(57)【要約】移動無線端末装置（１０３）およびホーム通信ネットワークのコンピュータ（１０８，１０９）によってそれぞれ認証鍵素材（３１２）が使用されて第１暗号鍵（３１８）および第２暗号鍵（３２２）が形成される。第１暗号鍵（３１８）は、訪問先の通信ネットワークのコンピュータ（１１３）に伝送され、第２暗号鍵（３２２）は、アプリケーションサーバコンピュータ（１０６，１０７）に伝送される。
2006518121.tif 000002
【特許請求の範囲】
【請求項１】
移動無線システム（１００）における暗号鍵（３１８，３２２）を形成および配布する方法において、
該移動無線システムは、少なくとも１つの移動無線端末装置（１０３）と、第１コンピュータ（１１３）と、ホーム通信ネットワークのコンピュータ（１０９）と、第２コンピュータ（１０６，１０７）とを有しており、
前記の移動無線端末装置（１０３）およびホーム通信ネットワークのコンピュータ（１０９）は認証の結果として、認証鍵素材（３１２，３１４）を含んでおり、
・  前記の移動無線端末装置（１０３）およびホーム通信ネットワークのコンピュータ（１０９）によってそれぞれ認証鍵素材（３１２）を使用して、第１暗号鍵（３１８）および第２暗号鍵（３２２）を形成し、
・  第１暗号鍵（３１８）を第１コンピュータ（１１３）に伝送し、
・  第２暗号鍵（３２２）を第２コンピュータ（１０６）に伝送することを特徴とする、
暗号鍵を形成および配布する方法。
【請求項２】
・  前記の第１コンピュータ（１１３）は訪問先の通信ネットワークのコンピュータであり、ここで前記移動無線端末装置（１０３）は当該の訪問先の通信ネットワーク（１０２）にあり、
・  前記の第２コンピュータは、アプリケーションサーバコンピュータ（１０６，１０７）である、
請求項１に記載の方法。
【請求項３】
・  前記第１コンピュータ（１１３）は、第１のアプリケーションサーバコンピュータ（１０６）であり、
・  前記第２コンピュータは、第２のアプリケーションサーバコンピュータ（１０７）である、
請求項１に記載の方法。
【請求項４】
少なくとも１つの鍵導出関数（３１７）を使用して前記の第１暗号鍵（３１８）および第２暗号鍵（３２２）を形成する、
請求項１から３までのいずれか１項に記載の方法。
【請求項５】
前記の第１暗号鍵（３１８）および第２暗号鍵（３２２）を形成して、
・  第１暗号鍵（３１８）から第２暗号鍵（３２２）を推論することができない、
・  第２暗号鍵（３２２）から第１暗号鍵（３１８）を推論することができない、
・  第１暗号鍵（３１８）または第２暗号鍵（３２２）から前記の認証鍵素材（３１２，３１４）を推論することができないようにする、
請求項１から４までのいずれか１項に記載の方法。
【請求項６】
前記認証鍵素材（３１２，３１４）は少なくとも２つの暗号鍵を有する、
請求項１から５までのいずれか１項に記載の方法。
【請求項７】
前記移動無線システム（１００）は、３ＧＰＰ標準ベースの移動無線システムとして構成されている、
請求項１から６までのいずれか１項に記載の方法。
【請求項８】
前記移動無線システム（１００）は、ＩＰマルチメディアサブシステムを有する、
請求項７に記載の方法。
【請求項９】
前記認証鍵素材（３１２，３１４）は、インテグリティキー（３１４）およびトランスファーキー（３１２）を有する、
請求項１から８までのいずれか１項に記載の方法。
【請求項１０】
前記の第１暗号鍵（３１８）および第２暗号鍵（３２２）をトランスファーキー（３１２）から導出する、
請求項９に記載の方法。
【請求項１１】
前記の移動無線端末装置（１０３）およびホーム通信ネットワークのコンピュータ（１０９）により、付加的なアプリケーションサーバコンピュータ（１０７）に対してそれぞれ認証鍵素材（３１２，３１４）を使用して、付加的な暗号鍵（３２３，３２４）を形成し、
各アプリケーションサーバコンピュータ（１０７）に伝送する、
請求項１から１０までのいずれか１項に記載の方法。
【請求項１２】
前記の暗号鍵（３１８，３２２，３２３，３２４）を形成するため、同じ鍵導出関数を使用する、
請求項１から１１までのいずれか１項に記載の方法。
【請求項１３】
前記の暗号鍵（３１８，３２２，３２３，３２４）を形成するため、前記鍵導出関数（３１７）に対して相異なる付加的な入力パラメタ（３１９）を使用する、
請求項１から１２までのいずれか１項に記載の方法。
【請求項１４】
前記の鍵導出関数（３１７）に対する付加的な入力パラメタ（３１９）として、認証の枠内で形成されたパラメタを使用する、
請求項１３に記載の方法。
【請求項１５】
前記の鍵導出関数に対する付加的なパラメタとして、あらかじめ形成した暗号鍵（３１８，３２２，３２３，３２４）のうちの少なくとも１つを使用する、
請求項１４に記載の方法。
【請求項１６】
移動無線システム（１００）において、
・  認証の結果として認証鍵素材（３１２，３１４）が記憶されている少なくとも１つの移動無線端末装置（１０３）と、
・  第１コンピュータ（１１３）と、
・  認証の結果として認証鍵素材（３１２，３１４）が記憶されている、ホーム通信ネットワークのコンピュータ（１０９）と、
・  少なくとも１つの第２コンピュータ（１０６，１０７）とを有しており、
・  前記の移動無線端末装置（１０３）およびホーム通信ネットワークのコンピュータ（１０９）はそれぞれ暗号化ユニットを有しており、これによって前記認証鍵素材（３１２，３１４）が使用されて、第１暗号鍵（３１８）および第２暗号鍵（３２２）が形成され、
・  訪問先の通信ネットワークのコンピュータ（１１３）は、第１暗号鍵（３１８）を記憶するための記憶装置を有し、
・  アプリケーションサーバコンピュータ（１０６，１０７）は、第２暗号鍵（３２２）を記憶するための記憶装置を有することを特徴とする、
移動無線システム（１００）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、移動無線システムにおける暗号鍵を形成および配布する方法ならびに移動無線システムに関する。
【０００２】
ＵＭＴＳ（Universal Mobile Telecommunications Systems）の枠内では、インターネットベースのマルチメディアサービスが発展しており、これによってＵＭＴＳ移動無線システムがさらに使えるようになり、また付加的な適用領域が開かれることになった。
【０００３】
移動無線システムに対するインターネットベースのマルチメディアサービス用のプラットホームとして、３ＧＰＰ（3rd Generation Partnership Project）では、いわゆるｌＰベースのマルチメディアサブシステム（ｌＭＳ  IP-based Multimedia Subsystem）が標準化されており、これはＵＭＴＳのリリース５−アーキテクチャに記載されている。
【０００４】
移動無線加入者の移動無線装置が、ｌＭＳを有する移動無線システムの通信ネットワークにおいてログインして、インターネットベースのマルチメディアサービスを利用する場合、文献[１]に記載された３ＧＰＰ標準にしたがい、ｌＭＳ認証および鍵共有プロトコル（ｌＭＳ−ＡＫＡ  IMS Authentication and Key-Agreement Protocol）によってこの移動無線端末装置に対して認証が行われる。
【０００５】
上記のＩＭＳ−ＡＫＡプロトコルによれば、移動無線端末装置と、つぎのような通信ネットワーク、すなわちその領域にこの移動無線端末装置が目下いる通信ネットワークとは互いに認証し合い、また２つの暗号鍵、いわゆるインテグリティキー（Integritaetschluessel）およびいわゆるトランスファーキー（Uebertragungsschluessel）が生成される。インテグリティキーはＵＭＴＳリリース５によれば、移動無線端末装置と、訪問先の通信ネットワーク（Visited Network）のコンピュータとの間でＩＭＳシグナリングを保護するために使用される。訪問先の通信ネットワークのコンピュータは、ＣＳＣＦコンピュータ（Call State Control Function-Computer）として設けられ、またＰ−ＣＳＣＦコンピュータ（Proxy-CSCFコンピュータ）と称される。上記のトランスファーキーは、暗号化のために、すなわち交換されるデータの機密性を保護するために使用される。
【０００６】
インテグリティキーを使用して純粋なＩＭＳシグナリングメッセージを保護するのに加え、ｌＰベースのサービス提供の枠内において、アプリケーションサーバコンピュータと移動無線端末装置との間で付加的な電子メッセージを機密に交換することが可能である。
【０００７】
