JP4666169B2

JP4666169B2 - 信頼されないアクセス局を介した通信方法

Info

Publication number: JP4666169B2
Application number: JP2006158654A
Authority: JP
Inventors: レドリッヒイェンス−ピーター; クーネルトーマス; ミューラーワォルフ
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2001-03-26
Filing date: 2006-06-07
Publication date: 2011-04-06
Anticipated expiration: 2022-03-14
Also published as: JP3951757B2; US20120072727A1; JP2006351009A; US20020138635A1; JP2003023420A

Description

本発明はＩＰネットワークへのパブリックアクセスを提供するシステムに係り、特に、第三者所有の信頼されない（非信頼）アクセスノードを通じて、インターネットサービスプロバイダがその加入者にインターネットアクセスを提供する際の通信方法に関する。

非特許文献１〜３は、ワイヤレス技術に関する有用な背景的知識を提供する。

本発明は、第三者が運営するアクセス局を用いて、公衆インターネット、社内イントラネット、あるいはプライベートＬＡＮのようなＩＰネットワークへのパブリックアクセスを提供するシステムおよび方法において、ユーザも、このユーザのＩＳＰも、いずれもそのアクセス局の正確なオペレーションを信頼していないため、そのアクセス局が「非信頼」アクセス局となっているような場合のシステムおよび方法に関する。より具体的には、本発明は、悪意のある可能性があり、それゆえ信頼されない（非信頼）第三者によって運営されるアクセス局を介してＩＰネットワークにアクセスするために、データの認証(authentication)、権限付与(authorization)、アカウンティング(accounting)、および暗号化を実行する方法に関する。本発明の方法およびシステムは、ワイヤレス（無線）およびワイヤライン（有線）のアクセスに関して同様に使用可能である。ここで、「ワイヤレス」とは、無免許周波数帯で動作する短距離技術であることも、より長距離の免許を受けた電波技術であることも可能である。

インターネットのようなＩＰネットワークへの従来技術のパブリックアクセスは、インターネットサービスプロバイダ（ＩＳＰ）を通じて提供されている。ＩＳＰは、モデムのような伝送設備も所有またはリースする。ほとんどの場合、インターネットにアクセスしたいユーザは、与えられた地域エリアのＩＳＰとサービス契約を締結しなければならない。移動する加入者にサービス範囲を拡大するため、一部のＩＳＰは、認証、権限付与およびアカウンティングの手続きを管理するローミング契約を結んでいる。同様の手続きは、セルラ事業者についても行われ、与えられた事業者の加入者が別の事業者のカバレジエリアに移動することを可能にしている。しかし、これらの確立された手続きは、ネットワークアクセスが信頼できることを仮定している。この仮定は、ダイヤルアップモデムバンクのようなプライベートアクセスメカニズム、インフラストラクチャの高いコスト、および、セルラ事業者の場合の周波数スペクトルの排他的所有によって保証されていた。

無免許周波数スペクトルで運営される安価なインフラストラクチャを用いてＩＰネットワークへのワイヤレスアクセスを可能にする第２の従来技術の出現は、小規模の独立系アクセスプロバイダの新設を容易にしている。ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）およびパーソナルエリアネットワーク（ＰＡＮ）に基づくそれらのワイヤレスアクセス技術の到達範囲は小さいため、与えられた地所における公衆インターネットアクセスのためのインフラストラクチャの運営は、その地所の所有者によって管理される。実際、ケーブルやＤＳＬを通じての高速インターネットアクセスを有するアパートや家屋の所有者であれば、ＷＬＡＮアクセスポイントを運営することによって、近隣にアクセスを提供することができる。しかし、そのようなワイヤレスアクセスポイントへのアクセスは、同じ組織あるいは家庭の装置に制限される。外来のＩＰ装置（例えば、自分のＷＬＡＮカードを装備した訪問者や、ＷＬＡＮカードを装備したＰＣを持っている隣人）にアクセスを提供することは安全（セキュア）でなく、通常は許可されず、技術的に不可能なこともある。さらに、私有のアクセス局は通常、その所有者のＩＳＰに接続されている。すなわち、別のＩＳＰに加入したゲストは、自分のＩＳＰによって提供されるサービスを取得することができず、インターネットアクセスのために自分のＩＳＰによって課金されることもできない。

1) Bruce Schneier, "Applied Cryptography: Protocols, Algorithms, and Source Code in C", 2nd Edition, John Wiley & Sons, 1995, ISBN 047117099. 2) R. Droms, "Dynamic Host Configuration Protocol (DHCP)", IETF RFC 2131, 1997. 3) Egevang, K. and Francis, P., "The IP Network Address Translator (NAT), IETF RFC 1631, 1994.

上記第１の従来技術として説明したパブリックアクセスを可能にするメカニズムを、上記第２の従来技術として説明した小さい地理的エリアにおけるインターネットアクセスを提供する小規模独立系事業者に適用することは、さまざまな問題点および欠点を有する。例えば、ローミングユーザは、ＷＬＡＮの事業者の信頼性を知らない。悪意のある事業者が、ユーザとコンテンツプロバイダの間の通信を傍受するのが容易であることを発見するかもしれない。そのような事業者は、ユーザのトラフィックからログイン名やパスワードのような資格証明を取得する手段を見つける可能性もある。さらに、従来技術の認証および権限付与の手続きでは、使用量に基づくアカウンティングが容易でない。これは、ローミングユーザに提供されるアクセスについての独立系事業者の精算のために必要となる。

今日、私有のアクセス局は至る所で利用可能であり、インターネットにアクセスする潜在的手段をどこにいるユーザにも提供している。しかし、現在のＩＳＰは、自分でインフラストラクチャを構築しなければならず、これは、一時的ユーザをサポートすることに関しては高価であり、しばしば融通性に欠ける。

本発明の目的は、第三者所有の信頼されない（非信頼）アクセスノードを通じて、インターネットサービスプロバイダがその加入者にインターネットアクセスを提供する安全な方法を提供することである。

本発明のもう１つの目的は、インターネットサービスプロバイダとアクセスノード所有者の間、および、インターネットサービスプロバイダと加入者との間で、アカウンティング情報を提供することである。このアカウンティング情報は、システムの動作の一体をなす部分として導出され、悪意のある操作から保護される。

本発明は、ＩＰネットワークへのアクセス局に関する。具体的には、本発明は、そのサービスのユーザおよびこのユーザのＩＳＰ以外の当事者によって所有され運営される、ＩＰネットワークへのアクセス局に関する。さらに具体的には、本発明は、コンピュータなどのＩＰベースの装置に、例えばインターネットや社内イントラネットのようなＩＰネットワークへのアクセスを提供することができる装置に関する。この場合、アクセス局は、サービスを希望するＩＰ装置から、ユーザの識別とユーザのＩＳＰの識別とを取得する。アクセス局は、サービスを取得したいというユーザの希望についてユーザのＩＳＰに通知する。ユーザのＩＳＰは、ユーザが加入したサービスを提供するために、アクセス装置内のリソースの制御を動的に取得する。最後に、ＩＳＰは、そのリソースの使用量に対するアクセス局の支払いを手配し、ユーザ（その加入者）の課金を手配する。

本発明は、インターネットサービスプロバイダでインターネットサービスに加入したエンドユーザ、アクセスノードあるいはインフラストラクチャの所有者、および、インターネットへの信頼されるゲートウェイ、ならびに、第三者所有のアクセスノードを通じてインターネットサービスの加入者に匿名インターネットアクセス提供を行う方法を含む。具体的には、本発明は、加入者とインターネットサービスプロバイダとの相互認証の手続き、および、エンドユーザとインターネットへの信頼ゲートウェイとの間の安全なトンネルの確立に必要な鍵配送とを含む。本発明の方法は、サービス要求のステップと、インターネットサービスプロバイダ認証のステップと、加入者認証のステップと、一意的なセッション鍵を生成するステップと、セッション鍵を信頼されるネットワークノードおよび加入者に配送するステップと、前に配送されたセッション鍵を用いて第三者アクセスノードを通じて加入者と信頼されるネットワーク要素との間に確立される安全なトンネルを用いてデータ転送を行うステップとを含む。

本発明の方法は、さらに、インターネットサービスプロバイダから加入者、アクセスノードおよび前記信頼されるネットワーク要素にタイムアウト値を配送するステップを含む。タイムアウト値は、前記加入者とインターネットサービスプロバイダの間の再認証手続きをトリガする。

さらに、本発明の方法は、加入者および信頼されるネットワーク要素に配置される、トンネルに関するタイマと、前記アクセスノードに配置される別のタイマのうちの１つが満期になった場合に、トンネルを解放するステップを含む。

さらに、成功した認証の数に基づいてアカウンティング情報を生成する方法が提供される。アカウンティング情報を用いてプリペイドサービスを提供し、再認証前の残り時間を判定する方法も提供される。

本発明の応用分野としては以下の場合があるが、もちろん、これらに限定されるものではない。

・個人の家庭内のアクセス局が、ＷＬＡＮ（ＩＥＥＥ８０２．１１）、Ｂｌｕｅｔｏｏｔｈ（ＩＥＥＥ８０２．１５）、あるいはＨｉｐｅｒＬＡＮに基づくワイヤレスアクセスを訪問者や近隣に提供する場合。

・ホテルや空港が、その顧客のＩＳＰによって管理されるインターネットアクセスを顧客に提供するために、アクセス局（ＷＬＡＮ、Ｂｌｕｅｔｏｏｔｈ、ＨｉｐｅｒＬＡＮ）を所有し運営する場合。

