例示である。代替実施態様が、より多くの、より少ない、または機能的に等価の構成要素を包含することがあるが、それもこの実施態様の範囲内である。たとえば、手前で論じたとおり、多様なサーバ（たとえば、ＤＮＳサーバ１１０、信用証明書サーバ１１６、および認証サーバ１０８）の機能が、１つまたは２つのサーバに結合されることがある。つまり仮に、たとえば、認証サーバ１０８およびＤＮＳサーバ１１０が同一のサーバを構成できるとすれば、認証サーバ１０８、ＤＮＳサーバ１１０、およびアクセス・コントローラ１１２の機能性を単一のデバイスに結合することができる。 It should be noted that FIG. 1 is exemplary. Alternative embodiments may include more, fewer, or functionally equivalent components, but are within the scope of this embodiment. For example, as discussed above, the functions of various servers (eg, DNS server 110, credential server 116, and authentication server 108) may be combined into one or two servers. In other words, for example, if the authentication server 108 and the DNS server 110 can constitute the same server, the functionality of the authentication server 108, the DNS server 110, and the access controller 112 can be combined into a single device. .

ここで図２を参照すると、例示的なデジタル・デバイス１０２がより詳細に示されている。例示的な実施態様においては、デジタル・デバイス１０２が、プロセッサ２０２、入力／出力（Ｉ／Ｏ）インターフェース（１つまたは複数）２０４、通信ネットワーク・インターフェース２０６、メモリ・システム２０８、およびストレージ・システム２１０を包含する。Ｉ／Ｏインターフェース２０４は、たとえばキーボード、マウス、およびディスプレイ・デバイス等の多様なＩ／Ｏデバイスのためのインターフェースを包含することができる。例示的な通信ネットワーク・インターフェース２０６は、デジタル・デバイス１０２が通信ネットワーク１１４および／またはローカル・エリア・ネットワーク１０６と通信することを可能にするべく構成される。ストレージ・システム２１０は、たとえばデジタル・デバイス１０２のためのデジタル・デバイス識別子をストアしたＤＤＩＤストレージ２１２等の多様なデータベースまたはストレージを包含できる。 Referring now to FIG. 2, an exemplary digital device 102 is shown in more detail. In the exemplary embodiment, digital device 102 includes processor 202, input / output (I / O) interface (s) 204, communications network interface 206, memory system 208, and storage system 210. Is included. The I / O interface 204 can include interfaces for various I / O devices such as, for example, a keyboard, mouse, and display device. The exemplary communication network interface 206 is configured to allow the digital device 102 to communicate with the communication network 114 and / or the local area network 106. The storage system 210 can include a variety of databases or storage, such as, for example, a DDID storage 212 that stores a digital device identifier for the digital device 102.

ストレージ・システム２１０は、本発明の実施態様によってホットスポットへのアクセスに使用される複数のモジュールを包含する。１つの実施態様においては、ストレージ・システム２１０がネットワーク・モジュール２１４、信用証明書エンジン２１、ネットワーク・アクセス・エンジン２１８、および暗号化／復号化モジュール２２０を包含する。デジタル・デバイス１０２および／またはメモリ・システム２０８の代替実施態様は、より多くの、より少ない、または機能的に等価の構成要素およびモジュールを包含することがある。 Storage system 210 includes a plurality of modules used to access hot spots according to embodiments of the present invention. In one embodiment, the storage system 210 includes a network module 214, a credential engine 21, a network access engine 218, and an encryption / decryption module 220. Alternative implementations of digital device 102 and / or memory system 208 may include more, fewer, or functionally equivalent components and modules.

ネットワーク・モジュール２１４は、ローカル・エリア・ネットワーク１０６にアクセスするための動作を実行するべく構成できる。いくつかの実施態様においては、ネットワーク・モジュール２１４が、ホットスポットへのアクセスに関連付けされた通信の受信および送信を行うことができる。またネットワーク・モジュール２１４は、通信ネットワーク１１４のサーチを実行することもできる。たとえば、ネットワーク・モジュール２１４が通信ネットワーク１１４へのアクセスがまったく存在しないと決定した場合に、ここでの本発明の実施態様を実施することができる。 Network module 214 may be configured to perform operations for accessing local area network 106. In some implementations, the network module 214 can receive and transmit communications associated with access to the hotspot. The network module 214 can also perform a search of the communication network 114. For example, if the network module 214 determines that there is no access to the communication network 114, the embodiments of the invention herein may be implemented.

