第 3 章 ポリシ流通を基本とする 自律的資源利用認証方式自律的資源利用認証方式
3.4 プロトタイプシステム
提案方式を無線
LAN
によるインターネットアクセスサービスに適用し，公衆 無線LAN
の一時利用を可能とするプロトタイプ（図3.9）を実装した．実装し
たプロトタイプの概要と一時利用開始までの動作シーケンス，動作時間を以下 に示す．R/W Service Provider
Server
User Attribute Manager
Server サーバ
Resource Attribute Manager Server
Registration Authority Server
User Terminal Service Request WiFi Access Control Equipment
IC card User Attribute
Management R/W
Use-right Policy Management
Packet Filtering Decision
Handler Use-right Policy Request
Use-right Policy Issuing Functionalities
Use-right Policy Decision Functionalities
Internet Closed Network
Public Key Certification Issuing Use-right
Policy Management
Resource Attribute management User Attribute
Management
(a)Use-right Policy Acquisition
(b)WiFi Service Usage Resource Attribute
Management
IC card User Attribute
Management Use-right Policy
Management Operation
Terminal
図 3.9 公衆無線 LAN 一時利用プロトタイプシステム
3.4.1. 概要
各種サーバとしては，公開鍵証明書を発行する登録認定局サーバ
(Registration Authority Server)， IC
カード内の利用者属性を管理する利用者属 性管理者サーバ(User Attribute Manager Server), 資源内の資源属性を管理す る資源属性管理者サーバ(Resource Attribute Server)を実装した．利用者属性や 資源属性は，利用者属性を変更するための作業用端末(Operation Terminal)に挿 入されたIC
カードや無線LAN
アクセス制御装置(WiFi Access ControlEquipment)に閉域網経由で設定される．それらは，それぞれの管理サーバにお
39
いて電子署名が付与される．また，利用者からの要求に基づいて公衆無線
LAN
利用のための利用権を発行するサービス提供者装置を実装した．無線
LAN
アクセス制御装置には，利用者からの利用権発行要求をサービス提 供者装置に仲介して利用者のIC
カードに利用権を発行する利用権発行機能群(Use-right Policy Issuing Functionalities)を実装した．また，利用権の行使判
定を行いその結果に基づきインターネットへのアクセス制御を行う利用権行使 機能群(Use-right Policy Decision Functionalities)を実装した．ただし，これら の機能群は独立であり，異なる機器に別々に実装することが可能である．その ため，無線LAN
アクセス制御装置とは別の装置に利用権発行機能群を実装し，無線
LAN
アクセス制御装置に利用権行使機能群のみを実装することも可能で ある．実際の無線LAN
一時利用サービスにおいては，利用権を購入するタイミ ングや場所とそれを利用するタイミングや場所はかならずしも同じとは限らな い．そのため，異なる装置への実装が適していると考える．しかし，今回は，評価が目的のプロトタイプであるため，２つの機能を無線
LAN
アクセス制御装 置に実装した．IC
カード機能としては，マルチアプリケーションIC
カードに，利用者属性 管理と利用権管理をそれぞれ独立したIC
カードアプリケーションとして実装し た．これらのIC
カードアプリケーションには，サービス提供者装置や無線LAN
アクセス制御装置と相互認証を行い，暗号通信路構築後，アクセス許可証によ るアクセス制御機能を有している．このIC
カードの発行機能やIC
カードへの アプリケーションダウンロード機能，および登録認定局については，マルチア プリケーションIC
カード管理プラットフォームであるNICE[28][29][30]を用
いた．無線LAN
アクセス制御装置には，無線LAN
アクセスポイント機能が備 わり，ESS-IDとWEP
キーを共有した利用者端末（User Terminal）との無線LAN
接続を可能としている．無線LAN
機能を内蔵した利用者端末には，利用 権行使時におけるユーザインターフェースとして利用権行使依頼部(ServiceRequest)を実装した．
利用権取得時には，図
3.9
（a）に示したように，利用者は，無線LAN
アクセ ス制御装置のIC
カードR/W
にIC
カードを挿入し，無線LAN
アクセス制御装 置を操作する．それにより，サービス提供者装置から利用権を取得することが できる．無線LAN
