(57)【特許請求の範囲】
【請求項１】
訪問先ネットワーク内でローミング中のアクセス端末のデバイス認証を円滑にするための、前記アクセス端末において使用可能な方法であって、
前記アクセス端末のアクセス端末識別子に関連する検証鍵を取得するステップと、
前記アクセス端末識別子および前記検証鍵を使用して生成された認証データを含む第1のデバイス認証メッセージを生成するステップと、
前記訪問先ネットワークにアクセスする認可アクセス端末として前記アクセス端末を認証するために前記第1のデバイス認証メッセージを訪問先検証サーバに送信するステップと、
前記第1のデバイス認証メッセージを受信した前記訪問先検証サーバからの前記アクセス端末に関係するデバイス認証情報の要求に応答したホーム検証サーバによって提供された第2のデバイス認証メッセージと、前記第1のデバイス認証メッセージとの比較に依存する、前記訪問先検証サーバによる前記第1のデバイス認証メッセージの検証に基づいて前記アクセス端末に対して前記訪問先ネットワークへのアクセスを許可または拒否する通知を前記訪問先検証サーバから受信するステップと
を含む方法。
【請求項２】
前記検証鍵を受信するステップは、
専用/公開鍵ペアまたは共用秘密鍵のいずれかとして前記検証鍵を受信するステップ
を含む、請求項1に記載の方法。
【請求項３】
前記アクセス端末識別子および前記検証鍵を使用して生成された前記認証データを含む前記第1のデバイス認証メッセージを生成するステップは、
前記アクセス端末識別子および前記検証鍵によるデジタル署名を含む前記第1のデバイス認証メッセージを生成するステップ
を含む、請求項1に記載の方法。
【請求項４】
前記アクセス端末識別子および前記検証鍵を使用して生成された前記認証データを含む前記第1のデバイス認証メッセージを生成するステップは、
前記アクセス端末識別子およびアクセス端末認証トークンを含む前記第1のデバイス認証メッセージを生成するステップ
を含む、請求項1に記載の方法。
【請求項５】
前記第1のデバイス認証メッセージを生成するステップまたは前記第1のデバイス認証メッセージを送信するステップのいずれかの前に前記第1のデバイス認証メッセージに対する要求を受信するステップ
をさらに含む、請求項1に記載の方法。
【請求項６】
加入者に関連する情報を含む加入者認証メッセージを生成するステップと、
前記加入者がネットワークアクセスを認められていることを確認するために前記加入者認証メッセージを送信するステップと
をさらに含む、請求項1に記載の方法。
【請求項７】
アクセス端末であって、
訪問先ネットワークと通信するように動作可能なワイヤレス通信インターフェースと、
前記ワイヤレス通信インターフェースに結合された処理回路と
を含み、前記処理回路は、
前記アクセス端末のアクセス端末識別子に関連する検証鍵を取得し、
前記アクセス端末識別子および前記検証鍵を使用して生成された認証データを含む第1のデバイス認証メッセージを生成し、
前記訪問先ネットワークにアクセスする認可アクセス端末として前記アクセス端末を認証するように適合された前記第1のデバイス認証メッセージを前記ワイヤレス通信インターフェースを介して訪問先検証サーバに送信し、
前記第1のデバイス認証メッセージを受信した前記訪問先検証サーバからの前記アクセス端末に関係するデバイス認証情報の要求に応答したホーム検証サーバによって提供された第2のデバイス認証メッセージと、前記第1のデバイス認証メッセージとの比較に依存する、前記訪問先検証サーバによる前記第1のデバイス認証メッセージの検証に基づいて前記アクセス端末に対して前記訪問先ネットワークへのアクセスを許可または拒否する通知を前記ワイヤレス通信インターフェースを介して前記訪問先検証サーバから受信する
ように適合される、アクセス端末。
【請求項８】
前記検証鍵は専用/公開鍵ペアまたは共用秘密鍵のうちの1つを含む、請求項7に記載のアクセス端末。
【請求項９】
前記認証データは前記検証鍵によるデジタル署名を含む、請求項7に記載のアクセス端末。
【請求項１０】
前記認証データは、アクセス端末認証トークンを含み、前記処理回路は、前記訪問先検証サーバに前記アクセス端末識別子および前記アクセス端末認証トークンを送信するように適合される、請求項7に記載のアクセス端末。
【請求項１１】
前記処理回路は、
加入者に関連する情報を含む加入者認証メッセージを生成し、
前記加入者がネットワークアクセスを認められていることを確認するために前記加入者認証メッセージを送信する
ようにさらに適合される、請求項7に記載のアクセス端末。
【請求項１２】
アクセス端末であって、
前記アクセス端末のアクセス端末識別子に関連する検証鍵を取得するための手段と、
前記アクセス端末識別子および前記検証鍵を使用して生成された認証データを含む第1のデバイス認証メッセージを生成するための手段と、
訪問先ネットワークにアクセスする認可アクセス端末として前記アクセス端末を認証するために前記第1のデバイス認証メッセージを訪問先検証サーバに送信するための手段と、
前記第1のデバイス認証メッセージを受信した前記訪問先検証サーバからの前記アクセス端末に関係するデバイス認証情報の要求に応答したホーム検証サーバによって提供された第2のデバイス認証メッセージと、前記第1のデバイス認証メッセージとの比較に依存する、前記訪問先検証サーバによる前記第1のデバイス認証メッセージの検証に基づいて前記アクセス端末に対して前記訪問先ネットワークへのアクセスを許可または拒否する通知を前記訪問先検証サーバから受信するための手段と
を含むアクセス端末。
【請求項１３】
前記認証データは、前記検証鍵によるデジタル署名または前記検証鍵を使用して生成されたアクセス端末認証トークンのうちの少なくとも1つを含む、請求項12に記載のアクセス端末。
【請求項１４】
加入者に関連する情報を含む加入者認証メッセージを生成するための手段と、
前記加入者がネットワークアクセスを認められていることを確認するために前記加入者認証メッセージを送信するための手段と
をさらに含む、請求項12に記載のアクセス端末。
【請求項１５】
アクセス端末上で動作可能な1つまたは複数の命令を有するプロセッサ可読記録媒体であって、前記命令は、プロセッサによって実行されると、前記プロセッサに、
前記アクセス端末のアクセス端末識別子に関連する検証鍵を受信し、
前記アクセス端末識別子および前記検証鍵を使用して生成された認証データを含む第1のデバイス認証メッセージを生成し、
訪問先ネットワークにアクセスする認可アクセス端末として前記アクセス端末を認証するように適合された前記第1のデバイス認証メッセージを訪問先検証サーバに送信し、
前記第1のデバイス認証メッセージを受信した前記訪問先検証サーバからの前記アクセス端末に関係するデバイス認証情報の要求に応答したホーム検証サーバによって提供された第2のデバイス認証メッセージと、前記第1のデバイス認証メッセージとの比較に依存する、前記訪問先検証サーバによる前記第1のデバイス認証メッセージの検証に基づいて前記アクセス端末に対して前記訪問先ネットワークへのアクセスを許可または拒否する通知を前記訪問先検証サーバから受信する
ことを行わせる、プロセッサ可読記録媒体。
【請求項１６】
前記認証データは、前記検証鍵によるデジタル署名または前記検証鍵を使用して生成されたアクセス端末認証トークンのうちの少なくとも1つを含む、請求項15に記載のプロセッサ可読記録媒体。
【請求項１７】
アクセス端末上で動作可能な命令をさらに含み、前記命令は、プロセッサによって実行されると、前記プロセッサに、
加入者に関連する情報を含む加入者認証メッセージを生成し、
前記加入者がネットワークアクセスを認められていることを確認するために前記加入者認証メッセージを送信する
ことを行わせる、請求項15に記載のプロセッサ可読記録媒体。
【請求項１８】
訪問先ネットワーク内でローミングしているアクセス端末のデバイス認証を円滑にするための、訪問先検証サーバにおいて使用可能な方法であって、
前記アクセス端末のアクセス端末識別子および前記アクセス端末識別子に関連する検証鍵を使用して生成されたアクセス端末認証データを含む第1のデバイス認証メッセージを前記アクセス端末から受信するステップと、
前記アクセス端末に関係するデバイス認証情報を含む第2のデバイス認証メッセージを要求する前記アクセス端末識別子を含む要求をホーム検証サーバに送信するステップと、
前記ホーム検証サーバから前記第2のデバイス認証メッセージを受信するステップと、
受信した前記第1のデバイス認証メッセージと受信した前記第2のデバイス認証メッセージとの比較に基づいて前記アクセス端末を認証するステップと、
前記アクセス端末に対して前記訪問先ネットワークへのアクセスを許可または拒否する通知を前記アクセス端末に送信するステップと
を含む方法。
【請求項１９】
前記アクセス端末識別子および前記アクセス端末認証データを含む前記第1のデバイス認証メッセージを受信するステップは、
前記アクセス端末識別子および前記アクセス端末の前記アクセス端末識別子に関連する前記検証鍵によるデジタル署名を含む前記第1のデバイス認証メッセージを受信するステップ
を含む、請求項18に記載の方法。
【請求項２０】
受信した前記第1のデバイス認証メッセージに基づいて前記アクセス端末を認証するステップは、
前記アクセス端末識別子に関連する証明書を取得するステップと、
前記取り出された証明書を使用して前記第1のデバイス認証メッセージとともに含まれている前記デジタル署名を確認するステップと
を含む、請求項19に記載の方法。
【請求項２１】
前記アクセス端末認証データは、アクセス端末認証トークンを含み、前記第1のデバイス認証メッセージに基づいて前記アクセス端末を認証するステップは、
前記アクセス端末に関連する第2の認証トークンに対する要求をホーム検証サーバに送信するステップと、
前記ホーム検証サーバから前記第2の認証トークンを受信するステップと、
前記アクセス端末認証トークンを前記第2の認証トークンと比較するステップと、
前記アクセス端末認証トークンと前記第2の認証トークンとが合致した場合に、前記アクセス端末を認証し、前記訪問先ネットワーク内のネットワークアクセスを許容するステップと、
前記アクセス端末認証トークンと前記第2の認証トークンとが合致しなかった場合に、前記アクセス端末に対してネットワークアクセスを拒否するステップと
を含む、請求項18に記載の方法。
【請求項２２】
前記アクセス端末に対して前記認証メッセージを送信することを求める要求を送信するステップ
をさらに含み、前記要求は、前記アクセス端末から前記認証メッセージを受信する前に送られる、請求項18に記載の方法。
【請求項２３】
前記アクセス端末による加入者認証の開始からある時間が経過した後、前記アクセス端末から前記認証メッセージを受信していない場合に、前記要求が送信される、請求項22に記載の方法。
【請求項２４】
加入者に関連する情報を含む加入者認証メッセージを前記アクセス端末から受信するステップ
をさらに含む、請求項18に記載の方法。
【請求項２５】
訪問先検証サーバであって、
アクセス端末との通信を円滑にするように適合された通信インターフェースと、
前記通信インターフェースに結合された処理回路と
を含み、前記処理回路は、
前記アクセス端末のアクセス端末識別子および前記アクセス端末識別子に関連する検証鍵を使用して生成されたアクセス端末認証データを含む第1のデバイス認証メッセージを、前記通信インターフェースを介して前記アクセス端末から受信し、
前記アクセス端末に関係するデバイス認証情報を含む第2のデバイス認証メッセージを要求する前記アクセス端末識別子を含む要求をホーム検証サーバに送信し、
前記ホーム検証サーバから前記第2のデバイス認証メッセージを受信し、
受信した前記第1のデバイス認証メッセージと受信した前記第2のデバイス認証メッセージとの比較に基づいて前記アクセス端末を認証し、
前記アクセス端末に対して訪問先ネットワークへのアクセスを許可または拒否する通知を、前記通信インターフェースを介して前記アクセス端末に送信する
ように適合される、訪問先検証サーバ。
【請求項２６】
前記アクセス端末認証データは、前記アクセス端末の前記アクセス端末識別子に関連する前記検証鍵によるデジタル署名を含む、請求項25に記載の訪問先検証サーバ。
【請求項２７】
前記アクセス端末を認証するように適合される前記処理回路は、
前記アクセス端末識別子に関連する証明書を取得し、
