(57)【要約】【課題】ユーザが接続を企図していない通信機器がサービスセットに接続されることを防止する。【解決手段】アクセスポイント１００は、クライアント２００とネットワーク１２との間で通信を中継する。パターン生成部１１４は、操作ボタン１０２を用いてユーザにより入力されたパルス信号に基づきアクセスポイント認証パターンを生成する。ユーザは、クライアント２００に設けられた操作ボタン２０２を用いて同様のパルス信号を入力し、パターン生成部２１４はこれに基づきクライアント認証パターンを生成する。送受信部１０８は、クライアントからクライアント認証パターンを受け取る。パターン比較部１１６は、受信されたクライアント認証パターンと、アクセスポイント認証パターンとが略一致するか否かを判定する。送信指示部１２０は、認証パターンが略一致すると判定された場合、予め記憶されている共通鍵をクライアント２００に送信するよう指示する。【選択図】図２
2012195781.tif 000002
【特許請求の範囲】
【請求項１】
クライアントとネットワークとの間で通信を中継するアクセスポイント用の無線通信装置であって、
ユーザ操作に応じたパルス信号を生成する操作部と、
前記操作部によって生成された複数回のパルス信号に基づきアクセスポイント認証パターンを生成するパターン生成部と、
前記クライアントに設けられた操作部におけるユーザ操作に応じて生成された複数回のパルス信号に基づき前記クライアントで生成されたクライアント認証パターンを、前記クライアントから無線通信により受け取る受信部と、
前記受信部で受信されたクライアント認証パターンと、前記パターン生成部により生成されたアクセスポイント認証パターンとが略一致するか否かを判定するパターン比較部と、
前記パターン比較部により認証パターンが略一致すると判定された場合、予め記憶されている共通鍵を前記クライアントに送信する送信部と、
を備えることを特徴とする無線通信装置。
【請求項２】
ネットワークに通信を中継するアクセスポイントとの間で無線通信を行うクライアント用の無線通信装置であって、
ユーザ操作に応じたパルス信号を生成する操作部と、
前記操作部によって生成された複数回のパルス信号に基づきクライアント認証パターンを生成するパターン生成部と、
前記アクセスポイントに設けられた操作部におけるユーザ操作に応じて生成された複数回のパルス信号に基づき前記アクセスポイントで生成されたアクセスポイント認証パターンを、前記アクセスポイントから無線通信により受け取る受信部と、
前記受信部で受信されたアクセスポイント認証パターンと、前記パターン生成部により生成されたクライアント認証パターンとが略一致するか否かを判定するパターン比較部と、
前記パターン比較部により認証パターンが略一致すると判定された場合、前記アクセスポイントから送信されてくる共通鍵の受信を許可する受信許可部と、
を備えることを特徴とする無線通信装置。
【請求項３】
前記パターン比較部は、前記アクセスポイント認証パターンと前記クライアント認証パターンにそれぞれ含まれるパルス間の時間間隔のずれに基づき、二つの認証パターンが略一致するか否かを判定することを特徴とする請求項１または２に記載の無線通信装置。
【請求項４】
ネットワークに通信を中継するアクセスポイントとクライアントとの間で無線通信を行うための秘密鍵を送受信するための方法であって、
前記クライアントに設けられた操作部におけるユーザ操作に応じて生成された複数回のパルス信号に基づきクライアント認証パターンを生成し、
前記アクセスポイントに設けられた操作部におけるユーザ操作に応じて生成された複数回のパルス信号に基づきアクセスポイント認証パターンを生成し、
前記クライアントから前記アクセスポイントに前記クライアント認証パターンを送信し、
前記アクセスポイントから前記クライアントに前記アクセスポイント認証パターンを送信し、
前記アクセスポイントが、受信した前記クライアント認証パターンと、前記アクセスポイントで生成された前記アクセスポイント認証パターンとが略一致するか否かを判定し、
前記アクセスポイントが、認証パターンが略一致すると判定した場合、予め記憶されている共通鍵を前記クライアントに送信し、
前記クライアントが、受信した前記アクセスポイント認証パターンと、前記クライアントで生成された前記クライアント認証パターンとが略一致するか否かを判定し、
