(57)【要約】【課題】無線ネットワークを構成する各無線アクセス装置間にセキュアなリンクを確立できるようにする。【解決手段】本発明の無線アクセス装置は、認証装置と接続する無線ネットワークを構成する複数の無線アクセス装置のそれぞれにおいて、認証依頼をしてきた装置から認証情報を取り次ぎ、所定の認証方式に従って認証装置の認証処理を仲介する認証仲介機能手段と、認証仲介する装置に認証情報を与え、所定の認証方式に従った認証処理を依頼する認証依頼機能手段と、自無線アクセス装置の周辺に位置する近傍無線アクセス装置を検出すると、管理情報に基づいて、自無線アクセス装置を認証仲介機能手段又は認証依頼機能手段のいずれかとして機能させる機能決定手段とを備えることを特徴とする。【選択図】      図１
2006246219.tif 000002
【特許請求の範囲】
【請求項１】
認証装置と接続する無線ネットワークを構成する複数の無線アクセス装置のそれぞれにおいて、
認証依頼をしてきた装置から認証情報を取り次ぎ、所定の認証方式に従って上記認証装置の認証処理を仲介する認証仲介機能手段と、
認証仲介する装置に認証情報を与え、所定の認証方式に従った認証処理を依頼する認証依頼機能手段と、
自無線アクセス装置の周辺に位置する近傍無線アクセス装置を検出すると、管理情報に基づいて、自無線アクセス装置を上記認証仲介機能手段又は上記認証依頼機能手段のいずれかとして機能させる機能決定手段と
を備えることを特徴とする無線アクセス装置。
【請求項２】
上記機能決定手段は、上記近傍無線アクセス装置から接続条件を含むビーコン信号を受信したとき、上記機能決定手段を機能させることを特徴とする請求項１に記載の無線アクセス装置。
【請求項３】
上記機能決定手段は、自無線アクセス装置が上記認証装置と接続できない場合、自無線アクセス装置を上記認証依頼機能手段として機能させるようにすることを特徴とする請求項１又は請求項２に記載の無線アクセス装置。
【請求項４】
上記機能決定手段は、自無線アクセス装置が上記認証装置と接続可能である場合、自無線アクセス装置を上記認証仲介機能手段として機能させるようにすることを特徴とする請求項１又は請求項２に記載の無線アクセス装置。
【請求項５】
上記機能決定手段は、自無線アクセス装置が上記認証装置と接続可能であり、上記近傍無線アクセス装置の経路情報を有しない場合、自無線アクセス装置を上記認証仲介機能手段として機能させるようにすることを特徴とする請求項１又は２に記載の無線アクセス装置。
【請求項６】
上記機能決定手段は、上記近傍無線アクセス装置との間で授受した相互の管理情報の比較により、自無線アクセス装置を上記認証仲介機能手段又は上記認証依頼機能手段のいずれかとして機能させることを特徴とする請求項１、請求項２、請求項４又は請求項５のいずれかに記載の無線アクセス装置。
【請求項７】
上記認証方式に基づいて正当に認証された近傍無線アクセス装置との間の無線リンクに個別の暗号化情報を生成する暗号化情報生成手段と、
自無線アクセス装置が有する１又は複数の無線リンクに個別の暗号化情報を無線リンク毎に管理する暗号化情報管理手段と
を備えることを特徴とする請求項１〜６のいずれかに記載の無線アクセス装置。
【請求項８】
上記暗号化情報生成手段は、少なくとも、上記近傍無線アクセス装置との間で１対１通信をする際に使用する暗号化情報を生成する１対１通信用暗号化情報生成部を有することを特徴とする請求項７に記載の無線アクセス装置。
【請求項９】
上記１対１通信用暗号化情報生成部が、上記無線リンクの暗号通信に関連する暗号化関連情報を上記認証装置から受け取り、上記暗号化関連情報に基づいて、１対１通信用暗号化情報を生成することを特徴とする請求項８に記載の無線アクセス装置。
【請求項１０】
上記暗号化情報生成手段は、自無線アクセス装置が周辺の他の無線アクセス装置に１対複数通信する際に使用する暗号化情報を生成する１対複数通信用暗号化情報生成部を有し、
上記１対複数通信用暗号化情報を周辺に位置する他の無線アクセス装置に送信する通信手段を備える
ことを特徴とする請求項７〜９のいずれかに記載の無線アクセス装置。
【請求項１１】
上記通信手段が、他の無線アクセス装置から上記他の無線アクセス装置が１対複数通信する際に使用する１対複数通信用暗号化情報を受け取ると、
上記暗号化情報管理手段は、上記他の無線アクセス装置の１対複数通信用暗号化情報を、無線アクセス装置毎に管理する
ことを特徴とする請求項１０に記載の無線アクセス装置。
【請求項１２】
認証装置と接続する無線ネットワークを構成する複数の無線アクセス装置のそれぞれにおける無線アクセス方法において、
認証依頼をしてきた装置から認証情報を取り次ぎ、所定の認証方式に従って上記認証装置の認証処理を仲介する認証仲介機能工程と、
認証仲介する装置に認証情報を与え、所定の認証方式に従った認証処理を依頼する認証依頼機能工程と、
自無線アクセス装置の周辺に位置する近傍無線アクセス装置を検出すると、管理情報に基づいて、自無線アクセス装置を上記認証仲介機能工程又は上記認証依頼機能工程のいずれかとして機能させる機能決定工程と
を備えることを特徴とする無線アクセス方法。
【請求項１３】
上記機能決定工程は、上記近傍無線アクセス装置から接続条件を含むビーコン信号を受信したとき、上記機能決定工程を機能させることを特徴とする請求項１２に記載の無線アクセス方法。
