JP2008278134A

JP2008278134A - ネットワーク制御装置、ネットワーク制御方法及びコンピュータプログラム

Info

Publication number: JP2008278134A
Application number: JP2007118465A
Authority: JP
Inventors: Akira Iwata; 彰岩田; Shunyo Suzuki; 春洋鈴木
Original assignee: Nagoya Institute of Technology NUC; Chuden Cti Co Ltd
Current assignee: Nagoya Institute of Technology NUC; Chuden Cti Co Ltd
Priority date: 2007-04-27
Filing date: 2007-04-27
Publication date: 2008-11-13

Abstract

【課題】認可されていない端末装置の接続を容易に検出し、無効化する。
【解決手段】端末装置１０の認証を行う認証サーバ２０と認証スイッチ３０との間にネットワーク制御装置４０を介在させ、このネットワーク制御装置４０により、認証サーバ２０及び端末装置１０間で通信される認証プロトコルに従った通信内容を傍受する構成である。ネットワーク制御装置４０は、傍受した通信内容から認証サーバ２０によって承認された端末装置１０の識別アドレスを記憶する。従って、任意の端末装置がＬＡＮに接続しようとして識別アドレスが送信された場合には、その識別アドレスが、認可済みの端末装置の識別アドレスと相違するか否かを比較することにより、不正接続か否かを容易に検出できる。
【選択図】図１

Description

本発明は、認可された端末装置のみを所定のＬＡＮへ接続させるネットワーク認証システムに用いられるネットワーク制御技術に関する。

ＬＡＮにおけるユーザ認証（端末装置の認証）の方式を定めた規格としてＩＥＥＥ８０２．１Ｘが近年普及してきている。ＩＥＥＥ８０２．１Ｘの認証システムは、端末装置にインストールされるサプリカント（Supplicant）ソフトウェア（例えば、ＩＥＥＥ８０２．１Ｘ対応サプリカント）、認証装置、認証サーバ（ＲＡＤＩＵＳサーバ）から構成される。端末装置がＬＡＮに接続しようとすると、認証装置を介して、認証サーバとサプリカントとの間で認証プロトコル（ＥＡＰプロトコル）に従った認証のための通信が行われ、認証サーバによって当該端末装置の認証が行われる。認証サーバによって認可された場合には、端末装置からＬＡＮへの接続が可能となる仕組みであり、管理者によるＬＡＮへの端末装置の接続制御を容易にでき、情報セキュリティ対策に効果的である。

しかし、ＩＥＥＥ８０２．１Ｘの認証システムを用いていても、有線ＬＡＮ中に設けられたリピータＨＵＢの空きポートに認可を受けていない端末装置が接続された場合には、認証を受けることなく、ＬＡＮによって接続された他の端末装置、あるいは、このＬＡＮに設けられたゲートウエイを通じて他のネットワークにアクセスできてしまう場合がある。

本発明は上記に鑑みなされたものであり、認可を受けていない端末装置のネットワーク上での存在を迅速に検出し、かつ、当該不正端末装置の接続を無効化するネットワーク制御装置、ネットワーク制御方法及びコンピュータプログラムを提供することを課題とする。

