(57)【要約】第１のネットワークにより既に認証されたユーザ装置が第２のネットワークへのアクセスを獲得することを可能にする方法が提供される。第１のネットワークと第２のネットワークは相互に事前に確立された信頼関係を有する。ユーザ装置の公開鍵を含むユーザ装置からのパケットが、第２のネットワークにより受信される。そのパケットに関連する発信側インターネットプロトコル（ＩＰ）アドレスが、第１のネットワークに割り当てられた範囲内にある場合に、第２のネットワークからユーザ装置にセッション鍵が送信される。セッション鍵はユーザ装置の公開鍵で暗号化される。セッション鍵は、ユーザ装置が第２のネットワークにアクセスすることを可能にするためのものである。
2006514447.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ装置が無線ＬＡＮへのアクセスを獲得することを可能にする方法であって、
第２の通信ネットワークを介して、ユーザ装置の公開鍵を含む登録メッセージをユーザ装置から受信するステップであって、前記ユーザ装置が前記第２の通信ネットワークにより認証されており、前記無線ＬＡＮが前記第２の通信ネットワークと事前に確立された信頼関係を有するステップと、
前記第２の通信ネットワークから受信した発信側ＩＰアドレスが、ＩＰ発信側アドレスの所定の範囲内であるか否かを決定するステップと、
そうである場合に、前記ユーザ装置の公開鍵に応じてセッション鍵を生成するステップであって、前記セッション鍵がユーザ装置の秘密鍵を使用して解読されるように適合されたステップと、
前記第２の通信ネットワークに前記セッション鍵を送信するステップと、
前記セッション鍵を使用して、前記ユーザ装置が前記通信ネットワークへのアクセスを獲得することを可能にするステップと
を有する方法。
【請求項２】
請求項１に記載の方法であって、
前記第２の通信ネットワークが、セルラネットワークを有しており、
前記無線ＬＡＮと前記セルラネットワークとの間の安全なＩＰチャネルを確立するステップを更に有する方法。
【請求項３】
請求項１に記載の方法であって、
前記ユーザ装置に関連するインタフェースのアドレスを受信するステップと、
前記アドレスと前記セッション鍵とのマッピングを登録するステップと
を更に有する方法。
【請求項４】
請求項３に記載の方法であって、
前記アドレスが、媒体アクセス制御（ＭＡＣ）アドレスとインターネットプロトコル（ＩＰ）アドレスのうちの１つを有する方法。
【請求項５】
請求項３に記載の方法であって、
前記ユーザ装置による前記通信ネットワークへのアクセスに応じて使用データを生成するステップと、
前記使用データを前記第２の通信ネットワークに送信し、それによって前記使用データに応じて前記ユーザ装置の課金情報が生成され得るステップと
を更に有する方法。
【請求項６】
ユーザ装置と通信する第１の手段と、
通信ネットワークと通信する第２の手段と、
前記第２の通信手段に結合され、ユーザ装置の公開鍵を含む登録メッセージを受信し、前記登録メッセージに関連する発信側ＩＰアドレスが所定の発信側ＩＰアドレスの範囲内であるか否かを決定する手段と、
前記決定手段と前記通信手段に結合され、前記発信側ＩＰアドレスが前記範囲内である場合に、前記ユーザ装置の公開鍵を使用して暗号化されたセッション鍵を生成し、前記通信手段を介して前記ユーザ装置に前記セッション鍵を送信する手段と
を有する無線ＬＡＮであって、
前記第１の通信手段により、前記セッション鍵を使用してユーザ装置が前記無線ＬＡＮにアクセス可能になる無線ＬＡＮ。
【請求項７】
請求項６に記載の無線ＬＡＮであって、
前記ユーザ装置に関連するインタフェースアドレスと前記セッション鍵とをマッピングするメモリ手段と、
前記無線ＬＡＮへのユーザ装置のアクセスに応じて使用データを生成し、前記使用データを前記通信ネットワークに送信する手段と
を更に有する無線ＬＡＮ。
【請求項８】
ユーザ装置を使用して無線ＬＡＮにアクセスする方法であって、
第１の通信ネットワークとの通信を確立し、前記第１の通信ネットワークとの認証ステップを実行するステップと、
ユーザ装置の公開鍵を含む登録メッセージを前記第１の通信ネットワークに送信するステップと、
