(57)【特許請求の範囲】
【請求項１】
通信端末装置と無線基地局装置との間の通信にて使用する暗号鍵情報を配信する鍵配信制御装置であって、
前記暗号鍵情報を生成し当該暗号鍵情報を８０２．１１ｉ規格又はＷＰＡ規格の、４ウェイハンドシェーク手順又はグループキーハンドシェーク手順におけるメッセージを送出するのと同期して送出する制御手段と、
前記制御手段からの情報を送信する送信手段と、
を具備し、
前記制御手段は、前記メッセージに同期して、前記暗号鍵情報としてのＧＴＫに既存のＧＴＫを送信するか新規に生成するＧＴＫを送信するかを示すＧＴＫ使用情報を前記暗号鍵情報と送出する鍵配信制御装置。
【請求項２】
前記制御手段は、前記ＧＴＫ使用情報が新規のＧＴＫであることを示すときには、さらに前記暗号鍵情報としてのＰＴＫと前記ＧＴＫ使用情報に基づいて算出されたＫｅｙ  ＭＩＣを前記メッセージとしてのＥＡＰｏＬ−Ｋｅｙフレームに含めて送出する請求項１記載の鍵配信制御装置。
【請求項３】
通信端末装置と無線基地局装置との間の通信にて使用する暗号鍵情報を配信する鍵配信制御装置であって、
前記暗号鍵情報を生成し当該暗号鍵情報を８０２．１１ｉ規格又はＷＰＡ規格の、４ウェイハンドシェーク手順又はグループキーハンドシェーク手順におけるメッセージを送出するのと同期して送出する制御手段と、
前記制御手段からの情報を送信する送信手段と、
を具備し、
前記制御手段は、前記４ウェイハンドシェーク手順又は前記グループキーハンドシェーク手順が終了したことを契機に、前記無線基地局装置に対し送信した暗号鍵情報を前記通信端末装置との通信に適用するトリガとなる制御情報を送出する鍵配信制御装置。
【請求項４】
暗号鍵情報とＧＴＫ使用情報とＥＡＰｏＬ−Ｋｅｙフレームとを受信する受信手段と、
前記ＥＡＰｏＬ−Ｋｅｙフレームの通信端末装置への転送を制御する制御手段と、
を具備し、
前記制御手段は、
前記受信したＧＴＫ使用情報が既存のＧＴＫであることを示すときには、前記暗号鍵情報としての既存のＧＴＫにより暗号化されたフレームを他の通信端末装置に送信した回数をカウントしているＧＴＫカウント値を前記ＥＡＰｏＬ−Ｋｅｙフレームに含め、
前記受信したＧＴＫ使用情報が新規のＧＴＫであることを示すときには、前記ＧＴＫカウント値を０にして、前記ＥＡＰｏＬ−Ｋｅｙフレームに含め、
さらに前記ＧＴＫカウンタ値が含まれたＥＡＰｏＬ−Ｋｅｙフレームと暗号鍵情報としてのＰＴＫに基づいてＫｅｙＭＩＣ値を算出し、当該Ｋｅｙ  ＭＩＣを含めた前記ＥＡＰｏＬ−Ｋｅｙフレームを送信する無線基地局装置。
【請求項５】
暗号鍵情報とＧＴＫ使用情報とＥＡＰｏＬ−Ｋｅｙフレームとを受信する受信手段と、
前記ＥＡＰｏＬ−Ｋｅｙフレームの通信端末装置への転送を制御する制御手段と、
を具備し、
前記制御手段は、
前記受信したＧＴＫ使用情報が既存のＧＴＫであることを示すときには、前記暗号鍵情報としての既存のＧＴＫにより暗号化されたフレームを他の通信端末装置に送信した回数をカウントしているＧＴＫカウント値を前記ＥＡＰｏＬ−Ｋｅｙフレームに含め、当該ＧＴＫカウンタ値が含まれたＥＡＰｏＬ−Ｋｅｙフレームと前記暗号鍵情報としてのＰＴＫとに基づいてＫｅｙ  ＭＩＣを算出し、当該Ｋｅｙ  ＭＩＣをさらに含めた前記ＥＡＰｏＬ−Ｋｅｙフレームを送信し、
前記受信したＧＴＫ使用情報が新規のＧＴＫであることを示すときには、前記ＥＡＰｏＬ−Ｋｅｙフレームをそのまま転送する無線基地局装置。
【請求項６】
通信端末装置と、無線基地局装置と、前記通信端末装置と前記無線基地局装置との間の通信にて使用する暗号鍵情報を配信する鍵配信制御装置とを有する通信システムであって、
前記鍵配信制御装置は、前記暗号鍵情報を生成し当該暗号鍵情報を８０２．１１ｉ規格又はＷＰＡ規格の、４ウェイハンドシェーク手順又はグループキーハンドシェーク手順におけるメッセージを送出するのと同期して送出する制御手段と、前記制御手段からの情報を送信する送信手段と、を具備し、
前記無線基地局装置は、前記鍵配信制御装置から送信された暗号鍵情報を一時保持する手段と、前記４ウェイハンドシェーク手順又はグループキーハンドシェーク手順における他のメッセージをトリガとして、前記一時保持した暗号鍵情報を前記通信端末装置との通信へ適用する制御手段と、を具備する通信システム。
【請求項７】
通信端末装置と、無線基地局装置と、前記通信端末装置と前記無線基地局装置との間の通信にて使用する暗号鍵情報を配信する鍵配信制御装置とを有する通信システムであって、
前記鍵配信制御装置は、前記暗号鍵情報を生成し当該暗号鍵情報を８０２．１１ｉ規格又はＷＰＡ規格の、４ウェイハンドシェーク手順又はグループキーハンドシェーク手順におけるメッセージを送出するのと同期して送出し、また、前記４ウェイハンドシェーク手順又は前記グループキーハンドシェーク手順が終了したことを契機に、前記無線基地局装置に対し送信した暗号鍵情報を前記通信端末装置との通信に適用するトリガとなる制御情報を送出する制御手段と、前記制御手段からの情報を送信する送信手段と、を具備し、
前記無線基地局装置は、前記鍵配信制御装置から送信された暗号鍵情報を一時保持する手段と、前記鍵配信制御装置から送信された前記制御情報に基づいて、前記一時保持した暗号鍵情報を前記通信端末装置との通信へ適用する制御手段と、を具備する通信システム。
【請求項８】
通信端末装置と無線基地局装置との間の通信にて使用する暗号鍵情報を配信する鍵配信制御装置であって、
前記暗号鍵情報を生成し当該暗号鍵情報を前記無線基地装置に送信する制御手段と、
既に送信した前記暗号鍵情報としてのＧＴＫにより暗号化されたフレームを送信するときにカウントするＧＴＫカウント値を受信する受信手段と、
を具備し、
前記制御手段は、前記暗号鍵情報としてのＰＴＫと前記ＧＴＫカウント値とに基づいて算出されたＫｅｙ  ＭＩＣおよび前記ＧＴＫカウント値をメッセージ３のＥＡＰｏＬ−Ｋｅｙフレームに含めて送信する鍵配信制御装置。
【請求項９】
鍵配信制御装置から配信を受けた暗号鍵情報を用いて通信端末装置と暗号通信を行う無線基地局装置であって、
前記通信端末装置からの８０２．１１ｉ規格又はＷＰＡ規格の４ウェイハンドシェーク手順におけるメッセージ２およびメッセージ４を受信する受信手段と、
前記メッセージ２又は前記メッセージ４を受信したときに、前記暗号鍵情報としてのＧＴＫにより暗号化されたフレームを送信するときにカウントするＧＴＫカウント値を前記鍵配信装置に送信する送信制御手段と、
を具備する無線基地局装置。
【請求項１０】
通信端末装置と、無線基地局装置と、前記通信端末装置と前記無線基地局装置との間の通信にて使用する暗号鍵情報を配信する鍵配信制御装置とを有する通信システムであって、
前記鍵配信制御装置は、既に送信した前記暗号鍵情報としてのＧＴＫにより暗号化されたフレームを送信するときにカウントするＧＴＫカウント値を８０２．１１ｉ規格又はＷＰＡ規格の４ウェイハンドシェーク手順におけるメッセージ２とともに受信する受信手段と、前記暗号鍵情報を生成し当該暗号鍵情報を前記無線基地装置に送信し、また、前記暗号鍵情報としてのＰＴＫと前記ＧＴＫカウント値とに基づいて算出されたＫｅｙ  ＭＩＣおよび前記ＧＴＫカウント値をメッセージ３のＥＡＰｏＬ−Ｋｅｙフレームに含めて送信する制御手段と、を具備し、
前記無線基地局装置は、前記通信端末装置からの前記４ウェイハンドシェーク手順におけるメッセージ２およびメッセージ４を受信する受信手段と、前記メッセージ２又は前記メッセージ４を受信したときに、前記ＧＴＫカウント値を前記鍵配信装置に送信する送信制御手段と、を具備する通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、鍵配信制御装置と、無線基地局装置と、この鍵配信システムおよび無線基地局装置を具備する通信システムに関する。
【背景技術】
【０００２】
近年、無線ＬＡＮ（ＩＥＥＥ８０２．１１規格）の普及が進み、公衆ネットワークや企業ネットワークにおいて大規模な無線ＬＡＮネットワークが構築されるようになった。
【０００３】
無線ＬＡＮにおいては、セキュリティの強化を目指したＩＥＥＥ８０２．１１ｉ（非特許文献１）が規定されている。８０２．１Ｘによる認証および周期的な鍵更新は、無線ＬＡＮの脆弱性に対する短期的な解としては有効であるが、ＷＥＰ自体の脆弱性は依然として存在し課題が残る。そのため、より強固な暗号を採用した新しい規格が求められ、結果制定されたのがＩＥＥＥ８０２．１１ｉ規格である。
【０００４】
８０２．１Ｘには、鍵をカプセル化するためのＥＡＰｏＬ  Ｋｅｙの形式しか定められておらず、その配送は実質的に片方向・通知型であった。これに対し、８０２．１１ｉでは、４ウェイハンドシェーク（4Way Handshake）手順およびグループキーハンドシェーク（Group Key Handshake）手順により双方向・確認応答型の鍵配送手順を定めており、マスター鍵の同期確認と一時鍵の更新を確実に行うことができる。
【０００５】
一方、無線ＬＡＮにおいては、アクセスポイント（ＡＰ）、例えば無線ＬＡＮ基地局装置を個別に設定し設置していく方法から、複数の無線ＬＡＮ基地局装置と接続したＡＰ制御装置により、このＡＰ制御装置が無線ＬＡＮ基地局装置の自動設定、障害管理、統計情報の収集などを一括して行う方法に移行することが検討されている。この検討は、国際標準化団体であるＩＥＴＦ（Internet Engineering Task Force）やＩＥＥＥ８０２．１１ワーキンググループなどにより行われており、標準化の策定が進められている。
【０００６】
そして、ＩＥＴＦのＣＡＰＷＡＰワーキンググループでは、ＡＰを管理するプロトコルの一つとして、ＬＷＡＰＰ（light weight access protocol）が提案されている（非特許文献２参照）。このＬＷＡＰＰでは、ＡＰ制御装置（英語名：Access Controller）が無線ＬＡＮ基地局装置に対して、設定情報の自動設定、障害管理、統計情報収集、暗号鍵情報の設定などを行っている。
【非特許文献１】IETF 802.11i Standard
【非特許文献２】IETFドラフト  draft-ohara-capwap-lwapp-00.txt  「Light Weight Access Point Protocol」
【発明の開示】
【発明が解決しようとする課題】
【０００７】
ところでＬＷＡＰＰにおいては、ＡＰ制御装置にて認証を行い暗号鍵を生成し、無線ＬＡＮ基地局装置にて暗号復号処理を行う枠組みは示唆されている。しかしながら、無線ＬＡＮ基地局装置にて暗号復号処理を行う場合には、ＡＰ制御装置から無線ＬＡＮ基地局装置に対して生成した暗号鍵を送信する必要があるが、ＬＷＡＰＰにおいてはＡＰ制御装置から無線ＬＡＮ基地局装置に対して鍵設定要求メッセージにより暗号鍵を設定するという枠組みが示されているのみで具体的な手順についての示唆はない。強固な暗号を採用した新しい規格であるＩＥＥＥ８０２．１１ｉ規格を上手く適用する方式などの示唆がないのは尚更である。しかるに、ＬＷＡＰＰにて想定されている通信システムにおいてはセキュリティを強化するような方式は実現されていない。
【０００８】
本発明の目的は、無線通信システムにおけるセキュリティを向上する鍵配信制御装置、無線基地局装置および通信システムを提供することである。
【課題を解決するための手段】
【０００９】
本発明の鍵配信制御装置は、通信端末装置と無線基地局装置との間の通信にて使用する暗号鍵情報を配信する鍵配信制御装置であって、前記暗号鍵情報を生成し当該暗号鍵情報を８０２．１１ｉ規格又はＷＰＡ規格の４ウェイハンドシェーク手順又はグループキーハンドシェーク手順におけるメッセージを送出するのと同期して送出する制御手段と、前記送信制御手段からの情報を送信する送信手段と、を具備する構成を採る。
【００１０】
本発明の無線基地局装置は、暗号鍵情報とＧＴＫ使用情報とＥＡＰｏＬ−Ｋｅｙフレームとを受信する受信手段と、前記ＥＡＰｏＬ−Ｋｅｙフレームの通信端末装置への転送を制御する制御手段と、を具備し、前記制御手段は、前記受信したＧＴＫ使用情報が既存のＧＴＫであることを示すときには、前記暗号鍵情報としての既存のＧＴＫにより暗号化されたフレームを他の通信端末装置に送信した回数をカウントしているＧＴＫカウント値を前記ＥＡＰｏＬ−Ｋｅｙフレームに含め、前記受信したＧＴＫ使用情報が新規のＧＴＫであることを示すときには、前記ＧＴＫカウント値を０にして、前記ＥＡＰｏＬ−Ｋｅｙフレームに含め、さらに前記ＧＴＫカウンタ値が含まれたＥＡＰｏＬ−Ｋｅｙフレームと暗号鍵情報としてのＰＴＫに基づいてＫｅｙＭＩＣ値を算出し、当該Ｋｅｙ  ＭＩＣを含めた前記ＥＡＰｏＬ−Ｋｅｙフレームを送信する構成を採る。
【発明の効果】
【００１１】
本発明によれば、無線通信システムにおけるセキュリティを向上する鍵配信制御装置、無線基地局装置および通信システムを提供することができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の実施の形態について図面を参照して詳細に説明する。なお、実施の形態において、同一の構成要素には同一の符号を付し、その説明は重複するので省略する。
【００１３】
（実施の形態１）
図１に示すように実施の形態１の通信システム１０は、通信端末装置３００と、通信端末装置３００がアクセスする無線ＬＡＮ基地局装置２００と、通信端末装置３００と無線ＬＡＮ基地局装置２００との間の通信にて使用する暗号鍵情報を配信する鍵配信制御装置としてのＡＰ制御装置１００と、ネットワークシステム４００とを備える。そして、ＡＰ制御装置１００は、コアネットワークシステム２０と接続している。
【００１４】
無線ＬＡＮ基地局装置２００と通信端末装置３００との間は無線ＬＡＮにより接続されており、８０２．１１フレームにより遣り取りが行われる。また、無線ＬＡＮ基地局装置２００とＡＰ制御装置１００とは、例えば、イーサネット（登録商標）などのネットワークシステム４００により接続されている。
【００１５】
また、通信システム１０には、ＩＥＥＥ８０２．１１ｉ規格に基づいたセキュリティ機能が適用されている。そして、ＡＰ制御装置１００が無線通信端末３００の認証を行う機能を有しており、また、無線ＬＡＮ基地局装置２００が無線端末装置３００との間で遣り取りする８０２．１１フレームの暗号復号機能を有している。
【００１６】
図２に示すようにＡＰ制御装置１００は、端末側送受信部１１０と、認証処理部１２０と、暗号鍵カプセル部１３０と、鍵管理テーブル１４０とを有する。
【００１７】
