(57)【要約】      （修正有）【課題】指紋認識を用いてユーザを認証するワイヤレスローカルエリアネットワークアクセスポイントを提供する。【解決手段】ユーザは、認証されたシステム管理者の支援でワイヤレスアクセスポイントで指紋を登録することができる。登録ユーザがネットワークにアクセスをしようとすると、ユーザは指紋スキャンを提供するように促される。ユーザ装置内の指紋リーダーは、ユーザの指紋を採取する際に使用することができる。採取された指紋は、認証されたユーザの指紋のデータベースと比較するために、ワイヤレスアクセスポイントへ送信される。もしも採取された指紋が有効であれば、ユーザは、アクセスポイントによってワイヤレスネットワークアクセスすることを許可される。【選択図】図１４
2006127502.tif 000002
【特許請求の範囲】
【請求項１】
管理者コンピュータと複数のユーザコンピュータとを備えるワイヤレスローカルエリアネットワークへのアクセス制限をするためにワイヤレスアクセスポイントを使用する方法であって、
管理者コンピュータにおいてユーザの指紋を採取し、
前記管理者コンピュータから前記ワイヤレスアクセスポイントまで採取された前記指紋を転送し、
前記ワイヤレスアクセスポイントにおいて、前記管理者コンピュータからの採取された前記指紋を格納することにより、前記ワイヤレスアクセスポイントにユーザを登録し、
ユーザコンピュータにおいて、前記ローカルエリアネットワークへログオンする際に使用するために指紋を採取し、
前記ユーザコンピュータから前記ワイヤレスアクセスポイントへ新たに採取された指紋を転送し、
前記アクセスポイントにおいて、新たに採取された前記指紋が有効であるということを示す指紋の一致があるかどうかを判断するために、新たに採取された前記指紋と格納されている前記指紋とを比較して前記ユーザを認証し、
前記ワイヤレスアクセスポイントが新たに採取された前記指紋は有効であると判断した場合に、前記ユーザコンピュータに、前記ローカルエリアネットワークへのワイヤレスネットワークアクセスを提供するために、前記ワイヤレスアクセスポイントを使用し、
前記ワイヤレスアクセスポイントが新たに採取された前記指紋は有効でないと判断した場合に、前記ユーザコンピュータに、前記ローカルエリアネットワークへのワイヤレスネットワークアクセスを拒否するために、前記ワイヤレスアクセスポイントを使用する
ことを特徴とする方法。
【請求項２】
前記ワイヤレスアクセスポイントにおいて前記ユーザを登録することには、前記ユーザの装置上で、該ユーザのために新規ユーザ登録画面を表示することが含まれており、前記新規ユーザ登録画面には、前記ユーザがユーザＩＤを入力する領域が含まれることを特徴とする請求項１に記載の方法。
【請求項３】
ワイヤレスネットワークアクセスで前記ローカルエリアネットワークに前記ユーザコンピュータを提供するために前記ワイヤレスアクセスポイントを使用することには、ワイヤレスネットワークアクセスで前記ローカルエリアネットワークに前記ユーザコンピュータを提供するためにＩＥＥＥ ８０２．１１プロトコルを使用することが含まれることを特徴とする請求項１に記載の方法。
【請求項４】
前記管理者コンピュータにおいて前記ユーザの指紋を採取することには、どの指を登録するかを選択可能なオプションを表示することが含まれることを特徴とする請求項１に記載の方法。
【請求項５】
前記管理者コンピュータにおいて前記ユーザの指紋を採取することには、該ユーザの指紋を登録するために、該ユーザのどの指を使用するかを選択するために、指と共に手についてのインタラクティブなグラフィカル表示を用いることが含まれることを特徴とする請求項１に記載の方法。
【請求項６】
前記ワイヤレスアクセスポイントにおけるユーザ登録が完了した時に、前記ユーザのために前記管理者コンピュータで少なくとも１つの確認画面を表示することをさらに含むことを特徴とする請求項１に記載の方法。
【請求項７】
所定ユーザを認証するために前記ワイヤレスアクセスポイントで指紋を採取する時に、何本の指がスキャンされるかを前記管理者に選択させるために前記ワイヤレスアクセスポイントを使用することをさらに含むことを特徴とする請求項１に記載の方法。
【請求項８】
前記ワイヤレスアクセスポイントに対して指紋を採取するために前記ユーザコンピュータに外付けされた指紋スキャナを使用することをさらに含むことを特徴とする請求項１に記載の方法。
【請求項９】
前記ワイヤレスアクセスポイントに対して指紋を採取するために前記ユーザコンピュータ内にある一体型指紋スキャナ付きのネットワークインタフェースカードを使用することをさらに含むことを特徴とする請求項１に記載の方法。
【請求項１０】
指紋照合によって前記ワイヤレスアクセスポイントで前記管理者を認証することをさらに含むことを特徴とする請求項１に記載の方法。
【請求項１１】
前記ユーザの指紋が前記管理者コンピュータで採取される前に、前記管理者が前記管理者コンピュータに認証のために管理者ＩＤと管理者の指紋とを提供することを特徴とする請求項１に記載の方法。
【請求項１２】
複数のユーザのコンピュータを備えるワイヤレスローカルエリアネットワークへのアクセスを制限するためにワイヤレスアクセスポイントを使用する方法であって、
ユーザのコンピュータにおいて前記ユーザの指紋を採取し、
前記コンピュータと前記ワイヤレスアクセスポイントとの間のワイヤレスリンクを超えて、前記指紋を前記ユーザの前記コンピュータから前記ワイヤレスアクセスポイントまで転送し、
前記アクセスポイントにおいて、転送された前記指紋を用いて前記ユーザを認証をする
ことを特徴とする方法。
【請求項１３】
登録処理の間、前記ユーザの指紋を採取して前記ワイヤレスアクセスポイントの記憶装置に採取された前記指紋を格納することにより、前記ワイヤレスアクセスポイントに前記ユーザを登録することをさらに含む特徴とする請求項１２に記載の方法。
【請求項１４】
前記ユーザを認証することには、前記ワイヤレスアクセスポイントにおいて前記ユーザ認証をするためにユーザＩＤを使用することをさらに含むことを特徴とする請求項１２に記載の方法。
【請求項１５】
前記ユーザを認証することには、前記アクセスポイントに格納されている前記ユーザの指紋を探すために前記ユーザＩＤを使用して、一致するかどうかを確認するために探し出された登録ユーザの指紋と転送された前記指紋とを比較することが含まれることを特徴とすることを特徴とする請求項１２に記載の方法。
【請求項１６】
前記ワイヤレスアクセスポイントが、転送された前記指紋は有効でないと判断した場合に、前記ユーザにエラーメッセージを表示することをさらに含むことを特徴とする請求項１２に記載の方法。
【請求項１７】
モデムを通じて前記ローカルエリアネットワークを接続してインターネットアクセスするために、前記ワイヤレスアクセスポイントのポートを使用することをさらに含むことを特徴とする請求項１２に記載の方法。
【請求項１８】
指紋登録中に、どの指を登録するかを選ぶためクリックするグラフィカルな手や指を前記ユーザのために画面表示することをさらに含むことを特徴とする請求項１２に記載の方法。
【請求項１９】
指紋リーダーで前記ユーザの指紋を採取するために、前記ユーザの指を複数回読み取ることをさらに含むことを特徴とする請求項１２に記載の方法。
【請求項２０】
前記ワイヤレスアクセスポイントに接続されている管理者コンピュータ上の画面に表示し、
前記画面での管理者とのやり取りに応じて、前記ワイヤレスアクセスポイントにおいて認証をするために、ユーザの指紋情報を採取する時に、何本の指を使用するかを調整する
ことをさらに含むことを特徴とする請求項１９に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
発明の背景
本発明は、ワイヤレスネットワーク、特に指紋認証機能を備えたワイヤレスアクセスポイントに関する。
【０００２】
ローカルエリアネットワークは、家庭やオフィス環境においてコンピュータを相互に接続するために用いられている。
標準的な規格によって、複数のコンピュータが、イーサネット（登録商標）ネットワークによって相互に接続されている。
【０００３】
このイーサネット（登録商標）ネットワークは一般的ではあるものの、有線イーサネット（登録商標）ローカルエリアネットワーク（ＬＡＮ）は、広範囲にわたってケーブルを敷設する必要がある。従って、ワイヤレスＬＡＮが次第に一般的になりつつある。
【０００４】
例えば、ＩＥＥＥ ８０２．１１ａ／ｂ／ｇワイヤレスＬＡＮ規格のようなワイヤレスＬＡＮ（ＷＬＡＮ）技術により、適切なワイヤレスネットワーク機能を搭載したノートパソコン利用者は、物理的なケーブル接続をすることなく、ネットワークにログオンすることができる。ワイヤレス接続した利用者は、ＬＡＮ用のワイヤレスアクセスポイントの範囲内で自由に移動することができる。
【０００５】
このようにワイヤレスＬＡＮは便利であるが、それらは潜在的なアタッカー（攻撃者）に対して比較的さらされている状態であるため、しばしばセキュリティチャレンジを行う。ワイヤレスＬＡＮへのアクセス制御をするための従来技術は、ＳＳＩＤ（Ｓｅｒｖｉｃｅ Ｓｅｔ Ｉｄｅｎｔｉｆｉｅｒ）パスワード、ＷＥＰ（ワイヤードイクイバレントプライバシー）による暗号化、及びＭＡＣ（媒体アクセス制御／メディアアクセスコントロール）によるアドレスフィルタリングに基づくものである。
【０００６】
ワイヤレスＬＡＮのＳｅｒｖｉｃｅ Ｓｅｔ Ｉｄｅｎｔｉｆｉｅｒ（ＳＳＩＤ）は、ＬＡＮのワイヤレスアクセスポイントにプログラムされた識別値である。
ユーザのコンピュータが正しいＳＳＩＤをネットワークに送ることができない場合は、アクセスポイントによってそのネットワークへのアクセスが拒絶される。ＳＳＩＤは、アクセスポイントとそれに接続しているユーザとの間における共有パスワードとして機能する。ＳＳＩＤによって提供されるセキュリティは弱いものである。この理由として、ＳＳＩＤは送信中の暗号化がされておらず、権限のないユーザがそれを妨害することができるからである。
【０００７】
ＷＥＰ暗号化技術は、傍受からネットワークを保護することを意図している。ＷＥＰ暗号化規格は、ＩＥＥＥ ８０２．１１構造によって特定される。ＷＥＰ技術によって、ワイヤレスネットワーク上で無線送信されるパケットが暗号化される。しかしながら、ＷＥＰ暗号化構造は、妨害を受けたり、また多くの暗号化パケットを分析されたりすることによって、壊れることがある。
【０００８】
ＭＡＣアドレスフィルタリングは、ＬＡＮのアクセスポイントに、既知のＭＡＣアドレスに基づくクライアントに対するネットワークアクセスを許可或いは拒否する。ＭＡＣアドレスは、ＬＡＮにおける非常にユニークなレイヤー２のネットワーク識別子として以前より使用されてきた。Ｏｒｇａｎｉｚａｔｉｏｎ Ｕｎｉｑｕｅ Ｉｄｅｔｉｆｉｅｒｓ（ＯＵＩ）は、ハードウェア製造者によって割り当てられるが、今日使用されているすべてのＬＡＮベースの装置についてＭＡＣアドレスはグローバルで一意である。多くの場合、ワークステーションのＭＡＣアドレスは、認証因子として、或いは、異なったレベルのネットワークかシステム特権をユーザに与えるユニークな識別子として使用される。
【０００９】
８０２．１１ ＷＬＡＮｓ等のワイヤレスＬＡＮで、ＭＡＣアドレスフィルタリングに基づくユーザ追跡と認証操作を使うことができる。しかしながら、特にシステム内に多くのユーザがいる時に、ＭＡＣアドレスに基づく認証の仕組みは、その実行が厄介になる場合がある。さらに、アタッカーは、妨害をしたり、正規のＭＡＣアドレスを再利用することにより、ＭＡＣアドレスフィルタリングを用いて保護されているネットワークにしばしば進入することができる。また、ＭＡＣアドレスフィルタリングは、ユーザではなく、装置の同一性を認証する。
【００１０】
従って、ワイヤレスネットワークについて、改良されたセキュリティを提供できることが望ましい。
【００１１】
発明の概要
本発明は、ワイヤレスローカルエリアネットワーク（ワイヤレスＬＡＮ）がワイヤレスアクセスポイントを使用することでサポートされる。システムの操作は管理者によって管理することができる。例えば、管理者は、ユーザ登録や登録設定の調整の処理にかかわることができる。
