JP6457698B2 - 非車載無線ネットワークへのアクセスを制御する方法 - Google Patents

Description

本明細書で紹介される技術の少なくとも１つの実施形態は、無線通信に関し、より詳細には車載無線ネットワークへのアクセスの制御に関する。

Ｗｉ−Ｆｉ対応携帯装置のユーザが、当該装置をネットワークアクセスポイント（ＡＰ）に認証する従来方法は、ユーザが接続したい無線ネットワークの無線ネットワーク名（ＳＳＩＤ−サービスセットＩＤ）を選択し、事前共有鍵（ＰＳＫ）を手動で入力することを必要とする。認証された後、携帯装置は、Ｗｉ−Ｆｉネットワーク信用証明書を保持し、それにより、携帯装置とＡＰが通信範囲内であるときにＡＰに自動的に接続できる。

しかしながら、この従来の手法には、幾つかの欠点がある。例えば、ネットワーク信用証明書を許可なしに他者と共有でき、ＡＰネットワーク構成が、無許可ネットワークアクセスから保護するために頻繁に変更されないことが多く、ネットワーク信用証書の変更は、典型的ユーザにとって困難なことがあり、複数のＡＰが、同じネットワーク詳細を同報通信して装置を不正又は不良Ｗｉ−Ｆｉネットワークに接続可能となる。

ＩＶＲＳとＮＦＣ対応携帯装置の間の帯域外通信を示すブロック図である。 携帯装置を認証するルータシステムを示すブロック図である。 ルータシステムの構成要素を示すブロック図である。 無線ネットワークへのアクセスを管理するプロセスのフロー図である。 ルータシステムがＷｉ−Ｆｉネットワークに対するアクセスを管理可能な環境を示す図である。 携帯装置が不正ルータとルータシステムを区別することを可能にするルータシステムを示す図である。 二段階認証プロセスに必要とされる典型的ステップを示す図である。 ネットワークに接続する装置を確認する二段階認証プロセスのフロー図である。 不正ルータとルータシステムを区別するプロセスのフロー図である。 管理者と関連付けられた装置によるルータシステムへのアクセスの管理を示すブロック図である。 車載ルータシステムの管理者によって管理されたモバイルアプリケーションの説明図である。 車載ルータシステムの管理者によって管理されたモバイルアプリケーションの説明図である。 携帯装置のネットワークアクセスを管理するプロセスのフロー図である。 携帯装置のネットワークアクセスを管理するプロセスのフロー図である。 開示された技術の幾つかの実施形態の特徴を実施するために使用されうるコンピュータシステムのブロック図である。

ここで紹介される技術は、ネットワークアクセスを管理する二段階認証機構を実現することによって、従来方法によって提起された問題を解決できる。第一段階は、ランダム生成トークンを携帯装置に第１の通信リンクを介して送信することと、ランダム生成トークンを携帯装置から第２の通信リンクを介して受信するとともに、両方のリンクをアクティブな接続状態に維持することを含む。第一段階は、携帯装置が第１の通信リンク（例えば、無線ローカルエリアネットワーク（ＷＬＡＮ））と第２の通信リンク（例えば、近距離無線通信）の両方の通信範囲内にあることを確認できる。第１の通信装置は、第１のローカル無線リンクを車載ルータシステム（ＩＶＲＳ）に提供し、第２の通信装置は、第２の無線リンクをＩＶＲＳに提供する。第１の通信装置は、車両の制限よりも広い範囲を有してもよく、第２の通信装置は、車両内に制限された通信範囲を有してもよい。第２の通信装置の通信範囲は、約０センチメートル（ｃｍ）から約２０ｃｍまで変動可能であり、その間で変動する。例えば、通信装置のうちの１つが、車両内にある近距離無線通信（ＮＦＣ）装置で、１０ｃｍの通信範囲を有する場合、ＮＦＣ装置は、携帯装置が車両内にあることを確認できる。例えば、車載ルータシステム（ＩＶＲＳ）は、ＩＶＲＳとの通信がセキュアサブシステムに制限された携帯装置との通信を確立する。ＩＶＲＳの無線ルータは、第１のトークンを携帯装置に送信する。ＩＶＲＳのＮＦＣ装置は、第２のトークンを携帯装置から受信する。ＩＶＲＳは、第１のトークンが第２のトークンと一致するかどうかを決定する。第１のトークンが第２のトークンと一致するという決定に応じて、ＩＶＲＳは、携帯装置に対するネットワークアクセス権を有効にする認証を得る。第１のトークンと第２のトークンが一致しないという決定に応じて、ＩＶＲＳは、携帯装置にネットワークアクセス権を与えない。

第二段階は、モバイル装置が、ランダム生成トークンをＩＶＲＳの近距離無線通信リンク（例えば、無線又は有線リンク）によって送信することと、ＩＶＲＳが、ランダム生成トークンを携帯装置にＩＶＲＳのＷＬＡＮインタフェースを介して送信して返すことを含む。第二段階は、無線ネットワーク接続がＩＶＲＳによって提供され不正ネットワークではないことを確認するために、携帯装置によって使用されうる。不正ネットワークは、ＩＶＲＳと類似した信用証明書を有し、したがってＩＶＲＳによって提供されているかのように携帯装置に見えるネットワークである。ＩＶＲＳの近距離無線通信装置（例えば、ＮＦＣ装置）は、携帯装置から第３のトークンを受信する。第３のトークンの受信に応じて、ＩＶＲＳのＷＬＡＮ装置は、第３のトークンに対応する第４のトークンを携帯装置に送信する。携帯装置は、第３のトークンが第４のトークンと一致するかどうかを決定して、ネットワーク接続がＩＶＲＳによって提供されることを確認する。

この記述では、「実施形態（an embodiment）」、「一実施形態（one embodiment）」などの参照は、記載されている特定の特徴、機能、構造又は特性が、本明細書で紹介される技術の少なくとも１つの実施形態に含まれることを意味する。本明細書内のそのような語句の存在は、必ずしも全て同じ実施形態を参照するとは限らない。他方、記載された実施形態は、必ずしも互いに排他的ではない。

本明細書では、車載無線ネットワークなどの無線ネットワークへのアクセスを制御するための技術が紹介される。本明細書で紹介される技術は、従来方法で得られるよりも優れたセキュリティを無線ネットワークに提供可能である。また、本明細書に開示された無線ネットワークへのアクセスを管理するための方法は、ネットワーク管理者に、装置が無線ネットワークへのアクセスを許可される、従来方法よりも優れた制御も提供可能である。

無線ネットワークにアクセスするための従来方法は、無線ネットワークの無線ネットワーク名（ＳＳＩＤ − サービスセットＩＤ）を選択し、事前共有鍵（ＰＳＫ）（パスワード）を手動で入力することを必要としうる。認証された後、装置は、無線ネットワーク信用証明書を保持し、装置が無線ネットワークのアクセスポイント（ＡＰ）への通信範囲内にあるときに無線ネットワークに自動的に再接続可能である。しかしながら、この従来手法は、無線ネットワークのユーザにセキュリティリスクをもたらすことを含む幾つかの欠点を有する。

ネットワークアクセス信用証明書（例えば、ＳＳＩＤとＰＳＫ）を共有する従来方法は、無許可ユーザが信用証明書を容易に取得できるので、無線ネットワークを脆弱にする。例えば、認証済みユーザが、ネットワークオペレータによる許可なしに別のユーザとＰＳＫを共有する。幾つかのスマートフォンは、電話をタップするだけでネットワークアクセス詳細を共有可能である。別の例では、ネットワークアクセス信用証明書は、不正ユーザによって盗まれうる。ユーザが、キャッシュされたネットワークアクセス信用証明書を取得するためにアクセスポイントにウイルスを感染させうる。

