[go: up one dir, main page]

JP2017111599A - Authentication device, authentication system, and authentication method - Google Patents

Authentication device, authentication system, and authentication method Download PDF

Info

Publication number
JP2017111599A
JP2017111599A JP2015245007A JP2015245007A JP2017111599A JP 2017111599 A JP2017111599 A JP 2017111599A JP 2015245007 A JP2015245007 A JP 2015245007A JP 2015245007 A JP2015245007 A JP 2015245007A JP 2017111599 A JP2017111599 A JP 2017111599A
Authority
JP
Japan
Prior art keywords
authentication
start request
state
session
authentication start
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2015245007A
Other languages
Japanese (ja)
Other versions
JP6653484B2 (en
Inventor
健司 安
Kenji Yasu
健司 安
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Management Co Ltd
Original Assignee
Panasonic Intellectual Property Management Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Management Co Ltd filed Critical Panasonic Intellectual Property Management Co Ltd
Priority to JP2015245007A priority Critical patent/JP6653484B2/en
Priority to PCT/JP2016/005114 priority patent/WO2017104129A1/en
Publication of JP2017111599A publication Critical patent/JP2017111599A/en
Application granted granted Critical
Publication of JP6653484B2 publication Critical patent/JP6653484B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F1/00—Details not covered by groups G06F3/00 - G06F13/00 and G06F21/00
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Computer And Data Communications (AREA)

Abstract

PROBLEM TO BE SOLVED: To provide an authentication device that can reduce the consumption of resources and enhance robustness.SOLUTION: An authentication device comprises: a storage device for storing a session management table including, as a record for each session, an apparatus identifier to identify an apparatus that has transmitted an authentication start request, a session identifier to identify a session corresponding to the authentication start request, and an authentication state indicating a stage in the session; and a processing device for updating a session identifier if, in the session management table, there is a record including an apparatus identifier indicating an apparatus that has transmitted an authentication start request and an authentication state being a particular state.SELECTED DRAWING: Figure 1

Description

本発明は、認証装置、認証システム及び認証方法に関する。   The present invention relates to an authentication device, an authentication system, and an authentication method.

所定の認証プロトコルにより機器同士が相互認証を行い、相互認証が成功した機器の間で暗号化通信を行う技術が知られている。特許文献１は、ＲＦＣ５１５９に規定のネットワークアクセス認証プロトコル（ＰＡＮＡ）を用いたシステムにおいて、認証手続きの軽装化するものである。   A technique is known in which devices perform mutual authentication using a predetermined authentication protocol, and encrypted communication is performed between devices that have successfully performed mutual authentication. Japanese Patent Application Laid-Open No. 2004-151561 is to reduce the authentication procedure in a system using a network access authentication protocol (PANA) defined in RFC5159.

特開２０１３−０６２７６４号公報JP 2013-062764 A

しかしながら、特許文献１に記載の技術は、認証開始要求を受信する機器が全ての認証開始要求を記録する構成となっている。その為、例えば不正な認証開始要求を連続的に受信する場合、リソースの不要な消費を招いてしまい、正当な認証開始要求に応じた手続きを継続できなくなる可能性がある。   However, the technique described in Patent Document 1 is configured such that a device that receives an authentication start request records all authentication start requests. For this reason, for example, when unauthorized authentication start requests are continuously received, unnecessary consumption of resources may be caused, and it may not be possible to continue a procedure according to a valid authentication start request.

本発明は、上記問題点を鑑み、リソースの消費量を削減し、堅牢性を向上することができる認証装置、認証システム及び認証方法を提供することを目的とする。   In view of the above problems, an object of the present invention is to provide an authentication device, an authentication system, and an authentication method that can reduce resource consumption and improve robustness.

上記目的を達成するために、本発明の第１の態様は、機器と認証処理を行う認証装置であって、認証処理の開始を要求する認証開始要求を機器から受信する通信インターフェースと、認証開始要求を送信した機器を識別する機器識別子と、認証開始要求に対応するセッションを識別するセッション識別子と、セッションにおける段階を示す認証状態とを、セッション毎のレコードとして有するセッション管理テーブルを記憶する記憶装置と、通信インターフェースが認証開始要求を受信し、セッション管理テーブルにおいて、機器識別子が認証開始要求を送信した機器を示し、且つ、認証状態が第１状態であるレコードがある場合、セッション識別子を更新する処理装置とを備える認証装置であることを要旨とし、第１状態が、通信インターフェースが、認証開始要求に対する認証開始応答を機器に送信した後に機器から送信される、認証開始応答に対する応答を未だ受信していない状態であることを特徴とする。   To achieve the above object, according to a first aspect of the present invention, there is provided an authentication apparatus that performs authentication processing with a device, a communication interface that receives an authentication start request for requesting start of authentication processing from the device, and authentication start A storage device for storing a session management table having a device identifier for identifying a device that has transmitted a request, a session identifier for identifying a session corresponding to the authentication start request, and an authentication state indicating a stage in the session as a record for each session When the communication interface receives the authentication start request, and in the session management table, the device identifier indicates the device that transmitted the authentication start request, and there is a record in which the authentication state is the first state, the session identifier is updated. A first state is a communication interface. Esu is sent from the device after transmitting an authentication start response to the authentication start request to the device, characterized in that the response to an authentication start response is a state of not yet received.

本発明の第２の態様は、機器と、機器と認証処理を行う認証装置とを備える認証システムであって、機器は、認証処理の開始を要求する認証開始要求を認証装置に送信し、認証装置は、認証開始要求を受信する通信インターフェースと、認証開始要求を送信した機器を識別する機器識別子と、認証開始要求に対応するセッションを識別するセッション識別子と、セッションにおける段階を示す認証状態とを、セッション毎のレコードとして有するセッション管理テーブルを記憶する記憶装置と、通信インターフェースが認証開始要求を受信し、セッション管理テーブルにおいて、機器識別子が認証開始要求を送信した機器を示し、且つ、認証状態が第１状態であるレコードがある場合、セッション識別子を更新する処理装置とを備え、第１状態は、通信インターフェースが、認証開始要求に対する認証開始応答を機器に送信した後、機器から認証開始応答に対する応答を未だ受信していない状態であることを特徴とする。   According to a second aspect of the present invention, there is provided an authentication system comprising a device and an authentication device that performs authentication processing with the device, wherein the device transmits an authentication start request for requesting start of authentication processing to the authentication device. The apparatus includes a communication interface that receives an authentication start request, a device identifier that identifies a device that has transmitted the authentication start request, a session identifier that identifies a session corresponding to the authentication start request, and an authentication state that indicates a stage in the session. A storage device that stores a session management table as a record for each session, the communication interface receives an authentication start request, and in the session management table, the device identifier indicates the device that has transmitted the authentication start request, and the authentication status is A processing device that updates the session identifier when there is a record in the first state, The communication interface, characterized in that after sending an authentication start response to the authentication start request to the device, a state of not yet received a response to the authentication start response from the device.

本発明の第３の態様は、機器と認証処理を行う認証装置の認証方法であって、通信インターフェースが、前記認証処理の開始を要求する認証開始要求を前記機器から受信することと、記憶装置が、前記認証開始要求を送信した前記機器を識別する機器識別子と、前記認証開始要求に対応するセッションを識別するセッション識別子と、前記セッションにおける段階を示す認証状態とを、前記セッション毎のレコードとして有するセッション管理テーブルを記憶することと、処理装置が、前記通信インターフェースが前記認証開始要求を受信し、前記セッション管理テーブルにおいて、前記機器識別子が前記認証開始要求を送信した前記機器を示し、且つ、前記認証状態が第１状態である前記レコードがある場合、前記セッション識別子を更新することとを含み、前記第１状態は、前記通信インターフェースが、前記認証開始要求に対する認証開始応答を前記機器に送信した後、前記機器から前記認証開始応答に対する応答を未だ受信していない状態であることを特徴とする。   According to a third aspect of the present invention, there is provided an authentication method for an authentication device that performs authentication processing with a device, wherein a communication interface receives an authentication start request for requesting the start of the authentication processing from the device, and a storage device. Is a device identifier for identifying the device that has transmitted the authentication start request, a session identifier for identifying a session corresponding to the authentication start request, and an authentication state indicating a stage in the session as a record for each session. Storing a session management table, and a processing device, wherein the communication interface receives the authentication start request, and in the session management table, the device identifier indicates the device that has transmitted the authentication start request, and If there is the record whose authentication status is the first status, update the session identifier The first state is a state in which the communication interface has not yet received a response to the authentication start response from the device after transmitting an authentication start response to the authentication start request to the device. It is characterized by being.