前記取り出された証明書を使用して前記第1のデバイス認証メッセージとともに含まれている前記デジタル署名を確認する
ように適合される前記処理回路を含む、請求項26に記載の訪問先検証サーバ。
【請求項２８】
前記アクセス端末認証データは、アクセス端末認証トークンを含み、前記アクセス端末を認証するように適合される前記処理回路は、
前記アクセス端末に関連する第2の認証トークンに対する要求をホーム検証サーバに送信し、
前記ホーム検証サーバから前記第2の認証トークンを受信し、
前記アクセス端末認証トークンを前記第2の認証トークンと比較し、
前記アクセス端末認証トークンと前記第2の認証トークンとが合致した場合に、前記アクセス端末を認証し、前記訪問先ネットワーク内のネットワークアクセスを許容し、
前記アクセス端末認証トークンと前記第2の認証トークンとが合致しなかった場合に、前記アクセス端末に対してネットワークアクセスを拒否する
ように適合される前記処理回路を含む、請求項25に記載の訪問先検証サーバ。
【請求項２９】
前記処理回路は、
加入者に関連する情報を含む加入者認証メッセージを前記アクセス端末から受信する
ようにさらに適合される、請求項25に記載の訪問先検証サーバ。
【請求項３０】
訪問先検証サーバであって、
アクセス端末のアクセス端末識別子および前記アクセス端末識別子に関連する検証鍵を使用して生成されたアクセス端末認証データを含む第1のデバイス認証メッセージを前記アクセス端末から受信するための手段と、
前記アクセス端末に関係するデバイス認証情報を含む第2のデバイス認証メッセージを要求する前記アクセス端末識別子を含む要求をホーム検証サーバに送信するための手段と、
前記ホーム検証サーバから前記第2のデバイス認証メッセージを受信するための手段と、
受信した前記第1のデバイス認証メッセージと受信した前記第2のデバイス認証メッセージとの比較に基づいて前記アクセス端末を認証するための手段と、
前記アクセス端末に対して訪問先ネットワークへのアクセスを許可または拒否する通知を前記アクセス端末に送信するための手段と
を含む訪問先検証サーバ。
【請求項３１】
前記アクセス端末認証データは、前記アクセス端末識別子に関連する前記検証鍵によるデジタル署名、またはアクセス端末認証トークンのうちの少なくとも1つを含む、請求項30に記載の訪問先検証サーバ。
【請求項３２】
加入者に関連する情報を含む加入者認証メッセージを前記アクセス端末から受信するための手段
をさらに含む、請求項30に記載の訪問先検証サーバ。
【請求項３３】
訪問先検証サーバ上で動作可能な1つまたは複数の命令を有するプロセッサ可読記録媒体であって、前記命令は、プロセッサによって実行されると、前記プロセッサに、
アクセス端末のアクセス端末識別子および前記アクセス端末識別子に関連する検証鍵を使用して生成されたアクセス端末認証データを含む第1のデバイス認証メッセージを前記アクセス端末から受信し、
前記アクセス端末に関係するデバイス認証情報を含む第2のデバイス認証メッセージを要求する前記アクセス端末識別子を含む要求をホーム検証サーバに送信し、
前記ホーム検証サーバから前記第2のデバイス認証メッセージを受信し、
受信した前記第1のデバイス認証メッセージと受信した前記第2のデバイス認証メッセージとの比較に基づいて前記アクセス端末を認証し、
前記アクセス端末に対して訪問先ネットワークへのアクセスを許可または拒否する通知を前記アクセス端末に送信する
ことを行わせる、プロセッサ可読記録媒体。
【請求項３４】
前記アクセス端末認証データは、前記アクセス端末識別子に関連する前記検証鍵によるデジタル署名、またはアクセス端末認証トークンのうちの少なくとも1つを含む、請求項33に記載のプロセッサ可読記録媒体。
【請求項３５】
プロセッサに前記アクセス端末を認証することを行わせるように適合された前記1つまたは複数の命令は、プロセッサによって実行されると、前記プロセッサに、
前記アクセス端末識別子に関連する証明書を取得し、
前記取り出された証明書を使用して前記第1のデバイス認証メッセージとともに含まれている前記デジタル署名を確認する
ことを行わせる1つまたは複数の命令を含む、請求項34に記載のプロセッサ可読記録媒体。
【請求項３６】
プロセッサに前記アクセス端末を認証することを行わせるように適合された前記1つまたは複数の命令は、プロセッサによって実行されると、前記プロセッサに、
前記アクセス端末に関連する第2の認証トークンに対する要求をホーム検証サーバに送信し、
前記ホーム検証サーバから前記第2の認証トークンを受信し、
前記アクセス端末認証トークンを前記第2の認証トークンと比較し、
前記アクセス端末認証トークンと前記第2の認証トークンとが合致した場合に、前記アクセス端末を認証し、前記訪問先ネットワーク内のネットワークアクセスを許容し、
前記アクセス端末認証トークンと前記第2の認証トークンとが合致しなかった場合に、前記アクセス端末に対してネットワークアクセスを拒否する
ことを行わせる1つまたは複数の命令を含む、請求項34に記載のプロセッサ可読記録媒体。
【請求項３７】
プロセッサによって実行されると、前記プロセッサに、
加入者に関連する情報を含む加入者認証メッセージを前記アクセス端末から受信する
ことを行わせる1つまたは複数の命令をさらに含む、請求項33に記載のプロセッサ可読記録媒体。
【請求項３８】
訪問先ネットワーク内でローミングしているアクセス端末のデバイス認証を円滑にするための、ホーム検証サーバにおいて使用可能な方法であって、
前記アクセス端末のアクセス端末識別子および前記アクセス端末識別子に関連する検証鍵を使用して生成されたアクセス端末認証データを含む第1のデバイス認証メッセージを受信した訪問先検証サーバから、前記アクセス端末に関係するデバイス認証情報を要求する、前記アクセス端末に関連する前記アクセス端末識別子を含む送信を受信するステップと、
前記要求されたデバイス認証情報を含む第2のデバイス認証メッセージを生成するステップと、
前記訪問先検証サーバによる前記第1のデバイス認証メッセージと前記第2のデバイス認証メッセージとの比較に基づく前記アクセス端末の認証のために、前記訪問先検証サーバに前記第2のデバイス認証メッセージを送信するステップと
を含む方法。
【請求項３９】
前記アクセス端末に関係するデバイス認証情報を要求する前記送信を受信するステップは、
前記アクセス端末に関連する認証トークンに対する要求を前記訪問先検証サーバから受信するステップ
を含む、請求項38に記載の方法。
【請求項４０】
前記要求されたデバイス認証情報を含む前記第2のデバイス認証メッセージを生成するステップは、
前記送信に含まれている前記アクセス端末識別子を使用して前記認証トークンを生成するステップ
を含む、請求項39に記載の方法。
【請求項４１】
前記アクセス端末のユーザに関連する加入者情報を含む加入者認証メッセージを受信するステップ
をさらに含む、請求項38に記載の方法。
【請求項４２】
ホーム検証サーバであって、
通信インターフェースと、
前記通信インターフェースに結合された処理回路と
を含み、前記処理回路は、
アクセス端末のアクセス端末識別子および前記アクセス端末識別子に関連する検証鍵を使用して生成されたアクセス端末認証データを含む第1のデバイス認証メッセージを受信した訪問先検証サーバから、前記アクセス端末に関係するデバイス認証情報を要求する、前記アクセス端末に関連する前記アクセス端末識別子を含む送信を受信し、
前記要求されたデバイス認証情報を含む第2のデバイス認証メッセージを生成し、
前記訪問先検証サーバによる前記第1のデバイス認証メッセージと前記第2のデバイス認証メッセージとの比較に基づく前記アクセス端末の認証のために、前記訪問先検証サーバに前記第2のデバイス認証メッセージを送信する
ように適合される、ホーム検証サーバ。
【請求項４３】
デバイス認証情報を要求する前記送信は、前記アクセス端末に関連する認証トークンに対する前記訪問先検証サーバからの要求を含む、請求項42に記載のホーム検証サーバ。
【請求項４４】
前記要求されたデバイス認証情報を含む前記第2のデバイス認証メッセージを生成するように適合される前記処理回路は、
前記送信に含まれている前記アクセス端末識別子を使用して前記認証トークンを生成する
ように適合される前記処理回路を含む、請求項43に記載のホーム検証サーバ。
【請求項４５】
前記処理回路は、
前記アクセス端末のユーザに関連する加入者情報を含む加入者認証メッセージを受信する
ようにさらに適合される、請求項42に記載のホーム検証サーバ。
【請求項４６】
ホーム検証サーバであって、
アクセス端末のアクセス端末識別子および前記アクセス端末識別子に関連する検証鍵を使用して生成されたアクセス端末認証データを含む第1のデバイス認証メッセージを受信した訪問先検証サーバから、前記アクセス端末に関係するデバイス認証情報を要求する、前記アクセス端末に関連する前記アクセス端末識別子を含む送信を受信するための手段と、
前記要求されたデバイス認証情報を含む第2のデバイス認証メッセージを生成するための手段と、
前記訪問先検証サーバによる前記第1のデバイス認証メッセージと前記第2のデバイス認証メッセージとの比較に基づく前記アクセス端末の認証のために、前記訪問先検証サーバに前記第2のデバイス認証メッセージを送信するための手段と
を含むホーム検証サーバ。
【請求項４７】
ホーム検証サーバ上で動作可能な1つまたは複数の命令を有するプロセッサ可読記録媒体であって、前記命令は、プロセッサによって実行されると、前記プロセッサに、
アクセス端末のアクセス端末識別子および前記アクセス端末識別子に関連する検証鍵を使用して生成されたアクセス端末認証データを含む第1のデバイス認証メッセージを受信した訪問先検証サーバから、前記アクセス端末に関係するデバイス認証情報を要求する、前記アクセス端末に関連する前記アクセス端末識別子を含む送信を受信し、
前記要求されたデバイス認証情報を含む第2のデバイス認証メッセージを生成し、
前記訪問先検証サーバによる前記第1のデバイス認証メッセージと前記第2のデバイス認証メッセージとの比較に基づく前記アクセス端末の認証のために、前記訪問先検証サーバに前記第2のデバイス認証メッセージを送信する
ことを行わせる、プロセッサ可読記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
米国特許法第119条による優先権の主張
本特許出願は、いずれも本出願の譲受人に譲渡され、参照により明確に本明細書に組み込まれる、2010年10月22日に出願された「Mobile Handset Authentication in a Roaming Network」と題する仮出願第61/406,017号、および2011年1月22日に出願された「Mobile Handset Authentication in a Roaming Network」と題する仮出願第61/435,267号の優先権を主張する。
【０００２】
本明細書で開示する様々な特徴は、一般には、ワイヤレス通信システムに関し、少なくともいくつかの特徴は、より具体的には、ローミングネットワークにおけるアクセス端末識別情報の認証を円滑にするための方法およびデバイスに関する。
【背景技術】
【０００３】
モバイル電話、ページャ、ワイヤレスモデム、携帯情報端末、個人情報マネージャ(PIM)、パーソナルメディアプレーヤ、タブレットコンピュータ、ラップトップコンピュータ、またはワイヤレス信号により他のデバイスと通信するプロセッサを有する他のあらゆるデバイスなどのアクセス端末は、ますます人気が高まり、より頻繁に使われるようになっている。ワイヤレス通信ネットワーク内でそのようなアクセス端末を使う加入者は通常、ワイヤレス通信ネットワークによって認証されてから、呼を開始および/または受信し、データを送信および/または受信するためのアクセスを認められる。従来、ワイヤレス通信ネットワークは、たとえば、GSM(登録商標)ネットワーク用のアクセス端末の加入者識別モジュール(SIM)、UMTS/LTEネットワーク用のユニバーサル加入者識別モジュール(USIM)およびCDMAネットワーク用のリムーバブルユーザ識別モジュール(RUIM)に含まれ、それによって与えられる暗号情報を含むユーザ識別情報を確認することによって、加入者を認証する。これらのSIM、USIMおよびRUIMは通常、アクセス端末の加入者/ユーザについての情報を含むとともにアクセス端末から取外し可能な、チップおよびピンに基づくカードである。そのようなリムーバブルユーザ識別モジュールを装備するアクセス端末のユーザは通常、SIM、USIMまたはRUIMカードを、あるアクセス端末から取り外し、別のアクセス端末にカードを入れることが可能であり、そうすることによって、自分の加入者情報を、あるアクセス端末から別のアクセス端末に容易に移送する。しかしながら、セルラーネットワークはもともと、アクセス端末デバイス自体を認証しない。
