(57)【要約】【課題】  無線LAN環境への接続を行う際に利用者が行うべき設定操作を最小限とし、かつセキュリティを確保した無線LAN環境への接続技術を提供することを目的とする。【解決手段】  無線LAN環境への接続に必要な情報を事前に無線LANアクセスポイントに設定しておき、ユーザが接続先のESS-IDと自身の認証情報を入力すると、無線LANクライアントソフトは自動的に接続先より接続に必要な情報を取得し、無線LANカードへ取得した情報を自動的に設定する。さらに、無線LANにおける認証規格であるIEEE802.1xを用いたユーザ認証を自動的に行い、無線LAN環境への接続を確立する。なお、設定に必要な情報はユーザから入力された認証情報を基に暗号化された状態で取得され、切断時に無線LANクライアント上から削除される。【選択図】  図１
2005286783.tif 000002
【特許請求の範囲】
【請求項１】
無線LANクライアントから無線LANアクセスポイントに接続する無線LAN接続方法であって、
前記無線LANクライアントから前記無線LANアクセスポイントに対して無線LAN接続の設定情報を要求するステップと、
前記無線LANアクセスポイントから前記無線LANクライアントに無線LAN接続の設定情報を送信するステップと、
前記無線LANクライアントにおいて前記送信された設定情報を設定するステップと、
該設定情報が指定する認証方式で、前記無線LANクライアントと前記無線LANアクセスポイントとの間でのユーザ認証を行うステップと
を備えたことを特徴とする無線LAN接続方法。
【請求項２】
請求項１に記載の無線LAN接続方法において、
前記無線LANアクセスポイントから前記無線LANクライアントへの設定情報の送信は、暗号化通信で行うことを特徴とする無線LAN接続方法。
【請求項３】
請求項２に記載の無線LAN接続方法において、
予め無線LANクライアントのユーザに配付するハードウェアトークンにクライアント証明書を格納しておき、前記暗号化通信は、該クライアント証明書に含まれる鍵情報を用いて行うことを特徴とする無線LAN接続方法。
【請求項４】
請求項１から３の何れか１つに記載の無線LAN接続方法において、
前記無線LANクライアントと前記無線LANアクセスポイントとの間での通信が終了したときには、前記無線LANクライアントにおける前記設定情報の設定を解除し、前記設定情報を消去するステップをさらに備えたことを特徴とする無線LAN接続方法。
【請求項５】
無線LANクライアントから無線LANアクセスポイントに接続する際に使用する無線LANクライアントソフトウェアであって、該ソフトウェアを前記無線LANクライアントで実行することにより、
前記無線LANクライアントから前記無線LANアクセスポイントに対して無線LAN接続の設定情報を要求するステップと、
該設定情報の要求に応じて前記無線LANアクセスポイントから送信される無線LAN接続の設定情報を受信するステップと、
受信した設定情報を設定するステップと、
該設定情報が指定する認証方式で、前記無線LANクライアントと前記無線LANアクセスポイントとの間でのユーザ認証を行うステップと
を行うことを特徴とする無線LANクライアントソフトウェア。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザ認証を行う無線LANの接続において、ユーザが行う無線LANアクセスポイントへ接続するための設定を自動化する技術に関する。
【背景技術】
【０００２】
無線LANアクセスポイントへ接続するためには、管理者や無線LAN接続サービス提供者から指定された情報を基に、クライアントとして利用する端末に対して、ESS-ID・WEP暗号鍵・認証方式などの種々の設定を利用者が個別に行う必要がある。また、無線LANアクセスポイントにおいてWEP暗号鍵や認証方式などが変更されると、利用者は、変更された情報を再度設定し直す必要がある。このとき、その設定方法は、利用者が使用する無線LANクライアントソフトにより異なるため、利用者は自身が利用する無線LANクライアントソフトの操作・設定方法を熟知している必要がある。これらの利用者側での操作は、無線LANについての知識が乏しい者およびOSや端末の操作に熟知していない者にとって困難であり、誤設定による接続障害や重大なセキュリティの危機を招く原因になりかねない。
【０００３】
