(57)【要約】  認証サーバは、（ａ）第１のネットワークアクセスノードを経由する通信を確立しようとする認証ピアを認証し、（ｂ）前記認証ピアと関連するユーザ・プロファイル情報を検索し、及び／又は、（ｃ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信するように構成されても良い。ＰＭＩＰネットワークノードは、（ａ）第１のネットワークアクセスノードを経由して、無線ネットワークの接続性を、認証ピアへ提供し、（ｂ）provide a  ＰＭＩＰキーを、前記認証ピアとの通信を提供するために用いられる、第１のネットワークアクセスノードと、ＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ、提供し、（ｃ）ＰＭＩＰキーを、前記第１のネットワークアクセスノードに関連する第１のオーセンティケータへ提供することと、（ｄ）ＰＭＩＰネットワークノードで、前記認証ピアへの通信をリルートするための要求エンティティーから、リクエストを受信し、及び／又は、（ｅ）前記要求エンティティーが、前記ＰＭＩＰキーを知っているか否か検証するように構成されても良い。
2010521932.tif 000002
【特許請求の範囲】
【請求項１】
無線通信ネットワークのための認証サーバにおいて動作可能な方法において、
無線認証ピアからアクセス認証リクエストを受信することと、
前記無線認証ピアのための第１のユーザ識別子に関連する第２のユーザ識別子を生成することと、
前記第２のユーザ識別子を、前記認証ピアに関連するオーセンティケータへ提供することを含む方法。
【請求項２】
前記通信ネットワークは、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワーク、ＷｉＭＡＸ互換ネットワーク又はロングタームエボリューション（ＬＴＥ）互換ネットワークのうちの少なくとも一つを含む請求項１に記載の方法。
【請求項３】
前記認証サーバは、認証、許可及びアカウンティングのエンティティー（ＡＡＡ）であり、
前記認証ピアは、無線アクセス端末（ＡＴ）である請求項１に記載の方法。
【請求項４】
前記オーセンティケータは、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワークにおいて前記無線アクセス端末（ＡＴ）にサービスする基地局（ＢＳ）に関連するセッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）であり、
前記第１のユーザ識別子は、前記無線アクセス端末に関するネットワークアクセス識別子（ＮＡＩ）である請求項３に記載の方法。
【請求項５】
前記サービング基地局は、前記セッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）とともに配置される請求項４に記載の方法。
【請求項６】
前記第１のユーザ識別子に基づいて、ユーザ・プロファイル情報を検索することと、
前記ユーザ・プロファイル情報を、前記オーセンティケータへ提供することを更に含む請求項１に記載の方法。
【請求項７】
前記第２のユーザ識別子は、ランダムに生成され、その後に、前記第１のユーザ識別子に関連する番号である請求項１に記載の方法。
【請求項８】
前記第２のユーザ識別子は、前記第１のユーザ識別子である請求項１に記載の方法。
【請求項９】
前記第２のユーザ識別子は、前記第１のユーザ識別子の関数である請求項１に記載の方法。
【請求項１０】
無線認証ピアからアクセス認証リクエストを受信し、
前記無線認証ピアのための第１のユーザ識別子に関連する第２のユーザ識別子を生成し、
前記第２のユーザ識別子を、前記認証ピアに関連するオーセンティケータへ提供する、ように構成された処理回路を備える認証サーバ。
【請求項１１】
ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワーク、ＷｉＭＡＸ互換ネットワーク又はロングタームエボリューション（ＬＴＥ）互換ネットワークのうちの少なくとも一つの上で通信するように構成された通信インタフェースを更に備える請求項１０に記載の認証サーバ。
【請求項１２】
前記認証サーバは、認証、許可及びアカウンティングのエンティティー（ＡＡＡ）であり、
前記認証ピアは、無線アクセス端末（ＡＴ）である請求項１０に記載の認証サーバ。
【請求項１３】
前記オーセンティケータは、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワークにおいて前記無線アクセス端末（ＡＴ）にサービスする基地局（ＢＳ）に関連するセッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）であり、
前記第１のユーザ識別子は、前記無線アクセス端末に関するネットワークアクセス識別子（ＮＡＩ）である請求項１２に記載の認証サーバ。
【請求項１４】
前記処理回路は、更に、
前記第１のユーザ識別子に基づいて、ユーザ・プロファイル情報を検索し、
前記ユーザ・プロファイル情報を、前記オーセンティケータへ提供する、
ように更に構成された請求項１０に記載の認証サーバ。
【請求項１５】
前記第２のユーザ識別子は、ランダムに生成され、その後に、前記第１のユーザ識別子に関連する番号である請求項１０に記載の認証サーバ。
【請求項１６】
前記第２のユーザ識別子は、前記第１のユーザ識別子である請求項１０に記載の認証サーバ。
【請求項１７】
前記第２のユーザ識別子は、前記第１のユーザ識別子の関数である請求項１０の認証サーバ。
【請求項１８】
無線認証ピアからアクセス認証リクエストを受信するための手段と、
前記無線認証ピアのための第１のユーザ識別子に関連する第２のユーザ識別子を生成するための手段と、
前記第２のユーザ識別子を、前記認証ピアに関連するオーセンティケータへ提供するための手段とを備える認証サーバ。
【請求項１９】
前記第１のユーザ識別子に基づいて、ユーザ・プロファイル情報を検索するための手段と、
前記ユーザ・プロファイル情報を、前記オーセンティケータへ提供するための手段とを更に備える請求項１８に記載の認証サーバ。
【請求項２０】
第１のユーザ識別子を保護するための認証サーバ上で動作可能なコンピュータプログラムにおいて、
プロセッサにより実行された場合に、前記プロセッサに、
無線認証ピアからアクセス認証リクエストを受信させ、
前記無線認証ピアのための第１のユーザ識別子に関連する第２のユーザ識別子を生成させ、
前記第２のユーザ識別子を、前記認証ピアに関連するオーセンティケータへ提供させるコンピュータプログラム。
【請求項２１】
前記プロセッサにより実行された場合に、前記プロセッサに、更に、
前記第１のユーザ識別子に基づいて、ユーザ・プロファイル情報を検索させ、
前記ユーザ・プロファイル情報を、前記オーセンティケータへ提供させる請求項２０に記載のコンピュータプログラム。
【請求項２２】
通信ネットワークにおいて動作可能な方法において、
第１のネットワークアクセスノードを経由する通信を確立しようとしている認証ピアを認証することと、
前記認証ピアに関連するユーザ・プロファイル情報を検索することと、
前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信することを含む方法。
【請求項２３】
前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するオーセンティケータへ送信することを更に含む請求項２２に記載の方法。
【請求項２４】
前記認証サーバは、前記通信ネットワークの一部である、認証、許可及びアカウンティング（ＡＡＡ）エンティティーである請求項２２に記載の方法。
【請求項２５】
前記ユーザ・プロファイル情報を前記ネットワークゲートウェイノードへ送信することは、前記通信ネットワークのためのオーセンティケータに、前記ユーザ・プロファイル情報を、前記ネットワークゲートウェイノードへ送信させることを含む請求項２２に記載の方法。
【請求項２６】
前記ユーザ・プロファイル情報を前記ネットワークゲートウェイノードへ送信することは、前記認証サーバに、前記ユーザ・プロファイル情報を前記ネットワークゲートウェイノードへ送信させることを含む請求項２２に記載の方法。
【請求項２７】
前記ユーザ・プロファイル情報は、前記認証ピアの通信サービスにのための、ユーザ・プロファイル、ユーザ・ポリシー、前記ユーザ・プロファイルのためのサービス品質のうちの少なくとも一つを含む請求項２２に記載の方法。
【請求項２８】
ポリシー・リクエストを、前記ネットワークゲートウェイノードからポリシー制御及びリソース機能（ＰＣＲＦ）エンティティーへ送信することと、
前記認証ピアに一意に関連する第１のユーザ識別子のリクエストを、前記ＰＣＲＦエンティティーから前記認証サーバへ送信することと、
リプライを、前記認証サーバから、前記リクエストされた第１のユーザ識別子を含む前記ＰＣＲＦエンティティーへ送信することと、
前記第１のユーザ識別子を用いて、前記認証ピアのための前記ＰＣＲＦエンティティーにてユーザ・ポリシーを取得することと、
前記ユーザ・ポリシーを、前記ＰＣＲＦエンティティーから前記ネットワークゲートウェイノードへ送信することを更に含む請求項２２に記載の方法。
【請求項２９】
前記オーセンティケータは、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワークにおいて前記認証ピアにサービスする基地局に関連するセッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）であり、
前記秘密の識別子は、前記無線アクセス端末に関するネットワークアクセス識別子である請求項２２に記載の方法。
【請求項３０】
第１のネットワークアクセスノードを経由する通信を確立しようとしている認証ピアを認証し、
前記認証ピアに関連するユーザ・プロファイル情報を検索し、
前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信するように構成された処理回路を備える認証サーバ。
【請求項３１】
前記処理回路は、更に、前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するオーセンティケータへ送信するように構成された請求項３０に記載の認証サーバ。
【請求項３２】
前記処理回路は、更に、
前記認証ピアに一意に関連する第１のユーザ識別子のリクエストを、前記ＰＣＲＦエンティティーから受信し、
リプライを、前記リクエストされた前記第１のユーザ識別子を含む前記ＰＣＲＦエンティティーへ送信する、
ように構成された請求項３０に記載の認証サーバ。
【請求項３３】
第１のネットワークアクセスノードを経由する通信を確立しようとしている認証ピアを認証するための手段と、
前記認証ピアに関連するユーザ・プロファイル情報を検索するための手段と、
前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信するための手段とを備える認証サーバ。
【請求項３４】
前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するオーセンティケータへ送信するための手段を更に備える請求項３３に記載の認証サーバ。
【請求項３５】
前記認証ピアに一意に関連する第１のユーザ識別子のリクエストを、前記ＰＣＲＦエンティティーから受信するための手段と、
リプライを、前記リクエストされた前記第１のユーザ識別子を含む前記ＰＣＲＦエンティティーへ送信するための手段とを更に備える請求項３３に記載の認証サーバ。
【請求項３６】
ユーザ情報を提供するための認証サーバ上で動作可能なコンピュータプログラムにおいて、
プロセッサにより実行された場合に、前記プロセッサに、
第１のネットワークアクセスノードを経由する通信を確立しようとしている認証ピアを認証させ、
前記認証ピアに関連するユーザ・プロファイル情報を検索させ、
前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信させるコンピュータプログラム。
【請求項３７】
前記プロセッサにより実行された場合に、前記プロセッサに、更に、
前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するオーセンティケータへ送信させる請求項３６に記載のコンピュータプログラム。
【請求項３８】
前記プロセッサにより実行された場合に、前記プロセッサに、更に、
前記認証ピアに一意に関連する第１のユーザ識別子のリクエストを、前記ＰＣＲＦエンティティーから受信させ、
リプライを、前記リクエストされた前記第１のユーザ識別子を含む前記ＰＣＲＦエンティティーへ送信させる請求項３６に記載のコンピュータプログラム。
【請求項３９】
通信ネットワーク上で動作可能な方法において、
第１のネットワークアクセスノードを経由して、認証ピアに無線ネットワークの接続性を提供することと、
ＰＭＩＰキーを、前記認証ピアへ通信を提供するために用いられる、前記第１のネットワークアクセスノードとＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ、提供することと、
前記ＰＭＩＰキーを、前記第１のネットワークアクセスノードに関連する第１のオーセンティケータへ、提供することと、
前記ＰＭＩＰネットワークノードでのリクエストを、前記認証ピアのための通信をリルートするための要求エンティティーから、受信することと、
前記要求エンティティーが前記ＰＭＩＰキーを知っているか否か検証することを含む方法。
【請求項４０】
前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークアクセスノードへの通信をリルートすることを更に含む請求項３９に記載の方法。
【請求項４１】
前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークゲートウェイノードへの通信をリルートすることを更に含む請求項３９に記載の方法。
【請求項４２】
通信をリルートすることは、前記第１のＰＭＩＰネットワークノードと新たなサービングネットワークエンティティーとの間の新たなプロキシモバイルＩＰトンネルを確立することを含む請求項４１に記載の方法。