端末側送受信部１１０は、無線ＬＡＮ基地局装置２００と遣り取りを行うフレームの送受信を行う。
【００１８】
認証処理部１２０は、無線端末装置３００の認証処理、無線ＬＡＮ基地局装置２００と無線端末装置１００との間の通信に利用する暗号鍵の生成などを行う。
【００１９】
鍵管理テーブル１４０は、無線端末装置３００ごとの暗号鍵を管理するテーブルである。
【００２０】
暗号鍵カプセル部１３０は、認証処理部１２０にて生成された暗号鍵を無線ＬＡＮ基地局装置２００に対して設定するときに、当該暗号鍵をカプセル化する。このカプセル化された暗号鍵は、端末側送受信部１１０を介して無線ＬＡＮ基地局装置２００に送信される。
【００２１】
図３に示すように無線ＬＡＮ基地局装置２００は、網側送受信部２１０と、フレーム処理部２２０と、鍵設定部２３０と、ＭＩＣ算出部２４０と、鍵管理テーブル２５０と、端末側送受信部２６０とを有する。
【００２２】
網側送受信部２１０は、ＡＰ制御装置１００と遣り取りを行うフレームの送受信を行う。
【００２３】
フレーム処理部２２０は、入力されるフレームの出力先を振り分ける処理、暗号化／復号化処理およびフレーム変換処理を行う。
【００２４】
鍵設定部２３０は、鍵の設定および鍵管理テーブル２５０に対して鍵の反映を行う。
【００２５】
ＭＩＣ算出部２４０は、ＥＡＰｏＬフレームに含まれるＫｅｙ  ＭＩＣの算出を行う。
【００２６】
鍵管理テーブル２５０は、無線端末装置３００ごとの暗号鍵を管理するテーブルである。
【００２７】
端末側送受信部２６０は、無線端末装置３００と遣り取りを行うフレームの送受信を行う。
【００２８】
次いで、上記構成を有する通信システム１０の動作について説明する。
【００２９】
図４は、通信システム１０における、ＩＥＥＥ８０２．１１ｉに規定される４ウェイハンドシェーク（4way hand shake）手順の動作を示している。なお、４ウェイハンドシェーク（4way hand shake）手順では、ＡＰ制御装置１００と通信端末装置３００との間で無線ＬＡＮ基地局装置２００を介してメッセージ１からメッセージ４を遣り取りする。このメッセージ１からメッセージ４には、ＥＡＰｏＬ−Ｋｅｙフレームが使われる。
【００３０】
ＡＰ制御装置１００と通信端末装置３００とは、８０２．１ｘと同様の認証手順により、ＰＭＫ（Pairwise Master Key）を共有している。
【００３１】
そして、ステップＳＴ１００１においてＡＰ制御装置１００はＡＮｏｎｃｅ（Authenticator Nonce）を生成する。このＡＮｏｎｃｅとは、ＡＰ制御装置１００が発生する乱数である。
【００３２】
一方、ステップＳＴ１００２において通信端末装置３００はＳＮｏｎｃｅ（Supplicant Nonce）を生成する。このＳＮｏｎｃｅとは、通信端末装置３００が発生する乱数である。
【００３３】
ＡＰ制御装置１００においてＡＮｏｎｃｅが生成されると、認証処理部１２０は当該ＡＮｏｎｃｅを含むＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）を端末側送受信部１１０を介して無線ＬＡＮ基地局装置２００に送信する（ステップＳＴ１００３）。なお、本実施の形態では、ＡＰ制御装置１００と無線ＬＡＮ基地局装置２００との間はイーサネット（登録商標）で接続されているため、ＥＡＰｏＬ−Ｋｅｙフレームにはイーサヘッダが付与されているが、本発明はこれに限定されるものではなく、有線無線を問わず何らかの通信方式で接続されていればよい。よって、通信方式が変われば、イーサヘッダの代わりにその通信方式にて使用するヘッダが付与されることとなる。
【００３４】
無線ＬＡＮ基地局装置２００においては、網側送受信部２１０がＡＰ制御装置１００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）を受信しフレーム処理部２２０に対して出力する。そして、フレーム処理部２２０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）を入力すると、イーサヘッダを外しＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）そのものを端末側送受信部２６０を介して通信端末装置３００に送信する（ステップＳＴ１００４）。
【００３５】
通信端末装置３００においては、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）に含まれるＡＮｏｎｃｅの受信処理を行う（ステップＳＴ１００５）。
【００３６】
そしてステップＳＴ１００６において、通信端末装置３００は、ＰＭＫ、ＡＮｏｎｃｅおよびＳＮｏｎｃｅに基づいて、ＰＴＫ（Pairwise Transient Key）を生成する。また、通信端末装置３００は、生成したＰＴＫに含まれるＥＡＰｏＬ−Ｋｅｙ  ＫＣＫを用いてＫｅｙ  ＭＩＣを算出する。そして、通信端末装置３００は、ＳＮｏｎｃｅを含むＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）に上記算出したＫｅｙ  ＭＩＣを付与して、無線ＬＡＮ基地局装置２００に送信する（ステップＳＴ１００７）。
【００３７】
無線ＬＡＮ基地局装置２００においては、端末側送受信部２６０が通信端末装置３００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を受信しフレーム処理部２２０に対して出力する。そして、フレーム処理部２２０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を入力すると、所定のヘッダ（ここでは、イーサヘッダ）を付与し網側送受信部２１０を介してＡＰ制御装置１００に送信する（ステップＳＴ１００８）。
【００３８】
ＡＰ制御装置１００においては、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）に含まれるＳＮｏｎｃｅの受信処理を行う（ステップＳＴ１００９）。
【００３９】
そしてステップＳＴ１０１０において、ＡＰ制御装置１００は、ＰＭＫ、ＡＮｏｎｃｅおよびＳＮｏｎｃｅに基づいて、ＰＴＫ（Pairwise Transient Key）を生成する。ここで、ＡＰ制御装置１００と通信端末装置３００とは、同じ疑似ランダム関数を用いてＰＭＫ、ＡＮｏｎｃｅおよびＳＮｏｎｃｅに基づき生成したＰＴＫを共有したことになる。なお、ＰＴＫとは、ユニキャスト通信で実際に使用する一時鍵である。
【００４０】
ステップＳＴ１０１１において、ＡＰ制御装置１００は、所定の方法によりＧＴＫ（Group Temporal Key）を生成する。なお、ＧＴＫとは、ブロード／マルチキャスト通信に関する一時鍵である。
【００４１】
そしてＡＰ制御装置１００において認証処理部１２０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）と、生成されたＰＴＫおよびＧＴＫと、既存ＧＴＫ使用情報とを暗号鍵カプセル部１３０に送出する。
【００４２】
ここで既存ＧＴＫ使用情報とは、図４に示す通信端末装置３００に対して配布するＧＴＫに、既に他の通信端末装置３００に対して送信しているＧＴＫを利用するのか、又は新規に作成したＧＴＫを利用するのかを示す情報である。そして、認証処理部１２０は、例えば既に他の通信端末装置３００に対して送信しているＧＴＫを利用する場合には既存ＧＴＫ使用情報を示すフラグを１とし、新規に作成したＧＴＫを利用する場合には既存ＧＴＫ使用情報を示すフラグを０とする。なお、認証処理部１２０は、既存ＧＴＫ使用情報が０の場合は、Ｋｅｙ  ＲＳＣを０としたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）とＰＴＫとをＡＰ制御装置１００が備えるＭＩＣ算出部（図示せず）に出力しここでＫｅｙ  ＭＩＣを計算させ、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）のＫｅｙ  ＭＩＣの領域を算出したＫｅｙ  ＭＩＣで上書きしておく。また、既存ＧＴＫ使用情報が１の場合には、認証処理部１２０は、Ｋｅｙ  ＭＩＣの領域を０にしておく。
【００４３】
暗号鍵カプセル部１３０は、認証処理部１２０から受け取る各情報を基に、鍵設定要求フレームを生成する。この鍵設定要求フレームは、鍵情報エレメントとＥＡＰエレメントとから構成される。そして、鍵情報エレメントには、端末ＭＡＣアドレスと、ＰＴＫと、ＧＴＫと、既存ＧＴＫ使用情報とが含められる。また、ＥＰＡエレメントには、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）そのものが含められる。こうすることにより、８０１．１１ｉ手順におけるＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）を送信する際に、これと同一のフレーム（鍵設定要求フレーム）にＰＴＫおよびＧＴＫを含めることにより、この鍵設定要求フレームを受信する無線ＬＡＮ基地局装置２００は後に通信端末装置３００との間の通信の暗号復号処理に必要となるＰＴＫおよびＧＴＫを取得することができる。また、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）とＰＴＫおよびＧＴＫとを個別に送るのではなく、同一フレーム（鍵設定要求フレーム）に含めて送信することにより、無線ＬＡＮ基地局装置２００と通信端末装置３００との間で送信されるフレームの数が減りシステムにおけるトラヒックを低減することができる。
【００４４】
そして、暗号鍵カプセル部１３０にて生成された鍵設定要求フレームは、所定のヘッダ（ここでは、イーサヘッダ）が付加されて無線ＬＡＮ基地局装置２００に送信される（ステップＳＴ１０１２）。
【００４５】
無線ＬＡＮ基地局装置２００においては、網側送受信部２１０がＡＰ制御装置１００から送信された上記鍵設定要求フレームを受信しフレーム処理部２２０に対して出力する。そして、フレーム処理部２２０は、鍵設定要求フレームを入力すると、既存ＧＴＫ使用情報が１のときには、当該鍵設定要求フレームに含まれるＰＴＫおよびＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）をＭＩＣ算出部２４０に出力する。
【００４６】
ＭＩＣ算出部２４０は、同じ鍵設定要求フレームに含められて送信されてきたＧＴＫに関して無線ＬＡＮ基地局装置２００が現在保持しているＧＴＫカウンタ値によりＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）に含まれるＫｅｙ  ＲＳＣを上書きしたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）を形成する。また、ＭＩＣ算出部２４０は、上記Ｋｅｙ  ＲＳＣを含んだＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）と、フレーム処理部２２０からのＰＴＫ（実際には、このＰＴＫに含まれるＥＡＰｏＬ−Ｋｅｙ  ＫＣＫ）とに基づいてＫｅｙ  ＭＩＣを生成する。なお、ＧＴＫカウンタ値とは、無線ＬＡＮ基地局装置がＧＴＫにより暗号化されるフレームを送出するときにカウントアップするシーケンスカウンタ値である。
【００４７】
ステップＳＴ１０１３においてフレーム処理部２２０は、ＭＩＣ算出部２４０からＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）およびＫｅｙ  ＭＩＣを受け取り、このＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）に当該Ｋｅｙ  ＭＩＣを上書きしたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）を、端末側送受信部２６０を介して通信端末装置３００に送信する。なお、鍵設定要求フレーム受信時に既存ＧＴＫ使用情報が０のときには、フレーム処理部２２０は、鍵設定要求フレームの中に含まれるＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）をそのまま端末側送受信部２６０を介して通信端末装置３００に送信する。
【００４８】
また、フレーム処理部２２０は鍵設定要求フレームに含められて送信されてきたＰＴＫおよびＧＴＫを鍵設定部２３０に出力し、鍵設定部２３０は鍵管理テーブル２５０に対してＰＴＫおよびＧＴＫをセット（格納）する（ステップＳＴ１０１４）。
【００４９】
通信端末装置３００においては、無線ＬＡＮ基地局装置２００から送信されたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）を受信し、ＧＴＫの受信処理を行う（ステップＳＴ１０１５）。そして、通信端末装置３００は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を無線ＬＡＮ基地局装置２００に送信する（ステップＳＴ１０１６）。
【００５０】
無線ＬＡＮ基地局装置２００は、通信端末装置３００からのＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を受信することを契機として、ステップＳＴ１０１４にてセットしたＰＴＫおよびＧＴＫのインストール処理を行う（ステップＳＴ１０１７）。具体的には、端末側送受信部２６０が通信端末装置３００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を受信しフレーム処理部２２０に対して出力する。そして、フレーム処理部２２０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を入力すると、鍵設定部２３０に対してインストール要求を出力する。そして、鍵設定部２３０は、フレーム処理部２２０からのインストール要求に対応するＰＴＫおよびＧＴＫのインストール処理を行う。これにより、通信端末装置３００と無線ＬＡＮ基地局装置２００との間で実際の暗号復号処理に利用されるＰＴＫおよびＧＴＫが利用可能な状態となる。すなわち、通信端末装置３００と無線ＬＡＮ基地局装置２００との間で暗号通信が可能となる。
【００５１】
