(57)【特許請求の範囲】
【請求項１】
モバイル通信方法であって、
モビリティ管理エンティティから非アクセス層(NAS)セキュリティモード・コマンドメッセージをユーザ機器(UE)によって受信するステップであって、前記NASセキュリティモード・コマンドメッセージが、第1の検証整合情報、前記モビリティ管理エンティティによって使用される完全性アルゴリズム、鍵識別子、前記NASセキュリティモード・コマンドメッセージの第1の非アクセス層メッセージ認証コード(NAS-MAC)、および前記モビリティ管理エンティティによって返送されるUEセキュリティ能力を搬送し、前記第1の検証整合情報が、前記モビリティ管理エンティティによって前記UEから受信された接続要求メッセージの第1のハッシュ値を含む、ステップと、
前記モビリティ管理エンティティから受信された前記NASセキュリティモード・コマンドメッセージの第2のNAS-MAC、および前記UEによって前記モビリティ管理エンティティへ送信された接続要求メッセージの第2のハッシュ値を前記UEによって計算するステップと、
前記第2のハッシュ値が前記第1のハッシュ値と一致し、前記第2のNAS-MACが前記第1のNAS-MACと一致し、かつ前記モビリティ管理エンティティによって返送される前記UEセキュリティ能力が前記UEによって前記モビリティ管理エンティティへ送信されたUEセキュリティ能力と一致するかどうかを、前記UEによって決定するステップと、
前記第2のハッシュ値が前記第1のハッシュ値と一致し、前記第2のNAS-MACが前記第1のNAS-MACと一致し、かつ前記モビリティ管理エンティティによって返送される前記UEセキュリティ能力が前記UEによって前記モビリティ管理エンティティへ送信された前記UEセキュリティ能力と一致する場合、NASセキュリティモード完了メッセージを前記モビリティ管理エンティティへ前記UEによって送信するステップと、
を備えるモバイル通信方法。
【請求項２】
前記第2のNAS-MACが前記第1のNAS-MACと一致し、前記モビリティ管理エンティティによって返送される前記UEセキュリティ能力が前記UEによって前記モビリティ管理エンティティへ送信された前記UEセキュリティ能力と一致し、かつ前記第2のハッシュ値が前記第1のハッシュ値と一致しない場合、前記NASセキュリティモード完了メッセージを前記モビリティ管理エンティティへ前記UEによって送信するステップであって、前記NASセキュリティモード完了メッセージが、前記接続要求メッセージを搬送する、ステップをさらに備える、請求項1に記載の方法。
【請求項３】
前記第1のNAS-MAC、または前記モビリティ管理エンティティによって返送される前記UEセキュリティ能力が検証に失敗する場合、NASセキュリティモード拒否メッセージを前記モビリティ管理エンティティへ前記UEによって送信するステップをさらに備える、請求項1に記載の方法。
【請求項４】
モバイル通信方法であって、
ユーザ機器(UE)から接続要求メッセージをモビリティ管理エンティティによって受信するステップであって、前記モビリティ管理エンティティによって受信された前記接続要求メッセージがUEセキュリティ能力を含む、ステップと、
非アクセス層(NAS)セキュリティモード・コマンドメッセージを前記UEへ前記モビリティ管理エンティティによって送信するステップであって、前記NASセキュリティモード・コマンドメッセージが、前記モビリティ管理エンティティによって受信された前記接続要求メッセージの第1のハッシュ値、前記モビリティ管理エンティティによって使用される完全性アルゴリズム、鍵識別子、前記NASセキュリティモード・コマンドメッセージの第1のNASメッセージ認証コード(NAS-MAC)、および検証整合情報を含み、前記検証整合情報が、前記UEセキュリティ能力または前記UEセキュリティ能力のハッシュ値を含む、ステップと、
を備える、モバイル通信方法。
【請求項５】
前記UEによって生成された前記NASセキュリティモード・コマンドメッセージの第2のNAS-MACが前記第1のNAS-MACと一致し、前記モビリティ管理エンティティによって返送されるUEセキュリティ能力が前記UEによって前記モビリティ管理エンティティへ送信されたUEセキュリティ能力と一致し、かつ前記UEによって生成された前記接続要求メッセージの第2のハッシュ値が前記第1のハッシュ値と一致しないとき、前記UEによって送信された前記NASセキュリティモード完了メッセージを前記モビリティ管理エンティティによって受信するステップであって、前記NASセキュリティモード完了メッセージが、前記接続要求メッセージを搬送する、ステップをさらに備える、請求項4に記載の方法。
【請求項６】
前記第1のNAS-MAC、前記UEセキュリティ能力、および前記第1のハッシュ値のすべてが前記UEによって検証に成功するとき、第2のNASセキュリティモード完了メッセージを前記UEから前記モビリティ管理エンティティによって受信するステップであって、完全性保護を有する前記第2のNASセキュリティモード完了メッセージが前記接続要求メッセージを含まない、ステップをさらに備える、請求項4に記載の方法。
【請求項７】
前記UEセキュリティ能力または前記第1のNAS-MACが前記UEによって検証に失敗する場合、NASセキュリティモード拒否メッセージを前記UEから前記モビリティ管理エンティティによって受信するステップをさらに備える、請求項4に記載の方法。
【請求項８】
モバイル通信装置であって、前記装置が、UEの中に配備され、請求項1から3のいずれかに記載の方法のステップを実行するように構成された、モバイル通信装置。
【請求項９】
モバイル通信装置であって、前記装置が、モビリティ管理エンティティの中に配備され、請求項4から7のいずれかに記載の方法のステップを実行するように構成された、モバイル通信装置。
【請求項１０】
コンピュータによって実行されるとき、請求項1から7のいずれかに記載の方法をコンピュータに実行させる命令を備える、コンピュータ読み取り可能な記憶媒体。
【請求項１１】
請求項1から7のいずれかに記載の方法をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、モバイル通信技術、詳細には、モバイル通信方法、装置、およびデバイスに関する。
【背景技術】
【０００２】
モバイル通信の接続手順において、ユーザ機器(UE)は、発展型ノードB(eNB)を使用することによって接続要求メッセージをモビリティ管理エンティティ(MME)へ送信する。接続要求メッセージは、ネットワーク能力およびセキュリティ能力のようなUE能力情報を搬送する。MMEは、受信されたUE能力に従ってUEのためにサービスを提供する。接続要求メッセージが完全性保護を有しない、たとえば、UEが初めてネットワークに登録するシナリオにおいて接続要求メッセージが完全性保護を有しないとき、攻撃者が中間者攻撃を実施して、UEによってMMEへ送信されたUE能力情報を改変する場合、MMEは、改変されたUE能力情報に基づいてUEのためにサービスを提供する。したがって、UEは、おそらく、いくつかのサービスを使用することができない。たとえば、攻撃者は、UE能力情報の中のボイス領域選好およびUE使用設定を除去し、追加更新タイプ-SMSオンリーパラメータを追加する。その結果、UEは、SMSメッセージサービスのみ使用でき、音声呼出しサービスを使用することができない。
【発明の概要】
【課題を解決するための手段】
【０００３】
本発明の実施形態は、MMEが正しいUE能力情報を取得することを保証するために、モバイル通信方法、装置、およびデバイスを提供する。
【０００４】
第1の態様によれば、本発明の一実施形態は、
モビリティ管理エンティティMMEから非アクセス層NASセキュリティモード・コマンドメッセージをユーザ機器UEによって受信するステップであって、NASセキュリティモード・コマンドメッセージが、MMEによって受信されたUE能力情報を検証するために使用される第1の検証整合情報を搬送する、ステップと、
第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを、UEによって決定するステップと、
MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、NASセキュリティモード完了メッセージをMMEへUEによって送信するステップと、
を含む、モバイル通信方法を提供する。
【０００５】
任意選択で、第1の検証整合情報は、MMEがNASセキュリティモード・コマンドメッセージをUEへ送信する前にMMEによって受信されている接続要求メッセージの第1のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信された接続要求メッセージに対してハッシュ計算を実行するためにMMEによって使用されたハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第1の非アクセス層メッセージ認証コードNAS-MACをさらに含み、
UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第2のNAS-MACを計算し、
UEは、第2のNAS-MACが第1のNAS-MACと一致するかどうかを決定し、
第2のNAS-MACが第1のNAS-MACと一致する場合、UEは、UEによってMMEへ送信された接続要求メッセージの第2のハッシュ値をハッシュアルゴリズムに従って計算し、
UEは、第2のハッシュ値が第1のハッシュ値と一致するかどうかを決定し、
第2のハッシュ値が第1のハッシュ値と一致する場合、UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【０００６】
任意選択で、NASセキュリティモード・コマンドメッセージは、MMEによって返送されるUEセキュリティ能力をさらに含み、
UEは、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定し、
それに対応して、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、NASセキュリティモード完了メッセージをMMEへUEによって送信するステップは、
第2のハッシュ値が第1のハッシュ値と一致し、第2のNAS-MACが第1のNAS-MACと一致し、かつMMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、NASセキュリティモード完了メッセージをMMEへUEによって送信するステップを含む。
【０００７】
任意選択で、方法は、
第2のハッシュ値、第2のNAS-MAC、およびMMEによって返送されるUEセキュリティ能力のうちの少なくとも1つが検証に失敗する場合、NASセキュリティモード拒否メッセージをMMEへUEによって送信するステップ、または
第2のNAS-MACが第1のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつ第2のハッシュ値が第1のハッシュ値と一致しない場合、NASセキュリティモード完了メッセージをMMEへUEによって送信するステップであって、NASセキュリティモード完了メッセージは、接続要求メッセージを搬送する、ステップ、をさらに含む。
【０００８】
任意選択で、第1の検証整合情報は、MMEによって受信されたUE能力情報の第3のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信されたUE能力情報に対してハッシュ計算を実行するためにMMEによって使用されたハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第3のNAS-MACをさらに含み、
UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第4のNAS-MACを計算し、UEは、第4のNAS-MACが第3のNAS-MACと一致するかどうかを決定し、
第4のNAS-MACが第3のNAS-MACと一致する場合、UEは、UEによってMMEへ送信されたUE能力情報の第4のハッシュ値をハッシュアルゴリズムに従って計算し、
UEは、第4のハッシュ値が第3のハッシュ値と一致するかどうかを決定し、
第4のハッシュ値が第3のハッシュ値と一致する場合、UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【０００９】
任意選択で、NASセキュリティモード・コマンドメッセージは、MMEによって返送されるUEセキュリティ能力をさらに含み、
UEは、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定し、
それに対応して、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、NASセキュリティモード完了メッセージをMMEへUEによって送信するステップは、
第4のハッシュ値が第3のハッシュ値と一致し、第4のNAS-MACが第3のNAS-MACと一致し、かつMMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、NASセキュリティモード完了メッセージをMMEへUEによって送信するステップを含む。
【００１０】
任意選択で、方法は、
第4のハッシュ値、第4のNAS-MAC、およびMMEによって返送されるUEセキュリティ能力のうちの少なくとも1つが検証に失敗する場合、NASセキュリティモード拒否メッセージをMMEへUEによって送信するステップ、または
第4のNAS-MACが第3のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつ第4のハッシュ値が第3のハッシュ値と一致しない場合、NASセキュリティモード完了メッセージをMMEへUEによって送信するステップであって、NASセキュリティモード完了メッセージは、UE能力情報を搬送する、ステップ、をさらに含む。
【００１１】
任意選択で、第1の検証整合情報は、MMEによって受信されたUE能力情報であり、NASセキュリティモード・コマンドメッセージは、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第5のNAS-MACをさらに含み、
UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第6のNAS-MACを計算し、
UEは、第6のNAS-MACが第5のNAS-MACと一致するかどうかを決定し、
第6のNAS-MACが第5のNAS-MACと一致する場合、UEは、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定し、
MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【００１２】
任意選択で、UEは、第6のNAS-MACが第5のNAS-MACと一致するかどうかを決定し、
第6のNAS-MACが第5のNAS-MACと一致する場合、UEは、MMEによって受信されたUE能力情報の中に含まれるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定し、
MMEによって受信されたUE能力情報の中に含まれるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、UEは、MMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致するかどうかを決定し、
MMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致する場合、UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【００１３】
任意選択で、方法は、
MMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致しない場合、NASセキュリティモード完了メッセージをMMEへUEによって送信するステップであって、NASセキュリティモード完了メッセージは、UE能力情報を搬送する、ステップ、をさらに含む。
【００１４】
任意選択で、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUEセキュリティ能力、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第7のNAS-MACを含み、
UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第8のNAS-MACを計算し、
UEは、第8のNAS-MACが第7のNAS-MACと一致するかどうかを決定し、
第8のNAS-MACが第7のNAS-MACと一致する場合、UEは、MMEによって受信されたUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定し、
MMEによって受信されたUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、UEは、NASセキュリティモード完了メッセージをMMEへ送信し、ここで、NASセキュリティモード完了メッセージは、第2の検証整合情報、およびNASセキュリティモード完了メッセージのNAS-MACを搬送する。
【００１５】
任意選択で、第2の検証整合情報は、
UEによってMMEへ送信された接続要求メッセージのハッシュ値、または
UEによってMMEへ送信されたUE能力情報のハッシュ値を含む。
【００１６】
任意選択で、第2の検証整合情報は、UEのUE能力情報を含む。
【００１７】
任意選択で、NASセキュリティモード完了メッセージをMMEへUEによって送信した後、方法は、
MMEによって送信されたダウンリンクNASトランスポートメッセージをUEによって受信するステップであって、ダウンリンクNASトランスポートメッセージが、UE能力情報要求メッセージ、または接続要求メッセージを再送するようにUEに要求するための要求メッセージを搬送するステップと、
