(57)【要約】【課題】入力用ヒューマンインターフェイスを持たない端末に対して高セキュリティな無線ＬＡＮ通信を設定する。【解決手段】無線ＡＰ１０と、設定子機２０と、設定端末３０とを備え、無線ＡＰ１０は、設定子機２０を介して設定端末３０へ接続要求を送信し、設定子機２０は、設定端末３０が近接通信機能により通信可能である場合、設定端末３０が証明書を記憶しているか否かの情報を無線ＡＰ１０へ送信し、無線ＡＰ１０は、設定端末３０が証明書を記憶していないと判定すると、ＳＳＩＤとＭＡＣアドレス要求とを設定端末３０へ送信し、受信した各ＭＡＣアドレスが同一のものであった場合に、証明書を発行して設定子機２０を介して近接通信により設定端末３０へ送信する、証明書発行システム。【選択図】図１
2016187117.tif 000002
【特許請求の範囲】
【請求項１】
無線ＬＡＮ通信機能を有する無線ＬＡＮアクセスポイントと、
入力用ヒューマンインターフェイスを備え、無線ＬＡＮ通信機能と近接通信機能とを有する設定子機と、
無線ＬＡＮ通信機能と近接通信機能とを有する設定端末と、を備え、
前記設定子機は、前記設定子機に備えられた前記入力用ヒューマンインターフェイスの操作を受け付けると、前記無線ＬＡＮアクセスポイントへ接続要求を送信し、
前記無線ＬＡＮアクセスポイントは、前記設定子機から接続要求を受信すると、前記設定子機が予め対応付けられたものであることを認証し、前記設定子機を介して近接通信により前記設定端末へ接続要求を送信し、
前記設定子機は、前記設定端末が近接通信により通信可能である場合、前記設定端末が証明書を記憶しているか否かの情報を含む証明書所持報告を前記無線ＬＡＮアクセスポイントへ送信し、
前記無線ＬＡＮアクセスポイントは、前記証明書所持報告により前記設定端末が証明書を記憶していないと判定すると、ＳＳＩＤとＭＡＣアドレス要求とを前記設定子機を介して近接通信により前記設定端末へ送信し、
前記設定端末は、前記設定端末のＭＡＣアドレスを、前記設定子機を介して、及び前記ＳＳＩＤを元に直接的に、前記無線ＬＡＮアクセスポイントへ送信し、
前記無線ＬＡＮアクセスポイントは、受信した各ＭＡＣアドレスが同一のものであった場合に、証明書を発行し、その証明書を前記設定子機を介して近接通信により前記設定端末へ送信する、
証明書発行システム。
【請求項２】
前記無線ＬＡＮアクセスポイントは、前記受信した各ＭＡＣアドレスが同一のものであった場合に、前記発行した証明書の情報と、前記ＭＡＣアドレスとを対応付けて記憶する、
請求項１に記載の証明書発行システム。
【請求項３】
前記証明書所持報告は、前記設定端末が証明書を記憶している場合にはその証明書の情報を含み、
前記無線ＬＡＮアクセスポイントは、前記証明書所持報告により、前記設定端末が証明書を記憶しており、かつ証明書を更新する必要があると判定すると、新たな証明書を発行し、その新たな証明書を前記設定子機を介して近接通信により前記設定端末に送信すると共に、その新たな証明書の情報により前記記憶された証明書の情報を更新する、
請求項２に記載の証明書発行システム。
【請求項４】
無線ＬＡＮ通信機能を有する無線ＬＡＮアクセスポイントと、
入力用ヒューマンインターフェイスを備え、無線ＬＡＮ通信機能と近接通信機能とを有する設定子機と、を備え、
前記設定子機は、前記設定子機に備えられた前記入力用ヒューマンインターフェイスの操作を受け付けると、前記無線ＬＡＮアクセスポイントへ接続要求を送信し、
前記無線ＬＡＮアクセスポイントは、前記設定子機から接続要求を受信すると、前記設定子機が予め対応付けられたものであることを認証し、前記設定子機を介して近接通信により設定端末への接続要求を送信し、
前記設定子機は、前記設定端末と近接通信機能により通信可能である場合、前記設定端末が証明書を記憶しているか否かの情報を含む証明書所持報告を前記無線ＬＡＮアクセスポイントへ送信し、
前記無線ＬＡＮアクセスポイントは、前記証明書所持報告により前記設定端末が証明書を記憶していないと判定すると、ＳＳＩＤとＭＡＣアドレス要求とを前記設定子機を介して近接通信により前記設定端末へ送信し、
前記無線ＬＡＮアクセスポイントは、前記設定端末から、前記設定子機を介して、及び直接的に、前記設定端末のＭＡＣアドレスを受信すると、その受信した各ＭＡＣアドレスが同一のものであった場合に、証明書を発行し、その証明書を前記設定子機を介して近接通信により前記設定端末へ送信する、
証明書発行装置。
