(57)【要約】  本発明は、モバイル通信ネットワークにおいて、ネットワーク通信ユニット及びタグ付け回路を含むデバイスを、タグ付け回路を含み及びモバイル通信ネットワークに対して認証されているモバイルエンティティを用いて認証するための方法に関連する。この方法は以下のステップを含む。モバイルエンティティが前記タグ付け回路を用いてデバイスとの接続を確立すること、モバイルエンティティとデバイスとの間でタグ付け回路を用いて認証データを交換すること、及び、モバイル通信ネットワークにおいて、交換された認証データの提出によって、モバイル通信ネットワークに対してデバイスを認証すること。これにより、モバイルエンティティの許諾内容がタグ付けによって別のデバイスと共用され得る。本発明は、対応するモバイルエンティティ、デバイス、ノード、及びコンピュータプログラムプロダクトにも関連する。【選択図】図１
2016506152.tif 000002
【特許請求の範囲】
【請求項１】
モバイル通信ネットワークにおいて、ネットワーク通信ユニット及びタグ付け回路を含むデバイスを、タグ付け回路を含み及び前記モバイル通信ネットワークに対して認証されているモバイルエンティティを用いて認証するための方法であって、
前記モバイルエンティティが前記タグ付け回路を用いて前記デバイスとの接続を確立すること（４１０）と、
前記モバイルエンティティと前記デバイスとの間で前記タグ付け回路を用いて認証データを交換すること（４２０）と、
前記モバイル通信ネットワークにおいて、交換された認証データの提出によって、前記モバイル通信ネットワークに対して前記デバイスを認証すること（４３０）と、
を含む方法。
【請求項２】
前記ネットワーク通信ユニットを用いて、前記デバイスと前記モバイル通信ネットワークとの間の通信を確立すること（４４０）、
をさらに含む、請求項１に記載のデバイスを認証するための方法。
【請求項３】
前記モバイルエンティティは、前記モバイル通信ネットワークとの通信のためのユーザサブスクリプションに関連付けられ、前記認証により、前記デバイスが、同じ前記サブスクリプションを用いることが可能とされる、請求項１又は請求項２に記載のデバイスを認証するための方法。
【請求項４】
前記認証データは、前記モバイルエンティティが前記デバイスから、前記デバイスを識別し得るＩＤを取得すること（４２１ａ）により交換される、請求項１〜３のいずれかに記載のデバイスを認証するための方法。
【請求項５】
前記認証は、前記モバイルエンティティが前記ＩＤを前記ネットワークへ送信すること（４３１ａ）を含む、請求項４に記載のデバイスを認証するための方法。
【請求項６】
前記アドレスは、ＭＡＣ（Media  Access  Control）アドレス又はＲＮＴＩ（Radio  Network  temporary  Identity）である、請求項４に記載のデバイスを認証するための方法。
【請求項７】
前記モバイルエンティティにおいて、前記モバイルエンティティの前記認証鍵及び前記デバイスの前記ＩＤから計算される少なくとも１つの導出鍵を生成し（４２５）、及び前記モバイル通信ネットワークへの提出のために前記少なくとも１つの導出鍵を前記デバイスへ送信することと、前記少なくとも１つの導出鍵により、前記デバイスが、前記少なくとも１つの導出鍵を含む前記モバイル通信へのアタッチのリクエストを送信することによって前記モバイル通信ネットワークに対して認証を行うことが可能とされることと、
をさらに含む、請求項４又は請求項６に記載のデバイスを認証するための方法。
【請求項８】
前記認証データは、前記モバイルエンティティが前記モバイル通信ネットワークへの前記認証データの提出（４３１ｂ）のために前記認証データを又は前記認証データから導出されるデータを前記デバイスへ送信すること（４２１ｂ）により交換される、請求項１に記載のデバイスをアタッチするための方法。
【請求項９】
前記認証データは、前記モバイルエンティティが前記モバイル通信ネットワークの運用者と共有する長期共有秘密を入力として用いる第１の関数の結果を含む、請求項８に記載のデバイスをアタッチするための方法。
【請求項１０】
前記デバイスにおいて、前記第１の関数及び前記デバイスの前記ＩＤを用いて導出鍵を計算することと、前記導出鍵により、前記デバイスが、前記少なくとも１つの導出鍵を含む前記モバイル通信ネットワークへのアタッチのリクエストを送信することによって前記モバイル通信ネットワークに対して認証を行うことが可能とされることと、
をさらに含む、請求項８に記載のデバイスをアタッチするための方法。
【請求項１１】
前記認証データは、ＩＤ又はユーザネームを含む、請求項８に記載のデバイスをアタッチするための方法。
【請求項１２】
前記認証データは、パスワードを含む、請求項８又は請求項１１に記載のデバイスをアタッチするための方法。
【請求項１３】
前記タグ付け回路は、近接通信手段である、請求項１〜１２のいずれかに記載のデバイスを認証するための方法。
【請求項１４】
前記認証データは、予め定義される時間の間のみ有効である、請求項１〜１３のいずれかに記載のデバイスを認証するための方法。
【請求項１５】
モバイル通信ネットワークと通信するように適合されるモバイルエンティティ（４０）であって、
タグ付け回路（４３）と、
前記モバイル通信ネットワーク（１０）と通信するように構成されるネットワーク通信ユニット（４１）と、
前記タグ付け回路（４３）を用いて、前記モバイルエンティティ（４０）とデバイス（５０）との間の接続を確立し及び前記デバイスと前記モバイルエンティティとの間で認証データを交換するように構成される処理ユニット（４２）と、
を含み、
それにより、前記モバイル通信ネットワークに対する前記デバイスの認証は、前記モバイル通信ネットワーク（１０）において、交換された前記認証データの提出によって有効化される、
モバイルエンティティ（４０）。
【請求項１６】
前記モバイルエンティティ（４０）は、前記モバイル通信ネットワーク（１０）との通信のためのユーザサブスクリプションに関連付けられ、前記認証データにより、前記デバイスが、同じ前記サブスクリプションを使用することが可能とされる、請求項１５に記載のモバイルエンティティ（４０）。
【請求項１７】
前記タグ付け回路は、近接通信手段である、請求項１５〜１６のいずれかに記載のモバイルエンティティ（４０）。
