"モバイル装置の認証で使用するための認証の認証情報を生成する方法であって、第1のネットワークの持続的な通信層を介して、ネットワークサーバで前記持続的な通信層と共有される持続的な通信層の認証情報を確立するステップであって、前記持続的な通信層の認証情報は、前記第1のネットワークを使用して前記ネットワークサーバからサービスを受けるために前記モバイル装置を認証するように構成される、ステップと、第2のネットワーク上のネットワーク通信エンティティを他の通信層を介して発見するステップと、前記持続的な通信層の認証情報に基づいて、前記他の通信層を介して前記第2のネットワークで認証を行うための認証の認証情報を生成するステップであって、前記第2のネットワークにおける認証は、前記モバイル装置が前記第2のネットワークを使用して前記ネットワークサーバから前記サービスを受けることを可能にする、ステップとを含むことを特徴とする方法。前記持続的な通信層はアプリケーション層を含み、前記持続的な通信層の認証情報はアプリケーション層の認証情報を含むことを特徴とする請求項1に記載の方法。前記ネットワーク通信エンティティと前記アプリケーション層で通信するためのアプリケーション層識別を決定するステップと、前記ネットワーク通信エンティティと前記アクセス層で通信するためのアクセス層識別を前記アプリケーション層識別から決定するステップと、前記アクセス層識別を前記ネットワーク通信エンティティに送信して、前記ネットワーク通信エンティティで前記認証の認証情報の生成を開始するステップとをさらに含むことを特徴とする請求項2に記載の方法。前記モバイル装置は、前記認証の認証情報を前記アプリケーション層から前記他の通信層に通信するように構成されることを特徴とする請求項2に記載の方法。前記認証の認証情報は、鍵導出機能を使用して前記アプリケーション層の認証情報から生成されることを特徴とする請求項2に記載の方法。前記他の通信層はアクセス層を含み、前記認証の認証情報はアクセス層の認証情報を含むことを特徴とする請求項1に記載の方法。前記アクセス層の認証情報はセッション鍵を含むことを特徴とする請求項6に記載の方法。別のアクセス層の認証情報を使用して、前記第1のネットワーク上で前記モバイル装置を認証するステップをさらに含むことを特徴とする請求項6に記載の方法。前記持続的な通信層の認証情報は、前記第1のネットワークで前記モバイル装置を認証するために使用される前記アクセス層の認証情報を使用して確立されることを特徴とする請求項8に記載の方法。前記第1のネットワークはセルラ通信ネットワークであり、前記第2のネットワークはワイヤレスローカルエリアネットワークWLANであることを特徴とする請求項1に記載の方法。前記方法は通信層のハンドオフ時に行われることを特徴とする請求項1に記載の方法。前記ネットワーク通信エンティティはアクセスポイントAPまたはホットスポットBを含み、前記ネットワークサーバは、認証、認可および課金AAAサーバ、ワイヤレスローカルエリアネットワークWLANゲートウェイ、またはWLANアクセスポイントAPを含むことを特徴とする請求項1に記載の方法。前記AAAサーバはOpenIDプロバイダOPサーバを含み、前記WLANゲートウェイおよび前記WLANAPはリライングパーティRPを含むことを特徴とする請求項12に記載の方法。前記OPは、モバイルネットワーク事業者MNOまたは前記MNOに関連付けられたアプリケーションサービスプロバイダASPを含むことを特徴とする請求項13に記載の方法。前記認証の認証情報はローカルOpenIDプロバイダOPで生成されることを特徴とする請求項1に記載の方法。アプリケーションサーバのサービスにアクセスするためにモバイル装置を認証する際に使用する認証の認証情報を得る方法であって、アプリケーションサーバに関連付けられたアプリケーション層を介して、アプリケーション層の認証情報から導出された認証の認証情報を得るステップであって、前記認証の認証情報は、前記アプリケーションサーバのサービスにアクセスするためにモバイル通信装置を認証するように構成される、ステップと、他の通信層で前記モバイル装置を認証するために、前記認証の認証情報を前記アプリケーション層から前記他の通信層に送信するステップと、前記アプリケーション層の認証情報に基づく前記認証の認証情報を使用して、前記他の通信層で前記モバイル装置を認証するステップとを含むことを特徴とする方法。前記他の通信層はアクセス層であり、前記認証の認証情報はアクセス層の認証情報であることを特徴とする請求項16に記載の方法。前記認証の認証情報を得るステップは、ネットワーク通信エンティティで前記アクセス層を介して、前記モバイル装置からアクセス層識別を受信するステップと、前記アクセス層識別を前記ネットワーク通信エンティティのアプリケーション層に送信するステップと、前記アクセス層識別に結び付けられたアプリケーション層識別を、前記ネットワーク通信エンティティで前記アプリケーション層を介して受信するステップと、前記アクセス層識別および前記アプリケーション層識別が前記モバイル装置から受信されたと判定するステップと、前記判定の結果、前記アプリケーション層識別を使用して、前記アプリケーション層の認証情報から前記認証の認証情報を導出するステップとをさらに含むことを特徴とする請求項17に記載の方法。前記認証の認証情報は鍵導出機能を使用して導出されることを特徴とする請求項16に記載の方法。前記方法は、ホットスポットB、または認証、認可および課金AAAサーバで行われることを特徴とする請求項16に記載の方法。前記認証の認証情報を得るステップは、OpenIDプロバイダOPから前記認証の認証情報を受け取るステップをさらに含むことを特徴とする請求項16に記載の方法。前記OPは、MNO、または前記MNOに関連付けられたアプリケーションサービスプロバイダASPを含むことを特徴とする請求項21に記載の方法。本明細書には、例えばOpenIDプロトコルなどの連携識別federatedidentityおよびシングルサインオンSSOを使用して、異種のネットワーク間のシームレスなユーザ/装置の認証とセキュアな移動性とを可能にするための各種実装が記載される。本明細書に記載される実施形態は、あるネットワークに対する認証情報を活用して、別のネットワークに対する認証を行うことができる。一例示的実施形態では、1つのネットワークの持続的な通信層で生成される持続的な通信層の認証情報を使用して逆ブートストラップを行い、別のネットワークで要求に応じてかつシームレスな方式でセキュリティ層の認証および/またはセキュアなトンネルの設定を完了することができる。例示的実施形態によると、持続的な通信層の認証情報は、アプリケーション層で生成されるアプリケーション層の認証情報、または1つのネットワークから別のネットワークへのハンドオフ後も存続する通信層で生成される別の認証情報である。本発明の実施形態では、ハンドオフのシナリオでアプリケーション層の認証情報を使用して別の層例えば、非持続性の通信層における認証を行うことを記載するが、持続的な通信層で確立され、ネットワーク間のハンドオフ後も存続する任意の他の認証情報が使用されてよいことは理解されよう。一実施形態によると、ハンドオフ例えばアクセス層のハンドオフ時にモバイル装置の認証で使用するアクセス層の認証の認証情報を生成するシステムおよび方法が記載される。認証の認証情報は、モバイル装置からアクセスされるサービスがハンドオフ中にシームレスに中断せずに継続するように生成することができる。本明細書に記載されるように、アクセス層で第1のネットワークエンティティとの間にセキュアな通信を確立することができる。第1のネットワークエンティティとのセキュアな通信に基づいて、セキュアなアプリケーション層の通信をアプリケーションサーバとの間にも確立することができる。サービスはセキュアな通信を使用して受信することができる。第2のネットワークエンティティを発見することができる。第2のネットワークエンティティに対する認証のために認証の認証情報例えば、アクセス層の認証情報を生成することができる。認証の認証情報は、アプリケーション層の通信に関連付けられたアプリケーション層の情報を使用して生成することができる。認証の認証情報は、ハンドオフ中にサービスがシームレスに中断されずに生成されうる。例示的実施形態によると、認証は、例えばシングルサインオンSSOプロトコルを使用して1つのネットワークから別のネットワークへのハンドオフ時に行って、アプリケーションサーバからのサービスにワイヤレス通信装置がアクセスできるようにすることができる。例えば、ハンドオフは、セルラ通信ネットワーク例えば、3GPPネットワークからワイヤレスローカルエリアネットワークWLAN例えば、ブラウザベースのWLANまたは802.1x/EAPに基づくWLANへと行われることができる。SSOプロトコルは、汎用ブートストラッピングアーキテクチャGBAに基づくことができる。SSOプロトコルはOpenIDを実装することもできる。SSOプロトコルを使用して、例えば逆ブートストラップなどの鍵導出機能を実装して、アプリケーションサーバでユーザおよび/または装置を認証するために使用される認証の認証情報を生成することができる。アプリケーションサーバは、OpenIDプロバイダOPまたはリライングパーティRPとして機能する、認証、認可および課金AAAサーバを含むことができる。別の実施形態によると、アプリケーションサーバは、RPとして機能するワイヤレスローカルエリアネットワークWLANゲートウェイまたはWLANアクセスポイントAPを含むことができる。WLANAPは、UEと別のSSOエンティティとの間のSSOの交換を可能にすることができる。本明細書で使用される用語の説明を提供する。ローカル識別プロバイダローカルIdPは、ローカルに、すなわち装置上で、またはその非常に近くで行われるユーザ/装置の識別のアサーションassertionを可能にするクライアントのローカルにあるエンティティおよびそのようなエンティティの機能を意味する用語である。RPは、OpenIDプロトコルのリライングパーティまたは他のアプリケーションサービスプロバイダであり、ユーザ/装置の識別の検証を試み、識別プロバイダとの間に信頼関係を有する。OPは、OpenIDプロトコルのOpenIDプロバイダまたはアプリケーションサービスプロバイダに代わってユーザおよび/または装置を認証することができる識別プロバイダである。GWは、例えば接続されたエンティティ間のインターネットトラフィックを制御するエンティティなどのゲートウェイである。BAは、ブラウジングエージェントである。Uは一般的なモバイルユーザである。UEは一般的なモバイルユーザのモバイル装置である。ローカルモバイルSSOは、従来はウェブベースのSSOサーバによって行われていたシングルサインオンSSOおよび/またはそれに関連する識別管理機能の一部またはすべてを装置上でローカルに行う方法を総称的に指すために使用される用語である。ローカルモバイルSSOは、ローカルにあるエンティティおよび/またはモジュールによって行うことができ、それらのエンティティおよび/またはモジュールは例えば通信装置自体の一部または全体である。ローカルにあるエンティティ/モジュールは、通信装置および/またはそのユーザの近傍に物理的および/または論理的に位置するすなわちローカルに位置することができる例えばそのようなエンティティ/モジュールが装置に内蔵されるか、ローカルインタフェースまたは配線または短距離のワイヤレス手段で装置に取り付けまたは接続される。ローカルOpenIDは、SSOまたは識別の管理をOpenIDプロトコルに基づかせることができるローカルモバイルSSOのサブセットの意味で使用される用語である。OpenID識別プロバイダOPまたはOpenIDIdPの機能の一部またはすべてを、ローカルに位置するエンティティ/モジュールによって行うことができる。ローカルOPは、OpenIDサーバの機能の一部またはすべてを行うエンティティまたはモジュールの意味で使用される用語である。ローカルOPは、OpenIDプロトコルを使用して実装されるローカルIdPとすることができる。用語ローカルOPは、本明細書に記載される実施形態で実施することができるが、ローカルIdPは、OpenIDプロトコルを実装しない同様の実施形態でも使用できることが理解されよう。OPlocをローカルのOPを意味するために使用する場合もある。ローカルOPの機能の1つは、ユーザおよび/または装置の識別についてのアサーションを通じてユーザおよび/またはワイヤレス通信装置の認証を容易にすることである。そのようなアサーションは、ローカルOPから装置例えば、装置のブラウザエージェントに送信することができ、装置はそのアサーションを外部のリライングパーティRPに転送することができる。ローカルOPによって提供される機能が主にそのような識別のアサーションの提供に限られる場合は、そのような機能を行うローカルエンティティをローカルアサーションプロバイダLAPと呼ぶことができる。ローカルOPは、1つまたは複数のアサーションメッセージを処理例えば、作成、管理、および/または送信することができる。ローカルOPは、そのメッセージを使用してユーザおよび/または装置に関連する1つまたは複数の識別の検証の状態をアサートすることができる。このアサーションは、そのようなメッセージの1つまたは複数の外部受信者に対して行うことができる。例えばリライングパーティRPなどの第3者エンティティがそのようなアサーションメッセージの受信者の1つとなることができる。ローカルOPは、例えば暗号鍵を使用する等してそのようなアサーションメッセージに署名することができる。ローカルOpenIDの方法では1つまたは複数の暗号鍵を使用することができる。そのような鍵の1つは、ルートセッション鍵と呼ばれるものであり、Krpで表すことができ、これは、そこから他の鍵を導出できるルートセッション鍵の役割を果たすようにRPとOPとの間で使用されることが意図されるセッション鍵である。別のそのような鍵は、アサーション鍵と呼ばれるものであり、Kascと表すことができ、これは、ユーザの認証用のアサーションメッセージの1つまたは複数に署名するために使用できる署名鍵である。KascはKrpから導出することができる。ローカルOpenIDは、OpenIDサーバ機能OPSFと呼ばれるサービスを使用して実装することもでき、その役割は、ローカルOPおよび任意でリライングパーティRPに使用される秘密を生成、共有、および/または配布することである。OPSFおよびローカルOPは、外部のRPからは1つのエンティティとして見える。OPSFは、ローカルOPによって発行された署名を検証することができ、例えば公衆のインターネットまたは他の有線もしくは無線の通信を介してRPに直接到達することができる。装置は、例えばOPSFのアドレスがローカルOPに対応付けられるように装置上のローカルDNSリゾルビングキャッシュresolvingcacheを変更する等により、例えばブラウザを介してローカルOPにリダイレクトされることができる。ローカルOpenIDは、OP-aggと表されるサービスを使用することもでき、その役割は、RPに代わってローカルOPの発見を容易にすることである。上述の用語および説明が本明細書に記載される実施形態で参照される場合がある。本明細書の実施形態はOpenIDの用語および/またはOpenIDプロトコルの一部を使用して説明することができるが、それらの実施形態は、OpenIDプロトコルまたはOpenIDエンティティの使用に限定されないことが理解されよう。例示的実施形態によると、本明細書にさらに説明するように、例えばスマートフォンなどのモバイル通信装置は、階層化された通信を使用して通信することができる。モバイル通信装置は、アクセス層で例えばアクセス層ネットワークとの間に通信を確立することができる。モバイル通信装置は、アプリケーション層またはアクセス層でも、アプリケーションサービスプロバイダおよび/またはそのようなプロバイダのそれぞれアプリケーション層ネットワークまたはアクセスネットワーク等との間に通信を確立することができる。各層で、通信はそれぞれ独自のセキュリティを有することができる。そのような層固有のセキュリティは、各層で認証および/またはセキュリティ鍵の合意を実装することができる。例えばアプリケーション層などの上位層における認証および/またはセキュリティ鍵の合意では、セキュリティ鍵および/または他のセキュリティ関連情報、例えば下位層のセキュリティの関連付けのコンテクストを利用して、アプリケーション層のための鍵または他のセキュリティ関連パラメータを導出することができる。そのような技術は、例えばブートストラッピング技術と呼ばれることがある。例示的実施形態によると、モバイル装置がそのアクセス層通信をあるアクセスネットワークから別のアクセスネットワークに切り替える時、そのような工程をアクセス層のハンドオフと呼ぶことがある。アクセス層のハンドオフは、例えば通信を行っている装置の移動に起因して発生する。アクセス層のハンドオフは、アクセス層ネットワーク内の例えば基地局などの1つのアクセス層ノードと、例えば別の基地局などの別のそのようなノードとの間で発生する。2つのアクセス層ノードは、例えば、同じネットワーク内にある場合も、あるアクセス層ネットワークと別のアクセス層ネットワーク、すなわち異なるアクセス層ネットワークにある場合もある。アクセス層のハンドオフは、モバイル通信装置のユーザに対して透過であることが望ましい場合がある。また、アクセス層のハンドオフは、アプリケーション層の通信の継続した滑らかな動作を行うために中断がないことも望ましい場合がある。アプリケーション層のセキュリティ認証情報を使用して、例えばアクセス層の状況時などにアクセス層のセキュリティの確立を助けることができる。例示的実施形態によると、例えばOpenIDを実装することが可能な委託認証をアプリケーション層で行って、ハンドオフ時の後続ネットワークへのアクセス時に発見および/または接続を支援することができる。一実施形態によると、ブートストラップを使用することができる。アクセス層のセキュリティ鍵を、既存のアプリケーション層の通信で入手できるセキュリティ材料から導出することができる。例えば、アクセス層のセキュリティ鍵は、例えばGBAまたはOpenIDなどの委託形態の認証を使用して確立されたセキュリティ材料から導出することができる。別の実施形態によると、逆ブートストラップを使用することができる。アクセス層のセキュリティ鍵は、既存のアプリケーション層の通信で入手可能なセキュリティ材料から導出することができる。例えば、アクセス層のセキュリティ鍵は、例えばOpenIDなどの委託形態の認証を使用して確立されたセキュリティ材料から導出することができる。本明細書に記載されるように、認証を行う際にはローカルのアサーションプロバイダも使用することができる。例えば、ローカルOPを、アプリケーション層で使用されるOpenIDプロトコルの一部として使用することができる。ローカルOPは、アクセス層のハンドオフ時にシームレスな認証および/または鍵合意を容易にすることができる。アクセス層の認証および/または鍵合意ならびにアクセス層の認可を、シームレスなハンドオフ中に可能にすることができる。