JP2009267638A - 端末認証・アクセス認証方法および認証システム - Google Patents

Abstract

【課題】 ＩＰアドレスを取得していない端末からのアクセスに対する認証を可能とし、不正な端末からのアクセスや正当な端末による不正な場所からのアクセスを防止する。
【解決手段】 事前にユーザ情報として、端末装置のＭＡＣアドレス、端末装置が接続される予定の回線のＶＬＡＮ−ＩＤ、端末装置に払い出すＩＰアドレスをＤＢ機能部に登録し、端末装置がＩＰアドレスの設定を要求するＤＨＣＰ要求にＭＡＣアドレスを付加して送信し、端末装置を収容する加入者収容サーバがＶＬＡＮ−ＩＤを管理する機能を有し、加入者収容サーバが受信したＤＨＣＰ要求に端末装置が接続される回線のＶＬＡＮ−ＩＤを付加し、ＭＡＣアドレスおよびＶＬＡＮ−ＩＤを付加したＤＨＣＰ要求を受信する認証手段で、そのＭＡＣアドレスおよびＶＬＡＮ−ＩＤがＤＢ機能部に登録したユーザ情報と一致するか否かの認証を行い、認証成立の場合にＩＰアドレスを端末装置に払い出す。
【選択図】 図１

Description

本発明は、端末装置がＩＰネットワークに接続する前に認証を行うための端末認証・アクセス認証方法および認証システムに関する。

次世代ネットワーク（以下「ＮＧＮ(Next Generation Network) という）は、電話サービスをはじめ固定通信と移動通信を融合したサービスや、今後開発される新しい情報通信サービスを提供する基盤ネットワークである（非特許文献１）。このようなＮＧＮを実現するには、安全性を高めることが重要な課題の一つになる。この安全性を高めるには、正当な端末装置のみがＩＰネットワークにアクセスすることを許可されるようにすることであり、そのための端末認証およびアクセス認証が重要になる。

この端末認証およびアクセス認証の従来技術には、サーバと複数のクライアント端末とがインターネットを介して接続されるシステムにおいて、クライアント端末のＩＰアドレスからネットワーク・アドレス（ＭＡＣアドレス）を求めるＡＲＰ(Address Resolution Protocol) を利用するものがある。すなわち、サーバが、クライアント端末の端末名、ＩＰアドレスおよびＭＡＣアドレスからなるレコードを格納した端末データベースを備え、すでにＩＰアドレスが払い出された端末からアクセスされると、ＡＲＰを使用してアクセスしてきた端末のＩＰアドレスからその端末のＭＡＣアドレスを取得し、端末のＩＰアドレスと取得したＭＡＣアドレスの組合せが、端末データベースを参照して正しいか否かを判定することによって端末を認証する手順である。

これにより、クライアント端末には特別な機能を付加することなく、サーバ側にのみ端末データベースと端末を認証する機能（プログラム）とを付加することにより、例えば端末の利用権の有無を検査することが可能になる（特許文献１）。しかし、ＮＧＮにおけるユーザ開通にあっては、まだＩＰアドレスを取得していない端末からアクセスされたときの端末を認証する必要があるが、すでにＩＰアドレスの払い出しを受けた端末を対象とする上記の方法は適用することができない。

また、他の端末認証およびアクセス認証技術としては、ＩＰｖ６アドレスとＭＡＣアドレスに基づいてフィルタリングテーブルを参照し、パケットを中継するか廃棄するかを判断するものがある。これにより、アクセスが許可されていない端末からのアクセス、およびなりすましによる侵入者からのアクセスを拒否する高セキュリティなネットワークシステムが構築可能になる。しかし、本技術も先の従来技術と同様にＩＰｖ６アドレスの払い出しを受けた端末を対象としており、ＮＧＮにおけるユーザ開通の認証に適用することができない。
特開２０００−２０１１４３号公報 宇治則孝、「豊かなブロードバンド・ユビキタス社会を拓くＮＧＮ」、ＮＴＴ技術ジャーナル、Vol.19, No.12, 2007年12月

