(57)【要約】【課題】ＷＬＡＮ経由での通信のセキュリティ確保をより柔軟にすることを可能にすること。【解決手段】本発明に係る基地局は、端末装置がサポートする無線ローカルエリアネットワーク経由での上記端末装置とセキュリティゲートウェイとの間の認証方式又は暗号化方式を示すケイパビリティ情報を上記端末装置から取得する情報取得部と、上記無線ローカルエリアネットワーク経由での上記端末装置と上記セキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を上記ケイパビリティ情報に含まれる上記認証方式又は上記暗号化方式を示す情報から選択する制御部と、上記方式情報を、上記端末装置または上記セキュリティゲートウェイの少なくとも一方に送信する通信処理部と、を備える。【選択図】図１
2020096386.tif 000002
【特許請求の範囲】
【請求項１】
端末装置がサポートする無線ローカルエリアネットワーク経由での前記端末装置とセキュリティゲートウェイとの間の認証方式又は暗号化方式を示すケイパビリティ情報を前記端末装置から取得する情報取得部と、
前記無線ローカルエリアネットワーク経由での前記端末装置と前記セキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を前記ケイパビリティ情報に含まれる前記認証方式又は前記暗号化方式を示す情報から選択する制御部と、
前記方式情報を、前記端末装置または前記セキュリティゲートウェイの少なくとも一方に送信する通信処理部と、
を備える基地局。
【請求項２】
前記通信処理部は、前記端末装置に対して前記ケイパビリティ情報を送信するように要求する第１のメッセージを送信し、
前記情報取得部は、前記ケイパビリティ情報が含まれた第２のメッセージを前記端末装置から受信する、
請求項１に記載の基地局。
【請求項３】
前記通信処理部は、コアネットワークノードに対して前記ケイパビリティ情報を送信するように要求する第３のメッセージを送信し、
前記情報取得部は、前記ケイパビリティ情報が含まれた第４のメッセージを前記コアネットワークノードから受信する、
請求項１に記載の基地局。
【請求項４】
前記セキュリティゲートウェイは、LWIP-SeGW（LTE/WLAN  Radio  Level  Integration  with  IPsec  Tunnel  Security  Gateway）である、請求項１から３のいずれか１項に記載の基地局。
【請求項５】
前記認証方式は、デジタル署名方式である、請求項１から４のいずれか１項に記載の基地局。
【請求項６】
前記デジタル署名方式は、ＲＳＡ（Rivest  Shamir  Adleman）及び、ＤＳＡ（Digital  Signature  Algorithm）の、少なくとも一方を含む、請求項５に記載の基地局。
【請求項７】
前記情報取得部は、前記デジタル署名方式において使用される証明書を取得し、
前記通信処理部は、前記証明書を前記セキュリティゲートウェイへ送信する、
請求項５または６に記載の基地局。
【請求項８】
前記暗号化方式は、ＩＰｓｅｃ（Security  Architecture  for  Internet  Protocol）用の暗号化方式である、請求項１から７のいずれか１項に記載の基地局。
【請求項９】
前記暗号化方式は、暗号化アルゴリズム及び鍵生成方式のうちの少なくとも一方を含む、請求項１から８のいずれか１項に記載の基地局。
【請求項１０】
前記鍵生成方式は、疑似乱数関数及びＤＨ（Diffie-Hellman  Group）グループのうちの少なくとも一方を含む、請求項９に記載の基地局。
【請求項１１】
端末装置がサポートする無線ローカルエリアネットワーク経由での前記端末装置とセキュリティゲートウェイとの間の認証方式又は暗号化方式を示すケイパビリティ情報を基地局に対して送信するよう要求する第５のメッセージを前記基地局から受信する情報取得部と、
前記第５のメッセージの受信に応じて前記ケイパビリティ情報を含む第６のメッセージを前記基地局に送信する通信処理部と、
を備える端末装置。
【請求項１２】
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を含む第７のメッセージを受信する情報取得部
を備える端末装置。
【請求項１３】
端末装置がサポートする無線ローカルエリアネットワーク経由での前記端末装置とセキュリティゲートウェイとの間の認証方式又は暗号化方式を示すケイパビリティ情報を基地局に対して送信するよう要求する第８のメッセージを前記基地局から受信する情報取得部と、
前記第８のメッセージの受信に応じて前記ケイパビリティ情報を含む第９のメッセージを前記基地局に送信する通信処理部と、
を備えるコアネットワークノード。
【請求項１４】
端末装置がサポートする無線ローカルエリアネットワーク経由での前記端末装置とセキュリティゲートウェイとの間の認証方式又は暗号化方式を示すケイパビリティ情報を前記端末装置から受信する通信処理部
を備えるコアネットワークノード。
【請求項１５】
前記ケイパビリティ情報は、Attach  Requestメッセージに含まれている、請求項１４に記載のコアネットワークノード。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、基地局、端末装置及びコアネットワークノードに関する。
【背景技術】
【０００２】
現在、３ＧＰＰ（Third  Generation  Partnership  Project）では、ｅＮＢ（evolved  Node  B）と無線ローカルエリアネットワークアクセスポイント（Wireless  Local  Area  Network  Access  Point：ＷＬＡＮ−ＡＰ）との両方を利用したデータ伝送方式としてＬＷＩＰ（LTE/WLAN  Radio  Level  Integration  with  IPsec  Tunnel）の検討が進められている。
【０００３】
ＬＷＩＰでは、ＵＥ（User  Equipment）とＬＷＩＰ−ＳｅＧＷ（Security  Gateway）との間でＩＰｓｅｃ（Security  Architecture  for  Internet  Protocol）トンネルが設定され、ＬＷＩＰ−ＳｅＧＷとの間で送受信されるデータに対する暗号化機能及び認証機能が実現される。
【０００４】
例えば、非特許文献１には、ＵＥとＬＷＩＰ−ＳｅＧＷとの間のＩＰｓｅｃトンネルの設定において相互認証のためにＰＳＫ（Pre-Shared  Key）を用いることが開示されている。また、例えば、特許文献１には、セキュリティゲートウェイがＷＬＡＮ経由で端末装置と通信することが開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特表２０１６−５０７９９３号公報
【非特許文献】
【０００６】
【非特許文献１】3GPP  TS  33.401  V13.3.0  (2016-06)  “3rd  Generation  Partnership  Project;  Technical  Specification  Group  Services  and  System  Aspects;  3GPP  System  Architecture  Evolution  (SAE);  Security  architecture  (Release  13)”
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかし、例えば、非特許文献１によれば、現状では、ＵＥとＬＷＩＰ−ＳｅＧＷとの間のＩＰｓｅｃトンネルの設定において相互認証のためにＰＳＫが用いられる。そのため、（たとえＵＥがＰＳＫよりもセキュアな他の認証方式をサポートしていたとしても）上記相互認証のために他の認証方式が使用されない。
【０００８】
また、非特許文献１によれば、ＬＷＩＰでは、ＩＰｓｅｃトンネルのための暗号化方式は明確になっていない。そのため、例えば、ＩＰｓｅｃトンネルの設定処理に用いられるＩＫＥ（Internet  Key  Exchange）プロトコルを用いて、ＵＥとＬＷＩＰ−ＳｅＧＷとの間で暗号化方式についてのネゴシエーションが行われ、ＵＥとＬＷＩＰ−ＳｅＧＷとの両方によりサポートされる暗号化方式が適用され得る。一例として、両者によりサポートされていると最初に判定された暗号化方式が適用され得る。このように、現状では、ＵＥ及びＬＷＩＰ−ＳｅＧＷにより使用される暗号化方式をネットワーク側でコントロールすることは難しい。
【０００９】
本発明の目的は、ＷＬＡＮ経由での通信のセキュリティ確保をより柔軟にすることを可能にすることにある。
【課題を解決するための手段】
【００１０】
本発明の端末装置は、上記端末装置のケイパビリティに関するケイパビリティ情報を取得する情報取得部と、上記ケイパビリティ情報を移動体通信ネットワークへ送信する第１通信処理部と、を備える。上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ（Security  Architecture  for  Internet  Protocol）用の暗号化方式を示す情報を含む。
【００１１】
本発明のコアネットワークノードは、端末装置のケイパビリティに関するケイパビリティ情報を取得する情報取得部と、上記ケイパビリティ情報を基地局へ送信する通信処理部と、を備える。上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００１２】
本発明の基地局は、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得する情報取得部と、上記方式情報を上記セキュリティゲートウェイへ送信する第１通信処理部と、を備える。
【００１３】
本発明のセキュリティゲートウェイは、無線ローカルエリアネットワーク経由での端末装置と上記セキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信する第１通信処理部と、上記方式情報に基づいて、上記無線ローカルエリアネットワーク経由での上記端末装置との通信のための認証又は暗号化を行う第２通信処理部と、を備える。
【００１４】
本発明の第１の方法は、端末装置のケイパビリティに関するケイパビリティ情報を取得することと、上記ケイパビリティ情報を移動体通信ネットワークへ送信することと、
を含み、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００１５】
本発明の第１のプログラムは、端末装置のケイパビリティに関するケイパビリティ情報を取得することと、上記ケイパビリティ情報を移動体通信ネットワークへ送信することと、
としてプロセッサを機能させるためのプログラムであり、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００１６】
本発明の第１の記録媒体は、端末装置のケイパビリティに関するケイパビリティ情報を取得することと、上記ケイパビリティ情報を移動体通信ネットワークへ送信することと、をプロセッサに実行させるためのプログラムを記録したコンピュータに読み取り可能な非一時的記録媒体であり、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００１７】
本発明の第１の装置は、端末装置のケイパビリティに関するケイパビリティ情報を取得する情報取得部と、上記ケイパビリティ情報を移動体通信ネットワークへ送信する第１通信処理部と、を備え、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ（Security  Architecture  for  Internet  Protocol）用の暗号化方式を示す情報を含む。
