(57)【特許請求の範囲】
【請求項１】
移動局が実行する、パケットの輸送方法であって、
前記移動局とセキュリティゲートウェイとの間のパケットトラヒックのための暗号化セキュリティアソシエーションを確立することと;
前記移動局と前記セキュリティゲートウェイとの間のパケットトラヒックのためのヌル暗号化セキュリティアソシエーションを確立することと；
トラヒックセレクターに基づいて、前記ヌル暗号化セキュリティアソシエーションを使用した輸送のためのパケットを選択することと、ここにおいて、前記ヌル暗号化セキュリティアソシエーションは、１つ以上のＩＭＳパケットフローに適用され、前記暗号化セキュリティアソシエーションは、少なくとも非ＩＭＳパケットフローに適用される；
を備え、
前記ヌル暗号化セキュリティアソシエーションを使用した輸送のために選択されたパケットは、以前に暗号化されたボイスオーバＩＰパケットである、方法。
【請求項２】
前記ヌル暗号化セキュリティアソシエーションは、ＳＩＰシグナリングメッセージに適用される、請求項１に記載の方法。
【請求項３】
前記選択することは、前記ＳＩＰシグナリングメッセージをヌル暗号化されたチャイルドセキュリティアソシエーションにマッピングすることを備える、請求項２に記載の方法。
【請求項４】
前記暗号化セキュリティアソシエーションは、ＩＰｓｅｃ ＳＡを備える、請求項１乃至３のいずれか１項に記載の方法。
【請求項５】
前記セキュリティゲートウェイは、パケットデータインターワーキング機能を備える、請求項１乃至４のいずれか１項に記載の方法。
【請求項６】
前記暗号化セキュリティアソシエーションまたは前記ヌル暗号化セキュリティアソシエーションは、ＩＰトンネルを備える、請求項１乃至５のいずれか１項に記載の方法。
【請求項７】
前記選択することは、前記パケットを前記ＩＰトンネルに向けることを備える、請求項６に記載の方法。
【請求項８】
前記暗号化セキュリティアソシエーションまたは前記ヌル暗号化セキュリティアソシエーションは、ＩＫＥｖ２を使用して確立される、請求項１乃至７のいずれか１項に記載の方法。
【請求項９】
前記トラヒックセレクターを構成するためにＩＫＥｖ２を使用することをさらに備える、請求項１乃至８のいずれか１項に記載の方法。
【請求項１０】
前記トラヒックセレクターは、ＩＰアドレスまたはポート番号を備える、請求項１乃至９のいずれか１項に記載の方法。
【請求項１１】
前記暗号化セキュリティアソシエーションを確立することは、無線ローカルエリアネットワークを介して前記セキュアゲートウェイから前記移動局にパケットトラヒックを輸送するために、第１の暗号化セキュリティアソシエーションを確立することを備え、さらに、前記無線ローカルエリアネットワークを介して前記移動局から前記セキュアゲートウェイにパケットトラヒックを輸送するために、第２の暗号化セキュリティアソシエーションを確立することを備える、請求項１乃至１０のいずれか１項に記載の方法。
【請求項１２】
前記ヌル暗号化セキュリティアソシエーションを確立することは、無線ローカルエリアネットワークを介して前記セキュアゲートウェイから前記移動局にパケットトラヒックを輸送するために、第１のヌル暗号化セキュリティアソシエーションを確立することを備え、さらに、前記無線ローカルエリアネットワークを介して前記移動局から前記セキュアゲートウェイにパケットトラヒックを輸送するために、第２のヌル暗号化セキュリティアソシエーションを確立することを備える、請求項１乃至１１のいずれか１項に記載の方法。
【請求項１３】
移動局であって、
前記移動局とセキュリティゲートウェイとの間のパケットトラヒックのための暗号化セキュリティアソシエーションを確立する手段と;
前記移動局と前記セキュリティゲートウェイとの間のパケットトラヒックのためのヌル暗号化セキュリティアソシエーションを確立する手段と;
トラヒックセレクターに基づいて、前記ヌル暗号化セキュリティアソシエーションを使用した輸送のためのパケットを選択する手段と、ここにおいて、前記ヌル暗号化セキュリティアソシエーションは、１つ以上のＩＭＳパケットフローに適用され、前記暗号化セキュリティアソシエーションは、少なくとも非ＩＭＳパケットフローに適用される；
を備え、
前記ヌル暗号化セキュリティアソシエーションを使用した輸送のために選択されたパケットは、以前に暗号化されたボイスオーバＩＰパケットである、移動局。
【請求項１４】
コンピュータプログラムであって、
移動局のコンピュータに、前記移動局とセキュリティゲートウェイとの間のパケットトラヒックのための暗号化セキュリティアソシエーションを確立させるコードと；
移動局のコンピュータに、前記移動局と前記セキュリティゲートウェイとの間のパケットトラヒックのためのヌル暗号化セキュリティアソシエーションを確立させるコードと；
移動局のコンピュータに、トラヒックセレクターに基づいて、前記ヌル暗号化セキュリティアソシエーションを使用した輸送のためのパケットを選択させるコードと、ここにおいて、前記ヌル暗号化セキュリティアソシエーションは、１つ以上のＩＭＳパケットフローに適用され、前記暗号化セキュリティアソシエーションは、少なくとも非ＩＭＳパケットフローに適用される；
を備え、
前記ヌル暗号化セキュリティアソシエーションを使用した輸送のために選択されたパケットは、以前に暗号化されたボイスオーバＩＰパケットである、コンピュータプログラム。
【発明の詳細な説明】
【米国特許法の下での優先権の主張】
【０００１】
この出願は、「NULL-ENCRYPTION FOR SIP SIGNALING AND MEDIA PACKETS BETWEEN MS AND PDIF」と題して2006年9月25日に申請された仮出願第60/847,195号への優先権を主張する。この仮出願は、本願の譲受人に譲渡され、参照によって明確にここに組み込まれる。
