"第1のコンピューティングデバイスがエンドユーザ装置であり、第2のコンピューティングデバイスがゲートウェイサーバであり、第3のコンピューティングデバイスがアプリケーションサーバである通信ネットワークにおいて、第2のコンピューティングデバイスにより、第1のコンピューティングデバイスから受け取った1つまたは複数のパケットを認証するステップと、第2のコンピューティングデバイスにより、第3のコンピューティングデバイスが第1のレイヤの識別情報と第2のレイヤの識別情報の関連性を確認することによって第1のコンピューティングデバイスからの1つまたは複数のパケットを認証できるように、1つまたは複数のパケットを第3のコンピューティングデバイスに向けて送る前に、第1のレイヤの識別情報を用いて1つまたは複数のパケットにマークするステップとを含む、方法。第1のレイヤの識別情報が、第1のコンピューティングデバイスに割り当てられたリンクレイヤ識別情報を含む、請求項1に記載の方法。第2のレイヤの識別情報が、第1のコンピューティングデバイスに割り当てられたアプリケーションレイヤ識別情報を含む、請求項1に記載の方法。1つまたは複数のパケットをマークするステップが、1つまたは複数のパケットのそれぞれに第1のレイヤの識別情報を付加するステップを含む、請求項1に記載の方法。1つまたは複数のパケットをマークするステップが、1つまたは複数のパケットのそれぞれに第1のレイヤの識別情報を挿入するステップを含む、請求項1に記載の方法。第1のレイヤの識別情報を用いて1つまたは複数のパケットをマークするステップが、ディープパケットインスペクションに応答する、請求項1に記載の方法。第1のレイヤの識別情報を用いて1つまたは複数のパケットをマークするステップが、少なくとも1つの条件の存在に応答する、請求項1に記載の方法。第1のコンピューティングデバイスがエンドユーザ装置であり、第2のコンピューティングデバイスがゲートウェイサーバであり、第3のコンピューティングデバイスがアプリケーションサーバである通信ネットワークにおいて、第3のコンピューティングデバイスにより、第2のコンピューティングデバイスから1つまたは複数のパケットを受け取るステップであって、第2のコンピューティングデバイスは第1のコンピューティングデバイスから受け取った1つまたは複数のパケットを認証しており、1つまたは複数のパケットを第3のコンピューティングデバイスに向けて送る前に第1のレイヤの識別情報を用いて1つまたは複数のパケットにマークしてある、ステップと、第3のコンピューティングデバイスにより、第1のレイヤの識別情報と第2のレイヤの識別情報の関連性を確認することによって第1のコンピューティングデバイスからの1つまたは複数のパケットを認証するステップとを含む、方法。第1のコンピューティングデバイスがエンドユーザ装置であり、第2のコンピューティングデバイスがアプリケーションサーバであり、第3のコンピューティングデバイスがゲートウェイサーバとして働く通信ネットワークにおいて、メモリと、メモリに結合されたプロセッサであって、第1のコンピューティングデバイスから受け取った1つまたは複数のパケットを認証し、第2のコンピューティングデバイスが第1のレイヤの識別情報と第2のレイヤの識別情報の関連性を確認することによって第1のコンピューティングデバイスからの1つまたは複数のパケットを認証できるように、1つまたは複数のパケットを第2のコンピューティングデバイスに向けて送る前に、第1のレイヤの識別情報を用いて1つまたは複数のパケットにマークするように動作可能な、プロセッサとを備える、装置。第1のコンピューティングデバイスがエンドユーザ装置であり、第2のコンピューティングデバイスがゲートウェイサーバであり、第3のコンピューティングデバイスがアプリケーションサーバとして働く通信ネットワークにおいて、メモリと、メモリに結合されたプロセッサであって、第2のコンピューティングデバイスから1つまたは複数のパケットを受け取ることであって、第2のコンピューティングデバイスは第1のコンピューティングデバイスから受け取った1つまたは複数のパケットを認証しており、1つまたは複数のパケットを第3のコンピューティングデバイスに向けて送る前に第1のレイヤの識別情報を用いて1つまたは複数のパケットにマークしてある、パケットを受け取ること、および第1のレイヤの識別情報と第2のレイヤの識別情報の関連性を確認することによって第1のコンピューティングデバイスからの1つまたは複数のパケットを認証することを行うように動作可能な、プロセッサとを備える、装置。このような再認証は、たとえばHLR/HSSデータベースへの追加のアクセスの必要性、およびAKAシーケンス番号SQNパラメータに対する潜在的な問題によって引き起こされる再同期の必要性などのいくつかの問題を引き起こす。