(57)【要約】  ネットワーク機器(300、400)は、無線通信システム(10)の複数の異なるコアネットワークドメインの1つにおける使用のために構成される。ネットワーク機器(300、400)は、異なるコアネットワークドメイン間で送信された、または送信されるメッセージ(60)を受信するように構成される。ネットワーク機器(300、400)は、保護ポリシ(80)に従って、メッセージ内のフィールドのコンテンツの1つ以上の部分にドメイン間セキュリティ保護を適用するか、またはドメイン間セキュリティ保護を解除するように構成される。保護ポリシ(80)は、コンテンツのどの1つ以上の部分にドメイン間セキュリティ保護が適用され又は解除されるかを示す情報を含む。また、ネットワーク機器(300、400)は、メッセージ(60)の宛先に向けて、ドメイン間セキュリティ保護が適用または削除されたメッセージ(60)の1つ以上の部分を転送するように構成される。【選択図】図１
2021520665.tif 000002
【特許請求の範囲】
【請求項１】
無線通信システム(10)の複数の異なるコアネットワークドメインのうちの1つにおけるネットワーク機器(300、400)によって実行される方法であって、前記方法は、
前記異なるコアネットワークドメインの間で送信された、または送信されるメッセージ(60)を受信(110)することと、
コンテンツのどの1つ以上の部分にドメイン間セキュリティ保護を適用し又は解除するかを示す情報を含む保護ポリシ(80)に従って、前記メッセージ(60)内のフィールドのコンテンツの1つ以上の部分に、ドメイン間セキュリティ保護を適用(130)し、またはドメイン間セキュリティ保護を解除することと、
前記1つ以上の部分にドメイン間セキュリティ保護が適用または解除された前記メッセージ(60)を、前記メッセージ(60)の宛先に向けて転送する(140)ことと、を含む方法。
【請求項２】
請求項1に記載の方法であって、前記メッセージ(60)はハイパーテキスト転送プロトコル(HTTP)メッセージであり、前記フィールドはHTTPフィールドである、方法。
【請求項３】
請求項2に記載の方法であって、前記HTTPメッセージ(60)はHTTP要求メッセージであり、前記フィールドはパスフィールドであり、前記パスフィールドの前記コンテンツは要求ユニフォーム・リソース・アイデンティファイア(URI)である、方法。
【請求項４】
請求項1から3のいずれか1項に記載の方法であって、前記情報は、前記1つ以上の部分を示す1つ以上の正規表現を含む、方法。
【請求項５】
請求項1から4のいずれか1項に記載の方法であって、前記情報は、前記1つ以上の部分を示す1つ以上のJavaScript Object Notation(JSON)ポインタを含む、方法。
【請求項６】
請求項1から5のいずれか1項に記載の方法であって、前記保護ポリシ(80)は、更に、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプを示し、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護の前記タイプは、機密性保護および／または完全性保護を含む、方法。
【請求項７】
請求項1から6のいずれか1項に記載の方法であって、前記保護ポリシ(80)は、前記メッセージ(60)に含まれる、方法。
【請求項８】
請求項1から6のいずれか1項に記載の方法であって、更に、前記メッセージ(60)を受信したことに応じて、前記メッセージ(60)を保護するための前記保護ポリシ(80)のディスカバリを要求するディスカバリ要求をネットワークリポジトリ機能(NRF)に送信することと、前記ディスカバリ要求に応じて前記保護ポリシ(80)を受信することとを含む、方法。
【請求項９】
請求項1から7のいずれか1項に記載の方法であって、更に、前記メッセージ(60)が前記メッセージ(60)の送信元から前記メッセージ(60)の前記宛先まで辿るパスにおけるネットワーク機器から前記保護ポリシ(80)を受信することを含む、方法。
【請求項１０】
ネットワーク機器(500、600)によって実行される方法であって、前記方法は、
メッセージ(60)におけるフィールドのコンテンツのどの1つ以上の部分にドメイン間セキュリティ保護を適用し又は解除するかを示す情報を含む保護ポリシ(80)を取得する(210)ことであって、前記メッセージ(60)は無線通信システム(10)の異なるコアネットワークドメインの間で送信される、取得することと、
前記保護ポリシ(80)を送信する(220)こととを含む、方法。
【請求項１１】
請求項10に記載の方法であって、前記保護ポリシ(80)を送信することは、前記異なるコアネットワークドメインの1つにおいて、前記保護ポリシ(80)に従って前記1つ以上の部分にドメイン間セキュリティ保護を適用する、またはドメイン間セキュリティ保護を解除するように構成されたネットワーク機器に、前記保護ポリシ(80)を送信することを含む、方法。
【請求項１２】
請求項10または11に記載の方法であって、前記方法は、ネットワークリポジトリ機能(NRF)(90)を実施するネットワーク機器によって実行され、前記方法は、更に、前記メッセージ(60)を保護するための前記保護ポリシ(80)のディスカバリを要求するディスカバリ要求を受信することと、前記ディスカバリ要求に応じて前記保護ポリシ(80)を送信することとを含む、方法。
【請求項１３】
請求項10または11に記載の方法であって、前記方法は、前記メッセージ(60)の送信元から前記メッセージ(60)の前記宛先まで前記メッセージ(60)が辿るパスにおけるネットワーク機器によって実行される、方法。
【請求項１４】
請求項10から13のいずれか1項に記載の方法であって、前記情報は、前記1つ以上の部分を示す1つ以上の正規表現を含む、方法。
【請求項１５】
請求項10から14のいずれか1項に記載の方法であって、前記情報は、前記1つ以上の部分を示す1つ以上のJavaScript Object Notation(JSON)ポインタを含む、方法。
【請求項１６】
請求項10から15のいずれか1項に記載の方法であって、前記保護ポリシ(80)は、更に、前記１つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプを示し、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護の前記タイプは、機密性保護および／または完全性保護を含む、方法。
【請求項１７】
請求項10から16のいずれか1項に記載の方法であって、前記メッセージ(60)はハイパーテキスト転送プロトコル(HTTP)メッセージであり、前記フィールドはHTTPフィールドである、方法。
【請求項１８】
請求項17に記載の方法であって、前記HTTPメッセージ(60)はHTTP要求メッセージであり、前記フィールドはパスフィールドであり、前記パスフィールドの前記コンテンツは要求ユニフォーム・リソース・アイデンティファイア(URI)である、方法。
【請求項１９】
実施形態10から11および13から18のいずれか1項に記載の方法であって、前記保護ポリシ(80)は前記メッセージ(60)に含まれる、方法。
【請求項２０】
無線通信システム(10)の複数の異なるコアネットワークドメインの1つで使用するように構成されたネットワーク機器(300、400)であって、前記ネットワーク機器(300、400)は、
通信回路(320)と、
処理回路(310)であって、
通信回路(320)を介して、前記異なるコアネットワークドメインの間で送信された、または送信されるメッセージ(60)を受信し、 
コンテンツのどの1つ以上の部分にドメイン間セキュリティ保護を適用し又は解除するかを示す情報を含む保護ポリシ(80)に従って、前記メッセージ(60)内のフィールドのコンテンツの1つ以上の部分に、ドメイン間セキュリティ保護を適用(130)し、またはドメイン間セキュリティ保護を解除し、
前記1つ以上の部分にドメイン間セキュリティ保護が適用または解除された前記メッセージ(60)を、前記通信回路(320)を介して前記メッセージ(60)の宛先に向けて転送する(140)、ように構成される前記処理回路とを含む、ネットワーク機器。
【請求項２１】
請求項20に記載のネットワーク機器であって、前記メッセージ(60)はハイパーテキスト転送プロトコル(HTTP)メッセージであり、前記フィールドはHTTPフィールドである、ネットワーク機器。
【請求項２２】
請求項21に記載のネットワーク機器であって、前記HTTPメッセージ(60)はHTTP要求メッセージであり、前記フィールドはパスフィールドであり、前記パスフィールドの前記コンテンツは要求ユニフォーム・リソース・アイデンティファイア(URI)である、ネットワーク機器。
【請求項２３】
請求項20から22のいずれか1項に記載のネットワーク機器であって、前記情報は、前記1つ以上の部分を示す1つ以上の正規表現を含む、ネットワーク機器。
【請求項２４】
請求項20から23のいずれか1項に記載のネットワーク機器であって、前記情報は、前記1つ以上の部分を示す1つ以上のJavaScript Object Notation(JSON)ポインタを含む、ネットワーク機器。
【請求項２５】
請求項20から24のいずれか1項に記載のネットワーク機器であって、前記保護ポリシ(80)は、更に、前記１つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプを示し、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護の前記タイプは、機密性保護および／または完全性保護を含む、ネットワーク機器。
【請求項２６】
請求項20から25のいずれか1項に記載のネットワーク機器であって、前記保護ポリシ(80)は、前記メッセージ(60)に含まれる、ネットワーク機器。
【請求項２７】
請求項20から25のいずれか1項に記載のネットワーク機器であって、前記処理回路(310)は、更に、前記メッセージ(60)を受信したことに応じて、前記メッセージ(60)を保護するための前記保護ポリシ(80)のディスカバリを要求するディスカバリ要求をネットワークリポジトリ機能(NRF)に送信し、前記ディスカバリ要求に応じて前記保護ポリシ(80)を受信するように構成される、ネットワーク機器。
【請求項２８】
請求項20から26のいずれか1項に記載のネットワーク機器であって、前記処理回路(310)は、更に、前記メッセージ(60)が前記メッセージ(60)の送信元から前記メッセージ(60)の宛先まで辿るパスにおける前記ネットワーク機器から前記保護ポリシ(80)を受信するように構成される、ネットワーク機器。
【請求項２９】
ネットワーク機器(500、600)であって、
通信回路(520)と、
処理回路(510)であって、
メッセージ(60)におけるフィールドのコンテンツのどの1つ以上の部分にドメイン間セキュリティ保護を適用し又は解除するかを示す情報を含む保護ポリシ(210)を取得(80)し、前記メッセージ(60)は無線通信システム(10)の異なるコアネットワークドメインの間で送信され、 
前記通信回路(520)を介して、前記保護ポリシ(80)を送信するように構成される前記処理回路と、を含む、ネットワーク機器(500、600)。
【請求項３０】
請求項29に記載のネットワーク機器であって、前記処理回路(620)は、前記異なるコアネットワークドメインの1つにおいて、前記保護ポリシ(80)に従って前記1つ以上の部分にドメイン間セキュリティ保護を適用する、またはドメイン間セキュリティ保護を解除するように構成された前記ネットワーク機器に、前記保護ポリシ(80)を送信するように構成される、ネットワーク機器。
【請求項３１】
請求項29または30に記載のネットワーク機器であって、前記ネットワーク機器(500、600)は、ネットワークリポジトリ機能(NRF)(90)を実施し、前記処理回路は、更に、前記メッセージ(60)を保護するための前記保護ポリシ(80)のディスカバリを要求するディスカバリ要求を受信し、前記ディスカバリ要求に応じて前記保護ポリシ(80)を送信するように構成される、ネットワーク機器。
【請求項３２】
請求項29または30に記載のネットワーク機器であって、前記ネットワーク機器(500、600)は、前記メッセージ(60)の送信元から前記メッセージ(60)の前記宛先まで前記メッセージ(60)が辿るパスにあるように構成される、ネットワーク機器。
【請求項３３】
請求項29から32のいずれか1項に記載のネットワーク機器であって、前記情報は、前記1つ以上の部分を示す1つ以上の正規表現を含む、ネットワーク機器。
【請求項３４】
請求項29から33のいずれか1項に記載のネットワーク機器であって、前記情報は、前記1つ以上の部分を示す1つ以上のJavaScript Object Notation(JSON)ポインタを含む、ネットワーク機器。
【請求項３５】
請求項29から34のいずれか1項に記載のネットワーク機器であって、前記保護ポリシ(80)は、更に、前記１つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプを示し、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護の前記タイプは、機密性保護および／または完全性保護を含む、ネットワーク機器。
【請求項３６】
請求項29から35のいずれか1項に記載のネットワーク機器であって、前記メッセージ(60)はハイパーテキスト転送プロトコル(HTTP)メッセージであり、前記フィールドはHTTPフィールドである、ネットワーク機器。
【請求項３７】
請求項36に記載のネットワーク機器であって、前記HTTPメッセージ(60)はHTTP要求メッセージであり、前記フィールドはパスフィールドであり、前記パスフィールドの前記コンテンツは要求ユニフォーム・リソース・アイデンティファイア(URI)である、ネットワーク機器。
【請求項３８】
請求項29から30および32から37のいずれか1項に記載の前記保護ポリシ(80)は、前記メッセージ(60)に含まれる、ネットワーク機器。
【請求項３９】
