(57)【要約】  ＩＥＥＥ  ８０２．１１準拠の無線ネットワークでの通信のための指向性マルチギガビットデバイスを認証するための方法および装置が提供される。アソシエーションおよび認証情報要素が共通のフレームに含められた状態で、ネットワークアソシエーションおよび認証が並列で実施され得る。認証情報要素は、無線ネットワークのアクセスポイントとデバイスとの間で送信される少なくとも１つの、潜在的に一連の管理フレームに含められる。認証情報要素はこれにより、アクセスポイントとデバイスとの間で交換される。交換された認証情報要素が用いられて、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態が確立される。交換された管理フレームは、ネットワークアソシエーションを容易にもし得る。認証情報要素は、管理フレーム以外にも含められ得る。認証情報要素のフォーマットが提示される。
2018534805.tif 000002
【特許請求の範囲】
【請求項１】
ＩＥＥＥ  ８０２．１１準拠の無線ネットワークでの通信のために指向性マルチギガビット（ＤＭＧまたはＥＤＭＧ）局（ＳＴＡ）（ＤＭＧまたはＥＤＭＧ  ＳＴＡ）デバイスを認証するための方法であって、
前記無線ネットワークのアクセスポイントと前記デバイスとの間で送信される１または複数のそれぞれのフレームに１または複数の認証情報要素を含める段階であって、前記１または複数の認証情報要素は、前記アクセスポイントと前記デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む、段階を備える、方法。
【請求項２】
前記１または複数の認証情報要素は、前記アクセスポイントから前記デバイスへ送信されるフレームに含められる、請求項１に記載の方法。
【請求項３】
前記アクセスポイントが前記デバイスから受信する１または複数の更なるフレームに含められる１または複数の更なる認証情報要素を受信する段階であって、前記認証手順は、前記１または複数の認証情報要素と前記１または複数の更なる認証情報要素との交換に基づく、段階をさらに備える、請求項２に記載の方法。
【請求項４】
前記１または複数の認証情報要素は、前記デバイスから前記アクセスポイントへ送信されるフレームに含められる、請求項１に記載の方法。
【請求項５】
前記デバイスが前記アクセスポイントから受信する１または複数の更なるフレームに含められる１または複数の更なる認証情報要素を受信する段階であって、前記認証手順は、前記１または複数の認証情報要素と前記１または複数の更なる認証情報要素との交換に基づく、段階をさらに備える、請求項４に記載の方法。
【請求項６】
前記フレームは管理フレームを含む、請求項１に記載の方法。
【請求項７】
前記管理フレームのうち少なくとも一部は、前記認証手順と並列でネットワークアクセス手順またはネットワークアソシエーション手順を実施するのに用いられる、請求項１に記載の方法。
【請求項８】
前記フレームはデータフレームを含む、請求項１に記載の方法。
【請求項９】
前記データは、複数の事前共有鍵のうちどの鍵が前記認証手順に用いられることになるのかを示す鍵識別子を含む、請求項１に記載の方法。
【請求項１０】
前記データは、前記認証手順で用いるためのノンスと、前記認証手順で用いるためのメッセージ完全性確認値とのうち１または複数を含む、請求項１に記載の方法。
【請求項１１】
前記認証手順は、
第１ノンス値を含む第１認証情報要素を、前記アクセスポイントから前記デバイスへ送信する段階と、
続いて、第２ノンス値とメッセージ完全性確認値とを含む第２認証情報要素を、前記デバイスから前記アクセスポイントへ送信する段階と、
続いて、更なるメッセージ完全性確認値を含む第３認証情報要素を、前記アクセスポイントから前記デバイスへ送信する段階と、
を含み、
前記認証情報要素は、前記第１認証情報要素および前記第３認証情報要素と、前記第２認証情報要素とのうちいずれかを含む、請求項１に記載の方法。
【請求項１２】
前記第１認証情報要素は、ビーコンフレーム、アナウンスメントフレーム、またはプローブ応答フレームである第１管理フレームに含められ、前記第２認証情報要素は、アソシエーションリクエストフレームまたは再アソシエーションリクエストフレームである第２管理フレームに含められ、前記第３認証情報要素は、アソシエーション応答フレームまたは再アソシエーション応答フレームである第３管理フレームに含められる、請求項１１に記載の方法。
【請求項１３】
ＩＥＥＥ  ８０２．１１準拠のデバイスであって、
プロセッサを備え、
前記プロセッサは、
無線ネットワークインタフェースに結合され、
前記無線ネットワークを介し、前記デバイスから第２デバイスへ送信される１または複数のそれぞれのフレームに１または複数の認証情報要素を含めるよう構成され、
前記１または複数の認証情報要素は、前記デバイスと前記第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む、デバイス。
【請求項１４】
前記デバイスは、ＩＥＥＥ  ８０２．１１準拠の無線通信デバイスであり、前記第２デバイスは、ＩＥＥＥ  ８０２．１１準拠のアクセスポイントであり、
前記デバイスはさらに、
前記第２デバイスにより送信され前記デバイスが受信した更なるフレームから更なる認証情報要素を読み取り、
前記更なる認証要素に含められるデータに少なくとも部分的に基づいて前記１または複数の認証情報要素のうち少なくとも１つを構成し、前記１または複数の認証情報要素および前記更なる認証情報要素がこれにより、前記認証手順に対応するハンドシェイクを実行するのに用いられることになる、
よう構成される、請求項１３に記載のデバイス。
【請求項１５】
前記デバイスは、ＩＥＥＥ  ８０２．１１準拠のアクセスポイントであり、前記第２デバイスは、ＩＥＥＥ  ８０２．１１準拠の無線通信デバイスであり、
前記デバイスはさらに、
前記１または複数の認証情報要素のうち最初の認証情報要素の受信に応答して前記第２デバイスにより送信され前記デバイスが受信した第１の更なるフレームから更なる認証情報要素を読み取り、
前記更なる認証要素に含められるデータに少なくとも部分的に基づいて前記１または複数の認証情報要素のうち１つを構成し、前記１または複数の認証情報要素および前記更なる認証情報要素がこれにより、前記認証手順に対応するハンドシェイクを実行するのに用いられることになる、
よう構成される、請求項１３に記載のデバイス。
【請求項１６】
前記フレームは管理フレームを含む、請求項１３に記載のデバイス。
【請求項１７】
前記管理フレームのうち少なくとも一部は、前記認証手順と並列でネットワークアクセス手順またはネットワークアソシエーション手順を実施するのに用いられる、請求項１３に記載のデバイス。
【請求項１８】
前記フレームはデータフレームを含む、請求項１３に記載のデバイス。
【請求項１９】
前記データは、複数の事前共有鍵のうちどの鍵が前記認証手順に用いられることになるかを示す鍵識別子と、前記認証手順で用いるためのメッセージ完全性コードとのうち１または複数を含む、請求項１３に記載のデバイス。
【請求項２０】
ＩＥＥＥ  ８０２．１１準拠のデバイスであって、
プロセッサを備え、
前記プロセッサは、
無線ネットワークインタフェースに結合され、
前記デバイスと前記第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータであって、複数の事前共有鍵のうちどの鍵が前記認証手順で用いられることになるかを示す鍵識別子と、前記認証手順で用いるためのノンスと、前記認証手順で用いるためのメッセージ完全性確認値とのうち１または複数を含むデータを含む認証情報要素を生成し、
前記無線ネットワークインタフェースを介し、前記デバイスから第２デバイスへ送信されることになるフレームに前記認証情報要素を含める
よう構成される、デバイス。
【請求項２１】
前記認証情報要素はデータフィールドを含み、
前記デバイスは、前記デバイスが無線通信デバイスであるかアクセスポイントであるか、と、認証ステートマシンの現在の状態と、４ウェイハンドシェイク手順の現在の完了レベルとからなる群から選択される１または複数のコンテキストパラメータに依存して、前記データフィールドの内容を異なるように解釈するよう構成される、請求項２０に記載のデバイス。
【請求項２２】
さらに、１または複数の更なる認証情報要素を処理するよう構成され、
前記１または複数の更なる認証情報要素は、前記デバイスにより生成され、前記無線ネットワークインタフェースを介し前記第２デバイスから受信され、またはこれらの両方であり、
前記認証情報要素と前記１または複数の更なる認証情報要素とのうちそれぞれは、複数の潜在的なデータフィールドと、前記潜在的なデータフィールドのうち少なくとも１つの複数の潜在的な長さとを指定する共通のテンプレート構造に基づき構成される、請求項２０に記載のデバイス。
【請求項２３】
拡張型指向性マルチギガビット局デバイスであって、
ネットワークアソシエーション手順の間に前記デバイスにより送信される管理フレームに認証情報要素を含めるよう構成され、
前記認証情報要素は、前記ネットワークアソシエーション手順と並列で行われる事前共有鍵ベースの認証および鍵生成手順で使用可能であり、これにより、前記デバイスを伴うアソシエートされ認証された状態に達するための時間が削減される、デバイス。
【発明の詳細な説明】
【技術分野】
【０００１】
［関連出願の相互参照］
本特許出願は、２０１５年９月４日に提出された、発明の名称が"ＩＥＥＥ  ８０２．１１ａｙ  Ｆａｓｔ  Ａｓｓｏｃｉａｔｉｏｎ  ＆  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ"である米国特許出願第６２／２１４３７０号に基づく優先権を主張する。同特許出願はこれにより、その全体が再現されているかのようにここで参照により組み込まれる。本特許出願は、２０１５年９月１８日に提出された、発明の名称が"ＭＥＴＨＯＤ  ＡＮＤ  ＡＰＰＡＲＡＴＵＳ  ＦＯＲ  ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ  ＯＦ  ＷＩＲＥＬＥＳＳ  ＤＥＶＩＣＥＳ"である米国特許出願第６２／２２０８２８号に基づく優先権も主張する。同特許出願もこれにより、その全体が再現されているかのようにここで参照により組み込まれる。さらに、本特許出願は、２０１６年２月２９日に提出された、発明の名称が"ＭＥＴＨＯＤ  ＡＮＤ  ＡＰＰＡＲＡＴＵＳ  ＦＯＲ  ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ  ＯＦ  ＷＩＲＥＬＥＳＳ  ＤＥＶＩＣＥＳ"である米国特許出願第１５／０５６０７８号に基づく優先権を主張する。同特許出願も、その全体が再現されているかのように、これによりここで参照により組み込まれる。
【０００２】
本願発明は、無線ネットワーク管理のフィールドに関連し、特に、ＩＥＥＥ  ８０２．１１準拠のデバイスなどの無線デバイスの認証のための方法およびシステムに関連する。
【背景技術】
【０００３】
無線デバイスがＩＥＥＥ  ８０２．１１準拠の無線通信ネットワークにフルアクセス出来るようになるには、それら無線デバイスはまず認証とネットワークとのアソシエーションとの両方がされなければならない。認証においては、無線デバイスがそのアイデンティティを明らかにする必要があり、他方ネットワークアソシエーションは、データが適切に届けられ得るようにするための、その無線デバイスの、ネットワークアクセスポイントへの登録に対応する。追加的に、よりセキュアなネットワークアクセスを確立するために無線デバイスは、場合によっては、ロバストセキュリティネットワークアソシエーション（ＲＳＮＡ）アルゴリズムを介し更なる認証を受ける。
【０００４】
しかし、現在の認証およびアソシエーション手順は、特に指向性マルチギガビット（ＤＭＧ）および拡張型指向性マルチギガビットデバイスにとって、潜在的に時間を消費する。厳密な順序で一時に１つ進められる複数のハンドシェイクメッセージは大きな遅延の一因となり得、このことは一部の応用において不利であり得る。例えば、タイトルが"ＩＥＥＥ  ８０２．１１  ＴＧａｙ  Ｕｓｅ  Ｃａｓｅｓ"であり、ｈｔｔｐｓ：／／ｍｅｎｔｏｒ．ｉｅｅｅ．ｏｒｇで利用可能である２０１５年５月の文書ＩＥＥＥ  ８０２．１１−２０１５／０６２５ｒ１は、将来的なＩＥＥＥ  ８０２．１１ネットワークの応用に関するいくつかの使用例を提案しており、それら使用例のうち一部においては、無線デバイスがほぼ遅延なしでネットワークにアクセスする必要がある。１つのそのような使用例は、ユーザが１０ｃｍ未満の距離で１秒未満で大量のデータを無線ダウンロードする超近距離（ＵＳＲ）通信に対応する。この使用例においてリンクセットアップ時間は、１００ｍｓ未満であることが求められる。これにより現在の、ＩＥＥＥ  ８０２．１１ネットワークにおける、特にＤＭＧおよび拡張型ＤＭＧデバイスに関する、アソシエーションおよび認証のアプローチは、一部の現在および将来の使用例には不十分であり得る。
【０００５】
様々なＩＥＥＥ  ８０２．１１管理フレームが、１または複数の連結された情報要素を含むセクションを含む。選択されたタイプの情報要素が、所与の管理フレーム内に埋め込まれ得る。既存のタイプの情報要素には、サービスセット識別子（ＳＳＩＤ）と、サポートされているデータレートと、周波数ホップパラメータセット（ｆｒｅｑｕｅｎｃｙ  ｈｏｐｐｉｎｇ  ｐａｒａｍｅｔｅｒ  ｓｅｔ）、ダイレクトシークエンスパラメータセット（ｄｉｒｅｃｔ  ｓｅｑｕｅｎｃｅ  ｐａｒａｍｅｔｅｒ  ｓｅｔ）、無競合パラメータセット（ｃｏｎｔｅｎｔｉｏｎ−ｆｒｅｅ  ｐａｒａｍｅｔｅｒ  ｓｅｔ）、トラフィックインジケーションマップ（ｔｒａｆｆｉｃ  ｉｎｄｉｃａｔｉｏｎ  ｍａｐ）、独立ベースサービスセットパラメータセット（ｉｎｄｅｐｅｎｄｅｎｔ  ｂａｓｉｓ  ｓｅｒｖｉｃｅ  ｓｅｔ  ｐａｒａｍｅｔｅｒ  ｓｅｔ）、およびチャレンジテキスト（ｃｈａｌｌｅｎｇｅ  ｔｅｘｔ）などの通信を構成するためのパラメータセットとを通信するために使用可能であるものが、ベンダ固有の情報要素と併せて、含まれる。ＩＥＥＥ  ８０２．１１規格は、更なるタイプのまだ特定されていない情報要素を含むよう拡張可能である。
【０００６】
よって、認証手順のレイテンシに起因する時間的制約などの、先行技術の１または複数の制約を軽減する、無線デバイスの認証のための方法および装置の必要性がある。
【０００７】
この背景情報は、本願発明に関連性がある可能性があるものと本出願人が信じる情報を明らかにするよう提供されている。先に述べた情報のいずれもが本願発明に対する先行技術を成すものであると認める意図は必ずしもなく、またそのように解釈されるべきではない。
【発明の概要】
【０００８】
本願発明の実施形態の目的は、既存のＩＥＥＥ  ８０２．１１ａｄ規格に準拠したＤＭＧデバイス、および／またはＤＭＧに基づいて現在開発されているＩＥＥＥ  ８０２．１１ａｙ規格に準拠した拡張型ＤＭＧデバイスなどの無線デバイスの認証のための方法および装置を提供することである。本願発明の実施形態によると、ＩＥＥＥ  ８０２．１１準拠の無線ネットワークでの通信のために指向性マルチギガビット（ＤＭＧ）局（ＳＴＡ）（ＤＭＧ  ＳＴＡ）デバイスを認証するための方法が提供される。方法は、無線ネットワークのアクセスポイントとデバイスとの間で送信される１または複数のそれぞれのフレームに１または複数の認証情報要素を含める段階を備える。１または複数の認証情報要素は、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む。
【０００９】
本願発明の実施形態によると、無線ネットワークインタフェースに結合されたプロセッサを備えるＩＥＥＥ  ８０２．１１準拠のデバイスが提供される。デバイスは、またはより具体的に無線ネットワークインタフェースと協力してプロセッサは、無線ネットワークを介し、デバイスから第２デバイスへ送信される１または複数のそれぞれのフレームに１または複数の認証情報要素を含めるよう構成される。１または複数の認証情報要素は、デバイスと第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む。デバイスは、無線通信デバイスまたはアクセスポイントであってよい。認証情報要素は、認証ハンドシェイク手順の一部であってよい。
【００１０】
本願発明の実施形態によると、ＩＥＥＥ  ８０２．１１準拠の無線通信デバイスを認証するための方法が提供される。方法は、デバイスと第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む認証情報要素を生成する段階を備える。データは、複数の事前共有鍵のうちどの鍵が認証手順に用いられるのかを示す鍵識別子と、認証手順で用いるためのノンスと、認証手順で用いるためのメッセージ完全性コードとのうち１または複数を含む。方法はさらに、無線ネットワークインタフェースを介してデバイスから第２デバイスへ送信されることになるフレームに、認証情報要素を含める段階を備える。デバイスは、無線通信デバイスまたはアクセスポイントであってよい。認証情報要素は、認証ハンドシェイク手順の一部であってよい。
【００１１】
本願発明の実施形態によると、無線ネットワークインタフェースに結合されたプロセッサを備えるＩＥＥＥ  ８０２．１１準拠の無線通信デバイスが提供される。デバイスは、またはより具体的に無線ネットワークインタフェースと協力してプロセッサは、デバイスと第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む認証情報要素を生成するよう構成される。データは、複数の事前共有鍵のうちどの鍵が認証手順に用いられるのかを示す鍵識別子と、認証手順で用いるためのノンスと、認証手順で用いるためのメッセージ完全性コードとのうち１または複数を含む。デバイスはさらに、無線ネットワークインタフェースを介してデバイスから第２デバイスへ送信されることになるフレームに、認証情報要素を含めるよう構成される。デバイスは、無線通信デバイスまたはアクセスポイントであってよい。認証情報要素は、認証ハンドシェイク手順の一部であってよい。
【００１２】
本願発明の実施形態によると、拡張型指向性マルチギガビット局デバイスであって、ネットワークアソシエーション手順の間にデバイスにより送信される管理フレームに認証情報要素を含めるよう構成され、認証情報要素は、ネットワークアソシエーション手順と並列で行われる事前共有鍵ベースの認証および鍵生成手順で使用可能であり、これにより、デバイスを伴うアソシエートされ認証された状態に達するための時間が削減される、拡張型指向性マルチギガビット局デバイスが提供される。
【図面の簡単な説明】
【００１３】
本願発明の更なる特徴および利点は、添付の図面と組み合わせて理解される、以下の詳細な説明から明らかとなるであろう。
【００１４】
【図１】ＩＥＥＥ  ８０２．１１ａｄ認証ステートマシンを示す。
【００１５】
【図２】ＩＥＥＥ  ８０２．１１認証／アソシエーションプロセスを示す図を示す。
【００１６】
【図３】本願発明の実施形態に係る認証／アソシエーションプロセスを示す図を示す。
【００１７】
【図４】本願発明の他の実施形態に係る認証／アソシエーションプロセスを示す図を示す。
【００１８】
【図５】本願発明の他の実施形態に係る認証／アソシエーションプロセスを示す図を示す。
【００１９】
【図６Ａ】本願発明の他の実施形態に係る認証／アソシエーションプロセスを示す図を示す。
【００２０】
【図６Ｂ】本願発明の他の実施形態に係る認証／アソシエーションプロセスを示す図を示す。
【００２１】
【図７】本願発明の実施形態に従って提供される認証情報要素フォーマットを示す。
【００２２】
【図８】本願発明の実施形態に係る、認証情報要素を処理するための様々なオペレーションルールを示す真理値表を示す。
【００２３】
【図９】本願発明の実施形態に係る、開発中のＩＥＥＥ  ８０２．１１ａｙ規格で用いるための、提案されている認証鍵管理スイートに関連するチャートを示す。
【００２４】
【図１０】本願発明の実施形態に従って提供されるロバストセキュアネットワーク（ＲＳＮ）情報要素を示す。
【００２５】
【図１１】本願発明の実施形態に従って提供される暗号化鍵階層を示す。
【００２６】
【図１２】本願発明の他の実施形態に従って提供される暗号化鍵階層を示す。
【００２７】
【図１３】本願発明の実施形態に係る、デバイスと通信しているアクセスポイントを示す。
【００２８】
【図１４】は、本願発明の実施形態に係る、アクセスポイントまたはデバイスの構造ブロック図を示す。
【００２９】
【図１５】本願発明の実施形態に係る、アクセスポイントまたはデバイスの機能ブロック図を示す。
【００３０】
【図１６】本願発明の他の実施形態に係る、アクセスポイントまたはデバイスの機能ブロック図を示す。
【００３１】
なお、添付の図面を通じて、同様の特徴は同様の参照番号で識別される。
【発明を実施するための形態】
【００３２】
本願発明の実施形態は、必ずしも限定されないが、ＩＥＥＥ  ８０２．１１ａｄまたはＩＥＥＥ  ８０２．１１ａｙ準拠のネットワークなどのＩＥＥＥ  ８０２．１１準拠の無線通信ネットワーク内で送信されるフレームに埋め込まれた情報要素を用いた認証オペレーションの実行に関する。様々な実施形態において、情報要素を含むそれらフレームは管理フレームである。そのような実施形態において、限定されないが、ＩＥＥＥ  ８０２．１１ネットワークへの、無線デバイスのアクセスおよび／またはアソシエーションと関連付けられたフレームなどの様々な管理フレームの通信は、それら管理フレームが、その無線デバイスの認証のために用いられる追加の情報を含むように変更される。その追加の情報は、セキュアな暗号鍵認証に対応し得る。一例において、無線デバイスの認証は、同じ管理フレームによって容易となる他のタスクと同時に実行され得る。これにより、認証は潜在的に、他のオペレーションと並列化され得る。代替的に、管理フレームは、認証を実行することに排他的に用いられ得る。管理フレームにより、デバイスにとって、認証と同時の、すなわち並列でのネットワークアクセスが容易となり得る。認証情報要素を含む管理フレームは、ＩＥＥＥ  ８０２．１１のアソシエーション手順の前およびその間に送信されてよい。
【００３３】
様々な実施形態において、認証情報要素は、アソシエーション目的または他の目的で交換されている管理フレームまたはデータフレーム、または同様のものなどの他の目的で既に交換されている他のフレーム内でピギーバックされる。これにより、認証手順は、それ自体の別個の専用のフレームを要さなくてよい。管理フレームの場合、認証は、例えばアソシエーションプロセスを実行するよう管理フレームが交換されるのと実質的に並列で実施され得、これにより、アソシエートされ認証された状態に達するのに要する時間が短縮され得る。様々な実施形態において、並列認証は、ネットワークとアソシエートされた状態などの無線デバイスに関連して特定の状態の確立を最初に要することなく実行され得る。
【００３４】
一部の実施形態において、情報要素を含むフレームのうち少なくとも一部は、データフレームなどの他のフレームである。それらデータフレームは、無線デバイスへ、または無線デバイスから送信されることになるデータの搬送もしてよい。認証情報要素を含むデータフレームが、認証が完了するのに先立って通信される他のデータフレームと併せて、無線デバイスがまだ認証されていなくとも交換されてよい。これにより、認証が完了する前のデータの送信を最小化するために、送信されている最初のいくつかのデータフレーム内で認証情報要素を交換するのが望ましいかもしれない。一部の実施形態において、無線デバイスのアソシエーションのために用いられる管理フレームのうち少なくとも１つと、それに加えて、アソシエーションに続いて送信されるデータフレームのうち少なくとも１つとが用いられて認証情報要素を伝える。一部の実施形態において、アソシエーションに続いて交換される最初のいくつかのデータフレームが用いられて、認証情報要素のうち一部または全てを搬送してよい。データフレーム内の認証情報要素とは、ここで説明されているような認証情報要素の構造および／または内容を有するデータフレーム内のデータ要素を指す。
【００３５】
本願発明の実施形態は、ＩＥＥＥ  ８０２．１１準拠の無線ネットワークでの通信のためにデバイスを認証するための方法を対象としている。そのデバイスは、無線端末、モバイルデバイス、または他のデバイスであってよい。その方法は、その無線ネットワークのアクセスポイントと、そのデバイスとの間で、例えばアクセスポイントからデバイスへ、またはその逆方向に送信されるフレームに認証情報要素を加えることを含む。認証情報要素は、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む。一部の実施形態において、フレームは管理フレームである。一部の実施形態において、フレームは、データフレームまたは他のタイプのフレームである。
【００３６】
一部の実施形態において、データは、複数の事前共有鍵のうちどの鍵が認証手順に用いられるのかを示す鍵識別子と、認証手順で用いるためのノンスと、認証手順で用いるためのメッセージ完全性コードとのうち１または複数を含み得る。認証手順のために現在何が要求されているかに依存して、１または複数の選択されたタイプのデータを搬送するよう各認証情報要素がカスタマイズされ得る。搬送されている選択されたタイプのデータは、認証情報要素内の特定のフィールドの分析により特定され得る。追加的または代替的に、搬送されている選択されたタイプのデータは、認証情報要素の送信のコンテキストに基づき特定され得る。
【００３７】
様々な実施形態において、無線通信デバイスが、管理フレームなどの、デバイス間で送信される適切なフレームに、およびより具体的には管理フレーム内のロバストセキュリティネットワーク（ＲＳＮ）機能フィールドにインジケータビット（フラグ）を設定するよう構成される。ＲＳＮ機能フィールドの事前予約された、または未使用のビットが、インジケータビットとして用いられてよい。インジケータビットが設定された場合、それは、特に、説明されている認証情報要素を用いた認証を含む、ここで説明されるような認証手順の使用を開始するのに用いられてよい。