上記課題を解決するため、請求項１記載の発明では、認証対象の端末装置と、前記端末装置の認証情報を受信して、ＬＡＮへの接続を認可すべきか否かの認証を行う認証サーバと、前記端末装置と認証サーバとの間の通信の中継を行う認証スイッチとを備えた認証システムに用いられるネットワーク制御装置であって、
前記認証サーバ及び端末装置間で通信される認証プロトコルに従った通信内容を認証サーバ及び認証スイッチ間において傍受し、認証サーバによって認可された端末装置の識別アドレスを記憶する手段と、
任意の端末装置から送信されるデータを傍受し、このデータに含まれる前記任意の端末装置の識別アドレスを、前記手段によって記憶された認可済みの端末装置の識別アドレスと比較し、前記任意の端末装置の識別アドレスが、記憶された識別アドレスと一致するか否かによって認可済みか否かを判別し、認可されなかった識別アドレスに係る端末装置を不正接続端末と特定する手段と
を備えることを特徴とするネットワーク制御装置を提供する。
請求項２記載の発明では、さらに、前記不正接続端末と特定された端末装置に対して、前記ＬＡＮへの接続を無効化する手段を備えることを特徴とする請求項１記載のネットワーク制御装置を提供する。
請求項３記載の発明では、前記ＬＡＮが、ＩＥＥＥ８０２．１Ｘ認証を利用したＬＡＮであることを特徴とする請求項１記載のネットワーク制御装置を提供する。
請求項４記載の発明では、認証対象の端末装置と、前記端末装置の認証情報を受信して、ＬＡＮへの接続を認可すべきか否かの認証を行う認証サーバと、前記端末装置と認証サーバとの間の通信の中継を行う認証スイッチとを備えた認証システムにおけるネットワーク制御方法であって、
ネットワーク制御装置により、前記認証サーバ及び端末装置間で通信される認証プロトコルに従った通信内容を認証サーバ及び認証スイッチ間において傍受し、認証サーバによって認可された端末装置の識別アドレスを記憶しておき、
任意の端末装置から送信されるデータを傍受し、このデータに含まれる前記任意の端末装置の識別アドレスを、記憶された認可済みの端末装置の識別アドレスと比較し、前記任意の端末装置の識別アドレスが、記憶された識別アドレスと一致するか否かによって認可済みか否かを判別し、認可されなかった識別アドレスに係る端末装置を不正接続端末と特定することを特徴とするネットワーク制御方法を提供する。
請求項５記載の発明では、さらに、前記不正接続端末と特定された端末装置の、前記ＬＡＮへの接続を無効化することを特徴とする請求項４記載のネットワーク制御方法を提供する。
請求項６記載の発明では、ＩＥＥＥ８０２．１Ｘ認証を利用した認証システムを用いたＬＡＮに適用されることを特徴とする請求項４又は５記載のネットワーク制御方法を提供する。
請求項７記載の発明では、認証対象の端末装置と、前記端末装置の認証情報を受信して、ＬＡＮへの接続を認可すべきか否かの認証を行う認証サーバと、前記端末装置と認証サーバとの間の通信の中継を行う認証スイッチとを備えた認証システムにおいて、当該認証システムを監視して不正接続を検出するネットワーク制御用のコンピュータに導入されるコンピュータプログラムであって、
前記認証サーバ及び端末装置間で通信される認証プロトコルに従った通信内容を認証サーバ及び認証スイッチ間において傍受し、認証サーバによって認可された端末装置の識別アドレスを記憶するステップと、
任意の端末装置から送信されるデータに含まれる識別アドレスを受信し、前記ステップによって記憶された認可済みの端末装置の識別アドレスと比較し、前記任意の端末装置の識別アドレスが、記憶された識別アドレスと一致するか否かによって認可済みか否かを判別し、認可されなかった識別アドレスに係る端末装置を不正接続端末と特定するステップと
を備えることを特徴とするコンピュータプログラムを提供する。
請求項８記載の発明では、さらに、前記不正接続端末と特定された端末装置の、前記ＬＡＮへの接続を無効化するステップを備えることを特徴とする請求項７記載のコンピュータプログラムを提供する。

