(57)【要約】【課題】無線ＬＡＮネットワークへの接続環境が提供される場所で自由に社内ＬＡＮに接続をし、かつ、十分なセキュリティを保持することができるカード利用通信システムを提供する。【解決手段】次の各処理を実行する。ＬＡＮカードを装着した端末装置から任意のインターネットアクセスポイント（以下、ＩＡＰ）に対して、ユーザ情報が送信されたとき、自動的に付与されるＩＰアドレスを受け入れてインターネット接続を確立させる処理。ＩＡＰを通じて特定サーバに対し管理するＬＡＮへの接続要求をする処理。サーバの要求で、予め暗号化されたユーザ情報であってＩＡＰに送出したものとは異なるものを、サーバに送信する処理。サーバの認証処理後、ネットワーク接続を確立させる処理。【選択図】        図１
2005020668.tif 000002
【特許請求の範囲】
【請求項１】
ＬＡＮカードを装着した端末装置から、任意のインターネットアクセスポイントに対して、ユーザ識別情報と暗証情報とが送信されたとき、自動的に付与されるＩＰアドレスを受け入れて、前記インターネットアクセスポイントを通じたインターネット接続を確立させる処理と、
前記インターネットアクセスポイントを通じて、特定のサーバに対して、当該サーバの管理するＬＡＮへの接続要求をする処理と、
前記サーバからの要求に従って、予め、前記ＬＡＮカード内の読み出し専用記録領域に記録された暗号化されたユーザ識別情報と暗証情報であって、前記インターネットアクセスポイントに送出したものとは異なるものを、前記サーバに送信する処理と、
前記サーバの認証処理後に、前記ＬＡＮを通じたネットワーク接続を確立させる処理とを実行することを特徴とするネットワーク通信プログラム。
【請求項２】
請求項１に記載のネットワーク通信プログラムにおいて、
前記ＬＡＮカードには、そのＬＡＮカードを特定するＭＡＣアドレスが記録されており、前記特定のサーバでは、前記暗号化されたユーザ識別情報と暗証情報に加えて、前記ＭＡＣアドレスが登録されていることを認証処理の条件とすることを特徴とするネットワーク通信プログラム。
【請求項３】
インターネットアクセスポイントを通じて特定のサーバにより読み取られて認証処理に使用されるものであって、暗号化されたユーザ識別情報と暗証情報を、固有の手順で記録した、読み出し専用記録領域を備えることを特徴とするＬＡＮカード。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、インターネットを通じて社内ＬＡＮと接続をし、社外においても、社内にいるのと同様の環境でＬＡＮが利用できる、ネットワーク通信プログラムとネットワーク通信カードに関する。
【０００２】
【従来の技術】
イントラネットと呼ばれる企業内ネットワークでは、各端末装置にそれぞれ所定のＩＰアドレス（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  Ａｄｄｒｅｓｓ）を設定しユーザ識別情報やパスワードを使用して、一定のセキュリティを保持した通信が行われるようになっている。無線ＬＡＮを採用する場合にも、各端末装置にＬＡＮカードを装着し、同様のネットワークを構築する（特許文献１）。
【０００３】
【特許文献１】
特開２００１−３３３１０７号公報
【０００４】
【発明が解決しようとする課題】
ところで、上記のような従来の技術には、次のような解決すべき課題があった。
近年、ホテルや駅あるいは、レストランなどにおいて、ホットスポットと呼ばれる、無線ＬＡＮを利用したブロードバンド通信の可能なサービスが次々と開始されている。このホットスポットでは、貸与された無線ＬＡＮカードをユーザの携帯するコンピュータに装着することによって、ブロードバンド無線通信が可能になる。無線ＬＡＮカードを内蔵しているコンピュータはそのまま利用できる。ＬＡＮカードは、指定されたアクセスポイントを通じて認証サーバに接続要求をする。認証サーバでは、ＬＡＮカードを認識し、一定の認証手順を経て、ＩＰアドレスを付与する。これによって、ユーザの所持する携帯用のパーソナルコンピュータがネットワークに接続される。
【０００５】
