(57)【要約】      （修正有）【課題】あるネットワークの認証モジュールに対して、あるモバイル機器を認証する方法を提供する。【解決手段】方法は、モバイル機器にチャレンジを転送するステップと、前記モバイル機器が認証されるべき相手先のネットワークが、より高度化されたネットワークである場合には、前記チャレンジに不可逆関数を適用して、変更されたチャレンジを得て、前記変更されたチャレンジに基づいて前記モバイル機器が鍵の導出を行い、前記モバイル機器が認証されるべき相手先の前記ネットワークが、高度化されていないネットワークである場合には、前記変更されていないチャレンジに基づいて前記モバイル機器が鍵の導出を行うステップと、前記鍵の導出の結果を使用して、前記モバイル機器から前記認証モジュールに対して認証プロトコルを実行するステップと、返された前記認証プロトコルの結果を検証することにより前記モバイル機器を認証するステップとを含む。【選択図】図６
2010288271.tif 000002
【特許請求の範囲】
【請求項１】
あるネットワークの認証モジュールに対してあるモバイル機器を認証する方法であって、前記認証モジュールは、チャレンジと、ある不可逆関数又は鍵導出関数を使用して前記チャレンジに基づいて計算された鍵とを保持するものであり、前記鍵は、前記ネットワークがより高度化されたネットワークである場合には、前記チャレンジが変更された後で前記チャレンジに基づいて計算され、前記ネットワークが高度化されていないネットワークである場合には、変更されていない前記チャレンジに基づいて計算されるものであり、
前記モバイル機器に前記チャレンジを転送するステップと、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、より高度化されたネットワークである場合には、前記チャレンジに不可逆関数を適用して、変更されたチャレンジを得て、前記変更されたチャレンジに基づいて前記モバイル機器が鍵の導出を行い、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、高度化されていないネットワークである場合には、前記変更されていないチャレンジに基づいて前記モバイル機器が鍵の導出を行うステップと、
前記鍵の導出の結果を使用して、前記モバイル機器から前記認証モジュールに対して認証プロトコルを実行するステップと、
返された前記認証プロトコルの結果を検証することにより前記モバイル機器を認証するステップと
を含む方法。
【請求項２】
前記モバイル機器が認証されるべき相手先の前記ネットワークが、より高度化されたネットワークである場合には、計算されるべき前記鍵は、前記ネットワークの特性に対応するパラメータに基づいてさらに計算された鍵によって、前記ネットワークの前記特性にバインドされ、
前記ネットワークが、高度化されていないネットワークである場合には、前記鍵は、前記パラメータに基づいて計算されないようになっており、
前記パラメータは、
前記ネットワークの識別子と、
前記ネットワークの種類を反映するパラメータと
の１つ以上を含むものである、請求項１に記載の方法。
【請求項３】
前記チャレンジに基づき、さらに前記ネットワークの識別子に基づくものである前記計算される鍵は、前記変更されたチャレンジと前記ネットワークの識別子との組み合わせに対して不可逆関数を適用することに基づいて得られるものである、請求項１又は２に記載の方法。
【請求項４】
前記変更されたチャレンジは、前記チャレンジに第１の不可逆関数を適用することによって得られるものであり、
前記ネットワークが、より高度化されたものであるか又は高度化されていないものであるかに応じて、前記変更されていないチャレンジ又は前記変更されたチャレンジに基づいて計算される前記鍵は、前記変更されたチャレンジ又は前記変更されたチャレンジから導出される値と前記パラメータとの組み合わせに対して第２の不可逆関数を適用することに基づいて計算されるものである、請求項１ないし３のいずれか一項に記載の方法。
【請求項５】
前記変更されたチャレンジから導出される値は、前記ネットワークがより高度化されたネットワークであるか又は高度化されていないネットワークであるかに応じて、前記変更されたチャレンジ又は前記変更されていないチャレンジに対して第３の不可逆関数を適用することによって得られるものである、請求項４に記載の方法。
【請求項６】
前記計算される鍵は、Ｃ’＝ＫＤＦ’（Ｃ）とするＫＮＩＤ＝ＫＤＦＮＩＤ（（ＫＤＦ（Ｃ’），ＮＩＤ））に基づいて計算される鍵であり、
Ｃは、前記チャレンジであり、
Ｃ’は、前記変更されたチャレンジであり、
ＮＩＤは、前記パラメータであり、
ＫＤＦ’は、第１の不可逆関数であり、
ＫＤＦＮＩＤは、第２の不可逆関数であり、
ＫＤＦは、第３の不可逆関数である、
請求項１ないし５のいずれか一項に記載の方法。
【請求項７】
前記不可逆関数は、ハッシュ関数又は鍵導出関数であり、
前記第１、第２及び第３の不可逆関数は、全てが異なっているか、全てが同一であるか、前記第１、第２及び第３の不可逆関数のうちの２つが同一であり且つ１つが異なっているかのいずれかである、請求項１ないし６のいずれか一項に記載の方法。
【請求項８】
不可逆関数を適用することによって得られる前記変更されたチャレンジは、前記変更されていないチャレンジと前記パラメータとの組み合わせに基づいて得られるものである、請求項１ないし７のいずれか一項に記載の方法。
【請求項９】
前記モバイル機器は、更新部分とレガシ部分とを備え、前記レガシ部分は、前記高度化されていないネットワークに従って認証プロトコルを実行するものであり、
前記更新部分が前記チャレンジを受け取り、認証が、より高度化されたネットワークに対して行われるべきである場合には、前記変更されたチャレンジを得て、前記モバイル機器の前記レガシ部分に転送するステップと、
前記更新部分から受け取られる前記チャレンジに基づいて、前記レガシ部分において前記高度化されていないネットワークに従って前記認証プロトコルを実行するステップと、
前記更新部分に前記認証プロトコルの結果を返すステップと
を含む、請求項１ないし８のいずれか一項に記載の方法。
【請求項１０】
前記高度化されていないネットワークは、３ＧＰＰネットワークであり、
前記チャレンジは、ＲＡＮＤであり、
認証が、前記より高度化されたネットワークに対して行われるべきである場合に、前記変更されたチャレンジを得るために前記チャレンジに適用されるべき前記不可逆関数は、ｇ（ＲＡＮＤ）であり、
前記変更されたチャレンジを得た後で前記モバイル機器において認証プロトコルを実行するステップは、
ｆ１をメッセージ認証関数とする、メッセージ認証コードＭＡＣ’＝ｆ１Ｋ（ＳＱＮ｜｜ｇ（ＲＡＮＤ）｜｜ＡＭＦ）、
ｆ２を（おそらくは切り捨てられた）メッセージ認証関数とする、期待応答ＸＲＥＳ’＝ｆ２Ｋ（ｇ（ＲＡＮＤ））、
