(57)【要約】【課題】通信事業者がオペレータを介在させることなく、所外作業者だけでEPONシステムの開通工事および故障修理を可能にするための認証方法を提供する。【解決手段】ユーザIDおよびOLTの秘密情報を用いて一方向性関数により生成されたパスワード(p)と前記ユーザIDとを認証情報としてONUに直接入力して登録するプロセスと、ONUが認証情報をOLTへ送信するプロセスと、OLTが受信した認証情報のユーザIDとOLTの秘密情報とを用いて一方向性関数によりパスワード(P)を生成するPW生成プロセスと、OLTには事前にユーザIDとパスワードとを登録することなくONUから受信した認証情報を基にしてONUに登録されたユーザIDおよびパスワード(p)が正しいか否かを判別する認証プロセスと、OLTが前記認証プロセスで判別した結果（成功／失敗）をONUへ通知するプロセスとを有する。【選択図】図５
2008028922.tif 000002
【特許請求の範囲】
【請求項１】
一つの認証装置Zに複数の被認証装置Yn( n：１以上の自然数)が伝送路を介して接続されるシステムにおいて、ユーザIDおよび認証装置Zの秘密情報を用いて一方向性関数により生成されたパスワード(p)と前記ユーザIDとを認証情報として被認証装置Ynに直接入力して登録するプロセスと、被認証装置Ynが認証情報を認証装置Zへ送信するプロセスと、認証装置Zが受信した認証情報のユーザIDと認証装置Zの秘密情報とを用いて一方向性関数によりパスワード(P)を生成するPW生成プロセスと、認証装置Zには事前にユーザIDとパスワードとを登録することなく被認証装置Ynから受信した認証情報を基にして被認証装置Ynに登録されたユーザIDおよびパスワード(p)が正しいか否かを判別する認証プロセスと、認証装置Zが前記認証プロセスで判別した結果を被認証装置Ynへ通知するプロセスと、を有することを特徴とする認証方法。
【請求項２】
前記認証プロセスは、前記PW生成プロセスで生成したパスワード(P)と認証装置Zが被認証装置Ynから受信した認証情報のパスワード(p)とを比較し一致した場合に、被認証装置Ynを認証するプロセスを有することを特徴とする請求項１に記載の認証方法。
【請求項３】
請求項１に記載の認証方法において、認証装置Zが乱数(S)を生成し、乱数(S)とパスワード(P)とを用いて一方向性関数により計算値(A)を生成するプロセスと、認証装置Zが乱数(S)を被認証装置Ynへ送信するプロセスと、被認証装置Ynが受信した乱数(S)と被認証装置Ynに登録されたパスワード(p)とを用いて一方向性関数により計算値(a)を生成するプロセスと、被認証装置Ynが計算値(a)を認証装置Zへ送信するプロセスとを有し、前記認証プロセスは、認証装置Zが計算値(a)と計算値(A)を比較し一致した場合に、被認証装置Ynを認証するプロセスを有することを特徴とする請求項１に記載の認証方法。
【請求項４】
前記ユーザIDはユニークな番号とサービスに関する情報とを用いて生成されるものであり、前記認証プロセスにおいて認証が成功した場合に認証装置Zは被認証装置Ynから受信したユーザID からユ二ークな番号とサービスに関する情報とを抽出して認証装置Z内へ設定するプロセスを有することを特徴とする請求項１乃至請求頃３のいずれかに記載の認証方法。
【請求項５】
前記認証プロセスにおいて認証が成功した場合に、被認証装置Ynの保持するユーザIDを消去し、パスワード(p)を変更するプロセスを有することを特徴とする請求項１乃至請求頃３のいずれかに記載の認証方法。
【請求項６】
被認証装置YnからユーザIDおよびパスワード(p) の認証情報を受信する認証情報受信部と、被認証装置Ynから受信したユーザID と認証装置の秘密情報とを用いて一方向性関数によりパスワード(P)を生成するパスワード生成部と、被認証装置Ynから受信したパスワード(p)と前記パスワード生成部で生成したパスワード(P)とを比較することにより認証を行う認証部と、前記認証部で行った認証の結果を被認証装置Ynへ通知する認証通知部とを備えたことを特徴とする認証装置。
【請求項７】
被認証装置YnからユーザIDおよび計算値(a)の認証情報を受信する認証情報受信部と、被認証装置Ynから受信したユーザID と認証装置の秘密情報とを用いて一方向性関数によりパスワード(P)を生成するパスワード生成部と、乱数(S)を生成する乱数生成部と、乱数(S)とパスワード(P)とを用いて一方向性関数により計算値(A)を生成する計算値生成部と、乱数(S)を被認証装置Ynへ送信するデータ送信部と、被認証装置Ynから受信した計算値(a)と計算値(A)とを比較することにより認証を行う認証部と、前記認証部で行った認証の結果を被認証装置Ynへ通知する認証通知部とを備えたことを特徴とする認証装置。
【請求項８】
前記認証部において認証が成功した場合に被認証装置Ynより受信したユーザID からユ二ークな番号とサービスに関する情報とを抽出するサービス情報抽出部と、前記サービス情報抽出部で抽出したユ二ークな番号とサービスに関する情報とを認証装置内へ設定する情報管理部とを備えたことを特徴とする請求項６乃至請求頃７のいずれかに記載の認証装置。
【請求項９】
ユーザIDとパスワード(p)とを認証情報として直接入力して登録する認証情報登録部と、ユーザIDおよびパスワード(p) の認証情報、またはユーザIDおよび計算値(a)の認証情報を認証装置Zへ送信するデータ送信部と、認証装置Zから受信した乱数(S)と前記認証情報登録部で登録されたパスワード(p)とを用いて一方向性関数により計算値(a)を生成する計算値生成部と、認証装置Zから認証結果を受信する認証情報受信部とを備えたことを特徴とする被認証装置。
【請求項１０】
認証装置Zにおいて認証が成功した場合に認証装置Zからの指示により、前記認証情報登録部で登録したユーザIDを消去するデータ制御部と、前記認証情報登録部で登録したパスワードを変更するパスワード更新部とを備えたことを特徴とする請求項９に記載の被認証装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、光アクセスシステムであるPON(Passive Optical Network)システムにおける認証方法および認証装置に関するものである。