【請求項１４】
上記機能決定工程は、自無線アクセス装置が上記認証装置と接続できない場合、自無線アクセス装置を上記認証依頼機能工程として機能させるようにすることを特徴とする請求項１２又は請求項１３に記載の無線アクセス方法。
【請求項１５】
上記機能決定工程は、自無線アクセス装置が上記認証装置と接続可能である場合、自無線アクセス装置を上記認証仲介機能工程として機能させるようにすることを特徴とする請求項１２又は請求項１３に記載の無線アクセス方法。
【請求項１６】
上記機能決定工程は、自無線アクセス装置が上記認証装置と接続可能であり、上記近傍無線アクセス装置の経路情報を有しない場合、自無線アクセス装置を上記認証仲介機能工程として機能させるようにすることを特徴とする請求項１２又は１３に記載の無線アクセス方法。
【請求項１７】
上記機能決定工程は、上記近傍無線アクセス装置との間で授受した相互の管理情報の比較により、自無線アクセス装置を上記認証仲介機能工程又は上記認証依頼機能工程のいずれかとして機能させることを特徴とする請求項１２、請求項１３、請求項１５又は請求項１６のいずれかに記載の無線アクセス方法。
【請求項１８】
上記認証方式に基づいて正当に認証された近傍無線アクセス装置との間の無線リンクに個別の暗号化情報を生成する暗号化情報生成工程と、
自無線アクセス装置が有する１又は複数の無線リンクに個別の暗号化情報を無線リンク毎に管理する暗号化情報管理工程と
を備えることを特徴とする請求項１２〜１７のいずれかに記載の無線アクセス方法。
【請求項１９】
上記暗号化情報生成工程は、少なくとも、上記近傍無線アクセス装置との間で１対１通信をする際に使用する暗号化情報を生成する１対１通信用暗号化情報生成サブ工程を有することを特徴とする請求項１８に記載の無線アクセス方法。
【請求項２０】
上記１対１通信用暗号化情報生成サブ工程が、上記無線リンクの暗号通信に関連する暗号化関連情報を上記認証装置から受け取り、上記暗号化関連情報に基づいて、１対１通信用暗号化情報を生成することを特徴とする請求項１９に記載の無線アクセス方法。
【請求項２１】
上記暗号化情報生成工程は、自無線アクセス装置が周辺の他の無線アクセス装置に１対複数通信する際に使用する暗号化情報を生成する１対複数通信用暗号化情報生成サブ工程を有し、
上記１対複数通信用暗号化情報を周辺に位置する他の無線アクセス装置に送信する通信工程を備える
ことを特徴とする請求項１８〜２０のいずれかに記載の無線アクセス方法。
【請求項２２】
上記通信工程が、他の無線アクセス装置から上記他の無線アクセス装置が１対複数通信する際に使用する１対複数通信用暗号化情報を受け取ると、
上記暗号化情報管理工程は、上記他の無線アクセス装置の１対複数通信用暗号化情報を、無線アクセス装置毎に管理する
ことを特徴とする請求項２１に記載の無線アクセス方法。
【請求項２３】
複数の無線アクセス装置と、少なくとも上記各無線アクセス装置の認証処理をする認証装置とを有して構成する無線ネットワークにおいて、
上記各無線アクセス装置が、請求項１〜１１のいずれかに記載の無線アクセス装置に対応することを特徴とする無線ネットワーク。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、無線アクセス装置、無線アクセス方法及び無線ネットワークに関し、例えば、無線メッシュネットワークを構成するアクセスポイント間に安全な無線リンクを確立させるための一連処理を実行する無線アクセス装置、無線アクセス方法及び無線ネットワークに適用し得る。
【背景技術】
【０００２】
例えば、無線ＬＡＮでのメッシュネットワークは、簡単かつ柔軟に無線ＬＡＮのカバーエリアを拡大できる技術として、家庭、オフィス、キャンパス、地域などでの応用が期待され、無線ＬＡＮ技術の標準化団体であるＩＥＥＥ８０２．１１等でも検討が進められている技術である。
【０００３】
しかし、情報中継するアクセスポイントの設置の自由度が高く、また無線での中継距離が長くなるため、無線ＬＡＮで一般的に指摘されている不正なアクセスポイントが介在する危険性や盗聴改ざんの危険性は高くなることが考えられる。このため、アクセスポイントの認証や通信保護の技術が重要になる（非特許文献１参照）。
【０００４】
非特許文献１には、現在ＩＥＥＥ８０２．１１ｉの仕様にも含まれているＩＥＥＥ８０２．１ｘ認証方式を拡張して、アクセスポイントを認証する技術や中継ネットワークの暗号鍵を管理する技術が開示されている。具体的には、非特許文献１では、アクセスポイントの認証のためＩＥＥＥ８０２．１Ｘ認証方式での認証仲介機能（Authenticator機能）を持つマスターノードを設け、マスターノードが新規アクセスポイントからのメッセージを取り次ぎ、認証サーバによる認証処理を仲介して新規アクセスポイントの認証を行い、新規アクセスポイントの認証終了後、認証サーバが生成したグループ鍵を全アクセスポイントに共通に配布し、そのグループ鍵を暗号鍵として使用するものである。
