(57)【要約】ＰＬＭＮネットワーク（２０）と私用ネットワーク（１５）とを内部接続するＷＡＰゲートウェイ（３０）が開示される。ＷＡＰゲートウェイ（３０）は移動体端末（１０）からの要求を受信し、その要求に応答してＷＡＰプロトコルスタックのＷＤＰレイヤ（４５）にアクセスする。そのプロトコルスタックのＷＤＰレイヤ（４５）とそのプロトコルスタックの少なくとも第２のレイヤとの間の通信が、ＳＳＬ／ＴＬＳトンネリング（７０）を用いて発生する。
2004507977.tif 000002
【特許請求の範囲】
【請求項１】
移動体端末からの要求をＷＡＰゲートウェイで受信する工程と、
前記移動体端末からの前記要求に応答して、プロトコルスタックのＷＤＰレイヤだけにアクセスする工程と、
前記プロトコルスタックのＷＤＰレイヤと前記プロトコルスタックの少なくとも第２のレイヤとの間で、暗号化された通信チャネルを用いて通信する工程とを有することを特徴とする方法。
【請求項２】
前記アクセスする工程は、さらに、ファイヤウォールの第１の側に位置する前記ＷＤＰレイヤにアクセスする工程を有することを特徴とする請求項１に記載の方法。
【請求項３】
前記通信する工程は、さらに、前記ファイヤウォールの第１の側の前記ＷＤＰレイヤと前記ファイヤウォールの第２の側の前記プロトコルスタックの前記レイヤとの間で、暗号化された通信チャネルを用いて通信する工程を有することを特徴とする請求項２に記載の方法。
【請求項４】
前記アクセスする工程は、さらに、
前記要求が前記移動体端末から前記ゲートウェイへの最初の要求を有しているかどうかを判断する工程と、
前記要求が前記移動体端末からサーバへの前記最初の要求であるなら、前記移動体端末からの認証を要求する工程とを有することを特徴とする請求項１に記載の方法。
【請求項５】
前記要求が前記移動局からの後続する要求であるなら、前記ＷＤＰレイヤにアクセスして認証なしに前記プロトコルスタックの前記第２のレイヤとの通信を行うことを特徴とする請求項４に記載の方法。
【請求項６】
前記要求する工程は、ＷＭＬデッキを前記移動体端末に返却することを含むことを特徴とする請求項４に記載の方法。
【請求項７】
前記アクセスする工程は、さらに、前記移動体端末によって提供されるログインデータを承認することを含むことを特徴とする請求項４に記載の方法。
【請求項８】
前記第２のレイヤは、前記プロトコルスタックのＷＳＰレイヤを有していることを特徴とする請求項１に記載の方法。
【請求項９】
前記暗号化された通信チャネルは、ＳＳＬ／ＴＬＳトンネルであることを特徴とする請求項１に記載の方法。
【請求項１０】
ＰＬＭＮネットワークへの第１の接続と、
第２の私用ネットワークへの第２の接続と、
ＷＡＰプロトコルスタックの第１の部分を含む、前記第１の接続に関連した第１の段階のプロキシと、
前記ＷＡＰプロトコルスタックの第２の部分を含む、前記第２の接続に関連した第２の段階のプロキシとを有し、
前記ＷＡＰプロトコルスタックの前記第１及び第２の部分は、暗号化された通信チャネルを用いて通信しても良いことを特徴とするＷＡＰゲートウェイ。
【請求項１１】
前記ＷＡＰプロトコルスタックの前記第１の部分は、ＷＤＰレイヤを有することを特徴とする請求項１０に記載のＷＡＰゲートウェイ。
【請求項１２】
前記ＷＡＰプロトコルスタックの前記第２の部分は、ＷＳＰレイヤを有することを特徴とする請求項１０に記載のＷＡＰゲートウェイ。
【請求項１３】
前記ＷＡＰプロトコルスタックの前記第１の部分は、前記第２の私用ネットワークに関連したファイヤウォールの第１の側にあり、
前記ＷＡＰプロトコルスタックの前記第２の部分は、前記第２の私用ネットワークに関連したファイヤウォールの第２の側にあることを特徴とする請求項１０に記載のＷＡＰゲートウェイ。
