(57)【要約】本発明により、第一サーバと第二サーバとの間の通信チャネルにおいて、中継装置への鍵材料の公開を低減する。一実施形態（１００）では、第二サーバは、第一サーバからメディアストリーム鍵の前半部分を受取る。第二サーバは、ケルベロスベースのアプリケーション要求、およびチケットを使用して、第一サーバにメディアストリーム鍵の別の半分を伝達する。この方法を利用して、メディアストリーム鍵はサーバのみへの公開に低減される。
2005521355.tif 000002
【特許請求の範囲】
【請求項１】
第一サーバと第二サーバとの間で鍵を交換する方法において、前記第一サーバと第二サーバとの間の通信経路に一つ以上の中継転送装置を含む方法であって、
前記第二サーバにおいて、後続のデータ転送に使用されるメディアストリーム鍵の一部分を受信することと、
後続のデータ転送に使用されるメディアストリーム鍵の別の部分を保護するためにセキュリティ機構を使用することと、
保護されたメディアストリーム鍵の別の部分を一つ以上の中継転送装置を経由して、第一サーバへ転送することとを備える方法。
【請求項２】
請求項１記載の方法において、前記セキュリティ機構は、チケットの使用を含む方法。
【請求項３】
請求項２記載の方法において、前記チケットは、ケルベロス標準に準拠する方法。
【請求項４】
請求項１記載の方法において、前記セキュリティ機構は、証明書の使用を含む方法。
【請求項５】
請求項１記載の方法において、前記セキュリティ機構は、認証子の使用を含む方法。
【請求項６】
請求項１記載の方法において、前記セキュリティ機構は、デジタル署名の使用を含む方法。
【請求項７】
請求項１記載の方法において、メディアストリームのセッション情報は、暗号化され、認証され、メディアストリーム鍵の別の半分と共に第一サーバへ転送される方法。
【請求項８】
請求項７記載の方法において、メディアストリームのセッション情報は、暗号化されない方法。
【請求項９】
請求項１記載の方法において、前記サーバは、ボイスオーバーインターネットプロトコルシステム内にあるコールマネージメントサーバである方法。
【請求項１０】
請求項１記載の方法において、
第二サーバから第一サーバへアプリケーション要求を送信することを更に備える方法。
【請求項１１】
請求項１０記載の方法において、アプリケーション要求は、ケルベロスチケットを含む方法。
【請求項１２】
請求項１１記載の方法において、ケルベロスチケットは、対称型サービス鍵を使用して、暗号化される方法。
【請求項１３】
請求項１１記載の方法において、ケルベロスチケットは、対称型セッション鍵を含む方法。
【請求項１４】
第一サーバと第二サーバとの間で鍵の交換を行う装置において、前記第一サーバと第二サーバとの間の通信経路に一つ以上の中継転送装置を含み、前記装置は、
後続のデータ転送に使用されるメディアストリーム鍵の一部分を受信するための前記第二サーバにおける受信処理と、
後続のデータ転送に使用されるメディアストリーム鍵の別の部分の保護形態を生成するセキュリティ機構と、
前記メディアストリーム鍵の別の部分の保護された形態を一つ以上の中継転送装置を経
由して第一サーバへ転送する、送信処理とを備える装置。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願のクロスリファレンス）
本願は、同時係属中である米国仮出願番号第６０／３６７０８２号の優先権を主張する。該米国仮出願は、２００２年３月２２日に出願され、「ボイスオーバーＩＰシステムに対するメディアストリーム暗号鍵によるエンドツーエンド保護（ＥＮＤ−ＴＯ−ＥＮＤ  ＰＲＯＴＥＣＴＩＯＮ  ＯＦ  ＭＥＤＩＡ  ＳＴＲＥＡＭ  ＥＮＣＲＹＰＴＩＯＮ  ＫＥＹＳ  ＦＯＲ  ＶＯＩＣＥ−ＯＶＥＲ−ＩＰ  ＳＹＳＴＥＭＳ）」と題し、本文書に十分に説明されているように、本願に引用して援用する。
【０００２】
