(57)【要約】  本発明は、モバイルインターネットプロトコル鍵配布のためのジェネリック認証アーキテクチャの利用を可能にする。モバイル端末装置とブートストラップサーバ機能との間でジェネリック認証アーキテクチャのブートストラップを実行する。実施形態では、結果として得られるブートストラップトランザクション識別子をホームエージェントに送信し、ホームエージェントはそれを使用して、モバイルインターネットプロトコル登録要求を認証する際に使用するホームエージェント固有鍵を取得する。
2008537398.tif 000002
【特許請求の範囲】
【請求項１】
モバイル端末装置と、ブートストラップサーバ機能と、ネットワークアプリケーション機能と、前記モバイル端末装置に関連するホームエージェントとを備えるパケットデータネットワークにおけるモバイルインターネットプロトコル鍵配布のためにジェネリック認証アーキテクチャを利用する方法であって、前記方法が、
前記モバイル端末装置と前記ブートストラップサーバ機能との間でジェネリック認証アーキテクチャのブートストラップ手順を実行し、その結果、前記モバイル端末装置とブートストラップサーバ機能とが各々少なくとも、前記モバイル端末装置に関連するブートストラップトランザクション識別子と対応する共有鍵とを獲得するステップと、
前記モバイル端末装置によって、少なくとも前記獲得された共有鍵と前記ネットワークアプリケーション機能の識別子とに基づいて、ネットワークアプリケーション機能固有鍵を導出するステップと、
前記モバイル端末装置によって、少なくとも前記導出されたネットワークアプリケーション機能固有鍵に基づいてメッセージ認証コードを導出するステップと、
前記モバイル端末装置から前記ホームエージェントに、前記導出されたメッセージ認証コードと前記モバイル端末装置の識別子とを備えるモバイルインターネットプロトコル登録についての要求メッセージを送信するステップと、
前記ホームエージェントによって、前記モバイル端末装置の前記受信された識別子に基づいて、前記ブートストラップサーバ機能および前記ネットワークアプリケーション機能の１つから前記ネットワークアプリケーション機能固有鍵を取得するステップと、
前記ホームエージェントによって、前記メッセージ認証コードを前記取得されたネットワークアプリケーション機能固有鍵によって検証することにより、モバイルインターネットプロトコル登録についての前記要求メッセージを認証するステップとを含む方法。
【請求項２】
さらに、
認証の成功に応答して、モバイルインターネットプロトコル登録が成功したことを示すため、確認メッセージを前記モバイル端末装置に送信するステップを含む、請求項１に記載の方法。
【請求項３】
その後前記モバイル端末装置から前記ホームエージェントに受信されたモバイルインターネットプロトコル登録についての要求メッセージが、前記取得されたネットワークアプリケーション機能固有鍵を利用することによって認証される、請求項１に記載の方法。
【請求項４】
前記モバイル端末装置の前記識別子が、前記ブートストラップトランザクション識別子を備える、請求項１に記載の方法。
【請求項５】
前記モバイル端末装置の前記識別子が、前記モバイル端末装置のネットワークアクセス識別子を備える、請求項１に記載の方法。
【請求項６】
前記ネットワークアプリケーション機能の前記識別子が、前記ネットワークアプリケーション機能のドメイン名サーバ名を備える、請求項１に記載の方法。
【請求項７】
前記ネットワークアプリケーション機能の前記識別子が、前記ネットワークアプリケーション機能のインターネットプロトコルアドレスを備える、請求項１に記載の方法。
【請求項８】
前記ネットワークアプリケーション機能が前記ホームエージェントに関連し、前記ネットワークアプリケーション機能の前記識別子が前記ホームエージェントのドメイン名サーバ名を備える、請求項１に記載の方法。
【請求項９】
前記ネットワークアプリケーション機能が前記ホームエージェントに関連し、前記ネットワークアプリケーション機能の前記識別子が前記ホームエージェントのインターネットプロトコルアドレスを備える、請求項１に記載の方法。
【請求項１０】
前記ネットワークアプリケーション機能が、前記ホームエージェントを含むホームエージェントのグループに関連し、前記ネットワークアプリケーション機能の前記識別子が前記ネットワークアプリケーション機能のドメイン名サーバ名を備える、請求項１に記載の方法。
【請求項１１】
前記ネットワークアプリケーション機能が、前記ホームエージェントを含むホームエージェントのグループに関連し、前記ネットワークアプリケーション機能の前記識別子が前記ネットワークアプリケーション機能のインターネットプロトコルアドレスを備える、請求項１に記載の方法。
【請求項１２】
前記モバイル端末装置がまず前記ブートストラップ手順を実行することなしにモバイルインターネットプロトコル登録についての要求メッセージが前記モバイル端末装置から前記ホームエージェントに送信された場合、ブートストラップが必要であることを示すメッセージが前記ホームエージェントから前記モバイル端末装置に送信される、請求項１に記載の方法。
【請求項１３】
モバイル端末装置と、ブートストラップサーバ機能と、ネットワークアプリケーション機能と、前記モバイル端末装置に関連するホームエージェントとを備えるパケットデータネットワークにおけるモバイルインターネットプロトコル鍵配布のためにジェネリック認証アーキテクチャを利用するシステムであって、前記システムが、
それぞれ前記モバイル端末装置および前記ブートストラップサーバ機能に配置され、前記モバイル端末装置と前記ブートストラップサーバ機能との間でジェネリック認証アーキテクチャのブートストラップ手順を実行するように構成され、その結果前記モバイル端末装置と前記ブートストラップサーバ機能とが各々少なくとも、前記モバイル端末装置に関連するブートストラップトランザクション識別子と対応する共有鍵とを獲得する、第１のブートストラッパおよび第２のブートストラッパと、
前記モバイル端末装置に配置され、少なくとも前記獲得された共有鍵と前記ネットワークアプリケーション機能の識別子とに基づいて、ネットワークアプリケーション機能固有鍵を導出するように構成されたネットワークアプリケーション機能固有鍵導出器と、
前記モバイル端末装置に配置され、少なくとも前記導出されたネットワークアプリケーション機能固有鍵に基づいてメッセージ認証コードを導出するように構成されたメッセージ認証コード導出器と、
前記モバイル端末装置に配置され、前記導出されたメッセージ認証コードと前記モバイル端末装置の識別子とを備えるモバイルインターネットプロトコル登録についての要求メッセージを前記ホームエージェントに送信するように構成された登録要求器と、
前記ホームエージェントに配置され、前記モバイル端末装置の前記受信された識別子に基づいて、前記ブートストラップサーバ機能および前記ネットワークアプリケーション機能の１つから前記ネットワークアプリケーション機能固有鍵を取得するように構成されたネットワークアプリケーション機能固有鍵取得器と、
前記ホームエージェントに配置され、前記受信されたメッセージ認証コードを前記取得されたネットワークアプリケーション機能固有鍵によって検証することにより、モバイルインターネットプロトコル登録についての前記受信された要求メッセージを認証するように構成された登録認証器とを備えるシステム。
【請求項１４】
前記ネットワークアプリケーション機能固有鍵取得器がさらに、前記モバイル端末装置の前記受信された識別子と前記ネットワークアプリケーション機能の前記識別子とを備える、前記ネットワークアプリケーション機能固有鍵についての要求を前記ネットワークアプリケーション機能に送信するように構成され、
前記ネットワークアプリケーション機能がさらに、前記要求を前記ブートストラップサーバ機能に転送するように構成され、
前記ブートストラップサーバ機能がさらに、前記受信された要求に応答して、少なくとも前記ネットワークアプリケーション機能の前記受信された識別子と前記モバイル端末装置の前記受信された識別子に対応する共有鍵とに基づいて前記ネットワークアプリケーション機能固有鍵を導出するように構成され、
