JP4545197B2

JP4545197B2 - 無線ネットワークシステム及びこれを用いる通信方法

Info

Publication number: JP4545197B2
Application number: JP2007554012A
Authority: JP
Inventors: リ，ソン−ミン; オー，スン−ジェ; ハン，セ−ヒー
Original assignee: Samsung Electronics Co Ltd
Current assignee: Samsung Electronics Co Ltd
Priority date: 2005-02-03
Filing date: 2006-02-03
Publication date: 2010-09-15
Anticipated expiration: 2026-02-03
Also published as: JP2008529440A; CN101112039A; KR20060089008A; AU2006211768B2; US20060171540A1; US7912224B2; EP1844573A4; AU2006211768A1; EP1844573B1; KR100843072B1; EP1844573A1; NZ556670A; CN101112039B; WO2006083125A1

Description

本発明は、無線ネットワークシステム及びこれを用いる通信方法に関し、より詳しくは、無線ネットワークに一時的に接続する外部ネットワーク装置の容易な接続及び接続解除が可能な無線ネットワークシステム及びこれを用いる通信方法に関する。

通信及びネットワーク技術の発達により、最近のネットワーク環境は、同軸ケーブルまたは光ケーブルといった有線媒体を用いる有線ネットワーク環境から、多様な周波数帯域の無線信号を用いる無線ネットワーク環境に変わっている。

無線ネットワークは、有線ネットワークとは違って、データ伝送経路が物理的に固定されないため、有線ネットワークに比べて通信のセキュリティ性に劣る。このため、より安全な無線通信を行うために、大概の無線通信プロトコルは伝送されるデータパケットに対する暗号化を支援する。例えば、無線ランで使用するＷＰＡ−ＰＳＫ方式やＷＥＰ方式を用いてより安全な無線通信を行っている。

この中、ＷＥＰ方式は、無線伝送フレームに対して最小限の保護を提供するために設計されたものであって、ＷＥＰは高セキュリティ機能を有していない。このため、８０２．１１の幅広い構築を妨げる多くのセキュリティ問題が発生する。

８０２．１ｘは、拡張認証プロトコル（以下、ＥＡＰという）に基づく。ＥＡＰは、ＲＦＣ２２８４で正式に規定されている。

図１は、従来技術による暗号キー設定過程を示す図面である。ここで、図１のアクセスポイントは、ステーションと認証サーバとの間のメッセージを中継する役割のみを行う。

図示のように、アクセスポイント２０は、ユーザを識別するために、ステーション１０に要請／識別子メッセージを伝送する（Ｓ１１）。その後、ステーション１０は、ユーザ識別子（例えば、ＭｙＩＤなど）を含む応答／識別子メッセージを認証サーバ３０に伝送する（Ｓ１２）。

その後、ステーション１０と認証サーバ３０は、他のユーザによるメッセージの再使用を防ぐために、各々第１乱数と第２乱数を生成し（Ｓ１３、Ｓ１４）、生成された第１乱数と第２乱数を互いに交換する（Ｓ１５、Ｓ１６）。ここで、乱数とは、任意性を有する数字または文字列を意味する。

また、認証サーバ３０は、公認認証書を発給する認証機関（ＣｅｒｔｉｆｉｃａｔｅＡｕｔｈｏｒｉｔｙ）から発給された認証書を第２乱数とともにステーション１０に伝送する。

ステーション１０は、認証サーバ３０から伝送された認証書を認証機関からの公開キーで検証し（Ｓ１７）、所定バイト（例えば、４８バイト）の第３乱数を生成する（Ｓ１８）。

ステーション１０は、前記第１、第２、第３乱数で暗号キーを生成し（Ｓ１９）、認証サーバ３０からの認証書に含まれた公開キーで生成された暗号キーを暗号化する（Ｓ２０）。その後、ステーション１０は、暗号化された暗号キーと自身の認証書を認証サーバ３０に伝送する（Ｓ２１）。

認証サーバ３０は、ステーション１０からの認証書を認証機関からの公開キーで復号化して検証した後、受信された暗号キーを自身の秘密キーで復号化して自身の暗号キーとして用いる（Ｓ２２）。

したがって、ステーション１０と認証サーバ３０は、暗号キーを共有し、共有する暗号キーと第１乱数及び第２乱数を用いて最終暗号キーを生成し、生成された最終暗号キーによって互いに無線通信を行うようになる。

上述したような暗号キー生成過程によって、別途の認証機関から発給された認証書を保有する無線ネットワーク装置間に安全な無線通信が可能になる。

このとき、新しい無線ネットワーク装置が当該無線ネットワークに一時的に接続するために、無線ネットワーク装置は、認証機関から一時的に使用できる有効期間を有する認証書を受け取らなければならず、このような認証書を有する無線ネットワーク装置は、発給された認証書に明示された許可期間だけ無線ネットワークに接続できる。

ところが、認証機関から認証書を受け取る過程は、無線ネットワーク装置が無線ネットワークに接続する過程とは別に行われる。すなわち、無線ネットワーク装置は、認証機関に有線で連結されたシステムを使用して認証機関に接続した後、所定の認証書発給手続きを経て認証書を受け取ってから、所定の移動格納媒体（例えば、ディスケット及びスマートカードなど）を用いて、発給された認証書をステーションに移動する過程を経る。

このように、認証機関から認証書を受け取る過程を終えた後に、無線ネットワーク装置が当該無線ネットワークに接続する過程が行われる。したがって、無線ネットワーク装置が無線ネットワークに許可なしに接続するのを防ぐために、認証機関から認証書を受け取るすべての過程を経る必要がある。また、無線ネットワーク装置が無線ネットワークに一時的に接続するのが頻繁に発生すれば、その度に認証書の発給及び廃棄過程を繰り返す必要があるため、無線ネットワーク管理者のネットワーク管理はさらに難しくなる。

特許文献１には、認証サーバまたはユーザから認証、暗号化／復号化機能が要請されれば、携帯電話とスマートカードとの間の高速無線モデムチップで近距離通信を行い、スマートカードで処理された認証及び暗号化／復号化データを無線で携帯電話に伝送する方法が開示されているが、これは携帯電話とスマートカード内に近距離通信を行う高速無線モデムチップを内蔵して、大量データを高速で送受信し、信頼できる通信を確保するものであって、無線ネットワークに一時的に接続するネットワーク装置に対する認証や許可なしに接続するネットワーク装置を防ぐには力不足である。
大韓民国公開特許第２００２−００５１１２７号公報

