(57)【要約】  アクセスポイントがセキュア・アクセス・プロトコルに従っていることを検査するための方法および装置が、以下のステップ、すなわちアクセスポイントのセキュア・アクセス証明書手順において生成される証明書プロトコル・データ・パケットを捕捉するステップと、セキュア・アクセス・プロトコルのデータ・パケットのパッケージ・フォーマットおよびプロトコル・フロー・プロセスを検出および分析するステップとを含んでいる。本発明によれば、テスト結果が高次層の実装に依存せず、標準の装置の実装が正確でない場合でも、真のテスト結果を得ることが可能であり、したがってテスト結果の正確さが向上する。さらに、本発明に従ってプロトコルのデータ・パケットから詳細情報を捕捉することによって、プロトコルの実装の誤った場所を正確に発見することができ、したがって考えられる異常状況についての模擬テストが向上し、テストに合格した製品が標準規則および相互運用性に合致していることが保証される。
2009528729.tif 000002
【特許請求の範囲】
【請求項１】
アクセスポイントにおけるセキュア・アクセス・プロトコルの遵守をテストするための方法であって、
テスト対象のアクセスポイントにおいてセキュア・アクセス認証プロセスにおけるセキュア・アクセス・プロトコルのデータ・パケットを捕捉するステップ、および
捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットおよびプロトコル・フローを、分析および検査するステップ
を含んでいる方法。
【請求項２】
前記セキュア・アクセス・プロトコルが、ＷＡＰＩプロトコルまたはＩＥＥＥ８０２．１１ｉプロトコルである請求項１に記載の方法。
【請求項３】
前記セキュア・アクセス・プロトコルが、ＷＡＰＩプロトコルである場合に、
基準端末およびテスト対象のアクセスポイントにおけるＷＡＰＩを可能にする構成の組み合わせの場合について、テスト対象のアクセスポイントと基準端末との間の相互運用性を検査するステップ
をさらに含んでいる請求項２に記載の方法。
【請求項４】
基準端末およびテスト対象のアクセスポイントにおけるＷＡＰＩを可能にする構成の組み合わせは、
基準端末が、ＷＡＩ事前共有鍵認証および鍵管理によってＷＡＰＩセキュリティ機構を可能にし、テスト対象のアクセスポイントが、証明書認証および鍵管理によってＷＡＰＩセキュリティ機構を可能にすること、および
テスト対象のアクセスポイントが、ＷＡＩ事前共有鍵認証および鍵管理によってＷＡＰＩセキュリティ機構を可能にし、基準端末が、証明書認証および鍵管理によってＷＡＰＩセキュリティ機構を可能にすること
を含んでいる請求項３に記載の方法。
【請求項５】
前記セキュア・アクセス・プロトコルのデータ・パケットは、ＷＡＩにおける認証開始パケット、アクセス認証要求、証明書認証要求、証明書認証応答、アクセス認証応答、ユニキャスト鍵ネゴシエーション要求、ユニキャスト鍵ネゴシエーション応答、ユニキャスト鍵ネゴシエーション確認、マルチキャスト鍵告知、および／またはマルチキャスト鍵告知応答、ならびに／あるいはＷＰＩにおけるユニキャスト・データ・フレームおよびマルチキャスト・データ・フレームを含んでいる請求項３に記載の方法。
【請求項６】
テスト対象のアクセスポイントは、前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットが不充分である場合に、テストに合格しないこと
をさらに含んでいる請求項５に記載の方法。
【請求項７】
認証開始パケットについて、
前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、
バージョン番号が規格に合致するか否かを検査するステップ、
データ長フィールドの値がデータ・フィールドの長さに一致するか否かを検査するステップ、および
ＡＳＵアイデンティティ・フィールド、端末証明書フィールド、およびＥＣＤＨパラメータ・フィールドのフォーマットが、正しいか否かを確認するステップ
を含んでいる請求項５に記載の方法。
【請求項８】
証明書認証要求について、
前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、
バージョン番号が規格に合致するか否かを検査するステップ、
データ長フィールドの値がデータ・フィールドの長さに一致するか否かを検査するステップ、
基準端末証明書フィールドの中身を、ローカルに保存された基準端末証明書の中身と比較し、同一であるか否かを判定するステップ、
テスト対象アクセスポイント証明書フィールドの中身を、ローカルに保存されたアクセスポイント証明書の中身と比較し、同一であるか否かを判定するステップ、および
ＡＳＵＥクエリ・フィールドの値を、基準端末によって送信されたアクセス認証要求パケット内のＡＳＵＥクエリ・フィールドの値と比較し、同一であるか否かを判定するステップ
を含んでいる請求項５に記載の方法。
【請求項９】
アクセス認証応答について、
前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、
バージョン番号が規格に合致するか否かを検査するステップ、
データ長フィールドの値がデータ・フィールドの長さに一致するか否かを検査するステップ、
複合証明書確認結果の基準端末証明書認証結果情報フィールドの基準端末証明書フィールドの中身を、ローカルに保存された基準端末証明書の中身と比較して、同一であるか否かを判定し、基準端末証明書認証結果コード・フィールドの値が、規格に定められた範囲内であるか否かを検査するステップ、
テスト対象アクセスポイント証明書認証結果情報フィールドのテスト対象アクセスポイント証明書フィールドの中身を、ローカルに保存されたアクセスポイント証明書の中身と比較して、同一であるか否かを判定し、テスト対象アクセスポイント証明書認証結果コード・フィールドの値が、規格に定められた範囲内であるか否かを検査するステップ、および
ＡＥ署名フィールドの長さサブフィールドの値を、コンテンツ・サブフィールドの長さと比較して、同一であるか否かを判定し、ＡＥ署名フィールドの長さサブフィールドの値が、規格に指定された有効長さの値に一致するか否かを判定するステップ
を含んでいる請求項５に記載の方法。
