(57)【特許請求の範囲】
【請求項１】
チャネルのフレームによってデータを転送する少なくとも１つのワイヤレス装置をフィンガープリンティングする方法であって、フレームは、複数のワイヤレス装置を有するネットワーク内の前記チャネルで順次転送され、当該方法は、前記チャネルをリスニングしている装置において：
前のフレームに続く現在フレームを受信するステップと；
前記前のフレームの受信の終わりから前記現在フレームの受信の終わりまでの到着時間差を計測するステップと；
前記現在フレームを送信した前記ワイヤレス装置の識別を取得するステップと；
前記ワイヤレス装置のフィンガープリントを生成するために、前記到着時間差を、前記取得された識別に対応する前記ワイヤレス装置の到着時間差の集合に保存するステップと；
を有する方法。
【請求項２】
前記到着時間差の集合をヒストグラムとして配列するステップであって、前記ヒストグラムは、前記ワイヤレス装置のフィンガープリントを構成する、ステップ、を更に有する請求項１記載の方法。
【請求項３】
前記ヒストグラムを、パーセンテージ頻度分布として表すステップ、を更に有する請求項２記載の方法。
【請求項４】
前記ヒストグラムは、前記チャネルでの通信のために用いられる標準によって定義された特定の時間に対応するビンを有する請求項２記載の方法。
【請求項５】
前記標準は、ＩＥＥＥ８０２．１１である、請求項４記載の方法。
【請求項６】
前記標準は、ＩＥＥＥ８０２．１１ｇである、請求項４記載の方法。
【請求項７】
第１のビンは、ショートインターフレームスペース（ＳＩＦＳ）に対応し、第２のビンは、ディストリビューテッドコーディネーションファンクションインターフレームスペース（ＤＩＦＳ）から前記ＳＩＦＳを差し引いたものに対応し、かつ、少なくとも第３及び第４のビンは、それぞれタイムスロットの長さに対応する、請求項５記載の方法。
【請求項８】
前記取得されたフィンガープリントを、保存されたフィンガープリントと比較するステップと；
所定の装置の保存されたフィンガープリントと、前記取得されたフィンガープリントとが最も似ている場合、前記ワイヤレス装置を、前記所定の装置として識別するステップと；
を更に有する請求項１記載の方法。
【請求項９】
似ていることは、類似尺度を用いて判断される、請求項８記載の方法。
【請求項１０】
チャネルのフレームによってデータを転送する少なくとも１つのワイヤレス装置をフィンガープリンティングするための装置であって、フレームは、複数のワイヤレス装置を有するネットワーク内の前記チャネルで順次転送され、当該装置は：
前記チャネルをリスニングする手段と；
前のフレームに続く現在フレームを受信する手段と；
前記前のフレームの受信の終わりから前記現在フレームの受信の終わりまでの到着時間差を計測する手段と；
前記現在フレームを送信した前記ワイヤレス装置の識別を取得する手段と；
前記ワイヤレス装置のフィンガープリントを生成するために、前記到着時間差を、前記取得された識別に対応する前記ワイヤレス装置の到着時間差の集合に保存する手段と；
を有する装置。
【請求項１１】
前記到着時間差の集合をヒストグラムとして配列する手段であって、前記ヒストグラムは、前記ワイヤレス装置のフィンガープリントを構成する、手段、を更に有する請求項１０記載の装置。
【請求項１２】
前記配列する手段は、前記ヒストグラムを、パーセンテージ頻度分布として表す、請求項１１記載の装置。
【請求項１３】
前記取得されたフィンガープリントを、保存されたフィンガープリントと比較する手段と；
所定の装置の保存されたフィンガープリントと、前記取得されたフィンガープリントが最も似ている場合、前記ワイヤレス装置を、前記所定の装置として識別する手段と；
を更に有する、請求項１０記載の装置。
【請求項１４】
前記ヒストグラムは、前記チャネルでの通信のために用いられる標準によって定義された特定の時間に対応するビンを含む、請求項１１記載の装置。
【請求項１５】
前記標準は、８０２．１１であり、かつ第１のビンは、ショートインターフレームスペース（ＳＩＦＳ）に対応し、第２のビンは、ディストリビューテッドコーディネーションファンクションインターフレームスペース（ＤＩＦＳ）から前記ＳＩＦＳを差し引いたものに対応し、かつ、少なくとも第３及び第４のビンは、それぞれタイムスロットの長さに対応する、請求項１４記載の装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般にフィンガープリントの装置に関し、より詳細には、ワイヤレス通信装置のフィンガープリントに関する。
【背景技術】
【０００２】
まず、技術の様々な側面について説明する。これらは、本発明の様々な側面に関連する。これらは、以下に説明され、請求項に記載される。この説明は、背景情報を提供する上で有用であり、本発明の様々な側面を理解するのに役立つものである。したがって、明細書の記載はこの観点で理解する必要があり、従来技術を説明するためのものでない点に留意する必要がある。
【０００３】
本発明の目的において、フィンガープリントを行う装置は、その装置を特徴付けるために装置の情報を収集する。このプロセスはシグネチャを得る。これはフィンガープリントとも呼ばれる。これは、小さな容量で装置を観察した特徴を表している。生成されたシグネチャが十分に特徴的（distinctive）であれば、その装置を識別するためにこれを用いることができる。
【０００４】