ｆ３を鍵生成関数とする、暗号鍵ＣＫ’＝ｆ３Ｋ（ｇ（ＲＡＮＤ））、
ｆ４を鍵生成関数とする、完全鍵ＩＫ’＝ｆ４Ｋ（ｇ（ＲＡＮＤ））、
ｆ５を鍵生成関数とする、又はｆ５≡０とする、匿名鍵ＡＫ’＝ｆ５Ｋ（ｇ（ＲＡＮＤ））、
のうちの１つ以上を計算することを含む、請求項１ないし９のいずれか一項に記載の方法。
【請求項１１】
あるネットワークの認証モジュールに対してあるモバイル機器を認証するための装置であって、前記認証モジュールは、チャレンジと、ある不可逆関数又は鍵導出関数を使用して前記チャレンジに基づいて計算された鍵とを保持するものであり、前記鍵は、前記ネットワークがより高度化されたネットワークである場合には、前記チャレンジが変更された後で前記チャレンジに基づいて計算され、前記ネットワークが高度化されていないネットワークである場合には、変更されていない前記チャレンジに基づいて計算されるものであり、
前記モバイル機器に前記チャレンジを転送するモジュールと、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、より高度化されたネットワークである場合には、前記チャレンジに不可逆関数を適用して、変更されたチャレンジを得て、前記変更されたチャレンジに基づいて前記モバイル機器によって鍵の導出を行うためのモジュールと、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、高度化されていないネットワークである場合には、前記変更されていないチャレンジに基づいて前記モバイル機器によって鍵の導出を行うためのモジュールと、
前記鍵の導出の結果を使用して前記モバイル機器から前記認証モジュールに対して認証プロトコルを実行するためのモジュールと、
返された前記認証プロトコルの結果を検証することにより前記モバイル機器を認証するためのモジュールと
を備える装置。
【請求項１２】
あるモバイル機器を認証するための認証モジュールであって、当該認証モジュールは、チャレンジと、ある不可逆関数又は鍵導出関数を使用して前記チャレンジに基づいて計算された鍵とを保持するものであり、前記鍵は、前記ネットワークがより高度化されたネットワークである場合には、前記チャレンジが変更された後で前記チャレンジに基づいて計算され、前記ネットワークが高度化されていないネットワークである場合には、変更されていない前記チャレンジに基づいて計算されるものであり、
前記モバイル機器は、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、より高度化されたネットワークである場合には、前記チャレンジに不可逆関数を適用して、変更されたチャレンジを得て、前記変更されたチャレンジに基づいて前記モバイル機器によって鍵の導出を行うためのモジュールと、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、高度化されていないネットワークである場合には、前記変更されていないチャレンジに基づいて前記モバイル機器によって鍵の導出を行うためのモジュールと、
前記鍵導出の結果を使用して前記モバイル機器から前記認証モジュールに対して認証プロトコルを実行するためのモジュールと
を備えるものであり、
当該認証モジュールは、
前記モバイル機器に前記チャレンジを転送するモジュールと、
返された前記認証プロトコルの結果を検証することにより前記モバイル機器を認証するモジュールと
を備えるものである、
認証モジュール。
【請求項１３】
あるネットワークの認証モジュールに対して認証されるモバイル機器であって、前記認証モジュールは、チャレンジと、ある不可逆関数又は鍵導出関数を使用して前記チャレンジに基づいて計算された鍵とを保持するものであり、前記鍵は、前記ネットワークがより高度化されたネットワークである場合には、前記チャレンジが変更された後で前記チャレンジに基づいて計算され、前記ネットワークが高度化されていないネットワークである場合には、変更されていない前記チャレンジに基づいて計算されるものであり、
前記認証モジュールから前記チャレンジを受け取るモジュールと、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、より高度化されたネットワークである場合には、前記チャレンジに不可逆関数を適用して、変更されたチャレンジを得て、前記変更されたチャレンジに基づいて前記モバイル機器によって鍵の導出を行うためのモジュールと、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、高度化されていないネットワークである場合には、前記変更されていないチャレンジに基づいて前記モバイル機器によって鍵の導出を行うためのモジュールと、
前記鍵の導出の結果を使用して、返された認証プロトコルの結果を検証することにより前記モバイル機器を認証する前記認証モジュールに対して、前記モバイル機器から認証プロトコルを実行するためのモジュールと
を備えるモバイル機器。
【請求項１４】
請求項２ないし１０のいずれか一項に記載の方法を実行するモジュールをさらに備える、請求項１１ないし１３のいずれか一項に記載の装置。
【請求項１５】
コンピュータ上で実行するときに、請求項１ないし１０のいずれか一項に記載の方法を実行することを可能にするコンピュータ・プログラム・コードを備えるコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、モバイル機器を認証する方法及び装置に関する。
【背景技術】
【０００２】
ネットワークプロバイダは、様々なアクセスネットワーク技術によってサービスを提供している。革新的な技術を用いれば、所与のネットワークアクセス技術によって提供されるセキュリティのレベルを改善することができる。そのような改善の一例は、３ＧＰＰロング・ターム・エボルーション（ＬＴＥ）によるものである。このＬＴＥは、Ｅ−ＵＴＲＡＮとしても知られており、ＬＴＥにおいては、ネットワークアクセス認証に使用される暗号鍵は、在圏ネットワークＩＤ（visited network ID）にバインドされ（結び付けられ）、ＵＭＴＳ鍵は、バインドされない。
【０００３】
最も広く展開されているネットワークアクセス認証パラダイムは、いわゆる三者ネットワークアクセス認証（three party network access authentication）である。このパラダイムにおいて、ネットワークアクセスは、認証装置（Ａ:authenticator）によって保護される。また、認証プロトコルが、認証装置を介して、ネットワーク認証サーバ（network authentication server）（ＮＡＳ）とサプリカント（supplicant）（Ｓ）（任意のモバイル機器又は端末とすることができる）との間で実行される。
