(57)【特許請求の範囲】
【請求項１】
サービスにアクセスするための方法であって、
アプリケーションサービスプロバイダサーバがネットワークを介して前記サービスに対するアクセスを可能にする前記ネットワークをユーザ機器(UE)が識別するステップと、
前記UEに関連付けられ、かつ前記アプリケーションサービスプロバイダサーバに確立された先在する資格証明に基づくクライアントトークンとともに接続要求を前記UEから前記ネットワークに送信するステップであって、前記クライアントトークンが、前記ネットワークに対するセルラーアクセス資格証明として認識不可能である、送信するステップと、
前記先在する資格証明に基づいて前記サービスに対するスポンサー付きアクセスのために前記アプリケーションサービスプロバイダサーバを介して前記UEが前記ネットワークに対して認証するステップと
を含む、方法。
【請求項２】
前記サービスに対する前記スポンサー付きアクセスを利用するための認証のために前記UEによって使用される認証タイプの識別情報を前記UEが前記接続要求内に含めるステップ  をさらに含み、
前記送信するステップが、前記アプリケーションサービスプロバイダサーバをどのように位置特定するかを識別する情報を前記UEが前記接続要求内に含めるステップをさらに含む、請求項1に記載の方法。
【請求項３】
前記先在する資格証明が、帯域外チャネルを介して生成された、前記アプリケーションサービスプロバイダサーバに確立されたパスワードに基づき、前記送信するステップが、
前記パスワードおよび前記アプリケーションサービスプロバイダサーバに関連付けられたユーザ名を前記UEが前記接続要求とともに含めるステップと、
前記先在する資格証明を生成するために前記UEが前記パスワードを第1の値でハッシュするステップと、
前記接続要求内で前記UEから送信される前記クライアントトークンを生成するために前記UEが前記先在する資格証明を第2の値でハッシュするステップと
をさらに含む、請求項1に記載の方法。
【請求項４】
前記UEにおいて、前記ネットワークを介して前記アプリケーションサービスプロバイダサーバから認証トークンを受信するステップであって、前記ネットワークが、前記先在する資格証明に基づいて、前記アプリケーションサービスプロバイダサーバによって決定されたセッション鍵を含む認証情報を記憶し、前記セッション鍵が、前記ネットワークが前記UEに対して認証することを可能にする、受信するステップと、
前記UEが前記認証トークンを確認するステップと、
前記確認に応じて、前記UEによって生成された前記先在する資格証明に基づいて前記UEがUEベースの鍵を決定するステップと
をさらに含む、請求項3に記載の方法。
【請求項５】
前記送信するステップが、
前記UEが前記先在する資格証明の所有の証拠として前記クライアントトークンを含めるステップであって、前記先在する資格証明が、前記接続要求の前記送信に先立って、前記UEと前記アプリケーションサービスプロバイダサーバとの間で確立される、含めるステップ
をさらに含む、請求項1に記載の方法。
【請求項６】
前記送信の後に、共有秘密鍵を合意するために、前記UEと前記アプリケーションサービスプロバイダサーバとの間でハンドシェークを前記UEが実行するステップと、
前記UEと前記アプリケーションサービスプロバイダサーバとの間の認証セッションの持続時間にわたって有効である前記共有秘密鍵に基づいて前記UEがベースキーを決定するステップと、
前記UEが、前記ベースキーに基づく前記ハンドシェークの後に、前記接続要求に応じて受信された認証情報を確認するステップと
をさらに含む、請求項1に記載の方法。
【請求項７】
前記識別するステップが、
前記ネットワークから前記スポンサー付きアクセスの広告を前記UEが受信するステップをさらに含む、請求項1に記載の方法。
【請求項８】
前記ネットワークからのネットワーク要素が前記先在する資格証明に関連付けられたユーザプロファイルを前記アプリケーションサービスプロバイダサーバから取り出すことを前記UEが許可するステップ
をさらに含む、請求項1に記載の方法。
【請求項９】
前記UEが、
セルラーサービスプロバイダに対する加入に欠く、および
加入者識別モジュール(SIM)カードなしで動作する
うちの少なくとも1つである、請求項1に記載の方法。
【請求項１０】
アプリケーションサービスプロバイダサーバを介して提供されるサービスにアクセスするためのユーザ機器(UE)であって、
前記アプリケーションサービスプロバイダサーバがネットワークを介して前記サービスに対するアクセスを可能にする前記ネットワークを識別するのを支援することと、
前記UEに関連付けられ、かつ前記アプリケーションサービスプロバイダサーバに確立された先在する資格証明に基づくクライアントトークンとともに接続要求を前記ネットワークに送信することであって、前記クライアントトークンが、前記ネットワークに対するセルラーアクセス資格証明として認識不可能である、送信することと
を行うように構成されたトランシーバと、
前記先在する資格証明に基づいて、前記サービスに対するスポンサー付きアクセスのために前記アプリケーションサービスプロバイダサーバを介して前記ネットワークに対して認証するように構成されたプロセッサと
を含む、ユーザ機器(UE)。
【請求項１１】
前記プロセッサが、
前記サービスに対する前記スポンサー付きアクセスを利用するための認証のために前記UEによって使用される認証タイプの識別情報を前記接続要求内に含め、
前記アプリケーションサービスプロバイダサーバをどのように位置特定するかを識別する情報を前記接続要求内に含める
ようにさらに構成される、請求項10に記載のユーザ機器。
【請求項１２】
前記先在する資格証明が、帯域外チャネルを介して生成された、前記アプリケーションサービスプロバイダサーバに確立されたパスワードに基づき、前記プロセッサが、
前記パスワードおよび前記アプリケーションサービスプロバイダサーバに関連付けられたユーザ名を前記接続要求とともに含め、
前記先在する資格証明を生成するために、前記パスワードを第1の値でハッシュし、
前記接続要求内で前記UEから送信される前記クライアントトークンを生成するために、前記先在する資格証明を第2の値でハッシュする
ようにさらに構成される、請求項10に記載のユーザ機器。
【請求項１３】
前記トランシーバが前記ネットワークを介して前記アプリケーションサービスプロバイダサーバから認証トークンを受信することであって、前記ネットワークが、前記先在する資格証明に基づいて前記アプリケーションサービスプロバイダサーバによって決定されたセッション鍵を含む認証情報を記憶し、前記セッション鍵が、前記ネットワークが前記UEに対して認証することを可能にする、受信することを行うようにさらに構成され、
前記プロセッサが、前記認証トークンを確認し、前記確認に応じて、前記UEによって生成された前記先在する資格証明に基づいてUEベースの鍵を決定するようにさらに構成される
請求項12に記載のユーザ機器。
【請求項１４】
前記クライアントトークンが前記先在する資格証明の所有の証拠を表し、
前記先在する資格証明が、前記接続要求の前記送信に先立って、前記UEと前記アプリケーションサービスプロバイダサーバとの間で確立される
請求項10に記載のユーザ機器。
【請求項１５】
前記トランシーバが、前記接続要求の前記送信の後に、共有秘密鍵を合意するために、前記UEと前記アプリケーションサービスプロバイダサーバとの間でハンドシェークを実行するようにさらに構成され、
前記プロセッサが、前記UEと前記アプリケーションサービスプロバイダサーバとの間の認証セッションの持続時間にわたって有効である前記共有秘密鍵に基づいてベースキーを決定し、前記ベースキーに基づく前記ハンドシェークの後に、前記接続要求に応じて受信された認証情報を確認するようにさらに構成される
請求項10に記載のユーザ機器。
【請求項１６】
前記トランシーバが、前記ネットワークから前記スポンサー付きアクセスの広告を受信するようにさらに構成される、請求項10に記載のユーザ機器。
【請求項１７】
前記プロセッサが、
前記ネットワークからのネットワーク要素が、前記先在する資格証明に関連付けられたユーザプロファイルを前記アプリケーションサービスプロバイダサーバから取り出すことを許可する
ようにさらに構成される、請求項10に記載のユーザ機器。
【請求項１８】
前記UEが加入者識別モジュール(SIM)カードなしで動作する、請求項10に記載のユーザ機器。
【請求項１９】
プログラムコードを記録した非一時的コンピュータ可読記憶媒体であって、前記プログラムコードが、
ユーザ機器(UE)に、ネットワークを介してアプリケーションサービスプロバイダサーバがサービスに対するアクセスを可能にする前記ネットワークを識別させるためのコードと、
前記UEに、前記UEに関連付けられ、かつ前記アプリケーションサービスプロバイダサーバに確立された先在する資格証明に基づくクライアントトークンとともに接続要求を前記ネットワークに送信させるためのコードであって、前記クライアントトークンが、前記ネットワークに対するセルラーアクセス資格証明として認識不可能である、送信させるためのコードと、
前記UEに、前記先在する資格証明に基づいて、前記サービスに対するスポンサー付きアクセスのために前記アプリケーションサービスプロバイダサーバを介して前記ネットワークに対して認証させるためのコード
を含む、非一時的コンピュータ可読記憶媒体。
【請求項２０】
前記UEに、前記サービスに対する前記スポンサー付きアクセスを利用するための認証のために前記UEによって使用される認証タイプの識別情報を前記接続要求内に含めさせるためのコードと、
前記UEに、前記アプリケーションサービスプロバイダサーバをどのように位置特定するかを識別する情報を前記接続要求内に含めさせるためのコードと
をさらに含む、請求項19に記載のコンピュータ可読記憶媒体。
【請求項２１】
前記先在する資格証明が、帯域外チャネルを介して生成された、前記アプリケーションサービスプロバイダサーバに確立されたパスワードに基づき、前記コンピュータ可読記憶媒体が、
前記UEに、前記パスワードおよび前記アプリケーションサービスプロバイダサーバに関連付けられたユーザ名を前記接続要求とともに含めさせるためのコードと、
前記UEに、前記先在する資格証明を生成するために、前記パスワードを第1の値でハッシュさせるためのコードと、
前記UEに、前記接続要求内で前記UEから送信される前記クライアントトークンを生成するために、前記先在する資格証明を第2の値でハッシュさせるためのコードと
をさらに含む、請求項19に記載のコンピュータ可読記憶媒体。
【請求項２２】
前記UEに、前記ネットワークを介して前記アプリケーションサービスプロバイダサーバから認証トークンを受信させるためのコードであって、前記ネットワークが、前記先在する資格証明に基づいて前記アプリケーションサービスプロバイダサーバによって決定されたセッションキーを含む認証情報を記憶し、前記セッションキーが、前記ネットワークが前記UEに対して認証することを可能にする、受信させるためのコードと、
前記UEに、前記認証トークンを確認させるためのコードと、
前記UEに、前記確認に応じて、前記UEによって生成された前記先在する資格証明に基づいてUEベースの鍵を決定させるためのコードと
をさらに含む、請求項21に記載のコンピュータ可読記憶媒体。
【請求項２３】
前記UEに、前記先在する資格証明の所有の証拠として前記クライアントトークンを含めさせるためのコードであって、前記先在する資格証明が、前記接続要求の前記送信に先立って、前記UEと前記アプリケーションサービスプロバイダサーバとの間で確立される、含めさせるためのコード
をさらに含む、請求項19に記載のコンピュータ可読記憶媒体。
【請求項２４】
前記UEに、前記送信の後に、共有秘密鍵に合意するための前記UEと前記アプリケーションサービスプロバイダサーバとの間のハンドシェークを実行させるためのコードと、
前記UEに、前記UEと前記アプリケーションサービスプロバイダサーバとの間の認証セッションの持続時間にわたって有効である前記共有秘密鍵に基づいてベースキーを決定させるためのコードと、
前記UEに、前記ベースキーに基づく前記ハンドシェークの後に、前記接続要求に応じて受信された認証情報を確認させるためのコードと
をさらに含む、請求項19に記載のコンピュータ可読記憶媒体。
【請求項２５】
前記UEに前記ネットワークから前記スポンサー付きアクセスの広告を受信させるためのコード
をさらに備える、請求項19に記載のコンピュータ可読記憶媒体。
【請求項２６】
前記UEに、前記ネットワークからのネットワーク要素が前記先在する資格証明に関連付けられたユーザプロファイルを前記アプリケーションサービスプロバイダサーバから取り出すことを許可させるためのコード
をさらに備える、請求項19に記載のコンピュータ可読記憶媒体。
【請求項２７】
前記UEが加入者識別モジュール(SIM)カードなしで動作する、請求項19に記載のコンピュータ可読記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願の相互参照および優先権主張
本出願は、「Sponsored Connectivity to Cellular Networks Using Existing Credentials」と題する、2015年3月6日に出願した米国仮特許出願第62/129,462号の利益を主張する、2015年8月3日に出願した米国非仮特許出願第14/817,123号に対する優先権およびその利益を主張するものであり、その両出願の開示全体が参照により本明細書に組み込まれている。
【０００２】
本出願は、一般に、ワイヤレス通信システムに関し、より詳細には、アプリケーションサーバプロバイダが1つまたは複数のサービスに対するサービングネットワークを介してアクセスをスポンサーすることに関する。いくつかの実施形態は、スケーラブルでセキュア、かつ(たとえば、料金請求/計測のために)追跡可能な方法でのネットワーク加入をユーザが欠いている場合があるシナリオにおいて、ネットワークアプリケーションサービスにアクセスすることができる、かつ/またはそのように構成されたデバイス、方法、およびシステムを可能にし、提供する。
【背景技術】
【０００３】
ネットワークからのサービスを受信するために、未知のユーザ機器(UE)はそのネットワークに登録する必要があるか、またはさもなければ、そのネットワークに知られるようになる必要がある。これはネットワーク接続手順を使用して達成される。概して、サービスに対する加入を有さないUEは、サービングネットワークに接続して、(たとえば、合衆国における911などの緊急サービスから生じる)音声サービスまたはデータサービスを受信することができない。サービングネットワークに対するUEの接続性をスポンサーすることによって、UEがサービスを依然として受信することを可能にする試みが行われてきた。スポンサー付き接続性は、一般に、特定のアプリケーションまたはサービスによってスポンサーされる特定のアプリケーションまたはサービスに対するネットワークアクセスの限定された容認に関連する。
【０００４】
現在の通常の手法は、一定のタイプのデバイス(たとえば、SIMカードおよび/または加入なしのUE)がスポンサー付きの接続性を利用することを除外し、非効率的であるか、またはサービングネットワークをそのコアネットワーク上の望ましくない(または、悪意のある)トラフィックに公開する。下記で論じるように、本開示の態様および実施形態は、スポンサー付き接続性を拡張することを目的とする。
【発明の概要】
【課題を解決するための手段】
【０００５】
以下に、論じる技術を基本的に理解できるように、本開示のいくつかの態様を要約する。この概要は、本開示の企図する全特徴の広い全体像ではなく、本開示の全態様の鍵となる要素または重要な要素を特定する意図も、本開示の任意またはすべての態様の範囲を視覚的に示す意図もない。その唯一の目的は、後で提示するより詳細な説明の導入として、本開示の1つまたは複数の態様のいくつかの概念を要約の形で提示することである。
【０００６】
本開示の一態様では、サービスにアクセスするための方法は、ユーザ機器(UE)が、それを介してアプリケーションサービスプロバイダサーバがサービスに対するアクセスをスポンサーするサービングネットワークを識別するステップと、アプリケーションサービスプロバイダサーバに確立された(established with)先在する資格証明に基づくクライアントトークンとともに接続要求をUEからサービングネットワークに送信するステップであって、クライアントトークンがサービングネットワークに対するセルラーアクセス資格証明として認識不可能である、送信するステップと、UEが、先在する資格証明に基づいて、サービスに対するスポンサー付きアクセスのためにアプリケーションサービスプロバイダサーバを介してサービングネットワークに対して認証するステップとを含む。
【０００７】