【背景技術】
【０００２】
【非特許文献１】「ITU-T勧告  G.983.1」
【０００３】
PONシステムは、図1に示すように加入者線端局装置(OLT：Optical Line Terminal)と複数の加入者線終端装置(ONU：Optical Network Unit)が光スプリッタを用いた分岐光ファイバ伝送路を介して接続されるシステムであり、EPON(Ethernet-Passive Optical Network)システムはIEEE802.3ahにて物理インタフェース、OLT-ONU間の通信制御プロトコル等が標準化されたシステムである。OLTは電話局等に設置され、ONUと通信を行うとともに、ONUの監視制御を行ったり、上位ネットワークとの接続を行ったりする機能を有する。一方OUNは、一般的にユーザの宅内やユーザビル構内に設置され、OLTと通信を行うとともに、ユーザ端末と信号の送受信を行う。なお、信号とはイーサネットフレームの集合体を意味する。OLTとONU との物理的な接続点がPON-IFであり、OLTのPON-IFポートに対して分岐が可能であり、OLTは複数のONUと接続が可能である。
【０００４】
従来のPONシステムでは、非特許文献１の国際基準に基づいて構築されたPONシステムを含めて、図２に示すようにONUの認証を行うために、制御端末からOLTヘ認証に必要なONUに関するユニークな情報および認証後に行う通信サービスに関する情報を事前に設定を行う。次に、OLTとONUの接続を行い、OLTはONUとの通信によりONUの認証を行う。OLTはONUから送信されるMACアドレス、ユーザIDおよびパスワードなどのユ二ークな情報によりONUを識別する。従ってOLTは、前述したOLTへ設定したONUのユニークな情報とONUから送信されるMACアドレス、ユーザIDおよびパスワードのユニークな情報一致を確認することにより、認証成功となる。ONUの認証が成功すれば前述の事前にOLTに設定した通信サービスに関する情報に従いOLTとONUはそれぞれ上位ネットワークとユーザ端末との通信を開始する。
【０００５】
IEEE802.3ah標準では、P2MP Discovery機能によりOLTとONUの間にはロジカルリンク(論理リンク)が自動的に張られ、このロジカルリンクを監視制御の単位としている。ロジカルリンクはOLT-ONU間に設定される論理的なリンクであり、１つのONUに複数のロジカルリンクを張ることも可能であるが、通常は１つのONUに対して１つのロジカルリンクを張る形となる。OLTは複数のロジカルリンクを１つのPON-IF配下に張ることが可能である。ロジカルリンクはLLID(口ジカルリンクID)と呼ばれる識別子により識別され、ONUごとにLLIDが割り当てられることになる。
【０００６】
EPONシステムの場合、IEEE802.3ah標準だけではP2MP  Discovery機能によりロジカルリンク(論理リンク)が自動的に張られ、ONUの通信が可能となる。通信事業者がEPONシステムを使用するためには、通信事業者とサービス契約を行ったユーザの持つONUと、通信事業者とサービス契約を行っていないユーザの持つONUとを識別する必要がある。
【０００７】
このような目的でユーザ端末の認証を行うため、EPONシステムにはPAP(Password Authentication Protocol)、CHAP(Challenge Handshake Authentication Protocol)、TLS (Transport Layer Security)などの認証機能を搭載可能な、IEEE802.1X標準などの仕組みが必要となる。IEEE802.1X標準では、EAP(Extensible Authentication Protocol)フレームとその制御方法について規定しており、イーサネット（登録商標）をベースにしたEPONシステムにおいても使用することが可能である。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
従来の技術では、前述のとおり通信事業者が、OLTへONUのMACアドレスやシリアル番号などのユニークな番号の設定情報とONU 毎のサービスに関する情報の登録を行い、ユーザ端末側ではONU の取り付け、ユニークな番号の設定またはユーザID、パスワードの設定を行うことが必要となる。
【０００９】
さらに、通信事業者は開通時、オペレータおよび所外作業者とスキルの異なる作業者がそれぞれの業務を行うため人的稼働の削減が難しく、さらには開通工事実施において、お互いの移動時間を含めた作業の待ち時間が必要となることから、作業時間を短縮することが困難である。またONUの故障による交換についても同様にONUを取り替えるためにはオペレータによるOLTのONU登録変更操作と、所外作業者によるONU取り替え作業とが必要となる。
【００１０】
本発明は、上記問題を解決するため、通信事業者がオペレータを介在させることなく、所外作業者だけでEPONシステムの開通工事および故障修理を可能にするための技術を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記目的を達成するため、請求項１に記載の認証方法は、一つの認証装置Zに複数の被認証装置Yn( n：１以上の自然数)が伝送路を介して接続されるシステムにおいて、ユーザIDおよび認証装置Zの秘密情報を用いて一方向性関数により生成されたパスワード(p)と前記ユーザIDとを認証情報として被認証装置Ynに直接入力して登録するプロセスと、被認証装置Ynが認証情報を認証装置Zへ送信するプロセスと、認証装置Zが受信した認証情報のユーザIDと認証装置Zの秘密情報とを用いて一方向性関数によりパスワード(P)を生成するPW生成プロセスと、認証装置Zには事前にユーザIDとパスワードとを登録することなく被認証装置Ynから受信した認証情報を基にして被認証装置Ynに登録されたユーザIDおよびパスワード(p)が正しいか否かを判別する認証プロセスと、認証装置Zが前記認証プロセスで判別した結果を被認証装置Ynへ通知するプロセスと、を有することを特徴とする。ここで例えば、光ファイバー伝送路で構成されるPONシステムにおいては、認証装置Zは加入者線端局装置(OLT)であり、被認証装置Ynは加入者線終端装置(ONU)であり、ONUは光スプリッタを用いた分岐光ファイバ伝送路を介してOLTに接続されている。また通信事業者がユーザIDとパスワード(p)とをONUへ直接入力して登録した後、OLTとONUは認証を行うためのIEEE802.1Xに従った通信が行われる。ONUはユーザIDなどの認証情報をOLTへ送信し、認証情報が正しければOLTはONUを認証し、ONU開通を行うことになる。