明細書は、ワイヤレス通信をインプリメントするフィンガープリントを行う装置に焦点を当てる。このワイヤレス通信は、情報技術のためのＩＥＥＥ標準と呼ばれる。これは、Telecommunications  and  information  exchange  between  systems  -  Local  and  metropolitan  area  networks  -  Specific  requirements  Part  11  :  Wireless  LAN  Medium  Access  Control  (MAC)  and  Physical  Layer  (PHY)  Specificationsであり、簡略化して、ＩＥＥＥ８０２．１１であり、ＩＥＥＥ標準８０２．１１−１９９９に規定されている（以下、８０２．１１と呼ぶ）。この標準は、例えばＷｉＦｉにおいて用いられる。なお、本発明は、例えばＡＬＨＡのような他の適切な通信技術を実装したフィンガープリント装置に対しても用いることができる。
【０００５】
既に述べたように、装置に対するフィンガープリントは、装置の識別を可能とする。この識別は、その装置の意図した（purported）識別とは独立である。８０２．１１装置のフィンガープリントの応用で重要なのは、メディアアクセスコントロール（ＭＡＣ）アドレスのスプーフィング（なりすまし）を防止するということである。これは、他の装置のＭＡＣアドレスを用いることによって、その装置の認証（authorization）の利益を得る行為が典型例としてあげられる。
【０００６】
幾つかのシナリオにおいて、ＭＡＣアドレスのスプーフィングの防止は重要である。例えば、ホットスポットのような、オープンなワイヤレスネットワークは、しばしば、ＭＡＣアドレスベースのアクセスコントロールをインプリメントしている。これによって、真正のクライアントステーション（例えば、インターネットアクセス料を購入した装置）のみがアクセスポイントに接続できるということを保証することができる。アタッカは、真正の装置のＭＡＣアドレスをスプーフィングすることによって、真正の装置のセッションを盗むことができる。逆に、アクセスポイントもアタックにさらされる。ＡｉｒＳｎａｒｆ及びＲａｗＦａｋｅＡＰは、アタッカが、不正なアクセスポイントをセットアップすることである。このアクセスポイント（ＡＰ）は、クライアントステーションを、真正のＡＰではなく、偽のＡＰに接続させてしまう。良好なフィンガープリンティング方法は、上述のアタックを検出し、その対策を図ることができる。
【０００７】
実際に、フィンガープリントシグネチャ照合は、キーでプロテクトされたワイヤレスネットワークにおいて用いても有効である。例えば、ＷｉＦｉ  Ｐｒｏｔｅｃｔｅｄ  Ａｃｃｅｓｓ（ＷＰＡ）が挙げられる。パッシブなフィンガープリンティング方法は、追加的な信用のレイヤとして、キーベースの認証メカニズムの前に用いることができる。この追加的なレイヤは、許可されていない装置を検出し、この結果、たいがいの場合脆弱でありコストがかかり、アクティブなキーベースの認証メカニズムには意味が無い。フィンガープリンティングは、ワイヤレス認証メカニズムの後に用いることもできる。これによって、ネットワーク内の認証された装置を制御することができる。もちろん、ユーザがＷｉＦｉキーを自ら公開することは通常のことであり、キーはリークしてしまう。例えば、友人を招待し、その友人のラップトップをホームネットワークにアクセスすることを許すことがある。このような場面は、よくあることであり単純である。これは、ホームネットワークを危険にさらすことになる。その後、キーは、招待されたラップトップからリークし、或いは、その友達が不正に再度接続することもある。結局のところ、ハッカーがＷＥＰプロトコルをクラックするツールが存在する。ＷＥＰプロトコルは、セキュアーではないこととなり、現在、次のようなサービスが存在する。例えば、ＷＰＡ  Ｃｒａｃｋｅｒであり、これはＷＰＡキーを発券することを試みるものである。
【０００８】
従来技術は、ネットワークカード、及び／又は、ドライバのインプリメンテーションの特異性を分析することによって、ワイヤレス装置をフィンガープリンティングするための多くの解決策を提示している。
【０００９】
Ｆｒａｎｋｌｉｎ他は、そのカードが利用できるワイヤレスネットワークをサーチする「アクティブスキャニング時間」の間にドライバの特徴を調べる（characterize）。このスキャニングプロセスは、プローブリクエストを送信する周波数および順序に関する８０２．１１標準には、十分に規定されていない（underspecified）。各製造業者は、したがって、この期間において、独自のアルゴリズム及びタイマをインプリメントしている（例えば、非特許文献1参照）。
【００１０】
このパッシブなフィンガープリンティング技術の主な欠点は、ワイヤレスプロトコルが開始された短くかつ特定の時間の間にしか動作しないことである（例えば、非特許文献２参照）。
【００１１】
Gopinath他は、８０２．１１カードは、非常に異質な振る舞いを見せる。これは、インプリメンテーションの特異性に基づくものである。彼らは、幾つかの８０２．１１の特徴をテストしている。例えば、ランダムバックオフタイマ、及び仮想キャリアセンシング（ＮＡＶメカニズム）である。この著者は、観察された振る舞いにおける異質性は、カードベンダ及びモデルに対するフィンガープリントを行うのに用いることができると判断している。しかしながら、この論文では、それ以上この側面を検討しておらず、生の実験結果を提示している（例えば、非特許文献３参照）。
【００１２】
Bratus他は、上述の方法を提案している。その方法は、上述の研究を用いており、ワイヤレスクライアントステーション及びアクセスポイントに実際フィンガープリンティングを実行している。彼らの方法によると、フォーマットに即しておらず（malformed）、又は、規格外（non-standard）の刺激性（stimulus）のフレームが、フィンガープリントされる装置に送信され、そして、ベンダ／製造業者をフィンガープリントするために、その装置の応答又は振る舞いに対して、ディシジョンツリー（decision  tree）が適用される。この技術の欠点は、パッシブではなく、アクティブであることである（例えば、非特許文献４参照）。