さらにGBAはAKAダイジェストプロトコルを用い、これは標準のWebブラウザによってサポートされていない。したがって改良されたエンドユーザ認証技術が必要である。本発明の実施形態は、通信ネットワークのアプリケーションサーバでのエンドユーザ装置の効率的な認証のための技術を提供する。第1の態様では、通信ネットワーク内では、第1のコンピューティングデバイスがエンドユーザ装置であり、第2のコンピューティングデバイスがゲートウェイサーバであり、第3のコンピューティングデバイスがアプリケーションサーバであることを前提とし、方法は以下のステップを含む。第2のコンピューティングデバイスは、第1のコンピューティングデバイスから受け取った1つまたは複数のパケットを認証する。第2のコンピューティングデバイスは、第3のコンピューティングデバイスが第1のレイヤの識別情報と第2のレイヤの識別情報の関連性を確認することによって第1のコンピューティングデバイスからの1つまたは複数のパケットを認証できるように、1つまたは複数のパケットを第3のコンピューティングデバイスに向けて送る前に、第1のレイヤの識別情報を用いて1つまたは複数のパケットにマークする。第2の態様では、やはり通信ネットワーク内では、第1のコンピューティングデバイスがエンドユーザ装置であり、第2のコンピューティングデバイスがゲートウェイサーバであり、第3のコンピューティングデバイスがアプリケーションサーバであることを前提とし、方法は以下のステップを含む。第3のコンピューティングデバイスは第2のコンピューティングデバイスから1つまたは複数のパケットを受け取り、第2のコンピューティングデバイスは第1のコンピューティングデバイスから受け取った1つまたは複数のパケットを認証しており、1つまたは複数のパケットを第3のコンピューティングデバイスに向けて送る前に第1のレイヤの識別情報を用いて1つまたは複数のパケットにマークしてある。第3のコンピューティングデバイスは、第1のレイヤの識別情報と第2のレイヤの識別情報の関連性を確認することによって第1のコンピューティングデバイスからの1つまたは複数のパケットを認証する。一実施形態では第1のレイヤの識別情報は、第1のコンピューティングデバイスに割り当てられたリンクレイヤ識別情報たとえばゲートウェイサーバまたは他の何らかのサーバによって割り当てられたを含み、第2のレイヤの識別情報は、第1のコンピューティングデバイスに割り当てられたアプリケーションレイヤ識別情報たとえばアプリケーションサーバまたは他の何らかのサーバによって前に割り当てられたを含む。他の態様は、メモリと、メモリに結合され上述のそれぞれの方法のステップを行うように動作するプロセッサとを備える装置によりもたらされる。さらに他の態様は、コンピューティングデバイスに関連付けられたプロセッサによって実行されたときに上述のそれぞれの方法のステップを行う、1つまたは複数のソフトウェアプログラムを記憶したプロセッサ可読記憶媒体を備える製品によりもたらされる。有利には本発明の例示的実施形態は、エンドユーザに対する認証の繰り返しをなくすことを実現する。代わりに本発明の例示の原理は、各パケットはゲートウェイを通ってネットワークに入り、ゲートウェイはすでにパケットをリンクレイヤにて認証しているということに基づく。それによりエンドユーザを、別の完全なAKA認証手順を行うのではなく、アプリケーションサーバがエンドユーザのリンクレイヤ識別情報本明細書ではパケットペインティングと呼ばれる、マークされたまたはラベル付けされたパケットから判定されると、エンドユーザのアプリケーションレイヤ識別情報との間の関連性たとえば一致を確認するだけで、アプリケーションレイヤレベルで認証することができる。本発明の上記その他の特徴および利点は、添付の図面および以下の詳細な説明から、より明らかになるであろう。本発明の例示的実施形態は、ネットワークゲートウェイにて行われるリンクレイヤ認証に基づいて、パケットネットワークのアプリケーションレイヤを通してエンドユーザ装置エンドユーザの認証をもたらす。それにより、パケットネットワーク内部のいずれのアプリケーションサーバでもエンドユーザの明示的な再認証は必要なく、すなわちアプリケーションレイヤレベルでのAKA認証手順を行う必要はない。本発明の認証は、本明細書では例示的にパケットペインティングと呼ばれる、パケットのマーク、ラベル付け、または増補技術を用いることによって達成される。本明細書で用いられるエンドユーザ装置またはユーザ機器という語句は、一般にネットワークおよびそのサービスにアクセスするために人間がそれと対話する装置として定義される。このような装置は、例示のみとして携帯電話、パーソナルコンピュータ、またはインターネット機器とすることができる。このような装置はまた好ましくは、場合によってはさらに他のデバイスを通して、セキュリティ証明書たとえばAKA証明書を保持するスマートカード加入者識別モジュールすなわちSIMカードと対話する手段を有する。