(57)【特許請求の範囲】
【請求項１】
第１ノードと第２ノードとの間で通信を行う方法であって、上記第１ノードと第２ノードとの間には複数の異なるチャンネルが設けられており、上記方法は、完全性出力を計算し、この完全性出力は、複数の値から計算され、上記値のあるものは、上記異なるチャンネルに対して同じであり、上記値の少なくとも１つは、上記チャンネルの認識に関連した各チャンネルにとって独特の情報を含むように構成され、そして
上記ノードの一方から他方へ完全性出力に関する情報を送信する、という段階を含むことを特徴とする方法。
【請求項２】
チャンネルの認識に関連した上記情報に対して個別の入力が与えられる請求項１に記載の方法。
【請求項３】
チャンネルの認識に関連した上記情報は、少なくとも１つの他の入力値と組み合わされる請求項１に記載の方法。
【請求項４】
チャンネルの認識に関連した上記情報は、１つの他の入力値のみと組み合わされる請求項３に記載の方法。
【請求項５】
上記組み合わされた入力値の入力は、ベアラの認識に割り当てられた第１部分と、上記値により与えられる他の情報に割り当てられた第２部分とを含む請求項３に記載の方法。
【請求項６】
上記アルゴリズムに入力される上記値は、次の値、即ち完全性キー、方向値、フレッシュ値、メッセージ値及びカウント値、の１つ以上を含む請求項１ないし５のいずれかに記載の方法。
【請求項７】
ベアラの認識に関連した上記情報は、次の情報、即ち上記フレッシュ値、上記カウント値、上記完全性キー、上記方向値及び上記メッセージ値、の１つ以上と組み合わされる請求項３又は５及び６に記載の方法。
【請求項８】
上記メッセージ値は、チャンネル識別情報を伴わずにあるノードから別のノードへ送信される請求項７に記載の方法。
【請求項９】
完全性アルゴリズムの出力は、あるノードから別のノードへ送信される請求項１ないし８のいずれかに記載の方法。
【請求項１０】
上記第１ノードと第２ノードとの間の通信は、ワイヤレス接続を経て行われる請求項１ないし９のいずれかに記載の方法。
【請求項１１】
上記第１ノード及び第２ノードの一方は、ユーザ装置である請求項１０に記載の方法。
【請求項１２】
上記ユーザ装置は、移動ステーションである請求項１１に記載の方法。
【請求項１３】
上記第１及び第２ノードの一方は、無線ネットワークコントローラである請求項１０ないし１２のいずれかに記載の方法。
【請求項１４】
上記第１及び第２ノードの一方は、ノードＢである請求項１０ないし１３のいずれかに記載の方法。
【請求項１５】
上記通信チャンネルは、無線ベアラを含む請求項１ないし１４のいずれかに記載の方法。
【請求項１６】
上記無線ベアラは、シグナリング無線ベアラである請求項１５に記載の方法。
【請求項１７】
上記入力値は、上記出力を計算するためのアルゴリズムに入力される請求項１ないし１６のいずれかに記載の方法。
【請求項１８】
異なるチャンネルに対して同じ完全性キーが使用される請求項６に記載の方法。
【請求項１９】
第１ノード及び第２ノードを備えたシステムに対し完全性チェックを実行する方法であって、上記第１ノードと第２ノードとの間には複数の通信チャンネルが設けられており、上記方法は、複数の値を使用して完全性の出力を計算する段階を含み、上記値のあるものは、上記異なるチャンネルに対して同一であり、上記値の少なくとも１つは、上記チャンネルの認識に関連した各チャンネルにとって独特の情報を含むように構成されていることを特徴とする方法。
【請求項２０】
ノード及び更に別のノードを備えたシステムに使用するためのノードであって、上記ノード間には複数の異なるチャンネルが設けられており、上記ノードは、
完全性出力を計算するための手段を備え、その完全性出力は複数の値から計算され、上記値のあるものは、上記異なるチャンネルに対して同じであり、上記値の少なくとも１つは、上記チャンネルの認識に関連した各チャンネルにとって独特の情報を含むように構成されており、そして更に、
上記ノードから上記更に別のノードへ完全性出力に関する情報を送信するための手段を備えたことを特徴とするノード。
【請求項２１】
ノード及び更に別のノードを備えたシステムに使用するためのノードであって、上記ノード間には複数の異なるチャンネルが設けられており、上記ノードは、
完全性出力を計算するための手段を備え、その完全性出力は複数の値から計算され、上記値のあるものは、上記異なるチャンネルに対して同じであり、上記値の少なくとも１つは、上記チャンネルの認識に関連した各チャンネルにとって独特の情報を含むように構成されており、そして更に、
上記ノードにより計算された完全性出力に関する情報を、上記更に別のノードにより計算された値と比較するための手段を備えたことを特徴とするノード。
【請求項２２】
ノード及び更に別のノードを備えたシステムに使用するための完全性出力を計算するアルゴリズムであって、上記ノード間には複数の異なるチャンネルが設けられており、上記アルゴリズムは、完全性出力を計算するための手段を備え、その完全性出力は複数の値から計算され、上記値のあるものは、上記異なるチャンネルに対して同じであり、上記値の少なくとも１つは、上記チャンネルの認識に関連した各チャンネルにとって独特の情報を含むように構成されていることを特徴とするアルゴリズム。
【発明の詳細な説明】
【０００１】
【技術分野】
本発明は、第１ノードと第２ノードとの間の通信の完全性をチェックする方法に係る。より詳細には、本発明は、移動ステーションとセルラーネットワークとの間の通信の完全性をチェックするための方法に係るが、これに限定されるものではない。
【０００２】
【背景技術】
種々の異なるテレコミュニケーションネットワークが知られている。テレコミュニケーションネットワークは、ネットワークによりカバーされたエリアが複数のセルに分割されるセルラーテレコミュニケーションネットワークである。各セルにはベースステーションが設けられ、ベースステーションは、それに関連したセル内の移動ステーションにサービスする。従って、移動ステーションのようなユーザ装置は、ベースステーションと信号をやり取りし、ベースステーションを通して通信を行うことができる。又、セルラーシステムは、通常、１つ以上のベースステーションのオペレーションを制御するベースステーションコントローラも備えている。システム内のユーザ装置の少なくとも幾つかは、１つ以上の通信チャンネルを経て同時に通信することができる。
【０００３】
テレコミュニケーションは、受信情報が許可された送信者によって送られたものであり、送信者を装うとする無許可の当事者により送られたものでないことを保証する問題がある。この問題は、エアインターフェイスが無許可の当事者に、送信内容を盗聴しそしてそれを置き換える潜在的な機会を与えるようなセルラーテレコミュニケーションシステムに特に関連したものである。
