JP4723158B2 - パケット・データ・ネットワークにおける認証方法 - Google Patents

Description

【０００１】
（技術分野）
本発明は、移動体パケット・ネットワークに関し、特に、モバイルＩＰ（インターネット・プロトコル）ネットワークに接続している移動ノードの認証に関連するが、これに限定されない。
【０００２】
（背景技術）
無線ローカル・エリア・ネットワーク（ＷＬＡＮ）アダプタが結合されているラップトップ・コンピュータなどの端末は、フォーリン・エージェント（foreign agent）を経由してホーム・エージェントに接続する。機能的には、その端末はネットワーク内で１つの移動ノードとして働く。移動ノード、ホーム・エージェント、フォーリン・エージェントという用語は刊行物Request For Comments ２００２の中で次のように説明されている。
【０００３】
移動ノード（ＭＴ）：１つのネットワークまたはサブネットワークから別のネットワークまたはサブネットワークへ、そのアタッチメントのポイントを変更するホストまたはルータ。移動ノードは、そのＩＰアドレスを変えずに、その位置を変更することができる。それはアタッチメントのポイントに対するリンク層の接続性が利用できることを仮定して、その（一定の）ＩＰアドレスを使用して任意の場所において他のインターネット・ノードと通信を継続することができる。
【０００４】
ホーム・エージェント（ＨＡ）：移動ノードは、その移動ノードのホーム・エージェントが属しているホーム・ネットワークに属している。ＨＡは、移動ノードのホーム・ネットワーク上のルータであり、移動ノードがホームから離れているときにその移動ノードに配信するためにデータグラムをトンネルし、その移動ノードに対して現在の位置情報を維持する。
【０００５】
フォーリン・エージェント：移動ノードが訪れているネットワーク上のルータであって、その移動ノードが登録されている間、その移動ノードにルーティング・サービスを提供する。フォーリン・エージェントは、その移動ノードのホーム・エージェントによってトンネルされたデータグラムを、その移動ノードにトンネルせず、配信する。移動ノードによって送信されたデータグラムに対して、フォーリン・エージェントは、それに登録された移動ノードに対するデフォルトのルータとして働く。
モビリティ・エージェント：ホーム・エージェントまたはフォーリン・エージェントのいずれか。
【０００６】
刊行物ＲＦＣ２００２において、移動ノードには長期ＩＰアドレスまたはそのホーム・ネットワーク内のホーム・アドレスが与えられていることがさらに説明されている。このホーム・アドレスは、固定ホストに提供される「永久的な」ＩＰアドレスと同じ方法で管理される。そのホーム・ネットワークから離れているとき、ホーム・エージェントによって関連付けられている「気付アドレス」が、その移動ノードに関連付けられ、その移動ノードの現在のアタッチメントのポイントを示す。移動ノードは、そのホーム・アドレスを自分が送信するＩＰデータグラムのソース・アドレスとして使用することができる。
【０００７】
移動ノードは、ＩＰネットワークに対する接続について認証されることが望ましいことが多い。ＩＰネットワークが移動ノードを認識するための１つの方法は、そのＩＰネットワークおよびその移動ノードの両方によって知られている共有秘密キーを使用することによる方法である。その共有秘密は暗号キーとして使用される。その共有秘密は、先ず最初にＩＰネットワークによって知られ、次に、そのＩＰネットワークの管理機構がその移動ノードに対する安全なアクセスを取得した場合に、移動ノード内に格納される。セキュリティのために、共有秘密は傍受されやすいネットワーク上で送信されてはならない。したがって、移動ノードはＩＰネットワークの管理機構に供給される必要がある。将来においては、多くの異なるＩＰネットワークが存在する可能性がある。現在の構成によれば、移動ノードには、その移動ノードが接続される可能性のある種々のＩＰネットワークのそれぞれに対して１つの秘密キーを有するために、秘密キーのデータベースが提供される必要がある。
【０００８】
ＷＯ００／０２４０６号は、電気通信ネットワーク、特にＩＰネットワークに対して意図されている認証方法を開示している。ネットワーク内の１つの端末から認証子およびデータ・ユニットを含む第１のメッセージがネットワークに送信され、そのデータ・ユニットはその認証子が形成されている方法に関連している情報を含む。ネットワーク内で認証を実行するために、第１のメッセージ内に含まれているデータ・ユニットは、上記認証子と比較されるチェック値を決定するために使用される。ネットワークに接続されているときに、端末が複雑で手間の掛かるメッセージ交換を実行しなくても済むようにするために、そして、使用のために必要なセキュリティ特性を依然として取得するために、識別ユニットが端末で使用され、チャレンジを入力として受取り、そのチャレンジから、既知の移動通信システムの加入者ＩＤ（識別）モジュールの場合と本質的に同じ方法で応答およびキーを決定することができ、１組の認証ブロックがネットワークの中に生成され、それについてそれぞれが１つのチャレンジ、応答、およびキーを含み、それにより、その生成が上記移動通信システム内と同じ方法で実行され、その認証ブロックが含んでいるチャレンジの少なくともいくつかが端末に送信される。
【０００９】
チャレンジの１つは、その端末において使用するために選定され、それに基づいて、使用するための応答およびキーがその端末の識別ユニットの助けをかりて決定され、上記第１のメッセージ内で、チャレンジがそれに対応して選定されたキーの上記データ・ユニットの助けをかりてそのネットワークに通知され、第１のメッセージの認証子および上記チェック値がその選定されたキーによって決定される。
【００１０】
ＷＯ００／０２４０７号は、電気通信ネットワーク、特にＩＰネットワークにおいて実行される認証に関する。地理的に広いエリアにおいてＩＰネットワークのユーザの簡単でスムースな認証を可能にするために、ＩＰネットワークの端末（ＴＥ１）が別の移動通信システム（ＭＮ）で使用されているような加入者ＩＤモジュール（ＳＩＭ）を使用し、それによって入力としてＩＤモジュールに与えられたチャレンジから応答を決定することができる。また、ＩＰネットワークは、加入者がＩＰネットワークに付加されるときに新しいユーザに関するメッセージが送信される特別セキュリティ・サーバ（ＳＳ）を含む。少なくとも１つのチャレンジおよび１つの応答を含む加入者の認証情報が上記移動通信システムからＩＰネットワークに取り出され、その移動通信システムから得られた認証情報に基づいて、上記チャレンジを端末にＩＰネットワークを通じて送信することによって、その端末のＩＤモジュールにおいてそのチャレンジから１つの応答を生成することによって、そしてその応答を移動通信システムから受信された応答と比較することによって認証が実行される。また、データベース（ＤＢ）をシステム内で使用することもできる。加入者固有の認証情報が前もって格納されており、それにより、加入者がネットワークに接続するときに移動通信システムから問題の情報が取り出される必要はない。
【００１１】
この文書は、チャレンジのうちのいくつかが、予約セキュリティ・パラメータ・インデックス（ＳＰＩ）値と矛盾する場合における１組のチャレンジの送信を開示している。この矛盾は、データ伝送のバンド幅を浪費し、１つの潜在的なセキュリティ・リスクとなる。何故なら、加入者固有の認証情報が形成されるのに使用される移動通信システムの秘密を暗号解読するためのデータをより多く提供するからである。
【００１２】
ＷＯ００／０２４０６号およびＷＯ００／０２４０７号の両方において、端末は、そのチャレンジが新鮮であること、および真正のネットワークから受信されたことの確証を持たずに応答を送信する必要がある。それ故、端末はそのチャレンジが再生アタックの一部であるかどうかを判定することができない。
【００１３】
（発明の開示）
第１の態様によれば、本発明は、移動ノードのパケット・データ・ネットワークへの認証を行う方法を提供する。この方法は、前記移動ノードに、移動ノードＩＤと、前記移動ノードＩＤに固有であり、電気通信ネットワークが使用できる共有秘密を提供するステップと、前記移動ノードに保護コードを提供するステップと、前記移動ノードＩＤおよび前記保護コードを前記移動ノードから前記パケット・データ・ネットワークに送信するステップと、前記電気通信ネットワークが使用できる認証情報を前記パケット・データ・ネットワークに提供するステップであって、前記認証情報が、チャレンジと、前記移動ノードＩＤに対応し、前記チャレンジと前記共有秘密を使用して導くことができるセッション秘密とを含むステップと、少なくとも前記保護コードおよび前記セッション秘密を使用して暗号情報を形成するステップと、前記チャレンジおよび前記暗号情報を前記パケット・データ・ネットワークから前記移動ノードに送信するステップと、前記チャレンジおよび前記共有秘密を使用して前記暗号情報の有効性を前記移動ノードにおいてチェックするステップと、前記共有秘密に基づいて、前記セッション秘密と、前記チャレンジに対応する第１の応答とを前記移動ノードにおいて生成するステップと、前記第１の応答を前記パケット・データ・ネットワークに送信するステップと、前記移動ノードを認証するために前記第１の応答をチェックするステップとを含む。
【００１４】
好適には、前記方法は、さらに、前記電気通信ネットワークに対する加入者ＩＤを前記移動ノードに提供するステップと、前記加入者ＩＤから、前記移動ノードによって前記移動ノードＩＤとしてネットワーク・アクセス識別子を形成するステップとを含む。
好適には、前記方法は、さらに、前記パケット・データ・ネットワークにおいて前記移動ノードＩＤから直接前記電気通信ネットワークを認識するステップを含む。
【００１５】
好適には、前記方法は、さらに、少なくとも１つのセッション秘密に基づいて共有セッション・キーを前記パケット・データ・ネットワークに提供するステップを含む。
好適には、前記方法は、さらに、前記パケット・データ・ネットワークと前記移動ノードとの間で前記チャレンジを通信するための通信リンクを提供するステップを含む。前記通信リンクは、前記電気通信ネットワークのリンクではない。
好適には、前記方法は、さらに、前記移動ノードに移動ノードＩＤを提供するために加入者ＩＤモジュールを使用するステップを含む。好適には、加入者ＩＤモジュールは、前記移動ノードＩＤに固有の共有秘密に基づいて前記セッション秘密の生成において使用される。
【００１６】
好適には、前記方法は、さらに、前記電気通信ネットワークから第２の応答を得るステップと、前記第１の応答をチェックするステップにおいて、前記第２の応答を使用するステップとを含む。
好適には、前記方法は、さらに、前記パケット・データ・ネットワークを経由して前記電気通信ネットワークから前記移動ノードに前記チャレンジを送信するステップを含む。
【００１７】
好適には、前記保護コードは時間に基づいている。
好適には、前記チャレンジは、前記電気通信ネットワークの少なくとも２つの認証トリプレットのＲＡＮＤコードに基づいている。
好適には、前記チャレンジは少なくともｎ個のＲＡＮＤコードを使用して暗号化によって形成される。
好適には、前記方法は、さらに、前記チャレンジのｎ個のＲＡＮＤコードに対応するｎ個のセッション・キーＫｃに基づいて、共有セッション・キーを前記パケット・データ・ネットワークに提供するステップを含む。
【００１８】
好適には、前記方法は、さらに、前記共有秘密、前記保護コードに基づいて、そして前記移動ノードおよび前記パケット・データ・ネットワークによって知られているアルゴリズムに基づいて認証キーを生成するステップを含む。この方法で、前記移動ノードと前記パケット・データ・ネットワークとの間の通信を認証することができる。使用されているセッション・キーＫｃの数が多ければ多いほど、共有セッション・キーＫがより強くなる。
好適には、前記パケット・データ・ネットワークはＩＰネットワークである。前記パケット・データ・ネットワークがモバイルＩＰネットワークであることが最も好ましい。
【００１９】
代替実施形態においては、前記方法は、さらに、インターネット・キー交換のための共有セッション・キーを生成するステップを含み、前記共有セッション・キーは少なくとも１つの前記セッション秘密および少なくとも１つの前記チャレンジに基づいている。
代替実施形態においては、前記移動ノードＩＤと、前記移動ノードＩＤに固有の共有秘密とを、前記移動ノードに提供するステップが、さらに、前記移動ノードと移動局との間にローカル接続を形成し、それにより前記移動局が移動ノードＩＤと、前記移動ノードＩＤに固有の前記共有秘密とを有するステップと、前記移動ノードと、前記移動ノードＩＤおよび前記移動ノードＩＤに固有の前記共有秘密を有している移動局との間にローカル接続を形成するステップと、前記移動ノードＩＤおよび前記共有秘密を前記移動局から前記移動ノードへ取り出すステップとを含む。
【００２０】
好適には、前記移動ノードＩＤおよび前記移動ノードＩＤに固有の前記共有秘密を提供するステップが、サブステップとして、さらに、前記移動ノードと、前記移動ノードＩＤおよび前記移動ノードＩＤに固有の前記共有秘密を有する加入者ＩＤモジュールとの間にローカル接続を形成するステップと、前記加入者ＩＤモジュールから前記移動ノードへ、前記移動ノードＩＤと、前記移動ノードＩＤに固有のセッション秘密とを取り出すステップとを含む。
【００２１】
第２の態様によれば、本発明は、移動ノードにおいて、移動ノードのパケット・データ・ネットワークへの認証を行う方法を提供する。この方法は、移動ノードＩＤと、前記移動ノードＩＤに固有であり、電気通信ネットワークが使用できる共有秘密とを前記移動ノードに提供するステップと、前記移動ノードに保護コードを提供するステップと、前記移動ノードＩＤおよび前記保護コードを前記パケット・データ・ネットワークに送信するステップと、前記パケット・データ・ネットワークからチャレンジおよび暗号情報を受信するステップと、前記チャレンジおよび前記共有秘密を使用して前記暗号情報の有効性をチェックするステップと、前記共有秘密に基づいて、前記チャレンジに対応するセッション秘密および第１の応答を生成するステップと、前記第１の応答を前記パケット・データ・ネットワークに送信するステップとを含む。
【００２２】
第３の態様によれば、本発明は、パケット・データ・ネットワークにおいて、移動ノードの前記パケット・データ・ネットワークへの認証を行う方法を提供する。この方法は、共有秘密に対応する移動ノードＩＤおよび保護コードを移動ノードから受信するステップと、
【００２３】
電気通信ネットワークが使用できる認証情報を取得するステップであって、前記認証情報が、チャレンジと、前記移動ノードＩＤに対応し、前記チャレンジおよび前記共有秘密を使用して導くことができるセッション秘密とを含むステップと、少なくとも前記保護コードおよび前記セッション秘密を使用して暗号情報を形成するステップと、前記チャレンジおよび前記暗号情報を前記移動ノードに送信するステップと、前記移動ノードから第１の応答を受信するステップと、前記セッション秘密を使用して前記第１の応答を確認するステップとを含む。
【００２４】
第４の態様によれば、本発明は、パケット・データ・ネットワークと移動電気通信ネットワークの加入者ＩＤに対するアクセスを有する移動ノードとの間の通信のための方法を提供する。この方法は、前記電気通信ネットワークに対する加入者ＩＤを移動ノードに提供するステップと、前記移動ノードによって、前記加入者ＩＤから前記パケット・データ・ネットワークが使用する移動ノードＩＤとしてネットワーク・アクセス識別子を形成するステップとを含む。
【００２５】
第５の態様によれば、本発明は、パケット・データ・ネットワークと認証サーバにアクセスできる電気通信ネットワークとの間のインターフェースとして働くゲートウェイにおける認証方法を提供する。この方法は、前記パケット・データ・ネットワークからネットワーク・アクセス識別子を受信するステップと、ネットワーク・アクセス識別子から電気通信ネットワークでの使用に適した加入者ＩＤを形成するステップと、前記電気通信ネットワークに前記加入者ＩＤを提供するステップと、チャレンジと、前記チャレンジおよび前記加入者ＩＤに対応するセッション秘密を認証サーバから受信するステップと、前記チャレンジを前記パケット・データ・ネットワークに提供するステップとを含む。
【００２６】