・会議が、会議参加者に、その会議参加者のＩＳＰによって管理されるインターネットアクセスを与えるために、会議開催地でアクセス局（ＷＬＡＮ、Ｂｌｕｅｔｏｏｔｈ、ＨｉｐｅｒＬＡＮ）をリースし一時的に配備する場合。

理解されるべき点であるが、明細書全体を通じて、「インターネット」という用語は、その最広義における「ＩＰに基づくネットワーク」を意味し、これには、公衆インターネット、社内イントラネット、プライベートまたはパブリック（公衆）ＬＡＮ、およびＩＰベースのアドホックネットワークが含まれるが、これらには限定されない。

以上説明したように、本発明によれば、端末と第三者所有の信頼されない（非信頼）アクセス局との間に接続を確立し、続いて、端末と契約しているインターネットサービスプロバイダ（ＩＳＰ）へＩＳＰ認証要求を送信する。ＩＳＰと端末が正しく認証された後、端末と信頼ゲートウェイとの間に信頼された接続を確立する。こうして確立された接続を安全なトンネルとして利用することにより、ＩＳＰは、非信頼アクセス局を通じて端末に対して安全なインターネットアクセスを提供することができる。

こうして公衆インターネットやプライベートＬＡＮのようなパブリックまたはプライベートＩＰネットワークへのアクセスのために、既存のインフラストラクチャの共有を可能にするメカニズムを提供することができる。特に、インフラストラクチャの所有者はそのリソースを異なるＩＳＰへ短期間ベースでリースし、１つのＩＳＰはこれらリソースを用いて加入者にインターネットサービスを提供する。ＩＳＰは、課金、帯域管理およびｅメールなど、加入者に提供されるインターネットサービスの全ての側面を制御する。また、ＩＳＰは暗号化によって、加入者のプライバシーを保証する。既存のネットワーク・インフラストラクチャからのネットワークリソースのリースによって、ＩＳＰにとっては高価なアクセスインフラ自体を構築する必要がなくなり、他方、インフラストラクチャの所有者にとってはインフラから付加的な報酬を発生させる機会が与えられる。重要なのは、ユーザにとってもＩＳＰによっても、ＩＰネットワークへのアクセスを実行するためのアクセス局を信頼する必要がない（すなわちアクセス局は非信頼である）ことである。

以下、本発明の好ましい実施例について、図面を参照して説明する。

以下の詳細な説明は、次のように構成される。「コンポーネントの概観」と題するセクションでは、システムのコンポーネントを紹介し、コンポーネントの相互関係の説明を行う。「本発明の動作」と題するセクションでは、本発明のさまざまな実施例と、その応用について説明する。さらに、理解と明確さを促進するために、本発明の説明は、「ＵとＰの相互認証」、「アクセス局Ａ（７）を通じての端末Ｕ（３）と信頼ノードＴ（５）の間の安全なトンネル（１）の作成」、「端末ＵとＩＰネットワークの間のデータ転送」、「トンネル解放とタイムアウト」、「課金」の各セクションに分けられる。

１．コンポーネントの概観
再度注意を喚起しておくが、「ＩＰネットワーク」という用語は、公衆インターネットおよび社内イントラネットを含む、すべての可能なＩＰベースのインフラストラクチャネットワークを表すために用いられる。

１．１）ユーザの端末装置（Ｕ）
Ｕは、ユーザのＩＰベースの端末装置を表す。これは、インターネットプロトコルスイート（ＩＰ）を用いて他の装置と通信する移動式あるいは固定式の装置である。これには、ワークステーションコンピュータ、パーソナルコンピュータ（ＰＣ）、ラップトップコンピュータ、ハンドヘルドＰＣ、電話機あるいはその他のＩＰベースの装置あるいは機器が含まれるが、これらには限定されない。しかし、予想されるように、ほとんどの場合、この端末装置は、小型で移動式のものであり、ＩＰネットワークに接続するための有線またはワイヤレスの一方または両方の手段を有することになる（下記の「アクセス局」参照）。さらに、与えられた任意の時刻において、この装置は、高々１ユーザに関連づけられる、すなわち、「このユーザの装置」として認識できることが仮定される。

１．２）アクセス局（Ａ）
Ａは、アクセス局を表す。アクセス局は、端末装置ＵをＩＰベースのインフラストラクチャネットワーク（例えば、イントラネットやインターネット）に接続するために使用される。アクセス局は、ＩＰネットワークからトラフィックを受け取り、それを正しい端末Ｕに配信するとともに、端末Ｕからトラフィックを受け取り、それをＩＰネットワークに転送する。ＡとＵの間の通信の手段は、有線でも無線でもよい。本発明は、両方の場合に適用がある。さらに、Ａは、所有者および運営者を有するとともに、例えば、ある周波数スペクトルを使用する許可を必要とする無線基地局（ベースステーション）の場合には、運営特権の所有者を有する。本明細書の目的のために、これらのすべての側面をＡという抽象概念にまとめる。

通常、アクセス局Ａは、ＩＰネットワークに常時接続されるが、アクセス局Ａと端末Ｕの間の接続は本来一時的である。例えば、アクセス局Ａは、公共エリア（例えば、ホテル、空港、レストラン）に配置されることも、非公共エリア（例えば、個人の家庭内）に配置されることも可能である。後者の場合、アクセスは、物理的にアクセス可能なユーザ（例えば、Ａの所有者の訪問客）に制限されてもよく、あるいは、アクセスは、Ａの通信範囲内のすべてのユーザに利用可能であるとしてもよい（例えば、Ａは、Ａの近隣および訪問者にインターネットアクセスを提供するために利用可能な、私宅内の８０２．１１／Ｂｌｕｅｔｏｏｔｈ／ＨｉｐｅｒＬａｎ基地局である）。

１．３）インターネットサービスプロバイダ（Ｐ）
Ｐは、インターネットサービスプロバイダ（ＩＳＰ）を表す。ＩＳＰは、サービスパラメータを規定するＵとＰの間の加入契約に基づいて、サービスを端末装置Ｕに提供する。このため、Ｐは、エンドユーザサービスについてＵに課金する責任があると仮定することができる。また、Ｐは、Ａのリソースを使用することについて、Ａに支払いをしなければならないと仮定することもできる。また、Ｕとその通信相手との間のトラフィックが、Ａからのパケットのスヌーピング／挿入／変更あるいはその他の攻撃に対して安全であることを保証することも、Ｐの責任である。

通常、Ｐは、収益をあげるために、個人あるいは他の会社にインターネットアクセスおよびその他の関連サービス（例えば、電子メール）を提供する会社である。もう１つの可能性として、Ｐは、その従業員にＩＰネットワーク（例えば、社内イントラネット、公衆インターネット、あるいはプライベートＩＰネットワーク）へのアクセスを提供する会社である。ここでは、主要な目標は、直接的に収益をあげることではなく、従業員の作業プロセスのサポートである。例えば、ＦｅｄＥｘの従業員は、時折社内ＩＰネットワークにアクセスして、荷物を配送したことについて社内データベースを更新する。

１．４）信頼ネットワーク要素（Ｔ）
Ｔは、信頼されるネットワーク要素を表す。Ｔは、Ｔが端末装置Ｕとの間のトラフィックに対するスヌーピング／挿入／変更の手段をＡに提供しないという限りで、Ｐにとって信頼できると判断する、インターネット内のルータである。本発明は、いったんトラフィックがインターネットコアに到達したら、そのトラフィックは、悪意のある攻撃に対して相当に安全であると仮定する。その理由は、この場合、ネットワークは少数の、定評のある、信頼された長距離会社のみによって運営されているからである。

異なるＩＳＰは、Ｔが信頼される要素であるかどうかを判断するために、おそらくはそのユーザの要求およびＵの現在位置に依存して、異なるメカニズムおよびポリシーを適用することがある。Ｐが、インターネット内の信頼できるルータについての知識を有しない場合、Ｐ自体がＴの役割を受け持つ、すなわち、Ｐは自分のルータのうちの１つをＴとして選択すると仮定される。

１．５）リモート通信相手（Ｒ）
Ｒは、リモート通信相手を表す。リモート通信相手は、端末Ｕが通信を要求する相手となる任意のリモートホストであることが可能である。例えば、リモート通信相手Ｒには、公衆インターネット上のサーバおよびその他のＩＰベースの装置、社内イントラネット上のサーバ、あるいは、社内イントラネットやプライベートＩＰネットワーク内のワークステーションやパーソナルコンピュータが含まれるが、これらには限定されない。

１．６）仮定
本発明の目的のため、コンポーネントＵとＡの間は、ＡとＰの間とともに、互いに信頼関係がないと仮定される。具体的には、端末装置Ｕがリモート相手側Ｒと通信したいとき、Ｕは、Ｐからサービスを取得するために、単にその近傍内のアクセス局Ａを探索するだけである。通常、Ｕは、ＡとＵの間に信頼を生じうるような長期間継続する関係をＡとの間で有することはない。

さらに、アクセス局Ａは、ＵやＰを信頼しないと仮定される。アクセス局Ａの主要な関心は、アクセス局Ａによって端末Ｕに提供されたリソースおよびサービスに対する償還を取得することに集中される。