前記無線ＬＡＮから受信したセッション鍵を前記第１の通信ネットワークから受信するステップと、
秘密鍵で前記セッション鍵を解読するステップと、
前記セッション鍵を使用して前記無線ＬＡＮへのアクセスを確立するステップと
を有する方法。
【請求項９】
請求項８に記載の方法であって、
前記第１の通信ネットワークがセルラネットワークである方法。
【請求項１０】
請求項８に記載の方法であって、
前記登録メッセージが、前記無線ＬＡＮと通信するインタフェースに関連するアドレスを有し、それによって前記アドレスと前記セッション鍵についてマッピングが生成され得る方法。
【請求項１１】
請求項１０に記載の方法であって、
前記アドレスが、媒体アクセス制御（ＭＡＣ）アドレスとインターネットプロトコル（ＩＰ）アドレスのうちの１つを有する方法。
【請求項１２】
請求項１１に記載の方法であって、
前記無線ＬＡＮ又は前記セルラネットワークを介して、前記無線ＬＡＮへの前記ユーザ装置のアクセスに関する課金情報を受信するステップを更に有する方法。
【請求項１３】
請求項８に記載の方法であって、
前記第１の通信ネットワークが前記無線ＬＡＮと事前に確立された信頼関係を有するか否かを最初に決定するステップを更に有する方法。
【請求項１４】
第１の通信ネットワークと通信するユーザ装置が第２の通信ネットワークへのアクセスを獲得することを可能にする方法であって、
前記第１の通信ネットワークと前記第２の通信ネットワークが、相互に事前に確立された信頼関係を有しており、
前記第１の通信ネットワーク内で前記ユーザ装置を認証するステップと、
ユーザ装置の公開鍵を含む登録メッセージを前記ユーザ装置から受信するステップ（３１０）と、
前記ユーザ装置の公開鍵と、前記第１の通信ネットワークに割り当てられた所定の範囲内にある発信側アドレスとを含むメッセージを、前記第２の通信ネットワークに送信するステップ（３１０）と、
前記第２の通信ネットワークからセッション鍵を受信するステップ（３２０）と、
前記セッション鍵を前記ユーザ装置に送信するステップ（３２０）であって、前記セッション鍵により前記ユーザ装置が前記第２の通信ネットワークへのアクセスを獲得することが可能になるステップと
を有する方法。
【請求項１５】
請求項１４に記載の方法であって、
前記第１の通信ネットワークがセルラネットワークを有し、前記第２の通信ネットワークが無線ＬＡＮネットワークを有する方法。
【請求項１６】
請求項１５に記載の方法であって、
前記第１の通信ネットワークと前記第２の通信ネットワークとの間で安全なＩＰチャネルを確立し、前記セッション鍵の無許可の傍受を回避するステップを更に有する方法。
【請求項１７】
請求項１５に記載の方法であって、
前記ユーザ装置に関連するインタフェースのアドレスを受信するステップと、
前記インタフェースと前記セッション鍵とのマッピングを登録するステップと
を更に有する方法。
【請求項１８】
請求項１７に記載の方法であって、
前記インタフェースのアドレスが、媒体アクセス制御（ＭＡＣ）アドレスとインターネットプロトコル（ＩＰ）アドレスのうちの１つを有する方法。
【請求項１９】
請求項１７に記載の方法であって、
前記第２の通信ネットワークへのユーザ装置のアクセスを示す前記第２の通信ネットワークからの使用データを受信するステップと、
前記使用データに基づいて前記ユーザ装置に関連する課金情報を生成するステップと
を更に有する方法。
【請求項２０】
請求項１５に記載の方法であって、
前記セッション鍵が、前記ユーザ装置の公開鍵を使用して暗号化され、ユーザ装置の秘密鍵を使用して解読されるように適合された方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、概してネットワークに関するものであり、特にアクセスネットワーク間の相互接続における推移的認証・許可・課金（ＡＡＡ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ａｕｔｈｏｒｉｚａｔｉｏｎ  ａｎｄ  Ａｃｃｏｕｎｔｉｎｇ）用の方法に関するものである。
【背景技術】
【０００２】
