(57)【要約】  通信ネットワーク内でリレーノードを展開するための方法および装置が提供される。リレーノードは最初に、初期セキュリティ証明を使って、ネットワークエンティティに対してワイヤレス認証され得る。認証成功に応答して、リレーノードは、リレーデバイス動作のためにリレーノードを構成する限定目的で通信ネットワークとワイヤレス通信することを認可される。リレーノードは、通信ネットワークから新規セキュリティ証明を受信することができ、続いて、新規セキュリティ証明を使ってネットワークエンティティに対して再認証される。再認証成功に応答して、リレーノードは、ネットワークによって、1つまたは複数のアクセス端末と通信ネットワークとの間のトラフィックを伝えるためのリレーデバイスとして動作することを認可される。
2013534755.tif 000002
【特許請求の範囲】
【請求項１】
ワイヤレス通信インターフェースと、
前記ワイヤレス通信インターフェースに結合された処理回路とを備えるリレーノードであって、前記処理回路が、
初期セキュリティ証明を使って、前記ワイヤレス通信インターフェースを介して、前記リレーノードをネットワークエンティティに対して認証し、
前記初期セキュリティ証明を使っての前記ワイヤレス認証に応答して、前記リレーノードを構成する限定目的で通信ネットワークとワイヤレス通信するための認可を受け、
前記ワイヤレス通信インターフェースを介して新規セキュリティ証明を受信し、
前記リレーノードを、前記通信ネットワーク内でリレーデバイスとして動作するのに先立って、前記新規セキュリティ証明を使って前記ネットワークエンティティに対して再認証するように適合されるリレーノード。
【請求項２】
前記新規セキュリティ証明が、新規リレーノード識別情報と、前記新規リレーノード識別情報に関連付けられた新規共有秘密とを含み、前記処理回路が、
前記リレーノードを、前記通信ネットワーク内でリレーデバイスとして動作するのに先立って、前記新規リレーノード識別情報と前記新規リレーノード識別情報に関連付けられた前記新規共有秘密とを使って、前記ネットワークエンティティに対して再認証するようにさらに適合される、請求項1に記載のリレーノード。
【請求項３】
前記新規リレーノード識別情報が、1つまたは複数のアクセス端末と前記通信ネットワークとの間でトラフィックを伝えるリレーデバイスとして動作するために前記リレーノードに対してネットワークアクセスを認可する加入プロファイルに関連付けられる、請求項2に記載のリレーノード。
【請求項４】
前記処理回路が、
前記新規セキュリティ証明および前記初期セキュリティ証明を使って、前記リレーノードを前記ネットワークエンティティに対して再認証するようにさらに適合される、請求項1に記載のリレーノード。
【請求項５】
前記新規セキュリティ証明が、オペレータ証明または共有鍵の少なくとも1つを含む、請求項1に記載のリレーノード。
【請求項６】
前記初期セキュリティ証明が、初期リレーノード識別情報と、前記初期リレーノード識別情報に関連付けられた初期共有秘密とを含む、請求項1に記載のリレーノード。
【請求項７】
前記ネットワークエンティティとの前記認証時に、前記初期リレーノード識別情報が、前記リレーノードを構成する限定目的での前記リレーノードに対してネットワークアクセスを認可する加入プロファイルに関連付けられ、
前記ネットワークエンティティとの前記再認証時に、前記初期リレーノード識別情報が、1つまたは複数のアクセス端末と前記通信ネットワークとの間でトラフィックを伝えるリレーデバイスとして動作するために前記リレーノードに対してネットワークアクセスを認可する新規加入プロファイルに関連付けられる、請求項6に記載のリレーノード。
【請求項８】
前記処理回路に結合された信頼できる環境をさらに備え、前記処理回路が、
前記新規セキュリティ証明を前記信頼できる環境に記憶するようにさらに適合される、請求項1に記載のリレーノード。
【請求項９】
前記初期セキュリティ証明の少なくともいくつかが前記信頼できる環境に記憶される、請求項8に記載のリレーノード。
【請求項１０】
前記処理回路に結合されたセキュアなプロセッサをさらに備え、前記初期セキュリティ証明の少なくともいくつかが、前記セキュアなプロセッサに記憶される、請求項1に記載のリレーノード。
【請求項１１】
前記処理回路が、
前記リレーノードを前記通信ネットワーク内のリレーデバイスとして構成するための構成データを、前記ワイヤレス通信インターフェースを介して受信するようにさらに適合され、前記構成データが、前記ネットワークエンティティに対する再認証に先立って受信される、請求項1に記載のリレーノード。
【請求項１２】
前記リレーノードが、前記初期セキュリティパラメータを用いて前記ネットワークエンティティと認証を行うとき、前記ネットワークエンティティにとってユーザデバイスとして見え、
前記リレーノードが、前記新規セキュリティパラメータを用いて前記ネットワークエンティティと再認証を行うとき、リレーデバイスとして見える、請求項1に記載のリレーノード。
【請求項１３】
リレーノードにおいて動作可能な方法であって、
初期セキュリティ証明を使って、前記リレーノードをネットワークエンティティに対してワイヤレス認証するステップと、
前記初期セキュリティ証明を使っての前記ワイヤレス認証に応答して、前記リレーノードを構成する限定目的で、通信ネットワークとワイヤレス通信するための認可を受けるステップと、
新規セキュリティ証明を受信するステップと、
前記リレーノードを、前記通信ネットワーク内のリレーデバイスとして動作可能にされるのに先立って、前記新規セキュリティ証明を使って前記ネットワークエンティティに対して再認証するステップとを含む方法。
【請求項１４】
前記新規セキュリティ証明を受信するステップが、新規リレーノード識別情報と前記新規リレーノード識別情報に関連付けられた新規共有秘密とを受信するステップを含み、
前記新規セキュリティ証明を使って前記ネットワークエンティティと再認証を行うステップが、前記新規リレーノード識別情報と前記新規リレーノード識別情報に関連付けられた前記新規共有秘密とを使って前記ネットワークエンティティと再認証を行うステップを含む、請求項13に記載の方法。
【請求項１５】
前記新規リレーノード識別情報が、1つまたは複数のアクセス端末と前記通信ネットワークとの間でトラフィックを伝えるリレーデバイスとして動作するために前記リレーノードに対してネットワークアクセスを認可する加入プロファイルに関連付けられる、請求項14に記載の方法。
【請求項１６】
前記新規セキュリティ証明を使って前記ネットワークエンティティと再認証を行うステップが、
前記新規セキュリティ証明および前記初期セキュリティ証明を使って、前記ネットワークエンティティと再認証を行うステップをさらに含む、請求項13に記載の方法。
【請求項１７】
初期リレーノード識別情報および前記初期リレーノード識別情報に関連付けられた初期共有秘密を使って前記ネットワークエンティティとワイヤレス認証を行うステップであって、前記初期リレーノード識別情報が、前記ネットワークエンティティとの前記ワイヤレス認証時に、前記リレーノードを構成する限定目的で、前記リレーノードに対してネットワークアクセスを認可する加入プロファイルに関連付けられるステップと、
前記初期リレーノード識別情報および前記初期リレーノード識別情報に関連付けられた前記初期共有秘密を使って前記ネットワークエンティティと再認証を行うステップであって、前記ネットワークエンティティとの前記再認証時に、前記初期リレーノード識別情報が、1つまたは複数のアクセス端末と前記通信ネットワークとの間でネットワークトラフィックを伝えるリレーデバイスとして動作するために前記リレーノードに対してネットワークアクセスを認可する新規加入プロファイルに関連付けられるステップとをさらに含む、請求項16に記載の方法。
【請求項１８】
前記新規セキュリティ証明を受信するステップが、オペレータ証明または共有鍵の少なくとも1つを受信するステップを含む、請求項13に記載の方法。
【請求項１９】
前記初期セキュリティ証明を使って前記ネットワークエンティティとワイヤレス認証を行うとき、前記ネットワークエンティティにとってユーザデバイスとして見えるステップと、
前記新規セキュリティ証明を使って前記ネットワークエンティティと再認証を行うとき、前記ネットワークエンティティにとってリレーデバイスとして見えるステップとをさらに含む、請求項13に記載の方法。
【請求項２０】
前記リレーノードを前記通信ネットワーク内のリレーデバイスとして構成するための構成データを受信するステップをさらに含み、前記構成データが、前記ネットワークエンティティに対する再認証に先立って受信される、請求項13に記載の方法。
【請求項２１】
リレーノードであって、
初期セキュリティ証明を使ってネットワークエンティティとワイヤレス認証を行うための手段と、
前記初期セキュリティ証明を使っての前記ワイヤレス認証に応答して、前記リレーノードを構成する限定目的で、通信ネットワークとワイヤレス通信するための認可を受けるための手段と、
新規セキュリティ証明を受信するための手段と、
前記通信ネットワーク内のリレーデバイスとして動作可能にされるのに先立って、前記新規セキュリティ証明を使って、前記ネットワークエンティティと再認証を行うための手段とを備えるリレーノード。
【請求項２２】
リレーノード上で動作可能な命令を記録するプロセッサ可読記録媒体であって、前記命令が、プロセッサによって実行されると、前記プロセッサに、
初期セキュリティ証明を使って、前記リレーノードをネットワークエンティティに対してワイヤレス認証させ、
前記初期セキュリティ証明を使っての前記ワイヤレス認証に応答して、前記リレーノードを構成する限定目的で、通信ネットワークとワイヤレス通信するための認可を受けさせ、
新規セキュリティ証明を受信させ、
前記リレーノードを、前記通信ネットワーク内のリレーデバイスとして動作可能にされるのに先立って、前記新規セキュリティ証明を使って前記ネットワークエンティティに対して再認証させるプロセッサ可読記録媒体。
【請求項２３】
通信インターフェースと、
前記通信インターフェースに結合された処理回路とを備えるネットワークエンティティであって、前記処理回路が、
リレーノードに関連付けられた初期セキュリティ証明を使って前記リレーノードを認証し、
前記初期セキュリティ証明を使っての前記リレーノードの認証成功の後、前記リレーノードを構成する限定目的で通信ネットワークとワイヤレス通信するように、前記リレーノードを認可し、
新規セキュリティ証明を使って前記リレーノードを再認証し、
前記リレーノードの再認証成功の後、前記通信ネットワーク内のリレーデバイスとして動作するように前記リレーノードを認可するように適合されるネットワークエンティティ。
【請求項２４】
前記処理回路が、新規セキュリティ証明および構成データを取得する限定目的で前記通信ネットワークとワイヤレス通信するように前記リレーノードを認可するように適合される、請求項23に記載のネットワークエンティティ。
【請求項２５】
前記新規セキュリティ証明が、新規リレーノード識別情報と前記新規リレーノード識別情報に関連付けられた新規共有秘密とを含む、請求項23に記載のネットワークエンティティ。
【請求項２６】
前記処理回路が、
前記リレーノードを再認証するとき、前記新規リレーノード識別情報に関連付けられた加入プロファイルを取得するようにさらに適合され、前記加入プロファイルが、1つまたは複数のアクセス端末と前記通信ネットワークとの間でトラフィックを伝えるリレーデバイスとして動作するための前記リレーノードに対してネットワークアクセスを認可する、請求項25に記載のネットワークエンティティ。
