無線lan接入點(diǎn)裝置、非法管理幀檢測(cè)方法
【專利摘要】本發(fā)明提供一種以通用的方法適當(dāng)?shù)胤烙鶎?duì)無線LAN網(wǎng)絡(luò)的非法訪問的無線LAN接入點(diǎn)裝置、非法管理幀檢測(cè)方法。接入點(diǎn)(20)在每次從終端(STA1、STA2)接收到幀時(shí)存儲(chǔ)序列號(hào)。然后，在接收到認(rèn)證解除幀時(shí)，在滿足以下條件中的任一個(gè)條件的情況下，將接收到的認(rèn)證解除幀判斷為非法幀，禁止認(rèn)證解除處理，所述條件為：1)在接收到的認(rèn)證解除幀的序列號(hào)與已存儲(chǔ)的序列號(hào)中存在重復(fù)的編號(hào)；2)已存儲(chǔ)的序列號(hào)中的與接收到的認(rèn)證解除幀所包含的序列號(hào)最接近的編號(hào)和接收到的認(rèn)證解除幀所包含的序列號(hào)之差超過規(guī)定范圍；3)在接收到認(rèn)證解除幀之后，在規(guī)定期間D1內(nèi)接收到序列號(hào)與認(rèn)證解除幀的序列號(hào)重復(fù)的幀。
【專利說明】無線LAN接入點(diǎn)裝置、非法管理幀檢測(cè)方法
[0001]本申請(qǐng)是申請(qǐng)日為2010年5月21日、申請(qǐng)?zhí)枮?01010182893.8、發(fā)明名稱為“無
線LAN接入點(diǎn)裝置、非法管理幀檢測(cè)方法”的申請(qǐng)的分案申請(qǐng)。
【技術(shù)領(lǐng)域】
[0002]本發(fā)明涉及一種通過無線通信路徑與無線終端之間進(jìn)行使用了幀的數(shù)據(jù)的發(fā)送接收的無線LAN接入點(diǎn)裝置。
【背景技術(shù)】
[0003]近年來，基于IEEE802.11標(biāo)準(zhǔn)的無線LAN設(shè)備得到廣泛普及。在上述無線LAN設(shè)備中，通過交換被稱為管理幀的包來對(duì)連接狀態(tài)等信息進(jìn)行信息控制。不對(duì)管理幀進(jìn)行加密處理/簽名處理就進(jìn)行交換，因此成為能夠?qū)o線LAN網(wǎng)絡(luò)進(jìn)行非法訪問的較大原因，在以往就被指出了安全方面的問題。
[0004]作為這種非法訪問，例如想到由第三方進(jìn)行偽裝的“欺騙(spoofing) ”。具體地說，例如當(dāng)進(jìn)行非法訪問的第三方的無線LAN終端冒充具有訪問權(quán)限的合法無線LAN終端對(duì)合法接入點(diǎn)發(fā)送認(rèn)證解除幀時(shí)，該接入點(diǎn)解除認(rèn)證。與此相對(duì)地，認(rèn)證被解除的合法無線LAN終端再次發(fā)送認(rèn)證請(qǐng)求巾貞。由第三方所準(zhǔn)備的非法接入點(diǎn)接收該認(rèn)證請(qǐng)求巾貞來構(gòu)建連接關(guān)系，由此有可能從合法無線LAN終端泄漏信息。
[0005]對(duì)于這種問題，近年來通過對(duì)管理幀附加簽名來提高安全性的技術(shù)的開發(fā)/標(biāo)準(zhǔn)化研究有所進(jìn)展(IEEE802.1lTGw)。但是，在普及這種標(biāo)準(zhǔn)之前的期間內(nèi)設(shè)計(jì)出的無線LAN設(shè)備仍然殘留有安全問題。另外，由于無法將新舊機(jī)種混合利用，因此需要將現(xiàn)有的無線LAN設(shè)備全部更新，從成本、節(jié)省資源等觀點(diǎn)來看存在問題。
[0006]專利文獻(xiàn)1:日本特開2007-089006號(hào)公報(bào)
[0007]專利文獻(xiàn)2:日本特開2008-072402號(hào)公報(bào)
[0008]專利文獻(xiàn)3:日本特開2006-279438號(hào)公報(bào)

【發(fā)明內(nèi)容】

_9] 發(fā)明要解決的問題
[0010]考慮到上述問題的至少一部分，本發(fā)明要解決的問題是以通用的方法來適當(dāng)?shù)胤烙鶎?duì)無線LAN網(wǎng)絡(luò)的非法訪問。
[0011]用于解決問題的方案
[0012]本發(fā)明是為了解決上述問題的至少一部分而完成的，能夠?qū)崿F(xiàn)為以下的方式或應(yīng)用例。
[0013][應(yīng)用例I]一種無線LAN接入點(diǎn)裝置，通過無線通信路徑與無線終端之間進(jìn)行使用了幀的數(shù)據(jù)的發(fā)送接收，該無線LAN接入點(diǎn)裝置具備:通信單元，其與上述無線終端之間進(jìn)行上述幀的發(fā)送接收；執(zhí)行單元，其在上述通信單元從上述無線終端接收到規(guī)定的管理幀時(shí)，執(zhí)行與該管理幀對(duì)應(yīng)的處理；序列監(jiān)視單元，其在每次上述通信單元接收到上述幀時(shí)，掌握該幀所包含的序列號(hào)；以及非法判斷單元，其在第一序列號(hào)和第二序列號(hào)滿足規(guī)定條件的情況下，將接收到的該管理幀判斷為非法幀其中，上述第一序列號(hào)是上述序列監(jiān)視單元所掌握的序列號(hào)，上述第二序列號(hào)是接收到的上述管理幀所包含的序列號(hào)。
[0014]這種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置在每次接收到幀時(shí)，掌握該幀所包含的序列號(hào)，在從無線終端接收到管理幀時(shí)，根據(jù)序列監(jiān)視單元所掌握的序列號(hào)和管理幀所包含的序列號(hào)來進(jìn)行非法幀的判斷。因而，能夠檢測(cè)到非法管理幀，從而對(duì)欺騙攻擊采取各種對(duì)策。另外，使用序列號(hào)進(jìn)行非法幀的檢測(cè)，因此結(jié)構(gòu)較為簡(jiǎn)單。另外，由于使用序列號(hào)來在無線LAN接入點(diǎn)裝置側(cè)檢測(cè)非法幀，因此只要是使用序列號(hào)發(fā)送幀的無線終端，對(duì)于任何標(biāo)準(zhǔn)的無線終端都能夠應(yīng)用，通用性較高，從而有助于節(jié)省資源、降低成本。即，在無線終端側(cè)不需要特別的結(jié)構(gòu)，對(duì)于已普及的無線終端也能夠直接應(yīng)用，另外，在新舊標(biāo)準(zhǔn)的無線終端混合存在的情況下也能夠應(yīng)用。
[0015][應(yīng)用例2]—種無線LAN接入點(diǎn)裝置，通過無線通信路徑與無線終端之間進(jìn)行幀的發(fā)送接收，該無線LAN接入點(diǎn)裝置具備:通信單元，其與上述無線終端之間進(jìn)行上述幀的發(fā)送接收；執(zhí)行單元，其在上述通信單元從上述無線終端接收到規(guī)定的管理幀時(shí)，執(zhí)行與該管理幀對(duì)應(yīng)的處理；序列監(jiān)視單元，其在每次上述通信單元接收到上述幀時(shí)，掌握該幀所包含的序列號(hào)；電波強(qiáng)度監(jiān)視單元，其與發(fā)送上述幀的上述無線終端的識(shí)別信息相對(duì)應(yīng)地監(jiān)視接收到該幀時(shí)的接收電波強(qiáng)度；以及非法判斷單元，其在第一序列號(hào)和第二序列號(hào)滿足規(guī)定條件且上述接收電波強(qiáng)度的每規(guī)定期間的變化量超過了規(guī)定范圍的情況下，將接收到的上述管理幀判斷為非法幀，其中，上述第一序列號(hào)是上述序列監(jiān)視單元所掌握的序列號(hào)，上述第二序列號(hào)是接收到的上述管理幀所包含的序列號(hào)，上述接收電波強(qiáng)度與發(fā)送上述管理幀的上述無線終端的識(shí)別信息相對(duì)應(yīng)，是上述電波強(qiáng)度監(jiān)視單元所監(jiān)視的接收電波強(qiáng)度中的接收到上述管理幀時(shí)的接收電波強(qiáng)度。
[0016]這種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置起到與應(yīng)用例I同樣的效果。另外，能夠使用不同角度的兩個(gè)方法來檢測(cè)非法幀，因此能夠提高非法幀檢測(cè)的準(zhǔn)確度，從而提高安全性。