前記クライアントが、認証パターンが略一致すると判定した場合、前記アクセスポイントから送信されてくる共通鍵の受信を許可する
ことを含む方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、無線ＬＡＮ（Local Area Network）通信装置の設定技術に関する。
【背景技術】
【０００２】
無線ＬＡＮには、各端末間で直接通信を行うアドホックモードと、アクセスポイントを中継して通信するインフラストラクチャーモードとがある。インフラストラクチャーモードでは、一台以上のクライアント（ステーションとも呼ぶ）が無線通信によってアクセスポイントに接続し、アクセスポイントが無線ＬＡＮと有線ＬＡＮ等との橋渡しを行う。アクセスポイントとクライアントで構成されるグループはサービスセットとも呼ばれる。アクセスポイントは、サービスセットを識別するＩＤであるＳＳＩＤ（Service Set Identifier）を有しており、クライアントはアクセスポイントからＳＳＩＤを受信することによってサービスセットを識別する。
【０００３】
アクセスポイントとクライアントとの間の通信は無線で行われるので、第三者による盗聴やなりすましを防止するために、秘匿通信を実施することが望ましい。このため、無線ＬＡＮでは従来からＷＥＰ（Wired Equivalent Privacy）等の暗号化技術が利用されている。アクセスポイントとクライアントは、予め設定された事前共有鍵（ＰＳＫ：Pre-Shared Key）を保持しており、ＰＳＫを用いて互いのメッセージを暗号化する。
【０００４】
このような暗号化通信が運用されているサービスセットに新たなクライアントを追加する場合を考える。サービスセット内では既に共通のＰＳＫが用いられているので、ユーザは、既存のアクセスポイントまたはクライアントに設定されているＰＳＫを、追加するクライアントに設定する必要がある。
【０００５】
しかしながら、一般にＰＳＫ（またはＰＳＫを生成するためのパスフレーズ）は非常に長い数列または文字列であり、入力が面倒である。今後、無線ＬＡＮユーザが増加するに当たり、無線ＬＡＮ機器の設定をできるだけ簡単なものにすることが望ましい。
【０００６】
このような課題を解決すべく、業界団体であるWi-Fi AllianceによってWi-Fi Protected Setup（登録商標、以下「ＷＰＳ」と呼ぶ）という規格が策定されている。ＷＰＳでは、クライアントにおけるＰＳＫ等の設定がより従来よりも簡単になっている。無線接続に必要な設定情報の伝送を行うためには、伝送元と伝送先の両方がユーザの意図している機器であることを確認するための認証処理が必要となる。ＷＰＳでは、この認証処理として主にＰＩＮ（Personal Identification Number）方式とＰＢＣ（Push Button Configuration）方式が用いられている。
【０００７】
ＰＩＮ方式では、クライアント機器の表面に貼り付けられていたり、クライアントとパーソナルコンピュータ（ＰＣ）との接続時にＰＣ画面に表示されたりする固有のＰＩＮを、ユーザがアクセスポイントに入力する。この方式によると、登録するクライアントとアクセスポイントのみが同一のＰＩＮを保持していることになるので、ＰＩＮを用いて相互認証を実行すれば、無関係のクライアント等にＰＳＫ等の設定情報が漏れることはない（例えば、特許文献１）。ＰＩＮ方式はかなり安全であるが、アクセスポイントにＰＩＮを入力する操作が必須であるため、初心者ユーザに取っては必ずしも容易であるとは言えない。
【０００８】
ＰＢＮ方式では、アクセスポイントおよびクライアント機器の両方に操作ボタンを設けておき、ユーザは両方の機器のボタンを押下する。両方の機器におけるボタンの押下が一定期間内（例えば約２分以内）に行われた場合、アクセスポイントはボタン操作があったクライアントに対してＰＳＫ等の設定情報を送信する。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００９−８９２３０号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