ここの説明の枠内では、ネットワーク側のアプリケーションサーバコンピュータは殊につぎのようなコンピュータである。すなわち、アプリケーション層（ＯＳＩ第７層）に設けられ、有利にはマルチメディアサービスにしたがってサービスを提供し、第７層プロトコル、すなわちアプリケーションプロトコルにしたがって通信するコンピュータのことである。例えば、このアプリケーションサーバコンピュータは、ＨＴＴＰ（Hypertext Transfer Protocol）サーバコンピュータとして構成することができ、またＨＴＴＰプロトコルによって移動無線端末装置と通信することができる。
【０００８】
ＩＭＳの基本機能を越え、アプリケーションサーバコンピュータは、例えば、ネットワーク側のユーザ設定を管理するため、また移動無線システム加入者についてのプロフィールデータを記憶および管理するために使用される。
【０００９】
ＨＴＴＰプロトコルを使用する通信ネットワークにおけるアプリケーションサーバコンピュータと、移動するユーザ（例えばＩＭＳ移動無線システムのユーザ）との間のこのようなアプリケーションの例は、
・  移動無線システム内における移動無線端末装置の現在位置についての位置情報（例えばＧＰＳデータ）を利用できるようにするプレゼンスサーバ（Presence-Server）へのアクセスリスト、
・  チャットアプリケーションのバディリスト、すなわち、チャットアプリケーションが許可される加入者のリスト、
・  グループ管理サービス、ならびに
・  電子マルチメディア会議に対する設定
である。
【００１０】
上記のようなアプリケーションの別の例として挙げることができるのは、ＩＭＳシステムを使用して、移動無線端末装置と、マルチキャストサービスセンタとの間でマルチキャストコネクションを確立することである。
【００１１】
移動無線端末装置とアプリケーションサーバコンピュータとの間で使用されるプロトコルを暗号化によって保護するためには、例えば、認証、データインテグリティおよび／またはデータ機密性についてメッセージを保護しなければならない。
【００１２】
具体的な利用のシナリオおよび使用されるアプリケーション層プロトコルに依存して、さまざまなセキュリティプロトコルが使用されて、アプリケーション層プロトコルが保護される。例えば、
・  ＨＴＴＰに対して、セキュリティプロトコルＨＴＴＰダイジェスト、ＴＬＳ（Transport Layer Security）プロトコルまたはＷＴＬＳ（Wireless Transport Layer Security ）プロトコルが、また
・マルチキャストコネクションに対する鍵配布に対してMIKEY（Multimedia Internet KEYing）
が使用される。
【００１３】
いずれの暗号化アプリケーション層プロトコルにおいても必要であるのは、関与する通信相手、例えば、移動無線端末装置と、アプリケーションサーバコンピュータ、すなわち通信ネットワークにおけるアプリケーションサーバコンピュータとが、秘密の鍵素材、すなわち保護された最初の電子メッセージの送信を開始する時にすでに利用できる秘密鍵を有することである。ＩＭＳの場合、鍵インフラストラクチャは対称鍵に基づいており、これは、ＩＭＳレジストレーションの枠内で、すなわち、文献[１]に記載された認証および鍵交換プロトコルの枠内でＩＭＳユーザを認証するために使用される。
【００１４】
文献[１]に記載されているように、ＩＭＳにおいて移動無線端末装置は、ＩＭＳ通信セションに対し、そのホーム通信ネットワーク（Home Network）において、そのために設けられたコンピュータに登録される。ここでこのコンピュータは、Ｓ−ＣＳＣＦ−コンピュータ（Serving Call State Control Function-Computer）とも称される。
【００１５】
通信は、ローカルのプロキシーコンピュータ、すなわち訪問先の通信ネットワークの上記のＰ−ＣＳＣＦコンピュータを使用して行われる。ここでこれは移動無線端末装置に対する、ひいては移動するユーザに対する最初のＩＭＳコンタクトポイントを表す。
【００１６】
文献[１]による認証は、いわゆるＨＳＳコンピュータ（Home Subscriber Server-Computer）の関与の下で、移動無線端末装置とＳ−ＣＳＣＦコンピュータとの間で行われる。認証の枠内では、移動無線端末装置およびＨＳＳコンピュータにおいてインテグリティキーおよびトランスファーキーが生成され、また暗号化によって保護されてＳ−ＣＳＣＦコンピュータに伝送される。
【００１７】
Ｓ−ＣＳＣＦコンピュータにより、インテグリティキーは暗号によって保護されてＰ−ＣＳＣＦコンピュータに伝送される。ＩＭＳに関連する後続のシグナリングメッセージの認証およびインテグリティの保護は、移動無線端末装置とＰ−ＣＳＣＦコンピュータとの間でローカルに保証され、また上記のインテグリティキーに基づいて行われる。ＵＭＴＳリリース５によれば、今日、トランスファーキーは使用されていないが、ＵＭＴＳ標準の将来の版（リリース６および後続の標準）において、トランスファーキーを使用して、伝送されるデータの機密性を付加的に保護することが計画されている。
【００１８】
セション鍵（Sitzungsschluessel）としてＩＭＳ−ＡＫＡ認証および鍵生成から得られるトランスファーキーおよびインテグリティキーを、ＩＭＳシグナリングのためではない別のアプリケーションの保護に対しても使用する場合、問題が発生する。
【００１９】
移動無線端末装置およびホーム通信ネットワーク、言い換えるとユーザおよびホーム通信ネットワーク運営者は、互いに信頼に値するとみなされる。
【００２０】
しかしながら訪問先の通信ネットワーク（ローミングの場合である。ローミングでない場合、これはホーム通信ネットワークに相応する）は、インテグリティキーおよびトランスファーキーを受け取る。アプリケーションサーバコンピュータも同様にインテグリティキーおよびトランスファーキーを受け取ることになれば、理論的にはこのアプリケーションサーバコンピュータにより、移動無線端末装置と、訪問先の通信ネットワークとの間のＩＭＳシグナリングの安全性が損なう状況になり得る。逆に通信がインテグリティキーまたはトランスファーキーに直接基づいている場合、訪問先の通信ネットワーク、すなわち、訪問先の通信ネットワークのコンピュータによって、移動無線端末装置とアプリケーションサーバコンピュータとの間の通信の安全性が損なわれる状況になり得るのである。
【００２１】
移動無線端末装置が、複数のアプリケーションサーバコンピュータと同時に通信したい場合においても望ましいのは、またしばしば必要でもあるのは、各アプリケーションサーバコンピュータが受け取る暗号鍵から、別のアプリケーションサーバコンピュータが受け取る暗号鍵を推論できないようにすることである。
【００２２】
上記の問題を解決するための考えられるアプローチは、ホーム通信ネットワークにおいても、ユーザの移動無線端末装置においても共に、インテグリティキーおよび／またはトランスファーキーから新たな暗号鍵を導出するアプローチである。アプリケーションサーバコンピュータは上記の導出された暗号鍵を受け取り、すなわちインテグリティキーもトランスファーキーも分からないのである。ここで前提とするのは、鍵の導出に使用される暗号化関数が、アプリケーションサーバコンピュータに対してインテグリティキーおよび／またはトランスファーキーの有効な推論を可能にしないことである。
【００２３】
このアプローチにおいて発生する問題は、訪問先の通信ネットワークのコンピュータによってあとづけできない鍵導出関数が必要なことである。入力パラメタとして例えばインテグリティキーまたはトランスファーキーを使用し、また文献[１]にしたがって行われる認証の枠内で生成される乱数パラメタを乱数値として使用するいわゆるキー付きのハッシュは、訪問先の通信ネットワークのコンピュータによって同様に計算することができるのである。
【００２４】
鍵導出のためにユーザの移動無線端末装置とホーム通信ネットワークとの間で取り決められる新たな乱数パラメタは、既存の通信プロトコルないしはセキュリティプロトコルの変更、すなわち、例えばＩＭＳ−ＡＫＡプロトコルの変更またはSCSCFコンピュータとＨＳＳコンピュータとの間の通信における変更によってのみ達成され得る。
【００２５】
しかしながらこのような変更は回避すべきである。それは既存の通信標準またはセキュリティ標準の変更は、簡単には行うことができず、ひいては極めてコストがかかるからである。
【００２６】
ＵＭＴＳ標準リリース５に設けられているセキュリティメカニズムについての概要は文献[２]に記載されている。
【００２７】
ＩＭＳ−ＡＫＡプロトコルの枠内で使用されるメッセージ−認証関数および鍵生成関数は文献[３]および[４]に記載されている。さらに文献[４]にはRijndael関数と称されるブロック暗号符号化関数（Blockchiffren-Verschlueselungsfunktion）が記載されている。
【００２８】
さまざまな鍵導出関数についての概要は文献[５]に記載されている。
【００２９】
別の鍵導出法は文献[６]に記載されている。
