(57)【要約】【課題】  セキュリティを維持しながら、無線ＬＡＮのパラメータを自動設定することにより、接続手順を容易にする。【解決手段】  無線ＬＡＮステーション１０は、設定用アクセスポイント２０において接続可能な仮パラメータを用いてアソシエートを行なう。そして、無線ＬＡＮステーション１０は、この仮パラメータを用いて証明書を設定用アクセスポイント２０に提供する。この認証サーバ３０は、無線ＬＡＮステーション１０から取得した証明書を用いて、無線ＬＡＮステーション１０を認証する。無線ＬＡＮステーション１０と認証サーバ３０とのマスターセッションキー（暗号鍵）を共有する。認証サーバ３０は、このマスターセッションキーを用いてセキュリティを確保した状態で、正パラメータを無線ＬＡＮステーション１０に送信する。無線ＬＡＮステーション１０は、この正パラメータを用いて通信用アクセスポイント４０を介して、ＬＡＮと通信を実行する。【選択図】      図１
2006345205.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ端末装置からのアクセスを受信する設定用無線中継装置及び通信用無線中継装置と、ユーザの本人認証を行なう認証装置とを備えた無線ＬＡＮ接続管理システムを用いて無線ＬＡＮの接続を管理する方法であって、
ユーザ端末装置は、前記設定用無線中継装置との接続を可能とする仮パラメータを使用し、
前記設定用無線中継装置が、前記仮パラメータを用いた無線通信により前記ユーザ端末装置から証明書を取得し、この証明書を前記認証装置に転送し、
前記認証装置がこの証明書に基づいて本人認証を実行し、
前記認証装置における本人認証を完了した後に、設定用無線中継装置が、前記通信用無線中継装置と通信を行なうための正パラメータを前記ユーザ端末装置に提供することを特徴とする無線ＬＡＮ接続管理方法。
【請求項２】
請求項１に記載の無線ＬＡＮ接続管理方法であって、
前記認証装置が前記正パラメータを格納し、
前記認証装置が、前記本人認証の完了後に前記設定用無線中継装置を介して前記ユーザ端末装置に正パラメータを提供することを特徴とする無線ＬＡＮ接続管理方法。
【請求項３】
請求項１に記載の無線ＬＡＮ接続管理方法であって、
前記設定用無線中継装置が前記正パラメータを格納し、
前記認証装置から認証完了通知を受信した前記設定用無線中継装置が、前記正パラメータを前記ユーザ端末装置に提供することを特徴とする無線ＬＡＮ接続管理方法。
【請求項４】
ユーザ端末装置からのアクセスを受信する設定用無線中継装置及び通信用無線中継装置と、ユーザの本人認証を行なう認証装置とを備えた無線ＬＡＮ接続管理システムであって、
前記設定用無線中継装置が、ユーザ端末装置において前記設定用無線中継装置と接続可能な仮パラメータを用いた無線通信により前記ユーザ端末装置から証明書を取得する手段と、この証明書を前記認証装置に転送する手段とを備え、
前記認証装置がこの証明書に基づいて本人認証を実行する手段を備え、
更に、前記認証装置における本人認証を完了した後に、設定用無線中継装置が、前記通信用無線中継装置と通信を行なうための正パラメータを前記ユーザ端末装置に提供する手段を備えることを特徴とする無線ＬＡＮ接続管理システム。
【請求項５】
ユーザの本人認証を行なう認証装置と接続され、ユーザ端末装置からのアクセスを受信する設定用無線中継装置であって、
前記設定用無線中継装置は、
ユーザ端末装置からアクセス要求があった場合、前記ユーザ端末装置において前記設定用無線中継装置と接続可能な仮パラメータを用いた無線通信により前記ユーザ端末装置から証明書を取得する手段と、
前記ユーザ端末装置から受信した証明書を前記認証装置に転送する手段と、
前記認証装置における本人認証を完了した後に、通信用無線中継装置と通信を行なうための正パラメータを前記ユーザ端末装置に提供する手段とを備えることを特徴とする設定用無線中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、無線ＬＡＮを用いての通信技術に係り、詳しくは、IEEE802.1Xのセキュリティ環境を用いて、セキュリティを確保しながら通信を行なう場合に用いる無線ＬＡＮ接続管理方法、無線ＬＡＮ接続管理システム及び設定用無線中継装置に関する。
