(57)【特許請求の範囲】
【請求項１】
ルートノードと該ルートノードに対応付けられた情報との関係を記憶するテーブルと、
認証リレーを利用せずにネットワークアクセス認証が行われた第１の通信ノードがルートノードであるならば該ルートノードについて新たな情報を生成し、前記新たな情報を前記第１の通信ノードに通知し、認証リレーを利用してネットワークアクセス認証が行われた第２の通信ノードがルートノードでないならば当該第２の通信ノードのルートノードに対応付けられた情報を前記テーブルから読み出し、前記テーブルから読み出した情報を前記第２の通信ノードに通知する通知部と、
前記第２の通信ノードと前記第２の通信ノードのルートノードとの関係を記憶するリレーテーブルと
を具備し、
前記通知部は、前記リレーテーブルを参照することにより前記第２の通信ノードのルートノードを特定する情報通知装置。
【請求項２】
前記通知部は、前記ネットワークアクセス認証が認証リレーを利用して行われたか否かに基づいて前記第１の通信ノードおよび前記第２の通信ノードがルートノードであるか否かを判定する請求項１に記載の装置。
【請求項３】
前記通知部は、
第１のルートノードに該第１のルートノードの配下の複数の通信ノードで共通する第１の鍵情報を通知し、
第２のルートノードに該第２のルートノードの配下の複数の通信ノードで共通する第２の鍵情報を通知する、請求項１または２に記載の装置。
【請求項４】
通信ノードからの通知要求メッセージに応じて該通信ノードを前記リレーテーブルに追加することにより前記リレーテーブルの更新を行う手段をさらに具備する請求項１乃至請求項３のいずれか１項に記載の装置。
【請求項５】
ルートノードと該ルートノードに対応付けられた情報との関係をテーブルに記憶するステップと、
通知部が、認証リレーを利用せずにネットワークアクセス認証が行われた第１の通信ノードがルートノードであるならば該ルートノードについて新たな情報を生成し、前記新たな情報を前記第１の通信ノードに通知し、認証リレーを利用してネットワークアクセス認証が行われた第２の通信ノードがルートノードでないならば当該第２の通信ノードのルートノードに対応付けられた情報を前記テーブルから読み出し、前記テーブルから読み出した情報を前記第２の通信ノードに通知するステップと、
前記第２の通信ノードと前記第２の通信ノードのルートノードとの関係をリレーテーブルに記憶するステップと、
前記リレーテーブルを参照することにより前記第２の通信ノードのルートノードを特定するステップを含む情報通知方法。
【請求項６】
コンピュータを、
ルートノードと該ルートノードに対応付けられた情報との関係を記憶するテーブル、
認証リレーを利用せずにネットワークアクセス認証が行われた第１の通信ノードがルートノードであるならば該ルートノードについて新たな情報を生成し、前記新たな情報を前記第１の通信ノードに通知し、認証リレーを利用してネットワークアクセス認証が行われた第２の通信ノードがルートノードでないならば当該第２の通信ノードのルートノードに対応付けられた情報を前記テーブルから読み出し、前記テーブルから読み出した情報を前記第２の通信ノードに通知する通知部、
前記第２の通信ノードと前記第２の通信ノードのルートノードとの関係を記憶するリレーテーブル、
として機能させ、
前記通知部は、前記リレーテーブルを参照することにより前記第２の通信ノードのルートノードを特定するためのプログラム。
【請求項７】
ルートノードと、第１の通信ノードと、第２の通信ノードと、情報通知装置とを具備する情報通知システムであって、
前記情報通知装置は、
前記ルートノードと該ルートノードに対応付けられた情報との関係を記憶するテーブルと、
認証リレーを利用せずにネットワークアクセス認証が行われた前記第１の通信ノードがルートノードであるならば該ルートノードについて新たな情報を生成し、前記新たな情報を前記第１の通信ノードに通知し、認証リレーを利用してネットワークアクセス認証が行われた前記第２の通信ノードがルートノードでないならば当該第２の通信ノードのルートノードに対応付けられた情報を前記テーブルから読み出し、前記テーブルから読み出した情報を前記第２の通信ノードに通知する通知部と、
