(57)【特許請求の範囲】
【請求項１】
拡張可能認証プロトコル（EAP）を用いて外部認証を行う方法であって、
ユーザ装置はE-UTRANにより進化型パケットシステム（EPS）ネットワークに初期アタッチする際、EAP認証方法に必要とされるEAP認証情報をパケットデータネットワークゲートウェイに送信し、且つEAP要求情報を受信した後、EAP応答情報が載せられた要求ベアラリソース変更メッセージを前記パケットデータネットワークゲートウェイに送信することを含む拡張可能認証プロトコル（EAP）を用いて外部認証を行う方法。
【請求項２】
前記ユーザ装置はEAP認証方法に必要とされるEAP認証情報をプロトコル設定オプション（PCO）又は新しく定義された情報要素に載せてアタッチ要求メッセージにより送信し、且つ前記EAP応答情報を前記PCO又は新しく定義された情報要素に載せて前記要求ベアラリソース変更メッセージにより送信し、前記EAP認証情報はユーザ資格証明を含み、及び/又はユーザ名及びパスワードを含む請求項1に記載の方法。
【請求項３】
拡張可能認証プロトコル（EAP）を用いて外部認証を行う方法であって、
パケットデータネットワークゲートウェイはEAP認証情報が載せられたセッション確立要求メッセージを受信した後、抽出した前記EAP認証情報をアクセス要求メッセージに載せて外部認証サーバに送信し、前記外部認証サーバは前記アクセス要求メッセージを受信した後、EAP要求情報を載せるアクセスチャレンジメッセージを前記パケットデータネットワークゲートウェイに返すこと、
前記パケットデータネットワークゲートウェイは前記アクセスチャレンジメッセージにおける前記EAP要求情報をユーザ装置に送信すること、及び
前記パケットデータネットワークゲートウェイはEAP応答情報が載せられたベアラリソース命令メッセージを受信した後、抽出した前記EAP応答情報を前記アクセス要求メッセージに載せて前記外部認証サーバに送信し、前記外部認証サーバは前記EAP応答情報を認証処理した後、前記パケットデータネットワークゲートウェイへ認証結果を返し、前記パケットデータネットワークゲートウェイは受信した前記認証結果を前記ユーザ装置に送信すること、を含む拡張可能認証プロトコル（EAP）を用いて外部認証を行う方法。
【請求項４】
前記EAP認証情報、前記EAP要求情報、前記EAP応答情報及び前記認証結果はいずれも情報要素に載せられて、前記情報要素はプロトコル設定オプション（PCO）又は新しく定義された情報要素であり、
前記方法には、
移動管理ユニットはアタッチ要求メッセージを受信した後、サービスゲートウェイにより前記EAP認証情報が載せられた情報要素を前記セッション確立要求メッセージに載せて前記パケットデータネットワークゲートウェイに送信すること、
前記パケットデータネットワークゲートウェイは前記EAP要求情報を載せる情報要素をセッション確立応答メッセージにより前記サービスゲートウェイを経て前記移動管理ユニットに送信し、前記移動管理ユニットは前記情報要素をアタッチ許可メッセージに載せて前記ユーザ装置に送信すること、及び
前記パケットデータネットワークゲートウェイは前記認証結果が載せられた情報要素をベアラ更新要求メッセージにより前記サービスゲートウェイを経て前記移動管理ユニットに送信し、前記移動管理ユニットは前記情報要素を下り非アクセス層（NAS）伝送メッセージにより前記ユーザ装置に送信すること、を更に含む請求項3に記載の方法。
【請求項５】
拡張可能認証プロトコル（EAP）を用いて外部認証を行う方法であって、
ユーザ装置がUTRAN/GERANにより進化型パケットシステム（EPS）ネットワークに初期アタッチされた際、パケットメッセージプロトコル（PDP）コンテキストアクティブ化要求を送信する際EAP認証に必要とされるEAP認証情報を載せること、及び
前記ユーザ装置がEAP要求情報を載せるPDPアクティブ化許可メッセージを受信した後、前記EAP要求情報に対するEAP応答情報を載せるPDPコンテキスト変更要求メッセージをGGSN/パケットデータネットワークゲートウェイに送信することを含む拡張可能認証プロトコル（EAP）を用いて外部認証を行う方法。
【請求項６】
前記EAP認証情報及び前記EAP応答情報はいずれもプロトコル設定オプション（PCO）又は新しく定義された情報要素に載せられる請求項5に記載の方法。
【請求項７】
拡張可能認証プロトコル（EAP）を用いて外部認証を行う方法であって、
GGSN/パケットデータネットワークゲートウェイがパケットメッセージプロトコル（PDP）コンテキストアクティブ化要求を受信した後、EAP認証情報をアクセス要求メッセージに載せて外部認証サーバに送信し、前記外部認証サーバが前記アクセス要求メッセージを受信した後、EAP要求情報を載せるアクセスチャレンジメッセージを前記GGSN/パケットデータネットワークゲートウェイに返すこと、
前記GGSN/パケットデータネットワークゲートウェイが前記EAP要求情報をPDPアクティブ化許可メッセージによりユーザ装置に送信すること、及び
前記GGSN/パケットデータネットワークゲートウェイがPDPコンテキスト変更要求メッセージを受信した後、EAP応答情報を抽出し、抽出した前記EAP応答情報を前記アクセス要求メッセージに載せて前記外部認証サーバに送信し、且つ認証結果を受信した後、PDPコンテキスト更新応答メッセージにより前記ユーザ装置に送信すること、を含む拡張可能認証プロトコル（EAP）を用いて外部認証を行う方法。
【請求項８】
前記GGSN/パケットデータネットワークゲートウェイは前記EAP要求情報をプロトコル設定オプション（PCO）又は新しく定義された情報要素に載せてPDPアクティブ化許可メッセージにより前記ユーザ装置に送信し、及び
前記GGSN/パケットデータネットワークゲートウェイは前記認証結果を前記PCO又は新しく定義された情報要素に載せて前記PDPコンテキスト更新応答メッセージにより前記ユーザ装置に送信する請求項7に記載の方法。