【技術分野】
【０００２】
本発明は、一般に無線通信に係り、特に、選択的なコンテンツ保護に関する。
【背景技術】
【０００３】
通信の分野は多くのアプリケーション(例えばページング、ワイヤレスローカルループ、インターネットテレフォニー、衛星通信システム)を有する。典型的なアプリケーシンはモバイル加入者用の携帯電話である。(ここでの使用では、用語「セルラ」システムは、セルラシステムおよびパーソナル通信サービス(PCS)システムの両方を包含する。)  多数のユーザが共通の通信媒体にアクセスすることを可能にするように設計された無線通信システムのような現代の通信システムは、そのようなセルラシステムのために開発されてきた。これらの現代の通信システムは、符号分割多元接続(CDMA)、時分割多元接続(TDMA)、周波数分割多元接続(FDMA)、空間分割多元接続(SDMA)、極性分割多元接続(PDMA)あるいは当該技術分野で既知の他の変調技術のような多元接続技術に基づいている。これらの変調技術は、通信システムの多数のユーザから受け取られた信号を復調し、それによって通信システムのキャパシティの増加を可能にしている。それに関連して様々な無線通信システムが確立され、それらは、例えば、高度移動電話サービス(Advanced Mobile Phone Service (AMPS))、グローバル移動通信システム(GSM（登録商標）)、およびその他の無線システムである。
【０００４】
FDMAシステムでは、全周波数スペクトルが複数のより小さなサブバンドに分割され、各ユーザは、通信媒体にアクセスするためにそれ自身のサブバンドを与えられる。あるいは、TDMAシステムでは、全周波数スペクトルが複数のより小さなサブバンドに分割され、各サブバンドが複数のユーザ間で共有される。また、各ユーザは、そのサブバンドを使用して所定時間スロット中での送信が認められる。CDMAシステムは、システムキャパシティの増加を含めて、他のタイプのシステムよりも潜在的な利点を備える。CDMAシステムでは、それぞれのユーザは、時間の全てにおいて全ての周波数スペクトルを与えられるが、ユニークなコードの使用を通じてその送信を識別する。
【０００５】
CDMAシステムは、(1)「デュアルモード広帯域スペクトラム拡散セルラシステムのためのTIA/EIA-95-B移動局基地局互換性標準」(IS-95標準)、(2)「第３世代パートナーシッププロジェクト」(3GPP)という名称のコンソーシアムによって提示され、ドキュメント番号3G TS 25.211、3G TS 25.212、3G TS 25.213および3G TS 25.214(W-CDMA標準)を含むドキュメントセットで具体化された標準、および、(3)指定されたコンソーシアムによって提示された標準「第３世代パートナーシッププロジェクト2」(3GPP2)という名称のコンソーシアムによって提示され、「cdma2000スペクトラム拡散システムのためのTR-45.5物理層標準」(IS-2000標準)で具体化された標準のような1つ以上のCDMA標準をサポートするために設計され得る。
【０００６】
上記の名称のCDMA通信システムと標準では、利用可能なスペクトルは多くのユーザの間で同時に共有され、また、音声およびデータサービスのようなサービスを提供するために、適切な技術が利用可能である。
【０００７】
典型的なモバイル加入者は、無線通信システムにアクセスするために携帯電話またはラップトップのような移動局あるいはターミナルを使用する。音声通信に加えて、移動局は、ホーム3Gシステムによって供給されるインスタントメッセージングサービス(IMS)のような他のネットワークデータサービスにアクセスすることができる。
【０００８】
移動局は、ホーム3Gシステムによって供給されたネットワークデータサービスにアクセスするために、ホーム3Gシステムの「セルラ」キャパシティを使用せずに、代替の通信チャンネルを提供することができる無線ローカルアクセスネットワーク(WLAN)にアクセスしてもよい。図1は3G-WLANのインターワーキングの体系を示す。移動局(MS)は無線ローカルエリアネットワーク(WLAN)システムを介してMSのホームネットワーク中のサービスにアクセスすることができる。パケットデータインターワーキング機能(PDIF)は、許可されていないアクセス(unauthorized access)に対してネットワークサービスを保護するセキュアゲートウェイ(secure gateway)として働く。(例えば、インスタントメッセージングサービス(IMS)。)  IMSは、MSにセットアップボイスオーバインターネットプロトコル(VoIP)呼び出しのセットアップを許容するSIP(Session Initiation Protocol)ベースのシステムである。
【０００９】
WLANシステムからIMSサービスにアクセスするために、MSは、セキュアなIPトンネルを確立するためにパケットデータインターワーキング機能(PDIF)でインターネット鍵暗号化バージョン2(IKEv2)を使用する。トンネル確立は、ホーム認証認可アカウンティング(Home Authentication Authorization Accounting)(H-AAA)によって認証され、認可される。点線は、認証、認可、アカウンティング(AAA)情報のパスである。実線は、利用者データトラヒックのデータ伝送(bearer)パスであり、パイプは、MSとPDIFとの間の利用者データトラヒックを保護するセキュアなIPトンネルである。セキュアなIPトンネルが確立された後、MSは3Gホームネットワーク中でIMSに登録することができる。セッションイニシエーションプロトコル(SIP)は、IMS中でMSがコントロール実体(例えばプロキシーコールセッション制御機能( Proxy-Call Session Control Function)(P-CSCF))と通信するために使用される。
