(57)【要約】【課題】脆弱性を導くことなく、あるいは局のセキュリティを妥協化することなく、局によって単一の物理的なBSSの共有をサポートすることができる無線ＬＡＮに対するセキュリティモデルを提供すること。【解決手段】本発明は、IEEE標準802.11要素を用いてパーソナルVLANブリッジをインスタンス化する。その結果は、IEEE標準802.11アーキテクチャよりも公衆ワイヤーレス・データ・ネットワークを実行するためにより適している公衆アクセス・ポイントと呼ばれるブリッジである。本発明は、一緒に公衆アクセス・ポイントを接続するブリッジの転送テーブルを更新するためのロケーション・アップデート・プロトコルを提供する。本発明は、更にファインブリッジングと呼ばれる、より制御されたブリッジングを提供するための方法を提供する。【選択図】図３
2010183610.tif 000002
【特許請求の範囲】
【請求項１】
無線ＬＡＮのセキュリティ装置であって、
複数の端末と、
単一の物理アクセスポイント（ＡＰ）内から複数の仮想ベーシックサービスセット（ＢＳＳ）を提供する公衆アクセスポイント（ＰＡＰ）とを備え、
各仮想ＢＳＳは、暗号化キーおよび認証コードキーを備えた固有のセキュリティアソシエーションを共有する一組の端末を備え、
前記ＰＡＰは、各前記一組の端末に複数の物理アクセスポイント、各仮想ＢＳＳにつき１つのＡＰ、として見えることを特徴とするセキュリティ装置。
【請求項２】
請求項１に記載の装置であって、
前記ＰＡＰは、複数の別個のＬＡＮセグメントを提供すると共に、前記ＬＡＮセグメントの各々について別個のリンクプライバシーおよび完全性を提供することを特徴とする装置。
【請求項３】
請求項１に記載の装置であって、前記端末のすべて、任意のローカルファイルサーバおよび前記ＬＡＮと関連付けられた他のデバイスは、仮想アクセスポイントと関連付けられ、すべての仮想アクセスポイントは、同じ物理ＰＡＰから生じることを特徴とする装置。
【請求項４】
請求項１に記載の装置であって、
複数のＰＡＰと、
前記ＰＡＰを接続するブリッジの転送テーブルを更新するロケーションアップデートプロトコルと
をさらに備えたことを特徴とする装置。
【請求項５】
請求項１に記載の装置であって、
仮想ＢＳＳに属するすべての前記端末間で通信を制限するファインブリッジ方法をさらに備えたことを特徴する装置。
【請求項６】
無線ＬＡＮのセキュリティ装置であって、
複数の８０２．１１端末と、
公衆アクセスポイント（ＰＡＰ）であって、前記ＰＡＰが単一の物理アクセスポイント（ＡＰ）内から仮想８０２．１１ベーシックサービスセット（ＢＳＳ）にインスタンス化されたパーソナル仮想ブリッジＬＡＮを備え、各仮想８０２．１１ＢＳＳが暗号化キーおよび認証コードキーを備えた固有のセキュリティアソシエーションを共有する１組の端末を備える、ＰＡＰと
を備えたことを特徴とする装置。
【請求項７】
セキュアな無線ネットワークであって、
仮想８０２．１１ベーシックサービスセット（ＢＳＳ）と、
局の各々がハードウェア（ＭＡＣ）アドレスを有する複数の局と、
グループセキュリティアソシエーションを共有する前記ＢＳＳの１組の局であって、前記グループセキュリティアソシエーションは暗号化キーおよび認証コードキーを備える、１組の局と、
公衆アクセスポイント（ＰＡＰ）を備える前記仮想ＢＳＳ内の前記局の１つと
を備えたことを特徴とするネットワーク。
【請求項８】
請求項６に記載のネットワークであって、前記仮想ＢＳＳ内の前記局のまさに１つは、８０２．１１無線媒体（ＷＭ）および８０２．１１分散システム媒体（ＤＳＭ）をブリッジする公衆アクセスポイントであることを特徴とするネットワーク。
【請求項９】
請求項６に記載のネットワークであって、前記グループセキュリティアソシエーションは、
前記仮想ＢＳＳ内のあらゆる局について固有のユニキャストセキュリティアソシエーションをさらに備え、
前記セキュリティアソシエーションは、前記仮想ＢＳＳの各局と前記ＰＡＰとの間で共有されることを特徴とするネットワーク。
【請求項１０】
請求項６に記載のネットワークであって、
各仮想ＢＳＳはそれ自体の識別子（ＢＳＳＩＤ）を有する、複数の仮想ＢＳＳをさらに備えたことを特徴とするネットワーク。
【請求項１１】
請求項１０に記載のネットワークであって、前記ＢＳＳＩＤは、
前記仮想ＢＳＳの仮想ＭＡＣアドレスを備えたことを特徴とするネットワーク。
【請求項１２】
請求項１１に記載のネットワークであって、前記ＰＡＰは、その仮想ＭＡＣアドレスの１つに行くことになっている８０２．１１無線媒体（ＷＭ）からのフレームを受信し、前記ＰＡＰは、前記フレームのソースＭＡＣアドレスとしてその仮想ＭＡＣアドレスの１つを使用して前記ＷＭへのフレームを送信することを特徴とするネットワーク。
【請求項１３】
請求項６に記載のネットワークであって、
単一のＰＡＰにおいて、共用ＴＳＦ（タイミング同期化機能）、ＤＣＦ（分散調整機能）およびオプションとしてＰＣＦ（ポイント調整機能）によってサポートされる複数の仮想ＢＳＳをさらに備えたことを特徴とするネットワーク。
【請求項１４】
請求項６に記載のネットワークであって、各ＰＡＰは、
単一のＮＡＶ（ネットワークアロケーションベクトル）およびＰＣ（ポイント調整部）をさらに備えたことを特徴とするネットワーク。
【請求項１５】
請求項６に記載のネットワークであって、ＰＡＰは、複数の仮想ＢＳＳに属し得ることを特徴とするネットワーク。
【請求項１６】
請求項６に記載のネットワークであって、ＰＡＰではない任意の局は、多くて１つの仮想ＢＳＳに属し得ることを特徴とするネットワーク。
【請求項１７】
請求項６に記載のネットワークであって、
各仮想ＢＳＳのＰＡＰの接続により仮想ＢＳＳを別の仮想ＢＳＳとブリッジする仮想ブリッジＬＡＮ（ＶＬＡＮ）をさらに備えたことを特徴とするネットワーク。
【請求項１８】
請求項１７に記載のネットワークであって、各仮想ＢＳＳのＰＡＰは、ＶＬＡＮ認識ブリッジのトランクされた、またはタグ付けされていないポートを介して分散システム（ＤＳ）に接続することを特徴とするネットワーク。
