(57)【要約】  ここに記載されているのは、鍵管理プロトコルを保護する対称鍵を設ける方法であり、ここではこの方法により、加入者装置とプロバイダ装置との間でメディアデータを暗号化して伝送するプロトコルに対する暗号材料が生成される。この方法はつぎのステップを有する。すなわち、上記の加入者装置およびプロバイダ装置の第１対称鍵を設けるステップを有しており、ここでこの第１対称鍵は、加入者装置とプロバイダ装置との間で通信セッションを確立する制御層のネットワークプロトコルの対称鍵ベースの保護メカニズムにおいて使用されるものであり、上記のステップはさらに、時間的に変化する第１パラメタを上記のプロバイダ装置によって設けるステップと、当該の設けた時間的に変化する第１パラメタをプロバイダ装置から加入者装置に伝送するステップと、少なくとも上記の設けた第１対称鍵と、設けた時間的に変化する第１パラメタとに依存し、あらかじめ定めた関数を用いて上記のプロバイダ装置により、上記の鍵管理プロトコルを保護するための第２対称鍵を計算するステップと、少なくとも上記の準備した第１対称鍵と、伝送した時間的に変化する第１パラメタとに依存し、あらかじめ定めた関数を用いて、上記の加入者装置により、第２対称鍵を計算するステップとを有する。【特許請求の範囲】
【請求項１】
鍵管理プロトコルを保護する対称鍵（ＮＫ）を設ける方法であって、
当該の方法により、加入者装置（ＵＥ１）とプロバイダ装置（ＰＥ１）との間でメディアデータ（ＭＤ）を暗号化して伝送するプロトコルに対する暗号材料を生成し、
前記方法は、
−  加入者装置（ＵＥ１）およびプロバイダ装置（ＰＥ１）の第１対称鍵（ＤＫ）を設けるステップを有しており、ここでこの第１対称鍵は、加入者装置（ＵＥ１）とプロバイダ装置（ＰＥ１）との間で通信セッションを確立する制御層のネットワークプロトコルの対称鍵ベースの保護メカニズムにおいて使用されるものであり、
前記の方法はさらに
−  時間的に変化する第１パラメタ（Nonce）を前記のプロバイダ装置（ＰＥ１）によって設けるステップと、
−  当該の設けた時間的に変化する第１パラメタ（Nonce）を前記のプロバイダ装置（ＰＥ１）から加入者装置（ＵＥ１）に伝送するステップと、
−  前記の鍵管理プロトコルを保護するため、少なくとも前記の設けた第１対称鍵（ＤＫ）と、設けた時間的に変化する第１パラメタ（Nonce）とに依存し、あらかじめ定めた関数（Ｆ）を用いて、前記のプロバイダ装置（ＰＥ１）によって第２対称鍵（ＮＫ）を計算するステップと、
−  少なくとも前記の設けた第１対称鍵（ＤＫ）と、伝送した時間的に変化する第１パラメタ（Nonce）とに依存し、あらかじめ定めた関数（Ｆ）を用いて、前記の加入者装置（ＵＥ１）により、第２対称鍵（ＮＫ）を計算するステップとを有しており、
−  ここで前記の時間的に変化する第１パラメタ（Nonce）からそれぞれ加入者装置（ＵＥ１）およびプロバイダ装置（ＰＥ１）により、時間的に変化する第３パラメタ（Nonce-Count）を導出し、当該の第３パラメタに依存して前記の第２対称鍵（ＮＫ）をそれぞれ加入者装置（ＵＥ１）およびプロバイダ装置（ＰＥ１）によって計算することを特徴とする、
鍵管理プロトコルを保護する対称鍵（ＮＫ）を設ける方法。
【請求項２】
前記のメディアデータ（ＭＤ）を暗号化して伝送するプロトコルをSRTP（Secure Real Time Transport Protocol）とし、および／または
前記の鍵管理プロトコルをMIKEY（Multimedia Internet Keying）とし、および／または
前記の保護メカニズムを認証プロトコルおよび／またはインテグリティプロトコル、殊にＨＴＴＰダイジェストプロトコルとし、および／または
前記の通信コネクションを確立するためのネットワークプロトコルをＳＩＰ（Session Initiation Protocol）とし、
および/または
前記の暗号材料は、セッション鍵および暗号コンテキストを導出するためのプライマリー鍵を有する、
請求項１に記載の方法。
【請求項３】
前記の鍵管理プロトコルを制御層および／またはメディア層にて使用する、
請求項１または２に記載の方法。
【請求項４】
つぎのステップ、すなわち、
−  時間的に変化する第２パラメタ（CNonce）を前記の加入者装置（ＵＥ１）によって生成するステップと、
−  当該の生成した時間的に変化する第２パラメタ（CNonce）を前記の加入者装置（ＵＥ１）からプロバイダ装置（ＰＥ１）に伝送するステップと、
−  少なくとも前記の設けた第１対称鍵（ＤＫ）と、設けた時間的に変化する第１パラメタ（Nonce）と、前記に加入者装置（ＵＥ１）から伝送した時間的に変化する第２パラメタ（CNonce）とに依存し、前記のプロバイダ装置（ＰＥ１）により、第２対称鍵（ＮＫ）を計算するステップと、
−  少なくとも前記の設けた第１対称鍵（ＤＫ）と、前記のプロバイダ装置（ＰＥ１）から伝送した時間的に変化する第１パラメタ（Nonce）と、生成した時間的に変化する第２パラメタ（CNonce）とに依存し、前記の加入者装置（ＵＥ１）により、第２対称鍵（ＮＫ）を計算するステップを有する、
請求項１から３までのいずれか１項に記載の方法。
【請求項５】
前記の時間的に変化する第１パラメタ（Nonce）をNonce(Number-Used-Once）とし、および／または
前記の時間的に変化する第２パラメタ（CNonce）をCNonce（Clieent-Defined-Nonce）とし、および／または