【００１３】
Cache氏は、装置のネットワークカード及びドライバに対して二つの方法を提案している。
【００１４】
第１の方法は、アクティブであり、８０２．１１のアソシエーションリダイレクションメカニズムを用いている。これは、８０２．１１において、十分に規定されているが、テストされたワイヤレスカードにおいて、粗くインプリメントされている。このため、各ワイヤレスカードは、特徴を取るフェーズの間に異なる振る舞いを見せる。第２の方法は、パッシブであり、８０２．１１データの継続時間フィールド（duration  field）値、及び管理フレーム（management  frames）の分析に基づいている。各ワイヤレスカードは、継続フィールド（duration  field）を僅かに異なるように計算し、異なる継続値（duration  value）を得る（例えば、非特許文献５参照）。
【００１５】
上述の全てのアプローチに共通することは、いずれも、同じネットワークカード及びドライバを使っている二つの装置を区別できない。これらのアプローチは、例えば、MACアドレススプーフィングには用いることができず、しかも、複数の装置を識別することには弱い面がある（less  order）。
【００１６】
上述の論文と比較して、Pang他は、８０２．１１のプライバシーの面について検討している。彼らの論文は、ユーザは、８０２．１１を使うときにアノニマスではないことを強調している。その理由は、このプロトコルは、ユーザをトラッキングすることができるグローバルにユニークな識別子（すなわち、MACアドレス）を使用しているからだとしている。この識別子が（例えば、一時的にアドレスが変化することによって）マスクされても、８０２．１１プロトコルの（暗黙的な識別子として用いられている）パラメータ集合を調べることによって、ユーザをトラッキングすることが依然として可能であるとしている。この著者は、４つの暗黙的な識別子（すなわち、ネットワークデスティネーション、８０２．１１プローブでアドバタイズされたネットワーク名、８０２．１１コンフィグレーションオプション、及びブロードキャストフレームサイズ）に純粋（naive）なベイズ分類器を適用している。この４つのパラメータのうち３つは、トラフィックが暗号化されても適用される。混雑しているホットスポットテストトレースを用いて、彼らは、９０％の確度で、６４％のユーザを識別することができた（例えば、非特許文献１１参照）。
【００１７】
他の先行技術文献は、ワイヤレスアクセスポイント（AP）のフィンガープリンティングを扱っている。Jana他は、アクセスポイントのクロックスキューを計算し、それらを識別している。このクロックスキューは、ＡＰによって送信されるビーコン／プローブ応答フレームに含まれるタイムスタンプを用いて計算される。このクロックスキューをリプレイするアタッカは、８０２．１１プロトコルタイマに影響される。例えば、ＤＩＦＳ（Distributed  coordination  function  Interframe  Space）が挙げられ、これは、ベーコンが送信される実際の時刻を変化させる。これらのタイマは、（アタックがインプリメントされる）ドライバレベルではアクセスできないため、タイムスタンプと受信の時刻は対応しない。このことは、計測されたクロックスキューを変化させることになる。彼らの提案した方法は、これらの差を計測し、そして、これによってアタックを検出するのである。
【００１８】
C.  Arackaparambil他は、Jana他の研究成果をさらに改善し、より正確なクロック計測値を得る新たな方法を提案している。彼らは、ＡＰのスプーフを成功させており、Jana他により用いられた方法によって、本物のＡＰと見分けがつかないようにさせた。彼らの方法は、ワイヤレスカードは、アタッチされたＡＰと自動的に同期するという事実を用いている（このことによって、ワイヤレスカードは、ＡＰと同じクロックスキューを持つことになる）。このことは、アタックの前にＡＰに関連付ける（associate）ことにより、ＡＰをスプーフすることがより容易になる（例えば、非特許文献６参照、非特許文献７参照）。
【００１９】
Jana他及びArackaparambil他の方法は、しかしながら、アクセスポイントに対してのみ適用できる。なぜなら、これらの方法は、８０２．１１ビーコンフレームに含まれるタイムスタンプを必要とし、このフレームは、アクセスポイントのみから送信され、クライアントステーションによっては送信されないからである。
【００２０】
最後に、２つの論文が、MACアドレススプーフィングに挑戦している。しかしながら、フィンガープリンティングには、関連していない。２つの論文は、８０２．１１フレームシーケンスナンバの不連続を検出することで、潜在的なアドレススプーフィングを検出する（例えば、非特許文献８、非特許文献９参照）。
【先行技術文献】
【非特許文献】
【００２１】
【非特許文献１】J.  Franklin,  D.  McCoy,  P.  Tabriz,  V.  Neagoe,  J.  V.  Randwyk,  and  D.  Sicker;  "Passive  Data  Link  Layer  802.11  Wireless  Device  Driver  Fingerprinting";  In  Proceedings  Usenix  Security  06,  August  2006.