アップリンク情報転送メッセージをMMEへUEによって送信するステップであって、アップリンク情報転送メッセージが、UE能力情報または接続要求メッセージを搬送する、ステップと、をさらに含む。
【００１８】
任意選択で、NASセキュリティモード完了メッセージをMMEへUEによって送信した後、方法は、
MMEによって送信されたUE情報要求メッセージをUEによって受信するステップであって、UE情報要求メッセージが、UE能力情報要求メッセージ、または接続要求メッセージを再送するようにUEに要求するための要求メッセージを搬送する、ステップ、をさらに含み、
UEは、UE情報応答メッセージをMMEへ送信し、ここで、UE情報応答メッセージは、UE能力情報または接続要求メッセージを搬送する。
【００１９】
第2の態様によれば、本発明の一実施形態は、
UEが、第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定し、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、UEが、NASセキュリティモード完了メッセージをMMEへ送信するように、NASセキュリティモード・コマンドメッセージをUEへMMEによって送信するステップであって、NASセキュリティモード・コマンドメッセージは、第1の検証整合情報を搬送する、ステップ、を含む、モバイル通信方法を提供する。
【００２０】
任意選択で、第1の検証整合情報は、MMEによって受信された接続要求メッセージの第1のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信された接続要求メッセージに対してハッシュ計算を実行するためにMMEによって使用されたハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第1の非アクセス層メッセージ認証NAS-MACをさらに含む。
【００２１】
任意選択で、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUEセキュリティ能力をさらに含む。
【００２２】
任意選択で、方法は、
UEによって生成されたNASセキュリティモード・コマンドメッセージの第2のNAS-MACが第1のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつUEによって生成された接続要求メッセージの第2のハッシュ値が第1のハッシュ値と一致しないとき、UEによって送信されたNASセキュリティモード完了メッセージをMMEによって受信するステップであって、NASセキュリティモード完了メッセージは、接続要求メッセージを搬送する、ステップ、をさらに含む。
【００２３】
任意選択で、第1の検証整合情報は、MMEによって受信されたUE能力情報の第3のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信されたUE能力情報に対してハッシュ計算を実行するためにMMEによって使用されたハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第3のNAS-MACをさらに含む。
【００２４】
任意選択で、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUEセキュリティ能力をさらに含む。
【００２５】
任意選択で、方法は、
UEによって生成されたNASセキュリティモード・コマンドメッセージの第4のNAS-MACが第3のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつUEによって生成されたUE能力情報の第4のハッシュ値が第3のハッシュ値と一致しないとき、UEによって送信されたNASセキュリティモード完了メッセージをMMEによって受信するステップであって、NASセキュリティモード完了メッセージは、UE能力情報を搬送する、ステップ、をさらに含む。
【００２６】
任意選択で、第1の検証整合情報は、MMEによって受信されたUE能力情報であり、NASセキュリティモード・コマンドメッセージは、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第5のNAS-MACをさらに含む。
【００２７】
任意選択で、方法は、
UEによって生成されたNASセキュリティモード・コマンドメッセージの第6のNAS-MACが第5のNAS-MACと一致し、MMEによって返送されるUE能力情報の中に含まれるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつMMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致しないとUEが決定するとき、UEによって送信されたNASセキュリティモード完了メッセージをMMEによって受信するステップであって、NASセキュリティモード完了メッセージは、UE能力情報を搬送する、ステップ、をさらに含む。
【００２８】
任意選択で、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUEセキュリティ能力、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第7のNAS-MACを含む。
【００２９】
任意選択で、方法は、
UEによって送信されたNASセキュリティモード完了メッセージをMMEによって受信するステップであって、NASセキュリティモード完了メッセージは、第2の検証整合情報、およびNASセキュリティモード完了メッセージのNAS-MACを搬送する、ステップ、をさらに含む。
【００３０】
任意選択で、第2の検証整合情報は、
UEによってMMEへ送信された接続要求メッセージのハッシュ値、または
UEによってMMEへ送信されたUE能力情報のハッシュ値を含む。
【００３１】
任意選択で、第2の検証整合情報は、UEのUE能力情報を含む。
【００３２】
任意選択で、方法は、
MMEによって受信されたUE能力情報がUEによって送信されたものと一致しないとMMEが決定する場合、ダウンリンクNASトランスポートメッセージをUEへMMEによって送信するステップであって、ダウンリンクNASトランスポートメッセージが、UE能力情報要求メッセージ、または接続要求メッセージを再送するようにUEに要求するための要求メッセージを搬送する、ステップと、
UEによって送信されたアップリンク情報転送メッセージをMMEによって受信するステップであって、アップリンク情報転送メッセージが、UE能力情報または接続要求メッセージを搬送する、ステップと、をさらに含む。
【００３３】
任意選択で、方法は、
MMEによって受信されたUE能力情報がUEによって送信されたものと一致しないとMMEが決定する場合、UE情報要求メッセージをUEへMMEによって送信するステップであって、UE情報要求メッセージが、UE能力情報要求メッセージ、または接続要求メッセージを再送するようにUEに要求するための要求メッセージを搬送する、ステップと、
UEによって送信されたUE情報応答メッセージをMMEによって受信するステップであって、UE情報応答メッセージが、UE能力情報または接続要求メッセージを搬送する、ステップと、をさらに含む。
【００３４】
第3の態様によれば、本発明の一実施形態は、モバイル通信装置を提供する。装置はUEの中に配備され、
モビリティ管理エンティティMMEから非アクセス層NASセキュリティモード・コマンドメッセージを受信するように構成された受信モジュールであって、NASセキュリティモード・コマンドメッセージが、MMEによって受信されたUE能力情報を検証するために使用される第1の検証整合情報を搬送する、受信モジュールと、
第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定するように構成された検証モジュールと、
MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するとき、NASセキュリティモード完了メッセージをMMEへ送信するように構成された第1の送信モジュールと、を含む。
【００３５】
任意選択で、第1の検証整合情報は、MMEがNASセキュリティモード・コマンドメッセージをUEへ送信する前にMMEによって受信されている接続要求メッセージの第1のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信された接続要求メッセージに対してハッシュ計算を実行するためにMMEによって使用されたハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第1の非アクセス層メッセージ認証コードNAS-MACをさらに含み、
検証モジュールは、具体的には、
UEによって受信されたNASセキュリティモード・コマンドメッセージの第2のNAS-MACを計算し、
第2のNAS-MACが第1のNAS-MACと一致するかどうかを決定し、
第2のNAS-MACが第1のNAS-MACと一致する場合、UEによってMMEへ送信された接続要求メッセージの第2のハッシュ値をハッシュアルゴリズムに従って計算し、
第2のハッシュ値が第1のハッシュ値と一致するかどうかを決定するように構成され、
第1の送信モジュールは、具体的には、第2のハッシュ値が第1のハッシュ値と一致し、かつ第2のNAS-MACが第1のNAS-MACと一致するとき、NASセキュリティモード完了メッセージをMMEへ送信するように構成される。
【００３６】
任意選択で、NASセキュリティモード・コマンドメッセージは、MMEによって返送されるUEセキュリティ能力をさらに含み、
検証モジュールは、
MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定するようにさらに構成され、
第1の送信モジュールは、具体的には、
第2のハッシュ値が第1のハッシュ値と一致し、第2のNAS-MACが第1のNAS-MACと一致し、かつMMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、NASセキュリティモード完了メッセージをMMEへ送信するように構成される。
【００３７】
任意選択で、第1の送信モジュールは、
第2のハッシュ値、第2のNAS-MAC、およびMMEによって返送されるUEセキュリティ能力のうちの少なくとも1つが検証に失敗する場合、NASセキュリティモード拒否メッセージをMMEへ送信するようにさらに構成され、または
第2のNAS-MACが第1のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつ第2のハッシュ値が第1のハッシュ値と一致しない場合、NASセキュリティモード完了メッセージをMMEへ送信するようにさらに構成され、ここで、NASセキュリティモード完了メッセージは、接続要求メッセージを搬送する。
【００３８】
任意選択で、第1の検証整合情報は、MMEによって受信されたUE能力情報の第3のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信されたUE能力情報に対してハッシュ計算を実行するためにMMEによって使用されたハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第3のNAS-MACをさらに含み、
検証モジュールは、具体的には、
UEによって受信されたNASセキュリティモード・コマンドメッセージの第4のNAS-MACを計算し、
第4のNAS-MACが第3のNAS-MACと一致するかどうかを決定し、
第4のNAS-MACが第3のNAS-MACと一致する場合、UEによってMMEへ送信されたUE能力情報の第4のハッシュ値をハッシュアルゴリズムに従って計算し、
第4のハッシュ値が第3のハッシュ値と一致するかどうかを決定するように構成され、
第1の送信モジュールは、具体的には、第4のハッシュ値が第3のハッシュ値と一致する場合、NASセキュリティモード完了メッセージをMMEへUEのために送信するように構成される。
【００３９】
任意選択で、NASセキュリティモード・コマンドメッセージは、MMEによって返送されるUEセキュリティ能力をさらに含み、
検証モジュールは、
MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定するようにさらに構成され、
第1の送信モジュールは、具体的には、
第4のハッシュ値が第3のハッシュ値と一致し、第4のNAS-MACが第3のNAS-MACと一致し、かつMMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、NASセキュリティモード完了メッセージをMMEへ送信するように構成される。
【００４０】
任意選択で、第1の送信モジュールは、
第4のハッシュ値、第4のNAS-MAC、およびMMEによって返送されるUEセキュリティ能力のうちの少なくとも1つが検証に失敗する場合、NASセキュリティモード拒否メッセージをMMEへUEのために送信するようにさらに構成され、または
第1の送信モジュールは、第4のNAS-MACが第3のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつ第4のハッシュ値が第3のハッシュ値と一致しない場合、NASセキュリティモード完了メッセージをMMEへUEのために送信するようにさらに構成され、ここで、NASセキュリティモード完了メッセージは、UE能力情報を搬送する。
【００４１】
任意選択で、第1の検証整合情報は、MMEによって受信されたUE能力情報であり、NASセキュリティモード・コマンドメッセージは、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第5のNAS-MACをさらに含み、
検証モジュールは、具体的には、
UEによって受信されたNASセキュリティモード・コマンドメッセージの第6のNAS-MACを計算し、
第6のNAS-MACが第5のNAS-MACと一致するかどうかをUEのために決定し、
MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定するように構成され、
第1の送信モジュールは、具体的には、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、NASセキュリティモード完了メッセージをMMEへ送信するように構成される。
【００４２】
任意選択で、検証モジュールは、具体的には、
第6のNAS-MACが第5のNAS-MACと一致するかどうかを決定し、
第6のNAS-MACが第5のNAS-MACと一致する場合、MMEによって受信されたUE能力情報の中に含まれるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定し、
MMEによって受信されたUE能力情報の中に含まれるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、MMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致するかどうかをUEのために決定するように構成され、
第1の送信モジュールは、具体的には、MMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致する場合、NASセキュリティモード完了メッセージをMMEへ送信するように構成される。
【００４３】
任意選択で、第1の送信モジュールは、
MMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致しない場合、NASセキュリティモード完了メッセージをMMEへ送信するようにさらに構成され、ここで、NASセキュリティモード完了メッセージは、UE能力情報を搬送する。
【００４４】
任意選択で、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUEセキュリティ能力、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第7のNAS-MACを含み、
検証モジュールは、具体的には、
UEによって受信されたNASセキュリティモード・コマンドメッセージの第8のNAS-MACを計算し、
第8のNAS-MACが第7のNAS-MACと一致するかどうかを決定し、第8のNAS-MACが第7のNAS-MACと一致する場合、MMEによって受信されたUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定するように構成され、
第1の送信モジュールは、具体的には、MMEによって受信されたUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、NASセキュリティモード完了メッセージをMMEへ送信するように構成され、ここで、NASセキュリティモード完了メッセージは、第2の検証整合情報、およびNASセキュリティモード完了メッセージのNAS-MACを搬送する。
【００４５】
任意選択で、第2の検証整合情報は、
UEによってMMEへ送信された接続要求メッセージのハッシュ値、または
UEによってMMEへ送信されたUE能力情報のハッシュ値を含む。
【００４６】
任意選択で、第2の検証整合情報は、UEのUE能力情報を含む。
【００４７】
任意選択で、受信モジュールは、第1の送信モジュールがNASセキュリティモード完了メッセージをMMEへ送信した後、MMEによって送信されたダウンリンクNASトランスポートメッセージを受信するようにさらに構成され、ここで、ダウンリンクNASトランスポートメッセージは、UE能力情報要求メッセージ、または接続要求メッセージを再送するようにUEに要求するための要求メッセージを搬送し、
第1の送信モジュールは、アップリンク情報転送メッセージをMMEへ送信するようにさらに構成され、ここで、アップリンク情報転送メッセージは、UE能力情報または接続要求メッセージを搬送する。
【００４８】
任意選択で、受信モジュールは、