【請求項１８】
モバイル通信ネットワークと通信するための手段を含むデバイス（５０、５１）であって、
タグ付け回路（５３）と、
前記モバイル通信ネットワークと通信するように構成されるネットワーク通信ユニット（５１）と、
前記タグ付け回路（５３）を用いて、前記デバイスとモバイルエンティティとの間の接続を確立し及び前記デバイスと前記モバイルエンティティとの間で認証データを交換するように構成される処理ユニット（５２）と、
を含み、
それにより、前記モバイル通信ネットワークに対する前記デバイスの認証は、前記モバイル通信ネットワークにおいて、交換された前記認証データ又は交換された前記認証データから計算される導出鍵の提出によって有効化される、
デバイス（５０、５１）。
【請求項１９】
モバイルエンティティにおける処理ユニットにより実行された場合に方法の請求項１〜１４のいずれかに定義された前記方法のステップ群を前記モバイルエンティティが実行するようにし向ける命令、を含む、コンピュータプログラムプロダクト。
【請求項２０】
モバイル通信ネットワークにおけるノード（２１）であって、
前記モバイル通信ネットワークに対して認証されているモバイルエンティティ（４０）との間で交換される認証データを取得するように構成されるネットワーク通信ユニットと、
前記デバイス（５０）を前記モバイルエンティティ（４０）に関連付けている前記認証データの検証によって、前記モバイル通信ネットワークに対して前記デバイス（５０）を認証するように適合される認証部と、
を含むノード（２１）。
【請求項２１】
前記モバイルエンティティは、前記モバイル通信ネットワークとの通信のためのユーザサブスクリプションに関連付けられ、前記認証データは、前記デバイスを同じ前記サブスクリプションを使用するために認証する、請求項２１に記載のモバイル通信ネットワーク（１０）におけるノード（２１）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、モバイル通信ネットワークにおける、例えばマシンツーマシン（Ｍ２Ｍ）デバイスといったデバイスの認証の分野に関連する。本発明は、特に、モバイル通信ネットワークにおいて、デバイスを、当該モバイル通信ネットワークにアタッチされているモバイルエンティティを用いて認証するための方法及び装置に関連する。
【背景技術】
【０００２】
旧来の第二世代（２Ｇ）携帯電話は、回線交換方式の音声通話の無線通信に主に使用されるが、第三世代（３Ｇ）携帯電話は、インターネットプロトコル（ＩＰ）を用いるパケット交換方式のマルチメディアセッションの無線通信をサポートするように開発されている。例えば、ＧＰＲＳ（General  Packet  Radio  Service）及びＵＭＴＳ（Universal  Mobile  Telecommunications  System）のために用いられる通信プロトコルは、パケット交換式マルチメディアサービスをサポートする。２Ｇ又は３Ｇモバイルアクセスネットワークへ加入しているユーザは、当該ネットワークとの接続性を得るために、典型的に、物理ＳＩＭ（Subscriber  Identity  Module）又は同様のものを自身の通信端末にインストールしておかねばならない。このため、ＳＩＭは、１つのモバイルサブスクリプションに結び付けられ、また、端末がアクセス及び接続性を得るためにネットワークに登録する際に使用せねばならない１つのサブスクリプションＩＤ及び関連付けられた様々なセキュリティパラメータを保持する。ＳＩＭカードは、異なるデバイス間で移動されることができる。
【０００３】
近年、いわゆる“ソフトＳＩＭ”を実装することも検討されている。“ソフトＳＩＭ”では、旧来のＳＩＭが、デバイス内に埋め込まれて、遠隔で設定されたりアクティブ化されたりするようになる。そうなれば、加入者ＩＤ及び加入者識別情報は、物理的かつ脱着可能なＳＩＭカードを使用せずに有効化されるであろう。
【０００４】
加えて、モバイル及び無線ネットワーク上でのマシンツーマシン（Ｍ２Ｍ）通信は、今後、ますます重要になることが予測される。Ｍ２Ｍのあり得る用途の例は、例えば、自家用車においてサービスニーズを通信するため、水道メーター又は電気メーターにおいて遠隔制御及び／又はメーターの遠隔読み取りのため、沿道の自動販売機において、商品が品切れになった場合や硬貨が沢山あって回収を必要とする場合に通信するため、タクシーにおいてクレジットカードを検証するため、監視カメラにおいて自宅や会社のセキュリティ目的のため等、ほぼ無数にある。
【０００５】
しかしながら、サブスクリプションＩＤは、物理モジュール、すなわちＳＩＭに結び付けられるので、複数のデバイスの接続には、通常、上述の各デバイスにつき１つのＳＩＭが必要になる。このため、運用者は、通常、１つのユーザサブスクリプションに対していくつかのＳＩＭが接続される可能性を提供する。しかしながら、そのような解決策はユーザにとってそれほど便利ではない。なぜなら、いくつものＳＩＭを取り扱う必要があるからである。ユーザが新しいデバイスを購入する際、新しいＳＩＭを注文するか、別のデバイスから移動せねばならない。一人のユーザがモバイル通信ネットワークにアタッチしたいと願うデバイスの数が大きくなるほど、この問題は大きくなる。
【０００６】
さらに、今日のセルラーネットワークは、Ｍ２Ｍデバイスへ広域接続性を提供する。しかし、ローカルネットワークの使用が増加すればセルラーネットワークの負荷が軽減されるであろうが、通常はより低い消費電力でモバイル通信ネットワークへのローカルエリア接続性を可能にする無線ローカルエリアネットワーク（ＷＬＡＮ）又はＺｉｇＢｅｅといった競合する短距離（short-range）無線規格は、それほど頻繁には利用できない。
【０００７】
そうした配備における１つの問題は、無料サービスを提供することに経済的恩恵がないことである。それ故、収益性を上げるために、Ｍ２Ｍデバイスを何とかして認証し、その使用量を所有者のサブスクリプションを通じて請求せねばならない。しかしながら、モバイル通信ネットワークに接続させたいと願うデバイスすべてにおいてＳＩＭカードを取得してインストールするのは難しい。また、他の形態の認証もしばしば実際的ではない。
【０００８】