【請求項１９】
請求項１８に記載のネットワークであって、前記ＤＳに送信されたフレームは、分散システム媒体（ＤＳＭ）に知られているＶＬＡＮタグを担持することを特徴とするネットワーク。
【請求項２０】
請求項１９に記載のネットワークであって、前記ＰＡＰは、ＶＬＡＮタグを仮想ＢＳＳ識別子（ＢＳＳＩＤ）にマップするＤＳＭ  ＶＬＡＮマッピングを維持することを特徴とするネットワーク。
【請求項２１】
請求項６に記載のネットワークであって、前記仮想ＢＳＳは、
クラス−１およびクラス−３仮想ＢＳＳのいずれかを備え、
ＰＡＰは、まさに１つのクラス−１仮想ＢＳＳおよび１つ以上の多重クラス−３仮想ＢＳＳをサポートし、
クラス１仮想ＢＳＳは、前記ＰＡＰによって規律されるように、８０２．１１の状態１または２にある間、局が占めることを許される唯一の仮想ＢＳＳであり、
状態３にあるとき、局は、クラス−３仮想ＢＳＳにジョインすることを許され、
クラス−３仮想ＢＳＳは、前記局を認証するために使用された種類の認証によって判定されることを特徴とするネットワーク。
【請求項２２】
請求項２１に記載のネットワークであって、クラス−１仮想ＢＳＳＩＤは、そのようなフィールドを有するあらゆるクラス１およびクラス２フレームのＢＳＳＩＤフィールドであることを特徴とするネットワーク。
【請求項２３】
請求項２１に記載のネットワークであって、クラス−１仮想ＢＳＳＩＤは、適切な場合にはクラス１およびクラス２フレームの受信機または送信機アドレスフィールドであることを特徴とするネットワーク。
【請求項２４】
請求項６に記載のネットワークであって、あらゆる仮想ＢＳＳは、タイムスタンプ、ビーコン間隔、能力情報プライバシー（保護）ビット、サービスセット識別子（ＳＳＩＤ）、セキュリティ能力要素、およびトラフィック指示マップ（ＴＩＭ）要素フィールドを除いて、同一のビーコンフレームコンテンツを有することを特徴とするネットワーク。
【請求項２５】
請求項２１に記載のネットワークであって、前記ＰＡＰは、そのＢＳＳ内の端末についてパワーセーブ（ＰＳ）モードをサポートしていなければ、クラス３仮想ＢＳＳについてビーコンしなくてもよく、
前記ＰＡＰがクラス−３ＢＳＳについてビーコンする場合は、あらゆるビーコンのＳＳＩＤ要素は、ブロードキャストＳＳＩＤを指定し、
クラス−３仮想ＢＳＳは、ビーコンすることを通じて識別されることから防止されることを特徴とするネットワーク。
【請求項２６】
請求項２５に記載のネットワークであって、クラス−１仮想ＢＳＳビーコンのみは、非ブロードキャストＳＳＩＤフィールド付きのＳＳＩＤ要素を有し、
局は、クラス−１仮想ＢＳＳのみと関連付け得ることを特徴とするネットワーク。
【請求項２７】
請求項２１に記載のネットワークであって、あらゆる局は、デフォルトでＰＡＰにおけるクラス−１仮想ＢＳＳのメンバであり、
前記ＰＡＰは、前記クラス−１仮想ＢＳＳにおいて前記局のユーザまたは前記局自体のいずれかを認証することができ、
成功した場合、前記局は、前記ＰＡＰにおいて８０２．１１状態２に入り、
前記ＰＡＰおよび前記局は、その後、前記クラス−１仮想ＢＳＳにある間、クラス１およびクラス２フレームを交換し得ることを特徴とするネットワーク。
【請求項２８】
請求項２７に記載のネットワークであって、クラス２フレームは、前記局および前記ＰＡＰが成功認証の後にユニキャストセキュリティアソシエーションを共有する場合、暗号的に保護されることを特徴とするネットワーク。
【請求項２９】
請求項２８に記載のネットワークであって、前記ＰＡＰおよび前記局は、認証の後にグループセキュリティアソシエーションを共有し、
前記グループセキュリティアソシエーションは、前記ＰＡＰと８０２．１１アソシエーションを完了した場合、前記局が属するクラス−３仮想ＢＳＳについてのものであることを特徴とするネットワーク。
【請求項３０】
請求項２９に記載のネットワークであって、前記局および前記ＰＡＰがクラス３フレームを交換できる前に、前記局は、状態２から前記クラス−１仮想ＢＳＳとのアソシエーションをリクエストし、クラス−３仮想ＢＳＳに切り替えなければならないことを特徴とするネットワーク。
【請求項３１】
請求項３０に記載のネットワークであって、前記ＰＡＰは、ソースアドレス（アドレス２フィールド）またはＢＳＳＩＤ（アドレス３フィールド）がその仮想ＢＳＳのクラス−３仮想ＢＳＳＩＤであるアソシエーション応答ＭＭＰＤＵで前記局のアソシエーションリクエストに応答することによって、前記局をクラス−３仮想ＢＳＳに切り替えることを特徴とするネットワーク。
【請求項３２】
請求項３１に記載のネットワークであって、前記クラス−３仮想ＢＳＳは、
前記ＤＳにおける認証サーバは、ユーザのＤＳＭ  ＶＬＡＮを指定し、前記ＰＡＰはそれをクラス−３仮想ＢＳＳＩＤにそのＤＳＭ  ＶＬＡＮマッピングを使用してマップすること、
前記ＤＳにおける認証サーバは、そのユーザのクラス−３仮想ＢＳＳを指定すること、または
前記ＰＡＰは、前記ユーザの新しいクラス−３仮想ＢＳＳを作成することであって、前記ＰＡＰは、認証サーバに新しい仮想ＢＳＳについて知らせ、他の局が前記新しいＢＳＳにジョインできるようにするルールを提供すること
のいずれかの方法で判定されることを特徴とするネットワーク。
【請求項３３】
請求項２１に記載のネットワークであって、クラス−１仮想ＢＳＳは、８０２．１１ビーコンまたはプローブ応答マネージメントフレームを通じて発見され、ＢＳＳＩＤフィールド（アドレス３フィールド）およびソースアドレスフィールド（アドレス２フィールド）は各々クラス−１仮想ＢＳＳＩＤに設定されることを特徴とするネットワーク。
【請求項３４】
請求項２１に記載のネットワークであって、前記ＰＡＰは、ＭＡＣプロトコルデータユニット（ＭＰＤＵ）ブリッジプロトコルを実装し、前記ＤＳＭまたは前記ＷＭのいずれかから受信したＭＰＤＵについて、前記プロトコルは、