前記第２の通信ノードと前記第２の通信ノードのルートノードとの関係を記憶するリレーテーブルと
を具備し、
前記通知部は、前記リレーテーブルを参照することにより前記第２の通信ノードのルートノードを特定する、
情報通知システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、ネットワークアクセス認証を行った端末装置に対し情報を通知する情報通知装置、方法及びプログラムに関する。
【背景技術】
【０００２】
ネットワークアクセス認証において、ネットワーク側は正当な通信ノード（端末装置）のみをネットワークに接続させるために通信ノードの認証を行う。一方、通信ノード側は正当なネットワークにのみ接続するためにネットワークの認証を行う。ネットワークアクセス認証に成功した通信ノードに対し、ネットワークアクセス認証サーバから、アプリケーションが使用する暗号鍵やリンクレイヤで使用する暗号鍵等が配布される。
【０００３】
ＲＦＣ  ６３４５は、認証クライアントと認証サーバの間の認証処理を仲介する認証リレーの仕様を定めている。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】ＲＦＣ  ６３４５  Ｐｒｏｔｏｃｏｌ  ｆｏｒ  Ｃａｒｒｙｉｎｇ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  ｆｏｒ  Ｎｅｔｗｏｒｋ  Ａｃｃｅｓｓ  （ＰＡＮＡ）  Ｒｅｌａｙ  Ｅｌｅｍｅｎｔ  ｈｔｔｐ：／／ｔｏｏｌｓ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ６３４５．ｔｘｔ
【発明の概要】
【発明が解決しようとする課題】
【０００５】
認証サーバが認証クライアントに対して認証クライアントの接続形態に応じた情報を通知できるようにすることが望まれている。
【課題を解決するための手段】
【０００６】
実施形態によれば、ルートノードと該ルートノードに対応付けられた情報とを記憶するテーブルと、ネットワークアクセス認証が行われた通信ノードがルートノードであるならば該ルートノードについて新たな情報を生成し、前記通信ノードがルートノードでないならば前記通信ノードのルートノードに対応付けられた情報を前記テーブルから読み出し、前記新たな情報または前記テーブルから読み出した情報を前記通信ノードに通知する通知部と、を具備する情報通知装置が提供される。
【図面の簡単な説明】
【０００７】
【図１】実施形態１のネットワーク構成図
【図２】ネットワークアクセス認証の一形態を示すメッセージシーケンス
【図３】ネットワークアクセス認証の別の形態を示すメッセージシーケンス
【図４】認証完了メッセージを送信する処理手順を示すフローチャート
【図５】認証サーバの構成図
【図６】実施形態２における認証完了メッセージの送信処理手順を示すフローチャート
【図７】通知要求のメッセージシーケンス
【図８】通知確認メッセージ受信時の処理手順を示すフローチャート
【発明を実施するための形態】
【０００８】
以下、実施の形態について、図面を参照して説明する。
【０００９】
（実施形態１）
図１を用いて本発明の実施の概略を示す。ネットワーク１０７にはネットワークアクセス認証サーバ（以下「認証サーバ」という）１０１、通信ノード１０２、通信ノード１０３が接続している。通信ノード１０４は通信ノード１０２を介してネットワーク１０７に接続している。通信ノード１０５は通信ノード１０３を介してネットワーク１０７に接続している。通信ノード１０６は通信ノード１０５を介してネットワーク１０７に接続している。ネットワーク１０７には図１に示していない通信ノードも接続している。
【００１０】
これら通信ノードがネットワーク１０７に接続する際には、認証サーバ１０１と各通信ノードの間でネットワークアクセス認証処理が実施される。通信ノード１０２と通信ノード１０３は直接、認証サーバ１０１との間でネットワークアクセス認証を行う。通信ノード１０４は通信ノード１０２を介して認証サーバ１０１との間でネットワークアクセス認証を行う。通信ノード１０５は通信ノード１０３を介して認証サーバ１０１との間でネットワークアクセス認証を行う。通信ノード１０６は通信ノード１０５および通信ノード１０３を介して認証サーバ１０１との間でネットワークアクセス認証を行う。このように通信ノード１０４や通信ノード１０５、通信ノード１０６は直上の通信ノードを認証リレーとして利用し、認証サーバ１０１との間でネットワークアクセス認証処理を行う。