【請求項５】
無線ＬＡＮ通信機能を有する無線ＬＡＮアクセスポイントと、入力用ヒューマンインターフェイスを備え、無線ＬＡＮ通信機能と近接通信機能とを有する設定子機と、無線ＬＡＮ通信機能と近接通信機能とを有する設定端末と、を備える証明書発行システムにおける証明書発行方法であって、
前記設定子機は、前記設定子機に備えられた前記入力用ヒューマンインターフェイスの操作を受け付けると、前記無線ＬＡＮアクセスポイントへ接続要求を送信し、
前記無線ＬＡＮアクセスポイントは、前記設定子機から接続要求を受信すると、前記設定子機が予め対応付けられたものであることを認証し、前記設定子機を介して近接通信により前記設定端末へ接続要求を送信し、
前記設定子機は、前記設定端末が近接通信機能により通信可能である場合、前記設定端末が証明書を記憶しているか否かの情報を含む証明書所持報告を前記無線ＬＡＮアクセスポイントへ送信し、
前記無線ＬＡＮアクセスポイントは、前記証明書所持報告により前記設定端末が証明書を記憶していないと判定すると、ＳＳＩＤとＭＡＣアドレス要求とを前記設定子機を介して近接通信により前記設定端末へ送信し、
前記設定端末は、前記設定端末のＭＡＣアドレスを、前記設定子機を介して、及び前記ＳＳＩＤを元に直接的に、前記無線ＬＡＮアクセスポイントへ送信し、
前記無線ＬＡＮアクセスポイントは、受信した各ＭＡＣアドレスが同一のものであった場合に、証明書を発行し、その証明書を前記設定子機を介して近接通信により前記設定端末へ送信する、
証明書発行方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、入力用ヒューマンインターフェイスを持たない端末に対して、安全な無線ＬＡＮ通信を設定する、証明書発行システム、証明書発行装置及び証明書発行方法に関する。
【背景技術】
【０００２】
これまで、無線ＬＡＮ（Local Area Network）等の無線通信を用いた暗号化通信においては、多くの場合、暗号化キーによる機器認証が行われてきた（例えば、非特許文献１参照）。このような技術を用いて端末を無線ＬＡＮアクセスポイント（以下、適宜「無線ＡＰ」と略記する）に接続するためには、その端末に暗号化キーが記憶されている必要があるため、暗号化キーが変更されると、無線ＡＰに接続していた全ての端末の暗号化キーを再設定する必要があった。
【０００３】
ところで、近年、IEEE802.1x EAP-TLS方式等を用いて証明書認証を行うことで、より安全な無線ＬＡＮ通信接続を行うことが提案されている（例えば、非特許文献２参照）。しかし、このような証明書認証を行う際には、証明書を配送するために証明書管理サーバから何らかの手段を用いて端末に鍵を配送しなければならない。その配送方法として、一時的なＩＤ及びパスワードを用いて端末から証明書管理サーバに認証してアクセスすることで、証明書をダウンロードする方法がある。しかし、端末が入力用ヒューマンインターフェイスを持たない場合には、ＩＤやパスワードを入力する手段がなかった。また、端末がＵＳＢポートなどの外部インターフェイスを持っている場合にも、端末に対応した証明書を配送するためには、証明書の指定など入力用ヒューマンインターフェイスが必要になる事が考えられる。以上より、入力用ヒューマンインターフェイスが無い端末に証明書を入れることは困難であった。
【０００４】
このように、既存の無線通信接続の設定方法の多くは、無線通信接続の設定対象の端末（以下、適宜「設定端末」と略記する）として、入力用ヒューマンインターフェイスを持たないものを想定して構築されてはいない。そのため、入力用ヒューマンインターフェイスを持たない設定端末の設定方法としては、設定端末をＰＣ等のコンソールを有する外部機器と接続し、コンソール上でＳＳＩＤ（Service Set Identifier）と暗号キーとを入力して設定端末に設定する方法や、ＡＯＳＳ（AirStation One-Touch Secure System）を用いた設定方法等が考えられる（例えば、非特許文献３参照）。
【０００５】
コンソール上で設定する場合には、設定端末を外部機器と接続することが必要となるが、設定端末が入力用ヒューマンインターフェイスを持たない機器では、ＰＣ等と接続することが難しい場所で設定することが求められることが多いと考えられ、簡便ではなかった。
【０００６】
