(57)【要約】  本出願の実施形態は、ネットワークセキュリティ管理方法および装置を提供する。本方法は、端末デバイスによって送信されたセッション要求を第1のネットワークデバイスによって受信するステップであって、セッション要求は、第1のデータネットワークとの第1のセッションの確立を要求するために使用され、セッション要求は、第1のセッションの第1の認証情報を含み、第1の認証情報は、第1のデータネットワークの識別子情報を含む、ステップと、第1のネットワークデバイスによって、端末デバイスの第2のセッションの第2の認証情報を取得するステップであって、第2の認証情報は、第2のセッションが接続されている第2のデータネットワークの識別子情報を含む、ステップと、第1のデータネットワークの識別子情報が第2のデータネットワークの識別子情報と同じである場合、第1のネットワークデバイスによって、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するステップとを含む。本出願の実施形態を使用する利点は、端末デバイス認証の改善された効率、端末デバイス認証の低減されたリソース消費、およびネットワークセキュリティ管理の高められた適用性を含む。
2020527914.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークセキュリティ管理方法であって、前記方法は、
第1のネットワークデバイスによって、端末デバイスによって送信されたセッション要求を受信するステップであって、前記セッション要求は、第1のデータネットワークとの第1のセッションの確立を要求するために使用され、前記セッション要求は、前記第1のセッションの第1の認証情報を含み、前記第1の認証情報は、前記第1のデータネットワークの識別子情報を含む、ステップと、
前記第1のネットワークデバイスによって、前記端末デバイスの第2のセッションの第2の認証情報を取得するステップであって、前記第2の認証情報は、前記第2のセッションが接続されている第2のデータネットワークの識別子情報を含む、ステップと、
前記第1のデータネットワークの前記識別子情報が前記第2のデータネットワークの前記識別子情報と同じである場合、前記第1のネットワークデバイスによって、前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可するステップと
を含む、ネットワークセキュリティ管理方法。
【請求項２】
前記第1のデータネットワークの前記識別子情報が前記第2のデータネットワークの前記識別子情報と同じであることは、以下のうち少なくとも1つ、すなわち、
前記第1のデータネットワークのデータネットワーク番号DNNが前記第2のデータネットワークのDNNと同じであること、または
前記第1のデータネットワークの認証サーバが前記第2のデータネットワークの認証サーバと同じであること、または
前記第1のデータネットワークの認証サーバが属する同期認証サーバグループが前記第2のデータネットワークの認証サーバが属する同期認証サーバグループと同じであること
のうち少なくとも1つを含む、請求項1に記載の方法。
【請求項３】
前記第1のネットワークデバイスによって、前記端末デバイスの第2のセッションの第2の認証情報を取得する前記ステップは、
前記第1のネットワークデバイスによって、認証情報照会要求を第2のネットワークデバイスに送信するステップであって、前記認証情報照会要求は、前記端末デバイスのセッションの認証情報について照会するために使用される、ステップと、
前記第1のネットワークデバイスによって、前記第2のネットワークデバイスによってフィードバックされた前記第2のセッションの前記第2の認証情報を受信し、前記第2の認証情報から前記第2のデータネットワークの前記識別子情報を取得するステップと
を含み、前記第2のセッションは、前記端末デバイスの複数のセッションのうち少なくとも1つであり、前記第2のセッションの前記第2の認証情報または許可情報は、依然として有効期間内にある、請求項2に記載の方法。
【請求項４】
前記第1の認証情報は、前記第1のセッションによって使用される第1のセキュリティコンテキストをさらに含み、前記第2の認証情報は、前記第2のセッションによって使用される第2のセキュリティコンテキストをさらに含み、
前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可する前記ステップは、
前記第1のネットワークデバイスによって前記第2のセキュリティコンテキストを取得するステップと、
前記第2のセキュリティコンテキストが前記第1のセキュリティコンテキストと同じである場合に、前記データネットワークと前記第1のセッションを確立することを前記端末デバイスに許可するステップと
を含む、請求項2に記載の方法。
【請求項５】
前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可する前記ステップの後に、前記方法は、
前記第1のネットワークデバイスによって前記第2のセキュリティコンテキストを更新し、前記端末デバイスに記憶されている前記第2のセッションのセキュリティコンテキストを更新するように前記端末デバイスに命令するステップ
をさらに含む、請求項4に記載の方法。
【請求項６】
前記第1のネットワークデバイスによって前記第2のセキュリティコンテキストを取得する前記ステップは、
前記第1のネットワークデバイスによってセキュリティコンテキスト照会要求を第2のネットワークデバイスに送信するステップであって、前記セキュリティコンテキスト照会要求は、前記端末デバイスのセッションのセキュリティコンテキストについて照会するために使用される、ステップと、
前記第1のネットワークデバイスによって、前記第2のネットワークデバイスによってフィードバックされた前記第2のセッションの前記第2のセキュリティコンテキストを受信するステップと
を含み、前記第2のセッションは、前記端末デバイスの複数のセッションのうち少なくとも1つであり、前記第2のセッションの前記セキュリティコンテキストが依然として有効期間内にある、請求項4または5に記載の方法。
【請求項７】
前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可する前記ステップは、
前記第1のネットワークデバイスによってセッション認証または許可ポリシー照会要求を前記第2のネットワークデバイスに送信するステップと、
前記第1のネットワークデバイスによって、前記第2のネットワークデバイスによってフィードバックされたセッション認証または許可ポリシーを受信し、前記セッション認証または許可ポリシーに従って、前記第1のデータネットワークと前記第1のセッションを確立する権限範囲を前記端末デバイスに付与するステップと
を含む、請求項1から6のいずれか一項に記載の方法。
【請求項８】
前記方法は、
前記第1のデータネットワークの前記識別子情報が前記第2のデータネットワークの前記識別子情報と同じである場合に、前記第1のネットワークデバイスによってセッション認証要求を前記第1のデータネットワークの前記認証サーバに送信するステップであって、前記セッション認証要求は、前記第2の認証情報に基づいて前記第1のセッションに対して高速認証を開始するように前記認証サーバに命令するために使用される、ステップと、
前記認証サーバによってフィードバックされた高速認証成功応答メッセージが受信された場合、前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可するステップと
をさらに含む、請求項1に記載の方法。
【請求項９】
端末デバイスによって送信されたセッション要求を第1のネットワークデバイスによって受信する前記ステップの後に、前記方法は、
前記第1のネットワークデバイスによって前記セッション要求を前記第1のデータネットワークの前記認証サーバに転送するステップであって、前記セッション要求は、前記第1のセッションに対して高速認証を行うかどうかを判定するように前記認証サーバをトリガするために使用される、ステップと、
前記認証サーバが、前記第1のセッションに対して高速認証を行うと決定した場合、前記認証サーバが前記第1のセッションに対して高速認証を行った後に、前記第1のネットワークデバイスによって、前記認証サーバによってフィードバックされた高速認証成功応答メッセージを受信し、前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可するステップと
をさらに含む、請求項1に記載の方法。
【請求項１０】
ネットワークセキュリティ管理方法であって、前記方法は、
第2のネットワークデバイスによって送信された認証情報照会要求を第1のネットワークデバイスによって受信するステップであって、前記認証情報照会要求は、端末デバイスの識別子情報と、前記端末デバイスが確立を要求する第1のセッションが接続される第1のデータネットワークの識別子情報とを含む、ステップと、
前記端末デバイスの前記識別子情報および前記第1のデータネットワークの前記識別子情報に基づいて、前記第1のネットワークデバイスによって、前記第1のデータネットワークに接続するための前記端末デバイスの第2のセッションの認証情報を取得するステップと、
前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可するように前記第2のネットワークデバイスをトリガするために、前記第1のネットワークデバイスによって前記第2のセッションの前記認証情報を前記第2のネットワークデバイスにフィードバックするステップと
を含み、前記第2のセッションは、前記第1のデータネットワークに接続するために前記端末デバイスによって開始された複数のセッションのうち少なくとも1つである、ネットワークセキュリティ管理方法。
【請求項１１】
前記端末デバイスの前記第2のセッションの前記認証情報は、以下のうち少なくとも1つ、すなわち、端末デバイス識別子ID、事業者ネットワーク上の端末デバイス加入ID、前記第1のデータネットワーク上の端末デバイス加入ID、前記セッションが接続されている、前記事業者ネットワークのネットワークデバイスのID、前記セッションのセキュリティコンテキスト、前記セッションが接続されているデータネットワークの識別子情報、前記セッションが接続されている認証サーバの識別子情報、および成功したセッション認証の有効期間のうち少なくとも1つをさらに含み、
前記事業者ネットワーク上の前記端末デバイス加入ID、前記第1のデータネットワーク上の前記端末デバイス加入ID、および前記セッションの前記セキュリティコンテキストのうち少なくとも1つまたは2つが、前記端末デバイスに対する認証、高速認証、または許可に使用される、請求項10に記載の方法。
【請求項１２】
前記方法は、
前記第2のネットワークデバイスによって送信されたセッション認証または許可ポリシー照会要求を前記第1のネットワークデバイスによって受信するステップと、
前記第1のネットワークデバイスによってセッション認証または許可ポリシーを前記第2のネットワークデバイスにフィードバックするステップと
をさらに含み、前記セッション認証または許可ポリシーは、前記第1のデータネットワークと前記第1のセッションを確立する権限範囲を前記端末デバイスに付与するように前記第2のネットワークデバイスに命令するために使用される、請求項10または11に記載の方法。
【請求項１３】
ネットワークデバイスであって、前記ネットワークデバイスは、事業者ネットワークの第1のネットワークデバイスであり、前記第1のネットワークデバイスは、
端末デバイスによって送信されたセッション要求を受信し、前記セッション要求は、第1のデータネットワークとの第1のセッションの確立を要求するために使用され、前記セッション要求は、前記第1のセッションの第1の認証情報を含み、前記第1の認証情報は、前記第1のデータネットワークの識別子情報を含む、ように構成されたトランシーバユニットと、
前記端末デバイスの第2のセッションの第2の認証情報を取得し、前記第2の認証情報は、前記第2のセッションが接続されている第2のデータネットワークの識別子情報を含む、ように構成された処理ユニットと
を備え、前記処理ユニットは、前記第1のデータネットワークの前記識別子情報が前記第2のデータネットワークの前記識別子情報と同じである場合に、前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可するようにさらに構成されている、ネットワークデバイス。
【請求項１４】
前記第1のデータネットワークの前記識別子情報が前記第2のデータネットワークの前記識別子情報と同じであることは、以下のうち少なくとも1つ、すなわち、
前記第1のデータネットワークのデータネットワーク番号DNNが前記第2のデータネットワークのDNNと同じであること、または
前記第1のデータネットワークの認証サーバが前記第2のデータネットワークの認証サーバと同じであること、または
前記第1のデータネットワークの認証サーバが属する同期認証サーバグループが前記第2のデータネットワークの認証サーバが属する同期認証サーバグループと同じであること
のうち少なくとも1つを含む、請求項13に記載のネットワークデバイス。
【請求項１５】
前記事業者ネットワークは、第2のネットワークデバイスをさらに備え、
前記トランシーバユニットは、
認証情報照会要求を前記第2のネットワークデバイスに送信し、前記認証情報照会要求は、前記端末デバイスのセッションの認証情報について照会するために使用され、
前記第2のネットワークデバイスによってフィードバックされた前記第2のセッションの前記第2の認証情報を受信し、前記第2の認証情報から前記第2のデータネットワークの前記識別子情報を取得し、
前記第2のセッションは、前記端末デバイスの複数のセッションのうち少なくとも1つであり、前記第2のセッションの前記第2の認証情報または許可情報は、依然として有効期間内にある、
ようにさらに構成されている、請求項14に記載のネットワークデバイス。
【請求項１６】
前記第1の認証情報は、前記第1のセッションによって使用される第1のセキュリティコンテキストをさらに含み、前記第2の認証情報は、前記第2のセッションによって使用される第2のセキュリティコンテキストをさらに含み、
前記処理ユニットは、
前記第2のセキュリティコンテキストを取得し、前記第2のセキュリティコンテキストが前記第1のセキュリティコンテキストと同じである場合、前記データネットワークと前記第1のセッションを確立することを前記端末デバイスに許可する
ように構成されている、請求項14に記載のネットワークデバイス。
【請求項１７】
前記処理ユニットは、前記第2のセキュリティコンテキストを更新するようにさらに構成されており、
前記トランシーバユニットは、前記端末デバイスに記憶されている前記第2のセッションのセキュリティコンテキストを更新するよう前記端末デバイスに命令するようにさらに構成されている、
請求項16に記載のネットワークデバイス。
【請求項１８】
前記トランシーバユニットは、セキュリティコンテキスト照会要求を第2のネットワークデバイスに送信し、前記セキュリティコンテキスト照会要求は、前記端末デバイスのセッションのセキュリティコンテキストについて照会するために使用される、ようにさらに構成されており、
前記トランシーバユニットは、前記第2のネットワークデバイスによってフィードバックされた前記第2のセッションの前記第2のセキュリティコンテキストを受信するようにさらに構成されており、
前記第2のセッションは、前記端末デバイスの複数のセッションのうち少なくとも1つであり、前記第2のセッションの前記セキュリティコンテキストが依然として有効期間内にある、
請求項16または17に記載のネットワークデバイス。
【請求項１９】
前記トランシーバユニットは、セッション認証または許可ポリシー照会要求を前記第2のネットワークデバイスに送信するようにさらに構成されており、
前記トランシーバユニットは、前記第2のネットワークデバイスによってフィードバックされたセッション認証または許可ポリシーを受信するようにさらに構成されており、
前記処理ユニットは、前記トランシーバユニットによって受信された前記セッション認証または許可ポリシーに従って、前記第1のデータネットワークと前記第1のセッションを確立する権限範囲を前記端末デバイスに付与するようにさらに構成されている、
請求項13または18に記載のネットワークデバイス。
【請求項２０】
前記トランシーバユニットは、前記第1のデータネットワークの前記識別子情報が前記第2のデータネットワークの前記識別子情報と同じであるときに、セッション認証要求を前記第1のデータネットワークの認証サーバに送信し、前記セッション認証要求は、前記第2の認証情報に基づいて前記第1のセッションに対して高速認証を開始するように前記認証サーバに命令するために使用される、ようにさらに構成されており、
前記処理ユニットは、前記トランシーバユニットが前記認証サーバによってフィードバックされた高速認証成功応答メッセージを受信したときに、前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可するようにさらに構成されている、
請求項13に記載のネットワークデバイス。
【請求項２１】
前記トランシーバユニットは、前記セッション要求を前記第1のデータネットワークの認証サーバに転送し、前記セッション要求は、前記第1のセッションに対して高速認証を行うかどうかを判定するように前記認証サーバをトリガするために使用される、ようにさらに構成されており、
前記処理ユニットは、前記トランシーバユニットが前記認証サーバによってフィードバックされた高速認証成功応答メッセージを受信したときに、前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可するようにさらに構成されている、
請求項13に記載のネットワークデバイス。
【請求項２２】
ネットワークデバイスであって、前記ネットワークデバイスは、事業者ネットワーク上の第1のネットワークデバイスであり、前記事業者ネットワークは、第2のネットワークデバイスをさらに備え、前記第1のネットワークデバイスは、
前記第2のネットワークデバイスによって送信された認証情報照会要求を受信し、前記認証情報照会要求は、前記端末デバイスの識別子情報と、前記端末デバイスが確立を要求する第1のセッションが接続される第1のデータネットワークの識別子情報とを含む、ように構成されたトランシーバユニットと、
前記端末デバイスの前記識別子情報および前記第1のデータネットワークの前記識別子情報に基づいて、前記第1のデータネットワークに接続するための前記端末デバイスの第2のセッションの認証情報を取得するように構成された処理ユニットと
を備え、前記トランシーバユニットは、前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可するように前記第2のネットワークデバイスをトリガするために、前記第2のセッションの前記認証情報を前記第2のネットワークデバイスにフィードバックするように構成されており、
前記端末デバイスの前記第2のセッションは、前記第1のデータネットワークに接続するために前記端末デバイスによって開始された複数のセッションのうち少なくとも1つである、ネットワークデバイス。
【請求項２３】
前記端末デバイスの前記第2のセッションの前記認証情報は、以下のうち少なくとも1つ、すなわち、端末デバイス識別子ID、前記事業者ネットワーク上の端末デバイス加入ID、前記第1のデータネットワーク上の端末デバイス加入ID、前記セッションが接続されている、前記事業者ネットワークのネットワークデバイスのID、前記セッションのセキュリティコンテキスト、前記セッションが接続されているデータネットワークの識別子情報、前記セッションが接続されている認証サーバの識別子情報、および成功したセッション認証の有効期間のうち少なくとも1つをさらに含み、
前記事業者ネットワーク上の前記端末デバイス加入ID、前記第1のデータネットワーク上の前記端末デバイス加入ID、および前記セッションの前記セキュリティコンテキストのうち少なくとも1つまたは2つが、前記端末デバイスに対する認証、高速認証、または許可に使用される、請求項22に記載のネットワークデバイス。
【請求項２４】
