(57)【要約】      （修正有）【課題】脆弱性を導くことなく、あるいは局のセキュリティを妥協化することなく、局によって単一の物理的なベーシックサービスセットＢＳＳの共有をサポートすることができる無線ＬＡＮに対するセキュリティモデルを提供する。【解決手段】新しい種類のアクセスポイントである公衆アクセス・ポイントＰＡＰ３１が設けられる。ＰＡＰは、IEEE標準802.11によって規定されるとは異なるセキュリティアーキテクチャを有する。ＰＡＰアーキテクチャは、単一の物理的なアクセスポイント内から仮想ＢＳＳの作成を可能にする。仮想ＢＳＳにおいて局の内のまさに１つが、ＰＡＰである。それはIEEE標準802.11のワイヤレス媒体ＷＭ３２と分配システム媒体ＤＳＭ３２をブリッジする。【選択図】図３
2010178356.tif 000002
【特許請求の範囲】
【請求項１】
無線ＬＡＮのセキュリティ装置であって、
複数の端末であって、任意数の前記端末は仮想ベーシックサービスセット（ＢＳＳ）に属することができ、前記端末の各々はハードウェアメディアアクセス制御（ＭＡＣ）アドレスを有する、複数の端末と、
単一の物理アクセスポイント（ＡＰ）内から複数の仮想ＢＳＳを提供する公衆アクセスポイント（ＰＡＰ）であって、
端末は、前記仮想ＢＳＳとのセキュリティアソシエーションを確立し、
前記ＰＡＰは、前記端末に対して複数の物理アクセスポイント、仮想ＢＳＳごとに１つのＡＰとして見え、
前記仮想ＢＳＳにおけるすべての端末は、ＭＡＣセキュリティの実装であるグループセキュリティアソシエーションを共有する、ＰＡＰと
を備えたことを特徴とするセキュリティ装置。
【請求項２】
請求項１に記載のセキュリティ装置であって、前記ＭＡＣセキュリティの実装は、セキュアなＭＡＣサービスの実装を備えたことを特徴とするセキュリティ装置。
【請求項３】
請求項２に記載のセキュリティ装置であって、前記セキュアなＭＡＣサービスの実装は、ＭＡＣセキュリティキーアグリーメントおよびＭＡＣセキュリティエンティティを備えたことを特徴とするセキュリティ装置。
【請求項４】
請求項３に記載のセキュリティ装置であって、前記グループセキュリティアソシエーションは、１つまたは複数の暗号方法を使用することを備えたことを特徴とするセキュリティ装置。
【請求項５】
請求項４に記載のセキュリティ装置であって、ＭＡＣセキュリティキーアグリーメントによって管理されるセキュリティリレーションシップにおいて実装される１つまたは複数の暗号方法をさらに備えたことを特徴とするセキュリティ装置。
【請求項６】
セキュアな無線ネットワークであって、
仮想ＩＥＥＥ８０２．１１ベーシックサービスセット（ＢＳＳ）と、
複数のステーションであって、前記ステーションの各々がハードウェアメディアアクセス制御（ＭＡＣ）アドレスを有する、複数のステーションと、
ＭＡＣセキュリティの実装であるグループセキュリティアソシエーションを共有する前記仮想ＢＳＳにおけるすべての前記ステーションと、
アクセスポイントを備えた前記仮想ＢＳＳにおける前記ステーションの１つと
を備えたことを特徴とするネットワーク。
【請求項７】
請求項６に記載のネットワークであって、前記ＭＡＣセキュリティの実装は、セキュアなＭＡＣサービスの実装を備えたことを特徴とするネットワーク。
【請求項８】
請求項６に記載のネットワークであって、前記セキュアなＭＡＣサービスの実装は、ＭＡＣセキュリティキーアグリーメントおよびＭＡＣセキュリティエンティティを備えたことを特徴とするネットワーク。
【請求項９】
請求項７に記載のネットワークであって、前記グループセキュリティアソシエーションは、１つまたは複数の暗号方法を使用することを備えたことを特徴とするネットワーク。
【請求項１０】
請求項９に記載のネットワークであって、ＭＡＣセキュリティキーアグリーメントによって管理されるセキュリティリレーションシップにおいて実装される１つまたは複数の暗号方法をさらに備えたことを特徴とするネットワーク。
【請求項１１】
ステーションの各々がハードウェアメディアアクセス制御（ＭＡＣ）アドレスを有する複数のステーションの間でネットワークトラフィックのセグメンテーションをサポートするセキュアな無線ネットワークのアクセスポイントデバイスにおける方法であって、
第１のステーションからアソシエーションリクエストまたはプローブリクエストを受け取ることと、
前記リクエストについて、前記リクエストが前記アクセスポイントデバイスによって受け取られたときに前記アクセスポイントデバイスに知られていないベーシックサービスセット（ＢＳＳ）を判定することと、