従来の端末認証およびアクセス認証技術は、ＩＰアドレスを取得していない端末からアクセスされたときに、その端末を認証することができない。一方、ＮＧＮでは、ＩＰアドレスの払い出しを受けていないユーザ開通前に、開通を要求する端末が正当なものであるか否かを認証し、認証成立の端末にのみ開通を許可する、すなわち端末にＩＰアドレスを払い出してＩＰネットワークとの接続を可能にする必要がある。

本発明は、ＩＰアドレスを取得していない端末からのアクセスに対する認証を可能とし、不正な端末からのアクセスや正当な端末による不正な場所からのアクセスを防止することができる端末認証・アクセス認証方法および認証システムを提供することを目的とする。

第１の発明の端末認証・アクセス認証方法は、事前にユーザ情報として、端末装置のＭＡＣアドレス、端末装置が接続される予定の回線のＶＬＡＮ−ＩＤ、端末装置に払い出すユーザＩＤ（ＩＰアドレス）をＤＢ機能部に登録するステップと、端末装置が、ＩＰアドレスの設定を要求するＤＨＣＰ要求にＭＡＣアドレスを付加して送信するステップと、端末装置を収容する加入者収容サーバがＶＬＡＮ−ＩＤを管理する機能を有し、加入者収容サーバが受信したＤＨＣＰ要求に端末装置が接続される回線のＶＬＡＮ−ＩＤを付加するステップと、ＭＡＣアドレスおよびＶＬＡＮ−ＩＤを付加したＤＨＣＰ要求を受信する認証手段で、そのＭＡＣアドレスおよびＶＬＡＮ−ＩＤがＤＢ機能部に登録したユーザ情報と一致するか否かの認証を行い、認証成立の場合にユーザＩＤ（ＩＰアドレス）を端末装置に払い出すステップとを有する。

第２の発明は、端末装置を収容しそのＶＬＡＮ−ＩＤを管理する加入者収容サーバを備え、ＩＰネットワークに接続前の端末装置からのアクセスに対して認証を行う認証システムにおいて、加入者収容サーバは、端末装置からＭＡＣアドレスを付加して送信されたＤＨＣＰ要求を受信し、端末装置のＶＬＡＮ−ＩＤを付加したＤＨＣＰ要求を送信する手段を含み、事前にユーザ情報として、端末装置のＭＡＣアドレス、端末装置が接続される予定の回線のＶＬＡＮ−ＩＤ、端末装置に払い出すユーザＩＤ（ＩＰアドレス）を登録するＤＢ機能手段と、加入者収容サーバから送信されたＤＨＣＰ要求を受信し、そのＭＡＣアドレスおよびＶＬＡＮ−ＩＤがＤＢ機能手段の登録情報と一致するか否かの認証を行う認証手段と、認証手段で認証成立の場合に、ユーザＩＤ（ＩＰアドレス）を端末装置に払い出すＩＰアドレス払い出し手段とを備える。

ここで、ＤＢ機能手段、認証手段およびＩＰアドレス払い出し手段は、加入者収容サーバが収容する端末装置の呼制御を行う加入者セッション制御サーバに備えられる構成としてもよい。また、ＤＢ機能手段および認証手段は、加入者収容サーバが収容する端末装置の呼制御を行う加入者セッション制御サーバに備えられ、ＩＰアドレス払い出し手段はＤＨＣＰサーバが有する機能を利用し、認証手段の認証成立に伴うＩＰアドレス払い出し命令を受けてユーザＩＤ（ＩＰアドレス）を端末装置に払い出す構成としてもよい。

本発明は、ＩＰアドレスを取得していない端末装置からアクセスされたときに、そのＤＨＣＰ要求に付加される端末装置のＭＡＣアドレスと、その端末装置が接続されるＶＬＡＮ−ＩＤを用いて認証を行い、認証成立の端末装置のみに開通を許可するＩＰアドレスの払い出しを行う。これにより、不正な端末装置のアクセスや、正当な端末装置でも不正な場所からのアクセスを防止することができる。