この問題に対する１つの解決策は、通信当事者を認証することである。認証プロセスは、両通信当事者の認識を見出してチェックし、各当事者が他の当事者の認識に関する情報を受け取ってその認識を信用できるようにすることを目的とする。認証は、通常、接続の始めに特定の手順で実行される。しかしながら、この手順は、後続メッセージの無断操作、挿入及び削除に対してまだ余地を残している。各送信メッセージを個別に認証する必要性がある。これは、送信端においてメッセージにメッセージ認証コード（ＭＡＣ−Ｉ）を添付しそして受信端においてメッセージ認証コードＭＡＣ−Ｉの値をチェックすることにより行うことができる。
【０００４】
メッセージ認証コードＭＡＣ−Ｉは、通常は、比較的短いビットストリングであり、これは、それが保護するメッセージと、メッセージの送信者及び受信者の両方が知っている機密キーとに依存する。機密キーは、接続の始めに認証手順の間に発生されて合意される。ある場合には、アルゴリズム（機密キー及びメッセージに基づいてメッセージ認証コードＭＡＣ−Ｉを計算するのに使用される）も機密であるが、通常はそうでない。
単一メッセージを認証するプロセスは、しばしば完全性保護と称される。メッセージの完全性を保護するために、送信者は、特定のアルゴリズムを使用して、送信されるべきメッセージ及び機密キーに基づきメッセージ認証値を計算し、そしてそのメッセージ認証コードＭＡＣ−Ｉ値と共にメッセージを送信する。受信者は、その特定のアルゴリズムに従いメッセージ及び機密キーに基づいてメッセージ認証コードＭＡＣ−Ｉ値を再計算し、そしてその受信したメッセージ認証コードＭＡＣ−Ｉと、計算されたメッセージ認証コードＭＡＣ−Ｉとを比較する。２つのメッセージ認証コードＭＡＣ−Ｉ値が一致した場合に、受信者は、そのメッセージが手を加えられたものでなく、仮定した当事者により送信されたものであると信用することができる。
【０００５】
完全性保護機構を看破することができる。無許可の当事者が、変更されたメッセージ又は新たなメッセージに対してメッセージ認証コードＭＡＣ−Ｉ値を偽造するために使用できる方法は２つある。第１の方法は、機密キーを得ることであり、そして第２の方法は、機密キーを知らずに変更されたメッセージ又は新たなメッセージを供給することである。
機密キーは、第三者により次の２つの方法で得ることができる。
−  キーが見つかるまで、観察されたメッセージ認証コードＭＡＣ−Ｉ対のデータに一致する全ての考えられるキーを計算するか、さもなければ、メッセージ認証コードＭＡＣ−Ｉ値を形成するアルゴリズムを解読する、或いは
−  記憶又は送信された機密キーを直接捕獲する。
元の通信当事者は、暗号的に強力なアルゴリズムを使用し、全てのキーの徹底的なサーチを防止するに充分な長い機密キーを使用し、そして機密キーを送信及び記憶する確実な方法を使用することにより、第三者が機密キーを得るのを防止することができる。
【０００６】
第三者は、正しいメッセージ認証コードＭＡＣ−Ｉ値を推測するか又は２人の当事者間で送信された以前のメッセージを再生することにより、機密キーなしに２人の当事者間のメッセージを破壊するよう試みることができる。以前のメッセージを再生する場合に、メッセージに対する正しいメッセージ認証コードＭＡＣ−Ｉが最初の送信から分かる。このような看破は、無許可の第三者にとって非常に有用である。例えば、侵入者にとって好都合な更なる行動の数を増倍する。このように、金銭的な取引も繰り返すことができる。
メッセージ認証コードＭＡＣ−Ｉ値の正しい推測は、長いメッセージ認証コードＭＡＣ−Ｉ値を使用することにより防止することができる。メッセージ認証コードＭＡＣ−Ｉ値は、正しく推測する確率を、１つの成功裡な偽造により得られる利益に比して充分低いレベルに減少するに足る長さでなければならない。例えば、３２ビットメッセージ認証コードＭＡＣ−Ｉ値を使用すると、正しく推測する確率が１／４２９４９６７２９６に減少される。これは、ほとんどのアプリケーションにとって充分小さなものである。
【０００７】
再生方法を用いて即ち初期のメッセージを再生することにより正しいメッセージ認証コードＭＡＣ−Ｉ値を得ることは、メッセージ認証コードＭＡＣ−Ｉ値の計算に経時変化パラメータを導入することにより防止できる。例えば、機密完全性キー及びメッセージに加えて、メッセージ認証コードＭＡＣ−Ｉアルゴリズムへの更なる入力としてタイムスタンプ値又はシーケンス番号を使用することができる。
一連の番号が経時変化パラメータとして使用される場合には、同じ機密キーと共に同じシーケンス番号を２回以上使用する可能性を防止するメカニズムが使用される。典型的に、両通信当事者は、使用されたシーケンス番号を追跡する。
全てが同じ機密キーを使用する多数の通信チャンネルが使用される場合には、次のような問題が生じる。所与のシーケンス番号、例えば、ｎに関連した１つの通信チャンネルにおけるメッセージを、適当な時間に、即ちシーケンス番号ｎが他のチャンネルに受け入れられるときに、別の通信チャンネルにおいて繰り返すことができる。
【０００８】
第３世代規格に対するＵＭＴＳシステムに暗号化及び完全性保護を適用することが提案されている。しかしながら、この提案された方法は、同じメッセージを異なる時間に２つの異なるシグナリング無線ベアラに送信することができる。これは、中間にいる人の攻撃に対してシステムを抵抗力のないものにする。特に、このようなシステムは、上記の「応答式攻撃」を受け易い。
典型的に、１つの単一繰り返しシグナリングメッセージは、無許可の第三者に対して著しい効果を与えず、第三者は、例えば、付加的なコールを設定し、ひいては、接続の一部分を盗用するために長いダイアログを繰り返すよう試みることができる。
【０００９】
【発明の開示】
本発明の実施形態の目的は、上述した１つ以上の問題に対処することである。
本発明の１つの特徴によれば、第１ノードと第２ノードとの間で通信する方法であって、上記第１ノードと第２ノードとの間には複数の異なるチャンネルが設けられ、上記方法は、完全性出力を計算し、この完全性出力は、複数の値から計算され、上記値のあるものは、上記異なるチャンネルに対して同じであり、上記値の少なくとも１つは、上記チャンネルの認識に関連した情報を含むように構成され、各チャンネルは、異なる認識を有し、そして上記ノードの一方から他方へ完全性出力に関する情報を送信するという段階を含む方法が提供される。
チャンネルの認識に関連した上記情報に対して個別の入力が設けられる。チャンネルの認識に関連した上記情報は、少なくとも１つの他の入力値と組み合わされる。上記入力値は、次の値、即ち完全性キー、方向値、フレッシュ値、メッセージ値及びカウント値、の１つ以上を含む。完全性アルゴリズムの出力は、１つのノードから別のノードへ送信される。上記通信チャンネルは、無線ベアラを含む。上記入力値は、上記出力を計算するためのアルゴリズムに入力される。
【００１０】
本発明の別の特徴によれば、第１ノード及び第２ノードを備えたシステムに対し完全性チェックを実行する方法であって、上記第１ノードと第２ノードとの間には複数の通信チャンネルが設けられており、上記方法は、複数の値を使用して完全性出力を計算する段階を含み、上記値のあるものは、上記異なるチャンネルに対して同一であり、上記値の少なくとも１つは、上記チャンネルの認識に関連した情報を含むように構成され、各チャンネルは、異なる認識を有する方法が提供される。