【非特許文献２】D.  C.  C.  Loh,  C.  Y.  Cho,  C  P.  Tan  and  R.  S.  Lee,  "Identifying  Unique  Devices  through  Wireless  Fingerprinting",  In  WiSec'08,  April  2008
【非特許文献３】Gaopinath,  P.  Bhagwat,  and  K.  Gopinath;  "An  Empirical  Analysis  of  Heterogeneity  in  IEEE  802.11  MAC  Protocol  Implementations  and  Its  Implications";  In  Proceedings  of  ACM  WiNTECH'06,  September  2006
【非特許文献４】S.  Bratus,  C.  Cornelius,  D.  Kotz,  and  D.  Peebles;  "Active  Behavioral  Fingerprinting  of  Wireless  Devices";  In  Proceedings  of  ACM  WiSec'08,  March  2008
【非特許文献５】J.  Cache;  "Fingerprinting  802.11  Devices";  Master  Thesis,  2006
【非特許文献６】S.  Jana  and  S.  K.  Kasera;  "On  Fast  and  Accurate  Detection  of  Unauthorized  Wireless  Access  Points  Using  Clock  Skews;"  In  Proceedings  of  ACM  MobiCom  08,  September  2008
【非特許文献７】Arackaparambil,  S.  Bratus,  A.  Shubina,  and  D.  Kotz;  "On  the  Reliability  of  Wireless  Fingerprinting  Using  Clock  Skews";  In  Proceedings  of  ACM  WiSec  10,  March  2010
【非特許文献８】J.  Wright,  "Detecting  Wireless  LAN  MAC  Address  Spoofing";  Technical  Report,  2003
【非特許文献９】F.  Gua  and  T.  Chiueh,  "Sequence  Number-Based  MAC  Address  Spoof  Detection;  In  Proceedings  of  RAID  2005
【非特許文献１０】G.  Berger-Sabbatel,  Y.  Grunenberger,  M.  Heusse,  F.  Rousseau,  and  A.  Duda,  "Interarrival  Histograms:  A  Method  for  Measuring  Transmission  Delays  in  802.11  WLANs",  Research  report,  LIG  Lab,  Grenoble,  France,  Oct  2007
【非特許文献１１】J.  Pang,  B.  Greenstein,  R.  Gummadi,  S.  Seshan,  and  D.  Wetherall,  "802.11  User  Fingerprinting",  In  Proceedings  of  ACM  MobiCom'07,  September  2007
【非特許文献１２】J.  Wright,  "Detecting  Wireless  LAN  MAC  Address  Spoofing",  Technical  Report,  2003
【発明の概要】
【発明が解決しようとする課題】
【００２２】
したがって、パッシブでのフィンガープリンティング及び個々のワイヤレス装置の識別のニーズが存在する。本発明は、この解決策を提供する。
【課題を解決するための手段】
【００２３】
本発明の好適な特徴を、非限定的な実施例によって、図面を参照しながら以下に記載する。
【００２４】
［発明の概要］
第１の側面では、本発明は、チャネルのフレームによってデータを転送する少なくとも１つのワイヤレス装置をフィンガープリンティングする方法であって、フレームは、前記チャネルで順次転送される。前記チャネルをリスニングしている装置は、前のフレームを受け継いだ現在フレームを受信し、前記前のフレームの最後の受信から前記現在フレームの最後の受信までの到着時間差（inter-arrival  time）を計測し、もし可能であれば、前記現在フレームを送信した前記ワイヤレス装置の識別を取得し、前記識別が取得された場合、前記ワイヤレス装置のフィンガープリントを生成するために、前記到着時間差を、前記取得された識別に対応する前記ワイヤレス装置の到着時間差の集合に保存する。
【００２５】
第１の好適な実施例において、前記装置は、前記到着時間差の集合をヒストグラムとして配列し、前記ヒストグラムは、前記ワイヤレス装置のフィンガープリントを構成する。前記ヒストグラムを、パーセンテージ頻度分布として表すことは、有利である。前記ヒストグラムは、前記チャネル上の通信のために用いられる標準によって定義された特定の時間に対応するビンを有することは、同様に有利である。前記標準は、好適にはＩＥＥＥ８０２．１１であり、特にＩＥＥＥ８０２．１１ｇであり、第１のビンは、ショートインターフレームスペース（ＳＩＦＳ）に対応し、第２のビンは、ディストリビュートコーディネーションファンクションインターフレームスペース（ＤＩＦＳ）からＳＩＦＳを差し引いたものに対応し、かつ、少なくとも第３及び第４のビンは、それぞれタイムスロット（ａＳｌｏｔＴｉｍｅ）の長さに対応する。
