(57)【特許請求の範囲】
【請求項１】
通信方法であって、
端末からの第1のデータパケットをセキュリティノードネットワーク要素によって受信するステップ、
前記セキュリティノードネットワーク要素によって、前記第1のデータパケットが第1のセキュリティ接続又は第2のセキュリティ接続を介して送信されているということを決定するステップであって、前記第1のセキュリティ接続は、ユーザプレーンデータを搬送するデータパケットを送信するのに使用され、そして、前記第2のセキュリティ接続は、制御シグナリングを搬送するデータパケットを送信するのに使用される、ステップ、及び、
前記第1のデータパケットが、前記第2のセキュリティ接続を介して送信されている場合に、前記セキュリティノードネットワーク要素によって制御プレーン機能エンティティに、前記第1のデータパケットの中で搬送されている制御シグナリングを送るステップ、又は、
前記第1のデータパケットが、前記第1のセキュリティ接続を介して送信されている場合に、前記セキュリティノードネットワーク要素によってユーザプレーン機能エンティティに、前記第1のデータパケットの中で搬送されているユーザプレーンデータを送るステップ、を含む、
方法。
【請求項２】
当該方法は、
前記制御プレーン機能エンティティからの第2の制御シグナリングを前記セキュリティノードネットワーク要素によって受信するステップ、及び、
前記セキュリティノードネットワーク要素によって前記第2のセキュリティ接続を介して前記端末に、第2のデータパケットを送るステップであって、前記第2のデータパケットは、前記第2の制御シグナリングを搬送する、ステップ、をさらに含む、請求項1に記載の方法。
【請求項３】
前記第2のデータパケットは、さらに、前記第2のセキュリティ接続の識別子を搬送する、請求項2に記載の方法。
【請求項４】
当該方法は、
前記ユーザプレーン機能エンティティからの第2のユーザプレーンデータを前記セキュリティノードネットワーク要素によって受信するステップ、及び、
前記セキュリティノードネットワーク要素によって前記第1のセキュリティ接続を介して前記端末に、第2のデータパケットを送るステップであって、前記第2のデータパケットは、前記第2のユーザプレーンデータを搬送する、ステップ、をさらに含む、請求項1に記載の方法。
【請求項５】
前記第2のデータパケットは、さらに、前記第1のセキュリティ接続の識別子を搬送する、請求項4に記載の方法。
【請求項６】
前記第1のデータパケットは、さらに、前記第2のセキュリティ接続の前記識別子又は前記第1のセキュリティ接続の前記識別子を搬送し、前記第1のデータパケットが、前記第2のセキュリティ接続又は前記第1のセキュリティ接続を介して送信されているということを決定する前記ステップは、
前記第1のデータパケットが、さらに、前記第2のセキュリティ接続の前記識別子を搬送しているという決定に応答して、前記第1のデータパケットが、前記第2のセキュリティ接続を介して送信されているということを、前記セキュリティノードネットワーク要素によって決定するステップ、又は、
前記第1のデータパケットが、さらに、前記第1のセキュリティ接続の前記識別子を搬送しているという決定に応答して、前記第1のデータパケットが、前記第1のセキュリティ接続を介して送信されているということを、前記セキュリティノードネットワーク要素によって決定するステップ、を含む、請求項3及び5のうちのいずれか1項に記載の方法。
【請求項７】
前記第2のセキュリティ接続の前記識別子は、第2のセキュリティパラメータインデックス,SPI,値であり、前記第1のセキュリティ接続の前記識別子は、第1のSPI値である、請求項6に記載の方法。
【請求項８】
前記第1のセキュリティ接続は、第1のインターネットプロトコルセキュリティ(IPsec)トンネルであり、前記第2のセキュリティ接続は、第2のIPsecトンネルである、請求項1乃至7のうちのいずれか1項に記載の方法。
【請求項９】
通信方法であって、
装置によって第1のデータパケットを生成するステップと、
前記第1のデータパケットが第1のユーザプレーンデータを搬送している場合に、前記装置によって第1のセキュリティ接続を介してセキュリティノードネットワーク要素に、前記第1のデータパケットを送るか、又は、前記第1のデータパケットが第1の制御シグナリングを搬送している場合に、前記装置によって第2のセキュリティ接続を介してセキュリティノードネットワーク要素に前記第1のデータパケットを送る、ステップであって、前記第1のセキュリティ接続は、ユーザプレーンデータを搬送するデータパケットを送信するのに使用され、そして、前記第2のセキュリティ接続は、制御シグナリングを搬送するデータパケットを送信するのに使用される、ステップと、
前記第1のセキュリティ接続又は前記第2のセキュリティ接続を介して前記セキュリティノードネットワーク要素からの第2のデータパケットを前記装置によって受信するステップであって、前記第2のデータパケットは、第2の制御シグナリング又は第2のユーザプレーンデータを搬送する、ステップと、
前記装置によって、前記第2のデータパケットが前記第1のセキュリティ接続又は前記第2のセキュリティ接続を介して送信されているということを決定するステップと、を含む、
方法。
【請求項１０】
当該方法は、
前記第2のデータパケットが、前記第2のセキュリティ接続を介して送信されている場合に、前記装置によって、制御プレーンプロトコルスタックを使用することによって、前記第2の制御シグナリングを処理するステップ、又は、
前記第2のデータパケットが、前記第1のセキュリティ接続を介して送信されている場合に、前記装置によって、ユーザプレーンプロトコルスタックを使用することによって、前記第2のユーザプレーンデータを処理するステップ、をさらに含む、請求項9に記載の方法。
【請求項１１】
前記第2のデータパケットは、さらに、前記第2のセキュリティ接続の識別子又は前記第1のセキュリティ接続の識別子を搬送し、前記第2のデータパケットが、前記第2のセキュリティ接続又は前記第1のセキュリティ接続を介して送信されているということを決定する前記ステップは、
前記第2のデータパケットが、さらに、前記第2のセキュリティ接続の前記識別子を搬送しているという決定に応答して、前記第2のデータパケットが、前記第2のセキュリティ接続を介して送信されているということを、前記装置によって決定するステップ、又は、
前記第2のデータパケットが、さらに、前記第1のセキュリティ接続の前記識別子を搬送しているという決定に応答して、前記第2のデータパケットが、前記第1のセキュリティ接続を介して送信されているということを、前記装置によって決定するステップ、を含む、請求項9に記載の方法。
【請求項１２】
前記第1のデータパケットが、前記第1の制御シグナリングを搬送する場合に、前記第1のデータパケットは、さらに、前記第2のセキュリティ接続の前記識別子を搬送し、又は、前記第1のデータパケットが、前記第1のユーザプレーンデータを搬送する場合に、前記第1のデータパケットは、さらに、前記第1のセキュリティ接続の前記識別子を搬送する、請求項11に記載の方法。
【請求項１３】
前記第2のセキュリティ接続の前記識別子は、第2のセキュリティパラメータインデックス,SPI,値であり、前記第1のセキュリティ接続の前記識別子は、第1のSPI値である、請求項12に記載の方法。
【請求項１４】
前記第1のセキュリティ接続は、第1のインターネットプロトコルセキュリティ,IPsec,トンネルであり、前記第2のセキュリティ接続は、第2のIPsecトンネルである、請求項9乃至13のうちのいずれか1項に記載の方法。
【請求項１５】
セキュリティノードネットワーク要素であって、
端末からの第1のデータパケットを受信するように構成される第1の受信モジュールと、
前記第1のデータパケットが第1のセキュリティ接続又は第2のセキュリティ接続を介して送信されているということを決定するように構成される決定モジュールであって、前記第1のセキュリティ接続は、ユーザプレーンデータを搬送するデータパケットを送信するのに使用され、そして、前記第2のセキュリティ接続は、制御シグナリングを搬送するデータパケットを送信するのに使用される、決定モジュールと、
第1の送出モジュールと、を含み、前記第1の送出モジュールは、前記第1のデータパケットが、前記第2のセキュリティ接続を介して送信されている場合に、制御プレーン機能エンティティに、前記第1のデータパケットの中で搬送されている制御シグナリングを送るか、又は、
前記第1のデータパケットが、前記第1のセキュリティ接続を介して送信されている場合に、ユーザプレーン機能エンティティに、前記第1のデータパケットの中で搬送されているユーザプレーンデータを送る、ように構成される、
セキュリティノードネットワーク要素。
【請求項１６】
当該セキュリティノードネットワーク要素は、
前記制御プレーン機能エンティティからの第2の制御シグナリングを受信するように構成される第2の受信モジュールと、
前記第2のセキュリティ接続を介して前記端末に、第2のデータパケットを送るように構成される第2の送出モジュールと、をさらに含み、前記第2のデータパケットは、前記第2の制御シグナリングを搬送する、請求項15に記載のセキュリティノードネットワーク要素。
【請求項１７】
前記第2のデータパケットは、さらに、前記第2のセキュリティ接続の識別子を搬送する、請求項16に記載のセキュリティノードネットワーク要素。
【請求項１８】
当該セキュリティノードネットワーク要素は、
前記ユーザプレーン機能エンティティからの第2のユーザプレーンデータを受信するように構成される第2の受信モジュールと、
前記第1のセキュリティ接続を介して前記端末に、第2のデータパケットを送るように構成される第2の送出モジュールと、をさらに含み、前記第2のデータパケットは、前記第2のユーザプレーンデータを搬送する、請求項15に記載のセキュリティノードネットワーク要素。
【請求項１９】
前記第2のデータパケットは、さらに、前記第1のセキュリティ接続の識別子を搬送する、請求項18に記載のセキュリティノードネットワーク要素。
【請求項２０】
前記第1のデータパケットは、さらに、前記第2のセキュリティ接続の前記識別子又は前記第1のセキュリティ接続の前記識別子を搬送し、前記決定モジュールは、
前記第1のデータパケットが、さらに、前記第2のセキュリティ接続の前記識別子を搬送しているという決定に応答して、前記第1のデータパケットが、前記第2のセキュリティ接続を介して送信されているということを決定するか、又は、
前記第1のデータパケットが、さらに、前記第1のセキュリティ接続の前記識別子を搬送しているという決定に応答して、前記第1のデータパケットが、前記第1のセキュリティ接続を介して送信されているということを決定する、
ように構成される、請求項17及び19のうちのいずれか1項に記載のセキュリティノードネットワーク要素。
【請求項２１】
前記第2のセキュリティ接続の前記識別子は、第2のセキュリティパラメータインデックス,SPI,値であり、前記第1のセキュリティ接続の前記識別子は、第1のSPI値である、請求項20に記載のセキュリティノードネットワーク要素。
【請求項２２】
前記第1のセキュリティ接続は、第1のインターネットプロトコルセキュリティ,IPsec,トンネルであり、前記第2のセキュリティ接続は、第2のIPsecトンネルである、請求項15乃至21のうちのいずれか1項に記載のセキュリティノードネットワーク要素。
【請求項２３】
装置であって、
第1のデータパケットを生成するように構成される生成モジュールと、
前記第1のデータパケットが第1のユーザプレーンデータを搬送している場合に、第1のセキュリティ接続を介してセキュリティノードネットワーク要素に、前記第1のデータパケットを送るか、又は、前記第1のデータパケットが第1の制御シグナリングを搬送している場合に、第2のセキュリティ接続を介してセキュリティノードネットワーク要素に、前記第1のデータパケットを送る、ように構成される送出モジュールであって、前記第1のセキュリティ接続は、ユーザプレーンデータを搬送するデータパケットを送信するのに使用され、そして、前記第2のセキュリティ接続は、制御シグナリングを搬送するデータパケットを送信するのに使用される、送出モジュールと、
前記第1のセキュリティ接続又は前記第2のセキュリティ接続を介して前記セキュリティノードネットワーク要素からの第2のデータパケットを受信するように構成される受信モジュールであって、前記第2のデータパケットは、第2の制御シグナリング又は第2のユーザプレーンデータを搬送する、受信モジュールと、
前記第2のデータパケットが前記第1のセキュリティ接続又は前記第2のセキュリティ接続を介して送信されているということを決定するように構成される決定モジュールと、を含む、
装置。
【請求項２４】
当該装置は、
処理モジュールと、をさらに含み、前記処理モジュールは、前記第2のデータパケットが、前記第2のセキュリティ接続を介して送信されている場合に、制御プレーンプロトコルスタックを使用することによって、前記第2の制御シグナリングを処理するように構成され、及び、
前記処理モジュールは、前記第2のデータパケットが、前記第1のセキュリティ接続を介して送信されている場合に、ユーザプレーンプロトコルスタックを使用することによって、前記第2のユーザプレーンデータを処理するように構成される、請求項23に記載の装置。
【請求項２５】
前記第2のデータパケットは、さらに、前記第2のセキュリティ接続の識別子又は前記第1のセキュリティ接続の識別子を搬送し、前記決定モジュールは、
前記第2のデータパケットが、さらに、前記第2のセキュリティ接続の前記識別子を搬送しているという決定に応答して、前記第2のデータパケットが、前記第2のセキュリティ接続を介して送信されているということを決定し、及び、
前記第2のデータパケットが、さらに、前記第1のセキュリティ接続の前記識別子を搬送しているという決定に応答して、前記第2のデータパケットが、前記第1のセキュリティ接続を介して送信されているということを決定する、
ように構成される、請求項23に記載の装置。
【請求項２６】
前記第1のデータパケットが、前記第1の制御シグナリングを搬送する場合に、前記第1のデータパケットは、さらに、前記第2のセキュリティ接続の前記識別子を搬送し、又は、前記第1のデータパケットが、前記第1のユーザプレーンデータを搬送する場合に、前記第1のデータパケットは、さらに、前記第1のセキュリティ接続の前記識別子を搬送する、請求項25に記載の装置。
【請求項２７】
前記第2のセキュリティ接続の前記識別子は、第2のセキュリティパラメータインデックス,SPI,値であり、前記第1のセキュリティ接続の前記識別子は、第1のSPI値である、請求項26に記載の装置。
【請求項２８】
前記第1のセキュリティ接続は、第1のインターネットプロトコルセキュリティIPsecトンネルであり、前記第2のセキュリティ接続は、第2のIPsecトンネルである、請求項23乃至27のうちのいずれか1項に記載の装置。
【請求項２９】
当該装置は、端末又は前記端末の中のチップである、請求項23乃至28のうちのいずれか1項に記載の装置。
【請求項３０】
セキュリティノードネットワーク要素であって、
コンピュータ実行可能なプログラムコードを格納するように構成されるメモリと、
前記メモリに接続されるプロセッサと、を含み、前記プログラムコードは、複数の命令を含み、前記プロセッサが前記複数の命令を実行するときに、前記複数の命令は、当該セキュリティノードネットワーク要素が請求項1乃至8のうちのいずれか1項に記載の方法を実行するのを可能にする、セキュリティノードネットワーク要素。
【請求項３１】
装置であって、
コンピュータ実行可能なプログラムコードを格納するように構成されるメモリと、
前記メモリに接続されるプロセッサと、を含み、前記プログラムコードは、複数の命令を含み、前記プロセッサが前記複数の命令を実行するときに、前記複数の命令は、当該装置が請求項9乃至14のうちのいずれか1項に記載の方法を実行するのを可能にする、装置。