ＰＢＮ方式は、ＰＩＮ方式と比較すると非常に簡便であるが、ユーザがアクセスポイントまたはクライアントでボタンを操作した後の一定期間内に、ユーザが接続を企図していない別のアクセスポイントまたはクライアントでボタンが操作された場合、それらの機器に対してもＰＳＫ等の設定情報が送信されてしまうという問題がある。
【００１１】
本発明はこうした状況に鑑みてなされたものであり、その目的は、ＰＢＮ方式を採用する無線通信装置において、ユーザが接続を企図していない通信装置がサービスセットに接続されることを簡便な方法で防止する技術を提供することにある。
【課題を解決するための手段】
【００１２】
本発明の一態様は、クライアントとネットワークとの間で通信を中継するアクセスポイント用の無線通信装置である。この装置は、ユーザ操作に応じたパルス信号を生成する操作部と、操作部によって生成された複数回のパルス信号に基づきアクセスポイント認証パターンを生成するパターン生成部と、クライアントに設けられた操作部におけるユーザ操作に応じて生成された複数回のパルス信号に基づきクライアントで生成されたクライアント認証パターンを、クライアントから無線通信により受け取る受信部と、受信部で受信されたクライアント認証パターンと、パターン生成部により生成されたアクセスポイント認証パターンとが略一致するか否かを判定するパターン比較部と、パターン比較部により認証パターンが略一致すると判定された場合、予め記憶されている共通鍵をクライアントに送信する送信部と、を備える。
【００１３】
これによると、アクセスポイントおよびクライアントにおいて、ユーザに複数回のパルス入力をさせることで、それぞれアクセスポイント認証パターンまたはクライアント認証パターンを生成し、アクセスポイント認証パターンとクライアント認証パターンとが略一致するときに、アクセスポイントからクライアントに予め記憶されている共通鍵を送信するようにした。したがって、操作ボタンを一回オンにするだけで認証がなされる従来のＰＢＣ方式よりも安全性が高く、ユーザがパルス入力をしていない別のクライアントが意図せずにサービスネットに接続されることを防止することができる。
【００１４】
本発明の別の態様は、ネットワークに通信を中継するアクセスポイントとの間で無線通信を行うクライアント用の無線通信装置である。この装置は、ユーザ操作に応じたパルス信号を生成する操作部と、操作部によって生成された複数回のパルス信号に基づきクライアント認証パターンを生成するパターン生成部と、アクセスポイントに設けられた操作部におけるユーザ操作に応じて生成された複数回のパルス信号に基づきアクセスポイントで生成されたアクセスポイント認証パターンを、アクセスポイントから無線通信により受け取る受信部と、受信部で受信されたアクセスポイント認証パターンと、パターン生成部により生成されたクライアント認証パターンとが略一致するか否かを判定するパターン比較部と、パターン比較部により認証パターンが略一致すると判定された場合、アクセスポイントから送信されてくる共通鍵の受信を許可する受信許可部と、を備える。
【００１５】
これによると、アクセスポイントおよびクライアントにおいて、ユーザに複数回のパルス入力をさせることで、それぞれアクセスポイント認証パターンまたはクライアント認証パターンを生成し、アクセスポイント認証パターンとクライアント認証パターンとが略一致するときに、アクセスポイントから送信される共通鍵をクライアントで受信するようにした。したがって、操作ボタンを一回オンにするだけで認証がなされる従来のＰＢＣ方式よりも安全性が高く、ユーザがパルス入力をしていない別のアクセスポイントの提供するサービスネットに意図せずに接続されることを防止することができる。
【００１６】
パターン比較部は、アクセスポイント認証パターンとクライアント認証パターンにそれぞれ含まれるパルス間の時間間隔のずれに基づき、二つの認証パターンが略一致するか否かを判定してもよい。これによると、アクセスポイント認証パターンとクライアント認証パターンのそれぞれに含まれるパルス同士で比較がなされるので、本人以外がパルス信号を入力した無線通信装置で生成される認証パターンと略一致すると判定される可能性を大きく減じることができる。
【００１７】