【００１０】
しかしながら、セキュアなIPトンネルは、特定のタイプのトラヒックには非効率的である。したがって、移動局が、3Gシステムの「セルラ」キャパシティを使用せずに、3Gシステムによって供給されたネットワークデータサービスに効率的にアクセスすることを可能にするように構成された、移動局および3Gネットワークのための技術が必要とされる。
【発明の概要】
【００１１】
本発明の態様は、ホームサービスアクセスのための無線ローカルエリアネットワーク上の移動局とセキュアゲートウェイとの間の効率的なパケットの輸送方法にある。その方法では、第1の暗号化セキュリティアソシエーション(encryption security association)がセキュアゲートウェイから移動局への第1のタイプのパケット輸送のために確立され、また、第２の暗号化セキュリティアソシエーションが移動局からセキュアゲートウェイへの第1タイプのパケット輸送のために確立される。次に、第１のヌル暗号化セキュリティアソシエーションがセキュアゲートウェイから移動局への第２のタイプのパケット輸送のために確立され、また、第２のヌル暗号化セキュリティアソシエーションが移動局からセキュアゲートウェイへの第２のタイプのパケット輸送のために確立される。第２のタイプのパケットは、トラヒックセレクターに基づいて、第2のヌル暗号化セキュリティアソシエーションを使用して、輸送のために選択される。また、第2のタイプのパケットは、トラヒックセレクターに基づいて、第１のヌル暗号化セキュリティアソシエーションを使用して、輸送のために選定されてもよい。
【００１２】
本発明のより詳細な態様では、トラヒックセレクターは、移動局およびセキュアゲートウェイの両方に予め適合され(preconfigured)、かつ両方に知られている。トラヒックセレクターは、行先および／または出所IPアドレスおよびポート番号であり得る。
【００１３】
さらに、トラヒックセレクターは第１および第２の暗号化セキュリティアソシエーションを確立する前に形成(develop)されてもよく、あるいは、第１および第２の暗号化セキュリティアソシエーションを確立した後に形成されてもよい。さらに、移動局はトラヒックセレクターを形成し、そのトラヒックセレクターを、第２の暗号化セキュリティアソシエーションを使用してセキュアゲートウェイに転送する。あるいは、セキュアゲートウェイはトラヒックセレクターを形成し、そのトラヒックセレクターを第１の暗号化セキュリティアソシエーションを使用して転送する。
【００１４】
本発明のより詳細な態様では、第１および第２のヌル暗号化セキュリティアソシエーションは各々、チャイルドセキュリティアソシエーション(child security association)である。セキュリティアソシエーションは、それぞれセキュアIPトンネルである。ホームサービスは第3世代携帯電話ホームネットワークによって提供され得る。セキュアゲートウェイは、パケットデータインターワーキング機能であり得る。第2のヌル暗号化セキュリティアソシエーションを使用して輸送のために選ばれた第２のタイプのパケットは、以前に暗号化されたボイスオーバーIPパケットであり得る。あるいは、それらは以前に暗号化されたセッションイニシエーションプロトコルパケット(session initiation protocol packets)であり得る。
【００１５】
本発明の別の態様は、無線ローカルエリアネットワーク上でセキュアゲートウェイから移動局へ第1のタイプのパケットを輸送するための第１の暗号化セキュリティアソシエーションを確立する手段と、無線ローカルエリアネットワーク上で移動局からセキュアゲートウェイへ第1のタイプのパケットを輸送するための第２の暗号化セキュリティアソシエーションを設立する手段と、無線ローカルエリアネットワーク上でセキュアゲートウェイから移動局へ第２のタイプのパケットを輸送するための第１のヌル暗号化セキュリティアソシエーションを確立する手段と、無線ローカルエリアネットワーク上で移動局からセキュアゲートウェイへ第２のタイプのパケットを輸送するための第２のヌル暗号化セキュリティアソシエーションを確立するための手段と、そして、トラヒックセレクターに基づいて、第２のヌル暗号化セキュリティアソシエーションを使用して、輸送のための第２のタイプのパケットを選択する手段とを含む移動局にある。
【００１６】
さらに本発明の他の態様は、無線ローカルエリアネットワーク上でセキュアゲートウェイから移動局へ第1のタイプのパケットを輸送するための第１の暗号化セキュリティアソシエーションをコンピュータに確立させるコードと、無線ローカルエリアネットワーク上で移動局からセキュアゲートウェイへ第１のタイプのパケットを輸送するための第２の暗号化セキュリティアソシエーションをコンピュータに確立させるコードと、無線ローカルエリアネットワーク上でセキュアゲートウェイから移動局へ第２のタイプのパケットを輸送するための第１のヌル暗号化セキュリティアソシエーションをコンピュータに確立させるコードと、無線ローカルエリアネットワーク上で移動局からセキュアゲートウェイへ第２のタイプのパケットを輸送するための第２のヌル暗号化セキュリティアソシエーションをコンピュータに確立させるコードと、そして、トラヒックセレクターに基づいて、第２のヌル暗号化セキュリティアソシエーションを使用して、輸送のために第２のタイプのパケットをコンピュータに選択させるコードとを備えたコンピュータ読取り可能なメディアを含むコンピュータプログラム製品である。