本発明の別の特徴によれば、第１ノードと第２ノードとの間で通信を行う方法であって、上記第１ノードと第２ノードとの間には複数の異なるチャンネルが設けられており、上記方法は、複数の値を使用して完全性出力を計算する段階を含み、上記値のあるものは、完全性キーであり、上記チャンネルの各々は、異なる完全性キーを有し、そして上記完全性アルゴリズムの出力に関連した情報を上記ノードの一方から他方へ送信する段階を更に含む方法が提供される。
【００１１】
本発明の更に別の特徴によれば、第１ノードと第２ノードとの間で通信を行う方法であって、上記第１ノードと第２ノードとの間には複数の異なるチャンネルが設けられており、上記方法は、認証手順をトリガーし、そして認証手順によって所望数の完全性パラメータを計算するという段階を含む方法が提供される。
本発明の更に別の特徴によれば、ノード及び更に別のノードを備えたシステムに使用するためのノードであって、上記ノード間には複数の異なるチャンネルが設けられており、上記ノードは、完全性出力を計算するための手段を備え、その完全性出力は複数の値から計算され、上記値のあるものは、上記異なるチャンネルに対して同じであり、上記値の少なくとも１つは、上記チャンネルの認識に関連した情報を含むように構成され、各チャンネルは、異なる認識を有し、そして更に、上記ノードから上記更に別のノードへ完全性出力に関する情報を送信するための手段を備えたノードが提供される。
【００１２】
本発明の更に別の特徴によれば、ノード及び更に別のノードを備えたシステムに使用するためのノードであって、上記ノード間には複数の異なるチャンネルが設けられており、上記ノードは、完全性出力を計算するための手段を備え、その完全性出力は複数の値から計算され、上記値のあるものは、上記異なるチャンネルに対して同じであり、上記値の少なくとも１つは、上記チャンネルの認識に関連した情報を含むように構成され、各チャンネルは、異なる認識を有し、そして更に、上記ノードにより計算された完全性出力に関する情報を、上記更に別のノードにより計算された値と比較するための手段を備えたノードが提供される。
本発明の更に別の特徴によれば、ノード及び更に別のノードを備えたシステムに使用するための完全性出力を計算するアルゴリズムであって、上記ノード間には複数の異なるチャンネルが設けられており、上記アルゴリズムは、完全性出力を計算するための手段を備え、その完全性出力は複数の値から計算され、上記値のあるものは、上記異なるチャンネルに対して同じであり、上記値の少なくとも１つは、上記チャンネルの認識に関連した情報を含むように構成され、各チャンネルは、異なる認識を有するアルゴリズムが提供される。
【００１３】
本発明の実施形態により多数の効果が達成される。本発明の解決策では、応答式の攻撃は、多数の並列の通信チャンネルが使用される場合でも防止することができる。これら実施形態は、１つの接続内に並列の通信チャンネルを使用するいかなるシステムにも柔軟に適用できるという効果が得られる。本発明の実施形態は、通信システム、特に、ワイヤレス通信システムにおけるユーザのセキュリティを改善する。これら実施形態は、接続内の並列の通信チャンネルが、メッセージ認証コードＭＡＣ−Ｉの計算に同じ入力パラメータセットを決して使用しないよう確保する。
【００１４】
【発明を実施するための最良の形態】
以下、添付図面を参照して、本発明の好ましい実施形態を詳細に説明する。
図１を参照し、典型的な移動電話システムの構造を説明する。移動電話システムの主要部分は、コアネットワークＣＮ２と、ＵＭＴＳ地上無線アクセスネットワークＵＴＲＡＮ４と、ユーザ装置ＵＥ６である。コアネットワークＣＮ２は、回路交換（ＣＳ）ネットワーク８１（例えば、ＰＬＭＮ、ＰＳＴＮ、ＩＳＤＮ）又はパケット交換（ＰＳ）ネットワーク８２（例えば、インターネット）である外部ネットワーク８に接続することができる。コアネットワークＣＮとＵＭＴＳ地上無線アクセスネットワークＵＴＲＡＮ４との間のインターフェイスは、Ｉｕインターフェイスと称され、そしてＵＭＴＳ地上無線アクセスネットワークＵＴＲＡＮ４とユーザ装置ＵＥ６との間のインターフェイスは、Ｕｕインターフェイスと称される。図１に示すように、ＲＮＣは、２つのＣＮノード（ＭＳＣ／ＶＬＲ及びＳＧＳＮ）に接続される。あるネットワークトポロジーでは、１つのＲＮＣが１つのＣＮノードに接続されるか又は２つ以上のＣＮノードに接続されると考えられる。
【００１５】
コアネットワークＣＮ２は、ホーム位置レジスタＨＬＲ１０と、移動サービス交換センター／ビジター位置レジスタＭＳＣ／ＶＬＲ１２と、ゲートウェイＭＳＣ  ＧＭＳＣ１４と、サービスＧＰＲＳ（汎用パケット無線サービス）サポートノードＳＧＳＮ１６と、ゲートウェイＧＰＲＳサポートノードＧＧＳＮ１８とを備えている。
ＵＴＲＡＮ４は、無線ネットワークサブシステムＲＮＳ２０及び２２で構成される。２つの無線ネットワークサブシステムＲＮＳ間のインターフェイスは、Ｉｕｒインターフェイスと称される。無線ネットワークサブシステムＲＮＳ２０及び２２は、無線ネットワークコントローラＲＮＣ２４及び１つ以上のノードＢ２６で構成される。無線ネットワークコントローラＲＮＣ２４とノードＢ２６との間のインターフェイスは、Ｉｕｂインターフェイスと称される。
無線ネットワークコントローラＲＮＣ２４は、ＵＴＲＡＮ４の無線リソースを制御する役割を果たすネットワーク要素である。ＲＮＣ２４は、コアネットワークＣＮ２（通常は、１つのＭＳＣ１２及び１つのＳＧＳＮ１６）にインターフェイスし、そしてユーザ装置ＵＥ６とＵＴＲＡＮ４との間のメッセージ及び手順を定義する無線リソース制御ＲＲＣプロトコルを終了させる。ＲＮＣ２４は、ＧＳＭ（移動通信用のグローバルシステム）規格のベースステーションコントローラに論理的に対応する。
【００１６】
ノードＢ２６の主たる機能は、エアインターフェイスＬ１処理（チャンネルコード化及びインターリーブ、レート適応、拡散等）を遂行することである。又、内部ループ電力制御のような幾つかの基本的な無線リソース管理オペレーションも実行する。これは、ＧＳＭ規格のベーストランシーバステーションに論理的に対応する。
ユーザ装置ＵＥ６は、２つの部分、即ち移動装置ＭＥ３０と、ＵＭＴＳ加入者認識モジュールＵＳＩＭ３２とで構成される。移動装置ＭＥは、ユーザ装置ＵＥ６とＵＴＲＡＮ４との間のＵｕインターフェイスを経て無線通信を行うのに使用される無線ターミナルである。ＵＳＩＭ３２は、加入者認識を保持し、認証アルゴリズムを実行し、そして認証及び暗号キー並びにそのターミナルに必要な加入者情報を記憶するスマートカードである。
図２を参照し、３ＧＰＰ仕様に基づく無線インターフェイスプロトコルアーキテクチャーを説明する。ここに述べるプロトコルエンティティは、
− ユーザ装置ＵＥ６とノードＢ２６との間、及び／又は
− ユーザ装置ＵＥ６とＲＮＣ２４との間、
で動作する。ノードＢ２６とＲＮＣ２４との間でのプロトコル層の振り分けについては、以下に詳細に説明する。