【請求項１０】
ユニキャスト鍵ネゴシエーション要求について、
前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、
バージョン番号が規格に合致するか否かを検査するステップ、
データ長フィールドの値がデータ・フィールドの長さに一致するか否かを検査するステップ、
ＢＫＩＤフィールドの長さが規格に合致するか否かを確認するステップ、および
ＵＳＫＩＤフィールドおよびＡＥクエリ・フィールドの値が規格に合致するか否かを検査するステップ
を含んでいる請求項５に記載の方法。
【請求項１１】
ユニキャスト鍵ネゴシエーション確認について、
前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、
バージョン番号が規格に合致するか否かを検査するステップ、
データ長フィールドの値がデータ・フィールドの長さに一致するか否かを検査するステップ、および
ＢＫＩＤ、ＵＳＫＩＤ、ＡＤＤＩＤ、ＡＳＵＥ、ＷＩＥ、およびメッセージ認証コード・フィールドの長さフィールドが、規格に合致するか否かを検査するステップ
を含んでいる請求項５に記載の方法。
【請求項１２】
マルチキャスト鍵告知について、
前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、
バージョン番号が規格に合致するか否かを検査するステップ、
データ長フィールドの値がデータ・フィールドの長さに一致するか否かを検査するステップ、
ＭＳＫＩＤフィールドの値が規格に指定された範囲内であるか否かを検査するステップ、
ＵＳＫＩＤフィールドの値が規格に指定された範囲内であるか否かを検査するステップ、
ＡＤＤＩＤ、データ・シリアル番号、および鍵告知識別子フィールドの長さフィールドが、規格に指定されたそれらに一致するか否かを検査するステップ、
鍵データ・フィールドの長さサブフィールドの値を、コンテンツ・サブフィールドの長さと比較し、同一であるか否かを判定するステップ、および
メッセージ認証コード・フィールドの長さ値が、規格に指定されたそれに合致するか否かを検査するステップ
を含んでいる請求項５に記載の方法。
【請求項１３】
ユニキャスト・データ・フレームについて、
前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、
セッション鍵インデックス・フィールドの値が、規格に指定された範囲内であるか否かを検査するステップ、
データ・パケット・シリアル番号フィールドの値が、規格に指定された範囲内であるか否かを検査するステップ、および
データ・パケット・シリアル番号フィールドの値が、奇数であるか否かを判定するステップ
を含んでいる請求項５に記載の方法。
【請求項１４】
マルチキャスト・データ・フレームについて、
前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、
セッション鍵インデックス・フィールドの値が、規格に指定された範囲内であるか否かを検査するステップ、および
データ・パケット・シリアル番号フィールドの値が、規格に指定された範囲内であるか否かを検査するステップ
を含んでいる請求項５に記載の方法。
【請求項１５】
アクセスポイントにおけるセキュア・アクセス・プロトコルの遵守をテストするための方法であって、
テスト対象のアクセスポイントにおいてセキュア・アクセス認証プロセスにおけるセキュア・アクセス・プロトコルのデータ・パケットを捕捉するステップ、および
捕捉したセキュア・アクセス・プロトコルのデータ・パケットが所定の条件に一致した場合に、テストを合格とするステップ
を含んでいる方法。
【請求項１６】
前記所定の条件は、
捕捉したセキュア・アクセス・プロトコルのデータ・パケットが、少なくともあらかじめ設定される種類のプロトコルのデータ・パケットであること
を含んでいる請求項１５に記載の方法。
【請求項１７】
前記所定の条件は、
捕捉されるセキュア・アクセス・プロトコルのデータ・パケットの並びが、プロトコルに合致すること
を含んでいる請求項１５に記載の方法。
【請求項１８】
前記所定の条件は、
捕捉されたあらかじめ設定された種類のセキュア・アクセス・プロトコルのデータ・パケットにカプセル化されたフィールドが、プロトコルに合致すること
を含んでおり、
前記あらかじめ設定された種類のセキュア・アクセス・プロトコルのデータ・パケットは、認証開始パケット、証明書認証要求、アクセス認証応答、ユニキャスト鍵ネゴシエーション要求、ユニキャスト鍵ネゴシエーション確認、マルチキャスト鍵告知、ユニキャスト・データ・フレーム、および／またはマルチキャスト・データ・フレームを含む請求項１５〜１７のいずれか一項に記載の方法。
【請求項１９】
前記セキュア認証プロトコルは、ＷＡＰＩプロトコルであり、
テスト対象のアクセスポイントおよび基準端末におけるＷＡＰＩを可能にする構成の組み合わせの場合について、テスト対象のアクセスポイントと基準端末との間の相互運用性を検査するステップ
をさらに含んでいる方法請求項１５に記載の方法。
【請求項２０】
アクセスポイントにおけるセキュア・アクセス・プロトコルの遵守をテストするための装置であって、
データ・パケット捕捉ユニットおよびデータ・パケット検査ユニットを備えており、
前記データ・パケット捕捉ユニットは、テスト対象のアクセスポイントにおいてセキュア・アクセス認証プロセスにおけるセキュア・アクセス認証プロトコルのデータ・パケットを捕捉するように構成され、
前記データ・パケット検査ユニットは、捕捉したデータ・パケットが所定の条件に一致するか否かを検査するように構成され、
捕捉したデータ・パケットが所定の条件に一致する場合に、テストを合格とする装置。
【請求項２１】
前記所定の条件は、
捕捉したセキュア・アクセス・プロトコルのデータ・パケットが、少なくともあらかじめ設定される種類のプロトコルのデータ・パケットであること
を含んでいる請求項２０に記載の装置。
【請求項２２】
前記所定の条件は、
捕捉されるセキュア・アクセス・プロトコルのデータ・パケットの並びが、プロトコルに合致すること
を含んでいる請求項２０に記載の装置。
【請求項２３】
テスト対象のアクセスポイントのアクセスポイント証明書を保存するように構成された保存ユニット
