(57)【要約】【課題】様々な状況において認証の速度を増大させるシステムおよび方法を提供する。【解決手段】好ましい実施形態は、２つのＥＡＰ実行を同時に用いて総認証遅延を低減することを含む、移動ノードのネットワークとの認証遅延を低減する新規なシステムおよび方法を提供する。いくつかの実施形態では、２つのＥＡＰ実行が、ＰａＣの特定の機器識別子を認証するのに用いられる。いくつかの例示的実施形態では、２つのＥＡＰ実行が、複数のＩＳＰを同時に接続することに関連してＰａＣの特定の機器識別子を認証するのに用いられる。【選択図】図３
2011234394.tif 000002
【特許請求の範囲】
【請求項１】
認証クライアントと認証エージェントとの認証遅延を低減する方法において、
ＰＡＮＡ認証クライアント（ＰａＣ）とＰＡＮＡ認証エージェント（ＰＡＡ)との間に複数の同時かつ独立のデータトラフィックセッションを確立し、
当該データトラフィックセッションは、アクセスネットワーク内の別個のプロバイダへの独立のデータトラフィックセッションに関連しており、
前記データトラフィックセッションは２つのＥＡＰ実行を同時に用いて確立されており、
前記２つのＥＡＰ実行は、同時に複数のサービスプロバイダとの接続に関連してＰａＣの特定の機器識別子を認証するのに用いられており、
ＰａＣの同じ機器識別子のためにＰａＣとＰＡＡとの間の複数のＰＡＮＡセッションを確立することを含む方法。
【請求項２】
更に、前記データトラフィックセッションは、前記ＰＡＮＡ認証クライアントと接続された別個のユーザ機器からの独立のデータトラフィックセッションに関連している請求項１に記載の方法。
【請求項３】
前記２つのＥＡＰ実行は、ＰａＣ上の複数のユーザに関連してＰａＣの特定の機器識別子を認証するのに用いられる請求項２に記載の方法。
【請求項４】
前記複数のＰＡＮＡセッションは、複数のＰＡＮＡセッションの間で暗号対応付けを作成し、複数のＰＡＮＡセッションのそれぞれにＥＰの同じＰａＣ−ＥＰマスタ鍵を共用することを含む請求項１記載の方法。
【請求項５】
前記複数のＰＡＮＡセッションは、複数のＰＡＮＡセッションのそれぞれにＥＰの異なるＰａＣ−ＥＰマスタ鍵を生成し、前記複数のセッションのそれぞれに異なるセキュリティアソシエーションを確立することを含む請求項１の方法。
【請求項６】
前記複数のＰＡＮＡセッションは、各ＰＡＮＡセッションごとにＩＰｓｅｃセキュリティアソシエーションを作成することとをさらに含む請求項５に記載の方法。
【請求項７】
ピアに前記認証の状況を知らせる新しい認証状況ＡＶＰを提供することをさらに含む、請求項１に記載の方法。
【請求項８】
ＰＡＮＡ開始要求（ＰＳＲ）で新しい認証状況ＡＶＰの型、長さ、値を提供することをさらに含む、請求項１に記載の方法。
【請求項９】
前記ＰＳＲ内のＳフラグが、ＮＡＰとＩＳＰの別個の認証を不可にするように設定されず、前記ＰＳＲと後続のＰＡＮＡメッセージでＮフラグが設定されない、請求項８に記載の方法。
【請求項１０】
ＰａＣに、ＰＡＡの新しいセッションを作成するためのＰＡＮＡ  ＰＡＡ探索メッセージを送信させることと、および前記ＰＡＡの他のセッションに割り当てられたものと異なる新しいＵＤＰ送信元ポート番号を割り当てることとをさらに含む、請求項１に記載の方法。
【請求項１１】
ＰＡＡが、ＰａＣの新しいセッションを作成するためのＰＳＲを送信請求なしで送信するときには、前記ＰａＣの他のセッションに割り当てられているものと異なる新しいＵＤＰ宛先ポート番号が割り当てられることをさらに含む、請求項１に記載の方法。
【請求項１２】
異なるセッションでは異なるＥＡＰ認証方法と資格情報を使用することをさらに含む、請求項１に記載の方法。
【請求項１３】
ＰＡＮＡ条件付き成功に関連する新しい結果コードと、１つまたは複数のセッションＩＤ  ＡＶＰを含む新しいＡＶＰを提供することと、従属セッションのＰＡＮＡ対応付け要求（ＰＢＲ）に前記新しい結果コードを搬送させることとをさらに含む、請求項１に記載の方法。
【請求項１４】
ＥＰのＰａＣ−ＥＰマスタ鍵が、従属セッションのＡＡＡ鍵から導出されないことをさらに含む、請求項１３に記載の方法。
【請求項１５】
前記ＰＡＡに、従属セッションを暗号化して対応付けするための新しいセッションを作成させることと、前記新しいセッションを作成した後で前記ＰＡＡにＰＳＲを送信することとをさらに含む、請求項１３に記載の方法。
【請求項１６】
前記新しいセッションのＰＡＮＡ開始応答を受信した後で、前記ＰＡＡが、ＰＡＮＡ認証要求／ＰＡＮＡ認証応答を交換せずに、直ちにＰＢＲを送信することをさらに含む、請求項１５に記載の方法。
【請求項１７】
ＰＡＮＡ認証エージェント（ＰＡＡ）との認証遅延を低減するＰＡＮＡ認証クライアント（ＰａＣ）であって、
ＰＡＡとの間に複数の同時かつ独立のデータトラフィックセッションを確立することによってアクセスネットワーク内のＰＡＡとの２つＰＡＮＡセッションを同時に実行し、前記データトラフィックセッションはアクセスネットワーク内の別個のプロバイダへの独立のデータトラフィックセッションに関連しており、
前記データトラフィックセッションは２つのＥＡＰ実行を同時に用いて確立されており、
前記２つのＥＡＰ実行は、同時に複数のサービスプロバイダとの接続に関連してＰａＣの特定の機器識別子を認証するのに用いられており、
ＰａＣの同じ機器識別子のためにＰａＣとＰＡＡとの間の複数のＰＡＮＡセッションを確立するＰＡＮＡ認証クライアント。
【請求項１８】
ＰＡＮＡ認証クライアント（ＰａＣ）との認証遅延を低減するＰＡＮＡ認証エージェント（ＰＡＡ）であって、
ＰａＣとの間に複数の同時かつ独立のデータトラフィックセッションを確立することによってアクセスネットワーク外のＰａＣとの２つＰＡＮＡセッションを同時に実行し、前記データトラフィックセッションはアクセスネットワーク内の別個のプロバイダへの独立のデータトラフィックセッションに関連しており、
前記データトラフィックセッションは２つのＥＡＰ実行を同時に用いて確立されており、
前記２つのＥＡＰ実行は、同時に複数のサービスプロバイダとの接続に関連してＰａＣの特定の機器識別子を認証するのに用いられており、
ＰａＣの同じ機器識別子のためにＰａＣとＰＡＡとの間の複数のＰＡＮＡセッションを確立するＰＡＮＡ認証エージェント。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、無線ネットワーキングに関し、いくつかの好ましい実施形態では、無線ネットワークなどにおいて複数のＰＡＮＡセッションを実行するシステムおよび方法に関する。
【背景技術】
【０００２】
２００４年１月２２日に出願された、Yoshihiro Ohbaらによる、「ＩＰアクセスネットワークを用いたマルチホーミング及びサービスネットワーク選択（Serving Network Selection And Multihoming Using IP Access Network）」という名称の米国特許出願第１０／７６１３４７号（整理番号第３１１９−１０２号）明細書の全内容を、参照により本明細書に組み込む。加えて、以下の文献の全内容もまた、本発明の背景技術として、参照により全体として本明細書に組み込むものである。
【０００３】
1. D. Forsberg, et al., “Protocol for Carrying Authentication for Network Access (PANA)”, draft-ietf-pana-pana, work in progress, June?2003.