[0017][應(yīng)用例3]根據(jù)應(yīng)用例I或2所記載的無線LAN接入點(diǎn)裝置，在上述非法判斷單元將接收到的上述管理幀判斷為非法幀的情況下，上述執(zhí)行單元禁止執(zhí)行與接收到的該管理中貞對(duì)應(yīng)的處理。
[0018]這種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置在將接收到的管理幀判斷為非法幀的情況下，禁止執(zhí)行與接收到的管理幀對(duì)應(yīng)的處理，因此能夠適當(dāng)?shù)胤烙垓_攻擊。
[0019][應(yīng)用例4]根據(jù)應(yīng)用例I?3中的任一項(xiàng)所記載的無線LAN接入點(diǎn)裝置，上述執(zhí)行單元包括進(jìn)行認(rèn)證處理和認(rèn)證解除處理的認(rèn)證單元，該認(rèn)證處理用于使上述無線終端能夠通過上述無線LAN接入點(diǎn)裝置進(jìn)行通信，上述規(guī)定的管理幀包含請(qǐng)求上述認(rèn)證解除處理的認(rèn)證解除幀。
[0020]這種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置能夠檢測(cè)到非法認(rèn)證解除幀，因此能夠?qū)κ褂昧苏J(rèn)證解除幀的欺騙攻擊采取各種對(duì)策。
[0021][應(yīng)用例5]根據(jù)應(yīng)用例I?4中的任一項(xiàng)所記載的無線LAN接入點(diǎn)裝置，上述規(guī)定條件中的至少一個(gè)條件是在已掌握的上述第一序列號(hào)和上述第二序列號(hào)中存在重復(fù)的編號(hào)。
[0022]序列號(hào)是以幀為發(fā)送單位而連續(xù)的數(shù)值，因此具有在大致相同的期間內(nèi)不會(huì)產(chǎn)生相同的編號(hào)的特征。這種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置活用序列號(hào)的這種特征，能夠進(jìn)行準(zhǔn)確度高的非法幀的檢測(cè)。
[0023][應(yīng)用例6]根據(jù)應(yīng)用例I?5中的任一項(xiàng)所記載的無線LAN接入點(diǎn)裝置，上述規(guī)定條件中的至少一個(gè)條件是已掌握的上述第一序列號(hào)中的與上述第二序列號(hào)最接近的編號(hào)和該第二序列號(hào)之差超過了規(guī)定范圍。
[0024]序列號(hào)是以幀為發(fā)送單位而連續(xù)的數(shù)值，因此具有如下的特征:即使幀與幀之間從無線終端的到達(dá)順序調(diào)換或產(chǎn)生了幀的丟失，連續(xù)接收的幀的序列號(hào)也不會(huì)變?yōu)橄嗖詈艽蟮闹怠＿@種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置活用序列號(hào)的這種特征，能夠進(jìn)行準(zhǔn)確度高的非法幀的檢測(cè)。
[0025][應(yīng)用例7]根據(jù)應(yīng)用例I?6中的任一項(xiàng)所記載的無線LAN接入點(diǎn)裝置，上述規(guī)定條件中的至少一個(gè)條件是在接收到上述管理幀之后規(guī)定期間之內(nèi)，上述通信單元接收到包含與上述第二序列號(hào)相同的序列號(hào)的其它幀。
[0026]這種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置在接收到非法幀之后的規(guī)定期間內(nèi)也判斷序列號(hào)是否重復(fù)，因此活用了在大致相同的期間內(nèi)不會(huì)產(chǎn)生相同編號(hào)的序列號(hào)的特征，能夠進(jìn)行準(zhǔn)確度高的非法幀的檢測(cè)。
[0027][應(yīng)用例8]根據(jù)應(yīng)用例I?7中的任一項(xiàng)所記載的無線LAN接入點(diǎn)裝置，還具備通知單元，該通知單元用于在上述非法判斷單元將接收到的上述管理幀判斷為非法幀的情況下，將該判斷的結(jié)果通知給上述無線LAN接入點(diǎn)裝置的用戶。
[0028]這種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置能夠使網(wǎng)絡(luò)管理者、用戶獲知接收到了非法幀，因此能夠根據(jù)需要研究對(duì)于使用了非法幀的第三方攻擊的新對(duì)策。
[0029][應(yīng)用例9]根據(jù)應(yīng)用例8所記載的無線LAN接入點(diǎn)裝置，作為上述通知的一個(gè)方法，上述通知單元以預(yù)先登記的郵件地址為目的地發(fā)送表示上述判斷的結(jié)果的郵件。
[0030]這種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置能夠使網(wǎng)絡(luò)管理者、用戶容易地獲知接收到了非法幀。
[0031][應(yīng)用例10]根據(jù)應(yīng)用例8或9所記載的無線LAN接入點(diǎn)裝置，作為上述通知的一個(gè)方法，上述通知單元在上述無線LAN接入點(diǎn)裝置所具備的存儲(chǔ)裝置中記錄上述判斷的結(jié)果作為上述無線LAN接入點(diǎn)裝置的動(dòng)作歷史記錄。
[0032]這種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置能夠使網(wǎng)絡(luò)管理者、用戶容易地獲知接收到了非法幀。
[0033]另外，本發(fā)明也能夠?qū)崿F(xiàn)為應(yīng)用例11或應(yīng)用例12的非法管理幀檢測(cè)方法。
[0034][應(yīng)用例11]一種非法管理幀檢測(cè)方法，用于在通過無線通信路徑與無線終端之間進(jìn)行使用了幀的數(shù)據(jù)的發(fā)送接收的無線LAN接入點(diǎn)裝置在從上述無線終端接收到管理幀的情況下檢測(cè)非法管理幀，該非法管理幀檢測(cè)方法具有如下步驟:在每次接收到上述幀時(shí)，掌握該幀所包含的序列號(hào)；以及在已掌握的序列號(hào)和接收到的上述管理幀所包含的序列號(hào)中存在重復(fù)的編號(hào)的情況下，或者在該已掌握的序列號(hào)中的與該管理幀所包含的序列號(hào)最接近的編號(hào)和該管理幀所包含的序列號(hào)之差超過了規(guī)定范圍的情況下，將接收到的該管理幀檢測(cè)為上述非法管理幀。
[0035][應(yīng)用例12]—種非法管理幀檢測(cè)方法，用于在通過無線通信路徑與無線終端之間進(jìn)行使用了幀的數(shù)據(jù)的發(fā)送接收的無線LAN接入點(diǎn)裝置在從上述無線終端接收到管理幀的情況下檢測(cè)非法管理幀，該非法管理幀檢測(cè)方法具有如下步驟:在接收到上述管理幀之后規(guī)定期間之內(nèi)接收到包含與接收到的該管理幀所包含的序列號(hào)相同的序列號(hào)的其它幀的情況下，將接收到的該管理幀檢測(cè)為上述非法管理幀。
[0036][應(yīng)用例13]—種無線LAN接入點(diǎn)裝置，通過無線通信路徑與無線終端之間進(jìn)行幀的發(fā)送接收，該無線LAN接入點(diǎn)裝置具備:通信單元，其與上述無線終端之間進(jìn)行上述幀的發(fā)送接收；執(zhí)行單元，其在上述通信單元從上述無線終端接收到規(guī)定的管理幀時(shí)，執(zhí)行與該管理幀對(duì)應(yīng)的處理；電波強(qiáng)度監(jiān)視單元，其與發(fā)送上述幀的上述無線終端的識(shí)別信息相對(duì)應(yīng)地監(jiān)視接收到該幀時(shí)的接收電波強(qiáng)度；以及非法判斷單元，其在上述接收電波強(qiáng)度的每規(guī)定期間的變化量超過了規(guī)定范圍的情況下，將所接收到的上述管理幀判斷為非法幀，其中，上述接收電波強(qiáng)度與發(fā)送上述管理幀的無線終端的識(shí)別信息相對(duì)應(yīng)，是上述電波強(qiáng)度監(jiān)視單元所監(jiān)視的接收電波強(qiáng)度中的接收到上述管理幀時(shí)的接收電波強(qiáng)度。