そこで、本発明は、上記のような従来技術の問題を解決するためになされたものであり、その目的は、無線ネットワークに外部ネットワーク装置が一時的に接続する場合、無線ネットワークに存在する装置によってネットワーク装置に認証情報を提供する無線ネットワークシステム及びこれを用いる通信方法を提供することにある。

また、本発明の目的は以上で言及した目的に制限されず、言及していないさらなる目的は下記によって当業者に明確に理解できる。

上記目的を達成するための本発明のキー管理装置は、無線ネットワーク装置から暗号化情報を受信する制限通信部と、前記無線ネットワーク装置の認証のための認証情報を格納する格納部と、前記受信される暗号化情報によって、前記無線ネットワーク装置が接続しようとする無線ネットワークでの無線通信のための暗号キーを生成し、前記生成された暗号キーを前記無線ネットワーク装置に送信するキー生成部とを含む。

また、上記目的を達成するための本発明の無線ネットワーク装置は、暗号キーを生成するキー管理装置と暗号化情報を送受信する制限通信部と、所定の無線ネットワークのアクセスポイントと通信を行う無線通信部と、前記キー管理装置から生成された暗号キーを受信し、前記受信された暗号キーによって無線ネットワークのアクセスポイントと無線通信を行う制御部とを含む。

また、上記目的を達成するための本発明のアクセスポイントは、無線ネットワークに接続する無線ネットワーク装置の認証のための暗号化情報を発給する暗号化情報管理部と、前記無線ネットワーク装置に暗号キーを伝送するキー管理装置と通信を行う制限通信部と、無線ネットワーク装置と通信を行う無線通信部と、前記無線ネットワーク装置の認証を行い、前記認証された無線ネットワーク装置と前記暗号キーを用いて通信を行う制御部とを含む。

また、上記目的を達成するための本発明のキー管理方法は、無線ネットワーク装置から暗号化情報を受信するステップと、前記無線ネットワーク装置の認証のための認証情報を格納するステップと、前記受信される暗号化情報によって、前記無線ネットワーク装置が接続しようとする無線ネットワークでの無線通信のための暗号キーを生成し、前記生成された暗号キーを前記無線ネットワーク装置に送信するステップとを含む。

また、上記目的を達成するための本発明の無線ネットワーク装置の通信方法は、暗号キーを生成するキー管理装置に暗号化情報を送信するステップと、前記キー管理装置から前記暗号キーを受信するステップと、前記受信された暗号キーによって無線ネットワークのアクセスポイントと無線通信を行うステップとを含む。

また、上記目的を達成するための本発明のアクセスポイントの通信方法は、無線ネットワークに接続する無線ネットワーク装置に暗号化情報を送信するステップと、前記無線ネットワーク装置から送信された暗号キーを受信するステップと、前記無線ネットワーク装置の認証を行い、前記認証された無線ネットワーク装置と前記暗号キーを用いて通信を行うステップとを含む。

その他、実施形態の具体的な事項は詳細な説明及び図面に含まれている。

本発明の無線ネットワークシステム及びこれを用いる通信方式によれば、次のような効果が１つあるいはそれ以上ある。

第一に、外部ネットワーク装置が無線ネットワークに一時的に接続する場合、当該無線ネットワークに存在するキー管理装置が外部ネットワーク装置に臨時に使用し得る暗号キーを生成し、既存の無線ネットワークに影響を与えずにネットワーク設定を変更し得る。

第二に、外部ネットワーク装置に提供される暗号キーを生成するための秘密キーがキー管理装置にだけ格納されるため、外部ネットワーク装置の許可なしに接続を防ぎ得る。

第三に、キー管理装置と外部ネットワーク装置との間には無線ネットワーク内の無線ネットワーク装置間の通信半径より小さい通信半径を使用する通信手段を用いて暗号キー伝送時にセキュリティを維持し得る。

本発明の利点及び特徴、そしてそれらを達成する方法は、添付する図面とともに詳述する実施形態を参照すれば明確になる。しかし、本発明は以下に開示する実施形態に限定されず、相異なる多様な形態で実現できる。本実施形態は、本発明の開示を完全なものにし、本発明の属する技術分野における通常の知識を有する者に発明の範疇を知らせるために提供するものであって、本発明は請求項の範疇によってのみ定義される。また、明細書全体において同じ参照符号は同じ構成要素を示す。

以下では添付する図面を参照して本発明の好ましい実施形態をより詳細に説明する。

図２は、本発明の実施形態による無線ネットワークシステムを示す図面である。
図示のように、無線ネットワーク１００は、アクセスポイント１１０、キー管理装置１２０、少なくとも１つ以上のステーション１３０，１４０を含むことができる。

以下では本発明の実施形態で無線ネットワーク１００を構成するステーション１３０，１４０を「無線ネットワーク装置」と称する。また、本発明の実施形態によるアクセスポイント１１０及びステーション１３０，１４０は、ＥＡＰ方式を用いて通信のセキュリティを維持し得る。

本発明におけるステーションは、ノートブック、携帯電話、デジタルＴＶ、セットトップボックスなど無線ネットワークに接続して無線媒体を介して通信し得る無線ネットワーク装置を意味する。また、アクセスポイントは、ステーションに対して無線ネットワークへの接続を制御し得るネットワーク接続制御装置を意味する。本発明の実施形態において、アクセスポイント及びステーションは、無線ランに関するＩＥＥＥ８０２．１１標準で定義されるアクセスポイント及びステーションの概念で説明する。

図３は、本発明の実施形態によるキー管理装置を示す図面である。
キー管理装置１２０は、フラッシュメモリのように、データを読み取り、書き込み、削除する機能を有する非揮発性格納装置を含み、前記非揮発性格納媒体を含む移動可能な装置であり得る。例えば、キー管理装置１２０は、スマートカードやマルチメディアカードといった携帯用格納装置であるか、または携帯電話及びＰＤＡといった携帯用通信装置であり得る。