図１は、そのような認証スキームを概略的に示している。認証装置Ａは、ネットワークへのアクセスを保護するものである。ネットワーク認証サーバＮＡＳとサプリカントＳは、ロング・ターム鍵（long term key）Ｋを共有する。認証プロトコルが、ＮＡＳとＳとの間で実行され、ＮＡＳ及びＳが認証プロトコルの実行に成功した後で、ＮＡＳとＳは、共有の鍵材料（keying material：鍵に関連するデータ）を入手する。次いで、鍵材料は、ＮＡＳによって認証装置Ａにプッシュされる。このステップが完遂されると、サプリカントＳは、認証装置Ａに対して、サプリカントＳが認証され且つネットワークへのアクセスを許可されていることを証明することができる。そのような三者間ネットワークアクセス認証プロトコルの代表的な例が、インターネット技術標準化委員会（IETF：Internet Engineering Task Force）によるＥＡＰ（Extensible Authentication Protocol（拡張可能認証プロトコル））プロトコルや、第３世代パートナーシップ・プロジェクト（3GPP：3rd Generation Partnership Project）によるＡＫＡ（Authentication & Key Exchange（認証及び鍵交換））プロトコルである。
【０００４】
図２は、３ＧＰＰシステムで使用されるこのアプローチの変更例を示している。３ＧＰＰ認証及び鍵交換ＡＫＡの場合、Ｓ（３ＧＰＰにおけるユーザ端末ＵＥ）とＡ（この場合はモバイル管理エンティティＭＭＥ）との間で使用されることになる鍵は、ＮＡＳ（すなわち、ホーム加入者サーバＨＳＳ／認証センタＡｕＣ）によって事前に計算され、Ａに渡される。次いで、認証プロトコルを、ＳとＡとの間でのみ実行することができる。
【０００５】
このパラダイムは、ネットワーク・アクセス・プロバイダに対して適切な保護を提供するが、考慮されなければならない別のパラダイムは、ローミングのパラダイムである。ローミングにおいては、いわゆるホームネットワークに加入している加入者が、在圏ネットワークを介してネットワークにアクセスすることができる。ホームネットワークと在圏ネットワークとは、通常、異なる組織に属している。
【０００６】
図３は、そのような状況において生じ得る問題を概略的に示している。攻撃者は、認証装置Ａから鍵材料ＫＭを盗み、次いで、自分がネットワークアクセスを提供しているかのようになりすますことができる。
【０００７】
所与の在圏ネットワークにおいて盗まれた鍵が別の在圏ネットワークにおいて再利用される攻撃を回避するための一つの方法は、ロング・ターム・エボルーション（ＬＴＥ）システムの場合と同様に、それらの鍵を在圏ネットワークＩＤにバインドすることである。鍵材料ＫＭがネットワークＩＤにバインドされていれば、攻撃者は、３ＧＰＰ  ＬＴＥシステムの場合と同様に、そのネットワークＩＤになりすますことしかできない。残念ながら、これは、ＵＭＴＳなどの全てのアクセスネットワーク技術の場合に当てはまるわけではない。したがって、そのようなネットワークＩＤへのバインド（結び付き）がない場合、攻撃者は、いかなるネットワークにもなりすますことができる。
【０００８】
セキュリティを高めるために、ネットワークＩＤへのバインドを広く実行することができれば、好ましいであろう。しかしながら、いくつかの状況においては、サプリカントにおいて行われる基本的な鍵の導出手順を更新することができない場合もある。この場合に当てはまるのは、例えば３ＧＰＰの場合であり、取り替えるのにコストがかかるＵＳＩＭ（汎用加入者識別モジュール、３ＧＰＰシステムにおけるスマートカード）において、基本的な鍵の導出と、ＡＫＡの基礎をなすネットワーク・チャレンジ認証（network challenge authentication）とが行われる場合である。
【０００９】
在圏ネットワークを識別するバインディングによって、すなわち、このバインディングを提供するアクセス技術によって提供された、改善されたセキュリティの恩恵を受けるメカニズムを提供することが望ましいであろう。しかし、それと共に、鍵は、レガシシステムのＵＳＩＭを交換する必要がなく、セキュアで下位互換性（backward compatible）があるやり方で、アクセス技術にバインドされる必要がある。
【００１０】
１つの可能なアプローチとしては、認証プロトコル内部の保護された情報要素（ランダム・チャレンジＲＡＮＤやＡＫＡのための認証管理フィールドＡＭＦなど）の１つにおいて鍵がどのアクセス技術にバインドされているかを知らせる何らかのシグナリングを提供することである。しかし、そのようなアプローチは、下位互換性がない。
【発明の概要】
【発明が解決しようとする課題】
【００１１】
ネットワークプロバイダは、時々、アクセスネットワークの種類を追加しようとすることがある。新しいネットワークアクセスによって提供されるセキュリティのレベルを上げようとすることもある。これは、ＬＴＥにおいて行われている。ＬＴＥ鍵は、在圏ネットワークＩＤにバインドされるが、ＵＭＴＳ鍵はバインドされない。ＬＴＥネットワークになりすますためにＵＭＴＳネットワークにおいて盗まれた鍵が再利用される攻撃を回避するためには、鍵が、セキュアで下位互換性のあるやり方で、アクセス技術にバインドされる必要がある。したがって、本発明の目的は、鍵材料をネットワークＩＤへそのような下位互換性のあるやり方でバインドすることのできる認証メカニズムを提供することである。
【課題を解決するための手段】
【００１２】
本発明の実施形態によれば、下位互換性があるやり方で鍵をネットワークアクセス技術にバインドすることを可能にするメカニズムが提供される。
【００１３】
一実施形態によれば、あるネットワークの認証モジュールに対して、あるモバイル機器を認証する方法が提供される。当該方法において、前記認証モジュールは、チャレンジと、ある不可逆関数又は鍵導出関数を使用して前記チャレンジに基づいて計算された鍵とを保持するものであり、前記鍵は、前記ネットワークがより高度化されたネットワークである場合には、前記チャレンジが変更された後で前記チャレンジに基づいて計算され、前記ネットワークが高度化されていないネットワークである場合には、変更されていない前記チャレンジに基づいて計算されるものであり、当該方法は、
前記モバイル機器に前記チャレンジを転送するステップと、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、より高度化されたネットワークである場合には、前記チャレンジに不可逆関数を適用して、変更されたチャレンジを得て、前記変更されたチャレンジに基づいて前記モバイル機器が鍵の導出を行い、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、高度化されていないネットワークである場合には、前記変更されていないチャレンジに基づいて前記モバイル機器が鍵の導出を行うステップと、