認証問題に対する１つの既知の解決策は、メッシュルーティングソリューションを使用するものである。メッシュルーティングソリューションは、統合される複数のデバイスを、基地局に直接接続される少なくとも１つの統合用デバイスを用いて１つの短距離無線クラウドに接続することを可能にする。しかしながら、メッシュ接続されるデバイスは、通常、ネットワークからは見えないので、そうした解決策は必ずしも望ましいとは限らない。
【発明の概要】
【発明が解決しようとする課題】
【０００９】
以上の説明を踏まえて、本発明の一局面は、モバイル通信ネットワークにおいてデバイスを認証するための方法であって、上に特定した当技術分野における欠陥及び／又は欠点のうちの１つ以上を単独で或いは何らかの組み合わせで軽減、緩和、又は払拭することを目指す方法を提供することである。
【課題を解決するための手段】
【００１０】
本発明は、添付の独立請求項により定義される。本発明の様々な有利な実施形態は、添付の従属請求項により、並びに以下の説明及び添付の図面により示される。
【００１１】
本発明は、モバイル通信ネットワークにおいて、ネットワーク通信ユニット及びタグ付け回路を含むデバイスを、タグ付け回路を含み及び当該モバイル通信ネットワークに対して認証されているモバイルエンティティを用いて認証するための方法を提供する。この方法は、以下のステップを含む：モバイルエンティティが前記タグ付け回路を用いてデバイスとの接続を確立すること、モバイルエンティティとデバイスとの間でタグ付け回路を用いて認証データを交換すること、及び、モバイル通信ネットワークにおいて、交換された認証データの提出によって、モバイル通信ネットワークに対してデバイスを認証すること。これにより、当該通信ネットワークにおけるモバイルエンティティの許諾内容（permissions）が、タグ付けにより別のデバイスと共用される。それ故、ＳＩＭ又は“ソフトＳＩＭ”を用いずにデバイスをモバイル通信ネットワークにアタッチすることが可能とされる。
【００１２】
本発明の１つの局面に従えば、モバイルエンティティは、モバイル通信ネットワークとの通信のためのユーザサブスクリプションに関連付けられ、前記認証により、デバイスが同じサブスクリプションを使用することが可能とされる。それ故、ユーザは、複数個のデバイスをモバイル通信ネットワークに対して、単一のＳＩＭのみを用いて同時にアタッチし得る。このため、ユーザの複数のデバイス間でＳＩＭを移動させる必要がない。
【００１３】
本発明の１つの局面に従えば、タグ付け回路は、近接（near  field）通信手段である。その場合、デバイスとモバイルエンティティとの間の接続を確立するために必要とされる唯一のユーザの介入は、デバイス同士を極めて接近させることである。それ故、簡単でユーザフレンドリーな方法で許諾内容が共用される。
【００１４】
本発明の１つの局面に従えば、認証データは、予め定義される時間の間のみ有効である。これは、強化されたセキュリティを提供する。というのも、タグ付けがハイジャックされても、認証データ及びしたがってサブスクリプションへのアクセスは、限られた時間の間しか使用できないからである。
【００１５】
本発明の１つの局面に従えば、本発明は、モバイル通信ネットワークと通信するように適合されるモバイルエンティティに関連する。モバイルエンティティは、タグ付け回路と、前記モバイル通信ネットワークと通信するように構成されるネットワーク通信ユニットと、前記タグ付け回路を用いて、モバイルエンティティとデバイスとの間の接続を確立し及びデバイスとモバイルエンティティとの間で認証データを交換するように構成される処理ユニットと、を含み、それにより、モバイル通信ネットワークに対する前記デバイスの認証は、モバイル通信ネットワークにおいて、交換された認証データの提出によって有効化される。
【００１６】
本発明の１つの局面に従えば、本発明は、モバイル通信ネットワークと通信するための手段を含むデバイスに関連する。デバイスは、タグ付け回路と、前記モバイル通信ネットワークと通信するように構成されるネットワーク通信ユニットと、前記タグ付け回路を用いて、デバイスとモバイルエンティティとの間に接続を確立し及びデバイスとモバイルエンティティとの間で認証データを交換するように構成される処理ユニットと、を含み、それにより、モバイル通信ネットワークに対する前記デバイスの認証は、モバイル通信ネットワークにおいて、交換された認証データの提出によって有効化される。
【００１７】
本発明の１つの局面に従えば、本発明は、モバイルエンティティにおける処理ユニットにより実行された場合に方法として定義された方法ステップ群を当該モバイルエンティティが実行するようにし向ける命令、を含む、コンピュータプログラムプロダクトに関連する。
【００１８】
本発明の１つの局面に従えば、本発明は、モバイル通信ネットワークにおけるノードであって、モバイル通信ネットワークに対して認証されているモバイルエンティティとの間で交換される認証データを取得するように構成されるネットワーク通信ユニットと、モバイル通信ネットワークに対して前記デバイスを、前記デバイスを前記モバイルエンティティに関連付けている前記認証データを検証することによって認証するように適合される認証部と、を含むノードに関連する。
【００１９】
以上の説明を踏まえて、本発明の目的は、先に説明したような既知の技術の欠点のうち少なくともいくつかを克服することである。
【図面の簡単な説明】
【００２０】
本発明は、添付の図面とともに以下の実施形態／局面の詳細な説明を検討することにより、より容易に理解されるであろう。
【００２１】
【図１】モバイル通信ネットワークを概略的に示す図である。
【図２】モバイル通信ネットワークにおけるデバイスの認証を概略的に示す図である。
【図３】モバイル通信ネットワークにおけるデバイスの認証を概略的に示す図である。
【図４】デバイスを認証するための方法ステップの実施形態を示すフロー図である。
【図５ａ】３Ｇネットワークにおいて使用されるようなＥＡＰ  ＡＫＡを示すシグナリング図である。
【図５ｂ】モバイル通信ネットワークにおける信号の交換を示すシグナリング図である。
【図５ｃ】モバイル通信ネットワークにおける信号の交換を示すシグナリング図である。
【図６】モバイルエンティティを示す図である。
【図７】デバイスを示す図である。
【図８】モバイル通信ネットワークにおけるデバイス、ここでは携帯電話、の認証を概略的に示す図である。