このようなキー管理装置１２０は、無線ネットワーク装置と暗号化情報を送受信する制限通信部１２１と、外部ネットワーク装置１５０が無線ネットワーク１００に接続する場合、接続する外部ネットワーク装置１５０の認証のための認証情報を格納する格納部１２２と、送受信する暗号化情報によって暗号キーを生成するキー生成部１２３と、外部ネットワーク装置１５０が無線ネットワーク１００に接続する場合、接続する外部ネットワーク装置１５０の認証を行い、生成された暗号キーを外部ネットワーク装置１５０に送信する制御部１２４とを含むことができる。

このとき、制限通信部１２１は、無線ネットワーク１００に含まれた無線ネットワーク装置間の通信半径より小さい通信半径を有する。これは、キー管理装置１２０と無線ネットワーク装置との間の通信が外部から検知できないようにするためである。例えば、制限通信部１２１は、赤外線通信、近距離通信及びブルートゥース通信などを用いるが、これに限定されない。

キー管理装置１２０が無線ネットワーク装置と送受信する暗号化情報としては、無線ネットワーク装置から生成された第１乱数と、アクセスポイント１１０から生成された第２乱数と、無線ネットワーク装置のＭＡＣアドレスとを含むことができる。また、認証情報としては、アクセスポイント１１０から発給された認証書及び秘密キーを含むことができる。本発明の実施形態によるアクセスポイント１１０は、無線ネットワーク装置との通信を行う機能以外に無線ネットワーク１００に接続しようとする無線ネットワーク装置を認証する認証サーバの機能と本発明の実施形態で用いられるすべての認証書を発給する認証機関の機能をともに行うことができる。本発明の実施形態によるアクセスポイント１１０についての詳細な説明は後述する。

また、格納部１２２に格納された認証書は、認証機関としてのアクセスポイント１１０が発給したルート認証書（以下、第１認証書という）及びキー管理装置１２０の認証書（以下、第２認証という）を含むことができる。ここで、第１認証書は、認証機関としてのアクセスポイント１１０が発給した認証書であって、アクセスポイント１１０から発給されたすべての認証書を検証し得る公開キーを含むことができる。そして、格納部１２２に格納された秘密キーも認証機関としてのアクセスポイント１１０がキー管理装置１２０に発給した秘密キーであり得る。

したがって、キー管理装置１２０は、第１認証書を格納しているため、前記公開キーを承知し得、アクセスポイント１１０から発給されたすべての認証書を検証し得る。

また、格納部１２２は、無線ネットワーク装置のＭＡＣアドレスを格納するが、これはＭＡＣアドレスによって、無線ネットワーク１００から接続解除する無線ネットワーク装置を確認し、接続を解除し得るためである。

一方、キー生成部１２３は、受信された第１乱数及び第２乱数とともに所定の第３乱数を生成して暗号キーを生成し、制御部１２４は、生成された暗号キーをアクセスポイント１１０から受信した認証書（以下、第３認証書という）に含まれた公開キーで暗号化し、暗号化された暗号キーを制限通信部１２１によって無線ネットワーク装置に送信する。このとき、暗号化された暗号キーとともに、格納部１２２に格納されている秘密キーを用いて、それまで送受信したすべてのメッセージを集めたメッセージのハッシュ値に電子署名した値を無線ネットワーク装置に送信する。

暗号化されて送信される暗号キーと電子署名されたハッシュ値は、その後無線ネットワーク装置とアクセスポイント１１０との間の通信に用いるキーを生成するのに用いられたり、アクセスポイント１１０が無線ネットワーク装置を認証するのに用いられる。

図４は、本発明の実施形態による無線ネットワーク装置を示す図面である。ここで、図示の無線ネットワーク装置は、図２のステーション１３０，１４０及び外部ネットワーク装置１５０であり得、各ステーションの構成は同様に使われる。

図示のように、本発明の実施形態による無線ネットワーク装置２００は、上述したキー管理装置１２０と暗号化情報を送受信する制限通信部２１０と、アクセスポイント１１０との無線通信のための無線通信部２２０と、キー管理装置１２０から送信された暗号キーと電子署名されたハッシュ値を格納する格納部２３０と、格納された暗号キーによってアクセスポイント１１０との認証過程を行う制御部２４０とを含むことができる。また、格納部２３０は、キー管理装置１２０から送信された第１認証書を格納する。このとき、格納された第１認証書は、認証機関としてのアクセスポイント１１０から発給されたルート認証書であって、無線ネットワーク装置２００は、第１認証書に含まれた公開キーでアクセスポイント１１０から発給されたすべての認証書を検証し得る。

一方、制御部２４０は、所定の第１乱数を生成してアクセスポイント１１０に送信し、アクセスポイント１１０から生成された第２乱数及び第３認証書を受信する。このとき、制御部２４０は、第１認証書に含まれた公開キーで受信されたアクセスポイント１１０の第２認証書を検証し得る。

その後、制御部２４０は、制限通信部２１０によって、第１乱数及び第２乱数、第３認証書、それまでアクセスポイントと送受信したすべてのメッセージを集めたメッセージのハッシュ値をキー管理装置１２０に送信し、送信結果、受信する暗号キーと電子署名されたハッシュ値によってアクセスポイント１１０と認証過程を行うことができる。このとき、キー管理装置１２０から受信される暗号キーは、前記キー管理装置１２０の格納部１２２に格納された第３認証書に含まれた公開キーで暗号化されて受信される。また、暗号キーとともにキー管理装置の秘密キーで電子署名されたハッシュ値を受信することができる。このように暗号化された暗号キー及び署名されたハッシュ値は、アクセスポイント１１０と無線ネットワーク装置との認証に用いられる。すなわち、制御部２４０は、暗号化された暗号キー及び署名されたハッシュ値をキー管理装置１２０の第２認証書とともにアクセスポイント１１０に送信する。したがって、アクセスポイント１１０は、受信されたキー管理装置１２０の認証書を検証してキー管理装置１２０の公開キーを確認し、検証された公開キーで無線ネットワーク装置から受信した電子署名されたハッシュ値を検証して、無線ネットワーク装置２００の無線ネットワーク１００への接続可否を決定した後、自身の秘密キーで暗号化された暗号キーを復号化して、その後の無線ネットワーク装置とアクセスポイントとの間の通信に用いるキーを生成するのに用いられる。