本発明によれば、認証開始要求に応じて、セッション管理テーブルを編集することにより、リソースの消費量を削減し、堅牢性を向上することができる認証装置、認証システム及び認証方法を提供することができる。   According to the present invention, it is possible to provide an authentication device, an authentication system, and an authentication method capable of reducing resource consumption and improving robustness by editing a session management table in response to an authentication start request. Can do.

図１は、本発明の実施の形態に係る認証システムの基本的な構成を説明するブロック図である。FIG. 1 is a block diagram illustrating a basic configuration of an authentication system according to an embodiment of the present invention. 図２は、本発明の実施の形態に係る認証システムが備える機器制御装置の基本的な構成を説明するブロック図である。FIG. 2 is a block diagram illustrating a basic configuration of the device control apparatus included in the authentication system according to the embodiment of the present invention. 図３は、本発明の実施の形態に係る認証システムに用いるセッション管理テーブルの基本的なデータ構成を説明する表である。FIG. 3 is a table for explaining the basic data structure of the session management table used in the authentication system according to the embodiment of the present invention. 図４は、本発明の実施の形態に係る認証システムに用いる認証状態を説明する表である。FIG. 4 is a table for explaining an authentication state used in the authentication system according to the embodiment of the present invention. 図５は、本発明の実施の形態に係る認証システムが備える機器の基本的な構成を説明するブロック図である。FIG. 5 is a block diagram for explaining a basic configuration of devices included in the authentication system according to the embodiment of the present invention. 図６は、本発明の実施の形態に係る認証システムの動作例を説明するシーケンス図である。FIG. 6 is a sequence diagram illustrating an operation example of the authentication system according to the embodiment of the present invention. 図７は、本発明の実施の形態に係る認証システムに用いるセッション管理テーブルを説明する表である。FIG. 7 is a table for explaining a session management table used in the authentication system according to the embodiment of the present invention. 図８は、本発明の実施の形態に係る認証システムの動作例を説明するシーケンス図である。FIG. 8 is a sequence diagram illustrating an operation example of the authentication system according to the embodiment of the present invention. 図９は、認証状態をレコードに含まないセッション管理テーブルを説明する表である。FIG. 9 is a table for explaining a session management table that does not include the authentication state in the record. 図１０は、本発明の実施の形態に係る認証システムに用いるセッション管理テーブルを説明する表である。FIG. 10 is a table for explaining a session management table used in the authentication system according to the embodiment of the present invention. 図１１は、本発明の実施の形態に係る認証システムに用いるセッション管理テーブルを説明する表である。FIG. 11 is a table for explaining a session management table used in the authentication system according to the embodiment of the present invention. 図１２は、本発明の実施の形態に係る認証システムが備える機器制御装置の動作例を説明するフローチャートである。FIG. 12 is a flowchart for explaining an operation example of the device control apparatus provided in the authentication system according to the embodiment of the present invention. 図１３は、本発明の実施の形態に係る認証システムが備える機器制御装置の動作例を説明するフローチャートである。FIG. 13 is a flowchart for explaining an operation example of the device control apparatus provided in the authentication system according to the embodiment of the present invention. 図１４は、本発明の実施の形態に係る認証システムの動作例を説明するシーケンス図である。FIG. 14 is a sequence diagram illustrating an operation example of the authentication system according to the embodiment of the present invention. 図１５は、本発明の実施の形態に係る認証システムに用いるセッション管理テーブルを説明する表である。FIG. 15 is a table for explaining a session management table used in the authentication system according to the embodiment of the present invention. 図１６は、本発明の実施の形態に係る認証システムに用いるセッション管理テーブルを説明する表である。FIG. 16 is a table for explaining a session management table used in the authentication system according to the embodiment of the present invention.

次に、図面を参照して、実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付し、重複する説明を省略している。   Next, embodiments will be described with reference to the drawings. In the following description of the drawings, the same or similar parts are denoted by the same or similar reference numerals, and redundant description is omitted.

（認証システム）
本実施の形態に係る認証システムは、図１に示すように、機器制御装置１と、機器２とを備える。機器制御装置１は、ブロードバンドルータ４を介して機器２と通信可能に接続される。機器制御装置１は、ブロードバンドルータ４を介さずに機器２と直接的に通信可能に接続されるようにしてもよい。機器２の数は、単数であっても複数であってもよい。ブロードバンドルータ４は、機器制御装置１と機器２との間の通信や機器制御装置１及び機器２とインターネット５との間の通信を中継する。機器制御装置１、機器２及びブロードバンドルータ４の相互間の通信は、有線通信であっても無線通信であってもよい。 (Authentication system)
The authentication system according to the present embodiment includes a device control device 1 and a device 2 as shown in FIG. The device control apparatus 1 is communicably connected to the device 2 via the broadband router 4. The device control apparatus 1 may be connected to the device 2 so as to be directly communicable without using the broadband router 4. The number of devices 2 may be singular or plural. The broadband router 4 relays communication between the device control device 1 and the device 2 and communication between the device control device 1 and the device 2 and the Internet 5. Communication between the device control apparatus 1, the device 2, and the broadband router 4 may be wired communication or wireless communication.

機器制御装置１は、例えば、機器２の使用電力量、発電余剰電力量等を管理するホームエネルギーマネジメントシステム（ＨＥＭＳ）におけるコントローラである。例えば、機器制御装置１は、機器２との認証処理が成功することにより機器２を登録し、登録された機器とＨＥＭＳを構成する。機器制御装置１は、認証処理の開始を要求するメッセージである認証開始要求に応じて、認証開始要求を送信した通信機器との認証処理を行う認証装置である。   The device control apparatus 1 is a controller in a home energy management system (HEMS) that manages, for example, the amount of power used by the device 2 and the amount of surplus power generated. For example, the device control apparatus 1 registers the device 2 when the authentication process with the device 2 is successful, and configures the registered device and the HEMS. The device control device 1 is an authentication device that performs authentication processing with a communication device that has transmitted an authentication start request in response to an authentication start request that is a message requesting the start of authentication processing.

図２に示すように、機器制御装置１は、処理装置１０と、処理装置１０による制御に応じて他の機器と通信する通信インターフェース（Ｉ／Ｆ）１１と、プログラムや各種データ等の情報を記憶する記憶装置１２とを備える。通信Ｉ／Ｆ１１が行う通信は、無線通信であっても有線通信であってもよい。記憶装置１２は、セッション管理テーブル１２１と、認証情報１２２と、登録情報１２３とを記憶する。   As shown in FIG. 2, the device control device 1 includes a processing device 10, a communication interface (I / F) 11 that communicates with other devices according to control by the processing device 10, and information such as programs and various data. And a storage device 12 for storage. Communication performed by the communication I / F 11 may be wireless communication or wired communication. The storage device 12 stores a session management table 121, authentication information 122, and registration information 123.

図３に示すように、セッション管理テーブル１２１は、機器識別子（機器ＩＤ）と、セッション識別子（セッションＩＤ）と、セッションにおける段階を示す認証状態とを、セッション毎のレコードとして有する。   As illustrated in FIG. 3, the session management table 121 includes a device identifier (device ID), a session identifier (session ID), and an authentication state indicating a stage in the session as a record for each session.

機器ＩＤは、認証開始要求を送信した機器２を識別する送信元識別子である。機器ＩＤは、例えば、認証開始要求に含まれる認証開始要求の送信元アドレスである。セッションＩＤは、認証開始要求に対応する、機器２とのセッションを識別する識別子である。セッションＩＤは、例えば、受信した認証開始要求毎に付される一連番号である。認証状態は、セッションＩＤ毎の、機器２とのセッションにおける段階を示す。   The device ID is a transmission source identifier that identifies the device 2 that has transmitted the authentication start request. The device ID is, for example, a source address of an authentication start request included in the authentication start request. The session ID is an identifier for identifying a session with the device 2 corresponding to the authentication start request. The session ID is, for example, a serial number assigned to each received authentication start request. The authentication state indicates a stage in the session with the device 2 for each session ID.

図４に示すように、認証状態は、例えば、ＲＦＣ５１９１に規定されるネットワークアクセス認証プロトコル（ＰＡＮＡ）におけるフェーズに一部が対応する。なお、ＰＡＮＡにおける状態遷移については、ＲＦＣ５６０９に規定される。   As shown in FIG. 4, for example, the authentication state partially corresponds to a phase in the network access authentication protocol (PANA) defined in RFC 5191. Note that state transition in PANA is defined in RFC5609.