【００１７】
無線インターフェイスプロトコルは、制御平面５０及びユーザ平面５２に分割することができる。制御平面５０は、ＵＥ６とＲＮＣ２４との間及びユーザ装置ＵＥ６とコアネットワークＣＮ２との間の全てのシグナリングに使用される。ユーザ平面は、実際のユーザデータを搬送する。ある無線インターフェイスプロトコルは、一方の平面のみで動作し、そしてあるプロトコルは、両平面で動作する。
無線インターフェイスプロトコルは、層１ Ｌ１ ５４（物理層とも称する）と、層２ Ｌ２ ５６（データリンク層とも称する）と、層３ Ｌ３ ５８（ネットワーク層とも称する）である層に分割することができる。ある層は、１つのプロトコルのみを含み、そしてある層は、多数の異なるプロトコルを含む。
物理層Ｌ１ ５４は、データがいかにそしてどんな特性で転送されるかにより特徴付けられる搬送チャンネルを経て媒体アクセス制御（ＭＡＣ）層６０にサービスを提供する。
【００１８】
次いで、媒体アクセス制御（ＭＡＣ）層６０は、論理的チャンネルにより無線リンク制御ＲＬＣ層６２にサービスを提供する。論理的チャンネルは、どんな形式のデータが送信されるかにより特徴付けられる。媒体アクセス制御（ＭＡＣ）層６０では、論理的チャンネルが搬送チャンネルへマップされる。
無線リンク制御ＲＬＣ層６２は、この無線リンク制御ＲＬＣ層６２がデータパケットをいかに取り扱うかそして例えば自動繰り返し要求（ＡＲＱ）機能が使用されるかどうかを記述するサービスアクセスポイントＳＡＰを経て上位層にサービスを提供する。制御平面５０では、無線リンク制御ＲＬＣのサービスは、無線リソース制御ＲＲＣ層６４によりシグナリングの搬送に使用される。通常、最低限３つの無線リンク制御ＲＬＣエンティティ６２がシグナリング搬送に加わり、１つは透過的であり、１つは未確認であり、そして１つは確認モードエンティティである。ユーザ平面５２において、ＲＬＣサービスは、サービス特有のプロトコル層、即ちパケットデータ集中プロトコルＰＤＣＰ６６、又はブロードキャストマルチキャスト制御ＢＭＣ６８、或いは他の上位層ユーザ平面機能（例えば、スピーチコーデック）によって使用される。ＲＬＣサービスは、ＰＤＣＰ又はＢＭＣプロトコルを使用しないサービスに対し、制御平面ではシグナリング無線ベアラそしてユーザ平面では無線ベアラと称される。
【００１９】
パケットデータ集中プロトコル（ＰＤＣＰ）は、パケット交換ＰＳドメインサービス（ＳＧＳＮを経てルート指定されるサービス）に対してのみ存在し、その主たる機能は、ヘッダ圧縮であり、これは、送信エンティティにおいて冗長なプロトコル制御情報（例えば、ＴＣＰ／ＩＰ及びＲＴＰ／ＵＤＰ／ＩＰヘッダ）を圧縮し、そして受信エンティティにおいて圧縮解除することを意味する。ＰＤＣＰにより提供されるサービスは、無線ベアラと称される。
ブロードキャストマルチキャスト制御プロトコル（ＢＭＣ）は、ＧＳＭから派生するショートメッセージサービスＳＭＳセルブロードキャストサービスに対してのみ存在する。ＢＭＣプロトコルにより提供されるサービスも、無線ベアラと称される。
ＲＲＣ層６４は、サービスアクセスポイントを経て上位層（非アクセス層）にサービスを提供する。ユーザ装置ＵＥ６とコアネットワークＣＮ２との間の全ての上位層シグナリング（移動管理、コール制御、セッション管理等）は、無線インターフェイスを経て送信するためにＲＲＣメッセージにカプセル化される。
【００２０】
ＲＲＣ６４と全ての下位層プロトコルとの間の制御インターフェイスは、物理的、搬送及び論理的チャンネルに対するパラメータを含む下位層プロトコルエンティティの特性を構成するためにＲＲＣ層６４により使用される。例えば、ある形式の測定を遂行するように下位層に指令しそして下位層により測定結果及びエラーをＲＲＣに報告するために、ＲＲＣ層６４により同じ制御インターフェイスが使用される。
本発明の実施形態は、ＵＭＴＳ（ユニバーサル移動テレコミュニケーションシステム）について説明する。本発明は、全ての形式の通信、例えば、シグナリング、リアルタイムサービス及び非リアルタイムサービスに適用できる。しかしながら、本発明の実施形態は、他のいかなるシステムにも適用できることが明らかであろう。
【００２１】
第３世代のＵＭＴＳ規格に対する提案において、ＳＧＳＮ１６及びユーザ装置ＵＥ６、例えば移動ステーションは、移動管理ＭＭ（ＧＭＭとも称される）及びセッション管理ＳＭをサポートする上位層Ｌ３を有する。この上位層は、ショートメッセージサービスＳＭＳもサポートする。これら上位層Ｌ３プロトコルは、第２世代のＧＰＲＳシステムから派生される。ＳＭＳは、第３世代仕様書３ＧＰＰ  ＴＳ２３．０４０に記載された移動発信及び移動着信ショートメッセージサービスをサポートする。移動管理機能は、移動ステーションの位置、即ちネットワークへの移動ステーションのアタッチ位置と、認証とを管理する。従って、ＭＭは、アタッチ、デタッチ、セキュリティ（例えば、認証）及びルート更新のような移動管理機能をサポートする。ある実施形態では、ＭＭの認証手順の間に完全性キーが計算される。本発明のこの観点についての実施形態は、以下で詳細に説明する。
【００２２】
ＳＧＳＮ１６及びＲＮＳ２０は、無線アクセスネットワークアプリケーションプロトコル（ＲＡＮＡＰ）層を有する。このプロトコルは、Ｉｕインターフェイスベアラを制御するのに使用されるが、これも上位層シグナリングをカプセル化して搬送する。ＲＡＮＡＰは、ＳＧＳＮ１６とＲＮＳ２０との間のシグナリングを取り扱う。ＲＡＮＡＰは、第３世代仕様書３ＧＰＰ  ＴＳ２５．４１３に規定されている。移動ステーション６及びＲＮＳ２０の両方は、無線リソース制御プロトコルＲＲＣを有し、これは、例えば、上位層シグナリングメッセージ及びＳＭＳメッセージを送信するために無線インターフェイスを経て無線ベアラ制御を与える。この層は、移動ステーション６とＲＮＣ２４との間の通信の大部分を取り扱う。ＲＲＣは、例えば、第３世代仕様書３ＧＰＰ  ＴＳ２５．３３１に規定されている。
【００２３】
ＭＭ、ＳＭ及びＳＭＳメッセージは、ＲＡＮＡＰプロトコルメッセージ（このメッセージは３ＧＰＰ仕様書では直接転送と称される）にカプセル化されてＳＧＳＮ１６からＲＮＳ２０へ送信される。パケットは、ＲＮＣ２４のＲＡＮＡＰ層によりＲＮＣ２４のＲＲＣ層に転送される。ＲＮＳ２０の中継機能は、ＲＡＮＡＰヘッダを効果的に剥離し、そして適当なプリミティブを使用することによりペイロードをＲＲＣプロトコルへ転送し、従って、ＲＲＣ層は、それが、移動ステーション６に転送しなければならない上位層メッセージであることを知る。ＲＮＣ２４は、ペイロードにおいて上位層メッセージを搬送する（ＲＲＣ）メッセージに完全性チェック和を挿入する（ＲＲＣメッセージは、３ＧＰＰ仕様書において直接転送と称される）。ＲＮＣ２４は、メッセージを暗号化することもできる。これは、以下で詳細に説明する。ＲＮＳ２０は、エアインターフェイスを経て移動ステーション６へパケットを送る。