[0037]這種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置對(duì)接收到來自無線終端的幀時(shí)的接收電波強(qiáng)度進(jìn)行監(jiān)視，在接收到管理幀時(shí)的接收電波強(qiáng)度的每規(guī)定期間的變化量超過了規(guī)定范圍的情況下，將管理幀判斷為非法幀，因此能夠檢測(cè)到非法管理幀，從而對(duì)欺騙攻擊采取各種對(duì)策。另外，使用接收電波強(qiáng)度進(jìn)行非法幀的檢測(cè)，因此結(jié)構(gòu)較為簡(jiǎn)單。另外，由于使用接收電波強(qiáng)度來在無線LAN接入點(diǎn)裝置側(cè)檢測(cè)非法幀，因此對(duì)于任何標(biāo)準(zhǔn)的無線終端都能夠應(yīng)用，通用性較高，有助于節(jié)省資源、降低成本。即，在無線終端側(cè)不需要特別的結(jié)構(gòu)，對(duì)于已普及的無線終端也能夠直接應(yīng)用，另外，在新舊標(biāo)準(zhǔn)的無線終端混合存在的情況下也能夠應(yīng)用。
[0038][應(yīng)用例14]根據(jù)應(yīng)用例13所記載的無線LAN接入點(diǎn)裝置，在上述非法判斷單元將接收到的上述管理幀判斷為非法幀的情況下，上述執(zhí)行單元禁止執(zhí)行與接收到的該管理幀對(duì)應(yīng)的處理。
[0039]這種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置在將接收到的管理幀判斷為非法幀的情況下，禁止執(zhí)行與接收到的管理幀對(duì)應(yīng)的處理，因此能夠適當(dāng)?shù)胤烙垓_攻擊。
[0040][應(yīng)用例15]根據(jù)應(yīng)用例13或14所記載的無線LAN接入點(diǎn)裝置，上述執(zhí)行單元包括進(jìn)行認(rèn)證處理和認(rèn)證解除處理的認(rèn)證單元，該認(rèn)證處理用于使上述無線終端能夠通過上述無線LAN接入點(diǎn)裝置進(jìn)行通信，上述規(guī)定的管理幀包含請(qǐng)求上述認(rèn)證解除處理的認(rèn)證解除幀。
[0041]這種結(jié)構(gòu)的無線LAN接入點(diǎn)裝置能夠檢測(cè)到非法認(rèn)證解除幀，因此能夠?qū)κ褂昧苏J(rèn)證解除幀的欺騙攻擊采取各種對(duì)策。
[0042]也能夠?qū)?yīng)用例8?10的結(jié)構(gòu)附加到應(yīng)用例13?15的無線LAN接入點(diǎn)裝置中。這樣也起到與應(yīng)用例8?10同樣的效果。另外，本發(fā)明除了實(shí)現(xiàn)為上述無線LAN接入點(diǎn)裝置、非法管理幀檢測(cè)方法以外，還能夠?qū)崿F(xiàn)為非法管理幀檢測(cè)裝置、它們的計(jì)算機(jī)程序、記錄有該程序的存儲(chǔ)介質(zhì)等。
【專利附圖】

【附圖說明】
[0043]圖1是表示利用了作為本發(fā)明的第一實(shí)施例的接入點(diǎn)20的無線LAN網(wǎng)絡(luò)WL的結(jié)構(gòu)的說明圖。
[0044]圖2是表示接入點(diǎn)20的概要結(jié)構(gòu)的說明圖。[0045]圖3是表示接入點(diǎn)20中的非法幀檢測(cè)處理的流程的流程圖。
[0046]圖4是表示非法幀檢測(cè)處理中的非法幀檢測(cè)方法的說明圖。
[0047]圖5是表示作為第二實(shí)施例的接入點(diǎn)20的結(jié)構(gòu)的說明圖。
[0048]圖6是表示作為第二實(shí)施例的非法幀檢測(cè)處理的流程的說明圖。
[0049]圖7是概念性地例示非法幀檢測(cè)處理中的接收電波強(qiáng)度的監(jiān)視狀況的說明圖。
[0050]圖8是表示作為第三實(shí)施例的接入點(diǎn)20的概要結(jié)構(gòu)的說明圖。
[0051]圖9是表示作為第三實(shí)施例的接入點(diǎn)20中的非法幀檢測(cè)處理的流程的流程圖。
[0052]圖10是表示作為第四實(shí)施例的接入點(diǎn)20中的非法幀檢測(cè)處理的流程的流程圖。
[0053]附圖標(biāo)記說明
[0054]20:接入點(diǎn)；30 =CPU ；31:通信部；32:認(rèn)證部；33:序列監(jiān)視部；34:電波強(qiáng)度監(jiān)視部；35:序列判斷部；36:電波強(qiáng)度判斷部；37:通知部；41:R0M ；42:RAM ；45:WAN端口 ；46:無線通信接口 ；48:顯示LED ；61:發(fā)送機(jī)；62:接收機(jī)；WL:無線LAN網(wǎng)絡(luò);STA1、STA2:終端；STA13:非法終端；AP13:非法接入點(diǎn)；F1、F2、F10、F13:通信；D1:規(guī)定期間；AR1:無線通信區(qū)域；RT1、RT2:接收電波強(qiáng)度；DAF:數(shù)據(jù)幀；DEF:認(rèn)證解除幀。
【具體實(shí)施方式】
[0055]說明本發(fā)明的實(shí)施例。
[0056]A.第一實(shí)施例
[0057]A-1.接入點(diǎn)20的概要結(jié)構(gòu)
[0058]圖1示出利用了作為本發(fā)明的第一實(shí)施例的接入點(diǎn)20的無線LAN網(wǎng)絡(luò)WL的結(jié)構(gòu)。如圖示，無線LAN網(wǎng)絡(luò)WL具備接入點(diǎn)20以及終端STA1、STA2。接入點(diǎn)20是遵照IEEE802.11標(biāo)準(zhǔn)的無線LAN用的中繼器，終端STA1、STA2在無線通信區(qū)域ARl內(nèi)，能夠通過接入點(diǎn)20在基礎(chǔ)結(jié)構(gòu)模式下使用MAC幀進(jìn)行無線通信。無線通信區(qū)域ARl是僅特定者能夠進(jìn)入的區(qū)域，在本實(shí)施例中被設(shè)定于事業(yè)所的占地范圍內(nèi)。
[0059]在本實(shí)施例中，終端STA1、STA2是具備無線LAN適配器的個(gè)人計(jì)算機(jī)，該無線LAN適配器是能夠與接入點(diǎn)20之間進(jìn)行電波的發(fā)送接收的無線LAN連接用設(shè)備。對(duì)無線LAN適配器附加有MAC地址，該MAC地址是適配器所固有的標(biāo)識(shí)符。另外，對(duì)接入點(diǎn)20附加有SSID (Service Set Identifier:服務(wù)集標(biāo)識(shí)符)，該SSID是用于識(shí)別接入點(diǎn)的標(biāo)識(shí)符。在此，接入點(diǎn)20的SSID是“AAAA”。
[0060]在上述無線LAN網(wǎng)絡(luò)WL中，可能會(huì)受到由非法入侵到事業(yè)所內(nèi)的非法入侵者進(jìn)行的欺騙攻擊。例如如下這樣進(jìn)行欺騙攻擊。首先，非法入侵者將非法終端STA13以及非法接入點(diǎn)AP13帶入到無線通信區(qū)域AR1。然后，該非法入侵者接收從接入點(diǎn)20發(fā)送的管理幀來掌握接入點(diǎn)20的SSID。在IEEE802.11標(biāo)準(zhǔn)中，用于通知無線通信所需的基本信息的信標(biāo)、請(qǐng)求用于進(jìn)行通信的認(rèn)證的認(rèn)證巾貞(Authentication Frame)、請(qǐng)求解除認(rèn)證的認(rèn)證解除巾貞(Deauthentication Frame)等被定義為管理中貞。