また、ＡＯＳＳを用いた設定方法では、無線ＡＰと設定端末とを同時に操作しなくてはならない煩わしさがあり、設定端末を特定するための待機時間や、実際の設定作業に費やす時間等を考慮すると、設定端末１台当たり数分の時間を要することとなる。また、無線ＡＰ自体の情報をネットワーク上に露出させることにより、無線ＡＰを勝手に操作されて意図しない端末をネットワークに参加させてしまう危険性が伴う。ＡＯＳＳでは、緊急避難的にＰＣから管理者ＩＤ及びパスワードを用いて無線ＡＰに接続し、ＡＯＳＳの端末設定機能を起動することが可能だが、煩雑な操作が必要となり、誰でも確実に簡便な設定が可能であるとはいえなかった。
【０００７】
また、非接触ＩＣカード等に接続に必要な情報や証明書等を格納し、設定を簡素化する方法も存在する（例えば、非特許文献４参照）。しかしながら、無線ＡＰの設定を変更するたびにＩＣカードのリライトや再配布などの作業が必要となり、運用上の課題があった。また、ＩＣカードによっては内部の情報が漏洩するリスクもあった。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】“Wi-Fi Protected Access”、Wikipedia、［online］、［２０１５年３月１２日検索］、インターネット<http://ja.wikipedia.org/wiki/Wi-Fi_Protected_Access>
【非特許文献２】“The EAP-TLS Authentication Protocol”、Microsoft Corporation、［online］、［２０１５年３月１２日検索］、インターネット<http://www.rfc-base.org/rfr-5216.html>
【非特許文献３】“AirStation One-Touch Secure System”、Wikipedia、［online］、［２０１５年３月１２日検索］、インターネット<http://ja.wikipedia.org/wiki/AirStation_One-Touch_Secure_System>
【非特許文献４】“［NFCでできること］３つの基本機能について”、トッパン・フォームズ株式会社、［online］、［２０１５年３月１２日検索］、インターネット<http://www.nfc-world.com/about/02.html>
【発明の概要】
【発明が解決しようとする課題】
【０００９】
上述の通り、従来、入力用ヒューマンインターフェイスを持たない端末に、高セキュリティな無線ＬＡＮ通信を行うための設定を行うことは困難であった。
【００１０】
本発明は、このような課題に鑑みてなされたもので、入力用ヒューマンインターフェイスを必ずしも持たない端末に対しても高セキュリティな無線ＬＡＮ通信を設定することができる証明書発行システム、証明書発行装置及び証明書発行方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記課題を解決するため、本発明に係る証明書発行システムは、無線ＬＡＮ通信機能を有する無線ＬＡＮアクセスポイントと、入力用ヒューマンインターフェイスを備え、無線ＬＡＮ通信機能と近接通信機能とを有する設定子機と、無線ＬＡＮ通信機能と近接通信機能とを有する設定端末と、を備え、前記設定子機は、前記設定子機に備えられた前記入力用ヒューマンインターフェイスの操作を受け付けると、前記無線ＬＡＮアクセスポイントへ接続要求を送信し、前記無線ＬＡＮアクセスポイントは、前記設定子機から接続要求を受信すると、前記設定子機が予め対応付けられたものであることを認証し、前記設定子機を介して近接通信により前記設定端末へ接続要求を送信し、前記設定子機は、前記設定端末が近接通信により通信可能である場合、前記設定端末が証明書を記憶しているか否かの情報を含む証明書所持報告を前記無線ＬＡＮアクセスポイントへ送信し、前記無線ＬＡＮアクセスポイントは、前記証明書所持報告により前記設定端末が証明書を記憶していないと判定すると、ＳＳＩＤとＭＡＣアドレス要求とを前記設定子機を介して近接通信により前記設定端末へ送信し、前記設定端末は、前記設定端末のＭＡＣアドレスを、前記設定子機を介して、及び前記ＳＳＩＤを元に直接的に、前記無線ＬＡＮアクセスポイントへ送信し、前記無線ＬＡＮアクセスポイントは、受信した各ＭＡＣアドレスが同一のものであった場合に、証明書を発行し、その証明書を前記設定子機を介して近接通信により前記設定端末へ送信することを特徴とする。
【００１２】