一般的に、認証・許可・課金（ＡＡＡ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ａｕｔｈｏｒｉｚａｔｉｏｎ  ａｎｄ  Ａｃｃｏｕｎｔｉｎｇ）は、セルラネットワークや無線ローカルエリアネットワーク（ＷＬＡＮ）のようなネットワークにアクセスし、これらを利用するために必要である。移動体端末が複数のネットワークアクセス機構を有する環境において、これらのネットワーク間でＡＡＡ相互接続を提供することは非常に重要である。しかし、１つ以上の関連するネットワークが閉じたＡＡＡ機構を有していることが一般的であり、１つのネットワークがその他のネットワークのＡＡＡ構成を使用することが困難である。またその逆も同様である。例えば、セルラネットワークはインターネットベースのＡＡＡと互換性のないＡＡＡインフラを有しており、関連するネットワーク（セルラネットワークを含む）が外部ＩＰ接続性を有していても、インターネットプロトコルを通じて容易にアクセスできない。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
ＡＡＡ相互接続を提供する従来の手法は全て、ネットワーク間のＡＡＡ相互接続が相互に事前に確立された信頼関係を有していても、ネットワーク間の特有の相互接続機能を必要とする。この相互接続機能を使用して、例えばネットワークＢはネットワークＡのＡＡＡインフラにアクセスし、（閉じたネットワークＡＡＡ機構を通じて）ネットワークＡにより既に認証されているユーザを認証する。従来の手法は、ネットワークＢとの事前に確立された信頼関係を有するネットワークＡによりユーザが既に認証されているという事実を利用しない。
【０００４】
従って、同じものを達成する特有の相互接続機能を特に必要とすることなく、１つのネットワークによりユーザに与えられた信頼をそのネットワークからその他のネットワークに転送する方法を有することが、望ましく且つ非常に有利である。
【０００５】
先行技術の前述の課題とその他の関連する課題が、本発明（アクセスネットワーク間の相互接続における推移的認証・許可・課金用の方法）により解決される。
【課題を解決するための手段】
【０００６】
本発明の態様によると、第１のネットワークにより既に認証されたユーザ装置が第２のネットワークへのアクセスを獲得することを可能にする方法が提供される。第１のネットワークと第２のネットワークは相互に事前に確立された信頼関係を有する。ユーザ装置の公開鍵を有するユーザ装置からのパケットが、第２のネットワークにより受信される。そのパケットに関連する発信側インターネットプロトコル（ＩＰ）アドレスが、第１のネットワークに割り当てられた範囲内にある場合に、第２のネットワークからユーザ装置にセッション鍵が送信される。セッション鍵はユーザ装置の公開鍵で暗号化される。セッション鍵は、ユーザ装置が第２のネットワークにアクセスすることを可能にするためのものである。
【０００７】
添付図面と共に読み取られる好ましい実施例の以下の詳細な説明から、本発明の前記及び他の態様と特徴と利点が明らかになる。
【発明を実施するための最良の形態】
【０００８】
本発明は、アクセスネットワーク間の相互接続用の推移的認証・許可・課金（ＡＡＡ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ａｕｔｈｏｒｉｚａｔｉｏｎ  ａｎｄ  Ａｃｃｏｕｎｔｉｎｇ）機構を対象とする。本発明が如何なるアクセスネットワークの組み合わせにも適用可能であることがわかる。しかし、本発明はセルラネットワークと無線ローカルエリアネットワーク（ＷＬＡＮ）の相互接続に特に適用可能である。
【０００９】
本発明は、第１のアクセスネットワークによるユーザについての信頼を第２のネットワークに転送し、第１と第２のアクセスネットワークが事前に確立された信頼関係を有する。先行技術と対照的に、本発明は、２つのネットワーク間での特有の相互接続機能を全く必要とせず、ユーザのアクセス権を確認するためにＩＰアドレッシング機構とルーティング機構に依存する。本発明はここでは推移的ＡＡＡとも称されることがわかる。
【００１０】