【非特許文献１】L.Ji,B.Feldman  and  J.Agre,“Self-Organizing  Security  Scheme  for  Multi-Hop  Wireless  Access  Networks”,IEEE2004  Aerospace  Conf.,Big  Skye,MT,March  2004,INTERNET,[2005年2月3日検索],＜http：//www.flacp.fujitsulabs.com/Aerospace04-51.pdf＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述した非特許文献１に記載の暗号鍵管理方式は、全アクセスポイントが鍵を共有するため、１箇所で鍵が漏れるなどの事態が起こった場合、ネットワーク全体のセキュリティが脅かされる危険性がある。
【０００６】
また、このような場合が生じると、メッシュネットワーク中の全ての通信を止めて一度に鍵を変更する必要がある。このように、一時的にネットワーク全体の機能停止あるいは性能低下させることはネットワーク利用者に対して大きな影響を与えてしまう。
【０００７】
さらに、故障修理などでネットワークからアクセスポイントを切り離す場合も、鍵の漏洩によるセキュリティの危険性が問題となり、鍵の変更が必要になるので、あるため、上記と同様な問題が生じ得る。
【０００８】
このような問題は、ネットワークが、大規模になる場合又は地域インフラなどに利用される場合により大きな影響を与えてしまう。特に、メッシュネットワークは、その性質上大規模なネットワークや地域ネットワークへの利用が望まれているため、上記問題解決が強く望まれている。
【０００９】
そのため、ネットワークセキュリティやネットワークの運用等の観点から、無線アクセス装置間に安全な無線リンクを確立するための無線アクセス装置の認証処理及び無線リンク毎の暗号化情報の共有をする無線アクセス装置、無線アクセス方法及び無線ネットワークが求められている。
【課題を解決するための手段】
【００１０】
かかる課題を解決するために、第1の本発明の無線アクセス装置は、認証装置と接続する無線ネットワークを構成する複数の無線アクセス装置のそれぞれにおいて、認証依頼をしてきた装置から認証情報を取り次ぎ、所定の認証方式に従って認証装置の認証処理を仲介する認証仲介機能手段と、認証仲介する装置に認証情報を与え、所定の認証方式に従った認証処理を依頼する認証依頼機能手段と、自無線アクセス装置の周辺に位置する近傍無線アクセス装置を検出すると、管理情報に基づいて、自無線アクセス装置を認証仲介機能手段又は認証依頼機能手段のいずれかとして機能させる機能決定手段とを備えることを特徴とする。
【００１１】
また、第２の本発明の無線アクセス方法は、認証装置と接続する無線ネットワークを構成する複数の無線アクセス装置のそれぞれにおける無線アクセス方法において、認証依頼をしてきた装置から認証情報を取り次ぎ、所定の認証方式に従って認証装置の認証処理を仲介する認証仲介機能工程と、認証仲介する装置に認証情報を与え、所定の認証方式に従った認証処理を依頼する認証依頼機能工程と、自無線アクセス装置の周辺に位置する近傍無線アクセス装置を検出すると、管理情報に基づいて、自無線アクセス装置を認証仲介機能工程又は認証依頼機能工程のいずれかとして機能させる機能決定工程とを備えることを特徴とする。
【００１２】
第３の本発明の無線ネットワークは、複数の無線アクセス装置と、少なくとも各無線アクセス装置の認証処理をする認証装置とを有して構成する無線ネットワークにおいて各無線アクセス装置が、第1の本発明の無線アクセス装置に対応することを特徴とする。
【発明の効果】
【００１３】
本発明の無線アクセス装置、無線アクセス方法及び無線ネットワークによれば、近くに存在する無線アクセス装置同士で無線アクセス装置の認証処理を行なうことができ、認証正当な無線アクセス装置間の無線リンク毎に暗号化情報を設定し、各無線アクセス装置が管理することができるので、ある無線アクセス装置とその近傍無線アクセス装置との間にセキュアな無線リンクを確立させることができる。その結果、例えばネットワーク中に暗号化情報の漏洩等が生じても、ネットワーク全体に被害を拡大させず、局在化させることができる。
【発明を実施するための最良の形態】
【００１４】
（Ａ）実施形態
以下、本発明の無線アクセス装置、無線アクセス方法及び無線ネットワークシステムの実施形態について図面を参照して説明する。
【００１５】
本実施形態は、複数のアクセスポイントを網の目（メッシュ）状に配置して構成される無線メッシュネットワークにおいて、アクセスポイント間にセキュアなリンクを確立させるシステムを説明する。
【００１６】
また、本実施形態では、アクセスポイントの認証プロトコルとしてＩＥＥＥ８０２．１ｘに規定されるものを採用した場合を説明する。
【００１７】
そして、メッシュネットワークを構成する各アクセスポイントが、ＩＥＥＥ８０２．１ｘに規定される認証仲介機能（Authenticator機能）と被認証機能（Supplicant機能）とを共に有し、アクセスポイントの認証処理、及び正当なアクセスポイント間での暗号通信のための鍵の管理方式について詳細に説明する。
【００１８】
（Ａ−１）実施形態の構成
図３は、本実施形態に係るネットワークの基本的な全体構成のイメージを示す構成図である。
【００１９】