【請求項４３】
前記第１のネットワークアクセスノードへの通信をリルートすることを更に含む請求項３９に記載の方法。
【請求項４４】
認証、許可及びアカウンティング（ＡＡＡ）エンティティーにて前記ＰＭＩＰキーを生成することを更に含む請求項３９に記載の方法。
【請求項４５】
前記ＰＭＩＰネットワークノードは、ネットワークゲートウェイノードである請求項３９に記載の方法。
【請求項４６】
第１のネットワークアクセスノードを経由して、認証ピアに無線ネットワークの接続性を提供し、
ＰＭＩＰキーを、前記認証ピアへ通信を提供するために用いられる、前記第１のネットワークアクセスノードとＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ、提供し、
前記ＰＭＩＰキーを、前記第１のネットワークアクセスノードに関連する第１のオーセンティケータへ、提供し、
前記ＰＭＩＰネットワークノードでのリクエストを、前記認証ピアのための通信をリルートするための要求エンティティーから、受信し、
前記要求エンティティーが前記ＰＭＩＰキーを知っているか否か検証する、
ように構成された処理回路を備えるＰＭＩＰネットワークノード。
【請求項４７】
前記処理回路は、更に、
前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークアクセスノードへの通信をリルートするように更に構成された請求項４６に記載のＰＭＩＰネットワークノード。
【請求項４８】
前記処理回路は、更に、
前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークゲートウェイノードへの通信をリルートするように更に構成された請求項４６に記載のＰＭＩＰネットワークノード。
【請求項４９】
通信をリルートすることは、前記第１のＰＭＩＰネットワークノードと新たなサービングネットワークエンティティーとの間の新たなプロキシモバイルＩＰトンネルを確立することを含む請求項４６に記載のＰＭＩＰネットワークノード。
【請求項５０】
第１のネットワークアクセスノードを経由して、認証ピアに無線ネットワークの接続性を提供するための手段と、
ＰＭＩＰキーを、前記認証ピアへ通信を提供するために用いられる、前記第１のネットワークアクセスノードとＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ、提供するための手段と、
前記ＰＭＩＰキーを、前記第１のネットワークアクセスノードに関連する第１のオーセンティケータへ、提供するための手段と、
前記ＰＭＩＰネットワークノードでのリクエストを、前記認証ピアのための通信をリルートするための要求エンティティーから、受信するための手段と、
前記要求エンティティーが前記ＰＭＩＰキーを知っているか否か検証するための手段とを備えるＰＭＩＰネットワークノード。
【請求項５１】
前記処理回路は、更に、
前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークアクセスノードへの通信をリルートするように更に構成された請求項５０に記載のＰＭＩＰネットワークノード。
【請求項５２】
前記処理回路は、更に、
前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークゲートウェイノードへの通信をリルートするように更に構成された請求項５０に記載のＰＭＩＰネットワークノード。
【請求項５３】
通信をリルートすることは、前記第１のＰＭＩＰネットワークノードと新たなサービングネットワークエンティティーとの間の新たなプロキシモバイルＩＰトンネルを確立することを含む請求項５０に記載のＰＭＩＰネットワークノード。
【請求項５４】
ＰＭＩＰネットワークノード上で動作可能なコンピュータプログラムにおいて、
プロセッサにより実行された場合に、前記プロセッサに、
第１のネットワークアクセスノードを経由して、認証ピアに無線ネットワークの接続性を提供させ、
ＰＭＩＰキーを、前記認証ピアへ通信を提供するために用いられる、前記第１のネットワークアクセスノードとＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ、提供させ、
前記ＰＭＩＰキーを、前記第１のネットワークアクセスノードに関連する第１のオーセンティケータへ、提供させ、
前記ＰＭＩＰネットワークノードでのリクエストを、前記認証ピアのための通信をリルートするための要求エンティティーから、受信させ、
前記要求エンティティーが前記ＰＭＩＰキーを知っているか否か検証させるコンピュータプログラム。
【請求項５５】
前記プロセッサにより実行された場合に、前記プロセッサに、更に、
前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークアクセスノードへの通信をリルートさせる請求項５４に記載のＰＭＩＰネットワークノード。
【請求項５６】
前記プロセッサにより実行された場合に、前記プロセッサに、更に、
前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークゲートウェイノードへの通信をリルートさせる請求項５４に記載のＰＭＩＰネットワークノード。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願の相互参照）
本特許発明は、２００７年３月１６日付け提出され、本願の譲受人に譲渡され、ここに明確に参照するによって本明細書に組み込まれる「3GPP2 Network Evolution: User Profile Policy, and PMIP Key” filed March 16, 2007,」と題された米国仮出願第６０／８９５，２９８号の優先権を主張する。
【０００２】
（技術分野）
少なくとも一つの特徴は、通信システムに関係し、より詳しくは、例えばウルトラ・モバイル・ブロードバンド（ＵＭＢ）ネットワークのような無線ネットワーク内のモバイルデバイス情報の安全な配布を支援するための方法に関係する。
【背景技術】
【０００３】
３ＧＰＰ２の中での様々な無線通信ネットワークの発展において、ネットワークアーキテキチャーの一種が、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）ネットワークとして知られており、次世代のアプリケーション及び要件のためにＣＤＭＡ２０００携帯電話（mobile phone）標準を強化（improve）することが意図されている。ＵＭＢパケットデータネットワークは、次世代の無線システム上で稼動するインターネット（ＴＣＰ／ＩＰ）ネットワーキング技術に基づくものであり、それが取って代わる技術よりも効率的で且つより多くのサービスを提供できるように意図されている。ＵＭＢは、第４世代（４Ｇ）技術になることを意図されており、また、高帯域、低レイテンシー、例えボイス・ビルト・オン・トップ（voice built on top）のようなハイレベルのサービスを持った基礎を成す（underlying）ＴＣＰ／ＩＰネットワークを用いる。とても大きい量のバンド幅（前の世代に比較して）及びとても低いレイテンシーは、高品質（又は、より高い品質）の音声サービスを提供し続けている間、以前では不可能であった様々なアプリケーションタイプの使用を可能にする。
【０００４】
ＵＢＭネットワークには、発展型基地局（evolved base stations）（ｅＢＳ）として知られている、それほど集中的ではない管理のネットワークアクセスノードがある。例として、上記アクセスノードは、ＣＤＭＡネットワークにおける基地局（ＢＳ）及び基地局制御装置（base station controller）（ＢＳＣ）と同一の機能の多くを実行できる。このより分散的なネットワークアーキテクチャのため、アクセス端末（ＡＴ）のネットワークアクセス識別子（network access identifier）（ＮＡＩ）を安全に維持するしようと試みるときに、幾つかの問題が生ずる。
【０００５】
幾つかの従来の技術のネットワークアーキテクチャの下では、ＮＡＩ（又は、その同等なアクセス端末識別子）は、認証、アカウンティング・レポート、及び／又は、ポリシー検索機能のためにそれを利用するパケットデータサービングノード（packet data serving node）（ＰＤＳＮ）へ、アクセス端末により、無線で（over the air）送信される。ＮＡＩを無線で送信することによって、それは、詮索（snooping）を受け易く、安全でない状態にされる（insecure）。
【０００６】
ＵＭＢネットワークでは、ＮＡＩは無線で送信されない。その代わりに、拡張認証プロトコル（extendible authentication protocol）（ＥＡＰ）メソッドによって、アクセス端末のＮＡＩがオーセンティケータ（authenticator）に知られないようにすることができる。これは、匿名（anonymous）ＮＡＩと呼ばれることがある。しかしながら、匿名ＮＡＩを実施している間、ＡＴをどのように認証するかにおいて問題が生ずる。
【０００７】
ＵＭＢネットワークでは、ユーザ・プロファイル及びサービス品質（ＱｏＳ）ユーザ・プロファイルは、成功アクセス認証（successful access authentication）を経て、ローカル及びホームの認証、許可及びアカウンティング（local and home authentication, authorization, and accounting）（ＬＡＡＡ／ＨＡＡＡ）から、セッション・リファレンス・ネットワーク・コントローラ（session reference network controller）（ＳＲＮＣ）へ送信される。しかしながら、ユーザ・プロファイルはまた、アクセスゲートウェイ（ＡＧＷ）へ（例えば、ＩＰサービス許可を経て）送信される必要がある。それゆえ、匿名ＮＡＩを実施している間、どのようにユーザ・プロファイルをＡＧＷへ送信するかにおいて問題が存在する。
【０００８】
ＵＭＢネットワークの中でｅＢＳとＡＧＷとの間にＰＭＩＰｖ４トンネルが使用される場合に、ＭＮ−ＨＡキー（例えば、ＡＴベースのキー毎又はｅＢＳ−ＡＧＷペアのキー毎であり得る）は、ｅＢＳとＡＧＷの両方に送信される必要がある。したがって、問題は、ｅＢＳとＡＧＷとの間のＰＭＩＰｖ４トンネルに使用されるＭＮ−ＨＡキーをどのようにＳＲＮＣ及びＡＧＷに送信するかにおいて生ずる。
【０００９】
そこで、ＵＭＢネットワークの中で匿名ＮＡＩを実施する場合に、これらの問題に対処する方法が必要である。
【発明の概要】
【００１０】
無線通信ネットワークのための認証サーバ（authentication server）上で動作可能な方法は、第１の（primary）ユーザ・キー（user key）を保護するために提供される。アクセス認証リクエスト（access authentication request）は、無線認証ピア（wireless authentication peer）から受信される。第２の（secondary）ユーザ識別子（user identifier）が生成される。ここで、第２のユーザ・キーは、無線認証ピアに関する第１のユーザ識別子に関連するものである。第２のユーザ識別子は、その認証ピア（authentication peer）に関連するオーセンティケータに提供される。ユーザ・プロファイル情報（User profile information）は、第１のユーザ識別子に基づいて検索されても良い。ユーザ・プロファイル情報は、そのオーセンティケータに送信されても良い。
【００１１】
通信ネットワークは、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワーク（compatible network）、ＷｉＭＡＸ互換ネットワーク、又はロングタームエボリューション（Long Term Evolution）（ＬＴＥ）互換ネットワークのうちの少なくとも一つを含んでも良い。認証サーバは、認証、許可及びアカウンティング（authentication, authorization, and accounting）エンティティー（ＡＡＡ）であっても良い。また、認証ピアは、無線アクセス端末（ＡＴ）である。オーセンティケータは、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワークにおいて無線アクセス端末（ＡＴ）にサービスする基地局（ＢＳ）に関連するセッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）であっても良い。また、第１のユーザ識別子は、その無線アクセス端末に関するネットワークアクセス識別子（ＮＡＩ）である。サービング基地局（serving base station）は、セッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）と一緒に配置されても良い。
【００１２】
第２のユーザ識別子は、ランダムに生成され、その後に、第１のユーザ識別子に関連付けられる番号であっても良い。また、第２のユーザ識別子は、第１のユーザ識別子であっても良い。第２のユーザ識別子は、第１のユーザ識別子の関数であっても良い。
【００１３】
認証サーバは、（ａ）無線認証ピアからアクセス認証リクエストを受信し、（ｂ）前記無線認証ピアのための第１のユーザ識別子に関連する第２のユーザ識別子を生成し、（ｃ）前記第２のユーザ識別子を、前記認証ピアに関連するオーセンティケータへ提供し、（ｄ）前記第１のユーザ識別子に基づいて、ユーザ・プロファイル情報を検索し、（ｅ）前記ユーザ・プロファイル情報を、前記オーセンティケータへ提供する、ように更に構成された処理回路を含んで提供される。
【００１４】