【請求項９】
拡張可能認証プロトコル（EAP）を用いて外部認証を行うユーザ装置であって、前記ユーザ装置は、E-UTRANにより進化型パケットシステム（EPS）ネットワークに初期アタッチする際、EAP認証方法に必要とされるEAP認証情報をパケットデータネットワークゲートウェイに送信し、及び、EAP要求情報を受信した後、EAP応答情報が載せられた要求ベアラリソース変更メッセージを前記パケットデータネットワークゲートウェイに送信するように設置される拡張可能認証プロトコル（EAP）を用いて外部認証を行うユーザ装置。
【請求項１０】
前記ユーザ装置は、前記EAP認証情報をプロトコル設定オプション（PCO）又は新しく定義された情報要素に載せてアタッチ要求メッセージにより前記パケットデータネットワークゲートウェイに送信し、前記EAP認証情報はユーザ資格証明を含み、及び/又はユーザ名及びパスワードを含み、及び
前記EAP応答情報を前記PCO又は新しく定義された情報要素に載せて前記要求ベアラリソース変更メッセージにより送信するように設置される請求項9に記載のユーザ装置。
【請求項１１】
パケットデータネットワークゲートウェイ及び外部認証サーバを含む拡張可能認証プロトコル（EAP）を用いて外部認証を行うネットワーク側装置であって、
前記パケットデータネットワークゲートウェイは、EAP認証情報が載せられたセッション確立要求メッセージを受信した後、抽出した前記EAP認証情報をアクセス要求メッセージに載せて前記外部認証サーバに送信し、且つ前記外部認証サーバが返したアクセスチャレンジメッセージにおけるEAP要求情報をユーザ装置に送信し、及び、EAP応答情報が載せられたベアラリソース命令メッセージを受信した後、抽出したEAP応答情報を前記アクセス要求メッセージに載せて前記外部認証サーバに送信し、且つ受信した認証結果を前記ユーザ装置に送信するように設置され、
前記外部認証サーバは、前記アクセス要求メッセージを受信した後、前記EAP要求情報を載せるアクセスチャレンジメッセージを前記パケットデータネットワークゲートウェイに返し、及び、受信した前記EAP応答情報を認証処理した後、前記パケットデータネットワークゲートウェイへ前記認証結果を返すように設置される拡張可能認証プロトコル（EAP）を用いて外部認証を行うネットワーク側装置。
【請求項１２】
移動管理ユニット及びサービスゲートウェイを更に含み、
前記移動管理ユニットは、アタッチ要求メッセージを受信した後、前記サービスゲートウェイにより前記EAP認証情報が載せられた情報要素を前記セッション確立要求メッセージに載せて前記パケットデータネットワークゲートウェイに送信し、且つ前記EAP要求情報を載せる情報要素をアタッチ許可メッセージに載せて前記ユーザ装置に送信し、及び、前記EAP応答情報が載せられた情報要素をベアラリソース命令メッセージに載せて前記サービスゲートウェイにより前記パケットデータネットワークゲートウェイに送信し、且つ前記認証結果が載せられた情報要素を下り非アクセス層（NAS）伝送メッセージにより前記ユーザ装置に送信し、
前記情報要素がプロトコル設定オプション（PCO）又は新しく定義された情報要素であるように設置される請求項11に記載のネットワーク側装置。
【請求項１３】
拡張可能認証プロトコル（EAP）を用いて外部認証を行うユーザ装置であって、
前記ユーザ装置は、UTRAN/GERANにより進化型パケットシステム（EPS）ネットワークに初期アタッチする際、パケットメッセージプロトコル（PDP）コンテキストアクティブ化要求を送信する際EAP認証に必要とされるEAP認証情報を載せて、及び、EAP要求情報を載せるPDPアクティブ化許可メッセージを受信した後、前記EAP要求情報に対するEAP応答情報を載せるPDPコンテキスト変更要求メッセージをGGSN/パケットデータネットワークゲートウェイに送信するように設置される拡張可能認証プロトコル（EAP）を用いて外部認証を行うユーザ装置。
【請求項１４】
前記EAP認証情報及び前記EAP応答情報はいずれもプロトコル設定オプション（PCO）又は新しく定義された情報要素に載せられる請求項13に記載のユーザ装置。
【請求項１５】
GGSN/パケットデータネットワークゲートウェイ及び外部認証サーバを含む拡張可能認証プロトコル（EAP）を用いて外部認証を行うネットワーク側装置であって、
前記GGSN/パケットデータネットワークゲートウェイは、パケットメッセージプロトコル（PDP）コンテキストアクティブ化要求を受信した後、EAP認証情報をアクセス要求メッセージに載せて前記外部認証サーバに送信し、且つEAP要求情報をPDPアクティブ化許可メッセージによりユーザ装置に送信し、及び、PDPコンテキスト変更要求メッセージを受信した後、EAP応答情報を抽出し、抽出した前記EAP応答情報を前記アクセス要求メッセージに載せて前記外部認証サーバに送信し、且つ認証結果を受信した後、コンテキスト更新応答メッセージにより前記ユーザ装置に送信するように設置され、
前記外部認証サーバは、前記アクセス要求メッセージを受信した後、前記EAP要求情報を載せるアクセスチャレンジメッセージを前記GGSN/パケットデータネットワークゲートウェイに返し、及び、前記EAP応答情報を受信した後、認証処理して且つ前記GGSN /パケットデータネットワークゲートウェイへ認証結果を返すように設置される拡張可能認証プロトコル（EAP）を用いて外部認証を行うネットワーク側装置。
【請求項１６】
前記GGSN/パケットデータネットワークゲートウェイは、
前記EAP要求情報をプロトコル設定オプション（PCO）又は新しく定義された情報要素に載せて前記PDPアクティブ化許可メッセージにより前記ユーザ装置に送信し、及び
前記認証結果を前記PCO又は新しく定義された情報要素に載せて前記コンテキスト更新応答メッセージにより前記ユーザ装置に送信するように設置される請求項15に記載のネットワーク側装置。
【請求項１７】