本発明のさらに別の態様は、ネットワークに通信を中継するアクセスポイントとクライアントとの間で無線通信を行うための秘密鍵を送受信するための方法である。この方法は、クライアントに設けられた操作部におけるユーザ操作に応じて生成された複数回のパルス信号に基づきクライアント認証パターンを生成し、アクセスポイントに設けられた操作部におけるユーザ操作に応じて生成された複数回のパルス信号に基づきアクセスポイント認証パターンを生成し、クライアントからアクセスポイントにクライアント認証パターンを送信し、アクセスポイントからクライアントにアクセスポイント認証パターンを送信し、アクセスポイントが、受信したクライアント認証パターンと、アクセスポイントで生成されたアクセスポイント認証パターンとが略一致するか否かを判定し、アクセスポイントが、認証パターンが略一致すると判定した場合、予め記憶されている共通鍵をクライアントに送信し、クライアントが、受信したアクセスポイント認証パターンと、クライアントで生成されたクライアント認証パターンとが略一致するか否かを判定し、クライアントが、認証パターンが略一致すると判定した場合、アクセスポイントから送信されてくる共通鍵の受信を許可することを含む。
【００１８】
なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。
【発明の効果】
【００１９】
本発明によれば、ＰＢＮ方式を採用する無線通信装置において、ユーザが接続を企図していない通信装置がサービスセットに接続されることを簡便な方法で防止することができる。
【図面の簡単な説明】
【００２０】
【図１】本発明の一実施形態に係る無線通信装置で構成されるシステムを示す図である。
【図２】図１に示したアクセスポイントおよびクライアントの構成を示す図である。
【図３】パターン入力の比較例を示す図である。
【図４】本発明の一実施形態に係る通信手順を説明するチャート図である。
【発明を実施するための形態】
【００２１】
図１は、本発明に係る無線通信装置で構成されるシステム１０を示す。図１では、主に家屋内で無線ＬＡＮを利用する場合を示している。無線ＬＡＮ通信装置として、アクセスポイント１００とクライアント２００とが示されている。アクセスポイント１００は、モデム、ルータ等と接続されるか、またはモデム、ルータの機能を内蔵しており、電話回線網またはインターネット等のネットワークを介して外部のＩＳＰ（Internet Service Provider）と接続して通信可能に構成されている。
【００２２】
クライアント２００は、アクセスポイント１００との間で無線通信可能に構成される。クライアント２００は、ラップトップコンピュータ１４等の電子機器に接続される。クライアント２００とアクセスポイント１００とは、ＩＥＥＥ  ８０２．１１ａ／ｂ／ｇ／ｎ等の通信規格におけるインフラストラクチャーモードで無線通信を実行する。
【００２３】
なお、クライアント２００は、ラップトップコンピュータ、携帯電話機、スマートフォン、ゲーム機などの電子機器に内蔵されていてもよい。この場合、一部の機能が電子機器側に存在してもよい。
【００２４】
アクセスポイント１００およびクライアント２００の筐体には、それぞれボタン１０２、２０２が設けられている。後述するように、アクセスポイントとクライアントとの間で無線通信を行いたいユーザは、アクセスポイントとクライアントのそれぞれに対して、ボタン１０２または２０２を操作して、二つの装置の間での認証を行うためのパターンを入力する。
【００２５】
図２は、図１に示した本実施形態に係るアクセスポイント１００およびクライアント２００の構成を示すブロック図である。この構成は、ハードウエア的には、任意のコンピュータのＣＰＵ、メモリ、その他のＬＳＩ、アンテナ等で実現でき、ソフトウェア的にはメモリにロードされたプログラムなどによって実現されるが、ここではそれらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックがハードウエアのみ、ソフトウェアのみ、またはそれらの組合せによっていろいろな形で実現できることは、当業者には理解されるところである。
【００２６】
アクセスポイント１００は、操作受付部１０４、記憶部１０６、送受信部１０８、制御部１１０、有線インタフェース（Ｉ／Ｆ）部１２２およびアンテナ１２４を含む。
【００２７】
送受信部１０８は、所定の無線通信規格に準拠して、アンテナ１２４を介してクライアント２００と無線通信を行う。クライアント２００から送信される暗号化された通信は、送受信部１０８によって受信されて、制御部１１０に送られる。