また、上記課題を解決するため、本発明に係る証明書発行装置は、無線ＬＡＮ通信機能を有する無線ＬＡＮアクセスポイントと、入力用ヒューマンインターフェイスを備え、無線ＬＡＮ通信機能と近接通信機能とを有する設定子機と、を備え、前記設定子機は、前記設定子機に備えられた前記入力用ヒューマンインターフェイスの操作を受け付けると、前記無線ＬＡＮアクセスポイントへ接続要求を送信し、前記無線ＬＡＮアクセスポイントは、前記設定子機から接続要求を受信すると、前記設定子機が予め対応付けられたものであることを認証し、前記設定子機を介して近接通信により設定端末への接続要求を送信し、前記設定子機は、前記設定端末と近接通信機能により通信可能である場合、前記設定端末が証明書を記憶しているか否かの情報を含む証明書所持報告を前記無線ＬＡＮアクセスポイントへ送信し、前記無線ＬＡＮアクセスポイントは、前記証明書所持報告により前記設定端末が証明書を記憶していないと判定すると、ＳＳＩＤとＭＡＣアドレス要求とを前記設定子機を介して近接通信により前記設定端末へ送信し、前記無線ＬＡＮアクセスポイントは、前記設定端末から、前記設定子機を介して、及び直接的に、前記設定端末のＭＡＣアドレスを受信すると、その受信した各ＭＡＣアドレスが同一のものであった場合に、証明書を発行し、その証明書を前記設定子機を介して近接通信により前記設定端末へ送信することを特徴とする。
【００１３】
更に、上記課題を解決するため、本発明に係る証明書発行方法は、無線ＬＡＮ通信機能を有する無線ＬＡＮアクセスポイントと、入力用ヒューマンインターフェイスを備え、無線ＬＡＮ通信機能と近接通信機能とを有する設定子機と、無線ＬＡＮ通信機能と近接通信機能とを有する設定端末と、を備える証明書発行システムにおける証明書発行方法であって、前記設定子機は、前記設定子機に備えられた前記入力用ヒューマンインターフェイスの操作を受け付けると、前記無線ＬＡＮアクセスポイントへ接続要求を送信し、前記無線ＬＡＮアクセスポイントは、前記設定子機から接続要求を受信すると、前記設定子機が予め対応付けられたものであることを認証し、前記設定子機を介して近接通信により前記設定端末へ接続要求を送信し、前記設定子機は、前記設定端末が近接通信機能により通信可能である場合、前記設定端末が証明書を記憶しているか否かの情報を含む証明書所持報告を前記無線ＬＡＮアクセスポイントへ送信し、前記無線ＬＡＮアクセスポイントは、前記証明書所持報告により前記設定端末が証明書を記憶していないと判定すると、ＳＳＩＤとＭＡＣアドレス要求とを前記設定子機を介して近接通信により前記設定端末へ送信し、前記設定端末は、前記設定端末のＭＡＣアドレスを、前記設定子機を介して、及び前記ＳＳＩＤを元に直接的に、前記無線ＬＡＮアクセスポイントへ送信し、前記無線ＬＡＮアクセスポイントは、受信した各ＭＡＣアドレスが同一のものであった場合に、証明書を発行し、その証明書を前記設定子機を介して近接通信により前記設定端末へ送信することを特徴とする。
【発明の効果】
【００１４】
本発明に係る証明書発行システム、証明書発行装置及び証明書発行方法によれば、入力用ヒューマンインターフェイスを必ずしも持たない端末に対しても高セキュリティな無線ＬＡＮ通信を設定することができる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施形態に係る証明書発行システムの構成例を示す図である。
【図２】本発明の一実施形態に係る証明書発行システムを構成する無線アクセスポイントに備えられた端末情報データベースのデータ構成例を示す図である。
【図３】本発明の一実施形態に係る証明書発行システムの動作を示すフローチャートである。
【図４】本発明の一実施形態に係る証明書発行システムの証明書登録処理を示すフローチャートである。
【図５】本発明の一実施形態に係る証明書発行システムの証明書登録処理を示すシーケンス図である。
【図６】本発明の一実施形態に係る証明書発行システムの証明書更新処理を示すフローチャートである。
【図７】本発明の一実施形態に係る証明書発行システムの証明書更新処理を示すシーケンス図である。
【発明を実施するための形態】
【００１６】
以下、本発明に係る一実施形態について、図面を参照して説明する。
【００１７】
図１は、本発明の一実施形態に係る証明書発行システム１の構成例を示す図である。図１に示すように、本実施形態に係る証明書発行システム１は、無線ＬＡＮアクセスポイント（無線ＡＰ）１０と、設定子機２０と、設定端末３０とを備えている。また、本発明の一実施形態に係る証明書発行装置２は、無線ＬＡＮアクセスポイント１０と、設定子機２０とを備えている。