移動発信方向において、移動ステーション６のＲＲＣ層は、上位層メッセージを受信し、それをＲＲＣ直接転送メッセージにカプセル化し、そしてそれにメッセージ認証コードを追加した後に、それをＲＮＳ２０に送信する。メッセージは、ＲＲＣ層からＲＮＳ２０のＲＡＮＡＰ層へ中継される。ＲＮＳ２０は、メッセージに関連した情報をチェックし、パケットが完全性チェックされたかどうか調べる。
【００２４】
完全性チェック手順について以下に説明する。ほとんどの無線リソース制御ＲＲＣ、移動管理ＭＭ及びセッション管理ＳＭ（並びに他の上位層３プロトコル）情報エレメントは、敏感であると考えられ、一体性保護されねばならない。このため、移動ステーションとＲＮＳ２０との間に送信されるほとんどのＲＲＣシグナリングメッセージに完全性機能を適用することができる。しかしながら、完全性キーが分かる前に送信されたＲＲＣメッセージは無視される。この完全性機能は、完全性キーＩＫを伴う完全性アルゴリズムを使用して、所与のメッセージに対するメッセージ認証コードを計算する。これは、完全性キーＩＫ及び完全性アルゴリズムを両方とも有する移動ステーション及びＲＮＳにおいて実行される。  図３を参照し、完全性アルゴリズムを使用してメッセージ認証コードＭＡＣ−Ｉを計算することを説明する。
【００２５】
アルゴリズムへの入力パラメータは、完全性キーＩＫ、時間又はメッセージ番号従属入力ＣＯＵＮＴ−Ｉ、ネットワークにより発生されるランダム値ＦＲＥＳＨ、方向ビットＤＩＲＥＣＴＩＯＮ及びシグナリングデータＭＥＳＳＡＧＥである。後者の入力は、メッセージ又はデータパケットである。これらの入力パラメータに基づき、データ完全性のメッセージ認証コード（ＭＡＣ−Ｉ）が、完全性アルゴリズムＵＩＡにより計算される。このコードＭＡＣ−Ｉは、次いで、メッセージに添付され、その後、エアインターフェイスを経て移動ステーションとやり取りされる。
そのコード及びメッセージの受信者も、同じアルゴリズムＵＩＡを使用して、受信メッセージに対しデータ完全性のメッセージ認証コードＸＭＡＣ−Ｉを計算する。アルゴリズムＵＩＡは、メッセージの送信端と同じ入力を有する。アルゴリズムにより送信端で計算されたコード（ＭＡＣ−Ｉ）及び受信端で計算されたコード（ＸＭＡＣ−Ｉ）は、メッセージのデータ完全性を照合すべき場合に同じでなければならない。
【００２６】
入力パラメータＣＯＵＮＴ−Ｉは、各完全性保護されたメッセージに対して１だけ増加される値である。ＣＯＵＮＴ−Ｉは、２つの部分、即ち最上位部分としてのハイパーフレーム番号（ＨＦＮ）と、最下位部分としてのメッセージシーケンス番号とで構成される。ハイパーフレーム番号の初期値は、接続設定中に移動ステーションによりネットワークへ送信される。接続解除時に、移動ステーションは、接続からの最大使用ハイパーフレーム番号を記憶し、そしてそれを１だけ増加する。この値は、次いで、次の接続に対する初期ＨＦＮとして使用される。このようにして、ユーザは、異なる接続に対し同じ完全性キーと共にＣＯＵＮＴ−Ｉ値が再使用されない（ネットワークにより）ように保証される。（再）認証手順の後に、新たなＩＫが発生されて使用されるときには、ＨＦＮ値をゼロにリセットすることができる。
入力パラメータＦＲＥＳＨは、移動ステーションによるシグナリングメッセージの再生に対してネットワークを保護する。接続設定時に、ネットワークは、ランダム値ＦＲＥＳＨを発生し、そしてそれをユーザに送信する。この値ＦＲＥＳＨは、その後、単一の接続時間全体にわたりネットワーク及び移動ステーションの両方により使用される。このメカニズムは、移動ステーションが以前の接続からの古いメッセージ認証コードＭＡＣ−Ｉを再生しないことをネットワークに保証する。
【００２７】
完全性キーＩＫの設定について以下に述べる。このキーは、ネットワークオペレータが希望するときにいつでも変更することができる。キー設定は、移動ステーションの認識が分かるや否や行うことができる。キーＩＫは、ビジター位置レジスタに記憶され、そして必要なときにＲＮＣへ転送される。キーＩＫは、次の認証時に更新されるまで移動ステーションにも記憶される。
キー設定識別子ＫＳＩは、認証手順中に導出される暗号及び完全性キーに関連した番号である。これは、暗号及び完全性キーと共にＭＳ及びネットワークに記憶される。キー設定識別子は、その後の接続設定中にキーの再使用を許すために使用される。ＫＳＩは、ＭＳ及びネットワークが同じ暗号キー及び完全性キーを使用すべきかどうか照合するために使用される。
【００２８】
妥協したキーを使用した攻撃を回避するために、特定の完全性キーが無制限の期間にわたって使用されないように確保するメカニズムが設けられる。完全性キーを発生する認証は、接続設定時に指令されない。
移動ステーションは、次のＲＲＣ接続要求メッセージ送出時に、カウンタが、オペレータによって設定されて移動ステーションに記憶された最大値に到達した場合に、新たな暗号キー及び完全性キーの発生をトリガーするよう構成される。このメカニズムは、完全性キー及び暗号キーを、オペレータによって設定された限界回数を越えて再使用できないことを保証する。
完全性アルゴリズムが２つ以上あってもよく、そして移動ステーションと、アルゴリズムを定義する無線ネットワークコントローラとの間で情報が交換されることを理解されたい。メッセージの送信者と受信者は、同じアルゴリズムを使用しなければならないことに注意されたい。
【００２９】
移動ステーションがネットワークとの接続を確立しようとするときに、移動ステーションは、それがアルゴリズムのどのバージョンをサポートするかをネットワークに指示しなければならない。このメッセージは、それ自体完全性保護されそして認証手順の完了後にＲＮＣへ送信されねばならない。
ネットワークは、完全性保護能力及び優先順位並びに移動ステーションの契約の特殊な条件を、移動ステーションにより指示されたものと比較し、そして次のルールに基づいて動作する。
１）移動ステーション及びネットワークがアルゴリズムのバージョンを共通にもたない場合には、接続を解除しなければならない。
２）移動ステーション及びネットワークがアルゴリズムの少なくとも１つのバージョンを共通にもつ場合には、ネットワークは、その接続に使用するために相互に受け入れられるアルゴリズムバージョンの１つを選択しなければならない。
【００３０】
完全性保護は、メッセージ認証コードＭＡＣ−Ｉを、完全性保護されるべきメッセージに添付することにより実行される。移動ステーションは、ＲＮＣから接続特有のＦＲＥＳＨ値を受信するや否やメッセージにＭＡＣ−Ｉを添付することができる。
ハイパーフレーム番号ＨＦＮの値が、移動ステーションに記憶された最大値以上である場合には、移動ステーションは、ＲＲＣ接続設定において、新たな認証及びキー合意を開始する必要があることをネットワークに指示する。
ＲＮＣは、新たなセキュリティパラメータが必要とされることを検出するように構成される。これは、完全性チェックの（繰り返し）欠陥（例えば、ＣＯＵＮＴ−Ｉの同期がずれるか、又は新たなＲＮＣへのハンドオーバーが古いＲＮＣにより選択されたアルゴリズムをサポートしない等々）によってトリガーされる。