ネットワークアクセス信用証明書の頻繁な変更は、ネットワークセキュリティを改善できる。しかしながら、典型的ユーザは、不正ネットワークアクセスから保護するためにアクセスポイント信用証明書を頻繁に変更しない。

従来のネットワークアクセス情報の再構成は、典型的ユーザにとって困難なことがある。ユーザは、アクセスポイント信用証明書を変更するためにアクセスポイントの構成に関する詳細を知らなければならないことがある。したがって、ユーザが不正ネットワークアクセスに気づいた場合でも、ユーザは、不正アクセスを防ぐのに無力なことがある。

従来のネットワークシステムは、動的双方向装置アクセス管理を提供できない。ネットワークシステムは、装置がネットワークへのアクセス権を得る方法（ネットワーク信用証明書を提供する以外に）を提供できず、ネットワークシステムは、ユーザが特定装置のネットワークへのアクセスを管理する方法を提供できない。

複数のアクセスポイントが、装置を不正無線ネットワークに接続する同じネットワーク詳細を同報通信できる。不良装置は、また、車両無線ネットワークへのアクセスを要求する認証済み装置のふりをできる。

本発明の実施形態は、従来方法によって提起されたこれらの問題を解決できる。本明細書に記載されたネットワークへのアクセスを制御する方法は、改善されたネットワークセキュリティを提供し、ユーザがネットワークへの装置アクセスを容易に管理することを可能にできる。本発明は、車載無線ネットワークシステム、別の装置の一部、又は独立システムとして実現されうる。無線アクセス信用証明書は、無線ネットワークのセキュリティを高めるためにランダム化されうる。無線ネットワークは、携帯装置のアクセスを制限する二段階認証機構を含む。ユーザ（例えば、ネットワーク管理者）は、無線ネットワークへのアクセスを許可された装置を管理できる。

より具体的には、本明細書で開示された本発明の実施形態は、以下の特徴のうちの１つ以上を含む。

予めプログラムされ設定可能なネットワーク信用証明書の更新：ここで紹介される解決策は、無線ネットワーク信用証明書（例えば、Ｗｉ−ＦｉネットワークのＳＳＩＤとＰＳＫ）の作成と管理を独立に生成し維持することによって、頻繁でない信用証書更新の問題を解決する。システムは、ランダムＳＳＩＤ及びＰＳＫを定期的に生成する。システムは、ネットワーク管理者（例えば、車両所有者）によって、例えばネットワーク信用証明書をランダムに生成する頻度（例えば、車両始動毎、毎日、毎週、毎時間など）を含む１つ以上の変数を変更するように構成されうる。

動的双方向装置アクセス管理：この解決策は、車両Ｗｉ−Ｆｉネットワークへのアクセスを要求する新しい装置の動的双方向管理を可能にする。解決策は、車両Ｗｉ−Ｆｉネットワークへの接続がネットワーク管理者（例えば、車両所有者）によって承認された装置のリストを維持する。新しい装置が、車両のＷｉ−Ｆｉネットワークへのアクセスを要求するとき、ここで紹介される解決策は、テキスト、電子メール又は双方向音声応答システムなどの方法を使用してネットワーク管理者（例えば、車両所有者）と自動的に通信して、新しい装置がネットワークへのアクセスと、ネットワークによって提供されるサービスを要求していることを管理者に知らせる。解決策は、車両ネットワークの管理者に、装置とその所有者に関して新しい装置から収集した情報を提供し、したがって、管理者は、車両ネットワークへのアクセスとサービスを許可するかどうかを決定できる。解決策は、車両所有者が車両内にいない間でも、車両ネットワークへの装置アクセスの容易な管理を可能にする。

ネットワークアクセス信用証明書の共有管理：管理者（例えば、車両所有者）にとって、ユーザが他者とネットワーク詳細を共有するのを防ぐことは難しい。解決策は、ネットワークアクセスを要求するときに物理的に車両内部にある装置へのアクセスの許可を制限する。これは、車両外部にある装置が、車両Ｗｉ−Ｆｉネットワークへの接続を確立するのを防ぐ。解決策は、装置とのネットワーク構成の帯域外通信と二段階ネットワークアクセス認証を使用して車両Ｗｉ−Ｆｉネットワークに接続する。解決策は、各関係者が車両無線ネットワークにアクセスする前に他者の識別を確認する方法を提供することによって、車両Ｗｉ−Ｆｉネットワークシステムと接続装置の両方のセキュリティを改善する。

本明細書で紹介される技術は、例えば、ソフトウェア及び／又はファームウェアによってプログラムされたプログラム可能回路（例えば、１つ以上のマイクロプロセッサ）、完全に専用ハードワイヤード（プログラム可能でない）回路、又はそのような形態の組み合わせによって実現されうる。専用ハードワイヤードの回路は、例えば、１つ以上のＡＳＩＣ、ＰＬＤ、ＦＰＧＡなどの形でよい。

Ｗｉ−Ｆｉ対応携帯装置のユーザがネットワークアクセスポイント（ＡＰ）を有する装置を認証する従来方法は、ユーザが、接続し共有鍵（パスワード）を手動で入力したい無線ネットワークのＳＳＩＤを選択する。認証後、携帯装置は、Ｗｉ−Ｆｉネットワーク信用証明書を保持し、したがって、携帯装置が通信範囲内にあるときはＷｉ−Ｆｉ ＡＰに自動的に接続できる。

近距離無線通信（ＮＦＣ）は、ＮＦＣ対応携帯装置と車載ルータシステム（ＩＶＲＳ）間のきわめて近距離の無線通信を可能にする。ＮＦＣは、１０ｃｍの典型的範囲を有する近距離無線通信である。ＩＶＲＳは、ＮＦＣをセキュアな帯域外通信に使用して、車両内に物理的に持ち込まれたＮＦＣ対応携帯装置と無線ネットワーク詳細を交換する。ＮＦＣを帯域外通信に使用することによって、ＩＶＲＳが、Ｗｉ−Ｆｉネットワーク信用証明書を携帯装置とセキュアに共有することを可能にし、携帯装置が、ユーザがネットワーク詳細を手動で選択又は入力することなく、ＩＶＲＳ Ｗｉ−Ｆｉネットワークに自動的に接続することを可能にする。同じ目的に近距離有線通信（例えば、ＵＳＢ）が使用されうる。

図１Ａ〜図１Ｂは、携帯装置１０を認証する車載ルータシステム（ＩＶＲＳ）１００を示すブロック図である。ＩＶＲＳ１００は、例えば、無線ネットワークサブシステム（例えば、Ｗｉ−Ｆｉサブシステム）１０２、制御システム１０４、近距離ネットワークサブシステム（例えば、近距離無線通信サブシステム）１０６、及び近距離帯域外通信装置（例えば、ＮＦＣアンテナパッド）１０８を含みうる。

図１Ａは、ＩＶＲＳ１００の近距離無線通信装置１０８と携帯装置１１０との間の帯域外通信（例えば、無線リンクによる）を示す。ＩＶＲＳ１００と携帯装置は、無線リンク（例えば、セキュアＮＦＣセッション）を確立する。ＩＶＲＳ１００は、無線リンクを介して携帯装置１１０に無線ネットワーク詳細（例えば、ＳＳＩＤとＰＳＫ）を提供する。