また、無線ＬＡＮ基地局装置２００においては、フレーム処理部２２０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を入力すると、所定のヘッダ（ここでは、イーサヘッダ）を付与し網側送受信部２１０を介してＡＰ制御装置１００に送信する（ステップＳＴ１０１８）。
【００５２】
図５は、通信システム１０における、ＩＥＥＥ８０２．１１ｉに規定されるグループキーハンドシェーク（GroupKey hand shake）手順の動作を示している。なお、グループキーハンドシェーク（GroupKey hand shake）手順では、ＡＰ制御装置１００と通信端末装置３００との間で無線ＬＡＮ基地局装置２００を介してメッセージ１およびメッセージ２を遣り取りする。このメッセージ１およびメッセージ２には、ＥＡＰｏＬ−Ｋｅｙフレームが含まれる。また、ＩＥＥＥ８０２．１１ｉに規定されるグループキーハンドシェーク（GroupKey hand shake）手順は、４ウェイハンドシェーク（4way hand shake）手順によりＰＴＫおよびＧＴＫが配布された後に、一定周期で鍵更新のために行われる手順である。なお、通信端末装置３００から鍵更新要求がＡＰ制御装置１００に対してなされたとき、および、通信端末装置３００の通信切断時にも行われる。
【００５３】
ＡＰ制御装置１００と通信端末装置３００とは、ＩＥＥＥ８０２．１１ｉに規定される４ウェイハンドシェーク（4way hand shake）手順により、ＰＴＫおよびＧＴＫを共有している。ここで上述したような要因によりＧＴＫの更新が必要になったとする。
【００５４】
ステップＳＴ２００１において、ＡＰ制御装置１００は、更新するＧＴＫを用意する。そして、ＡＰ制御装置１００において認証処理部１２０は、グループキーハンドシェーク（GroupKey hand shake）手順におけるＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）と、ＰＴＫと、用意されたＧＴＫ（更新後のＧＴＫ）と、既存ＧＴＫ使用情報とを暗号鍵カプセル部１３０に送出する。そして、認証処理部１２０は、例えば既に他の通信端末装置３００に対して送信しているＧＴＫを利用する場合には既存ＧＴＫ使用情報を示すフラグを１とし、新規に作成したＧＴＫを利用する場合には既存ＧＴＫ使用情報を示すフラグを０とする。
【００５５】
なお、認証処理部１２０は、既存ＧＴＫ使用情報が０の場合は、Ｋｅｙ  ＲＳＣを０としたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）とＰＴＫとをＡＰ制御装置１００が備えるＭＩＣ算出部（図示せず）に出力しここでＫｅｙ  ＭＩＣを計算させ、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）のＫｅｙ  ＭＩＣの領域を算出したＫｅｙ  ＭＩＣで上書きしておく。また、既存ＧＴＫ使用情報が１の場合には、認証処理部１２０は、Ｋｅｙ  ＭＩＣの領域を０にしておく。
【００５６】
暗号鍵カプセル部１３０は、認証処理部１２０から受け取る各情報を基に、鍵設定要求フレームを生成する。この鍵設定要求フレームは、鍵情報エレメントとＥＡＰエレメントとから構成される。そして、鍵情報エレメントには、端末ＭＡＣアドレスと、ＰＴＫと、ＧＴＫ（更新後のＧＴＫ）と、既存ＧＴＫ使用情報とが含められる。また、ＥＰＡエレメントには、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）そのものが含められる。こうすることにより、８０１．１１ｉにおけるグループキーハンドシェーク（GroupKey hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）を送信する際に、これと同一のフレーム（鍵設定要求フレーム）にＧＴＫを含めることにより、この鍵設定要求フレームを受信する無線ＬＡＮ基地局装置２００は後に通信端末装置３００との間の通信の暗号化復号化処理に必要となるＧＴＫ（更新後のＧＴＫ）を取得することができる。また、グループキーハンドシェーク（GroupKey hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）とＰＴＫおよびＧＴＫとを個別に送るのではなく、同一フレーム（鍵設定要求フレーム）に含めて送信することにより、無線ＬＡＮ基地局装置２００と通信端末装置３００との間で送信されるフレームの数が減りシステムにおけるトラヒックを低減することができる。
【００５７】
そして、暗号鍵カプセル部１３０にて生成された鍵設定要求フレームは、所定のヘッダ（ここでは、イーサヘッダ）が付加されて無線ＬＡＮ基地局装置２００に送信される（ステップＳＴ２００２）。
【００５８】
無線ＬＡＮ基地局装置２００においては、網側送受信部２１０がＡＰ制御装置１００から送信された上記鍵設定要求フレームを受信しフレーム処理部２２０に対して出力する。そして、フレーム処理部２２０は、鍵設定要求フレームを入力すると、既存ＧＴＫ使用情報が１のとき、当該鍵設定要求フレームに含まれるＰＴＫおよびグループキーハンドシェーク（GroupKey hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）をＭＩＣ算出部２４０に出力する。
【００５９】
ＭＩＣ算出部２４０は、同じ鍵設定要求フレームに含められて送信されてきたＧＴＫに関して無線ＬＡＮ基地局装置２００が現在保持しているＧＴＫカウンタ値によりＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）に含まれるＫｅｙ  ＲＳＣを上書きしたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）を形成する。また、ＭＩＣ算出部２４０は、上記Ｋｅｙ  ＲＳＣを含んだグループキーハンドシェーク（GroupKey hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）と、フレーム処理部２２０からのＰＴＫ（実際には、このＰＴＫに含まれるＥＡＰｏＬ−Ｋｅｙ  ＫＣＫ）とに基づいてＫｅｙ  ＭＩＣを生成する。
【００６０】
ステップＳＴ２００３においてフレーム処理部２２０は、ＭＩＣ算出部２４０からＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）およびＫｅｙ  ＭＩＣを受け取り、このＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）に当該Ｋｅｙ  ＭＩＣを上書きしたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）と、鍵設定要求フレームに含められて送信されてきたＧＴＫとを、端末側送受信部２６０を介して通信端末装置３００に送信する。なお、鍵設定要求フレーム受信時に既存ＧＴＫ使用情報が０のときには、フレーム処理部２２０は、鍵設定要求フレームの中に含まれるグループキーハンドシェーク（GroupKey hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）をそのまま端末側送受信部２６０を介して通信端末装置３００に送信する。
【００６１】
また、フレーム処理部２２０は鍵設定要求フレームに含められて送信されてきたＰＴＫおよびＧＴＫ（更新後のＧＴＫ）を鍵設定部２３０に出力し、鍵設定部２３０は鍵管理テーブル２５０に対してＧＴＫ（更新後のＧＴＫ）をセット（格納）する（ステップＳＴ２００４）。
【００６２】
通信端末装置３００においては、無線ＬＡＮ基地局装置２００から送信されたＧＴＫ（更新後のＧＴＫ）の受信処理を行う（ステップＳＴ２００５）。具体的には、ＧＴＫ（更新後のＧＴＫ）に含まれるＴｅｍｐｏｒａｌ  Ｋｅｙをグループ鍵としてインストールする。そして、通信端末装置３００は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を無線ＬＡＮ基地局装置２００に送信する（ステップＳＴ２００６）。
【００６３】
無線ＬＡＮ基地局装置２００は、通信端末装置３００からのＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を受信することを契機として、ステップＳＴ２００４にてセットしたＧＴＫ（更新後のＧＴＫ）のインストール処理を行う（ステップＳＴ２００７）。具体的には、端末側送受信部２６０が通信端末装置３００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を受信しフレーム処理部２２０に対して出力する。そして、フレーム処理部２２０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を入力すると、鍵設定部２３０に対してインストール要求を出力する。そして、鍵設定部２３０は、フレーム処理部２２０からのインストール要求に対応するＧＴＫのインストール処理を行う。これにより、通信端末装置３００と無線ＬＡＮ基地局装置２００との間で実際の暗号化復号化処理に利用されるＧＴＫ（更新後のＧＴＫ）が利用可能な状態となる。すなわち、通信端末装置３００と無線ＬＡＮ基地局装置２００との間で暗号通信が可能となる。
【００６４】
また、無線ＬＡＮ基地局装置２００においては、フレーム処理部２２０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を入力すると、所定のヘッダ（ここでは、イーサヘッダ）を付与し網側送受信部２１０を介してＡＰ制御装置１００に送信する（ステップＳＴ２００８）。
【００６５】
なお、上記説明においては、無線ＬＡＮ基地局装置２００と通信端末装置３００との間を無線ＬＡＮにより接続し、無線ＬＡＮ基地局装置２００とＡＰ制御装置１００とはイーサネット（登録商標）により接続されているものとした。しかしながら本発明はこれに限定されるものではなく、無線ＬＡＮ基地局装置２００と通信端末装置３００との間は無線により接続されていればよく例えばＩＥＥＥ８０２．１６規格が適用されるものでもよい。また、無線ＬＡＮ基地局装置２００とＡＰ制御装置１００とは有線無線を問わず何れかの通信方式により接続されていればよい。
【００６６】
またなお、上記説明においては、ＩＥＥＥ８０２．１１ｉ規格に基づいたセキュリティ機能が適用されるものとして説明を行った。しかしながら本発明はこれに限定されるものではなく、ＷＰＡ（Wi-Fi Protected Access）規格に基づいたセキュリティ機能が適用されるものとしてもよい。ＷＰＡ（Wi-FiProtected Access）規格に基づいたセキュリティ機能を適用する場合には、図４に示したチャートが一部変わる。具体的には、図４におけるステップＳＴ１０１２およびステップＳＴ１０１３でＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）は、ＧＴＫを中に含まない状態で送信される。その結果、ステップＳＴ１０１５のＧＴＫ受信処理およびステップＳＴ１０１４のＧＴＫセット処理は行われない。また、ステップＳＴ１０１７のＧＴＫインストール処理も行われない。ただし、ステップＳＴ１０１８の後に、メッセージ３およびメッセージ４に相当する遣り取りをＧＴＫについて行う。そして、ＰＴＫとメッセージ３とを同一フレームに含め、また、ステップＳＴ１０１８の後にメッセージ３に相当するメッセージとＧＴＫとを同一フレームに含めることが行われる。
【００６７】
またなお、上記説明においては、ＩＥＥＥ８０２．１１ｉに規定される４ウェイハンドシェーク（4way hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）およびグループキーハンドシェーク（GroupKey hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）を通信端末装置３００に伝送する際、既存ＧＴＫを使用するときのみ、無線ＬＡＮ基地局装置２００のＭＩＣ算出部２４０にてＫｅｙ  ＭＩＣの算出を行った。しかしながら、本発明はこれに限定されるものではなく、既存ＧＴＫの使用にかかわらず、無線ＬＡＮ基地局装置２００においてＫｅｙ  ＭＩＣの算出を行ってもよい。すなわち、このときＡＰ制御装置１００においては既存ＧＴＫ使用情報にかかわらず、Ｋｅｙ  ＭＩＣの算出を行わない。
【００６８】
図４を参照して具体的に説明する。ステップＳＴ１０１０およびステップＳＴ１０１１においてＰＴＫおよびＧＴＫを生成し、このＧＴＫは新規に作成したものであるとする。この場合、認証処理部１２０は、既存ＧＴＫ使用フラグにかかわらず、ＫｅｙＭＩＣ部分の計算をしないでＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）の作成を行う。そしてＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）と、生成されたＰＴＫおよびＧＴＫと、既存ＧＴＫ使用情報とを暗号鍵カプセル部１３０に送出する。
【００６９】
暗号鍵カプセル部１３０は、認証処理部１２０から受け取る各情報を基に、鍵設定要求フレームを生成する。そして、ステップＳＴ１０１２において、当該鍵設定要求フレームは、所定のヘッダ（ここでは、イーサヘッダ）が付加されて無線ＬＡＮ基地局装置２００に送信される（ステップＳＴ１０１２）。
【００７０】
無線ＬＡＮ基地局装置２００においては、フレーム処理部２２０は鍵設定要求フレームを入力すると鍵設定要求フレームの既存ＧＴＫ使用情報を判定し、このフラグが０である場合には、現在保持しているＧＴＫカウンタ値を０に戻す。このフラグが１である場合は、現在のＧＴＫカウンタ値をＫｅｙ  ＲＳＣに反映する。その後、既存ＧＴＫ使用フラグにかかわらず、鍵設定要求フレームに含まれるＰＴＫおよびＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）をＭＩＣ算出部２４０に出力する。
【００７１】
そしてＭＩＣ算出部２４０は、Ｋｅｙ  ＲＳＣを含んだＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）と、フレーム処理部２２０からのＰＴＫ（実際には、このＰＴＫに含まれるＥＡＰｏＬ−Ｋｅｙ  ＫＣＫ）とに基づいてＫｅｙ  ＭＩＣを生成する。
【００７２】