2. S. Deering, “ICMP Router Discovery Messages", RFC 1256, September 1991.
3. T. Narten, et al., "Neighbor Discovery for IP Version 6 (IPv6)", RFC 2461, December 1998.
4. D. Harkins and D. Carrel, "The Internet Key Exchange (IKE)", RFC 2409, November 1998.
5. C. Kaufman, "Internet Key Exchange (IKEv2) Protocol", draft-ietf-ipsec-ikev2, work in progress, October 2003.
6. L. Blunk and J. Vollbrecht, "PPP Extensible Authentication Protocol (EAP)", RFC 2284, March 1998.
7. B. Aboba, et al., "EAP Key Management Framework", draft-ietf-eap-keying, work in progress, October 2003.
8. M. Parthasarathy, "PANA enabling IPsec based Access Control", draft-ietf-pana-ipsec, work in progress, October 2003.
9. Troan and R. Droms, "IPv6 Prefix Options for DHCPv6", draft-ietf-dhc-dhcpv6-opt-prefix-delegation, work in progress, October 2003.
10. C. Perkins, "IP Mobility Support for IPv4", RFC 3344, August 2002.11. D. Johnson, et al., "Mobility Support in IPv6", draft-ietf-mobileip-ipv6, work in progress。
【０００４】
一般背景検討
ネットワーク及びインターネット（登録商標）プロトコル  多様なコンピュータネットワークがあり、インターネットは最も有名である。インターネットは、コンピュータネットワークの世界規模のネットワークである。今日、インターネットは、何百万人ものユーザが利用可能な、公衆の自律的ネットワークである。インターネットは、ＴＣＰ／ＩＰ（すなわち、伝送制御プロトコル／インターネットプロトコル）と呼ばれる１組の通信プロトコルを使って各ホストを接続する。インターネットは、インターネットバックボーンとして呼ばれる通信インフラストラクチャを有する。インターネットバックボーンへのアクセスは大部分企業及び個人へのアクセスを再販するインターネットサービスプロバイダ（ＩＳＰ）によって制御される。
【０００５】
ＩＰ（インターネットプロトコル）に関して、これは、ネットワーク上である装置（電話機、ＰＤＡ［携帯情報端末］、コンピュータなど）から別の装置にデータを送るためのプロトコルである。今日、ＩＰｖ４、ＩＰｖ６などを含めて、様々なＩＰのバージョンがある。ネットワーク上の各ホスト装置は、独自の一意の識別子である少なくとも１つのＩＰアドレスを有する。
【０００６】
ＩＰはコネクションレス型プロトコルである。通信時の端点間接続は連続的ではない。ユーザがデータ又はメッセージを送信し、又は受信するとき、データ又はメッセージは、パケットと呼ばれる構成要素に分割される。各パケットは、独立のデータ単位として扱われる。
【０００７】
インターネットなどのネットワークを介した各点間の伝送を標準化するために、ＯＳＩ（開放型システム間相互接続）モデルが確立された。ＯＳＩモデルは、ネットワーク中の２点間の通信プロセスを７つの階層に分け、各層（レイヤ）は独自の機能セットを付加する。各装置は、送信側端点では各層を通る下方への流れがあり、受信側端点では各層を通る上方への流れがあるようにメッセージを処理する。７つの機能層を提供するプログラミング及び／又はハードウェアは、通常、デバイスオペレーティングシステム、アプリケーションソフトウェア、ＴＣＰ／ＩＰ及び／又は他のトランスポート及びネットワークプロトコル、並びに他のソフトウェア及びハードウェアの組み合わせである。
【０００８】
通常、上位４層は、メッセージがユーザから、又はユーザへ渡されるときに使用され、下位３層は、メッセージが装置（ＩＰホスト装置など）を通過するときに使用される。ＩＰホストは、サーバ、ルータ、ワークステーションなど、ＩＰパケットを送受信することのできるネットワーク上の任意の装置である。他の何らかのホストに向けられているメッセージは、各上位層には渡されず、この他のホストに転送される。ＯＳＩ及び他の同様なモデルにおいて、ＩＰは第３層におけるネットワーク層である。
【０００９】
無線ネットワーク：
無線ネットワークは、例えば、セルラ及び無線電話機、ＰＣ（パーソナルコンピュータ）、ラップトップコンピュータ、装着型コンピュータ、コードレス電話機、ポケットベル、ヘッドセット、プリンタ、ＰＤＡなど、多種多様なモバイル機器を組み込むことができる。例えば、モバイル機器は、音声及び／又はデータの高速無線伝送を確保するデジタルシステムを含むことができる。典型的なモバイル機器は、次の構成要素の一部又は全部、即ち送受信機（すなわち、例えば、送信機、受信機及び、必要に応じて、他の機能が統合されたシングルチップ送受信機などを含む、送信機及び受信機）、アンテナ、プロセッサ、１つ又は複数の音声変換器（例えば、音声通信用機器でのスピーカやマイクロホンなど）、電磁データ記憶（データ処理が提供される機器の場合などでの、ＲＯＭ、ＲＡＭ、デジタルデータ記憶など）、メモリ、フラッシュメモリ、フルチップセット又は集積回路、インターフェース（ＵＳＢ、ＣＯＤＥＣ、ＵＡＲＴ、ＰＣＭなど）及び／又は同種のものを含む。
【００１０】
モバイルユーザが無線接続を介してローカルエリアネットワーク（ＬＡＮ）に接続することのできる無線ＬＡＮ（ＷＬＡＮ）が、無線通信に用いることができる。無線通信には、例えば、光、赤外線、電波、マイクロ波などの電磁波を介して伝搬する通信などを含むことができる。現在、ブルートゥース（登録商標）、ＩＥＥＥ８０２．１１、ＨｏｍｅＲＦなど、様々なＷＬＡＮ標準が存在する。
【００１１】