図１Ｂは、ＩＶＲＳの無線ネットワークサブシステム１０２に接続する携帯装置を示す。携帯装置１１０は、ＩＶＲＳ１００とのＮＦＣセッションによって受信されたネットワーク信用証明書を使用して、無線ネットワークサブシステムに接続できる。本明細書に記載された近距離無線通信（例えば、無線リンクによる）は、ＮＦＣを含みうるが、ＮＦＣに限定されない。帯域外通信は、任意の近距離無線通信又は有線通信を利用できる。

図２は、車載ルータシステム（ＩＶＲＳ）２００の構成要素を示すブロック図である。ＩＶＲＳ２００の種々の構成要素は、ネットワークアクセスをセキュアにするために単独又は他の構成要素と組み合わせで使用されうる。ＩＶＲＳ２００は、Ｗｉ−Ｆｉサブシステム２０２、制御システム２０４、ＮＦＣサブシステム２０６、ＮＦＣアンテナ２０８、プロファイル管理サブシステム２１２、ランダム化サブシステム２１４、又はこれらの任意の組み合わせを含みうる。

無線ネットワークへのアクセスは、無線ネットワークの公開名（ＳＳＩＤ）と関連付けられた事前共有鍵（ネットワークパスワード）によって管理される。本明細書に記載された方法及びシステムは、管理者（車両の所有者）が以下のことをする必要をなくす。

固有かつ強力な無線ネットワークアクセス信用証明書を手動で作成すること。

セキュリティを維持するために無線ネットワーク信用証明書を定期的に変更すること。

ネットワーク信用証明書を記憶し認証済み携帯装置と共有すること。

ＩＶＲＳ２００は、固有ランダムＳＳＩＤと共有鍵を生成する役割をするソフトウェアとハードウェアの両方を含むランダム化サブシステム２１４を有する。ランダム化サブシステムは、ＳＳＩＤ、共有鍵、ＭＡＣアドレスなど、ＩＶＲＳ Ｗｉ−Ｆｉネットワークの多くに適した様々な長さのデータを生成するように構成されうる。これは、真ランダム発生器と疑似ランダム発生器の両方に基づいて暗号鍵を生成できる。

ＩＶＲＳ２００は、また、無線ネットワーク管理用の構成プロファイルを含む多数の構成プロファイルを維持するシステムプロファイル構成管理サブシステム２１２を有する。無線ネットワーク管理構成プロファイルは、ＩＶＲＳ２００の管理者が無線ネットワークアクセスを管理することを可能にする全てのパラメータを含む。構成オプションの幾つかには、許可装置とブロック装置の詳細のリスト、Ｗｉ−Ｆｉネットワーク信用証書変更の頻度を指定する手段、変更するネットワーク信用証明書のリスト、利用可能Ｗｉ−Ｆｉネットワークのリスト、及び各Ｗｉ−Ｆｉネットワークで利用可能なサービスのリストが含まれる。

図３は、無線ネットワークへのアクセスを管理するプロセスのフロー図である。より具体的には、図３は、ランダム化サブシステム（例えば、ランダム化サブシステム２１４）とプロファイル管理サブシステム（例えば、プロファイル管理サブシステム２１２）が、車載無線ネットワークを構成するためにＩＶＲＳ（例えば、ＩＶＲＳ２００）によってどのように使用されるかの例示的プロセスを示す。ランダム化サブシステムは、トリガイベントの発生に基づいてランダム又は擬似ランダムトークン（例えば、ＳＳＩＤ、共有鍵など）を生成する。トリガイベントには、例えば、ＩＶＲＳの電源投入、期間の満了、不正ログイン試行数、管理者からの要求、又はこれらの任意の組み合わせが含まれる。幾つかのトリガイベントは構成可能でよい。例えば、管理者は、期間の満了後に新しいトークンを生成させる期間を選択できる。別の例では、管理者は、ＩＶＲＳが幾つかの不正ログイン試行を検出した後で新しいトークンを生成させる不正ログイン試行の数を選択できる。幾つかの不正ログイン試行の後で新しいトークンを生成することによって、トークンを移動目標にすることによって付加セキュリティを提供でき、これにより、不正ユーザが試行錯誤によってトークンを決定しうる確率を大幅に小さくする。

実施形態では、デフォルト無線ネットワーク構成プロファイルは、車両始動毎に新しいトークン（例えば、Ｗｉ―Ｆｉネットワーク信用証明書）を生成することをＩＶＲＳに要求する。したがって、昔のネットワーク信用証明書によって前に認証された携帯装置は、次の車両始動時に車両のＷｉ−Ｆｉネットワークに自動的に接続できなくなる。携帯装置は、各車両始動時に帯域外近距離無線通信によって新しいＷｉ−Ｆｉネットワーク詳細を得る必要がある。

図３に示されたように、新しいトークンを生成するプロセスは、ＩＶＲＳの起動（ステップ３０２）、システム構成プロファイルの読み取り３０４、新しいトークン（例えば、新しいＷｉ−Ｆｉネットワーク信用証明書）が必要かどうかの決定（決定３０６）、新しいトークンが必要ない場合にシステム構成から前のトークン（例えば、前のＷｉ−Ｆｉネットワーク信用証明書）の取り出し（ステップ３０８）、新しいトークンが必要な場合にランダム化サブシステム（例えば、ランダム化サブシステム２１４）から新しいトークン（例えば、Ｗｉ−Ｆｉネットワーク信用証明書）の要求（ステップ３１０）、ネットワーク構成（例えば、Ｗｉ−Ｆｉネットワーク構成）の更新（ステップ３１２）、ネットワークサービス（例えば、Ｗｉ−Ｆｉサービス）の開始（ステップ３１４）、及び帯域外通信サービス（例えば、ＮＦＣサービス）の開始（ステップ３１６）を含みうる。

図４は、ルータシステムが無線ネットワークへのアクセスを管理できる環境を示す。ＩＶＲＳは、Ｗｉ−Ｆｉネットワークアクセスを要求しながらＮＦＣセッションを確立した携帯装置への無線ネットワークアクセスを許可できる。

Ｗｉ−Ｆｉネットワークへのアクセスは、共有ネットワークアクセス鍵を秘密にすることによって制御されうる。無線特性のため、Ｗｉ−Ｆｉネットワークの共有鍵を取得する任意の携帯装置が、そのＷｉ−Ｆｉネットワークに接続できる。携帯装置が共有鍵を得た後、ＩＶＲＳ管理者の承認なしに共有鍵情報を他の携帯装置に渡すことは比較的簡単である。Ｗｉ−Ｆｉネットワーク通信範囲は、車両のサイズよりかなり大きい。したがって、車両外の不良携帯装置が、車両のＷｉ−Ｆｉネットワークに接続し車載ネットワーク安全性を損なう可能性がある。本明細書に記載された二段階認証方法及びシステムは、少なくとも２つの利点、即ち（１）携帯装置へのアクセスを制限することと、（２）携帯装置の適正ネットワークへの接続を保証することを提供する。

二段階認証は、Ｗｉ−Ｆｉネットワークアクセスを許可するときに物理的に車両内にある携帯装置へのアクセスを制限するために使用されうる。ＮＦＣ装置の範囲外にある携帯装置は、Ｗｉ−Ｆｉネットワーク接続の確立が許可されない。ＮＦＣ装置は、車両内にあり、数センチメートル（例えば、約４ｃｍ〜約１５ｃｍの範囲）の通信範囲を有しうる。ＮＦＣ装置の通信範囲が限られているので、車両外の携帯装置は、ＮＦＣ装置と通信できないことがあり、したがって、無線ネットワークへの接続が許可されないことがある。