本発明では、認証システムが構築されたＬＡＮにおいて、端末装置の認証を行う認証サーバと認証スイッチとの間にネットワーク制御装置を介在させ、このネットワーク制御装置により、認証サーバ及び端末装置間で通信される認証プロトコルに従った通信内容を傍受する構成である。ネットワーク制御装置は、傍受した通信内容から認証サーバによって認可された端末装置の識別アドレスを記憶する。従って、任意の端末装置がＬＡＮに接続しようとして該端末装置の識別アドレスがＬＡＮに送信された場合には、その識別アドレスが、認可済みの端末装置の識別アドレスと相違するか否かを比較することにより、不正接続か否かを容易に検出できる。また、不正接続と判定された場合には、ＬＡＮへの接続を無効化する手段により、該端末装置の接続を無効化できる。このため、ＬＡＮ中のリピータＨＵＢ等の空きポートに、認可を受けていない端末装置を接続してＬＡＮに接続しようとしても、そのことを容易に検出し、無効化することができる。

以下、本発明の実施形態を図面に基づいて更に詳しく説明する。図１は、本発明が適用されるネットワーク認証システム１の全体構成の一例を示す図である。これはＩＥＥＥ８０２．１Ｘの認証システムを用いたもので、認証対象である正規の各端末装置（ＰＣ１，ＰＣ２）１０、認証サーバ２０、並びに、各端末装置１０と認証サーバ２０との間に介在されるＩＥＥＥ８０２．１Ｘ対応の認証スイッチ３０とを備えて構成されている。そして、このネットワーク認証システム１にネットワーク制御装置４０と不正接続無効化手段５０が設けられている。なお、符号６０は認証システムを構成するＬＡＮから他のネットワークに接続するためのゲートウエイである。

端末装置１０は、装置本体内にＭＰＵ（Micro Processing Unit）やメインメモリ等により構成された演算処理部、ハードディスク、及びこれらのデータの入出力部である入出力ポートなどが備えられたパーソナルコンピュータ（ＰＣ）等からなり、ソフトウエアとして、ＩＥＥＥ８０２．１Ｘ対応のサプリカントがインストールされている。

サプリカントは、端末装置１０の認証情報を送信する。認証情報は限定されるものではないが、典型的には各端末装置１０の電子証明書であり、この電子証明書が正規か否かについて、認証サーバ２０によって判断される。

認証サーバ２０は、ＩＥＥＥ８０２．１Ｘの認証システムで通常使用されているＲＡＤＩＵＳサーバから構成され、認証スイッチ３０に接続されて配置される。認証サーバ２０は、証明機関から送信される有効な電子証明書のリストを記憶しており、端末装置１０から送信されてきた電子証明書をこのリストに掲載された電子証明書と比較し、一致する場合にＬＡＮへの接続を「認可」する。

認証スイッチ３０は、端末装置１０と認証サーバ２０との間で行われる認証プロトコルに従った認証工程の通信を中継する。認証サーバ２０によって端末装置１０が認可された場合には、この認可された端末装置１０のＬＡＮへの接続を中継し、さらに、ゲートウエイ６０を介しての他のネットワークへのアクセスも許容するが、認可されなかった場合には、当該ＬＡＮへの接続が中継されない。

ネットワーク制御装置４０は、演算部４１と記憶部４２を備えたコンピュータから構成され、認証サーバ２０と認証スイッチ３０との間で行われる認証工程における通信内容を傍受可能に配置される。認証スイッチ３０は端末装置１０から認証情報を受け取ると、認証サーバ２０に当該認証情報を送信し、認証サーバ２０によって認証情報の有効、無効が判断され、有効と判断された場合には、接続を許容する認証成功（認可）の情報が認証スイッチ３０に返信される。従って、ネットワーク制御装置４０により両者間の通信内容を傍受すれば、認証サーバ２０によって認可される端末装置１０を判別できる。

このため、ネットワーク制御装置４０の演算部４１には、認証情報の認可された端末装置１０の識別アドレスを記憶部４２に記憶させる手段（コンピュータプログラム）が設定されている。また、認証システム１を構成するＬＡＮに接続された任意の端末装置からデータが送信された場合に、この任意の端末装置から送信されるデータに含まれる識別アドレスを受信し、上記の認可済みの端末装置１０の識別アドレスと比較し、任意の端末装置の識別アドレスが、記憶された識別アドレスと一致するか否かによって認可済みか否かを判別し、認可されていない識別アドレスに係る端末装置１０を不正接続端末と特定する手段（コンピュータプログラム）が設定されている。なお、ネットワーク制御装置４０は、認証サーバ２０、認証スイッチ３０等の各識別アドレスについては、これらを排除しないように、予め正規のものとして記憶部（図示せず）に記憶している。