図１は、本発明の認証システムの実施形態を示す。
図において、ユーザの端末装置３は、加入者ネットワークを介して端末装置３を収容する加入者収容サーバ（以下、ＳＳＥ(Subscriber Service Edge) という）１を介して、端末装置３の呼制御を行う加入者セッション制御サーバ（以下、ＳＳＣ(Subscriber Session Control server) という）２に接続される。なお、ＳＳＣ２は、一般にユーザの呼制御を行うＳＩＰサーバとも呼ばれるものであり、ここではＳＩＰサーバで端末装置３の認証およびユーザ開通処理を行う例を示すが、認証およびユーザ開通処理の一部または全部が他の装置（例えばＤＨＣＰサーバ）で行う構成としてもよい。また、本発明が適用されるＮＧＮでは、ＳＳＥ１よりユーザ側の加入者ネットワークでＶＬＡＮ（Virtual Local Area Network) が構成されていることを前提とする。

ＳＳＥ１は、端末装置３からＭＡＣアドレスを付加して送信されたＤＨＣＰ(Dynamic Host Configuration Protocol) 要求を受信し、端末装置３が接続されているＶＬＡＮ−ＩＤを付加して送信する機能を有し、送受信部１１、ＶＬＡＮ−ＩＤ管理部１２およびＶＬＡＮ−ＩＤ付与部１３を備える。

送受信部１１は、ＤＨＣＰ要求の送受信を行う機能を有する。ＶＬＡＮ−ＩＤ管理部１２は、端末装置３が接続されているＶＬＡＮ−ＩＤを管理する機能を有する。ＶＬＡＮ−ＩＤ付与部１３は、送受信部１１が受信したＤＨＣＰ要求の回線に基づき、ＶＬＡＮ−ＩＤ管理部１２が管理するＶＬＡＮ−ＩＤをＤＨＣＰ要求に付加する機能を有する。

ＳＳＣ２は、受信したＤＨＣＰ要求に付加されたＭＡＣアドレスおよびＶＬＡＮ−ＩＤの組合せが、事前に登録されたユーザ情報の中にあるか否かで認証し、ユーザ開通処理を行う機能を有し、ユーザ情報を登録するＤＢ機能部２１、受信部２２、本発明の特徴とする認証部２３およびＩＰアドレス払い出し部２４を備える。

ＤＢ機能部２１は、サービス提供者（保守者）の操作により、開通要求のあった端末装置３のＭＡＣアドレス、接続予定のＶＬＡＮ−ＩＤ、ユーザＩＤ（ＩＰアドレス）を登録する機能を有する。受信部２２は、ＤＨＣＰ要求を受信する機能を有する。認証部２３は、受信部２２が受信したＤＨＣＰ要求に付加されているＭＡＣアドレスとＶＬＡＮ−ＩＤの組合せをＤＢ機能部２１に通知し、登録の有無によって認証を行う機能を有する。ＩＰアドレス払い出し部２４は、認証成立の端末装置３に割り当てるＩＰアドレスを払い出す機能を有する。

なお、図１に点線で示すように、ＩＰアドレス払い出し部２４は、ＳＳＣ（ＳＩＰサーバ）２の外部のＤＨＣＰサーバ４にある機能を利用する構成としてもよい。また、認証部２３およびＩＰアドレス払い出し部２４は、一体の機能としてＤＨＣＰ機能部としてもよい。さらに、認証部２３およびＩＰアドレス払い出し部２４を含むＤＨＣＰ機能部やＤＢ機能部２１は、ＳＳＣ（ＳＩＰサーバ）２の外部装置として構成してもよい。

図２は、本発明の認証システムの処理手順を示す。
まず、ユーザは、サービス提供者に対して、端末装置３の設置場所およびＭＡＣアドレス等を通知して開通要求を行う。サービス提供者は、通知された端末装置３の設置場所から接続予定のＶＬＡＮ−ＩＤを判別し、ＳＳＣ（ＳＩＰサーバ）２のＤＢ機能部２１に、当該ユーザ情報としてＭＡＣアドレス、ＶＬＡＮ−ＩＤ、ユーザＩＤ（ＩＰアドレス）を事前に設定する（Ｓ１）。