最後に、Ｐは、アクセス局Ａを信頼しない。Ｐは、その加入者Ｕが、Ａによって要求されたように実際にＡのリソースを使用していることを保証しなければならない。これは、アクセス局Ａが、存在しない端末ＵをＰに報告し、おそらくはＵからの虚偽のトラフィックさえ生成するような状況を回避するためである。そのような状況では、Ｐは、ＡがＰの真の加入者にサービスしていないのにＡに補償をすることになってしまう。ＡによってＵに対してなされるサービスについてのＰとＡの間の支払い手続きは、好ましくは、関連する当事者間の精算契約によって管理される。前述のように、ＵとＰの間の支払い手続きは、サービス契約によって管理され、定額制料金、あるいは、時間単位やトラフィック量単位で決定される使用料金に基づくことが可能である。

１．７）本発明の応用
本明細書では、第三者所有のインフラストラクチャを通じてＩＰネットワーク（例えば、公衆インターネットや社内イントラネットのような）へのパブリックアクセスを提供するシステムおよび方法は、当業者には明らかなように、いくつかの具体的な方法で実現される。具体的には、本発明のシステムおよび方法は、全体として、ハードウェア、ソフトウェアまたはその両方の組合せとして実現される。特に、本発明によって利用されるアクセスポイントあるいはその他のハードウェア要素は、プロセッサと、そのプロセッサの制御下にあるメモリとを有する。メモリには、プロセッサによって実行される命令（ソフトウェア）が提供され、これにより、プロセッサは、アクセス局、あるいはその他のハードウェアをさまざまな方法で動作させることが可能となる。同様に、アクセス局は、部分的に、ハードウェアおよびソフトウェアとして実現可能である。

また、ＩＰネットワークへのアクセスを提供する本発明のシステムおよび方法は、ワイヤレスおよび有線のアクセスに関して同様に使用可能である。ここで、「ワイヤレス」とは、無免許周波数帯で動作する短距離技術を意味することも、より長距離の免許を受けた電波技術を意味することも可能である。

さらに、ＩＰネットワークへのパブリックアクセスを提供する本発明のシステムは、ＩＰネットワークに接続するための有線、ワイヤレスまたはそれらの組合せの手段のいずれを用いて実現することも可能である。したがって、理解されるべき点であるが、「ＩＰネットワーク」あるいは「インターネット」という用語は、その最広義における「ＩＰに基づくネットワーク」を意味し、これには、公衆インターネット、社内イントラネット、プライベートまたはパブリックＬＡＮ、およびＩＰベースのアドホックネットワークが含まれるが、これらには限定されない。

第三者のインフラストラクチャを用いて（インターネットのような）ＩＰネットワークへのアクセスを提供する本発明のシステムおよびメカニズムの利点は、ＩＳＰにとって利用可能であるとともに、自己の通信の必要のためにインターネットを使用する企業にも利用可能である。本発明の１つの利点は、ＩＳＰ／会社が、自己のアクセスネットワークを必要としないことである。したがって、ＩＳＰ／会社は、広い地域をアクセスポイントでカバーすることや、免許を要する周波数スペクトルのために高額な免許を取得する必要がない。

本発明のシステムの例示的な応用分野には、以下の場合があるが、これらには限定されない。

・個人の家庭内のアクセス局が、ＷＬＡＮ（ＩＥＥＥ８０２．１１）、Ｂｌｕｅｔｏｏｔｈ（ＩＥＥＥ８０２．１５）、あるいはＨｉｐｅｒＬａｎなどの（これらには限定されない）ワイヤレス伝送標準を用いて、ワイヤレスアクセスを訪問者や近隣に提供する場合。

・ホテルや空港のような第三者によって所有され運営されるネットワークインフラストラクチャ内に実現された公共エリアアクセス局が、顧客のＩＳＰによって管理されるインターネットアクセスを顧客や訪問者に提供する場合。実現のためのワイヤレス標準には、ＷＬＡＮ（ＩＥＥＥ８０２．１１）、Ｂｌｕｅｔｏｏｔｈ（ＩＥＥＥ８０２．１５）およびＨｉｐｅｒＬａｎが含まれるが、これらには限定されない。

・アクセス局が、一時的に配備されリースされる場合。例えば、会議が、会議参加者に、その会議参加者のＩＳＰによって管理されるインターネットアクセスを与えるために、会議開催地でアクセス局をリースすることがある。実現のためのワイヤレス標準には、ＷＬＡＮ（ＩＥＥＥ８０２．１１）、Ｂｌｕｅｔｏｏｔｈ（ＩＥＥＥ８０２．１５）およびＨｉｐｅｒＬａｎが含まれるが、これらには限定されない。

パブリックアクセスＬＡＮ環境に複数のワイヤレスアクセス技術を提供するため、さまざまなワイヤレス製品およびさまざまなタイプのワイヤレス事業者が共存可能であり、したがって、本発明の実施例は、さまざまなベンダからのワイヤレスＬＡＮカードとは独立の、相互運用可能なエアインタフェースであることに注意すべきである。

２．本発明の構成および動作
図１に本発明のコンポーネントを利用可能なネットワークを例示する。図１に示されるように、安全な（セキュア）トンネル（１）（破線で表す）が、端末ユーザＵ（３）と信頼されるノードＴ（５）の間で、アクセス局Ａ（７）を通じて確立される。いったん端末Ｕ（３）およびＩＳＰＰ（４）が認証されると、ＩＳＰＰは、信頼ノードＴ（５）を選択し、セッション鍵を端末Ｕ（３）および信頼ノード（５）に配送する（ＩＳＰ（４）、端末（３）および信頼ノードＴ（５）の間の破線で表す）。この秘密のセッション鍵は、アクセス局Ａには未知であるが、ＵとＴの間の暗号化を容易にするために使用されることになる。アクセス局Ａ（７）がデータをＵからＴへおよびＴからＵへ転送する能力とともに、ＵとＴの間の安全なトンネル（１）を確立することができる。この安全なトンネル（１）を用いて、端末Ｕ（３）は、暗号化されたデータパケットを信頼ノードＴ（５）に送信することが可能である。信頼ノードＴ（５）は、破線で表されるように、データパケットをＩＰネットワーク（９）へ、特に、リモートホスト（１０）へ転送する。

図２は、安全なトンネル（１）の確立に必要な、端末Ｕ（３）、アクセス局Ａ（７）、ＩＳＰＰ（４）および信頼ノードＴ（５）の間の認証およびセッション鍵転送を示す同様のネットワークの図である。具体的には、端末Ｕ（３）およびＩＳＰＰ（４）は、両端に矢印のある長い破線で示されるように、アクセス局Ａ（７）を通じて認証チャレンジを互いに送信する。端末Ｕ（３）およびＩＳＰＰ（４）の両方の正しい認証の後、ＩＳＰＰ（４）は、セッション鍵を生成し、短い破線で示されるように、信頼ノードＴ（５）および端末Ｕ（３）に配送する。このセッション鍵を用いて、端末Ｕ（３）および信頼ノードＴ（５）は、データメッセージを暗号化し、アクセス局Ａ（７）を通る安全なトンネル（１）を通じてそれを転送する。しかし、データパケットの暗号化のため、アクセス局Ａ（７）は、そのデータパケットを復号したり変更したりすることはできない。換言すれば、信頼ノードＴ（５）がデータパケットをＩＰネットワーク（９）との間で転送し受信する間、アクセス局Ａ（７）は単に端末Ｕ（３）と信頼ノードＴ（５）の間の通路として作用するだけである。

２．１）ＵとＰの相互認証
端末Ｕ（３）は、アクセス局Ａ（７）にアクセスすることができる（すなわち、端末Ｕ（３）とアクセス局Ａ（７）が、選択された通信媒体（有線またはワイヤレス）を通じてデータを交換することができる）地点に、スイッチオフモードで到着すると仮定する。さらに、端末Ｕ（３）およびＩＳＰＰ（４）は、公開鍵基盤[PubKey]に参加していると仮定する。具体的には、公開鍵基盤への参加者は、「公開鍵」および「秘密鍵」という２つの鍵を有する。秘密鍵は、その参加者のみが知っており、他の当事者には決して明かされない。公開鍵は、誰もがどの参加者の公開鍵をも知っているように公開される。文献"Applied Cryptography: Protocols, Algorithms, and Source Code in C"で説明されている理由により、このような鍵は、一方の鍵（公開鍵または秘密鍵）で暗号化されたデータは他方の鍵（それぞれ、秘密鍵または公開鍵）では復号することができるが、他の鍵ではできないという性質を有する。

次に、図２および図４を参照して、ユーザ端末Ｕ（３）が、たまたま端末Ｕ（３）の現在位置の近くにある信頼されないアクセス局Ａ（７）を用いて、自己のＩＳＰＰ（４）に対してどのようにしてサービスを要求するかについて説明する。

ステップＳ１おいて、端末Ｕ（３）が起動され、そのネットワークインタフェースが初期化されると、端末Ｕ（３）はＩＰアドレスを取得するためにＤＨＣＰ（動的ホスト設定プロトコル）要求をネットワークにブロードキャストする。アクセス局Ａ（７）は、このブロードキャストの範囲内にある場合、このＤＨＣＰ要求を受信することになる。ＤＨＣＰは、コンピュータやワークステーションが、中央のサーバによって管理されるプールから一時的または永続的なＩＰアドレスを得ることを可能にするＩＰベースのプロトコルである。通常、ホストネットワークはＤＨＣＰサーバを動作させ、一方、ワークステーションやモバイル装置はＤＨＣＰクライアントを動作させる。ＤＨＣＰによれば、ＩＰアドレスを（モバイル装置のような）ノードにオンザフライで動的に割り当てることが可能となる。ＤＨＣＰに関する技術情報および背景的知識については、R. Dromsの"Dynamic Host Configuration Protocol (DHCP)"と題する文献を参照。注意すべき重要な点であるが、端末Ｕ（３）がアクセス局Ａ（７）と通信するために使用する技術に依存して、端末Ｕ（３）は、ＤＨＣＰ要求をブロードキャストする前に、アクセス局（７）とのある形式のアソシエーション（関連づけ）を作成することが必要な場合がある。このようなアソシエーションを確立する手続きは、ＩＥＥＥ８０２．１１技術に関する関連文書に規定されている。