一時利用時には，図3.9（b）に示したように，利用者は，利
用者端末のIC
カードR/W
にIC
カードを挿入し，利用者端末を操作する．それ により，判定ハンドラ部で利用権の行使判定が実施され，パケットフィルタリ ング部がポートを開くことで，インターネット接続が可能となる．この際，利 用される利用者属性や資源属性は，ICカード内の利用者属性管理と無線LAN
アクセス制御装置内の資源属性管理部に格納されたものが利用される．そのた め，閉域網を経由しての利用者属性管理者サーバや資源属性管理者サーバへの アクセスは行われない．そのため，図3.9
に示したように必ずしもこれらのサー バ群と無線LAN
アクセス制御装置を閉域網で接続する必要は無い．しかし，評 価実験に当たっては，利用者属性や資源属性を様々なパターンに変更し，それ らを効率的にIC
カードや無線LAN
アクセス制御装置に設定できる必要があっ た．そのため，このようなプロトタイプ構成とした．ハードウェアとしては，サーバ群として，CPU処理能力
1.6GHz
相当のPC
サーバを，無線LAN
アクセス制御装置として，CPU処理能力650MHz
相当のPC
サーバを用いた．また，ICカードとしては，暗号処理プロセッサが具備さ れていること，複数のIC
カードアプリケーションの実装が可能なこと，複数の 利用権を格納できることなどの要求条件から，非接触型大容量マルチアプリケ ーションIC
カード（フラッシュメモリ１Mbyte内蔵）であるeLWISE[24][25]
カードを用いた．
3.4.2. 動作シーケンスと動作時間
無線
LAN
の一時利用を開始するまでの前提条件と動作シーケンス（図3.10）
を以下に示す．
41 Use-Right
Policy Use-right
Policy Management
User Attribute Management
User Attribute
Resource Attribute Request Registration
（ＰＥＰ）
Use-right Policy Acquisition
（ＰＤＰ）
Attribute Acquisition
（ＰＩＰ）
Usage Decision
（ＰＤ Ｐ）
Service Execution
（ＰＥＰ）
Routing Information/
Timer Setting Execution
Order
ＯＫ
Internet Connection
Internet Use-right Policy Deletion
（ＰＤＰ）
Use-right Policy Management
Service Initiation Use-right Policy
Deletion Order Encrypted
Channel User Terminal
WiFi Access Control Equipment
Service Request
IC card Service Request Decision
Handler Packet Filtering
Resource Attribute Management
図 3.10 公衆無線 LAN 一時利用動作シーケンス
（前提条件）ICカード内の利用者属性管理には，“ISP
X
の会員”という利 用者属性が格納されている．無線LAN
アクセス制御装置内の資源属性管理部に は，“A社のアクセスポイント”という資源属性が格納されている．また，IC
カ ード内の利用権管理には，“ISPX
の会員がA
社のアクセスポイントを利用す る場合は60
分利用可能，それ以外の場合は，30
分利用可能”という利用権（図3.11）が格納されている．
（動作シーケンス）
①利用権・利用者属性・資源属性取得検証：資源利用要求が判定ハンドラ部に 送信されると，利用権管理，利用者属性管理と
PDP， PIP
の間で相互認証後，暗号通信路が構築される．そして，アクセス許可証の検証結果に基づいて，
利用権と利用者属性が判定ハンドラ部に送信される．その後，それぞれ署名 検証により情報の正しさを確認する．さらに，判定ハンドラ部は，資源属性 管理部から資源属性を取得し，署名検証により情報の正しさを確認する．
②行使判定：判定ハンドラ部は，得られた利用権と利用者属性，資源属性から 行使判定を行う．この場合前提条件から，1時間利用可能と判定され，それ が実行に対する責務（obligation）として，パケットフィルタリング部に通知 される．
③サービス開始：パケットフィルタリング部は，得られた
obligation
に基づい てルーティング情報とタイマを設定し，結果を判定ハンドラ部に通知する．④後処理：判定ハンドラ部は，利用権を削除（回数券的利用権の場合は，価値 減算処理）するとともにサービス開始を通知する．
⑤サービス終了：利用者端末からインターネット接続が可能になり，一時間経 過後，接続が切断される．
43
<?xml version="1.0" encoding="UTF-8" ?>
<PolicySet xmlns=“urn:oasis:names:tc:xacml:1.0:policy”xmlns:xacml- context="urn:oasis:names:tc:xacml:1.0:context"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="urn:oasis:names:tc:xacml:1.0:policy cs-xacml-schema-policy-01.xsd" PolicySetId="urn:oasis:names:tc:xacml:1.0:conformance-test:IID005:policyset"