図1A~1Cに、本明細書に記載される実施形態で実装することが可能なネットワーク通信システムおよび/または装置の例を示す。図1Aは、1つまたは複数の開示実施形態を実施することが可能な例示的通信システム100の図である。通信システム100は、音声、データ、映像、メッセージング、放送等のコンテンツを複数のワイヤレスユーザに提供する多重接続システムとすることができる。通信システム100は、複数のワイヤレスユーザが、ワイヤレス帯域幅を含むシステム資源の共有を通じてそのようなコンテンツにアクセスすることを可能にすることができる。例えば、通信システム100は、符号分割多重接続CDMA、時分割多重接続TDMA、周波数分割多重接続FDMA、直交FDMAOFDMA、単一キャリアFDMASC-FDMA等の1つまたは複数のチャネルアクセス方法を用いることができる。図1Aに示すように、通信システム100は、ワイヤレス送信/受信ユニットWTRU102a、102b、102c、102d、無線アクセスネットワークRAN104、コアネットワーク106、公衆交換電話網PSTN108、インターネット110、および他のネットワーク112を含むことができる。ただし、開示される実施形態では、任意の数のWTRU、基地局、ネットワーク、および/またはネットワーク要素を企図することが理解されよう。各WTRU102a、102b、102c、102dは、ワイヤレス環境で動作および/または通信するように構成された任意の種類の装置であってよい。例として、WTRU102a、102b、102c、102dは、ワイヤレス信号を送信および/または受信するように構成することができ、ユーザ機器UE、移動局、固定型または移動型の加入者ユニット、タブレット、ページャ、携帯電話、携帯情報端末PDA、スマートフォン、ラップトップ機、ネットブック、パーソナルコンピュータ、ワイヤレスセンサ、消費者電子製品等を含むことができる。通信システム100は、基地局114aおよび基地局114bも含むことができる。各基地局114a、114bは、WTRU102a、102b、102c、102dの少なくとも1つとワイヤレスにインタフェースを取って、コアネットワーク106、インターネット110、および/またはネットワーク112等の1つまたは複数の通信ネットワークへのアクセスを容易にするように構成された任意の種類の装置であってよい。例として、基地局114a、114bは、ベーストランシーバ局BTS、ノードB、eノードB、ホームノードB、ホームeノードB、サイトコントローラ、アクセスポイントAP、ワイヤレスルータ等である。図では基地局114a、114bは1つの要素としてそれぞれ図示するが、基地局114a、114bは任意の数の相互接続された基地局および/またはネットワーク要素を含んでよいことは理解されよう。基地局114aは、RAN104の一部とすることができ、RAN104は、他の基地局および/または、基地局コントローラBSC、無線ネットワークコントローラRNC、中継ノード等のネットワーク要素図示せずも含むことができる。基地局114aおよび/または基地局114bは、セルと呼ぶ場合もある特定の地理領域図示せず内でワイヤレス信号を送信および/または受信するように構成することができる。セルはさらにセルセクタに分割することができる。例えば、基地局114aに関連付けられたセルを3つのセクタに分割することができる。そのため、一実施形態では、基地局114aは、3つのトランシーバ、すなわちセルのセクタごとに1つのトランシーバを含むことができる。一実施形態では、基地局114aは、多入力多出力MIMO技術を用いることができ、したがってセルの各セクタに複数のトランシーバを利用することができる。基地局114a、114bは、エアインタフェース116を通じてWTRU102a、102b、102c、102dの1つまたは複数と通信することができる。エアインタフェース116は、任意の適切なワイヤレス通信リンク例えば無線周波RF、マイクロ波、赤外線IR、紫外線UV、可視光等であってよい。エアインタフェース116は、適切な無線アクセス技術RATを使用して確立することができる。より具体的には、上記で述べたように、通信システム100は多重接続システムであってよく、CDMA、TDMA、FDMA、OFDMA、SC-FDMA等の1つまたは複数のチャネルアクセス方式を用いることができる。例えば、RAN104の基地局114aとWTRU102a、102b、102cは、UniversalMobileTelecommunicationSystemUMTSTerrestrialRadioAccessUTRA等の無線技術を実装することができ、その場合は広帯域CDMAWCDMA登録商標を使用してエアインタフェース116を確立することができる。WCDMAは、High-SpeedPacketAccessHSPAおよび/またはEvolvedHSPAHSPA等の通信プロトコルを含むことができる。HSPAはHigh-SpeedDownlinkPacketAccessHSDPAおよび/またはHigh-SpeedUplinkPacketAccessHSUPAを含むことができる。一実施形態では、基地局114aおよびWTRU102a、102b、102cは、EvolvedUMTSTerrestrialRadioAccessE-UTRA等の無線技術を実装することができ、その場合、エアインタフェース116はLongTermEvolutionLTEおよび/またはLTE-AdvancedLTE-Aを使用して確立することができる。他の実施形態では、基地局114aおよびWTRU102a、102b、102cは、IEEE802.16すなわちWorldwideInteroperabilityforMicrowaveAccessWiMAX、CDMA2000、CDMA20001X、CDMA2000EV-DO、InterimStandard2000IS-2000、InterimStandard95IS-95、InterimStandard856IS-856、GlobalSystemforMobileCommunicationGSM登録商標、EnhancedDataratesforGSMEvolutionEDGE、GSMEDGEGERAN等の無線技術を実装することができる。図1Aの基地局114bは、例えばワイヤレスルータ、ホームノードB、ホームeノードB、フェムトセルの基地局、またはアクセスポイントであり、職場、家庭、乗り物、学校構内等の局所的な領域内でのワイヤレス接続を容易にする任意の適切なRATを利用することができる。一実施形態では、基地局114bおよびWTRU102c、102dは、IEEE802.11等の無線技術を実装してワイヤレスローカルエリアネットワークWLANを確立することができる。一実施形態では、基地局114bおよびWTRU102c、102dは、IEEE802.15等の無線技術を実装してワイヤレスパーソナルエリアネットワークWPANを確立することができる。さらに一実施形態では、基地局114bおよびWTRU102c、102dは、セルラ方式のRAT例えばWCDMA、CDMA2000、GSM、LTE、LTE-A等を利用してピコセルまたはフェムトセルを確立することができる。図1Aに示すように、基地局114bは、インターネット110への直接の接続を有することができる。そのため、基地局114bは、コアネットワーク106を介してインターネット110にアクセスする必要がない場合もある。RAN104はコアネットワーク106と通信状態にあることができ、コアネットワークは、WTRU102a、102b、102c、102dの1つまたは複数に音声、データ、アプリケーション、および/またはVoiceoverInternetProtocolVoIPサービスを提供するように構成された任意の種類のネットワークであってよい。例えば、コアネットワーク106は、呼制御、課金サービス、モバイル位置を利用するサービス、料金前払いの通話、インターネット接続、映像配布等を提供する、および/またはユーザ認証等の高レベルのセキュリティ機能を行うことができる。図1Aには示さないが、RAN104および/またはコアネットワーク106は、RAN104と同じRATまたは異なるRATを用いる他のRANと直接通信状態にあっても、または間接的な通信状態にあってもよいことが理解されよう。例えば、E-UTRA無線技術を利用する可能性のあるRAN104に接続されるのに加えて、コアネットワーク106は、GSM無線技術を用いる別のRAN図示せずとも通信状態にあることができる。コアネットワーク106は、WTRU102a、102b、102c、102dがPSTN108、インターネット110および/または他のネットワーク112にアクセスするためのゲートウェイの役割を果たすこともできる。PSTN108は、従来の電話サービスPOTSを提供する回線交換電話網を含むことができる。インターネット110は、TCP/IPインターネットプロトコルスイートの伝送制御プロトコルTCP、ユーザデータグラムプロトコルUDP、インターネットプロトコルIP等の一般的な通信プロトコルを使用する相互接続されたコンピュータネットワークおよび装置からなる世界規模のシステムを含むことができる。ネットワーク112は、他のサービス提供者に所有および/または運営される有線またはワイヤレスの通信ネットワークを含むことができる。例えば、ネットワーク112は、RAN104と同じRATまたは異なるRATを用いる可能性のある1つまたは複数のRANに接続された別のコアネットワークを含むことができる。通信システム100内のWTRU102a、102b、102c、102dの一部またはすべては、多モード機能を備えることができる。すなわち、WTRU102a、102b、102c、102dは、種々のワイヤレスリンクを通じて種々のワイヤレスネットワークと通信するための複数のトランシーバを含むことができる。例えば、図1Aに示すWTRU102cは、セルラ方式の無線技術を用いる可能性のある基地局114a、およびIEEE802無線技術を用いる可能性のある基地局114bと通信するように構成することができる。図1Bは、例示的なWTRU102のシステム図である。図1Bに示すように、WTRU102は、プロセッサ118、トランシーバ120、送信/受信要素122、スピーカ/マイクロフォン124、キーパッド126、ディスプレイ/タッチパッド128、取外し不能メモリ130、取外し可能メモリ132、電源134、全地球測位システムGPSチップセット136、および他の周辺機能138を備えることができる。WTRU102は、実施形態との整合性を保ちながら、上述の要素の任意のサブコンビネーションを含むことが可能であることが理解されよう。プロセッサ118は、汎用プロセッサ、特殊目的プロセッサ、従来のプロセッサ、デジタル信号プロセッサDSP、複数のマイクロプロセッサ、DSPコアと関連した1つまたは複数のマイクロプロセッサ、コントローラ、マイクロコントローラ、特定用途集積回路ASIC、フィールドプログラマブルゲートアレイFPGA回路、任意の他の種類の集積回路IC、状態機械等である。プロセッサ118は、信号の符号化、データ処理、電力制御、入出力処理、および/またはWTRU102がワイヤレス環境で動作することを可能にする任意の他の機能を行うことができる。プロセッサ118はトランシーバ120に結合することができ、トランシーバ120は送信/受信要素122に結合することができる。図1Bではプロセッサ118とトランシーバ120を別個の構成要素として示すが、プロセッサ118とトランシーバ120は電子パッケージやチップに共に一体化してよいことが理解されよう。プロセッサ118は、アプリケーション層のプログラム例えば、ブラウザおよび/または無線アクセス層RANのプログラムおよび/または通信を行うことができる。プロセッサ118は、例えばアクセス層および/またはアプリケーション層における、認証、セキュリティ鍵の合意、および/または暗号動作などのセキュリティ動作を行うことができる。送信/受信要素122は、エアインタフェース116を通じて基地局例えば基地局114aとの間で信号を送信または受信するように構成することができる。例えば、一実施形態では、送信/受信要素122は、RF信号を送信および/または受信するように構成されたアンテナとすることができる。一実施形態では、送信/受信要素122は、例えばIR、UV、または可視光信号を送信および/または受信するように構成されたエミッタ/検出器とすることができる。一実施形態では、送信/受信要素122は、RF信号と光信号の両方を送受信するように構成することができる。送信/受信要素122は、各種ワイヤレス信号の任意の組合せを送信および/または受信するように構成してよいことが理解されよう。また、図1Bでは送信/受信要素122を1つの要素として示すが、WTRU102は任意の数の送信/受信要素122を含んでよい。より具体的には、WTRU102はMIMO技術を用いることができる。そのため、一実施形態では、WTRU102は、エアインタフェース116を通じてワイヤレス信号を送受信するために2つ以上の送信/受信要素122例えば複数のアンテナを含むことができる。トランシーバ120は、送信/受信要素122によって送信される信号を変調し、送信/受信要素122によって受信された信号を復調するように構成することができる。上記のように、WTRU102は多モード機能を有することができる。そのため、トランシーバ120は、WTRU102が例えばUTRAやIEEE802.11等の複数のRATを介して通信することを可能にする複数のトランシーバを含むことができる。WTRU102のプロセッサ118は、スピーカ/マイクロフォン124、キーパッド126、および/またはディスプレイ/タッチパッド128例えば液晶ディスプレイLCD表示装置または有機発光ダイオードOLED表示装置に結合し、それらからユーザ入力データを受け取ることができる。プロセッサ118は、スピーカ/マイクロフォン124、キーパッド126、および/またはディスプレイ/タッチパッド128にユーザデータを出力することもできる。また、プロセッサ118は、取外し不能メモリ130および/または取外し可能メモリ132等の任意の種類の適切なメモリからの情報にアクセスし、これらにデータを記憶することができる。取外し不能メモリ130は、ランダムアクセスメモリRAM、読み出し専用メモリROM、ハードディスク、および/または任意の他の種類のメモリ記憶装置を含むことができる。取外し可能メモリ132は、加入者識別モジュールSIMカード、メモリスティック、セキュアデジタルSDメモリカード等を含むことができる。他の実施形態では、プロセッサ118は、サーバや家庭コンピュータ図示せず等、物理的にWTRU102に位置しないメモリからの情報にアクセスし、そのメモリにデータを記憶することができる。プロセッサ118は、電源134から電力を受け取り、その電力をWTRU102中の他の構成要素に分配および/または制御するように構成することができる。電源134は、WTRU102に電力を供給するのに適した任意の装置でよい。例えば、電源134は、1つまたは複数の乾電池例えばニッケルカドミウムNiCd、ニッケル亜鉛NiZn、ニッケル水素NiMH、リチウムイオンLi-ion等、太陽電池、燃料電池等を含むことができる。プロセッサ118はGPSチップセット136にも結合することができ、GPSチップセット136は、WTRU102の現在の位置に関する位置情報例えば経度および緯度を提供するように構成することができる。GPSチップセット136からの情報に加えて、またはその代わりに、WTRU102は、基地局例えば基地局114a、114bからエアインタフェース116を介して位置情報を受信し、および/または、2つ以上の近隣の基地局から信号が受信されるタイミングに基づいて自身の位置を判定することもできる。WTRU102は、実施形態との整合性を保ちながら、任意の適切な位置判定方法で位置情報を取得してよいことが理解されよう。プロセッサ118はさらに他の周辺機能138に結合することができ、それらは、追加的な機能、機能性、および/または有線もしくは無線接続を提供する1つまたは複数のソフトウェアおよび/またはハードウェアモジュールを含むことができる。例えば、周辺機能138は、加速度計、電子コンパス、衛星トランシーバ、デジタルカメラ写真または映像用、ユニバーサルシリアルバスUSBポート、振動装置、テレビトランシーバ、ハンドフリーヘッドセット、Bluetooth登録商標モジュール、周波数変調FM無線ユニット、デジタル音楽プレーヤ、メディアプレーヤ、ビデオゲームプレーヤモジュール、インターネットブラウザ等を含むことができる。図1Cは、一実施形態によるRAN104およびコアネットワーク106のシステム図である。上記のように、RAN104は、UTRA無線技術を用いてエアインタフェース116を介してWTRU102a、102b、102cと通信することができる。RAN104は、コアネットワーク106とも通信状態にあることができる。図1Cに示すように、RAN104は、ノードB140a、140b、140cを含み、ノードB140a、140b、140cは各々、エアインタフェース116を通じてWTRU102a、102b、102cと通信するために1つまたは複数のトランシーバを含むことができる。ノードB140a、140b、140cは各々、RAN104内の特定のセル図示せずに関連付けることができる。RAN104はRNC142a、142bも含むことができる。RAN104は実施形態との整合性を保ちながら、任意の数のノードBおよびRNCを含むことが可能であることが理解されよう。図1Cに示すように、ノードB140a、140bはRNC142aと通信状態にあることができる。また、ノードB140cはRNC142bと通信状態にあることができる。ノードB140a、140b、140cは、Iubインタフェースを介してそれぞれのRNC142a、142bと通信することができる。RNC142a、142bは、Iurインタフェースを介して互いに通信することができる。各RNC142a、142bは、それぞれが接続されたノードB140a、140b、140cを制御するように構成することができる。また、各RNC142a、142bは、外部ループ電力制御、負荷制御、アドミッション制御、パケットのスケジューリング、ハンドオーバー制御、マクロダイバーシティ、セキュリティ機能、データ暗号化等の他の機能を実行および/または支援するように構成することができる。図1Cに示すコアネットワーク106は、メディアゲートウェイMGW144、モバイル交換センターMSC146、サービングGPRSサポートノードSGSN148、および/またはゲートウェイGPRSサポートノードGGSN150を含むことができる。上記の各要素はコアネットワーク106の一部として図示するが、これらの要素の任意の1つはコアネットワークの運営者以外のエンティティにより所有および/または運営され得ることが理解されよう。RAN104内のRNC142aは、IuCSインタフェースを介してコアネットワーク106内のMSC146に接続することができる。MSC146はMGW144に接続することができる。