ネットワーク機器(300、400、500、600)の少なくとも1つのプロセッサによって実行されると、前記ネットワーク機器(300, 400, 500, 600)に請求項1から19のいずれか1項の方法を実行させる命令を含む、コンピュータプログラム。
【請求項４０】
請求項39に記載のコンピュータプログラムを含むキャリアであって、前記キャリアは、電気信号、光信号、無線信号、またはコンピュータ可読記録媒体のうちの1つである、キャリア。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に無線通信システムに関するものであり、より詳細には、無線通信システムの異なるコアネットワークドメイン間で伝送されるメッセージの保護に関するものである。
【背景技術】
【０００２】
ユーザのサービスネットワークドメインには、コアネットワーク機器と、ユーザのアクセスポイントに対してローカルな機能が含まれる。ユーザのホームネットワークドメインは、コアネットワーク機器と、ユーザのアクセスポイントの位置に依存しない機能とを含む。ユーザのホームネットワークドメインは、例えば、ユーザの加入情報および／またはホーム固有のサービスを管理してもよい。ユーザのサービングネットワークドメインがユーザのホームネットワークドメインと異なるとき、サービングネットワークドメインとホームネットワークドメインは、例えば、ユーザ認証、ユーザ固有のデータ／サービスなどのために、互いに通信する。これらおよび他の例において、異なるコアネットワークドメイン間の通信は、通信が許可されていない主体によって検査インスタンス改変されないことを保証するために、（例えば、機密性および／インスタンス完全性保護によって）保護される必要がある。
【０００３】
いくつかの文脈は、ドメイン間通信の保護を複雑にする。第1に、異なるコアネットワークドメイン間の相互接続をサポートするインターネットワーク交換プロバイダは、ネットワークオペレータに特定の価値あるサービスを提供するために、実際に通信の一部を読みとったり修正したりする必要があるかもしれない。第2に、通信フォーマットの進化に直面しているドメイン間通信の適切な保護を保証することは、非現実的な管理上および運用上のオーバーヘッドを課す恐れがある。
【発明の概要】
【０００４】
本明細書のいくつかの実施形態は、無線通信システムの異なるコアネットワークドメイン間で送信されるメッセージのドメイン間セキュリティ保護のための保護ポリシを利用する。保護ポリシは、メッセージのどの1つ以上の部分にドメイン間セキュリティ保護が適用または解除されるか、例えば、保護がメッセージの特定の部分のみに選択的に適用または解除され得るかを示してよい。実際に、いくつかの実施形態では、保護ポリシは、メッセージにおけるフィールドのコンテンツのどの1つ以上の部分にドメイン間セキュリティ保護が適用又は解除されるかを示す情報を含む。このようにして、保護は、フィールドのコンテンツ全体ではなく、所定のフィールドのコンテンツの特定の部分に選択的に適用されまたは解除されてよい。
【０００５】
代替的または追加的に、いくつかの実施形態では、メッセージのドメイン間セキュリティ保護のための保護ポリシは、動的に受信および／または更新されてもよい。例えば、一実施形態では、特定のメッセージ（例えば、特定のタイプの）に適用可能な保護ポリシは、メッセージの受信に応答して動的にディスカバリされおよび／または検索されてもよい。別の実施形態では、特定のメッセージに適用可能な保護ポリシは、メッセージ自体に含まれるか、またはメッセージ自体に他の方法で関連付けられてもよい。
【０００６】
いくつかの実施形態に従って、メッセージの特定の部分（例えば、特定のフィールドのコンテンツの1つ以上の部分）の選択的ドメイン間セキュリティ保護は、ネットワーク交換プロバイダがネットワークオペレータにサービスを提供するために必要に応じてメッセージを読み取ったり、または変更したりすることを有利に可能にし得る。代替的または追加的に、いくつかの実施形態による保護ポリシの動的受信および／または更新可能性は、そうでなければこのような柔軟性のために必要とされる管理および／または運用のオーバヘッドを最小化または少なくとも削減しながら、（例えば、コアネットワークにおけるネットワーク機能の進化に起因する）メッセージフォーマットの変更により進化する柔軟な保護を有利に提供する。
【０００７】
より詳細には、本明細書の実施形態は、無線通信システムの複数の異なるコアネットワークドメインのうちの1つにおけるネットワーク機器によって実行される方法を含む。方法は、異なるコアネットワークドメイン間で送信された、または送信されるメッセージを受信することを含んでよい。また、方法は、保護ポリシに従って、メッセージの1つ以上の部分（例えば、メッセージ内のフィールドのコンテンツの1つ以上の部分）に対してドメイン間セキュリティ保護を適用すること、またはドメイン間セキュリティ保護を解除することを含むことができる。いくつかの実施形態では、保護ポリシは、メッセージのどの1つ以上の部分にドメイン間セキュリティ保護が適用されまたは解除されるかを示す。実際に、いくつかの実施形態では、保護ポリシは、メッセージにおけるフィールドのコンテンツのどの1つ以上の部分にドメイン間セキュリティ保護が適用され又は解除されるかを示す情報を含む。ある実施形態では、ネットワーク機器は、保護ポリシを受信することによって、例えば、ディスカバリ要求に応答して動的に、保護ポリシを取得してもよい。いくつかの実施形態では、本方法は、メッセージの宛先に向けて、1つ以上の部分に適用されまたは解除されたドメイン間セキュリティ保護を伴うメッセージを転送することをさらに含む。
【０００８】
いくつかの実施形態では、メッセージはハイパーテキスト転送プロトコル（HTTP）メッセージであり、フィールドはHTTPフィールドである。例えば、いくつかの実施形態では、HTTPメッセージはHTTP要求メッセージであり、フィールドはパスフィールドであり、パスフィールドのコンテンツは要求ユニフォーム・リソース・アイデンティファイア(URI)である。
【０００９】
いくつかの実施形態において、情報は、1つ以上の部分を示す1つ以上の正規表現を含む。代替的に、または追加的に、いくつかの実施形態では、情報は、1つ以上の部分を示す1つ以上のJavaScript Object Notation(JSON)ポインタを含む。
【００１０】
いくつかの実施形態において、保護ポリシは、さらに、1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプを示す。この場合、1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプは、機密性保護および／または完全性保護を含んでよい。
【００１１】
いくつかの実施形態では、保護ポリシはメッセージに含まれる。これらの実施形態および他の実施形態では、方法は、メッセージの送信元からメッセージの宛先までメッセージが辿るパスにおけるネットワーク機器から保護ポリシを受信することをさらに含んでよい。他の実施形態では、本方法は、さらに、メッセージの受信に応答して、ネットワークリポジトリ機能(NRF)に、メッセージを保護するための保護ポリシのディスカバリを要求するディスカバリ要求を送信することと、ディスカバリ要求に応答して保護ポリシを受信することを含んでもよい。
【００１２】
本明細書の実施形態は、無線通信システムの異なるコアネットワークドメイン間で送信されるメッセージの保護を容易にするために、ネットワーク機器によって実行される方法も含む。この方法は、保護ポリシを取得することを含んでよい。いくつかの実施形態では、保護ポリシは、メッセージのどの1つ以上の部分にドメイン間セキュリティ保護が適用されまたは解除されるかを示す。実際に、いくつかの実施形態では、保護ポリシは、メッセージにおけるフィールドのコンテンツのどの1つ以上の部分にドメイン間セキュリティ保護が適用され又は解除されるかを示す情報を含む。いずれにせよ、方法はまた、保護ポリシを送信することを含んでよい。例えば、ある実施形態では、方法は、保護ポリシに従って、ドメイン間セキュリティ保護を1つ以上の部分に適用するか、またはドメイン間セキュリティ保護を解除するように構成された、1つ以上の異なるコアネットワークドメイン内のネットワーク機器に、保護ポリシを送信することを含む。
【００１３】
ある実施形態では、本方法は、ネットワークリポジトリ機能(NRF)を実施するネットワーク機器によって実行される。この場合、本方法は、さらに、メッセージを保護するための保護ポリシのディスカバリを要求するディスカバリ要求を受信することと、ディスカバリ要求に応答して保護ポリシを送信することを含んでよい。他の実施形態では、方法は、メッセージの送信元からメッセージの宛先までメッセージが辿るパスにおけるネットワーク機器によって実行されてもよい。これらの実施形態および他の実施形態では、保護ポリシは、メッセージに含まれてもよい。
【００１４】
いくつかの実施形態では、メッセージはハイパーテキスト転送プロトコル（HTTP）メッセージであり、フィールドはHTTPフィールドである。例えば、いくつかの実施形態では、HTTPメッセージはHTTP要求メッセージであり、フィールドはパスフィールドであり、パスフィールドのコンテンツは要求ユニフォーム・リソース・アイデンティファイア(URI)である。
【００１５】
いくつかの実施形態において、情報は、1つ以上の部分を示す1つ以上の正規表現を含む。代替的に、または追加的に、いくつかの実施形態では、情報は、1つ以上の部分を示す1つ以上のJavaScript Object Notation(JSON)ポインタを含む。
【００１６】
いくつかの実施形態において、保護ポリシは、さらに、1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプを示す。この場合、1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプは、機密性保護および／または完全性保護を含んでよい。
【００１７】
本明細書の実施形態は、対応する装置、コンピュータプログラム、およびキャリア（例えば、非一時的コンピュータ可読媒体）も含む。例えば、本明細書の実施形態は、無線通信システムの複数の異なるコアネットワークドメインの1つで使用するように構成されたネットワーク機器も含む。ネットワーク機器は、通信回路及び処理回路を含む。処理回路は、通信回路を介して、異なるコアネットワークドメイン間で送信された、または送信されるメッセージを受信するように構成されてもよい。また、処理回路は、コンテンツのドメイン間セキュリティ保護の1つ以上の部分が適用または解除されることを示す情報を含む保護ポリシに従って、メッセージのフィールドのコンテンツの1つ以上の部分にドメイン間セキュリティ保護を適用したり、ドメイン間セキュリティ保護を解除したりするように構成されてもよい。処理回路は、通信回路を介してメッセージの宛先に向けて、1つ以上の部分に適用または解除されたドメイン間セキュリティ保護を有するメッセージを転送するようにさらに構成されてもよい。
【００１８】
実施形態は、通信回路および処理回路を含むネットワーク機器をさらに含む。処理回路は、メッセージにおけるフィールドのコンテンツのどの1つ以上の部分にドメイン間セキュリティ保護が適用または解除されるかを示す情報を含む保護ポリシを取得するように構成され、メッセージは無線通信システムの異なるコアネットワークドメイン間で送信される。また、処理回路は、通信回路を介して保護ポリシを送信するように構成される。
【図面の簡単な説明】
【００１９】
【図１】図1は、いくつかの実施形態による無線通信システムのブロック図である。
【図２Ａ】図2Aは、いくつかの実施形態に従ってドメイン間セキュリティ保護が適用されるメッセージ内のフィールドのブロック図である。
【図２Ｂ】図2Bは、いくつかの実施形態に従ってドメイン間セキュリティ保護が適用されるメッセージ内のフィールドのコンテンツ例のブロック図である。
【図３】図3は、いくつかの実施形態による保護ポリシを取得するための、1つ以上のプロキシのためのプロセスのコールフロー図である。
【図４】図4は、他の実施形態による保護ポリシを取得するための、1つ以上のプロキシのためのプロセスのコールフロー図である。
【図５】図5は、いくつかの実施形態に係るネットワーク機器によって実行される方法の論理フロー図である。
【図６】図6は、他の実施形態に係るネットワーク機器によって実行される方法の論理フロー図である。
【図７】図7は、いくつかの実施形態による無線通信システムのブロック図である。
【図８】図8は、いくつかの実施形態によるコアネットワークドメイン間で送信するメッセージを保護するためのプロセスのコールフロー図である。
【図９Ａ】図9Aは、いくつかの実施形態によるネットワーク機器のブロック図である。
【図９Ｂ】図9Bは、他の実施形態によるネットワーク機器のブロック図である。
【図１０Ａ】図10Aは、更なる他の実施形態によるネットワーク機器のブロック図である。
【図１０Ｂ】図10Bは、更なる他の実施形態によるネットワーク機器のブロック図である。
【発明を実施するための形態】
【００２０】
図1は、いくつかの実施形態に係る無線通信システム10を示す。システム10は、無線デバイス12を1つ以上のコアネットワーク（CN）16、例えば1つ以上の公衆陸上移動体ネットワーク（PLMN）、に無線接続する1つ以上の無線アクセスネットワーク（RAN）14を含む。CN16は次に無線デバイス12を1つ以上のデータネットワーク18、例えばインターネット、公衆交換電話網(PSTN)等に接続する。
【００２１】
ある実施形態におけるCN16は、CNネットワーク機能（NF）間のサービスベースの相互作用を利用するサービスベースのアーキテクチャを有し、そのうちの2つはNF20、30として示される。各NF20、30は、専用ハードウェア上のネットワーク要素として、専用ハードウェア上で実行されるソフトウェアインスタンスとして、または、例えばクラウドインフラストラクチャ上の適切なプラットフォーム上にインスタンス化される仮想化機能として、ネットワーク機器によって実現されてもよい。システム10が5Gシステムである場合、例えば、制御プレーン内のNFは、アクセス及びモビリティ管理機能 (AMF)、セッション管理機能(SMF)、ポリシ制御機能 (PCF)、認証サーバ機能(AUSF)、統合データ管理機能(UDM)、等を含むことができる。