[0061]然后，非法入侵者在終端STA1、STA2通過接入點(diǎn)20以通信F1、F2進(jìn)行通信時(shí)，使用非法終端STA13來冒充作為發(fā)送源的終端STAl (的無線LAN適配器)的MAC地址，將認(rèn)證解除幀發(fā)送到所掌握的SSID、即接入點(diǎn)20 (通信F13)。這樣，接入點(diǎn)20解除終端STAl的認(rèn)證，從而解除連接關(guān)系。[0062]連接被解除的終端STAl為了重新進(jìn)行連接，向接入點(diǎn)20發(fā)送認(rèn)證幀。當(dāng)SSID被設(shè)定為與接入點(diǎn)20相同的“AAAA”的非法接入點(diǎn)AP13接收到上述認(rèn)證幀時(shí)，終端STAl與非法接入點(diǎn)AP13構(gòu)建連接關(guān)系，從而能夠進(jìn)行通信(通信F10)。當(dāng)發(fā)生這種狀況時(shí)，可能會(huì)從終端STAl通過非法接入點(diǎn)AP13向外部泄漏機(jī)密信息等重要的信息。本實(shí)施例的接入點(diǎn)20具備用于防止這種由欺騙攻擊導(dǎo)致的信息泄漏的結(jié)構(gòu)。以下對(duì)這一點(diǎn)進(jìn)行說明。
[0063]圖2中示出接入點(diǎn)20的概要結(jié)構(gòu)。如圖示，接入點(diǎn)20具備CPU30、R0M41、RAM42、WAN端口 45、無線通信接口 46以及顯示LED48，它們通過總線相互連接。
[0064]CPU30通過將RO M 41所存儲(chǔ)的程序在RAM42中展開并執(zhí)行來控制接入點(diǎn)20的整體動(dòng)作。另外,CPU30通過執(zhí)行有關(guān)程序，還能夠作為通信部31、認(rèn)證部32、序列監(jiān)視部33、序列判斷部35以及通知部37而發(fā)揮功能。在后面詳細(xì)說明這些各功能部。
[0065]WAN端口 45是用于與因特網(wǎng)等外部網(wǎng)絡(luò)進(jìn)行連接的接口。顯示LED48是通過點(diǎn)亮/閃爍等來顯示無線LAN的連接狀態(tài)、通信狀態(tài)等的LED。
[0066]無線通信接口 46上連接有發(fā)送電波的發(fā)送機(jī)61以及接收電波的接收機(jī)62。該發(fā)送機(jī)61和接收機(jī)62以能夠向外部發(fā)送電波或接收來自外部的電波的狀態(tài)內(nèi)置于接入點(diǎn)20。
[0067]A-2.非法幀檢測(cè)處理
[0068]使用圖3來說明上述接入點(diǎn)20中的非法幀檢測(cè)處理。非法幀檢測(cè)處理是如下處理:檢測(cè)沒有對(duì)無線LAN網(wǎng)絡(luò)WL的訪問權(quán)限的第三方為了進(jìn)行上述欺騙攻擊而發(fā)送的認(rèn)證解除幀(以下也稱為“非法幀”)來實(shí)現(xiàn)對(duì)欺騙攻擊的防御。在本實(shí)施例中，在接入點(diǎn)20的電源被接通而成為發(fā)揮幀的中繼功能的狀態(tài)時(shí)，在每次從終端STA1、STA2接收到幀時(shí)重復(fù)執(zhí)行非法幀檢測(cè)處理。
[0069]當(dāng)開始非法幀檢測(cè)處理時(shí)，作為CPU30的序列監(jiān)視部33的處理，在作為通信部31的處理而每次通過接收機(jī)62從終端STA1、STA2接收到幀時(shí)，將該幀所包含的序列號(hào)存儲(chǔ)在RAM42中來進(jìn)行掌握(步驟S110)。按作為幀發(fā)送源的每個(gè)終端STAl、STA2，將上述序列號(hào)與每個(gè)終端的標(biāo)識(shí)符(在此為MAC地址)相對(duì)應(yīng)地進(jìn)行存儲(chǔ)。序列號(hào)是指附加給各終端所發(fā)送的幀的連續(xù)編號(hào)，在IEEE802.11標(biāo)準(zhǔn)中是構(gòu)成MAC幀的序列控制所包含的數(shù)據(jù)。
[0070]當(dāng)掌握序列號(hào)時(shí)，CPU30判斷是否通過無線LAN網(wǎng)絡(luò)WL接收到認(rèn)證解除幀(步驟S120)。如果其結(jié)果是沒有接收到認(rèn)證解除幀(步驟S120 否”)，則CPU30返回處理。
[0071]另一方面，如果接收到認(rèn)證解除幀(步驟S120 是”)，則作為CPU30的序列判斷部35的判斷，判斷接收到的認(rèn)證解除幀所包含的序列號(hào)和通過步驟SllO已掌握(已存儲(chǔ))的序列號(hào)是否滿足規(guī)定條件(步驟S130)，通過步驟SllO已掌握的序列號(hào)與作為認(rèn)證解除幀的發(fā)送源的終端對(duì)應(yīng)。在本實(shí)施例中，規(guī)定條件是指以下所示的兩個(gè)條件。根據(jù)RAM42所存儲(chǔ)的序列號(hào)的歷史記錄(已掌握的序列號(hào))，如果滿足這些條件中的至少一個(gè)，則CPU30判斷為滿足上述的規(guī)定條件。
[0072]第一條件:在接收到的認(rèn)證解除幀所包含的序列號(hào)與通過步驟SllO已掌握(已存儲(chǔ))的序列號(hào)中存在重復(fù)的編號(hào)。
[0073]第二條件:通過步驟SllO已掌握(已存儲(chǔ))的序列號(hào)中的與接收到的認(rèn)證解除幀所包含的序列號(hào)最接近的編號(hào)和接收到的認(rèn)證解除幀所包含的序列號(hào)之差超過了規(guī)定范圍。[0074]此外，在本實(shí)施例中，第二條件中的規(guī)定范圍是指序列號(hào)之差為值4以內(nèi)的范圍。
[0075]上述兩個(gè)條件用于判斷接收到的認(rèn)證解除幀是從具有無線LAN網(wǎng)絡(luò)WL的利用權(quán)限的終端STA1、STA2發(fā)送的合法幀、還是通過“冒充”而從非法終端STA13發(fā)送的非法幀。序列號(hào)是每次發(fā)送幀時(shí)所附加的幀的連續(xù)編號(hào)，因此所接收的幀的序列號(hào)基本上是連續(xù)的，在同一期間內(nèi)不會(huì)產(chǎn)生多個(gè)相同的編號(hào)。另外，雖然有可能由于幀與幀之間從終端到達(dá)的順序調(diào)換或產(chǎn)生幀的丟失而導(dǎo)致在幀的接收順序上產(chǎn)生序列號(hào)不連續(xù)，但是其差不會(huì)為較大的值。上述兩個(gè)條件是活用上述序列號(hào)的特征來判斷非法幀的條件。
[0076]例如，如圖4的(a)的CASEl所示，在接入點(diǎn)20從終端STAl依次接收到連續(xù)的序列號(hào)為2915、2916、2917、2918的數(shù)據(jù)幀DAF之后從非法終端STA13 (MAC地址與終端STAl相同)接收到序列號(hào)為2916的認(rèn)證解除幀DEF的情況下，在從終端STAl接收到的數(shù)據(jù)幀DAF和從非法終端STA13接收到的認(rèn)證解除幀DEF中包含重復(fù)的序列號(hào)“2916”。S卩，滿足上述的第一條件。在這種情況下，接入點(diǎn)20已經(jīng)從終端STAl接收到了序列號(hào)連續(xù)的數(shù)據(jù)幀DAF，因此能夠判斷為認(rèn)證解除幀DEF是非法幀。
[0077]另外，如圖4的(a)的CASE2所示，在接入點(diǎn)20從終端STAl依次接收到序列號(hào)為2915?2918的數(shù)據(jù)幀DAF之后從非法終端STA13接收到序列號(hào)為3000的認(rèn)證解除幀DEF的情況下，與認(rèn)證解除幀DEF的序列號(hào)3000最接近的已掌握的序列號(hào)為2918。這兩個(gè)序列號(hào)之差為值82(=3000-2918>4)。即，滿足上述的第二條件。在現(xiàn)實(shí)中這種序列號(hào)的較大差很難認(rèn)為是由于幀的缺失、在接收順序和發(fā)送順序中調(diào)換而產(chǎn)生的差。因而，在滿足第二條件的情況下也能夠判斷為認(rèn)證解除幀DEF是非法幀。