【背景技術】
【０００２】
今日、インターネット等のネットワークに接続するための技術として無線ＬＡＮ技術が普及しつつある。IEEE802.11により規格化された無線ＬＡＮ技術においては、図６に示すようにユーザの情報端末（無線ＬＡＮステーション）と、アクセスポイントとの間で通信が行われる。この場合、アクセスポイントは管理ポートを備え、無線ＬＡＮと有線ＬＡＮとの接続点としての役割を持つ。無線ＬＡＮステーションからアクセスポイントに接続する場合にはＳＳＩＤコード（Service Set Identifier）を用いる。このＳＳＩＤコードは、接続先のネットワークを識別するための識別子であり、英数文字３２文字までの範囲で設定できる。通常、このＳＳＩＤコードは、アクセスポイントが定期的に送出するビーコン信号に含められており、このビーコン信号を無線ＬＡＮステーションで検出することによってＳＳＩＤコードを把握することができる。
【０００３】
一方、無線ＬＡＮの電波が届く範囲内であれば誰でも無線信号を受信できるため、セキュリティ機能を設ける必要がある。このセキュリティ機能には、接続制限方式としてＳＳＩＤコードやＭＡＣアドレスによるフィルタリング、暗号化方式としてＷＥＰ（Wired Equivalent Privacy）が用いられる。ＭＡＣアドレスフィルタリングでは、個々の無線ＬＡＮ機器が持つ機器固有番号（ＭＡＣアドレス）を無線ＬＡＮアクセスポイントにあらかじめ登録することで、登録されている無線ＬＡＮステーションだけを接続可能にする。ＷＥＰでは、共通の暗号化鍵で無線ＬＡＮアクセスポイントと無線ＬＡＮステーションとの間のデータを暗号化する。
【０００４】
このように無線ＬＡＮを用いてネットワークに接続する際には、各種ネットワーク設定や暗号化設定について多くのパラメータの入力が必要である。そこで、ネットワークに接続する際に必要なパラメータの設定を自動的に行なうための技術が開示されている（特許文献１参照。）。この特許文献１に記載の技術では、無線ＬＡＮステーションは、アクセスポイントが送出したＳＳＩＤコードを含むビーコンを受信し、ＳＳＩＤ抽出器はビーコンからＳＳＩＤコードを抽出する。そして、パラメータ検出器は、このＳＳＩＤコードが一致するネットワーク接続情報ファイルを検出し、このパラメータをレジストリに書き込む。無線ＬＡＮステーションは、このパラメータを用いてアクセスポイントと通信を行ない、各種ネットワークへの接続が可能となる。
【０００５】
更に、セキュリティ向上のため、ＬＡＮ内のユーザ認証方式を定めた規格（IEEE802.1X）も採用されつつある。IEEE802.1Xにおいては、アクセスポイントへの接続（アソシエーション）の際、無線ＬＡＮステーションは認証用データを送信する。この認証用データは無条件にポートを通過し、認証サーバに転送される。認証を完了した場合には、このポートの利用が許可される。一方、認証に失敗した場合には、このアクセスポイントの利用を拒否する。すなわち、このIEEE802.1Xでは、認証要求を除いて、認証されていないクライアントからの通信を遮断し、認証されたユーザにのみ通信を許可する。このようなIEEE802.1Xを用いた場合の接続シーケンスを図７に示す。ここでは、以下のようなプロセスが行なわれる。
（１）手動による無線ＬＡＮパラメータの設定
（２）手動によるIEEE802.1Xのセキュリティ設定
（３）アクセスポイントへの接続開始（ＥＡＰ開始〜認証フェーズ）
（４）アクセスポイントへの接続完了（認証を得てIEEE802.1Xのセキュリティ確立）
（５）通信開始
【特許文献１】特開２００３−２０４３３５（第１頁、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
以上のプロセスにより、無線ＬＡＮステーションがアクセスポイントと接続してＥＳＳ（extended service set）に参加するためには、無線ＬＡＮステーションにおいてアクセスポイントに合わせた無線ＬＡＮパラメータの設定が必要となる。通常、これらのパラメータは、パラメータ設定ユーティリティ等を用いて手動で行なわれる。この設定は、無線ＬＡＮのパラメータに精通しているユーザにとっては大きな負担にはならない。しかし、携帯電話と無線ＬＡＮのデュアルシステムの普及等によりユーザ層が広がった場合、無線ＬＡＮを初めて利用するユーザ等も増えるため、無線ＬＡＮパラメータの設定に手間取ることも予想される。