図７は、従来の手法による無線LAN接続形態の一例を示す。有線LAN環境（Wired Network）7は、認証サーバ72、DHCPサーバ73、ゲートウェイ74、および無線LANアクセスポイント71を備えている。複数台の無線LANクライアント7-1〜7-nが、無線LANアクセスポイント71を利用する。無線LANクライアント7-1には、無線LANカード7-11と無線LANアクセスポイントへの接続設定を行うための無線LANクライアントソフト7-12がインストールされている。なお、他の無線LANクライアント7-2〜7-nも同様の構成である。無線LANアクセスポイント71、無線LANクライアント7-1〜7-n、および認証サーバ72は、無線LANにおけるユーザ認証規格である例えばIEEE802.1xに対応している。
【０００４】
次に、無線LANへ接続する場合の手順に関して説明する。無線LANクライアント7-1〜7-nが無線LANアクセスポイント71へ接続すると、無線LANアクセスポイント71は、利用者に対して、設定された認証方式に基づく認証情報の提示を求め、利用者から送られてきた認証情報を認証サーバ72へ転送する。認証サーバ72は、提示された認証情報が正しいか否かを確認し、無線LANアクセスポイント71へ結果を送信する。無線LANアクセスポイント71は、認証サーバ72から送られてきた結果から、利用者の接続の可否を決定する。無線LANアクセスポイント71から接続を許可された無線LANクライアント7-1〜7-nは、DHCPサーバ73に対してIPアドレスの割り当てを要求し、IPアドレスが割り当てられるとネットワーク上の資源やインターネットが利用可能となる。
【０００５】
図８は、従来の手法による無線LAN環境に接続する際のユーザ側の接続手順である。なお、図中の網掛けの項目は、ユーザが操作する項目である。利用者は、自身の使用する端末に無線LANのカードをインストールし（ステップ82）、無線LANクライアントソフトのインストールを行う（ステップ83）。インストール時には、管理者や無線LAN接続サービス提供者から提示されたESS-ID・無線チャンネル・EAP認証方式・自身の認証情報などを各自の無線LANクライアントソフトに設定する（ステップ84〜88）。この際、使用する無線LANクライアントソフトにより、設定箇所、設定方法、および設定項目の名称などが異なる。設定後、無線LANアクセスポイントへ接続を試みるとユーザ認証が開始される。正しい認証情報を提示すると（ステップ89）、DHCPサーバよりIPアドレス・サブネットマスク・DNSサーバアドレスなどの情報が無線LANクライアントに割り当てられ、ネットワーク内の資源およびインターネットの閲覧などのサービスが利用可能となる。
【０００６】
無線LAN環境を2回目以降利用する場合（ステップ81）、無線LAN環境側の設定が変更されていなければ（ステップ90）、自身の認証情報を提示（ステップ89）するだけでネットワーク内の資源およびインターネットの閲覧などのサービスが利用できるが、無線LAN環境側の設定が変更されていた場合（ステップ90）、管理者や無線LAN接続サービス提供者から提示された情報を利用者が再度設定（ステップ84〜88）する必要がある。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、全ての無線LAN環境の利用者が、自身の使用する無線LANクライアントソフトおよびOSに対して十分な知識と操作方法を熟知しているわけではない。このため、誤設定により無線LAN環境に接続することができず、ネットワーク資源やサービスを利用することができない利用者が発生するという問題がある。
【０００８】
また、無線LANアクセスポイント側の構成を変更した場合、全ての無線LANクライアントに対して設定を変更する必要が生じ、管理者や利用者にとって大きな負担となる。
【０００９】
本発明の目的は、利用者が行わなければならない設定作業を最小限とすることで、容易に無線LAN環境への接続を提供し、かつセキュリティを確保することにある。
【課題を解決するための手段】
【００１０】
上記目的を達成するために、本発明は、管理者や無線LAN接続サービスの提供者が事前に利用者に対して割り当てる設定情報を定義しておき、利用者が無線LANアクセスポイントへ接続した際にこれらの情報を自動的にクライアントで取得し設定することを特徴とするものである。この際、無線LANアクセスポイントと無線LANクライアントの間の通信は暗号化され、外部から設定情報が盗聴されないようにする。
【００１１】