本明細書ではゲートウェイまたはネットワークゲートウェイという用語は一般に、特定のプロバイダのネットワークに属するが、たとえば他のプロバイダのネットワークまたはインターネットなどの1つまたは複数の他のネットワークにも接続されたコンピューティングネットワークデバイスとして定義される。それによって外部ネットワークへの接続は、物理レベル無線基地局によって具体化されるような、あるいはHTTPまたはSIPセッション開始プロトコルプロキシ、またはHTTPまたはSIPサーバの場合のようなアプリケーションレベルとすることができる。本明細書で用いられるアプリケーションサーバとは一般に、例示のみとしてHTTPまたはSIPなどの、クライアント/サーバアプリケーションプロトコルにおけるサーバの役割をするコンピューティングネットワークデバイスとして定義される。本明細書で述べられる例示的実施形態は、アプリケーションレイヤおよびリンクレイヤを対象とするが、本発明の原理はそれらに限定されないことを理解されたい。すなわちエンドユーザの認証は、通信ネットワークの1つのネットワークフレームワークレイヤを通して、別のネットワークフレームワークレイヤを通して前に行われた認証に基づいて効率的に行うことができる。したがってアプリケーションレイヤ、およびリンクレイヤは、本発明の原理をそれを用いて実現することができるネットワークフレームワークレイヤの単なる例である。このような原理は、7つのレイヤアプリケーション、プレゼンテーション、セッション、トランスポート、ネットワーク、リンク、および物理の開放型システム間相互接続OSIモデル、または他の適切なネットワークフレームワークモデルの他のレイヤに応用することができる。本発明の例示のパケットペインティング技術の使用によって実現される利点は非限定的に、1HLR/HSSへの負荷を軽くすること、2認証を能率化より簡単かつより高速にすること、および3既存のブラウザとの完全な相互動作AKAサポートの要件を取り除くことによるを含む。パケットペインティングの結果として、サードパーティアプリケーションに対する簡略化されたブートストラッピングがもたらされる。もう1つの結果は、OpenIDをサポートするための簡略化された認証機構がもたらさせることである。OpenIDは、ユーザ中心のデジタル識別情報のためのオープンな分散型の無償のフレームワークである。すなわちOpenIDは、ユーザが同じデジタル識別情報を用いて多くのサービスにログオンすることを可能にする。OpenIDは、OpenIDFoundationカリフォルニア州サンラモンによって管理される。規格は、OpenIDAuthentication2.0、およびOpenIDProviderAuthenticationPolicyExtension1.0に詳述されており、その開示の全体を引用により本明細書に組み込む。本発明の例示の原理によればネットワークのいずれのアプリケーションサーバも、アプリケーションレイヤプロトコルデータ単位PDUのすべての部分が、すでに認証された1組の下位のレイヤのPDUリンクレイヤフレームなどを通してネットワーク内に到達していることが確実である限り、このPDUを認証することができる。これは本発明のパケットペインティング技術を用いて達成される。一実施形態では、リンクレイヤにてユーザを認証するゲートウェイノードたとえばモバイル基地局、NodeB、パケットデータゲートウェイ、ブロードバンドネットワークゲートウェイ、または次世代ネットワークNGNアクセスノードなどは、ユーザのリンクレイヤ識別情報を確認するラベル場合により署名されたを発行する。このようなラベルは例示として、1インターネットプロトコルIPパケットの前に挿入することができ、この挿入はネットワーク全体にわたって伝播される、および/または2既存または新規のIPヘッダ内に保持することができる。ペイントされたPDUがアプリケーションサーバに到達した後にはアプリケーションサーバは、エンドユーザに別の認証手順AKAプロトコルまたは手順などをアプリケーションサーバに対して行うことを要求するのではなく、リンクレイヤ識別情報とアプリケーションレイヤ識別情報の関連性をたとえばルックアップテーブル比較により確かめるだけでよい。この例示の解決策はまた好ましくは、ルータまたはマルチプロトコルスイッチがストリーム内のあらゆるパケットにラベルを渡すようにさせる。他の利点はパケットペインティング技術は、アプリケーションレイヤプロトコルの変更を必要としないことである。他の実施形態では、ゲートウェイにてディープパケットインスペクションDPIが使用され、PDUは条件付きでまたは一定のトリガでペイントされるたとえばリンクレイヤ識別情報を用いて増補、マーク、またはラベル付けされる。