図３に示すように、本実施形態のネットワーク１は、４台のメッシュアクセスポイント（以下、メッシュＡＰ）１０１〜１０４と、メッシュゲートウェイ（以下、メッシュＧＷ）１１０、認証サーバ１２０を少なくとも有して構成される。また、メッシュネットワーク１００は、メッシュＡＰ１０１〜１０４及びメッシュＧＷ１１０を有して構成されるものである。なお、図３ではメッシュＡＰの個数を４台としたがメッシュＡＰの構成数は特に限定されない。
【００２０】
認証サーバ１２０は、ＩＥＥＥ８０２．１ｘに規定される認証プロトコルに従って、メッシュネットワーク１００を構成するメッシュＡＰ１０１〜１０４、メッシュＧＷ１１０、及び無線端末（図示しない）のユーザを認証するものである。
【００２１】
認証サーバ１２０は、メッシュＡＰ１０１〜１０４、メッシュＧＷ１１０、及びユーザに関する登録認証情報を管理する認証情報管理機能、メッシュネットワーク１００を構成する各アクセスポイント間の無線リンク毎の暗号通信を実現させるための暗号化鍵の種（例えばＰＭＫ（Pairwise  Master  Key）等）を生成する機能、生成した暗号化鍵の種を各メッシュＡＰ１０１〜１０４及びメッシュＧＷ１１０に配布する機能を少なくとも有するものである。
【００２２】
なお、本実施形態では、認証サーバ１２０がＩＥＥＥ８０２．１ｘに規定される認証プロトコルに従って認証処理を実行するものとして説明するが、後述するように、少なくとも、メッシュネットワーク１００を構成するアクセスポイントがその近傍アクセスポイントの認証を仲介させることができ、当該アクセスポイントとその近傍アクセスポイントとの間の無線リンクに対して個別に暗号化鍵を生成させるための暗号化鍵の種の配信ができれば、認証サーバ１２０が使用する認証プロトコルはＩＥＥＥ８０２．１ｘに限定されず広く適用できる。
【００２３】
メッシュＡＰ１０１〜１０４及びメッシュＧＷ１１０はそれぞれの無線到達範囲内に存在する無線端末（図示しない）と無線接続するものである。また、メッシュＡＰ１０１〜１０４及びメッシュＧＷ１１０は、自アクセスポイントの無線通信可能な範囲内に存在する近くのアクセスポイント（以下、近傍アクセスポイントという）と情報を送受信し、情報を中継し合い送信先に転送するものである。
【００２４】
これにより、メッシュＡＰ１０１〜１０４及びメッシュＧＷ１１０は、自アクセスポイントが接続する複数の無線端末間の通信や、自アクセスポイントが接続する無線端末と、他のアクセスポイントが接続する無線端末又は有線ネットワーク等の外部ネットワークとの間での通信を実現することができる。
【００２５】
メッシュＧＷ１１０は、上述したメッシュＡＰ１０１〜１０４が有する機能に加え、メッシュネットワーク１００と有線ネットワーク等の外部ネットワークとの間を接続するものであり、上述したメッシュＡＰ１０１〜１０４の機能に加え、外部ネットワーク上の装置が有する機能をメッシュネットワーク１００内に対して提供するものである。本実施形態では、メッシュＧＷ１１０は、有線ネットワーク１３０を通じて、メッシュネットワーク１００を構成するアクセスポイント１０１〜１０４と認証サーバ１２０との間の通信を可能にするものである。
【００２６】
メッシュＡＰ１０１〜１０４及びメッシュＧＷ１１０は、ＩＥＥＥ８０２．１ｘに規定される認証プロトコルに従った認証仲介機能（Authenticator機能）と被認証機能（Supplicant機能）とを備え、自アクセスポイント又は近傍アクセスポイントの認証処理を進行させるものである。
【００２７】
このように、認証仲介機能（Authenticator機能）と被認証機能（Supplicant機能）とを共に備えることで、それぞれ近くに存在するアクセスポイント間でアクセスポイントの認証をさせることができる。
【００２８】
例えば、新規アクセスポイントの追加の場合、従来技術のようにマスターノードがアクセスポイントの仲介処理をするのではなく、新規アクセスポイントに最も近いアクセスポイントが仲介処理をさせることができるので、マスターノードの故障等によるアクセスポイントの認証処理の停止の回避や、認証仲介処理の分散化ができる。
【００２９】
また、メッシュＡＰ１０１〜１０４及びメッシュＧＷ１１０は、認証結果が正当な近傍アクセスポイントとの間の無線リンクに対して、認証サーバ１２０から配信された暗号化鍵の種に基づいて暗号化鍵を生成するものである。また、メッシュＡＰ１０１〜１０４及びメッシュＧＷ１１０は、各無線リンク毎に個別の暗号化鍵を管理するものである。
【００３０】
このように、各無線リンクに個別の暗号化鍵を生成し、各アクセスポイントが各無線リンクの暗号化鍵を個別に管理することにより、暗号化鍵の漏洩等があった場合でもメッシュネットワーク１００全体への被害拡大を防止できる。
【００３１】
次に、メッシュＡＰ１０１〜１０４及びメッシュＧＷ１１０の内部構成について図２を参照して説明する。図２は、メッシュＡＰ１０１〜１０４及びメッシュＧＷ１１０のアクセスポイントとしての機能を説明するための機能ブロック図である。
【００３２】
図２において、本実施形態のアクセスポイント２は、メッシュネットワーク側無線通信部２１、機能決定部２２、認証仲介機能部（Authenticator機能）２３、被認証機能部（Supplicant機能）２４、経路情報作成部２５、端末側無線通信部２６、鍵管理部２７、を少なくとも有する。なお、各アクセスポイント２は、無線接続する無線端末の認証機能を有するが、本実施形態のアクセスポイント２の特徴でないので構成及び説明は省略する。
【００３３】
