トップ :: H 電気 :: H04 電気通信技術




【発明の名称】 無線通信システム、無線基地局装置、無線端末装置、無線通信方法、及びプログラム
【発明者】 【氏名】青木 雅也

【氏名】中村 哲也

【氏名】大西 健司

【氏名】デサイ アナンダ

【氏名】ソン ユイ
【要約】 【課題】無線通信システムにおけるハンドオーバ時の無線端末装置の認証を迅速に行う。

【構成】無線通信システムの無線基地局装置において、所定の鍵を格納する鍵格納手段と、ある無線端末装置からログイン要求を受信した場合に、そのログイン要求を認証装置に送信し、認証装置から認証結果を受信する手段と、前記認証装置による認証が成功である場合に、前記無線端末装置の識別情報を含む情報を前記所定の鍵で暗号化した情報である端末認証情報を当該無線端末装置に送信する手段と、他の無線基地局装置の配下から移動してきた他の無線端末装置から端末認証情報を受信した場合に、当該端末認証情報を前記所定の鍵で復号化し、当該端末認証情報に含まれる情報を用いて前記他の無線端末装置の認証を行い、認証が成功した場合に、前記他の無線端末装置と他の装置との間の通信の中継を行う手段とを備える。
【特許請求の範囲】
【請求項１】
無線端末装置と無線通信を行い、無線端末装置と他の装置との間の通信の中継を行う無線基地局装置を複数備え、更に、当該複数の無線基地局装置とネットワークを介して接続された鍵管理装置を備えた無線通信システムであって、
前記鍵管理装置は、前記複数の無線基地局装置において共通に用いられる所定の鍵を前記複数の無線基地局装置における各無線基地局装置に送信する手段を備え、
前記複数の無線基地局装置における各無線基地局装置は、
前記鍵管理装置から受信した所定の鍵を格納する鍵格納手段と、
ある無線端末装置からログイン要求を受信した場合に、そのログイン要求を認証装置に送信し、認証装置から認証結果を受信する手段と、
前記認証装置による前記無線端末装置の認証が成功である場合に、当該無線端末装置の識別情報を含む情報を前記所定の鍵で暗号化した情報である端末認証情報を当該無線端末装置に送信する手段と、
他の無線基地局装置の配下から移動してきた他の無線端末装置から端末認証情報を受信した場合に、当該端末認証情報を前記所定の鍵で復号化し、当該端末認証情報に含まれる情報を用いて前記他の無線端末装置の認証を行い、認証が成功した場合に、前記他の無線端末装置と他の装置との間の通信の中継を行う手段と
を備えたことを特徴とする無線通信システム。
【請求項２】
前記無線通信システムにおける無線端末装置と無線基地局装置はそれぞれUWB通信インターフェースを備え、無線端末装置と無線基地局装置間でUWB通信を行うことを特徴とする請求項１に記載の無線通信システム。
【請求項３】
前記無線端末装置の識別情報は、当該無線端末装置のMACアドレスであり、前記無線基地局装置は、前記端末認証情報の送信元の無線端末装置のMACアドレスと、前記端末認証情報に含まれるMACアドレスとを比較することにより前記端末認証情報の送信元の無線端末装置の認証を行うことを特徴とする請求項１に記載の無線通信システム。
【請求項４】
前記鍵管理装置は、カウンター情報を各無線基地局装置に定期的に送信し、
各無線基地局装置は、前記端末認証情報にカウンター情報を含め、無線端末装置から受信した端末認証情報に含まれるカウンター情報と、保持している最新のカウンター情報とを比較することにより、端末認証情報の有効性を判定することを特徴とする請求項１に記載の無線通信システム。
【請求項５】
無線端末装置と無線通信を行い、無線端末装置と他の装置との間の通信の中継を行う無線基地局装置であって、
他の無線基地局装置と共通に用いられる所定の鍵を格納する鍵格納手段と、
ある無線端末装置からログイン要求を受信した場合に、そのログイン要求を認証装置に送信し、認証装置から当該無線端末装置の認証結果を受信する手段と、
前記認証装置による認証が成功である場合に、前記無線端末装置の識別情報を含む情報を前記所定の鍵で暗号化した情報である端末認証情報を当該無線端末装置に送信する手段と、
他の無線基地局装置の配下から移動してきた他の無線端末装置から端末認証情報を受信した場合に、当該端末認証情報を前記所定の鍵で復号化し、当該端末認証情報に含まれる情報を用いて前記他の無線端末装置の認証を行い、認証が成功した場合に、前記他の無線端末装置と他の装置との間の通信の中継を行う手段と
を備えたことを特徴とする無線基地局装置。
【請求項６】
無線端末装置と無線通信を行い、無線端末装置と他の装置との間の通信の中継を行う無線基地局装置を複数備えた無線通信システムで使用される無線端末装置であって、
ある無線基地局装置との接続を行うために、ユーザ認証情報を含むログイン要求を送信する手段と、
認証装置による前記ユーザ認証情報に基づく認証結果が成功である場合に、前記無線基地局装置から、前記無線端末装置の識別情報を含む情報を所定の鍵で暗号化した情報である端末認証情報を受信する手段と、
前記無線端末装置が前記無線基地局装置とは別の他の無線基地局装置の配下に移動した場合に、当該他の無線基地局装置との接続を行うために、当該他の無線基地局装置に前記端末認証情報を送信し、当該他の無線基地局装置から前記端末認証情報に基づく認証結果を受信する手段と、
を備えたことを特徴とする無線端末装置。
【請求項７】