ステップＳ２において、アクセス局Ａ（７）が本発明のメカニズムをサポートする場合、アクセス局Ａ（７）は、「マジックＤＨＣＰ応答」(magic DHCP response)により端末Ｕ（３）に応答する。端末Ｕ（３）がどのようにして「マジック」と「非マジック」（標準）のＤＨＣＰ応答を区別するかについては後述する。「マジックＤＨＣＰ応答」の目的は、端末Ｕ（３）に対して、アクセス局Ａ（７）が本発明のメカニズムと互換性があることを示すことである。端末Ｕ（３）が標準すなわち非マジックＤＨＣＰ応答を受け取った場合、端末Ｕ（３）は、ＤＨＣＰの標準の動作モードに従ってＩＰアドレスを取得するだけであるため、本発明のメカニズムは利用可能ではないことを知る。いずれの場合でも、ＤＨＣＰ応答は、アクセス局Ａ（７）のＩＰアドレス（ゲートウェイとして識別される）と、端末Ｕ（３）のＩＰアドレス（クライアントＩＰアドレスとして識別される）を含む。

ＤＨＣＰ応答は、さまざまな方法で、「マジックＤＨＣＰ応答」として定義されることが可能であり、それらはすべて、本発明の技術的範囲内に入る。例えば、ＤＨＣＰ応答は、値「１」に初期化された「ＡＰ」ＤＨＣＰオプションフィールドを含む場合に、「マジックＤＨＣＰ応答」とみなすことが可能である。ＤＨＣＰプロトコルは、新たなオプションフィールドの動的な導入を見込んでいる。「ＡＰ」ＤＨＣＰオプションフィールドの値が１であることは、端末Ｕ（３）が接続しようとしているアクセス局Ａ（７）が、本発明のメカニズムをサポートすることを示す。他方、「ＡＰ」ＤＨＣＰオプションフィールドがないか、１以外の値であることは、アクセス局Ａ（７）が本発明のメカニズムをサポートしないことを示す。

別法として、「マジックＤＨＣＰ応答」は、予約されたＩＰアドレスを端末Ｕに割り当てるＤＨＣＰ応答として定義されることも可能である。例示のみの目的であるが、ＩＰアドレス１３８．１５．１０３．２２０（これは一般にＮＥＣＵＳＡの管理下にある）を、この目的のために使用可能である。このＩＰアドレスはＮＥＣＵＳＡに割り当てられているため、他のネットワークによってＤＨＣＰクライアントに割り当てられることはできない。ＮＥＣＵＳＡもまた、このアドレスを他の目的のために使用しないことを保証する。それゆえ、ＩＰアドレス１３８．１５．１０３．２２０が端末Ｕ（３）に割り当てられることは、アクセス局Ａ（７）が本発明のメカニズムをサポートすることを示す。他方、１３８．１５．１０３．２２０以外のＩＰアドレスが端末Ｕ（３）に割り当てられることは、アクセス局Ａ（７）が本発明のメカニズムをサポートしないことを示す。

端末Ｕ（３）が単に動的に割り当てられたＩＰアドレスすなわち「非マジック」ＤＨＣＰ応答を受け取るだけである場合、端末Ｕ（３）には、ネットワークおよびアクセス局Ａ（７）が本発明をサポートしないことが確認される。したがって、端末Ｕ（３）は、第三者所有の信頼されないアクセス局Ａ（７）を通じて、端末Ｕ（３）のＩＳＰＰ（４）を利用したインターネットアクセスを取得することはできない。

ステップＳ３ａにおいて、端末Ｕ（３）は、アクセス局Ａ（７）が存在すること、および、アクセス局Ａ（７）が本発明のメカニズムをサポートすることを知ると、識別パケットをアクセス局Ａ（７）に送る。このパケットは次のものを含む。

・端末Ｕ（３）が契約しているＩＳＰのＩＰアドレス。

・契約しているＩＳＰＰ（４）によって端末Ｕ（３）に以前に割り当てられた識別文字列あるいは番号。

・ＩＳＰＰ（４）を、端末Ｕ（３）が契約しているＩＳＰであるとして認証するために、端末Ｕ（３）によってランダムに生成されたチャレンジＣＨ＿Ｕ。

ステップＳ３ｂにおいて、アクセス局Ａ（７）は、ＩＳＰ認証パケットを端末Ｕ（３）から受け取ると、ローカル固有識別（ＬＵＩＤ：local unique identification）を端末Ｕ（３）に割り当てる。ＬＵＩＤは、アクセス局Ａ（７）が同時に複数の端末Ｕにサービスしているような状況で、メッセージやデータパケットを正しい端末Ｕ（３）と関連づける（照合する、組み合わせる）ために、アクセス局Ａ（７）によって利用される。ＬＵＩＤは、アクセス局Ａ（７）が正しい端末Ｕにデータを送信するのを助ける区別可能な識別属性であればよい。例として、ＬＵＩＤは、端末Ｕ（３）のＭＡＣアドレスとすることが可能であるが、これには限定されない。

次に、アクセス局Ａ（７）は、修正されたＩＳＰ認証パケットをＩＳＰＰ（４）に転送する。アクセス局Ａ（７）は、端末ＵのＩＳＰＰ（４）のＩＰアドレスを知っている。これは、ステップＳ（３ａ）で端末Ｕ（３）からアクセス局Ａ（７）に送られたＩＳＰ識別パケットに、端末Ｕ（３）によって含められていたからである。修正されたＩＳＰ認証パケットは次のものを含む。

・アクセス局Ａ（７）のＩＰアドレス（ＩＳＰＰ（４）がデータをアクセス局Ａ（７）に転送することができるようにするため）。

・端末Ｕ（３）に割り当てられたＬＵＩＤ。

・端末Ｕ（３）の識別番号。

・端末Ｕ（３）がランダムに生成したチャレンジＣＨ＿Ｕ。

明確にしておかなければならない点であるが、端末Ｕ（３）の識別番号と端末Ｕ（３）のＬＵＩＤは２つの異なる無関係のＩＤである。識別番号は、ＩＳＰＰ（４）によって前もって端末Ｕ（３）に割り当てられたものである（例えば、これは、端末Ｕ（３）とＩＳＰＰ（４）が加入契約を結んだときに決定されたユーザ名である）。これに対して、ＬＵＩＤは、アクセス局Ａ（７）によって端末Ｕ（３）に動的に割り当てられ、アクセス局Ａ（７）が現在サービスを提供している端末Ｕ（３）を列挙するためにアクセス局Ａ（７）のみによって使用されるものである。端末Ｕ（３）およびＩＳＰＰ（４）のいずれも、アクセス局Ａ（７）がどのようにしてＬＵＩＤを選択し割り当てるかには影響を及ぼさない。

ステップＳ４ａにおいて、ＩＳＰＰ（４）は、アクセス局Ａ（７）から修正されたＩＳＰ認証パケットを受け取ると、アクセス局Ａ（７）を通じてインターネットあるいはその他のサービスを取得することを端末Ｕ（３）が要求していることを知る。しかし、ＩＳＰＰ（４）は、ＩＳＰ認証パケットの発信者が正当な端末Ｕ（３）でありＩＳＰＰ（４）と契約しているかどうかを確かめることができない。例えば、ＩＳＰ認証パケットは、ＩＳＰＰ（４）と加入契約をしていないユーザから送られたものかもしれない。あるいは、アクセス局（７）が、サービスを提供することを必要とせずにＩＳＰから補償を得る目的でユーザになりすまして要求を生成することによって、悪意をもってふるまっているかもしれない。そこで、ＩＳＰＰ（４）は、端末Ｕ（３）がＩＳＰＰ（４）の真正な加入者であることを確かめるために、端末Ｕ（３）の識別（身元）を認証しなければならない。

端末Ｕ（３）を認証するため、ＩＳＰＰ（４）は、端末Ｕ（３）によって正しく応答されるときに端末Ｕ（３）の識別を確認することになるチャレンジＣＨ＿Ｐを生成する。注意すべき点であるが、このようなチャレンジは通常、乱数ジェネレータによって生成される大きい数または文字列である。

この際、ＩＳＰＰ（４）は、ステップ（３ａ）で端末Ｕ（３）によって生成されたチャレンジＣＨ＿Ｕに対する応答も行う。ＣＨ＿Ｕは、単に、ＩＳＰＰ（４）の秘密鍵で暗号化されて端末Ｕ（３）に送られるだけであるので、端末Ｕ（３）は、ＩＳＰＰ（４）の公開鍵を用いてこのメッセージを復号することができる。もとのＣＨ＿Ｕメッセージが判明した場合、端末Ｕ（３）には、ＩＳＰＰ（４）の真正が確かめられる（すなわち、ＩＳＰＰ（４）は端末Ｕ（３）に認証される）。

さらに、ＩＳＰＰ（４）は、端末Ｕ（３）のセキュリティ要求およびアクセス局Ａ（７）の位置に依存して、信頼ネットワークノードＴ（５）を選択する。最後に、ＩＳＰＰ（４）は、次の内容を有するパケットをアクセス局Ａ（７）に送る。