【００３０】
本発明の基礎にある課題は、移動無線システムにおける暗号化の安全性を高めることである。
【００３１】
この課題は、独立請求項に記載された特徴的構成を有する、移動無線システムにおける暗号鍵を形成および配布する方法により、また移動無線システムにより解決される。
【００３２】
本発明の移動無線システムにおける暗号鍵を形成および配布する方法は、移動無線端末装置と、有利には訪問先の通信ネットワーク（Visited Network）のコンピュータである第１のコンピュータと、ホーム通信ネットワーク（Home Network）のコンピュータと、有利にはアプリケーションサーバコンピュータとして構成される少なくとも１つの第２のコンピュータとを有する少なくとも１つの移動無線システムを出発点とする。上記の少なくとも１つの移動無線端末装置は、有利には訪問先の通信ネットワークの領域にあり、またホーム通信ネットワークおよび訪問先の通信ネットワークに対して認証されている。この関連において指摘すべきであるのは、上記の訪問先の通信ネットワークと、ホーム通信ネットワークとが同じでよいことである。認証の枠内では認証鍵素材が形成されており、これは移動無線端末装置およびホーム通信ネットワークのコンピュータにおいて利用可能であり、また記憶されている。この方法では、移動無線端末装置およびホーム通信ネットワークのコンピュータによってそれぞれ認証鍵素材が使用されて、第１暗号鍵および第２暗号鍵が形成される。これにより、移動無線端末装置およびホーム通信ネットワークのコンピュータにおいてそれぞれ第１鍵および第２鍵が利用可能であり、記憶される。
【００３３】
択一的には上記の第１および第２コンピュータを２つともアプリケーションサーバコンピュータとして構成することも可能である。
【００３４】
第１暗号鍵は、有利にはホーム通信ネットワークのコンピュータよって（択一的には移動無線端末装置によって）、第１コンピュータに、有利にはひいては訪問先のコンピュータに伝送される。さらに第２暗号鍵は、有利にはホーム通信ネットワークのコンピュータにより、択一的には移動無線端末装置により、第２コンピュータに、有利にはアプリケーションサーバコンピュータに伝送される。
【００３５】
移動無線システムは、少なくとも１つの移動無線端末装置を有し、この移動無線端末装置と、この移動無線端末装置のホーム通信ネットワークのコンピュータとの間の認証の結果としてこの移動無線端末装置に認証鍵素材が記憶される。さらにこの移動無線システムは、第１コンピュータ、有利には訪問先の通信ネットワークのコンピュータ、ならびにホーム通信ネットワークのコンピュータを有する。ホーム通信ネットワークのコンピュータにも同様に、ホーム通信ネットワークにおける移動無線端末装置の認証の結果として認証鍵素材が記憶される。さらにこの移動無線システムには少なくとも１つの第２コンピュータが設けられており、これは有利にはアプリケーションサーバコンピュータとして構成される。上記の移動無線端末装置は、訪問先の通信ネットワークにある。移動無線端末装置およびホーム通信ネットワークのコンピュータはそれぞれ暗号化ユニットを有しており、これによって認証鍵素材を用いて第１暗号鍵および第２暗号鍵をそれぞれ形成する。訪問先の通信ネットワークのコンピュータはさらに、移動無線端末装置によってまたはホーム通信ネットワークのコンピュータによってこのコンピュータに伝送された第１暗号鍵を記憶するための記憶装置を有している。さらにアプリケーションサーバコンピュータは、移動無線端末装置またはホーム通信ネットワークのコンピュータによってアプリケーションサーバコンピュータに伝送された第２暗号鍵を記憶するための記憶装置を有している。
【００３６】
本発明の特徴はつぎの点にあることがわかる。すなわち、認証の枠内で形成される認証鍵素材が、アプリケーションサーバコンピュータおよび訪問先の通信ネットワークのコンピュータに直接かつ完全に伝送されるのではなく、認証鍵素材の少なくとも一部からセッション鍵が導出される点にあることがわかる。ここでこのセッション鍵は、移動無線端末装置とアプリケーションサーバコンピュータないしは訪問先の通信ネットワークのコンピュータとの間の後の通信の枠内で、例えば保護すべきデータの暗号化に使用される。これによって移動無線端末装置と、各アプリケーションサーバコンピュータとの間の通信の枠内で、訪問先の通信ネットワークにおけるコンピュータ側からの攻撃に対して、暗号化の安全性が保証され、さらに移動無線端末装置と、訪問先の通信ネットワークのコンピュータとの間の通信が、アプリケーションサーバコンピュータ側からの攻撃に対して保護される。それはアプリケーションサーバコンピュータおよび訪問先の通信ネットワークのコンピュータがそれぞれ鍵を有しており、ここでこれらの鍵は、それぞれ他方の鍵を推論し、ひいては他方のインスタンスのそれぞれの鍵によって暗号化されたデータの解読を可能にするのには適していない鍵だからである。
【００３７】
本発明により、暗号化の安全性が向上し、その際にＵＭＴＳの枠内で標準化された通信プロトコルを変更する必要がない。
【００３８】
本発明の有利な発展形態は従属請求項に記載されている。
【００３９】
本発明の以下の実施形態は、移動無線システムにおける暗号鍵を形成および配布する方法にも、移動無線システムにも関するものである。
【００４０】
本発明の１実施形態によれば、第１暗号鍵および第２暗号鍵は鍵導出関数を使用して形成される。
【００４１】
本発明の別の実施形態によれば、第１暗号鍵および第２暗号鍵がつぎのように形成する。すなわち、
・  第１暗号鍵から第２暗号鍵を推論することができない
・  第２暗号鍵から第１暗号鍵を推論することができない
・  第１暗号鍵または第２暗号鍵から認証鍵素材を推論することができない
ように形成する。
【００４２】
例えば、移動無線システムが有利にはＩＰベースのマルチメディアサブシステムを有する３ＧＰＰ標準ベースの移動無線システムである場合には、認証鍵素材は、少なくとも２つの暗号鍵を有することができ、しかもインテグリティキーおよびトランスファーキーを有することができる。
【００４３】
この場合、有利には第１暗号鍵および第２暗号鍵はトランスファーキーから導出される。
【００４４】
言い換えるとこのことが意味するのは、本発明のこの実施形態によれば、移動無線端末装置およびホーム通信ネットワークのコンピュータにおいてトランスファーキーから別の暗号鍵が導出されるということである。
【００４５】
文献[１]にしたがいホーム通信ネットワークにより、ＩＭＳシグナリングのインテグリティ保護のため、訪問先の通信ネットワークのコンピュータに、有利にはＰ−ＣＳＣＦコンピュータに直接伝送されるインテグリティキーとは異なり、本発明ではトランスファーキーそれ自体は、ホーム通信ネットワークのコンピュータによって、有利にはＳ−ＣＳＣＦコンピュータによって転送されない。その代わりにトランスファーキーは、適切な鍵導出関数を使用することによって１つまたは複数の新たな鍵を導出するために使用される。ここでこの鍵導出関数は有利には擬似乱数関数に基づく。鍵導出関数によって形成される第１導出鍵はＳ−ＣＳＣＦコンピュータにより、第１暗号鍵として伝送される。ここでこれが行われるのは、第１暗号鍵が、伝送されるデータの機密性の保護に対して必要な場合である。
【００４６】
移動無線システムには基本的に任意個の通信ネットワークおよび移動無線端末装置を設けることができ、また任意個のアプリケーションサーバコンピュータを設けることができる。
【００４７】
複数のアプリケーションサーバコンピュータがある場合、本発明の１実施形態によれば、移動無線端末装置およびホーム通信ネットワークのコンピュータによって、付加的なアプリケーションサーバコンピュータ毎にそれぞれ認証鍵素材を使用して付加的な暗号鍵を形成する。それぞれの付加的な暗号鍵は（有利にはホーム通信ネットワークのコンピュータによって）対応するアプリケーションサーバコンピュータに伝送される。
【００４８】
この場合に有利であるのは、同じ鍵導出関数を用いるが、相異なる適切な入力パラメタを使用して、複数ないしは多数の暗号鍵を生成することである。適切な入力パラメタ、有利には良質な乱数を使用することによって鍵導出関数に対して保証されるのは、導出鍵の受信側、例えばアプリケーションサーバコンピュータまたは訪問先の通信ネットワークのコンピュータが、基本鍵、すなわちトランスファーキーを、一般的には認証鍵素材を推論できないことである。
【００４９】
このような入力パラメタは、移動無線端末装置にも、ホーム通信ネットワークのコンピュータにも既知のパラメタ、例えば、ＩＭＳ−ＡＫＡプロトコルにしたがって都度の最新の認証から得られるパラメタとすることができる。第２暗号鍵により、ＩＭＳシグナリングを越えた別のメッセージの保護に対して、例えば、移動無線端末装置と、プレゼンスサーバコンピュータとして構成されたアプリケーションサーバコンピュータとの間に設けられたＨＴＴＰメッセージの保護に対して、またはMIKEYプロトコルにしたがって構成される移動無線端末装置とマルチキャストサービスセンタコンピュータとの間のメッセージの保護に対して、トランスファーキーから導出される。