第６の態様によれば、本発明は、パケット・データ・ネットワークと、認証サーバにアクセスできる電気通信ネットワークとの間のインターフェースとして働くゲートウェイを提供する。このゲートウェイは、移動ノードＩＤおよび保護コードを前記パケット・データ・ネットワークから受信するための入力と、前記認証サーバに前記移動ノードＩＤを提供するための出力と、前記認証サーバから、チャレンジと、前記移動ノードＩＤに対応するセッション秘密とを受信するための入力と、少なくとも前記保護コードおよび前記セッション秘密を使用して暗号情報を形成するための第１のプロセッサと、移動ノードにさらに送信するために前記チャレンジおよび前記暗号情報を前記パケット・データ・ネットワークに提供するための出力と、前記加入者ＩＤに固有であり、前記移動ノードおよび前記電気通信ネットワークによって知られている共有秘密に基づいて、前記チャレンジに対応する第１の応答を前記パケット・データ・ネットワーク経由で前記移動ノードから受信するための入力と、前記移動ノードを認証するために前記第１の応答を確認する第２のプロセッサとを備える。
【００２７】
第７の態様によれば、本発明は、パケット・データ・ネットワークと認証サーバにアクセスできる電気通信ネットワークとの間のインターフェースとして働くゲートウェイを提供する。このゲートウェイは、前記パケット・データ・ネットワークからネットワーク・アクセス識別子を受信するための第１の入力と、ネットワーク・アクセス識別子から電気通信ネットワークでの使用に適した加入者ＩＤを形成するためのプロセッサと、前記電気通信ネットワークに前記加入者ＩＤを提供するための第１の出力と、認証サーバから、チャレンジと、前記チャレンジに対応し、前記加入者ＩＤに対応するセッション秘密を受信するための第１の入力と、前記パケット・データ・ネットワークに前記チャレンジを提供するための第２の出力とを含む。
【００２８】
第８の態様によれば、本発明は、通信システムを提供する。この通信システムは、電気通信ネットワークと、パケット・データ・ネットワークと、移動ノードとを備え、前記移動ノードは、保護コードを形成するための第１のプロセッサを備え、前記通信システムは、さらに、前記パケット・データ・ネットワークと前記電気通信ネットワークとの間のインターフェースとして働くゲートウェイと、加入者ＩＤおよび共有秘密を含む前記移動ノードによってアクセス可能な加入者ＩＤモジュールと、前記加入者ＩＤに対してマップされている前記共有秘密を含む前記電気通信ネットワークに対する認証サーバとを備え、前記認証サーバは、前記加入者ＩＤを受信し、それに応答してチャレンジを返すことができ、前記ゲートウェイは、前記保護コードに基づいて暗号情報を形成するための第２のプロセッサを含み、前記移動ノードは、前記ゲートウェイから前記チャレンジおよび前記暗号情報を受信することができ、前記チャレンジを前記加入者ＩＤモジュールに提供し、前記チャレンジおよび前記共有秘密に基づいて第１の応答を受信することができ、前記第１のプロセッサは、さらに、前記ゲートウェイの前記移動ノードへの認証を行うために前記保護コードを確認することができ、前記通信システムは、さらに、前記移動ノードを認証するために、前記第１の応答を確認する、ゲートウェイがアクセス可能な第３のプロセッサを含む。
【００２９】
第９の態様によれば、本発明は、通信システムを提供する。この通信システムは、電気通信ネットワークと、パケット・データ・ネットワークと、移動ノードＩＤを有する移動ノードと、前記パケット・データ・ネットワークと前記電気通信ネットワークとの間のインターフェースとして働くゲートウェイと、加入者ＩＤおよび共有秘密を含む前記移動ノードによってアクセス可能な加入者ＩＤモジュールと、前記加入者ＩＤにマップされている前記共有秘密を含む電気通信ネットワークに対する認証サーバと、前記電気通信ネットワークに対して前記移動ノードＩＤの加入者ＩＤを形成する、ゲートウェイによってアクセス可能な第１のプロセッサとを備え、前記認証サーバは、前記加入者ＩＤを受信し、それに応答してチャレンジを返すことができ、前記加入者ＩＤモジュールは、前記チャレンジを受信し、それに応答して前記チャレンジおよび前記共有秘密に基づいて第１の応答を形成することができ、前記通信システムは、さらに、前記移動ノードを認証するために、前記第１の応答を確認する、ゲートウェイによってアクセス可能な第２のプロセッサを備える。
【００３０】
第１０の態様によれば、本発明は移動ノードを提供する。この移動ノードは、前記加入者を電気通信ネットワークに対して識別するための加入者ＩＤと、加入者ＩＤモジュールに固有の共有秘密を有していて、前記電気通信ネットワークによってアクセス可能な認証サーバによって知られている加入者ＩＤモジュールと、前記加入者ＩＤに基づいて移動ノードＩＤを形成するためのプロセッサと、前記移動ノードＩＤを前記パケット・データ・ネットワークに送信し、それに応答して前記パケット・データ・ネットワークからチャレンジを受信することができる、パケット・データ・ネットワークと通信する通信ブロックとを備え、前記加入者ＩＤモジュールは、前記共有秘密に基づいて、前記チャレンジに対応する第１の応答を形成することができる。
【００３１】
第１１の態様によれば、本発明は、移動ノードのパケット・データ・ネットワークへの認証を行うために前記移動ノードを制御するコンピュータ・プログラム製品を提供する。この製品は、前記移動ノードが、移動ノードＩＤと、前記移動ノードＩＤに固有であり、電気通信ネットワークが使用可能な共有秘密とを取得できるようにするコンピュータ実行可能コードと、前記移動ノードが保護コードを取得できるようにするコンピュータ実行可能コードと、前記移動ノードが前記移動ノードＩＤおよび前記保護コードを前記パケット・データ・ネットワークに送信できるようにするコンピュータ実行可能コードと、前記移動ノードが前記パケット・データ・ネットワークからのチャレンジおよび暗号情報を受信できるようにするコンピュータ実行可能コードと、前記移動ノードが前記チャレンジおよび前記共有秘密を使用して前記暗号情報の有効性をチェックできるようにするコンピュータ実行可能コードと、前記移動ノードが前記共有秘密に基づいて、セッション秘密と、前記チャレンジに対応する第１の応答とを生成できるようにするコンピュータ実行可能コードと、前記移動ノードが前記第１の応答を前記パケット・データ・ネットワークに送信できるようにするコンピュータ実行可能コードとを含む。
【００３２】
第１２の態様によれば、本発明は、移動ノードのパケット・データ・ネットワークへの認証を行うために、前記パケット・データ・ネットワークを制御するコンピュータ・プログラム製品を提供する。このプログラム製品は、前記パケット・データ・ネットワークが、共有秘密に対応する前記移動ノードＩＤおよび保護コードを前記移動ノードから受信できるようにするコンピュータ実行可能コードと、前記パケット・データ・ネットワークが、チャレンジと、前記移動ノードに対応し前記チャレンジおよび前記共有秘密を使用して導くことができるセッション秘密とを含み、電気通信ネットワークが使用できる認証情報を取得できるようにするコンピュータ実行可能コードとを含み、前記パケット・データ・ネットワークが、少なくとも前記保護コードおよび前記セッション秘密を使用して暗号情報を形成できるようにするコンピュータ実行可能コードと、前記パケット・データ・ネットワークが、前記チャレンジおよび前記暗号情報を前記移動ノードに送信できるようにするコンピュータ実行可能コードと、前記パケット・データ・ネットワークが、前記移動ノードから第１の応答を受信できるようにするコンピュータ実行可能コードと、前記パケット・データ・ネットワークが、前記セッション秘密を使用して前記第１の応答を確認できるようにするコンピュータ実行可能コードと、を含む。
【００３３】
第１３の態様によれば、本発明は、パケット・データ・ネットワークと通信する、電気通信ネットワークが使用できる加入者ＩＤにアクセスできる移動ノードを制御するコンピュータ・プログラム製品を提供する。このコンピュータ・プログラム製品は、前記移動ノードが、前記加入者ＩＤを移動ノードに提供できるようにするコンピュータ実行可能コードと、前記移動ノードが、前記パケット・データ・ネットワークによって使用される移動ノードＩＤとして前記加入者ＩＤのネットワーク・アクセス識別子を形成できるようにするコンピュータ実行可能コードと、を含む。
【００３４】
第１４の態様によれば、本発明は、パケット・データ・ネットワークと、認証サーバにアクセスできる電気通信ネットワークとの間のインターフェースとして働くゲートウェイを制御するコンピュータ・プログラム製品を提供する。このコンピュータ・プログラム製品は、前記ゲートウェイが、前記パケット・データ・ネットワークからネットワーク・アクセス識別子を受信できるようにするコンピュータ実行可能コードと、前記ゲートウェイが、電気通信ネットワークにおける使用に適した加入者ＩＤをネットワーク・アクセス識別子から形成できるようにするコンピュータ実行可能コードと、前記ゲートウェイが、前記加入者ＩＤを前記電気通信ネットワークに提供できるようにするコンピュータ実行可能コードと、前記ゲートウェイが、チャレンジと、前記チャレンジおよび前記加入者ＩＤに対応するセッション秘密とを認証サーバから受信できるようにするコンピュータ実行可能コードと、前記ゲートウェイが、前記チャレンジを前記パケット・データ・ネットワークに提供できるようにするコンピュータ実行可能コードと、を含む。
【００３５】
第１５の態様によれば、本発明は、前記態様のいずれかによるコンピュータ・プログラム製品を含むメモリ媒体を提供する。
代替実施形態においては、前記方法は、前記移動ノードの前記パケット・データ・ネットワークへの認証を行う前に、予備認証方法によって前記移動ノードの前記パケット・データ・ネットワークへの認証を行うステップを含む。
有利なこととしては、前記電気通信ネットワークと前記移動ノードとの間で共有される前記秘密を利用することによって、強力な相互認証のために加入者ＩＤモジュールを使用することができる。これは電気通信ネットワークの既存の認証データが使用できる直接的な信頼できる認証手順を提供する。
【００３６】
１つの態様の実施形態は、本発明の種々の他の態様にも適用される。簡潔にするために、これらの実施形態は本発明のすべての態様に関連付けて繰り返されてはいない。当業者であれば、本発明の第１の態様の利点に基づいて種々の態様の利点を理解することができる。
本発明を、添付の図面を参照しながら以下に記述するが、これは単なる例示としてのものにすぎない。
【００３７】
（発明を実施するための最良の形態）
以下において、「移動通信用グローバル・システム」（ＧＳＭ）電気通信ネットワークに適用される本発明の好適な実施形態が記述される。移動ノードのパケット・データ・ネットワークへの認証を行うために、ＧＳＭ加入者のＧＳＭネットワークへの認証を行うのに普通に使用される「加入者ＩＤモジュール」（ＳＩＭ）カードが利用される。認証プロセス間に、ＳＩＭとＧＳＭ電気通信ネットワークとは、ＧＳＭ電気通信ネットワークではなく、パケット・データ・ネットワーク上で通信する。
【００３８】
電気通信ネットワークの実際のタイプは無関係である。ＧＳＭが一例として使用されるが、ネットワークのタイプは「汎用移動通信システム」（ＵＭＴＳ）または「汎用パケット無線サービスによるＧＳＭ」（ＧＰＲＳ）などであってもよい。実際に、ＧＰＲＳは、ＧＳＭ無線アクセス・ネットワークおよびＧＳＭ認証方法を使用して動作するという意味において、独立ネットワークではなくＧＳＭに対する拡張として理解することができる。
本発明は、３つの例を使用して記述される。例１は、モバイルＩＰ実装に関し、既存のモバイルＩＰ拡張が利用されている。例２は、１つのサブネットワークから別のサブネットワークへローミングする場合の無線ＬＡＮ環境に関する。例３は、インターネット・ノードに対するＩＫＥキーの生成に関する。
【００３９】
＜例１：モバイルＩＰ＞
本発明のこの好適な実施形態においては、移動ノードは数字の文字列の形式での「国際移動加入者ＩＤ」（ＩＭＳＩ）によって識別される。ＩＭＳＩは定義によって国の移動加入者ＩＤおよび携帯電話国番号から構成されている一意の加入識別子である。例えば、ＧＳＭにおいては、ＩＭＳＩはＩＭＳＩの中の数字の数より少ない数のバイトによって表される。
【００４０】
ＩＭＳＩはモバイルＩＰメッセージの中で「ネットワーク・アクセス識別子」（ＮＡＩ）として送信される。ＮＡＩはｉｍｓｉ＠ｓｏｎｅｒａ．ｆｉ（例えば、“１２３４５６７＠ｓｏｎｅｒａ．ｆｉ”）またはｉｍｓｉ＠ｇｓｍ．ｏｒｇ（例えば、“１２３４５６７＠ｇｓｍ．ｏｒｇ”）の形式である。したがって、ＮＡＩはその移動ノードが加入者であって、その移動ノードのドメインの識別情報である移動電気通信ネットワークの識別（例えば、テキストとして、または識別子番号として）を含む。これによってＮＡＩから直接に電気通信ネットワークを認識することができる。
【００４１】
ＮＡＩのこれらの２つの例のうちの後者、ｇｓｍ．ｏｒｇドメインは関連ＧＳＭ電気通信ネットワーク・オペレータに関連する適切なドメインを探すことができる上位レベルのドメイン上の一例である。
ＩＭＳＩからＮＡＩを形成することによって、そのＮＡＩだけに基づいて、関連ＧＳＭ電気通信ネットワーク・オペレータのパケット・データ・ネットワークによる後での決定が可能である。これによって異なる電気通信ネットワーク・オペレータとその加入者とを一緒にマップしている任意のローカル・データベースをパケット・データ・ネットワークにおいて維持する必要がなくなる。
【００４２】
一般に、ＮＡＩによって移動ノードを識別することは、モバイルＩＰにおける当業者であれば周知である。ＮＡＩの拡張を「登録要求」または「登録応答」の中に含めることができる。この両方は後で説明する。
ＧＳＭ電気通信ネットワークにおけるＳＩＭカードの動作を以下に説明する。ＧＳＭにおいては、Ａ３およびＡ８と呼ばれる既知の認証アルゴリズムがある。これらのアルゴリズムはＳＩＭ上で、そしてＧＳＭ電気通信ネットワークにおいて実行される。これらのアルゴリズムおよびＧＳＭの共有秘密Ｋ_ｉはＳＩＭおよびＧＳＭの電気通信ネットワーク・オペレータによって知られており、ネットワーク・オペレータは、通常、それらを移動体サービス交換局（ＭＳＣ）のＨＬＲ（ホーム・ロケーション・レジスタ）内に格納する。
【００４３】
認証において、ＧＳＭ電気通信ネットワーク・オペレータは１２８ビットのランダム・コードであるチャレンジＲＡＮＤを生成し、それがチャレンジとして使用され、そのチャレンジに対する応答を確認するために、対応している６４ビットのＧＳＭセッション・キーＫｃおよび３２ビットの署名入り応答ＳＲＥＳがある。６４ビットのセッションＧＳＭセッション・キーＫｃはＡ８のアルゴリズムによってＡ８（Ｋ_ｉ，ＲＡＮＤ）として生成され、３２ビット長のＳＲＥＳがＡ３（Ｋ_ｉ，ＲＡＮＤ）によって生成される。ＲＡＮＤ、ＳＲＥＳおよびＫｃの組合せは、一般的にＧＳＭトリプレットと呼ばれている。ＧＳＭ電気通信ネットワーク・オペレータはＲＡＮＤをその加入者（ＧＳＭ電話）に送信し、ＲＡＮＤが加入者によって受信され、加入者はそれをＳＩＭに渡し、それがＳＲＥＳおよびＫｃを再生する。次に、ＳＩＭはＳＲＥＳを送信することによってそのチャレンジに応答する。オペレータはＳＲＥＳを受信し、そのＳＩＭのＩＤを確認することができる。また、ＧＳＭ電気通信ネットワーク・オペレータは、それがＫｃをＳＩＭと共有することを確認することもできる。次に、そのＫｃを使用してＧＳＭ無線チャネル上でのデータ・トラヒックを暗号化することができる。このチャレンジ応答メカニズムの利点は、ＫｃがＧＳＭ無線チャネル上で送信される必要がなく、したがって、それが傍受される可能性がないことである。
【００４４】
図１は、本発明の好適な実施形態による、ＩＰネットワーキング準拠の移動ノードＭＴを有するモバイルＩＰネットワークＭＩＰを含む通信システム１０を示す。移動ノードＭＴは、通常、ネットワーキングのための無線ネットワーク・アダプタおよびソフトウェアを備えたラップトップ・コンピュータである。複数の移動ノードＭＴをＭＩＰに付加することができる。移動ノードＭＴはキーボードＫＢと、加入者ＩＤモジュールＳＩＭ＿Ｂと、ＷＬＡＮ無線チャネル上で無線アクセス・ポイントと通信するための第１の無線ブロックＲＦ１（ＰＣＭＣＩＡ無線ＬＡＮアダプタ）と、（オプションとして）ＧＳＭネットワークＧＳＭ＿Ｂと通信するための第２の無線ブロックＲＦ２（ＰＣＭＣＩＡ ＧＳＭアダプタ）と、前記のブロックを制御するためのマスタ処理ユニットＭＰＵ（例えば、マイクロプロセッサまたはディジタル信号プロセッサ）と、ＭＰＵを動作させるための第１のソフトウェアＳＷ１を含むメモリＭＥＭ１とを含む。