前記鍵の導出の結果を使用して、前記モバイル機器から前記認証モジュールに対して認証プロトコルを実行するステップと、
返された前記認証プロトコルの結果を検証することにより前記モバイル機器を認証するステップと
を含む。
【００１４】
チャレンジの扱い方を区別することによって、すなわち、より高度化されたネットワークの場合には変更されたチャレンジを得て、高度化されていないネットワークの場合には変更されていないチャレンジを使用することによって、高度化されたネットワークのための認証メカニズムと高度化されていないネットワークのための認証メカニズムという２つの異なる認証メカニズムを使用し、下位互換性を維持しながらそれら２つのメカニズムを区別することが可能になる。特に、より高度な認証をサポートするネットワーク環境でこのメカニズムを用いれば、より高度な認証メカニズムのサポートを可能にしつつ、レガシ部品の機器も使用することができる。
【００１５】
この方法で使用されるチャレンジは、ランダム・チャレンジとすることができる。
【００１６】
一実施形態によれば、前記モバイル機器が認証されるべき相手先の前記ネットワークが、より高度化されたネットワークである場合には、計算されるべき前記鍵は、前記ネットワークの特性に対応するパラメータに基づいてさらに計算された鍵によって、前記ネットワークの前記特性にバインドされる。また、前記ネットワークが、高度化されていないネットワークである場合には、前記鍵は、前記パラメータに基づいて計算されないようになっている。また、前記パラメータは、好ましくは、前記ネットワークの識別子と、前記ネットワークの種類を反映するパラメータとの１つ以上を含むものである。
【００１７】
この実施形態では、より高度化されたネットワークと高度化されていないネットワークとは、チャレンジが変更されているか否かに基づいて区別されるのみならず、さらに、そのネットワークの特性を反映する何らかのパラメータを使用して鍵が導出されているかどうかによっても区別される。そのようなパラメータは、例えば、ネットワークＩＤなどとすることもでき、ネットワークの種類の表示（indication）のような、そのネットワークの特性を反映する他の任意のパラメータとすることもできる。そのパラメータが鍵を導出するのに使用される場合、その鍵は、このパラメータに「バインド」され、そのようなバインドは、より高度化されたネットワークには行われ、高度化されていないネットワークには行われない場合もある。これは、より高度化されたネットワークがＮＩＤ鍵バインディング（又は別のパラメータへのバインディング）などを必要とし、そのようなＮＩＤ又はパラメータバインドを必要としない高度化されていないネットワークの場合には、（ＮＩＤ又はネットワークパラメータにバインドされていない）変更されていないチャレンジを使用するという状況を考慮に入れることができる。これによって、既存のメカニズムを使用して認証プロトコルを実行することができ、認証プロトコルが実行されるところでチャレンジ値が異なることにより、ネットワークの種類によって異なる結果が導き出されることになる。これは、さらに、高度化されていない種類のネットワークから盗まれた鍵を、より高度化された種類のネットワークにおいて使用することを不可能にする。というのは、これが鍵の不一致をもたらすためである。
【００１８】
この実施形態は、より高度化されたネットワークは、ネットワーク特性を反映するパラメータへの鍵のバインドを必要とし、高度化されていないネットワークは、そのようなバインドを必要としない状況に適合させることができる。
【００１９】
計算される鍵がバインドされ得る相手先のパラメータは、ネットワークの識別子、ネットワークの種類を識別するパラメータ、セキュリティのレベル、又はネットワークの特性を反映し、もしくはこれに対応する他の任意のネットワークの特性を反映する任意のパラメータとすることができる。
【００２０】
この方法は、さらに、
前記ネットワークのネットワーク認証サーバが、前記チャレンジ及び前記チャレンジに基づいて計算される前記鍵を計算するステップと、
前記チャレンジ及び前記チャレンジに基づいて計算された鍵を前記ネットワークの認証装置に転送するステップと
を含む。
【００２１】
このようにして、三者認証スキームを実施することができる。
【００２２】
一実施形態によれば、前記チャレンジに基づき、さらに前記ネットワークの識別子に基づくものである前記計算される鍵は、前記変更されたチャレンジと前記ネットワークの識別子との組み合わせに対して不可逆関数を適用することに基づいて得られるものである。
【００２３】
このようにして、セキュリティを高めるためにより高度化されたネットワークシステムによって要求されるように、計算される鍵にネットワークＩＤの情報を含めることができる。
【００２４】
一実施形態によれば、前記変更されたチャレンジは、前記チャレンジに第１の不可逆関数を適用することによって得られるものであり、
前記ネットワークが、より高度化されたものであるか又は高度化されていないものであるかに応じて、前記変更されていないチャレンジ又は前記変更されたチャレンジに基づいて計算される前記鍵は、前記変更されたチャレンジ又は前記変更されたチャレンジから導出される値と前記パラメータとの組み合わせに対して第２の不可逆関数を適用することに基づいて計算されるものである。
【００２５】
このようにして、変更されたチャレンジを認証し、第２の不可逆関数を適用するときに識別されるネットワークの情報を含めることによって、モバイル機器を認証することができる。第２の不可逆関数が、変更されたチャレンジに適用されるだけでなく、第２の不可逆関数が、変更されたチャレンジから導出される値に適用される場合には、このメカニズムは、さらに一層セキュアになる。
【００２６】
一実施形態によれば、前記変更されたチャレンジから導出される値は、前記ネットワークがより高度化されたネットワークであるか又は高度化されていないネットワークであるかに応じて、前記変更されたチャレンジ又は前記変更されていないチャレンジに対して第３の不可逆関数を適用することによって得られるものである。
【００２７】
このようにして、第３の不可逆関数を導入することにより、このメカニズムをさらに一層セキュアにすることができる。
【００２８】
一実施形態によれば、前記計算される鍵は、Ｃ’＝ＫＤＦ’（Ｃ）とするＫＮＩＤ＝ＫＤＦＮＩＤ（（ＫＤＦ（Ｃ’），ＮＩＤ））に基づいて計算される鍵であり、
Ｃは、前記チャレンジであり、
Ｃ’は、前記変更されたチャレンジであり、
ＮＩＤは、前記パラメータであり、
ＫＤＦ’は、第１の不可逆関数であり、
ＫＤＦＮＩＤは、第２の不可逆関数であり、
ＫＤＦは、第３の不可逆関数である。
【００２９】
