(57)【要約】  １つ以上の要求サービスへのアクセスをサプリカントに提供することについて記載している。要求サービスについてアソシエーション要求および識別子を含む、認証要求が受信される。アソシエーション要求に基づきサプリカントと要求サービスとの間の関係が生成される。次に、要求サービスについてアソシエーション要求が満足され、認証要求により識別される要求サービスに基づき、認証サーバが決定される。最後に、サプリカントは要求サービスについて認証される。
2009520450.tif 000002
【特許請求の範囲】
【請求項１】
無線通信ネットワークにおいて認証装置によって提供される１つ以上の要求サービスへのアクセスをサプリカントに提供する方法であって、
要求サービスに対するアソシエーション要求および識別子とを含んだ認証要求を受信することと、
アソシエーション要求に基づきサプリカントと要求サービスとの間の関係を生成することと、
要求サービスについてアソシエーション要求を満足させることと、
認証要求により識別される要求サービスに基づき認証サーバを決定することと、
要求サービスについてサプリカントを認証することと、を含む方法。
【請求項２】
第２要求サービスについてサプリカントを認証する一方で、要求サービスについての認証を維持することさらに含む請求項１記載の方法。
【請求項３】
生成することは、
要求サービスに対応したサービス識別パラメータとサプリカントとの間のマップを生成することと、
サービス識別パラメータをセキュリティ・アソシエーションと関連づけることと、前記セキュリティ・アソシエーションは、セキュリティ・アソシエーション・インデックス（ＳＡＩ）番号、仮想ＬＡＮ識別子、およびＩＰアドレスのうちの１つ以上を含むことと、
各サプリカントの状態を維持することと、前記状態は、サービス識別パラメータとセキュリティ・アソシエーションとの間のアソシエーションであることと、をさらに含む請求項１記載の方法。
【請求項４】
ａ）キー識別フィールド、ｂ）サプリカントの媒体アクセス制御アドレス、およびｃ）各メッセージ中の追加のフィールド、のうちの１つを使用して要求サービスにメッセージを送るために、メッセージ中のセキュリティ・アソシエーションを指定することをさらに含む請求項１記載の方法。
【請求項５】
認証することは、
認証装置から、要求サービスを提供する認証サーバに認証要求を送信することと、
要求サービスについてのサプリカントの認証要求が成功したことの表示を認証サーバから受信することと、
認証サーバからキーとなる材料を受信することと、その結果、認証装置は、サプリカントが認証サーバに認証されているか否かを判断することと、をさらに含む請求項１記載の方法。
【請求項６】
無線通信ネットワークにおいて認証装置によって提供される１つ以上の要求サービスへのアクセスをサプリカントに提供する方法であって、
認証装置において、第１要求サービスに対応したアソシエーション要求をサプリカントから受信することと、
アソシエーション要求に基づきサプリカントと第１要求サービスとの間の関係を生成することと、
第１要求サービスについてアソシエーション要求を満足させることと、
第１認証要求を受信することと、
第１アソシエーション要求により識別される第１要求サービスに基づき認証サーバを決定することと、
第１要求サービスについてのサプリカントと認証装置との間のセキュリティ・アソシエーションを生成することによって、第１要求サービスについてサプリカントを認証することと、
第２要求サービスに対応した第２認証要求を受信することと、
第２認証要求により識別される第２要求サービスに基づき第２認証サーバを決定することと、
第２要求サービスについてサプリカントを認証する一方で、第１要求サービスについてのサプリカントと認証装置との間のセキュリティ・アソシエーションを維持することと、を含む方法。
【請求項７】
生成することは、
要求サービスに対応したサービス識別パラメータとサプリカントとの間のマップを生成することと、
サービス識別パラメータをセキュリティ・アソシエーションと関連づけることと、前記セキュリティ・アソシエーションは、セキュリティ・アソシエーション・インデックス（ＳＡＩ）番号、仮想ＬＡＮ識別子、およびＩＰアドレスのうちの１つ以上を含むことと、
各サプリカントの状態を維持することと、前記状態は、サービス識別パラメータとセキュリティ・アソシエーションとの間のアソシエーションであることと、をさらに含む請求項６記載の方法。
【請求項８】
ａ）キー識別フィールド、ｂ）サプリカントの媒体アクセス制御アドレス、およびｃ）各メッセージ中の追加のフィールド、のうちの１つを使用して要求サービスにメッセージを送るために、メッセージ中のセキュリティ・アソシエーションを指定することをさらに含む請求項６記載の方法。
【請求項９】
認証することは、
認証装置から、要求サービスを提供する認証サーバに認証要求を送信することと、
要求サービスについてのサプリカントの認証要求が成功したことの表示を認証サーバから受信することと、