【００２８】
有線Ｉ／Ｆ部１２２は、ルータ等と接続し、所定のプロトコルにしたがってネットワーク通信を行う。アクセスポイント１００とクライアント２００との間で後述する認証が成功した後、クライアント２００はアクセスポイント１００の有線Ｉ／Ｆ部１２２を介して、外部のネットワークとの間で通信が可能になる。
【００２９】
操作受付部１０４は、ユーザによるボタン１０２の操作に応じてパルス信号を生成し、制御部１１０に送る。
【００３０】
制御部１１０は、暗号化処理部１１２、パターン生成部１１４、パターン比較部１１６、リクエスト応答部１１８および共通鍵送信指示部１２０を含む。
【００３１】
暗号化処理部１１２は、暗号化鍵を用いて、アクセスポイント１００とクライアント２００との間で行われる通信の符号化および復号化を実行する。暗号化処理部１１２によって生成された暗号鍵は、記憶部１０６に記憶される。
【００３２】
パターン生成部１１４は、操作受付部１０４から送られるパルス信号から、クライアントとの間での認証を行うための認証パターン（以下、「アクセスポイント認証パターン」とも呼ぶ）を生成する。認証パターンには、パルス信号の数および各パルス間の時間間隔がユーザ操作そのままの形で反映されている。パターン生成部１１４によって生成された認証パターンは、例えば、パルスの数およびパルス間の時間間隔を表す所定の数値形式で、記憶部１０６に記憶される。
【００３３】
パターン比較部１１６は、アクセスポイント１００において生成されたアクセスポイント認証パターンと、クライアント２００から送られた認証パターン（以下、「クライアント認証パターン」とも呼ぶ）とを比較して、所定の基準に基づき両者が略一致するか否かを判定する。
【００３４】
リクエスト応答部１１８は、クライアント２００から通信設定開始のリクエストが来たときに、これに応答するか否かを判定する。リクエスト応答部１１８は、アクセスポイント１００においてパルス入力がなされて認証パターンが生成された後にリクエストが来た場合、これに応答する。
【００３５】
共通鍵送信指示部１２０は、パターン比較部１１６によって認証パターンが略一致すると判定されたとき、予め記憶部１０６に記憶されている共通鍵ＰＳＫを、送受信部１０８を介してクライアント２００に送信する。
【００３６】
クライアント２００は、操作受付部２０４、記憶部２０６、送受信部２０８、制御部２１０、ホストＩ／Ｆ部２２２およびアンテナ２２４を含む。制御部２１０は、暗号化処理部２１２、パターン生成部２１４、パターン比較部２１６、リクエスト要求部２１８および共通鍵受信許可部２２０を含む
【００３７】
ホストＩ／Ｆ部２２２は、ラップトップコンピュータ１４等のホスト端末との間でのデータ通信を制御する。
【００３８】
リクエスト要求部２１８は、クライアント２００においてユーザによりパルス入力がなされてクライアント認証パターンが生成されたとき、アクセスポイント１００に対して通信設定開始のリクエストを発信する。
【００３９】
共通鍵受信許可部２２０は、パターン比較部２１６によって認証パターンが略一致すると判定されたとき、アクセスポイント１００から送信された共通鍵ＰＳＫを受信するように送受信部２０８に指示する。
【００４０】
操作受付部２０４、記憶部２０６、送受信部２０８、暗号化処理部２１２、パターン生成部２１４およびパターン比較部２１６の機能は、基本的にアクセスポイント１００の対応する構成要素と同様であるので、説明を省略する。
【００４１】
続いて、アクセスポイント１００およびクライアント２００の作用を説明する。なお、以下の説明では、アクセスポイント１００に関連する記号には下付文字Ａを付け、クライアント２００に関連する記号には下付文字Ｃを付けて表記する。
【００４２】
クライアント２００をアクセスポイント１００の提供するサービスセットに接続したいユーザは、まずクライアント２００のボタン２０２を、所望の回数および所望のタイミングで押下する。操作受付部２０４がボタン押下に合わせてパルス信号を生成し、パターン生成部２１４はパルス信号からクライアント認証パターンＰＣを生成する。
【００４３】