企業に所属するものが、出張先等の企業外において、企業内のネットワークと接続しようとすれば、例えば、ＰＨＳ（Ｐｅｒｓｏｎａｌ  Ｈａｎｄｙ−ｐｈｏｎｅ  Ｓｙｓｔｅｍ）を用いた携帯電話ネットワークを利用する。しかしながら、通信速度は、６４キロバイトであり、ブロードバンドに比べて遅い上に、通信料が高価である、という問題がある。上記のようなホットスポットにおいて、ブロードバンドを利用した通信が行えるようにすることが好ましい。
【０００６】
本発明は以上の点に着目してなされたもので、無線ＬＡＮネットワークへの接続環境が提供される場所で自由に社内ＬＡＮに接続をし、かつ、十分なセキュリティを保持することができるカード利用通信システムを提供することを目的とする。
【０００７】
【課題を解決するための手段】
本発明は次の構成により上記の課題を解決する。
〈構成１〉
ＬＡＮカードを装着した端末装置から、任意のインターネットアクセスポイントに対して、ユーザ識別情報と暗証情報とが送信されたとき、自動的に付与されるＩＰアドレスを受け入れて、上記インターネットアクセスポイントを通じたインターネット接続を確立させる処理と、上記インターネットアクセスポイントを通じて、特定のサーバに対して、当該サーバの管理するＬＡＮへの接続要求をする処理と、上記サーバからの要求に従って、予め、上記ＬＡＮカード内の読み出し専用記録領域に記録された暗号化されたユーザ識別情報と暗証情報であって、上記インターネットアクセスポイントに送出したものとは異なるものを、上記サーバに送信する処理と、上記サーバの認証処理後に、上記ＬＡＮを通じたネットワーク接続を確立させる処理とを実行することを特徴とするネットワーク通信プログラム。
【０００８】
このユーザは、特定のサーバの管理するＬＡＮに接続をしてネットワーク通信をする。そのために、ＬＡＮカードを使用する。ＬＡＮカード内には、予め、読み出し専用記録領域に、暗号化されたユーザ識別情報と暗証情報が記録されている。読み出し専用記録領域は、特定の情報書き込み装置のみにより情報の読み書きが可能な領域であって、常時は自由に情報の読み書きをすることができない領域である。ハードウエア構成は任意である。ここに、ＬＡＮカードとその持ち主を特定し認証処理することができるユーザ識別情報と暗証情報とが、暗号化して書き込まれる。従って、ＬＡＮ接続のためのユーザ識別情報と暗証情報の秘密が保護される。インターネットを通じてサーバと接続をするときは、予め任意のインターネットアクセスポイントとインターネットへの接続を確立しておく。このときは、一般のサービスプロバイダと契約をして取得したユーザ識別情報と暗証情報を使用する。その後、特定のサーバにログインをする。このとき、サーバからログイン用のユーザ識別情報と暗証情報が要求される。そのユーザ識別情報と暗証情報は、ＬＡＮカード内に暗号化されて書き込まれているから、サーバ以外は読み取ることができない。サーバの認証処理後は、ＬＡＮに接続された端末装置として任意の通信処理が許容される。
【０００９】
〈構成２〉
構成１に記載のネットワーク通信プログラムにおいて、上記ＬＡＮカードには、そのＬＡＮカードを特定するＭＡＣアドレスが記録されており、上記特定のサーバでは、上記暗号化されたユーザ識別情報と暗証情報に加えて、上記ＭＡＣアドレスが登録されていることを認証処理の条件とすることを特徴とするネットワーク通信プログラム。
【００１０】
ユーザ識別情報と暗証情報とＭＡＣアドレスとが一致したときのみ認証されるようにすると、そのＬＡＮカードを使用した端末装置だけが通信可能になる。故に、セキュリティがより高まる。
【００１１】
〈構成３〉
インターネットアクセスポイントを通じて特定のサーバにより読み取られて認証処理に使用されるものであって、暗号化されたユーザ識別情報と暗証情報を、固有の手順で記録した、読み出し専用記録領域を備えることを特徴とするＬＡＮカード。
【００１２】
暗号化されたユーザ識別情報と暗証情報は、例えば、記憶装置上のアドレスであって、上記特定のサーバのみが知るアドレスに記録される。固有の手順とは最も基本的な方法では読み出すことができない手順であればよく、読み出し開始アドレスをシフトさせておくだけでもよい。
【００１３】
【発明の実施の形態】
以下、本発明の実施の形態を具体例を用いて説明する。