認証サーバからキーとなる材料を受信することと、その結果、認証装置は、サプリカントが認証サーバに認証されているか否かを判断することと、をさらに含む請求項６記載の方法。
【請求項１０】
無線通信ネットワークにおいて認証装置によって提供される１つ以上の要求サービスへのアクセスをサプリカントに提供する方法であって、
認証装置において、第２要求サービスに対応したアソシエーション要求をサプリカントから受信することと、サプリカントは第１要求サービスについて認証されていることと、認証装置は、第１要求サービスについてのサプリカントと認証装置との間のセキュリティ・アソシエーションを生成することと、
アソシエーション要求に基づきサプリカントと第２要求サービスとの間の関係を生成することと、
第２要求サービスについてアソシエーション要求を満足させることと、
認証要求を受信することと、
アソシエーション要求により識別される第２要求サービスに基づき認証サーバを決定することと、
第２要求サービスについてサプリカントを認証する一方で、第１要求サービスについてのサプリカントと認証装置との間のセキュリティ・アソシエーションを維持することと、を含む方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は無線通信ネットワークに関する。詳細には、本発明は無線通信ネットワークにおける複数のサービスについての認証を提供することに関する。
【背景技術】
【０００２】
無線ローカル・エリア・ネットワーク（ＷＬＡＮ）産業には、サプリカントと認証サーバ（ＡＳ）との間の相互認証を可能とする、充分に確立された方法が存在する。認証に使用される認証方法のうちの幾つかはサプリカントにも適しており、その場合、サプリカントはＡＳサーバへのアクセスなしで相互に認証することも可能であり、認証・認可・アカウンティング（ＡＡＡ）サーバの使用を介して認証することも可能である。しかしながら、そのような方法では、認証を行なうには余分なエンティティ（すなわちＡＡＡサーバ）が必要である。認証のための別の方法は、トランスポート層セキュリティ（ＴＬＳ）と呼ばれ、公開鍵暗号生成法およびデジタル証明書の使用に依るものである。公開鍵暗号生成法およびデジタル証明書に依存することは、厄介で非効率的である。別の方法は、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｅｌｅｃｔｒｉｃａｌ  ａｎｄ  Ｅｌｅｃｔｒｏｎｉｃｓ  Ｅｎｇｉｎｅｅｒｓ）８０２．１ｘによって提案されるものである。この方法では、サプリカントとＡＳとの間に１つの関係しか許可されないので、認証のためのポート・アクセス・エンティティ（ＰＡＥ）が必要である。この方法は、独立したシステムまたはサービスへのアクセスをサポートする単一のアドホック・ネットワークを使用することに関連した問題には対処しておらず、そのため充分なものでない。したがって、これらの欠点に対処する要求サービスへのアクセスをサプリカントに提供する必要が存在する。
【発明を実施するための最良の形態】
【０００３】
本発明は、要求されるサービスへのアクセスをサプリカントに提供することに関する。本発明の一実施形態では、どのサービスがサプリカントに対し認証されるのかを追跡記録するための認証装置およびポート・アクセス・エンティティ（ＰＡＥ）の機能が拡張される。また、本発明では、認証サーバから離れているときにノードが互いに認証および通信を行うためのアーキテクチャを提供する。一実施形態では、２つのノード間の通信は、ノードの認証を提供するトランスポート層セキュリティ（ＴＬＳ）プロトコルを使用して行われる。
【０００４】
本発明の一実施形態では、ノードが別のノードを通じて認証サーバにより認証を受けることが可能となる。そのような実施形態では、各ノードは、サプリカント、認証装置、および認証サーバとして機能する。当業者には理解されるように、認証装置は認証サーバの補助なしに単独で認証を行なうことができないので、各ノードにおいてサプリカントと認証サーバとの間の認証をサポートおよび強化するために、認証サーバが提供される。これに加えて、アドホック・ネットワークは認可された認証サーバを有しなくてもよいことがあり、このため、要求サービスへのアクセスを与えるノード内の位置認証サーバは、サービスへのアクセスを求めるノード用の認証サーバとして作用することができる。認証装置は、サプリカントに対して認証されているサービスの追跡記録を続けることができ、要求サービスに対応したＰＡＥポートを開くことができる。
【０００５】
当業者には、サプリカントが利用可能な幾つかのサービスが存在し、そのようなサービスが一般に「サービス・セット」と呼ばれていることが理解される。さらに、そのようなサービスへのアクセスを提供する各認証装置は、サプリカントが認証を受けるサービスを追跡記録することができる。サプリカントは、要求サービスに対して認証されると、認証装置に対し要求サービスに対応したメッセージのルーティングを行うことができる。
【０００６】