・端末Ｕ（３）のチャレンジに対するＩＳＰＰ（４）の応答。これは、ＣＨ＿ＵをＩＳＰＰ（４）の秘密鍵で暗号化したものである。

・端末Ｕ（３）を認証するための、ＩＳＰＰ（４）がランダムに生成したチャレンジＣＨ＿Ｐ。

・信頼ノードＴ（５）のＩＰアドレス。

・アクセス局Ａ（７）によって端末Ｕ（３）に割り当てられたＬＵＩＤ。

ステップＳ４ｂで、アクセス局Ａ（７）は、ＩＳＰＰ（４）からユーザ認証パケットを受け取ると、修正されたユーザ認証パケットを端末Ｕ（３）に転送する。この修正されたユーザ認証パケットは次のものを含む。

・アクセス局Ａ（７）が同時に複数のユーザＵ（３）にサービスしている場合、端末Ｕ（３）に割り当てられたＬＵＩＤもユーザ認証パケットに含められる。前述のように、ＬＵＩＤは、どの端末Ｕ（３）がデータパケットを受け取るべきかをアクセス局Ａ（７）が判断するのを助ける。

ステップＳ５ａで、端末Ｕ（３）は、ＩＳＰＰ（４）によってＰの公開鍵で暗号化された、チャレンジＣＨ＿Ｕに対するＩＳＰＰ（４）の応答を、ＩＳＰＰ（４）の公開鍵を用いて復号し確認する。端末Ｕ（３）が、ＩＳＰＰ（４）の公開鍵を用いて、チャレンジＣＨ＿Ｕに対するＩＳＰＰ（４）の応答を復号することに成功した場合、端末Ｕ（３）には、暗号化された応答が実際にＩＳＰＰ（４）によって生成されたものであることが確かめられ、これによりＩＳＰＰ（４）の識別が認証される。

この時点で、端末Ｕ（３）は、端末Ｕ（３）の識別を確認し認証するための、ＩＳＰＰ（４）によって生成されたチャレンジＣＨ＿Ｐに対する応答の生成も行う。ＩＳＰＰ（４）のチャレンジＣＨ＿Ｐに応答して、端末Ｕ（３）は、ＩＳＰＰ（４）のチャレンジＣＨ＿Ｐを、端末Ｕ（３）の秘密鍵で暗号化する。その後、端末Ｕ（３）は、次の内容を有するメッセージをアクセス局Ａ（７）に送る。

・ＩＳＰＰのチャレンジＣＨ＿Ｐに対する端末Ｕ（３）の応答。

ステップＳ５ｂにより、アクセス局Ａ（７）は、ステップＳ５ａで生成された端末Ｕ（３）からのメッセージを受け取り、それをＩＳＰＰ（４）に転送する。必ずしも必要ではないが、アクセス局Ａ（７）が端末Ｕ（３）のＬＵＩＤをＩＳＰＰ（４）へのメッセージに含めると有益なことがある。その場合、将来、（ＩＳＰＰ（４）からアクセス局Ａ（７）を通じて端末Ｕ（３）に送らなければならないデータについて）ＩＳＰＰ（４）が正しい端末Ｕ（３）をアクセス局Ａ（７）に指示することが容易になる。

ステップＳ６ａおよびＳ６ｂで、ＩＳＰＰ（４）は、チャレンジＣＨ＿Ｐに対する端末Ｕ（３）の応答が、正当な端末Ｕ（３）によって生成されたことを確認する。端末Ｕ（３）を認証するために、ＩＳＰＰ（４）は、チャレンジＣＨ＿Ｐに対する応答を端末Ｕ（３）の公開鍵で復号する。復号された応答が、ＩＳＰＰ（４）のもとのチャレンジＣＨ＿Ｐとなった場合、ＩＳＰＰ（４）には、端末Ｕ（３）が正当な加入者であり、ＩＳＰＰ（４）と契約していることが確かめられる。

ここで、ＩＳＰＰ（４）は、端末Ｕ（３）と信頼ノードＴ（５）が後で端末Ｕ（３）と信頼ノードＴ（５）の間のトラフィックを暗号化して、端末Ｕ（３）と信頼ノードＴ（５）の間に安全なトンネル（１）を確立するために使用することになるセッション鍵を生成する。セッション鍵とともに、安全なトンネルの有効期間を決定するタイムアウト値が、端末Ｕ（３）および信頼ノードＴ（５）の両方に伝えられる。

ステップＳ６ａで生成され、ＩＳＰＰ（４）から信頼ノードＴ（５）に送られるメッセージは、次の情報を含む。

・セッション鍵^PT。これは、セッション鍵を、信頼ノードＴ（５）の公開鍵およびＩＳＰＰ（４）の秘密鍵で暗号化したものである。注意すべき重要な点であるが、セッション鍵は信頼ノードＴ（５）の公開鍵で暗号化されるため、信頼ノードＴ（５）のみが（その秘密鍵を用いて）それを復号することができる。セッション鍵はＩＳＰＰ（４）の秘密鍵で暗号化されるため、信頼ノードＴ（５）は、それが実際にＩＳＰＰ（４）から来たことを（ＩＳＰＰ（４）の周知の公開鍵を用いて）確認することができる。

・安全なトンネル（１）の有効期間を決定するタイムアウト値（詳細は後述）。

・アクセス局Ａ（７）のＩＰアドレス。

・アクセス局Ａ（７）によって端末Ｕ（３）に割り当てられた、端末Ｕ（３）のＬＵＩＤ。

ステップＳ６ｂで生成されたメッセージは、アクセス局Ａ（７）を通じてＩＳＰＰ（４）から端末Ｕ（３）に送られる。すなわち、これは、まずＩＳＰＰ（４）からアクセス局Ａ（７）に送られた後、アクセス局Ａ（７）によって端末Ｕ（３）に転送される。このメッセージは、次の情報を含む。

・セッション鍵^UT。これは、セッション鍵を、端末Ｕ（３）の公開鍵およびＩＳＰＰ（４）の秘密鍵で暗号化したものである。注意すべき重要な点であるが、セッション鍵は端末Ｕ（３）の公開鍵で暗号化されるため、端末Ｕ（３）のみが（その秘密鍵を用いて）それを復号することができる。セッション鍵はＩＳＰＰ（４）の秘密鍵で暗号化されるため、端末Ｕ（３）は、それが実際にＩＳＰＰ（４）から来たことを（ＩＳＰＰ（４）の周知の公開鍵を用いて）確認することができる。

・安全なトンネル（１）の有効期間を決定するタイムアウト値。

・アクセス局Ａ（７）によって端末Ｕ（３）に割り当てられた、端末Ｕ（３）のＬＵＩＤ。注意すべき重要な点であるが、ＬＵＩＤは、アクセス局Ａ（７）が、メッセージを正しい端末Ｕ（３）に転送するためにのみ必要とされる。この情報フィールドは、アクセス局Ａ（７）から端末Ｕ（３）に送られる最終的なメッセージでは随意に省略することができる。

２．２）アクセス局Ａ（７）を通じての端末Ｕ（３）と信頼ノードＴ（５）の間の安全なトンネル（１）の生成
いったん端末Ｕ（３）およびＩＳＰＰ（４）が認証されると、端末Ｕ（３）がＩＰパケットをアクセス局Ａ（７）に送ることができ、さらにそれをアクセス局Ａ（７）が信頼ノードＴ（５）に転送することができる。また、その逆も可能である（信頼ノードＴ（５）がＩＰパケットをアクセス局Ａ（７）に送ることができ、その後それをアクセス局Ａ（７）が端末Ｕ（３）に転送することができる）。その結果、端末Ｕ（３）と信頼ノードＴ（５）の間に（アクセス局Ａ（７）を通じて）安全なトンネル（１）が確立される。この安全なトンネル（１）の目的は、端末Ｕ（３）と信頼ノードＴ（５）の間の物理リンクをエミュレートすることである。さらに、端末Ｕ（３）および信頼ノードＴ（５）は両方とも（ＩＳＰＰ（４）によって生成された）同じセッション鍵を有するため、安全なトンネル（１）を通るトラフィックはこのセッション鍵で暗号化することが可能である。安全なトンネルを通るパケットを暗号化することにより、端末Ｕ（３）と信頼ノードＴ（５）の間に位置するネットワーク要素（例えば、アクセス局Ａ（７））は、端末Ｕ（３）や信頼ノードＴ（５）によって検出されずにＩＰパケットの追加、変更あるいは除去を行うことは不可能となる。

アクセス局Ａ（７）は、メッセージを信頼ノードＴ（５）に送るときにはいつも、そのメッセージを発信した端末Ｕ（３）のＬＵＩＤを含める。ＬＵＩＤは、アクセス局Ａ（７）のＩＰアドレスとともに、信頼ノードＴ（５）が端末Ｕ（３）を識別するために使用可能なグローバルに一意的なＩＤを生成する。

さらに、信頼ノードＴ（５）は、（端末Ｕ（３）への最終的配送のために）アクセス局Ａ（７）に送るのと同じＬＵＩＤをメッセージに含める。アクセス局Ａ（７）は、このＬＵＩＤを用いて、メッセージの転送先とすべき正しい端末Ｕ（３）を決定することができる。ＬＵＩＤは、端末Ｕ（３）にとっては重要でないため、アクセス局Ａ（７）は、信頼ノードＴ（５）から端末Ｕ（３）に転送するメッセージからそれを随意に除去することも可能である。