さらに、無線LANクライアントに取得された設定情報は、利用者からは一切参照することができず、無線LAN環境からの切断時に取得した設定情報を消去し、再接続時には再度無線LANアクセスポイントより設定情報を取得することで、取得した設定情報ファイル解析による不正アクセスの軽減という特徴を持つ。
【発明の効果】
【００１２】
本発明によれば、利用者はESS-IDによる接続先無線LANアクセスポイントの指定と自身の認証情報の入力操作という、最小限の操作を行うだけで、無線LAN環境へ接続することができ、無線LANクライアントソフトの操作・設定方法を熟知していなくても、容易に無線LAN環境を利用することができる。また、管理者や無線LAN接続サービス提供者は、無線LAN環境内の構成やネットワーク構成の変更に伴う無線LANアクセスポイントの設定変更を行った場合でも、ユーザに通知し、再度設定変更の要請や設定情報の提示を行う必要がなくなり、適宜管理者や無線LAN接続サービス提供者の都合により、無線LANアクセスポイントの設定を変更することができる。さらに、無線LANアクセスポイントに接続するための設定情報を暗号化して取得することにより、設定情報の盗聴を防ぐことができ、セキュリティを高めることが可能となる。
【発明を実施するための最良の形態】
【００１３】
以下、本発明を実施する場合の一形態を、図面を参照して具体的に説明する。
【００１４】
図１は、本発明の実施の一形態である無線LAN接続環境の概略構成図である。有線LAN環境1は、認証サーバ12、証明書サーバ13、DHCPサーバ14、無線LANアクセスポイント11、およびゲートウェイ15を備えている。複数台の無線LANクライアント1-1〜1-nが、無線LANアクセスポイント11を利用する。無線LANアクセスポイント11は、無線LANにおけるユーザ認証規格であるIEEE802.1xに対応しており、例えば図２の設定情報21のように設定が行われている。また、無線LANアクセスポイント11には、無線LANクライアント1-1〜1-n用の設定情報として図３の設定情報31が格納されている。図１中、無線LANアクセスポイント11内の設定情報18が、図２や図３の情報を示す。特に図３の情報は、従来方式であれば、各ユーザが使用するクライアント側の端末にそれぞれ設定しておく必要がある情報である。
【００１５】
無線LANクライアント1-1には、無線LANカード1-11とハードウェアトークン1-13が接続されており、無線LANアクセスポイントへの接続設定を行うための無線LANクライアントソフト1-12がインストールされている。ハードウェアトークン1-13には、証明書サーバ13から予め発行されているクライアント証明書1-14が格納されている。ハードウェアトークン1-13は、当該無線LANを運営する管理者が予め各ユーザに配付してあるものである。無線LANカード1-11および無線LANクライアントソフト1-12は、共にIEEE802.1xに対応しており、特に無線LANアクセスポイントからの設定情報自動取得機能に対応している点が特徴的である。なお、他の無線LANクライアント1-2〜1-nも同様の構成である。
【００１６】
認証サーバ12は、IEEE802.1xに対応しており、例えば図４の設定情報41のように設定が行われている。また、証明書サーバ13から発行されたサーバ証明書17がインストールされているとともに、「信頼する証明書機関」として「証明書サーバ13」が設定されている。
【００１７】
図１に示す本実施形態の無線LAN接続環境では、無線LANクライアント1-1〜1-nの各ユーザは、それらのクライアントに、無線LANアクセスポイントに接続するための設定情報を予め設定する必要がなく、それぞれ無線LANカード1-11〜1-n1と無線LANクライアントソフト1-12〜1-n2をインストールしておけばよい。ユーザが無線LANに接続したいときは、その時点で無線LANカードが検出している通信可能な無線LANアクセスポイントのリストから接続したいアクセスポイントを選択し、ハードウェアトークンを投入すれば、クライアントにおける設定情報の設定が自動的に行われる。以後は、ユーザIDやパスワードなど、ユーザを識別するための最小限のデータを入力するだけで、無線LANのサービスを受けられる。
【００１８】