前記ＢＳＳを定義する少なくとも１つのパラメータを受け取ることと、
前記少なくとも１つのパラメータに少なくとも基づいて前記ＢＳＳを確立し、これによって前記ステーションのサブセットのための前記ＢＳＳを作成することと、
前記確立されたＢＳＳのＢＳＳＩＤを含む応答を前記エンドステーションに送ることと
を備え、前記サブセットのステーションは、前記確立されたＢＳＳに属し、ＭＡＣセキュリティの実装である前記グループセキュリティアソシエーションを共有することを特徴とする方法。
【請求項１２】
請求項１１に記載の方法であって、前記ＭＡＣセキュリティの実装は、セキュアなＭＡＣサービスの実装を備えることを特徴とする方法。
【請求項１３】
請求項１２に記載の方法であって、前記セキュアなＭＡＣサービスの実装は、ＭＡＣセキュリティキーアグリーメントおよびＭＡＣセキュリティエンティティを備えることを特徴とする方法。
【請求項１４】
請求項１２に記載の方法であって、前記グループセキュリティアソシエーションは、１つまたは複数の暗号方法を使用することを備えることを特徴とする方法。
【請求項１５】
請求項１４に記載の方法であって、ＭＡＣセキュリティキーアグリーメントによって管理されるセキュリティリレーションシップにおいて実装される１つまたは複数の暗号方法をさらに備えることを特徴とする方法。
【発明の詳細な説明】
【技術分野】
【０００１】
技術フィールド
本発明は、電子ネットワークへのワイヤレス・公衆アクセスに関する。特に本発明は、電子ネットワークに対する物理的なアクセス・ポイント内から仮想ベーシックサービスセットの作成ができるようにするためのアーキテクチャに関する。
【背景技術】
【０００２】
公衆WiFiホットスポットは、いくつかの例外はあるが、従来のIEEE 標準802.11準拠のアクセス・ポイントを使用して配備される。しかしながら、IEEE標準802.11のアーキテクチャおよびセキュリティモデルは、公衆用には不適切である。アクセス・ポイント（AP）に関連付けられた局は、802.11のベーシック・サービス・セット（BSS）または無線LANを共有する。BSSの全てのメンバが、信頼に値しない限り、BSSにおけるどの局も、他のメンバによって開始される攻撃に対し安全でない。この種の攻撃には、パスワードおよびクレジットカード情報のような、サービスを得るために加入者によって提供されるベーシックサービスおよび任意の秘密情報も盗むことが、含まれる。他の攻撃には、ネットワークの完全性およびサービス品質の妨害が含まれる。公衆BSS、つまり、公衆APと関連付けられた局から構成されるものの全てのメンバが、信頼に値すると考えることは、現実的ではない。従って、局は、公衆BSSにおいて脆弱である。
【０００３】
公衆BSSを共有することは、他の脅威を与えることにもなる。BSSのメンバは、ウォームまたはトロイの木馬によって他のメンバ局を汚染させることがある。ポートに基づくDCOM RPC攻撃、MSブラスターおよびWelchiaウォームは、その好例である。この脅威は、電子的な汚水だめである公衆BSSによって、より深刻になる。局は、これらの脅威に対してどのように対処できるだろうか？
BSSにおける局は、私的ファイアウォールのような防衛によって自分自身の身を守るかもしれない。これに対し、公衆WiFiプロバイダは、加入者を互いから保護するセキュリティモデルを配備するかもしれない。1つのアプローチは、局間コミュニケーションを禁止することである。このアプローチは、しかしながら、支持できない解決手段である。互いに信頼する局は、公衆設定においてさえも、それら自身の間で通信することは、許可されるべきである。例えば、局は、コンベンションセンターで開かれるミーティングにおける同一のローカルLAN上のファイルサーバにアクセスすることが可能でなければならない。例えば、これは、標準の会議において通常実行されることである。仮にこの種の共有が、許されるならば、侵入者が、IEEE 標準802.11の下で、BSS全体を作動不能にすることは容易になる。このことは、2001年のユセニックス・セキュリティ・カンファレンスおよび2001年のラスベガスのDEFCONカンファレンスで実証された。今日の如何なるワイヤレスLANに対するセキュリティモデルも、脆弱性を導くことなしにこの種の共有をサポートすることは出来ない。
【０００４】
脆弱性を導くことなく、あるいはBSSを用いた局の間でセキュリティを妥協させることなく、単一の物理的BSSの共有をサポートすることができる無線ＬＡＮに対するセキュリティモデルを供給することは、有利であろう。
【発明の開示】