【０００７】
また、自宅や駅等において公衆無線ＬＡＮが拡張され、多様な場所で無線ＬＡＮが活用されるようになりつつある。この場合、移動しながら複数の場所で利用するユーザにとって、移動毎にパラメータ設定を変更することは煩雑である。
【０００８】
一方、安易に無線ＬＡＮのパラメータを自動設定可能にすると、予期しない第三者が無線ＬＡＮからネットワークに入り込むことが可能になり、セキュリティ上の問題になる。特に、セキュリティ向上のために、ＳＳＩＤコードを含まないビーコン信号を送出する機能を有するアクセスポイントが多く製品化されている。そのようなアクセスポイントに接続するためには事前にＳＳＩＤを調べて端末に設定しておく必要がある。従って、複数の無線ＬＡＮネットワークを切り替えて使用する時にはその都度ＳＳＩＤコードの設定が必要となり、ユーザにとっての利便性が低下する。これに対して、オペレーションシステム（ＯＳ）等において端末に事前登録された複数のＳＳＩＤコードを用いてProbe Request を自動送信する機能が提供されているが、これでは、不要なProbe Request 信号が多く送信され、端末において無駄な電力が消費されてしまう。
【０００９】
そこで、本発明は、セキュリティを維持しながら、無線ＬＡＮネットワークに接続する際の利便性を向上させることが可能な無線ＬＡＮ接続管理方法、無線ＬＡＮ接続管理システム及び設定用無線中継装置を提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記問題点を解決するために、請求項１に記載の発明は、ユーザ端末装置からのアクセスを受信する設定用無線中継装置及び通信用無線中継装置と、ユーザの本人認証を行なう認証装置とを備えた無線ＬＡＮ接続管理システムを用いて無線ＬＡＮの接続を管理する方法であって、ユーザ端末装置は、前記設定用無線中継装置との接続を可能とする仮パラメータを使用し、前記設定用無線中継装置が、前記仮パラメータを用いた無線通信により前記ユーザ端末装置から証明書を取得し、この証明書を前記認証装置に転送し、前記認証装置がこの証明書に基づいて本人認証を実行し、前記認証装置における本人認証を完了した後に、設定用無線中継装置が、前記通信用無線中継装置と通信を行なうための正パラメータを前記ユーザ端末装置に提供することを要旨とする。
【００１１】
請求項２に記載の発明は、請求項１に記載の無線ＬＡＮ接続管理方法であって、前記認証装置が前記正パラメータを格納し、前記認証装置が、前記本人認証の完了後に前記設定用無線中継装置を介して前記ユーザ端末装置に正パラメータを提供することを特徴とする
ことを要旨とする。
【００１２】
請求項３に記載の発明は、請求項１に記載の無線ＬＡＮ接続管理方法であって、前記設定用無線中継装置が前記正パラメータを格納し、前記認証装置から認証完了通知を受信した前記設定用無線中継装置が、前記正パラメータを前記ユーザ端末装置に提供することを特徴とすることを要旨とする。
【００１３】
請求項４に記載の発明は、ユーザ端末装置からのアクセスを受信する設定用無線中継装置及び通信用無線中継装置と、ユーザの本人認証を行なう認証装置とを備えた無線ＬＡＮ接続管理システムであって、前記設定用無線中継装置が、ユーザ端末装置において前記設定用無線中継装置と接続可能な仮パラメータを用いた無線通信により前記ユーザ端末装置から証明書を取得する手段と、この証明書を前記認証装置に転送する手段とを備え、前記認証装置がこの証明書に基づいて本人認証を実行する手段を備え、更に、前記認証装置における本人認証を完了した後に、設定用無線中継装置が、前記通信用無線中継装置と通信を行なうための正パラメータを前記ユーザ端末装置に提供する手段を備えることを要旨とする。
【００１４】