図１は、本発明のネットワーク通信カードを使用した通信開始手順を示すシーケンスチャートである。
ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）サーバ１１は、社内ＬＡＮへの接続を管理するサーバである。アクセスポイントサーバ１２は、ホットスポットなどに設けられているサーバである。端末装置１３を利用してこのホットスポットを経由して社内ＬＡＮに接続をし、通信を行おうとする。この図１のシーケンスを説明する前に、図２を用いて端末装置に装着されるＬＡＮカードの構成やシステム全体の構成を説明する。
【００１４】
図２（ａ）は、端末装置１３に接続されるＬＡＮカード２０のブロック構造図である。また、図２（ｂ）は、ネットワーク上で使用されるアドレスの説明図である。
ＬＡＮカード２０には、暗号化されたユーザ識別情報と暗証情報を含むユーザ情報２１が記録されている。これは、後で説明するようにＬＡＮカード２０に設けられたメモリの所定のアドレスに記録される。ユーザ識別情報というのは、いわゆるユーザＩＤのことである。このユーザＩＤは、専ら社内ＬＡＮに使用される。暗証情報も専ら社内ＬＡＮに使用されるパスワードである。
【００１５】
ＬＡＮカード２０には、この他にＭＡＣアドレス（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  ａｄｄｒｅｓｓ）２２が記憶されている。これは、ＬＡＮカードに製造時に付与されるユニークなアドレスである。このアドレスを用いると、全てのＬＡＮカードを区別することが可能になる。即ち、同一のＭＡＣアドレスを持つＬＡＮカードを所有している利用者が一人しかいない。従って、ＬＡＮカード２０を所持する利用者が正当な利用者である以上、本人を識別するために利用できる。ネットワーク接続部２３は、アンテナ２４を通じて無線ＬＡＮと接続する環境を設定する動作を行う部分である。ＬＡＮカード２０は、モバイルコンピュータなどからなる端末装置１３に装着される。
【００１６】
端末装置１３では、通信制御プログラム１５を動作させて、無線ＬＡＮとの接続を開始し、さらに、インターネットを通じて社内ＬＡＮとの接続を制御する。なお、図２（ｂ）に示すように、端末装置１３は、インターネット上では、インターネットで使用されるユニークなアドレス（ＩＰアドレス）であるグローバルアドレスを使用して通信を行う。一方、社内ＬＡＮにおいては、インターネット上では通用しないが、社内ＬＡＮ中で通用する所定のプライベートアドレスが通信に利用される。このアドレスもＩＰアドレスの一種である。ＶＰＮサーバ１１においては、アドレス変換テーブル３０を用意し、プライベートアドレスと端末装置１３のグローバルアドレスとの対応関係を情報として保持し、端末装置１３をあたかもＬＡＮに直接接続された端末装置であるように動作させる。
【００１７】
図３は、ネットワークの具体的な構成例を示す説明図である。
図３に示すように、インターネットなどのネットワークには、上記のＶＰＮサーバ１１が接続されている。ＶＰＮサーバ１１は、社内に設けられたＬＡＮ６を通じて、様々な端末装置３、４、５と外部との通信を制御する。インターネット１には、ホットスポットなどに設けられたアクセスポイントにあるサーバ１２が接続されている。このサーバ１２は、無線送受信装置１７を利用して、多数の端末装置と接続される。端末装置１３には、ＬＡＮカード２０が装着されている。無線送受信装置１７のアンテナ１８とＬＡＮカード２０のアンテナ２４を利用して、無線通信が行われ、端末装置１３が無線によりアクセスポイントサーバ１２と通信をし、接続される。
【００１８】
以上のシステムでは、予め社内のＬＡＮ６（ローカルエリアネットワーク）で、例えば、無線ＬＡＮが可能なネットワークカードを利用することができる環境を整えておく。そのネットワークカード２０を従業員が自分の携帯型端末装置１３に装着して外出したとする。外出先のホットスポットで、先ず、仮に与えられたユーザＩＤ（Ｕ−ＩＤ）とパスワード（暗証情報；ＰＡＳＳ）を用いて、アクセスポイントに接続し、サーバ１２をアクセスして、インターネット１への接続許可を得る。無償で利用できるホットスポットの場合にはユーザＩＤとパスワードがその場で与えられる。予め利用契約をしているホットスポットの場合にはユーザＩＤとパスワードを利用者側で準備しておく。
