(57)【要約】  信頼性のあるネットワークへのアクセスに対してユーザ装置を認証するための方法、コンピュータコード製品及びシステムは、ユーザ装置を独特に識別するユーザアイデンティティを受け取ることを含む。信頼性のあるネットワークにおけるプロキシーエンティティは、ユーザアイデンティティを含むネットワーク信頼性のあるヘッダを発生し、そしてそれをネットワークのサービングエンティティへ転送することができる。サービングエンティティは、受け取ったキャリアヘッダの検証を遂行し、ユーザアイデンティティを、承認されたユーザＩＤのリストと比較し、そして一致が見つかった場合に、ユーザ装置をネットワークへのアクセスに対して認証することができる。ホームＩＭＳネットワークに向かってプロキシーエンティティに対して任意の隠蔽を行うＩＢＣＦは、プロキシーエンティティが発生したパラメータを、暗号化されたトークンから抽出し、それがキャリアヘッダにおいて暗号化されている場合にサービングエンティティに対して分かり易いものにすることができる。又、プロキシーエンティティは、ユーザ装置からの登録要求を処理するときに、使用されるヘッダの検証を行うこともできる。或いは又、サービングエンティティには、種々のプロキシーエンティティ、又はプロキシーエンティティが位置するドメインにおいてＮＢＡサポートに関連したデータをプロビジョニングすることができ、サービングエンティティは、幾つかのプロキシーエンティティ又は訪問先ネットワークを経て受け取った登録に対してＮＢＡ手順を進めるかどうか判断することができる。【選択図】図３
2009531921.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ装置を認証するための方法において、
信頼性のあるネットワークのプロキシーエンティティにおいてユーザ装置から登録要求を受信するステップと、
前記信頼性のあるネットワークのプロキシーエンティティにおいてユーザ装置のユーザ特有の位置情報を受信するステップと、
前記受信したユーザ特有の位置情報を含むネットワーク信頼性のあるヘッダを前記プロキシーエンティティにおいて発生するステップと、
前記ネットワーク信頼性のあるヘッダを認証のためにサービングエンティティに向けて転送するステップと、
前記ユーザ特有の位置情報を前記サービングエンティティにおける承認された基準のリストと比較するステップと、
前記ユーザ特有の位置情報が前記承認された基準のリストにおけるエントリーに一致する場合には、前記信頼性のあるネットワークへのアクセスに対してユーザ装置を認証するステップと、
を備えた方法。
【請求項２】
前記ネットワーク信頼性のあるヘッダは、前記ユーザ特有の位置情報を挿入できるパラメータを含む、請求項１に記載の方法。
【請求項３】
前記ユーザ特有の位置情報は、前記プロキシーエンティティにより得られたｌｉｎｅ−ｉｄを含む、請求項１から２のいずれかに記載の方法。
【請求項４】
前記受信したユーザアイデンティティに前記プロキシーエンティティによりデジタルで署名するステップと、
前記サービングエンティティにおいて前記デジタル署名を検証するステップと、
を更に備えた請求項１から３のいずれかに記載の方法。
【請求項５】
相互接続ボーダーコントロールファンクション（ＩＢＣＦ）は、前記サービングエンティティに向かって前記プロキシーエンティティに対する任意のトポロジー隠蔽を遂行し、前記ＩＢＣＦは、暗号化されたトークンからユーザ特有の位置情報を抽出して、それが前記サービングエンティティに分かり易いものとなるように構成された、請求項１から４のいずれかに記載の方法。
【請求項６】
前記サービングエンティティは、ＮＡＳＳバンドル型認証（ＮＢＡ）が前記プロキシーエンティティに基づいてユーザ装置を認証するのに適用できるかどうかチェックする、請求項１から５のいずれかに記載の方法。
【請求項７】
前記サービングエンティティには、プロキシーエンティティ名及びＩＰアドレスの少なくとも１つ、プロキシーエンティティのドメイン名、及びプロキシーエンティティに関連したＩＰアドレス範囲を含むデータがプロビジョニングされ、そして前記サービングエンティティは、プロキシーエンティティ名及びＩＰアドレスの少なくとも１つ、プロキシーエンティティのドメイン名、及びプロキシーエンティティに関連したＩＰアドレス範囲を前記プロビジョニングされたデータに対してチェックする、請求項１から６のいずれかに記載の方法。
【請求項８】
前記信頼性のあるネットワークは、ＩＰマルチメディアサブシステムである、請求項１から７のいずれかに記載の方法。
【請求項９】
前記サービングエンティティは、前記受信したネットワーク信頼性のあるヘッダに対して健全性のチェックを行う、請求項１から８のいずれかに記載の方法。
【請求項１０】
前記サービングエンティティは、キャリアヘッダのリストにおけるアイテムの数を、規範的なＩＰマルチメディアサブシステムのセッションイニシエーションプロトコルのシグナリングフローから導出された既知の結果に対してチェックすることにより、前記健全性チェックを遂行する、請求項１から９のいずれかに記載の方法。
【請求項１１】
前記プロキシーエンティティは、規範的なＩＰマルチメディアサブシステムのセッションイニシエーションプロトコルのシグナリングフロー及びローカル知識の一方から導出されたルール及び制約を使用して、前記選択されたネットワーク信頼性のあるヘッダに関連した受信した登録メッセージについて健全性チェックを遂行する、請求項１から１０のいずれかに記載の方法。
【請求項１２】
前記プロキシーエンティティは、登録メッセージがネットワーク信頼性のあるヘッダ又はＰ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤ、経路、又はＰ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒの２つ以上を含むかどうかチェックし、そしてそのような場合には、ユーザ装置から受信した登録メッセージを拒絶することができる、請求項１から１１のいずれかに記載の方法。
【請求項１３】
前記プロキシーエンティティは、プロキシーコールセッションコントロールファンクション（Ｐ−ＣＳＣＦ）を含む、請求項１から１２のいずれかに記載の方法。
【請求項１４】
前記サービングエンティティは、サービングコールセッションコントロールファンクション（Ｓ−ＣＳＣＦ）を含む、請求項１から１３のいずれかに記載の方法。
【請求項１５】
請求項１のプロセスを遂行するためのコンピュータコードを含む、コンピュータ読み取り可能な媒体に埋め込まれたコンピュータプログラム製品。
【請求項１６】
ユーザ装置を認証するためのシステムにおいて、
プロキシーエンティティが、
ユーザ装置から登録要求を受信し、
ユーザ装置を識別するユーザ特有の位置情報を受信し、
前記ユーザ特有の位置情報を含むネットワーク信頼性のあるヘッダを発生し、
前記ネットワーク信頼性のあるヘッダを認証のためにサービングエンティティへ転送する、というように構成され、そして
サービングエンティティが、
前記ユーザ特有の位置情報を、承認された位置情報のリストと比較し、
前記ユーザ特有の位置情報が、承認された基準のリストにおけるエントリーに一致する場合に、前記信頼性のあるネットワークへのアクセスに対してユーザ装置を認証する、というように構成された、システム。
【請求項１７】
前記ネットワーク信頼性のあるヘッダは、ユーザ特有の位置情報を挿入できるパラメータを含む、請求項１６に記載のシステム。
【請求項１８】
前記プロキシーエンティティは、更に、受信したユーザアイデンティティにデジタルで署名するように構成され、そして前記サービングエンティティは、更に、そのデジタル署名を検証するように構成される、請求項１６から１７のいずれかに記載のシステム。
【請求項１９】
相互接続ボーダーコントロールファンクション（ＩＢＣＦ）は、前記サービングエンティティに向かって前記プロキシーエンティティに対する任意のトポロジー隠蔽を遂行し、前記ＩＢＣＦは、暗号化されたトークンからユーザ特有の位置情報を抽出して、それが前記サービングエンティティに分かり易いものとなるように構成された、請求項１６から１８のいずれかに記載のシステム。
【請求項２０】