【００３８】
一部の実施形態において、方法は、無線ネットワークのアクセスポイントとデバイスとの間で交換される、管理フレーム、データフレーム、またはそれらの組み合わせなどの各一連のフレームへ一連の認証情報要素を加えることを含む。これにより、認証情報要素も、アクセスポイントとデバイスとの間で交換される。様々な実施形態において、交換は順次行われ、特定の認証情報要素の内容は、以前に受信した認証情報要素の内容に依存し得る。認証情報要素の交換は、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証ハンドシェイク手順を実行するよう構成され、そうするのに用いられる。
【００３９】
様々な実施形態において、管理フレームなどのフレームに認証情報要素を含めることは、認証情報要素をフレームに追加することを伴う。
【００４０】
管理フレームは例えば、ビーコンフレーム、アナウンスメントフレーム、プローブリクエストフレーム、プローブ応答フレーム、アソシエーションリクエストフレーム、アソシエーション応答フレーム、再アソシエーションリクエストフレーム、再アソシエーション応答フレーム、およびＳＳＷフレームを含み得る。ネットワークアクセスおよび／またはアソシエーションオペレーションの一部として交換されている一連の管理フレームが特定され、所望される順序でデバイスとアクセスポイントとの間で認証情報要素を通信するのに用いられてよい。その所望される順序が、情報交換の指向性も指定し得る。例えば、一実施形態において、第１認証情報要素がアクセスポイントからユーザデバイスへ送信され、第２認証情報要素がユーザデバイスからアクセスポイントへ送信される、などである。
【００４１】
本願発明の様々な実施形態は、認証情報をピギーバックすることに関して、ネットワークアクセスおよび／またはアソシエーション手順の一部として渡される管理フレームなどの管理フレームの使用に依拠しているが、上記にて既に言及したように、認証情報要素は、デバイスとアクセスポイントとの間でルーチン的に渡される他のメッセージに含められ得ることが想到されている。そのようなメッセージは、ネットワークアクセス、ネットワークアソシエーション、データ交換、または他の目的のために用いられてよい。したがって、一連の認証情報要素を含むよう既存のメッセージタイプが調整される。既存のメッセージタイプは、プロトコルまたは規格に従って定義されてよく、認証手順を実行するよう処理することが出来る特定の方式で挙動するよう構成されてよい。特に、それらメッセージタイプは特定の順序で、認証情報要素の交換に関して所望される順序およびメッセージの指向性に一致する方向の特定の組み合わせ（例えば、デバイスからアクセスポイントへ、またはその逆方向）で交換されてよい。データフレームの場合、無線デバイスへ、または無線デバイスから送信されている全てのデータフレームのサブシーケンスが、認証情報要素を搬送するために選択されてよい。サブシーケンスは、認証情報要素の交換に関して所望される順序およびメッセージの指向性に一致する、方向の特定の組み合わせで交換されているデータフレームに対応してよい。
【００４２】
上記にて言及したように、認証情報要素の交換は、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するよう構成され、そうするのに用いられる。一部の実施形態において、この鍵は、アクセスポイントとデバイスとの両方により保持されるいくつかの共有された鍵のうち１つであってよい。この場合、いくつかの共有された鍵のうちどれが共通の暗号鍵として用いられるのかを規定することは、例えば以下に説明されるように進められてもよい。特に、共有された鍵のうちどれが用いられているのかを示す鍵識別子を認証情報要素が含み得る。他の実施形態において、１つの共有された鍵のみが、アクセスポイントとデバイスとの両方により保持されてよい。
【００４３】
潜在的にセキュアではないチャネル上で共通の暗号鍵を送信することなく、２つのパーティがその鍵を保持している状態を確立するための様々なアプローチが採用されてよい。特に、本願発明の実施形態は、ロバストセキュリティネットワークアソシエーション（ＲＳＮＡ）を確立するための方法を採用する。ＩＥＥＥ  ８０２．１１の使用、ＩＥＥＥ  ８０２．１ｘプロトコルに従って、Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ（ＥＡＰ）ｏｖｅｒ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ（ＬＡＮ）を指すＥＡＰｏＬのフレーム内でカプセル化されたものなどの方法が、この目的のために用いられてよい。これは、ＥＡＰｏＬフレームの代わりに認証ＩＥ内で４ウェイハンドシェイクの一部または全てを実施することを含んでよい。一部の実施形態において、４ウェイハンドシェイクのうち最初の３つの部分が実施されてよい。つまり、４ウェイハンドシェイクの終わりの受信確認メッセージは、省略されてよいか、またはオプションであってよい。この変更されたバージョンの４ウェイハンドシェイクは、ここで、略式ハンドシェイクと呼ぶ。様々な実施形態において、終わりの受信確認メッセージが省略された、またはオプションであるこの形態のハンドシェイクは、それが特定の応用に関して十分なレベルのネットワークセキュリティをもたらす場合に採用されてよい。様々な実施形態において、認証情報要素は、４ウェイハンドシェイクまたは略式ハンドシェイクのうちどちらのハンドシェイクメッセージが伝えられているのかを示すフィールドを含む。
【００４４】
本願発明の一部の実施形態は特に、拡張型指向性マルチギガビット（ＥＤＭＧ）デバイスを含んでよい指向性マルチギガビット（ＤＭＧ）デバイスと、ＤＭＧまたはＥＤＭＧ端末デバイスにサービスを提供することが可能なアクセスポイントのオペレーションおよび調整を対象としている。ＤＭＧデバイスは、応用に依存して例えば数センチまたは数メートル程度の比較的短い距離で、高指向性ビームを介して無線通信する。通信は６０ＧＨｚ帯で行われてよく、例えば１秒当たり数ギガビット（例えば、２０ギガビット）のデータレートを達成してよい。デバイスとは、ＩＥＥＥ  ８０２．１１ａｄおよびドラフトのＩＥＥＥ  ８０２．１１ａｙ規格に記載されるような指向性マルチギガビット（ＤＭＧ）局（ＳＴＡ）を指してよい。さらにアクセスポイントとは、ＩＥＥＥ  ８０２．１１ａｄおよびドラフトのＩＥＥＥ  ８０２．１１ａｙ規格に記載されるようなパーソナル基本サービスセット（ＰＢＳＳ）制御ポイント／アクセスポイント（ＰＣＰ／ＡＰ）を指してよい。ここで説明されている様々な実施例および実施形態ではＤＭＧ  ＳＴＡおよびＰＣＰ／ＡＰが言及されているが、ＤＭＧ  ＳＴＡの代わりに他のタイプの無線デバイスが用いられてよく、ＰＣＰ／ＡＰの代わりに他のタイプのアクセスポイントが用いられてよいことが容易に理解されるべきである。
【００４５】
本願発明の一部の実施形態は、ＤＭＧデバイスを伴う特定のオペレーション状況または使用例を対象としている。特に、様々な実施形態において、本願発明は、傍受または中間者攻撃の潜在性が軽減されている状況において、ＤＭＧデバイスの認証、およびアクセスポイントとのアソシエーションのために採用される。そのような状況は、他のデバイスがアクセスポイントに極近接することが考えられない状態でＤＭＧデバイスがそのアクセスポイントに極近接している状況に対応してよい。
【００４６】
例として、ＤＭＧデバイスとアクセスポイントとは、ポータブルユーザデバイスが、料金所またはキオスクなどの固定されたデバイスに無線接続する超近距離（ＵＳＲ）通信を行ってよい。ポータブルユーザデバイスは、例えば５秒などの限られた時間枠の中でその固定されたデバイスから大量のデータをダウンロードしてよい。リンク距離は、典型的には見通し線での送信で約１０ｃｍであり得る。その固定されたデバイスには、典型的には他のデバイスからの干渉がない状態で、一時に単一のポータブルユーザデバイスのみが接続される。
【００４７】
他の例として、ＤＭＧデバイスとアクセスポイントとは、スマートホーム内で極近接してオペレーションしている２つのデバイスに対応してよい。セットトップボックス、メディアプレーヤ、タブレットまたはスマートフォンなどのソースデバイスが、スマートＴＶまたはディスプレイなどのシンクデバイスへメディアコンテンツなどのデータをストリーミングしてよい。それらデバイスは典型的には、例えば５メートル未満の距離などで極近接してオペレーションしている。典型的には他のデバイスからの干渉がない状態で、所与の一時に単一のリンクのみが存在する。
【００４８】
上記の２つの例は、本文書の背景技術で引用されている文書"ＩＥＥＥ  ８０２．１１  ＴＧａｙ  Ｕｓｅ  Ｃａｓｅｓ"に記載されるような使用例＃１および＃２に対応してよい。
【００４９】
本願発明の実施形態は、ＩＥＥＥ  ８０２．１１準拠の無線通信デバイスを対象としている。デバイスは少なくともプロセッサを含み、プロセッサは典型的には、メモリコンポーネントに接続され、ＩＥＥＥ  ８０２．１１準拠の方式でアクセスポイントと２方向通信が可能な無線ネットワークインタフェースに接続されている。プロセッサおよび無線ネットワークインタフェースは連携して、そのデバイスから無線ネットワークのＩＥＥＥ  ８０２．１１準拠のアクセスポイントへの送信のために、管理フレームまたは他のフレームなどのフレームに認証情報要素を含めるよう構成される。認証情報要素は、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む。
【００５０】
一部の実施形態において、プロセッサおよび無線ネットワークインタフェースは連携して、デバイスにより受信される、例えばＩＥＥＥ  ８０２．１１準拠のアクセスポイントからの管理フレームまたは他のフレームなどのフレームから認証情報要素を読み取るよう構成される。
【００５１】
一部の実施形態において、プロセッサはさらに、認証手順の少なくとも一部を実施するよう構成される。追加的または代替的に、アクセスポイントのプロセッサは、認証手順の少なくとも一部を実施するよう構成されてよい。
【００５２】
一部の実施形態において、デバイスのプロセッサおよび無線ネットワークインタフェースは連携して、ＩＥＥＥ  ８０２．１１準拠のアクセスポイントにより送信される第１セットのフレームのうちそれぞれのフレームから第１セットの認証情報要素を読み取るよう構成される。プロセッサおよび無線ネットワークインタフェースは連携してさらに、アクセスポイントによる受信のために無線通信デバイスから送信される第２セットのフレームに第２セットの認証情報要素を含めるよう構成される。第１セットおよび第２セットのフレームはこれにより、アクセスポイントとデバイスとの間で第１セットおよび第２セットの認証情報要素を交換するのに用いられる。第１セットおよび第２セットのフレームのうち一部または全てが管理フレームであってよい。第１セットおよび第２セットの認証情報要素は、一連のデータ要素を含む。プロセッサはさらに、交換される一連のデータ要素を用いて、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証ハンドシェイク手順を実行するよう構成されてよい。追加的または代替的に、アクセスポイントのプロセッサが、交換される認証情報要素を用いて、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するよう構成されてよい。一部の実施形態において、認証情報要素を搬送する第１セットおよび第２セットの管理フレームは、無線通信デバイスによるネットワークアクセスを同時に確立するのにも用いられてよい。
【００５３】
本願発明の実施形態は、ＩＥＥＥ  ８０２．１１ａｄまたはＩＥＥＥ  ８０２．１１ａｙ準拠のアクセスポイントなどのＩＥＥＥ  ８０２．１１準拠のアクセスポイントを対象としている。アクセスポイントは少なくともプロセッサを含み、プロセッサは典型的にはメモリコンポーネントに接続され、ＩＥＥＥ  ８０２．１１準拠の方式で他のデバイスと２方向通信が可能な無線ネットワークインタフェースに接続されている。プロセッサおよび無線ネットワークインタフェースは連携して、そのデバイスから無線ネットワークのＩＥＥＥ  ８０２．１１準拠の無線通信デバイスへの送信のために、管理フレームなどのフレームに認証情報要素を含めるよう構成される。認証情報要素は、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む。
【００５４】
一部の実施形態において、プロセッサおよび無線ネットワークインタフェースは連携して、アクセスポイントにより受信される、例えばＩＥＥＥ  ８０２．１１準拠の無線通信デバイスからのフレームから認証情報要素を読み取るよう構成される。一部の実施形態において、プロセッサはさらに、認証手順の少なくとも一部を実施するよう構成される。
【００５５】
一部の実施形態において、アクセスポイントのプロセッサおよび無線ネットワークインタフェースは連携して、アクセスポイントにより送信される第１セットのフレームのうちそれぞれのフレームに第１セットの認証情報要素を含めるよう構成される。プロセッサおよび無線ネットワークインタフェースは連携してさらに、ＩＥＥＥ  ８０２．１１準拠の無線通信デバイスから送信される第２セットのフレームから第２セットの認証情報要素を読み取るよう構成される。第１セットおよび第２セットのフレームはこれにより、アクセスポイントとデバイスとの間で第１セットおよび第２セットの認証情報要素を交換するのに用いられる。第１セットおよび第２セットの認証情報要素は、一連のデータ要素を含む。プロセッサはさらに、交換される一連のデータ要素を用いて、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証ハンドシェイク手順を実行するよう構成される。第１セットおよび第２セットのフレームは、無線通信デバイスによるネットワークアクセスを同時に確立するのにも用いられる管理フレームであってよい。
【００５６】
図１は、ＩＥＥＥ  ８０２．１１ａｄ規格のＳｅｃｔｉｏｎ  １０．３．２に記載されるようなあるバージョンの認証ステートマシンを示している。ＤＭＧ  ＳＴＡデバイスに関して、ステートマシンは状態２から開始し、典型的には状態３を介して状態４へ進む。ステートマシンはここでは、アソシエーションおよび認証に関係する、デバイスの挙動および内部論理状態を単純化されたフォーマットで表すのに用いられる。これにより、デバイスがステートマシンの特定の状態にある、との記述は、デバイスの挙動および内部論理状態についての記述として解釈されるべきである。示されているように、状態２から状態４への可能性のある直接的な変遷が、ＰＢＳＳ４ウェイハンドシェイクが成功した場合に指定される。しかし、ここで、ＰＢＳＳ４ウェイハンドシェイクは状態３からのみ起こり得ることをＩＥＥＥ  ８０２．１１ａｄ規格が指定していることが認められる。これにより、この特定のショートカットの変遷は、現在完全には可能とされていない。
【００５７】
図２は、ＩＥＥＥ  ８０２．１１ａｄ規格に係る、例えば同規格のＳｅｃｔｉｏｎ  １１．５．１．３．５に記載されるような信頼出来る第三者機関（ＴＴＰ）認証による認証／アソシエーションフローを示している。ＩＥＥＥ  ８０２．１１認証リクエストおよびＩＥＥＥ  ８０２．１１認証応答メッセージは、ＤＭＧ  ＳＴＡデバイスとの通信には用いられない。アソシエーションおよび認証段階は、ＲＳＮＡ信頼モデルに準拠した標準的な手順である。しかし、順番に実施されるこれら手順は、完了にかなりの時間がかかる。
【００５８】
より詳細に、図２は、デバイスアソシエーションおよび認証と関連して、（図１の状態２、３および４に対応する）状態２、３および４間の移行を示している。ＰＢＳＳ制御ポイント／アクセスポイント（ＰＣＰ／ＡＰ）２１０などのアクセスポイントが最初に、ビーコンフレーム、アナウンスメントフレーム、またはプローブ応答フレームであってよい第１管理フレーム２２０を送信する。第１管理フレームはＤＭＧ  ＳＴＡ２１５により受信される。これに関して、アクセスポイント（ＰＣＰ／ＡＰ）によりサービスが提供されるネットワークへのセキュアなアタッチメントが所望される。デバイスはＤＭＧデバイスであるので、通常存在する８０２．１１認証リクエストおよび８０２．１１認証応答メッセージ２２５は省略され、ステートマシンは規格に記載されるような状態２へ進む。
【００５９】
状態２から進み、ＤＭＧ  ＳＴＡは、８０２．１１アソシエーションリクエスト２３０をアクセスポイント（ＰＣＰ／ＡＰ）へ送信する。これに応答して、アクセスポイント（ＰＣＰ／ＡＰ）は、ロバストセキュアネットワーク（ＲＳＮ）情報要素（ＩＥ）と共に、８０２．１１アソシエーション応答２３５をＤＭＧ  ＳＴＡに送信する。続いて、ＥＡＰｏｌ認証プロセスが、ＤＭＧ  ＳＴＡからアクセスポイント（ＰＣＰ／ＡＰ）へのＥＡＰｏｌ開始フレーム２４０の送信により開始される。アクセスポイント（ＰＣＰ／ＡＰ）は、ＥＡＰリクエストアイデンティティフレーム２４５をＤＭＧ  ＳＴＡへ送信し、ＤＭＧ  ＳＴＡは、アクセスポイント（ＰＣＰ／ＡＰ）へのＥＡＰ−応答アイデンティティフレーム２５０の送信により応答する。ＥＡＰ−応答アイデンティティフレームは、ユーザＩＤなどの、ＤＭＧ  ＳＴＡと関連付けられた識別子を含む。
【００６０】
ＤＭＧ  ＳＴＡからの識別子の受信に続いて、アクセスポイント（ＰＣＰ／ＡＰ）は、信頼出来る第三者機関の認証サーバへリモート認証ダイアルインユーザサービス（ＲＡＤＩＵＳ）リクエストメッセージ２５５を送信する。第三者機関の認証の成功に続いて、認証サーバは、アクセスポイント（ＰＣＰ／ＡＰ）へＥＡＰ成功メッセージ２６０を送信する。これに応答して、アクセスポイント（ＰＣＰ／ＡＰ）は、ＤＭＧ  ＳＴＡへＥＡＰｏｌ成功フレーム２６５を送信する。続いて、アクセスポイント（ＰＣＰ／ＡＰ）とＤＭＧ  ＳＴＡとの両方が状態３となる。
【００６１】
状態２から状態３への移行に対応する上記のオペレーションは、ＥＡＰ認証に対応し得る。アクセスポイント（ＰＣＰ／ＡＰ）とＤＭＧ  ＳＴＡとの間で通信されるＥＡＰｏｌ管理フレーム上で、ＥＡＰ認証の一部がピギーバックされる。他の部分は、アクセスポイント（ＰＣＰ／ＡＰ）から認証サーバへのＲａｄｉｕｓリクエスト、および認証サーバからの対応する応答を介して実施される。
【００６２】
引き続き図２に関連し、（認証およびアソシエーションが確立された）状態３から（要求される場合にはＲＳＮＡステータスが確立される）状態４への移行が、概してＰＢＳＳ４ウェイハンドシェイク２７０の実行の成功を介して進む。ＰＢＳＳ４ウェイハンドシェイクは、アクセスポイント（ＰＣＰ／ＡＰ）からＤＭＧ  ＳＴＡへ第１ノンス値（Ａノンス）を送信することと、ＤＭＧ  ＳＴＡによりペア一時鍵（ＰＴＫ）を構築することと、ＤＭＧ  ＳＴＡからアクセスポイント（ＰＣＰ／ＡＰ）へ、メッセージ完全性確認（ＭＩＣ）と共に第２ノンス値（Ｓノンス）を送信することと、アクセスポイント（ＰＣＰ／ＡＰ）によりＰＴＫを構築することと、グループ一時鍵（ＧＴＫ）を構築し、ＭＩＣと共に、アクセスポイント（ＰＣＰ／ＡＰ）からＤＭＧ  ＳＴＡへ発信することと、ＤＭＧ  ＳＴＡからアクセスポイント（ＰＣＰ／ＡＰ）へ受信確認を送信することとを伴う。
【００６３】
なお、図２の上記の手順は単に例示であり、当業者には容易に理解いただけるように様々な従来の方式で調整され得る。例えば、上記ではＥＡＰ認証が採用されてよいが、他の従来の認証方法が可能であってよい。
【００６４】
本願発明の一部の実施形態は、ＩＥＥＥ  ８０２．１１ａｄ規格との少なくとも部分的な後方互換性を維持しつつ、かかる時間がより短く交換されるメッセージがより少ない認証メカニズムを提供する。例えば、ＩＥＥＥ  ８０２．１１ａｄ規格のＳｅｃｔｉｏｎ  １０．３．２および１１．５．１．３．５に説明されている認証およびアソシエーションスキームがそのままで維持されてよい。加えて、ＩＥＥＥ  ８０２．１ｘ認証プロトコルに説明されている既存のＲＳＮＡ準拠の認証／アソシエーションステートマシンが、ここで説明されているように本願発明の実施形態で利用されてよい。
【００６５】
本願発明の一部の実施形態は、全ての状況ではなく特定の状況で認証およびアソシエーションのために用いられる。なおさらに、一部の状況において、デバイスが、他の状況とは異なる事前共有された資格証明書を有する。例えば、上記で説明されたような、および、上記で引用した"ＩＥＥＥ  ８０２．１１  ＴＧａｙ  Ｕｓｅ  Ｃａｓｅｓ"文書の使用例＃１および＃２におけるＵＳＲおよびスマートホームの状況にあるデバイスは、第１タイプの事前共有された資格証明書を有してよく、他方、上記で引用した"ＩＥＥＥ  ８０２．１１  ＴＧａｙ  Ｕｓｅ  Ｃａｓｅｓ"文書の使用例＃４および＃５に説明される、データセンターのラック間接続性のアプリケーションおよびビデオ／マスデータ配信またはビデオオンデマンドシステムにおけるデバイスは、第２の異なるタイプの事前共有された資格証明書を有してよい。種々の認証スキームが、これら種々の状況の、潜在的に種々のものであるタイミングに関する要求事項を満たす必要があってよい。さらに、レガシーＩＥＥＥ  ８０２．１１ａｄ手順などの他の認証およびアソシエーション手順が、一部の状況において認証およびアソシエーションのために用いられてよい。
【００６６】
図３は、本願発明の実施形態に係る、ＩＥＥＥ  ８０２．１１準拠のネットワークで用いるためのアソシエーションおよび認証手順を示している。本実施形態は、例えば、デバイスとアクセスポイントとが、比較的短い距離で、高指向性ビームを介し無線通信する指向性マルチギガビット（ＤＭＧ）シナリオに対応してよい。本実施形態は、ＤＭＧ管理フレームを用いて、認証情報要素を伝える。さらに、様々な実施形態において、デバイスとアクセスポイントとが極近接しており、他のデバイスはアクセスポイントに極近接していない。これにより、傍受または中間者攻撃などの様々なセキュリティ面での課題が軽減されてよい。以下において、ペア一時鍵（ＰＴＫ）などの鍵の構築、ノンスおよびメッセージ完全性確認（ＭＩＣ）の生成、および、暗号化および認証に関連する他のオペレーションは、従来のＰＢＳＳ４ウェイハンドシェイクの類似のオペレーションと同様に実施されてよいことが理解されるべきである。これにより、そのようなオペレーションに関する様々な従来の実装についての詳細が以下では省略される。
【００６７】
図３を参照すると、アクセスポイント（ＰＣＰ／ＡＰ）３１０が、ビーコンフレーム、アナウンスメントフレーム、またはプローブ応答フレームなどの第１ＤＭＧ管理フレーム３２０を送信する。第１管理フレームには、ここで説明されているような並列の認証手順が利用可能であることを示すフラグビット３２３と共に、第１認証情報要素３２１が含められ、例えば追加される。第１認証情報要素は、場合により他の情報と共に（例えば、それと連結されて）、Ａノンスのラベルが付けられた第１ノンス３２２を含む。
【００６８】
第１認証情報要素を含む第１管理フレーム３２０は、ＤＭＧ  ＳＴＡ３１５により受信される。図２のシナリオのように、ＤＭＧシナリオに関して、アクセスポイントとデバイスとの両方が最初に、認証ステートマシンの状態２  ３６０にあると見なされる。続いて、ＤＭＧ  ＳＴＡは、受信したＡノンスと、ＤＭＧ  ＳＴＡにより生成された、Ｓノンスのラベルが付けられた第２ノンスと、事前共有鍵とを含む情報に基づき、ペア一時鍵（ＰＴＫ）を構築３２５する。
【００６９】
追加的に、ＤＭＧ  ＳＴＡは、８０２．１１規格に記載されるようなアソシエーションが所望されているか再アソシエーションが所望されているかに依存して８０２．１１アソシエーションリクエスト管理フレームと８０２．１１再アソシエーションリクエスト管理フレームとのうちいずれかである第２管理フレーム３３０を作成し送信する。第２管理フレームには、第２認証情報要素３３１が含められ、例えば追加される。第２認証情報要素は、メッセージとして見られる、第２認証情報要素に関して生成されたメッセージ完全性確認（ＭＩＣ）値３３３と併せて、ＤＭＧ  ＳＴＡにより生成された第２ノンス、Ｓノンス３３２を含む。ＩＥＥＥ規格文書"Ｐａｒｔ  １１：  Ｗｉｒｅｌｅｓｓ  ＬＡＮ  Ｍｅｄｉｕｍ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ（ＭＡＣ）ａｎｄ  Ｐｈｙｓｉｃａｌ  Ｌａｙｅｒ（ＰＨＹ）Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ，"  Ｖｅｒｓｉｏｎ  １２．０，  ＩＥＥＥ  Ｃｏｍｐｕｔｅｒ  Ｓｏｃｉｅｔｙ  Ｍａｒｃｈ  ２０１２のＳｅｃｔｉｏｎ  １１．６．６およびＭ２．２で指定されるように、ＭＩＣ値は、認証情報要素で計算される。ＩＥＥＥ  ８０２．１１ＲＥＶｍｂ−Ｄ１２．０規格文書もＭＩＣ値の計算について説明している。ＭＩＣ値は、潜在的に共有秘密鍵と共に、メッセージをＭＩＣハッシュ関数への入力として提供することにより導出され、ＭＩＣハッシュ関数の出力が、ＭＩＣ値に対応する。
【００７０】
アクセスポイント（ＰＣＰ／ＡＰ）による第２ノンス  Ｓノンスの受信に続いて、アクセスポイント（ＰＣＰ／ＡＰ）は、第１ノンスと、受信した第２ノンスと、事前共有鍵とを含む情報に基づきＰＴＫを構築３３５する。第２管理フレーム内で受信したＭＩＣも確認される。例えば、アクセスポイント（ＰＣＰ／ＡＰ）により構築されたＰＴＫを用いて、受信したメッセージに基づきＭＩＣの他のコピーを生成し得、生成された、および受信したＭＩＣのコピーが比較されて、それらが一致するか決定され得る。（一致した場合、そのことは、同じＰＴＫがアクセスポイント（ＰＣＰ／ＡＰ）とＤＭＧ  ＳＴＡとの両方により共有されていることを示唆している。）一致が存在する場合、アクセスポイント（ＰＣＰ／ＡＰ）は、認証が確立されると見なしてよい。
【００７１】
アクセスポイント（ＰＣＰ／ＡＰ）は、８０２．１１規格に記載されるようなアソシエーションが所望されているか再アソシエーションが所望されているかに依存して８０２．１１アソシエーション応答管理フレームと８０２．１１再アソシエーション応答管理フレームとのうちいずれかである第３管理フレーム３４０を作成し送信する。第３管理フレームには、第３認証情報要素３４１が含められ、例えば追加される。第３認証情報要素３４１は、更なるメッセージ完全性確認（ＭＩＣ）値３４３を含む。その更なるＭＩＣ値３４３は、潜在的に共有秘密鍵と共に、対応するＭＩＣハッシュ関数に入力されるメッセージとして見られる第３認証情報要素の内容に基づき生成される。