続いて、ユーザは、アクセスポイント１００のボタン１０２を、クライアント２００のボタン２０２に対して行った操作と同一の回数および同一のタイミングで押下する。操作受付部１０４がボタン押下に合わせてパルス信号を生成し、パターン生成部２１４がパルス信号からアクセスポイント認証パターンＰＡを生成する。
【００４４】
アクセスポイント１００とクライアント２００は、所定の暗号プロトコルにしたがってそれぞれが生成した認証パターンＰＡ、ＰＣを交換する。そして、それぞれのパターン比較部１１６および２１６が、所定の基準に基づき認証パターンＰＡおよびＰＣが略一致するか否かを判定する。アクセスポイント１００とクライアント２００の両方において、認証パターンが略一致すると判定されると、アクセスポイント１００は、今後の無線通信で使用する共通鍵ＰＳＫをクライアント２００に対して送信し、クライアント２００はこの共通鍵ＰＳＫを受信する。アクセスポイント１００とクライアント２００の少なくとも一方において、認証パターンが一致しないと判定されると、共通鍵の送信または受信が拒否される。
【００４５】
図３は、パターン比較部１１６および２１６で比較される入力パターンの一例を示す。図中、菱形で表されたパルスは、アクセスポイント１００で生成された認証パターンＰＡを表し、円で表されたパルスは、クライアント２００で生成された認証パターンＰＣを表している。
【００４６】
パターン比較部１１６および２１６は、認証パターンＰＡ、ＰＣの先頭のパルスを時間ｔ＝０に合わせ、最終のパルスを時間ｔ＝１００に合わせるように、各認証パターンを正規化する。そして、先頭パルスと最終パルスを除いた中間パルスの時間軸上での位置を比較する。アクセスポイント１００とクライアント２００におけるボタンの操作は人間が行うものであるから、たとえ同一のパルスの入力を試みた場合でも、二つの認証パターンＰＡ、ＰＣが完全に一致することはない。
【００４７】
そこで、パターン比較部１１６および２１６は、二つの認証パターンＰＡ、ＰＣの中間パルス間の時間ずれ量を総和した評価値Ｄを算出する。すなわち、ｉ番目の中間パルス同士の時間ずれ量の絶対値をｄｉと表記するとき、Ｄ＝Σｄｉである。
【００４８】
図３に示した例では、１番目の中間パルスの時間ずれ量ｄ１＝３、２番目の中間パルスの時間ずれ量ｄ２＝４、３番目の中間パルスの時間ずれ量ｄ３＝６であるから、評価値はＤ＝１３となる。
【００４９】
この評価値Ｄが所定の閾値Ｔ（例えば、２０）以下である場合、パターン比較部１１６および２１６は、二つの認証パターンＰＡ、ＰＣが一致すると判定する。この閾値Ｔは、例えば複数の被験者がそれぞれ二つの装置において同一のパルス入力を試みたときに、認証パターンが所定の確率以上（例えば、８０％）一致すると判定されるような値に設定する。閾値Ｔは、認証パターンの総パルス数に応じて変化してもよい。例えば、総パルス数が少ない場合はより小さな閾値に、総パルス数が多い場合はより大きな閾値に変化するようにしてもよい。
【００５０】
認証パターンの比較をより厳密に行うためには、ユーザに入力させるパルスの数を多くする方が好ましい。しかし、各認証パターンに含まれるパルス数が多くなるほど、上述の累積値が大きくなり、ユーザが同一のパルス入力を試みたにもかかわらず、二つの認証パターンが一致しないと判定される可能性が高くなる。したがって、ユーザに対して入力パルス数（例えば、５〜１０個）を推奨しておいてもよい。
【００５１】
ユーザにより入力されたパルス数が所定の閾値（例えば、１０）よりも多い場合、パターン生成部１１４および２１４は、先頭から閾値までのパルスのみを用いて認証パターンを生成するようにしてもよい。または、パターン生成部１１４および２１４では入力パルス通りに認証パターンを生成するが、パターン比較部１１６および２１６における比較の際に、認証パターンに含まれるパルスのうち、先頭から閾値までのパルスのみを用いて、パターン間の比較をするようにしてもよい。
【００５２】
パターン比較部１１６および２１６は、二つの認証パターンに含まれるパルス数が異なる場合、パルス数の少ない方に合わせて、他方の認証パターンの先頭パルスから同数のパルスのみを抽出して、両方の認証パターンを比較するようにしてもよい。
【００５３】
図４は、本発明の一実施形態に係るアクセスポイント１００およびクライアント２００の間での通信手順を説明するチャート図である。ここでは、アクセスポイント１００により既に確立されているサービスセットに対して、ユーザが新たにクライアント２００を追加する場合の手順を示している。