例示的な信用証明書エンジン２１６は、ネットワーク信用証明書を獲得するべく構成される。例示的な実施態様においては、信用証明書エンジン２１６が、要求モジュール２２２、検証モジュール２２４、および取得モジュール２２６を包含できる。例示的な要求モジュール２２２は、ネットワーク信用証明書のための信用証明書要求を生成するべく構成される。また信用証明書エンジン２１６は、（ネットワーク・モジュール２１４を介して）信用証明書要求応答を受信し、かつ検証モジュール２２４を介して、当該信用証明書要求応答が信用証明書サーバ１１６からであることを検証できる。例示的な取得モジュール２２６は、信用証明書要求応答を分析してネットワーク信用証明書を獲得するべく構成される。ネットワーク信用証明書を獲得するためのプロセスは、以下に図４との関連でより詳細に論じられることになる。 The example credential engine 216 is configured to obtain network credentials. In the exemplary implementation, the credential engine 216 can include a request module 222, a validation module 224, and an acquisition module 226. The example request module 222 is configured to generate a credential request for network credentials. The credential engine 216 also receives the credential request response (via the network module 214) and the credential request response is from the credential server 116 via the verification module 224. Can be verified. The example acquisition module 226 is configured to analyze the credential request response to obtain a network credential. The process for obtaining network credentials will be discussed in more detail below in connection with FIG.

例示的なネットワーク・アクセス・エンジン２１８は、認証要求を受信し、かつネットワーク信用証明書を構成する認証応答をネットワーク・デバイス１０４に提供するべく構成される。ネットワーク・アクセス・エンジン２１８は、認証レコード・モジュール２２８、フィールド・モジュール２３０、および提出モジュール２３２を包含できる。例示的な認証レコード・モジュール２２８は、デジタル・デバイス１０２に関連付けされた認証レコードを識別するべく構成される。フィールド・モジュール２３０は、認証レコード内のフィールドまたは要素を識別して、適正な要素入力（たとえばネットワーク信用証明書）をフィールド内に提供する。提出モジュール２３２は、認証レコードを認証応答としてネットワーク・デバイス１０４に自動的に提出するべく構成される。認証応答を提供するためのプロセスは、以下に図５との関連でより詳細に論じられることになる。 The example network access engine 218 is configured to receive an authentication request and provide an authentication response to the network device 104 that constitutes network credentials. The network access engine 218 can include an authentication record module 228, a field module 230, and a submission module 232. The example authentication record module 228 is configured to identify an authentication record associated with the digital device 102. Field module 230 identifies the field or element in the authentication record and provides the proper element input (eg, network credentials) in the field. The submission module 232 is configured to automatically submit an authentication record to the network device 104 as an authentication response. The process for providing an authentication response will be discussed in more detail below in connection with FIG.

暗号化／復号化モジュール２２０は、デジタル・デバイス１０２によって送信／受信された通信を暗号化または復号（平文化）するように構成される。いくつかの実施態様においては、信用証明書要求応答が信用証明書サーバ１１６によって暗号化されることがある。それらの実施態様においては、暗号化／復号化モジュール２２０が当該信用証明書要求応答を復号化（平文化）することになる。いくつかの実施態様では、暗号化／復号化モジュール２０８が、ＳＳＬおよび／またはｈｔｔｐｓを介して、デジタル・デバイス１０２と認証サーバ１０８の間に安全な通信を確立できる。注意される必要があるが、いくつかの実施態様によれば、暗号化／復号化モジュール２２０がオプションとなること、または必要とされないことがある。 The encryption / decryption module 220 is configured to encrypt or decrypt (plain culture) communications transmitted / received by the digital device 102. In some implementations, the credential request response may be encrypted by the credential server 116. In those embodiments, the encryption / decryption module 220 will decrypt the credential request response. In some implementations, the encryption / decryption module 208 can establish secure communication between the digital device 102 and the authentication server 108 via SSL and / or https. It should be noted that according to some embodiments, the encryption / decryption module 220 may be optional or not required.

ここで図３を参照すると、デジタル・デバイス１０２に通信ネットワーク・アクセスを提供する例示的な方法のフローチャート３００が示されている。ステップ３０２においてデジタル・デバイス１０２がホットスポットに入る。たとえば、ユーザが、通信ネットワーク・アクセス（たとえばホットスポット）が利用できるコーヒー・ショップまたはホテル内でデジタル・デバイス１０２をオンにすることができる。アクティベートされたデジタル・デバイス１０２がホットスポットに入ると、当該デジタル・デバイス１０２がホットスポットを検知できる。たとえば、ネットワーク・モジュール２１４が、通信ネットワーク１１４へのアクセスを自動的に試行できる。 Turning now to FIG. 3, a flowchart 300 of an exemplary method for providing communication network access to a digital device 102 is shown. In step 302, the digital device 102 enters a hot spot. For example, a user can turn on the digital device 102 in a coffee shop or hotel where communication network access (eg, a hotspot) is available. When the activated digital device 102 enters a hot spot, the digital device 102 can detect the hot spot. For example, the network module 214 can automatically attempt to access the communication network 114.