前記トランシーバユニットは、前記第2のネットワークデバイスによって送信されたセッション認証または許可ポリシー照会要求を受信し、前記セッション認証または許可ポリシーを前記第2のネットワークデバイスにフィードバックするようにさらに構成されており、
前記セッション認証または許可ポリシーは、前記第1のデータネットワークと前記第1のセッションを確立する権限範囲を前記端末デバイスに付与するように前記第2のネットワークデバイスに命令するために使用される、
請求項22または23に記載のネットワークデバイス。
【請求項２５】
請求項13から21のいずれか一項に記載の、事業者ネットワークのネットワークデバイスと、請求項22から24のいずれか一項に記載の、事業者ネットワークのネットワークデバイスと、端末デバイスと、データネットワークの認証サーバとを備えるネットワークセキュリティ管理システムであって、
前記端末デバイスが、前記事業者ネットワークへのセッション要求を開始し、前記セッション要求は、前記データネットワークとの第1のセッションの確立を要求するために使用される、ように構成されており、
前記データネットワークの前記認証サーバが、前記第1のセッションに対して高速認証を行うかどうかを判定し、および／または前記第1のセッションに対して高速認証を行い、前記データネットワークと前記第1のセッションを確立することを前記端末デバイスに許可するように前記事業者ネットワークに命令するように構成されている、ネットワークセキュリティ管理システム。
【請求項２６】
ネットワークデバイスであって、前記ネットワークデバイスは、プロセッサ、メモリ、およびトランシーバを備え、
前記メモリは、プログラムコードを記憶するように構成されており、
前記プロセッサおよび前記トランシーバは、請求項1から9のいずれか一項に記載の方法を行うために、前記メモリに記憶されている前記プログラムコードを呼び出すように構成されている、ネットワークデバイス。
【請求項２７】
ネットワークデバイスであって、前記ネットワークデバイスは、プロセッサ、メモリ、およびトランシーバを備え、
前記メモリは、プログラムコードを記憶するように構成されており、
前記プロセッサおよび前記トランシーバは、請求項10から12のいずれか一項に記載の方法を行うために、前記メモリに記憶されている前記プログラムコードを呼び出すように構成されている、ネットワークデバイス。
【請求項２８】
ネットワークデバイスであって、前記ネットワークデバイスは、請求項1から9のいずれか一項に記載の方法を行うように構成されている、ネットワークデバイス。
【請求項２９】
ネットワークデバイスであって、前記ネットワークデバイスは、請求項10から12のいずれか一項に記載の方法を行うように構成されている、ネットワークデバイス。
【請求項３０】
コンピュータ記憶媒体であって、前記コンピュータ記憶媒体は、コンピュータソフトウェア命令を記憶しており、前記コンピュータソフトウェア命令が実行されると、請求項1から9のいずれか一項に記載の方法が行われる、コンピュータ記憶媒体。
【請求項３１】
コンピュータ記憶媒体であって、前記コンピュータ記憶媒体は、コンピュータソフトウェア命令を記憶しており、前記コンピュータソフトウェア命令が実行されると、請求項1から9のいずれか一項に記載の方法が行われる、コンピュータ記憶媒体。
【請求項３２】
ネットワークセキュリティ管理方法であって、前記方法は、
端末デバイスによって送信されたセッション要求を第1のネットワークデバイスによって受信するステップであって、前記セッション要求は、第1のデータネットワークとの第1のセッションの確立を要求するために使用される、ステップと、
前記第1のネットワークデバイスによって、前記端末デバイスが前記第1のデータネットワークによって認証されているかどうかを判定するステップと、
前記端末デバイスが前記第1のデータネットワークによって認証されている場合、前記第1のネットワークデバイスによって、前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可するステップと
を含む、ネットワークセキュリティ管理方法。
【請求項３３】
前記セッション要求は、前記第1のデータネットワークの認証情報を含み、
前記第1のネットワークデバイスによって、前記端末デバイスが前記第1のデータネットワークによって認証されているかどうかを判定する前記ステップは、
前記第1のデータネットワークの前記認証情報が前記端末デバイスが正常に認証されているセッションの認証情報と同じであるかどうかを判定するステップ
を含む、請求項32に記載の方法。
【請求項３４】
前記方法は、
前記端末デバイスが前記第1のデータネットワークによって認証されていない場合、前記第1のネットワークデバイスによって前記端末デバイスと前記第1のデータネットワークとの間の認証を開始するステップと、
前記端末デバイスと前記第1のデータネットワークとの間の前記認証が成功した場合、前記第1のネットワークデバイスによって前記第1のセッションの認証情報を統合データ管理ネットワーク要素に記憶するステップと
をさらに含む、請求項32または33に記載の方法。
【請求項３５】
前記第1のネットワークデバイスによって、前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可する前記ステップは、
前記第1のネットワークデバイスによってセッション認証または許可ポリシー照会要求を前記統合データ管理ネットワーク要素に送信するステップと、
前記第1のネットワークデバイスによって、前記統合データ管理ネットワーク要素によってフィードバックされたセッション認証または許可ポリシーを受信し、前記セッション認証または許可ポリシーに従って、前記第1のデータネットワークと前記第1のセッションを確立する権限範囲を前記端末デバイスに付与するステップと
を含む、請求項34に記載の方法。
【請求項３６】
前記第1のデータネットワークの前記認証情報は、前記第1のデータネットワークの識別子情報または前記第1のデータネットワークに対応するサーバの識別子情報である、請求項33から35のいずれか一項に記載の方法。
【請求項３７】
ネットワークセキュリティ管理方法であって、前記方法は、
セッション管理機能SMFネットワーク要素によって送信された認証情報照会要求を統合データ管理UDMネットワーク要素によって受信するステップであって、前記認証情報照会要求は、端末デバイスの識別子情報と、前記端末デバイスが確立を要求する第1のセッションが接続される第1のデータネットワークの識別子情報とを含む、ステップと、
前記端末デバイスの前記識別子情報および前記第1のデータネットワークの前記識別子情報に基づいて、前記UDMによって、前記第1のデータネットワークに接続するための前記端末デバイスの第2のセッションの認証情報を取得するステップと、
前記第1のネットワークデバイスによって前記第2のセッションの前記認証情報を前記第2のネットワークデバイスにフィードバックするステップであって、前記第2のセッションは、前記第1のデータネットワークに接続するために前記端末デバイスによって開始された複数のセッションのうち少なくとも1つである、ステップと
を含む、ネットワークセキュリティ管理方法。
【請求項３８】
前記端末デバイスの前記第2のセッションの前記認証情報は、以下のうち少なくとも1つ、すなわち、事業者ネットワーク上の端末デバイス加入識別子、前記第1のデータネットワーク上の端末デバイス加入識別子、前記第2のセッションが接続されている、前記事業者ネットワークのネットワークデバイス、前記第2のセッションのセキュリティコンテキスト、前記セッションが接続されているデータネットワークの識別子情報、前記第2のセッションが接続されている認証サーバの識別子情報、および前記第2のセッションの成功した認証の有効期間のうち少なくとも1つを含む、請求項37に記載の方法。
【請求項３９】
前記UDMによって前記SMFにフィードバックされる前記端末デバイスの前記第2のセッションの前記認証情報は、有効期間内の認証情報である、請求項37または38に記載の方法。
【請求項４０】
前記方法は、
前記SMFによって送信されたセッション認証または許可ポリシー照会要求を前記UDMによって受信するステップと、
前記UDMによってセッション認証または許可ポリシーを前記SMFにフィードバックするステップであって、前記セッション認証または許可ポリシーは、前記第1のデータネットワークと前記第1のセッションを確立する権限範囲を前記端末デバイスに付与するように前記SMFに命令するために使用される、ステップと
をさらに含む、請求項37から39のいずれか一項に記載の方法。
【請求項４１】
前記第1のデータネットワークの前記認証情報は、前記第1のデータネットワークの識別子情報または前記第1のデータネットワークに対応するサーバの識別子情報である、請求項37から39のいずれか一項に記載の方法。
【請求項４２】
ネットワークデバイスであって、前記デバイスは、プロセッサ、メモリ、およびトランシーバを備え、前記メモリは、プログラムコードを記憶しており、
前記プログラムコードが実行されると、前記プロセッサおよび前記トランシーバが、請求項32から36のいずれか一項に記載の方法を行う、ネットワークデバイス。
【請求項４３】
ネットワークデバイスであって、前記ネットワークデバイスは、プロセッサ、メモリ、およびトランシーバを備え、前記メモリは、プログラムコードを記憶しており、
前記プログラムコードが実行されると、前記プロセッサおよび前記トランシーバが、請求項37から41のいずれか一項に記載の方法を個々に行う、ネットワークデバイス。
【請求項４４】
ネットワークデバイスであって、前記ネットワークデバイスは、請求項32から36のいずれか一項に記載の方法を行うように構成されている、ネットワークデバイス。
【請求項４５】
ネットワークデバイスであって、前記ネットワークデバイスは、請求項37から41のいずれか一項に記載の方法を行うように構成されている、ネットワークデバイス。
【請求項４６】
コンピュータ記憶媒体であって、前記コンピュータ記憶媒体は、コンピュータソフトウェア命令を記憶しており、前記コンピュータソフトウェア命令が実行されると、請求項32から36のいずれか一項に記載の方法が行われる、コンピュータ記憶媒体。
【請求項４７】
コンピュータ記憶媒体であって、前記コンピュータ記憶媒体は、コンピュータソフトウェア命令を記憶しており、前記コンピュータソフトウェア命令が実行されると、請求項37から41のいずれか一項に記載の方法が行われる、コンピュータ記憶媒体。
【請求項４８】
チップであって、前記コンピュータ記憶媒体は、コンピュータソフトウェア命令を記憶しており、前記コンピュータソフトウェア命令が実行されると、請求項32から36のいずれか一項に記載の方法が行われる、チップ。
【請求項４９】
チップであって、前記コンピュータ記憶媒体は、コンピュータソフトウェア命令を記憶しており、前記コンピュータソフトウェア命令が実行されると、請求項37から41のいずれか一項に記載の方法が行われる、チップ。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、通信技術の分野に関し、特に、ネットワークセキュリティ管理方法および装置に関する。
【背景技術】
【０００２】
ネットワークセキュリティ管理において、端末デバイスは、ネットワークにアクセスする前に認証および許可される必要がある。端末デバイスは、認証および許可された後にのみネットワークにアクセスし得る。第4世代モバイル通信技術（the 4th generation mobile communication technology、4G）ネットワークでは、端末デバイスは、事業者ネットワークによって直接認証および許可される。これは、第5世代ワイヤレス（5th−Generation、5G、新無線（New radio）、NRとも呼ばれる）標準化プロセスでは一次認証（primary authentication）と呼ばれる。事業者ネットワークを使用することによって、事業者ネットワーク外のデータネットワーク（data network、DN）にアクセスすることを要求する端末デバイスも、DNにアクセスする前にDNによって認証および許可される必要がある。5G標準化プロセスにおいて、DNによる端末デバイスに対するこの認証および許可は、二次認証（secondary authentication）と呼ばれる。通常、第2の認証は、第1の認証の後に行われる。
【０００３】
既存の実施態様では、端末デバイスがDNへのパケットデータユニット（packet data unit、PDU）セッション接続を確立する必要があるとき、端末デバイスは、事業者ネットワークを使用することによってDNによって認証および許可される。DNが端末デバイスの二次認証結果を事業者ネットワークにフィードバックした後、事業者ネットワークは、その結果に基づいて、端末デバイスのためにDNへのPDUセッション接続を確立するかどうかを判定する。既存の実施態様では、二次認証はセッションごとに行われ、端末デバイスがDNとPDUセッションを確立する必要があるたびに、二次認証が行われる必要がある。端末デバイスが、1つのDNまたは1つの認証サーバ（グループ）に関連付けられた異なるDNと複数のPDUセッションを確立する必要がある場合、認証はDNによって繰り返される必要がある。認証効率が低く、リソースが著しく浪費される。
【発明の概要】
【０００４】
本出願の実施形態は、端末デバイス認証の効率を改善し、端末デバイス認証のリソース消費を低減し、ネットワークセキュリティ管理の適用性を高めるべく、ネットワークセキュリティ管理方法および装置を提供する。
【課題を解決するための手段】
【０００５】
第1の態様は、ネットワークセキュリティ管理方法であって、該方法は、事業者ネットワーク上の第1のネットワークデバイスによって実行され得、第1のネットワークデバイスは、アイデンティティ認証者として機能し、本方法は、
端末デバイスによって送信されたセッション要求を第1のネットワークデバイスによって受信するステップであって、セッション要求は、端末デバイスと第1のデータネットワークとの間に第1のセッションを確立するように第1のネットワークデバイスに要求するために使用され得、セッション要求は、第1のセッションの第1の認証情報を含む、ステップと、セッション要求で搬送された第1の認証情報と、端末デバイスによって以前に開始された、複数のセッションの中の第2のセッションのプリセットされた第2の認証情報とに基づいて、第1のネットワークデバイスによって、第1のデータネットワークと第1のセッションを確立することを端末デバイスに認証または許可するステップと
を含む、ネットワークセキュリティ管理方法を提供する。本出願のこの実施形態で提供される方法によれば、端末デバイスが新しいセッションを開始するとき、新しいセッションに対して高速認証を行うかどうかは、端末デバイスによって以前に開始された他のセッションの認証情報に基づいて判定され得る。新しいセッションに対して認証が必要とされない場合、端末デバイスは、第1のデータネットワークと第1のセッションを確立することを直接許可され得る。これは、セッション確立の効率を改善し、端末デバイスと事業者ネットワークのネットワークデバイスとデータネットワークとの間の余分なシグナリングオーバヘッドを低減し、セッション認証のリソース消費を低減し得、したがって、より良い適用性を有する。
【０００６】
任意選択で、端末デバイスによって送信されるセッション要求で搬送される第1の認証情報は、第1のデータネットワークの識別子情報を含み得、第1のネットワークデバイスは、ローカル記憶スペースから、端末デバイスによって以前に開始された第2のセッションが接続されている第2のデータネットワークの識別子情報を取得し得る。第1のデータネットワークの識別子情報が第2のデータネットワークの識別子情報と同じである場合、第1のネットワークデバイスは、第1のデータネットワークと第1のセッションを確立することを端末デバイスに直接許可し得る。端末デバイスによって開始された新しいセッションは、認証なしで確立され得る。端末デバイスは、新しいセッションのデータ送信チャネルを使用することによって、データネットワークとデータ送信相互作用を迅速に実行し得る。データ送信チャネルの確立は、より良い適用性を伴ってより効率的になる。
【０００７】
任意選択で、本出願のこの実施形態で説明されている、第1のデータネットワークの識別子情報が第2のデータネットワークの識別子情報と同じであることは、以下の1つまたは任意の組み合わせ、すなわち、
第1のデータネットワークに対応するデータネットワーク番号DNNが第2のデータネットワークに対応するDNNと同じであること、または
第1のデータネットワークに対応する認証サーバが第2のデータネットワークに対応する認証サーバと同じであること、または
第1のデータネットワークの認証サーバが属する同期認証サーバグループが第2のデータネットワークの認証サーバが属する同期認証サーバグループと同じであること
の1つまたは任意の組み合わせを含む。
【０００８】
本出願のこの実施形態では、新しいセッションが接続を要求するデータネットワークが、端末デバイスによって以前に開始されたセッションが接続されているデータネットワークと同じである場合、端末デバイスは、データネットワークと新しいセッションを確立することを直接許可され得る。本出願のこの実施形態では、新しいセッションが接続されるデータネットワークの認証サーバが、端末デバイスによって以前に開始されたセッションが接続されているデータネットワークの認証サーバと同じであるか、または認証サーバが同期認証サーバである場合、端末デバイスは、データネットワークと新しいセッションを確立することを直接許可され得る。本出願のこの実施形態でデータネットワークとセッションを確立することを端末デバイスに直接許可することは、多くのシナリオに適応可能である。したがって、より良い適用性が達成される。
【０００９】
任意選択で、アイデンティティ認証者として機能する第1のネットワークデバイスは、端末デバイスの加入データまたは以前に開始された他のセッションの認証情報を記憶しない、または記憶していない場合、端末デバイスの加入データまたは以前に開始されたセッションの認証情報は、第2のネットワークデバイスに記憶され得る。例えば、統合データ管理ネットワーク要素による管理の適用シナリオでは、第1のネットワークデバイスは、端末デバイスによって以前に開始されたセッションの認証情報について第2のネットワークデバイスに照会するために、認証情報照会要求を第2のネットワークデバイスに送信し得、第1のネットワークデバイスは、第2のネットワークデバイスによってフィードバックされた端末デバイスの第2のセッションの第2の認証情報を受信し、第2の認証情報から第2のデータネットワークの識別子情報を取得する。さらに、第1のセッションが接続を要求する第1のデータネットワークの識別子情報が、端末デバイスによって以前に開始されたセッションが接続されているデータネットワークの識別子情報と同じである場合、端末デバイスは、データネットワークと新しいセッション（すなわち、第1のセッション）を確立することを直接許可される。第2のセッションは、端末デバイスによって以前に開始された複数のセッションのうち少なくとも1つであり、第2のセッションの認証情報または第2のセッションの許可情報は依然として有効期間内にある。動作がよりフレキシブルになり、適用性がより良くなる。
【００１０】
任意選択で、端末デバイスが確立を要求する第1のセッションの第1の認証情報は、第1のセッションによって使用される第1のセキュリティコンテキストをさらに含み、端末デバイスによって以前に開始された第2のセッションの第2の認証情報は、第2のセッションによって使用された第2のセキュリティコンテキストを含む。第1のネットワークデバイスは、ローカル記憶スペースから、第2のセッションによって使用された第2のセキュリティコンテキストを取得し、第2のセキュリティコンテキストが第1のセキュリティコンテキストと同じである場合、同じセキュリティコンテキスト情報に基づいて、第1のデータネットワークと第1のセッションを確立することを端末デバイスに直接許可し得るか、または高速認証および許可を開始し得る。本出願のこの実施形態では、新しいセッションが接続を要求するデータネットワークが、端末デバイスによって以前に開始されたセッションが接続されているデータネットワークと同じである場合、またはデータネットワークのサーバが同じである場合、同じセキュリティコンテキストに基づいて、認証なしで新しいセッションに対して許可を直接実行することまたは高速認証を行うことを判定するために、セキュリティコンテキストが比較される。動作がより簡単になり、ネットワークセキュリティ管理のデータ処理効率がより高くなる。