【００１１】
ネットワークアクセス認証に成功しない限り、通信ノードはネットワーク１０７に接続することはできない。
【００１２】
図２に、認証サーバ１０１と通信ノード１０２の間のネットワークアクセス認証処理のメッセージシーケンスを示す。はじめに通信ノード１０２が認証サーバ１０１に対して、認証開始メッセージ２０１を送信し、ネットワークアクセス認証処理を開始する。認証サーバ１０１は認証開始メッセージ２０１を受信すると、認証処理メッセージ２０２を通信ノード１０２に送信する。最後に、認証完了メッセージ２０３と認証完了メッセージ２０４をやりとして認証サーバ１０１と通信ノード１０２のネットワークアクセス認証処理が完了する。
【００１３】
このように、通信ノード１０２がネットワーク１０７に接続する際に、通信ノード１０２は認証クライアントとして動作する。これにより通信ノード１０２と認証サーバ１０１の間のネットワークアクセス認証処理が行われる。なお、ネットワークアクセス認証状態には有効期限があり、有効期限切れになる前に再認証処理を行うことがある。再認証処理の時も、通信ノード１０２は認証クライアントとして動作する。そのほか、通信ノード１０２が自身のセッションにかかわる通信をする場合には認証クライアントとして動作する。
【００１４】
通信ノード１０４が通信ノード１０２を介してネットワーク１０７に接続するためには、認証サーバ１０１と通信ノード１０４の間でネットワークアクセス認証処理を実施し、この認証に成功しなければならない。このとき、通信ノード１０２は認証リレーとして動作し、認証サーバ１０１と通信ノード１０４の間のメッセージを中継する。
【００１５】
図３に、認証サーバ１０１と通信ノード１０４の間のネットワークアクセス認証処理のメッセージシーケンスを示す。はじめに通信ノード１０４が通信ノード１０２に対して、認証開始メッセージ３０１を送信し、ネットワークアクセス認証処理を開始する。通信ノード１０２は受信した認証開始メッセージ３０１を含んだ認証リレーメッセージ３０２を生成し、認証サーバ１０１に送信する。認証サーバ１０１は認証リレーメッセージ３０２受信すると、この認証リレーメッセージ３０２から認証開始メッセージ３０１を取り出し、認証処理メッセージ３０４を含んだ認証リレーメッセージ３０３を通信ノード１０２に送信する。通信ノード１０２は認証リレーメッセージ３０３を受信すると、認証リレーメッセージ３０３から認証処理メッセージ３０４を取り出し、認証処理メッセージ３０４を通信ノード１０３に送信する。最後に、認証完了メッセージ３０６と認証完了メッセージ３０７をやりとして認証サーバ１０１と通信ノード１０４のネットワークアクセス認証処理が完了する。図３を参照して説明したように、通信ノード１０２は認証リレーとして動作する。すなわち、通信ノード１０２は、通信ノード１０４から認証サーバ１０１へのメッセージ（３０１、３０７等）を通信ノード１０４の代わりに認証サーバ１０１へ送信し、認証サーバ１０１から通信ノード１０４へのメッセージ（３０４、３０６等）を認証サーバ１０１の代わりに通信ノード１０４へ送信する。
【００１６】
認証サーバ１０１が通信ノード１０４に送信する認証完了メッセージは、通信ノードの接続形態に応じた情報が含まれる。ここで、通信ノード１０２と通信ノード１０３をそれぞれ「ルートノード」と呼び、各ルートノードを頂点とする接続形態ごとの共通鍵を認証完了メッセージで通知するということが考えられる。
【００１７】
例えば、通信ノード１０２はルートノードＡであり、通信ノード１０３はルートノードＢである。この場合、ルートノードＡを頂点とする接続形態Ａは通信ノード１０２および通信ノード１０４を含む。ルートノードＢを頂点とする接続形態Ｂは通信ノード１０３、通信ノード１０５、通信ノード１０６を含む。そして、通信ノード１０２および通信ノード１０４には、ルートノードＡを頂点とする接続形態Ａについて共通する共通鍵Ａが認証サーバ１０１から通知される。通信ノード１０３、通信ノード１０５、通信ノード１０６には、ルートノードＢを頂点とする接続形態Ｂについて共通する共通鍵Ｂが認証サーバ１０１から通知される。