【００１２】
請求項２に記載の認証方法は、前記認証プロセスが、前記PW生成プロセスで生成したパスワード(P)と認証装置Zが被認証装置Ynから受信した認証情報のパスワード(p)とを比較し一致した場合に、被認証装置Ynを認証するプロセスを有することを特徴とする。ここで例えば、光ファイバー伝送路で構成されるPONシステムにおいては、ONUへ直接入力されたユーザIDとパスワード(p)との間には一定の規則性があり、OLTはその規則性を知っているため、ONUから到達したユーザIDおよびOLTの秘密情報から一方向性関数によりパスワード(P)を内部生成し、パスワード(P)とONUから受け取ったパスワード(p)とを比較することによりONU認証を実施する。
【００１３】
請求項３に記載の認証方法は、請求項１に記載の認証方法において、認証装置Zが乱数(S)を生成し、乱数(S)とパスワード(P)とを用いて一方向性関数により計算値(A)を生成するプロセスと、認証装置Zが乱数(S)を被認証装置Ynへ送信するプロセスと、被認証装置Ynが受信した乱数(S)と被認証装置Ynに登録されたパスワード(p)とを用いて一方向性関数により計算値(a)を生成するプロセスと、被認証装置Ynが計算値(a)を認証装置Zへ送信するプロセスとを有し、前記認証プロセスは、認証装置Zが計算値(a)と計算値(A)を比較し一致した場合に、被認証装置Ynを認証するプロセスを有することを特徴とする。ここで例えば、光ファイバー伝送路で構成されるPONシステムにおいては、ONUへ直接入力されたユーザIDとパスワード(p)との間には一定の規則性があり、OLTはその規則性を知っているため、ONUから到達したユーザIDおよびOLTの秘密情報から一方向性関数によりパスワード(P)を内部生成し、パスワード(P)を用いて一方向性関数によりOLTが生成した計算値(A)とONUが生成しOLTヘ送信する計算値(a)とを比較することによりONU認証を実施する。
【００１４】
請求項４に記載の認証方法は、前記ユーザIDがユニークな番号とサービスに関する情報とを用いて生成されるものであり、前記認証プロセスにおいて認証が成功した場合に認証装置Zは被認証装置Ynから受信したユーザID からユ二ークな番号とサービスに関する情報とを抽出して認証装置Z内へ設定するプロセスを有することを特徴とする。ここで例えば、光ファイバー伝送路で構成されるPONシステムにおいては、ユーザID内にはサービスに関する情報が入っており、パスワードはOLTの秘密情報と前記で受信したユーザIDを用いて一方向性関数で生成するため、認証成功時にOLTは前記ユーザIDから抽出されるユニークな番号とサービスに関する情報の設定を行う。
【００１５】
請求項５に記載の認証方法は、前記認証プロセスにおいて認証が成功した場合に、被認証装置Ynの保持するユーザIDを消去し、パスワード(p)を変更するプロセスを有することを特徴とする。ここで例えば、光ファイバー伝送路で構成されるPONシステムにおいては、認証成功後、ONUに直接入力したユーザIDの消去とパスワードの変更を行うことにより、外部への情報漏洩を防ぐことができる。
【００１６】
請求項６に記載の認証装置は、被認証装置YnからユーザIDおよびパスワード(p) の認証情報を受信する認証情報受信部と、被認証装置Ynから受信したユーザID と認証装置の秘密情報とを用いて一方向性関数によりパスワード(P)を生成するパスワード生成部と、被認証装置Ynから受信したパスワード(p)と前記パスワード生成部で生成したパスワード(P)とを比較することにより認証を行う認証部と、前記認証部で行った認証の結果を被認証装置Ynへ通知する認証通知部とを備えたことを特徴とする。ここで例えば、光ファイバー伝送路で構成されるPONシステムにおいては、認証装置は加入者線端局装置(OLT)であり、被認証装置Ynは加入者線終端装置(ONU)である。
【００１７】
請求項７に記載の認証装置は、被認証装置YnからユーザIDおよび計算値(a)の認証情報を受信する認証情報受信部と、被認証装置Ynから受信したユーザID と認証装置の秘密情報とを用いて一方向性関数によりパスワード(P)を生成するパスワード生成部と、乱数(S)を生成する乱数生成部と、乱数(S)とパスワード(P)とを用いて一方向性関数により計算値(A)を生成する計算値生成部と、乱数(S)を被認証装置Ynへ送信するデータ送信部と、被認証装置Ynから受信した計算値(a)と計算値(A)とを比較することにより認証を行う認証部と、前記認証部で行った認証の結果を被認証装置Ynへ通知する認証通知部とを備えたことを特徴とする。ここで例えば、光ファイバー伝送路で構成されるPONシステムにおいては、認証装置は加入者線端局装置(OLT)であり、被認証装置Ynは加入者線終端装置(ONU)である。
【００１８】
請求項８に記載の認証装置は、前記認証部において認証が成功した場合に被認証装置Ynより受信したユーザID からユ二ークな番号とサービスに関する情報とを抽出するサービス情報抽出部と、前記サービス情報抽出部で抽出したユ二ークな番号とサービスに関する情報とを認証装置内へ設定する情報管理部とを備えたことを特徴とする。ここで例えば、光ファイバー伝送路で構成されるPONシステムにおいては、ユーザID内にはサービスに関する情報が入っており、パスワードはOLTの秘密情報と前記で受信したユーザIDを用いて一方向性関数で生成するため、認証成功時にOLTは前記ユーザIDから抽出されるユニークな番号とサービスに関する情報の設定を行うことができる。
【００１９】