【００１１】
任意選択で、本出願のこの実施形態で提供される実施態様では、第1のネットワークデバイスは、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可した後に、第2のセッションの第2のセキュリティコンテキストを更新し、端末デバイスに記憶されている第2のセッションのセキュリティコンテキストを更新するように端末デバイスに命令し得、これにより、ネットワークセキュリティ管理のより多くのセキュリティ要件、例えば、リプレイアタックを防ぐセキュリティ要件が満たされる。
【００１２】
任意選択で、本出願のこの実施形態で提供される実施態様では、アイデンティティ認証者として機能する第1のネットワークデバイスは、端末デバイスによって以前に開始されたセッションのセキュリティコンテキストなどの情報を記憶しない、または記憶していない場合、第2のネットワークデバイスは、端末デバイスによって以前に開始されたセッションのセキュリティコンテキストなどの情報について照会され得、端末デバイスによって開始された新しいセッションに対して認証を行うかどうかがさらに判定され得る。これは、具体的には、第1のネットワークデバイスによってセキュリティコンテキスト照会要求を第2のネットワークデバイスに送信するステップであって、セキュリティコンテキスト照会要求は、端末デバイスのセッションのセキュリティコンテキストについて照会するために使用される、ステップと、第1のネットワークデバイスによって、第2のネットワークデバイスによってフィードバックされた第2のセッションの第2のセキュリティコンテキストを受信するステップであって、第2のセッションは、端末デバイスの複数のセッションのうち少なくとも1つであり、第2のセッションのセキュリティコンテキストが依然として有効期間内にある、ステップとを含み得る。
【００１３】
本出願のこの実施形態で提供されるこの実施態様では、第1のネットワークデバイスは、端末デバイスによって以前に開始されたセッションのセキュリティコンテキストなどの認証情報について第2のネットワークデバイスに照会し得、新しいセッションが接続を要求するデータネットワークが、端末デバイスによって以前に開始されたセッションが接続されているデータネットワークと同じであるか、またはデータネットワークのサーバが同じである場合、同じセキュリティコンテキスト情報に基づいて、新しいセッションに対して許可を直接実行することまたは高速認証および許可を行うことを判定するためにセキュリティコンテキストをさらに比較し得る。データ取得方法は多様であり、セッション確立のための許可動作がより簡単になり、ネットワークセキュリティ管理のデータ処理効率がより高くなる。
【００１４】
任意選択で、端末デバイスのセッションの認証情報は、以下のうち少なくとも1つ、すなわち、事業者ネットワーク上の端末デバイス加入識別子ID、第1のデータネットワーク上の端末デバイス加入ID、セッションが接続されている、事業者ネットワークのネットワークデバイスのID、セッションのセキュリティコンテキスト、セッションが接続されているデータネットワークの識別子情報、セッションが接続されている認証サーバの識別子情報、および成功したセッション認証の有効期間のうち少なくとも1つを含む。
【００１５】
任意選択で、事業者ネットワーク上の端末デバイス加入ID、第1のデータネットワーク上の端末デバイス加入ID、およびセッションのセキュリティコンテキストのうち少なくとも1つまたは2つが、端末デバイスに対する認証、高速認証、または許可に使用される。
【００１６】
任意選択で、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するステップは、
第1のネットワークデバイスによってセッション認証または許可ポリシー照会要求を第2のネットワークデバイスに送信するステップと、
第2のネットワークデバイスによってフィードバックされたセッション認証または許可ポリシーを第1のネットワークデバイスによって受信し、セッション認証または許可ポリシーに従って、第1のデータネットワークと第1のセッションを確立する権限範囲を端末デバイスに付与するステップと
を含む。
【００１７】
本出願のこの実施形態で提供されるこの実施態様では、アイデンティティ認証者として機能する第1のネットワークデバイスは、セッション認証または許可ポリシーについて第2のネットワークデバイスに照会し、第2のネットワークデバイスによって提供されるセッション認証または許可ポリシーに従って、第1のデータネットワークと第1のセッションを確立する権限範囲を端末デバイスに付与し得る。
【００１８】
任意選択で、本出願のこの実施形態で提供される方法は、
第1のデータネットワークの識別子情報が第2のデータネットワークの識別子情報と同じである場合に、第1のネットワークデバイスによってセッション認証要求を第1のデータネットワークの認証サーバに送信するステップであって、セッション認証要求は、第2の認証情報に基づいて第1のセッションに対して高速認証を開始するように認証サーバに命令するために使用される、ステップと、
認証サーバによってフィードバックされた高速認証成功応答メッセージが受信された場合、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するステップと
をさらに含む。
【００１９】
任意選択で、端末デバイスによって送信されたセッション要求を第1のネットワークデバイスによって受信するステップの後に、本方法は、
第1のネットワークデバイスによってセッション要求を第1のデータネットワークの認証サーバに転送するステップであって、セッション要求は、第1のセッションに対して高速認証を行うかどうかを判定するように認証サーバをトリガするために使用される、ステップと、
認証サーバが、第1のセッションに対して高速認証を行うと決定した場合、認証サーバが第1のセッションに対して高速認証を行った後に、第1のネットワークデバイスによって、認証サーバによってフィードバックされた高速認証成功応答メッセージを受信し、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するステップと
をさらに含む。
【００２０】
本出願のこの実施形態のこの実施態様では、第1のセッションに対する高速認証は、EAP再認証プロトコルERPを含み得る。EAP認証を使用するシステムでは、端末デバイスおよび認証サーバは、アイデンティティ認証者を使用することによって完全なEAP認証手順を実行する。端末デバイスがあるアイデンティティ認証者から他のアイデンティティ認証者に移動する（データネットワークの認証サーバは変更されない）とき、他の完全なEAP認証手順を実行する必要なく、ERPメカニズムを使用することによって、アイデンティティ認証者間の高速で安全な切り替えが実施され得る。本出願のこの実施形態で説明されているERPは1つのEAP認証方法に限定されないだけでなく、複数のEAP認証方法がサポートされることに留意されたい。
【００２１】
任意選択で、第1のセッションに対する高速認証は、セキュアトンネリングによるEAPフレキシブル認証（EAP−FAST）を含み得る。EAP−FASTプロトコルは、2つのステージを含む。ステージ1では、トランスポート層セキュリティTLSプロトコルに基づいて、端末デバイスとDNとの間にセキュアトンネルが確立される。ステージ2では、セキュアトンネルを再確立する必要なく、セキュアトンネルが高速で復元され、これにより、安全で高速な接続確立が実施される。ここで適用されるEAP−FASTの場合、端末デバイスに対する1番目の二次認証は、EAP−FASTのステージ1に対応し、端末デバイスの2番目の二次認証は、ステージ2に対応する。
【００２２】
任意選択で、前述の二次認証の高速認証は、他の高速認証プロトコルを含み得る。ここでは制限は課されない。
【００２３】
前述の高速認証方法は、通常、物理認証ノード間で切り替えが実行されるときに実行される高速認証に使用される。本出願のこの実施形態では、物理認証ノード間で実行される前述の高速認証方法は、端末デバイスとDNとの間の二次認証の高速認証に使用され得る。ERPおよびEAP−FAST高速認証方法（これらについては、それぞれIETF EAPプロトコルRFC 6696およびRFC 4851への参照が行われ得る）によって提供される実施態様は、ここでは限定されない。
【００２４】
任意選択で、再認証などの前述の高速認証方法は、第1のネットワークデバイスによって開始され得、第1のネットワークデバイスは、第1のセッションに対して再認証などの高速認証および許可を行うようにデータネットワークの認証サーバをトリガするために、セッション認証要求を認証サーバに送信する。
【００２５】
任意選択で、再認証などの前述の高速認証方法は、代替的に、第1のネットワークデバイスの認識なしでデータネットワークの認証サーバによって決定および／または開始され得る。第1のネットワークデバイスは、第1のセッションに対して高速認証を行うかどうかを判定するように認証サーバをトリガするためにセッション要求を認証サーバに転送し得る。認証サーバによってフィードバックされた高速認証成功応答メッセージを受信すると、第1のネットワークデバイスは、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可し得る。本出願のこの実施形態で提供されるネットワークセキュリティ管理は、多くのシナリオに適応可能である。動作がよりフレキシブルになり、適用性がより良くなる。
【００２６】
第2の態様は、事業者ネットワーク上のデータ管理ネットワーク要素として機能する第1のネットワークデバイスによって実行され得るネットワークセキュリティ管理方法であって、データネットワーク要素が、事業者ネットワーク上のアイデンティティ認証者として機能する第2のネットワークデバイスに端末デバイスの認証情報を提供し得、本方法は、
第2のネットワークデバイスによって送信された認証情報照会要求を第1のネットワークデバイスによって受信するステップであって、認証情報照会要求は、端末デバイスの識別子情報と、端末デバイスが確立を要求する第1のセッションが接続される第1のデータネットワークの識別子情報とを含む、ステップと、
端末デバイスの識別子情報および第1のデータネットワークの識別子情報に基づいて、第1のネットワークデバイスによって、第1のデータネットワークに接続するための端末デバイスの第2のセッションの認証情報を取得するステップと、
第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するように第2のネットワークデバイスをトリガするために、第1のネットワークデバイスによって第2のセッションの認証情報を第2のネットワークデバイスにフィードバックするステップと
を含み得、第2のセッションは、第1のデータネットワークに接続するために端末デバイスによって開始された複数のセッションのうち少なくとも1つである、ネットワークセキュリティ管理方法を提供する。
【００２７】
任意選択で、端末デバイスの第2のセッションの認証情報は、以下のうち少なくとも1つ、すなわち、事業者ネットワーク上の端末デバイス加入識別子ID、第1のデータネットワーク上の端末デバイス加入識別子ID、セッションが接続されている、事業者ネットワークのネットワークデバイスのID、セッションのセキュリティコンテキスト、セッションが接続されているデータネットワークの識別子情報、セッションが接続されている認証サーバの識別子情報、および成功したセッション認証の有効期間のうち少なくとも1つを含む。
【００２８】
任意選択で、事業者ネットワーク上の端末デバイス加入識別子ID、第1のデータネットワーク上の端末デバイス加入識別子ID、およびセッションのセキュリティコンテキストのうち少なくとも1つまたは2つが、端末デバイスに対する認証、高速認証、または許可に使用される。
【００２９】
任意選択で、認証情報照会要求は、第1のデータネットワークの識別子情報をさらに含み、
第1のネットワークデバイスによって端末デバイスのセッションの認証情報を第2のネットワークデバイスにフィードバックするステップは、
端末デバイスの複数の事前に記憶されたセッションから、第1のネットワークデバイスによって、第1のデータネットワークに接続されている第2のセッションを決定し、第2のセッションの認証情報を第2のネットワークデバイスにフィードバックするステップ
を含み、第2のセッションは、端末デバイスの複数のセッションのうち少なくとも1つであり、第2のセッションの認証情報または許可情報は依然として有効期間内にある。
【００３０】
任意選択で、本方法は、
第2のネットワークデバイスによって送信されたセッション認証または許可ポリシー照会要求を第1のネットワークデバイスによって受信するステップと、
第1のネットワークデバイスによってセッション認証または許可ポリシーを第2のネットワークデバイスにフィードバックするステップと
をさらに含み、セッション認証または許可ポリシーは、第1のデータネットワークと第1のセッションを確立する権限範囲を端末デバイスに付与するように第2のネットワークデバイスに命令するために使用される。
【００３１】
本出願のこの実施形態で提供される実施態様では、データ管理ネットワーク要素は、データネットワークに接続するために端末デバイスによって開始されたセッションの認証情報を記憶し、さらに、アイデンティティ認証者が端末デバイスによって開始された新しいセッションを処理する必要があるときに、新しいセッションに対して認証が行われる必要があるかどうかを判定するアイデンティティ認証者のために、端末デバイスによって以前に開始されたセッションの認証情報をアイデンティティ認証者に提供し得るか、またはデータネットワークと新しいセッションを確立することを端末デバイスに直接許可し得る。これは、ネットワークセキュリティ管理のセッション認証処理方法を多様化し、ネットワークセキュリティ管理のセッション処理効率を改善する。本出願のこの実施形態で提供される実施態様では、データ管理ネットワーク要素は、セッション認証または許可ポリシーをアイデンティティ認証者にさらに提供し得る。これは、端末デバイスのセッションに対する認証または許可の利便性を改善し得、適用性がより良くなる。
【００３２】
第3の態様は、ネットワークデバイスであって、ネットワークデバイスは、事業者ネットワークの第1のネットワークデバイスであり、第1のネットワークデバイスは、
端末デバイスによって送信されたセッション要求を受信し、セッション要求は、第1のデータネットワークとの第1のセッションの確立を要求するために使用され、セッション要求は、第1のセッションの第1の認証情報を含み、第1の認証情報は、第1のデータネットワークの識別子情報を含む、ように構成されたトランシーバユニットと、
端末デバイスの第2のセッションの第2の認証情報を取得し、第2の認証情報は、第2のセッションが接続されている第2のデータネットワークの識別子情報を含む、ように構成された処理ユニットと
を含み、処理ユニットは、第1のデータネットワークの識別子情報が第2のデータネットワークの識別子情報と同じである場合に、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するようにさらに構成されている、ネットワークデバイスを提供する。
【００３３】
任意選択で、第1の認証情報は、第1のデータネットワークの識別子情報を含み、第2の認証情報は、第2のセッションが接続されている第2のデータネットワークの識別子情報を含み、
処理ユニットは、
第2のデータネットワークのプリセット識別子情報を取得し、第1のデータネットワークの識別子情報が第2のデータネットワークの識別子情報と同じである場合、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可する
ように構成される。
【００３４】
任意選択で、第1のデータネットワークの識別子情報が第2のデータネットワークの識別子情報と同じであることは、以下のうち少なくとも1つ、すなわち、
第1のデータネットワークのデータネットワーク番号DNNが第2のデータネットワークのDNNと同じであること、または
第1のデータネットワークの認証サーバが第2のデータネットワークの認証サーバと同じであること、または
第1のデータネットワークの認証サーバが属する同期認証サーバグループが第2のデータネットワークの認証サーバが属する同期認証サーバグループと同じであること
のうち少なくとも1つを含む。
【００３５】
任意選択で、事業者ネットワークは、第2のネットワークデバイスをさらに含み、
トランシーバユニットは、
認証情報照会要求を第2のネットワークデバイスに送信し、認証情報照会要求は、端末デバイスのセッションの認証情報について照会するために使用され、
第2のネットワークデバイスによってフィードバックされた第2のセッションの第2の認証情報を受信し、第2の認証情報から第2のデータネットワークの識別子情報を取得し、
第2のセッションは、端末デバイスの複数のセッションのうち少なくとも1つであり、第2のセッションの第2の認証情報または認証もしくは許可情報は、依然として有効期間内にある、
ようにさらに構成される。
【００３６】
任意選択で、第1の認証情報は、第1のセッションによって使用される第1のセキュリティコンテキストをさらに含み、第2の認証情報は、第2のセッションによって使用される第2のセキュリティコンテキストをさらに含み、
処理ユニットは、
プリセットされた第2のセキュリティコンテキストを取得し、第2のセキュリティコンテキストが第1のセキュリティコンテキストと同じである場合、データネットワークと第1のセッションを確立することを端末デバイスに許可する
ように構成される。
【００３７】
任意選択で、処理ユニットは、第2のセキュリティコンテキストを更新するようにさらに構成され、
トランシーバユニットは、端末デバイスに記憶されている第2のセッションのセキュリティコンテキストを更新するよう端末デバイスに命令するようにさらに構成される。
【００３８】
任意選択で、トランシーバユニットは、セキュリティコンテキスト照会要求を第2のネットワークデバイスに送信し、セキュリティコンテキスト照会要求は、端末デバイスのセッションのセキュリティコンテキストについて照会するために使用される、ようにさらに構成され、
トランシーバユニットは、第2のネットワークデバイスによってフィードバックされた第2のセッションの第2のセキュリティコンテキストを受信するようにさらに構成され、
第2のセッションは、端末デバイスの複数のセッションのうち少なくとも1つであり、第2のセッションのセキュリティコンテキストは依然として有効期間内にある。
【００３９】
任意選択で、トランシーバユニットは、セッション認証または許可ポリシー照会要求を第2のネットワークデバイスに送信するようにさらに構成され、
トランシーバユニットは、第2のネットワークデバイスによってフィードバックされたセッション認証または許可ポリシーを受信するようにさらに構成され、
処理ユニットは、トランシーバユニットによって受信されたセッション認証または許可ポリシーに従って、第1のデータネットワークと第1のセッションを確立する権限範囲を端末デバイスに付与するようにさらに構成される。
【００４０】
任意選択で、トランシーバユニットは、第1のデータネットワークの識別子情報が第2のデータネットワークの識別子情報と同じであるときに、セッション認証要求を第1のデータネットワークの認証サーバに送信し、セッション認証要求は、第2の認証情報に基づいて第1のセッションに対して高速認証を開始するように認証サーバに命令するために使用される、ようにさらに構成され、
処理ユニットは、トランシーバユニットが認証サーバによってフィードバックされた高速認証成功応答メッセージを受信したときに、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するようにさらに構成される。
【００４１】
任意選択で、トランシーバユニットは、セッション要求を第1のデータネットワークの認証サーバに転送し、セッション要求は、第1のセッションに対して高速認証を行うかどうかを判定するように認証サーバをトリガするために使用される、ようにさらに構成され、