【請求項３２】
当該装置は、端末又は前記端末の中のチップである、請求項31に記載の装置。
【請求項３３】
プログラムが記録されているコンピュータ読み取り可能な媒体であって、前記プログラムは、実行されると、コンピュータが請求項1乃至8のうちのいずれか1項に記載の方法を実装するのを可能にする、コンピュータ読み取り可能な媒体。
【請求項３４】
プログラムが記録されているコンピュータ読み取り可能な媒体であって、前記プログラムは、実行されると、コンピュータが請求項9乃至14のうちのいずれか1項に記載の方法を実装するのを可能にする、コンピュータ読み取り可能な媒体。
【請求項３５】
コンピュータ実行可能な命令を含むコンピュータプログラムであって、前記コンピュータ実行可能な命令がセキュリティノードネットワーク要素のプロセッサで実行されると、前記コンピュータ実行可能な命令は、前記セキュリティノードネットワーク要素に、請求項1乃至8のうちのいずれか1項に記載の方法を実行させる、コンピュータプログラム。
【請求項３６】
コンピュータ実行可能な命令を含むコンピュータプログラムであって、前記コンピュータ実行可能な命令が装置のプロセッサで実行されると、前記コンピュータ実行可能な命令は、前記装置に、請求項9乃至14のうちのいずれか1項に記載の方法を実行させる、コンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の複数の実施形態は、通信分野に関し、特に、通信方法、セキュリティノードネットワーク要素、及び端末に関する。
【背景技術】
【０００２】
現在の通信ネットワークにおいては、端末が送るアップリンクデータパケットを受信する際に、セキュリティノードネットワーク要素は、そのアップリンクデータパケットが制御シグナリングを搬送しているか否かを識別する必要がある。そのアップリンクデータパケットが制御シグナリングを搬送している場合には、そのセキュリティノードネットワーク要素は、制御プレーン機能(Control  Plane  Function,  CP  Function)エンティティにその制御シグナリングを送り、又は、そのアップリンクデータパケットが制御シグナリングを搬送していない場合には、そのセキュリティノードネットワーク要素は、ユーザプレーン機能(User  Plane  Function,  UP  Function)エンティティに、そのアップリンクデータパケットのユーザプレーンデータを送る。
【０００３】
既存の解決方法においては、制御シグナリングを搬送するデータパケットは、そのデータパケットの宛先インターネットプロトコル(Internet  Protocol,  IP)アドレスをある特定の宛先IPアドレスに設定する方式で、識別することが可能である。しかしながら、この方式は、セキュリティ上の問題を有する。例えば、実際には、制御シグナリングを搬送していないデータパケットの宛先IPアドレスが、端末の中の悪意あるアプリケーションによって、その特定の宛先IPアドレスに設定される場合がある。結果として、制御シグナリングとして考慮され、そのデータパケットで搬送されるユーザプレーンデータは、CP  functionエンティティに送られ、エラーを引き起こす。
【発明の概要】
【０００４】
本発明の複数の実施形態は、通信方法、セキュリティノードネットワーク要素、及び端末を提供して、制御シグナリングが既存の解決方法でセキュリティノードネットワーク要素と端末との間で送信されるときに存在するセキュリティ上の問題を解決する。
【０００５】
第1の態様によれば、通信方法が提供される。その方法は、端末からの第1のデータパケットをセキュリティノードネットワーク要素によって受信するステップであって、前記第1のデータパケットは、第1のユーザプレーンデータ又は第1の制御シグナリングを搬送し、前記第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介して送信され、前記第1のセキュリティ接続は、前記第1のユーザプレーンデータを搬送する前記第1のデータパケットを送信するのに使用され、そして、前記第2のセキュリティ接続は、前記第1の制御シグナリングを搬送する前記第1のデータパケットを送信するのに使用される、ステップ、及び、前記第1のデータパケットが、前記第2のセキュリティ接続を介して送信されている場合に、前記セキュリティノードネットワーク要素によって制御プレーン機能エンティティに、前記第1の制御シグナリングを送るステップ、又は、前記第1のデータパケットが、前記第1のセキュリティ接続を介して送信されている場合に、前記セキュリティノードネットワーク要素によってユーザプレーン機能エンティティに、前記第1のユーザプレーンデータを送るステップ、を含む。
【０００６】
セキュリティノードネットワーク要素と端末との間に存在する制御シグナリングを搬送するデータパケット及びユーザプレーンデータを搬送するデータパケットは、それぞれ、複数の異なるセキュリティ接続を介して送信される。このようにして、そのセキュリティノードネットワーク要素は、そのデータパケットの中に存在するとともに悪意あるアプリケーションが改変する場合がある宛先IPアドレスを使用する必要なく、そのデータパケットが制御シグナリングを搬送しているのか、又は、ユーザプレーンデータを搬送しているのかを識別し、一方で、非アプリケーション層、ネットワーク層、又はトランスポート層のセキュリティ接続識別子を使用することによって、それらの複数の異なるセキュリティ接続を介して送られたデータパケットを識別し、そして、それらの複数の異なるセキュリティ接続を介して送られたデータパケットを識別することによって、そのデータパケットが制御シグナリングを搬送しているのか、又は、ユーザプレーンデータを搬送しているのかを決定する。したがって、その悪意あるアプリケーションによる改変を無力化することが可能であり、そのユーザプレーンデータ又は制御シグナリングの送信のセキュリティを改善する。
【０００７】
本発明のこの実装においては、第1のセキュリティ接続及び第2のセキュリティ接続の"第1の"及び"第2の"は、複数の異なる対象の間での区別を意図しているに過ぎないということを理解すべきである。もちろん、代替的に、第1のユーザプレーンデータを搬送する第1のデータパケットが、第2のセキュリティ接続を使用することによって送信されてもよく、及び/又は、第1の制御シグナリングを搬送する第1のデータパケットが、第1のセキュリティ接続を使用することによって送信されてもよい。このことは、本発明においては、限定されない。
【０００８】
第1の態様に関して、第1の態様のいくつかの実装において、当該方法は、前記セキュリティノードネットワーク要素によって前記第2のセキュリティ接続を介して前記端末に、第2のデータパケットを送るステップであって、前記第2のデータパケットは、第2の制御シグナリングを搬送する、ステップ、又は、前記セキュリティノードネットワーク要素によって前記第1のセキュリティ接続を介して前記端末に、第2のデータパケットを送るステップであって、前記第2のデータパケットは、第2のユーザプレーンデータを搬送する、ステップ、をさらに含む。
【０００９】
セキュリティノードネットワーク要素は、端末にダウンリンクデータパケットを送る。そのセキュリティノードネットワーク要素は、複数の異なるセキュリティ接続を介して、複数の異なるコンテンツを搬送するダウンリンクデータパケットを送ってもよい。制御シグナリングを搬送するダウンリンクデータパケット及びユーザプレーンデータを搬送するダウンリンクデータパケットは、それぞれ、複数の異なるセキュリティ接続を介して送信される。したがって、そのセキュリティノードネットワーク要素が送ったダウンリンクデータパケットを受信した後に、端末は、そのダウンリンクデータパケットを送信するためのセキュリティ接続が、第1のセキュリティ接続であるのか、又は、第2のセキュリティ接続であるのかを決定することによって、そのダウンリンクデータパケットの中のコンテンツを識別することが可能である。したがって、その端末の中の悪意あるアプリケーションによる改変を無力化することが可能であり、ダウンリンク送信のセキュリティを改善する。
【００１０】
第1の態様に関して、第1の態様のいくつかの実装において、当該方法は、前記制御プレーン機能エンティティからの前記第2の制御シグナリングを前記セキュリティノードネットワーク要素によって受信するステップ、又は、前記ユーザプレーン機能エンティティからの前記第2のユーザプレーンデータを前記セキュリティノードネットワーク要素によって受信するステップ、をさらに含む。
【００１１】
本発明のこの実装においては、第1のセキュリティ接続及び第2のセキュリティ接続の"第1の"及び"第2の"は、複数の異なる対象の区別のみを意図しているということを理解すべきである。もちろん、代替的に、第1のユーザプレーンデータを搬送する第2のデータパケットが、第2のセキュリティ接続を介して送信されてもよく、及び/又は、第1の制御シグナリングを搬送する第2のデータパケットが、第1のセキュリティ接続を介して送信されてもよい。このことは、本発明においては、限定されない。
【００１２】
第1の態様に関して、第1の態様のいくつかの実装において、前記第2のデータパケットが、前記第2の制御シグナリングを搬送するときに、前記第2のデータパケットは、さらに、前記第2のセキュリティ接続の識別子を搬送し、又は、前記第2のデータパケットが、前記第2のユーザプレーンデータを搬送するときに、前記第2のデータパケットは、さらに、前記第1のセキュリティ接続の識別子を搬送する。
【００１３】
第1の態様に関して、第1の態様のいくつかの実装において、端末からの第1のデータパケットをセキュリティノードネットワーク要素によって受信する前記ステップの後に、当該方法は、前記第1のデータパケットが、前記第2のセキュリティ接続又は前記第1のセキュリティ接続を介して送信されているということを、前記セキュリティノードネットワーク要素によって決定するステップをさらに含む。
【００１４】
第1の態様に関して、第1の態様のいくつかの実装において、前記第1のデータパケットは、さらに、前記第2のセキュリティ接続の前記識別子又は前記第1のセキュリティ接続の前記識別子を搬送し、前記第1のデータパケットが、前記第2のセキュリティ接続又は前記第1のセキュリティ接続を介して送信されているということを、前記セキュリティノードネットワーク要素によって決定する前記ステップは、前記第1のデータパケットが、さらに、前記第2のセキュリティ接続の前記識別子を搬送するときに、前記第1のデータパケットが、前記第2のセキュリティ接続を介して送信されているということを、前記セキュリティノードネットワーク要素によって決定するステップ、又は、前記第1のデータパケットが、さらに、前記第1のセキュリティ接続の前記識別子を搬送するときに、前記第1のデータパケットが、前記第1のセキュリティ接続を介して送信されているということを、前記セキュリティノードネットワーク要素によって決定するステップ、を含む。
【００１５】
第1の態様に関して、第1の態様のいくつかの実装において、前記第1のセキュリティ接続は、第1のインターネットプロトコルセキュリティ(IPsec)トンネルであってもよく、前記第2のセキュリティ接続は、第2のIPsecトンネルであってもよい。
【００１６】
第1の態様に関して、第1の態様のいくつかの実装において、前記第2のセキュリティ接続の前記識別子は、第2のセキュリティパラメータインデックス(SPI)値であってもよく、前記第1のセキュリティ接続の前記識別子は、第1のSPI値であってもよい。
【００１７】
第2の態様によれば、通信方法が提供される。その方法は、端末によって第1のデータパケットを生成するステップであって、前記第1のデータパケットは、第1のユーザプレーンデータ又は第1の制御シグナリングを搬送する、ステップと、前記端末によってセキュリティノードネットワーク要素に、前記第1のデータパケットを送るステップであって、前記第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介して送信され、前記第1のセキュリティ接続は、前記第1のユーザプレーンデータを搬送する前記第1のデータパケットを送信するのに使用され、そして、前記第2のセキュリティ接続は、前記第1の制御シグナリングを搬送する前記第1のデータパケットを送信するのに使用される、ステップと、を含む。
【００１８】
第2の態様において、第1の態様に対応するいくつかの実装については、第1の態様の説明を参照する。ここでは、詳細は説明されない。
【００１９】
第3の態様によれば、他の通信方法が提供される。その方法は、制御プレーン機能エンティティからの第2の制御シグナリングをセキュリティノードネットワーク要素によって受信するステップ、又は、ユーザプレーン機能エンティティからの第2のユーザプレーンデータをセキュリティノードネットワーク要素によって受信するステップ、前記セキュリティノードネットワーク要素によって端末に、第2のデータパケットを送るステップであって、前記第2のデータパケットは、第2の制御シグナリング又は第2のユーザプレーンデータを搬送し、そして、前記第2のデータパケットが、前記第2の制御シグナリングを搬送するときに、前記第2のデータパケットは、第2のセキュリティ接続を介して送信され、又は、前記第2のデータパケットが、前記第2のユーザプレーンデータを搬送するときに、前記第2のデータパケットは、第1のセキュリティ接続を介して送信される、ステップ、及び、前記第2のデータパケットが、前記第2のセキュリティ接続を介して送信されている場合に、前記端末によって、制御プレーンプロトコルスタックを使用することによって、前記第2の制御シグナリングを処理するステップ、又は、前記第2のデータパケットが、前記第1のセキュリティ接続を介して送信されている場合に、前記端末によって、ユーザプレーンプロトコルスタックを使用することによって、前記第2のユーザプレーンデータを処理するステップ、を含む。
【００２０】
第3の態様に関して、第3の態様のいくつかの実装において、前記セキュリティノードネットワーク要素からの第2のデータパケットを前記端末によって受信する前記ステップの後に、当該方法は、前記第2のデータパケットが、前記第1のセキュリティ接続又は前記第2のセキュリティ接続を介して送信されているということを、前記端末によって決定するステップをさらに含む。
【００２１】
第3の態様に関して、第3の態様のいくつかの実装において、前記第2のデータパケットは、さらに、前記第2のセキュリティ接続の識別子又は前記第1のセキュリティ接続の識別子を搬送し、前記第2のデータパケットが、前記第2のセキュリティ接続又は前記第1のセキュリティ接続を使用することによって送信されるということを、前記端末によって決定する前記ステップは、前記第2のデータパケットが、さらに、前記第2のセキュリティ接続の前記識別子を搬送するときに、前記第2のデータパケットが、前記第2のセキュリティ接続を介して送信されているということを、前記端末によって決定するステップ、又は、前記第2のデータパケットが、さらに、前記第1のセキュリティ接続の前記識別子を搬送するときに、前記第2のデータパケットが、前記第1のセキュリティ接続を介して送信されているということを、前記端末によって決定するステップ、を含む。
【００２２】
第3の態様に関して、第3の態様のいくつかの実装において、前記第1のセキュリティ接続は、第1のインターネットプロトコルセキュリティ(IPsec)トンネルであってもよく、前記第2のセキュリティ接続は、第2のIPsecトンネルであってもよい。
【００２３】
第3の態様に関して、第3の態様のいくつかの実装において、前記第2のセキュリティ接続の前記識別子は、第2のセキュリティパラメータインデックス(SPI)値であってもよく、前記第1のセキュリティ接続の前記識別子は、第1のSPI値であってもよい。