認証サーバは、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワーク、ＷｉＭＡＸ互換ネットワーク、又はロングタームエボリューション（ＬＴＥ）互換ネットワークのうちの少なくとも一つの上で通信するように構成された通信インタフェースを更に含む。認証サーバは、認証、許可及びアカウンティングエンティティー（ＡＡＡ）であっても良い。また、認証ピアは、無線アクセス端末（ＡＴ）である。オーセンティケータは、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワークにおいて無線アクセス端末（ＡＴ）にサービスする基地局（ＢＳ）と関連するセッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）であっても良い。また、第１のユーザ識別子は、前記無線アクセス端末のためのネットワークアクセス識別子（ＮＡＩ）である。第２のユーザ識別子は、（ａ）ランダムに生成され、その後に、第１のユーザ識別子に関連付けられる番号、（ｂ）第１のユーザ識別子、及び／又は（ｃ）第１のユーザ識別子の関数であっても良い。
【００１５】
そこで、認証サーバはまた、（ａ）無線認証ピアからアクセス認証リクエストを受信するための手段と、（ｂ）前記無線認証ピアのための第１のユーザ識別子に関連する第２のユーザ識別子を生成するための手段と、（ｃ）前記第２のユーザ識別子を、前記認証ピアに関連するオーセンティケータへ提供するための手段と、（ｄ）前記第１のユーザ識別子に基づいて、ユーザ・プロファイル情報を検索するための手段と、及び／又は、（ｅ）前記ユーザ・プロファイル情報を、前記オーセンティケータへ提供するための手段とを含んで提供される。
【００１６】
第１のユーザ識別子を保護するための認証サーバ上で動作可能なコンピュータプログラムもまた提供される。それは、プロセッサにより実行された場合に、前記プロセッサに、（ａ）無線認証ピアからアクセス認証リクエストを受信させ、（ｂ）前記無線認証ピアのための第１のユーザ識別子に関連する第２のユーザ識別子を生成させ、（ｃ）前記第２のユーザ識別子を、前記認証ピアに関連するオーセンティケータへ提供させ、（ｄ）前記第１のユーザ識別子に基づいて、ユーザ・プロファイル情報を検索させ、及び／又は、（ｅ）前記ユーザ・プロファイル情報を、前記オーセンティケータへ提供させる。
【００１７】
方法もまた通信ネットワーク内でユーザ・プロファイル及び／又はポリシー情報を配布（distributing）するための認証サーバにより提供される。第１の（first）ネットワークアクセスノードを経由する通信を確立しようとする認証ピアが認証される。前記認証ピアに関連するユーザ・プロファイル情報が検索され、前記認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信される。前記ユーザ・プロファイル情報はまた、前記認証ピアのための通信サービスを支援するオーセンティケータへ送信される。前記認証サーバは、前記通信ネットワークの一部である認証、許可及びアカウンティング（ＡＡＡ）エンティティーであっても良い。
【００１８】
一つの例において、前記ユーザ・プロファイル情報を前記ネットワークゲートウェイノードへ送信することは、前記通信ネットワークのためのオーセンティケータに、前記ユーザ・プロファイル情報を前記ネットワークゲートウェイノードへ送信させることを含む。他の例において、前記ユーザ・プロファイル情報を前記ネットワークゲートウェイノードへ送信することは、前記認証サーバに、前記ユーザ・プロファイル情報を前記ネットワークゲートウェイノードへ送信させることを含む。前記ユーザ・プロファイル情報は、前記認証ピアの通信サービスにのための、ユーザ・プロファイル、ユーザ・ポリシー、前記ユーザ・プロファイルのためのサービス品質のうちの少なくとも一つを含んでも良い。
【００１９】
加えて、前記方法は、（ａ）ポリシー・リクエストを、前記ネットワークゲートウェイノードからポリシー制御及びリソース機能（ＰＣＲＦ）エンティティーへ送信することと、（ｂ）前記認証ピアに一意に関連する第１のユーザ識別子のリクエストを、前記ＰＣＲＦエンティティーから前記認証サーバへ送信することと、（ｃ）リプライを、前記認証サーバから、前記リクエストされた第１のユーザ識別子を含む前記ＰＣＲＦエンティティーへ送信することと、（ｄ）前記第１のユーザ識別子を用いて、前記認証ピアのための前記ＰＣＲＦエンティティーにてユーザ・ポリシーを取得することと、及び／又は、（ｅ）前記ユーザ・ポリシーを、前記ＰＣＲＦエンティティーから前記ネットワークゲートウェイノードへ送信することを更に含んでも良い。
【００２０】
オーセンティケータは、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワークにおいて前記認証ピアにサービスする基地局と関連するセッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）であっても良い。また、秘密の識別子（confidential identifier）は、前記無線アクセス端末のためのネットワークアクセス識別子である。
【００２１】
認証サーバはまた、（ａ）第１のネットワークアクセスノードを経由する通信を確立しようとしている認証ピアを認証し、（ｂ）前記認証ピアに関連するユーザ・プロファイル情報を検索し、（ｃ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信し、（ｄ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するオーセンティケータへ送信し、（ｅ）前記認証ピアに一意に関連する第１のユーザ識別子のリクエストを、前記ＰＣＲＦエンティティーから受信し、及び／又は、（ｆ）リプライを、前記リクエストされた前記第１のユーザ識別子を含む前記ＰＣＲＦエンティティーへ送信する、ように構成された処理回路を含んで提供される。
【００２２】
そこで、認証サーバは、（ａ）第１のネットワークアクセスノードを経由する通信を確立しようとしている認証ピアを認証するための手段、（ｂ）前記認証ピアに関連するユーザ・プロファイル情報を検索するための手段、（ｃ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信するための手段、（ｄ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するオーセンティケータへ送信するための手段、（ｅ）前記認証ピアに一意に関連する第１のユーザ識別子のリクエストを、前記ＰＣＲＦエンティティーから受信するための手段、及び／又は、（ｆ）リプライを、前記リクエストされた前記第１のユーザ識別子を含む前記ＰＣＲＦエンティティーへ送信するための手段を含んで提供される。
【００２３】
ユーザ情報を提供するために認証サーバ上で動作するコンピュータプログラムにもまた提供される。それは、プロセッサにより実行された場合に、前記プロセッサに、（ａ）第１のネットワークアクセスノードを経由する通信を確立しようとしている認証ピアを認証させ、（ｂ）前記認証ピアに関連するユーザ・プロファイル情報を検索させ、（ｃ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信させ、（ｄ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するオーセンティケータへ送信させ、（ｅ）前記認証ピアに一意に関連付する第１のユーザ識別子のリクエストを、前記ＰＣＲＦエンティティーから受信させ、及び／又は、（ｆ）リプライを、前記リクエストされた前記第１のユーザ識別子を含む前記ＰＣＲＦエンティティーへ送信させる。
【００２４】
通信ネットワークにおいて動作可能な方法が提供される。無線ネットワークの接続性（Wireless network connectivity）が、第１のネットワークアクセスノードを経由して、認証ピアへ提供される。ＰＭＩＰキーは、前記認証ピアとの通信を提供するための用いられる、前記第１のネットワークアクセスノードと、ＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ、提供される。次いで、ＰＭＩＰキーは、前記第１のネットワークアクセスノードに関連する第１のオーセンティケータに提供される。通信は、前記第１のネットワークアクセスノードへリルートされても良い。
【００２５】
続いて、ＰＭＩＰネットワークノードで、認証ピアのための通信をリルートするための要求中のエンティティーから、リクエストが受信されても良い。前記ＰＭＩＰネットワークノードは、前記要求中のエンティティーが前記ＰＭＩＰキーを知っているか否か検証しても良い。一つの例において、前記要求中のエンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合には、通信は、第２の（second）ネットワークアクセスノードへリルートされても良い。他の例において、前記要求中のエンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合には、通信は、第２のネットワークゲートウェイノードへリルートされても良い。通信をルーティングすることは、前記第１のＰＭＩＰネットワークノードと新たなサービングネットワークエンティティーとの間の新たなプロキシモバイルＩＰトンネルを確立することを含む。一つの例において、前記ＰＭＩＰキーは、認証、許可及びアカウンティング（ＡＡＡ）エンティティー又はネットワークゲートウェイノードで生成されても良い。前記ＰＭＩＰネットワークノードは、ネットワークゲートウェイノードであっても良い。
【００２６】
ＰＭＩＰネットワークノードもまた、（ａ）第１のネットワークアクセスノードを経由して、認証ピアに無線ネットワークの接続性を提供し、（ｂ）ＰＭＩＰキーを、前記認証ピアへ通信を提供するために用いられる、前記第１のネットワークアクセスノードとＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ、提供し、（ｃ）前記ＰＭＩＰキーを、前記第１のネットワークアクセスノードに関連する第１のオーセンティケータへ、提供し、（ｄ）前記ＰＭＩＰネットワークノードでのリクエストを、前記認証ピアのための通信をリルートするための要求エンティティーから、受信し、（ｅ）前記要求エンティティーが前記ＰＭＩＰキーを知っているか否か検証し、（ｆ）前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークアクセスノードへの通信をリルートし、及び／又は、（ｇ）前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークゲートウェイノードへの通信をリルートするように構成された処理回路を更に含んで提供される。通信をルーティングすることは、第１のＰＭＩＰネットワークノードと新たなサービングネットワークエンティティーとの間に、新たなプロキシモバイルＩＰトンネルを確立することを含んでも良い。
【００２７】
そこで、ＰＭＩＰネットワークノードはまた、（ａ）第１のネットワークアクセスノードを経由して、認証ピアに無線ネットワークの接続性を提供するための手段、（ｂ）ＰＭＩＰキーを、前記認証ピアへ通信を提供するために用いられる、前記第１のネットワークアクセスノードとＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ、提供するための手段、（ｃ）前記ＰＭＩＰキーを、前記第１のネットワークアクセスノードに関連する第１のオーセンティケータへ、提供するための手段、（ｄ）前記ＰＭＩＰネットワークノードでのリクエストを、前記認証ピアのための通信をリルートするための要求エンティティーから、受信するための手段、（ｅ）前記要求エンティティーが前記ＰＭＩＰキーを知っているか否か検証するための手段、（ｆ）前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークアクセスノードへの通信をリルートするための手段、及び／又は、（ｇ）前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークゲートウェイノードへの通信をリルートするための手段を含んで提供される。通信をルーティングすることは、第１のＰＭＩＰネットワークノードと新たなサービングネットワークエンティティーとの間に、新たなプロキシモバイルＩＰトンネルを確立することを含んでも良い。
【００２８】
ＰＭＩＰネットワークノード上で動作可能なコンピュータプログラムもまた提供される。それは、プロセッサにより実行された場合に、前記プロセッサに、（ａ）第１のネットワークアクセスノードを経由して、認証ピアに無線ネットワークの接続性を提供させ、（ｂ）ＰＭＩＰキーを、前記認証ピアへ通信を提供するために用いられる、前記第１のネットワークアクセスノードとＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ、提供させ、（ｃ）前記ＰＭＩＰキーを、前記第１のネットワークアクセスノードに関連する第１のオーセンティケータへ、提供させ、（ｄ）前記ＰＭＩＰネットワークノードでのリクエストを、前記認証ピアのための通信をリルートするための要求エンティティーから、受信させ、（ｅ）前記要求エンティティーが前記ＰＭＩＰキーを知っているか否か検証させ、（ｆ）前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークアクセスノードへの通信をリルートさせ、及び／又は、（ｇ）前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークゲートウェイノードへの通信をリルートさせる。
【００２９】
様々な特徴、性質及び利点が、同様の参照文字が全体わたって対応するように識別する図面を併せて考慮したときに、以下で説明される詳細な説明から、明らかにされる。
【図面の簡単な説明】
【００３０】
【図１】図１は、安全なＮＡＩ、安全なユーザ・プロファイル及びポリシーの配布（distribution）及び／又はＰＭＩＰキーの配布のうちの１又は複数の特徴が一つの例に従って実装され得るるＵＭＢネットワークのブロック図である。
【図２】図２は、アクセス端末（ＡＴ）と、ホームの認証、許可及びアカウンティング（ＨＡＡＡ）エンティティーとの間のネットワークアクセス認証（network access authentication）の間に、ネットワークアクセス識別子（ＮＡＩ）が無線で送信されない認証方法を説明するフローチャートである。