認証情報１２２は、機器２との認証処理に必要な情報である。認証情報１２２は、機器制御装置１自身の秘密鍵及び公開鍵証明書を含む。公開鍵証明書は、公開鍵証明書のバージョン、発行者、有効期間の開始時、有効期間の終了時（有効期限）、証明書ＩＤ（識別子）、機器制御装置１の公開鍵、認証局の署名を含む。公開鍵証明書の公開鍵は、機器制御装置１の秘密鍵に対応する。公開鍵証明書の署名は、認証局の秘密鍵を用いて作成される。公開鍵証明書は、認証局により発行され、機器制御装置１の製造時に記憶装置１２に記憶される。   The authentication information 122 is information necessary for authentication processing with the device 2. The authentication information 122 includes the private key and public key certificate of the device control apparatus 1 itself. The public key certificate includes the version of the public key certificate, the issuer, the start of the valid period, the end of the valid period (expiration period), the certificate ID (identifier), the public key of the device control apparatus 1, the certificate authority Includes signature. The public key of the public key certificate corresponds to the private key of the device control apparatus 1. The signature of the public key certificate is created using the private key of the certificate authority. The public key certificate is issued by a certificate authority and stored in the storage device 12 when the device control apparatus 1 is manufactured.

登録情報１２３は、既に登録された機器２に関する情報である。登録情報１２３は、既に登録された機器２を識別する機器ＩＤ、各機器２の公開鍵証明書を識別する証明書ＩＤ、共有鍵（事前共有鍵：ＰＳＫ）、グループ鍵、セッション鍵、セッション有効期間を含む。共有鍵は、機器制御装置１と各機器２との間でそれぞれ共有される。グループ鍵は、機器制御装置１が各機器２に一斉送信する情報の暗号化及び復号化に用いられる。同一のグループに属する機器２は、同一のグループ鍵を機器制御装置１と共有する。セッション鍵は、機器制御装置１と各機器２との間のユニキャスト通信の暗号化及び復号化に用いられる。セッション有効期間は、機器制御装置１と各機器２との間で設定される、セッションが有効である期間である。   The registration information 123 is information regarding the device 2 that has already been registered. The registration information 123 includes a device ID for identifying a device 2 that has already been registered, a certificate ID for identifying a public key certificate of each device 2, a shared key (pre-shared key: PSK), a group key, a session key, and a session valid Including period. The shared key is shared between the device control apparatus 1 and each device 2. The group key is used for encryption and decryption of information that the device control apparatus 1 transmits to each device 2 simultaneously. The devices 2 belonging to the same group share the same group key with the device control apparatus 1. The session key is used for encryption and decryption of unicast communication between the device control apparatus 1 and each device 2. The session valid period is a period in which the session is valid, which is set between the device control apparatus 1 and each device 2.

処理装置１０は、セッション管理部１０１と、認証処理部１０２と、暗号処理部１０３とを論理構造として有する。処理装置１０は、例えば、中央演算装置（ＣＰＵ）等を含む集積回路からなる。処理装置１０が、予めインストールされたコンピュータプログラムを実行することにより、セッション管理部１０１、認証処理部１０２及び暗号処理部１０３が構成される。   The processing device 10 has a session management unit 101, an authentication processing unit 102, and an encryption processing unit 103 as a logical structure. The processing device 10 is composed of, for example, an integrated circuit including a central processing unit (CPU). When the processing device 10 executes a computer program installed in advance, a session management unit 101, an authentication processing unit 102, and an encryption processing unit 103 are configured.

セッション管理部１０１は、通信Ｉ／Ｆ１１が認証開始要求を受信することに応じて、セッション管理テーブル１２１を編集することにより、認証開始要求に対応するセッションを管理する。認証処理部１０２は、認証情報１２２を用いて、機器２と相互認証する。認証処理部１０２は、認証処理が成功することに応じて、認証された機器２に関する情報を登録情報１２３として登録する。暗号処理部１０３は、登録情報１２３に登録された機器２との通信における暗号化及び復号化を行う。   The session management unit 101 manages the session corresponding to the authentication start request by editing the session management table 121 in response to the communication I / F 11 receiving the authentication start request. The authentication processing unit 102 performs mutual authentication with the device 2 using the authentication information 122. The authentication processing unit 102 registers information related to the authenticated device 2 as registration information 123 in response to successful authentication processing. The encryption processing unit 103 performs encryption and decryption in communication with the device 2 registered in the registration information 123.

機器２は、例えば、エアコン、冷蔵庫、照明装置等の負荷機器、太陽電池、蓄電池等の電源機器、スマートメータ等からそれぞれ構成される。機器２は、機器制御装置１との認証処理が成功することにより機器制御装置１に登録される。機器２は、機器制御装置１に登録されることによりＨＥＭＳに加入し、機器制御装置１と暗号化通信を行う通信機器である。   For example, the device 2 includes a load device such as an air conditioner, a refrigerator, and a lighting device, a power source device such as a solar battery and a storage battery, a smart meter, and the like. The device 2 is registered in the device control device 1 when the authentication process with the device control device 1 is successful. The device 2 is a communication device that joins the HEMS by being registered in the device control apparatus 1 and performs encrypted communication with the device control apparatus 1.

図５に示すように、機器２は、処理装置２０と、処理装置２０の制御に応じて機器制御装置１と通信する通信Ｉ／Ｆ２１と、プログラムや各種データを記憶する記憶装置２２とを備える。通信Ｉ／Ｆ２１が行う通信は、無線通信であっても有線通信であってもよい。記憶装置２２は、認証情報２２１と、登録情報２２２とを記憶する。   As illustrated in FIG. 5, the device 2 includes a processing device 20, a communication I / F 21 that communicates with the device control device 1 according to the control of the processing device 20, and a storage device 22 that stores programs and various data. . Communication performed by the communication I / F 21 may be wireless communication or wired communication. The storage device 22 stores authentication information 221 and registration information 222.

認証情報２２１は、機器制御装置１との認証処理に必要な情報である。認証情報２２１は、機器２自身の秘密鍵及び公開鍵証明書を含む。公開鍵証明書の公開鍵は、機器２の秘密鍵に対応する。公開鍵証明書の署名は、認証局の秘密鍵を用いて作成される。公開鍵証明書は、認証局により発行され、機器２の製造時に記憶装置２２に記憶される。   The authentication information 221 is information necessary for authentication processing with the device control apparatus 1. The authentication information 221 includes the private key and public key certificate of the device 2 itself. The public key of the public key certificate corresponds to the private key of the device 2. The signature of the public key certificate is created using the private key of the certificate authority. The public key certificate is issued by the certificate authority and stored in the storage device 22 when the device 2 is manufactured.

登録情報２２２は、機器２自身が登録される機器制御装置１に関する情報である。登録情報２２２は、機器２自身が登録される機器制御装置１を識別する機器制御装置ＩＤ、機器制御装置１の公開鍵証明書を識別する証明書ＩＤ、共有鍵、グループ鍵、セッション鍵、セッション有効期間を含む。共有鍵は、機器制御装置１と各機器２との間で共有される。グループ鍵は、機器制御装置１が機器２に対して一斉送信する情報の暗号化及び復号化に用いられる。セッション鍵は、機器制御装置１との間のユニキャスト通信の暗号化及び復号化に用いられる。   The registration information 222 is information related to the device control apparatus 1 in which the device 2 itself is registered. The registration information 222 includes a device control device ID that identifies the device control device 1 to which the device 2 itself is registered, a certificate ID that identifies the public key certificate of the device control device 1, a shared key, a group key, a session key, and a session. Includes validity period. The shared key is shared between the device control apparatus 1 and each device 2. The group key is used for encryption and decryption of information that the device control apparatus 1 transmits to the device 2 simultaneously. The session key is used for encryption and decryption of unicast communication with the device control apparatus 1.

処理装置２０は、認証処理部２０１と、暗号処理部２０２とを論理構造として有する。処理装置２０は、例えば、中央演算装置（ＣＰＵ）等を含む集積回路からなる。処理装置２０が、予めインストールされたコンピュータプログラムを実行することにより、認証処理部２０１及び暗号処理部２０２が構成される。   The processing device 20 has an authentication processing unit 201 and an encryption processing unit 202 as a logical structure. The processing device 20 is composed of, for example, an integrated circuit including a central processing unit (CPU). The processing device 20 executes a computer program installed in advance, whereby an authentication processing unit 201 and an encryption processing unit 202 are configured.

認証処理部２０１は、認証情報２２１を用いて、機器制御装置１と相互認証する。機器２は、機器制御装置１との認証処理が成功したことに応じて、機器制御装置１に登録される。暗号処理部２０２は、登録された機器制御装置１との通信における暗号化及び復号化を行う。   The authentication processing unit 201 performs mutual authentication with the device control apparatus 1 using the authentication information 221. The device 2 is registered in the device control device 1 in response to successful authentication processing with the device control device 1. The encryption processing unit 202 performs encryption and decryption in communication with the registered device control apparatus 1.