前記サービングエンティティは、ＮＡＳＳバンドル型認証（ＮＢＡ）が前記プロキシーエンティティに基づいてユーザ装置を認証するのに適用できるかどうかチェックする、請求項１６から１９のいずれかに記載のシステム。
【請求項２１】
前記サービングエンティティには、プロキシーエンティティ名及びＩＰアドレスの少なくとも１つ、プロキシーエンティティのドメイン名、及びプロキシーエンティティに関連したＩＰアドレス範囲を含むデータがプロビジョニングされ、そして前記サービングエンティティは、プロキシーエンティティ名及びＩＰアドレスの少なくとも１つ、プロキシーエンティティのドメイン名、及びプロキシーエンティティに関連したＩＰアドレス範囲を前記プロビジョニングされたデータに対してチェックする、請求項１６から２０のいずれかに記載のシステム。
【請求項２２】
前記信頼性のあるネットワークは、ＩＰマルチメディアサブシステムである、請求項１６から２１のいずれかに記載のシステム。
【請求項２３】
サービスレイヤでユーザ装置を認証するための方法において、
ネットワークアタッチメントレイヤでユーザ装置を認証するステップと、
前記ネットワークアタッチメントレイヤの認証に応答して、ユーザ装置のネットワークアタッチメントレイヤアイデンティティと、ユーザ装置のサービスレイヤアイデンティティとの間の結合をアイデンティティレポジトリーエンティティに記憶するステップと、
プロキシーエンティティにおいて、サービスレイヤ登録手順の間に、ユーザ装置のネットワークアタッチメントレイヤアイデンティティに基づいて、アイデンティティレポジトリーエンティティからユーザ装置のサービスレイヤアイデンティティを問い合わせるステップと、
ユーザ装置のサービスレイヤアイデンティティを登録メッセージのネットワーク信頼性のあるヘッダに埋め込むステップと、
前記登録メッセージをサービングエンティティへ送信するステップと、
前記サービングエンティティにおいて、ユーザ装置のサービスレイヤアイデンティティをユーザプロフィールエンティティから検索するステップと、
前記登録メッセージのネットワーク信頼性のあるヘッダにおいて送信されたユーザ装置のサービスレイヤアイデンティティが、前記ユーザプロフィールエンティティから検索されたユーザ装置のサービスレイヤアイデンティティに一致する場合に前記サービスレイヤにおいてユーザ装置を認証するステップと、
を備えた方法。
【請求項２４】
前記ネットワーク信頼性のあるヘッダは、セッションイニシエーションプロトコルのネットワーク信頼性のあるヘッダを含む、請求項２３に記載の方法。
【請求項２５】
前記ネットワーク信頼性のあるヘッダは、Ｐ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤヘッダ、経路ヘッダ、及びＰ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒヘッダの１つを含む、請求項２３から２４のいずれかに記載の方法。
【請求項２６】
前記ネットワーク信頼性のあるヘッダは、ユーザ特有の位置情報を挿入できるパラメータを含む、請求項２３から２５のいずれかに記載の方法。
【請求項２７】
前記受信したユーザアイデンティティに前記プロキシーエンティティによりデジタルで署名するステップと、
前記サービングエンティティにおいて前記デジタル署名を検証するステップと、
を更に備えた請求項２３から２６のいずれかに記載の方法。
【請求項２８】
前記サービングエンティティに向かって前記プロキシーエンティティに対するトポロジー隠蔽を遂行し、前記ネットワーク信頼性のあるヘッダを暗号化する、請求項２３から２７のいずれかに記載の方法。
【請求項２９】
前記サービングエンティティは、前記受信したネットワーク信頼性のあるヘッダに対して健全性のチェックを行う、請求項２３から２８のいずれかに記載の方法。
【請求項３０】
前記サービングエンティティは、キャリアヘッダのリストにおけるアイテムの数を、規範的なＩＰマルチメディアサブシステムのセッションイニシエーションプロトコルのシグナリングフローから導出された既知の結果に対してチェックすることにより、前記健全性チェックを遂行する、請求項２３から２９のいずれかに記載の方法。
【請求項３１】
前記プロキシーエンティティは、規範的なＩＰマルチメディアサブシステムのセッションイニシエーションプロトコルのシグナリングフロー及びローカル知識の一方から導出されたルール及び制約を使用して、前記選択されたネットワーク信頼性のあるヘッダに関連した受信した登録メッセージについて健全性チェックを遂行する、請求項２３から３０のいずれかに記載の方法。
【請求項３２】
前記プロキシーエンティティは、登録メッセージがネットワーク信頼性のあるヘッダ又はＰ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤ、経路、又はＰ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒの２つ以上を含むかどうかチェックし、そしてそのような場合には、ユーザ装置から受信した登録メッセージを拒絶することができる、請求項２３から３１のいずれかに記載の方法。
【請求項３３】
前記プロキシーエンティティは、プロキシーコールセッションコントロールファンクション（Ｐ−ＣＳＣＦ）を含む、請求項２３から３２のいずれかに記載の方法。
【請求項３４】
前記サービングエンティティは、サービングコールセッションコントロールファンクション（Ｓ−ＣＳＣＦ）を含む、請求項２３から３２のいずれかに記載の方法。
【請求項３５】
アクセスネットワークをインターフェイスするコントロールエンティティにおいて、
ユーザを登録するための登録要求を受け取り、
ユーザに関連した独特のユーザ特有の位置情報を得るためにアイデンティティレポジトリーエンティティに問合せし、
前記独特のユーザ特有の位置情報を前記登録要求においてネットワーク信頼性のあるヘッダに埋め込み、そして
前記登録要求をサービングコントロールエンティティに向かって転送する、
というように構成されたコントロールエンティティ。
【請求項３６】
前記コントロールエンティティは、更に、前記独特のユーザ特有の位置情報をネットワーク信頼性のあるヘッダに埋め込むように構成された、請求項３５に記載のコントロールエンティティ。
【請求項３７】
前記コントロールエンティティは、更に、前記独特のユーザ特有の位置情報を、Ｐ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤヘッダ、経路ヘッダ、及びＰ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒヘッダの１つに埋め込むように構成された、請求項３５から３６のいずれかに記載のコントロールエンティティ。
【請求項３８】
独特の位置情報により識別されるユーザ装置を、信頼性のあるネットワークへのアクセスに対して認証するシステムにおいて、
プロキシーエンティティが、
ユーザ装置から受け取った登録要求を健全性チェックし、
ユーザ装置の位置情報を受け取り、
その受け取ったユーザ特有の位置情報を含むネットワーク信頼性のあるヘッダを発生し、そして
そのキャリアヘッダを認証のためにサービングエンティティへ転送する、というように構成され、そして
サービングエンティティが、
前記登録要求において前記受け取ったネットワーク信頼性のあるヘッダを健全性チェックし、
前記サービングエンティティの健全性チェックが成功であった場合には、前記位置情報を、承認された位置情報のリストと比較し、そして
前記位置情報が、承認された基準のリストのエントリーに一致する場合には、ユーザ装置を信頼性のあるネットワークへのアクセスに対して認証する、というように構成された、システム。
【請求項３９】
前記選択されたネットワーク信頼性のあるヘッダは、前記ユーザ特有の位置情報を挿入できるパラメータを含む、請求項３８に記載のシステム。
【請求項４０】
前記プロキシーエンティティは、更に、前記受信したユーザアイデンティティにデジタルで署名するように構成され、そして前記サービングエンティティは、更に、前記デジタル署名を検証するように構成された、請求項３８から３９のいずれかに記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に、通信ネットワークにおける認証に係る。より詳細には、本発明は、認証目的でアクセスネットワーク情報を搬送することに係る。