【００２２】
NFは、そのサービスを消費する他の認証されたNFに、そのサービスを提供してもよい。それにより、NFは、サービスのプロバイダとしてのプロバイダの役割（NFサービスプロバイダ）および／またはサービスの消費者としての消費者の役割（NFサービス消費者）を引き継ぐことができる。一例では、NF20は、NFサービスプロバイダとしてNF30によって提供されるサービスを消費するために、NFサービス消費者として動作する。NFサービスプロバイダがNFサービス消費者にサービスを提供するために、NF20、30は、その一部として、またはそのために、メッセージの形成で通信をやり取りする。しかしながら、いくつかの実施形態では、NF20、30は異なるPLMN内にある。これらの実施形態および他の実施形態では、これらのメッセージは、異なるコアネットワークドメイン間で送信されなければならない。
【００２３】
図1は、プロキシ40、50がドメイン間メッセージングを容易にすることを示す。各プロキシ40、50は、それぞれのコアネットワークドメインのプロキシとして構成される。NF20、30が異なるPLMNにある場合、例えば、プロキシ40、50は、それぞれのPLMNのエッジにあるエッジプロキシ（例えば、セキュリティエッジ保護プロキシ(SEPP)の形態）であってもよい。各プロキシ40、50は、例えば、メッセージ（例えば、悪意の有無）を検査および／またはフィルタリングして、ロードバランシング等を実行するために、そのドメインに着信し、および／またはそのドメインから発信するメッセージを（例えば、アプリケーション層で）インターセプトする。いくつかの実施形態におけるプロキシ40、50は、それぞれのコアネットワークドメインのトポロジを隠蔽する。プロキシ40、50はまた、コアネットワークドメイン間で送信されるメッセージを保護する。
【００２４】
より詳細には、この点に関して、図1は、一例として、NF20がメッセージ60の宛先としてNF30に送信されるメッセージ60（例えば、アプリケーション層メッセージ）の送信元であることを示す。異なるコアネットワークドメイン内のNF20、30により、プロキシ40は、メッセージ60がコアネットワークドメイン境界を越えて送信される前に、メッセージ60を受信する（例えば、インターセプトする）。プロキシ40は、メッセージ60にドメイン間セキュリティ保護70を適用する。保護70が機密性保護を含む場合、例えば、保護70の適用は暗号化を含んでよい。代替的にまたは追加的に、保護70が完全性保護を含む場合、保護70の適用は、チェックサム、メッセージ認証コード(MAC)、署名、またはメッセージ改ざんを検出するための他の情報の追加を含んでよい。いずれにせよ、プロキシ40は、次に、保護70が適用されたメッセージ60を、メッセージの宛先30としてNF 30に向けて転送する。プロキシ50は、NF 30のコアネットワークドメインに着信するメッセージ60を受信する（例えば、インターセプトする）。プロキシ50は、ドメイン間セキュリティ保護70を（例えば、復号化および／またはチェックサム確認および除去を行うことによって）解除する。次に、プロキシ50は、メッセージの宛先30として、メッセージ60をNF30に向けて転送する。
【００２５】
いくつかの実施形態によれば、ドメイン間セキュリティ保護70は、メッセージ60の1つ以上の部分または一部に適用され、例えば、メッセージ60全体に適用される必要はなく、メッセージ60の特定の部分のみに選択的に保護が適用されてもよい。実際、いくつかの実施形態では、保護70は、メッセージ60内の特定のフィールド62のコンテンツの1つ以上の部分に適用される。この点において、フィールド62は、（例えば、メッセージ60が生成されるプロトコルに基づいて）所定のタイプおよび／または目的のコンテンツを有するものとして予め定義されてもよい。いくつかの実施形態におけるフィールド62は、要素または情報要素とも呼ばれてよい。このようにして、保護は、フィールドのコンテンツ全体ではなく、所定のフィールドのコンテンツの特定の部分に選択的に適用されてよい。
【００２６】
図2Aに例を示す。図2Aに示すように、フィールド62のコンテンツは、複数の部分62A、62B、および62Cを有する。これらの部分は、フィールドのコンテンツを一緒に形成するために、全て同じタイプおよび／または目的を有することができる。しかし、保護70は、部分62Aおよび62Cの除外に対して、部分62Bに選択的に適用されてもよい。ある実施形態では、例えば、プロキシ50は、フィールド62から部分62Bを抽出し、抽出された部分62Bに選択的に保護70を（例えば、部分62Bを選択的に暗号化し、および／または部分62Bに対して選択的にチェックサムを生成することによって）適用する。部分62Aおよび62Cは、保護されないままでよい。次に、メッセージ60を受信すると、プロキシ60は、フィールド62から部分62Bを抽出し、抽出された部分62Bから選択的に保護70を（例えば、部分62Bを選択的に復号することによって、および／または部分62Bのチェックサムを確認および除去することによって）解除することができる。
【００２７】
図2Bは、メッセージ60がハイパーテキスト転送プロトコル（HTTP）メッセージであり、フィールド62がHTTPフィールド（例えば、HTTPメッセージのボディまたはボディの一部、またはHTTPヘッダまたは疑似ヘッダのフィールド）である、いくつかの実施形態におけるフィールドのコンテンツの特定の例を示す。図に示すように、メッセージ60はHTTP GET要求であり、フィールド62はパス(PATH)フィールドである。パスフィールドのコンテンツは、要求ユニフォーム・リソース・アイデンティファイア(URI) である。この場合、保護70は、パスフィールド内の要求URIの1つ以上の部分に適用されてもよい。実際、この例におけるパスフィールドのコンテンツ（すなわち、要求URI）は、要求URIの部分62Bのみに選択的に適用された保護70を有する複数の部分62A、62B、および62Cを含む。この例の部分62Bは、国際移動加入者識別情報（IMSI）の形式の加入者識別情報を含む。他の部分62Aおよび62Cは、保護されないままでよい。
【００２８】
いくつかの実施形態に係るメッセージ60の特定の部分（例えば、フィールド62のコンテンツの1つ以上の部分）の選択的ドメイン間セキュリティ保護は、これらの特定の部分を、他の部分を読み取ったり、あるいは修正したりすることを可能にすると同時に、許可されていない検査および／または改ざんから有利に保護し得る。例えば、異なるコアネットワークドメイン間の接続を提供するインターネットワーク交換プロバイダは、ネットワークオペレータにサービスを提供するために、必要に応じて、保護されていない部分を読んだり修正したりすることができる。したがって、防護の粒度は、実際に防護を必要とする（例えば、機密である）コンテンツの粒度に合わせて、狭く調整されてよい。これは、他のエンティティの他のコンテンツの使用を危険にさらす、および／または、通信資源や処理能力を不必要に増加させる可能性がある、過度に広範な防護を回避する。
【００２９】
特に、本明細書のいくつかの実施形態は、メッセージ60の特定の部分（例えば、フィールド62のコンテンツの1つ以上の部分）のこの選択的ドメイン間セキュリティ保護を実現するための保護ポリシ80を利用する。保護ポリシ80は、メッセージ60のどの1つ以上の部分にドメイン間セキュリティ保護70が（例えば、プロキシ40によって）適用されるか、（例えば、プロキシ50によって）解除されるかを示す情報を含む。ある実施形態では、次いで、この情報は、フィールド62のコンテンツのどの1つ以上の部分にドメイン間セキュリティ保護70が適用または解除されるかを示す。情報は、保護70が適用／解除される部分を明示的に示すことによって、または保護70が適用／解除されない部分を示すことによって暗黙的に、どの1つ以上の部分に保護70が適用／解除されるかを効果的に示すことができることに注意されたい。また、一実施形態における保護ポリシ80は、1つ以上の部分の各々に対して、適用または解除されるドメイン間セキュリティ保護70のタイプ（例えば、機密性および／または完全性保護）を示す。
【００３０】
例えば、ある実施形態では、保護ポリシ80内の情報は、1つ以上の部分を示す1つ以上の正規表現を含む。この点で正規表現は、検索パターンを定義する一連の文字であってよい。検索パターンは、次に、アルゴリズムを検索して、メッセージ60内の文字の特定のパターン（例えば、フィールドのコンテンツ内）を見つけることによって使用されてもよい。
【００３１】
例えば、図2Bの部分62B（例えば、IMSI）を見つけるために使用可能な正規表現は、「^/udm−sdm/v1/([^/?#]+)/nssai$」であってよい。この例では、曲折的な文字（すなわち＾）とドル記号文字（すなわち$）は、任意の文字を「消費」せず、代わりに、検索される文字列の先頭と末尾にパターンを結び付けるアンカーである。正規表現の中の文字（［＾/?#]+）は、スラッシュ文字(/)、疑問符文字（?）、ポンド文字（#）を除く任意の文字の1つ以上の出現を含む任意のサブパターンまたはサブグループを捕捉する。この捕捉されたサブパターンまたはサブグループは、検索アルゴリズムから出力される。したがって、正規表現を使用してフィールドのコンテンツを構文解析すると、サブパターン「imsi−214050123456789」が提供される。したがって、保護70は、フィールドのコンテンツの他の部分62Aおよび62Cを除外するために、このサブパターンのみに選択的に適用され得る。
【００３２】
もちろん、正規表現は、本明細書で使用される部分を示す単なる1つの方法である。保護ポリシ80は、任意のタイプの表現、パターン、構文、言語、区切り文字、ポインタ、ルール、または1つ以上の部分を示す他の情報を含むことができる。例えば、ある実施形態では、情報は、より広い文字列内のパターン、トークン、または部分文字列を示す任意の情報であってもよい。図2Bの例では、例えば、情報は、代替的に、部分62Bをフィールドのコンテンツにおける第3のパスセグメントとして、すなわち、スラッシュ(/)の形式で第3および第4のトークンまたは区切り文字の間に現れる文字のサブパターンまたはサブグループを示すことができる。さらに他の実施形態では、情報は、フィールド62内の1つ以上のバイト範囲、および／またはフィールド62内の1つ以上のビット範囲を含み、これらは1つ以上の部分を示す。
【００３３】
さらに他の実施形態では、保護ポリシ80内の情報は、1つ以上の部分を示す1つ以上のJavaScript Object Notation(JSON)ポインタを含む。JSONポインタ（例えば、RFC 6901で定義されている）は、JSONドキュメント内の特定の値を識別するための文字列構文である。JSONポインタは、JSON文字列値および／またはURIフラグメント識別子で表現されてよい。特にJSONポインタは、ゼロ個以上の参照トークンのシーケンスを含むユニコード（Unicode）文字列である。各トークンには、斜線「/」文字がプレフィックスされる。これらの実施形態および他の実施形態では、例としての保護ポリシ80は、HTMLメッセージのボディまたはペイロード内のコンテンツの1つ以上の部分を示してよく、ここで、そのボディまたはペイロードは、JSON文書を含む。
【００３４】
保護ポリシ80内の情報の特定の性質にかかわらず、これらの例は、いくつかの実施形態における保護ポリシ80が、基礎となるメッセージ／フィールドコンテンツまたはメッセージの伝送プロトコルのいずれかとは無関係に、および／または一般的に適用可能な情報を有する部分（保護70が適用または削除される部分）を示すことを表す。保護ポリシ80は、例えば、フィールドのコンテンツのタイプ、構造、又はフォーマットにかかわらず、同じ一般的な種類の情報（例えば、正規表現）を有するフィールド62内のコンテンツの任意の部分を示すことができる。すなわち、ある例では、情報は、特定のタイプまたはフォーマット（例えば、IMSI）を有するコンテンツに基づいてフィールド62内のコンテンツの特定の部分を示すために形成されてもよいが、別の例では、情報は、異なるタイプまたはフォーマット（例えば、セル識別子）を有するコンテンツに基づいてフィールド62内のコンテンツの異なる部分を示すために（例えば、異なる正規表現として）形成されてもよい。しかし、両方の例の情報は、同一の一般的な文字（例えば、両方とも正規表現）を有するため、プロキシ40、50が、基礎となるコンテンツのタイプ、構造、またはフォーマットが進化するか、あるいはどのように進化するかにかかわらず、任意の部分を識別することを、普遍的に可能にする。したがって、プロキシ40、50を構成して、保護ポリシ80内の正規表現または他の情報を一般的に理解または処理することは、プロキシ40、50がそのコンテンツをより具体的に理解するように構成されていなくても、メッセージ60またはフィールド62内のコンテンツの任意の部分に保護70を選択的に適用または解除するプロキシ40、50を十分に備える。図2Bの例では、次に、プロキシは、IMSIを識別する方法をより具体的に理解することなく、部分62Bを保護するために正規表現を処理する方法を単純に理解する必要がある。これは、プロキシ40、50が、新しいエンティティ（例えば、ネットワーク機能）および／またはサービス（例えば、それらのHTTP URIによって表される）のシステム10への導入に応じて、その基礎となるコンテンツが（例えば、その形態または構造に関して）どのように変更または進化するかを無視し続けることができることを意味する。いくつかの実施形態では、それは、その種の情報を使用する部分を識別するためのプロキシの一般的な構成ではなく、メッセージ60の基礎となるコンテンツ（例えば、その構造またはフォーマットに関して）の変更または進化を考慮するために動的に変更または進化する保護ポリシ80内の情報（例えば、正規表現）である。
【００３５】