前記の時間的に変化する第３パラメタをＨＴＴＰダイジェストプロトコルのNounce-Countとする、
請求項１に記載の方法。
【請求項６】
前記のあらかじめ定めた関数（Ｆ）は、第１部分関数（Ｆ１）と第２部分関数（Ｆ２）とに分割可能であり、
前記の第１部分関数（Ｆ１）は、少なくとも第１対称鍵（ＤＫ）および時間的に変化する第１パラメタ（Nonce）を入力パラメタとして有しており、
前記の第２部分関数（Ｆ２）は、前記の第１部分関数の少なくとも１つの結果（Ｆ１(ＤＫ，Ｎｏｎｃｅ)）および前記の時間的に変化する第２パラメタ（CNonce）を入力パラメタとして有する、
請求項４または５に記載の方法。
【請求項７】
前記の加入者装置（ＵＥ１）およびプロバイダ装置（ＰＥ１）は少なくとも部分的にIPマルチメディアサブシステム（ＩＭＳ  IP Multimedia Subsystem）を構成する、
請求項１から６までのいずれか１項に記載の方法。
【請求項８】
前記のＩＰマルチメディアサブシステム（ＩＭＳ）のプロバイダ装置（ＰＥ１）は、
−  前記の加入者装置（ＵＥ１）に接続されているプロキシ機能ユニット（Ｐ−ＣＳＣＦ）、および／または
−  前記のプロキシ機能ユニット（Ｐ−ＣＳＣＦ）に接続されているインタロゲーション機能ユニット（Ｉ−ＣＳＣＦ）、および／または
−  前記のインタロゲーション機能ユニット（Ｉ−ＣＳＣＦ）に接続されているサーバ機能ユニット（Ｓ−ＣＳＣＦ）、および／または
−  前記のサーバ機能ユニット（Ｓ−ＣＳＣＦ）に接続されておりかつ少なくとも前記の第１対称鍵（ＤＫ）を記憶するホーム加入者サーバユニット（ＨＳＳ Home Subscriber Server）を有する、
請求項７に記載の方法。
【請求項９】
前記のＨＴＴＰダイジェストプロトコルが、前記の加入者装置（ＵＥ１）とサーバ機能ユニット（Ｓ−ＣＳＣＦ）との間に実現されている、
請求項８に記載の方法。
【請求項１０】
前記のＨＴＴＰダイジェストプロトコルが、前記の加入者装置（ＵＥ１）とホーム加入者サーバユニット（ＨＳＳ）との間に実現されている、
請求項８に記載の方法。
【請求項１１】
前記の第１部分関数（Ｆ１）は、サーバ機能ユニット（Ｓ−ＣＳＣＦ）によって実現され、
当該の第１部分関数（Ｆ１）の結果（Ｆ１(ＤＫ，Nonce)）を、サーバ機能ユニット（Ｓ−ＣＳＣＦ）からプロキシ機能ユニット（Ｐ−ＣＳＣＦ）に伝送し、
前記の時間的に変化する第２パラメタ（CNonce）をプロキシ機能ユニット（Ｐ−ＣＳＣＦ）によって受信して、
前記の第２部分関数（Ｆ２）をプロキシ機能ユニット（Ｐ−ＣＳＣＦ）によって実現する、
請求項９に記載の方法。
【請求項１２】
前記の第１部分関数（Ｆ１）は、ホーム加入者サーバニット（ＨＳＳ）によって実現され、
当該の第１部分関数（Ｆ１）の結果（Ｆ１(ＤＫ，Nonce)）を、ホーム加入者サーバユニット（ＨＳＳ）からプロキシ機能ユニット（Ｐ−ＣＳＣＦ）に伝送し、
前記の時間的に変化する第２パラメタ（CNonce）をプロキシ機能ユニット（Ｐ−ＣＳＣＦ）によって受信して、
前記の第２部分関数（Ｆ２）をプロキシ機能ユニット（Ｐ−ＣＳＣＦ）によって実現する、
請求項１０に記載の方法。
【請求項１３】
前記の加入者装置（ＵＥ１）は、プロバイダ装置（ＰＥ１）によるＳＩＰベースの加入を有する、
請求項１から１２までのいずれか１項に記載の方法。
【請求項１４】
加入者装置（ＵＥ１）とプロバイダ装置（ＰＥ１）との間でメディアデータ（ＭＤ）を暗号化する方法において、
該方法は、−  加入者装置（ＵＥ１）およびプロバイダ装置（ＰＥ１）の第１対称鍵（ＤＫ）を設けるステップを有しており、ここで当該の第１対称鍵は、加入者装置（ＵＥ１）とプロバイダ装置（ＰＥ１）との間で通信セッションを確立する制御層のネットワークプロトコルの対称鍵ベースの保護メカニズムにおいて使用されるものであり、
前記の方法はさらに
−  時間的に変化する第１パラメタ（Nonce）を前記のプロバイダ装置（ＰＥ１）によって設けるステップと、
−  当該の設けた時間的に変化する第１パラメタ（Nonce）を前記のプロバイダ装置（ＰＥ１）から加入者装置（ＵＥ１）に伝送するステップと、
−  少なくとも前記の設けた第１対称鍵（ＤＫ）と、設けた時間的に変化する第１パラメタ（Nonce）とに依存し、あらかじめ定めた関数（Ｆ）を用いて、前記のプロバイダ装置（ＰＥ１）により、前記の鍵管理プロトコルを保護するための第２対称鍵（ＮＫ）を計算するステップと、
−  少なくとも前記の設けた第１対称鍵（ＤＫ）と、伝送した時間的に変化する第１パラメタ（Nonce）とに依存し、あらかじめ定めた関数（Ｆ）を用いて、前記の加入者装置（ＵＥ１）により、第２対称鍵（ＮＫ）を計算するステップと、
− 前記の設けた第２対称鍵（ＮＫ）に依存し、加入者装置（ＵＥ１）またはプロバイダ装置（ＰＥ１）により、メディアデータ（ＭＤ）を暗号化するステップと、
− 当該の暗号化したメディアデータ（ＭＤ）を送信するステップと、
−  前記のプロバイダ装置（ＰＥ１）または加入者装置（ＵＥ１）により、当該の暗号化したメディアデータを受信するステップと、
−  前記の設けた第２対称鍵（ＮＫ）を用い、加入者装置（ＵＥ１）またはプロバイダ装置（ＰＥ１）により、受信した当該のメディアデータ（ＭＤ）を復号化するステップを有することを特徴とする、
加入者装置（ＵＥ１）とプロバイダ装置（ＰＥ１）との間でメディアデータ（ＭＤ）を暗号化する方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、鍵管理プロトコルを保護するための対称鍵を設ける方法に関する。