請求項５に記載の発明は、ユーザの本人認証を行なう認証装置と接続され、ユーザ端末装置からのアクセスを受信する設定用無線中継装置であって、前記設定用無線中継装置は、ユーザ端末装置からアクセス要求があった場合、前記ユーザ端末装置において前記設定用無線中継装置と接続可能な仮パラメータを用いた無線通信により前記ユーザ端末装置から証明書を取得する手段と、前記ユーザ端末装置から受信した証明書を前記認証装置に転送する手段と、前記認証装置における本人認証を完了した後に、前記通信用無線中継装置と通信を行なうための正パラメータを前記ユーザ端末装置に提供する手段とを備えることを要旨とする。
【００１５】
（作用）
請求項１、４又は５に記載の発明によれば、ユーザ端末装置は、前記設定用無線中継装置と接続を可能とする仮パラメータを使用し、仮パラメータを用いた無線通信により取得した証明書を用いて本人認証を実行し、この本人認証を完了した後に、通信用無線中継装置と通信を行なうための正パラメータがユーザ端末装置に提供される。これにより、例えば仮パラメータとして「ＳＳＩＤ：ＡＮＹ」及び「ＷＥＰ鍵：無」を用いて設定用無線中継装置への接続を可能とすることにより、利用者は容易に設定用無線中継装置との間でアソシエートを行なうことができる。そして、本人認証されていないユーザには、正パラメータが提供されず、正パラメータの漏洩を抑制することができる。
【００１６】
請求項２に記載の発明によれば、認証装置が正パラメータを格納するため、本人認証に基づいて、確実に正パラメータを提供することができる。
請求項３に記載の発明によれば、正パラメータは設定用無線中継装置が格納し、この設定用無線中継装置が正パラメータをユーザ端末装置に提供する。このため、既存の施設に設定用無線中継装置を設けるだけで、正パラメータの漏洩を抑制しながら無線通信を行なうことができる。
【発明の効果】
【００１７】
本発明によれば、セキュリティを維持しながら、無線ＬＡＮのパラメータを自動設定することにより、接続手順を容易にすることができる。
【発明を実施するための最良の形態】
【００１８】
以下、本発明を具体化した無線ＬＡＮ接続管理システムの一実施形態を図１〜図４にしたがって説明する。アクセスポイントを設けた無線ＬＡＮネットワークにおいてインフラ
ストラクチャーモードで用いる。このモードでは、アクセスポイントは、自分が運用しているゾーンに対してビーコンを送出し、このアクセスポイントを利用するステーションはアクセスポイントとの間でアソシエーションを行なう。
【００１９】
図１は、本実施形態にかかる無線ＬＡＮ接続管理システムの構成図である。本実施形態では、無線ＬＡＮ施設の入口に、仮パラメータで接続可能なアクセスポイント（以後、設定用アクセスポイント２０と呼ぶ）を設置する。そして、正式に無線ＬＡＮ施設を利用する際には正パラメータのアクセスポイント（以後、通信用アクセスポイント４０と呼ぶ）に接続する。このように、無線ＬＡＮステーション１０に接続を許可する無線ＬＡＮ接続管理システムは、設定用アクセスポイント２０、認証サーバ３０、及び通信用アクセスポイント４０を含んで構成される。この設定用アクセスポイント２０では、認証サーバ３０以外への通信を禁止する。更に、設定用アクセスポイント２０の送信電力を低くすることによりセキュリティを強化する。
【００２０】
無線ＬＡＮステーション１０は、無線ＬＡＮ通信を利用するユーザが用いるコンピュータ端末である。この無線ＬＡＮステーション１０は、図２示すようにデータ記憶部１２、通信部１３、出力ＩＦ部１４、入力ＩＦ部１５を備え、これらの機能部は制御部１１によって制御される。
【００２１】
このデータ記憶部１２には、IEEE802.1Xに準拠した認証を実現するためのクライアントソフトウエア（サプリカント）や、無線ＬＡＮ通信に用いる各種データを格納する。このデータの中には、ＳＳＩＤコード、ＷＥＰ鍵、証明書に関するデータを含む。このＳＳＩＤコードは、アクセスポイントを識別するために用いられる。ＷＥＰ鍵はアクセスポイントとの間で暗号化通信を行なう場合に用いられる。証明書は、ＰＫＩ（Public Key Infrastructure ）において用いる電子証明書であり、証明書のフォーマットはITU-T/X.509 で規定されている。
【００２２】
出力ＩＦ部１４は、例えばディスプレイ等のように、ユーザに対して各種情報を提供するために用いられる。入力ＩＦ部１５は、例えばキーボードやポインティング・デバイスのようにユーザが入力を行なうために用いられる。通信部１３は、無線を用いてアクセスポイントとの通信を行なうために用いられる。