これは、モバイル機器がネットワークにアクセスするための鍵材料をどのようにして認証し、導出すべきかの１つの具体的な実施方法である。
【００３０】
一実施形態によれば、前記不可逆関数は、ハッシュ関数又は鍵導出関数であり、
前記第１、第２及び第３の不可逆関数は、全てが異なっているか、全てが同一であるか、前記第１、第２及び第３の不可逆関数のうちの２つが同一であり且つ１つが異なっているかのいずれかである。
【００３１】
これらは、本発明の実施形態において記載された不可逆関数の可能な実装方法である。
【００３２】
一実施形態によれば、不可逆関数を適用することによって得られる前記変更されたチャレンジは、前記変更されていないチャレンジと前記パラメータとの組み合わせに基づいて得られるものである。
【００３３】
このようにして、すでにネットワークＩＤに基づくものになっている情報を、変更されたチャレンジに含めることができる。したがって、その後で、すなわち、チャレンジに基づく高度化されていないネットワークによる認証プロトコルが実行された後で、さらにこのＮＩＤ情報を含めるための動作を行う必要がない。
【００３４】
一実施形態によれば、前記モバイル機器は、更新部分とレガシ部分とを備え、前記レガシ部分は、前記高度化されていないネットワークに従って認証プロトコルを実行するものであり、
前記更新部分が前記チャレンジを受け取り、認証が、より高度化されたネットワークに対して行われるべきである場合には、前記変更されたチャレンジを得て、前記モバイル機器の前記レガシ部分に転送するステップと、
前記更新部分から受け取られる前記チャレンジに基づいて、前記レガシ部分において前記高度化されていないネットワークに従って前記認証プロトコルを実行するステップと、
前記更新部分に前記認証プロトコルの結果を返すステップと
を含む。
【００３５】
このようにして、レガシ部分を使用して認証プロトコルを実行することができ、他方、更新部分を使用してネットワークＩＤバインディングを実施することもできる。これは、モバイル機器を完全に交換する必要をなくし、しかも、より高度化されたネットワークに対する認証のためにネットワークＩＤが導出鍵にバインドされた状態で、レガシ部分を引き続き使用することができる。
【００３６】
一実施形態によれば、前記高度化されていないネットワークは、３ＧＰＰネットワークであり、
前記チャレンジは、ＲＡＮＤであり、
認証が、前記より高度化されたネットワークに対して行われるべきである場合に、前記変更されたチャレンジを得るために前記チャレンジに適用されるべき前記不可逆関数は、ｇ（ＲＡＮＤ）であり、
前記変更されたチャレンジを得た後で前記モバイル機器において認証プロトコルを実行するステップは、
ｆ１をメッセージ認証関数とする、メッセージ認証コードＭＡＣ’＝ｆ１Ｋ（ＳＱＮ｜｜ｇ（ＲＡＮＤ）｜｜ＡＭＦ）、
ｆ２を（おそらくは切り捨てられた）メッセージ認証関数とする、期待応答ＸＲＥＳ’＝ｆ２Ｋ（ｇ（ＲＡＮＤ））、
ｆ３を鍵生成関数とする、暗号鍵ＣＫ’＝ｆ３Ｋ（ｇ（ＲＡＮＤ））、
ｆ４を鍵生成関数とする、完全鍵ＩＫ’＝ｆ４Ｋ（ｇ（ＲＡＮＤ））、
ｆ５を鍵生成関数とする、又はｆ５≡０とする、匿名鍵ＡＫ’＝ｆ５Ｋ（ｇ（ＲＡＮＤ））、
のうちの１つ以上を計算することを含む。
【００３７】
このようにして、３ＧＰＰシステムを、導出された鍵のネットワークＩＤバインドを含むＬＴＥ認証手順に適応するように更新し、しかもなお、ＭＥのレガシ部分を使用して認証プロトコルを実行することができる。
【００３８】
一実施形態によれば、あるネットワークの認証モジュールに対して、あるモバイル機器を認証するための装置が提供される。当該装置において、前記認証モジュールは、チャレンジと、ある不可逆関数又は鍵導出関数を使用して前記チャレンジに基づいて計算された鍵とを保持するものであり、前記鍵は、前記ネットワークがより高度化されたネットワークである場合には、前記チャレンジが変更された後で前記チャレンジに基づいて計算され、前記ネットワークが高度化されていないネットワークである場合には、変更されていない前記チャレンジに基づいて計算されるものであり、当該装置は、
前記モバイル機器に前記チャレンジを転送するモジュールと、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、より高度化されたネットワークである場合には、前記チャレンジに不可逆関数を適用して、変更されたチャレンジを得て、前記変更されたチャレンジに基づいて前記モバイル機器によって鍵の導出を行うためのモジュールと、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、高度化されていないネットワークである場合には、前記変更されていないチャレンジに基づいて前記モバイル機器によって鍵の導出を行うためのモジュールと、
前記鍵の導出の結果を使用して前記モバイル機器から前記認証モジュールに対して認証プロトコルを実行するためのモジュールと、
返された前記認証プロトコルの結果を検証することにより前記モバイル機器を認証するためのモジュールと
を備えるものである。
【００３９】
このようにして、本発明の実施形態に従って動作する認証装置を実施することができる。
【００４０】
一実施形態によれば、あるモバイル機器を認証するための認証モジュールが提供される。当該認証モジュールは、チャレンジと、ある不可逆関数又は鍵導出関数を使用して前記チャレンジに基づいて計算された鍵とを保持するものであり、前記鍵は、前記ネットワークがより高度化されたネットワークである場合には、前記チャレンジが変更された後で前記チャレンジに基づいて計算され、前記ネットワークが高度化されていないネットワークである場合には、変更されていない前記チャレンジに基づいて計算されるものであり、
前記モバイル機器は、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、より高度化されたネットワークである場合には、前記チャレンジに不可逆関数を適用して、変更されたチャレンジを得て、前記変更されたチャレンジに基づいて前記モバイル機器によって鍵の導出を行うためのモジュールと、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、高度化されていないネットワークである場合には、前記変更されていないチャレンジに基づいて前記モバイル機器によって鍵の導出を行うためのモジュールと、
前記鍵導出の結果を使用して前記モバイル機器から前記認証モジュールに対して認証プロトコルを実行するためのモジュールと
を備えるものであり、
当該認証モジュールは、
前記モバイル機器に前記チャレンジを転送するモジュールと、
返された前記認証プロトコルの結果を検証することにより前記モバイル機器を認証するモジュールと
を備えるものである。