前記ＤＳＭから受信したＭＰＤＵであって、
受信したＭＰＤＵはＶＬＡＮタグを有しないか、空のＶＬＡＮタグを有し、
前記ＭＰＤＵの目的アドレスが前記仮想ＢＳＳに属する局のアドレスであり、前記局が前記ＰＡＰと関連付けられているか、
前記ＭＰＤＵの目的アドレスがグループアドレスであり、前記仮想ＢＳＳが前記グループに属する局を有し、前記局が前記ＰＡＰと関連付けられている場合、前記ＤＳＭからの前記ＭＰＤＵは、仮想ＢＳＳにリレーされ、または、
受信したＭＰＤＵは非空のＶＬＡＮタグを有し、
前記ＭＰＤＵがリレーされる前記仮想ＢＳＳは、前記非空のＶＬＡＮタグが前記ＰＡＰのＤＳＭ  ＶＬＡＮマッピングのもとでマップされる前記仮想ＢＳＳによって識別され、
前記マッピングがある与えられたタグについて未定義である場合、前記ＭＰＤＵはリレーされず、
受信したＭＰＤＵがリレーされる任意の仮想ＢＳＳは、その仮想ＢＳＳにリレーされる８０２．１１ＭＰＤＵのソースアドレス（アドレス２フィールド）を形成するＢＳＳＩＤを有する、ＭＰＤＵ、または
前記ＷＭから受信したＭＰＤＵであって、
前記ＭＰＤＵの目的アドレス（アドレス３フィールドのＭＰＤＵ）が識別されたＢＳＳに属する局のアドレスであり、前記局が前記ＰＡＰと関連付けられているか、
前記ＭＰＤＵの目的アドレスがグループアドレスである場合、受信した８０２．１１ＭＰＤＵは、前記ＭＰＤＵのアドレス１フィールドによって識別される仮想ＢＳＳにリレーされ、
そうでなければ、前記フレームは、いかなる仮想ＢＳＳにもリレーされず、
受信した８０２．１１ＭＰＤＵのアドレス１フィールドは、前記アドレス１フィールドによって識別される前記仮想ＢＳＳにリレーされる８０２．１１ＭＰＤＵのソースアドレス（アドレス２フィールド）である、ＭＰＤＵ
のいずれかにアドレスすることを特徴とするネットワーク。
【請求項３５】
請求項３４に記載のネットワークであって、前記目的アドレス（ＭＰＤＵのアドレス３フィールド）が前記ＰＡＰと関連付けられていない局のアドレスである場合にも、前記受信したＭＰＤＵは、前記ＤＳＭにリレーされ、または
前記目的アドレスがグループアドレスである場合、
前記ＤＳＭにリレーされた前記ＭＰＤＵは、前記ＤＳがＶＬＡＮ認識であれば、ＶＬＡＮタグを有し、そうでなければタグ付けされず、
前記ＶＬＡＮタグは、前記ＰＡＰのＤＳＭ  ＶＬＡＮマッピングのもとで前記受信したＭＰＤＵの前記アドレス１フィールドのプリイメージであることを特徴とするネットワーク。
【請求項３６】
請求項２１に記載のネットワークであって、
サブタイプアソシエーションリクエスト／応答、再アソシエーションリクエスト／応答、ディスアソシエーションおよび脱認証の８０２．１１データ・フレームおよびマネジメントフレームを適用することによって暗号および複合を行う手段をさらに備えたことを特徴とするネットワーク。
【請求項３７】
請求項３６に記載のネットワークであって、８０２．１１データまたはマネージメントフレームを前記ＷＭに送る前に前記ＰＡＰによって使用される前記暗号プロセスは、
前記フレームのセキュリティアソシエーションを識別し、
その後、前記アソシエーションを使用して、暗号化および認証コードプロトコルによる送信のための拡張されたフレームを構築する
ステップを行うメカニズムを備えたことを特徴とするネットワーク。
【請求項３８】
請求項３７に記載のネットワークであって、フレームの目的アドレス（アドレス１フィールド）が局のアドレスである場合、その局および前記ＰＡＰの間で共有されるユニキャストセキュリティアソシエーションは、前記フレームの拡張において使用され、
前記フレームがデータフレームであり、その目的アドレスがグループアドレスである場合、前記ＭＰＤＵブリッジプロトコルは、前記フレームの目的仮想ＢＳＳを識別し、前記識別された仮想ＢＳＳのグループセキュリティアソシエーションは、前記フレームの拡張において使用されることを特徴とするネットワーク。
【請求項３９】
請求項３８に記載のネットワークであって、非ＰＡＰ局は、その仮想ＢＳＳにおける前記ＰＡＰと共有するユニキャストセキュリティアソシエーションを使用してタイプデータまたはマネージメントの８０２．１１ＭＰＤＵを前記ＤＳＭに送信することを特徴とするネットワーク。
【請求項４０】
請求項３９に記載のネットワークであって、前記ＷＭから８０２．１１データまたはマネージメントフレームを受信するとき、前記ＰＡＰは、前記ＭＰＤＵのソースアドレス（アドレス２フィールド）によって識別される局のユニキャストセキュリティアソシエーションを使用して復号し、前記フレームの完全性を検証することを試みることを特徴とするネットワーク。
【請求項４１】
請求項４０に記載のネットワークであって、前記ＰＡＰからタイプデータまたはマネージメントの８０２．１１ＭＰＤＵを受信するとき、非ＰＡＰ局は、前記フレームの目的アドレス（アドレス１フィールド）が前記局のアドレスである場合、前記ＰＡＰと共有するユニキャストセキュリティアソシエーションを使用して、および前記フレームの前記目的アドレスがグループアドレスである場合、そのクラス−３仮想ＢＳＳのグループセキュリティアソシエーションを使用することによって復号し、前記フレームの完全性を検証することを特徴とするネットワーク。
【発明の詳細な説明】
【技術分野】
【０００１】
技術フィールド
本発明は、電子ネットワークへのワイヤレス・公衆アクセスに関する。特に本発明は、電子ネットワークに対する物理的なアクセス・ポイント内から仮想ベーシックサービスセットの作成ができるようにするためのアーキテクチャに関する。
【背景技術】
【０００２】