前記ブートストラップサーバ機能がさらに、前記導出されたネットワークアプリケーション機能固有鍵を前記ホームエージェントに転送するように構成されている、請求項１３に記載のシステム。
【請求項１５】
モバイル端末装置と、ブートストラップサーバ機能と、ネットワークアプリケーション機能と、前記モバイル端末装置に関連するホームエージェントとを備えるパケットデータネットワークにおけるモバイルインターネットプロトコル鍵配布のためジェネリック認証アーキテクチャを利用するシステムであって、前記システムが、
それぞれ前記モバイル端末装置および前記ブートストラップサーバ機能に配置され、前記モバイル端末装置と前記ブートストラップサーバ機能との間でジェネリック認証アーキテクチャのブートストラップ手順を実行し、その結果前記モバイル端末装置と前記ブートストラップサーバ機能とが各々少なくとも、前記モバイル端末装置に関連するブートストラップトランザクション識別子と対応する共有鍵とを獲得する、第１のブートストラップ手段および第２のブートストラップ手段と、
前記モバイル端末装置に配置され、少なくとも前記獲得された共有鍵と前記ネットワークアプリケーション機能の識別子とに基づいてネットワークアプリケーション機能固有鍵を導出する、ネットワークアプリケーション機能固有鍵導出手段と、
前記モバイル端末装置に配置され、少なくとも前記導出されたネットワークアプリケーション機能固有鍵に基づいてメッセージ認証コードを導出する、メッセージ認証コード導出手段と、
前記モバイル端末装置に配置され、前記導出されたメッセージ認証コードと前記モバイル端末装置の識別子とを備えるモバイルインターネットプロトコル登録についての要求メッセージを前記ホームエージェントに送信する登録要求手段と、
前記ホームエージェントに配置され、前記モバイル端末装置の前記受信された識別子に基づいて、前記ブートストラップサーバ機能および前記ネットワークアプリケーション機能の１つから前記ネットワークアプリケーション機能固有鍵を取得するネットワークアプリケーション機能固有鍵取得手段と、
前記ホームエージェントに配置され、前記受信されたメッセージ認証コードを前記取得されたネットワークアプリケーション機能固有鍵によって検証することにより、モバイルインターネットプロトコル登録についての前記受信された要求メッセージを認証する登録認証手段とを備えるシステム。
【請求項１６】
パケットデータネットワークのモバイル端末装置であって、前記モバイル端末装置が、
前記パケットデータネットワークのブートストラップサーバ機能によってジェネリック認証アーキテクチャのブートストラップ手順を実行するように構成され、その結果前記モバイル端末装置と前記ブートストラップサーバ機能とが各々少なくとも、前記モバイル端末装置に関連するブートストラップトランザクション識別子と対応する共有鍵とを獲得する、第１のブートストラッパと、
少なくとも前記獲得された共有鍵と前記パケットデータネットワークのネットワークアプリケーション機能の識別子とに基づいて、ネットワークアプリケーション機能固有鍵を導出するように構成されたネットワークアプリケーション機能固有鍵導出器と、
少なくとも前記導出されたネットワークアプリケーション機能固有鍵に基づいてメッセージ認証コードを導出するように構成されたメッセージ認証コード導出器と、
前記導出されたメッセージ認証コードと前記モバイル端末装置の識別子とを備えるモバイルインターネットプロトコル登録についての要求メッセージを前記モバイル端末装置に関連するホームエージェントに送信するように構成された登録要求器とを備えるモバイル端末装置。
【請求項１７】
パケットデータネットワークのホームエージェントであって、
前記パケットデータネットワークのモバイル端末装置の識別子に基づいて、前記パケットデータネットワークのブートストラップサーバ機能およびネットワークアプリケーション機能の１つからネットワークアプリケーション機能固有鍵を取得するように構成され、その際前記モバイル端末装置の前記識別子が前記モバイル端末装置から受信される、ネットワークアプリケーション機能固有鍵取得器と、
メッセージ認証コードを前記取得されたネットワークアプリケーション機能固有鍵によって検証することにより、モバイルインターネットプロトコル登録についての要求メッセージを認証するように構成され、その際前記要求メッセージおよび前記メッセージ認証コードが前記モバイル端末装置から受信される、登録認証器とを備えるホームエージェント。
【請求項１８】
モバイル端末装置と、ブートストラップサーバ機能と、ネットワークアプリケーション機能と、前記モバイル端末装置に関連するホームエージェントとを備えるパケットデータネットワークにおけるモバイルインターネットプロトコル鍵配布のためにジェネリック認証アーキテクチャを利用する、コンピュータ可読媒体上で具体化されるコンピュータプログラムであって、前記コンピュータプログラムが、
前記モバイル端末装置と前記ブートストラップサーバ機能との間でジェネリック認証アーキテクチャのブートストラップ手順を実行するステップであって、その結果前記モバイル端末装置と前記ブートストラップサーバ機能とが各々少なくとも、前記モバイル端末装置に関連するブートストラップトランザクション識別子と対応する共有鍵とを獲得するステップと、
前記モバイル端末装置によって、少なくとも前記獲得された共有鍵と前記ネットワークアプリケーション機能の識別子とに基づいて、ネットワークアプリケーション機能固有鍵を導出するステップと、
前記モバイル端末装置によって、少なくとも前記導出されたネットワークアプリケーション機能固有鍵に基づいてメッセージ認証コードを導出するステップと、
前記モバイル端末装置から前記ホームエージェントに、前記導出されたメッセージ認証コードと前記モバイル端末装置の識別子とを備えるモバイルインターネットプロトコル登録についての要求メッセージを送信するステップと、
前記ホームエージェントによって、前記モバイル端末装置の前記受信された識別子に基づいて、前記ブートストラップサーバ機能および前記ネットワークアプリケーション機能の１つから前記ネットワークアプリケーション機能固有鍵を取得するステップと、
前記ホームエージェントによって、前記受信されたメッセージ認証コードを前記取得されたネットワークアプリケーション機能固有鍵によって検証することにより、モバイルインターネットプロトコル登録についての前記受信された要求メッセージを認証するステップと、
を実行するデータ処理装置を制御するコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電気通信に関する。特に、本発明は、パケットデータネットワークにおいてモバイルインターネットプロトコル鍵配布のためにジェネリック認証アーキテクチャを利用する新しい改善された方法およびシステムに関する。
【背景技術】
【０００２】
近年、従来の固定パケット交換データ通信ネットワークと並んで、モバイルパケット交換データ通信ネットワークが出現した。モビリティを可能にしたパケット交換データ通信ネットワーク、略してパケットデータネットワークの一例は、無線ローカルエリアネットワーク（ＷＬＡＮまたは無線ＬＡＮ）として知られている。無線ＬＡＮによって、モバイルユーザは無線接続を通じてローカルエリアネットワーク（ＬＡＮ）に接続することができる。ＩＥＥＥ８０２．１１標準は無線ＬＡＮの技術を規定している。
【０００３】
また、モバイル電気通信ネットワークは、従来の回線交換データ伝送に加えて、パケット交換データまたはパケットデータの伝送のサポートを開始した。モバイル通信ネットワークのためのパケットデータ伝送を可能にする技術の一例は、汎用パケット無線サービス（ＧＰＲＳ）である。ＧＰＲＳは、例えば、モバイル通信用グローバルシステム（ＧＳＭ）標準に基づくデジタルモバイル電気通信ネットワークをサポートするように設計されている。しかし、ＧＰＲＳはＧＳＭネットワークだけに制限されているわけではなく、例えば第３世代パートナーシッププロジェクト（３ＧＰＰ）ベースのデジタルモバイル電気通信ネットワーク、略して３ＧＰＰシステムをもサポートする。