【図面の簡単な説明】
【００１７】
【図１】図1は、無線ローカルエリアネットワークを通してホーム3Gシステムと通信する移動局のブロックダイヤグラムである。
【図２】図2は、無線通信システムの例である。
【図３】図3は、移動局とセキュアゲートウェイとの間のセキュリティアソシエーションを確立する方法のフローチャートである。
【図４】図4は、移動局のブロックダイヤグラムである。
【発明の詳細な説明】
【００１８】
「典型的な」という語は、ここでは、「例、インスタンスあるいは実例として役立つ」ことを意味するために使用される。「典型的な」とここで記載された如何なる実施例も、必ずしも他の実施例より好ましい、あるいは有利であると解釈されるものではない。
【００１９】
移動局(MS)、アクセスターミナル(AT)、ユーザ設備あるいは加入者ユニットとして知られている遠隔ステーションは、モバイルであっても、固定であってもよく、そして、基地トランシーバステーション(BTS)あるいはノードBとして知られている1つ以上の基地局と通信する。遠隔ステーションは、無線ネットワークコントローラ(RNC)として知られている1つ以上の基地局コントローラを通して、データパケットを送受信する。基地局および基地局コントローラは、アクセスネットワークと呼ばれるネットワークの一部である。アクセスネットワークは、多数の遠隔ステーション間でデータパケットを輸送する。さらに、アクセスネットワークは、企業イントラネットまたはインターネットのようなアクセスネットワークの外の追加のネットワークに接続され、各遠隔ステーションとそのような外のネットワークとの間でデータパケットを輸送する。1つ以上の基地局との活性なトラヒックチャンネル接続を確立した遠隔ステーションは、活性遠隔ステーションと呼ばれ、トラヒック状態であると言われる。1つ以上の基地局との活性なトラヒックチャンネル接続を確立する過程にある遠隔ステーションは、接続セットアップ状態であると言われる。遠隔ステーションは、無線チャンネルを通して通信する任意のデータ装置であり得る。遠隔ステーションは、さらに、これらには限定されないが、PCカード、コンパクトフラッシュ（登録商標）、外付けまたは内蔵モデム、あるいは無線電話を含む多くのタイプのデバイスのいずれかであり得る。遠隔ステーションが基地局へ信号を送る通信リンクはアップリンクと呼ばれ、リバースリンクとしても知られている。基地局が遠隔ステーションへ信号を送る通信リンクはダウンリンクと呼ばれ、フォワードリンクとしても知られている。
【００２０】
図2を参照して、無線通信システム100は1つ以上の無線移動局(MS)102、1つ以上の基地局(BS)104、1つ以上基地局コントローラ(BSC)106、およびコアネットワーク108を含む。
【００２１】
コアネットワークは、適切なバックホール(backhaul)によってインターネット110および公衆スイッチ電話ネットワーク(PSTN)112に接続される。典型的な無線移動局は、携帯型電話(handheld phone)あるいはラップトップコンピュータを含む。無線通信システム100は、符号分割多元接続(CDMA)、時分割多元接続(TDMA)、周波数分割多元接続(FDMA)、空間分割多元接続(SDMA)、極性分割多元接続(PDMA)あるいは当該技術中で既知の他の変調技術のような、多くの多元接続技術のうちの任意の1つを使用することができる。
【００２２】
再び図1を参照して、MSは、MSのホーム第３世代(3G)ネットワーク18によって提供されるサービスにアクセスすることができる。パケットデータインターワーキング機能(PDIF)20は、不正使用から3Gネットワークサービスを保護するセキュアゲートウェイとして働く。MSとP-CSCFとの間で交換されるセッションイニシエーションプロトコル(SIP)シグナリングはIPsec(Security Architecture for Internet Protocol)輸送モードを介して既に暗号化されているので、方法と装置は、MSとPDIFとの間で輸送されるSIPシグナリングメッセージでのIPsec暗号化を不能(disable)にすることができる。ゴールは、MSでのSIPシグナリングメッセージに対して入れ子(nested)のIPsec暗号化／解読を回避することである。
【００２３】
VoIPメディアパケット(20ミリ秒で１つ)の暗号化／解読はPDIFおよびMS中で少なからぬ処理ロードを招き得るので、IPsec暗号化は、MSとPDIFとの間で輸送されるVoIPメディアパケットに対して不能にされるべきである。下に述べられる方法と装置は、MSにおいて、とりわけ、多くのMSをサポートするPDIFにおいて、処理資源を節約する。
【００２４】
SIPシグナリングおよびVoIPメディアパケットのIPsec暗号化を不能にすることが望まれる一方で、他の非IMS(non-IMS)パケットフロー(例えば電子メール・メッセージ、IMなど)に対してIPsec暗号化を適用することは好ましい。
【００２５】
方法のゴールは、MSとPDIFに対してそれぞれの方角に、2つのIPsec SA(IPsec Security Association)を確立することである。(各IPsec SAが単一方向(uni-directional)であるので、各方向で2つのIPsec SAが必要である。)  1つのIPsec SAは暗号化用であり、他のIPsec SAはヌル暗号化用である。MSは、ヌル暗号化のIPsec SAがSIPシグナリングメッセージに、およびオプションでVoIPメディアパケットに適用され、また、暗号化IPsec SAが他のトラヒックに適用されるように、セキュリティポリシーデータベース(SPD)中にトラヒックセレクターを構成する。