メッシュネットワーク側無線通信部２１は、所定の無線通信方式に従って、自アクセスポイントの近傍アクセスポイントと無線通信するものである。
【００３４】
機能決定部２２は、近傍アクセスポイント２との間で管理情報に基づいて、後述する認証仲介機能部２３又は被認証機能部２４のいずれかを選択し、選択したいずれかの機能を実行させるものである。
【００３５】
認証仲介機能部２３は、ＩＥＥＥ８０２．１ｘに規定される認証プロトコルに従った認証仲介側としての機能を実行するものであり、例えば、被認証側のアクセスポイント２の認証仲介機能、当該アクセスポイント２との間でユニキャスト通信をする際に使用する暗号化鍵（ユニキャスト鍵）の生成機能、ブロードキャスト通信の際に使用する暗号化鍵（ブロードキャスト鍵）の生成機能、ブロードキャスト鍵配布機能等を少なくとも行なうものである。
【００３６】
被認証機能部２４は、ＩＥＥＥ８０２．１ｘに規定される認証プロトコルにおける被認証側としての機能を実行するものであり、例えば、認証仲介側のアクセスポイント２に対して認証を依頼する認証依頼機能と、認証仲介機能部２３と同様に、ユニキャスト鍵生成機能、ブロードキャスト鍵生成機能、ブロードキャスト鍵配布機能等を少なくとも行なうものである。
【００３７】
ここで、本実施形態のアクセスポイント２が管理する暗号化鍵は例えば３種類ある。
【００３８】
第１の鍵は２つのアクセスポイント２間のユニキャスト通信をする際に使用する暗号化鍵（ユニキャスト鍵）である。このユニキャスト鍵は、自アクセスポイント２が接続する無線リンク毎に個別に生成するものであり、各アクセスポイント２は、無線リンク数に応じた数の鍵を管理する。
【００３９】
第２の鍵は自アクセスポイントの近傍アクセスポイントがブロードキャスト通信をする際に使用する暗号化鍵（ブロードキャスト鍵）である。よって、各アクセスポイント２は、自アクセスポイントの近くに存在するアクセスポイント数（無線リンク数）に応じた数の鍵を管理する。
【００４０】
第３の鍵は自アクセスポイントがブロードキャスト通信をする際に使用する暗号化鍵（ブロードキャスト鍵）である。これは、自アクセスポイントが使用するものであるから１個である。
【００４１】
経路情報作成部２５は、所定のルーティングプロトコルに従って、無線メッシュネットワークの経路情報を作成するものである。ここで、アクセスポイント２間で通信の中継経路を決定するルーティングプロトコルには、通信時に動的に経路を決定するREACTIVE型のプロトコルや、通信機器の接続変更時等、端末間通信より事前に経路を決定するPROACTIVE型のプロトコル、両者を組み合わせたハイブリッド型のプロトコル等が考えられるが、本実施形態では、PROACTIVE型のプロトコル又はハイブリッド型のプロトコルを適用できる。
【００４２】
鍵管理部２７は、自アクセスポイントと近傍アクセスポイントとの間のセキュアな双方向通信を実現するために必要な暗号化鍵を管理するものであり、本実施形態では、ユニキャスト鍵、近傍アクセスポイントのブロードキャスト鍵、自アクセスポイントのブロードキャスト鍵の３種類を管理するものである。
【００４３】
端末側無線通信部２６は、所定の無線通信方式に従って、クライアント無線端末（図示しない）と無線通信するものである。
【００４４】
（Ａ−２）第１の実施形態の動作
次に、本実施形態のアクセスポイント２の接続処理時におけるセキュアな無線リンクを確立するための動作について図面を参照して説明する。
【００４５】
以下では、新規のアクセスポイントを追加した場合の接続処理、近傍アクセスポイント間の接続処理、メッシュＧＷ１１０の障害復旧後の接続処理について説明する。
【００４６】
（Ａ−２−１）新規アクセスポイントを追加した場合の接続処理
図４は、新規アクセスポイントがメッシュネットワーク１００に接続する場合のネットワーク構成例であり、メッシュＡＰ３０５が新規アクセスポイントである。メッシュＡＰ３０１〜３０４及びメッシュＧＷ３１０で構成されるメッシュネットワークをメッシュネットワーク３００とする。
【００４７】
また、図５は、メッシュＡＰ３０５の接続処理に係る簡単なシーケンス図である。
【００４８】
すべてのメッシュＡＰ３０１〜３０５はそれぞれビーコン信号を送出している。このとき、ビーコン信号には、各自メッシュＡＰ３０１〜３０５にて管理され自メッシュＡＰ３０１〜３０５が属しているメッシュネットワークの識別情報やアクセスポイントの識別情報などを含ませる。例えば、図４では、メッシュＡＰ３０１〜３０４が構成するメッシュネットワーク３００の識別情報をＳＳＩＤ＝“Ｍｅｓｈ１”とし、メッシュＡＰ３０１の識別情報をＢＳＳＩＤ＝２とし、メッシュＡＰ３０３の識別情報をＢＳＳＩＤ＝３とする。
【００４９】
まず、図４に示すように、メッシュＡＰ３０５がメッシュネットワーク３００に接近してくると、メッシュＡＰ３０５は、メッシュＡＰ３０１及びメッシュａｐ３０３が送出するビーコン信号を受信する。一方、メッシュＡＰ３０１も、メッシュＡＰ３０５が送出するビーコン信号を受信する（Ｓ１０１）。
【００５０】
ここで、複数のビーコン信号を受信する場合、例えばビーコン信号の電界強度の大きいほうをリンク確立を図る相手ＡＰと判断するようにしてもよい。
【００５１】