【００５０】
本発明では必要に応じて任意個の別の暗号鍵が、トランスファーキーから、一般的には認証鍵素材から導出される。
【００５１】
基本的には鍵導出方式として任意の有利な暗号化方式を使用して暗号鍵を導出することができ、例えば文献[５]に記載された方式、択一的には文献[３]および[４]に記載されたMILENAGEによる鍵導出方式の変形を使用することができる。
【００５２】
セッション鍵としての多数の暗号鍵を形成するために同じ鍵導出関数を使用する場合、移動無線端末装置にもホーム通信ネットワークのコンピュータにも共に１つの暗号鍵導出関数だけを実装すればよい。
【００５３】
本発明の別の利点は、移動無線端末装置のユーザをＩＭＳへのアクセスに対しておよびこれを介して提供される電子サービスに対して１度だけ認証すればよいことである。ＩＭＳベースのアプリケーションないしはサービスへのアクセスに対して、さらなる認証はもはや不要である。
【００５４】
さらに本発明により、既存の標準化されたプロトコルに対する変更が回避され、例えば文献[１]に記載された認証プロトコルＩＭＳ−ＡＫＡまたはＳ−ＣＳＣＦコンピュータとＨＳＳコンピュータとの間の通信のためのプロトコルを変更する必要はない。それは関与する各コンピュータ間で付加的なパラメタを交換する必要がないからである。
【００５５】
鍵導出のための基本鍵として（インテグリティキーではなく）トランスファーキーを使用することによって付加的に回避されるのは、異なる標準のバージョン（UMTS-3GPPリリース５とUMTS-3GPPリリース６など）の間で鍵を使用する際に相違が発生することである。この相違は、比較的高い標準化コストおよび統合化コストに結び付き得るものである。
【００５６】
さらに本発明によって可能になるのは、鍵導出を構成して、この鍵が、移動無線端末装置と所定のネットワークユニットとの間の保護関係だけついて使用可能であり、別の保護関係について使用できないようにすることであり、また別の保護関係について推論ができず、例えば別の保護関係の枠内で使用される暗号鍵を求めることはできないようにすることである。
【００５７】
さらに可能であるのは鍵導出を構成して、移動無線端末装置およびＳ−ＣＳＣＦコンピュータによって、トランスファーキーと、ＩＭＳ−ＡＫＡ通信プロトコルにしたがって都度最新の認証から発生するパラメタと、アプリケーションサーバコンピュータの識別子とだけから上記の導出鍵が計算されるようにすることである。
【００５８】
このようにすることの付加的な利点は、所定のアプリケーションサーバコンピュータに対する導出鍵が、別のアプリケーションサーバコンピュータに対する鍵に依存しないで計算できることである。このことは例えば、アプリケーションサーバコンピュータに対して、導出暗号鍵を同時に計算する必要がない場合に極めて重要である。それはユーザが、異なるアプリケーションサーバコンピュータに別の時点にコンタクトし、また多くのユーザはまったくコンタクトしないことさえもあるからである。
【００５９】
鍵導出関数に対する付加的なパラメタとして本発明の別の実施形態では、あらかじめ形成した暗号鍵のうちの少なくとも１つを使用する。言い換えるとこのことが意味するのは、あらかじめ形成されひいては利用可能な１つまたは複数の暗号鍵を、鍵導出関数に対する入力値として使用して、後に暗号鍵を形成するための基礎にするのである。
【００６０】
したがって本発明により、明らかにつぎのような課題が解決される。すなわち、移動無線システムの既存のＩＭＳセキュリティインフラストラクチャに基づき、ＩＭＳベースのアプリケーションないしはサービスに対する移動通信端末装置とアプリケーションサーバコンピュータとの間の付加的な通信を保護するという課題が解決されるのである。ここでこの通信は、ＩＭＳ移動無線システムの従来の保護によって対象とされていないものである。
【００６１】
このような通信は、例えばＨＴＴＰプロトコルおよびMIKEYプロトコルに、一般的にはＯＳＩ第７層、すなわちアプリケーション層の任意の通信プロトコルに基づく。
【００６２】
通信を保護するため、上記のメカニズムによってセッション鍵が生成され、ここでこれは文献[１]によるＩＭＳ認証の枠内で形成されるインテグリティキーおよび／またはトランスファーキーから導出される。殊にアプリケーションサーバコンピュータおよびＰ−ＣＳＣＦコンピュータなどの相異なるネットワークインスタンスが、他の暗号鍵を推論できない相異なる鍵を得るという課題が解決され、これによってネットワークインスタンス、すなわち訪問先の通信ネットワークのコンピュータにより、ユーザと、別のネットワークインスタンス、すなわち通信ネットワークの別のコンピュータとによって交換されるメッセージの機密性が損なわれ得ることもないのである。
【００６３】
付加的には本発明により、つぎのようなメカニズムが使用される。ここでこのメカニズムによって可能になるのは、ただ１つの鍵導出関数だけで、互いに依存しない暗号鍵を相異なるアプリケーションに対して生成することである。これによって複数のこのような鍵導出関数を実装するためのコストが回避される。
【００６４】
上で述べたように付加的にはユーザの複数回の認証、すなわち移動無線端末装置の複数回の認証が回避される。
【００６５】
本発明の特徴が、ＩＭＳレジストレーションの枠内で生成されるトランスファーキーから、メッセージ間の暗号化に使用可能な別の暗号鍵が導出され、これによって上記の利点が得られる点にあることはわかりやすい。ここで上記のメッセージは、移動無線端末装置とＰ−ＣＳＣＦコンピュータとの間で、ならびに移動無線端末装置とアプリケーションサーバコンピュータとの間の保護関係に使用可能なメッセージである。
【００６６】
本発明の実施例を図面に示し、以下、詳しく説明する。ここで、
図１は、本発明の１実施例による移動無線システムのブロック図を示しており、
図２は、本発明の１実施例による暗号鍵の形成および配布のメッセージフローを示すメッセージフロー図を示しており、
図３は、本発明の１実施例による暗号鍵の形成を示すブロック図を示している。
【００６７】
以下の実施例において図示を簡単にするために１つの移動無線端末装置、１つのホーム通信ネットワークならびに１つの訪問先の通信ネットワークだけが示されているとしても、本発明は、任意個の移動無線端末装置および通信ネットワークに適用可能である。
【００６８】
図１に示した移動無線システム１００は、ＵＭＴＳ標準リリース５にしたがって設けられている。
【００６９】
有利な実施例の移動無線システム１００は、ホーム通信ネットワーク１０１（Home Network）と、訪問先の通信ネットワーク１０２（Visited Network）と、移動無線端末装置１０３と、別の通信ネットワーク１０４，１０５にあるアプリケーションサーバコンピュータ１０６，１０７とを有する。
【００７０】
以下では本発明に関連し、ＵＭＴＳ標準リリース５にしたがう移動無線システム１００の要素だけを手短に説明する。
【００７１】
ホーム通信ネットワーク１０１にはＨＳＳ（Home Subscriber Server）コンピュータ１０８が設けられている。ＨＳＳコンピュータには、ホームネットワーク１０１に割り当てられた各移動無線端末装置１０３および移動端末装置１０３のユーザに特徴的なデータ、例えばユーザサービスプロフィールが記憶されている。
【００７２】
ＨＳＳコンピュータ１０８にはＳ−ＣＳＣＦコンピュータ（Serving Call State Control Function-Computer）１０９が第１通信コネクション１１０によって結合されている。
【００７３】
パケット交換も回線交換も共に含むすべての発呼管理は、ＣＳＣＦコンピュータによって制御される。ＣＳＣＦコンピュータの別のいくつかの役割は、清算の管理（課金）、アドレス管理、および専用にあらかじめ設定されたサービスおよびノードをトリガするためのトリガメカニズムを提供することである。
【００７４】
第２通信コネクション１１１によって、Ｉ−ＣＳＣＦコンピュータ（Interrogating-CSCF-Computer）１１２はＳ−ＣＳＣＦコンピュータ１０９に結合されている。ホーム通信ネットワーク１０１にあるＩ−ＣＳＣＦコンピュータ１１２には、責任のある各ＨＳＳ−コンピュータ１０８のＩＰ−アドレスが記憶されているため、ホーム通信ネットワーク１０１における移動無線端末装置１０３の認証の開始時には、認証を担当するＨＳＳ−コンピュータ１０８を求めることができる。Ｉ−ＣＳＣＦコンピュータ１１２は、図からわかるようにホーム通信ネットワーク１０１に対する、訪問先の通信ネットワーク１０２の「通信インタフェース」を形成する。