【００２６】
第２の好適な実施例において、前記取得されたフィンガープリントを、保存されたフィンガープリンティングと比較し、前記ワイヤレス装置を、保存されたフィンガープリントと、前記取得されたフィンガープリントが最も似ている装置であると識別する。似ていることは、類似尺度を用いて判断されることは有利である。
【００２７】
第２の側面において、本発明は、チャネルのフレームによってデータを転送する少なくとも１つのワイヤレス装置をフィンガープリンティングするための装置であって、フレームは、前記チャネルで順次転送される。当該装置は、前記チャネルをリスニングする手段と；前のフレームを受け継いだ現在フレームを受信する手段と；前記前のフレームの最後の受信から前記現在フレームの最後の受信までの到着時間差を計測する手段と；もし可能であれば、前記現在フレームを送信した前記ワイヤレス装置の識別を取得する手段と；前記識別が取得された場合、前記ワイヤレス装置のフィンガープリントを生成するために、前記到着時間差を、前記取得された識別に対応する前記ワイヤレス装置の到着時間差の集合に保存する手段と；を有する。
【００２８】
第１の好適な実施例では、前記到着時間差の集合をヒストグラムとして配列する手段であって、前記ヒストグラムは、前記ワイヤレス装置のフィンガープリントを構成する、手段、を更に有する。前記配列する手段は、前記ヒストグラムを、パーセンテージ頻度分布として表すことは有利である。
【００２９】
第２の好適な実施例では、前記装置は、前記取得されたフィンガープリントを、保存されたフィンガープリンティングと比較する手段と；前記ワイヤレス装置を、保存されたフィンガープリントと、前記取得されたフィンガープリントが最も似ている装置であると識別する手段と；を有する。
【図面の簡単な説明】
【００３０】
【図１】本発明が用いられる例示的なワイヤレスネットワークを示す図である。
【図２】好適な本発明の実施例における例示的なモニタリングステーションを示す図である。
【図３】好適な本発明の実施例におけるネットワークトラフィックモニタリングの例を示す図である。
【図４】好適な本発明の実施例におけるフィンガープリンティング方法のフローチャートを示す図である。
【図５】好適な本発明の実施例によって生成される例示的なフィンガープリントを示す図である。
【発明を実施するための形態】
【００３１】
［実施例の説明］
図１は、本発明が用いられ得る例示的なワイヤレスネットワーク１００を示している。ワイヤレスネットワーク１００は、アクセスポイント（ＡＰ）１１０、及び複数のクライアント装置１２０Ａ−Ｄ（これらは、総合的に１２０として参照される）。ＡＰ１１０は、クライアント装置１２０と通信し、かつ、例えばこれらにインターネットアクセスを提供するよう構成されている
本発明の特色としてのアイディアは、ネットワークトラフィックをモニタし、各送信ワイヤレス装置によって送信されたフレームに対するフレーム到着時間差を計測することである。モニタリングステーションによって（ＡＰ１００又はクライアント装置１２０がこれになり得る）、この取得された（すなわち、受信された）ワイヤレストレースは、フレームのシーケンスｐ０，．．．ｐｎを与える。フレームｐｉの受信の時刻は、ｔｉであり（０≦ｉ≦ｎ）、フレームは、受信時刻に従って、増加的に順番が与えられる、すなわち、
【数１】
0006019033.tif 000002
である。
【００３２】
フレームｐｉは、送信装置（sender）ｓｉによって送られ、送信装置は、送信装置のアドレス又は送信アドレス（例えばＡＣＫフレーム及び送信許可フレーム；後者の場合ｓｉ＝ｎｕｌｌ）が含まれていないフレームタイプであり、フレームに対して送信装置は知ることができないとする。各フレームｐｉに対して、インターバルＴｉ＝ｔｉ−ｔｉ−１が計測される。これはすなわち、フレームｐｉ−１の受信の最後の時刻と、後続するフレームｐｉの受信の最後の時刻との差である。計測されたインターバルＴｉは、送信装置ｓｉに対する集合Ｉ（ｓｉ）に加えられる。ここで、Ｉ（ｓｉ）は、送信装置ｓｉの到着時間差の集合を意味する。｜Ｉ（ｓｉ）｜は、装置ｓｉに対して観測された数である。
【００３３】
このトレースを収集するために、モニタリングステーションは、通常の８０２．１１ワイヤレスカードを持っていればよい。このカードは、８０２．１１のモニタリングモードにおいて計測対象のチャネルをリスニングする。本発明の方法は、完全にパッシブである。追加的なトラフィックは生成されない点に留意すべきである。例えば、ｐｃａｐライブラリ（ＴＣＰＤｕｎｐ及びＬｉｂｐｃａｐ；http://tcpdump.org参照）を用いることによってトレースの収集を行うことができる。このように、モニタリングの設定に対する要求は非常に少ない。
【００３４】
図２は、本発明の好適な実施例に基づいた、例示的なモニタリングステーションを示している。モニタリングステーション２００は、ワイヤレスインタフェース２１０、例えば、既に述べた８０２．１１ワイヤレスカードと、少なくとも１つのプロセッサ２２０（以下、「プロセッサ」と言う）と、メモリ２３０とを有する。このワイヤレスインタフェース２１０は、ワイヤレストラフィックをモニタするように適合している。プロセッサ２２０は、モニタされたトラフィックを分析するように適合している。この分析は、後述するように、フレームの到着時間差及び送信装置を検出することによって行われる。そして、メモリ２３０は、例えば装置フィンガープリント等のデータを保存するようになっている。プロセッサ２２０は、送信装置を特定するために受信されたトラフィックを比較するように更に適合している。本発明を理解するのに必要な特徴のみが詳細に記載されている。モニタリングステーション２００は、内部的な接続と、必要に応じて、例えば、更なる通信（有線の）インタフェースと、ユーザインタフェースとを有する。