請求項９に記載の被認証装置は、ユーザIDとパスワード(p)とを認証情報として直接入力して登録する認証情報登録部と、ユーザIDおよびパスワード(p) の認証情報、またはユーザIDおよび計算値(a)の認証情報を認証装置Zへ送信するデータ送信部と、認証装置Zから受信した乱数(S)と前記認証情報登録部で登録されたパスワード(p)とを用いて一方向性関数により計算値(a)を生成する計算値生成部と、認証装置Zから認証結果を受信する認証情報受信部とを備えたことを特徴とする。ここで例えば、光ファイバー伝送路で構成されるPONシステムにおいては、認証装置Zは加入者線端局装置(OLT)であり、被認証装置は加入者線終端装置(ONU)である。
【００２０】
請求項１０に記載の被認証装置は、認証装置Zにおいて認証が成功した場合に認証装置Zからの指示により、前記認証情報登録部で登録したユーザIDを消去するデータ制御部と、前記認証情報登録部で登録したパスワードを変更するパスワード更新部とを備えたことを特徴とする。ここで例えば、光ファイバー伝送路で構成されるPONシステムにおいては、認証成功後、ONUに登録したユーザIDの消去とパスワードの変更とを行うことで、外部への情報漏洩を防ぐことができる。
【発明の効果】
【００２１】
請求項１に係る発明によれば、認証装置Zには事前にユーザIDおよびパスワードの認証情報を登録することなく、被認証装置Ynから送信されてきた認証情報を基にして認証を行うことが可能となる。またEPONシステムにおいては、ONUの認証に必要な情報をOLTへ入力することなく認証を行うことができるようになる。すなわち、OLTは各ユーザのユーザIDおよびパスワードを事前に登録する必要がなく、通信事業者側でOLTヘユーザ毎のユニークな番号およびサービスに関する情報の事前登録も行わなくて済む事から開通作業の稼働削減、時間短縮などの効果が期待できる。さらにIEEE802.1X標準の採用と、そのプロトコルの実装により複数の認証方法を1つのフレームワークで提供が可能となり、PAP、CHAP、TLSをはじめ，今後開発される認証プロトコルヘも対応可能である。
【００２２】
請求項２に係る発明によれば、被認証装置Ynへ直接入力されたユーザIDとパスワード(p)との間には一定の規則性があり、認証装置Zはその規則性を知っているため、被認証装置Ynから到達したユーザIDおよび認証装置Zの秘密情報から一方向性関数によりパスワード(P)を内部生成し、パスワード(P)と被認証装置Ynから受け取ったパスワード(p)とを比較することにより認証を行うことが可能となる効果がある。
【００２３】
請求項３に係る発明によれば、前段に記載の効果に加えて、ユーザIDおよび認証装置Zの秘密情報から一方向性関数により生成したパスワードを、さらにハッシュ関数等の一方向性関数を用いて計算値を生成しているため、この計算値の情報から認証装置Zの秘密情報を取り出すことは極めて困難であり、高レベルのセキュリティを確保できる効果がある。
【００２４】
請求項４に係る発明によれば、認証装置Zが被認証装置Ynから受信したユーザID からユ二ークな番号とサービスに関する情報とを抽出することにより、ユーザに提供する通信サービスを自動的に決定することが可能となる効果がある。またEPONシステムにおいては、通信サービスを提供してもよいONUと通信サービスを許可できないONUとを識別することが必要であり、OLTは認証が成功したONU毎に、ユーザIDより抽出する通信事業者とユーザが契約した通信サービスを行うことが可能となる効果がある。
【００２５】
請求項５に係る発明によれば、認証成功後、被認証装置Ynに直接入力したユーザIDの消去とパスワードの変更を行うことにより、外部への情報漏洩を防ぐことが可能となる効果がある。
【００２６】
請求項６に係る発明によれば、被認証装置Ynへ直接入力されたユーザIDとパスワード(p)との間には一定の規則性があり、認証装置Zはその規則性を知っているため、被認証装置Ynから到達したユーザIDおよび認証装置Zの秘密情報から一方向性関数によりパスワード(P)を内部生成し、パスワード(P)と被認証装置Ynから受け取ったパスワード(p)とを比較することにより認証を行うことが可能となる効果がある。
【００２７】
請求項７に係る発明によれば、前段に記載の効果に加えて、ユーザIDおよび認証装置Zの秘密情報から一方向性関数により生成したパスワードを、さらにハッシュ関数等の一方向性関数を用いて計算値を生成しているため、この計算値の情報からから認証装置Zの秘密情報を取り出すことは極めて困難であり、高レベルのセキュリティを確保できる効果がある。
【００２８】
請求項８に係る発明によれば、認証装置Zが被認証装置Ynから受信したユーザID からユ二ークな番号とサービスに関する情報とを抽出することにより、ユーザに提供する通信サービスを自動的に決定することが可能となる効果がある。またEPONシステムにおいては、通信サービスを提供してもよいONUと通信サービスを許可できないONUとを識別することが必要であり、OLTは認証が成功したONU毎に、ユーザIDより抽出する通信事業者とユーザが契約した通信サービスを行うことが可能となる効果がある。
【００２９】
請求項９に係る発明によれば、ユーザIDおよび認証装置Zの秘密情報から一方向性関数により生成したパスワードを、さらにハッシュ関数等の一方向性関数を用いて計算値を生成しているため、この計算値の情報からから認証装置Zの秘密情報を取り出すことは極めて困難であり、高レベルのセキュリティを確保できる効果がある。
【００３０】
請求項１０に係る発明によれば、認証装置Zにおいて認証が成功した場合に、被認証装置Ynに登録したユーザIDの消去とパスワードの変更とを行うことで、外部への情報漏洩を防ぐことが可能となる効果がある。
【発明を実施するための最良の形態】
【００３１】
次に本発明を実施するための最良の形態（以下、単に「実施の形態」と称する）について説明する。ここでは、光ファイバー伝送路で構成されるPONシステムにおいて、認証装置は加入者線端局装置(OLT)であり、被認証装置Ynは加入者線終端装置(ONU)であり、OLTがONUの認証を行う実施の形態について説明する。なお、この実施の形態により本発明が限定されるものではない。
【００３２】