ステップＳＴ１０１３においてフレーム処理部２２０は、ＭＩＣ算出部２４０からＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）およびＫｅｙ  ＭＩＣを受け取り、このＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）に当該Ｋｅｙ  ＭＩＣを上書きしたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）を、端末側送受信部２６０を介して通信端末装置３００に送信する。
【００７３】
このように実施の形態１によれば、鍵配信制御装置としてのＡＰ制御装置１００と無線ＬＡＮ基地局装置２００と通信端末装置３００とを有し、通信端末装置３００の認証をＡＰ制御装置１００が行い、通信端末装置３００との通信における暗号復号処理を無線ＬＡＮ基地局装置２００が行う通信システム１０に、認証および暗号復号処理を同一デバイスが行うことを前提に規定されている８０２．１１ｉ規格又はＷＰＡ規格を適用することができるので、セキュリティを向上する無線通信システムを実現することができる。
【００７４】
なお、図４には、ＳＴ１０１７後の無線ＬＡＮ基地局２００とＡＰ制御装置１００の間のユーザデータ通信に関して非暗号通信となっているが、これは無線ＬＡＮの暗号通信をしないという意味であり、ＰＴＫ、ＧＴＫを安全に運ぶために無線ＬＡＮ基地局２００とＡＰ制御装置１００の間で何らかのセキュリティ対策を講じるべきであるのは言うまでもない。
【００７５】
また実施の形態１によれば、ＡＰ制御装置１００に、暗号鍵情報（ＰＴＫ、ＧＴＫ）を生成し当該暗号鍵情報（ＰＴＫ、ＧＴＫ）を８０２．１１ｉ規格又はＷＰＡ規格の、４ウェイハンドシェーク手順におけるメッセージ３又はグループキーハンドシェーク手順におけるメッセージ１を送出するのと同期して送出する制御手段（認証処理部１２０および暗号鍵カプセル部１３０）と、前記制御手段からの情報を送信する端末側送受信部１１０と、を設けた。
【００７６】
こうすることにより、ＡＰ制御装置１００において暗号鍵情報を生成した直後の、８０２．１１ｉ規格又はＷＰＡ規格の４ウェイハンドシェーク手順又はグループキーハンドシェーク手順におけるメッセージ送信と同期して暗号鍵情報を送信することができるので、当該メッセージおよび暗号鍵情報を無線ＬＡＮ基地局装置２００において通信端末装置３００にメッセージを送る際に上書きするＫｅｙ  ＭＩＣの算出材料を同時期に取得することができる。そのため、無線ＬＡＮ基地局装置２００は、メッセージおよび暗号鍵情報を受信して即座に算出したＫｅｙ  ＭＩＣを付加したメッセージを通信端末装置３００に送信することができるので、４ウェイハンドシェーク手順に掛かる時間を削減することができる。
【００７７】
また、ＡＰ制御装置１００における上記制御手段に、８０２．１１ｉ規格又はＷＰＡ規格の４ウェイハンドシェーク手順におけるメッセージ３と暗号鍵情報とを含む１つのフレームを形成する暗号鍵カプセル部１３０を設け、形成された上記フレームを送出するようにした。
【００７８】
こうすることにより、同一フレームに含めて送信することにより、無線ＬＡＮ基地局装置２００と通信端末装置３００との間で送信されるフレームの数が減りシステムにおけるトラヒックを低減することができる。
【００７９】
そして上記制御手段（認証処理部１２０および暗号鍵カプセル部１３０）は、４ウェイハンドシェーク手順におけるメッセージに同期して、暗号鍵情報としてのＧＴＫに既存のＧＴＫを送出するか新規に生成するＧＴＫを送出するかを示す既存ＧＴＫ使用情報を暗号鍵情報と送出するようにした。
【００８０】
また、上記制御手段（認証処理部１２０および暗号鍵カプセル部１３０）は、そのＧＴＫ使用情報が新規のＧＴＫであることを示すときには、さらに前記暗号鍵情報としてのＰＴＫと前記ＧＴＫ使用情報に基づいて算出されたＫｅｙ  ＭＩＣを前記８０２．１１ｉ規格又はＷＰＡ規格の４ウェイハンドシェーク手順におけるメッセージとしてのＥＡＰｏＬ−Ｋｅｙフレームに含めて送出するようにした。
【００８１】
また実施の形態１によれば、無線ＬＡＮ基地局装置２００に、受信した暗号鍵情報を一時保持する鍵管理テーブル２５０と、４ウェイハンドシェーク手順におけるメッセージ４又はグループキーハンドシェーク手順におけるメッセージ２をトリガとして、一時保持した暗号鍵情報を通信端末装置３００との通信へ適用する制御手段（フレーム処理部２２０、ＭＩＣ計算部２４０、鍵設定部２３０）と、を設けた。
【００８２】
こうすることにより、通信端末装置３００における暗号鍵情報の設定と同期を取りながら無線ＬＡＮ基地局装置２００における暗号鍵の設定を行うことができるので、無線ＬＡＮ基地局装置２００と通信端末装置３００との間の暗号通信への移行をすみやかに行うことができる。
【００８３】
また実施の形態１によれば、無線ＬＡＮ基地局装置２００に、暗号鍵情報とＧＴＫ使用情報とＥＡＰｏＬ−Ｋｅｙフレームとを受信する網側送受信部２１０と、前記ＥＡＰｏＬ−Ｋｅｙフレームの通信端末装置３００への転送を制御する制御手段（フレーム処理部２２０、ＭＩＣ計算部２４０、鍵設定部２３０）と、を設け、前記制御手段は、前記受信したＧＴＫ使用情報が既存のＧＴＫであることを示すときには、前記暗号鍵情報としての既存のＧＴＫにより暗号化されたフレームを他の通信端末装置に送信した回数をカウントしているＧＴＫカウント値を前記ＥＡＰｏＬ−Ｋｅｙフレームに含め、前記受信したＧＴＫ使用情報が新規のＧＴＫであることを示すときには、前記ＧＴＫカウント値を０にして、前記ＥＡＰｏＬ−Ｋｅｙフレームに含め、さらに前記ＧＴＫカウンタ値が含まれたＥＡＰｏＬ−Ｋｅｙフレームと暗号鍵情報としてのＰＴＫに基づいてＫｅｙＭＩＣ値を算出し、当該Ｋｅｙ  ＭＩＣを含めた前記ＥＡＰｏＬ−Ｋｅｙフレームを送信するようにした。
【００８４】
また、無線ＬＡＮ基地局装置２００に、暗号鍵情報とＧＴＫ使用情報とＥＡＰｏＬ−Ｋｅｙフレームとを受信する網側送受信部２１０と、前記ＥＡＰｏＬ−Ｋｅｙフレームの通信端末装置への転送を制御する制御手段（フレーム処理部２２０、ＭＩＣ計算部２４０、鍵設定部２３０）と、を設け、前記制御手段は、前記受信したＧＴＫ使用情報が既存のＧＴＫであることを示すときには、前記暗号鍵情報としての既存のＧＴＫにより暗号化されたフレームを他の通信端末装置に送信した回数をカウントしているＧＴＫカウント値を前記ＥＡＰｏＬ−Ｋｅｙフレームに含め、当該ＧＴＫカウンタ値が含まれたＥＡＰｏＬ−Ｋｅｙフレームと前記暗号鍵情報としてのＰＴＫとに基づいてＫｅｙ  ＭＩＣを算出し、当該Ｋｅｙ  ＭＩＣをさらに含めた前記ＥＡＰｏＬ−Ｋｅｙフレームを送信し、前記受信したＧＴＫ使用情報が新規のＧＴＫであることを示すときには、前記ＥＡＰｏＬ−Ｋｅｙフレームをそのまま転送するようにした。
【００８５】
（実施の形態２）
実施の形態２の通信システムは、実施の形態１と同様に通信端末装置と、無線ＬＡＮ基地局装置と、ＡＰ制御装置とを有する。ただし、ＩＥＥＥ８０２．１１ｉに規定される４ウェイハンドシェーク（4way hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を伝送する際、およびＩＥＥＥ８０２．１１ｉに規定されるグループキーハンドシェーク（GroupKey hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を伝送する際の動きが、通信システム１０と異なる。
【００８６】
図６に示すように実施の形態２のＡＰ制御装置５００は、認証処理部５１０を有する。この認証処理部５１０は、ＡＰ制御装置１００の認証処理部１２０と基本的に同様の動作を行うが、ＩＥＥＥ８０２．１１ｉに規定される４ウェイハンドシェーク（4way hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を受け取るとき、およびＩＥＥＥ８０２．１１ｉに規定されるグループキーハンドシェーク（GroupKey hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を受け取るときの動作が異なる。具体的には、両手順における上記ＥＡＰｏＬ−Ｋｅｙフレームを受け取ると、認証処理部５１０は、鍵インストール要求フレームを生成し、この鍵インストール要求フレームの送信処理を行う。
【００８７】
図７に示すように実施の形態２の無線ＬＡＮ基地局装置６００は、フレーム処理部６１０を有する。このフレーム処理部６１０は、無線ＬＡＮ基地局装置２００のフレーム処理部２２０と基本的に同様の動作を行うが、ＩＥＥＥ８０２．１１ｉに規定される４ウェイハンドシェーク（4way hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を受け取るとき、およびＩＥＥＥ８０２．１１ｉに規定されるグループキーハンドシェーク（GroupKey hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を受け取るとき等の動作が異なる。具体的には、フレーム処理部６１０は、両手順の上記ＥＡＰｏＬ−Ｋｅｙフレームを受け取っても実施の形態１と異なり鍵インストールの制御は行わず、ＡＰ制御装置５００から送信される鍵インストール要求フレームが入力されることを契機として鍵インストールの制御を行う。
【００８８】
次いで、上記構成を有する実施の形態２の通信システムの動作について説明する。
【００８９】
図８は、実施の形態２の通信システムにおける、ＩＥＥＥ８０２．１１ｉに規定される４ウェイハンドシェーク（4way hand shake）手順の動作を示している。
【００９０】
通信端末装置３００は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を無線ＬＡＮ基地局装置６００に送信する（ステップＳＴ１０１６）。
【００９１】
無線ＬＡＮ基地局装置６００は、無線ＬＡＮ基地局装置２００と異なり通信端末装置３００からのＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を受信してもＰＴＫおよびＧＴＫのインストール処理は行わず、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）に所定のヘッダを付加してＡＰ制御装置５００に対して送信する。具体的には、端末側送受信部２６０が通信端末装置３００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を受信しフレーム処理部６１０に対して出力する。そして、フレーム処理部６１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を入力しても鍵設定部２３０に対してインストール要求を出力せずに、所定のヘッダを付加する。そして、フレーム処理部６１０は、このヘッダが付加されたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を網側送受信部２１０を介してＡＰ制御装置５００に送信する（ステップＳＴ１０１８）。
【００９２】
ＡＰ制御装置５００においては、端末側送受信部１１０が無線ＬＡＮ基地局装置６００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を受信し認証処理部５１０に対して出力する。そして、認証処理部５１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を入力すると、鍵インストール要求フレームを生成し所定のヘッダを付加する。そして、認証処理部５１０は、生成した鍵インストール要求フレームを端末側送受信部１１０を介して無線ＬＡＮ基地局装置６００に送信する（ステップＳＴ３００１）。
【００９３】
無線ＬＡＮ基地局装置６００は、ＡＰ制御装置５００からの鍵インストール要求フレームを受信することを契機として、ステップＳＴ１０１４にてセットしたＰＴＫおよびＧＴＫのインストール処理を行う（ステップＳＴ３００２）。具体的には、網側送受信部２１０が鍵インストール要求フレームを受信してフレーム処理部６１０に出力する。そして、フレーム処理部６１０は、鍵インストール要求フレームを入力すると、鍵設定部２３０に対してインストール要求を出力する。そして、鍵設定部２３０は、フレーム処理部６１０からのインストール要求に対応するＰＴＫおよびＧＴＫのインストール処理を行う。これにより、通信端末装置３００と無線ＬＡＮ基地局装置６００との間で実際の暗号化復号化処理に利用されるＰＴＫおよびＧＴＫが利用可能な状態となる。すなわち、通信端末装置３００と無線ＬＡＮ基地局装置６００との間で暗号通信が可能となる。
【００９４】
そしてフレーム処理部６１０は、鍵インストール要求フレームに対する応答として鍵インストール応答フレームを生成し、これを網側送受信部２１０を介してＡＰ制御装置５００に対して送信する（ステップＳＴ３００３）。
【００９５】
図９は、実施の形態２の通信システムにおける、ＩＥＥＥ８０２．１１ｉに規定されるグループキーハンドシェーク（GroupKey hand shake）手順の動作を示している。
【００９６】
通信端末装置３００は、グループキーハンドシェーク（GroupKey hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を無線ＬＡＮ基地局装置６００に送信する（ステップＳＴ２００６）。
【００９７】
無線ＬＡＮ基地局装置６００は、無線ＬＡＮ基地局装置２００と異なり通信端末装置３００からグループキーハンドシェーク（GroupKey hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を受信してもＧＴＫのインストール処理は行わず、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）に所定のヘッダを付加してＡＰ制御装置５００に対して送信する。具体的には、端末側送受信部２６０が通信端末装置３００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を受信しフレーム処理部６１０に対して出力する。そして、フレーム処理部６１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を入力しても鍵設定部２３０に対してインストール要求を出力せずに、所定のヘッダを付加する。そして、フレーム処理部６１０は、このヘッダが付加されたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を網側送受信部２１０を介してＡＰ制御装置５００に送信する（ステップＳＴ２００８）。