ホットスポット内において動作可能になると、デジタル・デバイス１０２のネットワーク・モジュール２１４は、ステップ３０４において、ホットスポットのネットワーク・デバイス１０４にクエリを行うことができる。例示的な実施態様においては、ネットワーク・デバイス１０４がホットスポットのアクセス・ポイントを構成する。ネットワーク・デバイス１０４にクエリを行うことによって、ネットワーク・モジュール２１４は、サービス・プロバイダとの関連付けができる中央サーバ（たとえば、ＤＮＳサーバ１１０）に関連付けされた１つまたは複数のＩＰアドレスを受け取ることができる。そのほかの、ＤＮＳレコードおよびゲートウェイ・レコード等の情報が受信されることもある。例示的な実施態様においては、ＤＨＣＰを介してＩＰアドレスを提供できる。１つの実施態様では、ネットワーク・モジュール２１４が、通信ネットワーク１１４に対する生きた接続が存在するか否かを決定するべく既知のサーバへのアクセスを試行できる。 Once operational within the hotspot, the network module 214 of the digital device 102 can query the hotspot network device 104 at step 304. In the exemplary embodiment, network device 104 constitutes a hotspot access point. By querying the network device 104, the network module 214 can receive one or more IP addresses associated with a central server (eg, DNS server 110) that can associate with the service provider. . Other information such as DNS records and gateway records may be received. In an exemplary embodiment, the IP address can be provided via DHCP. In one implementation, the network module 214 can attempt to access a known server to determine if there is a live connection to the communication network 114.

ステップ３０６においては、デジタル・デバイス１０２がＤＮＳサーバ１１０にネットワーク信用証明書を要求し、それを獲得する。ステップ３０６のプロセスについては、より詳細が図４に関連して以下に論じられることになる。 In step 306, the digital device 102 requests network credentials from the DNS server 110 and obtains them. More details regarding the process of step 306 will be discussed below in connection with FIG.

デジタル・デバイス１０２がネットワーク信用証明書を獲得した後は、ステップ３０８においてデジタル・デバイス１０２が、ネットワーク・デバイス１０４を介して通信ネットワーク１１４にアクセスするためにネットワーク・デバイス１０４に認証応答を提供できる。ステップ３０８のプロセスについては、より詳細が図５に関連して以下に論じられることになる。 After the digital device 102 has acquired network credentials, the digital device 102 can provide an authentication response to the network device 104 for accessing the communication network 114 via the network device 104 at step 308. More details regarding the process of step 308 will be discussed below in connection with FIG.

ネットワーク・デバイス１０４は、その後、認証応答内で受信したネットワーク信用証明書を比較することによってデジタル・デバイス１０２の認証を試行することになる。１つの実施態様によれば、ネットワーク・デバイス１０４は、認証サーバ１０８を利用してネットワーク信用証明書を認証できる。たとえばネットワーク信用証明書を、認証サーバ１０８にストアされているか、または関連付けされたネットワーク信用証明書のデータベースに対して比較することができる。 The network device 104 will then attempt to authenticate the digital device 102 by comparing the network credentials received in the authentication response. According to one embodiment, the network device 104 can utilize the authentication server 108 to authenticate the network credentials. For example, the network credentials can be stored against a database of network credentials stored in or associated with the authentication server 108.

ネットワーク信用証明書が認証された場合には、ステップ３１０においてデジタル・デバイス１０２に通信ネットワークへのアクセスが許可されることになる。１つの実施態様においては、認証サーバ１０８がデジタル・デバイス１０２に、通信ネットワーク１１４へのアクセスを与えるべくアクセス・コントローラ１１２に指示することができる。 If the network credentials are authenticated, digital device 102 will be granted access to the communications network at step 310. In one embodiment, the authentication server 108 can instruct the access controller 112 to give the digital device 102 access to the communication network 114.

ここで図４を参照すると、ネットワーク信用証明書を獲得する（ステップ３０６）ための例示的な方法のフローチャートが示されている。ステップ４０２においてネットワーク信用証明書要求が生成される。１つの実施態様によれば、要求モジュール２２２が、デジタル・デバイス１０２のプラットフォーム上にすでに存在していることがあるＤＮＳ構造を使用して文字列を構成できる。要求モジュール２２２によって生成される例示的なＤＮＳ文字列については、より詳細が図８に関連して以下に論じられることになる。 Referring now to FIG. 4, a flowchart of an exemplary method for obtaining network credentials (step 306) is shown. In step 402, a network credential request is generated. According to one implementation, the request module 222 can construct a string using a DNS structure that may already exist on the platform of the digital device 102. More details about an exemplary DNS string generated by the request module 222 will be discussed below in connection with FIG.

ステップ４０４においては、生成された信用証明書要求がデジタル・デバイス１０２によって送信される。例示的な実施態様では、デジタル・デバイス１０２がネットワーク・デバイス１０４から受信した（ＤＮＳサーバ１１０の）ＩＰアドレスのうちの１つを利用する。ＤＮＳ文字列は、その後、ネットワーク・モジュール２１４によって受信された選択されたＤＮＳＩＰアドレスに送信される。 In step 404, the generated credential request is sent by the digital device 102. In the exemplary implementation, digital device 102 utilizes one of the IP addresses (of DNS server 110) received from network device 104. The DNS string is then sent to the selected DNS IP address received by the network module 214.

ステップ４０６においては、デジタル・デバイス１０２が、信用証明書要求応答を受信する。例示的な実施態様では、信用証明書要求応答が信用証明書サーバ１１６からＤＮＳサーバ１１０を介して受信される。信用証明書要求応答は、暗号化されていることがある。それらの実施態様においては、暗号化／復号化モジュール２２０が信用証明書要求応答を復号化する。 In step 406, the digital device 102 receives the credential request response. In the exemplary embodiment, a credential request response is received from credential server 116 via DNS server 110. The credential request response may be encrypted. In those embodiments, the encryption / decryption module 220 decrypts the credential request response.