処理ユニットは、トランシーバユニットが認証サーバによってフィードバックされた高速認証成功応答メッセージを受信したときに、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するようにさらに構成される。
【００４２】
第4の態様は、ネットワークデバイスであって、ネットワークデバイスは、事業者ネットワーク上の第1のネットワークデバイスであり、事業者ネットワークは、第2のネットワークデバイスをさらに含み、第1のネットワークデバイスは、
第2のネットワークデバイスによって送信された認証情報照会要求を受信し、認証情報照会要求は、端末デバイスの識別子情報と、端末デバイスが確立を要求する第1のセッションが接続される第1のデータネットワークの識別子情報とを含む、ように構成されたトランシーバユニットと、
端末デバイスの識別子情報および第1のデータネットワークの識別子情報に基づいて、第1のデータネットワークに接続するための端末デバイスの第2のセッションの認証情報を取得するように構成された処理ユニットと
を含み、トランシーバユニットは、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するように第2のネットワークデバイスをトリガするために、第2のセッションの認証情報を第2のネットワークデバイスにフィードバックするように構成されており、
端末デバイスの第2のセッションは、第1のデータネットワークに接続するために端末デバイスによって開始された複数のセッションのうち少なくとも1つである、ネットワークデバイスを提供する。
【００４３】
任意選択で、端末デバイスの第2のセッションの認証情報は、以下のうち少なくとも1つ、すなわち、事業者ネットワーク上の端末デバイス加入識別子ID、第1のデータネットワーク上の端末デバイス加入識別子ID、セッションが接続されている、事業者ネットワークのネットワークデバイスのID、セッションのセキュリティコンテキスト、セッションが接続されているデータネットワークの識別子情報、セッションが接続されている認証サーバの識別子情報、および成功したセッション認証の有効期間のうち少なくとも1つをさらに含む。
【００４４】
任意選択で、認証情報照会要求は、第1のデータネットワークの識別子情報をさらに含み、
ネットワークデバイスは、
記憶ユニットに事前に記憶された、端末デバイスの複数のセッションから、第1のデータネットワークに接続されている第2のセッションを決定するように構成された処理ユニット
をさらに含み、トランシーバユニットは、処理ユニットによって決定された第2のセッションの認証情報を第2のネットワークデバイスにフィードバックするように構成され、
第2のセッションは、端末デバイスの複数のセッションのうち少なくとも1つであり、第2のセッションの認証情報または許可情報は依然として有効期間内にある。
【００４５】
任意選択で、記憶ユニットは、セッション認証または許可ポリシーを記憶するようにさらに構成され、
トランシーバユニットは、第2のネットワークデバイスによって送信されたセッション認証または許可ポリシー照会要求を受信し、セッション認証または許可ポリシーを第2のネットワークデバイスにフィードバックするようにさらに構成され、
セッション認証または許可ポリシーは、第1のデータネットワークと第1のセッションを確立する権限範囲を端末デバイスに付与するように第2のネットワークデバイスに命令するために使用される。
【００４６】
第5の態様は、ネットワークセキュリティ管理システムであって、該システムが、第3の態様で提供されるネットワークデバイスと、第3の態様で提供されるネットワークデバイスと、端末デバイスと、データネットワークの認証サーバとを含み得、
端末デバイスが、事業者ネットワークへのセッション要求を開始し、セッション要求は、データネットワークとの第1のセッションの確立を要求するために使用される、ように構成されており、
データネットワークの認証サーバが、第1のセッションに対して高速認証を行うかどうかを判定し、および／または第1のセッションに対して高速認証を行い、データネットワークと第1のセッションを確立することを端末デバイスに許可するように事業者ネットワークに命令するように構成されている、ネットワークセキュリティ管理システムを提供する。
【００４７】
第6の態様は、ネットワークデバイスであって、ネットワークデバイスは、プロセッサ、メモリ、トランシーバ、およびバスシステムを含み得、
メモリ、プロセッサ、およびトランシーバが、バスシステムを使用することによって接続されており、
メモリが、プログラムコードのグループを記憶するように構成されており、
プロセッサおよびトランシーバが、第1の態様で提供される方法を実行するために、メモリに記憶されているプログラムコードを呼び出すように構成されている、ネットワークデバイスを提供する。
【００４８】
第7の態様は、ネットワークデバイスであって、ネットワークデバイスは、プロセッサ、メモリ、トランシーバ、およびバスシステムを含み得、
メモリ、プロセッサ、およびトランシーバが、バスシステムを使用することによって接続されており、
メモリが、プログラムコードのグループを記憶するように構成されており、
プロセッサおよびトランシーバが、第2の態様で提供される方法を実行するために、メモリに記憶されているプログラムコードを呼び出すように構成されている、ネットワークデバイスを提供する。
【００４９】
第8の態様によれば、本出願の一実施形態は、第3の態様で提供されるネットワークデバイスによって使用されるコンピュータソフトウェア命令を記憶するように構成されたコンピュータ記憶媒体を提供する。コンピュータソフトウェア命令は、第1の態様で提供される方法を実行するために設計されたプログラムを含む。
【００５０】
第9の態様によれば、本出願の一実施形態は、第4の態様で提供されるネットワークデバイスによって使用されるコンピュータソフトウェア命令を記憶するように構成されたコンピュータ記憶媒体を提供する。コンピュータソフトウェア命令は、第2の態様で提供される方法を実行するために設計されたプログラムを含む。
【００５１】
第10の態様によれば、本出願の一実施形態は、チップをさらに提供し、このチップは、ネットワークデバイスのトランシーバに結合され、本出願の実施形態の第1の態様または第2の態様の技術的解決策を実行するように構成される。本出願のこの実施形態では、「結合」は、2つの構成要素が互いに直接的または間接的に接続されることを意味することを理解されたい。この接続は固定式であっても可動式であってもよい。この接続は、流れる液体、電気、電気信号、または他のタイプの信号が2つの構成要素間で伝わることを可能にし得る。
【００５２】
本出願の実施形態を実施することによって、端末デバイス認証の効率が改善され得、端末デバイス認証のリソース消費が低減され得、ネットワークセキュリティ管理の適用性が高められ得る。
【図面の簡単な説明】
【００５３】
【図１】本出願の一実施形態によるサービス指向アーキテクチャに基づく5Gネットワークアーキテクチャの概略図である。
【図２Ａ】本出願の一実施形態による二次認証の認証相互作用の概略図である。
【図２Ｂ】本出願の一実施形態による二次認証の認証相互作用の概略図である。
【図３】本出願の一実施形態による端末デバイスのセッションの概略図である。
【図４】本出願の一実施形態による端末デバイスのセッションの他の概略図である。
【図５】本出願の一実施形態によるネットワークセキュリティ管理方法の概略フローチャートである。
【図６Ａ】本出願の一実施形態による高速認証の概略フローチャートである。
【図６Ｂ】本出願の一実施形態による高速認証の概略フローチャートである。
【図７】本出願の一実施形態による他のネットワークセキュリティ管理方法の概略フローチャートである。
【図８Ａ】本出願の一実施形態による高速認証の他の概略フローチャートである。
【図８Ｂ】本出願の一実施形態による高速認証の他の概略フローチャートである。
【図９】本出願の一実施形態によるネットワークセキュリティ管理システムの概略構造図である。
【図１０】本出願の一実施形態による通信デバイスの概略構造図である。
【発明を実施するための形態】
【００５４】
本出願の実施形態で説明されている事業者ネットワークは、モバイル通信ネットワークと呼ばれる場合があり、主に、モバイルネットワーク事業者（mobile network operator、MNO）がユーザにモバイルブロードバンドアクセスサービスを提供するネットワークであり得る。本出願の実施形態で説明されている事業者ネットワークは、具体的には、第3世代パートナーシッププロジェクト（3rd generation partnership project、3GPP）の仕様に準拠したネットワーク、略して3GPPネットワークであり得る。一般に、3GPPネットワークは、China Mobile、China Unicom、またはChina Telecomなどの事業者によって運営されている。3GPPネットワークは、3GPPの仕様によって定義された5Gネットワーク、4Gネットワーク、および第3世代モバイル通信技術（3rd−Generation、3G）ネットワーク、ならびに第2世代ワイヤレス電話技術（2−Generation wireless telephone technology、2G）ネットワークを含むが、これらに限定されない。説明を容易にするために、本出願の実施形態の以下の説明は、例として事業者ネットワークを用いる。
【００５５】
モバイルブロードバンドアクセスサービスの拡大には、多様化されたビジネスモデルをより良くサポートし、より多くの多様化されたアプリケーションサービスおよびより多くの産業の要件を満たすために、MNOネットワークの開発が伴う。より良い、より包括的なサービスをより多くの産業に提供するために、次世代ネットワーク（すなわち、5Gネットワーク）には、4Gネットワークからのネットワークアーキテクチャの調整も付随する。例えば、5Gネットワークでは、4Gネットワークのモビリティ管理エンティティ（mobility management entity、MME）は、アクセスおよびモビリティ管理機能（access and mobility management function、AMF）ならびにセッション管理機能（session management function、SMF）を含む複数のネットワーク要素に分割される。3GPP標準化プロセスでは、図1に示されているように、サービス指向アーキテクチャに基づく5Gネットワークアーキテクチャも定義されている。図1は、サービス指向アーキテクチャに基づく5Gネットワークアーキテクチャの概略図である。図1に示されている5Gネットワークアーキテクチャは、3つの部分、すなわち、端末デバイス部分、DN部分、および事業者ネットワーク部分を含み得る。事業者ネットワークは、ネットワークエクスポージャ機能（network exposure function、NEF）、ネットワークリポジトリ機能（network function repository function、NRF）、ポリシー制御機能（policy control function、PCF）、統合データ管理ネットワーク要素（unified data management、UDM）、アプリケーション機能（application function、AF）、認証サーバ機能（authentication server function、AUSF）、AMF、SMF、アクセスネットワーク（access network、AN）、およびユーザプレーン機能（user plane function、UPF）などのネットワーク要素および／またはエンティティを含み得る。ANは、無線アクセスネットワーク（Radio access network、RAN）とも呼ばれる。ここでは制限は課されない。説明を容易にするために、本出願の実施形態の以下の説明は、例としてANを用いる。
【００５６】
図1に示されている5Gネットワークアーキテクチャは、5Gネットワークの可能なアーキテクチャ図に過ぎない。5Gネットワークに含まれるネットワーク要素および／またはエンティティは、図1に示されているネットワーク要素および／またはエンティティを含むが、これらに限定されない。特定の実施態様では、図1に示されているネットワークアーキテクチャに含まれるネットワーク要素および／またはエンティティは、代替的に、他の表現形式のネットワーク要素および／またはエンティティであり得る。具体的な形式は、実際の適用シナリオに応じて決定され得る。ここでは制限は課されない。
【００５７】
以下は、図1を参照して、本出願の実施形態に含まれるネットワーク要素および／またはエンティティのそれぞれを説明する。
【００５８】
a．端末デバイスは、例えば、ユーザ機器（user equipment、UE）である。本出願における端末デバイスは、音声および／またはデータ接続性をユーザに提供するデバイス（device）であり得、ワイヤレス端末および有線端末を含み得る。ワイヤレス端末は、ワイヤレス接続機能を備える手持ち型デバイス、またはワイヤレスモデムに接続された他の処理デバイスであり得、無線アクセスネットワークを使用することによって1つ以上のコアネットワークと通信するモバイル端末であり得る。例えば、ワイヤレス端末は、携帯電話、コンピュータ、タブレットコンピュータ、携帯情報端末（personal digital assistant、PDA）、モバイルインターネットデバイス（mobile Internet device、MID）、ウェアラブルデバイス、または電子書籍リーダ（e−book reader）などであり得る。他の例として、ワイヤレス端末は、代替的に、携帯モバイルデバイス、ポケットサイズのモバイルデバイス、手持ち型モバイルデバイス、コンピュータ内蔵モバイルデバイス、または車載モバイルデバイスであってもよい。他の例として、ワイヤレス端末は、移動局（mobile station）またはアクセスポイント（access point）であってもよい。UEは、端末デバイスの一タイプであり、ロングタームエボリューション（long term evolution、LTE）システムにおける端末デバイスの名前である。説明を容易にするために、本出願の実施形態の以下の説明では、上述のデバイスは、例として端末デバイスを用いることによって説明される。
【００５９】
端末デバイスは、事業者ネットワークによって提供される例えばデータおよび／または音声サービスを使用するために、事業者ネットワークによって提供されるインタフェース（例えば、N1）を使用することによって事業者ネットワークへの接続を確立し得る。端末デバイスは、DNで展開される事業者サービスおよび／または第三者によって提供されるサービスを使用するために事業者ネットワークを介してDNにさらにアクセスし得る。第三者は、事業者ネットワークおよび端末デバイス以外のサービスプロバイダであり得、例えば他のデータおよび／または音声サービスを端末デバイスに提供し得る。第三者の具体的な表現形式は、具体的には、実際の適用シナリオに応じて決定され得る。ここでは制限は課されない。
【００６０】
b．ANは、事業者ネットワークのサブネットワークであり、事業者ネットワーク上のサービスノードと端末デバイスとの間の実施システムである。事業者ネットワークに接続するために、端末デバイスは、最初にANに接続され、次に、ANを使用することによって事業者ネットワークのサービスノードに接続され得る。ANは、部分的または完全に従来の加入者ローカル回線ネットワークの代わりになり得るものであり、多重化、相互接続、および送信機能を含み得る。ANは、様々な加入者と事業者ネットワークのサービスノードとを接続し、狭帯域および広帯域サービスを含む様々なタイプのサービスの包括的なアクセスをサポートすることができるサブネットワークである。
【００６１】
c．AMFは、事業者ネットワークによって提供される制御プレーンネットワーク要素であり、事業者ネットワークへの端末デバイスのアクセスに関するアクセス制御およびモビリティ管理を担当する。
【００６２】
d．SMFは、事業者ネットワークによって提供される制御プレーンネットワーク要素であり、端末デバイスのPDUセッションを管理する役割を担う。PDUセッションは、PDU送信に使用されるチャネルである。端末デバイスは、DNとPDUを交換するためにPDUセッションに依存する。SMFは、例えばPDUセッションの確立、維持、および削除を担当する。
【００６３】
e．DNは、パケットデータネットワーク（packet data network、PDN）とも呼ばれ、事業者ネットワーク外に位置するネットワークである。事業者ネットワークは、複数のDNに接続され得る。複数のサービスは、例えばデータおよび／または音声サービスを端末デバイスに提供するためにDN上で展開され得る。例えば、DNはインテリジェントファクトリのプライベートネットワークであり、インテリジェントファクトリによってワークショップに設置されるセンサは端末デバイスであってもよく、センサの制御サーバはDN上に展開され、制御サーバはセンサにサービスを提供してもよい。センサは、例えば制御サーバの命令を取得し、命令に基づいて、収集されたセンサデータを制御サーバに送信するために、制御サーバと通信し得る。他の例として、DNは会社の内部オフィスネットワークであり、会社の従業員の携帯電話またはコンピュータは端末デバイスであってもよく、従業員の携帯電話またはコンピュータは、会社の内部オフィスネットワークの情報、データ、および他のリソースにアクセスし得る。
【００６４】
f．UDMは、事業者によって提供される制御プレーンネットワーク要素であり、加入者の永続的な識別子（subscriber permanent identifier、SUPI）、資格証明書（credential）、セキュリティコンテキスト（security context）、および加入データなどの、事業者ネットワークの加入者に関する情報を記憶する役割を担う。UDMによって記憶される情報は、事業者ネットワークへのアクセスに関する端末デバイスの認証および許可に使用され得る。事業者ネットワークの加入者は、具体的には、事業者ネットワークによって提供されるサービスを使用する加入者、例えば、China Telecomの携帯電話チップカードを使用する加入者またはChina Mobileの携帯電話チップカードを使用する加入者であり得る。加入者のSUPIは、例えば、携帯電話チップカードの番号であり得る。加入者の資格証明書およびセキュリティコンテキストは、例えば携帯電話チップカードの暗号化鍵または携帯電話チップカードの暗号化に関連する情報を記憶する小さなファイルであり得、認証および／または許可に使用される。セキュリティコンテキストは、加入者のローカル端末（例えば、携帯電話）に記憶されるクッキー（cookie）またはトークン（token）などであり得る。加入者の加入データは、携帯電話チップカードに付随するサービス、例えば、携帯電話チップカードのためのトラフィックパッケージまたは携帯電話チップカードによって使用されるネットワークであり得る。説明を容易にするために、永続的な識別子、資格証明書、セキュリティコンテキスト、認証クッキー（cookie）、およびトークンなどの、認証および許可に関連する情報は、本発明の本出願では差別または限定されないことに留意されたい。本出願の実施形態では、特に明記しない限り、セキュリティコンテキストが、説明のための例として使用される。しかしながら、本出願の実施形態は、他の方法で表現される認証および／または許可情報にも適用可能である。
【００６５】
g．AUSFは、事業者によって提供される制御プレーンネットワーク要素であり、通常、一次認証、すなわち、端末デバイス（加入者）と事業者ネットワークとの間の認証に使用される。加入者によって開始された認証要求を受信した後、AUSFは、UDMに記憶されている認証情報および／または許可情報を使用することによって加入者に対して認証および／または許可を実行し得るか、またはUDMを使用することによって加入者の認証および／または許可情報を生成し得る。AUSFは、認証情報および／または許可情報を加入者にフィードバックし得る。
【００６６】