【図９】ネットワークノードを概略的に示す図である。
【００２２】
以下の実施形態の説明は、例示のためのみのものであり、本発明をそれらの実施形態／局面のみに限定するものと解釈されてはならないことを追記しておく。
【発明を実施するための形態】
【００２３】
図に関連して以下に説明される様々なステップは、主に、論理的な意味で理解されるべきである。但し、各ステップは、使用される実装及びプロトコルに依存して、１つ以上の特定のメッセージの通信を伴い得る。示されているユニットも、実際にあり得る実装に限定せずに、論理的に理解されるべきである。
【００２４】
本開示の一般的概念は、複数のデバイスを１つのモバイル通信ネットワークにアタッチするために、サブスクリプションに関連付けられているＳＩＭカード又は“ソフトＳＩＭ”を有し及び例えばＮＦＣ（Near  Field  Communication）又はＲＦＩＤ（Radio-Frequency  Identifier）といったタグ付けケイパビリティを有する、スマートフォンなどのモバイルエンティティ（ＭＥ）を使用することである。この方法により、モバイルエンティティによって、複数のデバイスが“所有されている”というタグを付けられることができる。このタグ付けは、デバイス及びネットワークデータベースの両方に登録され得る。それ以降、デバイスは、例えばピコ基地局又はフェムト基地局といった基地局を介して、モバイル通信ネットワークへのアクセスをリクエストすることができる。
【００２５】
本願で言及されるデバイスは、モバイル通信ネットワークと通信することの可能な任意のデバイスであり得る。そうしたデバイスの例としては、もちろん、携帯電話、スマートフォン、ラップトップ、及びＭ２Ｍデバイスなどがある。しかしながら、例えば自動車、街灯柱（lamp  post）、重量計（scale）など、ほぼ全てのデバイスにモバイル通信ケイパビリティを組み込むことができることは理解されるであろう。
【００２６】
本願で言及されるモバイルエンティティは、ＳＩＭインタフェース、ＳＩＭモジュールのための場所、又は“ソフトＳＩＭ”のためのサポートと、セルラー通信ケイパビリティと、を有する任意のモバイルデバイスであってよく、例えば、携帯電話、スマートフォン、タブレット、コンピュータ、又はＭ２Ｍデバイスであり得る。
【００２７】
本発明は、物理ＳＩＭカードがなくともユーザサブスクリプションを十分に認証することができるような、将来の実装にも適用可能である。簡便かつ明瞭のために「ＳＩＭカード」という用語を使用するが、これは決して本発明の利用可能性を限定するものではないことを理解されたい。
【００２８】
本願において、「タグ付け」という用語は、ピアツーピア認証が行われ得る任意の用途に言及する。上ではＮＦＣ及びＲＦＩＤが参照されており、それらの場合、デバイス同士が近接していることで確実にそれらは同じグループに属する。しかしながら、タグ付けの他の例は、ＷＬＡＮ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、若しくはＺｉｇｂｅｅ、又は他の任意のデバイスツーデバイス通信を使用している。
【００２９】
それ故、本発明の１つの局面においては、ユーザがＭＥとデバイスとを互いに近づけることにより、ペアリングの真正性が保証される。代替的なやり方では、例えばＺｉｇｂｅｅ、Ｂｌｕｅｔｏｏｔｈ、又はＷｉＦｉによりペアリングが行われ、その場合、他の方法でデバイス同士をペアリングする必要がある。例えば、デバイスのうち少なくとも一方のデバイスのユーザインタフェース上でペアリングを手動で受け付けることによりＭＥとデバイスとの間のペアリングを認証するユーザによって、ペアリングは実行されることができる。そうした手動のペアリングは、パスワード交換又は他の、当該ペアリングが意図されており合法的に所望されていることを確認するユーザアクションに関連付けられることができる。
【００３０】
本願で言及されるＩＤは、やはり数多くの形をとり得るが、原則として、デバイスを識別することのできるアドレス指定情報である。例としては、ＭＡＣ  ＩＤ、ＲＮＴＩ（Radio  Network  temporary  Identity）、一時ＴＩＭＳＩ、又はユーザネームが挙げられる。
【００３１】
次に、ユーザがモバイルエンティティを使用してデバイス、典型的にはラップトップのようなデバイスを、ここではＮＦＣとして具現化されているタグ付け回路を用いて認証する場合を参照して、本発明を説明する。
【００３２】
本発明の実施形態が示されている添付の図面を参照して、本発明の実施形態について以下により詳細に説明する。しかしながら、本発明は、多くの異なる形で具現化され得るものであり、ここに示される実施形態に限定されると解釈されてはならない。そうではなく、これらの実施形態は、本開示が周到かつ完全であり及び本発明の範囲を当業者に十分に伝えられるように、提供される。同様の参照符号は、全体を通じて同様の要素を指す。
【００３３】
図１は、本発明の１つの局面に従ったデバイスを認証する方法がその中で実行され得るモバイル通信ネットワーク１０を概略的に示す。このモバイル通信ネットワークは、接続並びに信号及びデータの通信を伴う任意のサービスをモバイルエンティティ４０に提供する、任意のタイプの公衆網であってよく、例えばＧＳＭ、ＵＭＴＳ、ＧＰＲＳ、又はＬＴＥ規格を用いるモバイルアクセスネットワークであってよい。このモバイル通信ネットワークは、コアネットワーク２０及び無線アクセスネットワーク３０を含む。無線アクセスネットワーク３０は、１つ又は複数の基地局３１、３２を含む。
【００３４】
コアネットワーク２０は、アクセスネットワーク３０によって接続されている顧客へ様々なサービスを提供する。
【００３５】
簡便のために、この図では、２つの基地局３１、３２のみを開示する。各基地局は、セル６０、７０を定義する。１つの基地局はしばしば複数個のセルを制御するため、基地局ごとに単一のセルが描かれたこの図は、決して限定するものではなく、明瞭性を維持するために示されているにすぎないことを理解されたい。基地局３１、３２は、２つのセル６０、７０を定義する、例えばＮｏｄｅ  Ｂといった通常の基地局である。
【００３６】