その後ステップ４０８において、信用証明書要求応答が検証される。例示的な実施態様では、信用証明書要求応答が暗号化される。デジタル・デバイス１０２（たとえば検証モジュール２２４）は、その信用証明書要求応答を復号化できる。いくつかの実施態様では信用証明書要求応答がデジタル署名される。デジタル・デバイス１０２（たとえば検証モジュール２２４）は、デジタル署名を復号化することによって、または信用証明書要求応答を復号化することによって信用証明書要求応答の真正を検証できる。代替実施態様においては、このほかのメカニズムが検証モジュール２２４によって信用証明書要求応答の認証に使用されることがある。 Thereafter, in step 408, the credential request response is verified. In the exemplary embodiment, the credential request response is encrypted. Digital device 102 (eg, verification module 224) can decrypt the credential request response. In some embodiments, the credential request response is digitally signed. Digital device 102 (eg, verification module 224) can verify the authenticity of the credential request response by decrypting the digital signature or by decrypting the credential request response. In alternative embodiments, other mechanisms may be used by the validation module 224 to authenticate the credential request response.

ネットワーク信用証明書は、その後ステップ４１０において取得できる。例示的な実施態様では、取得モジュール２２６が信用証明書要求応答を分析してその中に埋め込まれたネットワーク信用証明書を獲得する。１つの例においては、取得モジュール２２６内が取得モジュール２２６内のデータを（たとえば、区切られたフィールドを介して）識別し、暗号鍵、ユーザ名、パスワード、フォーム識別子、またはこれらの類を取得できる。 The network credentials can then be obtained at step 410. In the exemplary embodiment, acquisition module 226 analyzes the credential request response to obtain a network credential embedded therein. In one example, the acquisition module 226 can identify the data in the acquisition module 226 (eg, via a delimited field) and acquire an encryption key, username, password, form identifier, or the like. .

次に図５を参照すると、ネットワーク・デバイス１０４に対してデジタル・デバイス１０２を認証（たとえば、ステップ３０８の認証応答の提供）するための例示的な方法のフローチャートが示されている。ステップ５０２においては、ネットワーク・モジュール２１４によってネットワーク・デバイス１０４から認証要求が受信される。 Referring now to FIG. 5, a flowchart of an exemplary method for authenticating digital device 102 to network device 104 (eg, providing an authentication response in step 308) is shown. In step 502, an authentication request is received from the network device 104 by the network module 214.

その後ステップ５０４において、認証レコード・モジュール２２８が、認証レコードを識別して取得する。例示的な実施態様においては、ネットワーク・デバイス１０４からの認証要求が、ネットワーク信用証明書が中に提供され得る認証レコードに関連付けされたＨＴＭＬフォームの要素名を包含できる。認証レコード・モジュール２２８は、たとえば、名前または識別子を介してネットワーク・デバイス１０４にログインするために必要なフォーム（１つまたは複数）／認証レコード（１つまたは複数）（たとえば、ログイン・フォーム）を構文解析できる。 Thereafter, in step 504, the authentication record module 228 identifies and obtains the authentication record. In an exemplary implementation, an authentication request from network device 104 may include an HTML form element name associated with an authentication record in which network credentials may be provided. The authentication record module 228 may provide the form (s) / authentication record (s) (eg, login form) required to log into the network device 104, eg, via a name or identifier. Can be parsed.

ステップ５０６においては、フィールド・モジュール２３０が、認証入力（たとえば、ネットワーク信用証明書）を必要とする認証レコード内のフィールド（１つまたは複数）または要素（１つまたは複数）を決定する。例示的な実施態様によれば、フィールド・モジュール２３０が、ステップ５０４において識別され、取得された認証レコードを、入力フィールドを探し出すべく分析することになる。それによって、それらの入力フィールドのリスト（たとえば、フォームおよび入力フィールドのリンク付きリスト）を生成できる。 In step 506, the field module 230 determines the field (s) or element (s) in the authentication record that requires authentication input (eg, network credentials). According to an exemplary embodiment, the field module 230 will analyze the authentication record identified and obtained at step 504 to locate the input field. Thereby, a list of those input fields (eg, a linked list of forms and input fields) can be generated.

ステップ５０８においては、ネットワーク信用証明書が、決定されたフィールド（１つまたは複数）または要素（１つまたは複数）と関連付けされる。例示的な実施態様では、フィールド・モジュール２３０が、それぞれの入力要素に適正なネットワーク信用証明書を関連付けする。この関連付けは、認証要求のＨＴＭＬのスクリプト内で見つかった入力名または識別子に基づくことができる。たとえば、認証レコードは、ユーザ名または電子メール・アドレスを要求する入力要素を包含できる。 In step 508, network credentials are associated with the determined field (s) or element (s). In the exemplary embodiment, field module 230 associates the appropriate network credentials with each input element. This association can be based on the input name or identifier found in the HTML script of the authentication request. For example, an authentication record can include an input element that requests a username or email address.