【００１８】
本発明の第２の装置は、プログラムを記憶するメモリと、上記プログラムを実行可能な１つ以上のプロセッサと、を備え、上記プログラムは、端末装置のケイパビリティに関するケイパビリティ情報を取得することと、上記ケイパビリティ情報を移動体通信ネットワークへ送信することと、をプロセッサに実行させるためのプログラムであり、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００１９】
本発明の第３の装置は、メモリと、１つ以上のプロセッサと、を備え、上記１つ以上のプロセッサは、端末装置のケイパビリティに関するケイパビリティ情報を取得し、上記ケイパビリティ情報を移動体通信ネットワークへ送信し、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００２０】
本発明の第２の方法は、端末装置のケイパビリティに関するケイパビリティ情報を取得することと、上記ケイパビリティ情報を基地局へ送信することと、を含み、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００２１】
本発明の第２のプログラムは、端末装置のケイパビリティに関するケイパビリティ情報を取得することと、上記ケイパビリティ情報を基地局へ送信することと、としてプロセッサを機能させるためのプログラムであり、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００２２】
本発明の第２の記録媒体は、端末装置のケイパビリティに関するケイパビリティ情報を取得することと、上記ケイパビリティ情報を基地局へ送信することと、をプロセッサに実行させるためのプログラムを記録したコンピュータに読み取り可能な非一時的記録媒体であり、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００２３】
本発明の第４の装置は、端末装置のケイパビリティに関するケイパビリティ情報を取得する情報取得部と、上記ケイパビリティ情報を基地局へ送信する通信処理部と、を備え、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００２４】
本発明の第５の装置は、プログラムを記憶するメモリと、上記プログラムを実行可能な１つ以上のプロセッサと、を備え、上記プログラムは、端末装置のケイパビリティに関するケイパビリティ情報を取得することと、上記ケイパビリティ情報を基地局へ送信することと、をプロセッサに実行させるためのプログラムであり、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００２５】
本発明の第６の装置は、メモリと、１つ以上のプロセッサと、を備え、上記１つ以上のプロセッサは、端末装置のケイパビリティに関するケイパビリティ情報を取得し、上記ケイパビリティ情報を基地局へ送信し、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００２６】
本発明の第３の方法は、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得することと、上記方式情報を上記セキュリティゲートウェイへ送信することと、
を含む。
【００２７】
本発明の第３のプログラムは、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得することと、上記方式情報を上記セキュリティゲートウェイへ送信することと、をプロセッサに実行させるためのプログラムである。
【００２８】
本発明の第３の記録媒体は、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得することと、上記方式情報を上記セキュリティゲートウェイへ送信することと、をプロセッサに実行させるためのプログラムを記録したコンピュータに読み取り可能な非一時的記録媒体である。
【００２９】
本発明の第７の装置は、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得する情報取得部と、上記方式情報を上記セキュリティゲートウェイへ送信する第１通信処理部と、を備える。
【００３０】
本発明の第８の装置は、プログラムを記憶するメモリと、上記プログラムを実行可能な１つ以上のプロセッサと、を備え、上記プログラムは、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得することと、上記方式情報を上記セキュリティゲートウェイへ送信することと、をプロセッサに実行させるためのプログラムである。
【００３１】
本発明の第９の装置は、メモリと、１つ以上のプロセッサと、を備え、上記１つ以上のプロセッサは、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得し、上記方式情報を上記セキュリティゲートウェイへ送信する。
【００３２】
本発明の第４の方法は、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信することと、上記方式情報に基づいて、上記無線ローカルエリアネットワーク経由での上記端末装置との通信のための認証又は暗号化を行うことと、を含む。
【００３３】
本発明の第４のプログラムは、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信することと、上記方式情報に基づいて、上記無線ローカルエリアネットワーク経由での上記端末装置との通信のための認証又は暗号化を行うことと、をプロセッサに実行させるためのプログラムである。
【００３４】
本発明の第４の記録媒体は、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信することと、上記方式情報に基づいて、上記無線ローカルエリアネットワーク経由での上記端末装置との通信のための認証又は暗号化を行うことと、をプロセッサに実行させるためのプログラムを記録したコンピュータに読み取り可能な非一時的記録媒体である。
【００３５】
本発明の第１０の装置は、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信する第１通信処理部と、上記方式情報に基づいて、上記無線ローカルエリアネットワーク経由での上記端末装置との通信のための認証又は暗号化を行う第２通信処理部と、を備える。
【００３６】
本発明の第１１の装置は、プログラムを記憶するメモリと、上記プログラムを実行可能な１つ以上のプロセッサと、を備え、上記プログラムは、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信することと、上記方式情報に基づいて、上記無線ローカルエリアネットワーク経由での上記端末装置との通信のための認証又は暗号化を行うことと、をプロセッサに実行させるためのプログラムである。
【００３７】
本発明の第１２の装置は、メモリと、１つ以上のプロセッサと、を備え、上記１つ以上のプロセッサは、無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信し、上記方式情報に基づいて、上記無線ローカルエリアネットワーク経由での上記端末装置との通信のための認証又は暗号化を行う。
【発明の効果】
【００３８】
本発明によれば、ＷＬＡＮ経由での通信のセキュリティ確保をより柔軟にすることが可能になる。なお、本発明により、当該効果の代わりに、又は当該効果とともに、他の効果が奏されてもよい。
【図面の簡単な説明】
【００３９】
【図１】３ＧＰＰで想定されているＬＷＩＰのネットワーク構成の例を説明するための説明図である。
【図２】３ＧＰＰ  Ｒｅｌｅａｓｅ−１３で想定されているＬＷＩＰのプロトコルスタックの例を説明するための説明図である。
【図３】３ＧＰＰ  Ｒｅｌｅａｓｅ−１４で想定されているＬＷＩＰのプロトコルスタックの例を説明するための説明図である。
【図４】本発明の実施形態に係るシステムの概略的な構成の一例を示す説明図である。
【図５】第１の実施形態に係る基地局の概略的な構成の例を示すブロック図である。
【図６】第１の実施形態に係るセキュリティゲートウェイの概略的な構成の例を示すブロック図である。
【図７】第１の実施形態に係る端末装置の概略的な構成の例を示すブロック図である。
【図８】第１の実施形態に係る第１コアネットワークノードの概略的な構成の例を示すブロック図である。
【図９】第１の実施形態に係る認証ケイパビリティ情報及び暗号化ケイパビリティ情報の例を説明するための説明図である。
【図１０】第１の実施形態に係る処理の概略的な流れの第１の例を説明するためのシーケンス図である。
【図１１】第１の実施形態に係る処理の概略的な流れの第２の例を説明するためのシーケンス図である。
【図１２】第１の実施形態に係る処理の概略的な流れの第３の例を説明するためのシーケンス図である。
【図１３】第１の実施形態に係る処理の概略的な流れの第４の例を説明するためのシーケンス図である。
【図１４】第２の実施形態に係る基地局の概略的な構成の例を示すブロック図である。
【図１５】第２の実施形態に係るセキュリティゲートウェイの概略的な構成の例を示すブロック図である。
【図１６】第２の実施形態に係る端末装置の概略的な構成の例を示すブロック図である。
【図１７】第２の実施形態に係る第１コアネットワークノードの概略的な構成の例を示すブロック図である。
【発明を実施するための形態】
【００４０】
以下、添付の図面を参照して本発明の実施形態を詳細に説明する。なお、本明細書及び図面において、同様に説明されることが可能な要素については、同一の符号を付することにより重複説明が省略され得る。
【００４１】
説明は、以下の順序で行われる。
１．関連技術
２．本発明の実施形態の概要
３．本発明の実施形態に係るシステムの構成
４．第１の実施形態
４．１．基地局の構成
４．２．セキュリティゲートウェイの構成
４．３．端末装置の構成
４．４．第１コアネットワークノードの構成
４．５．技術的特徴
５．第２の実施形態
５．１．基地局の構成
５．２．セキュリティゲートウェイの構成
５．３．端末装置の構成
５．４．第１コアネットワークノードの構成
５．５．技術的特徴
【００４２】
＜＜１．関連技術＞＞
図１〜図３を参照して、本実施形態に関連する技術としてＬＷＩＰを説明する。
【００４３】
現在、３ＧＰＰでは、ｅＮＢとＷＬＡＮ−ＡＰとの両方を利用したデータ伝送方式としてＬＷＩＰの検討が進められている。
【００４４】
図１は、３ＧＰＰで想定されているＬＷＩＰのネットワーク構成の例を説明するための説明図である。図１を参照すると、ｅＮＢ１０、ＬＷＩＰ−ＳｅＧＷ２０、ＷＬＡＮ−ＡＰ３０、ＵＥ４０、コアネットワーク５００、ＭＭＥ（Mobility  Management  Entity）６０及びＳ−ＧＷ（Serving  Gateway）７０が示されている。ＬＷＩＰでは、ｅＮＢ１０とＵＥ４０とは、Ｕｕインタフェースにおいてデータを送受信できるとともに、ＬＷＩＰ−ＳｅＧＷ２０及びＷＬＡＮ−ＡＰ３０経由でデータを送受信することができる。ＬＷＩＰ−ＳｅＧＷ２０は、ＷＬＡＮ経由でのデータの送受信のためにＩＰｓｅｃトンネルを提供する。即ち、ＬＷＩＰ−ＳｅＧＷ２０及びＵＥ４０は、ＩＰｓｅｃトンネルを設定し、当該ＩＰｓｅｃトンネルを通じて、互いにＷＬＡＮ経由でデータを送受信する。