初めに、ユーザIDとパスワードの生成方法について説明する。図３に示すように、通信事業者が「ユニークな番号」と「サービスに関する情報」とからユーザIDを生成する。ここで「サービスに関する情報」とは、ユーザが利用する通信サービスの種類などを意図する。さらに前記ユーザIDとOLTの秘密情報とを用いて一方向性関数によりパスワード(p)を生成する。次に、生成した前記ユーザIDとパスワード(p)とを認証情報としてONUへ直接入力して登録する。
【００３３】
次に、ONUが光ファイバーに接続されOLTとの通信が開始されると、OLTはONUからユーザIDなどの認証情報を受信して認証を行い、認証が成功すると前記ユーザID から「ユ二ークな番号」と「サービスに関する情報」とを抽出してOLT内へ保存する。
【００３４】
次に、ONUの通信サービスが開始されるまでの仕組みについて説明する。図４に示すように、ONUが光ファイバーに接続された時にOLTはIEEE802.3ah標準のP2MP  Discovery機能によりOLTとONUとの間にロジカルリンク（論理リンク）を自動的に張る形となる。この後、IEEE802.1X標準に従った認証シーケンスにより、ONUから送信される認証情報をOLTが受信して認証を行う。
認証が成功すると、OLTは認証したONUのLLID毎にSNI(Service Network Interface)のポートを開放し、上位ネットワークとの通信を許可するため、ONUは上位ネットワークとの通信ができるようになる。
認証が失敗すると、OLTは認証しなかったONUのLLID毎にSNIポートを開放せず、上位ネットワークとの通信を許可しないため、ONUは上位ネットワークとの通信ができないことになる。
【００３５】
次に、認証装置(OLT)が被認証装置(ONU)の認証を行う方法の第１の例について説明する。図５に示すように、ユーザIDおよびOLTの秘密情報を用いて一方向性関数により生成されたパスワード(p)と前記ユーザIDとを認証情報としてONUに直接入力して登録するプロセスと、ONUが認証情報をOLTへ送信するプロセスと、OLTが受信した認証情報のユーザIDとOLTの秘密情報とを用いて一方向性関数によりパスワード(P)を生成するPW生成プロセスと、OLTには事前にユーザIDとパスワードとを登録することなくONUから受信した認証情報を基にしてONUに登録されたユーザIDおよびパスワード(p)が正しいか否かを判別する認証プロセスと、OLTが前記認証プロセスで判別した結果（成功／失敗）をONUへ通知するプロセスと、を有する。
【００３６】
すなわち、本実施例のプロセスは下記の順に実行される。
（１）通信事業者が「ユニークな番号」と「サービスに関する情報」とからユーザIDを生成し、さらに前記ユーザIDとOLTの秘密情報とを用いて一方向性関数によりパスワード(p)を生成した後、生成した前記ユーザIDとパスワード(p)とを認証情報としてONUへ直接入力して登録する。
（２）ONUが光ファイバーに接続された時にOLTはONUとの間にロジカルリンクを自動的に張った後、IEEE802.1X標準に従った認証シーケンスにより、ONUからユーザIDおよびパスワード(p) の認証情報をOLTへ送信する。
（３）PW生成プロセスでは、OLTが受信した認証情報のユーザIDとOLTの秘密情報とを用いて一方向性関数によりパスワード(P)を生成する。
（４）認証プロセスでは、PW生成プロセスで生成したパスワード(P)とOLTがONUから受信した認証情報のパスワード(p)とを比較し一致した場合に、ONUを認証する。すなわち、ONUへ登録されたユーザIDとパスワード(p)との間には一定の規則性があり、OLTはその規則性を知っているため、ONUから到達したユーザIDおよびOLTの秘密情報から一方向性関数によりパスワード(P)を内部生成し、パスワード(P)とONUから受け取ったパスワード(p)とを比較することによりONU認証を実施する。
（５）OLTが認証プロセスで判別した結果（成功／失敗）をONUへ通知する。図４で説明したように、認証が成功すると、OLTがONU開通を行うためONUは上位ネットワークとの通信ができるようになる。認証が失敗すると、OLTがONU開通を行わないためONUは上位ネットワークとの通信ができないことになる。
【００３７】
さらに前記認証プロセスにおいて認証が成功した場合に、OLTはONUから受信したユーザID から「ユ二ークな番号」と「サービスに関する情報」とを抽出してOLTへ設定するプロセスを有している。
【００３８】
さらに前記認証プロセスにおいて認証が成功した場合に、ONUの保持するユーザIDを消去し、パスワード(p)を変更するプロセスを有している。すなわち、認証成功後、ONUに登録したユーザIDの消去とパスワードの変更とを行うことで、外部への情報漏洩を防ぐことができる。
【００３９】
次に、認証装置(OLT)が被認証装置(ONU)の認証を行う方法の第２の例について説明する。図６に示すように、ユーザIDおよびOLTの秘密情報を用いて一方向性関数により生成されたパスワード(p)と前記ユーザIDとを認証情報としてONUに直接入力して登録するプロセスと、ONUが認証情報をOLTへ送信するプロセスと、OLTが受信した認証情報のユーザIDとOLTの秘密情報とを用いて一方向性関数によりパスワード(P)を生成するPW生成プロセスと、OLTが乱数(S)を生成し、乱数(S)とパスワード(P)とを用いて一方向性関数により計算値(A)を生成するプロセスと、OLTが乱数(S)をONUへ送信するプロセスと、ONUが受信した乱数(S)とONUに登録されたパスワード(p)とを用いて一方向性関数により計算値(a)を生成するプロセスと、ONUが計算値(a)をOLTへ送信するプロセスと、OLTが計算値(a)と計算値(A)を比較し一致した場合に、ONUを認証する認証プロセスと、OLTが前記認証プロセスで判別した結果（成功／失敗）をONUへ通知するプロセスと、を有する。
【００４０】
すなわち、本実施例のプロセスは下記の順に実行される。
（１）通信事業者が「ユニークな番号」と「サービスに関する情報」とからユーザIDを生成し、さらに前記ユーザIDとOLTの秘密情報とを用いて一方向性関数によりパスワード(p)を生成した後、生成した前記ユーザIDとパスワード(p)とを認証情報としてONUへ直接入力して登録する。