【図３】図３は、第１の（primary）ユーザ・キーを保護するために提供される、無線通信ネットワークのための認証サーバ（例えば、ＨＡＡＡ）上で動作可能な方法を説明する。
【図４】図４は、ＵＭＢネットワークにおいてＡＴが第１の（first）ｅＢＳから第２の（second）ｅＢＳまで移動するとき、どのように無線サービスがＡＴに提供され得るかを説明するブロック図である。
【図５】図５は、分散型のＳＲＮＣ構成において、どのようにＡＧＷが、新しいＰＭＩＰトンネルが確立されるときにユーザ・プロファイルをＬＡＡＡから検索し、また、ＰＣＲＦからのユーザ・ポリシーを要求し得るかを説明する。
【図６】図６は、集中型のＳＲＮＣ構成において、どのようにＡＧＷが、新しいＰＭＩＰトンネルが確立されるときにユーザ・プロファイルをＬＡＡＡから検索し、また、ＰＣＲＦからのユーザ・ポリシーを要求し得るかを説明する。
【図７】図７は、分散型のＳＲＮＣ構成において、どのようにＡＧＷが、認証プロセスの一環としてのユーザ・プロファイル情報と、ＰＣＲＦからのユーザ・ポリシーとを取得し得るかを説明する。
【図８】図８は、分散型のＳＲＮＣ構成において、どのようにＡＧＷが、認証プロセスの一環としてのユーザ・プロファイル情報と、ＰＣＲＦからのユーザ・ポリシーとを取得し得るかを説明する。
【図９】図９は、分散型のＳＲＮＣ構成において、どのように、ＬＡＡＡが、ユーザ・プロファイルをＡＧＷへプッシュし、また、ＡＧＷが、ＰＣＲＦからのユーザ・ポリシーを要求し得るかを説明する。
【図１０】図１０は、集中型のＳＲＮＣ構成において、どのように、ＬＡＡＡが、ユーザ・プロファイルをＡＧＷへプッシュし、また、ＡＧＷが、ＰＣＲＦからのユーザ・ポリシーを要求し得るかを説明する。
【図１１】図１１は、ユーザ・プロファイル情報をオーセンティケータに提供するための、認証サーバ上で動作可能な方法を説明する。
【図１２】図１２は、通信ネットワークにおいて動作可能な、認証ピアに関するユーザ・ポリシー情報をネットワークゲートウェイノードに提供するための方法を説明する。
【図１３】図１３は、通信ネットワークにおける新しいトンネルリクエストを検証するための方法を説明する。
【図１４】図１４は、幾つかの通信ネットワークにおいて見られる認証アーキテクチャーを説明する。
【図１５】図１５は、認証サーバを説明するブロック図である。該認証サーバは、ネットワーク通信インタフェースに接続された処理回路１５０４を含んでも良い。
【図１６】図１６は、ＰＭＩＰネットワークノードデバイスの例を説明するブロック図である。
【詳細な説明】
【００３１】
以下の説明において、特定の細部は、構成の深い理解を提供するために与えられる。しかしながら、構成がこれらの特定の細部なしに実施できることは、当業者には理解されるであろう。例えば、不必要な細部において構成が不明りょうにならないようにするために、回路がブロック図に示されることがある。他の例では、構成が不明りょうにならないようにするために、周知の回路、構造及び技術が詳細に示されることがある。
【００３２】
また、フローチャート、フローチャート、構造図又はブロック図として表現されたプロセスとして、構成が説明されることがあることは留意される。フローチャートは逐次的なプロセスとしてのオペレーションを説明することがあるが、オペレーションの多くは、並列して（in parallel）又は同時に（concurrently）実行することができる。加えて、オペレーションの順序は、再配列されても良い。一つのプロセスは、その各オペレーションが完了たときに、終了する。プロセスは、方法、関数、プロシージャー、サブルーチン、サブプログラムなどに対応することがある。プロセスが関数に対応する場合には、その終了は、呼び出し関数又はメイン関数への復帰に対応する。
【００３３】
一つ又は複数の例及び／又は構成において、説明される機能は、ハードウェア、ソフトウェア、ファームウェア、又はそれらの任意の組み合わせにより実行されても良い。ソフトウェアで実装される場合には、機能は、コンピュータ読み取り可能な媒体に、１又は複数のインストラクション又はコードとして、格納され又は伝送されても良い。コンピュータ読み取り可能な媒体は、或る場所から他の場所へのコンピュータプログラムの転送を支援する任意の媒体を含むコンピュータ記憶媒体及び通信媒体の両方を含む。記憶媒体は、汎用又は専用のコンピュータからアクセスできる任意の利用可能な媒体であっても良い。制限ではなく、例として、上記コンピュータ読み取り可能な媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭ、他の光ディスク記憶装置、磁気ディスク記憶装置若しくは他の磁気記憶装置、又は、インストラクション若しくはデータ構造の形で所望のプログラムコード手段を伝えるかか若しくは記憶するのに使用でき、且つ、汎用か専用のコンピュータ若しくは汎用か専用のプロセッサからアクセスできる任意の他の媒体を含むことができる。また、任意のコネクション（connection）は、適切にコンピュータ読み取り可能な媒体と呼ばれる。例えば、同軸ケーブル、光ファイバーケーブル、ツイストペア、デジタル加入者線（ＤＳＬ）、又は、例えば赤外線、無線、マイクロ波のような無線技術を使用することによって、ウェブサイト、サーバ、又は他のリモートソースからソフトウェアが送信される場合に、その同軸ケーブル、光ファイバーケーブル、ツイストペア、ＤＳＬ、又は、例えば赤外線、無線、マイクロ波のような無線技術は、媒体の定義に含まれる。本明細書で用いられるディスク（Disk）及びディスク（disc）は、コンパクトディスク（ＣＤ）、レーザーディスク（登録商標）、光ディスク、デジタルバーサタイルディスク（ＤＶＤ）、フロッピー（登録商標）ディスク及びブルーレイディスク（登録商標）を含む。ここで、ディスク（disks）は、通常、磁気的にデータを複製（reproduce）し、一方、ディスク（discs）は、レーザーを使って光学的にデータをさせる。上記の組み合わせはまた、コンピュータ読み取り可能な媒体の範囲の中に含まれる。
【００３４】
さらに、記憶媒体は、リードオンリーメモリ（ＲＯＭ）、ランダムアクセスメモリー（ＲＡＭ）、磁気ディスク記憶媒体、光記憶装置媒体、フラッシュメモリデバイス及び/又は情報を記憶するための他の機械読み取り可能な媒体を含む、データを記憶するための１又は複数のデバイスを表しても良い。
【００３５】
さらに、構成は、ハードウェア、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、又はそれらの任意の組み合わせにより実装されても良い。ソフトウェア、ファームウェア、ミドルウェア又はマイクロコードにより実装される場合には、必要なタスクを実行するためのプログラムコード又はコードセグメントは、例えば記憶媒体（storage medium）又は（１又は複数の）他の記憶装置（storage）のようなコンピュータ読み取り可能な媒体に記憶されても良い。プロセッサは、必要なタスクを実行しても良い。コードセグメントは、プロシージャー、関数、サブプログラム、プログラム、ルーチン、サブルーチン、モジュール、ソフトウェアパッケージ、クラス、又は、インストラクション、データ構造、若しくはプログラム文の任意の組み合わせを表しても良い。コードセグメントは、情報、データ、引数、パラメータ、又は記憶内容を、パスすること及び／又は受け取ることことによって、他のコードセグメント又はハードウェア回路と連結されても良い。情報、引数、パラメータ、データなどは、メモリシェアリング、メッセージパッシング、トークンパッシング、ネットワーク送信などを含む任意の適切な手段によって、パスされ、フォワードされ又は送られても良い。
【００３６】
以下の説明において、ある特徴を説明するために、ある専門用語が使用される。用語“アクセス端末（access terminal）”及び“通信デバイス（communication device）”は、モバイルデバイス、携帯電話（mobile phone）、無線端末、及び／又は、無線ネットワーク上で通信可能な、他のタイプのモバイル又は固定の通信装置を指すために、互換的に用いられる。
【００３７】
ネットワーク環境
本明細書で説明される特徴は、ＵＭＢ、ＷｉＭＡＸ及びＬＴＥの互換ネットワークを含む各種タイプのネットワークにより実装されても良い。
【００３８】
図１４は、幾つかの通信ネットワークにおいて見られる認証アーキテクチャーを説明する。通信ネットワーク１４００（例えば、ＵＭＢネットワーク、ＷｉＭＡＸネットワーク、又はロングタームエボリューション（ＬＴＥ）ネットワーク）は、認証ピア１４０２をともなう複数個のＩＰノード１４０４及び１４０８、オーセンティケータ１４０６、及び認証サーバ１４１０を含んでも良い。オペレーションの間に、認証ピア１４０２（例えば、アクセス端末）は、オーセンティケータ１４０６により、認証サーバ１４１０と協力して、認証されても良い。一つの例において，オーセンティケータ１４０６は、セッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）であっても良く、認証サーバ１４１０は、ホームの認証、許可及びアカウンティング（ＨＡＡＡ）エンティティーであっても良い。さらに、ＩＰノード１４０４及び１４０８は、基地局、ゲートウェイ及び／又は他のネットワークエンティティーを含んでも良い。ポリシー・エンティティー１４１２（例えば、ＰＣＲＦ）は、認証ピア１４０２に関するポリシー情報を記憶しても良い。
【００３９】
通信ネットワーク１４００における認証ピア１４０２への通信サービスの提供において、認証ピア１４０２に関するユーザ・プロファイルを、オーセンティケータ１４０６とＩＰノードＢ（ゲートウェイ）との両方に配布するためのメカニズム又は方法が必要である。これは、特に、オーセンティケータ１４０６がＩＰノードＢ（ゲートウェイ）１４０８と一緒に配置（collocated with）されないことからの事例（case）である。
【００４０】
加えて、通信ネットワークに対して認証ピア１４０２を識別するために擬似ＮＡＩが用いられる場合に、そのことは、ユーザ・ポリシーを、ポリシー・エンティティー（例えば、ホームＰＣＲＦ）からＩＰノード１４０４及び１４０８へ配布することを難しくする。
【００４１】
加えて、ＰＭＩＰトンネルをセットアップする必要がある二つのＩＰノード間のＰＭＩＰキーを生成して配布することもまた、問題がある。例えば、ＵＭＢネットワークにおいて、ＰＭＩＰキーは、基地局とゲートウェイ、又は、ゲートウェイとローカル・モビリティー・アンカー（local mobility anchor）（ＬＭＡ）に配布されても良い。
【００４２】
本明細書でＵＭＢネットワークの観点から様々な例が説明されるが、例えば、本明細書で説明された特徴は、例えばＷｉＭＡＸ及びＬＴＥのような他のタイプのネットワークに適用するされても良い。
【００４３】
図１は、安全なＮＡＩ、ユーザ・プロファイル及びポリシーの配布、及び／又はＰＭＩＰキーの配布のうちの１又は複数の特徴が、一つの例に従って実装され得るＵＭＢネットワークのブロック図である。ＵＭＢネットワークは、ＵＭＢの発展型基地局（ｅＢＳ）を横断する（across）コネクションを調整（coordinate）するために、例えば基地局制御装置（ＢＳＣ）のような、集中型のエンティティーに依存しないフラット・アーキテキチャー（flat architecture）を使用しても良い。ｅＢＳは、ＵＭＢネットワークの配置（deployment）をより簡単にして、従来の基地局の機能、ＢＳＣ及びパケットデータサービングノード（ＰＤＳＮ）の幾つかの機能を、単一のノードの中へ結集（combine）しても良い。（従来の技術のネットワークと比較して）コンポーネントの数が削減されるので、ＵＭＢネットワークは、より信頼でき、より柔軟であり、より簡単に配置でき、及び/又は、より費用がかからずに操作できる。例えば、古い技術の（legacy）ネットワークにおいて、ＢＳ、ＢＳＣ、ＰＤＳＮ及びモバイルＩＰホームエージェント（ＨＡ）は、すべて協力して、ユーザにトラフィックをサービスする。ＵＭＢネットワークは、コアネットワークインフラの大部分を再利用するが、より少ないネットワーク・コンポーネントに機能を集約（consolidate）する。これらの機能をより少ないノードに結集することは、レイテンシーを低減し、資本コスト及びメンテナンスコストを減らし、エンド・ツー・エンドのＱｏＳを供給（deliver）するためのノード間のインターラクションの複雑さを緩和する。
【００４４】
この例は、コア・ネットワーク・インフラストラクチャー（例えば、ホームネットワーク１０３）を再利用している間、どのように、ＵＭＢアクセスネットワーク１０２及びサービングネットワーク１１３が、複数のアクセス端末ＡＴ１０６，１０８，１１０，１２２（例えば、認証ピア）へ、無線ネットワークアクセスを提供し得るかを、説明する。サービングネットワーク１１３は、ＡＴ１０６，１０８，１１０，１２２のための“ホーム（home）”ネットワークであっても良いが、それらＡＴはまた、他のネットワークを動き回り（roam）又は訪問（visit）し、当該他のネットワークから無線ネットワークの接続性を取得しても良い。
【００４５】
この例において、ＵＭＢアクセスネットワーク１０２は、１又は複数のアクセス端末（ＡＴ）１０６，１０８及び１１０がサービングネットワーク１１３及びホームネットワーク１０３と接続することを可能にする第１の（first）ｅＢＳ１０４及び第２の（second）ｅＢＳ１０７（広く“ネットワークアクセスノード（network access nodes）と呼ばれる”）を含む。第１のｅＢＳ１０４は、第１のセッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）１１４（広く“オーセンティケータ（authenticator）”と呼ばれる）、及び、ホームネットワーク・インフラストラクチャー１０３に接続するサービングネットワーク１１３における第１のアクセスゲートウェイ（ＡＧＷ）１１２（広く“ネットワークゲートウェイノード（network gateway node）”と呼ばれる）に接続されても良い。同様に、第２のｅＢＳ１０７は、第２のＳＲＮＣ１０９及び第１のＡＧＷ１１２に接続されても良い。サービングネットワーク１１３は、ｅＢＳ及びＡＴのための通信及び／又は接続性を支援するローカルの認証、許可及びアカウンティング（ＬＡＡＡ）１２４及び訪問用ポリシー制御及びリソース機能（visiting policy control and resource function）（ｖＰＣＲＦ）１３２と接続されるＡＧＷ−ａ １１２及びＡＧＷ−ｂ １２０を含んでも良い。ホームネットワーク１０３は、ホームエージェント（ＨＡ）１２６、ホームＡＡＡ（ＨＡＡＡ）１２８、及び、ホームＰＣＲＦ（ｈＰＣＲＦ）１３０を含んでも良い。さらに、他のアクセスネットワーク１０５はまた、アクセス端末へ無線ネットワークの接続性を提供するＨＡ１２６及び／又はＬＡＡＡ１２４に接続されても良い。