無線端末装置と無線通信を行い、無線端末装置と他の装置との間の通信の中継を行う無線基地局装置により実行される無線通信方法であって、
他の無線基地局装置と共通に用いられる所定の鍵を鍵管理装置から受信し、鍵格納手段に格納するステップと、
ある無線端末装置からログイン要求を受信した場合に、そのログイン要求を認証装置に送信し、認証装置から当該無線端末装置の認証結果を受信するステップと、
前記認証装置による認証が成功した場合に、前記無線端末装置の識別情報を含む情報を前記所定の鍵で暗号化した情報である端末認証情報を当該無線端末装置に送信するステップと、
他の無線基地局装置の配下から移動してきた他の無線端末装置から端末認証情報を受信した場合に、当該端末認証情報を前記所定の鍵で復号化し、当該端末認証情報に含まれる情報を用いて前記他の無線端末装置の認証を行い、認証が成功した場合に、前記他の無線端末装置と他の装置との間の通信の中継を行うステップと
を備えたことを特徴とする無線通信方法。
【請求項８】
コンピュータに、無線端末装置と無線通信を行い、無線端末装置と他の装置との間の通信の中継を行う無線基地局装置としての機能を実現させるためのプログラムであって、前記コンピュータを、
ある無線端末装置からログイン要求を受信した場合に、そのログイン要求を認証装置に送信し、認証装置から当該無線端末装置の認証結果を受信する手段、
前記認証装置による認証が成功である場合に、他の無線基地局装置と共通に用いられる所定の鍵を記憶装置から読み出し、前記無線端末装置の識別情報を含む情報を当該所定の鍵で暗号化した情報である端末認証情報を当該無線端末装置に送信する手段、
他の無線基地局装置の配下から移動してきた他の無線端末装置から端末認証情報を受信した場合に、当該端末認証情報を前記所定の鍵で復号化し、当該端末認証情報に含まれる情報を用いて前記他の無線端末装置の認証を行い、認証が成功した場合に、前記他の無線端末装置と他の装置との間の通信の中継を行う手段、
として機能させるためのプログラム。
【請求項９】
コンピュータに、無線端末装置と無線通信を行い、無線端末装置と他の装置との間の通信の中継を行う無線基地局装置を複数備えた無線通信システムで使用される無線端末装置としての機能を実現させるためのプログラムであって、前記コンピュータを、
ある無線基地局装置との接続を行うために、ユーザ認証情報を含むログイン要求を送信する手段、
認証装置による前記ユーザ認証情報に基づく認証結果が成功である場合に、前記無線基地局装置から、前記無線端末装置の識別情報を含む情報を所定の鍵で暗号化した情報である端末認証情報を受信する手段、
前記コンピュータが前記無線基地局装置とは別の他の無線基地局装置の配下に移動した場合に、当該他の無線基地局装置との接続を行うために、当該他の無線基地局装置に前記端末認証情報を送信し、当該他の無線基地局装置から前記端末認証情報に基づく認証結果を受信する手段、
として機能させるためのプログラム。
【発明の詳細な説明】【技術分野】
【０００１】
本発明は、複数の無線アクセスポイントを備えた無線通信システムにおけるハンドオーバ技術に関するものである。
【背景技術】
【０００２】
昨今、オフィス環境下において、VoIP（Voice over IP）技術を用いたIP電話が普及している。現在、IP電話を利用するための端末装置としては、有線による固定型の端末装置と、無線による携帯型の端末装置の２種類が存在する。ユーザの利便性を考えたとき、携帯型の端末装置のほうが、移動できずに物理的制約のある有線に比べ、より利便性が高い。
【０００３】
現在のところ、オフィス環境におけるVoIP技術を用いた無線IP電話を実現するための無線通信インフラとしては、無線LAN（IEEE802. 11a/b/g）が利用可能である。無線LANの通信可能範囲は約20〜30メートルであり、伝送速度は約百kbps〜数Mbpsである。また、端末装置を認証する仕組みとして、IEEE802.1Xなどのプロトコルを用いてネットワーク側に存在する認証サーバで端末認証を行う仕組みが広く利用されている。
【０００４】
なお、無線LAN通信システムにおけるハンドオーバに関する従来技術として、例えば特許文献１に記載された技術がある。
【特許文献１】特開２００５−２２３７５３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来の無線LANをインフラに用いてVoIP技術による無線IP電話を実現するためには、高い移動性を考慮しなければならない。通常の携帯電話と同様に、無線IP電話でも通話しながら広い範囲でユーザが移動するからである。
【０００６】
環境によっても異なるが、一般的に、１台の無線アクセスポイントがカバーできる範囲は室内の802.11b/11Mbpsで半径23m程度である。また、オフィスの形状や壁の配置などの条件によってはさらに狭い範囲しかカバーできない。
【０００７】
つまり、ほとんどのオフィス環境では複数の無線アクセスポイントの設置が必要であり、ユーザが無線アクセスポイント間を移動することによってハンドオーバが発生する。PCなどのデータ端末ではハンドオーバに２〜３秒かかっても特に問題がない場合が多いが、音声の無線IP電話では、ハンドオーバに１秒以上かかると完全な音切れとなり、好ましくない。
【０００８】