一例として、ブルートゥース製品は、モバイルコンピュータ、モバイル電話機、携帯式ハンドヘルド機器、携帯情報端末（ＰＤＡ）、及び他のモバイル機器の間のリンク、ならびにインターネットへの接続を提供するのに使用できる。ブルートゥースは、モバイル機器が、短距離無線接続を使って、相互に、また非モバイル機器と、どのようにして容易に相互接続し合うことができるかを詳述するコンピュータ及び電気通信業界仕様である。ブルートゥースは、ある機器と別の機器との間でデータを同期させ、整合させ続けることを必要とする、様々なモバイル機器の普及から生じるエンドユーザ問題に対処して、異なるベンダからの装置を相互にシームレスに動作させるデジタル無線プロトコルを作成する。ブルートゥース機器は、共通の命名概念に従って命名できる。例えば、ブルートゥース機器は、ブルートゥース機器名（ＢＤＮ）又は一意のブルートゥース機器アドレス（ＢＤＡ）に関連付けられた名前を持ち得る。また、ブルートゥース機器は、インターネットプロトコル（ＩＰ）ネットワークに参加することもできる。ブルートゥース機器がＩＰネットワーク上で機能する場合、この機器は、ＩＰアドレス及びＩＰ（ネットワーク）名を備え得る。よって、ＩＰネットワークに参加するように構成されたブルートゥース機器は、ＢＤＮ、ＢＤＡ、ＩＰアドレス及びＩＰ名などを含むことができる。「ＩＰ名」という用語は、インターフェースのＩＰアドレスに対応する名前を指す。
【００１２】
ＩＥＥＥ標準であるＩＥＥＥ８０２．１１は、無線ＬＡＮ及び機器の技術の仕様を定める。８０２．１１を使えば、各単一基地局がいくつかの機器をサポートする無線ネットワークが実現できる。いくつかの例では、機器に無線ハードウェアが事前装備されていることもあり、ユーザが、アンテナを含み得る、カードなどの別個のハードウェアをインストールすることもできる。例えば、８０２．１１で使用される機器は、通常、機器がアクセスポイント（ＡＰ）であるか、移動局（ＳＴＡ）であるか、ブリッジであるか、ＰＣＭＣＩＡカードであるか、それとも別の機器であるか否かを問わず、無線送受信機、アンテナ、及びネットワークにおける各点間のパケットの流れを制御するＭＡＣ（媒体アクセス制御）層という３つの注目すべき要素を含む。
【００１３】
更に、いくつかの無線ネットワークでは、複数インターフェース機器（ＭＩＤ）が利用できる。ＭＩＤは、ブルートゥースインターフェースと８０２．１１インターフェースなど、２つの独立のネットワークインターフェースを含むことができ、よって、ＭＩＤが２つの別個のネットワーク上に参加すると同時に、ブルートゥース機器ともインターフェースすることが可能になる。ＭＩＤは、ＩＰアドレス、及びＩＰアドレスに関連付けられた共通ＩＰ（ネットワーク）名を持つことができる。
【００１４】
無線ネットワーク機器には、それだけに限らないが、ブルートゥース機器、複数インターフェース機器（ＭＩＤ）、８０２．１１ｘ機器（８０２．１１ａ、８０２．１１ｂ、８０２．１１ｇ機器などを含む、ＩＥＥＥ８０２．１１機器）、ＨｏｍｅＲＦ（家庭内無線周波数）機器、Ｗｉ−Ｆｉ（Wireless Fidelity）機器、ＧＰＲＳ（汎用パケット無線システム）機器、３Ｇセルラ機器、２．５Ｇセルラ機器、ＧＳＭ（登録商標）（移動通信用グローバルシステム）機器、ＥＤＧＥ（Enhanced Data for GSM Evolution）機器、ＴＤＭＡ型（時分割多重接続）機器、又はＣＤＭＡ２０００を含むＣＤＭＡ型（符号分割多重接続）機器が含めることができる。各ネットワーク機器は、それだけに限らないが、ＩＰアドレス、ブルートゥース機器アドレス、ブルートゥース共通名、ブルートゥースＩＰアドレス、ブルートゥースＩＰ共通名、８０２．１１ＩＰアドレス、８０２．１１ＩＰ共通名、ＩＥＥＥ  ＭＡＣアドレスを含む、様々な種類のアドレスを含むことができる。
【００１５】
また、無線ネットワークは、例えば、モバイルＩＰ（インターネットプロトコル）システム、ＰＣＳシステム、及び他のモバイルネットワークシステムにおいて見られる方法及びプロトコルも関与できる。モバイルＩＰでは、これに、インターネット技術標準化委員会（ＩＥＴＦ）によって作成された標準通信プロトコルが関与する。モバイルＩＰでは、モバイル機器ユーザは、これらの一旦割り当てられたＩＰアドレスを維持しつつ、各ネットワークにまたがって移動することができる。コメント要求（ＲＦＣ）３３４４を参照されたい。（注：ＲＦＣはインターネット技術標準化委員会（ＩＥＴＦ）の公式文書である。）モバイルＩＰは、インターネットプロトコル（ＩＰ）を拡張し、モバイル機器のホームネットワーク外部に接続するときに、モバイル機器にインターネットトラフィックを転送する手段を付加する。モバイルＩＰは、各モバイルノードに、これのホームネットワーク上のホームアドレスと、ネットワーク及びこれのサブネット内の機器の現在位置を識別する気付アドレス（ＣｏＡ）を割り当てる。機器が異なるネットワークに移動すると、機器は、新しい気付アドレスを受け取る。ホームネットワーク上のモビリティエージェントは、各ホームアドレスを、これの気付アドレスと関連付けることができる。モバイルノードは、インターネット制御メッセージプロトコル（ＩＣＭＰ）などを使って、これの気付アドレスを変更する都度ホームエージェントにバインディング更新を送ることができる。
【００１６】
基本ＩＰルーティング（即ち、外部モバイルＩＰ）において、ルーティング機構は、各ネットワークノードが、常に、インターネットなどへの一定の接続点を有し、かつ各ノードのＩＰアドレスが、これが接続されているネットワークリンクを識別するという仮定を利用する。本明細書において、「ノード」という用語は、例えば、データ伝送のための再配信点や端点などを含むことができ、他のノードへの通信を認識し、処理し、及び／又は転送することのできる接続点を含む。例えば、インターネットルータは、機器のネットワークを識別するＩＰアドレスなどを調べることができる。次いで、ネットワークレベルにおいて、ルータは、特定のサブネットを識別するビットセットを調べることができる。次いで、サブネットレベルにおいて、ルータは、特定の機器を識別するビットセットを調べることができる。典型的なモバイルＩＰ通信の場合、ユーザが、例えば、インターネットなどからモバイル機器を切断し、これを新しいサブネットで再接続しようとする場合、機器は、新しいＩＰアドレス、適正なネットマスク及びデフォルトのルータを用いて再構成する必要がある。そうでなければ、経路指定プロトコルは、パケットを適正に配信することができないはずである。
【００１７】
メディア独立の事前認証：
メディア独立の事前認証（ＭＰＡ）は、任意のリンク層を介して、任意のモビリティ管理プロトコルと共に動作する、モバイル支援型の、確実なハンドオーバ最適化方式である。ＭＰＡを用いれば、移動ノードは、候補ターゲットネットワーク（ＣＴＮ）のＩＰアドレスと他の構成パラメータを確実に獲得することができるだけでなく、ＣＴＮに実際に接続する前に、獲得したＩＰアドレスを使ってＩＰパケットを送受信することもできる。これは、移動ノードが、リンク層におけるハンドオーバを実行する前に、任意のモビリティ管理プロトコルの対応付け更新を完了し、新しい気付アドレス（ＣｏＡ）を使用することを可能にする。
【００１８】
ＭＰＡは、任意のリンク層を介して、モバイルＩＰｖ４、モバイルＩＰｖ６、ＭＯＢＩＫＥ、ＨＩＰ、ＳＩＰモビリティなどを含む任意のモビリティ管理プロトコルと共に動作する。ＭＰＡでは、ＩＥＥＥ８０２．１１ｉ事前認証の概念が、上位層で動作するように拡張され、移動端末がそこに移動できるネットワークからのＩＰアドレスの早期獲得と、移動端末がまだ現在のネットワークに接続されている間にネットワークへの事前対応型ハンドオーバとを実行する追加機構を組み込んでいる。
【００１９】