あるいは、上記の実施形態に加えて、メッセージ60のドメイン間セキュリティ保護70に対する保護ポリシ80は、プロキシ40または50によって動的に受信および／または更新されてもよい。ポリシ80の動的検索および／または更新は、メッセージ60のコンテンツに対する変更または進化を考慮することができる。このように、プロキシ40または50自体の構成は、このような変更または進化を考慮するために（手動で）更新される必要はない。いくつかの実施形態によれば、これは、メッセージフォーマットの変更（例えば、コアネットワークにおけるネットワーク機能またはサービスの進化に起因する）と共に進化する柔軟な保護を有利に提供することができ、一方で、そうでなければそのような柔軟性のために必要とされる管理および／または運用のオーバヘッドを最小化または少なくとも削減することができる。
【００３６】
図3は、例えば、プロキシ40および／または50が、1つ以上のネットワークリポジトリ機能（NRF）90から、例えば、メッセージ60の受信に応答して、保護ポリシ80を動的にディスカバリするいくつかの実施形態を示す。図示されているように、メッセージ60の送信元としてのNF20はメッセージ60を送信し、それはプロキシ40によってインターセプトされるか、あるいは他の方法で受け取られる（ステップ1）。メッセージ60の受信に応答して、プロキシ40は、ディスカバリ要求92をディスカバリサービス（そのコアネットワークドメイン内）に送信し、メッセージ60を保護するための保護ポリシ80のディスカバリを要求する（ステップ2）。ディスカバリサービスは、ネットワークリポジトリ機能(NRF)90Aによって実現されるものとしてここに示されているが、他の実施形態では、NRFと共存するスタンドアロン機能によって、または他のネットワーク機器又は機能によって実現されてもよい。とにかく、プロキシ40は、ディスカバリ要求に応答して保護ポリシ80を受信する（ステップ3）。プロキシ40は、保護ポリシ80に従って決定されたメッセージ60の1つ以上の部分（例えば、フィールド62のコンテンツの1つ以上の部分）に保護を適用し、コアネットワークドメイン境界を越えて保護されたメッセージ60をプロキシ50に送信する（ステップ4）。メッセージ60を受信したことに応じて、プロキシ50は、次に、NRF90Bによって実施されるように、ディスカバリ要求94をディスカバリサービス（そのコアネットワークドメイン内）に送信する（ステップ5）。ディスカバリ要求に応答して、プロキシ50は、ディスカバリサービスから保護ポリシ80を受信する（ステップ6）。プロキシ50は、保護ポリシ80に従って決定されたメッセージ60の1つ以上の部分（例えば、フィールド62のコンテンツの1つ以上の部分）から保護を解除し、メッセージの宛先としてNF30に向けて（保護されていない）メッセージ60を送信する（ステップ7）。
【００３７】
図には示されていないが、いくつかの実施形態では、メッセージの送信元および／または宛先は、例えば、図3に示すように、そのポリシ80の後のディスカバリのために、メッセージ60に適用可能な保護ポリシ80を、コアネットワークドメインの1つ以上におけるディスカバリサービスに提供する。例えば、NF30は、消費者NFとしてのNF 20にサービスを提供するプロバイダNFであり、メッセージ60は、NF20がそのサービスを消費するためにNF30に送信するメッセージである。いくつかの実施形態では、プロバイダNF30は、そのサービスプロファイルを（例えば、初回登録または登録更新の一部として）NRF90Bに提供する。これには、NF30によって提供されるサービスを消費するために使用される1つ以上のメッセージに適用可能な保護ポリシ80が含まれる。次に、NRF90Bは、潜在的な消費者NFによる後のディスカバリのために、サービスプロファイルまたは少なくとも保護ポリシ80をNRF90Aに配布または他の方法で提供してよい。
【００３８】
さらなる他の実施形態では、プロキシ40および／または50は、NRF90Aおよび／または90Bから新らたなまたは更新された保護ポリシを積極的に受信するように加入してもよい。これらの実施形態および他の実施形態では、プロキシ40および／または50は、コアネットワークドメイン間で送信されるメッセージを保護するために後で使用されることを想定して、受信された保護ポリシを記憶（例えば、キャッシュ）することができる。
【００３９】
図4は、これとは対照的に、プロキシ40および／または50が、メッセージ60がメッセージ60の送信元から宛先に向かうパスにおいて、ネットワーク機能または機器から保護ポリシ80を受信する他の実施形態を示す。特に、図4は、メッセージの送信元としてのNF20が、メッセージ60自体に（例えば、メッセージのヘッダに）保護ポリシ80が埋め込まれているか、または他の方法で含まれているメッセージ60を送信することを示している（ステップ1）。このようにして、プロキシ40は、メッセージ60の送信元から保護ポリシ80を受信する。次に、プロキシ40は、再びメッセージ80に含まれる保護ポリシ80とともに保護されたメッセージ60をコアネットワークドメイン境界を超えて送信する（ステップ2）。それに応じて、プロキシ50は、異なるコアネットワークドメイン内のプロキシ40から保護ポリシ80を受信する。次に、プロキシ50は、メッセージ60の保護を解除し、宛先としてのNF30に向けてそれを転送することができる（ステップ3）。
【００４０】
上記のバリエーションおよび修正を考慮して、いくつかの実施形態におけるネットワーク機器は、一般に、図5に示される方法100を実行する。ネットワーク機器は、無線通信システム10の複数の異なるコアネットワークドメインの1つのためのプロキシとして構成されてもよい。例えば、方法100は、プロキシ40またはプロキシ50として構成されたネットワーク機器によって実行されてもよい。示されるような方法100は、異なるコアネットワークドメイン間で送信された、または送信されるメッセージ60を受信することを含む（ブロック110）。また、方法100は、メッセージ60のどの1つ以上の部分（例えば、メッセージ60内のフィールド62のコンテンツの1つ以上の部分）にドメイン間セキュリティ保護70が適用または解除されるかを示す情報を含む保護ポリシ80を受信するステップ（ブロック120）を含んでよい。方法100は、さらに、保護ポリシ80に従って、ドメイン間セキュリティ保護を1つ以上の部分に適用すること、またはドメイン間セキュリティ保護を解除することを含んでよい（ブロック130）。いくつかの実施形態における方法100は、メッセージ60の宛先に向けて、1つ以上の部分に適用または解除されたドメイン間セキュリティ保護を伴うメッセージ60を転送することも含み得る（ブロック140）。
【００４１】
いくつかの実施形態では、本方法は、さらに、メッセージ60の受信に応じて、メッセージ60を保護するための保護ポリシ80のディスカバリを要求する、ネットワークリポジトリ機能(NRF)へのディスカバリ要求を送信することと、ディスカバリ要求に応じた保護ポリシを受信することとを含む。あるいは、この方法は、メッセージの送信元からメッセージの宛先までメッセージが辿るパスにおけるネットワーク機器から保護ポリシ80を受信することを含んでもよい。
【００４２】
また、上記のバリエーションおよび修正を考慮して、他の実施形態のネットワーク機器は、一般に、無線通信システム10の異なるコアネットワークドメイン間で送信されるメッセージ60の保護を容易にするために、図6に示す方法200を実行する。方法200は、例えば、NF20、プロキシ40、プロキシ50、NF30、またはNRF90を実施するネットワーク機器によって実行されてよい。この点で示されるように、方法200は、メッセージ60のどの1つ以上の部分（例えば、メッセージ60のフィールド62のコンテンツの1つ以上の部分）に、ドメイン間セキュリティ保護70が適用または解除されるかを示す情報を含む保護ポリシ80を取得することを含む（ブロック210）。方法200はまた、保護ポリシ80を送信することを含み得る（ブロック220）。
【００４３】
例えば、ある実施形態では、保護ポリシを送信することは、異なるコアネットワークドメインのプロキシとして、保護ポリシに従って1つ以上の部分にドメイン間セキュリティ保護を適用する、またはドメイン間セキュリティ保護を解除するように構成されたネットワーク機器に、保護ポリシを送信することを含む。
【００４４】
代替的または追加的に、本方法は、ネットワークリポジトリ機能(NRF)を実施するネットワーク機器によって実行されてもよく、メッセージを保護するための保護ポリシのディスカバリを要求するディスカバリ要求を受信することと、ディスカバリ要求に応答して保護ポリシを送信することとをさらに含んでもよい。
【００４５】
あるいは、この方法は、メッセージの送信元からメッセージの宛先まで（例えば、NF20、プロキシ40、プロキシ50、またはNF30によって）メッセージが辿るパスにおけるネットワーク機器によって実行されてもよい。
【００４６】
いくつかの実施形態は、次に、5Gである場合に適用可能な特定の関連について説明される。
【００４７】
3GPPは5Gに取り組んでおり、認証から、IPアドレスの割り当て及びパケットのルーティングまで、接続しているユーザにサービスを提供する関連のコアネットワーク(5GC）を提供している。しかしながら、5Gコアネットワークは、以前の世代と著しく異なっている。
【００４８】
5Gアーキテクチャにおける変更の1つは、いわゆるサービスベースアーキテクチャ（SBA）を実装することである。この新しいアーキテクチャでは、コアネットワーク内の多数のインタフェース（ローミングインタフェースを含む）が、従来のテレコム形式から最新のWebベースのアプリケーションプログラミングインタフェース（API）に変更されている。これらのAPIの詳細は、現在、5Gコアネットワークアーキテクチャ文書23.501および23.502における、3GPP SA2グループにおいてならびに3GPP CTグループにおいて、作業されている。
【００４９】
サービスベースのアーキテクチャを開発し、実装するには、いくつかの代替方法がある。いくつかの可能性の中から、3GPP CT4グループは、REST(Representational State Transfer)アーキテクチャモデルに基づくアーキテクチャを選択した。このモデルでは、5Gシステム内の異なるエンティティ（サービス、ネットワーク機能など）は、HTTPでユニフォーム・リソース・アイデンティファイア (URI)によって識別される、いわゆる「リソース」上でアクションを呼び出すことによって互いに相互作用する。そして、異なるシステムエンティティで呼び出される異なるアクションは、異なるHTTP標準コマンド（GET、POST、PUT、DELETE など） によって定義され、一方で、HTTP メッセージは、影響を受けるリソースの表現をHTTPペイロードで伝達する。これらの表現は、異なるデータエンコード言語（JSONなど）でフォーマットされ得る。
【００５０】
5G Core Network は、次の要件に従い得る。Main protocol: HTTP/2； Transport protocol: TCP; RESTful API design style； Data serialization format: JSON; Server-initiated interactions:  "Web-hook"; および Interface Definition Language:  OpenAPI 3．0．0 （公式には「Swagger」として知られる）。
【００５１】
5Gコアネットワークの異なるネットワーク機能は、アプリケーションプログラミングインターフェース（API）を介してサービスを公開する。このAPI は、HTTPリソース(Universal Resource Identifiers、URI）、可能な操作（GET、POST、PUT など）、およびメッセージペイロードで転送されるデータの形式（メッセージ本文） を定義する。
【００５２】
NFサービスプロバイダに関する情報が対応するNFサービス消費者にローカルに構成されている場合（期待されるNF サービスまたはNFがリクエスタNFと同一のPLMN にある場合など）でなければ、NFサービス消費者は、ネットワークリポジトリ機能（NRF）を使用して動的にNFサービスプロデューサを発見して選択する。NRFは、NFサービスプロデューサの使用可能なインスタンスとそのサポートされているサービスのNFプロファイルを維持し、NFサービス消費者からNFサービスディスカバリ要求を受信し、対応するNFサービスプロデューサの使用可能なインスタンスの情報を要求側NFサービス消費者に提供する、ために使用される論理機能である。
【００５３】
要求されたNFタイプまたはNFサービスへのアクセスを可能にするために、リクエスタNFは、NFのタイプまたは発見しようとしている特定のサービス（例えば、セッション管理機能(SMF)、ポリシ課金機能(PCF)、ユーザ機器(UE)位置報告）および他のサービスパラメータ（例えば、スライシング関連情報）をNRFに提供することによって、NFまたはNFサービスのディスカバリを開始する。選択されたメッセージルーティングモデルに応じて、NRFはIPアドレスまたは完全修飾ドメイン名（FQDN）、または関連するサービスやNFインスタンスの識別子をリクエスタNFに提供し得る。その情報に基づいて、リクエスタNFは、1つの特定のNFインスタンス、または、特定のNFサービスを提供することができるNFインスタンス（例えば、ポリシ認可を提供することができるPCFのインスタンス）を選択することができる。
【００５４】
ローミングの場合（すなわち、ユーザが、そのユーザが加入しているホームネットワーク以外のネットワークにアクセスしている場合）には、相互接続ネットワークを介して送られる情報が、許可されていない主体によって検査または改変されないことを保証するために、訪問されたネットワークとホームネットワークとの間の通信を（例えば、暗号的に）保護することができる。このタスクは、SEPP (Security Edge Protection Proxy) と呼ばれるネットワーク要素によって実行される。N32インターフェイスを介して通信するvSEPP (訪問したネットワークのSEPP） と、hSEPP (ホームネットワークのSEPP）がある場合がある。
【００５５】