【請求項２７】
前記新規セキュリティ証明が、オペレータ証明または共有鍵の少なくとも1つを含む、請求項23に記載のネットワークエンティティ。
【請求項２８】
前記処理回路が、
前記新規セキュリティ証明および前記初期セキュリティ証明を使って、前記リレーノードを再認証するように適合される、請求項23に記載のネットワークエンティティ。
【請求項２９】
前記初期セキュリティ証明が、初期リレーノード識別情報と、前記初期リレーノード識別情報に関連付けられた初期共有秘密とを含む、請求項28に記載のネットワークエンティティ。
【請求項３０】
前記処理回路が、
前記初期セキュリティ証明を使って前記リレーノードを認証するために、前記初期リレーノード識別情報に関連付けられた加入プロファイルであって、前記リレーノードを構成する限定目的で前記リレーノードに対してネットワークアクセスを認可する加入プロファイルを取得し、
前記新規セキュリティ証明を使って前記リレーノードを再認証するための、前記初期リレーノード識別情報に関連付けられた新規加入プロファイルであって、1つまたは複数のアクセス端末と前記通信ネットワークとの間でトラフィックを伝えるリレーデバイスとして前記リレーノードを動作可能にするために、前記リレーノードに対して十分なネットワークアクセスを認可する新規加入プロファイルを取得するようにさらに適合される、請求項29に記載のネットワークエンティティ。
【請求項３１】
前記リレーノードが、前記初期セキュリティ証明を使って認証されるときはユーザデバイスとして見え、前記リレーノードが、前記新規セキュリティ証明を使って再認証を行うときはリレーデバイスとして見える、請求項23に記載のネットワークエンティティ。
【請求項３２】
前記ネットワークエンティティがモバイル管理エンティティ(MME)を含む、請求項23に記載のネットワークエンティティ。
【請求項３３】
ネットワークエンティティ上で動作可能な方法であって、
リレーノードに関連付けられた初期セキュリティ証明を使って前記リレーノードを認証するステップと、
前記初期セキュリティ証明を使っての前記リレーノードの認証成功の後、前記リレーノードを構成する限定目的で通信ネットワークとワイヤレス通信するように、前記リレーノードを認可するステップと、
新規セキュリティ証明を使って前記リレーノードを再認証するステップと、
前記リレーノードの再認証成功の後、前記通信ネットワーク内のリレーデバイスとして動作するように前記リレーノードを認可するステップとを含む方法。
【請求項３４】
前記リレーノードを構成する限定目的で通信ネットワークとワイヤレス通信するように前記リレーノードを認可するステップが、
新規セキュリティ証明および構成データを取得する限定目的で通信ネットワークとワイヤレス通信するように前記リレーノードを認可するステップを含む、請求項33に記載の方法。
【請求項３５】
前記新規セキュリティ証明を使って前記リレーノードを再認証するステップが、
新規リレーノード識別情報と前記新規リレーノード識別情報に関連付けられた新規共有秘密とを使って前記リレーノードを再認証するステップを含む、請求項33に記載の方法。
【請求項３６】
前記新規リレーノード識別情報と前記新規リレーノード識別情報に関連付けられた前記新規共有秘密とを使って前記リレーノードを再認証するステップが、
前記新規リレーノード識別情報に関連付けられた加入プロファイルを取得するステップであって、前記加入プロファイルが、1つまたは複数のアクセス端末と前記通信ネットワークとの間でトラフィックを伝えるリレーデバイスとして動作するために前記リレーノードに対してネットワークアクセスを認可するステップを含む、請求項35に記載の方法。
【請求項３７】
前記新規セキュリティ証明が、オペレータ証明または共有鍵の少なくとも1つを含む、請求項33に記載の方法。
【請求項３８】
前記リレーノードを再認証するステップが、
前記新規セキュリティ証明および前記初期セキュリティ証明を使って、前記リレーノードを再認証するステップを含む、請求項33に記載の方法。
【請求項３９】
前記初期セキュリティ証明が、初期リレーノード識別情報と、前記初期リレーノード識別情報に関連付けられた初期共有秘密とを含む、請求項38に記載の方法。
【請求項４０】
前記初期セキュリティ証明を使って前記リレーノードを認証するステップが、前記初期リレーノード識別情報に関連付けられた加入プロファイルを取得するステップを含み、前記加入プロファイルが、前記リレーノードを構成する限定目的で前記リレーノードに対してネットワークアクセスを認可し、
前記新規セキュリティ証明を使って前記リレーノードを再認証するステップが、前記初期リレーノード識別情報に関連付けられた新規加入プロファイルを取得するステップを含み、前記新規加入プロファイルが、1つまたは複数のアクセス端末と前記通信ネットワークとの間でトラフィックを伝えるリレーデバイスとして前記リレーノードを動作可能にするために、前記リレーノードに対して十分なネットワークアクセスを認可する、請求項39に記載の方法。
【請求項４１】
前記初期セキュリティ証明を使って前記リレーノードを認証するステップが、前記ネットワークエンティティにとってユーザデバイスとして見える前記リレーノードを認証するステップを含み、
前記新規セキュリティ証明を使って前記リレーノードを再認証するステップが、前記ネットワークエンティティにとってリレーデバイスとして見える前記リレーノードを再認証するステップを含む、請求項33に記載の方法。
【請求項４２】
リレーノードに関連付けられた初期セキュリティ証明を使って前記リレーノードを認証するための手段と、
前記初期セキュリティ証明を使っての前記リレーノードの認証成功の後、前記リレーノードを構成する限定目的で通信ネットワークとワイヤレス通信するように、前記リレーノードを認可するための手段と、
新規セキュリティ証明を使って前記リレーノードを再認証するための手段と、
前記リレーノードの再認証成功の後、前記通信ネットワーク内のリレーデバイスとして動作するように前記リレーノードを認可するための手段とを備えるネットワークエンティティ。
【請求項４３】
ネットワークエンティティ上で動作可能な命令を記録するプロセッサ可読記録媒体であって、前記命令が、プロセッサによって実行されると、前記プロセッサに、
リレーノードに関連付けられた初期セキュリティ証明を使って前記リレーノードを認証させ、
前記初期セキュリティ証明を使っての前記リレーノードの認証成功の後、前記リレーノードを構成する限定目的で通信ネットワークとワイヤレス通信するように、前記リレーノードを認可させ、
新規セキュリティ証明を使って前記リレーノードを再認証させ、
前記リレーノードの再認証成功の後、前記通信ネットワーク内のリレーデバイスとして動作するように前記リレーノードを認可させるプロセッサ可読記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
米国特許法第119条による優先権の主張
本特許出願は、本出願の譲受人に譲渡され、参照により本明細書に明確に組み込まれる、2010年6月18日に出願された「Method and Apparatus for Relay Node Management and Authorization」と題する米国仮出願第61/356,409号の優先権を主張する。
【０００２】
様々な特徴は、ワイヤレス通信システムに関し、より詳細には、ワイヤレス通信システム内で利用されるリレーノードに関する。
【背景技術】
【０００３】
電気通信技術が発展したので、以前は可能でなかったサービスを提供することができる、より高度なネットワークアクセス機器が導入されるようになった。このネットワークアクセス機器は、従来のワイヤレス電気通信システムにおける等価な機器の改良版であるシステムおよびデバイスを含み得る。そのような高度または次世代機器は、ロングタームエボリューション(LTE)などの発展的ワイヤレス通信規格に含まれ得る。たとえば、LTEシステムは、従来のアクセスノード(または基地局)ではなく、拡張ノードB(eNB)、ワイヤレスアクセスポイント、または同様の構成要素を含み得る。
【０００４】
いくつかの実装形態では、ネットワークは、アクセスノードと、本明細書ではリレーデバイスとも呼ばれ得るリレーノードの両方を含み得る。リレーノードとは、アクセスノードまたは別のリレーノードによって生じるカバレージを拡大または拡張するように構成された、ワイヤレスネットワークにおける比較的新しいネットワーク構成要素である。アクセスノードとリレーノードは両方とも、ワイヤレス通信ネットワークに存在し得る無線構成要素である。リレーノードは一般に、ワイヤレス通信システム内の他の構成要素にアクセスするのに、アクセスノードまたは他のリレーノードのワイヤレスカバレージを必要とする。さらに、アクセスノードによって生じたカバレージを拡大または拡張するのに、2つ以上のリレーノードが連続して使われる場合がある。
【０００５】
リレーノードは一般に、アクセス端末機能とアクセスノード機能の両方を組み込む。たとえば、リレーノードは、アクセス端末であるかのようにネットワークからデータを受信し、アクセスノードであるかのように受信データをアクセス端末に伝える。リレーノードが適切に機能するためには、リレーノードは、リレーノードが作動される前に、必要とされる動作およびセキュリティ証明で適切にプロビジョニング/構成されなければならない。新規に展開されたリレーノードは、オペレータの管理システム(たとえば、オペレータの運用、管理、保守、およびプロビジョニング(OAM&P)システム)への既存の通信リンクをもつことができないので、リレーノードは従来、オペレータ担当者が、リレーノードを初期構成するために現場にいることを必要とする。ただし、オペレータ担当者がリレー展開現場にいることを求めるのは、費用がかかり、エラーを起こしやすく、安全でない。他の従来の代替法は、オペレータの管理システムと通信するのに、リースによるIPリンクやワイヤレスマイクロ波リンクなど、オペレータの既存通信方法を使うことである。ただし、これらの他の形の通信によりリレーノードへの接続を提供することも、費用がかかる。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】3GPP Specification Detail、TS 33.320
【発明の概要】
【発明が解決しようとする課題】
【０００７】
したがって、リレーノードが、アクセス端末と他のネットワークエンティティとの間でトラフィックを送信するための、通信ネットワーク内の完全機能リレーデバイスとしての展開に先立って、初期構成および認可のために管理システムにセキュアに接続できるようにすることが望ましい。
【課題を解決するための手段】
【０００８】
様々な特徴により、通信ネットワーク内でのリレーデバイスとしての展開に先立って、リレーノードのワイヤレス構成および認可が円滑になる。ある特徴は、処理回路と結合されたワイヤレス通信インターフェースを含むリレーノードを提供する。処理回路は、認証に初期セキュリティ証明を使って、ネットワークエンティティに対してリレーノードを認証するように適合され得る。初期セキュリティ証明を使ってのワイヤレス認証に応答して、処理回路は、リレーノードを構成する限定目的で通信ネットワークとワイヤレス通信するための認可を受けることができる。制限付き通信の一部として、処理回路は、ワイヤレス通信インターフェースを介して新規セキュリティ証明を受信することができる。処理回路は次いで、通信ネットワーク内でリレーデバイスとして動作するのに先立って、新規セキュリティ証明を使って、ネットワークエンティティに対して再認証を行うことができる。
【０００９】