このようなトリガの一実施例はゲートウェイが、ハイパーテキスト転送プロトコルHTTPリダイレクションを通じてOpenID要求が発生したことを認識したときである。トリガまたは条件の他の実施例はゲートウェイが、宛て先アドレスが識別情報プロバイダIdPに対応することを認識したときである。IdPは実際上、その開示の全体が引用により本明細書に組み込まれるNGNIdentityManagementFrameworkという名称のInternationalTelecommunicationUnion-TelecommunicationStandardizationSectorITU-TRecommendationY.2720に指定されたIPベースの次世代ネットワークNGNのための識別情報管理IdM規格に従う、その境界内の事業者ネットワークに対するゲートウェイ構成要素である。NGNすなわち次世代ネットワークは、電気通信サービスを含むサービスを提供することができるパケットベースのネットワークであり、複数の広帯域な、サービス品質QoS対応の転送技術を利用することができ、そこではサービス関連機能はその下にある転送関連技術とは独立している。識別情報管理IdMの概念により、通信ネットワークの運用者、たとえば電気通信運用者またはネットワーク事業者本明細書ではこれら2つの語句は同義的に用いることができることに留意されたいによる新しいサービスが可能になることが理解される。このような事業者の例には非限定的に、ATT、Verizon、NTT、ChinaMobile、FranceTelecom/Orangeを含むことができる。NGN技術の例には、非限定的にユニバーサルモバイルテレコミュニケーションズシステムUMTS、IPマルチメディアサブシステムIMSなどが含まれる。これらのネットワークはネットワーク事業者によって管理される。IdMフレームワークにおいては、識別情報プロバイダ構成要素はネットワーク事業者によって制御され、運用される。上述の両方の例示的実施形態すなわち自動パケットペインティングまたは条件付き/トリガ型パケットペインティングでは、本発明の例示の原理は、すべてのパケットは通常はネットワークゲートウェイサーバを通過しなければならず、このようなゲートウェイサーバはエンドユーザを認証しなければならないので、この認証はアプリケーションレイヤに再帰的に拡張できるという事実を利用している。本発明の原理の1つの例示の用途は、NGNプロバイダによるOpenIDまたはOAuthなどのWeb2.0アプリケーションを実現するものを開発することである。OAuthとの関連においては、WorldWideWebなどの通信ネットワークを通じて利用できる様々な機能は、ユーザが自身のアプリケーションまたはウェブページを生成を可能にすることが理解される。1つの例はマッシュアップとして知られており、これは2つ以上のソースからのデータまたは機能を用いてまたは組み合わせて新しいサービスまたはアプリケーションを生成するウェブページまたはアプリケーションである。しかしユーザが自身の資格証明ユーザ名またはパスワードを1つのソースから他のソースに提出することを求められ、それによりソース間で情報を露出し、一方のソースに他方のソースへの完全なアクセスを与える場合に問題が生じる。これはユーザにとって望ましくない。OAuthとして知られるプロトコルは、この問題への解決策を提供することを試みる。一般にOAuthプロトコルhttp://oauth.net/を参照はユーザが、ユーザのパスワードを共有せずにユーザのウェブリソースへのアクセスをサードパーティに提供することを可能にする。本発明によるパケットペインティングは、OAuthとの関連において実施することができる。本発明の例示的実施形態はOpenIDまたはOAuthプロトコルを用いて使用することができるが、本発明の原理はこれらのプロトコルに限定されず、任意のアプリケーションサーバは、用いられる特定用途向けプロトコルとは無関係に、本発明のパケットペインティングプロセスを通じてユーザを認証できることを理解されたい。図1は、本発明の第1の実施形態による、パケットペインティングをその中で行うことができる通信ネットワーク100の一部分の図である。この実施形態に示されるように、エンドユーザ装置102または非限定的にパーソナルコンピュータまたは携帯電話などのインターネット機器とすることができる、ユーザ機器UEは、アクセスインターフェースA104を通して、ネットワークゲートウェイサーバ106たとえばNGNアクセスノードなどとの認証されたリンクレイヤ接続を確立している。アクセスインターフェースの例には、非限定的に無線LongTermEvolutionLTE、デジタル加入者回線DSL、またはローカルエリアネットワークLANが含まれる。ネットワーク境界は101として示されることに留意されたい。