【０００４】
従来のワイヤレス通信ネットワークは、アクセス端末において使われる加入者カード(たとえば、SIM、USIM、RUIM)を認証するように適合されているが、ワイヤレス通信ネットワークが、アクセス端末自体を認証し、アクセス端末認証の出力結果に基づいて、アクセス端末に対してネットワークアクセスを拒否し、または許容することが望ましい場合もある。ネットワークオペレータが、加入者カードに加えてアクセス端末を認証することを望むのには、いくつかの理由がある。
【０００５】
1つの理由として、たとえば、盗まれたか紛失したアクセス端末の使用を禁止するための、アクセス端末の認証がある。たとえば、ユーザはアクセス端末の紛失届または盗難届をすることができ、新しい加入者カードをアクセス端末に入れたとしても、紛失したか盗まれたアクセス端末の操作はネットワークからブロックできるので、潜在的な泥棒にはアクセス端末を盗むインセンティブがほとんどない。
【０００６】
別の理由として、ワイヤレス通信ネットワーク内での使用が承認されていないアクセス端末(たとえば、灰色市場のアクセス端末)を無認可製造元が生産または刷新するのを阻止するための、アクセス端末の認証がある。そのような無認可アクセス端末は、たとえば、送信電力、ネットワークオペレータにライセンス供与されていない隣接帯域への漏洩などを対象とする厳しい規制に適合していない。アクセス端末自体を認証する認証システムを使用することによって、ネットワークオペレータは、有効なアクセス端末識別での認証に失敗した無認可製造元によって生産または刷新されたアクセス端末へのサービスを拒否することができる。
【０００７】
さらに別の理由は、部分的には無認可アクセス端末の使用により実施されるテロ攻撃の危険性に関するものである。政府機関は最近、ネットワークオペレータが、ネットワークオペレータのワイヤレス通信ネットワーク内で動作している全アクセス端末を突き止め、追跡し、認証し、不能にすることが可能であってほしいという強い要望を表明している。アクセス端末を認証し、それに従ってサービスを拒否できることは、犯罪活動を止める上で有利であろう。
【０００８】
ワイヤレス通信ネットワークがアクセス端末の識別情報(ID)について問い合わせることを可能にする機構が、現在存在している。たとえば、ワイヤレス通信ネットワーク(たとえば、GSM(登録商標)ネットワーク、WCDMA(登録商標)ネットワーク、TD-SCDMAネットワーク)が、3GPP準拠アクセス端末の国際モバイル機器識別情報(IMEI)番号について問い合わせ、調べることもでき、またはワイヤレス通信ネットワーク(たとえば、CDMA)が、3GPP2準拠アクセス端末のモバイル機器識別子(MEID)について問い合わせ、調べることもできる。ただし、アクセス端末のIDを取得するためのこれらの既存機構は、アクセス端末から受信されたIDが、そのアクセス端末に実際に属すことをまったく保証できていない。たとえば、無認可アクセス端末が、認可アクセス端末のIDを不正にコピーし、または場合によっては取得し、次いで、その海賊版IDを要求側ワイヤレス通信ネットワークに与える可能性がある。そのような状況では、従来のワイヤレス通信ネットワークは、認可アクセス端末と、偽造IDを利用する無認可アクセス端末とを見分けることは不可能である。
【発明の概要】
【発明が解決しようとする課題】
【０００９】
したがって、アクセス端末の識別情報の発見と検証の両方を行うように適合された方法、装置、および/またはシステムが必要である。
【課題を解決するための手段】
【００１０】
様々な特徴は、アクセス端末が訪問先ネットワーク内でローミングしており、ホームネットワークから離れているときのアクセス端末識別情報の認証を円滑にする
【００１１】
1つの特徴は、そのようなデバイス認証を円滑にするように適合されたアクセス端末を提供する。これらのアクセス端末は、訪問先ネットワークと通信するように動作可能なワイヤレス通信インターフェースと、ワイヤレス通信インターフェースに結合された処理回路とを含むことができる。処理回路は、アクセス端末のアクセス端末識別子に関連する検証鍵を取得するように適合され得る。処理回路は、アクセス端末識別子および検証鍵を少なくとも部分的に使用して生成された認証データを含むデバイス認証メッセージを生成することができ、ワイヤレス通信インターフェースを介してデバイス認証メッセージを送信することができる。デバイス認証メッセージは、訪問先ネットワークにアクセスする認可アクセス端末としてアクセス端末を認証するように適合される。処理回路は、デバイス認証メッセージの検証に基づいて、アクセス端末に対して訪問先ネットワークへのアクセスを許可または拒否する通知を、ワイヤレス通信インターフェースを介して受信するようにさらに適合され得る。
【００１２】
訪問先ネットワーク内でローミング中のアクセス端末のデバイス認証を円滑にするための、ある特徴による、アクセス端末において使用可能な方法も提供される。そのような方法の少なくとも1つの実装形態では、たとえば、アクセス端末は、アクセス端末のアクセス端末識別子に関連する検証鍵を取得することができる。デバイス認証メッセージは、アクセス端末識別子および検証鍵を少なくとも部分的に使用して生成された認証データを含むように生成され得る。デバイス認証メッセージは、訪問先ネットワークにアクセスする認可アクセス端末としてアクセス端末を認証するために送信され得る。デバイス認証メッセージの検証に基づいて、アクセス端末に対して訪問先ネットワークへのアクセスを許可または拒否する通知が受信され得る。
【００１３】
別の特徴は、訪問先ネットワーク内でローミングしているアクセス端末のデバイス認証を円滑するように適合された訪問先検証サーバを提供する。少なくともいくつかの実施形態によれば、そのような訪問先検証サーバは、アクセス端末との通信を円滑にするように適合された通信インターフェースと、通信インターフェースに結合された処理回路とを含むことができる。処理回路は、通信インターフェースを介してアクセス端末からデバイス認証メッセージを受信するように適合され得る。デバイス認証メッセージは、アクセス端末識別子およびアクセス端末認証データを含むことができる。処理回路は、受信したデバイス認証メッセージに基づいてアクセス端末を認証するようにさらに適合され得る。処理回路はまた、アクセス端末に対して訪問先ネットワークへのアクセスを許可または拒否する通知を、通信インターフェースを介してアクセス端末に送信するように適合され得る。
【００１４】
訪問先ネットワーク内でローミングしているアクセス端末のデバイス認証を円滑にするための、ある特徴による、訪問先検証サーバにおいて使用可能な方法も提供される。そのような方法の少なくとも1つの実装形態では、たとえば、訪問先検証サーバは、アクセス端末からデバイス認証メッセージを受信することができる。デバイス認証メッセージは、アクセス端末識別子およびアクセス端末認証データを含むことができる。アクセス端末は、受信されたデバイス認証メッセージに基づいて認証されることがあり、アクセス端末に対して訪問先ネットワークへのアクセスを許可または拒否する通知がアクセス端末に送信され得る。
【００１５】
さらなる特徴は、訪問先ネットワーク内でローミングしているアクセス端末のデバイス認証を円滑するためのホーム検証サーバを提供する。1つまたは複数の実施形態によれば、そのようなホーム検証サーバは、処理回路に結合された通信インターフェースを含み得る。処理回路は、アクセス端末に関係するデバイス認証情報を要求する送信を受信するように適合可能であり、この場合に送信は、アクセス端末に関連するアクセス端末識別子を含む。送信は、デバイス認証メッセージまたはアクセス端末に関連する認証トークンに対する要求を含むことができる。処理回路は、要求されたデバイス認証情報(たとえば、デバイス認証メッセージが認証されたことを示す指示、認証トークン)を含む応答を生成することができる。処理回路は、通信インターフェースを介して訪問先検証サーバに応答を送信することができる。
【００１６】
訪問先ネットワーク内でローミングしているアクセス端末のデバイス認証を円滑にするための、ある特徴による、ホーム検証サーバにおいて使用可能な方法も提供される。そのような方法の少なくとも1つの実装形態では、たとえば、ホーム検証サーバは、アクセス端末に関係するデバイス認証情報を要求する送信を受信することができ、この場合に送信は、アクセス端末に関連するアクセス端末識別子を含む。送信は、デバイス認証メッセージまたはアクセス端末に関連する認証トークンに対する要求を含むことができる。要求されたデバイス認証情報(たとえば、デバイス認証メッセージが認証されたことを示す指示、認証トークン)を含むように応答が生成され得る。処理回路は、通信インターフェースを介して訪問先検証サーバに応答を送信することができる。
【図面の簡単な説明】
【００１７】
【図１】本開示の1つまたは複数の実装形態がアプリケーションを内部で見つけることができるワイヤレス通信環境の例を示すブロック図である。
【図２】デバイス認証がホームネットワークのホーム検証サーバによって実行される、訪問先ネットワーク内でローミングしているアクセス端末を認証する例を示す流れ図である。
【図３】デバイス認証がホームネットワークのホーム検証サーバによって実行される、訪問先ネットワーク内でローミングしているアクセス端末を認証する別の例を示す流れ図である。
【図４】デバイス認証が訪問先検証サーバによって実行される、訪問先ネットワーク内でローミングしているアクセス端末を認証する例を示す流れ図である。
【図５】デバイス認証がデバイス認証トークンを使用して実行される、訪問先ネットワーク内でローミングしているアクセス端末を認証する例を示す流れ図である。
【図６】アクセス端末の少なくとも1つの実施形態の機能ブロック図である。
【図７】アクセス端末が訪問先ネットワーク内でローミングしているときに、アクセス端末のデバイス認証を円滑にするための、アクセス端末において使用可能な方法の例を示す流れ図である。
【図８】訪問先検証サーバの少なくとも1つの実施形態の機能ブロック図である。
【図９】訪問先ネットワーク内でローミングしているアクセス端末のデバイス認証を円滑にするための、訪問先検証サーバにおいて使用可能な方法の例を示す流れ図である。
【図１０】ホーム検証サーバの少なくとも1つの実施形態の機能ブロック図である。
【図１１】訪問先ネットワーク内でローミングしているアクセス端末のデバイス認証を円滑にするための、ホーム検証サーバにおいて使用可能な方法の例を示す流れ図である。
【発明を実施するための形態】
【００１８】
以下の説明では、説明する実装形態を完全に理解することができるように具体的な詳細を与える。ただし、実装形態はこれらの具体的な詳細なしに実施され得ることを当業者は理解されよう。たとえば、実装形態を不要な詳細で不明瞭にしないように回路をブロック図で示すことがある。他の場合には、これらの実装形態を不明瞭にしないように、よく知られている回路、構造および技法を詳細に示すことがある。
【００１９】
「例示的」という言葉は、「一例、実例または例として」を意味するために本明細書で使用される。本明細書に「例示的」と記載されたいかなる実装形態または実施形態も、必ずしも他の実施形態または実装形態よりも好ましいまたは有利であると解釈されるべきではない。同様に、「実施形態」という用語は、すべての実施形態が、論じられた特徴、利点または動作モードを含むことを必要としない。本明細書で使用する「アクセス端末」という用語は、広く解釈されるものとする。たとえば、「アクセス端末」は、モバイル電話、ページャ、ワイヤレスモデム、携帯情報端末、個人情報マネージャ(PIM)、パーソナルメディアプレーヤ、タブレットコンピュータ、ラップトップコンピュータ、および/または少なくとも部分的にはワイヤレスもしくはセルラーネットワークを介して通信する他のモバイル通信/コンピューティングデバイスを含み得る。
【００２０】
概観