MSC146およびMGW144は、WTRU102a、102b、102cに、PSTN108等の回線交換ネットワークへのアクセスを提供して、WTRU102a、102b、102cと従来の固定電話機器との間の通信を容易にすることができる。RAN104内のRNC142aは、IuPSインタフェースを介してコアネットワーク106のSGSN148にも接続することができる。SGSN148はGGSN150に接続することができる。SGSN148およびGGSN150は、WTRU102a、102b、102cに、インターネット110等のパケット交換ネットワークへのアクセスを提供して、WTRU102a、102b、102cとIP対応機器との間の通信を容易にすることができる。上記のように、コアネットワーク106はネットワーク112にも接続することができ、ネットワーク112は、他のサービス提供者によって所有および/または運営される有線または無線のネットワークを含む。上記の通信システムおよび/または装置を、本明細書に記載される認証ハンドオフのシナリオで使用することができる。認証ハンドオフは、ユーザが、アクセスネットワーク間、および/または同じもしくは異なるアクセスネットワーク内のアクセスポイント間を切り替わる間にサービスおよび/またはアプリケーションを継続的に使用できるようにすることができる。ハンドオフの決定は、例えばアクセス層および/またはアプリケーション層で行うことができる。これは、各層における認証がハンドオフのたびに行われること、および/またはユーザ装置に移動先のネットワーク/アクセスポイントのための認証情報を事前に供給しておく場合があることを意味する。それには、集中化された基盤および/または認証情報の事前供給が必要となる可能性がある。独立した委託認証エンティティを使用すると、複数形態のネットワーク間を移動する際のシームレスな認証を容易にする際のモバイルネットワーク事業者MNOとの複数のサービスレベル契約SLAの確立や、MNO認証用の基盤との緊密な結合を回避することができる。例えばOpenIDなどの連携識別管理方式および/またはインターネットへのアクセスを、本明細書に記載される認証の実施形態で支援することができる。事前に供給された認証情報を使用してアクセス層のハンドオフを行う装置の一例を図2に示し、この場合、装置215は2つのアクセスネットワーク間を切り替える。図2は、アプリケーション層のセッションの場合のハンドオフシナリオを説明する流れ図である。図2に示すハンドオフシナリオは装置215を含み、装置215は、アプリケーション層での通信が可能なアプリケーション214およびアクセス層での通信が可能なアクセス層モジュール216を含むか、またはそれらと通信状態にある。図2に示すハンドオフシナリオは、MNOA217、ホットスポットB218、およびアプリケーションサーバ219も含むことができる。MNOA217および/またはホットスポットB218は、各自のアプリケーション層機能で委託認証サーバの能力があるOpenIDサーバ機能で使用可能とすることができる。委託形態の認証方法は例えばOpenIDである。したがって、MNOA217をMNOOpenIDプロバイダOPA217すなわち、このエンティティがMNOAのアクセス層の機能とOpenIDのサーバ機能を有することができる、および/またはホットスポットB218をホットスポットOPB218と表すことができる。装置215は、アクセス層モジュール216を介してMNOA217および/またはホットスポットB218と通信することができる。装置215は、アプリケーション214を介してアプリケーションサーバ219とも通信することができる。図2に示すように、装置215は、例えばモバイルネットワーク事業者MNOA217のセルラネットワークと、例えばホットスポットB218などのフェムトネットワークまたはWLANネットワークとの間を切り替えることができる。装置215は、装置のアプリケーションおよび/またはネットワークアプリケーションサーバ219でブートストラップされたアクセス層の認証情報220を使用して、アプリケーション層の認証のためのアプリケーション層の認証情報221を作成することができる。そして、装置215は、ホットスポットB218で後続ネットワーク例えば、WLANネットワークにアタッチattachし、装置215とホットスポットB218との間で事前に供給された認証情報222を使用して認証を行うことができる。図2に示すハンドオフシナリオに示すように、201で、装置215は、MNOA217のアクセスネットワークを発見することができる。装置215は、それぞれ202および203でMNOA217のアクセスネットワークにアタッチおよび/または認証することができる。例えば、装置215は、アクセス層モジュール216を介してMNOA217のアクセスネットワークに対してアタッチおよび/または認証することができる。装置215は、認証の認証情報220を使用してMNOA217に対して認証することができる。認証の認証情報220は、例えば装置215とMNOA217間の事前に供給された認証情報とすることができる。203の認証が成功すると、装置215およびMNOA217のアクセスネットワークは、204でアクセス層モジュール216を介してセキュアなアクセス層の通信を確立することができる。装置215は、MNOA217のネットワークを使用してアプリケーションサーバ219へのログインを試みて、アプリケーションサーバ219からのサービスにアクセスすることができる。例えば、装置215のアプリケーション214が、205でネットワークベースのアプリケーションサーバ219にログインすることができる。アプリケーションサーバ219は、リライングパーティRPとして機能し、MNOA217はOpenID識別プロバイダOPとして機能することができる。例えば、206で、アプリケーションサーバ219は、MNOA217を発見すること、および/またはMNOA217にユーザを認証するように要求することができる。この要求および/または認証は、例えばOpenIDを使用して行うことができる。207で、装置のアプリケーション214とOPとして機能するMNOA217との間で、アプリケーション層の認証の認証情報221を、MNOA217のアクセス層に対する装置のアクセス層モジュール216のアクセス層認証を可能にしたアクセス層の認証情報220からブートストラップ例えば生成または導出することができる。装置215および/またはそのアプリケーション214は、208でMNOA217にリダイレクトされ、アクセス層の認証情報220からブートストラップされたアプリケーション層の認証の認証情報221を使用してアプリケーション層でMNOA217に対して認証することができる。207における認証情報221のブートストラップは、208の認証の一部として行っても、別個に行ってもよい。MNOA217は、装置215の認証ステータスをリライングパーティRP図示せずとして機能するアプリケーションサーバ219に対してアサートすることができる。209で、アプリケーション層のセキュアな通信を、装置のアプリケーション214とネットワークベースのアプリケーションサーバ219との間に確立することができる。210で、装置のアクセス層モジュール216がホットスポットB218を発見することができる。ホットスポットB218は、WLAN上のノードとすることができ、装置215がアプリケーションサーバ219のサービスにアクセスすることを可能にする。例示的実施形態によると、装置215は、ホットスポットB218のサービスエリアの範囲に入るとホットスポットB218を発見することができる。装置215は、ユーザ設定、アプリケーション要件、ホットスポットの条件、および/または装置215に記憶されたサービスプロバイダのポリシに基づいてホットスポットB218にアタッチを試みることができる。211で、装置215は、アクセス層モジュール216を介してアクセス層でホットスポットB218にアタッチすることができる。一実施形態によると、209で確立されるアプリケーション層の接続は、211で行われる後続のアクセス層のホットスポットB218へのアタッチ後も存続することができる。212で、装置215は、認証情報222を使用してアクセス層モジュール216を介してホットスポットB218に対して認証することができる。212で使用される認証情報222は、それぞれ203および208で認証に使用される認証情報220または認証情報221とは関係がなくてよい。したがって、212で、装置215に対する認証では、後続の移動先アクセスネットワーク例えばホットスポットB218に適する可能性のある事前に供給されたアクセス層の認証情報222を使用することができる。212で認証が成功すると、213で装置215およびホットスポットB218はアクセス層でセキュアな通信を確立することができる。上記のように、図2には、装置215が事前に供給された認証情報222を使用してハンドオフおよび/または後続ネットワークでアクセス層の認証を行えるようにする認証プロトコルを示す。本明細書には、ハンドオフ用のアクセス層またはアプリケーション層の認証情報などの持続的な認証情報を活用して、要求時にかつシームレスな方式で他の層例えばアクセス層における認証および/またはセキュアなトンネルの確立を完了するための各種実装も記載される。例示的実施形態によると、アプリケーション層の認証情報を活用して、続く後続のアクセス層の認証手順で使用可能なアクセス層の認証情報を例えばアプリケーション層の認証情報の逆ブートストラップを行うことにより生成することができる。図3に示すように、ハンドオフシナリオでは、アプリケーション層の認証情報331の逆ブートストラップを実施して、後続ネットワークで認証を行うことができる。図3に示すハンドオフシナリオは装置321を含み、装置321は、アプリケーション層で通信可能なアプリケーション320およびアクセス層で通信可能なアクセス層モジュール322を含むか、それらと通信状態にある。アクセス層モジュール322は、装置321上の接続マネジャCMを含む、および/または通信状態にあることができる。図3に示すハンドオフシナリオは、MNOA323、ホットスポットB324、およびアプリケーションサーバ325も含む。MNOA323は、アクセス層326および/またはアプリケーション層327を介して他のネットワークエンティティと通信することができる。MNOA323はOpenIDプロバイダとして機能することができる。ホットスポットB324は、アクセス層328および/またはアプリケーション層329を介して他のネットワークエンティティと通信することができる。ホットスポットB324はリライングパーティRPとして機能することができる。アクセス層モジュール322は、MNOA323のアクセス層326および/またはホットスポットB324のアクセス層328と通信することができる。アプリケーション320は、アプリケーションサーバ325、MNOA323のアプリケーション層327、および/またはホットスポットB324のアプリケーション層329と通信することができる。アプリケーションサーバ325は、本明細書に記載のいくつかの実施形態によると、リライングパーティRPとして機能することもできる。図3に示すように、例えばハンドオフのシナリオなどで、アプリケーション層の認証情報を生成し、逆ブートストラップして、後続アクセスネットワークのホットスポットB324への認証のためのアクセス層の認証の認証情報333を生成することができる。逆ブートストラップは、移動先のアクセス層ネットワークのホットスポットB324の代わりにMNOA323によるアプリケーション層の認証を含み、後続のアクセス層の認証の認証情報333の生成に使用される材料を生成することができる。逆ブートストラップは、1移動元ネットワークMNOA323内のユーザ/装置321の識別、および/または、2例えばアプリケーションサーバ325またはMNOA323に関するユーザ/アプリケーション320のアプリケーション層の識別例えばOpenID識別、の少なくとも1つを条件とすることができる。MNOA323による以前の成功したアプリケーション層の認証を使用して、ネットワークホットスポットB324へのアクセスを許可することができる。追加的な認証の情報をネットワークホットスポットB324に提供して、装置321のアクセス層の認証を支援することができる。例えば、アサーション例えばユーザはネットワークMNOA323から移動して来て、認証済みがネットワークホットスポットB324に提供されると、アプリケーション層の認証を使用してネットワークホットスポットB324へのアクセスを許可することができる。一実施形態によると、図3に示すように呼び出しのフローを提供することができる。301~309で、呼び出しのフローは、アプリケーション層のブートストラップ手順を使用してアクセス層のセキュリティの関連付けおよびアプリケーション層のセキュリティの関連付けを設定することができ、ブートストラップ手順でアクセス層の認証情報をOpenIDの処理に結び付けることができる。例えば、301~304でアクセス層のセキュリティの関連付けを装置321とMNOA323との間に確立することができる。301で、アクセス層モジュール322が、アクセス層326を介してMNOA323のネットワークを発見することができる。アクセス層モジュール322は、302でMNOA323にアタッチし、303で認証を行うことができる。303のアクセス層の認証は、装置321とMNOA323との間で共有されるアクセス層の認証情報330を使用して行うことができる。アクセス層の認証情報330は、本明細書に記載されるように、事前に供給された認証情報であっても、または別のネットワークからのアプリケーション層の認証情報を逆ブートストラップすることによって確立された認証情報であってもよい。装置321とMNOA323との間のアクセス層の認証が成功すると、304で装置321とMNOA323との間にアクセス層326のセキュアな通信を確立することができる。305~309でアプリケーション層のセキュリティの関連付けを装置321とアプリケーションサーバ325との間に確立することができる。例えば、305で、アプリケーション320がアプリケーションサーバ325へのログインを試みることができる。306で、アプリケーション層327を介してMNOA323のOPサーバがアプリケーションサーバ325によって発見され、アプリケーションサーバ325はユーザ/装置321を認証のためにMNOA323にリダイレクトすることができる。MNOA323のOPは、306でユーザ/装置321を認証するか、および/またはアプリケーションサーバ325に対してユーザ/装置321の認証をアサートすることができる。次いで、ユーザ/装置321をホットスポットB324にリダイレクトすることができる。307で、アプリケーション320とMNOA323との間で、装置321とMNOA323との間のアクセス層の認証を可能にしたアクセス層の認証情報330および/またはMNOA323からの認証のアサーションからアプリケーション層の認証情報331をブートストラップ例えば生成または導出することができる。アプリケーション320およびアプリケーションサーバ325は、308で、アプリケーション層の認証情報331を使用してアプリケーション層のセキュリティの関連付けを設定することができる。308のアプリケーション層のセキュリティの関連付けの結果、アプリケーション層の認証情報がアプリケーション320とアプリケーションサーバ325との間で共有される。307の認証情報331のブートストラップは、308のアプリケーション層のセキュリティの関連付けの一部として行っても、独立して行ってもよい。309で、装置のアプリケーション320とネットワークベースのアプリケーションサーバ325との間にアプリケーション層のセキュアな通信を確立することができる。310で、装置321がホットスポットB324を発見することができる。例えば、装置321のローカルコンポーネント、例えばアクセス層モジュール322がホットスポットB324および/またはその識別情報例えば、SSIDまたはIPアドレスを発見することができる。ホットスポットBのアプリケーション層329は発見可能にすることができ、そのIPアドレスなどのアクセス層328のネットワーク発見情報を使用して、例えば公衆のインターネットを介して発見および/または到達されている可能性がある。アクセス層モジュール322は接続マネジャCMを含むことができ、接続マネジャは、ホットスポットB324を発見し、および/または接続の決定を行う際に実装することができる。ホットスポットB324および/またはその識別情報は、例えばビーコンチャネルなどのアクセス層のシグナリングを介して発見することができる。MNOA323、ホットスポットB324、および装置321から得られるホットスポットB324についての発見された情報間の関係に基づいて、何らかの発見を行うことができる。ホットスポットB324からの発見された情報例えば信号の強度、位置等に基づいて、装置321のアクセス層モジュール322は、装置321がネットワーク通信のためにホットスポットB324に切り替わるべきであると判断することができる。アクセス層モジュール322はその指令を装置のアプリケーション320に伝えることができる。例えば、311でCMがアプリケーション層のネットワーク発見情報を装置のアプリケーション320に送信することができる。装置321は、アプリケーション層とアクセス層との間でブートストラップ認証情報例えば鍵導出処理を使用して生成されたの転送が可能となるように構成することができる。アプリケーション320は、ネットワーク発見情報を処理してアクセス層ネットワークに適した識別を生成することができる。一実施形態によると、ネットワークのアクセス層に適した識別は、ユーザ/装置321のOpenIDURLまたは電子メールアドレスログインであり、それをさらに処理/操作例えばハッシュ処理して一意のユーザ/装置識別を生成するして、アクセス層328のホットスポットB324に対する識別に適した形式にすることができる。任意で、ノンスnonceまたはシーケンスカウンタ値などの情報要素をハッシュ処理に加えるか、および/またはそれらの情報要素の一部をホットスポットB324に通信してもよい。装置のアプリケーション320は、308で確立された自身のアプリケーション層識別および/またはホットスポットB324のアクセス層発見情報に基づいて適切なアクセス層識別を決定することができる。アクセス層識別はアプリケーション層識別に結び付けられ、312で以後の送信のためにアクセス層モジュール322に送信されることができる。313で、装置321は、アクセス層の適切な識別を使用してホットスポットB324のアクセス層328にアタッチすることができ、装置のアクセス層モジュール322は、そのネットワークのアクセス層に適したアクセス層識別をホットスポットBのアクセス層328に中継することができる。次いで、314で装置321のアクセス層識別をホットスポットBのアプリケーション層329に渡し、装置のアクセス層識別子で装置321を識別できるようにアプリケーション層329に通知することができる。