をさらに備えている請求項２０〜２２のいずれか一項に記載の装置。
【請求項２４】
前記所定の条件は、
捕捉されたあらかじめ設定された種類のセキュア・アクセス・プロトコルのデータ・パケットにカプセル化されたフィールドが、プロトコルに合致すること
を含んでおり、
前記あらかじめ設定された種類のセキュア・アクセス・プロトコルのデータ・パケットは、認証開始パケット、証明書認証要求、アクセス認証応答、ユニキャスト鍵ネゴシエーション要求、ユニキャスト鍵ネゴシエーション確認、マルチキャスト鍵告知、ユニキャスト・データ・フレーム、および／またはマルチキャスト・データ・フレームを含み、
前記捕捉したデータ・パケットが前記所定の条件に一致するか否かを検査することは、テスト対象のアクセスポイントの証明書による検査を含んでいる請求項２３に記載の装置。
【請求項２５】
前記セキュア・アクセス・プロトコルはＷＡＰＩプロトコルである請求項２３に記載の装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク・セキュア・アクセス・プロトコルのテストの分野に関し、とくには、アクセスポイントにおけるセキュア・アクセス・プロトコルの遵守をテストするための方法および装置に関する。
【背景技術】
【０００２】
ますます多くの種類のサービスが、国家経済および社会のさまざまな用途に展開されたインターネット・プロトコル（ＩＰ）ネットワークによって支えられるようになってきている。無線のＩＰネットワークにおいては、データが電磁波によって伝送されるため、物理的にオープンであるというネットワークの特徴が、新たな段階へと足を踏み入れている。したがって、セキュアなアクセスが、有線および無線のネットワークの安全な動作のために、きわめて重大な問題となっている。
【０００３】
ＩＰネットワークのセキュアなアクセス・システムには、３つのネットワーク・エンティティ、すなわちネットワーク端末、アクセスポイント（ＡＰ）、および認証サーバが主にして関係する。詳しくは、ネットワーク端末が、ネットワークにて提供される種々のリソースを共有すべくネットワークへのアクセスを要求するために使用され、ＩＰインターネットのエッジ設備であるアクセスポイントが、ネットワーク・ユーザにアクセス・サービスを提供するために使用され、認証サーバが、ユーザのアイデンティティの認証サービスを提供するために使用される。
【０００４】
現在のところ、アクセスポイントにおけるセキュアなアクセス・プロトコルのためのテスト・システムは、主として、ワイヤレス・フィデリティー（ＷＩ‐ＦＩ）ユニオンによって電気電子技術者協会（ＩＥＥＥ）８０２．１１規格のために提案された相互運用テスト・システム、およびいくつかのローカルエリア・ネットワーク用途のための補助管理テスト・システムを含んでいる。補助管理テスト・システムは、一般に、物理チャネルおよびネットワークの状態を監視することによって、ネットワーク・システムの設備および適用に関する情報をもたらす。ＷＩ‐ＦＩユニオンの相互運用テスト・システムは、テスト対象の設備においてプロトコルが正しく実装されていることを、当該設備と基準設備との間の相互運用性、ならびにこれらの設備の間の通信の性能をテストすること（すなわち、プロトコル遵守チェック）によって検証する。
【０００５】
従来技術において、遵守テストは、典型的な用途によって行われている。換言すると、遵守テストは、基準設備とテスト対象設備との間の上位層プロトコルの相互運用性によって実行されている。テスト結果が、通信ピアにおける上位層プロトコルの実装に依存し、逸脱する可能性がある。例えば、テスト対象設備が、テスト対象設備におけるセキュア・アクセス・プロトコルの実装が正しいにもかかわらず、基準設備と相互運用できない可能性があり、そのようなテストが不完全となりうる。テスト結果が、相互運用性および通信性能に従って決定されるため、テスト結果の正しさが、基準設備の実装の正しさによって大きく影響される可能性があり、例えテスト結果が正しくても、テストに合格しなかったテスト対象設備についてエラーの位置を突き止める情報を得ることが、テスターにとって依然として困難でありうる。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
上述の欠点に対処するために、本発明は、アクセスポイントにおけるセキュア・アクセス・プロトコルの遵守をテストするための方法および装置であって、テスト結果の正確さを向上させることができ、基準設備の実装の正確さの要件を軽減できる方法および装置を提供する。
【課題を解決するための手段】
【０００７】
本発明の技術的解決策は、アクセスポイントにおけるセキュア・アクセス・プロトコルの遵守をテストするための方法であって、テスト対象のアクセスポイントにおいてセキュア・アクセス認証プロセスにおけるセキュア・アクセス・プロトコルのデータ・パケットを捕捉するステップ、および捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットおよびプロトコル・フローを、分析および検査するステップ
を含んでいる方法である。
【０００８】
前記セキュア・アクセス・プロトコルは、Ｗｉｒｅｌｅｓｓ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  ａｎｄ  Ｐｒｉｖａｃｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ（ＷＡＰＩ）プロトコルまたはＩＥＥＥ８０２．１１ｉプロトコルであってよい。
【０００９】
セキュア・アクセス・プロトコルが、ＷＡＰＩプロトコルである場合、本方法は、基準端末およびテスト対象のアクセスポイントにおけるＷＡＰＩを可能にする構成の組み合わせの場合について、テスト対象のアクセスポイントと基準端末との間の相互運用性を検査するステップをさらに含んでいる。
【００１０】
基準端末およびテスト対象のアクセスポイントにおけるＷＡＰＩを可能にする構成の組み合わせは、次のとおりを含む。１．１）基準端末が、ＷＡＩ事前共有鍵認証および鍵管理によってＷＡＰＩセキュリティ機構を可能にし、テスト対象のアクセスポイントが、証明書認証および鍵管理によってＷＡＰＩセキュリティ機構を可能にする。１．２）テスト対象のアクセスポイントが、ＷＡＩ事前共有鍵認証および鍵管理によってＷＡＰＩセキュリティ機構を可能にし、基準端末が、証明書認証および鍵管理によってＷＡＰＩセキュリティ機構を可能にする。