公衆WiFiホットスポットは、いくつかの例外はあるが、従来のIEEE 標準802.11準拠のアクセス・ポイントを使用して配備される。しかしながら、IEEE標準802.11のアーキテクチャおよびセキュリティモデルは、公衆用には不適切である。アクセス・ポイント（AP）に関連付けられた局は、802.11のベーシック・サービス・セット（BSS）または無線LANを共有する。BSSの全てのメンバが、信頼に値しない限り、BSSにおけるどの局も、他のメンバによって開始される攻撃に対し安全でない。この種の攻撃には、パスワードおよびクレジットカード情報のような、サービスを得るために加入者によって提供されるベーシックサービスおよび任意の秘密情報も盗むことが、含まれる。他の攻撃には、ネットワークの完全性およびサービス品質の妨害が含まれる。公衆BSS、つまり、公衆APと関連付けられた局から構成されるものの全てのメンバが、信頼に値すると考えることは、現実的ではない。従って、局は、公衆BSSにおいて脆弱である。
【０００３】
公衆BSSを共有することは、他の脅威を与えることにもなる。BSSのメンバは、ウォームまたはトロイの木馬によって他のメンバ局を汚染させることがある。ポートに基づくDCOM RPC攻撃、MSブラスターおよびWelchiaウォームは、その好例である。この脅威は、電子的な汚水だめである公衆BSSによって、より深刻になる。局は、これらの脅威に対してどのように対処できるだろうか？
BSSにおける局は、私的ファイアウォールのような防衛によって自分自身の身を守るかもしれない。これに対し、公衆WiFiプロバイダは、加入者を互いから保護するセキュリティモデルを配備するかもしれない。1つのアプローチは、局間コミュニケーションを禁止することである。このアプローチは、しかしながら、支持できない解決手段である。互いに信頼する局は、公衆設定においてさえも、それら自身の間で通信することは、許可されるべきである。例えば、局は、コンベンションセンターで開かれるミーティングにおける同一のローカルLAN上のファイルサーバにアクセスすることが可能でなければならない。例えば、これは、標準の会議において通常実行されることである。仮にこの種の共有が、許されるならば、侵入者が、IEEE 標準802.11の下で、BSS全体を作動不能にすることは容易になる。このことは、2001年のユセニックス・セキュリティ・カンファレンスおよび2001年のラスベガスのDEFCONカンファレンスで実証された。今日の如何なるワイヤレスLANに対するセキュリティモデルも、脆弱性を導くことなしにこの種の共有をサポートすることは出来ない。
【０００４】
脆弱性を導くことなく、あるいはBSSを用いた局の間でセキュリティを妥協させることなく、単一の物理的BSSの共有をサポートすることができる無線ＬＡＮに対するセキュリティモデルを供給することは、有利であろう。
【発明の開示】
【課題を解決するための手段】
【０００５】
本発明は、脆弱性を導くことなく、あるいは局のセキュリティを妥協化することなく、局によって単一の物理的なBSSの共有をサポートすることができる無線ＬＡＮに対するセキュリティモデルを提供する。このように、新しい種類のアクセス・ポイントが、設けられている。そして、それは、本明細書において公衆アクセス・ポイント（PAP）と称される。PAPは、IEEE標準802.11によって規定されるものとは異なるセキュリティアーキテクチャを有する。PAPアーキテクチャは、単一の物理的なAP内から仮想ベーシック・サービスセットの作成を可能にする。任意数の仮想サービスセットを、作成することができる、そして、いかなる数の端末も、仮想BSSに帰属させることができる。PAPは、端末には、各仮想BSSに対し1つの、複数の物理的802.11のアクセス・ポイントと見える。従って、PAPは、いかなる802.11端末とも完全に相互運用可能である。
【０００６】
PAPの使用の例として、コンベンションセンターを考えよう。異なる会議が、802.11規格プロジェクタを使用することがある。PAPは、各々に対し分離されたリンク・プライバシーおよび完全性を提供して、別々のLANセグメントを各会議に提供することを可能にする。IEEE標準802.11のみを代わりに使用すると、会議のプロジェクタおよびそれを用いて投影することができる全ての局は、プライベート・アクセス・ポイントまたはアドホックのWLANを使用し、そしてWLANメンバシップ、認証およびキー化マテリアル（keying material）を管理しなければならない。さもないと、誰でも、プロジェクタを用いてプロジェクトすることができ、または更に悪いことに、有効なプロジェクタのトラフィックを、それが表示される前に、インターセプトして、それが部外者によってモニタされ、改変される可能性があり得よう。
【０００７】
従来技術のアプローチに関連するセキュリティ管理の負担が大きすぎることに加えて、会議のプランナーは、開催地ごとに彼ら自身のアクセスポイントをインストールし、設定するよりもむしろローカルのアクセス・ポイントを利用することを好む。PAPは、全てのセキュリティを管理することができる。それによって、共用プロジェクタおよび任意のローカルファイルサーバを含む、各会議における全ての端末は、その会議に対する仮想802.11アクセス・ポイントと効率的に関連付けられ、そして全ての仮想ベーシックアクセス・ポイントが、同じ物理的PAPから生じる。
【０００８】
本発明は、公衆アクセス・ポイントを共に接続するブリッジの転送テーブルを更新するためのロケーション・アップデート・プロトコルも提供する。
【０００９】
本発明は、更に、ファインブリッジングと呼ばれる、より制御されたブリッジングに対する方法も提供する。
【図面の簡単な説明】
【００１０】
【図１】IEEE 標準802.11プロトコルエンティティの概略図である。
【図２】IEEE 標準802.11の構成インフラ・ストラクチャのブロック図である。
【図３】本発明による公衆アクセス・ポイント・アーキテクチャの概略図である。
【図４】本発明による、１つがＡＰである3つの局の仮想BSSの範囲内のアクセス可能性に対するポリシーのブロック図である。
【図５】本発明による、局AおよびBが、サーバ局SおよびDを共有するが、AおよびBは、各々にアクセスすることが許されない4つの局の間のポリシーのブロック図である。
【図６】本発明による、図3におけるポリシーにＢからＡへのエッジが追加されるように修正されたポリシーのブロック図である。