本開示の追加の態様では、アプリケーションサービスプロバイダサーバによるスポンサー付きサービスに対するアクセスを可能にするための方法は、それを介してアプリケーションサービスプロバイダサーバがサービスに対するアクセスをスポンサーする介在サービングネットワークから、ユーザ機器(UE)からの接続要求に基づいて認証情報要求を受信するステップであって、認証情報要求が、アプリケーションサービスプロバイダサーバに確立された先在する資格証明に基づき、かつサービングネットワークに対するセルラーアクセス資格証明として認識不可能であるクライアントトークンを含む、受信するステップと、アプリケーションサービスプロバイダサーバが、認証情報要求に応じて、アプリケーションサービスプロバイダサーバによってアクセス可能な先在する資格証明に基づいて認証情報を決定するステップと、アプリケーションサービスプロバイダサーバからサービングネットワークに対する応答内で認証情報を送信するステップであって、認証情報が、先在する資格証明に基づくサービスに対するスポンサー付きアクセスのためのUEとサービングネットワークとの間の認証を支援する、送信するステップとを含む。
【０００８】
本開示の追加の態様では、サービスにアクセスするためのユーザ機器(UE)は、それを介してアプリケーションサービスプロバイダサーバがサービスに対するアクセスをスポンサーするサービングネットワークを識別するのを支援することと、アプリケーションサービスプロバイダサーバに確立された先在する資格証明に基づくクライアントトークンとともに接続要求をサービングネットワークに送信することであって、クライアントトークンがサービングネットワークに対するセルラーアクセス資格証明として認識不可能である、送信することとを行うように構成されたトランシーバと、先在する資格証明に基づいて、サービスに対するスポンサー付きアクセスのためにアプリケーションサービスプロバイダサーバを介してサービングネットワークに対して認証するように構成されたプロセッサとを含む。
【０００９】
本開示の追加の態様では、サービスに対するアクセスをスポンサーするアプリケーションサービスプロバイダサーバは、それを介してアプリケーションサービスプロバイダサーバがサービスに対するアクセスをスポンサーする介在サービングネットワークから、ユーザ機器(UE)からの接続要求に基づいて認証情報要求を受信することであって、認証情報要求が、アプリケーションサービスプロバイダサーバに確立された先在する資格証明に基づき、かつサービングネットワークに対するセルラーアクセス資格証明として認識不可能であるクライアントトークンを含む、受信することを行うように構成されたトランシーバと、認証情報要求に応じて、アプリケーションサービスプロバイダサーバによってアクセス可能な先在する資格証明に基づいて認証情報を決定するように構成されたプロセッサとを含み、トランシーバは、サービスネットワークに対する応答内で認証情報を送信するようにさらに構成され、認証情報は、先在する資格証明に基づくサービスに対するスポンサー付きアクセスのためのUEとサービングネットワークとの間の認証を支援する。
【００１０】
本開示の追加の態様では、プログラムコードを記録したコンピュータ可読媒体は、ユーザ機器(UE)に、それを介してアプリケーションサービスプロバイダサーバがサービスにアクセスをスポンサーするサービングネットワークを識別させるためのコードと、UEに、アプリケーションサービスプロバイダサーバに確立された先在する資格証明に基づくクライアントトークンとともに接続要求をサービングネットワークに送信させるためのコードであって、クライアントトークンがサービングネットワークに対するセルラーアクセス資格証明として認識不可能である、送信させるためのコードと、UEに、先在する資格証明に基づいて、サービスに対するスポンサー付きアクセスのためにアプリケーションサービスプロバイダサーバを介してサービングネットワークに対して認証させるためのコードを含むプログラムコードを含む。
【００１１】
本開示の追加の態様では、プログラムコードを記録したコンピュータ可読媒体は、アプリケーションサービスプロバイダサーバに、それを介してアプリケーションサービスプロバイダサーバがサービスに対するアクセスをスポンサーする介在サービングネットワークから、ユーザ機器(UE)からの接続要求に基づいて認証情報要求を受信させるためのコードであって、認証情報要求が、アプリケーションサービスプロバイダサーバに確立された先在する資格証明に基づき、かつサービングネットワークに対するセルラーアクセス資格証明として認識不可能であるクライアントトークンを含む、受信させるためのコードと、アプリケーションサービスプロバイダサーバに、認証情報要求に応じて、アプリケーションサービスプロバイダサーバによってアクセス可能な先在する資格証明に基づいて認証情報を決定させるためのコードと、アプリケーションサービスプロバイダサーバに、サービングネットワークに対する応答内で認証情報を送信させるためのコードであって、認証情報が、先在する資格証明に基づくサービスに対するスポンサー付きアクセスのためのUEとサービングネットワークとの間の認証を支援する、送信させるためのコードとを備えたプログラムコードを含む。
【００１２】
本開示の追加の態様では、サービスにアクセスするためのユーザ機器(UE)は、それを介してアプリケーションサービスプロバイダサーバがサービスに対するアクセスをスポンサーするサービングネットワークを識別するための手段と、アプリケーションサービスプロバイダサーバに確立された先在する資格証明に基づくクライアントトークンとともに接続要求をサービングネットワークに送信するための手段であって、クライアントトークンがサービングネットワークに対するセルラーアクセス資格証明として認識不可能である、送信するための手段と、先在する資格証明に基づいて、サービスに対するスポンサー付きアクセスのためにアプリケーションサービスプロバイダサーバを介してサービングネットワークに対して認証するための手段とを含む。
【００１３】
本開示の追加の態様では、サービスに対するアクセスをスポンサーするアプリケーションサービスプロバイダサーバは、それを介してアプリケーションサービスプロバイダサーバがサービスに対するアクセスをスポンサーする介在サービングネットワークから、ユーザ機器(UE)からの接続要求に基づいて、認証情報要求を受信するための手段であって、認証情報要求が、アプリケーションサービスプロバイダサーバに確立された先在する資格証明に基づき、かつサービングネットワークに対するセルラーアクセス資格証明として認識不可能であるクライアントトークンを含む、受信するための手段と、認証情報要求に応じて、アプリケーションサービスプロバイダサーバによってアクセス可能な先在する資格証明に基づいて認証情報を決定するための手段と、サービングネットワークに対する応答内で認証情報を送信するための手段であって、認証情報が、先在する資格証明に基づくサービスに対するスポンサー付きアクセスのためのUEとサービングネットワークとの間の認証を支援する、送信するための手段とを含む。
【００１４】
添付の図面とともに本開示の特定の例示的な実施形態の以下の説明を検討すれば、本開示の他の態様、特徴、および実施形態が当業者に明らかになろう。本開示の特徴は、以下のいくつかの実施形態および図面に対して説明されることがあるが、本開示のすべての実施形態は、本明細書で説明する有利な特徴のうちの1つまたは複数を含むことができる。言い換えれば、1つまたは複数の実施形態は、いくつかの有利な特徴を有するものとして説明されることがあるが、そのような特徴のうちの1つまたは複数はまた、本明細書で説明する本開示の様々な実施形態に従って使用されてよい。同様に、例示的な実施形態がデバイス実施形態、システム実施形態、または方法実施形態として以下で説明されることがあるが、そのような例示的な実施形態が様々なデバイス、システム、および方法において実施され得ることを理解されたい。
【図面の簡単な説明】
【００１５】
【図１】本開示の様々な態様によるワイヤレス通信ネットワークを示す図である。
【図２】本開示の実施形態による例示的なUEのブロック図である。
【図３】本開示の実施形態による例示的なサーバのブロック図である。
【図４】本開示の様々な態様による例示的な送信機システムを示すブロック図である。
【図５】本開示の様々な態様による、スポンサー付き接続性を提供するためのUEとサービングネットワークとアプリケーションサービスプロバイダとの間の例示的なシグナリング態様を示すプロトコル図である。
【図６】本開示の様々な態様による、スポンサー付き接続性を提供するためのUEとサービングネットワークとアプリケーションサービスプロバイダとの間の例示的なシグナリング態様を示すプロトコル図である。
【図７Ａ】本開示の様々な態様による、サーバによってスポンサーされるサービスに対してネットワークにアクセスするための例示的な方法を示すフローチャートである。
【図７Ｂ】本開示の様々な態様による、サーバによってスポンサーされるサービスに対するネットワークアクセスを付与するための例示的な方法を示すフローチャートである。
【図７Ｃ】本開示の様々な態様による、サーバによってスポンサーされるサービスに対するネットワークアクセスを円滑にするための例示的な方法を示すフローチャートである。
【図８Ａ】本開示の様々な態様による、サーバによってスポンサーされるサービスに対してネットワークにアクセスするための例示的な方法を示すフローチャートである。
【図８Ｂ】本開示の様々な態様による、サーバによってスポンサーされるサービスに対するネットワークアクセスを付与するための例示的な方法を示すフローチャートである。
【図８Ｃ】本開示の様々な態様による、サーバによってスポンサーされるサービスに対するネットワークアクセスを円滑にするための例示的な方法を示すフローチャートである。
【発明を実施するための形態】
【００１６】
添付の図面に関連して以下に記載される詳細な説明は、種々の構成の説明として意図されており、本明細書で説明する概念が実践される場合がある唯一の構成を表すことは意図していない。発明を実施するための形態は、様々な概念を完全に理解する目的で具体的な詳細を含む。しかしながら、これらの具体的な詳細なしにこれらの概念が実践され得ることは当業者には明らかであろう。場合によっては、そのような概念を曖昧にすることを避けるために、よく知られている構造および構成要素がブロック図の形態で示される。
【００１７】
本明細書で説明する技法は、CDMA、TDMA、FDMA、OFDMA、SC-FDMAおよび他のネットワークなどの、様々なワイヤレス通信ネットワークに使用される場合がある。「ネットワーク」および「システム」という用語は多くの場合に互換的に使用される。CDMAネットワークは、ユニバーサル地上無線アクセス(UTRA:Universal Terrestrial Radio Access)、cdma2000などの無線技術を実装し得る。UTRAは、広帯域CDMA(WCDMA（登録商標）)およびCDMAの他の変形態を含む。cdma2000は、IS-2000規格、IS-95規格およびIS-856規格をカバーする。TDMAネットワークは、モバイル通信用グローバルシステム(GSM（登録商標）:Global System for Mobile Communications)などの無線技術を実装し得る。OFDMAネットワークは、発展型UTRA(E-UTRA)、ウルトラモバイルブロードバンド(UMB)、IEEE 802.11(Wi-Fi)、IEEE 802.16(WiMAX)、IEEE 802.20、Flash-OFDMAなどの無線技術を実装し得る。UTRAおよびE-UTRAは、ユニバーサルモバイルテレコミュニケーションシステム(UMTS)の一部である。3GPPロングタームエボリューション(LTE)およびLTE-アドバンスト(LTE-A)は、E-UTRAを使用するUMTSの新しいリリースである。UTRA、E-UTRA、UMTS、LTE、LTE-A、およびGSM（登録商標）は、「第3世代パートナーシッププロジェクト」(3GPP)という名称の組織からの文書に記載されている。CDMA2000およびUMBは、「第3世代パートナーシッププロジェクト2」(3GPP2)という名称の組織からの文書に記載されている。本明細書で説明する技法は、上述されたワイヤレスネットワークおよび無線技術、ならびに、次世代(たとえば、第5世代(5G))ネットワークなどの他のワイヤレスネットワークおよび無線技術に使用される場合がある。本開示の実施形態は、上記で具陳したネットワーク、かつ/またはまだ開発されていないネットワークのうちの任意の1つまたは複数に関して使用され得る任意のタイプの変調方式を対象とする。
【００１８】
本開示の実施形態は、サービングネットワーク(たとえば、発展型パケットコア(EPC)ネットワークなどのコアネットワーク)上でのユーザ機器(UE)のスポンサー付き接続性を円滑にするためのシステムおよび技法を紹介する。
【００１９】
スポンサー付き接続性の一例は、アクセスポイント名(APN)ベースの転送である。APNベースの転送では、UEは、スポンサーアプリケーションサービスプロバイダ(たとえば、オンライン市場)によってAPNで構成されているSIMカードを有する。UEはデータトラフィックをサービングネットワークに送り、サービングネットワークは、UEのSIMカード内で構成された情報から提供された加入プロファイル情報に基づいて外部ネットワーク内の公衆データネットワーク(PDN)ゲートウェイにおいて規則を実施する。したがって、APNベースの転送はSIMカードを有さない、かつ/またはセルラー加入を有さないUEに関して使用することができないという点で、APNベースの転送は限定される。ジェネリックブートストラッピングアーキテクチャ(GBA:generic bootstrapping architecture)は現在の加入およびSIM能力を前提とするため、ジェネリックブートストラッピングアーキテクチャ(GBA)は同様に限定される。
【００２０】
スポンサー付き接続性の別の例はアプリケーションベースの転送である。これは、サービングネットワークが、UEからの個々のデータパケットのインターネットプロトコル(IP)宛先アドレスに基づいて、UEからのデータトラフィックをフィルタリングする場合である。これは、UEがSIM能力または加入を有さないシナリオにおいて機能し得るが、いくつかの他の欠点がある。アプリケーションベースの転送は、認証されていないかつ/または許可されていないデータトラフィックがサービングネットワークのコアネットワークを流れることを可能にする。これは、スポンサーアプリケーション/サービスに対して依然として請求され得る、ゲートウェイによってすべて処理され得ない過剰要求/トラフィックでサービスアクセスネットワーク(ゲートウェイなど)に過負荷をかけるために攻撃者によって活用される場合がある。アプリケーションベースの転送は非効率的なことが多いが、これは、サービングネットワークはデータトラフィックを走査して、そのデータトラフィックがスポンサー受信者に転送されることが意図されるかどうかを決定しなければならないためである。このシナリオはまた、アプリケーションベースの転送が多くの異なるスポンサーおよび/またはユーザに対してスケーリングすることを困難にし得る。
【００２１】
本開示の態様による、スポンサー付き接続性の円滑化は、いくつかのシナリオでは、UEが(たとえば、EPCネットワークに対する外部ネットワーク上で)接続性をスポンサーするアプリケーションサービスプロバイダのサーバによって1つまたは複数のサービスにアクセスすることを可能にし得る。サーバを通してサービスをスポンサーするエンティティは、UEによる接続の試みに先立って、サービングネットワークをプロビジョニングすることができる。このプロビジョニングは、サービングネットワークのオペレータとサーバのオペレータとの間のサービスレベル合意の形をとり得る。プロビジョニングの後で、サービングネットワークはスポンサー付き接続性について潜在的に関心を持つユーザに広告することができる。
【００２２】
一実施形態では、UEは、サービングネットワークを介してスポンサー付き接続性を発見した後にそのサービングネットワークへの接続を試みることができる。接続要求の一部として、UEは、加入者識別子の代わりに、UEとアプリケーションサービスプロバイダとの間で確立された先在する資格証明に基づくクライアントトークン(または、何らかの他のクライアントベースの情報)をサービングネットワークに提供する。たとえば、(たとえば、UEがSIMカードを有さないため、および/またはホームネットワークまたはセルラーネットワークに対する加入を有さないため)UEにいずれのオペレータ/サービスプロバイダ資格証明もプロビジョニングされない場合がある。先在する資格証明はセルラーネットワーク固有資格証明でなくてよい。実際には、この資格証明は、セルラーネットワークを操作しないアプリケーションサービスプロバイダ(たとえば、コンテンツプロバイダ)に関連付けられ得る。サービングネットワークは、接続要求をスポンサーエンティティのサーバに転送することができる。接続要求はサービングネットワークの識別子を含み得る。一実施形態では、スポンサーエンティティのサーバは、(たとえば、下記でさらに説明するように、PDNゲートウェアを介してアクセスされるような)サービングネットワークのコアネットワークの外部のネットワーク内にある。サーバは、多方向ハンドシェークを介してUEとサーバとの間の新しい共有秘密鍵を生成することができるか、または代替として、ユーザのパスワードのハッシュ化形態を使用することができる。一例として、先在する資格証明は、UEとサーバとの間で確立された先行するパスワードのハッシュ化バージョンであり得る。新しい共有秘密鍵の使用は、認証ベクトルの1つまたは複数の要素の生成を可能にする。
【００２３】