認証レコードを包含する認証応答が、ステップ５１０において送信される。１つの実施態様によれば、フィールド・モジュール２３０によってネットワーク信用証明書（１つまたは複数）が認証レコードと関連付けされると書き込みが生成される。いくつかの実施態様においては、認証レコードが、ネットワーク・アクセス信用証明書に加えて、セッション情報およびデジタル・デバイス１０２の識別に使用される複数の隠された値を包含できる。その種の情報および値は、たとえば、ネットワーク・デバイスのＭＡＣアドレス、セッション識別子、およびそのほかの、隠されたフォーム要素内にストアできる値を含むことができる。 An authentication response including an authentication record is sent at step 510. According to one embodiment, a write is generated when the field module 230 associates the network credential (s) with the authentication record. In some implementations, the authentication record can include session information and multiple hidden values used to identify the digital device 102 in addition to the network access credentials. Such information and values may include, for example, network device MAC addresses, session identifiers, and other values that can be stored in hidden form elements.

注意される必要があるが、いくつかの実施態様においては、認証要求が、ネットワーク・デバイス１０４によって呈示される最初のウェブ・ページとならないことがある。たとえば、ユーザがコーヒー・ショップにおいてサインオンを試みているとき、最初のウェブ・ページが、当該コーヒー・ショップからのウェルカム・ウェブ・ページとなることがある。このウェルカム・ウェブ・ページが、複数のログイン・オプションを提供することがある。それらの実施態様においては、認証要求に関連付けされたＵＲＬの一意的な断片を当該最初のウェブ・ページ上に埋め込むことができる。その結果、デジタル・デバイス１０２（たとえば、ネットワーク・モジュール２１４）が当該ウェブ・ページをスキミングしてそれらの断片を見つけ出すことができる。断片が見つかると、デジタル・デバイス１０２は、それの後に続くウェブ・ページ（たとえば、認証要求）に移動する。 It should be noted that in some implementations, the authentication request may not be the first web page presented by the network device 104. For example, when a user is attempting to sign on at a coffee shop, the first web page may be the welcome web page from that coffee shop. This welcome web page may provide multiple login options. In those implementations, a unique fragment of the URL associated with the authentication request can be embedded on the initial web page. As a result, the digital device 102 (eg, the network module 214) can skim the web page to find those fragments. When the fragment is found, the digital device 102 moves to the web page that follows it (eg, an authentication request).

次に図６を参照すると、例示的な認証ページ６００（たとえば、認証レコード）が示されている。認証ページ６００は、ユーザ名フィールド６０２およびパスワード・フィールド６０４を包含できる。いくつかの実施態様では、ユーザ名フィールド６０２が電子メール・フィールド、またはデジタル・デバイス１０２または関連するユーザに関連付けされた一意的な識別子を提供するための任意のほかのフィールドに置き換えられることがある。本発明の例示的な実施態様によれば、フィールド・モジュール２３０が、ネットワーク信用証明書を用いてユーザ名フィールド６０２およびパスワード・フィールド６０４を自動的に埋めることができる。 Now referring to FIG. 6, an exemplary authentication page 600 (eg, an authentication record) is shown. The authentication page 600 can include a username field 602 and a password field 604. In some implementations, the username field 602 may be replaced with an email field or any other field to provide a unique identifier associated with the digital device 102 or associated user. . In accordance with an exemplary embodiment of the present invention, field module 230 can automatically fill user name field 602 and password field 604 with network credentials.

また認証ページ６００は、認証セレクタ６０６（たとえば、提出セレクタまたはボタン）も包含できる。認証セレクタ６０６は、ネットワーク信用証明書（たとえば、ユーザ名およびパスワード）をネットワーク・デバイス１０４に提出する。いくつかの実施態様では、ネットワーク信用証明書がそれぞれのフィールド６０２および６０４に関連付けされた後に、提出モジュール２３２が認証セレクタ６０６を自動的にアクティベートできる。 The authentication page 600 can also include an authentication selector 606 (eg, a submission selector or button). Authentication selector 606 submits network credentials (eg, username and password) to network device 104. In some implementations, the submission module 232 can automatically activate the authentication selector 606 after the network credentials are associated with the respective fields 602 and 604.

図７は、デジタル・デバイス１０２にネットワーク・アクセスを提供するための例示的なプロセスのフローチャートを図解している。デジタル・デバイス１０２が最初にホットスポット内に入るとき、デジタル・デバイス１０２（たとえばネットワーク・モジュール２１４）が、ステップ７００において通信ネットワーク１１４についてのスキャンを行うことができる。そのスキャンの結果として、ネットワーク・デバイス１０４は、ステップ７０２においてネットワーク構成情報を提供できる。ネットワーク構成情報は、ＤＮＳサーバ１１０にアクセスするための１つまたは複数のＩＰアドレスを包含できる。 FIG. 7 illustrates a flowchart of an exemplary process for providing network access to digital device 102. When the digital device 102 first enters the hot spot, the digital device 102 (eg, the network module 214) may perform a scan for the communication network 114 in step 700. As a result of the scan, the network device 104 can provide network configuration information in step 702. The network configuration information can include one or more IP addresses for accessing the DNS server 110.

