(57)【要約】【課題】基幹ネットワーク側に設けられた正規の認証サーバにアカウントを有するユーザを一回の認証処理で、小規模なネットワークへの接続を許可する。【解決手段】基幹ネットワーク（イントラネット）１２０に接続し、無線通信により無線端末装置１１１〜１１４と接続するアクセスポイント（ＡＰ）１００が無線端末装置１１４から無線通信による認証要求を受信すると、受信した認証要求をイントラネット１２０へ転送し、その認証要求に対する認証処理がイントラネット１２０で失敗した場合に、アクセスポイント１００の認証サーバ機能部１０２が無線端末装置１１４に対する一時的な認証処理を行う。【選択図】      図１
2004304710.tif 000002
【特許請求の範囲】
【請求項１】
基幹ネットワークに接続され、無線通信により無線端末装置と接続する無線接続装置の認証方法であって、
無線端末装置から無線通信による認証要求を受信する工程と、
受信した認証要求を基幹ネットワークへ転送し、該認証要求に対する認証処理が基幹ネットワークで失敗した場合に、前記無線端末装置に対する一時的な認証処理を行う工程とを有することを特徴とする無線接続装置の認証方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、無線ＬＡＮやＢｌｕｅｔｏｏｔｈ等の無線通信機能を有する端末による小規模なＬＡＮ環境であるＰＡＮ（Ｐｅｒｓｏｎａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）をセキュアに構築する際に用いられる無線接続装置の認証方法に関するものである。
【０００２】
【従来の技術】
従来、無線ＬＡＮやＢｌｕｅｔｏｏｔｈでは、その通信媒体として電波を用いるため、通信先の制限が難しいという問題があった。このため、これらの規格では、通信先毎に暗号鍵を変更することで、たとえパケットを覗き見られても、それを解読できないようにするといった防御手段が執られている。
【０００３】
現在、最も一般的な無線通信の暗号化手段は、ＩＥＥＥ８０２．１１（以下「８０２．１１」）方式であればＷＥＰキー（４０ｂｉｔ，１２８ｂｉｔ）による暗号化であり、またＢｌｕｅｔｏｏｔｈ方式であれば、Ｐｉｎコードから自動生成される１２８ｂｉｔの暗号鍵による暗号化である。しかし、これらの暗号化方式にも脆弱性があることが指摘されており、無線通信の安全性を更に高めるための暗号化方式として、８０２．１１方式では、８０２．１ｘベースの認証を実施した上での動的ＷＥＰキー変換（ＥＡＰ）やＴＫＩＰ，ＡＥＳといった、更に高度な暗号化方式、Ｂｌｕｅｔｏｏｔｈ方式では、８０２．１ｘベースの上位アプリケーション層での認証・暗号化方式などが検討され、一部実施されている。この中でも８０２．１ｘをベースとしたＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）方式と呼ばれる認証・暗号化手段は、一部のＯＳ環境において、８０２．１１方式向けの認証・暗号化手段として標準的に実装されている。
【０００４】
無線ＬＡＮ（８０２．１１）におけるＥＡＰ方式は、クライアント端末がネットワーク接続要求を行う際に、無線接続装置であるアクセスポイントを介して、ＴＣＰ／ＩＰの一部ポートを利用してイントラネットやインターネット上に設けられた認証サーバ（ＲＡＤＩＵＳサーバ等）とデータ通信を行い、認証サーバからクライアント端末への証明書の要求又はチャレンジを実施する。クライアント端末は、証明書所有の証明を行うか、チャレンジに対してアカウント名とパスワードとを返し、それらが認証サーバ内のデータと一致すれば、認証サーバはクライアント端末のネットワーク接続を許可し、無線通信を暗号化するための１２８ｂｉｔの暗号鍵又は暗号鍵生成パラメータをアクセスポイントとクライアント端末に返す。
【０００５】
このようなプロセスを経て、クライアント端末が認証サーバによる認証にパスすると、それ以降の無線通信は、１２８ｂｉｔの暗号鍵をＷＥＰキーとしてクライアント端末とアクセスポイントとの両者間で利用することで暗号化される。更に、このようなプロセスは一定時間毎に定期的に実施され、暗号鍵の更新を行う。
【０００６】