基地局３２と併せて、例えばＷＬＡＮといった短距離ネットワーク８０を定義する短距離基地局が配備される。基地局３１、３２はいずれの場合にも配備されるので、短距離無線サポートを追加することで、妥当なコストで新しいタイプの接続性が提供される。
【００３７】
図２及び図３は、例えばモバイル通信ネットワーク１０に対して認証されているスマートフォン４０を有するユーザが、モバイル通信ネットワーク１０においてデバイス５０を認証する手順を概略的に示す。ユーザは、例えばラップトップといったデバイス５０をさらに有する。短距離ケイパビリティ及びタグ付け回路５３を有するデバイス５０の詳細については図７を参照されたい。本発明の１つの実施形態では、ユーザは、例えばＳＭＳ又はポスターにより、運用者により提供される基地局３２の短距離ネットワーク８０について通知される。その場合、ユーザは、短距離が有効化された基地局３２の短距離ネットワーク８０を介してモバイル通信ネットワーク１０にデバイス５０をアタッチしたいと願う。
【００３８】
ここでは、ユーザがモバイルエンティティを使用して、短距離が有効化された基地局３２にデバイスをアタッチする場合を参照して、デバイスを認証する手順を説明する。しかしながら、この手順はそれ自体、例えば任意のレンジのセルラー基地局といった任意の基地局にデバイスをアタッチするために等しく適用可能であることを理解されたい。
【００３９】
図７に開示されているデバイス５０は、ネットワーク通信ユニット５１及びタグ付け回路５３を含む。モバイルエンティティ４０は、モバイル通信ネットワーク２０に対して認証されている。この例では、モバイルエンティティは、基地局３１を使用してモバイル通信ネットワークにアタッチされている。認証は、図２に示されるように、タグ付け回路５３を用いて、デバイス５０との接続を確立するモバイルエンティティ４０により開始される。この例では、タグ付け回路は、ＮＦＣタグ付け回路５３である。ＮＦＣを用いる場合、モバイルエンティティ４０をデバイス５０に極めて接近させることにより、接続が開始される。
【００４０】
モバイルエンティティ４０がデバイス５０との接続を確立すると、認証データがモバイルエンティティとデバイスとの間で、タグ付け回路５３を用いて交換される。
【００４１】
本発明の１つの局面に従えば、ネットワーク識別子も交換される。ネットワーク識別子は、認証の対象となるネットワークを定義する情報である。ネットワーク識別子は、運用者、特定のネットワーク、ドメイン、又はセルラーネットワークのセルを特定することができる。
【００４２】
そして、モバイルエンティティ４０とデバイス５０との間で交換された認証データをモバイルエンティティ４０が提出することによって、デバイス５０は、モバイル通信ネットワーク２０に対して認証される。
【００４３】
例えば、認証データは、モバイルエンティティ５０が、デバイス５０から、デバイス５０を識別することのできるＭＡＣアドレスなどのＩＤを取得することによって交換される。そして、モバイルエンティティ４０は、登録のために上記ＩＤをネットワーク１０へ送信することによって当該認証データを提出する。それにより、短距離ネットワークへのアクセスは、例えばＭＡＣフィルタを用いて有効化される。
【００４４】
その後、図３に示されるように、基地局３２の短距離ネットワーク８０にアタッチするように、ネットワーク通信ユニットを用いて、デバイス５０とモバイル通信ネットワーク２０との間の接続を確立することができる。モバイルエンティティ４０が接続されるのと同じ基地局３１に対しても、接続を確立することができる。モバイル通信ネットワーク内の別の基地局とも、接続を確立することができる。前提条件は、もちろん、基地局にアタッチするための通信手段をデバイスが含んでいることである。
【００４５】
上述のように、デバイス５０をタグ付けするのに、モバイル通信ネットワーク１０との通信のためのユーザサブスクリプションに関連付けられているモバイルエンティティ４０を使用することにより、当該デバイスは、モバイルエンティティ４０と同じサブスクリプションを使用することが可能にされる。しかしながら、本発明の１つの局面に従えば、認証は、１人のユーザ、１つのエンティティ、又は１つのドメインに結び付けられているので、許諾内容がそれと同じように共用され得る。例えば、図１の短距離が有効化された基地局３２の場合、許諾によって、その特定の短距離のセル内でのデバイスの認証のみが行われ得る。
【００４６】
図４は、モバイル通信ネットワークにおいて、ネットワーク通信ユニット及びタグ付け回路を含むデバイスを、タグ付け回路を含み及び当該モバイル通信ネットワークに対して認証されているモバイルエンティティを用いて認証するための方法の方法ステップを示すフロー図である。
【００４７】
第１のステップ４１０で、モバイルエンティティは、タグ付け回路を用いて、デバイスとの接続を確立する（４１０）。タグ付け回路は、デバイスとモバイルエンティティとの間の接続を確立するのに好適な任意の無線手段である。タグ付け回路がＮＦＣタグ付け回路５３である場合、モバイルエンティティ４０をデバイス５０に極めて接近させることにより、接続は確立される。
【００４８】
本発明の１つの局面に従えば、タグ付け回路５３はＢｌｕｅｔｏｏｔｈ回路である。その場合、Ｂｌｕｅｔｏｏｔｈ（登録商標）規格に従ってモバイルエンティティ４０をデバイス５０とペアリングすることにより、接続は確立される。
【００４９】
本発明の１つの局面に従えば、タグ付け回路はＷＬＡＮ回路である。その場合、例えばＷＥＰといった任意の好適なセキュリティ方式を用いてモバイルエンティティ４０をデバイス５０に接続することにより、接続は確立される。
【００５０】
次のステップで、モバイルエンティティとデバイスとの間で、タグ付け回路４３及び５３を用いて認証データが交換される（４２０）。そして、モバイル通信ネットワークにおいて、交換された認証データの提出によって、デバイスがモバイル通信ネットワークに対して認証される（４３０）。提出は、モバイル通信ネットワーク１０におけるデバイスの登録のように、データ交換の直後に実行されるか、或いは提出は、デバイス５０が初めてモバイル通信ネットワーク１０へのアタッチを試みるときに実行される。
【００５１】
本発明の１つの局面に従えば、例えば上述のようなＭＡＣアドレスといったデバイスを識別するＩＤをモバイルエンティティがデバイス５０から取得すること（４２１ａ）により、認証データは交換される。そして、当該ＩＤをネットワークへ送信すること（４３１ａ）により、認証は行われる。