【００１１】
セキュア・アクセス・プロトコルのデータ・パケットとして、ＷＡＩにおける認証開始パケット、アクセス認証要求、証明書認証要求、証明書認証応答、アクセス認証応答、ユニキャスト鍵ネゴシエーション要求、ユニキャスト鍵ネゴシエーション応答、ユニキャスト鍵ネゴシエーション確認パケット、マルチキャスト鍵告知、および／またはマルチキャスト鍵告知応答、ならびに／あるいはＷｉｒｅｌｅｓｓ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ  Ｐｒｉｖａｃｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ（ＷＰＩ）におけるユニキャスト・データ・フレームおよびマルチキャスト・データ・フレームが挙げられる。
【００１２】
本方法は、テスト対象のアクセスポイントが、前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットが所定のプロトコル・データ・パケットに満たない場合に、テストに合格しないことをさらに含んでいる。
【００１３】
認証開始パケットについては、前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、２．１）バージョン番号が規格に合致するか否かを検査するステップ、２．２）データ長フィールドの値がデータ・フィールドの長さに一致するか否かを検査するステップ、および２．３）Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｓｅｒｖｉｃｅ  Ｕｎｉｔ（ＡＳＵ）アイデンティティ・フィールド、端末証明書フィールド、およびＥｌｌｉｐｔｉｃａｌ  Ｃｕｒｖｅ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ（ＥＣＤＨ）パラメータ・フィールドのフォーマットが、正しいか否かを確認するステップを含んでいる。
【００１４】
証明書認証要求については、前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、３．１）バージョン番号が規格に合致するか否かを検査するステップ、３．２）データ長フィールドの値がデータ・フィールドの長さに一致するか否かを検査するステップ、３．３）基準端末証明書フィールドの中身を、ローカルに保存された基準端末証明書の中身と比較し、同一であるか否かを判定するステップ、３．４）テスト対象アクセスポイント証明書フィールドの中身を、ローカルに保存されたアクセスポイント証明書の中身と比較し、同一であるか否かを判定するステップ、および３．５）Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｓｕｐｐｌｉｃａｎｔ  Ｅｎｔｉｔｙ（ＡＳＵＥ）クエリ・フィールドの値を、基準端末によって送信されたアクセス認証要求パケット内のＡＳＵＥクエリ・フィールドの値と比較し、同一であるか否かを判定するステップを含んでいる。
【００１５】
アクセス認証応答については、前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、４．１）バージョン番号が規格に合致するか否かを検査するステップ、４．２）データ長フィールドの値がデータ・フィールドの長さに一致するか否かを検査するステップ、４．３）複合証明書確認結果の基準端末証明書認証結果情報フィールドの基準端末証明書フィールドの中身を、ローカルに保存された基準端末証明書の中身と比較して、同一であるか否かを判定し、基準端末証明書認証結果コード・フィールドの値が、規格に定められた範囲内であるか否かを検査するステップ、４．４）テスト対象アクセスポイント証明書認証結果情報フィールドのテスト対象アクセスポイント証明書フィールドの中身を、ローカルに保存されたアクセスポイント証明書の中身と比較して、同一であるか否かを判定し、テスト対象アクセスポイント証明書認証結果コード・フィールドの値が、規格に定められた範囲内であるか否かを検査するステップ、および４．５）ＡＥ署名フィールドの長さサブフィールドの値を、コンテンツ・サブフィールドの長さと比較して、値が同一であるか否かを判定し、ＡＥ署名フィールドの長さサブフィールドの値が、規格に指定された有効長さの値に一致するか否かを判定するステップを含んでいる。
【００１６】
ユニキャスト鍵ネゴシエーション要求については、前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、５．１）バージョン番号が規格に合致するか否かを検査するステップ、５．２）データ長フィールドの値がデータ・フィールドの長さに一致するか否かを検査するステップ、５．３）ＢＫＩＤフィールドの長さが規格に合致するか否かを確認するステップ、および５．４）Ｕｎｉｃａｓｔ  Ｓｅｓｓｉｏｎ  Ｋｅｙ  Ｉｄｅｎｔｉｆｉｅｒ（ＵＳＫＩＤ）フィールドおよびＡＥクエリ・フィールドの値が規格に合致するか否かを検査するステップを含んでいる。
【００１７】
ユニキャスト鍵ネゴシエーション確認については、前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、６．１）バージョン番号が規格に合致するか否かを検査するステップ、６．２）データ長フィールドの値がデータ・フィールドの長さに一致するか否かを検査するステップ、および６．３）Ｂａｓｅ  Ｋｅｙ  Ｉｄｅｎｔｉｆｉｅｒ（ＢＫＩＤ）、ＵＳＫＩＤ、Ａｄｄｒｅｓｓ  Ｉｎｄｅｘ（ＡＤＤＩＤ）、ＡＳＵＥ、ＷＡＰＩ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｅｌｅｍｅｎｔ（ＷＩＥ）、およびメッセージ認証コード・フィールドの長さフィールドが、規格に合致するか否かを検査するステップを含んでいる。
【００１８】