【００２３】
設定用アクセスポイント２０、通信用アクセスポイント４０は、無線ＬＡＮの中継装置であり、無線信号を用いて無線ＬＡＮステーション１０との間で情報を送受信し、無線ＬＡＮネットワークのゲートウェイとしての役割を有する。設定用アクセスポイント２０は、仮パラメータを用いた無線通信によりユーザ端末装置から証明書を取得する手段として機能する。更に、本実施形態では、設定用アクセスポイント２０は、認証サーバから受け取った正パラメータをユーザ端末装置に提供する手段として機能する。設定用アクセスポイント２０、通信用アクセスポイント４０は、定期的にビーコン信号（報知信号）を送信する。このビーコン信号は、設定用アクセスポイント２０、通信用アクセスポイント４０の存在を無線ＬＡＮステーション１０に対して通知するためのものである。なお、後述するように、設定用アクセスポイント２０が送信するビーコン信号には、設定用アクセスポイント２０を識別するためのＳＳＩＤコードが含まれる。一方、通信用アクセスポイント４０はＳＳＩＤコードの隠蔽機能を備え、この通信用アクセスポイント４０が発信するビーコン信号にはＳＳＩＤコードを含めない。更に、このＳＳＩＤコードの隠蔽機能は、ＡＮＹプローブ応答禁止、ＡＮＹ接続拒否により、他の無線ＬＡＮ機器からのＳＳＩＤコードの参照を禁止し、外部からは全く見えない状態にする。これによって、無線ＬＡＮアクセスポイントへの不正なアクセスを防止する。
【００２４】
認証装置としての認証サーバ３０は、ユーザ端末装置から取得した証明書に基づいて本
人認証を実行する手段として機能する。このため、認証サーバ３０は、この無線ＬＡＮ施設を利用できるユーザに関する登録ユーザ情報を格納する。そして、アクセスポイントから取得した認証用データに基づいて、ユーザの認証を行なうことにより正規ユーザを識別する。この認証は、電子証明書の交換などにより実行される。
【００２５】
以下、本実施形態における無線ＬＡＮ通信のシーケンスを説明する。ここでは、ＥＡＰ−ＴＬＳ（Extensible Authentication Protocol Transport Layer Security ）を利用してIEEE802.1Xに準拠したシーケンスを実行する。このＥＡＰ−ＴＬＳは、ＲＦＣ２７１６（PPP EAP TLS Authentication Protocol ）で規定され、ＴＬＳのハンドシェイクプロトコルを利用して、暗号アルゴリズムの選択、クライアント／サーバ間の証明書による双方向認証、暗号鍵を共有するための階層的な鍵の生成などを行なう方式である。特にクライアント及びサーバ双方の証明書を用いて相互に認証をおこなう点は、パスワード交換方式と異なり、双方で証明書の有効性検証を実施するため、より強固なセキュリティを確保することができる。
【００２６】
以下、図３、図４を用いて無線ＬＡＮ通信のシーケンスを説明する。
まず、無線ＬＡＮステーション１０はアソシエーションを実行する（ステップＳ１−１）。ここでは、仮パラメータを用いて無線ＬＡＮを利用する。具体的には、無線ＬＡＮステーション１０は、ＡＮＹ機能（ＳＳＩＤコードを使用せずにアクセスポイントに接続する機能）を使用したＡＮＹプロープを送信し、アクセスポイントのチャネルをスキャンする（ステップＳ２−１）。
【００２７】
そして、受信したプローブ応答の中に失敗リストに含まれない応答を検出した場合、アクセスポイントとのアソシエートを試行する（ステップＳ２−２）。本実施形態では、例えば仮パラメータとして「ＳＳＩＤ：ＡＮＹ」及び「ＷＥＰ鍵：無」を用いて設定用無線中継装置への接続を可能とする。なお、仮パラメータはこれに限られるものではなく、正パラメータとは異なり、利用者が容易に設定できるものであればよい。仮パラメータは「ＳＳＩＤをＡＮＹ」及び「ＷＥＰ鍵を無」の設定をしたものだけでなく、例えば「ＳＳＩＤをＡＮＹ」にしただけでもよい。この場合、通信用アクセスポイント４０はＡＮＹプローブに対する応答が禁止されているため、無線ＬＡＮステーション１０は設定用アクセスポイント２０とのアソシエーションを行なうことになる。
【００２８】