本発明は、概して安全なデータ送信に関連する。更に特定すると、中継転送を利用する鍵の交換にコールシグナリングを使用するエンドツーエンド通信システムにおける安全なデータ送信に関連する。
【背景技術】
【０００３】
デジタル情報を安全に通信することは、多くの今日のシステムにおいて、非常に重要である。例えば、典型的なボイスオーバーインターネットプロトコル（ボイスオーバーＩＰ、またはＶｏＩＰ）システムでは、ＶｏＩＰサービスプロバイダによってコールマネージメントサーバ（ＣＭＳ）を作動させている。ＣＭＳはデジタル電話ユーザ、および遠隔地にある別のＣＭＳと接続して通信し、その別のＣＭＳは更に、別のデジタル電話ユーザ（またはマルチメディアターミナルアダプタ（ＭＴＡ））と接続して通信する。そのようなシステムにより、ユーザはインターネットのような大規模ネットワークにおいて相互に通話することが可能になる。
【０００４】
ユーザは、当然ながら安全に会話（およびデータ交換）できることを望む。しかしながら、情報が目的地に到達する前に多数のサーバ、スイッチ、ルータ、ハブ、および他の中継装置を経由するインターネットのような大規模な、一定の形をもたないネットワークにおいて、高レベルの安全性を維持することは困難である。安全性を維持する一つの方法として、通話中に利用されるメディアストリーム鍵を二つのＣＭＳに交換させる方法がある。そのような鍵を交換する方法は、従来技術の中においていくつか見られる。例えば、パケットケーブルのコールシグナリングプロトコルを利用する方法である。しかしながら、これらの方法は依然として第一ＣＭＳから第二ＣＭＳへ鍵となる材料を転送し、結果として第二ＣＭＳから第一ＣＭＳへ鍵材料を交換する必要がある。このような方法によって鍵（または他のデータ）が交換されると、鍵は中継装置に二度、公開されることになる。それぞれの中継装置が安全性に対する脅威を孕んでいるため、可能な限り鍵を中継装置に公開しないことが望ましいのである。
【０００５】
パケットケーブルの方法を利用するシステムでは、二台の電話間または、ＶｏＩＰターミナル間、またはＭＴＡ間のコールシグナリングプロトコルは、ネットワークベースのコールシグナリング（ＮＣＳ）と呼ばれる。ＭＴＡとＣＭＳとの間における各コールシグナリングのインターフェースは、そのネットワーク層で確保されている。ＶｏＩＰ接続している各ＭＴＡが、それぞれ別個のＣＭＳで制御されている場合において、ＣＭＳから他のＣＭＳへのシグナリングプロトコルは、セッション開始プロトコル（ＳＩＰ）を基盤としている。ＳＩＰ、および他の標準規格は、セッション鍵、メディアストリーム鍵のような鍵の交換、および管理を定義するために利用される。認証情報や他の関連データも同様に、セッションを開始するために転送される。前記認証情報や関連データをまとめて「鍵材料」と呼ぶ。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
本発明により、第一サーバと第二サーバとの間の通信チャネルにおいて、鍵材料が中継装置に公開されることが少なくなる。一実施形態では、第二サーバは、第一サーバからメディアストリーム鍵の第１の半分を受信する。第二サーバは、ケルベロスベースのアプリケーション要求、およびチケットを使用して、第一サーバにメディアストリーム鍵の第２の半分を伝達する。この方法の利用により、メディアストリーム鍵はサーバのみへの公開に低減することができる。
【課題を解決するための手段】
【０００７】
一実施形態において、本発明は、第一サーバと第二サーバとの間で鍵を交換する方法を提供し、前記方法において第一サーバと第二サーバとの間の通信経路に一つ以上の中継転送装置を含む。前記方法は、第二サーバにおいて、後続のデータ転送に使用されるメディアストリーム鍵の一部分を受信することと、後続のデータ転送に使用されるメディアストリーム鍵の別の部分を保護するためにセキュリティ機構を使用することと、保護されたメディアストリーム鍵の別の部分を一つ以上の中継転送装置を経由して、第一サーバへ転送することとを備える。