第1の送信モジュールがNASセキュリティモード完了メッセージをMMEへ送信した後、MMEによって送信されたUE情報要求メッセージを受信するようにさらに構成され、ここで、UE情報要求メッセージは、UE能力情報要求メッセージ、または接続要求メッセージを再送するようにUEに要求するための要求メッセージを搬送し、
第1の送信モジュールは、UE情報応答メッセージをMMEへ送信するようにさらに構成され、ここで、UE情報応答メッセージは、UE能力情報または接続要求メッセージを搬送する。
【００４９】
第4の態様によれば、本発明の一実施形態は、モバイル通信装置を提供する。装置はMMEの中に配備され、
UEが、第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定し、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、UEが、NASセキュリティモード完了メッセージをMMEへ送信するように、NASセキュリティモード・コマンドメッセージをUEへ送信するように構成された第2の送信モジュールであって、NASセキュリティモード・コマンドメッセージは、第1の検証整合情報を搬送する、第2の送信モジュールを含む。
【００５０】
任意選択で、第1の検証整合情報は、MMEによって受信された接続要求メッセージの第1のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信された接続要求メッセージに対してハッシュ計算を実行するためにMMEによって使用されたハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第1の非アクセス層メッセージ認証NAS-MACをさらに含む。
【００５１】
任意選択で、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUEセキュリティ能力をさらに含む。
【００５２】
任意選択で、装置は、
UEによって生成されたNASセキュリティモードコマンドの第2のNAS-MACが第1のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつUEによって生成された接続要求メッセージの第2のハッシュ値が第1のハッシュ値と一致しないとき、UEによって送信されたNASセキュリティモード完了メッセージを受信するように構成された第1の受信モジュールであって、NASセキュリティモード完了メッセージは、接続要求メッセージを搬送する、第1の受信モジュールをさらに含む。
【００５３】
任意選択で、第1の検証整合情報は、MMEによって受信されたUE能力情報の第3のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信されたUE能力情報に対してハッシュ計算を実行するためにMMEによって使用されたハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第3のNAS-MACをさらに含む。
【００５４】
任意選択で、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUEセキュリティ能力をさらに含む。
【００５５】
任意選択で、装置は、
UEによって生成されたNASセキュリティモード・コマンドメッセージの第4のNAS-MACが第3のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつUEによって生成されたUE能力情報の第4のハッシュ値が第3のハッシュ値と一致しないとき、UEによって送信されたNASセキュリティモード完了メッセージを受信するように構成された第2の受信モジュールであって、NASセキュリティモード完了メッセージは、UE能力情報を搬送する、第2の受信モジュールをさらに含む。
【００５６】
任意選択で、第1の検証整合情報は、MMEによって受信されたUE能力情報であり、NASセキュリティモード・コマンドメッセージは、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第5のNAS-MACをさらに含む。
【００５７】
任意選択で、装置は、
UEによって生成されたNASセキュリティモード・コマンドメッセージの第6のNAS-MACが第5のNAS-MACと一致し、MMEによって受信されたUE能力情報の中に含まれるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつMMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致しないとUEが決定するとき、UEによって送信されたNASセキュリティモード完了メッセージを受信するように構成された第3の受信モジュールであって、NASセキュリティモード完了メッセージは、UE能力情報を搬送する、第3の受信モジュールをさらに含む。
【００５８】
任意選択で、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUEセキュリティ能力、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第7のNAS-MACを含む。
【００５９】
任意選択で、装置は、UEによって送信されたNASセキュリティモード完了メッセージを受信するように構成された第4の受信モジュールであって、NASセキュリティモード完了メッセージは、第2の検証整合情報、およびNASセキュリティモード完了メッセージのNAS-MACを搬送する、第4の受信モジュールをさらに含む。
【００６０】
任意選択で、第2の検証整合情報は、
UEによってMMEへ送信された接続要求メッセージのハッシュ値、または
UEによってMMEへ送信されたUE能力情報のハッシュ値を含む。
【００６１】
任意選択で、第2の検証整合情報は、UEのUE能力情報を含む。
【００６２】
任意選択で、第2の送信モジュールは、MMEによって受信されたUE能力情報がUEによって送信されたものと一致しない場合、ダウンリンクNASトランスポートメッセージをUEへ送信するようにさらに構成され、ここで、ダウンリンクNASトランスポートメッセージは、UE能力情報要求メッセージ、または接続要求メッセージを再送するようにUEに要求するための要求メッセージを搬送し、
第4の受信モジュールは、UEによって送信されたアップリンク情報転送メッセージを受信するようにさらに構成され、ここで、アップリンク情報転送メッセージは、UE能力情報または接続要求メッセージを搬送する。
【００６３】
任意選択で、第2の送信モジュールは、MMEによって受信されたUE能力情報がUEによって送信されたものと一致しないとMMEが決定する場合、UE情報要求メッセージをUEへ送信するようにさらに構成され、ここで、UE情報要求メッセージは、UE能力情報要求メッセージ、または接続要求メッセージを再送するようにUEに要求するための要求メッセージを搬送し、
第4の受信モジュールは、UEによって送信されたUE情報応答メッセージを受信するようにさらに構成され、ここで、UE情報応答メッセージは、UE能力情報または接続要求メッセージを搬送する。
【００６４】
第5の態様によれば、本発明の一実施形態は、モバイル通信デバイスを提供する。デバイスはUEの中に配備され、
通信インターフェース、メモリ、プロセッサ、および通信バスを含み、ここで、通信インターフェース、メモリ、およびプロセッサは、通信バスを使用することによって通信し、
メモリは、プログラムを記憶するように構成され、プロセッサは、メモリの中に記憶されたプログラムを実行するように構成され、モバイル通信デバイスが動作するとき、プロセッサはプログラムを動作させ、プログラムは、
モビリティ管理エンティティMMEから非アクセス層NASセキュリティモード・コマンドメッセージを受信することであって、NASセキュリティモード・コマンドメッセージが、MMEによって受信されたUE能力情報を検証するために使用される第1の検証整合情報を搬送する、前記受信することと、
第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定することと、
MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、NASセキュリティモード完了メッセージをMMEへ送信することとを含む。
【００６５】
第6の態様によれば、本発明の一実施形態は、モバイル通信デバイスを提供する。デバイスはMMEの中に配備され、
通信インターフェース、メモリ、プロセッサ、および通信バスを含み、ここで、通信インターフェース、メモリ、およびプロセッサは、通信バスを使用することによって通信し、
メモリは、プログラムを記憶するように構成され、プロセッサは、メモリの中に記憶されたプログラムを実行するように構成され、モバイル通信デバイスが動作するとき、プロセッサはプログラムを動作させ、プログラムは、
UEが、第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定し、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、UEが、NASセキュリティモード完了メッセージをMMEへ送信するように、NASセキュリティモード・コマンドメッセージをUEへ送信することであって、NASセキュリティモード・コマンドメッセージは、第1の検証整合情報を搬送する、前記送信することを含む。
【００６６】
本発明の実施形態における方法によれば、UEは、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを、受信された第1の検証整合メッセージに基づいて検証する。本発明の実施形態では、MMEが正しいUE能力情報を所有することを保証するために、MMEが検証整合メッセージを返送し、UEがMMEによって受信されたUE能力情報を検証することが知られ得る。これは、接続手順において、接続要求メッセージがNASセキュリティコンテキストによって保護されず、攻撃者がUE能力情報を改変することが可能であり、MMEが正しいUE能力情報を取得できないことによって引き起こされる、DoS攻撃問題を解決する。DoSはDenial of Service、すなわち、サービス妨害の略語であり、DoSを引き起こす攻撃挙動はDoS攻撃と呼ばれる。
【図面の簡単な説明】
【００６７】
【図１】本発明の実施形態1によるモバイル通信方法のフローチャートである。
【図２】本発明の実施形態2によるモバイル通信方法のフローチャートである。
【図３】本発明の実施形態3によるモバイル通信方法のフローチャートである。
【図４】本発明の実施形態4によるモバイル通信方法のフローチャートである。
【図５】本発明の実施形態5によるモバイル通信方法のフローチャートである。
【図６】本発明の実施形態6によるモバイル通信方法のフローチャートである。
【図７】本発明の実施形態7によるモバイル通信方法のフローチャートである。
【図８】本発明の実施形態8によるモバイル通信方法のフローチャートである。
【図９】本発明の実施形態9によるモバイル通信方法のフローチャートである。
【図１０】本発明の実施形態10によるモバイル通信方法のフローチャートである。
【図１１】本発明の実施形態11によるモバイル通信方法のフローチャートである。
【図１２】本発明の実施形態12によるモバイル通信方法のフローチャートである。
【図１３】本発明の実施形態15によるモバイル通信方法のフローチャートである。
【図１４】本発明の実施形態16によるモバイル通信方法のフローチャートである。
【図１５】本発明の実施形態1によるモバイル通信装置の概略構造図である。
【図１６】本発明の実施形態2によるモバイル通信装置の概略構造図である。
【図１７】本発明の実施形態1によるモバイル通信デバイスの概略構造図である。
【図１８】本発明の実施形態2によるモバイル通信デバイスの概略構造図である。
【発明を実施するための形態】
【００６８】
図1は、本発明の実施形態1によるモバイル通信方法のフローチャートである。図1に示すように、本発明の実施形態1は、以下のメイン処理ステップを含む。
【００６９】
ステップS11:UEが、MMEから非アクセス層(NAS)セキュリティモード・コマンドメッセージを受信し、ここで、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUE能力情報を検証するために使用される第1の検証整合情報を搬送する。
【００７０】
UEの接続手順において、UEは、eNBを使用することによって接続要求メッセージをMMEへ送信し、ここで、接続要求メッセージは、UE能力情報を搬送する。
【００７１】
具体的には、UE能力情報は、UEネットワーク能力を含み、ここで、UEネットワーク能力は、UEセキュリティ能力、移動局(MS)ネットワーク能力、移動局分類番号2、移動局分類番号3、サポートされるコーデック、追加更新タイプ、ボイス領域選好およびUE使用設定、ならびに移動局ネットワーク機能サポートを含む。
【００７２】
UEによってMMEへ送信される接続要求メッセージが完全性保護を有しないことがあるので、接続要求メッセージは中間者攻撃を受けることがある。したがって、MMEによって受信された接続要求メッセージの中のUE能力情報は、UEによってMMEへ送信されたものと一致しない。その結果、MMEは、正しいUE能力情報を取得することができない。
【００７３】
MMEが正しいUE能力情報を取得できることを保証するために、MMEは、NASセキュリティ起動手順においてNASセキュリティモード・コマンドメッセージを使用することによって、第1の検証整合情報をUEへ送信し、それによって、UEは、第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによって送信されたものと一致するかどうかを決定する。
【００７４】
ステップS12:UEは、第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定する。
【００７５】
ステップS13:MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【００７６】
本発明のこの実施形態における方法によれば、UEは、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを、受信された第1の検証整合メッセージに基づいて検証する。本発明のこの実施形態では、MMEが正しいUE能力情報を所有することを保証するために、MMEが検証整合メッセージを返送し、UEがMMEによって受信されたUE能力情報を検証することが知られ得る。これは、接続手順において、接続要求メッセージがNASセキュリティコンテキストによって保護されず、攻撃者がUE能力情報を改変することが可能であり、MMEが正しいUE能力を取得できないことによって引き起こされる、DoS攻撃問題を解決する。DoSはDenial of Serviceの略語であり、DoSを引き起こす攻撃挙動はDoS攻撃と呼ばれる。
【００７７】
本発明の実施形態1の上記の方法において、第1の検証整合情報は複数の異なる方式で実施されてよく、具体的な実施形態を参照して以下で説明が提供される。
【００７８】
図2は、本発明の実施形態2によるモバイル通信方法のフローチャートである。この方法では、MMEは、受信された接続要求メッセージに対してハッシュ計算を実行して接続要求メッセージのハッシュ値を取得し、NASセキュリティモード・コマンドメッセージを使用することによって接続要求メッセージのハッシュ値をUEへ送信し、それによって、UEは、接続要求メッセージのハッシュ値を検証して、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたものと一致するかどうかを決定する。図2に示すように、この方法は、以下のメイン処理ステップを含む。
【００７９】
ステップS21:UEが、MMEからNASセキュリティモード・コマンドメッセージを受信する。
【００８０】
NASセキュリティモード・コマンドメッセージの中で搬送される第1の検証整合メッセージは、接続手順において受信された接続要求メッセージの第1のハッシュ値であり、ここで、第1のハッシュ値は、接続要求メッセージに対してハッシュ計算を実行することによりMMEによって取得され、NASセキュリティモード・コマンドメッセージは、受信された接続要求メッセージに対してハッシュ計算を実行するためにMMEによって使用された(任意選択で搬送される)ハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第1の非アクセス層メッセージ認証コード(NAS-MAC)をさらに含む。第1のNAS-MACは、NASセキュリティモード・コマンドメッセージの完全性を保護するために使用される。
【００８１】
さらに、NASセキュリティモード・コマンドメッセージは、MMEとUEの両方によってサポートされる暗号化アルゴリズム、任意選択で搬送される国際モバイル機器識別情報(IMEI)要求、およびアイドル・モバイル・セキュリティ・コンテキストのマッピングのために使用され任意選択で搬送される[NONCEUE、NONCEMME]をさらに含んでよく、ここで、NONCEUEはUEによって選択される乱数であり、NONCEMMEはMMEによって選択される乱数である。
【００８２】
ステップS22:UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第2のNAS-MACを計算する。
【００８３】
このステップにおいて、UEは、送信されるNASセキュリティモード・コマンドメッセージに対してMMEが完全性保護を実行する方式で、UEによって受信されたNASセキュリティモード・コマンドメッセージに対して計算を実行して、第2のNAS-MACを取得する。
【００８４】
NASセキュリティモード・コマンドメッセージが送信手順において中間者攻撃を受けない場合、第1のNAS-MACは第2のNAS-MACと一致する。
【００８５】
ステップS23:UEは、第2のNAS-MACが第1のNAS-MACと一致するかどうかを決定し、第2のNAS-MACが第1のNAS-MACと一致する場合、ステップS24を実行し、または第2のNAS-MACが第1のNAS-MACと一致しない場合、ステップS27を実行する。