ネットワークゲートウェイサーバ106は、AKAプロトコルを用いて、そのリンクレイヤ識別子または識別情報Id103たとえば国際移動電話加入者識別番号IMSIに基づいてUE102を認証する。ネットワークゲートウェイサーバ106と識別情報プロバイダサーバIdP118の間のすべてのメッセージは、一連のネットワークルータまたはマルチプロトコルスイッチ114-1、114-2、...、114-kをたどる。識別情報プロバイダ118は、アプリケーションサーバの一例であることを理解されたい。この本発明の例示的実施形態によれば次いで、ネットワークゲートウェイサーバ106は、それがインターフェースN108上のルータまたはスイッチ114-1に送出するあらゆるIPパケット112の前にラベル110を挿入し、すなわち各パケットにラベルを付加する。このようなインターフェースNの例には非限定的に、802.2ファミリのリンクレイヤプロトコル、ハイレベルデータリンク制御HDLC、またはポイントツーポイントプロトコルPPPを含むことができる。続いて経路114-1、114-2、...、114-k上の各ルータまたはスイッチは、インターフェースN1、N2、およびNk116-1、116-2、...、116-kにわたる途中で、同じラベル110をコピーする。最後に識別情報プロバイダサーバ118では、ペイントされたラベルが付けられたパケットのみが受け入れられ、したがってたとえばアプリケーションプログラミングインターフェースすなわちAPIを通じて図示せず、アプリケーションレイヤPDUを認証し、それらのそれぞれを特定のLLID103まで追跡することが可能となり、これは適切なアプリケーションレイヤ識別子または識別情報OpenIDまたはIMSIに関連付けられる。好ましい実施形態ではLLラベル110内に、ゲートウェイID105が設けられることに留意されたい。ラベル110は署名付きにできることに留意されたい。本明細書で用いられる署名は、これが信頼されたネットワークであることを前提として、そうである場合もあり得るが必ずしも暗号化されたものではない。最も簡単なケースでは署名はヌルでもよい。上記の実施形態は、エンドユーザがローミング別のプロバイダのネットワークを通過するという意味でのをしていない場合のみに関する。ローミングにより複雑さがもたらされ、これは以下で考察する。図2は、本発明の第2の実施形態による、パケットペインティングをその中で行うことができる通信ネットワーク200の一部分の図である。図1の構成要素およびインターフェースと同じ図2に示される構成要素およびインターフェースは、同様な参照番号を有するが100だけ増加されていることに留意されたいすなわち図1のUE102は図2のUE202に対応し、図1のゲートウェイ106は図2のゲートウェイ206に対応し、以下同様。図1の実施形態と図2の実施形態の主な違いは、どこにLLラベルが保持されるかである。図2の実施形態ではLLラベル210は、送られているパケット220パケットはペイロード224を含んでいるの既存のまたは新規のIPヘッダフィールド222内に含まれる。図1の実施形態は、ラベルを各パケットに付加していることを想起されたい。具体的には図2に示されるように、ネットワークゲートウェイサーバ206に到着する認証されたUE202からのあらゆるパケット220に対して、ゲートウェイはLLラベル210を発生し、パケットを次のルータまたはスイッチ214-1に転送する前に、ラベル210を適切なIPヘッダフィールド222に付加する。ラベル210は、識別情報プロバイダアプリケーションサーバ218に到達する前に、パケット220が一連のルータまたはスイッチ214-1、214-2、...、214-kを通過する際には不変のままとなる。すなわち途中のルータまたはスイッチは、ラベルヘッダフィールドには全く触れない。UE202からのパケットがすでにLLラベルを保持していることがあり得る。この場合にはゲートウェイ206は、それが発生したLLラベル210を用いて既存のラベルを上書きする。図3は、本発明の第3の実施形態による、パケットペインティングをその中で行うことができる通信ネットワーク300の一部分の図である。図3は、ディープパケットインスペクションDPIの概念に関係する例示的実施形態を示す。やはり図1の構成要素およびインターフェースと同じ図3に示される構成要素およびインターフェースは、同様な参照番号を有するが200だけ増加されていることに留意されたいすなわち図1のUE102は図3のUE302に対応し、図1のゲートウェイ106は図3のゲートウェイ306に対応し、以下同様。図3の実施形態ではネットワークゲートウェイサーバ302は、ディープパケットインスペクションDPI307を行う。