しかし、現在の通常の無線LANにおけるハンドオーバでは、接続する無線アクセスポイントの切替の際の端末装置の再認証時に、バックエンドの認証サーバ（RADIUSサーバなど）へのアクセスが必要であるため、ハンドオーバに時間がかかり、無線IP電話の音切れなくハンドオーバを行うことは困難である。
【０００９】
特許文献１には、簡易な方法で移動端末の移動予測を行い、移動予測の結果をネットワーク側から移動端末に伝えることにより、ハンドオーバ処理をスムーズに行う技術が記載されているが、ハンドオーバ時に移動端末の認証を行なう場合にその認証を迅速に行うことについての記載はない。
【００１０】
本発明は上記の点に鑑みてなされたものであり、無線通信システムにおけるハンドオーバ時の無線端末装置の認証を迅速に行う技術を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記の課題は、無線端末装置と無線通信を行い、無線端末装置と他の装置との間の通信の中継を行う無線基地局装置を複数備え、更に、当該複数の無線基地局装置とネットワークを介して接続された鍵管理装置を備えた無線通信システムであって、前記鍵管理装置は、前記複数の無線基地局装置において共通に用いられる所定の鍵を前記複数の無線基地局装置における各無線基地局装置に送信する手段を備え、前記複数の無線基地局装置における各無線基地局装置は、前記鍵管理装置から受信した所定の鍵を格納する鍵格納手段と、ある無線端末装置からログイン要求を受信した場合に、そのログイン要求を認証装置に送信し、認証装置から認証結果を受信する手段と、前記認証装置による前記無線端末装置の認証が成功である場合に、当該無線端末装置の識別情報を含む情報を前記所定の鍵で暗号化した情報である端末認証情報を当該無線端末装置に送信する手段と、他の無線基地局装置の配下から移動してきた他の無線端末装置から端末認証情報を受信した場合に、当該端末認証情報を前記所定の鍵で復号化し、当該端末認証情報に含まれる情報を用いて前記他の無線端末装置の認証を行い、認証が成功した場合に、前記他の無線端末装置と他の装置との間の通信の中継を行う手段とを備えたことを特徴とする無線通信システムにより解決できる。
【００１２】
前記無線通信システムにおける無線端末装置と無線基地局装置はそれぞれUWB通信インターフェースを備え、無線端末装置と無線基地局装置間でUWB通信を行うこととしてもよい。
【００１３】
また、前記無線端末装置の識別情報は、当該無線端末装置のMACアドレスであり、前記無線基地局装置は、前記端末認証情報の送信元の無線端末装置のMACアドレスと、前記端末認証情報に含まれるMACアドレスとを比較することにより前記端末認証情報の送信元の無線端末装置の認証を行うように構成してもよい。
【００１４】
また、前記鍵管理装置は、カウンター情報を各無線基地局装置に定期的に送信し、各無線基地局装置は、前記端末認証情報にカウンター情報を含め、無線端末装置から受信した端末認証情報に含まれるカウンター情報と、保持している最新のカウンター情報とを比較することにより、端末認証情報の有効性を判定することとしてもよい。
【００１５】
また、本発明は、無線端末装置と無線通信を行い、無線端末装置と他の装置との間の通信の中継を行う無線基地局装置であって、他の無線基地局装置と共通に用いられる所定の鍵を格納する鍵格納手段と、ある無線端末装置からログイン要求を受信した場合に、そのログイン要求を認証装置に送信し、認証装置から当該無線端末装置の認証結果を受信する手段と、前記認証装置による認証が成功である場合に、前記無線端末装置の識別情報を含む情報を前記所定の鍵で暗号化した情報である端末認証情報を当該無線端末装置に送信する手段と、他の無線基地局装置の配下から移動してきた他の無線端末装置から端末認証情報を受信した場合に、当該端末認証情報を前記所定の鍵で復号化し、当該端末認証情報に含まれる情報を用いて前記他の無線端末装置の認証を行い、認証が成功した場合に、前記他の無線端末装置と他の装置との間の通信の中継を行う手段とを備えたことを特徴とする無線基地局装置として構成してもよい。
【００１６】
また、本発明は、無線端末装置と無線通信を行い、無線端末装置と他の装置との間の通信の中継を行う無線基地局装置を複数備えた無線通信システムで使用される無線端末装置であって、ある無線基地局装置との接続を行うために、ユーザ認証情報を含むログイン要求を送信する手段と、認証装置による前記ユーザ認証情報に基づく認証結果が成功である場合に、前記無線基地局装置から、前記無線端末装置の識別情報を含む情報を所定の鍵で暗号化した情報である端末認証情報を受信する手段と、
前記無線端末装置が前記無線基地局装置とは別の他の無線基地局装置の配下に移動した場合に、当該他の無線基地局装置との接続を行うために、当該他の無線基地局装置に前記端末認証情報を送信し、当該他の無線基地局装置から前記端末認証情報に基づく認証結果を受信する手段と、を備えたことを特徴とする無線端末装置として構成することもできる。
【発明の効果】
【００１７】
本発明によれば、無線通信システムにおけるハンドオーバ時の無線端末装置の認証を迅速に行うことが可能となり、ハンドオーバを高速化できる。
【発明を実施するための最良の形態】
【００１８】
以下、図面を参照して本発明の実施の形態について説明する。
【００１９】
（システム概要）