【請求項１４】
前記ＷＡＰプロトコルスタックの前記第１の部分は、移動体端末からの最初の要求に応答して、前記移動体端末に認証要求を送信することを特徴とする請求項１０に記載のＷＡＰゲートウェイ。
【請求項１５】
前記認証要求はＷＭＬデッキを有することを特徴とする請求項１４に記載のＷＡＰゲートウェイ。
【請求項１６】
前記ＷＡＰプロトコルスタックの前記第１の部分は、前記認証要求に応答して前記移動体端末から受信されるログインデータを承認することを特徴とする請求項１４に記載のＷＡＰゲートウェイ。
【請求項１７】
前記暗号化された通信チャネルはＳＳＬ／ＴＬＳトンネルであることを特徴とする請求項１０に記載のＷＡＰゲートウェイ。
【請求項１８】
ＰＬＭＮネットワークへの第１の接続と、
第２の私用ネットワークへの第２の接続と、
ＷＡＰプロトコルスタックのＷＤＰレイヤを含む、前記第１の接続に関連し、前記第２の私用ネットワークに関連したファイヤウォールの第１の側にある第１の段階のプロキシと、
前記ＷＡＰプロトコルスタックのＷＳＰレイヤを含む、前記第２の接続に関連し、前記第２の私用ネットワークに関連した前記ファイヤウォールの第２の側にある第２の段階のプロキシとを有し、
前記ＷＡＰプロトコルスタックの前記ＷＤＰレイヤ及び前記ＷＳＰレイヤは、暗号化された通信チャネルを用いて通信しても良いことを特徴とするＷＡＰゲートウェイ。
【請求項１９】
前記ＷＤＰレイヤは、移動体端末からの最初の要求に応じて、前記移動体端末にＷＭＬデッキを送信することを特徴とする請求項１８に記載のＷＡＰゲートウェイ。
【請求項２０】
前記ＷＤＰレイヤは、前記ＷＭＬデッキに応答して、前記移動体端末から受信されるログインデータを承認することを特徴とする請求項１９に記載のＷＡＰゲートウェイ。
【請求項２１】
前記暗号化された通信チャネルはＳＳＬ／ＴＬＳトンネルであることを特徴とする請求項１８に記載のＷＡＰゲートウェイ。
【請求項２２】
ＰＬＭＮネットワークへの第１の接続と、
第２の私用ネットワークへの第２の接続と、
移動体インターネットプロトコルスタックの第１の部分を含む、前記第１の接続に関連した第１の段階のプロキシと、
前記移動体インターネットプロトコルスタックの第２の部分を含む、前記第２の接続に関連した第２の段階のプロキシとを有し、
前記移動体インターネットプロトコルスタックの前記第１の部分及び前記第２の部分は、暗号化された通信チャネルを用いて通信しても良いことを特徴とする移動体インターネットゲートウェイ。
【請求項２３】
移動体端末からの要求を移動体インターネットゲートウェイで受信する工程と、
前記移動体端末からの前記要求に応答して、プロトコルスタックのトランスポートレイヤのプロトコルだけにアクセスする工程と、
前記要求が前記移動体端末からの最初の要求を有しているかどうかを判断する工程と、
もし、前記要求が最初の要求であれば、前記移動体端末からの認証を要求する工程と、
前記移動体端末からの認証データに応答して、前記トランスポートレイヤのプロトコルを用いて前記移動体端末を認証する工程と、
前記要求が最初の要求を有していないという判断、或いは、前記移動体端末の認証に応答して、前記プロトコルスタックの前記トランスポートレイヤのプロトコルと前記プロトコルスタックの少なくとも第２のレイヤとの間で、暗号化された通信チャネルを用いて通信する工程とを有することを特徴とする方法。
【請求項２４】
前記要求が前記移動局からの後続する要求であるなら、前記要求が最初の要求を有していないという判断、或いは、前記移動体端末の認証に応答して、前記プロトコルスタックの前記トランスポートレイヤのプロトコルと前記プロトコルスタックの少なくとも第２のレイヤとの間で、暗号化された通信チャネルを用いて通信を行う工程をさらに有することを特徴とする請求項２３に記載の方法。