[0078]通過上述說明明確可知，第二條件中的規(guī)定范圍是指以連續(xù)接收到的幀的序列號(hào)之差是否處于由于幀的缺失、在發(fā)送順序和接收順序中調(diào)換而能夠產(chǎn)生的程度為基準(zhǔn)的閾值。因而，第二條件中的規(guī)定范圍不限于值4以內(nèi)，只要適當(dāng)設(shè)定即可。例如，也可以設(shè)為值16以內(nèi)。這樣，如果將規(guī)定范圍設(shè)定得比較大，則僅能夠檢測(cè)到確實(shí)是非法幀的幀。另夕卜，也可以不考慮這種幀的缺失、在發(fā)送順序和接收順序中的調(diào)換，而將序列號(hào)之差設(shè)為值I以內(nèi)(在這種情況下，序列號(hào)為連續(xù)的值)來作為第二條件中的規(guī)定范圍。這樣是因?yàn)槟軌蚋踩貦z測(cè)非法幀。即使將從終端STA1、STA2發(fā)送的合法的認(rèn)證解除幀判斷為非法幀，終端STA1、STA2只要重新發(fā)送認(rèn)證解除幀即可，因此即使這樣也不會(huì)產(chǎn)生大問題。另夕卜，也可以構(gòu)成為通過網(wǎng)絡(luò)管理者、用戶的設(shè)定能夠改變第二條件中的規(guī)定范圍的設(shè)定。這樣，能夠根據(jù)使用狀況將對(duì)于非法幀的安全水平變更為所期望的程度。
[0079]如果這種判斷的結(jié)果是序列號(hào)滿足規(guī)定條件(步驟S130 是”)，則CPU30將接收到的認(rèn)證解除幀判斷為非法幀(步驟S180)。另一方面，如果序列號(hào)不滿足規(guī)定條件(步驟S130: “否”)，則所接收到的認(rèn)證解除幀不一定是非法幀。因此，CPU30使用以下說明的其它判斷基準(zhǔn)來進(jìn)行非法幀的檢測(cè)。
[0080]具體地說，CPU30首先將與接收到的認(rèn)證解除幀對(duì)應(yīng)的認(rèn)證解除處理的執(zhí)行掛起，在規(guī)定期間Dl期間內(nèi)待機(jī)(步驟S140)。在本實(shí)施例中，規(guī)定期間Dl是指接收到認(rèn)證解除幀之后的規(guī)定的經(jīng)過時(shí)間(例如3秒)。但是，規(guī)定期間Dl不限于上述例，也可以設(shè)為從發(fā)送了認(rèn)證解除幀的終端接收規(guī)定數(shù)量的幀的期間等。在這種情況下，期望確保接收3幀左右的期間。
[0081]當(dāng)待機(jī)規(guī)定期間Dl時(shí)，作為CPU30的序列判斷部35的處理，判斷在規(guī)定期間Dl內(nèi)是否從發(fā)送了認(rèn)證解除幀的終端接收到序列號(hào)與接收到的認(rèn)證解除幀的序列號(hào)重復(fù)的幀(步驟S150)。在其結(jié)果是接收到該幀的情況下，CPU30將接收到的認(rèn)證解除幀判斷為非法幀(步驟S180)。另一方面，在沒有接收到該幀的情況下，CPU30將接收到的認(rèn)證解除幀判斷為合法幀(步驟S160)。
[0082]例如，如圖4的(b)所示，在接入點(diǎn)20從終端STAl依次接收到序列號(hào)為2915?2918的數(shù)據(jù)幀DAF之后從非法終端STA13接收到序列號(hào)為2919的認(rèn)證解除幀DEF的情況下，由于這些序列號(hào)連續(xù)，因此認(rèn)證解除幀DEF也被認(rèn)為是合法幀。但是，CPU30將認(rèn)證解除幀DEF的處理的執(zhí)行掛起，待機(jī)規(guī)定期間Dl。然后，如圖示，當(dāng)在規(guī)定期間Dl期間內(nèi)接收到序列號(hào)為2919的數(shù)據(jù)幀DAF時(shí)，CPU30將認(rèn)證解除幀DEF判斷為非法幀。此外，在規(guī)定期間Dl期間內(nèi)接收到序列號(hào)為2919的數(shù)據(jù)幀DAF的情況下，CPU30當(dāng)然也可以不用等到經(jīng)過規(guī)定時(shí)間Dl就將認(rèn)證解除幀DEF判斷為非法幀。
[0083]進(jìn)行這種處理是為了防止如下情況:非法終端STA13可能接收到由終端STAl發(fā)送的數(shù)據(jù)幀DAF，因此能夠?qū)⑿蛄刑?hào)設(shè)定為與終端STAl所發(fā)送的數(shù)據(jù)幀DAF連續(xù)來發(fā)送認(rèn)證解除幀DEF，由此冒充合法幀來進(jìn)行欺騙。
[0084]如上所述，當(dāng)判斷為接收到的認(rèn)證解除幀是合法幀時(shí)(步驟S160)，作為CPU30的認(rèn)證部32的處理，對(duì)作為認(rèn)證解除幀的發(fā)送源的終端執(zhí)行認(rèn)證解除處理(步驟S170)，返回處理。另一方面，當(dāng)判斷為接收到的認(rèn)證解除幀是非法幀時(shí)(步驟S180)，作為CPU30的通知部37的處理，通過將表示接收到非法幀的意思發(fā)送到預(yù)先登記的郵件地址，來向接入點(diǎn)20的網(wǎng)絡(luò)管理者或用戶進(jìn)行通知(步驟S190)，返回處理。即，在判斷為接收到的認(rèn)證解除幀是非法幀的情況下，作為CPU30的認(rèn)證部32的處理，禁止執(zhí)行認(rèn)證解除處理。
[0085]這種結(jié)構(gòu)的接入點(diǎn)20在每次從終端STA1、STA2接收到幀時(shí)掌握幀所包含的序列號(hào)，在接收到認(rèn)證解除幀時(shí)，根據(jù)序列監(jiān)視單元所掌握的序列號(hào)以及認(rèn)證解除幀所包含的序列號(hào)來進(jìn)行非法幀的判斷。然后，在判斷為是非法幀的情況下，禁止執(zhí)行與接收到的認(rèn)證解除幀對(duì)應(yīng)的認(rèn)證解除處理，因此能夠適當(dāng)?shù)胤烙垓_攻擊。
[0086]另外，接入點(diǎn)20使用序列號(hào)來進(jìn)行非法幀的檢測(cè)，因此結(jié)構(gòu)較為簡(jiǎn)單。另外，接入點(diǎn)20使用序列號(hào)來在接入點(diǎn)20側(cè)檢側(cè)非法幀，因此只要是使用序列號(hào)發(fā)送幀的無線終端，對(duì)于任何標(biāo)準(zhǔn)的無線終端都能夠應(yīng)用，通用性較高，從而有助于節(jié)省資源、降低成本。即，在無線終端側(cè)不特別需要特別的結(jié)構(gòu)，對(duì)于已普及的無線終端也能夠直接應(yīng)用，另外，在新舊標(biāo)準(zhǔn)的無線終端混合存在的情況下也能夠應(yīng)用。
[0087]另外，接入點(diǎn)20在檢測(cè)到非法幀時(shí)發(fā)送郵件來進(jìn)行通知，因此網(wǎng)絡(luò)管理者或用戶能夠容易地獲知接收到了非法幀，從而能夠根據(jù)需要研究對(duì)于該攻擊的新對(duì)策。
[0088]B.第二實(shí)施例
[0089]對(duì)作為本發(fā)明的第二實(shí)施例的接入點(diǎn)20的結(jié)構(gòu)和非法幀檢測(cè)處理進(jìn)行說明。
[0090]B-1.接入點(diǎn)20的結(jié)構(gòu)
[0091]使用圖5來說明作為第二實(shí)施例的接入點(diǎn)20的結(jié)構(gòu)。作為第二實(shí)施例的接入點(diǎn)20的硬件結(jié)構(gòu)與第一實(shí)施例的接入點(diǎn)20相同。與第一實(shí)施例的不同點(diǎn)在于，如圖5所示，CPU30不作為序列監(jiān)視部33和序列判斷部35而發(fā)揮功能，以及還作為電波強(qiáng)度監(jiān)視部34和電波強(qiáng)度判斷部36而發(fā)揮功能。此外，在圖5中，對(duì)于與第一實(shí)施例相同的結(jié)構(gòu)附加與圖1相同的附圖標(biāo)記。在后述的非法幀檢測(cè)處理的說明中詳細(xì)說明電波強(qiáng)度監(jiān)視部34以及電波強(qiáng)度判斷部36的功能部。另外，對(duì)于CPU30以外的結(jié)構(gòu)，由于與第一實(shí)施例相同，因此在此省略說明。
[0092]B-2.非法幀檢測(cè)處理的處理
[0093]使用圖6來說明作為第二實(shí)施例的非法幀檢測(cè)處理。此外，在以下的說明中，對(duì)與第一實(shí)施例的非法幀檢測(cè)相同的步驟附加與圖3相同的附圖標(biāo)記，簡(jiǎn)化其說明。如圖示，當(dāng)開始非法幀檢測(cè)處理時(shí)，作為CPU30的電波強(qiáng)度監(jiān)視部34的處理，在每次從終端STAl、STA2接收到巾貞時(shí)，將其接收電波強(qiáng)度(RSSI:Receive Signal Strength Indication)與終端的標(biāo)識(shí)符(在此為MAC地址)相對(duì)應(yīng)地存儲(chǔ)在RAM42中來進(jìn)行監(jiān)視(步驟S210)。