（２）ONUが光ファイバーに接続された時にOLTはONUとの間にロジカルリンクを自動的に張った後、IEEE802.1X標準に従った認証シーケンスにより、ONUからユーザIDの認証情報をOLTへ送信する。
（３）PW生成プロセスでは、OLTが受信した認証情報のユーザIDとOLTの秘密情報とを用いて一方向性関数によりパスワード(P)を生成する。
（４）OLTが乱数(S)を生成し、乱数(S)とパスワード(P)とを用いて一方向性関数により計算値(A)を生成する。
（５）OLTが乱数(S)をONUへ送信する。
（６）ONUが受信した乱数(S)とONUに登録されたパスワード(p)とを用いて一方向性関数により計算値(a)を生成する。
（７）ONUが計算値(a)をOLTへ送信する。
（８）認証プロセスでは、OLTが計算値(a)と計算値(A)を比較し一致した場合に、ONUを認証する。すなわちONUへ登録されたユーザIDとパスワード(p)との間には一定の規則性があり、OLTはその規則性を知っているため、ONUから到達したユーザIDおよびOLTの秘密情報から一方向性関数によりパスワード(P)を内部生成し、パスワード(P)を用いて一方向性関数によりOLTが生成した計算値(A)とONUが生成した計算値(a)とを比較することによりONU認証を実施する。
（９）OLTが認証プロセスで判別した結果（成功／失敗）をONUへ通知する。図４で説明したように、認証が成功すると、OLTがONU開通を行うためONUは上位ネットワークとの通信ができるようになる。認証が失敗すると、OLTがONU開通を行わないためONUは上位ネットワークとの通信ができないことになる。
【００４１】
さらに前記認証プロセスにおいて認証が成功した場合に、OLTはONUから受信したユーザID から「ユ二ークな番号」と「サービスに関する情報」とを抽出してOLTへ設定するプロセスを有している。
【００４２】
さらに前記認証プロセスにおいて認証が成功した場合に、ONUの保持するユーザIDを消去し、パスワード(p)を変更するプロセスを有している。すなわち、認証成功後、ONUに登録したユーザIDの消去とパスワードの変更とを行うことで、外部への情報漏洩を防ぐことができる。
【００４３】
また図６の例では、ユーザIDおよびOLTの秘密情報から一方向性関数により生成したパスワードを、さらにハッシュ関数等の一方向性関数を用いて計算値を生成しているため、この計算値の情報からOLTの秘密情報を取り出すことは極めて困難であり、図５の例と比較して、高レベルのセキュリティを確保することができる。
【００４４】
上記で説明した図５および図６のPONシステムの認証方法は、ONUの認証に必要な情報をOLTへ入力することなく認証を行うことができるようになるメリットがある。すなわち、OLTは各ユーザのユーザIDおよびパスワードを事前に登録する必要がなく、通信事業者側でOLTヘユーザ毎のユニークな番号およびサービスに関する情報の事前登録も行わなくて済むことから開通作業の稼働削減、時間短縮などの効果が期待できる。また図５および図６は、IEEE802.1X標準でCHAPを用いた例であるが、IEEE802.1X標準の採用と、そのプロトコルの実装により複数の認証方法を1つのフレームワークで提供が可能となり、PAP、CHAP、TLSをはじめ，今後開発される認証プロトコルヘも対応可能である。
【００４５】
次に、認証装置(OLT)の構成の第１の例について説明する。図７に示すように、認証装置Zは、被認証装置YnからユーザIDおよびパスワード(p) の認証情報を受信する認証情報受信部701と、被認証装置Ynから受信したユーザID と認証装置の秘密情報とを用いて一方向性関数によりパスワード(P)を生成するパスワード生成部702と、被認証装置Ynから受信したパスワード(p)とパスワード生成部702で生成したパスワード(P)とを比較することにより認証を行う認証部703と、認証部703で行った認証の結果を被認証装置Ynへ通知する通知部704とを備えている。
【００４６】
また、認証部703において認証が成功した場合に被認証装置Ynより受信したユーザID からユ二ークな番号とサービスに関する情報とを抽出するサービス情報抽出部705と、サービス情報抽出部で抽出したユ二ークな番号とサービスに関する情報とを認証装置内へ設定する情報管理部706とを備えている。
【００４７】
認証情報受信部701は、被認証装置YnからユーザIDおよびパスワード(p) の認証情報を受信すると、ユーザIDの情報をパスワード生成部702へ引き渡し、パスワード(p) の情報を認証部703へ引き渡す。
【００４８】
パスワード生成部702は、認証情報受信部701から受取ったユーザID と認証装置の秘密情報とを用いて一方向性関数によりパスワード(P)を生成した後、パスワード(P)を認証部703へ引き渡す。ここで被認証装置Ynから受信したユーザIDとパスワード(p)との間には一定の規則性があり、認証装置Zはその規則性を知っているため、一方向性関数によりパスワード(P)を内部生成することができる。
【００４９】
認証部703は、認証情報受信部701から受取ったパスワード(p)とパスワード生成部702で生成したパスワード(P)とを比較することにより認証を行う。一致している場合には「成功」、不一致の場合には「失敗」の情報をデータ送信部704へ引き渡す。また認証が成功した場合にはサービス情報抽出部705へ連絡する。
【００５０】
通知部704は、認証部703から受取った認証の結果（成功／失敗）を被認証装置Ynへ通知する。
【００５１】
サービス情報抽出部705は、被認証装置Ynより受信したユーザID からユ二ークな番号とサービスに関する情報とを抽出した後、それらの情報を情報管理部706へ引き渡す。ここでユーザID内にはサービスに関する情報が入っており、パスワードは認証装置Zの秘密情報とユーザIDを用いて一方向性関数で生成するため、認証成功時にユーザIDから抽出されるユニークな番号とサービスに関する情報を抽出できる。
【００５２】
情報管理部706は、サービス情報抽出部705から受取ったユ二ークな番号とサービスに関する情報とを認証装置内へ設定する。ここでサービスに関する情報とは、ユーザに提供する通信サービスに関する情報などが含まれている。なおEPONシステムにおいては、通信サービスを提供してもよいONUと通信サービスを許可できないONUとを識別することが必要であり、OLTは認証が成功したONU毎に、ユーザIDより抽出する通信事業者とユーザが契約した通信サービスを行うことが可能となる。