【００９８】
ＡＰ制御装置５００においては、端末側送受信部１１０が無線ＬＡＮ基地局装置６００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を受信し認証処理部５１０に対して出力する。そして、認証処理部５１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を入力すると、鍵インストール要求フレームを生成し所定のヘッダを付加する。そして、認証処理部５１０は、生成した鍵インストール要求フレームを端末側送受信部１１０を介して無線ＬＡＮ基地局装置６００に送信する（ステップＳＴ４００１）。
【００９９】
無線ＬＡＮ基地局装置６００は、ＡＰ制御装置５００からの鍵インストール要求フレームを受信することを契機として、ステップＳＴ２００４にてセットしたＧＴＫ（更新後のＧＴＫ）のインストール処理を行う（ステップＳＴ４００２）。具体的には、網側送受信部２１０が鍵インストール要求フレームを受信してフレーム処理部６１０に出力する。そして、フレーム処理部６１０は、鍵インストール要求フレームを入力すると、鍵設定部２３０に対してインストール要求を出力する。そして、鍵設定部２３０は、フレーム処理部６１０からのインストール要求に対応するＧＴＫのインストール処理を行う。これにより、通信端末装置３００と無線ＬＡＮ基地局装置６００との間で実際の暗号化復号化処理に利用されるＧＴＫ（更新後のＧＴＫ）が利用可能な状態となる。すなわち、通信端末装置３００と無線ＬＡＮ基地局装置６００との間で暗号通信が可能となる。
【０１００】
そしてフレーム処理部６１０は、鍵インストール要求フレームに対する応答として鍵インストール応答フレームを生成し、これを網側送受信部２１０を介してＡＰ制御装置５００に対して送信する（ステップＳＴ４００３）。
【０１０１】
このように実施の形態２によれば、ＡＰ制御装置５００に、暗号鍵情報（ＰＴＫ、ＧＴＫ）を生成し当該暗号鍵情報（ＰＴＫ、ＧＴＫ）を８０２．１１ｉ規格又はＷＰＡ規格の、４ウェイハンドシェーク手順におけるメッセージ３又はグループキーハンドシェーク手順にけるメッセージ１を送出するのと同期して送出する制御手段（認証処理部５１０、暗号鍵カプセル部１３０）と、前記制御手段からの情報を送信する端末側送受信部１１０と、を設けた。
【０１０２】
上記制御手段は、４ウェイハンドシェーク手順又はグループキーハンドシェーク手順が終了したことを契機に（すなわち、４ウェイハンドシェーク手順におけるメッセージ４又はグループキーハンドシェーク手順におけるメッセージ２に応答して）、無線ＬＡＮ基地局装置６００に対し送信された暗号鍵情報を通信端末装置３００との通信への適用するトリガとなる制御情報（鍵設定要求フレーム）を送出するようにした。
【０１０３】
こうすることにより、無線ＬＡＮ基地局装置６００はメッセージを暗号鍵情報適用のトリガとして用いる必要がなくなるので、無線ＬＡＮ基地局装置６００においてメッセージを監視する必要がなくなるため、無線ＬＡＮ基地局装置６００における資源を節約することができる。
【０１０４】
また、実施の形態２によれば、無線ＬＡＮ基地局装置６００に、受信した暗号鍵情報を一時保持する鍵管理テーブル２５０と、ＡＰ制御装置５００から送信された制御情報（鍵設定要求フレーム）に基づいて、前記一時保持した暗号鍵情報を前記通信端末装置との通信へ適用する制御手段（フレーム処理部６１０、ＭＩＣ算出部２４０、鍵設定部２３０）と、を設けた。
【０１０５】
こうすることにより、無線ＬＡＮ基地局装置６００はメッセージを暗号鍵情報適用のトリガとして用いる必要がなくなるので、無線ＬＡＮ基地局装置６００においてメッセージを監視する必要がなくなるため、無線ＬＡＮ基地局装置６００における資源を節約することができる。
【０１０６】
（実施の形態３）
実施の形態３の通信システムは、実施の形態１と同様に通信端末装置と、無線ＬＡＮ基地局装置と、ＡＰ制御装置とを有する。ただし、ＩＥＥＥ８０２．１１ｉに規定される４ウェイハンドシェーク（4way hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２、メッセージ３、メッセージ４）を伝送する際、およびＩＥＥＥ８０２．１１ｉに規定されるグループキーハンドシェーク（GroupKey hand shake）手順のＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１、メッセージ２）を伝送する際の動きが、通信システム１０と異なる。具体的には、実施の形態１においては既存のＧＴＫを利用するときには無線ＬＡＮ基地局装置２００にてＫｅｙ  ＭＩＣを算出したが、本実施の形態においてはＡＰ制御装置にてＫｅｙ  ＭＩＣの算出を行う。そのため、無線ＬＡＮ基地局装置において、上り（無線ＬＡＮ基地局装置からＡＰ制御装置へ）のメッセージを送信する際に、現在のＧＴＫカウンタ値も含めるようにする。
【０１０７】
図１０に示すように実施の形態３のＡＰ制御装置７００は、認証処理部７１０と、カウンタ値記憶部７２０と、ＭＩＣ算出部７３０とを有する。
【０１０８】
図１１に示すように実施の形態３の無線ＬＡＮ基地局装置８００は、フレーム処理部８１０を有する。
【０１０９】
次いで、上記構成を有する実施の形態３の通信システムの動作について説明する。
【０１１０】
図１２は、実施の形態３の通信システムにおける、ＩＥＥＥ８０２．１１ｉに規定される４ウェイハンドシェーク（4way hand shake）手順の動作を示している。
【０１１１】
通信端末装置３００は、生成したＰＴＫに含まれるＥＡＰｏＬ−Ｋｅｙ  ＫＣＫを用いてＫｅｙ  ＭＩＣを算出する。そして、通信端末装置３００は、ＳＮｏｎｃｅを含むＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）に上記算出したＫｅｙ  ＭＩＣを付与して、無線ＬＡＮ基地局装置８００に送信する（ステップＳＴ１００７）。
【０１１２】
無線ＬＡＮ基地局装置８００においては、端末側送受信部２６０が通信端末装置３００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を受信しフレーム処理部８１０に対して出力する。そして、フレーム処理部８１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を入力すると、無線ＬＡＮ基地局装置８００が現在保持しているＧＴＫカウンタ値をアダプテーションヘッダに付加するとともに、所定のヘッダ（ここでは、イーサヘッダ）を付与し網側送受信部２１０を介してＡＰ制御装置７００に送信する（ステップＳＴ５００１）。なお、上述の通り、ＧＴＫカウンタ値とは、無線ＬＡＮ基地局装置がＧＴＫにより暗号化されるフレームを送出するときにカウントアップするシーケンスカウンタ値であり、ＴＫＩＰであればＴＳＣがこれに相当し、ＣＣＭＰであればＰＮがこれに相当する。
【０１１３】
ＡＰ制御装置７００においては、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）に含まれるＳＮｏｎｃｅの受信処理を行う（ステップＳＴ５００２）。そして、ＡＰ制御装置７００は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）に含まれるＧＴＫカウンタ値を記憶する。具体的には、認証処理部７１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を端末側送受信部１１０を介して受け取ると、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）に含まれるＧＴＫカウンタ値をカウンタ値記憶部７２０に記憶する。
【０１１４】
そしてステップＳＴ５００３において、ＡＰ制御装置７００は、ＰＭＫ、ＡＮｏｎｃｅおよびＳＮｏｎｃｅに基づいて、ＰＴＫ（Pairwise Transient Key）を生成する。ここで、ＡＰ制御装置７００と通信端末装置３００とは、同じ疑似ランダム関数を用いてＰＭＫ、ＡＮｏｎｃｅおよびＳＮｏｎｃｅに基づき生成したＰＴＫを共有したことになる。
【０１１５】
ステップＳＴ５００４において、ＡＰ制御装置７００は、所定の方法によりＧＴＫ（Group Temporal Key）を生成する。
【０１１６】
そしてＡＰ制御装置７００において認証処理部７１０は、通信端末装置３００に対して配布するＧＴＫに、既に他の通信端末装置３００に対して送信しているＧＴＫを利用するのか、又は新規に作成したＧＴＫを利用するのかにより、所定の処理を行う。
【０１１７】
具体的には、認証処理部７１０は、既に他の通信端末装置３００に対して送信しているＧＴＫを利用する場合には、カウンタ値記憶部７２０に記憶しているＧＴＫカウンタ値をＫｅｙ  ＲＳＣとしたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）を生成する。そして、このＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）とステップＳＴ５００３にて生成したＰＴＫとをＭＩＣ算出部７３０に与えここでＫｅｙ  ＭＩＣを計算させ、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）のＫｅｙ  ＭＩＣの領域を算出したＫｅｙ  ＭＩＣで上書きする。さらに、認証処理部７１０は、このＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）にＧＴＫを含める。
【０１１８】
一方、新規に作成したＧＴＫを利用する場合には、認証処理部７１０は、カウンタ値記憶部７２０に記憶しているＧＴＫカウンタ値は用いずに、Ｋｅｙ  ＲＳＣを０とし、さらに利用するＧＴＫを含めたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）を生成する。
【０１１９】
そして、認証処理部７１０にて生成されたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）は、所定のヘッダ（ここでは、イーサヘッダ）が付加されて無線ＬＡＮ基地局装置８００に送信される（ステップＳＴ５００５）。
【０１２０】
無線ＬＡＮ基地局装置８００においては、網側送受信部２１０がＡＰ制御装置７００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）を受信しフレーム処理部８１０に対して出力する。そして、フレーム処理部８１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）を入力すると、デカプセル化、すなわちイーサヘッダおよびアダプテーションを外して、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）を端末側送受信部２６０を介して通信端末装置３００に送信する（ステップＳＴ５００６）。
【０１２１】
通信端末装置３００においては、無線ＬＡＮ基地局装置８００から送信されたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）を受信し、ＧＴＫの受信処理を行う（ステップＳＴ５００７）。そして、通信端末装置３００は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を無線ＬＡＮ基地局装置８００に送信する（ステップＳＴ５００８）。
【０１２２】
無線ＬＡＮ基地局装置８００においては、端末側送受信部２６０が通信端末装置３００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を受信しフレーム処理部８１０に対して出力する。そして、フレーム処理部８１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を入力すると、無線ＬＡＮ基地局装置８００が現在保持しているＧＴＫカウンタ値をアダプテーションヘッダに付加するとともに、所定のヘッダ（ここでは、イーサヘッダ）を付与し網側送受信部２１０を介してＡＰ制御装置７００に送信する（ステップＳＴ５００９）。
【０１２３】
ＡＰ制御装置７００においては、端末側送受信部１１０が無線ＬＡＮ基地局装置８００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を受信し認証処理部７１０に対して出力する。そして、認証処理部７１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）に含まれるＧＴＫカウンタ値でカウンタ値記憶部７２０を上書きする。また、認証処理部７１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ４）を入力すると、鍵インストール要求フレームを生成し所定のヘッダを付加する。具体的には、認証処理部７１０は、ステップＳＴ５００３およびステップＳＴ５００４にて生成したＰＴＫとＧＴＫと端末ＭＡＣアドレスとを含めた鍵インストール要求フレームを生成する。そして、認証処理部７１０は、その鍵インストール要求フレームに所定のヘッダ（ここでは、イーサヘッダ）を付加して、無線ＬＡＮ基地局装置８００に端末側送受信部１１０を介して送信する（ステップＳＴ５０１０）。
【０１２４】
無線ＬＡＮ基地局装置８００は、ＡＰ制御装置７００からの鍵インストール要求フレームを受信すると、その鍵インストール要求フレームに含まれるＰＴＫおよびＧＴＫの設定およびインストールを行う（ステップＳＴ５０１１）。具体的には、網側送受信部２１０が鍵インストール要求フレームを受信してフレーム処理部８１０に出力する。そして、フレーム処理部８１０は、鍵インストール要求フレームを入力すると、鍵設定部２３０に対してＰＴＫおよびＧＴＫと、インストール要求とを出力する。鍵設定部２３０は、ＰＴＫおよびＧＴＫを鍵管理テーブル２５０に設定するとともに、ＰＴＫおよびＧＴＫのインストール処理を行う。これにより、通信端末装置３００と無線ＬＡＮ基地局装置８００との間で実際の暗号化復号化処理に利用されるＰＴＫおよびＧＴＫ（更新後のＧＴＫ）が利用可能な状態となる。