【００４５】
ＭＩＰは、ＭＴに無線接続を提供するための複数のアクセス・ポイントＡＰと、そのＡＰを制御するための公衆アクセス・コントローラＰＡＣと、フォーリン認証、承認およびアカウンティングサーバＦＡＡＡとを含む。
ＧＳＭネットワークＧＳＭ＿Ｂは、ＳＩＭ＿ＢのホームＧＳＭネットワークである。ＧＳＭ＿Ｂは、ホーム認証、承認およびアカウンティングサーバＨＡＡＡを含み、それはＧＳＭ＿Ｂの加入者のアカウンティングおよび承認データを含む加入者データのデータベースを備えている。これらのデータは、各加入者に対するＩＭＳＩおよびＧＳＭの共有秘密Ｋ_ｉを含む。
【００４６】
ＭＩＰは、ＧＳＭ認証ゲートウェイＧＡＧＷによってＧＳＭ＿Ｂに接続されている。ＧＡＧＷはサーバであり、それは第２のソフトウェアＳＷ２、および第２のソフトウェアＳＷ２を実行することによってサーバの動作を制御するための中央プロセッサＣＰＵを備えている。ＧＡＧＷはＧＳＭ＿Ｂ内のサーバとＭＩＰ内のサーバとを一緒に結合する。これらのサーバは、ホームＡＡＡサーバＨＡＡＡ（ＡＡＡは、認証(Authentication)、承認(Authorisation)およびアカウンティング(Accounting)を示す）として、およびフォーリンＡＡＡサーバＦＡＡＡとして指定されている。ＰＡＣはモビリティ・エージェントＭＡとしても機能する。ＭＩＰがＭＴのホーム・ネットワークである場合、ＰＡＣもそのＭＴのホーム・エージェントＨＡである。それ以外の場合、ＰＡＣはフォーリン・ネットワークに属し、そしてＰＡＣをフォーリン・エージェントＦＡと呼ぶことができる。ＨＡＡＡはＧＳＭ＿Ｂ内にあり、ＦＡＡＡはＭＩＰ内にある。この２つのＡＡＡサーバ内の通信は、適切なＡＡＡプロトコルの手段によって発生する。ＡＡＡプロトコルについてはここでは説明しない。
【００４７】
認証プロセスの概要を以下に簡単に説明する。移動ノードのパケット・データ・ネットワークへの認証を行うために、共有セッション・キーＫがＭＴの中およびＦＡＡＡサーバの中の両方において生成される。認証は、ＧＳＭ＿ＢおよびそのＳＩＭ、ＳＩＭ＿Ｂを使用して実行される。この場合、その認証手順は、基本のＧＳＭネットワークに関連して上記と同様になる。認証はＳＩＭ＿Ｂ上およびＧＳＭ＿Ｂの中にあるＫ_ｉを利用する。ＳＩＭ＿Ｂは、ＭＴ（例えば、無線ローカル・エリア・ネットワーク・アダプタを備えたラップトップ・コンピュータ）にＳＩＭカード・リーダを提供することによってアクセスされる。他の方法としては、ＭＩＰは、ＧＳＭ＿ＢのＫ_ｉに直接にはアクセスせず、ＳＩＭ＿Ｂに関連しているＲＡＮＤを受信する。このＲＡＮＤがＭＴに送信され、電気通信ネットワークが生成したＲＥＳＰに対してＲＥＳＰが確認される。１つだけのＫｃより安全である認証キーを生成するために、複数のＲＡＮＤを使用することによって認証をさらに改善することができる。
【００４８】
図２は、図１のシステムの共有セッション・キーの交換手順を示す。以下において、この手順が簡単に要約され、次にさらに詳しく説明される。
１．ＭＴは、そのＭＴによって生成されたネットワーク・アクセス識別子ＮＡＩおよび保護コードＭＴ＿ＲＡＮＤ（「モバイルＩＰ」の用語ではナンス（nonce）としても知られている）をＦＡＡＡに送信する。ＭＴ＿ＲＡＮＤは、認証セッションの間、同じままであり、それは再生アタックを妨げることを意味している。ＭＴ＿ＲＡＮＤは、通常、乱数または時間に基づいた数（ある種の分解能を有するタイムスタンプ）である。
【００４９】
２．ＦＡＡＡは、ＭＴのＩＭＳＩまたはＮＡＩ、およびＭＴ＿ＲＡＮＤを含む初期識別メッセージをＨＡＡＡに送信する。
３．ＨＡＡＡはｎ個のＧＳＭトリプレット（それぞれがＲＡＮＤ、Ｋｃ、およびＳＲＥＳを含む）を取り出す。次に、ＨＡＡＡは、ＭＴに対するＫ＝Ｈ（ｎ＊Ｋｃ，ＭＴ＿ＲＡＮＤ）を計算する。ここで、ｎは１より大きいか、あるいは１に等しい整数であり、＊はパラメータの個数を表し（ｎ＊Ｋｃはｎ個の異なるＫｃを示す）、Ｈ（）は１方向のハッシュ関数を表す。また、ＨＡＡＡは、ＭＡＣ（Ｋ，ｎ＊ＲＡＮＤ，ＭＴ＿ＲＡＮＤ）から計算される値ＳＩＧＮｒａｎｄも計算する。ここで、ＭＡＣはメッセージ認証コードを示す。ＳＩＧＮｒａｎｄは、ｎ個のＲＡＮＤがＫ_ｉに対するアクセスを有するエンティティから実際に発していること（Ｋがそれから導かれるので）を確認するための暗号化チェックサムである。このチェックサムは同じ認証セッションの間に実際に生成されたかどうかも示す。何故なら、ＭＴ＿ＲＡＮＤは認証セッションごとに変化するからである。
【００５０】
４．ＨＡＡＡはｎ個のＲＡＮＤ、ＳＩＧＮｒａｎｄおよびオプションとしてＩＭＳＩをＦＡＡＡに送信する。ＩＭＳＩそのものは、別のセッション識別子がこの手順のステップ１においてＩＭＳＩと一緒に送信されていた場合には使用される必要はない。この場合、このセッション識別子がＩＭＳＩの代わりに使用される。
５．ＦＡＡＡは少なくとも１つのＲＡＮＤおよびＳＩＧＮｒａｎｄをＭＴに送信する。
６．ＳＩＭ＿Ｂ上に格納されているｉを使用して、ＭＴがＫを計算する。次に、Ｋ、ｎ個のＲＡＮＤおよびＭＴ＿ＲＡＮＤを使用して、ＭＴがＳＩＧＮｒａｎｄをテストする。ＳＩＧＮｒａｎｄが正しかった場合、ＭＴはｎ個のＳＲＥＳ（各ＲＡＮＤに対して１つ）のコピーを生成する。ＭＴは、ＫおよびＳＲＥＳに対して暗号化のチェックサムＳＩＧＮｓｒｅｓ＝ＨＡＳＨ２（Ｋ，ｎ＊ＳＲＥＳ）を計算する。
【００５１】
７．ＭＴはＳＩＧＮｓｒｅｓをＦＡＡＡに送信する。ＭＴにおいて、Ｋの計算はＨＡＡＡにおけるＫの計算と同じである。
８．ＦＡＡＡがＳＩＧＮｓｒｅｓをＨＡＡＡに送信する。
９．ＨＡＡＡはＳＩＧＮｓｒｅｓが有効であることを、式ＳＩＧＮｓｒｅｓ＝ＨＡＳＨ２（Ｋ，ｎ＊ＳＲＥＳ）がＭＴが受信した値について適用されるかどうかをチェックすることによって確認する。ＨＡＡＡはその結果（ＳＩＧＮｓｒｅｓが有効であるかどうか）をＦＡＡＡに送信する。ＳＩＧＮｓｒｅｓが有効であった場合、ＨＡＡＡはＫもＦＡＡＡに送信する。
１０．認証が完了し、ＦＡＡＡおよびＭＴがそのＫを共有する。
ＦＡＡＡはいくつかのＨＡＡＡに機能的に接続されており、ＦＡＡＡはそのユーザのＮＡＩのドメイン部分、例えば、“ｓｏｎｅｒａ．ｆｉ”に基づいて正しいＨＡＡＡを選択する。ＨＡＡＡは、ＨＡＡＡ−ＨＡＡＡプロトコルを使用して初期識別メッセージを正しいＨＡＡＡに、あるいは移動交換局（ＭＳＣ）などのＧＳＭのインフラストラクチャに送信する。代替実施形態によれば、ＦＡＡＡは単独のＨＡＡＡと通信するように構成され、常にそのメッセージをステップ１においてそのＨＡＡＡに送信する。
【００５２】
図２の手順を以下に説明する。それは、新しいセッション・キー要求拡張を含むメッセージ登録要求によって開始される。この拡張および次の拡張が、図３乃至６を参照して後で説明される。ＩＭＳＩをネットワーク・アクセス識別子（ＮＡＩ）拡張の中で送信することができる。新しいセッション・キー要求の拡張は最大のキーの寿命およびＭＴによって拾われる乱数ＭＴ＿ＲＡＮＤを含む。ＭＡが新しいセッション・キー要求拡張を伴う登録要求を受信したとき、ＭＡはＮＡＩ（ＩＭＳＩを含む）およびＭＴ＿ＲＡＮＤをＨＡＡＡに送信する。ＭＡがＧＳＭ電気通信ネットワーク・オペレータによって運用されるホーム・エージェントであった場合、そのホーム・エージェントは、通常、ＧＳＭトリプレットに対する直接のアクセスを有する。本発明の１つの実施形態においては、登録をスピードアップするために、前もっていくつかのトリプレットが呼び出されている。ＨＡＡＡが何らかの手段によってＭＴに対するｎ個のＧＳＭトリプレットを取得すると、ＨＡＡＡは新しいＫおよび認証子のＳＩＧＮｒａｎｄを上記のように計算する。
【００５３】
次に、ＭＡは新しいセッション・キー応答拡張を伴った登録応答をＭＴに送信する。登録応答は、ＭＴ＿ＲＡＮＤおよびＳＩＧＮｒａｎｄを含み、ＲＡＮＤが現行のものであることおよびそれらがＧＳＭのインフラストラクチャによって生成されたものであることをＭＴが確認することができるようにする。登録応答は残りのキー寿命も含み、それはＭＴによって提案されたキー寿命に等しいか、あるいはそれより短い可能性がある。
【００５４】
ＭＴおよびＭＡがセキュリティ・コンテキストを共有しない場合、最初の登録要求および登録応答の認証が失敗する。登録応答の中の応答コードは、「移動ノードが認証に失敗した」または「識別不一致」である。モバイルＩＰにおいては、認証拡張が使用される。その認証拡張は「新しいセッション・キー交換」を意味する、セキュリティ・パラメータ・インデックス（ＳＰＩ）に対する特殊な値を有する。ＭＴのＳＰＩおよびＩＰアドレスが異なる移動ノードに関する管理認証手順に対するインデックスとして使用される。また、認証拡張は認証子に対するフィールドも備えており、それは、通常、ＭＡＣコードである。認証子は空であってもよい。したがって、ＭＡが本発明による認証をサポートしない場合、それは単純に応答コード「移動ノードが認証に失敗した」で応答することになる。ＭＡがフォーリン・エージェントであった場合、ＭＴは認証拡張をすべて省略する必要がある。
【００５５】
新しいセッション・キー応答拡張を伴う登録応答を受信した後、ＭＴはＳＩＧＮｒａｎｄの有効性を確認することができる。ＳＩＧＮｒａｎｄが有効であった場合、ＭＴはそのＫおよびＳＩＧＮｓｒｅｓを生成し、そのＭＡに対する新しいセキュリティ・コンテキストを生成するか、あるいはそのようなものが既に存在していた場合、その新しいＫでコンテキストを更新する。このキーはそれ以降の登録メッセージにおいてモバイルＩＰ認証として使用される。
【００５６】
ＭＴは、自分がＭＡに送信する次の登録要求の中のＳＲＥＳ拡張の中にＳＩＧＮｓｒｅｓを含む。ＭＡはそのＳＩＧＮｓｒｅｓをＨＡＡＡに送信し、ＨＡＡＡはそれを確認して１つの指示をＭＡに送信する。ＳＩＧＮｓｒｅｓが有効であった場合、ＨＡＡＡはそのＫもＭＡに送信する。ここでＭＡはＭＴに対するセキュリティ・コンテキストを生成／更新することができる。
ＭＡがＦＡであった場合、Ｋをその訪問したドメインの中のすべてのフォーリン・エージェントに分配することができる。
ＭＡはＳＲＥＳ拡張を迅速に取得する必要があり得るので、ＭＴはＳＲＥＳ拡張を伴う登録要求をＲＡＮＤの受信直後に送信することが有利である。
【００５７】
上記のＫ交換メカニズムによって生成されたセキュリティ・コンテキストはＳＰＩを有する。ここで、別の周知のＳＰＩがＳＩＭ生成セキュリティ・コンテキストとして使用される。ＳＰＩに対して１つの値「ＳＩＭ生成セキュリティ・コンテキスト」が予約されており、ＳＰＩに対しては「新しいセッション・キー交換」が予約されている。
【００５８】
この好適な実施形態によれば、モバイルＩＰ認証におけるデフォルトのアルゴリズムはプリフィックス＋サフィックス・モードにおけるキー型のＭＤ５である。このモードにおいては、メッセージに対する認証ダイジェストが、次のバイト、すなわち、Ｋの第１の発生および登録要求からの保護されたフィールドおよび第２のＫの発生のストリーム上で実行中のＭＤ５によって計算される。
【００５９】
認証ダイジェストは図３に示されているように認証拡張の中で送信される。図３はビットのテーブルとしてのビット・マップの一例を示し、各行には４つのオクテットがある。３種類の認証拡張がある。それらはＭＴとホーム・エージェントとの間で使用される必須の移動−ホーム認証拡張、ＭＴとフォーリン・エージェントとの間で使用されるオプションの移動−フォーリン認証拡張、およびＦＡとＨＡとの間で使用されるオプションのフォーリン−ホーム認証拡張である。これらのすべての拡張のフォーマットは同じである。ＳＰＩは不透明な識別子である。認証拡張の認証子（メッセージの受信者を確認する）がＳＰＩおよびピアのＩＰアドレスをモビリティ・セキュリティ関連データベースの中のセキュリティ・コンテキストにマップする。セキュリティ・コンテキストはキー、そのアルゴリズムおよび他のセキュリティ・パラメータを含む。認証子のフィールドはメッセージ・ダイジェストを含む。
【００６０】
この好適な実施形態によるモバイルＩＰ認証においては、セキュリティ・コンテキスト（Ｋを含む）がＳＩＭ＿Ｂを使用することによって生成される。ＲＡＮＤがＧＳＭ＿Ｂによって、例えば、ＨＡＡＡによって生成されるので、ＭＴは先ず最初に自分が登録しているＭＡに自分のＩＭＳＩを送信する必要がある。次に、ＭＡはＭＴに対するＧＳＭ認証情報を得るためにＦＡＡＡ−ＨＡＡＡプロトコルを使用することができ（上記のように）、この情報をＭＴと共にＫを生成するために使用する。Ｋが生成された後、ＭＴはＭＡによってまたはＭＡを介して登録することができる。Ｋをいくつかのそれ以降の登録に対して使用することができる。しかし、このＫに対する寿命があり、その寿命が尽きる前に、新しいＫを同様な手順によって生成することができる。
【００６１】
ＭＴとＭＡとの間のＫ交換メッセージが登録要求および登録応答に対する拡張として送信される。Ｋについて同意するために、ＭＴとＭＡとの間の登録メッセージに対する３つの新しい拡張が必要である。これらの拡張は新しいセッション・キー要求拡張、新しいセッション・キー応答拡張およびＳＲＥＳ拡張である。
【００６２】
通常、ＭＴは自分のＨＡが本発明による認証をサポートすることを知っている。しかし、ＭＴはＦＡがサポートする認証方法または複数の認証方法を知らない可能性がある。ＦＡが本発明による認証方法をサポートするかどうかをテストするために、ＭＴは最初の登録応答の中にフォーリン・エージェントに対する新しいセッション・キー要求拡張を含め、移動−フォーリン認証拡張を省略する。新しいセッション・キー要求拡張はオプションである。ＦＡがそれをサポートしない場合、ＦＡはそれを無視し、ＨＡにその要求を転送する前にそれを取り除く必要がある。ＭＴが登録応答を受信すると、ＭＴは次の論理を実施する。
【００６３】
−登録応答が新しいセッション・キー応答拡張を含み、ＦＡからの応答コードがエラー・コード「移動ノードが認証に失敗した」であった場合、そのＦＡは本発明による認証をサポートする。新しいセッション・キー応答が有効であった場合、ＭＴはＦＡに対するセキュリティ・コンテキストを生成し、次の登録要求の中のＦＡに対してＳＲＥＳ拡張を含める。
【００６４】
−ＦＡがその応答コードをエラー・コードに設定せず、登録応答が新しいセッション・キー応答拡張を含まず、ＦＡからの応答コードが設定されない場合、そのＦＡはその認証をサポートしないが、代わりに移動−フォーリン認証なしで登録することができる。ＭＴは認証拡張を必要とせずに、ＦＡについてそれ以降の登録を実行することができる。
【００６５】
−登録応答が新しいセッション・キー応答拡張を含まず、フォーリン・エージェントからの応答コードがエラー・コード「移動ノードが認証に失敗した」であった場合、そのＦＡは本発明による認証をサポートせず、したがって、異なる種類の認証を必要とする。この場合、ＭＴが本発明による認証機能だけを備えていた場合、それはそのＦＡについて登録することができない。
【００６６】
ＦＡがセキュリティ・コンテキストを共有しない移動ノードからＦＡＡＡが登録要求を受信すると、そのＦＡは次のオプションを有する。
−登録要求の中に有効な移動−フォーリン認証拡張があった場合、そのＦＡはエラー・コード「移動ノードが認証に失敗した」で応答する。これは標準のモバイルＩＰの挙動である。
【００６７】
−応答要求が移動−フォーリン認証拡張を含んでおらず、そしてローカル・ポリシーが移動−フォーリン認証を必要としない場合、そのＦＡは登録要求をＨＡに転送する。ＦＡは登録要求の中に新しいセッション・キー要求拡張があった場合でも、登録応答の中に新しいセッション・キー応答拡張を含まない。これは標準のモバイルＩＰの挙動である。この構成は、例えば、企業のアクセス・ゾーンにおいて有用である可能性がある。
【００６８】
−そのＦＡにおけるローカル・ポリシーが移動−フォーリン認証を必要とし、そして登録要求の中に移動−フォーリン認証拡張も新しいセッション・キー要求拡張もなかった場合、そのＦＡはエラー・コード「移動ノードが認証に失敗した」で応答する。これは標準のモバイルＩＰの挙動である。
−ＦＡにおけるローカル・ポリシーが移動−フォーリン認証を必要とし、登録要求が新しいセッション・キー要求拡張を含み、移動−フォーリン認証拡張を含んでいない場合、そのＦＡは登録要求をホーム・エージェントに転送せず、代わりにエラー・コード「移動ノードが認証に失敗した」で応答し、新しいセッション・キー応答拡張を登録応答の中に含める。次の、ＭＴが有効なＳＲＥＳ拡張および有効な移動−フォーリン認証拡張を伴う別の登録要求を送信した場合、そのＦＡはその要求をＨＡに転送する。
【００６９】