ある特徴によると、通信ネットワーク内のリレーデバイスとしての展開に先立って、リレーノードのワイヤレス構成および認可を円滑にするための、リレーノード内で動作可能な方法も提供される。そのような方法の少なくとも1つの実装形態では、たとえば、リレーノードは、初期セキュリティ証明を使ってネットワークエンティティに対してワイヤレス認証され得る。認証中のリレーノードを構成する限定目的で通信ネットワークとワイヤレス通信するための認可を受けることができ、認可は、初期セキュリティ証明を使ってのワイヤレス認証に応答して受けられる。制限付き通信の一部として、新規セキュリティ証明が受信され得る。リレーノードは次いで、通信ネットワーク内でリレーデバイスとして動作できるようになるのに先立って、新規セキュリティ証明を使って、ネットワークエンティティに対して再認証され得る。
【００１０】
別の特徴は、通信ネットワーク内でのリレーデバイスとしての展開に先立って、リレーノードのワイヤレス構成および認可を円滑にするように適合された1つまたは複数のネットワークエンティティを提供する。そのようなネットワークエンティティは、処理回路と結合された通信インターフェースを備え得る。処理回路は、リレーノードに関連付けられた初期セキュリティ証明を使ってリレーノードを認証するように適合され得る。処理回路は、初期セキュリティ証明を使ってのリレーノードの認証成功の後、リレーノードを構成する限定目的で通信ネットワークとワイヤレス通信するように、リレーノードを認可することができる。処理回路は、リレーノードに関連付けられた新規セキュリティ証明を使ってリレーノードを再認証することもでき、リレーノードの再認証に成功した後、通信ネットワーク内でリレーデバイスとして動作するようにリレーノードを認可することができる。
【００１１】
ある特徴によると、通信ネットワーク内のリレーデバイスとしての展開に先立って、リレーノードのワイヤレス構成および認可を円滑にするための、ネットワークエンティティ内で動作可能な方法も提供される。そのような方法の少なくとも1つの実装形態では、たとえば、ネットワークエンティティは、リレーノードに関連付けられた初期セキュリティ証明を使ってリレーノードを認証することができる。リレーノードは、初期セキュリティ証明を使ってリレーノードを認証するのに成功した後、リレーノードを構成する限定目的で通信ネットワークとワイヤレス通信するように認可され得る。リレーノードは、新規セキュリティ証明を使って再認証することができ、新規セキュリティ証明を用いてのリレーノードの再認証に成功した後、リレーノードは、通信ネットワーク内でリレーデバイスとして動作することを認可され得る。
【図面の簡単な説明】
【００１２】
【図１】1つまたは複数のリレーノードを利用するとともに、初期展開されるときにリレーノードのワイヤレス構成および認可を円滑にするように適合されたワイヤレス通信システムを示すブロック図である。
【図２】リレーノードを初期構成し認可するための少なくとも1つの実装形態の例を示す流れ図である。
【図３Ａ】再認証に新規セキュリティ証明を使う、リレーノードの初期構成および認可の少なくとも1つの例を示す流れ図である。
【図３Ｂ】再認証に新規セキュリティ証明を使う、リレーノードの初期構成および認可の少なくとも1つの例を示す流れ図である。
【図４Ａ】再認証に新規セキュリティ証明を使う、リレーノードの初期構成および認可の少なくとも1つの例を示す流れ図である。
【図４Ｂ】再認証に新規セキュリティ証明を使う、リレーノードの初期構成および認可の少なくとも1つの例を示す流れ図である。
【図５Ａ】再認証に新規セキュリティ証明とともに初期セキュリティ証明を使う、リレーノードの初期構成および認可の少なくとも1つの例を示す流れ図である。
【図５Ｂ】再認証に新規セキュリティ証明とともに初期セキュリティ証明を使う、リレーノードの初期構成および認可の少なくとも1つの例を示す流れ図である。
【図６】少なくとも1つの実施形態によるリレーノードの選択構成要素を示すブロック図である。
【図７】リレーノード内で動作可能な方法の少なくとも1つの実装形態の例を示す流れ図である。
【図８】少なくとも1つの実施形態によるネットワークエンティティ800の選択構成要素を示すブロック図である。
【図９】ネットワークエンティティ内で動作可能な方法の少なくとも1つの実装形態の例を示す流れ図である。
【図１０】典型的なワイヤレス通信ネットワーク内で実装され得る鍵階層を生成するのに、初期セキュリティ証明がどのように使われ得るかという例を示す図である。
【発明を実施するための形態】
【００１３】
以下の説明では、説明する実装形態を完全に理解することができるように具体的な詳細を与える。ただし、様々な実装形態はこれらの具体的な詳細なしに実施され得ることを当業者は理解されよう。たとえば、実装形態を不要な詳細で不明瞭にしないように回路をブロック図で示すことがある。他の場合には、記載する実装形態を不明瞭にしないように、よく知られている回路、構造および技法を詳細に示すことがある。
【００１４】
「例示的」という言葉は、「一例、実例または例として」を意味するために本明細書で使用される。本明細書に「例示的」と記載されたいかなる実装形態または実施形態も、必ずしも他の実施形態または実装形態よりも好ましいまたは有利であると解釈されるべきではない。同様に、「実施形態」という用語は、すべての実施形態が、論じられた特徴、利点または動作モードを含むことを必要としない。
【００１５】
概観
ある特徴により、通信ネットワーク内でのリレーノードの初期展開が円滑になる。リレーノードは最初に、通信ネットワークにワイヤレスにアタッチし、リレーノード上で事前プロビジョニングされた初期セキュリティパラメータを使って認証される。認証が行われると、リレーノードは、限られた範囲で新規セキュリティ証明および構成データを取得するために、通信ネットワークとワイヤレス通信することを認可される。リレーノードが、ネットワーク内のリレーデバイスとしての動作用に構成された後、リレーノードは、通信ネットワークに再アタッチし、再認証される。再認証は、リレーノードに対する、制限付きアクセスの期間中に受信された新規セキュリティ証明に基づく。リレーノードが再認証された後、リレーノードは、1つまたは複数のアクセス端末と通信ネットワークとの間でトラフィックを伝えるリレーデバイスとして、通信ネットワーク内で動作することを認可される。
【００１６】
例示的なネットワーク環境
図1は、1つまたは複数のリレーノードを利用するとともに、初期展開されるときにリレーノードのワイヤレス構成および認可を円滑にするように適合されたワイヤレス通信システムを示すブロック図である。少なくともいくつかの実装形態では、リレーノード102が、LTEやLTEアドバンスト(LTE-A)ネットワークなどのワイヤレス通信ネットワーク内で利用される。リレーノード102は、アクセス端末104から受信した信号を増幅し、または繰返し、変更信号を、アクセスノード106において受信させることができる。概して、リレーノード102は、図1に示すように、アクセス端末104にとってはアクセスノード(AN)として見え、アクセスノードにとってはアクセス端末(AT)として見え得る。いくつかの実装形態では、リレーノード102は、データをもつ信号をアクセス端末104から受信し、次いで、そのデータをアクセスノード106に送信するための新たな信号を生成する。リレーノード102は、アクセスノード106からデータを受信し、そのデータをアクセス端末104に送達することもできる。リレーノード102は、セルのエッジ近くに配置されてよく、そうすることによってアクセス端末104は、そのセルに対するアクセスノード106と直接通信するのではなく、リレーノード102と通信することができる。
【００１７】
無線システムにおいて、セルとは、地理的な受信および送信カバレージエリアである。セルは、互いと重なり得る。典型的な例では、各セルに関連付けられた1つのアクセスノードが存在する。セルのサイズは、周波数帯、電力レベル、およびチャネル条件などの要因によって決まる。リレーノード102などのリレーノードを使って、セル内もしくはその近くのカバレージを拡張し、またはセルのカバレージのサイズを拡大することができる。さらに、リレーノード102の使用により、セル内での信号のスループットが向上し得る。というのは、アクセス端末104は、アクセス端末104がそのセルに対するアクセスノード106と直接通信するときに使い得るよりも高いデータレートまたは低い電力送信でリレーノード102にアクセスすることができるからである。より高いデータレートでの送信により、スペクトル効率がより高くなり、より低い電力は、より少ないバッテリ電力を消費することによってアクセス端末104にとって有利である。
【００１８】
リレーノード102は、3つのタイプ、すなわちレイヤ1リレーノード、レイヤ2リレーノード、およびレイヤ3リレーノードの1つとして実装され得る。レイヤ1リレーノードとは、本質的に、増幅およびわずかな遅れ以外のいかなる変更もなく送信を再送信することができるリピータである。レイヤ2リレーノードは、そのノード自体が受信した送信を復号し、復号の結果を再符号化し、次いで、再符号化データを送信することができる。レイヤ3リレーノードは、完全な無線リソース制御能力を有し得るので、アクセスノードと同様に機能し得る。リレーノードによって使われる無線リソース制御プロトコルは、アクセスノードによって使われるものと同じでよく、リレーノードは、アクセスノードによって一般に使われる一意のセル識別情報を有し得る。
【００１９】
本開示の目的では、リレーノード102が少なくとも1つのアクセスノード106(およびそのアクセスノードに関連付けられたセル)または他のリレーノードの存在に依拠して、電気通信システム(たとえば、ネットワーク108)内の他の構成要素にアクセスし得ることにより、リレーノード102がアクセスノード106とは区別される。つまり、リレーノード102は、ネットワークにとっては加入者デバイス、クライアントデバイス、またはアクセス端末として見え得るので、アクセスノードに接続して、ネットワークを介して通信を行う。ただし、他の加入者デバイス、ユーザデバイス、および/またはアクセス端末にとっては、リレーノード102は、ネットワークデバイス(たとえば、アクセスノード)として見え得る。したがって、リレーノード102は、1つまたは複数の通信インターフェースを実装して、アクセスノードおよび/または1つもしくは複数のアクセス/加入者/ユーザ端末と通信することができる。一例では、同じ送信機/受信機(たとえば、1つまたは複数のワイヤレスチャネル内の)が、リレーノード102によって、そのアクセスノードおよび/または1つもしくは複数のアクセス端末と通信するのに使われ得る。別の例では、リレーノード102は、2つ以上の異なる送信機/受信機を使用して、アクセスノードおよび/または1つもしくは複数のアクセス端末と通信することができる。
【００２０】
アクセスノード106は、バックホールリンクを介してネットワーク108(たとえば、コアネットワーク)と結合され得る。ネットワーク108は、1つまたは複数のモバイル管理エンティティ(MME)110、運用、管理、保守、およびプロビジョニング(OAM&P)システム112、ならびにサービングおよびPDNゲートウェイ(SGW/PGW)114を含み得る。
【００２１】