【発明の詳細な説明】
【０００１】
発　明　の　背　景
発明の技術分野
本発明は移動体端末とＷＡＰゲートウェイとの間におけるＷＡＰセションに関するものであり、特に、ＷＡＰゲートウェイにおけるプロトコルレイヤの編成に関するものである。
【０００２】
関連技術の説明
ラップトップ・コンピュータ、移動体電話などのような移動体端末によってアクセス可能な会社のユーザ用の仮想的な私用ネットワークを構築するときに、実際にその会社のネットワークへのアクセス権をユーザに与えるのに先立ち、無線アプリケーションプロトコル（ＷＡＰ）を介してそのネットワークにアクセスする移動体端末のユーザの認証を可能にする所謂“区切られたゾーン（ｄｅｌｉｍｉｔａｒｉｚｅｄ ｚｏｎｅ）”を構築するのに標準化された方法はない。インターネットでは、要求／応答、或いは要求機構（チャレンジ・メカニズム）が、通常はポイント−ツウ−ポイントのプロトコル（ＰＰＰ）或いはリモート・アクセス・サーバがアクセスを行ったユーザに自分のユーザ名を尋ねたり、そのユーザに要求を促したり、その要求に応答してユーザによって提供されるパスワードを読み込んだりする場合に用いられるかもしれない。このことは、そのユーザに実際にアクセス権を与える前に発生する。ＷＡＰ端末のネットワークへのアクセスを認証するための現存する機構は不便なものであり、数多くの機密保護上の懸念がある。
【０００３】
認証は、ＨＴＴＰのベーシック認証として知られる機構を用いてなされ、その場合、元になるサーバ（例えば、インターネットサーバ）は最初に端末機器からの要求を受信して、端末への認証要求とともに応答しなければならない。もちろん、このことにはその端末が私用ネットワークであっても、ネットワークに既に接続されていることが必要である。認証はまた、例えば、移動体端末のユーザがゲートウェイのパスワードとユーザＩＤとを構成可能にすることによって、そのゲートウェイにおいてなされる。或いは、このことはアクセスサーバにおいてなされる。これらの方法は非常に柔軟性に乏しく、そして、１回だけのパスワード、機密保護カードなどのようなより機密保護性の高い方法が会社のネットワークに入るために用いられるなら、そのユーザには過度の作業が要求される。現在の端末では、ユーザが、例えば、動的パスワードが入力可能であるＷｉｎｄｏｗｓ ９８で利用可能なものに類似の“端末のウィンドウ（ｔｅｒｍｉｎａｌ ｗｉｎｄｏｗ）”を得ることはできない。従って、仮想的な私用ネットワークにアクセスする移動体端末用の非公式の認証処理を提供する何らかの方法が望まれている。
【０００４】
発　明　の　要　約
本発明は、ＰＬＭＮネットワークや第２の私用データネットワークと内部接続しているＷＡＰゲートウェイがもつ前述の問題などを克服している。ＷＡＰゲートウェイは、第１段階のプロキシと第２段階のプロキシとを含んでいる。第１のプロキシは、第２のネットワークのファイヤウォールの第１の側にあり、ＷＡＰプロトコルスタックのＷＤＰレイヤを含んでいる。ＷＡＰプロトコルスタックの残りのレイヤは、その第２の私用ネットワークのファイヤウォールのもう一方の側にある第２段階のプロキシ内にある。移動体端末から提供される要求に応答して、第１の段階のプロキシのＷＤＰレイヤは、ＳＳＬ／ＴＬＳトンネリングを用いて第２の段階のプロキシ内のプロトコルレイヤと通信しても良い。その結果として、私用データネットワークにアクセスするための１回目のアクセスにおいて、認証が一度だけ要求され、そのセション内の後続する全ての要求はトンネルをくぐり直接ファイヤウォールを通ってしまう。
【０００５】
本発明の方法と装置のより完全な理解は、添付図面に関連してとられた次の詳細な説明を参照することで得られるであろう。
【０００６】
詳　細　な　説　明