【００１２】
指紋認証は、ワイヤレスＬＡＮのユーザ認証に使用することができる。新規ユーザの登録の際に、そのユーザの指紋が採取される。その後、採取された指紋は、管理者によってアクセスポイントに格納することができる。ユーザＩＤは認証操作を容易にするために、登録された指紋と一緒に格納することができる。
【００１３】
ユーザがＬＡＮにワイヤレスアクセスを希望する場合は、ユーザは認証のために指紋を提供するように促される。ユーザの指紋がユーザのコンピュータで採取された後、採取された指紋を認証のためにワイヤレスアクセスポイントへ送信することができる。
【００１４】
認証操作の間、ワイヤレスアクセスポイントは、そのユーザの指紋とユーザがシステムにユーザ登録をした際に格納された指紋とを比較することができる。もしも新たに採取した指紋が登録の間に提供された指紋と一致する場合、アクセスポイントは、ユーザの指紋が有効であると判断し、ユーザがローカルエリアネットワークリソースへワイヤレスアクセスすることを許可することができる。もしも新たに採取した指紋がワイヤレスアクセスポイントに格納された指紋と一致しない場合、ワイヤレスアクセスポイントは、ユーザにエラーメッセージを出すことができ、ネットワークアクセスを拒否することができる。
【００１５】
管理者は、システムにアクセスするためにいくつの指紋が必要であるかを指定することができる。例えば、３つの指紋が必要である場合、２つの有効な指紋しか提供しないユーザについて、ネットワークアクセスを拒否することができる。
【００１６】
ＭＡＣアドレスフィルタリング、ＳＳＩＤ及びその他のアクセスコントロール処理のような他のセキュリティ構造を補うために、指紋に基づくアクセスコントロールを用いることができる。
【００１７】
本発明のさらなる特徴、性質、並びにさまざまな効果は、次の図面や好適な実施例の説明から、より明らかになるであろう。
【００１８】
好適な実施例の説明
本発明は、ワイヤレスローカルエリアネットワーク、ローカルエリアネットワークのためのワイヤレスアクセスポイント、及び指紋認証を使用してワイヤレスローカルエリアネットワークへのアクセス制限をすることに関する。
【００１９】
本発明に係るワイヤレスローカルエリアネットワークを運用し得るシステム環境が図１に示されている。システム１０において、ワイヤレスローカルエリアネットワーク１２は、通信ネットワーク１８を通じてサーバ１４やユーザ１６のようなリソースに接続される。例えば、通信ネットワーク１６はインターネットでもかまわない。ローカルエリアネットワーク１２におけるモデム２０は、ローカルエリアネットワーク１２を通信ネットワーク１６に接続するために用いることができる。例えば、モデム２０は、ケーブルモデムやＤＳＬモデムでもかまわない。モデム２０によって、ネットワーク１２におけるユーザは、サーバ１４等からウェブの内容を得るために、ユーザ１６のようなユーザと電子メールによるメッセージの送受信を行うことができる。
【００２０】
ネットワーク１２は複数のコンピュータ２２を含んでいる。コンピュータ２２は、パーソナルコンピュータ、ノートコンピュータ、ワークステーション、ハンドヘルドコンピュータ、その他あらゆる他の適切なコンピュータ装置でもかまわない。ワイヤレスＬＡＮアクセスポイント２８は、コンピュータ２２をネットワーク１２に接続するために使用することができる。コンピュータ２２は、ワイヤレス接続２６を用いてＬＡＮ１２に接続することができる。必要であれば、ワイヤレスアクセスポイント２８は有線接続を可能にするために、１つ以上のイーサネット（登録商標）ポートや他のポートがあってもかまわない。図１の例では、いくつかのパーソナルコンピュータ２２が、有線接続２４を使用してアクセスポイント２８に接続されている。有線接続２４はイーサネット（登録商標）ケーブルや他の適切なネットワーク配線に基づくようにできる。
【００２１】
一般に、あらゆる適切なリソースをネットワーク１２に接続することができる。例えば、プリンタ、記憶装置、通信装置及びその他のリソースをネットワーク１２に接続することができる。ネットワーク１２上のどのユーザが特定のリソースを使用するということを調整するために、アクセス規定を使用することができる。例えば、アクセス規定は、ある特定のユーザに対し、特定のプリンタへのアクセスを制限するために使用することができる。また、アクセス規定は、特定のストレージデバイスやインターネットにアクセスをするユーザを制限するために使用することができる。
【００２２】
アクセスポイント２８の実例が図２に示される。処理回路３０を用いて処理機能が提供される。アクセスポイント２８に処理機能を提供するために、あらゆる適切な１つ以上のプロセッサを用いることができる。例えば、アクセスポイント２８には、処理回路３０の処理機能を提供するために、マイクロプロセッサ、マイクロコントローラ、デジタル信号プロセッサ、アプリケーション特定の一体型回路、カスタムロジック、その他の適当な処理回路、そしてそれらの組み合わせたものがあってもかまわない。処理機能は、ハードウェアとソフトウェアを組み合わせて使用することによって提供することができる。アクセスポイント２８は、アクセスポイントソフトウェアを処理回路３０やアクセスポイント２８上の他のハードウェア上でロードし起動することにより、必要な機能を実行するように設定することができる。
【００２３】
記憶装置３２は、ソフトウェアとデータを格納するために使用することができる。例えば、記憶装置３２は、ユーザ認証のために指紋テンプレートのような認証情報を格納するために使用することができる。また、記憶装置３２は、アクセスポイント２８の操作を制御するための操作指示（ソフトウェア）を格納するために使用することができる。記憶装置３２において、あらゆる適切なメモリやストレージデバイスを使用することができる。例えば、ランダムアクセスメモリは、１つ以上のメモリキャッシュをサポートするために使用し、処理回路３０が出した指示を格納するために使用することができる。より大量に格納することが必要であれば、ハードディスクドライブを使用することができる。不揮発性メモリは、ブートＲＯＭや他の不揮発性ストレージニーズとして使用することができる。記憶装置３２のいくつかは、処理回路３０（例えば、マイクロプロセッサの上のメモリブロック）の処理回路と同じチップ上にあるメモリによって提供することができる。これらは記憶装置３２の処理について単に説明したに過ぎない。必要であれば、あらゆる適切な格納技術をアクセスポイント２８に使用することができる。
【００２４】
アクセスポイント２８は、コンピュータ２２や他のワイヤレス機能を持つリソースがローカルエリアネットワーク１２へワイヤレス接続をすることを許可するために、ワイヤレス送受信回路３４を備える。ワイヤレスアクセスポイント２８は、あらゆる必要なプロトコルを使用してワイヤレス接続をサポートすることができる。例えば、ワイヤレスアクセスポイント２８は、８０２．１１（ｂ）、８０２．１１（ａ）、及び８０２．１１（ｇ）のようなＩＥＥＥ ８０２．１１規格を組み合わせて使用することができる。例えば、アクセスポイント２８は、８０２．１１ｂ／ｇ、８０２．１１ａ／ｂ／ｇ、８０２．１６等のアクセスポイントであってもよい。必要であれば、他の規格もサポートすることができる。
【００２５】
入出力回路３６は、有線接続でアクセスポイント２８とネットワーク１２における他のリソースとを接続するために用いることができる。例えば、入出力回路３６のＵＳＢポートや入出力回路３６のイーサネット（登録商標）ポートは、アクセスポイント２８を入出力接続３８を通じてモデム２０や他の外部のコミュニケーション装置に接続するために用いることができる。必要であれば、モデム２０はアクセスポイント２８に組み入れることができる。一例として、アクセスポイント２８が、ネットワークセットアップ操作の間、外付けモデムのセットアップに関する作業を除くために、一体型ケーブルモデムを備えてもよい。
【００２６】
入出力回路３６はイーサネット（登録商標）ポートとスイッチ、或いはアクセスポート２８とコンピュータ２２、外付けドライブのようなストレージデバイス、プリンタ、スキャナ、および他のネットワークリソースとを接続できるようにするための、他の適切な入出力回路を含むことができる。イーサネット（登録商標）ケーブルなどの有線接続２４は、入出力回路３６を通じリソースをアクセスポイント２８に接続するために用いることができる。入出力回路は、イーサネット（登録商標）ポート、パラレルポート、シリアルポート（例えば、ＵＳＢポート）、そして周辺機器が直接接続される他の入出力ポートを含むことができる。また、周辺機器一式がハブや他の割り当てられたネットワーク規格を通じて接続されているポート（例えば、ＵＳＢポートやイーサネット（登録商標）ポート）を含むことができる。
【００２７】
処理回路３０、記憶装置３２、ワイヤレス送受信回路３４、及び入出力回路３６は、必要なあらゆるワイヤレスアクセスポート機能をサポートするために使用することができる。例えば、アクセスポイント２８は、有線ネットワーク、印刷サーバ機能、ファイアウォール機能、セキュリティ機能等をサポートするために、これらのリソースを使用してもよい。これらの機能は、ネットワーク１２の必要性に基づいて、あらゆる適切な組み合わせで提供することができる。
【００２８】
アクセスポイント２８は、データ暗号化をサポートすることができる。例えば、ワイヤレス送受信回路３４によってワイヤレス接続２６上に送られたデータは、ＷＥＰ暗号技術を用いることで、暗号化することができる。また、ある既知のコンピュータ２２にネットワーク１２へのアクセスを制限をするためにＭＡＣアドレスフィルタリングを用いることにより、セキュリティを追加することができる。
【００２９】
内部印刷サーバ機能を用いることにより、ＬＡＮ１２のユーザは、入出力回路３６を通じてアクセスポイント２８に取り付けられたプリンタで印刷することができる。
【００３０】
アクセスポイント２８は、有線接続されたコンピュータ２２を相互接続するために、有線ハブの役割をなす入出力回路３６に切替装置（スイッチ）をつけることができる。例えば、アクセスポイント２８には、ＬＡＮ１２にコンピュータ２２や他の有線イーサネット（登録商標）装置を接続するために、４ポート全二重１０・１００イーサネット（登録商標）スイッチを含ませることができる。
【００３１】
また、アクセスポイント２８には、ルータ機能を含ませることができる。例えば、ルータ機能によって、アクセスポート２８に接続されているコンピュータ２２がモデム２０を通じてケーブルインターネット接続やＤＳＬインターネット接続を共有することや、アクセスポイント２８に接続されているプリンタやハードディスク等の装置の共有が可能となる。
【００３２】
アクセスポイント２８にはファイアウォールが含まれており、仮想プライベートネットワーク機能をサポートすることができる。
【００３３】
アクセスポイント２８に組み込まれた機能によって、アクセスポイント２８は、ワイヤレスアクセスポイント、ワイヤレスルータ、ワイヤレスアクセスポイントルータ、ワイヤレスゲートウェイ等と呼ぶことができる。これらの異なった種類のアクセスポイントは、まとめて「アクセスポイント」、或いは「ワイヤレスアクセスポイント」と呼ばれている。
【００３４】
アクセスポイント２８が決して高価なものにならないようにするために、アクセスポイント２８には、一般のコンピュータにあるようなキーボードやディスプレイ等の構成がない。
【００３５】
コンピュータ２２は、パーソナルコンピュータ、ノートコンピュータ、ワークステーション、ハンドヘルドコンピュータ等のいかなるコンピュータであっても、ＬＡＮ１２において使用することができる。指紋認証機能をサポートするために、コンピュータ２２には、指紋読み取り機能があることが望ましい。指紋リーダー（指紋スキャナとも呼ばれる）は、各コンピュータ２２に含ませることができる。図３Ａは、一体型指紋リーダー４０を伴ったネットワークインタフェースカード（ＮＩＣ）がどのような状態にあるかを示す。図３Ｂは、コンピュータ２２に外付けの指紋リーダー４２がどのような状態にあるかを示す。外付けの指紋リーダー４２は、ＵＳＢケーブルや他のあらゆる適切なコミュニケーションパスを用いて、コンピュータ２２に接続することができる。例えば、外付けの指紋リーダー４２は、ＵＳＢ接続、ＲＳ−２３２接続、または他の適切なシリアル有線接続やパラレル有線接続によって、コンピュータ２２におけるメインユニットに接続することができる。