図５および図６により、図１〜図４で説明した本実施形態の無線LAN接続環境における接続手順を説明するが、その前に、図９を参照してEAP-TLS方式での一般的な接続手順を説明する。上述したように図１〜図４で説明した本実施形態の無線LAN接続環境では、クライアントにおける設定情報の設定は自動的に行われるが、その設定情報には、認証方式としてどのような方式を採用するかについての設定も含まれる。従って、認証方式はEAP-TLS方式に限らず、どのような方式を用いてもよい。ただし、以下ではEAP-TLS方式を用いた例で説明するため、まずEAP-TLS方式での一般的な接続手順を説明しておく。
【００１９】
図９において、ユーザにより無線LANクライアント91から接続の要求があると（ステップ9-1）、無線LANアクセスポイント92はユーザIDを要求する（ステップ9-2）。無線LANクライアント91からユーザIDの送信があると（ステップ9-3）、そのユーザIDは認証サーバ93に送信される（ステップ9-4）。認証サーバ93がTLS認証開始の通知を無線LANアクセスポイント92に送信すると（ステップ9-5）、無線LANアクセスポイント92から無線LANクライアント91にTLS認証開始の通知が送信される（ステップ9-6）。無線LANクライアント91から無線LANアクセスポイント92経由で認証サーバ93に対応暗号化アルゴリズム一覧を通知する（ステップ9-7，9-8）。認証サーバ93から無線LANアクセスポイント92経由で無線LANクライアント91に使用暗号化アルゴリズムを通知する（ステップ9-9，9-10）。また、認証サーバ93から無線LANアクセスポイント92経由で無線LANクライアント91にサーバ証明書を送信し（ステップ9-11，9-12）、無線LANクライアント91から無線LANアクセスポイント92経由で認証サーバ93にクライアント証明書を送信する（ステップ9-13，9-14）。さらに、無線LANクライアント91から無線LANアクセスポイント92経由で認証サーバ93にメッセージダイジェストを送信する（ステップ9-15，9-16）。
【００２０】
以上のように、認証サーバ93が無線LANクライアント91に対してサーバ証明書を送信することで、正しい無線LANアクセスポイント92に接続していることを保障する。また、無線LANクライアント91から認証サーバ93に対してクライアント証明書を送信することで、接続してきたユーザが正規のユーザであることを保障する。
【００２１】
認証の結果、正規のユーザであることが確認されたら、認証サーバ93はアクセス許可メッセージを無線LANアクセスポイント92に送信する（ステップ9-17）。無線LANアクセスポイント92は、アクセス許可メッセージを無線LANクライアント91に送信するとともに（ステップ9-18）、WEP暗号鍵を送信する（ステップ9-19）。以後、無線LANクライアント91と無線LANアクセスポイント92との間の通信は、このWEP暗号鍵を用いた暗号化通信で行われる。
【００２２】
以上のようなEAP-TLS方式の接続手順を実現するためには、無線LANクライアントに図３に示したような設定情報が設定されている必要がある。従来技術では、ユーザがこれらの情報をクライアントに設定する必要があったが、本実施形態の無線LAN接続環境ではこれらの設定は自動的に行われるのでユーザが行う必要はない。
【００２３】
図５は、本実施形態における無線LAN環境に接続する際のユーザ側の接続手順である。なお、図中の網掛けの項目は、ユーザが操作する項目である。
【００２４】
ユーザは、自身の使用する端末に無線LANカード1-11〜1-n1をインストールし（ステップ52）、無線LANクライアントソフト1-12〜1-n2のインストールを行う（ステップ53）。ユーザが無線LANを利用したいとき、まず無線LANクライアント1-1〜1-nが無線接続可能な無線LANアクセスポイントのリストを表示するので、ユーザはその中から接続したい無線LANアクセスポイント11のESS-IDを選択する（ステップ54）。これにより、当該無線LANアクセスポイント11との接続が試みられ、ユーザ認証が開始される。すなわち、ユーザIDの入力とハードウェアトークン1-13〜1-n3の投入が要求されるので、ユーザはユーザIDを入力しハードウェアトークン1-13〜1-n3の投入を行う（ステップ55）。無線LANクライアント1-1〜1-nは、選択されたESS-IDの無線LANアクセスポイント11へ接続要求を送信し（ステップ56）、当該無線LANアクセスポイント11から図３に示した設定情報を取得し自動設定する（ステップ57）。その後、その設定情報で指定された方式、すなわちこの例ではEAP-TLS方式で、ユーザ認証が開始される（ステップ58）。これ以後、無線LANネットワークの利用が開始される。