【００２６】
最初のIKEv2交渉中に、MSとPDIFは、MSのために予定され、MSを起源とする全てのトラヒック(最初に非IMSパケット)を暗号化するためのデフォルトIPsec SAを確立する。このIPsec SAの確立中に、MSのIPアドレスのために予定された全てのパケット、およびMSのIPアドレスから起こる全てのパケットに暗号化IPsec SAが適用されるように、MSとPDIFは、SPD中にトラヒックセレクターを構成するためにIKEv2を使用する。
【００２７】
MSがIMSサービスを望む場合、MSはSIP登録を実行する。SIP REGISTER/200OKのP-CSCFとの交換によって、MSは、その後に続くSIPシグナリングメッセージを運ぶために使用されるクライアント/サーバーポート番号を得る。これらのメッセージはMSとP-CSCFとの間のIPsec暗号化によって保護される。MSがクライアント／サーバーポート番号を得た後、MSは、SIPシグナリングおよびオプションでVoIPメディアパケットのためのヌル暗号化IPsec SAを確立するためにクリエート−チャイルド−ＳＡ交換(Create-Child-SA exchange)を使用する。ヌル暗号化IPsec SAの確立中に、ヌル暗号化IPsec SAがクライアント/サーバーポート番号を有するパケット(そのパケットが暗号化されたSIPシグナリングメッセージを運んでいることを示す)に適用されるように、MSとPDIFは、SPD中にトラヒックセレクターを構成するためにIKEv2を使用する。
【００２８】
さらに、MSとPDIFは、ヌル暗号化IPsec SAがVoIPメディアパケットに適用するように、SPD中に追加のトラヒックセレクターを構成してもよい。これを行うために2つの方法がある:
１）MSが出所ポートxを有するVoIPメディアパケットを常に送り、かつ行き先ポートyを有するVoIPメディアパケットを受け取るために静的に構成される場合は、ヌル暗号化IPsec SAの確立中に、MSは、ヌル暗号化IPsec SAがポートxを有するMSを起源とするパケット(MS-originated packets)およびポートyを有するMSで終了するパケット(MS-terminated packets)に適用されるように、SPD中に追加のトラヒックセレクター(ポートxおよびyのための)を構成する。
【００２９】
２）全てのVoIPセッションのためにポート番号が動的に選ばれる場合は、全てのVoIPセッションの最初に、MSは、VoIPメディアパケットを送るためにどのポート(例えばポートu)を使用するか、また、VoIPメディアパケットを受け取るためにどのポート(例えばポートv)を使用するかを知る。MSは、SPD中でトラヒックセレクター(ポートuおよびvのための)を更新するためにIKEv2情報交換(IKEv2 Informational Exchange)を使用することができる。そしてヌル暗号化IPsec SAが、ポートuを有するMS起源パケットおよびポートvを有するMS終了パケットに適用される。
【００３０】
MSは次の振る舞いをする:
MSがSIP交換からクライアント/サーバーポート番号を得た後、MSは、それらのクライアント/ポート番号を有するパケットのヌル暗号化IPsec SAを確立するためにIKEv2を使用する(これらのパケットは、暗号化されたSIPシグナリングメッセージを運ぶことになるので、MSとPDIFとの間で再び暗号化される必要はない);  また、MSは、VoIPメディアパケットにヌル暗号化IPsec SAを適用するために、SPD中でトラヒックセレクターを構成するためにIKEv2を使用してもよい。
【００３１】
PDIFは次の振る舞いをする:
SIPシグナルメッセージのヌル暗号化IPsec SAのサポート;  および、VoIPメディアパケットのためのヌル暗号化IP秒SAのサポート。
【００３２】
図1および3を参照して、本発明の1つの態様は、ホームサービスアクセスのための無線ローカルエリアネットワークWLAN 22を通して移動局MS 102とセキュアゲートウェイ20(例えばPDIF)との間の効率的なパケット輸送のための方法300にある。その方法では、第１の暗号化セキュリティアソシエーションESA1が、セキュアゲートウェイから移動局へ第1のタイプのパケットを輸送するために確立され(ステップ302)、第２の暗号化セキュリティアソシエーションESA2が、移動局からセキュアゲートウェイへ第1のタイプのパケットを輸送するために確立される(ステップ304)。次に、第１のヌル暗号化セキュリティアソシエーションN-ESA1が、セキュアゲートウェイから移動局へ第２のタイプのパケットを輸送するために確立され(ステップ306)、第２のヌル暗号化セキュリティアソシエーションN-ESA2が、移動局からセキュアゲートウェイへ第２のタイプのパケットを輸送するために確立される(ステップ308)。第2のタイプのパケットが、トラヒックセレクターに基づいて、第2のヌル暗号化セキュリティアソシエーションを使用して、輸送のために選択される。また、第2のタイプのパケットは、トラヒックセレクターに基づいて、第１のヌル暗号化セキュリティアソシエーションを使用して、輸送のために選択される。
【００３３】
第1のタイプのパケットは暗号化を要求するパケットで、第１および第２の暗号化セキュリティアソシエーションを使用して輸送される。第２のタイプのパケットは既に暗号化されているパケット(例えば、SIPシグナリング、VoIPなど)で、第１および第２のヌル暗号化セキュリティアソシエーションを使用して輸送される。
【００３４】