【背景技術】
【０００２】
本章は、特許請求の範囲に述べる発明の背景又は状況を与えるように意図されている。ここでの説明は、追求できるものであるが必ずしも以前に想像又は追求されたものではない概念を含むことができる。それ故、特に指示のない限り、本章で述べるものは、本出願の説明及び特許請求の範囲に対する従来技術でもないし、又、本章に含ませることにより従来技術であると認められるものでもない。
【０００３】
テレコム・アンド・インターネット・コンバージド・サービス・アンド・プロトコルズ・フォー・アドバンスト・ネットワーク（ＴＩＳＰＡＮ）は、ＩＰマルチメディアサブシステム（ＩＭＳ）ベースのサービスのためのユーザ認証概念を提供する。ＴＩＳＰＡＮは、認証目的でネットワーク認識アクセス情報、特に、ｌｉｎｅ−ｉｄを使用するネットワークアタッチメントサブシステム（ＮＡＳＳ）バンドル型認証（ＮＢＡ）を紹介した。このｌｉｎｅ−ｉｄは、プロキシーコールセッションコントロールファンクション（Ｐ−ＣＳＣＦ）によりアクセスネットワークから得られ、そして認証目的のためのベースとして使用されるべきＰ−アクセスネットワーク情報ヘッダにおいてＰ−ＣＳＣＦによりサービングコールセッションコントロールファンクション（Ｓ−ＣＳＣＦ）へ配送される。しかしながら、この解決策は、理想には及ばない。
【０００４】
先ず、ＲＦＣ３４５５で現在定義されているＰ−アクセスネットワーク情報ヘッダは、一般的に、ユーザ装置（ＵＥ）からネットワーク（ＮＷ）へ情報を搬送するために選定される。このヘッダは、あるネットワーク要素から別のネットワーク要素へアクセス情報を搬送するように構成されていない。実際に、この形式の使用は、ＲＦＣ３４５５では特に禁止されている。
【０００５】
更に、Ｐ−アクセスネットワーク情報（Ｐ−Ａ−Ｎ−Ｉ）の取り扱いにおけるこの逸脱をＰ−ＣＳＣＦへ導入すると、「ＮＢＡ−ａｗａｒｅ」及びレガシー「Ｎｏｎ−ＮＢＡ−ａｗａｒｅ」の両Ｐ−ＣＳＣＦ（既に配備されている３ＧＰＰ  Ｒ５／Ｒ６システムに存在するもののような）が共存するときには、互換性の問題を引き起こすと共に、システムにセキュリティの穴を生じさせることにもなる。図１に示すように、レガシーＰ−ＣＳＣＦにアタッチされたＵＥは、偽のｌｉｎｅ−ｉｄ情報をＰ−Ａ−Ｎ−Ｉに入れることができる。このケースでは、レガシーＰ−ＣＳＣＦがＰ−Ａ−Ｎ−Ｉにタッチせず、従って、この偽のｌｉｎｅ−ｉｄ情報がＳ−ＣＳＣＦに到達する。Ｓ−ＣＳＣＦがこの偽の情報をＮＢＡに対する基礎として使用する場合には、違反ＵＥがこの偽の情報に基づいて認証を得ることがある。違反ＵＥが「ＮＢＡ−ａｗａｒｅ」Ｐ−ＣＳＣＦにアタッチされた場合でも、Ｐ−ＣＳＣＦは、アタッチを阻止するために、全てのＰ−Ａ−Ｎ−Ｉのコンテンツをスクリーニングすることが要求される。これは、システム性能に悪影響を及ぼすことになる。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
従って、現在の解決策の互換性、セキュリティ及び性能問題に対処する改良された認証システム及び方法が要望される。
【課題を解決するための手段】
【０００７】
本発明の実施形態は、信頼性のあるネットワークへのアクセスに対してユーザ装置を認証するための方法、コンピュータコード製品、及びシステムを含むことができる。ユーザ装置は、独特のユーザアイデンティティによって識別することができ、そして信頼性のあるネットワークは、プロキシーコールセッションコントロールファンクション（Ｐ−ＣＳＣＦ）及びサービングコールセッションコントロールファンクション（Ｓ−ＣＳＣＦ）を含むことができる。この方法、コンピュータコード製品及びシステムは、Ｐ−ＣＳＣＦにおいてユーザ装置から登録要求を受信し、Ｐ−ＣＳＣＦにおいてユーザ装置のｌｉｎｅ−ｉｄのようなユーザ特有の位置情報を受信し、この受信したユーザ特有の位置情報を含むネットワーク信頼性のあるヘッダをＰ−ＣＳＣＦにおいて発生し、そのネットワーク信頼性のあるヘッダを認証のためにＳ−ＣＳＣＦに向けて転送し、そのユーザ特有の位置情報をＳ−ＣＳＣＦにおける承認されたユーザ特有の位置情報のリストと比較し、そして一致が見つかった場合に、信頼性のあるＩＭＳネットワークへのアクセスのためにユーザ装置を認証することを含む。ネットワーク信頼性のあるヘッダは、通信システムのネットワークエンティティが信頼できるコンテンツを含むヘッダである。というのは、ネットワークエンティティは、ヘッダのコンテンツが、信頼性のある別のネットワークエンティティから到来するもので、例えば、悪意のあるユーザ装置からのものではないことを知っているからである。
【０００８】
ネットワーク信頼性のあるヘッダは、ユーザ特有の位置情報を挿入できるところのパラメータを含むことができる。いかなる名前を有してもよいが、ここでは、ｐａｎｉ−ｎｐと称されるパラメータは、次の例示的シンタックスを有することができる。
ｐａｎｉ−ｎｐ＝“＜情報フィールド名１＞−ｅｑ−＜情報フィールド値１＞・・・
＜情報フィールド名ｎ＞−ｅｑ−＜情報フィールド値ｎ＞”
但し、ｎは、パラメータに含まれる情報フィールドの数である。
【０００９】
ｐａｎｉ−ｎｐで搬送される最も有名なユーザ特有の位置情報は、ｌｉｎｅ−ｉｄであるが、他の情報を搬送することもできる。一般的に述べると、「ＮＢＡ−ａｗａｒｅ」のＰ−ＣＳＣＦ及び「Ｎｏｎ−ＮＢＡ−ａｗａｒｅ」のＰ−ＣＳＣＦの両方においてＲＥＧＩＳＴＥＲを取り扱うときにＰ−ＣＳＣＦにより発生されるヘッダは、ｐａｎｉ−ｎｐヘッダを搬送するためのネットワーク信頼性のあるヘッダとして使用することができる。例えば、Ｐ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤ、ビア(Via)、経路、Ｐ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒヘッダ、等を含むことができる。
【００１０】
本発明の実施形態は、更に、搬送されたｐａｎｉ−ｎｐパラメータがＰ−ＣＳＣＦにより挿入されたもので、他のエンティティにより挿入されたものではないことを保証するために、Ｓ−ＣＳＣＦにより、使用されるネットワーク信頼性のあるヘッダを検証することを含むことができる。この検証は、Ｓ−ＣＳＣＦに入手できる情報に基づくことができ、これは、悪意のあるユーザ装置が偽のｐａｎｉ−ｎｐ情報をヘッダに入れて、情報がＰ−ＣＳＣＦにより挿入されたかのように見えるよう試みることにより生じる異常を、使用されるキャリアヘッダにおいて識別するのに使用できる。
【００１１】
ＲＥＧＩＳＴＥＲを取り扱う際にＰ−ＣＳＣＦ及びユーザ装置の標準的振舞いから導出されるルール及び制約は、この検証を行うのに使用できる。Ｓ−ＣＳＣＦの他の「ローカル知識」も使用できる。例えば、使用されるネットワーク信頼性のあるヘッダが、Ｐ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤ（Ｐ−Ｖ−Ｎ−Ｉ）ヘッダであるときには、Ｓ−ＣＳＣＦにおいて受信されるＲＥＧＩＳＴＥＲにおけるヘッダの数も、ＩＭＳアーキテクチャーにおいて良く知られている。この知識は、検証を行うための基準として使用することができる。例えば、悪意のあるユーザ装置が付加的なＰ−Ｖ−Ｎ−Ｉヘッダをリストに入れた場合には、Ｓ−ＣＳＣＦにより受信されるＰ−Ｖ−Ｎ−Ｉヘッダリストにおけるアイテムの数が、予想より多くなる。これは、問題の可能性を知らせるのに使用でき、この場合には、検証ファ失敗となる。Ｐ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒヘッダにも同様のルールが適用される（例えば、Ｓ−ＣＳＣＦにより受信されるＲＥＧＩＳＴＥＲにおけるこのようなヘッダの数は良く知られている）。
【００１２】