【００１８】
無線ＬＡＮアクセスポイント１０は、ＷＡＮ接続部１０１と、無線ＬＡＮ通信部１０２と、ＭＡＣアドレス特定部１０３と、証明書認証部１０４と、証明書発行部１０５と、証明書管理部１０６と、設定子機認証部１０７と、ＳＳＩＤ発行部１０８と、設定管理部１０９と、端末情報ＤＢ１１０とを備えている。
【００１９】
ＷＡＮ接続部１０１は、経路制御装置４０を介して、ＷＡＮ（Wide Area Network）５０に接続する機能を有する。なお、経路制御装置４０は、例えばルータからなり、ＷＡＮ５０と、無線ＬＡＮアクセスポイント１０を含むＬＡＮとを中継し、ＬＡＮ内でどのルートに情報を通すか選択制御する機能を有する。なお、経路制御装置４０は、無線ＬＡＮアクセスポイント１０と一体の装置として構成してもよい。
【００２０】
無線ＬＡＮ通信部１０２は、例えばＷｉ−Ｆｉ（登録商標）等の規格による無線ＬＡＮ通信機能を有する。具体的には、無線ＬＡＮ通信部１０２は、IEEE802.1x EAP-TLS方式等の証明書認証を用いた通信規格を利用する。無線ＬＡＮアクセスポイント１０は、無線ＬＡＮ通信部１０２を用いて、設定子機２０及び設定端末３０とそれぞれ無線ＬＡＮ通信を行うことができる。
【００２１】
ＭＡＣアドレス特定部１０３は、設定端末３０のＭＡＣアドレス（Media Access Control address）を照合する機能を有する。具体的には、設定子機２０を介して受信した設定端末３０のＭＡＣアドレスと、設定端末３０から直接的に受信したＭＡＣアドレスとを照合して、双方が同一のＭＡＣアドレスであるか否かを判定する。
【００２２】
証明書認証部１０４は、設定端末３０と証明書認証を用いて認証を行い、セキュアな接続を確立する機能を有し、例えばＲＡＤＩＵＳ（Remote Authentication Dial In User Service）を用いる。
【００２３】
証明書発行部１０５は、証明書を発行する機能を有する。具体的には、設定端末３０に証明書が記憶されていないときや、証明書が記憶されていても有効期限が切れているとき等に、設定端末３０の認証用に証明書を発行する。
【００２４】
証明書管理部１０６は、証明書と、その証明書に対応する設定端末３０のＭＡＣアドレスと、ＳＳＩＤとを端末情報ＤＢ１１０に記憶したり、更新したりする機能を有する。
【００２５】
設定子機認証部１０７は、設定子機２０の識別情報を有し、接続要求を送信してきた設定子機２０が、予め無線ＬＡＮアクセスポイント１０と対応付けられたものであることを認証する機能を有する。
【００２６】
ＳＳＩＤ発行部１０８は、無線ＬＡＮアクセスポイント１０の識別子であるＳＳＩＤを発行する機能を有する。
【００２７】
設定管理部１０９は、ＰＣ等の外部機器とＬＡＮ等を用いて接続し、外部機器からの命令を証明書管理部１０６に伝えて、端末情報ＤＢ１１０を更新する機能を有する。
【００２８】
端末情報ＤＢ１１０は、図２に示すように、発行された証明書（証明書ＩＤ、発行年月日、及び有効期限年月日の情報を含む）とそれに対応する設定端末３０のＭＡＣアドレス、及びＳＳＩＤを対応付けたデータとして記憶する。
【００２９】
また、設定子機２０は、無線ＬＡＮアクセスポイント１０と共に利用するために予め対応付けられた機器であり、無線ＬＡＮ通信部２１と、近接通信部２２と、情報送信部２３と、情報取得部２４と、情報一時保存部２５と、入力用ヒューマンインターフェイス２６とを備える。
【００３０】
無線ＬＡＮ通信部２１は、例えばＷｉ−Ｆｉ（登録商標）等の規格による無線ＬＡＮ通信機能を有する。具体的には、無線ＬＡＮ通信部２１は、IEEE802.1x EAP-TLS方式等の証明書認証を用いた通信規格を利用する。設定子機２０は、無線ＬＡＮ通信部２１を用いて、無線ＬＡＮアクセスポイント１０及び設定端末３０とそれぞれ無線ＬＡＮ通信を行うことができる。
【００３１】
近接通信部２２は、例えばＮＦＣ（Near Field Communication）等の近距離無線通信や、赤外線通信や、ＵＳＢ（Universal Serial Bus）接続等による通信等の、近接通信を行う機能を有する。近接通信の距離としては、例えば、接触又は数十センチメートル程度の距離が想定される。設定子機２０は、近接通信部２２を用いて、設定端末３０と通信することができる。