h．NEFは、事業者によって提供される制御プレーンネットワーク要素である。NEFは、事業者ネットワークの外部インタフェースを安全な方法で第三者に公開する。SMFなどのネットワーク要素が第三者のネットワーク要素と通信する必要があるとき、NEFは、SMFなどのネットワーク要素と第三者のネットワーク要素との間の通信用のリレーとして機能し得る。リレーとして機能するとき、NEFは、加入者の識別子情報のトランスレータおよび第三者のネットワーク要素の識別子情報のトランスレータとして機能し得る。例えば、加入者のSUPIを事業者ネットワークから第三者に送信するとき、NEFは、SUPIをSUPIに対応する外部アイデンティティ（identity、ID）に変換し得る。逆に、外部ID（第三者のネットワーク要素のID）を事業者ネットワークに送信するとき、NEFは、外部IDをSUPIに変換し得る。
【００６７】
i．UPFは、事業者によって提供されるゲートウェイであり、事業者ネットワークとDNとの間の通信用のゲートウェイである。
【００６８】
j．PCFは、PDUセッションポリシーをSMFに提供するための、事業者によって提供される制御プレーン機能である。ポリシーは、例えば、課金関連ポリシー、サービス品質（quality of service、QoS）関連ポリシー、および許可関連ポリシーを含み得る。
【００６９】
図1において、Nnef、Nausf、Nnrf、Npcf、Nudm、Naf、Namf、Nsmf、N1、N2、N3、N4、およびN6は、インタフェースシリアル番号である。これらのインタフェースシリアル番号の意味については、3GPP仕様の定義を参照されたい。ここでは制限は課されない。
【００７０】
本出願の実施形態で説明されている二次認証は、二次認証と呼ばれる場合もある。説明を容易にするために、本出願の実施形態は、以下では二次認証を例として用いることによって説明される。
【００７１】
具体的な実施態様では、端末デバイスと事業者ネットワークとの間の一次認証（一次認証とも呼ばれる）が成功した後、端末デバイスがDNとセッション（例えば、PDUセッション）を確立する必要がある場合、二次認証は、事業者ネットワークを介して端末デバイスとDNとの間で実行される。PDUセッションの確立は、端末デバイスまたは事業者ネットワークのコアネットワーク（core network、CN）によってトリガされ得、認証は、事業者ネットワークのCNによって開始される。具体的には、端末デバイスは、認証要求を事業者ネットワークに送信し得、事業者ネットワークは、認証要求をDNに転送し得、DNは、DNに対応する認証サーバを使用することによってDNと端末デバイスとの間で認証および／または許可を行う。DNに対応する認証サーバは、認証、許可、およびアカウンティングサーバ（（authentication，authorization，and accounting、AAA）Server、AAAサーバ）であり得る。DNに対応する認証サーバによって端末デバイスに対して実行された認証および／または許可の結果は、DNによって事業者ネットワークにフィードバックされ、事業者ネットワークは、結果に基づいて、端末デバイスのために対応するセッション接続を確立するかどうかを判定する。
【００７２】
二次認証は、現在、3GPP 5Gの仕様（TS 23．502およびTS 33．501）で、端末デバイスと事業者ネットワーク外のDNとの間の認証のための任意選択の認証メカニズムとして受け入れられている。図2Aおよび図2Bは、本出願の一実施形態による二次認証の認証相互作用の概略図である。図2Aおよび図2Bに示されている認証相互作用の概略図に含まれるステップならびにこれらのステップに関して説明されている実施態様は、単なる例に過ぎない。具体的な実施態様において、図2Aおよび図2Bに示されているステップおよび／またはネットワーク要素は、実際の適用シナリオの要件に応じて、例えば、追加、削除、または変更され得る。ここでは制限は課されない。図2Aおよび図2Bに示されている二次認証相互作用プロセスは、以下のステップを含み得る。
【００７３】
1．端末デバイスは、登録要求をAMFに送信する。
【００７４】
2．端末デバイスと事業者ネットワークとの間で一次認証を行う。
【００７５】
具体的な実施態様では、端末デバイスによって送信された登録要求を受信した後、AMFは、端末デバイスと事業者ネットワークとの間の一次認証を行うようにAUSFをトリガし得る。
【００７６】
任意選択で、AUSFが端末デバイスと事業者ネットワークとの間の一次認証を行うプロセスで、AUSFは、一次認証に必要とされる認証情報をUDMから取得し得、UDMによって生成または記憶された認証情報に基づいて端末デバイスと事業者ネットワークとの間の一次認証をさらに実施し得る。
【００７７】
3．端末デバイスとAMFとの間で非アクセス層（non−access stratum、NAS）セキュリティを確立する。
【００７８】
具体的な実施態様では、端末デバイスと事業者ネットワークとの間の一次認証が成功した後、AMFは、端末デバイスとの間でNASセキュリティを確立し得る。NASは、ユニバーサルモバイルテレコミュニケーションシステム（universal mobile telecommunications system、UMTS）のワイヤレス通信プロトコルスタックに存在し、CNと端末デバイスとの間の機能層として機能する。NASは、CNと端末デバイスとの間のシグナリングおよび／またはデータ送信をサポートする。
【００７９】
4．端末デバイスは、セッション確立要求を開始する。
【００８０】
端末デバイスとAMFとの間にNASが確立された後、端末デバイスは、AMFへのセッション確立要求を開始し得る。セッション確立要求は、NASメッセージに埋め込まれ、AMFに送信される。セッション確立要求は、具体的には、PDUセッションの確立を要求するために使用され得る。
【００８１】
5．AMFは、セッション確立要求をSMFに送信する。
【００８２】
端末デバイスによって送信されたNASメッセージを受信した後、AMFは、セッション確立要求を取得するためにNASメッセージを復号し、次に、セッション確立要求をSMFに送信し得る。SMFは、セッション確立要求によって確立が要求されたPDUセッションが接続を要求するSMFである。
【００８３】
6．SMFは、加入データを確認する。
【００８４】
セッション確立要求を受信した後、SMFは、セッション確立要求で搬送された認証情報を取得する。SMFは、UDMに事前に記憶された加入データを取得し、UDMに記憶されている加入データに基づいて、セッション確立要求で搬送された認証情報が加入データと同じかどうかをさらに確認し得る。確認の結果が、認証情報が加入データと同じであることである場合、ステップ7が実行され得る。
【００８５】
7．SMFは、拡張認証プロトコル（extensible authentication protocol、EAP）認証手順を開始する。
【００８６】
8．SMFは、EAP要求およびアイデンティティ情報要求を端末デバイスに送信する。
【００８７】
9．端末デバイスは、EAP応答およびアイデンティティ情報をSMFにフィードバックする。
【００８８】
10．SMFは、UPFへのN4インタフェースセッション接続の確立を開始する。
【００８９】
11．SMFは、UPFを使用することによって端末デバイスのEAP応答およびアイデンティティ情報をDNおよびAAAサーバに送信する。
【００９０】
SMFは、ステップ10で確立されたN4インタフェースセッション接続を介して、端末デバイスから送信されたEAP応答および認証情報をUPFに送信する。UPFは、端末デバイスのEAP応答およびアイデンティティ情報をDNおよびAAAサーバに送信する。
【００９１】
12．DNは、端末デバイスに対して認証および／または許可を行う。
【００９２】
端末デバイスは、DNによる端末デバイスに対する認証を完了するために、DN（およびAAAサーバ）と複数のEAPメッセージを交換する。
【００９３】
交換されるEAPメッセージのメッセージタイプまたは端末デバイスとDNとの間の相互作用方法などの詳細は、使用される具体的なEAP認証方法に依存する。ここでは制限は課されない。
【００９４】
13．DNは、UPFを使用することによって認証成功メッセージをSMFに送信する。
【００９５】
端末デバイスがDNによって認証された場合、DNは、認証成功メッセージをUPFに送信し、UPFおよびN4インタフェースセッション接続を使用することによって認証成功メッセージをSMFに送信する。
【００９６】
14．SMFは、PDUセッション確立の他の手順を開始する。
【００９７】
DNによる端末デバイスに対するEAP認証が終了した後、SMFは、PDUセッション確立の他の手順を引き続き開始し得る。例えば：
【００９８】
15a．SMFは、N4インタフェースセッション変更要求をUPFに送信する。
【００９９】
15b．UPFは、N4インタフェースセッション変更応答をSMFにフィードバックする。
【０１００】
16．SMFは、AMFを使用することによってPDUセッション確立成功メッセージを端末デバイスに送信する。
【０１０１】
SMFは、PDUセッション確立成功メッセージをAMFに送信し、AMFは、PDUセッション確立成功メッセージを端末デバイスに転送する。
【０１０２】
ステップ1から16に記載された認証手順は、3GPP TS 33．501で提供されている二次認証手順であり、二次認証の通常の手順とも呼ばれる。
【０１０３】
端末デバイスとAAAサーバとの間で交換される認証メッセージは、EAP認証フレームワークに基づく。EAP認証フレームワークは、認証に関してオープンである。EAP認証フレームワークは、認証方法のネゴシエーションをサポートし、数十の認証方法、および将来のより多くの認証方法への拡張をサポートし得る。EAPによって提供される認証メカニズムでは、アイデンティティ認証者（Authenticator）の役割が定義されている。図2Aおよび図2Bに示されている二次認証の認証手順では、SMFは、アイデンティティ認証者として機能する。端末デバイスとSMFとの間のEAPメッセージは、NASメッセージで搬送される。SMFとDNとの間のEAPメッセージは、3GPPの仕様で定義されている、SMFとUPFとの間のN4インタフェースおよびUPFとDNとの間のN6インタフェースを使用することによって伝送される。
【０１０４】
ステップ1から16で説明されている認証手順から、二次認証の通常の手順では、PDUセッションごとに二次認証が実行され、端末デバイスがDNとPDUセッションを確立する必要があるたびに、前述の手順の二次認証が行われる必要があることが知られ得る。端末デバイスが、DNと複数のPDUセッションを確立する必要がある場合、端末デバイスは、DNとの間で複数の二次認証手順を実行する必要がある。
【０１０５】
通常、1つの端末デバイスと1つのDNとの間の信頼関係は不変であり、したがって、実行される複数の同様の認証手順は、ネットワークリソース（例えば、無線スペクトルリソースもしくはネットワーク送信容量）および／または端末リソース（例えば、計算負荷もしくは電気容量）の著しい浪費をもたらす。各認証手順は、比較的長い時間を消費するため、不必要な待ち時間が生じる。その結果、端末デバイス認証の効率は低くなり、不必要な待ち時間が発生する。同様に、1つの端末デバイスが異なるDNとPDUセッションを確立する適用シナリオでは、異なるDNが同じ認証サーバ（例えば、AAAサーバ）を使用する場合、端末デバイスと異なるDNとの間で二次認証を複数回繰り返すことも、リソースの不必要な浪費をもたらし、待ち時間を長くし、PDUセッションの認証効率を低下させる。
【０１０６】
本出願の実施形態は、1つの端末デバイスと1つのDN（または1つの認証サーバなど）との間で二次認証が複数回実行される適用シナリオで、1番目の二次認証の後、端末デバイスとDNとの間の他の二次認証に関して高速認証および／または許可が実行されるように、ネットワークセキュリティ管理方法および装置を提供する。これは、端末デバイス認証の効率を改善し、端末デバイス認証のリソース消費を低減する。
【０１０７】
現在標準化されている3GPP TS 23．501では、以下のPDUセッションシナリオがサポートされていることが明確に強調されている。
【０１０８】
1．1つの端末デバイスは、複数のPDUセッションを同時に確立し得、これらのPDUセッションは、同じDNまたは異なるDNに接続され得る。
【０１０９】
2．1つの端末デバイスは、1つ以上のネットワークスライスに接続され得る。1つの端末デバイスが複数のネットワークスライスに接続される場合、アクセスを担当するコアネットワーク要素は、共通のAMFである。
【０１１０】
本出願の実施形態で提供されるネットワークセキュリティ管理方法は、端末デバイスが2つ以上のPDUセッションを確立する適用シナリオに適用可能であり得る。説明を容易にするために、本出願の実施形態の以下の説明は、例として2つのPDUセッションを用いる。2つのPDUセッションは、同時に確立されるセッションであってもよいし、または異なる時間に確立されるセッションであってもよい。
【０１１１】
2つのPDUセッションは、ネットワークスライス関連のシナリオに基づいて、主に以下の2つのカテゴリに分類され得る。
【０１１２】
カテゴリ1：2つのPDUセッションは、同じネットワークスライスに属する。
【０１１３】
図3は、本出願の一実施形態による端末デバイスのセッションの概略図である。図3に示されているように、ネットワークスライス1は、2つのPDUセッション：セッション1（Session1）およびセッション2（Session2）を含む。セッション1およびセッション2の両方は、ネットワークスライス1のSMFによって管理および／または制御される。
【０１１４】
任意選択で、セッション1およびセッション1が同じネットワークスライスに属することは、具体的には、セッション1およびセッション2が同じSMFに属することとしても表され得る。これは、具体的には、ネットワークスライス選択支援情報（Network Slice Selection Assistance Information、NSSAI）またはネットワークスライスIDなどの情報によって示され得る。詳細は、実際の適用シナリオに応じて決定され得、ここでは制限は課されない。
【０１１５】
セッション1およびセッション2の確立は、端末デバイスによって開始される。セッション1およびセッション2は、ANおよびAMFを通ってSMFに到達する。SMFによって管理および／または制御された後、セッション1およびセッション2は、それらが接続を要求したそれぞれのUPFおよびそれぞれのDNを使用することによって、認証のために同じAAAサーバに接続され得る。
【０１１６】
任意選択で、図3に示されている適用シナリオでは、セッション1およびセッション2はまた、同じUPFを共有し得る。同様に、セッション1およびセッション2が同じUPFを共有するかどうかに関係なく、セッション1およびセッション2は、同じDNを共有し得る。同様に、セッション1およびセッション2はまた、異なるAAAサーバに接続され得る。しかしながら、この適用シナリオでは、セッション1およびセッション2に接続される2つの異なるAAAサーバは、2つの同期サーバである必要があるか、または1つの認証サーバグループの2つのAAAサーバである必要がある。
【０１１７】
カテゴリ2：2つのPDUセッションは、2つの異なるネットワークスライスのセッションである。
【０１１８】
図4は、本出願の一実施形態による端末デバイスのセッションの他の概略図である。図4に示されているように、端末デバイスは、事業者ネットワークへの2つのセッション：セッション1およびセッション2を開始する。図3に示されているシナリオとは異なり、図4に示されているシナリオでは、セッション1およびセッション2は、事業者ネットワークの2つの異なるネットワークスライスに属する。セッション1は、ネットワークスライス1に接続され、ネットワークスライス1のSMF1によって管理および／または制御される。セッション2は、ネットワークスライス2に接続され、ネットワークスライス2のSMF2によって管理および／または制御される。
【０１１９】
任意選択で、セッション1の認証情報およびセッション2の認証情報は両方とも、事業者ネットワーク上のUDMによって記憶および／または管理され得る。SMF1は、セッション1の認証情報をローカル記憶スペースに記憶してもよいし、またはUDMに照会することによってセッション1の認証情報を取得してもよい。SMF1は、UDMに照会することによってセッション2の認証情報も取得し得、セッション1の認証情報およびセッション2の認証情報に基づいて、セッション1に対して高速認証を行うかどうかをさらに判定し得る。同様に、SMF2は、セッション2の認証情報をローカル記憶スペースに記憶してもよいし、またはUDMに照会することによってセッション2の認証情報を取得してもよい。SMF2は、UDMに照会することによってセッション1の認証情報も取得し得、セッション1の認証情報およびセッション2の認証情報に基づいて、セッション2の高速認証を行うかどうかをさらに判定し得る。
【０１２０】
任意選択で、図4に示されている適用シナリオでは、セッション1およびセッション2はまた、同じUPFを共有し得る。同様に、セッション1およびセッション2が同じUPFを共有するかどうかに関係なく、セッション1およびセッション2は、同じDNを共有し得る。同様に、セッション1およびセッション2はまた、異なるAAAサーバに接続され得る。しかしながら、この適用シナリオでは、セッション1およびセッション2に接続される2つの異なるAAAサーバは、2つの同期サーバである必要があるか、または1つの認証サーバグループの2つのAAAサーバである必要がある。
【０１２１】
任意選択で、前述のPDUセッション分類は、ネットワークスライス関連のシナリオに適用可能であり、非ネットワークスライスシナリオのPDUセッション分類にも適用可能である。例えば、前述のPDUセッション分類は、代替的に、UPFがPDUセッションの認証情報を記憶および／または管理し、UPFがPDUセッションの高速認証を行うかどうかを判定するUPF関連のシナリオに基づいてもよい。代替的に、前述のPDUセッション分類は、DNがPDUセッションの認証情報を記憶および／または管理し、DNがPDUセッションの高速認証を行うかどうかを判定するDN関連のシナリオに基づいてもよい。
【０１２２】
以下は、例として、SMFがアイデンティティ認証者として機能する適用シナリオを使用することによって、本出願の実施形態で提供されるネットワークセキュリティ管理方法および装置を説明する。
【０１２３】
実施形態1
実施形態1で説明されている実施態様は、前述のカテゴリ1のPDUセッションに適用可能であり得る。以下は、図5ならびに図6Aおよび図6Bを参照して、前述のカテゴリ1のPDUセッションに対応する適用シナリオにおける二次認証の実施態様を説明する。
【０１２４】
図5は、本出願の一実施形態によるネットワークセキュリティ管理方法の概略フローチャートである。本出願のこの実施形態で提供される方法は、以下のステップを含む。
【０１２５】
S51．端末デバイスは、PDUセッションの確立のためのセッション要求を送信する。
【０１２６】
任意選択で、端末デバイスがDN（例えば、DN1）上のサービスにアクセスしようとするとき、端末デバイスは、DNとのセッションの確立のための要求を開始し得る。端末デバイスは、DN1とのPDUセッションの確立を要求するために、セッション要求をAMFに送信し得る。以下では、PDUセッションはセッション1であると仮定されている。
【０１２７】
任意選択で、セッション要求は、セッション1の認証情報を含み得る。認証情報は、端末デバイスID、事業者ネットワーク上の端末デバイス加入ID、第1のデータネットワーク上の端末デバイス加入ID、セキュリティコンテキスト、加入データ、およびDNの識別子情報などを含み得る。本出願のこの実施形態で提供される実施態様は、1つの端末デバイスが複数のセッションを開始する場合に第2のセッションおよび第2のセッションの後の他のセッションの二次認証に適用可能である。事業者ネットワークは、端末デバイスIDなどの、セッションで搬送される情報に基づいて、セッションを開始する端末デバイスを決定し得、セッションが端末デバイスによって開始される1番目のセッション、2番目のセッション、または3番目のセッションなどであることをさらに決定し得る。
【０１２８】
任意選択で、事業者ネットワーク上の端末デバイス加入ID、第1のデータネットワーク上の端末デバイス加入ID、およびセッションのセキュリティコンテキストのうち少なくとも1つまたは2つが、端末デバイスに対する認証、高速認証、または許可に使用される。