【００７２】
続いて、ＤＭＧ  ＳＴＡによる第３認証情報要素の受信に続いて、ＤＭＧ  ＳＴＡは、第３認証情報要素に含まれるＭＩＣを、受信した認証情報要素に基づきＤＭＧ  ＳＴＡにより生成される対応する更なるＭＩＣと比較する。生成された、および受信したＭＩＣのコピーが比較されて、それらが一致するか決定され得る。一致が存在する場合、ＤＭＧ  ＳＴＡは、認証が確立されるものと見なしてよい。
【００７３】
アソシエーションと併せて認証が確立されたものとアクセスポイント（ＰＣＰ／ＡＰ）が見なしたことに続いて、アクセスポイント（ＰＣＰ／ＡＰ）は、認証／アソシエーションステートマシンの（状態３／４と示される）状態３と状態４との両方３７０へ進む。認証が確立されたとＤＭＧ  ＳＴＡが見なしたことに続いて、ＤＭＧ  ＳＴＡも、認証／アソシエーションステートマシンの状態３と状態４との両方３７２に進む。より一般的に、アクセスポイント（ＰＣＰ／ＡＰ）とＤＭＧ  ＳＴＡとは、上記で説明されたように、メッセージングおよびＭＩＣ検証の完了の成功に続いて、認証およびアソシエーションが確立するものと見なしてよい。
【００７４】
認証と同時に、図３に示されているメッセージングは、８０２．１１のアソシエーションまたは再アソシエーションオペレーションも実施する。つまり、以下に説明されるように、第１、第２、および第３管理フレームは、ＤＭＧ  ＳＴＡとアクセスポイント（ＰＣＰ／ＡＰ）とのアソシエーションまたは再アソシエーションを容易にする。
【００７５】
８０２．１１アソシエーションリクエスト管理フレームまたは８０２．１１再アソシエーションリクエスト管理フレームは、アクセスポイントによる使用のための関連する情報を含む。特に、その情報はアクセスポイントが、デバイスの無線ネットワークインタフェースコントローラ（ＮＩＣ）にリソースを割り当てるのに、およびそれと同期するのに用いられる。アソシエーションリクエストフレームは、サポートされているデータレート、ターゲットネットワークのサービスセット識別子（ＳＳＩＤ）などのＮＩＣについての情報を搬送する。
【００７６】
８０２．１１アソシエーション応答管理フレームまたは８０２．１１再アソシエーション応答管理フレームは、アソシエーションまたは再アソシエーションリクエストの受け入れ、または拒否のインジケーションを含む。フレームは、アソシエーション識別子およびサポートされているデータレートなどの更なる情報を含んでよい。
【００７７】
なお、従来の形態のＰＢＳＳ４ウェイハンドシェイクに含められる、ＤＭＧ  ＳＴＡからアクセスポイント（ＰＣＰ／ＡＰ）への受信確認メッセージは、本願発明の様々な実施形態において省略される。この省略により、メッセージングのオーバーヘッドが削減され、アソシエーション／認証手順の長さが短縮されてよい。デバイスとアクセスポイントとが極近接しており、他のデバイスがアクセスポイントに極近接していないシナリオなどの様々なシナリオに関して、この省略は、十分なレベルのセキュリティが提供される限りセキュリティの観点で許容可能であってよい。図３は、例えば鍵確認目的の、本願発明の一部の実施形態に含められてよい、ＰＢＳＳ４ウェイハンドシェイクにおけるものと類似したオプションの受信確認メッセージ３４５を示している。この受信確認メッセージは、それ自体で、または、ＤＭＧ  ＳＴＡからアクセスポイント（ＰＣＰ／ＡＰ）へ送信される管理フレームまたはデータフレームなどの更なるフレームに含められる、または追加される更なる認証情報要素として、送信されてよい。一部の実施形態において、その受信確認メッセージは、受信確認フレームまたはセクタースイープ（ＳＳＷ）リポートフレームに含められる。
【００７８】
一部の実施形態において、本願発明は、特定の状況下で、例えば、従来用いられている状態変数"ｄｏｔ１１ＲＳＮＡＡｃｔｉｖａｔｅｄ"がＴＲＵＥに設定されており、ＰＢＳＳにおいて用いられるＲＳＮＡが、ＩＥＥＥ  ８０２．１ｘ認証および鍵管理プロトコルに基づく場合に、実装される。 "ｄｏｔ１１ＲＳＮＡＡｃｔｉｖａｔｅｄ"状態変数の使用は、ＩＥＥＥ  ８０２．１１ＲＥＶｍｂ−Ｄ１２．０規格文書のＴａｂｌｅ  ８−２０（４６５頁）に説明されている。ｄｏｔ１１ＲＳＮＡＡｃｔｉｖａｔｅｄ状態変数は、ビーコンを介しアクセスポイント（例えば、ＰＣＰ／ＡＰ）から送信されるインジケーション内に提供される。状態変数のＴＲＵＥ値は、アクセスポイントがＲＳＮＡ認証をサポートしていることをアドバタイズする。ＤＭＧ  ＳＴＡデバイスは状態変数のＴＲＵＥ値を受信すると、本願発明に係る同時の認証およびアソシエーションを実装することにより応答するよう構成される。
【００７９】
一部の実施形態において、本願発明は、信頼出来る第三者機関の認証サーバを要することなく認証を提供する。このことにより認証を迅速化してよい。
【００８０】
様々な実施形態において、ＰＴＫを生成するのに用いられる事前共有鍵は共通の秘密鍵Ｋである。この共通の秘密鍵Ｋは異なる長さであってよいが、様々な実施形態において、ＲＳＮＡに準拠したレベルのセキュリティの確保を達成するよう少なくとも１２８ビットであることが推奨される。共通の共有された鍵は、暗号によってセキュアな方式で、例えば、"Ｅｓｔａｂｌｉｓｈｉｎｇ  Ｗｉｒｅｌｅｓｓ  Ｒｏｂｕｓｔ  Ｓｅｃｕｒｉｔｙ  Ｎｅｔｗｏｒｋｓ：  Ａ  ｇｕｉｄｅ  ｔｏ  ＩＥＥＥ  ８０２．１１ｉ；  Ｒｅｃｏｍｍｅｎｄａｔｉｏｎｓ  ｏｆ  ｔｈｅ  Ｎａｔｉｏｎａｌ  Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｓｔａｎｄａｒｄｓ  ａｎｄ  Ｔｅｃｈｎｏｌｏｇｙ，"  Ｓｐｅｃｉａｌ  Ｐｕｂｌｉｃａｔｉｏｎ  ８００−９７，  Ｓ．  Ｆｒａｎｋｅｌ  ｅｔ  ａｌ．，  Ｎａｔｉｏｎａｌ  Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｓｔａｎｄａｒｄｓ  ａｎｄ  Ｔｅｃｈｎｏｌｏｇｙ，  Ｆｅｂｒｕａｒｙ  ２００７に従って、確立されてよい。
【００８１】
一部の実施形態において、図３で交換されるフレームは、例えば、従来のＰＢＳＳ４ウェイハンドシェイクメッセージに関連して説明されているような、ＭＢＯオペレーションをサポートするための、オプションのマルチバンドオペレーション（ＭＢＯ）パラメータを含む。
【００８２】
一部の実施形態において、単一の事前共有鍵Ｋを有するのではなく、デバイスはメモリに、複数の事前共有鍵またはキーチェーンを格納する。そして、共有された鍵のうち特定の１つが認証で用いるために選択され得る。キーチェーンの使用によりセキュリティが向上してよい。選択された事前共有鍵のアイデンティティは、デバイス間で認証時にセキュアな方式で通信され得る。事前共有鍵の選択は、認証手順に参加しているデバイス（例えば、ＤＭＧ  ＳＴＡまたはＰＣＰ／ＡＰまたは他のアクセスポイント）のうちいずれかにより実施されてよい。そして、鍵の選択を実施するデバイスは、どの鍵が選択されたかのインジケーションを他のデバイスに通信する。事前共有鍵のうちそれぞれが、対応する指標値と関連付けられてよい。鍵と指標値との間の関連付けも、事前共有されてよく、したがって、両方のデバイスで共通であってよい。鍵の選択の通信は、対応する指標値の通信を含んでよい。指標値は、認証情報要素の指定された鍵ＩＤフィールド内で通信され得る。
【００８３】
一部の実施形態において、デバイスのうち一方がメモリに、所定の鍵のセットのうち第１サブセットを保有しており、それらデバイスのうち他方が、その鍵のセットのうち第２サブセットを保有している。第１サブセットおよび第２サブセットはそれぞれ、少なくとも１つの鍵を含み、第１サブセットおよび第２サブセットは少なくとも部分的に重なる。したがって、第１サブセットと第２サブセットとが交わる部分は、事前共有鍵である少なくとも１つの鍵を含む。一部の実施形態において、第２サブセットは第１サブセット内に完全に含まれる。例えば、第１サブセットは、（第１セットが非真部分集合であるよう）鍵のセット全体と等しくてよく、他方、第２サブセットは、鍵のセット全体の真部分集合であってよい。この場合、第２サブセットを有しているデバイスは、他方のデバイスも確実に、選択された鍵を有するよう鍵選択を実施する。第１サブセットを有するデバイスは、例えばアクセスポイントである、潜在的に大量であるデータを格納することがより実際的であるデバイスであってよい。
【００８４】
一部の実施形態において、アクセスポイント（例えば、ＰＣＰ／ＡＰ）は、様々なＤＭＧ  ＳＴＡデバイスとの超近距離通信のために構成された料金所とアソシエートされる。アクセスポイントは、潜在的に多数のＤＭＧ  ＳＴＡデバイスをサポートするために、最大数千の事前共有された秘密鍵Ｋを保持してよい。各ＤＭＧ  ＳＴＡデバイスは、種々のＤＭＧ  ＳＴＡデバイスが同じ事前共有鍵を有さないよう、または有している可能性が低くなるよう、事前共有鍵ｋのうち１または複数からなる別個のサブセットを含んでよい。これにより、鍵の偽造攻撃の潜在性が軽減される。認証を開始する場合、ＤＭＧ  ＳＴＡデバイスは、それが用いようとしている事前共有鍵の指標を示すよう構成される。
【００８５】
図４は、本願発明の実施形態に係る、ＩＥＥＥ  ８０２．１１準拠のネットワークで用いるための他の認証手順を示している。この手順は、アクセスポイント（ＰＣＰ／ＡＰ）４１０が事前共有鍵を選択し、対応する鍵識別子をＤＭＧ  ＳＴＡへ送信すること以外は、図３のものと同様である。アクセスポイント（ＰＣＰ／ＡＰ）は、第１管理フレーム４２０内に、ＤＭＧ  ＳＴＡへ送信される第１認証情報要素の指定されたノンスフィールド内の第１ノンス値Ａノンスに連結された、またはそうでなければそれと共に含められた鍵ＩＤ４２２値として、選択された鍵識別子を含める。ＤＭＧ  ＳＴＡは、受信した鍵ＩＤに対応する事前共有鍵を選択し、選択した鍵を、認証手順の残りで用いる。ＤＭＧ  ＳＴＡは、第２管理フレーム４３０に含められる認証情報要素の指定された鍵ＩＤフィールド内に値鍵ＩＤ４３２も含める。鍵ＩＤフィールドは８バイト長であり得、その後に、Ａノンスフィールドが続く。鍵ＩＤは、ＭＩＣの生成が基づくメッセージデータの一部として第２管理フレーム内で用いられてよい。図４の手順の残りは、図３に関連して上記で説明されたように進んでよい。
【００８６】
図５は、本願発明の実施形態に係る、ＩＥＥＥ  ８０２．１１準拠のネットワークで用いるためのさらに他の認証手順を示している。この手順は、ＤＭＧ  ＳＴＡ５１５が事前共有鍵を選択し、対応する鍵識別子を第２管理フレーム５３０に含められる認証情報要素の指定された鍵ＩＤフィールド内で、アクセスポイント（ＰＣＰ／ＡＰ）５１０へ送信することを除いて図３のものと同様である。第１管理フレーム５２０は、場合により、ＤＭＧ  ＳＴＡが事前共有鍵を選択するというインジケータと共に、図３に関連して上記で説明されたように進む。ＤＭＧ  ＳＴＡは、第２管理フレーム５３０内に、また第２管理フレーム５３０に含められアクセスポイント（ＰＣＰ／ＡＰ）へ送信される第２認証情報要素内に、第２ノンス値ＳノンスおよびＭＩＣと共に、選択された鍵識別子を値鍵ＩＤ５３２として含める。ＤＭＧ  ＳＴＡは、それがどの鍵を現在のセッションに用いようとしているかを示すべく、アソシエーションリクエストフレームと共に含められる第２認証情報要素内に鍵ＩＤを加えてよい。アクセスポイント（ＰＣＰ／ＡＰ）は、受信した鍵ＩＤに対応する事前共有鍵を選択し、選択した鍵を、認証手順の残りで用いる。アクセスポイント（ＰＣＰ／ＡＰ）は、第３管理フレーム５４０内に、第３管理フレームと共に含められる第３認証情報要素の指定された鍵ＩＤフィールド内に値鍵ＩＤ５４２も含める。鍵ＩＤは、ＭＩＣの生成が基づくメッセージデータの一部として第３管理フレーム内で用いられてよい。図５の手順の残りは、図３に関連して上記で説明されたように進んでよい。
【００８７】
図６Ａは、本願発明の他の実施形態に係る、ＩＥＥＥ  ８０２．１１準拠のネットワークで用いるための認証手順を示している。図３から５で示されている実施形態と対比して、この認証手順は必ずしも、アソシエーション手順と同時に実施されない。むしろ、認証手順は、他のタイプの管理フレームを用いて実施され得る。図２〜５に説明される認証ステートマシンの状態は図６Ａで明示的に言及されていないが、しかし様々な実施形態において、それらは図３〜５に示されるのと同じ方式で含まれてよい。さらに、一部の実施形態において、図６Ａおよび６Ｂで示されている認証情報要素は、図４および５に関連して説明された実施形態と同様の方式で、鍵ＩＤフィールド内に事前共有鍵のインジケーションを含んでよい。またさらに、図６Ａおよび６Ｂで示されている管理フレームは潜在的に、示されていない他の管理フレームと点在させられてよい。省略される場合、図６Ａに関連して説明されているオペレーションの詳細は、図３に説明されるものと同様に進んでよい。
【００８８】
図６Ａを参照すると、アクセスポイント（ＰＣＰ／ＡＰ）または潜在的にＤＭＧ  ＳＴＡであってよい第１デバイス６１０が、第１管理フレーム６２０を送信する。第１管理フレームには、場合により、認証手順が利用可能であることを示すフラグビットと共に、第１認証情報要素６２１が含められる。示されている実施形態において、第１認証情報要素は、第１ノンス６２２を、場合により他の情報と共に含む。
【００８９】
第１認証情報要素６２１を含む第１管理フレーム６２０は、ＤＭＧ  ＳＴＡまたは潜在的にアクセスポイント（ＰＣＰ／ＡＰ）であってよい第２デバイス６１５により受信される。続いて、第２デバイスは、受信した第１ノンスと、ＤＭＧ  ＳＴＡにより生成された第２ノンスと、指標値が演繹的に知られてよい、または認証情報要素を介して通信されてよい事前共有鍵とを含む情報に基づきペア一時鍵（ＰＴＫ）を構築６２５する。
【００９０】
追加的に、第２デバイスは、第２管理フレーム６３０を作成し送信する。第２管理フレームには、第２認証情報要素６３１が含められ、例えば追加される。第２認証情報要素は、メッセージとして見られる、第２認証情報要素に関して生成されたメッセージ完全性確認（ＭＩＣ）値６３３と併せて、第２デバイスにより生成された第２ノンス６３２を含む。
【００９１】
第１デバイスによる第２ノンスの受信に続いて、第１デバイスは、第１ノンスと、受信した第２ノンスと、事前共有鍵とを含む情報に基づきＰＴＫを構築６３５する。第２管理フレーム内で受信したＭＩＣも確認される。
【００９２】
第１デバイスは、第３管理フレーム６４０を作成し送信する。第３管理フレームには、第３認証情報要素６４１が含められる。第３認証情報要素６４１は、更なるメッセージ完全性確認（ＭＩＣ）値３４３を含む。その更なるＭＩＣ値３４３は、潜在的に共有秘密鍵と共に、対応するＭＩＣハッシュ関数に入力されるメッセージとして見られる第３認証情報要素の内容に基づき生成される。
【００９３】
続いて、第２デバイスによる第３認証情報要素の受信に続いて、第２デバイスは、第３認証情報要素に含められているＭＩＣを、受信した認証情報要素に基づき第２デバイスにより生成される対応する更なるＭＩＣと比較する。生成された、および受信したＭＩＣのコピーが比較されて、それらが一致するか決定され得る。一致が存在する場合、ＤＭＧ  ＳＴＡは、認証が確立されるものと見なしてよい。第１および第２デバイスは、上記で説明されたような、メッセージングおよびＭＩＣ検証の完了の成功に続いて、認証およびアソシエーションが確立するものと見なしてよい。
【００９４】
図６Ａは、例えば鍵確認目的で、本願発明の一部の実施形態に含められてよい、ＰＢＳＳ４ウェイハンドシェイクにおけるものと類似したオプションの受信確認メッセージ６４９を示している。この受信確認メッセージ６４９は、例えば、第２デバイスから第１デバイスへ送信される第４管理フレーム６４５で提供されるように第４認証情報要素６４７の指定された受信確認フィールド内で送信されてよい。
【００９５】
図６Ｂは、本願発明のさらに他の実施形態に係る、ＩＥＥＥ  ８０２．１１準拠のネットワークで用いるための認証手順を示している。図３〜６Ｂに示されている実施形態と対比して、認証手順は必ずしも管理フレームを用いない。むしろ、認証手順は、データフレームなどの他のタイプのフレーム、またはデータフレームと管理フレームとの組み合わせを用いて実施され得る。図２〜５に説明される認証ステートマシンの状態は図６Ｂで明示的に言及されていないが、しかし、様々な実施形態において、それらは図３〜５に示されるのと同じ方式で含まれてよい。さらに、一部の実施形態において、図６Ｂで示されている認証情報要素は、図４および５に関連して説明された実施形態と同様の方式で、鍵ＩＤフィールド内に事前共有鍵のインジケーションを含んでよい。またさらに、図６Ｂで示されているフレームは潜在的に、示されていない他のフレームと点在させられてよい。省略される場合、図６Ｂに関連して説明されているオペレーションの詳細は、図３に説明されるものと同様に進んでよい。
【００９６】
図６Ｂを参照すると、アクセスポイント（ＰＣＰ／ＡＰ）または潜在的にＤＭＧ  ＳＴＡであってよい第１デバイス６６０が、第１フレーム６７０を送信する。第１フレームには、場合により、認証手順が利用可能であることを示すフラグビットと共に、第１認証情報要素６７１が含められる。示されている実施形態において、第１認証情報要素は、第１ノンス６７２を、場合により他の情報と共に含む。
【００９７】
第１認証情報要素６７１を含む第１フレーム６７０は、ＤＭＧ  ＳＴＡまたは潜在的にアクセスポイント（ＰＣＰ／ＡＰ）であってよい第２デバイス６６５により受信される。続いて、第２デバイスは、受信した第１ノンスと、ＤＭＧ  ＳＴＡにより生成された第２ノンスと、指標値が演繹的に知られてよい、または認証情報要素を介して通信されてよい事前共有鍵とを含む情報に基づきペア一時鍵（ＰＴＫ）を構築６７５する。
【００９８】
追加的に、第２デバイスは、第２フレーム６８０を作成し送信する。第２フレームには、第２認証情報要素６８１が含められ、例えば追加される。第２認証情報要素は、メッセージとして見られる、第２認証情報要素に関して生成されたメッセージ完全性確認（ＭＩＣ）値６８３と併せて、第２デバイスにより生成された第２ノンス６８２を含む。
【００９９】
第１デバイスによる第２ノンスの受信に続いて、第１デバイスは、第１ノンスと、受信した第２ノンスと、事前共有鍵とを含む情報に基づきＰＴＫを構築６８５する。第２フレーム内で受信したＭＩＣも確認される。
【０１００】
第１デバイスは、第３フレーム６９０を作成し送信する。第３フレームには、第３認証情報要素６９１が含められる。第３認証情報要素６９１は、更なるメッセージ完全性確認（ＭＩＣ）値３４３を含む。その更なるＭＩＣ値３４３は、潜在的に共有秘密鍵と共に、対応するＭＩＣハッシュ関数に入力されるメッセージとして見られる第３認証情報要素の内容に基づき生成される。
【０１０１】
続いて、第２デバイスによる第３認証情報要素の受信に続いて、第２デバイスは、第３認証情報要素に含められているＭＩＣを、受信した認証情報要素に基づき第２デバイスにより生成される対応する更なるＭＩＣと比較する。生成された、および受信したＭＩＣのコピーが比較されて、それらが一致するか決定され得る。一致が存在する場合、ＤＭＧ  ＳＴＡは、認証が確立されるものと見なしてよい。第１および第２デバイスは、上記で説明されたような、メッセージングおよびＭＩＣ検証の完了の成功に続いて、認証およびアソシエーションが確立するものと見なしてよい。
【０１０２】
図６Ｂは、例えば鍵確認目的で、本願発明の一部の実施形態に含められてよい、ＰＢＳＳ４ウェイハンドシェイクにおけるものと類似したオプションの受信確認メッセージ６９９を示している。この受信確認メッセージ６９９は、例えば、第２デバイスから第１デバイスへ送信される第４フレーム６９５で提供されるように第４認証情報要素６９７の指定された受信確認フィールド内で送信されてよい。
【０１０３】
本願発明の実施形態は、認証手順に用いるためのデータを搬送する１または複数のデータフィールドを有する認証情報要素を可能とする。様々な実施形態において、それらデータフィールドの内容は、コンテキストに依存した方式で解釈される。例えば、所与のデータフィールドの内容は、それがアップリンク方向に送信されるフレームに含められる場合には、それがダウンリンク方向に送信されるフレームに含められる場合とは異なるパラメータとして解釈され得る。他の例として、所与のデータフィールドの内容は、例えば図１の認証ステートマシンが第１の状態にある場合には、その認証ステートマシンが第２の異なる状態にある場合とは異なるパラメータとして解釈され得る。他の例として、所与のデータフィールドの内容は、４ウェイハンドシェイクのどの部分が実行されているかに依存して異なるパラメータとして解釈され得る。認証情報要素は、そのビット設定、および以下に説明される所定のオペレーションルールなどのオペレーションルールに従って解釈される。
【０１０４】
図７は、本願発明の実施形態に従って提供される認証情報要素フォーマットを示している。示されている認証情報要素のフォーマットの詳細は１つの可能性として提供されている。例えば、示されているフォーマットを調整または適応させることにより、他のフォーマットが本願発明の実施形態で用いられ得る。示されているフォーマットは、情報の種々の組み合わせを搬送するようカスタマイズされ得る。これにより、同じフォーマットが、ＰＢＳＳ４ウェイハンドシェイクの略式ハンドシェイクバージョンの第１、第２、または第３ハンドシェイクメッセージのために用いられ得る。様々な実施形態において、同じフォーマットが、ＰＢＳＳ４ウェイハンドシェイクのフルバージョンの第４ハンドシェイクメッセージのためにも用いられ得る。本実施例に説明される、および変更され得るフォーマットの詳細は、データフィールドおよびサブフィールドの順序と、これらデータフィールドおよびサブフィールドの種々の内容を示すのに用いられるビット値とである。例えば、特定の（単一のビットを示す）バイナリ値または（複数のビットを示す）ビット値が以下において指定された場合、このビット値は単に例であり調整され得ることが理解されるべきである。
【０１０５】
本願発明の実施形態によると、複数の潜在的なデータフィールド、およびそれら潜在的なデータフィールドのうち少なくとも１つの、複数の潜在的な長さを指定する、認証情報要素のフォーマットの共通のテンプレート構造が提供される。各認証情報要素は、現在の要求事項に基づき、そのテンプレート構造で許可され指定される特定のフォーマットを選択することにより構成され得る。
【０１０６】
示されているように、認証情報要素は、例えば１オクテット長の要素ＩＤフィールド７０２を含む。要素ＩＤフィールドは、その情報要素が認証情報要素であることを示す。認証情報要素は、例えば１オクテット長の長さフィールド７０５を含む。長さフィールドは、認証情報要素の全体的な長さを示す。
【０１０７】
認証情報要素は、例えば１オクテット長のオプションフィールド７１０を含む。オプションフィールドは、２ビットのタイプサブフィールド７１５と、２ビットのハンドシェイクサブフィールド７３０と、１ビットの鍵ＩＤ利用状況フラグ７５０と、１ビットの鍵ＩＤイニシエータインジケータビット７５４と、１または複数の予約ビットのセクション７５７とを含む。
【０１０８】
タイプサブフィールド７１５は、事前共有鍵を用いた認証およびアソシエーションプロセスとその認証情報要素が関連付けられている（ビット値０１）か、または、事前共有鍵を用いた再認証および再アソシエーションプロセスとその認証情報要素が関連付けられている（ビット値１０）か、または、ＩＥＥＥ  ８０２．１１のアソシエーションおよび／または認証フレーム以外のフレームを用いた認証（およびオプションでアソシエーション）プロセスとその認証情報要素が関連付けられている（ビット値１１）か、を示す。例えば、その認証情報要素は、データフレームで搬送され得る。
【０１０９】
ハンドシェイクサブフィールド７３０は、ＰＢＳＳ４ウェイハンドシェイクまたは略式ハンドシェイクのどのシーケンシャルなメッセージがその認証情報要素により伝えられているかを示す。ビット値００は、第１ハンドシェイクメッセージが、（例えばＤＭＧビーコンフレームを介し）伝えられていることを示し、ビット値０１は、第２ハンドシェイクメッセージが、（例えばアソシエーションリクエストまたは再アソシエーションリクエストフレームを介し）伝えられていることを示し、ビット値１０は、第３ハンドシェイクメッセージが、（例えばアソシエーションまたは再アソシエーション応答フレームを介し）伝えられていることを示し、ビット値１１は、オプションの第４ハンドシェイクメッセージが、伝えられていることを示す（タイプサブフィールドがビット値０１または１０を含んでいる場合には使用されない）。可変長のフィールドの長さを含む認証情報要素の内容は、ノンスフィールドなどのフィールドの内容の応用と併せて、ハンドシェイクサブフィールド内の値に少なくとも部分的に基づき推論され得る。
【０１１０】
鍵ＩＤ利用状況フラグ７５０は、鍵ＩＤフィールド７６０が存在しているかしていないかを示す。
【０１１１】
鍵ＩＤイニシエータビット７５４は、どのエンティティが鍵ＩＤの通信を開始するのかを示す。鍵ＩＤイニシエータビットがゼロに設定されている場合、アクセスポイント（ＰＣＰ／ＡＰ）が、鍵ＩＤの通信を開始するエンティティとして特定される。鍵ＩＤイニシエータビットが１に設定されている場合、ＤＭＧ  ＳＴＡが、鍵ＩＤの通信を開始するエンティティとして特定される。
【０１１２】
認証情報要素は、例えば０オクテット長（存在しない）または８オクテット長（存在する）の鍵ＩＤフィールド７６０も含む。その長さは可変であり、認証情報要素の要求事項に依存し得る。鍵ＩＤフィールドが存在する場合、それは、認証手順に用いられることになる事前共有鍵の指標として機能する鍵ＩＤ値を含む。
【０１１３】
認証情報要素は、例えば０オクテット長または１６オクテット長のノンスフィールド７６５も含む。長さは可変であり、認証情報要素の要求事項に依存し得る。ノンスフィールドが存在する場合、それは、ＳノンスまたはＡノンスなどの通信されることになるノンス値を含む。