当然のことながら、本発明は多様な形式のハードウェア、ソフトウェア、ファームウェア、特定目的プロセッサ、又はその組み合わせで実装されてもよい。好ましくは、本発明は、ハードウェアとソフトウェアの組合せとして実装される。更に、ソフトウェアは、好ましくはプログラム記憶装置に明確に具体化されたアプリケーションプログラムとして実装される。アプリケーションプログラムは、何らかの適切な構造を有する機械にアップロードされ、実行されることがある。好ましくは、前記機械は、中央処理装置（ＣＰＵ）とランダムアクセスメモリ（ＲＡＭ）と入出力（Ｉ／Ｏ）インタフェースのようなハードウェアを有するコンピュータプラットフォームに実装される。コンピュータプラットフォームはまた、オペレーティングシステムとマイクロ命令コードとを有する。ここに記載される多様な処理と機能は、オペレーティングシステムを介して実行されるマイクロ命令コードの一部又はアプリケーションプログラムの一部（又ははその組み合わせ）であることがある。更に、追加データ記憶装置や印刷装置のような多様な他の周辺装置がコンピュータプラットフォームに接続されてもよい。
【００１１】
更に当然のことながら、添付図面に表された構成システム構成要素と方法のステップのうちのいくつかは好ましくはソフトウェアで実装されるため、本発明がプログラムされる方法に応じてシステム構成要素（又は処理ステップ）が異なることがある。ここでの教示により、当業者は本発明のこのような及び類似の実装又は構成を企図することが可能になる。
【００１２】
図１は、本発明の例示的な実施例に従って、本発明が適用され得るコンピュータシステム１００を示したブロック図である。コンピュータシステム１００は、システムバス１０４を介して他の構成要素に動作可能に結合された少なくとも１つのプロセッサ（ＣＰＵ）１０２を有する。読み出し専用メモリ（ＲＯＭ）１０６と、ランダムアクセスメモリ（ＲＡＭ）１０８と、ディスプレイアダプタ１１０と、Ｉ／Ｏアダプタ１１２と、ユーザインタフェースアダプタ１１４と、サウンドアダプタ１９９と、ネットワークアダプタ１９８が、システムバス１０４に動作可能に結合される。
【００１３】
ディスプレイ装置１１６は、ディスプレイアダプタ１１０によりシステムバス１０４に動作可能に結合される。ディスク記憶装置（例えば磁気又は光ディスク記憶装置）１１８は、Ｉ／Ｏアダプタ１１２によりシステムバス１０４に動作可能に結合される。
【００１４】
マウス１２０とキーボード１２２は、ユーザインタフェースアダプタ１１４によりシステムバス１０４に動作可能に結合される。マウス１２０とキーボード１１２は、システム１００に対して情報を入出力するために使用される。
【００１５】
少なくとも１つのスピーカ（以下“スピーカ”）１９７は、サウンドアダプタ１９９によりシステムバス１０４に動作可能に結合される。
【００１６】
（デジタル及び／又はアナログ）モデム１９６は、ネットワークアダプタ１９８によりシステムバス１０４に動作可能に結合される。
【００１７】
図２は、本発明の例示的な実施例に従って、本発明が適用され得る推移的ＡＡＡ構成を示したブロック図である。図２の例示的な実施例において、推移的ＡＡＡ構成は、第１のネットワーク２１０と、第２のネットワーク２２０と、インターネット２３０と、ユーザ装置２４０とを有する。第２のネットワーク２２０はＡＡＡサーバ２２０ａを有する。ユーザ装置２４０は、第１のネットワークインタフェース２４０ａと、第２のネットワークインタフェース２４０ｂとを有する。本発明はここでは２つのネットワークに関して説明されているが、本発明の範囲と要旨を維持しつつ、本発明は如何なる数と如何なる種類のネットワークにも適用され得ることがわかる。
【００１８】
本発明を説明するために、以下の説明は２つのネットワーク（３Ｇセルラネットワークと無線ローカルエリアネットワーク（ＷＬＡＮ））に関して行われる。しかし、本発明の範囲と要旨を維持しつつ、本発明は如何なる数のネットワークの組み合わせ及び如何なる種類のネットワークにも適用され得る。
【００１９】