【００４６】
様々な実装において、ＵＭＢアクセスネットワーク１０２は、他のＡＴ１２２へ無線ネットワークの接続性を提供し得る他のｅＢＳ１１６及び１１７、ＳＲＮＣ１１８、及び、ＡＧＷ１２０を含んでも良い。ネットワーク１０２，１１３，１０５及び／又は１０３は、本明細書で説明される１又は複数の新規な特徴が機能し得る通信システムの例として意図されている。しかしながら、これらネットワークにおけるそれらデバイス及び／又はそれらデバイスの機能性は、本明細書で説明されるオペレーション及び特徴から逸脱することなく、示された他のネットワーク（又は、異なるネットワーク）の中に位置されても良い。
【００４７】
様々な例に従って、ＡＴ１０６，１０８，１１０及び／又は１２２は、無線通信デバイス、携帯電話、無線端末、及び、ＵＭＢネットワークを経由して無線接続性（wireless radio connectivity）をサポートする他のタイプのモバイル及び／又は無線のデバイスであっても良い。
【００４８】
ｅＢＳ１０４，１０７及び１１６は、ＵＭＢエア・インタフェースをサポートしても良い。ｅＢＳ１０４，１０７及び／又は１１６は、ＵＭＢ物理又はＭＡＣプロトコルを含んでも良く、また、無線資源管理、無線チャネル管理、レイヤ２暗号化及び／又はＩＰヘッダ圧縮（例えば、ＲＯＨＣ）を実行しても良い。
【００４９】
ＡＧＷ１１２及び／又は１２０は、レイヤ３のＩＰ接続性を、ホームネットワーク１０３に提供しても良い。ＡＧＷ１１２及び／又は１２０は、例えば、認証、アイドル・ステート・バッファリング、及び／又は、プロキシモバイルＩＰクライアントのような、様々な機能を含んでも良い。例として、ＡＧＷ１１２及び／又は１２０は、ＩＰアドレス管理、ＭＩＰｖ４用のフォーリンエージェント（Foreign Agent）（ＦＡ）、ＤＨＣＰリレー、プロキシモバイルＩＰ（ＰＭＩＰ）クライアント、ＩＰパケット・クラシフィケーション／ポリシング（classification／policing）ＥＡＰオーセンティケータ、及び／又は、ＡＡＡクライアントを含んでも良い。
【００５０】
ＳＲＮＣ１１４，１０９及び１１８は、無線資源制御、セッション情報ストレージのインクルーディング、ページング機能、及び、位置管理をサポートする様々な機能を制御しても良い。ＳＲＮＣは、例えば、（ａ）エア・インタフェース・セッション情報ストレージ、（ｂ）ページング・コントローラ、（ｃ）位置管理、及び／又は、（ｄ）ＡＴのためのＥＡＰオーセンティケータを含んでも良い。第１のＳＲＮＣ１１４は、ＡＴ１０６及び１０８に関する無線アクセス特定情報（radio-access-specific information）を維持（maintain）し、一方、第２のＳＲＮＣ１０７は、ＡＴ１１０に関する無線アクセス特定情報を維持しても良い。ＳＲＮＣは、ＡＴがアイドルである場合に、セッション・リファレンス（例えば、交渉されたエア・インタフェース・コンテキストのためのセッション記憶ポイント（session storage point））の維持、アイドル・ステート管理、及び、ページング制御機能の提供に関与（responsible for）しても良い。ＳＲＮＣはまた、ＡＴのアクセス認証に関与しても良い。ＳＲＮＣ機能は、ｅＢＳにより勤められ（hosted）され若しくはｅＢＳと一緒に配置されても良く、又は、分離した（無線なしの）エンティティーに配置されても良い。ここで留意すべきは、ＳＲＮＣは、集中型又は分散型の構成の両方において実装し得ることである。集中型の構成において、単一のＳＲＮＣ１１８は、幾つかのｅＢＳ１１６及び１１７並びにＡＧＷ１２０と接続される。分散型の構成において、各々のｅＢＳは、ＳＲＮＣを含む。
【００５１】
ホームネットワーク１０３のための認証、許可及びアカウンティング（ＡＡＡ）サービスは、ホームエージェント１２６、ローカルＡＡＡ（ＬＡＡＡ）１２４及びホームＡＡＡ（ＨＡＡＡ）１２８の間で分割されても良い。ＨＡＡＡ１２８は、ＡＴ１０６，１０８，１１０及び／又は１１２のネットワーク資源の使用に関連する認証、許可及びアカウンティングに関与しても良い。ホームエージェント（ＨＡ）１２６は、例えばクライアントモバイルＩＰ（ＣＭＩＰ）及び／又はプロキシモバイルＩＰ（ＰＭＩＰ）をサポートするモビリティー・ソリューション（mobility solution）を提供しても良く、また、インター・テクノロジー・モビリティー（inter-technology mobility）を支援しても良い。
【００５２】
ポリシー制御及びリソース機能（ＰＣＲＦ）は、ＡＴ１０６，１０８，１１０及び／又は１２２のためのポリシーを、記憶し配布しても良い。一つの実装において、ホームＰＣＲＦ（ｈＰＣＲＦ）１３０は、ホームネットワークポリシーに関与しても良く、また、訪問用ＰＣＲＦ（ｖＰＣＲＦ）１３２は、訪問用ホームネットワークポリシーに関与しても良い。ｈＰＣＲＦ１３０及びｖＰＣＲＦ１３２は、それぞれ、ＡＧＷ１１２及び１２０へ、ローカルルール及び訪問用ルールを提供しても良い。これらのルールは、例えば、（ａ）サービスデータフローに属するパケットの検出、（ｂ）サービスデータフローのためのポリシー制御の提供、及び／又は、（ｃ）サービスデータフローのための適切なチャージング・パラメータ（charging parameters）の提供を含んでも良い。
【００５３】
匿名のネットワークアクセス識別子の保護
例えば高速パケットデータ（high rate packet data）（ＨＲＰＤ）ネットワークのような従来の技術のネットワークの下で、アクセス端末ＡＴは、認証プロセス中に、それらのネットワークアクセス識別子（ＮＡＩ）を、無線で送信する。上記無線での送信は、ＮＡＩを第三者にさらす可能性があり、通信のセキュリティーを危うくする可能性がある。さらに、ＮＡＩは、例えば、ＰＣＲＦからのアカウント・レポーティング及びポリシー検索のために、ＰＤＳＮに知られる可能がある。
【００５４】
図２は、アクセス端末（ＡＴ）と、ホームの認証、許可及びアカウンティング（ＨＡＡＡ）エンティティーとの間のネットワークアクセス認証の間に、ネットワークアクセス識別子（ＮＡＩ）が無線で送信されない認証方法を説明するフローチャートである。例として、イニシャル・サブスクリプション（initial subscription）の間に、ＡＴ２０２及びＨＡＡＡ２１６は、両方とも、ＡＴ２０２に関連するＮＡＩを取得しても良い。このＮＡＩは、例えばＡＴ２０２で、加入者識別モジュール（subscriber identity module）（ＳＩＭ）カード中に記憶されても良く、また、ＨＡＡＡ２１６に知られていても良い。また、幾つかの実装において、イニシャル・サブスクリプション・プロセスにおいて、擬似ＮＡＩが取得されても良い。擬似ＮＡＩは、ＨＡＡＡ２１６又はＡＴ２０２により生成されても良く、また、ＨＡＡＡ２１６及びＡＴ２０２の両方に知られていても良い。後に続くアクセス認証プロセスにおいて、ＨＡＡＡ２１６及びＡＴ２０２が擬似ＮＡＩを使用できるように、擬似ＮＡＩはＡＴ２０２のためのＮＡＩに関連付けられても良い。
【００５５】
サービシングｅＢＳ２０４との通信を確立するために、ＡＴ２０２は、ＵＭＢセッションをセットアップしても良い（２２４）。次いで、ＡＴは、アクセス認証リクエスト（access authentication request）２２６ａ及び２２６ｂを、ｅＢＳ２０４を経由して、ＨＡＡＡ２１６へ送信しても良い。アクセス認証リクエスト２２６は、ＵＭＢ上の（over）拡張認証プロトコル（Extensible Authentication Protocol）（ＥＡＰ）（又は、何らかの他の資源認証プロトコル（some other secure authentication protocol））により、ｅＢＳ２０４へ送信され、そして、ＡＡＡ上の（over）ＥＡＰにより、ＨＡＡＡ２１６へ送信されても良い。要求中のＡＴ２０２が認証の目的でＨＡＡＡ２１６により識別可能なように、認証リクエスト（Authentication Request）２２６は、（例えば、イニシャル・サブスクリプションの間に取得された）擬似ＮＡＩを含んでいても良い。他の実装において、擬似ＮＡＩがＨＡＡＡから得られなかった場合には、ＡＴ２０２は、認証リクエスト２２６において、実際のＮＡＩを送信しても良い。しかしながら、これが最初になされた場合に、それ以降、擬似ＮＡＩが用いられても良く、その結果、実際のＮＡＩの無線での送信を制限することになる。
【００５６】
ＨＡＡＡ２１６は、ＮＡＩ又は要求中のＡＴと関連付けられ得るユーザＩＤを生成する（２２８）。例として、ユーザＩＤは、ＨＡＡＡにより生成された乱数であっても良く、また、それは、（少なくとも部分的に）ＮＡＩの関数であっても良く、また、（幾つかの実装において）それはＮＡＩであっても良い。
【００５７】
また、ＨＡＡＡ２１６は、要求中のＡＴ２０２のためのＮＡＩに基づいて、ユーザ・プロファイル及びＱｏＳユーザ・プロファイルを（例えば、ｈＰＣＲＦ２１４又はｖＰＣＲＦ２０８）から検索しても良い。一つの例において、ユーザ・プロファイル及びＱｏＳユーザ・プロファイルは、要求中のＡＴ２０２に関連するサービスのタイプ、サービスプラン、サービス制限などを定義しても良い。また、幾つかの実装において、ＨＡＡＡ２１６は、後に続く認証リクエストに用いられるために、ＡＴ２０２へ送信し得る新たな擬似ＮＡＩを生成しても良い。
【００５８】
そして、ユーザＩＤ、ユーザ・プロファイル、ＱｏＳユーザ・プロファイル、及び、（場合によって）新たな擬似ＮＡＩを含み得る成功アクセス認証メッセージ（Successful access authentication message）２３２が、ＬＡＡＡ２１０へ送信されても良い。続いて、ＬＡＡＡ２１０は、ユーザＩＤ、ユーザ・プロファイル、及びＱｏＳユーザ・プロファイル、及びＰＭＩＰ ＭＮ−ＨＡキーを、ＳＲＮＣ２０４へフォワードしても良い。ＳＲＮＣ２０４は、ＰＭＩＰ ＭＮ−ＨＡキーをＡＧＷ２０６へ供給し、その後、ＳＲＮＣ２０４及び／又はＡＧＷ２０６は、ＮＡＩ１の知識なしに、アカウンティング・レポート及びポリシー検索のためにこのユーザＩＤを用いても良い。
【００５９】
ユーザＩＤが、（例えば、ＨＡＡＡによるＮＡＩに関連する）乱数である場合において、ユーザＩＤは、ＮＡＩの知識なしに、サービングネットワークにより使用可能である。このスキームの結果として、要求中のＡＴのＮＡＩは、無線で送信されず、また、限られた数のコア・インフラストラクチャー・エンティティー（例えば、ＨＡＡＡ）が知ることになる。
【００６０】
他の場合において、ユーザＩＤは、ＮＡＩであっても良いが、ＨＡＡＡ２１６によりサービングネットワークへ配布され、また、ＡＴ２０２により無線で送信されない。
【００６１】
図３は、第１の（primary）ユーザ・キーを保護するために提供される、無線通信ネットワークのための認証サーバ（例えば、ＨＡＡＡ）上で動作可能な方法を説明する。アクセス認証リクエストが、無線認証ピア（wireless authentication peer）（例えば、ＡＴ）から受信される（３０２）。第２の（secondary）ユーザ識別子（例えば、ユーザＩＤ）が生成されても良く、ここで、第２のユーザ・キーは、該無線認証ピアのための第１のユーザ識別子（例えば、ＮＡＩ）に関連するものである（３０４）。ユーザ・プロファイル情報（例えば、ユーザ・プロファイル）は、第１のユーザ識別子に基づいて検索されても良い（３０６）。第２のユーザ識別子は、その認証ピアに関連するオーセンティケータ（例えば、ＳＮＲＣ）に提供されても良い（３０８）。ユーザ・プロファイル情報は、オーセンティケータ（例えば、ＳＲＮＣ）へ送信されても良い。通信ネットワークは、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワーク、ＷｉＭＡＸ互換ネットワーク、又は、ロングタームエボリューション（ＬＴＥ）互換ネットワークのうちの少なくとも一つを含んでも良い。認証サーバ（例えば、ＨＡＡＡ）は、認証、許可及びアカウンティングエンティティー（ＡＡＡ）であっても良い。また、認証ピアは、無線アクセス端末（ＡＴ）である。オーセンティケータは、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワークにおいて無線アクセス端末（ＡＴ）にサービスする基地局（ＢＳ）に関連するセッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）であっても良い。また、第１のユーザ識別子は、無線アクセス端末のためのネットワークアクセス識別子（ＮＡＩ）である。サービング基地局は、セッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）と一緒に配置されても良い。
【００６２】
第２のユーザ識別子は、ランダムに生成された番号であっても良く、その後に、第１のユーザ識別子に関連付けられる。また、第２のユーザ識別子は、第１のユーザ識別子であっても良い。第２のユーザ識別子は、第１のユーザ識別子の関数であっても良い。
【００６３】
図１５は、認証サーバを説明するブロック図である。認証サーバ１５００は、ネットワーク通信インタフェース１５０６に接続された処理回路１５０４を含んでも良い。処理回路１５０４は、（ａ）無線認証ピアからアクセス認証リクエストを受信し、（ｂ）前記無線認証ピアのための第１のユーザ識別子と関連する第２のユーザ識別子を生成し、（ｃ）前記第２のユーザ識別子を、前記認証ピアと関連するオーセンティケータへ提供し、（ｄ）前記第１のユーザ識別子に基づいて、ユーザ・プロファイル情報を検索し、（ｅ）前記ユーザ・プロファイル情報を、前記オーセンティケータへ提供するように構成されても良い。