【発明を実施するための最良の形態】
【０００８】
図１におけるシステム１００は、第一および第二マルチメディアターミナルアダプタ（ＭＴＡ）ＭＴＡ１，ＭＴＡ２を含む。コールマネージメントサーバ（ＣＭＳ）が異なるサービスプロバイダによって提供されている。ＣＭＳ１はＭＴＡ１からデータを受信し、処理、およびシグナリングを実行し、目的とする対象との安全な通信を設定する。この場合、ＭＴＡ２が目的とする対象である。
【０００９】
一般にＶｏＩＰコールは二つの独立したＶｏＩＰサービスプロバイダ間で起こり、各サービスプロバイダはそれぞれＣＭＳを所有している。コールシグナリングメッセージは、ＣＭＳ間の中間シグナリングプロキシ（ＳＩＰプロキシと呼ばれる）の間を通してルーティングされ、さらにサービスプロバイダ間を経由してルーティングされることも可能である。
【００１０】
ＭＴＡ１より発したコールは、ＣＭＳ１により制御される。ＣＭＳ１は、コールルーティング情報を利用してＳＩＰプロキシ−Ａ１へＳＩＰメッセージを転送する。ＳＩＰプロキシ−Ａ１はメッセージをボーダープロキシ−Ａ１にルーティングする。ボーダープロキシ−Ａ１は、メッセージを中間サービスプロバイダＢへルーティングする。シグナリングメッセージは、その後、サービスプロバイダＢにあるいくつかのＳＩＰプロキシを経由し、さらにサービスプロバイダＣ内のＳＩＰプロキシを経由してルーティングされる。メッセージは最終的にＣＭＳ２および目的地であるＭＴＡ２に到達する。
【００１１】
中間プロキシの数には制限がなく、いくつ使用してもよいことに注意されたい。一般に中間、または中継プロキシは、シグナリングメッセージ、または他の情報を受信して中継する装置、或いは処理過程となり得る。中間シグナリングプロキシの使用に関する説明は、例えば、１９９９年３月にインターネットエンジニアリングタスクフォースによる発行文書（ＩＥＴＦ  Ｒｅｑｕｅｓｔ  ｆｏｒ  Ｃｏｍｍｅｎｔｓ）２５４３、「ＳＩＰ：セッション開始プロトコル（ＳＩＰ：Ｓｅｓｓｉｏｎ  Ｉｎｉｔｉａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）」において記述されている。本参考文献は、あらゆる目的に対して参照によりその全容が本願において記載されているかのように援用される。
【００１２】
好適な実施形態では、パケットケーブルのシグナリングアーキテクチャが使用される。
パケットケーブルアーキテクチャは、各ＣＭＳおよびＳＩＰプロキシが相手先の電話番号の検索を実行し、その結果、ＳＩＰシグナリングメッセージを転送すべき、次のホストのアドレスを取得するように想定されている。前記の次のホストとは、着信先のＣＭＳであってもよいし、またはある中間ＳＩＰプロキシであってもよい。あるＳＩＰプロキシが異なるシグナリングドメインにある、別のＳＩＰプロキシと接続通信する場合、前記のあるＳＩＰプロキシは、ボーダープロキシと呼ばれる。単独のＶｏＩＰサービスプロバイダは、一般に一つ以上のシグナリングドメインから成り得る。
【００１３】
通常、コール発信元のＭＴＡがシグナリングメッセージを開始すると、その開始メッセージには、セッションにおいて使用される鍵材料の半分が含まれている。コールに応答するＭＴＡは、図１の例ではＭＴＡ２だが、鍵材料の別の半分で応答する。ＭＴＡのどちらか一方にでもメッセージ内に鍵材料を含むと、その鍵材料は二つのＣＭＳに公開されるだけでなく、それぞれ中間にあるプロキシにも公開されることになる。各ＳＩＰプロキシは信頼のおけるサービスプロバイダによって所有、運用されてはいるが、このようなシグナリングアーキテクチャは、メディアストリーム鍵を実質、多数のノードに公開してしまうことになる。これら多数のノードの内の一つにでも安全性に不備があると、メディアストリームにおけるプライバシーが侵害される危険性がある。
【００１４】