図５は、本発明の実施形態によるアクセスポイントを示す図面である。
図示のように、本発明の実施形態によるアクセスポイント１１０は、無線ネットワーク装置２００との通信のための無線通信部１１１と、キー管理装置１２０との通信のための制限通信部１１２と、暗号化情報を生成する暗号化情報管理部１１３と、ユーザがアクセスポイント１１０の制御コマンドを入力し得るユーザインターフェース部１１４と、認証情報を格納する格納部１１５と、無線ネットワーク１００の無線ネットワーク装置に対する認証を行う制御部１１６とを含むことができる。

ここで、無線通信部１１１は、無線ネットワーク装置２００から生成された第１乱数を受信し、アクセスポイント１１０から生成された第２乱数と第３認証書を送信するのに使われる。このとき、送信される第３認証書は、アクセスポイント１１０としての認証書であって、本発明の実施形態によるアクセスポイント１１０が認証機関の役割を行うための認証機関からの第１認証書及び認証サーバの役割を行うための第２認証書とは異なる。

制限通信部１１２は、上述した赤外線通信、近距離通信及びブルートゥース通信などを用いてキー管理装置１２０の通信が外部から検知できないようにする。

暗号化情報管理部１１３は、上述した第１認証書、第２認証書及び第３認証書と秘密キーを生成し得る。また、上述したキー管理装置１２０に発給される認証情報の生成及び廃棄を行う。

制御部１１６は、キー管理装置１２０から生成された暗号キーと電子署名されたハッシュ値を無線通信部１１１によって受信して、無線ネットワーク装置の認証を行う。具体的に、受信される暗号キーは、アクセスポイント１１０の公開キーで暗号化され、キー管理装置１２０の秘密キーで電子署名されたハッシュ値とともに受信できる。このとき、制御部１１６は、キー管理装置１２０の認証書をともに受信する。

したがって、制御部１１６は、認証機関の認証書を有しているので、自身が発給したすべての認証書を検証し得る公開キーを保有して、受信されたキー管理装置１２０の認証書によってキー管理装置１２０の公開キーを検証し、自身の秘密キーで暗号化された暗号キーを復号化して電子署名されたハッシュ値を検証し、無線ネットワーク装置の認証を行う。

一方、制限通信部１１２は、キー管理装置１２０との通信によって、無線ネットワーク装置２００が当該無線ネットワークから接続解除した場合、当該無線ネットワーク装置のＭＡＣアドレスを受信し、制御部１１６は受信されたＭＡＣアドレスと一致するネットワーク装置の接続を無線ネットワーク１００から解除する。

前記のようなキー管理装置１２０、無線ネットワーク装置２００及びアクセスポイント１１０間の暗号キー生成過程は次の通りである。

図６は、本発明の実施形態による暗号キー生成過程を概略に示している。本発明の実施形態において、キー管理装置１２０は、アクセスポイント１１０が認証機関として発給した第１認証書及び自身の認証書である第２認証書と秘密キーを有し、アクセスポイント１１０は、認証機関としての認証書である第１認証書及び自身の認証書である第３認証書と秘密キーを有する場合を説明する。

図示のように、まず、キー管理装置１２０が無線ネットワーク装置２００に第１認証書を送信する（Ｓ１１１）。本発明の実施形態によるアクセスポイント１１０が認証機関の役割（例えば、認証書の発給及び廃棄、秘密キー発給など）と無線ネットワーク装置１２０との認証を行う認証サーバの役割を行い、第１認証書は、認証機関としてのルート認証書であり得る。したがって、無線ネットワーク装置２００は、第１認証書を受信することによって、アクセスポイント１１０から発給されたすべての認証書を検証し得る公開キーを保有することができる。

その後、無線ネットワーク装置１１２は、第１乱数を生成し、生成された第１乱数をアクセスポイント１１０に送信する（Ｓ１１３）。このとき、第１乱数を受信したアクセスポイント１１０は、第２乱数を生成し（Ｓ１１４）、生成された第２乱数と認証サーバとしての認証書である第３認証書を無線ネットワーク装置２００に送信する（Ｓ１１５）。

このとき、無線ネットワーク装置２００は、第１認証書に含まれた公開キーで受信された第３認証書を検証する（Ｓ１１６）。第３認証書に対する検証が完了すれば、無線ネットワーク装置２００は、第１乱数、第２乱数、第３認証書、それまでアクセスポイント１１０と送受信したすべてのメッセージを集めたメッセージのハッシュ値及び自身のＭＡＣアドレスをキー管理装置１２０に送信する。（Ｓ１１７）。このとき、送信される第１乱数及び第２乱数はキー管理装置１２０で暗号キーを生成するために用いられ、第３認証書は生成された暗号キーを暗号化するために用いられ、ハッシュ値はアクセスポイント１１０との認証のために用いられ、ＭＡＣアドレスは無線ネットワーク装置２００が無線ネットワーク１００から接続解除する場合、接続解除処理のために用いられる。

キー管理装置１２０は、受信されたＭＡＣアドレスを格納し（Ｓ１１８）、受信された第１乱数及び第２乱数と所定の第３乱数によって暗号キーを生成する（Ｓ１１９）。

また、キー管理装置１２０は、無線ネットワーク装置２００から受信したハッシュ値に格納部１２２に格納されたキー管理装置１２０の秘密キーで電子署名をし、第１乱数、第２乱数を用いて生成された暗号キーを第３認証書に含まれたアクセスポイント１１０の公開キーで暗号化する（Ｓ１２０）。その後、電子署名されたハッシュ値と暗号化された暗号キーを自身の認証書である第２認証書とともに無線ネットワーク装置２００に送信する（Ｓ１２１）。このとき、第２認証書は、前記無線ネットワーク装置２００に第１認証書を送信するステップ（Ｓ１１１）でともに送信し得る。