端末装置３は、ＩＰアドレスの設定を要求するＤＨＣＰ要求(1) にＭＡＣアドレスを付加して送信する（Ｓ２）。ＳＳＥ１の送受信部１１がこのＤＨＣＰ要求(1) を受信すると、ＶＬＡＮ−ＩＤ付加部１３はＤＨＣＰ要求(1) の回線に対応するＶＬＡＮ−ＩＤをＶＬＡＮ−ＩＤ管理部１２から取得してＤＨＣＰ要求(1) に付加し、送受信部１１から送信する（Ｓ３）。ＳＳＣ（ＳＩＰサーバ）２の受信部２２がＶＬＡＮ−ＩＤとＭＡＣアドレスを付加したＤＨＣＰ要求(2) を受信すると、認証部２３はＤＢ機能部２１にＶＬＡＮ−ＩＤとＭＡＣアドレスを通知し、ＤＢ機能部２１にＶＬＡＮ−ＩＤとＭＡＣアドレスの組合せが登録されていれば認証成立とする（Ｓ４）。ＩＰアドレス払い出し部２４は、認証部２３から認証成立の通知を受けると、対応するユーザＩＤ（ＩＰアドレス）を付加したＤＨＣＰ回答を端末装置３に送信し、ＤＨＣＰ要求に対するＩＰアドレスの払い出しを行う（Ｓ５）。

このように、ＩＰアドレスを取得していない端末装置からアクセスされたときに、端末装置のＭＡＣアドレスと、その端末装置が接続予定のＶＬＡＮ−ＩＤを用いて認証を行うので、不正な端末装置のアクセスや、正当な端末装置でも不正な場所からのアクセスを防止することができる。

図３は、本発明の認証システムの詳細な処理手順の例を示す。
ここでは、端末装置３およびＳＳＥ１は、図１および図２に示す構成と同様の機能を備え、ＳＳＣ２は、ユーザ情報を登録するＤＢ機能部２１、認証処理およびＩＰ払い出しを行うＤＨＣＰ機能部２５、端末装置３との間でREGISTER要求／応答、INVITE要求などの通常の呼処理を行う呼処理機能部２６を備えるものとして説明する。

まず、ユーザは、サービス提供者に対して、端末装置３の設置場所およびＭＡＣアドレス等を通知して開通要求を行う。サービス提供者は、通知された端末装置３の設置場所から接続予定のＶＬＡＮ−ＩＤを判別し、ＳＳＣ（ＳＩＰサーバ）２のＤＢ機能部２１に、各ユーザごとのユーザ情報として電話番号、ＭＡＣアドレス、ＶＬＡＮ−ＩＤ、ユーザＩＤ（ＩＰアドレス）を事前に設定する（Ｓ11）。また、ＤＢ機能部２１は、各ユーザ共通のＳＩＰサーバアドレス（ＩＰアドレス）も登録する。

端末装置３は、ＭＡＣアドレスを付加してＩＰアドレスの設定を要求するＤＨＣＰ要求(1) を送信し（Ｓ12）、ＳＳＥ１がこのＤＨＣＰ要求(1) を受信すると、ＤＨＣＰ要求(1) にＶＬＡＮ−ＩＤを付加したＤＨＣＰ要求(2) を送信する（Ｓ13）。ＳＳＣ（ＳＩＰサーバ）２のＤＨＣＰ機能部２５がＶＬＡＮ−ＩＤとＭＡＣアドレスを付加したＤＨＣＰ要求(2) を受信すると、ＤＢ機能部２１にＶＬＡＮ−ＩＤとＭＡＣアドレスを通知して認証を受ける（Ｓ14）。ＤＢ機能部２１は、ＶＬＡＮ−ＩＤとＭＡＣアドレスの組合せが登録されていれば認証成立とし、対応するユーザＩＤ（ＩＰアドレス）およびＳＩＰサーバアドレス（ＩＰアドレス）をＤＨＣＰ機能部２５に応答する（Ｓ15）。ＤＨＣＰ機能部２５は、このユーザＩＤ（ＩＰアドレス）とＳＩＰサーバＩＰアドレスを付加したＤＨＣＰ応答を端末装置３に送信し、ＤＨＣＰ要求に対するＩＰアドレスの払い出しを行う（Ｓ16）。