図１に、本発明の実施の形態における無線通信システムを示す。図１に示すように、複数の無線アクセスポイント（AP）とキーサーバ４とがネットワーク６で接続される構成をとる。また、無線アクセスポイント１配下のエリアには、無線アクセスポイント１と無線通信を行う無線端末装置５が存在し、無線端末装置５はエリア間を適宜移動するものとする。
【００２０】
キーサーバ４は、各無線アクセスポイントに対して鍵情報やカウンター情報を配布する機能を備えている。また、本実施の形態では、キーサーバ４はユーザ認証機能も備えているものとするが、ユーザ認証を行う装置としてキーサーバ４以外の認証装置を用いることとしてもよい。
【００２１】
各無線アクセスポイントは、無線LANのアクセスポイントとしての一般的な機能の他、キーサーバ４から配布された鍵情報を用いて暗号化したクッキー（Cookie）を生成し、ユーザ認証に成功した無線端末装置にその暗号化クッキーを配布する機能、及び、ハンドオーバ時に無線端末装置から受信した暗号化クッキーに基づき当該無線端末装置を認証する機能を備えている。なお、以下の説明では、無線アクセスポイントをホストサーバ（Host server）と呼ぶことにする。
【００２２】
また、本発明に係るハンドオーバの方式は無線通信方式の種類を問わず適用可能であり、無線端末装置の無線通信方式としてはどのようなものでも用いることができるが、本実施の形態では無線端末装置としてUWB（Ultra Wide Band）端末を用いることとする。また、ホストサーバもUWBインターフェース機能を備えているものとする。
【００２３】
UWBでは、データを１GHｚ以上の極めて広い周波数帯に拡散して送受信を行うことで、数十Mbpsを超える通信速度を確保することが可能である。また、それぞれの周波数帯における信号強度はノイズ程度の強さしかなく、機器の消費電力も少ない。UWBを用いることによる効果については後述する。
【００２４】
なお、本明細書において、特に指定していない限り、“無線LAN”の用語は広い意味で使用しており、無線通信端末とホストサーバ間で無線通信によるネットワーク（いわゆるPAN（パーソナルエリアネットワーク）を含む）を構成できる全ての方式を含む。
【００２５】
次に、本実施の形態における無線通信システムの主要な動作を図２、３のシーケンスチャートを参照して説明する。この動作の前提として、各ホストサーバは、キーサーバから配布された鍵情報（ホストキー（HK）、カウンター）を保持しているものとする。また、各フローは、無線LANのMAC層でのメッセージ（フレーム）の送受信を示している。
【００２６】
まず、無線端末装置５が最初にホストサーバ１に接続する場合の処理を図２を参照して説明する。
【００２７】
無線端末装置５は、ユーザ名、パスワード、端末識別子（自分のMACアドレス）を含むログイン要求メッセージをホストサーバ１に送信する（ステップ１）。ログイン要求メッセージを受信したホストサーバ１は、当該ログイン要求メッセージをキーサーバ４に送信する（ステップ２）。キーサーバ４は、ログイン要求メッセージに含まれるユーザ名とパスワードを用いてユーザ認証を行い（ステップ３）、認証に成功した場合に、ACKメッセージをホストサーバ１に送る（ステップ４）。そして、ホストサーバ１は、接続キー（CK)とホストサーバ識別子（HID)を含むログイン確認メッセージを無線端末装置５に送信する（ステップ５）。なお、接続キーは、次に行われる４ウェイハンドシェークで用いられると共に、ホストサーバ１との接続後におけるホストサーバ１との暗号化通信にも用いられる鍵である。
【００２８】
その後、例えばWiMedia Allianceで規格化されている４ウェイハンドシェークを行った後（ステップ６）、ホストサーバ１は、キーサーバ４からホストサーバ１に配布されているホストキー（HK）で暗号化したクッキーを含むメッセージを無線端末装置５に送信する（ステップ７）。クッキーは端末識別子、接続キー、及びカウンターを含むものである。無線端末装置５は暗号化されたクッキーをメモリ等の記憶手段に格納する。
【００２９】
上記の処理により、無線端末装置５とホストサーバ１との接続が確立した状態になり、無線端末装置５は、ホストサーバ１を介して他の装置との通信を行うことが可能となる。
【００３０】
次に、無線端末装置５がホストサーバ２のエリアに移動する際のハンドオーバ動作について図３を参照して説明する。
【００３１】
無線端末装置５がホストサーバ２配下に移動した場合、無線端末装置５は、自分自身が暗号化されたクッキーを保持していることを確認し、その暗号化されたクッキーを含むメッセージをホストサーバ２に送信する（ステップ１１）。ホストサーバ２は、クッキーが正当であるかどうかを検証することにより、無線端末装置５の認証を行う（ステップ１２）。
【００３２】
より詳細には、ホストサーバ２は、ホストキーを用いて暗号化されたクッキーを復号化し、クッキーに含まれている端末識別子とカウンターを取り出す。そしてクッキーから取り出した端末識別子が、クッキー送信元無線端末装置５のMACアドレスと一致するかどうか、また、カウンターの値が最新のカウンターの値より古くないかどうかなどの条件をチェックし、条件を満たした場合に、無線端末装置５が正当であると判断する。なお、条件を満たさない場合の動作については後の各装置の詳細動作説明において説明する。
【００３３】