【図７】ポートに基づいたVLAN割当、出口フィルタリングおよび共用VLAN学習（SVL）を介してインフラ・ストラクチャ・システムに対して接続されているエッジホスト間の直接通信を除去する、IEEE標準802.1Qブリッジのブロック図である。
【発明を実施するための形態】
【００１１】
米国特許出願No. 10/057,566には、端末が、既存のVLANがタグ付けされているおよびタグ付けされていないメンバセットを複製することによって、既存のVLANのクローンを作る仮想ブリッジLAN（VLAN）を作成することができるプロトコルが、記載されている。更に、この新しいVLANは、その固有のセキュリティアソシエーションのために固有化されている。このアソシエーションは、VLANに所属するパケットをプライベートな状態にし、かつVLANのメンバシップを、キー化されたMACによって暗号的に検証することを可能にする暗号のキー化マテリアルを提供する。この新しいVLANは、その作成者が所有する。この所有者は、どの局がジョインでき、そしてどの局がVLANを発見できるか、およびVLANの存続期間をコントロールする。従って、VLANは、パーソナル仮想ブリッジLAN（PVLAN）と呼ばれる。
【００１２】
本発明の一実施例は、IEEE標準802.11-1999の標準要素しか使用しないPVLANの改良型を提供する。（第11部参照：ワイヤレスLAN媒体アクセスコントロール（MAC）および物理層（PHY）仕様書、ISO/IEC 8802-11：1999（E）ANSI/IEEE標準 802.11、1999年版、および第11部参照：ワイヤレスLAN媒体アクセスコントロール（MAC）および物理層（PHY）仕様書、媒体アクセスコントロール（MAC）セキュリティ強化、IEEE標準802.11i/D7.0、ISO/IEC 8802-11,1999（E) に対する起草案補正書, ANSI/IEEE標準. 802.11、1999年版。）IEEE標準 802.11プロトコル・エンティティのブロック図である図１と、各BSS（BSS-A、BSS-B）が、それぞれのアクセス・ポイント（AP-A、AP-B）と、関連付けられた局（A1/A2、B1/B2）とを備えたIEEE標準802.11構成インフラ・ストラクチャのブロック図である図２を参照されたい。アクセス・ポイントとして働かないいかなる802.11規格準拠の端末の動作の修正も、本発明においては、不必要である。改良点は、仮想802.11のBSSに対してPVLANをインスタンス化し、そしてアクセス・ポイントにしか影響を及ぼさない。
【００１３】
図3は、本発明による公衆アクセス・ポイント・アーキテクチャのブロック図である。仮想802.11 BSS、例えばBSS-1またはBSS-2は、グループセキュリティアソシエーションと呼ばれる、固有のセキュリティアソシエーションを共有する、一組の局を有し、それぞれがハードウェア（MAC）アドレス（図1を参照せよ）を有する。セキュリティアソシエーションは、暗号化キーと、認証コード・キーからなる。
【００１４】
仮想BSSにおいて局の内のまさに1つが、公衆アクセス・ポイント31（PAP）である。それは、802.11のワイヤレス媒体（WM）32と802.11分配システム媒体（DSM）33をブリッジする。
【００１５】
固有のユニキャストセキュリティアソシエーションが、仮想BSSにおけるあらゆる局に対して存在する。それは、その仮想BSSの局とPAPの間で共有されている。
【００１６】
各仮想BSS、例えば、BSS-1またはBSS-2は、それ自身の識別子、つまりBSSIDを有する。それは、そのBSSに帰属しているPAPの仮想MACアドレスである。PAPは、その仮想MACアドレスのうちの1つに向けられているWMからの任意のフレームを受信し、そしてその仮想MACアドレスのうちの1つをフレームのソースMACアドレスとして使用してWMにフレームを送信する。
【００１７】
一群の仮想ベーシック・サービスセットは、単一のPAPにおいて、共用TSF（タイミング同期化機能）、DCF（分散調整機能）およびオプションとしてPCF（ポイント調整機能）によってサポートされている。各PAPにおいて、単一のNAV（ネットワークアロケーションベクトル）およびPC（ポイント調整部）が、存在する。802.11の仮想キャリア検知、媒体予約メカニズムが、同じチャネルのオーバーラップを使用する複数のベーシックサービスセットと協働するように設計されているため、この種の共有が、可能である。この種のオーバーラップは、単一チャネルPAPでサポートされている仮想ベーシック・サービスセットの間で生じることがある。仮想サービスセットは、1つのチャネルを使用することができるので、PAPにおいてオーバーラップさせることができる。
【００１８】
PAPは、一つ以上の仮想BSSに帰属することができる。図1上のBSS-1、BSS-2を参照されたい。PAPでないいかなる局も、多くても1つの仮想BSSに帰属することができる。
【００１９】
仮想802.11のBSSは、仮想ブリッジLANによってそれらの公衆アクセス・ポイントの接続を通して他の仮想BSSとブリッジすることができる。各仮想BSSのPAPは、VLAN-認識ブリッジのトランクされた、またはタグ付けされていないポートを介して、分配システム（DS）に接続する。DSに送信されるフレームは、DSMには知られているVLANタグを担持することができる。PAPは、VLANタグを仮想BSSIDにマップするDSM VLANマッピングを維持してよい。
【００２０】
現在、2種類の仮想BSS：クラス-1およびクラス-3仮想BSSが、存在する。PAPは、正確に1つのクラス-1仮想BSSおよび一つ以上の多重クラス-3仮想ベーシック・サービスセット（multiple Class-3 virtual basic service set）をサポートする。PAPによって管理されるように、クラス-1仮想BSSは、局が802.11の状態1または2にある間、占めることが許される唯一の仮想BSSである。状態3にある時、局は、クラス-3仮想BSSにジョインすることが許される。クラス-3仮想BSSは、例えば、局を認証するために使用される、例えばオープン・システムまたは共有キーのような認証によって決定することができる。