アソシエーションが失敗した場合（ステップＳ２−３において「ＮＯ」の場合）、このアクセスポイントは設定用アクセスポイント２０でないため、このアクセスポイントのＳＳＩＤコードを失敗リストに追加する（ステップＳ２−１０）。一方、アソシエーションが成功した場合（ステップＳ２−３において「ＹＥＳ」の場合）、ＥＡＰ（ＰＰＰ拡張認証プロトコル：PPP Extensible Authentication Protocol）による通信を開始する（ステップＳ２−４）。この場合、無線ＬＡＮステーション１０は、設定用アクセスポイント２０に対して「EAP Start 」メッセージを送信することにより、ＥＡＰ開始を通知する（ステップＳ１−２）。
【００２９】
「EAP Start 」メッセージを受信した設定用アクセスポイント２０は、無線ＬＡＮステーション１０に対して、ＥＡＰ−ＩＤの要求を行なう（ステップＳ１−３）。この要求は、「EAP Request 」メッセージを送信することにより行われる。
【００３０】
無線ＬＡＮステーション１０がＥＡＰ−ＩＤの要求を受信した場合（ステップＳ２−５において「ＹＥＳ」の場合）は、無線ＬＡＮステーション１０は認証フェーズの処理を実行する（ステップＳ２−６）。具体的には、まず、無線ＬＡＮステーション１０は、「EAP Request 」メッセージに応じた「EAP Response」メッセージを設定用アクセスポイント２０に対して送信する（ステップＳ１−４）。この「EAP Response」メッセージには、自
身のＥＡＰ−ＩＤ（サプリカントＩＤ）を含める。なお、ＥＡＰ−ＩＤの要求を受信しない場合（ステップＳ２−５において「ＮＯ」の場合）、このアクセスポイントを利用できないため、このＳＳＩＤコードを失敗リストに追加する（ステップＳ２−１０）。
【００３１】
「EAP Response」メッセージを受信した設定用アクセスポイント２０は、認証サーバ３０に対してアクセス要求を送信する（ステップＳ１−５）。このアクセス要求には、無線ＬＡＮステーション１０から受信したＥＡＰ−ＩＤを含める。
【００３２】
そして、無線ＬＡＮステーション１０と認証サーバ３０との間で、設定用アクセスポイント２０がデータ転送を行ないながら証明書交換による認証処理が行なわれる（ステップＳ１−６）。この場合、無線ＬＡＮステーション１０と設定用アクセスポイント２０との間は、ＥＡＰ要求／応答、設定用アクセスポイント２０と認証サーバ３０との間はアクセス要求／応答により、設定用アクセスポイント２０が無線ＬＡＮステーション１０と認証サーバ３０との間を中継しながら認証が行なわれる。
【００３３】
まず、認証サーバ３０は、アクセスチャレンジ（Access-Challenge）を、設定用アクセスポイント２０を介して無線ＬＡＮステーション１０に送信する。これにより、ＴＬＳネゴシエーションが開始される。これに応じて、無線ＬＡＮステーション１０は、設定用アクセスポイント２０に「Client_hello」メッセージを送信する。この「Client_hello」メッセージには、ＴＬＳバージョン、セッションＩＤ、クライアントランダム、暗号アルゴリズム候補に関するデータを含める。
【００３４】
設定用アクセスポイント２０を介して「Client_hello」メッセージを受信した認証サーバ３０は、「Server_hello」メッセージ及びサーバ証明書を無線ＬＡＮステーション１０に送信する。この「Server_hello」メッセージには、選択したＴＬＳバージョン、セッションＩＤ、サーバランダム、暗号アルゴリズムに関するデータが含まれる。
【００３５】
設定用アクセスポイント２０を介して、このデータを受信した無線ＬＡＮステーション１０は、２つの乱数（クライアントランダム、サーバランダム）を用いてプレマスターシークレットを生成する。そして、無線ＬＡＮステーション１０は、このプレマスターシークレットを、認証サーバ３０のサーバ公開鍵で暗号化する。
【００３６】