そして、ホストサーバ２は、認証が成功したことを示すACKメッセージを無線端末装置５に送信する（ステップ１３）。これにより、無線端末装置５はホストサーバ２と接続され、ホストサーバ２を介して他の装置との通信を継続できる。
【００３４】
上記のように、無線端末装置５に格納された暗号化されたクッキーを用いて、ホストサーバがハンドオーバ時の認証を行うので、従来のようにハンドオーバ時に認証サーバやスイッチにアクセスすることがなくなり、認証にかかる時間を削減でき、IP電話使用時における音切れを防止できる。
【００３５】
（装置の詳細構成）
次に、本実施の形態の無線通信システムを構成する各装置についてより詳細に説明する。図４に、各装置の機能構成を示す。なお、図４は、本発明に関連する機能部を主に示しており、各装置は、無線LAN通信、及びデータ通信を実現するための機能や情報を適宜有していることはいうまでもない。
【００３６】
図４に示すように、無線端末装置５は、データ受信部５１、データ送信部５２、クッキー保存DB５３、及びハンドオーバ処理部５４を備えている。
【００３７】
データ受信部５１及びデータ送信部５２は、UWBのネットワークインタフェースを実装している。データ受信部５１はUWBによりホストサーバ１からのデータの受信を行う機能を有する。データ送信部５２はUWBによりホストサーバ５へデータを送信する機能を有する。また、クッキー保存DB５３は、ホストサーバ５から送信された暗号化されたクッキーを保存する。ハンドオーバ処理部５４は、ホストサーバ５から受信したメッセージの種類により、次に行う処理を決定する機能を有する。
【００３８】
ホストサーバ１は、データ受信部１１、データ送信部１２、データ転送部１３、ホストキー保存DB１４、データ処理部１５、及びクッキー処理部１６を備えている。
【００３９】
データ受信部１１は、無線端末装置５から送信されたデータを受信する機能を有し、データ送信部１２は、無線端末装置５にデータを送信する機能を有する。また、データ受信部１１とデータ送信部１２はともにUWBのネットワークインタフェース機能を有している。
【００４０】
ホストキー保存DB１４は、キーサーバ４から受信したホストキーやカウンターなどのホストキー関連情報を格納するものである。
【００４１】
データ転送部１３は、データ受信部１１で受信した無線端末装置５からのユーザ認証要求（ログイン要求）をキーサーバ４に転送する機能、データ処理部１５からのホストキー要求をキーサーバ４に転送する機能、キーサーバ４からのユーザ認証結果を受信し、無線端末装置５に送信するためにデータ送信部１２に転送する機能、キーサーバ４からのホストキー関連情報を受信し、データ処理部１５に転送する機能などを有している。また、データ転送部１３は、無線端末装置５との接続後における無線端末装置５と他の装置との通信を中継する機能も有している。
【００４２】
また、データ処理部１５は、ホストサーバ１の初期化時にホストキーを要求し、ホストキー要求をデータ転送部１３に送信する機能、キーサーバ４からのホストキー関連情報をデータ転送部１３経由で受信し、ホストキー保存DB１４に保存する機能、データ受信部１１経由で受信した無線端末装置５からのハンドオーバ要求に含まれる暗号化されたクッキーを、ホストキー保存DB１４に保存されたホストキーを用いて復号する機能、クッキー処理部１６で生成されたクッキーを、ホストキーを用いて暗号化し、データ送信部１２に転送する機能、クッキー処理要求（認証、生成）をクッキー処理部１６に送信する機能などを有している。
【００４３】
クッキー処理部１６は、データ処理部１５からクッキー処理要求(認証、生成)を受け、クッキー処理要求に応じた処理を行い、処理結果をデータ処理部１５に通知する機能を有している。
【００４４】
キーサーバ４は、データ受信部４１、データ送信部４２、ホストキー処理部４３、ユーザ認証部４４、ホストデータ保存DB４５、及びユーザデータ保存DB４６を備えている。
【００４５】
データ受信部４１は、ホストサーバ１からのデータを受信し、そのデータがユーザ認証要求（ログイン要求）ならば、それをユーザ認証部４４に転送し、ホストキー要求であればホストキー処理部４３へ転送する機能を有する。データ送信部４２は、ユーザ認証部４４もしくはホストキー処理部４３からのデータをホストサーバ１へ送信する機能を有している。
【００４６】
ホストキー処理部４３は、ホストサーバ１からの登録要求に対し、ホストキー関連情報(ホストキー, カウンターなど)を発行し、同時に、発行したホストキー関連情報をホストデータ保存DB４５に登録する機能、一定間隔毎にカウンターを更新し、データ送信部４２経由でホストサーバ１に送信する機能を有している。
【００４７】
ユーザ認証部４４は、ユーザ認証要求に対し、ユーザデータ保存DB４６の中のユーザ情報を参照してユーザ認証を行い、認証結果をデータ送信部４２へ返す機能を有している。
【００４８】
上記の各装置は、CPU、記憶装置、通信装置などを備えたコンピュータとしての構成を持つ装置に、各装置が実行すべき処理に対応するプログラムを搭載することにより実現可能である。また、各装置は専用のハードウェアで構成することも可能である。なお、各装置の内部構成は図４に記載されたものに限定されるものではなく、以下で説明する動作を実現できる構成であればどのような構成でもよい。
【００４９】