[0094]圖7中概念性地示出步驟S210中的接收電波強(qiáng)度的監(jiān)視情形。如圖示，與接收時(shí)間相對(duì)應(yīng)地監(jiān)視終端STAl的接收電波強(qiáng)度RTl和終端STA2的接收電波強(qiáng)度RT2。圖中的標(biāo)繪點(diǎn)表示接收到幀時(shí)的各接收電波強(qiáng)度。
[0095]當(dāng)對(duì)接收電波強(qiáng)度進(jìn)行監(jiān)視時(shí)，CPU30判斷是否接收到認(rèn)證解除幀(步驟S120)。如果其結(jié)果是沒有接收到認(rèn)證解除幀(步驟S120:“否”)，則CPU30返回處理。另一方面，如果接收到認(rèn)證解除幀(步驟S120 是”)，則作為CPU30的電波強(qiáng)度判斷部36的處理，算出該接收時(shí)的與作為認(rèn)證解除幀的發(fā)送源的終端相對(duì)應(yīng)的接收電波強(qiáng)度的斜率(步驟S220)。使用圖7來進(jìn)一步說明該處理。如圖示，CPU30在每次存儲(chǔ)接收到認(rèn)證解除幀時(shí)的接收電波強(qiáng)度時(shí)，在相鄰的接收電波強(qiáng)度數(shù)據(jù)之間進(jìn)行線性插值。然后，CPU30算出其斜率、即每單位時(shí)間AT的接收電波強(qiáng)度的變化量AR。
[0096]當(dāng)算出接收電波強(qiáng)度的斜率時(shí)，作為CPU30的電波強(qiáng)度判斷部36的處理，判斷所算出的斜率是否處于規(guī)定范圍內(nèi)(步驟S230)。如果其結(jié)果是斜率處于規(guī)定范圍內(nèi)(步驟S230 是”)，則CPU30將認(rèn)證解除幀判斷為合法幀(步驟S160)。另一方面，如果斜率超過規(guī)定范圍(步驟S230 否”)，則CPU30將認(rèn)證解除幀判斷為非法幀(步驟S180)。
[0097]能夠使用接收電波強(qiáng)度的斜率來進(jìn)行這種判斷的理由如下。例如，如圖1所示，在終端STAl被設(shè)置于距接入點(diǎn)20相對(duì)較近的位置、非法終端STA13被設(shè)置于距接入點(diǎn)20相對(duì)較遠(yuǎn)的位置的情況下，從終端STAl發(fā)送的幀的接收電波強(qiáng)度多數(shù)情況下大于從非法終端STA13發(fā)送的幀的接收電波強(qiáng)度。在這種情況下，如果對(duì)接入點(diǎn)20與終端STAl之間的通信的接收電波強(qiáng)度進(jìn)行監(jiān)視，則當(dāng)接入點(diǎn)20接收到非法終端STA13冒充終端STAl而發(fā)送的幀時(shí)，如圖7的時(shí)間T1-T2之間那樣，接收電波強(qiáng)度會(huì)急劇減弱。即，接收電波強(qiáng)度的斜率作為負(fù)值而急劇增大。
[0098]反之，在終端STAl被設(shè)置于距接入點(diǎn)20相對(duì)較遠(yuǎn)的位置、非法終端STA13被設(shè)置于距接入點(diǎn)20相對(duì)較近的位置的情況下，當(dāng)接入點(diǎn)20接收到非法終端STA13冒充終端STAl而發(fā)送的幀時(shí)，接收電波強(qiáng)度的斜率作為正值而急劇增大。
[0099]在本實(shí)施例中，這樣利用由于終端STAl和非法終端STA13的設(shè)置位置不同而引起的現(xiàn)象來檢測(cè)非法幀。此外，也考慮到在非法終端STA13發(fā)送非法幀時(shí)故意增強(qiáng)或減弱非法幀的接收電波強(qiáng)度的情況，但是在這種情況下，只要其與終端STAl所發(fā)送的幀的接收電波強(qiáng)度之間存在規(guī)定的差，也同樣地能夠檢測(cè)非法幀。
[0100]在此，也考慮到終端STA1、STA2的用戶在終端STA1、STA2的通信過程中在無線通信區(qū)域ARl的內(nèi)部移動(dòng)終端STA1、STA2的設(shè)置位置的情況。在這種情況下，接收電波強(qiáng)度的斜率有時(shí)也會(huì)變得比較大。因而，為了避免與這種用戶移動(dòng)的影響混淆，也可以以人移動(dòng)而無法產(chǎn)生的程度的斜率來設(shè)定步驟S230的判斷所使用的接收電波強(qiáng)度的斜率的閾值。
[0101]另外,在具備多個(gè)無線接收部的接入點(diǎn)、例如如MIM0(Multiple Input/MultipleOutput:多輸入多輸出)方式那樣具有多個(gè)無線接收部的接入點(diǎn)中，也可以按各無線接收部獨(dú)立地獲取接收電波強(qiáng)度。在這種情況下，通過綜合判斷每個(gè)無線接收部的接收電波強(qiáng)度的斜率，能夠進(jìn)行精確度更高的非法幀的檢測(cè)。
[0102]如上所述，當(dāng)判斷為接收到的認(rèn)證解除幀是合法幀時(shí)(步驟S160)，CPU30對(duì)作為認(rèn)證解除幀的發(fā)送源的終端執(zhí)行認(rèn)證解除處理(步驟S170)，返回處理。另一方面，當(dāng)判斷為接收到的認(rèn)證解除幀是非法幀時(shí)(步驟S180)，CPU30將表示接收到非法幀的意思發(fā)送到預(yù)先登記的郵件地址，來向用戶進(jìn)行通知(步驟S190)，返回處理。
[0103]這種結(jié)構(gòu)的接入點(diǎn)20對(duì)接收來自終端STA1、STA2的幀時(shí)的接收電波強(qiáng)度進(jìn)行監(jiān)視，在接收到認(rèn)證解除幀時(shí)的接收電波強(qiáng)度的斜率、即每規(guī)定期間的變化量超過了規(guī)定范圍的情況下，將認(rèn)證解除幀判斷為非法幀，因此能夠檢測(cè)出非法的認(rèn)證解除幀，從而對(duì)欺騙攻擊采取各種對(duì)策。另外，在判斷為是非法幀的情況下禁止執(zhí)行與所接收到的認(rèn)證解除幀對(duì)應(yīng)的認(rèn)證解除處理，因此能夠適當(dāng)?shù)胤烙垓_攻擊。
[0104]另外，接入點(diǎn)20使用接收電波強(qiáng)度來進(jìn)行非法幀的檢測(cè)，因此結(jié)構(gòu)較為簡(jiǎn)單。另夕卜，使用接收電波強(qiáng)度來在接入點(diǎn)20側(cè)檢測(cè)非法幀，因此對(duì)于任何標(biāo)準(zhǔn)的無線終端都能夠應(yīng)用，通用性較高，從而有助于節(jié)省資源、降低成本。即，在無線終端側(cè)不特別需要特別的結(jié)構(gòu)，對(duì)于已普及的無線終端也能夠直接應(yīng)用，另外，在新舊標(biāo)準(zhǔn)的無線終端混合存在的情況下也能夠應(yīng)用。
[0105]另外，接入點(diǎn)20在檢測(cè)到非法幀時(shí)發(fā)送郵件進(jìn)行通知，因此用戶能夠容易地獲知接收到了非法幀，從而能夠根據(jù)需要研究對(duì)該攻擊的新對(duì)策。
[0106]C.第三實(shí)施例
[0107]對(duì)作為本發(fā)明的第三實(shí)施例的接入點(diǎn)20的結(jié)構(gòu)和非法幀檢測(cè)處理進(jìn)行說明。作為第三實(shí)施例的非法幀檢測(cè)處理是第一實(shí)施例與第二實(shí)施例的組合。
[0108]C-1.接入點(diǎn)20的結(jié)構(gòu)
[0109]使用圖8來說明作為第三實(shí)施例的接入點(diǎn)20的結(jié)構(gòu)。作為第三實(shí)施例的接入點(diǎn)20的硬件結(jié)構(gòu)與第一實(shí)施例的接入點(diǎn)20相同。與第一實(shí)施例的不同點(diǎn)在于，如圖8所示，CPU30還作為電波強(qiáng)度監(jiān)視部34和電波強(qiáng)度判斷部36而發(fā)揮功能。即，兼?zhèn)涞谝粚?shí)施例的CPU30的功能和第二實(shí)施例的CPU30的功能。此外，在圖8中，對(duì)與第一實(shí)施例或第二實(shí)施例相同的結(jié)構(gòu)附加與圖2或圖5相同的附圖標(biāo)記。這些功能部的詳細(xì)如上所述，因此在此省略說明。