マルチキャスト鍵告知については、前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、７．１）バージョン番号が規格に合致するか否かを検査するステップ、７．２）データ長フィールドの値がデータ・フィールドの長さに一致するか否かを検査するステップ、７．３）Ｍｕｌｔｉｃａｓｔ  Ｓｅｓｓｉｏｎ  Ｋｅｙ  Ｉｄｅｎｔｉｆｉｅｒ（ＭＳＫＩＤ）フィールドの値が規格に指定された範囲内であるか否かを検査するステップ、７．４）ＵＳＫＩＤフィールドの値が規格に指定された範囲内であるか否かを検査するステップ、７．５）ＡＤＤＩＤ、データ・シリアル番号、および鍵告知識別子フィールドの長さフィールドが、規格に一致するか否かを検査するステップ、７．６）鍵データ・フィールドの長さサブフィールドの値を、コンテンツ・サブフィールドの長さと比較し、同一であるか否かを判定するステップ、および７．７）メッセージ認証コード・フィールドの長さ値が、規格に指定されたそれに合致するか否かを検査するステップを含んでいる。
【００１９】
ユニキャスト・データ・フレームについては、前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、８．１）セッション鍵インデックス・フィールドの値が、規格に指定された範囲内であるか否かを検査するステップ、８．２）データ・パケット・シリアル番号フィールドの値が、規格に指定された範囲内であるか否かを検査するステップ、および８．３）データ・パケット・シリアル番号フィールドの値が、奇数であるか否かを判定するステップを含んでいる。
【００２０】
マルチキャスト・データ・フレームについては、前記捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマットを分析および検査するステップは、９．１）セッション鍵インデックス・フィールドの値が、規格に指定された範囲内であるか否かを検査するステップ、および９．２）データ・パケット・シリアル番号フィールドの値が、規格に指定された範囲内であるか否かを検査するステップを含んでいる。
【００２１】
アクセスポイントにおけるセキュア・アクセス・プロトコルの遵守をテストするための方法が、テスト対象のアクセスポイントにおいてセキュア・アクセス認証プロセスにおけるセキュア・アクセス・プロトコルのデータ・パケットを捕捉するステップ、および捕捉したセキュア・アクセス・プロトコルのデータ・パケットが所定の条件に一致する場合に、テストを合格とするステップを含んでいる。
【００２２】
前記所定の条件として、捕捉したセキュア・アクセス・プロトコルのデータ・パケットが、少なくともあらかじめ設定される種類のプロトコルのデータ・パケットであることが挙げられる。
【００２３】
前記所定の条件として、捕捉されるセキュア・アクセス・プロトコルのデータ・パケットの並びが、プロトコルの仕様に合致することが挙げられる。
【００２４】
前記所定の条件として、捕捉されたあらかじめ設定された種類のセキュア・アクセス・プロトコルのデータ・パケットにカプセル化されたフィールドが、プロトコルの仕様に合致することが挙げられ、前記あらかじめ設定された種類のセキュア・アクセス・プロトコルのデータ・パケットとして、認証開始パケット、証明書認証要求、アクセス認証応答、ユニキャスト鍵ネゴシエーション要求、ユニキャスト鍵ネゴシエーション確認、マルチキャスト鍵告知、ユニキャスト・データ・フレーム、および／またはマルチキャスト・データ・フレームが挙げられる。
【００２５】
セキュア認証プロトコルがＷＡＰＩプロトコルである場合、本方法は、テスト対象のアクセスポイントおよび基準端末におけるＷＡＰＩを可能にする構成の組み合わせの場合について、テスト対象のアクセスポイントと基準端末との間の相互運用性を検査するステップをさらに含む。
【００２６】
アクセスポイントにおけるセキュア・アクセス・プロトコルの遵守をテストするための装置が提供され、そのような装置は、データ・パケット捕捉ユニットおよびデータ・パケット検査ユニットを備えている。
【００２７】
データ・パケット捕捉ユニットは、テスト対象のアクセスポイントにおいてセキュア・アクセス認証プロセスにおけるセキュア・アクセス認証プロトコルのデータ・パケットを捕捉するように構成されている。
【００２８】
データ・パケット検査ユニットは、捕捉したデータ・パケットが所定の条件に一致するか否かを検査するように構成され、捕捉したデータ・パケットが該所定の条件に一致する場合に、テストは合格とされる。
【００２９】
前記所定の条件として、捕捉したセキュア・アクセス・プロトコルのデータ・パケットは、少なくともあらかじめ設定される種類のプロトコルのデータ・パケットであることが挙げられる。
【００３０】
前記所定の条件として、捕捉されるセキュア・アクセス・プロトコルのデータ・パケットの並びが、プロトコルの仕様に合致することが挙げられる。
【００３１】
本装置は、テスト対象のアクセスポイントのアクセスポイント証明書を保存するように構成された保存ユニットをさらに備える。
【００３２】
前記所定の条件として、捕捉されたあらかじめ設定された種類のセキュア・アクセス・プロトコルのデータ・パケットにカプセル化されたフィールドが、プロトコルの仕様に合致することが挙げられ、前記あらかじめ設定された種類のセキュア・アクセス・プロトコルのデータ・パケットとして、認証開始パケット、証明書認証要求、アクセス認証応答、ユニキャスト鍵ネゴシエーション要求、ユニキャスト鍵ネゴシエーション確認、マルチキャスト鍵告知、ユニキャスト・データ・フレーム、および／またはマルチキャスト・データ・フレームが挙げられ、前記捕捉したデータ・パケットが前記所定の条件に一致するか否かを検査することが、テスト対象のアクセスポイントの証明書にもとづく検査を含んでいる。
【００３３】
前記セキュア・アクセス・プロトコルは、ＷＡＰＩプロトコルである。
【発明の効果】
【００３４】
本発明を、アクセスポイントにおけるセキュア・アクセス・プロトコルの正しい実装および遵守をテストするために使用することができる。本発明においては、テスト対象のアクセスポイントにおけるセキュア・アクセス認証プロセスのセキュア・アクセス・プロトコルのデータ・パケットが、捕捉および検査され、したがってテスト結果が上位層プロトコルの実装から独立しており、基準設備の実装に逸脱があっても正しいテスト結果を得ることができ、テスト結果の正しさが改善される。