一実施形態では好ましくはディープパケットインスペクションは、その開示の全体が引用により本明細書に組み込まれるRequirementsforDPIinpacket-basednetworksandNGNドラフト2010、ITU-T、スイス、ジュネーブ、というITU-TNewDraftRecommendationと呼ばれる新しいITU-T規格文書で述べられる1つまたは複数の技術を含むことができる。しかし本発明の原理はITU-Tディープパケットインスペクション解析に限定されず、本明細書で述べられるようにトリガおよび/または条件の存在を判定する他の技術を含み得ることを理解されたい。したがってネットワークゲートウェイサーバ302が、DPI解析307を通じて一定の条件を検出たとえばOpenID認証要求、またはIdP宛て先を検出したときは、この条件の存在または発生または実在は、LLID情報ラベル310をパケット330の適切なIPヘッダフィールドに追加するようにゲートウェイをトリガする。パケット330は、指定された条件が存在する場合にのみマークされまたはラベル付けされるので、条件付きでペイントされたパケットと見なされる。次いで上記の実施形態のように、識別情報プロバイダアプリケーションサーバ318は署名を調べ、PDU330が認証されたかどうかを判定し、次いでLLID310をアプリケーションIDに関連付ける。図4は、本発明の第4の実施形態による、パケットペインティングをその中で行うことができる通信ネットワーク400の一部分の図である。図4は、UEローミング、すなわちUEがホームネットワークから訪問ネットワークに移動する場合を対象にする例示的実施形態を示す。やはり適切な部分では、図1の構成要素およびインターフェースと同じ図4に示される構成要素およびインターフェースは、同様な参照番号を有するが300だけ増加されているすなわち図1のUE102は図4のUE402に対応し、図1のゲートウェイ106は図4のゲートウェイ406に対応し、以下同様。この場合はUE402は訪問ネットワークゲートウェイサーバ403ネットワークIゲートウェイに接続される。ホームネットワークネットワークIIへの接続は、ネットワークIゲートウェイ403とネットワークIIゲートウェイ406の間のレイヤ2またはレイヤ3のトンネル407を通して達成される。この接続はインターフェースN’409によってサポートされる。しかしいずれの場合も終端ゲートウェイサーバ406ネットワークIIゲートウェイが、パケットをペイントマークまたはラベル付けすることが期待される。それによって、それがレイヤ3ゲートウェイである場合は、上述のペイント方法の代替として、ゲートウェイ406はパケットのペイロードを実際に署名することができる。UE402はそれがローミングしていないときは、レイヤ2またはレイヤ3トンネル405を通して、ネットワークゲートウェイサーバ406を通じてホームネットワーク406に直接接続できることに留意されたい。図5は、本発明の第5の実施形態による、パケットペインティングをその中で行うことができる通信ネットワーク500の一部分の図である。この実施形態は、図5の実施形態が図3との関連において上述したDPIトリガを使用することを除いて、図2の実施形態と同様である。すなわち図5ではネットワークゲートウェイは、すべてのパケットをペイントするのではなく、規定されたポリシーによってトリガされるのに従って特定のものをペイントするように選択することができる。やはり適切な部分では、図1の構成要素およびインターフェースと同じ図5に示される構成要素およびインターフェースは、同様な参照番号を有するが400だけ増加されているすなわち図1のUE102は図5のUE502に対応し、図1のゲートウェイ106は図5のゲートウェイ506に対応し、以下同様。図5の実施形態は、ゲートウェイ506にてDPIを行って、パケットヘッダ552およびペイロード554を変更することが可能なこれは、より高いレイヤにて暗号化も完全性保護も使用されていないことを意味する場合で、ネットワークポリシーがこのようなパケットペインティングを許す場合に対するものである。この場合は動作はたとえば、特定のアプリケーションヘッダの存在HTTPリダイレクトなどによってトリガすることができ、結果としてフローチャート556に示されるように、ネットワークで規定されるやり方でペイロードに追加されたペイントLLラベルを生じることになる。ここまではユーザを識別情報プロバイダアプリケーションサーバに対して認証する様々なペイント技術を示してきたことを理解されたい。しかしどのようにしてネットワークがユーザに対して認証されるかは示していない。それを以下で図6との関連において行う前に、相互認証がなくてもネットワークはすでに他に対する識別情報プロバイダの役割を行い得ることに留意する。図6は本発明の第6の実施形態による、相互認証をその中で行うことができる通信ネットワーク600の一部分の図である。具体的には図6は、相互認証サービスのための情報および決定フローを示す一実施形態である。