【０１１４】
認証情報要素は、例えば１６オクテット長のメッセージ完全性確認（ＭＩＣ）フィールド７７０も含む。ＭＩＣフィールドは、認証手順におけるメッセージの完全性のチェックを実施するのに用いるための現在のＭＩＣ値を含む。
【０１１５】
本願発明の実施形態において、例えば図３、図６Ａ、または図６Ｂに関連して上記で説明した手順の第１認証情報要素、第２認証情報要素、および第３認証情報要素は、図７を参照し、以下のようにフォーマットされる。第１認証情報要素３２１または６２１は、ハンドシェイクサブフィールド７３０内にビット値００を含み、ノンスフィールド７６５は、第１ノンス３２２または６２２を搬送する。第２認証情報要素３３１または６３１は、ハンドシェイクサブフィールド７３０内にビット値０１を含み、ノンスフィールド７６５は、第２ノンス３３２または６３２を搬送し、ＭＩＣフィールド７７０は、ＭＩＣ３３３または６３３を搬送する。第３認証情報要素３４１または６４１は、ハンドシェイクサブフィールド７３０内にビット値１０を含み、ＭＩＣフィールド７７０は、ＭＩＣ３４３または６４３を搬送する。
【０１１６】
受信に応答して、認証情報要素を含むフレームは、様々なオペレーションルールに従って処理され得る。オペレーションルールにより、様々な実施形態における認証を容易にするためのフレームの適切な処理が可能となる。例として、本願発明の実施形態に係る様々なオペレーションルールが以下に説明されている。追加のルールも加えられ得、またはルールが適宜変更され得る。
【０１１７】
タイプサブフィールドがビット値０１を含む場合、およびハンドシェイクサブフィールドがビット値００を含む場合、ノンスフィールドは１６オクテット長であるものと決定され、Ａノンスを搬送しているものと解釈される。
【０１１８】
タイプサブフィールドがビット値０１を含む場合、およびハンドシェイクサブフィールドがビット値０１を含む場合、ノンスフィールドは１６オクテット長であるものと決定され、Ｓノンスを搬送しているものと解釈される。
【０１１９】
タイプサブフィールドがビット値０１を含む場合、およびハンドシェイクサブフィールドがビット値１０を含む場合、ノンスフィールドは０オクテット長であるものと決定される。
【０１２０】
タイプサブフィールドがビット値１０を含む場合、およびハンドシェイクサブフィールドがビット値００を含む場合、ノンスフィールドは１６オクテット長であるものと決定され、Ａノンスを搬送しているものと解釈される。
【０１２１】
タイプサブフィールドが値１０を含む場合、およびハンドシェイクサブフィールドが値０１を含む場合、ノンスフィールドは１６オクテット長であるものと決定され、Ｓノンスを搬送しているものと解釈される。
【０１２２】
タイプサブフィールドがビット値１０を含む場合、およびハンドシェイクサブフィールドがビット値１０を含む場合、ノンスフィールドは０オクテット長であるものと決定される。
【０１２３】
タイプサブフィールドがビット値１１を含む場合、およびハンドシェイクサブフィールドがビット値００を含む場合、ノンスフィールドは１６オクテット長であるものと決定され、Ａノンスを搬送しているものと解釈される。
【０１２４】
タイプサブフィールドがビット値１１を含む場合、およびハンドシェイクサブフィールドがビット値０１を含む場合、ノンスフィールドは１６オクテット長であるものと決定され、Ｓノンスを搬送しているものと解釈される。
【０１２５】
タイプサブフィールドがビット値１１を含む場合、およびハンドシェイクサブフィールドがビット値１０を含む場合、ノンスフィールドは０オクテット長であるものと決定される。
【０１２６】
タイプサブフィールドがビット値１１を含む場合、およびハンドシェイクサブフィールドがビット値１１を含む場合、ノンスフィールドは０オクテット長であるものと決定される。
【０１２７】
鍵ＩＤ利用状況フラグがバイナリ値０を含む場合、鍵ＩＤフィールドは、０オクテット長であるものと決定される。
【０１２８】
鍵ＩＤ利用状況フラグがバイナリ値１を含む場合、鍵ＩＤフィールドは、８オクテット長であるものと決定される。
【０１２９】
ハンドシェイクサブフィールドがビット値００を含む場合、ＭＩＣフィールドは、０オクテット長であるものと決定される。そうでない場合、ＭＩＣフィールドは１６オクテット長であるものと決定される。
【０１３０】
図８は、上記で説明されたよう様々なオペレーションルールをエンコードする真理値表を示している。鍵ＩＤ利用状況フラグの値のみに依存する鍵ＩＤフィールド長さに関連するオペレーションルールは示されていない。
【０１３１】
図９は、本願発明の実施形態に係る、開発中のＩＥＥＥ  ８０２．１１ａｙ規格で用いるための、提案されている認証鍵管理スイートに関連するチャートを示している。
【０１３２】
図１０は、本願発明の実施形態に係るロバストセキュリティネットワーク（ＲＳＮ）機能フィールドを示している。ＩＥＥＥ  ８０２．１１規格のＳｕｂｃｌａｕｓｅ  ８．４．２．２４．４に説明されている規格に則ったＲＳＮインジケータは、そのインジケータの最後の予約ビットが"ＦＡＡ機能"インジケータビット１０１０として再度定められるよう更新される。代替的に、ロケーション１０１２の予約ビットが、"ＦＡＡ機能"インジケータビットとして再度定められ得る。ＦＡＡ機能ビットをバイナリゼロに設定することにより、（管理フレームに追加された認証情報要素を用いる）ここで説明される高速認証／アソシエーション手順が用いられていないことが示される。ＦＡＡ機能ビットをバイナリ１に設定することにより、（管理フレームに追加された認証情報要素を用いる）ここで説明される高速認証／アソシエーション手順が用いられていること、および認証情報要素がその後に加えられていることが示される。
【０１３３】
図１１は、特に上記で説明されたような鍵識別子が存在していない状態で、本願発明の実施形態に従って提供される鍵階層を示している。ペアマスター鍵（ＰＭＫ）に対応してよい事前共有鍵Ｋ１１１０が示されている。ペア一時鍵（ＰＴＫ）１１２０は、共通のテキスト文字列、ＭＡＣアドレス、および交換されたノンスなどの双方に知られている他の情報と共に、事前共有鍵Ｋに基づき鍵導出関数ＫＤＦ−Ｘ１１１５を用いて生成される。ＫＤＦ−Ｘの値"Ｘ"は、鍵導出関数の出力ビット長を指す。図１１において、ＭＡＣ＿ｓおよびＭＡＣ＿ａはそれぞれ、ＤＭＧ  ＳＴＡおよびアクセスポイント（ＰＣＰ／ＡＰ）に関する４８ビットのＭＡＣアドレスを表し、他方、ＳノンスおよびＡノンスは、例えば図３に関連して上記で説明されたように交換されてよい。
【０１３４】
図１１に示されているように、"Ｍｉｎ"および"Ｍａｘ"がそれぞれ、最小および最大の関数を表す場合、鍵導出関数ＫＤＦ−Ｘ１１１５は、事前共有鍵Ｋ、一定の文字列"１１ａｙ  Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ"、ＭＡＣアドレスＭＡＣ＿ｓおよびＭＡＣ＿ａ、並びにノンス  ＳノンスおよびＡノンスの以下の関数に対応してよい。
【０１３５】
ＫＤＦ−Ｘ（  Ｋ，  "１１ａｙ  Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ"，  Ｍｉｎ（ＭＡＣ＿ｓ，  ＭＡＣ＿ａ）  ｜｜  Ｍａｘ（ＭＡＣ＿ｓ，  ＭＡＣ＿ａ）  ｜｜  Ｍｉｎ（ＳＮｏｎｃｅ，  ＡＮｏｎｃｅ）  ｜｜  Ｍａｘ（ＳＮｏｎｃｅ，  ＡＮｏｎｃｅ））。
【０１３６】
鍵導出関数ＫＤＦ−Ｘは、ＩＥＥＥ  ８０２．１１規格のＳｕｂｃｌａｕｓｅ  １１．６．１．７．２で指定されるように実装されてよい。
【０１３７】
ＰＴＫ１１２０は、鍵確認鍵（ＫＣＫ）１１２５、鍵暗号化鍵（ＫＥＫ）１１３０、一時鍵（ＴＫ）１１３５を含んでよい。ＫＣＫは、関数Ｌ（ＰＴＫ，０，Ｂ）に従って導出されてよい（Ｂは、少なくとも１２８ビットである）。ＫＥＫは、関数Ｌ（ＰＴＫ，Ｂ，Ｂ）に従って導出されてよい。ＴＫは、関数Ｌ（ＰＴＫ，Ｂまたは２＊Ｂ，ＴＫ＿ビット）に従って導出されてよい（ＴＫ＿ビットは、所定の値である）。関数Ｌ（ａ，ｘ，ｙ）は、最も左側のビットをビット"ｘ"として扱い、ｙビットの長さとなるよう切り捨て、入力"ａ"の最上位のビットを返す"左"の関数を表す。
【０１３８】
図１２は、例えば上記で説明されたような鍵識別子鍵ＩＤが存在している状態で、本願発明の実施形態に従って提供される鍵階層を示している。図１２の鍵階層は、鍵導出関数１２１５は鍵ＩＤ１２１７の関数でもあることを除いて、図１１のものと同等である。
【０１３９】
図１２に示されているように、鍵導出関数ＫＤＦ−Ｘ１２２０は、事前共有鍵Ｋ、"１１ａｙ  Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ"などの一定の文字列、鍵ＩＤ、ＭＡＣアドレスＭＡＣ＿ｓおよびＭＡＣ＿ａ、並びにノンス  ＳノンスおよびＡノンスの以下の関数に対応してよい。
【０１４０】
ＫＤＦ−Ｘ（  Ｋ，  "１１ａｙ  Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ"，  Ｋｅｙ  ＩＤ  ｜｜  Ｍｉｎ（ＭＡＣ＿ｓ，  ＭＡＣ＿ａ）  ｜｜  Ｍａｘ（ＭＡＣ＿ｓ，  ＭＡＣ＿ａ）  ｜｜  Ｍｉｎ（ＳＮｏｎｃｅ，  ＡＮｏｎｃｅ）  ｜｜  Ｍａｘ（ＳＮｏｎｃｅ，  ＡＮｏｎｃｅ））。
【０１４１】
代替的に、"１１ａｄ  Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ"または"Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ"などの異なる一定の文字列、または他の任意の一定の文字列が用いられ得る。
【０１４２】
様々な実施形態において、例えば上記で示されたように、事前共有鍵Ｋ１２１０が用いられて、ＫＣＫ１２２５と、ＫＥＫ１２３０と、ＴＫ１２３５とを含むＰＴＫ１２２０を導出する。ＫＣＫと、ＫＥＫと、ＴＫとのうちそれぞれは、少なくとも１２８ビットであってよい。
【０１４３】
様々な実施形態において、およびＩＥＥＥ  ８０２．１１ａｄ規格と同様に、鍵の管理のために用いられるＣｉｐｈｅｒ  Ｓｕｉｔｅは、ＧＣＭＰ（ＯＵＩ：００−０Ｆ−ＡＣ：８）に対応してよい。
【０１４４】
様々な実施形態において、鍵識別子は、信頼出来る第三者機関のサーバが利用出来ず、両方のデバイスが極近接しており、これにより、傍受または中間者攻撃の潜在性に起因する潜在的な脅威が軽減されているシナリオに対応すべく提供される。
【０１４５】
一部の実施形態において、鍵の管理は、例えば、ＩＥＥＥ  ８０２．１１ａｄ規格のＳｅｃｔｉｏｎ  １０．３．５に記載されるようなペア一時鍵セキュリティアソシエーション（ＰＴＫＳＡ）ライフサイクル管理の要求事項に沿う。
【０１４６】
一部の実施形態において、ＩＥＥＥ  ８０２．１１再アソシエーションオペレーションが、ブレークアウト（ｂｒｅａｋｏｕｔ）なしで上位層のセッションを再開するために同時の認証／アソシエーションプロトコルのための上記にて説明したプロトコルを繰り返してよい。再アソシエーションフレームは、８０２．１１のアソシエーションフレームとは別個のフレームなので、本願発明の実施形態は、８０２．１１のアソシエーションフレームに対してと同じように、８０２．１１再アソシエーションフレームへの同じ認証情報要素の追加を用いてよい。
【０１４７】
図１３は、指向性マルチギガビット無線リンク上でデバイスＤＭＧ  ＳＴＡ１３１５と通信するアクセスポイント（ＰＣＰ／ＡＰ）１３１０を示している。アソシエーションおよび認証オペレーションが、アクセスポイントとデバイスとの間で、ここで説明したように実施されてよい。オプションで、一部の実施形態において認証を容易にすべく、信頼出来る第三者機関（ＴＴＰ）の認証サーバ１３０５が採用されてよい。しかし、他の実施形態において、ＴＴＰ認証サーバが省略される。
【０１４８】
図１４は、本願発明の実施形態に係る、無線デバイス（ＤＭＧ  ＳＴＡ）またはアクセスポイント（ＰＣＰ／ＡＰ）などのデバイスを示している。デバイスは、例えば、ＩＥＥＥ  ８０２．１１ａｄ規格またはＩＥＥＥ  ８０２．１１ａｙ規格などの適切なバージョンのＩＥＥＥ  ８０２．１１規格に従った指向性マルチギガビット無線通信リンクを介し２方向通信が可能な無線ネットワークインタフェース１４１０を含む。デバイスはさらに、ネットワークインタフェースとメモリ１４２５とに接続されたプロセッサ１４２０を含む。メモリは、ここで説明されたようなアソシエーションおよび認証オペレーションを含む、通信を容易にするために、プロセッサによる実行のためのプログラム命令を含んでよい。デバイスはさらに、ここで説明されたような選択および使用のための１または複数の事前共有鍵を保持するよう構成された鍵データベース１４３０を含んでよい。明瞭にするために別々に示されているが、鍵データベースは、メモリと統合されてよい。代替的に、鍵、または鍵のセットは、他のメモリロケーション、またはメモリロケーションのセットで保持されてよい。デバイスは追加的に、当業者には容易に理解されるであろうように、ＩＥＥＥ  ８０２．１１アクセスポイント／制御ポイントまたは指向性マルチギガビット無線デバイスの、従来のタイプのコンポーネントを含んでよい。デバイスは例えば、ハンドヘルドデバイス、スマートフォンパーソナルコンピューティングデバイス、無線ルータ、または乗り物または家電などのデバイス無線モジュールであってよい。
【０１４９】
図１５は、本願発明の実施形態に係る、図１４のデバイスの機能表現を示している。デバイスは、デバイスへ、および／またはデバイスからの、管理フレームの送信および／または受信を管理するよう構成された管理フレームモジュール１５１０を含む。一部の実施形態において、管理フレームモジュールは、ネットワークアソシエーション手順を実行するよう管理フレームを構成してよい。例えば、デバイスがＤＭＧ  ＳＴＡである場合、管理フレームモジュールは、受信したＤＭＧビーコンフレームに応答して８０２．１１アソシエーションリクエストフレームを送信し、さらに、８０２．１１アソシエーション応答フレームを受信してよく、これにより、そのデバイスの、ＩＥＥＥ  ８０２．１１ネットワークへのアソシエーションを容易にしてよい。デバイスがアクセスポイント（ＰＣＰ／ＡＰ）である場合、管理フレームモジュールは、ＤＭＧビーコンを送信し、ＤＭＧビーコンに応答して８０２．１１アソシエーションリクエストを受信し、さらに、８０２．１１アソシエーション応答フレームを送信してよく、これにより、他のデバイスの、ＩＥＥＥ  ８０２．１１ネットワークへのアソシエーションを容易にしてよい。より一般的に、管理フレームモジュールは、ネットワークアソシエーションを含むがこれに限定されない様々な目的で管理フレームを生成し構成してよい。
【０１５０】
図１５のデバイスはさらに、受信した管理フレームから追加の認証情報要素を受信し、送信される管理フレームに含めるための追加の認証情報要素を提供するよう構成された認証モジュール１５１５を含む。認証情報要素は、上記で説明されたように管理フレームに含められ構成されてよい。例えば、デバイスがＤＭＧ  ＳＴＡである場合、認証モジュールは、受信したＤＭＧビーコンフレームから第１ノンス値Ａノンスを受信し、ＰＴＫを構築し、受信したＤＭＧビーコンフレームに応答して送信されることになる８０２．１１アソシエーションリクエストフレームに含めるためにＭＩＣと共に第２ノンス値Ｓノンスを提供してよい。認証モジュールはさらに、８０２．１１アソシエーション応答フレームに含められているＭＩＣを受信してよい。認証モジュールはさらに、受信したＭＩＣの検査により認証を検証してよい。デバイスがアクセスポイント（ＰＣＰ／ＡＰ）である場合、認証モジュールは、送信されることになるＤＭＧビーコンフレームに含めるための第１ノンス値Ａノンスを提供し、ＤＭＧビーコンフレームに応答して送信される８０２．１１アソシエーションリクエストフレームに含められているＭＩＣと共に第２ノンス値Ｓノンスを受信し、ＰＴＫを構築してよい。認証モジュールはさらに、８０２．１１アソシエーション応答フレームに含めるためのＭＩＣを提供してよい。認証モジュールはさらに、受信したＭＩＣの検査により認証を検証してよい。
【０１５１】
認証モジュールおよび管理フレームモジュールは、少なくとも部分的に、並列化された、またはマルチスレッド化された方式でオペレーションを行ってよい。認証モジュールへ提供される、および／または認証モジュールから受信する認証情報要素は、管理フレームモジュールへ提供される、および／または管理フレームモジュールから受信するフレーム上でピギーバックされてよい。認証モジュールおよび管理フレームモジュールは、メモリに格納された命令を実行するプロセッサまたはプロセッサのセットを介して実現されてよい。
【０１５２】
図１５はさらに、受信した管理フレームから認証情報要素を抽出し、受信した管理フレームを（場合により認証情報要素が削除された状態で）管理フレームモジュールへ転送しつつこれら情報要素を認証モジュールへ提供する抽出モジュール１５２０を示している。
【０１５３】
図１５はさらに、認証モジュールにより提供された認証情報要素を管理フレームモジュールにより提供された管理フレームへ含める（例えば、追加する）含めモジュール１５３０を示している。
【０１５４】
図１５はさらに、少なくとも管理フレームを無線で送信および受信するよう構成された、ネットワークインタフェースの送信機能モジュール（Ｔｘ）１５４０および受信機能モジュール（Ｒｘ）１５５０を示している。
【０１５５】
図１６は、本願発明の他の実施形態に係る、特に、認証情報要素の通信が管理フレームに限定されない場合の、図１４のデバイスの機能表現を示している。デバイスは、デバイスへの、および／またはデバイスからの、データフレームおよび管理フレームなどのフレームの送信および／または受信を管理するよう構成されたフレーム通信モジュール１６１０を含む。一部の実施形態において、図１５に関連して説明されたように、フレーム通信モジュールは、ネットワークアソシエーション手順を実行するよう管理フレームを構成してよい。フレーム通信モジュールは、ネットワークアソシエーションを含むがこれに限定されない様々な目的で管理フレームを生成し構成してよい。フレーム通信モジュールは、データフレームなどの他のフレームを処理してもよい。
【０１５６】
図１６のデバイスはさらに、受信したフレームから追加の認証情報要素を受信し、送信されるフレームに含めるための追加の認証情報要素を提供するよう構成された認証モジュール１６１５を含む。認証情報要素は、上記で説明されたようにフレームに含められ構成されてよい。例えば、デバイスがＤＭＧ  ＳＴＡである場合、認証モジュールは、受信した第１フレームから第１ノンス値Ａノンスを受信し、ＰＴＫを構築し、送信されることになる第２フレームに含めるためにＭＩＣと共に第２ノンス値Ｓノンスを提供してよい。認証モジュールはさらに、受信した第３フレームに含められているＭＩＣを受信してよい。認証モジュールはさらに、受信したＭＩＣの検査により認証を検証してよい。デバイスがアクセスポイント（ＰＣＰ／ＡＰ）である場合、認証モジュールは、送信されることになる第１フレームに含めるための第１ノンス値Ａノンスを提供し、送信されることになる第２フレームに含められているＭＩＣと共に第２ノンス値Ｓノンスを受信し、ＰＴＫを構築してよい。認証モジュールはさらに、第３フレームに含めるためのＭＩＣを提供してよい。認証モジュールはさらに、受信したＭＩＣの検査により認証を検証してよい。
【０１５７】
認証モジュールおよびフレーム通信モジュールは、少なくとも部分的に、並列化された、またはマルチスレッド化された方式でオペレーションを行ってよい。認証モジュールへ提供される、および／または認証モジュールから受信する認証情報要素は、フレーム通信モジュールへ提供される、および／またはフレーム通信モジュールから受信するフレーム上でピギーバックされてよい。認証モジュールおよびフレーム通信モジュールは、メモリに格納された命令を実行するプロセッサまたはプロセッサのセットを介して実現されてよい。
【０１５８】
図１６はさらに、受信したフレームから認証情報要素を抽出し、受信したフレームを（場合により認証情報要素が削除された状態で）フレーム通信モジュールへ転送しつつこれら情報要素を認証モジュールへ提供する抽出モジュール１６２０を示している。
【０１５９】
図１６はさらに、認証モジュールにより提供された認証情報要素をフレーム通信モジュールにより提供されたフレームへ含める（例えば、追加する）含めモジュール１６３０を示している。
【０１６０】
図１６はさらに、少なくとも管理フレームを無線で送信および受信するよう構成された、ネットワークインタフェースの送信機能モジュール（Ｔｘ）１６４０および受信機能モジュール（Ｒｘ）１６５０を示している。
【０１６１】
先に述べた実施形態の説明を通じて、本願発明は、ハードウェアのみを用いることにより、または、ソフトウェアと必要な汎用のハードウェアプラットフォームとを用いることにより実装されてよい。そのような理解に基づき、本願発明の技術的解決策は、ソフトウェアプロダクトの形態で具現化されてよい。そのソフトウェアプロダクトは、コンパクトディスク読み取り専用メモリ（ＣＤ−ＲＯＭ）、ＵＳＢフラッシュディスク、または取り外し可能なハードディスクであり得る不揮発性または非一時的記憶媒体に格納されてよい。ソフトウェアプロダクトは、コンピュータデバイス（パーソナルコンピュータ、サーバ、またはネットワークデバイス）が、本願発明の実施形態で提供されている方法を実行することを可能とするいくつかの命令を含む。例えば、そのような実行は、ここで説明されている論理演算のシミュレーションに対応してよい。そのソフトウェアプロダクトは追加的に、または代替的に、コンピュータデバイスが、本願発明の実施形態に係る、デジタル論理装置を構成またはプログラミングするためのオペレーションを実行することを可能とするいくつかの命令を含んでよい。
【０１６２】
その具体的な特徴および実施形態を参照して本願発明を説明してきたが、本願発明から逸脱することなく様々な変更および組み合わせが行われ得ることは明白である。したがって、明細書および図面は、単に、添付の請求項により定められる本願発明を例示するものとして見なされ、本願発明の範囲に含まれる任意の、および全ての変更、変形、組み合わせ、または同等物を網羅することが想到されている。
【図１】
2018534805.tif 000003
【図２】
2018534805.tif 000004
【図３】
2018534805.tif 000005
【図４】
2018534805.tif 000006
【図５】
2018534805.tif 000007
【図６Ａ】
2018534805.tif 000008
【図６Ｂ】
2018534805.tif 000009
【図７】
2018534805.tif 000010
【図８】
2018534805.tif 000011
【図９】
2018534805.tif 000012
【図１０】
2018534805.tif 000013
【図１１】
2018534805.tif 000014
【図１２】
2018534805.tif 000015
【図１３】
2018534805.tif 000016
【図１４】
2018534805.tif 000017
【図１５】
2018534805.tif 000018
【図１６】
2018534805.tif 000019
【手続補正書】
【提出日】平成30年4月12日(2018.4.12)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
無線ネットワークの第１デバイスと第２デバイスとの間で送信される１または複数のそれぞれのフレームに１または複数の認証情報要素を含める段階であって、前記１または複数の認証情報要素は、前記第１デバイスと前記第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む、段階を備える、認証のための方法。
【請求項２】
前記１または複数の認証情報要素は、前記第１デバイスから前記第２デバイスへ送信されるフレームに含められる、請求項１に記載の方法。
【請求項３】
前記第１デバイスが前記第２デバイスから受信する１または複数の更なるフレームに含められる１または複数の更なる認証情報要素を受信する段階であって、前記認証手順は、前記１または複数の認証情報要素と前記１または複数の更なる認証情報要素との交換に基づく、段階をさらに備える、請求項２に記載の方法。
【請求項４】
前記１または複数の認証情報要素は、前記第２デバイスから前記第１デバイスへ送信されるフレームに含められる、請求項１に記載の方法。
【請求項５】
前記第２デバイスが前記第１デバイスから受信する１または複数の更なるフレームに含められる１または複数の更なる認証情報要素を受信する段階であって、前記認証手順は、前記１または複数の認証情報要素と前記１または複数の更なる認証情報要素との交換に基づく、段階をさらに備える、請求項４に記載の方法。
【請求項６】
前記１または複数のそれぞれのフレームは管理フレームまたはデータフレームを含む、請求項１から５のいずれか一項に記載の方法。
【請求項７】
前記管理フレームのうち少なくとも一部は、前記認証手順と並列でネットワークアクセス手順またはネットワークアソシエーション手順を実施するのに用いられる、請求項６に記載の方法。
【請求項８】
前記データは、複数の事前共有鍵のうちどの鍵が前記認証手順に用いられることになるのかを示す鍵識別子を含む、または前記データは、前記認証手順で用いるためのノンスと、前記認証手順で用いるためのメッセージ完全性確認値とのうち１または複数を含む、請求項１から７のいずれか一項に記載の方法。
【請求項９】
前記認証手順は、
第１ノンス値を含む第１認証情報要素を、前記第１デバイスから前記第２デバイスへ送信する段階と、
続いて、第２ノンス値とメッセージ完全性確認値とを含む第２認証情報要素を、前記第２デバイスから前記第１デバイスへ送信する段階と、
続いて、更なるメッセージ完全性確認値を含む第３認証情報要素を、前記第１デバイスから前記第２デバイスへ送信する段階と、
を含み、
前記認証情報要素は、前記第１認証情報要素および前記第３認証情報要素と、前記第２認証情報要素とのうちいずれかを含む、請求項１から８のいずれか一項に記載の方法。
【請求項１０】