図示の例において、ユーザ装置２４０は３ＧネットワークとＷＬＡＮにアクセスするためのデュアル無線インタフェースを有する。本発明によると、ユーザ装置２４０は、以下のように３Ｇネットワーク２１０のＡＡＡ機構を介してＷＬＡＮ２２０にアクセス可能である。ＷＬＡＮ２２０の検出により、ＷＬＡＮ２２０が推移的ＡＡＡに対応するか否かをユーザ装置２４０は決定する。そうである場合には、ユーザ装置２４０はパス２１２を介して３Ｇネットワークに登録メッセージを送信する。登録メッセージは、ユーザの公開鍵を有する。登録メッセージは、パス２１６と２２２により示されるようにインターネット２３０ａを介してＷＬＡＮサーバ２３０ａに伝送される。登録メッセージを受信すると、ＷＬＡＮサーバ２３０ａは発信側ＩＰアドレスを確認し、受信したアドレスが推移的ＡＡＡに対応するアドレスの範囲内であるか否かを決定する。そうである場合には、ＷＬＡＮサーバ２３０はユーザ装置の公開鍵で暗号化されたセッション鍵を提供し、パス２２４と２１８により示されるようにインターネットを介して３Ｇネットワーク２１０にそのセッション鍵を送信する。次に、３Ｇネットワークは、パス２１４により示されるようにユーザ装置２４０にセッション鍵を送信する。次に、ユーザ装置２４０はユーザ装置の秘密鍵を使用してセッション鍵を解読し、セッション鍵を使用してＷＬＡＮ２２０へのアクセスを獲得することができる。
【００２０】
このように、ＷＬＡＮ２２０が推移的ＡＡＡに対応しており、３Ｇネットワーク２１０と事前の信頼関係を有する限り、ユーザ装置２４０は、３Ｇネットワーク２１０のＡＡＡ機構を介してＷＬＡＮ２２０へのアクセスを獲得することができる。本発明は、ＷＬＡＮに認証用に３ＧのＡＡＡサービスに交信させるのではなく、又は各ＷＬＡＮに関連するＡＡＡ機構を使用するのではなく、３ＧネットワークのＡＡＡ機構を直接使用することにより、３Ｇネットワークとの事前の関係を有するＷＬＡＮ間をユーザ装置２４０が“ローミング”することを可能にする機構を提供する。
【００２１】
３Ｇセルラネットワークは、ＩＰアドレスの範囲が割り当てられている。ユーザがＩＰアクセスのために３Ｇセルラネットワークを使用すると、発信側ＩＰアドレスはこの範囲内になる。インターネットのルーティング機構により、返信ＩＰパケットが送信される時に、何らかの不正者がそのような発信側ＩＰアドレスを捏造することができるが、不正者がＩＰパケットを転送するルータに侵入することができなければ、実際にＩＰアドレスを有するユーザにのみ受信可能になる。従って、本発明はセキュリティの更なる対策を提供することがある。
【００２２】
図３は、本発明の例示的な実施例に従って、３Ｇセルラネットワークにより認証されたユーザ装置が無線ローカルエリアネットワーク（ＷＬＡＮ）へのアクセスを獲得することを可能にするＡＡＡ方法を示したフローチャートである。ユーザ装置は２つの無線インタフェース（３ＧセルラとＷＬＡＮ）を有する。３ＧセルラネットワークとＷＬＡＮは相互に事前に確立された信頼関係を有する。
【００２３】
ユーザ装置がＷＬＡＮの受信範囲内の領域に移動すると、ＷＬＡＮが推移的ＡＡＡに対応するか否かと、３Ｇネットワークが（例えばブロードキャスト又は動的ホスト構成プロトコル（ＤＨＣＰ）を通じて）ＷＬＡＮと事前に確立された信頼関係を有するか否かが（例えばユーザ装置のＷＬＡＮインタフェースにより）決定される（ステップ３０２）。そうでない場合には、前記方法は終了する。その他の場合には、以下に説明されるようにステップ３０４が実行され、前記方法がステップ３０５に進む。ステップ３０５において、ＷＬＡＮのＡＡＡサーバ（以下、ＷＬＡＮ  ＡＡＡサーバ）のＩＰアドレスがユーザ装置により取得される（ステップ３０５）。
【００２４】
登録メッセージを含むユーザデータグラムプロトコル（ＵＤＰ）パケットは、例えばユーザ装置の３Ｇセルラネットワークを通じて、ユーザ装置からＷＬＡＮ  ＡＡＡサーバに送信される（ステップ３１０）。ステップ３１０はＵＤＰパケットに関して説明されているが、転送制御プロトコル（ＴＣＰ）パケットを含み、それに限定されない如何なる種類のパケットも使用され得ることがわかる。登録メッセージは、ユーザ装置のＷＬＡＮアドレス（例えばＷＬＡＮインタフェースの媒体アクセス制御（ＭＡＣ）アドレス又はＩＰアドレス）と、ユーザ装置の公開鍵とを有する。
【００２５】