ＭＴＡ１が鍵材料の一部分（例えば、鍵材料の半分）を生成し、ＣＭＳ１へ送信するときには、ＣＭＳ１はＣＭＳ２を識別する情報を知らないため、中間ＳＩＰプロキシを介して鍵材料を送らざるを得ない。しかしながら、ＣＭＳ２が最初のコールシグナリングメッセージを受信した後には、メディアストリーム鍵の半分のみ、中間のＳＩＰプロキシに公開される。
【００１５】
この時点では、どのＳＩＰプロキシもメディアストリーム鍵を完全に所有していないことになる。また、ＣＭＳ２はＣＭＳ１を識別している。ＣＭＳ２はこの時点で、ＣＭＳ１に応答する前に残りの半分の鍵を暗号化することが可能である。返信シグナリングメッセージがＳＩＰプロキシを通して返信されても、関連するメディアストリーム鍵管理の材料は、ＣＭＳ１のみが復号可能である（その後、ＭＴＡ１へ転送される）ように暗号化されている。パケットケーブルアーキテクチャにおいて、ＣＭＳ２からＣＭＳ１へ返信される最初のシグナリングメッセージは、中間のＳＩＰプロキシを介してルーティングされるため、上記の方法はアプリケーション層のセキュリティにおいて実現される。
【００１６】
ＣＭＳ２にあるメディアストリーム鍵の別の半分を保護する一つの方法として、ＣＭＳ２がＣＭＳ１のデジタル証明書を調べ、その証明書をもとに鍵材料を暗号化することが考えられる。このような方法による処理速度を改善するため、一つ以上のＣＭＳにおいて暗号アクセラレータを利用することができる。
【００１７】
また別の方法では、ＣＭＳ１およびＣＭＳ２は予め、ある対称鍵を取り決めておき、ＣＭＳ２はその対称鍵を使用してメディアストリーム鍵の半分を暗号化することもできる。この方法では、ＣＭＳは、既に必要であるアイピーセック（ＩＰＳｅｃ）を用いた鍵のテーブルに加えて、アプリケーション層に対する別の暗号鍵のテーブルを用意する必要がある。この方法における不都合は、鍵を取得、および維持することにより、より大きな処理オーバヘッドを要することである。
【００１８】
本発明における好適な実施形態は、一般によく知られている認証サービスである、ケルベロスを使用する。パケットケーブルアーキテクチャは、ＩＰＳｅｃ、および鍵の生成の両方に対してケルベロスを用いた鍵管理を利用しているため、標準的なシステムにおける各ＭＴＡ、およびＣＭＳはケルベロスに対するサポートを有していることが期待される。注意すべきは、好適な実施形態ではケルベロスによる認証機構を使用しているが、本発明
において他の認証サービス、または安全なデータ転送技術も使用することができることである。ケルベロスの鍵管理プロトコルについての詳細は、例として、１９９３年９月のＩＥＴＦの発行文書１５１０、「ケルベロスによるネットワーク認証サービス（Ｔｈｅ  Ｋｅｒｂｅｒｏｓ  Ｎｅｔｗｏｒｋ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｓｅｒｖｅｉｃｅ（Ｖ５）」において見られる。
【００１９】
図２は、ケルベロスが相互に通信するＣＭＳ間、およびＳＩＰプロキシ間において、ＩＰＳｅｃによるセキュリティアソシエーション（ＳＡ）を確立する方法の概観を示す。ここでＩＰＳｅｃによるＳＡは、ＩＰパケットの暗号化、および認証に使用する一対の共有鍵を含む。図２では、第一ＣＭＳ１は、鍵配布センター（ＫＤＣ）に対して自身を認証することを示している。ＫＤＣは信頼のおける認証局であり、各クライアントと共に対称鍵を共有する。この認証は、ＫＤＣに認証要求（ＡＳ）かチケット保証サービス（ＴＧＳ）要求メッセージのどちらかを送信することにより証明される。ＫＤＣは同様にＣＭＳ１に対し、返信メッセージ（ＡＳ  Ｒｅｐｌｙ、またはＴＧＳ  Ｒｅｐｌｙ）により自分自身の認証を行い、その返信メッセージにケルベロスチケットを含む。
【００２０】
ケルベロスチケットはデジタル証明書と似ている。デジタル証明書の所有者はその証明書を使用して、第三者に対して自分自身の身元を証明することができる。あらゆるタイプのデジタル証明書でも、代わりに使用可能である。しかしながら、ケルベロスチケットは通常のデジタル証明書とは違い、そのチケットに指定された特定のサーバのみに対する認証に使用することができる。チケットは更に、より高速な対称鍵暗号技術を使用して暗号化することが可能であり、デジタル証明書の場合に比べて、より軽減されたオーバヘッドを有し得る。