サーバは、次いで、認証ベクトルをサービングネットワークに送り、ネットワークアクセスを円滑にし続けることができる。1つまたは複数のネットワーク要素は、認証ベクトルから特徴(たとえば、UEから予想される応答およびKASME)を抽出して記憶し、次いで、認証要求の一部として(たとえば、乱数および認証トークンを含む)残部をUEに転送することができる。UEは、共有秘密鍵、または代替として、ユーザのパスワードのハッシュ化形態など、同じ先在する資格証明を使用して、認証要求に対する応答を生成する。このデータは、次いで、確認のためにサービングネットワークに返送され得る。UEからの応答がサーバによって指定された予想される応答に一致する場合、接続手順は継続する。継続するとき、UEが加入者識別および/またはサーバプロバイダとの加入を有さない場合ですら、UEは、サービングネットワークを利用して、スポンサー付き接続によりサービスにアクセスすることが可能である。
【００２４】
代替実施形態では、UEはスポンサー付き接続性を活用するために別の認証手法を使用することができる。UEは、サービングネットワークへの接続を試みることができるが、接続要求とともに先在する資格証明に基づくクライアントトークンを含まない。たとえば、サービングネットワークが認証要求をサーバに転送した後に、サーバは、サービングネットワークを介してUEと通信して、UEを認証し、サーバが、認証および接続を完了するために、UEのユーザに関連付けられたユーザプロファイルにアクセスするためにサービングネットワークの1つまたは複数のネットワーク要素を付与するための許可を受信する。UEが(たとえば、先在する資格証明またはその何らかの導出物によって)サーバに成功裏に認証した場合、サーバは、次いで、サービングネットワーク内でネットワークエンティティと対話し、許可コードを(UEに提供し、次いで、ネットワーク要素に提供する代わりに)ネットワーク要素に提供する。許可コードは、ネットワーク要素が、次いで、UEに関連付けられたユーザプロファイルにアクセスし、認証を完了して、スポンサーシップの下でUEをサービングネットワークに接続するために、ネットワーク要素によって使用され得るアクセストークンを取得することを可能にする。
【００２５】
次に図を参照すると、図1は、本開示の様々な態様による、ワイヤレス通信ネットワーク100を示す。ワイヤレス通信ネットワーク100は、いくつかのUE102、ならびに(各々がいくつかの基地局を含み得る)いくつかの無線アクセスネットワーク(RAN)104を含み得る。例示および説明を簡単にするために、図1には単一のUE102および単一のRAN104が示されている。RAN104内の所与の基地局は、発展型ノードB(eNodeB)を含み得る。基地局は、トランシーバ基地局またはアクセスポイントと呼ばれる場合もある。実施形態は本明細書において概してLTE/4Gネットワークを参照して論じられることもあるが、これは例示のために行われる。本開示の実施形態は、いくつかの他のネットワークにもやはり適用可能であり、動作可能である。
【００２６】
RAN104は、示すように、UE102と通信する。UE102は、アップリンクおよびダウンリンクを介してRAN104と通信することができる。ダウンリンク(または、順方向リンク)は、RAN104内の基地局からUE102への通信リンクを指す。アップリンク(または、逆方向リンク)は、UE102からRAN104内の基地局への通信リンクを指す。
【００２７】
UE102は、ワイヤレスネットワーク100全体にわたって分散される場合があり、各UE102は固定またはモバイルであり得る。UE102はまた、端末、移動局、加入者ユニットなどと呼ばれる場合がある。UE102は、セルラーフォン、スマートフォン、携帯情報端末、ワイヤレスモデム、ラップトップコンピュータ、タブレットコンピュータ、エンターテイメントデバイス、装着型通信デバイス、車両構成要素、モバイルコンピューティングデバイス、ヘルスモニタリングデバイス、医療デバイス、モノのインターネット/すべてのモノのインターネットデバイス、M2M/D2Dデバイスなどであり得る。ワイヤレス通信ネットワーク100は、本開示の様々な態様が適用されるネットワークの一例である。
【００２８】
やはり図1に示すのは、モビリティ管理エンティティ(MME)106である。MME106は、加入者(たとえば、UE102)およびセッション管理に関する制御プレーン機能を担当し得る。たとえば、MME106は、モビリティセッション管理を提供すると同様に、他のネットワークに対するハンドオーバ、ローミング、および加入者認証をサポートし得る。MME106は、ほんのいくつかの例を挙げれば、UE102の最初の接続中のサービングゲートウェイ(S-GW)108の選択、非アクセス層(NAS)シグナリング、NASシグナリングセキュリティ、パケットデータネットワークゲートウェイ(P-GW)110選択、専用ベアラ確立を含むベアラ管理機能、シグナリングトラフィックの合法的傍受、およびその他の機能を支援し得る。RAN104、MME106、S-GW108、およびP-GW110は、(たとえば、発展型パケットコア(EPC)の一部として)同じサービングネットワーク112内にあり得る。認識されるように、サービングネットワーク112は、本開示の態様の議論を簡単にするために、図1に示されていない他のネットワーク要素を含む。
【００２９】
MME106は、サービングネットワーク112内でS-GW108と通信する。S-GW108は、ほんのいくつかの例を挙げれば、RAN104向けインターフェースを終了し、基地局間ハンドオーバを支援し、異なる規格(たとえば、2G、3G、4G、LTE、5G、および将来のネットワークなど)同士の間のモビリティのためのモビリティアンカー、合法的傍受、パケットベースのルーティングおよび転送、ならびにオペレータ間課金の責任を提供するゲートウェイであり得る。S-GW108は、データパケットをUE102から、たとえば、P-GW110にルーティングおよび転送する。図1は、簡単のために、単一のP-GW110を示すが、データを導くことができる(サービングネットワーク112に対する)複数の外部ネットワークが存在し、ここで、ネットワーク114は一例にすぎないことを認識されよう。P-GW110は、UE102との間のデータトラフィックの出口点および入口点として、サービングネットワーク112と外部パケットデータネットワークとの間の接続性を提供する。P-GW110は、ほんのいくつかの例を挙げれば、ユーザ単位ベースのパケットフィルタリング、合法的傍受、サービスレベルゲーティング制御、サービスレベルレートの施行(service level rate enforcement)、およびパケットスクリーニングに関与し得る。
【００３０】
図1に示すように、P-GW110は、UE102とサーバ116との間にネットワーク114を介したデータパケット移動のための入口/出口点を提供する。サーバ116は、スポンサーシップを提供するエンティティによって操作され得る。一実施形態では、スポンサーシップは、ユーザが1つまたは複数のサービス(たとえば、コンテンツストリーミング、オンラインブラウジング、オンライン購入など)のためにアプリケーションサービスプロバイダに支払うことを含み得る。それに応じて、アプリケーションサービスプロバイダは、ユーザとの契約に基づいて、セルラー(サービング)ネットワークなど、ネットワークを通じたユーザのUEへのスポンサー付き接続性を可能にする。別の実施形態では、スポンサー付き接続は、そのユーザベースを増大するためのアプリケーションサービスプロバイダによる試み(たとえば、アプリケーションサービスプロバイダがサービスに対してセルラーネットワークに支払うこと)に基づいて、ユーザのUEに無料で利用可能にされ得る。代替として、ユーザからの代わりに、広告収入など、他のソースによって収集された料金からスポンサー付き接続性に対する料金を収集することができる。
【００３１】
サーバ116は、本明細書において、アプリケーションサービスプロバイダまたはアプリケーションサービスプロバイダサーバと呼ばれる場合がある。一実施形態では、サーバ116はそれ自体が1つまたは複数のサービスをホストし得る。1つのサーバとして示されているが、サーバ116は、独立型システム、または(たとえば、1つまたは複数のサービスを提供するために)協働して動作する複数のシステムであってよいことを認識されよう。サービスは、(他の場所でホストされようと、アプリケーションサービスプロバイダのサーバ116によってホストされようと)たとえば、オンライン市場、ソーシャルメディアネットワーク、検索プロバイダ、汎用インターネット/ネットワークアクセス、コンテンツプロバイダ、インターネットアクセス通信など、多くの中からのいずれかの特定のサービスであり得る。
【００３２】
スポンサーされるサービスは、サーバ116によってホストされるアプリケーションサービスプロバイダによって決定され得る。たとえば、これは、サービングネットワーク112とアプリケーションサービスプロバイダとの間の合意のプロビジョニングの時点において生じ得る。別のシナリオでは、スポンサーされているサービスは、サービングネットワーク112とアプリケーションサービスプロバイダとの間で前に合意された(プロビジョニングされた)サービスのリストからの接続要求の時点においてサーバ116によって決定され得る。これは、UE102またはサービングネットワーク112からサービスが具体的に要求されたときに、またはサーバ116によってサービスが識別されたときに、のいずれかに基づき得る。
【００３３】
UE102のユーザは、たとえば、サーバ116によって維持されたユーザ名およびパスワードを用いてユーザアカウントを登録することによって、アプリケーションサービスプロバイダとの関係を前に確立している場合がある。本開示の実施形態によれば、アプリケーションサービスプロバイダのサーバ116はまた、サービングネットワーク112とのUE接続手順のために必要かまたは有用であり得る特徴を含めて、ホーム加入者サーバ(HSS)のいくつかの特徴を複製する。これは、いくつかの例を挙げれば、UE102に関連付けられたユーザのユーザ名およびパスワード(および、その何らかのハッシュなど)、ならびに(ユーザ識別キーからのセキュリティ情報生成の管理、およびネットワークエンティティに対するセキュリティ情報のプロビジョニングを含めて)認証機能を含み得る。
【００３４】
UEとサービングネットワークとアプリケーションサービスプロバイダのサーバとの間のシグナリング態様を示すプロトコル図を含む後続の図に関して下記でより詳細に説明するように、UE102は、クライアントトークンを使用して、サービングネットワーク112およびサーバ116と通信することができる。クライアントトークンは、UE102のユーザ(または、UE102自体)とアプリケーションサービスプロバイダとの間で前に確立された先在する資格証明(たとえば、パスワード、高エントロピー鍵(high entropy key)などのいくつかの変形態)に基づき得る(たとえば、そこから導出され得る)。本開示の実施形態によれば、サービングネットワーク112を介してスポンサー付き接続性を取得するために、クライアントトークン/先在する資格証明を使用することができる。先在する資格証明を使用することによって、(たとえば、そのデータ使用またはアプリケーションサービスプロバイダの特定のスポンサーシップに基づいてカバーされる他のタイプのサービスを有するための)加入を有し得るUEと同様に、SIMカードを有さない、かつ/または加入を有さないUEは、先在する資格証明に関連付けられたアプリケーションサービスプロバイダを介してスポンサー付き接続性を依然として取得することができる。
【００３５】
一実施形態では、スポンサー付き接続性は種々の異なる態様を指し得る。たとえば、スポンサー付き接続性は、(たとえば、サーバ116によって提供されるアプリケーションサービスまたはスポンサーシップの下で異なるプロバイダからのサービスにアクセスする/それらを使用するための)サービングネットワーク112に対する完全なアクセスを指し得る。他のシナリオは、いくつかの例を挙げれば、あらかじめ決定された時間量(および/または、時間数)にわたるサービスに対する完全なまたは部分的なアクセス、一般に、指定された時間期間/データ量/データ帯域幅にわたるネットワークに対する完全または部分的なアクセス、一般に(たとえば、バイトまたは何らかの他のサイズ/基準で追跡される)あらかじめ決定されたデータ量にわたるサービスおよび/またはネットワークに対する完全なまたは部分的なアクセスを含む。
【００３６】
一例では、UE102は、RAN104に対する最初の接続要求の一部として、他の旧来の識別子の代わりに、先在する資格証明に基づくクライアントトークンを送信することができる。旧来の識別子の一例は、国際モバイル加入者識別子(IMSI)である。これは、本開示の実施形態は、SIMカードまたはホームネットワークに対する加入を有さないUEが、(たとえば、最初にP-GW110においてフィルタリングされるサービングネットワーク112上でいずれのIPトラフィックを可能にしないことによって)サービングネットワーク112を介してより高い効率性およびセキュリティをもたらす方法で、スポンサー付き接続性を依然として利用できるように、何らかの種類の加入者識別子の代わりに先在する資格証明の使用を可能にするためである。接続要求は、UE102が通信することを望むアプリケーションサービスプロバイダ(すなわち、ユーザが先在する資格証明(ハッシュ化パスワード/ユーザ名、高エントリピー鍵など)を有するアプリケーションサービスプロバイダ)を識別することもできる。RAN104は、UEのクライアントトークンとサービス識別情報とともに接続要求をMME106に転送する。MME106は、接続要求の中に情報とともにサービングネットワーク識別子を含め、認証情報要求としてS-GW108に、次いで、P-GW110に転送する。サーバ116は、(たとえば、UE102からの接続要求によってトリガされた)サービングネットワーク112からの認証情報要求内で提供されたアクセストークンに基づいてUE102を識別することができる。スポンサー付き接続性を取得するために既存の資格証明を使用することは、アプリケーションサービスプロバイダのスポンサー付きサービス(または、アプリケーションサービスプロバイダサーバ116によってスポンサーされた別のプロバイダによる他のサービス)に接続するUEの量を増大し得る。
【００３７】
図2は、本開示の実施形態による例示的なUE102のブロック図である。UE102は、本明細書で説明する多くの構成のうちのいずれか1つを有し得る。UE102は、プロセッサ202と、メモリ204と、アクセスモジュール208と、トランシーバ210と、アンテナ216とを含み得る。これらの要素は、たとえば1つまたは複数のバスを介して互いに直接的または間接的に通信中であり得る。
【００３８】
プロセッサ202は、特定のタイプのプロセッサとして様々な特徴を有し得る。たとえば、これらは、図1を参照して上記で紹介し、下記でより詳細に論じるUE102を参照して本明細書で説明する動作を実行するように構成された、中央処理ユニット(CPU)、デジタル信号プロセッサ(DSP)、特定用途向け集積回路(ASIC)、コントローラ、フィールドプログラマブルゲートアレイ(FPGA)デバイス、別のハードウェアデバイス、ファームウェアデバイス、またはそれらの任意の組合せを含み得る。プロセッサ202はまた、コンピューティングデバイスの組合せ、たとえばDSPとマイクロプロセッサの組合せ、複数のマイクロプロセッサ、DSPコアと連携する1つまたは複数のマイクロプロセッサ、または任意の他のそのような構成として実装され得る。
【００３９】
メモリ204は様々な特徴も有し得る。たとえば、これらは、キャッシュメモリ(たとえば、プロセッサ202のキャッシュメモリ)、ランダムアクセスメモリ(RAM)、磁気抵抗RAM(MRAM)、読取り専用メモリ(ROM)、プログラマブル読取り専用メモリ(PROM)、消去可能プログラマブル読取り専用メモリ(EPROM)、電気消去可能プログラマブル読取り専用メモリ(EEPROM)、フラッシュメモリ、固体メモリデバイス、ハードディスクドライブ、メモリスタベースアレイ、他の形態の揮発性メモリおよび不揮発性メモリ、または異なるタイプのメモリの組合せを含み得る。いくつかの実施形態では、メモリ204は非一時的コンピュータ可読媒体を含み得る。
【００４０】
メモリ204は、命令206を記憶し得る。命令206は、プロセッサ202によって実行されると、プロセッサ202に、本開示の実施形態に関連してUE102を参照しながら本明細書で説明する動作を実行させる命令を含み得る。命令206はまた、コードと呼ばれる場合がある。「命令」および「コード」という用語は、任意のタイプのコンピュータ可読ステートメントを含むように、広く解釈されるべきである。たとえば、「命令」および「コード」という用語は、1つまたは複数のプログラム、ルーチン、サブルーチン、関数、ファームウェア、ミドルウェア、マイクロコード、手続きなどを指すことができる。「命令」および「コード」は、単一のコンピュータ可読ステートメント、または多くのコンピュータ可読ステートメントを含む場合がある。
【００４１】