【００１８】
なお、本実施形態では認証サーバ１０１が認証完了メッセージにより通信ノードに通知する情報として上記のような鍵情報を想定するが、通知情報は鍵情報のみに限定されない。たとえば機器の設定情報、アプリケーションサーバのアドレスなどさまざまな情報を通知情報とすることができる。
【００１９】
また、ルートノードはネットワーク１０７に直接接続している通信ノードでなくてもよい。例えば、通信ノード１０４や通信ノード１０５がルートノードでもよい。
【００２０】
図４に認証サーバ１０１の認証完了メッセージの送信処理フローを示す。通信ノードのネットワークアクセス認証が成功すると、当該認証の成功を示す認証完了メッセージの送信処理を開始する（Ｓ４０１）。まず、通信ノードがルートノードであるか否かを判定する（Ｓ４０２）。これは、通信ノードのネットワークアクセス認証処理が認証リレーメッセージを用いて行われたか否かに基づいて判定することができる。当該通信ノードの認証に認証リレーメッセージが用いられなかった場合には、当該通信ノードはルートノードである。逆に、当該通信ノードの認証に認証リレーメッセージが用いられた場合には、当該通信ノードはルートノードではない。事前にルートノードのアドレスが判明している場合は、通信ノードのアドレスから当該通信ノードがルートノードか否かを判定することができる。
【００２１】
通信ノードがルートノードである場合、通知すべき共有鍵を鍵テーブルから取得し（Ｓ４０３）、新しい鍵を生成し（Ｓ４０４）、この新しい鍵を鍵テーブルに登録し（Ｓ４０５）、鍵情報を含む認証完了メッセージを生成して通信ノードに送信する（Ｓ４０６）。なお、通知する鍵情報はセキュリティの観点から暗号化することが好ましい。この場合、認証サーバ１０１はネットワークアクセス認証の結果を用いて鍵情報を暗号化することが好ましい。
【００２２】
通信ノードがルートノードでない場合、リレーテーブルから通信ノードの接続形態上のルートノードを特定する（Ｓ４０７）。例えば、通信ノード１０４のルートノードは通信ノード１０２であり、通信ノード１０６のルートノードは通信ノード１０３である。そして、通信ノードとルートノードの対応関係をリレーテーブルに登録する（Ｓ４０８）。最後に、通信ノードに対応するルートノードの情報を基に、通信ノードに通知すべき鍵を鍵テーブルから取得する（Ｓ４０９）。
【００２３】
図５に認証サーバ１０１の構成図を示す。認証サーバ１０１はネットワークアクセス認証処理部５０１、リレーテーブル管理部５０２、リレーテーブル５０３、鍵テーブル管理部５０４、鍵テーブル５０５から構成される。図５では図示省略しているが、通信ノードとして動作するのに必要なＣＰＵ、メモリ、通信インタフェース等のハードウェアや、オペレーティングシステム、通信スタックソフトウェア等のソフトウェアも含まれる。
【００２４】
ネットワークアクセス認証処理部５０１は通信ノードから送信されたメッセージを受信し、ネットワークアクセス認証処理を行う。
【００２５】
リレーテーブル管理部５０２はリレーテーブル５０３を使って、受信した通信ノードとルートノードの対応関係を管理する。リレーテーブル５０３は表１のような情報を持つ。即ち、通信ノードの識別情報と当該通信ノードに対応するルートノードに相当する通信ノードの識別情報とがリレーテーブル５０３には格納される。表１中の通信ノードとルートノードの値として、各ノードのIPアドレスの使用が考えられる。また、リレーテーブルから通信ノードの接続形態上のルートノードを特定する（Ｓ４０７）際には、各ノードのIPアドレスの一部、たとえば、IPｖ６アドレスであれば下位64ビットを使って、リレーノードのアドレスと表１からルートノードを特定することが考えられる。
【表１】
0005944184.tif 000002
【００２６】
鍵テーブル管理部５０４は鍵テーブル５０５を使ってルートノードと鍵の対応関係を管理する。鍵テーブル５０５は表２のような情報を持つ。即ち、鍵の識別情報と当該鍵に対応するルートノードに相当する通信ノードの識別情報とが鍵テーブル５０５には格納される。なお、鍵テーブル５０５には鍵情報に対応する鍵の値およびその有効期限についても格納される。