【００１９】
図１において、先ず始めに端末装置１３をホットスポットにおいて起動し、ステップＳ１でアクセスポイントサーバ１２に対し接続要求を行う。アクセスポイントサーバ１２は、端末装置１３に対し、ＩＤリクエストを行う（ステップＳ２）。端末装置１３は、用意されたユーザＩＤとパスワードをアクセスポイントサーバ１２に送信する。このユーザＩＤとパスワードは、アクセスポイントを経由したインターネットの接続のみに利用されればよい。その後、ステップＳ４で、端末装置１３によるインターネットへの接続が確立する。
【００２０】
こうしてインターネット１への接続を確立した後、企業のＶＰＮサーバ１１に対し、接続要求を行う。ＶＰＮは、バーチャルプライベートネットワークと呼ばれ、インターネットや公衆回線などを利用して、仮想的な専用回線を構築する。通信は、暗号化処理により行う。ネットワークカード２０から接続要求がインターネット１を通じてＶＰＮサーバ１１に達すると、ステップＳ６で、ＶＰＮサーバ１１からユーザＩＤを要求するＩＤリクエストが送信される。ステップＳ７で、ネットワークカードからは、暗号化されたユーザＩＤ（Ｕ−ＩＤ）とパスワード（ＰＡＳＳ）とがＶＰＮサーバに送信される。ＶＰＮサーバ１１では、この内容を受信して、予め登録された管理データを利用して認証処理を行い（ステップＳ８）、端末装置１３に認証通知を行う（ステップＳ９）。
【００２１】
認証処理が完了すると、サーバの管理するＬＡＮと従業員の端末装置１３との接続が確立される。ここで、改めて、ＶＰＮサーバでは、従業員の端末装置１３に対し、プライベートアドレスの設定を行う（ステップＳ１０）。端末装置１３をインターネットに接続した時点ではグローバルアドレスが設定されている。即ち、既にインターネット上で有効なユニークなＩＰアドレスが設定されている。一方、社内のＬＡＮ上に接続されたのと同様の動作環境を得るために、社内ＬＡＮ固有のＩＰアドレスであるプライベートアドレスが設定される。このプライベートアドレスはインターネット上ではその機能を保証されていないから、アドレス変換テーブル３０等をＶＰＮサーバ１１側で用意すればよい。
【００２２】
この接続は、ホットスポットにおけるブロードバンドネットワーク接続システムを利用するため、高速で快適な通信環境が設定できる。従って、図１のステップＳ１１で従業員の端末装置を社内のＬＡＮに対して、社内にいるのと同様の動作環境で接続することが可能になる。
【００２３】
図４は、よりセキュリティを高めたシステムの具体例を示す説明図である。図４（ａ）は、ＶＰＮサーバ側に設けられた認証テーブル３０を示す。ここには、予め従業員のユーザＩＤ３１と暗証コード３２とＭＡＣアドレス３３とを関連付けたデータを記憶しておく。外部から接続すると予想される全ての従業員についてこうしたデータを記録しておく。なお、ＭＡＣアドレス３３は、ＬＡＮカードを特定するアドレスである。これは、例えば、ＬＡＮカードを共用する従業員がいれば、同一のものが重複していても構わない。
【００２４】
この例では、ユーザＩＤ３１と暗証コード３２とＭＡＣアドレス３３の組み合わせによってどの従業員がアクセスを要求しているかを特定し、認証処理を実行する。図４（ｂ）に示したフローチャートは、そのＶＰＮサーバに送る認証処理を説明するためのものである。先ず、ステップＳ２１において、利用者の端末装置から利用要求を受信するとステップＳ２２において、ＬＡＮカードの中に書き込まれた暗号化されたユーザＩＤと暗証コードの読み取り手順を取得する。これは、ＶＰＮサーバの所定の記憶装置に記憶しておけばよい。
【００２５】
この手順は、例えば、読み出し開始アドレスを指定したり、あるいは、メモリ中に何らかの特別な読み出し手順が記憶されているようなものでもよい。もちろん暗号化によって単にそのまま読み出されたとしても直ちにユーザＩＤと暗証コードを第三者に知られることはない。しかしながら、より高いセキュリティを図るために、このような方法をとる。ステップＳ２３では、暗号化ユーザＩＤとパスワードを取得する。
【００２６】