【００３５】
さらに、本発明においては、捕捉したセキュア・アクセス・プロトコルのデータ・パケットのカプセル化およびプロトコル・フローを解析して検査することで、検査結果を得ることができるだけでなく、プロトコルの実装におけるエラーの位置も、プロトコルのデータ・パケットから得られる詳細な情報に従って精密に突き止めることができる。
【００３６】
さらに、本発明は、テスト対象のアクセスポイントおよび基準端末におけるＷＡＰＩを可能にする構成の組み合わせをテストすることができ、さらには生じうる例外についての模擬テストを導入することで、テストに合格した製品が規則および相互運用性に合致していることを保証することができる。
【発明を実施するための最良の形態】
【００３７】
本発明は、「ＭＥＴＨＯＤ  ＡＮＤ  ＳＹＳＴＥＭ  ＦＯＲ  ＴＥＳＴＩＮＧ  ＣＯＮＦＯＲＭＩＴＹ  ＯＦ  ＳＥＣＵＲＥ  ＡＣＣＥＳＳ  ＰＲＯＴＯＣＯＬ  ＯＦ  ＡＣＣＥＳＳ  ＰＯＩＮＴ」という名称の２００６年２月２８日付の中国特許出願第２００６１００４１８４７．Ｘ号の優先権を主張し、この中国特許出願第２００６１００４１８４７．Ｘ号は、その全体がここでの言及によって本明細書に援用される。      
【００３８】
ＷＡＰＩプロトコルおよびＩＥＥＥ８０２．１１ｉプロトコルの両者を、以下のステップを含んでいる本発明の方法に適用することができる。
【００３９】
１）セキュア・アクセス・プロトコルの認証のプロセスを開始させるステップ。
【００４０】
２）前記認証プロセスにおいて生成されるセキュア・アクセス・プロトコルのデータ・パケットを捕捉するステップ。
【００４１】
３）前記捕捉されたセキュア・アクセス・プロトコルのデータ・パケットのカプセル化フォーマット、およびプロトコル・フローを、分析および検査するステップ。
【００４２】
本発明は、監視コントローラ１、基準認証サーバ３、基準端末５、ハブ２、およびテスト対象のアクセスポイント４を含んでいる図１に示したようなアーキテクチャに対して適用可能である。監視コントローラ１、基準認証サーバ３、およびテスト対象のアクセスポイント４が、ハブ２に接続されており、ネットワーク・アダプタを備えたノート型ＰＣであってよい基準端末５が、無線リンクを介してテスト対象のアクセスポイント４に結び付けられている。
【００４３】
基準認証サーバ３が、基準端末５、テスト対象のアクセスポイント４、および監視コントローラ１に、アクセスポイントおよび基準端末証明書を発行してインストールする。ＷＡＰＩがテスト対象のアクセスポイント４および基準端末５において開始された後、基準端末５がテスト対象のアクセスポイント４に結び付けられ、監視コントローラ１が、ＷＡＰＩアイデンティティ認証プロセスにおいてＷＡＰＩプロトコルのデータ・パケットを捕捉し、分析結果を提供する。
【００４４】
監視コントローラ１が、別個の装置であってよく、あるいは監視コントローラ１の機能が統合されたネットワーク装置であってよいことに注意すべきである。
【００４５】
セキュア・アクセス・プロトコルがＷＡＰＩプロトコルである実施の形態について、本方法の具体的なテストのフローが図２に示されており、以下のステップを含んでいる。
【００４６】
２１０．ＷＡＰＩプロトコルの認証のプロセスが開始され、すなわち換言すると、ＷＡＰＩアイデンティティ認証プロセスが、テスト対象のアクセスポイントについて開始される。
【００４７】
２２０．監視コントローラが、テスト対象のアクセスポイントの認証プロセスにおいて、ＷＡＰＩプロトコルのデータ・パケットを捕捉する。
【００４８】
２３０．捕捉されたＷＡＰＩプロトコルのデータ・パケットが不充分である場合、テスト対象のアクセスポイントはＷＡＰＩテストに合格せず、そうでない場合、フローは、捕捉されたデータをステップ２４０において処理すべく続けられる。
【００４９】
テスト対象のアクセスポイントにおけるＷＡＰＩアイデンティティ認証プロセスにおいて、ＷＡＰＩプロトコルの一連のデータ・パケットを、テスト対象のアクセスポイントと基準設備（基準端末および基準認証サーバを含む）との間で交換する必要がある。テスターが、ＷＡＰＩプロトコルのどのデータ・パケットを監視コントローラによって捕捉すべきであるかを、用途の要件に応じてあらかじめ設定することができ、捕捉されたＷＡＰＩプロトコルのデータ・パケットがあらかじめ設定された種類のＷＡＰＩプロトコルのデータ・パケットに満たない場合に、テスト対象のアクセスポイントがテストに合格しないと判定することができる。
【００５０】
捕捉できるＷＡＰＩプロトコルのデータ・パケットとして、ＷＡＩにおける認証開始パケット、アクセス認証要求、証明書認証要求、証明書認証応答、アクセス認証応答、ユニキャスト鍵ネゴシエーション要求、ユニキャスト鍵ネゴシエーション応答、ユニキャスト鍵ネゴシエーション確認、マルチキャスト鍵告知、マルチキャスト鍵告知応答、など、ならびにＷＰＩにおけるユニキャスト・データ・フレーム、マルチキャスト・データ・フレーム、などが挙げられる。
【００５１】
２４０．捕捉されたＷＡＰＩプロトコルのデータ・パケットのカプセル化フォーマットおよびプロトコル・フローが、分析および検査される。
【００５２】
テスターが、ＷＡＰＩテストの合格の条件を、用途の要件に応じてあらかじめ定めることができる。例えば、テスターが、ＷＡＰＩプロトコルのデータ・パケットの捕捉の順序がプロトコルにおいて指定されたフローに合致しない場合、あるいはＷＡＰＩプロトコルの特定のデータ・パケットの特定のフィールドの中身がプロトコルの仕様に合致しない場合に、テスト不合格になるとあらかじめ定めることができる。
【００５３】
テスト対象のアクセスポイントによって生成される認証開始パケット、証明書認証要求、アクセス認証応答、ユニキャスト鍵ネゴシエーション要求、ユニキャスト鍵ネゴシエーション確認、マルチキャスト鍵告知、ユニキャスト・データ・フレーム、およびマルチキャスト・データ・フレームについて、プロトコルの仕様に合致するか否かが検査され、テスト対象のアクセスポイントによって生成されたプロトコルのデータ・パケットの正しさの分析を助けるために、プロトコルのいくつかの追加の捕捉されたデータ・パケットを使用することができる例について、以下で説明する。