アクセス端末が訪問先ネットワーク内でローミングしており、ホームネットワークから離れている場合にアクセス端末を認証する様々な方法が提示される。加入者/ユーザ認証に加えて、アクセス端末認証が実行され得る。いくつかの実施形態では、アクセス端末によって生成されたデバイス認証メッセージは、認証および承認のために訪問先ネットワークによってホームネットワークに転送される。他の実施形態では、デバイス認証メッセージは、IPアドレスなどのホームネットワークのグローバルアドレスを使用して、認証のためにアクセス端末からホームネットワークに直接送られる。他の実施形態では、訪問先ネットワークは、ルート証明書にアクセスして、アクセス端末によって送信された署名を確認することによって、アクセス端末自体を認証する。他の実施形態では、訪問先ネットワークは、アクセス端末およびホームネットワークからデバイス認証トークンを受信する。2つの認証トークンが合致した場合、アクセス端末は認証される。
【００２１】
本明細書で提示するアクセス端末デバイス認証に関する実施形態はすべて、加入者/ユーザを認証するために実行される任意の他の認証手順(たとえば、SIMおよび/またはRUIMの認証)の前に、かかる認証手順の後に、またはかかる認証手順と同時に実行され得る。
【００２２】
加えて、別の態様によれば、ホームネットワークまたは訪問先ネットワークは、アクセス端末認証を開始するためにアクセス端末にアクセス端末認証要求を送ることができる。たとえば、ホームネットワークまたは訪問先ネットワークは、加入者認証がアクセス端末によって/アクセス端末のために開始されるようなトリガイベントを認識すると、アクセス端末にそのようなデバイス認証要求を送ることができる。アクセス端末認証要求を送ったことに応答して、アクセス端末は、アクセス端末を認証するためにデバイス認証メッセージを送ることができる。
【００２３】
例示的なネットワーク動作環境
図1は、ホームネットワーク120に関連するアクセス端末110が訪問先ネットワーク150内で「ローミング」しているワイヤレス通信環境を示している。たとえば、アクセス端末110は、訪問先ネットワーク150の基地局154によってサービスされているセル152内に位置することがある。ワイヤレス電気通信では、「ローミング」は、ホームネットワーク120のようなサービスが登録されているホームロケーションとは異なる訪問先ネットワーク150のようなロケーションでの接続サービスの拡張を指す一般的な用語である。ローミングは、アクセス端末110が接続を失うことなくネットワークに接続され続けるようにする。図1に示すように、ホームネットワーク120および訪問先ネットワーク150は互いに通信することができる。
【００２４】
アクセス端末110は、データを送る、または受信する(たとえば、呼を開始し受信する、データメッセージを送信し受信する)ために訪問先ネットワーク150によって提供されるワイヤレス通信へのアクセスを希望することがある。しかしながら、本開示の少なくとも1つの特徴によれば、アクセス端末110が訪問先ネットワーク150内でそのようなアクセスを許容される前に、加入者がネットワークの使用を認められていること、およびアクセス端末デバイス110が、たとえば、ネットワークで使用するアクセス端末を作るライセンスを供与された認可相手先商標製造会社(OEM)によって作られた認可ハンドセットであることを保証するために、加入者とアクセス端末デバイス110の両方が認証される。
【００２５】
加入者識別モジュール(SIM)、ユニバーサル加入者識別モジュール(USIM)、CDMA加入者識別モジュール(CSIM)、またはリムーバブルユーザ識別モジュール(RUIM)のような、加入者情報を識別するリムーバブルユーザ識別(または加入者識別)モジュールを有することに加えて、アクセス端末110は、アクセス端末110に固有のアクセス端末識別子(ID)も含む。このアクセス端末識別子は、たとえば、端末が3GPP準拠である場合に国際モバイル機器識別情報(IMEI)、または端末が3GPP2準拠である場合にモバイル機器識別子(MEID)であり得る。さらに、アクセス端末110はデバイス証明書を含むことができ、このデバイス証明書もアクセス端末デバイス110に固有であり、アクセス端末IDに関連する。たとえば、一実施形態では、アクセス端末110のOEMは、証明局(CA)180のような管理局として機能して、検証鍵、たとえば暗号鍵(たとえば、認証鍵)またはデジタル証明書をアクセス端末110に発行し、さらにアクセス端末110に関連する検証鍵を記憶することができる。他の実施形態では、検証鍵を従来型の無線プロビジョニングプロセスを使用してプロビジョニングすることができ、この場合に検証鍵は、ワイヤレス送信を介してアクセス端末110に提供される。様々な実施形態では、検証鍵は、不正アクセスから保護されるような方法で、アクセス端末110によって記憶される必要がある。
【００２６】
このようにして、アクセス端末110は、アクセス端末110が他のデバイスまたはネットワーク構成要素に送るメッセージにデジタル署名するのに使用され得る、アクセス端末110に関連する(たとえば、アクセス端末識別子(ID)に関連する)専用-公開鍵ペアまたは共用秘密鍵のような検証鍵をプロビジョニングされ得る。たとえば、アクセス端末110は、専用鍵を使用して受信者に送るつもりのメッセージにデジタル署名することができる。次いで、メッセージの受信者は、アクセス端末IDに関連する公開鍵を使用して、メッセージが実際にアクセス端末110によって送られたことを確認することができる。CA180は、すべてのアクセス端末のすべての公開鍵を保有し、それらが真正であることを証明するので、受信者は、デジタル署名されたデータおよび証明書が有効なアクセス端末110に関連していることを信頼することができる。図1に示すように、CA180は、訪問先ネットワーク150およびホームネットワーク120と通信することができる。
【００２７】
一実施形態では、CA180は、アクセス端末のOEMに属することができ、ルートCAの役割を担い、それらのアクセス端末にデジタル証明書を直接発行することができる。代替的に、OEMは中間CAの働きをし、それら自体のアクセス端末に証明書を発行することができ、一方でルートCAは、世界的または地域的なデバイス識別の管理権限であり得る。その場合、ルートCAは、OEM CAの各々に証明書を発行する。証明書チェーンのすべての証明書がアクセス端末110にプロビジョニングされる必要がある。アクセス端末110のIDは、アクセス端末証明書の一部であり得る。加えて、OEMは専用鍵をアクセス端末110にプロビジョニングし、専用鍵は不正アクセスから保護される必要がある。
【００２８】
他の実施形態では、検証鍵は共用秘密鍵を含むことができる。そのような実施形態では、アクセス端末110は、デジタル証明書公開鍵インフラストラクチャ(digital certificate public-key infrastructure)を利用しなくてもよいが、代わりに、そのアクセス端末識別情報(ID)に関連する共用秘密鍵を記憶する。共用秘密鍵は、アクセス端末110のほか、ホームネットワーク120のみが知る必要がある。たとえば、共用秘密鍵は、ホームネットワーク120の検証サーバ122に記憶され得る。そのような共用秘密鍵は、たとえば、デバイス製造元によってプロビジョニングされ得る。
【００２９】
各ネットワークオペレータはローカル検証サーバを有する。たとえば、訪問先ネットワーク150は、訪問先検証サーバ156を含むことができ、ホームネットワーク120は、ホーム検証サーバ122を含むことができる。訪問先検証サーバ156(たとえば、実行ノード)は、所与のアクセス端末110を認証し、ネットワークへの通信アクセスを許容することを担当することができる。アクセス端末110が公開鍵証明書を含む実施形態では、ホームネットワーク120はホーム検証サーバ122に、信頼できるアクセス端末ルート証明書および/または信頼できるOEM証明書のリストを提供する。代わりにアクセス端末110に共用秘密鍵が記憶される実施形態では、各認可アクセス端末IDおよびそれらの対応する共用秘密鍵がホーム検証サーバ122に提供される。
【００３０】
加入者の認証とは別個のアクセス端末110の認証が、訪問先ネットワーク150によって、またはホームネットワーク120によって実行され得る。アクセス端末110の認証に以下の方法のうちのいずれを使用するかを決めるのは、ネットワークオペレータ次第である。しかしながら、認証結果は通常、アクセス端末110に対してネットワークアクセスを許可または拒否するために訪問先ネットワーク150によって実行される。訪問先ネットワーク150の実行ノード(EN)は、訪問先ネットワーク150の訪問先検証サーバ156の一部であり得るが、いくつかの実施形態では、訪問先検証サーバ156とは独立のものであり得る。
【００３１】
例示的なパススルーデバイス認証
図2を参照すると、一実施形態では、アクセス端末110の認証がホームネットワーク120のホーム検証サーバ122によって実行される。ステップ202において、アクセス端末110はアクセス端末(またはデバイス)認証メッセージを、訪問先ネットワーク150における訪問先検証サーバ156に送信する。デバイス認証メッセージは、アクセス端末110に固有の情報を含む。たとえば、デバイス認証メッセージは、アクセス端末IDおよびアクセス端末IDに関連する検証鍵を使用して生成されたデジタル署名を含むことができる。いくつかの実施形態では、デバイス認証メッセージは、他の無認可アクセス端末によるリプレーアタックを防ぐためのナンス(たとえば、暗号化ナンス、または1回使用される番号)のようなランダム要素を含む。デバイス認証メッセージは、SMS、IPデータパケットの形態で、または訪問先ネットワーク150で受け入れられる任意の他のフォーマットであってよく、アクセス端末110のホームネットワーク120に関する情報を含むことができる。ステップ204において、訪問先検証サーバ156はこのアクセス端末認証メッセージをホームネットワーク120に転送する。
【００３２】
ステップ206において、ホーム検証サーバ122は、デバイス認証メッセージを使用してアクセス端末110を認証する。たとえば、ホーム検証サーバ122は、アクセス端末110によって署名されていることのあるデバイス認証メッセージ内のデジタル署名を、公開鍵インフラストラクチャに関連する端末110の専用鍵を使用して確認することができる。ホームネットワーク120に知られていることのある、あるいはホームネットワーク120にとってアクセス可能なことのあるアクセス端末110の識別情報(ID)に対応する公開鍵を使用して、ホーム検証サーバ122は、デジタル署名の確認を試みることができる。公開鍵を使用した確認が成功した場合、アクセス端末110を認証することができ、その理由は、認可アクセス端末110のみが、アクセス端末識別情報(ID)とデータに署名するのに使用される関連する検証鍵の両方にアクセスすることにある。様々な実施形態では、デジタル署名の確認は、たとえば、アクセス端末110から受信したか、任意の信頼できる第三者から取得したホームネットワーク120内のサーバ(たとえば、ホーム検証サーバ122)、証明局180に記憶されている証明書を取得することを含むことができる。
【００３３】
別の実施形態では、ホーム検証サーバ122は、アクセス端末110の共用秘密鍵を使用して、アクセス端末110によって署名されていることのあるデバイス認証メッセージ内のデジタル署名を確認することができる。この場合、ホーム検証サーバ122は、ホームネットワーク内、たとえばホーム検証サーバ122に記憶されているアクセス端末識別情報(ID)に対応する共用秘密鍵を使用して、デジタル署名を確認する。
【００３４】
ステップ208において、ホーム検証サーバ122は訪問先検証サーバ156に対し、認証が成功したか、それとも失敗したかを通知する。ステップ210において、次いで訪問先検証サーバ156は、ホーム検証サーバ122によって報告された認証結果に基づいて、要求側アクセス端末110に対してネットワークへのアクセスを許可または拒否する。アクセス端末110に対するアクセスのそのような許可または拒否は、別個の先行する、同時の、または後続の加入者認証プロセスとは別個のものであってよいことに留意されたい。たとえば、いくつかの実装形態では、アクセス端末認証メッセージ(202)は、加入者認証プロセスも含む複合型認証プロセスの一部であり得る。