【表２】
0005944184.tif 000003
【００２７】
以上で説明した実施形態は、当業者であれば、ネットワークアクセス認証プロトコルがＲＦＣ５１９１（ＰＡＮＡ）に準拠し、認証リレーの動作がＲＦＣ６３４５に準拠する実施形態とすることができる。なお、適用するプロトコルや通信方式はこれらに限定されない。これは、後述する実施形態２以降においても同様である。
【００２８】
以上で説明した実施形態によれば、認証サーバが認証クライアントに対して認証クライアントの接続形態に応じた情報を通知することができる。
【００２９】
なお、ネットワークアクセス認証の（鍵情報）の有効期限が終了し、再認証の手続きを実行するときにも、本実施形態で説明した情報通知処理を実行してもよい。
【００３０】
（実施形態２）
実施形態２はルートノードを特定するためのアドレス範囲の情報が既知である場合に関する。情報通知を行う処理手順において、実施形態１の図４におけるＳ４０７とＳ４０８が実施形態２のものとは相違する。その他の処理は同じである。
【００３１】
実施形態２における認証サーバ１０１の認証完了メッセージ送信処理フローを図６に示す。実施形態２では、ルートノードとその配下の通信ノードが使用するアドレス範囲を管理するアドレステーブルを使って、リレーノードに対するルートノードを特定する（Ｓ６０１）。
【００３２】
例えば、表３に示すようにルートノードとその配下の通信ノードが使用するアドレス範囲が割り当てられた場合、リレーノードのアドレスが「２００１：ＤＢ８：２：１００：：／６４」ならば、そのリレーに対するルートノードは通信ノード１０３となる。
【表３】
0005944184.tif 000004
【００３３】
このように、通信ノードが使用するアドレスに対してなんらかのルールがあり、それを認証サーバ１０１が利用できる場合には、図６に示す処理フローで通信ノードに通知すべき情報を特定することができる。このような実施形態２は実施形態１のようなリレーテーブルを記憶／管理する必要がない。
【００３４】
（実施形態３）
実施形態３は、通信ノード１０４が図７に示すような通知要求メッセージ７０１を送信したときに、リレーテーブルの管理等を実施する。
【００３５】
通信ノード１０４が通知要求メッセージ７０１を通信ノード１０２に送信すると、通信ノード１０２が通知要求メッセージ７０１を含む認証リレーメッセージ７０２を認証サーバ１０１へ送信する。認証サーバ１０１は認証リレーメッセージ７０２から要求メッセージ７０１を抽出し、通知応答メッセージ７０４を含む認証リレーメッセージ７０３を通信ノード１０２に送信する。通信ノード１０２は認証リレーメッセージ７０３から通知応答メッセージ７０４を抽出し、通信ノード１０４に送信する。
【００３６】
通知確認メッセージ７０１を受信した認証サーバ１０１は図８に示す処理を行う。鍵を通知応答メッセージ７０４に含める点以外は図４に示した処理と同様である。
【００３７】
なお、通知確認メッセージ７０１の受信時において、鍵の生成や通知を行わずリレーテーブルの更新のみを実行してもよい。つまり、Ｓ４０３、Ｓ４０４、Ｓ４０５、Ｓ４０９、Ｓ８０２を実行せず、Ｓ４０７およびＳ４０８の処理（リレーテーブル更新）のみを行ってもよい。
【００３８】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【００３９】
１０１…認証サーバ；１０２〜１０６…通信ノード；１０７…ネットワーク；５０１…ネットワークアクセス認証処理部；５０２…リレーテーブル管理部；５０３…リレーテーブル；５０４…鍵テーブル管理部；５０５…鍵テーブル
【図１】
0005944184.tif 000005
【図２】
0005944184.tif 000006
【図３】
0005944184.tif 000007
【図４】
0005944184.tif 000008
【図５】
0005944184.tif 000009
【図６】
0005944184.tif 000010
【図７】
0005944184.tif 000011
【図８】
0005944184.tif 000012