【課題を解決するための手段】
【０００５】
本発明は、脆弱性を導くことなく、あるいは局のセキュリティを妥協化することなく、局によって単一の物理的なBSSの共有をサポートすることができる無線ＬＡＮに対するセキュリティモデルを提供する。このように、新しい種類のアクセス・ポイントが、設けられている。そして、それは、本明細書において公衆アクセス・ポイント（PAP）と称される。PAPは、IEEE標準802.11によって規定されるものとは異なるセキュリティアーキテクチャを有する。PAPアーキテクチャは、単一の物理的なAP内から仮想ベーシック・サービスセットの作成を可能にする。任意数の仮想サービスセットを、作成することができる、そして、いかなる数の端末も、仮想BSSに帰属させることができる。PAPは、端末には、各仮想BSSに対し1つの、複数の物理的802.11のアクセス・ポイントと見える。従って、PAPは、いかなる802.11端末とも完全に相互運用可能である。
【０００６】
PAPの使用の例として、コンベンションセンターを考えよう。異なる会議が、802.11規格プロジェクタを使用することがある。PAPは、各々に対し分離されたリンク・プライバシーおよび完全性を提供して、別々のLANセグメントを各会議に提供することを可能にする。IEEE標準802.11のみを代わりに使用すると、会議のプロジェクタおよびそれを用いて投影することができる全ての局は、プライベート・アクセス・ポイントまたはアドホックのWLANを使用し、そしてWLANメンバシップ、認証およびキー化マテリアル（keying material）を管理しなければならない。さもないと、誰でも、プロジェクタを用いてプロジェクトすることができ、または更に悪いことに、有効なプロジェクタのトラフィックを、それが表示される前に、インターセプトして、それが部外者によってモニタされ、改変される可能性があり得よう。
【０００７】
従来技術のアプローチに関連するセキュリティ管理の負担が大きすぎることに加えて、会議のプランナーは、開催地ごとに彼ら自身のアクセスポイントをインストールし、設定するよりもむしろローカルのアクセス・ポイントを利用することを好む。PAPは、全てのセキュリティを管理することができる。それによって、共用プロジェクタおよび任意のローカルファイルサーバを含む、各会議における全ての端末は、その会議に対する仮想802.11アクセス・ポイントと効率的に関連付けられ、そして全ての仮想ベーシックアクセス・ポイントが、同じ物理的PAPから生じる。
【０００８】
本発明は、公衆アクセス・ポイントを共に接続するブリッジの転送テーブルを更新するためのロケーション・アップデート・プロトコルも提供する。
【０００９】
本発明は、更に、ファインブリッジングと呼ばれる、より制御されたブリッジングに対する方法も提供する。
【図面の簡単な説明】
【００１０】
【図１】IEEE 標準802.11プロトコルエンティティの概略図である。
【図２】IEEE 標準802.11の構成インフラ・ストラクチャのブロック図である。
【図３】本発明による公衆アクセス・ポイント・アーキテクチャの概略図である。
【図４】本発明による、１つがＡＰである3つの局の仮想BSSの範囲内のアクセス可能性に対するポリシーのブロック図である。
【図５】本発明による、局AおよびBが、サーバ局SおよびDを共有するが、AおよびBは、各々にアクセスすることが許されない4つの局の間のポリシーのブロック図である。
【図６】本発明による、図3におけるポリシーにＢからＡへのエッジが追加されるように修正されたポリシーのブロック図である。
【図７】ポートに基づいたVLAN割当、出口フィルタリングおよび共用VLAN学習（SVL）を介してインフラ・ストラクチャ・システムに対して接続されているエッジホスト間の直接通信を除去する、IEEE標準802.1Qブリッジのブロック図である。
【発明を実施するための形態】
【００１１】
米国特許出願No. 10/057,566には、端末が、既存のVLANがタグ付けされているおよびタグ付けされていないメンバセットを複製することによって、既存のVLANのクローンを作る仮想ブリッジLAN（VLAN）を作成することができるプロトコルが、記載されている。更に、この新しいVLANは、その固有のセキュリティアソシエーションのために固有化されている。このアソシエーションは、VLANに所属するパケットをプライベートな状態にし、かつVLANのメンバシップを、キー化されたMACによって暗号的に検証することを可能にする暗号のキー化マテリアルを提供する。この新しいVLANは、その作成者が所有する。この所有者は、どの局がジョインでき、そしてどの局がVLANを発見できるか、およびVLANの存続期間をコントロールする。従って、VLANは、パーソナル仮想ブリッジLAN（PVLAN）と呼ばれる。