【００４５】
図２は、３ＧＰＰ  Ｒｅｌｅａｓｅ−１３で想定されているＬＷＩＰのプロトコルスタックの例を説明するための説明図である。また、図３は、３ＧＰＰ  Ｒｅｌｅａｓｅ−１４で想定されているＬＷＩＰのプロトコルスタックの例を説明するための説明図である。図２及び図３に記載されているように、ＬＷＩＰ−ＳｅＧＷ２０とＵＥ４０との間にＩＰｓｅｃトンネルが設定される。ＬＷＩＰ−ＳｅＧＷ２０及びＵＥ４０は、当該ＩＰｓｅｃトンネルを通じて、互いにデータを送受信する。なお、Ｒｅｌｅａｓｅ−１３では、ＬＷＩＰＥＰ（LWIP  Encapsulation  Protocol）がｅＮＢ１０に位置し、Ｒｅｌｅａｓｅ−１４では、ＬＷＩＰＥＰがＬＷＩＰ−ＳｅＧＷ２０に位置する。
【００４６】
＜＜２．本発明の実施形態の概要＞＞
まず、本発明の実施形態の概要を説明する。
【００４７】
（１）技術的課題
3GPP  TS  33.401  V13.3.0によれば、現状では、ＵＥとＬＷＩＰ−ＳｅＧＷとの間のＩＰｓｅｃトンネルの設定において相互認証のためにＰＳＫが用いられる。そのため、（たとえＵＥがＰＳＫよりもセキュアな他の認証方式をサポートしていたとしても）上記相互認証のために他の認証方式が使用されない。
【００４８】
また、3GPP  TS  33.401  V13.3.0によれば、ＬＷＩＰでは、ＩＰｓｅｃトンネルのための暗号化方式は明確になっていない。そのため、例えば、ＩＰｓｅｃトンネルの設定処理に用いられるＩＫＥプロトコルを用いて、ＵＥとＬＷＩＰ−ＳｅＧＷとの間で暗号化方式についてのネゴシエーションが行われ、ＵＥとＬＷＩＰ−ＳｅＧＷとの両方によりサポートされる暗号化方式が適用され得る。一例として、両者によりサポートされていると最初に判定された暗号化方式が適用され得る。このように、現状では、ＵＥ及びＬＷＩＰ−ＳｅＧＷにより使用される暗号化方式をネットワーク側でコントロールすることは難しい。
【００４９】
本発明の目的は、ＷＬＡＮ経由での通信のセキュリティ確保をより柔軟にすることを可能にすることにある。
【００５０】
（２）技術的特徴
本発明の実施形態では、例えば、端末装置（ＵＥ）は、当該端末装置のケイパビリティに関するケイパビリティ情報を移動体通信ネットワーク（コアネットワークノード（ＭＭＥ）又は基地局（ｅＮＢ））へ送信する。とりわけ、上記ケイパビリティ情報は、上記端末装置によりサポートされる認証方式を示す情報、又は、上記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む。
【００５１】
本発明の実施形態では、例えば、上記コアネットワークノード（ＭＭＥ）は、上記ケイパビリティ情報を基地局（ｅＮＢ）へ送信する。
【００５２】
本発明の実施形態では、例えば、基地局（ｅＮＢ）は、ＷＬＡＮ経由での端末装置（ＵＥ）とセキュリティゲートウェイ（ＬＷＩＰ−ＳｅＧＷ）との間の通信のために使用される認証方式又は暗号化方式を示す方式情報を、当該セキュリティゲートウェイへ送信する。
【００５３】
本発明の実施形態では、例えば、上記セキュリティゲートウェイ（ＬＷＩＰ−ＳｅＧＷ）は、上記方式情報に基づいて、ＷＬＡＮ経由での上記端末装置（ＵＥ）との通信のための相互認証又は暗号化を行う。
【００５４】
これにより、例えば、ＷＬＡＮ経由での通信のセキュリティ確保をより柔軟にすることが可能になる。
【００５５】
＜＜３．本発明の実施形態に係るシステムの構成＞＞
図４を参照して、本実施形態に係るシステム１の構成の例を説明する。図４は、本発明の実施形態に係るシステム１の概略的な構成の一例を示す説明図である。図４を参照すると、システム１は、基地局１００、セキュリティゲートウェイ２００、ＷＬＡＮ−ＡＰ３００、端末装置４００及びコアネットワーク５００を含む。
【００５６】
例えば、システム１は、３ＧＰＰの規格（standard）に準拠したシステムである。より具体的には、システム１は、ＬＴＥ／ＬＴＥ−Ａｄｖａｎｃｅｄ及び／又はＳＡＥ（System  Architecture  Evolution）に準拠したシステムであってもよい。あるいは、システム１は、第５世代（５Ｇ）の規格に準拠したシステムであってもよい。当然ながら、システム１は、これらの例に限定されない。
【００５７】
（１）基地局１００
基地局１００は、端末装置との無線通信を行うノードであり、換言すると無線アクセスネットワーク（Radio  Access  Network：ＲＡＮ）のノードである。例えば、基地局１００は、ｅＮＢであってもよく、又は、５ＧにおけるｇＮＢ（generation  Node  B）であってもよい。基地局１００は、複数のユニット（又は複数のノード）を含んでもよい。当該複数のユニット（又は複数のノード）は、上位のプロトコルレイヤの処理を行う第１ユニット（又は第１ノード）と、下位のプロトコルレイヤの処理を行う第２ユニット（又は第２ノード）とを含んでもよい。一例として、上記第１ユニットは、中央ユニット（Center/Central  Unit：ＣＵ）と呼ばれてもよく、上記第２のユニットは、分散ユニット（Distributed  Unit：ＤＵ）又はアクセスユニット（Access  Unit：ＡＵ）と呼ばれてもよい。別の例として、上記第１ユニットは、デジタルユニット（Digital  Unit：ＤＵ）と呼ばれてもよく、上記第２ユニットは、無線ユニット（Radio  Unit：ＲＵ）又はリモートユニット（Remote  Unit：ＲＵ）と呼ばれてもよい。上記ＤＵ（Digital  Unit）は、ＢＢＵ（Base  Band  Unit）であってもよく、上記ＲＵは、ＲＲＨ（Remote  Radio  Head）又はＲＲＵ（Remote  Radio  Unit）であってもよい。当然ながら、上記第１ユニット（又は第１のノード）及び上記第２ユニット（又は第２のノード）の呼称は、この例に限定されない。あるいは、基地局１００は、単一のユニット（又は単一のノード）であってもよい。この場合に、基地局１００は、上記複数のユニットのうちの１つ（例えば、上記第１ユニット及び上記第２ユニットの一方）であってもよく、上記複数のユニットのうちの他のユニット（例えば、上記第１ユニット及び上記第２ユニットの他方）と接続されていてもよい。
【００５８】
とりわけ、本実施形態では、基地局１００は、無線で（例えばＵｕインタフェースにおいて）端末装置４００とデータを送受信することができるとともに、セキュリティゲートウェイ２００及びＷＬＡＮ−ＡＰ３００経由で端末装置４００とデータを送受信することができる。具体的には、例えば、基地局１００は、ＬＷＩＰの動作を行うことができる。
【００５９】
（２）セキュリティゲートウェイ２００
セキュリティゲートウェイ２００は、ＷＬＡＮ経由での通信のセキュリティを確保する。例えば、セキュリティゲートウェイ２００は、ＷＬＡＮ経由での通信のためにセキュリティトンネル（例えば、ＩＰｓｅｃトンネル）を提供する。より具体的には、例えば、セキュリティゲートウェイ２００は、ＬＷＩＰ−ＳｅＧＷである。
【００６０】
なお、基地局１００とＷＬＡＮ−ＡＰ３００及び端末装置４００との間に位置する。
【００６１】
（３）ＷＬＡＮ−ＡＰ３００
ＷＬＡＮ−ＡＰ３００は、ＷＬＡＮのアクセスポイントであり、ＩＥＥＥ  ８０２.１１シリーズ（ＩＥＥＥ  ８０２.１１ｂ／１１ａ／１１ｇ／１１ｎ／１１ａｃ等）のうちの１つ以上に従って端末装置（例えば端末装置４００）との無線通信を行う。
【００６２】
（４）端末装置４００
端末装置４００は、基地局との無線通信を行う。例えば、端末装置４００は、基地局１００のカバレッジエリア内に位置する場合に、基地局１００との無線通信を行う。例えば、端末装置４００は、ＵＥである。
【００６３】
とりわけ、本実施形態では、端末装置４００は、無線で（例えばＵｕインタフェースにおいて）基地局１００とデータを送受信することができるとともに、ＷＬＡＮ−ＡＰ３００及びセキュリティゲートウェイ２００経由で基地局１００とデータを送受信することができる。具体的には、例えば、端末装置４００は、ＬＷＩＰの動作を行うことができる。
【００６４】
（５）コアネットワーク５００
コアネットワーク５００は、第１コアネットワークノード６００及び第２コアネットワークノード７００を含む。
【００６５】
第１コアネットワークノード６００は、Ｃ−ｐｌａｎｅの処理を担うノードである。例えば、第１コアネットワークノード６００は、基地局１００へ制御メッセージを送信し、基地局１００から制御メッセージを受信する。
【００６６】
第２コアネットワークノード７００は、Ｕ−ｐｌａｎｅの処理を担うノードである。例えば、第２コアネットワークノード７００は、データパケット（データを含むパケット）を基地局１００へ送信し、データパケットを基地局１００から受信する。
【００６７】
例えば、コアネットワーク５００はＥＰＣであり、第１コアネットワークノード６００はＭＭＥであり、第２コアネットワークノード７００はＳ−ＧＷである。
【００６８】
以上、本発明の実施形態に係るシステム１を説明した。なお、基地局１００及びコアネットワーク５００（第１コアネットワークノード６００及び第２コアネットワークノード７００）は、移動体通信ネットワーク（mobile  communication  network）に含まれる。一例として、当該移動体通信ネットワークは、ＥＰＳ（Evolved  Packet  System）である。
【００６９】
＜＜４．第１の実施形態＞＞
続いて、図５〜図１３を参照して、本発明の第１の実施形態を説明する。
【００７０】
＜４．１．基地局の構成＞
まず、図５を参照して、第１の実施形態に係る基地局１００の構成の例を説明する。図５は、第１の実施形態に係る基地局１００の概略的な構成の例を示すブロック図である。図５を参照すると、基地局１００は、無線通信部１１０、ネットワーク通信部１２０、記憶部１３０及び処理部１４０を備える。
【００７１】
（１）無線通信部１１０
無線通信部１１０は、信号を無線で送受信する。例えば、無線通信部１１０は、端末装置からの信号を受信し、端末装置への信号を送信する。
【００７２】
（２）ネットワーク通信部１２０
ネットワーク通信部１２０は、ネットワークから信号を受信し、ネットワークへ信号を送信する。
【００７３】
（３）記憶部１３０
記憶部１３０は、基地局１００の動作のためのプログラム及びパラメータ、並びに様々なデータを、一時的に又は恒久的に記憶する。
【００７４】
（４）処理部１４０
処理部１４０は、基地局１００の様々な機能を提供する。処理部１４０は、情報取得部１４１、第１通信処理部１４３、第２通信処理部１４５、第３通信処理部１４７及び制御部１４９を含む。なお、処理部１４０は、これらの構成要素以外の他の構成要素をさらに含み得る。即ち、処理部１４０は、これらの構成要素の動作以外の動作も行い得る。情報取得部１４１、第１通信処理部１４３、第２通信処理部１４５、第３通信処理部１４７及び制御部１４９の具体的な動作は、後に詳細に説明する。
【００７５】
例えば、処理部１４０（第１通信処理部１４３）は、ネットワーク通信部１２０を介してセキュリティゲートウェイ２００と通信する。例えば、処理部１４０（第２通信処理部１４５）は、ネットワーク通信部１２０を介してコアネットワークノード（例えば、第１コアネットワークノード６００又は第２コアネットワークノード７００）と通信する。例えば、処理部１４０（第３通信処理部１４７）は、無線通信部１１０を介して端末装置（例えば、端末装置４００）と通信する。
【００７６】
（５）実装例