また、Ｂｌｕｅｔｏｏｔｈ方式では、無線通信機能を有する各端末で構築される小規模なＬＡＮ環境であるＰＡＮ（Ｐｅｒｓｏｎａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）プロファイルにおいてセキュリティ向上のために８０２．１ｘ認証・暗号化手段を用いることが推奨されている。このＢｌｕｅｔｏｏｔｈの場合、無線媒体である電波を暗号化するための鍵の生成はＢｌｕｅｔｏｏｔｈ方式で通信を行うデバイス間のＰｉｎコードによる相互認証によって自動的に生成されるため、認証サーバから受け取った暗号鍵情報を、無線ＬＡＮで用いられているＷＥＰキーのような電波そのものの暗号化鍵としては利用できないが、無線媒体として電波を生成する前段階でパケットを暗号化する際の鍵として利用することで、二重に暗号化し通信のセキュリティを向上させることができる。
【０００７】
以上述べてきた８０２．１ｘ方式の認証・暗号化プロセスでは、認証を実施するための認証サーバがイントラネットなどのネットワーク内に存在し、その認証サーバがクライアント端末のアカウントを集中管理している。このため、８０２．１ｘ方式を用いるならば、クライアント端末がどこにいても、認証サーバとのＴＣＰ／ＩＰによる通信が実施可能な場合、同一アカウント及びパスワードを用いてイントラネットなどの基幹ネットワークに接続することができる。
【０００８】
【発明が解決しようとする課題】
このように、上述した８０２．１ｘ方式による認証・暗号化プロセスを用いることで、クライアント端末は無線通信を用いた安全なネットワーク接続を実現できる。但し、そのためには、ネットワーク内に認証サーバが設置され、かつ、その認証サーバには、予めクライアント端末のアカウントが登録されている必要がある。即ち、８０２．１ｘ方式は、比較的規模の大きなイントラネット等の基幹ネットワーク上での運用を想定した方式であり、無線によるネットワーク接続を行うクライアント端末も認証サーバ上にアカウントを持ったメンバに限定されるといった制限があった。
【０００９】
このため、認証サーバ上にアカウントの無い外来者が参加するミーティングを行う場合やイントラネット等の基幹ネットワークへの接続手段がない社外の会議室等でのミーティングを行う場合は、８０２．１ｘ方式による認証・暗号化プロセスを利用した無線通信による安全なネットワーク構築ができないという不具合があった。
【００１０】
尚、その際に、認証・暗号化を行うことなく、無線通信は実現可能であるが、セキュリティの面から大きな問題がある。
【００１１】
また、手作業により無線通信用のパラメータを設定すれば、無線通信の暗号化は可能であるが、クライアント端末はイントラネット等の基幹ネットワーク上で通常利用する８０２．１ｘ方式のアカウント及びパスワードの入力による自動接続とは、全く異なる接続手段を手動で行わなければならない。また、手作業による無線通信用パラメータの設定では、暗号鍵を一定時間毎に変更することも自動的には実施不可能であるため、安全性が損なわれる。
【００１２】
上述のような不具合を無くすためには、ＰＡＮを構築するメンバのために８０２．１ｘ方式に対応した専用の認証サーバを設け、その認証サーバ上でＰＡＮ構成者を一元管理すれば良い。しかし、そうした場合、イントラネット等の基幹ネットワーク側に存在する正規の認証サーバにアカウントを所有するユーザも、ＰＡＮ構築専用の認証サーバによって認証が行われるため、無線通信は暗号化されるもののイントラネット等の基幹ネットワークへのアクセスのために、再度、認証作業が必要であったり、或いはイントラネットへのアクセスに障害がでたりと言った不都合が生じる。
【００１３】
本発明は、上記課題を解決するためになされたもので、基幹ネットワーク側に設けられた正規の認証サーバにアカウントを有するユーザを一回の認証処理で、基幹ネットワークと小規模なネットワーク双方への接続を許可することを目的とする。
【００１４】
また、本発明は、基幹ネットワーク側に設けられた正規の認証サーバによって認証がなされなかったユーザの基幹ネットワークへのアクセスを禁止することを目的とする。
【００１５】
本発明の更なる目的は、基幹ネットワーク側に設けられた正規の認証サーバによって認証がなされなかったユーザに対して小規模なネットワークへのアクセスに限って可能とすることである。