【００２１】
本発明における好適な実施形態では、ケルベロスチケットを使用しているが、他の実施形態では異なるセキュリティ機構を使用することも可能である。例えば、他の（つまりケルベロスではない）チケット機構を使用することができる。チケット、証明書、認証子、デジタル署名、または他のセキュリティ機構は、本発明の好適な実施形態におけるセキュリティ機構の代わりに、または補完的に使用可能である。
【００２２】
ＣＭＳ１はチケットを受信した後、ＣＭＳ１はＣＭＳ２に対して認証することができ、同様にＣＭＳ２もＣＭＳ１に対して自信を認証することで、共有する一対のＩＰＳｅｃ鍵を確立することができる。ケルベロス化したＩＰＳｅｃは、例えば、２０００年１２月発行のケーブルラボ社（Ｃａｂｌｅ  Ｔｅｌｅｖｉｓｉｏｎ  Ｌａｂｏｒａｔｏｒｉｅｓ、
Ｉｎｃ．）の「パケットケーブルのセキュリティ仕様（ＰａｃｋｅｔＣａｂｌｅＴＭ  Ｓｅｃｕｒｉｔｙ  Ｓｐｅｃｉｆｉｃａｔｉｏｎ）」ＰＫＴ−ＳＰ−ＳＥＣＩ０２−００１２２９において詳細に説明されている。
【００２３】
好適な実施形態では、ＣＭＳ２はＣＭＳ１に対するケルベロスチケットを取得することができ、そのチケットを使用してメディアストリーム鍵の半分並びに選択した暗号アルゴリズムおよびデータ（即ち、暗号化機構）を暗号化し、認証する。機構その結果生成されたケルベロス認証子、メディアストリーム鍵、および選択した暗号化機構は、元のようにセッション記述プロトコル（ＳＤＰ）のオプション内に返される。この場合では、ＣＭＳ２がＣＭＳ１のチケットを取得していることになるが、図２に示されている場合とは逆になっていることに注意されたい。
【００２４】
図３はケルベロス構造におけるＫＲＢ−ＰＲＩＶメッセージ内にある暗号化、および認証済みのメディアストリーム鍵管理情報を示す。ＫＲＢ−ＰＲＩＶ構造は、ケルベロスチケットを含むケルベロスのアプリケーション（ＡＰ）要求オブジェクトに続いて構成されている。説明図を簡略化するため、関連するケルベロスオブジェクトのみ、ここに説明す
る。ケルベロスサービスに関する詳細は、引用文献、および他の適当な参考文献に説明されている。チケット自身は、ＣＭＳ１およびＫＤＣとの間においてのみ共有される対称型サービス鍵を使用して暗号化されるが、そのチケットはＣＭＳ２、またはネットワーク内のその他のノードには利用できない。従って、この特定のチケットはＣＭＳ１（ＳＤＰ情報に含まれている、目的とする対象）によって、複合化、および確認されるがＣＭＳ２によって変更されることはない。ＣＭＳ２はそのチケットを複合化するのに必要なサービス鍵を所有していない。つまり、ＣＭＳ２、チケットの所有者はチケット内の情報を気付かれることなく、改竄することはできない。前述したように、チケットに代わるセキュリティ機構の実施形態として、デジタル証明書、または、他のセキュリティ保護機構も使用可能である。
【００２５】
チケットは、対称型セッション鍵を含む。ＣＭＳ２はチケットの複合化、およびチケットの内容を読取ることはできないが、そのチケット内に、ＫＤＣにより安全にＣＭＳ２に（例えば、ＡＳ  Ｒｅｐｌｙ、またはＴＧＳ  Ｒｅｐｌｙメッセージ内に含むことにより）転送されたセッション鍵と全く同一なコピーを有する。ＣＭＳ２は既にセッション鍵を所有し、ＣＭＳ１はチケットを複合化、およびチケットからセッション鍵を取出すことが可能である。一旦、ＣＭＳ１がこのチケットを受信すれば、ＣＭＳ１はＣＭＳ２とセッション鍵を共有し得る。
【００２６】