拡張可能認証プロトコル（EAP）を用いて外部認証を行うシステムであって、
前記システムは、請求項9又は10に記載のユーザ装置、及び請求項11又は12に記載のネットワーク側装置を含み、又は、
前記システムは、請求項13又は14に記載のユーザ装置、及び請求項15又は16に記載のネットワーク側装置を含むことを特徴とする拡張可能認証プロトコル（EAP）を用いて外部認証を行うシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信分野に関し、具体的に、拡張可能認証プロトコルを用いて外部認証を行う装置、システム及び方法に関する。
【背景技術】
【０００２】
拡張可能認証プロトコル（EAP，Extensible Authentication Protocol）はポイントツーポイント認証に用いるユニバーサルプロトコルであり、多種の認証方法をサポートすることができる。EAPはリンク確立段階に認証方法を指定しなく、この過程を認証段階に延期する。このように、この認証方法はより多い情報を取得した後どのような認証方法を使用するかを決定する。このようなメカニズムは更にポイントツーポイント認証方法を応答して簡単に受信した認証メッセージを後方の認証サーバにトランスペアレント伝送し、後方の認証サーバで真実に各種の認証方法を実現する。リンク段階が完成した後、認証方法が相手端へ一つ又は複数の要求メッセージを送信する。要求メッセージにおいて認証方法が要求する情報タイプを指示するための一つのタイプフィールドがあり、例えば相手端のID、MD5のチャレンジワード、ワンタイムパスワード（OTP）及び汎用のトークンカードなどである。MD5のチャレンジワードはCHAP認証プロトコルのチャレンジワードに対応する。一般的に、認証方はまずID要求メッセージを送信してから更に他の要求メッセージを送信する。勿論、まず、このID要求メッセージを送信することは必要なものではなく、相手端のアイデンティティが知られた場合には（例えば専用線、ダイヤルアップ回線など）このステップを省略することができる。相手端は各要求メッセージに一つの応答メッセージを返事する。要求メッセージと同様に、応答メッセージにも一つのタイプフィールドが載せられて、返事した要求メッセージにおけるタイプフィールドに対応する。認証方は一つの成功又は失敗のメッセージを送信することにより認証過程を完成する。他の認証方法に対して、EAPの利点は、EAPが多種の認証メカニズムをサポートすることができ、LCP段階の前交渉過程において指定する必要がないことである。ある装置（例えばネットワークアクセスサーバ）が各要求メッセージの本当の意味を考慮する必要がなく、一つの代理として認証メッセージを直接に後端の認証サーバにトランスペアレント伝送する。装置は認証結果が成功であるか失敗であるかのみを考慮する必要があり、そして認証段階を完成する。
【０００３】
第三世代パートナーシッププロジェクト（3rd Generation Partnership Project， 3GPPと略称する）進化型パケットシステム（Evolved Packet System ，EPSと略称する）は発展型ユニバーサル移動通信システム地上無線アクセスネットワーク（Evolved UMTS Terrestrial Radio Access Network，E-UTRANと略称する）、移動管理ユニット（Mobility Management Entity，MMEと略称する）、サービスゲートウェイ（Serving Gateway，S-GW）、パケットデータネットワークゲートウェイ（Packet Data Network Gateway， P-GW又はPDN GWと略称する)、ホーム加入者サーバ（Home Subscriber Server， HSSと略称する）、ポリシーおよび課金ルール機能（Policy and Charging Rules Function，PCRFと略称する）実体及び他のサポートノードからなる。
【０００４】
図1において、MME移動管理ユニットは移動性管理、非アクセス層シグナリングの処理とユーザ移動管理コンテキストの管理などの制御面の関連作業を担当し、S-GWがE-UTRANと接続されたアクセスゲートウェイ装置であり、E-UTRANとP-GWの間にデータを転送し、且つページング待ちデータをキャッシュすることを担当し、P-GWはEPSとパケットデータネットワーク（Packet Data Network，PDNと略称する）の境界ゲートウェイであり、PDNのアクセス及びEPSとPDNの間にデータを転送するなどの機能を担当し、PCRFはポリシーおよび課金ルール機能実体であり、それは受信インターフェースRxによりオペレータネットワークプロトコル（Internet Protocol，IPと略称する）の業務ネットワークと接続されて、業務情報を取得し、なお、それはGx/Gxa/Gxcインターフェースによりネットワークにおけるゲートウェイ装置と接続されて、IPベアラの確立を開始し、業務データのサービス品質（Quality of Service，QoSと略称する）を保障し、且つ課金制御を行うことを担当する。
【０００５】