【０００２】
本発明の技術分野は、パーソナルコンピュータなどの加入者装置と、プロバイダ装置、例えばサービス提供者またはプロバイダのメディアサーバとの間でメディアデータを保護または暗号化することに係わる。
【０００３】
今日使用されるＳＩＰ／ＲＴＰベースのVoIP（Voice over IP）システム（例えばＩＰマルチメディアサブシステム−ＩＭＳ）では、ふつうメディアデータを保護するための手段は講じられない。このことは、レイヤ２によって暗号化が提供される移動無線ネットワーク、例えばＵＭＴＳないしはＧＰＲＳネットワークでは正しいことである。しかしながら固定ネットワークのシナリオでは、下位のレイヤ２でのこのような暗号化はふつう設けられていないため、独自のメカニズムを使用しなければならない。このことは、例えばＩＭＳが、それが元々開発された移動ネットワークの周辺だけでなく固定ネットワークのシナリオにおいてもますます使用されるようになって来てためにそれだけ急を要するのである。
【０００４】
メディアデータを保護するために考えられるアプローチは、２つの通信パートナ間でエンドツーエンド暗号化を行うことである。しかしながらこの際には、例えば、鍵管理、遵法の傍受、トランスコーディングなどのさまざまな問題が生じる。このため、より良好な変化形態は、エンドツーミドル（end-to-middle）アプローチであると考えられ、このアプローチでは保護は端末装置とプロバイダ装置（例えばメディアプロキシ）との間だけで行われる。
【０００５】
エンドツーエンド保護シナリオでは、シグナリング送信点とメディア保護送信点とは同じであり、エンドーツーミドルシナリオではこれらは異なる。ＲＦＣ３７１１には、ＲＴＰストリームを保護するため、ＲＴＰに対するプロトコル、すなわちＳＲＴＰ（Secure ＲＴＰ）が定められている。ＳＲＴＰは、エンドーツーエンドコネクションにおけるメディアトラフィックを保護するため、すなわち通信を行う加入者間で伝送路全体を保護するために利用することができる。エンドツーミドルコネクションに対してもＲＴＰは使用可能である。
【０００６】
本発明の課題は、ＳＲＴＰなどの適切な保護プロトコルを使用して加入者装置とプロバイダ装置との間でインテグリティおよび機密性の点についてメディアデータを保護することである。
【０００７】
しかしながらこのような保護プロトコルには、セッション鍵と暗号コンテキストとを導出するための適切なプライマリー鍵を設けなければならない。暗号コンテキストの例は、ＲＦＣ３７１１の３．２節に記載されている。加入者装置とプロバイダ装置、例えばメディアプロキシとの間で通信を開始する前、上記の加入者装置およびプロバイダ装置は上記のプライマリー鍵および暗号コンテキストを利用することができない。このために必要であるのは、上記のプライマリー鍵および暗号コンテキストを供給する手段を設けることである。このために鍵管理プロトコルを使用することができる。ＳＲＴＰに対する鍵管理プロトコルの例はＭＩＫＥＹである。ＭＩＫＥＹはＲＲＣ３８３０に記載されている。上記の鍵管理プロトコルは、加入者装置とネットワークの適切なサーバとの間で実施される。この適切なサーバは、上記のメディアプロキシである必要はない。択一的にはこの適切なサーバは、ＳＩＰプロキシと一致することも可能である。しかしながらこの鍵管理プロトコルそのものを保護しなければならない。
【０００８】
したがって本発明の別の課題は、加入者装置とプロバイダ装置との間でメディアデータを暗号化して伝送するためのプロトコル、例えばＳＲＴＰに対する鍵管理プロトコルを保護することである。
【０００９】
さらに、加入者装置および相応するプロバイダ装置の対称鍵を提供して、加入者装置とプロバイダ装置との間でメディアデータを暗号化して伝送するプロトコルに対する鍵管理プロトコルを保護することが課題である。
【００１０】
本発明によれば、上記の課題のうちの少なくとも１つは、請求項１の特徴部分に記載された特徴的構成を有する方法および／または請求項１５の特徴部分に記載された特徴的構成を有する方法によって解決される。
【００１１】
本発明では鍵管理プロトコルを保護する対称鍵を設ける方法が提案され、この方法により、加入者装置とプロバイダ装置との間でメディアデータを暗号化して伝送するプロトコルに対する暗号材料（kryptographisches Material）を生成する。ここでこの方法はつぎのステップを有する。すなわち、
−  加入者装置およびプロバイダ装置の第１対称鍵を設けるステップを有しており、ここでこの第１対称鍵は、加入者装置とプロバイダ装置との間で通信セッションを確立する制御層のネットワークプロトコルの対称鍵ベースの保護メカニズムにおいて使用されるものであり、
−  時間的に変化する第１パラメタを上記のプロバイダ装置によって設けるステップと、
−  上記の設けた時間的に変化する第１パラメタをプロバイダ装置から加入者装置に伝送するステップと、
−  少なくとも上記の設けた第１対称鍵および設けた時間的に変化する第１パラメタに依存し、あらかじめ定めた関数を用いて、上記のプロバイダ装置により、鍵管理プロトコルを保護するための第２対称鍵を計算するステップと、
−  少なくとも上記の設けた第１対称鍵および伝送した時間的に変化する第１パラメタとに依存し、あらかじめ定めた関数を用いて、上記の加入者装置により、第２対称鍵を計算するステップとを有する。
【００１２】
さらに本発明では加入者装置とプロバイダ装置との間でメディアデータを暗号化する方法が提案され、この方法はつぎのステップを有する。すなわち、