【００５４】
まず、ユーザは、クライアント２００のボタン１０２を所望の回数および間隔で押下するパルス入力を行う（Ｓ１０）。パターン生成部１１４は、パルス入力から認証パターンＰＣを生成する（Ｓ１２）。このパルス入力が行われると、クライアント２００は設定モードに移行する。
【００５５】
クライアント２００のリクエスト要求部２１８は、設定開始をリクエストするデータフレームを構成し、アクセスポイント１００に対して発信する（Ｓ１４）。この時点では、アクセスポイント１００の側では設定モードに入っていないので、アクセスポイント１００のリクエスト応答部１１８がリクエストを拒否を示すデータフレームを構成し、クライアント２００に対して発信する（Ｓ１６）。クライアント２００のリクエスト要求部２１８は、応答拒否のデータフレームを受信すると、アクセスポイント１００に対して定期的にリクエストを送信する。
【００５６】
ユーザは、アクセスポイント１００のボタン１０２を用いて、Ｓ１０でクライアント２００に対して行ったのと同様のパルス入力を試みる（Ｓ１８）。パターン生成部１１４は、パルス入力から認証パターンＰＡを生成する（Ｓ２０）。このパルス入力が行われると、アクセスポイント１００は設定モードに移行する。
【００５７】
アクセスポイント１００が設定モードに移行した後に、クライアント２００からの設定開始リクエストを受け取ると（Ｓ２２）、リクエスト応答部１１８がリクエストを許可する応答を示すデータフレームを構成し、クライアント２００に送信する（Ｓ２４）。
【００５８】
クライアント２００とアクセスポイント１００は、第三者に知られることのない鍵を共有するために、既知のＤＨ（Diffie-Hellman）の鍵供給プロトコルを実行する（Ｓ２６）。具体的には、クライアント２００の暗号化処理部２１２とアクセスポイント１００の暗号化処理部１１２がそれぞれ独自に決定した秘密の値に基づいた、べき乗剰余の値を交換する。これに基づき、クライアント２００の暗号化処理部２１２が共有鍵ＫＣを計算し（Ｓ３０）、また、アクセスポイント１００の暗号化処理部１１２が共有鍵ＫＡを計算する（Ｓ３２）。鍵供給プロトコルが正常に実行された場合、共有鍵ＫＣとＫＡは等しくなる。このプロトコルは既知であるため、これ以上の詳細な説明を省略する。
【００５９】
クライアント２００の暗号化処理部２１２は、一時的な鍵ＫＴＣを生成し、さらにＳ１２で生成されたクライアント認証パターンＰＣを一時的な鍵ＫＴＣを用いて暗号化して、アクセスポイント１００に送信する（Ｓ３４）。なお、以下の説明では、鍵ＸによってＹを暗号化したメッセージをＥＮＣ（Ｘ，Ｙ）と表記する。
【００６０】
同様に、アクセスポイント１００の暗号化処理部１１２は、一時的な鍵ＫＴＡを生成し、さらにＳ２０で生成されたアクセスポイント認証パターンＰＡを一時的な鍵ＫＴＡを用いて暗号化した暗号化メッセージＥＮＣ（ＫＴＡ，ＰＡ）をクライアント２００に送信する（Ｓ３６）。Ｓ３４およびＳ３６で用いられる暗号化は、通常時の通信に用いる暗号化方式（例えば、ＲＣ４、ＡＥＳ等）と共通であってよい。
【００６１】
クライアント２００の暗号化処理部２１２は、一時的な鍵ＫＴＣを、Ｓ３０で生成された共有鍵ＫＣを用いて暗号化した暗号化メッセージＥＮＣ（ＫＣ，ＫＴＣ）を、クライアント２００に送信する（Ｓ３８）。同様に、アクセスポイント１００の暗号化処理部１１２は、一時的な鍵ＫＴＡを、Ｓ３２で生成された共有鍵ＫＡを用いて暗号化した暗号化メッセージＥＮＣ（ＫＡ，ＫＴＡ）を、アクセスポイント１００に送信する（Ｓ４０）。
【００６２】
上述したように、Ｓ２６の鍵共有プロトコルが正常に実行された場合、共有鍵ＫＡとＫＣは等しくなるので、クライアント２００の暗号化処理部２１２は、共有鍵ＫＡの代わりに共有鍵ＫＣを復号鍵として用いることができる。暗号化処理部２１２は、Ｓ４０で受け取った暗号化メッセージＥＮＣ（ＫＡ，ＫＴＡ）を共有鍵ＫＣを使用して復号化して、一時的な鍵ＫＴＡを取得する（Ｓ４２）。続いて、暗号化処理部２１２は、取得した鍵ＫＴＡを使用して、Ｓ３６で受け取った暗号化メッセージＥＮＣ（ＫＴＡ，ＰＡ）を復号化して、アクセスポイント認証パターンＰＡを取得する（Ｓ４４）。
【００６３】