前記第１認証情報要素は、ビーコンフレーム、アナウンスメントフレーム、またはプローブ応答フレームである第１管理フレームに含められ、前記第２認証情報要素は、アソシエーションリクエストフレームまたは再アソシエーションリクエストフレームである第２管理フレームに含められ、前記第３認証情報要素は、アソシエーション応答フレームまたは再アソシエーション応答フレームである第３管理フレームに含められる、請求項９に記載の方法。
【請求項１１】
第１デバイスであって、
プロセッサを備え、
前記プロセッサは、
無線ネットワークインタフェースに結合され、
無線ネットワークを介し、前記第１デバイスから第２デバイスへ送信される１または複数のそれぞれのフレームに１または複数の認証情報要素を含め、
前記１または複数の認証情報要素は、前記第１デバイスと前記第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む、第１デバイス。
【請求項１２】
前記第１デバイスは、ＩＥＥＥ  ８０２．１１準拠の局であり、前記第２デバイスは、ＩＥＥＥ  ８０２．１１準拠のアクセスポイントであり、
前記第１デバイスはさらに、
前記第２デバイスにより送信され前記第１デバイスが受信した更なるフレームから更なる認証情報要素を読み取り、
前記更なる認証要素に含められるデータに少なくとも部分的に基づいて前記１または複数の認証情報要素のうち少なくとも１つを構成し、
前記１または複数の認証情報要素および前記更なる認証情報要素がこれにより、前記認証手順に対応するハンドシェイクを実行するのに用いられる、請求項１１に記載の第１デバイス。
【請求項１３】
前記第１デバイスは、ＩＥＥＥ  ８０２．１１準拠のアクセスポイントであり、前記第２デバイスは、ＩＥＥＥ  ８０２．１１準拠の局であり、
前記第１デバイスはさらに、
前記第２デバイスにより送信され前記第１デバイスが受信した更なるフレームから更なる認証情報要素を読み取り、
前記更なる認証要素に含められるデータに少なくとも部分的に基づいて前記１または複数の認証情報要素のうち１つを構成し、
前記１または複数の認証情報要素および前記更なる認証情報要素がこれにより、前記認証手順に対応するハンドシェイクを実行するのに用いられる、請求項１１に記載の第１デバイス。
【請求項１４】
前記１または複数のそれぞれのフレームは管理フレームまたはデータフレームを含む、請求項１１から請求項１３のいずれか一項に記載の第１デバイス。
【請求項１５】
前記管理フレームのうち少なくとも一部は、前記認証手順と並列でネットワークアクセス手順またはネットワークアソシエーション手順を実施するのに用いられる、請求項１４に記載の第１デバイス。
【請求項１６】
前記データは、複数の事前共有鍵のうちどの鍵が前記認証手順に用いられることになるかを示す鍵識別子と、前記認証手順で用いるためのメッセージ完全性コードとのうち１または複数を含む、請求項１１から請求項１５のいずれか一項に記載の第１デバイス。
【請求項１７】
第１デバイスであって、
プロセッサを備え、
前記プロセッサは、
無線ネットワークインタフェースに結合され、
前記第１デバイスと第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータであって、複数の事前共有鍵のうちどの鍵が前記認証手順で用いられることになるかを示す鍵識別子と、前記認証手順で用いるためのノンスと、前記認証手順で用いるためのメッセージ完全性確認値とのうち１または複数を含むデータを含む認証情報要素を生成し、
無線ネットワークを介し、前記第１デバイスから前記第２デバイスへ送信されることになるフレームに前記認証情報要素を含める、第１デバイス。
【請求項１８】
前記認証情報要素はデータフィールドを含み、
前記第１デバイスは、前記第１デバイスが無線通信デバイスであるかアクセスポイントであるか、と、認証ステートマシンの現在の状態と、４ウェイハンドシェイク手順の現在の完了レベルとからなる群から選択される１または複数のコンテキストパラメータに依存して、前記データフィールドの内容を異なるように解釈する、請求項１７に記載の第１デバイス。
【請求項１９】
さらに、１または複数の更なる認証情報要素を処理し、
前記１または複数の更なる認証情報要素は前記第２デバイスにより生成および送信され、
前記認証情報要素と前記１または複数の更なる認証情報要素とのうちそれぞれは、複数の潜在的なデータフィールドと、前記複数の潜在的なデータフィールドのうち少なくとも１つの複数の潜在的な長さとを指定する共通のテンプレート構造に基づき構成される、請求項１７に記載の第１デバイス。
【請求項２０】
拡張型指向性マルチギガビット局デバイスであって、
ネットワークアソシエーション手順の間に前記拡張型指向性マルチギガビット局デバイスにより送信される管理フレームに認証情報要素を含め、
前記認証情報要素は、前記ネットワークアソシエーション手順と並列で行われる事前共有鍵ベースの認証および鍵生成手順で使用可能であり、これにより、前記拡張型指向性マルチギガビット局デバイスを伴うアソシエートされ認証された状態に達するための時間が削減される、拡張型指向性マルチギガビット局デバイス。
【請求項２１】
請求項１から１０のいずれか一項に記載の方法をコンピュータに実行させるプログラム。
【請求項２２】
プログラムが記録されたコンピュータ可読記録媒体であって、
前記プログラムは実行された場合、請求項１から１０のいずれか一項に記載の方法をコンピュータが実施出来るようにする、コンピュータ可読記録媒体。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】
［関連出願の相互参照］
本特許出願は、２０１５年９月４日に提出された、発明の名称が"ＩＥＥＥ  ８０２．１１ａｙ  Ｆａｓｔ  Ａｓｓｏｃｉａｔｉｏｎ  ＆  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ"である米国特許出願第６２／２１４３７０号に基づく優先権を主張する。同特許出願はこれにより、その全体が再現されているかのようにここで参照により組み込まれる。本特許出願は、２０１５年９月１８日に提出された、発明の名称が"ＭＥＴＨＯＤ  ＡＮＤ  ＡＰＰＡＲＡＴＵＳ  ＦＯＲ  ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ  ＯＦ  ＷＩＲＥＬＥＳＳ  ＤＥＶＩＣＥＳ"である米国特許出願第６２／２２０８２８号に基づく優先権も主張する。同特許出願もこれにより、その全体が再現されているかのようにここで参照により組み込まれる。さらに、本特許出願は、２０１６年２月２９日に提出された、発明の名称が"ＭＥＴＨＯＤ  ＡＮＤ  ＡＰＰＡＲＡＴＵＳ  ＦＯＲ  ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ  ＯＦ  ＷＩＲＥＬＥＳＳ  ＤＥＶＩＣＥＳ"である米国特許出願第１５／０５６０７８号に基づく優先権を主張する。同特許出願も、その全体が再現されているかのように、これによりここで参照により組み込まれる。
【０００２】
本願発明は、無線ネットワーク管理のフィールドに関連し、特に、ＩＥＥＥ  ８０２．１１準拠のデバイスなどの無線デバイスの認証のための方法およびシステムに関連する。
【背景技術】
【０００３】
無線デバイスがＩＥＥＥ  ８０２．１１準拠の無線通信ネットワークにフルアクセス出来るようになるには、それら無線デバイスはまず認証とネットワークとのアソシエーションとの両方がされなければならない。認証においては、無線デバイスがそのアイデンティティを明らかにする必要があり、他方ネットワークアソシエーションは、データが適切に届けられ得るようにするための、その無線デバイスの、ネットワークアクセスポイントへの登録に対応する。追加的に、よりセキュアなネットワークアクセスを確立するために無線デバイスは、場合によっては、ロバストセキュリティネットワークアソシエーション（ＲＳＮＡ）アルゴリズムを介し更なる認証を受ける。
【０００４】
しかし、現在の認証およびアソシエーション手順は、特に指向性マルチギガビット（ＤＭＧ）および拡張型指向性マルチギガビットデバイスにとって、潜在的に時間を消費する。厳密な順序で一時に１つ進められる複数のハンドシェイクメッセージは大きな遅延の一因となり得、このことは一部の応用において不利であり得る。例えば、タイトルが"ＩＥＥＥ  ８０２．１１  ＴＧａｙ  Ｕｓｅ  Ｃａｓｅｓ"であり、ｈｔｔｐｓ：／／ｍｅｎｔｏｒ．ｉｅｅｅ．ｏｒｇで利用可能である２０１５年５月の文書ＩＥＥＥ  ８０２．１１−２０１５／０６２５ｒ１は、将来的なＩＥＥＥ  ８０２．１１ネットワークの応用に関するいくつかの使用例を提案しており、それら使用例のうち一部においては、無線デバイスがほぼ遅延なしでネットワークにアクセスする必要がある。１つのそのような使用例は、ユーザが１０ｃｍ未満の距離で１秒未満で大量のデータを無線ダウンロードする超近距離（ＵＳＲ）通信に対応する。この使用例においてリンクセットアップ時間は、１００ｍｓ未満であることが求められる。これにより現在の、ＩＥＥＥ  ８０２．１１ネットワークにおける、特にＤＭＧおよび拡張型ＤＭＧデバイスに関する、アソシエーションおよび認証のアプローチは、一部の現在および将来の使用例には不十分であり得る。
【０００５】
様々なＩＥＥＥ  ８０２．１１管理フレームが、１または複数の連結された情報要素を含むセクションを含む。選択されたタイプの情報要素が、所与の管理フレーム内に埋め込まれ得る。既存のタイプの情報要素には、サービスセット識別子（ＳＳＩＤ）と、サポートされているデータレートと、周波数ホップパラメータセット（ｆｒｅｑｕｅｎｃｙ  ｈｏｐｐｉｎｇ  ｐａｒａｍｅｔｅｒ  ｓｅｔ）、ダイレクトシークエンスパラメータセット（ｄｉｒｅｃｔ  ｓｅｑｕｅｎｃｅ  ｐａｒａｍｅｔｅｒ  ｓｅｔ）、無競合パラメータセット（ｃｏｎｔｅｎｔｉｏｎ−ｆｒｅｅ  ｐａｒａｍｅｔｅｒ  ｓｅｔ）、トラフィックインジケーションマップ（ｔｒａｆｆｉｃ  ｉｎｄｉｃａｔｉｏｎ  ｍａｐ）、独立ベースサービスセットパラメータセット（ｉｎｄｅｐｅｎｄｅｎｔ  ｂａｓｉｓ  ｓｅｒｖｉｃｅ  ｓｅｔ  ｐａｒａｍｅｔｅｒ  ｓｅｔ）、およびチャレンジテキスト（ｃｈａｌｌｅｎｇｅ  ｔｅｘｔ）などの通信を構成するためのパラメータセットとを通信するために使用可能であるものが、ベンダ固有の情報要素と併せて、含まれる。ＩＥＥＥ  ８０２．１１規格は、更なるタイプのまだ特定されていない情報要素を含むよう拡張可能である。
【０００６】
よって、認証手順のレイテンシに起因する時間的制約などの、先行技術の１または複数の制約を軽減する、無線デバイスの認証のための方法および装置の必要性がある。
【０００７】
この背景情報は、本願発明に関連性がある可能性があるものと本出願人が信じる情報を明らかにするよう提供されている。先に述べた情報のいずれもが本願発明に対する先行技術を成すものであると認める意図は必ずしもなく、またそのように解釈されるべきではない。
【発明の概要】
【０００８】
本願発明の実施形態の目的は、既存のＩＥＥＥ  ８０２．１１ａｄ規格に準拠したＤＭＧデバイス、および／またはＤＭＧに基づいて現在開発されているＩＥＥＥ  ８０２．１１ａｙ規格に準拠した拡張型ＤＭＧデバイスなどの無線デバイスの認証のための方法および装置を提供することである。
【０００９】
本願発明の実施形態によると、無線ネットワークの第１デバイスと第２デバイスとの間で送信される１または複数のそれぞれのフレームに１または複数の認証情報要素を含める段階であって、１または複数の認証情報要素は、第１デバイスと第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む、段階を備える、認証のための方法が提供される。
【００１０】
本願発明の実施形態によると、第１デバイスであって、プロセッサを備え、プロセッサは、無線ネットワークインタフェースに結合され、無線ネットワークを介し、第１デバイスから第２デバイスへ送信される１または複数のそれぞれのフレームに１または複数の認証情報要素を含めるよう構成され、１または複数の認証情報要素は、第１デバイスと第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む、第１デバイスが提供される。デバイスは、局またはアクセスポイントであってよい。認証情報要素は、認証ハンドシェイク手順の一部であってよい。
【００１１】
本願発明の実施形態によると、第１デバイスと第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータであって、複数の事前共有鍵のうちどの鍵が認証手順で用いられることになるかを示す鍵識別子と、認証手順で用いるためのノンスと、認証手順で用いるためのメッセージ完全性確認値とのうち１または複数を含むデータを含む認証情報要素を生成する段階と、無線ネットワークを介し、第１デバイスから第２デバイスへ送信されることになるフレームに認証情報要素を含める段階とを備える認証のための方法が提供される。
【００１２】
本願発明の実施形態によると、第１デバイスであって、プロセッサを備え、プロセッサは、無線ネットワークインタフェースに結合され、第１デバイスと第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータであって、複数の事前共有鍵のうちどの鍵が認証手順で用いられることになるかを示す鍵識別子と、認証手順で用いるためのノンスと、認証手順で用いるためのメッセージ完全性確認値とのうち１または複数を含むデータを含む認証情報要素を生成し、無線ネットワークを介し、第１デバイスから第２デバイスへ送信されることになるフレームに認証情報要素を含めるよう構成される、第１デバイスが提供される。デバイスは、局またはアクセスポイントであってよい。認証情報要素は、認証ハンドシェイク手順の一部であってよい。
【００１３】
本願発明の実施形態によると、拡張型指向性マルチギガビット局デバイスであって、ネットワークアソシエーション手順の間にデバイスにより送信される管理フレームに認証情報要素を含めるよう構成され、認証情報要素は、ネットワークアソシエーション手順と並列で行われる事前共有鍵ベースの認証および鍵生成手順で使用可能であり、これにより、デバイスを伴うアソシエートされ認証された状態に達するための時間が削減される、拡張型指向性マルチギガビット局デバイスが提供される。
【図面の簡単な説明】
【００１４】
本願発明の更なる特徴および利点は、添付の図面と組み合わせて理解される、以下の詳細な説明から明らかとなるであろう。
【００１５】
【図１】ＩＥＥＥ  ８０２．１１ａｄ認証ステートマシンを示す。
【００１６】
【図２】ＩＥＥＥ  ８０２．１１ａｄ認証／アソシエーションプロセスを示す図を示す。
【００１７】
【図３】本願発明の実施形態に係る認証／アソシエーションプロセスを示す図を示す。
【００１８】
【図４】本願発明の他の実施形態に係る認証／アソシエーションプロセスを示す図を示す。
【００１９】
【図５】本願発明の他の実施形態に係る認証／アソシエーションプロセスを示す図を示す。
【００２０】
【図６Ａ】本願発明の他の実施形態に係る認証／アソシエーションプロセスを示す図を示す。
【００２１】
【図６Ｂ】本願発明の他の実施形態に係る認証／アソシエーションプロセスを示す図を示す。
【００２２】
【図７】本願発明の実施形態に従って提供される認証情報要素フォーマットを示す。
【００２３】
【図８】本願発明の実施形態に係る、認証情報要素を処理するための様々なオペレーションルールを示す真理値表を示す。
【００２４】
【図９】本願発明の実施形態に係る、開発中のＩＥＥＥ  ８０２．１１ａｙ規格で用いるための、提案されている認証鍵管理スイートに関連するチャートを示す。
【００２５】
【図１０】本願発明の実施形態に従って提供されるロバストセキュアネットワーク（ＲＳＮ）情報要素を示す。
【００２６】
【図１１】本願発明の実施形態に従って提供される暗号化鍵階層を示す。
【００２７】
【図１２】本願発明の他の実施形態に従って提供される暗号化鍵階層を示す。
【００２８】
【図１３】本願発明の実施形態に係る、デバイスと通信しているアクセスポイントを示す。
【００２９】
【図１４】は、本願発明の実施形態に係る、アクセスポイントまたはデバイスの構造ブロック図を示す。
【００３０】
【図１５】本願発明の実施形態に係る、アクセスポイントまたはデバイスの機能ブロック図を示す。
【００３１】
【図１６】本願発明の他の実施形態に係る、アクセスポイントまたはデバイスの機能ブロック図を示す。
【００３２】
なお、添付の図面を通じて、同様の特徴は同様の参照番号で識別される。
【発明を実施するための形態】
【００３３】
本願発明の実施形態は、必ずしも限定されないが、ＩＥＥＥ  ８０２．１１ａｄまたはＩＥＥＥ  ８０２．１１ａｙ準拠のネットワークなどのＩＥＥＥ  ８０２．１１準拠の無線通信ネットワーク内で送信されるフレームに埋め込まれた情報要素を用いた認証オペレーションの実行に関する。様々な実施形態において、情報要素を含むそれらフレームは管理フレームである。そのような実施形態において、限定されないが、ＩＥＥＥ  ８０２．１１ネットワークへの、無線デバイスのアクセスおよび／またはアソシエーションと関連付けられたフレームなどの様々な管理フレームの通信は、それら管理フレームが、その無線デバイスの認証のために用いられる追加の情報を含むように変更される。その追加の情報は、セキュアな暗号鍵認証に対応し得る。一例において、無線デバイスの認証は、同じ管理フレームによって容易となる他のタスクと同時に実行され得る。これにより、認証は潜在的に、他のオペレーションと並列化され得る。代替的に、管理フレームは、認証を実行することに排他的に用いられ得る。管理フレームにより、デバイスにとって、認証と同時の、すなわち並列でのネットワークアクセスが容易となり得る。認証情報要素を含む管理フレームは、ＩＥＥＥ  ８０２．１１のアソシエーション手順の前およびその間に送信されてよい。
【００３４】
様々な実施形態において、認証情報要素は、アソシエーション目的または他の目的で交換されている管理フレームまたはデータフレーム、または同様のものなどの他の目的で既に交換されている他のフレーム内でピギーバックされる。これにより、認証手順は、それ自体の別個の専用のフレームを要さなくてよい。管理フレームの場合、認証は、例えばアソシエーションプロセスを実行するよう管理フレームが交換されるのと実質的に並列で実施され得、これにより、アソシエートされ認証された状態に達するのに要する時間が短縮され得る。様々な実施形態において、並列認証は、ネットワークとアソシエートされた状態などの無線デバイスに関連して特定の状態の確立を最初に要することなく実行され得る。
【００３５】
一部の実施形態において、情報要素を含むフレームのうち少なくとも一部は、データフレームなどの他のフレームである。それらデータフレームは、無線デバイスへ、または無線デバイスから送信されることになるデータの搬送もしてよい。認証情報要素を含むデータフレームが、認証が完了するのに先立って通信される他のデータフレームと併せて、無線デバイスがまだ認証されていなくとも交換されてよい。これにより、認証が完了する前のデータの送信を最小化するために、送信されている最初のいくつかのデータフレーム内で認証情報要素を交換するのが望ましいかもしれない。一部の実施形態において、無線デバイスのアソシエーションのために用いられる管理フレームのうち少なくとも１つと、それに加えて、アソシエーションに続いて送信されるデータフレームのうち少なくとも１つとが用いられて認証情報要素を伝える。一部の実施形態において、アソシエーションに続いて交換される最初のいくつかのデータフレームが用いられて、認証情報要素のうち一部または全てを搬送してよい。データフレーム内の認証情報要素とは、ここで説明されているような認証情報要素の構造および／または内容を有するデータフレーム内のデータ要素を指す。
【００３６】
本願発明の実施形態は、ＩＥＥＥ  ８０２．１１準拠の無線ネットワークでの通信のためにデバイスを認証するための方法を対象としている。そのデバイスは、無線端末、モバイルデバイス、または他のデバイスであってよい。その方法は、その無線ネットワークのアクセスポイントと、そのデバイスとの間で、例えばアクセスポイントからデバイスへ、またはその逆方向に送信されるフレームに認証情報要素を加えることを含む。認証情報要素は、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む。一部の実施形態において、フレームは管理フレームである。一部の実施形態において、フレームは、データフレームまたは他のタイプのフレームである。
【００３７】
一部の実施形態において、データは、複数の事前共有鍵のうちどの鍵が認証手順に用いられるのかを示す鍵識別子と、認証手順で用いるためのノンスと、認証手順で用いるためのメッセージ完全性コードとのうち１または複数を含み得る。認証手順のために現在何が要求されているかに依存して、１または複数の選択されたタイプのデータを搬送するよう各認証情報要素がカスタマイズされ得る。搬送されている選択されたタイプのデータは、認証情報要素内の特定のフィールドの分析により特定され得る。追加的または代替的に、搬送されている選択されたタイプのデータは、認証情報要素の送信のコンテキストに基づき特定され得る。
【００３８】
様々な実施形態において、無線通信デバイスが、管理フレームなどの、デバイス間で送信される適切なフレームに、およびより具体的には管理フレーム内のロバストセキュリティネットワーク（ＲＳＮ）機能フィールドにインジケータビット（フラグ）を設定するよう構成される。ＲＳＮ機能フィールドの事前予約された、または未使用のビットが、インジケータビットとして用いられてよい。インジケータビットが設定された場合、それは、特に、説明されている認証情報要素を用いた認証を含む、ここで説明されるような認証手順の使用を開始するのに用いられてよい。
【００３９】
一部の実施形態において、方法は、無線ネットワークのアクセスポイントとデバイスとの間で交換される、管理フレーム、データフレーム、またはそれらの組み合わせなどの各一連のフレームへ一連の認証情報要素を加えることを含む。これにより、認証情報要素も、アクセスポイントとデバイスとの間で交換される。様々な実施形態において、交換は順次行われ、特定の認証情報要素の内容は、以前に受信した認証情報要素の内容に依存し得る。認証情報要素の交換は、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証ハンドシェイク手順を実行するよう構成され、そうするのに用いられる。
【００４０】
様々な実施形態において、管理フレームなどのフレームに認証情報要素を含めることは、認証情報要素をフレームに追加することを伴う。
【００４１】
管理フレームは例えば、ビーコンフレーム、アナウンスメントフレーム、プローブリクエストフレーム、プローブ応答フレーム、アソシエーションリクエストフレーム、アソシエーション応答フレーム、再アソシエーションリクエストフレーム、再アソシエーション応答フレーム、およびＳＳＷフレームを含み得る。ネットワークアクセスおよび／またはアソシエーションオペレーションの一部として交換されている一連の管理フレームが特定され、所望される順序でデバイスとアクセスポイントとの間で認証情報要素を通信するのに用いられてよい。その所望される順序が、情報交換の指向性も指定し得る。例えば、一実施形態において、第１認証情報要素がアクセスポイントからユーザデバイスへ送信され、第２認証情報要素がユーザデバイスからアクセスポイントへ送信される、などである。
【００４２】
本願発明の様々な実施形態は、認証情報をピギーバックすることに関して、ネットワークアクセスおよび／またはアソシエーション手順の一部として渡される管理フレームなどの管理フレームの使用に依拠しているが、上記にて既に言及したように、認証情報要素は、デバイスとアクセスポイントとの間でルーチン的に渡される他のメッセージに含められ得ることが想到されている。そのようなメッセージは、ネットワークアクセス、ネットワークアソシエーション、データ交換、または他の目的のために用いられてよい。したがって、一連の認証情報要素を含むよう既存のメッセージタイプが調整される。既存のメッセージタイプは、プロトコルまたは規格に従って定義されてよく、認証手順を実行するよう処理することが出来る特定の方式で挙動するよう構成されてよい。特に、それらメッセージタイプは特定の順序で、認証情報要素の交換に関して所望される順序およびメッセージの指向性に一致する方向の特定の組み合わせ（例えば、デバイスからアクセスポイントへ、またはその逆方向）で交換されてよい。データフレームの場合、無線デバイスへ、または無線デバイスから送信されている全てのデータフレームのサブシーケンスが、認証情報要素を搬送するために選択されてよい。サブシーケンスは、認証情報要素の交換に関して所望される順序およびメッセージの指向性に一致する、方向の特定の組み合わせで交換されているデータフレームに対応してよい。
【００４３】
上記にて言及したように、認証情報要素の交換は、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するよう構成され、そうするのに用いられる。一部の実施形態において、この鍵は、アクセスポイントとデバイスとの両方により保持されるいくつかの共有された鍵のうち１つであってよい。この場合、いくつかの共有された鍵のうちどれが共通の暗号鍵として用いられるのかを規定することは、例えば以下に説明されるように進められてもよい。特に、共有された鍵のうちどれが用いられているのかを示す鍵識別子を認証情報要素が含み得る。他の実施形態において、１つの共有された鍵のみが、アクセスポイントとデバイスとの両方により保持されてよい。
【００４４】