リレーノード102が最初に設置されセットアップされるとき、リレーノード102は、リレーノードとして機能するように構成され認可されるために、ネットワーク108にセキュアに接続するように適合される。具体的には、リレーノード102は、初期セキュリティ証明を含み、この証明により、リレーノード102は、LTEやLTE-Aネットワークなどの通信ネットワークをバックホールとして使い、アクセスノード106を介してネットワーク108にアタッチすることが可能になる。リレーノード102は、モバイル管理エンティティ(MME)110ならびに運用、管理、保守、およびプロビジョニング(OAM&P)システム112など、構成および認可に必要な管理ネットワーク要素にのみアクセスすることを認められ得る。
【００２２】
管理ネットワーク要素は次いで、新規セキュリティ証明を含む、必要な動作情報でリレーノード102を構成することができる。リレーノード102が構成され、任意の新規セキュリティ証明を与えられた後、リレーノード102は、リレーノード102が完全機能リレーデバイスとして動作することを可能にする新規セキュリティ証明および与えられた動作情報を使って、ネットワーク108に対して再認証を行うことができる。
【００２３】
初期セキュリティ証明は、たとえば、ネットワークに接続し、ネットワークからサービスを取得し、通信セッションを開始し、かつ/または通信リンクをセキュアにするのに使われる、1つもしくは複数の鍵、証明書、および/または加入者/アカウント情報を含み得る。限定ではなく例として、初期および新規セキュリティ証明は、マスター鍵ならびに/またはマスター鍵とともに、複数の他の暗号および/もしくは完全性鍵を生成するために利用されるアルゴリズムに関し得る。
【００２４】
図10は、初期セキュリティ証明をどのように使って、典型的なワイヤレス通信ネットワーク内で実装され得る鍵階層1000を生成して、リレーノード102とネットワーク108との間の通信を暗号化する際に使用するための暗号化またはセキュリティ鍵を確立することができるかの例を示す。リレーノード102(たとえば、ユニバーサル集積回路カード(UICC)および/または信頼できる環境(TrE)内の)ならびにネットワーク108は、マスター鍵K1002を使って、暗号解読鍵(CK)1004および完全性鍵(IK)1006を生成することができる。暗号解読鍵(CK)1004および完全性鍵(IK)1006は次いで、リレーノード102およびネットワーク108によって、アクセスセキュリティ管理エンティティ鍵K_ASME1008を生成するのに使うことができる。リレーノード102のセキュリティのアクティブ化は、認証および鍵一致手順(AKA)、非アクセス層(NAS)セキュリティモード構成(NAS SMC)手順ならびに/またはアクセス層(AS)セキュリティモード構成(AS SMC)手順により遂行され得る。AKAは、鍵K_ASME1008を導出するのに使われ、この鍵は、NAS(非アクセス層)鍵1010、1012およびAS(アクセス層)鍵1014、1016、1018、1020の算出のためのベース鍵として使われ得る。リレーノード102およびネットワーク108は次いで、K_ASME1008を使って、これらのセキュリティ鍵の1つまたは複数を生成することができる。
【００２５】
リレーノードの例示的な初期構成および認可
図2は、リレーノードを初期構成し認可するための少なくとも1つの実装形態の例を示す流れ図である。図1のリレーノード102、アクセスノード106、モバイル管理エンティティ110ならびに運用、管理、保守、およびプロビジョニング(OAM&P)システム112は、説明のために示してある。アクセスノード106は、リレーノード102と様々なネットワークエンティティとの間の通信がアクセスノード106により円滑になることを示すために含まれている。
【００２６】
最初に、リレーノード102は、ワイヤレス通信ネットワークをバックホールとして使ってリレーノード102がネットワークにアタッチすることを可能にし、管理ネットワーク要素への制限付きアクセスを認めるセキュリティ証明を202で与えられる。初期セキュリティ証明は、リレーノード102の識別情報(たとえば、国際モバイル加入者識別情報(IMSI))、ならびに1つまたは複数の秘密事前共有鍵および/または証明書を含み得る。
【００２７】
リレーノード102は、アクセスノード106を介してモバイル管理エンティティ(MME)110と通信して、204で、ネットワークに最初にアタッチし、認証され得る。リレーノード102は、ユーザデバイスとして(たとえば、アクセス端末として)ネットワークに最初にアタッチすることができる。つまり、アクセスノード106およびネットワークの観点からすると、リレーノード102がネットワークに最初にアタッチするとき、リレーノード102は、ユーザデバイスとして見え得る。リレーノード102は、初期セキュリティ証明を使って、ネットワークに対して認証され得る。たとえば、モバイル管理エンティティ(MME)110は、リレーノード102に関連付けられた初期セキュリティパラメータを使って、呼掛け応答または他の従来の認証手順またはアルゴリズムを実施することができる。
【００２８】
リレーノード102が認証された場合、モバイル管理エンティティ(MME)110は、206で、ネットワークへの制限付きアクセスに対してリレーノード102を認可することができる。たとえば、モバイル管理エンティティ(MME)110は、リレーノード102がネットワーク内で到達し得る宛先を制限することができる。いくつかの実装形態では、リレーノード102は、ネットワークオペレータの運用、管理、保守、およびプロビジョニング(OAM&P)システム112など、リレーノード管理および構成のために利用される、ネットワーク内のエンティティへのアクセスに限定される場合がある。そのような制約は、少なくともいくつかの実装形態では、リレーノード102がアクセスすることを許可されるアクセスポイント名を制限することによって実施され得る。これらの制約は、初期セキュリティ証明とともに含まれるリレーノード識別情報(たとえば、IMSI)に関連付けられた加入プロファイルによって定義され得る。
【００２９】
リレーノード102は、1つまたは複数の管理および構成ネットワークエンティティ(たとえば、運用、管理、保守、およびプロビジョニング(OAM&P)システム112)と通信して、新規セキュリティ証明を208で取得することができる。少なくともいくつかの実装形態では、新規セキュリティ証明は、証明局からリレーノード102に対して発行されたオペレータ証明書および/または新規共有鍵を含み得る。少なくともいくつかの実装形態では、新規セキュリティ証明は、新規認証および鍵一致(AKA)証明を含み得る。そのような新規認証および鍵一致(AKA)証明は、新規リレーノード識別情報(たとえば、IMSI)および/または新規共有鍵を含み得る。
【００３０】
リレーノード102は、管理および構成ネットワークエンティティから(たとえば、運用、管理、保守、およびプロビジョニング(OAM&P)システム112から)、追加の管理および構成データを210で取得することもできる。ネットワークエンティティ(たとえば、OAM&P112)から取得される管理および構成データは、リレーノード102が通信ネットワーク内でリレーデバイスとして動作することを可能にするための構成情報を含み得る。つまり、リレーノード102は、リレーノード102がアクセス端末とネットワークエンティティ(たとえば、アクセスノードおよび/または他のリレーノード)との間でネットワークトラフィックを伝えることを可能にするための適正な構成情報を取得することができる。
【００３１】
新規セキュリティ証明(すなわち、オペレータ証明、新規AKA証明、または両方)を受信すると、リレーノード102は、212で、新規セキュリティ証明を使って、ノード102自体の再認証をネットワークと行う。たとえば、リレーノード102は、モバイル管理エンティティ(MME)110と再アタッチし、少なくとも新規セキュリティ証明を使って、モバイル管理エンティティ(MME)110によって再認証され得る。
【００３２】
リレーノード102が、新規セキュリティ証明を用いて再認証された場合、モバイル管理エンティティ(MME)110は、リレーノード102を、完全に動作可能なリレーデバイスとして機能するように認可することができる。つまり、リレーノード102は、アクセス端末とネットワークエンティティとの間でネットワークトラフィックを伝える、リレーデバイスとしてのその機能を満たすのに必要などのネットワークエンティティにもアクセスすることを認可され得る。少なくともいくつかの実装形態では、この認可は、モバイル管理エンティティ(MME)110が、1つもしくは複数のアクセス端末に、および/またはそれらの端末からトラフィックを伝えるために必要とされるどのアクセスポイント名(APN)にもアクセスするようにリレーノード102を認可することを含み得る。そのようなアクセスは、再認証手順に利用されるセキュリティ証明とともに含まれるリレーノード識別情報(たとえば、新規IMSIや初期IMSI)に関連付けられた加入プロファイルによって定義され得る。
【００３３】
再認証に新規AKA証明を使う、リレーノードの第1の例示的な初期構成および認可
図3(図3Aおよび図3Bからなる)は、再認証に新規セキュリティ証明を使う、リレーノードの初期構成および認可の少なくとも1つの例を示す流れ図である。図3の例において、リレーノード102、アクセスノード106、モバイル管理エンティティ110ならびに運用、管理、保守、およびプロビジョニング(OAM&P)システム112は、説明のために示してある。アクセスノード106は、リレーノード102と様々なネットワークエンティティとの間の通信がアクセスノード106により円滑になることを示すために含まれている。
【００３４】
図3の例において、リレーノード102は、ユニバーサル集積回路カード(UICC)302と信頼できる環境(TrE)304(信頼できる実行環境、すなわちTEEとしても知られる)の両方を利用する。UICC302は、取外し可能モジュールの一部でよく、TrE304は、リレーノード102のプロセッサ(たとえば、UICCとは別個の)内で実装され得る。最初に図3Aを参照すると、UICC302は、ユニバーサル加入者識別情報モジュール(USIM)アプリケーションを含んでよく、その中でセキュアにプロビジョニングされた初期セキュリティ証明を含んでよい。たとえば、UICC302は、306で、その中にセキュアにプロビジョニングされた初期認証および鍵一致(AKA)証明を含む初期セキュリティ証明を含み得る。さらに、リレーノード102は、リレーノード102の信頼できる環境(TrE)304においてセキュアにプロビジョニングされ保持されるベンダ証明を含み得る。ノードの信頼できる環境(TrE)304は、その開示全体がこの参照によって明白に本明細書に組み込まれているTS 33.320における3GPP Specification Detailにおいて指定されている。
【００３５】
リレーノード102は、310で、モバイル管理エンティティ(MME)110にアタッチ(またはワイヤレス接続)し、UICC302に記憶された初期認証および鍵一致証明を使って認証され得る。リレーノード102を認証するために、モバイル管理エンティティ(MME)110は、ホーム加入者サーバ(HSS)314からリレーノード加入および認証情報を312で取得することができる。ホーム加入者サーバ(HSS)314から取得された加入および認証情報を使って、モバイル管理エンティティ(MME)110およびリレーノード102が通信して、リレーノード102を認証することができる。たとえば、モバイル管理エンティティ(MME)110は、リレーノード102の識別情報(たとえば、IMSI)に関連付けられた共有秘密を取得することができ、リレーノード102を検証するのに認証アルゴリズムを利用することができる。モバイル管理エンティティ(MME)110がリレーノード102を認証した後、モバイル管理エンティティ(MME)110は、ステップ316で、リレーノード102にネットワークへの制限付きアクセスを認可することができる。たとえば、モバイル管理エンティティ(MME)110は、リレーノード102に対して、オペレータのOAM&Pシステム112など、制限付きアクセスポイント名(APN)へのアクセスを認可することができる。