又、本発明の実施形態は、Ｐ−ＣＳＣＦにより、使用されるネットワーク信頼性のあるヘッダを検証することも更に含むことができる。これも、ユーザ装置によるヘッダ情報の悪意のある挿入のおそれを認識するのに使用できる。ＩＭＳアーキテクチャーによれば、ユーザ装置からＰ−ＣＳＣＦにより受信されたＲＥＧＩＳＴＥＲは、１つのビアヘッダのみを含み、経路ヘッダは含まず、Ｐ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤも含まず、そしてＰ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒヘッダも含んでいない。Ｐ−ＣＳＣＦが、２つ以上のビアヘッダ、又はリストされた他の３つのヘッダのいずれかを認識する場合には、ユーザ装置側からの潜在的な不正行為を認識することができ、Ｐ−ＣＳＣＦは、その要求を拒絶することができる。
【００１３】
本発明の実施形態は、更に、Ｐ−ＣＳＣＦにより、受信したユーザアイデンティティにデジタルで署名し、そしてそのデジタル署名をＳ−ＣＳＣＦにおいて検証することを含むことができる。信頼性のあるネットワークは、ＩＰマルチメディアサブシステムである。
【００１４】
相互接続ボーダーコントロールファンクションは、異なるサービスプロバイダーネットワーク間の境界の全体的制御を行う。これは、トポロジー隠蔽インターネットワークゲートウェイ（ＴＨＩＧ）サブファンクションを実施することによりシグナリング情報に関してＩＭＳコアネットワークのためのセキュリティを与えることができる。このサブファンクションは、シグナリングベースのトポロジー隠蔽、ＩＰｖ４−ＩＰｖ６インターワーキング、及びソース及び行先シグナリングアドレスに基づくセッションスクリーニングを遂行することができる。ある状態において、トポロジー隠蔽は、ホームＩＭＳネットワークと訪問先ＩＭＳネットワークとの間に存在し得る。
【００１５】
トポロジー隠蔽が訪問先ＩＭＳネットワークにおいてＰ−ＣＳＣＦに適用され、そして使用されるキャリアヘッダの暗号化が適用される場合には、隠蔽を実行する相互接続ボーダー制御ファンクション（ＩＢＣＦ）は、暗号化されたトークンから前記ｐａｎｉ−ｎｐパラメータを除去して、Ｓ−ＣＳＣＦにとって分かり易いままにすることができる。
【００１６】
本発明の別の実施形態では、ユーザ特有の位置情報は、Ｐ−Ａ−Ｎ−Ｉにおいて送信し続けることができ、そしてＳ−ＣＳＣＦは、どのＰ−ＣＳＣＦが「ＮＢＡ−ａｗａｒｅ」で且つどれがそうでないかを示すデータと共にプロビジョニングすることができる。このように、Ｓ−ＣＳＣＦは、どのＰ−ＣＳＣＦが情報を送信するかに基づいてＮＢＡ手順を登録に適用できるかどうか判断することができる。リストは、Ｐ−ＣＳＣＦ特有であるか、ドメイン特有である（そのドメイン内の全てのＰ−ＣＳＣＦに適用できる）か、又はＩＰアドレスレンジによって構成することができる。ホワイトリスト（どのＰ−ＣＳＣＦが「ＮＢＡ−ａｗａｒｅ」であるか）、又はブラックリスト（どれが「ＮＢＡ−ａｗａｒｅ」でないか）が存在する。Ｓ−ＣＳＣＦは、Ｐ−ＣＳＣＦ名／ＩＰアドレス、又はＰ−ＣＳＣＦがそのリストに対して位置されているドメインをチェックして、特定のＰ−ＣＳＣＦを経て到達する登録にＮＢＡ手順を適用できるかどうか判断することができる。
【００１７】
本発明の実施形態は、信頼性のあるネットワークへのアクセスに対してユーザ装置を認証するための方法、コンピュータコード製品及びシステムを包含することができる。ユーザ装置は、独特のユーザアイデンティティによって識別することができ、そして信頼性のあるネットワークは、プロキシーコールセッションコントロールファンクション（Ｐ−ＣＳＣＦ）及びサービングコールセッションコントロールファンクション（Ｓ−ＣＳＣＦ）を含むことができる。この方法、コンピュータコード製品及びシステムは、Ｐ−ＣＳＣＦにおいてユーザ装置から登録要求を受信し、Ｐ−ＣＳＣＦにおいてユーザ装置のｌｉｎｅ−ｉｄのようなユーザ特有の位置情報を受信し、該ユーザ特有の位置情報をＰ−ＣＳＣＦにおいてＰ−Ａｃｃｅｓｓ−Ｎｅｔｗｏｒｋ−Ｉｎｆｏに挿入し、Ｐ−Ａ−Ｎ−Ｉヘッダを認証のためにＳ−ＣＳＣＦに向けて転送し、Ｓ−ＣＳＣＦにおいて転送側Ｐ−ＣＳＣＦが「ＮＢＡ−ａｗａｒｅ」であるかどうか決定し、そしてもしそうであれば、ユーザ特有の位置情報をＳ−ＣＳＣＦにおいて承認されたユーザ特有の位置情報のリストと比較することを含む。一致が見つかった場合には、信頼性のあるＩＭＳネットワークへのアクセスに対してユーザ装置を認証することができる。上述したように、本発明のこれら実施形態では、どのＰ−ＣＳＣＦが「ＮＢＡ−ａｗａｒｅ」で、どれがそうでないかを示すデータをＳ−ＣＳＣＦにプロビジョニングすることができる。
【００１８】
本発明のこれら及び他の目的、効果並びに特徴は、その動作の編成及び仕方と共に、多数の図面を通して同じ要素が同じ番号で示された添付図面を参照した以下の詳細な説明から明らかとなろう。
【発明を実施するための最良の形態】
【００１９】
本発明の実施形態は、コアＩＭＳサブシステムへのアクセス、特に、コアＩＭＳサブシステムへのＴＩＳＰＡＮアクセスを認証することに係る。図２を参照すれば、参照番号１００で一般的に示されたＴＩＳＰＡＮリリース１アーキテクチャーは、多数のサブシステムを備えている。ＮＡＳＳバンドル型認証（ＮＢＡ）の観点から特に関心のあるのは、ＮＡＳＳサブシステム１０２及びＩＭＳサブシステム１０４である。ＮＡＳＳサブシステム１０２は、接続性セッションロケーション及びレポジトリーファンクション（ＣＬＦ）１０６を備えている。このＣＬＦ１０６は、割り当てられたＩＰアドレス及びｌｉｎｅ−ｉｄの結合を取り扱うように構成することができる。ＩＭＳサブシステム１０４は、Ｐ−ＣＳＣＦ１０８、質問コールセッションコントロールファンクション（Ｉ−ＣＳＣＦ）１１０、Ｓ−ＣＳＣＦ１１２、及びホーム加入者サーバー（ＨＳＳ）１１４を備えている。ユーザ装置（ＵＥ）１１６は、ＮＡＳSサブシステム１０２を通してＩＭＳサブシステム１０４へのアクセスを許可することができる。
【００２０】
Ｐ−ＣＳＣＦ１０８は、ＩＰマルチメディアコアネットワーク（ＩＭ  ＣＮ）内のＵＥの第１接触点として識別できるＩＭＳ要素である。Ｐ−ＣＳＣＦ１０８のファンクションは、ＵＥ１１６から受信したＳＩＰメッセージを転送することを含むことができる。このメッセージは、メッセージの形式及び実行される手順に基づいて、Ｉ−ＣＳＣＦ１１０又はＳ−ＣＳＣＦ１１２へ送信される。Ｐ−ＣＳＣＦ１０８は、コール詳細レコード（ＣＤＲ）を発生する役割も果たすことができる。Ｐ−ＣＳＣＦアドレスは、ＩＰ接続の確立に伴うセッションマネージメント手順の一部分として発見することができる。即ち、Ｐ−ＣＳＣＦアドレスは、パケットデータプロトコル（ＰＤＰ）コンテクストアクチベーションプロセス中に与えることができる。或いは又、アドレスは、ＰＤＰコンテクストアクチベーションプロセスの後に、ダイナミックホストコンフィギュレーションプロトコル問合せ／応答プロセスを通して解明されてもよい。このケースでは、ＵＥ１１６は、ＩＰセッションを確立するためにＩＰアドレス及び他の変数を要求することがある。
【００２１】
Ｉ−ＣＳＣＦ１１０は、オペレータのネットワーク内に接触点を与えて、ネットワークの加入者又はローミング加入者を登録できるようにするＩＭＳ要素である。一般的に述べると、Ｉ−ＣＳＣＦ１１０は、ＳＩＰメッセージの登録、ルーティング及び転送、並びに課金を取り扱う。
【００２２】
Ｓ−ＣＳＣＦ１１２は、ＵＥ１１６のためのセッションコントロールサービスを提供するＩＭＳ要素である。これは、ネットワークオペレータが種々のサービスをサポートできるようにする。Ｓ−ＣＳＣＦファンクションは、移動登録のマネージメント、セッションの維持、他のサービスとの対話、課金及びセキュリティを含むことができる。一実施形態では、Ｓ−ＣＳＣＦ１１２は、ＳＩＰサーバーである。その役割は、セキュリティのために移動及びアクセス、認証及びアカウンティングサーバーにおいてＨＳＳ１１４のようなネットワークデータベースと対話することを含む。ＳＩＰ登録プロセスの一部分として、ユーザには、一般に、加入者のホームパブリックランド移動ネットワークに存在するＳ−ＣＳＣＦ１１２が割り当てられる。このＳ−ＣＳＣＦ１１２は、加入者に対するセッションコントロールの全ての観点で役割を果たす。
【００２３】