−  鍵管理プロトコルを保護するための対称鍵を設ける上記の方法を用いて、上記の加入者装置およびプロバイダ装置毎に対称鍵を準備するステップと、
−  この対称鍵に依存し、上記の加入者装置またはプロバイダ装置により、メディアデータを暗号化するステップと、
−  上記の加入者装置またはプロバイダ装置により、この暗号化したメディアデータを送信するステップと、
−  上記の加入者装置またはプロバイダ装置により、この暗号化したメディアデータを受信するステップと、
−  上記の設けた対称鍵を用いて、上記の加入者装置またはプロバイダ装置により、この受信したメディアデータを復号化するステップとを有する。
【００１３】
有利にも本発明により、加入者装置とプロバイダ装置との間でメディアデータを暗号化して伝送するためのプロトコル、例えばＳＲＴＰに対する暗号化材料を生成する鍵管理プロトコルを保護することができる。この鍵管理プロトコルの保護は有利にも、対称鍵を有しかつ取り扱いが容易な対称鍵暗号化方法によって保護される。
【００１４】
本発明の有利な実施形態および発展形態は、従属請求項および図面に基づく説明に記載されている。
【００１５】
本発明の有利な１実施形態によると、上記のメディアデータを暗号化して伝送するためのプロトコルは、ＳＲＴＰ（Secure Real Time Transport Protocol）とされる。
【００１６】
別の有利な１実施形態によると、上記の鍵管理プロトコルは、ＭＩＫＥY（Multimedia Internet Keying）とされる。
【００１７】
別の有利な１実施形態によると、上記の保護メカニズムは、認証プロトコルおよび／またはインテグリティプロトコル、殊にＨＴＴＰダイジェストプロトコルとされる。
【００１８】
別の有利な１実施形態によると、上記の通信コネクションを確立するためのネットワークプロトコルは、ＳＩＰ（Session Initiation Protocol）とされる。
【００１９】
別の有利な１実施形態によると、上記の暗号材料は、セッション鍵および暗号コンテキストを導出するためのプライマリー鍵を有する。
【００２０】
別の有利な１実施形態によると、上記の鍵管理プロトコルは、制御層および／またはメディア層に使用される。
【００２１】
本発明の別の有利な発展形態によると、上で説明した方法はさらに以下のステップを有する。すなわち、
−  時間的に変化する第２パラメタを上記の加入者装置によって生成するステップと、
−  生成した時間的に変化するこの第２パラメタを加入者装置からプロバイダ装置に伝送するステップと、
−  上記の設けた第１対称鍵と、設けた時間的に変化する第１パラメタと、加入者装置から伝送された時間的に変化する第２パラメタとに依存して、上記のプロバイダ装置によって第２対称鍵を計算するステップと、
−  上記の設けた第１対称鍵と、上記のプロバイダ装置から伝送された時間的に変化する第１パラメタと、生成した時間的に変化する第２パラメタとに依存して、上記の加入者装置により、第２対称鍵を計算するステップとを有するのである。
【００２２】
別の有利な発展形態によると、上記の時間的に変化する第１パラメタからそれぞれ加入者装置およびプロバイダ装置により、時間的に変化する第３パラメタを導出し、この第３パラメタに依存して上記の第２対称鍵をそれぞれ加入者装置およびプロバイダ装置によって計算する。
【００２３】
別の有利な１実施形態によると、上記の時間的に変化する第１パラメタは、Nonce(Number-Used-Once）として、および／または上記の時間的に変化する第２パラメタは、CNonce（Client-Defined-Nonce）として、および／または上記の時間的に変化する第３パラメタは、ＨＴＴＰダイジェストプロトコルのNounceカウントとされる。
【００２４】
別の有利な１実施形態によると、上記のあらかじめ定めた関数は、第１部分関数と第２部分関数とに分割可能であり、ここで第１部分関数は、少なくとも上記の第１対称鍵および時間的に変化する第１パラメタを入力パラメタとして有しており、また第２部分関数は、第１部分関数の少なくとも１つの結果および上記時間的に変化する第２パラメタを入力パラメタとして有する。
【００２５】
別の有利な１実施形態によると、上記の加入者装置およびプロバイダ装置は少なくとも部分的にＩＭＳ（IP Multimedia Subsystem）を構成する。
【００２６】
別の有利な１実施形態によると、上記のＩＭＳ（IP Multimedia Subsystem）のプロバイダ装置は、
−  上記の加入者装置に接続されているプロキシ機能ユニット、および／または
−  上記のプロキシ機能ユニットに接続されているインタロゲーション機能ユニット、および／または
−  上記のインタロゲーション機能ユニットに接続されているサーバ機能ユニット、および／または
−  前記のサーバ機能ユニットに接続されておりかつ少なくとも上記の第１対称鍵を記憶するホーム加入者サーバユニット（ＨＳＳ Home Subscriber Server）を有する。
【００２７】
別の有利な１実施形態によると、上記のＨＴＴＰダイジェストプロトコルは、加入者装置とサーバ機能ユニットとの間で実現される。
【００２８】
別の有利な１実施形態によると、上記のＨＴＴＰダイジェストプロトコルは、加入者装置とホーム加入者サーバユニットとの間で実現される。
【００２９】