図１には、本発明の一実施形態による無線通信ネットワークのブロック図を示す。この無線通信ネットワークは、ノード１３０，１５５，１７５を含む。当業者に知られているように、ノード（たとえば、ノード１３０）は、たとえばラップトップ・コンピュータ、携帯電話機、または携帯情報端末である。各ノード（たとえば、ノード１３０）は、認証サーバ、認証装置、およびサプリカントを備える。たとえば、ノード１３０は、認証サーバ１２０、認証装置１２５、およびサプリカント１３５（これらの用語は当業者には理解される）を備える。一実施形態では、用語「認証サーバ」、「認証装置（ａｕｔｈｅｎｔｉｃａｔｏｒ）」、および「サプリカント」は、ＩＥＥＥ８０２に定義されている。一実施形態では、各ノード１３０，１５５，１７５における認証サーバ１２０，１４５，１７０は、ＩＳ（Ｉｎｃｉｄｅｎｔ  Ｓｃｅｎｅ）ネットワーク・サービスを提供することができ、またノード１３０，１５５，１７５の一部は、インフラストラクチャ１０５へのアクセスを提供することができる。一実施形態では、インフラストラクチャ１０５は、認証サーバ１１０と、認証サーバ１１０に接続された認証装置１１５とを備える。インフラストラクチャ１０５に対応した認証装置１１５は、ノード１５５の一部を形成する認証装置１５０とも通信している。したがって、ノード１５５は、ＩＳネットワーク・サービスやインフラストラクチャ１０５へのアクセスを、サプリカントに提供することができる。
【０００７】
各ノード１３０，１５５，１７５は、一般に、自身がビーコンを使用して提供可能なサービスを告知（ａｄｖｅｒｔｉｓｅ）する。たとえば、ノード１５５は、ＦＢＩインフラストラクチャおよびＩＳネットワーク・サービスへの接続を提示することが可能である。したがって、一実施形態では、ノード１３０，１５５，１７５は、そのノードが提供可能なサービスに対応してビーコンに識別子を含む。識別子の一例は、ノードが提供するサービスに対応したサービス・セット識別（ＳＳＩＤ）である。多サービス用の認証装置（たとえば、認証装置１５０）は、各サービスに対応した認証サーバを使用するように予め構成されることが可能である。当業者に知られているように、様々なフィールドおよびパラメータを用いて、特定のサービス、特定の認証サーバまたはその両方を告知することが可能である。
【０００８】
現場での共同および情報共有に同意した２つの機関（たとえば、米国連邦捜査局（ＦＢＩ）および地元の警察署（ＬＰＤ））を考える。そのような例では、各機関がノードを有する（たとえば、ＦＢＩはノード１３０，１５５を有し、ＬＰＤはノード１７５を有する）。一般に、ＦＢＩノードおよびＬＰＤノードは、現場にサービスを提供するためのインフラストラクチャ１０５へのリンクが存在しないとき、相互に認証する。しかしながら、ＦＢＩノード（たとえば、ノード１５５）のうちの１つがＦＢＩインフラストラクチャへの広域リンクを取得する場合、そのＦＢＩノードは、ＦＢＩインフラストラクチャへのアクセスを現場の他のノードに提供することができる。たとえば、今度はノード１３０が現場のＦＢＩインフラストラクチャへのアクセスを取得することを望む場合、ＦＢＩノード１５５は、そのような現場のアドホック・ネットワークおよびＦＢＩインフラストラクチャへのアクセスを提供することができる。
【０００９】
一実施形態では、ＦＢＩインフラストラクチャへのアクセスを取得するために、ノード１３０のサプリカント１３５は、ノード１５５の認証装置１５０に認証要求を送信する。一実施形態では、認証要求は、要求されるＦＢＩインフラストラクチャ・サービスに対応したアソシエーション要求および識別を含む。ノード１５５の認証装置１５０は、要求サービスにサプリカントを関連づける。次に、認証装置１５０は、ＦＢＩインフラストラクチャ（たとえば、インフラストラクチャ１０５）の認証サーバ１１０により、サプリカント１３５の認証要求を満足させる。同様に、ノード１７５がノード１５５を介してＦＢＩインフラストラクチャへのアクセスを取得することもできる。これに代えて、ノード１３０がノード１５５を通じるＦＢＩインフラストラクチャのサービスについて認証されたので、ノード１３０もＦＢＩインフラストラクチャへのアクセスを提供できる。次に、ＦＢＩノード１５５は、マップを使用して、各ノードについてそのようなアソシエーションすべての追跡記録を続けることができる。当業者には、ノード１５５または他のノードがアクセスを求め得るサービスへのアクセスをノード１３０，１７５が提供してもよいことや、開示の同様の手順が続き得ることが理解される。
【００１０】
本発明の一実施形態では、図２に示すように、無線通信ネットワークにおいて認証装置によって提供される１つ以上の要求サービスへのアクセスをサプリカントに提供する方法が提供される。この実施形態では、認証装置は、要求サービスへのアクセスを求めるサプリカントから認証要求を受信する（ステップ２０５）。一実施形態では、認証要求は、要求サービスについてのアソシエーション要求および識別子を含む。一実施形態では、サプリカントは、サービスを提供する認証装置によって送信されたビーコンの検査に基づき、要求サービスへのアクセスを提供する認証装置を識別する。アソシエーション要求を受信した認証装置は、受信したアソシエーション要求に基づきサプリカントと要求サービスとの間の関係を生成する（ステップ２１０）。一実施形態では、この関係は、サプリカントと要求サービスとの間のマップを生成することによって生成され、このマップは認証装置で維持（ｍａｉｎｔａｉｎ）される。要求サービスについての識別子は、たとえば、サプリカントを要求サービスに関連づけるために認証装置によって使用される、要求サービスに対応したサービス識別パラメータなどの指標によって、要求サービスを示す。