その後、無線ネットワーク装置２００は、電子署名されたハッシュ値と暗号化された暗号キー及び第２認証書をアクセスポイント１１０に伝送し（Ｓ１２２）、アクセスポイント１１０は、認証機関としての認証書である第１認証書に含まれた公開キーで第２認証書を検証し、自身の秘密キーで暗号化された暗号キーを復号化し、受信した第２認証書に含まれた公開キーで電子署名されたハッシュ値を検証する。

このとき、電子署名されたハッシュ値が検証されれば、無線ネットワーク装置２００の無線ネットワーク１００に対する接続を許可し、復号化して得た暗号キーを用いて、その後の通信に用いられるキーを生成し得、電子署名されたハッシュ値が検証されなければ、無線ネットワーク１００に対する接続を拒否する。

このように、本発明の実施形態による無線ネットワーク装置２００は、アクセスポイント１１０との認証のための秘密キーをキー管理装置１２０が別途に有するため、無線ネットワーク装置２００が無線ネットワーク１００から接続解除してからキー管理装置１２０がない場合には、認証のための秘密キーがないため、無線ネットワーク１００に再接続できなくなる。すなわち、キー管理装置１２０がある場合だけ無線ネットワーク１００に接続可能になる。また、無線ネットワーク装置２００にキー管理装置１２０の秘密キーを与えずに、キー管理装置１２０の内部でだけ秘密キーを用いて認証情報を生成し、無線ネットワーク装置に提供するため、無線ネットワーク装置２００が一時的に無線ネットワーク１００に接続したり、接続及び接続解除が発生する度に認証機関から公開キー対を受けなくても良く、ネットワーク管理者のネットワーク管理がより容易になる。これにより、無線ネットワーク管理者は、固定されたキー管理装置１２０の貸し出し及び回収によって、無線ネットワーク装置２００が無線ネットワーク１００に一時的に接続できるように制御し得る。

また、本発明の実施形態において、第１ないし第３認証書の有効期間は、既存の認証機関で認証書の有効期間を年単位に設定することに対して、日付及び時間単位など多様な単位に設定し得る。また、本発明の実施形態によるアクセスポイント１１０は、無線ネットワーク装置２００が上述した赤外線通信、近距離通信及びブルートゥース通信などの通信方式を支援しない場合、既存のように無線ネットワーク装置２００に直接認証書を発給するようになるが、このとき、無線ネットワーク装置２００が無線ネットワーク１００に接続した後、接続解除する場合、発給された認証書などを廃棄する機能も行うことができる。

図７は、本発明の実施形態による無線ネットワーク装置の接続解除過程を示す図面である。
図示のように、無線ネットワーク１００に接続した無線ネットワーク装置２００が接続解除する場合、ネットワーク管理者は、キー管理装置１２０をアクセスポイント１１０に接続させ、キー管理装置１２０は、接続解除する無線ネットワーク装置２００のＭＡＣアドレスをアクセスポイント１１０に送信する（Ｓ２１１）。

当該無線ネットワーク装置のＭＡＣアドレスを受信したアクセスポイント１１０は、受信されたＭＡＣアドレスと同じＭＡＣアドレスを有する無線ネットワーク装置の接続を解除させる（Ｓ２１２）。

このとき、キー管理装置１２０とアクセスポイント１１０は、互いに制限通信部１２１，１１２によってＭＡＣアドレスを伝送し、伝送されるＭＡＣアドレスが外部から検知されるのを防ぐ。

一方、他の実施形態として、キー管理装置１２０で暗号キーを生成せずに、無線ネットワーク装置２００で暗号キーを生成することもできる。すなわち、キー管理装置１２０が無線ネットワーク装置２００とアクセスポイント１１０との間の認証過程だけに関与し、その後の暗号キーを生成する過程を図１のように無線ネットワーク装置２００とアクセスポイント１１０との間で行うようにするものである。

図８は、本発明の実施形態によるキー管理装置を用いる認証過程を示す図面である。また、図８は図７のように、キー管理装置１２０は、認証機関としてのアクセスポイント１１０が発給した第１認証書及び自身の認証書である第２認証書と秘密キーを有し、アクセスポイント１１０は、認証機関としての第１認証書及び自身の認証書である第３認証書と秘密キーを有する場合を説明する。

図示のように、まず、キー管理装置１２０が第１認証書を無線ネットワーク装置２００に送信する（Ｓ３１１）。これにより、無線ネットワーク装置２００は、第１認証書を受信し、アクセスポイント１１０から発給されたすべての認証書を検証し得る公開キーを保有することができる。

その後、無線ネットワーク装置２００は、第１乱数を生成してアクセスポイントに伝送する（Ｓ３１２）。無線ネットワーク装置２００から第１乱数を受信したアクセスポイント１１０は、第２乱数を生成し（Ｓ３１３）、生成された第２乱数と自身の認証書である第３認証書を無線ネットワーク装置２００に送信する（Ｓ３１４）。このとき、無線ネットワーク装置２００は、第３認証書を検証し、検証に成功した場合（Ｓ３１５）、アクセスポイント１１０から生成された第２乱数、それまで送受信したすべてのメッセージを集めたメッセージのハッシュ値及び自身のＭＡＣアドレスをキー管理装置１２０に送信する（Ｓ３１６）。

キー管理装置１２０は、送信されたＭＡＣアドレスを格納し（Ｓ３１７）、無線ネットワーク装置２００から受信したハッシュ値に自身の秘密キーで電子署名する（Ｓ３１８）。

その後、キー管理装置１２０は、電子署名されたハッシュ値と自身の認証書である第２認証書を無線ネットワーク装置２００に送信する（Ｓ３１９）。

その後、電子署名されたハッシュ値と第２認証書を受信した無線ネットワーク装置２００は、第３乱数を生成し（Ｓ３２０）、自身が生成した第１乱数とアクセスポイント１１０から受信した第２乱数を用いて暗号キーを生成し（Ｓ３２１）、生成された暗号キーをアクセスポイント１１０の公開キーで暗号化する（Ｓ３２２）。