【００３２】
情報送信部２３は、無線ＬＡＮアクセスポイント１０で発行された証明書を、近接通信部２２を用いて設定端末３０に対して送信する機能を有する。
【００３３】
情報取得部２４は、設定端末３０のＭＡＣアドレスを取得する機能を有する。
【００３４】
情報一時保存部２５は、無線ＬＡＮアクセスポイント１０が設定子機２０を介して設定端末３０に情報を送信するとき、又は設定端末３０が設定子機２０を介して無線ＬＡＮアクセスポイント１０に情報を送信するときの情報を一時的に記憶し、使用後の情報を削除する機能を有する。
【００３５】
入力用ヒューマンインターフェイス２６は、ボタンやキーボード、ポインティングデバイス等からなり、入力機能を有する。
【００３６】
そして、設定端末３０は、無線ＬＡＮアクセスポイント１０と接続するために、証明書の登録や更新をする対象となる端末機器であり、無線ＬＡＮ通信部３１と、近接通信部３２と、証明書格納部３３と、証明書認証部３４とを備える。また、設定端末３０は、種類によりその他様々な機能を備える。
【００３７】
無線ＬＡＮ通信部３１は、例えばＷｉ−Ｆｉ（登録商標）等の規格による無線ＬＡＮ通信機能を有する。具体的には、無線ＬＡＮ通信部３１は、IEEE802.1x EAP-TLS方式等の証明書認証を用いた通信規格を利用する。設定端末３０は、無線ＬＡＮ通信部３１を用いて、無線ＬＡＮアクセスポイント１０及び設定子機２０とそれぞれ無線ＬＡＮ通信を行うことができる。
【００３８】
近接通信部３２は、例えばＮＦＣ（Near Field Communication）等の近距離無線通信、赤外線通信、ＵＳＢ（Universal Serial Bus）接続等による、近接通信を行う機能を有する。近接通信の距離としては、例えば、接触又は数十センチメートル程度の距離が想定される。設定端末３０は、近接通信部３２を用いて、設定子機２０と通信することができる。
【００３９】
証明書格納部３３は、無線ＬＡＮアクセスポイント１０により発行された証明書を記憶しておく機能を有する。
【００４０】
証明書認証部３４は、無線ＬＡＮアクセスポイント１０と無線ＬＡＮ通信による接続を確立するために、証明書格納部３３に格納されている証明書を用いて証明書認証を行う機能を有する。
【００４１】
以下、図３〜７を参照して、本発明の一実施形態に係る証明書発行システム１の動作について説明する。なお、以下では、無線ＬＡＮアクセスポイント１０と設定子機２０との間の直接的なデータの送受信は無線ＬＡＮ通信により、設定子機２０と設定端末３０との間の直接的なデータの送受信は近接通信により、設定端末３０と無線ＬＡＮアクセスポイント１０との間の直接的なデータの送受信は無線ＬＡＮ通信により、それぞれ行われる。
【００４２】
図３は、証明書発行システム１の動作を示すフローチャートである。
【００４３】
まず、設定子機２０の入力用ヒューマンインターフェイス２６がユーザによる操作を受け付ける（ステップＳ１）。本例では、設定子機２０が近接通信可能な近傍に証明書を登録したい設定端末３０が存在することをユーザが目視で確認した後、設定子機２０の入力用ヒューマンインターフェイス２６のボタンがユーザにより押される。
【００４４】
すると、設定子機２０は、図５に示すように、無線ＬＡＮアクセスポイント１０に対し、接続要求を送信する。無線ＬＡＮアクセスポイント１０は、設定子機２０からの接続要求を受信すると、設定子機認証部１０７により、設定子機２０が予め無線ＬＡＮアクセスポイント１０と対応付けられたものであることを認証する（ステップＳ２）。
【００４５】
無線ＬＡＮアクセスポイント１０が設定子機２０を認証できなかった場合（ステップＳ３：ＮＯ）、無線ＬＡＮアクセスポイント１０は設定子機２０とのセッションを終了する。一方、無線ＬＡＮアクセスポイント１０が設定子機２０を認証できた場合（ステップＳ３：ＹＥＳ）、無線ＬＡＮアクセスポイント１０は、図５に示すように設定子機２０の接続を許可すると共に、設定子機２０を介して設定端末３０に接続要求を送信する（ステップＳ４）。
【００４６】