【００１１】
サプリカントと要求サービスとの間の関係を生成すると、認証装置は、要求サービスについてアソシエーション要求を満足させる（ステップ２１５）。次に、認証装置は、認証要求により識別される要求サービスに基づき認証サーバを決定する（ステップ２２０）。認証サーバを決定すると、認証装置は、認証サーバに対し認証要求のルーティングを行う。認証装置は、要求サービスについてのサプリカントからの認証要求が成功したという表示を認証サーバから受信し、認証サーバからキーとなる材料（ｋｅｙｉｎｇ  ｍａｔｅｒｉａｌ）を受信する。一実施形態では、キーとなる材料は、認証クレデンシャル（ｃｒｅｄｅｎｔｉａｌ）と、セキュアなキーと、サプリカントが認証サーバで認証されるか否かを認証装置が判断することを可能とする、認証に関する他の情報とを含む。たとえば、ＩＥＥＥ８０２．１１ｉ認証については、キーとなる材料は、認証・認可・アカウンティング（ＡＡＡ）キーまたはペア・マスター・キー（ＰＭＫ）である。最後に、認証装置は、キーとなる材料に基づき、要求サービスについてサプリカントを認証する（ステップ２２５）。
【００１２】
認証装置は、要求サービスについてサプリカントを認証すると、そのサプリカントのサービスとのアソシエーションと、サプリカントと認証装置との間の要求サービスについてのデータの流れとの追跡記録を続けることが可能である。一実施形態では、認証装置は、同じサプリカントから、または別のサプリカントから、別の要求サービスに対応した別の認証要求を受信することができる。当業者には、認証装置が、認証装置が提供する別のサービスについて、その要求サービスに対応した別のサプリカントから、または同一のサプリカントから、認証要求を受信することも可能であることが認められる。図１を参照すると、たとえば、ノード１５５は、ＩＳネットワーク・サービスへのアクセスについてノード１３０から認証要求を取得することが可能であり、ＩＳネットワーク・サービスについての認証を満足させた後で、ノード１５５は、ＦＢＩインフラストラクチャ１０５へのアクセスについてノード１３０から別の認証要求を受信することが可能である。一実施形態では、認証装置は、第２要求サービスについてサプリカントを認証する一方で、そのサプリカントの第１要求サービスへのアクセスを維持し、第２要求サービスについての認証が完了すると、そのサプリカントが認証を受けた要求サービスについての認証を維持する。単一の無線通信ネットワークにおいて１つのノード内に複数のセキュリティ・アソシエーションが存在し得るので、各ノードに対して複数のＰＭＫが存在し得る。認証後、サプリカントから受信したメッセージを認証装置が要求サービスに関連づけることを可能とするために、サプリカントは、メッセージ内でセキュリティ・アソシエーションを示すことが可能である。一実施形態では、メッセージ中のセキュリティ・アソシエーションは、サプリカントのキー識別またはサプリカントの媒体アクセス制御アドレスの使用を含む。本明細書では、メッセージは、要求サービスについてサプリカントによって送信されるデータ・パケットであり、一般に認証成功後に送信される。
【００１３】
ここで図３に移る。図３には、本発明の一実施形態に係る、サプリカントと要求サービスとの間の関係を生成する方法のフローチャートを示す。認証要求を受信すると、認証装置は、認証要求で指定された要求サービスに対応したサービス識別パラメータと、サプリカントとの間のマップを生成することができる（ステップ３０５）。当業者に知られているように、認証装置に代わって、デバイス・ドライバまたはＭＡＣ層プロトコル・ドライバがマップの生成および維持を担うこともできる。いずれの場合も、このマップは、サプリカントと要求サービスとの間のアソシエーション・テーブルを提供するように作用する。次に、認証装置は、サービス識別パラメータをセキュリティ・アソシエーションに関連づけ（ステップ３１０）、これに対応して各サプリカントの状態を維持することが可能である（ステップ３１５）。一実施形態では、セキュリティ・アソシエーションは、一般に、サプリカントに対応する、セキュリティ・アソシエーション・インデックス（ＳＡＩ）番号、仮想ＬＡＮ識別子、およびＩＰアドレスのうちの１つ以上を含む。いずれの場合も、この状態は、サービス識別パラメータとセキュリティ・アソシエーションとの間のアソシエーションとして定義される。さらに、状態によって、認証後に受信されるメッセージを、認証装置によって提供される要求サービスに送信することが可能である。サプリカントが要求サービスについて認証装置から関連づけを除去する（ｄｉｓａｓｓｏｃｉａｔｅ）ことを望む場合、状態は更新されることが可能であり、マップには、この関連づけの除去が反映される。