その後、無線ネットワーク装置２００は、キー管理装置１２０から受信した電子署名されたハッシュ値と第２認証書及び無線ネットワーク装置２００でアクセスポイント１１０の公開キーで暗号化した暗号キーをアクセスポイント１１０に送信する（Ｓ３２３）。このとき、アクセスポイント１１０は、第１認証書を保有しているため、第２認証書を検証してキー管理装置１２０の認証書を検証し、自身の秘密キーで暗号化された暗号キーを復号化して暗号キーを得ることができ、電子署名されたハッシュ値を検証することによって、無線ネットワーク装置２００に対して認証する（Ｓ３２４）。

以上、本発明は、上記した実施形態に限定されるものではなく、本発明に係る技術的思想の範囲から逸脱しない範囲内で様々な変更が可能であり、それらも本発明の技術的範囲に属する。

従来技術による暗号キー生成過程を示す図である。本発明の実施形態による無線ネットワークを示す図である。本発明の実施形態によるキー管理装置を示す図である。本発明の実施形態による無線ネットワーク装置を示す図である。本発明の実施形態によるアクセスポイントを示す図である。本発明の実施形態による暗号キー生成過程を示す図である。本発明の実施形態による無線ネットワーク装置の接続解除過程を示す図である。本発明の実施形態による無線ネットワーク装置の認証過程を示す図である。