SEPP間の通信の保護は、アプリケーション層にあってよい。いくつかの実施形態では、完全性保護は、N32インターフェース上で転送されるすべての属性に適用される。あるいは、追加的に、以下の属性のひとつ以上が、N32インターフェース上で送られるときに、守秘性を保護される可能性がある。属性は、認証ベクトル、暗号材料、位置データ、例えば、セルID と物理セルID、またはInternational Mobile Subscriber Identifier (IMSI)などの加入者永久識別子（SUPI）を含む。
【００５６】
SEPPの機能の一部として、その1つはHTTPメッセージを構成する異なるフィールド上で送信される情報を保護することである。これらのHTTP フィールドには、HTTPリクエストURI、HTTPヘッダ、HTTPボディ（またはペイロード） のさまざまな部分などがある。
【００５７】
2つのPLMN間の接続は、通常、いわゆるIPXプロバイダを介して行われる。実際の接続に加えて、IPXプロバイダは通常、オペレータに追加サービスを提供する。これらのサービスの一部は、PLMN間で送信されるメッセージのフィールドの読み取りおよび／または変更に基づいている。したがって、特定のメッセージ部分またはフィールドは、vSEPPとhSEPPの間のN32インターフェースを介して送信される場合、実際には暗号で保護されないことが望ましい。
【００５８】
要約すると、SEPPは、N32上で送信されるメッセージ中の情報フィールドまたは部分のいくつかを保護（暗号化および／または完全性保護）しなければならず、そして、（例えば、IPXプロバイダによって提供される追加サービスを実現するための）SEPPが保護されていないままにしておくべきメッセージの他の部分もある。
【００５９】
しかしながら、SEPPのロールアウトまたは最後の更新時に定義されなかった新しいタイプのメッセージがN32上で送信された場合、保護される必要があるメッセージの部分は、SEPPに明示的に知られていない。更に、SEPPはまた、コアネットワークにおける異なるネットワーク機能の通常の機能進化の結果として、ソフトウェアアップグレードを必要とせずにそのサービスを提供できることが望ましい。
【００６０】
本明細書のいくつかの実施形態は、メッセージのどの部分を保護する必要があるか、及びどのように保護しなければならないか（機密性、完全性）を定義するポリシを、有利に提供する。1つ以上の実施形態では、このポリシは、新しいタイプのメッセージに適用可能な（パターンマッチング）言語または「マスク」で表現される。このようにして、ポリシは動的に表現でき、SEPPのロールアウト時や最終更新時に知られる必要はない。本明細書の実施形態はまた、特定のメッセージに適用可能なポリシをSEPPに通知するためのフローを含む。それにより、実施形態は、このような保護（暗号化および／または完全性保護）を行うエンティティが静的構成に依存せず、新しいエンティティ（ネットワーク機能）および新しいサービス（それらのHTTP URIによって表される）がシステムに追加されるときに変更される必要がないように、N32上で送信されるメッセージの一部を選択的に保護するための動的かつ柔軟な方法を提供する。
【００６１】
いくつかの実施形態は、ホーム内および訪問したPLMNの間のサービスのデザイン（API）に影響を与えること無く、セキュリティメカニズムの適用を可能にする。追加的にまたは代替的に、いくつかの実施形態は、サービスAPIの現在の定義に拘束されず、柔軟な方法でネットワークオペレータ間で転送される5GトラフィックにおいてHTTPメッセージに見られる機密情報要素（IMSIのようなユーザ識別など）の保護（暗号化および／または完全性保護）を可能にし、5Gコアネットワークのさらなる進化における新しいネットワーク機能、サービスおよびAPIの導入のために準備される。
【００６２】
特定のメッセージのポリシをSEPPに通知するためのシグナリングフローの例について、以下に2つのバリエーションを説明する。図7は、バリエーション1とバリエーション2を説明するためのコンテキストの例を示す。
【００６３】
バリエーション1では、SEPPは適用可能な保護ポリシ情報をNRFに問い合わせる。図示するように、PLMN1のネットワーク機能NF1は、PLMN2のネットワーク機能NF2にメッセージを送信することを意図している。メッセージは、PLMN1およびPLMN2のSEPP1およびSEPP2を介してルーティングされる。SEPP1は、メッセージを受信すると、まだ有効期限が切れていないこのタイプのメッセージの保護ポリシが保存されているかどうかを確認する。このような保護ポリシが利用可能でない場合、SEPP1はPLMN1のNRF（NRF1と呼ばれる）を照会する。
【００６４】
NRF1が特定のメッセージに適用可能な保護ポリシについてSEPP1によって照会された場合、NRF1は使用可能な保護ポリシをSEPP1に送信する。NRF1は、PLMN2のNRFであるNRF2を照会する必要があってもよい。NRF1は、登録時にNF1から保護ポリシを受信したものであってもよい。NRF2は、登録時にNF2から保護ポリシを受信したものであってもよい。
【００６５】
SEPP1は、メッセージをSEPP2に転送する前に、NRF1および／またはNRF2から受信したポリシに従って、メッセージの保護（例えば、暗号保護）を行う。SEPP1は転送するメッセージに保護ポリシを含めることができる。「転送」において、SEPPはメッセージを修正するか、あるいは別のメッセージ内にカプセル化してもよいことに留意する。
【００６６】
SEPP1からメッセージを受信すると、SEPP2はメッセージの暗号化された部分を復号化し、メッセージの完全性保護のされた部分の整合性を確認する。SEPP2は、SEPP1から受信した保護ポリシを使用し、または保護ポリシ情報を取得するために必要に応じてNRF1および／またはNRF2に問い合わせを行ってよい。
【００６７】
SEPP2はメッセージをNF2に転送する。
【００６８】
これに対して、バリエーション2では、メッセージ（NF1）を送信するNFは、メッセージに保護ポリシを含める。NFは、サービスディスカバリの間（サービス消費者の場合）またはサービス登録の間（サービスプロデューサの場合）にポリシを受信してもよい。
【００６９】
この点に関して、より詳細には、ネットワーク機能NF1は、そのPLMNにおけるNRFであるNRF1において、サービスディスカバリまたはサービス登録を行う。上記のディスカバリまたは登録の一部として、NRF1は、NF1がサービスを消費または生産する間に、送信し得るメッセージタイプの保護ポリシを含めてよい。ディスカバリの場合、NRF1はNRF2から保護ポリシを受け取っていてもよい。
【００７０】
サービスを消費または生成している間、NF1はメッセージをNF2に送信しようとする。メッセージはSEPP1とSEPP2を介してルーティングされる。メッセージには、NF1が、このメッセージに適用可能な保護ポリシを含めている。NF1は、NRF1もしくはNRF2からポリシを受信したものであってもよいが、ポリシは、代わりに、NF1自身から発信されたものであってもよい。
【００７１】
SEPP1 は、メッセージをSEPP2に転送する前に、NF1から受信したポリシに従ってメッセージの保護を実行する。SEPP2が確実に元のメッセージを検索できるようにするために、SEPP1は、SEPP2がどの部分が保護されたかを知ることを可能にする情報を含むことができる。これは、例えば、転送するメッセージに保護ポリシを含めるSEPP1によって解決されてもよい。繰り返しになるが、「転送」において、SEPPはメッセージを修正したり、別のメッセージ内にカプセル化したりしてもよいことに留意する。
【００７２】
SEPP1からメッセージを受信すると、SEPP2はメッセージの暗号化された部分を復号化し、メッセージの完全性保護のされた部分の整合性を確認する。たとえば、SEPP2 は、SEPP1から受信した保護ポリシを使用できる。
【００７３】
SEPP2はメッセージをNF2に転送する。
【００７４】
これらの例で説明されている保護ポリシは、メッセージのどの要素が暗号化されるべきか、及び、どの要素の完全性が保護されるべきかを記述する。ポリシは、どの要素が保護されるべきか（暗号化され、かつ／または、完全性保護がされるべきか）を明示的に記述してもよいし、どの要素が保護されてはならないか（暗号化されず、かつ／または、完全性保護がされていないか）を明示的に記述してもよい。
【００７５】
保護方針の実現可能性の1つを以下に概説する。保護ポリシは、NFによって送受信されるすべてのメッセージに対して定義されてよい。メッセージは、HTTPリクエストまたはHTTPレスポンスのいずれかであってよい。
【００７６】
いくつかの実施形態における保護ポリシは、1つ以上の保護ルールを含む。各保護ルールは、（1） ルールが適用可能なメッセージタイプ（例えばHTTPリクエスト、HTTPレスポンス、またはその両方など）と、（2）ルールが適用可能なメッセージエンティティ（Request-URI、HTTP疑似ヘッダ、HTTPヘッダ、HTTPボディなど）と、（3）一致および置換処理、から構成される。メッセージエンティティに応じて、処理は、正規表現、JSON構造内の要素へのJSON ポインタ（RFC 6901）、およびその置換、またはその他の表現で表されてよい。
【００７７】
いくつかの実施形態では、保護ルールは、保護される必要のあるすべてのメッセージのすべての項目について、保護ポリシ内に存在しなければならない。
【００７８】
2つのNF間の通信では、いくつかの実施形態において、単一の保護ポリシが使用されてもよい。この保護ポリシは、サービスを提供するNF（すなわち、呼び出されたNF）によって定義される可能性がある。保護ポリシは、NFによって送受信されるメッセージに適用可能であってよい。NFの保護ポリシは、サービスを提供するNFのPLMNにあるNRFに格納されてもよい。
【００７９】
保護ポリシを、複数のPLMNとのNF通信に使用することができるが、NFは相互作用するPLMNごとに個別に保護ポリシを定義してもよい。
【００８０】
特定のPLMN内のNFの保護ポリシは、サービスを提供するNFが相互作用するすべてのNF サービス消費者に共通であってもよい。
【００８１】
SEPPは、NFに送信されるメッセージを暗号化する場合、そのNFのための保護ポリシの保護ルールを反復処理するものとする。すべてのポリシルールについて、ルールのメッセージタイプがメッセージのメッセージタイプと一致する場合、ルールによって決定されたメッセージエンティティに対して対応する一致と置換処理を適用するものとする。
【００８２】
SEPPは、他のSEPPから受信したメッセージを復号する際に、受信側NFの保護ポリシの保護ルールを反復処理する。すべてのポリシルールについて、ルールのメッセージタイプがメッセージのメッセージタイプと一致する場合、ルールによって決定されたメッセージエンティティに対して逆一致および置換処理を適用するものとする。
【００８３】
暗号化および復号化処理は、保護ポリシのすべての保護ルールが評価されると終了する。
【００８４】
適用可能なバリエーションに応じて、適用可能な保護ポリシは、SEPPに（NFまたは他のPLMNのSEPPによって）提供されるか、またはNRF内でSEPPによってルックアップされる。
【００８５】
いくつかの実施形態では、保護ポリシは、NFおよびNRFにローカルにプロビジョニングされてもよい。後者の場合、NFごとに保護ポリシがNRFに登録されてもよい。これは、NRFへの登録プロセスの一部として、またはオペレーションとメンテナンス（O＆M）プロビジョニングなどの別のメカニズムによって行われる。いずれの場合も、新しいNFや既存のNFの保護ポリシの変更がデプロイされた場合にSEPPがアップグレードを必要としないようにすることが目標である。
【００８６】
バリエーション2の具体例を図8に示す。この例では、訪問したPLMN のネットワーク機能（例えば、アクセスおよびモビリティ機能(AMF)）が、特定のユーザの加入者データを取得するために、ホームPLMNのネットワーク機能（例えば、統合データ管理(UDM)機能）にHTTP要求を送信する必要がある。加入者データは、5Gコアネットワークの特定の「スライス」を選択するために必要なデータなど、加入者プロファイルのごく一部であってよい。
【００８７】
UDM (ホームPLMNにある）のURIを調べるために、AMFはディスカバリ要求メッセージを発行してローカルNRFに問い合わせる。ディスカバリ要求メッセージには、必要なネットワーク機能タイプ（この場合はUDM）、または特定のサービス（この場合は「nudm−sdm」）などの検索条件が含まれる。vPLMNのNRFは、ディスカバリ要求をhPLMNのNRFに転送し、その結果、hPLMNの利用可能なUDMネットワーク機能（URIエンドポイント） のリストがvAMFに返される。
【００８８】
使用可能なUDMインスタンスから返されるプロファイルの一部として、プロファイル情報には、各サービスで使用可能な異なるURIを示すパラメータが含まれる。また、プロファイル情報は、これらのURIのどこが保護されるべき機密情報であるかについての情報を含む保護ポリシ80を含む。例である、
GET http://www.homeoperator.com/nudm-sdm/v1/{SUPI}/nssaiについて考える。
【００８９】
この場合、AMF は、ホームネットワークのUDMに保存されている特定のユーザのNetwork Slice Selection Assistance Information (NSSAI) を取得する必要があるときに、このURI を使用し得る。上記の構文では、構成要素｛SUPI｝は、例えば、以下のように実ユーザの識別によって代替される変数を表す。
GET http://www.homeoperator.com/nudm-sdm/v1/imsi-214050123456789/nssai
【００９０】
HTTP要求は、訪問ネットワーク（vSEPP）においてAMFからSEPPにルーティングされ、AMFは機密情報を含むために保護が必要なURIの部分についてNRFから受け取った情報を含む特定のHTTPヘッダの保護ポリシ80を含む。
【００９１】