ＨＳＳ１１４は、一般に、パブリックランド移動ネットワークに対するマスターデータベースである。これは、ユーザ移動サーバー、ホームロケーションレジスタ、ドメイン名サーバー、並びにセキュリティ及びネットワークアクセスデータベースのような種々のファンクションに対する役割を果たすことができる。これは、論理的には、１つのエンティティとして見られるが、実際には、加入者の数、及びサポートする必要のあるサービスの程度に基づいて、多数の物理的データベースで構成することができる。ＨＳＳ１１４は、加入者によりなされるコール及びセッションのサポート、確立及びメンテナンスに対して変数及びアイデンティティを保持することができる。これは、加入者の国際移動加入者アイデンティティ、セキュリティ変数及び位置情報を含むことができる。基本的ホーム位置レジスタ／認証センターファンクションを設けるのに加えて、ＨＳＳ１１４は、付加的なデータベース及び基準点の使用により向上させることができる。これは、カスタマイズド・アプリケーション・フォー・モバイル・ネットワーク・エンハンスト・ロジック（ＣＡＭＥＬ）、オープン・サービス・アクセス（ＯＳＡ）、及びＳＩＰとのインターフェイスにより、ネットワークが加入者に進歩したサービス及び特徴を提供できるようにする。
【００２４】
本発明の実施形態は、ＩＭＳサブシステム１０４へのＵＥ１１６のアクセスを認証することに係る。本発明の種々の実施形態では、これは、Ｐ−Ａ−Ｎ−Ｉではなく、Ｐ−ＣＳＣＦ１０８において必須のキャリアＳＩＰヘッダのパラメータでｌｉｎｅ−ｉｄのようなネットワーク認識アクセス情報を搬送することにより達成することができる。ネットワーク信頼性のあるヘッダとは、通信システムのネットワークエンティティがそのコンテンツを信頼できるヘッダで、ヘッダのコンテンツが信頼性のある別のネットワークエンティティから到来し、例えば、悪意のあるＵＥから到来したものではないことをネットワークエンティティに分かるようなヘッダである。一実施形態では、パラメータは、ｐａｎｉ−ｎｐ（Ｐ−Ａ−Ｎ−Ｉ−ｎｅｔｗｏｒｋ−ｐｒｏｖｉｄｅｄ）と呼称され、Ｐ−ＣＳＣＦ１０８によりＳ−ＣＳＣＦ１１２へレポートされるべきｌｉｎｅ−ｉｄを含む引用ストリングで構成される。アクセス形式のような他の当該アクセス情報を含ませることもできる。
【００２５】
一実施形態では、ｐａｎｉ−ｎｐパラメータは、次のフォーマットで構成することができる。
ｐａｎｉ−ｎｐ＝“＜パラメータ名１＞−ｅｑ−＜パラメータ値１＞・・・
＜パラメータ名ｎ＞−ｅｑ−＜パラメータ値ｎ＞”
但し、ｐａｎｉ−ｎｐパラメータには、１ないしｎ個のパラメータを含ませることができる。例えば、ビアヘッダが、ネットワーク信頼性のあるキャリアヘッダとして使用されるときに、ｌｉｎｅ−ｉｄ＝１２３４５６７８９０であり、且つアクセス形式がｄｓｌである場合には、Ｐ−ＣＳＣＦ１０８により追加される最上位のビアヘッダは、
SIP/2.0/UDP pcscf1.visited1.net; branch=z9hG4bK240f34.1
から
SIP/2.0/UDP pcscf1.visited1.net; branch=z9hG4bK240f34.1; pani-np=”lineid-eq-
1234567890 accesstype-eq-dsl”
へ変化することができる。
同じ例がＰ−Ｖ−Ｎ−Ｉに適用される場合には、次の変化が生じる。
P-Visited-Network_ID: “Visited Network Number 1”
は、次のように変化する。
P-Visited-NetworkID: “Visited Network Number 1”; pani-np=”lineid-eq-1234567890
Accesstype-eq-dsl”
この例では、ＮＷ（Ｐ−ＣＳＣＦ１０８）は、Ｓ−ＣＳＣＦ１１２に、アクセス形式がＤＳＬであり、且つｌｉｎｅ−ｉｄが１２３４５６７８９０であることを告げる。
【００２６】
本発明の実施形態を具現化することにより、Ｐ−ＣＳＣＦ１０８は、Ｐ−Ａ−Ｎ−Ｉを使用するのではなく、ｌｉｎｅ−ｉｄ情報を搬送するためにＰ−ＣＳＣＦにより発生される必須のネットワーク信頼性のあるヘッダにパラメータｐａｎｉ−ｎｐを使用することにより、ＮＢＡを実施する。Ｐ−Ａ−Ｎ−Ｉのこの非適合性使用に置き換えることで、ｌｉｎｅ−ｉｄのような必要なアクセス情報をＰ−ＣＳＣＦ１０８からＳ−ＣＳＣＦ１１２へ搬送して、ＳＩＰにおいてＮＢＡを実施するためのＳＩＰ適合方法が提供される。本発明の実施形態は、新たなＳＩＰヘッダを必要とせず、従って、レガシー、「Ｎｏｎ−ＮＢＡ−ａｗａｒｅ」Ｐ−ＣＳＣＦの問題を解決する。ｌｉｎｅ−ｉｄ情報が新たなＳＩＰヘッダ又は何らかの既存のヘッダにおいて搬送される場合には、これらのヘッダをレガシーＰ−ＣＳＣＦによりチェックできず、不正情報がＳ−ＣＳＣＦに届くのを許すことがある。ネットワーク信頼性のあるヘッダは、常に、Ｐ−ＣＳＣＦ１０８により構成されるが、そのヘッダにｐａｎｉ−ｎｐパラメータを入れるのは「ＮＢＡ−ａｗａｒｅ」のＰ−ＣＳＣＦだけである。従って、レガシーＰ−ＣＳＣＦは、常に、そのヘッダを発生するが、そのキャリアヘッダにｐａｎｉ−ｎｐパラメータを挿入せず、そしてＵＥは、偽のｌｉｎｅ−ｉｄ情報をレガシーシステムのＳ−ＣＳＣＦに押し込むことはできない。
【００２７】
本発明の一実施形態では、Ｓ−ＣＳＣＦは、例えば、Ｐ−ＣＳＣＦ及びＵＥの標準的な振舞いから導出されるルール及び制約に基づいて、受信したキャリアヘッダの検証を実行する。例えば、使用されるキャリアヘッダがＰ−Ｖ−Ｎ−Ｉである場合には、１つの考えられる検証チェックは、Ｓ−ＣＳＣＦで受け取られるＰ−Ｖ−Ｎ−Ｉヘッダにおけるアイテムの数を、規範的ＩＭＳ  ＳＩＰシグナリングフローから導出されるよく知られた結果に対して比較することで、行うことができる。Ｐ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒについても、同様の検証基準を適用することができる。別の実施形態では、Ｐ−ＣＳＣＦは、使用されるネットワーク信頼性のあるヘッダに関連したＲＥＧＩＳＴＥＲメッセージの検証も行い、ＵＥによるそのヘッダの悪意のある挿入をフィルタ除去する。例えば、Ｐ−ＣＳＣＦは、ＲＥＧＩＳＴＥＲ要求に２つ以上のビアヘッダが存在する場合、又はそれがＰ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤ、経路、又はＰ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒヘッダを含む場合に、ＲＥＧＩＳＴＥＲ要求を拒絶することができる。
【００２８】
本発明の一実施形態では、ｐａｎｉ−ｎｐ情報にＰ−ＣＳＣＦ１０８によりデジタルで署名して、認証プロセスに対して更なるセキュリティを与えることができる。このケースでは、Ｓ−ＣＳＣＦ１１２は、認証へ進む前に、ｐａｎｉ−ｎｐのデジタル署名を検証することができる。
【００２９】
本発明の実施形態は、あるＳＩＰから別のＳＩＰへ信頼性のある情報を搬送するように一般化することができる。この信頼性ある情報は、対応するノードにより発生されるある選択された必須のキャリアヘッダにおいて拡張パラメータとして搬送することができる。ソースノード（この場合はＰ−ＣＳＣＦ）から受信ノード（この場合はＳ−ＣＳＣＦ）へホップごとに信頼性がある場合には、ソースノードの前のノード（この場合はＵＥ）は、レガシーネットワークノードに対する「理解できない場合はタッチしない(don't touch it if I don't understand it)」のＳＩＰデフォールト振舞いを使用して受信ノードに偽の情報をプッシュすることができない。
【００３０】
図３は、本発明の一実施形態によりＮＢＡを使用して首尾良い登録を試みるためのシグナリングフローチャートであり、そして図４は、本発明の一実施形態によるＴＩＳＰＡＮ認証システムの概略図である。この実施形態において、ＵＥ１１６は、ＮＡＳＳサブシステム１０２へのアクセスレベルアタッチメントを遂行し、それにＩＰアドレスが指定されると共に、ＩＰ接続がイネーブルされる（ステップ２０１）。次いで、ステップ２０２では、ＵＥ１１６は、ＲＥＧＩＳＴＥＲメッセージをＰ−ＣＳＣＦ１０８へ送信して、ＩＭＳサブシステム１０４への登録を開始する。ＲＥＧＩＳＴＥＲメッセージは、認証ヘッダを含んでもよいし、含まなくてもよい。