ホットスポットB324のアプリケーション層329は、アクセス層328とは物理的に分離されるが、論理的に関連付けることができる。315で、装置321のアプリケーション320が、アプリケーション層の識別情報、および任意でアクセス層の識別をホットスポットBのアプリケーション層329に送信することができる。このアプリケーション層の識別を提供して、例えばホットスポットB324にログオンすることができる。アプリケーション層の識別は装置321のアクセス層識別に結び付けることができる。アプリケーション層の識別およびアクセス層の識別情報がアプリケーション層329を介して通信されると、316でアプリケーション層の識別および/または発見されたホットスポットB324の情報を使用して、OpenIDに基づくMNOA323の発見を行うことができる。315の識別情報の送信は、例えば313から314の呼び出しフローと同時に行っても、または別の時に行ってもよい。アプリケーション層の識別情報の例は、例えば、OpenIDURLまたは電子メールアドレスのログイン識別またはアサーションを含むことができる。識別情報は、ユーザ/装置321の補足情報も含むことができる。ホットスポットB324は、自身のアクセス層328から受け取るアクセス層の識別情報と、アプリケーション層329から受け取る結び付けられたアプリケーション層の識別およびアクセス層の識別情報との両方を例えばアクセス層で統合および/または相関付けることができる。ホットスポットB324は、313および315で受信したメッセージが同じユーザ/装置321からのものであるかどうかを判定することができる。例えば、アプリケーション層329で、ホットスポットB324は、315で受け取ったアプリケーション層識別が314で受け取ったアクセス層識別に結び付けられていることを特定することができる。自身のアクセス層328およびアプリケーション層329で同じユーザ/装置321と通信していることを確認すると、ホットスポットB324は、OPとして機能するMNOA323と共にRPとして機能することができる。ホットスポットB324は、316でMNOA323の発見を行い、認証のためにMNOA323をユーザ/装置321に誘導することができる例えばOpenIDプロトコルの実行により。装置のアプリケーション320は、MNOAのアプリケーション327に対して例えばアプリケーション層327のOPで認証することができる。認証が成功した後、装置321をリダイレクトしてホットスポットB324のアプリケーション329に戻すことができる。317で、ホットスポットB324および装置321は各々、鍵導出機能を使用して成功したアプリケーション層の認証からアクセス層の認証情報333を生成することができる。例えば、アプリケーション320およびホットスポットB324のアプリケーション層329は、アプリケーション層で逆ブートストラップ手順を行うことができ、それによりユーザ/装置321および/またはホットスポットB324がアクセス層の認証情報333を作成することが可能になる。したがって、アクセス層の認証情報333は、316で行われるアプリケーション層の認証手順の副産物と言える。これらのアクセス層の認証情報333は、装置321のアクセス層モジュール322および/またはホットスポットB324のアクセス層328に送信することができる。呼び出しフロー318および319で、アプリケーション層で生成されたアクセス層の認証情報333を使用して、装置321およびホットスポットB324は認証を行い、通信のためにアクセス層のセキュアな関連付けを設定することができる。認証後、アクセス層の認証情報333は、ユーザ/装置321が後にアクセス層328でホットスポットB324への認証を試みる時に記憶するか、および/またはユーザ/装置321に関連付けることができる。一実施形態によると、モバイル装置321を持つユーザは、MNOA323に接続することができる。ユーザは、例えば映像サービス提供者などのサービス提供者に対してブートストラップ認証手順で認証することができる。この認証では、図3の307に示すように認証情報がブートストラップされる限り、当業者に知られる任意の各種技術を使用して、装置321にある事前に供給されたアクセス層の認証情報330を使用することができ、それによりアプリケーション層の識別を一意にネットワーク識別に関連付けることができる。MNOA323はOpenIDプロバイダとして機能することができる。ホットスポットB324はリライングパーティRPとして機能することができる。例示的実施形態によると、例えば映像サービス提供者からの映像を閲覧するなどのサービスにアクセスしている間に、ユーザがホットスポットBの範囲内に移動する可能性がある。ネットワークホットスポットBは、例えば、より高い帯域幅をより低い費用で提供する、および/または例えばOpenIDネットワークと提携しているまたは例えばMNOA323もしくは別のMNOに関連付けられているような場合がある。ユーザは、原則として、提携しているOpenIDネットワークまたは関連付けられたMNOA323へのアクセスを許可される。例えば、ユーザは、自身が、OpenIDプロバイダのMNOA323に関連付けられていることを証明することができる。装置321は、例えばビーコンおよび/または同報通信メッセージを監視する等により、後続ネットワークのホットスポットB324を発見する、および/または後続ネットワークについての情報を把握することができる。情報は、例えば接続マネジャCMを通じてアクセス層モジュール322からアプリケーション320に渡すことができ、アプリケーション320はその情報を使用して、ユーザ/装置321のアプリケーション層識別を用いてアプリケーション層329でホットスポットB324に接触することができる。装置321は、アクセス層322および328を通じてホットスポットB324に識別情報を送信することができる。アプリケーション層329ではなく、アクセス層328を介して識別情報が通信されると、ユーザ/装置321の識別情報を、例えば314に示すようにホットスポットB324のアプリケーションまで渡すことができる。ホットスポットB324は、OpenIDに基づくMNOA323の発見に適するようにその情報をフォーマットすることができる。識別情報は、316でホットスポットB324がMNOA323を発見する、および/または要求しているユーザ/装置321の認証を試みるのに十分である可能性がある。ホットスポットB324は、例えばリライングパーティとして機能することができ、OpenIDプロトコルを実行してユーザ/装置をリダイレクトして、MNOA323で認証させることができる。MNOA323は、例えばOpenIDサーバとして機能することができ、OpenIDプロトコルを実行してユーザ/装置321を認証することができる。ユーザ/装置321の認証が成功すると、ホットスポットB324は、319で装置321とネットワークとの間にセキュアな接続を確立することができる。ホットスポットB324およびユーザ/装置321は、成功したOpenIDに基づく認証に基づいて共有認証情報を作成することができる。例えば、ユーザ/装置321および/またはホットスポットB324は、後続アクセス層の認証情報333を逆ブートストラップすることができる。ホットスポットB324とMNOA323との間の関係に基づいて何らかの発見を行うことができる。この情報は、ユーザ/装置321のアプリケーション層識別および/または装置321のアプリケーション320から得られる発見されたホットスポットB324の情報を介して取得することができる。ユーザ/装置321がMNOA323に認証されると、ホットスポットB324のアプリケーションからホットスポットB324のアクセスネットワークへの認証情報の逆ブートストラップを通じて、装置321とネットワークとの間にセキュアな接続を確立することができる。一実施形態によると、ホットスポットB324がアプリケーション層の認証情報331からアクセス層の認証情報333を逆ブートストラップするために、ホットスポットB324は、層間通信およびデータ操作/処理が可能となり、および/または層間に関係が存在するようにアクセス層の機能とアプリケーション層の機能とが設計される能力を有することができる。逆ブートストラップはユーザに対してシームレスに行うことができ、後続のネットワークホットスポットB324のための認証情報332を装置321に事前に供給もしくはインストールする必要がなく、および/または人的介在は必要とされない。後続ネットワークのアクセス層で認証を行うための本明細書に記載される実施形態は、ユーザレベルで顕著な特性を有することができる。例えば、ユーザは、ユーザまたは装置の識別子例えば、OpenID識別子を入力してサービスにログオンすることができ、ユーザは、事前に未知であったアクセスネットワーク例えばホットスポットB324にアクセスすることができ、その間サービスはシームレスに中断のない状態を保つことができる。例えばアクセス層の認証情報333などの認証の認証情報は、後続ネットワークで事前に供給されなくてよい。これは、すでに実行されているアプリケーションサービスセキュリティまたはアプリケーション層の認証から認証の認証情報を逆ブートストラップできるためである。サービスは、固定線および/またはワイヤレスである。サービスは、さらに、例えば公衆のインターネットおよび/または同様のアクセス手段を介して到達可能な、ユーザの自宅にある独立したアクセスポイントAPであってもよい。一実施形態によると、ハンドオフ例えば、アクセス層のハンドオフの後にアプリケーション層のセキュリティを再度確立すべき場合は順方向のforwardブートストラップを使用することができる。順方向ブートストラップでは、そのような後続のアプリケーション層の認証のためのセキュリティ認証情報を、様々な以前の事例で確立されたセキュリティ認証情報例えば、ハンドオフアクセス層の認証で使用された認証情報、以前のアプリケーション層の認証で使用された認証情報、またはさらにはハンドオフ以前にアクセス層の認証で使用された認証情報に結び付ける。本明細書に記載される実施形態では、独立した識別プロバイダを使用することができる。例えば、MNOA323がOpenID識別プロバイダでなくてよく、および/または識別管理機能は別の第3者によって行われてもよい。第3者の識別プロバイダは、事前に確立されたMNOA323との関係を使用してOpenIDプロバイダの役割を果たし、例えばOpenID/EAP-SIMやOpenID/GBAのブートストラップ能力などのプロトコルを使用して、MNOA323から供給されたアクセス層の認証情報330からアプリケーション層の認証情報331を認証およびブートストラップすることができる。それと同じまたは同様のブートストラップ処理を後に使用して、装置321上にあるMNOA323から供給された認証情報を利用して、ホットスポットB324のためのアクセス層の認証情報333をブートストラップすることができる。別の実施形態によると、ネットワーク主導のハンドオフを実装することができる。ネットワーク主導のハンドオフでは、ハンドオフは、例えばアクセスネットワークやアプリケーションサーバなどのネットワークによって開始することができる。一例では、MNOA323が継続的に装置321を監視することができ、監視内容は、装置のある場所、測定情報、サービス品質等の情報を含むことができる。MNOA323は、装置321周辺のローカル環境を把握することができる。MNOA323がOpenIDプロバイダでもある場合は、MNOA323は、装置321がハンドオフを発見および開始できるようにする適切なパラメータと共に、アプリケーション層でユーザ/装置にメッセージを送信して、ホットスポットB324とのハンドオフを行わせることができる。シームレスなハンドオフを本明細書に記載されるように行うことができる。別の実施形態では、MNOA323は、装置321とのアクセス層の通信を介して、装置321にハンドオフのトリガ情報を送信することができる。別の実施形態によると、MNOA323は、近くのローカルアクセスノードに要求を発行して、装置がそのノードの範囲内にある時に、装置321のアタッチおよび/または認証を試みることができる。ハンドオフをトリガするのはMNOA323でなくともよい。装置321についての十分な情報を持つ任意のネットワーク構成要素、装置のローカルな通信環境、および/またはユーザ/装置321と通信する能力を持つエンティティがハンドオフをトリガできる場合がある。そのような場合、ネットワーク構成要素は、後続のアクセスネットワーク例えば、ホットスポットB324を発見し、および/または、ユーザ/装置321と通信するためのセキュリティ能力および無線アクセス能力を取り決めることができる。ネットワーク構成要素は、その情報とハンドオフ情報をユーザ/装置321に通信することができる。別の実施形態によると、アプリケーションで支援された認証情報のブートストラップを行うことができる。アプリケーションで支援された認証情報のブートストラップでは、装置321のアプリケーション320が、アプリケーションサーバ325が、ハンドオフを容易にするアプリケーション320の助けを借りて、後続のアクセスネットワークのホットスポットB324のための認証情報のセットをブートストラップできることをアプリケーションサーバ325に通知することができる。アプリケーション320は、発見されたホットスポットB324に関連する識別、例えばIPアドレス、および任意でOpenIDログインに類似する要求をアプリケーションサーバ325に送信することができる。アプリケーションサーバ325は、OpenIDプロバイダのように機能して、ホットスポットB324のセキュリティ能力を取り決めることができる。アプリケーションサーバ325は、アクセス層でのホットスポットB324および装置321のためのアクセス層の認証情報のセット333を逆ブートストラップすることができる。装置321のアプリケーション320とホットスポットB324は、318に示すように互いを認証し、および/またはセキュアなチャネルを確立することができる。アプリケーションサーバ325と対象ホットスポットB324との間の関係に基づいて何らかの発見を行うことができる。この情報は、装置321のアプリケーション320からの発見された情報を介して取得することができる。後に発見されるネットワークの認証のための認証情報は、両終端点で事前に処理して、後の認証手順をより迅速に完了できるようにすることができる。これは、ネットワークが、装置が位置するローカルエリア、または装置が移動して向かっている先のローカルエリアを把握しているという知識に基づくことができる。装置がハンドオフの機会を探すように事前に構成されている場合、装置は、何らかの周期的な頻度で代替ネットワークを探し、検出された場合はハンドオフを要求することができる。ネットワーク側の事前処理は、2つ以上の代替アクセスノードで、またはそのようなノードに対して実施することができる。装置および/またはネットワークは、以前に使用したネットワークに使用した認証情報をキャッシュしておくことができる。装置および/またはネットワークは後にそれらの認証情報を認証に再使用することができる。この認証情報の再使用は、例えば装置が以前に離れたノードに戻る時に有用である場合がある。認証情報の再使用は、1つまたは複数のノードを代替的に動的に選択する場合も有用である場合がある例えば、局所的に動的に変化する雑音のあるチャネルや品質のサービス環境などで。本明細書に記載される実施形態は、ローカルのOpenIDを使用することができる。例えば、独立型のローカルOpenIDを実装することができる。本明細書に記載されるように、プロトコルフローは、ローカルOpenIDを利用し、アクセス権/権限を付与することができる。図4は、独立型のローカルOpenIDを使用したプロトコルの実現を説明する流れ図である。図4に示すように、流れ図は、ローカルIdP432、アプリケーション433例えばブラウジングエージェント、アクセス層モジュール434、MNO435、ホットスポット436、および/またはアプリケーションサーバ437間の通信を含むことができる。ローカルIdP432は、ユーザのワイヤレス通信装置に配置することができる。アプリケーション433および/またはアクセス層モジュール434は、ローカルIdP432と同じワイヤレス通信装置に配置しても、異なるワイヤレス通信装置に配置してもよい。図4に示すプロトコルは、シームレスなハンドオフおよび/または後続のアクセス層のセキュリティの関連付けの設定を可能にする。このプロトコルは、例えばクライアントのローカルにあるOpenIDすなわちローカルOpenIDプロトコルを使用する等により、装置と装置の現在のアクセス層ネットワークとの間のアクセス層のセキュリティ、および/またはユーザ/装置と外部のアプリケーションサーバAS437との間に以前に確立されたアプリケーションセキュリティを実装することができる。図4に示すように、装置は、ステップ401~419の組合せを使用してアプリケーションサーバAS/RP437との間でアプリケーション層で認証されることができ、装置は、ステップ419~431の組合せを使用してアクセス層で後続ネットワーク例えば、ホットスポット436に対して認証されることができる。401で、装置のアクセス層モジュール434がMNO435にアタッチすることができる。装置のアクセス層モジュール434およびMNO435は、共有認証情報を使用して認証を行うことができる。認証の結果、アクセス層鍵Kを、装置のアクセス層モジュール434および/またはMNO435で確立することができる。402で、アクセス層鍵Kを装置に記憶することができる。例えば、アクセス層鍵Kは、例えば加入者識別モジュールSIMカード、汎用集積回路カードUICC、トラステッドプラットフォームモジュールTPM、または他の高信頼環境などの装置上の高信頼環境に記憶することができる。高信頼環境は、装置に含まれても、または例えば別個のモジュールや別個の装置/機器として装置に接続されてもよい。高信頼環境はローカルIdP432を含むことができる。例示的実施形態によると、高信頼環境とローカルIdP432は同一のエンティティとすることができる。ただし、高信頼環境は、例えば、アプリケーション433、アクセス層モジュール434、および/または装置に位置する他のエンティティも含むことができる。403で、MNO435と装置のアクセス層モジュール434との両方がアクセス層鍵Kからアプリケーション層鍵K_appを導出することができるすなわちK_app=fK。fは、MNO435と装置のアクセス層モジュール434との両方に知られている何らかの関数。アプリケーション層鍵K_appは、ローカルIdP432が入手可能な状態にされる。404で、アクセス層鍵Kを使用して、アクセス層のセキュリティの関連付けが装置のアクセス層モジュール434とMNO435との間に確立される。405で、ユーザがアプリケーション433を介してアプリケーションサーバAS437にログインすることができる。ユーザは、例えばOpenIDプロバイダOP識別子例えば、URLまたは電子メールアドレスを用いてログインすることができる。