【００８６】
ステップS24:UEは、UEによってMMEへ送信された接続要求メッセージの第2のハッシュ値をハッシュアルゴリズムに従って計算する。
【００８７】
UEは、ハッシュアルゴリズムを使用することによって、接続手順においてUEによってMMEへ送信された接続要求メッセージに対してハッシュ計算を実行する。接続手順において接続要求メッセージが中間者攻撃を実行する攻撃者によって改変されていない場合、UEによって計算される第2のハッシュ値は、NASセキュリティモード・コマンドメッセージの中の第1のハッシュ値と一致する。
【００８８】
さらに、本発明のこの実施形態では、接続要求メッセージの長さを短縮し情報送信レートを改善するように、接続要求メッセージのハッシュ値がNASセキュリティモード・コマンドメッセージの中で搬送される。
【００８９】
ステップS25:UEは、第2のハッシュ値が第1のハッシュ値と一致するかどうかを決定し、第2のハッシュ値が第1のハッシュ値と一致する場合、ステップS26を実行し、そうでなければステップS27を実行する。
【００９０】
ステップS26:UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【００９１】
NASセキュリティモード完了メッセージは、任意選択で、[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送する。
【００９２】
ステップS27:UEは、NASセキュリティモード拒否メッセージをMMEへ送信する。
【００９３】
この実施形態では、UEは、受信されたNASセキュリティモード・コマンドメッセージの完全性、およびMMEによって受信された接続要求メッセージのハッシュ値を検証する。第2のハッシュ値が第1のハッシュ値と一致し、かつ第2のNAS-MACが第1のNAS-MACと一致するとき、UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージが改変されておらず、UE接続手順においてMMEによって受信された接続要求メッセージがUEによってMMEへ送信されたものと一致すると決定し、それによって、MMEによって受信された接続要求メッセージの中のUE能力情報がUEによって送信されたUE能力情報と一致することを保証する。
【００９４】
接続要求メッセージのハッシュ値およびNAS-MACの完全性のうちの少なくとも一方が検証に失敗するとき、それは、MMEによって受信された接続要求メッセージ、およびNASセキュリティモード・コマンドメッセージのうちの少なくとも一方が、攻撃を受けており改変されていることを示す。この場合、UEは、NAS security mode rejectメッセージをMMEへ送信する。
【００９５】
この実施形態では、UEは、MMEの接続要求メッセージのハッシュ値を検証することによって、MMEによって受信されたUE能力情報を検証する。これは、MMEによって受信されたUE能力情報が正しいUE能力情報であることを保証する。
【００９６】
この実施形態では、第1の検証整合メッセージは、従来の仕様においてMMEによってUEセキュリティ能力を返送するために使用される情報要素(IE)を占有することによって送信されてよく、または新たなIEを使用することによって送信されてもよい。
【００９７】
図3は、本発明の実施形態3によるモバイル通信方法のフローチャートである。この方法では、MMEは、NASセキュリティモード・コマンドメッセージを使用することによって、受信されたUEセキュリティ能力、および受信された接続要求メッセージのハッシュ値をUEへ送信し、それによって、UEは、接続要求メッセージのハッシュ値、およびUEセキュリティ能力を検証して、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたものと一致するかどうかを決定する。図3に示すように、この方法は、以下のメイン処理ステップを含む。
【００９８】
ステップS31:UEが、MMEからNASセキュリティモード・コマンドメッセージを受信する。
【００９９】
NASセキュリティモード・コマンドメッセージの中で搬送される第1の検証整合メッセージは、接続手順において受信された接続要求メッセージの第1のハッシュ値であり、ここで、第1のハッシュ値は、MMEが接続要求メッセージに対してハッシュ計算を実行した後に取得され、NASセキュリティモード・コマンドメッセージは、接続手順においてMMEによって受信されたUEセキュリティ能力、受信された接続要求メッセージに対してハッシュ計算を実行するためにMMEによって使用された(任意選択で搬送される)ハッシュアルゴリズム、MMEとUEの両方によってサポートされる完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第1のNAS-MACをさらに含む。第1のNAS-MACは、NASセキュリティモード・コマンドメッセージの完全性を保護するために使用される。
【０１００】
さらに、セキュリティモード・コマンドメッセージは、MMEとUEの両方によってサポートされる暗号化アルゴリズム、任意選択で搬送される[IMEI要求]、および任意選択で搬送される[NONCEUE、NONCEMME]をさらに含んでよく、ただし、NONCEUEはUEによって選択される乱数であり、NONCEMMEはMMEによって選択される乱数である。
【０１０１】
ステップS32:UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第2のNAS-MACを計算する。
【０１０２】
このステップにおいて、UEは、送信されるNASセキュリティモード・コマンドメッセージに対してMMEが完全性保護を実行する方式で、UEによって受信されたNASセキュリティモード・コマンドメッセージに対して計算を実行して、第2のNAS-MACを取得する。
【０１０３】
NASセキュリティモード・コマンドメッセージが送信手順において中間者攻撃を受けない場合、第1のNAS-MACは第2のNAS-MACと一致する。
【０１０４】
ステップS33:UEは、第2のNAS-MACが第1のNAS-MACと一致するかどうかを決定し、第2のNAS-MACが第1のNAS-MACと一致する場合、ステップS34を実行し、または第2のNAS-MACが第1のNAS-MACと一致しない場合、ステップS36を実行する。
【０１０５】
ステップS34:UEは、UEによってMMEへ送信された接続要求メッセージの第2のハッシュ値をハッシュアルゴリズムに従って計算し、第2のハッシュ値が第1のハッシュ値と一致するかどうか、およびMMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定し(ハッシュ値の計算、ハッシュ値の決定、およびUEセキュリティ能力の決定の順序は限定されない)、第2のハッシュ値が第1のハッシュ値と一致し、かつMMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、ステップS35を実行し、そうでなければステップS36を実行する。
【０１０６】
UEは、ハッシュアルゴリズムを使用することによって、接続手順においてUEによってMMEへ送信された接続要求メッセージに対してハッシュ計算を実行し、接続要求メッセージが接続手順において中間者攻撃を実行する攻撃者によって改変されていない場合、UEによって計算される第2のハッシュ値は、NASセキュリティモード・コマンドメッセージの中の第1のハッシュ値と一致する。
【０１０７】
さらに、本発明のこの実施形態では、接続要求メッセージの長さを短縮し情報送信レートを改善するように、接続要求メッセージのハッシュ値がNASセキュリティモード・コマンドメッセージの中で搬送される。
【０１０８】
ステップS35:UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【０１０９】
NASセキュリティモード完了メッセージは、任意選択で、[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送する。
【０１１０】
ステップS36:UEは、NASセキュリティモード拒否メッセージをMMEへ送信する。
【０１１１】
本発明のこの実施形態では、UEは、MMEによって受信されたUE能力情報が正しいUE能力情報であることを保証するために、MMEによって受信された接続要求メッセージのハッシュ値、およびUEセキュリティ能力を検証することによって、MMEによって受信されたUE能力を検証する。
【０１１２】
本発明のこの実施形態では、第1の検証整合メッセージは、新たなIEを使用することによってのみ送信され得る。
【０１１３】
図4は、本発明の実施形態4によるモバイル通信方法のフローチャートである。この方法では、MMEは、NASセキュリティモード・コマンドメッセージを使用することによって、受信されたUEセキュリティ能力、および受信された接続要求メッセージのハッシュ値をUEへ送信し、それによって、UEは、接続要求メッセージのハッシュ値、およびUEセキュリティ能力を検証して、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたものと一致するかどうかを決定する。図4に示すように、この方法は、以下のメイン処理ステップを含む。
【０１１４】
ステップS41:UEが、MMEからNASセキュリティモード・コマンドメッセージを受信する。
【０１１５】
NASセキュリティモード・コマンドメッセージの中で搬送される第1の検証整合メッセージは、接続手順において受信された接続要求メッセージの第1のハッシュ値であり、ここで、第1のハッシュ値は、MMEが接続要求メッセージに対してハッシュ計算を実行した後に取得され、NASセキュリティモード・コマンドメッセージは、接続手順においてMMEによって受信されたUEセキュリティ能力、受信された接続要求メッセージに対してハッシュ計算を実行するためにMMEによって使用された(任意選択で搬送される)ハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第1のNAS-MACをさらに含む。第1のNAS-MACは、NASセキュリティモード・コマンドメッセージの完全性を保護するために使用される。
【０１１６】
さらに、セキュリティモード・コマンドメッセージは、MMEとUEの両方によってサポートされる暗号化アルゴリズム、任意選択で搬送される[IMEI要求]、および任意選択で搬送される[NONCEUE、NONCEMME]をさらに含んでよく、ここで、NONCEUEはUEによって選択される乱数であり、NONCEMMEはMMEによって選択される乱数である。
【０１１７】
ステップS42:UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第2のNAS-MACを計算する。
【０１１８】
ステップS43:UEは、第2のNAS-MACが第1のNAS-MACと一致するかどうかを決定し、第2のNAS-MACが第1のNAS-MACと一致する場合、ステップS44を実行し、または第2のNAS-MACが第1のNAS-MACと一致しない場合、ステップS48を実行する。
【０１１９】
ステップS44:UEは、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、ステップS45を実行し、そうでなければステップS48を実行する。
【０１２０】
ステップS45:UEは、第2のハッシュ値が第1のハッシュ値と一致するかどうかを決定し、第2のハッシュ値が第1のハッシュ値と一致する場合、ステップS46を実行し、または第2のハッシュ値が第1のハッシュ値と一致しない場合、ステップS47を実行する。
【０１２１】
本発明のこの実施形態では、第2のハッシュ値の計算は、上記の実施形態におけるものと同じであり、詳細はここで再び説明されない。
【０１２２】
ステップS46:UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【０１２３】
NASセキュリティモード完了メッセージは、任意選択で、[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送する。
【０１２４】
ステップS47:UEは、NASセキュリティモード完了メッセージをMMEへ送信し、ここで、メッセージは、接続要求メッセージまたはUE能力を搬送する。接続要求メッセージを搬送することに加えて、このステップにおいて送信されるNASセキュリティモード完了メッセージは、さらに、任意選択で、[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送する。
【０１２５】
ステップS48:UEは、NASセキュリティモード拒否メッセージをMMEへ送信する。
【０１２６】
この実施形態では、UEセキュリティ能力とNAS-MACの両方の完全性が検証に成功した後、UEとMMEとの間にNASセキュリティコンテキストが実際にセットアップされる。したがって、接続要求メッセージのハッシュ値の完全性が検証に失敗するとき、attach requestコンテンツは、完全性保護を有するNAS security mode completeメッセージに再び直接アップロードされる。これは、また、この実施形態と実施形態3との間の差異である。実施形態3において使用される方式は、UE security capabilitiesおよびNAS-MACの完全性が検証に成功し、かつUEとMMEとの間にNASセキュリティコンテキストがセットアップされても、attach requestメッセージのハッシュ値の完全性が検証に失敗する場合、UEは、NAS security mode rejectメッセージを送信する必要がある、ということである。
【０１２７】
本発明のこの実施形態では、第1の検証整合メッセージは、新たなIEのみを使用することによって送信され得る。
【０１２８】
図5は、本発明の実施形態5によるモバイル通信方法のフローチャートである。この方法では、MMEは、受信されたUE能力情報に対してハッシュ計算を実行してUE能力のハッシュ値を取得し、NASセキュリティモード・コマンドメッセージを使用することによってUE能力情報のハッシュ値をUEへ送信し、それによって、UEは、UE能力のハッシュ値を検証して、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたものと一致するかどうかを決定する。図5に示すように、この方法は、以下のメイン処理ステップを含む。
【０１２９】
ステップS51:UEが、MMEからNASセキュリティモード・コマンドメッセージを受信する。
【０１３０】
NASセキュリティモード・コマンドメッセージの中で搬送される第1の検証整合メッセージは、接続手順において受信されたUE能力情報の第3のハッシュ値であり、ここで、第3のハッシュ値は、MMEがUE能力情報に対してハッシュ計算を実行した後に取得される。NASセキュリティモード・コマンドメッセージは、受信されたUE能力情報に対してハッシュ計算を実行するためにMMEによって使用された(任意選択で搬送される)ハッシュアルゴリズム、MMEとUEの両方によってサポートされる完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第3のNAS-MACをさらに含み、ここで、第3のNAS-MACは、NASセキュリティモード・コマンドメッセージの完全性を保護するために使用される。
【０１３１】
さらに、セキュリティモード・コマンドメッセージは、MMEとUEの両方によってサポートされる暗号化アルゴリズム、任意選択で搬送される[IMEI要求]、および任意選択で搬送される[NONCEUE、NONCEMME]をさらに含んでよく、ここで、NONCEUEはUEによって選択される乱数であり、NONCEMMEはMMEによって選択される乱数である。
【０１３２】
ステップS52:UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第4のNAS-MACを計算する。
【０１３３】
このステップにおいて、UEは、送信されるNASセキュリティモード・コマンドメッセージに対してMMEが完全性保護を実行する方式で、UEによって受信されたNASセキュリティモード・コマンドメッセージに対して計算を実行して、第4のNAS-MACを取得する。
【０１３４】
NASセキュリティモード・コマンドメッセージが送信手順において中間者攻撃を受けていない場合、第3のNAS-MACは第4のNAS-MACと一致する。
【０１３５】
ステップS53:UEは、第4のNAS-MACが第3のNAS-MACと一致するかどうかを決定し、第4のNAS-MACが第3のNAS-MACと一致する場合、ステップS54を実行し、そうでなければステップS57を実行する。
【０１３６】
ステップS54:UEは、UEによってMMEへ送信されたUE能力情報の第4のハッシュ値をハッシュアルゴリズムに従って計算する。
【０１３７】
UEは、ハッシュアルゴリズムを使用することによって、接続手順においてUEによってMMEへ送信されたUE能力情報に対してハッシュ計算を実行し、UE能力情報が接続手順において中間者攻撃を実行する攻撃者によって改変されていない場合、UEによって計算される第4のハッシュ値は、NASセキュリティモード・コマンドメッセージの中の第3のハッシュ値と一致する。
【０１３８】
さらに、本発明のこの実施形態では、UE能力情報の長さを短縮し情報送信レートを改善するように、UE能力情報のハッシュ値がNASセキュリティモード・コマンドメッセージの中で搬送される。
【０１３９】
ステップS55:UEは、第4のハッシュ値が第3のハッシュ値と一致するかどうかを決定し、第4のハッシュ値が第3のハッシュ値と一致する場合、ステップS56を実行し、そうでなければステップS57を実行する。
【０１４０】
ステップS56:UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【０１４１】