潜在的にセキュアではないチャネル上で共通の暗号鍵を送信することなく、２つのパーティがその鍵を保持している状態を確立するための様々なアプローチが採用されてよい。特に、本願発明の実施形態は、ロバストセキュリティネットワークアソシエーション（ＲＳＮＡ）を確立するための方法を採用する。ＩＥＥＥ  ８０２．１１の使用、ＩＥＥＥ  ８０２．１ｘプロトコルに従って、Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ（ＥＡＰ）ｏｖｅｒ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ（ＬＡＮ）を指すＥＡＰｏＬのフレーム内でカプセル化されたものなどの方法が、この目的のために用いられてよい。これは、ＥＡＰｏＬフレームの代わりに認証ＩＥ内で４ウェイハンドシェイクの一部または全てを実施することを含んでよい。一部の実施形態において、４ウェイハンドシェイクのうち最初の３つの部分が実施されてよい。つまり、４ウェイハンドシェイクの終わりの受信確認メッセージは、省略されてよいか、またはオプションであってよい。この変更されたバージョンの４ウェイハンドシェイクは、ここで、略式ハンドシェイクと呼ぶ。様々な実施形態において、終わりの受信確認メッセージが省略された、またはオプションであるこの形態のハンドシェイクは、それが特定の応用に関して十分なレベルのネットワークセキュリティをもたらす場合に採用されてよい。様々な実施形態において、認証情報要素は、４ウェイハンドシェイクまたは略式ハンドシェイクのうちどちらのハンドシェイクメッセージが伝えられているのかを示すフィールドを含む。
【００４５】
本願発明の一部の実施形態は特に、拡張型指向性マルチギガビット（ＥＤＭＧ）デバイスを含んでよい指向性マルチギガビット（ＤＭＧ）デバイスと、ＤＭＧまたはＥＤＭＧ端末デバイスにサービスを提供することが可能なアクセスポイントのオペレーションおよび調整を対象としている。ＤＭＧデバイスは、応用に依存して例えば数センチまたは数メートル程度の比較的短い距離で、高指向性ビームを介して無線通信する。通信は６０ＧＨｚ帯で行われてよく、例えば１秒当たり数ギガビット（例えば、２０ギガビット）のデータレートを達成してよい。デバイスとは、ＩＥＥＥ  ８０２．１１ａｄおよびドラフトのＩＥＥＥ  ８０２．１１ａｙ規格に記載されるような指向性マルチギガビット（ＤＭＧ）局（ＳＴＡ）を指してよい。さらにアクセスポイントとは、ＩＥＥＥ  ８０２．１１ａｄおよびドラフトのＩＥＥＥ  ８０２．１１ａｙ規格に記載されるようなパーソナル基本サービスセット（ＰＢＳＳ）制御ポイント／アクセスポイント（ＰＣＰ／ＡＰ）を指してよい。ここで説明されている様々な実施例および実施形態ではＤＭＧ  ＳＴＡおよびＰＣＰ／ＡＰが言及されているが、ＤＭＧ  ＳＴＡの代わりに他のタイプの無線デバイスが用いられてよく、ＰＣＰ／ＡＰの代わりに他のタイプのアクセスポイントが用いられてよいことが容易に理解されるべきである。
【００４６】
本願発明の一部の実施形態は、ＤＭＧデバイスを伴う特定のオペレーション状況または使用例を対象としている。特に、様々な実施形態において、本願発明は、傍受または中間者攻撃の潜在性が軽減されている状況において、ＤＭＧデバイスの認証、およびアクセスポイントとのアソシエーションのために採用される。そのような状況は、他のデバイスがアクセスポイントに極近接することが考えられない状態でＤＭＧデバイスがそのアクセスポイントに極近接している状況に対応してよい。
【００４７】
例として、ＤＭＧデバイスとアクセスポイントとは、ポータブルユーザデバイスが、料金所またはキオスクなどの固定されたデバイスに無線接続する超近距離（ＵＳＲ）通信を行ってよい。ポータブルユーザデバイスは、例えば５秒などの限られた時間枠の中でその固定されたデバイスから大量のデータをダウンロードしてよい。リンク距離は、典型的には見通し線での送信で約１０ｃｍであり得る。その固定されたデバイスには、典型的には他のデバイスからの干渉がない状態で、一時に単一のポータブルユーザデバイスのみが接続される。
【００４８】
他の例として、ＤＭＧデバイスとアクセスポイントとは、スマートホーム内で極近接してオペレーションしている２つのデバイスに対応してよい。セットトップボックス、メディアプレーヤ、タブレットまたはスマートフォンなどのソースデバイスが、スマートＴＶまたはディスプレイなどのシンクデバイスへメディアコンテンツなどのデータをストリーミングしてよい。それらデバイスは典型的には、例えば５メートル未満の距離などで極近接してオペレーションしている。典型的には他のデバイスからの干渉がない状態で、所与の一時に単一のリンクのみが存在する。
【００４９】
上記の２つの例は、本文書の背景技術で引用されている文書"ＩＥＥＥ  ８０２．１１  ＴＧａｙ  Ｕｓｅ  Ｃａｓｅｓ"に記載されるような使用例＃１および＃２に対応してよい。
【００５０】
本願発明の実施形態は、ＩＥＥＥ  ８０２．１１準拠の無線通信デバイスを対象としている。デバイスは少なくともプロセッサを含み、プロセッサは典型的には、メモリコンポーネントに接続され、ＩＥＥＥ  ８０２．１１準拠の方式でアクセスポイントと２方向通信が可能な無線ネットワークインタフェースに接続されている。プロセッサおよび無線ネットワークインタフェースは連携して、そのデバイスから無線ネットワークのＩＥＥＥ  ８０２．１１準拠のアクセスポイントへの送信のために、管理フレームまたは他のフレームなどのフレームに認証情報要素を含めるよう構成される。認証情報要素は、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む。
【００５１】
一部の実施形態において、プロセッサおよび無線ネットワークインタフェースは連携して、デバイスにより受信される、例えばＩＥＥＥ  ８０２．１１準拠のアクセスポイントからの管理フレームまたは他のフレームなどのフレームから認証情報要素を読み取るよう構成される。
【００５２】
一部の実施形態において、プロセッサはさらに、認証手順の少なくとも一部を実施するよう構成される。追加的または代替的に、アクセスポイントのプロセッサは、認証手順の少なくとも一部を実施するよう構成されてよい。
【００５３】
一部の実施形態において、デバイスのプロセッサおよび無線ネットワークインタフェースは連携して、ＩＥＥＥ  ８０２．１１準拠のアクセスポイントにより送信される第１セットのフレームのうちそれぞれのフレームから第１セットの認証情報要素を読み取るよう構成される。プロセッサおよび無線ネットワークインタフェースは連携してさらに、アクセスポイントによる受信のために無線通信デバイスから送信される第２セットのフレームに第２セットの認証情報要素を含めるよう構成される。第１セットおよび第２セットのフレームはこれにより、アクセスポイントとデバイスとの間で第１セットおよび第２セットの認証情報要素を交換するのに用いられる。第１セットおよび第２セットのフレームのうち一部または全てが管理フレームであってよい。第１セットおよび第２セットの認証情報要素は、一連のデータ要素を含む。プロセッサはさらに、交換される一連のデータ要素を用いて、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証ハンドシェイク手順を実行するよう構成されてよい。追加的または代替的に、アクセスポイントのプロセッサが、交換される認証情報要素を用いて、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するよう構成されてよい。一部の実施形態において、認証情報要素を搬送する第１セットおよび第２セットの管理フレームは、無線通信デバイスによるネットワークアクセスを同時に確立するのにも用いられてよい。
【００５４】
本願発明の実施形態は、ＩＥＥＥ  ８０２．１１ａｄまたはＩＥＥＥ  ８０２．１１ａｙ準拠のアクセスポイントなどのＩＥＥＥ  ８０２．１１準拠のアクセスポイントを対象としている。アクセスポイントは少なくともプロセッサを含み、プロセッサは典型的にはメモリコンポーネントに接続され、ＩＥＥＥ  ８０２．１１準拠の方式で他のデバイスと２方向通信が可能な無線ネットワークインタフェースに接続されている。プロセッサおよび無線ネットワークインタフェースは連携して、そのデバイスから無線ネットワークのＩＥＥＥ  ８０２．１１準拠の無線通信デバイスへの送信のために、管理フレームなどのフレームに認証情報要素を含めるよう構成される。認証情報要素は、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む。
【００５５】
一部の実施形態において、プロセッサおよび無線ネットワークインタフェースは連携して、アクセスポイントにより受信される、例えばＩＥＥＥ  ８０２．１１準拠の無線通信デバイスからのフレームから認証情報要素を読み取るよう構成される。一部の実施形態において、プロセッサはさらに、認証手順の少なくとも一部を実施するよう構成される。
【００５６】
一部の実施形態において、アクセスポイントのプロセッサおよび無線ネットワークインタフェースは連携して、アクセスポイントにより送信される第１セットのフレームのうちそれぞれのフレームに第１セットの認証情報要素を含めるよう構成される。プロセッサおよび無線ネットワークインタフェースは連携してさらに、ＩＥＥＥ  ８０２．１１準拠の無線通信デバイスから送信される第２セットのフレームから第２セットの認証情報要素を読み取るよう構成される。第１セットおよび第２セットのフレームはこれにより、アクセスポイントとデバイスとの間で第１セットおよび第２セットの認証情報要素を交換するのに用いられる。第１セットおよび第２セットの認証情報要素は、一連のデータ要素を含む。プロセッサはさらに、交換される一連のデータ要素を用いて、アクセスポイントとデバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証ハンドシェイク手順を実行するよう構成される。第１セットおよび第２セットのフレームは、無線通信デバイスによるネットワークアクセスを同時に確立するのにも用いられる管理フレームであってよい。
【００５７】
図１は、ＩＥＥＥ  ８０２．１１ａｄ規格のＳｅｃｔｉｏｎ  １０．３．２に記載されるようなあるバージョンの認証ステートマシンを示している。ＤＭＧ  ＳＴＡデバイスに関して、ステートマシンは状態２から開始し、典型的には状態３を介して状態４へ進む。ステートマシンはここでは、アソシエーションおよび認証に関係する、デバイスの挙動および内部論理状態を単純化されたフォーマットで表すのに用いられる。これにより、デバイスがステートマシンの特定の状態にある、との記述は、デバイスの挙動および内部論理状態についての記述として解釈されるべきである。示されているように、状態２から状態４への可能性のある直接的な変遷が、ＰＢＳＳ４ウェイハンドシェイクが成功した場合に指定される。しかし、ここで、ＰＢＳＳ４ウェイハンドシェイクは状態３からのみ起こり得ることをＩＥＥＥ  ８０２．１１ａｄ規格が指定していることが認められる。これにより、この特定のショートカットの変遷は、現在完全には可能とされていない。
【００５８】
図２は、ＩＥＥＥ  ８０２．１１ａｄ規格に係る、例えば同規格のＳｅｃｔｉｏｎ  １１．５．１．３．５に記載されるような信頼出来る第三者機関（ＴＴＰ）認証による認証／アソシエーションフローを示している。ＩＥＥＥ  ８０２．１１認証リクエストおよびＩＥＥＥ  ８０２．１１認証応答メッセージは、ＤＭＧ  ＳＴＡデバイスとの通信には用いられない。アソシエーションおよび認証段階は、ＲＳＮＡ信頼モデルに準拠した標準的な手順である。しかし、順番に実施されるこれら手順は、完了にかなりの時間がかかる。
【００５９】
より詳細に、図２は、デバイスアソシエーションおよび認証と関連して、（図１の状態２、３および４に対応する）状態２、３および４間の移行を示している。ＰＢＳＳ制御ポイント／アクセスポイント（ＰＣＰ／ＡＰ）２１０などのアクセスポイントが最初に、ビーコンフレーム、アナウンスメントフレーム、またはプローブ応答フレームであってよい第１管理フレーム２２０を送信する。第１管理フレームはＤＭＧ  ＳＴＡ２１５により受信される。これに関して、アクセスポイント（ＰＣＰ／ＡＰ）によりサービスが提供されるネットワークへのセキュアなアタッチメントが所望される。デバイスはＤＭＧデバイスであるので、通常存在する８０２．１１認証リクエストおよび８０２．１１認証応答メッセージ２２５は省略され、ステートマシンは規格に記載されるような状態２へ進む。
【００６０】
状態２から進み、ＤＭＧ  ＳＴＡは、８０２．１１アソシエーションリクエスト２３０をアクセスポイント（ＰＣＰ／ＡＰ）へ送信する。これに応答して、アクセスポイント（ＰＣＰ／ＡＰ）は、ロバストセキュアネットワーク（ＲＳＮ）情報要素（ＩＥ）と共に、８０２．１１アソシエーション応答２３５をＤＭＧ  ＳＴＡに送信する。続いて、ＥＡＰｏｌ認証プロセスが、ＤＭＧ  ＳＴＡからアクセスポイント（ＰＣＰ／ＡＰ）へのＥＡＰｏｌ開始フレーム２４０の送信により開始される。アクセスポイント（ＰＣＰ／ＡＰ）は、ＥＡＰリクエストアイデンティティフレーム２４５をＤＭＧ  ＳＴＡへ送信し、ＤＭＧ  ＳＴＡは、アクセスポイント（ＰＣＰ／ＡＰ）へのＥＡＰ−応答アイデンティティフレーム２５０の送信により応答する。ＥＡＰ−応答アイデンティティフレームは、ユーザＩＤなどの、ＤＭＧ  ＳＴＡと関連付けられた識別子を含む。
【００６１】
ＤＭＧ  ＳＴＡからの識別子の受信に続いて、アクセスポイント（ＰＣＰ／ＡＰ）は、信頼出来る第三者機関の認証サーバへリモート認証ダイアルインユーザサービス（ＲＡＤＩＵＳ）リクエストメッセージ２５５を送信する。第三者機関の認証の成功に続いて、認証サーバは、アクセスポイント（ＰＣＰ／ＡＰ）へＥＡＰ成功メッセージ２６０を送信する。これに応答して、アクセスポイント（ＰＣＰ／ＡＰ）は、ＤＭＧ  ＳＴＡへＥＡＰｏｌ成功フレーム２６５を送信する。続いて、アクセスポイント（ＰＣＰ／ＡＰ）とＤＭＧ  ＳＴＡとの両方が状態３となる。
【００６２】
状態２から状態３への移行に対応する上記のオペレーションは、ＥＡＰ認証に対応し得る。アクセスポイント（ＰＣＰ／ＡＰ）とＤＭＧ  ＳＴＡとの間で通信されるＥＡＰｏｌ管理フレーム上で、ＥＡＰ認証の一部がピギーバックされる。他の部分は、アクセスポイント（ＰＣＰ／ＡＰ）から認証サーバへのＲａｄｉｕｓリクエスト、および認証サーバからの対応する応答を介して実施される。
【００６３】
引き続き図２に関連し、（認証およびアソシエーションが確立された）状態３から（要求される場合にはＲＳＮＡステータスが確立される）状態４への移行が、概してＰＢＳＳ４ウェイハンドシェイク２７０の実行の成功を介して進む。ＰＢＳＳ４ウェイハンドシェイクは、アクセスポイント（ＰＣＰ／ＡＰ）からＤＭＧ  ＳＴＡへ第１ノンス値（Ａノンス）を送信することと、ＤＭＧ  ＳＴＡによりペア一時鍵（ＰＴＫ）を構築することと、ＤＭＧ  ＳＴＡからアクセスポイント（ＰＣＰ／ＡＰ）へ、メッセージ完全性確認（ＭＩＣ）と共に第２ノンス値（Ｓノンス）を送信することと、アクセスポイント（ＰＣＰ／ＡＰ）によりＰＴＫを構築することと、グループ一時鍵（ＧＴＫ）を構築し、ＭＩＣと共に、アクセスポイント（ＰＣＰ／ＡＰ）からＤＭＧ  ＳＴＡへ発信することと、ＤＭＧ  ＳＴＡからアクセスポイント（ＰＣＰ／ＡＰ）へ受信確認を送信することとを伴う。
【００６４】
なお、図２の上記の手順は単に例示であり、当業者には容易に理解いただけるように様々な従来の方式で調整され得る。例えば、上記ではＥＡＰ認証が採用されてよいが、他の従来の認証方法が可能であってよい。
【００６５】
本願発明の一部の実施形態は、ＩＥＥＥ  ８０２．１１ａｄ規格との少なくとも部分的な後方互換性を維持しつつ、かかる時間がより短く交換されるメッセージがより少ない認証メカニズムを提供する。例えば、ＩＥＥＥ  ８０２．１１ａｄ規格のＳｅｃｔｉｏｎ  １０．３．２および１１．５．１．３．５に説明されている認証およびアソシエーションスキームがそのままで維持されてよい。加えて、ＩＥＥＥ  ８０２．１ｘ認証プロトコルに説明されている既存のＲＳＮＡ準拠の認証／アソシエーションステートマシンが、ここで説明されているように本願発明の実施形態で利用されてよい。
【００６６】
本願発明の一部の実施形態は、全ての状況ではなく特定の状況で認証およびアソシエーションのために用いられる。なおさらに、一部の状況において、デバイスが、他の状況とは異なる事前共有された資格証明書を有する。例えば、上記で説明されたような、および、上記で引用した"ＩＥＥＥ  ８０２．１１  ＴＧａｙ  Ｕｓｅ  Ｃａｓｅｓ"文書の使用例＃１および＃２におけるＵＳＲおよびスマートホームの状況にあるデバイスは、第１タイプの事前共有された資格証明書を有してよく、他方、上記で引用した"ＩＥＥＥ  ８０２．１１  ＴＧａｙ  Ｕｓｅ  Ｃａｓｅｓ"文書の使用例＃４および＃５に説明される、データセンターのラック間接続性のアプリケーションおよびビデオ／マスデータ配信またはビデオオンデマンドシステムにおけるデバイスは、第２の異なるタイプの事前共有された資格証明書を有してよい。種々の認証スキームが、これら種々の状況の、潜在的に種々のものであるタイミングに関する要求事項を満たす必要があってよい。さらに、レガシーＩＥＥＥ  ８０２．１１ａｄ手順などの他の認証およびアソシエーション手順が、一部の状況において認証およびアソシエーションのために用いられてよい。
【００６７】
図３は、本願発明の実施形態に係る、ＩＥＥＥ  ８０２．１１準拠のネットワークで用いるためのアソシエーションおよび認証手順を示している。本実施形態は、例えば、局デバイスとアクセスポイントとが、比較的短い距離で、高指向性ビームを介し無線通信する指向性マルチギガビット（ＤＭＧ）シナリオに対応してよい。本実施形態は、ＤＭＧ管理フレームを用いて、認証情報要素を伝える。さらに、様々な実施形態において、局デバイスとアクセスポイントとが極近接しており、他の局デバイスはアクセスポイントに極近接していない。これにより、傍受または中間者攻撃などの様々なセキュリティ面での課題が軽減されてよい。以下において、ペア一時鍵（ＰＴＫ）などの鍵の構築、ノンスおよびメッセージ完全性確認（ＭＩＣ）の生成、および、暗号化および認証に関連する他のオペレーションは、従来のＰＢＳＳ４ウェイハンドシェイクの類似のオペレーションと同様に実施されてよいことが理解されるべきである。これにより、そのようなオペレーションに関する様々な従来の実装についての詳細が以下では省略される。
【００６８】
図３を参照すると、アクセスポイント（ＰＣＰ／ＡＰ）３１０が、ビーコンフレーム、アナウンスメントフレーム、またはプローブ応答フレームなどの第１ＤＭＧ管理フレーム３２０を送信する。第１管理フレームには、ここで説明されているような並列の認証手順が利用可能であることを示すフラグビット３２３と共に、第１認証情報要素３２１が含められ、例えば追加される。第１認証情報要素は、場合により他の情報と共に（例えば、それと連結されて）、Ａノンスのラベルが付けられた第１ノンス３２２を含む。
【００６９】
第１認証情報要素を含む第１管理フレーム３２０は、ＤＭＧ  ＳＴＡ３１５により受信される。図２のシナリオのように、ＤＭＧシナリオに関して、アクセスポイントと局デバイスとの両方が最初に、認証ステートマシンの状態２  ３６０にあると見なされる。続いて、ＤＭＧ  ＳＴＡは、受信したＡノンスと、ＤＭＧ  ＳＴＡにより生成された、Ｓノンスのラベルが付けられた第２ノンスと、事前共有鍵とを含む情報に基づき、ペア一時鍵（ＰＴＫ）を構築３２５する。
【００７０】
追加的に、ＤＭＧ  ＳＴＡは、８０２．１１規格に記載されるようなアソシエーションが所望されているか再アソシエーションが所望されているかに依存して８０２．１１アソシエーションリクエスト管理フレームと８０２．１１再アソシエーションリクエスト管理フレームとのうちいずれかである第２管理フレーム３３０を作成し送信する。第２管理フレームには、第２認証情報要素３３１が含められ、例えば追加される。第２認証情報要素は、メッセージとして見られる、第２認証情報要素に関して生成されたメッセージ完全性確認（ＭＩＣ）値３３３と併せて、ＤＭＧ  ＳＴＡにより生成された第２ノンス、Ｓノンス３３２を含む。ＩＥＥＥ規格文書"Ｐａｒｔ  １１：  Ｗｉｒｅｌｅｓｓ  ＬＡＮ  Ｍｅｄｉｕｍ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ（ＭＡＣ）ａｎｄ  Ｐｈｙｓｉｃａｌ  Ｌａｙｅｒ（ＰＨＹ）Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ，"  Ｖｅｒｓｉｏｎ  １２．０，  ＩＥＥＥ  Ｃｏｍｐｕｔｅｒ  Ｓｏｃｉｅｔｙ  Ｍａｒｃｈ  ２０１２のＳｅｃｔｉｏｎ  １１．６．６およびＭ２．２で指定されるように、ＭＩＣ値は、認証情報要素で計算される。ＩＥＥＥ  ８０２．１１ＲＥＶｍｂ−Ｄ１２．０規格文書もＭＩＣ値の計算について説明している。ＭＩＣ値は、潜在的に共有秘密鍵と共に、メッセージをＭＩＣハッシュ関数への入力として提供することにより導出され、ＭＩＣハッシュ関数の出力が、ＭＩＣ値に対応する。
【００７１】
アクセスポイント（ＰＣＰ／ＡＰ）による第２ノンス  Ｓノンスの受信に続いて、アクセスポイント（ＰＣＰ／ＡＰ）は、第１ノンスと、受信した第２ノンスと、事前共有鍵とを含む情報に基づきＰＴＫを構築３３５する。第２管理フレーム内で受信したＭＩＣも確認される。例えば、アクセスポイント（ＰＣＰ／ＡＰ）により構築されたＰＴＫを用いて、受信したメッセージに基づきＭＩＣの他のコピーを生成し得、生成された、および受信したＭＩＣのコピーが比較されて、それらが一致するか決定され得る。（一致した場合、そのことは、同じＰＴＫがアクセスポイント（ＰＣＰ／ＡＰ）とＤＭＧ  ＳＴＡとの両方により共有されていることを示唆している。）一致が存在する場合、アクセスポイント（ＰＣＰ／ＡＰ）は、認証が確立されると見なしてよい。
【００７２】
アクセスポイント（ＰＣＰ／ＡＰ）は、８０２．１１規格に記載されるようなアソシエーションが所望されているか再アソシエーションが所望されているかに依存して８０２．１１アソシエーション応答管理フレームと８０２．１１再アソシエーション応答管理フレームとのうちいずれかである第３管理フレーム３４０を作成し送信する。第３管理フレームには、第３認証情報要素３４１が含められ、例えば追加される。第３認証情報要素３４１は、更なるメッセージ完全性確認（ＭＩＣ）値３４３を含む。その更なるＭＩＣ値３４３は、潜在的に共有秘密鍵と共に、対応するＭＩＣハッシュ関数に入力されるメッセージとして見られる第３認証情報要素の内容に基づき生成される。
【００７３】
続いて、ＤＭＧ  ＳＴＡによる第３認証情報要素の受信に続いて、ＤＭＧ  ＳＴＡは、第３認証情報要素に含まれるＭＩＣを、受信した認証情報要素に基づきＤＭＧ  ＳＴＡにより生成される対応する更なるＭＩＣと比較する。生成された、および受信したＭＩＣのコピーが比較されて、それらが一致するか決定され得る。一致が存在する場合、ＤＭＧ  ＳＴＡは、認証が確立されるものと見なしてよい。
【００７４】
アソシエーションと併せて認証が確立されたものとアクセスポイント（ＰＣＰ／ＡＰ）が見なしたことに続いて、アクセスポイント（ＰＣＰ／ＡＰ）は、認証／アソシエーションステートマシンの（状態３／４と示される）状態３と状態４との両方３７０へ進む。認証が確立されたとＤＭＧ  ＳＴＡが見なしたことに続いて、ＤＭＧ  ＳＴＡも、認証／アソシエーションステートマシンの状態３と状態４との両方３７２に進む。より一般的に、アクセスポイント（ＰＣＰ／ＡＰ）とＤＭＧ  ＳＴＡとは、上記で説明されたように、メッセージングおよびＭＩＣ検証の完了の成功に続いて、認証およびアソシエーションが確立するものと見なしてよい。
【００７５】
認証と同時に、図３に示されているメッセージングは、８０２．１１のアソシエーションまたは再アソシエーションオペレーションも実施する。つまり、以下に説明されるように、第１、第２、および第３管理フレームは、ＤＭＧ  ＳＴＡとアクセスポイント（ＰＣＰ／ＡＰ）とのアソシエーションまたは再アソシエーションを容易にする。
【００７６】
８０２．１１アソシエーションリクエスト管理フレームまたは８０２．１１再アソシエーションリクエスト管理フレームは、アクセスポイントによる使用のための関連する情報を含む。特に、その情報はアクセスポイントが、局デバイスの無線ネットワークインタフェースコントローラ（ＮＩＣ）にリソースを割り当てるのに、およびそれと同期するのに用いられる。アソシエーションリクエストフレームは、サポートされているデータレート、ターゲットネットワークのサービスセット識別子（ＳＳＩＤ）などのＮＩＣについての情報を搬送する。
【００７７】
８０２．１１アソシエーション応答管理フレームまたは８０２．１１再アソシエーション応答管理フレームは、アソシエーションまたは再アソシエーションリクエストの受け入れ、または拒否のインジケーションを含む。フレームは、アソシエーション識別子およびサポートされているデータレートなどの更なる情報を含んでよい。
【００７８】
なお、従来の形態のＰＢＳＳ４ウェイハンドシェイクに含められる、ＤＭＧ  ＳＴＡからアクセスポイント（ＰＣＰ／ＡＰ）への受信確認メッセージは、本願発明の様々な実施形態において省略される。この省略により、メッセージングのオーバーヘッドが削減され、アソシエーション／認証手順の長さが短縮されてよい。局デバイスとアクセスポイントとが極近接しており、他の局デバイスがアクセスポイントに極近接していないシナリオなどの様々なシナリオに関して、この省略は、十分なレベルのセキュリティが提供される限りセキュリティの観点で許容可能であってよい。図３は、例えば鍵確認目的の、本願発明の一部の実施形態に含められてよい、ＰＢＳＳ４ウェイハンドシェイクにおけるものと類似したオプションの受信確認メッセージ３４５を示している。この受信確認メッセージは、それ自体で、または、ＤＭＧ  ＳＴＡからアクセスポイント（ＰＣＰ／ＡＰ）へ送信される管理フレームまたはデータフレームなどの更なるフレームに含められる、または追加される更なる認証情報要素として、送信されてよい。一部の実施形態において、その受信確認メッセージは、受信確認フレームまたはセクタースイープ（ＳＳＷ）リポートフレームに含められる。
【００７９】