【００３６】
各コンピュータ２２の指紋リーダーは、そのコンピュータを使用しているユーザの指紋を読み取るために使用することができる。アクセスポイント２８は、ユーザがＬＡＮ１２の正当なメンバーか或いはアタッカーであるかどうかを確認するために、ユーザの指紋を使用することができる。そして、そのユーザの指紋が正当なものである場合には、ユーザは、ネットワーク１２にログインし、ネットワークリソースへアクセスすることが許される。
【００３７】
指紋リーダーによって採取された指紋データは、あらゆる適切な形式で保存することができる。例えば、指紋データを圧縮するために適切なデータ圧縮方法を用いることにより（例えば、指紋のうねりの先端部分や分岐部分等の特徴的な細部や、様々な指紋の渦巻の位置とその他の特性に注目することにより）、データ格納と送信における必要条件を減らすことができる。指紋リーダー２０によって採取された指紋データは、この点で、しばしば「指紋スキャン」や「指紋」と呼ばれる。
【００３８】
ワイヤレスＬＡＮ１２へのアクセスを制限するために、アクセスポイント２８を使用することに関する実例の概要が、図４に示されている。図４の実例において、新規ユーザは、ネットワーク１２に登録することが示されている。そして、新規ユーザは、ネットワーク１２にアクセスするために、指紋認証を用いることができる。
【００３９】
ステップ４４では、ネットワーク管理者は、ネットワーク１２、又は管理者のコンピュータ２２にログインする。管理者は、新規ユーザを登録するための権限が与えられているネットワークユーザである。管理者は、通常、ネットワークセキュリティ設定等のような他の責任を負う。管理者は、通常、ネットワーク１２のコンピュータ２２の１つに接続されている。家庭内ネットワークにおいて、管理者は、通常、ネットワーク１２のアクティブユーザである。ログオン手順４４の間、ネットワーク１２における管理者のコンピュータや他のコンピュータ設備は、管理者資格をチェックするために用いられる。管理者が本人であることとその管理者権限が本物であることが一旦確かめられると、当該管理者はログインすることができる。
【００４０】
管理者ログイン手順の間、管理者は、ユーザ名とパスワード認証、指紋認証等の適切な認証技術を用いて、本人であることを証明することができる。ネットワーク１２における管理者コンピュータ２２や他の適切な装置は、ステップ４４の間、管理者権限を確認するために用いらえる。
【００４１】
管理者は、ログインした後、新規ユーザから読み取った指紋を管理することができる。一般的には、管理者は自分のコンピュータ２２にログインする。管理者のコンピュータ２２には、指紋を読み取るための指紋リーダーが備わっている。ステップ４６において、管理者は新規ユーザに対して、管理者のコンピュータに備わっている指紋リーダー上に指を置くように求める。そして、新規ユーザの指紋登録処理について管理者とユーザを案内する、管理者コンピュータのクリッカすることができる画面上に表示されるオプションによって、やりとりすることができる。登録や認証のためにスキャンしなければならない指の数を指定するアクセスポイント設定は、インタラクティブ画面を使用することにより、管理者が調整することができる。
【００４２】
管理者は、新規ユーザが確実に、適切な指紋スキャン処理に従い、偽の指紋を提出しないようにするため、登録手続の間、当該新規ユーザを管理することができる。これによって、新規ユーザの指紋を確実に採取でき、またネットワーク１２のセキュリティが危険にさらされなくなるという効果がある。
【００４３】
新規ユーザの指紋がステップ４６で採取された後に、その新しい指紋をワイヤレスアクセスポイント２８に提供することができる。指紋を確実にアクセスポイント２８へ転送するために、管理者は、ステップ４８でアクセスポイントにログインすることができる。アクセスポイント２８にログインするために、あらゆる適切な技術を用いることができる。一般的に、管理者は、アクセスポイント２８からウェブページを見るために、管理者コンピュータ２２上のウェブブラウザを使用する。アクセスポイント２８は、この機能でウェブサーバとして機能し、ウェブページを管理者コンピュータ２２に提供する。安全なプロトコル（例えば、セキュア・ソケット・レイヤー、すなわちＳＳＬ）は、アクセスポイント２８が管理者コンピュータ２２へウェブページを確実に提供するために使用される。
【００４４】
管理者に提供されるウェブページには、多くのオプション（例えば、ＷＥＰ設定、ＭＡＣ設定、ＳＳＩＤ設定、そして指紋設定等のアクセスポイント２８への設定に関連したオプション）が含まれる。また、管理者コンピュータに提供されるウェブページには、管理者が新規ユーザの指紋のアップロードを選択できるオプションを含んでいることが望ましい。
【００４５】
管理者は、管理者コンピュータからステップ５０でアクセスポイント２８へ新規ユーザの指紋の転送を開始するために、このウェブページにおいて「アップロード」や他の適切なオプションを選択することができる。必要であれば、アクセスポイント設定を調整し、他の適切な形式を使用して、スキャンした指紋を管理者コンピュータからアクセスポイントへ転送する機能が提供される。ここでウェブページをベースとした形式を使用しているのは、単なる一例に過ぎない。
【００４６】
アクセスポイント２８が新規ユーザのために指紋データを受け取った後、アクセスポイント２８は、１つ又は複数の指紋をステップ５２で記憶装置３２に格納する。記憶装置３２に格納されるスキャンされた指紋は、あらゆる適切な形式によって格納することができる。例えば、スキャンされた指紋は、それに対応するユーザＩＤと共に、認証をうけたネットワークユーザのデータベース内に格納することができる。
【００４７】
指紋の登録処理が完了すると、アクセスポイント２８は、ネットワーク１２で認証されたユーザの指紋に関する情報を有する。従って、新規ユーザは、ネットワーク１２にログインする際に、指紋スキャナがあるコンピュータ２２を使用することができる。ログイン手続の間、アクセスポイント２８は、新規ユーザの認証のために指紋スキャンを提供する必要がある。ユーザの指紋を採取するために、ユーザのコンピュータ２２にある指紋リーダーを用いることができる。ユーザから新たに取得された指紋と記憶装置３２に格納されている指紋とを比較することにより、アクセスポイント２８は、新規ユーザに対して、ネットワーク１２のネットワークリソースへアクセスする権限を与えてよいかどうかを判断することができる。もしも指紋が一致する場合、アクセスポイント２８は、新規ユーザがネットワークへアクセスすることを認めることができる。もし指紋が一致しない場合には、アクセスを拒絶することができる。
【００４８】
図４の例において、新規ユーザの登録を管理する前に、管理者は、管理者コンピュータにログインする。そして、新規ユーザから採取した指紋を登録のためにアクセスポイントへ転送する前に、管理者は、アクセスポイントにログインする。必要であれば、管理者は、アクセスポイント２８へログインするだけでよい。このような方法で、アクセスポイント２８は、管理者資格をチェックする。そして、管理者資格が真であれば、管理者コンピュータに対して適切な登録画面を提供するためにアクセスポイントを使用することにより、新規ユーザの登録処理が実行される。ユーザの指紋が採取された後、その取得された指紋は、アクセスポイントに格納される。この手続自身満足ができるものではあるが、より標準的な手続においては、ユーザの指紋を取得する前に、ネットワーク管理者は、管理者コンピュータ２２にログインする。
【００４９】
登録及び認証手続の間、ユーザのために表示されているインタラクティブ画面の形式や数は、要求されるユーザの経験の種類にゆだねられる。一般に、より多くの画面を使用することにより、ユーザが選択可能なオプション、説明文や説明画像を表示する画面領域もより多く提供される。画面をいくつも使用しないユーザは、より能率的な場合がある。一般に、あらゆる適切な数や種類の画面を表示することができる。
【００５０】
画面の中には、コンピュータ２２上で作動しているソフトウェアによって生成され、表示されるものもある。例えば、コンピュータ２２上で動いているウェブブラウザは、アクセスポイント２８で実行されるウェブサーバによって提供されるウェブコンテンツの表示に使用することができる。また別の例として、管理者コンピュータ２２上で作動しているソフトウェアは、そのコンピュータにログインする際に、管理者を認証をするために使用することができる。登録されたユーザがアクセスポイント２８を通じてネットワーク１２にログインしている際に、ユーザコンピュータ２２とアクセスポイント２８の両方又はいずれか一方のソフトウェアは、ログオン画面を表示することができる。一般に、あらゆる適切な数や種類の画面上に表示することができ、そしてシステム１０においてこれらの画面を表示するために、あらゆる適切な設備を使用することができる。ここで説明する画面は単なる一例である。
【００５１】
管理者ログイン画面５６は図５に示されている。画面５６には、画面５６が管理者ログイン画面であるということをユーザへ知らせるタイトル５８を含ませることができる。指示６０は、管理者にログイン方法を指示することができる。管理者ログイン手続において、あらゆる適切な認証技術を使用することができる。図５の例において、指示６０は、管理者ユーザＩＤ（管理者ＩＤ）ボックス６２に管理者ＩＤを入力し、管理者の指紋取得６４をクリックするように案内する。管理者コンピュータ２２には、管理者がオプション６４をクリックする前に適切な指を置く指紋リーダーがある。
【００５２】
管理者がオプション６４をクリックした後に、管理者の指紋が、指紋リーダーによって採取される。採取された指紋は、格納されている管理者の指紋と比較される。そして、採取された指紋データが格納された指紋データと一致すると、管理者は認証され、ログインすることができる。図６に示すように、指紋が首尾よく処理されたことを管理者に確認するために、確認画面６６が表示される。
【００５３】
管理者が管理者コンピュータ２２とアクセスポイント２８の両方、又はいずれか一方にログオンする時に、画面５６（図５）と画面６６（図６）のような画面を管理者に表示することができる。もし、管理者がコンピュータ２２とアクセスポイント２８とにログインする場合に必要となるログイン技術が異なる場合、当該管理者に対して、別の一連の画面を提供することができる。例えば、管理者は、ユーザネームとパスワードによる認証によって管理者コンピュータ２２にログインし、指紋認証を使用してアクセスポイント２８にログインすることができる。説明のために、図５及び図６で示されている画面は、指紋認証技術を用いているものである。
【００５４】
管理者のログイン手順にかかわるステップの実例が図７に示される。
【００５５】
ステップ６８では、管理者はログイン処理を開始する。例えば、管理者が自分のパーソナルコンピュータでログイン手順を行う際に、当該管理者は、ログインアイコンをクリックするか、起動処理の間に自動的にログインプログラムを実行することができる。アクセスポイント２８におけるログイン手順の際に、管理者はウェブブラウザを立ち上げ、適切なＵＲＬを入力することができる。
【００５６】
ステップ７０では、図５のログイン画面５６等の管理者ログイン画面を、管理者のために表示することができる。画面５６での指示を読んだ後、管理者は、ボックス６２の中に入力するように指示された管理者ＩＤを入力し、オプション６４をクリックすることができる。
【００５７】
コンピュータ２２はそれに応答して、管理者の指紋を読み取るために、指紋リーダーを使用するよう指示することができる。指紋をステップ７２で取得した後、ステップ７４において図６における確認画面６６のような確認画面が表示される。