【００２１】
クラス-1仮想BSSIDは、この種のフィールドを有するあらゆるクラス1およびクラス2フレームのBSSIDフィールドである。それは、適切な場合には、クラス１およびクラス２フレームに対する、受信機または送信機アドレス・フィールドでもある。
【００２２】
あらゆる仮想BSSは、タイムスタンプ、ビーコン間隔、能力情報プライバシー（保護）ビット、サービスセット識別子（SSID）、セキュリティ能力要素、およびトラフィック指示マップ（TIM）要素フィールドを除いて、同一のビーコン・フレーム・コンテンツを有する。
【００２３】
PAPは、そのBSSにおける端末に対し、PS（電源セーブ）モードをサポートしていなければ、クラス-3仮想BSSに対してビーコンを送る必要はない。もしそれが、クラス-3仮想BSSにビーコンを送っていれば、あらゆるビーコンのSSID要素が、ブロードキャストSSIDを指定する。これらのステップは、いかなるクラス-3仮想BSSも、ビーコンによって識別されることを防止する。
【００２４】
クラス-1仮想BSSビーコンだけが、非ブロードキャストSSIDフィールドを有するSSID要素を有する。局は、クラス-1仮想BSSとだけ関連付けることができる。この局は、アソシエーションまたは再アソシエーションリクエスト・フレームのSSID要素における非ブロードキャストSSIDを使用する。
【００２５】
米国特許出願No. 10/057566は、PVLANジョインおよび発見ステップを特定する。仮想BSSとして表されるPVLANにより、これらのステップは、以下のようにインスタンス化される。
【００２６】
ジョイン
あらゆる局は、デフォルトでは、PAPでクラス-1仮想BSSのメンバである。PAPは、クラス-1仮想BSSにおける局のユーザまたは局自体の何れかを認証することができる。もし成功したら、局は、そのPAPにおいて802.11状態2に入る。この時、PAPおよび局は、クラス-1仮想BSSにいる間、クラス1およびクラス2のフレームを交換してもよい。
【００２７】
クラス1フレームは、暗号によって保護されていない。認証が、成功した後、局とＰＡＰが、ユニキャストセキュリティアソシエーションを共有すれば、クラス2フレームは、暗号的に保護することができる。PAPおよび局は、認証の後、グループセキュリティアソシエーションを共有することもできる。グループセキュリティアソシエーションは、PAPと802.11アソシエーションを完了すれば、局が帰属するそのクラス-3仮想BSSのためにある。
【００２８】
局およびPAPが、クラス3フレームを交換することができる前に、局は、
1）状態2からクラス-1仮想BSSとのアソシエーションをリクエストし、そして
2）クラス-3仮想BSSに切り替えなければならない。
【００２９】
PAPは、そのソースアドレス（アドレス2フィールド）またはBSSID（アドレス3フィールド）が、その仮想BSSに対するクラス-3仮想BSSIDであるアソシエーション応答MMPDUで局のアソシエーションリクエストに応答することによって、局をクラス-3仮想BSSに切り替える。アソシエーション応答の能力情報フィールドは、そのプライバシー（保護）ビットを１に設定してもよい。
【００３０】
クラス-3仮想BSSは、３つの方法のうちの1つの方法で決定される：
1）DSにおける認証サーバが、ユーザに対しDSM VLANを指定し、そして、PAPが、そのDSM VLANマッピングを使用して、それをクラス-3仮想BSSIDにマップする。
2）DSにおける認証サーバが、ユーザに対してクラス-3仮想BSSを指定する、または、
3）PAPが、ユーザに対して新しいクラス-3仮想BSSを作成する。PAPは、認証サーバに新しい仮想BSSを知らせ、そして他の局が、新しいBSSにジョインすることを可能にする規則をそれに提供することができる。
【００３１】
発見
クラス-1仮想BSSは、802.11ビーコンまたは、プローブ応答マネジメント・フレームにより発見される。ここで、BSSIDフィールド（アドレス3フィールド）およびソース・アドレス・フィールド（アドレス2フィールド）が、クラス１仮想BSSIDに対してそれぞれセットされる。これらのフレームの能力情報のプライバシー（保護）ビットはゼロにセットされる。ビーコンのTIM要素は、クラス-1仮想BSSに適用される。クラス-1仮想BSSのみが、ビーコンフレームを介して広告される。
【００３２】
データフレーム（MPDU）分配
PAPは、MACプロトコル・データ・ユニット（MPDU）ブリッジプロトコルを実施する。DSMかWMから受信されるMPDUに対してプロトコルは、以下の2つのケースによって定義される：
1. DSMから受信されたMPDU。2つのサブケースがある。（注：2つのサブケースは、PAPのローカルLLCに対する受信されたMPDUの配信を扱う、なぜならあらゆるPAPの局が、少なくとも一つの仮想BSSに帰属するからである。）：
a. 受信されたMPDUは、VLANタグを有しないか、または空のVLANタグを有する。仮に目的アドレスが、BSSに帰属する局のアドレスであり、そして局が、PAPに関係付けられるのであるならば、DSMからのMPDUは、仮想BSSへリレーされ、または、目的アドレスが、グループアドレスであるならば、仮想BSSは、グループに属する局を有し、その局は、PAPに関連付けられている。全ての局は、ブロードキャストグループに属する。
b. 受信されたMPDUは、非空のVLANタグを有する。MPDUがリレーされる仮想BSSは、非空のVLANタグが、PAPのDSM VLANマッピングの下でマップされるBSSIDによって識別される。もしマッピングが、与えられたタグに対して未定義であるならば、MPDUは、リレーされない。