ユーザ装置が初期に新しいPDNをアタッチ/切替又は確立してEPSネットワークに接続する過程において、GGSN/PDN GWは外部パケットデータネットワークにおける認証サーバへ（第三方が提供されたものであってよい）ユーザ装置にユーザ認証許可、関連設定パラメータの送信（例えばIPアドレス）などを行う。ユーザ装置は3GPPアクセスネットワーク即ちGERAN/UTRAN/E-UTRANによりPDN接続を確立する際、ユーザ装置はPCO（Protocol Configuration Option，プロトコル設定オプション）情報要素により外部認証許可サーバが認証許可する必要があるデータをGGSN/PDN GWにトランスペアレント伝送し、そしてGGSN/PDN GWはPCOにおけるユーザ認証データを抽出し、外部認証許可サーバへ送信した認証メッセージに載せられる。外部認証許可サーバはユーザを認証許可した後認証結果及び関連データを認証応答メッセージによりGGSN/PDN GWに返す。GGSN/PDN GWは上記認証結果及び関連データをPCOに載せてユーザ装置に返す。現在の標準において、PCOはCHAP（Challenge Handshake Authentication Protocol，チャレンジハンドシェイク認証プロトコル）とPAP（Password Authentication Protocol，パスワード認証プロトコル）パラメーターを載せることをサポートし、即ち両種の認証方法がある。ネットワーク安全の発展に従って、拡張可能認証プロトコル（EAP，Extensible Authentication Protocol）は一層よい安全性を有するのでオペレータで採用し、ユーザ装置が外部認証許可方法の潜在的需要にもなる。しかしながら、CHAPとPAP認証方法の一回のインタラクションに対して、EAP認証方法はクライアント端とサーバの間に2回のメッセージインタラクションを有し、上記EAP認証方法の特徴は現在のユーザ装置がEPSに接続するプロセスを影響することを決定する。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明の実施形態は、上記ユーザ装置がEAP認証方法によりEPSネットワークに接続する過程において外部認証許可を行う潜在的需要に対して、ユーザ装置が3GPP accessによりEPSに接続する過程において、EAP認証方法を用いてGGSN/PDN GWにより外部認証許可サーバへ認証許可を完成するプロセスを作成する。
【課題を解決するための手段】
【０００７】
本発明の実施形態は拡張可能認証プロトコル（EAP）を用いて外部認証を行う方法を提供し、
ユーザ装置はE-UTRANにより進化型パケットシステム（EPS）ネットワークに初期アタッチする際、EAP認証方法が必要するEAP認証情報をパケットデータネットワークゲートウェイに送信し、且つEAP要求情報を受信した後EAP応答情報が載せられた要求ベアラリソース変更メッセージをパケットデータネットワークゲートウェイに送信することを含む。
【０００８】
前記ユーザ装置はEAP認証方法が必要するEAP認証情報をプロトコル設定オプション（PCO）又は新しく定義された情報要素に載せてアタッチ要求メッセージにより送信し、且つ前記EAP応答情報をPCO又は新しく定義された情報要素に載せて前記要求ベアラリソース変更メッセージにより送信し、前記EAP認証情報はユーザ資格証明を含み、及び/又はユーザ名及びパスワードを含む。
【０００９】
本発明の実施形態は、拡張可能認証プロトコル（EAP）を用いて外部認証を行う方法を更に提供し、
パケットデータネットワークゲートウェイはEAP認証情報が載せられたセッション確立要求メッセージを受信した後、抽出したEAP認証情報をアクセス要求メッセージに載せて外部認証サーバに送信し、外部認証サーバがアクセス要求メッセージを受信した後EAP要求情報を載せるアクセスチャレンジメッセージをパケットデータネットワークゲートウェイに返すこと、
前記パケットデータネットワークゲートウェイはアクセスチャレンジメッセージにおけるEAP要求情報をユーザ装置に送信すること、及び
パケットデータネットワークゲートウェイはEAP応答情報が載せられたベアラリソース命令メッセージを受信した後、抽出したEAP応答情報をアクセス要求メッセージに載せて外部認証サーバに送信し、外部認証サーバが前記EAP応答情報を認証処理した後パケットデータネットワークゲートウェイへ認証結果を返し、前記パケットデータネットワークゲートウェイが受信した認証結果をユーザ装置に送信すること、を含む。
【００１０】
前記EAP認証情報、EAP要求情報、EAP応答情報及び認証結果はいずれも情報要素に載せられて、前記情報要素はプロトコル設定オプション（PCO）又は新しく定義された情報要素であり、
前記方法は、
移動管理ユニットがアタッチ要求を受信した後、サービスゲートウェイにより前記EAP認証情報が載せられた情報要素をセッション確立要求メッセージに載せてパケットデータネットワークゲートウェイに送信すること、
前記パケットデータネットワークゲートウェイはEAP要求情報を載せる情報要素をセッション確立応答メッセージによりサービスゲートウェイを経て移動管理ユニットに送信し、前記移動管理ユニットが前記情報要素をアタッチ許可メッセージに載せてユーザ装置に送信すること、及び
前記パケットデータネットワークゲートウェイは認証結果が載せられた情報要素をベアラ更新要求メッセージによりサービスゲートウェイを経て移動管理ユニットに送信し、移動管理ユニットが前記情報要素を下り非アクセス層（NAS）伝送メッセージによりユーザ装置に送信すること、を更に含む。
【００１１】
本発明の実施形態は拡張可能認証プロトコル（EAP）を用いて外部認証を行う方法を更に提供し、
ユーザ装置がUTRAN/GERANにより進化型パケットシステム（EPS）ネットワークに初期アタッチされた際、パケットメッセージプロトコル（PDP）コンテキストアクティブ化要求を送信する際EAP認証が必要するEAP認証情報を載せること、及び
前記ユーザ装置がEAP要求情報を載せるPDPアクティブ化許可メッセージを受信した後、前記EAP要求情報に対するEAP応答情報を載せるPDPコンテキスト変更要求メッセージをGGSN/パケットデータネットワークゲートウェイに送信することを含む。
【００１２】
前記EAP認証情報及びEAP応答情報はいずれもプロトコル設定オプション（PCO）又は新しく定義された情報要素に載せられる。
【００１３】
本発明の実施形態は、拡張可能認証プロトコル（EAP）を用いて外部認証を行う方法を更に提供し、
GGSN/パケットデータネットワークゲートウェイがパケットメッセージプロトコル（PDP）コンテキストアクティブ化要求を受信した後、EAP認証情報をアクセス要求メッセージに載せて外部認証サーバに送信し、外部認証サーバが前記アクセス要求メッセージを受信した後、EAP要求情報を載せるアクセスチャレンジメッセージをGGSN/パケットデータネットワークゲートウェイに返すこと、