【００３５】
少なくともいくつかの実装形態では、アクセス端末110は自発的にアクセス端末認証メッセージ(202)を送信することができる。たとえば、アクセス端末110は、加入者認証プロセスも含む複合型認証プロセスのような、ネットワークへのアクセスを要求するための一般的なプロセスの一部として自発的に、アクセス端末認証メッセージ(202)を生成すること、および/または訪問先検証サーバ156に送信することができる。
【００３６】
他の実装形態では、アクセス端末110は、訪問先検証サーバ156から送信されたアクセス端末認証要求(212)に応答して、アクセス端末認証メッセージ(202)を生成および/または送信することができる。たとえば、アクセス端末110はネットワークへのアクセスを要求することがあり、それに伴い訪問先検証サーバ156は、アクセス端末認証メッセージ(202)を送信することをアクセス端末110に対して求める要求(212)を送信することがある。アクセス端末認証メッセージ(202)が送られたが、訪問先検証サーバ156によって受信されていない場合や、アクセス端末認証メッセージ(202)がアクセス端末110から送信されていない場合がある。いくつかの実装形態では、訪問先検証サーバ156は、アクセス端末110を周期的に認証するために周期的間隔で(たとえば、30秒ごとに、2時間ごとに、24時間ごとに、など)要求(212)を送ることができる。いくつかの例では、訪問先検証サーバ156が、要求(212)を送信した後、所定の時間内にアクセス端末認証メッセージ(202)を受信しなかった場合、後続要求(212)が送られ得る。訪問先検証サーバ156が、アクセス端末110からのアクセス端末認証メッセージ(202)に対する要求(212)を所定の数だけ送った後、アクセス端末認証メッセージ(202)が来ていない場合、訪問先検証サーバ156はアクセス端末110に対してネットワークアクセスを拒否することができる。
【００３７】
さらに他の実装形態では、アクセス端末認証要求(212)はフェイルオーバー機能であってよく、この場合に訪問先ネットワーク検証サーバ156は、アクセス端末加入者/ユーザ認証が開始された後、またはアクセス端末110が訪問先ネットワークに接続された後、ある時間内にアクセス端末からデバイス認証メッセージを受信していない場合、要求(212)を送る。
【００３８】
ホーム検証サーバによる例示的なデバイス認証
図3は、デバイス認証がホームネットワーク120によって実行される、訪問先ネットワーク150内でローミングしていることのあるアクセス端末110を認証するための別の実施形態を示している。ステップ302において、アクセス端末110はアクセス端末(またはデバイス)認証メッセージを、ホーム検証サーバ122に直接送信する。ホーム検証サーバ122は、IPアドレスのようなグローバルに経路指定可能なアドレスならびに/またはアクセス端末110がデバイス認証メッセージおよび他のデータを直接送るために使用できるSMSメッセージ用のグローバルに経路指定可能なディレクトリ番号を有する。アクセス端末110は訪問先ネットワーク150内でローミングしているので、アクセス端末110がデバイス認証メッセージをホーム検証サーバ122に送信するのを可能にするために、アクセス端末110は訪問先ネットワーク150によって制限付きアクセスを許可され得る。たとえば、アクセス端末110は、データチャネルへの制限付きアクセスを許容されることがあり、またはアクセス端末110は、ホーム検証サーバ122にデバイス認証メッセージを送るために、加入者認証に使用される同じチャネルを用いることが可能であり得る。
【００３９】
デバイス認証メッセージは、アクセス端末110に固有の情報を含む。たとえば、デバイス認証メッセージは、アクセス端末IDおよびアクセス端末IDに関連する検証鍵を使用して生成されたデジタル署名を含むことができる。いくつかの実施形態では、デバイス認証メッセージは、他の無認可アクセス端末によるリプレーアタックを防ぐためのナンス(たとえば、暗号化ナンス、または1回使用される番号)のようなランダム要素を含む。デバイス認証メッセージはまた、どの訪問先ネットワーク150からアクセス端末110がネットワークアクセスを得ようとしているかに関する情報を含むことができる。
【００４０】
デバイス認証メッセージを受信した後、ステップ304において、ホーム検証サーバ122は、デバイス認証メッセージを使用してアクセス端末110を認証する。たとえば、ホーム検証サーバ122は、アクセス端末110によって署名されていることのあるデバイス認証メッセージ内のデジタル署名を、公開鍵インフラストラクチャに関連する端末110の専用鍵を使用して確認することができる。ホームネットワーク120に知られている、あるいはホームネットワーク120にとってアクセス可能なアクセス端末110の識別情報(ID)に対応する公開鍵を使用して、ホーム検証サーバ122は、デジタル署名の確認を試みることができる。公開鍵を使用した確認が成功した場合、アクセス端末110を認証することができ、その理由は、認可アクセス端末110のみが、アクセス端末IDとデータに署名するのに使用される関連する検証鍵の両方にアクセスすることにある。様々な実施形態では、デジタル署名の確認は、たとえば、アクセス端末110から受信したか、任意の信頼できる第三者から受信したホームネットワーク120内のサーバ(たとえば、ホーム検証サーバ122)、証明局180に記憶されている証明書を取得することを含むことができる。
【００４１】
別の実施形態では、ホーム検証サーバ122は、アクセス端末110によって署名されていることのあるデバイス認証メッセージ内のデジタル署名を、端末110の共用秘密鍵を使用して確認することができる。この場合にホーム検証サーバ122は、ホームネットワーク内、たとえばホーム検証サーバ122に記憶されているアクセス端末IDに対応する共用秘密鍵を使用して、デジタル署名を確認する。
【００４２】
ステップ306において、ホーム検証サーバ122は、アクセス端末110によって提供された情報に基づいて、訪問先検証サーバ156および/または訪問先ネットワーク150の場所を突き止める。ホーム検証サーバ122は訪問先検証サーバ156に対し、認証が成功したか、それとも失敗したかを通知する。ステップ308において、次いで訪問先検証サーバ156は、ホーム検証サーバ122によって報告された認証結果に基づいて、要求側アクセス端末110に対してネットワークへのアクセスを許可または拒否する。
【００４３】
少なくともいくつかの実装形態では、アクセス端末110はステップ302において自発的にデバイス認証メッセージを送信することができる。たとえば、アクセス端末110は、ネットワークへのアクセスを要求するための一般的なプロセスの一部として自発的に、アクセス端末認証メッセージを生成すること、および/またはホーム検証サーバ122に送信することができる。
【００４４】
1つまたは複数の他の実装形態では、アクセス端末110は、ホーム検証サーバ122または訪問先検証サーバ156のうちの少なくとも1つから送信された要求に応答して、デバイス認証メッセージを生成および/または送信することができる。たとえば、アクセス端末110はネットワークへのアクセスを要求することがあり、それに伴いホーム検証サーバ122は、随意のステップ310において、デバイス認証メッセージを送信することをアクセス端末110に対して求める要求を送信することがある。デバイス認証メッセージが送られたが、ホーム検証サーバ122によって受信されていない場合や、デバイス認証メッセージがアクセス端末110から送信されていない場合がある。いくつかの実装形態では、訪問先検証サーバ156は、アクセス端末110を周期的に認証するために周期的間隔で(たとえば、30秒ごとに、2時間ごとに、24時間ごとに、など)要求(310)を送ることができる。いくつかの例では、ホーム検証サーバ122が、要求を送信した後、所定の時間内にデバイス認証メッセージを受信しなかった場合、後続要求が送られ得る。ホーム検証サーバ122がアクセス端末110からのデバイス認証メッセージに対する要求を所定の数だけ送った後、デバイス認証メッセージが来ていない場合、ホーム検証サーバ122は訪問先検証サーバ156に対し、アクセス端末110の認証が失敗したことを通知することができ、訪問先検証サーバ156はアクセス端末110に対してネットワークアクセスを拒否することができる。
【００４５】
さらに別の実装形態では、アクセス端末認証要求(310)はフェイルオーバー機能であってよく、この場合にホームネットワーク検証サーバ122は、アクセス端末加入者/ユーザ認証が開始された後、またはアクセス端末が訪問先ネットワークおよび/もしくはホームネットワークに接続された後、ある時間内にアクセス端末からデバイス認証メッセージを受信していない場合、要求(310)を送る。
【００４６】
訪問先検証サーバによる例示的なデバイス認証
図4は、デバイス認証が訪問先ネットワーク150によって実行される、訪問先ネットワーク150内でローミングしているアクセス端末110を認証するための別の実施形態を示している。ステップ402において、アクセス端末110はアクセス端末(またはデバイス)認証メッセージを、訪問先検証サーバ156に送信する。この実施形態では、アクセス端末110は、公開鍵インフラストラクチャ(PKI)方式の一部であり、CA180によって公開/専用鍵ペアを発行されており、CA180によって証明される。デバイス認証メッセージは、公開鍵証明書に導く全証明書チェーンまたは情報を含むことができる。たとえば、デバイス認証メッセージは、証明書を記憶しているCA180に訪問先検証サーバ156を導くURLまたはインデックスを含むことができる。一実施形態では、訪問先検証サーバ156は、ルート証明書を備えているか、CA180にアクセスすることができる。
【００４７】
ステップ404において、訪問先検証サーバ156は、受信したデバイス認証メッセージに基づいてアクセス端末110を認証する。たとえば、訪問先検証サーバ156は、デバイス認証メッセージ内で与えられたURLに基づいてCA180にアクセスすることができ、アクセス端末110が認可アクセス端末デバイスであることを確認する。一実施形態では、訪問先検証サーバ156は、アクセス端末IDに関連する専用鍵を使用して、アクセス端末110によってデジタル署名されていることのあるデバイス認証メッセージ内のデジタル署名の確認を試みることができる。CA180から取得され得るアクセス端末IDに対応する公開鍵を使用して、訪問先検証サーバ156は、デジタル署名の確認を試みることができる。公開鍵を使用したデジタル署名の確認が成功した場合、アクセス端末110を認証することができ、その理由は、認可アクセス端末110のみが、アクセス端末IDとデータに署名するのに使用される専用鍵の両方にアクセスすることにある。一実施形態では、訪問先検証サーバ156は、CA180に連絡する必要がなく、訪問先検証サーバ156および/または訪問先ネットワーク150自体が、デバイス認証メッセージの中でアクセス端末110によって送られたデジタル署名を確認するのに使用可能な証明書を記憶することができる。他の実施形態では、訪問先検証サーバ156は、アクセス端末110からデジタル署名を確認するための証明書を受信することができる。
【００４８】
ステップ406において、訪問先検証サーバ156は、デバイス認証が成功したか、それとも失敗したかに基づいて、アクセス端末110に対してネットワークアクセスを許可または拒否する。
【００４９】
少なくともいくつかの実装形態では、アクセス端末110はステップ402において自発的にデバイス認証メッセージを送信することができる。たとえば、アクセス端末110は、ネットワークへのアクセスを要求するための一般的なプロセスの一部として自発的に、デバイス認証メッセージを生成すること、および/または訪問先検証サーバ156に送信することができる。
【００５０】