【００３６】
少なくともいくつかの実装形態では、オペレータのOAM&Pシステム112は、318で、リレーノード102にオペレータ証明(たとえば、オペレータ証明書)を発行することができる。オペレータ証明は、オペレータのOAM&Pシステム112の証明局(CA)320によって発行することができる。図示する実装形態において、オペレータ証明は、リレーノード102の信頼できる環境(TrE)304に記憶することができる。オペレータ証明は、リレーノード102の信頼できる環境(TrE)304で保持されるベンダ証明(たとえば、秘密鍵と公開鍵のペア)を使って、リレーノード102に対してセキュアに発行され得る。
【００３７】
リレーノード102は、322で、オペレータのOAM&Pシステム112から発行された新規認証および鍵一致(AKA)証明を受信することができる。たとえば、新規認証および鍵一致(AKA)証明は、オペレータのOAM&Pシステム112から発行され、リレーノード102の後続の認証および鍵一致(AKA)通信での使用のために、リレーノード102の信頼できる環境(TrE)304に記憶され得る。新規認証および鍵一致(AKA)証明は、信頼できる環境(TrE)304におけるベンダ証明またはオペレータ証明(発行される場合)に関連付けられた秘密/公開鍵ペアを使って、オペレータのOAM&Pシステム112のリレーノード管理サーバ(RN-MS)324によってセキュアに発行され得る。限定ではなく例として、新規認証および鍵一致(AKA)証明は、新規国際モバイル加入者識別情報(IMSI)ならびに/または暗号化鍵と認証および鍵一致(AKA)アルゴリズムカスタマイズパラメータとを含み得る。たとえば、暗号化鍵およびAKAアルゴリズムカスタマイズパラメータは、MILENAGEアルゴリズムに準拠することができ、AKAカスタマイズパラメータは、オペレータ固有アルゴリズム構成フィールド(たとえば、OPフィールド)を含み、暗号化鍵(たとえば、OPc)は、オペレータ固有アルゴリズム構成フィールドから導出される。オペレータのOAM&Pシステム112はまた、326で、リレーノード102に関連付けられた新規認証および加入情報でホーム加入者サーバ(HSS)314を更新する。
【００３８】
ここで図3Bを参照すると、オペレータのOAM&Pシステム112は、328で、アクセス端末とネットワークエンティティ(たとえば、アクセスノード、他のリレーノード)との間でトラフィックを伝えるリレーデバイスとして通信ネットワークにおいて使用するためにリレーノード102を構成するようにリレーノード102を管理することもできる。リレーノード102を構成するために、たとえば、TR-069や既存のOAM&Pプロトコルなど、従来のどの管理プロトコルを使ってもよい。
【００３９】
リレーノード102が、新規認証および鍵一致(AKA)証明を受信した後、ならびに完全機能リレーデバイスとしてネットワーク内で動作するのに先立って、リレーノード102は、330で、リレーノード102の信頼できる環境(TrE)304に記憶された新規認証および鍵一致(AKA)証明を使って、ネットワークに再アタッチし、再認証される。たとえば、モバイル管理エンティティ(MME)110は、332で、ホーム加入者サーバ(HSS)314から、リレーノードの新規加入および認証情報を取得することができる。ホーム加入者サーバ(HSS)314から取得された加入および認証情報を使って、モバイル管理エンティティ(MME)110およびリレーノード102が通信して、リレーノード102を認証することができる。たとえば、モバイル管理エンティティ(MME)110は、リレーノード102の新規識別情報(たとえば、IMSI)に関連付けられた新規共有秘密を取得することができ、リレーノード102を検証するのに認証アルゴリズムを利用することができる。
【００４０】
リレーノード102が、新規認証および鍵一致(AKA)証明を使って認証された後、モバイル管理エンティティ(MME)110は、334で、リレーノード102を、完全に動作可能なリレーデバイスとして認可することができる。つまり、リレーノード102は、1つもしくは複数のアクセス端末への、および/またはそれらの端末からのトラフィックを伝えるために必要などのアクセスポイント名(APN)へのアクセスも認可され得る。リレーノード102は、通信ネットワークに通信を中継するためのリレーノードを使う加入者またはクライアント端末にとって、ネットワークデバイスとして見え得る。
【００４１】
図4(図4Aおよび図4Bからなる)は、再認証に新規セキュリティ証明を使う、リレーノードの初期構成および認可の少なくとも1つの例を示す流れ図である。図4の例において、リレーノード102、アクセスノード106、モバイル管理エンティティ110ならびに運用、管理、保守、およびプロビジョニング(OAM&P)システム112は、説明のために示してある。アクセスノード106は、リレーノード102と様々なネットワークエンティティとの間の通信がアクセスノード106により円滑になることを示すために含まれている。
【００４２】
図4の例において、リレーノード102は、信頼できる環境(TrE)401を利用する。最初に図4Aを参照すると、信頼できる環境(TrE)401は、その中でセキュアにプロビジョニングされた初期セキュリティ証明を含む。たとえば、信頼できる環境(TrE)401は、402で、その中でセキュアにプロビジョニングされた初期認証および鍵一致(AKA)証明(たとえば、リレーノード識別情報(IMSI)および/または共有鍵)と、ベンダ証明とを含む初期セキュリティ証明を含み得る。
【００４３】
リレーノード102は、モバイル管理エンティティ(MME)110にアタッチ(またはワイヤレス接続)し、信頼できる環境(TrE)401に記憶された初期認証および鍵一致証明を使って404で認証され得る。リレーノード102を認証するために、モバイル管理エンティティ(MME)110は、ホーム加入者サーバ(HSS)407からリレーノード加入および認証情報を406で取得することができる。ホーム加入者サーバ(HSS)407から取得された加入および認証情報を使って、モバイル管理エンティティ(MME)110およびリレーノード102が通信して、リレーノード102を認証することができる。たとえば、モバイル管理エンティティ(MME)110は、リレーノード102の識別情報(たとえば、IMSI)に関連付けられた共有秘密を取得することができ、リレーノード102を検証するのに認証アルゴリズムを利用することができる。
【００４４】
モバイル管理エンティティ(MME)110がリレーノード102を認証した後、モバイル管理エンティティ(MME)110は、ステップ408で、リレーノード102にネットワークへの制限付きアクセスを認可することができる。たとえば、モバイル管理エンティティ(MME)110は、リレーノード102に対して、オペレータのOAM&Pシステム112など、制限付きアクセスポイント名(APN)へのアクセスを認可することができる。
【００４５】
少なくともいくつかの実装形態では、オペレータのOAM&Pシステム112は、410で、リレーノード102にオペレータ証明(たとえば、オペレータ証明書)を発行することができる。オペレータ証明は、オペレータのOAM&Pシステム112の証明局(CA)411によって発行することができる。図示する実装形態において、オペレータ証明は、リレーノード102の信頼できる環境(TrE)401に記憶される。オペレータ証明は、リレーノード102の信頼できる環境(TrE)401で保持されるベンダ証明(たとえば、秘密鍵と公開鍵のペア)を使って、リレーノード102に対してセキュアに発行され得る。
【００４６】
リレーノード102は、オペレータのOAM&Pシステム112から発行された新規認証および鍵一致(AKA)証明を412で受信することができる。たとえば、新規認証および鍵一致(AKA)証明は、オペレータのOAM&Pシステム112から発行され、リレーノード102の後続の認証および鍵一致(AKA)通信での使用のために、リレーノード102の信頼できる環境(TrE)401に記憶され得る。新規認証および鍵一致(AKA)証明は、信頼できる環境(TrE)401に記憶されたベンダ証明またはオペレータ証明(発行される場合)に関連付けられた秘密/公開鍵ペアを使って、オペレータのOAM&Pシステム112のリレーノード管理サーバ(RN-MS)413によってセキュアに発行され得る。限定ではなく例として、新規認証および鍵一致(AKA)証明は、新規国際モバイル加入者識別情報(IMSI)ならびに/または暗号化鍵と認証および鍵一致(AKA)アルゴリズムカスタマイズパラメータとを含み得る。たとえば、暗号化鍵およびAKAアルゴリズムカスタマイズパラメータは、MILENAGEアルゴリズムに準拠することができ、AKAカスタマイズパラメータは、オペレータ固有アルゴリズム構成フィールド(たとえば、OPフィールド)を含み、暗号化鍵(たとえば、OPc)は、オペレータ固有アルゴリズム構成フィールドから導出される。オペレータのOAM&Pシステム112はまた、414で、リレーノード102に関連付けられた新規認証および加入情報でホーム加入者サーバ(HSS)407を更新する。
【００４７】
ここで図4Bを参照すると、オペレータのOAM&Pシステム112は、416で、アクセス端末とネットワークエンティティ(たとえば、アクセスノード、他のリレーノード)との間でトラフィックを伝えるリレーデバイスとして通信ネットワークにおいて使用するためにリレーノード102を構成するようにリレーノード102を管理することもできる。リレーノード102を構成するために、たとえば、TR-069や既存のOAM&Pプロトコルなど、従来のどの管理プロトコルを使ってもよい。
【００４８】
リレーノード102が、新規認証および鍵一致(AKA)証明を受信した後、および完全機能リレーデバイスとしてネットワーク内で動作するのに先立って、リレーノード102は、418で、リレーノード102の信頼できる環境(TrE)401に記憶された新規認証および鍵一致(AKA)証明を使って、ネットワークに再アタッチし、再認証される。たとえば、モバイル管理エンティティ(MME)110は、420で、ホーム加入者サーバ(HSS)407から、リレーノードの新規加入および認証情報を取得することができる。ホーム加入者サーバ(HSS)407から取得された加入および認証情報を使って、モバイル管理エンティティ(MME)110およびリレーノード102が通信して、リレーノード102を認証することができる。たとえば、モバイル管理エンティティ(MME)110は、リレーノード102の新規識別情報(たとえば、IMSI)に関連付けられた新規共有秘密を取得することができ、リレーノード102を検証するのに認証アルゴリズムを利用することができる。
【００４９】
リレーノード102が、新規認証および鍵一致(AKA)証明を使って認証された後、モバイル管理エンティティ(MME)110は、422で、リレーノード102を、完全に動作可能なリレーデバイスとして認可することができる。つまり、リレーノード102は、1つもしくは複数のアクセス端末への、および/またはそれらの端末からのトラフィックを伝えるために必要などのアクセスポイント名(APN)へのアクセスも認可され得る。
【００５０】
再認証に初期AKA証明を使う、リレーノードの第2の例示的な初期構成および認可