【００３５】
図３は、本発明の好適な実施例に従って、ネットワークトラフィックモニタリングの例を示している。この４つの装置１２０は、このネットワーク１００に、モニタリング装置２００によって、既に参加していることが分かる。図３において、伝搬時間は無視されている。これは、ネットワークの距離が短い場合においては、ゼロに近いからである。したがって、フレームは、送信された時に正確に到着しているように描かれている。通常、所定の時刻に（すなわち、その装置が使用しているチャネルにおいて）１つのフレームが送信される（或いは、全くフレームが送られない）。
【００３６】
まず、装置Ａ（１２０Ａ）が、時刻ｔ１までデータフレームを送信する。しかしながら、モニタリング装置２００は、以前のフレームを収集していないため、到着時間差を計算することができない。その後、装置Ｂ（１２０Ｂ）は、応答確認（ＡＣＫ）を送信する。このＡＣＫは、時刻ｔ２で終了する。このモニタリング装置２００は、到着時間差Ｔ２を計算することができる。しかしながら、送信装置を特定することはできない。このため、ｓ２は設定されておらず（すなわち、ｎｕｌｌ）、かつ到着時間差は、無視される。
【００３７】
装置Ａ（１２０Ａ）は、その後、他のデータのフレームを送り、ｔ３で終了する。モニタリング装置２００は、到着時間差Ｔ３＝ｔ３−ｔ２及びｓ３＝Ａを設定する。同様に、装置Ｃ（１２０Ｃ）は、送信要求（ＲＴＳ：request  to  send）を送信する。これは、計算Ｔ４＝ｔ４−ｔ３及びｓ４＝Ｃを可能とする。そして、装置Ｄ（１２０Ｄ）は、データフレームを送信し、計算Ｔ５＝ｔ５−ｔ４及びｓ５＝Ｄを可能とする。
【００３８】
この時点で、Ｉ（Ａ）＝｛Ｔ３｝、Ｉ（Ｂ）＝ｎｕｌｌ、Ｉ（Ｃ）＝｛Ｔ４｝、及びＩ（Ｄ）＝｛Ｔ５｝である。通常、より多くの収集されたフレームが存在する。しかしながら、数は、明確化のために少なく維持される。これらの集合Ｉ（ｓｉ）は、実際には対応する装置のフィンガープリントである（留意しなければならないことは、この集合は、通常より多くの観測を含んでいることである）。しかしながら、このフィンガープリントは、可視化するのがより容易であり、しかもヒストグラムで表現した場合に比較が容易である。以下に更に詳述する。
【００３９】
このモニタリングステーション２００は、各送信装置に対して、到着時間差ヒストグラムを生成する。各ヒストグラムは、ビンｂ０，．．．，ｂｋを含む。ここで、各ビンは、到着時刻の時間間隔に対応する。ビンｂｊの観測数は、ｍｊ（ここで０≦ｊ≦ｋ）として表される。このヒストグラムは、頻度分布の割合に変換できる。ビンｂｊの頻度の割合は、Ｐｊ＝ｍｊ／｜Ｉ（ｓ）｜となる。ワイヤレス装置Ｓのシグネチャは、
【数２】
0006019033.tif 000003
そのチャネルにおいて、２つの装置が同時にフレームを送信するというリスクがある点に留意すべきである。これによって、フレームは壊れてしまう。この場合には、標準で定義されたＣＳＭＡ／ＣＡ（Carrier  sense  multiple  access  with  collision  avoidance）のメカニズムが、送信装置をバックオフさせ、送信を後に行わせる。破壊されたフレームをモニタリングステーション２００がどのように扱うかに関しては、少なくとも２つの実施例がある。第１の実施例においては、後続するフレーム到着時間差を計算するときに、破壊されたフレームの受信の終了から計測を実行することである。変形例においては、破壊されたフレームに対する到着時間差自体を無視することである。なお、別の実施例では、識別を得ることができる場合には、この到着時間差は、各送信装置に対してカウントされる。第２の実施例においては、単純に破壊されたフレームを無視し、一番新しい「正しい」（すなわち、破壊されていない）フレームを、次の「正しい」フレームに対する直前のフレームとして認識する。
【００４０】
図４は、上述のフィンガープリンティング方法を要約したフローチャートである。モニタリングステーション２００は、まず、チャネルをリスニングすること（４１０）から開始する。モニタリングステーションがフレームを受信すると（４２０）、前のフレームの受信の終わりから、現在フレームの受信の終わりまでの到着時間差を計算する（４３０）。もし可能であれば、モニタリングシステムは、そのフレームの送信装置の識別も取得する（４４０）。この識別が取得された場合、その送信装置のヒストグラムに、その到着時間差が保存される（４５０）。この処理は、適切である限り繰り返される。このフィンガープリンティングは、都合よく継続できる。しかしながら、時間的に限度があり得る。例えば、所定の時間、又は所定の数の受信されたフレーム数である。これは、チャネル全体又は、特定の送信装置に対して適用し得る。
【００４１】