【００３１】
新たな暗号キーＣＫは、移動ステーションとＳＧＳＮとの間で認証手順が実行されるたびに確立される。
完全性キーＩＫは、あるベースステーションから異なるベースステーションへ移動ステーションがハンドオフする場合に変更される。
本発明の実施形態では、接続が設定された後の任意の時点及びアタッチ時にのみ完全性チェックが開始されることを理解されたい。
データ接続では、接続が比較的長時間にわたってオープンされてもよいし又は永久的にオープンとなってもよいことを理解されたい。
１つのシグナリング無線ベアラ、即ちＲＬＣにより提供されるサービスである制御平面上の無線ベアラは、移動ステーション又は他のユーザ装置６とＲＮＳ２０との間に確立できると合意されている。現在の３ＧＰＰ仕様書は、４つまでのシグナリング無線ベアラを形成できると提案している。
【００３２】
現在の３ＧＰＰ仕様では、２つ以上のシグナリング無線ベアラＳＲＢが、図３に示す完全性アルゴリズムに対して同じ入力パラメータをもつことができる。完全性アルゴリズムへの全ての入力パラメータが同じである場合には、出力も同じである。
この現在の提案は、上述したように、侵入者又は「中間にいる人」があるシグナリング無線ベアラから別のシグナリング無線ベアラを経てシグナリングメッセージを繰り返す可能性を開いたままにする。ＣＯＵＮＴ−Ｉ値は、各シグナリング無線ベアラに特有であり、異なるシグナリングベアラに対して異なるものである。次のようなシナリオを考える。メッセージが、７７のＣＯＵＮＴ値と共に、第１シグナリング無線ベアラＳＲＢ１に送信される。第２シグナリング無線ベアラＳＲＢ２のカウント値が７７に到達すると、無許可の当事者は、ＳＲＢ２を使用することによりＳＲＢ１に以前に送信されたメッセージを繰り返すことしかできない。
【００３３】
典型的に、第２のシグナリング無線ベアラにおいて繰り返されるシグナリング無線ベアラからの１つの単一シグナリングメッセージは、「中間にいる人」には顕著な効果を与えないが、無許可の当事者が長いダイアログを繰り返して、例えば、付加的なコールを設定し、「中間にいる人」がこれを使用して接続の一部分を盗用（スチール）することが考えられる。簡単な「繰り返し式攻撃」のケースは、無許可の当事者が、例えばＳＭＳを経て搬送されるダイアログを繰り返し、このダイアログが例えば金銭取引であるというものである。
現在の第３世代の提案では、この問題は、限定された数の環境でしか生じない。これは、４つのシグナリング無線ベアラ（ＳＲＢ）の使用が限定されることによるものである。あるシグナリング無線ベアラには、あるＲＲＣメッセージしか送信することができない。「繰り返し式攻撃」のシナリオは、非アクセス層（ＮＡＳ）メッセージ（ＲＲＣ直接転送で搬送されるＣＭ／ＭＭ／ＳＭＳ等のメッセージ）又はＵＥとＳＧＳＮ／ＭＳＮとの間のＮＡＳメッセージダイアログに対して考えられる。ＲＲＣ直接転送は、ペイロードにおいてエアインターフェイスを経て全てのＮＡＳメッセージを搬送するＲＲＣメッセージである。しかしながら、この問題は、例えば、ＳＭＳメッセージが悪影響を受けるので、移動ユーザに害を及ぼす。
【００３４】
「繰り返し式攻撃」の問題に対する基本的な解決策が２つある。第１に、同じ機密キーを使用する異なる通信チャンネルは、各シーケンス番号がいかなるチャンネルでもせいぜい一回使用されるようにシーケンス番号ＣＯＵＮＴ−Ｉの使用を整合することができる。この整合は、ある状態においては非常に厄介であり、不可能なこともある。この実施形態が第３世代のセルラーネットワークＵＭＴＳの無線インターフェイスに適用されたときには、通信チャンネルが無線ベアラと称されることを理解されたい。
以下で詳細に述べるように、本発明の実施形態は、メッセージ認証コードＭＡＣ−Ｉの計算に対して付加的なパラメータが入力として使用される解決策を使用する。このパラメータの値は、少なくとも、同じ機密キーを使用する各通信チャンネルにとって独特である。又、この値は、ユーザ装置ＵＥ６とＲＮＳ２０との間の１つの接続内にある全通信チャンネルに対して独特であってもよい。
【００３５】
本発明の更に別の実施形態では、この問題は、異なる並列の通信チャンネルに対して同じ完全性キーが決して使用されないことを保証することにより回避される。
図４を参照し、既知の完全性保護機能に対する本発明による変更について説明する。これらの変更は、実際の完全性アルゴリズムＵＩＡに対して何ら変更を生じさせない。
通信チャンネル特有のパラメータが完全性保護アルゴリズムに入力として追加される。３ＧＰＰ仕様では、この通信チャンネル特有のパラメータは、無線ベアラ識別子（ＲＢＩＤ）である。本発明の一例では、無線ベアラ識別は、提案されたＷＣＤＭＡ第３世代システムにおけるシグナリング無線ベアラの認識を表わし、そして０と３との間の数字である。使用する通信チャンネル特有のパラメータは、メッセージ認証コードが計算されるプロトコル層に依存することに注意されたい。更に、３ＧＰＰ仕様を一例として用いると、メッセージ認証コードがＲＬＣプロトコルに追加できる場合には、パラメータが論理的チャンネル（図２を参照）認識となる。別の考えられる例として、完全性保護がＰＤＣＰプロトコル層又はＲＲＣプロトコル層で実行される場合には、付加的なパラメータが無線ベアラ（図２を参照）認識となる。プロトコルスタックの制御平面部分を説明するときには、シグナリング無線ベアラ認識及び無線ベアラ認識の用語は同等であることを理解されたい。
【００３６】
シグナリング無線ベアラの認識は、送信者及び受信者、即ちユーザ装置ＵＥ６及びＲＮＳ２０の両方が知っているので、無線インターフェイスを経て認識情報を明確に送信する必要はない。
図４は、完全性アルゴリズムＵＩＡを変更せずに新たなパラメータを含むことのできるあり得る場所を示している。送信者及び受信者は、入力パラメータの観点から見たときに同様であるから（図３を参照）、図４には片側しか示されていない。受信部及び送信部は、同じアルゴリズムを遂行することを理解されたい。図４から明らかなように、好ましい実施形態は、新たなパラメータを、１つ以上の既存のアルゴリズム入力パラメータに（ストリングとして）添付することにより含む。
【００３７】
１つの実施形態では、シグナリング無線ベアラ識別ＲＢ  ＩＢが入力パラメータＦＲＥＳＨ又はＣＯＵＮＴ−Ｉの一部分とされる。これは、図４において番号「１」及び「２」で各々示されている。実際に、ＦＲＥＳＨ及びＣＯＵＮＴ−Ｉパラメータは、ＦＲＥＳＨ又はＣＯＵＮＴ−Ｉ情報と指示情報の両方を組み込む。例えば、ＦＲＥＳＨ値がｎビットを有する場合には、ＦＲＥＳＨ情報が「ａ」ビットで表わされそして識別情報が「ｂ」ビットで表わされ、ａ＋ｂ＝ｎである。これは、実際には、ＦＲＥＳＨパラメータを短縮することを意味する。ＣＯＵＮＴ−Ｉパラメータについても、同じ変更がなされる。１つの変形において、シグナリング無線ベアラ識別は、その一部分をＣＯＵＮＴ−Ｉパラメータで形成し、そしてその一部分をＦＲＥＳＨパラメータで形成することができる。しかしながら、ＣＯＵＮＴ−Ｉが短くされた場合には、「包み込む」即ち最大値に到達してゼロに戻るのに要する時間が短くなる。ＦＲＥＳＨパラメータが短縮された場合には、事故によって値を繰り返す（それがランダムに選択される）確率が高くなる。