【００１６】
本発明の更なる目的は、基幹ネットワーク側に設けられた正規の認証サーバによる認証可否を判断するための方法を提供することである。
【００１７】
本発明の更なる目的は、基幹ネットワークが存在しない状態でアクセスポイントを使用する場合や基幹ネットワーク上に認証サーバが無い環境下でアクセスポイントを使用する場合に、クライアントの接続処理を迅速化することである。
【００１８】
本発明の更なる目的は、クライアントに対してアクセスポイントによって発行されたアカウントや証明書を、会議などの期間内のみ有効とし、それ以降は無効化して会議非参加者の不正アカウント発生を防止することである。
【００１９】
本発明の更なる目的は、アクセスポイントから一時的なアカウントや証明書の発行を受けるクライアントが、再認証実施時にネットワークの一時的な切断等の不具合を被ることを回避することである。
【００２０】
【課題を解決するための手段】
上記目的を達成するために、本発明は、基幹ネットワークに接続され、無線通信により無線端末装置と接続する無線接続装置の認証方法であって、無線端末装置から無線通信による認証要求を受信する工程と、受信した認証要求を基幹ネットワークへ転送し、該認証要求に対する認証処理が基幹ネットワークで失敗した場合に、前記無線端末装置に対する一時的な認証処理を行う工程とを有することを特徴とする。
【００２１】
【発明の実施の形態】
以下、図面を参照しながら本発明に係る実施の形態を詳細に説明する。
【００２２】
図１は、本実施形態における無線ネットワークシステムの構成を示す図である。図１において、１００は本実施形態のアクセスポイントであり、ＩＥＥＥ８０２．１１やＢｌｕｅｔｏｏｔｈ等の無線通信手段によって安全なネットワークを構築する。アクセスポイント１００において、１０１は無線通信回路部であり、無線通信手段により後述するクライアント端末との間で無線による通信を行う。１０２は認証サーバ機能部であり、後述するイントラネット上の認証サーバに代わってクライアント端末の認証処理を行う。１０３は証明書サーバ機能部であり、認証サーバ機能部１０２により認証されたクライアント端末へ証明書の発行を行う。１０４は表示部であり、アクセスポイント１００からの一時認証のためのメッセージを表示する。
【００２３】
１１０は無線媒体であり、８０２．１１やＢｌｕｅｔｏｏｔｈ等の電波による無線通信手段である。１１１、１１２はＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｔｓ）であり、アクセスポイント１００と無線で接続する。１１３、１１４はノート型パソコン（ＰＣ）であり、アクセスポイント１００と無線で接続する。１２０はアクセスポイント１００と接続されたイントラネットやインターネットなどの基幹ネットワーク（以下「イントラネット」と称す）である。１２１はイントラネット１２０上に設けられた認証サーバであり、クライアント端末からの認証要求により認証処理を行う。１２２はイントラネット１２０上に設けられた証明書サーバである。尚、本実施形態では、上述のアクセスポイント１００と無線通信手段１１０を介して接続されるＰＤＡ１１１、１１２、ノート型パソコン１１３、１１４を「クライアント端末」と称す。
【００２４】
ここで、以下の説明を容易にするために、クライアント端末１１３はイントラネット１２０上の証明書サーバ１２２によって発行された証明書を所有しているか、イントラネット１２０上の認証サーバ１２１にアカウントを有するクライアント端末であると仮定する。同様に、クライアント端末１１４はイントラネット１２０上の証明書サーバ１２２によって発行された証明書を所有しておらず、かつイントラネット１２０上の認証サーバ１２１にアカウントを有していないクライアント端末であると仮定する。
【００２５】