【００３１】
ＲＥＧＩＳＴＥＲメッセージを受信すると、Ｐ−ＣＳＣＦ１０８は、位置情報を搬送するために選択されたネットワーク信頼性のあるヘッダの検証を遂行することができ、例えば、レジスタには１つのビアヘッダのみがあって、Ｐ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤも、経路も、Ｐ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒヘッダもないことを確認するためのチェックを遂行することができる。次いで、Ｐ−ＣＳＣＦ１０８は、ステップ２０４において、ＣＬＦ１０６に対して位置情報の問合せを遂行することができる。例えば、Ｐ−ＣＳＣＦ１０８は、異なるアクセスネットワークに接続された多数のネットワークインターフェイスを有することができる。この場合に、Ｐ−ＣＳＣＦ１０８は、ネットワークインターフェイス当たりＮＢＡ関連機能を遂行するように構成することができる。又、ＣＬＦアドレスも、ネットワークインターフェイス当たりにコンフィギュレーション手段によって決定することができる。ＩＰヘッダに見られるソースＩＰアドレスは、位置情報問合せのためのキーとして使用することができる。Ｐ−ＣＳＣＦとＣＬＦとのインターフェイスは、ＴＩＳＰＡＮアーキテクチャーにおいてｅ２インターフェイスとして示される。これは、ＤＩＡＭＥＴＥＲベースのインターフェイスである。更に、契約時点で、ＮＢＡは、ＵＥ１１６及び１に対する認証機構としてプロビジョニングされるか、又は加入者に対してＨＳＳ１１４に基準ｌｉｎｅ−ｉｄ−ｒｅｆのセットが記憶される。
【００３２】
ステップ２０６において、ＣＬＦ１０６は、LocationInformationResponseメッセージを使用して、割り当てられたＩＰアドレスにリンクされたｌｉｎｅ−ｉｄをＰ−ＣＳＣＦ１０８へ返送する。従来のシステムでは、Ｐ−ＣＳＣＦ１０８は、受信したｌｉｎｅ−ｉｄを、Ｉ−ＣＳＣＦ１１０へ送信されるＳＩＰメッセージのＰ−Ａ−Ｎ−Ｉヘッダにおける「ｄｓｌ−ｌｏｃａｔｉｏｎ」パラメータへとエンコードする。又、「ｎｅｔｗｏｒｋ−ｐｒｏｖｉｄｅｄ」パラメータをＰ−Ａ−Ｎ−Ｉヘッダに追加して、ｌｉｎｅ−ｉｄがネットワークにより与えられることを指示することもできる。しかしながら、上述したように、これは、互換性及びセキュリティの問題を引き起こすＰ−Ａ−Ｎ−Ｉの禁止された使い方である。本発明の実施形態によれば、ｌｉｎｅ−ｉｄ（及び他の情報）を、Ｐ−ＣＳＣＦ１０８により発生されたネットワーク信頼性のあるヘッダにおいて新たなパラメータ、即ちｐａｎｉ−ｎｐパラメータに追加することができる。本発明の実施形態によれば、ステップ２０８において、この情報は、ネットワーク信頼性のあるヘッダにおいてＩ−ＣＳＣＦ１１０及びＳ−ＣＳＣＦ１１２へ送信される。更に、Ｐ−ＣＳＣＦ１０８は、セキュリティ追加のためにｐａｎｉ−ｎｐパラメータ情報にデジタルで署名することができる。
【００３３】
ステップ２１０において、Ｉ−ＣＳＣＦ１１０は、ＨＳＳ１１４とでＵＡＲ／ＵＡＡ  Ｃｘオペレーションを遂行して、Ｓ−ＣＳＣＦ１１２を探索することができる。ｌｉｎｅ−ｉｄは、ネットワーク信頼性のあるヘッダにおいて送られるので、Ｓ−ＣＳＣＦ１１２によって抽出することができる。ｐａｎｉ−ｎｐパラメータがＰ−ＣＳＣＦ１０８によりデジタルで署名される場合には、Ｓ−ＣＳＣＦ１１２は、そのデジタル署名を検証することができる。ステップ２１２及び２１４では、Ｓ−ＣＳＣＦ１１２は、各々、ＨＳＳ１１４とのＭＡＲ及びＭＡＡオペレーションを遂行することができる。ＨＳＳ１１４は、１つ以上の基準ｌｉｎｅ−ｉｄ−ｒｅｆパラメータを送信することができ、又、認証機構がＮＢＡであることを確認又は指示することもできる。
【００３４】
ＨＳＳ１１４から受信された認証機構が、ＵＥ１１６にＮＢＡが適用されることを確認する場合に、先ず、Ｓ−ＣＳＣＦ１１２は、受信したネットワーク信頼性のあるキャリアヘッダについての検証を、規範的ＩＭＳ登録手順から導出されたルール及び制約、又はローカル知識、或いはその両方の組合せに基づいて遂行することができる。この検証が首尾良く行われた場合には、Ｓ−ＣＳＣＦ１１２は、ステップ２１６において、ビアヘッダ（これが存在する場合及びこれが「ｎｅｔｗｏｒｋ−ｐｒｏｖｉｄｅｄ」パラメータを含む場合）のｐａｎｉ−ｎｐパラメータに含まれたｌｉｎｅ−ｉｄを、基準ｌｉｎｅ−ｉｄ−ｒｅｆ（ｌｉｎｅ−ｉｄ−ｒｅｆｓｅｔ）と比較することができる。少なくとも１つの一致がある場合には、ユーザが認証されたと考えられ、ステップ２１８、２２０及び２２２においてＵＥ１１６に向けて２００  ＯＫが返送され、登録が成功であったことを指示する。
【００３５】
ＮＡＳＳバンドル型認証（ＮＢＡ）は、ＮＡＳSレイヤにおける首尾良い認証をサービスレイヤへ拡張することにより機能する。ネットワークアタッチメントの間に、ＮＡＳＳはＵＥを認証し、ＩＰアドレスを割り当てる。これは、レイヤ２及びレイヤ３アイデンティティをＮＡＳＳプロフィールに記憶する。ＵＥがＰ−ＣＳＣＦに登録されるときに、Ｐ−ＣＳＣＦは、その位置情報を得るためにＮＡＳＳ(実際にはＣＬＦ機能的エンティティ)に問合せする。Ｐ−ＣＳＣＦは、位置情報を、Ｐ−ＣＳＣＦにより構成されるビアヘッダにおけるパラメータの形態のＳＩＰメッセージに埋め込み、そしてそれを認証のためにＳ−ＣＳＣＦに向けて転送する。Ｓ−ＣＳＣＦは、この位置情報を、ＵＰＳＦから得た位置情報で検証する。首尾良く検証されると、ユーザは、ＩＭＳレイヤにおいて認証される。
【００３６】
トポロジー隠蔽がホームネットワークに向かってＰ−ＣＳＣＦに適用される場合には、この隠蔽を遂行するＩＢＣＦが、暗号化されたトークンからこのビアパラメータを取り出し、Ｓ−ＣＳＣＦによって依然分かり易いものとしなければならないことに注意されたい。又、トポロジー隠蔽は、ＮＢＡに適用されなくてもよく、又はそれに対して必要とされなくてもよい。
【００３７】
アーキテクチャーレベルでは、次の２つのインターフェイスが作用を受ける。
ＮＡＳＳからの位置情報が通信される「ｅ２」インターフェイス
ＵＰＳＦに記憶されたユーザプロフィールが送信される「Ｃｘ」インターフェイス
これと、ネットワークフローを視覚化したものが、図５、６及び７に示されている。
【００３８】
本発明は、ネットワーク環境におけるコンピュータにより実行されるプログラムコードのようなコンピュータ実行可能なインストラクションを含むプログラム製品により一実施形態において実施できる方法ステップの一般的観点について説明された。一般的に、プログラムモジュールは、特定のタスクを遂行し又は特定の抽象的データ形式を具現化するルーチン、プログラム、オブジェクト、コンポーネント、データ構造、等を含む。コンピュータ実行可能なインストラクション、関連データ構造、及びプログラムモジュールは、ここに開示する方法のステップを実行するためのプログラムコードの例を表す。このような実行可能なインストラクション又は関連データ構造の特定のシーケンスは、このようなステップにおいて述べられた機能を遂行するための対応する行為の例を表す。
【００３９】
本発明のソフトウェア及びウェブ実施は、種々のデータベースサーチステップ、相関ステップ、比較ステップ及び判断ステップを遂行するためのルールベースロジック及び他のロジックを伴う標準的なプログラミング技術で達成することができる。又、本明細書で使用する「コンポーネント」及び「モジュール」という語は、１行以上のソフトウェアコード、及び／又はハードウェア実施、及び／又は手動入力を受け取るための装置を使用する実施を包含するように意図されていることにも注意されたい。
【００４０】
本発明の実施形態の以上の説明は、単なる例示に過ぎない。これは、徹底的なものでもないし、又、本発明を、ここに開示する正確な形態に限定するものでもなく、以上の教示に鑑み、又は本発明を実施することから、変更や修正が考えられる。前記実施形態は、本発明の原理及びその実際の応用を説明して、当業者が、本発明を種々の実施形態で及び特定の用途に適した種々の変形形態で利用できるようにするために、選択され説明されたものである。