【００６４】
そこで、認証サーバは、（ａ）無線認証ピアからアクセス認証リクエストを受信するための手段、（ｂ）前記無線認証ピアのための第１のユーザ識別子と関連するす第２のユーザ識別子を生成するための手段、（ｃ）前記第２のユーザ識別子を、前記認証ピアと関連するオーセンティケータへ提供するための手段、（ｄ）前記第１のユーザ識別子に基づいて、ユーザ・プロファイル情報を検索するための手段、及び／又は、（ｅ）前記ユーザ・プロファイル情報を、前記オーセンティケータへ提供するための手段を含んで提供されても良い。
【００６５】
また、第１のユーザ識別子を保護するための認証サーバ上で動作可能なコンピュータプログラムが提供されても良い。それは、プロセッサにより実行された場合に、前記プロセッサに、（ａ）無線認証ピアからアクセス認証リクエストを受信させ、（ｂ）前記無線認証ピアのための第１のユーザ識別子と関連する第２のユーザ識別子を生成させ、（ｃ）前記第２のユーザ識別子を、前記認証ピアと関連するオーセンティケータへ提供させ、（ｄ）前記第１のユーザ識別子に基づいて、ユーザ・プロファイル情報を検索させ、及び／又は、（ｅ）前記ユーザ・プロファイル情報を、前記オーセンティケータへ提供させる。
【００６６】
ユーザ・プロファイル及びポリシーのＡＧＷへの配布
図４は、ＵＭＢネットワークにおいてＡＴが第１のｅＢＳから第２のｅＢＳまで移動するとき、どのように無線サービスがＡＴに提供され得るかを説明するブロック図である。ＵＭＢネットワークにおいて、ＡＴ４０６との無線インタフェースの近くで、より多くの機能が実行される。それら機能のうちの一つは、ホームネットワーク４０４に対する上記モビリティー・トランスペアレント（mobility transparent）の状態になる間、ＡＴ４０６が、アクセスネットワーク４０２のｅＢＳの間を移動し（move）又は動き回る（roam）こと（例えば、時刻ｔ０での第１のｅＢＳ−Ａ４０８から、時刻ｔ１での第２のｅＢＳ−Ｂ４１０へ）ができるようにする。ホームネットワーク４０４から隠されたＡＴ４０６のモビリティーを保つために、サービングネットワーク４０３におけるＡＧＷ４１２は、現在のサービングｅＢＳへのフォワーディングを管理する。
【００６７】
図２に示されるように、ＳＲＮＣ−Ａ ４１２は、認証プロセスの一部であっても良い。（図２の）認証リクエストメッセージ２２６ａ及び２２６ｂ及び成功認証メッセージ２３２及び２３４は、図４に示されている。ＡＴ４０６がＨＡＡＡ４１６により成功裏に認証された場合には、ＳＲＮＣ−Ａ ４１２は、ユーザＩＤ、ユーザ・プロファイル、ＱｏＳユーザ・プロファイル、ＰＭＩＰ ＭＮ−ＨＡキーを受信する。しかしながら、ＡＴが、同一のアクセスネットワーク４０２内で第１のｅＢＳ４０８から第２のｅＢＳ４１０へ移動しても、ＡＧＷ４１４は、ＡＴのモビリティーを、ホームネットワークインフラストラクチャー４０４から隠しても良い。しかしながら、これを達成するためには、ＡＧＷ４１４は、第２のｅＢＳ−Ｂ ４１０を経由して提供されるべきサービスのタイプ（例えば、サービス品質など）を適切に判定するために、ＡＴ４０６のためのユーザ・プロファイル及びポリシー情報を知っているべきである。
【００６８】
ユーザ・プロファイル情報をＡＧＷへ提供するために、三つの選択的な方法が、提案される。第一に、新たなＰＭＩＰトンネルが確立される場合に、ＡＧＷ４１４は、ユーザ・プロファイルをＬＡＡＡ４１８から検索し、ユーザ・ポリシーをＰＣＲＦから〜検索しても良い。図５及び６は、それぞれ、分散型及び集中型のＳＲＮＣ構成において、どのようにＡＧＷが、新しいＰＭＩＰトンネルが確立されるときにユーザ・プロファイルをＬＡＡＡから検索し、また、ＰＣＲＦからのユーザ・ポリシーを要求し得るかを説明する。第二に、ＡＧＷ４１４は、認証プロセス中に、ユーザ・プロファイル情報、及び、ユーザ・ポリシー情報を、ＰＣＲＦから取得しても良い。図７及び８は、それぞれ、分散型及び集中型のＳＲＮＣ構成において、どのようにＡＧＷが、認証プロセスの一環としてのユーザ・プロファイル情報と、ＰＣＲＦからのユーザ・ポリシーとを取得し得るかを説明する。第三に、ＬＡＡＡ４１８が、ユーザ・プロファイルをＡＧＷ４１４へプッシュし、そして、ＡＧＷが、ＰＣＲＦからのユーザ・ポリシーを要求しても良い。図９及び１０は、それぞれ、分散型及び集中型のＳＲＮＣ構成において、どのように、ＬＡＡＡが、ユーザ・プロファイルをＡＧＷ４１４へプッシュし、また、ＡＧＷが、ＰＣＲＦからのユーザ・ポリシーを要求し得るかを説明する。
【００６９】
ここで留意すべきは、分散型のＳＲＮＣ構成において、ＳＲＮＣは、ｅＢＳと一緒に配置されても良く（例えば、図１…ＢＳ−ａ １１４及びＳＲＮＣ−ａ １０４）、一方、集中型のＳＲＮＣ構成において、ＳＲＮＣは、ｅＢＳから分離して、１又は複数のｅＢＳｓをサービスしても良い（例えば、図１…ＳＲＮＣ−ｃ １１８，ｅＢＳ−ｃ １１６及びｅＢＳ−ｄ １１７）ことである。
【００７０】
図５は、分散型のＳＲＮＣ構成において、どのようにＡＧＷが、新しいＰＭＩＰトンネルが確立されるときにユーザ・プロファイルをＬＡＡＡから検索し、また、ＰＣＲＦからのユーザ・ポリシーを要求し得るかを説明する。ＡＴ５０２が認証リクエストをＨＡＡＡ５１６へ送信する場合に、認証プロセス５２０，５２２，５２４，及び５２５が実行されても良い。ＡＴがＨＡＡＡ６１６により認証された場合には、これに応答して、ＨＡＡＡ６１６は、ユーザＩＤ及び他のユーザ・プロファイル情報を生成する。認証レスポンス５２５の一部として、ｅＢＳ／ＳＲＮＣ５０４は、ユーザ・プロファイルをＬＡＡＡ５１０から受信しても良い。
【００７１】
一旦、アクセス認証が実行されると、ＡＴ５０２は、データアンカーポイント（data anchor point）（ＤＡＰ）ｅＢＳ５０４から新たなサービングｅＢＳへ移動しても良い。新たなサービングｅＢＳは、ＤＡＰ移動リクエスト（DAP Move Request）５３０を、新たなサービングｅＢＳ／ＳＲＮＣを経由して、送信しても良い。プロキシモバイルＩＰ（ＰＭＩＰ）登録リクエスト（ＲＲＱ）メッセージ５３２（ＡＴ５０２のためのユーザＩＤを含んでいる）は、新たなサービングｅＢＳ／ＳＲＮＣによりＡＧＷ５０６へ送信され、続いて、ＡＧＷ５０６が、ＡＡＡリクエスト（ユーザＩＤ）メッセージ５３４をＬＡＡＡ５１０へ送信する。ＬＡＡＡ５１０は、要求中のＡＴに関連するユーザ・プロファイル情報（例えば、ユーザ・プロファイル、ＰＭＩＰ ＭＮ−ＨＡキー、など）を検索し、それをＡＧＷ５０６へ送信する。ＡＧＷ５０６は、ＰＭＩＰ登録レスポンス（ＲＲＰ）メッセージ５３８を、ｅＢＳ／ＳＲＮＣ５０４へ送信し、そして、ｅＢＳ／ＳＲＮＣ５０４は、ＤＡＰ移動割り当てメッセージ（DAP Move Assignment message）５４０をＡＴ５０２へ送信しても良い。
【００７２】
新たなＩＰアドレス及び／又はコンフィギュレーション５４２がＡＴ５０２に関連付けられ得るようなプロセス中に、（ユーザＩＤの知識を持つ）ＡＧＷ５０６は、そのユーザＩＤに関連するＡＴのためのユーザ・ポリシーを取得することができる。ＡＧＷ５０６は、ポリシー・リクエスト（ユーザＩＤ）５４４をｖＰＣＲＦ５０８へ送信し、それがｈＰＣＲＦ５１４へ転送５４６されても良い。ｈＰＣＲＦ５１４は、ユーザ・ポリシーに関連するユーザＩＤとＮＡＩとのマッピングを知らないので、ＮＡＩリクエスト（ユーザＩＤ）５４８をＨＡＡＡ５１６へ送信しても良い。ＨＡＡＡ５１６は、ＮＡＩレスポンス（ユーザＩＤ，ＮＡＩ）５５０を応答する。ｈＰＣＲＦ５１４は、それを、ユーザＩＤ及びＮＡＩに関連するユーザ・ポリシーを取得するために利用することができる。すなわち、ｈＰＣＲＦ５１４は、そのユーザＩＤと関連するＡＴに対応するユーザ・ポリシーを取得するために、そのＮＡＩを使用する。ポリシーレスポンス（ユーザＩＤ，ユーザ・ポリシー）５５２は、ｈＰＣＲＦ５１４によりｖＰＣＲＦ５０８へ送信され、そして、それは、ポリシーレスポンス（ユーザＩＤ，ユーザ・ポリシー）５５４をＡＧＷ５０６へ送信する。そして、ＡＧＷ５０６は、ユーザ・ポリシーをｅＢＳ／ＳＲＮＣ５０４へ、プッシュ又は送信しても良い（５５６）。
【００７３】
一つの例に従って、ＡＴ５０２は、ＤＡＰ移動リクエストメッセージ５３０の中にＭＡＣを含めることによって、ユーザ・プロファイル及び／又はポリシー情報の検索を許可しても良い。ＭＡＣは、例えばシーケンスナンバーのような何らかの動的情報とともに何らかの静的データに基づいて生成されても良い。ＭＡＣ生成のためのキーは、ＡＴ５０２とＨＡＡＡ５１６（又はＬＡＡＡ）との間で共有されるＥＡＰキーイング・ヒエラルキー（keying hierarchy）（例えば、ＤＳＲＫ − 領域特化型ルートキー（Domain Specific Root Key）からのキー）から生成されても良い。例として、ＭＡＣ生成キーは、ＥＡＰキー・ヒエラルキー（key hierarchy）（例えば、ＡＫ ＝ ｆ（ＤＳＲＫ）。  ここで、ｆは、例えばＨＭＡＣ＿ＳＨＡ ２５６のような擬似乱数関数などの何らかの関数である。）の一部である許可キー（authorization key）ＡＫに基づいても良い。ＡＴ５０２からのＤＡＰ移動リクエスト５３０メッセージに含まれる許可データ（authorization data）は、ＡＧＷ５０６を経由して、ＬＡＡＡ５１０へ送信されても良い。ＭＡＣの検証に成功した場合には、ＬＡＡＡ５１０は、ユーザ・プロファイルをＡＧＷ５０６へ送信する。
【００７４】
ＰＣＲＦからのポリシー検索のために、類似するアプローチを利用しても良い。このケースで用いられるキーは、ＡＴとＨＡＡＡとの間で共有されるキーに由来するものとする（ＥＡＰ ＥＭＳＫからのキーが上記と同様に生成可能である）。
【００７５】
図６は、集中型のＳＲＮＣ構成において、どのようにＡＧＷが、新しいＰＭＩＰトンネルが確立されるときにユーザ・プロファイルをＬＡＡＡから検索し、また、ＰＣＲＦからのユーザ・ポリシーを要求し得るかを説明する。ＡＴ６０２が認証リクエストをＨＡＡＡ６１８へ送信する場合に、認証プロセス６２２，６２４，６２６，及び６２５が実行されても良い。ＡＴ６０２がＨＡＡＡ６１８により成功裏に認証された場合には、これに応答して、ＨＡＡＡ６１８は、ユーザＩＤ及び他のユーザ・プロファイル情報を生成する。認証レスポンスの一部として、ＳＲＮＣ６０６は、ユーザ・プロファイルをＬＡＡＡ６１０から受信６２５しても良い。
【００７６】
一旦、アクセス認証が実行されると、ＡＴ６０２は、データアンカーポイント（ＤＡＰ）ｅＢＳ６０４から新たなサービングｅＢＳへ移動しても良い。プロキシモバイルＩＰ（ＰＭＩＰ）ＲＲＱメッセージ６３２（ＡＴ６０２のためのユーザＩＤを含んでいる）は、新たなサービングｅＢＳによりＡＧＷ６０８へ送信され、続いて、ＡＧＷ６０８は、ＡＡＡリクエストメッセージ６３４（ＡＴ６０２のためのユーザＩＤを含んでいる）をＬＡＡＡ６１２へ送信する。ＬＡＡＡ６１２は、要求中のＡＴ６０２に関連するユーザ・プロファイル情報（例えば、ユーザ・プロファイル、ＰＭＩＰ ＭＮ−ＨＡキー、など）を検索し、それをＡＧＷ６０８へ送信する。ＡＧＷ６０８は、ＰＭＩＰ ＲＲＰメッセージ６３７を、新たなサービングｅＢＳへ送信し、そして、新たなサービングｅＢＳは、ＤＡＰ移動割り当てメッセージ６３９をＡＴ６０２へ送信しても良い。
【００７７】
図５及び６に説明される実装について、安全性が懸念される場合には、ＡＴの署名（例えば、ＭＮ−ＨＡキーのハッシュ）がＤＡＰ移動リクエスト／ＰＭＩＰ ＲＲＱに含まれるようにすることが可能であり、ＨＡＡＡは、ユーザ・プロファイル及び／又はポリシー情報を検索するために（要求中のＡＴと関連する）ＮＡＩをｈＰＣＲＦへ送信する前に、それをチェックすることができる。
【００７８】
新たなＩＰアドレス及び／又はコンフィギュレーション６３８がＡＴ６０２に関連付けられ得るようなプロセス中に、（ユーザＩＤの知識を持つ）ＡＧＷ６０８は、そのユーザＩＤに関連するＡＴのためのユーザ・ポリシーを取得することができる。ＡＧＷ６０８は、ポリシー・リクエスト（ユーザＩＤ）６４０をｖＰＣＲＦ６１０へ送信し、それがｈＰＣＲＦ６１６へフォワードされても良い（６４２）。ｈＰＣＲＦ６１６は、ユーザ・ポリシーに関連するユーザＩＤとＮＡＩとのマッピングを知らないので、ＮＡＩリクエスト（ユーザＩＤ）６４４をＨＡＡＡ６１８へ送信しても良い。ＨＡＡＡ６１８は、ＮＡＩレスポンス（ユーザＩＤ，ＮＡＩ）６４６を応答する。ｈＰＣＲＦ６１６は、それを、ユーザＩＤ及びＮＡＩに関連するユーザ・ポリシーを取得するために利用することができる。すなわち、ｈＰＣＲＦ６１６は、そのユーザＩＤと関連するＡＴに対応するユーザ・ポリシーを取得するために、そのＮＡＩを使用する。ポリシーレスポンス（ユーザＩＤ，ユーザ・ポリシー）６４８は、ｈＰＣＲＦ６１６によりｖＰＣＲＦ６１０へ送信され、そして、それは、ポリシーレスポンス（ユーザＩＤ，ユーザ・ポリシー）６５０をＡＧＷ６０８へ送信する。そして、ＡＧＷ６０８は、ユーザ・ポリシーをＳＲＮＣ６０６へ、プッシュ又は送信し、ＳＲＮＣ６０６は、上記情報の一部又は全部を、ｅＢＳ６０４へコピーしても良い（６５４）。
【００７９】
図７は、分散型のＳＲＮＣ構成において、どのようにＡＧＷが、認証プロセスの一環としてのユーザ・プロファイル情報と、ＰＣＲＦからのユーザ・ポリシーとを取得し得るかを説明する。ＡＴ７０２が認証リクエストをＨＡＡＡ７１６へ送信する場合に、認証プロセス７２０，７２２，７２４，７２８が実行されても良い。ＡＴ７０２がＨＡＡＡ７１６により成功裏に認証された場合には、これに応答して、ＨＡＡＡ７１６は、ユーザＩＤ及び他のユーザ・プロファイル情報を生成する。認証レスポンスの一部として、ＳＲＮＣ７０６は、ユーザ・プロファイルをＬＡＡＡ７１０から受信しても良い。そして、ｅＢＳ／ＳＲＮＣ７０４は、ユーザ・プロファイル情報（例えば、ユーザＩＤ、ユーザ・プロファイル、及び／又はＰＭＩＰ ＭＮ−ＨＡキー）をＡＧＷ７０６から受信しても良い。
【００８０】