【００２４】
第4の態様によれば、セキュリティノードネットワーク要素が提供される。そのセキュリティノードネットワーク要素は、端末からの第1のデータパケットを受信するように構成される第1の受信モジュールであって、前記第1のデータパケットは、第1のユーザプレーンデータ又は第1の制御シグナリングを搬送し、前記第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介して送信され、前記第1のセキュリティ接続は、前記第1のユーザプレーンデータを搬送する前記第1のデータパケットを送信するのに使用され、そして、前記第2のセキュリティ接続は、前記第1の制御シグナリングを搬送する前記第1のデータパケットを送信するのに使用される、第1の受信モジュールと、第1の送出モジュールと、を含み、前記第1の送出モジュールは、前記第1のデータパケットが、前記第2のセキュリティ接続を介して送信されている場合に、制御プレーン機能エンティティに前記第1の制御シグナリングを送るように構成されるか、又は、前記第1の送出モジュールは、前記第1のデータパケットが、前記第1のセキュリティ接続を介して送信されている場合に、ユーザプレーン機能エンティティに前記第1のユーザプレーンデータを送るように構成される。
【００２５】
第4の態様に関して、第4の態様のいくつかの実装において、セキュリティノードネットワーク要素の中の各々のモジュールは、さらに、第1の態様、第2の態様、又は第3の態様と関連付けられたセキュリティノードネットワーク要素が実行する対応する動作を実行してもよい。
【００２６】
第5の態様によれば、端末が提供される。その端末は、第1のデータパケットを生成するように構成される生成モジュールであって、前記第1のデータパケットは、第1のユーザプレーンデータ又は第1の制御シグナリングを搬送する、生成モジュールと、セキュリティノードネットワーク要素に前記第1のデータパケットを送るように構成される送出モジュールであって、前記第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介して送信され、前記第1のセキュリティ接続は、前記第1のユーザプレーンデータを搬送する前記第1のデータパケットを送信するのに使用され、そして、前記第2のセキュリティ接続は、前記第1の制御シグナリングを搬送する前記第1のデータパケットを送信するのに使用される、送出モジュールと、を含む。
【００２７】
第5の態様に関して、第5の態様のいくつかの実装において、端末の中の各々のモジュールは、さらに、第1の態様、第2の態様、又は第3の態様と関連付けられたセキュリティノードネットワーク要素が実行する対応する動作を実行してもよい。
【００２８】
第6の態様によれば、他のセキュリティノードネットワーク要素が提供される。そのセキュリティノードネットワーク要素は、制御プレーン機能エンティティからの第2の制御シグナリングを受信するように構成されるか、又は、ユーザプレーン機能エンティティからの第2のユーザプレーンデータを受信するように構成される、受信モジュールと、第2のセキュリティ接続を介して端末に、第2のデータパケットを送るように構成され、前記第2のデータパケットは、前記第2の制御シグナリングを搬送するか、又は、第1のセキュリティ接続を介して端末に、第2のデータパケットを送るように構成され、前記データパケットは、第2のユーザプレーンデータを搬送する、送出モジュールと、含む。
【００２９】
第6の態様に関して、第6の態様のいくつかの実装において、セキュリティノードネットワーク要素の中の各々のモジュールは、さらに、第3の態様と関連付けられたセキュリティノードネットワーク要素が実行する対応する動作を実行してもよい。
【００３０】
第7の態様によれば、端末が提供される。その端末は、セキュリティノードネットワーク要素からの第2のデータパケットを受信するように構成される受信モジュールであって、前記データパケットは、第2の制御シグナリング又は第2のユーザプレーンデータを搬送し、そして、前記第2のデータパケットが、前記第2の制御シグナリングを搬送するときに、前記第2のデータパケットは、第2のセキュリティ接続を介して送信され、又は、前記第2のデータパケットが、前記第2のユーザプレーンデータを搬送するときに、前記第2のデータパケットは、第1のセキュリティ接続を介して送信される、受信モジュールと、処理モジュールと、を含み、前記処理モジュールは、前記第2のデータパケットが、前記第2のセキュリティ接続を介して送信されている場合に、制御プレーンプロトコルスタックを使用することによって、前記第2の制御シグナリングを処理するように構成されるか、又は、前記処理モジュールは、前記第2のデータパケットが、前記第1のセキュリティ接続を介して送信されている場合に、ユーザプレーンプロトコルスタックを使用することによって、前記第2のユーザプレーンデータを処理するように構成される。
【００３１】
第7の態様に関して、第7の態様のいくつかの実装において、端末の中の各々のモジュールは、さらに、第3の態様と関連付けられたセキュリティノードネットワーク要素が実行する対応する動作を実行してもよい。
【００３２】
第8の態様によれば、さらに別のセキュリティノードネットワーク要素が提供される。そのセキュリティノードネットワーク要素は、プロセッサ、メモリ、及びトランシーバーを含む。前記トランシーバーは、端末からの第1のデータパケットを受信するように構成され、前記第1のデータパケットは、第1のユーザプレーンデータ又は第1の制御シグナリングを搬送し、前記第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介して送信され、前記第1のセキュリティ接続は、前記第1のユーザプレーンデータを搬送する前記第1のデータパケットを送信するのに使用され、そして、前記第2のセキュリティ接続は、前記第1の制御シグナリングを搬送する前記第1のデータパケットを送信するのに使用される。前記トランシーバーは、さらに、前記第1のデータパケットが、前記第2のセキュリティ接続を介して送信されている場合に、制御プレーン機能エンティティに前記第1の制御シグナリングを送るように構成されるか、又は、前記トランシーバーは、前記第1のデータパケットが、前記第1のセキュリティ接続を介して送信されている場合に、ユーザプレーン機能エンティティに前記第1のユーザプレーンデータを送るように構成される。
【００３３】
第9の態様によれば、さらに別の端末が提供される。その端末は、プロセッサ1101、メモリ1102、及びトランシーバー1103を含む、前記プロセッサ1101は、第1のデータパケットを生成するように構成され、前記第1のデータパケットは、第1のユーザプレーンデータ又は第1の制御シグナリングを搬送する。前記トランシーバー1103は、セキュリティノードネットワーク要素に前記第1のデータパケットを送るように構成され、前記第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介して送信され、前記第1のセキュリティ接続は、前記第1のユーザプレーンデータを搬送する前記第1のデータパケットを送信するのに使用され、そして、前記第2のセキュリティ接続は、前記第1の制御シグナリングを搬送する前記第1のデータパケットを送信するのに使用される。
【００３４】
第10の態様によれば、さらに別のセキュリティノードネットワーク要素が提供される。そのセキュリティノードネットワーク要素は、プロセッサ、メモリ、及びトランシーバーを含む。前記トランシーバーは、制御プレーン機能エンティティからの第2の制御シグナリングを受信するように構成されるか、又は、ユーザプレーン機能エンティティからの第2のユーザプレーンデータを受信するように構成される。前記トランシーバーは、さらに、第2のセキュリティ接続を介して端末に、第2のデータパケットを送るように構成され、前記第2のデータパケットは、前記第2の制御シグナリングを搬送するか、又は、第1のセキュリティ接続を介して端末に、第2のデータパケットを送るように構成され、前記第2のデータパケットは、前記第2のユーザプレーンデータを搬送する。
【００３５】
第11の態様によれば、さらに別の端末が提供される。その端末は、プロセッサ、メモリ、及びトランシーバーを含む。前記トランシーバーは、セキュリティノードネットワーク要素からの第2のデータパケットを受信するように構成され、前記第2のデータパケットは、第2の制御シグナリング又は第2のユーザプレーンデータを搬送し、そして、前記第2のデータパケットが、前記第2の制御シグナリングを搬送するときに、前記第2のデータパケットは、前記第2のセキュリティ接続を介して送信され、又は、前記第2のデータパケットが、前記第2のユーザプレーンデータを搬送するときに、前記第2のデータパケットは、前記第1のセキュリティ接続を介して送信される。前記プロセッサは、前記第2のデータパケットが、前記第2のセキュリティ接続を介して送信されている場合に、制御プレーンプロトコルスタックを使用することによって、前記第2の制御シグナリングを処理するように構成されるか、又は、前記プロセッサは、前記第2のデータパケットが、前記第1のセキュリティ接続を介して送信されている場合に、ユーザプレーンプロトコルスタックを使用することによって、前記第2のユーザプレーンデータを処理するように構成される。
【００３６】
第12の態様によれば、コンピュータ記憶媒体が提供される。そのコンピュータ記憶媒体は、上記のセキュリティノードネットワーク要素が使用するコンピュータソフトウェア命令を格納するように構成され、そのコンピュータソフトウェア命令は、上記の態様を実行するのに使用される設計されたプログラムを含む。
【００３７】
第13の態様によれば、コンピュータ記憶媒体が提供される。そのコンピュータ記憶媒体は、上記の端末が使用するコンピュータソフトウェア命令を格納するように構成され、そのコンピュータソフトウェア命令は、上記の態様を実行するのに使用される設計されたプログラムを含む。
【００３８】
第14の態様によれば、通信システムが提供される。その通信システムは、第4の態様にしたがったセキュリティノードネットワーク要素及び第5の態様にしたがった端末を含む。
【００３９】
第15の態様によれば、通信システムが提供される。その通信システムは、第6の態様にしたがったセキュリティノードネットワーク要素及び第7の態様にしたがった端末を含む。
【００４０】
第16の態様によれば、通信システムが提供される。その通信システムは、第8の態様にしたがったセキュリティノードネットワーク要素及び第9の態様にしたがった端末を含む。
【００４１】
第17の態様によれば、通信システムが提供される。その通信システムは、第10の態様にしたがったセキュリティノードネットワーク要素及び第11の態様にしたがった端末を含む。
【００４２】
従来技術と比較して、本発明の複数の実施形態の複数の解決方法においては、セキュリティノードネットワーク要素と端末との間に存在する制御シグナリングを搬送するデータパケット及びユーザプレーンデータを搬送するデータパケットは、それぞれ、複数の異なるセキュリティ接続を介して送信される。このようにして、そのセキュリティノードネットワーク要素は、そのデータパケットの中に存在するとともに悪意あるアプリケーションが改変する場合がある宛先IPアドレスを使用する必要なく、そのデータパケットが制御シグナリングを搬送しているのか、又は、ユーザプレーンデータを搬送しているのかを識別し、一方で、非アプリケーション層、ネットワーク層、又はトランスポート層のセキュリティ接続識別子を使用することによって、それらの複数の異なるセキュリティ接続を介して送られたデータパケットを識別し、そして、それらの複数の異なるセキュリティ接続を介して送られたデータパケットを識別することによって、そのデータパケットが制御シグナリングを搬送しているのか、又は、ユーザプレーンデータを搬送しているのかを決定する。したがって、その悪意あるアプリケーションによる改変を無力化することが可能であり、そのユーザプレーンデータ又は制御シグナリングの送信のセキュリティを改善する。
【図面の簡単な説明】
【００４３】
本発明の複数の実施形態の複数の技術的解決方法をより明確に説明するために、以下の記載は、本発明のそれらの複数の実施形態を説明するのに必要となる複数の添付の図面を簡潔に説明する。明らかなことではあるが、以下の説明の中の複数の添付の図面は、本発明の複数の実施形態のうちのいくつかを示すにすぎず、当業者は、さらに、創造的な努力なくして、これらの複数の添付の図面から他の図面を導き出すことが可能である。
【００４４】
【図１Ａ】本発明のある1つの実施形態にしたがった可能な適用シナリオの概略的な図である。
【図１Ｂ】本発明のある1つの実施形態にしたがった可能なネットワークアーキテクチャの概略的な図である。
【図２】IPsecトンネルを使用することによって送信されるユーザプレーンデータパケットのフォーマットの概略的な図である。
【図３】本発明のある1つの実施形態にしたがった通信方法の概略的な通信図である。
【図４】本発明のある1つの実施形態にしたがった制御シグナリングを搬送するデータパケットのフォーマットの概略的な図である。
【図５】本発明のある1つの実施形態にしたがったユーザプレーンデータを搬送するデータパケットのフォーマットの概略的な図である。
【図６】本発明のある1つの実施形態にしたがって第1のIPsecトンネル及び第2のIPsecトンネルを確立する概略的な通信図である。
【図７】本発明のある1つの実施形態にしたがった他の通信方法の概略的な通信図である。
【図８】本発明のある1つの実施形態にしたがったセキュリティノードネットワーク要素の概略的なブロック図である。
【図９】本発明のある1つの実施形態にしたがった端末の概略的なブロック図である。
【図１０】本発明のある1つの実施形態にしたがった他のセキュリティノードネットワーク要素の概略的なブロック図である。
【図１１】本発明のある1つの実施形態にしたがった他の端末の概略的なブロック図である。
【発明を実施するための形態】
【００４５】
本発明の複数の実施形態の目的、技術的解決方法、及び利点をより明確にするために、以下の記載は、本発明のそれらの複数の実施形態の添付の図面を参照して、本発明のそれらの複数の実施形態の技術的解決方法を説明する。
【００４６】
本発明のそれらの複数の実施形態において説明されるネットワークアーキテクチャ及びサービスシナリオは、本発明のそれらの複数の実施形態の技術的解決方法をより明確に説明することを意図しており、本発明のそれらの複数の実施形態において提供されるそれらの技術的解決方法に対するいかなる限定も構成しない。当業者は、ネットワークアーキテクチャの発展及び新たなサービスシナリオの出現に伴って、本発明のそれらの複数の実施形態によって提供されるそれらの技術的解決方法が、また、同様の技術的な問題にも適用可能であるということを理解することが可能である。
【００４７】
本発明の複数の実施形態が適用可能である可能な適用シナリオ及びネットワークアーキテクチャのうちのいくつかが、最初に、図1A及び図1Bを参照して以下で説明される。
【００４８】