メッシュＡＰ３０１及びメッシュＡＰ３０５が相互にビーコン信号を受信すると、メッシュＡＰ３０１及びメッシュ３０５はそれぞれ、アクセスポイントの認証処理に係る機能を決定する機能決定処理を行なう（Ｓ１０２）。
【００５２】
図１は、メッシュＡＰにおける機能決定処理の動作を示すフローチャートである。
【００５３】
図１において、メッシュＡＰ３０１及び３０５のそれぞれにおいて、未接続の他のメッシュＡＰから例えば電波強度等の一定条件を満たすビーコン信号が受信されると（Ｓ１）、認証サーバ１２０と接続可能状態であるか否かが確認される（Ｓ２）。
【００５４】
ここで、自メッシュＡＰが認証サーバ１２０に接続可能であるか否かを確認する方法は、種々の方法が考えられるが、例えば、各メッシュＡＰ３０１〜３０５に予め認証サーバ１２０の送信先情報（例えば、ＩＰアドレス等）を登録しておき、各メッシュＡＰ３０１〜３０５が有する経路情報（例えばルーティングテーブル等）を参照しながら、その送信先情報宛のＰＩＮＧを送信し、ＰＩＮＧに対する応答信号が返信されてくるか否かにより確認する方法がある。
【００５５】
このとき、新規アクセスポイントであるメッシュＡＰ３０５においては、メッシュネットワーク３００に接続していないから経路情報がなく、たとえ認証サーバ１２０の送信先情報を有していてもＰＩＮＧに対する応答信号は返信されないから、認証サーバ１２０と接続していないと判断される（Ｓ２）。よって、メッシュＡＰ３０５は、被認証機能部（Supplicant機能）２４を実行する（Ｓ７）。
【００５６】
一方、メッシュＡＰ３０１においては、経路情報を参照して送信したＰＩＮＧの応答信号を確認できるから、認証サーバ１２０と接続可能と判断される（Ｓ２）。
【００５７】
メッシュＡＰ３０１において、認証サーバ１２０との接続可能性が判断されると、接続しようとするメッシュＡＰ３０５への経路情報の有無が判断される（Ｓ３）。この相手ＡＰの経路情報の有無を判断する方法は、種々の方法が考えられるが、例えば、ルーティングテーブルから相手ＡＰの経路情報を検索する方法がある。
【００５８】
メッシュＡＰ３０１の管理情報において、メッシュＡＰ３０５はメッシュネットワーク３００に未接続であり経路情報がないことが確認されると、メッシュＡＰ３０１はＩＥＥＥ８０２．１１ｘに規定の認証プロトコルに従った認証仲介機能部（Authenticator機能）２３を実行する（Ｓ６）。
【００５９】
図５に戻り、上記のように、各メッシュＡＰ３０１及び３０５のそれぞれにおいて機能決定処理がなされると、新規アクセスポイントであるメッシュＡＰ３０５は被認証側としてSupplicant機能を実行し（Ｓ１０３）、メッシュＡＰ３０１は認証仲介側としてAuthenticator機能を実行する（Ｓ１０４）。
【００６０】
各メッシュＡＰ３０１及び３０５においてアクセスポイントの認証処理に係る機能が決定されると、ＩＥＥＥ８０２．１ｘに規定される認証プロトコルに従って、メッシュＡＰ３０１が、認証サーバ１２０の認証処理を仲介して、メッシュＡＰ３０５の認証処理を行なう（Ｓ１０５）。
【００６１】
メッシュＡＰ３０５の認証が成功すると、認証サーバ１２０において、メッシュＡＰ３０１とメッシュＡＰ３０５との間のユニキャスト鍵を生成させるための暗号化鍵の種（例えばＰＭＫ（Pairwise  Master  Key））を生成し、その暗号化の種がメッシュＡＰ３０１及び３０５に配布される（Ｓ１０６）。
【００６２】
認証サーバ１２０から各メッシュＡＰ３０１及び３０５に暗号化鍵の種が配布されると、各メッシュＡＰ３０１及び３０５において、それぞれの暗号化鍵の種が同じものを共有しているかを相互に確認し、メッシュＡＰ３０１とメッシュＡＰ３０５との間のユニキャスト鍵（例えばＰＴＫ（Pairwise  Transient  Key））を生成する（Ｓ１０７）。そして、この生成されたユニキャスト鍵は、各メッシュＡＰ３０１及び３０５の鍵管理部２７に保管される。これにより、メッシュＡＰ３０１とメッシュＡＰ３０５との間の無線リンクに個別の暗号化鍵を生成させることができる。
【００６３】
次に、メッシュＡＰ３０１は、ブロードキャスト通信で使用するブロードキャスト鍵を生成し、そのブロードキャスト鍵を自アクセスポイントの近傍アクセスポイントに対して配信する（Ｓ１０８）。これにより、メッシュＡＰ３０１が所有するブロードキャスト鍵をメッシュＡＰ３０５に与えて保管させることができる。
【００６４】
また、メッシュＡＰ３０５も、ブロードキャスト鍵を生成し（Ｓ１０９）、そのブロードキャスト鍵を近傍アクセスポイントに対して配信する（Ｓ１１０）。これにより、メッシュＡＰ３０５が所有するブロードキャスト鍵をメッシュＡＰ３０１に与えて保管させることができる。
【００６５】
ここで、メッシュＡＰ３０１は、すでにブロードキャスト鍵を有している場合には新たにブロードキャスト鍵を生成することなく、所有するブロードキャスト鍵を配信するようにしてもよい。
【００６６】
また、ブロードキャスト鍵を近傍アクセスポイントに配信させる方法は、例えば、アドホックモードでブロードキャスト通信やマルチキャスト通信を適用することができる。
【００６７】
以上の動作により、メッシュＡＰ３０１とメッシュＡＰ３０５との間で、セキュアな無線リンクを確立することができる。
【００６８】
（Ａ−２−２）近傍アクセスポイント間の接続処理