無線通信部１１０は、アンテナ及び高周波（Radio  Frequency：ＲＦ）回路等により実装されてもよい。ネットワーク通信部１２０は、ネットワークアダプタ又はネットワークインタフェースカード等により実装されてもよい。記憶部１３０は、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスク等により実装されてもよい。処理部１４０は、ベースバンド（Baseband：ＢＢ）プロセッサ及び／又は他のプロセッサ等により実装されてもよい。情報取得部１４１、第１通信処理部１４３、第２通信処理部１４５、第３通信処理部１４７及び制御部１４９は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。上記メモリ（記憶部１３０）は、このようなプロセッサ（チップ）内に含まれてもよい。
【００７７】
基地局１００は、プログラムを記憶するメモリと、当該プログラムを実行可能な１つ以上のプロセッサとを含んでもよく、当該１つ以上のプロセッサは、処理部１４０の動作（情報取得部１４１、第１通信処理部１４３、第２通信処理部１４５、第３通信処理部１４７及び制御部１４９の動作）を行ってもよい。上記プログラムは、処理部１４０の動作（情報取得部１４１、第１通信処理部１４３、第２通信処理部１４５、第３通信処理部１４７及び制御部１４９の動作）をプロセッサに実行させるためのプログラムであってもよい。
【００７８】
＜４．２．セキュリティゲートウェイの構成＞
次に、図６を参照して、第１の実施形態に係るセキュリティゲートウェイ２００の構成の例を説明する。図６は、第１の実施形態に係るセキュリティゲートウェイ２００の概略的な構成の例を示すブロック図である。図６を参照すると、セキュリティゲートウェイ２００は、ネットワーク通信部２１０、記憶部２２０及び処理部２３０を備える。
【００７９】
（１）ネットワーク通信部２１０
ネットワーク通信部２１０は、ネットワークから信号を受信し、ネットワークへ信号を送信する。
【００８０】
（２）記憶部２２０
記憶部２２０は、セキュリティゲートウェイ２００の動作のためのプログラム及びパラメータ、並びに様々なデータを、一時的に又は恒久的に記憶する。
【００８１】
（３）処理部２３０
処理部２３０は、セキュリティゲートウェイ２００の様々な機能を提供する。処理部２３０は、第１通信処理部２３１及び第２通信処理部２３３を含む。なお、処理部２３０は、これらの構成要素以外の他の構成要素をさらに含み得る。即ち、処理部２３０は、これらの構成要素の動作以外の動作も行い得る。第１通信処理部２３１及び第２通信処理部２３３の具体的な動作は、後に詳細に説明する。
【００８２】
例えば、処理部２３０は、ネットワーク通信部２１０を介して他のノードと通信する。具体的には、例えば、処理部２３０（第１通信処理部２３１）は、ネットワーク通信部２１０を介して基地局１００（又はコアネットワークノード）と通信する。また、例えば、処理部２３０（第２通信処理部２３３）は、ネットワーク通信部２１０を介して、ＷＬＡＮ（ＷＬＡＮ−ＡＰ３００）経由で端末装置４００と通信する。
【００８３】
（４）実装例
ネットワーク通信部２１０は、ネットワークアダプタ又はネットワークインタフェースカード等により実装されてもよい。記憶部２２０は、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスク等により実装されてもよい。処理部２３０は、プロセッサ等により実装されてもよい。第１通信処理部２３１及び第２通信処理部２３３は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。上記メモリ（記憶部２２０）は、このようなプロセッサ（チップ）内に含まれてもよい。
【００８４】
セキュリティゲートウェイ２００は、プログラムを記憶するメモリと、当該プログラムを実行可能な１つ以上のプロセッサとを含んでもよく、当該１つ以上のプロセッサは、処理部２３０の動作（第１通信処理部２３１及び第２通信処理部２３３の動作）を行ってもよい。上記プログラムは、処理部２３０の動作（第１通信処理部２３１及び第２通信処理部２３３の動作）をプロセッサに実行させるためのプログラムであってもよい。
【００８５】
＜４．３．端末装置の構成＞
次に、図７を参照して、第１の実施形態に係る端末装置４００の構成の例を説明する。図７は、第１の実施形態に係る端末装置４００の概略的な構成の例を示すブロック図である。図７を参照すると、端末装置４００は、第１無線通信部４１０、第２無線通信部４２０、記憶部４３０及び処理部４４０を備える。
【００８６】
（１）第１無線通信部４１０
第１無線通信部４１０は、信号を無線で送受信する。例えば、第１無線通信部４１０は、基地局１００からの信号を受信し、基地局１００への信号を送信する。
【００８７】
（２）第２無線通信部４２０
第２無線通信部４２０は、信号を無線で送受信する。例えば、第２無線通信部４２０は、ＷＬＡＮ−ＡＰ３００からの信号を受信し、ＷＬＡＮ−ＡＰ３００への信号を送信する。
【００８８】
（３）記憶部４３０
記憶部４３０は、端末装置４００の動作のためのプログラム及びパラメータ、並びに様々なデータを、一時的に又は恒久的に記憶する。
【００８９】
（４）処理部４４０
処理部４４０は、端末装置４００の様々な機能を提供する。処理部４４０は、情報取得部４４１、第１通信処理部４４３及び第２通信処理部４４５を含む。なお、処理部４４０は、これらの構成要素以外の他の構成要素をさらに含み得る。即ち、処理部４４０は、これらの構成要素の動作以外の動作も行い得る。情報取得部４４１、第１通信処理部４４３及び第２通信処理部４４５の具体的な動作は、後に詳細に説明する。
【００９０】
例えば、処理部４４０（第１通信処理部４４３）は、第１無線通信部４１０を介して基地局１００（又はコアネットワークノード）と通信する。また、例えば、処理部４４０（第２通信処理部４４５）は、第２無線通信部４２０を介して、ＷＬＡＮ−ＡＰ３００経由でセキュリティゲートウェイ２００（又は基地局１００）と通信する。
【００９１】
（５）実装例
第１無線通信部４１０及び第２無線通信部４２０の各々は、アンテナ及び高周波（ＲＦ）回路等により実装されてもよい。記憶部４３０は、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスク等により実装されてもよい。処理部４４０は、ベースバンド（ＢＢ）プロセッサ及び／又は他のプロセッサ等により実装されてもよい。情報取得部４４１、第１通信処理部４４３及び第２通信処理部４４５は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。上記メモリ（記憶部４３０）は、このようなプロセッサ（チップ）内に含まれてもよい。
【００９２】
端末装置４００は、プログラムを記憶するメモリと、当該プログラムを実行可能な１つ以上のプロセッサとを含んでもよく、当該１つ以上のプロセッサは、処理部４４０の動作（情報取得部４４１、第１通信処理部４４３及び第２通信処理部４４５の動作）を行ってもよい。上記プログラムは、処理部４４０の動作（情報取得部４４１、第１通信処理部４４３及び第２通信処理部４４５の動作）をプロセッサに実行させるためのプログラムであってもよい。
【００９３】
＜４．４．第１コアネットワークノードの構成＞
次に、図８を参照して、第１の実施形態に係る第１コアネットワークノード６００の構成の例を説明する。図８は、第１の実施形態に係る第１コアネットワークノード６００の概略的な構成の例を示すブロック図である。図８を参照すると、第１コアネットワークノード６００は、ネットワーク通信部６１０、記憶部６２０及び処理部６３０を備える。
【００９４】
（１）ネットワーク通信部６１０
ネットワーク通信部６１０は、ネットワークから信号を受信し、ネットワークへ信号を送信する。
【００９５】
（２）記憶部６２０
記憶部６２０は、第１コアネットワークノード６００の動作のためのプログラム及びパラメータ、並びに様々なデータを、一時的に又は恒久的に記憶する。
【００９６】
（３）処理部６３０
処理部６３０は、第１コアネットワークノード６００の様々な機能を提供する。処理部６３０は、情報取得部６３１及び通信処理部６３３を含む。なお、処理部６３０は、これらの構成要素以外の他の構成要素をさらに含み得る。即ち、処理部６３０は、これらの構成要素の動作以外の動作も行い得る。情報取得部６３１及び通信処理部６３３の具体的な動作は、後に詳細に説明する。
【００９７】
例えば、処理部６３０は、ネットワーク通信部６１０を介して他のノードと通信する。具体的には、例えば、処理部６３０（通信処理部６３３）は、ネットワーク通信部６１０を介して基地局１００（又は他のコアネットワークノード）と通信する。
【００９８】
（４）実装例
ネットワーク通信部６１０は、ネットワークアダプタ又はネットワークインタフェースカード等により実装されてもよい。記憶部６２０は、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスク等により実装されてもよい。処理部６３０は、プロセッサ等により実装されてもよい。情報取得部６３１及び通信処理部６３３は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。上記メモリ（記憶部６２０）は、このようなプロセッサ（チップ）内に含まれてもよい。
【００９９】
第１コアネットワークノード６００は、プログラムを記憶するメモリと、当該プログラムを実行可能な１つ以上のプロセッサとを含んでもよく、当該１つ以上のプロセッサは、処理部６３０の動作（情報取得部６３１及び通信処理部６３３の動作）を行ってもよい。上記プログラムは、処理部２３０の動作（情報取得部６３１及び通信処理部６３３の動作）をプロセッサに実行させるためのプログラムであってもよい。
【０１００】
＜４．５．技術的特徴＞
次に、図９〜図１３を参照して、第１の実施形態の技術的特徴を説明する。
【０１０１】
（１）ケイパビリティ情報の送受信
端末装置４００（情報取得部４４１）は、端末装置４００のケイパビリティに関するケイパビリティ情報を取得する。そして、端末装置４００（第１通信処理部４４３）は、上記ケイパビリティ情報を移動体通信ネットワークへ送信する。
【０１０２】
（１−１）ケイパビリティ情報
とりわけ第１の実施形態では、上記ケイパビリティ情報は、端末装置４００によりサポートされる認証方式を示す情報（以下、「認証ケイパビリティ情報」と呼ぶ）、及び／又は、端末装置４００によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報（以下、「暗号化ケイパビリティ情報」と呼ぶ）を含む。なお、上記認証方式は、相互認証方式と言われてもよい。
【０１０３】
−認証ケイパビリティ情報
例えば、上記認証ケイパビリティ情報は、上記端末装置によりサポートされるデジタル署名方式を示す情報を含む。
【０１０４】
より具体的には、例えば、上記デジタル署名方式を示す上記情報は、ＲＳＡ（Rivest  Shamir  Adleman）がサポートされているかを示す情報、及び、ＤＳＡ（Digital  Signature  Algorithm）がサポートされているかを示す情報のうちの、少なくとも一方を含む。
【０１０５】
当然ながら、上記認証ケイパビリティ情報は、他の情報を含んでもよい。具体的には、上記認証ケイパビリティ情報は、ＰＳＫがサポートされているかを示す情報を含んでもよい。
【０１０６】
−暗号化ケイパビリティ情報
例えば、上記暗号化ケイパビリティ情報は、端末装置４００によりサポートされる暗号化アルゴリズムを示す情報、及び、端末装置４００によりサポートされる鍵生成方式を示す情報のうちの、少なくとも一方を含む。
【０１０７】