【００５８】
ステップ７６において、管理者ＩＤが、過去に登録された指紋を検索するために使用される。そして、検索された登録済みの指紋データが、ステップ７２で採取されて提出された指紋と比較される。もしも、登録済みの指紋と採取された指紋とが一致する場合は、採取された指紋は有効である。もしも、登録済みの指紋と採取された指紋とが一致しない場合は、採取された指紋は有効ではない。必要であれば、登録済みの指紋データベース全体から一致するものを探すことができる。この場合、管理者は、ログオンの間は管理者ＩＤを要求されることはない。有効な指紋が提出されることで事足りる。
【００５９】
管理者の指紋が有効な場合、ステップ７８において、コンピュータ２２及びアクセスポイント２８の両方、又はどちらか一方の適切なリソースへアクセスすることができる。
【００６０】
そして、管理者は、新規ユーザを登録したり、アクセスポイントの設定を調整したりするようなタスクを実行することができる（ステップ８０）。例えば、管理者は、ユーザ登録の間、何本の指（１本の指、２本の指、３本の指等）を登録する必要があるかを決定する設定を調整するために、ウェブページインタフェースか他の適当なインタフェースを使用するかもしれない。
【００６１】
管理者の指紋が有効でない場合は、その管理者のためにステップ８２においてエラーメッセージを表示することができる。
【００６２】
アクセスポイント２８において指紋を登録する処理の間、新規ユーザのために表示される画面例が図８〜図１１に示されている。これらの画面の形式と内容は単なる具体例である。必要であれば、あらゆる適切な形式及び内容を持たせた適切な画面数の画面をユーザに対して表示することができる。
【００６３】
図８に示すように、１個以上の指紋を登録することを求める新規ユーザに対して、図８の画面８４のような画面が表示される。画面８４は、管理者のコンピュータ２２や他の適切なコンピュータ２２、或いはシステム１０における装置によって表示することができる。
【００６４】
画面８４は、画面機能を新しいユーザに知らせるタイトル情報86を含むことができる。指示８８では、新規または既存のユーザＩＤをボックス９０に入力するようにユーザに指示することができる。また指示８８では、ユーザに指紋を取得する準備ができた時に、ユーザの指紋オプション９２を選択するように指示することができる。
【００６５】
ユーザがオプション９２をクリックする時に、図９の画面９４等の画面をユーザに表示することができる。図９に示されるように、画面９４には、画面９４に関連する機能をユーザに知らせるタイトル情報９６を含ませることができる。指示９８には、どのようにして１つ以上の指紋スキャンをするかについてユーザに指示する情報を含ませることができる。図９の例では、指示９８は、ユーザがアクセスポイント２８で引き続き行われる認証操作で用いる最大で３本の指の指紋を登録することが可能であることをユーザに知らせている。指示９８では、ユーザが登録のために右手と左手の両方の指を含めることをユーザに提示してもよい。もしも、ユーザが片手のある指を提示することが困難な怪我を負っている場合には、もう一方の手の指を使用することができる。
【００６６】
画面９４では、ユーザの左手１００と右手１０２のグラフィカルな描画を含めることができる。ユーザの両手のグラフィカルなその描画は、インタラクティブなものでも構わない。例えば、ユーザは、登録処理において使用する指を選択するために、図示された手１００と１０２の指をクリックすることができる。図９の例では、ユーザは右手の人差し指１０４をクリックすると、その指が選択されたということをユーザに確認するためにその指が強調表示される。ユーザが次の処理への準備ができた時は、ユーザは「１番目の指紋をスキャンする」オプション１０６を選択することができる。
【００６７】
ユーザがオプション１０６を選択すると、指紋リーダはユーザの指紋を採取する。図１０の画面１０８のような画面を、指紋スキャン処理の間、表示することができる。良質な指紋を採取するためには、何度か重複スキャンをすることによりデータを集めることが望ましい。このデータが平均化されるか、最適なスキャン以外が破棄されるか、或いは、他の適切な処理技術を用いることによって、確実に良質な指紋の採取をすることができる。複数の指紋スキャンが集められた時には、スキャン処理の進み具合をユーザに知らせるために、進行情報１１０のようなグラフィックを表示することができる。グラフィック１１２等の指を置く位置に関する情報は、ユーザにどちらの指をスキャンするのかを気づかせるために表示される。グラフィック１１２の視覚表示は、このような表示をしないと間違った指をスキャンしてしまうというエラーを防ぐという効果がある。
【００６８】
指紋が首尾よく採取できた場合は、メッセージ１１４等の確認メッセージをユーザのために表示することができる。
【００６９】
複数の指紋が採取される場合には、ユーザはそれぞれの指紋を選ぶために図９の画面９４を、そしてそれぞれの指紋スキャンを始めるためにオプション１０６のようなオプションを使用することができる。
【００７０】
適切な指紋が採取できた後に、図１１の画面１１６等の画面をユーザに表示することができる。図１１に示されるように、画面１１６には、指紋が首尾よく採取できたということをユーザに知らせる情報１１８を含ませることができる。指紋が採取できた指は、左右の手１２０のグラフィック描画において暗く表示することができる。情報１１８には、指紋登録処理を完了するために、終了オプション１２２を選択するようにユーザに指示するための指示を含ませることができる。
【００７１】
ユーザの指紋登録を含むステップの実例が図１２に示されている。ステップ１２４において、図８における新規ユーザ登録画面８４のような新規ユーザ登録画面がユーザのために表示されるかもしれない。ユーザは、ボックス９０に自分のユーザＩＤを入力し、スタートオプション９２を選択することができる。
【００７２】
それを受けて、登録処理（ステップ１２６）の間、どの指を使用するかをユーザに選択させるオプションを表示することができる。例えば、ユーザがある指をクリックすることができる図９の画面９４のような画面をユーザに表示することができる。ユーザが特定の指をクリックすると、その指が指紋登録処理中に使用するために指定される。
【００７３】
ステップ１２８では、ユーザが登録する指を選択してオプション１０６のようなオプションをクリックした後に、選択された１つ以上の指紋は、指紋リーダを使用してスキャンすることができる。
【００７４】
図１０の画面１０８や図１１の画面１１６のような確認画面は、指紋スキャン処理（ステップ１３０）の進行状況とその完了をユーザに知らせるために表示することができる。
【００７５】
指紋を採取する処理が完了した後に、採取された指紋情報が、ステップ１３２でアクセスポイント２８に送られる。指紋情報は、アタッカーによる指紋に対する妨害を防ぐために、安全に転送されることが望ましい。アクセスポイント２８は、受信した指紋情報を記憶装置３２に格納する。次に、ユーザがネットワーク１２にワイヤレス接続をするためにアクセスポイント２８へログインを試みる時に、記憶装置３２における指紋をユーザ認証に使用することができる。
【００７６】
新規ユーザがアクセスポイント２８で１つ以上の指紋を登録した後に、当該ユーザは、自分がネットワーク１２にワイヤレス接続する権限を与えられていることを立証するために、指紋認証技術を使用することができる。アクセスポイント２８を通ってネットワーク１２にログオンするために、ユーザはログオン操作時に新しく指紋スキャンをする。新しい指紋スキャンはアクセスポイント２８へ転送され、記憶装置３２に格納された指紋テンプレートデータと新たに提供された指紋とが比較される。記憶装置３２に格納されている過去に登録した指紋が新たに提供された指紋と一致する場合、アクセスポイント２８は、ユーザのコンピュータ２２がワイヤレスリンク２６を通じてネットワーク１２にワイヤレス接続することを許可することができる。
【００７７】
ユーザログイン操作は、あらゆる適切な処理を用いることができる。ネットワーク１２にログインするときに、アクセスポイント２８によってユーザに提示される画面１３４が図１３に示される。画面１３４の実例では、画面１３４の機能をユーザに知らせるためのタイトル情報１３６を含んでいる。指示１３８は、ボックス１４０にユーザのユーザＩＤを入力し、ログインオプション１４２を選択するようにユーザに指示する。ユーザがオプション１４２をクリックすると、ユーザの指紋がユーザのコンピュータ２２上の指紋リーダで採取され、ボックス１４０に入力されたユーザＩＤと新しく採取した指紋が、指紋認証のためにアクセスポイント２８へ安全に転送される。もしも、指紋が有効な場合は、アクセスポイント２８はユーザコンピュータ２２をネットワーク１２に接続するためにワイヤレス送受信回路３４を使用する。もしも、指紋が有効でない場合は、アクセスポイント２８はネットワーク１２へのユーザアクセスを拒絶する。
【００７８】
ユーザログイン操作を解説するステップの実例が図１４に示される。ログイン処理の間、ユーザのコンピュータは、ワイヤレスリンク２６上でアクセスポイント２８とやりとりをする。
【００７９】
ステップ１４４において、アクセスポイント２８はユーザのコンピュータ２２で表示されるログイン画面を提供することができる。あらゆる適切な構造の１つ以上のログイン画面を使用することができる。これらの画面には、指紋スキャンをする必要があることをユーザに指示する情報を含ませることができる。また、ユーザＩＤが求められることもある。必要であれば、ユーザＩＤをユーザに求めないこともできる。アクセスポイント２８は、一致するものがあるかどうかを判断するために、あらゆる提出された指紋と記憶装置３２内の登録された指紋とを比較することができる。ログオンする際にユーザＩＤの入力を求めることにより、アクセスポイント２８は、認証操作をより効率的に行うことができる。この理由として、ユーザＩＤと関連している登録された指紋が、記憶装置３０から迅速に検索することができるからである。しかしながら、ユーザからユーザＩＤの入力を求めることは必要ではない。必要であれば、指紋が必要であってログイン処理が開始したということをユーザ知らせるために、アイコンや画面以外ののユーザインタフェースを使用することができる。
【００８０】
ユーザが要求された情報を提供し、指を指紋リーダーに置いた後、ユーザは、図１３のログインオプション１４２のようなオプションをクリックすることができる。或いは、指紋採取操作を開始することができる。
【００８１】
ステップ１４６において、ユーザの指紋は、ユーザのコンピュータ２２の指紋リーダーを使用して読み取ることができる。
【００８２】
ステップ１４８において、１つ以上の採取された指紋から取り出した指紋情報は、認証のために安全にアクセスポイント２８へ転送される。指紋は、あらゆる適切なプロトコルを使用して転送することができる。
【００８３】
ステップ１５０において、アクセスポイント２８は、ユーザによって提供された指紋情報と記憶装置32に格納されている登録された指紋情報とを比較することができる。特に、アクセスポイント２８は、記憶装置３２に格納されている前記ユーザの登録された指紋（テンプレート）を探し出すために、ユーザＩＤ情報を使用することができる。そして、登録された指紋は、新たに採取された指紋と比較される。もしも指紋が一致する場合、アクセスポイント２８は、提出された指紋が有効であり、ユーザが正当な登録ユーザであると判断することができる。そして、ユーザは、ユーザのコンピュータ２２とアクセスポイント２８との間のワイヤレスネットワーク接続２６をサポートすることにより、ネットワーク１２へのワイヤレス接続を提供されるようになる。もしも新たに採取された指紋と記憶装置３２に登録された指紋とが一致しない場合、アクセスポイント２８は、指紋採取処理においてエラーがあったか、或いは、そのユーザにはネットワーク１２へのアクセス権が与えられていない、との判断を下すことができる。従って、ステップ１５４において、エラーメッセージや他の通知メッセージをユーザのために表示することができる。