図5(図5Aおよび図5Bからなる)は、再認証に新規セキュリティ証明とともに初期セキュリティ証明を使う、リレーノードの初期構成および認可の少なくとも1つの例を示す流れ図である。図5の例において、リレーノード102、アクセスノード106、モバイル管理エンティティ110ならびに運用、管理、保守、およびプロビジョニング(OAM&P)システム112は、説明のために示してある。アクセスノード106は、リレーノード102と様々なネットワークエンティティとの間の通信がアクセスノード106により円滑になることを示すために含まれている。
【００５１】
図5の例において、リレーノード102は、ユニバーサル集積回路カード(UICC)502と信頼できる環境(TrE)504の両方を利用する。最初に図5Aを参照すると、UICC502は、ユニバーサル加入者識別情報モジュール(USIM)アプリケーションを含んでよく、その中でセキュアにプロビジョニングされた初期セキュリティ証明を含んでよい。たとえば、UICC502は、506で、その中にセキュアにプロビジョニングされた初期認証および鍵一致(AKA)証明を含む初期セキュリティ証明を含み得る。さらに、リレーノード102は、リレーノード102の信頼できる環境(TrE)504においてセキュアにプロビジョニングされ、保持されるベンダ証明を含み得る。
【００５２】
リレーノード102は、510で、モバイル管理エンティティ(MME)110にアタッチ(またはワイヤレス接続)し、UICC502に記憶された初期認証および鍵一致証明を使って認証され得る。リレーノード102を認証するために、モバイル管理エンティティ(MME)110は、ホーム加入者サーバ(HSS)514からリレーノード加入および認証情報を512で取得することができる。ホーム加入者サーバ(HSS)514から取得した加入および認証情報を使って、モバイル管理エンティティ(MME)110およびリレーノード102が通信して、リレーノード102を認証することができる。たとえば、モバイル管理エンティティ(MME)110は、リレーノード102の識別情報(たとえば、IMSI)に関連付けられた共有秘密を取得することができ、リレーノード102を検証するのに認証アルゴリズムを利用することができる。
【００５３】
モバイル管理エンティティ(MME)110がリレーノード102を認証した後、モバイル管理エンティティ(MME)110は、ステップ516で、リレーノード102に対してネットワークへの制限付きアクセスを認可することができる。たとえば、モバイル管理エンティティ(MME)110は、リレーノード102に対して、オペレータのOAM&Pシステム112など、制限付きアクセスポイント名(APN)へのアクセスを認可することができる。少なくともいくつかの実装形態では、制限付きアクセスは、ホーム加入者サーバ(HSS)514から取得される加入プロファイルによって定義され得る。つまり、ホーム加入者サーバ(HSS)514は、リレーノード識別情報(たとえば、IMSI)に関連付けられた加入プロファイルを提供することができ、加入プロファイルは、リレーノード102が限られた数のエンティティ(たとえば、限られた数のアクセスポイント名(APN))にアクセスするのを認可されていることを示す。
【００５４】
オペレータのOAM&Pシステム112は、518で、オペレータ証明(たとえば、オペレータ証明書、共有鍵)をリレーノード102に発行することができる。オペレータ証明は、オペレータのOAM&Pシステム112の証明局(CA)520によって発行することができる。図示する実装形態において、オペレータ証明は、リレーノード102の信頼できる環境(TrE)504に記憶することができる。オペレータ証明は、リレーノード102の信頼できる環境(TrE)504で保持されるベンダ証明(たとえば、秘密鍵と公開鍵のペア)を使って、リレーノード102に対してセキュアに発行され得る。
【００５５】
図5の実装形態において、リレーノード102に送られる新規認証および鍵一致(AKA)証明はない。そうではなく、オペレータのOAM&Pシステム112は、ホーム加入者サーバ(HSS)514と通信して、522で、リレーノードの加入プロファイルを更新することができる。リレーノード102の加入プロファイルの更新は、リレーノード102がアクセスすることを認可されている追加ネットワークエンティティ(たとえば、アクセスポイント名(APN))を定義することを含み得る。そのようなネットワークエンティティは、1つもしくは複数のアクセス端末への、および/またはそれらの端末からのトラフィックを伝えるリレーデバイスの機能を実施するために必要なエンティティを含み得る。図示した例において、オペレータのOAM&Pシステム112のリレーノード管理サーバ(RN-MS)524は、リレーノード102の加入プロファイルを更新するためにホーム加入者サーバ(HSS)514と通信するためのエンティティを備え得る。
【００５６】
ここで図5Bを参照すると、オペレータのOAM&Pシステム112は、526で、アクセス端末とネットワークエンティティ(たとえば、アクセスノード、他のリレーノード)との間でトラフィックを伝えるリレーデバイスとして通信ネットワーク内で使用するためにリレーノード102を構成するようにリレーノード102を管理することもできる。リレーノード102を構成するために、たとえば、TR-069や既存のOAM&Pプロトコルなど、従来のどの管理プロトコルを使ってもよい。
【００５７】
リレーノード102がオペレータ証明を受信した後、および完全機能リレーデバイスとしてネットワーク内で動作するのに先立って、リレーノード102は、528で、信頼できる環境(TrE)504に記憶されたデバイス証明(たとえば、オペレータ証明)とともに、リレーノード102のUICC502に記憶された初期認証および鍵一致(AKA)証明を使って、ネットワークに再アタッチし、再認証される。リレーノード102を認証するために、モバイル管理エンティティ(MME)110は、530で、ホーム加入者サーバ(HSS)514からリレーノードの新規加入および認証情報を取得することができる。すでに述べたように、新規加入および認証情報は、どのネットワークエンティティに、初期リレーノード識別情報(たとえば、IMSI)がアクセスすることを認められるかを指示し得る。ホーム加入者サーバ(HSS)514から取得された新規加入および認証情報を使って、モバイル管理エンティティ(MME)110およびリレーノード102が通信して、リレーノード102を認証することができる。たとえば、モバイル管理エンティティ(MME)110は、リレーノード102の識別情報(たとえば、IMSI)に関連付けられた共有秘密を取得することができ、リレーノード102を検証するのに認証アルゴリズムを利用することができる。
【００５８】
リレーノード102が、リレーノード識別情報に関連付けられた新規加入および認証情報を使って認証された後、モバイル管理エンティティ(MME)110は、532で、リレーノード102を、完全に動作可能なリレーデバイスとして認可することができる。つまり、リレーノード102は、1つもしくは複数のアクセス端末への、および/またはそれらの端末からのトラフィックを伝えるために必要などのアクセスポイント名(APN)へのアクセスも認可され得る。
【００５９】
例示的なリレーノード
図6は、少なくとも1つの実施形態によるリレーノード600の選択構成要素を示すブロック図である。リレーノード600は一般に、ワイヤレス通信インターフェース604に結合された処理回路602を含む。
【００６０】
処理回路602は、データを取得し、処理し、かつ/または送り、データのアクセスおよび記憶を制御し、コマンドを発行し、他の所望の動作を制御するように設けられる。少なくとも1つの実施形態では、処理回路602は、適切なメディアによって与えられる所望のプログラミングを実装するように構成された回路を含み得る。たとえば、処理回路602は、たとえば、ソフトウェアならびに/またはファームウェア命令、および/もしくはハードウェア回路を含む実行可能命令を実行するように構成された、プロセッサ、コントローラ、複数のプロセッサおよび/または他の構造のうちの1つまたは複数として実装され得る。処理回路602の実施形態は、汎用プロセッサ、デジタル信号プロセッサ(DSP)、特定用途向け集積回路(ASIC)、フィールドプログラマブルゲートアレイ(FPGA)または他のプログラマブル論理構成要素、個別ゲートまたはトランジスタ論理、個別ハードウェア構成要素、あるいは本明細書で説明する機能を実行するように設計されたそれらの任意の組合せを含み得る。汎用プロセッサはマイクロプロセッサであり得るが、代替として、プロセッサは、任意の従来のプロセッサ、コントローラ、マイクロコントローラ、または状態機械であり得る。プロセッサは、DSPとマイクロプロセッサとの組合せ、複数のマイクロプロセッサ、DSPコアと連携する1つまたは複数のマイクロプロセッサ、あるいは任意の他のそのような構成など、コンピューティング構成要素の組合せとしても実装され得る。処理回路602のこれらの例は説明のためのものであり、本開示の範囲内の他の好適な構成も企図される。
【００６１】
処理回路602は、認証および再認証モジュール603を含む。認証および再認証モジュール603は、初期セキュリティ証明を使って認証手順を実施するように適合され、新規セキュリティ証明を使って再認証手順を実施するように適合された回路構成および/またはプログラミングを備え得る。
【００６２】
通信インターフェース604は、リレーノード600のワイヤレス通信を円滑にするように構成される。たとえば、通信インターフェース604は、アクセス端末、アクセスノード、他のリレーノードなどのような、他のワイヤレスデバイスに対して双方向に情報を伝えるように構成され得る。通信インターフェース604は、アンテナ(図示せず)に結合することができ、ワイヤレス通信のための少なくとも1つの送信機および/または少なくとも1つの受信機(たとえば、1つまたは複数の送信機/受信機チェーン)を含むワイヤレストランシーバ回路を含み得る。
【００６３】
いくつかの実施形態では、リレーノード600は、信頼できる環境(TrE)606を含み得る。信頼できる環境606は、TS 33.320での3GPP Specification Detailにおける信頼できる環境のための仕様を満たすように適合され得る。信頼できる環境606は、初期セキュリティ証明の少なくともいくつかとともに事前プロビジョニングされ(またはセキュアに組み込まれ)得る。たとえば、信頼できる環境606には、その中に記憶されたベンダ証明および/または初期認証および鍵一致(AKA)証明を有し得る。
【００６４】
いくつかの実施形態では、リレーノード600は、初期認証および鍵一致(AKA)証明などの初期セキュリティ証明を事前プロビジョニングされたセキュアなプロセッサ608を含み得る。セキュアなプロセッサ608は、ユニバーサル集積回路カード(UICC)などのスマートカードを含むことができ、かつ/またはユニバーサル加入者識別情報モジュール(USIM)アプリケーションを含み得る。
【００６５】
リレーノード600の1つまたは複数の特徴によると、処理回路602は、本明細書において図1〜図5を参照して上で記載した様々なリレーノード(たとえば、リレーノード102)に関連したプロセス、機能、ステップおよび/またはルーチンのいずれかまたはすべてを実施するように適合され得る。処理回路602に関係して本明細書で使用する「適合される」という用語は、本明細書に記載した様々な特徴による特定のプロセス、機能、ステップおよび/またはルーチンを実施するように構成されること、利用されること、実装されること、またはプログラムされることのうち1つまたは複数を行われる処理回路602を指し得る。