【００５３】
次に、認証装置(OLT)の構成の第２の例について説明する。図８に示すように、認証装置Zは、被認証装置YnからユーザIDおよび計算値(a)の認証情報を受信する認証情報受信部801と、被認証装置Ynから受信したユーザID と認証装置の秘密情報とを用いて一方向性関数によりパスワード(P)を生成するパスワード生成部802と、乱数(S)を生成する乱数生成部803と、乱数(S)とパスワード(P)とを用いて一方向性関数により計算値(A)を生成する計算値生成部804と、乱数(S)を被認証装置Ynへ送信するデータ送信部805と、被認証装置Ynから受信した計算値(a)と計算値(A)とを比較することにより認証を行う認証部806と、認証部806で行った認証の結果を被認証装置Ynへ通知する通知部807とを備えている。
【００５４】
また、認証部806において認証が成功した場合に被認証装置Ynより受信したユーザID からユ二ークな番号とサービスに関する情報とを抽出するサービス情報抽出部808と、サービス情報抽出部で抽出したユ二ークな番号とサービスに関する情報とを認証装置内へ設定する情報管理部809とを備えている。
【００５５】
認証情報受信部801は、被認証装置YnからユーザIDの認証情報を受信すると、ユーザIDの情報をパスワード生成部802へ引き渡すとともに、乱数生成部803へ指示する。
【００５６】
パスワード生成部802は、認証情報受信部801から受取ったユーザID と認証装置の秘密情報とを用いて一方向性関数によりパスワード(P)を生成した後、パスワード(P)を計算値生成部804へ引き渡す。ここで被認証装置Ynから受信したユーザIDとパスワード(p)との間には一定の規則性があり、認証装置Zはその規則性を知っているため、一方向性関数によりパスワード(P)を内部生成することができる。
【００５７】
乱数生成部803は、乱数(S)を生成した後、乱数(S)の情報をデータ送信部805と計算値生成部804とへ引き渡す。
【００５８】
計算値生成部804は、乱数生成部803から受取った乱数(S)と、パスワード生成部802から受取ったパスワード(P)とを用いて一方向性関数により計算値(A)を生成した後、計算値(A)の情報を認証部806へ引き渡す。
【００５９】
データ送信部805は、乱数生成部803から受取った乱数(S)の情報を被認証装置Ynへ送信する。被認証装置Ynでは、乱数(S)を受信すると、乱数(S)とパスワード(p)とを用いて一方向性関数により計算値(a)を生成した後、計算値(a)を認証装置Zへ送信する。ここで計算値(a)はハッシュ関数等の一方向性関数を用いて生成されているため、この計算値の情報から秘密情報を取り出すことは極めて困難であり、高レベルのセキュリティを確保できる。
【００６０】
認証情報受信部801は、被認証装置Ynから計算値(a)を受信すると、計算値(a)の情報を認証部806へ引き渡す。
【００６１】
認証部806は、認証情報受信部801から受取った計算値(a)と計算値生成部804から受取った計算値(A)とを比較することにより認証を行う。一致している場合には「成功」、不一致の場合には「失敗」の情報を通知部807へ引き渡す。また認証が成功した場合にはサービス情報抽出部808へ連絡する。
【００６２】
通知部807は、認証部806から受取った認証の結果（成功／失敗）を被認証装置Ynへ通知する。
【００６３】
サービス情報抽出部808は、被認証装置Ynより受信したユーザID からユ二ークな番号とサービスに関する情報とを抽出した後、それらの情報を情報管理部809へ引き渡す。ここでユーザID内にはサービスに関する情報が入っており、パスワードは認証装置Zの秘密情報とユーザIDを用いて一方向性関数で生成するため、認証成功時にユーザIDから抽出されるユニークな番号とサービスに関する情報を抽出できる。
【００６４】
情報管理部809は、サービス情報抽出部808から受取ったユ二ークな番号とサービスに関する情報とを認証装置内へ設定する。ここでサービスに関する情報とは、ユーザに提供する通信サービスに関する情報などが含まれている。なおEPONシステムにおいては、通信サービスを提供してもよいONUと通信サービスを許可できないONUとを識別することが必要であり、OLTは認証が成功したONU毎に、ユーザIDより抽出する通信事業者とユーザが契約した通信サービスを行うことが可能となる。
【００６５】
次に、被認証装置(ONU)の構成の例について説明する。図９(a)に第１の例、図９(b)に第２の例を示す。
【００６６】
図９(a)に示す第１の例では、被認証装置Ynは、ユーザIDとパスワード(p)とを認証情報として直接入力して登録する認証情報登録部901と、ユーザIDおよびパスワード(p) の認証情報を認証装置Zへ送信するデータ送信部902と、認証装置Zから認証結果を受信する認証情報受信部903とを備えている。また、認証装置Zにおいて認証が成功した場合に認証装置Zからの指示により、前記認証情報登録部で登録したユーザIDを消去するデータ制御部904と、前記認証情報登録部で登録したパスワードを変更するパスワード更新部905とを備えている。
【００６７】
認証情報登録部901は、ユーザIDとパスワード(p)とを認証情報として直接入力して登録する。ここでユーザIDについては通信事業者が「ユニークな番号」と「サービスに関する情報」とからユーザIDを生成する。「サービスに関する情報」とは、ユーザが利用する通信サービスの種類などである。またパスワード(p)についてはユーザIDと認証装置Zの秘密情報とを用いて一方向性関数によりパスワード(p)を生成する。
【００６８】
データ送信部902は、認証情報登録部901で登録したユーザIDおよびパスワード(p) の認証情報を認証装置Zへ送信する。認証装置Zでは、ユーザIDおよびパスワード(p) の認証情報を受信すると、ユーザIDと認証装置Zの秘密情報とを用いて一方向性関数によりパスワード(P)を生成し、パスワード(p)とパスワード(P)とを比較することにより認証を行って、その認証結果（成功／失敗）を被認証装置Ynへ通知する。