受信されたMPDUがリレーされるいかなる仮想BSSも、その仮想BSSにリレーされる802.11のMPDUのソースアドレス（アドレス2フィールド）を形成するBSSIDを有する。
2.  WMから受信されたMPDU。受信された802.11 MPDUは、MPDUのアドレス1フィールドによって識別される仮想BSSに、もしその目的アドレス（MPDUのアドレス3フィールド）が、識別された仮想BSSに帰属する局のアドレスであり、そして、その局が、PAPに関連付けられているか、または、もしその目的アドレスが、グループアドレスであるならば、リレーされる。そうでなければ、フレームは、いかなる仮想BSSにもリレーされない。受信された802.11のMPDUのアドレス1フィールドは、アドレス1フィールドによって識別される仮想BSSにリレーされる802.11のMPDUのソースアドレス（アドレス2フィールド）である。
目的アドレス（MPDUのアドレス3フィールド）が、PAPと関連付けられていない局のアドレスであるか、または、目的アドレスが、グループアドレスであるならば、受信されたMPDUは、DSMにもリレーされる。もしDSが、VLANを認識しているならば、DSMにリレーされるMPDUは、VLANタグを有し、そしてそうでなければタグ付けされない。VLANタグは、PAPのDSM VLANマッピングのもとでの受信されたMPDUのアドレス 1フィールドのプリイメージである。
【００３３】
暗号および復号プロセス
暗号および復号は、サブタイプアソシエーションリクエスト／応答、再アソシエーションリクエスト/応答、ディスアソシエーションおよび脱認証（Deauthentication）の802.11データ・フレームおよびマネジメント・フレームを適用する。
【００３４】
WMに対して802.11データあるいはマネジメント・フレームを送る前にPAPによって使用される暗号化プロセスは、2つの主要なステップを含む：
●  フレームに対してセキュリティアソシエーションを識別することと、
●  そのアソシエーションを用いていくつかの暗号化（encipherment）および認証コード・プロトコルに従って送信のための拡張されたフレームを構築すること。
異なる暗号化および認証コード・プロトコルが、仮想ベーシックサービスセット間のブロードキャストおよびマルチキャストトラフィックのために使用することができ、そして、異なる暗号化および認証コード・プロトコルが、単一の仮想BSSにおける局の間の指示された（ユニキャスト）トラフィックのために使用することができる。
【００３５】
もし、フレーム目的アドレス（アドレス1フィールド）が、局のアドレスである場合、その局およびPAPの間で共有されるユニキャストセキュリティアソシエーションは、拡張において使用される。もしこのフレームが、データフレームであり、そして、その目的アドレスが、グループ・アドレスであるならば、MPDUブリッジ・プロトコルは、フレームに対する目的仮想BSSを識別する。識別されたBSSに対するグループセキュリティアソシエーションが、拡張に使用される。
【００３６】
非PAP局は、それがそのBSSにおけるPAPと共有するユニキャストセキュリティアソシエーションを使用してタイプデータまたはマネジメントの802.11のMPDUをDSに対して送信する。
【００３７】
WMから802.11のデータまたはマネジメント・フレームを受信する時に、PAPは、MPDUのソースアドレス（アドレス2フィールド）によって識別される局に対するユニキャストセキュリティアソシエーションを使用して復号化し、フレームの完全性を検証することを試みる。
【００３８】
PAPからタイプデータまたはマネジメントの802.11のMPDUを受信する時に、非-PAP局は、もしフレームの目的アドレス（アドレス1フィールド）が、局のアドレスであると、それがPAPと共有するユニキャストセキュリティアソシエーションを使用して、そして、もしフレームの目的アドレスが、グループ・アドレスであれば、そのクラス３仮想BSSのグループセキュリティアソシエーションを使用して、復号化し、フレームの完全性を検証することを試みる。
【００３９】
ロケーション更新プロトコル
本発明は、ブリッジの転送テーブルを更新するためのロケーション更新プロトコル、又は、公衆アクセス・ポイントを一緒に接続する、他の相互接続媒体も備える。
【００４０】
ブリッジLANのスパンニング・ツリーにおける異なるブリッジにアタッチされた、複数の公衆アクセス・ポイント、および互いにそれらの一つと関連付け、そして新しいPAPと再関連付ける端末を考えると、新しいPAPは、指示されたブリッジ・プロトコル・データ・ユニット（BPDU）（リロケーションPDUと呼ばれる）を局が以前に関連付けられていたPAPに送る。BPDUの目的アドレスは、再アソシエーションリクエスト・フレームの現在のAPアドレスであり、それは、クラス-3仮想BSSIDである。ソースアドレスは、局のハードウェア・アドレスである。
【００４１】
特定ポートにおいてリロケーションMPDUを受信すると、ブリッジは、受信ポートをMPDUのソースアドレスにバインドするエントリでその転送テーブルを更新する。
【００４２】
受信ブリッジは、その指定されたルート・ポートにリロケーションMPDUを、MPDUがそのポートに到着しない限り、または受信ブリッジがスバニング・ツリーのルートでない限り、転送する。もしそれが、ブリッジの指定されたルート・ポートにおいて、または、ルート・ブリッジによって受信されると、それは、ブリッジの学習された転送テーブルに従って転送され、それは、受信ポートを除く全てのポートに対してMPDUをあふれさせることを含む。
【００４３】
ファインブリッジング