【００２５】
図６は、図１〜図５に示した本実施形態の無線LAN接続環境にユーザが接続する際の手順の概略であり、特に図５のステップ54〜58とそれ以降の手順を示す流れ図である。以下では、図６の各ステップ毎に説明する。
【００２６】
（１）ステップ6-1：図５のステップ54〜56で説明したように、無線LANクライアントソフト1-12〜1-n2は、自身の起動時に通信可能な無線LANアクセスポイントのESS-IDを自動的に取得し、無線LAN環境に接続しようとするユーザに対して、通信可能なESS-IDのリストを表示する。ユーザが、表示されたESS-IDのリストの中から接続するESS-IDを選択すると、無線LANクライアントソフト1-12〜1-n2は当該ユーザに対してユーザIDの入力とクライアント証明書1-14〜1-n4が格納されたハードウェアトークン1-13〜1-n3の投入を要求する。利用者がユーザIDの入力とハードウェアトークン1-13〜1-n3の投入を行うと、無線LANクライアントソフト1-12〜1-n2は、選択されたESS-IDのグループに所属する無線LANアクセスポイント11に対して、接続要求の送信を行った後、ユーザID、及びクライアント証明書1-14〜1-n4を送信する。以上がステップ6-1に相当する。なお、ステップ6-1の時点では、無線LANアクセスポイント11は、ポートオープン（認証関連以外はクローズ）の状態になっている（6-11）。
【００２７】
（２）ステップ6-2と6-3：さらに無線LANクライアントソフト1-12〜1-n2は、設定情報の要求を無線LANアクセスポイント11に送信する。それを受けて、無線LANアクセスポイント11は、図３の設定情報31（図１の設定情報18）を、無線LANクライアント1-1〜1-nから通知されたクライアント証明書1-14〜1-n4の公開鍵を使用して暗号化し、無線LANクライアント1-1〜1-nに送信する。無線LANクライアントソフト1-12〜1-n2は、受け取った設定情報をクライアント証明書1-14〜1-n4の秘密鍵を使用して復号化し、設定情報18-1として無線LANカード1-11〜1-n1に設定する。以上がステップ6-2と6-3に相当し、これにより各クライアントにおける無線LANの設定が自動的に行われたことになる。
【００２８】
（３）ステップ6-4：次に、自動的に設定された無線LANの設定情報が指定する認証方式でユーザ認証を行う。上述したように、ここではEAP-TLS方式を使用するので、該方式によるユーザ認証が実行される。これは、図９で説明した手順でユーザ認証を行うものである。ただし、図５および図６の手順では、この時点で既にユーザIDなどのユーザが入力する情報は入力済みであるので（図５のステップ55、図６のステップ6-1）、図９のステップ9-2〜9-4は不要である。また、図９のステップ9-17〜9-19は、後述する図６のステップ6-5〜6-7に対応するものである。
【００２９】
（４）ステップ6-5〜6-7：ユーザ認証が成功すると、認証サーバ12から無線LANアクセスポイント11に対してアクセス許可メッセージが送信される（ステップ6-5）。また、無線LANアクセスポイント11から無線LANクライアント1-1〜1-nに対して、アクセス許可メッセージが送信され（ステップ6-6）、WEP暗号鍵が送信される（ステップ6-7）。
【００３０】
（５）ステップ6-8：以降、無線LANクライアントは、受け取ったWEP暗号鍵を使用して、通信の暗号化を行う。無線LANクライアント1-1〜1-nは、DHCPサーバ14に対して、DHCPによるIPアドレスの割り当てを要求する。DHCPサーバ14は、無線LANクライアント1-1〜1-nに対して、IPアドレス、サブネットマスク、デフォルトゲートウェイ、DNSサーバIPアドレス等の情報を割り当てる。以上により、無線LANクライアントは、インターネットの参照やメールの送受信などを行うことができるようになる。すなわち、当該無線LANクライアントに対してポートオープン（全ネットワークアクセス許可）の状態となる（6-12）。
【００３１】
（６）ステップ6-9：無線LANクライアントから切断の送信があったときには（ステップ6-9）、無線LANアクセスポイント11は、ポートをクローズし、通信を遮断する（6-13）。なお、一定時間無線LANアクセスポイント11からのポーリングを受信しない場合も同様とする。切断したときには、無線LANクライアントソフト1-12〜1-n2は、取得した設定情報18-1を無線LANクライアント1-1〜1-n上から削除することで、取得情報解析による不正アクセスを防いでいる（6-14）。