【００８４】
本発明は、全体を通じてワイヤレスアクセスポイントのコンテクストで説明しているが、必要であれば、本発明の指紋によるアクセス制御構造は、有線ローカルエリアネットワークにも使用することができる。例えば、有線ルータ、ゲートウェイ、ファイアウォール、又は他の適切なＬＡＮネットワークアクセスハードウェア等の有線アクセスポイントを用いても、指紋によるアクセス制御を実行することができる。
【００８５】
上記は本発明の原則を単に解説しただけであり、当業者であれば、本発明の範囲と精神から逸脱することなく、様々な変形を施すことができるであろう。
【図面の簡単な説明】
【００８６】
【図１】本発明に係る指紋認証機能付きワイヤレスアクセスポイントのシステムとローカルエリアネットワークを説明する図である。
【図２】本発明に係るワイヤレスアクセスポイントを説明する図である。
【図３Ａ】本発明に係る一体型指紋リーダー付きネットワークインタフェースカードを伴ったワイヤレスアクセスポイントの図である。
【図３Ｂ】本発明に係る外付け指紋リーダーを伴ったワイヤレスアクセスポイントの図である。
【図４】本発明に係る指紋認証及びワイヤレスネットワークアクセスを提供するために図１のシステムを用いたステップを説明するためのフローチャートである。
【図５】本発明に係るシステム管理者に表示可能な管理者ログイン画面を説明する図である、
【図６】本発明に係る管理者に表示可能な管理者ログイン確認画面を説明する図である。
【図７】本発明に係る管理者がシステムにログインして設定を調整する時のステップを説明するためのフローチャートである。
【図８】本発明に係る新規ユーザの登録操作の間、ユーザのために表示可能な新規ユーザ登録画面を説明する図である。
【図９】本発明に係る指紋登録操作の間、ユーザに指紋のスキャンについて指示するために表示可能な画面を説明する図である。
【図１０】本発明に係るユーザ登録操作の間、ユーザに指紋のスキャンについての情報を提供するために表示可能な画面を説明する図である。
【図１１】本発明に係るユーザ登録処理の最後にユーザに表示可能な確認画面を説明する図である。
【図１２】本発明に係る新規ユーザ登録操作の間におけるステップを説明するためのフローチャートである。
【図１３】本発明に係る指紋認証を用いてネットワークにログインすることを許可されたユーザに対して表示されるユーザログイン画面を説明する図である。
【図１４】本発明に係る指紋認識によるユーザの認証及び有効なユーザに対するワイヤレスネットワークアクセスの許可に関するステップを説明するためのフローチャートである。
【図１】
2006127502.tif 000003
【図２】
2006127502.tif 000004
【図３Ａ】
2006127502.tif 000005
【図３Ｂ】
2006127502.tif 000006
【図４】
2006127502.tif 000007
【図５】
2006127502.tif 000008
【図６】
2006127502.tif 000009
【図７】
2006127502.tif 000010
【図８】
2006127502.tif 000011
【図９】
2006127502.tif 000012
【図１０】
2006127502.tif 000013
【図１１】
2006127502.tif 000014
【図１２】
2006127502.tif 000015
【図１３】
2006127502.tif 000016
【図１４】
2006127502.tif 000017
【外国語明細書】
[Title of the Invention]
WIRELESS ACCESS POINT WITH FINGERPRINT AUTHENTICATION
Background of the Invention
This invention relates to wireless networking, and more particularly, to wireless access points with fingerprint authentication capabilities.
Local area networks are used to interconnect computers in home and office environments.  With a typical arrangement, multiple computers are interconnected using Ethernet networking.
Although Ethernet networks are popular, wired Ethernet local area networks (LANs) require extensive cabling.  Accordingly, wireless local area networks are becoming increasingly popular.
With wireless LAN (WLAN) technology such as IEEE 802.11a/b/g wireless LAN arrangements, a user with a notebook computer that has appropriate wireless network capabilities can log on to the network without making any physical wired connections.  Wirelessly connected users are free to roam within range of the wireless access point for the LAN.
Although wireless LANs are convenient, they raise security challenges because they are relatively exposed to potential attackers.  Conventional techniques for controlling access to wireless LANs are based on SSID (Service Set Identifier) passwords, WEP (Wired Equivalent Privacy) encryption, and MAC (Media Access Control) address filtering.
The Service Set Identifier (SSID) of a wireless LAN is an identification value programmed into the LAN's wireless access point.  If a user's computer cannot provide the correct SSID to a network, access to the network is denied by the access point.  The SSID acts as a shared password between the access point and its associated users.  The security provided by SSIDs is weak, because SSIDs are not encrypted during transmission and can be intercepted by unauthorized users.
Wired equivalent privacy encryption techniques are intended to protect networks against eavesdropping.  WEP encryption standards are specified by the IEEE 802.11 architecture.  With WEP techniques, the packets that are transmitted wirelessly over a wireless network are encrypted.  However, WEP encryption schemes can be broken by intercepting and analyzing a large number of encrypted packets.
MAC address filtering allows a LAN access point to permit or deny network access to clients based on known MAC addresses.  MAC addresses have long been used as the singularly unique layer 2 network identifier in LANs.  Through controlled, organizationally unique identifiers (OUI) allocated to hardware manufacturers, MAC addresses are globally unique for all LAN-based devices in use today.  In many cases, the MAC address of a workstation is used as an authentication factor or as a unique identifier for granting varying levels of network or system privilege to a user.
User tracking and authentication operations based on MAC address filtering can be employed in wireless LANs such as 802.11 WLANs.  However, authentication schemes based on MAC addresses can be cumbersome to implement, particularly when there are a large number of users in the system.  Moreover, attackers can often penetrate a network secured using MAC address filtering by intercepting and reusing a legitimate MAC address.  MAC address filtering also validates the identity of the equipment but not the user.
It would therefore be desirable to be able to provide improved security for wireless local area networks.
Summary of the Invention
In accordance with the present invention, a wireless local area network (wireless LAN) is supported using a wireless access point.  System operations may be administered by an administrator.  The administrator may, for example, be involved in the process of registering users and adjusting registration settings.