アクセスモジュール208は、本開示の様々な態様に関して使用され得る。たとえば、アクセスモジュール208は、UE102によって維持された1つまたは複数の先在する資格証明(および/または、それらの導出物)の記憶および取出しを制御し得る。アクセスモジュール208は、たとえば、UE102のユーザの指導下で、(いくつかの例を挙げると)パスワード、ユーザ名/パスワードの組合せ、高エントロピー鍵、トークン、または識別証明を入力ソースから受信し、(ユーザ名およびパスワードなど)資格証明を記憶ロケーションに導くことができる。一実施形態では、UE102は、アプリケーションサービスプロバイダとともにユーザによって確立されたパスワードのすでにハッシュされたバージョンとして、アプリケーションサービスプロバイダから先在する資格証明を受信することができる。さらに、アクセスモジュール208は、先在する資格証明から接続要求に使用されることになるクライアントトークンを決定することができる。クライアントトークンは、パスワード資格証明から決定され得る。たとえば、クライアントトークンは、後の図に関して下記でより詳細に論じる、ソルト、ナンス値、および/または他の値など、1つまたは複数の追加物を用いてパスワードをハッシュすることによって決定され得る。
【００４２】
アクセスモジュール208はまた、接続手順中にも同様に使用され得る。たとえば、UE102がスポンサー付き接続を使用してサービングネットワーク112に対する接続を試みているとき、アクセスモジュール208は、接続要求内に含めるために、先在する資格証明に基づくクライアントトークンを取り出す(または、要求された時間において動的に導出/決定する)ことができる。後で、UE102がサービングネットワーク112との相互認証中に認証トークンを受信するとき、アクセスモジュール208は、たとえば、この目的で、アクセスモジュール208によって維持される(または、決定される)1つまたは複数の鍵にアクセスすること(または、それを決定すること)によって、認証トークンに対する認証応答を決定および作成するのを支援し得る。
【００４３】
トランシーバ210は、モデムサブシステム212と無線周波数(RF)ユニット214とを含み得る。トランシーバ210は、UE102のための通信インターフェースであってよく、またはUE102のための通信インターフェースの構成要素であってもよい。トランシーバ210は、RAN104内の基地局など、他のデバイスと双方向で通信するように構成される。モデムサブシステム212は、変調およびコーディング方式(MCS)、たとえば、低密度パリティチェック(LDPC)コーディング方式、ターボコーディング方式、畳み込みコーディング方式などに従って、アクセスモジュール208および/またはメモリ204からのデータを変調および/または符号化するように構成され得る。RFユニット214は、(アウトバウンド送信上の)モデムサブシステム212からの、またはRAN104内の基地局など、別のソースから発信された送信の、変調/符号化されたデータを処理する(たとえば、アナログデジタル変換またはデジタルアナログ変換などを実行する)ように構成され得る。トランシーバ210内にともに統合されるように示されているが、モデムサブシステム212およびRFユニット214は、UE102が他のデバイスと通信することを可能にするためにUE102においてともに結合される別個のデバイスであってもよい。
【００４４】
RFユニット214は、変調および/または処理されたデータ、たとえば、データパケット(または、より一般的に、1つまたは複数のデータパケット、およびPMSI値を含む他の情報を包含し得るデータメッセージ)を、1つまたは複数の他のデバイスに送信するためにアンテナ216に供給し得る。これは、たとえば、本開示の実施形態によれば、RAN104に対するデータメッセージの送信を含み得る。アンテナ216はさらに、RAN104から送信されたデータメッセージを受信し、受信されたデータメッセージをトランシーバ210における処理および/または復調のために提供することができる。図2はアンテナ216を単一のアンテナとして示すが、アンテナ216は、複数の送信リンクを維持するために、同様のまたは異なる設計の複数のアンテナを含み得る。
【００４５】
図3は、本開示の実施形態による例示的なサーバ116のブロック図である。サーバ116は、プロセッサ302と、メモリ304と、アクセスモジュール308と、サービス310と、データベース312と、トランシーバ314とを含み得る。これらの要素は、たとえば1つまたは複数のバスを介して互いに直接的または間接的に通信中であり得る。図1を参照して上述したように、サーバ116は、1つまたは複数のサービスをホストし、ユーザ資格証明(ユーザ名/パスワード、トークン、証明書、ならびに/またはパスワード資格証明から導出された先在する資格証明および/もしくは先在する資格証明から導出されたクライアントトークン)のデータベースを維持し、またHSSのいくつかの態様を複製することができる。
【００４６】
プロセッサ302は、特定のタイプのプロセッサとして様々な特徴を有し得る。たとえば、これらは、上記の図1において紹介されたサーバ116を参照して本明細書で説明する動作を実行するように構成された、CPU、DSP、ASIC、コントローラ、FPGAデバイス、別のハードウェアデバイス、ファームウェアデバイス、またはそれらの任意の組合せを含み得る。プロセッサ302はまた、コンピューティングデバイスの組合せ、たとえばDSPとマイクロプロセッサの組合せ、複数のマイクロプロセッサ、DSPコアと連携する1つまたは複数のマイクロプロセッサ、または任意の他のそのような構成として実装され得る。
【００４７】
メモリ304は、キャッシュメモリ(たとえば、プロセッサ302のキャッシュメモリ)、RAM、MRAM、ROM、PROM、EPROM、EEPROM、フラッシュメモリ、固体メモリデバイス、1つもしくは複数のハードディスクドライブ、メモリスタベースアレイ、他の形態の揮発性および不揮発性メモリ、または異なるタイプのメモリの組合せを含み得る。いくつかの実施形態では、メモリ304は非一時的コンピュータ可読媒体を含み得る。メモリ304は、命令306を記憶し得る。命令306は、プロセッサ302によって実行されるとき、プロセッサ302に、本開示の実施形態に関連してサーバ116を参照しながら本明細書で説明する動作を実行させる命令を含み得る。命令306はまたコードと呼ばれる場合があり、コードは、図2に関して上記で説明したように、任意のタイプのコンピュータ可読ステートメントを含めるように広く解釈され得る。
【００４８】
アクセスモジュール308は、本開示の様々な態様に関して使用され得る。たとえば、アクセスモジュール308は、1つまたは複数のサービングネットワーク112を介して1つまたは複数の識別されたサービスのスポンサー付き接続性を確立するためのサービスネットワークの最初のプロビジョニングに関与し得る。さらに、アクセスモジュール308は、特定用途向けサービス310と協働して、UE102および/またはUE102のユーザに関連付けられた1つまたは複数の記憶された(先在する)資格証明を取り出すことができる。たとえば、アクセスモジュール308は、サービス310が先在する資格証明をデータベース312に記憶した後に、先在する資格証明をデータベース312から取り出すことができる。
【００４９】
アクセスモジュール308は、さらに、UE102との最初の接続手順に関与し得る。サーバ116は、UE102からの最初の接続要求とともに提供された先在する資格証明に基づくクライアントトークンを受信し、データベース312内に記憶されたユーザ情報に対して対応する先在する資格証明(および、接続要求内にユーザ名が含まれている実施形態では、ユーザ名)を検査することができる。UE102からの接続要求に応じて、アプリケーションサービスプロバイダのサーバ116は、先在する資格証明に基づいて、1つまたは複数の鍵および予想される応答を生成するか、またはそれにアクセスし、最初の接続要求に対する認証要求応答の一部(たとえば、認証ベクトル)として、これらをUE102に送信することができる。
【００５０】
サービス310は、たとえば、オンライン市場、ソーシャルメディアネットワーク、検索プロバイダ、サービスプロバイダなど、多くの中からのいずれかの特定のサービスであり得る。一実施形態では、サーバ116によって表されるアプリケーションサービスプロバイダは、サービス310に対する接続性をスポンサーする。代替実施形態では、サービス310は、アプリケーションサービスプロバイダとは異なるエンティティによって提供されるが、(サーバ116によって表される)アプリケーションサービスプロバイダが、UE102がアクセスするためのスポンサーシップを、サービングネットワーク112を介して提供する、1つまたは複数のサービスを表す。
【００５１】
サーバ116を操作するアプリケーションサービスプロバイダは、たとえば、UE102または何らかの他の通信対応デバイスを介して、特定用途向けサービスに対するアクセス権を確立するために、帯域外チャネルを介してUE102のユーザと対話することができる。これは、たとえば、アプリケーションサービスプロバイダへの登録、ユーザ選好の確立、(適用可能な場合)アクセス料金または使用料金の支払いを含み得る。帯域外チャネルを介した(ここでは、サーバ116によって表される)アプリケーションサービスプロバイダとのユーザ名およびパスワードの確立は、スポンサー付き接続性に対する接続要求に先立つ時間の何らかの時点で生じ得、たとえば、WLAN、LAN、Wi-Fi、ピアツーピア、メッシュ、または図1のサービングネットワーク112など、セルラーネットワークに加えて何らかの他のネットワークを介して生じ得る。アプリケーションサービスプロバイダは、たとえば、アクセスモジュール308によって、UE102が、たとえば、ソルト、ナンス値、および/または他の値など、1つまたは複数の追加物でパスワードをハッシュすることによって、スポンサー付き接続性を取得するための基礎として後で使用することができる、先在する資格証明を決定することができる。
【００５２】
データベース312は、サーバ116によって維持される1つまたは複数のデータベース、たとえば、具体的には、アプリケーションサービスプロバイダおよびアクセスモジュール308に代わって、ユーザ名および対応する先在する資格証明(または、代替実施形態では、パスワード)を維持するデータベースを含み得る。データベース312は、ユーザ識別情報および(たとえば、アプリケーションサービスプロバイダを介してスポンサー付き接続性を取得または要求するUEのすべてまたはサブセットのモバイル電話番号のうちの1つまたは複数を含む)アドレス指定、プロファイル情報、ならびに先在する資格証明(たとえば、先在する資格証明、パスワード、識別証明、高エントロピー鍵、および/または1つまたは複数のセキュリティ鍵)を有するか、またはそれらを有するユーザに関連付けられる各UEに関連するセキュリティ情報など、スポンサー付きアクセス情報を追跡することができる。
【００５３】
トランシーバ314は、サーバ116がサービングネットワーク108など、外部ソースとの間でデータを送受信するために通信することを可能にする。トランシーバ314は、ワイヤレスおよび/またはワイヤード通信を可能にし得る。トランシーバ314は、たとえば、認識されるように、Ethernet接続、WiFi接続、または他のタイプのモデムおよび/もしくはRFサブシステムを含み得る。トランシーバ314は、サーバ116のための通信インターフェースであってよく、またはサーバ116のための通信インターフェースの構成要素であってもよい。
【００５４】
図4は、本開示のいくつかの態様による、MIMOシステム400内の例示的な送信機システム410(たとえば、RAN104内の基地局)および受信機システム450(たとえば、UE102)を示すブロック図である。送信機システム410において、いくつかのデータストリーム用のトラフィックデータがデータソース412から送信(TX)データプロセッサ414に供給される。トラフィックデータは、本開示の態様による、1つまたは複数のMMEエンティティからの認証要求を含めて、すべての様式のトラフィックを含み得る。
【００５５】
ダウンリンク送信では、たとえば、各データストリームがそれぞれの送信アンテナを介して送信される。TXデータプロセッサ414は、各データストリームのトラフィックデータを、そのデータストリームに対して選択された特定のコーディング方式に基づいてフォーマットし、コーディングし、インターリーブして、コード化データを供給する。
【００５６】
データストリームごとのコード化データは、OFDM技法を使用してパイロットデータと多重化される場合がある。パイロットデータ、たとえば、パイロットシーケンスは、通常、既知の方式で処理される既知のデータパターンであり、チャネル応答または他のチャネルパラメータを推定するために受信機システムにおいて使用される場合がある。パイロットデータは、パイロットシンボルにフォーマットされる場合がある。OFDMシンボル内のパイロットシンボルの数およびパイロットシンボルの配置は、プロセッサ430によって実行される命令によって決定される場合がある。
【００５７】
次いで、データストリームごとの多重化パイロットおよびコード化データは、そのデータストリーム用に選択された特定の変調方式(たとえば、BPSK、QSPK、M-PSK、またはM-QAM)に基づいて変調(すなわち、シンボルマッピング)されて、変調シンボルを提供する。データストリームごとのデータレート、コーディング、および変調は、プロセッサ430によって実行される命令によって決定される場合がある。各フレーム内のパイロットシンボルの数およびパイロットシンボルの配置も、たとえば、図2または図3に関して上記で説明したように、プロセッサ430によって実行される命令によって決定される場合がある。送信機システム410はさらに、たとえば、図2または図3に関して上記で説明したようにメモリ432を同様に含み得る。
【００５８】
次いで、すべてのデータストリーム用の変調シンボルは、TX MIMOプロセッサ420に供給され、TX MIMOプロセッサ420は、(たとえば、OFDM用の)変調シンボルをさらに処理することができる。次いで、TX MIMOプロセッサ420は、NT個の変調シンボルストリームをNT個の送信機(TMTR)422a〜422tに供給する。いくつかの実施形態では、TX MIMOプロセッサ420は、データストリームのシンボル、およびそこからシンボルが送信されているアンテナにビームフォーミング重みを適用する。送信機システム410は、ただ1つのアンテナを有するか、または複数のアンテナを有する実施形態を含む。
【００５９】
各送信機422は、それぞれのシンボルストリームを受信し処理して、1つまたは複数のアナログ信号を提供し、アナログ信号をさらに調整(たとえば、増幅、フィルタリング、およびアップコンバート)して、MIMOチャネルを介する送信に適した変調信号を提供する。次いで、送信機422a〜422tからのNT個の変調信号は、それぞれ、NT個のアンテナ424a〜424tから送信される。本明細書で説明する技法は、ただ1つの送信アンテナを有するシステムにも当てはまる。1つのアンテナを使用する送信は、複数アンテナのシナリオよりも単純である。たとえば、単一アンテナのシナリオでは、TX MIMOプロセッサ420が不要である場合がある。
【００６０】
受信機システム450において、送信された変調信号は、NR個のアンテナ452a〜452rによって受信され、各アンテナ452からの受信信号は、それぞれの受信機(RCVR)454a〜454rに提供される。各受信機454は、それぞれの受信信号を調整(たとえば、フィルタリング、増幅、およびダウンコンバート)し、調整信号をデジタル化してサンプルを提供し、さらにサンプルを処理して、対応する「受信」シンボルストリームを提供する。本明細書で説明する技法は、ただ1つのアンテナ452を有する受信機システム450の実施形態にも当てはまる。
【００６１】
次いで、RXデータプロセッサ460は、受信機454a〜454rからNR個の受信シンボルストリームを受け取り、特定の受信機処理技法に基づいて処理して、NT個の検出シンボルストリームを提供する。次いで、RXデータプロセッサ460は、必要に応じて各検出シンボルストリームを復調し、デインターリーブし、復号して、データストリーム用のトラフィックデータを復元する。復元されたトラフィックは、たとえば、本開示の態様によれば、MMEからの認証情報要求内の情報を含み得る。RXデータプロセッサ460による処理は、送信機システム410におけるTX MIMOプロセッサ420およびTXデータプロセッサ414によって実行される処理と相補関係にあり得る。
【００６２】
RXデータプロセッサ460によって提供される情報は、プロセッサ470がチャネル状態情報(CSI)および他の情報などのレポートを作成して、TXデータプロセッサ438に供給することを可能にする。プロセッサ470は、CSIおよび/またはパイロット要求を備える逆方向リンクメッセージを編成して、送信機システムに送信する。
【００６３】
プロセッサ470は、たとえば、図2または図3で説明したプロセッサに関して上記で説明したように実装され得る。逆方向リンクメッセージに加えて、受信機システム450は、サービングネットワーク112に対するスポンサー付き接続性のための先在する資格証明に基づくクライアントトークンを含む接続要求、相互認証のための応答、および通信セッション中にスポンサー付き通信セッションならびにデータを確立するための他の情報を含む他の様々なタイプの情報を送信することができる。メッセージは、TXデータプロセッサ438によって処理され、TX MIMOプロセッサ480によって変調され、送信機454a〜454rによって調整され、送信機システム410に返信され得る。図示されたように、TXデータプロセッサ438は、データソース436からいくつかのデータストリーム用のトラフィックデータを受信する場合もある。