設定子機２０が設定端末３０と通信できない場合（ステップＳ５：ＮＯ）、すなわち、設定子機２０が送信した接続要求に対して、設定端末３０からの存在応答が確認できない場合、セッションを終了する（図５参照）。一方、設定子機２０が設定端末３０と通信できた場合（ステップＳ５：ＹＥＳ）、設定子機２０は、図５に示すように、証明書の所持確認を設定端末３０に送信し、設定端末３０は、証明書を記憶しているか否かの情報と、証明書を記憶している場合にはその証明書の情報とを含む証明書所持報告を、設定子機２０に送信し、設定子機２０はその証明書所持報告を無線ＬＡＮアクセスポイント１０に送信する（ステップＳ６）。そして、無線ＬＡＮアクセスポイント１０は、受信した証明書所持報告から、設定端末３０に有効な証明書が記憶されているか否かを判定する（ステップＳ７）。
【００４７】
無線ＬＡＮアクセスポイント１０は、設定端末３０に証明書が記憶されていないと判定すると（ステップＳ７：ＮＯ）、証明書登録処理に移行する。一方、無線ＬＡＮアクセスポイント１０は、設定端末３０に証明書が記憶されていると判定すると（ステップＳ７：ＹＥＳ）、証明書が無効であるか否か、すなわち証明書を更新する必要があるか否かを判定し（ステップＳ８）、証明書のバージョンが古く有効期限が切れている等により証明書が無効である、すなわち証明書を更新する必要があると判定すると（ステップＳ８：ＹＥＳ）、証明書更新処理に移行する。ここで、無線ＬＡＮアクセスポイント１０は、証明書が有効である、すなわち証明書を更新する必要がないと判定すると（ステップＳ８：ＮＯ）、セッションを終了する。
【００４８】
図４は、証明書発行システム１の証明書登録処理を示すフローチャートである。
証明書登録処理に移行すると、無線ＬＡＮアクセスポイント１０は、設定端末３０が無線ＬＡＮアクセスポイント１０に接続するためのＳＳＩＤを、ＳＳＩＤ発行部１０８を用いて発行し（ステップＳ１１）、発行したＳＳＩＤを、設定子機２０を介して設定端末３０に送信する（ステップＳ１２）。また、無線ＬＡＮアクセスポイント１０は、ＭＡＣアドレスの要求も、設定子機２０を介して設定端末３０に送信する（ステップＳ１３）。
【００４９】
設定端末３０は、設定子機２０からＳＳＩＤとＭＡＣアドレスの要求とを受信すると、設定端末３０のＭＡＣアドレスを、設定子機２０を介して間接的に無線ＬＡＮアクセスポイント１０に送信する。それと同時に、設定端末３０は、受信したＳＳＩＤを元に無線ＬＡＮアクセスポイント１０を特定し、無線ＬＡＮアクセスポイント１０に無線ＬＡＮ通信経由で直接的にＭＡＣアドレスを送信する（ステップＳ１４）。
【００５０】
無線ＬＡＮアクセスポイント１０は、設定子機２０を介して受信したＭＡＣアドレスと、設定端末３０から直接的に受信したＭＡＣアドレスとを、ＭＡＣアドレス特定部１０３を用いて照合し、双方が同一のＭＡＣアドレスであるか否かを判定する（ステップＳ１５）。無線ＬＡＮアクセスポイント１０は、双方が同一のＭＡＣアドレスではないと判定すると（ステップＳ１５：ＮＯ）、セッションを終了する。一方、無線ＬＡＮアクセスポイント１０は、双方が同一のＭＡＣアドレスであると判定すると（ステップＳ１５：ＹＥＳ）、証明書発行部１０５を用いて証明書（証明書ＩＤ、発行年月日、及び有効期限年月日等の情報を含む。以下同様）を発行し、ＳＳＩＤと、証明書と、ＭＡＣアドレスとを対応付けて、証明書管理部１０６を用いて端末情報ＤＢ１１０に記憶する（ステップＳ１６）。
【００５１】
その後、無線ＬＡＮアクセスポイント１０は、証明書を設定子機２０に送信し、設定子機２０は情報送信部２３を用いて証明書を設定端末３０に送信する（ステップＳ１７）。設定端末３０は、設定子機２０から証明書を受信し、受信した証明書を証明書格納部３３に記憶することで登録して、セッションが終了する。その後、設定端末３０は、図５に示すように、登録された証明書で無線ＬＡＮアクセスポイント１０の認証を得ることで、無線ＬＡＮアクセスポイント１０との間で無線ＬＡＮ通信を確立することができる。
【００５２】
以上のように、無線ＬＡＮアクセスポイント１０は、証明書の登録対象である設定端末３０に、証明書を安全に送信して登録させることができる。
【００５３】
図６は、証明書発行システム１の証明書更新処理を示すフローチャートである。
証明書更新処理に移行すると、無線ＬＡＮアクセスポイント１０は、証明書発行部１０５を用いて新たな証明書を発行し（ステップＳ２１）、端末情報ＤＢ１１０に記憶されている証明書を、証明書管理部１０６を用いて新たな証明書に更新する（ステップＳ２２）。そして、無線ＬＡＮアクセスポイント１０は、新たな証明書を、設定子機２０を介して設定端末３０に送信する（ステップＳ２３）。設定端末３０は、新たな証明書を受信すると、受信した新たな証明書を証明書格納部３３に記憶することで登録し、古い証明書を破棄して（ステップＳ２４）、セッションが終了する。これにより、設定端末３０の証明書が安全に更新され、その後、設定端末３０は、図７に示すように、新たな証明書で無線ＬＡＮアクセスポイント１０の認証を得ることで、無線ＬＡＮアクセスポイント１０との間で無線ＬＡＮ通信を確立することができる。