Fingerprint authentication may be used to authenticate users of the wireless LAN.  When a new user is registered, the user's fingerprints are captured.  The captured fingerprints may then be stored in the access point by the administrator.  A userID may be stored with registered fingerprints to facilitate authentication operations.
When a user desires to wirelessly access the LAN, the user is prompted to supply a fingerprint for authentication.  After the user's fingerprint has been captured at the user's computer, the captured fingerprint may be submitted to the wireless access point for authentication.
During authentication operations, the wireless access point may compare the user's fingerprint to the fingerprint that was stored when the user registered with the system.  If the newly captured fingerprint matches the fingerprint that was supplied during registration, the access point can conclude that the user's fingerprint is valid and can provide the user with wireless access to the resources of the local area network.  If the new fingerprint does not match the fingerprint stored at the wireless access point, the wireless access point can provide the user with an error message and can deny network access.
An administrator can specify how many fingerprints are required to access the system.  If, for example, three fingerprints are required, a user who supplies only two valid fingerprints will be denied network access.
Fingerprint-based access control can be used to supplement other security mechanisms such as MAC address filtering, SSID schemes, and other access control arrangements.
Further features of the invention, its nature and various advantages will be more apparent from the accompanying drawings and the following detailed description of the preferred embodiments.
Brief Description of the Drawings
FIG. 1 is a diagram of an illustrative system and local area network in which a wireless access point with fingerprint authentication capabilities may be used in accordance with the present invention.
FIG. 2 is a diagram of an illustrative wireless access point in accordance with the present invention.
FIG. 3A is a diagram of a wireless access point with a network interface card with an integrated fingerprint reader in accordance with the present invention.
FIG. 3B is a diagram of a wireless access point with an external fingerprint reader in accordance with the present invention.
FIG. 4 is a flow chart of illustrative steps involved in using the system of FIG. 1 to provide fingerprint authentication and wireless network access in accordance with the present invention.
FIG. 5 shows an illustrative administrator login screen that may be displayed for a system administrator in accordance with the present invention.
FIG. 6 is an illustrative administrator login confirmation screen that may be displayed for an administrator in accordance with the present invention.
FIG. 7 is a flow chart of illustrative steps involved when an administrator is logging into the system and adjusting settings in accordance with the present invention.
FIG. 8 is an illustrative new user registration screen that may be displayed for a user during new user registration operations in accordance with the present invention.
FIG. 9 is an illustrative screen that may be displayed to provide a user with instructions on fingerprint scanning during fingerprint registration operations in accordance with the present invention.
FIG. 10 is an illustrative screen that may be displayed for a user to provide the user with information on the fingerprint scanning process during user registration operations in accordance with the present invention.
FIG. 11 is an illustrative confirmation screen that may be displayed for a user at the end of the user registration process in accordance with the present invention.
FIG. 12 is a flow chart of illustrative steps involved during new user registration operations in accordance with the present invention.
FIG. 13 is an illustrative user login screen that may be presented to a user to allow the user to log in to the network using fingerprint authentication in accordance with the present invention.
FIG. 14 is a flow chart of illustrative steps involved in authenticating a user using fingerprint recognition and granting a valid user wireless network access in accordance with the present invention.
Detailed Description of the Preferred Embodiments
The present invention relates to wireless local area networks, wireless access points for local area networks, and methods for restricting access to wireless local area networks using fingerprint authentication.
A system environment in which a wireless local area network in accordance with the present invention may operate is shown in FIG. 1.  In system 10, wireless local area network 12 is connected to resources such as servers 14 and users 16 through communications network 18.  Communications network 16 may be, for example, the Internet.   A modem 20 in local area network 12 may be used to connect local area network 12 to communications network 16.  The modem 20 may be, for example, a cable modem or a DSL modem.  The modem 20 allows users in network 12 to send and receive email messages with users such as users 16, to obtain web content from servers 14, etc.
Network 12 contains multiple computers 22.  Computers 22 may be personal computers, notebook computers, workstations, handheld computers, or any other suitable computing devices.  Wireless LAN access point 28 may be used to connect computers 22 to the network 12.  Computers 22 may be connected to LAN 12 wirelessly using wireless connections 26.  Wireless access point 28 may, if desired, have one or more Ethernet ports or other wired ports to accept wired connections.  In the example of FIG. 1, some of personal computers 22 are connected to access point 28 using wired connections 24.  Wired connections 24 may be based on Ethernet cables or other suitable network wiring.
In general, any suitable resources may be connected to network 12.  For example, printers, storage devices, communications devices, and other resources may be connected to network 12.  Access policies may be used to regulate which users in network 12 can use particular resources.  For example, access policies may be used to restrict access to a particular printer to certain specified users.  Access policies may also be used to restrict which users have access to particular storage device or have Internet access.
An illustrative access point 28 is shown in FIG. 2.  Processing capabilities may be provided using processing circuitry 30.  Any suitable processor or processors may be used to provide processing capabilities for access point 28.  For example, access point 28 may have a microprocessor, microcontroller, digital signal processor, application specific integrated circuit, custom logic, other suitable processing circuits, and combinations of such circuits for providing the processing capabilities of processing circuitry 30.  Processing functions may be provided using a combination of hardware and software.  Access point 28 may be configured to perform its desired functions by loading and running the appropriate access point software on the processing circuitry 30 and other hardware of access point 28.
Storage 32 may be used to store software and data.  For example, storage 32 may be used to store authentication information such as fingerprint templates for authenticating users.  Storage 32 may also be used to store operating instructions (software) for controlling the operation of access point 28.  Any suitable memory and storage devices may be used in storage 32.  For example, random-access-memory may be used to support one or more memory caches and may be used for holding instructions executed by processing circuitry 30.  A hard disk drive may be used if more extensive storage is desired.  Non-volatile memory may be used for boot ROM and other non-volatile storage needs.  Some of storage 32 may be provided by memory that is located on the same chip as a processing circuit in processing circuitry 30 (e.g., a memory block on a microprocessor).  These are merely illustrative arrangements for storage 32.  Any suitable storage technology may be used for access point 28 if desired.
Access point 28 has wireless transmitter and wireless receiver circuitry 34 to allow computers 22 and other wireless-capable resources to wirelessly connect to the local area network 12.  Wireless access point 28 may support wireless connections using any desired protocols.  As an example, wireless access point 28 may use a combination of the IEEE 802.11 standards such as 802.11(b), 802.11(a), and 802.11(g).  Access point 28 may, for example, be a 802.11 b/g access point, an 802.11 a/b/g access point, an 802.16 access point etc.  Other standards may be supported if desired.
Input/output circuitry 36 may be used to connect access point 28 to other resources in network 12 using wired connections.  For example, a USB port in input/output circuitry 36 or an Ethernet port in input/output circuitry 36 may be used to connect access point 28 to modem 20 or other external communications devices via input/output connections 38.  If desired, the modem 20 may be incorporated into access point 28.  As an example, access point 28 may have an integral cable modem to eliminate the tasks associated with setting up an external modem during network setup operations.
The input/output circuitry 36 may include Ethernet ports and switches or other suitable input/output circuits to allow access port 28 to connect to computers 22, storage devices such as external drives, printers, scanners, and other network resources.  Wired connections 24 such as Ethernet cables may be used to connect resources to access point 28 via input/output circuitry 36.  Input/output circuitry may include Ethernet ports, parallel ports, serial ports (e.g., USB ports), and other input/output ports to which peripherals may be connected directly and may include ports (e.g., USB or Ethernet ports) to which a group of peripherals may be connected through a hub or other distributed network arrangement.
The processing circuitry 30, storage 32, wireless transmitter and receiver circuitry 34, and input/output circuitry 36 may be used to support any desired wireless access port functions.  For example, access point 28 may use these resources to support wired networking, print serving functions, firewall functions, security functions, etc.  These capabilities may be provided in any suitable combination, depending on the needs of network 12. 
Access point 28 may support data encryption.  For example, data transmitted over wireless connections 26 by wireless transmitter and receiver circuitry 34 may be encrypted using wired equivalent privacy (WEP) cryptographic techniques.  Additional security may be provided by using MAC address filtering to restrict access to network 12 to certain known computers 22.
Using an internal print server function, users in LAN 12 can print to the printer(s) attached to access point 28 via input/output circuitry 36.
Access point 28 may have switches in input/output circuitry 36 that serve as a wired hub for interconnecting computers 22 with wired connections.  For example, access point 28 may include a four-port full-duplex 10/100 Ethernet switch to connect computers 22 and other wired Ethernet devices to LAN 12.
Access point 28 may include router capabilities.  For example, router functionality may be provided that allows computers 22 that are connected to access port 28 to share a cable or DSL Internet connection through modem 20 and to share devices such as printers and hard disks connected to access point 28.
Access point 28 may include a firewall and may support virtual private networking functions.
Depending on the features incorporated into access point 28, access point 28 may be referred to as a wireless access point, a wireless router, a wireless access point router, a wireless gateway, etc.  These different types of access point are referred to collectively herein as an "access point" or a "wireless access point."
To ensure that access point 28 is not too costly, access point 28 preferably does not have general-purpose computer features such as a keyboard or display.
Any suitable computers 22 may be used in local area network 12 such as personal computers, notebook computers, workstations, handheld computers, etc.  To support fingerprint authentication functions, computers 22 preferably have fingerprint reading capabilities.  A fingerprint reader (sometimes referred to as a fingerprint scanner) may be included with each computer 22.  FIG. 3A shows how a computer 22 may have a network interface card (NIC) with an integrated fingerprint reader 40.  FIG. 3B shows how a computer 22 may have an external fingerprint reader 42.  An external fingerprint reader 42 may be connected to computer 22 using a USB cable or any other suitable communications path.  The external fingerprint reader 42 may, for example, be connected to the main unit in computer 22 using a USB connection, an RS-232 connection, or other suitable serial or parallel wired connection.
The fingerprint reader for each computer 22 may be used to acquire a fingerprint scan for the user using that computer.  The access point 28 can use the fingerprint of the user to determine whether the user is a valid member of local area network 12 or is an attacker.  If the user has a valid fingerprint, the user can be logged into the network 12 and granted access to network resources.
The fingerprint data acquired by the fingerprint readers may be stored using any suitable format.  For example, data storage and transmission requirements may be reduced by using a data compression format suitable for fingerprint data (e.g., by noting unique minutia points such as ridge endings and bifurcations in a fingerprint and/or the positions of various fingerprint swirls and other characteristics, etc.).  The fingerprint data acquired by the fingerprint reader 20 is sometimes referred herein to as a "fingerprint scan" or "fingerprint."
An overview of illustrative steps involved in using access point 28 to restrict access to wireless local area network 12 is provided in FIG. 4.  In the illustrative example of FIG. 4, a new user is registered with network 12.  The new user can then use fingerprint authentication to access network 12.