同様に、アクセスポイント１００の暗号化処理部１１２は、共有鍵ＫＣの代わりに共有鍵ＫＡを復号鍵として用いることができる。暗号化処理部１１２は、Ｓ３８で受け取った暗号化メッセージＥＮＣ（ＫＣ，ＫＴＣ）を共有鍵ＫＡを使用して復号化して、一時的な鍵ＫＴＣを取得する（Ｓ４８）。続いて、暗号化処理部１１２は、取得した鍵ＫＴＣを使用して、Ｓ３４で受け取った暗号化メッセージＥＮＣ（ＫＴＣ，ＰＣ）を復号化して、クライアント認証パターンＰＣを取得する（Ｓ５０）。
【００６４】
クライアント２００のパターン比較部２１６は、Ｓ１２で生成されたクライアント認証パターンＰＣと、Ｓ４４で復号されたアクセスポイント認証パターンＰＡとを比較して、所定の基準に基づき略一致するか否かを判定する（Ｓ４６）。同様に、アクセスポイント１００のパターン比較部１１６は、Ｓ２０で生成されたアクセスポイント認証パターンＰＡと、Ｓ５０で復号されたクライアント認証パターンＰＣとを比較して、所定の基準に基づき略一致するか否かを判定する（Ｓ５２）。
【００６５】
クライアント２００において、認証パターンが一致すると判定されると（Ｓ４６のＹ）、リクエスト要求部２１８はアクセスポイント１００に対して設定情報のリクエストを送信する（Ｓ５４）。アクセスポイント１００においても認証パターンが一致すると判定されていれば（Ｓ５２のＹ）、アクセスポイント１００の共通鍵送信指示部１２０は、共有鍵ＫＡを用いて共通鍵ＰＳＫを暗号化した上で、クライアント２００に送信する（Ｓ５６）。クライアント２００の暗号化処理部２１２は、共有鍵ＫＣを用いてＰＳＫを復号し、記憶部２０６に格納する（Ｓ５８）。
【００６６】
これ以降の通信では、共通鍵ＰＳＫを用いてアクセスポイント１００とクライアント２００との間で通信が行われる。なお、複数の暗号化方式が選択可能である場合には、Ｓ５６の暗号化メッセージに暗号化方式を指定する情報が含まれていてもよい。
【００６７】
クライアント２００またはアクセスポイント１００において、認証パターンが一致しないと判定されると（Ｓ４６のＮ、Ｓ５２のＮ）、共通鍵ＰＳＫの送受信が行われずに、設定プロセスが終了する。
【００６８】
以上説明したように、従来のＷＰＳにおけるＰＢＣ方式では、単にアクセスポイントおよびクライアントでの一回のボタン押下に応じて認証を追えて設定を開始するのに対して、本実施形態に係る無線通信装置間では、ユーザにボタンを複数回操作させることで認証パターンを生成する。そして、ボタン操作により生成された認証パターンを利用して、アクセスポイントとクライアントとの間で相互認証を実行するので、従来のＰＢＣ方式よりもはるかに安全性が高い認証が可能になる。したがって、ユーザがパルス入力をしていない別の無線通信装置が意図せずにサービスネットに接続されることを防止することができる。それにも関わらず、ユーザはボタンを所望のタイミングで操作するだけなので、非常に簡便に無線ＬＡＮの設定を行うことができる。
【００６９】
また、本実施形態では、従来のボタンを備えるアクセスポイントやクライアントに新たな構造を追加する必要がない。したがって、従来のアクセスポイントまたはクライアントのソフトウェアアップデートによって、本実施形態に係る通信方法を実現することも可能である。
【００７０】
以上、本発明を実施例をもとに説明した。この実施例は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。
【００７１】
なお、パルス入力ができれば、ボタンの代わりにレバー等の部材を用いてもよい。また、ユーザ操作により物理的に移動する構造を備えていない、例えば接触感知面への指の接触等によりパルス入力ができる構成を備えてもよい。
【符号の説明】
【００７２】
１００  アクセスポイント、  ２００  クライアント、  １０２、２０２  ボタン、  １０４、２０４  操作受付部、  １０６、２０６  記憶部、  １１０、２１０  制御部、  １１２、２１２  暗号化処理部、  １１４、２１４  パターン生成部、  １１６、２１６  パターン比較部、  １２４、２２４  アンテナ。
【図１】
2012195781.tif 000003
【図２】
2012195781.tif 000004
【図３】
2012195781.tif 000005
【図４】
2012195781.tif 000006