（認証方法）
図６のシーケンス図を参照して、本実施の形態に係る認証システムにおける認証方法の一例を説明する。 (Authentication method)
An example of the authentication method in the authentication system according to the present embodiment will be described with reference to the sequence diagram of FIG.

先ず、ステップＳ１において、機器２の認証処理部２０１は、例えばユーザの操作に応じて、通信Ｉ／Ｆ１１を介して、認証処理の開始を要求するメッセージである認証開始要求を機器制御装置１に送信する。例えば、認証開始要求は、ＰＡＮＡにおけるＰＣＩ（ＰＡＮＡ−Ｃｌｉｅｎｔ−Ｉｎｉｔｉａｔｉｏｎ）メッセージである。認証開始要求は、機器２の機器ＩＤを含む。   First, in step S <b> 1, the authentication processing unit 201 of the device 2 sends an authentication start request, which is a message requesting the start of authentication processing, to the device control apparatus 1 via the communication I / F 11, for example, according to a user operation. Send. For example, the authentication start request is a PCI (PANA-Client-Initiation) message in PANA. The authentication start request includes the device ID of the device 2.

機器制御装置１の通信Ｉ／Ｆ１１は、機器２から送信された認証開始要求を受信する。セッション管理部１０１は、認証開始要求の受信に応じて、セッション管理テーブル１２１において、認証開始要求に含まれる機器ＩＤを検索する。認証開始要求に含まれる機器ＩＤを含むレコードがない場合、セッション管理部１０１は、機器ＩＤと、新たなセッションＩＤと、第１状態（ＰｒｅＡｕｔｈ）を示す認証状態とが、新たなレコードとしてセッション管理テーブル１２１に追加する。   The communication I / F 11 of the device control apparatus 1 receives the authentication start request transmitted from the device 2. In response to receiving the authentication start request, the session management unit 101 searches the session management table 121 for a device ID included in the authentication start request. When there is no record including the device ID included in the authentication start request, the session management unit 101 manages the session as a new record including the device ID, the new session ID, and the authentication state indicating the first state (PreAuth). Add to table 121.

例えば、認証開始要求を送信した機器２−１を示す機器ＩＤを含むレコードがセッション管理テーブル１２１にないとする。この場合、セッション管理部１０１は、図３に示すように、機器ＩＤ「２−１」、認証状態「ＰｒｅＡｕｔｈ」及び新たなセッションＩＤ「９」を、新たなレコードとしてセッション管理テーブル１２１に追加する。   For example, it is assumed that there is no record including the device ID indicating the device 2-1 that transmitted the authentication start request in the session management table 121. In this case, as shown in FIG. 3, the session management unit 101 adds the device ID “2-1”, the authentication state “PreAuth”, and the new session ID “9” as new records to the session management table 121. .

第１状態（ＰｒｅＡｕｔｈ）は、機器制御装置１の通信Ｉ／Ｆ１１が、認証開始要求に対する認証開始応答を機器２に送信した後に機器２から送信される、認証開始応答に対する応答を未だ受信していない状態を意味する。例えば、第１状態は、図４を示すように、ＰＡＮＡにおける認証フェーズ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｈａｓｅ）のうち、認証開始要求の受信から認証処理が開始されるまでの状態である。   In the first state (PreAuth), the communication I / F 11 of the device control apparatus 1 has not yet received the response to the authentication start response transmitted from the device 2 after transmitting the authentication start response to the authentication start request to the device 2. Means no state. For example, as shown in FIG. 4, the first state is a state from the reception of the authentication start request until the authentication process is started in the authentication phase (Authentication Phase) in PANA.

ステップＳ２において、機器制御装置１の認証処理部１０２は、認証開始要求に応じて、認証開始応答を機器２に送信する。例えば、認証開始応答は、ＰＡＮＡにおけるＰＡＲ（ＰＡＮＡ−Ａｕｔｈ−Ｒｅｑｕｅｓｔ）（ｐ）メッセージである。ｐはシーケンス番号である。認証開始応答は、機器制御装置１が使用可能な認証アルゴリズムの種類、公開鍵証明書を含む。   In step S <b> 2, the authentication processing unit 102 of the device control apparatus 1 transmits an authentication start response to the device 2 in response to the authentication start request. For example, the authentication start response is a PAR (PANA-Auth-Request) (p) message in PANA. p is a sequence number. The authentication start response includes the type of authentication algorithm that can be used by the device control apparatus 1 and the public key certificate.

ステップＳ３において、機器２の認証処理部２０１は、認証開始応答に対する応答を機器制御装置１に送信する。例えば、認証開始応答に対する応答は、ＰＡＮＡにおけるＰＡＮ（ＰＡＮＡ−Ａｕｔｈ−Ａｎｓｗｅｒ）（ｐ）メッセージである。認証開始応答に対する応答は、認証開始応答に含まれる認証アルゴリズムの種類のうち、以降の認証処理において使用する種類、公開鍵証明書を含む。   In step S <b> 3, the authentication processing unit 201 of the device 2 transmits a response to the authentication start response to the device control apparatus 1. For example, the response to the authentication start response is a PAN (PANA-Auth-Answer) (p) message in PANA. The response to the authentication start response includes a type used in the subsequent authentication processing among the types of authentication algorithms included in the authentication start response, and a public key certificate.

通信Ｉ／Ｆ１１がＰＡＮ（ｐ）メッセージを受信することにより、認証処理部１０２は、機器２との認証処理を開始する。セッション管理部１０１は、認証処理が開始されたことに応じて、対応するレコードの認証状態を第２状態（Ａｕｔｈ）に変更する。第２状態は、図４を示すように、ＰＡＮＡにおける認証フェーズ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｈａｓｅ）のうち、認証処理が開始されてから完了するまでの状態である。機器２との認証処理は、例えば、ＰＡＮＡによりサポートされるＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）等の認証プロトコルにより行われる。   When the communication I / F 11 receives the PAN (p) message, the authentication processing unit 102 starts authentication processing with the device 2. In response to the start of the authentication process, the session management unit 101 changes the authentication state of the corresponding record to the second state (Auth). As shown in FIG. 4, the second state is a state from the start of the authentication process to the completion of the authentication phase (Authentication Phase) in PANA. The authentication process with the device 2 is performed by an authentication protocol such as EAP (Extensible Authentication Protocol) supported by PANA, for example.

ステップＳ４において、認証処理部１０２は、ＰＡＲ（ｐ＋１）メッセージを機器２に送信する。ＰＡＲ（ｐ＋１）メッセージは、例えば、ＥＡＰペイロードデータとして、機器２のＩＤを要求するＩＤ要求、ノンス等を含む。   In step S <b> 4, the authentication processing unit 102 transmits a PAR (p + 1) message to the device 2. The PAR (p + 1) message includes, for example, an ID request for requesting the ID of the device 2 and a nonce as EAP payload data.

ステップＳ５において、認証処理部２０１は、ＰＡＲ（ｐ＋１）メッセージに応じて、ＰＡＮ（ｐ＋１）メッセージを機器制御装置１に送信する。ＰＡＮ（ｐ＋１）は、例えば、ＥＡＰペイロードデータとして、ＩＤ要求に対する応答である機器２のＩＤ、ノンス等を含む。   In step S5, the authentication processing unit 201 transmits a PAN (p + 1) message to the device control apparatus 1 in response to the PAR (p + 1) message. The PAN (p + 1) includes, for example, the ID, nonce, and the like of the device 2 that is a response to the ID request as EAP payload data.

ステップＳ６−ステップＳ９において、機器制御装置１及び機器２は、例えば、ＥＡＰ−ＰＳＫ認証メソッドにより、認証処理を行う。機器制御装置１及び機器２が、公開鍵証明書の検証、共有鍵の生成等を行った後、機器制御装置１は、セッション鍵、グループ鍵、セッション有効期間等のセッション情報を生成する。   In step S6 to step S9, the device control apparatus 1 and the device 2 perform authentication processing by, for example, an EAP-PSK authentication method. After the device control device 1 and the device 2 verify the public key certificate, generate a shared key, etc., the device control device 1 generates session information such as a session key, a group key, and a session validity period.