例えば、上記鍵生成方式を示す上記情報は、端末装置４００によりサポートされる擬似乱数関数（Pseudo-Random  Function：ＰＲＦ）を示す情報、及び、端末装置４００によりサポートされるＤＨ（Diffie-Hellman  Group）グループを示す情報のうちの、少なくとも一方を含む。
【０１０８】
−具体例
図９は、第１の実施形態に係る認証ケイパビリティ情報及び暗号化ケイパビリティ情報の例を説明するための説明図である。図９を参照すると、相互認証（Mutual  Authentication）、暗号化アルゴリズム（Encryption  algorithm）、擬似乱数関数（Pseudo-Random  Function）及びＤＨグループという４つのパラメータが示されている。例えば、相互認証のパラメータは、ＰＳＫがサポートされているかを示す情報、ＲＳＡがサポートされているかを示す情報、及び、ＤＳＡがサポートされているかを示す情報を含む。例えば、暗号化アルゴリズムのパラメータは、ＡＥＳ−ＣＢＣ  １２８ｂｉｔがサポートされているかを示す情報、ＡＥＳ−ＣＢＣ  １９２ｂｉｔがサポートされているかを示す情報、ＡＥＳ−ＣＢＣ  ２５６ｂｉｔがサポートされているかを示す情報、ＡＥＳ−ＣＣＭ  １２８ｂｉｔがサポートされているかを示す情報、及び、３ＤＥＳ−ＣＢＣ  １６８ｂｉｔがサポートされているかを示す情報を含む。なお、擬似乱数関数のパラメータ及びＤＨグループのパラメータについても同様である。
【０１０９】
なお、上記ケイパビリティ情報は、3GPP  TS  24.301に規定される“UE  network  capability”若しくは“UE  security  capability”（若しくはその一部）であってもよく、又は、3GPP  TS  36.331に規定される“UE  Capability  Information  message”若しくはこのメッセージに含まれる情報エレメント（Information  Element：ＩＥ）であってもよい。この場合に、上記認証方式ケイパビリティ情報及び／又は上記暗号化方式ケイパビリティ情報は、これらのＩＥ又はメッセージに新たに追加される情報であってもよい。あるいは、上記認証方式ケイパビリティ情報及び／又は上記暗号化方式ケイパビリティ情報は、他のメッセージ若しくは他のＩＥに含まれる情報であってもよい。
【０１１０】
（１−２）送信先
−第１コアネットワークノード
例えば、上記移動体通信ネットワークは、第１コアネットワークノード６００（例えばＭＭＥ）を含み、端末装置４００（第１通信処理部４４３）は、上記ケイパビリティ情報を第１コアネットワークノード６００へ送信する。例えば、端末装置４００は、上記ケイパビリティ情報を含むＮＡＳ（Non-Access  Stratum）メッセージを、基地局１００経由で上記第１コアネットワークノード６００へ送信する。そして、第１コアネットワークノード６００（通信処理部６３３）は、上記ケイパビリティ情報を受信する。第１コアネットワークノード６００（記憶部６２０）は、上記ケイパビリティ情報を記憶する。あるいは、第１コアネットワークノード６００（通信処理部６３３）は、上記ケイパビリティ情報をＨＳＳ（Home  Subscriber  Server）へ送信し、当該ＨＳＳに上記ケイパビリティ情報を記憶させてもよい。
【０１１１】
さらに、例えば、第１コアネットワークノード６００（情報取得部６３１）は、自主的に、又は、基地局１００からの要求に応じて、上記ケイパビリティ情報を取得する。そして、第１コアネットワークノード６００（通信処理部６３３）は、上記ケイパビリティ情報を基地局１００へ送信する。例えば、第１コアネットワークノード６００（通信処理部６３３）は、上記ケイパビリティ情報を含むＳ１メッセージを基地局１００へ送信する。基地局１００（第２通信処理部１４５）は、上記ケイパビリティ情報を第１コアネットワークノード６００から受信する。
【０１１２】
図１０は、第１の実施形態に係る処理の概略的な流れの第１の例を説明するためのシーケンス図である。端末装置４００は、ケイパビリティ情報を含むアタッチ要求（Attach  Request）メッセージを、基地局１００経由で第１コアネットワークノード６００へ送信する（Ｓ８０１）。第１コアネットワークノード６００は、上記ケイパビリティ情報を含むイニシャルコンテキストセットアップ要求（Initial  Context  Setup  Request）メッセージを基地局１００へ送信し、基地局１００は、このメッセージを受信する（Ｓ８０３）。その後、基地局１００は、イニシャルコンテキストセットアップ応答（Initial  Context  Setup  Response）メッセージを第１コアネットワークノード６００へ送信する。とりわけ、上記ケイパビリティ情報には、新たに認証ケイパビリティ情報及び／又は暗号化ケイパビリティ情報が追加され、基地局１００は、認証ケイパビリティ情報及び／又は暗号化ケイパビリティ情報を取得できるようになる。
【０１１３】
図１１は、第１の実施形態に係る処理の概略的な流れの第２の例を説明するためのシーケンス図である。端末装置４００は、ケイパビリティ情報を含むアタッチ要求メッセージを、基地局１００経由で第１コアネットワークノード６００へ送信する（Ｓ８１１）。基地局１００は、（例えば、イニシャルコンテキストセットアップ要求メッセージの受信後に）ＵＥケイパビリティ要求（UE  Capability  Request）メッセージを第１コアネットワークノード６００へ送信する（Ｓ８１３）。そして、第１コアネットワークノード６００は、上記ケイパビリティ情報を含むＵＥケイパビリティ応答（UE  Capability  Response）メッセージを送信し、基地局１００は、このメッセージを受信する（Ｓ８１５）。例えば上述したようなＵＥケイパビリティ要求メッセージ及びＵＥケイパビリティ応答メッセージ（又は他の名称のメッセージ）が、Ｓ１メッセージとして新たに定義され、とりわけ認証ケイパビリティ情報及び／又は暗号化ケイパビリティ情報を含む。そのため、基地局１００は、認証ケイパビリティ情報及び／又は暗号化ケイパビリティ情報を取得できるようになる。
【０１１４】
なお、端末装置４００は、上記認証ケイパビリティ情報とともに、デジタル署名方式において使用される証明書を、第１コアネットワークノード６００へ送信してもよく、第１コアネットワークノード６００は、上記認証ケイパビリティ情報とともに、上記証明書を基地局１００へ送信してもよい。
【０１１５】
−基地局
上記移動体通信ネットワークは、基地局１００（例えばｅＮＢ）を含み、端末装置４００（第１通信処理部４４３）は、上記ケイパビリティ情報を基地局１００へ送信してもよい。例えば、端末装置４００は、上記ケイパビリティ情報を含むＲＲＣ（Radio  Resource  Control）メッセージを、基地局１００へ送信してもよい。そして、基地局１００（第３通信処理部１４７）は、上記ケイパビリティ情報を受信してもよい。基地局１００（記憶部１３０）は、上記ケイパビリティ情報を記憶してもよい。
【０１１６】
図１２は、第１の実施形態に係る処理の概略的な流れの第３の例を説明するためのシーケンス図である。基地局１００は、ＵＥケイパビリティ照会（UE  Capability  Enquiry）メッセージを端末装置４００へ送信する（Ｓ８２１）。そして、端末装置４００は、上記ケイパビリティ情報を含むＵＥケイパビリティ情報（UE  Capability  Information）メッセージを基地局１００へ送信し、基地局１００は、このメッセージを受信する（Ｓ８２３）。その後、基地局１００は、ＵＥケイパビリティ情報指示（UE  Capability  Info  Indication）メッセージを第１コアネットワークノード６００へ送信する（Ｓ８２５）。とりわけ、上記ＵＥケイパビリティ情報メッセージには、新たに認証ケイパビリティ情報及び／又は暗号化ケイパビリティ情報が追加され、基地局１００は、認証ケイパビリティ情報及び／又は暗号化ケイパビリティ情報を取得できるようになる。
【０１１７】
なお、端末装置４００は、上記認証ケイパビリティ情報とともに、デジタル署名方式において使用される証明書を、基地局１００へ送信してもよい。
【０１１８】
−その他
上述したように、端末装置４００が上記ケイパビリティ情報を移動体通信ネットワークへ送信する代わりに、サービスクラスごとに認証方式及び／又は暗号化方式が予め定められていてもよい。例えば、サービスクラスごとの認証方式及び／又は暗号化方式を示す情報が、（例えばＯＡＭ（Operations，  Administration，  Maintenance）情報として）基地局１００（記憶部１３０）に記憶されてもよい。基地局１００は、この情報から、端末装置４００のサービスクラスに対応する認証方式及び／又は暗号化方式を読み出してもよい。上記サービスクラスは、サービス品質情報クラス識別子（Quality  of  Service  Class  Identifier：ＱＣＩ）又はＩＰ（Internet  Protocol）フローであってもよい。
【０１１９】
以上のように、基地局１００は、上記ケイパビリティ情報（とりわけ上記認証ケイパビリティ情報及び／又は上記暗号化ケイパビリティ情報）を取得し得る。
【０１２０】
（２）認証方式／暗号化方式の選択
例えば、基地局１００（情報取得部１４１）は、上記ケイパビリティ情報を取得する。そして、基地局１００（制御部１４９）は、上記ケイパビリティ情報に基づいて、端末装置４００とセキュリティゲートウェイ２００との間の通信のために使用される認証方式及び／又は暗号化方式を選択する。
【０１２１】
−認証方式
例えば、上記認証方式は、デジタル署名方式である。より具体的には、例えば、上記認証方式は、ＲＳＡ又はＤＳＡである。
【０１２２】
当然ながら、上記認証方式は、他の方式であってもよい。例えば、上記認証方式は、ＰＳＫであってもよい。
【０１２３】
一例として、基地局１００（制御部１４９）は、ＰＳＫ、ＲＳＡ及びＤＳＡのうちの１つを選択する。
【０１２４】
−暗号化方式
例えば、上記暗号化方式は、ＩＰｓｅｃ用の暗号化方式である。換言すると、上記暗号化方式は、端末装置４００とセキュリティゲートウェイ２００との間のＩＰｓｅｃトンネルのための暗号化方式である。
【０１２５】
より具体的には、例えば、上記暗号化方式は、暗号化アルゴリズム及び鍵生成方式のうちの少なくとも一方を含む。さらに、例えば、当該鍵生成方式は、擬似乱数関数（ＰＲＦ）及びＤＨグループのうちの少なくとも一方を含む。
【０１２６】
一例として、上記暗号化方式は、暗号化アルゴリズム、擬似乱数関数（ＰＲＦ）及びＤＨグループを含む。即ち、基地局１００（制御部１４９）は、端末装置４００とセキュリティゲートウェイ２００との間の通信のために使用される暗号化アルゴリズム、擬似乱数関数（ＰＲＦ）及びＤＨグループを選択する。より具体的には、例えば、基地局１００（制御部１４９）は、端末装置４００とセキュリティゲートウェイ２００との間のＩＰｓｅｃトンネルのための暗号化アルゴリズム、擬似乱数関数（ＰＲＦ）及びＤＨグループを選択する。
【０１２７】
−サービスクラス単位／ユーザ単位
例えば、上記認証方式及び／又は上記暗号化方式は、サービスクラス単位での方式である。即ち、基地局１００（制御部１４９）は、サービスクラスごとに、上記認証方式及び／または上記暗号化方式を選択する。
【０１２８】
例えば、上記サービスクラスは、ＱＣＩであり、基地局１００（制御部１４９）は、ＱＣＩごとに（ベアラごとに）、上記認証方式及び／または上記暗号化方式を選択する。あるいは、上記サービスクラスは、ＩＰフローであってもよく、基地局１００（制御部１４９）は、ＩＰフローごとに、上記認証方式及び／または上記暗号化方式を選択してもよい。