【０００４】
電気通信の分野での現在の目的は、例えば、無線ＬＡＮユーザが３ＧＰＰシステム内の資源およびサービスにアクセスでき、またその逆も可能になるような、３ＧＰＰシステムと無線ＬＡＮとの網間接続を可能にすることである。この目的の一部として、特に無線ＬＡＮと３ＧＰＰシステムとの間のハンドオーバの際に、サービスおよびセッションの連続性を提供する必要がある。上記のサービスとセッションの連続性を可能にするためには、モビリティを提供するプロトコルが必要である。こうしたプロトコルの１つが、モバイルインターネットプロトコル、略してモバイルＩＰである。
【０００５】
モバイルＩＰは、ＩＰのためのモビリティサポートの提供を目的とした、インターネットプロトコル（ＩＰ）の拡張である。モバイルＩＰを使用することによって、端末装置は、（ＩＰ上の層から見える）ＩＰアドレスを変更せずに１つのリンクから別のリンクに移動することができ、その場合でも他の端末装置から到達可能である。モバイルＩＰはＩＥＴＦ（インターネット技術タスクフォース）によって開発中であり、その完全な仕様書は、例えば、ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇから入手可能である。
【０００６】
以下、モバイルＩＰおよび本文書の他の部分に関連する用語を簡単に説明する。「ノード」という用語は、ＩＰを実現する装置を指す。ルータとは、それ自体に明示的にアドレス指定されていないＩＰパケットを転送する装置を指す。リンクとは、開放型システム間相互接続（ＯＳＩ）リンク層でノードが通信可能な通信機能または媒体を指す。インタフェースとは、ノードのリンクへの接続を指す。サブネットプレフィックスとは、ＩＰアドレスの最初の数ビットからなるビット列を指す。パケットとは、１つかそれ以上のヘッダおよびペイロードを備えるＩＰパケットを指す。ヘッダは１つかそれ以上のフィールドを備える。使用されるプロトコルに関する情報を送付するために使用されるデータのユニットをメッセージと呼ぶ。その長さに応じて、モバイルＩＰメッセージは１つのＩＰパケットで伝送してもよく、またいくつかの部分に分割し分割した部分を別のＩＰパケットで伝送してもよい。さらに、拡張を使用することによってメッセージ中でオプションの情報を伝達してもよい。
【０００７】
ホームアドレスとは、モバイルノードに割当てられ、そのモバイルノードの永久アドレスまたは半永久アドレスとして使用されるＩＰアドレスを指す。ホームサブネットプレフィックスとは、モバイルノードのホームアドレスに対応するＩＰサブネットプレフィックスを指す。ホームリンクとは、モバイルノードのホームサブネットプレフィックスが定義されるリンクを指す。モバイルノードのホームリンク以外のリンクをフォーリンリンクと呼ぶ。モバイルノードのホームサブネットプレフィックス以外のＩＰサブネットプレフィックスをフォーリンサブネットプレフィックスと呼ぶ。モバイルノードとは、そのホームアドレスを介して到達可能でありつつ、１つのリンクから別のリンクに接続点を変更できるノードを指す。移動とは、以前接続していたのと同じリンクに接続しなくなるようなモバイルノードのＩＰネットワークへの接続点の変更を指す。モバイルノードが現在ホームリンクに接続していない場合、モバイルノードは「外出している」と言われる。
【０００８】
対応ノードとは、モバイルノードの通信相手となるピアノードを指す。対応ノード自体はモバイルノードまたは固定ノードのどちらでもよい。気付アドレスとは、フォーリンリンクを訪れている間にモバイルノードが関連付けられるＩＰアドレスを指す。したがって、このＩＰアドレスのサブネットプレフィックスはフォーリンサブネットプレフィックスである。モバイルノードは任意の時間に多数の気付アドレスを有してもよいが、ホームエージェントに登録できるのは１つだけである。ホームエージェントとは、モバイルノードがその現在の気付アドレスを登録したモバイルノードのホームリンク上のルータである。
【０００９】
例えば、モバイルノードにホームアドレスが設定されていない場合、モバイルノードはそれ自体を識別するため、ホームアドレスの代わりに、モバイルノードネットワークアクセス識別子拡張を使用してもよい。モバイルノードネットワークアクセス識別子拡張は、モバイルノードのネットワークアクセス識別子（ＮＡＩ）を含む拡張である。ネットワークアクセス識別子は周知の識別子フォーマットであり、インターネット技術タスクフォース（ＩＥＴＦ）による「コメント要求」−文書ＲＦＣ２４８６に詳細に記載されている。
【００１０】
登録とは、外出中のモバイルノードがその気付アドレスをそのホームエージェントに登録する処理を指す。モバイルＩＰ登録は、モバイルノードがその現在の到達可能性情報をそのホームエージェントに伝えるための柔軟な機構を提供する。そのホームエージェントにその現在の気付アドレスを通知するために登録を利用するのに加えて、モバイルノードは、外出中の転送サービスの要求、期限切れによる登録の更新、および帰宅時の登録解除のために登録を利用してもよい。登録メッセージはモバイルノードとそのホームエージェントとの間で情報を交換する。登録は、ホームエージェントでモビリティ結合を作成または修正し、指定された有効期間中モバイルノードのホームアドレスをその気付アドレスに関連付ける。
【００１１】
登録メッセージは、登録要求メッセージおよび登録応答メッセージを備える。モバイルノードは、ホームエージェントがそのモバイルノードについてのモビリティ結合を作成または修正できるように、登録要求メッセージを使用してそのホームエージェントに登録する。登録要求メッセージに応答して、ホームエージェントは登録応答メッセージをモバイルノードに返す。登録応答メッセージは、ホームエージェントが許可する登録有効期間と共に、その登録要求の状態についてモバイルノードに通知するために必要なコードを含む。
【００１２】
「モビリティセキュリティアソシエーション」という用語は、１対のノード間で交換されるモバイルＩＰプロトコルに適用可能な、１対のノード間のセキュリティコンテキストの収集を指す。各セキュリティコンテキストは、認証アルゴリズムおよびモード、（共有鍵、または適当な公開／秘密鍵のペアといった）秘密、および使用時のリプレイ保護のスタイルを示す。「セキュリティパラメータインデックス（ＳＰＩ）」という用語は、モビリティセキュリティアソシエーションで利用可能なコンテキストのうち、１対のノード間のセキュリティコンテキストを識別するインデックスを指す。すなわち、各モバイルノードとホームエージェントとは、それらのＳＰＩおよびＩＰアドレスによってインデックスされるモビリティセキュリティアソシエーションをサポートする必要がある。モバイルノードの場合、ＩＰアドレスは通常そのホームアドレスである。モバイルノードとそのホームエージェントとの間の登録メッセージは、通常認証有効化拡張によって認証する。
【００１３】
上記の説明から明らかなように、モバイルＩＰは、モバイルノードネットワークアクセス識別子（またはホームアドレス）、モバイルノードとそのホームエージェントとが共有する対称鍵、およびモバイルノードのセキュリティアソシエーションを識別するセキュリティパラメータインデックスといった加入者固有のパラメータがモバイルノードに提供されることを要求する。別言すれば、モバイルＩＰは鍵配布機構を必要とする。
【００１４】
したがって、モバイルＩＰを利用して、３ＧＰＰシステムと無線ＬＡＮとの間で上記のサービスおよびセッションの連続性を可能にするためには、モバイルＩＰのための鍵配布機構が必要である。
【００１５】
最近、３ＧＰＰシステムのために、ジェネリック認証アーキテクチャ（ＧＡＡ）と呼ばれる汎用認証および鍵配布のソリューションが開発された。ジェネリック認証アーキテクチャ（ＧＡＡ）はジェネリックブートストラップアーキテクチャ（ＧＢＡ）を含む。ジェネリック認証アーキテクチャのＧＢＡ部分を使用することによって、ブートストラップトランザクション識別子（Ｂ−ＴＩＤ）によって識別される共有対称鍵を、ユニバーサル加入者識別モジュール（ＵＳＩＭ）認証に基づいてモバイル端末装置とネットワークとの間で合意することができる。