次に、端末装置３は、ＳＩＰサーバＩＰアドレス、ユーザＩＤ（ＩＰアドレス）を付加したREGISTER要求を送信し（Ｓ17）、ＳＳＣ（ＳＩＰサーバ）２の呼処理機能部２６がこのREGISTER要求を受信すると、ＤＢ機能部２１との間で回線（ユーザ）認証／登録の処理を行い（Ｓ18）、REGISTER応答（ＯＫ）を端末装置３に送信する（Ｓ19）。以上の処理によりユーザ開通処理を終了して発呼処理に入る（Ｓ20）。

本発明の認証システムの実施形態を示す図。 本発明の認証システムの実施形態における基本処理手順を示す図。 本発明の認証システムの詳細な処理手順を示す図。

符号の説明

１ 加入者収容サーバ（ＳＳＥ）
２ 加入者セッション制御サーバ（ＳＳＣ）
３ 端末装置
４ ＤＨＣＰサーバ
１１ 送受信部
１２ ＶＬＡＮ−ＩＤ管理部
１３ ＶＬＡＮ−ＩＤ付加部
２１ ＤＢ機能部
２２ 受信部
２３ 認証部
２４ ＩＰアドレス払い出し部

Claims (4)

1. 事前にユーザ情報として、端末装置のＭＡＣアドレス、端末装置が接続される予定の回線のＶＬＡＮ−ＩＤ、端末装置に払い出すユーザＩＤ（ＩＰアドレス）をＤＢ機能部に登録するステップと、
   前記端末装置が、ＩＰアドレスの設定を要求するＤＨＣＰ要求にＭＡＣアドレスを付加して送信するステップと、
   前記端末装置を収容する加入者収容サーバがＶＬＡＮ−ＩＤを管理する機能を有し、加入者収容サーバが受信した前記ＤＨＣＰ要求に前記端末装置が接続される回線のＶＬＡＮ−ＩＤを付加するステップと、
   前記ＭＡＣアドレスおよび前記ＶＬＡＮ−ＩＤを付加したＤＨＣＰ要求を受信する認証手段で、そのＭＡＣアドレスおよびＶＬＡＮ−ＩＤが前記ＤＢ機能部に登録したユーザ情報と一致するか否かの認証を行い、認証成立の場合に前記ユーザＩＤ（ＩＰアドレス）を前記端末装置に払い出すステップと
   を有することを特徴とする端末認証・アクセス認証方法。
2. 端末装置を収容しそのＶＬＡＮ−ＩＤを管理する加入者収容サーバを備え、ＩＰネットワークに接続前の端末装置からのアクセスに対して認証を行う認証システムにおいて、
   前記加入者収容サーバは、前記端末装置からＭＡＣアドレスを付加して送信されたＤＨＣＰ要求を受信し、前記端末装置のＶＬＡＮ−ＩＤを付加したＤＨＣＰ要求を送信する手段を含み、
   事前にユーザ情報として、端末装置のＭＡＣアドレス、端末装置が接続される予定の回線のＶＬＡＮ−ＩＤ、端末装置に払い出すユーザＩＤ（ＩＰアドレス）を登録するＤＢ機能手段と、
   前記加入者収容サーバから送信されたＤＨＣＰ要求を受信し、そのＭＡＣアドレスおよびＶＬＡＮ−ＩＤが前記ＤＢ機能手段の登録情報と一致するか否かの認証を行う認証手段と、
   前記認証手段で認証成立の場合に、前記ユーザＩＤ（ＩＰアドレス）を前記端末装置に払い出すＩＰアドレス払い出し手段と
   を備えたことを特徴とする認証システム。
3. 請求項２に記載の認証システムにおいて、
   前記ＤＢ機能手段、前記認証手段および前記ＩＰアドレス払い出し手段は、前記加入者収容サーバが収容する前記端末装置の呼制御を行う加入者セッション制御サーバに備えられた
   ことを特徴とする認証システム。
4. 請求項２に記載の認証システムにおいて、
   前記ＤＢ機能手段および前記認証手段は、前記加入者収容サーバが収容する前記端末装置の呼制御を行う加入者セッション制御サーバに備えられ、
   前記ＩＰアドレス払い出し手段はＤＨＣＰサーバが有する機能を利用し、前記認証手段の認証成立に伴うＩＰアドレス払い出し命令を受けて前記ユーザＩＤ（ＩＰアドレス）を前記端末装置に払い出す構成である
   ことを特徴とする認証システム。

Images