AS437はリライングパーティRPとして機能することができ、したがって本明細書ではAS/RP437と呼ぶことができる。406で、AS/RP437はMNO435の識別の発見を行うことができる。407で、MNO435とAS/RP437間の関連付けを設定し、関連付けハンドルを生成することができる。MNO435は、408で、アプリケーション鍵K_appおよび関連付けハンドルからセッション鍵K_sessionを導出することができる。409で、関連付けセキュリティプロトコルを使用してK_sesssionをAS/RP437に渡し、K_sessionを以後の関連付け鍵として使用することができる。410で、AS/RP437は、セッション鍵K_sessionおよび以後の関連付け情報を記憶することができる。411で、アプリケーション433は装置でリダイレクトされて、ローカルIdP432に対して認証することができる。リダイレクトメッセージは、セッションノンスおよび/または関連付けハンドルを含むことができる。412で、アプリケーション433は、カードアクセス層モジュール434を通じてローカルIdP432への接続を要求することができる。この要求は、例えばセッションノンスおよび/または関連付けハンドルを含むことができる。413で、ローカルIdP432へのリダイレクトを行うことができる。このリダイレクトも、セッションノンスおよび/または関連付けハンドルを含むことができる。414で、ローカルIdP432は、アプリケーション層鍵K_appおよび関連付けハンドルを使用して署名鍵K_sessionを導出することができる。ローカルIdP432は、装置にあるアプリケーション層鍵K_appにアクセスすることができる。ローカルIdP432は、415でOpenIDのアサーションメッセージを作成し、K_sessionを使用してそれに署名することができる。416で、ローカルIdP432は、署名したOpenIDアサーションメッセージをリダイレクトして、カードアクセスを通じて装置のアクセス層モジュール434に戻すことができる。装置のアクセス層モジュール434は、417で、署名済みのOpenIDアサーションを透過に装置のアプリケーション433にリダイレクトすることができる。装置のアプリケーション433は、418で署名済みのOpenIDアサーションメッセージを、ステップ411で受け取ったノンスと共に外部のAS/RP437にリダイレクトすることができる。419で、AS/RP437は、受信した署名済みのアサーションメッセージを記憶することができる。装置がアプリケーション層でAS/RP437に対して認証されると、装置は、アプリケーション層の認証からの認証情報または鍵を使用して、アクセス層で後続ネットワーク例えば、ホットスポット436に対して認証することができる。図4に示すように、420で、装置のアクセス層モジュール434はホットスポット436を発見することができる。装置のローカルエンティティ例えば、接続マネジャCMが、装置が発見されたホットスポット436に切り替わるべきであると判断することができる。421で、装置のアクセス層モジュール434がホットスポット436の情報を装置のアプリケーション433に渡すことができる。422で、装置のアプリケーション433がOpenID識別子例えば、URLまたは電子メールアドレスを、前回使用されたアプリケーションサーバ437の識別と共に、後の発見のためにホットスポット436のアクセス層に渡すことができる。423で、装置のアプリケーション433は、ハンドオフの開始をAS/RP437に通知することができる。423のハンドオフの初期化は、発見されたホットスポット436の情報を使用して行うことができる。装置のアプリケーション433は、418で確立された自身のアプリケーション層の識別および/またはホットスポットB436のアクセス層発見情報に基づいて、アクセス層の適切な識別を決定することができる。アクセス層の識別はアプリケーション層の識別に結び付けることができ、422で後の送信のためにアクセス層モジュール434に送信することができる。図4のステップ424~429に示すように、AS/RP437は、装置のアクセス層の認証を容易にすることができる。例えば、AS/RP437は、アサーションメッセージをアクセス層モジュール434に転送することができる。MNO435はアサーションを検証し、したがってアクセス層の識別を保証することができる。424で、装置のアクセス層モジュール434がホットスポット436にログイン要求を発行することができる。このメッセージに含まれるのは、例えば422で説明したOpenID識別子例えば、URLまたは電子メールアドレス、および/または前回アプリケーションサーバで使用された識別である。425で、ホットスポット436は、装置およびそのユーザの認証の情報をAS/RP437に要求することができる。例えば、ホットスポット436は、装置のアクセス層434から受け取ったOpenID識別子例えば、URLまたは電子メールアドレスについてのアサーションを要求することができる。426で、AS/RP437は、ステップ418でAS/RP437に受信され、ステップ425で受信されたOpenID識別子に対応する署名済みのアサーションメッセージをホットスポット436に返すことができる。427で、ホットスポット436は、MNO435のOpenIDサービスに、OpenID識別子例えば、URLまたは電子メールアドレスに対応する署名済みアサーションメッセージについて署名の検証を要求することができる。428で、MNO435は、署名を例えばOpenIDサーバで検証することができる。MNO435は、ステップ408からセッション鍵K_sessionを保持していることができる。MNO435は、429で、署名検証メッセージを例えば自身のOpenIDサーバを使用してホットスポット436に提供することができる。認証が成功した場合、ホットスポット436は、430で認証成功の肯定応答を装置のアクセス層モジュール434に送信することができる。装置のアクセス層モジュール434およびホットスポット436は、431で関連付けを設定して、両者の共通チャネルをセキュリティ保護することができる。対称鍵構造の導出で通信をセキュリティ保護することができる。図4に示すプロトコルのステップ431では、当業者に知られる各種の代替法を使用してアクセス層の鍵/認証情報を導出することができる。例えば、鍵導出機能を、署名の検証が済んだアプリケーション層のアサーションメッセージに使用することができる。逆ブートストラップの実装は、本明細書に記載されるように明示的であっても暗黙的であってもよい。例えば、図4に示すプロトコルでは逆ブートストラップを暗黙的に実装することができる。アクセス層のセキュリティの関連付けがアプリケーション層から提供されるアサーションに基づいて確立されることが想定される場合は、例えばアクセス層鍵および/または認証情報を直接アプリケーション層の認証情報から明示的に導出するのではなく、逆ブートストラップは暗黙的に行うことができる。明示的な逆ブートストラップは、アクセス層鍵が、例えばアプリケーション層の認証情報から直接の逆ブートストラップの明示的なプロセスを介して導出される場合に行うことができる。別の実施形態によると、プロトコルで、アクセス権/権限も付与するシームレスなハンドオフを可能にすることができる。例えば、図5は、アクセス権/権限も付与する、暗黙的な逆ブートストラップを使用したシームレスなハンドオフを可能にするプロトコルを説明する流れ図である。図5に示すプロトコルを使用すると、ホットスポット536が、例えばサービスにアクセスするためのアクセス層のハンドオフおよび権限、またはユーザのプライベートデータを得られるようにすることができる。図5に示すように、501で、装置のアクセス層モジュール534は、例えばアクセス層でMNO535にアタッチすることができる。装置のアクセス層モジュール534およびMNO535は、共有認証情報を使用して相互認証を行うことができる。共有認証情報は、例えばアクセス層の共有認証情報である。認証の結果、アクセス層鍵Kを、装置のアクセス層モジュール534と、MNO535、例えばMNOのアクセス層との両方で確立することができる。502で、アクセス層鍵Kを装置に記憶することができる。例えば、アクセス層鍵Kは装置上の高信頼環境に記憶することができる。高信頼環境は、装置に含まれても、または例えば別個のモジュールや別個の装置/機器として装置に接続されてもよい。高信頼環境はローカルIdP532の機能を有することができる。高信頼環境は、図5に示すようにローカルIdP532と同じエンティティであってもよい。503で、MNO535および/または装置のアクセス層モジュール534がアクセス層鍵Kからアプリケーション層鍵K_appを導出することができすなわちK_app=fK。fは、MNO535と装置のアクセス層534の両方に知られている何らかの関数、K_appをローカルIdP532が入手可能な状態にすることができる。504で、K_appを使用して、アクセス層の関連付けを装置のアクセス層モジュール534とMNO535との間に確立することができる。505で、ユーザがアプリケーション533を介してアプリケーション層でAS/RP537にログインすることができる。例えばユーザはOP識別子例えば、URLまたは電子メールアドレスを用いてログインすることができる。506で、AS/RP537はMNO535の発見を行うことができる。507で、MNO535とAS/RP537間の関連付けを設定し、関連付けハンドルを生成することができる。508で、MNO535は、K_appおよび関連付けハンドルからK_sessionを導出することができる。509で、例えば元の関連付けセキュリティおよびK_sessionを以後の関連付け鍵として使用することにより、K_sesssionをAS/RP537に渡すことができる。510で、AS/RP537はK_sessionおよび後続の関連付け情報を記憶することができる。511で、アプリケーション533例えば、BAをAS/RP537により装置上でリダイレクトして、ローカルIdP532に対して認証させることができる。メッセージは、ノンスおよび/または関連付けハンドルを含むことができる。512で、アプリケーション533が、アクセス層534を通じてローカルIdP532への接続を要求することができる。この要求はノンスおよび/または関連付けハンドルを含むことができる。513で、ローカルIdP532へのリダイレクトが行われる。リダイレクトメッセージもノンスおよび/または関連付けハンドルを含むことができる。514で、ローカルIdP532は、K_appおよび関連付けハンドルを使用して署名鍵K_session例えば、アサーションメッセージを署名するためを導出することができる。ローカルIdP532は、K_appにアクセスできる可能性がある。515で、ローカルIdP532はOpenIDアサーションメッセージを作成し、K_sessionを使用してアサーションメッセージに署名することができる。516で、ローカルに生成されたアクセス/権限付与トークンの提供元として機能するローカルIdP532が署名鍵K_tokenを導出することができる。署名鍵K_tokenは後にアクセス/権限付与トークンに署名するために使用することができる。そのようなK_tokenを導出する方式の1つは、K_appとK_sessionの両方を入力とする鍵生成機能KGFを使用するものである。例えば、K_token=fK_app,K_sessionである。517で、ローカルに生成されたアクセス/権限付与トークンの提供元として機能するローカルIdP532がアクセス/権限付与トークンを作成し、および/またはK_tokenでトークンに署名することができる。518で、ローカルIdP532は、署名したアサーション署名済みOpenIDアサーションおよび署名済みアクセス/権限付与トークンの両方をリダイレクトしてアクセス層534例えば、カードアクセスを通じて装置のアクセス層に戻すことができる。519で、装置のアクセス層534は、署名したアサーションOpenIDアサーションおよびアクセス/権限付与トークンを装置のアプリケーション533にリダイレクトすることができる透過なリダイレクトで。520で、装置のアプリケーション例えば、BAが、署名したアサーションOpenIDアサーションおよびアクセス/権限付与トークンを、511で受け取ったノンスと共に外部のアプリケーションAS/RP537にリダイレクトすることができる。AS/RP537は、受け取った署名済みアサーションメッセージを記憶することができる。521で、装置は、自身のアクセス層モジュール534を介してホットスポット536を発見することができる。装置の接続マネジャCMは、装置が発見されたホットスポット536に切り替わるべきと判断することができる。522で、装置のアクセス層モジュール534は後続ホットスポットの情報を装置のアプリケーション533に渡すことができる。523で、装置のアプリケーション533は、OpenID識別子を、前回使用されたアプリケーションサーバ識別と共にホットスポット536のアクセス層に渡すことができる。装置のアプリケーション533は、524で、発見されたホットスポット536へのハンドオフの開始をAS/RP537に通知することができる。これは、装置のアクセス層モジュール534が、例えばホットスポット536にログイン要求を送信することによって行うことができる。このメッセージには、OpenID識別子および/またはアクセストークンを含めることができる。アプリケーション533は、このトークンをステップ519から保持していることができる。525で、ホットスポット536は、MNO535のOpenID/OAuthサーバを発見することができる。526で、ホットスポット536は、MNO535のOpenID/OAuthサーバに、OpenID識別子および/または署名済みアクセストークンを使用してユーザ/装置を認証し、アクセスを許可するように要求することができる。527で、MNO535のOpenID/OAuthサーバは署名鍵K_tokenを計算することができる。署名鍵K_tokenは、例えばステップ516でK_tokenが計算されたとの同じ方式で計算することができる。528で、MNO535のOpenID/OAuthサーバは、ステップ527で計算したK_tokenを使用して、受け取ったアクセストークンの署名を検証することができる。529で、MNO535のOpenID/OAuthサーバは、アクセストークンの肯定のアサーションを、ユーザ/装置の任意の追加的な識別情報と共にホットスポットに送信することができる。530で、認証が成功した場合、ホットスポット536は、アクセス層モジュール534で装置に認証成功の肯定応答を送信することができる。531で、装置531のアクセス層モジュール534およびホットスポット536は、セキュリティの関連付けを相互に設定することができる。その後に鍵の導出および/またはセキュアな通信が行われることができる。本明細書に記載されるように、アプリケーション層の認証情報を使用して、本明細書に記載されるように、ユニバーサルアクセス方法UAMおよび/または拡張可能認証プロトコルEAPを利用した公衆のホットスポットにおける後のアクセス層またはIP層の認証で使用される認証情報を生成することができる。OpenIDとUAMを利用する公衆のホットスポットとを統合するための実装の選択肢は、種々のネットワークエンティティがリライングパーティRPまたはOpenIDプロバイダOPとして機能する各種実装を含むことができる。例えば、ホットスポットの認証、認可および課金AAAサーバがRPとして機能する、ホットスポットのワイヤレスローカルエリアネットワークWLANゲートウェイがRPとして機能する、ホットスポットのキャプティブポータルがRPとして機能する、ホットスポットアクセスポイントAPがRPとして機能する例えばカフェで使用されるホットスポットなど小さなホットスポットの場合、および/またはホットスポットのAAAサーバがOPとして機能する等が可能である。RP機能を実装するホットスポットのAAAサーバおよびWLANゲートウェイを使用する、OpenIDとUAMの統合の例示的実施形態を図6および図7に説明することができる。他の実施形態も実装は同様であるが、異なる展開モデルを有することが理解されよう。例示的実施形態によると、モバイル装置を持つユーザが、OPサーバとして機能するMNOAに接続することができる。ユーザは、装置上の事前に供給されたアクセス層の認証情報を使用して、ブートストラップ認証手順でサービスに対して認証することができる。ブートストラップ認証手順は、アプリケーション層識別を一意にネットワーク識別に関連付けることができる。例として、認証はOpenIDを使用して行うことができるが、任意の他の同様の認証プロトコルを使用してもよい。OpenIDが実装されている場合、MNOAはOpenIDプロバイダとして機能し、および/または、ホットスポットBのWLANゲートウェイがリライングパーティとして機能することができる。装置は、MNOAに接続すると、別のネットワークを例えば、ビーコンまたは同報通信メッセージを監視することにより発見する、および/またはアクセス層で新たに発見したネットワークについての情報を把握することができる。この情報は、例えば接続マネジャCMを通じて、装置上のアプリケーションに渡すことができる。装置のアプリケーションは、発見されたネットワークに関する情報を使用して、ユーザ/装置の識別を用いてアプリケーション層でホットスポットBのWLANゲートウェイに接触することができる。この識別情報は、図6に示すようにRPとして機能するAAAサーバおよび/または図7に示すようにRPとして機能するWLANゲートウェイがMNOAを発見し、要求元のユーザ/装置の認証を試みるのに十分である可能性がある。OP←→RPプロトコルを、MNOAOpenIDサーバとして機能すると、ホットスポットBのWLANゲートウェイまたはAAAサーバリライングパーティとして機能するの少なくとも一方とによって実行して、ユーザ/装置を認証することができる。ユーザ/装置の認証が成功すると、ユーザ/装置はホットスポットBへのアクセスを許可されることができる。例えば、図6では、AAAサーバがユーザを認証し、認証成功の通知アクセス受付けメッセージをホットスポットBのWLANゲートウェイに送信すると、ユーザのホットスポットBへのアクセスを許可することができる。同様に、図7では、ホットスポットBのWLANゲートウェイがユーザ/装置を認証すると、ユーザ/装置のホットスポットBへのアクセスを許可することができる。この認証は、ユーザに対してシームレスに、および/または後に発見されるネットワークホットスポットBのための認証情報を装置に事前に供給またはインストールする必要なしに、または人的介在を必要とせずに行うことができる。図6は、RPとして機能するAAAサーバ617を使用する、UAMとOpenIDの統合を説明する流れ図である。図6に示すように、UE614、AP615、WLANGW616、AAAサーバ/RP617、および/またはOPサーバ618が通信を行って、UE614がワイヤレスネットワークに対して認証することを可能にする。