【００６４】
送信機システム410において、受信機システム450からの変調信号は、アンテナ424によって受信され、受信機422によって調整され、復調器440によって復調され、RXデータプロセッサ442によって処理されて、受信機システム450によって送信された逆方向リンクメッセージを抽出する。結果として、データは、送信機システム410と受信機システム450との間で送受信され得る。送信機システム410はまた、認識されるように、送信機システム410が受信機システム450から受信した情報をそのサービングネットワーク内にある他のネットワーク要素に送信し、サービングネットワーク内の1つまたは複数の他のネットワーク要素から情報を受信するために使用され得る。図4に示す実施形態は単なる例示であり、本開示の実施形態は、図4に示されない他の送信機/受信機システムに適用可能である。
【００６５】
図5は、本開示の様々な態様による、スポンサー付き接続性を提供するためのUEとサービングネットワークとアプリケーションサービスプロバイダとの間の何らかのシグナリング態様を示すプロトコル図である。議論を簡単にするために、図5のプロトコル図において動作を説明する際に、図1に示した要素(たとえば、UE102、(図5においてeNB104として示される)RAN104、MME106、GW110、および特定用途向けサービスをホストするアプリケーションサービスプロバイダとしてサーバ116)を参照する。さらに簡単にするために、議論は、接続手順のすべての態様の代わりに、本開示の実施形態の態様を説明するプロトコルフローの態様に焦点を当てる。図5に示す手法は、クライアントトークンがUE102とサーバ116との間で共有される(パスワードに基づく)先在する資格証明に基づく実施形態について説明する。
【００６６】
動作502で、UE102はサービングネットワーク112とのサービス発見手順に着手する。サービス発見は、サーバ116がサービングネットワーク112と前に関与したサービスプロビジョニング機能によって可能にされ得る。一実施形態では、サービスプロビジョニング機能の結果は、サーバ116によってホストされたアプリケーションサービスプロバイダによるスポンサー付き接続性を識別するいくつかのまたはすべての受信者(たとえば、UE102)に情報をブロードキャストするサービングネットワーク112を含む。別の実施形態では、UE102は、いくつかのまたはすべての信頼できるネットワーク、またはサーバ116によってホストされたアプリケーションサービスプロバイダの代わりに、スポンサー付き接続性を提供する合意を結んだネットワークを識別する情報がサーバ116から提供されている可能性がある。
【００６７】
UE102がサービングネットワーク112を発見した後に、動作504において、UE102は認証要求をeNB104に送信する。これは、サービングネットワーク112への接続を試みる際に行われる。認証要求を受信するとすぐに、eNB104は認証要求をMME106に転送する。認証要求は、UE102(または、UE102のユーザ、およびUE102に提供された)とサーバ116によってホストされたアプリケーションサービスプロバイダとの間で前に確立された先在する資格証明に基づくクライアントトークンを含む。認証要求は、加入者識別子(たとえば、IMSIなど)を含まない。一実施形態では、認証要求は、既存のセルラーネットワークに関連付けられた資格証明を含まない。認証要求はまた、アプリケーションサービスプロバイダに前に確立された先在する資格証明に関連付けられたユーザ名を含み得る。認証要求を正確にルーティングする際にサービングネットワーク112を支援するために、UE102はまた、サーバ116またはアプリケーションIDにおけるアプリケーションサービスプロバイダのドメイン名など、サーバ116を識別するための情報を含み得る。
【００６８】
クライアントトークンは、様々な形態を仮定することができ、いくつかの異なる特徴を有し得る。たとえば、先在する資格証明は、まず、UE102とアプリケーションサービスプロバイダとの間で確立されたパスワードを(たとえば、WLAN接続など、帯域外チャネルを介して)アプリケーションサービスプロバイダの名前と連結されたソルトとともに配置して、ハッシュ関数メッセージ認証コード(HMAC:hash-function message authentication code)にすることによって生成され得る。HMAC関数の出力は、本議論の目的で「先在する資格証明」として示される場合がある。「先在する資格証明」から生成される値は、別のHMAC関数に入力可能であり、この場合、追加入力はナンス値であり、出力はクライアントトークンである。クライアントトークンはアプリケーションサービスプロバイダが有効な先在する資格証明の所有を確認することを可能にする。クライアントトークンは先在する資格証明(または、パスワード)の代わりに使用される場合があり、その結果、悪意のある攻撃者が、情報を傍受して、無許可の方法でUE102に関連付けられたユーザになりすますことを試みることはできない。クライアントトークンは、本明細書において、認証要求内に含まれた値として説明されるが、先在する資格証明を代わりに含めることができるものの、先在する資格証明を含めることは、クライアントトークンの場合よりも、ユーザをさらなるセキュリティリスクにさらす可能性があることを認識されよう。これらの値の生成を式1および式2に示す:
先在する資格証明=HMAC(パスワード、ソルト|サービス名)、式中、|は、連結演算子である      (式1)
クライアントトークン=HMAC(先在する資格証明、ナンス)      (式2)
【００６９】
クライアントトークンは、次に、接続要求内に含めるためにクライアントベクトル内に含まれる。たとえば、クライアントベクトル=[ユーザ名、ナンス、クライアントトークン]。別の例として、一実施形態では、UE102はランポートワインタイムハッシュを使用して、クライアントトークンを生成することができる。この代替実施形態の下で先在する資格証明に至るために、式3および式4において、式1および式2を次のようになるように変更する:
先在する資格証明=HMACi(パスワード、ソルト|サービス名)、式中、iは、ハッシュインデックスである      (式3)
クライアントトークン=HMAC(先在する資格証明、ナンス)      (式4)
【００７０】
クライアントトークンは、次に、接続要求内に含めるためにクライアントベクトル内に含まれる。たとえば、クライアントベクトル=[ユーザ名、i、ナンス、クライアントトークン]。式3に見られるように、インデックスiが追加される。HMACiは、ハッシュ演算の「i」実行を象徴する。これにより、サーバ116が、ハッシュ演算が何度実行されたかを知り、したがって、サーバ116がサーバ116側で同様のステップを経ることができるように、先在する資格証明はハッシュインデックスiをさらに含む。
【００７１】
別の例として、先在する資格証明がパスワードに基づく代わりに、先在する資格証明は、前にサーバ116によってUE102にプロビジョンされた鍵または他の値であってよい。鍵は、たとえば、サーバ116がUE102のユーザのアカウントに関連付けた高エントロピー鍵(たとえば、256ビット鍵)であってよい。高エントロピー鍵は、認識されるように、ランダム選択プロセスまたは何らかの他の方法に従って生成され得る。この状況において、クライアントトークンを作成するために、鍵は、それぞれ、式1または式3のいずれからから生成された先在する資格証明の代わりに、式2または式4への先在する入力と見なされる。
【００７２】
上記で説明した式のうちのいずれかに対する追加のセキュリティに関して、多要素認証(MFA:multi-factor authentication)を使用することもできる。使用されるとき、クライアントトークンの導出は、ワンタイムパスコード(OTP)と呼ばれる別の資格証明を組み込むことができる。したがって、式2および式4は次のように修正され得る:
クライアントトークン=HMAC(先在する資格証明、ナンス|OTP)      (式2)
クライアントトークン=HMAC(先在する資格証明、ナンス|OTP)      (式4)
【００７３】
クライアントトークンは、次に、接続要求内に含めるためにクライアントベクトル内に含まれる。たとえば、クライアントベクトル=[ユーザ名、ナンス、i(式中、式4が使用される)、クライアントトークン]である。上記では一連の導出として説明されたが、先在する資格証明およびアクセストークンを決定することは、代わりに、ルックアップテーブル内の(たとえば、UE102、もしくはサーバ116、または何らかの他のエンティティによって前に導出され、UE102/サーバ116に提供された)1つまたは複数の値をルックアップすることに関連し得る。
【００７４】
MME106はeNB104から転送された認証要求を受信し、動作506において、サービングネットワーク識別子をサービングネットワーク112に対応する認証要求に追加する。MME106は、修正された認証要求をサーバ116に送信するために、GW110(たとえば、2つの例を挙げると、トランスポートレイヤセキュリティ(TLS)またはハイパーテキストトランスファープロトコルセキュア(HTTPS))を通してサーバ116に対するセキュアな接続をさらに確立することができる。
【００７５】
動作508において、MME106は、修正された認証要求をサーバ116に送信する。
【００７６】
動作510において、サーバ116が修正された認証要求を受信すると、サーバ116は、修正された認証要求の確認に進む。これは、クライアントトークンから先在する資格証明を取得することと、先在する資格証明を、前に確立されたアカウントに関連付けられた先在する資格証明のローカルデータベースと比較して、クライアントトークンからの先在する資格証明とデータベース内の資格証明との間に一致があるかどうかを決定することとを含み得る。たとえば、この比較は、一方の値を他方の値から減算し、ゼロ値、またはゼロのあらかじめ決定された範囲内の何らかの値(正または負)が生じるかどうかを決定することを含み得る。認識されるように、本開示の範囲から逸脱することなく、他の比較方法が使用されてもよい。
【００７７】
これが可能であるのは、サーバ116はまた所与の先在する資格証明のためにクライアントトークンに達する際に(かつ、所与のパスワードのために先在する資格証明に達するために)上記で説明したのと同じ手法に従うためである。一実施形態では、これは、UE102とサーバ116とが、クライアントトークン(および、いくつかの実施形態では、先在する資格証明)に関する特定の導出手法に関して、たとえば、帯域外チャネル内であらかじめ合意する結果である。別の実施形態では、これは、UE102が(たとえば、式1/2もしくは式3/4、または鍵、識別証明などに従って)認証タイプが依存した識別情報を認証要求内に含めた結果である。結果として、サーバ116は、認証要求内に含まれたユーザ名に関連付けられた先在する資格証明(または、パスワード)にアクセスし、UE102において先在する資格証明に関して行ったのと同じ動作をサーバ116において先行する資格証明(または、パスワード)に関して実行することができる。代替として、クライアントトークンはあらかじめ導出され、受信されたクライアントトークンはサーバ116においてローカルバージョンと比較されてもよい。
【００７８】
サーバ116がUE102の要求に関連付けられた先在する資格証明を確認することができない(たとえば、クライアントトークンからの先在する資格証明の値がデータベース内の先在する資格証明の値と一致することを確認できない)場合、サーバ116はその要求を拒否することになる。サーバ116が(たとえば、一致を確認することによって)先在する資格証明を確認した場合、サーバ116は認証ベクトルのコンパイルに進む。これにより、クライアントトークン内に含まれた認証要求のUE102からの受信に応じて、本開示の実施形態によれば、UE102は、(認証要求の一部として、UEがHSSに対して認証されない現在の慣例と対照的に)UE102とサービングネットワーク112との間で相互認証が実行される前にサーバ116に対して認証される。一実施形態では、認証ベクトル構成要素は、UE102においてとられる手法に応じて、上記の式1または式3の先在する資格証明に基づいて導出される(後でUE102とMME106との間で相互認証が可能になるように、UE102とサーバ116の両方において同じ手法をとることができる)。認証ベクトルは、KASME(アクセスセキュリティ管理エンティティ)と、認証トークン(AUTN)と、乱数(RAND)と、UEから予想される応答(XRES)とを含み得る。KASMEは、MME106とサーバ116の両方に知られているMME106ベースキーであるが、これはサーバ116がその鍵をMME106と共有するためである。この実施形態によれば、KASMEは、式1または式3からの「先在する資格証明」値、ならびにナンス値およびRAND値に基づく。
【００７９】
別の実施形態では、認証ベクトルをコンパイルする前に、サーバ116は、PAKE(パスワード認証された鍵合意(password-authenticated key agreement))を使用して、UE102とサーバ116との間の新しい共有秘密鍵に達することができる。たとえば、PAKE手順の一部として、サーバ116はUE102と4方向ハンドシェークに関与することができる。認識されるように、他のレベルのハンドシェーク(たとえば、2方向、3方向など)が可能である。サービングネットワーク112の要素は、(接続手順がまだ完了していない場合ですら)4方向ハンドシェーク中にUE102とサーバ116との間で通信を伝えることができる。共有秘密鍵が合意されると、UE102とサーバ116は両方とも、共有秘密鍵を記憶し、サーバ116は共有秘密鍵を使用してKASMEを導出する。PAKE手順の完了は、UE102がサービングネットワーク112との相互認証の実行に先立って、UE102およびサーバ116に互いを相互認証させる。
【００８０】
本開示の態様では、サーバ116は「先在する資格証明」(式1または式3)に基づくKASMEの導出、または新しい共有秘密鍵に基づくKASMEの導出のどちらか一方を使用する。別の態様では、サーバ116は、「先在する資格証明」に基づくKASMEの導出をまず試み、それが何らかの理由で失敗した場合、両方の手法がUE102とサーバ116の両方によってサポートされる場合にKASMEの導出において使用するための新しく共有される秘密鍵を確立するためにPAKEの使用に移ることができる。KASMEは、認証セッションの持続時間にわたって有効状態に留まることができる。さらに、KASMEを使用して、NAS暗号化および完全性鍵と、アプリケーションサーバ(AS)暗号化および完全性鍵と含めて、後続の鍵を導出することができる。
【００８１】
認証ベクトルがコンパイルされると、動作512において、サーバ116はセキュアな接続を介して認証応答をMME106に返送する。
【００８２】
動作514において、MME106はKASMEおよび予想される応答XRESを認証ベクトルから抽出する。MME106はこれらの値を記憶して、動作516において、(たとえば、サービングネットワーク112に対する相互認証のために)UE102に対する認証要求内でランダム値RANDおよび認証トークンAUTNをUE102に転送する。
【００８３】
動作518において、UE102が認証トークンAUTNおよびRANDとともに認証要求をMME106から受信すると、UE102は認証トークンAUTNの確認を試みる。UE102は、サーバ116との共有秘密鍵に基づいて、認証トークンAUTNを確認する。PAKEが使用されない実施形態では、これは上記の式1または式3に従って導出される「先在する資格証明」値である。PAKEが使用される場合、それは4方向ハンドシェークからの、サーバ116との合意の後でUE102において記憶された共有秘密鍵である。たとえば、UE102は、共有秘密鍵(先在する資格証明または共有秘密鍵)に基づいてAUTNのその独自のバージョンを決定し、MME106から受信されたAUTNに対して比較する。値が一致しない場合、UE102はAUTNを確認することができず、認証は失敗する。一致がある場合、AUTNは確認され、UE102は、応答RES、およびUE102およびMME106がNASシグナリングの暗号化および完全性保護のために他の鍵を導出するために後で使用することになるその独自のKASME,バージョンの決定に進む。
【００８４】
動作520において、MME106が、MME106がサーバ116から前に記憶したXRESをUE102から受信したRESと比較することができるように、UE102はRESをMME106に送信する。2つが一致する場合、認証は成功し、プロセスは次いでNASおよびAS鍵セットアップを進めることができる。結果として、UE102は、サービングネットワーク112を介して、サービングネットワーク112とのUE102の接続をスポンサーする(たとえば、特定のアクセスに対するコストの一部またはすべてをカバーする)サーバ116によってホストされたアプリケーションサービスプロバイダとのサービスにアクセスすることができる。UE102がSIMカードまたは任意のホームネットワーク/サービスプロバイダとの既存の加入を有さない場合ですら、同じことが言える。