【００３８】
更に別の実施形態では、シグナリング無線ベアラ「ｉｄ」が完全性キーＩＫの一部分となる。これは、図４に番号「４」で示されている。例えば、ＩＫ値がｎビットを有する場合には、ＩＫ情報が「ａ」ビットで表わされそして識別情報が「ｂ」ビットで表わされ、ａ＋ｂ＝ｎである。しかしながら、キーＩＫが更に短い場合には、キーを簡単に推測する確率が高くなる。
本発明の更に別の実施形態では、シグナリング無線ベアラの認識が、完全性アルゴリズムに送られるＭＥＳＳＡＧＥに組み込まれる。これは、図４に番号「３」で示されている。シグナリング無線ベアラの認識は、送信者及び受信者、即ち移動ステーション及びＲＮＳ２０の両方が知っているので、実際のＭＥＳＳＡＧＥと共に無線インターフェイスを経て認識情報を送信する必要がない。例えば、ＭＥＳＳＡＧＥがｎビットを有し、そして認識ＲＢ ＩＤがｉビットを有する場合には、認識アルゴリズムに送られる実際の「ＭＥＳＳＡＧＥ」は、ｎ＋１ビットを有する。従って、ＭＥＳＳＡＧＥのみが完全性アルゴリズムに入力されるのではなく、完全性アルゴリズムに送られるビットストリングは、シグナリング無線ベアラ認識及びＭＥＳＳＡＧＥとなる。この解決策は、完全性アルゴリズムに関連したセキュリティの問題（例えば、カウンタの長さ）には影響しない。これは、アルゴリズムに送られるパラメータが短くされないことを意味する。
【００３９】
ある実施形態では、識別情報を２つ以上の入力間で分割することができる。
図５は、本発明の更に別の実施形態を示し、この実施形態は、実際の完全性アルゴリズムＵＩＡに作用する。この実施形態では、完全性アルゴリズムに、図５に示すように付加的なパラメータが与えられる。この例では、完全性保護がＲＲＣプロトコル層で実行されるときに、付加的なパラメータは、（シグナリング）無線ベアラ識別ＲＢ  ＩＤであり、これは、（シグナリング）無線ベアラにとって独特のものである。このパラメータは、別々に入力され、そして完全性アルゴリズムＵＩＡにより実行される計算に使用される。
図６は、本発明の更に別の実施形態を示し、この実施形態は、実際の完全性アルゴリズムＵＩＡに影響する。この実施形態では、新たなパラメータベアラｉｄ（ＲＢ  ＩＤ）がパラメータＤＩＲＥＣＴＩＯＮと組み合わされる。この実施形態は、既存の即ち「古い」ＤＩＲＥＣＴＩＯＮパラメータを効果的に長くし、従って、実際の完全性アルゴリズムＵＩＡに作用する。
【００４０】
別の実施形態では、各無線ベアラに対して独特の完全性キーＩＫが発生される。これは、提案されたＵＭＴＳ仕様において移動管理ＭＭ及びセッション管理ＳＭをサポートする上位層Ｌ３の認証手順を変更することにより達成される。上記で簡単に述べたように、移動管理機能は、移動ステーションの位置、即ちネットワークへの移動ステーションのアタッチ位置と、認証とを管理する。変更された認証手順の間にシグナリング無線ベアラの各々で実行される完全性アルゴリズムは、上述した攻撃の形式を防止する独特の結果を与えることができる。
考えられる認証及びキー合意手順を示す図７ないし９を参照する。ここに述べるメカニズムは、ユーザ及びネットワークによる相互認証を達成し、ユーザのホーム環境ＨＥにおいてユーザサービス認識モジュールＵＳＩＭと認証センターＡｕＣとの間で共用されそしてそれらにのみ入手できる機密キーＫの知識を示す。更に、ＵＳＩＭ及びＨＥは、ネットワーク認証をサポートするためにカウンタＳＥＱMS及びＳＥＱHEを追跡する。
【００４１】
この手順は、例えば、現在のＧＳＭセキュリティアーキテクチャーに適合し、そしてＧＳＭからＵＭＴＳへの移動を容易にするように設計される。この方法は、ＧＳＭ加入者認証と同じチャレンジ／応答プロトコルと、キー確立プロトコルとで構成され、このプロトコルは、ＩＳＯ規格ＩＳＯ／ＩＥＣ９７９８−４から派生したネットワーク認証のためのシーケンス番号ベースの１パスプロトコルと組み合わされる。情報完全性キーの形成を説明する前に、認証及びキー合意メカニズムについて述べる。考えられる認証及びキー合意メカニズムの概要が図７に示されている。図８は、認証ベクトルを発生するための考えられる手順を示す。  ＶＬＲ／ＳＧＳＮから要求を受け取ると、ＨＥ／ＡｕＣは、ｎ個の認証ベクトルの順序付けされた配列体（ＧＳＭの「トリプレット」と同等）をＶＬＲ／ＳＧＳＮに送信する。各認証ベクトルは、次の成分、即ちランダム番号ＲＡＮＤ、予想応答ＸＲＥＳ、暗号キーＣＫ、完全性キーＩＫ、及び認証トークンＡＵＴＮで構成される。各認証ベクトルは、ＶＬＲ／ＳＧＳＮとＵＳＩＭとの間の１つの認証及びキー合意に対して良好である。
【００４２】
ＶＬＲ／ＳＧＳＮは、認証及びキー合意を開始すると、配列体から次の認証ベクトルを選択し、そしてパラメータＲＡＮＳ及びＡＵＴＮをユーザへ送信する。ＵＳＩＭは、ＡＵＴＮを受け入れられるかどうかチェックし、そしてもし受け入れられれば、応答ＲＥＳを発生し、これはＶＬＲ／ＳＧＳＮに返送される。又、ＵＳＩＭは、ＣＫ及びＩＫを計算する。ＶＬＲ／ＳＧＳＮは、受信したＲＥＳをＸＲＥＳと比較する。それらが一致する場合は、ＶＬＲ／ＳＧＳＮは、認証及びキー合意交換が首尾良く完了したと考える。確立されたキーＣＫ及びＩＫは、次いで、ＵＳＩＭ及びＶＬＲ／ＳＧＳＮにより、暗号化及び完全性機能を遂行するエンティティに転送される。提案されたＵＭＴＳシステムでは、これらのエンティティは、図２に示す無線インターフェイスプロトコルのどれかであるのが好ましい。これらエンティティは、ユーザ装置ＵＥ及び無線ネットワークコントローラＲＮＣに位置するのが好ましい。
【００４３】
ＶＬＲ／ＳＧＳＮは、ＨＥ／ＡｕＣリンクを使用できないときでも、ユーザに対して以前に導出された暗号及び完全性キーを用いて、認証及びキー合意の必要なく機密接続を設定できるようにすることにより、機密サービスを提供することができる。この場合に、認証は、シグナリングメッセージのデータ完全性保護により、共用完全性キーをベースとする。
認証を行う当事者は、ユーザのＨＥのＡｕＣ（ＨＥ／ＡｕＣ）及びユーザ移動ステーションのＵＳＩＭでなければならない。このメカニズムは、次の手順で構成される。
−  認証情報をＨＥ／ＡｕＣからＶＬＲ／ＳＧＳＮへ分配する。ＶＬＲ／ＳＧＳＮは、認証情報を機密裡に取り扱うためにユーザＨＥにより信用されると仮定する。又、ＶＬＲ／ＳＧＳＮとＨＥ／ＡｕＣとの間のイントラシステムリンクも充分に機密性があると仮定する。更に、ユーザはＨＥを信用すると仮定する。
−  ＶＬＲ／ＳＧＳＮとＭＳとの間で新たな暗号及び完全性キーを相互に認証しそして確立する。
−  以前に訪問したＶＬＲから新たに訪問するＶＬＲへ認証データを分配する。ＶＬＲ／ＳＧＳＮ間のリンクは充分に機密性があると仮定する。
【００４４】