【図面の簡単な説明】
【００４１】
【図１】既存のシステムに伴う潜在的な問題を示すＴＩＳＰＡＮ認証システムの全体図である。
【図２】本発明を実施できるＴＩＳＰＡＮリリース１アーキテクチャーシステムの全体図である。
【図３】本発明の一実施形態に使用できるシグナリングフロー図である。
【図４】本発明の一実施形態によるＴＩＳＰＡＮ認証システムの全体図である。
【図５】本発明の一実施形態によるＮＡＳＳバンドル型認証の公式マッピングを示す全体図である。
【図６】本発明の一実施形態に使用できるシグナリングフロー図である。
【図７】本発明の一実施形態に使用できるシグナリングフロー図である。
【図１】
2009531921.tif 000003
【図２】
2009531921.tif 000004
【図３】
2009531921.tif 000005
【図４】
2009531921.tif 000006
【図５】
2009531921.tif 000007
【図６】
2009531921.tif 000008
【図７】
2009531921.tif 000009
【手続補正書】
【提出日】平成20年2月27日(2008.2.27)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ユーザ装置を認証するための方法において、
信頼性のあるネットワークのプロキシーエンティティにおいてユーザ装置から登録要求を受信するステップと、
前記信頼性のあるネットワークのプロキシーエンティティにおいてユーザ装置のユーザ特有の位置情報を受信するステップと、
前記受信したユーザ特有の位置情報を含むネットワーク信頼性のあるヘッダを前記プロキシーエンティティにおいて発生するステップと、
前記ネットワーク信頼性のあるヘッダを認証のためにサービングエンティティに向けて転送するステップと、
前記ユーザ特有の位置情報を前記サービングエンティティにおける承認された基準のリストと比較するステップと、
前記ユーザ特有の位置情報が前記承認された基準のリストにおけるエントリーに一致する場合には、前記信頼性のあるネットワークへのアクセスに対してユーザ装置を認証するステップと、
を備え、相互接続ボーダーコントロールファンクション（ＩＢＣＦ）は、前記サービングエンティティに向かって前記プロキシーエンティティに対する任意のトポロジー隠蔽を遂行し、前記ＩＢＣＦは、暗号化されたトークンからユーザ特有の位置情報を抽出して、それが前記サービングエンティティに分かり易いものとなるように構成された、方法。
【請求項２】
前記ネットワーク信頼性のあるヘッダは、前記ユーザ特有の位置情報を挿入できるパラメータを含む、請求項１に記載の方法。
【請求項３】
前記ユーザ特有の位置情報は、前記プロキシーエンティティにより得られたｌｉｎｅ−ｉｄを含む、請求項１から２のいずれかに記載の方法。
【請求項４】
前記受信したユーザアイデンティティに前記プロキシーエンティティによりデジタルで署名するステップと、
前記サービングエンティティにおいて前記デジタル署名を検証するステップと、
を更に備えた請求項１から３のいずれかに記載の方法。
【請求項５】
前記サービングエンティティは、ＮＡＳＳバンドル型認証（ＮＢＡ）が前記プロキシーエンティティに基づいてユーザ装置を認証するのに適用できるかどうかチェックする、請求項１から４のいずれかに記載の方法。
【請求項６】
前記サービングエンティティには、プロキシーエンティティ名及びＩＰアドレスの少なくとも１つ、プロキシーエンティティのドメイン名、及びプロキシーエンティティに関連したＩＰアドレス範囲を含むデータがプロビジョニングされ、そして前記サービングエンティティは、プロキシーエンティティ名及びＩＰアドレスの少なくとも１つ、プロキシーエンティティのドメイン名、及びプロキシーエンティティに関連したＩＰアドレス範囲を前記プロビジョニングされたデータに対してチェックする、請求項１から５のいずれかに記載の方法。
【請求項７】
前記信頼性のあるネットワークは、ＩＰマルチメディアサブシステムである、請求項１から６のいずれかに記載の方法。
【請求項８】
前記サービングエンティティは、前記受信したネットワーク信頼性のあるヘッダに対して健全性のチェックを行う、請求項１から７のいずれかに記載の方法。
【請求項９】
前記サービングエンティティは、キャリアヘッダのリストにおけるアイテムの数を、規範的なＩＰマルチメディアサブシステムのセッションイニシエーションプロトコルのシグナリングフローから導出された既知の結果に対してチェックすることにより、前記健全性チェックを遂行する、請求項１から８のいずれかに記載の方法。
【請求項１０】
前記プロキシーエンティティは、規範的なＩＰマルチメディアサブシステムのセッションイニシエーションプロトコルのシグナリングフロー及びローカル知識の一方から導出されたルール及び制約を使用して、前記選択されたネットワーク信頼性のあるヘッダに関連した受信した登録メッセージについて健全性チェックを遂行する、請求項１から９のいずれかに記載の方法。
【請求項１１】
前記プロキシーエンティティは、登録メッセージがネットワーク信頼性のあるヘッダ又はＰ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤ、経路、又はＰ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒの２つ以上を含むかどうかチェックし、そしてそのような場合には、ユーザ装置から受信した登録メッセージを拒絶することができる、請求項１から１０のいずれかに記載の方法。
【請求項１２】
前記プロキシーエンティティは、プロキシーコールセッションコントロールファンクション（Ｐ−ＣＳＣＦ）を含む、請求項１から１１のいずれかに記載の方法。
【請求項１３】
前記サービングエンティティは、サービングコールセッションコントロールファンクション（Ｓ−ＣＳＣＦ）を含む、請求項１から１２のいずれかに記載の方法。
【請求項１４】
請求項１のプロセスを遂行するためのコンピュータコードを含む、コンピュータ読み取り可能な媒体に埋め込まれたコンピュータプログラム製品。
【請求項１５】
ユーザ装置を認証するためのシステムにおいて、
プロキシーエンティティが、
ユーザ装置から登録要求を受信し、
ユーザ装置を識別するユーザ特有の位置情報を受信し、
前記ユーザ特有の位置情報を含むネットワーク信頼性のあるヘッダを発生し、
前記ネットワーク信頼性のあるヘッダを認証のためにサービングエンティティへ転送する、というように構成され、そして
サービングエンティティが、
前記ユーザ特有の位置情報を、承認された位置情報のリストと比較し、
前記ユーザ特有の位置情報が、承認された基準のリストにおけるエントリーに一致する場合に、前記信頼性のあるネットワークへのアクセスに対してユーザ装置を認証する、というように構成され、
相互接続ボーダーコントロールファンクション（ＩＢＣＦ）は、前記サービングエンティティに向かって前記プロキシーエンティティに対する任意のトポロジー隠蔽を遂行し、前記ＩＢＣＦは、暗号化されたトークンからユーザ特有の位置情報を抽出して、それが前記サービングエンティティに分かり易いものとなるように構成された、システム。
【請求項１６】
前記ネットワーク信頼性のあるヘッダは、ユーザ特有の位置情報を挿入できるパラメータを含む、請求項１５に記載のシステム。
【請求項１７】
前記プロキシーエンティティは、更に、受信したユーザアイデンティティにデジタルで署名するように構成され、そして前記サービングエンティティは、更に、そのデジタル署名を検証するように構成される、請求項１５から１６のいずれかに記載のシステム。
【請求項１８】
前記サービングエンティティは、ＮＡＳＳバンドル型認証（ＮＢＡ）が前記プロキシーエンティティに基づいてユーザ装置を認証するのに適用できるかどうかチェックする、請求項１５から１７のいずれかに記載のシステム。
【請求項１９】