ステップ７０４においては、信用証明書要求がデジタル・デバイス１０２によって生成される。図４に関連して上で論じたとおり、要求モジュール２２２が信用証明書要求を生成できる。その後に続き、信用証明書要求が、手前でネットワーク・デバイス１０４から受信したＩＰアドレスのうちの１つを使用して、ステップ７０６においてＤＮＳサーバ１１０に送信される。 In step 704, a credential request is generated by the digital device 102. As discussed above in connection with FIG. 4, the request module 222 can generate a credential request. Subsequently, a credential request is sent to the DNS server 110 at step 706 using one of the IP addresses previously received from the network device 104.

その信用証明書要求に基づいて、ステップ７０８において、信用証明書サーバ１１６がＤＮＳサーバ１１０によって識別される。 Based on the credential request, the credential server 116 is identified by the DNS server 110 at step 708.

信用証明書サーバ１１６は、その後ステップ７１２において、必要とされているネットワーク信用証明書を信用証明書要求に基づいて識別する。たとえば、信用証明書要求は、デジタル・デバイス１０２についての一意的な識別子を包含できる。この一意的な識別子は、場所識別子とともに、適正なネットワーク信用証明書を決定するべく信用証明書サーバ１１６においてその種の識別子のテーブルと比較できる。その後ステップ７１４において信用証明書要求応答が生成され、ステップ７１６においてＤＮＳサーバ１１０に返送される。ＤＮＳサーバ１１０は、ステップ７１８において、この信用証明書要求応答をデジタル・デバイスに転送する。 The credential server 116 then identifies the required network credential at step 712 based on the credential request. For example, the credential request can include a unique identifier for the digital device 102. This unique identifier, along with the location identifier, can be compared to a table of such identifiers at the credential server 116 to determine the proper network credentials. Thereafter, a credential request response is generated at step 714 and returned to the DNS server 110 at step 716. The DNS server 110 forwards this credential request response to the digital device at step 718.

デジタル・デバイス１０２は、その後ステップ７２０において、信用証明書要求応答からネットワーク信用証明書を取得できる。例示的な実施態様においては、取得モジュール２２６が、信用証明書要求応答を分析して、それの中に埋め込まれているネットワーク信用証明書を取得することになる。 The digital device 102 can then obtain the network credentials from the credential request response at step 720. In the exemplary embodiment, the acquisition module 226 will analyze the credential request response to obtain the network credentials embedded therein.

その後ステップ７２２において、ネットワーク・デバイス１０４にネットワーク信用証明書を提供できる。ネットワーク・デバイス１０４にネットワーク信用証明書を提供するための例示的な方法については、図５に関連して上で論じた。ネットワーク・デバイス１０４は、ネットワーク信用証明書を検証すると、ステップ７２４においてデジタル・デバイス１０２にネットワーク・アクセスを提供する。 Thereafter, in step 722, network credentials can be provided to the network device 104. An exemplary method for providing network credentials to network device 104 is discussed above in connection with FIG. Once network device 104 validates the network credentials, it provides network access to digital device 102 at step 724.

ここで図８を参照すると、例示的な信用証明書要求８００がより詳細に示されている。例示的な実施態様によれば、要求モジュール２２２が、信用証明書要求８００を生成できる。１つの実施態様においては、信用証明書要求８００を、場所識別子８０２、シーケンス識別子８０４、署名８０６、デジタル・デバイス識別子（ＤＤＩＤ）８０８、サービス・セット識別子（ＳＳＩＤ）８１０、およびバージョン識別子８１２を包含する構造を有するＤＮＳ文字列とすることができる。 Referring now to FIG. 8, an exemplary credential request 800 is shown in more detail. According to an exemplary implementation, request module 222 can generate a credential request 800. In one embodiment, the credential request 800 includes a location identifier 802, a sequence identifier 804, a signature 806, a digital device identifier (DDID) 808, a service set identifier (SSID) 810, and a version identifier 812. It can be a DNS character string having a structure.

オプションの場所識別子８０２は、デジタル・デバイス１０２、ネットワーク・デバイス１０４、認証サーバ１０８、またはアクセス・コントローラ１１２の物理的、または地理上の場所を示すことができる。多様な実施態様において場所識別子４０２は、信用証明書サーバ１１６によって、ホットスポットの使用量、デジタル・デバイス１０２のユーザをはじめ、デジタル・デバイス１０２を追跡するべく使用されることがある。 Optional location identifier 802 may indicate a physical or geographical location of digital device 102, network device 104, authentication server 108, or access controller 112. In various embodiments, the location identifier 402 may be used by the credential server 116 to track the digital device 102, including hot spot usage, users of the digital device 102.

シーケンス識別子８０４は、ログインが成功であるか否かを決定するべく、その後に続く信用証明書サーバ１１６への要求との対応に使用される任意の番号または番号のセットを包含できる。すなわちシーケンス識別子８０４は、相関メカニズムを提供し、それによって信用証明書サーバ１１６によるログイン・プロセスの検証ができる。 The sequence identifier 804 can include any number or set of numbers that is used to respond to subsequent requests to the credential server 116 to determine whether the login is successful. That is, the sequence identifier 804 provides a correlation mechanism whereby the login process can be verified by the credential server 116.