図６は、近傍アクセスポイント間の接続処理を説明するためのネットワーク構成例を示す。メッシュＡＰ４０１から４０５及びメッシュＧＷで構成されるメッシュネットワークをメッシュネットワーク４００とする。
【００６９】
図６において、メッシュＡＰ４０５及びメッシュＡＰ４０３はそれぞれ、メッシュネットワーク４００に接続しているものであるが、メッシュＡＰ４０５とメッシュＡＰ４０３との間ではセキュアな無線リンクが確立されていない。そこで、以下のようにして、メッシュＡＰ４０３とメッシュＡＰ４０５との間にセキュアな無線リンクを確立させる場合について図４及び図５を参照しながら説明する。なお、図５において、メッシュＡＰ３０５をメッシュＡＰ４０５に置き換え、メッシュＡＰ３０１をメッシュＡＰ４０３に置き換えて説明する。
【００７０】
メッシュＡＰ４０３及びメッシュＡＰ４０５は共にそれぞれの接続可能領域に存在しているので、それぞれが送出するビーコン信号を相互に受信している（Ｓ１０１）。
【００７１】
メッシュＡＰ４０５及びメッシュＡＰ４０３が相互にビーコン信号を受信すると、メッシュＡＰ４０５及びメッシュＡＰ４０３はそれぞれ、アクセスポイントの認証処理に係る機能を決定する機能決定処理を行なう（Ｓ１０２）。
【００７２】
図１において、メッシュＡＰ４０５及び４０３のそれぞれにおいて、未接続の他のメッシュＡＰから例えば電波強度等の一定条件を満たすビーコン信号が受信されると（Ｓ１）、認証サーバ１２０と接続可能状態であるか否かが確認される（Ｓ２）。
【００７３】
このとき、メッシュＡＰ４０５及びメッシュＡＰ４０３は共にメッシュネットワーク４００に接続しているので、認証サーバ１２０と接続可能と判断される。
【００７４】
メッシュＡＰ４０５及びメッシュＡＰ４０３のそれぞれにおいて、認証サーバ１２０と接続可能であると判断されると、相手ＡＰへの経路情報の有無が判断される（Ｓ３）。
【００７５】
このとき、メッシュＡＰ４０５及びメッシュＡＰ４０３はそれぞれ、メッシュネットワーク４００に接続しているから、管理情報としてそれぞれ互いの経路情報を有していることを確認する。
【００７６】
そうすると、メッシュＡＰ４０５及びメッシュＡＰ４０３のいずれのアクセスポイントが認証仲介側として機能し得るが、本実施形態では、円滑にアクセスポイントの認証処理を進行させるため、所定のAuthenticator調整処理を行なうことで、認証仲介側のアクセスポイント及び被認証側のアクセスポイントを決定することとする（Ｓ５〜Ｓ７）。
【００７７】
ここで、Authenticator調整処理は、両者のうち認証仲介するアクセスポイントを選択することができれば種々の方法が考えられるが、例えば、それぞれメッシュＡＰに管理される情報であるＭＡＣアドレスの大小を比較し、例えばＭＡＣアドレスが大きいメッシュＡＰを認証仲介側とし、小さいメッシュＡＰを被認証側と決定する方法がある。また、この調整処理の他の条件として、例えば、ホップ数や、ＡＰの処理能力等に基づいて判断することができる。
【００７８】
図５に戻り、Authenticator調整処理により、例えば、メッシュＡＰ４０５が被認証側としてSupplicant機能を実行し、メッシュＡＰ４０３が認証仲介側としてAuthenticator機能を実行すると（Ｓ１０３、Ｓ１０４）、メッシュＡＰ４０３が、認証サーバ１２０の認証処理を仲介して、メッシュＡＰ４０５の認証処理を行なう（Ｓ１０５）。
【００７９】
その後、新規アクセスポイントの追加動作と同様に、暗号鍵の種（例えば、ＰＭＫ等）の配布（Ｓ１０６）、ユニキャスト鍵の生成（Ｓ１０７）、ブロードキャスト鍵の生成及び配布（Ｓ１０７〜Ｓ１１０）がなされる。
【００８０】
そして、メッシュＡＰ４０５とメッシュＡＰ４０３との間にセキュアな無線リンクを確立させることができる。
【００８１】
なお、メッシュＡＰが、複数のメッシュＡＰが接続可能領域に存在する環境で新規接続を行う場合は、ある一つのメッシュＡＰに対して上記新規メッシュＡＰの接続処理を実行した後、残りのメッシュＡＰに対しては上記近傍メッシュＡＰの接続手順により接続処理を行なう。
【００８２】
（Ａ−２−３）メッシュＧＷの障害復旧後の接続処理
図７は、メッシュＧＷの障害復旧後の接続処理を説明するためのネットワーク構成例を示す。
【００８３】
図７において、メッシュＧＷ５１０に障害が生じてリセットされ機能停止した場合でも、メッシュＡＰ５０１〜５０５は、メッシュネットワークとしての通信機能を維持している。以下では、その後、メッシュＧＷ５１０が復旧した場合の接続処理について図４及び図５を参照して説明する。なお、図５において、メッシュＡＰ３０５をメッシュＡＰ５０１に置き換え、メッシュＡＰ３０１をメッシュＧＷ５１０に置き換えて説明する。
【００８４】
上述のように、メッシュＡＰ５０１〜５０５は、メッシュネットワークの通信機能を維持しているから、ビーコン信号を送出している。また、メッシュＧＷ５１０が再起動すると、メッシュＧＷ５１０もビーコン信号を送出する。
【００８５】
そして、メッシュＧＷ５１０とメッシュＡＰ５０１はそれぞれ、相互に発信するビーコン信号を受信する（Ｓ１０１）。
【００８６】
メッシュＧＷ５１０及びメッシュＡＰ５０１が相互にビーコン信号を受信すると、メッシュＧＷ５１０及びメッシュＡＰ５０１はそれぞれ、アクセスポイントの認証処理に係る機能を決定する機能決定処理を行なう（Ｓ１０２）。