vSEPPはHTTPメッセージを受信する。vSEPPは、この情報が送信される必要があるhPLMN (hSEPP) のSEPPを決定し、関連するローミングアグリーメントを確認して、SEPP 間のメッセージを保護するために使用される適切な暗号化キーを見つける。vSEPPは、AMFによって送信された特定のHTTPヘッダも抽出し、それに応じてURI を処理する。このため、見つかったキーを使用して機密情報であるURI部分を暗号化することができる。HTTPヘッダは、例えば、以下のような正規表現（上記のURL例から）を示してよい。「^/udm-sdm/v1/ ([^/?#]+)/nssai$」。これにより、完全な一致を見つけることを可能し、ここで、第１の内部グループ「([^/?#]+)」 は、{supi}の値が見つかることが期待される文字の集合である。
【００９２】
hSEPPはHTTPメッセージを受信し、逆の操作を行う。メッセージを送信するPLMNを決定し、適用可能なローミングアグリーメントを確認して、適切な暗号化キーを決定する。次に、特定のHTTP ヘッダを確認し、保護の対象となる（暗号化された) URIの部分を決定し、それらを復号化して、暗号化されていないバージョンに置き換える。hSEPP はまた、URIの暗号化された部分を示すHTPPヘッダを削除する。
【００９３】
次に、hSEPPはHTTPメッセージをHPLMNのUDMインスタンスに転送する。このメッセージは、vAMFによって発信されたメッセージと同一であるため、特定のURI構成要素のSEPPS間で行われる暗号化／復号化は、vAMF → hUDM通信に対して透過的である。
【００９４】
実施形態は、異なるPLMNにおけるコアネットワークの形態をとるコアネットワークドメイン間でメッセージ60を送信する文脈で例示されているが、本明細書の実施形態は、任意のタイプのコアネットワークドメインに拡張可能である。実際、いくつかの実施形態では、コアネットワークドメインは、同じコアネットワーク内の異なるドメインである。
【００９５】
本明細書の更に別の実施形態は、IEEE 802．xx、符号分割多元接続（CDMA）、ワイドバンドCDMA(WCDMA)、GSM、ロングタームエボリューション(LTE)、WiMax、新無線(NR)等のような、当技術分野で公知の又は開発されている1つ以上の通信プロトコルのいずれかを使用してよい。したがって、ここでは5Gの文脈で説明することもあるが、ここで説明する原理と概念は4Gシステムなどに適用可能である。
【００９６】
ここで使用される無線デバイスは、無線信号を介して無線で他の無線ノードと通信することが可能な任意のタイプの装置である。したがって、無線デバイスは、ユーザ機器（UE）、移動局、ラップトップ、スマートフォン、マシンツーマシン（M2M）装置、マシンタイプ通信（MTC）デバイス、ナローバンドインターネットオブシングス（IoT）デバイスなどを参照することができる。すなわち、無線デバイスは、UEと呼ばれてもよいが、デバイスを所有および／または操作する個人の意味における「ユーザ」を必ずしも有しないことに留意すべきである。無線デバイスは、無線通信デバイス(wireless communication device)、無線デバイス、無線通信デバイス(radio communication device)、無線端末、または単に端末と呼ばれることもある。ただし、これらの用語の使用は、他の意味を持たない限り、デバイス対デバイスのUEまたはデバイス、マシン型通信が可能なデバイス、マシン対マシン通信が可能なデバイス、無線デバイスに備わるセンサ、無線対応テーブルコンピュータ、携帯端末、スマートフォン、ラップトップに組み込まれた機器（LEE）、ラップトップ取り付けられた装置（LME）、USBドングル、無線顧客構内装置（CPE）などを含むことが意図されている。ここでの説明では、マシン対マシン（M2M）デバイス、マシン型通信（MTC）デバイス、無線センサ、およびセンサという用語を使用することもできる。これらのデバイスはUEであってもよいが、一般に、直接的な人間の対話なしにデータを送信および／または受信するように構成されてもよいことが理解されるべきである。
【００９７】
IOTシナリオでは、本明細書に記載する無線デバイスは、監視または測定を実行し、そのような監視測定の結果を別のデバイスまたはネットワークに送信するマシンまたはデバイスであってもよく、またはそれらに含まれていてもよい。このようなマシンの特定の例は、パワーメータ、産業用機械、または家庭用または個人用アプライアンス、例えば、冷蔵庫、テレビ、時計等の個人用ウェアラブルである。他のシナリオでは、本明細書に記載する無線通信デバイスは、車両に含まれてもよく、車両の動作状態または車両に関連付けられた他の機能の監視および／または報告を実行してもよい。
【００９８】
本明細書で使用される「ネットワーク機器」とは、無線デバイスと直接的または間接的に通信し、および／または無線デバイスへの無線アクセスを可能におよび／または提供する無線通信ネットワーク内の他の機器と、通信可能に、通信するように構成され、通信するように配置され、および／または動作可能な機器を指す。ネットワーク機器の例としては、コアネットワーク内のコアネットワーク機器（例えば、AMFまたはSMFを実装する機器）が挙げられるが、これらに限定されない。
【００９９】
上述のネットワーク機器は、任意の機能的手段またはユニットを実施することによって、本明細書の処理のいずれかを実行してもよいことに留意されたい。一実施形態では、例えば、ネットワーク機器は、図5に示されたステップを実行するように構成された、それぞれの回路または回路要素を備える。この点に関し、回路または回路要素は、特定の機能処理を実行するために専用の回路および／またはメモリと併せて1つ以上のマイクロプロセッサを備えることができる。読み出し専用ランダムアクセスメモリメモリ、キャッシュメモリ、フラッシュメモリデバイス、光記憶デバイスなどの1つまたはいくつかのタイプのメモリを含むことができるメモリを使用する実施形態では、メモリは、1つ以上のプロセッサによって実行されると、本明細書に記載する技術を実行するプログラムコードを記憶する。
【０１００】
図9Aは、1つ以上の実施形態によるネットワーク機器300を示す。示されるように、ネットワーク機器300は、処理回路310および通信回路320を含む。通信回路320は、例えば任意の通信技術を介して、1つ以上の他のノードとの間で情報を送受信するように構成される。処理回路310は、メモリ330に記憶された命令を実行するなどして、例えば図5に記載された上記の処理を実行するように構成される。この点で、処理回路310は、特定の機能手段、ユニット、またはモジュールを実装することができる。
【０１０１】
図9Bは、1つ以上の他の実施形態によるネットワーク機器400を示す。図示されるように、ネットワーク機器400は、図9Aの処理回路410および／またはソフトウェアコードを介して、例えば、様々な機能的な手段、ユニットまたはモジュールを実施する。これらの機能的な手段、ユニットまたはモジュールは、例えば、図5の方法を実施するために、例えば、異なるコアネットワークドメイン間で送信された、または送信されるメッセージ60を受信するため、及び、メッセージ60のどの1つ以上の部分（例えば、メッセージ60内のフィールド62のコンテンツの1つ以上の部分）にドメイン間セキュリティ保護70が適用または解除されるかを示す情報を含む保護ポリシ80を受信するための受信ユニットまたはモジュール410を含む。また、保護ポリシ80に従って1つ以上の部分にドメイン間セキュリティ保護を適用する、またはドメイン間セキュリティ保護を解除するための保護ユニットまたはモジュール420も含まれてもよい。いくつかの実施形態にさらに含まれるのは、ドメイン間セキュリティ保護が1つ以上の部分に適用されまたは解除されたメッセージ60を、メッセージ60の宛先に向かって転送するための転送ユニットまたはモジュール430であってもよい。
【０１０２】
また、上述の他のネットワーク機器は、任意の機能的な手段またはユニットを実装することによって、本明細書の処理のいずれかを実行してもよいことに留意されたい。一実施形態では、例えば、ネットワーク機器は、図6に示されたステップを実行するように構成されたそれぞれの回路または回路要素を備える。この点に関し、回路または回路要素は、特定の機能処理を実行するために専用の回路および／またはメモリと併せて1つ以上のマイクロプロセッサを備えることができる。読み出し専用メモリ(ROM)、ランダムアクセスメモリメモリ、キャッシュメモリ、フラッシュメモリデバイス、光記憶デバイスなどの1つまたはいくつかのタイプのメモリを含み得るメモリを使用する実施形態では、メモリは、1つ以上のプロセッサによって実行されると、本明細書に記載する技術を実行するプログラムコードを格納する。
【０１０３】
図10Aは、1つ以上の実施形態によるネットワーク機器500を示す。図示されるように、ネットワーク機器500は、処理回路510および通信回路520を含む。通信回路520は、例えば任意の通信技術を介して、1つ以上の他のノードとの間で情報を送受信するように構成される。処理回路510は、メモリ530に記憶された命令を実行することなどによって、例えば図6で上述した処理を実行するように構成される。この点で、処理回路510は、特定の機能的な手段、ユニット、またはモジュールを実装することができる。
【０１０４】
図10Bは、1つ以上の他の実施形態によるネットワーク機器600を示す。図示されるように、ネットワーク機器600は、図10Aの処理回路610および／またはソフトウェアコードを介して、例えば、様々な機能的な手段、ユニットまたはモジュールを実施する。これらの機能的な手段、ユニット、またはモジュール、例えば図6の方法を実装するためのモジュールは、例えば、メッセージ60のどの1つ以上の部分（例えば、メッセージ60のフィールド62のコンテンツの1つ以上の部分）に対してドメイン間セキュリティ保護70が適用または解除されるかを示す情報を含む保護ポリシ80を取得するための取得ユニットまたはモジュール410を含む。さらに、保護ポリシ80を送信するための送信ユニットまたはモジュール420を含んでよい。
【０１０５】
当業者はまた、本明細書の実施形態は、対応するコンピュータプログラムをさらに含むことを理解するであろう。
【０１０６】
コンピュータプログラムは、ネットワーク機器の少なくとも1つのプロセッサ上で実行されると、ネットワーク機器に上記のそれぞれの処理のいずれかを実行させる命令を含む。この点で、コンピュータプログラムは、上述の手段またはユニットに対応する1つ以上のコードモジュールを含むことができる。
【０１０７】
実施形態は、そのようなコンピュータプログラムを含むキャリア(carrier)をさらに含む。このキャリアは、電気信号、光信号、無線信号、またはコンピュータ可読記録媒体のうちの1つを含んでよい。
【０１０８】
この点に関して、本明細書の実施形態は、ネットワーク機器のプロセッサによって実行されると、ネットワーク機器が上述のように実行する命令をその上に記憶した、一時的でないコンピュータ可読（記憶または記録）媒体も含む。
【０１０９】
上記を考慮して、いくつかの実施形態を例として以下に列挙する。
【０１１０】
実施形態1．無線通信システムの複数の異なるコアネットワークドメインの1つのプロキシとして構成されるネットワーク機器によって実行される方法であって、前記方法は、前記異なるコアネットワークドメイン間で送信された、または送信されるメッセージを受信することと、ドメイン間セキュリティ保護が適用されまたは解除される、前記メッセージのフィールドのコンテンツの1つ以上の部分を示す情報を含む保護ポリシを受信することと、前記保護ポリシに従って、前記1つ以上の部分にドメイン間セキュリティ保護を適用する、または前記1つ以上の部分からドメイン間セキュリティ保護を解除することと、前記1つ以上の部分にドメイン間セキュリティ保護が適用または解除された前記メッセージを、前記メッセージの宛先に向けて転送することと、を含む方法。
【０１１１】
実施形態2．実施形態1に記載の方法であって、前記情報は、前記1つ以上の部分を示す1つ以上の正規表現を含む、方法。
【０１１２】
実施形態3．実施形態1に記載の方法であって、前記情報は、前記1つ以上の部分を示す1つ以上のJavaScript Object Notation(JSON)ポインタを含む、方法。
【０１１３】
実施形態4．実施形態1に記載の方法であって、前記情報は、前記1つ以上の部分を示す、前記フィールド内のバイトの1つ以上の範囲、および／または前記フィールド内のビットの1つ以上の範囲を含む、方法。
【０１１４】
実施形態5．実施形態1に記載の方法であって、前記情報は、前記1つ以上の部分を示す、1つ以上の検索パターン、1つ以上のトークン、および／または1つ以上の部分文字列を含む、方法。
【０１１５】
実施形態6．実施形態1-5のいずれかに記載の方法であって、前記保護ポリシに含まれる前記情報を用いて前記コンテンツを構文解析することによって、前記ドメイン間セキュリティ保護を適用または解除するための、前記フィールドの前記コンテンツの前記1つ以上の部分を抽出することをさらに含む、方法。
【０１１６】
実施形態7．実施形態1-6のいずれかに記載の方法であって、前記保護ポリシは、更に、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプを示す、方法。
【０１１７】
実施形態8．実施形態1-7のいずれかに記載の方法であって、前記1つ以上の部分のそれぞれに対して適用されまたは解除される前記ドメイン間セキュリティ保護は、機密性保護および／または完全性保護を含む、方法。
【０１１８】
実施形態9．実施形態1-8のいずれかに記載の方法であって、前記メッセージはハイパーテキスト転送プロトコル（HTTP）メッセージであり、前記フィールドはHTTPフィールドである、方法。
【０１１９】
実施形態10．実施形態9に記載の方法であって、前記HTTPメッセージはHTTP要求メッセージであり、前記フィールドはパスフィールドであり、前記パスフィールドの前記コンテンツは要求ユニフォーム・リソース・アイデンティファイア(URI)である、方法。
【０１２０】
実施形態11．実施形態9に記載の方法であって、フィールドはHTTPヘッダまたはHTTP疑似ヘッダのフィールドである、方法。