上で議論されている本発明の一つの実施例は、仮想BSSに対してPVLANを絞り込む。MPDUブリッジ・プロトコルの下で、仮想BSSにおけるいかなる局も、指示されたまたはグループアドレス化されたフレームをその仮想BSSにおける他のいかなる局にも送ることができる。これは、望ましくないであろう。カンファレンス・センターにおける会議は、例えば、それ自身の仮想BSSを有していてもよいが、全ての出席者が、各々を信頼しているわけではない。同じ仮想BSSを共有することによって、ある出席者は、ウォームまたはウイルスを飛ばすことができる。各出席者を固有の仮想BSSに割り当てることによってこれらの攻撃を阻止しようとすることは、出席者が、サーバを共有することができないことになる。理想的には、サーバは、全ての会議参加者によって共有されているが、どの参加者も、他の参加者にアクセスする、つまりフレームを送ることはできないようにすべきである。上記の公衆アクセス・ポイントは、このレベルのアクセスコントロールを提供することができない。ファインブリッジングをサポートしているAPは、それを提供することができる。
【００４４】
IEEE 標準 802.1.Qのブロック図である図７も参照されたい。802.1Qブリッジは、LANのようなインフラ・ストラクチャ・システムに対して一組のエッジホストを接続している。エッジホストから到着するタグ付けされていないフレームは、ポートベースのVLAN割当（PVID A）によってVLAN Aに割り当てられる、そして、インフラ・ストラクチャ・システムから到着するタグ付けされていないフレームは、VLAN B（PVID B）に割り当てられる。記述された出力ルールにより、AまたはBに帰属しているフレームがインフラ・ストラクチャに出て行くことが許容される一方、Bに属しているフレームのみが、エッジホストに出て行くことを許容される。このような方法で、エッジホストは、直接、互いに通信することを防止される。
【００４５】
ファインブリッジングは、BSSを有するブロードキャストまたはマルチキャストドメインの識別を分離する（decouple）。
【００４６】
ファインブリッジングの下で、APのブリッジングの挙動は、有向グラフとして表されるポリシーによって決定される。グラフのノードは、局であり、そしてもし局Aが、局Bにアクセスすることが可能である場合に限り、局Aから局Bへのエッジが存在する。言い換えれば、局Bが、局Aの指示されたまたはグループフレームを受信することが可能でなければならない。
【００４７】
所与のポリシーに対して、あるノードに対すブロードキャスト・ドメインは、それ自体およびそれがアクセスしなければならない全てのノードである。ポリシーのブロードキャスト・ドメインセットは、そのノードに対する一組のブロードキャスト・ドメインである。
【００４８】
ポリシーの実施において、ブロードキャスト・ドメインごとにグループセキュリティアソシエーションがある。更に、各局（ノード）は、ポリシーにおけるそれ自体に対するブロードキャスト・ドメインの、そして、それがメンバであるポリシーにおけるあらゆるその他のブロードキャスト・ドメインのグループセキュリティアソシエーションを所有する。前者のアソシエーションが、グループフレームを送信するために、そして後者のアソシエーションがグループフレームを受信するために、局によって使用することができる。
【００４９】
その一つがAPである3局仮想BSSの中におけるアクセス可能性は、図2に示されるポリシーによって捕捉される。ポリシーにおける各ノードは、そのブロードキャスト・ドメインとして｛A、B、AP｝を有する。このように、ポリシーに対して1つのブロードキャスト・ドメインしかなく、これはポリシーが仮想BSSを反映することを考えると予期されることである。各局は、ドメインに対するグループセキュリティアソシエーションを知っていて、そのアソシエーションのもとでグループフレームを送信そして受信することができる。
【００５０】
図3は、局AおよびBが、サーバ局SおよびDを共有するが、AおよびBは、各々にアクセスすることが許されない4つの局の間のポリシーを捕捉する。
【００５１】
このポリシーは、ブロードキャスト・ドメインB1：｛A,S,D｝、B2：｛B,S,D｝およびB3：｛D,A,S,B｝を有している。局Aは、グループフレームを送るために、B１に対するグループセキュリティアソシエーションを知っていて、SおよびDによって送られるグループフレームを受信するために、Ｂ３に対するグループセキュリティアソシエーションを知っている。局Ｄは、グループフレームを送信し、Sからそれらを受信するために、B3に対するグループセキュリティアソシエーションを知っていて、AおよびＢからグループフレームをそれぞれ受信するために、B1およびB2両方に対するグループセキュリティアソシエーションを知っている。
【００５２】
図3におけるポリシーが、例えば、BからAへのエッジが、ポリシーに対して付加されるように修正される場合には、図４に図示されるように、ドメインB2は、除去され、B1とB3だけが、残るであろう。
【００５３】
もしAからBへのエッジが、図4におけるポリシーに付加されると、ドメインB1、B2およびB3は、このポリシーに対し、単一ドメインB3に縮小するであろう。
【００５４】
他のポリシーバリエーションの提供は、当業者の能力の範囲内にある。
【００５５】
本発明は、好ましい実施例に関して本願明細書において記載されているが、当業者は、他の応用を、本発明の趣旨および範囲から逸脱することなく、本願明細書において記載されるそれらに置換させてもよいとことを直ちに理解するであろう。したがって、本発明は、添付の特許請求の範囲によってのみ制限されるべきである。
【符号の説明】
【００５６】
３１  パブリック・アクセス・ポイント
３２  無線媒体
３３  分配システム媒体
３３  分配システム媒体
【図１】
2010183610.tif 000003
【図２】
2010183610.tif 000004
【図３】
2010183610.tif 000005
【図４】
2010183610.tif 000006
【図５】
2010183610.tif 000007
【図６】
2010183610.tif 000008
【図７】
2010183610.tif 000009