図２は、クライアント端末１１３がアクセスポイント１００との間に無線通信による接続を確立する場合の認証処理を示す遷移図である。図２に示すように、クライアント端末１１３が、アクセスポイント１００の無線通信回路部１０１と８０２．１１アソシエーション（２００）の一連のやり取りを実施した後に、ＥＡＰ認証プロセス（２０１〜２０７）を開始する。先ず、クライアント端末１１３は無線通信回路部１０１に対してＥＡＰ認証を行うことを宣言し（２０１）、この宣言に呼応して、無線通信回路部１０１がＥＡＰ認証のための身分証明要求（２０２）をクライアント端末１１３に送信する。これに答えて、クライアント端末１１３は、無線通信回路部１０１に対してユーザＩＤ付きのＥＡＰ−Ｒｅｓｐｏｎｓｅ（２０３）を送信する。そして、無線通信回路部１０１は受信パケットをイントラネット１２０上に存在する認証サーバ１２１に向けて転送する（２１０）。
【００２６】
これにより、認証サーバ１２１は、クライアント端末１１３からの認証要求（２１０）に反応し、認証サーバ１２１内のデータベースに対して認証要求（２１０）に添付されたユーザＩＤに相当するユーザが登録されているか否かを検索する。ここで、対応するユーザが登録されていた場合には、無線通信回路部１０１を経由してクライアント端末１１３へ、認証のためのチャレンジ（２１１、２０４）を送信する。このチャレンジ（２０４）を受けたクライアント端末１１３は、そのチャレンジに対応する回答（一般的にはパスワードや証明書の内容）を無線通信回路部１０１経由でイントラネット１２０上の認証サーバ１２１へと返す（２０５、２１２）。そして、認証サーバ１２１は、クライアント端末１１３から返されたチャレンジ回答（２１２）の内容を吟味し、自身のデータベースに記録された認証データと一致していれば、認証ＯＫを無線通信回路部１０１経由でクライアント端末１１３へ送信する（２１３、２０６）。ここでＷＥＰキー等の無線通信用暗号鍵を変更する場合には、無線通信回路部１０１から無線通信用暗号鍵情報（２０７）がクライアント端末１１３へ送信される。
【００２７】
上述のＥＡＰ認証プロセス（２０１〜２０７）が終了した後、クライアント端末１１３は、アクセスポイント１００経由のイントラネット１２０へのアクセスが許可される。この際、イントラネット１２０上の認証サーバ１２１による認証がなされたクライアント端末１１３に対しては、イントラネット１２０だけでなく、アクセスポイント１００を経由して接続された他のクライアント端末１１１、１１２、１１４へのＰＡＮアクセスも許可されることは言うまでもない。また、ＷＥＰキーの動的変更を実施する場合は、上述のプロセスが一旦完了した後、定期的に無線通信回路部１０１よりＥＡＰ認証のための身分証明要求（２０２）をクライアント端末１１３に送信する。そして、上述の処理と同様の再認証及び新しいＷＥＰキーに関する無線通信用暗号鍵情報送信（２０２〜２０７）のプロセスを繰り返し実行することで、ＷＥＰキーの動的変更を実現する。
【００２８】
上述の認証プロセスは、一般的なＥＡＰ認証の実施プロセスと何ら変わりない。即ち、本実施形態ではイントラネット１２０側の認証サーバ１２１にアカウントが存在するクライアント端末１１３に対しては、通常のＥＡＰ認証と同一の動作を行う。一方、イントラネット１２０上の証明書サーバ１２２によって発行された証明書を所有しておらず、かつ、イントラネット１２０上の認証サーバ１２１にアカウントを有していないクライアント端末１１４の場合は、一般的なＥＡＰ認証プロセスとは異なる動作を行う。
【００２９】
図３は、クライアント端末１１４がアクセスポイント１００との間に無線通信による接続を確立する場合の認証処理を示す遷移図である。図３に示すように、クライアント端末１１４も、アクセスポイント１００の無線通信回路部１０１と８０２．１１アソシエーション（３００）の一連のやり取りを実施した後に、ＥＡＰ認証プロセス（３０１〜３０９）を開始する。先ず、クライアント端末１１４は無線通信回路部１０１に対してＥＡＰ認証を行うことを宣言し（３０１）、この宣言に呼応して、無線通信回路部１０１がＥＡＰ認証のための身分証明要求（３０２）をクライアント端末１１４に送信する。これに答えて、クライアント端末１１４は、無線通信回路部１０１に対してユーザＩＤ付きのＥＡＰ−Ｒｅｓｐｏｎｓｅ（３０３）を送信する。そして、無線通信回路部１０１は受信パケットをイントラネット１２０上に存在する認証サーバ１２１に向けて転送する（３１０）。ここまでの処理は、上述した一般的なＥＡＰ認証プロセスと全く同一である。
【００３０】