【００６６】
図7は、リレーノード600などのリレーノード内で動作可能な方法の少なくとも1つの実装形態の例を示す流れ図である。図6と図7の両方を参照すると、リレーノード600は、ステップ702で、ネットワークエンティティとの通信を開始することができる。たとえば、処理回路602は、通信インターフェース604を使って、ネットワークエンティティ(たとえば、モバイル管理エンティティ(MME))にワイヤレスにアタッチすることができる。リレーノード600がネットワークエンティティに最初にアタッチするとき、リレーノード600は、ネットワークエンティティにとってユーザデバイス(たとえば、アクセス端末またはクライアントデバイス)として見え得る。
【００６７】
ステップ704で、リレーノードは、その初期セキュリティ証明を使って、ネットワークエンティティとワイヤレス認証を行うことができる。たとえば、処理回路602は、通信インターフェース604を介して、ネットワークエンティティに対してリレーノードを認証することができる。少なくとも1つの実装形態では、認証および再認証モジュール603は、リレーノード600に記憶された初期セキュリティ証明を使って、認証手順を実施することができる。認証および再認証モジュール603は、呼掛け応答認証など、従来のどの認証方式も利用することができる。いくつかの実装形態では、認証および再認証モジュール603によって利用される初期セキュリティ証明は、初期認証および鍵一致(AKA)証明ならびに/またはベンダ証明(たとえば、ベンダ証明書)を含み得る。初期認証および鍵一致(AKA)証明は、リレーノード600の信頼できる環境(TrE)606またはセキュアなプロセッサ608のいずれかに記憶することができる。ベンダ証明は、信頼できる環境(TrE)606に記憶することができる。
【００６８】
初期認証および鍵一致(AKA)証明は、初期リレーノード識別情報(たとえば、IMSI)と、初期リレーノード識別情報に関連付けられた初期共有秘密とを含み得る。ワイヤレス認証時に、初期リレーノード識別情報は、初期構成の限定目的で、リレーノード600に対してネットワークアクセスを認可する通信ネットワーク内の加入プロファイルに関連付けられ得る。
【００６９】
ステップ706で、リレーノード600は、構成の限定目的で通信ネットワークとワイヤレス通信するための認可を受ける。たとえば、処理回路602は、通信インターフェース604を介して、新規セキュリティ証明と、いくつかの実装形態では、構成データとを取得するために、限られた通信ネットワーク部分とワイヤレス通信するための認可を受けることができる。この認可により、リレーノード600は、リレーデバイスの構成および管理に関与するネットワークエンティティへのアクセスにのみ制限される場合がある。いくつかの実装形態では、リレーノード600向けのネットワークアクセスは、リレーノード600が通信することを認められるアクセスポイント名(APN)を制限することによって制限され得る。
【００７０】
通信ネットワークにアクセスするための認可に続き、リレーノード600は、ステップ708で新規セキュリティ証明を受信する。たとえば、処理回路602は、通信インターフェース604を介して、オペレータのOAM&Pシステムなど、ネットワークの管理および構成エンティティから新規セキュリティ証明を受信することができる。いくつかの実装形態では、処理回路602は、新規リレーノード識別情報(たとえば、新規IMSI)および新規リレーノード識別情報に関連付けられた新規共有秘密などの新規認証および鍵一致(AKA)証明を受信し得る。いくつかの実装形態では、処理回路602は、オペレータ証明書および/または新規共有鍵などのオペレータ証明を受信し得る。新規セキュリティ証明は、信頼できる環境(TrE)606に処理回路602によって記憶することができる。いくつかの実装形態では、リレーノード600は、同じ初期リレーノード識別情報(IMSI)を保有し得るが、初期リレーノード識別情報は、1つまたは複数のアクセス端末と通信ネットワークとの間でネットワークトラフィックを伝えるためのリレーデバイスとしてリレーノード600が動作するのに必要などのネットワークアクセスも認可する新規加入プロファイルに関連付けられ得る。
【００７１】
少なくともいくつかの実装形態によると、リレーノード600は、新規セキュリティ証明に加え、構成データも受信し得る。たとえば、処理回路602は、リレーノード600が通信ネットワーク内のリレーデバイスとして動作することを可能にするように適合された構成情報を受信することができる。つまり、リレーノード600は、ノード600が、通信ネットワーク内のアクセス端末とネットワークエンティティ(たとえば、アクセスノードおよび/または他のリレーノード)との間でネットワークトラフィックを伝えることを可能にするための適正な構成情報を取得することができる。
【００７２】
リレーノード600が新規セキュリティ証明およびどの構成データも(受信される場合)受信し、実装した後、リレーノード600は、ステップ710で、通信ネットワーク内でリレーデバイスとして動作するのに先立って、新規セキュリティ証明を使って、ネットワークエンティティと再認証を行うことができる。たとえば、処理回路602は、通信インターフェース604を介してネットワークエンティティに再接続することができ、新規セキュリティ証明を使って、ネットワークエンティティと再認証を行うことができる。少なくともいくつかの実装形態では、認証および再認証モジュール603は、信頼できる環境(TrE)606から新規セキュリティ証明を取得することができ、新規セキュリティ証明を使って、呼掛け応答認証アルゴリズムなど、従来のどの認証方式も利用することができる。リレーノード600が再認証のためにネットワークエンティティに再アタッチするとき、リレーノード600は、ネットワークエンティティにとってリレーデバイスとして見え得る。
【００７３】
例示的なネットワークエンティティ
図8は、少なくとも1つの実施形態によるネットワークエンティティ800の選択構成要素を示すブロック図である。ネットワークエンティティ800は、通信インターフェース804に結合された処理回路802を含み得る。
【００７４】
処理回路802は、データを取得し、処理し、かつ/または送り、データのアクセスおよび記憶を制御し、コマンドを発行し、他の所望の動作を制御するように設けられる。少なくとも1つの実施形態では、処理回路802は、適切なメディアによって与えられる所望のプログラミングを実装するように構成された回路を含み得る。たとえば、処理回路802は、たとえば、ソフトウェアならびに/またはファームウェア命令、および/もしくはハードウェア回路を含む実行可能命令を実行するように構成された、プロセッサ、コントローラ、複数のプロセッサおよび/または他の構造のうちの1つまたは複数として実装され得る。処理回路802の実施形態は、汎用プロセッサ、デジタル信号プロセッサ(DSP)、特定用途向け集積回路(ASIC)、フィールドプログラマブルゲートアレイ(FPGA)または他のプログラマブル論理構成要素、個別ゲートまたはトランジスタ論理、個別ハードウェア構成要素、あるいは本明細書で説明する機能を実行するように設計されたそれらの任意の組合せを含み得る。汎用プロセッサはマイクロプロセッサであり得るが、代替として、プロセッサは、任意の従来のプロセッサ、コントローラ、マイクロコントローラ、または状態機械であり得る。プロセッサは、DSPとマイクロプロセッサとの組合せ、複数のマイクロプロセッサ、DSPコアと連携する1つまたは複数のマイクロプロセッサ、あるいは任意の他のそのような構成など、コンピューティング構成要素の組合せとしても実装され得る。処理回路802のこれらの例は説明のためのものであり、本開示の範囲内の他の好適な構成も企図される。
【００７５】
処理回路802は、認証および再認証モジュール806を含む。認証および再認証モジュール806は、初期セキュリティ証明を使って、リレーノードを認証するための認証手順を実施するように適合され、新規セキュリティ証明を使って、引き続きリレーノードを認証するための再認証手順を実施するように適合された回路構成および/またはプログラミングを備え得る。
【００７６】
通信インターフェース804は、ネットワークエンティティ800の通信を円滑にして、リレーノードと直接または間接的に(たとえば、1つもしくは複数の他のネットワークエンティティを通して)通信するように構成される。
【００７７】
ネットワークエンティティ800の1つまたは複数の特徴によると、処理回路802は、本明細書において図1〜図5を参照して上で記載した様々なネットワークエンティティ(たとえば、モバイル管理エンティティ(MME)110、OAM&P112)に関連したプロセス、機能、ステップおよび/またはルーチンのいずれかまたはすべてを実施するように適合され得る。さらに、ネットワークエンティティ800は、単一エンティティ、またはネットワークの2つ以上のエンティティの組合せを含み得る。限定ではなく例として、ネットワークエンティティ800は、モバイル管理エンティティ(MME)、オペレータの運用、管理、保守、およびプロビジョニング(OAM&P)システム(たとえば、リレーノード管理システム(RN-MS)および/もしくは証明局(CA))、ならびに/またはホーム加入者サーバ(HSS)を含み得る。処理回路802に関係して本明細書で使用する「適合される」という用語は、本明細書に記載した様々な特徴による特定のプロセス、機能、ステップおよび/またはルーチンを実施するように構成されること、利用されること、実装されること、またはプログラムされることのうち1つまたは複数を行われる処理回路802を指し得る。
【００７８】
図9は、ネットワークエンティティ800などのネットワークエンティティ内で動作可能な方法の少なくとも1つの実装形態の例を示す流れ図である。図8と図9の両方を参照すると、ネットワークエンティティは、ステップ902で、リレーノードに関連付けられた初期セキュリティ証明を使ってリレーノードを認証することができる。たとえば、処理回路802は、通信インターフェース804を介してリレーノードと通信して、リレーノードを認証することができる。少なくともいくつかの実装形態によると、認証および再認証モジュール806は、リレーノードの初期セキュリティ証明を使ってリレーノードを認証するのに、呼掛け応答認証アルゴリズムなど、従来のどの認証方式も利用することができる。リレーノードがネットワークエンティティ800によって認証されるとき、リレーノードは、ネットワークエンティティ800にとってユーザデバイス(たとえば、アクセス端末)として見え得る。
【００７９】
いくつかの実装形態では、初期セキュリティ証明は、初期認証および鍵一致(AKA)証明ならびに/またはベンダ証明(たとえば、ベンダ証明書)を含み得る。初期認証および鍵一致(AKA)証明は、初期リレーノード識別情報と、初期リレーノード識別情報に関連付けられた初期共有秘密とを含み得る。
【００８０】
ステップ904で、ネットワークエンティティ800は、リレーノードを構成する限定目的で通信ネットワークとワイヤレス通信するようにリレーノードを認可することができる。たとえば、処理回路802は、初期リレーノード識別情報に基づいて、リレーノードが制限付きネットワークアクセスを認可されると判断することができる。いくつかの実装形態では、認証および再認証モジュール806は、認証中に、初期リレーノード識別情報に関連付けられた加入プロファイルを取得することができ、加入プロファイルは、リレーノードを構成する限定目的で、リレーノードが通信ネットワークにアクセスすることを認可されていることを示す。処理回路802は、リレーノードが通信することを認められるアクセスポイント名(APN)を制限することによって、リレーノード向けのネットワークアクセスを制限するように適合され得る。