本発明における好適な実施形態では、セッション鍵を使用して、メディアストリーム鍵の半分、および選択した暗号化機構を含むメディアストリーム鍵管理情報の暗号化、および認証の両方を行う。チケットは、ＣＭＳ１が鍵管理データの複合化、および有効性の確認に必要なセッション鍵を取出すことができるように、前記の安全な情報と共に送られる。しかしながら、完全なケルベロス認証を行うには、チケットのみを送るだけでは充分ではない。ＣＭＳ２がＣＭＳ１に対して自身を認証するために、ＣＭＳ２はＡＰ要求（ＡＰ
Ｒｅｑｕｅｓｔ）（チケットを含む）を送信しなければならない。
【００２７】
本ソリューションにより導入される唯一の付加メッセージは、ＣＭＳ１に対するケルベロスチケットを取得するための、ＣＭＳ２とＫＤＣとの間の相互のやりとりである。しかしながら、ケルベロスチケットは、通常、有効期限が切れるまでキャッシュに格納されるか再利用される。ケルベロスチケットは、パケットケーブルでは１週間存続する。それ故、このために生じるオーバヘッドは、コールの内、ほんの数パーセントに影響するのみであろう。更に、ＣＭＳ２とＣＭＳ１はまた、あるシグナリングメッセージを直接交換することから、結局ＩＰＳｅｃによるＳＡを必要とし、そのため同じケルベロスチケットが再利用され得る。
【００２８】
好適な実施形態では、チケットは、ＫＤＣによりクライアントに配布される認証トークンである。数ある情報の内、チケットはクライアント名、特定のサーバ名、およびセッション鍵（対称型暗号鍵）を含む。クライアント名とセッション鍵は、秘密にしておく必要があり、サービス鍵と呼ばれる別の鍵により暗号化される。サービス鍵は秘密鍵であり、ＫＤＣ、およびチケットに指定されているサーバのみが知っている。クライアントは、サービス鍵を所有していないため、チケットを復号、およびチケットの内容を変更することはできない。通常、クライアントはセッション鍵も知る必要があり、クライアントはチケットからセッション鍵を取出せないため、ＫＤＣはクライアントに別個の同一なセッション鍵のコピーを送信する。
【００２９】
チケットによりメッセージを認証するため、クライアントはそのメッセージ内にチケットと、チケット内にあるセッション鍵を使用して算出した鍵付きチェックサムを有する、認証子の両方を含む。ここでチケット内のセッション鍵はサーバのサービス鍵により暗号化されていることに注意されたい。チケットに記録されているサーバがクライアントから
このメッセージを受信すると、サーバはサービス鍵によりチケットを復号化し、クライアント名の確認、およびセッション鍵を取得することができる。セッション鍵は、続いて鍵付きチェックサムを確認するために使用され、結果、メッセージの身元が証明される。
【００３０】
以上のように、本発明により鍵材料の公開を低減することができる。本発明はケルベロスに関して論じてきたが、他の実施形態では別の認証方法を利用することも可能である。しかしながら、ケルベロスはパケットケーブルのセキュリティアーキテクチャにおいて、不可欠な部分であり、それ故、ケルベロスを使用すると、新しいプロトコルや、新しい鍵管理体制を導入する必要がない。更に、ケルベロスは鍵管理に対するソリューションをも提供し、それによりＰＫＩ（公開鍵基盤）に付随するオーバヘッドを避けることができる。これは、メディアストリーム鍵が中間にあるネットワーク構成要素において公開される問題に対し、効果的なソリューションを提供する。
【００３１】
本発明の実施形態は、パケットケーブルアーキテクチャに基づいたシステムである必要はないことに注意されたい。本発明の範囲は、添付の特許請求の範囲においてのみ確定するものとされる。
【図面の簡単な説明】
【００３２】
【図１】サービスプロバイダ間のシグナリング経路の説明図。
【図２】セキュリティアソシエーションの確立を示す概観図。
【図３】ケルベロス構造内における暗号化、および認証されたメディアストリーム鍵管理情報を示す図。
【図１】
2005521355.tif 000003
【図２】
2005521355.tif 000004
【図３】
2005521355.tif 000005
【国際調査報告】
2005521355.tif 000006
2005521355.tif 000007