【００１４】
ここで図４に移る。図４には、無線通信ネットワークにおいて認証装置によって提供される１つ以上の要求サービスへのアクセスをサプリカントに提供する方法の別の実施形態を示す。この方法は、認証装置において、第１要求サービスに対応したアソシエーション要求をサプリカントから受信することを含む（ステップ４０５）。アソシエーション要求を受信した認証装置は、アソシエーション要求に基づきサプリカントと第１要求サービスとの間の関係を生成する（ステップ４１０）。一実施形態では、関係を生成することは、要求サービスに対応したサービス識別パラメータと、サプリカントとの間のマップを生成することを含む。ここで、サービス識別パラメータは、セキュリティ・アソシエーションに関連づけられてよい。いずれの場合も、サプリカントの認証が成功すると、認証装置は、各サプリカントの状態を維持することができる。状態を維持することは、一般に、サービス識別パラメータとセキュリティ・アソシエーションとの間のアソシエーションを維持することを含み得る。上述のように、セキュリティ・アソシエーションは、サプリカントに対応する、セキュリティ・アソシエーション・インデックス（ＳＡＩ）番号、仮想ＬＡＮ識別子、およびＩＰアドレスのうちの１つ以上を含み得る。
【００１５】
次に、認証装置は、第１要求サービスについてサプリカントのアソシエーション要求を満足させる（ステップ４１５）。アソシエーション要求を満足させることは、認証装置が第１要求サービスへのアクセスをサプリカントに提供可能であり、認証を満足させると、サプリカントが第１要求サービスへのアクセスを取得することが可能であることを示す。次に、認証装置は、第１要求サービスに対応した第１認証要求をサプリカントから受信する（ステップ４２０）。第１認証要求は、第１要求サービスについての識別子を含む。ここで、識別子はサービス識別パラメータであり得る。次に、認証装置は、第１認証要求で示された第１要求サービスに基づき認証サーバを決定する（ステップ４２５）。一実施形態では、認証装置は、認証サーバからキーとなる材料を受信し、その結果、認証装置は、第１要求サービスについてサプリカントが認証サーバにより認証されるか否かを判断する。サプリカントが認証サーバにより認証されると認証装置が判断する場合、認証サーバは、第１要求サービスについての認証要求を満足させる。次に、認証装置において、第１要求サービスについてサプリカントと認証装置との間のセキュリティ・アソシエーションが生成および維持される（ステップ４３０）。
【００１６】
一実施形態では、認証装置は、第２要求サービスについて、同じサプリカントまたは異なるサプリカントから第２認証要求を受信する（ステップ４３５）。認証装置は、第２認証要求により識別される第２要求サービスに基づき第２認証サーバを決定する（ステップ４４０）。認証装置は、第２要求サービスについてサプリカントを認証する（ステップ４４５）一方で、第１要求サービスについてのサプリカントと認証装置との間のセキュリティ・アソシエーションを維持する。第２要求サービスについてサプリカントを認証することは（ステップ４４５）、認証装置から第２認証サーバに認証要求を送信するステップを含む。ここで、第２認証サーバは、第２要求サービスを提供する。認証装置は、第２要求サービスについてのサプリカントの認証要求が成功したとの表示を第２認証サーバから受信する。認証装置は、第２要求サービスに対応して第２認証サーバからキーとなる材料を受信し、その結果、認証装置は、サプリカントが第２要求サービスについて第２認証サーバにより認証されるか否かを判断する。
【００１７】
要求サービスについての認証成功に続いて、要求サービスに対応したすべてのメッセージは、サプリカントから認証装置に送信されることが可能である。たとえば、サプリカントがＩＳネットワーク・サービスおよびＦＢＩインフラストラクチャにより認証を受けることに成功している場合、認証装置は、サプリカントからの両方のサービスに対応したメッセージを許可する。しかしながら、認証装置によって提供されているがサプリカントが認証を受けることに成功していない他のサービスへのメッセージは、阻止される。
【００１８】
上述のように、各ノードにおける各認証装置は、複数のサービスへのアクセスを提供することが可能である。さらに、別のノードのサプリカントは、認証装置を介して複数のサービスへのアクセスを取得することが可能である。上述のように、単一のノード内に複数のセキュリティ・アソシエーションが存在し得るので、複数のＰＭＫが存在し得る。したがって、サプリカントが認証を受けることに成功した要求サービスについて、サプリカントから認証装置へのメッセージはすべて、その要求サービスに対応したセキュリティ・アソシエーションを含むことが可能である。メッセージによりセキュリティ・アソシエーションを指定することによって、認証装置には、サプリカントに対応したマップをチェックすることと、サプリカントが要求サービスについての認証を受けることに成功したか否かを判断することとが可能となる。次に、認証装置は、サプリカントが認証を受けることに成功したそれらのサービスについてのみ、メッセージを転送する。