さて、図面において、特に、図１には、本発明の方法と装置に従って、私用イントラネットネットワークのようなネットワーク１５に移動体端末１０がアクセスできる方法が図示されている。次の説明は、ＷＡＰゲートウェイとＷＡＰプロトコルに関してなされるものであるが、本発明はどんなインターネットゲートウェイやユーザ機器、主たるネットワーク（ＰＬＭＮ）、ゲートウェイ、及び二次的ネットワーク（イントラネット）を用いた移動体インターネット構成でも有用であることを理解すべきである。移動体端末１０はＰＬＭＮネットワーク２０を介してアクセスサーバ２５へのアクセス権を取得する。移動体端末１０とＰＬＭＮネットワーク２０との間のリンク２６は無線通信リンクを有している。移動体端末１０は、携帯可能なラップトップコンピュータ、情報携帯端末（ＰＤＡ）、移動体電話、ページャなどから成る。
【０００７】
移動体端末１０はＰＬＭＮネットワーク２０を介してアクセスサーバ２５へのアクセス権を一旦取得したなら、移動体端末１０は、ＷＡＰゲートウェイ３０を用いて、例えば、会社のネットワークのような私用ネットワーク１５にアクセスすることを試みるかもしれない。ゲートウェイ３０は物理的には多数の機器のエンティティを有しており、これらは論理的には単一のゲートウェイを有している。私用ネットワーク１５は、特定の会社や組織のユーザのために設定された仮想的な私用ネットワークを有しているかもしれない。
【０００８】
ＷＡＰゲートウェイ３０は、ＷＡＰプロトコル（ＷＡＥ、ＷＳＰ、ＷＴＰ、ＷＴＬＳ、及びＷＤＰ）と対応するインターネットプロトコル（ＨＴＴＰ及びＴＣＰ／ＩＰ）との間で両方向に送信するための要求を変換するプロトコルゲートウェイを有している。その変換は、ＷＡＰゲートウェイ３０内にあるコンテンツの符号化器と復号化器（不図示）とを介して達成される。本発明の中では、ＷＡＰゲートウェイ３０は２つの別々の機能的構成要素、即ち、第１の段階のプロキシ３５と第２の段階のプロキシ４０とを含んでいる。第１の段階のプロキシ３５はＷＡＰプロトコルスタックの最下位レイヤを含み、私用ネットワーク１５への移動体端末１０のアクセスを承諾を担当している。第２の段階のプロキシ４０は、ＷＡＰプロトコルスタックの残りのレイヤを含んでいる。第１の段階のプロキシ３５と第２の段階のプロキシ４０とは機能的には分離して、第１の段階のプロキシが私用ネットワーク１５のファイヤウォール３７の外側（即ち、ＰＬＭＮネットワークの側）にある一方、第２の段階のプロキシ４０は私用ネットワーク１５のファイヤウォール３７の内側（即ち、私用ネットワーク側）にある。
【０００９】
さて、図２には、ＷＡＰゲートウェイ３０の構造と機能性とをより十分に図示している。前述のように、ＷＡＰゲートウェイ３０は、ＰＬＭＮネットワーク２０に関連したファイヤウォール３７の公衆側にある第１の段階のプロキシの機能３５と、私用ネットワーク１５に関連したファイヤウォール３７の私用側にある第２の段階のプロキシの機能４０とを含んでいる。
【００１０】
第１の段階のプロキシの機能３５は、ＷＤＰプロトコルレイヤ４５を含んでいる。ＷＤＰレイヤ４５は、ＷＡＰアーキテクチュア内でのトランスポートレイヤプロトコルを有している。ＷＤＰレイヤ４５はＰＬＭＮネットワーク２０によってサポートされるベヤラ（ｂｅａｒｅｒ）サービスが可能なデータより上位で動作する。ＷＤＰレイヤ４５はＷＡＰアーキテクチュアの上位レイヤのプロトコルへの一般的なトランスポートサービスとして作用し、利用可能なベアラサービスの１つに対してはトランスペアレントに通信を行う。
【００１１】