【００１２】
本発明の一実施例は、IEEE標準802.11-1999の標準要素しか使用しないPVLANの改良型を提供する。（第11部参照：ワイヤレスLAN媒体アクセスコントロール（MAC）および物理層（PHY）仕様書、ISO/IEC 8802-11：1999（E）ANSI/IEEE標準 802.11、1999年版、および第11部参照：ワイヤレスLAN媒体アクセスコントロール（MAC）および物理層（PHY）仕様書、媒体アクセスコントロール（MAC）セキュリティ強化、IEEE標準802.11i/D7.0、ISO/IEC 8802-11,1999（E) に対する起草案補正書, ANSI/IEEE標準. 802.11、1999年版。）IEEE標準 802.11プロトコル・エンティティのブロック図である図１と、各BSS（BSS-A、BSS-B）が、それぞれのアクセス・ポイント（AP-A、AP-B）と、関連付けられた局（A1/A2、B1/B2）とを備えたIEEE標準802.11構成インフラ・ストラクチャのブロック図である図２を参照されたい。アクセス・ポイントとして働かないいかなる802.11規格準拠の端末の動作の修正も、本発明においては、不必要である。改良点は、仮想802.11のBSSに対してPVLANをインスタンス化し、そしてアクセス・ポイントにしか影響を及ぼさない。
【００１３】
図3は、本発明による公衆アクセス・ポイント・アーキテクチャのブロック図である。仮想802.11 BSS、例えばBSS-1またはBSS-2は、グループセキュリティアソシエーションと呼ばれる、固有のセキュリティアソシエーションを共有する、一組の局を有し、それぞれがハードウェア（MAC）アドレス（図1を参照せよ）を有する。セキュリティアソシエーションは、暗号化キーと、認証コード・キーからなる。
【００１４】
仮想BSSにおいて局の内のまさに1つが、公衆アクセス・ポイント31（PAP）である。それは、802.11のワイヤレス媒体（WM）32と802.11分配システム媒体（DSM）33をブリッジする。
【００１５】
固有のユニキャストセキュリティアソシエーションが、仮想BSSにおけるあらゆる局に対して存在する。それは、その仮想BSSの局とPAPの間で共有されている。
【００１６】
各仮想BSS、例えば、BSS-1またはBSS-2は、それ自身の識別子、つまりBSSIDを有する。それは、そのBSSに帰属しているPAPの仮想MACアドレスである。PAPは、その仮想MACアドレスのうちの1つに向けられているWMからの任意のフレームを受信し、そしてその仮想MACアドレスのうちの1つをフレームのソースMACアドレスとして使用してWMにフレームを送信する。
【００１７】
一群の仮想ベーシック・サービスセットは、単一のPAPにおいて、共用TSF（タイミング同期化機能）、DCF（分散調整機能）およびオプションとしてPCF（ポイント調整機能）によってサポートされている。各PAPにおいて、単一のNAV（ネットワークアロケーションベクトル）およびPC（ポイント調整部）が、存在する。802.11の仮想キャリア検知、媒体予約メカニズムが、同じチャネルのオーバーラップを使用する複数のベーシックサービスセットと協働するように設計されているため、この種の共有が、可能である。この種のオーバーラップは、単一チャネルPAPでサポートされている仮想ベーシック・サービスセットの間で生じることがある。仮想サービスセットは、1つのチャネルを使用することができるので、PAPにおいてオーバーラップさせることができる。
【００１８】
PAPは、一つ以上の仮想BSSに帰属することができる。図1上のBSS-1、BSS-2を参照されたい。PAPでないいかなる局も、多くても1つの仮想BSSに帰属することができる。
【００１９】
仮想802.11のBSSは、仮想ブリッジLANによってそれらの公衆アクセス・ポイントの接続を通して他の仮想BSSとブリッジすることができる。各仮想BSSのPAPは、VLAN-認識ブリッジのトランクされた、またはタグ付けされていないポートを介して、分配システム（DS）に接続する。DSに送信されるフレームは、DSMには知られているVLANタグを担持することができる。PAPは、VLANタグを仮想BSSIDにマップするDSM VLANマッピングを維持してよい。
【００２０】