ＩＶＲＳ４００は、無線サブシステム４０２（例えば、Ｗｉ−Ｆｉサブシステム）、制御サブシステム４０４、ＮＦＣサブシステム４０６、及びＮＦＣアンテナ４０８を含みうる。ＮＦＣアンテナ４０８は、通信範囲４２０を有しうる。無線サブシステム４０２は、通信範囲４３０を有する。無線サブシステム４０２の通信範囲４３０は、ＮＦＣアンテナ４０８の通信範囲４２０より大きくてもよい。例えば、車両内に設置された無線サブシステム４０２の通信範囲４３０は、車両の範囲より広くてもよく、ＮＦＣアンテナ４０８の通信範囲４２０は、車両内に制限されうる。携帯装置４１０が、ＮＦＣアンテナ４０８及び無線サブシステム４０２両方の通信範囲内にあるので、ＩＶＲＳは、携帯装置４１０への無線ネットワークアクセスを許可できる。ＩＶＲＳは、携帯装置４１１がＮＦＣアンテナ４０８の通信範囲内にないので、携帯装置４１１への無線ネットワークアクセスを許可できない。

図５は、携帯装置が不正ルータと本物ルータシステム（例えば、車載ルータシステム）の識別を可能にするルータシステムを示す。二段階認証プロセスは、携帯装置が、ＩＶＲＳとの無線ネットワーク接続を確認することによって、不正無線ネットワークと本物無線ネットワーク（例えば、特定の車載ルータシステム）の識別を可能にできる。

二段階認証は、携帯装置が、適正なＩＶＲＳ無線ネットワークに接続することを保証し、したがって、携帯装置の不正無線ネットワークからの保護を可能にできる。例えば、第二段階は、無線ネットワーク接続が不正ネットワークではなくＩＶＲＳによって提供されることを携帯装置が確認するために使用されうる。不正ネットワークは、ＩＶＲＳと類似の信用証明書を有し、したがってＩＶＲＳによって提供されているかのように携帯装置に見えるネットワークである。

車両内にある携帯装置は、第１のローカル無線リンクを介して、車両のＩＶＲＳと関連付けられた無線アクセスポイント（ＡＰ）に第１のトークンを送信して、無線アクセスポイントに第２のトークンで応答させる。ＩＶＲＳの第１の無線リンク（例えば、ＮＦＣサブシステムによって実現されたリンク）は、携帯装置からトークンを受信できる。第１の無線リンクは、第１のプロトコルスタック（例えば、ＮＦＣ準拠プロトコルスタック）を実施する。第１のトークンの受信に応じて、ＩＶＲＳの第２の無線リンクは、第１のトークンに対応する第２のトークンを携帯装置に送信する。携帯装置は、携帯装置とＩＶＲＳ間の第２のローカル無線リンク（例えば、Ｗｉ−Ｆｉサブシステムによって実現されたリンク）を介して第２のトークンを受信し、第２の無線リンクは、第１のプロトコルスタックと異なる第２のプロトコルスタック（例えば、Ｗｉ−Ｆｉ準拠プロトコルスタック）を実現する。携帯装置は、第２のトークンが第１のトークンと一致するかどうかを決定する。第２のトークンが第１のトークンと一致すると決定された場合、携帯装置は、無線ＡＰを認証する。第２のトークンが第１のトークンと異なると決定されるか、所定の時間制限内に到達しない場合、携帯装置は、ＩＶＲＳとのセッションを中止してもよい。

図６は、二段階認証プロセスに必要なステップを示す図である。認証サブシステムは、ＮＦＣセッションによってＷｉ−Ｆｉネットワークへのアクセスを要求する携帯装置の識別を検証する役割をする。ＩＶＲＳは、Ｗｉ−Ｆｉネットワーク詳細と認証サブシステム接続詳細を、ＮＦＣセッションによってＷｉ−Ｆｉアクセスを要求する携帯装置に提供する。ＩＶＲＳとのＮＦＣセッションを維持しながら、携帯装置は、Ｗｉ−Ｆｉネットワークへの接続を試みる。ＩＶＲＳは、携帯装置を認証し、最初に認証サブシステムへのネットワークアクセスを制限する。Ｗｉ−Ｆｉ接続が確立された後で、携帯装置は、認証サブシステムに接続し始める。接続が確認された後、ＩＶＲＳ認証サブシステムは、チャレンジ応答を発行する。トークン（例えば、固有ランダムデータ鍵）が、１つのネットワーク接続セッション（Ｗｉ−Ｆｉ又はＮＦＣ）によって携帯装置に提供され、携帯装置は、受信トークンを、他のネットワーク接続セッションを介してＩＶＲＳに通信する。ＩＶＲＳ認証サブシステムは、携帯装置から受信したトークンが携帯装置に送信されたトークンと一致することを確認する。それが確認された後で、ＩＶＲＳは、携帯装置への適切なネットワークアクセス権を有効にする。固有ランダムデータ鍵は、ＡＳＣＩＩ文字の長いシーケンス、又は音声と画像を含む任意のバイナリデータでよい。

携帯装置は、１つのネットワーク接続セッション（Ｗｉ−Ｆｉ又はＮＦＣ）によってＩＶＲＳ認証サブシステムにランダムトークンを送信する。次に、ＩＶＲＳは、受信したトークンを、既にある別のネットワーク接続セッションによって携帯装置に返す。携帯装置は、受信トークンの検証を試みる。受信トークンが有効な場合、携帯装置は、適正ＩＶＲＳに接続されていることが分かる。

図７は、ネットワークに接続する装置を検証する認証プロセスのフロー図である。

ＩＶＲＳは、携帯装置からのメッセージの傍受を開始できる（７０２）。ＩＶＲＳは、通信がセキュアサブシステム（例えば、認証サブシステム）に限定される携帯装置との通信を確立する（ステップ７０４）。ＩＶＲＳは、トークン（例えば、ランダムデータ鍵）を携帯装置に送信する（例えば、ルータによって）（ステップ７０６）。ＩＶＲＳは、特定の時間枠内で携帯装置から戻されるトークンの受け入れを制限する時間を開始できる（ステップ７０８）。携帯装置は、トークンを受信し、そのトークンをＩＶＲＳに戻す（例えば、ＮＦＣ装置によって）。ＩＶＲＳは、携帯装置からトークンを受信する。

ＩＶＲＳは、トークンがしきい値時間期間の終了前に受信されたかどうかを決定する（決定７１４）。しきい値時間期間は、例えば、ＩＶＲＳの管理者によって選択されてもよく、予想応答時間に設定されてもよい。トークンが、時間枠の終了前に受信されない場合、ＩＶＲＳは、携帯装置との通信を終了できる（例えば、Ｗｉ−Ｆｉを切り離す）（ステップ７１６）。トークンが時間枠の終了前に受信された場合、ＩＶＲＳは、送信トークンが受信トークンと一致するかどうかを決定する（決定７１２）。送信トークンが受信トークンと一致しない場合、ＩＶＲＳは、携帯装置に対するネットワークアクセス権を拒否する（例えば、Ｗｉ−Ｆｉを切断する）（ステップ７１６）。送信トークンが受信トークンと一致する場合、ＩＶＲＳは、携帯装置へのネットワークアクセス権を有効にする認証を得る（ステップ７１０）。例えば、ＩＶＲＳは、複数の認証済み携帯装置から携帯装置を識別し、完全ネットワークアクセス権を与えうる。別の例では、ＩＶＲＳは、携帯装置（又は、携帯装置と関連付けられたプロファイル）を認識できず、ＩＶＲＳの管理者からの認証を要求できない。ＩＶＲＳの管理者と関連付けられた装置から認証を得ることは、図９に関して後述される。