NASセキュリティモード完了メッセージは、任意選択で、[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送する。
【０１４２】
ステップS57:UEは、NASセキュリティモード拒否メッセージをMMEへ送信する。
【０１４３】
この実施形態では、UEは、受信されたNASセキュリティモード・コマンドメッセージの完全性、およびMMEによって受信されたUE能力情報のハッシュ値を検証する。第4のハッシュ値が第3のハッシュ値と一致し、かつ第4のNAS-MACが第3のNAS-MACと一致するとき、UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージが改変されておらず、UE接続手順においてMMEによって受信されたUE能力情報がUEによってMMEへ送信されたものと一致すると決定し、それによって、MMEによって受信されたUE能力情報がUEによって送信されたUE能力情報と一致することを保証する。
【０１４４】
UE能力情報のハッシュ値およびNAS-MACの完全性のうちの少なくとも一方が検証に失敗するとき、それは、MMEによって受信されたUE能力情報、およびNASセキュリティモード・コマンドメッセージのうちの少なくとも一方が、攻撃を受けており改変されていることを示す。この場合、UEは、NAS security mode rejectメッセージをMMEへ送信する。
【０１４５】
この実施形態では、UEは、MMEによって受信されたUE能力情報が正しいUE能力情報であることを保証するために、MMEのUE能力情報のハッシュ値を検証することによって、MMEによって受信されたUE能力情報を検証する。
【０１４６】
この実施形態では、第1の検証整合メッセージは、従来の仕様においてMMEによって返送されるUEセキュリティ能力用のIEを占有することによって送信されてよく、または新たなIEを使用することによって送信されてもよい。
【０１４７】
図6は、本発明の実施形態6によるモバイル通信方法のフローチャートである。この方法では、MMEは、NASセキュリティモード・コマンドメッセージを使用することによって、受信されたUEセキュリティ能力、および受信されたUE能力情報のハッシュ値をUEへ送信し、それによって、UEは、UE能力情報のハッシュ値、およびUEセキュリティ能力を検証して、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定する。図6に示すように、この方法は、以下のメイン処理ステップを含む。
【０１４８】
ステップS61:UEが、MMEからNASセキュリティモード・コマンドメッセージを受信する。
【０１４９】
NASセキュリティモード・コマンドメッセージの中で搬送される第1の検証整合メッセージは、接続手順において受信されたUE能力情報の第3のハッシュ値であり、ここで、第3のハッシュ値は、MMEがUE能力情報に対してハッシュ計算を実行した後に取得される。NASセキュリティモード・コマンドメッセージは、接続手順においてMMEによって受信されたUEセキュリティ能力、受信されたUE能力情報に対してハッシュ計算を実行するためにMMEによって使用された(任意選択で搬送される)ハッシュアルゴリズム、MMEとUEの両方によってサポートされる完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第3のNAS-MACをさらに含み、ここで、第3のNAS-MACは、NASセキュリティモード・コマンドメッセージの完全性を保護するために使用される。
【０１５０】
さらに、セキュリティモード・コマンドメッセージは、MMEとUEの両方によってサポートされる暗号化アルゴリズム、任意選択で搬送される[IMEI要求]、および任意選択で搬送される[NONCEUE、NONCEMME]をさらに含んでよく、ここで、NONCEUEはUEによって選択される乱数であり、NONCEMMEはMMEによって選択される乱数である。
【０１５１】
ステップS62:UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第4のNAS-MACを計算する。
【０１５２】
このステップにおいて、UEは、送信されるNASセキュリティモード・コマンドメッセージに対してMMEが完全性保護を実行する方式で、UEによって受信されたNASセキュリティモード・コマンドメッセージに対して計算を実行して、第4のNAS-MACを取得する。
【０１５３】
NASセキュリティモード・コマンドメッセージが送信手順において中間者攻撃を受けていない場合、第3のNAS-MACは第4のNAS-MACと一致する。
【０１５４】
ステップS63:UEは、第4のNAS-MACが第3のNAS-MACと一致するかどうかを決定し、第4のNAS-MACが第3のNAS-MACと一致する場合、ステップS64を実行し、そうでなければステップS66を実行する。
【０１５５】
ステップS64:UEは、UEによってMMEへ送信されたUE能力情報の第4のハッシュ値をハッシュアルゴリズムに従って計算し、第4のハッシュ値が第3のハッシュ値と一致するかどうか、およびMMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定し(ハッシュ値の計算、ハッシュ値の決定、およびUEセキュリティ能力の決定の順序は指定されない)、第4のハッシュ値が第3のハッシュ値と一致し、かつMMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、ステップS65を実行し、そうでなければステップS66を実行する。
【０１５６】
ステップS65:UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【０１５７】
NASセキュリティモード完了メッセージは、任意選択で、[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送する。
【０１５８】
ステップS66:UEは、NASセキュリティモード拒否メッセージをMMEへ送信する。
【０１５９】
本発明のこの実施形態では、UEは、MMEによって受信されたUE能力情報が正しいUE能力情報であることを保証するために、MMEのUE能力情報のハッシュ値、およびUEセキュリティ能力を検証することによって、MMEによって受信されたUE能力を検証する。本発明のこの実施形態では、第1の検証整合メッセージは、新たなIEのみを使用することによって送信され得る。
【０１６０】
図7は、本発明の実施形態7によるモバイル通信方法のフローチャートである。この方法では、MMEは、NASセキュリティモード・コマンドメッセージを使用することによって、受信されたUEセキュリティ能力、および受信されたUE能力情報のハッシュ値をUEへ送信し、それによって、UEは、UE能力情報のハッシュ値、およびUEセキュリティ能力を検証して、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定する。図7に示すように、この方法は、以下のメイン処理ステップを含む。
【０１６１】
ステップS71:UEが、MMEからNASセキュリティモード・コマンドメッセージを受信する。
【０１６２】
NASセキュリティモード・コマンドメッセージの中で搬送される第1の検証整合メッセージは、接続手順において受信されたUE能力情報の第3のハッシュ値であり、ここで、第3のハッシュ値は、MMEがUE能力情報に対してハッシュ計算を実行した後に取得される。NASセキュリティモード・コマンドメッセージは、接続手順においてMMEによって受信されたUEセキュリティ能力、受信されたUE能力情報に対してハッシュ計算を実行するためにMMEによって使用された(任意選択で搬送される)ハッシュアルゴリズム、MMEとUEの両方によってサポートされる完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第3のNAS-MACをさらに含み、ここで、第3のNAS-MACは、NASセキュリティモード・コマンドメッセージの完全性を保護するために使用される。
【０１６３】
さらに、セキュリティモード・コマンドメッセージは、MMEとUEの両方によってサポートされる暗号化アルゴリズム、任意選択で搬送される[IMEI要求]、および任意選択で搬送される[NONCEUE、NONCEMME]をさらに含んでよい。
【０１６４】
ステップS72:UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第4のNAS-MACを計算する。
【０１６５】
ステップS73:UEは、第4のNAS-MACが第3のNAS-MACと一致するかどうかを決定し、第4のNAS-MACが第3のNAS-MACと一致する場合、ステップS74を実行し、そうでなければステップS78を実行する。
【０１６６】
ステップS74:UEは、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、ステップS75を実行し、そうでなければステップS78を実行する。
【０１６７】
ステップS75:UEは、第4のハッシュ値が第3のハッシュ値と一致するかどうかを決定し、第4のハッシュ値が第3のハッシュ値と一致する場合、ステップS76を実行し、または第4のハッシュ値が第3のハッシュ値と一致しない場合、ステップS77を実行する。
【０１６８】
ステップS76:UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【０１６９】
NASセキュリティモード完了メッセージは、任意選択で、[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送する。
【０１７０】
ステップS77:UEは、NASセキュリティモード完了メッセージをMMEへ送信し、ここで、メッセージはUE能力情報を搬送する。
【０１７１】
UE能力情報を搬送することに加えて、このステップにおいて送信されるNASセキュリティモード完了メッセージは、任意選択で、[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送する。
【０１７２】
ステップS78:UEは、NASセキュリティモード拒否メッセージをMMEへ送信する。
【０１７３】
本発明のこの実施形態では、第1の検証整合メッセージは、新たなIEのみを使用することによって送信され得る。
【０１７４】
図8は、本発明の実施形態8によるモバイル通信方法のフローチャートである。この方法では、MMEは、UEを使用することによってUE能力情報を検証するように、NASセキュリティモード・コマンドメッセージを使用することによって、接続手順において受信されたUE能力情報をUEへ送信する。図8に示すように、この方法は、以下のメイン処理ステップを含む。
【０１７５】
ステップS81:UEが、MMEからNASセキュリティモード・コマンドメッセージを受信する。
【０１７６】
NASセキュリティモード・コマンドメッセージの中で搬送される第1の検証整合メッセージは、接続手順においてMMEによって受信されたUE能力情報である。NASセキュリティモード・コマンドメッセージは、MMEとUEの両方によってサポートされる完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第5のNAS-MACをさらに含む。
【０１７７】
さらに、セキュリティモード・コマンドメッセージは、MMEとUEの両方によってサポートされる暗号化アルゴリズム、任意選択で搬送される[IMEI要求]、および任意選択で搬送される[NONCEUE、NONCEMME]をさらに含んでよく、ここで、NONCEUEはUEによって選択される乱数であり、NONCEMMEはMMEによって選択される乱数である。
【０１７８】
ステップS82:UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第6のNAS-MACを計算する。
【０１７９】
ステップS83:UEは、第6のNAS-MACが第5のNAS-MACと一致するかどうかを決定し、第6のNAS-MACが第5のNAS-MACと一致する場合、ステップS84を実行し、そうでなければステップS86を実行する。
【０１８０】
ステップS84:UEは、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定する。
【０１８１】
ステップS85:MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【０１８２】
NASセキュリティモード完了メッセージは、任意選択で、[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送する。
【０１８３】
ステップS86:第6のNAS-MACが第5のNAS-MACと一致せず、またはMMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致しない場合、UEは、NASセキュリティモード拒否メッセージをMMEへ送信する。
【０１８４】
この実施形態では、第1の検証整合メッセージは、従来の仕様においてMMEによって返送されるUEセキュリティ能力のIEを占有することによって送信されてよく、または新たなIEを使用することによって送信されてもよく、あるいは第1の検証整合メッセージの中のUEセキュリティ能力以外の第1の検証整合メッセージの中のUE能力が、新たなIEを使用することによって送信される。
【０１８５】
図9は、本発明の実施形態9によるモバイル通信方法のフローチャートである。この方法では、MMEは、UEを使用することによってUE能力情報を検証するように、NASセキュリティモード・コマンドメッセージを使用することによって、接続手順において受信されたUE能力情報をUEへ送信する。図9に示すように、この方法は、以下のメイン処理ステップを含む。
【０１８６】
ステップS91:UEが、MMEからNASセキュリティモード・コマンドメッセージを受信する。
【０１８７】
NASセキュリティモード・コマンドメッセージの中で搬送される第1の検証整合メッセージは、接続手順においてMMEによって受信されたUE能力情報である。NASセキュリティモード・コマンドメッセージは、MMEとUEの両方によってサポートされる完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第5のNAS-MACをさらに含む。
【０１８８】
さらに、セキュリティモード・コマンドメッセージは、MMEとUEの両方によってサポートされる暗号化アルゴリズム、任意選択で搬送される[IMEI要求]、および任意選択で搬送される[NONCEUE、NONCEMME]をさらに含んでよく、ここで、NONCEUEはUEによって選択される乱数であり、NONCEMMEはMMEによって選択される乱数である。
【０１８９】
ステップS92:UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第6のNAS-MACを計算する。
【０１９０】
ステップS93:UEは、第6のNAS-MACが第5のNAS-MACと一致するかどうかを決定し、第6のNAS-MACが第5のNAS-MACと一致する場合、ステップS94を実行し、そうでなければステップS98を実行する。
【０１９１】
ステップS94:UEは、MMEによって返送されるUE能力情報の中に含まれるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定し、MMEによって返送されるUE能力情報の中に含まれるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、ステップS95を実行し、そうでなければステップS98を実行する。
【０１９２】
ステップS95:UEは、MMEによって返送されるUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致するかどうかを決定し、MMEによって返送されるUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致する場合、ステップS96を実行し、そうでなければステップS97を実行する。
【０１９３】
ステップS96:UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【０１９４】
NASセキュリティモード完了メッセージは、任意選択で、[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送する。
【０１９５】
ステップS97:UEは、NASセキュリティモード完了メッセージをMMEへ送信し、ここで、NASセキュリティモード完了メッセージはUE能力を搬送する。
【０１９６】
UE能力情報を搬送することに加えて、このステップにおいて送信されるNASセキュリティモード完了メッセージは、任意選択で、[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送する。
【０１９７】
ステップS98:UEは、NASセキュリティモード拒否メッセージをMMEへ送信する。
【０１９８】
この実施形態では、第1の検証整合メッセージは、従来の仕様においてMMEによって返送されるUEセキュリティ能力のIEを占有することによって送信されてよく、または新たなIEを使用することによって送信されてもよく、あるいは第1の検証整合メッセージの中のUEセキュリティ能力以外の第1の検証整合メッセージの中のUE能力が、新たなIEを使用することによって送信される。
【０１９９】
図10は、本発明の実施形態10によるモバイル通信方法のフローチャートである。この方法では、UEは、NASセキュリティモード完了メッセージの中で第2の検証整合情報をMMEへ送信する。図10に示すように、本発明の実施形態10の方法は、以下のメイン処理ステップを含む。
【０２００】
ステップS101:MMEは、UEからNASセキュリティモード完了メッセージを受信し、ここで、NASセキュリティモード完了メッセージは、MMEによって受信されたUE能力情報を検証するために使用される第2の検証整合情報を搬送する。