ＭＰＡをサポートする移動ノード（ＭＮ）は、認証エージェント（ＡＡ）との事前認証プロセスを開始する。正常な認証により、ＰＡＮＡ認証エージェント（ＰＡＡ）が、ＡＡとセキュリティアソシエーションを確立することが可能になる。これが、ＩＰアドレスと他の構成パラメータを移動ノードに確実に配信するための構成プロトコルを確実に実行するのに使用される構成エージェント（ＣＡ）と、移動ノードへの事前対応型ハンドオーバトンネルを確立するためのトンネル管理プロトコルを確実に実行するアクセスルータ（ＡＲ）に加わる。この全プロセスが、ＭＮが現在の接続点に接続されるときに実行される。これは、参照によりこれの開示が本明細書に組み込まれる、２００６年３月の「draft-ohba-mobopts-mpa-framework-02.txt」と、２００６年１０月２２日の「draft-ohba-mobopts-mpa-framework-03.txt」で詳細に説明されている。
【００２０】
確実なネットワークアクセスサービスを提供することは、クライアントとアクセスネットワークの認証と許可に基づくアクセス制御を必要とする。クライアントからネットワークへの認証は、実行点を通るトラフィックフローを規制するのに必要とされるパラメータを提供する。クライアントとアクセスネットワークの間で認証方法を搬送するプロトコルが必要とされる。
【００２１】
ＰＡＮＡは、ネットワークアクセス認証方法のためのリンク層不可知トランスポートを提供する。拡張可能認証プロトコル（ＥＡＰ）［参照により全体が本明細書に組み込まれるＲＦＣ３７４８を参照］は、かかる認証方法を提供する。これに関して、ＰＡＮＡは、様々な認証方法を搬送することのできるＥＡＰを搬送する。ＩＰより上でのＥＡＰのトランスポートを可能にすることによって、ＥＡＰ方法として伝えることができる任意の認証方法がＰＡＮＡから、したがって、任意のリンク層技術から利用可能になる。
【００２２】
ＰＡＮＡプロトコル［I-D.ietf-pana-pana］は、アクセスネットワーク内のＰａＣ（ＰＡＮＡクライアント）とＰＡＡ（ＰＡＮＡ認証エージェント）の間でＥＡＰメッセージを伝送する。ＰａＣがモバイル機器であり、これのアプリケーションを実行する間に、あるアクセスネットワークから別のアクセスネットワークに移動することができる場合、このＰａＣが、ハンドオーバ期間中にアプリケーションの性能を低下させずに、シームレスにハンドオーバを行うことは決定的に重要である。ハンドオーバが、ＰａＣが新しいアクセスネットワーク内のＰＡＡとＰＡＮＡセッションを確立することを必要とするとき、ＰＡＮＡセッションを確立する信号は、できるだけ速く完了されるべきである。
【００２３】
ＰＡＮＡプロトコルは、ネットワークアクセスサービスのための認証と許可を行うために、クライアント（ＰａＣ）とサーバ（ＰＡＡ）の間で実行される。このプロトコルのメッセージングは、一連の要求と応答を伴い、これらのうちのいくつかが、どちらかの側によって開始できる。各メッセージは、ペイロード内でゼロ以上のＡＶＰを伝送することができる。ＰＡＮＡの主要ペイロードは、認証を実行するＥＡＰである。ＰＡＮＡは、ＰａＣとＰＡＡが、ＥＡＰセッションを確立するのに役立つ。
【００２４】
ＰＡＮＡは、ＵＤＰベースのプロトコルである。ＰＡＮＡは、確実にメッセージを配信する独自の再送信機構を有する。ＰＡＮＡメッセージが、ＰａＣとＰＡＡの間で、ＰＡＮＡセッションの一部として送信される。ＰＡＮＡセッションは、以下で述べ、図１に示すように複数の異なる段階を含む。
【００２５】
１．ハンドシェーク段階：これは、新しいＰＡＮＡセッションを開始する段階である。ハンドシェーク段階は、ＰａＣとＰＡＡの両方によってトリガできる。
【００２６】
２．認証許可段階：ハンドシェーク段階の直後に続くのが、ＰＡＡとＰａＣの間のＥＡＰ実行である。ＥＡＰペイロード（内部にＥＡＰメソッドを保持する）が、認証に使用されるものである。ＰＡＡは、この段階の終わりに認証と許可の結果をＰａＣに伝達する。
【００２７】
３．アクセス段階：正常な認証と許可の後、ホストは、ネットワークにアクセスすることができ、（１つまたは複数の）ＥＰを介してＩＰデータトラフィックを送受信することができる。この段階の任意の時点において、ＰａＣとＰＡＡは、任意選択で、ピア上のＰＡＮＡセッションが存続しているかどうかテストするために、ＰＡＮＡピングメッセージを送信してもよい。
【００２８】
４．再認証段階：アクセス段階の間、ＰＡＡは、ＰＡＮＡセッション存続期間が切れる前に、最認証を開始しなければならない。認証を行うために、ＰＡＮＡによってＥＡＰが伝送される。この段階は、任意選択で、セッション存続期間に関わりなく、ＰａＣとＰＡＡの両方によってトリガできる。セッションは、アクセス段階からこの段階に移り、正常な再認証が行われ次第、アクセス段階に戻る。
【００２９】
５．終了段階：ＰａＣまたはＰＡＡは、いつでもアクセスサービスを打ち切ろうとしてよい。明示的切断メッセージが、どちらの側からも送信できる。ＰａＣまたはＰＡＡが、終了メッセージを交えることなく切断する場合には、有限のセッション存続期間の満了または存続テストの失敗により、相手側においてセッションがクリーンアップされるはずであると予期される。
【００３０】
ＰＡＮＡは、これのトランスポート層プロトコルとしてＵＤＰを使用する。ＵＤＰポート番号は、例えば、ＩＡＮＡなどによって割り当てられる。ここで、メッセージは、常に、ユニキャストされる。
【００３１】
ＰＡＮＡは、以下で論じる属性値対を使用する。ここで、任意のＰＡＮＡメッセージのペイロードは、ゼロ以上のＡＶＰを含む。以下で簡単に説明する。  
○  アルゴリズムＡＶＰ：擬似乱数関数と保全性アルゴリズムを含む。  
○  ＡＵＴＨ  ＡＶＰ：ＰＡＮＡメッセージを保全性保護するメッセージ認証コードを含む。  
○  クッキーＡＶＰ：［ＲＦＣ４０８６］に従ってＰＡＡによって生成され、見境のないリソース消費ＤｏＳ攻撃に対抗して、ハンドシェーク段階を頑強にするのに使用される乱数を含む。  
○  機器ＩＤ  ＡＶＰ：ＰａＣまたはＥＰの機器識別子（リンク層アドレスまたはＩＰアドレス）を含む。  
○  ＥＡＰ  ＡＶＰ：ＥＡＰ  ＰＤＵを含む。  
○  失敗したＡＶＰ：失敗を引き起こした加害側ＡＶＰを含む。  
○  鍵ＩＤ  ＡＶＰ：ＭＳＫ識別子を含む。  
○  保護機能ＡＶＰ：ＰＡＮＡ認証後に暗号機能が使用可能にされるべきであるときに、パケットごとの保護（リンク層対ネットワーク層）の種類を含む。  
○  ＮＡＰ情報ＡＶＰ、ＩＳＰ情報ＡＶＰ：それぞれ、ＮＡＰとＩＳＰの識別子を含む。  
○  臨時ＡＶＰ：暗号鍵計算で使用されるランダムに選択される値［ＲＦＣ４０８６］を含む。  
○  通知ＡＶＰ：表示可能なメッセージを含む。  
○  プロバイダ識別子ＡＶＰ：ＮＡＰまたはＩＳＰの識別子を含む。  
○  ＰＰＡＣ  ＡＶＰ：ＰＡＮＡアドレス構成後のＡＶＰ。正常なＰＡＮＡ認証後にＰａＣによって使用され得る利用可能な／選択されるＩＰアドレス構成方法を示すのに使用される。  
○  プロバイダ名ＡＶＰ：ＮＡＰまたはＩＳＰの名前を含む。  
○  結果コードＡＶＰ：プロトコル実行結果に関する情報を含む。  
○  セッションＩＤ  ＡＶＰ：ＰＡＮＡセッション識別子の値を含む。  