図８は、不正ルータとルータシステムとを識別するプロセスのフロー図である。このプロセスは、ＩＶＲＳを検証しそれを不正システムと区別するために携帯装置によって使用されうる。

携帯装置は、帯域外通信チャネル（例えば、ＮＦＣ）から受信された情報に基づいて無線ネットワーク（例えば、Ｗｉ−Ｆｉネットワーク）に接続できる（ステップ８０２）。ＩＶＲＳは、携帯装置に制限付きネットワークアクセス（例えば、認証サブシステムに制限された）を提供する（ステップ８０４）。携帯装置は、帯域外通信から受信された情報に基づいて、制限付きサブシステム（例えば、認証サブシステム）に接続する（ステップ８０６）。携帯装置は、ＩＶＲＳ（例えば、認証サブシステム）にトークンを送信する（ステップ８０８）。携帯装置は、ほぼ携帯装置がトークンを送信する瞬間にタイマを開始する（ステップ８１０）。携帯装置は、帯域外通信チャネル（例えば、ＮＦＣ）を介してＩＶＲＳからトークンを受信してもよく、かつ／又は時間期間はトークンを受信せずに終了してもよい。携帯装置は、時間期間（例えば、ユーザによって設定された時間期間）内にトークン（例えば、固有ランダム鍵）が受信されたかどうかを決定する（ステップ８１２）。トークンが時間期間内に受信されない場合、携帯装置は、無線ネットワークから切断する（ステップ８１６）。トークンが時間期間内に受信された場合、携帯装置は、受信トークンが送信トークンと一致するかどうかを決定する（ステップ８１４）。トークンが一致する場合、携帯装置は、ＩＶＲＳとの無線接続を維持する（ステップ８１８）。

トークンの一致を検証することによって、携帯装置が不正ネットワークではなくＩＶＲＳに接続される確率が大幅に上昇し、したがって携帯装置のセキュリティが高まる。トークンが一致しないか、応答がすぐに受信されない場合は、携帯装置が接続された無線ネットワークがＩＶＲＳではないことがある。車両内でローカルにサービスを提供する帯域外装置を介してランダム化トークンの通信交換を可能にすることによって、上記方法は、携帯装置が、不正ネットワークではなくＩＶＲＳに接続されていることをほぼ確実に保証できる。

図９は、ＩＶＲＳへのアクセスの管理を示すブロック図である。実施形態では、管理者装置９１８は、ゲスト装置９１０のネットワークアクセスを認証又は拒否できる。

ＩＶＲＳは、ＮＦＣアンテナパッド９０８を介してゲスト装置９１０に接続されたＮＦＣサブシステム９０６を含みうる。制御サブシステム９０４は、ＮＦＣサブシステム９０６と、例えば無線ローカルエリアネットワーク（ＷＬＡＮ）サブシステム９０２、システムプロファイル構成サブシステム９１２及びアクセス管理サブシステム９１６を含む種々の他のサブシステムを管理する。ＷＬＡＮサブシステム９０２は、例えば、Ｗｉ−Ｆｉネットワークなどの当該技術分野で既知の任意のローカルエリアネットワークに対応できる。システムプロファイル構成サブシステム９１２は、認証プロファイルと非認証プロファイルをそれぞれ含むアクセス制御リスト（ＡＣＬ）とブロックアクセス制御リスト（ＢＡＣＬ）を記憶し更新できる。プロファイルは、例えば、電話番号、ＭＡＣアドレス、装置モデル情報、国際移動体装置識別番号（ＩＭＥＩ）などの装置と関連付けられた情報を含みうる。アクセス管理サブシステム９１６は、１つ以上の管理者装置９１８との通信を容易にできる。

管理者装置９１８以外の任意の装置が、ゲスト装置９１０と見なされうる。車載無線ネットワークへの接続が許可されたゲスト装置９１０が、有効ネットワークアクセスプロファイルを有するか管理者装置９１８から認証を受けるように要求されうる。ゲスト装置９１０が管理者装置９１８から認証を受けた場合、装置のネットワークアクセスプロファイルが生成されうる。ネットワークアクセスプロファイルは、ネットワークのアクセス権とそのネットワーク上で利用可能なサービスを定義する。ゲスト装置９１０が、有効ネットワークアクセスプロファイルを有する場合、ＩＶＲＳは、装置を車載無線ネットワークに接続するために管理者装置９１８から認証を要求しなくてもよい。ＩＶＲＳは、ゲスト装置９１０が利用できる複数のネットワーク及びサービスを有することができる。管理者（例えば、管理者装置９１０のオペレータ）は、装置をローカル及びリモートで管理して車載無線ネットワーク及びサービスへの接続を要求できる。

アクセス管理サブシステム９１６は、ソフトウェアとハードウェア両方を含む。アクセス管理サブシステム９１６は、ＩＶＲＳネットワークとサービスへのアクセスを制御する役割をする。また、アクセス管理サブシステム９１６は、ＩＶＲ管理者に連絡してゲスト装置９１０の代わりにネットワークアクセスを要求する役割をする。アクセス管理サブシステム９１６は、例えば、バスコネクタ、無線ルータ、無線移動体通信装置（例えば、ロングタームエボリューション、４Ｇなど）、又は通信装置の任意の組み合わせなど、１つ以上の有線又は無線通信装置を含みうる。アクセス管理サブシステム９１６は、管理者装置９１８と直接又は間接に接続できる（例えば、仲介ネットワークを介して）。

携帯装置が、ＩＶＲＳネットワークとの接続を要求するとき、携帯装置上で動作するネットワークアクセスアプリケーションは、近距離無線通信を介してＩＶＲＳに要求を出す（例えば、図１Ａ〜図１Ｂに関して述べたように）。要求メッセージは、携帯装置の所有者及び装置自体に関する情報を含む。装置所有者情報には、限定ではなく、名前と電子メールアドレスが含まれ、装置情報には、限定ではなく、ＭＡＣアドレス、装置モデル情報、国際移動体装置識別番号（ＩＭＥＩ）及び携帯番号が含まれうる。アクセス管理サブシステム９１６は、ＩＶＲＳが維持するアクセス制御リスト（ＡＣＬ）内に携帯装置がネットワークアクセスプロファイルを既に有するかどうかを確認する。ネットワークアクセスプロファイルが既にある場合、アクセス制御サブシステムは、ＩＶＲＳの他のサブシステムを使って処理して携帯装置への適切なアクセスを可能にする。装置がブロックアクセス制御リスト（ＢＡＣＬ）に含まれる場合、ＩＶＲＳは、既に確立された近距離無線通信セッションによって、装置がブロック装置リストにあることを携帯装置に通知する。

アクセス管理サブシステム９１６が、ＡＣＬとＢＡＣＬ両方に装置のネットワークアクセスプロファイルを見つけない場合は、構成管理サブシステム内に記憶された管理者通信プロファイル詳細を使用して管理者に連絡する。管理者通信プロファイルは、モバイルアプリケーション上のＳＭＳ、電子メール又は警報などの連絡方法の優先リストを含む。ＩＶＲＳは、新しい携帯装置のネットワークアクセスプロファイルを作成する認証を要求するために管理者に連絡を試みる。管理者への要求は、所有者と携帯装置を識別する情報を含む。ＩＶＲＳは、カレント近距離無線通信セッションによって要求されたネットワークアクセスの管理者に達しようとしている進捗についてゲスト装置９１０を更新する。管理者が、車載ネットワーク及びサービスへのアクセスを許可する場合、ゲスト装置９１０は、ＡＣＬに追加され、ＩＶＲＳは、近距離無線通信セッションによってゲスト装置９１０にアクセス情報を提供する。管理者がアクセス要求を拒否した場合、ゲスト装置９１０はＢＡＣＬに追加され、ＩＶＲＳは、アクセスの要求が拒否されたことをゲスト装置９１０に知らせ、ネットワークにアクセスする更なる試みがブロックされる。管理者に連絡するＩＶＲＳの努力がタイムアウトした場合、ゲスト装置９１０は、ネットワークへのアクセスが拒否され、ゲスト装置９１０に、カレント近距離無線通信セッションによって結果が通知される。そのようなシステムは、管理者（例えば、車両所有者）が車両内にいないときでも車両の無線ネットワークへのアクセスを管理することを可能にする。