２．３）端末ＵとＩＰネットワークの間のデータ転送
次に、図２および図５を参照して、端末Ｕ（３）とＩＰネットワーク（９）（例えば、インターネットや社内イントラネット）の間のデータ転送について説明する。注意すべき重要な点であるが、図４が、端末Ｕ（３）、アクセス局Ａ（７）、ＩＳＰＰ（４）、および信頼ノードＴ（５）の間のメッセージシーケンスを示したのとは異なり、図５は、端末Ｕ（３）、アクセス局Ａ（７）、信頼ノードＴ（５）およびインターネット（９）の間のメッセージシーケンスを示す。

図５から理解されるとともに、すでに説明したように、端末Ｕ（３）と信頼ネットワークノードＴ（５）の間でアクセス局Ａ（７）を通じてデータを送信するために、安全なトンネル（１）が確立される。端末Ｕ（３）、アクセス局Ａ（７）、および信頼ノードＴ（５）が安全なトンネル（１）を通じてＩＰパケットを交換することができることにより、これ以上ＩＳＰＰ（４）が関与することは不要となる（ＩＳＰＰ（４）の関与は、生成されたセッション鍵が端末Ｕ（３）および信頼ノードＴ（５）に安全に配送されたときに終了する）。

一般に、安全なトンネル（１）を通じてＩＰパケットを送信する前に、端末Ｕ（３）は、信頼ノードＴ（５）からＩＰアドレスを取得するために、安全なトンネル（１）を通じて第２のＤＨＣＰ要求を信頼ノードＴ（５）に転送する。注意すべき重要な点であるが、安全なトンネル（１）は、端末Ｕ（３）と信頼ノードＴ（５）の間の物理リンクをエミュレートする。安全なトンネル（１）が確立された後、端末Ｕ（３）は次の２つのネットワークインタフェースを有する（それぞれＩＰアドレスを必要とする）。

１）端末Ｕ（３）をアクセス局Ａ（７）と接続する物理インタフェース（例えば、イーサーネットカードや８０２．１１ワイヤレスＬＡＮカード）。端末Ｕ（３）は、第１のＤＨＣＰ要求を送出することによって、このインタフェースに対するＩＰアドレスを取得した。このＤＨＣＰ要求は、アクセス局Ａ（７）によって受信され応答された。

２）端末Ｕ（３）を信頼ノードＴ（５）と接続する、安全なトンネル（１）への論理インタフェース。端末Ｕ（３）は、安全なトンネル（１）を通じて第２のＤＨＣＰ要求をブロードキャストすることによって、このインタフェースに対する別のＩＰアドレスを取得しなければならない。ただし、この第２のＤＨＣＰ要求は、信頼ノードＴ（５）によって受信され応答される。

第２のＩＰアドレスを信頼ノードＴ（５）から取得することにより、端末Ｕ（３）は、グローバルインターネット（９）によって信頼ノードＴ（５）へとルーティングされる送信元アドレスを有するＩＰパケットを生成することが可能となる。さらに、信頼ノードＴ（５）は、その宛先アドレスを有するＩＰパケットを、信頼ノードＴ（５）と端末Ｕ（３）の間のトンネルを通じて端末Ｕ（３）に転送することが可能となる。

第２のＤＨＣＰ要求に関するメカニズムについて以下で説明する。端末Ｕ（３）は、（自分（端末Ｕ（３））と信頼ノードＴ（５）との間に確立した）安全なトンネル（１）を、追加の（論理）ネットワークインタフェースとして利用可能にするために、第２のＤＨＣＰ要求を生成する。ステップ７ａに示すように、端末Ｕ（３）は、このＤＨＣＰ要求を、端末Ｕ（３）と信頼ノードＴ（５）の間で共有されるセッション鍵で暗号化する。次に、端末Ｕ（３）は、暗号化されたＤＨＣＰ要求を、新たなＩＰパケット「Ｙ」のペイロードフィールドに入れる（すなわち、Ｙ［ＤＨＣＰ要求／セッション鍵］）。「Ｙ」ＩＰパケットは、信頼ノードＴ（５）のＩＰアドレスをその宛先アドレスとし、アクセス局Ａ（７）のアドレスをその送信元アドレスとする。「Ｙ」ＩＰパケット（Ｙ［ＤＨＣＰ要求／セッション鍵］）は、アクセス局Ａ（７）に転送される。アクセス局Ａ（７）は、「Ｙ」ＩＰパケットを信頼ノードＴ（５）に転送するが、パケット内の内容を復号することはできない。アクセス局Ａ（７）は正しいセッション鍵を有しないからである。注意すべき重要な点であるが、アクセス局Ａ（７）は、「Ｙ」ＩＰパケットを信頼ノードＴ（５）に転送するときに、前述したように、端末Ｕ（３）のＬＵＩＤを「Ｙ」ＩＰパケットに付加することが可能である。

ステップＳ７ｂにおいて、信頼ノードＴ（５）は、アクセス局Ａ（７）を通じて、暗号化されたＤＨＣＰ要求を含む「Ｙ」ＩＰパケットを端末Ｕ（３）から受け取ると、ＤＨＣＰ要求を復元し、ＩＰアドレスを端末Ｕ（３）に割り当て、端末Ｕ（３）に対するＤＨＣＰ応答を生成する。明らかなように、このＤＨＣＰ要求によって端末Ｕ（３）に割り当てられるＩＰアドレスは、グローバルインターネット（９）がメッセージを信頼ノードＴ（５）にルーティングするために使用するＩＰアドレスである。その後、このＤＨＣＰ応答は、セッション鍵で暗号化されてアクセス局Ａ（７）に転送され、アクセス局Ａ（７）はこの応答を端末Ｕ（３）に送る。この間、アクセス局Ａ（７）は応答の内容を復号することはできない。

端末Ｕ（３）は、暗号化されたＤＨＣＰ応答を受け取ると、ＩＰアドレスを取得する。このＩＰアドレスは、グローバルインターネット（９）が信頼ノードＴ（５）にルーティングし、信頼ノードＴ（５）が端末Ｕ（３）に（アクセス局Ａ（７）を通じての、安全なトンネル（１）を通って）転送するものである。明確にするため、注意すべき点であるが、上記のＤＨＣＰ応答に含まれるＩＰアドレスは、信頼ノードＴ（５）自体のＩＰアドレスではなく、グローバルインターネット（９）が信頼ノードＴ（５）にルーティングするＩＰアドレスである。信頼ノードＴ（５）は、このＩＰアドレスを宛先アドレスとして有するメッセージを受け取ると、信頼ノードＴ（５）がメッセージの最終受信者ではなく、端末Ｕ（３）である最終宛先へメッセージを転送することになっていることを容易に判断することができる（すなわち、信頼ノードＴ（５）はルータとして作用する）。信頼ノードＴ（５）は、端末Ｕ（３）のＤＨＣＰ要求に対して、前記ＩＰアドレスを含むＤＨＣＰ応答により応答するとき、前記ＩＰアドレスを端末Ｕ（３）の識別および対応するアクセス局Ａ（７）と関連づけるレコードを保持する。この情報により、信頼ノードＴ（５）は、グローバルインターネット（９）から受け取るあらゆるＩＰパケットについて、次の情報を判定することが可能となる。

・パケットの転送先となるべき関連づけられた端末Ｕ（３）。

・信頼ノードＴ（５）をその特定の端末Ｕ（３）と接続する安全なトンネル（１）。

・安全なトンネル（１）を通じての送信用にパケットを暗号化するために使用しなければならないセッション鍵。

・安全なトンネル（１）が通り、暗号化されたパケットの転送先となるべき、関連づけられたアクセス局Ａ（７）。

ステップＳ８ａにおいて、端末Ｕ（３）と信頼ノードＴ（５）との間の（安全なトンネル（１）を通じての）パケットトラフィックの送信について詳細に説明する。この説明は、データパケットの詳細な内訳を示す図３を参照することにより補足される。具体的には、端末Ｕ（３）は、新たなＩＰパケットＸ（１１）を作成する。図３からわかるように、データパケットＸ（１１）のパケットヘッダ（１２）は、リモートホストＲ（１０）（図１に示されるような）の宛先アドレスと、端末Ｕ（３）からという送信元アドレスを有する。特に、送信元アドレスは、端末Ｕ（３）の要求に対して信頼ノードＴ（５）から端末Ｕ（３）に返されるＤＨＣＰＩＰアドレスである。

次に、ＩＰパケット（１１）全体（データパケットＸおよびヘッダを含む）が、端末Ｕ（３）と信頼ノードＴ（５）の間で共有されるセッション鍵で暗号化され、データパケットＹ（１６）のペイロード（１４）として格納される（Ｙ［Ｘ／ｋｅｙ］）。ここで、暗号化されたＩＰパケットＹ［Ｘ／ｋｅｙ］（１６）のヘッダ（１８）宛先アドレスは、信頼ノードＴ（５）のＩＰアドレスであり、このＩＰパケットの送信元アドレスは、端末Ｕ（３）に割り当てられるマジックＤＨＣＰアドレスである。