不正接続無効化手段５０は、ネットワーク制御装置４０によって特定された不正接続に係る端末装置１０の識別アドレスを該ネットワーク制御装置４０から受信し、当該端末装置１０のＬＡＮへの接続を無効化する手段（コンピュータプログラム）を備えている。不正接続無効化手段５０は、独立した装置により構成し、ネットワーク制御装置４０と通信ケーブルで接続し、不正接続に係る端末装置１０の識別アドレスを、ネットワーク制御装置４０から通信ケーブルを介して受信する構成としてもよいし、ネットワーク制御装置４０の演算部４１に、不正接続無効化手段５０を組み込んだ構成とすることもできる。なお、請求項で規定した「ネットワーク制御装置」は、これらのいずれの態様も含む意味である。接続を無効化する手段は限定されるものではないが、例えば、識別アドレスの情報を書き換える手段が挙げられる。具体的には、不正接続に係る端末装置１０のＡＲＰテーブルに規定される送信先ＭＡＣアドレスを偽装する（例えば、不正接続無効化手段５０のＭＡＣアドレスを偽装アドレスとして書き込む）。

次に、本実施形態の動作の概要を図２及び図３を用いて説明する。なお、図１〜図３に示した各端末装置１０の中で、ＰＣ１及びＰＣ２は正規の端末装置であり、ＰＣＸ、ＰＣＹ及びＰＣＺは不正接続に係る端末装置とする。ＰＣＸは、リピータＨＵＢ１０１を介して認証スイッチ３０に接続されており、ＰＣＹ及びＰＣＺは、認証サーバ２０と認証スイッチ３０との間に、リピータＨＵＢ１０２を介して接続されている。

正規の端末装置１０であるＰＣ１がＬＡＮに接続しようとする場合には、まず、認証サーバ２０に対して認証依頼を行う（図２のＡ）。認証情報のやり取りが行われ、認可が得られると認証サーバ２０からその旨の情報がＰＣ１に送信される（図２のＢ）。ネットワーク制御装置４０は、この間の通信を傍受しており、認可された端末装置であるＰＣ１の識別アドレスを記憶部４２に記憶する。ＰＣ１は、認可後、当該ＬＡＮへの接続及びゲートウエイ６０を介しての他のネットワークへの接続が可能になる（図２のＣ，Ｄ）。

一方、ＰＣＸが、リピータＨＵＢ１０２を介してＬＡＮに接続し、認証スイッチ３０を経由してさらにゲートウエイ６０から他のネットワークに接続しようとする場合、ゲートウエイ６０との間でＡＲＰパケットの送受信が行われる（図２のＥ、Ｆ）。このとき、ネットワーク制御装置４０は、ＰＣＸが、記憶部４２に記憶された認可済みの識別アドレスでないことを把握し、不正接続と認識する。不正接続と認識されたＰＣＸの識別アドレスは不正接続無効化手段５０に送られ、不正接続と認識されたＰＣＸのＡＲＰテーブルに偽装アドレス（例えば、不正接続無効化手段５０のＭＡＣアドレス）を送信する（図３のＧ）。