【００６９】
認証情報受信部903は、認証装置Zから認証結果（成功／失敗）を受信する。EPONシステムにおいては、図４で説明したように、認証が成功すると、OLTがONU開通を行うためONUは上位ネットワークとの通信ができるようになる。認証が失敗すると、OLTがONU開通を行わないためONUは上位ネットワークとの通信ができないことになる。
【００７０】
データ制御部904は、認証装置Zにおいて認証が成功した場合に認証装置Zからの指示を受けると、被認証装置Ynに登録されているユーザIDを消去する。
【００７１】
パスワード更新部905は、認証装置Zにおいて認証が成功した場合に認証装置Zからの指示を受けると、被認証装置Ynに登録されているパスワードを変更する。すなわち、認証が成功した後、被認証装置Ynに直接入力したユーザIDの消去とパスワードの変更を行い、外部への情報漏洩を防いでいる。
【００７２】
図９(b)に示す第２の例では、被認証装置Ynは、ユーザIDとパスワード(p)とを認証情報として直接入力して登録する認証情報登録部901と、ユーザIDおよび計算値(a)の認証情報を認証装置Zへ送信するデータ送信部902と、認証装置Zから受信した乱数(S)と認証情報登録部901で登録されたパスワード(p)とを用いて一方向性関数により計算値(a)を生成する計算値生成部906と、認証装置Zから認証結果を受信する認証情報受信部903とを備えている。また、認証装置Zにおいて認証が成功した場合に認証装置Zからの指示により、前記認証情報登録部で登録したユーザIDを消去するデータ制御部904と、前記認証情報登録部で登録したパスワードを変更するパスワード更新部905とを備えている。
【００７３】
認証情報登録部901は、ユーザIDとパスワード(p)とを認証情報として直接入力して登録する。ここでユーザIDについては通信事業者が「ユニークな番号」と「サービスに関する情報」とからユーザIDを生成する。「サービスに関する情報」とは、ユーザが利用する通信サービスの種類などである。またパスワード(p)についてはユーザIDと認証装置Zの秘密情報とを用いて一方向性関数によりパスワード(p)を生成する。
【００７４】
データ送信部902は、認証情報登録部901で登録したユーザIDの認証情報を認証装置Zへ送信する。認証装置Zでは、ユーザIDの認証情報を受信すると、乱数(S)を生成し、乱数(S)を被認証装置Ynへ送信する。さらにユーザIDと認証装置Zの秘密情報とを用いて一方向性関数によりパスワード(P)を生成し、乱数(S)とパスワード(P)とを用いて一方向性関数により計算値(A)を生成する。
【００７５】
認証情報受信部903は、認証装置Zから乱数(S)を受信すると、乱数(S)を計算値生成部906へ引き渡す。
【００７６】
計算値生成部906は、認証情報受信部903から受取った乱数(S)と認証情報登録部901で登録されたパスワード(p)とを用いて一方向性関数により計算値(a)を生成した後、計算値(a)をデータ送信部902へ引き渡す。データ送信部902では、計算値(a)を認証装置Zへ送信する。
【００７７】
認証情報受信部903は、認証装置Zから認証結果（成功／失敗）を受信する。EPONシステムにおいては、図４で説明したように、認証が成功すると、OLTがONU開通を行うためONUは上位ネットワークとの通信ができるようになる。認証が失敗すると、OLTがONU開通を行わないためONUは上位ネットワークとの通信ができないことになる。
【００７８】
データ制御部904は、認証装置Zにおいて認証が成功した場合に認証装置Zからの指示を受けると、被認証装置Ynに登録されているユーザIDを消去する。
【００７９】
パスワード更新部905は、認証装置Zにおいて認証が成功した場合に認証装置Zからの指示を受けると、被認証装置Ynに登録されているパスワードを変更する。すなわち、認証が成功した後、被認証装置Ynに直接入力したユーザIDの消去とパスワードの変更を行い、外部への情報漏洩を防いでいる。
【図面の簡単な説明】
【００８０】
【図１】PONシステムの接続構成を示す概要図である。
【図２】PONシステムの認証の流れを示す図である。
【図３】本発明の実施の形態に係るユーザIDとパスワードの生成方法を説明する図である。
【図４】本発明の実施の形態に係るONUの認証と通信サービスの関係を説明する図である。
【図５】本発明の実施の形態に係るONUの認証を行う方法の第１の例を説明する図である。
【図６】本発明の実施の形態に係るONUの認証を行う方法の第２の例を説明する図である。
【図７】本発明の実施の形態に係る認証装置(OLT)の構成の第１の例を説明する図である。
【図８】本発明の実施の形態に係る認証装置(OLT)の構成の第２の例を説明する図である。
【図９（ａ）】本発明の実施の形態に係る被認証装置(ONU) の構成の第１の例を説明する図である。
【図９（ｂ）】本発明の実施の形態に係る被認証装置(ONU) の構成の第２の例を説明する図である。
【符号の説明】
【００８１】
７０１  認証情報受信部
７０２  パスワード生成部
７０３  認証部
７０４  通知部
７０５  サービス情報抽出部
７０６  情報管理部
８０１  認証情報受信部
８０２  パスワード生成部
８０３  乱数生成部
８０４  計算値生成部
８０５  データ送信部
８０６  認証部
８０７  通知部
８０８  サービス情報抽出部
８０９  情報管理部
９０１  認証情報登録部
９０２  データ送信部
９０３  認証情報受信部
９０４  データ制御部
９０５  パスワード更新部
９０６  計算値生成部
【図１】
2008028922.tif 000003
【図２】
2008028922.tif 000004
【図３】
2008028922.tif 000005
【図４】
2008028922.tif 000006
【図５】
2008028922.tif 000007
【図６】
2008028922.tif 000008
【図７】
2008028922.tif 000009
【図８】
2008028922.tif 000010
【図９（ａ）】
2008028922.tif 000011
【図９（ｂ）】
2008028922.tif 000012