次に、無線ＬＡＮステーション１０は、クライアント証明書、サーバ公開鍵で暗号化したプレマスターシークレット、本メッセージまでの署名をクライアント秘密鍵で暗号化したデータを送信する。認証サーバ３０は、サーバ秘密鍵を用いてプレマスターシークレットを復号し、クライアントの認証を行なう。この場合、認証サーバ３０は、登録ユーザ情報を利用して照合を行なう。認証が成功した場合（ステップＳ２−７において「ＹＥＳ」の場合）には、双方でプレマスターシークレットを共有し、新たにネゴシエートされた暗号仕様を使用することを通知する。なお、認証が失敗した場合（ステップＳ２−７において「ＮＯ」の場合）、このアクセスポイントを利用できないため、このＳＳＩＤコードを失敗リストに追加する（ステップＳ２−１０）。
【００３７】
次に、無線ＬＡＮステーション１０は、プレマスターシークレット、クライアントランダム、サーバランダム等を擬似乱数関数（ＰＲＦ：pseudo-random function）に導入して演算を行ない、マスターシークレットを作成する。
【００３８】
最後に、無線ＬＡＮステーション１０及び認証サーバ３０は、それぞれマスターシークレット、クライアントランダム、サーバランダム等を擬似乱数関数に導入して演算を行なうことによりマスターセッションキーを作成する。
【００３９】
これにより、無線ＬＡＮステーション１０と認証サーバ３０との間での認証を完了し、マスターセッションキー（暗号鍵）を共有する（ステップＳ１−７、ステップＳ２−８）。
【００４０】
次に、認証サーバ３０は、このマスターセッションキーを用いてセキュリティを確保した状態で、正パラメータを無線ＬＡＮステーション１０に送信する（ステップＳ１−８）。正パラメータを受信した場合（ステップＳ２−９において「ＹＥＳ」の場合）、無線ＬＡＮステーション１０は、この正パラメータをアクセスポイントとの通信を行なうパラメータとしてデータ記憶部１２に設定する（ステップＳ２−１１）。一方、正パラメータを受信できない場合（ステップＳ２−９において「ＮＯ」の場合）、このアクセスポイントを利用できないため、このＳＳＩＤコードを失敗リストに追加する（ステップＳ２−１０）。
【００４１】
そして、無線ＬＡＮステーション１０は、この正パラメータを用いて、再度アソシエーションを実行する（ステップＳ１−９）。この場合には、正パラメータを用いているので通信用アクセスポイント４０との間でアソシエートを行なう（ステップＳ２−１２）。
【００４２】
これにより、無線ＬＡＮステーション１０は、通信用アクセスポイント４０を介して、ＬＡＮと通信を実行する（ステップＳ１−１０）。以下、通常の無線ＬＡＮのシーケンスにより通信を継続する。
【００４３】
上記実施形態によれば、以下のような効果を得ることができる。
・  上記実施形態では、無線ＬＡＮステーション１０は、設定用アクセスポイント２０との間でアソシエーションを実行する。ここでは、仮パラメータとして「ＳＳＩＤ：ＡＮＹ」及び「ＷＥＰ鍵：無」を用いて設定用無線中継装置への接続を可能とする。これにより、無線ＬＡＮステーション１０は、設定用アクセスポイント２０との間で通信が可能になる。従って、利用者は容易に設定用無線中継装置との間でアソシエートを行なうことができる。そして、無線ＬＡＮステーション１０は、この仮パラメータを用いて、正パラメータを取得するための処理シーケンスを実行することができる。
【００４４】
・  上記実施形態では、仮パラメータを利用して設定用アクセスポイント２０との間で通信を行ないながら、無線ＬＡＮステーション１０は認証フェーズの処理を実行する（ステップＳ２−６）。そして、証明書の認証後に、無線ＬＡＮステーション１０は正パラメータを取得する。正パラメータは、認証サーバ３０から設定用アクセスポイントを介して提供されるため、ユーザは、自らパラメータを設定することなく、無線ＬＡＮを利用して通信を行なうことができる。特に、ビーコン等にＳＳＩＤコードが含まれず、また、ＡＮＹプローブ応答も拒否される場合、ユーザ自らがＳＳＩＤコードの設定等を行なう必要があるが、本発明では正パラメータをアクセスポイントから取得できるので、ユーザの利便性を図ることができる。
【００４５】
・  上記実施形態では、証明書を用いての認証後に、無線ＬＡＮステーション１０に正パラメータが提供される。従って、認証された正規ユーザのみに正パラメータを提供するため、正パラメータの漏洩の心配がない。更に、ＡＮＹ応答拒否や、ビーコンにおけるＳＳＩＤコードの遮蔽が行なわれるため、正パラメータを外部から読み取られない環境で無線ＬＡＮサービスを提供することができる。