【００４１】
このようにして、本発明の実施形態に従って動作する認証モジュールを実施することができる。
【００４２】
一実施形態によれば、あるネットワークの認証モジュールに対して認証されるモバイル機器が提供される。前記認証モジュールは、チャレンジと、ある不可逆関数又は鍵導出関数を使用して前記チャレンジに基づいて計算された鍵とを保持するものであり、前記鍵は、前記ネットワークがより高度化されたネットワークである場合には、前記チャレンジが変更された後で前記チャレンジに基づいて計算され、前記ネットワークが高度化されていないネットワークである場合には、変更されていない前記チャレンジに基づいて計算されるものであり、当該モバイル機器は、
前記認証モジュールから前記チャレンジを受け取るモジュールと、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、より高度化されたネットワークである場合には、前記チャレンジに不可逆関数を適用して、変更されたチャレンジを得て、前記変更されたチャレンジに基づいて前記モバイル機器によって鍵の導出を行うためのモジュールと、
前記モバイル機器が認証されるべき相手先の前記ネットワークが、高度化されていないネットワークである場合には、前記変更されていないチャレンジに基づいて前記モバイル機器によって鍵の導出を行うためのモジュールと、
前記鍵の導出の結果を使用して、返された認証プロトコルの結果を検証することにより前記モバイル機器を認証する前記認証モジュールに対して、前記モバイル機器から認証プロトコルを実行するためのモジュールと
を備えるものである。
【００４３】
このようにして、本発明の実施形態に従って動作するモバイル機器を実施することができる。
【００４４】
一実施形態によれば、本発明の実施形態のいずれか１つの方法を実行するモジュールをさらに備える装置が提供される。
【００４５】
一実施形態によれば、コンピュータ上で実行されるとき、本発明の実施形態のいずれか１つの方法を実行することを可能にするコンピュータ・プログラム・コードを備えるコンピュータプログラムが提供される。
【図面の簡単な説明】
【００４６】
【図１】三者認証スキームを概略的に示した図である。
【図２】認証装置とサプリカントとの間の認証を用いた三者認証スキームを概略的に示した図である。
【図３】鍵が盗まれる問題を概略的に示した図である。
【図４】サプリカントを、レガシ部分及び変更可能部分へ分割することを概略的に示した図である。
【図５】従来技術の高度化されていないネットワークによる認証スキームを概略的に示した図である。
【図６】本発明の一実施形態による認証スキームを概略的に示した図である。
【発明を実施するための形態】
【００４７】
初めに、以下で使用するいくつかの用語を説明する。
Ａ：認証装置（authenticator）
ＡＫＡ：認証された鍵の合意（authenticated key agreement）
Ｃ：チャレンジ（challenge）
ＣＰ：サプリカントの容易にアップグレード可能な部分、３ＧＰＰの場合のＭＥに相当するもの
ＫＦ：基本鍵（basic key）の合意手順を使用して合意される鍵
ＫＮＩＤ：合意される鍵であって、ネットワークＩＤにバインドされている鍵
ＬＰ：サプリカントのレガシ部分、３ＧＰＰの場合のＵＳＩＭに相当するもの
ＭＥ：モバイル端末
ＮＡＳ：ネットワーク認証サーバ
ＮＩＤ：ネットワークＩＤ
Ｓ：サプリカント
ＵＳＩＭ：ＵＭＴＳ加入者識別情報モジュール
【００４８】
ある実施形態によれば、ＡとＳとの間で使用するための鍵を鍵材料から作成するのに使用される鍵導出関数は、鍵の導出に使用されるチャレンジパラメータのうちの少なくとも１つに対して一方向ハッシュ関数が適用されるように変更され、その後、その結果が、認証を行うために実行される暗号プロトコルに渡される。サプリカントは、認証の要求がよりセキュアなアクセス技術（使用されるネットワーク技術を知らせるシグナリングなど）からのものであるかどうかについて知らされる。チャレンジパラメータが、そのようなよりセキュアなシステム（ＬＴＥシステムなど）からのものである場合には、チャレンジ値を暗号プロトコルに渡す前に、一方向ハッシュ関数を適用する。
【００４９】
図４で概略的に示されているように、このアプローチは、サプリカント（モバイル機器）が２つの部分、すなわち、レガシ部分（ＵＳＩＭ又はＵＩＣＣ（汎用ＩＣカード）Ｈ／Ｗ）と、変更可能部分ＣＰ（モバイル端末、Ｓ／Ｗ）とを有する場合に適用することができる。典型的には、ロング・ターム鍵は、レガシ部分に記憶され、また鍵の導出もレガシ部分において行われる。そのような場合の認証パラメータは、ユーザ端末に送られる。そのユーザ端末では、認証パラメータは、変更可能部分ＣＰに届き、変更可能部分ＣＰでは、認証のための暗号プロトコルが実行されるレガシ部分ＬＰに渡す前に、認証パラメータにハッシュ関数（又は不可逆関数）が適用される。
【００５０】
より具体的な実施形態、すなわち、３ＧＰＰ／ＡＫＡの環境において、そのようなメカニズムは、認証プロトコルを実行することによる他の全てのパラメータの計算のためにランダム・チャレンジＲＡＮＤがＵＳＩＭに与えられる前に、モバイル端末（ＭＥ）がランダム・チャレンジＲＡＮＤに一方向ハッシュ関数を適用することを含む。認証ベクトルに含まれる値（ＭＥに送られる値）は、ランダム・チャレンジＲＡＮＤである。認証の要求がＬＴＥによってもたらされる場合（ネットワーク型によって暗黙的に知らされる）、ＭＥは、その認証ベクトルをＵＳＩＭに渡す前に、まず、チャレンジＲＡＮＤにハッシュ関数又は任意の不可逆関数ｇ（．）を適用する。また、アクセス技術はＵＭＴＳであり、少なくともＭＥのレガシ部分（ＵＳＩＭ）によって行われる認証及び鍵交換ＡＫＡは、変更せずに実行することができる。
【００５１】
このような解決策は、基本的な鍵（fundamental key）の導出を変更することができず、又はネットワーク・チャレンジを認証する関数を変更するときでさえも、ネットワークＩＤバインディング（network ID binding）が提供するセキュリティ上の利益を、下位互換性があるように実現することができる。
【００５２】
ＭＥの変更可能部分は、例えば、ファームウェア更新など、モバイル端末のソフトウェアを更新することによって変更することもできる。別の可能なやり方としては、モバイル端末のハードウェア部分を交換することによって変更し、そして、（古い）レガシ部分ＵＳＩＭを新しいハードウェアと共に使用することも可能である。しかしながら、変更可能部分ＣＰを変更するより容易なやり方は、モバイル機器のソフトウェアを更新することである。
【００５３】
次に、本発明の一実施形態を詳細に説明する。しかし、最初に、図５に関連して、３ＧＰＰシステムの場合の、ネットワークＩＤバインディングを行わない従来技術のＡＫＡメカニズムを説明する。