新たなＩＰアドレス及び／又はコンフィギュレーション７３８がＡＴ７０２に関連付けられ得るようなプロセス中に、（ユーザＩＤの知識を持つ）ＡＧＷ７０６は、そのユーザＩＤに関連するＡＴのためのユーザ・ポリシーを取得することができる。ＡＧＷ７０６は、ポリシー・リクエスト（ユーザＩＤ）７４０をｖＰＣＲＦ７０８へ送信し、それがｈＰＣＲＦ７１４へフォワードされても良い（７４２）。ｈＰＣＲＦ７１４は、ユーザ・ポリシーに関連するユーザＩＤとＮＡＩとのマッピングを知らないので、ＮＡＩリクエスト（ユーザＩＤ）７４４をＨＡＡＡ７１６へ送信しても良い。ＨＡＡＡ７１６は、ＮＡＩレスポンス（ユーザＩＤ，ＮＡＩ）７４６を応答する。ｈＰＣＲＦ７１４は、それを、ユーザＩＤ及びＮＡＩに関連するユーザ・ポリシーを取得するために利用することができる。すなわち、ｈＰＣＲＦ７１４は、そのユーザＩＤと関連するＡＴに対応するユーザ・ポリシーを取得するために、そのＮＡＩを使用する。ポリシーレスポンス（ユーザＩＤ，ユーザ・ポリシー）７４８は、ｈＰＣＲＦ７１４によりｖＰＣＲＦ７０８へ送信され、そして、それは、ポリシーレスポンス（ユーザＩＤ，ユーザ・ポリシー）７４８をＡＧＷ７０６へ送信する。そして、ＡＧＷ７０６は、ユーザ・ポリシーをｅＢＳ／ＳＲＮＣ７０４へ、プッシュ又は送信しても良い。
【００８１】
図８は、分散型のＳＲＮＣ構成において、どのようにＡＧＷが、認証プロセスの一環としてのユーザ・プロファイル情報と、ＰＣＲＦからのユーザ・ポリシーとを取得し得るかを説明する。アクセス認証の一部として、ＳＲＮＣ８０６は、ユーザ・プロファイル情報（例えば、ユーザＩＤ、ユーザ・プロファイル、及び／又はＰＭＩＰ ＭＮ−ＨＡキー）を受信しても良い。そして、ＳＲＮＣ８０６は、ＡＡＡリクエストメッセージ８２８において、ユーザ・プロファイル情報（例えば、ユーザＩＤ、ユーザ・プロファイル、及び／又はＰＭＩＰ ＭＮ−ＨＡキー）をＡＧＷ８０８へ、プッシュ又は送信し、ＡＧＷ８０８からＡＡＡ Ａｃｋメッセージ８３０を受信しても良い。
【００８２】
ＡＴ８０２が認証リクエストをＨＡＡＡ８１８へ送信する場合に、認証プロセス８２２，８２４，８２６，８２８が実行されても良い。ＡＴ８０２がＨＡＡＡ８１８により成功裏に認証された場合には、これに応答して、ＨＡＡＡ８１８は、ユーザＩＤ及び他のユーザ・プロファイル情報を生成する。認証レスポンスの一部として、ＡＧＷ８０８は、ユーザ・プロファイル情報（例えば、ユーザＩＤ、ユーザ・プロファイル、及び／又はＰＭＩＰ ＭＮ−ＨＡキー）をＬＡＡＡ８１２から受信しても良い。そして、ＡＧＷ８０８は、ユーザ・プロファイル情報をＳＲＮＣ８０６へフォワードしても良く、ＳＲＮＣ８０６は、その一部又は全部を、ｅＢＳ８０４へコピーしても良い（８３２）。
【００８３】
一旦、アクセス認証が実行されると、ＡＴ８０２は、データアンカーポイント（ＤＡＰ）ｅＢＳ８０４から新たなサービングｅＢＳへ移動しても良い。新たなＩＰアドレス及び／又はコンフィギュレーション８４２がＡＴ８０２に関連付けられ得るようなプロセス中に、（ユーザＩＤの知識を持つ）ＡＧＷ８０８は、そのユーザＩＤに関連するＡＴのためのユーザ・ポリシーを取得することができる。ＡＧＷ８０８は、ポリシー・リクエスト（ユーザＩＤ）８４４をｖＰＣＲＦ８１０へ送信し、それがｈＰＣＲＦ８１６へ転送８４６されても良い。ｈＰＣＲＦ８１６は、ユーザ・ポリシーに関連するユーザＩＤとＮＡＩとのマッピングを知らないので、ＮＡＩリクエスト（ユーザＩＤ）８４８をＨＡＡＡ８１８へ送信しても良い。ＨＡＡＡ８１８は、ＮＡＩレスポンス（ユーザＩＤ，ＮＡＩ）８５０を応答する。ｈＰＣＲＦ８１は、それを、ユーザＩＤ及びＮＡＩに関連するユーザ・ポリシーを取得するために利用することができる。すなわち、ｈＰＣＲＦ８１６は、そのユーザＩＤと関連するＡＴに対応するユーザ・ポリシーを取得するために、そのユーザ・ポリシーを使用する。ポリシーレスポンス（ユーザＩＤ，ユーザ・ポリシー）８５２は、ｈＰＣＲＦ８１６によりｖＰＣＲＦ８１０へ送信され、そして、それは、ポリシーレスポンス（ユーザＩＤ，ユーザ・ポリシー）８５４をＡＧＷ８０８へ送信する。そして、ＡＧＷ８０８は、ユーザ・ポリシーをＳＲＮＣ８０６へ、プッシュ又は送信８５６しても良く、ＳＲＮＣ８０６は、上記情報６５４の一部又は全部を、ｅＢＳ８０４へコピーしても良い（８５８）。
【００８４】
図９は、分散型のＳＲＮＣ構成において、どのように、ＬＡＡＡが、ユーザ・プロファイルをＡＧＷ４１４へプッシュし、また、ＡＧＷが、ＰＣＲＦからのユーザ・ポリシーを要求し得るかを説明する。ＡＴ９０２が認証リクエストをＨＡＡＡ９１６へ送信する場合に、認証プロセス９２０，９２２，及び９２４が実行されても良い。ＡＴがＨＡＡＡ９１６により成功裏に認証された場合には、これに応答して、ＨＡＡＡ９１６は、ユーザＩＤ及び他のユーザ・プロファイル情報を生成する。認証レスポンスの一部として、ｅＢＳ／ＳＲＮＣ９０４は、ユーザ・プロファイルをＬＡＡＡ９１０から受信しても良い。続いて、ＬＡＡＡ９１０は、ＡＡＡメッセージ（ユーザＩＤ、ユーザ・プロファイル、ＰＭＩＰ ＭＮ−ＨＡキー）９２６をＡＧＷ９０６へ送信しても良い。ＡＧＷ９０６は、そのメッセージ９２６を受信したことを肯定応答（acknowledge）しても良い（９２８）。ユーザ・ポリシーは、図５及び７に説明されたプロセスと類似するプロセスによって、ＡＧＷにより取得されても良い。
【００８５】
図１０は、集中型のＳＲＮＣ構成において、どのように、ＬＡＡＡが、ユーザ・プロファイルをＡＧＷへプッシュし、また、ＡＧＷが、ＰＣＲＦからのユーザ・ポリシーを要求し得るかを説明する。ＡＴ１００２が認証リクエストをＨＡＡＡ１０１８へ送信する場合に、認証プロセス１０２２，１０２４，及び１０２６が実行されても良い。ＡＴ１００２がＨＡＡＡ１０１８により成功裏に認証された場合には、これに応答して、ＨＡＡＡ１０１８は、ユーザＩＤ及び他のユーザ・プロファイル情報を生成する。認証レスポンスの一部として、ＳＲＮＣ１００６は、ユーザ・プロファイルをＬＡＡＡ１０１２から受信しても良い。続いて、ＬＡＡＡ１０１２は、ＡＡＡメッセージ（ユーザＩＤ、ユーザ・プロファイル、ＰＭＩＰ ＭＮ−ＨＡキー）１０２８をＡＧＷ１００８へ送信しても良い。ＡＧＷ１００８は、そのメッセージ１０２８を受信したことを肯定応答（acknowledge）しても良い（１０３０）。ユーザ・ポリシーは、図５、７及び９に説明されたプロセスと類似するプロセスによって、ＡＧＷにより取得されても良い。
【００８６】
図１１は、ユーザ・プロファイル情報をオーセンティケータに提供するための認証サーバ上で動作可能な方法を説明する。認証サーバ（例えば、ＨＡＡＡ）は、アクセス認証リクエストを、認証ピア（例えば、ＡＴ）から受信し（１１００）、認証ピアが、その通信ネットワーク（例えば、ＵＭＢネットワーク）の正当な加入者か否か検証しても良い。認証サーバは、第１のネットワークアクセスノードを経由して通信を確立しようとする認証ピアを、認証しても良い（１１０２）。認証サーバにより認証ピアが成功裏に認証された場合には（１１０４）、認証サーバは、その認証ピアに関連するユーザ・プロファイル情報を検索する（１１０６）。次いで、認証サーバは、そのユーザ・プロファイル情報を、その認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信する（１１０８）。同様に、認証サーバはまた、そのユーザ・プロファイル情報を、その認証ピアのための通信サービスを支援するオーセンティケータへ送信しても良い（１１１０）。上記ユーザ・プロファイル情報は、例えば、その認証ピアのためのサービスのグレード又は品質を提供する。一つの例において、認証サーバは、その通信ネットワークの一部である認証、許可及びアカウンティング（ＡＡＡ）エンティティーであっても良い。一つの実装において、ユーザ・プロファイル情報をネットワークゲートウェイノードへ送信することは、オーセンティケータがユーザ・プロファイル情報をネットワークゲートウェイノードへ送信することを含んでも良い。ユーザ・プロファイル情報は、図５〜１０で説明された方法のうちの１又は複数に従って提供されても良い。
【００８７】
再び図１５を参照して、認証サーバ１５００の処理回路１５０４は、（ａ）第１のネットワークアクセスノードを経由する通信を確立しようとする認証ピアを認証し、（ｂ）前記認証ピアに関連するユーザ・プロファイル情報を検索し、（ｃ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信し、（ｄ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信を支援するオーセンティケータへ送信し、（ｅ）第１のユーザ識別子リクエストをＰＣＲＦエンティティーから受信し（前記第１のユーザ識別子は前記認証ピアに一意に関連するものである。）、及び／又は、（ｆ）前記要求された前記第１のユーザ識別子を含む前記ＰＣＲＦエンティティーへリプライを送信する、ように構成されても良い。
【００８８】
そこで、認証サーバ１５００は、（ａ）第１のネットワークアクセスノードを経由する通信を確立しようとする認証ピアを認証するための手段と、（ｂ）前記認証ピアに関連するユーザ・プロファイル情報を検索するための手段と、（ｃ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信するための手段と、（ｄ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信を支援するオーセンティケータへ送信するための手段と、（ｅ）第１のユーザ識別子リクエストをＰＣＲＦエンティティーから受信するための手段と（前記第１のユーザ識別子は前記認証ピアに一意に関連するものである。）、及び／又は、（ｆ）前記要求された前記第１のユーザ識別子を含む前記ＰＣＲＦエンティティーへリプライを送信するための手段を含んで提供されても良い。
【００８９】
また、同様に、ユーザ情報を提供するために、認証サーバ上で動作可能なコンピュータプログラムが提供されても良い。それは、プロセッサにより実行された場合に、前記プロセッサに、（ａ）第１のネットワークアクセスノードを経由する通信を確立しようとする認証ピアを認証させ、（ｂ）前記認証ピアに関連するユーザ・プロファイル情報を検索させ、（ｃ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信サービスを支援するネットワークゲートウェイノードへ送信させ、（ｄ）前記ユーザ・プロファイル情報を、前記認証ピアのための通信を支援するオーセンティケータへ送信させ、（ｅ）第１のユーザ識別子リクエストをＰＣＲＦエンティティーから受信させ（前記第１のユーザ識別子は前記認証ピアに一意に関連するものである。）、及び／又は、（ｆ）前記要求された前記第１のユーザ識別子を含む前記ＰＣＲＦエンティティーへリプライを送信させる。
【００９０】
図１２は、通信ネットワークにおいて動作可能な、認証ピアのためのユーザ・ポリシー情報を、ネットワークゲートウェイノードに提供するための方法を説明する。本方法は、（ａ）ポリシー・リクエストを、前記ネットワークゲートウェイノードから、ポリシー制御及びリソース機能（policy control and resource function）（ＰＣＲＦ）エンティティーへ送信すること（１２０２）（ここで、前記ポリシー・リクエストは、前記ネットワークゲートウェイノードが通信を支援する認証ピアのためのユーザ・ポリシーのためのものであっても良い。）、（ｂ）第１のユーザ識別子リクエスト（user identifier request）を、前記ＰＣＲＦエンティティーから前記認証サーバへ送信すること（１２０４）（ここで、前記第１のユーザ識別子は前記認証ピアに一意に関連するものである。）、（ｃ）リプライを、前記認証サーバから、前記要求された第１のユーザ識別子を含む前記ＰＣＲＦエンティティーへ送信すること（１２０６）、（ｄ）前記第１のユーザ識別子を用いて、前記認証ピアのための前記ＰＣＲＦエンティティーにて、ユーザ・ポリシーを取得すること（１２０８）、及び／又は、（ｅ）前記ユーザ・ポリシーを、前記ＰＣＲＦエンティティーから前記ネットワークゲートウェイノードへ送信すること（１２１０）、を含んでも良い。例えば、ユーザ・ポリシー情報は、図５〜１０に説明された方法のうちの１又は複数に従って、提供されても良い。オーセンティケータは、ウルトラ・モバイル・ブロードバンド（ＵＭＢ）互換ネットワークにおいて、認証ピアにサービスする基地局に関連するセッション・リファレンス・ネットワーク・コントローラ（ＳＲＮＣ）であっても良い。また、秘密の識別子（confidential identifier）は、無線アクセス端末のためのネットワークアクセス識別子である。
【００９１】
新たなトンネルリクエストを検証するためのＰＭＩＰキーの配布
ＡＴが異なるｅＢＳｓへ動き回り（roam）又は移動（move）するにつれて、該ＡＴのための通信を管理するＡＧＷは、新たなサービングｅＢＳへのプロキシモバイルＩＰ（ＰＭＩＰ）トンネルを確立する。しかしながら、ＡＧＷは、他のｅＢＳｓ（又は、侵入者（intruders））が、該ＡＴへの無線接続性を提供されていることを主張することを、提供されていない場合に、阻止する必要がある。ＡＧＷは、許可されていないエンティティーがＰＭＩＰトンネルバインディングを変更することを阻止できるべきである。それゆえに、モバイルノード・ホームエージェント（ＭＮ−ＨＡ）キーは、ｅＢＳとＡＧＷとの間及びＳＲＮＣとＡＧＷとの間のＰＭＩＰトンネルを保護するために用いられても良い。
【００９２】
ＰＭＩＰトンネルの少なくとも二つのタイプとして、ｅＢＳとＡＧＷとの間のＲＡＮ ＰＭＩＰトンネルと、ＡＧＷとＳＲＮＣとの間及び第１のＡＧＷと第２のＡＧＷとの間のネットワークＰＭＩＰトンネルとがある。ＡＴが（サービングネットワーク内部で）ＢＳからｅＢＳへ移動するにつれて、新たなサービングｅＢＳとの新たなＲＡＮ ＰＭＩＰトンネルが、ＡＧＷにより確立されても良い。同様に、ＡＴが新たなアクセス又はサービングネットワーク中へ移動し（move）又は動き回る（roam）につれて、ホームＡＧＷは、該新たなアクセス又はサービングネットワークとのネットワークＰＭＩＰトンネルを確立しても良い。
【００９３】