PolicyCombiningAlgId="urn:oasis:names:tc:xacml:1.0:policy-combining-algorithm:first-applicable">
<Description> ISP Xの会員かつA社のアクセスポイントなら60分間、それ以外は30分間利用可能</Description>
・・・（省略）・・・
<Policy PolicyId="urn:pflab:urap:demo1.1:policy" RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:deny-overrides">
・・・（省略）・・・
<Rule RuleId="urn:pflab:urap:demo1.1:rule" Effect="Permit">
<Description>ISP Xの会員かつA社のアクセスポイントなら60分間利用可能</Description>
・・・（省略）・・・
<Condition FunctionId=“urn:oasis:names:tc:xacml:1.0:function:and”>（条件をXACML記法に従って記述）
“ 無線LANｱｸｾｽﾎﾟｲﾝﾄ事業者名” equal “ Ａ社”
ａｎｄ
“ 利用者ISP会員種別” equal “ Ｘ社”
</Condition>
</Rule>
-<Obligations> (条件にマッチした場合のサービス実行パラメータをＸＡＣＭＬ記法に従って記述)
“利用可能時間” equal “60分”
</Obligations>
</Policy>
<Policy PolicyId="urn:pflab:urap:demo1.1:policy" RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:deny-overrides">
・・・（省略）・・・
-<Rule RuleId="urn:pflab:urap:demo1.1:rule" Effect="Permit">
<Description>それ以外なら30分間利用可能</Description>
・・・（省略）・・・
</Rule>
-<Obligations> (条件にマッチした場合のサービス実行パラメータをＸＡＣＭＬ記法に従って記述)
“利用可能時間” equal “30分”
</Obligations>
</Policy>
</PolicySet>
図 3.11 XACML による利用権記述例
①～④で示した動作処理時間を測定した（図
3.12）
．利用者が無線LAN
の一 時利用を要求してから実際に利用開始されるまで，約8
秒を要すことが分かっ た．また，ログ出力モードにより，処理単位毎の動作時間を測定したところ，①の処理が全体の約
80％を占めており，その中でも利用者属性や利用権の取
得・検証処理が①の処理全体の約96％を占めていることがわかった．利用者属
性や利用権の取得・検証処理は，ICカードアプリケーションと判定ハンドラ部 との間で暗号通信路を構築する処理と，アクセス許可証によるアクセス制御に基づいて属性情報・利用権を判定ハンドラ部へ送信する処理が含まれる．それ ぞれの処理の内訳は，暗号通信路を構築する処理が約
90％を占めていた．
今回のプロトタイプにおける利用者属性とアクセス許可証は，それぞれ約
150byte
であった．また，XACMLで記述した利用権（図3.11）は，実際には，
GZIP
により圧縮してIC
カードに格納する方式としたが，その場合のデータ容量は，約
660byte
であった．この程度の情報量を暗号通信路により送受信する場合，情報自体の転送や検証処理時間よりも暗号通信路構築のオーバヘッドの 方が大きいことが分かった．
これまで無線
LAN
セキュリティの標準化技術として，LAN接続時に使用す る利用者認証規格であるIEEE 802.1x[31]や，802.1x
による認証強化と暗号化 方式の強化を合わせ持つWi-Fi Alliance
が策定したWPA（Wi-Fi Protected
Access）[32]が提案されている．さらに，WPA
に強固な暗号アルゴリズムである
AES（Advanced Encrypted Technology）を追加した IEEE 802.11i[12]が提
案されている．これらの標準化技術は，無線LAN
利用時の利用者認証と暗号化 通信を強化することで無線LAN
のセキュリティ強度を上げることを目的とし ている．標準化技術では，無線LAN
アクセスポイントは，接続要求を出した利 用者端末とESS-ID
によるアソシエーション後，認証サーバに認証要求を出し，認証された場合，当該利用者端末のネットワーク接続を許可する仕組みとなっ ている．今回開発したプロトタイプでは，無線
LAN
アクセスポイントに該当す る無線LAN
アクセス制御装置が利用者端末とESS-ID
によるアソシエーション 後に，認証サーバに認証要求を出すのではない．上述した①，②の動作シーケ ンスにより無線LAN
アクセス制御装置のみでサービス認可判定を実施してい る．この点が従来の標準化技術と異なる点である．また，暗号化通信に関して は，今回のプロトタイプでは，WEP
キーによる暗号化のみの実装となっている．そのため，暗号鍵を一定時間毎に自動的に更新する