【００１９】
本発明の別の実施形態では、図５に示すように、無線通信ネットワークにおいて認証装置によって提供される１つ以上の要求サービスへのアクセスをサプリカントに提供する方法が提供される。この方法は、認証装置において、第２要求サービスに対応したアソシエーション要求をサプリカントから受信するステップを含む（ステップ５０５）。ここで、このサプリカントは第１要求サービスについて既に認証を受けている。認証装置は、第１要求サービスについてのサプリカントと認証装置との間のセキュリティ・アソシエーションを生成する。一実施形態では、アソシエーション要求は、第２要求サービスに対応したサービス識別パラメータを含む。認証装置は、第２要求サービスに対応したアソシエーション要求を受信することに応じて、アソシエーション要求に基づきサプリカントと第２要求サービスとの間の関係を生成する（ステップ５１０）。
【００２０】
一実施形態では、関係を生成することは、第２要求サービスに対応したサービス識別パラメータとサプリカントとの間のマップを生成するステップと、サービス識別パラメータをセキュリティ・アソシエーションに関連づけるステップと、各サプリカントの状態を維持するステップとを含む。本明細書では、この状態は、サービス識別パラメータとセキュリティ・アソシエーションとの間のアソシエーションとして定義される。上述のように、セキュリティ・アソシエーションは、セキュリティ・アソシエーション・インデックス（ＳＡＩ）番号、仮想ＬＡＮ識別子、およびＩＰアドレスのうちの１つ以上を含む。
【００２１】
サプリカントと第２要求サービスとの間の関係を生成すると、認証装置は、第２要求サービスについてアソシエーション要求を満足させる（ステップ５１５）。第２要求サービスについてアソシエーション要求を満足させるステップ（５１５）は、アソシエーション応答または認証応答におけるアソシエーションにサプリカントが的確である場合、アソシエーション要求に対応したセキュリティ・アソシエーション・インデックス番号を送信するステップを含む。次に、サプリカントは、第２要求サービスについての認証要求を送信する（ステップ５２０）。認証要求を受信（ステップ５２０）した認証装置は、アソシエーション要求により識別される第２要求サービスに基づき認証サーバを決定する（ステップ５２５）。一実施形態では、認証サーバは、その認証サーバへのリレーを介して発見されることも可能である。認証サーバを決定すると、認証装置は認証サーバに認証要求を送信し、認証サーバは第２要求サービスを提供する。次に、認証装置は、第２要求サービスについてのサプリカントの認証要求が成功したという表示を認証サーバから受信し、次に、認証サーバからキーとなる材料を受信し、その結果、サプリカントが認証サーバにより認証されているか否かを判断することが可能である。認証要求が別の認証装置を介して中継された場合、同一のリレーを介して認証応答も受信されてよい。認証装置は、第２要求サービスについてサプリカントを認証する一方で（ステップ５３０）、第１要求サービスについてのそのサプリカントと認証装置との間のセキュリティ・アソシエーションを維持する。第２要求サービスについての認証が成功すると、認証装置は、追加のサービス（たとえば、第３要求サービス）についてのさらなる認証要求を受信することもできる。
【００２２】
認証成功後、認証装置によりサプリカントが認証される第１、第２、第３の要求サービスのうちの１つ以上に対応したメッセージはすべて、サプリカントから認証装置に送信されることが可能である。単一の無線通信ネットワークにおいてノード内に複数のセキュリティ・アソシエーションが存在し得るので、各要求サービスに対応した複数のＰＭＫが存在し得る。したがって、各メッセージは、どのセキュリティ・アソシエーションがメッセージを要求サービスに関連づけるために使用されているかを示すことが可能である。上述のように、要求サービスにメッセージを送るためにメッセージにおいてセキュリティ・アソシエーションを指定することは、サプリカントのキー識別フィールドまたは媒体アクセス制御アドレスを使用して行われることが可能である。セキュリティ・アソシエーションには、メッセージの初期ベクトル／パケット番号（ＴＶ／ＰＮ）も含まれ得る。
【００２３】
この方法は、無線通信ネットワークにおいて、１つ以上の送信ノードから第１受信ノードにて要求サービスに対応したメッセージを受信することをさらに含む。次に、第１受信ノードは、たとえばメッセージ中のセキュリティ・アソシエーションによって示される要求サービスについて、送信ノードが認証を受けることに成功しているか否かを判断する。成功していない場合、認証装置は、メッセージを廃棄することができる。同様に、メッセージが有効でないセキュリティ・アソシエーションを含む場合、そのメッセージも廃棄され得る。
【００２４】