図1Aは、本発明のそれらの複数の実施形態が適用可能であってもよい適用シナリオを示している。図1Aに示されているように、端末は、無線アクセスネットワーク(Radio  Access  Network,  RAN)及びコアネットワーク(Core  Network,  CN)を使用することによって、マルチメディアサブシステム(IP  Multimedia  System,  IMS)ネットワーク又はパケット交換ストリーミングサービス(Packet  Switched  Streaming  Service,  略称PSS)ネットワーク等のオペレータインターネットプロトコル(Internet  Protocol,  IP)サービスネットワークにアクセスする。本発明の複数の実施形態において説明されるそれらの技術的解決方法は、ロングタームエボリューション(Long  Term  Evolution,  LTE)システム、或いは、例えば、符号分割多元接続(Code  Division  Multiple  Access,  CDMA)、周波数分割多元接続(Frequency  Division  Multiple  Access,  FDMA)、時分割多元接続(Time  Division  Multiple  Access,  TDMA)、直交周波数分割多元接続(Orthogonal  Frequency  Division  Multiple  Access,  OFDMA)、及びシングルキャリア周波数分割多元接続(Single  Carrier  Frequency  Division  Multiple  Access,  SC-FDMA)等のアクセス技術が使用されるシステム等のさまざまな無線アクセス技術が使用される他の無線通信システムに適用可能であってもよい。さらに、それらの技術的解決方法は、さらに、LTEシステムの後継の進化型システム、例えば、第5世代(5th  Generation,  5G)システムに適用可能であってもよい。明確さの目的で、本明細書においては、説明のための1つの例として、LTEシステムのみを使用する。そのLTEシステムにおいては、無線アクセスネットワークとして、進化型ユニバーサル地上波無線アクセスネットワーク(Evolved  Universal  Terrestrial  Radio  Access  Network,  E-UTRAN)を使用するとともに、コアネットワークとして、進化型パケットコア(Evolved  Packet  Core,  EPC)を使用する。端末は、そのE-UTRAN及びそのEPCを使用することによって、IMSネットワークにアクセスする。5Gシステム又は将来的に出現する可能性がある他のシステムに、本発明のそれらの複数の実施形態のそれらの解決方法を適用するときには、端末又はネットワークデバイスの名称が変化する場合があるということに留意すべきであるが、このことは、本発明のそれらの複数の実施形態のそれらの解決方法の複数の実装に影響を及ぼすことはない。
【００４９】
上記の適用シナリオに基づいて、図1Bは、本発明のある1つの実施形態において提供される可能なネットワークアーキテクチャを示している。図1Bに示されているように、そのネットワークアーキテクチャは、少なくとも、端末、アクセスネットワーク、セキュリティノードネットワーク要素、制御プレーン機能エンティティ、及びユーザプレーン機能エンティティを含む。その端末は、アクセスネットワークを使用することによって、セキュリティノードネットワーク要素にアクセスし、セキュリティノードネットワーク要素は、制御プレーン機能エンティティ及びユーザプレーン機能エンティティの双方に接続される。アップリンクデータパケット及びダウンリンクデータパケットは、セキュリティ接続(security  connection)を使用することによって、端末とセキュリティノードネットワーク要素との間で送信され、セキュリティ接続は、インターネットプロトコルセキュリティ(Internet  Protocol  Security,  IPsec)トンネルであってもよく、或いは、他のセキュリティ接続方式であってもよい。説明の便宜のために、制御プレーン機能エンティティをまたCP  functionとして説明してもよく、ユーザプレーン機能エンティティをまたUP  functionとして説明してもよい。
【００５０】
本発明の技術的解決方法は、図1Bに示されているネットワークアーキテクチャには限定されず、例えば、LTEネットワーク、ホームノードBネットワーク、ワイヤレスフィディリティ(Wireless  Fidelity,  Wi-Fi)アクセスのモバイルネットワーク、汎欧州ディジタル移動体通信システム(Global  System  for  Mobile  Communications,  GSM)ネットワーク、広帯域符号分割多元接続(Wideband  Code  Division  Multiple  Access,  WCDMA)ネットワーク、5Gネットワーク、又は将来的に出現する可能性がある他のネットワーク等の制御シグナリングがユーザプレーンセキュリティ接続を使用することによって送信されるすべてのネットワークアーキテクチャが、本発明に適用可能であるということを理解すべきである。
【００５１】
本発明の複数の実施形態においては、"ネットワーク"及び"システム"の語は、通常、交互に使用されるが、当業者は、それらの語の意味を理解することが可能である。
【００５２】
本発明のそれらの複数の実施形態に関連する端末は、様々なハンドヘルドデバイス、車載型デバイス、ウェアラブルデバイス、及び無線通信機能を有するコンピューティングデバイス、又は無線モデムに接続される他の処理デバイス、及び様々な形態のユーザ機器(User  Equipment,  UE)、移動局(Mobile  Station,  MS)、端末デバイス(terminal  device)等を含んでもよい。説明の便宜のために、上記の装置は、集合的に、端末と称される。
【００５３】
本発明のそれらの複数の実施形態に関連するセキュリティノードネットワーク要素は、(例えば、非3GPPコアネットワークゲートウェイ(Non-3GPP  Core  Network  Gateway,  N3CNGW)等の)コアネットワーク要素、非3GPPアクセス階層機能(Non-3GPP  Access  Stratum  Function,  N3ASF)エンティティ、又は、非第3世代パートナーシッププロジェクト(3rd  Generation  Partnership  Project,  3GPP)モバイルネットワークの中のアクセスゲートウェイ(Access  Gateway,  AGW)であってもよく、LTEシステムの中のコアネットワーク要素又はクラウド無線アクセスネットワーク(Cloud  Radio  Access  Network,  CRAN)の中の無線コントローラであってもよく、中継局、アクセスポイント、車載型デバイス、又はウェアラブルデバイスであってもよく、或いは、5Gネットワークの中のネットワークデバイス、将来的な進化型公衆陸上移動体ネットワーク(Public  Land  Mobile  Network,  PLMN)の中のネットワークデバイス等であってもよい。このことは、本発明のそれらの複数の実施形態においては限定されない。
【００５４】
本発明の複数の実装において、連続番号"第1の"及び"第2の"は、複数の異なる対象の間の区別、例えば、複数の異なるセキュリティ接続の間の区別を意図しているにすぎず、本発明のそれらの複数の実施形態の保護の範囲に対するいかなる限定も構成すべきではないということを理解することが可能である。
【００５５】
本発明のそれらの複数の実施形態は、さらに、本発明のそれらの複数の実施形態に関連する上記の共通性に基づいて、以下で詳細に説明される。
【００５６】
図1Bに示されているネットワークアーキテクチャにおいては、制御シグナリングが、端末とセキュリティノードネットワーク要素との間で送信されるときに、その制御シグナリングは、端末とセキュリティノードネットワーク要素との間のユーザプレーンセキュリティ接続を介して送信される必要がある。例えば、端末が送ったアップリンクデータパケットを受信するときに、そのセキュリティノードネットワーク要素は、そのアップリンクデータパケットが制御シグナリングを搬送しているか否かを識別する必要がある。そのアップリンクデータパケットが制御シグナリングを搬送している場合に、そのセキュリティノードネットワーク要素は、制御シグナリングを抽出し、そして、CP  functionにその制御シグナリングを送るか、或いは、そのアップリンクデータパケットがユーザプレーンデータを搬送している場合に、セキュリティノードネットワーク要素は、UP  functionに、そのアップリンクデータパケットの中のユーザプレーンデータを送る。ダウンリンクデータパケットの場合に、そのダウンリンクデータパケットを受信した後に、その端末は、ダウンリンクデータパケットが制御シグナリングを搬送しているか否かを識別する。そのダウンリンクデータパケットが制御シグナリングを搬送している場合には、その端末は、制御シグナリングを抽出し、そして、処理のために、制御プレーンプロトコルスタックにその制御シグナリングを提示するか、又は、そのダウンリンクデータパケットがユーザプレーンデータを搬送している場合に、その端末は、そのユーザプレーンデータを抽出し、そして、処理のために、ユーザプレーンプロトコルスタックにそのユーザプレーンデータを提示する。
【００５７】
既存の解決方法においては、データパケットの宛先IPアドレスをある特定の宛先IPアドレスに設定する方法で、制御シグナリングを搬送するデータパケットを識別することが可能である。図2は、IPsecを使用することによって送信されるセキュリティ接続データのデータパケットのフォーマットを示している。ある1つの例としてデータパケットのそのフォーマットを使用すると、アップリンク送信プロセスにおいて、セキュリティノードネットワーク要素は、そのデータパケットがある特定の宛先IPアドレスを含んでいるか否かを識別することによって、そのデータパケットが制御シグナリングを搬送しているか否かを決定し、その特定の宛先IPアドレスを前もって構成してもよい。そのセキュリティノードネットワーク要素が、そのデータパケットがその特定の宛先IPアドレスを含んでいるということを識別するときに、そのセキュリティノードネットワーク要素は、そのデータパケットが制御シグナリングを搬送しているということを決定してもよい。一方で、この方式は、あるセキュリティ上の問題を有している。例えば、実際の場合に、制御シグナリングを搬送していないデータパケットの宛先IPアドレスは、端末の中の悪意のあるアプリケーションによって、特定の宛先IPアドレスに設定される場合がある。結果として、制御シグナリングとして考えられ、データパケットの中で搬送されるユーザプレーンデータが、CP  functionに送られ、エラーを引き起こす。
【００５８】
この点を考慮して、本発明の複数の実施形態は、通信方法、及び、その方法に基づくセキュリティノードネットワーク要素、端末、及びシステムを提供する。その方法は、端末によって第1のデータパケットを生成するステップであって、その第1のデータパケットは、第1のユーザプレーンデータ又は第1の制御シグナリングを搬送する、ステップと、端末によってセキュリティノードネットワーク要素に、その第1のデータパケットを送るステップであって、その第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介して送信され、その第1のセキュリティ接続は、第1のユーザプレーンデータを搬送する第1のデータパケットを送信するのに使用され、そして、その第2のセキュリティ接続は、第1の制御シグナリングを搬送する第1のデータパケットを送信するのに使用される、ステップと、そのセキュリティノードネットワーク要素がその第1のデータパケットを受信した後に、その第1のデータパケットが、その第1のセキュリティ接続を介して送信されている場合に、セキュリティノードネットワーク要素によって制御プレーン機能エンティティに、第1の制御シグナリングを送るステップ、又は、その第1のデータパケットが、第2のセキュリティ接続を介して送信されている場合に、セキュリティノードネットワーク要素によってユーザプレーン機能エンティティに、第1のユーザプレーンデータを送るステップ、を含む。
【００５９】
図3を参照して、以下の記載は、本発明の複数の実施形態において提供される複数の解決方法を説明する。
【００６０】
図3は、本発明のある1つの実施形態において提供される通信方法を示している。図3に示されている方法は、部分S310から部分S330を含んでもよく、又は、図3に示されている方法は、部分S310、部分S320、及び部分S330を含んでもよい。
【００６１】
S310.  端末は、第1のデータパケットを生成し、第1のデータパケットは、第1のユーザプレーンデータ又は第1の制御シグナリングを搬送する。
【００６２】
選択的に、いくつかの実装において、第1のデータパケットは、IPsecユーザプレーンデータパケットのフォーマットのデータパケットであってもよく、そのデータパケットは、第1のユーザプレーンデータ又は第1の制御シグナリングを搬送する。
【００６３】
本発明のこの実装において、端末が、制御プレーン機能エンティティに第1の制御シグナリングを送る必要があるときには、その端末は、第1の制御シグナリングを搬送する第1のデータパケットを生成してもよく、或いは、端末が、ユーザプレーン機能エンティティに第1のユーザプレーンデータを送る必要があるときには、その端末は、第1のユーザプレーンデータを搬送する第1のデータパケットを生成してもよいということを理解すべきである。
【００６４】
S320.  端末は、セキュリティノードネットワーク要素に第1のデータパケットを送り、第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介して送信され、第1のセキュリティ接続は、第1のユーザプレーンデータを搬送する第1のデータパケットを送信するのに使用され、そして、第2のセキュリティ接続は、第1の制御シグナリングを搬送する第1のデータパケットを送信するのに使用される。
【００６５】
具体的には、本発明のこの実装において、第1のデータパケットが、第1の制御シグナリングを搬送するときに、端末は、第2のセキュリティ接続を介して、セキュリティノードネットワーク要素に第1のデータパケットを送ってもよく、又は、第1のデータパケットが、第1のユーザプレーンデータを搬送するときに、端末は、第1のセキュリティ接続を介して、セキュリティノードネットワーク要素に第1のデータパケットを送ってもよい。
【００６６】
選択的に、いくつかの実装において、第1のセキュリティ接続及び第2のセキュリティ接続は、複数の異なるセキュリティ接続形態であってもよい。例えば、第1のセキュリティ接続及び第2のセキュリティ接続は、IPsecトンネルであってもよい。具体的には、第1のセキュリティ接続は、第1のIPsecトンネルであってもよく、第2のセキュリティ接続は、第2のIPsecトンネルであってもよい。他の例では、第1のセキュリティ接続及び第2のセキュリティ接続は、LTEトンネルであってもよい。具体的には、第1のセキュリティ接続は、第1のLTEトンネルであってもよく、第2のセキュリティ接続は、第2のLTEトンネルであってもよい。他の例では、第1のセキュリティ接続及び第2のセキュリティ接続は、複数の異なるセキュリティ接続であってもよい。例えば、第1のセキュリティ接続は、IPsecトンネルであってもよく、第2のセキュリティ接続は、LTEトンネルであってもよい。
【００６７】
選択的に、いくつかの実装において、第1のデータパケットが、第1の制御シグナリングを搬送する場合に、第1のデータパケットは、さらに、第2のセキュリティ接続の識別子を搬送してもよく、又は、第1のデータパケットが、第1のユーザプレーンデータを搬送する場合に、第1のデータパケットは、さらに、第1のセキュリティ接続の識別子を搬送してもよい。
【００６８】
選択的に、いくつかの実装において、第2のセキュリティ接続の識別子は、第2のセキュリティパラメータインデックス(Security  Parameter  Index,  SPI)値であってもよく、第1のセキュリティ接続の識別子は、第1のSPI値であってもよい。
【００６９】