（各装置の動作）
以下、本実施の形態における各装置の動作の詳細をフローチャートを参照して説明する。なお、各装置の動作においては図５、図６に示すメッセージの送受信がなされる。これらのメッセージのフォーマットを図７〜図９に示し、処理フローの説明の中で適宜参照する。
【００５０】
最初に、図１０を参照して、無線端末装置の認証を行う際のホストサーバの動作を説明する。
【００５１】
まず、ステップ２１において、ホストサーバは無線端末装置から認証要求メッセージを受信する。認証要求メッセージとしては、図７(a)に示すメッセージ１（ログイン要求メッセージ）と図８(h)に示すメッセージ４ｃ（ハンドオーバ要求メッセージ）の場合がある。
【００５２】
図７(a)に示すように、メッセージ１は、ユーザ名（user）、パスワード（pwd）、無線端末装置識別子（DID：無線端末装置のMACアドレス）を含む。なお、headerにはメッセージの種類を示す情報などが含まれる。図８(h)に示すように、メッセージ４ｃは、暗号化されたクッキー（CKI）とMIC（Message Integrity Check：CKIのMD5によるハッシュ値）を含み、クッキーは無線端末装置識別子（DID)、接続キー（CK）、及びカウンター（CTR)を含む。
【００５３】
図１０のフローチャートにおいて、ホストサーバが無線端末装置からメッセージ１を受信した場合、ホストサーバはユーザ認証情報送受信処理を行う（ステップ２３）。ここでは、ホストサーバが、メッセージ１をユーザ認証を行うキーサーバに送信し、キーサーバからのユーザ認証結果を受信する。そして、ユーザ認証が成功である場合、ホストサーバは図７(b)に示すメッセージ２（ログイン確認メッセージ）を無線端末装置に送信する。図７(b)に示すように、メッセージ２は状態（status）、接続キー（CK)、ホスト識別子（HID)を含む。接続キーは、無線端末装置とホストサーバ間のコネクションを確立するためのキーであり、ホストサーバにより生成されるものである。また、接続キーは４ウェイハンドシェークでも用いられる。
【００５４】
続いて、図１０のステップ２４において、４ウェイハンドシェークが行われる。ここでは、図７に示すメッセージ３ａが無線端末装置からホストサーバに送信され、メッセージ３ｂがホストサーバから無線端末装置に送信され、更に、メッセージ３ｃが無線端末装置からホストサーバに送信され、メッセージ３ｄがホストサーバから無線端末装置に送信される。
【００５５】
４ウェイハンドシェークの後、ホストサーバはメッセージ４ｂを無線端末装置に送信する（ステップ２５）。図８(g)に示すように、メッセージ４ｂは、ホストキーで暗号化されたクッキーとMICを含む。これにより、暗号化されたクッキーが無線端末装置に格納されることになる。なお、メッセージ４ｂで送信するクッキーは、予めキーサーバから配布されているHKを用いてホストサーバが送信前に暗号化する。
【００５６】
図１０のステップ２１において、ホストサーバがメッセージ４ｃ（ローミング要求メッセージ）を受信した場合（ステップ２２のNo)、ホストサーバはクッキーの有効性の判定を行う（ステップ２６）。ここでは、まずクッキー（CKI )をホストキー（HK)を用いて復号する。クッキー（CKI)を正常に復号できれば、クッキー（CKI )に含まれている無線端末装置識別子（DID）とカウンター（CTR）を取り出し、無線端末装置識別子（DID）が送信元の無線端末装置のMACアドレスと一致するかどうかをを確認する。一致すればクッキーは有効であると判定する。
【００５７】
クッキー（CKI )をホストキー（HK)を用いて復号できない場合、もしくは、無線端末装置識別子（DID）が送信元の無線端末装置のMACアドレスと一致しない場合、当該クッキーは無効と判断し（ステップ２６のNo)、無線端末装置に対し、メッセージ４ｄを、status をNACKとして返信する（ステップ２７）。その後は、ステップ２３〜２５の処理が行われる。なお、メッセージ４ｄは図８（i）に示すとおりであり、status（ACK又はNACK）によりクッキー認証が成功したかどうかを無線端末装置に通知するものである。
【００５８】
図１０のステップ２６において、クッキーが有効であると判定された場合、次にホストサーバはカウンター（CTR）値が正常か否かの判定を行う。ここでは、クッキー（CKI）から取り出したカウンター（CTR）の値と、キーサーバから通知されている最新のカウンター値とを比較し、例えばクッキー（CKI）から取り出したカウンター（CTR）値が最新のカウンター値から２以上離れている場合は、当該クッキーは古いものであると判断し、無効化して、４ウェイハンドシェークのメッセージ３ａを無線端末装置に送信する。４ウェイハンドシェークが完了すると、ホストサーバは、新しいクッキーを発行し、メッセージ４ｂで無線端末装置に送信する（ステップ２８のNo、ステップ２４、２５）。
【００５９】
クッキー（CKI）から取り出したカウンター（CTR）の値と、キーサーバから通知されている最新のカウンター値とが同じ、もしくは１つしか違わない場合（ステップ２８のYes)は、当該クッキーは十分新しいと判断し、有効であるとみなし、status をACK としたメッセージ４ｄを無線端末装置に送信する（ステップ２９）。
【００６０】