【０１２５】
そしてフレーム処理部８１０は、鍵インストール要求フレームに対する応答として鍵インストール応答フレームを生成し、これを網側送受信部２１０を介してＡＰ制御装置７００に対して送信する（ステップＳＴ５０１２）。
【０１２６】
なお、ＷＰＡ仕様の４ウェイハンドシェーク（4way hand shake）手順においては、メッセージ３においてＧＴＫを送付しないため、認証処理部７１０は、カウンタ値記憶部７２０に記憶しているＧＴＫカウンタ値は用いずに、Ｋｅｙ  ＲＳＣを０としたフレームを基にＫｅｙ  ＭＩＣを作成して、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）を生成する。
【０１２７】
図１３は、実施の形態３の通信システムにおける、ＩＥＥＥ８０２．１１ｉに規定されるグループキーハンドシェーク（GroupKey hand shake）手順の動作を示している。
【０１２８】
ＡＰ制御装置７００と通信端末装置３００とは、ＩＥＥＥ８０２．１１ｉに規定される４ウェイハンドシェーク（4way hand shake）手順により、ＰＴＫおよびＧＴＫを共有している。ここで上述したような要因によりＧＴＫの更新が必要になったとする。
【０１２９】
ステップＳＴ６００１において、ＡＰ制御装置７００は、更新するＧＴＫを用意する。このとき、ＡＰ制御装置７００において認証処理部７１０は、通信端末装置３００に対して配布するＧＴＫに、既に他の通信端末装置３００に対して送信しているＧＴＫを利用するのか、又は新規に作成したＧＴＫを利用するのかにより、所定の処理を行う。
【０１３０】
具体的には、認証処理部７１０は、既に他の通信端末装置３００に対して送信しているＧＴＫを利用する場合には、カウンタ値記憶部７２０に記憶しているＧＴＫカウンタ値（４ウェイハンドシェーク手順のメッセージ４に含められていたＧＴＫカウンタ値又は４ウェイハンドシェーク手順の後にグループキーハンドシェーク手順が行われている場合には直近に行われたグループキーハンドシェーク手順のメッセージ２に含められていたＧＴＫカウンタ値）をＫｅｙ  ＲＳＣとしたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）を生成する。さらに、認証処理部７１０は、このＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）にＧＴＫを含める。そして、このＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）とＰＴＫとをＭＩＣ算出部７３０に与えここでＫｅｙ  ＭＩＣを計算させ、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）のＫｅｙ  ＭＩＣの領域を算出したＫｅｙ  ＭＩＣで上書きする。
【０１３１】
一方、新規に作成したＧＴＫを利用する場合には、認証処理部７１０は、カウンタ値記憶部７２０に記憶しているＧＴＫカウンタ値は用いずに、Ｋｅｙ  ＲＳＣを０として同様のＫｅｙ  ＭＩＣの計算を行い、利用するＧＴＫを含めたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）を生成する。
【０１３２】
そして、認証処理部７１０にて生成されたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）は、所定のヘッダ（ここでは、イーサヘッダ）が付加されて無線ＬＡＮ基地局装置８００に送信される（ステップＳＴ６００２）。
【０１３３】
無線ＬＡＮ基地局装置８００においては、網側送受信部２１０がＡＰ制御装置７００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）を受信しフレーム処理部８１０に対して出力する。そして、フレーム処理部８１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）を入力すると、デカプセル化、すなわちイーサヘッダおよびアダプテーションを外して、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）およびＧＴＫを端末側送受信部２６０を介して通信端末装置３００に送信する（ステップＳＴ６００３）。
【０１３４】
通信端末装置３００においては、無線ＬＡＮ基地局装置８００から送信されたＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）を受信し、ＧＴＫの受信処理を行う（ステップＳＴ６００４）。そして、通信端末装置３００は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を無線ＬＡＮ基地局装置８００に送信する（ステップＳＴ６００５）。
【０１３５】
無線ＬＡＮ基地局装置８００においては、端末側送受信部２６０が通信端末装置３００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を受信しフレーム処理部８１０に対して出力する。そして、フレーム処理部８１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を入力すると、無線ＬＡＮ基地局装置８００が現在保持しているＧＴＫカウンタ値をアダプテーションヘッダに付加するとともに、所定のヘッダ（ここでは、イーサヘッダ）を付与し網側送受信部２１０を介してＡＰ制御装置７００に送信する（ステップＳＴ６００６）。
【０１３６】
ＡＰ制御装置７００においては、端末側送受信部１１０が無線ＬＡＮ基地局装置８００から送信された上記ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を受信し認証処理部７１０に対して出力する。そして、認証処理部７１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）に含まれるＧＴＫカウンタ値でカウンタ値記憶部７２０を上書きする。また、認証処理部７１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ２）を入力すると、鍵インストール要求フレームを生成し所定のヘッダを付加する。具体的には、認証処理部７１０は、ステップＳＴ６００１にて用意したＧＴＫと端末ＭＡＣアドレスとを含めた鍵インストール要求フレームを生成する。そして、認証処理部７１０は、その鍵インストール要求フレームに所定のヘッダ（ここでは、イーサヘッダ）を付加して、無線ＬＡＮ基地局装置８００に端末側送受信部１１０を介して送信する（ステップＳＴ６００７）。
【０１３７】
無線ＬＡＮ基地局装置８００は、ＡＰ制御装置７００からの鍵インストール要求フレームを受信すると、その鍵インストール要求フレームに含まれるＧＴＫの設定およびインストールを行う（ステップＳＴ６００８）。具体的には、網側送受信部２１０が鍵インストール要求フレームを受信してフレーム処理部８１０に出力する。そして、フレーム処理部８１０は、鍵インストール要求フレームを入力すると、鍵設定部２３０に対してＧＴＫと、インストール要求とを出力する。鍵設定部２３０は、ＧＴＫを鍵管理テーブル２５０に設定するとともに、ＧＴＫのインストール処理を行う。これにより、通信端末装置３００と無線ＬＡＮ基地局装置８００との間で実際の暗号化復号化処理に利用されるＧＴＫ（更新後のＧＴＫ）が利用可能な状態となる。
【０１３８】
そしてフレーム処理部８１０は、鍵インストール要求フレームに対する応答として鍵インストール応答フレームを生成し、これを網側送受信部２１０を介してＡＰ制御装置７００に対して送信する（ステップＳＴ６００９）。
【０１３９】
なお、上記説明においては、ステップＳＴ５００４〜ステップＳＴ５００５およびステップＳＴ６００１〜ステップＳＴ６００２において、認証処理部７１０にて生成したＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）およびＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）に利用するＧＴＫを含めるようにしたため、暗号鍵カプセル部１３０が作動しないものとした。しかしながらこれに限定されるものではなく、次のようにしてもよい。すなわち、認証処理部７１０は、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）およびＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）を生成するが、ＧＴＫをこれに含めることなく、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）およびＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）と、ＧＴＫとを暗号鍵カプセル部１３０に送出する。そして、暗号鍵カプセル部１３０において、ＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ３）およびＥＡＰｏＬ−Ｋｅｙフレーム（メッセージ１）と、ＧＴＫとを１つのフレームに纏めて無線ＬＡＮ基地局装置８００に送信してもよい。
【０１４０】
なお、上記説明においては、ＧＴＫカウンタ値はアダプテーションヘッダの中に挿入させているが、４ウェイハンドシェーク（4way hand shake）のメッセージ２およびメッセージ４を無線ＬＡＮ基地局装置８００が送信した後に別のフレームでカウンタ値のみをＡＰ制御装置７００に送付してもよい。すなわち４ウェイハンドシェーク（4way hand shake）のメッセージ３送信時またはグループキーハンドシェーク（GroupKey hand shake）のメッセージ１送信時にＡＰ制御装置７００がアクセスポイントに保持されているＧＴＫカウンタ値を同期して保持できればよい。
【０１４１】
このように実施の形態３によれば、ＡＰ制御装置７００に、暗号鍵情報（ＰＴＫ、ＧＴＫ）を生成し当該暗号鍵情報を無線ＬＡＮ基地局装置８００に送信する制御手段としての認証処理部７１０と、既に送信した前記暗号鍵情報としてのＧＴＫにより暗号化されたフレームを送信するときにカウントするＧＴＫカウンタ値を８０２．１１ｉ規格又はＷＰＡ規格の４ウェイハンドシェーク手順におけるメッセージ２とともに受信する端末側送受信部１１０と、を設け、前記制御手段は、前記暗号鍵情報としてのＰＴＫと前記ＧＴＫカウント値とに基づいて算出されたＫｅｙ  ＭＩＣおよび前記ＧＴＫカウント値をメッセージ３のＥＡＰｏＬ−Ｋｅｙフレームに含めて送信するようにした。
【０１４２】
また実施の形態３によれば、鍵配信制御装置としてのＡＰ制御装置７００から配信を受けた暗号鍵情報を用いて通信端末装置３００と暗号通信を行う無線ＬＡＮ基地局装置８００に、通信端末装置３００からの８０２．１１ｉ規格又はＷＰＡ規格の４ウェイハンドシェーク手順におけるメッセージ２およびメッセージ４を受信する端末側送受信部２６０と、前記メッセージ２又は前記メッセージ４を受信したときに、前記暗号鍵情報としてのＧＴＫにより暗号化されたフレームを送信するときにカウントするＧＴＫカウンタ値を鍵配信装置としてのＡＰ制御装置７００に送信するフレーム処理部８１０と、を設けた。
【０１４３】
（実施の形態４）
実施の形態１乃至実施の形態３においては、無線ＬＡＮ基地局装置２００、無線ＬＡＮ基地局装置６００、および無線ＬＡＮ基地局装置８００が暗号復号機能を有していた。しかしながら、ＡＰ制御装置と、無線ＬＡＮ基地局装置との両方が通信端末装置３００との通信における暗号復号機能を有していてもよい。本実施の形態は、このようにＡＰ制御装置と、無線ＬＡＮ基地局装置との両方が通信端末装置３００との通信における暗号復号機能を有する通信システムに関する。特に本実施の形態の通信システムは、無線ＬＡＮ基地局装置ごとに、ＡＰ制御装置と無線ＬＡＮ基地局装置とのどちらにおいて暗号復号処理を行うかを決定する。
【０１４４】
図１４に示すように実施の形態４のＡＰ制御装置９００は、認証処理部９１０と、主信号処理部９２０とを有する。この主信号処理部９２０は、端末側フレーム変換処理部９３０と、暗復号判定部９４０と、暗復号処理部９５０と、暗復号位置テーブル９６０と、網側フレーム変換処理部９７０とを有する。
【０１４５】
そして、本実施の形態の通信システムは、上記ＡＰ制御装置９００と、無線ＬＡＮ基地局装置２００と、通信端末装置３００とから構成される。
【０１４６】
次いで、上記構成を有する通信システムの動作について図１５を参照して説明する。ここでは説明を簡単にするため、通信システムが、１つのＡＰ制御装置９００と、２つの無線ＬＡＮ基地局装置２００（無線ＬＡＮ基地局装置２００−１および無線ＬＡＮ基地局装置２００−２）と、２つの通信端末装置３００（通信端末装置３００−１および通信端末装置３００−２）とから構成される場合について説明する。
【０１４７】
ステップＳＴ７００１において、無線ＬＡＮ基地局装置２００−１は、ＡＰ制御装置９００への接続時に、自装置が暗号復号機能を有しているか否かを示す暗号可否情報を送信する。
【０１４８】
ステップＳＴ７００２において、ＡＰ制御装置９００は、無線ＬＡＮ基地局装置２００−１からの暗号可否情報を受け取り、この暗号可否情報が暗号復号機能を有していることを示すときには、暗号位置の選択を行う。具体的には、ＡＰ制御装置９００においては、認証処理部９１０は、端末側送受信部１１０を介して上記暗号可否情報を受け取ると、その送信元である無線ＬＡＮ基地局装置２００−１に暗号復号処理を任せるか、又は暗号復号処理を自装置で行うかを決定する。そして、この決定結果を暗号位置決定情報とする。
【０１４９】
ステップＳＴ７００３において、ＡＰ制御装置９００の認証処理部９１０は、暗号位置決定情報を暗復号位置テーブル９６０に反映させるとともに、端末側送受信部１１０を介して無線ＬＡＮ基地局装置２００−１に送信する。なお、ここでは無線ＬＡＮ基地局装置２００−１に対しては、ＡＰ制御装置９００が暗号復号処理を行うものと決定されたとする。
【０１５０】
ステップＳＴ７００４において、無線ＬＡＮ基地局装置２００−２は、ＡＰ制御装置９００への接続時に、自装置が暗号復号機能を有しているか否かを示す暗号可否情報を送信する。
【０１５１】