【００４６】
・  上記実施形態では、通常の通信用アクセスポイント４０に加え、設定用アクセスポイント２０を設けることにより、自動設定を実現することができる。そして、本来の通信はIEEE802.1Xに準拠したセキュリティを実現することができる。仮パラメータは、IEEE802.1Xのセキュリティを確立していない時点で使用するため、無線ＬＡＮパラメータを解析
される可能性が高くなるが、IEEE802.1Xのセキュリティを確立後に正パラメータで再接続することにより、無線ＬＡＮパラメータの漏洩を抑制することができる。
【００４７】
なお、上記実施形態は以下のように変更してもよい。
○  上記実施形態においては、認証を完了した場合、認証サーバ３０が、マスターセッションキーを用いて正パラメータを無線ＬＡＮステーション１０に送信する（ステップＳ１−８）。これに代えて、設定用アクセスポイント２０に正パラメータを格納させ、無線ＬＡＮステーション１０に対して正パラメータを配信させてもよい。この場合、設定用アクセスポイント２０に正パラメータ配信の機能を設けることにより、認証サーバ３０については従来の認証機能を持たせることにより使用可能となる。
【００４８】
更に、設定用アクセスポイント２０が、自らが設定用アクセスポイントであることを示すマークを無線ＬＡＮステーション１０に送信することも可能である。無線ＬＡＮステーション１０が設定用アクセスポイント２０を認識する手順も、以下の２通りの方法により簡易に実現することができる。
（１）設定用アクセスポイント２０がプローブ応答を返す際、RSN IE（RSN Information Element ）に独自のマークを挿入し、無線ＬＡＮステーション１０はそのマークを受信することにより、設定用アクセスポイントを認識する。
（２）無線ＬＡＮステーション１０がプローブ要求を出す前に、独自の設定用アクセスポイント確認メッセージをブロードキャストで送信し、応答があったものを設定用アクセスポイント２０と認識する。
【００４９】
○  上記実施形態においては、設定用アクセスポイント２０でないと判断した場合、接続を試みたアクセスポイントのＳＳＩＤコードを失敗リストに追加する（ステップＳ２−１０）。これにより、近隣に同じＳＳＩＤのネットワークが複数存在しない場合には、接続スピードを向上させることができる。一方、ＳＳＩＤに代えて、ＢＳＳＩＤコード（ネットワーク上のアクセスポイント機器のＭＡＣアドレス）により失敗リストを作成することも可能である。この場合、近隣に同じＳＳＩＤのネットワークが複数存在した場合でも、設定用アクセスポイントのサーチが可能になる。
【００５０】
○  上記実施形態においては、同じネットワーク上に、設定用アクセスポイント２０と通信用アクセスポイント４０とを設けた。これに代えて、図５に示すように、ネットワークを分離することも可能である。有線側のネットワークを完全に分離し、仮パラメータで接続する設定用アクセスポイント２０のネットワークから通信用アクセスポイント４０のネットワークに物理的に入れないよう構築し、セキュリティを強化することができる。
【図面の簡単な説明】
【００５１】
【図１】本実施形態のシステム概要の説明図
【図２】本実施形態の無線ＬＡＮステーションの説明図
【図３】本実施形態の通信シーケンスの説明図
【図４】本実施形態の処理フローの説明図
【図５】他の実施形態のシステム概要の説明図
【図６】従来の実施形態のシステム概要の説明図
【図７】従来の実施形態の通信シーケンスの説明図
【符号の説明】
【００５２】
１０…ユーザ端末装置としての無線ＬＡＮステーション、２０…設定用無線中継装置としての設定用アクセスポイント、３０…認証装置としての認証サーバ、４０…通信用無線中継装置としての通信用アクセスポイント。
【図１】
2006345205.tif 000003
【図２】
2006345205.tif 000004
【図３】
2006345205.tif 000005
【図４】
2006345205.tif 000006
【図５】
2006345205.tif 000007
【図６】
2006345205.tif 000008
【図７】
2006345205.tif 000009