別の有利な１実施形態によると、上記の第１部分関数は、サーバ機能ユニットによって実現され、第１部分関数の結果は、サーバ機能ユニットからプロキシ機能ユニットに伝送され、上記の時間的に変化する第２パラメタは、プロキシ機能ユニットによって受信され、また上記の第２部分関数は、プロキシ機能ユニットによって実現される。
【００３０】
別の有利な１実施形態によると、上記の第１部分関数は、ホーム加入者サーバユニットによって実現され、第１部分関数の結果は、インタロゲーション機能ユニットを介してホーム加入者サーバユニットによってプロキシ機能ユニットに伝送され、上記の時間的に変化する第２パラメタは、プロキシ機能ユニットによって受信されて上記の第２部分関数はプロキシ機能ユニットによって実現される。
【００３１】
別の有利な１実施形態によると、上記の加入者装置は、プロバイダ装置とのＳＩＰベースの加入を有する。
【００３２】
本発明を以下、概略図面に示した実施例に基づき、詳しく説明する。
【図面の簡単な説明】
【００３３】
【図１】本発明の方法を適用することができるＳＩＰベースの通信アーキテクチャの概略ブロック図である。
【図２】本発明による方法の第１実施例の概略フローチャートである。
【図３】本発明による方法の第２実施例の概略フローチャートである。
【図４】本発明の方法を適用可能なＩＭＳベースの通信アーキテクチャの概略ブロック図である。
【図５】図４のＩＭＳアーキテクチャに適用される本発明による第３の方法の概略フローチャートである。
【図６】図４のＩＭＳアーキテクチャに適用される、本発明による第４の方法の概略フローチャートである。
【００３４】
すべての図において同じまたは機能的に同じ構成要素およびユニットには、特に示さない限り、同じ参照符号を付すものとする。
【００３５】
図１には、本発明の方法を適用することができる、ＳＩＰベースの通信アーキテクチャＳＫＡの概略ブロック図が示されている。
【００３６】
図１のＳＩＰベースの通信アーキテクチャＳＫＡは、第１加入者装置ＵＥ１と，第１プロバイダ装置ＰＥ１と，第２プロバイダ装置ＰＥ２と、第２加入者装置ＵＥ２とによって構成される。ここで第１加入者装置ＵＥ１と、第２プロバイダ装置ＰＥ１とは接続されている。また第２加入者装置ＵＥ２と第２プロバイダ装置ＰＥ２とが接続されている。さらに第１プロバイダ装置ＰＥ１と第２プロバイダ装置ＰＥ２とが接続されている。上記の第１プロバイダ装置ＰＥ１と第２プロバイダ装置ＰＥ２との間の接続は、ネットワーク、例えばインターネットによって構成することができる。
【００３７】
プロバイダ装置ＰＥ１，ＰＥ２は、データベースＤＢ１，ＤＢ２と，ＳＩＰプロキシ機能ユニットＳＰ１，ＳＰ２と、メディアプロキシ機能ユニットＭＰ１，ＭＰ２とを有する。
【００３８】
セッション開始プロトコルＳＩＰ（Session Initiaton Protocol）は、例えば加入者装置ＵＥ１と、ＳＩＰ機能ユニットＳＰ１との間で実現される。見易くするため、第２加入者装置ＵＥ２および第２プロバイダ装置ＰＥ２に対する相応の表示は示していない。
【００３９】
ＳＲＴＰ（Secure-Real-Time-Protocol）は、第１加入者装置ＵＥ１と、メディアプロキシ機能ユニットＭＰ１との間で実施される。
【００４０】
図２には、鍵管理プロトコルを保護するための対称鍵ＮＫを設ける本発明の方法の第１実施例の概略フローチャートが示されており、この方法により、加入者装置ＵＥ１とプロバイダ装置ＰＥ１との間でメディアデータＭＤを暗号化して伝送するプロトコルに対する暗号材料が生成される。以下では図２のブロック図に基づき、図１のアーキテクチャを参照して本発明の方法を説明する。図２に示した本発明の方法の第１実施例は、つぎの方法ステップＳ１〜Ｓ５を有する。
【００４１】
方法ステップＳ１：
第１対称鍵ＤＫが、加入者装置ＵＥ１およびプロバイダ装置ＰＥ１に設けられる。第１対称鍵ＤＫは、加入者装置ＵＥ１とプロバイダ装置ＰＥ１との間に通信セッションを確立する制御層のネットワークプロトコルの対称鍵ベースの保護メカニズムに使用される。
【００４２】
方法ステップＳ２：
ここでは時間的に変化する第１パラメタNonceをプロバイダ装置ＰＥ１によって設ける。
【００４３】
方法ステップＳ３：
設けた時間的に変化する第１パラメタNonceをプロバイダ装置ＰＥ１から加入者装置ＵＥ１に伝送する。
【００４４】
方法ステップＳ４：
鍵管理プロトコルを保護するため、少なくとも上記の設けた第１対称鍵ＤＫと、設けた時間的に変化する第１パラメタNonceとに依存し、あらかじめ定めた関数Ｆを用いてプロバイダ装置ＰＥにより、第２対称鍵ＮＫを計算する（ＮＫ＝Ｆ(ＤＫ，Nonce)）。
【００４５】
方法ステップＳ５：
少なくとも上記の設けた第１対称鍵ＤＫと、伝送した時間的に変化する第１パラメタNonceとに依存し、あらかじめ定めた関数Ｆを用いて加入者装置ＵＥ１により、第２対称鍵ＮＫを計算する（ＮＫ＝Ｆ(ＤＫ，Nonce)）。
【００４６】
方法ステップＳ４およびＳ５は、逆の順序で実行することも可能である。加入者装置ＵＥ１が認証される場合、有利にはプロバイダ装置ＰＥ１によってまず鍵ＮＫを計算する。
【００４７】
これによってプロバイダ装置ＰＥ１にも加入者装置ＵＥ１にも対称鍵ＮＫが既知になる。
【００４８】
本発明による方法の第２実施例は図３に示されている。図３に記載した第２実施例は、方法ステップＴ１〜Ｔ７を有する。ここで図３の方法ステップＴ１〜Ｔ３は、図２の方法ステップＳ１〜Ｓ３に相応する。わかりやすくするため、これらのステップを新たに説明しない。つまり図３に記載した第２実施例は、図２に記載した方法ステップＳ１〜Ｓ３に相応する方法ステップＴ１〜Ｔ３を有しており、また以下の方法ステップＴ４〜Ｔ７を有しているのである。