ステップＳ１０において、認証処理部１０２は、暗号化したセッション情報を含むＰＡＲ（ｐ＋４）メッセージを機器２に送信する。ステップＳ１１において、認証処理部２０１は、ＰＡＲ（ｐ＋４）メッセージに含まれるセッション情報を復号化して、認証処理が完了したことを示すＰＡＮ（ｐ＋４）メッセージを機器制御装置１に送信する。   In step S <b> 10, the authentication processing unit 102 transmits a PAR (p + 4) message including the encrypted session information to the device 2. In step S11, the authentication processing unit 201 decrypts the session information included in the PAR (p + 4) message, and transmits a PAN (p + 4) message indicating that the authentication process is completed to the device control apparatus 1.

通信Ｉ／Ｆ１１がＰＡＮ（ｐ＋４）メッセージを受信することにより、認証処理部１０２は、機器２との認証処理が成功したとして、認証処理を完了する。セッション管理部１０１は、認証処理が成功したことに応じて、図７に示すように、対応するレコードの認証状態を第３状態（Ａｃｃｅｓｓ）に変更する。第３状態は、図４を示すように、ＰＡＮＡにおけるアクセスフェーズ（Ａｃｃｅｓｓ Ｐｈａｓｅ）に対応する。   When the communication I / F 11 receives the PAN (p + 4) message, the authentication processing unit 102 completes the authentication process, assuming that the authentication process with the device 2 is successful. In response to the successful authentication process, the session management unit 101 changes the authentication state of the corresponding record to the third state (Access) as shown in FIG. The third state corresponds to an access phase (Access Phase) in PANA, as shown in FIG.

ステップＳ１２において、暗号処理部１０３は、シーケンス番号更新通知等を含むメッセージを、セッション鍵を用いて暗号化し、機器２に送信する。ステップＳ１３において、暗号処理部２０２は、例えば、ＥＣＨＯＮＥＴ Ｌｉｔｅ（登録商標）におけるインスタンスリスト通知を、セッション鍵を用いて暗号化し、機器制御装置１に送信する。   In step S <b> 12, the encryption processing unit 103 encrypts a message including a sequence number update notification or the like using the session key, and transmits the encrypted message to the device 2. In step S <b> 13, the encryption processing unit 202 encrypts, for example, the instance list notification in ECHONET Lite (registered trademark) using the session key, and transmits it to the device control apparatus 1.

例えば、図８のシーケンス図に示すように、機器制御装置１が、認証処理前の状態（第１状態）において、機器２−１からの認証開始要求を複数回受信したとする。これは、例えば、機器制御装置１と機器２との間の電波状態が悪い場合や、機器２−１に成りすました不正機器３が認証開始要求を送信している場合に起こり得る。   For example, as shown in the sequence diagram of FIG. 8, it is assumed that the device control apparatus 1 receives an authentication start request from the device 2-1 a plurality of times in a state before the authentication process (first state). This can occur, for example, when the radio wave condition between the device control apparatus 1 and the device 2 is poor, or when the unauthorized device 3 pretending to be the device 2-1 transmits an authentication start request.

図９に示すように、ＲＦＣ５６０９に規定の状態遷移では、図８のステップＳ１０１，Ｓ１０３，Ｓ１０５において送信された認証開始要求毎に、セッションＩＤが割り当てられ、セッション管理テーブルにおいて不要なレコードが増加してしまう。更に、図８のステップＳ１１０において、最後に送信された認証開始要求に対応する認証処理が完了した場合であっても、セッションＩＤ「１１」以外の、同一機器ＩＤのレコードが残留してしまい、リソースの不要な消費を招いてしまう。更に、これにより、正当な機器２から認証開始要求に応じた手続きを継続できなくなる可能性がある。   As shown in FIG. 9, in the state transition defined in RFC 5609, a session ID is assigned for each authentication start request transmitted in steps S101, S103, and S105 in FIG. 8, and unnecessary records increase in the session management table. End up. Furthermore, in step S110 of FIG. 8, even when the authentication process corresponding to the authentication start request transmitted last is completed, records with the same device ID other than the session ID “11” remain. This leads to unnecessary consumption of resources. Furthermore, this may prevent the procedure according to the authentication start request from the legitimate device 2 from continuing.

そこで、本実施の形態では、セッション管理部１０１が、セッション管理テーブル１２１において、機器ＩＤが認証開始要求を送信した機器２を示し、且つ、認証状態が第１状態であるレコードがある場合、セッションＩＤを更新する。   Therefore, in the present embodiment, when there is a record in which the session management unit 101 indicates the device 2 in which the device ID has transmitted the authentication start request in the session management table 121 and the authentication state is the first state, Update the ID.

例えば、図８に示す例では、ステップＳ１０３において送信された認証開始要求を通信Ｉ／Ｆ１１が受信する。このとき、図１０に示すように、セッション管理部１０１は、機器ＩＤが認証開始要求を送信した機器２−１を示し、且つ、認証状態が第１状態（ＰｒｅＡｕｔｈ）であるレコードを検索し、検索されたレコードのセッションＩＤ「９」を「１０」に更新する。   For example, in the example illustrated in FIG. 8, the communication I / F 11 receives the authentication start request transmitted in step S103. At this time, as shown in FIG. 10, the session management unit 101 searches for a record in which the device ID indicates the device 2-1 that has transmitted the authentication start request, and the authentication state is the first state (PreAuth). The session ID “9” of the retrieved record is updated to “10”.

同様に、図８のステップＳ１０５において送信された認証開始要求を通信Ｉ／Ｆ１１が受信する。セッション管理部１０１は、機器ＩＤが認証開始要求を送信した機器２−１を示し、且つ、認証状態が第１状態（ＰｒｅＡｕｔｈ）であるレコードを検索し、検索されたレコードのセッションＩＤ「１０」を「１１」に更新する。   Similarly, the communication I / F 11 receives the authentication start request transmitted in step S105 in FIG. The session management unit 101 searches for a record in which the device ID indicates the device 2-1 that transmitted the authentication start request and the authentication state is the first state (PreAuth), and the session ID “10” of the retrieved record. Is updated to “11”.

このように、本実施の形態に係る認証システムによれば、セッション管理部１０１が、通信Ｉ／Ｆ１１が受信した認証開始要求に応じて、セッション管理テーブル１２１を編集することにより、リソースの消費を低減し、堅牢性を向上することができる。   As described above, according to the authentication system according to the present embodiment, the session management unit 101 edits the session management table 121 in response to the authentication start request received by the communication I / F 11, thereby reducing resource consumption. It can be reduced and the robustness can be improved.

なお、図８のステップＳ１１０において通信Ｉ／Ｆ１１がＰＡＮ（ｐ＋４）メッセージを受信することにより、認証処理部１０２は、機器２との認証処理が成功したとして、認証処理を完了する。セッション管理部１０１は、認証処理が成功したことに応じて、図１１に示すように、対応するレコードの認証状態を第３状態（Ａｃｃｅｓｓ）に変更する。また、図８の他のステップの説明は、図６についての説明と実質的に同様であるため省略する。   When the communication I / F 11 receives the PAN (p + 4) message in step S110 of FIG. 8, the authentication processing unit 102 completes the authentication process assuming that the authentication process with the device 2 is successful. In response to the successful authentication process, the session management unit 101 changes the authentication state of the corresponding record to the third state (Access) as shown in FIG. The description of the other steps in FIG. 8 is substantially the same as the description of FIG.

（機器制御装置の動作）
図１２のフローチャートを用いて、機器制御装置１の、認証開始要求を受信してから認証処理が開始されるまでの動作の一例を説明する。 (Operation of equipment control device)
With reference to the flowchart of FIG. 12, an example of the operation of the device control apparatus 1 from the reception of the authentication start request to the start of the authentication process will be described.

先ず、ステップＳ２１において、通信Ｉ／Ｆ１１は、機器２から送信された認証開始要求を受信する。セッション管理部１０１は、ステップＳ２１において受信された認証開始要求に含まれる機器ＩＤを取得する。   First, in step S21, the communication I / F 11 receives the authentication start request transmitted from the device 2. The session management unit 101 acquires the device ID included in the authentication start request received in step S21.

ステップＳ２２において、セッション管理部１０１は、セッション管理テーブル１２１において、取得した機器ＩＤを含むレコード、すなわち、ステップＳ２１において受信した認証開始要求に対応するレコードを検索する。   In step S22, the session management unit 101 searches the session management table 121 for a record including the acquired device ID, that is, a record corresponding to the authentication start request received in step S21.