特定のＭＡを通じて登録するために、ある種のＧＳＭ加入者だけが承認されている。ユーザの承認は次のエンティティのうちのいずれかにおいて行うことができる。
−ＧＳＭインフラストラクチャ。ＧＳＭ電気通信ネットワーク（ＭＳＣ／ＨＬＲ）は、本発明による認証をある加入者だけに対してサポートすることができる。
−ＨＡＡＡ。ＨＡＡＡは承認されたＩＭＳＩのリストによって構成することができる。ＨＡＡＡは接続されている各アクセス・コントローラに対して別々のリストを備えることができる。これによりＨＡＡＡはどの加入者があるＭＡの承認されたユーザであるかを決定することができる。ＨＡがＧＳＭの電気通信ネットワーク・オペレータによって運用されている場合、ＨＡＡＡはこの種の承認情報を便利に格納することができる。
【００７０】
−ＦＡＡＡ。ある企業がＦＡＡＡを、例えば、その企業の従業員に対して運用する場合、その企業はどのＧＳＭ加入者がＦＡＡＡによる登録が可能であるかを制御したい場合がある。この場合、ＭＡは承認されたＧＳＭ加入者のリストを維持する必要がある。また、ＭＡはクリアテキストでＩＭＳＩを見る必要もある。ＩＭＳＩを保護するためにＭＳとＨＡＡＡとの間で公開キー暗号化が使用されている場合、そのＨＡＡＡはクリアテキストのＩＭＳＩをＭＡに送信し、ＭＴがＦＡＡＡに対して登録することが承認されているかどうかをＭＡがチェックできるようにする必要があり得る。
【００７１】
新しいセッション・キー交換の拡張は、通常の（危険でない）拡張であり、ＭＴ−ＡＡＡ認証拡張内に格納されることが好ましい。他の方法としては、セッション・ベンダ固有の拡張を使用することができる。登録要求の受信者がその拡張を認識しない場合、その拡張はスキップされる。
【００７２】
ＭＴとＦＡとの間のセッション・キー交換はＭＴとＨＡとの間のＫ交換とは独立である。したがって、登録要求は次のうちの任意のものを含む。
−ＦＡに対する新しいセッション・キー要求拡張
−ＨＡに対する新しいセッション・キー要求拡張
−ＦＡおよびＨＡの両方に対する新しいセッション・キー要求拡張
−ＦＡに対するＳＲＥＳ拡張
−ＨＡに対するＳＲＥＳ拡張
−ＦＡおよびＨＡの両方に対するＳＲＥＳ拡張
−ＦＡに対する新しいセッション・キー要求拡張およびＨＡに対するＳＲＥＳ拡張
−ＦＡに対するＳＲＥＳ拡張およびＨＡに対する新しいセッション・キー要求 通常、登録応答は、次のうちの任意のものを含む。
−ＦＡからの新しいセッション・キー応答拡張
−ＨＡからの新しいセッション・キー応答拡張
−ＦＡおよびＨＡの両方からの新しいセッション・キー応答拡張
【００７３】
新しいセッション・キー要求拡張のフォーマットが図４に示されている。ＭＴはサブタイプ１（ＭＴ−ＦＡ）を伴う新しいセッション・キー要求拡張を、移動−ホーム認証拡張の後、そして移動−フォーリン認証拡張（存在する場合）の前に置くことができる。ＦＡはその要求をＨＡに転送する前にその要求からこの拡張を取り除かなければならない。
ＭＴはサブタイプ２（ＭＴ−ＨＡ）を伴う新しいセッション・キー要求拡張を移動−ホーム認証拡張の前に置くことができる。
【００７４】
図４から分かるように、新しいセッション・キー要求拡張のフォーマットは、次の通りである。
タイプ―値１３４（スキップ可能）
長さ―バイト単位でのこの拡張の長さ。タイプおよび長さのフィールドを含まない。新しいセッション・キー要求拡張の場合、その長さは２６バイトである。
予約済み―将来の使用のために予約されている。０に設定される必要がある。
ベンダ／Ｏｒｇ−ＩＤ―上位のオクテットは０であり、下位の３個のオクテットはネットワーク・バイト順での移動ネットワーキング・サービスのベンダのＳＭＩネットワーク管理私企業コードである。
【００７５】
ベンダ・タイプ―ＮＥＷ＿ＳＥＳＳＩＯＮ＿ＫＥＹ＿ＲＥＱＵＥＳＴ＿ＶＥＮＤＯＲ＿ＴＹＰＥ。この値は特定のタイプのこの拡張が新しいセッション・キー要求拡張であることを示す。ベンダ・タイプの管理はそのベンダによって行われる。
サブタイプ―１：ＭＴ−ＦＡ新しいセッション・キー要求拡張、２：ＭＴ−ＨＡ新しいセッション・キー要求拡張
キーの寿命―秒単位での最大のキー寿命、２バイトの長さ
ＭＴ＿ＲＡＮＤ―ＭＴによって生成される乱数（１６バイトまたは８バイト）
これはベンダ固有の拡張の使用についての一例である。他の方法としては、別のタイプのモバイルＩＰ指定の拡張を使用することができる。
【００７６】
新しいセッション・キー応答拡張のフォーマットが図５に示されている。ＦＡはサブタイプ１（ＭＴ−ＦＡ）を伴う新しいセッション・キー応答拡張を登録応答の中に、移動−ホーム認証拡張（存在する場合）の後、そして移動−フォーリン認証拡張（存在する場合）の前に挿入することができる。ＨＡはサブタイプ２（ＭＴ−ＨＡ）を伴う新しいセッション・キー応答を登録応答の中に、移動−ホーム認証拡張の前に挿入することができる。
【００７７】
図５から分かるように、新しいセッション・キー応答拡張のフォーマットは次の通りである。
タイプ―値１３４（スキップ可能）
長さ―バイト単位でのこの拡張の長さ。タイプおよび長さのフィールドを含まない。新しいセッション・キー応答拡張の場合、その長さは４２ビット＋ｎ個のＲＡＮＤの長である。
予約済み―将来の使用のために予約されている。０に設定される必要がある。
ベンダ／Ｏｒｇ−ＩＤ―値は、例えば、９４（Ｎｏｋｉａ）である。上位のオクテットは０であり、下位の３個のオクテットはネットワーク・バイト順序でのベンダのＳＭＩネットワーク管理私企業コードである。
【００７８】
ベンダ・タイプ―この値はこの拡張の特定のタイプが新しいセッション・キー応答拡張であることを示す。ベンダ・タイプの管理はベンダによって行われる。
サブタイプ―１：ＦＡ−ＭＴ新しいセッション・キー応答拡張、２：ＨＡ−ＭＴ新しいセッション・キー応答拡張
キーの寿命―秒単位での残っているキーの寿命
ＳＩＧＮｒａｎｄ―ｎ個のＲＡＮＤに対する認証子、１６バイト
ｎ＊ＲＡＮＤ―ｎ個のＧＳＭ ＲＡＮＤ（長さｎ・１６バイト）
ＳＲＥＳ拡張のフォーマットが図６に示されている。ＭＴはサブタイプ１（ＭＴ−ＦＡ）を伴うＳＲＥＳ拡張を登録要求の中に移動−ホーム認証拡張の後、そして移動−フォーリン認証拡張（存在する場合）の前に置くことができる。ＦＡは登録要求をＨＡに転送する前にこの拡張を取り除かなければならない。
ＭＴはサブタイプ２（ＭＴ−ＨＡ）を伴うＳＲＥＳ拡張を登録要求の中で、移動−ホーム認証拡張の前に置くことができる。
【００７９】
図６から分かるように、ＳＲＥＳ拡張のフォーマットは以下の通りである。
タイプ―１３４（スキップ可能）
長さ―バイト単位でのこの拡張の長さ。タイプおよび長さのフィールドを含んでいない。新しいＳＲＥＳ拡張の場合、その長さは２３バイトである。
予約済み―将来の使用のために予約されている。０に設定される必要がある。
ベンダ／Ｏｒｇ−ＩＤ―上位オクテットは０であり、下位の３個のオクテッは、割り当てられた数のＲＦＣ［割り当てられた個数］の中で定義されているように、ネットワーク・バイト順でのベンダのＳＭＩネットワーク管理私企業コードである。
ベンダ・タイプ―この値はこの拡張の特定のタイプがＳＲＥＳ拡張であることを示す。ベンダ・タイプの管理はベンダによって行われる。
サブタイプ―１：ＭＴ−ＦＡ ＳＲＥＳ拡張、２：ＭＴ−ＨＡ ＳＲＥＳ拡張 ＳＩＧＮｓｒｅｓ―ＭＴによって計算される応答、１６バイト
【００８０】
本発明のもう１つの実施形態においては、ＭＴとＦＡとの間の共有セッション・キー交換メッセージはＩＭＳＩおよびＲＡＮＤを含めるためにエージェント発見メッセージを拡張することによって送信される。
本発明のさらにもう１つの代替実施形態においては、不透明な認証子フィールドが認証拡張の中で使用される。この拡張の先頭がＲＡＮＤ、キー寿命および他の共有セッション・キー交換パラメータを送信するために使用される。キー交換パラメータはその認証子の計算の中に含められる。
【００８１】
パラメータが認証拡張の前に別の拡張の中で送信される場合、キー交換のためのデータが、その認証拡張の計算の中に自動的に含められることになる。さらに、別々の拡張を使用することによって、システムの実装がより容易になる。認証子はＭＡＣ関数の結果、例えば、ステップ２に従って計算されるようなＳＩＧＮｒａｎｄである。
さらにもう１つの実施形態においては、ＳＩＭ生成セキュリティ・コンテキストに対して周知のＳＰＩを使用する代わりに、ＳＰＩは新しい共有セッション・キー交換メッセージの中で通信される。
【００８２】
＜例２：無線ＬＡＮ＞
図７は、本発明のもう１つの実施形態による移動通信システムのアーキテクチャを示す。このシステムはデータ端末と、２つの公衆無線ＩＰアクセス・ネットワーク（ＷＩＳＰ）ＷＩＳＰ１およびＷＩＳＰ２と、インターネットＩＮＥＴと、第１のＧＳＭ電気通信ネットワークＧＳＭ＿Ａと、ＧＳＭコアＧＳＭＣＯＲＥに接続されている第２のＧＳＭ電気通信ネットワークＧＳＭ＿Ｂとを含む。
【００８３】
公衆無線ＩＰアクセス・ネットワーク（ＷＩＳＰ１，ＷＩＳＰ２）は、ＭＴが公共のホット・スポット、例えば、ホテルや空港などのホット・スポットの中で移動することができるようにするための無線ブロードバンドＩＰサービスを提供する。各ＷＩＳＰは、ＧＳＭの電気通信ネットワーク・オペレータによって、あるいはＧＳＭの電気通信ネットワーク・オペレータとのローミング契約を有するプライベートＩＳＰによってのいずれかで動作することができる。ローミング契約はＳＩＭ認証には必須である。
【００８４】
ＭＴは移動ノードとして機能する。それはＷＩＳＰに接続することができる。また、ＭＴは既知の技法を使用して１つのネットワークから別のネットワークへ移動することもできる。ＷＬＡＮにおいては、ＷＬＡＮのホット・スポットから別のホット・スポットへのローミングはＷＬＡＮローミング・サービスと呼ばれる。ＷＩＳＰはインターネットＩＮＥＴにアクセスできる。
【００８５】
ＭＴは第２のＧＳＭ電気通信ネットワークＧＳＭ＿Ｂと一緒に使用するために提供されている装置の部分ＭＥおよびＳＩＭ＿Ｂを有する。ＭＴはＧＳＭ対応の移動局でなくてもよい。この場合、そのＭＴのユーザはＧＳＭ移動局にＳＩＭ＿Ｂを提供することにより、第２のＧＳＭ電気通信ネットワークＧＳＭ＿Ｂによってアクセスすることができる。実際に、この例においては、ＭＴはＳＩＭ＿Ｂを使用することができるＷＬＡＮアダプタ・カード(図示せず）およびスマート・カード・リーダ(図示せず）が装備されたラップトップ・コンピュータである。他の方法としては、ＭＴはＧＳＭ電気通信ネットワークと通信するＧＳＭ移動局部分およびＷＬＡＮと通信するＷＬＡＮ端末部分とを有する装置である。
【００８６】
ＧＳＭ電気通信ネットワークＧＳＭ＿ＡおよびＧＳＭ＿Ｂの両方がそれぞれの移動交換局ＭＳＣ１およびＭＳＣ２を含む。ＧＳＭのコアがこれらのＭＳＣを一緒に結合する。さらに、第１のＧＳＭ電気通信ネットワークは、インターネットＩＮＥＴに結合しているＧＳＭ／ＧＰＲＳ認証および課金ゲートウェイ（ＧＡＧＷ）を備えている。ＧＡＧＷはＧＳＭ電気通信ネットワーク・オペレータのエンティティであり、それはＧＳＭ認証サービスをＷＩＳＰに提供し、課金情報を収集する。
ＧＳＭ＿Ｂは、ＧＳＭＣＯＲＥに接続され、さらにＧＳＭＣＯＲＥおよびＧＡＧＷを通してＷＩＳＰ１（ＭＴが接続されている）およびＭＴに、後でより詳しく説明されるように認証および課金の目的のために接続することができる。
【００８７】
ＧＳＭ／ＧＰＲＳ −ＳＩＭベースのユーザモビリティ管理機能（ユーザ認証および課金）を公衆ＷＬＡＮアクセス・ゾーンの認証および課金機能のために使用することができる。ＳＩＭベースの認証は、使用の課金のために加入者のＩＤの比較的信頼できる検証（認証）を提供する。ＧＳＭコアＧＳＭＣＯＲＥは、各種のオペレータのネットワーク間でのＧＳＭ移動局ローミングのためのローミング・サービスを提供する。有利なこととしては、そのローミング・サービスは既存のＳＩＭカードおよびＧＳＭインフラストラクチャを使用して実施されることである。結果として、ＷＩＳＰのローミングはＭＴからの余分のセキュリティ・キーを必要しない。さらに、それぞれのホーム・オペレータからＷＬＡＮローミング・サービスを取得したすべてのＧＳＭユーザは公衆ネットワークにアクセスすることができるために必須のＭＴ、ＳＩＭおよび必要なローミング・ソフトウェアを備えている。ホーム・オペレータは、ローミングＭＴにそれについて認証するためのＳＩＭ＿Ｂを提供する。ＧＳＭ＿Ｂは代わりにＧＳＭ電気通信ネットワーク・サポートのＧＰＲＳである。
【００８８】
図７のシステムの動作を以下に説明する。そのユーザはそのユーザのホーム・ネットワーク・オペレータであるＧＳＭ＿Ｂのオペレータと、ＧＳＭ契約を有している。ネットワーク・オペレータＢはＧＳＭ＿ＡのオペレータＡとローミング契約にサインしている。ＧＳＭ電気通信ネットワーク・オペレータＡは、ＷＩＳＰ１およびＷＩＳＰ２のオペレータ（それぞれオペレータＣおよびＤと呼ばれる）とパートナー契約を有している。ＳＩＭ＿Ｂを備えたローミング・ユーザはＷＩＳＰ１からＷＩＳＰ２へローミングできる。両方のＷＩＳＰがＧＳＭ＿Ａのオペレータに認証要求メッセージを送信する。ＧＳＭコア・ネットワークのローミング機能が認証メッセージを加入者のホーム・オペレータ（ＧＳＭ＿Ｂのオペレータ）に中継するために使用される。このアーキテクチャによっていずれのＧＳＭ電気通信ネットワークのユーザもＷＩＳＰ間でそれぞれのＭＴでローミングすることができる。ただし、ＷＩＳＰはオペレータＡのネットワークＧＳＭ＿Ａに対してのみ直接接続を有する。
【００８９】
ローミング・ユーザはＷＩＳＰとのあらかじめ成立した顧客関係を有している必要はない。代わりに、ローミング・ユーザはＷＬＡＮにおいて認証および課金を提供するために自分のホームＧＳＭ電気通信ネットワークとの顧客関係に頼ることができる。ＷＩＳＰアクセスはＧＳＭ電気通信ネットワーク・オペレータの認証ゲートウェイを経由してローミング・ユーザのＧＳＭに対して課金される。
【００９０】
ここで、これらのローミング・サービスは、公衆ＩＰアクセス・ネットワーク以外にＧＳＭコアにアクセスするためにＳＩＭを使用してＭＴを認証および課金することができるようにするために、これらのローミング・サービスが使用される。ＧＳＭ電気通信ネットワーク・オペレータは認証／ローミング・サービスおよび公衆ＩＰアクセス・ネットワークの使用の両方に対してユーザに課金する。次に、ＧＳＭ電気通信ネットワーク・オペレータは公衆ＩＰアクセス・ネットワークの使用をそれぞれのオペレータに対して返済する。
【００９１】
本発明の代替実施形態においては、ＧＳＭ電気通信ネットワーク・オペレータは加入者にＷＩＳＰローミングＳＩＭを提供することができ、それはＧＳＭ無線サービスの使用を許さない。そのような専用のＳＩＭを使用してＷＬＡＮによって提供されているサービスを認証し、料金引き落としをすることができる。
【００９２】
ＧＳＭから知られているように、ホームＧＳＭネットワークは認証コードおよびユーザＩＤなどの顧客情報を格納する。通常、この情報はＭＳＣのＧＳＭホーム・ロケーション・レジスタ（ＨＬＲ）内に格納される。ＧＳＭ電気通信ネットワーク・オペレータはいくつかのＷＩＳＰオペレータの１つに対して、場合によって企業のアクセス・ソリューションのためにも、あるいはそれだけのためにＩＰベースの認証および課金インターフェースを提供する。
【００９３】
ＧＡＧＷは、各種のＧＳＭ電気通信ネットワーク・オペレータ間でのシームレスなローミングをサポートする。ＷＩＳＰはすべての認証および課金情報をＧＡＧＷに送信する。ＧＡＧＷは、ＧＳＭから知られているＧＳＭコアのシグナリングを使用してその認証および課金情報を、対応しているホームＧＳＭ電気通信ネットワーク・オペレータに伝える。異なるＧＳＭ電気通信ネットワーク間での課金情報のシグナリングは、フォーリンＧＳＭ電気通信ネットワークにおける移動電話機の普通のローミングと同様な方法で構成することができる。この場合、フォーリンＧＳＭ電気通信ネットワークが電話呼出しアレンジ時のサービスに対してホームＧＳＭ電気通信ネットワークに課金する。
【００９４】
図７のシステムにおいては、ホーム・オペレータは課金のレコードを格納し、その料金請求書をユーザに送信する。ＷＩＳＰはその課金されたサービスを記述している課金レコードを生成する。その課金は既知の原理のいずれか、あるいはそれらの組合せ、例えば、一定レート、使用時間、パケット数、あるいはアクセス帯域幅に基づくことができる。ＧＳＭネットワーク（ＧＡＧＷ）はＷＩＳＰ発信レコードを既存のＧＳＭ課金システムに送信する。
【００９５】