【０２０１】
ステップS102:MMEは、第2の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定する。
【０２０２】
本発明の実施形態10の上記の方法において、第2の検証整合情報は複数の異なる方式で実施されてよく、具体的な実施形態を参照して以下で説明が提供される。
【０２０３】
図11は、本発明の実施形態11によるモバイル通信方法のフローチャートである。この方法では、MMEは、NASセキュリティモード・コマンドメッセージを使用することによって、接続手順において受信されたUEセキュリティ能力情報をUEへ送信する。図11に示すように、本発明の実施形態11の方法は、以下のメイン処理ステップを含む。
【０２０４】
ステップS111:UEが、MMEからNASセキュリティモード・コマンドメッセージを受信する。
【０２０５】
NASセキュリティモード・コマンドメッセージは、接続手順においてMMEによって受信されたUEセキュリティ能力、MMEによって使用される完全性アルゴリズムおよび任意選択で搬送されるHashアルゴリズム、鍵識別子、ならびにNASセキュリティモード・コマンドメッセージの第7のNAS-MACを搬送する。
【０２０６】
さらに、NASセキュリティモード・コマンドメッセージは、MMEとUEの両方によってサポートされる暗号化アルゴリズム、任意選択で搬送される[IMEI要求]、および任意選択で搬送される[NONCEUE、NONCEMME]をさらに含んでよく、ここで、NONCEUEはUEによって選択される乱数であり、NONCEMMEはMMEによって選択される乱数である。
【０２０７】
ステップS112:UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第8のNAS-MACを計算する。
【０２０８】
ステップS113:UEは、第8のNAS-MACが第7のNAS-MACと一致するかどうかを決定し、第8のNAS-MACが第7のNAS-MACと一致する場合、ステップS114を実行し、そうでなければステップS116を実行する。
【０２０９】
ステップS114:UEは、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定する。
【０２１０】
ステップS115:MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、UEは、NASセキュリティモード完了メッセージをMMEへ送信し、ここで、NASセキュリティモード完了メッセージは、MMEによって受信されたUE能力情報を検証するために使用される第2の検証整合情報、およびNASセキュリティモード完了メッセージのNAS-MACを搬送する。
【０２１１】
本発明のこの実施形態では、UEセキュリティ能力とNASセキュリティモード・コマンドメッセージの両方の完全性が検証に成功するとき、第2の検証整合情報がMMEへ送信され、MMEは、MMEが正しいUE能力情報を取得することを保証するように、受信された第2の検証整合情報を使用することによって、接続手順において受信されたUE能力情報を検証し得る。
【０２１２】
UEによってMMEへ送信される第2の検証整合情報は、さらに、接続手順においてUEによってMMEへ送信された接続要求メッセージのハッシュ値、または接続手順においてUEによってMMEへ送信されたUE能力情報のハッシュ値であってよい。加えて、NASセキュリティモード完了メッセージは、任意選択で、UEによって使用される(任意選択で搬送される)ハッシュアルゴリズムおよび[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送する。
【０２１３】
接続要求メッセージのハッシュ値またはUEによって送信されたUE能力情報のハッシュ値を受信した後、MMEは、ハッシュアルゴリズムを使用することによって、接続手順において受信された接続要求メッセージまたはUE能力情報に対してハッシュ計算を実行し、計算結果を使用することによって、接続手順においてMMEによって受信された接続要求メッセージまたはUE能力情報がUEによって送信されたものと一致するかどうかを決定する。
【０２１４】
接続手順においてMMEによって受信された接続要求メッセージまたはUE能力情報がUEによって送信されたものと一致しない場合、NASセキュリティ起動の後、MMEは、以下の具体的な実装においてUE能力情報または接続要求コンテンツを再送するようにUEに要求する。
【０２１５】
実装1:
(1)MMEは、ダウンリンクNASトランスポートメッセージをeNBへ送信し、ここで、ダウンリンクNASトランスポートメッセージは、UE能力要求メッセージまたは接続要求コンテンツ要求メッセージを含む。
【０２１６】
(2)eNBは、ダウンリンク情報転送メッセージをUEへ送信し、ここで、ダウンリンク情報転送メッセージは、UE能力要求メッセージまたは接続要求コンテンツ要求メッセージを含む。
【０２１７】
(3)UEは、アップリンク情報転送メッセージをeNBへ送信し、ここで、メッセージは、UE能力または接続要求メッセージコンテンツ(Attach request contents)を含む。
【０２１８】
(4)eNBは、アップリンクNASトランスポートメッセージをMMEへ送信し、ここで、メッセージは、UE能力または接続要求コンテンツを含む。
【０２１９】
実装2:
(1)MMEは、UE情報要求メッセージをeNBへ送信し、ここで、UE情報要求メッセージは、UE能力要求メッセージまたは接続要求コンテンツ要求メッセージを含む。
【０２２０】
(2)eNBは、UE情報要求メッセージをUEへ送信する。
【０２２１】
(3)UEは、UE情報応答メッセージをeNBへ送信し、ここで、UE情報応答メッセージは、UE能力または接続要求メッセージ搬送コンテンツ(Attach request contents)を搬送する。
【０２２２】
(4)eNBは、UE情報応答メッセージをMMEへ送信し、ここで、UE情報応答メッセージは、UE能力または接続要求メッセージコンテンツ(Attach request contents)を搬送する。
【０２２３】
ステップS116:第8のNAS-MACが第7のNAS-MACと一致せず、またはMMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致しない場合、UEは、NASセキュリティモード拒否メッセージをMMEへ送信する。
【０２２４】
図12は、本発明の実施形態12によるモバイル通信方法のフローチャートである。この方法では、MMEは、NASセキュリティモード・コマンドメッセージを使用することによって、接続手順において受信されたUEセキュリティ能力情報をUEへ送信する。図12に示すように、本発明の実施形態12は、以下のメイン処理ステップを含む。
【０２２５】
ステップS121:UEが、MMEからNASセキュリティモード・コマンドメッセージを受信する。
【０２２６】
NASセキュリティモード・コマンドメッセージは、接続手順においてMMEによって受信されたUEセキュリティ能力、MMEとUEの両方によってサポートされる完全性アルゴリズム、任意選択で搬送されるHashアルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第7のNAS-MACを搬送する。
【０２２７】
さらに、NASセキュリティモード・コマンドメッセージは、MMEとUEの両方によってサポートされる暗号化アルゴリズム、任意選択で搬送される[IMEI要求]、および任意選択で搬送される[NONCEUE、NONCEMME]をさらに含んでよい。
【０２２８】
ステップS122:UEは、UEによって受信されたNASセキュリティモード・コマンドメッセージの第8のNAS-MACを計算する。
【０２２９】
ステップS123:UEは、第8のNAS-MACが第7のNAS-MACと一致するかどうかを決定し、第8のNAS-MACが第7のNAS-MACと一致する場合、ステップS124を実行し、そうでなければステップS126を実行する。
【０２３０】
ステップS124:UEは、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定する。
【０２３１】
ステップS125:MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、UEは、NASセキュリティモード完了メッセージをMMEへ送信し、ここで、NASセキュリティモード完了メッセージは、UE能力情報、およびNASセキュリティモード完了メッセージのNAS-MACを搬送する。
【０２３２】
本発明のこの実施形態では、UEセキュリティ能力とNASセキュリティモード・コマンドメッセージの両方の完全性が検証に成功するとき、UE能力情報がMMEへ送信される。
【０２３３】
さらに、NASセキュリティモード完了メッセージは、任意選択で、[IMEI]を搬送し、NASセキュリティモード完了メッセージに対してセキュリティ保護を実行するためにNAS-MACを搬送し、それによって、NASセキュリティモード完了メッセージの中のUE能力情報が改変されていないことを保証する。これは、MMEが正しいUE能力情報を取得することを保証する。
【０２３４】
ステップS126:第8のNAS-MACが第7のNAS-MACと一致せず、またはMMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致しない場合、UEは、NASセキュリティモード拒否メッセージをMMEへ送信する。
【０２３５】
この実施形態では、UE能力情報は、第2の検証整合情報IEの中に配置され、送信されてよいが、MMEは、UE能力情報を直接記憶し、UE能力情報が、受信された接続要求におけるUE能力情報と同じであるかどうかを再び検証しない。
【０２３６】
本発明は、モバイル通信方法の実施形態13をさらに提供する。この実施形態の方法は、以下のメイン処理ステップを含み、すなわち、MMEは、NASセキュリティモード・コマンドメッセージをUEへ送信し、ここで、NASセキュリティモード・コマンドメッセージは、第1の検証整合情報を搬送し、それによって、UEは、第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定し、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、UEは、NASセキュリティモード完了メッセージをMMEへ送信する。
【０２３７】
実施形態13に基づいて、実施形態13の一実装では、第1の検証整合情報は、MMEによって受信された接続要求メッセージの第1のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信された接続要求メッセージに対してハッシュ計算を実行するためにMMEによって使用された(任意選択で搬送される)ハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第1の非アクセス層メッセージ認証NAS-MACをさらに含む。
【０２３８】
実施形態13に基づいて、実施形態13の一実装では、方法は、以下のステップをさらに含む。
【０２３９】
UEによって生成されたNASセキュリティモード・コマンドメッセージの第2のNAS-MACが第1のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつUEによって生成された接続要求メッセージの第2のハッシュ値が第1のハッシュ値と一致しないとき、MMEは、UEによって送信されたNASセキュリティモード完了メッセージを受信し、ここで、NASセキュリティモード完了メッセージは、接続要求メッセージまたはUE能力を搬送する。
【０２４０】
実施形態13に基づいて、実施形態13の一実装では、第1の検証整合情報は、MMEによって受信されたUE能力情報の第3のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信されたUE能力情報に対してハッシュ計算を実行するためにMMEによって使用された(任意選択で搬送される)ハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第3のNAS-MACをさらに含む。
【０２４１】
実施形態13に基づいて、実施形態13の一実装では、方法は、以下のステップをさらに含む。
【０２４２】
UEによって生成された第4のNAS-MACが第3のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつUEによって生成されたUE能力情報の第4のハッシュ値が第3のハッシュ値と一致しないとき、MMEは、UEによって送信されたNASセキュリティモード完了メッセージを受信し、ここで、NASセキュリティモード完了メッセージは、UE能力情報を搬送する。
【０２４３】
実施形態13に基づいて、実施形態13の一実装では、第1の検証整合情報は、MMEによって受信されたUE能力情報であり、NASセキュリティモード・コマンドメッセージは、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第5のNAS-MACをさらに含む。
【０２４４】
実施形態13に基づいて、実施形態13の一実装では、方法は、以下のステップをさらに含む。
【０２４５】
UEによって生成された第6のNAS-MACが第5のNAS-MACと一致し、MMEによって受信されたUE能力情報の中のUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつMMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致しないとき、UEは、NASセキュリティモード完了メッセージをMMEへ送信し、ここで、NASセキュリティモード完了メッセージは、UE能力情報を搬送する。
【０２４６】
本発明は、モバイル通信方法の実施形態14をさらに提供する。この実施形態は、以下のメイン処理ステップを含む。
【０２４７】
(1)MMEは、UEからNASセキュリティモード完了メッセージを受信し、ここで、NASセキュリティモード完了メッセージは、MMEによって受信されたUE能力情報を検証するために使用される第2の検証整合情報を搬送する。
【０２４８】
(2)MMEは、第2の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定する。
【０２４９】
実施形態14に基づいて、実施形態14の一実装では、第2の検証整合情報は、
UEによってMMEへ送信された接続要求メッセージのハッシュ値、または
UEによってMMEへ送信されたUE能力情報のハッシュ値を含む。
【０２５０】
実施形態14に基づいて、実施形態14の一実装では、第2の検証整合情報は、UEによってMMEへ送信されたUE能力情報を含む。
【０２５１】
実施形態14に基づいて、実施形態14の一実装では、方法は、以下のステップをさらに含む。
【０２５２】
接続手順においてMMEによって受信された接続要求メッセージまたはUE能力情報がUEによって送信されたものと一致しない場合、MMEは、ダウンリンクNASトランスポートメッセージをUEへ送信し、ここで、ダウンリンクNASトランスポートメッセージは、UE能力情報要求メッセージまたは接続要求コンテンツ要求メッセージを搬送し、
MMEは、UEによって送信されたアップリンク情報転送メッセージを受信し、ここで、アップリンク情報転送メッセージは、UE能力情報または接続要求コンテンツを搬送する。
【０２５３】
実施形態14に基づいて、実施形態14の一実装では、方法は、以下のステップをさらに含む。
【０２５４】
接続手順においてMMEによって受信された接続要求メッセージまたはUE能力がUEによって送信されたものと一致しない場合、MMEは、UE情報要求メッセージをUEへ送信し、ここで、UE情報要求メッセージは、UE能力情報要求メッセージまたは接続要求コンテンツ要求メッセージを搬送し、
MMEは、UEによって送信されたUE情報応答メッセージを受信し、ここで、UE情報応答メッセージは、UE能力情報または接続要求コンテンツを搬送する。
【０２５５】
図13は、本発明の実施形態15によるモバイル通信方法のフローチャートである。この方法では、NASセキュリティ起動手順(図13におけるステップ7に対応する)は、従来の方法に従って実行される。NASセキュリティ起動の後、MMEは、ダウンリンクNASトランスポートメッセージを使用することによって、UE能力または接続要求コンテンツを再びアップロードするようにUEに要求し、UEは、アップリンクNASトランスポートメッセージを使用することによって、UE能力または接続要求コンテンツをアップロードし、それによって、MMEは正しいUE能力を取得する。
【０２５６】
図13に示すように、この実施形態の実行プロセスは、以下のステップを含む。
【０２５７】
1.無線リソース制御アイドル(RRC_IDLE)状態におけるUEが、attach手順を実行する。UEは、まず、ランダムアクセス手順を開始し、すなわち、第1のランダムアクセスメッセージMSG1を送信する。
【０２５８】
2.MSG1メッセージを検出した後、eNBは、ランダムアクセス応答メッセージ、すなわち、MSG2メッセージをUEへ送信する。
【０２５９】
3.ランダムアクセス応答メッセージを受信した後、UEは、MSG2の中のタイミングアドバンス(TA)に基づいてアップリンク送信機会を調整し、RRC接続要求メッセージをeNBへ送信する。
【０２６０】
4.eNBは、RRC接続更新(RRC Connection Setup)メッセージをUEへ送信し、ここで、メッセージは、シグナリング無線ベアラ1(SRB1)および無線リソースをセットアップするための構成情報を含む。
【０２６１】
5.SRB1ベアラおよび無線リソースの構成を完了した後、UEは、RRC接続更新完了(RRC Connection Setup Complete)メッセージをeNBへ送信し、ここで、RRC接続更新完了メッセージは、NAS接続要求メッセージを含む。
【０２６２】