ここで、上述の認証サーバ１２１は、クライアント端末１１４からの認証要求（３１０）に反応し、認証サーバ１２１内のデータベースに対して認証要求（３１０）に添付されたユーザＩＤに相当するユーザが登録されているか否かを検索するが、対応するユーザは登録されていないため、認証拒否応答（３１１）を無線通信回路部１０１へ送信する。そして、認証拒否応答（３１１）を受け取った無線通信回路部１０１は、一般的なＥＡＰ認証プロセスで行う認証拒否応答のクライアント端末１１４への転送を行わず、アクセスポイント１００内に設けられた認証サーバ機能部１０２と証明書サーバ機能部１０３で、クライアント端末１１４用に新規に一時証明書又は一時アカウントを作成し、作成した一時証明書又は認証処理に必要な情報を、クライアント端末１１４へ無線通信手段１１０を用いて配布する。
【００３１】
図４は、一時証明書又は一時アカウントの作成配布処理を示すフローチャートである。まずステップＳ４０１において、イントラネット１２０上の認証サーバ１２１によって認証を拒否された場合はステップＳ４０２へ進み、クライアント端末１１４がＰＡＮ参加資格を有しない不正ユーザである可能性があるため、アクセスポイント１００内の認証サーバ機能部１０２や証明書サーバ機能部１０３で一時証明書や一時アカウントの発行を行う前に、クライアント端末所有者の個人情報をアクセスポイント１００の表示部１０４にリスト表示する。そして、ステップＳ４０３において、ＰＡＮ管理者が手入力によってＰＡＮ参加の可否入力を行う。具体的には、ＰＡＮ管理者はアクセスポイント１００の表示部１０４に表示された個人情報を見て、ＰＡＮ参加者の更新や削除作業を実施した後、ＰＡＮ参加者リストが過不足無いものになったら、リストの承認を行う。
【００３２】
次に、ステップＳ４０４において、承認の結果、ＰＡＮ参加資格を有するクライアントであるか否かを判定し、ＰＡＮ参加資格を有するクライアントであればステップＳ４０５へ進み、証明書サーバ機能部１０３に一時証明書の発行を要求し、ステップＳ４０６で認証サーバ機能部１０２が一時アカウントを作成し、ステップＳ４０７で証明書、一時アカウント及び一時パスワードの情報をクライアントへ配布し、ステップＳ４０８で配布した一時認証情報によるＥＡＰ認証のための身分証明要求をクライアントへ送信する。また、ステップＳ４０４において、不正参加者などの正規のクライアントでない場合はステップＳ４０９へ進み、認証拒否をクライアント端末１１４へ転送し、ＰＡＮ接続の許可を与えない。
【００３３】
また、アクセスポイント１００における一時証明書や一時アカウントの発行と配布処理（Ｓ４０５〜Ｓ４０８）において、ＥＡＰ認証に一時証明書を利用せず、一時アカウント及び一時パスワードのみを使用するＥＡＰ−ＭＤ５等を利用する場合には、一時証明書の発行処理（Ｓ４０５）を省略できることは言うまでもない。
【００３４】
ここで図３に戻り、配布終了後、無線通信回路部１０１は、ＥＡＰ認証のための身分証明要求（３０４）をクライアント端末１１４へ再送信する。これに答えて、クライアント端末１１４は、無線通信回路部１０１経由で認証サーバ機能部１０２に対して新規に配布された一時証明書又は一時アカウントを用いてユーザＩＤ付きのＥＡＰ−Ｒｅｓｐｏｎｓｅ（３０５）を送信する。これを受けて、無線通信回路部１０１は、受信したパケットをイントラネット１２０上に存在する認証サーバ１２１ではなく、アクセスポイント１００内に内蔵された認証サーバ機能部１０２へ転送する（３１２）。
【００３５】
これにより、アクセスポイント１００内の認証サーバ機能部１０２は、クライアント端末１１４からの認証要求（３１２）に反応し、認証サーバ機能部１０２内のデータベースに対して認証要求（３１２）に添付されたユーザＩＤに相当するユーザが登録されているか否かを検索する。このユーザＩＤは、上述した一時証明書又は一時アカウント作成の際に認証サーバ機能部１０２内のデータベースに登録されているため、アクセスポイント１００内の認証サーバ機能部１０２は無線通信回路部１０１を経由してクライアント端末１１４へ、認証のためのチャレンジ（３１３、３０６）を送信する。このチャレンジ（３０６）を受けたクライアント端末１１４は、そのチャレンジに対応する回答（先立って配布された一時パスワードや一時証明書の内容やそれを加工した物）を、無線通信回路部１０１を経由してアクセスポイント１００内の認証サーバ機能部１０２へと返す（３０７、３１４）。そして、認証サーバ機能部１０２は、クライアント端末１１４から返されたチャレンジ回答（３１４）の内容を吟味する。