ステップＳ２３において、セッション管理部１０１は、取得した機器ＩＤが既にセッション管理テーブル１２１において記録されているか否かを判定する。セッション管理部１０１は、取得した機器ＩＤを含むレコードがある場合、ステップＳ２４に処理を進め、取得した機器ＩＤを含むレコードがない場合、ステップＳ２８に処理を進める。   In step S23, the session management unit 101 determines whether or not the acquired device ID is already recorded in the session management table 121. If there is a record including the acquired device ID, the session management unit 101 proceeds to step S24. If there is no record including the acquired device ID, the session management unit 101 proceeds to step S28.

ステップＳ２４において、セッション管理部１０１は、認証開始要求に対応するレコードの認証状態が、第２状態（Ａｕｔｈ）であるか否かを判定する。認証状態が第２状態である場合、ステップＳ２８に処理を進め、認証状態が第２状態でない場合、ステップＳ２５に処理を進める。   In step S24, the session management unit 101 determines whether the authentication state of the record corresponding to the authentication start request is the second state (Auth). If the authentication state is the second state, the process proceeds to step S28. If the authentication state is not the second state, the process proceeds to step S25.

ステップＳ２５において、セッション管理部１０１は、認証開始要求に対応するレコードの認証状態が、第１状態（ＰｒｅＡｕｔｈ）であるか否かを判定する。認証状態が第１状態である場合、ステップＳ２６に処理を進め、認証状態が第１状態でない場合、ステップＳ２７に処理を進める。   In step S25, the session management unit 101 determines whether the authentication state of the record corresponding to the authentication start request is the first state (PreAuth). If the authentication state is the first state, the process proceeds to step S26. If the authentication state is not the first state, the process proceeds to step S27.

ステップＳ２６において、セッション管理部１０１は、セッション管理テーブル１２１において、認証開始要求に対応するレコードのセッションＩＤを更新し、ステップＳ２８に処理を進める。   In step S26, the session management unit 101 updates the session ID of the record corresponding to the authentication start request in the session management table 121, and the process proceeds to step S28.

ステップＳ２７において、セッション管理部１０１は、ステップＳ２１において受信された認証開始要求を破棄し、処理を終了する。   In step S27, the session management unit 101 discards the authentication start request received in step S21 and ends the process.

ステップＳ２８において、セッション管理部１０１は、認証開始要求に含まれる機器ＩＤと、認証状態である第１状態（ＰｒｅＡｕｔｈ）と、新たなセッションＩＤとを、新たなレコードとしてセッション管理テーブル１２１に追加する。   In step S28, the session management unit 101 adds the device ID included in the authentication start request, the first state (PreAuth) as the authentication state, and the new session ID as new records to the session management table 121. .

ステップＳ２９において、認証処理部１０２は、ステップＳ２１において受信された認証開始要求を受け入れて、認証処理を開始する。   In step S29, the authentication processing unit 102 accepts the authentication start request received in step S21 and starts the authentication process.

図１３のフローチャートを用いて、機器制御装置１の、認証処理が完了時の動作の一例を説明する。   An example of the operation of the device control apparatus 1 when the authentication process is completed will be described using the flowchart of FIG.

ステップＳ３１において、通信Ｉ／Ｆ１１は、認証処理が成功した機器２から、認証が完了したことを示すＰＡＮ（ｐ＋４）メッセージ（認証完了メッセージ）を受信する。  In step S <b> 31, the communication I / F 11 receives a PAN (p + 4) message (authentication completion message) indicating that the authentication is completed from the device 2 that has been successfully authenticated.

ステップＳ３２において、セッション管理部１０１は、セッション管理テーブル１２１において、認証開始要求に含まれる機器ＩＤを含むレコード、すなわち、認証開始要求に対応するレコードを検索する。   In step S32, the session management unit 101 searches the session management table 121 for a record including the device ID included in the authentication start request, that is, a record corresponding to the authentication start request.

ステップＳ３３において、セッション管理部１０１は、セッション管理テーブル１２１において、認証開始要求に対応するレコードが複数あるか否かを判定する。複数のレコードがある場合、ステップＳ３４に処理を進め、複数のレコードがない場合、ステップＳ３５に処理を進める。   In step S33, the session management unit 101 determines whether there are a plurality of records corresponding to the authentication start request in the session management table 121. If there are a plurality of records, the process proceeds to step S34, and if there are not a plurality of records, the process proceeds to step S35.

ステップＳ３４において、セッション管理部１０１は、認証開始要求に対応する複数のレコードのうち、認証状態が第２状態（Ａｕｔｈ）以外のレコードを、１つのみ残すように削除する。   In step S34, the session management unit 101 deletes a plurality of records corresponding to the authentication start request so that only one record whose authentication status is other than the second status (Auth) is left.

ステップＳ３５において、セッション管理部１０１は、セッション管理テーブル１２１において、認証開始要求に対応するレコードの認証状態を第３状態（Ａｃｃｅｓｓ）に変更し、処理を終了する。   In step S35, the session management unit 101 changes the authentication state of the record corresponding to the authentication start request to the third state (Access) in the session management table 121, and ends the process.

（認証システムの他の動作例）
図１４のシーケンス図を用いて、既に認証処理が成功し、機器制御装置１に登録されている機器２−１及び２−２のうち、機器２−１が再起動する場合の認証システムの動作例を説明する。 (Other operation examples of authentication system)
Using the sequence diagram of FIG. 14, the operation of the authentication system when the authentication process has already been successful and the device 2-1 restarts among the devices 2-1 and 2-2 registered in the device control apparatus 1. An example will be described.

ステップＳ２０１において、暗号処理部１０３は、例えば、グループ鍵を用いて暗号されたメッセージをマルチキャスト送信する。この状態（第３状態）で、ステップＳ２０２において、機器２−１は、電源遮断等により、再起動する。   In step S201, the cryptographic processing unit 103 multicasts a message encrypted using, for example, a group key. In this state (third state), in step S202, the device 2-1 is restarted due to power shutdown or the like.

ステップＳ２０３において、機器２−１の認証処理部２０１は、例えばユーザの操作に応じて、認証開始要求を機器制御装置１に送信する。機器制御装置１の通信Ｉ／Ｆ１１は、機器２から送信された認証開始要求を受信する。   In step S <b> 203, the authentication processing unit 201 of the device 2-1 transmits an authentication start request to the device control apparatus 1 in accordance with, for example, a user operation. The communication I / F 11 of the device control apparatus 1 receives the authentication start request transmitted from the device 2.

セッション管理部１０１は、認証開始要求の受信に応じて、セッション管理テーブル１２１において、認証開始要求に含まれる機器ＩＤを検索する。機器２−１は既に登録済みのため、認証開始要求に含まれる機器ＩＤを含むレコードの認証状態は、第３状態（Ａｃｃｅｓｓ）である。よって、セッション管理部１０１は、図１５に示すように、機器ＩＤ「２−１」と、認証状態である第１状態（ＰｒｅＡｕｔｈ）と、新たなセッションＩＤ「１０」とを、新たなレコードとしてセッション管理テーブル１２１に追加する。   In response to receiving the authentication start request, the session management unit 101 searches the session management table 121 for a device ID included in the authentication start request. Since the device 2-1 has already been registered, the authentication state of the record including the device ID included in the authentication start request is the third state (Access). Accordingly, as shown in FIG. 15, the session management unit 101 sets the device ID “2-1”, the first state (PreAuth) as the authentication state, and the new session ID “10” as new records. It adds to the session management table 121.

ステップＳ２０８において、認証処理部２０１は、認証処理が完了したことを示すＰＡＮ（ｐ＋４）メッセージを機器制御装置１に送信する。この時点で、図１５に示すように、セッション管理テーブル１２１において、認証開始要求に対応する２つのレコードがある。   In step S <b> 208, the authentication processing unit 201 transmits a PAN (p + 4) message indicating that the authentication processing has been completed to the device control apparatus 1. At this point, as shown in FIG. 15, there are two records corresponding to the authentication start request in the session management table 121.

図１６に示すように、セッション管理部１０１は、認証開始要求に対応する複数のレコードのうち、認証状態が第２状態（Ａｕｔｈ）以外のレコードを、１つのみ残すように削除する。また、セッション管理部１０１は、セッション管理テーブル１２１において、認証開始要求に対応するレコードの認証状態を第３状態（Ａｃｃｅｓｓ）に変更し、処理を終了する。   As illustrated in FIG. 16, the session management unit 101 deletes a plurality of records corresponding to the authentication start request so that only one record whose authentication state is other than the second state (Auth) is left. Also, the session management unit 101 changes the authentication state of the record corresponding to the authentication start request to the third state (Access) in the session management table 121, and ends the process.