現在、2種類の仮想BSS：クラス-1およびクラス-3仮想BSSが、存在する。PAPは、正確に1つのクラス-1仮想BSSおよび一つ以上の多重クラス-3仮想ベーシック・サービスセット（multiple Class-3 virtual basic service set）をサポートする。PAPによって管理されるように、クラス-1仮想BSSは、局が802.11の状態1または2にある間、占めることが許される唯一の仮想BSSである。状態3にある時、局は、クラス-3仮想BSSにジョインすることが許される。クラス-3仮想BSSは、例えば、局を認証するために使用される、例えばオープン・システムまたは共有キーのような認証によって決定することができる。
【００２１】
クラス-1仮想BSSIDは、この種のフィールドを有するあらゆるクラス1およびクラス2フレームのBSSIDフィールドである。それは、適切な場合には、クラス１およびクラス２フレームに対する、受信機または送信機アドレス・フィールドでもある。
【００２２】
あらゆる仮想BSSは、タイムスタンプ、ビーコン間隔、能力情報プライバシー（保護）ビット、サービスセット識別子（SSID）、セキュリティ能力要素、およびトラフィック指示マップ（TIM）要素フィールドを除いて、同一のビーコン・フレーム・コンテンツを有する。
【００２３】
PAPは、そのBSSにおける端末に対し、PS（電源セーブ）モードをサポートしていなければ、クラス-3仮想BSSに対してビーコンを送る必要はない。もしそれが、クラス-3仮想BSSにビーコンを送っていれば、あらゆるビーコンのSSID要素が、ブロードキャストSSIDを指定する。これらのステップは、いかなるクラス-3仮想BSSも、ビーコンによって識別されることを防止する。
【００２４】
クラス-1仮想BSSビーコンだけが、非ブロードキャストSSIDフィールドを有するSSID要素を有する。局は、クラス-1仮想BSSとだけ関連付けることができる。この局は、アソシエーションまたは再アソシエーションリクエスト・フレームのSSID要素における非ブロードキャストSSIDを使用する。
【００２５】
米国特許出願No. 10/057566は、PVLANジョインおよび発見ステップを特定する。仮想BSSとして表されるPVLANにより、これらのステップは、以下のようにインスタンス化される。
【００２６】
ジョイン
あらゆる局は、デフォルトでは、PAPでクラス-1仮想BSSのメンバである。PAPは、クラス-1仮想BSSにおける局のユーザまたは局自体の何れかを認証することができる。もし成功したら、局は、そのPAPにおいて802.11状態2に入る。この時、PAPおよび局は、クラス-1仮想BSSにいる間、クラス1およびクラス2のフレームを交換してもよい。
【００２７】
クラス1フレームは、暗号によって保護されていない。認証が、成功した後、局とＰＡＰが、ユニキャストセキュリティアソシエーションを共有すれば、クラス2フレームは、暗号的に保護することができる。PAPおよび局は、認証の後、グループセキュリティアソシエーションを共有することもできる。グループセキュリティアソシエーションは、PAPと802.11アソシエーションを完了すれば、局が帰属するそのクラス-3仮想BSSのためにある。
【００２８】
局およびPAPが、クラス3フレームを交換することができる前に、局は、
1）状態2からクラス-1仮想BSSとのアソシエーションをリクエストし、そして
2）クラス-3仮想BSSに切り替えなければならない。
【００２９】
PAPは、そのソースアドレス（アドレス2フィールド）またはBSSID（アドレス3フィールド）が、その仮想BSSに対するクラス-3仮想BSSIDであるアソシエーション応答MMPDUで局のアソシエーションリクエストに応答することによって、局をクラス-3仮想BSSに切り替える。アソシエーション応答の能力情報フィールドは、そのプライバシー（保護）ビットを１に設定してもよい。
【００３０】
クラス-3仮想BSSは、３つの方法のうちの1つの方法で決定される：
1）DSにおける認証サーバが、ユーザに対しDSM VLANを指定し、そして、PAPが、そのDSM VLANマッピングを使用して、それをクラス-3仮想BSSIDにマップする。
2）DSにおける認証サーバが、ユーザに対してクラス-3仮想BSSを指定する、または、
3）PAPが、ユーザに対して新しいクラス-3仮想BSSを作成する。PAPは、認証サーバに新しい仮想BSSを知らせ、そして他の局が、新しいBSSにジョインすることを可能にする規則をそれに提供することができる。
【００３１】
発見