【００７５】
訪問先の通信ネットワーク１０２にはＰ−ＣＳＣＦコンピュータ（Proxy-CSCF Computer）１１３が設けられており、これは、訪問先の通信ネットワーク１０２に相応に設けられている基地局と一緒にエアーインタフェースを提供して、Ｐ−ＣＳＣＦコンピュータ１１３が割り当てられている領域にある移動無線端末装置１０３との無線コネクション１１４を確立する。
【００７６】
Ｐ−ＣＳＣＦコンピュータ１１３は、無線コネクションまたは固定網通信コネクション１１５を介し、任意個の別の通信ネットワークを介してホーム通信ネットワーク１０１のｌ−ＣＳＣＦコンピュータ１１２に接続されている。
【００７７】
さらにホーム通信ネットワーク１０１のＳ−ＣＳＣＦコンピュータ１０９には別の通信ネットワーク１０４，１０５のアプリケーションサーバコンピュータ１０６，１０７が結合されており、ここでこれはこの実施例によれば、別の無線コネクションまたは固定網通信コネクション１１６，１１７によって結合される。付加的な無線コネクションまたは固定網通信コネクション１１８，１１９により、アプリケーションサーバコンピュータ１０６，１０７は移動無線端末装置１０３に結合されている。
【００７８】
この実施例によれば、個々のコンピュータは１つずつのマイクロプロセッサと、１つまたは複数の記憶装置と、相応する通信インタフェースとを有しているため、個々のコンピュータと移動無線端末装置１０３との間で電子メッセージを交換することができる。
【００７９】
上記のコンピュータおよび移動無線端末装置１０３はさらに、以下に説明する方法ステップを実行でき、また以下に説明する電子メッセージを形成し、符号化ないしは復号化し、また送信ないしは受信できるように構成されている。
【００８０】
この実施例では電子メッセージを形成するため、少なくとも部分的にＳＩＰ（Session Initiation Protocol）を使用している。
【００８１】
移動無線端末装置１０３が、アプリケーションサーバコンピュータ１０６，１０７によって提供されるサービスを利用できるようにするために必要であるのは、移動無線端末装置１０３とホーム通信ネットワーク１０１との間で互いに認証を行って成功することである。
【００８２】
シグナリングの枠内および暗号化された電子メッセージの交換の枠内で使用される暗号鍵を形成および配布するためならびに認証するための方法のはじめには、図２のメッセージフロー線図２００に示したように移動無線端末装置１０３により、ＳＩＰレジストレーションメッセージ２０１がＰ−ＣＳＣＦコンピュータ１１３に送信される。ＳＩＰレジストレーションメッセージ２０１は、Ｐ−ＣＳＣFコンピュータ１１３によって受信された後、ＳＩＰレジストレーションメッセージ２０１を送信した移動無線端末装置１０３のホーム通信ネットワーク１０１のＩ−ＣＳＣＦコンピュータ１１２に転送される。Ｉ−ＣＳＣＦコンピュータ１１２も同様にＳＩＰレジストレーションメッセージ２０１を転送し、しかもホーム通信ネットワーク１０１の対応するＳ−ＣＳＣＦコンピュータ１０９に転送する。
【００８３】
ＳＩＰレジストレーションメッセージ２０１を受け取った後、Ｓ−ＣＳＣＦコンピュータ１０９によってチェックされるのは、ＳＩＰレジストレーションメッセージ２０１を送信した移動無線端末装置１０３がすでにＳ−ＣＳＣＦコンピュータ１０９に登録されているか否かである。登録されていない場合、Ｓ−ＣＳＣＦコンピュータ１０９は、第１通信コネクション１１０を介してＣｘ認証データ要求メッセージ２０２をＨＳＳコンピュータ１０８に送信し、このメッセージにより、Ｓ−ＣＳＣＦコンピュータ１０９は、ＨＳＳコンピュータ１０８において移動無線端末装置１０３に対し、新たな認証データを要求する。
【００８４】
ＨＳＳコンピュータ１０８ではＣｘ認証データ要求メッセージ２０２に応答して１つまたは複数の認証データの集合を以下に説明するように生成して、認証データメッセージ２０３においてＳ−ＣＳＣＦコンピュータ１０９に伝送する。
【００８５】
択一的な実施形態では認証データはＳ−ＣＳＣＦコンピュータ１０９それ自体によって生成される。
【００８６】
ＨＳＳコンピュータ１０８により、また択一的にはＨＳＳコンピュータ１０８に対応付けられている認証センタコンピュータのコンピュータにより、連続したシーケンス番号ＳＱＮ３０２が生成される（ステップ３０１）。
【００８７】
さらに付加的なステップ（ステップ３０３）において乱数ＲＡＮＤ３０４が形成される。
【００８８】
さらに、以下に説明する複数の演算に対する入力パラメタとして、あらかじめ設定されるいわゆるＡＭＦ（Authentication Management Field）３０５が使用される。
【００８９】
またＨＳＳコンピュータ１０８（択一的な実施形態ではＳ−ＣＳＣＦコンピュータ１０９）と移動無線端末装置１０３とだけにわかっている秘密の鍵Ｋ３０６が、以下に説明する演算の枠内で使用される。
【００９０】
この関連において指摘すべきであるのは、以下で説明する認証ベクトルＡＶの形成が、Ｓ−ＣＳＣＦコンピュータ１０９においてまたはホーム通信ネットワーク１０１の相当するネットワーク要素において行われ得ることであり、この場合に上に述べた量は、各計算ユニットにおいて利用可能である。
【００９１】
秘密鍵Ｋ３０６と、ＡＭＦ（Authentication Management Field）３０５と、シーケンス番号ＳＱＮ３０２と、乱数ＲＡＮＤ３０４とを使用し、例えば文献[３]および[４]に記載されている第１メッセージ認証関数ｆ１  ３０７により（３０７）、ＭＡＣ（Message Authentication Code）３０８が、つぎのルールにしたがって形成される。すなわち、
ＭＡＣ ＝  ｆ１Ｋ(ＳＱＮ｜ＲＡＮＤ｜ＡＭＦ)                      （１）
にしたがって形成される。
【００９２】
シンボル「｜」は、この説明の枠内ではこのシンボルの左ないしは右にある量の連結を（Konkatenation）表す。
【００９３】
以下で使用するメッセージ認証関数ｆ１およびｆ２ならびに鍵生成関数ｆ３，ｆ４，ｆ５は、文献[３]および[４]に記載されている。
【００９４】
第２メッセージ認証関数ｆ２  ３０９により、秘密鍵Ｋ３０６および乱数ＲＡＮＤ３０４が使用されて、期待していた応答値ＸＲＥＳ  ３１０が形成される。すなわち、
ＸＲＥＳ ＝ ｆ２Ｋ(ＲＡＮＤ)                                    （２）
である。
【００９５】
第１鍵生成関数ｆ３  ３１１により、秘密鍵Ｋ３０６および乱数ＲＡＮＤ３０４が使用されて、トランスファーキーＣＫ３１２が以下のルールにしたがって形成される。すなわち、
ＣＫ ＝ ｆ３Ｋ(ＲＡＮＤ)                                        （３）
である。
【００９６】
さらに第２鍵生成関数ｆ４  ３１３を使用し、また秘密鍵Ｋ３０６および乱数ＲＡＮＤ３０４を使用して、インテグリティキーＩＫ  ３１４が以下のルールにしたがって形成される。すなわち、
ＩＫ ＝ ｆ４Ｋ(ＲＡＮＤ)                                        （４）
である。
【００９７】
第３鍵生成関数ｆ５  ３１５により、ここでも秘密鍵Ｋ  ３０６および乱数ＲＡＮＤ３０４が使用されて、匿名鍵（Anonymitaetsschluessel）ＡＫ３１６が以下のルールにしたがって計算される。すなわち、
ＡＫ ＝ ｆ５Ｋ(ＲＡＮＤ)                                        （５）
である。
【００９８】
さらにＨＳＳコンピュータ１０８により、認証トークンＡＵＴＮ３２０が以下のルールにしたがって形成される。すなわち、
【００９９】
【数１】
2006518121.tif 000003
である。
【０１００】
上で説明した計算値、すなわち認証トークンＡＵＴＮと、期待していた応答値ＸＲＥＳ３１０と、トランスファーキーＣＫ３１２と、インテグリティキーＩＫ３１４とはＳ−ＣＳＣＦコンピュータ１０９に伝送される。
【０１０１】
本発明ではＳ−ＣＳＣＦコンピュータ１０９において鍵導出関数ｆ  ３１７を使用してトランスファーキーＣＫ３１２から、またつぎに説明する入力パラメタ３１８を使用して第１の導出鍵ＣＫ１  ３１９を以下のように形成する。
【０１０２】
本発明の第１実施例では鍵導出関数ｆ ３１７として擬似乱数関数ＰＲＦを使用する。これは例えばHMAC-SHA1方式に基づく。鍵導出関数ｆ３１７は実質的に文献[６]の５．５節に詳述された鍵導出法にしたがって構成される。
【０１０３】
これにより、第１導出鍵ＣＫ１は、つぎのルールにしたがって形成される。すなわち、
ＣＫ１ ＝ ｆK(ＣＫ｜Ｐａｒ１｜random)                      （７）