【００５４】
認証開始パケットを分析および検査するプロセスは、以下のとおりであってよい。
【００５５】
１．１）バージョン番号が規格に合致するか否かが検査される。
【００５６】
１．２）データ長フィールドの値がデータ・フィールドの長さに一致するか否かが検査される。
【００５７】
１．３）ＡＳＵアイデンティティ・フィールド、端末証明書フィールド、およびＥＣＤＨパラメータ・フィールドのフォーマットが、正しいか否かが確認される。
【００５８】
証明書認証要求を分析および検査するプロセスは、以下のとおりであってよい。
【００５９】
２．１）バージョン番号が規格に合致するか否かが検査される。
【００６０】
２．２）データ長フィールドの値がデータ・フィールドの長さに一致するか否かが検査される。
【００６１】
２．３）基準端末証明書フィールドの中身と、ローカルに保存された基準端末証明書の中身とが比較され、同一であるか否かが判定される。
【００６２】
２．４）テスト対象アクセスポイント証明書フィールドの中身と、ローカルに保存されたアクセスポイント証明書の中身とが比較され、同一であるか否かが判定される。
【００６３】
２．５）ＡＳＵＥクエリ・フィールドの値と、基準端末によって送信されたアクセス認証要求パケット内のＡＳＵＥクエリ・フィールドの値とが比較され、同一であるか否かが判定される。
【００６４】
アクセス認証応答を分析および検査するプロセスは、以下のとおりであってよい。
【００６５】
３．１）バージョン番号が規格に合致するか否かが検査される。
【００６６】
３．２）データ長フィールドの値がデータ・フィールドの長さに一致するか否かが検査される。
【００６７】
３．３）複合証明書確認結果の基準端末証明書認証結果情報フィールドの基準端末証明書フィールドの中身と、ローカルに保存された基準端末証明書の中身とが比較されて、同一であるか否かが判定され、基準端末証明書認証結果コード・フィールドの値が、規格に定められた範囲内であるか否かが検査される。
【００６８】
３．４）テスト対象アクセスポイント証明書認証結果情報フィールドのテスト対象アクセスポイント証明書フィールドの中身と、ローカルに保存されたアクセスポイント証明書の中身とが比較されて、同一であるか否かが判定され、テスト対象アクセスポイント証明書認証結果コード・フィールドの値が、規格に定められた範囲内であるか否かが検査される。
【００６９】
３．５）ＡＥ署名フィールドの長さサブフィールドの値およびコンテンツ・サブフィールドの長さが比較されて、同一であるか否かが判定され、ＡＥ署名フィールドの長さサブフィールドの値が、規格に指定された有効長さの値に一致するか否かが判定される。
【００７０】
ユニキャスト鍵ネゴシエーション要求を分析および検査するプロセスは、以下のとおりであってよい。
【００７１】
４．１）バージョン番号が規格に合致するか否かが検査される。
【００７２】
４．２）データ長フィールドの値がデータ・フィールドの長さに一致するか否かが検査される。
【００７３】
４．３）ＢＫＩＤフィールドの長さが、規格に指定された長さに一致するか否かが確認される。
【００７４】
４．４）ＵＳＫＩＤフィールドおよびＡＥクエリ・フィールドの値が、規格に指定された値に一致するか否かが確認される。
【００７５】
ユニキャスト鍵ネゴシエーション確認を分析および検査するプロセスは、以下のとおりであってよい。
【００７６】
５．１）バージョン番号が規格に合致するか否かが検査される。
【００７７】
５．２）データ長フィールドの値がデータ・フィールドの長さに一致するか否かが検査される。
【００７８】
５．３）ＢＫＩＤ、ＵＳＫＩＤ、ＡＤＤＩＤ、ＡＳＵＥ、ＷＩＥ、およびメッセージ認証コード・フィールドの長さフィールドが、規格に指定されたそれらと一致するか否かが検査される。
【００７９】
マルチキャスト鍵告知を分析および検査するプロセスは、以下のとおりであってよい。
【００８０】
６．１）バージョン番号が規格に合致するか否かが検査される。
【００８１】
６．２）データ長フィールドの値がデータ・フィールドの長さに一致するか否かが検査される。
【００８２】
６．３）ＭＳＫＩＤフィールドの値が、規格に指定された範囲内であるか否かが検査される。
【００８３】
６．４）ＵＳＫＩＤフィールドの値が、規格に指定された範囲内であるか否かが検査される。
【００８４】
６．５）ＡＤＤＩＤ、データ・シリアル番号、および鍵告知識別子フィールドの長さフィールドが、規格に指定されたそれらに一致するか否かが検査される。
【００８５】
６．６）鍵データ・フィールドの長さサブフィールドの値と、コンテンツ・サブフィールドの長さとが比較され、同一であるか否かが判定される。
【００８６】
６．７）メッセージ認証コード・フィールドの長さ値が、規格に指定されたそれに合致するか否かが検査される。
【００８７】
ユニキャスト・データ・フレームを分析および検査するプロセスは、以下のとおりであってよい。
【００８８】
７．１）セッション鍵インデックス・フィールドの値が、規格に指定された範囲内であるか否かが検査される。
【００８９】
７．２）データ・パケット・シリアル番号フィールドの値が、規格に指定された範囲内であるか否かが検査される。
【００９０】
７．３）データ・パケット・シリアル番号フィールドの値が、奇数であるか否かが判定される。
【００９１】
マルチキャスト・データ・フレームを分析および検査するプロセスは、以下のとおりであってよい。
【００９２】
８．１）セッション鍵インデックス・フィールドの値が、規格に指定された範囲内であるか否かが検査される。
【００９３】
８．２）データ・パケット・シリアル番号フィールドの値が、規格に指定された範囲内であるか否かが検査される。
【００９４】
この実施の形態の分析および検査のプロセスにおいて、合格の条件は、テスト対象のアクセスポイントが、上述のすべての検査項目が合格された場合にのみこのプロトコル遵守テストに合格するように設定される。換言すると、テスト対象のアクセスポイントは、上記検査項目のどれかに合格できない場合、テストに不合格である。
【００９５】
本発明において、テスト対象のアクセスポイントおよび基準端末におけるＷＡＰＩを可能にする構成の組み合わせをテストするために、ステップ２５０を追加することができる。