【００４９】
方法ステップＴ４：
ここでは時間的に変化する第２パラメタCNonceを加入者装置ＵＥ１によって生成する。
【００５０】
生成した時間的に変化する第２パラメタCNonceを加入者装置ＵＥ１からプロバイダ装置ＰＥ１に伝送する。
【００５１】
方法ステップＴ６：
第２対称鍵ＮＫは、上記の設けた第１対称鍵ＤＫと、設けた時間的に変化する第１パラメタNonceおよび加入者装置ＵＥ１によって伝送された時間的に変化する第２パラメタCNonceとに依存して、プロバイダ装置ＰＥ１によって計算される（ＮＫ＝Ｆ(ＤＫ，Nonce，CNonce)）。
【００５２】
方法ステップＴ７：
第２対称鍵ＮＫは、上記の設けた第１対称鍵ＤＫと、プロバイダ装置ＰＥ１から伝送された時間的に変化する第１パラメタNonceと、生成した時間的に変化する第２パラメタCNonceとに依存して、加入者装置ＵＥ１によって計算される（ＮＫ＝Ｆ(ＤＫ，Nonce，CNonce)）。
【００５３】
方法ステップＴ６およびＴ７は、逆の順序で実行することも可能である。加入者装置ＵＥ１が認証される場合、有利にはプロバイダ装置ＰＥ１によってまず鍵ＮＫを計算する。本発明の方法に対して、殊に図２および３に示した実施例に対し、有利にはつぎのような実施形態が可能である。
【００５４】
メディアデータＭＤを暗号化して伝送するためのプロトコルは、ＳＲＴＰ（Secure Real Time Transport Protocol）とすることが可能である。上記の鍵管理プロトコルは、ＭＩＫＥY（Multimedia Internet Keying）とすることができる。上記の保護メカニズムは、認証および／またはインテグリティプロトコル、殊にＨＴＴＰダイジェストプロトコルとすることが可能である。通信コネクションを確立するためのネットワークプロトコルは、ＳＩＰ（Session Initiation Protocoll）とすることかできる。さらに上記の暗号材料は、セッション鍵および暗号コンテキストを導出するためのプライマリー鍵を有することができる。
【００５５】
有利には上記の鍵管理プロトコルを制御層および／またはメディア層に使用する。例えば、時間的に変化する第３パラメタNonce-Countをそれぞれ加入者装置ＵＥ１およびプロバイダ装置ＰＥ１により、上記の時間的に変化する第１パラメタNonceから導出することができる。時間的に変化するこの第３パラメタNonce-Countに依存して、第２対称鍵ＮＫをそれぞれ加入者装置ＵＥ１およびプロバイダ装置ＰＥ１によって計算することができる。殊に本発明によって有利には保護メカニズムとして使用されるＨＴＴＰダイジェスト認証は、ＲＦＣ２６１８およびＲＦＣ３２６１に記載されている。有利には上記の時間的に変化する第１パラメタは、Nonce（Number Used Once）とされる。上記の時間的に変化する第２パラメタは、例えばCNonce（Client Defined Nonce）である。上記の時間的に変化する第３パラメタは有利にはＨＴＴＰダイジェストプロトコルのNonce-Countとする。
【００５６】
以下ではＩＭＳアーキテクチャにおける本発明の使用を説明する。このため、図４にはこのようなＩＭＳアーキテクチャＩＭＳの概略ブロック図が示されている。ここでＨＴＴＰダイジェストプロトコルは、ＳＩＰ（Session Initiation Protocol）に対する保護メカニズムとして使用される。認証メカニズムとしてのＨＴＴＰダイジェストの例は、PoC（Push To Talk over Celluar）［OMA PoC Release 1］またはETSI  TISPAN仕様書ETSI  TS  183033に記載されている。ＩＭＳアーキテクチャに対してＨＴＴＰダイジェストを使用する別の例は、Packet-Cable-Spezifikation PKT-SP-33.203である。
【００５７】
図４に示したＩＰマルチメディアサブシステムＩＭＳのプロバイダ装置ＰＥ１は、プロキシ機能ユニットＰ−ＣＳＣＦと、インタロゲーション機能ユニットI−ＣＳＣＦと、サーバ機能ユニットＳ−ＣＳＣＦと、ホーム加入者サーバユニットＨＳＳとを有する。上記のプロキシ機能ユニットＰ−ＣＳＣＦは、加入者装置ＵＥ１に接続されている。上記のインタロゲーション機能ユニットＩ−ＣＳＣＦは、プロキシ機能ユニットＰ−ＣＳＣＦに、サーバ機能ユニットＳ−ＣＳＣＦはインタロゲーション機能ユニットＩ−ＣＳＣＦに接続されており、またホーム加入者サーバユニットＨＳＳはサーバ機能ユニットＳ−ＣＳＣＦにそれぞれ接続されている。さらに、有利には上記のホーム加入者サーバユニットによって第１対称鍵ＤＫが記憶される。
【００５８】
つまりＨＴＴＰダイジェストがＩＭＳアーキテクチャＩＭＳに使用される場合、加入者装置ＵＥ１およびホーム加入者サーバユニットＨＳＳはそれぞれ、ＨＴＴＰダイジェストによる認証に対する対称鍵ＤＫを備えているのである。セッション開始中、加入者装置ＵＥ１はＰ−ＣＳＣＦに非認証の第１ＳＩＰレジスタメッセージを送信し、このＰ−ＣＳＣＦはこのメッセージをＳ−ＣＳＣＦに転送する。このＳ−ＣＳＣＦは、ＨＳＳにおいてユーザ識別または加入データを問い合わせる。この際に２つの択一的な選択肢が考えられる。すなわち、
択一的な選択肢１：Ｓ−ＣＳＣＦはＨＳＳから鍵ＤＫを受け取る。S-CSCFは、つぎのレジスタメッセージを用いて加入者装置ＵＥ１を認証するため、鍵ＤＫを記憶する。Ｓ−ＣＳＣＦは上記のＨＴＴＰダイジェストプロトコルを終了させる。