ステップＳＴ７００５において、ＡＰ制御装置９００は、無線ＬＡＮ基地局装置２００−２からの暗号可否情報を受け取り、この暗号可否情報が暗号復号機能を有していることを示すときには、暗号位置の選択を行う。
【０１５２】
ステップＳＴ７００６において、ＡＰ制御装置９００の認証処理部９１０は、暗号位置決定情報を暗復号位置テーブルに反映させるとともに、端末側送受信部１１０を介して無線ＬＡＮ基地局装置２００−２に送信する。なお、ここでは無線ＬＡＮ基地局装置２００−２に対しては、無線ＬＡＮ基地局装置２００−２が暗号復号処理を行うものと決定されたとする。
【０１５３】
ステップＳＴ７００７において、実施の形態１にて説明したような認証処理および鍵配送処理が本実施の形態の通信システムにおいて行われる。なお、この認証処理および鍵配送処理は実施の形態２又は３の方法であってもよい。
【０１５４】
以上のステップＳＴ７００１〜ステップＳＴ７００７を経てＡＰ制御装置９００と、無線ＬＡＮ基地局装置２００と、通信端末装置３００との間で暗号通信が可能となる。
【０１５５】
そして、無線端末装置３００−１にて送信データが発生すると、すでに配信されている暗号鍵を用いて暗号化されたユーザデータが、通信端末装置３００−１が配下にある無線ＬＡＮ基地局装置２００−１に送信される（ステップＳＴ７００８）。
【０１５６】
無線ＬＡＮ基地局装置２００−１においては、フレーム処理部２２０が、自装置がＡＰ制御装置９００から受け取った暗号位置決定情報に応じて、無線端末装置３００−１から送信されたユーザデータの処理を行う。
【０１５７】
具体的には、フレーム処理部２２０は、自装置がＡＰ制御装置９００から受け取った暗号位置決定情報が自装置にて暗号復号処理を行う旨を示すときには、復号処理を行った後のユーザデータをＡＰ制御装置９００に転送する際に付加するアダプテーションヘッダに自装置にて暗号復号処理を行ったことを示す情報を付加する。例えばアダプテーションヘッダの暗復号処理フラグを０とする。
【０１５８】
一方、自装置がＡＰ制御装置９００から受け取った暗号位置決定情報がＡＰ制御装置９００にて暗号復号処理を行う旨を示すときには、無線端末装置３００−１から送信されたユーザデータをそのまま転送する際に付加するアダプテーションヘッダにＡＰ制御装置９００にて暗号復号処理を行うことを示す情報を付加する。例えばアダプテーションヘッダの暗復号処理フラグを１とする。
【０１５９】
ここでは、無線ＬＡＮ基地局装置２００−１とＡＰ制御装置９００との間では、ＡＰ制御装置９００が暗号復号処理を行うので、無線ＬＡＮ基地局装置２００−１は、アダプテーションヘッダの暗復号処理フラグを１としてＡＰ制御装置９００に送信する（ステップＳＴ７００９）。
【０１６０】
ＡＰ制御装置９００においては、端末側送受信部１１０にて無線ＬＡＮ基地局装置２００−１からのユーザデータを受け取る。そして、端末側フレーム変換処理部９３０が、そのユーザデータに付加されているアダプテーションヘッダに含まれている暗復号処理フラグの情報と、ヘッダを外したユーザデータそのものとを暗復号判定部９４０に出力する。
【０１６１】
暗復号判定部９４０は、受け取った暗復号処理フラグに応じた処理を行う。具体的には、暗復号処理フラグが１である場合、すなわちユーザデータの復号をＡＰ制御装置９００にて行うことを示している場合には、ユーザデータを暗復号処理部９５０に出力してそこで復号処理をさせ、復号処理後のユーザデータを網側フレーム変換処理部９７０に出力する。そして、網側フレーム変換処理部９７０は、ユーザデータを網側のネットワーク形態に合わせフレーム変換処理を行い、網側のネットワークに送信する。なお、暗復号処理フラグが０である場合、すなわちユーザデータの復号を無線ＬＡＮ基地局装置２００−１にて行ったことを示している場合には、ＡＰ制御装置９００で復号処理を行う必要はないので、暗復号判定部９４０は、端末側フレーム変換処理部９３０から受け取ったユーザデータをそのまま網側フレーム変換処理部９７０に出力する。
【０１６２】
次に、ＡＰ制御装置９００が網側ネットワークからフレームを受信したとする。そうすると、ＡＰ制御装置９００においては、網側フレーム変換処理部９７０がそのフレームを受信し、無線ＬＡＮフレームに変換して暗復号判定部９４０に出力する。
【０１６３】
暗復号判定部９４０は、無線ＬＡＮフレームのヘッダ（ＩＥＥＥ８０２．１１ヘッダ）の２番目のアドレスを見て、この無線ＬＡＮフレームの通る無線ＬＡＮ基地局装置２００を判定する。そして、暗復号判定部９４０は、暗復号位置テーブル９６０を参照し、判定した無線ＬＡＮ基地局装置２００に対応する暗号位置決定情報に応じた処理を行う。
【０１６４】
すなわち、判定した無線ＬＡＮ基地局装置２００に対応する暗号位置決定情報がＡＰ制御装置９００にて暗号復号処理を行うことを示しているときには、暗復号判定部９４０は、無線ＬＡＮフレームを暗復号処理部９５０に出力して暗号処理をさせ、暗号処理後の無線ＬＡＮフレームを端末側フレーム変換処理部９３０および端末側送受信部１１０を介して無線ＬＡＮ基地局装置２００に送信する。
【０１６５】
一方、判定した無線ＬＡＮ基地局装置２００に対応する暗号位置決定情報が無線ＬＡＮ基地局装置２００にて暗号復号処理を行うことを示しているときには、暗復号判定部９４０は、無線ＬＡＮフレームをそのまま端末側フレーム変換処理部９３０および端末側送受信部１１０を介して無線ＬＡＮ基地局装置２００に送信する。なお、無線ＬＡＮフレームには、端末側フレーム変換処理部９３０にてイーサヘッダおよびアダプテーションヘッダが付加される。
【０１６６】
ここで、無線ＬＡＮフレームの通る無線ＬＡＮ基地局装置２００が無線ＬＡＮ基地局装置２００−１であるとすると、無線ＬＡＮ基地局装置２００−１とＡＰ制御装置９００との間では、ＡＰ制御装置９００が暗号復号処理を行うこととなっているので、ＡＰ制御装置９００は、上述のように暗号処理を行って無線ＬＡＮフレームを無線ＬＡＮ基地局装置２００−１に送信する（ステップＳＴ７０１０）。
【０１６７】
無線ＬＡＮ基地局装置２００−１においては、既にＡＰ制御装置９００から、自装置とＡＰ制御装置９００との間ではＡＰ制御装置９００が暗号復号処理を行う旨の暗号位置決定情報を受け取っているため、フレーム処理部２２０は、受け取ったフレームからイーサヘッダおよびアダプテーションヘッダを外す以外に特別な処理を行うことなく、無線ＬＡＮフレームを無線端末装置３００−１に転送する（ステップＳＴ７０１１）。
【０１６８】
次に、無線端末装置３００−２にて送信データが発生すると、すでに配信されている暗号鍵を用いて暗号化されたユーザデータが、通信端末装置３００−２が配下にある無線ＬＡＮ基地局装置２００−２に送信される（ステップＳＴ７０１２）。
【０１６９】
無線ＬＡＮ基地局装置２００−２においては、無線ＬＡＮ基地局装置２００−２とＡＰ制御装置９００との間では自装置が暗号復号処理を行う暗号位置決定情報を受け取っている。そのため、無線ＬＡＮ基地局装置２００−２は、通信端末装置３００−２からの暗号化されたユーザデータを復号し、アダプテーションヘッダの暗復号処理フラグを０としてＡＰ制御装置９００に送信する（ステップＳＴ７０１３）。
【０１７０】
ＡＰ制御装置９００においては、暗復号処理フラグが０である場合、すなわちユーザデータの復号を無線ＬＡＮ基地局装置２００−２にて行ったことを示している場合には、ＡＰ制御装置９００で復号処理を行う必要はないので、暗復号判定部９４０は、端末側フレーム変換処理部９３０から受け取ったユーザデータをそのまま網側フレーム変換処理部９７０に出力する。
【０１７１】
次に、ＡＰ制御装置９００が網側ネットワークからフレームを受信したとする。ここで、無線ＬＡＮフレームの通る無線ＬＡＮ基地局装置２００が無線ＬＡＮ基地局装置２００−２であるとすると、無線ＬＡＮ基地局装置２００−２とＡＰ制御装置９００との間では、無線ＬＡＮ基地局装置２００が暗号復号処理を行うこととなっているので、ＡＰ制御装置９００は、上述のように暗号処理を行わずに、無線ＬＡＮフレームをそのまま端末側フレーム変換処理部９３０および端末側送受信部１１０を介して無線ＬＡＮ基地局装置２００−２に送信する（ステップＳＴ７０１４）。
【０１７２】
無線ＬＡＮ基地局装置２００−２においては、既にＡＰ制御装置９００から、自装置とＡＰ制御装置９００との間では自装置が暗号復号処理を行う旨の暗号位置決定情報を受け取っているため、フレーム処理部２２０は、受け取ったフレームからイーサヘッダおよびアダプテーションヘッダを外し、さらに暗号処理を施して、無線ＬＡＮフレームを無線端末装置３００−２に転送する（ステップＳＴ７０１５）。
【０１７３】
（実施の形態５）
実施の形態４においては、無線ＬＡＮ基地局装置ごとに、ＡＰ制御装置と無線ＬＡＮ基地局装置とのどちらにおいて暗号復号処理を行うかを決定していた。これに対して実施の形態５においては、１つの無線ＬＡＮ基地局装置の配下にある通信端末装置ごとに、ＡＰ制御装置と無線ＬＡＮ基地局装置とのどちらにおいて暗号復号処理を行うかを決定する。
【０１７４】
図１６に示すように実施の形態５の無線ＬＡＮ基地局装置１０００は、フレーム処理部１０１０と、主信号処理部１０２０とを有する。この主信号処理部１０２０は、暗復号判定部１０３０と、暗復号処理部１０４０と、暗復号位置テーブル１０５０と、網側フレー無変換処理部１０６０とを有する。
【０１７５】
そして、本実施の形態の通信システムは、ＡＰ制御装置９００と、無線ＬＡＮ基地局装置１０００と、通信端末装置３００とから構成される。
【０１７６】
次いで、上記構成を有する通信システムの動作について図１７を参照して説明する。ここでは説明を簡単にするため、通信システムが、１つのＡＰ制御装置９００と、１つの無線ＬＡＮ基地局装置１０００と、２つの通信端末装置３００（通信端末装置３００−１および通信端末装置３００−２）とから構成される場合について説明する。
【０１７７】
ステップＳＴ８００１において、無線ＬＡＮ基地局装置１０００は、ＡＰ制御装置９００への接続時に、自装置が暗号復号機能を有しているか否かを示す暗号可否情報を送信する。
【０１７８】
ステップＳＴ８００２において、ＡＰ制御装置９００は、無線ＬＡＮ基地局装置１０００からの暗号可否情報を受け取り、この暗号可否情報が暗号復号機能を有していることを示すときには、暗号位置の選択を行う。具体的には、ＡＰ制御装置９００においては、認証処理部９１０は、端末側送受信部１１０を介して上記暗号可否情報を受け取ると、その送信元である無線ＬＡＮ基地局装置１０００に暗号復号処理を任せるか、又は暗号復号処理を自装置で行うかを決定する。そして、この決定結果を暗号位置決定情報とする。
【０１７９】
ステップＳＴ８００３において、ＡＰ制御装置９００の認証処理部９１０は、暗号位置決定情報を暗復号位置テーブルに反映させるとともに、端末側送受信部１１０を介して無線ＬＡＮ基地局装置１０００に送信する。なお、ここでは無線ＬＡＮ基地局装置１０００に対しては、ＡＰ制御装置９００で暗号復号処理を行うか無線ＬＡＮ基地局装置１０００で暗号復号処理を行うか未定とするものと決定されたとする。
【０１８０】
ステップＳＴ８００４において、通信端末装置３００−１について実施の形態１にて説明したような認証処理および鍵配送処理が本実施の形態の通信システムにおいて行われる。なお、この認証処理および鍵配送処理は実施の形態２又は３の方法であってもよい。
【０１８１】
するとステップＳＴ８００５において、通信端末装置３００−１に関し、暗号位置の選択をする。すなわち、通信端末装置３００−１に関し、無線ＬＡＮ基地局装置１０００に暗号復号処理を任せるか、又は暗号復号処理を自装置で行うかを決定する。
【０１８２】
ステップＳＴ８００６において、ＡＰ制御装置９００の認証処理部９１０は、暗号位置決定情報を暗復号位置テーブル９６０に反映させるとともに、端末側送受信部１１０を介して無線ＬＡＮ基地局装置１０００に送信する。なお、ここでは通信端末装置３００−１に関しては、ＡＰ制御装置９００が暗号復号処理を行うものと決定されたとする。
【０１８３】
無線ＬＡＮ基地局装置１０００においては、網側送受信部２１０を介してフレーム処理部１０１０が暗号位置決定情報を受信する。そして、フレーム処理部１０１０は、通信端末装置３００−１に関する暗号位置決定情報を暗復号位置テーブル１０５０に反映させる。
【０１８４】
そして、無線端末装置３００−１にて送信データが発生すると、すでに配信されている暗号鍵を用いて暗号化されたユーザデータが、通信端末装置３００−１が配下にある無線ＬＡＮ基地局装置１０００に送信される（ステップＳＴ８００７）。
【０１８５】
無線ＬＡＮ基地局装置１０００においては、端末側送受信部２６０にて通信端末装置３００−１からのユーザデータとしての無線ＬＡＮフレームを受け取る。そして、暗復号判定部１０３０は、暗復号位置テーブル１０５０を参照し、その無線ＬＡＮフレームの送信元アドレスに対応する通信端末装置３００に関する暗号位置決定情報に応じた処理を行う。
【０１８６】
すなわち、暗復号判定部１０３０は、その無線ＬＡＮフレームの送信元アドレスに対応する通信端末装置３００に関する暗号位置決定情報が自装置にて暗号復号処理を行うことを示している場合には、無線ＬＡＮフレームを暗復号処理部１０４０に出力して復号処理をさせ、復号処理後の無線ＬＡＮフレームを網側フレーム変換処理部１０６０および網側送受信部２１０を介してＡＰ制御装置９００に送信する。なお、無線ＬＡＮフレームには、網側フレーム変換処理部１０６０にてイーサヘッダおよびアダプテーションヘッダが付加され、このアダプテーションヘッダに自装置にて暗号復号処理を行ったことを示す情報を付加する。例えばアダプテーションヘッダの暗復号処理フラグを０とする。
【０１８７】
一方、暗復号判定部１０３０は、その無線ＬＡＮフレームの送信元アドレスに対応する通信端末装置３００に関する暗号位置決定情報がＡＰ制御装置９００にて暗号復号処理を行うことを示している場合には、無線ＬＡＮフレームをそのまま網側フレーム変換処理部１０６０および網側送受信部２１０を介してＡＰ制御装置９００に送信する。なお、無線ＬＡＮフレームには、網側フレーム変換処理部１０６０にてイーサヘッダおよびアダプテーションヘッダが付加され、このアダプテーションヘッダにＡＰ制御装置９００にて暗号復号処理を行うことを示す情報を付加する。例えばアダプテーションヘッダの暗復号処理フラグを１とする。
【０１８８】
ここでは、通信端末装置３００−１に関しては、無線ＬＡＮ基地局装置１０００とＡＰ制御装置９００との間ではＡＰ制御装置９００が暗号復号処理を行うので、無線ＬＡＮ基地局装置１０００は、アダプテーションヘッダの暗復号処理フラグを１としてＡＰ制御装置９００に送信する（ステップＳＴ８００８）。