UE614のローカルコンポーネント例えばCMが、ホットスポットの識別の情報例えばMNO-WiFiSSIDに基づいてホットスポットAP615を発見することができる。識別の情報は、例えばビーコンチャネルなどのアクセス層のシグナリングを介して発見することができる。UE614のローカルコンポーネント例えばCMは、UE614がそのホットスポットに切り替わるべきであると判断し、その指令をUE614のアプリケーション層に伝えることができる。UE614のローカルコンポーネントは、アプリケーション層ネットワークの発見情報をUE614のアプリケーション例えばブラウザに送信することができる。図6に示すように、601で、UE614は、オープンモードのアクセスポイントAP615に関連付けることができる。例えば、UE614は、アクセス層で取得した識別の情報例えば、MNO-WiFiSSIDを使用してそのような関連付けおよび/またはオープンモードアクセスを行うことができる。UE614が例えば、DHCPを使用してIPアドレスを取得するように構成されている場合、WLANゲートウェイGW616は、602でUE614にプライベートIPアドレスを割り当てることができる。WLANGW616でUE614の状態が未許可に設定されている場合があるため、ユーザは、そのプライベートIPアドレスを使用してインターネットにアクセスできない場合がある。ユーザは、UE614でウェブブラウザアプリケーションを開き、603でWLANGW616がウェブページ例えばユーザのホームページの要求をUE614から受け取ることができる。WLANGW616は、604でUE614のブラウザをポータルページ例えばIP/URIにリダイレクトし、ポータルページがユーザにログイン認証情報を要求する。ユーザは自身のOpenID識別子例えば、URLまたは電子メールアドレスをログインページで入力することができる。605で、WLANGW616は、UE614からログイン認証情報を受け取り、WLANGW616は、受け取ったログイン認証情報を使用して、設定されたAAAサーバ/RP617へのアクセス要求メッセージを生成することができる。WLANGW616は、606でアクセス要求メッセージをAAAサーバ/RP617に送信することができる。RPとして機能するAAAサーバ617は、607でOPサーバ618の発見および/またはOPサーバ618との関連付けを行うことができる例えばOpenIDプロトコルを使用して。608で、AAAサーバ/RP617は、UE614をOPサーバ618にリダイレクトすることができる。UE614は、609でOPサーバ618に対して認証することができる例えばOpenID認証情報を使用して。OPサーバ618は、610で、認証アサーションと共にUE614をAAAサーバ/RP617にリダイレクトすることができる。UE614は、611で、アサーションおよびUE614が認証が成功した旨の通知をAAAサーバ/RP617に提示することができる。612で、AAAサーバ/RPは、認証成功の通知例えばアクセス受付けメッセージをWLANGW616に送信するか、および/またはWLANGW616におけるユーザ/UE614のステータスを許可状態に変更する指示を送信することができる。WLANGW616は、613で、ユーザのブラウザを開始ページにリダイレクトし、ユーザがWLANネットワークを通じてインターネットにアクセスすることを可能にすることにより、ユーザ/UE614に認証成功を知らせることができる。OpenIDRP機能をAAAサーバ617に組み込むことにより、AAAサーバ617は認証のためにHLR/HSSと通信せずに済む。また、ユーザは自身の認証情報をWLANGW/RPに送信せずに認証および/またはWLANGW/RPにアクセスすることができるため、ユーザ認証をセキュアにすることができる。図7は、RPとして機能するWLANGW714を使用する、UAMとOpenIDとの統合を説明する流れ図である。図7に示すように、UE712、AP713、WLANGW/RP714、および/またはOPサーバ715が通信を行って、UE712がワイヤレスネットワークに認証してサービスにアクセスできるようにする。UE712のローカルコンポーネント例えば、CMが、ホットスポットの識別の情報例えば、MNO-WiFiSSIDに基づいてホットスポットAP713を発見することができる。AP713は、例えばビーコンチャネルなどのアクセス層のシグナリングを介して発見することができる。UE712のローカルコンポーネント例えばCMは、UE712がホットスポットAP713に切り替わるべきであると判断し、その指令をUE712のアプリケーション層に伝えることができる。UE712のローカルコンポーネントは、アプリケーション層ネットワークの発見情報をUE712のアプリケーション例えばブラウザに送信することができる。図7に示すように、701で、UE712は、オープンモードのアクセスポイントAP713に関連付けることができる。例えば、UE712は、MNO-WiFiSSIDおよび/またはオープンモードアクセス使用してそのような関連付けを行うことができる。UE712がDHCPを使用してIPアドレスを取得するように構成されている場合、WLANGW/RP714が702でプライベートIPアドレスをUE712に割り当てることができる。ユーザは、そのIPアドレスを使用してインターネットにアクセスできない場合がある。この時点で、WLANGW/RP714におけるUE712の状態は未許可に設定されている場合があり、そのためWLANGW/RP714を介してサービスにアクセスできない場合がある。ユーザは、UE712でウェブブラウザアプリケーションを開くことができる。703で、WLANGW/RP714は、UE712からウェブページ例えばユーザのホームページの要求を受け取ることができる。WLANGW/RP714は、704でUE712のブラウザをポータルページ例えば、IP/URIにリダイレクトし、ポータルページがユーザにログイン認証情報を要求する。ユーザは自身のOpenID識別子例えば、URLまたは電子メールアドレスをログインページで入力することができる。705で、WLANGW/RP714はUE712からログイン認証情報を受け取り、WLANGW/RP714は、受け取ったログイン認証情報を使用してOPサーバ715の発見および/またはOPサーバ715との関連付けを行うことができる。706で、RPとして機能するWLANGW/RP714が例えば、OpenIDプロトコルを使用してOPサーバ715の発見および/またはOPサーバ715との関連付けを行うことができる。WLANGW/RP714は、707でUE712をOPサーバ715にリダイレクトすることができる。UE712は、708で例えば、OpenID認証情報を使用してOPサーバ715に対して認証することができる。709で、OPサーバ715は、UE712をWLANGW/RP714にリダイレクトすることができる。709のリダイレクトメッセージは認証アサーション情報を含むことができる。UE712は、710で、アサーション情報および/またはOPサーバ715への認証が成功した旨の通知をWLANGW/RP714に提示することができる。受け取ったアサーション情報および/または認証成功の通知に基づいて、WLANGW/RP714はユーザのステータスを許可状態に変更することができる。WLANGW/RP714は、UE712のブラウザを開始ページにリダイレクトすることによって認証の成功をユーザ/UE712に知らせ、ユーザはWLANネットワークを通じてインターネットにアクセスすることができる。711で、ユーザ712がWLANネットワークを通じてインターネットにアクセスできるようにすることができる。図7に示すようにOpenIDのRP機能をホットスポットのWLANGW714に組み込むことにより、AAAサーバを認証のために使用せずに済む。WLANGW714はRADIUS機能を使用しなくてよい。図6に示す実施形態と同様に、図7の認証の実装は、ユーザが自身の認証情報をWLANGW714に送信せずに認証および/またはホットスポットにアクセスすることができることから、セキュアな認証を含むことができる。図7に示す実装では、WLANサービス/ホットスポットの提供者は、認証が簡略化されるために、大きな顧客基盤に達することができる。例えば、1つのホットスポットで複数のOPに対応することができ、サービスを複数のMNO例えばOPサーバ715として機能するから顧客に提供することが可能となり、同時にMNOにより提供される認証の基盤から利益を得ることができる。本明細書には、EAPを利用する公衆ホットスポットで後続のアクセス層またはIP層の認証で使用するために、例えば逆ブートストラップを使用してアプリケーション層の認証情報から認証情報を生成する認証の実施形態も記載される。ユーザレベルでは、ユーザはOpenID識別子を入力してサービスにログインし、例えばホットスポットBなどの事前に未知であったアクセスネットワークにアクセスすることができ、その間サービスはシームレスに中断のない状態を保つことができる。アクセス層またはIP層の認証情報は、すでに実行されているアプリケーションサービスセキュリティからブートストラップすることができるため、後続アクセスネットワークで事前に供給されなくてよい。EAPを利用した公衆ホットスポットを使用する認証の記載される実施形態は、OpenIDを組み込むための実装の選択肢を含むことができる。OpenIDと802.1x/EAPの公衆ホットスポットを統合するための実装の選択肢は、RPとして機能するホットスポットAAAサーバの使用、OPとして機能するホットスポットのAAAサーバの使用、および/またはEAP-OpenIDの使用を含むことができる。図8は、RPとして機能するAAAサーバ820を使用する、EAPとOpenIDとの統合を説明する流れ図である。ホットスポットのAAAサービスにRP機能を組み込むことにより、例えば3GPPネットワークとWLANネットワーク間のシームレスな認証および/またはサービスの継続性の支援を可能にすることができる。UE818および/またはOPサーバ821で導出された鍵を利用してEAP-SIM/AKA認証を完了し、アクティブな接続例えば、3GPP接続を使用してOpenID認証を交換し、および/またはホットスポットAP819がUEとOpenIDの交換を行えるようにすることにより、ユーザは、AAAサーバ820にRPモジュールを組み込んだ公衆のホットスポットでシームレスに認証されることができる。図8に示すように、UE818および/またはそのユーザは、UE818、AP819、AAA/RPサーバ820、および/またはOPサーバ821間の通信を使用して認証することができる。UE818、AAA/RPサーバ820、および/またはOPサーバ821は各々、アプリケーション層で通信することが可能なアプリケーションを含むことができる。UE818、AP819、および/またはAAA/RPサーバ820は各々、IP層の通信が可能なIP層通信モジュールを含むことができる。UE818および/またはAAA/RPサーバ820は、各自のアプリケーションとIP層通信モジュールとの間の通信を可能にするように構成することができる。OpenID識別プロバイダOPは、例えばMNOまたはMNOに関連付けられたアプリケーションサービスプロバイダである。OPサーバ821は複数のMNOに対応することができ、広い顧客基盤がホットスポットを使用できるようにする。AAAサーバ820はRPとして実装することができ、UE818および/またはOPサーバ821上の鍵822例えばアプリケーション層で導出されるを活用することができる。例示的実施形態によると、アプリケーション層の鍵822を活用してEAP-SIM/AKA認証を完了することができる。図8に示すように、801で、UE818はアクセスネットワークの通信例えば、3GPPアクセスネットワーク通信を介してOPサーバ821に対する認証を成功して完了することができる。801で、UE818とOPサーバ821は共有鍵822を設定することができる。共有鍵822は、例えばUE818とOPサーバ821との間でアプリケーション層で確立されたアプリケーション層の認証情報である。UE818のローカルコンポーネント例えば、接続マネジャCMは、802で、例えばMNO-WiFiSSIDなどのAP819の識別の情報に基づいてAP819を発見することができる。AP819の識別の情報は、例えばビーコンチャネルなどのアクセス層のシグナリングを介して発見することができる。UE818例えば、CMを実装しているは、サービスにアクセスするためにAP819に切り替わるべきであると判断することができる。UE818は、AP819のネットワークの未許可クライアントである可能性がある。AP819例えば認証者は、803で、UE818の識別を求めるEAP要求を発行することができる。804で、UE818は、識別子、例えば自身の永続的な識別例えば、移動加入者識別番号IMSI、仮名pseudonym識別、高速認証識別、またはUE818の他の同様の識別子を返すことができる。アクセス層識別子は、例えば領域realmなどの追加的な認証の情報と共に返すことができる。領域は、例えばシングルサインオンSSO認証を使用するためのヒント例えば、IMSIsso.MNO.comなど、認証を行う際に使用する追加的な情報を含むことができる。AP819は、805でアクセス層識別子をAAA/RPサーバ820に送信することができる。アクセス層識別子、およびAP819とAAA/RPサーバ820との間の他の通信は、例えばRADIUSのアクセス要求、アクセスチャレンジ、および/またはアクセス受付けメッセージを使用して送信することができる。AAA/RPサーバ820は、AAA/RPサーバ820のアプリケーション層にアクセス層識別子を送信することができる。アクセス層識別子および/または事業者のポリシに基づいて、AAAサーバ820のRP機能は、806でOPサーバ821の発見および/またはOPサーバ821との関連付けを行うことができる。発見および/または関連付けは、例えばOpenIDプロトコルを使用して行うことができる。806の発見および/または関連付けの際に、AAA/RPサーバ820はアクセス層識別子をOPサーバ821に送信することができる。例えば、アクセス層識別子は、アプリケーション層でAAA/RPサーバ820とOPサーバ821との間で送信することができる。OPサーバ821は、アクセス層識別子および/またはアプリケーション層の認証情報822を使用して、AAA/RPサーバ820でUE818の認証に使用することができる鍵材料を生成することができる。例えば、OPサーバ821はアクセス層識別子を使用して、UE818に関連付けられたアプリケーション層の認証情報822を判定することができる。鍵材料は、アプリケーション層の認証情報822から鍵導出機能を使用して導出することができる。例示的実施形態によると、鍵材料は、UE818とAAA/RPサーバ820との間の認証に使用できるセッション鍵を含むことができる。807で、OPサーバ821は鍵材料をAAA/RPサーバ820に送信することができる。AAA/RPサーバ820は、OPサーバ821から受け取った鍵材料を使用して、EAP-SIM/AKAチャレンジをUE818に送信することができる。EAP-SIM/AKAチャレンジを送信することにより、例えばHLR/HSSとインタフェースを取る、または通信する必要なく、再認証手順を可能にすることができる。808で、AAA/RPサーバ820は、アクセスチャレンジをAP819に送信することができる。アクセスチャレンジは、UE818に関連付けられた識別子および/または807で受け取られた鍵材料を含むことができる。AP819は、809で、AAA/RPサーバ820から受信したEAPメッセージ例えば、EAP-要求/チャレンジを無線アクセスネットワークを介してUE818に送信することができる。EAP-要求/チャレンジメッセージを受信すると、UE818は鍵材料を確認してメッセージの有効性を確認し、810でアプリケーション層の認証情報822を使用してEAPレスポンスを生成することができる。例えば、UE818は、UE818に存在する高信頼環境例えば、信頼できる処理モジュール、UICC、SIM、スマートカード等にチャレンジを送信し、高信頼環境で鍵導出機能を使用してアプリケーション層の認証情報822から鍵材料を導出することができる。鍵材料は、アプリケーション層の認証情報を使用してOPサーバ821で生成された鍵材料と同じであってよい。例えば、鍵材料は、UE818とAAA/RPサーバ820との間の認証に使用することが可能なセッション鍵を含むことができる。810で、鍵材料を使用してレスポンスを生成することができる。レスポンスは、UE818のアプリケーション層で生成し、AP819に送信するためにアクセス層に送ることができる。UE818は、811で、例えば再認証手順を使用して、EAPレスポンスメッセージの形態でAP819にレスポンスを返すことができる。レスポンスは、UEの識別子および/またはUE818で生成された鍵材料例えば、セッション鍵を含むことができる。AP819は、812で、EAP-レスポンス/チャレンジメッセージを、例えばアクセス要求メッセージの形態などでAAA/RPサーバ820に転送することができる。812におけるアクセス要求は、EAPIDおよび/または811でUE818から得られた鍵材料を含むことができる。AAA/RPサーバ820は、812で、受信したメッセージの有効性を確認し、および/または受信したレスポンスが予想されるレスポンスと一致するかどうかを検査し、その検査が合格すると、AAA/RPサーバ820は、認証の成功および/またはUE818がWLANネットワークを使用してサービスにアクセスできることを知らせることができる。例えば、813で、AAA/RP820は、アクセス受付けメッセージをAP819に送信することができる。アクセス受付けメッセージは、EAP成功の通知および/または鍵材料を含むことができる。AP819は、814でEAP成功の指示をUE818に転送することができる。815で、AP819におけるUE818のステータスが、AP819の使用を許可された状態になることができる。UE818に権限が付与されるのに伴って、UE818は、816でDHCPを使用してIPアドレスを取得することができる。例えば、UE818は、817で例えばそのIPアドレスを使用してWLANネットワークを通じてインターネットにアクセスすることができる。図8に示す呼び出しフローまたはその一部を使用すると、ホットスポットのAAAサーバ820は、EAPプロトコルを使用して認証を行うためにMNOHLR/HSSに接続せずに済む。例えば、本明細書に記載されるようにOpenIDを使用することにより、例えばAAAサーバ820または他のRPエンティティは、ユーザ認証を行うための例えばHLR/HSSまたは他のSS7エンティティとの通信を回避することができる。代わりに、AAAサーバ820は、例えばOpenID用のインターネットプロトコルIPに基づくHTTPSインタフェースなどのIPに基づくHTTPSインタフェースと通信することができる。