ステップＳ８ａに示されるように、アクセス局Ａ（７）は、暗号化されたＩＰパケットＹ［Ｘ／ｋｅｙ］（１６）を受信する。アクセス局Ａ（７）は、もちろん、暗号化されたＩＰパケットＹ［Ｘ／ｋｅｙ］（１６）内に含まれる内容（すなわちＸ）を復元したり操作したりすることはできない。そこで、アクセス局Ａ（７）は、暗号化されたＩＰパケットＹ［Ｘ／ｋｅｙ］（１６）内の送信元アドレスフィールドをアクセス局Ａ（７）のＩＰアドレスで置き換えて、修正されたパケットＹ′［Ｘ／ｋｅｙ］を作成することにより、暗号化されたＩＰパケットＹ［Ｘ／ｋｅｙ］（１６）を信頼ノードＴ（５）に転送する。さらに、アクセス局Ａ（７）は、どの端末Ｕ（３）がもとのパケットＸ（１１）を送信したかを信頼ノードＴ（５）が判断するのを助けるために、端末Ｕ（３）のＬＵＩＤを修正されたＩＰパケットＹ′［Ｘ／ｋｅｙ］に付加することが可能である。信頼ノードＴ（５）は、メッセージを復号する正しいセッション鍵を選択するためには、どの端末Ｕ（３）がパケット（１１）を送信したかを知らなければならない。

ステップＳ８ｂにより、信頼ノードＴ（５）は、もとのデータパケットＸ（１１）を復元する。データパケットＸ（１１）はインターネット（９）に転送される。同様に、端末Ｕ（３）宛のインターネット（９）からのデータパケットは、ステップＳ８ｂに示されるように、信頼ノードＴ（５）によって受信される。信頼ノードＴ（５）は、セッション鍵を用いてデータパケットを暗号化した後、ステップＳ８ａに示されるように、暗号化されたパケットをアクセス局Ａ（７）に転送する。アクセス局Ａ（７）は、ＬＵＩＤに基づいて、メッセージを正しい端末Ｕ（３）に転送する。

別法として、ＩＰ送信元アドレスと送信元ポート番号の一意的な２つ組をトンネルにマッピングするＮＡＴ（ネットワークアドレス変換）メカニズムが使用される場合には、ステップＳ７を省略することも可能である。その場合、端末Ｕ（３）によって送信され信頼ノードＴ（５）によって受信される最初のデータパケットＸ（１１）が、端末Ｕ（３）を信頼ノードＴ（５）と関連づけることになる。そして、トンネルと外部インターネット接続との間で接続パラメータをマッピングするデータ構造が作成される。

２．４）トンネル解放とタイムアウト
タイムアウトメカニズムは、端末Ｕ（３）と信頼ノードＴ（５）の間に確立された安全なトンネル（１）に関連するリソースの解放をトリガする。前記リソースは、端末Ｕ（３）、アクセス局Ａ（７）および信頼ノードＴ（５）に存在する。タイムアウトおよびトンネル解放を制御するタイミングメカニズムは、トンネルの両端（すなわち、端末Ｕ（３）内および信頼ノードＴ（５）内）に配置されることが可能である。タイミングメカニズムは、端末Ｕ（３）および信頼ノードＴ（５）へのセッション鍵の配送の成功時にセットされる。それぞれのタイミングメカニズムのタイマ値は、ＩＳＰＰ（４）と端末Ｕ（３）の間、およびＩＳＰＰ（４）と信頼ノードＴ（５）の間で転送されるセッション鍵とともに渡されることが可能である。

端末Ｕ（３）へのサービス提供と、提供される関連リソースとを制御する別個のタイマが、アクセス局Ａ（７）で維持される。このタイマは、トンネル（１）が確立されると、すなわち、セッション鍵が転送されるとすぐに開始される。好ましくは、端末Ｕ（３）宛のタイムアウト値が、このタイマのプリセット値として使用される。タイムアウト時に、サービス提供は停止され、アクセス局Ａ（７）におけるリソースは解放される。正しい動作を保証するため、データ転送の場合であっても、アクセス局Ａ（７）にあるタイマのタイムアウト値は、トンネル（１）のタイムアウトのタイムアウト値より大きくすべきである。

トンネル（１）の有効期間を延長するためには、端末Ｕ（３）は、タイマが満期になる前に、新たなサービスおよびＩＳＰＰ（４）との再認証要求を呼び出すことが可能である。再認証要求は、アクセス局Ａ（７）によって端末Ｕ（３）に提供される接続サービスについて、端末Ｕ（３）の真正と、計測された継続時間情報を保証する。端末Ｕ（３）および信頼ノードＴ（５）にあるタイマが満期になると、トンネルリソースは、それぞれのネットワーク要素から解放される。

しかし、遅いデータ転送中のトンネルの正しい動作および維持を保証するために、各タイマは、安全時間マージン(safety time margin)を有することも可能である。安全時間マージンは、タイマに追加時間のバッファを割り当てることにより、リソースが解放されたり再認証要求がなされたりする前に、遅いデータ転送が完了するようにする。

２．５）課金
アクセス局Ａ（７）が端末Ｕ（３）にサービスを提供した時間の長さに基づくアカウンティング方法も実現される。ある計測単位を利用して、アクセス局Ａ（７）が端末Ｕ（３）にサービスを提供した期間を計上する。計測単位は、端末Ｕ（３）、信頼ノードＴ（５）およびアクセス局Ａ（７）に渡されるタイムアウト値によって決定される。計測単位は、数十秒から数分までの範囲にある時間単位とすることが可能である。通常、計測単位は、ＩＳＰＰ（４）とアクセス局Ａ（７）の間のサービス契約、および、ＩＳＰＰ（４）と端末Ｕ（３）の間の契約によって規定される。タイムアウト値は、再認証手続きの呼出しによって引き起こされる時間粒度とシグナリングおよび処理のオーバーヘッドとによって影響を受けることがある。タイミングメカニズムは、システムの正しい動作にとって必要であるため、課金情報は、定期的な再認証手続き中に伝達されるタイムアウト値から導出することが可能である。

ＩＳＰＰ（４）が、端末Ｕ（３）によって利用されたリソースについてアクセス局Ａ（７）に補償するとともにタイマ値に基づいて端末Ｕ（３）に課金するように、タイマ値はＩＳＰＰ（４）によって生成され配送されることも可能であるが、端末Ｕ（３）が、プリペイドオプションによりＩＳＰサービスを取得することも可能である。例えば、端末Ｕ（３）は、与えられた期間ｔの間だけ、アクセス局Ａ（７）により提供されるリソースに端末Ｕ（３）がアクセスしそれを利用することを許可するプリペイド加入契約をＩＳＰＰ（４）と結ぶことが可能である。期間ｔは、ＩＳＰＰ（４）から端末Ｕ（３）が購入する計測単位（例えば分単位）の量に対応する。通常、それぞれの認証および再認証の成功により、タイムアウト間隔（例えば１分）と等価な金額分がデクリメントされる。プリペイド時間単位が使い果たされると、ＩＳＰＰ（４）は、端末Ｕ（３）に対して、再認証や新たなタイムアウト値の配送を行わない。その後、アクセス局Ａ（７）、信頼ノードＴ（５）および端末Ｕ（３）にあるタイマが満期になり、トンネル（１）は関連するリソースとともに解放される。

本発明によるネットワークのモデルを示す図である。本発明の実施例のコンポーネント間の情報フローを示す図である。アクセス局Ａを通じてユーザ（Ｕ）から信頼ネットワーク要素Ｔに転送されるトンネル化データパケットを示す図である。セッション鍵の認証および配送のメッセージシーケンスを示す図である。アソシエーションおよびデータ転送のメッセージシーケンスを示す図である。