なお、形式的には、ＶＰＮサーバがＬＡＮカードの所定の領域のデータを読むという動作になるが、実際には、ＶＰＮサーバから所定のアドレスに記録されたデータの要求を行い、ＬＡＮカードを制御する。端末装置の通信プログラムが、該当する部分のデータを読み出して、ＶＰＮサーバに送るという手順が実行される。ＶＰＮサーバは、そのユーザＩＤと暗証コードを受信すると、ステップＳ２４において、予め用意されたプログラムを用いて暗号を解読する。
【００２７】
次にステップＳ２５において、ＬＡＮカードのＭＡＣアドレスを取得する。これもユーザＩＤや暗証コードを取得したのと同様の手順で行えばよい。ステップＳ２６では、図４（ａ）に示した認証テーブル３０を参照して、本人確認を行う。ここで、認証が確立すると、ステップＳ２７からステップＳ２８に進み、通信を開始するためにプライベートアドレスを設定する。認証されない場合には、エラーメッセージの送信といったエラー処理が行われる。プライベートアドレス設定後は、ステップＳ２９において認証通知が行われる。こうして、図１のステップＳ１１に示したような状態になり、端末装置からＬＡＮを自由に利用できることになる。
【００２８】
また、認証処理に、例えば、ＬＡＮカードのＭＡＣアドレスを利用する。ＭＡＣアドレスは、ＬＡＮカード固有のアドレスであって、ユーザＩＤや暗証情報と組み合わせることによってユーザ認証をいっそう確実にできる。また、ネットワークカードのＲＯＭに、暗号化されたユーザＩＤと暗号化された暗証情報とを書き込んでおき、これをＶＰＮサーバで読み出すようにすれば、非常にセキュリティの高いログイン処理が可能になる。特に、決められただけ書き込みアドレスをシフトさせたり、複雑な書き込み手順を予め決めておけば、ＬＡＮカードから、悪意の第三者が暗号化されたユーザＩＤと暗号化された暗証情報を容易に読み出すことができない。このようなカードへの暗号化パスワード書き込み処理などは、特定の定められた端末装置でのみ行えるようにするとよい。
【００２９】
以上のようなＬＡＮカードを利用することにより、例えば、ホテルやレストラン、空港、鉄道の駅、など様々な場所に設けられたホットスポットを利用し、自社のＬＡＮに接続をして、任意の業務が可能になる。また、他の会社の企業内ネットワークを利用して、いわゆる企業内ホットスポットを通じた通信も可能になる。
【００３０】
なお、上記のコンピュータプログラムは、それぞれ独立したプログラムモジュールを組み合わせて構成してもよいし、全体を一体化したプログラムにより構成してもよい。コンピュータプログラムにより制御される処理の全部または一部を同等の機能を備えるハードウエアで構成しても構わない。また、上記のコンピュータプログラムは、既存のアプリケーションプログラムに組み込んで使用してもよい。上記のような本発明を実現するためのコンピュータプログラムは、例えばＣＤ−ＲＯＭのようなコンピュータで読み取り可能な記録媒体に記録して、任意の情報処理装置にインストールして利用することができる。また、ネットワークを通じて任意のコンピュータのメモリ中にダウンロードして利用することもできる。
【図面の簡単な説明】
【図１】本発明に係るネットワーク通信カードを使用した通信開始手順を示すシーケンスチャートである。
【図２】ＬＡＮカード及びシステム全体の各構成を示す図で、（ａ）は端末装置に接続されるＬＡＮカードのブロック図、（ｂ）はネットワーク上で使用されるアドレスの説明図である。
【図３】ネットワークの具体的な構成例を示す説明図である。
【図４】セキュリティを高めたシステムの具体例を示す図で、（ａ）はＶＰＮサーバ側に設けられた認証テーブルを示す説明図、（ｂ）はそのＶＰＮサーバに送る認証処理を説明するためのフローチャートである。
【符号の説明】
１１  ＶＰＮサーバ
１２  アクセスポイントサーバ
１３  端末装置
１５  通信制御プログラム
１７  無線送受信装置
１８、２４  アンテナ
２０  ＬＡＮカード
２１  ユーザ情報
２２  ＭＡＣアドレス
２３  ネットワーク接続部
３０  アドレス変換テーブル
３１  ユーザＩＤ
３２  暗証コード
３３  ＭＡＣアドレス
【図１】
2005020668.tif 000003
【図２】
2005020668.tif 000004
【図３】
2005020668.tif 000005
【図４】
2005020668.tif 000006