一部の実施形態において、本願発明は、特定の状況下で、例えば、従来用いられている状態変数"ｄｏｔ１１ＲＳＮＡＡｃｔｉｖａｔｅｄ"がＴＲＵＥに設定されており、ＰＢＳＳにおいて用いられるＲＳＮＡが、ＩＥＥＥ  ８０２．１ｘ認証および鍵管理プロトコルに基づく場合に、実装される。 "ｄｏｔ１１ＲＳＮＡＡｃｔｉｖａｔｅｄ"状態変数の使用は、ＩＥＥＥ  ８０２．１１ＲＥＶｍｂ−Ｄ１２．０規格文書のＴａｂｌｅ  ８−２０（４６５頁）に説明されている。ｄｏｔ１１ＲＳＮＡＡｃｔｉｖａｔｅｄ状態変数は、ビーコンを介しアクセスポイント（例えば、ＰＣＰ／ＡＰ）から送信されるインジケーション内に提供される。状態変数のＴＲＵＥ値は、アクセスポイントがＲＳＮＡ認証をサポートしていることをアドバタイズする。ＤＭＧ  ＳＴＡ局デバイスは状態変数のＴＲＵＥ値を受信すると、本願発明に係る同時の認証およびアソシエーションを実装することにより応答するよう構成される。
【００８０】
一部の実施形態において、本願発明は、信頼出来る第三者機関の認証サーバを要することなく認証を提供する。このことにより認証を迅速化してよい。
【００８１】
様々な実施形態において、ＰＴＫを生成するのに用いられる事前共有鍵は共通の秘密鍵Ｋである。この共通の秘密鍵Ｋは異なる長さであってよいが、様々な実施形態において、ＲＳＮＡに準拠したレベルのセキュリティの確保を達成するよう少なくとも１２８ビットであることが推奨される。共通の共有された鍵は、暗号によってセキュアな方式で、例えば、"Ｅｓｔａｂｌｉｓｈｉｎｇ  Ｗｉｒｅｌｅｓｓ  Ｒｏｂｕｓｔ  Ｓｅｃｕｒｉｔｙ  Ｎｅｔｗｏｒｋｓ：  Ａ  ｇｕｉｄｅ  ｔｏ  ＩＥＥＥ  ８０２．１１ｉ；  Ｒｅｃｏｍｍｅｎｄａｔｉｏｎｓ  ｏｆ  ｔｈｅ  Ｎａｔｉｏｎａｌ  Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｓｔａｎｄａｒｄｓ  ａｎｄ  Ｔｅｃｈｎｏｌｏｇｙ，"  Ｓｐｅｃｉａｌ  Ｐｕｂｌｉｃａｔｉｏｎ  ８００−９７，  Ｓ．  Ｆｒａｎｋｅｌ  ｅｔ  ａｌ．，  Ｎａｔｉｏｎａｌ  Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｓｔａｎｄａｒｄｓ  ａｎｄ  Ｔｅｃｈｎｏｌｏｇｙ，  Ｆｅｂｒｕａｒｙ  ２００７に従って、確立されてよい。
【００８２】
一部の実施形態において、図３で交換されるフレームは、例えば、従来のＰＢＳＳ４ウェイハンドシェイクメッセージに関連して説明されているような、ＭＢＯオペレーションをサポートするための、オプションのマルチバンドオペレーション（ＭＢＯ）パラメータを含む。
【００８３】
一部の実施形態において、単一の事前共有鍵Ｋを有するのではなく、局デバイスはメモリに、複数の事前共有鍵またはキーチェーンを格納する。そして、共有された鍵のうち特定の１つが認証で用いるために選択され得る。キーチェーンの使用によりセキュリティが向上してよい。選択された事前共有鍵のアイデンティティは、局デバイス間で認証時にセキュアな方式で通信され得る。事前共有鍵の選択は、認証手順に参加している局デバイス（例えば、ＤＭＧ  ＳＴＡまたはＰＣＰ／ＡＰまたは他のアクセスポイント）のうちいずれかにより実施されてよい。そして、鍵の選択を実施する局デバイスは、どの鍵が選択されたかのインジケーションを他の局デバイスに通信する。事前共有鍵のうちそれぞれが、対応する指標値と関連付けられてよい。鍵と指標値との間の関連付けも、事前共有されてよく、したがって、両方の局デバイスで共通であってよい。鍵の選択の通信は、対応する指標値の通信を含んでよい。指標値は、認証情報要素の指定された鍵ＩＤフィールド内で通信され得る。
【００８４】
一部の実施形態において、局デバイスのうち一方がメモリに、所定の鍵のセットのうち第１サブセットを保有しており、それら局デバイスのうち他方が、その鍵のセットのうち第２サブセットを保有している。第１サブセットおよび第２サブセットはそれぞれ、少なくとも１つの鍵を含み、第１サブセットおよび第２サブセットは少なくとも部分的に重なる。したがって、第１サブセットと第２サブセットとが交わる部分は、事前共有鍵である少なくとも１つの鍵を含む。一部の実施形態において、第２サブセットは第１サブセット内に完全に含まれる。例えば、第１サブセットは、（第１セットが非真部分集合であるよう）鍵のセット全体と等しくてよく、他方、第２サブセットは、鍵のセット全体の真部分集合であってよい。この場合、第２サブセットを有している局デバイスは、他方の局デバイスも確実に、選択された鍵を有するよう鍵選択を実施する。第１サブセットを有する局デバイスは、例えばアクセスポイントである、潜在的に大量であるデータを格納することがより実際的である局デバイスであってよい。
【００８５】
一部の実施形態において、アクセスポイント（例えば、ＰＣＰ／ＡＰ）は、様々なＤＭＧ  ＳＴＡ局デバイスとの超近距離通信のために構成された料金所とアソシエートされる。アクセスポイントは、潜在的に多数のＤＭＧ  ＳＴＡ局デバイスをサポートするために、最大数千の事前共有された秘密鍵Ｋを保持してよい。各ＤＭＧ  ＳＴＡ局デバイスは、種々のＤＭＧ  ＳＴＡ局デバイスが同じ事前共有鍵を有さないよう、または有している可能性が低くなるよう、事前共有鍵ｋのうち１または複数からなる別個のサブセットを含んでよい。これにより、鍵の偽造攻撃の潜在性が軽減される。認証を開始する場合、ＤＭＧ  ＳＴＡ局デバイスは、それが用いようとしている事前共有鍵の指標を示すよう構成される。
【００８６】
図４は、本願発明の実施形態に係る、ＩＥＥＥ  ８０２．１１準拠のネットワークで用いるための他の認証手順を示している。この手順は、アクセスポイント（ＰＣＰ／ＡＰ）４１０が事前共有鍵を選択し、対応する鍵識別子をＤＭＧ  ＳＴＡへ送信すること以外は、図３のものと同様である。アクセスポイント（ＰＣＰ／ＡＰ）は、第１管理フレーム４２０内に、ＤＭＧ  ＳＴＡへ送信される第１認証情報要素の指定されたノンスフィールド内の第１ノンス値Ａノンスに連結された、またはそうでなければそれと共に含められた鍵ＩＤ４２２値として、選択された鍵識別子を含める。ＤＭＧ  ＳＴＡは、受信した鍵ＩＤに対応する事前共有鍵を選択し、選択した鍵を、認証手順の残りで用いる。ＤＭＧ  ＳＴＡは、第２管理フレーム４３０に含められる認証情報要素の指定された鍵ＩＤフィールド内に値鍵ＩＤ４３２も含める。鍵ＩＤフィールドは８バイト長であり得、その後に、Ａノンスフィールドが続く。鍵ＩＤは、ＭＩＣの生成が基づくメッセージデータの一部として第２管理フレーム内で用いられてよい。図４の手順の残りは、図３に関連して上記で説明されたように進んでよい。
【００８７】
図５は、本願発明の実施形態に係る、ＩＥＥＥ  ８０２．１１準拠のネットワークで用いるためのさらに他の認証手順を示している。この手順は、ＤＭＧ  ＳＴＡ５１５が事前共有鍵を選択し、対応する鍵識別子を第２管理フレーム５３０に含められる認証情報要素の指定された鍵ＩＤフィールド内で、アクセスポイント（ＰＣＰ／ＡＰ）５１０へ送信することを除いて図３のものと同様である。第１管理フレーム５２０は、場合により、ＤＭＧ  ＳＴＡが事前共有鍵を選択するというインジケータと共に、図３に関連して上記で説明されたように進む。ＤＭＧ  ＳＴＡは、第２管理フレーム５３０内に、また第２管理フレーム５３０に含められアクセスポイント（ＰＣＰ／ＡＰ）へ送信される第２認証情報要素内に、第２ノンス値ＳノンスおよびＭＩＣと共に、選択された鍵識別子を値鍵ＩＤ５３２として含める。ＤＭＧ  ＳＴＡは、それがどの鍵を現在のセッションに用いようとしているかを示すべく、アソシエーションリクエストフレームと共に含められる第２認証情報要素内に鍵ＩＤを加えてよい。アクセスポイント（ＰＣＰ／ＡＰ）は、受信した鍵ＩＤに対応する事前共有鍵を選択し、選択した鍵を、認証手順の残りで用いる。アクセスポイント（ＰＣＰ／ＡＰ）は、第３管理フレーム５４０内に、第３管理フレームと共に含められる第３認証情報要素の指定された鍵ＩＤフィールド内に値鍵ＩＤ５４２も含める。鍵ＩＤは、ＭＩＣの生成が基づくメッセージデータの一部として第３管理フレーム内で用いられてよい。図５の手順の残りは、図３に関連して上記で説明されたように進んでよい。
【００８８】
図６Ａは、本願発明の他の実施形態に係る、ＩＥＥＥ  ８０２．１１準拠のネットワークで用いるための認証手順を示している。図３から５で示されている実施形態と対比して、この認証手順は必ずしも、アソシエーション手順と同時に実施されない。むしろ、認証手順は、他のタイプの管理フレームを用いて実施され得る。図２〜５に説明される認証ステートマシンの状態は図６Ａで明示的に言及されていないが、しかし様々な実施形態において、それらは図３〜５に示されるのと同じ方式で含まれてよい。さらに、一部の実施形態において、図６Ａおよび６Ｂで示されている認証情報要素は、図４および５に関連して説明された実施形態と同様の方式で、鍵ＩＤフィールド内に事前共有鍵のインジケーションを含んでよい。またさらに、図６Ａおよび６Ｂで示されている管理フレームは潜在的に、示されていない他の管理フレームと点在させられてよい。省略される場合、図６Ａに関連して説明されているオペレーションの詳細は、図３に説明されるものと同様に進んでよい。
【００８９】
図６Ａを参照すると、アクセスポイント（ＰＣＰ／ＡＰ）または潜在的にＤＭＧ  ＳＴＡであってよい第１デバイス６１０が、第１管理フレーム６２０を送信する。第１管理フレームには、場合により、認証手順が利用可能であることを示すフラグビットと共に、第１認証情報要素６２１が含められる。示されている実施形態において、第１認証情報要素は、第１ノンス６２２を、場合により他の情報と共に含む。
【００９０】
第１認証情報要素６２１を含む第１管理フレーム６２０は、ＤＭＧ  ＳＴＡまたは潜在的にアクセスポイント（ＰＣＰ／ＡＰ）であってよい第２デバイス６１５により受信される。続いて、第２デバイスは、受信した第１ノンスと、ＤＭＧ  ＳＴＡにより生成された第２ノンスと、指標値が演繹的に知られてよい、または認証情報要素を介して通信されてよい事前共有鍵とを含む情報に基づきペア一時鍵（ＰＴＫ）を構築６２５する。
【００９１】
追加的に、第２デバイスは、第２管理フレーム６３０を作成し送信する。第２管理フレームには、第２認証情報要素６３１が含められ、例えば追加される。第２認証情報要素は、メッセージとして見られる、第２認証情報要素に関して生成されたメッセージ完全性確認（ＭＩＣ）値６３３と併せて、第２デバイスにより生成された第２ノンス６３２を含む。
【００９２】
第１デバイスによる第２ノンスの受信に続いて、第１デバイスは、第１ノンスと、受信した第２ノンスと、事前共有鍵とを含む情報に基づきＰＴＫを構築６３５する。第２管理フレーム内で受信したＭＩＣも確認される。
【００９３】
第１デバイスは、第３管理フレーム６４０を作成し送信する。第３管理フレームには、第３認証情報要素６４１が含められる。第３認証情報要素６４１は、更なるメッセージ完全性確認（ＭＩＣ）値３４３を含む。その更なるＭＩＣ値３４３は、潜在的に共有秘密鍵と共に、対応するＭＩＣハッシュ関数に入力されるメッセージとして見られる第３認証情報要素の内容に基づき生成される。
【００９４】
続いて、第２デバイスによる第３認証情報要素の受信に続いて、第２デバイスは、第３認証情報要素に含められているＭＩＣを、受信した認証情報要素に基づき第２デバイスにより生成される対応する更なるＭＩＣと比較する。生成された、および受信したＭＩＣのコピーが比較されて、それらが一致するか決定され得る。一致が存在する場合、ＤＭＧ  ＳＴＡは、認証が確立されるものと見なしてよい。第１および第２デバイスは、上記で説明されたような、メッセージングおよびＭＩＣ検証の完了の成功に続いて、認証およびアソシエーションが確立するものと見なしてよい。
【００９５】
図６Ａは、例えば鍵確認目的で、本願発明の一部の実施形態に含められてよい、ＰＢＳＳ４ウェイハンドシェイクにおけるものと類似したオプションの受信確認メッセージ６４９を示している。この受信確認メッセージ６４９は、例えば、第２デバイスから第１デバイスへ送信される第４管理フレーム６４５で提供されるように第４認証情報要素６４７の指定された受信確認フィールド内で送信されてよい。
【００９６】
図６Ｂは、本願発明のさらに他の実施形態に係る、ＩＥＥＥ  ８０２．１１準拠のネットワークで用いるための認証手順を示している。図３〜６Ｂに示されている実施形態と対比して、認証手順は必ずしも管理フレームを用いない。むしろ、認証手順は、データフレームなどの他のタイプのフレーム、またはデータフレームと管理フレームとの組み合わせを用いて実施され得る。図２〜５に説明される認証ステートマシンの状態は図６Ｂで明示的に言及されていないが、しかし、様々な実施形態において、それらは図３〜５に示されるのと同じ方式で含まれてよい。さらに、一部の実施形態において、図６Ｂで示されている認証情報要素は、図４および５に関連して説明された実施形態と同様の方式で、鍵ＩＤフィールド内に事前共有鍵のインジケーションを含んでよい。またさらに、図６Ｂで示されているフレームは潜在的に、示されていない他のフレームと点在させられてよい。省略される場合、図６Ｂに関連して説明されているオペレーションの詳細は、図３に説明されるものと同様に進んでよい。
【００９７】
図６Ｂを参照すると、アクセスポイント（ＰＣＰ／ＡＰ）または潜在的にＤＭＧ  ＳＴＡであってよい第１デバイス６６０が、第１フレーム６７０を送信する。第１フレームには、場合により、認証手順が利用可能であることを示すフラグビットと共に、第１認証情報要素６７１が含められる。示されている実施形態において、第１認証情報要素は、第１ノンス６７２を、場合により他の情報と共に含む。
【００９８】
第１認証情報要素６７１を含む第１フレーム６７０は、ＤＭＧ  ＳＴＡまたは潜在的にアクセスポイント（ＰＣＰ／ＡＰ）であってよい第２デバイス６６５により受信される。続いて、第２デバイスは、受信した第１ノンスと、ＤＭＧ  ＳＴＡにより生成された第２ノンスと、指標値が演繹的に知られてよい、または認証情報要素を介して通信されてよい事前共有鍵とを含む情報に基づきペア一時鍵（ＰＴＫ）を構築６７５する。
【００９９】
追加的に、第２デバイスは、第２フレーム６８０を作成し送信する。第２フレームには、第２認証情報要素６８１が含められ、例えば追加される。第２認証情報要素は、メッセージとして見られる、第２認証情報要素に関して生成されたメッセージ完全性確認（ＭＩＣ）値６８３と併せて、第２デバイスにより生成された第２ノンス６８２を含む。
【０１００】
第１デバイスによる第２ノンスの受信に続いて、第１デバイスは、第１ノンスと、受信した第２ノンスと、事前共有鍵とを含む情報に基づきＰＴＫを構築６８５する。第２フレーム内で受信したＭＩＣも確認される。
【０１０１】
第１デバイスは、第３フレーム６９０を作成し送信する。第３フレームには、第３認証情報要素６９１が含められる。第３認証情報要素６９１は、更なるメッセージ完全性確認（ＭＩＣ）値３４３を含む。その更なるＭＩＣ値３４３は、潜在的に共有秘密鍵と共に、対応するＭＩＣハッシュ関数に入力されるメッセージとして見られる第３認証情報要素の内容に基づき生成される。
【０１０２】
続いて、第２デバイスによる第３認証情報要素の受信に続いて、第２デバイスは、第３認証情報要素に含められているＭＩＣを、受信した認証情報要素に基づき第２デバイスにより生成される対応する更なるＭＩＣと比較する。生成された、および受信したＭＩＣのコピーが比較されて、それらが一致するか決定され得る。一致が存在する場合、ＤＭＧ  ＳＴＡは、認証が確立されるものと見なしてよい。第１および第２デバイスは、上記で説明されたような、メッセージングおよびＭＩＣ検証の完了の成功に続いて、認証およびアソシエーションが確立するものと見なしてよい。
【０１０３】
図６Ｂは、例えば鍵確認目的で、本願発明の一部の実施形態に含められてよい、ＰＢＳＳ４ウェイハンドシェイクにおけるものと類似したオプションの受信確認メッセージ６９９を示している。この受信確認メッセージ６９９は、例えば、第２デバイスから第１デバイスへ送信される第４フレーム６９５で提供されるように第４認証情報要素６９７の指定された受信確認フィールド内で送信されてよい。
【０１０４】
本願発明の実施形態は、認証手順に用いるためのデータを搬送する１または複数のデータフィールドを有する認証情報要素を可能とする。様々な実施形態において、それらデータフィールドの内容は、コンテキストに依存した方式で解釈される。例えば、所与のデータフィールドの内容は、それがアップリンク方向に送信されるフレームに含められる場合には、それがダウンリンク方向に送信されるフレームに含められる場合とは異なるパラメータとして解釈され得る。他の例として、所与のデータフィールドの内容は、例えば図１の認証ステートマシンが第１の状態にある場合には、その認証ステートマシンが第２の異なる状態にある場合とは異なるパラメータとして解釈され得る。他の例として、所与のデータフィールドの内容は、４ウェイハンドシェイクのどの部分が実行されているかに依存して異なるパラメータとして解釈され得る。認証情報要素は、そのビット設定、および以下に説明される所定のオペレーションルールなどのオペレーションルールに従って解釈される。
【０１０５】
図７は、本願発明の実施形態に従って提供される認証情報要素フォーマットを示している。示されている認証情報要素のフォーマットの詳細は１つの可能性として提供されている。例えば、示されているフォーマットを調整または適応させることにより、他のフォーマットが本願発明の実施形態で用いられ得る。示されているフォーマットは、情報の種々の組み合わせを搬送するようカスタマイズされ得る。これにより、同じフォーマットが、ＰＢＳＳ４ウェイハンドシェイクの略式ハンドシェイクバージョンの第１、第２、または第３ハンドシェイクメッセージのために用いられ得る。様々な実施形態において、同じフォーマットが、ＰＢＳＳ４ウェイハンドシェイクのフルバージョンの第４ハンドシェイクメッセージのためにも用いられ得る。本実施例に説明される、および変更され得るフォーマットの詳細は、データフィールドおよびサブフィールドの順序と、これらデータフィールドおよびサブフィールドの種々の内容を示すのに用いられるビット値とである。例えば、特定の（単一のビットを示す）バイナリ値または（複数のビットを示す）ビット値が以下において指定された場合、このビット値は単に例であり調整され得ることが理解されるべきである。
【０１０６】
本願発明の実施形態によると、複数の潜在的なデータフィールド、およびそれら潜在的なデータフィールドのうち少なくとも１つの、複数の潜在的な長さを指定する、認証情報要素のフォーマットの共通のテンプレート構造が提供される。各認証情報要素は、現在の要求事項に基づき、そのテンプレート構造で許可され指定される特定のフォーマットを選択することにより構成され得る。
【０１０７】
示されているように、認証情報要素は、例えば１オクテット長の要素ＩＤフィールド７０２を含む。要素ＩＤフィールドは、その情報要素が認証情報要素であることを示す。認証情報要素は、例えば１オクテット長の長さフィールド７０５を含む。長さフィールドは、認証情報要素の全体的な長さを示す。
【０１０８】
認証情報要素は、例えば１オクテット長のオプションフィールド７１０を含む。オプションフィールドは、２ビットのタイプサブフィールド７１５と、２ビットのハンドシェイクサブフィールド７３０と、１ビットの鍵ＩＤ利用状況フラグ７５０と、１ビットの鍵ＩＤイニシエータインジケータビット７５４と、１または複数の予約ビットのセクション７５７とを含む。
【０１０９】
タイプサブフィールド７１５は、事前共有鍵を用いた認証およびアソシエーションプロセスとその認証情報要素が関連付けられている（ビット値０１）か、または、事前共有鍵を用いた再認証および再アソシエーションプロセスとその認証情報要素が関連付けられている（ビット値１０）か、または、ＩＥＥＥ  ８０２．１１のアソシエーションおよび／または認証フレーム以外のフレームを用いた認証（およびオプションでアソシエーション）プロセスとその認証情報要素が関連付けられている（ビット値１１）か、を示す。例えば、その認証情報要素は、データフレームで搬送され得る。
【０１１０】
ハンドシェイクサブフィールド７３０は、ＰＢＳＳ４ウェイハンドシェイクまたは略式ハンドシェイクのどのシーケンシャルなメッセージがその認証情報要素により伝えられているかを示す。ビット値００は、第１ハンドシェイクメッセージが、（例えばＤＭＧビーコンフレームを介し）伝えられていることを示し、ビット値０１は、第２ハンドシェイクメッセージが、（例えばアソシエーションリクエストまたは再アソシエーションリクエストフレームを介し）伝えられていることを示し、ビット値１０は、第３ハンドシェイクメッセージが、（例えばアソシエーションまたは再アソシエーション応答フレームを介し）伝えられていることを示し、ビット値１１は、オプションの第４ハンドシェイクメッセージが、伝えられていることを示す（タイプサブフィールドがビット値０１または１０を含んでいる場合には使用されない）。可変長のフィールドの長さを含む認証情報要素の内容は、ノンスフィールドなどのフィールドの内容の応用と併せて、ハンドシェイクサブフィールド内の値に少なくとも部分的に基づき推論され得る。
【０１１１】
鍵ＩＤ利用状況フラグ７５０は、鍵ＩＤフィールド７６０が存在しているかしていないかを示す。
【０１１２】
鍵ＩＤイニシエータビット７５４は、どのエンティティが鍵ＩＤの通信を開始するのかを示す。鍵ＩＤイニシエータビットがゼロに設定されている場合、アクセスポイント（ＰＣＰ／ＡＰ）が、鍵ＩＤの通信を開始するエンティティとして特定される。鍵ＩＤイニシエータビットが１に設定されている場合、ＤＭＧ  ＳＴＡが、鍵ＩＤの通信を開始するエンティティとして特定される。
【０１１３】
認証情報要素は、例えば０オクテット長（存在しない）または８オクテット長（存在する）の鍵ＩＤフィールド７６０も含む。その長さは可変であり、認証情報要素の要求事項に依存し得る。鍵ＩＤフィールドが存在する場合、それは、認証手順に用いられることになる事前共有鍵の指標として機能する鍵ＩＤ値を含む。
【０１１４】
認証情報要素は、例えば０オクテット長または１６オクテット長のノンスフィールド７６５も含む。長さは可変であり、認証情報要素の要求事項に依存し得る。ノンスフィールドが存在する場合、それは、ＳノンスまたはＡノンスなどの通信されることになるノンス値を含む。
【０１１５】
認証情報要素は、例えば１６オクテット長のメッセージ完全性確認（ＭＩＣ）フィールド７７０も含む。ＭＩＣフィールドは、認証手順におけるメッセージの完全性のチェックを実施するのに用いるための現在のＭＩＣ値を含む。
【０１１６】
本願発明の実施形態において、例えば図３、図６Ａ、または図６Ｂに関連して上記で説明した手順の第１認証情報要素、第２認証情報要素、および第３認証情報要素は、図７を参照し、以下のようにフォーマットされる。第１認証情報要素３２１または６２１は、ハンドシェイクサブフィールド７３０内にビット値００を含み、ノンスフィールド７６５は、第１ノンス３２２または６２２を搬送する。第２認証情報要素３３１または６３１は、ハンドシェイクサブフィールド７３０内にビット値０１を含み、ノンスフィールド７６５は、第２ノンス３３２または６３２を搬送し、ＭＩＣフィールド７７０は、ＭＩＣ３３３または６３３を搬送する。第３認証情報要素３４１または６４１は、ハンドシェイクサブフィールド７３０内にビット値１０を含み、ＭＩＣフィールド７７０は、ＭＩＣ３４３または６４３を搬送する。
【０１１７】
受信に応答して、認証情報要素を含むフレームは、様々なオペレーションルールに従って処理され得る。オペレーションルールにより、様々な実施形態における認証を容易にするためのフレームの適切な処理が可能となる。例として、本願発明の実施形態に係る様々なオペレーションルールが以下に説明されている。追加のルールも加えられ得、またはルールが適宜変更され得る。
【０１１８】
タイプサブフィールドがビット値０１を含む場合、およびハンドシェイクサブフィールドがビット値００を含む場合、ノンスフィールドは１６オクテット長であるものと決定され、Ａノンスを搬送しているものと解釈される。
【０１１９】
タイプサブフィールドがビット値０１を含む場合、およびハンドシェイクサブフィールドがビット値０１を含む場合、ノンスフィールドは１６オクテット長であるものと決定され、Ｓノンスを搬送しているものと解釈される。
【０１２０】
タイプサブフィールドがビット値０１を含む場合、およびハンドシェイクサブフィールドがビット値１０を含む場合、ノンスフィールドは０オクテット長であるものと決定される。
【０１２１】
タイプサブフィールドがビット値１０を含む場合、およびハンドシェイクサブフィールドがビット値００を含む場合、ノンスフィールドは１６オクテット長であるものと決定され、Ａノンスを搬送しているものと解釈される。
【０１２２】
タイプサブフィールドが値１０を含む場合、およびハンドシェイクサブフィールドが値０１を含む場合、ノンスフィールドは１６オクテット長であるものと決定され、Ｓノンスを搬送しているものと解釈される。
【０１２３】
タイプサブフィールドがビット値１０を含む場合、およびハンドシェイクサブフィールドがビット値１０を含む場合、ノンスフィールドは０オクテット長であるものと決定される。
【０１２４】
タイプサブフィールドがビット値１１を含む場合、およびハンドシェイクサブフィールドがビット値００を含む場合、ノンスフィールドは１６オクテット長であるものと決定され、Ａノンスを搬送しているものと解釈される。
【０１２５】
タイプサブフィールドがビット値１１を含む場合、およびハンドシェイクサブフィールドがビット値０１を含む場合、ノンスフィールドは１６オクテット長であるものと決定され、Ｓノンスを搬送しているものと解釈される。
【０１２６】
タイプサブフィールドがビット値１１を含む場合、およびハンドシェイクサブフィールドがビット値１０を含む場合、ノンスフィールドは０オクテット長であるものと決定される。
【０１２７】
タイプサブフィールドがビット値１１を含む場合、およびハンドシェイクサブフィールドがビット値１１を含む場合、ノンスフィールドは０オクテット長であるものと決定される。
【０１２８】
鍵ＩＤ利用状況フラグがバイナリ値０を含む場合、鍵ＩＤフィールドは、０オクテット長であるものと決定される。
【０１２９】
鍵ＩＤ利用状況フラグがバイナリ値１を含む場合、鍵ＩＤフィールドは、８オクテット長であるものと決定される。
【０１３０】
ハンドシェイクサブフィールドがビット値００を含む場合、ＭＩＣフィールドは、０オクテット長であるものと決定される。そうでない場合、ＭＩＣフィールドは１６オクテット長であるものと決定される。
【０１３１】