セキュリティノードネットワーク要素と端末との間に存在する制御シグナリングを搬送するデータパケット及びユーザプレーンデータを搬送するデータパケットは、それぞれ、複数の異なるセキュリティ接続を介して送信される。このようにして、そのセキュリティノードは、そのデータパケットに付加されるとともに悪意あるアプリケーションが改変する場合がある特定の宛先IPアドレスを使用する必要なく、制御シグナリング又はユーザプレーンデータを搬送しているそのデータパケットを識別し、一方で、非アプリケーション層のセキュリティ接続識別子を使用することによって、それらの複数の異なるセキュリティ接続を介して送られたデータパケットを識別して、それらの複数の異なるセキュリティ接続を介して送られたデータパケットに基づいて、制御シグナリング又はユーザプレーンデータを搬送しているそのデータパケットを識別する。したがって、そのユーザプレーンデータ又は制御シグナリングの送信のセキュリティを改善する。
【００７０】
本発明のこの実装において、端末は、第1のデータパケットを生成し、第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介してセキュリティノードネットワーク要素に送られ、そして、第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続のタイプに対応するデータパケットであってもよいということを理解すべきである。例えば、第1のセキュリティ接続が、第1のIPsecトンネルであるとき、又は、第2のセキュリティ接続が、第2のIPsecトンネルであるとき、端末が生成する第1のデータパケットは、IPsecユーザプレーンデータパケットのフォーマットとなり、或いは、第1のセキュリティ接続又は第2のセキュリティ接続が、LTEトンネルであるとき、端末が生成する第1のデータパケットは、LTEトンネルに対応するユーザプレーンデータパケットのフォーマットとなる。
【００７１】
選択的に、いくつかの実装において、端末は、さらに、セキュリティノードネットワーク要素からの第2のデータパケットを受信してもよく、第2のデータパケットは、第2の制御シグナリング又は第2のユーザプレーンデータを搬送する。第2のデータパケットが、第2の制御シグナリングを搬送するときに、第2のデータパケットは、第2のセキュリティ接続を介して送信され、又は、第2のデータパケットが、第2のユーザプレーンデータを搬送するときに、第2のデータパケットは、第1のセキュリティ接続を介して送信される。第2のデータパケットが、第2のセキュリティ接続を介して送信されている場合に、端末は、制御プレーンプロトコルスタックを使用することによって、第2の制御シグナリングを処理し、又は、第2のデータパケットが、第1のセキュリティ接続を介して送信されている場合に、端末は、ユーザプレーンプロトコルスタックを使用することによって、第2のユーザプレーンデータを処理する。
【００７２】
選択的に、いくつかの実装において、第2のデータパケットが、第2の制御シグナリングを搬送する場合に、第2のデータパケットは、さらに、第2のセキュリティ接続の識別子を搬送してもよく、又は、第2のデータパケットが、第2のユーザプレーンデータを搬送する場合に、第2のデータパケットは、さらに、第1のセキュリティ接続の識別子を搬送してもよい。
【００７３】
選択的に、いくつかの実装において、セキュリティノードネットワーク要素からの第2のデータパケットを受信した後に、端末は、さらに、その第2のデータパケットが、第2のセキュリティ接続又は第1のセキュリティ接続を介して送信されているということを最初に決定してもよい。例えば、第2のデータパケットが、さらに、第2のセキュリティ接続の識別子を搬送するときに、端末は、第2のデータパケットが、第2のセキュリティ接続を介して送信されているということを決定してもよく、又は、第2のデータパケットが、さらに、第1のセキュリティ接続の識別子を搬送するときに、端末は、第2のデータパケットが、第1のセキュリティ接続を介して送信されているということを決定してもよい。
【００７４】
上記の実装において、セキュリティノードネットワーク要素は、第2のセキュリティ接続を介して端末に、第2の制御シグナリングを搬送する第2のデータパケットを送ってもよく、又は、セキュリティノードネットワーク要素は、第1のセキュリティ接続を介して端末に、第2のユーザプレーンデータを搬送する第2のデータパケットを送ってもよい。
【００７５】
選択的に、いくつかの実装において、端末に第2のデータパケットを送る前に、セキュリティノードネットワーク要素は、さらに、制御プレーン機能エンティティからの第2の制御シグナリングを最初に受信してもよく、又は、セキュリティノードネットワーク要素は、さらに、ユーザプレーン機能エンティティからの第2のユーザプレーンデータを最初に受信してもよい。
【００７６】
選択的に、いくつかの実装において、セキュリティノードネットワーク要素が、端末からの第1のデータパケットを受信した後に、セキュリティノードネットワーク要素は、さらに、第1のデータパケットが第2のセキュリティ接続又は第1のセキュリティ接続を介して送信されているということを決定してもよい。例えば、第1のデータパケットが、さらに、第2のセキュリティ接続の識別子を搬送するときに、セキュリティノードネットワーク要素は、第1のデータパケットが、第2のセキュリティ接続を介して送信されているということを決定してもよく、又は、第1のデータパケットが、さらに、第1のセキュリティ接続の識別子を搬送するときに、セキュリティノードネットワーク要素は、第1のデータパケットが、第1のセキュリティ接続を介して送信されているということを決定してもよい。
【００７７】
以下の部分S330及び部分S340は、随意的な部分であり、部分S320を実行した後に、部分S330又は部分S340が実行されるということに留意すべきである。具体的には、第1のデータパケットが第2のセキュリティ接続を介して送信される場合に、部分S330が実行され、又は、第1のデータパケットが第1のセキュリティ接続を介して送信される場合に、部分S340が実行される。
【００７８】
S330.  第1のデータパケットが、第2のセキュリティ接続を介して送信されている場合に、セキュリティノードネットワーク要素は、制御プレーン機能エンティティに第1の制御シグナリングを送る。
【００７９】
具体的には、セキュリティノードネットワーク要素は、第1のデータパケットの中で搬送される第1の制御シグナリングを抽出し、そして、制御プレーン機能エンティティにその第1の制御シグナリングを送ってもよい。
【００８０】
S340.  第1のデータパケットが、第1のセキュリティ接続を介して送信されている場合に、セキュリティノードネットワーク要素は、ユーザプレーン機能エンティティに第1のユーザプレーンデータを送る。
【００８１】
具体的には、セキュリティノードネットワーク要素は、第1のデータパケットの中の第1のユーザプレーンデータを抽出し、そして、ユーザプレーン機能エンティティにその第1のユーザプレーンデータを送ってもよい。
【００８２】
本発明のこの実施形態において、第1のデータパケットが、第1の制御シグナリングを搬送するとき、第1のデータパケットは、第1のセキュリティ接続を介して送信され、又は、第1のデータパケットが、第1のユーザプレーンデータを搬送するとき、第1のデータパケットは、第2のセキュリティ接続を介して送信され、それによって、セキュリティノードネットワーク要素は、第1のデータパケットを送信するのに使用されるセキュリティ接続に基づいて、第1のデータパケットが第1の制御シグナリング又は第1のユーザプレーンデータを搬送しているということを決定してもよい。第1のデータパケットが、第2のセキュリティ接続を介して送信される場合に、セキュリティノードネットワーク要素は、第1のデータパケットが第1の制御シグナリングを搬送しているということを決定し、そして、制御プレーン機能エンティティに第1の制御シグナリングを送ってもよく、又は、第1のデータパケットが、第1のセキュリティ接続を介して送信される場合に、セキュリティノードネットワーク要素は、第1のデータパケットが第1のユーザプレーンデータを搬送しているということを決定し、そして、ユーザプレーン機能エンティティに第1のユーザプレーンデータを送ってもよい。本発明のこの実施形態においては、制御シグナリング及びユーザプレーンデータは、複数の異なるセキュリティ接続を介して送信され、それによって、セキュリティノードネットワーク要素は、データパケットが制御シグナリングを搬送しているか否かを識別するということを理解することが可能である。ある特定の宛先IPアドレスがデータパケットの中に設定される方式と比較して、本発明のこの実施形態の解決方法は、ユーザプレーンデータ又は制御シグナリングの送信のセキュリティを改善する。
【００８３】
第1のセキュリティ接続が第1のIPsecトンネルであるとともに、第2のセキュリティ接続が第2のIPsecトンネルである1つの例を使用することによって、図4及び図5を参照して、図3に示されている方法に基づいて、以下で、本発明のこの実施形態における第1のデータパケットのフォーマットを説明する。
【００８４】
図4は、第1の制御シグナリングを搬送する第1のデータパケットのフォーマットの概略的な図であり、第1のデータパケットは、IPsecユーザプレーンデータパケットのフォーマットであってもよい。
【００８５】
端末が、制御プレーン機能エンティティに第1の制御シグナリングを送る必要があるときに、その端末は、第1のデータパケットを生成する。その第1のデータパケットは、第2のIPsecトンネルの第2のSPI等のセキュリティパラメータインデックス(SPI)を含む。第1のデータパケットを受信した後に、セキュリティノードネットワーク要素は、第1のデータパケットの中の第2のSPIを使用することによって、第1のデータパケットが第2のIPsecトンネルを介して端末によって送られるということを識別してもよく、それにより、第1のデータパケットが第1の制御シグナリングを搬送しているということを決定し、そして、第1のデータパケットから第1の制御シグナリングを抽出してもよい。
【００８６】
図5は、第1のユーザプレーンデータを搬送する第1のデータパケットのフォーマットの概略的な図であり、第1のデータパケットは、IPsecユーザプレーンデータパケットのフォーマットであってもよい。
【００８７】
端末が、ユーザプレーン機能エンティティに第1のユーザプレーンデータを送る必要があるときに、その端末は、第1のデータパケットを生成する。その第1のデータパケットは、第1のIPsecトンネルの第1のSPI等のSPIを含む。第1のデータパケットを受信した後に、セキュリティノードネットワーク要素は、第1のデータパケットの中の第1のSPIを使用することによって、そのデータパケットが第1のIPsecトンネルを介して送られたということを識別してもよく、それにより、第1のデータパケットが第1のユーザプレーンデータを搬送しているということを決定し、そして、第1のデータパケットから第1のユーザプレーンデータを抽出してもよい。
【００８８】
セキュリティノードネットワーク要素は、第1のデータパケットの中で搬送されるセキュリティパラメータインデックスSPI値に基づいて、複数の異なるIPsecトンネルを使用することによって送られる第1のデータパケットを識別して、その第1のデータパケットが、第1の制御シグナリングを搬送するのか、或いは、第1のユーザプレーンデータを搬送するのかを決定してもよい。そのSPI値は、非アプリケーション層のセキュリティ接続識別子である。したがって、悪意のあるアプリケーションによる改変を無力化することが可能であり、送信のセキュリティを改善する。
【００８９】
選択的に、いくつかの実装において、図3に示されている方法が実行される前に、本発明のこの実施形態の方法は、第1のセキュリティ接続及び第2のセキュリティ接続を確立するステップをさらに含んでもよい。
【００９０】
具体的には、上記の実装において、第1のセキュリティ接続は、第1のIPsecトンネルであってもよく、第2のセキュリティ接続は、第2のIPsecトンネルであってもよい。第1のIPsecトンネルは、端末のアタッチ処理の中で確立されてもよく、第1のIPsecトンネルが確立された後に、第2のIPsecトンネルは、第1のIPsecトンネルを確立する過程で交渉された鍵及びアルゴリズムを使用することによって、続けて確立されてもよい。
【００９１】
第1のセキュリティ接続が第1のIPsecトンネルであり、第2のセキュリティ接続が第2のIPsecトンネルであり、セキュリティノードネットワーク要素がN3CNGWである1つの例を使用することによって、図6を参照して、以下で、本発明のある1つの実施形態における第1のIPsecトンネル及び第2のIPsecトンネルを確立するプロセスを説明する。本発明のこの実施形態においては、第1のセキュリティ接続及び第2のセキュリティ接続は、代替的に、他の形態のトンネル又は他の形態のセキュリティ接続であってもよいということを理解すべきである。このことは、本発明のこの実施形態においては限定されず、当業者は、創造的な努力なくして、他の形態のセキュリティ接続を確立することが可能である。
【００９２】
図6は、本発明のある1つの実施形態にしたがって、端末とN3CNGWとの間に第1のIPsecトンネル及び第2のIPsecトンネルを確立することの概略的なフローチャートである。
【００９３】
S1において、端末は、非3GPPアクセスネットワークへのインターネットプロトコル(Internet  Protocol,  IP)接続を確立する。
【００９４】
S2において、端末は、非3GPPコアネットワーク要素N3CNGWを選択する。
【００９５】
S3において、端末は、ステップS2で選択されたN3CNGWとその端末との間でインターネット鍵交換セキュリティ接続初期化を実行する。
【００９６】
ステップS3においては、端末は、その端末とN3CNGWとの間でシグナリングによる対話を実行することによって、セキュリティ接続のセキュリティパラメータインデックスを取得する。
【００９７】
S4において、端末は、N3CNGWに認証要求を送り、その認証要求は、その端末の識別子を含む。
【００９８】
S5において、N3CNGWは、端末に認証応答を送り、その認証応答は、N3CNGWの識別子を含む。
【００９９】
S6において、端末は、再度、N3CNGWに認証要求を送り、その認証要求は、EAP-RSPシグナリングを含み、EAP-RSPは、回答メッセージを含み、その回答メッセージは、EAP認証プロセスにおいて、端末が合法であるか否かを検証するのに使用される。
【０１００】
S7において、N3CNGWは、制御プレーン機能エンティティに拡張認証プロトコル応答を送り、その拡張認証プロトコル応答は、EAP-RSPシグナリングを含む。
【０１０１】
S8において、制御プレーン機能エンティティは、N3CNGWに拡張認証プロトコル要求を送り、その拡張認証プロトコル要求は、EAP-RSQを含み、EAP-RSQは、EAP認証プロセスにおけるシグナリングである。
【０１０２】
S9において、N3CNGWは、端末に認証応答を送り、その認証応答は、N3CNGWの識別子及びEAP-RSPを含み、そのEAP-RSPは、EAP認証プロセスにおけるシグナリングである。
【０１０３】
S10において、端末は、N3CNGWに認証要求を送る。
【０１０４】
S11において、N3CNGWは、制御プレーン機能エンティティに拡張認証プロトコル応答を送る。
【０１０５】
S12において、制御プレーン機能エンティティは、N3CNGWに拡張認証成功シグナリングを送る。
【０１０６】
S13において、制御プレーン機能エンティティは、その制御プレーン機能エンティティとN3CNGWとの間でシグナリングによる対話を実行することによって、セキュリティコンテキスト情報を取得する。
【０１０７】
S14において、N3CNGWは、端末に認証応答を送り、その応答に関する情報は、第1のIPsecトンネルの確立に成功しているということを示すメッセージを含む。
【０１０８】
S15において、端末は、N3CNGWに、チャイルドセキュリティ接続の確立の要求を送り、その要求は、第2のIPsecトンネルのSPI値を含む。