At step 44, a network administrator logs into network 12 or logs into the administrator's computer 22.  The administrator is a network user who is authorized to register new users.  Administrators typically have other responsibilities, such as adjusting network security settings, etc.  The administrator is typically associated with one of the computers 22 of network 12.  In a home network, the administrator is typically an active user of the network 12.  During logon procedure 44, the administrator's computer or other computer equipment in network 12 may be used to check the administrator's credentials.  Once the administrator's identity and authorization has been verified, the administrator may be logged in.
During the administrator login procedure, the administrator may be authenticated using a suitable authentication technique, such as username and password authentication, fingerprint authentication, etc.  The administrators' computer 22 and other suitable equipment in network 12 may be used to verify the administrator's credentials during step 44.
After the administrator has logged in, the administrator can supervise the gathering of the fingerprint scan of the new user.  In a typical scenario, the administrator logs in to the administrators' computer 22.  The administrators' computer 22 has a fingerprint reader for taking fingerprint scans.  During step 46, the administrators asks a new user to place their finger(s) on the fingerprint reader associated with the administrator's computer.  The administrator or user may then interact with clickable on-screen options displayed on the administrator's computer that guide the administrator and user through the new user fingerprint registration process.  The access point setting that specifies the number of fingers that must be scanned for registration and authentication may be adjusted by the administrator using interactive screens.  
The administrator can supervise the new user during the registration process to make sure that the new user complies with proper fingerprint scanning procedures and does not submit a fraudulent fingerprint.  This helps ensure that the new user's fingerprint is accurately obtained and that the security of network 12 is not compromised.
After the fingerprint of the new user has been captured at step 46, the new fingerprint can be provided to the wireless access point 28.  To ensure that the fingerprint is securely transferred to the access point 28, the administrator can log into the access point at step 48.  Any suitable technique may be used to log into the access point 28.  With a typical arrangement, the administrator uses a web browser on the administrator computer 22 to retrieve a web page from access point 28.  Access point 28 serves as a web server in this capacity and provides the web page to the administrator computer 22.  A secure protocol (e.g., secure sockets layer -- SSL) may be used to ensure that the access point 28 delivers the web page to the administrator computer 22 securely.
The web page that is provided to the administrator contains a number of selectable options (e.g., options related to the settings for access point 28 such as WEP settings, MAC settings, SSID settings, fingerprint settings, etc.)  The web  page provided to the administrator computer also preferably contains options that the administrator can select to upload the fingerprint of the new user.  The administrator can select an "upload" option or other suitable option on this web page to initiate the transfer of the fingerprint of the new user from the administrators' computer to the access point 28 at step 50.  If desired, the functionality associated with adjusting access point settings and transferring fingerprint scans from administrator computers to the access point may be provided using other suitable formats.  The use of a web-page-based format is merely illustrative.
After the access point 28 receives the fingerprint data for the new user, the access point 28 stores the fingerprint(s) in storage 32 at step 52.  The fingerprint scans that are stored in storage 32 may be stored using any suitable format.  For example, the fingerprint scans may be stored in a database of authorized network users with corresponding userID information.
After the fingerprint registration process is complete, the access point 28 has information on the fingerprints of authorized users of network 12.  The new user can therefore use a computer 22 with a fingerprint scanner to log into the network 12.  During the login procedure, the access point 28 requires that the new user provide a fingerprint scan for authentication.  The fingerprint reader in the user's computer 22 can be used to capture the user's fingerprint.  By comparing the newly captured fingerprint of the user to the fingerprint that is stored in storage 32, the access point 28 can determine whether the new user is authorized to access the resources of network 12.  If the fingerprint matches, the access point 28 can grant the new user network access.  If the fingerprint does not match, access can be denied.
In the example of FIG. 4, the administrator logs into the administrator computer before supervising the registration of a new user.  The administrator then logs into the access point before the captured fingerprints of the new user are transferred to the access point for registration.  If desired, the administrator need only log in to the access point 28.  With this type of approach, the access point 28 checks the administrator's credentials.  If the administrator's credentials are authentic, the new user registration process may be implemented by using the access point to provide appropriate registration screens to the administrator's computer.  After the user's fingerprints are captured, the captured fingerprints are stored at the access point.  While this approach may be satisfactory, in a more typical approach the network administrator will log in to the administrator's computer 22 before capturing the user's fingerprint.
The format and quantity of interactive screens that are displayed for users during registration and authentication procedures depends on the type of user experience that is desired.  In general, the use of more screens provides more on-screen real estate in which to display user-selectable options and explanatory text and graphics.  The user of fewer screens may be more efficient.  In general, any suitable number and type of screens may be displayed.
Some screens may be generated and displayed with software running on the computers 22.  For example, a web browser running on a computer 22 may be used to display web content provided by a web server implemented on access point 28.  As another example, software running on an administrator's computer 22 may be used to authenticate the administrator when the administrator logs in to that computer.  Software on user computers 22 and/or access point 28 may display logon screens when registered users are logging into network 12 through access point 28.  In general, any suitable number and types of screens may be displayed and any suitable equipment may be used to present these screens in system 10.  The screens described herein are merely illustrative.
An illustrative administrator login screen 56 is shown in FIG. 5.  Screen 56 may contain a title 58 that informs the user that screen 56 is an administrator login screen.  Instructions 60 may instruct the administrator how to log in.  Any suitable authentication technique may be used for administrator login operations.  In the example of FIG. 5, instructions 60 direct the administrator to enter an administrator user ID ("adminID") in adminID box 62 and to click on the capture admin fingerprint 64.  The administrator's computer 22 has a fingerprint reader on which the administrator places an appropriate finger before clicking on option 64.
After the administrator clicks on option 64, the administrator's fingerprint is captured using the fingerprint reader.  The captured fingerprint is compared to a stored version of the administrator's fingerprint.  If the captured fingerprint data matches the stored fingerprint data, the administrator may be authenticated and allowed to log in.  As shown in FIG. 6, a confirmation screen 66 may be displayed to confirm to the administrator that the fingerprint has been successfully processed.
Screens such as screen 56 (FIG. 5) and screen 66 (FIG. 6) may be presented to the administrator when the administrator logs on to the administrator's computer 22 and/or when the administrator logs on to the access point 28.  If the login techniques required for administrator login to computer 22 and access point 28 are different, different sets of screens may be presented to the administrator.  For example, the administrator may log in to the administrator's computer 22 using username and password authentication and may log in to access point 28 using fingerprint authentication.  For purposes of illustration, the screens shown in FIG. 5 and 6 use fingerprint authentication techniques.
Illustrative steps involved in administrator login procedures are shown in FIG. 7.
At step 68, the administrator initiates the login process.  During login procedures with the administrator's own personal computer, the administrator may, for example, click on a login icon or a login program may be launched automatically during the boot-up process.  During login procedures with access point 28, the administrator may launch a web browser and type in an appropriate URL.
At step 70, an administrator login screen such as login screen 56 of FIG. 5 may be displayed for the administrator.  After reading the instructions on screen 56, the administrator may type in the requested adminID in box 62 and click on option 64.
In response, the computer 22 may be directed to use its fingerprint reader to take a scan of the administrator's fingerprint.  After the administrator's fingerprint has been captured at step 72, a confirmation screen such as confirmation screen 66 of FIG. 6 may be displayed at step 74.
At step 76, the administrator ID may be used to look up the administrator's previously registered fingerprint.  The registered fingerprint data that is retrieved may then be compared to the fingerprint captured and submitted at step 72.  If the registered fingerprint and captured fingerprints match, the captured fingerprint is valid.  If the captured fingerprint does not match the registered fingerprint for the administrator, the fingerprint is not valid.  If desired, the entire database of registered fingerprints may be searched for a match, in which case the administrator need not be asked to present an administrator ID during logon.  Submission of a valid fingerprint will suffice.
If the administrator's fingerprint is valid, the administrator may be granted access to appropriate resources on computer 22 and/or access point 28 at step 78.
The administrator may then perform tasks such as registering new users and adjusting access point settings (step 80).  For example, the administrator may use a web page interface or other suitable interface to adjust a setting that determines how many fingers must be registered during user registration (one finger, two fingers, three fingers, etc.).
If the administrator's fingerprint is not valid, an error message may be displayed for the administrator at step 82.
Illustrative screens that may be displayed for a new user during the process of registering a fingerprint with access point 28 are shown in FIGS. 8-11.  The format and content of these screens is merely illustrative.  Any suitable number of screens with any suitable format and content may be presented to the user if desired.
As shown in FIG. 8, a new user who desires to register one or more fingerprints may be presented with a screen such as screen 84 of FIG. 8.  Screen 84 may be displayed by the administrator's computer 22 or other suitable computer 22 or equipment in system 10.
Screen 84 may include title information 86 that informs the new user of the screen's function.  Instructions 88 may direct the user to enter a new or existing UserID in box 90.  The instructions 88 may also direct the user to select start user fingerprint option 92 when the user is ready to have a fingerprint scan captured.
When the user clicks on option 92, the user may be presented with a screen such as screen 94 of FIG. 9.  As shown in FIG. 9, screen 94 may contain title information 96 that informs the user of the function associated with screen 94.  Instructions 98 may include information that directs the user how to capture one or more fingerprint scans.  In the example of FIG. 9, the instructions 98 inform the user that the user can register up to three fingers for use in subsequent authentication operations with access point 28.  Instructions 98 may suggest to the user that the user include both right-hand and left-hand fingers for registration.  If the user sustains an injury that makes it difficult to present a finger that is on one hand, the other hand's fingers can be used.
Screen 94 may include a graphical depiction of the user's left hand 100 and right hand 102.  The graphical depiction of the user's hands may be interactive.  The user may, for example, click on the graphically-displayed fingers in hands 100 and 102 to select those fingers for use in the registration process.  In the example of FIG. 9, the user has clicked on the right index finger 104 and this finger has been highlighted to confirm to the user that it has been selected.  The user may select scan first fingerprint option 106, when the user is ready to proceed.
When the user selects option 106, the fingerprint reader captures the user's fingerprint.  A screen such as screen 108 of FIG. 10 may be displayed during the fingerprint scanning process.  To capture a high-quality fingerprint, it may be desirable to collect data from several redundant scans.  This data may be averaged, the sub-optimal scans can be discarded, or other suitable processing techniques may be used to ensure a high-quality capture.  When multiple scans are being collected, a graphic such as progress information 110 may be displayed for the user to inform the user of progress through the scanning process.  Finger location information such as graphic 112 may be displayed to remind the user which finger is being scanned.  The visual display of graphic 112 helps to avoid errors that might otherwise arise from scanning the wrong finger.
When the fingerprint scan has been successfully captured, a confirmation message such as message 114 may be displayed for the user.