【００８５】
図6は、本開示の様々な態様による、スポンサー付き接続性を提供するためのUEとサービングネットワークとアプリケーションサービスプロバイダとの間のシグナリング態様を示すプロトコル図である。議論を簡単にするために、図6のプロトコル図において動作を説明する際に、図1に示した要素(たとえば、UE102、MME106、アプリケーションサービスプロバイダによって操作されるサーバ116、およびサーバ116とは別であり得るか、またはサーバ116と統合され得る許可サーバ120)を参照する。図6は、MME106がサーバ116においてUE102のユーザに関連付けられた資格証明にアクセスすることをUE102が許可する実施形態について説明する。
【００８６】
動作602において、UE102は、サーバ116(アプリケーションサービスプロバイダ)を介してスポンサー付きサービスにアクセスするためにMME106が受信する接続要求をサービングネットワーク112に送信する。接続要求は、UE102が、上記で論じた図5の動作504におけるように認証要求の一部として、先在する資格証明に基づくクライアントトークンを提供する代わりに、サーバ116と直接認証することを望むことを示す情報を含む。たとえば、UE102は、先在する資格証明に基づくクライアントトークンを提供せずに、アプリケーションサービスプロバイダに関連付けられたユーザ名を含み得る。接続要求は、UE102がサーバ116と直接的に認証する必要があることを示すことをMME106が理解する識別子を明示的に含むことが可能であるか、またはこれは、接続要求が資格証明に欠くことによりMME106によって間接的に推論され得る。UE102は、サーバ116に対する要求のルーティング態様においてサービングネットワーク112を支援するためにサーバ116を識別するための情報(サーバ116におけるアプリケーションサービスプロバイダのドメイン名またはアプリケーションIDなど)を含めることもできる。接続要求は、いずれの種類の加入者識別子(たとえば、IMSIなど)も含まない。接続要求は、(たとえば、サーバ116によるサービスに対するスポンサー付き接続性のために)サービングネットワーク112のそのアクセスの要求される範囲を識別することもできる。
【００８７】
動作604において、MME106は、先在する資格証明に基づくクライアントトークンが存在しないと決定し、かつ/または明示的な識別情報を位置特定し、したがって、認証要求を許可サーバ120に送信する。上述のように、許可サーバ120は、サーバ116から分離されたエンティティであってよく、またはサーバ116と統合されてもよい。MME106は、サービングネットワーク112の識別子を認証要求内に含めることができる。この識別子は、(サーバ116によって表される)アプリケーションサービスプロバイダとサービングネットワーク112との間にスポンサー付き関係がプロビジョニングされるのに先立って、許可サーバ120に提供されているか、または許可サーバ120から受信されている場合がある。
【００８８】
動作606において、許可サーバ120は、UE102を認証するために、サービングネットワーク112を介してUE102との通信を開始する。サービングネットワーク112の要素は、ユーザ認証およびアクセス許可プロセス中にUE102と許可サーバ120との間で通信を伝えることができ、これは、(接続手順が完了していない場合ですら)UE102と許可サーバ120との間で1つまたは複数の要求および応答を往復させることに関連し得る。たとえば、UE102のユーザインターフェースは、サーバ116を操作するアプリケーションサービスプロバイダにすでに関連付けられているユーザを認証するためのユーザ名およびパスワード(たとえば、許可サーバにおいて記憶されたプロファイルにおいて、または許可サーバによりアクセス可能なユーザ名およびパスワードと一致するユーザ名およびパスワード)をユーザインターフェース(図示せず)を介して入力するようにUE102のユーザに指示または要求することができる。別の例として、UE102は、ユーザインターフェースを介して対話することをユーザに要求せずに、(たとえば、アクセスモジュール208を介して)メモリ204内に前に記憶されたアプリケーションサービスプロバイダに関する先在する資格証明(または、鍵、もしくは識別証明)にアクセスすることができる。
【００８９】
動作606において、アプリケーションサービスプロバイダに関連付けられたユーザを認証することに加えて、許可サーバ120はまた、MME106(または、サービングネットワーク112内の他の適切なネットワーク要素)がサーバ116からUE102に関連付けられたユーザプロファイルにアクセスすることを可能にするアクセス許可をUE102から取得する。一実施形態では、アクセス許可は、ユーザ認証とは別個に取得され、ユーザ認証とは別である(たとえば、別個のクエリ)。別の実施形態では、アクセス許可は、成功裏のユーザ認証から暗示され得る。ユーザ認証および/またはアクセス許可が失敗した場合、プロセスは中断し、UE102はMME106によって通知され、MME106は許可サーバ120から通知される。
【００９０】
ユーザ認証およびアクセス許可が成功した場合、動作608において、許可サーバ120は許可コードを(たとえば、UE102に送信し、次いで、MME106に再びリダイレクトする代わりに)MME106に送信する。許可コードは、先在する資格証明、パスワード、またはユーザの他の関連する資格証明とは異なる値であり、したがって、MME106から保護される。許可コードによって、許可サーバ120はまた、下記で説明するように、アクセストークンを要求するとき、MME106に確認のために許可コードを使用させる命令を含めることができる。
【００９１】
許可コードによって、MME106は、サーバ116からUE102に関連付けられたユーザプロファイルに対するアクセスを得るために、許可サーバ120からアクセストークンをいつでも要求することができる。動作610において、MME106は、アクセストークンに対する要求を許可サーバ120に送信する。要求の一部として、MME106は動作608において受信された許可コードを含める。要求は、サービングネットワーク112(または、少なくともMME106)の識別情報をさらに含み得る。
【００９２】
動作612において、許可サーバ120は、MME106(または、より一般的には、サービングネットワーク112)を認証し、許可コードを確認した後に、動作610のアクセストークン要求に応答する。成功しなかった場合、応答は拒否を示し、いくつかの実施形態では、理由または拒否に関する指示を示す。成功した(たとえば、適切な許可コードが提供された)場合、許可サーバ120はMME106に対して要求されたアクセストークンで応答する。この応答は、アクセストークンに加えて、アクセストークンのタイプの記述と、アクセストークンが失効することになる(もはや有効でなくなる)後の特定の時間期間と、アクセストークンが失効した場合、(新しいアクセストークンを取得するために使用され得る)リフレッシュトークンとを含み得る。
【００９３】
動作614において、MME106は、このとき、アクセストークンを用いて、ユーザ資格証明の要求および受信に進む。MME106がサービングネットワーク112に対するUE102の接続を完了するのを支援するためにこれを行うことができ、その場合、サービングネットワーク112に対する接続性はこのときサーバ116によってホストされたアプリケーションサービスプロバイダによってスポンサーされる。結果として、図6の実施形態は、UE102が接続要求内に先在する資格証明(たとえば、UE102において前に記憶されたパスワード、ハッシュ化パスワード、またはアクセストークンなど)に基づくクライアントトークンを提供せずに、サービングネットワーク112に接続することを可能にする。
【００９４】
次に、図7Aを参照すると、フローチャートは、本開示の様々な態様による、サーバを操作するアプリケーションサービスプロバイダよってスポンサーされるサービスに対してネットワークにアクセスするための例示的な方法700を示す。方法700は、UE102内で実装され得る。方法700は、議論を簡単にするために、単一のUE102に関して説明されるが、本明細書で説明する態様は、複数のUE102に適用可能であり得ることを認識されよう。上記の「動作」および下記の「ステップ」は交換可能に使用され得ることを理解されよう。方法700のステップの前に、その間に、およびその後に追加のステップを提供することが可能であり、方法700の他の実施形態に関して、説明するステップのうちのいくつかを並べ替えること、置き換えること、または消去することが可能であることをやはり理解されよう。
【００９５】
ステップ702において、UE102は、それを介して、スポンサー付き接続が利用可能にされ得る1つまたは複数のサービングネットワーク112を識別する。たとえば、UE102は、1つまたは複数のサービスに関してスポンサー付き接続性を広告する1つまたは複数のブロードキャストを1つまたは複数のサービングネットワーク112から受信することができる。別の例として、UE102は、アプリケーションサービスプロバイダをホストするサーバからの情報に基づいて、前にUE102内に記憶されていた可能性がある信頼できるネットワークのリストについてメモリ204を検査することができる。
【００９６】
UE102が先在する資格証明を使用して、接続性の提供されるスポンサーシップを利用するためにサービングネットワーク112に対して認証するためのいくつかの異なる方法が存在する。UE102がサーバ116にユーザ名およびパスワードをセットアップする場合、判定ステップ704は方法700をステップ706に導くことができる。
【００９７】
ステップ706において、UE102は、たとえば、式1または式3のいずれかに関して上記で説明したように、先在する資格証明を生成するために、パスワードをソルト値でハッシュする。代替実施形態では、サーバ116が(たとえば、帯域外チャネルを介して)UE102にパスワードの先在する資格証明を前にプロビジョニングした場合、このステップは不要であり得る。
【００９８】
ステップ708において、UE102は、先在する資格証明を取り出し、たとえば、式2または式4のいずれかに関して上記で説明したように、クライアントトークンを生成するために、ナンス値(および/または他の値)で資格証明をハッシュする。
【００９９】
判定ステップ704に戻ると、UE102が、代わりに、アプリケーションサービスプロバイダのサーバ116にログインする際に使用する時間に先立って、高エントロピー鍵などの鍵をサーバ116から受信した場合、方法700は(ステップ706を省いて)ステップ708に進み、この場合、先在する資格証明は式2または式4のいずれかにおいて使用される鍵である。
【０１００】
ステップ710において、UE102は、スポンサー付き接続性を利用する試みにおいて、接続要求をサービングネットワーク112に送信する。UE102は、その接続要求の一部として、IMSIなど、他の旧来の識別子の代わりに、クライアントトークンを送信する。クライアントトークンは、クライアントトークンに加えて、先在する資格証明に関連付けられたユーザ名とナンス値(および、使用される場合、インデックス)を含むクライアントベクトルの一部として含まれてよい。
【０１０１】
上記の様々な図に関して説明したように、UE102がサービングネットワーク112に対する接続要求を送信した後に、サービングネットワーク112は、サーバ116に対する認証情報要求として、要求をサーバ116に転送する。サーバ116は、次いで、要求を確認することができる。確認は、(UE102のユーザに関連付けられた)UE102によって提供されたユーザ名および/またはパスワードなど、クライアントベクトルの態様をアプリケーションサービスプロバイダのサーバ116によって維持されたアクセス情報と比較することを含み得る。この比較が比較された値同士の間の一致の決定をもたらす場合に、確認が生じ得る。確認の後で、サーバ116は、認証応答(ベクトル)のコンパイルに進む。認証応答(ベクトル)は、KASME、AUTN、RAND、およびXRESを含むことができ、この場合、サービングネットワーク112のネットワークノード要素(たとえば、MME106)は、XRESおよびKASMEを局所的に記憶し、RANDおよびAUTNをUE102に転送する。
【０１０２】
UE102およびサーバ116がPAKEのためにセットアップされた場合、判定ステップ712において、方法700はステップ714に進む。
【０１０３】
ステップ714において、UE102は、サービングネットワーク112を介して伝えられたサーバ116からの通信を受信する。通信は、UE102とサーバ116との間の(たとえば、4方向)ハンドシェークの最初のメッセージである。
【０１０４】
ステップ716において、UE102およびサーバ116は、ハンドシェーク中に更新された共有秘密鍵に合意する。共有秘密鍵が合意されると、UE102とサーバ116は両方とも、共有秘密鍵を記憶し、サーバ116は共有秘密鍵を使用してKASMEなど、1つまたは複数の他の鍵を導出する。
【０１０５】
UE102およびサーバ116が共有秘密鍵に合意した後に、サーバ116は、共有秘密鍵を使用して、サービングネットワーク112に、かつ部分的にUE102に対する応答内で提供されることになる認証ベクトルの1つまたは複数の態様を生成する。
【０１０６】
方法700はステップ718に進み、ここで、UE102は、サーバ116からサービングネットワーク112において受信された認証応答に基づく認証要求をサービングネットワーク112から受信する。認証要求は、サーバ116によって生成され、またはさもなければ決定され、サービングネットワーク112によって転送された認証トークンを含む。認証要求はまた、サーバ116からの乱数を含み得る。
【０１０７】
判定ステップ712に戻ると、UE102およびサーバ116がPAKEのためにセットアップされない場合、方法700はすでに説明したステップ718に進む。
【０１０８】
ステップ720において、UE102は認証トークンを確認する。UE102は(PAKEが使用された場合)サーバ116との共有秘密鍵、または中間パスワード資格証明に基づいて、認証トークンAUTNを確認する。たとえば、UE102は、共有秘密鍵(先在する資格証明または共有秘密鍵)に基づいて、AUTNのその独自のバージョンを決定し、サービングネットワーク112から受信されたAUTNと比較する。
【０１０９】
一致がある場合、方法700はステップ722に進み、ここで、UE102は、UE102およびサービングネットワーク112(たとえば、MME106)がNASシグナリングの暗号化および完全性保護のために他の鍵を導出するために後で使用することになる、応答RESおよびKASMEのその独自のバージョンを決定する。
【０１１０】
MME106において、UE102からのRESがサーバ116からのXRESと一致する場合、認証は成功し、プロセスは、次いで、NASおよびAS鍵セットアップを処理することができる。結果として、UE102は、サービングネットワーク112を介して、サービングネットワーク112とのUE102の接続をスポンサーする(たとえば、特定のアクセスに対するコストのうちの一部またはすべてをカバーする)アプリケーションサービスプロバイダサーバ116とのサービスにアクセスすることができる。UE102がSIMカードまたは任意のホームネットワーク/サービスプロバイダとの既存の加入を有さない場合ですら、同じことが言える。
【０１１１】
図7Bは、本開示の様々な態様による、アプリケーションサービスプロバイダによってスポンサーされるサービスに対するネットワークアクセスを付与するための例示的な方法740を示すフローチャートである。方法740は、サーバ116内で実装され得る。方法740は、議論を簡単にするために、単一のサーバ116に関して説明されるが、本明細書で説明する態様は、複数のサーバ116に適用可能であり得ることを認識されよう。方法740のステップの前に、その間に、およびその後に追加のステップを提供することが可能であり、方法740の他の実施形態に関して、説明するステップのうちのいくつかを並べ替えること、置き換えること、または消去することが可能であることを理解されよう。
【０１１２】
ステップ742において、サーバ116は、(たとえば、サービスプロビジョニング機能によって)サービングネットワーク112とのサービスレベル合意を確立する。サービスプロビジョニング機能の結果として、サービングネットワーク112はサーバ116の代わりにサービスに対するスポンサー付き接続性を識別する情報を受信者にブロードキャストすることができる。一実施形態では、これはまた、サーバ116が、いくつかのまたはすべての信頼できるネットワーク、またはサーバ116の代わりに、サービスに対するスポンサー付き接続性を提供するための合意を締結したネットワークを識別する情報をUE102に提供することに関連し得る。
【０１１３】