【０１２９】
これにより、例えば、サービスクラスごとに異なる認証方式及び／又は暗号化方式を適用することが可能になる。セキュリティ確保がさらに柔軟になり得る。
【０１３０】
なお、当然ながら、第１の実施形態はこの例に限定されない。例えば、上記認証方式及び／又は上記暗号化方式は、ユーザ単位（端末装置単位）での方式であってもよい。即ち、基地局１００（制御部１４９）は、ユーザ（端末装置）ごとに、上記認証方式及び／または上記暗号化方式を選択してもよい。
【０１３１】
−選択手法の例
例えば、基地局１００（制御部１４９）は、端末装置４００及びセキュリティゲートウェイ２００の両方によりサポートされる認証方式及び／又は暗号化方式を選択する。
【０１３２】
さらに、基地局１００（制御部１４９）は、端末装置４００のサービスクラスに基づいて、認証方式及び／又は暗号化方式を選択してもよい。具体的には、端末装置４００のサービスクラスがより高いレベルのセキュリティを求める場合に、基地局１００（制御部１４９）は、よりセキュアな認証方式及び／又は暗号化方式を選択してもよい。
【０１３３】
あるいは、基地局１００（制御部１４９）は、端末装置４００及びセキュリティゲートウェイ２００の両方によりサポートされる認証方式及び／又は暗号化方式のうちの最もセキュアなものを選択してもよい。
【０１３４】
例えば以上のように、基地局１００（制御部１４９）は、上記認証方式及び／又は上記暗号化方式を選択する。なお、基地局１００（制御部１４９）は、上記認証方式及び／又は上記暗号化方式を示す方式情報を生成する。
【０１３５】
（３）方式情報の送受信
基地局１００（情報取得部１４１）は、上記認証方式及び／又は上記暗号化方式（即ち、選択された認証方式及び／又は暗号化方式）を示す上記方式情報を取得する。そして、基地局１００（第１通信処理部１４３）は、上記方式情報をセキュリティゲートウェイ２００へ送信する。セキュリティゲートウェイ２００（第１通信処理部２３１）は、上記方式情報を基地局１００から受信する。例えば、上記方式情報の送受信には、基地局１００とセキュリティゲートウェイ２００との間の新たに定義されるインタフェースが用いられる。
【０１３６】
これにより、例えば、セキュリティゲートウェイ２００は、基地局１００により選択された認証方式及び／又は暗号化方式を使用することが可能になる。
【０１３７】
さらに、例えば、基地局１００（第３通信処理部１４７）は、上記方式情報を端末装置４００へ送信する。端末装置４００（第１通信処理部４４３）は、上記方式情報を基地局１００から受信する。
【０１３８】
これにより、例えば、端末装置４００も、基地局１００により選択された認証方式及び／又は暗号化方式を使用することが可能になる。
【０１３９】
例えば、基地局１００は、サービスクラスごとに、上記方式情報をセキュリティゲートウェイ２００及び端末装置４００へ送信する。
【０１４０】
なお、上記認証方式が、上記デジタル署名方式（例えば、ＲＳＡ又はＤＳＡ）である場合に、基地局１００（情報取得部１４１）は、上記デジタル署名方式において使用される証明書を取得してもよい。そして、基地局１００（第１通信処理部１４３）は、上記証明書をセキュリティゲートウェイ２００へ送信してもよい。セキュリティゲートウェイ２００（第１通信処理部２３１）は、当該証明書を受信してもよい。
【０１４１】
（４）方式情報に基づく動作
セキュリティゲートウェイ２００（第２通信処理部２３３）は、上記方式情報に基づいて、ＷＬＡＮ（ＷＬＡＮ−ＡＰ３００）経由での端末装置４００との通信のための相互認証及び／又は暗号化を行う。例えば、セキュリティゲートウェイ２００（第２通信処理部２３３）は、上記方式情報により示される認証方式に従って、端末装置４００との相互認証を行う。例えば、セキュリティゲートウェイ２００（第２通信処理部２３３）は、上記方式情報により示される鍵生成方式に従って暗号鍵を生成し、上記方式情報により示される暗号化アルゴリズムに従って暗号化を行う。
【０１４２】
端末装置４００（第２通信処理部４４５）は、上記方式情報に基づいて、ＷＬＡＮ（ＷＬＡＮ−ＡＰ３００）経由でのセキュリティゲートウェイ２００との通信のための認証又は暗号化を行う。端末装置４００の具体的な動作は、上述したセキュリティゲートウェイ２００の具体的な動作と同様である。
【０１４３】
なお、基地局１００がセキュリティゲートウェイ２００にＩＰｓｅｃトンネルの解放及び再設定を要求する場合がある。この場合に、セキュリティゲートウェイ２００によって解放されたＩＰｓｅｃトンネルを再設定する際に、又は、新しいＩＰｓｅｃトンネルの設定を行う際に、端末装置４００は、基地局１００により選択された認証方式及び／又は暗号化方式を使用してもよい。
【０１４４】
−処理の流れ（方式の選択から方式情報に基づく動作まで）
図１３は、第１の実施形態に係る処理の概略的な流れの第４の例を説明するためのシーケンス図である。
【０１４５】
基地局１００は、ケイパビリティ情報に基づいて、端末装置４００とセキュリティゲートウェイ２００との間の通信のために使用される認証方式及び／又は暗号化方式を選択する（Ｓ８３１）。
【０１４６】
基地局１００は、上記認証方式及び／又は上記暗号化方式を示す方式情報を含むセキュリティコンフィギュレーション要求（Security  Configuration  Request）メッセージをセキュリティゲートウェイ２００へ送信する（Ｓ８３３）。セキュリティゲートウェイ２００は、このメッセージを受信し（Ｓ８３３）、応答メッセージを基地局１００へ送信する（Ｓ８３５）。
【０１４７】
さらに、基地局１００は、上記方式情報を含むセキュリティコンフィギュレーション要求メッセージを端末装置４００へ送信する（Ｓ８３７）。端末装置４００は、このメッセージを受信し（Ｓ８３７）、応答メッセージを基地局１００へ送信する（Ｓ８３９）。
【０１４８】
その後、セキュリティゲートウェイ２００及び端末装置４００は、上記方式情報に基づいて、ＷＬＡＮ経由で互いに通信するための相互認証及び／又は暗号化を行う（Ｓ８４１、Ｓ８４３）。より具体的には、例えば、セキュリティゲートウェイ２００及び端末装置４００は、上記方式情報に基づいて、セキュリティゲートウェイ２００と端末装置４００との間のＩＰｓｅｃトンネルのための相互認証及び／又は暗号化を行う。
【０１４９】
以上、第１の実施形態を説明した。第１の実施形態によれば、端末装置４００が、認証ケイパビリティ情報及び／又は暗号化ケイパビリティ情報をネットワークへ送信し、基地局１００が、このような情報に基づいて、認証方式及び／又は暗号化方式を選択し、セキュリティゲートウェイが、当該認証方式及び／又は当該暗号化方式を使用する。これにより、例えば、ＷＬＡＮ経由での通信のセキュリティ確保をより柔軟にすることが可能になる。その結果、セキュリティが向上し得る。
【０１５０】
＜＜５．第２の実施形態＞＞
続いて、図１４〜図１７を参照して、本発明の第２の実施形態を説明する。上述した第１の実施形態は、具体的な実施形態であるが、第２の実施形態は、より一般化された実施形態である。
【０１５１】
＜５．１．基地局の構成＞
まず、図１４を参照して、第２の実施形態に係る基地局１００の構成の例を説明する。図１４は、第２の実施形態に係る基地局１００の概略的な構成の例を示すブロック図である。図１４を参照すると、基地局１００は、情報取得部１５１及び第１通信処理部１５３を備える。
【０１５２】
情報取得部１５１及び第１通信処理部１５３の具体的な動作は、後に説明する。
【０１５３】
情報取得部１５１及び第１通信処理部１５３は、ベースバンド（ＢＢ）プロセッサ及び／又は他のプロセッサ等により実装されてもよい。情報取得部１５１及び第１通信処理部１５３は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。
【０１５４】
基地局１００は、プログラムを記憶するメモリと、当該プログラムを実行可能な１つ以上のプロセッサとを含んでもよく、当該１つ以上のプロセッサは、情報取得部１５１及び第１通信処理部１５３の動作を行ってもよい。上記プログラムは、情報取得部１５１及び第１通信処理部１５３の動作をプロセッサに実行させるためのプログラムであってもよい。
【０１５５】
＜５．２．セキュリティゲートウェイの構成＞
まず、図１５を参照して、第２の実施形態に係るセキュリティゲートウェイ２００の構成の例を説明する。図１５は、第２の実施形態に係るセキュリティゲートウェイ２００の概略的な構成の例を示すブロック図である。図１５を参照すると、セキュリティゲートウェイ２００は、第１通信処理部２４１及び第２通信処理部２４３を備える。
【０１５６】
第１通信処理部２４１及び第２通信処理部２４３の具体的な動作は、後に説明する。
【０１５７】
第１通信処理部２４１及び第２通信処理部２４３は、プロセッサ等により実装されてもよい。第１通信処理部２４１及び第２通信処理部２４３は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。
【０１５８】
セキュリティゲートウェイ２００は、プログラムを記憶するメモリと、当該プログラムを実行可能な１つ以上のプロセッサとを含んでもよく、当該１つ以上のプロセッサは、第１通信処理部２４１及び第２通信処理部２４３の動作を行ってもよい。上記プログラムは、第１通信処理部２４１及び第２通信処理部２４３の動作をプロセッサに実行させるためのプログラムであってもよい。
【０１５９】
＜５．３．端末装置の構成＞
まず、図１６を参照して、第２の実施形態に係る端末装置４００の構成の例を説明する。図１６は、第２の実施形態に係る端末装置４００の概略的な構成の例を示すブロック図である。図１６を参照すると、端末装置４００は、情報取得部４５１及び第１通信処理部４５３を備える。
【０１６０】
情報取得部４５１及び第１通信処理部４５３の具体的な動作は、後に説明する。
【０１６１】
情報取得部４５１及び第１通信処理部４５３は、ベースバンド（ＢＢ）プロセッサ及び／又は他のプロセッサ等により実装されてもよい。情報取得部４５１及び第１通信処理部４５３は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。
【０１６２】
端末装置４００は、プログラムを記憶するメモリと、当該プログラムを実行可能な１つ以上のプロセッサとを含んでもよく、当該１つ以上のプロセッサは、情報取得部４５１及び第１通信処理部４５３の動作を行ってもよい。上記プログラムは、情報取得部４５１及び第１通信処理部４５３の動作をプロセッサに実行させるためのプログラムであってもよい。
【０１６３】
＜５．４．第１コアネットワークノードの構成＞
まず、図１７を参照して、第２の実施形態に係る第１コアネットワークノード６００の構成の例を説明する。図１７は、第２の実施形態に係る第１コアネットワークノード６００の概略的な構成の例を示すブロック図である。図１７を参照すると、第１コアネットワークノード６００は、情報取得部６４１及び通信処理部６４３を備える。
【０１６４】
情報取得部６４１及び通信処理部６４３の具体的な動作は、後に説明する。
【０１６５】
情報取得部６４１及び通信処理部６４３は、プロセッサ等により実装されてもよい。情報取得部６４１及び通信処理部６４３は、同一のプロセッサにより実装されてもよく、別々に異なるプロセッサにより実装されてもよい。
【０１６６】
第１コアネットワークノード６００は、プログラムを記憶するメモリと、当該プログラムを実行可能な１つ以上のプロセッサとを含んでもよく、当該１つ以上のプロセッサは、情報取得部６４１及び通信処理部６４３の動作を行ってもよい。上記プログラムは、情報取得部６４１及び通信処理部６４３の動作をプロセッサに実行させるためのプログラムであってもよい。