次に、図１１のフローチャートを参照して無線端末装置の動作を説明する。無線端末装置が通信を行うためにホストサーバに接続するにあたり、まず、無線端末装置自身がクッキー（CKI）を保持しているかどうかを判断する。クッキー（CKI）を保持していなければ初めての接続であり、クッキー（CKI）を保持していれば当該接続はハンドオーバのための接続である。
【００６１】
ステップ３１において、クッキー（CKI）を保持していないと判断した場合（Noの場合）、キーサーバを用いたユーザ認証、４ウェイハンドシェーク、及びクッキーの受信（ステップ３２〜ステップ３４）が行われる。すなわち、メッセージ１（ログイン要求メッセージ）を送信することにより認証要求を行い、認証が成功した場合に、４ウェイハンドシェークをホストサーバとの間で行う。そして、ホストサーバから暗号化されたクッキー（CKI）を受信し、記憶手段に格納する。
【００６２】
ステップ３１においてクッキー（CKI）を保持している場合（Yesの場合）、保持しているクッキー（CKI）を含めたメッセージ４ｃ（ローミング要求メッセージ）をホストサーバに送信する（ステップ３５）。その後、図１０を参照して説明したようにホストサーバにおいてクッキーの有効性の判定が行われ、ホストサーバからメッセージ４ｃに対する返答を受信する（ステップ３６）。図１０を参照して説明したように、返答としては、メッセージ４ｄ又はメッセージ３ａの場合がある。
【００６３】
返答としてメッセージ３ａを受信する場合は（ステップ３７のNo）、そこから４ウェイハンドシェークが開始され、新たなクッキー（CKI)を受信する（ステップ３３、３４）。新たなクッキー（CKI)を受信した場合は、既にあるクッキー（CKI)を削除し、新たなクッキー（CKI)を有効なものとして格納するものとする。
【００６４】
返答としてメッセージ４ｄを受信する場合（ステップ３７のYes）、メッセージ４ｄのstatus （ACK又はNACK）を確認する。ACKの場合は（ステップ３８のYes）、クッキー（CKI)が有効であるとホストサーバに判断されたことになり、ハンドオーバが成功し、認証サーバ（キーサーバ）を用いた再認証の必要なく、切替え後のホストサーバを介して他の装置との通信を継続できる。
【００６５】
statusがNACKであった場合は（ステップ３８のNo）、ホストサーバから当該クッキー（CKI)が無効と判断されたことになるので、キーサーバを用いたユーザ認証に戻り、ステップ３２〜ステップ３４の処理を行う。つまり、ユーザ認証及び４ウェイハンドシェイクが完了すると、ホストサーバは無線端末装置に対して新たなクッキー（CKI)を発行するので、無線端末装置は新しいクッキー（CKI)をメッセージ４ｂで受信し、保存することになる。
【００６６】
次に、図１２を参照してキーサーバの動作について説明する。キーサーバは、一定間隔毎(例えば30分毎)に、カウンター(CTR)を更新し、更新したカウンターを全てのホストサーバに対して再送している。
【００６７】
ステップ４１において、この更新間隔が経過したかどうかを確認し、経過した場合はこの再送処理を行う（ステップ４２）。このときのメッセージは図９(c)に示すアップデートメッセージであり、カウンターとMICを含む。アップデートメッセージを受信したホストサーバは、受信確認メッセージ（図９(d)）をキーサーバに送信し、キーサーバをそれを受信する（ステップ４３）。
【００６８】
さて、ホストサーバは、その起動時等に、初期化動作の一つとして、クッキーの暗号化／復号化を行うためのホストキーをキーサーバに要求する。キーサーバは、キーサーバ要求のメッセージ（初期化要求メッセージ）をホストサーバから受信すると（ステップ４４）、ホストキーとカウンターを含む初期化応答メッセージをホストサーバに返し（ステップ４５）、ホストサーバは受信確認メッセージをキーサーバに返す（ステップ４６）。これらのメッセージの構成は図９(a)(b)(d)に示すとおりである。
【００６９】
なお、ホストサーバは、キーサーバから更新後のカウンターを受信したときに、接続している無線端末装置のクッキーを更新し、接続している無線端末装置に配布することとしてもよい。
【００７０】
次に、図１３を参照して、キーサーバによるユーザ認証動作について説明する。キーサーバが、無線端末装置から送信されたメッセージ１（ユーザ認証要求メッセージ）をホストサーバを介して受信すると（ステップ５１）、メッセージ１に含まれるユーザ名とパスワードを登録情報と比較することによりユーザ認証を行う（ステップ５２）。ユーザ名とパスワードが登録情報と一致すれば、認証成功を示すメッセージ（ACK)をホストサーバに送信する（ステップ５３）。そして、ホストサーバはメッセージ２を無線端末装置に送信し、その後、４ウェイハンドシェークが行われることになる。ステップ５２において、ユーザ名とパスワードが登録情報と一致しない場合、認証失敗を示すメッセージ（NACK)をホストサーバを介して無線端末装置に送信する（ステップ５４）。
【００７１】
（UWBを用いることによる効果について）
本発明によれば無線端末装置とホストサーバ（無線アクセスポイント：AP）間の無線通信方式の種類に関わらずハンドオーバを高速化できるという効果を奏するが、無線通信方式としてUWBを用いることにより更なる効果が得られるので、以下、UWBを用いることにより得られる効果について説明する。