Claims

無線ネットワークに含まれるキー管理装置であって、
該無線ネットワークには、アクセスポイントが含まれ、
当該キー管理装置は、
当該キー管理装置の公開キー及び秘密キーと、
前記無線ネットワークに接続すべき無線ネットワーク装置から暗号化情報を受信する制限通信部と、
前記制限通信部により受信されるべき暗号化情報によって、前記無線ネットワークで、前記無線ネットワーク装置が無線通信に使用すべき暗号キーを生成する暗号キー生成部と
を有し、
前記無線ネットワーク装置は、当該キー管理装置に、暗号化情報と、前記アクセスポイントとの間で送受信されたメッセージのハッシュ値とを送信し、
前記暗号キー生成部は、前記暗号キーを前記暗号化情報に含まれる前記アクセスポイントの
公開キーで暗号化し、さらに前記ハッシュ値を前記秘密キーにより電子署名し、
前記制限通信部は、前記暗号キー生成部により暗号化した暗号キーと、前記電子署名した前記ハッシュ値と、前記キー管理装置の公開キーとを無線ネットワーク装置に送信し、
前記無線ネットワーク装置は、当該キー管理装置により送信された前記暗号キーと、前記電子署名された前記ハッシュ値と、前記キー管理装置の公開キーとを前記アクセスポイントに送信し、
前記アクセスポイントは、前記無線ネットワーク装置により送信された前記暗号キーを復号し、
前記ハッシュ値を検証し、
前記無線ネットワーク装置は、前記アクセスポイントによる検証結果に応じて、前記無線ネットワークへの接続が許可されることを特徴とするキー管理装置。
前記制限通信部は、前記無線ネットワーク内の無線ネットワーク装置間の通信半径より小さい通信半径を有することを特徴とする請求項１に記載のキー管理装置。
前記制限通信部は、赤外線通信、近距離通信及びブルートゥース通信のうち少なくとも１つの無線通信手段を用いることを特徴とする請求項２に記載のキー管理装置。
前記暗号化情報は、
前記無線ネットワーク装置により生成されるべき第１乱数と、前記アクセスポイントにより生成されるべき第２乱数と、前記アクセスポイントの公開キーと
を含み、
前記暗号キー生成部は、前記第１乱数と、前記第２の乱数に基づいて、暗号キーを生成し、
前記無線ネットワーク装置は、前記第１の乱数を生成し、前記アクセスポイントに、前記第１の乱数を送信し、前記アクセスポイントにより送信されるべき前記第２の乱数と、前記アクセスポイントの公開キーとに基づいて、前記暗号化情報を生成し、当該キー管理装置により送信された前記暗号キーを前記アクセスポイントに送信し、
前記アクセスポイントは、前記第２の乱数を生成し、該第２の乱数と、前記アクセスポイントの公開キーとを前記無線ネットワーク装置に送信することを特徴とする請求項３に記載のキー管理装置。
前記暗号化情報は、
前記無線ネットワーク装置のＭＡＣアドレス
を含み、
当該キー管理装置は、前記ＭＡＣアドレスを格納し、
前記無線ネットワークから前記無線ネットワーク装置の接続を解除する場合に、該当する無線ネットワーク装置のＭＡＣアドレスを前記アクセスポイントに通知し、
前記アクセスポイントは、当該キー管理装置により通知されたＭＡＣアドレスに該当する無線ネットワーク装置の接続を解除することを特徴とする請求項４に記載のキー管理装置。
無線ネットワークに含まれるキー管理装置及びアクセスポイントとの間で無線通信を行う無線ネットワーク装置であって、
前記キー管理装置に、暗号化情報を送信する制限通信部と、
前記アクセスポイントと通信を行う無線通信部と、
前記アクセスポイントとの間で送受信されたメッセージのハッシュ値を生成するハッシュ値生成部と、
前記制限通信部により受信された暗号キーによって前記アクセスポイントと無線通信を行う際に認証を行う認証制御部と、
を含み、
前記制限通信部は、前記キー管理装置に、暗号化情報、及び前記ハッシュ値を送信し、
前記キー管理装置は、前記暗号化情報に基づいて、暗号キーを生成し、該暗号キーを前記暗号化情報に含まれるアクセスポイントの公開キーで暗号化し、前記ハッシュ値を前記キー管理装置の秘密キーにより電子署名し、前記暗号化された暗号キーと、前記電子署名された前記ハッシュ値と、前記キー管理装置の公開キーとを当該無線ネットワーク装置に送信し、
前記無線通信部は、前記キー管理装置により送信された前記暗号化された暗号キーと前記電子署名されたハッシュ値と、前記キー管理装置の公開キーとを前記アクセスポイントに送信し、
前記アクセスポイントは、前記無線通信部により送信された前記暗号キーを復号し、前記ハッシュ値を検証し、
当該無線ネットワーク装置は、前記アクセスポイントによる検証結果に応じて、前記無線ネットワークへの接続が許可されることを特徴とする無線ネットワーク装置。
前記暗号化情報は、
当該無線ネットワーク装置により生成されるべき第１乱数と、
前記アクセスポイントにより生成されるべき第２乱数と、
当該無線ネットワーク装置のＭＡＣアドレスと、
前記アクセスポイントの公開キーと
を含むことを特徴とする請求項６に記載の無線ネットワーク装置。
前記暗号キーは、前記アクセスポイントから前記キー管理装置に発給された前記アクセスポイントの公開キーで暗号化されることを特徴とする請求項７に記載の無線ネットワーク装置。
前記アクセスポイントの公開キーは、前記第２乱数とともに受信されることを特徴とする請求項８に記載の無線ネットワーク装置。
前記制限通信部は、前記無線ネットワーク内の無線ネットワーク装置間の通信半径より小さい通信半径を有することを特徴とする請求項６に記載の無線ネットワーク装置。
前記制限通信部は、赤外線通信、近距離通信及びブルートゥース通信のうち少なくとも１つを用いることを特徴とする請求項１０に記載の無線ネットワーク装置。
無線ネットワークに含まれるアクセスポイントであって、
該無線ネットワークには、キー管理装置が含まれ、
当該アクセスポイントは、
前記無線ネットワークに接続すべき無線ネットワーク装置の認証のための暗号化情報を発給する暗号化情報管理部と、
前記キー管理装置と通信を行う制限通信部と、
無線ネットワーク装置と通信を行う無線通信部と、
前記無線ネットワーク装置の認証を行う認証部と、
前記認証された無線ネットワーク装置と前記暗号キーを用いて通信を行う通信制御部と、
を含み、
前記無線ネットワーク装置は、当該アクセスポイントとの間で送受信されるべきメッセージのハッシュ値を生成し、前記キー管理装置に暗号化情報、及び前記ハッシュ値を送信し、前記キー管理装置により送信されるべき前記暗号キーと、前記電子署名された前記ハッシュ値と、前記キー管理装置の公開キーとを前記アクセスポイントに送信し、
前記キー管理装置は、前記暗号化情報に基づいて、暗号キーを生成し、該暗号キーを前記暗号化情報に含まれるアクセスポイントの公開キーで暗号化し、前記ハッシュ値を前記キー管理装置の秘密キーにより電子署名し、前記暗号化された暗号キーと、前記電子署名された前記ハッシュ値と、前記キー管理装置の公開キーとを前記無線ネットワーク装置に送信し、
前記認証部は、前記無線ネットワーク装置により送信された前記暗号キーを復号し、前記ハッシュ値を検証し、
前記無線ネットワーク装置は、当該アクセスポイントによる検証結果に応じて、前記無線ネットワークへの接続が許可されることを特徴とするアクセスポイント。
前記暗号化情報は、
前記無線ネットワーク装置により生成されるべき第１乱数と、
前記アクセスポイントにより生成されるべき第２乱数と、
前記アクセスポイントの公開キーと、
を含むことを特徴とする請求項１２に記載のアクセスポイント。
前記暗号キーは、前記キー管理装置により前記第１乱数及び前記第２乱数によって生成されることを特徴とする請求項１３に記載のアクセスポイント。
前記制限通信部は、前記キー管理装置から前記無線ネットワーク装置のＭＡＣアドレスを受信することを特徴とする請求項１２に記載のアクセスポイント。
前記制限通信部は、前記無線ネットワーク内の無線ネットワーク装置間の通信半径より小さい通信半径を有することを特徴とする請求項１２に記載のアクセスポイント。
前記制限通信部は、赤外線通信、近距離通信及びブルートゥース通信のうち少なくとも１つの無線通信手段を用いることを特徴とする請求項１６に記載のアクセスポイント。
無線ネットワークに含まれるキー管理装置におけるキー管理方法であって、
該無線ネットワークには、アクセスポイントが含まれ、
当該キー管理装置は、
無線ネットワーク装置から暗号化情報を受信するステップと、