【０１６７】
＜５．５．技術的特徴＞
次に、第２の実施形態の技術的特徴を説明する。
【０１６８】
端末装置４００（情報取得部４５１）は、端末装置４００のケイパビリティに関するケイパビリティ情報を取得する。そして、端末装置４００（第１通信処理部４５３）は、上記ケイパビリティ情報を移動体通信ネットワークへ送信する。
【０１６９】
例えば、第１コアネットワークノード６００（情報取得部６４１）は、上記ケイパビリティ情報を取得する。そして、第１コアネットワークノード６００（通信処理部６４３）は、上記ケイパビリティ情報を基地局１００へ送信する。
【０１７０】
基地局１００（情報取得部１５１）は、端末装置４００とセキュリティゲートウェイ２００との間の通信のために使用される認証方式及び／又は暗号化方式を示す方式情報を取得する。そして、基地局１００（第１通信処理部１５３）は、上記方式情報をセキュリティゲートウェイ２００へ送信する。セキュリティゲートウェイ２００（第１通信処理部２４１）は、上記方式情報を基地局１００から受信する。
【０１７１】
セキュリティゲートウェイ２００（第２通信処理部２４３）は、上記方式情報に基づいて、ＷＬＡＮ（ＷＬＡＮ−ＡＰ３００）経由での端末装置４００との通信のための相互認証及び／又は暗号化を行う。
【０１７２】
上述した動作に関連する具体的な説明は、例えば、一部の符号の相違を除き、第１の実施形態におけるこれらについての説明と同じである。よって、ここでは重複する説明を省略する。
【０１７３】
以上、第２の実施形態を説明した。第２の実施形態によれば、例えば、ＷＬＡＮ経由での通信のセキュリティ確保をより柔軟にすることが可能になる。その結果、セキュリティが向上し得る。
【０１７４】
以上、本発明の実施形態を説明したが、本発明はこれらの実施形態に限定されるものではない。これらの実施形態は例示にすぎないということ、及び、本発明のスコープ及び精神から逸脱することなく様々な変形が可能であるということは、当業者に理解されるであろう。
【０１７５】
例えば、本明細書に記載されている処理におけるステップは、必ずしもシーケンス図に記載された順序に沿って時系列に実行されなくてよい。例えば、処理におけるステップは、シーケンス図として記載した順序と異なる順序で実行されても、並列的に実行されてもよい。また、処理におけるステップの一部が削除されてもよく、さらなるステップが処理に追加されてもよい。
【０１７６】
また、本明細書において説明した基地局の構成要素（例えば、情報取得部、第１通信処理部、第２通信処理部、第３通信処理部及び／又は制御部）を備える装置（例えば、基地局を構成する複数の装置（又はユニット）のうちの１つ以上の装置（又はユニット）、又は上記複数の装置（又はユニット）のうちの１つのためのモジュール）が提供されてもよい。本明細書において説明したセキュリティゲートウェイの構成要素（例えば、第１通信処理部及び／又は第２通信処理部）を備える装置（例えば、セキュリティゲートウェイのためのモジュール）が提供されてもよい。本明細書において説明した端末装置の構成要素（例えば、情報取得部、第１通信処理部及び／又は第２通信処理部）を備える装置（例えば、端末装置のためのモジュール）が提供されてもよい。本明細書において説明したコアネットワークノードの構成要素（例えば、情報取得部及び／又は通信処理部）を備える装置（例えば、コアネットワークノードのためのモジュール）が提供されてもよい。また、上記構成要素の処理を含む方法が提供されてもよく、上記構成要素の処理をプロセッサに実行させるためのプログラムが提供されてもよい。また、当該プログラムを記録したコンピュータに読み取り可能な非一時的記録媒体（Non-transitory  computer  readable  medium）が提供されてもよい。当然ながら、このような装置、モジュール、方法、プログラム、及びコンピュータに読み取り可能な非一時的記録媒体も本発明に含まれる。
【０１７７】
上記実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
【０１７８】
（付記１）
端末装置であって、
前記端末装置のケイパビリティに関するケイパビリティ情報を取得する情報取得部と、
前記ケイパビリティ情報を移動体通信ネットワークへ送信する第１通信処理部と、
を備え、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ（Security  Architecture  for  Internet  Protocol）用の暗号化方式を示す情報を含む、
端末装置。
【０１７９】
（付記２）
前記認証方式を示す前記情報は、前記端末装置によりサポートされるデジタル署名方式を示す情報を含む、付記１に記載の端末装置。
【０１８０】
（付記３）
前記デジタル署名方式を示す前記情報は、ＲＳＡ（Rivest  Shamir  Adleman）がサポートされているかを示す情報、及び、ＤＳＡ（Digital  Signature  Algorithm）がサポートされているかを示す情報のうちの、少なくとも一方を含む、付記２に記載の端末装置。
【０１８１】
（付記４）
前記暗号化方式を示す前記情報は、前記端末装置によりサポートされる暗号化アルゴリズムを示す情報、及び、前記端末装置によりサポートされる鍵生成方式を示す情報のうちの、少なくとも一方を含む、付記１〜３のいずれか１項に記載の端末装置。
【０１８２】
（付記５）
前記鍵生成方式を示す前記情報は、前記端末装置によりサポートされる擬似乱数関数を示す情報、及び、前記端末装置によりサポートされるＤＨ（Diffie-Hellman  Group）グループを示す情報のうちの、少なくとも一方を含む、付記４に記載の端末装置。
【０１８３】
（付記６）
前記移動体通信ネットワークは、コアネットワークノードを含み、
前記第１通信処理部は、前記ケイパビリティ情報をコアネットワークノードへ送信する、
付記１〜５のいずれか１項に記載の端末装置。
【０１８４】
（付記７）
前記移動体通信ネットワークは、基地局を含み、
前記第１通信処理部は、前記ケイパビリティ情報を基地局へ送信する、
付記１〜６のいずれか１項に記載の端末装置。
【０１８５】
（付記８）
前記移動体通信ネットワークは、基地局を含み、
前記第１通信処理部は、無線ローカルエリアネットワーク経由での前記端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を前記基地局から受信し、
前記端末装置は、前記方式情報に基づいて、前記無線ローカルエリアネットワーク経由での前記セキュリティゲートウェイとの通信のための認証又は暗号化を行う第２通信処理部、をさらに備える、
付記１〜７のいずれか１項に記載の端末装置。
【０１８６】
（付記９）
端末装置のケイパビリティに関するケイパビリティ情報を取得する情報取得部と、
前記ケイパビリティ情報を基地局へ送信する通信処理部と、
を備え、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む、
コアネットワークノード。
【０１８７】
（付記１０）
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得する情報取得部と、
前記方式情報を前記セキュリティゲートウェイへ送信する第１通信処理部と、
を備える基地局。
【０１８８】
（付記１１）
前記認証方式は、デジタル署名方式である、付記１０に記載の基地局。
【０１８９】
（付記１２）
前記情報取得部は、前記デジタル署名方式において使用される証明書を取得し、
前記第１通信処理部は、前記証明書を前記セキュリティゲートウェイへ送信する、
付記１１に記載の基地局。
【０１９０】
（付記１３）
前記暗号化方式は、ＩＰｓｅｃ用の暗号化方式である、付記１０〜１２のいずれか１項に記載の基地局。
【０１９１】
（付記１４）
前記暗号化方式は、暗号化アルゴリズム及び鍵生成方式のうちの少なくとも一方を含む、付記１０〜１３のいずれか１項に記載の基地局。
【０１９２】
（付記１５）
前記鍵生成方式は、擬似乱数関数及びＤＨ（Diffie-Hellman  Group）グループのうちの少なくとも一方を含む、付記１４に記載の基地局。
【０１９３】
（付記１６）
前記情報取得部は、前記端末装置のケイパビリティに関するケイパビリティ情報を取得し、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式又は暗号化方式を示す情報を含み、
前記基地局は、前記ケイパビリティ情報に基づいて、前記端末装置と前記セキュリティゲートウェイとの間の前記通信のために使用される前記認証方式又は前記暗号化方式を選択する制御部、をさらに備える、
付記１０〜１５のいずれか１項に記載の基地局。
【０１９４】
（付記１７）
前記ケイパビリティ情報をコアネットワークノードから受信する第２通信処理部をさらに備える、付記１６に記載の基地局。
【０１９５】
（付記１８）
前記ケイパビリティ情報を前記端末装置から受信する第３通信処理部をさらに備える、付記１６に記載の基地局。
【０１９６】
（付記１９）
前記認証方式又は前記暗号化方式は、サービスクラス単位での方式である、付記１０〜１８のいずれか１項に記載の基地局。
【０１９７】
（付記２０）
前記サービスクラスは、サービス品質情報クラス識別子（Quality  of  Service  Class  Identifier：ＱＣＩ）又はＩＰ（Internet  Protocol）フローである、付記１９に記載の基地局。
【０１９８】
（付記２１）
前記方式情報を前記端末装置へ送信する第３通信処理部をさらに備える、付記１０〜２０のいずれか１項に記載の基地局。
【０１９９】
（付記２２）
前記基地局は、ｅＮＢ（evolved  Node  B）であり、
前記端末装置は、ＵＥ（User  Equipment）であり、
前記セキュリティゲートウェイは、ＬＷＩＰ−ＳｅＧＷ（LTE  WLAN  RAN  Level  Integration  using  IPSec  Security  Gateway）である、
付記１０〜２１のいずれか１項に記載の基地局。
【０２００】
（付記２３）
セキュリティゲートウェイであって、
無線ローカルエリアネットワーク経由での端末装置と前記セキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信する第１通信処理部と、
前記方式情報に基づいて、前記無線ローカルエリアネットワーク経由での前記端末装置との通信のための認証又は暗号化を行う第２通信処理部と、
を備えるセキュリティゲートウェイ。
【０２０１】
（付記２４）
端末装置のケイパビリティに関するケイパビリティ情報を取得することと、
前記ケイパビリティ情報を移動体通信ネットワークへ送信することと、
を含み、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む、
方法。
【０２０２】
（付記２５）
端末装置のケイパビリティに関するケイパビリティ情報を取得することと、
前記ケイパビリティ情報を移動体通信ネットワークへ送信することと、
としてプロセッサを機能させるためのプログラムであり、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む、
プログラム。
【０２０３】
（付記２６）
端末装置のケイパビリティに関するケイパビリティ情報を取得することと、
前記ケイパビリティ情報を移動体通信ネットワークへ送信することと、