クラス-1仮想BSSは、802.11ビーコンまたは、プローブ応答マネジメント・フレームにより発見される。ここで、BSSIDフィールド（アドレス3フィールド）およびソース・アドレス・フィールド（アドレス2フィールド）が、クラス１仮想BSSIDに対してそれぞれセットされる。これらのフレームの能力情報のプライバシー（保護）ビットはゼロにセットされる。ビーコンのTIM要素は、クラス-1仮想BSSに適用される。クラス-1仮想BSSのみが、ビーコンフレームを介して広告される。
【００３２】
データフレーム（MPDU）分配
PAPは、MACプロトコル・データ・ユニット（MPDU）ブリッジプロトコルを実施する。DSMかWMから受信されるMPDUに対してプロトコルは、以下の2つのケースによって定義される：
1. DSMから受信されたMPDU。2つのサブケースがある。（注：2つのサブケースは、PAPのローカルLLCに対する受信されたMPDUの配信を扱う、なぜならあらゆるPAPの局が、少なくとも一つの仮想BSSに帰属するからである。）：
a. 受信されたMPDUは、VLANタグを有しないか、または空のVLANタグを有する。仮に目的アドレスが、BSSに帰属する局のアドレスであり、そして局が、PAPに関係付けられるのであるならば、DSMからのMPDUは、仮想BSSへリレーされ、または、目的アドレスが、グループアドレスであるならば、仮想BSSは、グループに属する局を有し、その局は、PAPに関連付けられている。全ての局は、ブロードキャストグループに属する。
b. 受信されたMPDUは、非空のVLANタグを有する。MPDUがリレーされる仮想BSSは、非空のVLANタグが、PAPのDSM VLANマッピングの下でマップされるBSSIDによって識別される。もしマッピングが、与えられたタグに対して未定義であるならば、MPDUは、リレーされない。
受信されたMPDUがリレーされるいかなる仮想BSSも、その仮想BSSにリレーされる802.11のMPDUのソースアドレス（アドレス2フィールド）を形成するBSSIDを有する。
2.  WMから受信されたMPDU。受信された802.11 MPDUは、MPDUのアドレス1フィールドによって識別される仮想BSSに、もしその目的アドレス（MPDUのアドレス3フィールド）が、識別された仮想BSSに帰属する局のアドレスであり、そして、その局が、PAPに関連付けられているか、または、もしその目的アドレスが、グループアドレスであるならば、リレーされる。そうでなければ、フレームは、いかなる仮想BSSにもリレーされない。受信された802.11のMPDUのアドレス1フィールドは、アドレス1フィールドによって識別される仮想BSSにリレーされる802.11のMPDUのソースアドレス（アドレス2フィールド）である。
目的アドレス（MPDUのアドレス3フィールド）が、PAPと関連付けられていない局のアドレスであるか、または、目的アドレスが、グループアドレスであるならば、受信されたMPDUは、DSMにもリレーされる。もしDSが、VLANを認識しているならば、DSMにリレーされるMPDUは、VLANタグを有し、そしてそうでなければタグ付けされない。VLANタグは、PAPのDSM VLANマッピングのもとでの受信されたMPDUのアドレス 1フィールドのプリイメージである。
【００３３】
暗号および復号プロセス
暗号および復号は、サブタイプアソシエーションリクエスト／応答、再アソシエーションリクエスト/応答、ディスアソシエーションおよび脱認証（Deauthentication）の802.11データ・フレームおよびマネジメント・フレームを適用する。
【００３４】
WMに対して802.11データあるいはマネジメント・フレームを送る前にPAPによって使用される暗号化プロセスは、2つの主要なステップを含む：
●  フレームに対してセキュリティアソシエーションを識別することと、
●  そのアソシエーションを用いていくつかの暗号化（encipherment）および認証コード・プロトコルに従って送信のための拡張されたフレームを構築すること。
異なる暗号化および認証コード・プロトコルが、仮想ベーシックサービスセット間のブロードキャストおよびマルチキャストトラフィックのために使用することができ、そして、異なる暗号化および認証コード・プロトコルが、単一の仮想BSSにおける局の間の指示された（ユニキャスト）トラフィックのために使用することができる。
【００３５】