【００１６】
ジェネリック認証アーキテクチャのＧＢＡ部分は、３ＧＰＰ技術仕様書３３．２２０でより詳細に説明されている。しかし、以下、ジェネリック認証アーキテクチャおよび本文書の他の部分に関連する用語を簡単に説明する。
【００１７】
「ネットワークアプリケーション機能」という用語は、ネットワーク要素にホストされるアプリケーションを指す。ブートストラップサーバ機能（ＢＳＦ）は、通常ネットワークオペレータの制御の下で、ネットワーク要素にホストされる。ブートストラップサーバ機能と端末装置とはブートストラップ手順に参加し、そこではネットワークと端末装置との間で共有秘密が確立される。その後、例えば、認証の目的で、ネットワークアプリケーション機能と端末装置との間で共有秘密を使用することができる。認証の目的、および端末装置とネットワークアプリケーション機能との間の通信経路を保護する目的で、ネットワークアプリケーション機能と端末装置との間でジェネリックブートストラップアーキテクチャを使用してもよい。ブートストラップトランザクション識別子を使用して加入者識別情報を対応する鍵に結合する。
【００１８】
ブートストラップ手順は、ブートストラップサーバ機能と端末装置との間で実行される。ブートストラップ手順の実施形態では、端末装置はまず、ユーザ識別情報を備える要求をブートストラップサーバ機能に送信する。それに応答して、ブートストラップサーバ機能は、ユーザのセキュリティ設定と、ランダムチャレンジ（ＲＡＮＤ）、認証トークン（ＡＵＴＮ）、予想応答（ＸＲＥＳ）、暗号鍵（ＣＫ）および完全性鍵（ＩＫ）を含む認証ベクトルとをネットワークから検索する。
【００１９】
そして、ブートストラップサーバ機能は、ランダムチャレンジと認証トークンとを端末装置に転送する。端末装置は、認証トークンを検査して、そのチャレンジが許可されたネットワークからのものであることを検証する。また、端末装置は、暗号鍵、完全性鍵および応答（ＲＥＳ）を計算する。その結果、端末装置とブートストラップサーバ機能との両者は暗号鍵と完全性鍵というセッション鍵によって終了する。次に、端末装置は、ダイジェスト認証・鍵合意（ＡＫＡ）応答を含む別の要求をブートストラップサーバ機能に送信する。ブートストラップサーバ機能は、ダイジェストＡＫＡ応答を検証することによって、端末装置を認証する。
【００２０】
次に、ブートストラップサーバ機能は、暗号鍵と完全性鍵とを連結することによって、共有鍵（Ｋｓ）を生成する。また、例えば、上記のランダムチャレンジ値とブートストラップサーバ機能のサーバ名のｂａｓｅ６４符号化、すなわち、ｂａｓｅ６４ｅｎｃｏｄｅ（ＲＡＮＤ）＠ＢＳＦ＿ｓｅｒｖｅｒｓ＿ｄｏｍａｉｎ＿ｎａｍｅによって、ネットワークアクセス識別子形式で、ブートストラップトランザクション識別子を生成する。ブートストラップサーバ機能は、ブートストラップトランザクション識別子と共有鍵Ｋｓの有効期間とを含むメッセージを端末装置に送信し、認証の成功を示す。端末装置は、暗号鍵と完全性鍵とを連結することによって鍵Ｋｓを生成する。
【００２１】
その後、端末装置とブートストラップサーバ機能との両者は、共有鍵Ｋｓを使用して、例えば、認証の目的で、ネットワークアプリケーション機能と端末装置との間で使用するネットワークアプリケーション機能固有鍵（Ｋｓ＿ＮＡＦ）を導出する。ネットワークアプリケーション機能固有鍵Ｋｓ＿ＮＡＦは、例えば、ＫＤＦが鍵導出関数であり、鍵導出パラメータがユーザの秘密識別情報（ＩＭＰＩ）、ネットワークアプリケーション機能の識別情報（ＮＡＦ＿ＩＤ）およびランダムチャレンジ（ＲＡＮＤ）を備える時、Ｋｓ＿ＮＡＦ＝ＫＤＦ（Ｋｓ，“ｇｂａ−ｍｅ”，ＲＡＮＤ，ＩＭＰＩ，ＮＡＦ＿Ｉｄ）として導出してもよい。ＮＡＦ＿Ｉｄはネットワークアプリケーション機能のドメイン名サーバ名を備える。文字列“ｇｂａ−ｍｅ”は、ＫＤＦの使用目的を指定する。
【００２２】
しかし、上記で説明したジェネリック認証アーキテクチャは、ジェネリック鍵配布ソリューションを提供するが、モバイルＩＰ自体と共に使用することはできない。これは、上記で説明したように、モバイルＩＰが、モバイルノードネットワークアクセス識別子（またはホームアドレス）、モバイルノードとそのホームエージェントとが共有する対称鍵、およびモバイルノードに提供すべきモバイルノードのセキュリティアソシエーションを識別するセキュリティパラメータインデックスを要求するからである。また、やはり上記で説明したように、現在ジェネリック認証アーキテクチャは、鍵およびブートストラップトランザクション識別子を提供するためにしか使用できない。
【００２３】
３ＧＰＰ  ＲＡＤＩＵＳプロトコルの利用、および様々な装置管理関連ソリューションといった、モバイルＩＰのための鍵配布を提供するいくつかの先行技術のソリューションが存在する。だが、ジェネリック認証アーキテクチャを使用することは、先行技術のソリューションに対する大きな利点を有する。例えば、ジェネリック認証アーキテクチャを使用することによって、モバイルＩＰのためのユニバーサル加入者識別モジュール（ＵＳＩＭ）認証および加入者識別モジュール（ＳＩＭ）認証が可能になる。さらに、ジェネリック認証アーキテクチャを使用する場合、モバイルＩＰプロトコル仕様の変更は必要なく、実装の変更の必要も、あったとしてもわずかである。
【発明の開示】
【発明が解決しようとする課題】
【００２４】
したがって、本発明の目的は、上記で説明した問題を緩和し、パケットデータネットワークにおけるモバイルインターネットプロトコル鍵配布のためのジェネリック認証アーキテクチャの利用を可能にする機構を導入することである。
【課題を解決するための手段】
【００２５】
本発明の第１の態様は、モバイル端末装置と、ブートストラップサーバ機能と、ネットワークアプリケーション機能と、モバイル端末装置に関連するホームエージェントとを備えるパケットデータネットワークにおけるモバイルインターネットプロトコル鍵配布のためにジェネリック認証アーキテクチャを利用する方法である。
【００２６】
本発明の文脈で、「モバイル端末装置」という用語は、上記で説明したように、モバイルインターネットプロトコルの観点から、「モバイル端末装置」がモバイルノードとして機能し、かつジェネリック認証アーキテクチャの観点から、「モバイル端末装置」が、ブートストラップサーバ機能によってジェネリック認証アーキテクチャのブートストラップ手順を実行でき、かつジェネリック認証アーキテクチャのブートストラップ手順の結果獲得した共有鍵に基づくネットワークアプリケーション機能固有鍵を導出できる端末装置またはユーザ機器として機能するように、ジェネリック認証アーキテクチャとモバイルインターネットプロトコルとの両者を実現する装置を指すことが理解されるだろう。
【００２７】
さらに、本発明の文脈で、「ブートストラップサーバ機能」という用語は、上記で説明したジェネリック認証アーキテクチャのブートストラップサーバ機能の機能性を実現するネットワークエンティティを指すことが理解されるだろう。ネットワークエンティティは同様に他の機能性を実現してもよい。
【００２８】
さらに、本発明の文脈で、「ホームエージェント」という用語は、上記で説明したモバイルインターネットプロトコルのホームエージェントの機能性を実現するネットワークエンティティを指すことが理解されるだろう。さらに、本発明の文脈で、「ネットワークアプリケーション機能」という用語は、ネットワーク要素にホストされるアプリケーションを指すことが理解されるだろう。
【００２９】
本発明の方法によれば、ジェネリック認証アーキテクチャのブートストラップ手順は、モバイル端末装置とブートストラップサーバ機能との間で実行される。その結果、モバイル端末装置とブートストラップサーバ機能とは各々少なくとも、モバイル端末装置に関連するブートストラップトランザクション識別子と対応する共有鍵とを獲得する。
【００３０】