第１受信ノードが第１受信ノードによって提供されない要求サービスに対応したメッセージを受信する場合、第１受信ノードがその要求サービスについて第２受信ノードとのセキュリティ・アソシエーションを有するときには、第１受信ノードは第２受信ノードにメッセージを転送できる。一実施形態では、第２受信ノードにメッセージを転送することは、ａ）第１受信ノードでメッセージを待ち行列に加えること（ｑｕｅｕｉｎｇ）、ｂ）第１受信ノードが第２受信ノードとのセキュリティ・アソシエーションを有しない場合、第２受信ノードにより要求サービスについての認証を行なうこと、およびｃ）第２受信ノードによる認証の成功後に、第２受信ノードにメッセージを送信することを含む。しかしながら、第１受信ノードが要求サービスについて第２受信ノードとのセキュリティ・アソシエーションを有しない場合、第１受信ノードは、要求サービスへのアクセスを有する第３受信ノードを決定する。次に、第１受信ノードは、第３受信ノードにより要求サービスについての認証を行なう。次に、第１受信ノードは、第３受信ノードにメッセージを転送する。受信ノードが要求サービスへのアクセスを有し、かつ、第１受信ノードとのセキュリティ・アソシエーションが発見されなかった場合、第１受信ノードは送信ノードに通知することが可能である。
【００２５】
ここで図６を参照する。図６には、本発明の一実施形態による多システム認証装置のブロック図を示す。多システム認証装置は、ポート・アクセス・エンティティ（ＰＡＥ）６２５と、ＰＡＥ６２５に結合されたアソシエーション・テーブル６１５と、ＰＡＥ６２５に結合された要求サービスに各々対応した複数の認証サーバ６２０とを備える。「システム１」によって提供されるサービス６０５〜「システムＮ」によって提供されるサービス６１０は各々、スイッチおよびゲートのうちの１つ以上を通じてＰＡＥ６２５に結合されている。サプリカント６３０が多システム認証装置によって要求サービスについて認証されると、その要求サービスに対応したスイッチが閉じる。一実施形態では、ＰＡＥ６２５は、スイッチを制御することが可能である。ＰＡＥ６２５は、アソシエーション・テーブル６１５において利用可能な情報に基づき、どのメッセージがどのシステムと関連づけられているかを認識することが可能である。ここで、アソシエーション・テーブル６１５は、要求サービスに対応したサービス識別パラメータと、サプリカントとの間のマップを含む。認証装置は、マップを使用してサービス識別パラメータをセキュリティ・アソシエーションに関連づけ、各サプリカントの状態を維持することが可能である。サプリカントが要求サービスに対して認証されていると認証装置が判断すると、ＰＡＥ６２５は、その要求サービス（たとえば、サービス６０５）についてスイッチ（たとえば、スイッチ６３５）を閉じる。スイッチが閉じると、その要求サービスにスイッチを通じてメッセージが流れることが可能である。
【００２６】
図７は、無線通信ネットワークにおいて認証装置によって提供される要求サービスについて、サプリカントと認証装置との間で交換される通信を示す図である。そのような一実施形態では、認証およびアソシエーションの機能が同時に達成される。図７を参照すると、認証装置７０２によって提供される要求サービスへのアクセスを求めるサプリカント７０１は、認証要求７０５を送信する。そのような実施形態では、認証要求７０５は、要求サービスに対するアソシエーション要求および識別子を含む。一実施形態では、識別子は、要求サービスに対応したサービス識別パラメータである。当業者に知られているように、認証には、認証装置７０２を通じて横断するサプリカントとＡＳとの間のメッセージ送信（図示せず）がさらに含まれる。
【００２７】
認証が成功したとき（たとえば、図２に関して記載したように）、認証装置７０２は、サプリカント７０１に認証応答７１０を送信する。一実施形態では、認証応答７１０は、上述のように、認証が成功したことをサプリカント７０１に通知するためのセキュリティ・アソシエーションを含む。当業者に知られているように、サプリカント７０１と認証装置７０２との間の認証状態の確認は、たとえば、４つの段階によるハンドシェイクを介して行なわれることが可能である。認証状態を確認すると、サプリカント７０１は、認証装置７０２とメッセージ送信７１５を行なうことが可能である。続いて、サプリカントは、別の要求サービスについて、認証装置７０２に第２認証要求７２０を送信することができる。同様に、サプリカントが認証装置７０２からの認証応答７２５を受信するとき、サプリカントは第２要求サービスについて後続のメッセージ送信を行なうことが可能である。
【００２８】