にしたがって形成され、ここで入力パラメタＰａｒ１はオプションであり、randomは、有利な乱数素材、例えば、つぎのルールにしたがって形成される。すなわち、
random ＝ ＲＡＮＤ｜ＡＵＴＮ｜ＸＲＥＳ                      （８）
であり、ＲＡＮＤ｜ＡＵＴＮは、文献[１]による認証方式の間に、以下に説明する認証要求メッセージ２０４として移動無線装置１０３に伝送される。
【０１０４】
移動無線端末装置１０３は、乱数値randomを形成するため、期待される応答値ＸＲＥＳの代わりに、これによって形成される応答値ＲＥＳを使用する。
【０１０５】
値ＲＥＳから導出される値は、以下に説明する方法の枠内では、文献[１]にしたがい、移動端末装置１０３により、認証応答としてＳ−ＣＳＣＦコンピュータ１０９に伝送される。
【０１０６】
この関連で指摘すべきであるのは、導出暗号鍵の形成がＳ−ＣＳＣＦコンピュータ１０９において、またはホーム通信ネットワーク１０１の相当する有利なネットワーク要素において行い得ることとである。
【０１０７】
さらにＳ−ＣＳＣＦコンピュータ１０９により、以下のルールにしたがって、要求される認証ベクトルＡＶ３２１が形成される。すなわち、
ＡＶ ＝ ＲＡＮＤ｜ＸＲＥＳ｜ＣＫ１｜ＩＫ｜ＡＵＴＮ              （９）
にしたがって形成される。
【０１０８】
Ｓ−ＣＳＣＦコンピュータ１０９により、ＳＩＰ認証要求メッセージ２０４がＩ−ＣＳＣＦコンピュータ１１２に伝送され、またＩ−ＣＳＣＦコンピュータ１１２により、訪問先の通信ネットワーク１０２のＰ−ＣＳＣＦコンピュータ１１３に転送される。ＳＩＰ認証要求メッセージ２０４には乱数ＲＡＮＤ３０６と、認証トークン３２０と、インテグリティキーＩＫとが含まれている。文献[１]による認証方式とは異なり、本発明ではトランスファーキーＣＫが含まれておらず、ひいてはユーザの訪問先の通信ネットワークのＰ−ＣＳＣＦコンピュータにも伝送されない。その代わりにＳＩＰ認証要求メッセージ２０４には第１導出鍵ＣＫ１が含まれている。
【０１０９】
移動無線端末装置１０３ではメッセージ認証関数ｆ１およびｆ２ならびに鍵生成関数ｆ３，ｆ４およびｆ５を使用して、上で説明した量が同様に形成され、またこれが訪問先の通信ネットワーク１０２の認証に使用される。このために関数ｆ１，ｆ２，ｆ３，ｆ４およびｆ５は移動無線端末装置１０３にも実装されている。
【０１１０】
当然のことながらさらに移動無線端末装置１０３は、秘密鍵Ｋおよび乱数ＲＡＮＤ３０６を有している。また以下で説明するパラメタＰａｒｉに付加的なデータも移動無線端末装置１０３に利用可能であり、これによって鍵導出関数３１７を使用して導出鍵を形成する。
【０１１１】
認証要求メッセージ２０４を転送する前にＰ−ＣＳＣＦコンピュータ１１３は、インテグリティキーＩＫ３１４ならびに第１導出鍵ＣＫ１を記憶し、これらを認証要求メッセージ２０４から取り除き、短くした認証要求メッセージ２０５を移動端末装置１０３に伝送する。
【０１１２】
これによってインテグリティキーＩＫ３１４は、Ｐ−ＣＳＣＦコンピュータ１１３において利用可能であるが、移動無線端末装置１０３では利用できない。
【０１１３】
移動無線端末装置１０３では、秘密鍵Ｋ３０６と、移動無線端末装置１０３で使用可能な乱数ＲＡＮＤ３０４とを使用し、第５および第３鍵生成関数ｆ５  ３１５を使用して匿名鍵ＡＫ３１６が形成される。
【０１１４】
認証トークン３２０の第１フィールドを使用して、この第１フィールドの内容
【０１１５】
【数２】
2006518121.tif 000004
を形成し、匿名鍵ＡＫ３１６との排他ＯＲ結合を形成する。結果として移動無線端末装置１０３はシーケンス番号ＳＱＮ３０２を得る。
【０１１６】
このシーケンス番号と、認証トークン３２０に含まれているＡＭＦ（Authentication Management Field）３０５と、乱数ＲＡＮＤ３０４と、秘密鍵Ｋ３０６と、第１メッセージ認証関数ｆ１  ３０７とを使用して、端末装置メッセージ認証コード（Message Authentication code）が形成され、認証トークン３２０に含まれているＭＡＣ（Message Authentication Code）３０８と比較される。
【０１１７】
これらの２つの値が互いに一致する場合、移動無線端末装置１０３に対するホーム通信ネットワーク１０２の認証は成功であり、移動無線端末装置１０３は、乱数ＲＡＮＤ３０４と、秘密鍵Ｋ３０６と、第２メッセージ認証関数ｆ２  ３０９とを使用して応答値ＲＥＳを計算し、ＲＥＳから導出される応答値をＳＩＰ認証応答メッセージ２０６においてＰ−ＣＳＣＦコンピュータ１１３に送信する。これは文献[１]に記載されている通りである。
【０１１８】
ここで指摘すべきであるのは、移動無線端末装置１０３がさらに第１鍵生成関数ｆ３  ３１１と秘密鍵Ｋ３０６とを使用してトランスファーキー３１２を計算し、ならびに第２鍵生成関数ｆ４  ３１３と秘密鍵Ｋ３０６とを使用したインテグリティキーＩＫ３１４を計算することである。
【０１１９】
認証応答メッセージ２０６は、Ｐ−ＣＳＣＦコンピュータ１１３によってＩ−ＣＳＣＦコンピュータ１１２に、またこのコンピュータによってＳ−ＣＳＣＦコンピュータ１０９に転送される。
【０１２０】
Ｓ−ＣＳＣＦコンピュータ１０９またはＨＳＳコンピュータ１０８は、ＲＥＳから導出される応答値をチェックする。ここでこれはこの応答値と、期待される応答ＸＲＥＳから同様に導出される値とを比較することによって行われる。これらの２つの値が一致する場合、Ｓ−ＣＳＣＦコンピュータ１０９に対する移動端末装置１０３の認証は成功である。
【０１２１】
移動無線端末装置１０３においてもルール（８）にしたがって値randomを形成することができ、引き続いて第１導出鍵ＣＫ１をルール（７）にしたがって形成することができる。
【０１２２】
認証確認メッセージ２０７は、Ｓ−ＣＳＣＦコンピュータ１０９によってＩ−ＣＳＣＦコンピュータ１１２に伝送され、このコンピュータによってＰ−ＣＳＣＦコンピュータ１１３に転送される。
【０１２３】
認証確認メッセージ２０８は、移動無線端末装置１０３に転送されて、相互の認証が成功したことが確認される。
【０１２４】
さらにＳ−ＣＳＣＦコンピュータ１０９により、新たに鍵導出関数ｆ３１７が使用されて、またオプションで付加的な入力パラメタＰａｒ２が使用されて、第２導出鍵ＣＫ２  ３２２が以下のルールにしたがって形成される。すなわち、
ＣＫ２ ＝ ｆＫ(ＣＫ，ＣＫ１｜Ｐａｒ２｜random)          （１０）
にしたがって形成される。
【０１２５】
第２導出鍵ＣＫ２  ３２２は、鍵メッセージ２０９においてアプリケーションサーバコンピュータ１０６に伝送される。このアプリケーションサーバコンピュータは、以降の暗号化の枠内で第２導出鍵ＣＫ２  ３２２を使用する。
【０１２６】
移動無線端末装置１０３では、Ｓ−ＣＳＣＦコンピュータ１０９におけるのと同様に第２導出鍵ＣＫ２  ３２２が形成される。
【０１２７】
付加的なアプリケーションサーバコンピュータとの通信の枠内で付加的な鍵素材、すなわち付加的な導出鍵が必要な場合、付加的な導出鍵ＣＫｉ（ｉ ＝ １，…，ｎ，ここでｎは形成される導出鍵の個数を表す）３２３，３２４が、また基本的には任意個の付加的な導出鍵が、以下のルールによって形成され、また各アプリケーションサーバコンピュータに伝送される。すなわち、
ＣＫｉ ＝ ｆＫ(ＣＫ，ＣＫｉ｜Ｐａｒｉ｜random)          （１１）
にしたがって形成され、伝送されるのである。
【０１２８】
この場合、Ｐａｒｉ（ｉ ＝ １，…，ｎ）は識別子、例えば各アプリケーションサーバコンピュータ１０６，１０７のＩＰ−アドレスを表すことが可能である。
【０１２９】
さらに各パラメタＰａｒｉは、鍵の使用についての別の情報を含むことができる。例えば、暗号化またはインテグリティ保護に対する使用についての情報、（移動無線端末装置１０３を離れる、または移動無線端末装置１０３に向かう）メッセージフローの方向についての情報を含むことができ、ここではこの情報に対して鍵を使用する。
【０１３０】
インテグリティキーＩＫ３１４およびトランスファーキーＣＫ３１２が、移動無線端末装置１０３およびS−ＣＳＣＦコンピュータ１０９において利用可能になった後、すべての保護されるアプリケーションに対して所要の暗号鍵が得られるまで、鍵導出関数ｆ３１７を何度も実行する。これは上記のように移動無線端末装置１０３においても、S−ＣＳＣＦコンピュータ１０９においても共に行われる。
【０１３１】
引き続いて導出鍵は、例えば、（第１導出鍵ＣＫ１  ３１８の）Ｐ−ＣＳＣＦコンピュータ１１３によってＩＭＳメッセージそれ自体を保護するために使用され、また別の導出鍵３２２，３２３，３２４は、保護されるべき各アプリケーションに提供されるかないしはこれに適切に使用される。
【０１３２】