登録メッセージを受信すると、ＷＬＡＮ  ＡＡＡサーバは、ＷＬＡＮネットワークが事前に確立された関係を有する３Ｇネットワークに割り当てられた範囲内に登録メッセージの発信側ＩＰアドレス（例えば３ＧインタフェースのＩＰアドレス）があるか否かを決定する（ステップ３１５）。そうでない場合には、前記方法は終了する。その他の場合には、ＷＬＡＮ  ＡＡＡサーバはユーザ装置の３Ｇセルラインタフェースに確認メッセージを返信する（ステップ３２０）。確認メッセージは、ユーザ装置とＷＬＡＮとの間で使用されるセッション鍵を有する（セッション鍵によりユーザ装置がＷＬＡＮにアクセス可能になる）。セッション鍵は、ユーザ装置の公開鍵で暗号化される。ＷＬＡＮ  ＡＡＡサーバはまた、ユーザ装置のＷＬＡＮアドレスと（割り当てられた）セッション鍵とのマッピングを登録する（ステップ３２５）。所定のセッション鍵が対応するユーザに関連付けられるようにステップ３２５が実行される。
【００２６】
（例えばユーザ装置の３Ｇセルラインタフェースを介して）確認メッセージを受信すると、ユーザ装置の秘密鍵を使用してセッション鍵が解読される（ステップ３２８）。セッション鍵を使用して、ユーザ装置によるＷＬＡＮへのアクセスが得られる（ステップ３３０）。
【００２７】
次に、図３の方法に対する考えられる共同のハッカー攻撃について説明が行われる。３Ｇセルラネットワークからの追加の認証サポートのないＩＰアドレッシングとＩＰルーティングを使用したため、以下の攻撃が可能になることがわかる。ハッカーは３Ｇセルラネットワークの範囲内にある偽造ＩＰアドレスで登録メッセージを送信する。次に、ＷＬＡＮと３Ｇセルラのコアネットワークの間のルートのどこかでハッカーが確認メッセージを傍受する。ハッカーは、発見した鍵についてＷＬＡＮの受信範囲内のその他のハッカーに通知する。
【００２８】
しかし、特に確認メッセージを傍受するステップにおいて、前述の攻撃を達成することは非常に困難である。ハッカーは、セッション鍵を取得する目的で、ＷＬＡＮと３Ｇネットワークの間の経路でルータへのアクセスを獲得しなければならず、２人のハッカーは攻撃を共同して実行しなければならない（ハッカーがアクセスを獲得することができる場合には、ハッカーがインターネットアクセスを既に有しているため攻撃を実行する必要性がないので、ＷＬＡＮの受信範囲内のハッカーが前述のルータのいずれにもアクセスできないことを仮定する）。
【００２９】
前述の共同のハッカー攻撃を回避するために、図３の方法でステップ３０４が実行される。ステップ３０４において、ＷＬＡＮ  ＡＡＡサーバと３Ｇセルラネットワークのゲートウェイ汎用パケット無線サービス（ＧＰＲＳ：Ｇｅｎｅｒａｌ  Ｐａｃｋｅｔ  Ｒａｄｉｏ  Ｓｅｒｖｉｃｅ）サービス／サポートノード（ＧＧＳＮ）との間で、安全なＩＰチャネル（例えばインターネットプロトコル（ＩＰ）セキュリティ（ＩＰＳｅｃ）トンネル）が確立される。（３Ｇネットワークのセキュリティにより確保されるように）ユーザと３ＧセルラネットワークのＧＧＳＮとの間でもパスが安全であるため、前述の攻撃を阻止できる。
【００３０】
次に、本発明の例示的な実施例に従って、図３の方法とともに使用され得る課金方法について説明が行われる。図４は、本発明の例示的な実施例に従って、図３の方法のユーザ装置のユーザに課金を実行する課金方法を示したフローチャートである。
【００３１】
ユーザ装置の３ＧセルラインタフェースのＩＰアドレスが静的ＩＰアドレスであるか否かが決定される（ステップ４０５）。そうである場合には、３ＧセルラインタフェースのＩＰアドレスに基づいてユーザの身元が決定され（ステップ４１０）、前記方法はステップ４５０に進む。その他の場合（ＩＰアドレスが動的である場合）には、３Ｇセルラネットワークの（一時的な）ＩＰアドレスとユーザの実際のＩＤとのマッピングから、ユーザの身元が決定され（ステップ４１５）、前記方法はステップ４５０に進む。ステップ４５０において、３ＧセルラインタフェースのＩＰアドレス（静的ＩＰアドレス）又はマッピング（動的ＩＰアドレス）に基づいて、ユーザに関して課金ステップが実行される。
【００３２】
本発明の目的で、３ＧセルラインタフェースのＩＰアドレスが動的である場合に同様にネットワークアドレス変換（ＮＡＴ）が処理されることがわかる。更に、前記ステップ４１５で言及したマッピングに関して、例えばＮＡＴが使用される場合にはＤＨＣＰサーバ又はＮＡＴサーバでそのようなマッピングが格納されてもよい。本発明は、非静的ＩＰアドレスの場合にユーザの身元を決定するためにマッピングを使用することに限定されないことが更にわかる。従って、本発明の範囲と要旨を維持しつつ、他の手法が使用されてもよい。
【００３３】