図示のように、OpenIDをサポートするWebサーバである依拠当事者604は、ネットワークプロバイダの識別情報プロバイダ606を見出し、それに認証のためにUE602をリダイレクトするステップ610。UE602は認証を求める要求を識別情報プロバイダIdP606に送出するステップ612。IdP606は、要求のパケットに関連付けられたペイントラベルを調べステップ614、ラベルの識別情報がそのUEに対するOpenIDのそれとマップするかどうかを判定する。肯定であった場合はIdP606は、OpenIDプロトコルによって要求されるように、署名されたAuthN結果を返すことによって認証を確認するステップ616。それによりUEとIdPは相互認証を完了する。次いでUE602は、署名されたAuthN結果を依拠当事者604に送出するステップ618。パケットはステップ611の一部としてペイントされラベルが付けられ、ステップ612の認証要求の一部としてIdP606に送出されることを理解されたい。これによりIdP606は、それらの正統性を判定することが可能になる。またIdP606および依拠当事者604は共に、アプリケーションサーバと見なされることを理解されたい。この特定の実施形態は、OpenID規格および仕様上記に記載の側面を利用するが、OpenIDは、使用できるオープンソースの識別規格およびオープンソースベースの識別子の一例であることを理解されたい。したがってOpenIDと同様な機能および特徴をもたらす他の適切な識別規格も、本発明の実施形態の範囲内であると見なすことができる。また好ましくはラベルたとえば図1の110はゲートウェイIDを表すことを想起されたい。それによりネットワーク内のアプリケーションサーバは、新しい1対の対称鍵1つは暗号化用、1つは完全性保護用を生成し、これらの鍵をゲートウェイを通じてUEと共有することができる。したがって3GPPブートストラッピング機能BSF、およびIMSサービス呼セッション制御機能S-CSCFまたはプロキシ呼セッション制御機能P-CSCFはそれ自体で、認証のためにパケットペインティングを用いることができる。図7はBSFの場合を示す。やはり適切な部分では、図1の構成要素およびインターフェースと同じ図7に示される構成要素およびインターフェースは、同様な参照番号を有するが600だけ増加されているすなわち図1のUE102は図7のUE702に対応し、図1のゲートウェイ106は図7のゲートウェイ706に対応し、以下同様。この場合にはBSF718はアプリケーションサーバとして働くことを理解されたい。図7に示されるように、UE702が認証を求める第1の要求703を送出したときは、BSF718は、ネットワークゲートウェイ706から受け取ったペイントたとえばペイロード724も有するパケット720のヘッダ722内のラベル710を調べ、AKA手順を行う必要なしに、要求が正規ユーザから届いたかどうかを判定する。図8はS-CSCFP-CSCFの場合を示す。図7の構成要素およびインターフェースと同じ図8に示される構成要素およびインターフェースは、同様な参照番号を有するが100だけ増加されている。この場合はS-CSCFP-CSCF818はアプリケーションサーバとして働くことを理解されたい。UE802がUESIPINVITE803を発行したときは、IMSS-CSCFまたはP-CSCF818は、ネットワークゲートウェイ806から受け取ったペイントたとえばペイロード824も有するパケット820内のヘッダ822内のラベル810を調べ、AKA手順を行う必要なしに、要求が正規ユーザから届いたかどうかを判定する。当業者ならBSFおよびS-CSCFP-CSCFの通常の動作に関する詳細を理解するであろうことを理解されたい。しかしさらなる詳細は、その論文の全体が引用により本明細書に組み込まれる3GPPGBA:3GPPTS33.220V9.2.02009年12月、3rdGenerationPartnershipProject、TechnicalSpecificationGroupServicesandSystemAspects、GenericAuthenticationArchitectureGAA、GenericbootstrappingarchitectureRelease9、およびThe3GIPMultimediaSubsystemIMS:MergingtheInternetandtheCellularWorldsGonzaloCamarillo、Miguel-AngelGarcia-MartinJohnWileySons、2006年に見出すことができる。本発明の例示の原理はまた、ゲートウェイIDはそれにUEが接続するのに従って動的に変化するので、動的にモビリティをサポートする。図9はこの変化を示す。やはり図9での同様な構成要素およびインターフェースは、図1と比べて800だけ増加された参照番号を有する。