図9は、RPとして機能するAAAサーバ923を使用する、EAPとOpenIDとの統合を説明する別の流れ図である。図9に示すように、UE921および/またはそのユーザは、UE921、AP922、AAA/RPサーバ923、および/またはOPサーバ924間の通信を使用して、WLAN通信のための認証を受けることができる。UE921、AAA/RPサーバ923、および/またはOPサーバ924は各々、アプリケーション層の通信が可能なアプリケーションを含むことができる。UE921、AP922、および/またはAAA/RPサーバ923は各々、IP層の通信が可能なIP層通信モジュールを含むことができる。UE921および/またはAAA/RPサーバ923は各々、各自のアプリケーションとIP層通信モジュールとの間の通信を可能にするように構成することができる。例示的実施形態によると、AP922は、未許可のUE921についてのOpenIDの交換を可能にするように構成することができ、UE921は、AP922を介してAAA/RPサーバ923および/またはOPサーバ924に到達し、通信することができる。図9に示す実施形態では、例えば図8に示すようにUE921とOPサーバ924間で以前に共有されていた新しい鍵がない場合がある。したがって、UE921および/またはOPサーバ924は、認証およびアプリケーション層の識別鍵925の生成を行うことができる。AAAサーバ923はRPとして機能し、接続例えば3GPP接続を使用してOpenID認証を行うことができる。UE921は、複数のネットワークとの間に同時に接続を確立することが可能な装置とすることができる例えばUE921は、3GPPネットワークおよびWLANホットスポットを同時に介して接続を確立することが可能なマルチRAT装置とすることができる。図9に示すように、確立された3GPP接続を使用してOpenIDメッセージを交換し、EAP-SIM/AKA認証を完了することができる。図9ではアクティブな3GPP接続で確立された認証情報を使用してWLANを通じた通信のための認証を行うが、他形態のワイヤレス接続を同様に使用して図9に示すように認証を行ってよいことは理解されよう。901で、UE921は、アクティブな3GPP接続を確立し、その接続を通じてAAA/RPサーバ923および/またはOPサーバ924に到達することができる。別の例示的実施形態によると、AP922は、901で確立された3GPP接続を使用するのではなく、UE921の認証のためにOpenIDの交換を可能にすることができる。いずれの実施形態でも、プロトコルの流れは図9に示すものと同じまたは同様である。引き続き図9のプロトコルフローを参照すると、UE921のローカルコンポーネント例えばCMは、902でAP922および/またはその識別情報、例えばMNO-WiFiSSIDを発見することができる。AP922は、例えばビーコンチャネルなどのアクセス層のシグナリングを介して発見することができる。UE921のローカルコンポーネント例えば、CMは、UE921がAP922に接続すべきであると判断することができる。UE921はAP922においては未許可クライアントであり、ネットワークを通じたアクセスができない場合がある。903で、AP922例えば、認証者は、UE921のIP層の識別を求めるEAP要求を発行することができる。UE921は、904でEAPレスポンスを介して自身のIP層識別を返すことができる。UE921のIP層識別は、移動加入者識別番号IMSIおよび/または追加的な認証の情報を含むことができる。追加的な情報は例えばUE921の領域を含むことができる。領域は、例えばSSO認証を使用するためのヒント例えば、IMSIsso.MNO.comなどの追加的な認証の情報を含むことができる。AP922は、905でIP層の識別EAPIDをAAA/RPサーバ923に送信することができる。IP層の識別ならびにAP922とAAA/RPサーバ923との間の他の通信は、RADIUSアクセスメッセージ、例えばRADIUSアクセス要求メッセージ、RADIUSアクセスチャレンジメッセージ、および/またはRADIUSアクセス受付けメッセージなどを使用して送信することができる。AAA/RPサーバ923は、906でOPサーバ924を発見し、OPサーバ924との関連付けを行うことができる。例えば、AAAサーバ923のRP機能で、OpenIDプロトコルを使用してOPサーバ924の発見と関連付けを行うことができる。907で、UE921のアプリケーションが、リライングパーティRPとして機能することができるAAA/RPサーバ924にログイン要求を送信することができる。907におけるログイン要求は、例えばOpenIDを用いた3GPP接続を通じて送信することができる。UE921のアプリケーションは、UE921のローカルエンティティ例えば、CMからの通信開始の指示に基づいてログイン要求を送信することができる。3GPPのワイヤレス接続を通じてUE921と通信する間、AAA/RPサーバ923は、908でUE921をOPサーバ924にリダイレクトすることができる。UE921は、909で3GPP接続を通じてOPサーバ924に対してOpenID認証情報を使用して認証することができる。例えば、UEは、OpenID認証情報を使用してOPに認証することができる。OPサーバ924に対する認証が成功すると、アプリケーション層の認証情報925をUE921および/またはOPサーバ924で確立することができる。OPサーバ924は、アプリケーション層の認証情報925に基づいて鍵材料を生成することができる。鍵材料は、UE921とAAA/RPサーバ923との間の認証に使用することができる。鍵材料は、鍵導出機能を使用してアプリケーション層の認証情報925から導出することができる。例示的実施形態によると、鍵材料は、AAA/RPサーバを使用した認証に使用されるセッション鍵を含むことができる。OPサーバ924は、910で、アプリケーション層の認証情報925に基づく鍵材料をAAA/RPサーバ923に送信することができる。AAA/RPサーバ923は、鍵材料をアプリケーション層で受信し、鍵材料をAP922に送信するためにIP層通信モジュールに通信することができる。AAA/RPサーバ923は、911で、鍵材料を使用してAP922を介してEAP-SIM/AKAチャレンジをUE921に送信することができる。このチャレンジは再認証手順に基づくことができ、その場合AAA/RPサーバ923は例えばHLR/HSSと通信する必要なしに認証を行うことができる。911におけるチャレンジは、EAPIDおよび/または910で受け取った鍵材料を含むことができる。AP922は911でチャレンジを受信し、912で、AAA/RPサーバ923から受信したEAPメッセージEAP-要求/チャレンジメッセージをUE921に送信することができる。912でEAP-要求/チャレンジメッセージを受信すると、UE921は、913でアプリケーション層の認証情報925を使用してレスポンスを生成することができる。UE921は、AAA/RPサーバから受信した鍵材料を調べ、高信頼環境例えば、信頼できる処理モジュール、UICC、SIM、スマートカード等にチャレンジを送信し、高信頼環境はアプリケーション層の認証情報925を使用してレスポンスを生成する。例えば、UE921の高信頼環境は、鍵導出機能を使用してアプリケーション層の認証情報925から鍵材料を導出することができる。鍵材料は、OPサーバ924でアプリケーション層の認証情報925を使用して生成された鍵材料と同じであってよい。例えば、鍵材料は、UE921とAAA/RPサーバ923との間の認証に使用できるセッション鍵を含むことができる。913で、鍵材料を使用してレスポンスを生成することができる。レスポンスは、UE921のアプリケーション層で生成し、AP922に送信するためにアクセス層に送信することができる。UE921は、914で再認証手順に基づいてEAP-レスポンスメッセージでレスポンスをAP922に返すことができる。EAP-レスポンスメッセージは、IP層識別子および/またはアプリケーション層の認証情報925から生成された鍵材料を含むことができる。AP922は、915でEAP-レスポンス/チャレンジメッセージをAAA/RPサーバ923に転送することができる。AAA/RPサーバ923は、EAP-レスポンス/チャレンジメッセージ内の鍵材料を検査することによりUE921を認証することができ、検査が合格した場合、AAA/RPサーバ923は、UE921がWLANネットワークを通じてサービスにアクセスすることを可能にすることができる。例えば、AAA/RPサーバ923は、EAP成功および鍵材料を含むアクセス受付けメッセージを916でAP922に送信することができる。917で、EAP成功メッセージをUE921に転送することができる。918で、UE921のステータスがAP922で許可の状態になることができる。UE921は、919で例えばDHCPを使用してAP922からIPアドレスを取得し、920でWLANネットワークを通じてインターネットにアクセスすることができる。本発明ではOpenIDを使用して、UE921とOPサーバ924との間で共有認証情報例えばアプリケーション層の認証情報925を作成する。アプリケーション層の認証情報925は、AAA/RPサーバ923でユーザ/UE921の認証に使用することができる。図9に示す実施形態は、UE921がOPサーバ924に対して認証し、秘密925を共有することを可能にする。UE921とOPサーバ924との間の認証により、UE921とOPサーバ924との間の例えば、OpenID-AKAを使用した認証が成功すると、アプリケーション層の認証情報925を生成できるようにする。次いで、OPサーバ924は、アプリケーション層の認証情報925を使用してアサーションに署名し、アサーションは910でAAA/RPサーバ923に送信され、次いでアプリケーション層の認証情報925を使用してAAA/RPサーバ923によって検証される。例えばOpenID手順の一部としてOPサーバ924とUE921との間で秘密鍵925が生成されると、別のネットワークエンティティを使用してEAP認証情報例えば、鍵材料をUE921に例えば、UE921のCMに送付することができる。この場合も、図9に示すプロトコルフローまたはその一部を使用すると、ホットスポットのAAAサーバ923は、EAPプロトコルを使用して認証を行うためにMNOHLR/HSSに接続せずに済む。代わりに、AAAサーバ923は、例えばOpenID用のインターネットプロトコルIPに基づくHTTPSインタフェースなどの単純なIPに基づくHTTPSインタフェースと通信することができる。ホットスポットのAP922は、APメッセージまたは未許可状態の装置に加えてOpenIDの交換を可能にすることができる。図10は、RPとして機能するAAAサーバ1022を使用する、EAPとOpenIDとの統合と、ローカルOpenIDプロバイダローカルOPの実装を説明する流れ図である。図10に示すように、UE1018および/またはそのユーザは、UE1018、AP1021、AAA/RPサーバ1022、および/またはOPサーバ1023間の通信を使用して認証されることができる。図10に示すように、UE1018は、ローカルOP1019およびブラウジングエージェントBA/接続マネジャCM1020を含むことができ、それぞれ相互および/または他のネットワークエンティティと通信して認証を行い、サービスへのアクセスを得るように構成される。図10ではBA/CM1020を1つのエンティティとして図示するが、BAとCMは、UE1018内で独立した機能を行う別個のエンティティであってよい。ローカルOP1019は、UE1018上のセキュアな環境例えば、信頼できる処理モジュール、UICC、SIM、スマートカード等内にインストールすることができる。ローカルOP1019は、UE1018に対してOPサーバとして機能することができる。ローカルOP1019は、ネットワーク上のOPサーバ1023と共有することができる長期間の秘密1024を含むことができる。ローカルOP1019は、ローカルのユーザ認証が成功すると、識別のアサーションを作成および/または署名することができる。1001で、UE1018はアクティブな3GPP接続を有することができ、その接続を通じてAAA/RP1022および/またはOPサーバ1023に到達することができる例えばBA/CM1020を介して。図10では3GPP接続とWLAN接続間に認証とサービスの継続性を確立することができるが、他のネットワーク間の認証およびサービスの継続性のために同様の通信を使用できることは理解されよう。1002で、BA/CM1020は、例えば、アクセスネットワークでAP1021および/またはその識別情報を発見することができる。この時点で、UE1018は、WLANネットワーク上では未許可クライアントである可能性がある。AP1021の識別の情報は、MNO-WiFiSSIDを含むことができる。AP1023および/またはその識別の情報は、例えばビーコンチャネルなどのアクセス層のシグナリングを介して発見することができる。BA/CM1020は、UE1018がAP1021に接続すべきであると判断することができる。1003で、AP1021例えば、認証者は、UE1018の識別を求めるEAP要求を発行することができる。1004で、UE1018は自身のIP層識別を返すことができる。UE1018のIP層識別は、移動加入者識別番号IMSIおよび/または機器の領域などの追加的な認証の情報を含むことができる。領域は、例えばSSO認証を使用するためのヒント例えば、IMSIsso.MNO.comを含むことができる。1005で、AP1021は、EAPID例えば、IP層識別をAAA/RPサーバ1022に送信することができる。1006で、UE1018のBA/CM1020は、HTTPGET要求をOpenID識別と共にAAA/RP1022に送信することができる。1007で、AAAサーバ1022のRP機能が、OPサーバ1023の発見および/またはOPサーバ1023との関連付けを行うことができる。その結果、関連付け鍵1024および/または関連付けハンドルを作成し、OPサーバ1023とAAA/RPサーバ1022との間で共有することができる。例示的実施形態によると、OPサーバ1023は、UE1018に関連付けられたアクセス層識別を受け取り、関連付け鍵1024および/または関連付けハンドルをアプリケーション層でAAA/RPサーバ1022に送信することができる。AAA/RPサーバ1022は、その関連付け鍵1024からEAP鍵1025および/またはチャレンジを導出することができる。例えば、EAP鍵1025は、鍵導出機能または逆ブートストラップ手順を使用して関連付け鍵1024から導出することができる。1008で、AAA/RPサーバ1022は、認証のためにUE1018をローカルOP1019にリダイレクトすることができる。このAAA/RP1022からローカルOP1019へのリダイレクトメッセージは関連付けハンドルを含むことができるが、関連付け鍵1024は含まなくてよい。1009で、UE1018および/またはBA/CM1020は、ローカルOP1019に対してローカルに認証する、および/または署名されたアサーションを生成することができる。UE1018は、関連付けハンドルからローカルアサーション鍵1024を導出し、アサーション鍵1024を使用してアサーションに署名することができる。ローカルOP1019へのリダイレクト要求は関連付けハンドルを含むことができ、ローカルOP1019はその関連付けハンドルを使用して、OPサーバ1023とAAA/RPサーバ1022との間で共有されているものと同じ署名鍵1024を導出することができる。認証が成功して完了すると、署名済みのアサーションメッセージをローカルOP1019で作成することができる。ローカルOP1019は、1007において生成されたAAA/RPサーバ1022と同じEAP鍵1025も導出することができる。ステップ1009の変形形態では、OpenIDプロトコルの実行を完了するために、1009bで、ローカルOP1019が、検証のために署名済みアサーションメッセージと共にBA/CM1020をAAA/RPサーバ1022にリダイレクトすることができる。ローカルOP1019とネットワークOPサーバ1023は、署名鍵1025の導出に使用できる長期間の秘密1024を共有することができる。AAA/RPサーバ1022は、生成されたEAP鍵1025に基づくEAPチャレンジを生成することができる。EAPチャレンジはEAP-SIM/AKAチャレンジとすることができ、HLR/HSSと通信する必要なしにUE1018に送信することができる。例えば、AP1021は、1010でAAA/RP1022からアクセスチャレンジを受信し、1011でUE1018のBA/CM1020にEAP要求を送信することができる。アクセスチャレンジおよびEAP要求は、EAP識別および/またはEAPチャレンジを含むことができる。EAP-要求/チャレンジメッセージを受信すると、UE1018は、メッセージの有効性を確認し、および/またはEAP鍵1025を使用してレスポンスを生成することができる。例えば、UE1018は、UE1018上のセキュアな環境例えば、信頼できる処理モジュール、UICC、SIM、スマートカード等にチャレンジを送信し、セキュアな環境はEAP鍵1025を使用してEAPレスポンスを生成することができる。UE1018は、1012でAP1021にEAPレスポンスを返すことができる。EAPレスポンスは、EAP識別および/または共有鍵1025から生成されたEAP鍵1025を含むことができる。1013で、AP1021は、EAP-レスポンス/チャレンジメッセージをAAA/RPサーバ1022に転送することができる。AAA/RPサーバは、メッセージの有効性を確認し、導出されたEAP鍵1025に基づいて、受信したレスポンスを予想されるレスポンスと比較することができる。AAA/RPサーバ1022で行われる認証検査が合格すると、AAA/RPサーバ1022は1014で認証成功の通知をAP1021に送信することができる。例えば、AAA/RPサーバ1022は、EAP成功および鍵材料を含むアクセス受付けメッセージをAP1021に送信することができる。認証成功の通知は1015でUE1018に転送することができる。成功した認証が行われると、UE1018のステータスは、AP1021で通信を許可された状態になることができる。UE1018は、1016でIPアドレスを取得し例えばDHCPを使用して、1017でAP1021を使用してWLANを通じてインターネットにアクセスすることができる。図10に示すプロトコルフローまたはその一部を使用すると、ホットスポットのAAAサーバ1022は、EAPプロトコルを使用した認証を行うためにMNOHLR/HSSに接続せずに済む。また、ローカルOP1019の使用により、UE1018がEAP処理のためのローカルな鍵の生成を行うことが可能となり、またローカルのユーザ認証も可能となる。図11は、RPとして機能するAAAサーバ1121を使用するEAPとOpenIDとの統合を説明する別の流れ図である。