ステップ744において、サーバ116は、サービングネットワーク112がUE102からの(IMSIまたは他のセルラー識別子の代わりにクライアントトークンを含んだ)接続要求の受信に応じて、サーバネットワーク112から認証要求を受信する。
【０１１４】
サーバ116によって提供された接続性のスポンサーシップを利用するためにUE102がサービングネットワーク112に対して認証するために使用することができるいくつかの異なるタイプの先在する資格証明が存在する。UE102がサーバ116とユーザ名およびパスワードをセットアップする場合、判定ステップ746は方法740をステップ746に導くことができる。
【０１１５】
ステップ746において、サーバ116は、たとえば、式1または式3のいずれかに関して上記で説明したように、先在する資格証明を生成するために、そのUE102がスポンサー付き接続性の利用を試みているユーザに関連付けられたパスワードをソルト値でハッシュする。代替実施形態では、このステップは省略されてよく、その場合、サーバ116にはパスワードの先在する資格証明が前にプロビジョニングされている。
【０１１６】
ステップ748において、サーバ116は先在する資格証明を取り出して、たとえば、式2または式4のいずれかに関して上記で説明したように、クライアントトークンのサーバ側コピーを生成するために、先在する資格証明をナンス値(および/または他の値)でハッシュする。
【０１１７】
ステップ750において、サーバ116はユーザのプロファイル(たとえば、ユーザ名、資格証明など、比較)に対して認証要求を確認する。一実施形態では、これは、受信されたクライアントトークンを決定されたサーバ側コピーと比較することを含み得る。サーバ116およびUE102は各々、クライアントトークンに達するために、同じ方法で先在する資格証明をハッシュすることができるため、一致は可能である。
【０１１８】
判定ステップ746に戻ると、サーバ116およびUE102が、代わりに、サーバ116によって表されたアプリケーションサービスプロバイダにログインするために使用する時間に先立ってサーバ116から送信された鍵(高エントロピー鍵など)に依存する場合、方法740はステップ748に進み、ここで、先在する資格証明は高エントロピー鍵である。方法740は、次いで、論じたようにステップ750に進む。
【０１１９】
サーバ116およびUE102がPAKEのためにセットアップされた場合、判定ステップ752において、方法740はステップ754に進む。
【０１２０】
ステップ754において、サーバ116は、サービングネットワーク112を介してUE102との通信を開始する。通信は、サーバ116とUE102との間の(たとえば、4方向)ハンドシェークの最初のメッセージである。
【０１２１】
ステップ756において、サーバ116およびUE102は、ハンドシェーク中に更新された共有秘密鍵に合意する。共有秘密鍵が合意されると、UE102とサーバ116は両方とも、(たとえば、認証セッションの持続期間にわたって)共有秘密鍵を記憶する。
【０１２２】
ステップ758において、サーバ116は、共有秘密鍵を使用して、KASMEなど、1つまたは複数の他の鍵を導出し、AUTNを含む認証ベクトルの他の態様を生成する。サーバ116はまた、XRESと乱数RANDとを含む認証ベクトル内に含めるための他の値を生成/決定する。
【０１２３】
判定ステップ752に戻ると、UE102およびサーバ116がPAKEのためにセットアップされない場合、方法740はすでに説明したステップ758に進み、この場合、代わりに、共有秘密鍵は先在する資格証明である。
【０１２４】
ステップ760において、サーバ116は、認証ベクトルをサービングネットワーク112(たとえば、MME106)に送信する。MME106はKASMEならびにXRESを記憶し、AUTNとRANDとを含む他の態様を相互認証のためにUE102に転送する。MME106とUE102との間で相互認証が成功した場合、プロセスは、次いで、サービングネットワーク112とUE102との間のNASおよびAS鍵のセットアップに進み、最終的に、UE102は、スポンサー付き接続に基づいて、サービングネットワーク112を介してサービスへのアクセスを進めることができる。サービングネットワーク112はスポンサー付き接続の態様(たとえば、課金、計測、請求、および他の機能)を追跡する。
【０１２５】
ステップ762において、サービスネットワーク112に対するUE102の成功裏の接続の後の何らかの時点で、サーバ116は、UE102によって使用されるスポンサー付き接続性の態様に対する料金をサービングネットワーク112から受信する。サーバ116は、次いで、当業者が認識する1つまたは複数の手法に従って、受信された料金に対処する。結果として、UE102は、サービングネットワーク112を介して、サービングネットワーク112とのUE102の接続をスポンサーする(たとえば、特定のアクセスに対するコストのうちの一部またはすべてをカバーする)アプリケーションサービスプロバイダとのサービスにアクセスすることができる。
【０１２６】
図7Cは、本開示の様々な態様による、スポンサー付きサービスに対するネットワークアクセスを円滑にするための例示的な方法770を示すフローチャートである。方法770は、MME106(および/または、サービングネットワーク112の他のネットワーク要素)内で実装され得る。方法770は、議論を簡単にするために、MME106に関して説明されるが、本明細書で説明する態様は、サービングネットワーク112内の1つまたは複数の他のネットワーク要素に適用可能であり得ることを認識されよう。方法770のステップの前に、その間に、およびその後に追加のステップを提供することが可能であり、方法770の他の実施形態に関して、説明するステップのうちのいくつかを並べ替えること、置き換えること、または消去することが可能であることを理解されよう。
【０１２７】
ステップ772において、MME106は、UE102からサービス発見要求を受信して、応答する。たとえば、MME106は、1つまたは複数のeNBなどのネットワーク要素に、サーバ116によってホストされたアプリケーションサービスプロバイダによってスポンサーされた接続性をブロードキャストさせた可能性がある。サービス発見要求は、スポンサー付き接続性の存在および/またはその時点におけるサービングネットワーク112の可用性を確認するUE102による試みであり得る。
【０１２８】
ステップ774において、MME106は、UE102から接続要求を受信する。接続要求は、その中に、IMSIなど、他の旧来の識別子の代わりに、UE102(および/またはUE102のユーザ)とサーバ116によってホストされたアプリケーションサービスプロバイダとの間で前に確立された先在する資格証明に基づくクライアントトークンを含む。
【０１２９】
ステップ776において、MME106は、サービングネットワーク112に対応するサービングネットワーク識別子を接続要求に追加し、サーバ116に転送するための認証要求を編成する。加えて、MME106は、認証要求をサーバ116に送信するために、サーバ116に対してセキュアな接続(たとえば、TLSまたはHTTPS)を確立することができる。
【０１３０】
ステップ778において、MME106は、たとえば、ステップ776において確立されたセキュアな接続を介して、認証要求をサーバ116に送信する。
【０１３１】
サーバ116およびUE102がPAKEのためにセットアップされた場合、判定ステップ780において、方法770はステップ782に進む。
【０１３２】
ステップ782において、MME106は、サーバ116とUE102(または、ハンドシェークの他のレベル)との間の(たとえば、4方向)ハンドシェーク中にサーバ116とUE102との間で要求メッセージおよび応答メッセージを伝える。サーバ116およびUE102が共有秘密鍵に合意するまで、MME106は要求/応答メッセージを伝える。
【０１３３】
ステップ784において、共有秘密鍵が合意された後で、MME106はサーバ116から認証ベクトルを受信する。認証ベクトルは、KASME、AUTN、乱数RAND、およびXRESを含み得る。
【０１３４】
判定ステップ780に戻ると、UE102およびサーバ116がPAKEのためにセットアップされない場合、方法770はすでに説明したステップ784に進む。
【０１３５】
ステップ786において、MME106はステップ784において受信された認証ベクトルからUE102との相互認証の際に使用するためにKASMEおよびXRESを抽出する。
【０１３６】
ステップ788において、MME106は、AUTN値とRAND値とを含む認証要求をUE102に送信する。UE102は(PAKEが使用された場合)サーバ116との共有秘密鍵、または先在する資格証明に基づいてAUTNを確認し、応答RESを決定する。たとえば、UE102は、共有秘密鍵に基づいてAUTNのその独自のバージョンを決定し、MME106から受信されたAUTNに対して比較する。値が一致しない場合、UE102はAUTNを確認することができず、認証は失敗する。一致がある場合、AUTNが確認され得る。
【０１３７】
ステップ790において、MME106は、UE102からRESを受信し、RESをステップ786においてMME106が記憶したXRESと比較する。MME106において、UE102からのRESがサーバ116からのXRESと一致する場合、認証は成功し、プロセスは、次いで、NASおよびAS鍵セットアップを処理することができる。結果として、UE102は、サービングネットワーク112を介して、サービングネットワーク112とのUE102の接続をスポンサーする(たとえば、特定のアクセスに対するコストのうちの一部またはすべてをカバーする)アプリケーションサービスプロバイダとのサービスにアクセスすることができる。UE102がSIMカードまたは任意のホームネットワーク/サービスプロバイダとの既存の加入を有さない場合ですら、同じことが言える。
【０１３８】
図8Aは、本開示の様々な態様による、アプリケーションサービスプロバイダによってスポンサーされるサービスに対してネットワークにアクセスするための例示的な方法800を示すフローチャートである。方法800は、UE102内で実装され得る。方法800は、議論を簡単にするために、単一のUE102に関して説明されるが、本明細書で説明する態様は、複数のUE102に適用可能であり得ることを認識されよう。さらに、上記の図6に関して述べたように、許可サーバ120およびサーバ116は同じエンティティであってよく、または異なるエンティティであってもよい。議論を簡単にするために、以下は、許可サーバ120に関する態様を論じると同時にサーバ116を参照する。方法800のステップの前に、その間に、およびその後に追加のステップを提供することが可能であり、方法800の他の実施形態に関して、説明するステップのうちのいくつかを並べ替えること、置き換えること、または消去することが可能であることを理解されよう。
【０１３９】
ステップ802において、UE102は、たとえば、図7Aのステップ702に関して上記で説明したように、それを介してスポンサー付き接続が利用可能にされ得る1つまたは複数のサービングネットワーク112を識別する。
【０１４０】
ステップ804において、UE102は、スポンサー付き接続性を利用する試みにおいて、接続要求をサービングネットワーク112に送信する。しかしながら、図7Aのステップ710と対照的に、UE102は接続要求とともに先在する資格証明に基づくクライアントトークンを送信しない(UE102はIMSIまたは別のセルラー資格証明も送信しない)。代わりに、図8A〜図8Cの実施形態によれば、UE102は、サーバ116に対する認証を支援するために、ユーザ認証およびサーバ116とのアクセス許可通信に依存することになる。MME106は認証要求をサーバ116に送信する。
【０１４１】
ステップ806において、MME106が送信した認証要求に応じて、UE102は、サービングネットワーク112を介してサーバ116からユーザ認証およびアクセス許可要求を受信する。UE102は、サーバ116に対して(たとえば、要求された場合または要求されたとき、ユーザ名および/またはパスワードを(たとえば、先在するアクセス資格証明の形で)入力または提供することによって)必須情報を用いてその要求に応答する。上記の図6に関して論じ、図8Bおよび図8Cにおいて下記でさらに説明するように、UE102およびサーバ116がユーザ認証/アクセス許可を完了した後に、MME106はサーバ116から許可コードを受信する。MME106は、この許可コードを使用してアクセストークンを要求および受信し、次いで、MME106は、アクセストークンを使用して、MME106が、スポンサー付き接続性を利用する目的でサービングネットワーク112に対してUE102を認証するために使用するユーザプロファイル情報をサーバ116から要求および受信することができる。
【０１４２】
次に、図8Bを参照すると、フローチャートは、本開示の様々な態様による、アプリケーションサービスプロバイダによってスポンサーされるサービスに対するネットワークアクセスを付与するための例示的な方法820を示す。(本議論のために、許可サーバ120の機能についても同様に説明する)方法820はサーバ116内で実装され得る。方法820のステップの前に、その間に、およびその後に追加のステップを提供することが可能であり、方法820の他の実施形態に関して、説明するステップのうちのいくつかを並べ替えること、置き換えること、または消去することが可能であることを理解されよう。
【０１４３】
ステップ822において、サーバ116は、サービスネットワーク112から、たとえば、(UE102からの接続要求に応じて要求を送信した)MME106から認証要求を受信する。
【０１４４】
ステップ824において、サーバ116は、UE102とのユーザ認証およびアクセス許可を完了するために、サービングネットワーク112を介してUE102と要求を開始する。たとえば、サービングネットワーク112の要素は、ユーザ認証およびアクセス許可プロセス中にUE102とサーバ116との間で通信を伝えることができ、これは、図6の動作606に関して上記で説明したように、UE102とサーバ116との間で先在する資格証明に関する1つまたは複数の要求および応答を往復させることに関連し得る。
【０１４５】
ステップ826において、サーバ116は、ユーザ認証/アクセス許可プロセスの一部として、UE102からの応答を分析して、(たとえば、サーバ116において記憶された、またはサーバ116によりアクセス可能なプロファイル内に記憶された対応する値と比較して適切なユーザ名および/またはパスワード資格証明を提供することによって)UE102が成功裏に認証されたかどうかを決定する。サーバ116は、(たとえば、許可を提供することによって、またはUE102に関連付けられたユーザに関してサーバ116において前に記憶された許可を位置特定することによって)UE102がアクセス許可を完了したかどうかをさらに決定する。ユーザ認証および/またはアクセス許可が失敗した場合、方法820はステップ842に進み、ここで、プロセスは終了する(また、サーバ116は、不正確なユーザ名/パスワードの組合せ、および/またはサービングネットワーク112がUE102のユーザに関連付けられたユーザプロファイルにアクセスするために与えられる許可に欠くことなど、プロセスがなぜ失敗したかを示す情報をUE102に送信することができる)。
【０１４６】
ユーザ認証およびアクセス許可が成功した場合、方法820はステップ828に進み、ここで、サーバ116は、たとえば、図6の動作608に関して上記で説明したように、許可コードを(たとえば、UE102に送信し、次いで、MME106に再びリダイレクトする代わりに)MME106に送信する。
【０１４７】
ステップ830において、サーバ116は、アクセストークンに関して、許可コードを含む要求をMME106から受信する。
【０１４８】
ステップ832において、サーバ116は、MME106からのトークン要求とともに含まれた許可コードを分析する。ステップ830において、MME106に与えられた(サーバ116が、記憶された状態に維持する)許可コードとMME106から受信された許可コードとの間に不一致がある場合、要求は拒否され、方法820はステップ842に進み、ここで、プロセスは終了する(また、サーバ116は、プロセスがなぜ失敗したかを示す情報をUE102に送信することができる)。
【０１４９】
成功した場合、方法820はステップ834に進み、ここで、サーバ116は、たとえば、図6の動作612に関して上記で説明したように、MME106に対して要求されたアクセストークンを用いてアクセストークン要求に応答する。
【０１５０】
ステップ836において、サーバ116は、UE102をサービングネットワーク112に接続するための、UE102のユーザのユーザプロファイルに対する要求をMME106から受信する。ユーザプロファイルに対する要求は、ステップ834の結果として、MME106がサーバ116から受信したアクセストークンを含む。
【０１５１】
ステップ838において、サーバ116は、要求と含まれたアクセストークンとを分析して、要求された情報をMME106にリリースするかどうかを決定する。ステップ836において、MME106に与えられたアクセストークンとMME106から受信されたアクセストークンとの間に不一致がある場合、要求は拒否され、方法820はステップ842に進み、ここで、プロセスは終了する(また、サーバ116は、プロセスがなぜ失敗したかを示す情報をUE102に送信することができる)。