前記GGSN/パケットデータネットワークゲートウェイがEAP要求情報をPDPアクティブ化許可メッセージによりユーザ装置に送信すること、及び
GGSN/パケットデータネットワークゲートウェイがPDPコンテキスト変更要求メッセージを受信した後、EAP応答情報を抽出し、アクセス要求メッセージに載せて外部認証サーバに送信し、且つ認証結果を受信した後コンテキスト更新応答メッセージによりユーザ装置に送信することを含む。
【００１４】
前記GGSN/パケットデータネットワークゲートウェイはEAP要求情報をプロトコル設定オプション（PCO）又は新しく定義された情報要素に載せてPDPアクティブ化許可メッセージによりユーザ装置に送信し、及び
前記GGSN/パケットデータネットワークゲートウェイはEAP認証結果をPCO又は新しく定義された情報要素に載せてコンテキスト更新応答メッセージによりユーザ装置に送信する。
【００１５】
本発明の実施形態は拡張可能認証プロトコル（EAP）を用いて外部認証を行うユーザ装置をさらに提供し、前記ユーザ装置は、E-UTRANにより進化型パケットシステム（EPS）ネットワークに初期アタッチする際、EAP認証方法が必要するEAP認証情報をパケットデータネットワークゲートウェイに送信し、及び、EAP要求情報を受信した後EAP応答情報が載せられた要求ベアラリソース変更メッセージをパケットデータネットワークゲートウェイに送信するように設置される。
【００１６】
前記ユーザ装置は、前記EAP認証情報をプロトコル設定オプション（PCO）又は新しく定義された情報要素に載せてアタッチ要求メッセージにより前記パケットデータネットワークゲートウェイに送信し、前記EAP認証情報はユーザ資格証明を含み、及び/又はユーザ名及びパスワードを含み、及び
前記EAP応答情報をPCO又は新しく定義された情報要素に載せて前記要求ベアラリソース変更メッセージにより送信するように設置される。
【００１７】
本発明の実施形態は、パケットデータネットワークゲートウェイ及び外部認証サーバを含む拡張可能認証プロトコル（EAP）を用いて外部認証を行うネットワーク側装置を更に提供し、
前記パケットデータネットワークゲートウェイは、EAP認証情報が載せられたセッション確立要求メッセージを受信した後、抽出したEAP認証情報をアクセス要求メッセージに載せて外部認証サーバに送信し、且つアクセスチャレンジメッセージにおけるEAP要求情報をユーザ装置に送信し、及び、EAP応答情報が載せられたベアラリソース命令メッセージを受信した後、抽出したEAP応答情報をアクセス要求メッセージに載せて外部認証サーバに送信し、且つ受信した認証結果をユーザ装置に送信するように設置され、
前記外部認証サーバは、アクセス要求メッセージを受信した後EAP要求情報を載せるアクセスチャレンジメッセージをパケットデータネットワークゲートウェイに返し、及び、受信したEAP応答情報を認証処理した後パケットデータネットワークゲートウェイへ認証結果を返すように設置される。
【００１８】
前記ネットワーク側装置は、移動管理ユニット及びサービスゲートウェイを更に含み、
前記移動管理ユニットは、アタッチ要求を受信した後サービスゲートウェイにより前記EAP認証情報が載せられた情報要素をセッション確立要求メッセージに載せてパケットデータネットワークゲートウェイに送信し、且つEAP要求情報を載せる情報要素をアタッチ許可メッセージに載せてユーザ装置に送信し、及び、EAP応答情報が載せられた情報要素をベアラリソース命令メッセージに載せてサービスゲートウェイによりパケットデータネットワークゲートウェイに送信し、且つ認証結果が載せられた情報要素を下り非アクセス層（NAS）伝送メッセージによりユーザ装置に送信し、
前記情報要素がプロトコル設定オプション（PCO）又は新しく定義された情報要素であるように設置される。
【００１９】
本発明の実施形態は、拡張可能認証プロトコル（EAP）を用いて外部認証を行うユーザ装置を更に提供し、 
前記ユーザ装置は、UTRAN/GERANにより進化型パケットシステム（EPS）ネットワークに初期アタッチする際、パケットメッセージプロトコル（PDP）コンテキストアクティブ化要求を送信する際EAP認証が必要するEAP認証情報を載せて、及び、EAP要求情報を載せるPDPアクティブ化許可メッセージを受信した後、前記EAP要求情報に対するEAP応答情報を載せるPDPコンテキスト変更要求メッセージをGGSN/パケットデータネットワークゲートウェイに送信するように設置される。
【００２０】
前記EAP認証情報及びEAP応答情報はいずれもプロトコル設定オプション（PCO）又は新しく定義された情報要素に載せられる。
【００２１】
本発明の実施形態は、GGSN/パケットデータネットワークゲートウェイ及び外部認証サーバを含む拡張可能認証プロトコル（EAP）を用いて外部認証を行うネットワーク側装置を更に提供し、
前記GGSN/パケットデータネットワークゲートウェイは、パケットメッセージプロトコル（PDP）コンテキストアクティブ化要求を受信した後、EAP認証情報をアクセス要求メッセージに載せて外部認証サーバに送信し、且つEAP要求情報PDPアクティブ化許可メッセージによりユーザ装置に送信し、及び、PDPコンテキスト変更要求メッセージを受信した後、EAP応答情報を抽出し、アクセス要求メッセージに載せて外部認証サーバに送信し、且つ認証結果を受信した後コンテキスト更新応答メッセージによりユーザ装置に送信するように設置され、
前記外部認証サーバは、前記アクセス要求メッセージを受信した後EAP要求情報を載せるアクセスチャレンジメッセージをGGSN/パケットデータネットワークゲートウェイに返し、及び、EAP応答情報を受信した後認証処理して且つGGSN /パケットデータネットワークゲートウェイへ認証結果を返すように設置される。