トラヒックセレクターは、移動局およびセキュアゲートウェイの両方に予め適合され、また移動局およびセキュアゲートウェイの両方に知られている。トラヒックセレクターは、行き先および／または出所IPアドレス、およびポート番号であり得る。パケットのタイプは、関連するIPアドレスおよび／またはポート番号によって決定されてもよい。
【００３５】
あるいは、トラヒックセレクターは、第１および第２の暗号化セキュリティアソシエーションの確立の前に形成されてもよく、あるいは、第１および第２の暗号化セキュリティアソシエーションを確立した後に形成されてもよい。例えば、移動局は、トラヒックセレクターを形成し、第２の暗号化セキュリティアソシエーションを使用して、そのトラヒックセレクターをセキュアゲートウェイへ転送する(ステップ310)。あるいは、セキュアゲートウェイは、トラヒックセレクターを形成し、第１の暗号化セキュリティアソシエーションを使用して、そのトラヒックセレクターを転送する(ステップ312)。
【００３６】
本発明のより詳細な態様では、第１と第２のヌル暗号化セキュリティアソシエーションは、各々チャイルドセキュリティアソシエーションであり得る。各セキュリティアソシエーションは、セキュアIPトンネル24であり得る。ホームサービスは第3世代の携帯電話ホームネットワーク18によって提供され得る。セキュアゲートウェイは、パケットデータインターワーキング機能20であり得る。第2のヌル暗号化セキュリティアソシエーションを使用して輸送に選ばれた第2のタイプのパケットは、以前に暗号化されたボイスオーバーIP(VoIP)パケットであり得、あるいは、以前に暗号化されたセッションイニシエーションプロトコル(SIP)パケットであり得る。
【００３７】
図4を参照して、本発明の別の態様は移動局102にあり、無線ローカルエリアネットワーク上でセキュアゲートウェイから移動局へ第1のタイプのパケットを輸送するための第１の暗号化セキュリティアソシエーションを確立する手段と、無線ローカルエリアネットワーク上で移動局からセキュアゲートウェイへ第1のタイプのパケットを輸送するための第２の暗号化セキュリティアソシエーションを確立する手段と、無線ローカルエリアネットワーク上でセキュアゲートウェイから移動局へ第2のタイプのパケットを輸送するための第１のヌル暗号化セキュリティアソシエーションを確立する手段と、無線ローカルエリアネットワーク上で移動局からセキュアゲートウェイへ第2のタイプのパケットを輸送するための第２のヌル暗号化セキュリティアソシエーションを確立する手段と、トラヒックセレクターに基づいて、第2のヌル暗号化セキュリティアソシエーションを使用して、第2のタイプのパケットを輸送のために選択する手段とを含む。上に記述された手段は、制御プロセッサ402を含んでもよい。移動局はさらに、携帯電話に典型的なように、メモリデバイス404、キーパッド406、マイクロホン408、ディスプレイ410、スピーカー、アンテナなどを含んでもよい。
【００３８】
本発明の別の態様は、メモリデバイス404のようなコンピュータ読取り可能なメディアを備えたコンピュータプログラム製品にあり、無線ローカルエリアネットワーク上でセキュアゲートウェイから移動局へ第1のタイプのパケットを輸送するための第１の暗号化セキュリティアソシエーションをコンピュータに確立させるコードと、無線ローカルエリアネットワーク上で移動局からセキュアゲートウェイへ第２のタイプのパケットを輸送するための第２の暗号化セキュリティアソシエーションをコンピュータに確立させるコードと、無線ローカルエリアネットワーク上でセキュアゲートウェイから移動局への第２のタイプのパケットを輸送するための第１のヌル暗号化セキュリティアソシエーションをコンピュータに確立させるコードと、無線ローカルエリアネットワーク上で移動局からセキュアゲートウェイへ第２のタイプのパケットを輸送するための第２のヌル暗号化セキュリティアソシエーションをコンピュータに確立させるコードと、そして、トラヒックセレクターに基づいて、第２のヌル暗号化セキュリティアソシエーションを使用して、輸送のための第２のタイプのパケットをコンピュータに選択させるコードを備える。
【００３９】
当該技術における熟練者は、情報および信号は、様々な異なる技術のうちの任意のものを使用して表現され得ることを理解するであろう。例えば、上の記述の全体にわたって参照されたデータ、命令、コマンド、情報、信号、ビット、シンボルおよびチップは、電圧、電流、電磁波、磁界もしくはパーティクル、光学フィールドもしくはパーティクル、あるいはそれの任意のコンビネーションによって表わされてもよい。
【００４０】
熟練者は、ここに開示された実施例に関連して記載された様々の例示的な論理ブロック、モジュール、およびアルゴリズム・ステップが、電子ハードウェア、コンピューター・ソフトウェアあるいはその両方のコンビネーションとしてインプリメントされてもよいことをさらに認識するであろう。ハードウェアとソフトウェアのこの互換性を明白に例証するために、様々な例示的なコンポーネント、ブロック、モジュール、回路およびステップが、上では一般的にそれらの機能性の点から説明された。そのような機能性がハードウェアとしてインオウリメントされるかソフトウェアとしてインプリメントされるかは、特定のアプリケーションおよびシステム全体に課される設計制約に依存する。熟練した職人は、記述された機能性を各特定のアプリケーション用に変更してインプリメントしてもよい。しかし、そのようなインプリメンテーションの決定が本発明の範囲からの離脱を引き起こすと解釈されるべきではない。
【００４１】