をプロセッサに実行させるためのプログラムを記録したコンピュータに読み取り可能な非一時的記録媒体であり、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む、
コンピュータに読み取り可能な非一時的記録媒体。
【０２０４】
（付記２７）
端末装置のケイパビリティに関するケイパビリティ情報を取得する情報取得部と、
前記ケイパビリティ情報を移動体通信ネットワークへ送信する第１通信処理部と、
を備え、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ（Security  Architecture  for  Internet  Protocol）用の暗号化方式を示す情報を含む、
装置。
【０２０５】
（付記２８）
プログラムを記憶するメモリと、
前記プログラムを実行可能な１つ以上のプロセッサと、
を備え、
前記プログラムは、
端末装置のケイパビリティに関するケイパビリティ情報を取得することと、
前記ケイパビリティ情報を移動体通信ネットワークへ送信することと、
をプロセッサに実行させるためのプログラムであり、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む、
装置。
【０２０６】
（付記２９）
メモリと、
１つ以上のプロセッサと、
を備え、
前記１つ以上のプロセッサは、
端末装置のケイパビリティに関するケイパビリティ情報を取得し、
前記ケイパビリティ情報を移動体通信ネットワークへ送信し、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む、
装置。
【０２０７】
（付記３０）
前記装置は、前記端末装置、又は前記端末装置のためのモジュールである、付記２７〜２９のいずれか１項に記載の装置。
【０２０８】
（付記３１）
端末装置のケイパビリティに関するケイパビリティ情報を取得することと、
前記ケイパビリティ情報を基地局へ送信することと、
を含み、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む、
方法。
【０２０９】
（付記３２）
端末装置のケイパビリティに関するケイパビリティ情報を取得することと、
前記ケイパビリティ情報を基地局へ送信することと、
としてプロセッサを機能させるためのプログラムであり、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む、
プログラム。
【０２１０】
（付記３３）
端末装置のケイパビリティに関するケイパビリティ情報を取得することと、
前記ケイパビリティ情報を基地局へ送信することと、
をプロセッサに実行させるためのプログラムを記録したコンピュータに読み取り可能な非一時的記録媒体であり、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む、
コンピュータに読み取り可能な非一時的記録媒体。
【０２１１】
（付記３４）
端末装置のケイパビリティに関するケイパビリティ情報を取得する情報取得部と、
前記ケイパビリティ情報を基地局へ送信する通信処理部と、
を備え、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む、
装置。
【０２１２】
（付記３５）
プログラムを記憶するメモリと、
前記プログラムを実行可能な１つ以上のプロセッサと、
を備え、
前記プログラムは、
端末装置のケイパビリティに関するケイパビリティ情報を取得することと、
前記ケイパビリティ情報を基地局へ送信することと、
をプロセッサに実行させるためのプログラムであり、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む、
装置。
【０２１３】
（付記３６）
メモリと、
１つ以上のプロセッサと、
を備え、
前記１つ以上のプロセッサは、
端末装置のケイパビリティに関するケイパビリティ情報を取得し、
前記ケイパビリティ情報を基地局へ送信し、
前記ケイパビリティ情報は、前記端末装置によりサポートされる認証方式を示す情報、又は、前記端末装置によりサポートされるＩＰｓｅｃ用の暗号化方式を示す情報を含む、
装置。
【０２１４】
（付記３７）
前記装置は、コアネットワークノード、又はコアネットワークノードのためのモジュールである、付記３４〜３６のいずれか１項に記載の装置。
【０２１５】
（付記３８）
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得することと、
前記方式情報を前記セキュリティゲートウェイへ送信することと、
を含む方法。
【０２１６】
（付記３９）
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得することと、
前記方式情報を前記セキュリティゲートウェイへ送信することと、
をプロセッサに実行させるためのプログラム。
【０２１７】
（付記４０）
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得することと、
前記方式情報を前記セキュリティゲートウェイへ送信することと、
をプロセッサに実行させるためのプログラムを記録したコンピュータに読み取り可能な非一時的記録媒体。
【０２１８】
（付記４１）
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得する情報取得部と、
前記方式情報を前記セキュリティゲートウェイへ送信する第１通信処理部と、
を備える装置。
【０２１９】
（付記４２）
プログラムを記憶するメモリと、
前記プログラムを実行可能な１つ以上のプロセッサと、
を備え、
前記プログラムは、
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得することと、
前記方式情報を前記セキュリティゲートウェイへ送信することと、
をプロセッサに実行させるためのプログラムである、
装置。
【０２２０】
（付記４３）
メモリと、
１つ以上のプロセッサと、
を備え、
前記１つ以上のプロセッサは、
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を取得し、
前記方式情報を前記セキュリティゲートウェイへ送信する、
装置。
【０２２１】
（付記４４）
前記装置は、基地局、基地局を構成する複数の装置のうちの１つ以上の装置、又は当該複数の装置のうちの１つのためのモジュールである、付記４１〜４３のいずれか１項に記載の装置。
【０２２２】
（付記４５）
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信することと、
前記方式情報に基づいて、前記無線ローカルエリアネットワーク経由での前記端末装置との通信のための認証又は暗号化を行うことと、
を含む方法。
【０２２３】
（付記４６）
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信することと、
前記方式情報に基づいて、前記無線ローカルエリアネットワーク経由での前記端末装置との通信のための認証又は暗号化を行うことと、
をプロセッサに実行させるためのプログラム。
【０２２４】
（付記４７）
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信することと、
前記方式情報に基づいて、前記無線ローカルエリアネットワーク経由での前記端末装置との通信のための認証又は暗号化を行うことと、
をプロセッサに実行させるためのプログラムを記録したコンピュータに読み取り可能な非一時的記録媒体。
【０２２５】
（付記４８）
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信する第１通信処理部と、
前記方式情報に基づいて、前記無線ローカルエリアネットワーク経由での前記端末装置との通信のための認証又は暗号化を行う第２通信処理部と、
を備える装置。
【０２２６】
（付記４９）
プログラムを記憶するメモリと、
前記プログラムを実行可能な１つ以上のプロセッサと、
を備え、
前記プログラムは、
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信することと、
前記方式情報に基づいて、前記無線ローカルエリアネットワーク経由での前記端末装置との通信のための認証又は暗号化を行うことと、
をプロセッサに実行させるためのプログラムである、
装置。
【０２２７】
（付記５０）
メモリと、
１つ以上のプロセッサと、
を備え、
前記１つ以上のプロセッサは、
無線ローカルエリアネットワーク経由での端末装置とセキュリティゲートウェイとの間の通信のために使用される認証方式又は暗号化方式を示す方式情報を基地局から受信し、
前記方式情報に基づいて、前記無線ローカルエリアネットワーク経由での前記端末装置との通信のための認証又は暗号化を行う、
装置。
【０２２８】
（付記５１）
前記装置は、前記セキュリティゲートウェイ、又は前記セキュリティゲートウェイのためのモジュールである、付記４８〜５０のいずれか１項に記載の装置。
【０２２９】
この出願は、２０１６年１１月２日に出願された日本出願特願２０１６−２１５２２０を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【産業上の利用可能性】
【０２３０】
移動体通信システムにおいて、ＷＬＡＮ経由での通信のセキュリティ確保をより柔軟にすることが可能になる。
【符号の説明】
【０２３１】
１              システム
１００          基地局
１４１、１５１  情報取得部
１４３、１５３  第１通信処理部
１４５          第２通信処理部
１４７          第３通信処理部
１４９          制御部
２００          セキュリティゲートウェイ
２３１、２４１  第１通信処理部
２３３、２４３  第２通信処理部
３００          ＷＬＡＮ−ＡＰ（Wireless  Local  Area  Network  Access  Point）
４００          端末装置
４４１、４５１  情報取得部
４４３、４５３  第１通信処理部
４４５          第２通信処理部
５００          コアネットワーク
６００          第１コアネットワークノード
６３１、６４１  情報取得部
６３３、６４３  通信処理部
７００          第２コアネットワークノード
【図１】
2020096386.tif 000003
【図２】
2020096386.tif 000004
【図３】
2020096386.tif 000005
【図４】
2020096386.tif 000006
【図５】
2020096386.tif 000007
【図６】
2020096386.tif 000008
【図７】
2020096386.tif 000009
【図８】
2020096386.tif 000010
【図９】
2020096386.tif 000011
【図１０】
2020096386.tif 000012
【図１１】
2020096386.tif 000013
【図１２】
2020096386.tif 000014
【図１３】
2020096386.tif 000015
【図１４】
2020096386.tif 000016
【図１５】
2020096386.tif 000017
【図１６】
2020096386.tif 000018
【図１７】
2020096386.tif 000019