例示的な実施態様においては、署名８０６が、なりすましの防止に使用される暗号署名を包含する。デジタル・デバイス１０２からの要求の署名４０６は、信用証明書サーバ１１６によって検証される。署名４０６が有効でなければ、信用証明書サーバ１１６によってその要求が退けられる。 In the exemplary embodiment, signature 806 includes a cryptographic signature that is used to prevent spoofing. The request signature 406 from the digital device 102 is verified by the credential server 116. If the signature 406 is not valid, the credential server 116 rejects the request.

ＤＤＩＤ８０８は、デジタル・デバイス１０２の一意的な識別子を包含する。たとえばＤＤＩＤ８０８は、デジタル・デバイス１０２のＭＡＣアドレスまたはそのほかの任意の普遍的に一意的な識別子を包含できる。例示的な実施態様においては、ＤＤＩＤが、ＤＤＩＤストレージ２１２から検索される。 DDID 808 contains a unique identifier for digital device 102. For example, DDID 808 can include the MAC address of digital device 102 or any other universally unique identifier. In the exemplary embodiment, the DDID is retrieved from DDID storage 212.

ＳＳＩＤ８１０は、ネットワーク・アクセス・ポイントまたはワイファイ（Ｗｉ‐Ｆｉ）サービス・プロバイダの識別子を包含する。たとえばＳＳＩＤ８１０は、サービス・プロバイダの名前またはネットワーク・デバイス１０４を操作する場所の名前を包含できる。 The SSID 810 contains the identifier of the network access point or Wi-Fi service provider. For example, the SSID 810 can include the name of the service provider or the location where the network device 104 operates.

バージョン識別子８１２は、信用証明書要求８００のプロトコルまたはフォーマットを識別できる。たとえばデジタル・デバイスが信用証明書要求８００を生成し、かつ多数の異なるフォーマットでデータを組織化できる。それぞれの異なるフォーマットは、異なるバージョン識別子と関連付けできる。いくつかの実施態様においては、信用証明書エンジン２１６およびネットワーク・アクセス・エンジン２１８の構成要素が、更新され、再構成され、または時間を経て変更されることがあり、それが信用証明書要求８００の構造に影響を及ぼすことがある。結果として信用証明書サーバ１１６が、異なってフォーマットされた複数の信用証明書要求８００を受信することがあり得る。信用証明書サーバ１１６は、それぞれのバージョン識別子に基づいて、それぞれの信用証明書要求からの必要な情報にアクセスできる。 The version identifier 812 can identify the protocol or format of the credential request 800. For example, a digital device can generate a credential request 800 and organize the data in a number of different formats. Each different format can be associated with a different version identifier. In some implementations, the components of the credential engine 216 and the network access engine 218 may be updated, reconfigured, or changed over time, which is the credential request 800. May affect the structure. As a result, the credential server 116 may receive multiple credential requests 800 that are formatted differently. The credential server 116 can access the necessary information from each credential request based on the respective version identifier.

上で述べた機能および構成要素は、ストレージ媒体上にストアされるインストラクションからなるとすることができる。それらのインストラクションは、プロセッサによって取得され、実行されることが可能である。インストラクションのいくつかの例は、ソフトウエア、プログラム・コード、およびファームウエアである。ストレージ媒体のいくつかの例は、メモリ・デバイス、テープ、ディスク、集積回路、およびサーバである。インストラクションは、プロセッサによって実行されるとき、当該プロセッサに、本発明の実施態様と調和して動作することを指示するべく機能する。当業者は、インストラクション、プロセッサ（１つまたは複数）、およびストレージ媒体について熟知している。 The functions and components described above can consist of instructions stored on a storage medium. Those instructions can be obtained and executed by a processor. Some examples of instructions are software, program code, and firmware. Some examples of storage media are memory devices, tapes, disks, integrated circuits, and servers. The instructions, when executed by a processor, serve to instruct the processor to operate in harmony with the embodiments of the present invention. Those skilled in the art are familiar with instructions, processor (s), and storage media.

以上、例示的な実施態様を参照して本発明を述べてきた。当業者には明らかとなろうが、より広い本発明の範囲から逸脱することなしに多様な修正が許され、かつそのほかの実施態様を使用することが可能である。したがって、例示的な実施態様に対するそれらの、およびそのほかの変形は、本発明によって保護されるべく意図されている。 The present invention has been described above with reference to exemplary embodiments. It will be apparent to those skilled in the art that various modifications are possible and other embodiments can be used without departing from the broader scope of the invention. Accordingly, these and other variations on the exemplary embodiments are intended to be protected by the present invention.