図１０Ａ〜図１０Ｂは、車載ルータシステムの管理者によって管理されたモバイルアプリケーションの説明図である。図１０Ａ〜図１０Ｂはモバイル装置を示すが、管理者装置（例えば、管理者装置９１８）は、例えば、デスクトップコンピュータ、ラップトップコンピュータ、サーバ、ページャ、ウェアラブル装置（例えば、スマートウォッチ）など、メッセージを受信し送信可能な当該技術分野で既知の任意の装置でよい。

モバイルアプリケーションは、管理者装置のプロセッサによって実行され、管理者が知覚可能な出力を提供できる。例えば、モバイルアプリケーションは、ＩＶＲＳにアクセスしようとしているゲスト装置に関する情報（例えば、装置名、電話番号、ゲスト装置と関連付けられたユーザ名など）を示すテキストを表示できる。モバイルアプリケーションは、例えばタッチスクリーンディスプレイによって活動化できる１つ以上のボタンを含みうる。例えば、モバイルアプリケーションは、「アクセプト」ボタン及び／又は「リジェクト」ボタンを提供でき、したがって、管理者装置のユーザ（例えば、管理者）は、タッチスクリーンディスプレイによってゲスト装置のアクセスを認証（例えば、「アクセプト」を選択することによって）又は拒否（例えば、「リジェクト」を選択することによって）できる。

モバイルアプリケーションは、ＩＶＲＳによって提供された車載無線ネットワークへの接続が認証され（例えば、ＡＣＬに追加され）かつ／又はブロックされた（例えば、ＢＡＣＬに追加された）装置のリストを提供できる。例えば、図１０Ｂに示されたように、「ジェーンの電話」と「ジョンの電話」は、車載無線ネットワークへの接続が認証され、「マイクのタブレット」は、車載無線ネットワークへの接続がブロックされうる。モバイルアプリケーションは、タッチスクリーンディスプレイ上の仮想ボタンを作動させることによって、装置をＡＣＬからＢＡＣＬに移動させまたその逆に移動させるように構成された仮想ボタンを提供できる。例えば、管理者装置は、「ジェーンの電話」の隣に表示された仮想ボタンと関連付けられた入力を受け取り、「ジェーンの電話」と関連付けられたプロファイルをＡＣＬからＢＡＣＬに移動できる。また、モバイルアプリケーションは、アプリケーションユーザがネットワーク管理者であることを確認する。

図１１Ａ〜図１１Ｂは、許可又はブロックリスト（例えば、ＡＣＬ又はＢＡＣＬ）に含まれる携帯装置と許可又はブロックリストに含まれない装置（例えば、新しい装置）のネットワークアクセスを管理するプロセスのフロー図である。

ステップ１１０２で、ＩＶＲＳは、帯域外通信（例えば、ＮＦＣ）によって、ユーザ及び／又は携帯装置に関する情報を受信し、無線ネットワークアクセスの要求を受信する。ＩＶＲＳは、装置がアクセス制御リスト（ＡＣＬ）にあるかどうかを決定する（決定１１０４）。携帯装置がＡＣＬにある場合、ＩＶＲＳは、セキュアサブシステム（例えば、認証サブシステム）に対する限られたネットワークアクセスを有効にする（ステップ１１０６）。ステップ１１０８で、ＩＶＲＳは、帯域外通信（例えば、ＮＦＣ）によってネットワークアクセス及び認証サブシステムアクセス詳細を装置に提供する。装置は、ネットワークアクセス詳細を使用して帯域内ネットワーク（例えば、ＷＬＡＮ）にアクセスできる。

携帯装置がＡＣＬにない場合、ＩＶＲＳは、装置がブロックアクセス制御リスト（ＢＡＣＬ）にあるかどうかを決定する（決定１１１０）。携帯装置がブロックされた場合は、携帯装置が帯域内ネットワーク（例えば、ＷＬＡＮ）にアクセスしないことを示すメッセージが、帯域外通信（例えば、ＮＦＣ）によって携帯装置に送信される（ステップ１１１２）。

携帯装置がＢＡＣＬにない場合、ＩＶＲＳは、システムプロファイル構成サブシステムから管理者装置に連絡する方法のリストを取得する（ステップ１１１４）。ＩＶＲＳは、管理者装置に連絡するための未試行の方法があるかどうかを決定する（決定１１１６）。未試行の方法がない場合、ＩＶＲＳは、携帯装置に、ネットワークアクセスが利用できないことを通知し、ＩＶＲＳ管理者への連絡を提案してもよい（ステップ１１３０）。

未試行の方法がある場合、ＩＶＲＳは、最も優先順位の高い未試行の方法を使用して管理者装置への連絡を試みる（ステップ１１１８）。ステップ１１２０で、ＩＶＲＳは、管理者装置から応答の時間期間を設定するタイマを開始できる。ＩＶＲＳは、時間期間の終了前に応答を受信したかどうかを決定しうる（ステップ１１２２）。ＩＶＲＳが時間期間の終了前に応答を受信しなかった場合は、決定１１１６が繰り返されうる。

ＩＶＲＳが管理者装置から応答を受信した場合、ＩＶＲＳは、携帯装置のネットワークアクセスが認証されたかどうかを決定する（決定１１２４）。ネットワークアクセスが認証された場合は、携帯装置がＡＣＬに追加され（ステップ１１２６）、ステップ１１０６が実行されうる。ネットワークアクセスが認証されない場合、携帯装置はＢＡＣＬに追加され（ステップ１１２８）、ステップ１１１２が実行されうる。

図１２は、開示された技術の幾つかの実施形態の特徴を実現するために使用できるようなコンピュータシステムのブロック図である。コンピューティングシステム２０は、図１Ａ〜図１１Ｂの例に示されたエンティティ、構成要素又はサービス（及び本明細書に記載された他の構成要素）のいずれかを実施するために使用されうる。コンピューティングシステム２０は、１つ以上の中央処理装置（「プロセッサ」）３２、メモリ３４、入出力装置３８、４０及び４２（例えば、キーボード、ポインティング装置、表示装置）、及び相互接続機構２２に接続されたネットワークアダプタ２６（例えば、ネットワークインタフェース）を含みうる。相互接続機構２２は、任意の１つ以上の個別物理バス、ポイントツーポイント接続、又は適切なブリッジ、アダプタ若しくはコントローラによって接続されたこれらの両方を表わす抽象概念として示される。したがって、相互接続機構２２は、例えば、システムバス、周辺構成要素相互接続（ＰＣＩ）バス又はＰＣＩ Ｅｘｐｒｅｓｓバス、ハイパートランスポート又は業界標準アーキテクチャ（ＩＳＡ）バス、小型コンピュータシステムインタフェース（ＳＣＳＩ）バス、汎用シリアルバス（ＵＳＢ）、ＩＩＣ（Ｉ２Ｃ）バス、或いは「Ｆｉｒｅｗｉｒｅ」と呼ばれる米国電気電子技術者協会（ＩＥＥＥ）規格１３９４バスを含みうる。