【００８１】
少なくともいくつかの実装形態によると、ネットワークエンティティ800は、新規セキュリティ証明および構成データを取得する限定目的で通信するように、リレーノードを認可することができる。つまり、処理回路802は、リレーノードが新規セキュリティ証明および構成データを取得するために、通信ネットワークと通信するようにリレーノードを認可するとともに、他の目的でのワイヤレス通信に関してはリレーノードを制限するように適合され得る。
【００８２】
リレーノードの認証および認可に続いて、ならびにリレーノードが通信ネットワークから新規セキュリティ証明および構成データを取得した後で、ネットワークエンティティ800は、ステップ906で、リレーノードに関連付けられた新規セキュリティ証明を使ってリレーノードを再認証する。たとえば、処理回路802は、新規セキュリティ証明を使ってリレーノードを再認証することができる。少なくともいくつかの実装形態では、認証および再認証モジュール806は、新規セキュリティ証明を使っての、呼掛け応答認証アルゴリズムなどの従来の認証方式を利用して、リレーノードをその新規セキュリティ証明を使って認証することができる。ネットワークエンティティ800がリレーノードを再認証するとき、リレーノードは、ネットワークエンティティ800にとってリレーデバイスとして見え得る。リレーノードは、通信ネットワークに通信を中継するためにリレーノードを使う加入者またはクライアント端末にとって、ネットワークデバイスとして見え得る。
【００８３】
少なくともいくつかの実装形態では、新規セキュリティ証明は、新規リレーノード識別情報(たとえば、新規IMSI)および新規リレーノード識別情報に関連付けられた新規共有秘密などの新規認証および鍵一致(AKA)証明を含み得る。そのような実装形態では、認証および再認証モジュール806は、再認証手順中に、新規リレーノード識別情報に関連付けられた加入プロファイルを取得することができ、加入プロファイルは、1つまたは複数のアクセス端末と通信ネットワークとの間でトラフィックを伝えるリレーデバイスとして動作するために、リレーノードに対してネットワークアクセスを認可する。
【００８４】
少なくともいくつかの実装形態では、認証および再認証モジュール806は、新規セキュリティ証明と初期セキュリティ証明の両方を使ってリレーノードを再認証することができる。そのような実装形態では、新規セキュリティ証明は、オペレータ証明書および/または新規共有鍵などのオペレータ証明を含み得る。新規セキュリティ証明と組み合わせて利用される初期セキュリティ証明は、初期リレーノード識別情報(IMSI)を含み得るが、初期リレーノード識別情報は、1つまたは複数のアクセス端末と通信ネットワークとの間でネットワークトラフィックを伝えるためのリレーデバイスとしてリレーノードが動作するのに必要などのネットワークアクセスも認可する新規加入プロファイルに関連付けられ得る。そのような実装形態では、認証および再認証モジュール806は、再認証手順中に、初期リレーノード識別情報に関連付けられた新規加入プロファイルを取得することができる。
【００８５】
リレーノードの再認証成功に応答して、ネットワークエンティティ800は、ステップ908で、通信ネットワーク内でリレーデバイスとして動作するようにリレーノードを認可することができる。たとえば、処理回路802は、1つまたは複数のアクセス端末と通信ネットワークとの間でトラフィックを伝えるリレーデバイスとして動作するための再認証成功に基づいて、リレーノードを認可することができる。
【００８６】
図1、図2、図3、図4、図5、図6、図7、図8、図9および/または図10に示す構成要素、ステップ、特徴および/または機能のうちの1つまたは複数は、単一の構成要素、ステップ、特徴または機能に再構成し、および/または組み合わせられ、あるいは、いくつかの構成要素、ステップ、または機能で実施され得る。また、本開示から逸脱することなく追加の要素、構成要素、ステップ、および/または機能が追加され得る。図1、図6、および/または図8に示す装置、デバイス、および/または構成要素は、図2、図3、図4、図5、図7および/または図9に記載した方法、特徴、またはステップのうちの1つまたは複数を実行するように構成され得る。本明細書に記載の新規のアルゴリズムは、ソフトウェアでも効率的に実装され得、および/またはハードウェアにも組み込まれ得る。
【００８７】
また、少なくともいくつかの実装形態を、フローチャート、流れ図、構造図またはブロック図として示されるプロセスとして説明したことに留意されたい。フローチャートは動作を逐次プロセスとして説明し得るが、動作の多くは並行してまたは同時に実行され得る。さらに、動作の順序は並び替えられ得る。プロセスは、それの動作が完了したときに終了する。プロセスは、方法、関数、手順、サブルーチン、サブプログラムなどに対応し得る。プロセスが関数に対応するとき、プロセスの終了は、関数呼出しまたはメイン関数に対する関数のリターンに対応する。
【００８８】
さらに、実施形態は、ハードウェア、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、またはそれらの任意の組合せによって実装され得る。ソフトウェア、ファームウェア、ミドルウェアまたはマイクロコードで実装されるとき、必要なタスクを実行するプログラムコードまたはコードセグメントは、記憶媒体または他のストレージなどの機械可読媒体に記憶され得る。プロセッサは必要なタスクを実行し得る。コードセグメントは、手順、関数、サブプログラム、プログラム、ルーチン、サブルーチン、モジュール、ソフトウェアパッケージ、クラス、または命令、データ構造もしくはプログラムステートメントの任意の組合せを表し得る。コードセグメントは、情報、データ、引数、パラメータ、またはメモリ内容をパスおよび/または受信することによって、別のコードセグメントまたはハードウェア回路に結合され得る。情報、引数、パラメータ、データなどは、メモリ共有、メッセージパッシング、トークンパッシング、ネットワーク送信などを含む、任意の好適な手段を介してパス、フォワーディング、または送信され得る。
【００８９】
「機械可読媒体」、「コンピュータ可読媒体」、および/または「プロセッサ可読媒体」という用語は、ポータブルまたは固定ストレージデバイス、光ストレージデバイス、ならびに命令および/またはデータを記憶、含有または搬送することが可能な様々な他の非一時的媒体を含み得るが、これらに限定されない。したがって、本明細書で説明する様々な方法は、「機械可読媒体」、「コンピュータ可読媒体」および/または「プロセッサ可読媒体」に記憶され、1つまたは複数のプロセッサ、機械および/またはデバイスによって実行され得る命令および/またはデータによって、部分的にまたは完全に実装され得る。
【００９０】
本明細書で開示する例に関して説明する方法またはアルゴリズムは、ハードウェアで、プロセッサによって実行可能なソフトウェアモジュールで、または両方の組合せで、処理ユニット、プログラム命令、または他の指示の形態で直接実施され得、単一のデバイスに含まれるかまたは複数のデバイスにわたって分散され得る。ソフトウェアモジュールは、RAMメモリ、フラッシュメモリ、ROMメモリ、EPROMメモリ、EEPROMメモリ、レジスタ、ハードディスク、リムーバブルディスク、CD-ROM、または当技術分野で知られている任意の他の形態の非一時的記憶媒体中に常駐し得る。記憶媒体は、プロセッサがその記憶媒体から情報を読み取り、その記憶媒体に情報を書き込むことができるようにプロセッサに結合され得る。代替として、記憶媒体はプロセッサと一体であり得る。
【００９１】
さらに、本明細書で開示する実施形態に関して説明する様々な例示的な論理ブロック、モジュール、回路、およびアルゴリズムステップは、電子ハードウェア、コンピュータソフトウェア、または両方の組合せとして実装され得ることを当業者は諒解されよう。ハードウェアとソフトウェアのこの互換性を明確に示すために、様々な例示的な構成要素、ブロック、モジュール、回路、およびステップを、上記では概してそれらの機能に関して説明した。そのような機能をハードウェアとして実装するか、ソフトウェアとして実装するかは、特定の適用例および全体的なシステムに課される設計制約に依存する。
【００９２】
本明細書で説明する本発明の様々な特徴は、本発明から逸脱することなく様々なシステムで実装され得る。上記の実施形態は例にすぎず、本発明を限定するものと解釈すべきではないことに留意されたい。実施形態の説明は、例示的なものであり、本開示の範囲を限定するものではない。したがって、本教示は、他のタイプの装置、ならびに多くの代替形態、変更形態、および変形形態に容易に適用され得ることが当業者に明らかであろう。
【符号の説明】
【００９３】
102  リレーノード
104  アクセス端末
106  アクセスノード
108  ネットワーク
110  モバイル管理エンティティ(MME)
112  運用、管理、保守、およびプロビジョニング(OAM&P)システム
114  サービングおよびPDNゲートウェイ(SGW/PGW)
302  ユニバーサル集積回路カード(UICC)
304  信頼できる環境(TrE)
314  ホーム加入者サーバ(HSS)
320  証明局(CA)
324  リレーノード管理サーバ(RN-MS)
401  信頼できる環境(TrE)
407  ホーム加入者サーバ(HSS)
411  証明局(CA)
413  リレーノード管理サーバ(RN-MS)
502  ユニバーサル集積回路カード(UICC)
504  信頼できる環境(TrE)
514  ホーム加入者サーバ(HSS)
520  証明局(CA)
524  リレーノード管理サーバ(RN-MS)
600  リレーノード
602  処理回路
603  認証および再認証モジュール
604  ワイヤレス通信インターフェース、通信インターフェース
606  信頼できる環境(TrE)
608  セキュアなプロセッサ
800  ネットワークエンティティ
802  処理回路
804  通信インターフェース
806  認証および再認証モジュール
1000  鍵階層
1002  マスター鍵
1004  暗号解読鍵(CK)
1006  完全性鍵(IK)
1008  アクセスセキュリティ管理エンティティ鍵、鍵K_ASME
1010  NAS(非アクセス層)鍵
1012  NAS(非アクセス層)鍵
1014  AS(アクセス層)鍵
1016  AS(アクセス層)鍵
1018  AS(アクセス層)鍵
1020  AS(アクセス層)鍵
【図１】
2013534755.tif 000003
【図２】
2013534755.tif 000004
【図３Ａ】
2013534755.tif 000005
【図３Ｂ】
2013534755.tif 000006
【図４Ａ】
2013534755.tif 000007
【図４Ｂ】
2013534755.tif 000008
【図５Ａ】
2013534755.tif 000009
【図５Ｂ】
2013534755.tif 000010
【図６】
2013534755.tif 000011
【図７】
2013534755.tif 000012
【図８】
2013534755.tif 000013
【図９】
2013534755.tif 000014
【図１０】
2013534755.tif 000015
【国際調査報告】
2013534755.tif 000016
2013534755.tif 000017