図８は、無線通信ネットワークにおいて認証装置によって提供される要求サービスについて、サプリカントと認証装置との間で交換される通信を示す図である。そのような一実施形態では、アソシエーションの機能は、単一のサプリカントと、認証装置との間で１回行なわれるが、認証の機能は何回も行なわれ得る。図８を参照すると、認証装置８０２によって提供される要求サービスへのアクセスを求めるサプリカント８０１は、アソシエーション要求８０５を送信する。一実施形態では、アソシエーション要求は、要求サービスに対応したサービス識別パラメータを含む。アソシエーションが成功し、サプリカントが要求サービスについて認証装置８０２と関連づけられたとき、認証装置８０２は、サプリカント８０１にアソシエーション応答８１０を送信する。次に、サプリカントは、要求サービスに対する識別子を含んだ認証要求８１５を認証装置８０２に送信する。一実施形態では、識別子は、要求サービスに対応したサービス識別パラメータである。当業者に知られているように、また上述のように、認証には、認証装置８０２を通じて横断するサプリカントとＡＳとの間のメッセージ送信（図示せず）がさらに含まれる。認証が成功したとき、認証装置８０２は、サプリカント８０１に認証応答に８２０を送信する。次に、サプリカント８０１は、要求サービスについてメッセージ送信８２５を行なうことが可能である。続いて、サプリカントは、別の要求サービスについて、認証装置８０２に第２認証要求８３０を送信することができる。同様に、サプリカントが認証装置８０２からの認証応答８３５を受信するとき、サプリカントは第２要求サービスについて後続のメッセージ送信を行なうことが可能である。この実施形態では、サプリカントは、既に任意のサービスについて認証装置と関連づけられているので、再びアソシエーションを行なう必要はなかった。
【００２９】
図９は、無線通信ネットワークにおいて認証装置９０２によって提供される後続の要求サービスについて、サプリカント９０１と認証装置９０２との間で交換される通信を示す図である。図９においては、サプリカント９０１は、たとえば図７、図８の信号送信によって、第１要求サービスについて認証装置９０２と既に関連づけられている、もしくは認証装置９０２により認証されている、またはその両方であり、第２要求サービスを要求すると仮定されている。そのような実施形態では、サプリカント９０１は、メッセージ送信９２５に関与する前に、アソシエーション（たとえば、９０５，９１０を介して）および認証（たとえば、９１５，９２０を介して）のステップを実行する必要がある。この点において、認証された第２要求サービスに加え、既に認証されているサービスのうちのいずれかに属するメッセージ送信が、認証装置９０２を通じて転送されることが可能である。
【００３０】
一実施形態では、本明細書において、認証要求および認証応答は、ＩＥＥＥ８０２．１１標準により指定されるようなＥＡＰＯＬ（Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ  Ｏｖｅｒ  Ｌｏｃａｌ  ａｒｅａ  ｎｅｔｗｏｒｋ）のメッセージを指すことがある。そのような実施形態では、要求サービスに対応したメッセージの各々は、ＰＡＥでの要求サービスにしたがってメッセージの並べ替えを可能とする、セキュリティ・アソシエーション・インデックス番号を含むことが可能である。
【図面の簡単な説明】
【００３１】
【図１】本発明の幾つかの実施形態に係る無線通信ネットワークを示すブロック図。
【図２】本発明の幾つかの実施形態に係る、無線通信ネットワークにおいて認証装置によって提供される１つ以上の要求サービスへのアクセスをサプリカントに提供する方法を示すフローチャート。
【図３】本発明の幾つかの実施形態に係る、アソシエーション要求に基づきサプリカントと要求サービスとの間の関係を生成する方法を示すフローチャート。
【図４】本発明の幾つかの実施形態に係る、無線通信ネットワークにおいて認証装置によって提供される１つ以上の要求サービスへのアクセスをサプリカントに提供する方法を示すフローチャート。
【図５】本発明の幾つかの実施形態に係る、無線通信ネットワークにおいて認証装置によって提供される１つ以上の要求サービスへのアクセスをサプリカントに提供する方法を示すフローチャート。
【図６】本発明の幾つかの実施形態に係る、無線通信ネットワークにおける多システム認証装置を示すブロック図。
【図７】本発明の一実施形態により、無線通信ネットワークにおいて認証装置によって提供される要求サービスについて、サプリカントと認証装置との間で交換される通信を示す図。
【図８】本発明の第２実施形態により、無線通信ネットワークにおいて認証装置によって提供される要求サービスについて、サプリカントと認証装置との間で交換される通信を示す図。
【図９】本発明の第３実施形態により、無線通信ネットワークにおいて認証装置によって提供される要求サービスについて、サプリカントと認証装置との間で交換される通信を示す図。
【図１】
2009520450.tif 000003
【図２】
2009520450.tif 000004
【図３】
2009520450.tif 000005
【図４】
2009520450.tif 000006
【図５】
2009520450.tif 000007
【図６】
2009520450.tif 000008
【図７】
2009520450.tif 000009
【図８】
2009520450.tif 000010
【図９】
2009520450.tif 000011
【国際調査報告】
2009520450.tif 000012