メモリ３４は、記載された技術の少なくとも一部分を実現する命令を記憶可能な非一時的コンピュータ可読記憶媒体である。更に、データ構造及びメッセージ構造は、通信リンク上の信号などのデータ伝送媒体によって記憶又は送信されうる。インターネット、ローカルエリアネットワーク、広域ネットワーク、又はポイントツーポイントダイアルアップ接続などの種々の通信リンクが使用されうる。

メモリ３４に記憶された命令は、前述された動作を実行するようにプロセッサ３２をプログラムするソフトウェア３６及び／又はファームウェアとして実行されうる。幾つかの実施形態では、そのようなソフトウェア３６又はファームウェアは、コンピューティングシステム２０を介して（例えば、ネットワークアダプタ２６を介して）リモートシステムからダウンロードすることによって、コンピューティングシステム２０に最初に提供されうる。

１００ 車載ルータシステム（ＩＶＲＳ）
１０２ Ｗｉ−Ｆｉサブシステム
１０４ 制御サブシステム
１０６ ＮＦＣサブシステム
１０８ ＮＦＣアンテナパッド
１１０ 携帯装置

Claims (34)

1. 携帯装置によって車載ルータシステム（ＩＶＲＳ）との通信を確立し、前記携帯装置が、第１の通信リンクおよび第２の通信リンクを介して前記ＩＶＲＳと通信するステップであって、前記確立された通信が、
   車両内にある携帯装置によって、第１のトークンを前記ＩＶＲＳと関連付けられた無線アクセスポイント（ＡＰ）に第１の通信リンクを介して送信して、前記無線ＡＰを第２のトークンで応答するように促し、前記第１の通信リンクが第１のプロトコルスタックを実現するステップ、および、
   前記携帯装置によって、前記携帯装置と前記ＩＶＲＳ間の第２の通信リンクを介して第２のトークンを受信し、前記第２の通信リンクが、前記第１のプロトコルスタックと異なる第２のプロトコルスタックを実現するステップ、を容易にするために維持されるステップと、
   前記携帯装置によって、前記第２のトークンが前記第１のトークンと一致するかどうかを決定するステップと、
   前記第２のトークンが前記第１のトークンと一致すると決定されたときだけ、前記無線ＡＰを前記携帯装置によって認証するステップと、を含む方法。
2. 前記携帯装置が、
   前記第２の通信リンクを介して前記携帯装置によって、ネットワークアクセス信用証明書の要求と第１組の識別情報を送信するステップと、
   前記第２の通信リンクを介して前記携帯装置によって、前記第１の通信リンクに接続するための１組のネットワークアクセス信用証明書を受信するステップと、
   前記第１の通信リンクを介して前記携帯装置によって、前記１組のネットワークアクセス信用証明書を使用して接続要求を送信するステップとによって前記ＩＶＲＳとの通信を確立し、前記ＩＶＲＳが、前記ネットワークアクセス信用証明書を確認することによって前記携帯装置を認証するように構成された、請求項１に記載の方法。
3. 前記第１のトークンが、無線ローカルエリアネットワーク（ＷＬＡＮ）リンク又は近距離無線通信（ＮＦＣ）リンクのいずれかを介して前記携帯装置から前記無線ＡＰに通信される、請求項１に記載の方法。
4. 前記第２のトークンは、前記第１のトークンが通信される通信リンク以外の通信リンクによって通信される、請求項３に記載の方法。
5. 前記第２の通信リンクが、前記車両内に制限された通信範囲を有する、請求項１に記載の方法。
6. 前記第２の通信リンクが、近距離無線通信（ＮＦＣ）リンク又は汎用シリアルバス（ＵＳＢ）リンクのいずれかである、請求項１に記載の方法。
7. 通信が不正無線システムとの通信であるという決定に応じて通信を終了するステップを更に含む、請求項１に記載の方法。
8. 前記第１のトークンが、ランダム又は擬似ランダム値発生器を使用して作成される、請求項１に記載の方法。
9. 前記第１のトークンと前記第２のトークンがバイナリパターンを含む、請求項１に記載の方法。
10. 車載ルータシステム（ＩＶＲＳ）によって携帯装置との通信を確立するステップであって、前記ＩＶＲＳが、無線ローカルアクセスネットワーク（ＷＬＡＮ）と近距離通信リンクによって前記携帯装置と通信し、前記携帯装置による前記ＩＶＲＳとの通信が、前記ＩＶＲＳの認証サブシステムとの通信に限定されるステップを含む方法であって、
    前記確立された通信は、
    前記ＷＬＡＮを介して、第１のトークンを前記携帯装置に送信するステップと、
    前記近距離通信リンクを介して、前記携帯装置から第２のトークンを受信するステップと、
    前記第１のトークンが前記第２のトークンと一致するかどうかを決定するステップと、
    前記第１のトークンが前記第２のトークンと一致すると決定されたときだけ、前記携帯装置のネットワークアクセス権を決定するステップと、を容易にするために維持される、方法。
11. 前記ＷＬＡＮと前記近距離通信リンクが、少なくともネットワークアクセス権が前記携帯装置に与えられるまで確立されたままである、請求項１０に記載の方法。
12. 前記携帯装置との通信を確立するステップが、
    前記携帯装置から、前記近距離通信リンクを介して、識別情報及びネットワークアクセス信用証明書の要求を受信するステップと、
    前記携帯装置に、前記近距離通信リンクを介して、前記携帯装置を前記無線ＡＰに接続するためのネットワークアクセス信用証明書を送信するステップと、
    前記携帯装置から、前記ＷＬＡＮを介して、前記ネットワークアクセス信用証明書を使用する接続要求を受信するステップと、
    前記ＩＶＲＳによって、前記ネットワークアクセス信用証明書を確認することによって前記携帯装置を認証するステップと、
    前記携帯装置の認証に応じて、前記携帯装置による前記認証サブシステムへの制限付き通信を可能にするステップとを含む、請求項１０に記載の方法。
13. 前記近距離通信リンクを介して、前記携帯装置から第３のトークンを受信するステップと、
    前記第３のトークンの受信に応じて、前記携帯装置に、前記ＷＬＡＮによって、前記第３のトークンに対応する第４のトークンを送信するステップであって、前記携帯装置は、前記第３のトークンが前記第４のトークンと一致することを確認するように構成されるステップとを含み、
    前記近距離通信リンクと前記ＷＬＡＮが、前記携帯装置による確認が完了するまでアクティブのままである、請求項１０に記載の方法。
14. 前記ＷＬＡＮを介して、前記携帯装置から第３のトークンを受信するステップと、
    前記第３のトークンの受信に応じて、前記近距離通信リンクによって、前記第３のトークンに対応する第４のトークンを前記携帯装置に送信するステップであって、前記携帯装置が、前記第３のトークンが第４のトークンと一致することを確認するように構成されたステップとを含み、
    前記ＷＬＡＮと前記近距離通信リンクは、前記携帯装置による検証が完了するまでアクティブのままである、請求項１０に記載の方法。
15. 前記第１のトークンを前記携帯装置に送信してから、前記第２のトークンを前記携帯装置から受信するまでの経過時間がしきい値時間期間より長い場合に、前記携帯装置がネットワークアクセス権を有していないことを決定するステップを更に含む、請求項１０に記載の方法。
16. 前記第１のトークンが、ランダム又は擬似ランダム値発生器を使用して作成される、請求項１０に記載の方法。
17. 車両の始動、時間期間の終了、管理者からの要求、又はＩＶＲＳの認証サブシステムとの通信を確立する携帯装置の少なくとも１つに応じて、別のトークンを生成するステップを更に含む、請求項１０に記載の方法。