様々な実例となる論理ブロック、モジュール、およびここに示された実施例に関して記述された回路は、汎用プロセッサ、デジタル信号プロセサ(DSP)、特定用途向けIC(ASIC)、フィールドプログラム可能なゲートアレイ(FPGA)あるいは他のプログラム可能な論理回路、個別ゲート、トランジスターロジック、個別のハードウェアコンポーネント、あるいはここに記述された機能を実行することを目指したそれらの任意のコンビネーションでインプリメントされてもよく、実行されてもよい。汎用プロセッサはマイクロプロセッサであり得る。しかし、代替として、プロセッサは任意の従来のプロセッサ、コントローラ、マイクロコントローラあるいはステートマシンであってもよい。また、プロセッサは、計算装置(例えばDSPとマイクロプロセッサのコンビネーション、複数のマイクロプロセッサ、DSPコアと協働する1つ以上のマイクロプロセッサあるいは他のそのような構成)のコンビネーションとしてインプリメントされてもよい。
【００４２】
ここに示された実施例に関して記述された方法あるいはアルゴリズムのステップは、直接ハードウェアで、プロセッサによって実行されるソフトウェアモジュールで、あるいは2つのコンビネーションで具体化され得る。ソフトウェアモジュールは、RAMメモリ、フラッシュメモリ、ROMメモリ、EPROMメモリ、EEPROMメモリ、レジスタ、ハードディスク、リムーバブル・ディスク、CD-ROMあるいは当該技術分野で既知の記憶媒体の他の形式に存在してもよい。典型的な記憶媒体はプロセッサに結合され、プロセッサが情報を記憶媒体から情報を読むことができ、また記憶媒体に情報を書くことができる。代替では、記憶媒体はプロセッサと一体であり得る。プロセッサと記憶媒体はASICに存在してもよい。
【００４３】
ASICはユーザ端末に存在してもよい。代替では、プロセッサと記憶媒体はユーザ端末の個別のコンポーネントとして存在してもよい。
【００４４】
1つ以上の典型的な実施例では、記述された機能は、ハードウェア、ソフトウェア、ファームウェアあるいはそれの任意のコンビネーション中でインプリメントされ得る。もしコンピュータプログラム製品としてソフトウェア中でインプリメントされるならば、機能は、コンピュータが読み取り可能な媒体上の1つ以上の命令あるいはコードとして、格納され、あるいは送信され得る。コンピュータが読み取り可能な媒体は、コンピュータ記憶媒体およびある場所から別の場所へコンピュータプログラムの転送を促進する任意の媒体を含む通信媒体の両方を含む。記憶媒体は、コンピュータによってアクセスすることができるあらゆる利用可能な媒体であり得る。制限ではなく例示として、そのようなコンピュータ可読媒体はRAM、ROM、EEPROM、CD-ROMまたは他の光ディスク記憶装置、磁気ディスク記憶装置または他の磁気記憶装置、あるいは、命令もしくはデータ構造の形で所要のプログラムコードを運びもしくは格納するために使用することができ、コンピュータによってアクセスされることができる他の媒体を含む。さらに、いかなる接続もコンピュータが読み取り可能な媒体と適切に名付けられる。例えば、ソフトウェアがウェブサイト、サーバーあるいは他の遠隔の出所から、同軸ケーブル、光ファイバケーブル、撚り対線、デジタル加入者線(DSL)あるいは赤外線、無線およびマイクロ波のような無線技術を使用して送信される場合、同軸ケーブル、光ファイバケーブル、撚り対線、DSLあるいは赤外線、無線およびマイクロ波のような無線技術は、媒体の定義に含まれる。ここで使用されたディスクは、磁気的にデータを再生し、あるいはレーザーでデータを光学上に再生する、コンパクト・ディスク(CD)、レーザーディスク（登録商標）、光ディスク、ディジタル・バーサタイル・ディスク(DVD)、フロッピー（登録商標）ディスクおよびブルーレイ・ディスクを含む。上記のもののコンビネーションもまた、コンピュータが読み取り可能な媒体の範囲内に含まれるべきである。
【００４５】
以上に示された実施例の記述は、いかなる当業者も本発明を製造しあるいは使用することを可能にするために提供される。これらの実施例への様々な変更は当業者に容易に明白であろう。そして、ここに定義された総括的な原則は、発明の趣旨あるいは範囲から外れることなく、他の実施例に適用可能である。したがって、本発明は、ここに示された実施例に制限されたようには意図されず、ここに示された原則および新規な特徴と合致する最も広い範囲が認められるものである。
なお、以下に、出願当初の特許請求の範囲に記載された発明を付記する。
［Ｃ１］
ホームサービスアクセスのための無線ローカルエリアネットワーク上での移動局とセキュアゲートウェイとの間の効率的なパケット輸送方法であって、
前記セキュアゲートウェイから前記移動局へ第1のタイプのパケットを輸送するための第１の暗号化セキュリティアソシエーションを確立し、かつ、前記移動局から前記セキュアゲートウェイへ前記第1のタイプのパケットを輸送するための第２の暗号化セキュリティアソシエーションを確立することと;
前記セキュアゲートウェイから前記移動局へ第2のタイプのパケットを輸送するための第１のヌル暗号化セキュリティアソシエーションを確立し、かつ、前記移動局から前記セキュアゲートウェイへ前記第2のタイプのパケットを輸送するための第２のヌル暗号化セキュリティアソシエーションを確立することと；
トラヒックセレクターに基づいて、前記第2のヌル暗号化のセキュリティアソシエーションを使用して、前記第2のタイプのパケットを輸送のために選択することと；
を備える方法。
［Ｃ２］
前記トラヒックセレクターは、前記移動局および前記セキュアゲートウェイの両方に予め適合され、かつ両方に知られている、Ｃ1に記載の方法。
［Ｃ３］
前記トラヒックセレクターは、行き先IPアドレスおよびポート番号である、Ｃ1に記載の方法。
［Ｃ４］
前記トラヒックセレクターは、出所IPアドレスおよびポート番号である、Ｃ1に記載の方法。
［Ｃ５］