【０１０９】
S16において、N3CNGWは、端末に、チャイルドセキュリティ接続の確立に対する応答を送り、その応答は、第2のIPsecトンネルのSPI値を含む。
【０１１０】
上記のステップが実行された後に、端末とN3CNGWとの間に第1のIPsecトンネル及び第2のIPsecトンネルを確立する。本発明のこの実装において、第2のIPsecトンネルは、第1のIPsecトンネルに基づいて確立される、すなわち、第2のIPsecトンネルは、第1のIPsecトンネルを確立する過程で交渉される鍵及びアルゴリズムを使用することによって確立されてもよいということを理解すべきである。もちろん、当業者は、第2のIPsecトンネルを確立するプロセスが、第1のIPsecトンネルを確立するプロセスと同じであってもよいということ、すなわち、2つの全く異なるIPsecトンネルが個別に確立されてもよいということを創造的な努力を行うことなく容易に思いつくことが可能である。
【０１１１】
本発明のこの実装において、第2のIPsecトンネルは、第1のIPsecトンネルに基づいて確立されてもよいということをさらに理解すべきである。この場合には、データパケットが、端末とセキュリティノードネットワーク要素との間で送信されるときに、制御シグナリングを搬送するデータパケットは、第1のIPsecトンネルを介して送信されてもよく、及び/又は、ユーザプレーンデータを搬送するデータパケットは、第2のIPsecトンネルを介して送信されてもよい。このことは本発明においては限定されない。
【０１１２】
本発明のこの実装において、第1のIPsecトンネル及び第2のIPsecトンネルは、互いに独立して確立されてもよいということをさらに理解すべきである。この場合には、連続番号"第1の"及び"第2の"は、複数の異なるIPsecトンネルの間での区別を意図しているにすぎず、本発明の複数の実施形態の保護範囲に対するいかなる限定も構成するべきではない。
【０１１３】
図1Bに示されているネットワークアーキテクチャにおいて、ダウンリンクデータパケットを受信するときに、端末は、ダウンリンクデータパケットが制御シグナリングを搬送しているか否かを識別する必要がある。ダウンリンクデータパケットが制御シグナリングを搬送している場合には、端末は、その制御シグナリングを抽出し、制御プレーンプロトコルスタックを使用することによって、その制御シグナリングを処理するか、又は、ダウンリンクデータパケットがユーザプレーンデータを搬送している場合には、端末は、ユーザプレーンプロトコルスタックを使用することによって、そのダウンリンクデータパケットの中のユーザプレーンデータを処理する。アップリンクデータパケットの送信と同様に、既存の解決方法においては、制御シグナリングを搬送していないダウンリンクデータパケットの宛先IPアドレスも、また、端末の中の悪意のあるアプリケーションによって特定の宛先IPアドレスに設定される場合がある。その結果、ダウンリンクデータパケットの中で搬送されるユーザプレーンデータは、制御プレーンプロトコルスタックを使用することによって処理され、エラーを引き起こす。このことを考慮して、本発明の複数の実施形態は、他の通信方法、及び、その方法に基づくセキュリティノードネットワーク要素、端末、及びシステムを提供する。その方法は、制御プレーン機能エンティティからの第2の制御シグナリングをセキュリティノードネットワーク要素によって受信するステップ、又は、ユーザプレーン機能エンティティからの第2のユーザプレーンデータをセキュリティノードネットワーク要素によって受信するステップ、セキュリティノードネットワーク要素によって端末に、第2のデータパケットを送るステップであって、第2のデータパケットは、第2の制御シグナリング又は第2のユーザプレーンデータを搬送し、そして、第2のデータパケットが、第2の制御シグナリングを搬送しているときに、第2のデータパケットは、第2のセキュリティ接続を介して送信され、又は、第2のデータパケットが、第2のユーザプレーンデータを搬送しているときに、第2のデータパケットは、第1のセキュリティ接続を介して送信される、ステップ、及び、第2のデータパケットが、第2のセキュリティ接続を介して送信されている場合に、端末によって、制御プレーンプロトコルスタックを使用することによって、第2の制御シグナリングを処理するステップ、又は、第2のデータパケットが、第1のセキュリティ接続を介して送信されている場合に、端末によって、ユーザプレーンプロトコルスタックを使用することによって、第2のユーザプレーンデータを処理するステップ、を含む。
【０１１４】
図7を参照して、以下で、本発明のある1つの実施形態において提供される通信方法を説明する。図7に示されている方法は、図3に示されている方法に基づいて実行されてもよく、又は、図3に示されている方法に基づかずに実行されてもよい。図7に示されているように、その通信方法は、以下のステップを含む。
【０１１５】
S710.  セキュリティノードネットワーク要素は、制御プレーン機能エンティティからの第2の制御シグナリングを受信する。
【０１１６】
具体的には、S710において、制御プレーン機能エンティティが、端末に第2の制御シグナリングを送る必要があるときに、その制御プレーン機能エンティティは、セキュリティノードネットワーク要素にその第2の制御シグナリングを送る。その第2の制御シグナリングは、非アクセス階層(NAS)シグナリング等を含んでもよい。このことは本発明においては限定されない。
【０１１７】
選択的に、いくつかの実装において、セキュリティノードネットワーク要素が、制御プレーン機能エンティティによって送られた第2の制御シグナリングを受信した後に、そのセキュリティノードネットワーク要素は、第2の制御シグナリングを搬送する第2のデータパケットを生成してもよい。
【０１１８】
S720.  セキュリティノードネットワーク要素は、ユーザプレーン機能エンティティからの第2のユーザプレーンデータを受信する。
【０１１９】
具体的には、S720において、ユーザプレーン機能エンティティが、端末に第2のユーザプレーンデータを送る必要があるときに、そのユーザプレーン機能エンティティは、セキュリティノードネットワーク要素にその第2のユーザプレーンデータを送る。
【０１２０】
選択的に、いくつかの実装において、セキュリティノードネットワーク要素が、ユーザプレーン機能エンティティによって送られた第2のユーザプレーンデータを受信した後に、そのセキュリティノードネットワーク要素は、第2のユーザプレーンデータを搬送する第2のデータパケットを生成してもよい。
【０１２１】
上記の部分S710及びS720は、随意的な部分であるということに留意すべきである。S710が実行されるときに、部分S710に対応する内容のステップが、以下の部分S730及びS740において個別に実行される。部分S720が実行されるときに、部分S720に対応する内容のステップが、以下の部分S730及びS740において個別に実行される。
【０１２２】
選択的に、いくつかの実装において、セキュリティノードネットワーク要素が、制御プレーン機能エンティティによって送られた第2の制御シグナリングを受信するステップS710を実行した後に、そのセキュリティノードネットワーク要素は、第2の制御シグナリングに基づいて、第2のデータパケットを生成し、その第2のデータパケットは、第2の制御シグナリングを搬送する。
【０１２３】
具体的には、制御プレーン機能エンティティによって送られた第2の制御シグナリングを受信した後に、セキュリティノードネットワーク要素は、第2のデータパケットを送信するためのセキュリティ接続のタイプに基づいて、第2のデータパケットを生成し、その第2のデータパケットは、制御プレーン機能エンティティによって送られた第2の制御シグナリングを含む。
【０１２４】
選択的に、いくつかの実施形態において、セキュリティノードネットワーク要素が、ユーザプレーン機能エンティティによって送られた第2のユーザプレーンデータを受信するステップS720を実行した後に、セキュリティノードネットワーク要素は、第2のユーザプレーンデータに基づいて、第2のデータパケットを生成し、その第2のデータパケットは、第2のユーザプレーンデータを搬送する。
【０１２５】
具体的には、ユーザプレーン機能エンティティによって送られた第2のユーザプレーンデータを受信した後に、セキュリティノードネットワーク要素は、第2のデータパケットを送信するためのセキュリティ接続のタイプに基づいて、第2のデータパケットを生成し、その第2のデータパケットは、ユーザプレーン機能エンティティによって送られた第2のユーザプレーンデータを含む。
【０１２６】
選択的に、いくつかの実装において、第2のデータパケットが第2の制御シグナリングを搬送しているときに、第2のデータパケットは、さらに、第2のセキュリティ接続の識別子を搬送するか、又は、第2のデータパケットが第2のユーザプレーンデータを搬送しているときに、第2のデータパケットは、さらに、第1のセキュリティ接続の識別子を搬送してもよい。すなわち、S710が実行されるときに、セキュリティノードネットワーク要素が生成した第2のデータパケットは、さらに、第2のセキュリティ接続の識別子を搬送するか、又は、S720が実行されるときに、セキュリティノードネットワーク要素が生成した第2のデータパケットは、さらに、第1のセキュリティ接続の識別子を搬送する。
【０１２７】
S730.  セキュリティノードネットワーク要素は、端末に第2のデータパケットを送り、第2のデータパケットは、第2の制御シグナリング又は第2のユーザプレーンデータを搬送し、第2のデータパケットが、第2の制御シグナリングを搬送するときに、第2のデータパケットは、第2のセキュリティ接続を介して送信され、又は、第2のデータパケットが、第2のユーザプレーンデータを搬送するときに、第2のデータパケットは、第1のセキュリティ接続を介して送信される。
【０１２８】
選択的に、いくつかの実装において、端末が、セキュリティノードネットワーク要素からの第2のデータパケットを受信した後に、その端末は、さらに、第2のデータパケットが、第2のセキュリティ接続又は第1のセキュリティ接続を介して送信されているということを決定してもよい。例えば、第2のデータパケットが、さらに、第2のセキュリティ接続の識別子を搬送するときに、セキュリティノードネットワーク要素は、第2のデータパケットが、第2のセキュリティ接続を介して送信されているということを決定してもよく、又は、第2のデータパケットが、さらに、第1のセキュリティ接続の識別子を搬送するときに、セキュリティノードネットワーク要素は、さらに、第2のデータパケットが、第1のセキュリティ接続を介して送信されているということを決定してもよい。
【０１２９】
具体的には、本発明のこの実装において、第2のデータパケットの中で搬送されるセキュリティ接続識別子が、第1のセキュリティ接続の識別子であるということを識別するときに、端末は、第1のセキュリティ接続が、セキュリティノードネットワーク要素が第2のデータパケットを送るのに使用するセキュリティ接続であるということを決定し、又は、第1のデータパケットの中で搬送されるセキュリティ接続識別子が、第1のセキュリティ接続の識別子であるということを識別するときに、端末は、第1のセキュリティ接続が、セキュリティノードネットワーク要素が第1のデータパケットを送るのに使用するセキュリティ接続であるということを決定する。
【０１３０】
S740.  端末は、第2のデータパケットの中の第2の制御シグナリング又は第2のユーザプレーンデータを処理し、第2のデータパケットが、第2のセキュリティ接続を介して送信されている場合に、端末は、制御プレーンプロトコルスタックを使用することによって、第2の制御シグナリングを処理し、又は、第2のデータパケットが、第1のセキュリティ接続を介して送信されている場合に、端末は、ユーザプレーンプロトコルスタックを使用することによって、第2のユーザプレーンデータを処理する。
【０１３１】
具体的には、本発明のこの実装において、端末は、セキュリティノードネットワーク要素が送った第2のデータパケットを受信し、そして、第2のデータパケットの中のセキュリティ接続識別子を使用することによって、第2のデータパケットが、第2のセキュリティ接続を介して送られているということ、又は、第1のセキュリティ接続を介して送られているということ、を決定する。すなわち、端末は、第2のデータパケットの中のセキュリティ接続識別子に基づいて、第2のデータパケットを送るためのセキュリティ接続が、第2のセキュリティ接続又は第1のセキュリティ接続であるということを識別する。端末が、第2のデータパケットが第2のセキュリティ接続を介して送られているということを識別するときに、その端末は、第2のデータパケットの中の第2の制御シグナリングを取得し、そして、処理のために、制御プレーンプロトコルスタックに第2の制御シグナリングを提示し、又は、端末が、第2のデータパケットが第1のセキュリティ接続を介して送られているということを識別するときに、その端末は、第2のデータパケットの中の第2のユーザプレーンデータを取得し、そして、処理のために、ユーザプレーンプロトコルスタックに第2のユーザプレーンデータを提示する。
【０１３２】
図7に示されている方法においては、第1のセキュリティ接続、第2のセキュリティ接続、第1のセキュリティ接続の識別子、及び第2のセキュリティ接続の識別子に関連する内容については、図3の詳述された説明を参照してもよいということに留意すべきである。ここでは、詳細は説明しない。
【０１３３】
ユーザプレーンデータ及び制御シグナリングは、それぞれ、2つの異なるセキュリティ接続を介して送信される。制御シグナリングが送信されるときには、その制御シグナリングを搬送するデータパケットは、第2のセキュリティ接続を介して送信され、ユーザプレーンデータを搬送するデータパケットは、第1のセキュリティ接続を介して送信される。データパケットを受信した後に、セキュリティノードネットワーク要素又は端末は、そのデータパケットの中の目標セキュリティ接続識別子を使用することによって、データパケットを送るための目標セキュリティ接続を識別し、そして、データパケットを送信するための目標セキュリティ接続に基づいて、そのデータパケットがユーザプレーンデータを搬送しているのか又は制御シグナリングを搬送しているのかを決定する。目標セキュリティ接続識別子は、非アプリケーション層、ネットワーク層、又はトランスポート層の識別子である。したがって、悪意のあるアプリケーションによる改変を無力化することが可能であり、送信のセキュリティを改善する。
【０１３４】
本発明のこの実装において、上記の手順における順序番号は、実行順序を意味するものではなく、それらの手順の実行順序は、それらの機能及び内部論理に基づいて決定されるべきであり、本発明のこの実施形態の実装プロセスに対するいかなる限定も構成するべきではないことを理解すべきである。
【０１３５】
本発明の複数の実施形態における通信方法は、相互作用の観点から上記で詳細に説明されており、本発明のそれらの複数の実施形態において通信に使用されるセキュリティノードネットワーク要素及び端末は、以下で詳細に説明されている。
【０１３６】
図8は、本発明のある1つの実施形態にしたがったセキュリティノードネットワーク要素の概略的なブロック図である。セキュリティノードネットワーク要素の複数の機能モジュールは、そのセキュリティノードネットワーク要素が実行するとともに、図3、図6、及び図7に示されている方法に関連するステップ及び/又は手順を対応して実行してもよい。そのセキュリティノードネットワーク要素は、