【０１２１】
実施形態12．実施形態9に記載の方法であって、前記フィールドは、前記HTTPメッセージの本文または前記本文の一部である、方法。
【０１２２】
実施形態13．実施形態1−12のいずれかに記載の方法であって、更に、前記メッセージを保護するための前記保護ポリシのディスカバリを要求するディスカバリ要求をディスカバリサービスに送信することと、前記ディスカバリ要求に応じて前記保護ポリシを受信することとを含む、方法。
【０１２３】
実施形態14．実施形態13に記載の方法であって、前記メッセージの受信に応じて前記ディスカバリ要求を送信することを含む、方法。
【０１２４】
実施形態15．実施形態13-14のいずれかに記載の方法であって、前記ディスカバリサービスは、ネットワークリポジトリ機能(NRF)によって実施される、方法。
【０１２５】
実施形態16．実施形態1-12のいずれかに記載の方法であって、前記メッセージが前記メッセージの送信元から前記メッセージの前記宛先まで辿るパスにおけるネットワーク機器から前記保護ポリシを受信することを含む、方法。
【０１２６】
実施形態17．実施形態1-12および16のいずれかに記載の方法であって、前記メッセージの送信元または前記メッセージの前記宛先のいずれかから前記保護ポリシを受信することを含む、方法。
【０１２７】
実施形態18．実施形態1-12および16のいずれかの方法であって、前記メッセージを他のネットワーク機器から受信する場合の前記他のネットワーク機器から前記保護ポリシを受信することを含み、前記他のネットワーク機器は、異なるコアネットワークドメイン間のプロキシとしても構成される、方法。
【０１２８】
実施形態19．実施形態1-12および16-18のいずれかに記載の方法であって、前記保護ポリシは前記メッセージに含まれる、方法。
【０１２９】
実施形態20．実施形態1-12および16-19のいずれかに記載の方法であって、前記保護ポリシは、前記メッセージのヘッダに含まれる、方法。
【０１３０】
実施形態21．実施形態1−20のいずれかに記載の方法であって、前記メッセージはアプリケーション層メッセージであり、前記フィールドはアプリケーション層フィールドであり、前記フィールドの前記コンテンツはアプリケーション層情報を含み、前記ドメイン間セキュリティ保護はアプリケーション層保護を含む、方法。
【０１３１】
実施形態22．実施形態1-21のいずれかに記載の方法は、前記ネットワーク機器は、セキュリティエッジ保護プロキシ(SEPP)として構成される、方法。
【０１３２】
実施形態23．実施形態1-22のいずれかに記載の方法であって、前記コアネットワークドメインは、異なる公衆陸上移動体ネットワーク(PLMN)のコアネットワークを含む、方法。
【０１３３】
実施形態24．無線通信システムの異なるコアネットワークドメイン間で送信されるメッセージの保護を容易にするためにネットワーク機器によって実行される方法であって、前記方法は、メッセージにおけるフィールドのコンテンツのどの1つ以上の部分にドメイン間セキュリティ保護が適用または解除されるかを示す情報を含む保護ポリシを取得することと、前記保護ポリシを送信することと、を含む方法。
【０１３４】
実施形態25．実施形態24に記載の方法であって、前記情報は、前記1つ以上の部分を示す1つ以上の正規表現を含む、方法。
【０１３５】
実施形態26．実施形態24に記載の方法であって、前記情報は、前記1つ以上の部分を示す1つ以上のJavaScript Object Notation(JSON)ポインタを含む、方法。
【０１３６】
実施形態27．実施形態24に記載の方法であって、前記情報は、前記1つ以上の部分を示す、前記フィールド内のバイトの1つ以上の範囲、および／または前記フィールド内のビットの1つ以上の範囲を含む、方法。
【０１３７】
実施形態28．実施形態24に記載の方法であって、前記情報は、前記1つ以上の部分を示す、1つ以上の検索パターン、1つ以上のトークン、および／または1つ以上の部分文字列を含む、方法。
【０１３８】
実施形態29．実施形態24−28のいずれかに記載の方法であって、前記保護ポリシは、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプをさらに示す、方法。
【０１３９】
実施形態30．実施形態24−29のいずれかに記載の方法であって、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護は、機密性保護および／または完全性保護を含む、方法。
【０１４０】
実施形態31．実施形態24−30のいずれかに記載の方法であって、前記メッセージはハイパーテキスト転送プロトコル(HTTP)メッセージであり、前記フィールドはHTTPフィールドである、方法。
【０１４１】
実施形態32．実施形態31に記載の方法であって、前記HTTPメッセージはHTTP要求メッセージであり、前記フィールドはパスフィールドであり、前記パスフィールドの前記コンテンツは要求ユニフォーム・リソース・アイデンティファイア(URI)である、方法。
【０１４２】
実施形態33．実施形態31に記載の方法であって、前記フィールドはHTTPヘッダまたはHTTP疑似ヘッダのフィールドである、方法。
【０１４３】
実施形態34．実施形態31に記載の方法であって、前記フィールドは、前記HTTPメッセージのボディ部である、方法。
【０１４４】
実施形態35．実施形態24−34のいずれかに記載の方法であって、前記保護ポリシを送信することは、前記保護ポリシに従って、前記異なるコアネットワークドメインのプロキシとして、ドメイン間セキュリティ保護を前記1つ以上の部分に適用するか、またはドメイン間セキュリティ保護を解除するように構成されたネットワーク機器に、前記保護ポリシを送信することを含む、方法。
【０１４５】
実施形態36．実施形態24−35のいずれかに記載の方法であって、更に、前記メッセージを保護するための前記保護ポリシのディスカバリを要求するディスカバリ要求を受信することと、前記ディスカバリ要求に応じて前記保護ポリシを送信することとを含む、方法。
【０１４６】
実施形態37．実施形態36に記載の方法であって、前記方法は、ネットワークリポジトリ機能(NRF)を実施するネットワーク機器によって実行される、方法。
【０１４７】
実施形態38．実施形態24−35のいずれかに記載の方法であって、前記方法は、前記メッセージの送信元から前記メッセージの前記宛先まで前記メッセージが辿るパスにおけるネットワーク機器によって実行される、方法。
【０１４８】
実施形態39．実施形態24-35および38のいずれかに記載の方法であって、前記方法は、前記メッセージの送信元または前記メッセージの宛先であるネットワーク機器によって実行される、方法。
【０１４９】
実施形態40．実施形態24-35および38のいずれかに記載の方法であって、前記方法は、前記異なるコアネットワークドメイン間のプロキシとして構成されるネットワーク機器によって実行される、方法。
【０１５０】
実施形態41．実施形態24−35および38−40のいずれかに記載の方法であって、前記保護ポリシを送信することは、前記メッセージに含まれる前記保護ポリシを有する前記メッセージを送信することを含む、方法。
【０１５１】
実施形態42．実施形態24−41のいずれかに記載の方法であって、前記メッセージはアプリケーション層メッセージであり、前記フィールドはアプリケーション層フィールドであり、前記フィールドのコンテンツはアプリケーション層情報を含み、前記ドメイン間セキュリティ保護はアプリケーション層保護を含む、方法。
【０１５２】
実施形態43．実施形態24-42のいずれかに記載の方法であって、前記コアネットワークドメインは、異なる公衆陸上移動体ネットワーク(PLMN)のコアネットワークを含む、方法。
【０１５３】
実施形態44．無線通信システムの複数の異なるコアネットワークドメインの1つのプロキシとして構成されるネットワーク機器。前記ネットワーク機器は、前記異なるコアネットワークドメイン間で送信された、または送信されるメッセージを受信し、前記メッセージのフィールドのコンテンツのどの1つ以上の部分に、ドメイン間セキュリティ保護が適用または解除されるかを示す情報を含む保護ポリシを受信し、前記保護ポリシに従って、前記1つ以上の部分にドメイン間セキュリティ保護を適用し、または前記1つ以上の部分からドメイン間セキュリティ保護を解除し、前記メッセージの宛先に向けて、前記1つ以上の部分にドメイン間セキュリティ保護を適用または解除したメッセージを転送するように構成される。
【０１５４】
実施形態45．実施形態44に記載のネットワーク機器であって、前記情報は、前記1つ以上の部分を示す1つ以上の正規表現を含む、ネットワーク機器。
【０１５５】
実施形態46．実施形態44に記載のネットワーク機器であって、前記情報は、前記1つ以上の部分を示す1つ以上のJavaScript Object Notation(JSON)ポインタを含む、ネットワーク機器。
【０１５６】
実施形態47．実施形態44に記載のネットワーク機器であって、前記情報は、前記1つ以上の部分を示す、前記フィールド内のバイトの1つ以上の範囲、および／または前記フィールド内のビットの1つ以上の範囲を含む、ネットワーク機器。
【０１５７】
実施形態48．実施形態44に記載のネットワーク機器であって、前記情報は、前記1つ以上の部分を示す、1つ以上の検索パターン、1つ以上のトークン、および／または1つ以上の部分文字列を含む、ネットワーク機器。
【０１５８】
実施形態49．実施形態44−48のいずれかに記載のネットワーク機器であって、更に、前記保護ポリシに含まれる情報を使用して前記コンテンツを解析することによって、ドメイン間セキュリティ保護を適用または解除するために、前記フィールドの前記コンテンツの前記1つ以上の部分を抽出することを含む、ネットワーク機器。
【０１５９】
実施形態50．実施形態44−49のいずれかに記載のネットワーク機器であって、前記保護ポリシは、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプをさらに示す、ネットワーク機器。
【０１６０】
実施形態51．実施形態44−50のいずれかに記載のネットワーク機器であって、前記1つ以上の部分の各々に対して適用または解除されるドメイン間セキュリティ保護は、機密性保護および／または完全性保護を含む、ネットワーク機器。
【０１６１】
実施形態52．実施形態44−51のいずれかに記載のネットワーク機器であって、前記メッセージはハイパーテキスト転送プロトコル(HTTP)メッセージであり、前記フィールドはHTTPフィールドである、ネットワーク機器。
【０１６２】
実施形態53．実施形態52に記載のネットワーク機器であって、前記HTTPメッセージはHTTP要求メッセージであり、前記フィールドはパスフィールドであり、前記パスフィールドの前記コンテンツは要求ユニフォーム・リソース・アイデンティファイア(URI)である、ネットワーク機器。
【０１６３】
実施形態54．実施形態52に記載のネットワーク機器であって、前記フィールドは、HTTPヘッダまたはHTTP疑似ヘッダのフィールドである、ネットワーク機器。
【０１６４】
実施形態55．実施形態52に記載のネットワーク機器であって、前記フィールドは、前記HTTPメッセージの本文または前記本文の一部である、ネットワーク機器。
【０１６５】
実施形態56．実施形態44−55のいずれかに記載のネットワーク機器であって、更に、前記メッセージを保護するための前記保護ポリシのディスカバリを要求するディスカバリ要求をディスカバリサービスに送信することと、前記ディスカバリ要求に応じて前記保護ポリシを受信することとを含む、ネットワーク機器。
【０１６６】
実施形態57．実施形態56に記載のネットワーク機器であって、前記メッセージの受信に応じて前記ディスカバリ要求を送信することを含む、ネットワーク機器。
【０１６７】
実施形態58．実施形態56-57のいずれかに記載のネットワーク機器であって、前記ディスカバリサービスは、ネットワークリポジトリ機能(NRF)によって実施される、ネットワーク機器。
【０１６８】
実施形態59．実施形態44−55のいずれかに記載のネットワーク機器であって、前記メッセージが前記メッセージの送信元から前記メッセージの前記宛先まで辿るパスにおけるネットワーク機器から前記保護ポリシを受信することを含む、ネットワーク機器。
【０１６９】
実施形態60．実施形態44−55および59のいずれかに記載のネットワーク機器であって、前記メッセージの送信元または前記メッセージの前記宛先のいずれかから前記保護ポリシを受信することを含む、ネットワーク機器。
【０１７０】
実施形態61．実施形態44−55および59のいずれかに記載のネットワーク機器であって、前記メッセージを他のネットワーク機器から受信する場合の前記他のネットワーク機器から前記保護ポリシを受信することを含み、前記他のネットワーク機器は、異なるコアネットワークドメイン間のプロキシとしても構成される、ネットワーク機器。
【０１７１】
実施形態62．実施形態44−55および59−61のいずれかに記載のネットワーク機器であって、前記保護ポリシがメッセージに含まれる、ネットワーク機器。
【０１７２】
実施形態63．実施形態44−55および59−62のいずれかに記載のネットワーク機器であって、前記保護ポリシが前記メッセージのヘッダに含まれる、ネットワーク機器。
【０１７３】
実施形態64．実施形態44-63のいずれかに記載のネットワーク機器であって、前記メッセージはアプリケーション層メッセージであり、前記フィールドはアプリケーション層フィールドであり、前記フィールドのコンテンツはアプリケーション層情報を含み、前記ドメイン間セキュリティ保護はアプリケーション層保護を含む、ネットワーク機器。
【０１７４】
実施形態65．実施形態44-64のいずれかに記載のネットワーク機器であって、前記ネットワーク機器は、セキュリティエッジ保護プロキシ(SEPP)として構成される、ネットワーク機器。
【０１７５】
実施形態66．実施形態44-65のいずれかに記載のネットワーク機器であって、前記コアネットワークドメインは、異なる公衆陸上移動体ネットワーク(PLMN)のコアネットワークを含む、ネットワーク機器。