１０２デジタル・デバイス、１０４ネットワーク・デバイス、１０６ローカル・エリア・ネットワーク、１０８認証サーバ、１１０ＤＮＳサーバ、１１２アクセス・コントローラ、１１４通信ネットワーク、１１６信用証明書サーバ、２０２プロセッサ、２０４Ｉ／Ｏインターフェース、２０６通信ネットワーク・インターフェース、２０８メモリ・システム、２１０ストレージ・システム、２１２ＤＤＩＤストレージ、２１４ネットワーク・モジュール、２１６証明書エンジン、２１８ネットワーク・アクセス・エンジン、２２０暗号化／復号化モジュール、２２２要求モジュール、２２４検証モジュール、２２６取得モジュール、２２８認証レコード・モジュール、２３０フィールド・モジュール、２３２提出モジュール。 102 digital device, 104 network device, 106 local area network, 108 authentication server, 110 DNS server, 112 access controller, 114 communication network, 116 credential server, 202 processor, 204 I / O interface, 206 Communication network interface, 208 memory system, 210 storage system, 212 DDID storage, 214 network module, 216 certificate engine, 218 network access engine, 220 encryption / decryption module, 222 request module, 224 verification Module, 226 acquisition module, 228 authentication record module, 230 field module, 23 2 Submission module.

Claims

Receiving an authentication request for accessing the network (106 ) from the network device (104) ;
Providing a credential request to a previous credential server (116) of the network device (104);
Receiving a response to the credential request from the credential server (116), including a credential request response including network credentials and login procedure information;
Identifying an authentication record based on the authentication request;
Creating an authentication response including network credentials based on the authentication record and the login procedure information ;
Sending an authentication response to the network device (104) to gain access to the network (106) ;
Including methods.

Creating the authentication response comprises:
Determining an input factor associated with the authentication request based on the login procedure information;
The method of claim 1, comprising providing an input response associated with the input element based on network credentials in the authentication response.

The step of identifying the authentication record further comprises identifying a form associated with the authentication request and identifying a field associated with the form based on login procedure information from the credential request response. Including
The method of claim 1, wherein creating an authentication response that includes the network credentials includes associating the network credentials with the authenticated field.

Providing a credential request to the credential server (116) comprises:
The method of claim 1, comprising sending a credential request formatted in DNS protocol format to a previous credential server (116) of the network device (104).

The method of claim 1, further comprising verifying the credential request response.

The method of claim 1, further comprising decrypting the credential request response.

The method of claim 1, further comprising verifying authenticity of the network device.

The method of claim 1, wherein the credential includes a username.

The authentication request includes a web page;
Identifying the authentication record comprises:
The method of claim 1, comprising identifying the authentication record based on the web page.

A processor;
From a network device (104), a network module configured to receive an authentication request to access the network (106) (214),
Providing a credential request to a previous credential server (116) of the network device (104), and a response to the credential request from the credential server (116), comprising: Receiving a credential request response having login procedure information , identifying an authentication record based on the authentication request , and receiving an authentication response having network credentials based on the authentication record and the login procedure information. system comprising a create, and the network (106) to the network device (104) to be configured to send an authentication response network access engine to gain access (218).

The network access engine (218) is further configured to determine an input element associated with the authentication request based on the login procedure information and provide an input response associated with the input element in the authentication response. The system according to claim 10.

The network access engine (218) identifies a form associated with the authentication request based on login procedure information from the credential request response and further identifies a field associated with the form. Including
The system of claim 10, wherein the authentication response is created by associating the network credentials with the identified field.

The network access engine (218) is configured to provide a credential request formatted in DNS protocol format to a previous credential server (116) of the network device (104); The system according to claim 10.

The network access engine (218) is configured to determine an input element in the authentication request to input the network credential based on the authentication record, and based on the network credential, the input The system of claim 10, comprising a field module configured to provide at least one input response within the element.

The system of claim 10, further comprising a credential engine (216) configured to authenticate the credential request response.

The system of claim 10, further comprising a credential engine (216) configured to decrypt the credential request response.

The system of claim 10, wherein the network module (214) is further configured to verify the authenticity of the network device (104).

The system of claim 10, wherein the credential includes a username.

The authentication request includes a web page, and a network access engine (218) configured to identify the authentication record is configured to identify the authentication record based on the web page. Item 11. The system according to Item 10.

A computer readable storage medium storing a program that can be executed by a processor, the execution of which is the following method:
Receiving an authentication request for accessing the network (106 ) from the network device (104) ;
Providing a credential request to a previous credential server (116) of the network device (104);
Receiving a response to the credential request from the credential server (116), including a credential request response including network credentials and login procedure information;
Identifying an authentication record based on the authentication request;
Creating an authentication response including network credentials based on the authentication record and login procedure information ;
Computer readable storage medium in which the method comprising the steps of sending an authentication response to the network device (104) so as to gain access to the network (106) is performed.

The method further includes determining an input factor associated with the authentication request based on the login procedure information;
21. The computer readable storage medium of claim 20, comprising providing an input response associated with the input element based on network credentials in the authentication response.

The method further includes identifying a form associated with the authentication request based on login procedure information from a credential request response and identifying a field associated with the form;
21. The computer-readable storage medium of claim 20, wherein creating an authentication response that includes the network credential includes associating the network credential with the authenticated field.

Providing a credential request to the credential server (116) comprises:
21. The computer readable storage medium of claim 20, comprising: sending a credential request formatted in DNS protocol format to a previous credential server (116) of the network device (104).