[0110]C-2.非法幀檢測(cè)處理
[0111]使用圖9來說明作為第三實(shí)施例的接入點(diǎn)20中的非法幀檢測(cè)處理。此外，如上所述，作為第三實(shí)施例的非法幀檢測(cè)處理是第一實(shí)施例的處理與第二實(shí)施例的處理的組合，因此省略各步驟的詳細(xì)說明。另外，附加于各步驟的標(biāo)記與上述的內(nèi)容相同的步驟相對(duì)應(yīng)。
[0112]當(dāng)開始作為第三實(shí)施例的非法幀檢測(cè)處理時(shí)，CPU30掌握接收到的幀所包含的序列號(hào)(步驟S110)并對(duì)電波強(qiáng)度進(jìn)行監(jiān)視(步驟S210)。然后，如果所接收到的幀是認(rèn)證解除幀(步驟S120 是”)，則CPU30以上述第一實(shí)施例的方法(參照?qǐng)D3)來進(jìn)行非法幀的檢測(cè)(步驟S130?S150)。[0113]如果其結(jié)果是沒有作出接收到的認(rèn)證解除幀是非法幀這種判斷(步驟S130 否”且步驟S150 否”)，則CPU30接著以上述的第二實(shí)施例的方法(參照?qǐng)D6)來進(jìn)行非法幀的檢測(cè)(步驟S220、S230)。當(dāng)這些處理的結(jié)果是在任一個(gè)處理中判斷為是非法幀時(shí)(經(jīng)過步驟S130 是”、步驟S150 是”、步驟S230 否”中的任一個(gè)而來到步驟S180)，CPU30發(fā)送郵件來向用戶進(jìn)行通知(步驟S190)。
[0114]另一方面，如果在任一個(gè)處理中都沒有判斷為是非法幀(經(jīng)過步驟S130 否”、步驟S150 否”、步驟S230 是”而來到步驟S160)，則執(zhí)行與接收到的認(rèn)證解除幀對(duì)應(yīng)的認(rèn)證解除處理(步驟S170)。此外，在上述例中，構(gòu)成為按照第一實(shí)施例的處理(步驟S130?S150)、第二實(shí)施例的處理(步驟S220、S230)的順序來執(zhí)行處理，但是不限定于這種順序，也可以與上述的順序相反。
[0115]這種結(jié)構(gòu)的接入點(diǎn)20進(jìn)行將第一實(shí)施例的非法幀檢測(cè)處理與第二實(shí)施例的非法幀檢測(cè)處理組合而得到的非法幀檢測(cè)處理，因此能夠起到上述兩個(gè)處理產(chǎn)生的上述效果。另外，能夠使用不同角度的兩種方法來進(jìn)行非法幀的檢測(cè)，因此能夠提高非法幀檢測(cè)的準(zhǔn)確度，提高安全性。
[0116]D.第四實(shí)施例
[0117]對(duì)作為本發(fā)明的第四實(shí)施例的非法幀檢測(cè)處理進(jìn)行說明。作為第四實(shí)施例的非法幀檢測(cè)處理與第三實(shí)施例的不同點(diǎn)在于:在第三實(shí)施例的非法幀檢測(cè)處理中，檢測(cè)非法的塊確認(rèn)(BI ock ACK)解除幀來代替檢測(cè)非法的認(rèn)證解除幀。Block ACK解除幀是IEEE802.11標(biāo)準(zhǔn)所規(guī)定的管理幀之一，是請(qǐng)求解除通過Block ACK方式來進(jìn)行通信的協(xié)定的幀(DELBA Frame)。由于Block ACK方式是公知的技術(shù)，因此省略詳細(xì)的說明，ACK方式是發(fā)送側(cè)集合多個(gè)巾貞作為塊進(jìn)行發(fā)送、接收側(cè)回復(fù)ACK(A CKnowledgement:確認(rèn))作為接收到該塊的確認(rèn)響應(yīng)的通信方式，能夠?qū)崿F(xiàn)通信的高效化。
[0118]圖10中示出作為第四實(shí)施例的非法幀檢測(cè)處理。圖示的非法幀檢測(cè)處理的流程與作為上述第三實(shí)施例的非法幀檢測(cè)處理(圖9)相同，因此省略各步驟的詳細(xì)說明。另外，附加于各步驟的標(biāo)記與上述的內(nèi)容相同的步驟相對(duì)應(yīng)。
[0119]當(dāng)開始作為第四實(shí)施例的非法幀檢測(cè)處理時(shí)，CPU30掌握接收到的幀所包含的序列號(hào)(步驟S110)并對(duì)電波強(qiáng)度進(jìn)行監(jiān)視(步驟S210)。然后，如果所接收到的幀是BlockACK解除幀(步驟S320 是”)，則CPU30以上述第一實(shí)施例的方法(參照?qǐng)D3)來進(jìn)行非法幀的檢測(cè)(步驟S130?S150)。
[0120]如果其結(jié)果是沒有作出所接收到的Block ACK解除幀是非法幀這種判斷(步驟S130 否”且步驟S150 否”)，則CPU30接著以上述第二實(shí)施例的方法(參照?qǐng)D6)來進(jìn)行非法幀的檢測(cè)(步驟S220、S230)。當(dāng)這些處理的結(jié)果是在任一個(gè)處理中判斷為是非法幀時(shí)(經(jīng)過步驟S130 是”、步驟S150 是”、步驟S230 否”中的任一個(gè)而來到步驟S180)，CPU30發(fā)送郵件來向用戶進(jìn)行通知(步驟S190)。
[0121]另一方面，如果在任一個(gè)處理中都沒有判斷為是非法幀(經(jīng)過步驟S130 否”、步驟S150 否”、步驟S230 是”而來到步驟S160)，則執(zhí)行與接收到的Block ACK解除幀對(duì)應(yīng)的Block ACK解除處理(步驟S370)。
[0122]在這種非法幀檢測(cè)處理中，判斷接收到的Block ACK解除幀是否是非法幀，在是非法幀的情況下，禁止Block ACK解除處理。因而，在接入點(diǎn)20與終端STAl、STA2之間已確立基于Block ACK的通信的狀況下，能夠?qū)Ψ欠ńK端STA13冒充終端STA1、STA2解除Block ACK協(xié)定來阻礙終端STAl、STA2的通信的欺騙攻擊適當(dāng)?shù)剡M(jìn)行防御。此外，檢測(cè)非法的Block ACK解除幀的結(jié)構(gòu)當(dāng)然也能夠應(yīng)用于第一實(shí)施例、第二實(shí)施例的非法幀檢測(cè)處理。
[0123]從以上的說明明確可知，接入點(diǎn)20所檢測(cè)的非法管理幀不限于認(rèn)證解除幀，而能夠設(shè)為各種管理幀。在這種情況下，接入點(diǎn)20也可以構(gòu)成為禁止與被判斷為非法的管理幀對(duì)應(yīng)的處理。
[0124]對(duì)上述實(shí)施例的變形例進(jìn)行說明。
[0125]E.變形例
[0126]E-1.變形例 I
[0127]在上述實(shí)施方式中示出了如下結(jié)構(gòu):在非法幀檢測(cè)處理中將接收到的管理幀判斷為非法幀的情況下(步驟S180)，CPU30發(fā)送表示接收到非法幀的意思的郵件來向用戶等進(jìn)行通知(步驟S190)，但是這種情況下的通知方式并不限于發(fā)送郵件。例如，CPU30也可以在RAM42中記錄接收到非法幀來作為接入點(diǎn)20的動(dòng)作歷史記錄，保留在日志中?；蛘?，也可以點(diǎn)亮顯示LED48、或在接入點(diǎn)20具備顯示器的情況下在該顯示器上進(jìn)行顯示，來向用戶進(jìn)行通知，在接入點(diǎn)20具備蜂鳴器、揚(yáng)聲器等的情況下，也可以利用聲音來向用戶進(jìn)行通知。
[0128]當(dāng)然，向用戶等進(jìn)行通知的通知處理并非必須，CPU30也可以構(gòu)成為不進(jìn)行通知處理而僅禁止與接收到的管理幀對(duì)應(yīng)的處理。因?yàn)檫@樣也起到對(duì)欺騙攻擊的防御效果。并且，禁止與接收到的管理幀對(duì)應(yīng)的處理的結(jié)構(gòu)也并非必須，CPU30也可以構(gòu)成為不禁止與接收到的管理幀對(duì)應(yīng)的處理而僅進(jìn)行通知處理。這是因?yàn)樵跓o線LAN網(wǎng)絡(luò)WL中，并不一定是對(duì)具有機(jī)密性的信息進(jìn)行處理。即使這樣，由于用戶能夠獲知欺騙攻擊的存在，因此在對(duì)具有機(jī)密性的信息進(jìn)行處理時(shí)，也能夠采取必要的對(duì)策。
[0129]E-2.變形例 2