【００５９】
択一的な選択肢２：上記のＨＳＳは、鍵ＤＫをＳ−ＣＳＣＦに送信しない。ＨＳＳは、ＨＴＴＰダイジェストプロトコルそのものを終了させ、また使用されるプロトコルに必要なすべてのメッセージを計算する。
【００６０】
つぎの２つの例は、上記の２つの択一的な選択肢に対し、本発明の異なる２つの実施形態を示している。
【００６１】
例１：CNonceのないNonceの使用
択一的な選択肢1に対して：  上記のＳ−ＣＳＣＦは、第１鍵ＤＫおよび時間的に変化する第１パラメタNonceを使用して第２鍵ＮＫを生成し、またＳＩＰ４０１非認証メッセージにおいて第２鍵ＮＫをＰ−ＣＳＣＦに送信する。加入者装置ＵＥ１も同様に、上記のメッセージを受信した後、第１鍵ＤＫおよび時間的に変化するパラメタNonceを使用して類似の仕方で第２鍵ＮＫを生成する。しかしながらＰ−ＣＳＣＦは、上記のメッセージから鍵ＮＫを除去している。そうでなければこの鍵は、P-CSCＦから加入者装置ＵＥ１に至る間に容易に傍受されてしまうおそれがあるからである。上記のようにした加入者装置ＵＥ１およびＰ−ＣＳＣＦには第２鍵ＮＫが既知となる。
【００６２】
択一的な選択肢2に対して：上記のＨＳＳは、第１鍵ＤＫおよび時間的に変化する第１パラメタNonceを使用し、あらかじめ定めた関数Ｆを用いして第２鍵ＮＫを生成し、また生成したこの第２鍵ＮＫをＩＭＳメッセージにおいてＳ−ＣＳＣＦに送信する。このＳ−ＣＳＣＦは、ＳＩＰ−４０１非認証メッセージにおいて第２鍵ＮＫをＰ−ＣＳＣＦに転送する。加入者装置ＵＥ１も同様に、上記のメッセージを受信した後、Nonceおよび第１鍵ＤＫを使用して類似の仕方で第２鍵ＮＫを生成する。しかしながらＰ−ＣＳＣＦは上記のメッセージから鍵ＮＫを除去している。そうでなければこの鍵は、Ｐ−ＣＳＣＦから加入者装置ＵＥ１に至る間に容易に傍受されてしまうおそれがあるからである。上記のようにして第１加入者装置ＵＥ１およびＰ−ＣＳＣＦに第２鍵ＮＫが設けられるのである。
【００６３】
例2：NonceおよびCNonceの使用
択一的な選択肢1に対して：Ｓ−ＣＳＣＦは、あらかじめ定めた関数Ｆに対する入力パラメタとしてＤＫ，NonceおよびCNonceを使用してＮＫを生成する。しかしながらＮＫは、４０１メッセージにおいてＳ−ＣＳＣＦからＰ−ＣＳＣＲに送信することはできない。それは、CNonceはこの時点にＳ−ＣＳＣＦにおいて利用可能ではないからである。しかしながらSIP  200  OKメッセージにおいてＮＫを送信することは可能である（図５のメッセージ９を参照されたい）。加入者装置ＵＥ１も同様にＤＫ，NonceおよびCNonceを使用し、あらかじめ定めた関数ＦによってＮＫを生成することができる。しかしながらＰ−ＣＳＣＦは上記のメッセージから鍵ＮＫを除去している。そうでなければこの鍵は、Ｐ−ＣＳＣＦから加入者装置ＵＥ１に至る間に容易に傍受されてしまうおそれがあるからである。これによって加入者装置ＵＥ１およびＰ−ＣＳＣＦには第２鍵ＮＫが既知となるのである。
【００６４】
有利には上記のあらかじめ定められる関数Ｆは、第１の部分関数Ｆ１と第２の部分関数Ｆ２とに分けることができる。ここで第１部分関数Ｆ１は少なくとも第１対称鍵ＤＫおよび時間的に変化する第１パラメタNonceを入力パラメタとして有しており、また第２部分関数Ｆ２は、第１部分関数Ｆ１（ＤＫ，Nonce）の少なくとも１つの結果および時間的に変化する第２パラメタCNonceを入力パラメタとして有する。この場合に第１部分関数（ＤＫ，Nonce）の結果を（４０１メッセージにおいて）Ｓ−ＣＳＣＦからＰ−ＣＳＣＦに送信することができ、またＰ−ＣＳＣＦは、これと、問い合わせたCNonceとに依存してＮＫを計算することができる。これが可能であるのは、Ｐ−ＣＳＣＦがＨＴＴＰダイジェストヘッダを受信するかまたは問い合わせる場合である。
【００６５】
択一的な選択肢2に対して：ＨＳＳは上記の第１部分関数Ｆ１を実施してその結果Ｆ１(Nonce, DK)を計算し、ＩＭＳメッセージにおいてこの結果Ｆ１(Nonce, DK)をＳ−ＣＳＣＦに送信する。つぎにこのＳ−ＣＳＣＦは、SIP  200  OKメッセージにおいてＰ−ＣＳＣＦに第２鍵ＮＫ（ＮＫ＝F2(CNonce, F1(Nonce, DK))）を転送することができる。つぎに加入者装置ＵＥ１は同様に、このメッセージを受信した後、NonceおよびDKを使用して第２鍵ＮＫを生成することができる。しかしながらＰ−ＣＳＣＦは上記のメッセージから鍵ＮＫを除去している。そうでなければこの鍵は、Ｐ−ＣＳＣＦから加入者装置ＵＥ１に至る間に容易に傍受されてしまうおそれがあるからである。これによって加入者装置ＵＥ１もＰ−ＣＳＣＦも共に第２鍵ＮＫを有することになるのである。
【００６６】
１つの変形実施形態として、４０１メッセージにおいて第１部分関数Ｆ１(Nonce，ＤＫ)の結果をＳ−ＣＳＣＦからＰ−ＣＳＣＦに送信することができ、またこのＰ−ＣＳＣＦは、これと、問い合わせたCNonceとに依存して第２鍵ＮＫを計算することができる。
【００６７】
このために図５には、択一的な実施例１による例１に記載した本発明の方法の概略フローチャートが示されている。
【００６８】
1. 加入者装置ＵＥ１は、ＩＭＳアーキテクチャＩＭＳにあらかじめ構成されているＰ−ＣＳＣＦのアドレスにＳＩＰレジタス問い合わせ開始を送信する。この問い合わせには、個人ユーザ識別子ＩＭＰＩを有する認証ヘッダが含まれている。
【００６９】