本発明は添付図面に関して説明されたが、当然のことながら、本発明はこの正確な実施例に限定されず、本発明の範囲と要旨を逸脱することなく、多様な他の変更形態や変形形態が当業者により実施され得る。そのような変更形態と変形形態は、特許請求の範囲に記載された本発明の範囲内に入ることを意図する。
【図面の簡単な説明】
【００３４】
【図１】本発明の例示的な実施例に従って、本発明が適用され得るコンピュータシステム１００を示したブロック図である。
【図２】本発明の例示的な実施例に従って、本発明が適用され得る推移的ＡＡＡ構成を示したブロック図である。
【図３】本発明の例示的な実施例に従って、３Ｇセルラネットワークにより認証されたユーザ装置が無線ローカルエリアネットワーク（ＷＬＡＮ）へのアクセスを獲得することを可能にするＡＡＡ方法を示したフローチャートである。
【図４】本発明の例示的な実施例に従って、図３の方法のユーザ装置のユーザに課金を実行する課金方法を示したフローチャートである。
【図１】
2006514447.tif 000003
【図２】
2006514447.tif 000004
【図３】
2006514447.tif 000005
【図４】
2006514447.tif 000006
【手続補正書】
【提出日】平成16年8月19日(2004.8.19)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ユーザ装置が無線ＬＡＮへのアクセスを獲得することを可能にする方法であって、
第２の通信ネットワークを介して、ユーザ装置の公開鍵を含む登録メッセージをユーザ装置から受信するステップであって、前記ユーザ装置が前記第２の通信ネットワークにより認証されており、前記無線ＬＡＮが前記第２の通信ネットワークと事前に確立された信頼関係を有し、前記第２の通信ネットワークがセルラネットワークであるステップと、
前記第２の通信ネットワークから受信した発信側ＩＰアドレスが、ＩＰ発信側アドレスの所定の範囲内であるか否かを決定するステップと、
そうである場合に、前記ユーザ装置の公開鍵に応じてセッション鍵を生成するステップであって、前記セッション鍵がユーザ装置の秘密鍵を使用して解読されるように適合されたステップと、
前記第２の通信ネットワークに前記セッション鍵を送信するステップと、
前記セッション鍵を使用して、前記ユーザ装置が前記無線ＬＡＮへのアクセスを獲得することを可能にするステップと
を有する方法。
【請求項２】
請求項１に記載の方法であって、
前記無線ＬＡＮと前記セルラネットワークとの間の安全なＩＰチャネルを確立するステップを更に有する方法。
【請求項３】
請求項１に記載の方法であって、
前記ユーザ装置に関連するインタフェースのアドレスを受信するステップと、
前記アドレスと前記セッション鍵とのマッピングを登録するステップと
を更に有する方法。
【請求項４】
請求項３に記載の方法であって、
前記アドレスが、媒体アクセス制御（ＭＡＣ）アドレスとインターネットプロトコル（ＩＰ）アドレスのうちの１つを有する方法。
【請求項５】
請求項３に記載の方法であって、
前記ユーザ装置による前記通信ネットワークへのアクセスに応じて使用データを生成するステップと、
前記使用データを前記第２の通信ネットワークに送信し、それによって前記使用データに応じて前記ユーザ装置の課金情報が生成され得るステップと
を更に有する方法。
【請求項６】
ユーザ装置と通信する第１の手段と、
通信ネットワークと通信する第２の手段であって、前記通信ネットワークがセルラネットワークである第２の手段と、
前記通信する第２の手段に結合され、ユーザ装置の公開鍵を含む登録メッセージを受信し、前記登録メッセージに関連する発信側ＩＰアドレスが所定の発信側ＩＰアドレスの範囲内であるか否かを決定する手段と、
前記決定手段と前記通信用の第２の手段に結合され、前記発信側ＩＰアドレスが前記範囲内である場合に、前記ユーザ装置の公開鍵を使用して暗号化されたセッション鍵を生成し、前記通信用の第２の手段を介して前記ユーザ装置に前記セッション鍵を送信する手段と
を有する無線ＬＡＮであって、
前記第１の通信手段により、前記セッション鍵を使用してユーザ装置が前記無線ＬＡＮにアクセス可能になる無線ＬＡＮ。
【請求項７】