本発明の文脈で、「共有鍵」という用語は、上記で説明したジェネリック認証アーキテクチャの共有鍵Ｋｓを指すことが理解されるだろう。さらに、本発明の文脈で、「ブートストラップトランザクション識別子」という用語は、上記で説明したジェネリック認証アーキテクチャのブートストラップトランザクション識別子を指すことが理解されるだろう。さらに、本発明の文脈で、「共有」という用語はモバイル端末装置とブートストラップサーバ機能との間で鍵が共有されていることを指すことが理解されるだろう。
【００３１】
さらに、本発明の方法によれば、ネットワークアプリケーション機能固有鍵は、少なくとも獲得された共有鍵とネットワークアプリケーション機能の識別子とに基づいて、モバイル端末装置によって導出される。
【００３２】
本発明の文脈で、「ネットワークアプリケーション機能固有鍵」という用語は、上記で説明したジェネリック認証アーキテクチャのネットワークアプリケーション機能固有鍵Ｋｓ＿ＮＡＦを指すことが理解されるだろう。当業技術分野では、上記で説明したネットワークアプリケーション機能固有鍵Ｋｓ＿ＮＡＦは、Ｋｓ＿ｉｎｔ＿ＮＡＦまたはＫｓ＿ｅｘｔ＿ＮＡＦと呼ばれることもある。本発明によれば、ネットワークアプリケーション機能固有鍵（Ｋｓ＿ＮＡＦ、Ｋｓ＿ｉｎｔ＿ＮＡＦまたはＫｓ＿ｅｘｔ＿ＮＡＦ）は、ネットワークアプリケーション機能の識別子をネットワークアプリケーション機能の識別情報ＮＡＦ＿Ｉｄとして使用することによって導出した。
【００３３】
さらに、本発明の方法によれば、メッセージ認証コードは、少なくとも導出されたネットワークアプリケーション機能固有鍵に基づいて、モバイル端末装置によって導出される。
【００３４】
さらに、本発明の方法によれば、モバイルインターネットプロトコル登録についての要求メッセージが、モバイル端末装置からホームエージェントに送信される。モバイルインターネットプロトコル登録についての要求メッセージは、導出されたメッセージ認証コードとモバイル端末装置の識別子とを備える。メッセージ認証コードは、例えば、「モバイル−ホーム認証拡張」または「モバイルノード−ＡＡＡ認証拡張」といった、要求メッセージの認証拡張中に含まれてもよい。メッセージ認証コードは、モバイルインターネットプロトコルで指定されたように導出してもよい。すなわち、メッセージ認証コードは、結果として得られるメッセージ認証コードがその認証対象の特定の要求メッセージの「メッセージダイジェスト」となるように、（認証拡張以外の）要求メッセージのコンテンツ全体にわたって計算してもよい。例えば、ＨＭＡＣ−ＭＤ５アルゴリズムを使用して、メッセージ認証コードを計算してもよい。
【００３５】
さらに、本発明の方法によれば、ネットワークアプリケーション機能固有鍵は、ブートストラップサーバ機能およびネットワークアプリケーション機能の１つから、ホームエージェントによって取得される。ネットワークアプリケーション機能固有鍵は、モバイル端末装置の受信された識別子に基づいて取得される。実施形態では、ネットワークアプリケーション機能固有鍵を取得する際に、ネットワークアプリケーション機能の識別子を使用してもよい。すなわち、モバイル端末装置の受信された識別子を利用してブートストラップサーバ機能およびネットワークアプリケーション機能の１つから対応する共有鍵を探索し、探索された共有鍵と、必要に応じてネットワークアプリケーション機能の識別子とを利用して、ネットワークアプリケーション機能固有鍵を導出する。
【００３６】
さらに、本発明の方法によれば、モバイルインターネットプロトコル登録についての受信された要求メッセージは、受信されたメッセージ認証コードを取得されたネットワークアプリケーション機能固有鍵によって検証することにより、ホームエージェントによって認証される。
【００３７】
本発明の第２の態様は、モバイル端末装置と、ブートストラップサーバ機能と、ネットワークアプリケーション機能と、モバイル端末装置に関連するホームエージェントとを備えるパケットデータネットワークにおけるモバイルインターネットプロトコル鍵配布のためにジェネリック認証アーキテクチャを利用するシステムである。
【００３８】
本発明の第２の態様に係るシステムは、それぞれモバイル端末装置およびブートストラップサーバ機能に配置され、モバイル端末装置とブートストラップサーバ機能との間でジェネリック認証アーキテクチャのブートストラップ手順を実行するように装置され、その結果モバイル端末装置とブートストラップサーバ機能とが各々少なくとも、モバイル端末装置に関連するブートストラップトランザクション識別子と対応する共有鍵とを獲得する、第１のブートストラッパおよび第２のブートストラッパを備える。
【００３９】
本発明の第２の態様に係るシステムはさらに、モバイル端末装置に配置され、少なくとも獲得された共有鍵とネットワークアプリケーション機能の識別子とに基づいて、ネットワークアプリケーション機能固有鍵を導出するように装置されたネットワークアプリケーション機能固有鍵導出器を備える。
【００４０】
本発明の第２の態様に係るシステムはさらに、モバイル端末装置に配置され、少なくとも導出されたネットワークアプリケーション機能固有鍵に基づいてメッセージ認証コードを導出するように装置されたメッセージ認証コード導出器を備える。
【００４１】
本発明の第２の態様に係るシステムはさらに、モバイル端末装置に配置され、導出されたメッセージ認証コードとモバイル端末装置の識別子とを備えるモバイルインターネットプロトコル登録についての要求メッセージをホームエージェントに送信するように装置された登録要求器を備える。
【００４２】
本発明の第２の態様に係るシステムはさらに、ホームエージェントに配置され、モバイル端末装置の受信された識別子に基づいて、ブートストラップサーバ機能およびネットワークアプリケーション機能の１つからネットワークアプリケーション機能固有鍵を取得するように装置されたネットワークアプリケーション機能固有鍵取得器を備える。
【００４３】
本発明の第２の態様に係るシステムはさらに、ホームエージェントに配置され、受信されたメッセージ認証コードをネットワークアプリケーション機能固有鍵によって検証することにより、モバイルインターネットプロトコル登録についての受信された要求メッセージを認証するように装置された登録認証器を備える。
【００４４】
本発明の第３の態様は、モバイル端末装置と、ブートストラップサーバ機能と、ネットワークアプリケーション機能と、モバイル端末装置に関連するホームエージェントとを備えるパケットデータネットワークにおけるモバイルインターネットプロトコル鍵配布のためにジェネリック認証アーキテクチャを利用するシステムである。
【００４５】
本発明の第３の態様に係るシステムは、それぞれモバイル端末装置およびブートストラップサーバ機能に配置され、モバイル端末装置とブートストラップサーバ機能との間でジェネリック認証アーキテクチャのブートストラップ手順を実行し、その結果モバイル端末装置とブートストラップサーバ機能とが各々少なくとも、モバイル端末装置に関連するブートストラップトランザクション識別子と対応する共有鍵とを獲得する、第１のブートストラップ手段および第２のブートストラップ手段とを備える。
【００４６】
本発明の第３の態様に係るシステムはさらに、モバイル端末装置に配置され、少なくとも獲得された共有鍵とネットワークアプリケーション機能の識別子とに基づいてネットワークアプリケーション機能固有鍵を導出する、ネットワークアプリケーション機能固有鍵導出手段を備える。
【００４７】
本発明の第３の態様に係るシステムはさらに、モバイル端末装置に配置され、少なくとも導出されたネットワークアプリケーション機能固有鍵に基づいてメッセージ認証コードを導出する、メッセージ認証コード導出手段を備える。
【００４８】
本発明の第３の態様に係るシステムはさらに、モバイル端末装置に配置され、導出されたメッセージ認証コードとモバイル端末装置の識別子とを備えるモバイルインターネットプロトコル登録についての要求メッセージをホームエージェントに送信する登録要求手段を備える。
【００４９】