【００２２】
前記GGSN/パケットデータネットワークゲートウェイは、
EAP要求情報をPCO又は新しく定義された情報要素に載せてPDPアクティブ化許可メッセージによりユーザ装置に送信し、及び
EAP認証結果をPCO又は新しく定義された情報要素に載せてコンテキスト更新応答メッセージによりユーザ装置に送信するように設置される。
【００２３】
本発明の実施形態は、拡張可能認証プロトコル（EAP）を用いて外部認証を行うシステムを更に提供し、 
前記システムは、実施例1に記載のユーザ装置、及び実施例3に記載のネットワーク側装置を備え、又は、
前記システムは、実施例2に記載のユーザ装置、及び実施例4に記載のネットワーク側装置を備える。
【発明の効果】
【００２４】
以上のように、本発明の実施形態は、EAPを用いて外部認証を行うユーザ装置、ネットワーク側装置、システム及び方法を更に提供し、ユーザ装置が3GPP accessによりEPSに接続された過程において、EAP認証方法を用いてGGSN/PDN GWにより外部認証許可サーバへ認証許可を完成することを実現することができる。
【図面の簡単な説明】
【００２５】
【図１】図1は進化型パケットネットワーク（EPS）システムの非ローミングの場合の構造模式図である。
【図２】図2は実施例5のフローチャート（E-UTRANがEAPにアクセスする認証は成功）である。
【図３】図3は実施例6のフローチャート（E-UTRANがEAPにアクセスする認証は失敗）である。
【図４】図4は実施例7のフローチャート（UTRAN/GERANがEAPにアクセスする認証は成功）である。
【図５】図5は実施例8のフローチャート（UTRAN/GERANがEAPにアクセスする認証は失敗）である。
【発明を実施するための形態】
【００２６】
本発明は、EAPを用いて外部認証を行うユーザ装置、ネットワーク側装置、システム及び方法を提供する。
【００２７】
装置実施例
実施例1
本実施例はEAPを用いて外部認証を行うユーザ装置を提供し、それは、E-UTRANによりEPSネットワークに初期アタッチする際、EAP認証方法が必要するEAP認証情報（ユーザ資格証明、ユーザ名、パスワードなどを含むが、それらに限定されたものではない）をパケットデータネットワークゲートウェイに送信し、且つEAP要求情報を受信した後EAP応答情報が載せられた要求ベアラリソース変更メッセージをパケットデータネットワークゲートウェイに送信するように設置される。
【００２８】
選択的に、ユーザ装置は、EAP認証情報をプロトコル設定オプション（PCO）又は新しく定義された情報要素に載せることによりアタッチ要求メッセージにより送信し、EAP応答情報をPCO又は新しく定義された情報要素に載せて要求ベアラリソース変更メッセージに載せる。
【００２９】
実施例2
本実施例はEAPを用いて外部認証を行うユーザ装置を提供し、UTRAN/GERANによりEPSネットワークに初期アタッチする際、パケットメッセージプロトコル（PDP）コンテキストアクティブ化要求を送信する際EAP認証が必要するEAP認証情報（ユーザ資格証明、ユーザ名、パスワードなどを含むが、それらに限定されたものではない）を載せて、且つEAP要求情報を載せるPDPアクティブ化許可メッセージを受信した後、前記EAP要求に対するEAP応答情報を載せるPDPコンテキスト変更要求メッセージをGGSN/パケットデータネットワークゲートウェイに送信することに用いられる。
【００３０】
選択的に、ユーザ装置は、EAP認証情報及びEAP応答情報をいずれもPCO又は新しく定義された情報要素に載せる。
【００３１】
実施例3
本実施例は、パケットデータネットワークゲートウェイ及び外部認証サーバを備えるEAPを用いて外部認証を行うネットワーク側装置を提供し、
パケットデータネットワークゲートウェイは、EAP認証情報が載せられたセッション確立要求メッセージを受信した後、抽出したEAP認証情報をアクセス要求メッセージに載せて外部認証サーバに送信し、且つアクセスチャレンジメッセージにおけるEAP要求情報をユーザ装置に送信し、及び、EAP応答メッセージを載せるベアラリソース命令メッセージを受信した後、抽出したEAP応答情報をアクセス要求メッセージに載せて外部認証サーバに送信し、且つ受信した認証結果をユーザ装置に送信するように設置される。
外部認証サーバは、アクセス要求メッセージを受信した後EAP要求情報を載せるアクセスチャレンジメッセージをパケットデータネットワークゲートウェイに返し、及び、受信したEAP応答情報を認証処理した後パケットデータネットワークゲートウェイへ認証結果を返すように設置される。
【００３２】
選択的に、ネットワーク側装置は移動管理ユニット及びサービスゲートウェイを更に備え、
移動管理ユニットは、アタッチ要求を受信した後サービスゲートウェイにより前記EAP認証情報が載せられた情報要素をセッション確立要求メッセージに載せてパケットデータネットワークゲートウェイに送信し、且つEAP要求情報を載せる情報要素をアタッチ許可メッセージに載せてユーザ装置に送信し、及び、EAP応答情報が載せられた情報要素をベアラリソース命令メッセージに載せてサービスゲートウェイによりパケットデータネットワークゲートウェイに送信し、且つ認証結果が載せられた情報要素を下りNAS伝送メッセージによりユーザ装置に送信し、
前記情報要素はPCO又は新しく定義された情報要素であるように設置される。
【００３３】
実施例4
本実施例は、GGSN/パケットデータネットワークゲートウェイ及び外部認証サーバを備えるEAPを用いて外部認証を行うネットワーク側装置を提供し、
GGSN/パケットデータネットワークゲートウェイは、PDPコンテキストアクティブ化要求を受信した後、EAP認証情報をアクセス要求メッセージに載せて外部認証サーバに送信し、且つEAP要求情報をPDPアクティブ化許可メッセージによりユーザ装置に送信し、及び、PDPコンテキスト変更要求メッセージを受信した後、EAP応答情報を抽出し、アクセス要求メッセージに載せて外部認証サーバに送信し、且つ認証結果を受信した後コンテキスト更新応答メッセージによりユーザ装置に送信するように設置され、