○  セッション存続期間ＡＶＰ：許可されるアクセスの期間を含む。  
○  終了原因ＡＶＰ：セッション終了の理由を含む。
【００３２】
ＡＶＰは、ＰＡＮＡメッセージと関連性を有する情報をカプセル化する方法である。ＡＶＰの詳細については、セクション６．３を参照されたい。ＡＶＰヘッダについては、OctetString型の各ＡＶＰは、３２ビット境界上で揃うようにパディングされる必要があり、他の型のＡＶＰは、もともと揃っている。いくつかのゼロ値のバイトが、ワード境界に達するまでＡＶＰデータフィールドの最後に加えられる。パディングの長さは、ＡＶＰ長さフィールドには反映されない［ＲＦＣ３５８８参照］。ＡＶＰヘッダの各フィールドは、ネットワークバイト順で送信される。ＡＶＰヘッダの形式を図２に示す。
【００３３】
詳細な背景情報については、これの全開示が、参照により、あたかも本明細書に全文が記載されているかのように本明細書に組み込まれる、２００６年８月２４日付け、D.Forsberg、Y.Ohbaらによる、「（ネットワークアクセスのための認証を伝えるためのプロトコル（ＰＡＮＡ）（Protocol for Carrying Authentication for Network Access (PANA))」、ＩＥＴＦのＰＡＮＡ作業グループのインターネット草案、文書番号draft-ietf-PANA-PANA-12を参照されたい。
【００３４】
さらに参考のために、一部の背景用語として、以下が含まれる。  
モビリティ対応付け：  移動端末のロケータと識別子の間の対応付け。  
モビリティ管理プロトコル（ＭＭＰ）：移動端末のロケータと識別子の間の対応付けを維持するために、ネットワーク層以上で動作するプロトコル。  
対応付け更新：モビリティ対応付けを更新する手順。  
メディア独立の事前認証移動ノード（ＭＮ）：好ましい実施形態では、任意のリンク層を介し、任意のモビリティ管理プロトコルを用いて動作する、モバイル支援型の、セキュアなハンドオーバ最適化方式であるメディア独立の事前認証（ＭＰＡ）の移動端末。ＭＰＡ移動ノードは、ＩＰノードである。本明細書では、修飾なしの「移動ノード」または「ＭＮ」という用語は、「ＭＰＡ移動ノード」を指すものとする。ＭＰＡ移動ノードは、普通、モビリティ管理プロトコルの移動ノードの機能も有する。
【００３５】
候補ターゲットネットワーク（ＣＴＮ）：モバイルが近い将来そこに移動できるネットワーク。  
ターゲットネットワーク（ＴＮ）：モバイルが、そこに移動することを決定しているネットワーク。ターゲットネットワークは、１つまたは複数の候補ターゲットネットワークから選択される。  
事前対応型ハンドオーバトンネル（ＰＨＴ）：ＭＰＡ移動ノードと候補ターゲットネットワークのアクセスルータの間で確立される双方向ＩＰトンネル。本明細書では、修飾語句なしの「トンネル」という用語は、「事前対応型ハンドオーバトンネル」を指すものとする。  
接続点（ＰｏＡ）：ＭＰＡ移動ノードのネットワークへのリンク層接続点として機能するリンク層機器（スイッチ、アクセスポイント、基地局など）。  
気付アドレス（ＣｏＡ）：モビリティ管理プロトコルによって、ＭＰＡ移動ノードのロケータ(locator)として使用されるＩＰアドレス。  
ＰＡＮＡクライアント（ＰａＣ）：アクセス機器（ラップトップ、ＰＤＡなど）にあるプロトコルのクライアント側。ＰａＣは、ネットワークアクセス許可を求めてこれの識別情報（認証）を証明するために資格情報を提供する役割を果たす。ＰａＣとＥＡＰピアは、同じアクセス機器内において同一場所に配置される。
【００３６】
ＰＡＮＡ認証エージェント（ＰＡＡ）：ＰＡＮＡクライアント（ＰａＣ）によって提供される資格情報を検証し、このクライアントと関連付けられ、機器識別子（ＤＩ）によって識別される機器にネットワークアクセスを許可する役割を果たす、アクセスネットワーク内のプロトコルエンティティ。ＰＡＡとＥＡＰオーセンティケータ（と任意選択でＥＡＰサーバ）は、同じノード内に位置する。認証許可手順は、ＥＡＰモデルによれば、バックエンドＡＡＡインフラストラクチャにオフロードされてもよいことに留意されたい。
【００３７】
ＰＡＮＡセッション：ＰＡＮＡセッションは、ＰＡＮＡクライアント（ＰａＣ）とＰＡＮＡ認証エージェント（ＰＡＡ）の間のハンドシェークで開始し、認証または存続テストの失敗、再送信数が最大値に達した後のメッセージ配信失敗、セッション存続期間満了、または明示的終了メッセージの結果として終了する。セッションの間中、固定のセッション識別子が維持される。セッションは、複数のネットワークインターフェースにまたがって共用できない。簡単にするために、ＰａＣのただ１つの機器識別子だけが、ＰＡＮＡセッションに対応付けできるものとする。
【００３８】
セッション存続期間：ＰＡＮＡセッションと関連付けられる期間。確立されたＰＡＮＡセッションでは、セッション存続期間は、ＰａＣに与えられた現在の許可の存続期間に対応付けされる。セッション存続期間は、これが切れる前に、ＥＡＰ認証の新しいラウンドによって更新できる。
【００３９】
セッション識別子：この識別子は、ＰＡＡとＰａＣ上のＰＡＮＡセッションを一意に識別するのに使用される。この識別子は、ＰＡＡの識別子を含み、したがって、複数のＰＡＡにまたがって共用できない。この識別子は、メッセージを特定のＰＡＮＡセッションに対応付けるためにＰＡＮＡメッセージに含まれる。この双方向識別子は、ハンドシェークに続いてＰＡＡによって割り振られ、セッションが終了するときに解放される。
【００４０】
ＰＡＮＡセキュリティアソシエーション（ＰＡＮＡ  ＳＡ）：ＰＡＮＡ  セキュリティアソシエーションは、ＰａＣとＰＡＡの間で、暗号鍵生成材料と関連するコンテキストを共用することによって形成される。形成される二重のセキュリティアソシエーションは、ＰａＣとＰＡＡの間の双方向ＰＡＮＡ信号トラフィックを保護するのに使用される。
【００４１】
機器識別子（ＤＩ）：ネットワークによって、機器のネットワークアクセスを制御し、規制するためのハンドルとして使用される識別子。アクセス技術に応じて、この識別子は、プロトコルヘッダで搬送されるアドレス（ＩＰまたはリンク層アドレスなど）、または、接続される機器のローカルプロトコルスタックによって供与されるローカルで有意な識別子（回線ＩＤ、ＰＰＰインターフェースＩＤなど）を含み得る。
【００４２】
実行点（ＥＰ）  パケットごとの実行ポリシ（すなわちフィルタ）が、アクセス機器のインバウンドとアウトバウンドのトラフィックで適用されるアクセスネットワーク上のノード。ＤＩや（任意選択で）暗号鍵などの情報が、ＥＰ上のフィルタを生成するために、クライアントごとのＰＡＡによって提供される。ＥＰとＰＡＡは、同じ場所に位置していてもよい。
【００４３】
ネットワークアクセスプロバイダ（ＮＡＰ）：管理するアクセスネットワークに物理層やリンク層の接続などを提供するサービスプロバイダ。  
インターネットサービスプロバイダ（ＩＳＰ）：  インターネットや他の関連するサービスへのアクセスなどを提供するサービスプロバイダ。  
マスタセッション鍵（ＭＳＫ）：  ＥＡＰピアとＥＡＰサーバによって導出され、オーセンティケータ（authenticator）に転送される［ＲＦＣ３７２８参照］鍵。  