【００７２】
ハンドオーバを高速化するためには、これまでに説明したようなネットワークシステム側の高速化だけでなく、無線端末装置側の処理も高速化することが望ましい。しかし、処理を高速化するということは、それだけ無線端末装置が電力を消費することになり、電池の持続時間が短くなり、ユーザの利便性を損なう可能性がある。。
【００７３】
また、不正ユーザのアタック、特に検出が困難ななりすましに対する対策が求められている。無線端末装置のなりすましに対する対策としては、APと端末間の全てのデータを暗号化することや、接続、ハンドオーバの度に認証を行うことが従来から行われている。しかし、例えば、正規のAPと同じESSIDを用いたなりすましAPを設置する不正アクセスに対する問題は残っている。
【００７４】
すなわち、IEEE802. 11a/b/gなどの通常の無線LANクライアント（無線端末装置）では、同じESSIDを持つAPが複数存在した場合、受信感度の良いAPとの接続を試みる。実際に接続できてしまえば、無線LANクライアントはどのAPと接続しているか意識していないため、なりすましを検知することは困難である。このなりすなしにより、接続してきたクライアントから、ユーザ情報が漏洩する危険性がある。また、APと無線端末装置間の通信における盗聴についても、データがたとえ暗号化されていたとしても、未然に防ぐことが望ましい。
【００７５】
UWBを用いることにより、上記の問題を解決することができる。
【００７６】
まず、前述したように、UWBを用いることにより、IEEE802. 11a/b/gなどの通常の無線LANを利用する場合に比べて、通信のための消費電力を格段に軽減でき、ハンドオーバ時の端末側の高速化処理に消費電力を割いたとしても、電池の持続時間の減少という問題を回避できる。
【００７７】
また、そもそもなりすましAPや盗聴などの不正アクセスを行うには、端末から到達可能な物理的位置に不正APを配置し、端末からアクセスさせることが必要となる。ところが前述のように、UWBは通信距離が短く、また高周波帯域を用いていることにより、壁などに対する透過性も低いことから、オフィス内で不正APを配置し、端末からアクセスさせることは困難である。また、UWBは、通常の無線LANと異なりユーザクライアントが自動的にスキャンしてAPにアソシエイトすることはないので、未然に情報の流出を防ぐことが可能になる。すなわち、無線通信方式としてUWBを利用することにより、なりすましや盗聴などからの防御が可能になり、物理的セキュリティが向上する。
【００７８】
なお、UWBでは通信距離が短いので、APの数を増やさざるを得ず、結果としてハンドオーバの頻度は増加するが、本発明に係るハンドオーバ時の認証技術を用いることによりハンドオーバを高速に行うことができるので、ハンドオーバの頻度が増加しても問題にならない。つまり、本発明の方式はUWBに適している。また、UWBは、既存の無線LAN製品と違って、MAC拡張などのカスタマイズを容易に行うことができるという利点もある。
【００７９】
なお、本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【図面の簡単な説明】
【００８０】
【図１】本発明の実施の形態における無線通信システムを示す図である。
【図２】本発明の実施の形態における無線通信システムの主要な動作を説明するための図である。
【図３】本発明の実施の形態における無線通信システムの主要な動作を説明するための図である。
【図４】無線通信システムにおける各装置の機能構成図である。
【図５】ホストサーバと無線端末装置間で送受信されるメッセージの一覧である。
【図６】キーサーバとホストサーバ間で送受信されるメッセージの一覧である。
【図７】ホストサーバと無線端末装置間で送受信されるメッセージの内容を示す図である。
【図８】ホストサーバと無線端末装置間で送受信されるメッセージの内容を示す図である。
【図９】キーサーバとホストサーバ間で送受信されるメッセージの内容を示す図である。
【図１０】ホストサーバの動作を示すフローチャートである。
【図１１】無線端末装置の動作を示すフローチャートである。
【図１２】キーサーバの動作を示すフローチャートである。
【図１３】キーサーバの動作を示すフローチャートである。
【符号の説明】
【００８１】
１〜３ 無線アクセスポイント（ホストサーバ）
４ キーサーバ
５ 無線端末装置
６ ネットワーク
１１ データ受信部
１２ データ送信部
１３ データ転送部
１４ ホストキー保存DB
１５ データ処理部
１６ クッキー処理部
４１ データ受信部
４２ データ送信部
４３ ホストキー処理部
４４ ユーザ認証部
４５ ホストデータ保存DB
４６ ユーザデータ保存DB
５１ データ受信部
５２ データ送信部
５３ クッキー保存DB
５４ ハンドオーバ処理部
【出願人】 【識別番号】３９９０３５７６６
【氏名又は名称】エヌ・ティ・ティ・コミュニケーションズ株式会社
【出願日】 平成１８年８月１７日（２００６．８．１７）
【代理人】 【識別番号】１０００７０１５０
【弁理士】
【氏名又は名称】伊東 忠彦
【公開番号】 特開２００８−４８２１２（Ｐ２００８−４８２１２Ａ）
【公開日】 平成２０年２月２８日（２００８．２．２８）
【出願番号】 特願２００６−２２２６２３（Ｐ２００６−２２２６２３）