1つまたは複数の他の実装形態では、アクセス端末110は、訪問先検証サーバ156から送信された要求に応答して、ステップ402においてデバイス認証メッセージを生成および/または送信することができる。たとえば、アクセス端末110はネットワークへのアクセスを要求することがあり、それに伴い訪問先検証サーバ156は、随意のステップ408において、デバイス認証メッセージを送信することをアクセス端末110に対して求める要求を送信することがある。デバイス認証メッセージが送られたが、訪問先検証サーバ156によって受信されていない場合や、デバイス認証メッセージがアクセス端末110から送信されていない場合がある。いくつかの実装形態では、訪問先検証サーバ156は、アクセス端末110を周期的に認証するために周期的間隔で(たとえば、30秒ごとに、2時間ごとに、24時間ごとに、など)要求(408)を送ることができる。いくつかの例では、訪問先検証サーバ156が、要求を送信した後、所定の時間内にデバイス認証メッセージを受信しなかった場合、後続要求が送られ得る。訪問先検証サーバ156が、アクセス端末110からのデバイス認証メッセージに対する要求を所定の数だけ送った後、デバイス認証メッセージが来ていない場合、訪問先検証サーバ156はアクセス端末110に対してネットワークアクセスを拒否することができる。
【００５１】
さらに別の実装形態では、アクセス端末認証要求(408)はフェイルオーバー機能であってよく、この場合に訪問先ネットワーク検証サーバ156は、アクセス端末加入者/ユーザ認証が開始された後、またはアクセス端末が訪問先ネットワークに接続された後、ある時間内にアクセス端末からデバイス認証メッセージを受信していない場合、要求(408)を送る。
【００５２】
デバイス認証トークンを使用した例示的なデバイス認証
図5は、デバイス認証が訪問先ネットワーク150によって実行される、訪問先ネットワーク150内でローミングしているアクセス端末110を認証するための別の実施形態を示している。この実施形態では、アクセス端末110およびホームネットワーク120から受信されたデバイス認証トークンを使用してデバイス認証が実行される。ステップ502において、アクセス端末110はアクセス端末(またはデバイス)認証メッセージを、訪問先検証サーバ156に送信する。デバイス認証メッセージは、アクセス端末IDおよびデバイス認証トークンを含む。デバイス認証トークンは、検証鍵(たとえば、専用鍵または共用秘密鍵)を使用してアクセス端末110によってデジタル署名されたメッセージであり得る。いくつかの実施形態では、デバイス認証メッセージは、リプレーアタックを防ぐための、デジタル署名されたナンスなどのランダム要素および/または日時データを含む。
【００５３】
ステップ504において、訪問先検証サーバ156は、ホーム検証サーバ122からのデバイス認証トークンに対する要求を送信し、この場合に要求はとりわけ、アクセス端末110のID番号、および/またはアクセス端末110によって送信されたデバイス認証メッセージに関連する任意のナンス情報を含む。ステップ506において、ホーム検証サーバ122は、訪問先検証サーバ156によって提供された所与のアクセス端末IDおよび任意のナンス情報を使用して、対応するデバイス認証トークンを生成する。いくつかの実施形態では、ホーム検証サーバ122は、各アクセス端末IDに対応するデバイス認証トークンを事前に記憶することができる。そのような場合、ホーム検証サーバ122およびアクセス端末110は、事前にリプレーアタックを防ぐためのシステムを有し得る。たとえば、ステップ502においてアクセス端末によって送信されるデバイス認証メッセージは、ホーム検証サーバ122が知っているシーケンスに従って更新される番号を含むことができる。ステップ508において、訪問先検証サーバ156は、アクセス端末110によって提供されたデバイス認証トークンを、ホーム検証サーバ122によって提供されたデバイス認証トークンと比較することによって、アクセス端末110を認証する。2つのトークンが合致した場合、デバイス認証は成功した/合格したことになる。2つのトークンが合致しなかった場合、デバイス認証は失敗したことになる。
【００５４】
ステップ510において、訪問先検証サーバ156は、ステップ508によるデバイス認証が成功したか否かに基づいて、アクセス端末110に対してネットワークアクセスを許可または拒否する。
【００５５】
少なくともいくつかの実装形態では、アクセス端末110はステップ502において自発的にデバイス認証メッセージを送信することができる。たとえば、アクセス端末110は、ネットワークへのアクセスを要求するための一般的なプロセスの一部として自発的に、デバイス認証メッセージを生成すること、および/または訪問先検証サーバ156に送信することができる。
【００５６】
1つまたは複数の他の実装形態では、アクセス端末110は、訪問先検証サーバ156またはホーム検証サーバ122のうちの少なくとも1つから送信された要求に応答して、ステップ502においてデバイス認証メッセージを生成および/または送信することができる。たとえば、アクセス端末110はネットワークへのアクセスを要求することがあり、それに伴い訪問先検証サーバ156は、随意のステップ512において、デバイス認証メッセージを送信することをアクセス端末110に対して求める要求を送信することがある。デバイス認証メッセージが送られたが、訪問先検証サーバ156によって受信されていない場合や、デバイス認証メッセージがアクセス端末110から送信されていない場合がある。いくつかの実装形態では、訪問先検証サーバ156は、アクセス端末110を周期的に認証するために周期的間隔で(たとえば、30秒ごとに、2時間ごとに、24時間ごとに、など)要求(512)を送ることができる。いくつかの例では、訪問先検証サーバ156が、要求を送信した後、所定の時間内にデバイス認証メッセージを受信しなかった場合、後続要求が送られ得る。訪問先検証サーバ156が、アクセス端末110からのデバイス認証メッセージに対する要求を所定の数だけ送った後、デバイス認証メッセージが来ていない場合、訪問先検証サーバ156はアクセス端末110に対してネットワークアクセスを拒否することができる。
【００５７】
さらに別の実装形態では、アクセス端末認証要求(512)はフェイルオーバー機能であってよく、この場合に訪問先ネットワーク検証サーバ156は、加入者/ユーザ認証が開始された後、またはアクセス端末が訪問先ネットワークおよび/もしくはホームネットワークに接続された後、ある時間内にアクセス端末110からのアクセス端末認証メッセージを受信していない場合、要求(512)を送る。
【００５８】
例示的なアクセス端末
図6は、アクセス端末600の少なくとも1つの実施形態の機能ブロック図である。アクセス端末600は一般に、メモリ回路(たとえば、メモリモジュール、メモリなど)604およびワイヤレス通信インターフェース606に結合された処理回路602(たとえば、プロセッサ、処理モジュールなど)を含むことができる。
【００５９】
処理回路602は、データを取得し、処理し、かつ/または送り、データのアクセスおよび記憶を制御し、コマンドを発行し、他の所望の動作を制御するように設けられる。処理回路602は、処理回路602がメモリ回路604から情報を読み取り、メモリ回路604に情報を書き込むことができるようにメモリ回路604に結合され得る。代替として、メモリ回路604は処理回路602と一体であり得る。少なくとも1つの実施形態によれば、処理回路602は、アクセス端末600を認証する様々なステップを実行するためのデバイス認証モジュール/回路620を含むことができる。
【００６０】
様々な実施形態によれば、メモリ回路604は、アクセス端末識別子(ID)608および/または検証鍵609(たとえば、公開/専用鍵ペアによる専用鍵、共用秘密鍵など)を記憶することができる。たとえば、いくつかの実施形態では、アクセス端末600が公開/専用鍵ペアをプロビジョニングされる場合、メモリ回路604は公開鍵610および専用鍵612aを記憶することができる。他の実施形態では、アクセス端末600が対称的な共用秘密鍵暗号方式の一部である場合、メモリ回路604は共用秘密鍵612bを記憶することができる。
【００６１】
検証鍵609(たとえば、専用鍵612a、共用秘密鍵612b)および/またはアクセス端末ID608は、読取り/書込みが保護されたメモリ回路604の一部分に記憶され得る。したがって、加入者のようなアクセス端末600のエンドユーザによるこの保護されたエリアへのアクセスは許容されないことがある。そのような保護は、検証鍵609および/またはアクセス端末ID608の秘密性が損なわれるのを防止するのに寄与し得る。
【００６２】
ワイヤレス通信インターフェース606は、アクセス端末600がワイヤレスネットワークで1つまたは複数のアクセス端末と通信するのを許容する。ワイヤレス通信インターフェース606はまた、アクセス端末600がホームネットワーク(たとえば、図1のホームネットワーク120)および訪問先ネットワーク(たとえば、図1の訪問先ネットワーク150)、ならびにそれらの構成要素(たとえば、ホーム検証サーバ122および訪問先検証サーバ156)などの1つまたは複数のネットワークと通信するのを許容する。ワイヤレス通信インターフェース606は、送信機614および/または受信機616を含むワイヤレストランシーバ回路(たとえば、1つまたは複数の送信機/受信機チェーン)を含むことができる。
【００６３】
アクセス端末600はまた、処理回路602に結合された加入者(またはユーザ)識別モジュール618を含むことができる。加入者識別モジュール618は、加入者識別モジュール(SIM)、ユニバーサル加入者識別モジュール(USIM)、CDMA加入者識別モジュール(CSIM)またはリムーバブルユーザ識別モジュール(RUIM)などの任意の従来型の加入者識別モジュールを含み得る。加入者識別モジュールは、暗号加入者情報を含むことができ、従来型の加入者認証手順において使用されるように適合され得る。
【００６４】
1つまたは複数の特徴によれば、アクセス端末600の処理回路602は、図1〜図5を参照して上述した様々なアクセス端末(たとえば、アクセス端末110)に関連したプロセス、機能、ステップおよび/またはルーチンのいずれかまたはすべてを実施するように適合され得る。処理回路602に関係して本明細書で使用する「適合される」という用語は、本明細書に記載した様々な特徴による特定のプロセス、機能、ステップおよび/またはルーチンを実施するように構成されること、利用されること、実装されること、またはプログラムされることのうち1つまたは複数が行われる処理回路602を指し得る。
【００６５】
図7は、アクセス端末が訪問先ネットワーク内でローミングしているときに、アクセス端末のデバイス認証を円滑にするための、アクセス端末600のようなアクセス端末において使用可能な方法の例を示す流れ図である。図6および図7を参照すると、アクセス端末600は初めに、アクセス端末600のアクセス端末識別子(ID)に関連する検証鍵を取得することができる。たとえば、専用/公開鍵ペア(たとえば、公開鍵610および専用鍵612a)または共用秘密鍵612bのような検証鍵609が、メモリ回路604のセキュアな部分にプロビジョニングされ得る。様々な実装形態によれば、検証鍵609は、アクセス端末製造元によって、無線プロビジョニングプロセスによって、または検証鍵をアクセス端末にセキュアにプロビジョニングするための当技術分野で知られている他の方法でプロビジョニングされ得る。検証鍵は、アクセス端末IDが真正であることを検証するのに使用できるように、アクセス端末ID608に関連付けられる。
【００６６】
ステップ704において、デバイス認証メッセージを生成することができ、この場合にデバイス認証メッセージは、アクセス端末IDおよび検証鍵を少なくとも部分的に使用して生成された認証データを含む。たとえば、処理回路602のデバイス認証モジュール620はデバイス認証メッセージを生成することができ、このメッセージは、アクセス端末ID608および検証鍵を使用して生成された認証データを含むことができる。少なくともいくつかの実装形態では、認証データは、任意の従来型の署名アルゴリズムを使用してデバイス認証メッセージにデジタル署名するために、専用鍵612aまたは共用秘密鍵612bのような検証鍵609を使用して処理回路602(たとえば、デバイス認証モジュール620)によって生成され得る。1つまたは複数の他の実装形態では、認証データは、アクセス端末認証トークンを生成するために、検証鍵609を使用して処理回路602(たとえば、デバイス認証モジュール620)によって生成され得る。
【００６７】