本発明の第３の態様に係るシステムはさらに、ホームエージェントに配置され、モバイル端末装置の受信された識別子に基づいて、ブートストラップサーバ機能およびネットワークアプリケーション機能の１つからネットワークアプリケーション機能固有鍵を取得するネットワークアプリケーション機能固有鍵取得手段を備える。
【００５０】
本発明の第３の態様に係るシステムはさらに、ホームエージェントに配置され、受信されたメッセージ認証コードをネットワークアプリケーション機能固有鍵によって検証することにより、モバイルインターネットプロトコル登録についての受信された要求メッセージを認証する登録認証手段を備える。
【００５１】
本発明の第４の態様は、パケットデータネットワークのモバイル端末装置である。本発明の第４の態様に係るモバイル端末装置は、パケットデータネットワークのブートストラップサーバ機能によってジェネリック認証アーキテクチャのブートストラップ手順を実行するように装置され、その結果モバイル端末装置とブートストラップサーバ機能とが各々少なくとも、モバイル端末装置に関連するブートストラップトランザクション識別子と対応する共有鍵とを獲得する、第１のブートストラッパを備える。
【００５２】
本発明の第４の態様に係るモバイル端末装置はさらに、少なくとも獲得された共有鍵とパケットデータネットワークのネットワークアプリケーション機能の識別子とに基づいて、ネットワークアプリケーション機能固有鍵を導出するように装置されたネットワークアプリケーション機能固有鍵導出器を備える。
【００５３】
本発明の第４の態様に係るモバイル端末装置はさらに、少なくとも導出されたネットワークアプリケーション機能固有鍵に基づいてメッセージ認証コードを導出するように装置されたメッセージ認証コード導出器を備える。
【００５４】
本発明の第４の態様に係るモバイル端末装置はさらに、導出されたメッセージ認証コードとモバイル端末装置の識別子とを備えるモバイルインターネットプロトコル登録についての要求メッセージをモバイル端末装置に関連するホームエージェントに送信するように装置された登録要求器を備える。
【００５５】
本発明の第５の態様は、パケットデータネットワークのホームエージェントである。本発明の第５の態様に係るホームエージェントは、パケットデータネットワークのモバイル端末装置の識別子に基づいて、パケットデータネットワークのブートストラップサーバ機能およびネットワークアプリケーション機能の１つからネットワークアプリケーション機能固有鍵を取得するように装置され、その際モバイル端末装置の識別子がモバイル端末装置から受信される、ネットワークアプリケーション機能固有鍵取得器を備える。
【００５６】
本発明の第５の態様に係るホームエージェントはさらに、メッセージ認証コードを取得されたネットワークアプリケーション機能固有鍵によって検証することにより、モバイルインターネットプロトコル登録についての要求メッセージを認証するように装置され、その際要求メッセージおよびメッセージ認証コードがモバイル端末装置から受信される、登録認証器を備える。
【００５７】
本発明の第６の態様は、モバイル端末装置と、ブートストラップサーバ機能と、ネットワークアプリケーション機能と、モバイル端末装置に関連するホームエージェントとを備えるパケットデータネットワークにおけるモバイルインターネットプロトコル鍵配布のためにジェネリック認証アーキテクチャを利用する、コンピュータ可読媒体上で具体化されるコンピュータプログラムである。コンピュータプログラムは、
モバイル端末装置とブートストラップサーバ機能との間でジェネリック認証アーキテクチャのブートストラップ手順を実行するステップであって、その結果モバイル端末装置とブートストラップサーバ機能とが各々少なくとも、モバイル端末装置に関連するブートストラップトランザクション識別子と対応する共有鍵とを獲得するステップと、
モバイル端末装置によって、少なくとも獲得された共有鍵とネットワークアプリケーション機能の識別子とに基づいて、ネットワークアプリケーション機能固有鍵を導出するステップと、
モバイル端末装置によって、少なくとも導出されたネットワークアプリケーション機能固有鍵に基づいてメッセージ認証コードを導出するステップと、
モバイル端末装置からホームエージェントに、導出されたメッセージ認証コードとモバイル端末装置の識別子とを備えるモバイルインターネットプロトコル登録についての要求メッセージを送信するステップと、
ホームエージェントによって、モバイル端末装置の受信された識別子に基づいて、ブートストラップサーバ機能およびネットワークアプリケーション機能の１つからネットワークアプリケーション機能固有鍵を取得するステップと、
ホームエージェントによって、受信されたメッセージ認証コードを取得されたネットワークアプリケーション機能固有鍵によって検証することにより、モバイルインターネットプロトコル登録についての受信された要求メッセージを認証するステップと、
を実行するデータ処理装置を制御する。
【００５８】
本発明の実施形態では、認証の成功に応答して、確認メッセージがモバイル端末装置に送信され、モバイルインターネットプロトコル登録が成功したことを示す。
【００５９】
本発明の実施形態では、その後モバイル端末装置からホームエージェントに受信されたモバイルインターネットプロトコル登録についての要求メッセージが、既に取得されたネットワークアプリケーション機能固有鍵を利用することによって認証される。
【００６０】
本発明の実施形態では、モバイル端末装置の識別子は、ブートストラップトランザクション識別子を備える。
【００６１】
本発明の実施形態では、モバイル端末装置の識別子は、モバイル端末装置のネットワークアクセス識別子を備える。
【００６２】
本発明の実施形態では、ネットワークアプリケーション機能の識別子は、ネットワークアプリケーション機能のドメイン名サーバ名を備える。
【００６３】
本発明の実施形態では、ネットワークアプリケーション機能の識別子は、ネットワークアプリケーション機能のインターネットプロトコルアドレスを備える。
【００６４】
本発明の実施形態では、ネットワークアプリケーション機能はホームエージェントに関連し、ネットワークアプリケーション機能の識別子はホームエージェントのドメイン名サーバ名を備える。
【００６５】
本発明の実施形態では、ネットワークアプリケーション機能はホームエージェントに関連し、ネットワークアプリケーション機能の識別子はホームエージェントのインターネットプロトコルアドレスを備える。
【００６６】
本発明の実施形態では、ネットワークアプリケーション機能は、上記のホームエージェントを含むホームエージェントのグループに関連し、ネットワークアプリケーション機能の識別子はネットワークアプリケーション機能のドメイン名サーバ名を備える。
【００６７】
本発明の実施形態では、ネットワークアプリケーション機能は、上記のホームエージェントを含むホームエージェントのグループに関連し、ネットワークアプリケーション機能の識別子はネットワークアプリケーション機能のインターネットプロトコルアドレスを備える。
【００６８】
本発明の実施形態では、ネットワークアプリケーション機能固有鍵取得器はさらに、モバイル端末装置の受信された識別子とネットワークアプリケーション機能の識別子とを備える、ネットワークアプリケーション機能固有鍵についての要求をネットワークアプリケーション機能に送信するように装置されている。この実施形態では、ネットワークアプリケーション機能はさらに、要求をブートストラップサーバ機能に転送するように装置されている。この実施形態では、ブートストラップサーバ機能はさらに、受信された要求に応答して、少なくともネットワークアプリケーション機能の受信された識別子とモバイル端末装置の受信された識別子に対応する共有鍵とに基づいてネットワークアプリケーション機能固有鍵を導出するように装置されている。この実施形態では、ブートストラップサーバ機能はさらに、導出されたネットワークアプリケーション機能固有鍵をホームエージェントに転送するように装置されている。
【００６９】