上記の動作を、図４を用いてさらに具体的に説明する。まず、正規の端末装置１０であるＰＣ１を起動すると、認証スイッチ３０からＥＡＰリクエストが送信される（Ｓ１０１）。ＰＣ１は、ＥＡＰリクエストを受信するとＥＡＰレスポンスでＰＣ１の認証情報を認証スイッチ３０に送信する（Ｓ１０２）。認証スイッチ３０は、この認証情報をＲＡＤＩＵＳリクエストとして認証サーバ２０に送信する（Ｓ１０３）。認証サーバ２０では、認証情報に係る電子証明の有効性を確認し、有効である場合にはこの認証情報を認可し、その旨をＲＡＤＩＵＳアクセプトとして認証スイッチ３０に送信し（Ｓ１０４）、認証スイッチ３０はＲＡＤＩＵＳアクセプトを受信すると、認証成功（認可）のコマンドであるＥＡＰサクセスをＰＣ１に送信する（Ｓ１０５）。これにより、認証工程が完了し、認証スイッチ３０のポートがオープンになり、認可されたＰＣ１からのＬＡＮへの接続が可能となり、ＡＲＰリクエストがゲートウエイ６０に送信され（Ｓ１０６）、ゲートウエイ６０からＡＲＰリプライが返信されて（Ｓ１０７）、他のネットワークへのアクセスが可能となる。

ネットワーク制御装置４０は、認証スイッチ３０と認証サーバ２０との間で流れる通信内容を監視しており、ＲＡＤＩＵＳアクセプトが送信されるＰＣ１のＭＡＣアドレスを正規の端末装置１０として記憶部４２に記憶する。また、不正接続無効化手段５０には、ＰＣ１のＭＡＣアドレスがネットワーク制御装置４０から送信される。不正接続無効化手段５０は、さらに、定期的にＰＣ１との間でＡＲＰリクエスト及びＡＲＰリプライの送受信を行い（Ｓ１０８、Ｓ１０９）、ＰＣ１のＡＲＰテーブルに不正接続に係る端末装置であるＰＣＸのＭＡＣアドレスのエントリがあるか否かを確認する。エントリがある場合には当該ＭＡＣアドレスを偽装アドレスに書き換える。

これに対し、ＰＣＸがＬＡＮに接続しようとする場合には、ＡＲＰリクエストがＬＡＮを経てゲートウエイ６０に送信され（Ｓ２０１）、ゲートウエイ６０からＡＲＰリプライ（Ｓ２０２）が返信される。このとき、ＬＡＮに流れるＰＣＸのデータに該ＰＣＸの識別アドレスが含まれるため、ネットワーク制御装置４０は、ＡＲＰリクエストから、ＰＣＸのＭＡＣアドレスが、記憶部４２に記憶された認可されたＭＡＣアドレスでないことを把握し、不正接続と認識し、ＰＣＸのＭＡＣアドレスを不正接続無効化手段５０に送る。

不正接続無効化手段５０は、不正接続と認識されたＰＣＸのＡＲＰテーブルの全てのエントリに偽装アドレス（例えば、不正接続無効化手段５０のＭＡＣアドレス）をＡＲＰリクエストコマンドで送信して書き換え（Ｓ２０３）、ＡＲＰリプライを受信して内容を確認する（Ｓ２０４）。これにより、ＰＣＸはＡＲＰテーブルに従って所定のＩＰアドレス宛にコマンドを送信しても、当該ＩＰアドレスに対応するＭＡＣアドレスが偽装アドレスに書き換えられているため、この偽装アドレスに当該コマンドが送信され、ＰＣＸはＬＡＮへの接続が不可能になる。

以上により、本実施形態では、ＬＡＮ中のリピータＨＵＢ等の空きポートに、許可を受けていない端末装置を接続してＬＡＮに接続しようとしても、そのことを容易に検出し、無効化することができる。

本発明の一実施形態を説明するために用いたネットワーク認証システムの一例を示す構成図である。上記実施形態の動作の概要を説明するための図である。上記実施形態の動作の概要を説明するための図である。上記実施形態の動作の具体的な工程を説明するための図である。