【０１８９】
ＡＰ制御装置９００においては、端末側送受信部１１０にて無線ＬＡＮ基地局装置１０００からのフレームを受け取る。そして、端末側フレーム変換処理部９３０が、そのフレームに付加されているアダプテーションヘッダに含まれている暗復号処理フラグの情報と、ヘッダを外したユーザデータそのものとを暗復号判定部９４０に出力する。
【０１９０】
暗復号判定部９４０は、受け取った暗復号処理フラグに応じた処理を行う。具体的には、暗復号処理フラグが１である場合、すなわちユーザデータの復号をＡＰ制御装置９００にて行うことを示している場合には、ユーザデータを暗復号処理部９５０に出力してそこで復号処理をさせ、復号処理後のユーザデータを網側フレーム変換処理部９７０に出力する。そして、網側フレーム変換処理部９７０は、ユーザデータを網側のネットワーク形態に合わせフレーム変換処理を行い、網側のネットワークに送信する。なお、暗復号処理フラグが０である場合、すなわちユーザデータの復号を無線ＬＡＮ基地局装置１０００にて行ったことを示している場合には、ＡＰ制御装置９００で復号処理を行う必要はないので、暗復号判定部９４０は、端末側フレーム変換処理部９３０から受け取ったユーザデータをそのまま網側フレーム変換処理部９７０に出力する。
【０１９１】
次に、ＡＰ制御装置９００が網側ネットワークからフレームを受信したとする。そうすると、ＡＰ制御装置９００においては、網側フレーム変換処理部９７０がそのフレームを受信し、無線ＬＡＮフレームに変換して暗復号判定部９４０に出力する。
【０１９２】
暗復号判定部９４０は、無線ＬＡＮフレームのヘッダ（ＩＥＥＥ８０２．１１ヘッダ）の１番目のアドレスを見て、この無線ＬＡＮフレームの宛先である通信端末装置３００を判定する。そして、暗復号判定部９４０は、暗復号位置テーブル９６０を参照し、判定した通信端末装置３００に対応する暗号位置決定情報に応じた処理を行う。
【０１９３】
すなわち、判定した無線端末装置３００に対応する暗号位置決定情報がＡＰ制御装置９００にて暗号復号処理を行うことを示しているときには、暗復号判定部９４０は、無線ＬＡＮフレームを暗復号処理部９５０に出力して暗号処理をさせ、暗号処理後の無線ＬＡＮフレームを端末側フレーム変換処理部９３０および端末側送受信部１１０を介して無線ＬＡＮ基地局装置１０００に送信する。なお、無線ＬＡＮフレームには、端末側フレーム変換処理部９３０にてイーサヘッダおよびアダプテーションヘッダが付加され、このアダプテーションヘッダに自装置にて暗号復号処理を行ったことを示す情報を付加する。例えばアダプテーションヘッダの暗復号処理フラグを０とする。
【０１９４】
一方、判定した無線端末装置３００に対応する暗号位置決定情報が無線ＬＡＮ基地局装置１０００にて暗号復号処理を行うことを示しているときには、暗復号判定部９４０は、無線ＬＡＮフレームをそのまま端末側フレーム変換処理部９３０および端末側送受信部１１０を介して無線ＬＡＮ基地局装置１０００に送信する。なお、無線ＬＡＮフレームには、端末側フレーム変換処理部９３０にてイーサヘッダおよびアダプテーションヘッダが付加され、このアダプテーションヘッダに無線ＬＡＮ基地局装置１０００にて暗号復号処理を行うことを示す情報を付加する。例えばアダプテーションヘッダの暗復号処理フラグを１とする。
【０１９５】
ここで、無線ＬＡＮフレームの宛先が通信端末装置３００−１であるとすると、無線ＬＡＮ基地局装置１０００とＡＰ制御装置９００との間では、ＡＰ制御装置９００が暗号復号処理を行うこととなっているので、ＡＰ制御装置９００は、上述のように暗号処理を行って無線ＬＡＮフレームを無線ＬＡＮ基地局装置１０００に送信する（ステップＳＴ８００９）。なお、このときのアダプテーションヘッダには、ＡＰ制御装置９００にて暗号復号処理が行われた旨の情報が付加されている。すなわち、暗復号処理フラグが０となっている。
【０１９６】
無線ＬＡＮ基地局装置１０００においては、網側送受信部２１０を介して網側フレーム変換処理部１０６０にてＡＰ制御装置９００からのフレームを受け取る。そして、網側フレーム変換処理部１０６０が、そのフレームに付加されているアダプテーションヘッダに含まれている暗復号処理フラグの情報と、ヘッダを外したユーザデータそのものとを暗復号判定部１０３０に出力する。
【０１９７】
暗復号判定部１０３０は、受け取った暗復号処理フラグに応じた処理を行う。具体的には、暗復号処理フラグが１である場合、すなわちフレームの暗号を自装置にて行うことを示している場合には、フレームを暗復号処理部１０４０に出力してそこで暗号処理をさせ、暗号処理後の無線ＬＡＮフレームを端末側送受信部２６０に出力する。端末側送受信部２６０は、暗号処理後の無線ＬＡＮフレームを通信端末装置３００−１に送信する（ステップＳＴ８０１０）。なお、暗復号処理フラグが０である場合、すなわちフレームの暗号をＡＰ制御装置９００にて行ったことを示している場合には、無線ＬＡＮ基地局装置１０００で暗号処理を行う必要はないので、暗復号判定部１０３０は、網側フレーム変換処理部１０６０から受け取ったフレームをそのまま端末側送受信部２６０を介して通信端末装置３００−１に送信する。
【０１９８】
ステップＳＴ８０１１において、通信端末装置３００−２について実施の形態１にて説明したような認証処理および鍵配送処理が本実施の形態の通信システムにおいて行われる。なお、この認証処理および鍵配送処理は実施の形態２又は３の方法であってもよい。
【０１９９】
ステップＳＴ８０１２において、通信端末装置３００−２に関し、暗号位置の選択をする。すなわち、通信端末装置３００−２に関し、無線ＬＡＮ基地局装置１０００に暗号復号処理を任せるか、又は暗号復号処理を自装置で行うかを決定する。
【０２００】
ステップＳＴ８０１３において、ＡＰ制御装置９００の認証処理部９１０は、暗号位置決定情報を暗復号位置テーブル９６０に反映させるとともに、端末側送受信部１１０を介して無線ＬＡＮ基地局装置１０００に送信する。なお、ここでは通信端末装置３００−２に関しては、無線ＬＡＮ基地局装置１０００が暗号復号処理を行うものと決定されたとする。
【０２０１】
無線ＬＡＮ基地局装置１０００においては、網側送受信部２１０を介してフレーム処理部１０１０が暗号位置決定情報を受信する。そして、フレーム処理部１０１０は、通信端末装置３００−２に関する暗号位置決定情報を暗復号位置テーブル１０５０に反映させる。
【０２０２】
そして、無線端末装置３００−２にて送信データが発生すると、すでに配信されている暗号鍵を用いて暗号化されたユーザデータが、通信端末装置３００−２が配下にある無線ＬＡＮ基地局装置１０００に送信される（ステップＳＴ８０１４）。
【０２０３】
無線ＬＡＮ基地局装置１０００においては、端末側送受信部２６０にて通信端末装置３００−２からのユーザデータとしての無線ＬＡＮフレームを受け取る。そして、暗復号判定部１０３０は、暗復号位置テーブル１０５０を参照し、その無線ＬＡＮフレームの送信元アドレスに対応する通信端末装置３００に関する暗号位置決定情報に応じた処理を行う。
【０２０４】
ここでは、通信端末装置３００−２に関しては、無線ＬＡＮ基地局装置１０００とＡＰ制御装置９００との間では無線ＬＡＮ基地局装置１０００が暗号復号処理を行うので、無線ＬＡＮ基地局装置１０００は、復号後の無線ＬＡＮフレームに付加するアダプテーションヘッダの暗復号処理フラグを０としてＡＰ制御装置９００に送信する（ステップＳＴ８０１５）。
【０２０５】
ＡＰ制御装置９００においては、端末側送受信部１１０にて無線ＬＡＮ基地局装置１０００からのフレームを受け取る。そして、端末側フレーム変換処理部９３０が、そのフレームに付加されているアダプテーションヘッダに含まれている暗復号処理フラグの情報と、ヘッダを外したユーザデータそのものとを暗復号判定部９４０に出力する。
【０２０６】
暗復号判定部９４０は、受け取った暗復号処理フラグに応じた処理を行う。ここでは、暗復号処理フラグが０であるので、端末側フレーム変換処理部９３０から受け取ったユーザデータをそのまま網側フレーム変換処理部９７０に出力する。
【０２０７】
次に、ＡＰ制御装置９００が網側ネットワークからフレームを受信したとする。そうすると、ＡＰ制御装置９００においては、網側フレーム変換処理部９７０がそのフレームを受信し、無線ＬＡＮフレームに変換して暗復号判定部９４０に出力する。
【０２０８】
暗復号判定部９４０は、無線ＬＡＮフレームのヘッダ（ＩＥＥＥ８０２．１１ヘッダ）の１番目のアドレスを見て、この無線ＬＡＮフレームの宛先である通信端末装置３００を判定する。そして、暗復号判定部９４０は、暗復号位置テーブル９６０を参照し、判定した通信端末装置３００に対応する暗号位置決定情報に応じた処理を行う。ここでは、判定した無線端末装置３００（無線端末装置３００−２）に対応する暗号位置決定情報が無線ＬＡＮ基地局装置１０００にて暗号復号処理を行うことを示しているので、暗復号判定部９４０は、無線ＬＡＮフレームを端末側フレーム変換処理部９３０および端末側送受信部１１０を介して無線ＬＡＮ基地局装置１０００に送信する（ステップＳＴ８０１６）。なお、端末側フレーム変換処理部９３０にてアダプティブヘッダの暗復号処理フラグが１とされる。
【０２０９】
無線ＬＡＮ基地局装置１０００においては、網側送受信部２１０を介して網側フレーム変換処理部１０６０にてＡＰ制御装置９００からのフレームを受け取る。そして、網側フレーム変換処理部１０６０が、そのフレームに付加されているアダプテーションヘッダに含まれている暗復号処理フラグの情報と、ヘッダを外したユーザデータそのものとを暗復号判定部１０３０に出力する。
【０２１０】
暗復号判定部１０３０は、受け取った暗復号処理フラグに応じた処理を行う。ここでは、暗復号処理フラグが１であるので、暗復号判定部１０３０は、フレームを暗復号処理部１０４０に出力してそこで暗号処理をさせ、暗号処理後の無線ＬＡＮフレームを端末側送受信部２６０に出力する。端末側送受信部２６０は、暗号処理後の無線ＬＡＮフレームを通信端末装置３００−２に送信する（ステップＳＴ８０１７）。
【０２１１】
以上のように、本実施の形態の通信システムにおいては、通信端末装置３００ごとに無線ＬＡＮ基地局装置１０００とＡＰ制御装置９００との間で暗復号の位置の割り当てを変えることができる。なお、暗号位置決定情報は、認証の後だけではなく、いつでも、また、無線ＬＡＮ基地局装置１０００、ＡＰ制御装置９００のどちらからでも送出することが可能であり、暗復号化の位置を変えることができる。例えば、ＡＰ制御装置９００の負荷が重くなったので、ある負荷を表す値を監視して、その値が閾値超えた場合、暗復号の処理の一部を無線ＬＡＮ基地局装置１０００に変更するということも可能である。
【０２１２】
（他の実施の形態）
実施の形態１乃至実施の形態３においては、無線ＬＡＮ基地局装置２００、無線ＬＡＮ基地局装置６００、および無線ＬＡＮ基地局装置８００が暗号復号機能を有していた。しかしながら、ＡＰ制御装置１００、ＡＰ制御装置５００、およびＡＰ制御装置７００が通信端末装置３００との通信における暗号復号機能を有していてもよい。
【０２１３】
この場合には、ＡＰ制御装置１００、ＡＰ制御装置５００およびＡＰ制御装置７００のみが暗号復号機能および認証機能を有しているため、無線ＬＡＮ基地局装置２００、無線ＬＡＮ基地局装置６００および無線ＬＡＮ基地局装置８００はＰＴＫおよびＧＴＫを保持する必要がなく、すべてのフレームを透過させることとなる。
【０２１４】
本明細書は、２００５年３月４日出願の特願２００５−０６０５１７および２００５年３月２８日出願の特願２００５−０９２１９９に基づく。これらの内容はすべてここに含めておく。
【産業上の利用可能性】
【０２１５】
本発明の鍵配信制御装置および無線基地局装置は、無線通信システムにおけるセキュリティを向上する効果を有し、特に無線ＬＡＮシステムにおけるアクセスポイントおよびアクセスポイント制御装置に有用である。
【図面の簡単な説明】
【０２１６】
【図１】本発明の実施の形態１に係る通信システムの全体構成図
【図２】図１のＡＰ制御装置の構成を示すブロック図
【図３】図１の無線ＬＡＮ基地局装置の構成を示すブロック図
【図４】図１の通信システムの動きの説明に供する図
【図５】図１の通信システムの動きの説明に供する他の図
【図６】実施の形態２に係るＡＰ制御装置の構成を示すブロック図
【図７】実施の形態２に係る無線ＬＡＮ基地局装置の構成を示すブロック図
【図８】図６のＡＰ制御装置および図７の無線ＬＡＮ基地局装置を有する通信システムの動きの説明に供する図
【図９】図６のＡＰ制御装置および図７の無線ＬＡＮ基地局装置を有する通信システムの動きの説明に供する他の図
【図１０】実施の形態３に係るＡＰ制御装置の構成を示すブロック図
【図１１】実施の形態３に係る無線ＬＡＮ基地局装置の構成を示すブロック図
【図１２】図１０のＡＰ制御装置および図１１の無線ＬＡＮ基地局装置を有する通信システムの動きの説明に供する図
【図１３】図１０のＡＰ制御装置および図１１の無線ＬＡＮ基地局装置を有する通信システムの動きの説明に供する他の図
【図１４】実施の形態４に係るＡＰ制御装置の構成を示すブロック図
【図１５】実施の形態４の通信システムの動作の説明に供する図
【図１６】実施の形態５に係る無線ＬＡＮ基地局装置の構成を示すブロック図
【図１７】実施の形態５の通信システムの動作の説明に供する図
【図１】
0004804454.tif 000002
【図２】
0004804454.tif 000003
【図３】
0004804454.tif 000004
【図４】
0004804454.tif 000005
【図５】
0004804454.tif 000006
【図６】
0004804454.tif 000007
【図７】
0004804454.tif 000008
【図８】
0004804454.tif 000009
【図９】
0004804454.tif 000010
【図１０】
0004804454.tif 000011
【図１１】
0004804454.tif 000012
【図１２】
0004804454.tif 000013
【図１３】
0004804454.tif 000014
【図１４】
0004804454.tif 000015
【図１５】
0004804454.tif 000016
【図１６】
0004804454.tif 000017
【図１７】
0004804454.tif 000018