【００３６】
このチャレンジ回答は、上述した一時証明書又は一時アカウント作成の際に認証サーバ機能部１０２内のデータベースに登録された情報より導き出されるため、アクセスポイント１００内の認証サーバ機能部１０２は認証ＯＫ（３１５）を無線通信回路部１０１経由でクライアント端末１１４へ送信する。ここで、ＷＥＰキー等の無線通信用暗号鍵を変更する場合は、無線通信回路部１０１から無線通信用暗号鍵情報（３０９）がクライアント端末１１４へ送信される。
【００３７】
上述のＥＡＰ認証プロセス（３０１〜３０９）が終了した後、クライアント端末１１４は、イントラネット１２０を除くアクセスポイント１００を経由して接続された他のクライアント端末１１１、１１２、１１３へのＰＡＮ接続も許可される。また、ＷＥＰキーの動的変更を実施する場合は、上述のプロセスが一旦完了した後、定期的に無線通信回路部１０１よりＥＡＰ認証のための身分証明要求（３０４）をクライアント端末１１４に送信する。そして、上述の処理と同様の再認証及び新しいＷＥＰキーに関する無線通信用暗号鍵情報送信（３０４〜３０９）のプロセスを繰り返し実行することで、ＷＥＰキーの動的変更を実現する。
【００３８】
尚、図４に示すフローチャートにおけるイントラネット１２０上の認証サーバ１２１による認証可否の判定（Ｓ４０１）は、タイムアウトか認証拒否パケットの有無によって判断するものである。また、タイムアウト判定は、クライアント端末１１４がアクセスポイント１００の無線通信回路部１０１経由で認証サーバ１２１に対してユーザＩＤ付きのＥＡＰ−Ｒｅｓｐｏｎｓｅ（３０３）を送信し、これを受けた無線通信回路部１０１が受信パケットをイントラネット１２０上に存在する認証サーバ１２１に向けて転送した後、予めアクセスポイント１００に設定したタイムアウト時間までにそのパケットに対するレスポンスがなされなかった場合に、タイムアウトと判断し、以降の処理（Ｓ４０２以降）へ進める。これは、イントラネット１２０上に認証サーバ１２１が存在しない様な場合に有効な判定処理である。
【００３９】
また、認証拒否パケットの有無による判定は、図３に示す認証拒否応答（３１１）を無線通信回路部１０１でモニタし、そのパケットの有無によってイントラネット１２０上の認証サーバ１２１による認証可否を判定する。これは、クライアント端末１１４が、アカウントを有しない認証サーバ１２１が存在するイントラネット１２０に対してユーザＩＤ付きのＥＡＰ−Ｒｅｓｐｏｎｓｅ（３０３）を送信する際には、タイムアウト待ち等による無駄な待ち時間を無くせる点で有効な判定処理である。
【００４０】
従って、アクセスポイント１００の無線通信回路部１０１で、イントラネット１２０上の認証サーバ１２１による認証可否の自動判定を最も効率良く行うためには、上述の判定方法を組み合わせて「認証拒否パケットが発行されるか、タイムアウト時間内にレスポンスが無かった場合は認証不可と判断する」ことが好ましい。
【００４１】
また、本実施形態におけるアクセスポイント１００は、携帯して利用するような場合も考えられるため、アクセスポイント１００の設置状況が頻繁に変わることが想定される。即ち、アクセスポイント１００がイントラネット１２０に接続されて使用されたり、イントラネット１２０の存在なしに使用される場合が考えられる。
【００４２】
このように、事前にイントラネット１２０の有無が判明しているような場合に備え、アクセスポイント１００上にスイッチを設け、そのスイッチによってクライアント端末から無線通信回路部１０１経由で認証サーバ１２１に対して送信されるユーザＩＤ付きのＥＡＰ−Ｒｅｓｐｏｎｓｅ（２１０、３１０）をイントラネット１２０へ転送するか否かを設定可能としても良い。
【００４３】
尚、このスイッチは物理スイッチ、ソフトスイッチの何れでも構わない。このようなスイッチを設けることで、イントラネット１２０が存在しないことが事前に分かっている環境でアクセスポイント１００を使用する際に、このスイッチをイントラネット１２０への転送不要に設定すれば、図３に示す３１０、３１１のプロセスを省略できるため、一時証明書や一時アカウントの発行処理への移行を迅速に行うことが可能となり、ユーザの利便性を向上させることができる。