ステップ706において、アクセス端末600は、訪問先ネットワークにアクセスする認可デバイスとしてアクセス端末600が認証するために用いられるデバイス認証メッセージを送信する。たとえば、処理回路602は、ワイヤレス通信インターフェース606を介して、デバイス認証メッセージを送信することができる。いくつかの実装形態では、デバイス認証メッセージを訪問先検証サーバに送信することができ、このデバイス認証メッセージは、訪問先検証サーバによってホームネットワーク内のホーム検証サーバに転送されるか、訪問先検証サーバによって使用されて、デバイス認証メッセージが確認される。そのような場合、デバイス認証メッセージは、ホーム検証サーバにメッセージを転送するための情報を含むことができる。他の実装形態では、デバイス認証メッセージはホーム検証サーバに送信され得る。そのような場合、処理回路602は、ホーム検証サーバにメッセージを届けるためにホーム検証サーバのグローバルに経路指定可能なアドレスを用いることができる。
【００６８】
ステップ708において、アクセス端末600は、訪問先ネットワークへのアクセスを許可または拒否する通知を訪問先検証サーバから受信することができる。たとえば、処理回路602はワイヤレス通信インターフェース606を介して通知を受信することができ、この通知は訪問先ネットワークから送信され得る。訪問先ネットワークへのアクセスが許可された場合、処理回路602は通信を送受信するために、ワイヤレス通信インターフェース606を使用して訪問先ネットワークを介して通信することができる。
【００６９】
ステップ710において、アクセス端末600はまた、加入者認証メッセージを生成することができる。たとえば、処理回路602は、加入者識別モジュール618に記憶されている加入者情報およびまたは加入者識別モジュール618によって実行されるプロセスを使用して、加入者認証メッセージを生成することができる。ステップ712において、加入者がネットワークアクセスを認められていることを確認するために、ワイヤレス通信インターフェース606を使用して処理回路602によって加入者認証メッセージが送信され得る。加入者認証は、当技術分野で一般に知られているため本明細書で詳述しない従来型の加入者認証手順に従って実行され得る。様々な実装形態によれば、加入者認証プロセスは、ステップ702および704のデバイス認証プロセスの前に、かかるデバイス認証プロセスと同時に、またはかかるデバイス認証プロセスの後に実行され得る。
【００７０】
例示的な訪問先検証サーバ
図8は、訪問先検証サーバ800の少なくとも1つの実施形態の機能ブロック図である。訪問先検証サーバ800は一般に、メモリ回路804および通信インターフェース806に結合された処理回路802を含むことができる。
【００７１】
処理回路802は、データを取得し、処理し、かつ/または送り、データのアクセスおよび記憶を制御し、コマンドを発行し、他の所望の動作を制御するように設けられる。処理回路802は、処理回路802がメモリ回路804から情報を読み取り、メモリ回路804に情報を書き込むことができるようにメモリ回路804に結合され得る。代替として、メモリ回路804は処理回路802と一体であり得る。少なくとも1つの実施形態によれば、処理回路802は、本明細書で説明するアクセス端末認証手順のうちの1つまたは複数に従ってアクセス端末を認証するための様々なステップを実行するように適合されたアクセス端末認証モジュール/回路812を含むことができる。処理回路802はまた、従来型の加入者認証の習慣に従って加入者認証手順を実行するように適合された加入者認証モジュール/回路814を含むことができる。
【００７２】
通信インターフェース806は、アクセス端末(たとえば、図1のアクセス端末110)、証明局サーバ(たとえば、図1のCA180)、および/または他のネットワーク(たとえば、図1のホームネットワーク120)との間でデータを送受信するための送信機808および/または受信機810を含むことができる。
【００７３】
1つまたは複数の特徴によれば、訪問先検証サーバ800の処理回路802は、図1〜図5を参照して上述した訪問先検証サーバ(たとえば、訪問先検証サーバ156)に関連したプロセス、機能、ステップおよび/またはルーチンのいずれかまたはすべてを実施するように適合され得る。処理回路802に関係して本明細書で使用する「適合される」という用語は、本明細書に記載した様々な特徴による特定のプロセス、機能、ステップおよび/またはルーチンを実施するように構成されること、利用されること、実装されること、またはプログラムされることのうち1つまたは複数が行われる処理回路802を指し得る。
【００７４】
図9は、アクセス端末が訪問先ネットワーク内でローミングしているときに、アクセス端末のデバイス認証を円滑にするための、訪問先検証サーバ800のような訪問先検証サーバにおいて使用可能な方法の例を示す流れ図である。訪問先検証サーバ800は、ステップ902において、デバイス認証メッセージをアクセス端末から受信することができる。デバイス認証メッセージは、アクセス端末IDのほか、アクセス端末IDに関連する検証鍵(たとえば、専用鍵、共用秘密鍵)によるデジタル署名および/またはアクセス端末認証トークンのようなアクセス端末認証データを含むことができる。たとえば、処理回路802は、通信インターフェース806を介して、デバイス認証メッセージを受信することができる。
【００７５】
ステップ904において、訪問先検証サーバ800は、デバイス認証メッセージに基づいてアクセス端末を認証することができる。たとえば、アクセス端末認証データが検証鍵によるデジタル署名を含むいくつかの実装形態では、処理回路802のアクセス端末認証モジュール812はデバイス認証メッセージを、通信インターフェース806を介してホームネットワーク内に位置するホーム検証サーバに、ホーム検証サーバによる認証メッセージの確認のために転送することができる。次いでアクセス端末認証モジュール812は、ホーム検証サーバから通信インターフェース806を介して、アクセス端末の認証が成功したか否かを示す認証結果を受信することができる。
【００７６】
アクセス端末認証データが検証鍵によるデジタル署名を含む1つまたは複数の他の実装形態では、処理回路802のアクセス端末認証モジュール812は、アクセス端末IDに関連する証明書を取得することができる。様々な実装形態によれば、アクセス端末IDに関連する証明書は、たとえば、訪問先ネットワークから(たとえば、訪問先検証サーバ800のメモリ回路804から)、第三者の証明局から、アクセス端末から(たとえば、デバイス認証メッセージに含まれる場合、別個の送信で取得される場合)、または任意の他の信頼できる第三者から取得され得る。証明書を取り出した後、アクセス端末認証モジュール812は、取り出された証明書を使用してデジタル署名を確認することができる。
【００７７】
アクセス端末認証データがアクセス端末認証トークンを含む1つまたは複数の実装形態では、処理回路802のアクセス端末認証モジュール812は、アクセス端末に関連する第2の認証トークンに対する要求をホーム検証サーバに送ることができる。応答して、アクセス端末認証モジュール812は、ホーム検証サーバから第2の認証トークンを受信することができ、アクセス端末認証トークンを第2の認証トークンと比較することができる。アクセス端末認証トークンと第2の認証トークンとが合致した場合、アクセス端末認証モジュール812は、アクセス端末を認証し、ネットワークアクセスを許容することができる。一方、アクセス端末認証トークンと第2の認証トークンとが合致しなかった場合、アクセス端末認証モジュール812は、アクセス端末に対してネットワークアクセスを拒否することができる。
【００７８】
ステップ906において、訪問先検証サーバ800は、認証に基づいてアクセス端末に対して訪問先ネットワークへのアクセスを許可または拒否する通知をアクセス端末に送信することができる。たとえば、処理回路802のアクセス端末認証モジュール812は通信インターフェース806を介して、認証に基づいてアクセスが拒否されたか、それとも許可されたかを示す通知をアクセス端末に送信することができる。
【００７９】
ステップ908において、訪問先検証サーバ800はまた、加入者認証メッセージをアクセス端末から受信することができる。たとえば、処理回路802の加入者認証モジュール814は、通信インターフェース806を介して、加入者識別モジュール(たとえば、SIM、USIM、CSIM、RUIM)に記憶されている加入者データを使用して生成された情報のような、加入者に関連する情報を含む加入者認証メッセージを受信することができる。加入者認証は、当技術分野で一般に知られているため本明細書で詳述しない従来型の加入者認証手順に従って実行され得る。様々な実装形態によれば、加入者認証プロセスは、ステップ902〜906のデバイス認証プロセスの前に、かかるデバイス認証プロセスと同時に、またはかかるデバイス認証プロセスの後に実行され得る。いくつかの実装形態では、加入者認証メッセージは、デバイス認証メッセージとは別個のメッセージであり得る。他の実装形態では、加入者認証メッセージおよびデバイス認証メッセージは、アクセス端末と加入者の両方を認証するように適合された単一のメッセージに統合され得る。
【００８０】
例示的なホーム検証サーバ
図10は、ホーム検証サーバ1000の少なくとも1つの実施形態の機能ブロック図である。ホーム検証サーバ1000は一般に、処理回路1002、メモリ回路1004および通信インターフェース1006を含むことができる。
【００８１】
処理回路1002は、データを取得し、処理し、かつ/または送り、データのアクセスおよび記憶を制御し、コマンドを発行し、他の所望の動作を制御するように設けられる。処理回路1002は、処理回路1002がメモリ回路1004から情報を読み取り、メモリ回路1004に情報を書き込むことができるようにメモリ回路1004に結合され得る。代替として、メモリ回路1004は処理回路1002と一体であり得る。少なくとも1つの実施形態によれば、処理回路1002は、本明細書で説明するアクセス端末認証手順のうちの1つまたは複数に従ってアクセス端末を認証するためのホーム検証サーバ1000に対する様々な動作のうちの1つまたは複数を実行するように適合されたアクセス端末認証モジュール/回路1012を含むことができる。処理回路1002はまた、従来型の加入者認証の習慣に従って加入者認証手順を実行するように適合された加入者認証モジュール/回路1014を含むことができる。
【００８２】
通信インターフェース1006は、アクセス端末(たとえば、図1のアクセス端末110)、証明局サーバ(たとえば、図1のCA180)、および/または他のネットワーク(たとえば、図1の訪問先ネットワーク150)との間でデータを送受信するための送信機1008および/または受信機1010を含むことができる。
【００８３】
1つまたは複数の特徴によれば、ホーム検証サーバ1000の処理回路1002は、図1〜図5を参照して上述したホーム検証サーバ(たとえば、ホーム検証サーバ122)に関連したプロセス、機能、ステップおよび/またはルーチンのいずれかまたはすべてを実施するように適合され得る。処理回路1002に関係して本明細書で使用する「適合される」という用語は、本明細書に記載した様々な特徴による特定のプロセス、機能、ステップおよび/またはルーチンを実施するように構成されること、利用されること、実装されること、またはプログラムされることのうち1つまたは複数が行われる処理回路1002を指し得る。
【００８４】
図11は、アクセス端末が訪問先ネットワーク内でローミングしているときに、アクセス端末のデバイス認証を円滑にするための、ホーム検証サーバ1000のようなホーム検証サーバにおいて使用可能な方法の例を示す流れ図である。図10および図11を参照すると、ステップ1102において、ホーム検証サーバ1000は、アクセス端末に関係するデバイス認証情報を要求する送信を受信することができる。受信した送信は、ホーム検証サーバ1000が適正なデバイス認証情報を取得および/または生成するのを可能にする、アクセス端末に関連するアクセス端末識別子(ID)を含むことができる。少なくともいくつかの実装形態では、処理回路1002(たとえば、アクセス端末認証モジュール1012)は、通信インターフェース1006を介して、送信を受信することができる。
【００８５】