【００５２】
本発明の１つの局面に従えば、モバイルエンティティが認証データをデバイスへ送信すること（４２１ｂ）により、認証データは交換され、モバイル通信ネットワークにおいて提出される（４３１ｂ）。その場合、認証データは、例えばＩＤ又はユーザネームである。認証データは、パスワードをさらに含んでよい。
【００５３】
認証が完了すると、デバイスは、モバイル通信ネットワークとの通信を確立し得る（４４０）。
【００５４】
本発明の１つの局面に従えば、認証は、デバイスと、例えばモバイルエンティティにＳＩＭカードを提供した運用者により運営されるデータベースといった、ネットワークノード内のネットワークデータベースと、の双方に登録される。それ以降、デバイスは、基地局を介して、モバイル通信ネットワークへのアクセスをリクエストすることができる。
【００５５】
どの基地局にどのようにアタッチするかは、例えば、認証データとともに交換されるネットワーク識別子において定義される。本発明の１つの局面に従えば、登録により、デバイスは、モバイルエンティティのサブスクリプションを用いてネットワークのさらなる基地局へアクセスできるようになる。原則として、デバイスは、モバイルエンティティと同じ許諾内容を有し得る。
【００５６】
認証データがＩＤ及びパスワードである場合、それらＩＤ及びパスワードを提出することによりアクセスがリクエストされる。
【００５７】
アクセスのリクエストは、例えば、ネットワーク識別子により示される基地局の近くにいることをデバイス自身が検出することによりトリガされる。アクセスは、直接であるか、又は、一組の介在する短距離無線ルータを経由する。
【００５８】
本発明の１つの局面に従えば、認証は、予め定義される時間の間のみ有効である。この時間は、例えば、モバイルエンティティにより又はモバイル通信ネットワークにより特定される。この時間は、典型的に、数分から、最長で数日、数週、又は数年の間である。
【００５９】
タグ付けされたデバイス５０がモバイル通信ネットワーク１０にアタッチされると、アクセスコストはモバイルエンティティの所有者のサブスクリプションへ請求され得る。
【００６０】
本発明の１つの局面に従えば、ユーザは、１つのサブスクリプションで同時に、限られた数のデバイスのみをタグ付けして使用することが許される。その場合、先のタグ付け及び認証が解放されたときに別のデバイスにタグ付けすることができるように、１つのデバイスがサブスクリプションを使用できる最大時間を定義することが有用であり得る。
【００６１】
図２及び図３に関連して説明したように、認証データとしてＭＡＣアドレスを使用することは、本発明を実装する非常に簡単な方法である。他にもいくつか可能性がある。図５ｂのシグナリング図に示される１つの実施形態では、交換される認証データは、例えばＥＡＰ−ＡＫＡ（Extensible  Authentication  Protocol  Method  for  3rd  Generation  Authentication  and  Key  Agreement）によって定義されているようなネットワークアクセス識別子といったＩＤである。
【００６２】
モバイルネットワークのための既存の規格は、ＡＫＡ（Authentication  and  Key  Agreement）の成功の結果として生成されるセキュリティコンテキストに基づく、サービングネットワークとモバイルエンティティとの間の通信の保護を提供する。例えば、ＡＫＡは、ＵＭＴＳ及びＬＴＥネットワークにおいて認証及びセッション鍵配布を行うために使用されるメカニズムである。ＡＫＡは、例えばＵＳＩＭカードといったモバイルエンティティと、例えばモバイルエンティティのホームネットワークにおけるホーム加入者サーバ（ＨＳＳ）といった認証サーバ（ＡＳ）と、に長期共有秘密鍵Ｋが記憶されていることを要する。図５ａに、以下のような基本原理を示す。
【００６３】
−ネットワークは、モバイルエンティティにＩＤを要求する（５ａ：１）。応答において、モバイルエンティティは、例えばＩＭＳＩ（International  Mobile  Subscriber  Identity）といった加入者／モバイルエンティティＩＤを送信する（５ａ：２）。
【００６４】
−そのＩＤに基づき、サービングネットワークは、モバイルエンティティのＩＤを用いて、ＡＳ（図示せず）に次のデータを要求する：ランダムチャレンジ（ＲＡＮＤ）、認証トークン（ＡＵＴＮ）、予期される応答（ＸＲＥＳ）、及び鍵のセット。これらの鍵は、ＵＭＴＳにおいて、Ｃｋ、Ｉｋに相当する（下記参照）。
【００６５】
−ランダムチャレンジ（ＲＡＮＤ）、並びにリプレイ保護を提供し及びモバイルエンティティがネットワークを認証することを可能にする認証トークン（ＡＵＴＮ）が、サービングネットワークを介してモバイルエンティティへ送信される（５ａ：３）。
【００６６】
−モバイルエンティティにおけるＵＳＩＭは、ＡＵＴＮを検証し及び、ＲＡＮＤから２つの値、すなわち鍵の組Ｃｋ及びＩｋと応答（ＲＥＳ）と、を計算する（５ａ：４）。
【００６７】
−ＲＥＳがサービングネットワークに送り返される（５ａ：５）。当該ネットワークは、応答ＲＥＳが予期したものかどうか、すなわちＸＲＥＳと一致するかどうかを検証し、もしそうであれば、予期した送信元から受信したと結論付ける。もしそうであれば、モバイルエンティティは認証されたとみなされ、以降のデータ交換は鍵の組を用いて保護される。
【００６８】
このように、ＡＫＡは、モバイルエンティティとサービングネットワークとの間のセキュリティ通信のために使用される新たなセッション鍵Ｃｋ及びＩｋを生成する。
【００６９】
図５ａ及び図５ｂに示される実施形態は、例えばＥＡＰ  ＡＫＡといった認証及び鍵一致（ＡＫＡ）に基づいている。しかしながら、原理はこれに限定されず、共有の秘密に基づく任意の認証プロトコルを用いて実装され得る。これらの実施形態は、使用されるタグ付け回路に依存することなく、また、デバイス５０をモバイル通信ネットワークにアタッチするために使用される通信のタイプにも依存することなく、使用されることができる。しかしながら、それらの例は、上述のような、Ｃｋ及びＩｋを用いる３Ｇ実装に基づく。ただし、この原理を用いてどのような鍵も共有され得る。そうした鍵は、例えば、ＫｅＮＢ、ＫＮＡＳｉｎｔ、ＫＮＡＳｅｎｃ、ＫＵＰｅｎｃ、ＫＲＲＣｉｎｔ、及びＫＲＲＣｅｎｃといったＫＡＳＭＥから導出される鍵等の、例えばＴＳ  ３３．４０１に定義される原理に従って導出される認証及び暗号鍵を含む。