追加の用語と背景技術を、参照により、ＰＡＮＡフレームワーク文書［I-D.ietf-pana-framework］から本明細書に組み込むものである。
【発明の概要】
【発明が解決しようとする課題】
【００４４】
様々なシステムおよび方法が知られているが、様々な状況において認証の速度を増大させるシステムおよび方法などを含め、改善されたシステムおよび方法が依然として求められている。
【課題を解決するための手段】
【００４５】
本発明は、認証遅延に関するものなどを含めて、背景技術の様々な限界および欠点を克服する。  
いくつかの実施形態によれば、移動ノードのネットワークとの認証遅延を低減する方法は、２つのＥＡＰ実行を同時に用いて総認証遅延を低減することを含む。同様に、いくつかの実施形態によれば、移動ノードのネットワークとの認証遅延を低減するシステムは、ＰＡＮＡ認証エージェントとの２つのＰＡＮＡセッションを同時に実行して総認証遅延を低減するように構成されているＰＡＮＡ認証クライアントを備える。また同様に、いくつかの実施形態によれば、移動ノードのネットワークとの認証遅延を低減するシステムは、ＰＡＮＡ認証クライアントとの２つのＰＡＮＡセッションを同時に実行して総認証遅延を低減するように構成されているＰＡＮＡ認証エージェントを備える。
【００４６】
いくつかの例では、この方法は、２つのＥＡＰ実行が、ＰａＣの特定の機器識別子を認証するのに用いられることを含む。いくつかの例では、この方法は、２つのＥＡＰ実行が、複数のＩＳＰを同時に接続することに関連してＰａＣの特定の機器識別子を認証するのに用いられることを含む。いくつかの例では、この方法は、２つのＥＡＰ実行が、ＰａＣ上の複数のユーザに関連してＰａＣの特定の機器識別子を認証するのに用いられることを含む。いくつかの例では、この方法は、２つのＥＡＰ実行が、ＮＡＰとＩＳＰ認証において、総認証遅延を低減するのに用いられることを含む。
【００４７】
他のいくつかの例では、この方法は、ＰａＣとＰＡＡの間で、ＰａＣの同じ機器識別子のために複数のＰＡＮＡセッションを確立すること、および複数のＰＡＮＡセッションの間で暗号対応付けを作成することを含む。いくつかの例では、この方法は、ＰａＣとＰＡＡの間で、ＰａＣの同じ機器識別子のために複数のＰＡＮＡセッションを確立すること、および複数の独立ＰＡＮＡセッションのそれぞれについてＥＰの異なるＰａＣ−ＥＰマスタ鍵を生成することを含む。いくつかの例では、この方法は、ＰａＣとＰＡＡの間の独立ＰＡＮＡセッションのそれぞれについて、異なるＩＫＥセキュリティアソシエーションを確立すること、および各独立セッションごとに各ユーザ専用のＩＰｓｅｃセキュリティアソシエーションを作成することを含む。いくつかの例では、この方法は、ピアに認証の状況を知らせるために新しい認証状況ＡＶＰを提供することを含む。いくつかの例では、この方法はＰＡＮＡ開始要求（ＰＳＲ）で、新しい認証状況の型、長さ、値を提供することを含む。いくつかの例では、この方法は、ＰＳＲ内のＳフラグがＮＡＰとＩＳＰの別個の認証を不可にするように設定されず、ＰＳＲと後続のＰＡＮＡメッセージでＮフラグが設定されないことを含む。
【００４８】
いくつかの例では、この方法は、ＰＡＡの新しいセッションを作成するために、ＰａＣにＰＡＮＡ  ＰＡＡ探索メッセージを送信させること、およびＰＡＡの他のセッションに割り当てられたものと異なる新しいＵＤＰ送信元ポート番号を割り当てることを含む。いくつかの例では、この方法は、ＰＡＡが、ＰａＣの新しいセッションを作成するためのＰＳＲを送信請求なしで送信するとき、ＰａＣの他のセッションに割り当てられたものと異なる新しいＵＤＰ宛先ポート番号が割り当てられることを含む。いくつかの例では、この方法は、異なるセッションでは異なるＥＡＰ認証方法および資格情報を使用することを含む。いくつかの例では、この方法は、ＰＡＮＡ条件付き成功に関連する新しい結果コードと、１つまたは複数のセッションＩＤ  ＡＶＰを含む新しいＡＶＰを提供すること、および従属セッションのＰＡＮＡ対応付け要求（ＰＢＲ）に、新しい結果コードを搬送させることを含む。いくつかの例では、この方法は、ＥＰのＰａＣ−ＥＰマスタ鍵が、従属セッションのＡＡＡ鍵から導出されないことを含む。いくつかの例では、この方法は、従属セッションを暗号化して対応付けするために、ＰＡＡに新しいセッションを作成させること、および新しいセッションを作成した後にＰＡＡにＰＳＲを送信することを含む。いくつかの例では、この方法は、新しいセッションのＰＡＮＡ開始応答を受信した後で、ＰＡＡが、ＰＡＮＡ認証要求／ＰＡＮＡ認証応答を交換せずに、直ちにＰＢＲを送信することを含む。
【００４９】
様々な実施形態の上記他の態様、特徴および／または利点は、以下の説明を添付の図と併せて考察すればさらに理解されるであろう。様々な実施形態は、妥当な場合には、異なる態様、特徴および／または利点を含み、かつ／または除外することができる。加えて、様々な実施形態は、妥当な場合には、他の実施形態の１つまたは複数の態様または特徴を組み合わせることもできる。個々の実施形態の態様、特徴および／または利点の記述は、他の実施形態または特許請求の範囲を限定するものであると解釈すべきではない。
【図面の簡単な説明】
【００５０】
【図１】セッションにおけるＰＡＮＡメッセージを示す図である（環境と配置に応じて、図１に示すプロトコルの流れは略記できることに留意されたい（非送信請求ＰＡＮＡ開始要求メッセージは、ＰＡＮＡクライアント開始なしで送信でき、ＥＡＰ応答はＰＡＮＡ認証応答に載せて搬送でき、ＰＡＮＡピングとＰＡＮＡ終了の使用は任意選択である））。
【図２】ＡＶＰヘッダ形式を示す図である。
【図３】いくつかの例示的実施形態による、独立、従属および親セッションに関連するＰａＣとＰＡＡの間のメッセージシーケンスを示す図である。
【図４】別個のＩＳＰへのＰＡＮＡセッション１と２を有する例示的マルチホーミング使用例を示す図である。
【図５】別個のユーザとのＰＡＮＡセッション１と２を有する例示的マルチユーザ使用例を示す図である。
【図６】いくつかの説明例による、複数のＰＡＮＡセッション、すなわちセッションＡとＢの確立のための、ＰａＣとＰＡＡの間の例示的メッセージシーケンスを示す図である。
【発明を実施するための形態】
【００５１】
本発明の好ましい実施形態を、添付の図に、限定としてではなく例として示す。  
本発明は、多くの異なる形で実施できるが、本開示は、本明細書で説明する様々な発明の原理の例を提供するものとみなされるべきであり、かかる例は、本発明を、本明細書で説明し、かつ／または本明細書で図示する好ましい実施形態だけに限定するためのものではないという了解の下で、いくつかの例示的実施形態について説明する。
【００５２】
問題提示：既存のシステムでは、いくつかの問題と欠点がある。例えば、以下の問題が存在する。  
問題１：ＰａＣの特定の機器識別子を認証するのに２つ以上のＥＡＰ実行が必要とされる状況がある。例えば、ａ）複数のＩＳＰに同時に接続する、およびｂ）ＰａＣ上の複数のユーザという２つの例示的状況では、ＰａＣの特定の機器識別子を認証するのに２つ以上のＥＡＰ実行が必要とされる。  