[0130]在上述實(shí)施方式中構(gòu)成為如下結(jié)構(gòu):在非法幀檢測(cè)處理中將接收到的管理幀判斷為非法幀的情況下(步驟S180)，CPU30禁止與接收到的管理幀對(duì)應(yīng)的處理，但是除此以外，還可以執(zhí)行限制接入點(diǎn)20的功能的處理。作為這種處理，例如能夠設(shè)為在規(guī)定期間內(nèi)禁止通信的處理、在規(guī)定期間內(nèi)切斷電源的處理等。這樣，能夠更可靠地防御欺騙攻擊。
[0131]以上對(duì)本發(fā)明的實(shí)施方式進(jìn)行了說明，但是上述實(shí)施方式中的本發(fā)明的結(jié)構(gòu)要素中的除獨(dú)立權(quán)利要求所記載的要素以外的要素是附加要素，能夠適當(dāng)省略。另外，本發(fā)明當(dāng)然不限于這種實(shí)施方式，在不脫離本發(fā)明的要旨的范圍內(nèi)能夠以各種方式來實(shí)施。例如，本發(fā)明除了以作為接入點(diǎn)的結(jié)構(gòu)、非法管理幀檢測(cè)方法來實(shí)現(xiàn)以外，也能夠以非法管理幀檢測(cè)裝置、它們的計(jì)算機(jī)程序、記錄有該計(jì)算機(jī)程序的存儲(chǔ)介質(zhì)等來實(shí)現(xiàn)。
【權(quán)利要求】
1.一種無線LAN接入點(diǎn)裝置，通過無線通信路徑與無線終端之間進(jìn)行使用了幀的數(shù)據(jù)的發(fā)送接收，該無線LAN接入點(diǎn)裝置具備: 通信單元，其與上述無線終端之間進(jìn)行上述幀的發(fā)送接收； 執(zhí)行單元，其在上述通信單元從上述無線終端接收到規(guī)定的管理幀時(shí)，執(zhí)行與該管理幀對(duì)應(yīng)的處理； 序列監(jiān)視單元，其在每次上述通信單元接收到上述幀時(shí)，掌握該幀所包含的序列號(hào)；以及 非法判斷單元，其在第一序列號(hào)和第二序列號(hào)滿足規(guī)定條件的情況下，將接收到的上述管理幀判斷為非法幀，其中，上述第一序列號(hào)是在接收到該管理幀之前上述序列監(jiān)視單元已掌握的序列號(hào)，上述第二序列號(hào)是接收到的上述管理幀所包含的序列號(hào)， 其中，上述規(guī)定條件中的至少一個(gè)條件是已掌握的上述第一序列號(hào)中的與上述第二序列號(hào)最接近的編號(hào)和該第二序列號(hào)之差的絕對(duì)值超過了大于值I的規(guī)定范圍。
2.根據(jù)權(quán)利要求1所述的無線LAN接入點(diǎn)裝置，其特征在于， 上述規(guī)定條件中的至少一個(gè)條件是在已掌握的上述第一序列號(hào)與上述第二序列號(hào)中存在重復(fù)的編號(hào)。
3.根據(jù)權(quán)利要求1或2所述的無線LAN接入點(diǎn)裝置，其特征在于， 即使上述第一序列號(hào)和上述第二序列號(hào)不滿足規(guī)定條件，如果上述通信單元在接收到上述管理幀之后的規(guī)定期間之內(nèi)接收到包含與上述第二序列號(hào)相同的序列號(hào)的其它幀，上述非法判斷單元也將接收到的該管理幀判斷為非法幀。
4.一種無線LAN接入點(diǎn)裝置，通過無線通信路徑與無線終端之間進(jìn)行使用了幀的數(shù)據(jù)的發(fā)送接收，該無線LAN接入點(diǎn)裝置具備: 通信單元，其與上述無線終端之間進(jìn)行上述幀的發(fā)送接收； 執(zhí)行單元，其在上述通信單元從上述無線終端接收到規(guī)定的管理幀時(shí)，執(zhí)行與該管理幀對(duì)應(yīng)的處理； 序列監(jiān)視單元，其在每次上述通信單元接收到上述幀時(shí)，掌握該幀所包含的序列號(hào)；以及 非法判斷單元，其在第一序列號(hào)和第二序列號(hào)存在重復(fù)的編號(hào)的情況下，將接收到的上述管理幀判斷為非法幀，其中，上述第一序列號(hào)是在接收到該管理幀之前上述序列監(jiān)視單元已掌握的序列號(hào)，上述第二序列號(hào)是接收到的上述管理幀所包含的序列號(hào)， 其中，即使上述第一序列號(hào)和上述第二序列號(hào)不存在重復(fù)的編號(hào)，如果上述通信單元在接收到上述管理幀之后的規(guī)定期間之內(nèi)接收到包含與上述第二序列號(hào)相同的序列號(hào)的其它幀，上述非法判斷單元也將接收到的該管理幀判斷為非法幀。
5.根據(jù)權(quán)利要求4所述的無線LAN接入點(diǎn)裝置，其特征在于， 在上述非法判斷單元將接收到的上述管理幀判斷為非法幀的情況下，上述執(zhí)行單元禁止執(zhí)行與接收到的該管理幀對(duì)應(yīng)的處理。
6.根據(jù)權(quán)利要求4或5所述的無線LAN接入點(diǎn)裝置，其特征在于， 上述執(zhí)行單元包括進(jìn)行認(rèn)證處理和認(rèn)證解除處理的認(rèn)證單元，該認(rèn)證處理用于使上述無線終端能夠通過上述無線LAN接入點(diǎn)裝置進(jìn)行通信， 上述規(guī)定的管理幀包含請(qǐng)求上述認(rèn)證解除處理的認(rèn)證解除幀。
7.根據(jù)權(quán)利要求4或5所述的無線LAN接入點(diǎn)裝置，其特征在于， 還具備通知單元，該通知單元用于在由上述非法判斷單元將接收到的上述管理幀判斷為非法幀的情況下，將該判斷的結(jié)果通知給上述無線LAN接入點(diǎn)裝置的用戶。
8.根據(jù)權(quán)利要求7所述的無線LAN接入點(diǎn)裝置，其特征在于， 作為上述通知的一個(gè)方法，上述通知單元以預(yù)先登記的郵件地址為目的地發(fā)送表示上述判斷的結(jié)果的郵件。
9.根據(jù)權(quán)利要求7所述的無線LAN接入點(diǎn)裝置，其特征在于， 作為上述通知的一個(gè)方法，上述通知單元在上述無線LAN接入點(diǎn)裝置所具備的存儲(chǔ)裝置中記錄上述判斷的結(jié)果作為上述無線LAN接入點(diǎn)裝置的動(dòng)作歷史記錄。
10.一種非法管理幀檢測(cè)方法，用于在通過無線通信路徑與無線終端之間進(jìn)行使用了幀的數(shù)據(jù)的發(fā)送接收的無線LAN接入點(diǎn)裝置在從上述無線終端接收到管理幀的情況下檢測(cè)非法管理幀，該非法管理幀檢測(cè)方法具有如下步驟: 在每次接收到上述幀時(shí)，掌握該幀所包含的序列號(hào)；以及 在第一序列號(hào)和第二序列號(hào)滿足規(guī)定條件的情況下，將接收到的上述管理幀檢測(cè)為非法幀，其中，上述第一序列號(hào)是在接收到該管理幀之前已掌握的序列號(hào)，上述第二序列號(hào)是接收到的上述管理幀所包含的序列號(hào)， 其中，上述規(guī)定條件中的至少一個(gè)條件是已掌握的上述第一序列號(hào)中的與上述第二序列號(hào)最接近的編號(hào)和該第二序列號(hào)之差的絕對(duì)值超過了大于值I的規(guī)定范圍。
11.一種非法管理幀 檢測(cè)方法，用于在通過無線通信路徑與無線終端之間進(jìn)行使用了幀的數(shù)據(jù)的發(fā)送接收的無線LAN接入點(diǎn)裝置在從上述無線終端接收到管理幀的情況下檢測(cè)非法管理幀，該非法管理幀檢測(cè)方法具有如下步驟: 在第一序列號(hào)和第二序列號(hào)滿足規(guī)定條件的情況下，將接收到的上述管理幀檢測(cè)為非法幀，其中，上述第一序列號(hào)是在接收到該管理幀之前已掌握的序列號(hào)，上述第二序列號(hào)是接收到的上述管理幀所包含的序列號(hào)；以及 即使不滿足上述規(guī)定條件，在接收到上述管理幀之后規(guī)定期間之內(nèi)接收到包含與上述第二序列號(hào)相同的序列號(hào)的其它幀的情況下，也將接收到的該管理幀檢測(cè)為上述非法管理幀。
【文檔編號(hào)】H04L1/16GK103813338SQ201310067969
【公開日】2014年5月21日 申請(qǐng)日期:2010年5月21日 優(yōu)先權(quán)日:2009年5月22日
【發(fā)明者】山田大輔 申請(qǐng)人:巴法絡(luò)股份有限公司