【００７０】
図５ｂに示される第１の実施形態では、モバイルエンティティは、図５ａで説明したようなＥＡＰ−ＡＫＡを使用してネットワークに対して認証される。それ故、モバイルエンティティは、一対の認証鍵Ｉｋ及びＣｋを有する。交換は、モバイル通信ネットワークへの提出のために少なくとも１つの導出鍵（derived  key）をモバイルエンティティが生成すること（図４のステップ４２５）に基づく。
【００７１】
第１のステップで、モバイルエンティティ４０は、デバイス５０からデバイスＩＤを取得する（５ｂ：１）。このＩＤは、ＭＡＣアドレス、ＲＮＴＩ、国際移動電話加入者ＩＤ、ＴＩＭＳＩ、ＩＭＥＩ、又はＩＭＳＩであってよい。次のステップで、モバイルエンティティは、少なくとも１つの導出鍵、この場合Ｃｋｄｅｖ及びＩｋｄｅｖ、を生成する。この少なくとも１つの鍵は、モバイルエンティティの認証鍵と、取得されたデバイスのＩＤと、から計算される（５ｂ：２）。次のステップ５ｂ：３で、モバイルエンティティは、モバイル通信ネットワークへの提出のために、上記少なくとも１つの導出鍵（Ｃｋｄｅｖ及びＩｋｄｅｖ）をデバイス５０へ送信する。少なくとも１つの導出鍵（Ｃｋｄｅｖ及びＩｋｄｅｖ）により、デバイス５０が、モバイル通信ネットワーク１０に対して認証を行うことが可能とされる。これは、デバイス５０により、上記少なくとも１つの導出鍵を含むモバイル通信ネットワークへのアタッチのリクエストを送信すること（５ｂ：４）により行われる。本発明の１つの局面に従えば、メッセージ（５ｂ：３）は、認証がそこで検証されるべきドメイン名又はネットワークアドレスを含む。ネットワークアドレスは、例えば、デバイスがメッセージ（５ｂ：４）を送信すべき先のアドレスである。ドメインは、例えば、ネットワーク名、ドメイン名、運用者名など、認証がその中で有効なエリアの識別情報であってよい。ドメインは、例えば、ホテル内のＷｉＦｉネットワーク、又は特定の技術を実装する企業ネットワークといった、何らかのアクセス技術を通じて認証が有効であるという情報も含み得る。代替例を含むこれらのドメイン及びエリアの限定は、例として挙げられるものであり、現行の発明の利用可能性を制限するものではない。
【００７２】
代替的な実施形態を、図５ｃのシグナリング図に示す。このアプローチは、デバイス５０がそのＩＤをモバイルエンティティに送信する必要がない点で、図５ｂの実施形態と異なる。モバイルエンティティは、図５ａに示したような標準的なＡＫＡを用いてネットワークに対して認証される。それらのステップは、モバイルエンティティが初めてモバイル通信ネットワーク１０に接続されたときに実行済みであってよい。この実施形態では、導出鍵は、２つのステップで計算される。最初のステップは、モバイルエンティティが運用者と共有する長期共有秘密Ｋを入力としてとる一方向関数ｆ（Ｓ）を使用することを含む。結果としてのＲＥＳは、デバイス５０へ送信される（５ｃ：１）。この場合も、デバイスへ送信されるメッセージは、先の図に関連して既に述べたような、アドレス指定情報及びドメイン情報を含み得る。
【００７３】
第２のステップは、導出された認証鍵の組（Ｃｋｄｅｖ及びＩｋｄｅｖ）を計算するために、第１の関数の結果及びデバイスのＩＤを入力としてとる関数を使用すること（５ｃ：２）を含む。上記の例と同様に、少なくとも１つの導出鍵、ここではＣｋｄｅｖ及びＩｋｄｅｖにより、デバイス５０が、モバイル通信ネットワーク１０に対して認証を行うことが可能とされる。これは、デバイス５０により、上記少なくとも１つの導出鍵を含むモバイル通信ネットワークへのアタッチのリクエストを送信すること（５ｃ：３）により行われる。
【００７４】
図５ｂ及び図５ｃの実施形態は、ＥＡＰ−ＡＫＡを用いる本発明に従ったタグ付けを使用して認証鍵がどのように交換され得るかの例である。しかしながら、本発明はこれらの例に限定されると解釈されるべきではない。原則として、セキュリティ鍵をＭＥと共有するエンティティが存在する任意の認証プロトコルが使用され得る。例えばそれは、ＳＩＭカード上の鍵から導出される鍵を共有する無線基地局かもしれない。代替的に、任意のコアネットワークノードが、ＭＥ及び対応するノードの両方に知られている別の鍵を共有してもよい。
【００７５】
図６は、モバイル通信ネットワークと通信するように構成されるモバイルエンティティを示す。このモバイルエンティティは、タグ付け回路４３、ネットワーク通信ユニット４１、及び処理ユニット４２を含む。
【００７６】
タグ付け回路４３は、デバイスにタグ付けするように構成される任意の回路であり得る。タグ付け回路は、近接通信回路であってよいし、Ｂｌｕｅｔｏｏｔｈ回路又はＲＦＩＤ回路であってもよい。
【００７７】
ネットワーク通信ユニット４１は、モバイル通信ネットワークと通信するように構成される。ネットワーク通信ユニットは、短距離通信ユニット、セルラー通信ユニット、又はそれらの組み合わせなど、この目的にとって好適な任意の無線通信ユニットであってよい。
【００７８】
処理ユニット４２は、図２〜５及び図８に関連して上述及び後述されるすべての方法を実行するように構成される。それ故、処理ユニット４２は、タグ付け回路４３を用いて、モバイルエンティティとデバイスとの間の接続を確立し及び当該デバイスとモバイルエンティティとの間で認証データを交換するように構成される。それにより、デバイスのモバイル通信ネットワークに対する認証は、モバイル通信ネットワークにおいて、交換された認証データの提出によって有効化される。モバイルエンティティ５０がモバイル通信ネットワークとの通信のためのユーザサブスクリプションに関連付けられている場合、上記認証データにより、デバイスが、同じサブスクリプションを使用することが可能とされる。
【００７９】
本発明のさらに別の局面に従えば、モバイルエンティティは、その時点でタグ付けされているデバイスのＩＤ及び説明を表示するように構成される画面を含む。この表示は、その時点でタグ付けされているデバイスのリストを示し、及び、追加でさらにタグ付けしてよいデバイスの数を示し得る。