択一的には、個々に生成した導出鍵ＣＫ１，ＣＫ２，ＣＫｉ，ＣＫｎ  ３１８，３２２，３２４を連結することによって鍵シーケンスを生成することができる。このようにすることは、導出鍵の長さが、使用されるセキュア方式の要求に相応しない場合、または例えば１アプリケーションに対して２つの単一方向の鍵が必要な場合に有利である。
【０１３３】
この場合、以下のルールにしたがって導出鍵が得られる。すなわち、
KEYMAT ＝ ＣＫ１｜ＣＫ２｜…｜ＣＫｉ｜…                  （１２）
にしたがって導出鍵が得られる。
【０１３４】
つぎにこの鍵シーケンスKEYMATから、左からはじめて順次に相異なるアプリケーションに必要な暗号鍵が取り出される。
【０１３５】
以下では導出鍵３１８，３２２，３２３，３２４を形成するための択一的な実施例を示す。
【０１３６】
以下の実施例は、文献[３]および[４]に記載されたMILENAGE方式に類似している。
【０１３７】
randomを例えばルール（８）にしたがって形成される適切な乱数素材とする。乱数値randomを形成するため、上記の実施例による方法を使用する。ここではさらに、ｉ＝１，２，…，ｎに対し、ＡＳｉ−ＩＤによって、識別子、例えばアプリケーションサーバコンピュータＡＳｉのＩＰ−アドレスを表すとする。ｈを例えばＳＨＡ−１のようなハッシュ関数とする。Ｅで、それぞれ１２８ビット長の入力値、出力値、および鍵を有する有利なブロック暗号符号化関数を表す。入力値がｘの場合、鍵はｋであり、出力値はｙである。したがって出力値ｙは以下のルールにしたがって求められる。すなわち、
ｙ ＝ Ｅ[ｘ]ｋ                                            （１３）
にしたがって求められる。
【０１３８】
有利なブロック暗号符号化関数の例は、いわゆるRijndael法であり、例えば文献[４]に記載されている。
【０１３９】
１２８ビット値ｘｉは、アプリケーションサーバコンピュータ識別子およびトランスファーキーＣＫ  ３１２からつぎのルール
【０１４０】
【数３】
2006518121.tif 000005
にしたがって導出される。
【０１４１】
１２８ビット長の中間値ＴＥＭＰはつぎのルール
【０１４２】
【数４】
2006518121.tif 000006
にしたがって計算される。
【０１４３】
各導出鍵ＣＫｉは、つぎのように計算される。すなわち、
【０１４４】
【数５】
2006518121.tif 000007
のように計算され、ここでｒおよびｃは、あらかじめ設定可能な有利な定数であり、これは例えば文献[４]に記載されている。
【０１４５】
同様に文献[４]に示されているように、本発明により可能であるのは、別の定数ｒおよびｃを適切に選択することにより、同じアプリケーションサーバコンピュータに対して別のＣＫｉ(ｒ，ｃ)を導出することである。
【０１４６】
ＲＳＡ  ＰＫＣＳ＃５による鍵導出法に依拠する、本発明の択一的な実施例によれば、ここでも乱数値randomが使用され、ここでこれは第１実施例によるのと同じように求められる。
【０１４７】
ここでも第２実施例によるのと同じようにｉ＝１，２，…，ｎに対し、ＡＳｉ−ＩＤは、アプリケーションサーバコンピュータＡＳｉの識別子とする。またｈは例えばＳＨＡ１のようなハッシュ関数であり、ＰＲＦによって擬似乱数関数を表す。
【０１４８】
ここでは以下の値を計算する。すなわち、
ｘ０ ＝  ｈ("Ｐ−ＣＳＣＦコンピュータに対する暗号鍵")              （１７）
ｉ ＝ １，…，ｎに対してｘｉ ＝  ｈ(ＡＳｉ−ＩＤ)                  （１８）
を計算する。
【０１４９】
続いて導出鍵ＣＫｉを以下のルールにしたがい、ｉ ＝ ０，１，２，…，ｎに対して計算する。すなわち、
ＣＫｉ ＝ Ｆ(ＣＫ，random，ｃ，ｉ)
＝ Ｕ１(ｉ)＼XOR Ｕ２(ｉ)＼XOR…＼XOR Ｕｃ(ｉ)            （１９）
にしたがって計算する。
【０１５０】
ここでｃは、有利にあらかじめ設定可能な整数であり、
Ｕ１(ｉ) ＝ ＰＲＦ（ＣＫ，random｜ｘｉ)                              （２０）
Ｕ２(ｉ) ＝ ＰＲＦ（ＣＫ，Ｕ１(ｉ))                                    （２１）
…
Ｕｃ(ｉ) ＝ ＰＲＦ（ＣＫ，Ｕｃ−１(ｉ))                                  （２２）
である。
【０１５１】
別の択一的な実施例では、第１実施例および第２実施例によるやり方をつぎのような意味で互いに組み合わせる。
【０１５２】
ここではまず、第２実施例に示したように導出鍵ＣＫｉをアプリケーションサーバコンピュータＡＳｉに対して計算する。引き続き、第１実施例によるやり方を適用して、別の鍵素材をアプリケーションサーバコンピュータＡＳｉに対して得る。ここでこれは、第１実施例のトランスファーキーＣＫ３１２を、第２実施例による方法によって得られた各導出鍵ＣＫｉによって置き換えることによって行われる。
【０１５３】
この場合、付加的な導出鍵に対して
ＣＫｉ１ ＝ ｆ(ＣＫｉ，random)                          （２３）
ＣＫｉ２ ＝ ｆ(ＣＫｉ，ＣＫｉ1｜random)                  （２４）
ＣＫｉ３ ＝ ｆ(ＣＫｉ，ＣＫｉ２｜random)                  （２５）
等々が得られる。
【０１５４】
これですべてが得られ、所要のアプリケーションの枠内でも、移動無線端末装置１０３においても、Ｐ−ＣＳＣＦコンピュータ１１３においても、ならびにアプリケーションサーバコンピュータ１０６，１０７においても各メッセージが暗号化される。その際にＰ−ＣＳＣＦコンピュータ１１３は、アプリケーションサーバコンピュータ１０６，１０７の導出鍵ＣＫｉ３１８，３２２，３２３，３２４を推論することができず、また逆にアプリケーションサーバコンピュータ１０６，１０７はＰ−ＣＳＣＦコンピュータ１１３に記憶されて使用される鍵素材を推論することができない。
【０１５５】
つぎに導出鍵３１８，３２２，３２３，３２４を使用することにより、伝送すべき有効データの暗号化を行う。
【０１５６】
この明細書では以下の刊行物を引用した。
[１] 3GPP TS 33.203 V5.3.0 - Technical Specification, 3rd Generation Partnership Project, Technical Specification Group Services and System Aspects, 3G Security, Access security for IP-based services (Release 5)
[２] G. Horn, D. Kroeselberg, K. Mueller: Security for IP multimedia services in the 3GPP third generation mobile system, Proceeding of the Third International Networking Conference INC'2002, p.503-512, Plymouth, UK, 16.-18. July 2002
[３] 3GPP TS 35.205 V5.0.0 - Technical Specification, 3rd Generation Partnership Project, Technical Specification Group Services and System Aspects, 3G Security, Specification of the MILENAGE Algorithm Set: An example algorithm set for the 3GPP authentication and key generation function f1, f1*, f2, f3, f4, f5 and f5*, Document 1: General (Release 5)
[４] 3GPP TS 35.206 V5.0.0 - Technical Specification, 3rd Generation Partnership Project, Technical Specification Group Services and System Aspects, 3G Security, Specification of the MILENAGE Algorithm Set: An example algorithm set for the 3GPP authentication and key generation function f1, f1*, f2, f3, f4, f5 and f5*, Document 2: Algorithm Specification (Release 5)