【０１２９】
任意選択で、端末デバイスによって送信されたセッション要求を受信した後、AMFは、セッション要求をSMFまたはUPFなどのネットワーク要素に転送し得る。説明を容易にするために、本出願のこの実施形態の以下の説明は、例としてSMFを用いる。
【０１３０】
S52．SMFは、端末デバイスによって送信されたセッション要求を受信する。
【０１３１】
任意選択で、AMFによって転送されたセッション要求を受信した後、SMFは、セッション要求で搬送された認証情報に基づいて、セッション要求を開始した端末デバイスがDN1との間で二次認証を行ったかどうかを最初に判定し得る。
【０１３２】
任意選択で、SMFは、SMFのローカル記憶スペースを検索することによって、端末デバイスのセッションの認証情報が含まれているかどうかを判定し得る。SMFのローカル記憶スペースが、端末デバイスのセッションの認証情報を含まない場合、セッション1は、端末デバイスによってSMFに対して開始された1番目のセッションであると決定され得る。SMFは、セッション要求で搬送された情報に基づいて、セッション1の二次認証の通常の手順、すなわち、図2Aおよび図2Bに示されている認証手順を開始し得る。
【０１３３】
任意選択で、端末デバイスの各セッションの二次認証が成功した後、SMFは、セッションの認証情報をSMFのローカル記憶スペースに記憶し得る。さらに、新しいセッション要求が受信されると、それらが同じDNとの間の複数の二次認証に関するものであるかどうかが、セッションの認証情報の比較を通じて判定され得る。セッションが1つの端末デバイスと1つのDNとの間の複数のセッションである場合、1番目のセッションの後、他のすべてのセッションに対して高速認証方法が使用され得る。
【０１３４】
S53．SMFは、第2のセッションの認証情報についてローカル記憶スペースに照会する。
【０１３５】
任意選択で、SMFが、端末デバイスによって開始されたセッション1が端末デバイスとDN1とを接続する1番目のPDUセッションではないと判定した場合、SMFは、これの前に端末デバイスによってSMFに対して開始された他のセッション（以前のセッションと呼ばれる場合がある）の認証情報についてローカル記憶スペースに照会し得る。
【０１３６】
SMFは、複数の以前のセッションの発見された認証情報に基づいて、複数の以前のセッションから第2のセッションを選択し、第2のセッションの認証情報に基づいて、セッション1に対して高速認証および／または許可を行うかどうかを判定し得る。以前のセッションの認証情報は、端末デバイスID、DN番号（DN number、DNN）、AAAサーバ識別子、および成功した認証の有効期限（または有効期間）などを含み得る。SMFは、各セッションの成功した認証の有効期限に基づいて複数の以前のセッションから、成功した認証の有効期限が来ていないセッションを第2のセッション（セッション2であると仮定され得る）として選択し得る。言い換えれば、セッション2の成功した認証は依然として有効期間内にある。
【０１３７】
S54．SMFは、第1のセッションの認証情報および第2のセッションの認証情報に基づいて、DNと第1のセッションを確立することを端末デバイスに許可する。
【０１３８】
任意選択で、セッション1の認証情報に含まれるDNNがセッション2の認証情報に含まれるDN識別子情報と同じである場合、端末デバイスは、DN1とセッション1を確立することまたはセッション1に対して二次認証の高速認証を行うことを直接許可され得る。
【０１３９】
任意選択で、DN識別子情報は、DNN、DNに対応する認証サーバ（例えば、AAAサーバ）の識別子、およびDNに対応する認証サーバが属する同期認証サーバグループなどを含み得る。具体的な実施態様では、DN識別子情報の具体的な表現形式は、実際の適用シナリオの要件に応じて決定され得る。ここでは制限は課されない。
【０１４０】
任意選択で、SMFは、SMFのローカル記憶スペースからセッション2のセキュリティコンテキストを取得し得、確立されるべきセッション1のセキュリティコンテキストがセッション2のセキュリティコンテキストと同じである場合、SMFは、DNとセッション1を確立することを端末デバイスに直接許可し得る。
【０１４１】
任意選択で、SMFは、セッション2のセキュリティコンテキストなどの、SMFのローカル記憶スペースに記憶されている情報に基づいてセッション2の認証情報を更新し得、また、リプレイアタックを防ぐセキュリティ要件などのセキュリティ要件に基づいて、端末デバイスによってその後に開始されるセッション要求によって要求されるセッションの二次認証に使用するために、端末デバイスに記憶されている、セキュリティコンテキストなどのセッション2の認証情報を更新するように端末デバイスに命令し得る。
【０１４２】
任意選択で、前述の二次認証の高速認証は、EAP再認証プロトコル（EAP extensions for EAP re−authentication protocol、ERP）を含み得る。EAP認証を使用するシステムでは、端末デバイスおよび認証サーバは、アイデンティティ認証者を使用することによって完全なEAP認証手順を実行する。端末デバイスがあるアイデンティティ認証者から他のアイデンティティ認証者に移動する（認証サーバは変更されない）とき、他の完全なEAP認証手順を実行する必要なく、ERPメカニズムを使用することによって、アイデンティティ認証者間の高速で安全な切り替えが実施され得る。本出願のこの実施形態では、1番目の二次認証は、完全なEAP認証に対応し、2番目の二次認証は、高速ERP再認証手順に対応する。ERPは1つのEAP認証方法に限定されないだけでなく、複数のEAP認証方法がサポートされることに留意されたい。
【０１４３】
任意選択で、前述の二次認証の高速認証は、セキュアトンネリングによるEAPフレキシブル認証（EAP Flexible Authentication via Secure Tunneling、EAP−FAST）を含み得る。EAP−FASTプロトコルは、2つのステージを含む。ステージ1では、トランスポート層セキュリティ（transport layer security、TLS）プロトコルに基づいて、端末デバイスとDNとの間にセキュアトンネルが確立される。ステージ2では、セキュアトンネルを再確立する必要なく、セキュアトンネルが高速で復元され、これにより、安全で高速な接続確立が実施される。ここで適用されるEAP−FASTの場合、1番目の二次認証は、EAP−FASTのステージ1に対応し、2番目の二次認証は、ステージ2に対応する。
【０１４４】
任意選択で、前述の二次認証の高速認証は、他の高速認証プロトコルを含み得る。ここでは制限は課されない。
【０１４５】
前述の高速認証方法は、通常、物理認証ノード間で切り替えが実行されるときに実行される高速認証に使用される。本出願のこの実施形態では、物理認証ノード間で実行される前述の高速認証方法は、端末デバイスとDNとの間の二次認証の高速認証に使用され得る。ERPおよびEAP−FAST高速認証方法（これらについては、それぞれIETF EAPプロトコルRFC 6696およびRFC 4851への参照が行われ得る）によって提供される実施態様は、ここでは限定されない。
【０１４６】
任意選択で、再認証などの前述の高速認証方法は、SMFによって開始され得、SMFは、セッション1に対して再認証などの高速認証および許可を行うようにAAAサーバをトリガするために、セッション認証要求をAAAサーバに送信する。
【０１４７】
任意選択で、再認証などの前述に対して高速認証方法は、代替的に、SMFの認識なしでAAAサーバによって決定および／または開始され得る。SMFは、セッション1に対して高速認証を行うかどうかを判定するようにAAAサーバをトリガするために、セッション要求をAAAサーバに転送し得る。AAAサーバにフィードバックされた高速認証成功応答メッセージを受信すると、SMFは、DN1とセッション1を確立することを端末デバイスに許可し得る。
【０１４８】
図6Aおよび図6Bは、本出願の一実施形態による高速認証の概略フローチャートである。本出願のこの実施形態で提供される二次認証の高速認証は、以下のステップを含み得る。
【０１４９】
1．端末デバイスは、登録要求をAMFに送信する。
【０１５０】
2．端末デバイスと事業者ネットワークとの間で一次認証を行う。
【０１５１】
3．端末デバイスとAMFとの間でNASセキュリティを確立する。
【０１５２】
ステップ1から3で説明されている実施態様は、図2Aおよび図2Bに示されている二次認証の通常の手順のステップ1から3のものと同じである。詳細はここでは繰り返されない。
【０１５３】
4．端末デバイスは、セッション確立要求を開始する。
【０１５４】
5．AMFは、セッション確立要求をSMFに送信する。
【０１５５】
任意選択で、端末デバイスは、事業者ネットワークによって配信またはネゴシエートされた認証ポリシーに従って、図2Aおよび図2Bに示されている実施形態のステップ4のものと同じ実施態様を使用することによってセッション確立要求を開始し得る。任意選択で、端末デバイスは、確立されるように要求されたセッションの認証情報と、これより前に端末デバイスによって記憶された以前のセッションの、cookieおよび加入データなどの認証情報とをセッション確立要求に追加し、このセッション確立要求をSMFに送信し得る。
【０１５６】
6．SMFは、加入データを確認する。
【０１５７】
任意選択で、SMFによって加入データを確認する実施態様については、図2Aおよび図2Bに示されている実施形態の実施態様への参照が行われ得、詳細はここでは繰り返されない。
【０１５８】
7．セッション1の認証情報およびセッション2の認証情報に基づいて、端末デバイスに対して二次認証を行うかどうかを判定する。
【０１５９】
ステップ6における加入データの確認が成功し、PDUセッション（セッション1）に対して二次認証が行われる必要がある場合、SMFは、セッション1の認証情報に基づいて、高速認証および／または許可がサポートされているかどうか、すなわち、セッション1が高速認証要件を満たしているかどうかを判定し得る。
【０１６０】
8．SMFは、認証情報が有効かどうかを確認する。
【０１６１】
ステップ7で、セッション1が高速認証および許可をサポートしている（例えば、二次認証が成功しているセッション2がセッション1の前に存在する）と決定された場合、SMFは、cookieなどの認証情報が有効かどうかを確認し得る。cookieなどの認証情報が有効な場合、SMFは、DN1とセッション1を確立することを端末デバイスに直接許可し得る。
【０１６２】
ステップ7で、セッション1が高速認証許可をサポートしていない（例えば、セッション1が、端末デバイスによってDN1と確立される1番目セッションである）と決定された場合、SMFは、二次認証の通常の手順（図2Aおよび図2Bに示されている認証手順）を使用することによってセッション1に対して二次認証を行い得る。
【０１６３】
9および10．SMFは、EAP要求およびアイデンティティ情報要求を端末デバイスに送信し、端末デバイスは、EAP応答およびアイデンティティ情報をSMFにフィードバックする。
【０１６４】
11．SMFは、EAP応答およびアイデンティティ情報をDNおよびAAAサーバに送信する。
【０１６５】
SMFは、SMFとUPFとの間に確立されたセッション接続を介して、端末デバイスから送信された端末デバイスのEAP応答およびアイデンティティ情報をUPFに送信する。UPFは、端末デバイスのEAP応答およびアイデンティティ情報をDNおよびAAAサーバにさらに送信する。
【０１６６】
12．AAAサーバは、選択された高速認証方法を使用することによってセッション1に対して高速認証を行う。
【０１６７】
AAAサーバは、選択されたEAP高速認証方法を使用することによって、EAPプロトコルで定義された認証ポリシーに従ってセッション1に対して認証を行い得る。
【０１６８】
13．DNは、UPFを使用することによって認証成功メッセージをSMFに送信する。
【０１６９】
14および15．SMFは、PDU確立成功メッセージをAMFに送信し、AMFは、PDU確立成功メッセージを端末デバイスに転送する。
【０１７０】
認証成功メッセージを受信した後、SMFは、DNとセッション1を確立することを端末デバイスに許可し得る。
【０１７１】
任意選択で、ステップ9から13は、任意選択のステップである。ステップ9から13が必要とされるかどうかは、異なる認証ポリシーに依存する。PDUセッションが、直接許可方法のみをサポートしているか、または直接許可方法を優先的にサポートしている場合、ステップ8における成功の後、ステップ14および15が直接実行され得る。詳細は、実際の適用シナリオに応じて決定され得、ここでは制限は課されない。
【０１７２】
本出願のこの実施形態では、SMFは、端末デバイスのPDUセッションの認証情報を記憶し得、端末デバイスが複数のPDUセッションを開始し、複数のPDUセッションが1つのSMFに属するとき、SMFは、ローカル記憶スペースに記憶されているPDUセッションの認証情報に基づいて、PDUセッションが高速認証をサポートしているかどうかを判定し、高速認証がサポートされている場合、PDUセッションに対して高速認証または直接許可を行う。本出願のこの実施形態で提供される二次認証の実施態様は、二次認証の実施手順を簡略化し、二次認証のシグナリングオーバヘッドなどのリソースを低減し、二次認証の効率を改善し得、したがって、より良い適用性を有する。
【０１７３】
実施形態2
実施形態2で説明されている実施態様は、前述のカテゴリ2のPDUセッションに適用可能である。以下は、図7ならびに図8Aおよび図8Bを参照して、前述のカテゴリ2のPDUセッションに対応する適用シナリオにおける二次認証の実施態様を説明する。
【０１７４】
図7は、本出願の一実施形態によるネットワークセキュリティ管理方法の概略フローチャートである。本出願のこの実施形態で提供される方法は、以下のステップを含む。
【０１７５】
S71．端末デバイスは、PDUセッションの確立のためのセッション要求を送信する。
【０１７６】
S72．SMFは、端末デバイスによって送信されたセッション要求を受信する。
【０１７７】
任意選択で、ステップS71およびS72の具体的な実施態様については、実施形態1のステップS51およびS52で提供されている実施態様への参照が行われ得る。詳細はここでは繰り返されない。
【０１７８】
S73．SMFは、第2のセッションの認証情報についてUDMに照会する。
【０１７９】
任意選択で、セッション1およびセッション2は、1つのSMFに属さず（例えば、SMF1およびSMF2に属し）、したがって、確立されるべきセッション1が接続されるSMFは、第2のセッションの認証情報は記憶していないか、または記憶しない。SMF間には直接のインタフェースが存在せず、この場合、cookieまたは加入データなどの対応する認証情報は、UDMまたはDNのAAAサーバ（すなわち、第2のネットワークデバイス、SMF1が第1のネットワークデバイスである）に記憶され得る。
【０１８０】
任意選択で、SMFは、端末デバイスによって以前に開始された複数のセッションの、UDMに記憶されている認証情報について照会するために、UDMなどのネットワーク要素に認証情報照会要求を送信し得る。さらに、SMFは、認証情報が依然として有効期間内にある第2のセッション（例えば、セッション2）の認証情報についてUDMに照会し得る。セッション2の前述の認証情報の具体的な表現形式については、前述の実施形態で説明された実施態様を参照されたい。詳細はここでは繰り返されない。任意選択で、本出願のこの実施形態で説明されている認証情報照会要求は、代替的に、他の方法、例えば、照会要求またはデータ要求で説明され得る。詳細は、実際の適用シナリオに応じて決定され得、ここでは制限は課されない。
【０１８１】
任意選択で、事業者ネットワーク上の端末デバイス加入ID、第1のデータネットワーク上の端末デバイス加入ID、およびセッションのセキュリティコンテキストのうち少なくとも1つまたは2つが、端末デバイスに対する認証、高速認証、または許可に使用される。
【０１８２】
S74．SMFは、第1のセッションの認証情報および第2のセッションの認証情報に基づいて、DNと第1のセッションを確立することを端末デバイスに許可する。
【０１８３】
任意選択で、SMFは、セッション1の認証情報と、UDMなどのネットワーク要素に照会することによって取得されるセッション2の認証情報とに基づいて、セッション1に対して二次認証の高速認証を行うかどうか、またはDNとセッション1を確立することを端末デバイスに直接許可するかどうかを判定し得る。具体的な実施態様については、実施形態1のステップS74で説明されている実施態様を参照されたい。詳細はここでは繰り返されない。
【０１８４】
任意選択で、SMFは、端末デバイスによって以前に開始されたセッションのセキュリティコンテキストをUDMから取得するように要求するために、セキュリティコンテキスト照会要求をUDMなどのネットワーク要素に送信し、セキュリティコンテキストからセッション2のセキュリティコンテキストを選択し得る。さらに、セッション1のセキュリティコンテキストがセッション2のセキュリティコンテキストと同じである場合、端末デバイスは、DNとセッション1を確立することを直接許可され得る。本出願のこの実施形態で提供されるセキュリティコンテキスト照会要求は、代替的に、他の方法、例えば、照会要求またはセキュリティコンテキスト取得要求で説明され得る。詳細は、実際の適用シナリオに応じて決定され得、ここでは制限は課されない。
【０１８５】
任意選択で、SMFは、代替的に、セッション認証または許可ポリシー照会要求をUDMに送信し、UDMによってフィードバックされたセッション認証または許可ポリシーに従って、DNとセッション1を確立する権限および付与される権限範囲を端末デバイスに付与し得る。任意選択で、本出願のこの実施形態で説明されているセッション認証または許可ポリシー照会要求は、代替的に、他の方法、例えば、認証または許可ポリシー要求で説明され得る。詳細は、実際の適用シナリオに応じて決定され得、ここでは制限は課されない。本出願のこの実施形態で説明されているセッション認証または許可ポリシーは、代替的に、他の方法で説明され得る。詳細は、実際の適用シナリオに応じて決定され得、ここでは制限は課されない。
【０１８６】
図8Aおよび図8Bは、本出願の一実施形態による高速認証の他の概略フローチャートである。本出願のこの実施形態で提供される二次認証の高速認証は、以下のステップを含み得る。
【０１８７】
1．端末デバイスは、登録要求をAMFに送信する。
【０１８８】
2．端末デバイスと事業者ネットワークとの間で一次認証を行う。
【０１８９】
3．端末デバイスとAMFとの間でNASセキュリティを確立する。
【０１９０】
ステップ1から3で説明されている実施態様は、図2Aおよび図2Bに示されている二次認証の通常の手順のステップ1から3のものと同じである。詳細はここでは繰り返されない。
【０１９１】
4．端末デバイスは、セッション確立要求を開始する。
【０１９２】
5．AMFは、セッション確立要求をSMFに送信する。
【０１９３】
任意選択で、端末デバイスは、事業者ネットワークによって配信またはネゴシエートされた認証ポリシーに従って、図2Aおよび図2Bに示されている実施形態のステップ4のものと同じ実施態様を使用することによってセッション確立要求を開始し得る。任意選択で、端末デバイスは、確立されるように要求されたセッションの認証情報と、これより前に端末デバイスによって記憶された以前のセッションの、cookieおよび加入データなどの認証情報とをセッション確立要求に追加し、このセッション確立要求をSMFに送信し得る。
【０１９４】
6．SMFは、加入データを確認する。
【０１９５】
任意選択で、SMFは、UDMから端末デバイスの加入データを取得し、UDMに記憶されている端末デバイスの加入データが、端末デバイスによって送信され、かつセッション確立要求で搬送された加入データと同じかどうかを確認し得る。加入データが同じであることが確認され、PDUセッション（セッション1）に対して二次認証が行われる必要がある場合、SMFは、セッション1の認証情報に基づいて、高速認証および／または許可がサポートされているかどうか、すなわち、セッション1が高速認証要件を満たしているかどうかを判定し得る。