【００５４】
なお、無線ＬＡＮアクセスポイント１０における端末情報ＤＢ１１０から、設定端末３０の情報を削除する契機としては２通りある。すなわち、（１）証明書の有効期限が切れたときと、（２）登録された任意の設定端末３０をユーザが削除したいときである。（１）の場合は、無線ＬＡＮアクセスポイント１０の証明書管理部１０６が、証明書の有効期限が切れたときに端末情報ＤＢ１１０からその証明書に対応する端末の情報を削除するように構成すればよい。また、（２）の場合は、無線ＬＡＮアクセスポイント１０に、設定管理部１０９を介してＰＣを接続し、ＰＣ操作により端末情報ＤＢ１１０内の任意の設定端末３０の情報を削除すればよい。
【００５５】
このように、本実施形態によれば、証明書発行システム１及び証明書発行装置２は、設定子機２０が近接通信機能により設定端末３０と通信可能である場合に、設定端末３０を証明書発行の対象として処理を行う。これにより、ユーザは、設定端末３０が本当に設定したい端末か否かを目視で確認した後に、設定端末３０を無線ＬＡＮアクセスポイント１０のネットワーク内端末として登録することができる。
【００５６】
また、本実施形態によれば、証明書発行システム１及び証明書発行装置２において、無線ＬＡＮアクセスポイント１０が、設定端末３０から設定子機２０を介して受信するＭＡＣアドレスと、設定端末３０から直接的に受信するＭＡＣアドレスとが同一である場合に、証明書を発行して設定端末３０へ送信する。これにより、無線ＬＡＮアクセスポイント１０は設定端末３０の情報を２通りの通信経路から確認するので、設定端末３０を高い精度で特定することができる。
【００５７】
また、本実施形態によれば、証明書発行システム１及び証明書発行装置２において、無線ＬＡＮアクセスポイント１０が、証明書を設定子機２０を介して近接通信により設定端末３０へ送信する。これにより、ユーザの目視により確認した設定端末３０のみに証明書を安全に送信することができる。
【００５８】
更に、本実施形態によれば、証明書発行システム１及び証明書発行装置２は、設定端末３０が入力用ヒューマンインターフェイスを持たなくても、設定端末３０へ簡便に証明書を送信することができる。
【００５９】
本発明を諸図面や実施形態に基づき説明してきたが、当業者であれば本開示に基づき種々の変形や修正を行うことが容易であることに注意されたい。従って、これらの変形や修正は本発明の範囲に含まれることに留意されたい。例えば、各構成部、各ステップなどに含まれる機能などは論理的に矛盾しないように再配置可能であり、複数の構成部やステップなどを１つに組み合わせたり、或いは分割したりすることが可能である。また、本発明について装置を中心に説明してきたが、本発明は装置が備えるプロセッサにより実行される方法、プログラム、又はプログラムを記録した記憶媒体としても実現し得るものであり、本発明の範囲にはこれらも包含されるものと理解されたい。
【符号の説明】
【００６０】
１  証明書発行システム
２  証明書発行装置
１０  無線ＬＡＮアクセスポイント
２０  設定子機
２１  無線ＬＡＮ通信部
２２  近接通信部
２３  情報送信部
２４  情報取得部
２５  情報一時保存部
２６  入力用ヒューマンインターフェイス
３０  設定端末
３１  無線ＬＡＮ通信部
３２  近接通信部
３３  証明書格納部
３４  証明書認証部
４０  経路制御装置
５０  ＷＡＮ
６０  ＰＣ
１０１  ＷＡＮ接続部
１０２  無線ＬＡＮ通信部
１０３  ＭＡＣアドレス特定部
１０４  証明書認証部
１０５  証明書発行部
１０６  証明書管理部
１０７  設定子機認証部
１０８  ＳＳＩＤ発行部
１０９  設定管理部
１１０  端末情報ＤＢ
【図１】
2016187117.tif 000003
【図２】
2016187117.tif 000004
【図３】
2016187117.tif 000005
【図４】
2016187117.tif 000006
【図５】
2016187117.tif 000007
【図６】
2016187117.tif 000008
【図７】
2016187117.tif 000009