前記サービングエンティティには、プロキシーエンティティ名及びＩＰアドレスの少なくとも１つ、プロキシーエンティティのドメイン名、及びプロキシーエンティティに関連したＩＰアドレス範囲を含むデータがプロビジョニングされ、そして前記サービングエンティティは、プロキシーエンティティ名及びＩＰアドレスの少なくとも１つ、プロキシーエンティティのドメイン名、及びプロキシーエンティティに関連したＩＰアドレス範囲を前記プロビジョニングされたデータに対してチェックする、請求項１５から１８のいずれかに記載のシステム。
【請求項２０】
前記信頼性のあるネットワークは、ＩＰマルチメディアサブシステムである、請求項１５から１９のいずれかに記載のシステム。
【請求項２１】
サービスレイヤでユーザ装置を認証するための方法において、
ネットワークアタッチメントレイヤでユーザ装置を認証するステップと、
前記ネットワークアタッチメントレイヤの認証に応答して、ユーザ装置のネットワークアタッチメントレイヤアイデンティティと、ユーザ装置のサービスレイヤアイデンティティとの間の結合をアイデンティティレポジトリーエンティティに記憶するステップと、
プロキシーエンティティにおいて、サービスレイヤ登録手順の間に、ユーザ装置のネットワークアタッチメントレイヤアイデンティティに基づいて、アイデンティティレポジトリーエンティティからユーザ装置のサービスレイヤアイデンティティを問い合わせるステップと、
ユーザ装置のサービスレイヤアイデンティティを登録メッセージのネットワーク信頼性のあるヘッダに埋め込むステップと、
前記登録メッセージをサービングエンティティへ送信するステップと、
前記サービングエンティティにおいて、ユーザ装置のサービスレイヤアイデンティティをユーザプロフィールエンティティから検索するステップと、
前記登録メッセージのネットワーク信頼性のあるヘッダにおいて送信されたユーザ装置のサービスレイヤアイデンティティが、前記ユーザプロフィールエンティティから検索されたユーザ装置のサービスレイヤアイデンティティに一致する場合に前記サービスレイヤにおいてユーザ装置を認証するステップと、
を備え、前記サービングエンティティに向かって前記プロキシーエンティティに対するトポロジー隠蔽を遂行し、前記ネットワーク信頼性のあるヘッダを暗号化させる、方法。
【請求項２２】
前記ネットワーク信頼性のあるヘッダは、セッションイニシエーションプロトコルのネットワーク信頼性のあるヘッダを含む、請求項２１に記載の方法。
【請求項２３】
前記ネットワーク信頼性のあるヘッダは、Ｐ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤヘッダ、経路ヘッダ、及びＰ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒヘッダの１つを含む、請求項２１から２２のいずれかに記載の方法。
【請求項２４】
前記ネットワーク信頼性のあるヘッダは、ユーザ特有の位置情報を挿入できるパラメータを含む、請求項２１から２３のいずれかに記載の方法。
【請求項２５】
前記受信したユーザアイデンティティに前記プロキシーエンティティによりデジタルで署名するステップと、
前記サービングエンティティにおいて前記デジタル署名を検証するステップと、
を更に備えた請求項２１から２４のいずれかに記載の方法。
【請求項２６】
前記サービングエンティティは、前記受信したネットワーク信頼性のあるヘッダに対して健全性のチェックを行う、請求項２１から２５のいずれかに記載の方法。
【請求項２７】
前記サービングエンティティは、キャリアヘッダのリストにおけるアイテムの数を、規範的なＩＰマルチメディアサブシステムのセッションイニシエーションプロトコルのシグナリングフローから導出された既知の結果に対してチェックすることにより、前記健全性チェックを遂行する、請求項２１から２６のいずれかに記載の方法。
【請求項２８】
前記プロキシーエンティティは、規範的なＩＰマルチメディアサブシステムのセッションイニシエーションプロトコルのシグナリングフロー及びローカル知識の一方から導出されたルール及び制約を使用して、前記選択されたネットワーク信頼性のあるヘッダに関連した受信した登録メッセージについて健全性チェックを遂行する、請求項２１から２７のいずれかに記載の方法。
【請求項２９】
前記プロキシーエンティティは、登録メッセージがネットワーク信頼性のあるヘッダ又はＰ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤ、経路、又はＰ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒの２つ以上を含むかどうかチェックし、そしてそのような場合には、ユーザ装置から受信した登録メッセージを拒絶することができる、請求項２１から２８のいずれかに記載の方法。
【請求項３０】
前記プロキシーエンティティは、プロキシーコールセッションコントロールファンクション（Ｐ−ＣＳＣＦ）を含む、請求項２１から２９のいずれかに記載の方法。
【請求項３１】
前記サービングエンティティは、サービングコールセッションコントロールファンクション（Ｓ−ＣＳＣＦ）を含む、請求項２１から２９のいずれかに記載の方法。
【請求項３２】
アクセスネットワークをインターフェイスするコントロールエンティティにおいて、
ユーザを登録するための登録要求を受け取り、
ユーザに関連した独特のユーザ特有の位置情報を得るためにアイデンティティレポジトリーエンティティに問合せし、
前記独特のユーザ特有の位置情報を前記登録要求においてネットワーク信頼性のあるヘッダに埋め込み、そして
前記登録要求をサービングコントロールエンティティに向かって転送する、
というように構成され、前記サービングコントロールエンティティに向かって前記コントロールエンティティに対するトポロジー隠蔽を遂行し、前記ネットワーク信頼性のあるヘッダを暗号化させる、コントロールエンティティ。
【請求項３３】
前記コントロールエンティティは、更に、前記独特のユーザ特有の位置情報をネットワーク信頼性のあるヘッダに埋め込むように構成された、請求項３２に記載のコントロールエンティティ。
【請求項３４】
前記コントロールエンティティは、更に、前記独特のユーザ特有の位置情報を、Ｐ−Ｖｉｓｉｔｅｄ−ｎｅｔｗｏｒｋ−ＩＤヘッダ、経路ヘッダ、及びＰ−Ｃｈａｒｇｉｎｇ−Ｖｅｃｔｏｒヘッダの１つに埋め込むように構成された、請求項３２から３３のいずれかに記載のコントロールエンティティ。
【請求項３５】
独特の位置情報により識別されるユーザ装置を、信頼性のあるネットワークへのアクセスに対して認証するシステムにおいて、
プロキシーエンティティが、
ユーザ装置から受け取った登録要求を健全性チェックし、
ユーザ装置の位置情報を受け取り、
その受け取ったユーザ特有の位置情報を含むネットワーク信頼性のあるヘッダを発生し、そして
そのキャリアヘッダを認証のためにサービングエンティティへ転送する、というように構成され、そして
サービングエンティティが、
前記登録要求において前記受け取ったネットワーク信頼性のあるヘッダを健全性チェックし、
前記サービングエンティティの健全性チェックが成功であった場合には、前記位置情報を、承認された位置情報のリストと比較し、そして
前記位置情報が、承認された基準のリストのエントリーに一致する場合には、ユーザ装置を信頼性のあるネットワークへのアクセスに対して認証する、というように構成され、更に、相互接続ボーダーコントロールファンクション（ＩＢＣＦ）は、前記サービングエンティティに向かって前記プロキシーエンティティに対する任意のトポロジー隠蔽を遂行し、前記ＩＢＣＦは、暗号化されたトークンからユーザ特有の位置情報を抽出して、それが前記サービングエンティティに分かり易いものとなるように構成された、システム。
【請求項３６】
前記選択されたネットワーク信頼性のあるヘッダは、前記ユーザ特有の位置情報を挿入できるパラメータを含む、請求項３５に記載のシステム。
【請求項３７】
前記プロキシーエンティティは、更に、前記受信したユーザアイデンティティにデジタルで署名するように構成され、そして前記サービングエンティティは、更に、前記デジタル署名を検証するように構成された、請求項３５から３６のいずれかに記載のシステム。
【国際調査報告】
2009531921.tif 000010
2009531921.tif 000011
2009531921.tif 000012
2009531921.tif 000013