ＭＴは、ＳＩＭカードを使用することによって認証をサポートする。代替実施形態においては、ＭＴは１つまたはそれ以上の他の認証メカニズム、例えば、企業のネットワーク・アクセスのためのスマート・カード認証をサポートする。そのようなＭＴは認証ソフトウェアおよびスマート・カードを含むが、公衆アクセスまたは他の任意のセキュリティ・アソシエーションに対するキーを持つ必要はない。
【００９６】
図８は、図７のシステムの重要な機能ブロックを示す。図８は、単独のＷＩＳＰだけを示すが、２つ以上のＷＩＳＰおよび２つ以上のＧＳＭ電気通信ネットワークが存在してもよいことを理解されたい。図８は、このシステムの３つの重要な機能要素、すなわち、ＭＴ、公衆アクセス・コントローラＰＡＣ、およびＧＰＲＳ／ＧＳＭ認証および課金ゲートウェイＧＡＧＷを示す。ＧＡＧＷはＧＳＭ／ＧＰＲＳネットワークをＩＰネットワーク（例えば、インターネットまたは広域ＩＰネットワーク）とインターフェースするＧＳＭ電気通信ネットワークの専用エンティティである。また、ＧＡＧＷは必要なＷＬＡＮセルラ・ローミング機能、特に認証および課金サービスに関連している機能も提供する。
【００９７】
ＰＡＣは、無線アクセス・ネットワークからインターネット・サービスへのアクセスを制御するＷＩＳＰのネットワーク・エンティティである。この例においては、ＰＡＣはＩＰアドレスをＭＴに割り当て、インターネットへの接続が確立される前にＭＴを認証する。ＰＡＣはＭＴとＧＡＧＷとの間で認証メッセージを中継し、課金レコードを収集し、そしてそれをＧＡＧＷへ送信する。また、ＰＡＣはＭＴとインターネットとの間でユーザ・データ・トラヒックを中継する。
【００９８】
ＳＩＭの認証は、ＰＡＣに対する相補的サービスであり、ＰＡＣはパスワードベースの認証などの他の認証メカニズムを追加的にサポートする。
このシステムのインターフェースを以下に説明する。
ＭＴ−ＰＡＣインターフェースは、認証機能が提供されているＩＰベースのインターフェースである。その認証は周知の標準のＩＰプロトコルの中に埋め込むことができるか、あるいは既存のプロトコルに対する拡張として実装できるように設計されている。ＭＴおよびＰＡＣは、このインターフェースにおいてそれぞれのＩＰアドレスを使用することによって識別される。
【００９９】
ＰＡＣ−ＧＡＧＷインターフェースは、適切な認証プロトコルを使用するＩＰベースのインターフェースである。通常、単独のＧＡＧＷがいくつかのＰＡＣを同時にサポートする。ＧＡＧＷは、種々のＰＡＣを、それぞれのＩＰアドレスを使用することによって識別する。このインターフェースにおいては、ＭＴの識別はＳＩＭ＿Ｂ上に格納されているＩＭＳＩコードに基づいている。
【０１００】
ＧＡＧＷ−ＨＬＲインターフェースは、実装およびベンダに固有のものである。ＧＡＧＷはＰＡＣからのセルラ・インフラストラクチャを隠す。したがって、ＰＡＣ−ＧＡＧＷインターフェースは常に同じである。ただし、下にあるセルラ・ネットワークは異なるタイプのもの（ＧＳＭ、ＧＰＲＳ）であるか、あるいは異なるベンダによって提供されているものであってよい。
【０１０１】
図９は、図７および図８のシステムの主要なシグナリング・ステップを示す。ＭＴのＰＡＣへの認証を行うプロセスは、通常、ＭＴが公衆アクセス・ネットワークに対する接続を試みるときにトリガされる。この場合、ＭＴは動的ホスト・コンフィギュレーション・プロトコル（ＤＨＣＰ）サーバ(図示せず）を経由してＩＰアドレスを取得する。ＤＨＣＰプロトコルおよび該当のサーバは当業者であれば周知である。その認証はＰＡＣを超えてのネットワークにアクセスできる前に完了していなければならない。ＭＴはローミング・ソフトウェアによってその認証をトリガする。代替実施形態においては、認証はＭＴがＳＩＭ認証を使用してネットワークにアクセスしようとし、ローミングのアプリケーションが実行中であるときに自動的にトリガされる。
【０１０２】
この認証の概要をその認証プロセスの間に使用されるメッセージを参照しながら以下に説明する。
３０１．ＭＴがＰＡＣと通信してＷＩＳＰ１に接続し、ＩＰアドレスをＤＨＣＰサーバから取得する。
３０２．ＰＡＣはサポートされている認証メカニズム、例えば、ＳＩＭ認証、公開キー・インフラストラクチャ（ＰＫＩ）または事前共有キーなどに関する情報を送信する。
【０１０３】
３０３．ＭＴはＳＩＭ認証がサポートされていることを検出する。ＭＥはそのＩＭＳＩをＳＩＭ＿Ｂから要求する。
３０４．ＳＩＭ＿ＢはＩＭＳＩ要求３０３に対して、そのＩＭＳＩをＭＥに送信することによって応答する。
３０５．ＭＴは「ネットワーク・アクセス識別子」を形成する。それは例１の説明の初めで説明されたように、「ネットワーク・アクセス識別子」（ＮＡＩ）フォーマットでのＩＭＳＩである。ＭＴはＰＡＣとの動的セキュリティ・アソシエーションを、例えば、ディフィー−ヘルマン（Diffie-Hellman）を使用して確立し、暗号化されたＮＡＩを一時的に安全なチャネル上で送信する。代替実施形態においてはＮＡＩは暗号化せずにクリアテキストとして送信される。
【０１０４】
３０６．ＰＡＣは、ＮＡＩを暗号解読し、それをデータ・パケットの中に入れて、ふたたび暗号化してＧＡＧＷに安全なＰＡＣ−ＧＡＧＷインターフェース上で転送する。ＧＡＧＷのＩＰアドレスはＰＡＣにおいて統計的に構成される。セキュア・チャネルがＰＡＣとＧＡＧＷとの間にそれぞれの以前に構成された共有秘密を使用して形成される。
３０７．ＧＡＧＷは、そのデータ・パケットが有効なＰＡＣから来たことを確認し、そのパケットを暗号解読し、ＮＡＩをチェックし、ＩＭＳＩを抽出し、そのＩＭＳＩに認証要求を付けて最も近いＭＳＣに送信する。次に、ＭＳＣはＩＭＳＩを解析してそのＩＭＳＩによって示されている加入者のホームＨＬＲを見つけ出す。次に、ＭＳＣは認証要求をホームＨＬＲに転送する。
【０１０５】
３０８．ホームＨＬＲは、１つまたはそれ以上のＧＳＭ認証トリプレット（ＲＡＮＤ，ＳＲＥＳ，Ｋｃ）の組を形成し、その組を発信側のＭＳＣに送信し、発信側のＭＳＣはその組をＧＡＧＷに転送する。
３０９．ＧＡＧＷは、少なくともＫｃｓを使用して生成された、ＲＡＮＤおよびＲＡＮＤの暗号化されたチェックサムを形成する。ＧＡＧＷは以降のステップ３１４において後で使用するためにＳＲＥＳを確保する。
３１０．ＰＡＣは、そのパケットを暗号解読し、ＲＡＮＤおよび暗号化チェックサムをＭＴに中継する。
３１１．ＭＴは、ＲＡＮＤをＳＩＭ＿Ｂに入力し、ＳＩＭ＿Ｂは、対応しているＫｃおよびＳＲＥＳの値を計算する。
【０１０６】
３１２．ＭＴは、ＫｃｓがＰＡＣによって与えられた暗号化チェックサムと一致するかどうかをチェックする。それらが一致していた場合、ＭＴはそのＰＡＣがＨＬＲに対する接続を有していて、そのＰＡＣが信用できることを知る。
３１３．ＭＴは、Ｋｃｓを伴うＳＲＥＳに対する暗号化チェックサムを生成し、そのチェックサムをＰＡＣに送信する。
３１４．ＰＡＣは、ＳＲＥＳのチェックサムをＧＡＧＷに中継する。ＧＡＧＷはそのチェックサムがステップ３０８においてＭＳＣから受け取ったＳＲＥＳと一致するかどうかをチェックする。一致していた場合、ＧＡＧＷは肯定応答メッセージＡＣＫをＰＡＣに送信する。一致しなかった場合、ＧＡＧＷは否定応答ＮＡＣＫをＰＡＣに送信する。
【０１０７】
３１５．ＰＡＣが認証に成功したことを確認している肯定の肯定応答メッセージＡＣＫを受信した場合、ＰＡＣは、インターネットに対するアクセスを開くことによってその認証を完了する。ＰＡＣが否定の肯定応答メッセージＮＡＣＫを受信した場合、インターネットに対するアクセスを開くことを拒否する。
代替実施形態においては、ＩＭＳＩがＮＡＩの代わりに前のステップにおいて使用される。
次の表はシステムの要素間でやりとりされるパラメータをリストしている。
【０１０８】
【表１】

【０１０９】
【表２】

【０１１０】
【表３】

【０１１１】
有利なこととして、オプションのｕｓｅｒ＿ｃｌａｓｓパラメータがサービスの品質、例えば、特定のユーザに対する最大帯域幅を定義するために使用される。
【０１１２】
図１０は、図７および図８のシステムの認証の詳細なシグナリング・チャートを示す。このチャートは次のステップを示す。
（ステップ４０１）ＭＴは、ＩＭＳＩを有しているＮＡＩを含むＭＴ発信の認証開始要求ＭＴ＿ＰＡＣ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＱを送信する。その要求は、通常、保護コードＭＴ＿ＲＡＮＤ（モバイルＩＰのコンテキストにおいてはナンス（nonce）としても知られている）も含む。
（ステップ４０２）ＰＡＣは、ＭＴからＭＴ＿ＰＡＣ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＱを受信し、メッセージＰＡＣ＿ＧＡＧＷ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＱ（これもＮＡＩおよびＭＴ＿ＲＡＮＤを含む）をＧＡＧＷに送信することによってＧＳＭトリプレットを要求する。
【０１１３】
（ステップ４０３）ＧＡＧＷは、ＧＳＭトリプレットをホームＧＳＭ電気通信ネットワークから取得する。１つのトリプレットで十分であるが、ＧＳＭ電気通信ネットワークは複数のトリプレットを返す可能性がある。その場合、そのトリプレットのいくつかは捨てられるか、あるいは後で使用するために格納されるか、あるいはより有利なのは、それらがすべてより強いキーを生成するために使用される。ホームＧＳＭ電気通信ネットワークはＮＡＩを使用して認識される。
【０１１４】
（ステップ４０４）ＧＡＧＷは、暗号化アルゴリズムを使用して、少なくともＧＳＭセッション・キーＫｃのＫを生成する。有利なこととして、ＭＴ＿ＲＡＮＤも、その暗号化の中で使用される。ＧＡＧＷはＧＳＭトリプレットのＧＳＭ ＲＡＮＤを暗号化し、ＲＡＮＤおよびＫに基づいて暗号化チェックサム、またはメッセージ認証コードＭＡＣを計算し、そして認証開始応答メッセージＧＡＧＷ＿ＰＡＣ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＳＰを準備する。ＧＡＧＷとＰＡＣとの間の暗号化はそれぞれの自身の共有秘密に基づいている。
【０１１５】
（ステップ４１１）ＧＡＧＷは、ＰＡＣに対してＲＡＮＤ、ＭＡＣ、ＭＴ＿ＲＡＮＤ、課金情報コードおよび課金情報コードに対して計算された課金情報ＭＡＣを含む認証開始応答メッセージＧＡＧＷ＿ＰＡＣ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＳＰをＰＡＣに送信する。通常、認証開始応答メッセージは生成される新しいＫの有効期間を決定するためのセッション・タイムアウト・パラメータに対するフィールド、およびそのセッションの状態のためのフィールドを追加的に含む。
（ステップ４１２）ＰＡＣは、認証開始応答メッセージＧＡＧＷ＿ＰＡＣ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＳＰをＰＡＣ＿ＭＴ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＳＰメッセージとしてＭＴに転送する。
【０１１６】
（ステップ４１３）ＭＴは、ＧＡＧＷ＿ＰＡＣ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＳＰによって、そしてＰＡＣ＿ＭＴ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＳＰによって運ばれてきたパラメータがＧＳＭ電気通信ネットワークから実際に発信されたものであることをＳＩＧＮｒａｎｄについてテストする。
（ステップ４１４）ＭＴは、ＧＡＧＷから受け取った課金情報を処理する。通常、それはユーザによって要求されたサービスの価格に関連している情報をそのユーザに提供する。通常、この価格は次のうちの少なくとも１つに基づいている。フラット・レート料金、時間ベースの課金、ＭＴとの間でやりとりされたデータ・パケット数、およびサービスの品質ＱｏＳである。次にＭＴはそのサービスが与えられた価格で取得されるべきであるかどうかをユーザに尋ねる。ＭＴはユーザから答えを受け取る。
【０１１７】
（ステップ４１５）ＭＴは、ＧＡＧＷに対して応答するために使用されるＳＲＥＳのＭＡＣを生成する。
（ステップ４１６）次に、ＭＴは少なくともＫｃｓを使用してアクセス秘密Ｋｐａｃ＿ＭＴを生成する。
（ステップ４２１）ＭＴは、ＭＴ＿ＰＡＣ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＱメッセージを生成してＰＡＣに送信する。そのメッセージは状態フィールド内に、そのユーザがそのサービスに対する課金を認めたかどうかを示す答え、ＳＲＥＳのＭＡＣ、その課金コードのＭＡＣおよびＭＴ＿ＲＡＮＤを含む（すべてのメッセージが１つの認証セッションの間に送信されるので）。
【０１１８】
（ステップ４２２）ＰＡＣは、ＭＴ＿ＰＡＣ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＱメッセージのデータ、および追加としてＮＡＩおよびＰＡＣのＩＰアドレスを含むＰＡＣ＿ＧＡＧＷ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＱを生成する。
（ステップ４２３）ＧＡＧＷは、ＳＲＥＳのＭＡＣをテストして、ＰＡＣ＿ＧＡＧＷ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＱによって運ばれてきたＭＴによって送信されたデータが不正に変更されていないことを確認する。
（ステップ４２４）ＧＡＧＷが前のステップのテストに対する肯定の答えを取得した場合、ＧＡＧＷは、ステップ４１６においてＭＴによって使用されたのと同様な方法でアクセス・キーＫｐａｃ＿ＭＴを生成し、次にステップ４３１へ進む。
【０１１９】
（ステップ４３１）ＧＡＧＷは、ＰＡＣにメッセージＧＡＧＷ＿ＰＡＣ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＳＰ＿ＯＫを送信する。そのメッセージは、ＭＴ＿ＲＡＮＤおよびコード、ｆｉｌｔｅｒ＿ｉｄ、ｋｐａｃ＿ＭＴおよびＳＩＧＮｒｅｓｕｌｔを含む。ｆｉｌｔｅｒ＿ｉｄコードはオプションであり、その加入者のユーザ・クラスを示す。これはＱｏＳ、例えば、より高い料金を払っているビジネス・ユーザに対する高品質の接続を定義するのに使用することができる。ＳＩＧＮｒｅｓｕｌｔは、ＧＡＧＷからの応答がＭＴへ送られる途中で変更されていないことをＭＴに対して究極的に確認するためのメッセージの中のデータのＭＡＣである。
【０１２０】
（ステップ４４１）ＰＡＣは、ＧＡＧＷがその課金を開始することを要求しているＰＡＣ＿ＧＡＧＷ＿ＳＴＡＲＴＢＩＬＬＩＮＧ＿ＲＥＱメッセージによってＧＡＧＷに応答する。そのメッセージはＮＡＩおよびセッションＩＤ（ＭＴ＿ＲＡＮＤ）を含む。
（ステップ４４２）ＧＡＧＷは、ＭＴがその課金を認めたことを確認するためにＭＴからの答えをチェックする。
（ステップ４５１）ＭＴがその課金を認めた場合、ＧＡＧＷはメッセージＧＡＧＷ＿ＰＡＣ＿ＳＴＡＲＴＢＩＬＬＩＮＧ＿ＲＥＳＰ＿ＯＫをＰＡＣに送信し、課金の開始を示す。
【０１２１】
（ステップ４５２）ＰＡＣはＳＩＧＮｒｅｓｕｌｔを含むＰＡＣ＿ＭＴ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＳＰ＿ＯＫメッセージをＭＴに送信する。
（ステップ４５３）ＭＴはＰＡＣ＿ＭＴ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＳＰ＿ＯＫメッセージを受信し、それが含んでいるＳＩＧＮｒｅｓｕｌｔをチェックする。ＳＩＧＮｒｅｓｕｌｔが正しかった場合、ＭＴはユーザに課金の開始を知らせることができる。
課金コードのＭＡＣが少なくともＫｃｓを使用して計算され、ＰＡＣがその課金コードを不正に変更できないようにする。
【０１２２】
メッセージＰＡＣ＿ＭＴ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＳＰ＿ＯＫの中で、ＭＴはその認証の期間について通知される。ＭＴはその認証期間が終了する前に自分自身を再認証する。ＭＴが再認証しなかった場合、ＰＡＣに対するＭＴの接続は解放され、ＭＴは自分自身をふたたび認証することができる。
有利なこととして、ＭＴは課金情報を受信し、それをどのように処理するかを決定する。有利なこととして、ＭＴのユーザは課金情報処理ポリシーを定義することができる。このポリシーは、例えば、再認証または通常の認証のケースにおいてユーザに対して課金情報が提示されないことを定義するために使用することができる。課金情報の処理は異なるエンティティ（ＭＴ、ＰＡＣ、ＧＡＧＷ、ＭＳＣおよびＨＬＲ）の間のメッセージングのプロトコルには影響しない。