If multiple fingerprints are to be captured, the user may use screen 94 of FIG. 9 to select each fingerprint and options such as option 106 to start each fingerprint scan.
After the appropriate fingerprints have been captured, the user may be presented with a screen such as screen 116 of FIG. 11.  As shown in FIG. 11, screen 116 may contain information 118 that informs the user that the fingerprint scans have been successfully captured.  The fingers for which fingerprints have been obtained may be darkened in the graphic depictions of the left and right hands 120.  Information 118 may contain instructions that direct the user to select done option 122 to complete the fingerprint registrations process.
Illustrative steps involved in registering a user's fingerprints are shown in FIG. 12.  At step 124, a new user registration screen such as new user registration screen 84 of FIG. 8 may be displayed for the user.  The user may enter the user's UserID in box 90 and select start option 92.
In response, options may be displayed that allow the user to select which fingers are to be used during the registration process (step 126).  For example, the user may be presented with a screen such as screen 94 of FIG. 9, in which the user can click on certain fingers.  When the user clicks on a particular finger, that finger is designated for use during the fingerprint registration process.
At step 128, after the user has selected which finger(s) to register and has clicked on an option such as option 106 to initiate fingerprint capture, the selected fingerprint(s) may be scanned using the fingerprint reader.
Confirmation screens such as screen 108 of FIG. 10 and screen 116 of FIG. 11 may be displayed to inform the user of the progress and completion of the fingerprint scanning process (step 130).
After the process of capturing the fingerprint(s) has been completed, the captured fingerprint information is transmitted to the access point 28 at step 132.  The fingerprint information is preferably transferred securely to prevent interception of the fingerprints by attackers.  The access point 28 stores the fingerprint information that is received in storage 32.  When a user subsequently attempts to log in to access point 28 to connect to network 12 wirelessly, the fingerprints in storage 32 may be used to authenticate the user.
After a new user has registered one or more fingerprints with access point 28, the user can use fingerprint authentication techniques to prove that the user is authorized to wirelessly access network 12.  To log on to the network 12 through access point 28, the user creates a fresh fingerprint scan at the time of logon operations.  The new fingerprint scan is transmitted to the access point 28, which compares the newly-provided fingerprint to the fingerprint template data stored in storage 32.  If the previously registered fingerprint in storage 32 matches the newly-provided fingerprint, the access point 28 may permit the user's computer 22 to wirelessly connect to network 12 via a wireless link 26.
User login operations may be performed using any suitable arrangement.  An illustrative user login screen 134 that may be presented to a user by access point 28 when logging in to network 12 is shown in FIG. 13.  The illustrative screen 134 includes title information 136 that informs the user of the function of screen 134.  Instructions 138 direct the user to enter the user's UserID in box 140 and to select the login option 142.  When the user clicks on option 142, the user's fingerprint is captured using the fingerprint reader on the user's computer 22 and the userID from box 140 and the new fingerprint are transmitted securely to access point 28 for authentication.  If the fingerprint is valid, access point 28 uses wireless transmitter and receiver circuitry 34 to connect the user's computer 22 to network 12.  If the fingerprint is not valid, the access point 28 denies the user access to network 12.
Illustrative steps involved in user login operations are shown in FIG. 14.  During the login process, the user's computer interacts with access point 28 over a wireless link 26.
At step 144, the access point 28 may provide a login screen that is displayed on the user's computer 22.  One or more login screens of any suitable configuration may be used.  These screens may contain information that instructs the user that a fingerprint scan is required.  A userID may also be requested.  If desired, a userID need not be collected from the user.  The access point 28 can compare any submitted fingerprint to the registered fingerprints in storage 32 to determine if there is a match.  Requiring the submission of a UserID when logging on helps access point 28 perform authentication operations more efficiently, because the registered fingerprint associated with the UserID can be rapidly retrieved from storage 30.  It is not necessary, however, to require a UserID from the user.  If desired, icons or non-screen user interfaces may be used to inform the user that a fingerprint is needed and that the logon process has started.
After the user has provided requested information and has placed his finger in the fingerprint reader, the user may click on an option such as login option 142 of FIG. 13 or may otherwise initiate the fingerprint capture operation.
At step 146, the user's fingerprint(s) may be read using the fingerprint reader of the user's computer 22.
At step 148, the captured fingerprint information from the one or more captured fingerprints may be transmitted securely to the access point 28 for verification.  The fingerprints may be transmitted using any suitable protocol. 
At step 150, the access point 28 may compare the captured fingerprint information that has been submitted by the user to the registered fingerprint data in storage 32.  In particular, the access point 28 may use the userID information to locate registered fingerprints (templates) for the user that have been retained in storage 32.  The registered fingerprint(s) are then compared to the newly captured fingerprints.  If the fingerprints match, the access point 28 can conclude that the submitted fingerprint is valid and that the user is an authentic registered user.  The user may then be provided with wireless access to network 12 by supporting a wireless network connection 26 between the user's computer 22 and access point 28.  If the newly captured fingerprint does not match a registered fingerprint in storage 32, the access point 28 can conclude that there has been an error in the fingerprint capture process or that the user is not authorized to access the network 12.  An error message or other informative message may therefore be displayed for the user at step 154.
Although the invention has been generally described in the context of wireless access points, the fingerprint access-control mechanisms of the invention may also be used with wired local area networks if desired.  For example, fingerprint-based access control can be implemented using a wired access point such as a wired router, gateway, firewall, or other suitable LAN network access hardware.
The foregoing is merely illustrative of the principles of this invention and various modifications can be made by those skilled in the art without departing from the scope and spirit of the invention.
1.      A method for using a wireless access point to restrict access to a wireless local area network having an administrator computer and a plurality of user computers, comprising:
at the administrator computer, capturing a fingerprint of a user;
transmitting the captured fingerprint from the administrator computer to the wireless access point;
registering the user with the wireless access point by storing the captured fingerprint from the administrator computer at the wireless access point;
at a computer of the user, capturing a fingerprint of the user to use in logging on to the local area network;
transmitting the newly-captured fingerprint from the computer of the user to the wireless access point;
at the access point, authenticating the user by comparing the newly-captured fingerprint to the stored fingerprint to determine whether there is a match indicating that the newly-captured fingerprint is valid;
if the wireless access point determines that the newly-captured fingerprint is valid, using the wireless access point to provide the user's computer with wireless network access to the local area network; and
if the wireless access point determines that the newly-captured fingerprint is not valid, using the wireless access point to deny the user's computer wireless network access to the local area network.
2.      The method defined in claim 1 wherein registering the user with the wireless access point comprises displaying a new user registration screen for the user on the user's equipment, wherein the new user registration screen contains a region into which the user enters a userID.
3.      The method defined in claim 1 wherein using the wireless access point to provide the user's computer with wireless network access to the local area network comprises using an IEEE 802.11 protocol to provide the user's computer with wireless network access to the local area network.
4.      The method defined in claim 1 wherein capturing the user fingerprint at the administrator computer comprises displaying selectable options on which fingers to register.
5.      The method defined in claim 1 wherein capturing the user fingerprint at the administrator computer comprises using an interactive graphical display of a hand with fingers to select which finger of the user to use to register the user fingerprint.
6.      The method defined in claim 1 further comprising displaying at least one confirmation screen for the user at the administrator computer when user registration with the wireless access point is complete.
7.      The method defined in claim 1 further comprising using the wireless access point to allow the administrator to select how many fingers are scanned when capturing fingerprints for the wireless access point to authenticate a given user.
8.      The method defined in claim 1 further comprising using an external fingerprint scanner that is attached to the user's computer to capture fingerprint scans for the wireless access point.
9.      The method defined in claim 1 further comprising using a network interface card with an integral fingerprint scanner in the user's computer to capture fingerprint scans for the wireless access point.
10.     The method defined in claim 1 further comprising authenticating the administrator with the wireless access point using fingerprint verification.
11.     The method defined in claim 1 wherein before the fingerprint of the user is captured at the administrator computer, the administrator provides the administrator computer with an adminID and an admin fingerprint for authentication.
12.     A method for using a wireless access point to restrict access to a wireless local area network having a plurality of computers of users, comprising:
at a computer of a user, capturing a fingerprint of the user;
transmitting the fingerprint from the computer of the user to the wireless access point over a wireless link between the computer and the wireless access point; and
at the access point, authenticating the user using the transmitted fingerprint.
13.     The method defined in claim 12 further comprising registering the user with the wireless access point by capturing a fingerprint of the user during a registration process and storing the captured finger in storage at the wireless access point.
14.     The method defined in claim 12 wherein authenticating the user further comprises using a userID to authenticate the user at the wireless access point.
15.     The method defined in claim 12 wherein authenticating the user comprises:
using a userID to locate a registered user fingerprint stored at the access point and comparing the located registered user fingerprint to the transmitted fingerprint to determine whether there is a match.
16.     The method defined in claim 12 further comprising displaying an error message for the user if the wireless access point determines that the transmitted fingerprint is not valid.
17.     The method defined in claim 12 further comprising using a port in the wireless access point to connect the local area network to internet access through a modem.
18.     The method defined in claim 12 further comprising:
during fingerprint registration, displaying a screen for the user with graphical hands and fingers to click on to select which fingers to register.
19.     The method defined in claim 12 further comprising:
making multiple passes of the user's finger to capture the fingerprint of the user with a fingerprint reader.
20.     The method defined in claim 19 further comprising:
displaying a screen on an administrator computer that is in communication with the wireless access point; and
in response to administrator interactions with the screen, adjusting how many fingers are to be used when capturing user fingerprint information for authentication with the wireless access point. 
Abstract of the Disclosure
A wireless local area network access point is provided that authenticates users using fingerprint recognition.  Users may register fingerprints with the wireless access point with the assistance of an authorized system administrator.  When a registered user attempts to access the network, the user may be prompted to provide a fingerprint scan.  A fingerprint reader in the user's equipment may be used to capture the user's fingerprint.  The captured fingerprint may be submitted to the wireless access point for comparison with a database of fingerprints of authorized users.  If the captured fingerprint is valid, the user may be granted wireless network access by the access point.
【図１】
2006127502.tif 000018
【図２】
2006127502.tif 000019
【図３Ａ】
2006127502.tif 000020
【図３Ｂ】
2006127502.tif 000021
【図４】
2006127502.tif 000022
【図５】
2006127502.tif 000023
【図６】
2006127502.tif 000024
【図７】
2006127502.tif 000025
【図８】
2006127502.tif 000026
【図９】
2006127502.tif 000027
【図１０】
2006127502.tif 000028
【図１１】
2006127502.tif 000029
【図１２】
2006127502.tif 000030
【図１３】
2006127502.tif 000031
【図１４】
2006127502.tif 000032