【０１９６】
さらに、SMFは、SMF ID、DNN、およびAAAサーバ識別子などの、以前に認証されたPDUセッションに対応するDNの識別子情報を含む、端末デバイスによって既に認証されているセッションの認証情報をUDMから取得し得る。UDM内の情報がリアルタイムで更新されない場合、SMFは、以前に認証されたPDUセッションに対応するDNの識別子情報の有効期限などの情報をUDMからさらに取得し得る。
【０１９７】
7．セッション1の認証情報およびセッション2の認証情報に基づいて、端末デバイスに対して二次認証を行うかどうかを判定する。
【０１９８】
ステップ6における加入データの確認が成功し、PDUセッション（セッション1）に対して二次認証が行われる必要がある場合、SMFは、セッション1の認証情報と、UDMに照会することによって取得された以前のセッションの認証情報とに基づいて、セッション1が高速認証要件を満たしているかどうかを判定し得る。セッション1の認証情報および以前のセッション（例えば、セッション2）の認証情報に基づいて、セッション1に対して高速認証を行うかどうかを判定する実施態様については、前述の実施態様を参照されたい。詳細はここでは繰り返されない。
【０１９９】
セッション1が高速認証許可をサポートしている（例えば、二次認証が成功しているセッション2がセッション1の前に存在する）と決定された場合、SMFは、DN1とセッション1を確立することを端末デバイスに直接許可し得る。
【０２００】
セッション1が高速認証許可をサポートしていない（例えば、セッション1が、端末デバイスによってDN1と確立される1番目のセッションである）と決定された場合、SMFは、二次認証の通常の手順（図2Aおよび図2Bに示されている認証手順）を使用することによってセッション1に対して二次認証を行い得る。
【０２０１】
8および9．SMFは、EAP要求およびアイデンティティ要求情報を端末デバイスに送信し、端末デバイスは、EAP応答およびアイデンティティ情報をSMFにフィードバックする。
【０２０２】
10．SMFは、端末デバイスのEAP応答およびアイデンティティ情報をDNおよびAAAサーバに送信する。
【０２０３】
SMFは、SMFとUPFとの間に確立されたセッション接続を介して、端末デバイスから送信された端末デバイスのEAP応答およびアイデンティティ情報をUPFに送信する。UPFは、端末デバイスのEAP応答およびアイデンティティ情報をDNおよびAAAサーバにさらに送信する。
【０２０４】
11．AAAサーバは、選択された高速認証方法を使用することによってセッション1に対して高速認証を行う。
【０２０５】
AAAサーバは、選択されたEAP高速認証方法を使用することによって、EAPプロトコルで定義された認証ポリシーに従ってセッション1に対して認証を行い得る。
【０２０６】
12．DNは、UPFを使用することによって認証成功メッセージをSMFに送信する。
【０２０７】
13および14．SMFは、PDU確立成功メッセージをAMFに送信し、AMFは、PDU確立成功メッセージを端末デバイスに転送する。
【０２０８】
認証成功メッセージを受信した後、SMFは、DNとセッション1を確立することを端末デバイスに許可し得る。
【０２０９】
任意選択で、ステップ8から12は、任意選択のステップである。ステップ8から12が必要とされるかどうかは、異なる認証ポリシーに依存する。PDUセッションが、直接許可方法のみをサポートしているか、または直接許可方法を優先的にサポートしている場合、ステップ7における成功の後、ステップ13および14が直接実行され得る。詳細は、実際の適用シナリオに応じて決定され得、ここでは制限は課されない。
【０２１０】
本出願のこの実施形態では、UDMは、端末デバイスのPDUセッションの認証情報を記憶し得、端末デバイスが複数のPDUセッションを開始し、複数のPDUセッションが異なるSMFに属するとき、どのSMFも、端末デバイスによって既に認証されているセッションの認証情報についてUDMに照会する。SMFは、UDMに記憶されているPDUセッションの認証情報と、セッション確立要求によって確立されるように要求されたPDUセッションとに基づいて、高速認証がサポートされているかどうかを判定し、高速認証がサポートされている場合、PDUセッションに対して高速認証または直接許可を行う。本出願のこの実施形態では、UDMは、端末デバイスのPDUセッションの認証情報を記憶し得、SMFは、端末デバイスのPDUセッションの認証情報についてUDMに照会し得、さらに、セッション確立要求によって確立されるように要求されたPDUセッションの認証情報に基づいて、PDUセッションの高速認証を決定または実行し得る。これは、高速認証の実施態様を多様化する。本出願のこの実施形態で提供される二次認証の実施態様は、二次認証の実施手順を簡略化し、二次認証のシグナリングオーバヘッドなどのリソースを低減し、二次認証の効率を改善し得、したがって、より良い適用性を有する。
【０２１１】
図9は、本出願の一実施形態によるネットワークセキュリティ管理システムの概略構造図である。本出願のこの実施形態で提供されるネットワークセキュリティ管理システムは、端末デバイス、事業者ネットワークのネットワークデバイス、およびデータネットワークの認証サーバを含み得る。事業者ネットワークのネットワークデバイスは、第1のネットワークデバイス90および第2のネットワークデバイス100を含み得る。第1のネットワークデバイス90は、具体的には、前述の実施形態で説明されたアイデンティティ認証者、例えば、SMFなどのデバイスであり得る。第1のネットワークデバイス90は、トランシーバユニット91、処理ユニット92、および記憶ユニット93を含み得る。
【０２１２】
記憶ユニット93は、端末デバイスの加入データおよび／または端末デバイスのセッションの認証情報を記憶するように構成される。
【０２１３】
トランシーバユニット91は、端末デバイスによって送信されたセッション要求を受信し、セッション要求は、第1のデータネットワークとの第1のセッションの確立を要求するために使用され、セッション要求は、第1のセッションの第1の認証情報を含む、ように構成される。
【０２１４】
処理ユニット92は、トランシーバユニット91によって受信された第1の認証情報と、端末デバイスの第2のセッションのプリセットされた第2の認証情報とに基づいて、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するように構成される。
【０２１５】
任意選択で、第1の認証情報は、第1のデータネットワークの識別子情報を含み、第2の認証情報は、第2のセッションが接続されている第2のデータネットワークの識別子情報を含み、
処理ユニット92は、
第2のデータネットワークのプリセット識別子情報を取得し、第1のデータネットワークの識別子情報が第2のデータネットワークの識別子情報と同じである場合、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可する
ように構成される。
【０２１６】
任意選択で、第1のデータネットワークの識別子情報が第2のデータネットワークの識別子情報と同じであることは、以下のうち少なくとも1つ、すなわち、
第1のデータネットワークのデータネットワーク番号DNNが第2のデータネットワークのDNNと同じであること、または
第1のデータネットワークの認証サーバが第2のデータネットワークの認証サーバと同じであること、または
第1のデータネットワークの認証サーバが属する同期認証サーバグループが第2のデータネットワークの認証サーバが属する同期認証サーバグループと同じであること
のうち少なくとも1つを含む。
【０２１７】
任意選択で、事業者ネットワークは、第2のネットワークデバイスをさらに含み、
トランシーバユニット91は、
認証情報照会要求を第2のネットワークデバイスに送信し、認証情報照会要求は、端末デバイスのセッションの認証情報について照会するために使用され、
第2のネットワークデバイスによってフィードバックされた第2のセッションの第2の認証情報を受信し、第2の認証情報から第2のデータネットワークの識別子情報を取得し、
第2のセッションは、端末デバイスの複数のセッションのうち少なくとも1つであり、第2のセッションの第2の認証情報または許可情報は、依然として有効期間内にある、
ようにさらに構成される。
【０２１８】
任意選択で、第1の認証情報は、第1のセッションによって使用される第1のセキュリティコンテキストをさらに含み、第2の認証情報は、第2のセッションによって使用される第2のセキュリティコンテキストをさらに含み、
処理ユニット92は、
プリセットされた第2のセキュリティコンテキストを取得し、第2のセキュリティコンテキストが第1のセキュリティコンテキストと同じである場合、データネットワークと第1のセッションを確立することを端末デバイスに許可する
ように構成される。
【０２１９】
任意選択で、処理ユニット92は、第2のセキュリティコンテキストを更新するようにさらに構成され、
トランシーバユニット91は、端末デバイスに記憶されている第2のセッションのセキュリティコンテキストを更新するよう端末デバイスに命令するようにさらに構成される。
【０２２０】
任意選択で、トランシーバユニット91は、セキュリティコンテキスト照会要求を第2のネットワークデバイスに送信し、セキュリティコンテキスト照会要求は、端末デバイスのセッションのセキュリティコンテキストについて照会するために使用される、ようにさらに構成され、
トランシーバユニット91は、第2のネットワークデバイスによってフィードバックされた第2のセッションの第2のセキュリティコンテキストを受信するようにさらに構成され、
第2のセッションは、端末デバイスの複数のセッションのうち少なくとも1つであり、第2のセッションのセキュリティコンテキストは依然として有効期間内にある。
【０２２１】
任意選択で、トランシーバユニット91は、セッション認証または許可ポリシー照会要求を第2のネットワークデバイスに送信するようにさらに構成され、
トランシーバユニット91は、第2のネットワークデバイスによってフィードバックされたセッション認証または許可ポリシーを受信するようにさらに構成され、
処理ユニット92は、トランシーバユニットによって受信されたセッション認証または許可ポリシーに従って、第1のデータネットワークと第1のセッションを確立する権限範囲を端末デバイスに付与するようにさらに構成される。
【０２２２】
任意選択で、トランシーバユニット91は、第1のデータネットワークの識別子情報が第2のデータネットワークの識別子情報と同じであるときに、セッション認証要求を第1のデータネットワークの認証サーバに送信し、セッション認証要求は、第2の認証情報に基づいて第1のセッションに対して高速認証を開始するように認証サーバに命令するために使用される、ようにさらに構成され、
処理ユニット92は、トランシーバユニットが認証サーバによってフィードバックされた高速認証成功応答メッセージを受信したときに、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するようにさらに構成される。
【０２２３】
任意選択で、トランシーバユニット91は、セッション要求を第1のデータネットワークの認証サーバに転送するようにさらに構成される。セッション要求は、第1のセッションに対して高速認証を行うかどうかを判定するように認証サーバをトリガするために使用され、
処理ユニット92は、トランシーバユニット91が認証サーバによってフィードバックされた高速認証成功応答メッセージを受信したときに、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するようにさらに構成される。
【０２２４】
事業者ネットワーク上の第2のネットワークデバイス100は、具体的には、前述の実施形態で説明されたUDMなどのデータ管理ネットワーク要素であり得る。第2のネットワークデバイス100は、記憶ユニット101、トランシーバユニット102、および処理ユニット103を含み得る。記憶ユニット101は、端末デバイスの加入データおよび／または端末デバイスのセッションの認証情報を記憶するように構成される。
【０２２５】
トランシーバユニット102は、第2のネットワークデバイスによって送信された認証情報照会要求を受信し、認証情報照会要求は、端末デバイスの識別子情報を含む、ように構成される。
【０２２６】
トランシーバユニット102は、第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するように第2のネットワークデバイスをトリガするために、端末デバイスのセッションの認証情報を第2のネットワークデバイスにフィードバックするように構成される。
【０２２７】
端末デバイスのセッションは、第1のデータネットワークに接続するために端末デバイスによって開始された少なくとも1つのセッションを含む。
【０２２８】
任意選択で、端末デバイスのセッションの認証情報は、以下のうち少なくとも1つ、すなわち、端末デバイスID、事業者ネットワーク上の端末デバイス加入ID、第1のデータネットワーク上の端末デバイス加入ID、セッションが接続されている、事業者ネットワークのネットワークデバイスのID、セッションのセキュリティコンテキスト、セッションが接続されているデータネットワークの識別子情報、セッションが接続されている認証サーバの識別子情報、および成功したセッション認証の有効期間のうち少なくとも1つを含む。
【０２２９】
任意選択で、事業者ネットワーク上の端末デバイス加入ID、第1のデータネットワーク上の端末デバイス加入ID、およびセッションのセキュリティコンテキストのうち少なくとも1つまたは2つが、端末デバイスに対する認証、高速認証、または許可に使用される。
【０２３０】
任意選択で、認証情報照会要求は、第1のデータネットワークの識別子情報をさらに含み、
ネットワークデバイスは、
記憶ユニットに事前に記憶された、端末デバイスの複数のセッションから、第1のデータネットワークに接続されている第2のセッションを決定するように構成された処理ユニット103
をさらに含み、トランシーバユニット102は、処理ユニットによって決定された第2のセッションの認証情報を第2のネットワークデバイスにフィードバックするように構成され、
第2のセッションは、端末デバイスの複数のセッションのうち少なくとも1つであり、第2のセッションの認証情報または許可情報は依然として有効期間内にある。
【０２３１】
任意選択で、記憶ユニット101は、セッション認証または許可ポリシーを記憶するようにさらに構成され、
トランシーバユニット102は、第2のネットワークデバイスによって送信されたセッション認証または許可ポリシー照会要求を受信し、セッション認証または許可ポリシーを第2のネットワークデバイスにフィードバックするようにさらに構成され、
セッション認証または許可ポリシーは、第1のデータネットワークと第1のセッションを確立する権限範囲を端末デバイスに付与するように第2のネットワークデバイスに命令するために使用される。
【０２３２】
特定の実施態様では、第1のネットワークデバイス（例えば、SMF）および第2のネットワークデバイス（例えば、UDM）は、第1のネットワークデバイスに組み込まれたユニットおよび第2のネットワークデバイスのそれを使用することによって、前述の実施形態ではSMFまたはUDMによって実行される実施態様を実行し得る。詳細はここでは繰り返されない。
【０２３３】
図10は、本出願の一実施形態による通信デバイスの概略構造図である。図10に示されているように、本出願のこの実施形態で提供される通信デバイス110は、プロセッサ111、メモリ112、トランシーバ113、およびバスシステム114を含む。
【０２３４】
プロセッサ111、メモリ112、およびトランシーバ113は、バスシステム114を使用することによって接続される。
【０２３５】
メモリ112は、通信デバイスのプログラムおよび／または処理データを記憶するように構成される。具体的には、プログラムは、プログラムコードを含み得、プログラムコードは、コンピュータ動作命令を含む。メモリ112は、ランダムアクセスメモリ（random access memory、RAM）、読み出し専用メモリ（read−only memory、ROM）、消去可能プログラマブル読み出し専用メモリ（erasable programmable read only memory、EPROM）、またはコンパクトディスク読み出し専用メモリ（compact disc read−only memory、CD−ROM）を含むが、これらに限定されない。図10では、1つのメモリのみが示されている。もちろん、必要に応じて複数のメモリが構成されてもよい。代替的に、メモリ112は、プロセッサ111内のメモリであってもよい。ここでは制限は課されない。
【０２３６】
メモリ112は、以下の要素、すなわち、実行可能モジュールもしくはデータ構造、またはそのサブセット、またはその拡張セット、
様々な動作を実施するために使用される、様々な動作命令を含む動作命令、および
様々な基本サービスを実施し、ハードウェアベースのタスクを処理するために使用される、様々なシステムプログラムを含むオペレーティングシステム
を記憶する。
【０２３７】
プロセッサ111は、通信デバイス110の動作を制御する。プロセッサ111は、1つ以上の中央処理装置（central processing unit、CPU）であってもよい。プロセッサ111が1つのCPUである場合、CPUは、シングルコアCPUであってもよいし、またはマルチコアCPUでもよい。
【０２３８】
具体的な適用時、通信デバイス110の構成要素は、バスシステム114を使用することによって互いに結合される。データバスに加えて、バスシステム114は、電力バス、制御バス、および状態信号バスなどを含む。しかしながら、明確な説明のために、様々なタイプのバスは、図10ではバスシステム114として示されており、図示を容易にするために、図10では単に模式的に描かれている。
【０２３９】
本出願の前述の実施形態で提供された図2Aおよび図2B、図5、図6Aおよび図6B、図7、もしくは図8Aおよび図8B、または前述の実施形態で開示されたSMFによって実行される方法、または前述の実施形態で開示されたUDMもしくはAAAサーバによって実行される方法は、プロセッサ111に適用され得るし、またはプロセッサ111によって実施され得る。プロセッサ111は、集積回路チップであってもよく、信号処理能力を有する。実施プロセスでは、前述の方法のステップは、プロセッサ111のハードウェア集積論理回路を使用することによって、またはソフトウェア形態の命令を使用することによって実施され得る。プロセッサ111は、汎用プロセッサ、デジタル信号プロセッサ（digital signal processing、DSP）、特定用途向け集積回路（application specific integrated circuit、ASIC）、フィールドプログラマブルゲートアレイ（field−programmable gate array、FPGA）、もしくは他のプログラマブル論理デバイス、ディスクリートゲートもしくはトランジスタ論理デバイス、またはディスクリートハードウェア構成要素であり得る。プロセッサ111は、本出願の実施形態で開示されている方法、ステップ、および論理ブロック図を実施または実行し得る。汎用プロセッサは、マイクロプロセッサであってもよいし、またはプロセッサは、任意の従来のプロセッサなどであってもよい。本出願の実施形態を参照して開示された方法のステップは、ハードウェア復号プロセッサを使用することによって直接実行および完了されてもよいし、または復号プロセッサのハードウェアおよびソフトウェアモジュールの組み合わせを使用することによって実行および完了されてもよい。ソフトウェアモジュールは、ランダムアクセスメモリ、フラッシュメモリ、読み出し専用メモリ、プログラマブル読み出し専用メモリ、電気的消去可能プログラマブルメモリ、またはレジスタなどの、当技術分野の成熟した記憶媒体に配置され得る。記憶媒体は、メモリ112に配置される。プロセッサ111は、メモリ112内の情報を読み出し、そのハードウェアと共に、図2Aおよび図2B、図5、図6Aおよび図6B、図7、もしくは図8Aおよび図8B、または前述の実施形態で開示されたSMFによって実行される方法、または前述の実施形態で開示されたUDMもしくはAAAサーバによって実行される方法を実行する。