少なくともいくつかの実装形態によれば、送信は、アクセス端末IDおよびアクセス端末IDに関連する検証鍵によるデジタル署名を含むデバイス認証メッセージを含むことができる。そのような実装形態では、デバイス認証メッセージは、転送されたメッセージとして訪問先検証サーバから受信されることがあり、またはデバイス認証メッセージは、アクセス端末から受信されることがある。少なくともいくつかの他の実装形態では、アクセス端末に関係するデバイス認証情報を要求する送信は、アクセス端末に関連する認証トークンに対する訪問先検証サーバからの要求を含むことができる。
【００８６】
ステップ1104では、ホーム検証サーバは、受信した送信に対する応答を生成し、この場合に応答は、要求されたデバイス認証情報を含む。たとえば、送信がデバイス認証メッセージを含む実装形態では、処理回路1002のアクセス端末認証モジュール1012は、デバイス認証メッセージとともに含まれているデジタル署名を検証することができ、デジタル署名の検証が成功したか否かを示す認証結果メッセージを生成することができる。送信がアクセス端末に関連する認証トークンに対する要求を含む他の実装形態では、アクセス端末認証モジュール1012は、正しい認証トークンを生成するために送信に含まれていたアクセス端末IDを使用して、要求された認証トークンを生成することができる。
【００８７】
ステップ1106において、ホーム検証サーバは、生成された応答を訪問先検証サーバに送信する。たとえば、ホーム検証サーバが認証結果メッセージを生成する実装形態では、処理回路1002(たとえば、アクセス端末認証モジュール1012)は、通信インターフェース1006を介して訪問先検証サーバに対し、デジタル署名の検証が成功したか否かを示す認証結果メッセージを送信することができる。ホーム検証サーバが認証トークンを生成する実装形態では、処理回路1002(たとえば、アクセス端末認証モジュール1012)は、通信インターフェース1006を介して訪問先検証サーバに対し、指定されたアクセス端末IDに関連する認証トークンを送ることができる。
【００８８】
少なくともいくつかの実装形態によれば、ステップ1108において、ホーム検証サーバはまた、アクセス端末のユーザに関連する加入者情報を含む加入者認証メッセージを受信することができる。たとえば、処理回路1002の加入者認証モジュール1014は、通信インターフェース1006を介して、加入者識別モジュール(たとえば、SIM、USIM、CSIM、RUIM)に記憶されている加入者データを使用して生成された情報のような、ユーザ(または加入者)に関連する情報を含む加入者認証メッセージを受信することができる。加入者認証は、当技術分野で一般に知られているため本明細書で詳述しない従来型の加入者認証手順に従って、加入者認証モジュール1014によって実行され得る。様々な実装形態によれば、加入者認証プロセスは、ステップ1102〜1106のデバイス認証プロセスの前に、かかるデバイス認証プロセスと同時に、またはかかるデバイス認証プロセスの後に実行され得る。
【００８９】
図1、図2、図3、図4、図5、図6、図7、図8、図9、図10および/または図11に示した構成要素、ステップ、特徴および/または機能のうちの1つまたは複数は、単一の構成要素、ステップ、特徴または機能に再構成され、かつ/または組み合わされ、あるいは、いくつかの構成要素、ステップ、または機能で実施され得る。また、本開示から逸脱することなく追加の要素、構成要素、ステップ、および/または機能が追加され得る。図1、図6、図8および/または図10に示した装置、デバイス、および/または構成要素は、図2、図3、図4、図5、図7、図9および/または図11を参照しながら説明した方法、特徴、またはステップのうちの1つまたは複数を実行するように構成され得る。本明細書に記載の新規のアルゴリズムは、ソフトウェアで効率的に実装されてもよく、かつ/またはハードウェアに組み込まれてもよい。
【００９０】
また、少なくともいくつかの実装形態を、フローチャート、流れ図、構造図またはブロック図として示されるプロセスとして説明したことに留意されたい。フローチャートは動作を逐次プロセスとして説明し得るが、動作の多くは並行してまたは同時に実行され得る。加えて、動作の順序は並び替えられ得る。プロセスは、それの動作が完了したときに終了する。プロセスは、方法、関数、手順、サブルーチン、サブプログラムなどに対応し得る。プロセスが関数に対応するとき、プロセスの終了は、関数呼出しまたはメイン関数に対する関数のリターンに対応する。
【００９１】
さらに、実施形態は、ハードウェア、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、またはそれらの任意の組合せによって実装され得る。ソフトウェア、ファームウェア、ミドルウェアまたはマイクロコードで実装されるとき、必要なタスクを実行するプログラムコードまたはコードセグメントは、記憶媒体または他のストレージなどの機械可読媒体に記憶され得る。プロセッサは必要なタスクを実行し得る。コードセグメントは、手順、関数、サブプログラム、プログラム、ルーチン、サブルーチン、モジュール、ソフトウェアパッケージ、クラス、または命令、データ構造もしくはプログラムステートメントの任意の組合せを表し得る。コードセグメントは、情報、データ、引数、パラメータ、またはメモリ内容をパスおよび/または受信することによって、別のコードセグメントまたはハードウェア回路に結合され得る。情報、引数、パラメータ、データなどは、メモリ共有、メッセージパッシング、トークンパッシング、ネットワーク送信などを含む、任意の好適な手段を介してパス、転送、または送信され得る。
【００９２】
少なくとも1つの実施形態では、本明細書で説明する処理回路(たとえば、処理回路602、802および/または1002)は、適切なメディアによって与えられる所望のプログラミングを実装するように構成された回路を含み得る。たとえば、処理回路は、たとえば、ソフトウェア命令および/もしくはファームウェア命令を含む実行可能命令、ならびに/またはハードウェア回路を実行するように構成された、プロセッサ、コントローラ、複数のプロセッサおよび/または他の構造のうちの1つまたは複数として実装され得る。処理回路の実施形態は、汎用プロセッサ、デジタル信号プロセッサ(DSP)、特定用途向け集積回路(ASIC)、フィールドプログラマブルゲートアレイ(FPGA)もしくは他のプログラマブル論理構成要素、個別ゲートもしくはトランジスタ論理回路、個別ハードウェア構成要素、または本明細書で説明する機能を実行するように設計されたそれらの任意の組合せを含み得る。汎用プロセッサはマイクロプロセッサであり得るが、代替として、プロセッサは、任意の従来のプロセッサ、コントローラ、マイクロコントローラ、または状態機械であり得る。プロセッサは、DSPとマイクロプロセッサとの組合せ、複数のマイクロプロセッサ、DSPコアと連携する1つまたは複数のマイクロプロセッサ、あるいは任意の他のそのような構成など、コンピューティング構成要素の組合せとしても実装され得る。処理回路のこれらの例は説明のためのものであり、本開示の範囲内の他の好適な構成も企図される。
【００９３】
本明細書で上述したように、メモリ回路604、804および/または1004のようなメモリ回路は、プロセッサ実行可能コードもしくは命令(たとえば、ソフトウェア、ファームウェア)、電子データ、データベース、または他のデジタル情報のような、プログラミングおよび/またはデータを記憶するための1つまたは複数のデバイスを代表し得る。メモリ回路は、汎用または専用プロセッサによってアクセスできる任意の利用可能な媒体とすることができる。限定ではなく例として、メモリ回路は、読取り専用メモリ(たとえば、ROM、EPROM、EEPROM)、ランダムアクセスメモリ(RAM)、磁気ディスク記憶媒体、光学記憶媒体、フラッシュメモリデバイス、および/または情報を記憶するための他の非一時的なコンピュータ可読媒体を含み得る。
【００９４】
「機械可読媒体」、「コンピュータ可読媒体」、および/または「プロセッサ可読媒体」という用語は、ポータブルまたは固定ストレージデバイス、光ストレージデバイス、ならびに命令および/またはデータを記憶、含有または搬送することが可能な様々な他の非一時的媒体を含み得るが、これらに限定されない。したがって、本明細書で説明する様々な方法は、「機械可読媒体」、「コンピュータ可読媒体」および/または「プロセッサ可読媒体」に記憶され、1つまたは複数のプロセッサ、機械および/またはデバイスによって実行され得る命令および/またはデータによって、部分的にまたは完全に実装され得る。
【００９５】
本明細書で開示する例に関して説明する方法またはアルゴリズムは、ハードウェアで、プロセッサによって実行可能なソフトウェアモジュールで、または両方の組合せで、処理ユニット、プログラム命令、または他の指示の形態で直接実施され得、単一のデバイスに含まれるかまたは複数のデバイスにわたって分散され得る。ソフトウェアモジュールは、RAMメモリ、フラッシュメモリ、ROMメモリ、EPROMメモリ、EEPROMメモリ、レジスタ、ハードディスク、リムーバブルディスク、CD-ROM、または当技術分野で知られている任意の他の形態の非一時的記憶媒体中に常駐し得る。記憶媒体は、プロセッサがその記憶媒体から情報を読み取り、その記憶媒体に情報を書き込むことができるようにプロセッサに結合され得る。代替として、記憶媒体はプロセッサと一体であり得る。
【００９６】
さらに、本明細書で開示する実施形態に関して説明する様々な例示的な論理ブロック、モジュール、回路、およびアルゴリズムステップは、電子ハードウェア、コンピュータソフトウェア、または両方の組合せとして実装され得ることを当業者は諒解されよう。ハードウェアとソフトウェアのこの互換性を明確に示すために、様々な例示的な構成要素、ブロック、モジュール、回路、およびステップを、上記では概してそれらの機能に関して説明した。そのような機能をハードウェアとして実装するか、ソフトウェアとして実装するかは、特定の適用例および全体的なシステムに課される設計制約に依存する。
【００９７】
本明細書で説明する本開示の様々な特徴は、本開示から逸脱することなく様々なシステムで実装され得る。上記の実施形態は例にすぎず、本開示を限定するものと解釈すべきではないことに留意されたい。実施形態の説明は、例示的なものであり、本開示の範囲を限定するものではない。したがって、本教示は、他のタイプの装置、ならびに多くの代替形態、変更形態、および変形形態に容易に適用され得ることが当業者に明らかであろう。
【符号の説明】
【００９８】
110  アクセス端末
120  ホームネットワーク
122  ホーム検証サーバ
150  訪問先ネットワーク
152  セル
154  基地局
156  訪問先検証サーバ
180  証明局(CA)
600  アクセス端末
602  処理回路
604  メモリ回路
606  ワイヤレス通信インターフェース
608  アクセス端末識別子(ID)
609  検証鍵
610  公開鍵
612a  専用鍵
612b  共用秘密鍵
614  送信機
616  受信機
618  加入者(ユーザ)識別モジュール
620  デバイス認証モジュール/回路
800  訪問先検証サーバ
802  処理回路
804  メモリ回路
806  通信インターフェース
808  送信機
810  受信機
812  アクセス端末認証モジュール/回路
814  加入者認証モジュール/回路
1000  ホーム検証サーバ
1002  処理回路
1004  メモリ回路
1006  通信インターフェース
1008  送信機
1010  受信機
1012  アクセス端末認証モジュール/回路
1014  加入者認証モジュール/回路
【図１】
0005579938.tif 000002
【図２】
0005579938.tif 000003
【図３】
0005579938.tif 000004
【図４】
0005579938.tif 000005
【図５】
0005579938.tif 000006
【図６】
0005579938.tif 000007
【図７】
0005579938.tif 000008
【図８】
0005579938.tif 000009
【図９】
0005579938.tif 000010
【図１０】
0005579938.tif 000011
【図１１】
0005579938.tif 000012