【００９６】
ステップ２５０：基準端末およびテスト対象のアクセスポイントのそれぞれのＷＡＰＩを可能にする構成の組み合わせは、以下を含む。
【００９７】
テスト対象のアクセスポイントのアクセス制御機能の実装の正しさが、テスト対象のアクセスポイントと基準端末との間で通信を実行できるか否かを検査することによって判定される。とくには、基準端末およびテスト対象のアクセスポイントのＷＡＰＩを可能にする構成の組み合わせが、以下のシナリオを含む。
【００９８】
９．１）基準端末が、ＷＡＩ事前共有鍵認証および鍵管理によってＷＡＰＩセキュリティ機構を可能にし、テスト対象のアクセスポイントが、証明書認証および鍵管理によってＷＡＰＩセキュリティ機構を可能にする。
【００９９】
９．２）テスト対象のアクセスポイントが、ＷＡＩ事前共有鍵認証および鍵管理によってＷＡＰＩセキュリティ機構を可能にし、基準端末が、証明書認証および鍵管理によってＷＡＰＩセキュリティ機構を可能にする。
【０１００】
上述の２つのシナリオにおいて、テストは、基準端末およびテスト対象のアクセスポイントのＷＡＰＩおよびＷＰＩの間で通信を実行できない場合に、合格される。
【０１０１】
ステップ２５０のテストについて、ステップ２１０〜２４０のテストとの順番関係は、限定されない。ステップ２５０を、その効果に影響なく、ステップ２１０の前またはステップ２４０の後で実行することができる。
【０１０２】
本発明による遵守テスト装置は、図３に示したとおりの構造を有することができ、少なくともデータ・パケット捕捉ユニット３１０およびデータ・パケット検査ユニット３２０を含んでいる。この遵守テスト装置は、さらに保存ユニット３３０を含むことができる。
【０１０３】
データ・パケット捕捉ユニット３１０は、テスト対象のアクセスポイントにおけるセキュア・アクセス認証プロセスのセキュア・アクセス認証プロトコルのデータ・パケットを捕捉し、このデータ・パケットをデータ・パケット検査ユニット３２０へと出力する。データ・パケット検査ユニット３２０は、捕捉されたデータ・パケットが所定の条件に一致するか否かを検査し、捕捉されたデータ・パケットが所定の条件に一致する場合、遵守テストは合格であり、そうでない場合には、遵守テストは不合格である。
【０１０４】
保存ユニット３３０は、テスト対象のアクセスポイントのアクセスポイント証明書を保存することができ、前記所定の条件がアクセスポイント証明書によって検査されるべき項目を含んでいる場合に、データ・パケット検査ユニット３２０が、該当の検査を行う際にアクセスポイント証明書を読み出す。前記所定の条件を、保存ユニット３３０に保存することが可能である。
【０１０５】
データ・パケット検査ユニット３２０によって使用される所定の条件として、以下を挙げることができる。すなわち、捕捉されたセキュア・アクセス・プロトコルのデータ・パケットが、少なくともあらかじめ定められる種類のプロトコルのデータ・パケットをであること、捕捉されたセキュア・アクセス・プロトコルのデータ・パケットの並びが、プロトコルの仕様に合致すること、および／または捕捉されたあらかじめ定められる種類のセキュア・アクセス・プロトコルのデータ・パケットにカプセル化されたフィールドが、プロトコルの仕様に合致することである。ＷＡＰＩプロトコルを展開するテスト対象のアクセスポイントにおいて、あらかじめ定められる種類のセキュア・アクセス・プロトコルのデータ・パケットとして、認証開始パケット、証明書認証要求、アクセス認証応答、ユニキャスト鍵ネゴシエーション要求、ユニキャスト鍵ネゴシエーション確認、マルチキャスト鍵告知、ユニキャスト・データ・フレーム、および／またはマルチキャスト・データ・フレームを挙げることができる。上述の方法の実施の形態を、セキュア・アクセス・プロトコルのデータ・パケットの詳細な説明のために参照することができるが、以下では説明は省略される。
【０１０６】
本発明は、ネットワーク・アクセスポイントにもとづいて設計されており、装置製造者によって製造されたアクセスポイントにおけるセキュア・アクセス・プロトコルの正しい実装および遵守をテストするために使用することができる。本発明によれば、テスト対象のアクセスポイントと基準ネットワーク端末および認証サーバとの間の相互運用性が、プロトコルの相互運用性テストを通じて検査され、さらには、セキュア・アクセス・プロトコルのデータが完全に捕捉され、解析され、分析され、それにもとづいてプロトコル・フロー分析および例外模擬テストが実行されることで、テストに合格した製品が規格および相互運用性に完全に合致していることが保証される。したがって、本発明は、以下の利点を有している。
【０１０７】
１．テスト結果が正確である。本発明は、関連のプロトコル・データの捕捉および完全な分析方法を導入するため、テスト結果がより正確である。
【０１０８】
２．テスト・データが完全である。テストのプロセスが、データの完全な捕捉および分析を含んでいるため、テスト対象の装置におけるプロトコル・データの詳細な情報をもたらすことが可能である。
【０１０９】
３．エラー位置の特定を実行することが可能である。微細な検査がプロトコルの実行プロセスについて行われるため、プロトコルの実装におけるエラーの位置を、精密に特定することが可能である。
【０１１０】
上述した本発明の実施の形態は、本発明の技術的範囲を限定しようとするものではなく、本発明の技術的思想および技術的範囲から離れることなく行われるあらゆる変更、選択、および改善が、特許請求の範囲に定められる本発明の技術的範囲に包含される。
【図面の簡単な説明】
【０１１１】
【図１】本発明によるシステムの接続形態の図を示している。
【図２】本発明の実施の形態による遵守テスト方法のフロー図を示している。
【図３】本発明による遵守テスト装置の構造の概略図を示している。
【図１】
2009528729.tif 000003
【図２】
2009528729.tif 000004
【図３】
2009528729.tif 000005
【国際調査報告】
2009528729.tif 000006
2009528729.tif 000007
2009528729.tif 000008
2009528729.tif 000009