もし、フレーム目的アドレス（アドレス1フィールド）が、局のアドレスである場合、その局およびPAPの間で共有されるユニキャストセキュリティアソシエーションは、拡張において使用される。もしこのフレームが、データフレームであり、そして、その目的アドレスが、グループ・アドレスであるならば、MPDUブリッジ・プロトコルは、フレームに対する目的仮想BSSを識別する。識別されたBSSに対するグループセキュリティアソシエーションが、拡張に使用される。
【００３６】
非PAP局は、それがそのBSSにおけるPAPと共有するユニキャストセキュリティアソシエーションを使用してタイプデータまたはマネジメントの802.11のMPDUをDSに対して送信する。
【００３７】
WMから802.11のデータまたはマネジメント・フレームを受信する時に、PAPは、MPDUのソースアドレス（アドレス2フィールド）によって識別される局に対するユニキャストセキュリティアソシエーションを使用して復号化し、フレームの完全性を検証することを試みる。
【００３８】
PAPからタイプデータまたはマネジメントの802.11のMPDUを受信する時に、非-PAP局は、もしフレームの目的アドレス（アドレス1フィールド）が、局のアドレスであると、それがPAPと共有するユニキャストセキュリティアソシエーションを使用して、そして、もしフレームの目的アドレスが、グループ・アドレスであれば、そのクラス３仮想BSSのグループセキュリティアソシエーションを使用して、復号化し、フレームの完全性を検証することを試みる。
【００３９】
ロケーション更新プロトコル
本発明は、ブリッジの転送テーブルを更新するためのロケーション更新プロトコル、又は、公衆アクセス・ポイントを一緒に接続する、他の相互接続媒体も備える。
【００４０】
ブリッジLANのスパンニング・ツリーにおける異なるブリッジにアタッチされた、複数の公衆アクセス・ポイント、および互いにそれらの一つと関連付け、そして新しいPAPと再関連付ける端末を考えると、新しいPAPは、指示されたブリッジ・プロトコル・データ・ユニット（BPDU）（リロケーションPDUと呼ばれる）を局が以前に関連付けられていたPAPに送る。BPDUの目的アドレスは、再アソシエーションリクエスト・フレームの現在のAPアドレスであり、それは、クラス-3仮想BSSIDである。ソースアドレスは、局のハードウェア・アドレスである。
【００４１】
特定ポートにおいてリロケーションMPDUを受信すると、ブリッジは、受信ポートをMPDUのソースアドレスにバインドするエントリでその転送テーブルを更新する。
【００４２】
受信ブリッジは、その指定されたルート・ポートにリロケーションMPDUを、MPDUがそのポートに到着しない限り、または受信ブリッジがスバニング・ツリーのルートでない限り、転送する。もしそれが、ブリッジの指定されたルート・ポートにおいて、または、ルート・ブリッジによって受信されると、それは、ブリッジの学習された転送テーブルに従って転送され、それは、受信ポートを除く全てのポートに対してMPDUをあふれさせることを含む。
【００４３】
ファインブリッジング
上で議論されている本発明の一つの実施例は、仮想BSSに対してPVLANを絞り込む。MPDUブリッジ・プロトコルの下で、仮想BSSにおけるいかなる局も、指示されたまたはグループアドレス化されたフレームをその仮想BSSにおける他のいかなる局にも送ることができる。これは、望ましくないであろう。カンファレンス・センターにおける会議は、例えば、それ自身の仮想BSSを有していてもよいが、全ての出席者が、各々を信頼しているわけではない。同じ仮想BSSを共有することによって、ある出席者は、ウォームまたはウイルスを飛ばすことができる。各出席者を固有の仮想BSSに割り当てることによってこれらの攻撃を阻止しようとすることは、出席者が、サーバを共有することができないことになる。理想的には、サーバは、全ての会議参加者によって共有されているが、どの参加者も、他の参加者にアクセスする、つまりフレームを送ることはできないようにすべきである。上記の公衆アクセス・ポイントは、このレベルのアクセスコントロールを提供することができない。ファインブリッジングをサポートしているAPは、それを提供することができる。
【００４４】
IEEE 標準 802.1.Qのブロック図である図７も参照されたい。802.1Qブリッジは、LANのようなインフラ・ストラクチャ・システムに対して一組のエッジホストを接続している。エッジホストから到着するタグ付けされていないフレームは、ポートベースのVLAN割当（PVID A）によってVLAN Aに割り当てられる、そして、インフラ・ストラクチャ・システムから到着するタグ付けされていないフレームは、VLAN B（PVID B）に割り当てられる。記述された出力ルールにより、AまたはBに帰属しているフレームがインフラ・ストラクチャに出て行くことが許容される一方、Bに属しているフレームのみが、エッジホストに出て行くことを許容される。このような方法で、エッジホストは、直接、互いに通信することを防止される。