図８は、上記で説明されたよう様々なオペレーションルールをエンコードする真理値表を示している。鍵ＩＤ利用状況フラグの値のみに依存する鍵ＩＤフィールド長さに関連するオペレーションルールは示されていない。
【０１３２】
図９は、本願発明の実施形態に係る、開発中のＩＥＥＥ  ８０２．１１ａｙ規格で用いるための、提案されている認証鍵管理スイートに関連するチャートを示している。
【０１３３】
図１０は、本願発明の実施形態に係るロバストセキュリティネットワーク（ＲＳＮ）機能フィールドを示している。ＩＥＥＥ  ８０２．１１規格のＳｕｂｃｌａｕｓｅ  ８．４．２．２４．４に説明されている規格に則ったＲＳＮインジケータは、そのインジケータの最後の予約ビットが"ＦＡＡ機能"インジケータビット１０１０として再度定められるよう更新される。代替的に、ロケーション１０１２の予約ビットが、"ＦＡＡ機能"インジケータビットとして再度定められ得る。ＦＡＡ機能ビットをバイナリゼロに設定することにより、（管理フレームに追加された認証情報要素を用いる）ここで説明される高速認証／アソシエーション手順が用いられていないことが示される。ＦＡＡ機能ビットをバイナリ１に設定することにより、（管理フレームに追加された認証情報要素を用いる）ここで説明される高速認証／アソシエーション手順が用いられていること、および認証情報要素がその後に加えられていることが示される。
【０１３４】
図１１は、特に上記で説明されたような鍵識別子が存在していない状態で、本願発明の実施形態に従って提供される鍵階層を示している。ペアマスター鍵（ＰＭＫ）に対応してよい事前共有鍵Ｋ１１１０が示されている。ペア一時鍵（ＰＴＫ）１１２０は、共通のテキスト文字列、ＭＡＣアドレス、および交換されたノンスなどの双方に知られている他の情報と共に、事前共有鍵Ｋに基づき鍵導出関数ＫＤＦ−Ｘ１１１５を用いて生成される。ＫＤＦ−Ｘの値"Ｘ"は、鍵導出関数の出力ビット長を指す。図１１において、ＭＡＣ＿ｓおよびＭＡＣ＿ａはそれぞれ、ＤＭＧ  ＳＴＡおよびアクセスポイント（ＰＣＰ／ＡＰ）に関する４８ビットのＭＡＣアドレスを表し、他方、ＳノンスおよびＡノンスは、例えば図３に関連して上記で説明されたように交換されてよい。
【０１３５】
図１１に示されているように、"Ｍｉｎ"および"Ｍａｘ"がそれぞれ、最小および最大の関数を表す場合、鍵導出関数ＫＤＦ−Ｘ１１１５は、事前共有鍵Ｋ、一定の文字列"１１ａｙ  Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ"、ＭＡＣアドレスＭＡＣ＿ｓおよびＭＡＣ＿ａ、並びにノンス  ＳノンスおよびＡノンスの以下の関数に対応してよい。
【０１３６】
ＫＤＦ−Ｘ（  Ｋ，  "１１ａｙ  Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ"，  Ｍｉｎ（ＭＡＣ＿ｓ，  ＭＡＣ＿ａ）  ｜｜  Ｍａｘ（ＭＡＣ＿ｓ，  ＭＡＣ＿ａ）  ｜｜  Ｍｉｎ（ＳＮｏｎｃｅ，  ＡＮｏｎｃｅ）  ｜｜  Ｍａｘ（ＳＮｏｎｃｅ，  ＡＮｏｎｃｅ））。
【０１３７】
鍵導出関数ＫＤＦ−Ｘは、ＩＥＥＥ  ８０２．１１規格のＳｕｂｃｌａｕｓｅ  １１．６．１．７．２で指定されるように実装されてよい。
【０１３８】
ＰＴＫ１１２０は、鍵確認鍵（ＫＣＫ）１１２５、鍵暗号化鍵（ＫＥＫ）１１３０、一時鍵（ＴＫ）１１３５を含んでよい。ＫＣＫは、関数Ｌ（ＰＴＫ，０，Ｂ）に従って導出されてよい（Ｂは、少なくとも１２８ビットである）。ＫＥＫは、関数Ｌ（ＰＴＫ，Ｂ，Ｂ）に従って導出されてよい。ＴＫは、関数Ｌ（ＰＴＫ，Ｂまたは２＊Ｂ，ＴＫ＿ビット）に従って導出されてよい（ＴＫ＿ビットは、所定の値である）。関数Ｌ（ａ，ｘ，ｙ）は、最も左側のビットをビット"ｘ"として扱い、ｙビットの長さとなるよう切り捨て、入力"ａ"の最上位のビットを返す"左"の関数を表す。
【０１３９】
図１２は、例えば上記で説明されたような鍵識別子鍵ＩＤが存在している状態で、本願発明の実施形態に従って提供される鍵階層を示している。図１２の鍵階層は、鍵導出関数１２１５は鍵ＩＤ１２１７の関数でもあることを除いて、図１１のものと同等である。
【０１４０】
図１２に示されているように、鍵導出関数ＫＤＦ−Ｘ１２２０は、事前共有鍵Ｋ、"１１ａｙ  Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ"などの一定の文字列、鍵ＩＤ、ＭＡＣアドレスＭＡＣ＿ｓおよびＭＡＣ＿ａ、並びにノンス  ＳノンスおよびＡノンスの以下の関数に対応してよい。
【０１４１】
ＫＤＦ−Ｘ（  Ｋ，  "１１ａｙ  Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ"，  Ｋｅｙ  ＩＤ  ｜｜  Ｍｉｎ（ＭＡＣ＿ｓ，  ＭＡＣ＿ａ）  ｜｜  Ｍａｘ（ＭＡＣ＿ｓ，  ＭＡＣ＿ａ）  ｜｜  Ｍｉｎ（ＳＮｏｎｃｅ，  ＡＮｏｎｃｅ）  ｜｜  Ｍａｘ（ＳＮｏｎｃｅ，  ＡＮｏｎｃｅ））。
【０１４２】
代替的に、"１１ａｄ  Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ"または"Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ"などの異なる一定の文字列、または他の任意の一定の文字列が用いられ得る。
【０１４３】
様々な実施形態において、例えば上記で示されたように、事前共有鍵Ｋ１２１０が用いられて、ＫＣＫ１２２５と、ＫＥＫ１２３０と、ＴＫ１２３５とを含むＰＴＫ１２２０を導出する。ＫＣＫと、ＫＥＫと、ＴＫとのうちそれぞれは、少なくとも１２８ビットであってよい。
【０１４４】
様々な実施形態において、およびＩＥＥＥ  ８０２．１１ａｄ規格と同様に、鍵の管理のために用いられるＣｉｐｈｅｒ  Ｓｕｉｔｅは、ＧＣＭＰ（ＯＵＩ：００−０Ｆ−ＡＣ：８）に対応してよい。
【０１４５】
様々な実施形態において、鍵識別子は、信頼出来る第三者機関のサーバが利用出来ず、両方のデバイスが極近接しており、これにより、傍受または中間者攻撃の潜在性に起因する潜在的な脅威が軽減されているシナリオに対応すべく提供される。
【０１４６】
一部の実施形態において、鍵の管理は、例えば、ＩＥＥＥ  ８０２．１１ａｄ規格のＳｅｃｔｉｏｎ  １０．３．５に記載されるようなペア一時鍵セキュリティアソシエーション（ＰＴＫＳＡ）ライフサイクル管理の要求事項に沿う。
【０１４７】
一部の実施形態において、ＩＥＥＥ  ８０２．１１再アソシエーションオペレーションが、ブレークアウト（ｂｒｅａｋｏｕｔ）なしで上位層のセッションを再開するために同時の認証／アソシエーションプロトコルのための上記にて説明したプロトコルを繰り返してよい。再アソシエーションフレームは、８０２．１１のアソシエーションフレームとは別個のフレームなので、本願発明の実施形態は、８０２．１１のアソシエーションフレームに対してと同じように、８０２．１１再アソシエーションフレームへの同じ認証情報要素の追加を用いてよい。
【０１４８】
図１３は、指向性マルチギガビット無線リンク上でデバイスＤＭＧ  ＳＴＡ１３１５と通信するアクセスポイント（ＰＣＰ／ＡＰ）１３１０を示している。アソシエーションおよび認証オペレーションが、アクセスポイントとデバイスとの間で、ここで説明したように実施されてよい。オプションで、一部の実施形態において認証を容易にすべく、信頼出来る第三者機関（ＴＴＰ）の認証サーバ１３０５が採用されてよい。しかし、他の実施形態において、ＴＴＰ認証サーバが省略される。
【０１４９】
図１４は、本願発明の実施形態に係る、無線デバイス（ＤＭＧ  ＳＴＡ）またはアクセスポイント（ＰＣＰ／ＡＰ）などのデバイスを示している。デバイスは、例えば、ＩＥＥＥ  ８０２．１１ａｄ規格またはＩＥＥＥ  ８０２．１１ａｙ規格などの適切なバージョンのＩＥＥＥ  ８０２．１１規格に従った指向性マルチギガビット無線通信リンクを介し２方向通信が可能な無線ネットワークインタフェース１４１０を含む。デバイスはさらに、ネットワークインタフェースとメモリ１４２５とに接続されたプロセッサ１４２０を含む。メモリは、ここで説明されたようなアソシエーションおよび認証オペレーションを含む、通信を容易にするために、プロセッサによる実行のためのプログラム命令を含んでよい。デバイスはさらに、ここで説明されたような選択および使用のための１または複数の事前共有鍵を保持するよう構成された鍵データベース１４３０を含んでよい。明瞭にするために別々に示されているが、鍵データベースは、メモリと統合されてよい。代替的に、鍵、または鍵のセットは、他のメモリロケーション、またはメモリロケーションのセットで保持されてよい。デバイスは追加的に、当業者には容易に理解されるであろうように、ＩＥＥＥ  ８０２．１１アクセスポイント／制御ポイントまたは指向性マルチギガビット無線デバイスの、従来のタイプのコンポーネントを含んでよい。デバイスは例えば、ハンドヘルドデバイス、スマートフォンパーソナルコンピューティングデバイス、無線ルータ、または乗り物または家電などのデバイス無線モジュールであってよい。
【０１５０】
図１５は、本願発明の実施形態に係る、図１４のデバイスの機能表現を示している。デバイスは、デバイスへ、および／またはデバイスからの、管理フレームの送信および／または受信を管理するよう構成された管理フレームモジュール１５１０を含む。一部の実施形態において、管理フレームモジュールは、ネットワークアソシエーション手順を実行するよう管理フレームを構成してよい。例えば、デバイスがＤＭＧ  ＳＴＡである場合、管理フレームモジュールは、受信したＤＭＧビーコンフレームに応答して８０２．１１アソシエーションリクエストフレームを送信し、さらに、８０２．１１アソシエーション応答フレームを受信してよく、これにより、そのデバイスの、ＩＥＥＥ  ８０２．１１ネットワークへのアソシエーションを容易にしてよい。デバイスがアクセスポイント（ＰＣＰ／ＡＰ）である場合、管理フレームモジュールは、ＤＭＧビーコンを送信し、ＤＭＧビーコンに応答して８０２．１１アソシエーションリクエストを受信し、さらに、８０２．１１アソシエーション応答フレームを送信してよく、これにより、他のデバイスの、ＩＥＥＥ  ８０２．１１ネットワークへのアソシエーションを容易にしてよい。より一般的に、管理フレームモジュールは、ネットワークアソシエーションを含むがこれに限定されない様々な目的で管理フレームを生成し構成してよい。
【０１５１】
図１５のデバイスはさらに、受信した管理フレームから追加の認証情報要素を受信し、送信される管理フレームに含めるための追加の認証情報要素を提供するよう構成された認証モジュール１５１５を含む。認証情報要素は、上記で説明されたように管理フレームに含められ構成されてよい。例えば、デバイスがＤＭＧ  ＳＴＡである場合、認証モジュールは、受信したＤＭＧビーコンフレームから第１ノンス値Ａノンスを受信し、ＰＴＫを構築し、受信したＤＭＧビーコンフレームに応答して送信されることになる８０２．１１アソシエーションリクエストフレームに含めるためにＭＩＣと共に第２ノンス値Ｓノンスを提供してよい。認証モジュールはさらに、８０２．１１アソシエーション応答フレームに含められているＭＩＣを受信してよい。認証モジュールはさらに、受信したＭＩＣの検査により認証を検証してよい。デバイスがアクセスポイント（ＰＣＰ／ＡＰ）である場合、認証モジュールは、送信されることになるＤＭＧビーコンフレームに含めるための第１ノンス値Ａノンスを提供し、ＤＭＧビーコンフレームに応答して送信される８０２．１１アソシエーションリクエストフレームに含められているＭＩＣと共に第２ノンス値Ｓノンスを受信し、ＰＴＫを構築してよい。認証モジュールはさらに、８０２．１１アソシエーション応答フレームに含めるためのＭＩＣを提供してよい。認証モジュールはさらに、受信したＭＩＣの検査により認証を検証してよい。
【０１５２】
認証モジュールおよび管理フレームモジュールは、少なくとも部分的に、並列化された、またはマルチスレッド化された方式でオペレーションを行ってよい。認証モジュールへ提供される、および／または認証モジュールから受信する認証情報要素は、管理フレームモジュールへ提供される、および／または管理フレームモジュールから受信するフレーム上でピギーバックされてよい。認証モジュールおよび管理フレームモジュールは、メモリに格納された命令を実行するプロセッサまたはプロセッサのセットを介して実現されてよい。
【０１５３】
図１５はさらに、受信した管理フレームから認証情報要素を抽出し、受信した管理フレームを（場合により認証情報要素が削除された状態で）管理フレームモジュールへ転送しつつこれら情報要素を認証モジュールへ提供する抽出モジュール１５２０を示している。
【０１５４】
図１５はさらに、認証モジュールにより提供された認証情報要素を管理フレームモジュールにより提供された管理フレームへ含める（例えば、追加する）含めモジュール１５３０を示している。
【０１５５】
図１５はさらに、少なくとも管理フレームを無線で送信および受信するよう構成された、ネットワークインタフェースの送信機能モジュール（Ｔｘ）１５４０および受信機能モジュール（Ｒｘ）１５５０を示している。
【０１５６】
図１６は、本願発明の他の実施形態に係る、特に、認証情報要素の通信が管理フレームに限定されない場合の、図１４のデバイスの機能表現を示している。デバイスは、デバイスへの、および／またはデバイスからの、データフレームおよび管理フレームなどのフレームの送信および／または受信を管理するよう構成されたフレーム通信モジュール１６１０を含む。一部の実施形態において、図１５に関連して説明されたように、フレーム通信モジュールは、ネットワークアソシエーション手順を実行するよう管理フレームを構成してよい。フレーム通信モジュールは、ネットワークアソシエーションを含むがこれに限定されない様々な目的で管理フレームを生成し構成してよい。フレーム通信モジュールは、データフレームなどの他のフレームを処理してもよい。
【０１５７】
図１６のデバイスはさらに、受信したフレームから追加の認証情報要素を受信し、送信されるフレームに含めるための追加の認証情報要素を提供するよう構成された認証モジュール１６１５を含む。認証情報要素は、上記で説明されたようにフレームに含められ構成されてよい。例えば、デバイスがＤＭＧ  ＳＴＡである場合、認証モジュールは、受信した第１フレームから第１ノンス値Ａノンスを受信し、ＰＴＫを構築し、送信されることになる第２フレームに含めるためにＭＩＣと共に第２ノンス値Ｓノンスを提供してよい。認証モジュールはさらに、受信した第３フレームに含められているＭＩＣを受信してよい。認証モジュールはさらに、受信したＭＩＣの検査により認証を検証してよい。デバイスがアクセスポイント（ＰＣＰ／ＡＰ）である場合、認証モジュールは、送信されることになる第１フレームに含めるための第１ノンス値Ａノンスを提供し、送信されることになる第２フレームに含められているＭＩＣと共に第２ノンス値Ｓノンスを受信し、ＰＴＫを構築してよい。認証モジュールはさらに、第３フレームに含めるためのＭＩＣを提供してよい。認証モジュールはさらに、受信したＭＩＣの検査により認証を検証してよい。
【０１５８】
認証モジュールおよびフレーム通信モジュールは、少なくとも部分的に、並列化された、またはマルチスレッド化された方式でオペレーションを行ってよい。認証モジュールへ提供される、および／または認証モジュールから受信する認証情報要素は、フレーム通信モジュールへ提供される、および／またはフレーム通信モジュールから受信するフレーム上でピギーバックされてよい。認証モジュールおよびフレーム通信モジュールは、メモリに格納された命令を実行するプロセッサまたはプロセッサのセットを介して実現されてよい。
【０１５９】
図１６はさらに、受信したフレームから認証情報要素を抽出し、受信したフレームを（場合により認証情報要素が削除された状態で）フレーム通信モジュールへ転送しつつこれら情報要素を認証モジュールへ提供する抽出モジュール１６２０を示している。
【０１６０】
図１６はさらに、認証モジュールにより提供された認証情報要素をフレーム通信モジュールにより提供されたフレームへ含める（例えば、追加する）含めモジュール１６３０を示している。
【０１６１】
図１６はさらに、少なくとも管理フレームを無線で送信および受信するよう構成された、ネットワークインタフェースの送信機能モジュール（Ｔｘ）１６４０および受信機能モジュール（Ｒｘ）１６５０を示している。
【０１６２】
先に述べた実施形態の説明を通じて、本願発明は、ハードウェアのみを用いることにより、または、ソフトウェアと必要な汎用のハードウェアプラットフォームとを用いることにより実装されてよい。そのような理解に基づき、本願発明の技術的解決策は、ソフトウェアプロダクトの形態で具現化されてよい。そのソフトウェアプロダクトは、コンパクトディスク読み取り専用メモリ（ＣＤ−ＲＯＭ）、ＵＳＢフラッシュディスク、または取り外し可能なハードディスクであり得る不揮発性または非一時的記憶媒体に格納されてよい。ソフトウェアプロダクトは、コンピュータデバイス（パーソナルコンピュータ、サーバ、またはネットワークデバイス）が、本願発明の実施形態で提供されている方法を実行することを可能とするいくつかの命令を含む。例えば、そのような実行は、ここで説明されている論理演算のシミュレーションに対応してよい。そのソフトウェアプロダクトは追加的に、または代替的に、コンピュータデバイスが、本願発明の実施形態に係る、デジタル論理装置を構成またはプログラミングするためのオペレーションを実行することを可能とするいくつかの命令を含んでよい。
【０１６３】
その具体的な特徴および実施形態を参照して本願発明を説明してきたが、本願発明から逸脱することなく様々な変更および組み合わせが行われ得ることは明白である。したがって、明細書および図面は、単に、添付の請求項により定められる本願発明を例示するものとして見なされ、本願発明の範囲に含まれる任意の、および全ての変更、変形、組み合わせ、または同等物を網羅することが想到されている。
［項目１］
ＩＥＥＥ  ８０２．１１準拠の無線ネットワークでの通信のために指向性マルチギガビット（ＤＭＧまたはＥＤＭＧ）局（ＳＴＡ）（ＤＭＧまたはＥＤＭＧ  ＳＴＡ）デバイスを認証するための方法であって、
上記無線ネットワークのアクセスポイントと上記デバイスとの間で送信される１または複数のそれぞれのフレームに１または複数の認証情報要素を含める段階であって、上記１または複数の認証情報要素は、上記アクセスポイントと上記デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む、段階を備える、方法。
［項目２］
上記１または複数の認証情報要素は、上記アクセスポイントから上記デバイスへ送信されるフレームに含められる、項目１に記載の方法。
［項目３］
上記アクセスポイントが上記デバイスから受信する１または複数の更なるフレームに含められる１または複数の更なる認証情報要素を受信する段階であって、上記認証手順は、上記１または複数の認証情報要素と上記１または複数の更なる認証情報要素との交換に基づく、段階をさらに備える、項目２に記載の方法。
［項目４］
上記１または複数の認証情報要素は、上記デバイスから上記アクセスポイントへ送信されるフレームに含められる、項目１に記載の方法。
［項目５］
上記デバイスが上記アクセスポイントから受信する１または複数の更なるフレームに含められる１または複数の更なる認証情報要素を受信する段階であって、上記認証手順は、上記１または複数の認証情報要素と上記１または複数の更なる認証情報要素との交換に基づく、段階をさらに備える、項目４に記載の方法。
［項目６］
上記フレームは管理フレームを含む、項目１に記載の方法。
［項目７］
上記管理フレームのうち少なくとも一部は、上記認証手順と並列でネットワークアクセス手順またはネットワークアソシエーション手順を実施するのに用いられる、項目１に記載の方法。
［項目８］
上記フレームはデータフレームを含む、項目１に記載の方法。
［項目９］
上記データは、複数の事前共有鍵のうちどの鍵が上記認証手順に用いられることになるのかを示す鍵識別子を含む、項目１に記載の方法。
［項目１０］
上記データは、上記認証手順で用いるためのノンスと、上記認証手順で用いるためのメッセージ完全性確認値とのうち１または複数を含む、項目１に記載の方法。
［項目１１］
上記認証手順は、
第１ノンス値を含む第１認証情報要素を、上記アクセスポイントから上記デバイスへ送信する段階と、
続いて、第２ノンス値とメッセージ完全性確認値とを含む第２認証情報要素を、上記デバイスから上記アクセスポイントへ送信する段階と、
続いて、更なるメッセージ完全性確認値を含む第３認証情報要素を、上記アクセスポイントから上記デバイスへ送信する段階と、
を含み、
上記認証情報要素は、上記第１認証情報要素および上記第３認証情報要素と、上記第２認証情報要素とのうちいずれかを含む、項目１に記載の方法。
［項目１２］
上記第１認証情報要素は、ビーコンフレーム、アナウンスメントフレーム、またはプローブ応答フレームである第１管理フレームに含められ、上記第２認証情報要素は、アソシエーションリクエストフレームまたは再アソシエーションリクエストフレームである第２管理フレームに含められ、上記第３認証情報要素は、アソシエーション応答フレームまたは再アソシエーション応答フレームである第３管理フレームに含められる、項目１１に記載の方法。
［項目１３］
ＩＥＥＥ  ８０２．１１準拠のデバイスであって、
プロセッサを備え、
上記プロセッサは、
無線ネットワークインタフェースに結合され、
上記無線ネットワークを介し、上記デバイスから第２デバイスへ送信される１または複数のそれぞれのフレームに１または複数の認証情報要素を含めるよう構成され、
上記１または複数の認証情報要素は、上記デバイスと上記第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータを含む、デバイス。
［項目１４］
上記デバイスは、ＩＥＥＥ  ８０２．１１準拠の無線通信デバイスであり、上記第２デバイスは、ＩＥＥＥ  ８０２．１１準拠のアクセスポイントであり、
上記デバイスはさらに、
上記第２デバイスにより送信され上記デバイスが受信した更なるフレームから更なる認証情報要素を読み取り、
上記更なる認証要素に含められるデータに少なくとも部分的に基づいて上記１または複数の認証情報要素のうち少なくとも１つを構成し、上記１または複数の認証情報要素および上記更なる認証情報要素がこれにより、上記認証手順に対応するハンドシェイクを実行するのに用いられることになる、
よう構成される、項目１３に記載のデバイス。
［項目１５］
上記デバイスは、ＩＥＥＥ  ８０２．１１準拠のアクセスポイントであり、上記第２デバイスは、ＩＥＥＥ  ８０２．１１準拠の無線通信デバイスであり、
上記デバイスはさらに、
上記１または複数の認証情報要素のうち最初の認証情報要素の受信に応答して上記第２デバイスにより送信され上記デバイスが受信した第１の更なるフレームから更なる認証情報要素を読み取り、
上記更なる認証要素に含められるデータに少なくとも部分的に基づいて上記１または複数の認証情報要素のうち１つを構成し、上記１または複数の認証情報要素および上記更なる認証情報要素がこれにより、上記認証手順に対応するハンドシェイクを実行するのに用いられることになる、
よう構成される、項目１３に記載のデバイス。
［項目１６］
上記フレームは管理フレームを含む、項目１３に記載のデバイス。
［項目１７］
上記管理フレームのうち少なくとも一部は、上記認証手順と並列でネットワークアクセス手順またはネットワークアソシエーション手順を実施するのに用いられる、項目１３に記載のデバイス。
［項目１８］
上記フレームはデータフレームを含む、項目１３に記載のデバイス。
［項目１９］
上記データは、複数の事前共有鍵のうちどの鍵が上記認証手順に用いられることになるかを示す鍵識別子と、上記認証手順で用いるためのメッセージ完全性コードとのうち１または複数を含む、項目１３に記載のデバイス。
［項目２０］
ＩＥＥＥ  ８０２．１１準拠のデバイスであって、
プロセッサを備え、
上記プロセッサは、
無線ネットワークインタフェースに結合され、
上記デバイスと上記第２デバイスとの両方が共通の暗号鍵を保持している状態を確立するための認証手順に用いるためのデータであって、複数の事前共有鍵のうちどの鍵が上記認証手順で用いられることになるかを示す鍵識別子と、上記認証手順で用いるためのノンスと、上記認証手順で用いるためのメッセージ完全性確認値とのうち１または複数を含むデータを含む認証情報要素を生成し、
上記無線ネットワークインタフェースを介し、上記デバイスから第２デバイスへ送信されることになるフレームに上記認証情報要素を含める
よう構成される、デバイス。
［項目２１］
上記認証情報要素はデータフィールドを含み、
上記デバイスは、上記デバイスが無線通信デバイスであるかアクセスポイントであるか、と、認証ステートマシンの現在の状態と、４ウェイハンドシェイク手順の現在の完了レベルとからなる群から選択される１または複数のコンテキストパラメータに依存して、上記データフィールドの内容を異なるように解釈するよう構成される、項目２０に記載のデバイス。
［項目２２］
さらに、１または複数の更なる認証情報要素を処理するよう構成され、
上記１または複数の更なる認証情報要素は、上記デバイスにより生成され、上記無線ネットワークインタフェースを介し上記第２デバイスから受信され、またはこれらの両方であり、
上記認証情報要素と上記１または複数の更なる認証情報要素とのうちそれぞれは、複数の潜在的なデータフィールドと、上記潜在的なデータフィールドのうち少なくとも１つの複数の潜在的な長さとを指定する共通のテンプレート構造に基づき構成される、項目２０に記載のデバイス。
［項目２３］
拡張型指向性マルチギガビット局デバイスであって、
ネットワークアソシエーション手順の間に上記デバイスにより送信される管理フレームに認証情報要素を含めるよう構成され、
上記認証情報要素は、上記ネットワークアソシエーション手順と並列で行われる事前共有鍵ベースの認証および鍵生成手順で使用可能であり、これにより、上記デバイスを伴うアソシエートされ認証された状態に達するための時間が削減される、デバイス。
【国際調査報告】
2018534805.tif 000020
2018534805.tif 000021