符号の説明

１安全なトンネル
３端末ユーザＵ
４ＩＳＰＰ
５信頼ノードＴ
７アクセス局Ａ
９ＩＰネットワーク
１０リモートホスト
１１データパケットＸ
１６データパケットＹ

Claims

非信頼アクセス局（Ａ）を有する第三者所有の非信頼インフラストラクチャを通じてＩＰベースのネットワークへのパブリックアクセスを提供する方法において、
ＩＰ装置（Ｕ）と前記アクセス局（Ａ）の間に、ＩＰアドレスが該ＩＰ装置に動的に割り当てられる接続を確立するステップと、
前記ＩＰ装置（Ｕ）が契約しているインターネットサービスプロバイダ（ＩＳＰ）（Ｐ）へ、該ＩＳＰ（Ｐ）が真正であることの証明を要求するＩＳＰ認証要求を送信するステップと、
前記ＩＳＰ（Ｐ）から前記ＩＰ装置（Ｕ）へ、前記ＩＰ装置（Ｕ）が前記ＩＳＰ（Ｐ）とサービス契約を結んでいるかどうかを確認するためのユーザ認証要求を送信するステップと、
前記ＩＳＰ（Ｐ）および前記ＩＰ装置（Ｕ）が正しく認証された後、前記ＩＰ装置（Ｕ）と信頼ゲートウェイ（Ｔ）との間に信頼された接続を確立するステップと、
を有し、
前記ＩＰ装置（Ｕ）へのサービス提供および前記非信頼アクセス局（Ａ）におけるリソース制御のために、前記ＩＳＰ（Ｐ）から配送されるタイムアウト値が設定されるタイマを前記非信頼アクセス局（Ａ）に維持し、前記タイマは前記信頼された接続が確立されると開始し、タイムアウトするとサービス提供が停止して前記非信頼アクセス局（Ａ）におけるリソースが解放され、前記ＩＳＰ（Ｐ）により前記タイムアウト値が更新されることを特徴とする、ＩＰベースのネットワークへのパブリックアクセスを提供する方法。
端末（Ｕ）と、該端末と契約しているインターネットサービスプロバイダ（Ｐ）と、インターネットとの間に、第三者所有の非信頼アクセス局（Ａ）を通じて安全な接続を確立する方法において、
前記端末（Ｕ）と前記非信頼アクセス局（Ａ）との間に接続を確立するステップと、
前記端末（Ｕ）および前記インターネットサービスプロバイダ（ＩＳＰ）（Ｐ）へＩＳＰ認証要求を送信するステップと、
前記ＩＳＰ（Ｐ）および前記端末（Ｕ）が正しく認証された後、前記端末（Ｕ）と信頼ノード（Ｔ）との間に信頼された接続を確立するステップと、
を有し、
前記端末（Ｕ）へのサービス提供および前記非信頼アクセス局（Ａ）におけるリソース制御のために、前記ＩＳＰ（Ｐ）から配送されるタイムアウト値が設定されるタイマを前記非信頼アクセス局（Ａ）に維持し、前記タイマは前記信頼された接続が確立されると開始し、タイムアウトするとサービス提供が停止して前記非信頼アクセス局（Ａ）におけるリソースが解放され、前記ＩＳＰ（Ｐ）により前記タイムアウト値が更新されることを特徴とする、非信頼アクセス局を通じて安全な接続を確立する方法。
前記ＩＳＰ認証要求は、前記ＩＳＰ（Ｐ）の身元を認証するための、前記端末（Ｕ）から前記ＩＳＰ（Ｐ）への認証チャレンジ（ＣＨ＿Ｕ）を含むことを特徴とする請求項２記載の方法。
前記ユーザ認証要求は、前記端末（Ｕ）が前記ＩＳＰ（Ｐ）のサービスに加入しているという身元を認証するための、前記ＩＳＰ（Ｐ）から前記端末（Ｕ）への認証チャレンジ（ＣＨ＿Ｐ）を含むことを特徴とする請求項２記載の方法。
前記端末（Ｕ）および前記ＩＳＰ（Ｐ）の正当な認証後、前記ＩＳＰ（Ｐ）は、データパケットを暗号化するためのセッション鍵を生成することを特徴とする請求項２記載の方法。
前記ＩＳＰ（Ｐ）は、前記インターネットの前記信頼ノード（Ｔ）を選択することを特徴とする請求項２記載の方法。
前記ＩＳＰ（Ｐ）は、前記端末（Ｕ）および前記信頼ノード（Ｔ）に前記セッション鍵を配送することを特徴とする請求項５記載の方法。
セッション鍵が、前記端末（Ｕ）と前記信頼ノード（Ｔ）との間で送信されるデータパケットを暗号化するために使用されることを特徴とする請求項２記載の方法。
前記端末（Ｕ）と前記信頼ノード（Ｔ）との間での暗号化されたデータパケットの送信により安全なトンネルを確立することを特徴とする請求項８記載の方法。
前記安全なトンネルは、前記非信頼アクセス局による操作からデータパケットを保護することを特徴とする請求項９記載の方法。
前記信頼された接続の確立後、タイムアウト値が信頼ノード（Ｔ）および端末（Ｕ）に配送されることを特徴とする請求項２記載の方法。
前記タイムアウト値は所定の期間に設定され、前記信頼された接続は、前記タイムアウト値に等しい期間のあいだ有効であり、タイムアウト時には前記信頼された接続のために利用されたリソースが解放される、ことを特徴とする請求項１１記載の方法。
前記信頼ノード（Ｔ）は、前記端末（Ｕ）から暗号化されたデータパケットを受信した後、該データパケットを復号し、復号されたデータパケットをインターネットに転送することを特徴とする請求項２記載の方法。
前記信頼ノード（Ｔ）は、前記端末（Ｕ）から暗号化されたデータパケットを受信した後、該データパケットを復号し、復号されたデータパケットをリモート通信相手（Ｒ）に転送することを特徴とする請求項１３記載の方法。
前記インターネットは、前記信頼ノード（Ｔ）を介して前記端末（Ｕ）へもとのデータパケットを送信し、前記信頼ノード（Ｔ）は、もとのデータパケットを暗号化し、暗号化されたデータパケットを、前記非信頼アクセス局（Ａ）を介して前記端末（Ｕ）に転送することを特徴とする請求項１４記載の方法。
前記端末（Ｕ）は、前記信頼ノード（Ｔ）から暗号化されたデータパケットを受信した後、セッション鍵を利用して該データパケットを復号することにより、インターネットからのもとのデータパケットを得ることを特徴とする請求項１３記載の方法。
前記リモート通信相手（Ｒ）が、前記信頼ノード（Ｔ）を介して前記端末（Ｕ）へもとのデータパケットを送信し、前記信頼ノード（Ｔ）は、もとのデータパケットを暗号化し、暗号化されたデータパケットを、前記非信頼アクセス局（Ａ）を介して前記端末（Ｕ）に転送することを特徴とする請求項１４記載の方法。
前記端末（Ｕ）は、前記信頼ノード（Ｔ）から暗号化されたデータパケットを受信した後、セッション鍵を利用して該データパケットを復号することにより、前記リモート通信相手（Ｒ）からのもとのデータパケットを得ることを特徴とする請求項１７記載の方法。
前記ＩＳＰ（Ｐ）は、前記端末（Ｕ）によって利用されたリソースについて、前記非信頼アクセス局（Ａ）に、前記非信頼アクセス局（Ａ）が前記端末（Ｕ）にサービスを提供した時間の長さに基づく補償を提供することを特徴とする請求項２記載の方法。
前記非信頼アクセス局（Ａ）は、第三者所有のネットワークインフラストラクチャに組み込まれていることを特徴とする請求項２記載の方法。
前記ＩＳＰ（Ｐ）は、前記非信頼アクセス局（Ａ）を介して、少なくとも１つの加入サービスを前記端末（Ｕ）に提供することを特徴とする請求項２０記載の方法。
前記ＩＳＰ（Ｐ）は、前記非信頼アクセス局（Ａ）が前記端末（Ｕ）にサービスを提供した時間の長さに基づいて、前記端末（Ｕ）に対して費やされたリソースについて、前記端末（Ｕ）に課金することを特徴とする請求項２記載の方法。
前記ＩＳＰ（Ｐ）は、前記端末（Ｕ）に提供されたサービスについて当該端末（Ｕ）に課金することを特徴とする請求項２１記載の方法。
前記非信頼アクセス局（Ａ）は、公共施設のネットワークインフラストラクチャ内に位置することを特徴とする請求項２０記載の方法。
前記公共施設は、空港、会議場、レストラン、ホテル、図書館、および学校のうちの少なくとも１つであることを特徴とする請求項２４記載の方法。
前記非信頼アクセス局（Ａ）は、私宅のインフラストラクチャ内に、または、企業もしくは政府機関の私設インフラストラクチャ内に位置することを特徴とする請求項２０記載の方法。
前記非信頼アクセス局（Ａ）は、ＷＬＡＮ（ＩＥＥＥ８０２．１１）、Ｂｌｕｅｔｏｏｔｈ（ＩＥＥＥ８０２．１５）、またはＨｉｐｅｒＬａｎを含む少なくとも１つのワイヤレス伝送標準と互換であることを特徴とする請求項２記載の方法。
前記端末（Ｕ）はモバイル装置であることを特徴とする請求項２記載の方法。
前記端末（Ｕ）は、動的ホスト設定プロトコル（ＤＨＣＰ）要求をブロードキャストし、前記非信頼アクセス局（Ａ）から「マジック」ＤＨＣＰ応答を受信することによって、互換アクセスポイントを認識することを特徴とする請求項２記載の方法。
前記非信頼アクセス局（Ａ）は、同時に複数の端末（Ｕ）にサービスするときには、端末とデータパケットとのマッチングを容易にするために、ローカル固有識別（ＬＵＩＤ）を端末（Ｕ）に割り当てることを特徴とする請求項２記載の方法。
コンピュータに、非信頼アクセスポイントを介してインターネットサービスのアクセスおよび認証を行わせるプログラムを保持する記録媒体において、
前記プログラムは、
ＩＰ装置（Ｕ）とアクセス局（Ａ）の間に、ＩＰアドレスが該ＩＰ装置（Ｕ）に動的に割り当てられる接続を確立するステップと、
前記ＩＰ装置（Ｕ）が契約しているインターネットサービスプロバイダ（ＩＳＰ）（Ｐ）へ、該ＩＳＰ（Ｐ）が真正であることの証明を要求するＩＳＰ認証要求を送信するステップと、
前記ＩＳＰ（Ｐ）から前記ＩＰ装置（Ｕ）へ、前記ＩＰ装置（Ｕ）が前記ＩＳＰ（Ｐ）とサービス契約を結んでいるかどうかを確認するためのユーザ認証要求を送信するステップと、
前記ＩＳＰ（Ｐ）および前記ＩＰ装置（Ｕ）が正しく認証された後、前記ＩＰ装置（Ｕ）と信頼ゲートウェイ（Ｔ）の間に信頼された接続を確立するステップとを含み、
前記ＩＰ装置（Ｕ）へのサービス提供および前記非信頼アクセス局（Ａ）におけるリソース制御のために、前記ＩＳＰ（Ｐ）から配送されるタイムアウト値が設定されるタイマを前記非信頼アクセス局（Ａ）に維持し、前記タイマは前記信頼された接続が確立されると開始し、タイムアウトするとサービス提供が停止して前記非信頼アクセス局（Ａ）におけるリソースが解放され、前記ＩＳＰ（Ｐ）により前記タイムアウト値が更新される、
ことを特徴とするコンピュータプログラム記録媒体。