本発明の実施形態では、モバイルインターネットプロトコル登録についての要求メッセージは、上記でより詳細に説明したモバイルインターネットプロトコルバージョン４の「登録要求」メッセージである。「登録要求」メッセージは、モバイルノードネットワークアクセス識別子拡張を備えてもよく、これはモバイル端末装置の識別子、すなわち、モバイル端末装置のネットワークアクセス識別子、または、本発明によれば、ブートストラップトランザクション識別子を備えてもよい。
【００７０】
本発明の実施形態では、確認メッセージは、上記でより詳細に説明したモバイルインターネットプロトコルバージョン４の「登録応答」メッセージである。
【００７１】
本発明の実施形態では、モバイルインターネットプロトコル登録についての要求メッセージは、モバイルインターネットプロトコルバージョン６の「結合更新」メッセージである。
【００７２】
本発明の実施形態では、確認メッセージは、モバイルインターネットプロトコルバージョン６の「結合確認」メッセージである。
【００７３】
本発明の実施形態では、モバイル端末装置がまずブートストラップ手順を実行することなしにモバイルインターネットプロトコル登録についての要求メッセージがモバイル端末装置からホームエージェントに送信された場合、ブートストラップが必要であることを示すメッセージがホームエージェントからモバイル端末装置に送信される。
【００７４】
本発明は、パケットデータネットワークにおけるモバイルインターネットプロトコル鍵配布のためのジェネリック認証アーキテクチャの利用を可能にする。本発明に係るジェネリック認証アーキテクチャを使用することによって、モバイルＩＰのためのユニバーサル加入者識別モジュール認証および加入者識別モジュール認証が可能になる。さらに、本発明に係るジェネリック認証アーキテクチャを使用する場合、モバイルＩＰプロトコル仕様の変更は必要なく、実装の変更の必要も、あったとしてもわずかである。
【００７５】
添付の図面は、本発明のさらなる理解を提供するために添付され本明細書の一部を構成するものであって、本発明の実施形態を例示し明細書の記載と共に本発明の原理の説明を助けるものである。
【発明を実施するための最良の形態】
【００７６】
ここで、添付の図面で例示する本発明の実施形態を詳細に参照する。
【００７７】
図１は、パケットデータネットワークにおけるモバイルインターネットプロトコル鍵配布のためのジェネリック認証アーキテクチャの利用に関する本発明の方法の実施形態を例示する。パケットデータネットワークは、モバイル端末装置２０と、ブートストラップサーバ機能３０と、モバイル端末装置２０に関連するホームエージェント４０と、ネットワークアプリケーション機能５０とを備える。
【００７８】
図１は、ネットワークアプリケーション機能５０とホームエージェント４０を別個のものとして例示しているが、ネットワークアプリケーション機能５０は、本発明の実施形態では、ホームエージェント４０と統合してもよい。この実施形態では、ネットワークアプリケーション機能５０の識別子は、例えば、ホームエージェント４０のドメイン名サーバ名を備えてもよい。代替的には、この実施形態では、ネットワークアプリケーション機能５０の識別子は、例えば、ホームエージェント４０のインターネットプロトコルアドレスを備えてもよい。
【００７９】
本発明の別の実施形態では、ネットワークアプリケーション機能５０とホームエージェント４０とは別個のネットワークエンティティでもよい。この実施形態では、ネットワークアプリケーション機能５０の識別子は、例えば、ネットワークアプリケーション機能５０のドメイン名サーバ名またはインターネットプロトコルアドレスを備えてもよい。
【００８０】
本発明のまた別の実施形態では、ネットワークアプリケーション機能５０は、ホームエージェント４０を含むホームエージェントのグループに関連してもよい。この実施形態では、ネットワークアプリケーション機能５０の識別子は、例えば、ネットワークアプリケーション機能５０のドメイン名サーバ名またはインターネットプロトコルアドレスを備えてもよい。
【００８１】
図１で例示する本発明の実施形態では、ジェネリック認証アーキテクチャのブートストラップ手順は、モバイル端末装置２０とブートストラップサーバ機能３０との間で実行される（ステップ１）。その結果、モバイル端末装置２０とブートストラップサーバ機能３０とは各々、少なくともモバイル端末装置２０に関連するブートストラップトランザクション識別子と対応する共有鍵とを獲得する。本発明の実施形態では、モバイル端末装置２０とブートストラップサーバ機能３０とは各々さらに、共有鍵の有効期間を獲得してもよい。
【００８２】
次に、ステップ２では、モバイル端末装置２０によって、少なくともステップ１で獲得された共有鍵とネットワークアプリケーション機能５０の識別子とに基づいて、ネットワークアプリケーション機能に固有の鍵を導出する。ステップ３では、モバイル端末装置２０によって、少なくとも導出されたネットワークアプリケーション機能固有鍵に基づいて、メッセージ認証コードを導出する。モバイルインターネットプロトコル登録についての要求メッセージが、モバイル端末装置２０からホームエージェント４０に送信される（ステップ４）。モバイルインターネットプロトコル登録についての要求メッセージは、導出されたメッセージ認証コードとモバイル端末装置２０の識別子とを備える。
【００８３】
本発明の実施形態では、モバイル端末装置２０の識別子は、ステップ１で獲得されたブートストラップトランザクション識別子を備えてもよい。本発明の別の実施形態では、モバイル端末装置２０の識別子は、モバイル端末装置２０のネットワークアクセス識別子を備えてもよい。本発明のまた別の実施形態では、モバイル端末装置２０の識別子は、モバイル端末装置２０のネットワークアクセス識別子を備えてもよく、ネットワークアクセス識別子はステップ１で獲得されたブートストラップトランザクション識別子を備える。
【００８４】
本発明の実施形態では、モバイルインターネットプロトコル登録についての要求メッセージは、例えば、モバイルインターネットプロトコルバージョン４の「登録要求」メッセージでもよい。この実施形態では、モバイル端末装置２０の識別子は、例えば、「登録要求」メッセージのモバイルノードネットワークアクセス識別子拡張に含まれてもよい。
【００８５】
本発明の実施形態では、モバイルインターネットプロトコル登録についての要求メッセージは、例えば、インターネットプロトコルバージョン６の「結合更新」メッセージでもよい。この実施形態では、モバイル端末装置２０の識別子は、例えば、「結合更新」メッセージのオプションに含まれてもよい。
【００８６】
ブートストラップトランザクション識別子を備えるモバイル端末装置２０の識別子の上記の実施形態では、ブートストラップトランザクション識別子がすでに共有鍵を一意に識別しているため、セキュリティパラメータインデックス値をモバイル端末装置に提供する必要はない。実施形態では、モバイル端末装置２０は、例えば、モバイルインターネットプロトコル認証拡張中の、周知の、すなわち固定のセキュリティパラメータインデックスフィールドを使用してもよい。実施形態では、周知のセキュリティパラメータインデックス値は、この目的のためにインターネット番号割当て機関（ＩＡＮＡ）によって割当てられるものでもよい。別の実施形態では、周知のセキュリティパラメータインデックス値は、３ＧＰＰシステムによって動的なセキュリティパラメータインデックスの範囲から選択されるものでもよい。
【００８７】
モバイル端末装置２０のネットワークアクセス識別子を備えるモバイル端末装置２０の識別子の上記の実施形態では、ネットワークアクセス識別子は、加入者の国際モバイル加入者識別情報（ＩＭＳＩ）を備えてもよい。当業技術分野で周知のように、ネットワークアクセス識別子はブートストラップの際変更されない長期間の識別子であり得るため、ネットワークアクセス識別子は共有鍵を一意に識別しないことがある。したがって、この実施形態では、周知のセキュリティパラメータインデックスを使用してもよく、その結果最も新しくブートストラップされた共有鍵が使用されることになる。
【００８８】