前記トラヒックセレクターは、前記第１および前記第２の暗号化セキュリティアソシエーションを確立する前に形成される、Ｃ1に記載の方法。
［Ｃ６］
前記トラヒックセレクターは、前記第１および第２の暗号化セキュリティアソシエーションを確立した後に形成される、Ｃ1に記載の方法。
［Ｃ７］
前記移動局は、前記トラヒックセレクターを形成し、前記第２の暗号化セキュリティアソシエーションを使用して、前記トラヒックセレクターを前記セキュアゲートウェイへ転送する、Ｃ6に記載の方法。
［Ｃ８］
前記セキュアゲートウェイは、前記トラヒックセレクターを形成し、前記第１の暗号化セキュリティアソシエーションを使用して、前記トラヒックセレクターを転送する、Ｃ6に記載の方法。
［Ｃ９］
前記第１および前記第２のヌル暗号化セキュリティアソシエーションは、各々がチャイルドセキュリティアソシエーションである、Ｃ1に記載の方法。
［Ｃ１０］
前記セキュリティアソシエーションは、それぞれ、セキュアIPトンネルであるＣ1に記載の方法。
［Ｃ１１］
前記ホームサービスは、第3世代携帯電話ホームネットワークによって提供される、Ｃ１に記載の方法。
［Ｃ１２］
前記セキュアゲートウェイは、パケットデータインターワーキング機能である、Ｃ1に記載の方法。
［Ｃ１３］
前記第2のヌル暗号化セキュリティアソシエーションを使用して輸送のために選択された前記第2のタイプのパケットは、以前に暗号化されたボイスオーバーIPパケットである、Ｃ1に記載の方法。
［Ｃ１４］
前記第2のヌル暗号化セキュリティアソシエーションを使用して輸送のために選択された前記第2のタイプのパケットは、以前に暗号化されたセッションイニシエーションプロトコルパケットである、Ｃ1に記載の方法。
［Ｃ１５］
トラヒックセレクターに基づいて、第１のヌル暗号化セキュリティアソシエーションを使用して、輸送のためのパケットを選択することをさらに備える、Ｃ1に記載の方法。
［Ｃ１６］
無線ローカルエリアネットワーク上でセキュアゲートウェイから移動局へ第1のタイプのパケットを輸送するための第１の暗号化セキュリティアソシエーションを確立する手段と;
前記無線ローカルエリアネットワーク上で前記移動局から前記セキュアゲートウェイへ前記第1のタイプのパケットを輸送するための第２の暗号化セキュリティアソシエーションを確立する手段と;
前記無線ローカルエリアネットワーク上で前記セキュアゲートウェイから前記移動局へ第2のタイプのパケットを輸送するための第１のヌル暗号化セキュリティアソシエーションを確立する手段と;
前記無線ローカルエリアネットワーク上で前記移動局から前記セキュアゲートウェイへ前記第2のタイプもパケットを輸送するための第２のヌル暗号化セキュリティアソシエーションを確立する手段と;
トラヒックセレクターに基づいて、前記第2のヌル暗号化セキュリティアソシエーションを使用して、前記第2のタイプのパケットを輸送のために選択する手段と；
を備える移動局。
［Ｃ１７］
前記トラヒックセレクターは、前記移動局および前記セキュアゲートウェイの両方に予め適合され、かつ両方に知られている、Ｃ16に記載の移動局。
［Ｃ１８］
前記トラヒックセレクターは、行き先IPアドレスおよびポート番号である、Ｃ16に記載の移動局。
［Ｃ１９］
前記トラヒックセレクターは、出所IPアドレスおよびポート番号である、Ｃ16に記載の移動局。
［Ｃ２０］
前記第１および第２のヌル暗号化セキュリティアソシエーションは、各々がチャイルドセキュリティアソシエーションである、Ｃ16に記載の移動局。
［Ｃ２１］
前記セキュリティアソシエーションは、それぞれ、セキュアIPトンネルである、Ｃ16に記載の移動局。
［Ｃ２２］
前記セキュアゲートウェイは、パケットデータインターワーキング機能である、Ｃ16に記載の移動局。
［Ｃ２３］
前記第2のヌル暗号化セキュリティアソシエーションを使用して輸送のために選択された前記第2のタイプのパケットは、以前に暗号化されたボイスオーバーIPパケットである、Ｃ16に記載の移動局。
［Ｃ２４］
前記第2のヌル暗号化セキュリティアソシエーションを使用して輸送のために選択された前記第2のタイプ・パケットは、以前に暗号化されたセッションイニシエーションプロトコルパケットである、Ｃ16に記載の移動局。
［Ｃ２５］
コンピュータが読取り可能な媒体を備えるコンピュータプログラム製品であって、
前記コンピュータが読取り可能な媒体は、
無線ローカルエリアネットワーク上でセキュアゲートウェイから移動局へ第1のタイプのパケットを輸送するための第１の暗号化セキュリティアソシエーションを前記コンピュータに確立させるコードと；
前記無線ローカルエリアネットワーク上で前記移動局から前記セキュアゲートウェイへ前記第１のタイプのパケットを輸送するための第２の暗号化セキュリティアソシエーションを前記コンピュータに確立させるコードと；
前記無線ローカルエリアネットワーク上で前記セキュアゲートウェイから前記移動局へ第２のタイプのパケットを輸送するための第１のヌル暗号化セキュリティアソシエーションを前記コンピュータに確立させるコードと；
前記無線ローカルエリアネットワーク上で前記移動局から前記セキュアゲートウェイへ前記第２のタイプのパケットを輸送するための第２のヌル暗号化セキュリティアソシエーションを前記コンピュータに確立させるコードと；
トラヒックセレクターに基づいて、前記第２のヌル暗号化セキュリティアソシエーションを使用して、輸送のために前記第２のタイプのパケットを前記コンピュータに選択させるコードと；
を備えるコンピュータプログラム製品。
【図１】
0005591890.tif 000002
【図２】
0005591890.tif 000003
【図３】
0005591890.tif 000004
【図４】
0005591890.tif 000005