外部認証サーバは、要求メッセージを受信した後EAP要求情報を載せるアクセスチャレンジメッセージをGGSN/パケットデータネットワークゲートウェイに送信し、及び、EAP応答情報を受信した後認証処理して且つパケットデータネットワークゲートウェイへ認証結果を返すように設置される。
【００３４】
選択的に、GGSN/パケットデータネットワークゲートウェイは、EAP要求情報をPCO又は新しく定義された情報要素に載せてPDPアクティブ化許可メッセージによりユーザ装置に送信し、且つEAP認証結果情報をPCO又は新しく定義された情報要素に載せてコンテキスト更新応答メッセージによりユーザ装置に送信する。
【００３５】
システム実施例
本実施例は、EAP拡張可能認証プロトコルを用いて外部認証を行うシステムを提供し、実施例1に記載のユーザ装置、及び実施例3に記載のネットワーク側装置を含み、又は、
該システムは実施例2に記載のユーザ装置、及び実施例4に記載のネットワーク側装置を含む。
【００３６】
方法実施例
実施例5
図2は、本発明の前記方法を用いて、UEがE-UTRANによりEPSネットワークに初期アタッチし、且つEAP認証方法を用いて、外部認証、許可及び課金（AAA）サーバと認証し且つ許可が成功するプロセス記述である。
【００３７】
ステップ201、ユーザ装置は、EAPを用いて外部認証する方法に必要するEAP認証情報をアタッチ要求メッセージにより移動管理ユニットに送信し、
選択的に、EAP認証情報はアイデンティティ識別子及びEAP認証及び/又は許可パラメーターを含み、
EAP認証情報はPCOに載せられてもよく、新しく定義された情報要素（Information Element，IE）に載せられてもよい。
【００３８】
ステップ202、アタッチ要求メッセージに完全性保護がなくて、又は完全性保護が失敗すると、ユーザの鑑定認証過程を実行し、
ステップ203〜204、移動管理ユニットはサービスゲートウェイによりEAP認証情報が載せられたPCO又は新しく定義された情報要素をセッション確立要求メッセージに載せてパケットデータネットワークゲートウェイに送信し、
ステップ205〜206、パケットデータネットワークゲートウェイはセッション確立要求メッセージを受信した後、該メッセージのPCO又は新しく定義された情報要素からEAP認証情報を抽出し、抽出した認証情報をアクセス要求メッセージに載せて外部AAAサーバに送信し、AAAサーバはアクセス要求メッセージを受信した後EAP要求情報を載せるアクセスチャレンジメッセージをパケットデータネットワークゲートウェイに返し、
ステップ207〜208、パケットデータネットワークゲートウェイは、アクセスチャレンジメッセージにおけるEAP要求情報をPCO又は新しく定義された情報要素に載せてセッション確立応答メッセージによりサービスゲートウェイを経て移動管理ユニットに送信し、
ステップ209、移動管理ユニットはPCO又は新しく定義された情報要素をアタッチ許可メッセージに載せてユーザ装置に送信し、ここまで、ユーザ装置がEPSに接続する初期アタッチを完成し、デフォルトベアラを確立し、
ステップ210、ユーザ装置は、EAP要求情報を受信した後ベアラリソース変更プロセスを開始し、即ちユーザ装置は、上記EAP要求情報に対するEAP応答情報を載せる要求ベアラリソース変更メッセージを移動管理ユニットに送信し、
該EAP応答情報はPCO又は新しく定義された情報要素に載せられてよく、
ステップ211〜212、移動管理ユニットはサービスゲートウェイにより応答情報が載せられたPCO又は新しく定義された情報要素をベアラリソース命令メッセージに載せてパケットデータネットワークゲートウェイに送信し、
ステップ213、パケットデータネットワークゲートウェイはPCO又は新しく定義された情報要素からEAP応答情報を抽出し、アクセス要求メッセージに載せて外部AAAサーバに送信し、
ステップ214、AAAサーバはアクセス要求メッセージを受信した後認証が成功することを確認した後、EAP認証結果が成功であることが載せられたアクセス許可メッセージをパケットデータネットワークゲートウェイに送信し、
ステップ215〜216、パケットデータネットワークゲートウェイはアクセス許可メッセージにおけるEAP認証結果をPCO又は新しく定義された情報要素に載せてベアラ更新要求メッセージによりサービスゲートウェイを経て移動管理ユニットに送信し、
ステップ217、移動管理ユニットはEAP認証結果情報をPCO又は新しく定義された情報要素に載せて下りNAS伝送メッセージによりユーザ装置に送信し、
ステップ218〜219、パケットデータネットワークゲートウェイと外部AAAサーバは課金情報をインタラクションし、この二つのステップはEAP認証が成功した後行うことができ、
ステップ220〜222、ユーザ装置はベアラ更新応答メッセージを送信する。
【００３９】
実施例6
図3は、本発明に記載の方法を用いて、UEはE-UTRANによりEPSネットワークに初期アタッチし、且つEAP認証方法を用いて外部AAAサーバと認証し許可が失敗するプロセス記述である。EAP認証許可が失敗すると、ネットワーク又はユーザ装置は現在のベアラを除去することを開始する。
【００４０】
ステップ301〜313、実施例5のステップ201〜ステップ213と同様であり、
ステップ314、外部AAAサーバは要求メッセージを受信した後認証が失敗することを確定し、EAP認証結果が失敗することが載せられたアクセス応答メッセージをパケットデータネットワークゲートウェイに返し、
ステップ315〜316、パケットデータネットワークゲートウェイは認証が失敗することを発見した後、受信したアクセス応答メッセージにおけるEAP認証結果情報をPCO又は新しく定義された情報要素に載せてベアラリソース失敗指示メッセージを送信してサービスゲートウェイを経て移動管理ユニットに送信し、