問題２：現在のＰＡＮＡ仕様におけるＮＡＰとＩＳＰの別個の認証は、順次の２つのＥＡＰ実行を必要とする。本願では、総認証遅延を低減するために、２つのＥＡＰ実行が同時に行われ得るべきことが企図されている。
【００５３】
http://ftp.3gpp2.org/TSGX/Working/2005/2005-12/TSG-X-2005-12-Maui/WG3-PSN/SWG31-PDS/（２００５年１２月８日、１１：43PM 109568 X31-20051205-013 PANA-for-PFO-[Samsung, Starent, Nokia].ppt）に記載されている、A.Yegin、 K.ChowdhuryおよびG.Bajkoによる「TSG-X, EAP/PANA for PFO」という名称の、Samsung社、Starent社およびNokia社による３ＧＰＰ２寄稿において、著者らは、「ＰＡＮＡは、ルータにまたがって実行できるため、端末が１つまたは複数のターゲットアクセスネットワーク（複数ホップ離れ、異種のアクセス技術を有する場合でさえも）と事前認証を行うことを可能にし」、このため、「ハンドオーバ後、端末のネットワークへのアクセスを許可するには無線による１回の往復で十分である」と説明している。加えて、著者らは、さらに、「運用者らは、例えば、ＰＡＮＡを実行している間のＩＭＳ、モバイルＩＰｖ６、モバイルＩＰｖ４シグナリングなど、ＰＡＮＡと並列（帯域外）での別の限られたＬ３プロトコルシグナリングを許容することができ」、このため、「総待ち時間は、累積ではなく、個々の待ち時間の最大値である」という点で、ＰＡＮＡでは「並列シグナリング」が利用可能であると記述している。著者らは、次いで、事前認証に関連して、いかなる裏づけ、詳細などもなしで、以下のような仮説を設定している。
【００５４】
並列加入者機器認証
複数の認証が行われる必要がある場合（１つはアクセス機器のため、もう１つは加入者のためなど）、これらの認証は、２つの別個のＰＡＮＡセッションとして並列に実行され、後で結合できる。  
最終的な効果：認証待ち時間が半減する。
【００５５】
要件：既存の技術とは対照的に、本出願は、特に、並列ＰＡＮＡセッションを実行することに関連する新規なシステムおよび方法を示す。本明細書で述べる目的で並列ＰＡＮＡセッションを実行することに関連して、本発明者らにより、いくつかの要件が識別されている。これに関して、以下に関連するいくつかの要件を示す。
【００５６】
要件１：ＰＡＮＡは、ＰａＣとＰＡＡの間で、ＰａＣの同じ機器識別子のために複数のＰＡＮＡセッションが確立されるようサポートする必要がある。これに関して、既存のＰＡＮＡ仕様は、これを妨げない。
【００５７】
要件２：ＰａＣとＰＡＡの間で、ＰａＣの同じ機器識別子のために複数のＰＡＮＡセッションを確立するとき、認証の状況が、各セッションごとにピア間で伝えられる必要がある。それだけに限らないが例として、いくつかの例示的状況には、ＩＳＰ認証、ＮＡＰ認証などが含まれる。
【００５８】
要件３：ＰａＣとＰＡＡの間で、ＰａＣの同じ機器識別子のために複数のＰＡＮＡセッションを確立するとき、ＰＡＮＡは、これらのセッションを同時に確立することができる必要がある。
【００５９】
要件４：ＰａＣとＰＡＡの間で、ＰａＣの同じ機器識別子のために複数のＰＡＮＡセッションを確立するとき、例えば、複数セッションのそれぞれについて、ＥＰの異なるＰａＣ−ＥＰマスタ鍵が生成されるのでない限り、複数セッション間で暗号対応付けが作成される必要がある。これに関して、本明細書では、ＥＰの同じＰａＣ−ＥＰマスタ鍵を共用するＰＡＮＡセッションを「従属」セッションといい、これ以外のＰＡＮＡセッションを、本明細書では「独立」セッションという。ここで、独立セッションは、ＥＰの異なるＰａＣ−ＥＰマスタ鍵を作成してもよい。一例では、これは、ＰａＣとＰＡＡの間の各独立セッションごとに、異なるＩＫＥ  ＳＡを確立することを含み得る。各ユーザ専用のＩＰｓｅｃ  ＳＡが、各独立セッションごとに作成されることになる。
【００６０】
いくつかの実施形態では、要件２の解決法には、以下が含まれ得る。  
１．新しいＡＶＰ、認証状況（型：OctetString、‘Ｍ’フラグが設定される必要がある）が提供される。ここで、新しいＡＶＰは、ピアに、認証の（１つまたは複数の）状況を知らせるのに使用される。加えて、これは、ＰＡＮＡ  ＰＡＡ探索またはＰＡＮＡ開始要求メッセージで搬送させることが可能である。加えて、これは、１つの１オクテット状況、１（ＮＡＰ認証）、および２（ＩＳＰ認証）の搬送を伴う。  
２．認証状況の型、長さ、値パケット（ＴＬＶ）は、任意選択で、ＰＡＮＡ開始要求（ＰＳＲ）に含めることもできる。ＡＶＰが含まれるとき、ＰＳＲ内のＳフラグは、ＮＡＰとＩＳＰの別個の認証を不可にするように設定されるべきではない。更に、ＰＳＲと後続のＰＡＮＡメッセージでは、Ｎフラグが設定されるべきではない。
【００６１】
いくつかの実施形態では、要件３の解決法には、以下が含み得る。  
１．ＰａＣが、ＰＡＡの新しいセッションを作成するためのＰＡＮＡ  ＰＡＡ探索（ＰＤＩ）メッセージを送信するときには、このＰＡＡの他のセッションに割り当てられているものと異なる新しいＵＤＰ送信元ポート番号が割り当てられるべきである。  
２．ＰＡＡが、ＰａＣの新しいセッションを作成するためのＰＳＲを送信請求なしで送信するときには、このＰａＣの他のセッションに割り当てられているものと異なる新しいＵＤＰ宛先ポート番号が割り当てられるべきである。  
３．更に、異なるセッションは、異なるＥＡＰ認証方法と資格情報を使用してもよい。
【００６２】
いくつかの実施形態では、要件４の解決法には、以下が含み得る。  
１．新しい結果コード、
ＰＡＮＡ＿ＣＯＮＤＩＴＩＯＮＡＬ＿ＳＵＣＣＥＳＳが提供される。
【００６３】
２．新しいＡＶＰ、セッションＩＤリスト（型：グループ化、‘Ｍ’フラグは設定される必要がある）が提供される。ここで、セッションＩＤリストＡＶＰは、１つまたは複数のセッションＩＤ  ＡＶＰを含む。
【００６４】
３．従属セッションのＰＡＮＡ対応付け要求（ＰＢＲ）は、ＰＡＮＡ＿ＳＵＣＣＥＳＳではなく、この結果コードを搬送する。更に、ここで、ａ）このときには許可が行われず、ｂ）ＥＰのＰａＣ−ＥＰマスタ鍵が、従属セッションのＡＡＡ鍵から導出されない。
【００６５】
４．ＰＡＡは、従属セッションを暗号化して対応付けするために新しいセッションを作成する。ここで、この新しいセッションを親セッションという。
【００６６】
５．親セッションを作成した後で、ＰＡＡにＰＳＲが送信される。
【００６７】
６．親セッションのＰＡＮＡ開始応答（ＰＳＡ）を受信した後で、ＰＡＡは、ＰＡＮＡ認証要求／ＰＡＮＡ認証応答（ＰＡＲ／ＰＡＮ）を交換せずに、直ちにＰＢＲを送る。ここで、
ｉ．親セッションのＰＢＲ内の結果コードはＰＡＮＡ＿ＳＵＣＣＥＳＳである。  
ｉｉ．ＰＢＲは、子セッションのセッションＩＤ  ＡＶＰのリストを含むセッションＩＤリスト  ＡＶＰを搬送する。  
ｉｉｉ．親セッションのＡＡＡ鍵が、従属セッションのＡＡＡ鍵の連結として計算される。  
ａ．従属セッションのＡＡＡ鍵は、セッションＩＤリスト  ＡＶＰに記載されるセッションの順序に従って順序付けされる。  