端末からの第1のデータパケットを受信するように構成される第1の受信モジュール810であって、第1のデータパケットは、第1のユーザプレーンデータ又は第1の制御シグナリングを搬送し、第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介して送信され、第1のセキュリティ接続は、第1のユーザプレーンデータを搬送する第1のデータパケットを送信するのに使用され、そして、第2のセキュリティ接続は、第1の制御シグナリングを搬送する第1のデータパケットを送信するのに使用される、第1の受信モジュール810と、
第1の送出モジュール820と、を含み、第1の送出モジュールは、第1のデータパケットが、第2のセキュリティ接続を介して送信されている場合に、制御プレーン機能エンティティに第1の制御シグナリングを送るように構成されるか、又は、第1の送出モジュールは、第1のデータパケットが、第1のセキュリティ接続を介して送信されている場合に、ユーザプレーン機能エンティティに第1のユーザプレーンデータを送るように構成される。
【０１３７】
セキュリティノードネットワーク要素と端末との間に存在する制御シグナリングを搬送するデータパケット及びユーザプレーンデータを搬送するデータパケットは、それぞれ、複数の異なるセキュリティ接続を介して送信される。このようにして、そのセキュリティノードネットワーク要素は、そのデータパケットの中に存在するとともに悪意あるアプリケーションが改変する場合がある特定の宛先IPアドレスを使用する必要なく、そのデータパケットが制御シグナリングを搬送しているのか、又は、ユーザプレーンデータを搬送しているのかを識別し、一方で、非アプリケーション層、ネットワーク層、又はトランスポート層のセキュリティ接続識別子を使用することによって、それらの複数の異なるセキュリティ接続によって送られたデータパケットを識別し、そして、それらの複数の異なるセキュリティ接続によって送られたデータパケットを識別することによって、そのデータパケットが制御シグナリングを搬送しているのか、又は、ユーザプレーンデータを搬送しているのかを決定する。したがって、その悪意あるアプリケーションによる改変を無力化することが可能であり、そのユーザプレーンデータ又は制御シグナリングの送信のセキュリティを改善する。
【０１３８】
選択的に、いくつかの実装において、セキュリティノードネットワーク要素は、
第2の送出モジュールをさらに含み、第2の送出モジュールは、第2のセキュリティ接続を介して端末に、第2のデータパケットを送るように構成され、第2のデータパケットは、第2の制御シグナリングを搬送するか、又は、
第2の送出モジュールは、第1のセキュリティ接続を介して端末に、第2のデータパケットを送るように構成され、第2のデータパケットは、第2のユーザプレーンデータを搬送する。
【０１３９】
選択的に、いくつかの実装において、セキュリティノードネットワーク要素は、
第2の受信モジュールをさらに含み、第2の受信モジュールは、制御プレーン機能エンティティからの第2の制御シグナリングを受信するように構成されるか、又は、第2の受信モジュールは、ユーザプレーン機能エンティティからの第2のユーザプレーンデータを受信するように構成される。
【０１４０】
選択的に、いくつかの実装において、第2のデータパケットが、第2の制御シグナリングを搬送するときに、第2のデータパケットは、さらに、第2のセキュリティ接続の識別子を搬送し、又は、第2のデータパケットが、第2のユーザプレーンデータを搬送するときに、第2のデータパケットは、さらに、第1のセキュリティ接続の識別子を搬送する。
【０１４１】
選択的に、いくつかの実装において、セキュリティノードネットワーク要素は、
第1の受信モジュールが第1のデータパケットを受信した後に、第1のデータパケットが、第2のセキュリティ接続又は第1のセキュリティ接続を介して送信されているということを決定するように構成される決定モジュールをさらに含む。
【０１４２】
選択的に、いくつかの実装において、第1のデータパケットは、さらに、第2のセキュリティ接続の識別子又は第1のセキュリティ接続の識別子を搬送し、決定モジュールは、特に、
第1のデータパケットが、さらに、第2のセキュリティ接続の識別子を搬送するときに、第1のデータパケットが、第2のセキュリティ接続を介して送信されているということを決定するか、又は、
第1のデータパケットが、さらに、第1のセキュリティ接続の識別子を搬送するときに、第1のデータパケットが、第1のセキュリティ接続を介して送信されているということを決定する、
ように構成される。
【０１４３】
選択的に、いくつかの実装において、第1のセキュリティ接続は、第1のインターネットプロトコルセキュリティIPsecトンネルであり、第2のセキュリティ接続は、第2のIPsecトンネルである。
【０１４４】
選択的に、いくつかの実装において、第2のセキュリティ接続の識別子は、第2のセキュリティパラメータインデックスSPI値であり、第1のセキュリティ接続の識別子は、第1のSPI値である。
【０１４５】
本明細書でのセキュリティノードネットワーク要素は、機能モジュールの形態で実現されるということを理解すべきである。本明細書における"モジュール"の語は、1つ又は複数のソフトウェアプログラム又はファームウェアプログラムを実行するように構成される特定用途向け集積回路、電子回路、(例えば、共有プロセッサ、専用プロセッサ、又はプロセッサのグループ等の)プロセッサ、メモリ、マージ論理回路、及び/又は説明された機能をサポートする他の適切な構成要素であってもよい。セキュリティノードネットワーク要素は、上記の方法の実施形態におけるセキュリティノードネットワーク要素に対応する手順及び/又はステップを実行するように構成されてもよい。繰り返しを避けるために、本明細書においては、詳細は再度説明されない。
【０１４６】
図9は、本発明のある1つの実施形態にしたがった端末の概略的なブロック図である。その端末の複数の機能モジュールは、その端末が実行するとともに、図3、図6、及び図7に示されている方法に関連するステップ及び/又は手順を対応して実行してもよい。その端末は、
第1のデータパケットを生成するように構成される生成モジュール910であって、第1のデータパケットは、第1のユーザプレーンデータ又は第1の制御シグナリングを搬送する、生成モジュール910と、
セキュリティノードネットワーク要素に第1のデータパケットを送るように構成される送出モジュール920であって、第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介して送信され、第1のセキュリティ接続は、第1のユーザプレーンデータを搬送する第1のデータパケットを送信するのに使用され、そして、第2のセキュリティ接続は、第1の制御シグナリングを搬送する第1のデータパケットを送信するのに使用される、送出モジュール920と、を含む。
【０１４７】
セキュリティノードネットワーク要素と端末との間に存在する制御シグナリングを搬送するデータパケット及びユーザプレーンデータを搬送するデータパケットは、それぞれ、複数の異なるセキュリティ接続を介して送信される。このようにして、その端末は、そのデータパケットの中に存在するとともに悪意あるアプリケーションが改変する場合がある特定の宛先IPアドレスを使用する必要なく、そのデータパケットが制御シグナリング又はユーザプレーンデータを搬送しているということを識別し、一方で、非アプリケーション層のセキュリティ接続識別子を使用することによって、それらの複数の異なるセキュリティ接続によって送られたデータパケットを識別して、それらの複数の異なるセキュリティ接続によって送られたデータパケットに基づいて、制御シグナリング又はユーザプレーンデータを搬送しているそのデータパケットを識別する。したがって、そのユーザプレーンデータ又は制御シグナリングの送信のセキュリティを改善する。
【０１４８】
選択的に、いくつかの実装において、端末は、
セキュリティノードネットワーク要素からの第2のデータパケットを受信するように構成される受信モジュールであって、第2のデータパケットは、第2の制御シグナリング又は第2のユーザプレーンデータを搬送し、そして、第2のデータパケットが、第2の制御シグナリングを搬送するときに、第2のデータパケットは、第2のセキュリティ接続を介して送信され、又は、第2のデータパケットが、第2のユーザプレーンデータを搬送するときに、第2のデータパケットは、第1のセキュリティ接続を介して送信される、受信モジュールと、
処理モジュールと、をさらに含み、処理モジュールは、第2のデータパケットが、第2のセキュリティ接続を介して送信されている場合に、制御プレーンプロトコルスタックを使用することによって、第2の制御シグナリングを処理するように構成されるか、又は、
処理モジュールは、第2のデータパケットが、第1のセキュリティ接続を介して送信されている場合に、ユーザプレーンプロトコルスタックを使用することによって、第2のユーザプレーンデータを処理するように構成される。
【０１４９】
選択的に、いくつかの実装において、端末は、
受信モジュールが、セキュリティノードネットワーク要素からの第2のデータパケットを受信した後に、第2のデータパケットが、第2のセキュリティ接続又は第1のセキュリティ接続を介して送信されているということを決定するように構成される決定モジュールをさらに含む。
【０１５０】
選択的に、いくつかの実装において、第2のデータパケットは、さらに、第2のセキュリティ接続の識別子又は第1のセキュリティ接続の識別子を搬送し、決定モジュールは、特に、
第2のデータパケットが、さらに、第2のセキュリティ接続の識別子を搬送するときに、第2のデータパケットが、第2のセキュリティ接続を介して送信されているということを決定するか、又は、
第2のデータパケットが、さらに、第1のセキュリティ接続の識別子を搬送するときに、第2のデータパケットが、第1のセキュリティ接続を介して送信されているということを決定する、
ように構成される。
【０１５１】
選択的に、いくつかの実装において、第1のデータパケットが、第1の制御シグナリングを搬送する場合に、第1のデータパケットは、さらに、第2のセキュリティ接続の識別子を搬送し、又は、第1のデータパケットが、第1のユーザプレーンデータを搬送する場合に、第1のデータパケットは、さらに、第1のセキュリティ接続の識別子を搬送する。
【０１５２】
選択的に、いくつかの実装において、第1のセキュリティ接続は、第1のインターネットプロトコルセキュリティIPsecトンネルであり、第2のセキュリティ接続は、第2のIPsecトンネルである。
【０１５３】
選択的に、いくつかの実装において、第2のセキュリティ接続の識別子は、第2のセキュリティパラメータインデックスSPI値であり、第1のセキュリティ接続の識別子は、第1のSPI値である。
【０１５４】
本明細書での端末は、機能モジュールの形態で実現されるということを理解すべきである。本明細書における"モジュール"の語は、1つ又は複数のソフトウェアプログラム又はファームウェアプログラムを実行するように構成される特定用途向け集積回路、電子回路、(例えば、共有プロセッサ、専用プロセッサ、又はプロセッサのグループ等の)プロセッサ、メモリ、マージ論理回路、及び/又は説明された機能をサポートする他の適切な構成要素であってもよい。端末は、上記の方法の実施形態における端末に対応する手順及び/又はステップを実行するように構成されてもよい。繰り返しを避けるために、本明細書においては、詳細は再度説明されない。
【０１５５】
図10は、本発明のある1つの実施形態にしたがった他のセキュリティノードネットワーク要素の概略的なブロック図である。セキュリティノードネットワーク要素の複数の構成要素は、そのセキュリティノードネットワーク要素が実行するとともに、図3、図6、及び図7に示されている方法に関連するステップ及び/又は手順を対応して実行してもよい。そのセキュリティノードネットワーク要素は、プロセッサ1001、メモリ1002、及びトランシーバー1003を含む。そのセキュリティノードネットワーク要素の複数の構成要素は、ある接続方式で共に接続されている。トランシーバー1003は、アンテナ1004を使用することによってデータを受信し及び送る。
【０１５６】
本発明の上記の実施形態において開示されている複数の方法は、プロセッサ1001に適用されてもよく、又は、プロセッサ1001によって実装される。プロセッサ1001は、集積回路チップであってもよく、信号処理能力を有している。ある実装プロセスにおいて、上記の複数の方法のステップは、プロセッサ1001の中のハードウェアの集積論理回路又はソフトウェアの形態の命令を使用することによって実行されてもよい。プロセッサ1001は、汎用プロセッサ、システムオンチップ(System-on-a-Chip,  SOC)、ベースバンドプロセッサ、ディジタル信号プロセッサ(Digital  Signal  Processor,  DSP)、特定用途向け集積回路(Application  Specific  Integrated  Circuit,  ASIC)、フィールドプログラマブルゲートアレイ(Field  Programmable  Gate  Array,  FPGA)、又は他のプログラム可能な論理デバイス、ディスクリートゲート又はトランジスタ論理デバイス、又はディスクリートハードウェア構成要素であってもよい。プロセッサは、本発明の複数の実施形態において開示されている方法、ステップ、及び論理ブロック図を実装し又は実行してもよい。汎用プロセッサは、マイクロプロセッサであってもよく、又は、プロセッサは、いずれかの従来のプロセッサ等であってもよい。本発明の複数の実施形態に開示されている方法のステップは、ハードウェア復号化プロセッサによって直接的に実行されそして完了することが可能であり、或いは、復号化プロセッサの中のハードウェアモジュール及びソフトウェアモジュールの組み合わせを使用することによって、実行されそして完了することが可能である。ソフトウェアモジュールは、ランダムアクセスメモリ(Random  Access  Memory,  RAM)、フラッシュメモリ、読み出し専用メモリ(Read-Only  Memory,  ROM)、プログラム可能な読み出し専用メモリ、電気的に消去可能かつプログラム可能なメモリ、又はレジスタ等のこの技術分野において成熟した記憶媒体の中に位置していてもよい。記憶媒体は、メモリ1002の中に位置している。プロセッサ1001は、メモリ1002の中の命令を読み取り、そして、プロセッサのハードウェアとの関連で上記の方法のステップを実行する。
【０１５７】
トランシーバー1003は、端末からの第1のデータパケットを受信するように構成され、第1のデータパケットは、第1のユーザプレーンデータ又は第1の制御シグナリングを搬送し、第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介して送信され、第1のセキュリティ接続は、第1のユーザプレーンデータを搬送する第1のデータパケットを送信するのに使用され、そして、第2のセキュリティ接続は、第1の制御シグナリングを搬送する第1のデータパケットを送信するのに使用され、
トランシーバー1003は、さらに、第1のデータパケットが、第2のセキュリティ接続を介して送信されている場合に、制御プレーン機能エンティティに第1の制御シグナリングを送るように構成されるか、又は、トランシーバー1003は、第1のデータパケットが、第1のセキュリティ接続を介して送信されている場合に、ユーザプレーン機能エンティティに第1のユーザプレーンデータを送るように構成される。
【０１５８】
本発明のこの実装におけるセキュリティノードネットワーク要素に基づいて、第1のセキュリティ接続又は第2のセキュリティ接続を介して、第1のデータパケットを送信する必要があり、目標セキュリティ接続によって、第1のデータパケットを検証する必要がある。すなわち、第1のデータパケットの中の目標セキュリティ接続識別子が、第1のセキュリティ接続に対応するセキュリティ接続識別子であるときは、第1のセキュリティ接続を介してのみ、その第1のデータパケットを送信することが可能であり、又は、第1のデータパケットの中の目標セキュリティ接続識別子が、第2のセキュリティ接続に対応するセキュリティ接続識別子であるときは、第2のセキュリティ接続を介してのみ、その第1のデータパケットを送信することが可能である。そのセキュリティ接続識別子は、非アプリケーション層、ネットワーク層、又はトランスポート層の識別子であり、それによって、悪意のあるアプリケーションが層識別子を変更することを防ぐことが可能であり、送信のセキュリティを改善する。