6.eNBは、MMEを選択し、初期UEメッセージをMMEへ送信し、ここで、初期UEメッセージは、NAS接続要求メッセージを含む。
【０２６３】
7.UEおよびMMEは、AKA手順およびNASセキュリティ起動手順を実行する。
【０２６４】
8.MMEは、ダウンリンクNASトランスポートメッセージをeNBへ送信し、ここで、ダウンリンクNASトランスポートメッセージは、UE能力要求メッセージまたは接続要求コンテンツ要求メッセージを含む。
【０２６５】
9.eNBは、ダウンリンク情報転送メッセージをUEへ送信し、ここで、ダウンリンク情報転送メッセージは、UE能力要求メッセージまたは接続要求メッセージコンテンツ要求メッセージを含む。
【０２６６】
10.UEは、アップリンク情報転送メッセージをeNBへ送信し、ここで、メッセージは、UE能力または接続要求メッセージコンテンツを含む。
【０２６７】
11.eNBは、アップリンクNASトランスポートメッセージをMMEへ送信し、ここで、メッセージは、UE能力または接続要求コンテンツを含む。
【０２６８】
12.MMEは、デフォルトベアラをセットアップするように要求するために、初期コンテキストセットアップ要求メッセージをeNBへ送信し、ここで、初期コンテキストセットアップ要求メッセージは、NAS接続要求(Attach Accept)メッセージおよび起動デフォルト発展型パケットコア(EPC)ベアラコンテキスト要求メッセージを含む。
【０２６９】
13.eNBが初期コンテキストセットアップ要求メッセージを受信した後、初期コンテキストセットアップ要求メッセージがUE能力情報を含まない場合、eNBは、UE能力について問い合わせるために、UE能力照会メッセージをUEへ送信する。
【０２７０】
14.UEは、UE能力情報を報告するために、UE能力情報メッセージをeNBへ送信する。
【０２７１】
15.eNBは、MMEのUE能力情報を更新するために、UE能力情報指示メッセージをMMEへ送信する。
【０２７２】
16.eNBは、セキュリティ起動を実行するために、初期コンテキストセットアップ要求メッセージの中のUEサポートセキュリティ情報に基づいて、セキュリティモード・コマンドメッセージをUEへ送信する。
【０２７３】
17.UEは、セキュリティ起動が完了したことを示すために、セキュリティモード完了メッセージをeNBへ送信する。
【０２７４】
18.eNBは、SRB1再構成および無線リソース構成を含むUEリソース再構成を実行し、SRB2、データ無線ベアラ(DRB)(デフォルトベアラを含む)などをセットアップするために、初期コンテキスト設定要求メッセージの中の発展型無線アクセスベアラ(ERAB)セットアップ情報に基づいて、RRC接続再構成メッセージをUEへ送信する。
【０２７５】
19.UEは、リソース構成が完了したことを示すために、RRC接続再構成完了メッセージをeNBへ送信する。
【０２７６】
20.eNBは、UEコンテキストセットアップが完了したことを示すために、初期コンテキスト設定応答メッセージをMMEへ送信する。
【０２７７】
21.UEは、アップリンク情報転送メッセージをeNBへ送信し、ここで、メッセージは、NAS接続完了メッセージおよび起動デフォルト発展型パケットコア・ベアラコンテキスト受付メッセージを含む。
【０２７８】
22.eNBは、アップリンクNASトランスポートメッセージをMMEへ送信し、ここで、メッセージは、NAS接続完了メッセージおよび起動デフォルト発展型パケットコア・ベアラコンテキスト受付メッセージを含む。
【０２７９】
本発明のこの実施形態におけるステップ7は、NASセキュリティ起動手順に対応し、本発明のこの実施形態における改善されたステップ8から11は、NASセキュリティ起動手順の後に実行される。
【０２８０】
図14は、本発明の実施形態16によるモバイル通信方法のフローチャートである。この方法では、NASセキュリティ起動手順(図14におけるステップ7に対応する)は、従来の方法に従って実行される。attach手順において、NASセキュリティ起動の後、MMEは、新たに規定されたUE情報要求メッセージを使用することによって、UE能力情報または接続要求コンテンツを再びアップロードするようにUEに要求し、UEは、UE情報応答メッセージを使用することによって、UE能力または接続要求コンテンツをアップロードし、それによって、MMEは正しいUE能力を取得する。
【０２８１】
図14に示すように、この実施形態の実行プロセスは、以下のステップを含む。
【０２８２】
1.RRC_IDLE状態におけるUEが、attach手順を実行し、まず、ランダムアクセス手順を開始し、すなわち、第1のランダムアクセスメッセージMSG1を送信する。
【０２８３】
2.MSG1メッセージを検出した後、eNBは、ランダムアクセス応答メッセージ、すなわち、MSG2メッセージをUEへ送信する。
【０２８４】
3.ランダムアクセス応答メッセージを受信した後、UEは、MSG2の中のタイミングアドバンス(TA)に基づいてアップリンク送信機会を調整し、RRC接続要求メッセージをeNBへ送信する。
【０２８５】
4.eNBは、RRC接続更新(RRC Connection Setup)メッセージをUEへ送信し、ここで、メッセージは、SRB1および無線リソースをセットアップするための構成情報を含む。
【０２８６】
5.SRB1ベアラおよび無線リソースの構成を完了した後、UEは、RRC接続更新完了(RRC Connection Setup Complete)メッセージをeNBへ送信し、ここで、RRC更新完了メッセージは、NAS接続要求メッセージを含む。
【０２８７】
6.eNBは、MMEを選択し、初期UEメッセージをMMEへ送信し、ここで、初期UEメッセージは、NAS接続要求メッセージを含む。
【０２８８】
7.UEおよびMMEは、AKA手順およびNASセキュリティ起動手順を実行する。
【０２８９】
8.MMEは、UE情報要求メッセージをeNBへ送信する。
【０２９０】
9.eNBは、UE情報要求メッセージをUEへ送信する。
【０２９１】
10.UEは、UE情報応答メッセージをeNBへ送信し、ここで、UE情報応答メッセージは、UE能力または接続要求メッセージ搬送コンテンツ(Attach request contents)を搬送する。
【０２９２】
11.eNBは、UE情報応答メッセージをMMEへ送信し、ここで、UE情報応答メッセージは、UE能力または接続要求メッセージ搬送コンテンツを搬送する。
【０２９３】
12.MMEは、デフォルトベアラをセットアップするように要求するために、初期コンテキストセットアップ要求メッセージをeNBへ送信し、ここで、初期コンテキストセットアップ要求メッセージは、NAS接続要求(Attach Accept)メッセージおよび起動デフォルト発展型パケットコア(EPC)ベアラコンテキスト要求メッセージを含む。
【０２９４】
13.eNBが初期コンテキストセットアップ要求メッセージを受信した後、初期コンテキストセットアップ要求メッセージがUE能力情報を含まない場合、eNBは、UE能力について問い合わせるために、UE能力照会メッセージをUEへ送信する。
【０２９５】
14.UEは、UE能力情報を報告するために、UE能力情報メッセージをeNBへ送信する。
【０２９６】
15.eNBは、MMEのUE能力情報を更新するために、UE能力情報指示メッセージをMMEへ送信する。
【０２９７】
16.eNBは、セキュリティ起動を実行するために、初期コンテキスト設定要求メッセージの中のUEサポートセキュリティ情報に基づいて、セキュリティモード・コマンドメッセージをUEへ送信する。
【０２９８】
17.UEは、セキュリティ起動が完了したことを示すために、セキュリティモード完了メッセージをeNBへ送信する。
【０２９９】
18.eNBは、SRB1再構成および無線リソース構成を含むUEリソース再構成を実行し、SRB2、DRB(デフォルトベアラを含む)などをセットアップするために、初期コンテキスト設定要求メッセージの中の発展型無線アクセスベアラ(ERAB)セットアップ情報に基づいて、RRC接続再構成メッセージをUEへ送信する。
【０３００】
19.UEは、リソース構成が完了したことを示すために、RRC接続再構成完了メッセージをeNBへ送信する。
【０３０１】
20.eNBは、UEコンテキストセットアップが完了したことを示すために、初期コンテキスト設定応答メッセージをMMEへ送信する。
【０３０２】
21.UEは、アップリンク情報転送メッセージをeNBへ送信し、ここで、メッセージは、NAS接続完了メッセージおよび起動デフォルト発展型パケットコア・ベアラコンテキスト受付メッセージを含む。
【０３０３】
22.eNBは、アップリンクNASトランスポートメッセージをMMEへ送信し、ここで、メッセージは、NAS接続完了メッセージおよび起動デフォルト発展型パケットコア・ベアラコンテキスト受付メッセージを含む。
【０３０４】
本発明のこの実施形態におけるステップ7は、NAS起動手順に対応し、本発明のこの実施形態における改善されたステップ8から11は、NAS起動手順の後に実行される。
【０３０５】
図15は、本発明の実施形態1によるモバイル通信装置の概略構造図である。装置はUEの中に配備され、受信モジュール1201、検証モジュール1202、および第1の送信モジュール1203を含む。
【０３０６】
受信モジュール1201は、モビリティ管理エンティティMMEから非アクセス層NASセキュリティモード・コマンドメッセージを受信するように構成され、ここで、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUE能力情報を検証するために使用される第1の検証整合情報を搬送する。
【０３０７】
検証モジュール1202は、第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定するように構成される。
【０３０８】
第1の送信モジュール1203は、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するとき、NASセキュリティモード完了メッセージをMMEへ送信するように構成される。
【０３０９】
上記の実施形態では、第1の検証整合情報は、MMEがNASセキュリティモード・コマンドメッセージをUEへ送信する前にMMEによって受信されている接続要求メッセージの第1のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信された接続要求メッセージに対してハッシュ計算を実行するためにMMEによって使用されたハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第1の非アクセス層メッセージ認証コードNAS-MACをさらに含む。
【０３１０】
検証モジュール1202は、具体的には、
UEによって受信されたNASセキュリティモード・コマンドメッセージの第2のNAS-MACを計算し、
第2のNAS-MACが第1のNAS-MACと一致するかどうかを決定し、
第2のNAS-MACが第1のNAS-MACと一致する場合、UEによってMMEへ送信された接続要求メッセージの第2のハッシュ値をハッシュアルゴリズムに従って計算し、
第2のハッシュ値が第1のハッシュ値と一致するかどうかを決定するように構成される。
【０３１１】
第1の送信モジュール1203は、具体的には、第2のハッシュ値が第1のハッシュ値と一致し、かつ第2のNAS-MACが第1のNAS-MACと一致するとき、NASセキュリティモード完了メッセージをMMEへ送信するように構成される。
【０３１２】
上記の実施形態では、NASセキュリティモード・コマンドメッセージは、MMEによって返送されるUEセキュリティ能力をさらに含む。
【０３１３】
検証モジュール1202は、
MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定するようにさらに構成される。
【０３１４】
第1の送信モジュール1203は、具体的には、
第2のハッシュ値が第1のハッシュ値と一致し、第2のNAS-MACが第1のNAS-MACと一致し、かつMMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、NASセキュリティモード完了メッセージをMMEへ送信するように構成される。
【０３１５】
上記の実施形態では、第1の送信モジュール1203は、
第2のハッシュ値、第2のNAS-MAC、およびMMEによって返送されるUEセキュリティ能力のうちの少なくとも1つが検証に失敗する場合、NASセキュリティモード拒否メッセージをMMEへ送信するようにさらに構成され、または
第2のNAS-MACが第1のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつ第2のハッシュ値が第1のハッシュ値と一致しない場合、NASセキュリティモード完了メッセージをMMEへ送信するようにさらに構成され、ここで、NASセキュリティモード完了メッセージは、接続要求メッセージを搬送する。
【０３１６】
上記の実施形態では、第1の検証整合情報は、MMEによって受信されたUE能力情報の第3のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信されたUE能力情報に対してハッシュ計算を実行するためにMMEによって使用されたハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第3のNAS-MACをさらに含む。
【０３１７】
検証モジュール1202は、具体的には、
UEによって受信されたNASセキュリティモード・コマンドメッセージの第4のNAS-MACを計算し、
第4のNAS-MACが第3のNAS-MACと一致するかどうかを決定し、
第4のNAS-MACが第3のNAS-MACと一致する場合、UEによってMMEへ送信されたUE能力情報の第4のハッシュ値をハッシュアルゴリズムに従って計算し、
第4のハッシュ値が第3のハッシュ値と一致するかどうかを決定するように構成される。
【０３１８】
第1の送信モジュール1203は、具体的には、第4のハッシュ値が第3のハッシュ値と一致する場合、NASセキュリティモード完了メッセージをMMEへUEのために送信するように構成される。
【０３１９】
上記の実施形態では、NASセキュリティモード・コマンドメッセージは、MMEによって返送されるUEセキュリティ能力をさらに含む。
【０３２０】
検証モジュール1202は、
MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定するようにさらに構成される。
【０３２１】
第1の送信モジュール1203は、具体的には、
第4のハッシュ値が第3のハッシュ値と一致し、第4のNAS-MACが第3のNAS-MACと一致し、かつMMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、NASセキュリティモード完了メッセージをMMEへ送信するように構成される。
【０３２２】
上記の実施形態では、第1の送信モジュール1203は、
第4のハッシュ値、第4のNAS-MAC、およびMMEによって返送されるUEセキュリティ能力のうちの少なくとも1つが検証に失敗する場合、NASセキュリティモード拒否メッセージをMMEへUEのために送信するようにさらに構成され、
または
第1の送信モジュール1203は、第4のNAS-MACが第3のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつ第4のハッシュ値が第3のハッシュ値と一致しない場合、NASセキュリティモード完了メッセージをMMEへUEのために送信するようにさらに構成され、ここで、NASセキュリティモード完了メッセージは、UE能力情報を搬送する。
【０３２３】
上記の実施形態では、第1の検証整合情報は、MMEによって受信されたUE能力情報であり、NASセキュリティモード・コマンドメッセージは、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第5のNAS-MACをさらに含む。
【０３２４】
検証モジュール1202は、具体的には、
UEによって受信されたNASセキュリティモード・コマンドメッセージの第6のNAS-MACを計算し、
第6のNAS-MACが第5のNAS-MACと一致するかどうかをUEのために決定し、
MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定するように構成される。
【０３２５】
第1の送信モジュール1203は、具体的には、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、NASセキュリティモード完了メッセージをMMEへ送信するように構成される。
【０３２６】
上記の実施形態では、検証モジュール1202は、具体的には、
第6のNAS-MACが第5のNAS-MACと一致するかどうかを決定し、
第6のNAS-MACが第5のNAS-MACと一致する場合、MMEによって受信されたUE能力情報の中に含まれるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定し、
MMEによって受信されたUE能力情報の中に含まれるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致する場合、MMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致するかどうかをUEのために決定するように構成される。
【０３２７】
第1の送信モジュール1203は、具体的には、MMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致する場合、NASセキュリティモード完了メッセージをMMEへ送信するように構成される。
【０３２８】
上記の実施形態では、第1の送信モジュール1203は、
MMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致しない場合、NASセキュリティモード完了メッセージをMMEへ送信するようにさらに構成され、ここで、NASセキュリティモード完了メッセージは、UE能力情報を搬送する。