【０１２３】
図１１および１２は、認証の間のＰＡＣの機能を示すフローチャートである。この図において、“ＭＴ”または“ＧＡＧＷ”としてマークされているもの以外のすべてのブロックがＰＡＣに関連している。この図を各ブロックをそれぞれの参照記号で参照しながら説明する。
【０１２４】
動作はブロック５０１から開始される。ＭＴはＭＴ＿ＲＡＮＤおよびＮＡＩを含むＭＴ＿ＰＡＣ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＱメッセージをＰＡＣに送信することによって、ＰＡＣからの認証を要求し、したがって、そこでの認証プロセスをトリガする（ブロック５１１）。ＰＡＣはＩＰアドレスＭＴ＿ＩＰをＭＴに対してマップする（ブロック５１２）。ＰＡＣは先ず最初にそのＮＡＩに対してマップされたＩＰアドレスを既に持っているかどうかをチェックする。持っていた場合、ＰＡＣはそのマッピングをデータベース・レコードから取り出す（ブロック５１３）。それ以外の場合、ＰＡＣはＩＰアドレスを取得し、それをＮＡＩと共に将来使用するためにデータベースに格納する。
【０１２５】
ＩＭＳＩをＩＰアドレスとマップした後（ブロック５１２）、ＰＡＣはＰＡＣ＿ＧＡＧＷ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＱメッセージの中でＧＡＧＷ（ブロック５４１）にＮＡＩを中継する（ブロック５１４）。ＧＡＧＷはチャレンジとして使用される乱数ＲＡＮＤを含むＧＡＧＷ＿ＰＡＣ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＱメッセージによって応答する（ブロック５４２）。ブロック５１５において、ＰＡＣはチャレンジを受信し、セッションＩＤコードＳＥＳＳＩＯＮ＿ＩＤをＭＴ＿ＩＰに対してマップする。次に、ＰＡＣはＭＴ＿ＩＰと一緒にＳＥＳＳＩＯＮ＿ＩＤおよびＩＭＳＩを格納することによってデータベース・レコードを更新する（ブロック５１６）。次に、ＰＡＣはＰＡＣ＿ＭＴ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＳＰメッセージの中でＭＴにチャレンジＲＡＮＤを送信する（ブロック５１７）。
【０１２６】
ＭＴはそのメッセージを受信し（ブロック５０２）、そのチャレンジに対応する暗号化チェックサムＳＩＧＮ＿ＳＲＥＳおよびそのチャレンジそのものを含むＭＴ＿ＰＡＣ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＱメッセージを生成して応答する（ブロック５０３）。ＰＡＣはＳＩＧＮ＿ＳＲＥＳを受信し、それをＧＡＧＷに中継し（ブロック５１８）、ＧＡＧＷはそれが正しいかどうかをチェックする（ブロック５４３）。ＧＡＧＷはＰＡＣにＧＡＧＷ＿ＰＡＣ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＳＰメッセージを返し（ブロック５４４）、ＳＩＧＮ＿ＳＲＥＳが正しいかどうかをＰＡＣに知らせる。他の方法としては、ＧＡＧＷは正しいＳＩＧＮ＿ＳＲＥＳを計算し、それをＰＡＣに返し、ＰＡＣ自身がＭＴ生成のＳＩＧＮ＿ＳＲＥＳが正しいかどうかを確認するようにすることができる。
【０１２７】
いずれの場合においても、ＰＡＣはＧＡＧＷからの応答を確認し（ブロック５１９）、その応答に基づいて次のアクションを決定する（ブロック５２０）。その応答が肯定的であった場合、それは成功した認証であり、ＰＡＣはブロック５２３へ進んで課金を開始する。それ以外の場合、その実行はブロック５２１へ進む。そこで、ＮＡＣＫがＰＡＣ＿ＭＴ＿ＡＵＴＨ＿ＡＮＳＷＥＲ＿ＲＥＳＰ＿ＥＲＲとしてＭＴに送信され、認証における誤りを示し、ＳＥＳＳＩＯＮ＿ＩＤが格納されていたレコードから取り除かれる（ブロック５２２）。
【０１２８】
次に、課金に関するステップが説明される。ブロック５２３において、メッセージＰＡＣ＿ＧＡＧＷ＿ＳＴＡＲＴＢＩＬＬＩＮＧ＿ＲＥＱがＧＡＧＷに送信される。そのメッセージはＧＳＭの送り状の中に追加されるＭＴのユーザの口座に対する課金が適用される可能性をＧＡＧＷに知らせる。ＧＡＧＷはこのメッセージを受信し（ブロック５４７）、確認としてメッセージとしてＧＡＧＷ＿ＰＡＣ＿ＳＴＡＲＴＢＩＬＬＩＮＧ＿ＲＥＳＰで応答する。そのメッセージはＰＡＣによって確認され（ブロック５２４）、そして確認の代わりに拒否のケースにおいては、ＰＡＣはブロック５２１へ戻る。それ以外の場合（ブロック５２６）肯定応答メッセージＰＡＣ＿ＭＴ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＳＰ＿ＯＫがＭＴに送信され、可能な課金の開始を知らせ、タイマが始動する。
【０１２９】
次のフェーズにおいて、ＰＡＣはアイドル状態にとどまり、そして定期的な課金の更新を提供する。これらの更新はデータ・パケットの送信または受信などのデビット型のイベントによってトリガされる。ＰＡＣはある期間の時間の後、あるいは課金の量があるトリガの額に達した後にのみ、その課金を組み合わせ、このようにして集められた合計総額に対応する課金の更新を実行する。
【０１３０】
１つのイベントの課金をするとき、ＰＡＣはＰＡＣ＿ＧＡＧＷ＿ＵＰＤＡＴＥＢＩＬＬＩＮＧ＿ＲＥＱを送信して、その課金の更新に関してＧＡＧＷに通知する。ＧＡＧＷはこのメッセージを受信し（ブロック５４７）、受領メッセージＧＡＧＷ＿ＰＡＣ＿ＵＰＤＡＴＥＢＩＬＬＩＮＧ＿ＲＥＳＰによって応答する（ブロック５４８）。ＰＡＣは、その受領メッセージを受信し（ブロック５２８）、それが肯定的であるかどうかをチェックする（ブロック５２９）。
【０１３１】
受領メッセージが否定的であった場合、ＰＡＣはＭＴがデータ・パケットをＷＩＳＰとの間でやり取りするのを防止し（ブロック５３２）、課金停止をＧＡＧＷに送信し、ＭＴにその再認証のために認証要求を送信する（ブロック５３３）。他方、ブロック５２９において受領メッセージが肯定的であった場合、ＰＡＣはセッションのタイムアウトを検出するためにタイマをチェックする（ブロック５３０）。タイムアウトが検出された場合、ＰＡＣはブロックを継続し（ブロック５３２）、そして上記のように進行する。タイムアウトが検出されなかった場合、ＰＡＣの動作はブロック５２９へ戻る。
【０１３２】
図１３乃至１６は、図７のシステムにおける認証の間のＧＳＭ／ＧＰＲＳ認証および課金ゲートウェイ（ＧＡＧＷ）の機能を示すフローチャートを形成している。図１１および１２に示されているフローチャートは、ＰＡＣの機能を示し、ここでは同じ手順がＧＡＧＷの観点から考慮されている。その手順はブロック６０１から開始される。ＰＡＣはＧＡＧＷに、ＩＭＳＩおよびＭＴのドメイン名（ＳＩＭ＿Ｂにおいて定義されている）を含むＰＡＣ＿ＧＡＧＷ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＱメッセージを送信する。ＧＡＧＷはそのＭＴが既に認証されているかどうかをチェックする（ブロック６１１）。認証されていた場合、認証有効性タイマ（後で説明する）が停止され（ブロック６１３）、そして既存のユーザ情報が使用される（ブロック６１５）。それ以外の場合、一時的なユーザＩＤがＩＭＳＩによって識別されたＭＥに割り当てられ、加入者のデータ（ＩＭＳＩおよび対応しているユーザＩＤ）がデータベースのレコード内に格納される（ブロック６１９）。
【０１３３】
次に、ＭＴの認証が開始される（ブロック６２１）。ＧＡＧＷは最も近いＭＳＣ６８１に送信されたＧＡＧＷ＿ＭＳＣ＿ＤＡＴＡ＿ＲＥＱメッセージによって加入者のホームＧＳＭ電気通信ネットワークからＧＳＭトリプレットを要求する（ブロック６２３）。ＭＳＣはそのＭＳＣがそのユーザによってＰＡＣの使用に対してＭＳＣが課金できるかどうかに関する１つまたはそれ以上のＧＳＭトリプレットおよび追加的な情報を含むＭＳＣ＿ＧＡＧＷ＿ＤＡＴＡ＿ＲＥＳＰメッセージによって応答する（ブロック６８２）。ＧＡＧＷはその応答を確認する（ブロック６２７）。
【０１３４】
そのユーザがその課金サービスに対して認証されていないか、あるいは代わりに、応答タイマが時間切れになった場合（ブロック６２５）、ＧＡＧＷは認証誤りメッセージＧＡＧＷ＿ＰＡＣ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＳＰ＿ＥＲＲＯＲをＰＡＣに送信する（ブロック６２９）（ブロック６０２）。それ以外の場合、タイマが時間切れになっておらず、その応答の検証が肯定的であり、手順はブロック６３３から継続する。
【０１３５】
ＧＡＧＷはデータベースからＭＴ＿ＲＡＮＤおよび認証中の加入者に関連する少なくとも１つのＧＳＭトリプレットを取り出す（ブロック６３５）。次に、ＧＡＧＷは使用されているＧＳＭトリプレットの（それぞれの）ハッシュ関数およびＫｃおよびＲＡＮＤを使用してＳＩＧＮｒａｎｄを計算する。このある数のＫｃｓはｎ＊Ｋｃによって示される。ここで、＊は乗算を意味せず、異なる値のパラメータＫｃの個数を指す。同じことが＊の他の発生に対してすべて同様に適用される。乗算に対しては、ドット“・”が＊（アステリスク）の代わりに使用される。ＭＳＣは、通常、１から４までの異なるＧＳＭトリプレットを１つの要求に応答して提供するので、１つまたはそれ以上のトリプレットを認証のために使用することができる。２つ以上のトリプレットを１つだけのトリプレットの代わりに使用することによって、高度なセキュリティが得られる。何故なら、キーがより長くなり、同じキーがふたたび使用される繰返しの周期が増加するからである。これによって形成される認証キーの有効期間をさらに増加させることができる。
【０１３６】
ブロック６３７において、ＧＡＧＷはＰＡＣにチャレンジおよびＧＡＧＷ＿ＰＡＣ＿ＡＵＴＨＳＴＡＲＴ＿ＲＥＳＰメッセージの中でそのＳＩＧＮｒａｎｄを送信する。ＰＡＣはＰＡＣ＿ＧＡＧＷ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＱメッセージで応答し、そのユーザがその課金を受け入れる意思があるかどうかを示す。ＧＡＧＷはそのメッセージをチェックし（ブロック６４１）、それがユーザが課金を受け入れないことを示していた場合、ＧＡＧＷは統計的な目的（ブロック６３９）のためにその応答を格納し（ブロック６４３）、ＧＡＧＷ＿ＰＡＣ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＳＰメッセージをＰＡＣに送信してその認証が打ち切られるべきであることをＰＡＣに対して肯定応答する。統計的な目的はその課金を受け入れたユーザの数および受け入れなかったユーザの数についての情報を収集することを含む。この情報をＷＩＳＰオペレータおよびＧＳＭ電気通信ネットワーク・オペレータの利益を最大にするためにその接続に対する価格を最適化するために使用することができる。
【０１３７】
メッセージＰＡＣ＿ＧＡＧＷ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＱが、そのユーザがその課金を受け入れる意思があることを示した場合、ＧＡＧＷはＳＩＧＮｓｒｅｓをテストする（ブロック６４５）。このテストはＭＴによって知られているハッシュ関数を使用して、そして同じ入力データ（使用されている各ＧＳＭトリプレットのＭＴ＿ＲＡＮＤ、ＫｃおよびＲＡＮＤ）を使用してＳＩＧＮｒｅｓを計算することによって実行される。そのテストのために、ＧＡＧＷは入力データをデータベースから取り出す（ブロック６４７）。次のステップ（ブロック６４９）として、ＧＡＧＷはＳＩＧＮｓｒｅｓが実際に正しかったかどうかをテストする。
【０１３８】
ＳＩＧＮｓｒｅｓが正しくなかった場合、ＧＡＧＷはリジェクト・メッセージＧＡＧＷ＿ＰＡＣ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＳＰ＿ＥＲＲをＰＡＣに（ブロック６０６）送信する（ブロック６５３）。
ＳＩＧＮｓｒｅｓが正しかった場合、ＧＡＧＷはＭＴのアクセスを許可し、Ｋｐａｃ＿ＭＴを生成する（ブロック６５１）。次に、ＧＡＧＷはメッセージＧＡＧＷ＿ＰＡＣ＿ＡＵＴＨＡＮＳＷＥＲ＿ＲＥＳＰ＿ＯＫによってアクセスの受入れをＰＡＣ（ブロック６０７）に送信する（ブロック６５５）。さらに、ＧＡＧＷはＰＡＣ固有の認証チケットを生成し（ブロック６５７）、それを格納する（ブロック６６３）。次に、ＧＡＧＷはデータベースの中のそのユーザの情報を更新し（ブロック６５９）、Ｋｐａｃ＿ＭＴを含むユーザ・データを格納する（ブロック６６５）。最後に、ＧＡＧＷは有効性タイマ（ブロック６１３に関連しても説明されている）を始動し（ブロック６６１）、アカウンティング・プロセスを開始する（ブロック６６７）。認証有効性タイマはデータベースにその認証の経過時間を格納することによって実装させることが好ましい。これによって複数の異なるユーザに対して共通のハードウェア（クロック）を使用することができ、経過時間に対する現在時間の比較によってその認証の時間切れを容易にチェックすることができる。
【０１３９】
ＭＴによるＷＩＳＰへのアクセスは、ユーザのＧＳＭの口座に課金される。ＭＴのＷＩＳＰへの認証が行われると、ＰＡＣは課金情報の収集を開始する。ＰＡＣは接続時間および送信されたデータの量についてのデータベースを維持する。ＭＴが切り離されると、ＰＡＣはこの情報をＧＡＧＷに中継する。次に、ＧＡＧＷはＧＳＭの詳細レコード呼出し（ＣＤＲ）チケットを生成し、それをＧＳＭから知られているＧＳＭ課金システムに中継する。
【０１４０】
図１７は、ネットワークからＭＴの制御された切離しの主要なシグナリングのステップを示す。切離しのプロセスは自分が切り離されることをＭＴが選択する（ブロク７１１）ことから開始される。ＭＴはＭＴ＿ＰＡＣ＿ＤＩＳＣＯＮＮＥＣＴ＿ＲＥＱメッセージをＰＡＣに送信する（ブロック７１３）。ＰＡＣはＧＡＧＷに課金を停止するよう要求するＰＡＣ＿ＧＡＧＷ＿ＳＴＯＰＢＩＬＬＩＮＧ＿ＲＥＱメッセージを送信する（ブロック７２１）。ＧＡＧＷはＰＡＣ＿ＧＡＧＷ＿ＳＴＯＰＢＩＬＬＩＮＧ＿ＲＥＳＰをＰＡＣに送信することによって応答する（ブロック７３１）。最後に、ＰＡＣはＰＡＣ＿ＭＴ＿ＤＩＳＣＯＮＮＥＣＴ＿ＲＥＳＰメッセージを送信して切離しが成功したことをＭＴに肯定応答する。
【０１４１】
例２において、端末を認証することを担当する認証子エンティティの機能がネットワーク層ルータの中にある。他の方法としては、その機能はＷＬＡＮのアクセス・ポイントなどのリンク層の要素の中にあり、その場合、ＭＴとＷＬＡＮのアクセス・ポイントとの間のインターフェースはＩＰではなく、リンクの層のプロトコルに基づいている。
【０１４２】
＜例３＞
本発明の機能的アーキテクチャは、いくつかの適切なプロトコルを使用して実装することができる。しかし、この例においては、インターネットのキー交換（ＩＫＥ、ＲＦＣ２４０９）プロトコルの機能強化されたバージョンがＭＴとＰＡＣとの間の通信に使用される。ユーザ・サービスにおけるリモート認証ダイヤル（ＲＡＤＩＵＳ、ＲＦＣ２１３８、ＲＦＣ２１３９）プロトコルがＰＡＣとＧＡＧＷとの間の通信のために使用される。また、ＰＡＣの機能は必要であればアクセス・ポイントのサーバの内部に統合化することができることも留意されたい。しかし、ＰＡＣの機能をアクセス・ポイントから分離することによって、ハンドオーバが実装し易くなり、したがって、その分離は複数のアクセス・ポイントを含むシステムに適している。図１８は、ＭＴとＰＡＣとの間でＩＫＥ＋と呼ばれる機能強化されたＩＫＥプロトコルが使用されているときのＭＴ、ＰＡＣおよびＧＡＧＷの間の主なシグナリングを示す。
【０１４３】
ＨＤＲは、インターネット・セキュリティ・アソシエーションおよびキー管理プロトコル（ＩＳＡＫＭＰ、ＲＦＣ２４０９）のヘッダであり、その交換のタイプがペイロードの順序を定義する。ＨＤＲ^＊と書かれたとき、それはペイロードの暗号化を示す。ＳＡは１つまたはそれ以上の提案および変換ペイロードを伴う１つのＳＡネゴシエーション・ペイロードである。ＫＥはキー交換ペイロードである。ＩＤｍｔはＭＴに対するＩＤペイロードである。
【０１４４】
ＩＫＥ＋プロトコルを以下に詳しく説明する。