本実施の形態に係る認証システムによれば、認証開始要求に応じて、セッション管理テーブル１２１において、機器ＩＤが認証開始要求を送信した機器２を示し、且つ、認証状態が第１状態であるレコードがある場合、セッションＩＤが更新される。よって、機器制御装置１は、同一の機器ＩＤを含む複数の認証開始要求を受信する場合であっても、認証開始要求に応じて、セッション管理テーブル１２１を編集することにより、リソースの消費を低減し、堅牢性を向上することができる。更に、記憶域を従来構成と比べて削減することができるため、製造コストを低減することができる。   According to the authentication system according to the present embodiment, in response to the authentication start request, in the session management table 121, the record in which the device ID indicates the device 2 that has transmitted the authentication start request and the authentication state is the first state If there is, the session ID is updated. Therefore, even when the device control apparatus 1 receives a plurality of authentication start requests including the same device ID, it reduces resource consumption by editing the session management table 121 according to the authentication start request. In addition, the robustness can be improved. Furthermore, since the storage area can be reduced as compared with the conventional configuration, the manufacturing cost can be reduced.

例えば、機器制御装置１、機器２等の認証機能が組み込まれた通信機器においては、一般的に記憶装置の記憶域が制限される。機器制御装置１の記憶域が不足すると、セッション管理テーブル１２１において新たなレコードを追加できず、認証処理が適正に行われない可能性がある。本実施の形態に認証システムによれば、記憶域が制限される場合であっても、認証開始要求に応じて、セッション管理テーブル１２１を編集することにより、リソースの消費を低減し、堅牢性を向上することができる。   For example, in a communication device in which an authentication function such as the device control device 1 and the device 2 is incorporated, the storage area of the storage device is generally limited. If the storage area of the device control apparatus 1 is insufficient, a new record cannot be added in the session management table 121, and authentication processing may not be performed properly. According to the authentication system of this embodiment, even when the storage area is limited, resource consumption is reduced and robustness is reduced by editing the session management table 121 in response to an authentication start request. Can be improved.

また、本実施の形態に係るに認証システムによれば、セッション管理テーブル１２１において、機器ＩＤが認証開始要求を送信した機器２を示し、且つ、認証状態が第１状態であるレコードがある場合、認証開始要求を受け入れ、認証処理の開始を許可する。これにより、同一の機器ＩＤを含む複数の認証開始要求を受信する場合であっても、セッション管理テーブル１２１において第１状態のレコードが追加されることがなくなり、リソースの消費を低減し、堅牢性を向上することができる。   Further, according to the authentication system according to the present embodiment, in the session management table 121, when there is a record in which the device ID indicates the device 2 that has transmitted the authentication start request and the authentication state is the first state, Accept authentication start request and allow start of authentication process. As a result, even when a plurality of authentication start requests including the same device ID are received, the record in the first state is not added to the session management table 121, reducing resource consumption and robustness. Can be improved.

また、本実施の形態に係るに認証システムによれば、セッション管理テーブル１２１において、機器ＩＤが認証開始要求を送信した機器２を示し、且つ、認証状態が第２状態であるレコードがある場合、認証開始要求を破棄し、認証処理の開始を禁止する。これにより、不正な機器から送信された認証開始要求を受信する場合であっても、機器２との認証処理が中断されず、リソースの消費を低減し、堅牢性を向上することができる。   Further, according to the authentication system according to the present embodiment, in the session management table 121, when there is a record in which the device ID indicates the device 2 that has transmitted the authentication start request and the authentication state is the second state, Discard the authentication start request and prohibit the start of authentication processing. As a result, even when an authentication start request transmitted from an unauthorized device is received, the authentication process with the device 2 is not interrupted, reducing resource consumption and improving robustness.

また、本実施の形態に係るに認証システムによれば、セッション管理テーブル１２１において、機器ＩＤが認証開始要求を送信した機器２を示し、且つ、認証状態が第３状態であるレコードがある場合、認証開始要求を受け入れ、認証処理の開始を許可する。これにより、登録済みの機器２が再起動される場合であっても、速やかに復帰することができる。   Further, according to the authentication system according to the present embodiment, in the session management table 121, when there is a record in which the device ID indicates the device 2 that has transmitted the authentication start request and the authentication state is the third state, Accept authentication start request and allow start of authentication process. Thereby, even if it is a case where the registered apparatus 2 is restarted, it can return rapidly.

（その他の実施の形態）
上記のように、実施の形態を記載したが、この開示の一部をなす論述及び図面は本発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなろう。 (Other embodiments)
Although the embodiment has been described as described above, it should not be understood that the description and drawings constituting a part of this disclosure limit the present invention. From this disclosure, various alternative embodiments, examples and operational techniques will be apparent to those skilled in the art.

例えば、既に述べた実施の形態において、ＰＡＮＡにおける再認証フェーズ（Ｒｅ−Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｈａｓｅ）（図４参照）は、認証フェーズと同様に、第２状態として扱うことができる。再認証フェーズは、セッション有効期間延長のためにセッション情報の更新をするフェーズである。   For example, in the above-described embodiment, the re-authentication phase (see FIG. 4) in PANA can be handled as the second state, similarly to the authentication phase. The re-authentication phase is a phase in which session information is updated to extend the session validity period.

また、既に述べた実施の形態において、機器制御装置１及び機器２を構成する処理装置や記憶装置は、その論理構造により、単一のハードウェアに記憶されてもよく、別個のハードウェアに記憶されてもよい。   In the above-described embodiment, the processing device and the storage device configuring the device control device 1 and the device 2 may be stored in a single hardware or stored in separate hardware depending on the logical structure. May be.

上記の他、上記の実施の形態において説明される各構成を任意に応用した構成等、本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。したがって、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。   In addition to the above, the present invention includes various embodiments and the like that are not described here, such as a configuration in which each configuration described in the above embodiment is arbitrarily applied. Therefore, the technical scope of the present invention is defined only by the invention specifying matters according to the scope of claims reasonable from the above description.

１ 機器制御装置（認証装置）
２，２−１，２−２ 機器
１０，２０ 処理装置
１１，２１ 通信インターフェース（Ｉ／Ｆ）
１２，２２ 記憶装置
１０１ セッション管理部
１２１ セッション管理テーブル
1 Equipment control device (authentication device)
2,2-1,2-2 Device 10,20 Processing device 11, 21 Communication interface (I / F)
12, 22 Storage device 101 Session management unit 121 Session management table

Claims (6)