【０３２９】
上記の実施形態では、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUEセキュリティ能力、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第7のNAS-MACを含む。
【０３３０】
検証モジュール1202は、具体的には、
UEによって受信されたNASセキュリティモード・コマンドメッセージの第8のNAS-MACを計算し、
第8のNAS-MACが第7のNAS-MACと一致するかどうかを決定し、第8のNAS-MACが第7のNAS-MACと一致する場合、MMEによって受信されたUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致するかどうかを決定するように構成される。
【０３３１】
第1の送信モジュール1203は、具体的には、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、NASセキュリティモード完了メッセージをMMEへ送信するように構成され、ここで、NASセキュリティモード完了メッセージは、第2の検証整合情報、およびNASセキュリティモード完了メッセージのNAS-MACを搬送する。
【０３３２】
上記の実施形態では、第2の検証整合情報は、
UEによってMMEへ送信された接続要求メッセージのハッシュ値、または
UEによってMMEへ送信されたUE能力情報のハッシュ値を含む。
【０３３３】
上記の実施形態では、第2の検証整合情報は、UEのUE能力情報を含む。
【０３３４】
上記の実施形態では、受信モジュール1201は、第1の送信モジュール1203がNASセキュリティモード完了メッセージをMMEへ送信した後、MMEによって送信されたダウンリンクNASトランスポートメッセージを受信するようにさらに構成され、ここで、ダウンリンクNASトランスポートメッセージは、UE能力情報要求メッセージ、または接続要求メッセージを再送するようにUEに要求するための要求メッセージを搬送する。
【０３３５】
第1の送信モジュール1203は、アップリンク情報転送メッセージをMMEへ送信するようにさらに構成され、ここで、アップリンク情報転送メッセージは、UE能力情報または接続要求メッセージを搬送する。
【０３３６】
上記の実施形態では、受信モジュール1201は、
第1の送信モジュール1203がNASセキュリティモード完了メッセージをMMEへ送信した後、MMEによって送信されたUE情報要求メッセージを受信するようにさらに構成され、ここで、UE情報要求メッセージは、UE能力情報要求メッセージ、または接続要求メッセージを再送するようにUEに要求するための要求メッセージを搬送する。
【０３３７】
第1の送信モジュール1203は、UE情報応答メッセージをMMEへ送信するようにさらに構成され、ここで、UE情報応答メッセージは、UE能力情報または接続要求メッセージを搬送する。
【０３３８】
図16は、本発明の実施形態2によるモバイル通信装置の概略構造図である。装置はMMEの中に配備され、
UEが、第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定し、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、UEが、NASセキュリティモード完了メッセージをMMEへ送信するように、NASセキュリティモード・コマンドメッセージをUEへ送信するように構成された第2の送信モジュール1301であって、NASセキュリティモード・コマンドメッセージは、第1の検証整合情報を搬送する、第2の送信モジュール1301を含む。
【０３３９】
上記の実施形態では、第1の検証整合情報は、MMEによって受信された接続要求メッセージの第1のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信された接続要求メッセージに対してハッシュ計算を実行するためにMMEによって使用されたハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第1の非アクセス層メッセージ認証NAS-MACをさらに含む。
【０３４０】
上記の実施形態では、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUEセキュリティ能力をさらに含む。
【０３４１】
図16に示すように、装置は、
UEによって生成されたNASセキュリティモードコマンドの第2のNAS-MACが第1のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつUEによって生成された接続要求メッセージの第2のハッシュ値が第1のハッシュ値と一致しないとき、UEによって送信されたNASセキュリティモード完了メッセージを受信するように構成された第1の受信モジュール1302であって、NASセキュリティモード完了メッセージは、接続要求メッセージを搬送する、第1の受信モジュール1302をさらに含む。
【０３４２】
上記の実施形態では、第1の検証整合情報は、MMEによって受信されたUE能力情報の第3のハッシュ値であり、NASセキュリティモード・コマンドメッセージは、受信されたUE能力情報に対してハッシュ計算を実行するためにMMEによって使用されたハッシュアルゴリズム、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第3のNAS-MACをさらに含む。
【０３４３】
上記の実施形態では、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUEセキュリティ能力をさらに含む。
【０３４４】
図16に示すように、装置は、
UEによって生成されたNASセキュリティモード・コマンドメッセージの第4のNAS-MACが第3のNAS-MACと一致し、MMEによって返送されるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつUEによって生成されたUE能力情報の第4のハッシュ値が第3のハッシュ値と一致しないとき、UEによって送信されたNASセキュリティモード完了メッセージを受信するように構成された第2の受信モジュール1303であって、NASセキュリティモード完了メッセージは、UE能力情報を搬送する、第2の受信モジュール1303をさらに含む。
【０３４５】
図16に示すように、第1の検証整合情報は、MMEによって受信されたUE能力情報であり、NASセキュリティモード・コマンドメッセージは、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第5のNAS-MACをさらに含む。
【０３４６】
図16に示すように、装置は、
UEによって生成されたNASセキュリティモード・コマンドメッセージの第6のNAS-MACが第5のNAS-MACと一致し、MMEによって受信されたUE能力情報の中に含まれるUEセキュリティ能力がUEによってMMEへ送信されたUEセキュリティ能力と一致し、かつMMEによって受信されたUE能力情報の中のUEセキュリティ能力以外の能力がUEによってMMEへ送信された能力と一致しないとUEが決定するとき、UEによって送信されたNASセキュリティモード完了メッセージを受信するように構成された第3の受信モジュール1304であって、NASセキュリティモード完了メッセージは、UE能力情報を搬送する、第3の受信モジュール1304をさらに含む。
【０３４７】
上記の実施形態では、NASセキュリティモード・コマンドメッセージは、MMEによって受信されたUEセキュリティ能力、MMEによって使用される完全性アルゴリズム、鍵識別子、およびNASセキュリティモード・コマンドメッセージの第7のNAS-MACを含む。
【０３４８】
上記の実施形態では、装置は、UEによって送信されたNASセキュリティモード完了メッセージを受信するように構成された第4の受信モジュール1305であって、NASセキュリティモード完了メッセージは、第2の検証整合情報、およびNASセキュリティモード完了メッセージのNAS-MACを搬送する、第4の受信モジュール1305をさらに含む。
【０３４９】
上記の実施形態では、第2の検証整合情報は、
UEによってMMEへ送信された接続要求メッセージのハッシュ値、または
UEによってMMEへ送信されたUE能力情報のハッシュ値を含む。
【０３５０】
上記の実施形態では、第2の検証整合情報は、UEのUE能力情報を含む。
【０３５１】
上記の実施形態では、第2の送信モジュール1301は、MMEによって受信されたUE能力情報がUEによって送信されたものと一致しない場合、ダウンリンクNASトランスポートメッセージをUEへ送信するようにさらに構成され、ここで、ダウンリンクNASトランスポートメッセージは、UE能力情報要求メッセージ、または接続要求メッセージを再送するようにUEに要求するための要求メッセージを搬送する。
【０３５２】
第4の受信モジュール1305は、UEによって送信されたアップリンク情報転送メッセージを受信するようにさらに構成され、ここで、アップリンク情報転送メッセージは、UE能力情報または接続要求メッセージを搬送する。
【０３５３】
上記の実施形態では、第2の送信モジュール1301は、MMEによって受信されたUE能力情報がUEによって送信されたものと一致しないとMMEが決定する場合、UE情報要求メッセージをUEへ送信するようにさらに構成され、ここで、UE情報要求メッセージは、UE能力情報要求メッセージ、または接続要求メッセージを再送するようにUEに要求するための要求メッセージを搬送する。
【０３５４】
第4の受信モジュール1305は、UEによって送信されたUE情報応答メッセージを受信するようにさらに構成され、ここで、UE情報応答メッセージは、UE能力情報または接続要求メッセージを搬送する。
【０３５５】
図17は、本発明の実施形態1によるモバイル通信デバイス1400の概略構造図である。モバイル通信デバイス1400は、通信インターフェース1401、メモリ1403、およびプロセッサ1402を含む。通信インターフェース1401、プロセッサ1402、およびメモリ1403は、バス1404を使用することによって互いに接続されている。バス1404は、周辺構成要素相互接続(PCI)バス、拡張業界標準アーキテクチャ(EISA)バスなどであってよい。バスは、アドレスバス、データバス、制御バスなどに分類され得る。表現の便宜のため、図14における表現のために1つのみの太線が使用されているが、それは1つのバスまたは1種類のバスのみがあることを示すものでない。
【０３５６】
通信インターフェース1401は、送信端と通信するように構成される。メモリ1403は、プログラムを記憶するように構成される。具体的には、プログラムはプログラムコードを含んでよく、プログラムコードはコンピュータ動作命令を含む。メモリ1403は、ランダム・アクセス・メモリ(RAM)を含んでよく、または少なくとも1つの磁気ディスクストレージのような不揮発性メモリをさらに含んでよい。
【０３５７】
プロセッサ1402は、メモリ1403の中に記憶されたプログラムを実行して、本発明の上記の方法の実施形態における方法、すなわち、
モビリティ管理エンティティMMEから非アクセス層NASセキュリティモード・コマンドメッセージを受信するステップであって、NASセキュリティモード・コマンドメッセージが、MMEによって受信されたUE能力情報を検証するために使用される第1の検証整合情報を搬送する、ステップと、
第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定するステップと、
MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、NASセキュリティモード完了メッセージをMMEへ送信するステップと、を実施する。
【０３５８】
プロセッサ1402は、中央処理ユニット(CPU)、ネットワークプロセッサ(NP)などを含む、汎用プロセッサであってよく、あるいはデジタル信号プロセッサ(DSP)、特定用途向け集積回路(ASIC)、フィールド・プログラマブル・ゲートアレイ(FPGA)、または別のプログラマブル論理デバイス、個別ゲートもしくはトランジスタ論理デバイス、または個別ハードウェア構成要素であってよい。
【０３５９】
図18は、本発明の実施形態2によるモバイル通信デバイスの概略構造図である。モバイル通信デバイス1500は、通信インターフェース1501、メモリ1503、およびプロセッサ1502を含む。通信インターフェース1501、プロセッサ1502、およびメモリ1503は、バス1504を使用することによって互いに接続されている。バス1504は、周辺構成要素相互接続バス、EISAバスなどであってよい。バスは、アドレスバス、データバス、制御バスなどに分類され得る。表現の便宜のため、図15における表現のために1つのみの太線が使用されているが、それは1つのバスまたは1種類のバスのみがあることを示すものでない。
【０３６０】
通信インターフェース1501は、送信端と通信するように構成される。メモリ1503は、プログラムを記憶するように構成される。具体的には、プログラムはプログラムコードを含んでよく、プログラムコードはコンピュータ動作命令を含む。メモリ1503は、ランダム・アクセス・メモリ(RAM)を含んでよく、または少なくとも1つの磁気ディスクストレージのような不揮発性メモリをさらに含んでよい。
【０３６１】
プロセッサ1502は、メモリ1503の中に記憶されたプログラムを実行して、本発明の上記の方法の実施形態における方法、すなわち、
MMEによって受信されたUE能力情報を検証するためにUEによって使用される第1の検証整合情報を決定するステップと、
UEが、第1の検証整合情報に基づいて、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを決定し、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致する場合、UEが、NASセキュリティモード完了メッセージをMMEへ送信するように、NASセキュリティモード・コマンドメッセージをUEへ送信するステップであって、NASセキュリティモード・コマンドメッセージは、第1の検証整合情報を搬送する、ステップと、を実施する。
【０３６２】
プロセッサ1502は、中央処理ユニット(CPU)、ネットワークプロセッサ(NP)などを含む、汎用プロセッサであってよく、あるいはデジタル信号プロセッサ(DSP)、特定用途向け集積回路(ASIC)、フィールド・プログラマブル・ゲートアレイ(FPGA)、または別のプログラマブル論理デバイス、個別ゲートもしくはトランジスタ論理デバイス、または個別ハードウェア構成要素であってよい。
【０３６３】
本発明のこの実施形態のモバイル通信デバイスによれば、UEは、MMEによって受信されたUE能力情報がUEによってMMEへ送信されたUE能力情報と一致するかどうかを、受信された第1の検証整合メッセージに基づいて検証する。本発明の実施形態では、MMEが正しいUE能力情報を所有することを保証するために、MMEが検証整合メッセージを返送し、UEがMMEによって受信されたUE能力情報を検証することが知られ得る。これは、接続手順において、接続要求メッセージがNASセキュリティコンテキストによって保護されず、攻撃者がUE能力情報を改変することが可能であり、MMEが正しいUE能力を取得できないことによって引き起こされる、DoS攻撃問題を解決する。DoSはDenial of Service、すなわち、サービス妨害の略語であり、DoSを引き起こす攻撃挙動はDoS攻撃と呼ばれる。
【０３６４】
方法の実施形態のステップのうちの全部または一部が、関連するハードウェアに命令するプログラムによって実施され得ることを、当業者は理解し得る。プログラムは、コンピュータ可読記憶媒体の中に記憶され得る。プログラムが動作するとき、方法の実施形態のステップが実行される。上記の記憶媒体は、ROM、RAM、磁気ディスク、または光ディスクのような、プログラムコードを記憶できる任意の媒体を含む。
【０３６５】
最後に、上記の実施形態が、本発明を限定するのでなく、単に、本発明の技術的解決策を説明するように意図されることが留意されるべきである。上記の実施形態を参照して本発明が詳細に説明されているが、当業者は、本発明の実施形態の技術的解決策の範囲から逸脱することなく、上記の実施形態で説明した技術的解決策にさらに修正を加えてよく、またはそれらのいくつかの技術的特徴に等価な置き換えを行ってよいことを理解すべきである。
【符号の説明】
【０３６６】
1201  受信モジュール
1202  検証モジュール
1203  第1の送信モジュール
1301  第2の送信モジュール
1302  第1の受信モジュール
1303  第2の受信モジュール
1304  第3の受信モジュール
1305  第4の受信モジュール
1400  モバイル通信デバイス
1401  通信インターフェース
1402  プロセッサ
1403  メモリ
1404  バス
【図１】
0006598225.tif 000002
【図２】
0006598225.tif 000003
【図３】
0006598225.tif 000004
【図４】
0006598225.tif 000005
【図５】
0006598225.tif 000006
【図６】
0006598225.tif 000007
【図７】
0006598225.tif 000008
【図８】
0006598225.tif 000009
【図９】
0006598225.tif 000010
【図１０】
0006598225.tif 000011
【図１１】
0006598225.tif 000012
【図１２】
0006598225.tif 000013
【図１３】
0006598225.tif 000014
【図１４】
0006598225.tif 000015
【図１５】
0006598225.tif 000016
【図１６】
0006598225.tif 000017
【図１７】
0006598225.tif 000018
【図１８】
0006598225.tif 000019