【０１５２】
成功した場合、ステップ840において、サーバ116は要求されたユーザプロファイルをMME106に送信する。結果として、UE102は、MME106が適切な情報を取得するためにサーバ116に対応するのを可能にする代わりに、MME106に対する接続要求内に先在する資格証明(たとえば、UE102において前に記憶されたパスワード、ハッシュ化パスワード、またはアクセストークンなど)を提供せずに、サービングネットワーク112に接続することが可能である。
【０１５３】
図8Cは、本開示の様々な態様による、アプリケーションサービスプロバイダによってスポンサーされるサービスに対するネットワークアクセスを円滑にするための例示的な方法850を示すフローチャートである。方法850は、MME106(および/または、サービングネットワーク112の他のネットワーク要素)内で実装され得る。方法850は、議論を簡単にするために、MME106に関して説明されるが、本明細書で説明する態様は、サービングネットワーク112内の1つまたは複数の他のネットワーク要素に適用可能であり得ることを認識されよう。方法850のステップの前に、その間に、およびその後に追加のステップを提供することが可能であり、方法850の他の実施形態に関して、説明するステップのうちのいくつかを並べ替えること、置き換えること、または消去することが可能であることを理解されよう。
【０１５４】
ステップ852において、MME106は、UE102から(先在する資格証明または加入者識別子/セルラー資格証明に基づくクライアントトークンを含まない)接続要求を受信し、応じて、認証要求をサーバ116に送信する。接続要求は、UE102が、上記で論じた図5の動作504におけるように認証要求の一部としてクライアントトークンを提供する代わりに、サーバ116と直接認証することを望むことを示す情報を含む。接続要求は、UE102がサーバ116と直接的に認証する必要があることを示すことをMME106が理解するという識別子を明示的に含むことが可能であるか、またはこれは、接続要求がクライアントトークンに欠くことによりMME106によって間接的に推論され得る。
【０１５５】
ステップ854において、MME106は、サーバ116からユーザ認証/アクセス許可要求をUE102に中継し、同様に、(たとえば、何らかの形の先在する資格証明を含み得る)応答をUE102からサーバ116に戻す。
【０１５６】
UE102とサーバ116との間でユーザ認証/アクセス許可が成功した場合、ステップ856において、MME106は、アクセストークンを要求するために使用され得る許可コードをサーバ116から受信する。許可コードは、たとえば、UE102に送信し、MME106に再度リダイレクトされる代わりに、MME106に送信される。
【０１５７】
ステップ858において、MME106は、サーバ116からUE102に関連付けられたユーザプロファイルに対するアクセスを得るために、アクセストークンに対する要求をサーバ116に送信する。要求の一部として、MME106はステップ856において受信された許可コードを含める。
【０１５８】
ステップ860において、サーバ116が、MME106を認証し、MME106によって提供された許可コードを確認した後に、MME106は要求されたアクセストークンを受信する。
【０１５９】
ステップ862において、MME106がUE102の接続を完了する際にサービングネットワーク112を支援することができ、その結果、MME106がサーバ116によってホストされたアプリケーションサービスプロバイダによってスポンサーされる接続性を利用することができるように、MME106は、UE102のユーザに関連付けられたユーザプロファイルに対する要求を送信する。
【０１６０】
ステップ862において、サーバ116が要求および要求内に含まれたアクセストークンを分析した後に、ステップ864において、MME106は要求されたユーザプロファイルを受信する。結果として、UE102は、接続要求内に先在する資格証明(たとえば、UE102において前に記憶されたパスワード、ハッシュ化パスワード、またはアクセストークンなど)を提供せずに、サービングネットワーク112に接続することが可能である。
【０１６１】
様々な異なる技術および技法のうちのいずれかを使用して、情報および信号が表される場合がある。たとえば、上記の説明全体にわたって参照される場合があるデータ、命令、コマンド、情報、信号、ビット、シンボル、およびチップは、電圧、電流、電磁波、磁場もしくは磁性粒子、光場もしくは光学粒子、またはそれらの任意の組合せによって表される場合がある。
【０１６２】
本明細書の本開示に関して説明した様々な例示的なブロックおよびモジュールは、汎用プロセッサ、DSP、ASIC、FPGAもしくは他のプログラマブル論理デバイス、個別ゲートもしくはトランジスタ論理、個別ハードウェア構成要素、または本明細書で説明する機能を実行するように設計されたそれらの任意の組合せを用いて実装または実行され得る。汎用プロセッサはマイクロプロセッサであってもよいが、代替として、プロセッサは、任意の従来のプロセッサ、コントローラ、マイクロコントローラ、または状態機械であってもよい。プロセッサはまた、コンピューティングデバイスの組合せ(たとえば、DSPおよびマイクロプロセッサの組合せ、複数のマイクロプロセッサ、DSPコアと連携する1つまたは複数のマイクロプロセッサ、または任意の他のそのような構成)として実装されてもよい。
【０１６３】
本明細書で説明した機能は、ハードウェア、プロセッサによって実行されるソフトウェア、ファームウェア、またはそれらの任意の組合せで実装されてもよい。プロセッサによって実行されるソフトウェアに実装される場合、機能は、1つまたは複数の命令またはコードとしてコンピュータ可読媒体上に記憶されるか、またはコンピュータ可読媒体を介して送信される場合がある。他の例および実装形態は、本開示の範囲内および添付の特許請求の範囲内にある。たとえば、ソフトウェアの性質に起因して、上述された機能は、プロセッサ、ハードウェア、ファームウェア、ハードワイヤリング、またはこれらの任意の組合せによって実行されるソフトウェアを使用して実装することができる。機能を実装する特徴は、機能の部分が異なる物理的位置において実装されるように分散されることを含め、様々な場所に物理的に位置する場合もある。
【０１６４】
また、特許請求の範囲を含めて、本明細書で使用する場合、項目のリスト(たとえば、「のうちの少なくとも1つ」または「のうちの1つまたは複数」などの句で終わる項目のリスト)で使用される「または」は、たとえば、[A、B、またはCのうちの少なくとも1つ]のリストがAまたはBまたはCまたはABまたはACまたはBCまたはABC(すなわち、AおよびBおよびC)を意味するように、包括的リストを示す。一実施形態に関して説明した特徴、構成要素、動作、および/またはステップは、本明細書で提示したのとは異なる順序で構築可能であり、かつ/または本開示の他の実施形態に関して説明した特徴、構成要素、動作、および/またはステップと組合せ可能であることがやはり企図される。
【０１６５】
本開示の実施形態は、それを介してアプリケーションサービスプロバイダサーバがサービスに対するアクセスをスポンサーするサービングネットワークを識別するための手段と、アプリケーションサービスプロバイダサーバに確立された先在する資格証明に基づくクライアントトークンとともに接続要求をサービングネットワークに送信するための手段であって、クライアントトークンがサービングネットワークに対するセルラーアクセス資格証明として認識不可能である、送信するための手段と、先在する資格証明に基づいて、サービスに対するスポンサー付きアクセスのためにアプリケーションサービスプロバイダサーバを介してサービングネットワークに対して認証するための手段とを含む、サービスにアクセスするためのユーザ機器(UE)を含む。
【０１６６】
UEは、サービスに対するスポンサー付きアクセスを利用するための認証のためにUEによって使用される認証タイプの識別情報を接続要求内に含めるための手段をさらに含む。UEは、アプリケーションサービスプロバイダサーバをどのように位置特定するかを識別する情報を接続要求内に含めるための手段をさらに含む。先在する資格証明が、帯域外チャネルを介して生成された、アプリケーションサービスプロバイダサーバに確立されたパスワードに基づき、をさらに含み、UEは、パスワードおよびアプリケーションサービスプロバイダサーバに関連付けられたユーザ名を接続要求とともに含めるための手段と、先在する資格証明を生成するために、パスワードを第1の値でハッシュするための手段と、接続要求内でUEから送信されるクライアントトークンを生成するために、先在する資格証明を第2の値でハッシュするための手段とをさらに含む。UEは、UEにおいて、サービングネットワークを介してアプリケーションサービスプロバイダサーバから認証トークンを受信するための手段であって、サービングネットワークが、先在する資格証明に基づいて、アプリケーションサービスプロバイダサーバによって決定された鍵を記憶する、受信するための手段と、認証トークンを確認するための手段と、確認に応じて、UEによって生成された中間パスワード資格証明に基づいてUEベースの鍵を決定するための手段とをさらに含む。UEは、先在する資格証明の所有の証拠としてクライアントトークンを含めるための手段であって、先在する資格証明が、接続要求の送信に先立って、UEとアプリケーションサービスプロバイダサーバとの間で確立される、含めるための手段をさらに含む。UEは、送信の後で、共有秘密鍵に合意するために、UEとアプリケーションサービスプロバイダサーバとの間でハンドシェークを実行するための手段と、UEとアプリケーションサービスプロバイダサーバとの間の認証セッションの持続時間にわたって有効である共有秘密鍵に基づいてベースキーを決定するための手段と、ベースキーに基づくハンドシェークの後に、接続要求に応じて受信された認証情報を確認するための手段とをさらに含む。UEは、サービングネットワークからスポンサー付きアクセスの広告を受信するための手段をさらに含む。UEは、サービングネットワークからのネットワーク要素が先在する資格証明に関連付けられたユーザプロファイルをアプリケーションサービスプロバイダサーバから取り出すことを許可するための手段をさらに含む。UEは加入者識別モジュール(SIM)カードなしで動作する。
【０１６７】
本開示の実施形態は、それを介してアプリケーションサービスプロバイダサーバがサービスに対するアクセスをスポンサーする介在サービングネットワークから、ユーザ機器(UE)からの接続要求に基づいて認証情報要求を受信するための手段であって、認証情報要求が、アプリケーションサービスプロバイダサーバに確立された先在する資格証明に基づき、かつサービングネットワークに対するセルラーアクセス資格証明として認識不可能であるクライアントトークンを含む、受信するための手段と、認証情報要求に応じて、アプリケーションサービスプロバイダサーバによりアクセス可能な先在する資格証明に基づいて認証情報を決定するための手段と、サービスネットワークに対する応答内で認証情報を送信するための手段であって、認証情報が、先在する資格証明に基づいて、サービスに対するスポンサー付きアクセスのためのUEとサービングネットワークとの間の認証を支援する、送信するための手段とを含む、サービスに対するアクセスをスポンサーするアプリケーションサービスプロバイダサーバをさらに含む。
【０１６８】
先在する資格証明が、帯域外のチャネルを介して生成された、アプリケーションサービスプロバイダサーバに確立されたパスワードに基づき、認証情報要求がパスワードおよびアプリケーションサービスプロバイダサーバに関連付けられたユーザ名を含み、アプリケーションサービスプロバイダは、ユーザ名、およびアプリケーションサービスプロバイダサーバによりアクセス可能な1つまたは複数の記録に基づくクライアントトークンを確認するための手段であって、クライアントトークンが、第1の値でハッシュされた先在する資格証明を備え、先在する資格証明が第2の値でハッシュされたパスワードを含む、確認するための手段をさらに含む。アプリケーションサービスプロバイダは、共有鍵、認証トークン、および先在する資格証明に基づいて予想される応答を備える認証ベクトルを生成するための手段をさらに含む。アプリケーションサービスプロバイダは、認証情報要求の受信に先立って、UEが先在する資格証明の所有の証拠として使用するためのクライアントトークンをUEに提供するための手段をさらに含む。アプリケーションサービスプロバイダは、受信の後で、UEとアプリケーションサービスプロバイダサーバとの間のハンドシェークに基づく共有秘密鍵に合意するための手段と、共有秘密鍵に基づいてベースキーを決定するための手段と、ベースキー、認証トークン、および先在する資格証明に基づいて予想される応答を備えた認証ベクトルを生成するための手段とをさらに含む。アプリケーションサービスプロバイダは、ネットワーク要素が、UEの代わりに、ユーザプロファイルにアクセスするためのUE許可に基づいて、先在する資格証明に関連付けられたユーザプロファイルをサービングネットワークからのネットワーク要素に提供するための手段をさらに含む。アプリケーションサービスプロバイダは、アプリケーションサービスプロバイダサーバとサービングネットワークとの間でサービスレベル合意を確立するための手段であって、サービスレベル合意に応じて、サービングネットワークがスポンサー付きアクセスを利用可能なデバイスに広告する、確立するための手段をさらに含む。UEが、UEとサービングネットワークとの間の認証を完了して、スポンサー付きアクセスを利用し、アプリケーションサービスプロバイダは、サービングネットワーク上でUEによるサービスに対するスポンサー付きアクセスに関連付けられた料金をサービングネットワークから受信するための手段をさらに含む。アプリケーションサービスプロバイダは、認証情報要求の受信に先立って、信頼できるサービングネットワークのリストをUEに提供するための手段をさらに含む。介在サービングネットワークは発展型パケットコア(EPC)ネットワークを備え、アプリケーションサービスプロバイダサーバはEPCネットワークの外部のデータネットワークの一部である。
【０１６９】
当業者が今では諒解するように、また当面の特定の用途に応じて、本開示の要旨および範囲から逸脱することなく、本開示のデバイスの材料、装置、構成、および使用方法において、かつそれらに対して、多くの修正、置換、および変形を行うことができる。このことに照らして、本明細書に図示および記載された特定の実施形態は、それらのいくつかの例によるものにすぎないため、本開示の範囲はそのような特定の実施形態の範囲に限定されるべきではなく、むしろ、下記に添付される特許請求の範囲およびそれらの機能的な均等物の範囲と完全に同じであるべきである。
【符号の説明】
【０１７０】
100  ワイヤレス通信ネットワーク
102  UE
104  無線アクセスネットワーク(RAN)
106  モビリティ管理エンティティ(MME)
108  サービングゲートウェイ(S-GW)
110  パケットデータネットワークゲートウェイ(P-GW)
112  サービングネットワーク
114  ネットワーク
116  サーバ
202  プロセッサ
204  メモリ
206  命令
208  アクセスモジュール
210  トランシーバ
212  モデムサブシステム
214  無線周波数(RF)ユニット
216  アンテナ
302  プロセッサ
304  メモリ
306  命令
308  アクセスモジュール
310  サービス、特定用途向けサービス
312  データベース
314  トランシーバ
400  MIMOシステム
410  送信機システム
412  データソース
414  送信(TX)データプロセッサ
420  TX MIMOプロセッサ
422  送信機、受信機
422a〜422t  送信機(TMTR)
424  アンテナ
424a〜424t  アンテナ
430  プロセッサ
432  メモリ
436  データソース
438  TXデータプロセッサ
440  復調器
442  RXデータプロセッサ
450  受信機システム
452  アンテナ
452a〜452r  アンテナ
454a〜454r  受信機(RCVR)、送信機
460  RXデータプロセッサ
470  プロセッサ
700  方法
740  方法
770  方法
800  方法
【図１】
0006470846.tif 000002
【図２】
0006470846.tif 000003
【図３】
0006470846.tif 000004
【図４】
0006470846.tif 000005
【図５】
0006470846.tif 000006
【図６】
0006470846.tif 000007
【図７Ａ】
0006470846.tif 000008
【図７Ｂ】
0006470846.tif 000009
【図７Ｃ】
0006470846.tif 000010
【図８Ａ】
0006470846.tif 000011
【図８Ｂ】
0006470846.tif 000012
【図８Ｃ】
0006470846.tif 000013