ステップ317、移動管理ユニットはEAP認証結果が載せられた情報をPCO又は新しく定義された情報要素に載せてベアラリソース変更拒否メッセージによりユーザ装置に送信し、
ステップ318〜319、認証が失敗したので、現在のベアラを除去する必要があり、パケットデータネットワークゲートウェイはステップ315を実行した後ベアラ除去要求メッセージを送信し、
ステップ320、ユーザ装置とネットワークの間にベアラディアクティベーションプロセスを完成して現在のベアラを除去する。
【００４１】
実施例7
図4は、本発明に記載の方法を用いて、UEはUTRAN/GERANによりEPSネットワークに初期アタッチし、且つEAP認証方法を用いて外部AAAサーバと認証し許可が成功するプロセス記述である。
【００４２】
ステップ401〜405、ユーザ装置はUTRAN/GERANアクセスシステムからアタッチプロセスを開始し、EPSに接続し、
ステップ406、ユーザ装置はGPRSサービスサポートノード（SGSN）にPDPコンテキストアクティブ化要求を送信し、ユーザ装置はEAP認証が必要するEAP認証情報をPCO又は新しく定義された情報要素に載せて送信し、
ステップ407、SGSNは受信したPDPコンテキストアクティブ化要求を順次にMME及びSGWによりGGSN/PDN GWに転送し、
ステップ408〜409、GGSN/PDN GWはPCO又は新しく定義された情報要素からEAP認証情報を抽出し、アクセス要求メッセージに載せて外部AAAサーバに送信し、AAAサーバが要求メッセージを受信した後EAP要求が載せられたアクセスチャレンジメッセージをGGSN/PDN GWに返し、
ステップ410、GGSN/PDN GWはアクセスチャレンジメッセージにおけるEAP要求情報をPCO又は新しく定義された情報要素に載せてPDPアクティブ化許可メッセージにより順次にSGW、MMEを経てSGSNに送信し、
ステップ411、SGSNは受信したPDPアクティブ化許可メッセージをユーザ装置に転送し、
ステップ412、ユーザ装置はEAP要求情報を受信した後PDPコンテキスト変更プロセスを開始し、即ちユーザ装置は上記EAP要求に対するEAP応答情報を載せるPDPコンテキスト変更要求メッセージをSGSNに送信し、
ステップ413、SGSNは受信したPDPコンテキスト変更要求メッセージを順次にMME、SGWを経てGGSN/PDN GWに転送し、
EAP応答情報はPCOに載せられてもよく、新しく定義された情報要素に載せられてもよく、
ステップ414〜415、GGSN/PDN GWはPCO又は新しく定義された情報要素からEAP応答情報を抽出し、アクセス要求メッセージに載せて外部AAAサーバに送信し、AAAサーバ要求メッセージを受信した後認証が成功することを確定し、EAP認証結果が成功であることが載せられたアクセス許可メッセージをGGSN/PDN GWに返し、
ステップ416〜417、GGSN/PDN GWはアクセス許可メッセージにおけるEAP認証結果情報をPCO又は新しく定義された情報要素に載せてコンテキスト更新応答メッセージにより順次にSGW、MME及びSGSNを経てユーザ装置に送信する。
【００４３】
実施例8
図5は、本発明に記載の方法を用いて、UEがUTRAN/GERANによりEPSネットワークに初期アタッチし、且つEAP認証方法を用いて外部AAAサーバと認証し許可が失敗するプロセス記述である。EAP認証許可が失敗すると、ネットワーク又はユーザ装置は現在のPDPコンテキストを除去することを開始する。
【００４４】
ステップ501〜514、実施例7のステップ401〜ステップ414と同様であり、
ステップ515、外部AAAサーバ要求メッセージを受信した後認証が失敗することを確定し、EAP認証結果が失敗することが載せられたアクセス応答メッセージをGGSN/PDN GWに返し、
ステップ516〜517、GGSN/PDN GWは認証が失敗することを発見した後受信したアクセス応答メッセージにおけるEAP認証結果情報をPCO又は新しく定義された情報要素に載せて、PDPコンテキスト更新応答メッセージにより順次にSGW、MME及びSGSNを経てユーザ装置に送信し、
ステップ518、ユーザ装置/ネットワークは現在のPDPコンテキストを除去することを開始する。
【００４５】
当業者は、上記方法における全部または一部のステップはプログラムにより関連ハードウェアを指令して完成することができ、前記プログラムはコンピュータ読み取り可能な記憶媒体、例えば読出し専用メモリ、ディスク又はCD等に記憶することができることを理解すべきである。選択的に、上記実施例の全部または一部のステップは一つ又は複数の集積回路を用いて実現することもできる。相応的に、上記実施例における各モジュール/ユニットはハードウェアの様態を採用して実現してもよく、ソフトウェア機能モジュールの様態を採用して実現してもよい。本発明はいずれの特定の態様のハードウェアとソフトウェアの結合に限定されたものではない。
【００４６】
勿論、本発明は他の多種の実施例を更に有することができ、本発明の主旨及びその実質を逸脱しない場合に、当業者は本発明により各種の相応の変更と変形をすべきであるが、これらの相応の変更と変形はすべて本発明に付属する請求項の保護範囲に属すべきである。
【産業上の利用可能性】
【００４７】
関連の技術と比較すると、本発明の実施形態はユーザ装置が3GPP accessによりEPSに接続された過程において、EAP認証方法を用いてGGSN/PDN GWにより外部認証許可サーバへ認証許可を完成することを実現することができる。
【図１】
0005886438.tif 000002
【図２】
0005886438.tif 000003
【図３】
0005886438.tif 000004
【図４】
0005886438.tif 000005
【図５】
0005886438.tif 000006