ＷＡＰプロトコルスタックの残りは第２の段階のプロキシの機能４０の内にある。無線セションプロトコル（ＷＳＰ）レイヤ５０はアプリケーションを閲覧するのに適したサービスを提供する。ＷＳＰレイヤ５０により、ＷＡＰゲートウェイ３０がクライアントを標準的なＨＴＴＰサーバに接続するのを可能にする。ＷＳＰプロトコルレイヤ５０はＷＡＰプロトコルスタックのセションレイヤを提供し、２つのセションサービスに対して定常的なインタフェースをもつ。第１のセションサービスはＷＴＰトランザクションレイヤプロトコルより上位で動作する接続指向のサービスである。第２のセションサービスは、機密保護された、或いは機密保護されていないデータグラムのサービス（ＷＤＰ）より上位で動作する接続のないサービスである。
【００１２】
付加的なプロトコルレイヤは、移動体インターネット用のＷ３ＣとＩＥＴＦ技術との組み合わせに基づいた汎用アプリケーション環境である無線アプリケーション環境（ＷＡＥ）レイヤ６５を含んでいる。ＷＡＥレイヤ６５は運用者とサービスプロバイダとが広範囲にわたる無線プラットフォームで有用なアプリケーションとサービスとを構築するのを可能にしている相互動作可能な環境を提供している。無線トランザクションプロトコル（ＷＴＰ）５５は、移動局で使用するのに適したトランザクション指向のプロトコルを提供し、無線のトランザクションを監視するのに用いられる。無線トランスポートレイヤセキュリティ（ＷＴＬＳ）レイヤ６０はＷＡＰトランスポートプロトコルで用いるための機密保護を基本にしたプロトコルである。ＷＴＬＳレイヤ６０はＷＡＰゲートウェイ３０と移動体端末１０との間の送信でのデータ完全性を保証し、移動体端末とＷＡＰゲートウェイとの間で送信されるデータのプライバシを保証して中間のパーティによる通信の傍受や復号化を防止し、移動体端末の認証を可能にし、サービス開始が否定されるのを保護している。
【００１３】
第１の段階のプロキシ３５は、ＷＤＰレイヤ４５とＷＳＰレイヤ５０とを用いて第２の段階のプロキシ４０と通信することができる。害のない動作だけがこのレイヤへのアクセスすることを承認されたものにより実行可能であるので、ＷＤＰレイヤ４５が用いられる。全てのＷＡＰ構成はこのセションレイヤを含んでいるので、ＷＳＰレイヤ５０が用いられる。しかしながら、ＷＴＬＳレイヤ６０は、ＷＳＰレイヤ５０への代替として用いられる。これらのレイヤのソフトウェアはＳＳＬ／ＴＬＳトンネリング７０を用いて互いに通信を行う。ＳＳＬ／ＴＬＳトンネリング７０はレイヤ間での暗号化された通信チャネルを有している。ＳＳＬプロトコルは公開鍵と対称鍵との暗号化の組み合わせを用いる。対象鍵の暗号化は公開鍵の暗号化よりもはるかに高速であるが、公開鍵の暗号化はより良質の認証技術を提供する。ＳＳＬセションはいつもＳＳＬハンドシェイクと呼ばれるメッセージの交換で始まる。そのハンドシェイクにより、サーバは公開鍵を用いて自分自身をクライアントに対して証明することができ、クライアントとサーバとが、続くセション中における高速な暗号化、復号化、及び改竄検出のために用いられる対称鍵の創成において協同することを可能にする。オプションとしては、また、ハンドシェイクによりクライアントが自分自身をサーバに対して証明することが可能になる。
【００１４】
ＳＳＬ／ＴＬＳトンネリングにより、私用ネットワークのファイヤウォールの反対側にあるＷＤＰレイヤ４５とＷＳＰレイヤ５０とが互いに通信することが可能になる。ＷＤＰレイヤ４５はユーザを追跡し、トンネルによりプロトコルスタックの他のレイヤが要求により動作するかもしれない第２の段階のプロキシ４０に要求を行う。最初は、ユーザは第１の段階のプロキシ３５を介してＷＡＰゲートウェイ３０にアクセスするのを試み、そのユーザのための認証処理がその要求が処理される前に必要となる。これに続く要求については、第１の段階のプロキシ３５は、付加的な認証処理なく、機密保護されたＳＳＬ／ＴＬＳトンネリング７０を用いて、第２の段階のプロキシ３５のＷＳＰレイヤ５０にＷＤＰレイヤ４５から要求を潜り抜けさせることができる。種々の方法が第１の段階のプロキシによって用いられ、ＷＡＰゲートウェイ３０を通して以前にログインされたユーザを追跡するようにしても良い。ゲートウェイ３０は小規模のリレーショナル・データベース（不図示）、単一のリンクされたリスト（不図示）、フラットファイル（不図示）、或いは何らかのタイプのアレイを保持して、第１の段階のプロキシ３５の以前に認証されたユーザを追跡することができる。