請求項６に記載の無線ＬＡＮであって、
前記ユーザ装置に関連するインタフェースアドレスと前記セッション鍵とをマッピングするメモリ手段と、
前記無線ＬＡＮへのユーザ装置のアクセスに応じて使用データを生成し、前記使用データを前記通信ネットワークに送信する手段と
を更に有する無線ＬＡＮ。
【請求項８】
ユーザ装置を使用して無線ＬＡＮにアクセスする方法であって、
第１の通信ネットワークとの通信を確立し、前記第１の通信ネットワークとの認証ステップを実行するステップであって、前記第１の通信ネットワークがセルラネットワークであるステップと、
ユーザ装置の公開鍵を含む登録メッセージを前記第１の通信ネットワークに送信するステップと、
前記無線ＬＡＮから受信したセッション鍵を前記第１の通信ネットワークから受信するステップと、
秘密鍵で前記セッション鍵を解読するステップと、
前記セッション鍵を使用して前記無線ＬＡＮへのアクセスを確立するステップと
を有する方法。
【請求項９】
請求項８に記載の方法であって、
前記登録メッセージが、前記無線ＬＡＮと通信するインタフェースに関連するアドレスを有し、それによって前記アドレスと前記セッション鍵についてマッピングが生成され得る方法。
【請求項１０】
請求項９に記載の方法であって、
前記アドレスが、媒体アクセス制御（ＭＡＣ）アドレスとインターネットプロトコル（ＩＰ）アドレスのうちの１つを有する方法。
【請求項１１】
請求項１０に記載の方法であって、
前記無線ＬＡＮ又は前記セルラネットワークを介して、前記無線ＬＡＮへの前記ユーザ装置のアクセスに関する課金情報を受信するステップを更に有する方法。
【請求項１２】
請求項８に記載の方法であって、
前記第１の通信ネットワークが前記無線ＬＡＮと事前に確立された信頼関係を有するか否かを最初に決定するステップを更に有する方法。
【請求項１３】
第１の通信ネットワークと通信するユーザ装置が第２の通信ネットワークへのアクセスを獲得することを可能にする方法であって、
前記第１の通信ネットワークと前記第２の通信ネットワークが、相互に事前に確立された信頼関係を有しており、
前記第１の通信ネットワーク内で前記ユーザ装置を認証するステップであって、前記第１の通信ネットワークがセルラネットワークを有し、前記第２の通信ネットワークが無線ＬＡＮネットワークを有するステップと、
ユーザ装置の公開鍵を含む登録メッセージを前記ユーザ装置から受信するステップ（３１０）と、
前記ユーザ装置の公開鍵と、前記第１の通信ネットワークに割り当てられた所定の範囲内にある発信側アドレスとを含むメッセージを、前記第２の通信ネットワークに送信するステップ（３１０）と、
前記第２の通信ネットワークからセッション鍵を受信するステップ（３２０）と、
前記セッション鍵を前記ユーザ装置に送信するステップ（３２０）であって、前記セッション鍵により前記ユーザ装置が前記第２の通信ネットワークへのアクセスを獲得することが可能になるステップと
を有する方法。
【請求項１４】
請求項１３に記載の方法であって、
前記第１の通信ネットワークと前記第２の通信ネットワークとの間で安全なＩＰチャネルを確立し、前記セッション鍵の無許可の傍受を回避するステップを更に有する方法。
【請求項１５】
請求項１３に記載の方法であって、
前記ユーザ装置に関連するインタフェースのアドレスを受信するステップと、
前記インタフェースと前記セッション鍵とのマッピングを登録するステップと
を更に有する方法。
【請求項１６】
請求項１５に記載の方法であって、
前記インタフェースのアドレスが、媒体アクセス制御（ＭＡＣ）アドレスとインターネットプロトコル（ＩＰ）アドレスのうちの１つを有する方法。
【請求項１７】
請求項１５に記載の方法であって、
前記第２の通信ネットワークへのユーザ装置のアクセスを示す前記第２の通信ネットワークからの使用データを受信するステップと、
前記使用データに基づいて前記ユーザ装置に関連する課金情報を生成するステップと
を更に有する方法。
【請求項１８】
請求項１３に記載の方法であって、
前記セッション鍵が、前記ユーザ装置の公開鍵を使用して暗号化され、ユーザ装置の秘密鍵を使用して解読されるように適合された方法。
【国際調査報告】
2006514447.tif 000007
2006514447.tif 000008