このヒストグラムのビンは、関連する通信プロトコルによって定義された、あるインターバルによって、望ましくは整列される。例えば、図３に示す例のヒストグラムのビンは、好適には、８０２．１１標準によって定義された時間間隔に対応する。これは、送信する前に、送信ステーションは、所定の時間、それがアイドルであることを確認するように、通信チャネルをリスニングすることを要求される。送信ステーションは、この時間の間は、いかなるフレームも送信しない。上述のように、ＤＩＦＳ以外に、８０２．１１は、タイムインターバルＳＩＦＳ（Short  Interframe  Space）を定義しており、各タイムスロットの長さを設定している。正確な値は、８０２．１１のバリアントに依存する。すなわち、ＩＥＥＥ標準８０２．１１（登録商標）−２００７（以下「８０２．１１ｇ」と言う）では、ＳＩＦＳ＝１０ｐｓ、ＤＩＦＳ＝２８ｐｓ、そしてタイムスロットサイズａＳｌｏｔＴｉｍｅ＝９ｐｓである。ＳＩＦＳは最も短いタイムインターバルであり、この間にチャネルは、アイドルとならなければならず、かつ、最も高い優先度の転送のために用いられ、又は、いわゆる仮想キャリアセンシングメカニズムを用いたチャネルをリザーブしたステーションに用いられる。ＤＩＦＳは、最も短いタイムインターバルであり、この間に、いわゆるランダムバックオフ手順を用いているステーションのためにそのチャネルはアイドルとならなければならない。しかしながら、発生することとしては、ＤＩＦＳプラス複数のａＳｌｏｔＴｉｍｅにおいて、ステーションがフレームを送信する。この時間を利用すると、ヒストグラムには、サイズがＳＩＦＳの第１のビンｂ０が得られる。第２のビンｂ１は、大きさがＤＩＦＳ−ＳＩＦＳであり、その後のビンｂ２，．．，ｂｋは、ａＳｌｏｔＴｉｍｅのサイズである。
【００４２】
図５は、例示的なヒストグラム５１０及び５２０を示している。ｘ軸にビンがプロットされ、ｙ軸に密度（density）すなわち、頻度の割合がプロットされている。一見すると、ヒストグラム５１０と５２０とは、かなり異なっていることが認識される。したがって、フィンガープリントも異なる。例えば、ヒストグラム５１０は２つの顕著なピークを持つ。これに対してヒストグラム５２０は、１つだけである。また、ｘ軸のスケールは同じである。しかしながら、ｙ軸は、上のヒストグラム５１０では、０から０．０５であり、下のヒストグラム５２０では、０から０．０１である。
【００４３】
当業者は、フレームの受信の終わりの計測は、２つの送信ステーションが共にアイドルである期間及び転送期間を計測することを認識するはずである。まず、転送期間について検討すると、送信装置は、いわゆるＰＬＣＰ（Physical  Layer  Convergence  Protocol）のプリアンブルとヘッダとを送信することによって、送信を開始する。この両者は、物理レイヤにおける同期のために用いられる。時間間隔及びサイズは、利用する転送レート、及び物理レイヤの特徴に依存する。これらは、ワイヤレスカード及びそのドライバによってある程度の依存がある。送信装置は、その後フレームのペイロードを送信する。この転送に要する時間は、転送レート及びペイロードのサイズに依存する。加えて、フレームタイプ、ワイヤレスカードの設定、及びフレームデータを生成するアプリケーションは、フレームのサイズに影響を与える。したがって、フレーム転送時間は、ワイヤレスカードの特徴、及びフレーム内のデータを生成するアプリケーションの２つのミックスに依存することとなる。この依存によって、このヒストグラムにおいて、非常に特徴的なパターン及びピークが生成されることとなる。
【００４４】
フレームの受信の開始において計測が行われた場合、単にアイドルタイムの計測となる。すなわち、送信装置が送信までに待つ時間である。この計測のみに基礎を置くシグネチャは、モニタリングされているワイヤレスステーションのサブセットを差別化することになる。ワイヤレスドライバ及びワイヤレスカードにおけるこの期間のインプリメンテーションの特異性は、ヒストグラムに対して影響を与える。したがって、アイドル期間の時間間隔は、主に、ワイヤレスカード及びそのドライバに依存することとなる。この計測を基にしたシグネチャは、同じワイヤレスカード及びドライバを用いる２つの装置を区別することができない。
【００４５】
到着時間差（inter-arrival  time）ヒストグラムは、Berger-Sabbatel他によっても利用されていた。しかしながら、彼らは、これらを８０２．１１のパフォーマンスの評価に用いており、フィンガープリンティングには用いていないのである。しかも、彼らの計測は、バックグラウンドのトラフィックが無いか、制御されたバックグラウンドトラフィックにおける、完全に制御された環境にのみ適用できるのである（例えば、非特許文献１０参照）。
【００４６】
以上の記載においては、装置のためのフィンガープリントの生成に焦点を当てた。この生成は、ラーニングフェーズ（learning  phase）とも呼ばれる。この期間において、フィンガープリントが参照データベースに蓄積される。モニタリング装置２００は、生成されたシグネチャを蓄積する。すなわち、メモリ２３０にある参照データベースに蓄積される。これによって、知り得るワイヤレス装置ｒｅｆｉの全てのヒストグラムＳｉｇ（ｒｅｆｉ）を取得することができる。参照データベースは、１つ以上のトレーニングデータセットから生成される。これらは、全てのワイヤレストレース又はそのサブセットであってもよい。トレースによって見つかる各ソースアドレスに対して、ヒストグラムが計算される。当業者であれば、アタッカは、トレーニングデータベースを汚染（pollute）することができると考えるであろう。このようなケースの場合には、フィンガープリントが破壊され得る。
【００４７】
これらのフィンガープリントは、通常は、次の検出フェーズにおいて用いられる。この間、モニタリング装置は、参照データベースにあるフィンガープリントと、その装置とを比較する。当業者であれば、「未知」とは、単に、参照データベースにおける未知の装置のフィンガープリントを意味することを理解するであろう。しかしながら、モニタリング装置は、既に未知の装置を特定しているのである。この未知の装置は、純粋に完全に未知であり、モニタリング装置が以前に出会っていない装置である。