図示のようにUE902が、1つのゲートウェイ906-1ネットワークゲートウェイ1からゲートウェイ906-2ネットワークゲートウェイ2に移動したときは、これを反映するようにペイントは変化する。たとえば図示のようにパケット920ヘッダ922とペイロード924を有するは、ネットワークゲートウェイ906-1によりラベル910-1で、およびネットワークゲートウェイ906-2によりラベル910-2でペイントされる。IdP918または他のアプリケーションサーバは、UEが接続されたいずれかのネットワークゲートウェイから、ペイントされたパケットを受け取る。本発明のパケットペインティング技術は、その開示の全体が引用により本明細書に組み込まれる2009年5月7日出願のIdentityManagementServicesProvidedByNetworkOperatorという名称の米国特許出願第12/437,248号代理人整理番号805021-US-NPで述べられている識別情報管理技術と共に使用できることを理解されたい。図10は、本発明の一実施形態による、パケットペインティングを実現するのに適した通信ネットワーク1000のハードウェアアーキテクチャの図である。図示のようにエンドユーザ装置1010たとえばユーザ機器102と、ゲートウェイサーバ1020たとえばネットワークゲートウェイサーバ106と、アプリケーションサーバ1030たとえばIdP118、BSF818、S-CSCF/P-CSCF918は、通信ネットワーク媒体1050を通じて動作可能に結合される。ネットワーク媒体は、それを通してユーザ機器とサーバとが通信することを望む任意のネットワーク媒体とすることができる。例示としてネットワーク媒体は、エンドツーエンドでIPパケットを運ぶことができ、アクセスネットワークでのUMTSまたはWiFiまたはDSLデジタル加入者回線、メトロネットワークでのイーサネット登録商標、およびバックボーンでのMPLSマルチプロトコルラベルスイッチングを含むものとすることができる。しかし本発明はネットワーク媒体の特定のタイプに限定されない。典型的にはエンドユーザ装置1010はクライアントマシンとなり、サーバ1020および1030はサーバマシンとなり得る。当業者には容易に明らかなように、サーバおよびクライアントはコンピュータプログラムコードの制御下で動作するプログラムされたコンピュータとして実装することができる。コンピュータプログラムコードは、コンピュータまたはプロセッサまたはマシン可読記憶媒体たとえばメモリに記憶され、コードはコンピュータのプロセッサによって実行される。本開示を前提として当業者なら、本明細書に述べられたプロトコルを実現するために適切なコンピュータプログラムコードを容易に生成し得るであろう。それでもなお図10は、ネットワーク媒体を通して通信する各デバイスの例示のアーキテクチャを全体的に示す。図示のように、エンドユーザ装置1010はI/Oデバイス1012、プロセッサ1014、およびメモリ1016を備える。ゲートウェイサーバ1020はI/Oデバイス1022、プロセッサ1024、およびメモリ1026を備える。アプリケーションサーバ1030はI/Oデバイス1032、プロセッサ1034、およびメモリ1036を備える。本明細書で用いられるプロセッサという用語は、非限定的に1つまたは複数の信号プロセッサ、1つまたは複数の集積回路などを含む、中央処理装置CPUまたは他の処理回路を含む1つまたは複数の処理デバイスを含むものであることを理解されたい。また本明細書で用いられるメモリという用語は、RAM、ROM、固定メモリ装置たとえばハードドライブ、またはリムーバブルメモリ装置たとえばディスケットまたはCDROMなど、プロセッサまたはCPUに関連付けられたメモリを含むものである。さらに本明細書で用いられるI/Oデバイスという用語は、処理装置にデータを入力するための1つまたは複数の入力デバイスたとえばキーボード、マウス、および処理装置に関連する結果をもたらすための1つまたは複数の出力デバイスたとえばCRTディスプレイを含むものである。したがって本明細書で述べられた本発明の方法を行うためのソフトウェア命令またはコードは、関連するメモリデバイス、たとえばROM、固定またはリムーバブルメモリの1つまたは複数に記憶し、使用の準備ができたときはRAMにロードされ、CPUによって実行することができる。すなわち図10に示される各コンピューティングデバイス1010、1020、および1030はそれらの、図1から9に示されるプロトコルのそれぞれのステップを行うように個々にプログラムすることができる。本明細書では添付の図面を参照して本発明の例示的実施形態について述べてきたが、本発明はそれらの正確な実施形態に限定されず、当業者によって本発明の範囲または趣旨から逸脱せずに様々な他の変形および変更を行い得ることを理解されたい。"