ｉｖ．更に、このときに許可も行われる。  
ａ．従属セッションの間で最小の許可存続期間が、親セッションの許可存続期間になる。  
ｂ．親セッションのＡＡＡ鍵から導出されたＥＰのＰａＣ−ＥＰマスタ鍵が、これの従属セッションの間で共用される。
【００６８】
７．各従属セッションごとに最認証が行われる。  
ｉ．各再認証が完了するごとに、親セッションの許可存続期間とＡＡＡ鍵が再計算される。
【００６９】
８．親セッションが打ち切られるとき、これの従属セッションが、直ちに、黙って打ち切られる。
【００７０】
９．従属セッションの１つが打ち切られるとき、親セッションは、終了ポリシによって、打ち切られることも、打ち切られないこともある。  
ｉ．ここで、終了ポリシが親セッションを打ち切らないよう指示しているとき、親セッションの許可存続期間とＡＡＡ鍵が再計算される。  
ｉｉ．更に、終了ポリシの如何を問わず、親セッションは、最後の従属セッションが打ち切られるときには、直ちに、黙って打ち切られる。  
ＰＡＮＡ認証遅延：
参考のために、以下に適用可能なＰＡＮＡ認証遅延を示す。以下の式では、Ｔ１＝探索とハンドシェーク段階における遅延、Ｔ２，ＮＡＰ＝ＮＡＰ認証のためのＰＡＲ／ＰＡＮ交換における遅延、Ｔ２，ＩＳＰ＝ＩＳＰ認証のためのＰＡＲ／ＰＡＮ交換における遅延、Ｔ３＝ＰＢＲ／ＰＢＡ交換における遅延を用いる。更に、従属と独立のＰＡＮＡセッションの場合、２つのセッションのＰＡＡ探索は、同時に開始し、同時に完了するものと仮定する。
【００７１】
ＮＡＰとＩＳＰの別個の認証：
ＤＳ＝Ｔ１＋Ｔ２，ＮＡＰ＋Ｔ２，ＩＳＰ＋Ｔ３
独立セッション：
ＤＩ＝Ｔ１＋ｍａｘ（Ｔ２，ＮＡＰ，Ｔ２，ＩＳＰ）＋Ｔ３
従属セッションと親セッション：
ＤＤ＝ＤＩ＋Ｔ１＋Ｔ３                      ＤＩ＜ＤＤ＜ＤＳ  。
【００７２】
図３〜６：
図３〜６に、本発明のいくつかの実施形態の態様を説明するいくつかの説明図を示す。  
これに関して、図３には、前述のような、独立セッション、従属セッションおよび親セッションに関連するＰａＣとＰＡＡの間の例示的メッセージシーケンス、及びいくつかの事例での暗号の結合の確立が示されている。
【００７３】
更に、図４には、マルチホーミングなどに関連する説明的使用例を示す例示的アーキテクチャ概略図が示されている。この説明例に示すように、第１のＰＡＮＡセッションが第１のサービスプロバイダＩＳＰ１に関連して確立され、第２のＰＡＮＡセッションが第２のサービスプロバイダＩＳＰ２に関連して確立される。ＰＡＮＡセッション１に関連付けられるトラフィックは、この図の上部近くに示され、ＰＡＮＡセッション２に関連付けられるトラフィックは、この図の下部近くに示されている。ここで、セッション１と２は、前述の従属または独立のセッションとすることができる。この場合、これらが従属セッションであるとき、異なるセッションと関連付けられるトラフィックは、区別可能である必要があり、これは、例えば、異なるセッションに別個のＩＫＥ  ＳＡを作成するなどによって行うことができる。
【００７４】
更に、図５には、マルチユーザなどに関連する説明的使用例を示す例示的アーキテクチャ概略図が示されている。この説明図に示すように、第１のＰＡＮＡセッションが、第１のユーザ、ユーザＡに関連して確立され、第２のＰＡＮＡセッションが、第２のユーザ、ユーザＢに関連して確立される。ＰＡＮＡセッション１に関連付けられるトラフィックはこの図の上部近くに示され、ＰＡＮＡセッション２に関連付けられるトラフィックは、この図の下部近くに示されている。特に、この図には、第１のユーザ機器を介して動作する第１のユーザ、ユーザＡが、ＰＡＮＡ認証エージェント（ＰＡＡ）／実行点（ＥＰ）とやりとりするＰＡＮＡ認証クライアント（ＰａＣ）／ネットワークアクセス変換器（ＮＡＴ）を介して、ネットワークアクセスプロバイダ（ＮＡＰ）とインターネットサービスプロバイダ（ＩＳＰ）への第１のＰＡＮＡセッションを確立し、第２のユーザ機器を介して動作する第２のユーザＢが、ＰＡＮＡ認証クライアント（ＰａＣ）／ネットワークアクセス変換器（ＮＡＴ）とＰＡＮＡ認証エージェント（ＰＡＡ）／実行点（ＥＰ）を介して、ネットワークアクセスプロバイダ（ＮＡＰ）とインターネットサービスプロバイダ（ＩＳＰ）への第２のＰＡＮＡセッション２を確立する説明例が示されている。ここで、ＰａＣは、子機器のためのＥＡＰ資格情報で事前構成されている。更に、異なるセッションに関連付けられるトラフィックは、区別可能である必要があり、これは、例えば、異なるセッションに別個のＩＫＥ  ＳＡを作成するなどによって行うことができる。図６は、いくつかの説明例による、複数のＰＡＮＡセッション、セッションＡとＢの確立のための、ＰａＣとＰＡＡの間の例示的メッセージシーケンスを示す図である。
【００７５】
本発明の広い範囲
本明細書では、本発明の例示的実施形態を説明しているが、本発明は、本明細書で説明した様々な好ましい実施形態だけに限定されず、本開示に基づけば当分野の技術者によって理解されるはずの、等価の要素、改変、省略、（様々な実施形態にまたがる態様などの）組合せ、適合及び／又は変更を有するありとあらゆる実施形態を含むものである。特許請求の範囲における限定は、特許請求の範囲で用いられる言葉に基づいて幅広く解釈されるべきであり、本明細書において、又は本出願の出願中において記述される例だけに限定されず、これらの例は、非排他的であると解釈されるべきである。例えば、本開示において、「好ましくは」という用語は、非排他的であり、「それだけに限らないが、好ましくは」を意味する。本開示において、かつ本出願の出願中において、手段プラス機能又はステッププラス機能限定は、特定のクレーム限定について、この限定において、ａ）「〜の手段」又は「〜のステップ」が明記されている、ｂ）対応する機能が明記されている、及びｃ）構造、材料又はこの構造をサポートする動作が記載されていないという条件すべてが存在する場合に限り用いられる。本開示において、かつ本出願の出願中において、「本発明」又は「発明」という用語は、本開示内の１つ又は複数の態様を指すものとして使用され得る。本発明又は発明という言葉は、誤って重要度の識別と解釈されるべきではなく、誤ってすべての態様又は実施形態にわたって適用されるものと解釈されるべきではなく（すなわち、本発明はいくつかの態様及び実施形態を有すると理解されるべきであり）、また、誤って本出願又は特許請求の範囲を限定するものと解釈されるべきではない。本開示において、かつ本出願の出願中において、「実施形態」という用語は、任意の態様、特徴、プロセス又はステップ、これらの任意の組合せ、及び／又はこれらの任意の部分などを記述するのに使用され得る。いくつかの例では、様々な実施形態が重なり合う特徴を含み得る。本開示では、「例えば」を意味する「ｅ．ｇ．」という省略用語が用いられ得る。
【図１】
2011234394.tif 000003
【図２】
2011234394.tif 000004
【図３】
2011234394.tif 000005
【図４】
2011234394.tif 000006
【図５】
2011234394.tif 000007
【図６】
2011234394.tif 000008