【０２４０】
前述の説明は、単なる本出願の特定の実施態様に過ぎず、本出願の保護範囲を限定することを意図されていない。本出願で開示された技術的範囲内で当業者によって容易に考え出されるいかなる変形または置換も、本出願の保護範囲内にあるものとする。
【符号の説明】
【０２４１】
90  第1のネットワークデバイス
91  トランシーバユニット
92  処理ユニット
93  記憶ユニット
100  第2のネットワークデバイス
101  記憶ユニット
102  トランシーバユニット
103  処理ユニット
110  通信デバイス
111  プロセッサ
112  メモリ
113  トランシーバ
114  バスシステム
【図１】
2020527914.tif 000003
【図２Ａ】
2020527914.tif 000004
【図２Ｂ】
2020527914.tif 000005
【図３】
2020527914.tif 000006
【図４】
2020527914.tif 000007
【図５】
2020527914.tif 000008
【図６Ａ】
2020527914.tif 000009
【図６Ｂ】
2020527914.tif 000010
【図７】
2020527914.tif 000011
【図８Ａ】
2020527914.tif 000012
【図８Ｂ】
2020527914.tif 000013
【図９】
2020527914.tif 000014
【図１０】
2020527914.tif 000015
【手続補正書】
【提出日】令和2年2月28日(2020.2.28)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】０００５
【補正方法】変更
【補正の内容】
【０００５】
第1の態様は、ネットワークセキュリティ管理方法であって、該方法は、事業者ネットワーク上の第1のネットワークデバイスによって実行され得、第1のネットワークデバイスは、アイデンティティ認証者として機能し、本方法は、
端末デバイスによって送信されたセッション要求を第1のネットワークデバイスによって受信するステップであって、セッション要求は、端末デバイスと第1のデータネットワークとの間に第1のセッションを確立するように第1のネットワークデバイスに要求するために使用され得、セッション要求は、第1のセッションの第1の認証情報を含む、ステップと、セッション要求で搬送された第1の認証情報と、端末デバイスによって以前に開始された、複数のセッションの中の第2のセッションのプリセットされた第2の認証情報とに基づいて、第1のネットワークデバイスによって、第1のデータネットワークと第1のセッションを確立することを端末デバイスに認証または許可するステップと
を含む、ネットワークセキュリティ管理方法を提供する。本出願のこの実施形態で提供される方法によれば、端末デバイスが新しいセッションを開始するとき、新しいセッションに対して高速認証を行うかどうかは、端末デバイスによって以前に開始された他のセッションの認証情報に基づいて判定され得る。新しいセッションに対して認証が必要とされない場合、端末デバイスは、第1のデータネットワークと新しいセッションを確立することを直接許可され得る。これは、セッション確立の効率を改善し、端末デバイスと事業者ネットワークのネットワークデバイスとデータネットワークとの間の余分なシグナリングオーバヘッドを低減し、セッション認証のリソース消費を低減し得、したがって、より良い適用性を有する。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００２６
【補正方法】変更
【補正の内容】
【００２６】
第2の態様は、事業者ネットワーク上のデータ管理ネットワーク要素として機能する第1のネットワークデバイスによって実行され得るネットワークセキュリティ管理方法であって、データ管理要素が、事業者ネットワーク上のアイデンティティ認証者として機能する第2のネットワークデバイスに端末デバイスの認証情報を提供し得、本方法は、
第2のネットワークデバイスによって送信された認証情報照会要求を第1のネットワークデバイスによって受信するステップであって、認証情報照会要求は、端末デバイスの識別子情報と、端末デバイスが確立を要求する第1のセッションが接続される第1のデータネットワークの識別子情報とを含む、ステップと、
端末デバイスの識別子情報および第1のデータネットワークの識別子情報に基づいて、第1のネットワークデバイスによって、第1のデータネットワークに接続するための端末デバイスの第2のセッションの認証情報を取得するステップと、
第1のデータネットワークと第1のセッションを確立することを端末デバイスに許可するように第2のネットワークデバイスをトリガするために、第1のネットワークデバイスによって第2のセッションの認証情報を第2のネットワークデバイスにフィードバックするステップと
を含み得、第2のセッションは、第1のデータネットワークに接続するために端末デバイスによって開始された複数のセッションのうち少なくとも1つである、ネットワークセキュリティ管理方法を提供する。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００４６
【補正方法】変更
【補正の内容】
【００４６】
第5の態様は、ネットワークセキュリティ管理システムであって、該システムが、第3の態様で提供されるネットワークデバイスと、第4の態様で提供されるネットワークデバイスと、端末デバイスと、データネットワークの認証サーバとを含み得、
端末デバイスが、事業者ネットワークへのセッション要求を開始し、セッション要求は、データネットワークとの第1のセッションの確立を要求するために使用される、ように構成されており、
データネットワークの認証サーバが、第1のセッションに対して高速認証を行うかどうかを判定し、および／または第1のセッションに対して高速認証を行い、データネットワークと第1のセッションを確立することを端末デバイスに許可するように事業者ネットワークに命令するように構成されている、ネットワークセキュリティ管理システムを提供する。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００５５
【補正方法】変更
【補正の内容】
【００５５】
モバイルブロードバンドアクセスサービスの拡大には、多様化されたビジネスモデルをより良くサポートし、より多くの多様化されたアプリケーションサービスおよびより多くの産業の要件を満たすために、MNOネットワークの開発が伴う。より良い、より包括的なサービスをより多くの産業に提供するために、次世代ネットワーク（すなわち、5Gネットワーク）には、4Gネットワークからのネットワークアーキテクチャの調整も付随する。例えば、5Gネットワークでは、4Gネットワークのモビリティ管理エンティティ（mobility management entity、MME）は、アクセスおよびモビリティ管理機能（access and mobility management function、AMF）ならびにセッション管理機能（session management function、SMF）を含む複数のネットワーク要素に分割される。3GPP標準化プロセスでは、図1に示されているように、サービス指向アーキテクチャに基づく5Gネットワークアーキテクチャも定義されている。図1は、サービス指向アーキテクチャに基づく5Gネットワークアーキテクチャの概略図である。図1に示されている5Gネットワークアーキテクチャは、3つの部分、すなわち、端末デバイス部分、DN部分、および事業者ネットワーク部分を含み得る。事業者ネットワークは、ネットワークエクスポージャ機能（network exposure function、NEF）、ネットワークリポジトリ機能（network repository function、NRF）、ポリシー制御機能（policy control function、PCF）、統合データ管理ネットワーク要素（unified data management、UDM）、アプリケーション機能（application function、AF）、認証サーバ機能（authentication server function、AUSF）、AMF、SMF、アクセスネットワーク（access network、AN）、およびユーザプレーン機能（user plane function、UPF）などのネットワーク要素および／またはエンティティを含み得る。ANは、無線アクセスネットワーク（Radio access network、RAN）とも呼ばれる。ここでは制限は課されない。説明を容易にするために、本出願の実施形態の以下の説明は、例としてANを用いる。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００５８
【補正方法】変更
【補正の内容】
【００５８】
a．端末デバイスは、例えば、ユーザ機器（user equipment、UE）である。本出願における端末デバイスは、音声および／またはデータ接続性をユーザに提供するデバイス（device）であり得、ワイヤレス端末および有線端末を含み得る。ワイヤレス端末は、ワイヤレス接続機能を備える手持ち型デバイス、またはワイヤレスモデムに接続された他の処理デバイスであり得、無線アクセスネットワークを使用することによって1つ以上のコアネットワークと通信するモバイル端末であり得る。例えば、ワイヤレス端末は、携帯電話、コンピュータ、タブレットコンピュータ、携帯情報端末（personal digital assistant、PDA）、モバイルインターネットデバイス（mobile Internet device、MID）、ウェアラブルデバイス、または電子書籍リーダ（e−book reader）などであり得る。他の例として、ワイヤレス端末は、代替的に、携帯モバイルデバイス、ポケットサイズのモバイルデバイス、手持ち型モバイルデバイス、コンピュータ内蔵モバイルデバイス、または車載モバイルデバイスであってもよい。他の例として、ワイヤレス端末は、移動局（mobile station）またはアクセスポイント（access point）であってもよい。UEは、端末デバイスの一タイプであり、ロングタームエボリューション（long term evolution、LTE）システムにおける端末デバイスの名前である。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】０１１４
【補正方法】変更
【補正の内容】
【０１１４】
任意選択で、セッション1およびセッション2が同じネットワークスライスに属することは、具体的には、セッション1およびセッション2が同じSMFに属することとしても表され得る。これは、具体的には、ネットワークスライス選択支援情報（Network Slice Selection Assistance Information、NSSAI）またはネットワークスライスIDなどの情報によって示され得る。詳細は、実際の適用シナリオに応じて決定され得、ここでは制限は課されない。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】０１６９
【補正方法】変更
【補正の内容】
【０１６９】
14および15．SMFは、PDUセッション確立成功メッセージをAMFに送信し、AMFは、PDUセッション確立成功メッセージを端末デバイスに転送する。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】０２３９
【補正方法】変更
【補正の内容】
【０２３９】
本出願の前述の実施形態で提供された図2Aおよび図2B、図5、図6Aおよび図6B、図7、もしくは図8Aおよび図8B、または前述の実施形態で開示されたSMFによって実行される方法、または前述の実施形態で開示されたUDMもしくはAAAサーバによって実行される方法は、プロセッサ111に適用され得るし、またはプロセッサ111によって実施され得る。プロセッサ111は、集積回路チップであってもよく、信号処理能力を有する。実施プロセスでは、前述の方法のステップは、プロセッサ111のハードウェア集積論理回路を使用することによって、またはソフトウェア形態の命令を使用することによって実施され得る。プロセッサ111は、汎用プロセッサ、デジタル信号プロセッサ（digital signal processor、DSP）、特定用途向け集積回路（application specific integrated circuit、ASIC）、フィールドプログラマブルゲートアレイ（field−programmable gate array、FPGA）、もしくは他のプログラマブル論理デバイス、ディスクリートゲートもしくはトランジスタ論理デバイス、またはディスクリートハードウェア構成要素であり得る。プロセッサ111は、本出願の実施形態で開示されている方法、ステップ、および論理ブロック図を実施または実行し得る。汎用プロセッサは、マイクロプロセッサであってもよいし、またはプロセッサは、任意の従来のプロセッサなどであってもよい。本出願の実施形態を参照して開示された方法のステップは、ハードウェア復号プロセッサを使用することによって直接実行および完了されてもよいし、または復号プロセッサのハードウェアおよびソフトウェアモジュールの組み合わせを使用することによって実行および完了されてもよい。ソフトウェアモジュールは、ランダムアクセスメモリ、フラッシュメモリ、読み出し専用メモリ、プログラマブル読み出し専用メモリ、電気的消去可能プログラマブルメモリ、またはレジスタなどの、当技術分野の成熟した記憶媒体に配置され得る。記憶媒体は、メモリ112に配置される。プロセッサ111は、メモリ112内の情報を読み出し、そのハードウェアと共に、図2Aおよび図2B、図5、図6Aおよび図6B、図7、もしくは図8Aおよび図8B、または前述の実施形態で開示されたSMFによって実行される方法、または前述の実施形態で開示されたUDMもしくはAAAサーバによって実行される方法を実行する。
【手続補正９】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ネットワークセキュリティ管理方法であって、前記方法は、
端末デバイスによって送信されたセッション要求を第1のネットワークデバイスによって受信するステップであって、前記セッション要求は、第1のデータネットワークとの第1のセッションの確立を要求するために使用される、ステップと、
前記第1のネットワークデバイスによって、前記端末デバイスが前記第1のデータネットワークによって認証されているかどうかを判定するステップと、
前記端末デバイスが前記第1のデータネットワークによって認証されている場合、前記第1のネットワークデバイスによって、前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可するステップと
を含む、ネットワークセキュリティ管理方法。
【請求項２】
前記セッション要求は、前記第1のデータネットワークの認証情報を含み、
前記第1のネットワークデバイスによって、前記端末デバイスが前記第1のデータネットワークによって認証されているかどうかを判定する前記ステップは、
前記第1のデータネットワークの前記認証情報が前記端末デバイスが正常に認証されているセッションの認証情報と同じであるかどうかを判定するステップ
を含む、請求項1に記載の方法。
【請求項３】
前記方法は、
前記端末デバイスが前記第1のデータネットワークによって認証されていない場合、前記第1のネットワークデバイスによって前記端末デバイスと前記第1のデータネットワークとの間の認証を開始するステップと、
前記端末デバイスと前記第1のデータネットワークとの間の前記認証が成功した場合、前記第1のネットワークデバイスによって前記第1のセッションの認証情報を統合データ管理ネットワーク要素に記憶するステップと
をさらに含む、請求項1または2に記載の方法。
【請求項４】
前記第1のネットワークデバイスによって、前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可する前記ステップは、
前記第1のネットワークデバイスによってセッション認証または許可ポリシー照会要求を前記統合データ管理ネットワーク要素に送信するステップと、
前記第1のネットワークデバイスによって、前記統合データ管理ネットワーク要素によってフィードバックされたセッション認証または許可ポリシーを受信し、前記セッション認証または許可ポリシーに従って、前記第1のデータネットワークと前記第1のセッションを確立する権限範囲を前記端末デバイスに付与するステップと
を含む、請求項3に記載の方法。
【請求項５】
前記第1のデータネットワークの前記認証情報は、前記第1のデータネットワークの識別子情報である、請求項2から4のいずれか一項に記載の方法。
【請求項６】
前記第1のデータネットワークの前記認証情報は、前記第1のデータネットワークのデータネットワーク番号DNNである、請求項5に記載の方法。
【請求項７】
前記第1のデータネットワークの前記認証情報は、前記第1のデータネットワークに対応するサーバの識別子情報である、請求項2から4のいずれか一項に記載の方法。
【請求項８】
装置であって、
トランシーバに結合されたプロセッサと、
プロセッサによって実行されるとき、前記プロセッサに、
端末デバイスによって送信されたセッション要求を受信することであって、前記セッション要求は、第1のデータネットワークとの第1のセッションの確立を要求するために使用される、ことと、
前記端末デバイスが前記第1のデータネットワークによって認証されているかどうかを判定することと、
前記端末デバイスが前記第1のデータネットワークによって認証されている場合、前記第1のデータネットワークと前記第1のセッションを確立することを前記端末デバイスに許可することと
を実施させる命令を記憶したメモリとを含む、装置。
【請求項９】
前記セッション要求は、前記第1のデータネットワークの認証情報を含み、
前記プロセッサは、特に、
前記第1のデータネットワークの前記認証情報が前記端末デバイスが正常に認証されているセッションの認証情報と同じであるかどうかを判定すること
を実施するようにされる、請求項8に記載の装置。
【請求項１０】
前記プロセッサは、さらに
前記端末デバイスが前記第1のデータネットワークによって認証されていない場合、前記端末デバイスと前記第1のデータネットワークとの間の認証を開始することと、
前記端末デバイスと前記第1のデータネットワークとの間の前記認証が成功した場合、前記第1のセッションの認証情報を統合データ管理ネットワーク要素に記憶することと、
を実施するようにされる、請求項8または9に記載の装置
【請求項１１】
プロセッサは、特に、
セッション認証または許可ポリシー照会要求を前記統合データ管理ネットワーク要素に送信することと、
前記統合データ管理ネットワーク要素によってフィードバックされたセッション認証または許可ポリシーを受信し、前記セッション認証または許可ポリシーに従って、前記第1のデータネットワークと前記第1のセッションを確立する権限範囲を前記端末デバイスに付与することと
を実施するようにされる、請求項10に記載の装置。
【請求項１２】
前記第1のデータネットワークの前記認証情報は、前記第1のデータネットワークの識別子情報である、請求項9から11のいずれか一項に記載の装置。
【請求項１３】
前記第1のデータネットワークの前記認証情報は、前記第1のデータネットワークのデータネットワーク番号DNNである、請求項12に記載の装置。
【請求項１４】
前記第1のデータネットワークの前記認証情報は、前記第1のデータネットワークに対応するサーバの識別子情報である、請求項9から11のいずれか一項に記載の装置。
【請求項１５】
コンピュータ記憶媒体であって、前記コンピュータ記憶媒体は、コンピュータソフトウェア命令を記憶しており、前記コンピュータソフトウェア命令が実行されると、請求項1から7のいずれか一項に記載の方法が行われる、コンピュータ記憶媒体。
【国際調査報告】
2020527914.tif 000016
2020527914.tif 000017
2020527914.tif 000018
2020527914.tif 000019
2020527914.tif 000020
2020527914.tif 000021