[５] IST-2000-25350 - SHAMAN, D13 - WP1 contribution, Final technical report comprising the complete technical results, specification and conclusion, Chapter 4.7, p.114 - 122, November 2002
[６] D. Harkins and D. Carrel, The Internet Key Exchange (IKE), RFC 2409, p.17 - 19, November 1998
【図面の簡単な説明】
【０１５７】
【図１】本発明の１実施例による移動無線システムのブロック図である。
【図２】本発明の１実施例による暗号鍵の形成および配布のメッセージフロー図である。
【図３】本発明の１実施例による暗号鍵の形成を示すブロック図である。
【図１】
2006518121.tif 000008
【図２】
2006518121.tif 000009
【図３】
2006518121.tif 000010
【手続補正書】
【提出日】平成17年5月19日(2005.5.19)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
移動無線システム（１００）における暗号鍵（３１８，３２２）を形成および配布する方法であって、
該移動無線システムは、少なくとも１つの移動無線端末装置（１０３）と、第１コンピュータ（１１３）と、ホーム通信ネットワークのコンピュータ（１０９）と、第２コンピュータ（１０６，１０７）とを有しており、
前記の移動無線端末装置（１０３）およびホーム通信ネットワークのコンピュータ（１０９）は認証の結果として、認証鍵素材（３１２，３１４）を含んでいる形式の、暗号鍵を形成および配布する方法において、
・  前記の移動無線端末装置（１０３）およびホーム通信ネットワークのコンピュータ（１０９）によってそれぞれ認証鍵素材（３１２）を使用して、第１暗号鍵（３１８）および第２暗号鍵（３２２）を形成し、
・  第１暗号鍵（３１８）を第１コンピュータ（１１３）に伝送し、
・  第２暗号鍵（３２２）を第２コンピュータ（１０６）に伝送し、
第１暗号鍵（３１８）および第２暗号鍵（３２２）を形成して、
・  第１暗号鍵（３１８）から第２暗号鍵（３２２）を推論することができない、
・  第２暗号鍵（３２２）から第１暗号鍵（３１８）を推論することができない、
・  第１暗号鍵（３１８）または第２暗号鍵（３２２）から前記の認証鍵素材（３１２，３１４）を推論することができないようにすることを特徴とする、
暗号鍵を形成および配布する方法。
【請求項２】
・  前記の第１コンピュータ（１１３）は訪問先の通信ネットワークのコンピュータであり、ここで前記移動無線端末装置（１０３）は当該の訪問先の通信ネットワーク（１０２）にあり、
・  前記の第２コンピュータは、アプリケーションサーバコンピュータ（１０６，１０７）である、
請求項１に記載の方法。
【請求項３】
・  前記第１コンピュータ（１１３）は、第１のアプリケーションサーバコンピュータ（１０６）であり、
・  前記第２コンピュータは、第２のアプリケーションサーバコンピュータ（１０７）である、
請求項１に記載の方法。
【請求項４】
少なくとも１つの鍵導出関数（３１７）を使用して前記の第１暗号鍵（３１８）および第２暗号鍵（３２２）を形成する、
請求項１から３までのいずれか１項に記載の方法。
【請求項５】
前記認証鍵素材（３１２，３１４）は少なくとも２つの暗号鍵を有する、
請求項１から４までのいずれか１項に記載の方法。
【請求項６】
前記移動無線システム（１００）は、３ＧＰＰ標準ベースの移動無線システムとして構成されている、
請求項１から５までのいずれか１項に記載の方法。
【請求項７】
前記移動無線システム（１００）は、ＩＰマルチメディアサブシステムを有する、
請求項６に記載の方法。
【請求項８】
前記認証鍵素材（３１２，３１４）は、インテグリティキー（３１４）およびトランスファーキー（３１２）を有する、
請求項１から７までのいずれか１項に記載の方法。
【請求項９】
前記の第１暗号鍵（３１８）および第２暗号鍵（３２２）をトランスファーキー（３１２）から導出する、
請求項８に記載の方法。
【請求項１０】
前記の移動無線端末装置（１０３）およびホーム通信ネットワークのコンピュータ（１０９）により、付加的なアプリケーションサーバコンピュータ（１０７）に対してそれぞれ認証鍵素材（３１２，３１４）を使用して、付加的な暗号鍵（３２３，３２４）を形成し、
各アプリケーションサーバコンピュータ（１０７）に伝送する、
請求項１から９までのいずれか１項に記載の方法。
【請求項１１】
前記の暗号鍵（３１８，３２２，３２３，３２４）を形成するため、同じ鍵導出関数を使用する、
請求項１から１０までのいずれか１項に記載の方法。
【請求項１２】
前記の暗号鍵（３１８，３２２，３２３，３２４）を形成するため、前記鍵導出関数（３１７）に対して相異なる付加的な入力パラメタ（３１９）を使用する、
請求項１から１１までのいずれか１項に記載の方法。
【請求項１３】
前記の鍵導出関数（３１７）に対する付加的な入力パラメタ（３１９）として、認証の枠内で形成されたパラメタを使用する、
請求項１２に記載の方法。
【請求項１４】
前記の鍵導出関数に対する付加的なパラメタとして、あらかじめ形成した暗号鍵（３１８，３２２，３２３，３２４）のうちの少なくとも１つを使用する、
請求項１３に記載の方法。
【請求項１５】
移動無線システム（１００）であって、
・  認証の結果として認証鍵素材（３１２，３１４）が記憶されている少なくとも１つの移動無線端末装置（１０３）と、
・  第１コンピュータ（１１３）と、
・  認証の結果として認証鍵素材（３１２，３１４）が記憶されている、ホーム通信ネットワークのコンピュータ（１０９）と、
・  少なくとも１つの第２コンピュータ（１０６，１０７）とを有している形式の移動無線システムにおいて、
・  前記の移動無線端末装置（１０３）およびホーム通信ネットワークのコンピュータ（１０９）はそれぞれ暗号化ユニットを有しており、これによって前記認証鍵素材（３１２，３１４）が使用されて、第１暗号鍵（３１８）および第２暗号鍵（３２２）が形成され、
前記の第１暗号鍵（３１８）および第２暗号鍵（３２２）が、
・  第１暗号鍵（３１８）から第２暗号鍵（３２２）を推論することができない、
・  第２暗号鍵（３２２）から第１暗号鍵（３１８）を推論することができない、
・  第１暗号鍵（３１８）または第２暗号鍵（３２２）から前記認証鍵素材（３１２，３１４）を推論することができないように形成され、
・  第１コンピュータ（１１３）は、第１暗号鍵（３１８）を記憶するための記憶装置を有し、
・  第２コンピュータ（１０６，１０７）は、第２暗号鍵（３２２）を記憶するための記憶装置を有することを特徴とする、
移動無線システム（１００）。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００２９
【補正方法】変更
【補正の内容】
【００２９】
別の鍵導出法は文献[６]に記載されている。
EP 1 156 694 A1から移動通信装置ならびに移動通信の方法が公知であり、この方法により、移動装置は、第２層以上のデータ伝送レイヤにおいて暗号化ならびにインテグリティ機能を保証することが可能である。このために移動端末装置は、暗号化ないしはインテグリティ処理ユニットを有しており、これは無線通信制御ユニットと接続ユニットとの間に接続されている。ここで上記の暗号化インテグリティ処理ユニットは、接続ユニットと無線通信ユニットとの間で伝送される例えば音声データのようないわゆるトランスペアレントデータに対して暗号化処理だけを行う。また上記の暗号化インテグリティ処理ユニットは、無線通信制御装置にまたこの無線通信制御装置から伝送されるトランスペアレントでないデータに暗号化および／またはインテグリティ処理を行う。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００４１
【補正方法】変更
【補正の内容】
【００４１】
本発明によれば、第１暗号鍵および第２暗号鍵がつぎのように形成する。すなわち、
・  第１暗号鍵から第２暗号鍵を推論することができない
・  第２暗号鍵から第１暗号鍵を推論することができない
・  第１暗号鍵または第２暗号鍵から認証鍵素材を推論することができない
ように形成する。


【国際調査報告】
2006518121.tif 000011
2006518121.tif 000012
2006518121.tif 000013
2006518121.tif 000014
2006518121.tif 000015
2006518121.tif 000016