【００４８】
検出フェーズにおいて、確認データセット（validation  dataset）と呼ばれる、更なるワイヤレストレースが分析される。これによって、このトレースに出現している、全ての装置（候補装置）に対して、シグネチャＳｉｇ（ｃａｎｄｉ）が分析される。候補装置のシグネチャは、参照データベースのシグネチャと比較される。この比較は、後述する少なくとも１つの類似尺度を使って実行される。これによって、各候補装置に対して、類似度のベクトル＜ｓｉｍ１，ｓｉｍ２，．．．，ｓｉｍＮ＞が得られる。ここでｓｉｍｉは、装置ｒｅｆｉの参照シグネチャと未知の装置のシグネチャＳｉｇ（ｃａｎｄｉ）の類似度である。
【００４９】
各候補装置に対して、以下の２つの興味ある問題を解決することになる。すなわち、近さ（proximity）及び識別（identification）である。
【００５０】
この近さのテストは、候補装置を正確に識別することを試みるものではない。むしろ、そのフィンガプリントアルゴリズムが、参照装置の識別の集合を返す。近さｓｉｍｉが、閾値ＴＶよりも小さい装置である。これは、２つの正確さ尺度（accuracy  metrics）を用いて、方法のファインチューニングを行うものである。これらは、ＴＰＲ（真陽性率：true  positive  rate）とＦＰＲ（偽陽性率：false  positive  rate）である。ＴＰＲは、返された集合が候補装置の実際の識別を含む参照データベースに知られている候補ワイヤレス装置の比率である。ＦＰＲは、アルゴリズムが返す空でない識別の集合に対する参照データベースに知られていない候補ワイヤレス装置の比率である。
【００５１】
この識別テストは、近さテストが、参照装置の識別の集合を返すことを仮定し、かつ、識別の候補がこの集合に入っていることを仮定している。上述のテストによって返された類似度のベクトルに基づいて、最も類似度の高い参照装置を抽出することができる。このテストの、適切な正確度の尺度は、検出比（detection  ratio）という。これは、正しく識別されたワイヤレス装置の比率である。
【００５２】
もちろん、異なる類似尺度が用いられてもよい。３つの類似尺度について後述する。
【００５３】
【数３】
0006019033.tif 000004
は、装置ｒｅｆの参照シグネチャを意味する。そして、
【数４】
0006019033.tif 000005
は、装置ｃａｎｄの候補シグネチャを意味する。
【００５４】
第１の類似尺度は、Ｌ１距離（L1-distance）に基づく、標準のＬ１類似度（L1-Similarity）である。
【００５５】
【数５】
0006019033.tif 000006
もし2つのシグネチャが同一であれば、この値は１と等しい。これに対して、2つのシグネチャが完全に反対である場合には、これは０に等しくなる。
【００５６】
これは、標準であり、非常に単純であるため、よく機能する。
【００５７】
次の類似尺度は、X２類似度である。これは、X２テストに基づいている。
【００５８】
【数６】
0006019033.tif 000007
再度、2つのシグネチャが同一である場合、値は１と等しくなる。しかしながら、第２の類似尺度は、０よりも小さくなる。すなわち、マイナスである。正確ではないが、これもよく機能する。特に、二乗があるため、この類似尺度は、小さな差があるときよりも、大きな差があるときにより重みがかかる。そして、Pｒｅｆ，ｊが小さいときは、差異に対して重要性を与える。
【００５９】
第３の類似尺度は、Jaccard類似度（Jaccard-similarity）である。これは、Jaccard距離に基づいている。
【００６０】
【数７】
0006019033.tif 000008
他の類似尺度と同様に、シグネチャが一致する場合、これは、１と等しくなる。もし、シグネチャが完全に反対であれば、値は０となる。
【００６１】
当業者であれば、Jaccard類似尺度は、幾つかのトレース分析シナリオにおいて、よい結果をもたらす（非特許文献１１、非特許文献１２参照）。
【００６２】
当業者であれば、本明細書に記載されたフィンガープリンティング方法は、様々な異なる応用に利用できることが分かるであろう。この方法は、家庭のネットワークでよく用いられるＭＡＣアドレスベースのアクセス制御を補完するために用いることができる。これは、不正なアクセスポイントを検出するためにも用いることができる。例えば、正式なアクセスポイントであることを目的とするアクセスポイントが挙げられる。他の例としては、装置の場所を特定し、トラッキングすることにも用いられ得る。
【００６３】
当業者であれば、フィンガープリンティング方法は、特別な装置無しにインプリメントすることができる。本方法は、普通のユーザ装置、例えばＰＣ、携帯電話、ホームネットワークのゲートウエイ等でインプリメントできる。
【００６４】
本発明は、ワイヤレス装置をフィンガープリンティングするために、パッシブな方法を提供することができる。特に、ＩＥＥＥ８０２．１１プロトコルをインプリメントする装置に容易に適用することができる。
【００６５】
明細書、請求項、図面に開示された各特徴は、単独で提供され得ると共に、適切に組み合わせて提供され得る。ハードウエアとしてインプリメントされるよう記載された特徴は、ソフトウエアでもインプリメントできる。その逆も同じである。請求項に記載された参照番号は、意味を示すためのものであり、請求項の範囲を限定するものではない。
【図１】
0006019033.tif 000009
【図２】
0006019033.tif 000010
【図３】
0006019033.tif 000011
【図４】
0006019033.tif 000012
【図５】
0006019033.tif 000013