ＩＫＥ＋プロトコルは機能強化されたＩＫＥメカニズムを使用する。この認証モードはＲＦＣ２４０９において定義されているプロトコルに対する１つの拡張であり、リトヴィン Ｍ．、シャミール Ｒ．およびゼグマン Ｔ．（Litvin M., Shamir R., Zegman T.）による、「ＩＫＥに対するハイブリッド認証モード」（“A Hybrid Authentication Mode for IKE”，draft-ietf-ipsec-isakmp-hybrid-auth-03.text、１９９９年１２月）の中で提案されているモードに関連している。そのプロトコルはＭＴとＰＡＣとの間の２方向の認証のために設計され、そしてフェーズ１において、ＧＳＭの認証を使用する。その交換はＲＦＣ２４０９の場合とは違って対称的ではない。代わりに、両方のＩＫＥネゴシエーションは異なるコンポーネントと通信するので、それらが実行する場所を知っていなければならない。ＭＴは、認証関連の機能のために自分の付加されているＳＩＭ＿Ｂを使用し、一方、ＰＡＣは次のチェーンの中の、ＧＳＭ電気通信ネットワークにおける認証サーバ（ＧＡＧＷ）に依存する。
【０１４５】
ＳＩＭ＿Ｂ＜・・・・＞ＭＴ＜・・・・＞ＰＡＣ＜・・・・＞ＧＡＧＷ
ＭＴとＰＡＣとの間のＩＫＥネゴシエーションは標準のＩＳＡＫＭＰペイロード構文を使用する。他のメッセージの構文は同じではなく、実装によって変わる。
この交換はＲＦＣ２４０９において定義されているものよりむしろ複雑であるので、それはＩＫＥのメイン・モードにおいてのみ定義される。次のパラメータがこの交換において使用される。それらは後で説明されるように標準のＩＳＡＫＭＰペイロードの中に含まれている。
【０１４６】
ＩＭＳＩ―ＳＩＭカードから読まれたＩＭＳＩ
ＭＴ＿ＲＡＮＤ―ＭＴによって生成された乱数
ＲＡＮＤ―ＧＡＧＷによって与えられた乱数
ＳＩＧＮｒａｎｄ―ＧＡＧＷによってＨＭＡＣ（Ｋｃ＊ｎ，ＲＡＮＤ＊ｎ｜ＭＴ＿ＲＡＮＤ｜ｂｉｌｌｉｎｇｉｎｆｏ）として計算され、ここでＨＭＡＣはＲＦＣ２１０４において記述されているＨＭＡＣモードにおいて適用されるＲＦＣ１３２１のＭＤ５アルゴリズムであり、ＫｃはＳＩＭカードからの暗号キーである。
ＳＩＧＮｓｒｅｓ―ＭＴおよびＧＡＧＷによってＨＭＡＣ（Ｋｃ＊ｎ，ＳＲＥＳ＊ｎ｜ＩＭＳＩ｜ＭＴ＿ＲＡＮＤ）として計算され、ここでＳＲＥＳはＳＩＭカードからの認証子である。
Ｋｐａｃ＿ＭＴ―ＧＡＧＷおよびＭＴによってＨＭＡＣ（Ｋｃ＊ｎ，ＲＡＮＤ＊ｎ｜ＩＭＳＩ｜ＭＴ＿ＲＡＮＤ）として計算される。
ここで、バー“｜”は、文字列の連結を指し、２つの数字の組が一緒に連結され、例えば、１２３４｜５６７＝１２３４５６７である。
【０１４７】
以下に示される交換はＭＴとＰＡＣとの間のマンインザミドル(man-in-the-middle)アタックに対して弱い。何故なら、その認証が非対称だからである。しかし、その交換が無線ＬＡＮなどの媒体上で使用される場合、この種のアクティブなアタックは難しい。ＧＡＧＷが安全なチャネル上で知っているＰＡＣに対してのみ通信することによって、そのようなアタックの成功の確率がさらに減少する。
【０１４８】
交換のセキュリティは公開キーの技法によって高めることができる。それはマンインザミドル(man-in-the-middle)アタックの脅威を取り除かないが、ユーザのＩＭＳＩを保護する。ＭＴはＧＡＧＷのＰＡＣからの証明を要求し、その中の公開キーを使用してＩＤｍｔペイロードにおいて送信されたＩＭＳＩの値を暗号化することができる。そのとき、ＩＭＳＩの値はＭＴおよびＧＡＧＷに対してのみ知られており、後で説明されるようにＰＡＣのＭＴへの認証にも使用することができる。
ＩＤのペイロードがＭＴのＩＭＳＩを運ぶために使用されるとき、ＩＳＡＫＭＰの一般ペイロード・ヘッダ中のＩＤタイプのフィールドはＩＤ＿ＵＳＥＲ＿ＦＱＤＮに設定される。
【０１４９】
次の値は、ＩＫＥのピアが仮定する必要のある役割りを識別する。値は認証方法に対してＲＦＣ２４０９において定義されているプライベート使用の範囲から取られ、相互に承諾しているパーティの間で使用される必要がある。
【表４】

【０１５０】
図１８は、ＭＴがＩＫＥネゴシエーションの開始者であるときの交換の動作を示す。
最初の２つのメッセージだけがネゴシエートされたＩＫＥ ＳＡに影響する通常のＩＫＥ慣行に対する最も顕著な例外は、最終のＳＡの寿命がＧＡＧＷによって選択されたセッションタイムアウト値に設定されることである。初期寿命はネゴシエーションを終了することができ、最終値を設定することができるのに十分長いと仮定される。
ＭＴとＰＡＣとの間のアクセス・キーＫｐａｃ＿ＭＴは、ＳＫＥＹＩＤ＝ｐｒｆ（ｇ＾ｘｙ，ＣＫＹ−Ｉ｜ＣＫＹ−Ｒ）として生成される。ＳＫＥＹＩＤ＿｛ａ，ｄ，ｅ｝の値は、ＳＫＥＹＩＤに基づいて通常の方法で計算される。
【０１５１】
ＧＡＧＷがＩＭＳＩを認識できる場合、ＧＡＧＷはＳＩＧＮｒａｎｄを計算する。ＲＡＮＤおよびＳＩＧＮｒａｎｄをＭＴに送り届けるために、ＰＡＣはＭＴ＿ＲＡＮＤおよびハッシュ・ペイロード（ＨＡＳＨ（１））をそれぞれ使用する。単独のメッセージの中に２つ以上のＲＡＮＤを送信する必要がある場合、それらを同じＭＴ＿ＲＡＮＤペイロードの中に連結するか、あるいは多くのＭＴ＿ＲＡＮＤを送信することができる。受信者は送信者の選択を容易に判定することができる。何故なら、ＧＳＭのＲＡＮＤのサイズは頻繁には変化しないからである。ＩＭＳＩの検証に失敗した場合、ＰＡＣは通知のタイプをＩＮＶＡＬＩＤ＿ＩＤ＿ＩＮＦＯＲＭＡＴＩＯＮに設定した通知ペイロードを使用することによってＭＴに対してそのことを示す。他の、実装によって変わる、エラー・コードをその通知ペイロードの中に追加して送信することができる。
【０１５２】
また、ＧＡＧＷは、課金情報も配信し、それはＰＡＣが通知ペイロード（ＮＯＴＩＦＹ）の中でＭＴに転送する。通知ペイロードのためのステータス・コードはＢＩＬＬＩＮＧ＿ＩＮＦＯであり、プライベート・レンジからの値３２７６８を使用する。ＭＴを使用している人は、その提示された料金を受け入れるかどうか問い合わせられなければならない。受け入れる場合、あるいはあらかじめ定義されたタイマが時間切れになった場合、その交換はメッセージ７で継続される。それ以外の場合、ＭＴは通知タイプがＡＴＴＲＩＢＵＴＥＳ−ＮＯＴ−ＳＵＰＰＯＲＴＥＤである通知メッセージをＰＡＣに送信する。ＭＴはＰＡＣ中のプロトコル・マシンが過剰に遅延されることがないように比較的短い時間のタイマを使用する必要がある。
【０１５３】
ＭＴはＳＩＧＮｓｒｅｓを計算し、それをＰＡＣにＨＡＳＨ（２）の中で送り届ける。ＰＡＣはそれを検査のためにＧＡＧＷに転送する。検査が成功した場合、ＧＡＧＷの応答メッセージは後で使用するためのＭＴとＰＡＣとの間のアクセス・キー（Ｋｐａｃ＿ＭＴ）と、ＧＡＧＷとのＭＴのセッションのためのタイムアウト値とを含む。ＧＡＧＷによって選定されたタイムアウト値は、ＩＫＥネゴシエーションにおいて以前に同意された値を更新する。したがって、ＰＡＣは更新されたＩＫＥ ＳＡをＭＴに送信しなければならない。ＰＡＣはＫｐａｃ＿ＭＴの値をＭＴに送信せず、代わりにそれを使用してその更新されたＳＡペイロードの本体を暗号化する。これは、＜ＳＡ＿ｂＫｐａｃ＿ＭＴとして示される。ＧＡＧＷからのＳＩＧＮｒｅｓｕｌｔの値は、ＩＫＥ転送のためにＨＡＳＨ（３）の中にパッケージ化される。ＧＡＧＷがそのＭＴのＩＤを確認できなかった場合、ＰＡＣは通知タイプがＡＵＴＨＥＮＴＩＣＡＴＩＯＮ＿ＦＡＩＬＥＤに設定された通知ペイロードを使用することによってＭＴにそのことを示す。
【０１５４】
図１９は、ＰＡＣが開始者であるときの図１８の手順に対する小変更を示す。１つの余分のメッセージが証明の受渡しが行われるために必要である。ＰＡＣはＧＡＧＷの証明を第１のメッセージの中に含めることができるが、この方法によってＭＴはそれが証明を必要するかどうかを決定することができる。ＧＡＧＷ、および変わっていない部分は図１９から省略されている。
【０１５５】
図２０は、本発明の１つの実施形態による認証システムにおける手順を示す。その認証は１９９８年３月のＬ．ブランク（L.Blunk）およびＪ．ヴォルブレヒト（J.Vollbrecht）によるＲＦＣ２２８４、「ＰＰＰ拡張可能認証プロトコル（ＥＡＰ）」（"PPP Extensible Authentication Protocol（ＥＡＰ）"）から知られている「拡張可能認証プロトコル」（ＥＡＰ）を使用する。図２０の実施形態は、上記実施形態のいずれかと組み合わせることもできる。
ＥＡＰは元々１つのポイント・ツー・ポイント・プロトコル（ＰＰＰ）認証フレームワークであり、それによってＰＰＰクライアントは、アクセス・ポイントがその認証方法の詳細を知る必要なしにそのＡＡＡサーバとの認証を行うことができる。
【０１５６】
この実施形態においては、ＧＡＧＷから成功または失敗の指示を得るまで、ＭＴとＧＡＧＷとの間でＰＡＣがＥＡＰパケットを転送する。
ＥＡＰを使用することによって、その認証方法の詳細がＭＴおよびＨＡＡＡによって知られている必要があるが、ＰＡＣなどの中間の認証子によって知られている必要はない。したがって、ＥＡＰプロトコルは実際にはクライアント−ＡＡＡサーバ・プロトコルであり、その場合、認証子はそれらが何を含むかを気にせずにＥＡＰパケットを転送するリレーである。ＰＡＣはその認証の結果（成功または失敗）にのみ関心がある。さらに、セッション・キーがその認証プロセスの一部として生成され、このキーをＰＡＣに分配することができる。
【０１５７】
図２０は、正常なＳＩＭ認証において送信されるＥＡＰパケットを示す。ＥＡＰ認証はタイプ１（ＩＤ）のＥＡＰ要求をＰＡＣがＭＴに発行することから普通は開始される。ＭＴは自分のＩＤを含むＥＡＰ応答／ＩＤで応答する。ローミング環境においては、ＩＤはネットワーク・アクセス識別子（ＮＡＩ）である。
【０１５８】
ＭＴのＥＡＰ応答／ＩＤパケットに続いて、端末はタイプＧＳＭＳＩＭのＥＡＰ要求をＨＡＡＡから受信し、対応しているＥＡＰ応答を送信する。タイプＧＳＭＳＩＭのＥＡＰパケットは、サブタイプフィールドも有する。第１のＧＳＭＳＩＭタイプＥＡＰ要求は、サブタイプ開始の要求である。このパケットはＨＡＡＡによってサポートされている最小および最大のＧＳＭ ＳＩＭプロトコル・バージョン番号を含む。ＭＴの応答（ＥＡＰ応答／ＧＳＭＳＩＭ／開始）は、ＭＴのバージョン番号（それはＥＡＰ要求の最小と最大のバージョンの間になければならない）、ＭＴのキー寿命提案、およびＭＴによって形成された乱数ＭＴ＿ＲＡＮＤを含む。それ以降のすべてのＥＡＰ要求および応答のパケットはＭＴのＥＡＰ応答／ＧＳＭＳＩＭ／開始パケットと同じバージョンを含む。ＥＡＰ応答／ＧＳＭＳＩＭ／開始を受信した後、認証サーバはＧＳＭネットワークからｎ個のＧＳＭトリプレットを取得し、共有セッション・キーＫを生成する。
【０１５９】
認証サーバが送信する次のＥＡＰ要求は、タイプがＧＳＭＳＩＭでサブタイプがチャレンジである要求である。それはＲＡＮＤチャレンジと、ＨＡＡＡによって決定されたキー寿命と、そのチャレンジおよび寿命に対する認証子とを含む。このメッセージを受信すると、ＭＴはＳＩＭカード上でＧＳＭ認証アルゴリズムを実行し、そしてＭＡＣ＿ＲＡＮＤ認証子のコピーを計算する。次に、ＭＴは自分が計算したＭＡＣ＿ＲＡＮＤが受信したＭＡＣ＿ＲＡＮＤと等しいことを確認する。ＭＡＣ＿ＲＡＮＤが一致しなかった場合、ＭＴはＳＩＭ認証を取り消す。
【０１６０】
すべてがチェックされた場合、ＭＴはそのＭＴの応答ＭＡＣ＿ＳＲＥＳを含むＥＡＰ応答／ＧＳＭＳＩＭ／チャレンジで応答する。ＨＡＡＡは、そのＭＡＣ＿ＳＲＥＳが正しいことを確認し、その認証が成功したことを示すＥＡＰ成功パケットを送信する。ＨＡＡＡは導かれたセッション・キーを自分がＰＡＣに送信するメッセージの中に含める。
【０１６１】
ＰＡＣがダイヤルアップ・サーバであった場合、ＥＡＰパケットをＰＰＰプロトコルによってＭＴとＰＡＣとの間で搬送することができる。他のプロトコルも使用することができる。例えば、ＰＡＣがローカル・エリア・ネットワーク（ＬＡＮ）上の認証子ポート・アクセス・エンティティ（ＰＡＥ）であった場合、２０００年の１１月２９日付けのIEEE Draft P802.1X/D９によって提案されたＬＡＮプロトコル（ＥＡＰＯＬ）上でのＥＡＰカプセル化も使用することができる。
【０１６２】
本発明の特定の実装および実施形態が説明されてきた。本発明が上記実施形態の詳細に制限されるものではなく、本発明の特性からずれることなしに等価な手段を使った他の実施形態において実装できることは、通常の当業者であれば明らかである。例えば、１つの実施形態においては、ＭＴはＳＩＭ＿Ｂを備えている移動局から物理的に離れたユニットである。そのとき、ＭＴはその移動局に対する永久的なリンクまたは一時的なリンク、例えば、ブルートゥース・リンクなどを形成する。この場合、電気通信ネットワークが認証のために任意の別々にできるＳＩＭを使用することさえも不要である。
【０１６３】
ＳＩＭの機能を分離不可能な方法で移動局に対して一体化すること、例えば、Ｋ_ｉまたはその等価物を移動局の不揮発性メモリに格納することもできる。当然、移動ノードをその移動局と統合化し、その移動局がＳＩＭを使用するように設計されているかどうかには無関係に、その移動局の認証機能に端末部分からアクセスすることができるようにすることができる。さらにもう１つの実施形態においては、パケット・データ・ネットワークが、例えば、ＬＡＮまたは広域ネットワークなどの固定のパケット・データ・ネットワークである。さらにもう１つの実施形態においては、本発明の認証が移動ノードを１つのサービスに対して、例えば、ＷＷＷポータルまたはインターネット・バンキング・サービスに対して認証するために使用される。したがって、本発明の適用範囲は添付の特許請求の範囲においてのみ制限される。
【０１６４】
略号／参照記号
ＡＡＡ―認証、承認およびアカウンティング
ＦＡ―フォーリン・エージェント
ＦＡＡＡ―フォーリンの認証、承認およびアカウンティング・サーバ
ＧＡＧＷ―ＧＳＭ認証ゲートウェイ
ＧＳＭ―移動通信用グローバル・システム
ＧＳＭトリプレット―ＲＡＮＤ、ＫｃおよびＳＲＥＳ
ＨＡ―ホーム・エージェント
ＨＡＡＡ―ホームの認証、承認およびアカウンティング・サーバ
ＨＤＲ―交換タイプがペイロードの順序付けを定義するインターネット・セキュリティ・アソシエーションおよびキー管理プロトコル（ＩＳＡＫＭＰ）ヘッダ
ＨＬＲ―ホーム・ロケーション・レジスタ（ＧＳＭ電気通信ネットワークの要素）
ＩＭＳＩ―ＧＳＭにおいて使用される、国際移動加入者ＩＤ
ＩＰｓｅｃ―インターネット・プロトコル・セキュリティ・プロトコル
ＩＳＡＫＭＰ―インターネット・セキュリティ・アソシエーションおよびキー管理プロトコル
Ｋｃ―ＳＩＭによって作り出される６４ビットの長さのキー
Ｋ_ｉ―ＧＳＭにおいて使用され、ＧＳＭ電気通信ネットワーク上（例えば、ＨＬＲ）およびＳＩＭ上で格納される加入者認証キー
ＭＤ５―メッセージ・ダイジェスト５
ＭＴ―移動ノード（移動ＩＰクライアント）
ＭＳＣ―移動交換局（ＧＳＭ電気通信ネットワークの要素）
ＭＴ―移動ノード
ＮＡＩ―ネットワーク・アクセス識別子、例えば、user@nokia.comまたはimsi@gsm.org
ＲＡＮＤ―ＧＳＭ認証においてチャレンジとして使用される１２８ビットの乱数
ＭＴ＿ＲＡＮＤ―再生アタックに対する保護のためのランダム・キー、ＭＴ生成
ＳＩＭ―加入者ＩＤモジュール
ＳＰＩ―セキュリティ・パラメータ・インデックス
ＳＲＥＳ―署名入り応答、ＧＳＭ認証における３２ビットの応答
【図面の簡単な説明】
【図１】 本発明の好適な実施形態による、ＩＰネットワーク準拠の移動局を有するＩＰネットワークを含むシステムを示す。
【図２】 図１のシステムの共有セッション・キー交換手順を示す。
【図３】 図１のシステムによる認証拡張を示す。
【図４】 図１のシステムの新しい共有セッション・キー要求拡張のフォーマットを示す。
【図５】 図１のシステムの新しい共有セッション・キー応答拡張のフォーマットを示す。
【図６】 図１のシステムの署名入り応答（ＳＲＥＳ）拡張を示す。
【図７】 本発明のもう１つの実施形態による移動通信システムのアーキテクチャを示す。
【図８】 図７のシステムの重要な機能ブロックを示す。
【図９】 図７のシステムの主要なシグナリング・イベントを示す。
【図１０】 図７のシステムの認証動作の詳細なシグナリング・チャートを示す。
【図１１】 図７のシステムの認証時の、公衆アクセス・コントローラの機能を示すフローチャート（その１）である。
【図１２】 図７のシステムの認証時の、公衆アクセス・コントローラの機能を示すフローチャート（その２）である。
【図１３】 図７のシステムの認証時の、移動体通信／汎用パケット無線サービス認証用グローバル・システムの機能を示すフローチャート（その１）である。
【図１４】 図７のシステムの認証時の、移動体通信／汎用パケット無線サービス認証用グローバル・システムの機能を示すフローチャート（その２）である。