ＨＥからＳＮへ認証データを分配する目的は、多数のユーザ認証を遂行するために、ＶＬＲ／ＳＧＳＮにユーザＨＥからのフレッシュな認証ベクトルの配列体を与えることである。ＶＬＲ／ＳＧＳＮは、ＨＥ／ＡｕＣに認証ベクトルを要求することにより手順を呼び出す。認証データ要求は、ユーザ認識を含まねばならない。ＩＭＵＩによりＶＬＲ／ＳＧＳＮにおいてユーザが分かる場合には、認証データ要求がＩＭＵＩを含まねばならない。暗号化された永久的な認識によりユーザが識別される場合には、ＨＥがＩＭＵＩを導出できるところのＨＬＲメッセージが含まれてもよい。この場合は、この手順と、「ＨＬＲへのユーザ認識要求」手順とを一体化するのが好ましい。
ＶＬＲ／ＳＧＳＮから認証データ要求を受信すると、ＨＥは、所要数の認証ベクトルを予め計算し、そしてそれらをＨＬＲデータベースから検索するか、又は要求に応じてそれらを計算する。ＨＥ／ＡｕＣは、ｎ個の認証ベクトルの順序付けされた配列体ＡＶ（１、・・ｎ）を含む認証応答をＶＬＲ／ＳＧＳＮに返送する。ＨＥ／ＡｕＣは、フレッシュシーケンス番号ＳＱＮ及び予想できないチャレンジＲＡＮＤを発生する。ユーザごとに、ＨＥ／ＡｕＣは、ＳＱＮHEであるカウンタも追跡する。
【００４５】
ＵＳＩＭにおいてシーケンス番号のフレッシュさを照合するメカニズムは、シーケンス番号の順序ずれした使用をある程度許容しなければならない。これは、同期欠陥による認証欠陥の割合が充分に低いよう保証するためである。これは、ＵＳＩＭが過去の成功裡な認証事象（例えばシーケンス番号又はその関連部分）に関する情報を記憶できることを必要とする。このメカニズムは、シーケンス番号が最後に発生されたｘ＝５０個のシーケンス番号の中にある場合にもそれを受け入れられるよう確保しなければならない。これは、時間ベースのシーケンス番号に対して経過時間に関する限界のような他の理由でシーケンス番号が拒絶されることを除外しなければならない。
種々の使用状態、特に、ＣＳ及びＰＳサービスドメインにおける同時登録や、認証情報を交換しないＶＬＲ／ＳＧＳＮ間又は超課金ネットワーク間でのユーザ移動のもとでも同期欠陥率が充分に低いことを保証するために、システムにわたって同じ最小数ｘを使用することが必要とされる。
【００４６】
ＳＥＱＨＥの使用は、シーケンス番号発生方法に特有なものである。認証及びキー管理フィールドＡＭＦは、各認証ベクトルの認証トークンに含まれる。
その後、次の値を計算することができる。
−  メッセージ認証コードＭＡＣ＝ｆ１k(ＳＱＮ‖ＲＡＮＤ‖ＡＭＦ)、
但し、ｆ１は、メッセージ認証関数である。
−  予想応答ＸＲＥＳ＝ｆ２k(ＲＡＮＤ)
但し、ｆ２は、（おそらく裁断される）メッセージ認証関数である。
−  暗号キーＣＫ＝ｆ３k(ＲＡＮＤ)
但し、ｆ３は、キー発生関数である。
−  完全性キーＩＫ＝ｆ４k(ＲＡＮＤ)
但し、ｆ４は、キー発生関数である。
−  匿名キーＡＫ＝ｆ５k(ＲＡＮＤ)
但し、ｆ５は、キー発生関数であるか又はｆ５＝０である。
【００４７】
本発明の実施形態によれば、２つ以上のＩＫが発生される。これは、例えば、ｆ４関数を、それが所望数（例えば４：図９参照）のＩＫを発生するように変更することにより、達成することができる。１つの可能性は、認証ベクトルの発生中にｆ４関数を数回トリガーしなければならないことを指定することである。これは、例えば、第２「ラウンド」において、新たなＲＡＮＤではなく、最初に発生されたＩＫ［１］をｆ４関数へ入力として供給することにより実施できる。第３「ラウンド」では、第２ラウンドで発生されたＩＫ［２］がｆ４関数に供給されて、第３の完全性キーＩＫ［３］が得られる。又、１つの可能性は、所望数のＲＡＮＤを関数ｆ４に入力することである。従って、当該システムに必要な数のＩＫを発生することができる。例えば、３ＧＰＰ、９９年発行の仕様書に基づくＵＭＴＳシステムでは、４つの完全性キーが必要とされる。
【００４８】
0003742772.tif 000002
認証及びキー合意手順の目的は、ユーザを認証し、そしてＶＬＲ／ＳＧＳＮとＭＳとの間に一対の暗号及び完全性キーを確立することである。認証中に、ユーザは、使用される認証ベクトルのフレッシュさを照合する。ＶＬＲ／ＳＧＳＮは、ＶＬＲデータベースにおいて認証ベクトルの順序付けされた配列体から次の未使用の認証ベクトルを選択することにより手順を読み出す。ＶＬＲ／ＳＧＳＮは、その選択された認証ベクトルからランダムチャレンジＲＡＮＤ及びネットワーク認証の認証トークンＡＵＴＮをユーザに送信する。ユーザは、それを受け取ると、図９に示すように処理を進める。
【００４９】
0003742772.tif 000003
本発明の実施形態によれば、ＵＳＩＭは、１つのＩＫだけを発生するのではなく、２つ以上のＩＫを発生する。上述したように、これは、例えば、認証ベクトルの発生中にｆ４関数を数回トリガーしなければならないことを指定するか又は所望数のＲＡＮＤをｆ４関数に入力することによりｆ４関数を変更することによって達成できる。これは、１つのＲＡＮＤ＋ＡＵＴＮの場合について上述したように、ネットワーク（ＳＮ／ＶＬＲ）が所要数のＲＡＮＤ及びＡＵＴＮをＵＥに送信することを必要とし、そしてＵＥは、ＲＡＮＤごとにＲＥＳを発生して全ての発生されたＲＥＳをネットワークに返送することが必要である。
【００５０】
本発明の実施形態は、非暗号化シグナリングを行うことができそして少なくとも２つの並列な無線ベアラに完全性のチェックを使用するいかなるシステムにも使用できる。
本発明の実施形態は、ワイヤレスセルラーテレコミュニケーションネットワークについて説明した。しかしながら、本発明の別の実施形態を、ワイヤレス又は他の形式の通信ネットワークに使用することもできる。本発明の実施形態は、完全性チェック等に複数の無線ベアラ等が並列に与えられるいかなる形式の通信にも使用できる。
【図面の簡単な説明】
【図１】  本発明の実施形態を使用できるセルラーネットワークの要素を示す図である。
【図２】  図１のユーザ装置ＵＥとノードＢとの間及びユーザ装置ＵＥと無線ネットワークコントローラＲＮＣとの間の無線インターフェイスＵｕプロトコルアーキテクチャーを示す図である。
【図３】  完全性保護機能を概略的に示す図である。
【図４】  本発明の実施形態により変更された完全性保護機能を示す図である。
【図５】  本発明の更に別の実施形態により変更された完全性保護機能を示す図である。
【図６】  本発明の更に別の実施形態を示す図である。
【図７】  認証及びキー合意手順を示す図である。
【図８】  認証ベクトルの発生を示す図である。
【図９】  本発明の実施形態によるＵＳＩＭにおけるユーザ認証機能の一例を示す図である。
【図１】
0003742772.tif 000004
【図２】
0003742772.tif 000005
【図３】
0003742772.tif 000006
【図４】
0003742772.tif 000007
【図５】
0003742772.tif 000008
【図６】
0003742772.tif 000009
【図７】
0003742772.tif 000010
【図８】
0003742772.tif 000011
【図９】
0003742772.tif 000012