【０１７６】
実施形態67．無線通信システムの異なるコアネットワークドメイン間で送信されるメッセージの保護を容易にするためのネットワーク機器。前記ネットワーク機器は、前記メッセージにおけるフィールドのコンテンツのどの1つ以上の部分にドメイン間セキュリティ保護が適用又は解除されるかを示す情報を含む保護ポリシを取得し、前記保護ポリシを送信するように構成される。
【０１７７】
実施形態68．実施形態67に記載のネットワーク機器であって、前記情報は、前記1つ以上の部分を示す1つ以上の正規表現を含む、ネットワーク機器。
【０１７８】
実施形態69．実施形態67に記載のネットワーク機器であって、前記情報は、前記1つ以上の部分を示す1つ以上のJavaScript Object Notation(JSON)ポインタを含む、ネットワーク機器。
【０１７９】
実施形態70．実施形態67に記載のネットワーク機器であって、前記情報は、前記1つ以上の部分を示す、前記フィールド内のバイトの1つ以上の範囲、および／または前記フィールド内のビットの1つ以上の範囲を含む、ネットワーク機器。
【０１８０】
実施形態71．実施形態67に記載のネットワーク機器であって、前記情報は、前記1つ以上の部分を示す、1つ以上の検索パターン、1つ以上のトークン、および／または1つ以上の部分文字列を含む、ネットワーク機器。
【０１８１】
実施形態72．実施形態67-71のいずれかに記載のネットワーク機器であって、前記保護ポリシは、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプをさらに示す、ネットワーク機器。
【０１８２】
実施形態73．実施形態67-72のいずれかのネットワーク機器であって、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護は、機密性保護および／または完全性保護を含む、ネットワーク機器。
【０１８３】
実施形態74．実施形態67−75のいずれかに記載のネットワーク機器であって、前記メッセージはハイパーテキスト転送プロトコル(HTTP)メッセージであり、前記フィールドはHTTPフィールドである、ネットワーク機器。
【０１８４】
実施形態75．実施形態74に記載のネットワーク機器であって、前記HTTPメッセージはHTTP要求メッセージであり、前記フィールドはパスフィールドであり、前記パスフィールドの前記コンテンツは要求ユニフォーム・リソース・アイデンティファイア(URI)である、ネットワーク機器。
【０１８５】
実施形態76．実施形態74記載のネットワーク機器であって、前記フィールドはHTTPヘッダまたはHTTP疑似ヘッダのフィールドである、ネットワーク機器。
【０１８６】
実施形態77．実施形態74に記載のネットワーク機器であって、前記フィールドは、前記HTTPメッセージのボディ部である、ネットワーク機器。
【０１８７】
実施形態78．実施形態67−77のいずれかに記載のネットワーク機器であって、前記保護ポリシを送信することは、前記保護ポリシに従って、前記異なるコアネットワークドメインのプロキシとして、ドメイン間セキュリティ保護を前記1つ以上の部分に適用するか、またはドメイン間セキュリティ保護を解除するように構成されたネットワーク機器に、前記保護ポリシを送信することを含む、ネットワーク機器。
【０１８８】
実施形態79．実施形態67−78のいずれかに記載のネットワーク機器であって、更に、前記メッセージを保護するための前記保護ポリシのディスカバリを要求するディスカバリ要求を受信することと、前記ディスカバリ要求に応じて前記保護ポリシを送信することとを含む、ネットワーク機器。
【０１８９】
実施形態80．実施形態79に記載のネットワーク機器であって、前記方法は、ネットワークリポジトリ機能(NRF)を実施するネットワーク機器によって実行される、ネットワーク機器。
【０１９０】
実施形態81．実施形態67−78のいずれかに記載のネットワーク機器であって、前記方法は、前記メッセージの送信元から前記メッセージの前記宛先まで前記メッセージが辿るパスにおけるネットワーク機器によって実行される、ネットワーク機器。
【０１９１】
実施形態82．実施形態67−78および81のいずれかに記載のネットワーク機器であって、前記方法は、前記メッセージの送信元または前記メッセージの宛先であるネットワーク機器によって実行される、ネットワーク機器。
【０１９２】
実施形態83．実施形態67−78および81のいずれかに記載のネットワーク機器であって、前記方法は、前記異なるコアネットワークドメイン間のプロキシとして構成されるネットワーク機器によって実行される、ネットワーク機器。
【０１９３】
実施形態84．実施形態67−78および81−83のいずれかに記載のネットワーク機器であって、前記保護ポリシを送信することは、前記メッセージに含まれる前記保護ポリシを有する前記メッセージを送信することを含む、ネットワーク機器。
【０１９４】
実施形態85．実施形態67−84のいずれかに記載のネットワーク機器であって、前記メッセージはアプリケーション層メッセージであり、前記フィールドはアプリケーション層フィールドであり、前記フィールドのコンテンツはアプリケーション層情報を含み、前記ドメイン間セキュリティ保護はアプリケーション層保護を含む、ネットワーク機器。
【０１９５】
実施形態86．実施形態67-85のいずれかに記載のネットワーク機器であって、前記コアネットワークドメインは、異なる公衆陸上移動体ネットワーク(PLMN)のコアネットワークを含む、ネットワーク機器。
【０１９６】
実施形態87．無線通信システムの複数の異なるコアネットワークドメインの1つのためのプロキシとして構成されるネットワーク機器。前記ネットワーク機器は、通信回路と、処理回路とを含み、前記ネットワーク機器は、前記異なるコアネットワークドメイン間で送信された、または送信されるメッセージを受信し、前記メッセージのフィールドのコンテンツのどの1つ以上の部分に、ドメイン間セキュリティ保護が適用または解除されるかを示す情報を含む保護ポリシを受信し、前記保護ポリシに従って、前記1つ以上の部分にドメイン間セキュリティ保護を適用し、または前記1つ以上の部分からドメイン間セキュリティ保護を解除し、前記メッセージの宛先に向けて、前記1つ以上の部分にドメイン間セキュリティ保護を適用または解除したメッセージを転送するように構成される。
【０１９７】
実施形態88．実施形態2-23のいずれかの方法を実行するように構成された、実施形態87のネットワーク機器。
【０１９８】
実施形態89．無線通信システムの異なるコアネットワークドメイン間で送信されるメッセージの保護を容易にするためのネットワーク機器。ネットワーク機器は、通信回路と処理回路とを含み、前記ネットワーク機器は、前記メッセージにおけるフィールドのコンテンツのどの1つ以上の部分にドメイン間セキュリティ保護が適用されまたは解除されるかを示す情報を含む保護ポリシを取得し、前記保護ポリシを送信するように構成される。
【０１９９】
実施形態90．実施形態89に記載のネットワーク機器であって、実施形態25-43のいずれかの方法を実行するように構成された、ネットワーク機器。
【０２００】
実施形態91．ネットワーク機器の少なくとも1つのプロセッサによって実行されると、実施形態1-343のいずれかの方法をネットワーク機器装置に実行させる命令を含む、コンピュータプログラム。
【０２０１】
実施形態92．実施形態91のコンピュータプログラムを含むキャリアであって、前記キャリアは電気信号、光信号、無線信号、またはコンピュータ可読記録媒体のうちの1つである、キャリア。
【図１】
2021520665.tif 000003
【図２Ａ】
2021520665.tif 000004
【図２Ｂ】
2021520665.tif 000005
【図３】
2021520665.tif 000006
【図４】
2021520665.tif 000007
【図５】
2021520665.tif 000008
【図６】
2021520665.tif 000009
【図７】
2021520665.tif 000010
【図８】
2021520665.tif 000011
【図９Ａ】
2021520665.tif 000012
【図９Ｂ】
2021520665.tif 000013
【図１０Ａ】
2021520665.tif 000014
【図１０Ｂ】
2021520665.tif 000015
【手続補正書】
【提出日】令和2年9月3日(2020.9.3)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
無線通信システム(10)の複数の異なるコアネットワークドメインのうちの1つにおけるネットワーク機器(300、400)によって実行される方法であって、前記方法は、
前記異なるコアネットワークドメインの間で送信された、または送信されるメッセージ(60)を受信(110)することと、
コンテンツのどの1つ以上の部分にドメイン間セキュリティ保護を適用し又は解除するかを示す情報を含む保護ポリシ(80)に従って、前記メッセージ(60)内のフィールドのコンテンツの1つ以上の部分に、ドメイン間セキュリティ保護を適用(130)し、またはドメイン間セキュリティ保護を解除することと、
前記1つ以上の部分にドメイン間セキュリティ保護が適用または解除された前記メッセージ(60)を、前記メッセージ(60)の宛先に向けて転送する(140)ことと、を含む方法。
【請求項２】
請求項1に記載の方法であって、前記メッセージ(60)はハイパーテキスト転送プロトコル(HTTP)メッセージであり、前記フィールドはHTTPフィールドである、方法。
【請求項３】
請求項2に記載の方法であって、前記HTTPメッセージ(60)はHTTP要求メッセージであり、前記フィールドはパスフィールドであり、前記パスフィールドの前記コンテンツは要求ユニフォーム・リソース・アイデンティファイア(URI)である、方法。
【請求項４】
請求項1から3のいずれか1項に記載の方法であって、前記情報は、前記1つ以上の部分を示す1つ以上の正規表現を含む、方法。
【請求項５】
請求項1から4のいずれか1項に記載の方法であって、前記情報は、前記1つ以上の部分を示す1つ以上のJavaScript Object Notation(JSON)ポインタを含む、方法。
【請求項６】
請求項1から5のいずれか1項に記載の方法であって、前記保護ポリシ(80)は、更に、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護のタイプを示し、前記1つ以上の部分のそれぞれに対して適用または解除されるドメイン間セキュリティ保護の前記タイプは、機密性保護および／または完全性保護を含む、方法。
【請求項７】
請求項1から6のいずれか1項に記載の方法であって、前記保護ポリシ(80)は、前記メッセージ(60)に含まれる、方法。
【請求項８】
請求項1から6のいずれか1項に記載の方法であって、更に、前記メッセージ(60)を受信したことに応じて、前記メッセージ(60)を保護するための前記保護ポリシ(80)のディスカバリを要求するディスカバリ要求をネットワークリポジトリ機能(NRF)に送信することと、前記ディスカバリ要求に応じて前記保護ポリシ(80)を受信することとを含む、方法。
【請求項９】
請求項1から7のいずれか1項に記載の方法であって、更に、前記メッセージ(60)が前記メッセージ(60)の送信元から前記メッセージ(60)の前記宛先まで辿るパスにおけるネットワーク機器から前記保護ポリシ(80)を受信することを含む、方法。
【請求項１０】
請求項1から9のいずれか1項に記載の方法であって、前記方法は、セキュリティエッジ保護プロキシ(SEPP)によって実行される、方法。
【請求項１１】
請求項10に記載の方法であって、前記SEPPは訪問されたネットワークにおけるSEPP(vSEPP)とホームネットワークにおけるSEPP(hSEPP)とを含む、方法。
【請求項１２】
無線通信システム(10)の複数の異なるコアネットワークドメインの1つで使用するように構成されたネットワーク機器(300、400)であって、前記ネットワーク機器(300、400)は、
通信回路(320)と、
処理回路(310)であって、
通信回路(320)を介して、前記異なるコアネットワークドメインの間で送信された、または送信されるメッセージ(60)を受信し、 
コンテンツのどの1つ以上の部分にドメイン間セキュリティ保護を適用し又は解除するかを示す情報を含む保護ポリシ(80)に従って、前記メッセージ(60)内のフィールドのコンテンツの1つ以上の部分に、ドメイン間セキュリティ保護を適用(130)し、またはドメイン間セキュリティ保護を解除し、
前記1つ以上の部分にドメイン間セキュリティ保護が適用または解除された前記メッセージ(60)を、前記通信回路(320)を介して前記メッセージ(60)の宛先に向けて転送する(140)、ように構成される前記処理回路とを含む、ネットワーク機器。
【請求項１３】
請求項12に記載のネットワーク機器であって、前記ネットワーク機器は、セキュリティエッジ保護プロキシ(SEPP)である、ネットワーク機器。
【請求項１４】
請求項13に記載のネットワーク機器であって、前記SEPPは訪問されたネットワークにおけるSEPP(vSEPP)とホームネットワークにおけるSEPP(hSEPP)とを含む、ネットワーク機器。
【請求項１５】
請求項12から14のいずれか1項に記載のネットワーク機器であって、前記処理回路(310)は請求項2から9のいずれか1項に記載の方法を実行するように構成される、ネットワーク機器。
【請求項１６】
ネットワーク機器(300、400)の少なくとも1つのプロセッサによって実行されると、前記ネットワーク機器(300, 400)に請求項1から11のいずれか1項の方法を実行させる命令を含む、コンピュータプログラム。
【請求項１７】
請求項16に記載のコンピュータプログラムを含むキャリアであって、前記キャリアは、電気信号、光信号、無線信号、またはコンピュータ可読記録媒体のうちの1つである、キャリア。
【国際調査報告】
2021520665.tif 000016
2021520665.tif 000017
2021520665.tif 000018