【００８７】
図１において、メッシュＧＷ５１０及びメッシュＡＰ５０１のそれぞれにおいて、未接続の他のメッシュＡＰから例えば電波強度等の一定条件を満たすビーコン信号が受信されると（Ｓ１）、認証サーバ１２０と接続可能状態であるか否かが確認される（Ｓ２）。
【００８８】
このとき、メッシュＡＰ５０１は、メッシュＧＷ５１０の障害による機能停止により、認証サーバ１２０との接続が確認できないので、被認証機能部（Supplicant機能）２４を実行する（Ｓ２、Ｓ７）。
【００８９】
一方、メッシュＧＷ５１０は、障害復旧により有線ネットワーク１３０を通じて認証サーバ１２０に接続可能である（Ｓ２）。
【００９０】
メッシュＧＷ５１０において、認証サーバ１２０と接続可能であると判断されると、メッシュＧＷ５１０の管理情報である相手ＡＰであるメッシュＡＰ５０１への経路情報の有無が判断される（Ｓ３）。
【００９１】
このとき、メッシュＧＷ５１０の障害による機能停止により、メッシュＡＰ５０１の経路情報はクリアされているので、メッシュＧＷ５１０はメッシュＡＰ５０１の経路情報を有していないことを確認する（Ｓ３）。よって、メッシュＧＷ５１０は、認証仲介機能部（Authenticator機能）を実行する（Ｓ６）。
【００９２】
図５に戻り、メッシュＡＰ５０１が被認証側としてSupplicant機能を実行し、メッシュＧＷ５１０が認証仲介側としてAuthenticator機能を実行すると（Ｓ１０３、Ｓ１０４）、メッシュＧＷ５１０が、認証サーバ１２０の認証処理を仲介して、メッシュＡＰ５０１の認証処理を行なう（Ｓ１０５）。
【００９３】
その後、新規アクセスポイントの追加動作と同様に、暗号鍵の種（例えば、ＰＭＫ等）の配布（Ｓ１０６）、ユニキャスト鍵の生成（Ｓ１０７）、ブロードキャスト鍵の生成及び配布（Ｓ１０７〜Ｓ１１０）がなされる。
【００９４】
そして、メッシュＧＷ５１０とメッシュＡＰ５０１との間にセキュアな無線リンクを確立させることができる。
【００９５】
なお、メッシュＧＷ５１０が障害復旧したときに、メッシュネットワーク全体の再構築を行う場合は、上記新規メッシュＡＰの接続処理の動作に従い、メッシュＧＷ５１０の近傍メッシュＡＰから順次接続処理を行っていく。
【００９６】
また、メッシュＧＷ５１０以外の一般のメッシュＡＰ５０１〜５０５が障害復旧する場合は、上記新規メッシュＡＰの接続処理と同様の方式により接続処理が行われる。
【００９７】
（Ａ−３）実施形態の効果
以上のように、本実施形態によれば、アクセスポイントが認証仲介機能部２３と被認証機能部２４とを備え、リンクを確立する両アクセスポイントのネットワーク接続状況に応じていずれかの機能部を実行させることを決定させることにより、近隣するアクセスポイント間で認証処理を行なうことができる。
【００９８】
また、本実施形態によれば、各無線リンク毎に個別の暗号化鍵を設定することができるので、ネットワークの一箇所のリンクやメッシュＡＰに暗号化鍵の漏洩などセキュリティ上の脅威が発生した場合に、他に影響を与えることなく、対処することができる（例えば、対象となるメッシュＡＰのネットワークからの切断や、メッシュＡＰやリンクに関連する暗号鍵の変更等）。
【００９９】
その結果、セキュリティの脅威や復旧の影響を局所化することができ、全体として可用性の高い安定したネットワークサービスを提供することができるようになる。
【０１００】
また、本実施形態は、ＩＥＥＥ８０２．１ｘに規定の認証方式における認証サーバの機能やプロトコルを変更なく実現することが可能であるため、既存のＩＥＥＥ８０２．１ｘ認証方式に対応した認証サーバを利用してメッシュネットワークを管理することが可能になる。
【図面の簡単な説明】
【０１０１】
【図１】本実施形態のアクセスポイントにおける機能決定処理を示す動作フローチャートである。
【図２】本実施形態のアクセスポイントの内部構成例を示すブロック図である。
【図３】本実施形態のネットワークの基本的な構成例を示す全体構成図である。
【図４】本実施形態の新規アクセスポイント追加するときの接続処理を示すネットワーク構成図である。
【図５】本実施形態の両アクセスポイント間の接続処理に係るシーケンス図である。
【図６】本実施形態の近傍アクセスポイント間の接続処理を示すネットワーク構成図である。
【図７】本実施形態のメッシュＧＷの障害復旧後の接続処理を示すネットワーク構成図である。
【符号の説明】
【０１０２】
１…ネットワーク、２…アクセスポイント、２１…メッシュネットワーク側無線通信部、２２…機能決定部、２３…認証仲介機能部、２４…被認証機能部、２５…経路情報作成部、２６…端末側無線通信部、２７…鍵管理部、１０１〜１０４、３０１〜３０５、４０１〜４０５、及び５０１〜５０５…メッシュＡＰ、１１０、３１０、４１０及び５１０…メッシュＧＷ、１２０…認証サーバ。
【図１】
2006246219.tif 000003
【図２】
2006246219.tif 000004
【図３】
2006246219.tif 000005
【図４】
2006246219.tif 000006
【図５】
2006246219.tif 000007
【図６】
2006246219.tif 000008
【図７】
2006246219.tif 000009