前記暗号化情報を受信するステップにより受信されるべき暗号化情報によって、前記無線ネットワークで、前記無線ネットワーク装置が無線通信に使用すべき暗号キーを生成するステップと、
該暗号キーを生成するステップにより生成された暗号キーを前記無線ネットワーク装置に送信するステップと、
を含み、
前記無線ネットワーク装置は、当該キー管理装置に、暗号化情報と、前記アクセスポイントとの間で送受信されたメッセージのハッシュ値とを送信し、
前記暗号キーを生成するステップでは、前記暗号キーを前記暗号化情報に含まれる前記アクセスポイントの公開キーで暗号化し、さらに前記ハッシュ値を当該キー管理装置の秘密キーにより電子署名し、
前記無線ネットワーク装置に送信するステップでは、前記暗号キーを生成するステップにより暗号化された暗号キーと、前記電子署名した前記ハッシュ値と、当該キー管理装置の公開キーとを無線ネットワーク装置に送信し、
前記無線ネットワーク装置は、当該キー管理装置により送信された前記暗号キーと、前記電子署名された前記ハッシュ値と、前記キー管理装置の公開キーとを前記アクセスポイントに送信し、
前記アクセスポイントは、前記無線ネットワーク装置により送信された前記暗号キーを復号し、
前記ハッシュ値を検証し、
前記無線ネットワーク装置は、前記アクセスポイントによる検証結果に応じて、前記無線ネットワークへの接続が許可されることを特徴とするキー管理方法。
前記暗号化情報を受信するステップは、前記無線ネットワーク内の無線ネットワーク装置間の通信半径より小さい通信半径を有する無線通信手段によって受信するステップを含むことを特徴とする請求項１８に記載のキー管理方法。
前記暗号化情報は、赤外線通信、近距離通信及びブルートゥース通信のうち少なくとも１つの無線通信手段によって受信されることを特徴とする請求項１９に記載のキー管理方法。
前記暗号化情報は、
前記無線ネットワーク装置により生成されるべき第１乱数と、
前記アクセスポイントにより生成されるべき第２乱数と、前記アクセスポイントの公開キーと
を含むことを特徴とする請求項２０に記載のキー管理方法。
前記キー管理装置の秘密キーは、前記アクセスポイントから発給されたものであることを特徴とする請求項２１に記載のキー管理方法。
前記暗号キーを生成するステップは、前記第１乱数、前記第２乱数によって暗号キーを生成し、前記生成された暗号キーを前記秘密キーで暗号化して前記無線ネットワーク装置に送信するステップを含むことを特徴とする請求項２２に記載のキー管理方法。
無線ネットワークに含まれるキー管理装置及びアクセスポイントとの間で無線通信を行う無線ネットワーク装置の通信方法であって、
前記アクセスポイントとの間で送受信された
メッセージのハッシュ値を生成するハッシュ値生成部と、
前記キー管理装置に、暗号化情報を送信するステップと、
前記キー管理装置から前記暗号キーを受信するステップと、
前記暗号キーを受信するステップにより受信された暗号キーを前記アクセスポイントに送信するステップと、
前記暗号キーを受信するステップにより受信された暗号キーによって前記アクセスポイントと無線通信を行う際に認証を行う認証制御ステップと、
前記暗号キーによって無線ネットワークのアクセスポイントと無線通信を行うステップと、
を含み、
前記暗号化情報を送信するステップでは、前記キー管理装置に、暗号化情報、及び前記ハッシュ値を送信し、
前記キー管理装置は、前記暗号化情報に基づいて、暗号キーを生成し、該暗号キーを前記暗号化情報に含まれるアクセスポイントの公開キーで暗号化し、前記ハッシュ値を前記キー管理装置の秘密キーにより電子署名し、前記暗号化された暗号キーと、前記電子署名された前記ハッシュ値と、前記キー管理装置の公開キーとを当該無線ネットワーク装置に送信し、
前記アクセスポイントに送信するステップでは、前記キー管理装置により送信された前記暗号化された暗号キーと前記電子署名されたハッシュ値と、前記キー管理装置の公開キーとを前記アクセスポイントに送信し、
前記アクセスポイントは、前記無線通信部により送信された前記暗号キーを復号し、前記ハッシュ値を検証し、
当該無線ネットワーク装置は、前記アクセスポイントによる検証結果に応じて、前記無線ネットワークへの接続が許可されることを特徴とする無線ネットワーク装置の通信方法。
前記暗号化情報は、
前記無線ネットワーク装置により生成されるべき第１乱数と、
前記アクセスポイントにより生成されるべき第２乱数と、
前記アクセスポイントの第３の認証書と、前記無線ネットワーク装置のＭＡＣアドレスと、
を含むことを特徴とする請求項２４に記載の無線ネットワーク装置の通信方法。
前記暗号キーは、前記アクセスポイントから前記キー管理装置に発給されたアクセスポイントの公開キーにより暗号化されることを特徴とする請求項２５に記載の無線ネットワーク装置の通信方法。
前記アクセスポイントの公開キーは、前記第２乱数とともに受信されることを特徴とする請求項２６に記載の無線ネットワーク装置の通信方法。
前記送信される暗号化情報及び前記受信される暗号キーは、前記無線ネットワーク内の無線ネットワーク装置間の通信半径より小さい通信半径を有する無線通信方法により送受信されることを特徴とする請求項２４に記載の無線ネットワーク装置の通信方法。
前記送信される暗号化情報及び前記受信される暗号キーは、赤外線通信、近距離通信及びブルートゥース通信のうち少なくとも１つの無線通信方法によって送受信されることを特徴とする請求項２８に記載の無線ネットワーク装置の通信方法。
無線ネットワークに含まれるアクセスポイントの通信方法であって、
該無線ネットワークには、キー管理装置が含まれ、
当該アクセスポイントは、
前記無線ネットワークに接続すべき無線ネットワーク装置に暗号化情報を送信するステップと、
前記無線ネットワーク装置から送信された暗号キーを受信するステップと、
前記無線ネットワーク装置の認証を行うステップと、
前記認証を行うステップにより認証された無線ネットワーク装置と前記暗号キーを用いて通信を行うステップと、
を含み、
前記無線ネットワーク装置は、当該アクセスポイントとの間で送受信されるべきメッセージのハッシュ値を生成し、前記キー管理装置に暗号化情報、及び前記ハッシュ値を送信し、
前記キー管理装置は、前記暗号化情報に基づいて、暗号キーを生成し、該暗号キーを前記暗号化情報に含まれるアクセスポイントの公開キーで暗号化し、前記ハッシュ値を前記キー管理装置の秘密キーにより電子署名し、前記暗号化された暗号キーと、前記電子署名された前記ハッシュ値と、前記キー管理装置の公開キーとを前記無線ネットワーク装置に送信し、
前記無線ネットワーク装置は、前記キー管理装置により送信されるべき前記暗号キーと、前記電子署名された前記ハッシュ値と、前記キー管理装置の公開キーとを前記アクセスポイントに送信し、
前記認証を行うステップでは、前記無線ネットワーク装置により送信された前記暗号キーを復号し、前記ハッシュ値を検証し、
前記無線ネットワーク装置は、当該アクセスポイントによる検証結果に応じて、前記無線ネットワークへの接続が許可されることを特徴とするアクセスポイントの通信方法。
前記暗号化情報は、
前記無線ネットワーク装置により生成されるべき第１乱数と、
前記アクセスポイントにより生成されるべき第２乱数と、
前記アクセスポイントの公開キーと、
を含むことを特徴とする請求項３０に記載のアクセスポイントの通信方法。
前記暗号キーは、前記第１乱数及び第２乱数によって生成されることを特徴とする請求項３１に記載のアクセスポイントの通信方法。
前記キー管理装置から前記無線ネットワーク装置のＭＡＣアドレスを受信するステップをさらに含むことを特徴とする請求項３２に記載のアクセスポイントの通信方法。
前記ＭＡＣアドレスは、前記無線ネットワーク内の無線ネットワーク装置間の通信半径より小さい通信半径を有する無線通信方法により送信されることを特徴とする請求項３３に記載のアクセスポイントの通信方法。
前記ＭＡＣアドレスは、赤外線通信、近距離通信及びブルートゥース通信のうち少なくとも１つの無線通信方法によって送受信されることを特徴とする請求項３４に記載のアクセスポイントの通信方法。
前記受信されたＭＡＣアドレスと一致する無線ネットワーク装置を前記無線ネットワークから接続解除させるステップ
をさらに含むことを特徴とする請求項３５に記載のアクセスポイントの通信方法。