【００４４】
また、図３に示したイントラネット１２０上の認証サーバ１２１にアカウントを持たないクライアント端末１１４がアクセスポイント１００との間に無線通信による接続を確立しようとする際の認証処理プロセスでは、クライアント端末からユーザＩＤ付きのＥＡＰ−Ｒｅｓｐｏｎｓｅが複数回発生する（３０３、３０５）。そこで、１回目のＥＡＰ−Ｒｅｓｐｏｎｓｅ（３０３）はイントラネット１２０上の認証サーバ１２１へ転送し、それ以降のＥＡＰ−Ｒｅｓｐｏｎｓｅ（３０５）はアクセスポイント１００内の認証サーバ機能部１０２へ確実に転送する必要がある。この転送を正しく実現するために、無線通信回路部１０１では、あるクライアント端末のイントラネット１２０上の認証サーバ１２１による認証可否の履歴又はあるクライアント端末への一時証明書や一時アカウントの発行有無の履歴から転送先を決定すれば良い。
【００４５】
つまり、あるクライアント端末のイントラネット１２０上の認証サーバ１２１による認証可否の履歴による判定を行う場合は、イントラネット１２０上の認証サーバ１２１による認証履歴が無いか、或いは認証に成功したクライアント端末については、常にイントラネット１２０上の認証サーバ１２１へＥＡＰ−Ｒｅｓｐｏｎｓｅの転送を行い、またイントラネット１２０上の認証サーバ１２１による認証に失敗したクライアント端末については、常にアクセスポイント１００内の認証サーバ機能部１０２へＥＡＰ−Ｒｅｓｐｏｎｓｅの転送を行う。
【００４６】
また、任意のクライアント端末への一時証明書や一時アカウントの発行有無の履歴による転送先判定は、任意のクライアント端末に対してアクセスポイント１００内の認証サーバ機能部１０２や証明書サーバ機能部１０３による一時証明書や一時アカウントの発行履歴が無い場合はイントラネット１２０上の認証サーバ１２１へＥＡＰ−Ｒｅｓｐｏｎｓｅの転送を行い、一時証明書や一時アカウントの発行履歴がある場合はアクセスポイント１００内の認証サーバ機能部１０２へＥＡＰ−Ｒｅｓｐｏｎｓｅの転送を行う。
【００４７】
このようにして、クライアント端末から送信されるユーザＩＤ付きのＥＡＰ−Ｒｅｓｐｏｎｓｅの転送先を決定することにより、動的にＷＥＰキーを変更する際に繰り返されるユーザＩＤ付きのＥＡＰ−Ｒｅｓｐｏｎｓｅを、そのクライアント端末を認証した認証サーバ（イントラネット１２０上の認証サーバ１０２、或いはアクセスポイント１００内の認証サーバ機能部１２１）へ確実に転送することができ、ネットワーク接続の一時切断等の不具合を防止することができる。
【００４８】
また、本実施形態で説明したアクセスポイント１００を中心として構築されるＰＡＮは、恒久的に存在するものではなく、テンポラリに構築されるものである。従って、アクセスポイント１００内の認証サーバ機能部１０２や証明書サーバ機能部１０３によって発行された一時証明書や一時アカウントは、恒久的に有効なものであってはならない。このため、これらの一時証明書や一時アカウントは、ＰＡＮ構築期間が終了したら速やかに無効化する必要がある。この無効化のための方法としては、以下のものが考えられる。
【００４９】
第１の方法は、アクセスポイント１００に対して、会議の終了通知やスイッチ操作等のトリガが与えられた際に、それまで有効であった一時証明書や一時アカウントをアクセスポイント１００側で破棄する方法である。
【００５０】
第２の方法は、ＰＡＮ構築時にユーザによってアクセスポイント１００へ入力されたＰＡＮ構築予定時間が終了した場合に、それまで有効であった一時証明書や一時アカウントをアクセスポイント１００側で破棄する方法である。
【００５１】
第３の方法は、ＰＡＮ構築時から一定時間（数時間が好ましい）が経過した後、無条件にそれまで有効であった一時証明書や一時アカウントをアクセスポイント１００側で破棄する方法である。
【００５２】