【０１５９】
選択的に、いくつかの実装において、セキュリティノードネットワーク要素のトランシーバー1003は、さらに、
第2のセキュリティ接続を介して端末に、第2のデータパケットを送り、第2のデータパケットは、第2の制御シグナリングを搬送するか、又は、第1のセキュリティ接続を介して端末に、第2のデータパケットを送り、第2のデータパケットは、第2のユーザプレーンデータを搬送する、
ように構成される。
【０１６０】
選択的に、いくつかの実装において、セキュリティノードネットワーク要素のトランシーバー1003は、さらに、制御プレーン機能エンティティからの第2の制御シグナリングを受信するように構成されるか、又は、ユーザプレーン機能エンティティからの第2のユーザプレーンデータを受信するように構成される。
【０１６１】
選択的に、いくつかの実装において、第2のデータパケットが、第2の制御シグナリングを搬送するときに、第2のデータパケットは、さらに、第2のセキュリティ接続の識別子を搬送し、又は、第2のデータパケットが、第2のユーザプレーンデータを搬送するときに、第2のデータパケットは、さらに、第1のセキュリティ接続の識別子を搬送する。
【０１６２】
選択的に、いくつかの実装において、セキュリティノードネットワーク要素のプロセッサ1001は、トランシーバー1003が第1のデータパケットを受信した後に、第1のデータパケットが、第2のセキュリティ接続又は第1のセキュリティ接続を介して送信されているということを決定するように構成される。
【０１６３】
選択的に、いくつかの実装において、第1のデータパケットは、さらに、第2のセキュリティ接続の識別子又は第1のセキュリティ接続の識別子を搬送し、プロセッサ1001は、特に、
第1のデータパケットが、さらに、第2のセキュリティ接続の識別子を搬送するときに、第1のデータパケットが、第2のセキュリティ接続を介して送信されているということを決定するか、又は、
第1のデータパケットが、さらに、第1のセキュリティ接続の識別子を搬送するときに、第1のデータパケットが、第1のセキュリティ接続を介して送信されているということを決定する、
ように構成される。
【０１６４】
選択的に、いくつかの実装において、第1のセキュリティ接続は、第1のインターネットプロトコルセキュリティIPsecトンネルであり、第2のセキュリティ接続は、第2のIPsecトンネルである。
【０１６５】
選択的に、いくつかの実装において、第2のセキュリティ接続の識別子は、第2のセキュリティパラメータインデックスSPI値であり、第1のセキュリティ接続の識別子は、第1のSPI値である。
【０１６６】
セキュリティノードネットワーク要素は、上記の方法の実施形態におけるセキュリティノードネットワーク要素に対応する手順及び/又はステップを実行するように構成されてもよいということを理解すべきである。繰り返しを避けるために、本明細書においては、詳細は再度説明されない。
【０１６７】
図11は、本発明のある1つの実施形態にしたがった他の端末の概略的なブロック図である。端末の複数の機能モジュールは、その端末が実行するとともに、図3、図6、及び図7に示されている方法に関連するステップ及び/又は手順を対応して実行してもよい。その端末は、プロセッサ1101、メモリ1102、及びトランシーバー1103を含む。その端末の複数の構成要素は、ある接続方式で共に接続されている。トランシーバー1103は、アンテナ1104を使用することによってデータを受信し及び送る。
【０１６８】
本発明の上記の実施形態において開示されている複数の方法は、プロセッサ1101に適用されてもよく、又は、プロセッサ1101によって実装される。プロセッサ1101は、集積回路チップであってもよく、信号処理能力を有している。ある実装プロセスにおいて、上記の複数の方法のステップは、プロセッサ1101の中のハードウェアの集積論理回路又はソフトウェアの形態の命令を使用することによって実行されてもよい。プロセッサ1101は、汎用プロセッサ、システムオンチップ(System-on-a-Chip,  SOC)、ベースバンドプロセッサ、ディジタル信号プロセッサ(Digital  Signal  Processor,  DSP)、特定用途向け集積回路(Application  Specific  Integrated  Circuit,  ASIC)、フィールドプログラマブルゲートアレイ(Field  Programmable  Gate  Array,  FPGA)、又は他のプログラム可能な論理デバイス、ディスクリートゲート又はトランジスタ論理デバイス、又はディスクリートハードウェア構成要素であってもよい。プロセッサは、本発明の複数の実施形態において開示されている方法、ステップ、及び論理ブロック図を実装し又は実行してもよい。汎用プロセッサは、マイクロプロセッサであってもよく、又は、プロセッサは、いずれかの従来のプロセッサ等であってもよい。本発明の複数の実施形態に開示されている方法のステップは、ハードウェア復号化プロセッサによって直接的に実行されそして完了することが可能であり、或いは、復号化プロセッサの中のハードウェアモジュール及びソフトウェアモジュールの組み合わせを使用することによって、実行されそして完了することが可能である。ソフトウェアモジュールは、ランダムアクセスメモリ(Random  Access  Memory,  RAM)、フラッシュメモリ、読み出し専用メモリ(Read-Only  Memory,  ROM)、プログラム可能な読み出し専用メモリ、電気的に消去可能かつプログラム可能なメモリ、又はレジスタ等のこの技術分野において成熟した記憶媒体の中に位置していてもよい。記憶媒体は、メモリ1002の中に位置している。プロセッサ1101は、メモリ1102の中の命令を読み取り、そして、プロセッサのハードウェアとの関連で上記の方法のステップを実行する。
【０１６９】
プロセッサ1101は、第1のデータパケットを生成するように構成され、第1のデータパケットは、ユーザプレーンデータ又は制御シグナリングを搬送し、
トランシーバー1103は、セキュリティノードネットワーク要素に第1のデータパケットを送るように構成され、第1のデータパケットは、第1のセキュリティ接続又は第2のセキュリティ接続を介して送信され、第1のセキュリティ接続は、第1のユーザプレーンデータを搬送する第1のデータパケットを送信するのに使用され、そして、第2のセキュリティ接続は、第1の制御シグナリングを搬送する第1のデータパケットを送信するのに使用される。
【０１７０】
セキュリティノードネットワーク要素と端末との間に存在する制御シグナリングを搬送するデータパケット及びユーザプレーンデータを搬送するデータパケットは、それぞれ、複数の異なるセキュリティ接続を介して送信される。このようにして、その端末は、そのデータパケットに付加されるとともに悪意あるアプリケーションが改変する場合がある識別子を使用する必要なく、そのデータパケットが制御シグナリング又はユーザプレーンデータを搬送しているということを識別し、一方で、非アプリケーション層のセキュリティ接続識別子を使用することによって、それらの複数の異なるセキュリティ接続によって送られたデータパケットを識別して、それらの複数の異なるセキュリティ接続によって送られたデータパケットに基づいて、制御シグナリング又はユーザプレーンデータを搬送しているそのデータパケットを識別する。したがって、そのユーザプレーンデータ又は制御シグナリングの送信のセキュリティを改善する。
【０１７１】
選択的に、いくつかの実装において、端末のトランシーバー1103は、さらに、セキュリティノードネットワーク要素からの第2のデータパケットを受信するように構成され、第2のデータパケットは、第2の制御シグナリング又は第2のユーザプレーンデータを搬送し、そして、第2のデータパケットが、第2の制御シグナリングを搬送するときに、第2のデータパケットは、第2のセキュリティ接続を介して送信され、又は、第2のデータパケットが、第2のユーザプレーンデータを搬送するときに、第2のデータパケットは、第1のセキュリティ接続を介して送信され、
プロセッサ1101は、さらに、第2のデータパケットが、第2のセキュリティ接続を介して送信されている場合に、制御プレーンプロトコルスタックを使用することによって、第2の制御シグナリングを処理するように構成されるか、又は、第2のデータパケットが、第1のセキュリティ接続を介して送信されている場合に、ユーザプレーンプロトコルスタックを使用することによって、第2のユーザプレーンデータを処理するように構成される。
【０１７２】
選択的に、いくつかの実装において、プロセッサ1101は、さらに、トランシーバーが、セキュリティノードネットワーク要素からの第2のデータパケットを受信した後に、第2のデータパケットが、第2のセキュリティ接続又は第1のセキュリティ接続を介して送信されているということを決定するように構成される。
【０１７３】
選択的に、いくつかの実装において、第2のデータパケットは、さらに、第2のセキュリティ接続の識別子又は第1のセキュリティ接続の識別子を搬送し、プロセッサ1101は、特に、
第2のデータパケットが、さらに、第2のセキュリティ接続の識別子を搬送するときに、第2のデータパケットが、第2のセキュリティ接続を介して送信されているということを決定するか、又は、
第2のデータパケットが、さらに、第1のセキュリティ接続の識別子を搬送するときに、第2のデータパケットが、第1のセキュリティ接続を介して送信されているということを決定する、
ように構成される。
【０１７４】
選択的に、いくつかの実装において、第1のデータパケットが、第1の制御シグナリングを搬送する場合に、第1のデータパケットは、さらに、第2のセキュリティ接続の識別子を搬送し、又は、第1のデータパケットが、第1のユーザプレーンデータを搬送する場合に、第1のデータパケットは、さらに、第1のセキュリティ接続の識別子を搬送する。
【０１７５】
選択的に、いくつかの実装において、第1のセキュリティ接続は、第1のインターネットプロトコルセキュリティIPsecトンネルであり、第2のセキュリティ接続は、第2のIPsecトンネルである。
【０１７６】
選択的に、いくつかの実装において、第2のセキュリティ接続の識別子は、第2のセキュリティパラメータインデックスSPI値であり、第1のセキュリティ接続の識別子は、第1のSPI値である。
【０１７７】
端末は、上記の方法の実施形態における端末に対応する手順及び/又はステップを実行するように構成されてもよいということを理解すべきである。繰り返しを避けるために、本明細書においては、詳細は再度説明されない。
【０１７８】
当業者は、本明細書に開示されている複数の実施形態に記載されている複数の例と関連して、電子的なハードウェア又はコンピュータソフトウェア及び電子的なハードウェアの組み合わせによって、ユニット及びアルゴリズムステップを実装することが可能であるということを認識することが可能である。それらの機能がハードウェアによって実行されるか又はソフトウェアによって実行されるかは、技術的解決方法の特定の適用及び設計上の制約条件によって決まる。当業者は、複数の異なる方法を使用して、各々の特定の適用について、説明された機能を実装することが可能であるが、一方で、その実装が本発明の範囲を超えると解釈されるべきではない。
【０１７９】
当業者は、利便性があり且つ簡潔な説明のために、上記のシステム、装置、及びユニットの詳細な動作プロセスについて、上記の方法の実施形態における対応するプロセスを参照することが可能であるということを明確に理解することが可能であり、本明細書においては、詳細は再度説明されない。
【０１８０】
この出願において提供される実施形態のうちのいくつかにおいて、他の方法で、それらの開示されたシステム、装置、及び方法を実装してもよいということを理解すべきである。例えば、説明されている装置の実施形態は、例にすぎない。例えば、ユニットの分割は、論理的な機能分割にすぎず、実際の実装においては、他の分割であってもよい。例えば、複数のユニット又は構成要素を組み合わせ、又は、一体化して、他のシステムとしてもよく、或いは、いくつかの機能を無視し、又は、実行しなくてもよい。加えて、図示され又は説明されている相互結合又は直接結合又は通信接続は、いくつかのインターフェースを使用することによって実装されてもよい。装置又はユニットの間での非直接的な結合又は通信接続は、電気的な形態、機械的な形態、又は他の形態で実装されてもよい。
【０１８１】
個別の部分として記載されているユニットは、物理的に分離されていてもよく、又は、物理的に分離されなくてもよく、複数のユニットとして示されている部分は、複数の物理的なユニットであってもよく、又は、複数の物理的なユニットでなくてもよく、1つの場所に位置していてもよく、又は、複数のネットワークユニットに分散していてもよい。実際の要件に応じて、それらの複数のユニットのうちの一部又はすべてを選択して、複数の実施形態の解決方法の目的を達成してもよい。
【０１８２】
加えて、本発明の複数の実施形態における複数の機能的なユニットは、1つの処理ユニットに一体化されていてもよく、又は、それらのユニットの各々は、物理的に単独で存在していてもよく、或いは、2つ又はそれ以上のユニットは、1つのユニットに一体化されていてもよい。
【０１８３】
複数の機能が、ソフトウェア機能ユニットの形態で実装され、独立した製品として販売され又は使用されるときは、コンピュータ読み取り可能な記憶媒体の中に、それらの機能を格納してもよい。そのような理解に基づいて、本発明の技術的解決方法は、本質的に、或いは、先行技術に寄与する部分又はそれらの技術的解決方法のうちのいくつかは、ソフトウェア製品の形態で実装されてもよい。コンピュータソフトウェア製品は、記憶媒体に格納され、複数の命令を含み、それらの複数の命令は、本発明の複数の実施形態に記載されている方法のステップのうちのすべて又は一部を実行するように、(パーソナルコンピュータ、サーバ、ネットワークデバイス等であってもよい)コンピュータデバイス又はプロセッサに指示する。上記の記憶媒体は、プログラムコードを格納することが可能であるUSBフラッシュドライブ、取り外し可能なハードディスク、読み取り専用メモリ(ROM,  Read-Only  Memory)、ランダムアクセスメモリ(RAM,  Random  Access  Memory)、磁気ディスク、又は光ディスク等のいずれかの媒体を含む。
【０１８４】
上記の説明は、本発明の特定の実施形態にすぎず、本発明の保護範囲を限定することを意図してはいない。本発明で開示されている技術的範囲の中で当業者が容易に考え出すことが可能であるあらゆる変形又は置換は、本発明の保護範囲に属するものとする。したがって、本発明の保護範囲は、特許請求の範囲の保護範囲にしたがうものとする。
【図１Ａ】
0006799679.tif 000002
【図１Ｂ】
0006799679.tif 000003
【図２】
0006799679.tif 000004
【図３】
0006799679.tif 000005
【図４】
0006799679.tif 000006
【図５】
0006799679.tif 000007
【図６】
0006799679.tif 000008
【図７】
0006799679.tif 000009
【図８】
0006799679.tif 000010
【図９】
0006799679.tif 000011
【図１０】
0006799679.tif 000012
【図１１】
0006799679.tif 000013