【００５４】
一般に、鍵の合意には、ネットワーク認証サーバ（ＮＡＳ）と、認証装置（Ａ）と、サプリカント（Ｓ）の３つの装置が関与する。この実施形態（及びその他の実施形態）において、サプリカントは、モバイルネットワークに対して認証されるべきモバイル機器とすることができる。サプリカントは、２つの部分からなり、すなわち、容易に変更可能な部分（ＣＰ、３ＧＰＰのＭＥに相当）と、基本的な鍵の導出（ＫＤＦＦ）を行うレガシ部分（ＬＰ、３ＧＰＰのＵＳＩＭに相当）とからなる。以下では、変更可能部分を「更新部分」と呼ぶ場合もある。というのは、いくつかの実施形態において、変更可能部分は、更新され、より高度化されたネットワーク（ＬＴＥ環境）に従うように変更されるからである。他方、レガシ部分は、高度化されていないネットワーク（３ＧＰＰ環境など）に従って動作する。
【００５５】
ネットワークＩＤバインドを行わないレガシシステムにおいて、鍵の導出は、基本的には以下の通りである。
ＮＡＳが、チャレンジＣを選択し、ある鍵導出関数ＫＤＦを適用することによって鍵ＫＦ＝ＫＤＦ（Ｃ）を計算し、Ａに対してＣ及びＫＦを送る。
【００５６】
Ａは、サプリカントＳに（又はＳのＣＰ部分に）チャレンジＣを送り、サプリカントＳは、Ｃをレガシ部分ＬＰに転送する。
【００５７】
次いで、ＬＰは、チャレンジを認証し、ＫＦ＝ＫＤＦ（Ｃ）を計算する。ＬＰは、ＫＦをＣＰに戻す。これ以後、ＡとＳは、鍵ＫＦを共有することになる。ＬＰによって計算されたＫＦと、ＮＡＳから認証装置Ａに送られたＫＦとが同一である場合は、認証に成功する。レガシ部分においてＫＦを得るためにＫＤＦを適用することを、以下の説明及び特許請求の範囲においては、「認証プロトコルを実行する」ということもあるが、これは、実際には、レガシ部分で行われる認証プロトコルのある部分を指すにすぎない場合もあることに留意されたい。
【００５８】
このようにして、従来の３ＧＰＰシステムにおいて認証が動作する。
【００５９】
次に、図６に関連して、ネットワークＩＤバインドを行い、しかも下位互換性がある実施形態について説明する。
【００６０】
ネットワークＩＤ（ＮＩＤ）バインドを導入するための可能な１つのアプローチは、ＮＡＳが、その次にネットワークＩＤ  ＮＩＤにバインドされる鍵ＫＮＩＤ＝ＫＤＦＮＩＤ（ＫＦ，ＮＩＤ）を計算できるようにすることである。しかしながら、このやり方の問題は、ＫＦを入手するものは誰でも、あらゆるＮＩＤのＫＮＩＤを計算することができ、よって、全てのネットワークになりすますことができることである。
【００６１】
この問題を回避するために、提案する実施形態によれば、ネットワークバインドが必要とされる場合には、ネットワークバインドを保護するために、以下が行われる（図６参照）。
【００６２】
ＮＡＳは、ネットワークＩＤにバインドされる鍵ＫＮＩＤを、Ｃ’＝ＫＤＦ’（Ｃ）とし、ＫＮＩＤ＝ＫＤＦＮＩＤ（（ＫＤＦ（Ｃ’），ＮＩＤ））として計算する。この場合、ＫＤＦ’は、ランダム・チャレンジＣに適用される鍵導出関数（又はハッシュ関数、又は任意の不可逆関数）である。次いで、結果として生じる値Ｃ’に基づいて、ある鍵導出関数ＫＤＦを適用することによって鍵が得られる。ＫＮＩＤは、ネットワークＩＤバインドに基づいて計算される鍵材料である。次いで、ＮＡＳは、Ｃ及びＫをＡに送り、Ａは、ＣをＳ（ＳのＣＰ部分）に送る。
【００６３】
変更可能なＣＰは、ネットワークアクセス技術がＮＩＤバインドを必要とするかどうかを調べる。必要である場合には、Ｃ’＝ＫＤＦ’（Ｃ）を計算し、そうでない場合にはＣ’＝Ｃとする。
ＣＰは、Ｃ’をＬＰに転送する。
ＬＰは、チャレンジを認証し、Ｋ＝ＫＤＦ（Ｃ）を計算する。また、ＬＰは、ＫをＣＰに送り返す。
ネットワークアクセス技術がＮＩＤバインドを必要とする場合、ＣＰは、ＫＮＩＤ＝ＫＤＦＮＩＤ（Ｋ，ＮＩＤ）を計算する。
これ以後、ＡとＳは、鍵ＫＮＩＤを共有することになる。
【００６４】
提案する解決策によって、ネットワークは、ＮＩＤバインドを行わないネットワークから盗まれた鍵を用いて、ＮＩＤバインドを必要とするネットワークアクセス技術を使用しているサプリカントと、首尾よく鍵を共有することができなくなる。
【００６５】
任意の選択により、ＫＤＦ’が、すでにＮＩＤを含むものであり、よって、ＫＤＦＮＩＤが、恒等関数になるようにしてもよい。というのは、そのような場合には、ＮＩＤがすでに変更されたチャレンジにバインドされているので、ＮＩＤ情報を含めるためにさらにＫＤＦＮＩＤを適用する必要がなくなるからである。
【００６６】
３ＧＰＰ  ＡＫＡの具体例としては、３ＧＰＰ  ＡＫＡは、ＮＩＤバインドを含むＬＴＥ認証に適合されるように変更されており、実施形態によれば、ホーム加入者サーバＨＳＳ及びモバイル端末ＭＥに対して、以下の変更が適用される。すなわち、認証がＬＴＥネットワークに対して行われるべきである場合には、以下の値を計算する必要がある。
ＥＰＳ（進化型パケットシステム）のための鍵導出関数は、ＭＥがＲＡＮＤ値を変更できるように、ＲＡＮＤ値が他の全てのパラメータを計算するためにＵＳＩＭに与えられる前に変更される。
ＨＳＳは、以下の値を計算する。
メッセージ認証コードＭＡＣ’＝ｆ１Ｋ（ＳＱＮ｜｜ｇ（ＲＡＮＤ）｜｜ＡＭＦ）の計算を行う。ここで、ｆ１は、メッセージ認証関数である。
期待応答ＸＲＥＳ’＝ｆ２Ｋ（ｇ（ＲＡＮＤ））の計算を行う。ここで、ｆ２は、（おそらくは切り捨てられた）メッセージ認証関数である。
暗号鍵ＣＫ’＝ｆ３Ｋ（ｇ（ＲＡＮＤ））の計算を行う。ここで、ｆ３は、鍵生成関数である。
完全鍵ＩＫ’＝ｆ４Ｋ（ｇ（ＲＡＮＤ））の計算を行う。ここで、ｆ４は、鍵生成関数である。
匿名鍵ＡＫ’＝ｆ５Ｋ（ｇ（ＲＡＮＤ））の計算を行う。ここで、ｆ５は、鍵生成関数であるか、又はｆ５≡０である。
最後に、認証トークンＡＵＴＮ＝ＳＱＮ＊ＡＫ｜｜ＡＭＦ｜｜ＭＡＣが構築される。
【００６７】
実施形態において、関数ｇ（．）は、任意の不可逆関数（ハッシュ関数や鍵導出関数ＫＤＦなど）とすることができる。また、前述の鍵導出関数ＫＤＦについても、その目的を果たすためにいかなる不可逆関数が使用されてもよいことが理解される。
【００６８】
認証ベクトルに含まれる値（ＭＭＥ及びＭＥに送られる値）は、ランダム・チャレンジＲＡＮＤである。認証の要求が、ＬＴＥ環境を介してＭＥに入って来た場合、ＭＥは、認証ベクトルをＵＳＩＭに渡す前に、まず、ＲＡＮＤにｇ（．）を適用する。次いで、前述のように変更された値（変更されたチャレンジ）に対して、すなわち、ＲＡＮＤではなくｇ（ＲＡＮＤ）を使用して、認証プロトコルが実行される。他方、認証の要求が、３ＧＰＰ環境を介してＭＥに入って来た場合には、変更されたチャレンジｇ（ＲＡＮＤ）が得られず、代わりに、変更されていないチャレンジｇ（ＲＡＮＤ）が、ＵＳＩＭに転送され、この変更されていないチャレンジｇ（ＲＡＮＤ）を使用して、３ＧＰＰシステムの従来のやり方と同様に認証プロトコルが実行される。