【図１５】 図７のシステムの認証時の、移動体通信／汎用パケット無線サービス認証用グローバル・システムの機能を示すフローチャート（その３）である。
【図１６】 図７のシステムの認証時の、移動体通信／汎用パケット無線サービス認証用グローバル・システムの機能を示すフローチャート（その４）である。
【図１７】 図７のシステムのネットワークからの移動ノードの制御された切離しの主要なシグナリングを示す。
【図１８】 本発明のさらにもう１つの実施形態による、移動ノードがインターネット・キー交換ネゴシエーションの開始者であるときのインターネット・キー交換手順を示す。
【図１９】 移動ノードの代わりに、公衆アクセス・コントローラがインターネット・キー交換ネゴシエーションの開始者であるときの図１４の手順に対する変更を示す。
【図２０】 本発明の１つの実施形態による認証システムにおける手順を示す。

Claims (21)

1. 移動ノード（ＭＴ）のパケット・データ・ネットワークへの認証を行う方法であって、 移動ノードＩＤ（ＩＭＳＩ）と、前記移動ノードＩＤに固有であり、電気通信ネットワークによって使用可能な共有秘密（Ｋｉ）を前記移動ノード（ＭＴ）に提供するステップと、 保護コード（ＭＴ＿ＲＡＮＤ）を前記移動ノードに提供するステップと、 前記移動ノードＩＤ（ＩＭＳＩ）および前記保護コード（ＭＴ＿ＲＡＮＤ）を前記移動ノードから前記パケット・データ・ネットワークに送信するステップと、 チャレンジ（ＲＡＮＤ）と、前記移動ノードＩＤに対応し、前記チャレンジおよび前記共有秘密（Ｋｉ）を使用して導くことができるセッション秘密（Ｋｃ、ＳＲＥＳ）を含む、前記電気通信ネットワークによって使用可能な認証情報（Ｋｃ，ＳＲＥＳ，ＲＡＮＤ）を前記パケット・データ・ネットワークに提供するステップと、 少なくとも前記保護コード（ＭＴ＿ＲＡＮＤ）および前記セッション秘密（Ｋｃ、ＳＲＥＳ）を使用して暗号情報（ＳＩＧＮｒａｎｄ）を形成するステップと、 前記チャレンジ（ＲＡＮＤ）および前記暗号情報（ＳＩＧＮｒａｎｄ）を前記パケット・データ・ネットワークから前記移動ノード（ＭＴ）に送信するステップと、 前記移動ノードにおいて、前記チャレンジ（ＲＡＮＤ）および前記共有秘密（Ｋｉ）を使用して前記暗号情報（ＳＩＧＮｒａｎｄ）の有効性をチェックするステップと、 前記移動ノードにおいて、前記共有秘密（Ｋｉ）に基づいて、前記セッション秘密（Ｋｃ）と、前記チャレンジ（ＲＡＮＤ）に対応する第１の応答（ＳＩＧＮｓｒｅｓ）を生成するステップと、 前記第１の応答（ＳＩＧＮｓｒｅｓ）を前記パケット・データ・ネットワークに送信するステップと、 前記第１の応答（ＳＩＧＮｓｒｅｓ）を前記移動ノードの認証のためにチェックするステップと、を含むことを特徴とする方法。
2. 請求項１に記載の方法において、さらに、 前記電気通信ネットワークに対する加入者ＩＤ（ＩＭＳＩ）を前記移動ノードに提供するステップと、 前記加入者ＩＤからネットワーク・アクセス識別子（ＮＡＩ）を前記移動ノードＩＤとして前記移動ノードによって形成するステップと、を含むことを特徴とする方法。
3. 請求項１または２に記載の方法において、さらに、前記パケット・データ・ネットワークにおいて前記移動ノードＩＤ（ＩＭＳＩ）から直接に前記電気通信ネットワークを認識するステップを含むことを特徴とする方法。
4. 請求項１乃至３の何れかに記載の方法において、さらに、前記少なくとも１つのセッション秘密（Ｋｃ，ＳＲＥＳ）に基づいて共有セッション・キー（Ｋ，Ｋｐａｃ＿ＭＴ）を前記パケット・データ・ネットワークに提供するステップを含むことを特徴とする方法。
5. 請求項１乃至４の何れかに記載の方法において、さらに、前記パケット・データ・ネットワークと前記移動ノード間で前記チャレンジを通信するために、前記電気通信ネットワークのリンクではない通信リンクを提供するステップを含むことを特徴とする方法。
6. 請求項１乃至５の何れかに記載の方法において、さらに、移動ノードＩＤ（ＩＭＳＩ）を前記移動ノード（ＭＴ）に提供し、前記移動ノードＩＤに固有の共有秘密（Ｋｉ）に基づいて前記セッション秘密（Ｋｃ，ＳＲＥＳ）を生成するために、加入者ＩＤモジュール（ＳＩＭ＿Ｂ）を使用するステップを含むことを特徴とする方法。
7. 請求項６に記載の方法において、前記移動ノードＩＤ（ＩＭＳＩ）と、前記移動ノードＩＤに固有の共有秘密（Ｋｉ）とを前記移動ノード（ＭＴ）に提供するステップが、サブステップとして、さらに、 前記移動ノード（ＭＴ）と加入者ＩＤモジュール（ＳＩＭ＿Ｂ）との間にローカル接続を形成するステップと、 前記加入者ＩＤモジュールから前記移動ノードへ、前記移動ノードＩＤ（ＩＭＳＩ）と、前記移動ノードＩＤに固有のセッション秘密（Ｋｃ，ＳＲＥＳ）を取り出すステップと、を含むことを特徴とする方法。
8. 請求項１乃至７の何れかに記載の方法において、さらに、 前記電気通信ネットワークによって第２の応答（ＳＲＥＳ）を取得するステップと、 前記第１の応答（ＳＩＧＮｓｒｅｓ）をチェックする際に前記第２の応答を使用するステップと、を含むことを特徴とする方法。
9. 請求項１乃至８の何れかに記載の方法において、さらに、前記パケット・データ・ネットワークを経由して前記電気通信ネットワークから前記移動ノード（ＭＴ）に前記チャレンジ（ＲＡＮＤ）を送信するステップを含むことを特徴とする方法。
10. 請求項１乃至９の何れかに記載の方法において、前記保護コード（ＭＴ＿ＲＡＮＤ）が時間に基づいていることを特徴とする方法。
11. 請求項１乃至１０の何れかに記載の方法において、前記チャレンジ（ＲＡＮＤ）が、前記電気通信ネットワークの少なくとも２つの認証トリプレットのＲＡＮＤコードに基づいていることを特徴とする方法。
12. 請求項１乃至１１の何れかに記載の方法において、さらに、インターネット・キー交換のための共有セッション・キー（Ｋ）を生成するステップを含み、前記共有セッション・キーが前記少なくとも１つのセッション秘密（Ｋｃ，ＳＲＥＳ）および前記少なくとも１つのチャレンジ（ＲＡＮＤ）に基づくことを特徴とする方法。
13. 移動ノードにおいて、前記移動ノード（ＭＴ）のパケット・データ・ネットワークへの認証を行う方法であって、 移動ノードＩＤ（ＩＭＳＩ）と、前記移動ノードＩＤに固有であり、電気通信ネットワークによって使用可能な共有秘密（Ｋｉ）を前記移動ノード（ＭＴ）に提供するステップと、 保護コード（ＭＴ＿ＲＡＮＤ）を前記移動ノードに提供するステップと、 前記移動ノードＩＤ（ＩＭＳＩ）および前記保護コード（ＭＴ＿ＲＡＮＤ）を前記パケット・データ・ネットワークに送信するステップと、 チャレンジ（ＲＡＮＤ）および暗号情報（ＳＩＧＮｒａｎｄ）を前記パケット・データ・ネットワークから受信するステップと、 前記チャレンジ（ＲＡＮＤ）および前記共有秘密（Ｋｉ）を使用して前記暗号情報（ＳＩＧＮｒａｎｄ）の有効性をチェックするステップと、 前記共有秘密（Ｋｉ）に基づいて、セッション秘密（Ｋｃ，ＳＲＥＳ）と、前記チャレンジ（ＲＡＮＤ）に対応する第１の応答（ＳＩＧＮｓｒｅｓ）を生成するステップと、 前記第１の応答（ＳＩＧＮｓｒｅｓ）を前記パケット・データ・ネットワークに送信するステップと、を含むことを特徴とする方法。
14. パケット・データ・ネットワークと、移動電気通信ネットワークの加入者ＩＤにアクセスできる移動ノードとの間の通信方法であって、 前記電気通信ネットワークに対する加入者ＩＤを前記移動ノードに提供するステップと、 前記移動ノードによって、前記加入者ＩＤからネットワーク・アクセス識別子（ＮＡＩ）を前記パケット・データ・ネットワークによって使用される移動ノードＩＤとして形成するステップと、を含むことを特徴とする方法。
15. パケット・データ・ネットワークと、認証サーバ（ＨＡＡＡ）にアクセスできる電気通信ネットワークとの間のインターフェースとして働くゲートウェイ（ＧＡＧＷ）であって、前記ゲートウェイが、 移動ノードＩＤ（ＩＭＳＩ）および保護コード（ＭＴ＿ＲＡＮＤ）を前記パケット・データ・ネットワークから受信するための入力と、 前記移動ノードＩＤ（ＩＭＳＩ）を前記認証サーバ（ＨＡＡＡ）に提供するための出力と、 チャレンジ（ＲＡＮＤ）と、前記移動ノードＩＤに対応するセッション秘密（Ｋｃ、ＳＲＥＳ）とを前記認証サーバ（ＨＡＡＡ）から受信するための入力と、 少なくとも前記保護コード（ＭＴ＿ＲＡＮＤ）および前記セッション秘密（Ｋｃ、ＳＲＥＳ）を使用して暗号情報（ＳＩＧＮｒａｎｄ）を形成するための第１のプロセッサ（ＣＰＵ）と、 移動ノードにさらに送信するために前記チャレンジ（ＲＡＮＤ）および前記暗号情報（ＳＩＧＮｒａｎｄ）を前記パケット・データ・ネットワークに提供するための出力と、 前記加入者ＩＤ（ＩＭＳＩ）に固有であり、前記移動ノードおよび前記電気通信ネットワークによって知られている共有秘密（Ｋｉ）に基づいて、前記パケット・データ・ネットワークを経由して前記移動ノードから、前記チャレンジに対応する第１の応答（ＳＩＧＮｓｒｅｓ）を受信するための入力と、 前記移動ノードを認証するために前記第１の応答（ＳＩＧＮｓｒｅｓ）を確認するための第２のプロセッサと、を備えることを特徴とするゲートウェイ。
16. パケット・データ・ネットワークと、認証サーバ（ＨＡＡＡ）にアクセスできる電気通信ネットワークとの間のインターフェースとして働くゲートウェイ（ＧＡＧＷ）であって、前記ゲートウェイが、 ネットワーク・アクセス識別子（ＮＡＩ）を前記パケット・データ・ネットワークから受信するための第１の入力と、 前記電気通信ネットワークでの使用に適した加入者ＩＤ（ＩＭＳＩ）を前記ネットワーク・アクセス識別子（ＮＡＩ）から形成するためのプロセッサと、 前記加入者ＩＤ（ＩＭＳＩ）を前記電気通信ネットワークに提供するための第１の出力と、 前記認証サーバ（ＨＡＡＡ）から、チャレンジ（ＲＡＮＤ）と、前記チャレンジ（ＲＡＮＤ）および前記加入者ＩＤ（ＩＭＳＩ）に対応するセッション秘密（Ｋｃ，ＳＲＥＳ）を受信するための第１の入力と、 前記チャレンジ（ＲＡＮＤ）を前記パケット・データ・ネットワークに提供するための第２の出力と、を含むことを特徴とするゲートウェイ。
17. 通信システムであって、 電気通信ネットワークと、 パケット・データ・ネットワークとを含み、前記パケット・データ・ネットワークが、 保護コード（ＭＴ＿ＲＡＮＤ）を形成するための第１のプロセッサを備える移動ノード（ＭＴ）と、 前記パケット・データ・ネットワークと前記電気通信ネットワークとの間のインターフェースとして働くゲートウェイ（ＧＡＧＷ）と、 加入者ＩＤ（ＩＭＳＩ）および共有秘密（Ｋｉ）を含む、前記移動ノード（ＭＴ）によってアクセス可能な加入者ＩＤモジュール（ＳＩＭ＿Ｂ）と、 前記加入者ＩＤ（ＩＭＳＩ）に対してマップされている前記共有秘密（Ｋｉ）を含む、前記電気通信ネットワークに対する認証サーバ（ＨＡＡＡ）と、 前記加入者ＩＤ（ＩＭＳＩ）を受信し、それに応答してチャレンジ（ＲＡＮＤ）を返すことができる認証サーバ（ＨＡＡＡ）とを含み、 前記認証サーバ（ＨＡＡＡ）は、前記加入者ＩＤ（ＩＭＳＩ）を受信し、それに応答してチャレンジ（ＲＡＮＤ）を返すことができ、 前記ゲートウェイ（ＧＡＧＷ）は、前記保護コード（ＭＴ＿ＲＡＮＤ）に基づいて暗号情報（ＳＩＧＮｒａｎｄ）を形成するための第２のプロセッサを含み、 前記移動ノード（ＭＴ）は、前記ゲートウェイ（ＧＡＧＷ）から前記チャレンジ（ＲＡＮＤ）および前記暗号情報（ＳＩＧＮｒａｎｄ）を受信することができ、前記チャレンジ（ＲＡＮＤ）を前記加入者ＩＤモジュール（ＳＩＭ＿Ｂ）に提供し、それに応答して前記チャレンジ（ＲＡＮＤ）および前記共有秘密（Ｋｉ）に基づいて第１の応答（ＳＩＧＮｓｒｅｓ）を受信することができ、 前記第１のプロセッサは、さらに、前記ゲートウェイ（ＧＡＧＷ）の前記移動ノード（ＭＴ）への認証を行うために前記保護コードを確認することができ、 前記移動ノード（ＭＴ）を認証するために、前記第１の応答（ＳＩＧＮｓｒｅｓ）を確認するために前記ゲートウェイ（ＧＡＧＷ）によってアクセス可能な第３のプロセッサＣＰＵとを備えることを特徴とする通信システム。
18. 通信システムであって、 電気通信ネットワークと、 パケット・データ・ネットワークと、 移動ノードＩＤ（ＮＡＩ）を有する移動ノード（ＭＴ）と、 前記パケット・データ・ネットワークと前記電気通信ネットワークとの間のインターフェースとして働くゲートウェイ（ＧＡＧＷ）と、 前記移動ノード（ＭＴ）によってアクセス可能で、加入者ＩＤ（ＩＭＳＩ）および共有秘密（Ｋｉ）を含む加入者ＩＤモジュール（ＳＩＭ＿Ｂ）と、 前記加入者ＩＤ（ＩＭＳＩ）に対してマップされている前記共有秘密（Ｋｉ）を含む前記電気通信ネットワークに対する認証サーバ（ＨＡＡＡ）と、 前記電気通信ネットワークに対して前記移動ノードＩＤ（ＮＡＩ）の前記加入者ＩＤ（ＩＭＳＩ）を形成する、前記ゲートウェイによってアクセス可能な第１のプロセッサ（ＣＰＵ）とを備え、 前記認証サーバ（ＨＡＡＡ）は、前記加入者ＩＤ（ＩＭＳＩ）を受信し、それに応答してチャレンジを返すことができ、 前記加入者ＩＤモジュール（ＳＩＭ＿Ｂ）は、前記チャレンジ（ＲＡＮＤ）を受信し、それに応答して前記チャレンジ（ＲＡＮＤ）および前記共有秘密（Ｋｉ）に基づいて第１の応答（ＳＩＧＮｓｒｅｓ））を形成することができ、 前記移動ノードを認証するために、前記第１の応答（ＳＩＧＮｓｒｅｓ）を確認するゲートウェイ（ＧＡＧＷ）によってアクセス可能な第２のプロセッサ（ＣＰＵ）とを備えることを特徴とする通信システム。
19. 移動ノード（ＭＴ）であって、 加入者を電気通信ネットワークに知らせるための加入者ＩＤ（ＩＭＳＩ）と、前記加入者ＩＤモジュール（ＳＩＭ＿Ｂ）に固有であって前記電気通信ネットワークによってアクセス可能な認証サーバ（ＨＡＡＡ）によって知られている共有秘密（Ｋｉ）とを有する加入者ＩＤモジュール（ＳＩＭ＿Ｂ）と、 前記加入者ＩＤに基づいて移動ノードＩＤ（ＮＡＩ）を形成するためのプロセッサ（ＭＰＵ）と、 パケット・データ・ネットワークと通信し、前記パケット・データ・ネットワークに前記移動ノードＩＤ（ＮＡＩ）を送信し、その応答において前記パケット・データ・ネットワークからチャレンジ（ＳＩＧＮｒａｎｄ）を受信することができる通信ブロック（ＲＦ１）とを含み、 前記加入者ＩＤモジュールが、前記共有秘密（Ｋｉ）に基づいて、前記チャレンジ（ＳＩＧＮｒａｎｄ）に対応する第１の応答（ＳＩＧＮｓｒｅｓ）を形成できることを特徴とする移動ノード。
20. 移動ノード（ＭＴ）のパケット・データ・ネットワークへの認証を行うために前記移動ノードを制御するコンピュータ・プログラムを含むコンピュータ可読メモリ媒体であって、前記コンピュータ・プログラムは、 前記移動ノードのプロセッサ（ＭＰＵ）に実行されることにより、該移動ノードに、
    移動ノードＩＤ（ＩＭＳＩ）と、前記移動ノードＩＤに固有であって、電気通信ネットワークが使用できる共有秘密（Ｋｉ）とを取得させるコンピュータ実行可能コードと、
    保護コード（ＭＴ＿ＲＡＮＤ）を取得させるコンピュータ実行可能コードと、
    前記移動ノードＩＤ（ＩＭＳＩ）および前記保護コード（ＭＴ＿ＲＡＮＤ）を前記パケット・データ・ネットワークに送信させるコンピュータ実行可能コードと、
    前記パケット・データ・ネットワークからチャレンジ（ＲＡＮＤ）および暗号情報（ＳＩＧＮｒａｎｄ）を受信させるコンピュータ実行可能コードと、
    前記チャレンジ（ＲＡＮＤ）および前記共有秘密（Ｋｉ）を使用して前記暗号情報（ＳＩＧＮｒａｎｄ）の有効性をチェックさせるコンピュータ実行可能コードと、
    前記共有秘密（Ｋｉ）に基づいて、セッション秘密（Ｋｃ，ＳＲＥＳ）および前記チャレンジ（ＲＡＮＤ）に対応する第１の応答（ＳＩＧＮｓｒｅｓ）を生成させるコンピュータ実行可能コードと、
    前記第１の応答（ＳＩＧＮｓｒｅｓ）を前記パケット・データ・ネットワークに送信させるコンピュータ実行可能コードと、
    を含むことを特徴とする、コンピュータ可読メモリ媒体。
21. パケット・データ・ネットワークと通信し、電気通信ネットワークが使用できる加入者ＩＤ（ＩＭＳＩ）にアクセスできる移動ノードを制御するコンピュータ・プログラムを含むコンピュータ可読メモリ媒体であって、前記コンピュータ・プログラムは、前記移動ノードのプロセッサ（ＭＰＵ）に実行されることにより、該移動ノードに、
    
    前記加入者ＩＤ（ＩＭＳＩ）を前記移動ノードに提供させるコンピュータ実行可能コードと、
    前記加入者ＩＤのネットワーク・アクセス識別子（ＮＡＩ）を前記パケット・データ・ネットワークにより使用される移動ノードＩＤとして形成させるコンピュータ実行可能コードとを含むことを特徴とする、コンピュータ可読メモリ媒体。

Images