【００１５】
さて図３には、ＷＡＰゲートウェイ３０によって要求を働かせる処理が図示されている。ＷＳＰコネクト（Ｃｏｎｎｅｃｔ）、レジューム（Ｒｅｓｕｍｅ）、サスペンド（Ｓｕｓｐｅｎｄ）、ゲット（Ｇｅｔ）などを有する要求は、始めにはステップ７５において移動体端末１０から受信される。ＷＡＰゲートウェイ３０の第１の段階のプロキシ３５は受信した要求を解析して照会のステップ８０において、この要求が移動体端末１０によるＷＡＰゲートウェイ３０への最初の要求を有しているかどうかを判断する。もし、受信した要求が移動体端末１０からの最初の要求を有しているならば、第１の段階のプロキシ３５はＷＭＬデッキ８５を移動体端末１０のユーザにるログオン処理を無理に押し進めている移動体端末に戻す。その戻されたＷＭＬデッキに応答して、移動体端末はステップ９０において、ＷＡＰゲートウェイ３０の第１の段階のプロキシ３５へのログオンを試みる。そのユーザのログオンがステップ９５において第１の段階のプロキシによって（正当なユーザであることを仮定すれば）承認され、その要求はステップ１００において図２に関して前に説明したようにＳＳＬ／ＴＬＳトンネリング７０を用いて第２の段階のプロキシ４０へと潜り込む。もし、照会ステップ８０がその受信した要求が端末１０からの最初の要求ではないと判断するならば、その要求はログイン手順がなくともステップ１００において第２の段階のプロキシ４０へと直接潜り込むことができる。
【００１６】
前述の説明は本発明を実施するための好適な実施形態についてのものであり、本発明の範囲はこの説明によって不必要に限定されるべきではない。その代わり、本発明の範囲は請求の範囲によって定義されるものである。
【図面の簡単な説明】
【図１】
本発明に従って構成されたＷＡＰゲートウェイにアクセスする移動体端末を図示したものである。
【図２】
本発明に従って構成されたＷＡＰゲートウェイである。
【図３】
移動体端末が図２のＷＡＰゲートウェイにアクセスする方法を図示したフローチャート図である。
【図１】
2004507977.tif 000003
【図２】
2004507977.tif 000004
【図３】
2004507977.tif 000005
【国際公開パンフレット】
2004507977.tif 000006
2004507977.tif 000007
2004507977.tif 000008
2004507977.tif 000009
2004507977.tif 000010
2004507977.tif 000011
2004507977.tif 000012
2004507977.tif 000013
2004507977.tif 000014
2004507977.tif 000015
2004507977.tif 000016
2004507977.tif 000017
2004507977.tif 000018
2004507977.tif 000019
【国際公開パンフレット（コレクトバージョン）】
2004507977.tif 000020
2004507977.tif 000021
【国際調査報告】
2004507977.tif 000022
2004507977.tif 000023
2004507977.tif 000024