新たなＰＭＩＰトンネルがＡＧＷにより確立されるべきか否かを検証するために使用可能な、ＭＮ−ＨＡキーを取得するための、幾つかの方法がある。ＬＡＡＡは、ＡＧＷへ提供するＰＭＩＰトンネル ＭＮ−ＨＡキーとして、単に、乱数を選ぶことができる。ＡＴがこのキーを知る必要はないので、このキーを“生成する（deriving）”唯一のエンティティーは、ＬＡＡＡである。したがって、簡単な強い乱数生成（simple strong random number generation）で十分であるので、デライベイション（derivation）は必要ない。生成された乱数（すなわち、ＭＮ−ＨＡキー）は、ＰＭＩＰトンネル（例えば、ＰＭＩＰｖ４トンネル）が確立されるべきか否か検証するのに用いるために、ＳＲＮＣ及び／又はＡＧＷへ与えられても良い。
【００９４】
代わりに、ＭＮ−ＨＡキーは、認証キーの場合のように、ＥＡＰヒエラルキーから生成されても良い。例えば、ＭＮ−ＨＡキーは、ＡＴとＬＡＡＡとの間で共有されるＤＳＲＫ（領域特化型ルートキー（Domain Specific Root Key））の関数（例えば、ＤＳＲＫ −＞ Ｐ４Ｋ（ＰＭＩＰｖ４ ＭＮ−ＨＡキー）、又は、Ｐ４Ｋ ＝ ｆ（ＤＳＲＫ））であっても良い。ここで、ｆは、ある関数（例えば、ＨＭＡＣ＿ＳＨＡ２５６のような擬似乱数関数）である。生成されたＰ４Ｋ（すなわち、ＭＮ−ＨＡキー）は、ＰＭＩＰトンネル（例えば、ＰＭＩＰｖ４トンネル）を保持するのに用いるために、ＳＲＮＣ及び／又はＡＧＷに与えられても良い。
【００９５】
幾つかの実装において、ＭＮ−ＨＡキーは、ユーザ・プロファイルと一緒に、ＡＧＷへ送信されても良い。例として、ＭＮ−ＨＡキーを、成功アクセス認証を経て、サービングＳＲＮＣへ送信されても良い。さらに他の実装において、ＭＮ−ＨＡキーは、ＡＧＷそれ自身により生成され、現在のサービングｅＢＳへ配布されても良い。
【００９６】
モバイルが最初にｅＢＳを経由してサービングネットワーク上に通信を確立する場合に、ｅＢＳ及びそのＡＧＷは、ＭＮ−ＨＡキーを提供される（それは、上で説明されたようにして得られても良い）。ＤＡＰ移動リクエストがＡＧＷにより受信された場合に、ＡＧＷは、要求中のｅＢＳがそのＭＮ−ＨＡキーを知っているか否か調べる。知っていれば、ＡＧＷは、その移動リクエストを承諾する（agree）。しかしながら、該要求中のｅＢＳがそのＭＮ−ＨＡキーを知らないならば、該要求中のｅＢＳは信頼できないので、該ＡＧＷは、その移動リクエストを拒否する。同様に、ＭＮ−ＨＡキーは、異なるＡＧＷ又はＨＡからの移動リクエストを防御（protect）するために用いられても良い。
【００９７】
再び図１を参照して、一つの例において、アクセス端末ＡＴ−ｘ １２２は、ｅＢＳ−ｃ １１６を経由して、無線サービスを確立しても良い。その無線サービスを確立するプロセス中に、ＡＴ−ｘ １２２は、それ自身を、サービングネットワーク及びホームネットワークで、認証しても良い（例えば、図５〜１０を参照しながら議論及び説明されたように）。一つの例において（集中型のＳＲＮＣが用いられる場合に）、この認証プロセスの一部として、ＭＮ−ＨＡキーがＡＧＷ−ｃ １２０へ提供（又は、ＡＧＷ−ｃ １２０により生成）されても良い。また、ＭＮ−ＨＡキーは、サービングｅＢＳ−ｃ １１６をサポートするサービングＳＲＮＣ−ｃ １１８へ提供されても良い。その後になって、ＡＴ−ｘ １２２がｅＢＳ−ｄ １１７へ移動する場合には、それによって新たなｅＢＳ−ｄ １１７とサービングＡＧＷ−ｃ １２０との間に確立されるべきＤＡＰ移動リクエストが、生成されても良い。ＳＲＮＣ−ｃ １１８は、（以前の認証プロセスから）ＭＮ−ＨＡキーを知っているので、その新たなトンネルリクエストが正当であるか否か検証するために、そのＭＮ−ＨＡキーをＡＧＷ−ｃ１２０へ提供することができる。その結果、ＡＧＷ−ｃ １２０は、リクエストの通りに、ｅＢＳ−ｄ １１７との新たなトンネルを確立することができる。
【００９８】
他の例において、ＡＴ−１ １０６は、最初に、ｅＢＳ−ａ １０４を経由して無線サービスを探索しながら、認証プロセスを実行する。その結果、ＡＧＷ−ａ １１２及びＳＲＮＣ−ａ １１４は、それらトンネルのためのＭＮ−ＨＡキーを知るであろう。ＡＴ−１ １０６は、その後、ｅＢＳ−ｂ １０７を経由して通信することを希望し、新たなトンネルリクエストがＡＧＷ−ａ １１２へ送信される。しかしながら、この場合において、新たなサービングＳＲＮＣ−ｂ １０９は、ＭＮ−ＨＡキー（例えば、それは、最初に、ＳＲＮＣ−ａ １１４へ与えられたものである）を知らない。ゆえに、その新たなトンネルリクエストが正当であることを検証するために、ＳＲＮＣ−ｂ １０９は、そのＭＮ−ＨＡキーをＳＲＮＣ−ａ １１４から取得しても良い。これは、ＡＧＷが、再認証の必要なしに、新たなサービングｅＢＳ−ｂ １０７へのデータをリルートすることを可能にする。代わりに、ＡＴ−１ １０６は、単に、サービングネットワーク及び／又はホームネットワークで、それ自身を再認証（例えば、図５〜１０に示される認証プロセスを実行）しても良い。
【００９９】
図１３は、通信ネットワークにおける新しいトンネルリクエストを検証するための方法を説明する。無線ネットワークの接続性は、第１のネットワークアクセスノードを経由して、認証ピアに提供されても良い（１３０２）。プロキシモバイルＩＰ（ＰＭＩＰ）キーは、認証ピアへの通信を提供するために用いられる、第１のネットワークアクセスノードとＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ提供されても良い（１３０４）。次いで、ＰＭＩＰキーは、（例えば、ＰＭＩＰトンネルを経由して）第１のネットワークアクセスノードに関連する第１のオーセンティケータへ提供されても良い（１３０６）。
【０１００】
続いて、ＰＭＩＰネットワークノードにて、認証ピアのための通信をリルートするために、要求中のエンティティーから、リクエストを受信しても良い（１３１０）。ＰＭＩＰネットワークノードは、要求中のエンティティーがＰＭＩＰキーを知っているか否か検証しても良い（１３１２）。一つの例において、要求中のエンティティーが、それがＰＭＩＰキーを知っていることを成功裏に証明した場合には、通信は、第２のネットワークアクセスノード（例えば、新たなｅＢＳ）にリルートされても良い。他の例において、要求中のエンティティーが、それがＰＭＩＰキーを知っていることを成功裏に証明した場合には、通信は、第２のネットワークゲートウェイノード（例えば、ＡＧＷ）にリルートされても良い。通信をルーティングすることは、第１のＰＭＩＰネットワークノードと新たなサービングネットワークエンティティーとの間に、新たなプロキシモバイルＩＰトンネルを確立することを含んでも良い（１３１４）。一つの例において、ＰＭＩＰキーは、認証、許可及びアカウンティング（ＡＡＡ）エンティティー又はネットワークゲートウェイノードで生成されても良い。ＰＭＩＰネットワークノードは、ネットワークゲートウェイノードであっても良い。
【０１０１】
図１６は、ＰＭＩＰネットワークノードデバイスの例を説明するブロック図である。ＰＭＩＰネットワークノードデバイス１６００は、ネットワーク通信インタフェース１６０６に接続された処理回路１６０４を含んでも良い。処理回路１６０４は、（ａ）第１のネットワークアクセスノードを経由して、認証ピアに無線ネットワークの接続性を提供し、（ｂ）ＰＭＩＰキーを、前記認証ピアへ通信を提供するために用いられる、前記第１のネットワークアクセスノードとＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ、提供し、（ｃ）前記ＰＭＩＰキーを、前記第１のネットワークアクセスノードに関連する第１のオーセンティケータへ、提供し、（ｄ）前記ＰＭＩＰネットワークノードでのリクエストを、前記認証ピアのための通信をリルートするための要求エンティティーから、受信し、（ｅ）前記要求エンティティーが前記ＰＭＩＰキーを知っているか否か検証し、（ｆ）前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークアクセスノードへの通信をリルートし、及び／又は、（ｇ）前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークゲートウェイノードへの通信をリルートするように構成されても良い。通信をルーティングすることは、第１のＰＭＩＰネットワークノードと新たなサービングネットワークエンティティーとの間の新たなプロキシモバイルＩＰトンネルを確立することを含んでも良い。
【０１０２】
そこで、ＰＭＩＰネットワークノードデバイスもまた提供される。それは、（ａ）第１のネットワークアクセスノードを経由して、認証ピアに無線ネットワークの接続性を提供するための手段、（ｂ）ＰＭＩＰキーを、前記認証ピアへ通信を提供するために用いられる、前記第１のネットワークアクセスノードとＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ、提供するための手段、（ｃ）前記ＰＭＩＰキーを、前記第１のネットワークアクセスノードに関連する第１のオーセンティケータへ、提供するための手段、（ｄ）前記ＰＭＩＰネットワークノードでのリクエストを、前記認証ピアのための通信をリルートするための要求エンティティーから、受信するための手段、（ｅ）前記要求エンティティーが前記ＰＭＩＰキーを知っているか否か検証するための手段、（ｆ）前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークアクセスノードへの通信をリルートするための手段、及び／又は、（ｇ）前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークゲートウェイノードへの通信をリルートするための手段を含んも良い。通信をルーティングすることは、第１のＰＭＩＰネットワークノードと新たなサービングネットワークエンティティーとの間の新たなプロキシモバイルＩＰトンネルを確立することを含んでも良い。
【０１０３】
同様に、ＰＭＩＰネットワークノードデバイス上で動作可能なコンピュータプログラムもまた提供される。それは、プロセッサにより実行された場合に、前記プロセッサに、（ａ）第１のネットワークアクセスノードを経由して、認証ピアに無線ネットワークの接続性を提供させ、（ｂ）ＰＭＩＰキーを、前記認証ピアへ通信を提供するために用いられる、前記第１のネットワークアクセスノードとＰＭＩＰネットワークノードとの間のＰＭＩＰトンネルの両エンドへ、提供させ、（ｃ）前記ＰＭＩＰキーを、前記第１のネットワークアクセスノードに関連する第１のオーセンティケータへ、提供させ、（ｄ）前記ＰＭＩＰネットワークノードでのリクエストを、前記認証ピアのための通信をリルートするための要求エンティティーから、受信させ、（ｅ）前記要求エンティティーが前記ＰＭＩＰキーを知っているか否か検証させ、（ｆ）前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークアクセスノードへの通信をリルートさせ、及び／又は、（ｇ）前記要求エンティティーが、それが前記ＰＭＩＰキーを知っていることを成功裏に証明した場合に、第２のネットワークゲートウェイノードへの通信をリルートさせる。
【０１０４】
図１，２，３，４，５，６，７，８，９，１０，１１，１２，１３，１５及び／又は１６で説明されたコンポーネント、ステップ及び／又は機能のうちの１又は複数は、単一のコンポーネント、ステップ若しくは機能に再配置若しくは結合され、又は、幾つかのコンポーネント、ステップ若しくは機能に具体化されたも良い。また、追加のエレメント、コンポーネント、ステップ及び／又は機能が付加されても良い。図１，４，１４，１５及び１６に示された装置（apparatus）、デバイス及び／又はコンポーネントは、図２，３，及び／又は５〜１３に記載された方法、特徴又はステップのうちの１または複数を実行するように構成され（configured）又は構成（adapted）されても良い。本明細書で説明されたアルゴリズムは、ソフトウェア及び／又は組み込みハードウェア（embedded hardware）により効果的に実装されても良い。
【０１０５】
本明細書で開示された構成に関して説明された説明のための様々な論理ブロック、モジュール、回路及びアルゴリズムステップは、電子機器（electronic hardware）、コンピュータ・ソフトウェア、又は両方の組み合わせとして実装されても良いことは当業者には更に理解されるであろう。ハードウェアとソフトウェアの互換性を明りょうに説明するために、説明のための様々なコンポーネント、ブロック、モジュール、回路及びステップが、広く、それらの機能性の点で上述された。上記機能性がハードウェア又はソフトウェアとして実装されるかは、全体的なシステムに課される特定のアプリケーション又はデザイン制約によって決まる。
【０１０６】
構成は、ただ例に過ぎず、クレームを制限するものとして解釈されるべきでないことは、留意される。構成の記述は、説明に役立つことを意図されており、クレームの範囲を制限することを意図されるものではない。そのようなものとして、本技術は、他のタイプの装置に容易に適用可能であり、また、多様な代わりの手段、修正及び変形が当業者には明らかであろう。
【図１】
2010521932.tif 000003
【図２】
2010521932.tif 000004
【図３】
2010521932.tif 000005
【図４】
2010521932.tif 000006
【図５】
2010521932.tif 000007
【図６】
2010521932.tif 000008
【図７】
2010521932.tif 000009
【図８】
2010521932.tif 000010
【図９】
2010521932.tif 000011
【図１０】
2010521932.tif 000012
【図１１】
2010521932.tif 000013
【図１２】
2010521932.tif 000014
【図１３】
2010521932.tif 000015
【図１４】
2010521932.tif 000016
【図１５】
2010521932.tif 000017
【図１６】
2010521932.tif 000018
【国際調査報告】
2010521932.tif 000019
2010521932.tif 000020