【００６９】
ｇ（ＲＡＮＤ）の代わりにｇ（ＲＡＮＤ，ＮＩＤ）が計算されてもよいことが理解される。言い換えると、変更されたチャレンジは、ＲＡＮＤに不可逆関数を適用することに基づいて得るのだけでなく、ＲＡＮＤとＮＩＤとの組み合わせに対して不可逆関数を適用することに基づいて得るようにしてもよい。このようにして、ＭＥのレガシ部分からＭＥの変更可能部分ＣＰに戻される認証プロトコルの結果は、すでにＮＩＤに基づくものになっているので、この情報を含めるための別の操作は不要となる。
【００７０】
以上では、モバイル機器に転送されるチャレンジが、ネットワークアクセス技術に応じて変更される実施形態を説明している。鍵材料のＮＩＤバインドを必要とする（ＬＴＥのような）より高度化されたネットワークでは変更が行われ、鍵のＮＩＤバインドを必要としないあまり高度化されていないネットワークでは変更が行われない。ネットワークアクセス技術、及びそれに関してチャレンジを変更すべきか否かを決定するための情報は、モバイル機器にそのネットワークの種類を知らせることによって、暗黙的に知らされる。
【００７１】
前述の実施形態では、導出された鍵が不一致になるため、ネットワークＩＤバインドなしの鍵を、ネットワークＩＤバインドありのネットワークにおいて再利用することができない。このような場合、ネットワークが導出された鍵をアクティブ化すると、通信が不可能になり、暗黙的な認証が行われることになる。
【００７２】
前述の実施形態では、サプリカント（モバイル機器）のレガシ部分へのいかなる変更も必要としない、下位互換性があるネットワークＩＤバインドを実現することができる。しかも、高度化されていないネットワークによって実行される認証プロトコルを引き続き十分に使用することができ、ネットワークＩＤを含むメカニズムが、システムの既存のハードウェア要素において実行される既存の認証メカニズムに対して加えられるだけである。このようにして、下位互換性を得ることができ、（古い）認証プロトコルを実行するレガシ部分を更新する必要がなくなる。
【００７３】
前述の実施形態に加えて、以下にも留意すべきである。
ある実施形態では、導出された鍵をネットワークパラメータへ明示的にバインドするやり方とは無関係なメカニズムを実施することができる。そのような実施形態では、導出された鍵は、（より高度化されたネットワークの場合には）変更されたチャレンジに基づいて、又は（高度化されていないネットワークの場合には）変更されていないチャレンジに基づいて導出される。このようにして、２種類のネットワーク、及びそれぞれのネットワークの認証メカニズムを区別することができ、何らか変更されたチャレンジがそのネットワーク特性を反映するパラメータであるという意味において、導出された鍵は、ネットワーク特性を反映するパラメータへ「暗黙的に」バインドされていることになる。
【００７４】
その場合、ネットワーク特性を反映するパラメータ（ネットワークＩＤや、そのネットワークの属性又は特性に対応する他の任意のパラメータ）への明示的なバインドは、変更された又は変更されていないチャレンジに基づくだけでなく、そのパラメータにも基づいて鍵をさらに計算することによって実施されてもよい。これは例えば、パラメータと変更されたチャレンジとの組み合わせに鍵導出関数を適用することによって、あるいは、（チャレンジに加えて別の入力としてそのパラメータを使用する関数をチャレンジに適用するなど）そのパラメータを組み込むようにチャレンジを変更し、次いで、そのパラメータが「組み込まれた」又はそのパラメータに「バインド」されるようにして変更されたチャレンジに基づいて鍵を得ることよって、行うことができる。
【００７５】
パラメータが、前述の実施形態に関連して示したようなネットワークＩＤである場合、このメカニズムは、前述のように下位互換性を維持しつつ、認証が３ＧＰＰ又はＬＴＥメカニズムに基づくものである環境において使用することができる。
【００７６】
前述の実施形態は、ハードウェアによっても、ソフトウェアによっても、ソフトウェアとハードウェアとの組み合わせによっても実施され得ることを当業者は理解できるだろう。本発明の実施形態に関連するモジュール及び機能は、本発明の実施形態の方法に従って動作するように適切にプログラムされているマイクロプロセッサ又はコンピュータによって、その全部又は一部を実施することができる。本発明の実施形態に係る装置は、例えば、本発明の実施形態の方法を実行することができるように適切にプログラムされているコンピューティング機器や移動電話機や任意のモバイル機器や移動局やノードを含むことができる。
【００７７】
本発明の一実施形態によれば、データキャリアに記憶され、又は、記録媒体や伝送リンクといった何らかの物理手段などの他のやり方によって記憶されたコンピュータプログラムが提供される。このコンピュータプログラムは、コンピュータ上で実行されるときに、コンピュータを、前述の本発明の実施形態に従って動作させることができる。
【図１】
2010288271.tif 000003
【図２】
2010288271.tif 000004
【図３】
2010288271.tif 000005
【図４】
2010288271.tif 000006
【図５】
2010288271.tif 000007
【図６】
2010288271.tif 000008
【外国語明細書】
2010288271.tif 000009
2010288271.tif 000010
2010288271.tif 000011
2010288271.tif 000012
2010288271.tif 000013
2010288271.tif 000014
2010288271.tif 000015
2010288271.tif 000016
2010288271.tif 000017
2010288271.tif 000018
2010288271.tif 000019
2010288271.tif 000020
2010288271.tif 000021
2010288271.tif 000022
2010288271.tif 000023
2010288271.tif 000024
2010288271.tif 000025
2010288271.tif 000026
2010288271.tif 000027
2010288271.tif 000028
2010288271.tif 000029
2010288271.tif 000030
2010288271.tif 000031
2010288271.tif 000032
2010288271.tif 000033
2010288271.tif 000034
2010288271.tif 000035
2010288271.tif 000036