【００８０】
本発明の１つの局面に従えば、モバイルエンティティは、このリストからデバイスを解放し又は除外する手段を含む。その場合、ユーザは、表示されたリスト上で対話をして、サブスクリプションを使用できないように除外すべき１つ又はいくつかのデバイスを選択し得る。１つ又はいくつかのそうしたデバイスを選択することにより、及びその選択への応答として、モバイルエンティティは、選択されたデバイスをサブスクリプションの使用許可から除外するようにネットワークへメッセージを送信し得る。
【００８１】
図７は、モバイル通信ネットワークと通信するための手段を含むデバイス５０を示す。デバイス５０は、タグ付け回路５３、ネットワーク通信ユニット５１、及び処理ユニット５２を含む。
【００８２】
タグ付け回路５３は、モバイルエンティティからタグ付け情報を受信するように構成される任意の回路であり得る。タグ付け回路は、近接通信回路であってよいし、Ｂｌｕｅｔｏｏｔｈ回路又はＲＦＩＤ回路であってもよい。
【００８３】
ネットワーク通信ユニット５１は、モバイル通信ネットワークと通信するように構成される。ネットワーク通信ユニットは、短距離通信ユニット、セルラー通信ユニット、又はそれらの組み合わせなど、この目的にとって好適な任意の無線通信ユニットであってよい。
【００８４】
処理ユニット５２は、タグ付け回路５３を用いて、デバイスとモバイルエンティティとの間の接続を確立し及びデバイスとモバイルエンティティとの間で認証データを交換するように構成される。それにより、デバイスのモバイル通信ネットワークに対する認証は、モバイル通信ネットワークにおいて、交換された認証データの提出によって有効化される。
【００８５】
本発明は、モバイルエンティティにおける処理ユニットによって実行された場合に本明細書で説明した方法を当該モバイルエンティティが実行するようにし向ける命令、を含むコンピュータプログラムプロダクトにも関連する。
【００８６】
本発明は、モバイル通信ネットワーク１０（図１参照）におけるコアネットワークノード２１（図９参照）にも関連する。ネットワークノードは、例えば、ＭＭＥ（Mobility  Management  Entity）であり得る。
【００８７】
ネットワークノード２１は、ネットワーク通信ユニット及び認証部を含む。
【００８８】
ネットワーク通信ユニット２１１は、モバイル通信ネットワークに対して認証されているモバイルエンティティ４０との間で交換される認証データを取得するように構成される。
【００８９】
認証部２１２は、デバイス５０をモバイルエンティティ４０に関連付けている認証データの検証を通じて、モバイル通信ネットワークに対してデバイス５０を認証するように適合される。モバイルエンティティは、モバイル通信ネットワークとの通信のためのユーザサブスクリプションに関連付けられ、上記認証データは、同じサブスクリプションを使用するように上記デバイスを認証する。
【００９０】
図８は、本発明の別の局面に従った、モバイル通信ネットワーク１０においてデバイス５１を認証する手順を概略的に示す。これは、例えばモバイル通信ネットワークに対して認証されているスマートフォン４０といったモバイルエンティティをユーザが有する場合であってよい。この実施形態では、ユーザはさらに、例えばタブレット５１といった、セルラー通信ケイパビリティを備える第２のデバイスを有する。その場合、ユーザは、同じＳＩＭを用いて、ＳＩＭをタブレット５１に移すことなく、タブレット５１をモバイル通信ネットワーク１０にアタッチしたいと願う。
【００９１】
タブレット５１は、ネットワーク通信ユニット及びタグ付け回路を含む。モバイルエンティティ４０は、モバイル通信ネットワークに対して認証されている。この例では、モバイルエンティティは、基地局３１を用いてモバイル通信ネットワークにアタッチされている。認証は、図８に示されるように、モバイルエンティティ４０がタグ付け回路を用いて、タブレット５１との接続を確立することにより開始される。この例では、タグ付け回路はＮＦＣタグ付け回路である。ＮＦＣを使用する場合、モバイルエンティティ４０をタブレット５１に極めて接近させることにより、接続は開始される。
【００９２】
モバイルエンティティ４０がタブレット５１との接続を確立すると、当該モバイルエンティティと当該デバイスとの間で認証データが交換される。これは、典型的に、図５ａ又は図５ｂに開示されているような、例えばＩｋ及びＣｋといった、少なくとも１つの認証鍵を共有することにより行われ得る。
【００９３】
ネットワーク識別子も交換され得る。ネットワーク識別子は、認証の対象となるネットワークを定義する情報である。この場合、ネットワーク識別子は、運用者、特定のネットワーク、ドメイン、又はセルラーネットワークのセルを特定することができる。
【００９４】
そして、デバイス５１は、モバイル通信ネットワークにおいて、交換された認証データの提出によって、モバイル通信ネットワークに対して認証される。
【００９５】
認証は、デバイスとモバイル通信ネットワークとの間の接続を確立する際に、図３に点線で示されるように、ＩＤ及び少なくとも１つの認証鍵を提出することによって行われ得る。
【００９６】
上述のように、タブレット５１をタグ付けするのに、モバイル通信ネットワーク１０との通信のためのユーザサブスクリプションに関連付けられているモバイルエンティティを使用することにより、当該デバイスは、モバイルエンティティ４０と同じＳＩＭを使用することが可能にされる。
【図１】
2016506152.tif 000003
【図２】
2016506152.tif 000004
【図３】
2016506152.tif 000005
【図４】
2016506152.tif 000006
【図５ａ】
2016506152.tif 000007
【図５ｂ】
2016506152.tif 000008
【図５ｃ】
2016506152.tif 000009
【図６】
2016506152.tif 000010
【図７】
2016506152.tif 000011
【図８】
2016506152.tif 000012
【図９】
2016506152.tif 000013
【国際調査報告】
2016506152.tif 000014
2016506152.tif 000015
2016506152.tif 000016