【００４５】
ファインブリッジングは、BSSを有するブロードキャストまたはマルチキャストドメインの識別を分離する（decouple）。
【００４６】
ファインブリッジングの下で、APのブリッジングの挙動は、有向グラフとして表されるポリシーによって決定される。グラフのノードは、局であり、そしてもし局Aが、局Bにアクセスすることが可能である場合に限り、局Aから局Bへのエッジが存在する。言い換えれば、局Bが、局Aの指示されたまたはグループフレームを受信することが可能でなければならない。
【００４７】
所与のポリシーに対して、あるノードに対すブロードキャスト・ドメインは、それ自体およびそれがアクセスしなければならない全てのノードである。ポリシーのブロードキャスト・ドメインセットは、そのノードに対する一組のブロードキャスト・ドメインである。
【００４８】
ポリシーの実施において、ブロードキャスト・ドメインごとにグループセキュリティアソシエーションがある。更に、各局（ノード）は、ポリシーにおけるそれ自体に対するブロードキャスト・ドメインの、そして、それがメンバであるポリシーにおけるあらゆるその他のブロードキャスト・ドメインのグループセキュリティアソシエーションを所有する。前者のアソシエーションが、グループフレームを送信するために、そして後者のアソシエーションがグループフレームを受信するために、局によって使用することができる。
【００４９】
その一つがAPである3局仮想BSSの中におけるアクセス可能性は、図2に示されるポリシーによって捕捉される。ポリシーにおける各ノードは、そのブロードキャスト・ドメインとして｛A、B、AP｝を有する。このように、ポリシーに対して1つのブロードキャスト・ドメインしかなく、これはポリシーが仮想BSSを反映することを考えると予期されることである。各局は、ドメインに対するグループセキュリティアソシエーションを知っていて、そのアソシエーションのもとでグループフレームを送信そして受信することができる。
【００５０】
図3は、局AおよびBが、サーバ局SおよびDを共有するが、AおよびBは、各々にアクセスすることが許されない4つの局の間のポリシーを捕捉する。
【００５１】
このポリシーは、ブロードキャスト・ドメインB1：｛A,S,D｝、B2：｛B,S,D｝およびB3：｛D,A,S,B｝を有している。局Aは、グループフレームを送るために、B１に対するグループセキュリティアソシエーションを知っていて、SおよびDによって送られるグループフレームを受信するために、Ｂ３に対するグループセキュリティアソシエーションを知っている。局Ｄは、グループフレームを送信し、Sからそれらを受信するために、B3に対するグループセキュリティアソシエーションを知っていて、AおよびＢからグループフレームをそれぞれ受信するために、B1およびB2両方に対するグループセキュリティアソシエーションを知っている。
【００５２】
図3におけるポリシーが、例えば、BからAへのエッジが、ポリシーに対して付加されるように修正される場合には、図４に図示されるように、ドメインB2は、除去され、B1とB3だけが、残るであろう。
【００５３】
もしAからBへのエッジが、図4におけるポリシーに付加されると、ドメインB1、B2およびB3は、このポリシーに対し、単一ドメインB3に縮小するであろう。
【００５４】
他のポリシーバリエーションの提供は、当業者の能力の範囲内にある。
【００５５】
本発明は、好ましい実施例に関して本願明細書において記載されているが、当業者は、他の応用を、本発明の趣旨および範囲から逸脱することなく、本願明細書において記載されるそれらに置換させてもよいとことを直ちに理解するであろう。したがって、本発明は、添付の特許請求の範囲によってのみ制限されるべきである。
【符号の説明】
【００５６】
３１  パブリック・アクセス・ポイント
３２  無線媒体
３３  分配システム媒体
３３  分配システム媒体
【図１】
2010178356.tif 000003
【図２】
2010178356.tif 000004
【図３】
2010178356.tif 000005
【図４】
2010178356.tif 000006
【図５】
2010178356.tif 000007
【図６】
2010178356.tif 000008
【図７】
2010178356.tif 000009