第４の方法は、アクセスポイント１００から一時証明書や一時アカウントを発行する際に、ユーザによってアクセスポイント１００へ入力されたＰＡＮ構築予定時間か、ある一定時間（数時間が好ましい）の有効期限情報（日付や時間情報）を一時証明書や一時アカウント内に設定しておき、認証毎に、その有効期限情報をチェックし、有効期限が経過した後は失効し、アクセスポイント１００の認証サーバ機能部１０２や証明書サーバ機能部１０３が新たな一時証明書や一時アカウントを再発行しない限り、ネットワーク接続を不可能とする方法である。これらの接続時間制限は、セキュリティの上から有効である。
【００５３】
以上説明したように、本実施形態によれば、イントラネット上の認証サーバに正規のアカウントを持つユーザや、認証サーバで有効な証明書を有するユーザを１回の認証処理でイントラネットとテンポラリに構築されるＰＡＮ（Ｐｅｒｓｏｎａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）へセキュアに無線接続することができる。また、認証サーバにアカウントを持たない部外者等に対しても、テンポラリに構築されるＰＡＮへのセキュアな無線接続を実現することができる。このような無線接続構築のニーズは、会議等でテンポラリに安全なネットワークを構築したい場合等に最適である。
【００５４】
尚、本発明は複数の機器（例えば、ホストコンピュータ，インターフェース機器，リーダ，プリンタなど）から構成されるシステムに適用しても、１つの機器からなる装置（例えば、複写機，ファクシミリ装置など）に適用しても良い。
【００５５】
また、本発明の目的は前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記録媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（ＣＰＵ若しくはＭＰＵ）が記録媒体に格納されたプログラムコードを読出し実行することによっても、達成されることは言うまでもない。
【００５６】
この場合、記録媒体から読出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコードを記憶した記録媒体は本発明を構成することになる。
【００５７】
このプログラムコードを供給するための記録媒体としては、例えばフロッピー（登録商標）ディスク，ハードディスク，光ディスク，光磁気ディスク，ＣＤ−ＲＯＭ，ＣＤ−Ｒ，磁気テープ，不揮発性のメモリカード，ＲＯＭなどを用いることができる。
【００５８】
また、コンピュータが読出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【００５９】
更に、記録媒体から読出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【００６０】
【発明の効果】
以上説明したように、本発明によれば、基幹ネットワーク側に設けられた正規の認証サーバにアカウントを有するユーザを一回の認証処理で、小規模なネットワークへの接続を許可することにより、ユーザの利便性を向上させることが可能となる。
【図面の簡単な説明】
【図１】本実施形態における無線ネットワークシステムの構成を示す図である。
【図２】クライアント端末１１３がアクセスポイント１００との間に無線通信による接続を確立する場合の認証処理を示す遷移図である。
【図３】クライアント端末１１４がアクセスポイント１００との間に無線通信による接続を確立する場合の認証処理を示す遷移図である。
【図４】一時証明書又は一時アカウントの作成配布処理を示すフローチャートである。
【符号の説明】
１００  アクセスポイント
１０１  無線通信回路部
１０２  認証サーバ
１０３  証明書サーバ
１０４  表示部
１１０  無線通信手段
１１１  ＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｔｓ）
１１２  ＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｔｓ）
１１３  ノート型パソコン
１１４  ノート型パソコン
１２０  基幹ネットワーク（イントラネット）
１２１  認証サーバ
１２２  証明書サーバ
【図１】
2004304710.tif 000003
【図２】
2004304710.tif 000004
【図３】
2004304710.tif 000005
【図４】
2004304710.tif 000006