【００３２】
なお、再度無線LAN環境へ接続する際には、図５のステップ51に示すように、無線LANカードと無線LANクライアントソフトのインストールは不要である。ステップ54からの手順により、無線LAN環境への接続を確立すればよい。無線LANクライアントは、無線LAN環境への接続の度に、図３の設定情報を無線LANアクセスポイント11から取得して設定するため、無線LAN環境内の構成やネットワーク構成の変更に伴って無線LANアクセスポイント11の設定が変更された場合でも、無線LANクライアントソフト1-12〜1-n2の設定を一切変更することなく、無線LAN環境への接続を可能としている。
【００３３】
以上説明した本実施形態の無線LAN接続環境では、サーバ証明書17を無線LANクライアントのOSが標準で信頼している公的機関から入手することで、無線LANクライアント1-1〜1-nではサーバ証明書17を発行した証明書サーバの証明書をインストールすることなく、認証サーバ12を信頼することが可能となる。さらに、無線LANクライアント1-1〜1-n用のクライアント証明書1-14〜1-n4を証明書サーバ13で発行・管理することにより、公的機関から発行されたクライアント証明書を利用する場合に比べ、クライアント証明書発行費用の削減と管理の容易性を確保している。クライアント証明書1-14〜1-n4をハードウェアトークン1-13〜1-n3に格納することで、クライアント証明書の不正利用を防いでいる。さらに、ハードウェアトークン1-13〜1-n3の管理を行うことで、クライアント証明書1-14〜1-n4の管理をより容易にしている。
【００３４】
また、無線LANアクセスポイント11から無線LANクライアント1-1〜1-nに割り当てられる設定情報18（図３）は、クライアント証明書1-14〜1-n4の公開鍵で暗号化を行い、無線LANクライアントに送信して設定することで、無線通信区間における設定情報の盗聴を防いでいる。無線通信で使用するWEP暗号鍵はEAP-TLSで生成されるトンネルの中で自動的に交換され、定期的に更新することで無線区間における通信を盗聴から保護している。
【図面の簡単な説明】
【００３５】
【図１】本発明の一実施の形態の無線LAN環境の概略を説明するための説明図
【図２】本発明の一実施形態における無線LANアクセスポイントの設定を説明するための説明図
【図３】本発明の一実施形態における無線LANクライアントの設定を説明するための説明図
【図４】本発明の一実施形態における認証サーバの設定を説明するための説明図
【図５】本発明の一実施の形態におけるユーザの接続手順を説明するためのフローチャート
【図６】本発明の一実施形態における接続の概略を説明するための説明図
【図７】従来の無線LAN環境を説明するための説明図
【図８】従来の無線LAN環境におけるユーザの接続手順を説明するためのフローチャート
【図９】無線LANの認証規格であるIEEE802.1xにおけるEAP-TLS認証方式の認証手順を説明するための説明図
【符号の説明】
【００３６】
１、８・・・有線LAN環境、１１、８１・・・無線LANアクセスポイント、１２、８２・・・認証サーバ、１４、８３・・・DHCPサーバ、１５、８４・・・ゲートウェイ、１−１〜１−ｎ、８−１〜８−ｎ・・・無線LANクライアント、１−１１〜１−ｎ１、８−１１〜８−ｎ１・・・無線ＬＡＮカード、１−１２〜１−ｎ２、８−１２〜８−ｎ２・・・無線ＬＡＮクライアントソフト、１−１３〜１−ｎ３・・・ハードウェアトークン、１−１４〜１−ｎ４・・・クライアント証明書、１３・・・証明書サーバ、１６・・・インターネット、１７・・・サーバ証明書、１８、１８−１・・・設定情報。
【図１】
2005286783.tif 000003
【図２】
2005286783.tif 000004
【図３】
2005286783.tif 000005
【図４】
2005286783.tif 000006
【図５】
2005286783.tif 000007
【図６】
2005286783.tif 000008
【図７】
2005286783.tif 000009
【図８】
2005286783.tif 000010
【図９】
2005286783.tif 000011