2. 上記のＰ−ＣＳＣＦは、Ｉ−ＣＳＣＲを介してＳ−ＣＳＣＦに、受信したこのメッセージを転送する。分かりやすくするためにＩ−ＣＳＣＦは図５および６には図示されていない。
【００７０】
3. ＳＩＰレジスタ問い合わせを受信した後、上記のＳ−ＣＳＣＦは、ＩＭＰＩを有するＣｘ  ＭＡＲ（Cx Multimedia Auth Request）を送信することによってＨＳＳからの認証データを伝送する。これについては3GPP TS 29.229を参照されたい。
【００７１】
4. ＨＳＳは、ＨＴＴＰダイジェストに対する第１鍵ＤＫを有するＭＡ（Multimedia Auth）応答によって応答する。
【００７２】
5. 上記のＳ−ＣＳＣＦは、ＤＫおよびNonceを入力パラメタとして使用し、あらかじめ定めた関数Ｆを用いて第２鍵ＮＫを生成する。Ｓ−ＣＳＣＦは、Ｉ−ＣＳＣＦを介し、ＳＩＰ４０１非認証メッセージを用いて、ＨＴＴＰダイジェスト認証が問い合わされたことをＰ-ＣＳＣＦに示す。上記のＳＩＰ４０１非認証メッセージには、Nonceを有するＷＷＷ認証ヘッダが含まれている。付加的には第２鍵ＮＫをP-CSCFに伝送して鍵管理プロトコルが実現できるようにする。
【００７３】
6. P-ＣＳＣＦは、第２鍵ＮＫを記憶し、ＳＩＰ４０１非認証メッセージを加入者装置ＵＥ１に伝送する。しかしながらこれは第２鍵ＮＫなしに行われる。記憶したこの第２鍵ＮＫは、レジストレーションプロセスが成功して終わらない間は、P-ＣＳＣＦによって使用されてはならない（図４のステップ９からＮＫを使用可能である）。
【００７４】
7. 加入者装置ＵＥ１は、記憶した第１鍵ＤＫと、受信したNonceとを使用してダイジェスト値Digestを計算する。加入者装置ＵＥ１は、認証ヘッダを含む第２ＳＩＰレジスタ問い合わせをＰ−ＣＳＣＦに送信する。ここでこの認証ヘッダは、上記のＩＭＰＩおよび計算したダイジェスト値Digestを有する。
【００７５】
8. 上記のＰ−ＣＳＣＦは、Ｉ−ＣＳＣＲを介してＳ−ＣＳＣＦに、受信したメッセージを転送する。
【００７６】
9. Ｓ−ＣＳＣＦがこのメッセージを受信した後、このＳ−ＣＳＣＦは、ダイジェスト鍵およびNonceとして、前にＨＳＳから受信して記憶した鍵ＤＫを使用して新たにダイジェスト値Digestを計算する。Ｓ−ＣＳＣＦは、計算したダイジェスト値Digestと、加入者装置ＵＥ１から受信したダイジェスト値Digestとを比較する。両者が一致する場合、加入者装置ＵＥ１にＳＩＰ  ２００  OKメッセージを送信することによって上記のレジストレーションは成功して終了する。２００  ＯＫメッセージがＰ−ＣＳＣＦを通過する場合、このＰ−ＣＳＣＦも同様に上記のレジストレーションプロセスが成功して終了することを前提とすることができ、この時点から、ステップ６において記憶した第２鍵ＮＫを使用することができる。
【００７７】
10. 例えば、加入者装置ＵＥ１が、暗号化されたセッションを有することを望む場合、この加入者装置は、ＳＩＰ招待メッセージ（図５のメッセージ１０を参照されたい）において、暗号化されたプライマリー鍵enc(MK）をＰ−ＣＳＣＦに伝送することができる。上記の暗号化されたプライマリー鍵enc(MK)におけるプライマリー鍵ＭＫの暗号化は、第２対称鍵ＮＫによって行われる。第２鍵ＮＫがＰ−ＣＳＣＦに既知になった後、このＰ−ＣＳＣＦは、暗号化されかつ受信したプライマリー鍵enc(ＭＫ)を復号化することができる。
【００７８】
11. セッションの開始は、第２のＳＩＰ  ＯＫメッセージを加入者装置ＵＥ１に送信して戻すことによって確認される。
【００７９】
図５のステップ１０以降、セッションの開始は加入者装置ＵＥ１によって行われる。択一的には上記のセッションの開始をプロバイダ装置ＰＥ１によって、例えば上記のP-CSCFによって行うこともできる。
【００８０】
図６には、択一的な実施例２による例１に対して、本発明の方法の概略フローチャートが示されている。図６に示した第４実施例と、図５に示した第３実施例とはステップ４が異なっている。図６のステップ４は、図６に記載のＨＳＳが第２鍵ＮＫだけを送信し、第１鍵ＤＫを直接送信しない点が図５のステップ４と異なる。付加的にはさらに、予想されるダイジェスト値DigestをＳ−ＣＳＣＦに送信する。
【００８１】
ここまで本発明を有利な実施例に基づいて説明したが、本発明はこれに制限されるものではなく、多種多様に変形することができる。例えば、上記の鍵ＮＫをまず200  OKメッセージにおいてＳ−ＣＳＣＦからＰ−ＣＳＣＦに送信することが考えられる。さらに、本発明の非ＩＭＳアーキテクチャに適用することが考えられる。このような非ＩＭＳアーキテクチャでは、ＳＩＰプロキシに直接、第１対称鍵ＤＫを設けて、データベースからの第１鍵ＤＫの受信またはＳ−ＣＳＣＦ／ＨＳＳからＰ−ＣＳＣＦへの第２鍵ＮＫの伝送が必要でないようにすることができる。
【図１】
2010505313.tif 000002
【図２】
2010505313.tif 000003
【図３】
2010505313.tif 000004
【図４】
2010505313.tif 000005
【図５】
2010505313.tif 000006
【図６】
2010505313.tif 000007
【国際調査報告】
2010505313.tif 000008
2010505313.tif 000009
2010505313.tif 000010
2010505313.tif 000011
2010505313.tif 000012
2010505313.tif 000013