符号の説明

１ネットワーク認証システム
１０端末装置
２０認証サーバ
３０認証スイッチ
４０ネットワーク制御装置
５０不正接続無効化手段
６０ゲートウエイ

Claims

認証対象の端末装置と、前記端末装置の認証情報を受信して、ＬＡＮへの接続を認可すべきか否かの認証を行う認証サーバと、前記端末装置と認証サーバとの間の通信の中継を行う認証スイッチとを備えた認証システムに用いられるネットワーク制御装置であって、
前記認証サーバ及び端末装置間で通信される認証プロトコルに従った通信内容を認証サーバ及び認証スイッチ間において傍受し、認証サーバによって認可された端末装置の識別アドレスを記憶する手段と、
任意の端末装置から送信されるデータを傍受し、このデータに含まれる前記任意の端末装置の識別アドレスを、前記手段によって記憶された認可済みの端末装置の識別アドレスと比較し、前記任意の端末装置の識別アドレスが、記憶された識別アドレスと一致するか否かによって認可済みか否かを判別し、認可されなかった識別アドレスに係る端末装置を不正接続端末と特定する手段と
を備えることを特徴とするネットワーク制御装置。
さらに、前記不正接続端末と特定された端末装置に対して、前記ＬＡＮへの接続を無効化する手段を備えることを特徴とする請求項１記載のネットワーク制御装置。
前記ＬＡＮが、ＩＥＥＥ８０２．１Ｘ認証を利用したＬＡＮであることを特徴とする請求項１記載のネットワーク制御装置。
認証対象の端末装置と、前記端末装置の認証情報を受信して、ＬＡＮへの接続を認可すべきか否かの認証を行う認証サーバと、前記端末装置と認証サーバとの間の通信の中継を行う認証スイッチとを備えた認証システムにおけるネットワーク制御方法であって、
ネットワーク制御装置により、前記認証サーバ及び端末装置間で通信される認証プロトコルに従った通信内容を認証サーバ及び認証スイッチ間において傍受し、認証サーバによって認可された端末装置の識別アドレスを記憶しておき、
任意の端末装置から送信されるデータを傍受し、このデータに含まれる前記任意の端末装置の識別アドレスを、記憶された認可済みの端末装置の識別アドレスと比較し、前記任意の端末装置の識別アドレスが、記憶された識別アドレスと一致するか否かによって認可済みか否かを判別し、認可されなかった識別アドレスに係る端末装置を不正接続端末と特定することを特徴とするネットワーク制御方法。
さらに、前記不正接続端末と特定された端末装置の、前記ＬＡＮへの接続を無効化することを特徴とする請求項４記載のネットワーク制御方法。
ＩＥＥＥ８０２．１Ｘ認証を利用した認証システムを用いたＬＡＮに適用されることを特徴とする請求項４又は５記載のネットワーク制御方法。
認証対象の端末装置と、前記端末装置の認証情報を受信して、ＬＡＮへの接続を認可すべきか否かの認証を行う認証サーバと、前記端末装置と認証サーバとの間の通信の中継を行う認証スイッチとを備えた認証システムにおいて、当該認証システムを監視して不正接続を検出するネットワーク制御用のコンピュータに導入されるコンピュータプログラムであって、
前記認証サーバ及び端末装置間で通信される認証プロトコルに従った通信内容を認証サーバ及び認証スイッチ間において傍受し、認証サーバによって認可された端末装置の識別アドレスを記憶するステップと、
任意の端末装置から送信されるデータに含まれる識別アドレスを受信し、前記ステップによって記憶された認可済みの端末装置の識別アドレスと比較し、前記任意の端末装置の識別アドレスが、記憶された識別アドレスと一致するか否かによって認可済みか否かを判別し、認可されなかった識別アドレスに係る端末装置を不正接続端末と特定するステップと
を備えることを特徴とするコンピュータプログラム。
さらに、前記不正接続端末と特定された端末装置の、前記ＬＡＮへの接続を無効化するステップを備えることを特徴とする請求項７記載のコンピュータプログラム。