18. 前記別のトークンが、ランダム又は擬似ランダム値発生器を使用して生成される、請求項１０に記載の方法。
19. 前記第１のトークンと前記第２のトークンが、バイナリパターンを含む、請求項１０に記載の方法。
20. 前記携帯装置に対するネットワークアクセス権を有効にする認証を得るステップが、
    前記ＩＶＲＳの管理者から前記携帯装置の認証を受信するステップ、又は
    前記ＩＶＲＳの管理者によって以前に認証された１つ以上の認証済み装置から前記携帯装置を識別するステップの少なくとも１つを含む、請求項１０に記載の方法。
21. 前記近距離通信リンクの通信範囲が、車両内に制限された、請求項１０に記載の方法。
22. 車両内の携帯装置によって、前記車両の車載ルータシステム（ＩＶＲＳ）と関連付けられた無線アクセスポイント（ＡＰ）との通信を確立するステップであって、前記携帯装置が、無線ローカルアクセスネットワーク（ＷＬＡＮ）と近距離通信リンクによって前記ＩＶＲＳと通信し、前記携帯装置による前記ＩＶＲＳとの通信が、前記ＩＶＲＳの認証サブシステムとの通信に制限されるステップであって、
    前記確立された通信が、
    前記ＷＬＡＮを介して前記携帯装置によって、第１のトークンを受信するステップであって、前記第１のトークンが、前記携帯装置による前記ＷＬＡＮ接続に応じて前記ＩＶＲＳによって作成されたランダム生成データを有するステップ、および
    前記近距離通信リンクを介して前記携帯装置によって、前記ＩＶＲＳに前記第１のトークンを送信して、前記ＩＶＲＳを促して前記携帯装置にネットワークアクセス権を与えさせるステップ、を容易にするために維持されるステップと、
    前記携帯装置によって、前記近距離通信リンクを介して前記ＩＶＲＳに第２のトークンを送信するステップと、
    前記携帯装置によって、前記ＩＶＲＳから前記ＷＬＡＮを介して第３のトークンを受信するステップと、
    前記携帯装置によって、前記第２のトークンが前記第３のトークンと一致するかどうかを決定するステップと、
    前記第２のトークンが前記第３のトークンと一致すると決定されたときだけ、前記携帯装置によって前記無線ＡＰを認証するステップと、を含む方法。
23. 前記ＷＬＡＮと前記近距離通信リンクは、少なくとも前記無線ＡＰを認証するステップが前記携帯装置によって実行されるまで確立されたままである、請求項２２に記載の方法。
24. 前記ＩＶＲＳとの通信を確立するステップが、
    前記近距離通信リンクを介して前記携帯装置によって、ネットワークアクセス信用証明書の要求と第１組の識別情報を送信するステップと、
    前記近距離通信リンクを介して前記携帯装置によって、前記ＷＬＡＮに接続するための情報を受信するステップと、
    前記ＷＬＡＮを介して前記携帯装置によって、前記ネットワークアクセス信用証明書を使用する接続要求を送信するステップであって、前記ＩＶＲＳが、前記ネットワークアクセス信用証明書を確認することによって前記携帯装置を認証し、前記認証サブシステムとの通信を確立するように構成されたステップとを含む、請求項２２に記載の方法。
25. 前記第２のトークンは、前記第３のトークンを受信する前に時間期間が終了した場合に前記第３のトークンと一致しないと決定される、請求項２２に記載の方法。
26. 前記ＩＶＲＳからネットワークアクセス信用証明書を受信するステップを更に含み、前記ネットワークアクセス信用証明書は、前記携帯装置が前記ＩＶＲＳを介してネットワークにアクセスすることを可能にする、請求項２２に記載の方法。
27. 無線ローカルアクセスネットワーク（ＷＬＡＮ）によって携帯装置と通信するように構成された無線アクセスポイント（ＡＰ）と、
    近距離通信リンクによって前記携帯装置と通信するように構成された１つ以上の近距離通信（ＮＦＣ）又は有線通信装置と、
    少なくとも１つのプロセッサであって、
    前記無線ＡＰと前記近距離通信リンクを介して前記携帯装置との通信を確立し、前記車載ルータシステムとの通信が、前記車載ルータシステムの認証サブシステムに限定され、
    前記確立された通信が、
    前記無線ＡＰによって、前記ＷＬＡＮを介して第１のトークンを前記携帯装置に送信し、前記第１のトークンがランダム又は擬似ランダム発生器によって作成され、また、
    前記近距離通信リンクを介して前記携帯装置から第２のトークンを受信する、ことを容易にするために維持され、
    第前記１のトークンが前記第２のトークンと一致するかどうかを決定し、
    前記第１のトークンが前記第２のトークンと一致すると決定されたときだけ、前記携帯装置のネットワークアクセス権を決定するように構成された少なくとも１つのプロセッサとを含む車載ルータシステム。
28. 前記少なくとも１つのプロセッサが、
    前記近距離通信リンクを介して、前記携帯装置からネットワークアクセス信用証明書の要求と第１組の識別情報を受信することと、
    前記近距離通信リンクを介して、前記無線ＡＰを接続するための情報を前記携帯装置に送信することと、
    前記無線ＡＰを介して、前記携帯装置から前記ネットワークアクセス信用証明書を使用する接続要求を受信することと、
    前記ネットワークアクセス信用証明書を確認することによって前記携帯装置を認証し、前記携帯装置の認証に応じて、前記セキュアサブシステムに対する制限された通信を可能にすることを実行することによって、前記携帯装置との通信を確立するように構成された、請求項２７に記載の車載ルータシステム。
29. 前記少なくとも１つのプロセッサが、更に、
    前記近距離通信リンクを介して、前記携帯装置から第３のトークンを受信し、
    前記第３のトークンの受信に応じて、前記ＷＬＡＮを介して、前記第３のトークンに対応する第４のトークンを前記携帯装置に送信するように構成され、前記携帯装置は、前記第３のトークンが前記第４のトークンと一致することを確認するように構成された、請求項２７に記載の車載ルータシステム。
30. 前記携帯装置が、前記第１のトークンを送信してから前記第２のトークンを受信するまでの経過時間がしきい値時間期間より長い場合にネットワークアクセス権を持たないと決定される、請求項２７に記載の車載ルータシステム。
31. 前記少なくとも１つのプロセッサが、更に、
    前記第１のトークンが前記第２のトークンと一致しないという決定に応じて、前記近距離通信リンクを介して、前記ネットワークアクセスが拒否されたことを示すメッセージを前記携帯装置に送信するように構成された、請求項２７に記載の車載ルータシステム。
32. 前記少なくとも１つのプロセッサが、更に、
    前記ＩＶＲＳの管理者から前記携帯装置の認証を受信すること、又は、
    前記ＩＶＲＳの管理者によって以前に認証された１つ以上の認証済み装置から前記携帯装置を識別することの少なくとも１つを実行するように構成された、請求項２７に記載の車載ルータシステム。
33. 前記少なくとも１つのプロセッサが、更に、管理者装置に連絡して、連絡方法の階層的リストのうちの少なくとも１つの連絡方法によって前記携帯装置のネットワークアクセス権を決定するように構成された、請求項２７に記載の車載ルータシステム。
34. 前記連絡方法の階層的リストの連絡方法が、テキストメッセージ、電子メール、アプリケーション通知、又は自動音声メールのいずれかを含む、請求項３３に記載の車載ルータシステム。

Images