ステップ５では、ホームエージェント４０によって、ブートストラップサーバ機能３０とネットワークアプリケーション機能５０との１つから、ネットワークアプリケーション機能固有鍵を取得する。ネットワークアプリケーション機能固有鍵は、モバイル端末装置２０の受信された識別子に基づいて取得する。
【００８９】
ステップ６では、ホームエージェント４０によって、受信されたメッセージ認証コードを取得されたネットワークアプリケーション機能固有鍵によって検証することにより、モバイルインターネットプロトコル登録についての受信された要求メッセージを認証する。ステップ７では、認証の成功に応答して、確認メッセージがモバイル端末装置２０に送信され、モバイルインターネットプロトコル登録が成功したことを示す。
【００９０】
本発明は、すでにステップ５で取得されたネットワークアプリケーション機能固有鍵を利用することによって、その後モバイル端末装置２０からホームエージェント４０に受信されたモバイルインターネットプロトコル登録の認証を可能にする。既に取得されたネットワークアプリケーション機能固有鍵の有効期限切れが迫っている場合、モバイル端末装置２０は、例えば、その後のモバイルインターネットプロトコル登録のための新しいブートストラップトランザクション識別子を獲得するために、ステップ１のジェネリック認証アーキテクチャのブートストラップ手順を再度実行してもよい。
【００９１】
図２は、本発明のシステムの実施形態を例示する。図２では、モバイル端末装置２０と、ブートストラップサーバ機能３０と、ネットワークアプリケーション機能５０と、モバイル端末装置２０に関連するホームエージェント４０とを備えるパケットデータネットワーク１０が開示される。
【００９２】
図２で例示する本発明のシステムの実施形態は、それぞれモバイル端末装置２０およびブートストラップサーバ機能３０に配置され、モバイル端末装置２０とブートストラップサーバ機能３０との間でジェネリック認証アーキテクチャのブートストラップ手順を実行するように装置され、その結果モバイル端末装置２０とブートストラップサーバ機能３０が各々少なくとも、モバイル端末装置２０に関連するブートストラップトランザクション識別子と対応する共有鍵とを獲得する、第１のブートストラッパ２１と第２のブートストラッパ３１とを備える。
【００９３】
図２で例示する本発明のシステムの実施形態はさらに、モバイル端末装置２０に配置され、少なくとも獲得された共有鍵とネットワークアプリケーション機能５０の識別子とに基づいて、ネットワークアプリケーション機能固有鍵を導出するように装置されたネットワークアプリケーション機能固有鍵導出器２２を備える。
【００９４】
図２で例示する本発明のシステムの実施形態はさらに、モバイル端末装置２０に配置され、少なくとも導出されたネットワークアプリケーション機能固有鍵に基づいてメッセージ認証コードを導出するように装置されたメッセージ認証コード導出器２３を備える。
【００９５】
図２で例示する本発明のシステムの実施形態はさらに、モバイル端末装置２０に配置され、導出されたメッセージ認証コードとモバイル端末装置２０の識別子とを備えるモバイルインターネットプロトコル登録についての要求メッセージをホームエージェント４０に送信するように装置された登録要求器２４を備える。
【００９６】
図２で例示する本発明のシステムの実施形態はさらに、ホームエージェント４０に配置され、モバイル端末装置２０の受信された識別子と、オプションでネットワークアプリケーション機能５０の識別子とに基づいて、ブートストラップサーバ機能３０およびネットワークアプリケーション機能５０の１つからネットワークアプリケーション機能固有鍵を取得するように装置されたネットワークアプリケーション機能固有鍵取得器４１を備える。
【００９７】
図２で例示する本発明のシステムの実施形態はさらに、ホームエージェント４０に配置され、受信されたメッセージ認証コードをネットワークアプリケーション機能固有鍵によって検証することにより、モバイルインターネットプロトコル登録についての受信された要求メッセージを認証するように装置された登録認証器４２を備える。
【００９８】
本発明の実施形態では、ネットワークアプリケーション機能固有鍵取得器４１はさらに、モバイル端末装置２０の受信された識別子とネットワークアプリケーション機能５０の識別子とを備える、ネットワークアプリケーション機能固有鍵についての要求をネットワークアプリケーション機能５０に送信するように装置してもよい。この実施形態では、ネットワークアプリケーション機能５０はその要求をブートストラップサーバ機能３０に転送するように装置してもよい。この実施形態では、ブートストラップサーバ機能３０はさらに、受信された要求に応答して、少なくともネットワークアプリケーション機能５０の受信された識別子とモバイル端末装置２０の受信された識別子に対応する共有鍵とに基づいてネットワークアプリケーション機能固有鍵を導出するように装置してもよい。この実施形態では、ブートストラップサーバ機能３０はさらに、導出されたネットワークアプリケーション機能固有鍵をホームエージェント４０に転送するように装置してもよい。
【００９９】
本発明の実施形態では、ネットワークアプリケーション機能５０またはブートストラップサーバ機能３０は、例えば、軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）を介してアクセス可能なデータベース（図２では例示せず）を備えてもよい。本発明の実施形態では、ネットワークアプリケーション機能５０またはブートストラップサーバ機能３０は、例えば、ＲＡＤＩＵＳプロトコルを介してアクセス可能なデータベースサーバ（図２では例示せず）を備えてもよい。ネットワークアプリケーション機能固有鍵取得器４１から送信されるネットワークアプリケーション機能固有鍵についての要求はこのデータベースまたはデータベースサーバ向けに送信してもよく、その場合データベースまたはデータベースサーバはブートストラップサーバ機能３０に連絡してネットワークアプリケーション機能固有鍵を獲得してもよい。代替的には、データベースまたはデータベースサーバは、１つかそれ以上の以前に獲得したネットワークアプリケーション機能固有鍵を格納してもよく、それらはブートストラップサーバ機能３０から以前に獲得したものでもよい。
【０１００】
上記で説明したように、ネットワークアプリケーション機能固有鍵を取得する際にネットワークアプリケーション機能５０の識別子を利用することの代替案として、ネットワークアプリケーション機能固有鍵を取得する際に、上記で説明したデータベースまたはデータベースサーバに関する事前設定されたサーバ情報を利用してもよい。
【０１０１】
本発明の実施形態では、モバイル端末装置２０が、最初にブートストラップを行うことなしに、ホームエージェント４０に登録しようとする場合、ホームエージェント４０は、ブートストラップが必要であることを示すメッセージをモバイル端末装置２０に送信するように装置してもよい。
【０１０２】
上記の第１のブートストラッパ２１、ネットワークアプリケーション機能固有鍵導出器２２、メッセージ認証コード導出器２３、登録要求器２４、第２のブートストラッパ３１、ネットワークアプリケーション機能固有鍵取得器４１、および登録認証器４２は、ソフトウェア、ハードウェア、またはソフトウェアおよびハードウェアの組み合わせにおいて実現してもよい。
【０１０３】
技術の進歩に伴って、本発明の根本概念を様々な形で実現し得ることが当業者には明らかである。したがって、本発明およびその実施形態は上記で説明した例に制限されず、請求項の範囲内で変化し得るものとする。
【図面の簡単な説明】
【０１０４】
【図１】本発明の実施形態に係る方法を例示する図である。
【図２】本発明の実施形態に係るシステムを例示する構成図である。
【図１】
2008537398.tif 000003
【図２】
2008537398.tif 000004
【国際調査報告】
2008537398.tif 000005
2008537398.tif 000006
2008537398.tif 000007
2008537398.tif 000008