機器と認証処理を行う認証装置であって、
前記認証処理の開始を要求する認証開始要求を前記機器から受信する通信インターフェースと、
前記認証開始要求を送信した前記機器を識別する機器識別子と、前記認証開始要求に対応するセッションを識別するセッション識別子と、前記セッションにおける段階を示す認証状態とを、前記セッション毎のレコードとして有するセッション管理テーブルを記憶する記憶装置と、
前記通信インターフェースが前記認証開始要求を受信し、前記セッション管理テーブルにおいて、前記機器識別子が前記認証開始要求を送信した前記機器を示し、且つ、前記認証状態が第１状態である前記レコードがある場合、前記セッション識別子を更新する処理装置とを備え、
前記第１状態は、前記通信インターフェースが、前記認証開始要求に対する認証開始応答を前記機器に送信した後に前記機器から送信される、前記認証開始応答に対する応答を未だ受信していない状態であることを特徴とする認証装置。 An authentication device that performs authentication processing with a device,
A communication interface for receiving an authentication start request for requesting the start of the authentication process from the device;
A session having, as a record for each session, a device identifier that identifies the device that has transmitted the authentication start request, a session identifier that identifies a session corresponding to the authentication start request, and an authentication state that indicates a stage in the session A storage device for storing the management table;
When there is the record in which the communication interface receives the authentication start request, the device identifier indicates the device that has transmitted the authentication start request, and the authentication state is the first state in the session management table And a processing device for updating the session identifier,
The first state is a state in which the communication interface has not yet received a response to the authentication start response transmitted from the device after transmitting an authentication start response to the authentication start request to the device. A featured authentication device. 前記処理装置は、前記通信インターフェースが前記認証開始要求を受信し、前記セッション管理テーブルにおいて、前記機器識別子が前記認証開始要求を送信した前記機器を示し、且つ、前記認証状態が前記第１状態である前記レコードがある場合、前記認証開始要求を受け入れることを特徴とする請求項１に記載の認証装置。   In the processing device, the communication interface receives the authentication start request, and in the session management table, the device identifier indicates the device that has transmitted the authentication start request, and the authentication state is the first state. 2. The authentication apparatus according to claim 1, wherein when there is a certain record, the authentication start request is accepted. 前記処理装置は、前記機器との認証処理が開始されたことに応じて、対応する前記レコードの前記認証状態を第２状態に変更し、
前記処理装置は、前記通信インターフェースが前記認証開始要求を受信し、前記セッション管理テーブルにおいて、前記機器識別子が前記認証開始要求を送信した前記機器を示し、且つ、前記認証状態が前記第２状態である前記レコードがある場合、前記認証開始要求を破棄することを特徴とする請求項１に記載の認証装置。 In response to the start of the authentication process with the device, the processing device changes the authentication state of the corresponding record to the second state,
In the processing device, the communication interface receives the authentication start request, the device identifier indicates the device that has transmitted the authentication start request in the session management table, and the authentication state is the second state. The authentication apparatus according to claim 1, wherein when there is the certain record, the authentication start request is discarded. 前記処理装置は、前記機器との認証処理が成功したことに応じて、対応する前記レコードの前記認証状態を第３状態に変更し、
前記処理装置は、前記通信インターフェースが前記認証開始要求を受信し、前記セッション管理テーブルにおいて、前記機器識別子が前記認証開始要求を送信した前記機器を示し、且つ、前記認証状態が前記第３状態である前記レコードがある場合、前記認証開始要求を受け入れることを特徴とする請求項１に記載の認証装置。 In response to the successful authentication process with the device, the processing device changes the authentication state of the corresponding record to a third state,
In the processing device, the communication interface receives the authentication start request, the device identifier indicates the device that has transmitted the authentication start request in the session management table, and the authentication state is the third state. 2. The authentication apparatus according to claim 1, wherein when there is a certain record, the authentication start request is accepted. 機器と、前記機器と認証処理を行う認証装置とを備える認証システムであって、
前記機器は、前記認証処理の開始を要求する認証開始要求を前記認証装置に送信し、
前記認証装置は、
前記認証開始要求を受信する通信インターフェースと、
前記認証開始要求を送信した前記機器を識別する機器識別子と、前記認証開始要求に対応するセッションを識別するセッション識別子と、前記セッションにおける段階を示す認証状態とを、前記セッション毎のレコードとして有するセッション管理テーブルを記憶する記憶装置と、
前記通信インターフェースが前記認証開始要求を受信し、前記セッション管理テーブルにおいて、前記機器識別子が前記認証開始要求を送信した前記機器を示し、且つ、前記認証状態が第１状態である前記レコードがある場合、前記セッション識別子を更新する処理装置とを備え、
前記第１状態は、前記通信インターフェースが、前記認証開始要求に対する認証開始応答を前記機器に送信した後、前記機器から前記認証開始応答に対する応答を未だ受信していない状態であることを特徴とする認証システム。 An authentication system comprising a device and an authentication device that performs authentication processing with the device,
The device transmits an authentication start request for requesting the start of the authentication process to the authentication device,
The authentication device
A communication interface for receiving the authentication start request;
A session having, as a record for each session, a device identifier that identifies the device that has transmitted the authentication start request, a session identifier that identifies a session corresponding to the authentication start request, and an authentication state that indicates a stage in the session A storage device for storing the management table;
When there is the record in which the communication interface receives the authentication start request, the device identifier indicates the device that has transmitted the authentication start request, and the authentication state is the first state in the session management table And a processing device for updating the session identifier,
The first state is a state in which the communication interface has not yet received a response to the authentication start response from the device after transmitting an authentication start response to the authentication start request to the device. Authentication system. 機器と認証処理を行う認証装置の認証方法であって、
通信インターフェースが、前記認証処理の開始を要求する認証開始要求を前記機器から受信することと、
記憶装置が、前記認証開始要求を送信した前記機器を識別する機器識別子と、前記認証開始要求に対応するセッションを識別するセッション識別子と、前記セッションにおける段階を示す認証状態とを、前記セッション毎のレコードとして有するセッション管理テーブルを記憶することと、
処理装置が、前記通信インターフェースが前記認証開始要求を受信し、前記セッション管理テーブルにおいて、前記機器識別子が前記認証開始要求を送信した前記機器を示し、且つ、前記認証状態が第１状態である前記レコードがある場合、前記セッション識別子を更新することとを含み、
前記第１状態は、前記通信インターフェースが、前記認証開始要求に対する認証開始応答を前記機器に送信した後、前記機器から前記認証開始応答に対する応答を未だ受信していない状態であることを特徴とする認証方法。 An authentication method for an authentication device that performs authentication processing with a device,
A communication interface receiving an authentication start request for requesting the start of the authentication process from the device;
The storage device stores, for each session, a device identifier that identifies the device that has transmitted the authentication start request, a session identifier that identifies a session corresponding to the authentication start request, and an authentication state that indicates a stage in the session. Storing a session management table as a record;
A processing device, wherein the communication interface receives the authentication start request, the device identifier indicates the device that has transmitted the authentication start request in the session management table, and the authentication state is the first state If there is a record, updating the session identifier;
The first state is a state in which the communication interface has not yet received a response to the authentication start response from the device after transmitting an authentication start response to the authentication start request to the device. Authentication method.
JP2015245007A 2015-12-16 2015-12-16 Authentication device, authentication system and authentication method Active JP6653484B2 (en)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2015245007A JP6653484B2 (en) 2015-12-16 2015-12-16 Authentication device, authentication system and authentication method
PCT/JP2016/005114 WO2017104129A1 (en) 2015-12-16 2016-12-13 Authentication device, authentication system, and authentication method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2015245007A JP6653484B2 (en) 2015-12-16 2015-12-16 Authentication device, authentication system and authentication method

Publications (2)

Publication Number Publication Date
JP2017111599A true JP2017111599A (en) 2017-06-22
JP6653484B2 JP6653484B2 (en) 2020-02-26

Family

ID=59056307

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2015245007A Active JP6653484B2 (en) 2015-12-16 2015-12-16 Authentication device, authentication system and authentication method

Country Status (2)

Country Link
JP (1) JP6653484B2 (en)
WO (1) WO2017104129A1 (en)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020035304A (en) * 2018-08-31 2020-03-05 ベーステクノロジー株式会社 Authentication system and method, and program thereof

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022056747A1 (en) * 2020-09-16 2022-03-24 华为技术有限公司 Method for content transmission protection and related device

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5227905B2 (en) * 2009-06-26 2013-07-03 株式会社日立製作所 Gateway device and terminal authentication method using the same
JP5273078B2 (en) * 2010-03-29 2013-08-28 ブラザー工業株式会社 VPN router, server and communication system
US8838791B2 (en) * 2011-02-25 2014-09-16 Alcatel Lucent Transient subscription records

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020035304A (en) * 2018-08-31 2020-03-05 ベーステクノロジー株式会社 Authentication system and method, and program thereof

Also Published As

Publication number Publication date
WO2017104129A1 (en) 2017-06-22
JP6653484B2 (en) 2020-02-26

Similar Documents

Publication Publication Date Title
US11784788B2 (en) Identity management method, device, communications network, and storage medium
CN113099443B (en) Equipment authentication method, device, equipment and system
US20230283475A1 (en) Identity authentication system, method, apparatus, and device, and computer-readable storage medium
CN113596828B (en) End-to-end service layer authentication
US20190356482A1 (en) A hosted dynamic provisioning protocol with servers and a networked responder
CN105050081B (en) Method, device and system for connecting network access device to wireless network access point
EP3850510B1 (en) Infrastructure device enrolment
WO2019153701A1 (en) Method and apparatus for obtaining device identification
WO2019199836A1 (en) Secure communication using device-identity information linked to cloud-based certificates
JP2017513327A (en) Safe and simplified procedure for joining a social Wi-Fi mesh network
US20140215215A1 (en) Server, method of group key notification and program
JP2017126987A (en) Restricted certificate registration for unknown devices in hotspot network
WO2018177143A1 (en) Identity authentication method and system, server and terminal
CN111783068A (en) Device authentication method, system, electronic device and storage medium
US20120246473A1 (en) Encryption information transmitting terminal
US10623952B2 (en) Method and apparatus for authorizing management for embedded universal integrated circuit card
KR20150135032A (en) System and method for updating secret key using physical unclonable function
WO2011142353A1 (en) Communication device and communication method
CN110198538A (en) A kind of method and device obtaining device identification
CA2881575C (en) Network element authentication in communication networks
US20160105407A1 (en) Information processing apparatus, terminal, information processing system, and information processing method
JP6653484B2 (en) Authentication device, authentication system and authentication method
WO2016184351A1 (en) Ip address allocation method and system for wireless network
JP7289111B2 (en) Communication device, authentication method and computer program
CN118573483A (en) Network security management method and related equipment

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20181024

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20191112

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20191205

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200107

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200114

R151 Written notification of patent or utility model registration

Ref document number: 6653484

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151