AAA/RP1121は、UE1018からのサービス要求の前に、既知のOPサーバとの関連付けの事前読み込みを開始することができる。図11に示すように、UE1117および/またはそのユーザは、UE1117、AP1120、AAA/RPサーバ1121、および/またはOPサーバ1122間の通信を使用して、サービスへのアクセスのために認証を受けることができる。図11に示す例示的実施形態によると、UE1117はローカルOP1118を使用してローカル認証と、UE1117のOpenID署名鍵1123からのEAP鍵1124の鍵生成を行うことができる。また、図11に示す実施形態では、UE1117がAAA/RPサーバ1121に対して認証する前に、OpenIDの識別子選択モードを使用してAAA/RPサーバ1121とOPサーバ1122との間の関連付けを設定することができる。これにより、OPサーバ1122とAAA/RPサーバ1121との間の関連付けを事前に確立しておくことにより、OPの発見を回避することが可能となる。その結果、例えばUE1117などのUEがアクセスネットワークに移動する際にSSO手順を完了するのに要する時間が短縮され、ネットワークのハンドオフをユーザに対してシームレスにすることが可能になる。例示的実施形態によると、AAA/RPサーバ1121は、例えばOPサーバ1122など、既知のOPサーバとの間に複数の関連付けを開始することができる。AAA/RPサーバ1121は、例えばOpenIDの識別子選択モードを使用してそのような関連付けを開始することができるその場合は、完全な識別子URLの代わりにプロバイダのURLを使用することができ、プロバイダのURLは後にローカルOP1118によって完全にすることができる。AAA/RPサーバ1121は、OPサーバから取得した関連付けハンドルおよび関連付けの秘密を記憶することができる。AAA/RPサーバ1121によって行われる発見および関連付けの1つは、1101におけるOPサーバ1121の発見と関連付けを含むことができる。AAA/RP1121は、OPサーバ1122から受け取った関連付けハンドルおよび/または関連付けの秘密1123を記憶することができる。1102で、UEのローカルコンポーネント、例えばBA/CM1119が、APの識別の情報に基づいてAP1120を発見することができる。AP1120は、例えばアクセス層のシグナリングを介して特定することができる。この時点で、UE1117は、AP1120に関連付けられたネットワーク例えば、WLAN上では未許可クライアントである可能性がある。BA/CM1119は、UE1117がAP1120に接続すべきであると判断することができる。1103で、AP1120は、UE1117のIP層識別を要求することができる。UE1117は、1104で、自身のIP層識別および/または追加的な認証の情報をAP1120に返すことができる。AP1120は、1105でUE1117のIP層識別子をAAA/RPサーバ1121に送信することができる。UE1117のBA/CM1119は、1106でOpenIDのプロバイダURL、電子メールアドレス、または他のログイン識別子と共に例えば、識別子選択モードでAAA/RP1121に要求を送信することができる。AAA/RPサーバ1121は、事前に設定された関連付けハンドルおよび関連付け鍵の1つを選択することができる。例えば、AAA/RPサーバ1121は、UE1117から受け取ったログイン識別子に基づいて、OPサーバ1122との間で事前に設定された関連付けハンドルおよび関連付け鍵1123を選択することができる。AAA/RPサーバ1121は、その関連付け鍵1123からEAP鍵1124および/またはEAPチャレンジを導出することができる。EAP鍵1124は、例えば鍵導出機能または逆ブートストラップ手順を使用して関連付け鍵1123から導出することができる。AAA/RP1121は、1107で、認証のためにUE1117をローカルOP1118にリダイレクトすることができる。ローカルOP1118が配置されているので、認証をローカルOP1118にリダイレクトすることができる。このローカルOP1118へのリダイレクトは関連付けハンドルを含むことができるが、関連付けの秘密1123は含まなくてよい。UE1117および/またはBA/CM1119は、1108でローカルOP1118に対してローカルに認証することができる。ローカルOP1118へのリダイレクト要求は関連付けハンドルを含むことができ、ローカルOP1118はその関連付けハンドルを使用して、OPサーバ1122とAAA/RP1121との間で共有される関連付け鍵1123を導出することができる。ローカルOP1118およびネットワークOPサーバ1122は、署名鍵1123の導出に使用できる長期間の秘密を共有することができる。認証が成功して完了すると、ローカルOP1118は、署名鍵1123からEAP鍵1124を導出することができ、EAP鍵1124はAAA/RPサーバ1121でも導出される。EAP鍵は例えば鍵導出機能を使用して導出することができる。ローカルOP1118はEAP鍵1124を使用して、AAA/RPサーバ1121に送信する署名済みアサーションメッセージを生成することができる。AAA/RP1121は、生成したEAP鍵1124に基づくEAPチャレンジを生成し、HLR/HSSと通信する必要なしにそのEAPチャレンジをUE1117に送信することができる。例えば、アクセスチャレンジは1109でAAA/RP1121からAP1120に送信することができる。アクセスチャレンジはEAPIDおよび/またはチャレンジを含むことができる。1110で、AP1120は、AAA/RPサーバ1121から受信したEAPメッセージEAP-要求/チャレンジをBA/CM1119に送信することができる。EAP-要求/チャレンジメッセージを受信すると、UE1118はメッセージの有効性を確認し、EAP鍵1124を使用してレスポンスを生成することができる。UE1118はEAPチャレンジを高信頼環境例えば、信頼できる処理モジュール、UICC、SIM、スマートカード等に送信し、高信頼環境はEAP鍵1124を使用してEAPレスポンスを生成することができる。UE1117は、1111でレスポンスメッセージをAP1120に返すことができる。レスポンスメッセージは、EAPIDおよび/またはEAPレスポンスを含むことができる。1112で、AP1120はEAP-レスポンス/チャレンジメッセージをAAA/RPサーバ1121に転送する。AAA/RPはEAP鍵1124を使用して認証を行うことができる。AAA/RPサーバ1121で行われる認証検査が合格すると、AAA/RPサーバ1121は、1113で認証成功の通知を送信することができる。例えば、AAA/RPサーバ1121は、認証の成功を知らせるメッセージをAP1120に送信することができる。例えば、認証成功の通知は、EAP成功および鍵材料を含むことができる。認証成功の通知は、1114でUE1117に転送することができる。成功した認証が行われると、UE1117のステータスはAP1120上で許可の状態になることができる。UE1117は、1115でAP1120で通信するためのIPアドレスを例えば、DHCPを使用して取得し、1116でAP1120を使用してインターネットにアクセスすることができる。図12は、AAAサーバ1218をOPサーバとして実装する認証プロトコルを説明する流れ図である。図12に示す流れ図は、UE1216、AP1217、およびAAA/OPサーバ1218を使用して実施することができる。AP1217は、ホットスポット、または例えばWLANネットワークを通じて通信可能な他のノードとすることができる。ホットスポットのAAAサービスにOPサーバの機能を組み込むことにより、例えば3GPPネットワークとWLANネットワークとの間など、ネットワーク間のシームレスな認証および/またはサービスの継続性の支援を可能にすることができる。AAA/OPサーバ1218は、UE1216および/またはAAA/OPサーバ1218上の事前に生成された鍵1219を使用して、WLANネットワークを通じてサービスにアクセスするための認証を行うことができる。例示的実施形態によると、事前に生成された鍵1219はアプリケーション層の認証情報である。図12では3GPPネットワークとWLANネットワークとの間のシームレスな認証および/またはサービスの継続性のためのネットワーク通信を説明するが、同様の通信を他の種類のワイヤレスネットワーク間のシームレスな認証およびサービスの継続性に使用できることは理解されよう。本明細書に記載されるように、ユーザは、公衆のホットスポット例えば、AP1217で、AAAサーバ1218に組み込まれたOPモジュールに対してシームレスに認証されることができる。一実施形態によると、AAA/OPサーバ1218を使用して認証を行って、UE1216および/またはAAA/OPサーバ1218で導出された鍵1219を活用して認証例えば、EAP-SIM/AKA認証を完了することができる。アクティブな3GPP接続を使用して、WLANネットワークで認証するための認証メッセージ例えば、OpenID認証メッセージを交換することができる。図12に示すように、UE1216は、1201で、3GPPアクセスネットワークを通じてAAA/OPサーバ1218に対する認証を成功させて完了することができる。3GPPアクセスネットワークを通じた認証プロトコル時に、共有鍵1219をUE1216および/またはAAA/OPサーバ1218で確立することができる。1202で、UEのローカルコンポーネント例えば、CMがAPの識別の情報に基づいてAP1217を発見することができる。AP1217の識別の情報は例えばMNO-WiFiSSIDである。AP1217は、例えばビーコンチャネルなどのアクセス層のシグナリングを介して発見することができる。UE1216のローカルコンポーネント例えば、CMは、UE1216がそのホットスポットに切り替わるべきであると判断することができる。AP1217例えば、認証者は、1203で、UE1216のIP層識別を求めるEAP要求を発行することができる。UE1216は、1204で自身のIP層識別および/または追加的な認証の情報をAP1217に返すことができる。例えば、UE1216は自身の移動加入者識別番号IMSIを返すことができる。追加的な認証の情報は領域を含むことができる。領域は、SSO認証を使用するためのヒント例えば、IMSIsso.MNO.comを含む。例示的実施形態によると、UE1216は、IMSIの先頭にビット0または1を付加して、それぞれEAP-AKA手順を使用するのか、またはEAP-SIM手順を使用するのかをサーバに示唆すること等により、UE1216の認証能力の発見を支援する追加的情報を提供することができる。AP1217は、1205で、EAPID例えば、アクセス層識別をAAA/OPサーバ1218に送信することができる。AAAサーバ1218のOP機能が、1206で、UE1216と共有される、事前に生成された鍵1219に基づいてチャレンジを生成することができる。例えば、AAA/OPサーバ1218は、アクセス層の認証で使用するセッション鍵を導出することができる。セッション鍵は、例えば鍵導出機能または汎用的なブートストラップ手順を使用して導出することができる。AAA/OPサーバ1218は再認証手順を使用して、EAP-SIM/AKAチャレンジメッセージでUE1216にチャレンジを送信することができる。例えば、AP1217は、1207で、共有鍵1219から生成されたセッション鍵および/またはAAA/OPサーバ1218からのEAPIDを含むEAPメッセージを受信することができる。次いで、AP1217は、AAA/OPサーバから受信したEAPメッセージEAP-要求/チャレンジを1208でUE1216に転送することができる。EAP-要求/チャレンジメッセージを受信すると、UE1216はセッション鍵を使用して認証を行うことができる。UE1216は、UE1216に常駐するセキュアな環境例えば、信頼できる処理モジュール、UICC、SIM、スマートカード等にチャレンジを送り、セキュアな環境は1209でAAA/OPサーバ1218との共有鍵1219を使用してEAPレスポンスを生成することができる。例えば、EAPレスポンスメッセージは、共有鍵1219から生成されたレスポンスを含むことができる。UE1216は、1210で、再認証手順に基づいて、AP1217へのレスポンスでEAPメッセージをAP1217に返すことができる。EAPメッセージは、EAPIDおよび/または共有鍵1219を使用して生成されたレスポンスを含むことができる。1211で、AP1217は、EAP-レスポンス/チャレンジメッセージをAAA/OPサーバ1218に転送することができる。AAA/OPサーバは、メッセージの有効性を確認し、および/またはEAP-レスポンス/チャレンジメッセージで受信したレスポンスを予想されるレスポンスと比較することができる。AAA/OPサーバ1218で行われる検査に合格すると、AAA/OPサーバ1218は、AP1217を介して認証成功の通知をUE1216に送信することができる。例えば、AAA/OPサーバ1218は、1212でEAPの成功および/または鍵材料を含むアクセス受付けメッセージをAP1217に送信することができる。EAP成功メッセージは1213でUE1216に転送することができる。認証が成功すると、UE1216のステータスがAP1217で許可の状態になることができる。UE1216は、1214でAP1217からIPアドレスを例えばDHCPを使用して取得し、1215でWLANネットワークを通じてインターネットにアクセスすることができる。本明細書に記載されるように、UE1216とAAA/OPサーバ1218との間で共有認証情報1219を生成することができる。共有認証情報は、例えば別のネットワークにおける認証中または認証後に確立することができる。UE1216は、AAA/OPサーバ1218に対して認証することができ、AAA/OPサーバ1218は共有認証情報1219を使用してアサーションに署名し、アサーションはRPに送信され、次いで共有認証情報1219を使用してRPによって検証される。認証例えば、OpenID-AKAを使用するが成功すると、UE1216とAAA/OP1218との間の認証で共有認証情報1219を生成することができる。AAA/OP1218とUE1216との間で共有認証情報1219が生成されると、別のエンティティがEAPの認証情報をUE1216に例えば、CMに送付することができる。本明細書に記載の実施形態は、複雑なMAP/DiameterインタフェースをホットスポットのAAAサーバで実装する必要、またはAVフェッチングのためにMNOHLR/HSSとインタフェースを取り、通信する必要をなくすことができる。また、3GPPとWLANホットスポットとの間のシームレスな認証およびサービスの継続性を可能にすることができる。図12に示すように、ホットスポットのAAAサーバ1218にOPモジュールを実装することができる。ホットスポットのAAAサーバにOPを組み込む代替として、またはそれに加えて、MNOAAAサーバにOP機能を実装し、ホットスポットのAAAサーバがAAAプロキシとして機能し、要求をMNOAAAサーバに中継することもできる。図13は、OpenIDメッセージをEAPプロトコルメッセージに組み込むためのプロトコルフローの例示的実施形態を示す。このプロトコルフローまたはそれに同様のプロトコルフローを実装して、例えば図11および図12に示すネットワーク通信の一部を可能にすることができる。図13に示すように、UE1316、AP/RP1317、および/またはOPサーバ1318が通信を行って、ネットワークにおけるUE1316の認証を可能にすることができる。UE1316は、1301でAP/RP1317に関連付けられたアクセスネットワークを発見することができる。この時点で、UE1316は、ネットワーク上の通信を許可されていない可能性がある。1302で、AP/RP1317は、EAPID例えば、アクセス層識別の要求を送信することができる。UE1316は、1303で、AP1317へのEAPレスポンスでOpenID識別子を送信することができる。OpenID識別子を使用して、1304で、AP1317は、OPサーバ1318の発見および/またはOPサーバ1318とのOpenIDプロトコルの関連付けのステップを行うことができる。発見および/または関連付けを行うために、AP1317は、OpenIDメッセージ例えば、OpenID識別子をEAPプロトコルからアンラップunwrapし、HTTPSを介してOPサーバ1318と通信することができる。OpenIDプロトコルでの関連付けの確立は任意であってよい。関連付け後、OPサーバ1318は1305でチャレンジを生成し、AP1317は1306でOPサーバ1318からOpenIDチャレンジを受信することができる。AP1317は、1307でEAP要求OpenIDプロトコルのOpenIDリダイレクトに対応するをUE1316に送信することができる。ローカルOPの助けを借りて、UE1316は、1308で適切なレスポンスを生成し、1309でEAPレスポンスを署名済みのOpenIDアサーションと共にAP1317に送信することができる。AP1317がOPサーバ1318との関連付けを確立している場合は、AP1317は、アサーション署名を自律的に検証し、したがってUE1316を認証し、権限を付与することができる。事前に関連付けが確立されていない場合は、AP1317は、例えば1310で、ステートレスモードを使用してOPサーバ1318による署名の検証を要求することができる。OPサーバ1318で認証が成功した場合、OPサーバ1318は、1311でOpenIDメッセージを識別および認証アサーションと共にAP/RP1317に送信することができる。AP/RP1317は、1312でUE1316に認証の成功を通知し、1313でUEはAP/RP1317を介してサービスを許可されることができる。1314で、UE1316はAP/RP1317からIPアドレスを取得し例えば、DHCP要求を介して、1315でWLANネットワークを通じたインターネットアクセスを許される。ステートレスモードは、AP1317とOPサーバ1318とがすでに関連付けを確立している場合でも、ローカルOPによって強制することができる。ローカルOPは、アサーションメッセージ中にinvalidate_handleのフィールドを設定し、新しい関連付けハンドルを作成することができる。次いで、AP1317は、署名の検証のためにOPサーバ1318に戻ることができる。ローカルOPが配置され、アサーションを発行する場合でも、OpenIDの動作を使用してAP1317からOPサーバ1318へのフィードバック機構をトリガすることができる。関連付けが使用されており、無効にされない場合は、OPサーバ1318へのフィードバックはなくてよい。本明細書に記載の実施形態は、例えば何らかの支払いシナリオおよび/またはプライバシーを可能にすることができる。例示的実施形態によると、サービスのためのユーザ認証は、EAPプロトコルのAVフェッチングのためにAPとMNOのAAAサーバとの間に接続を確立することによって行うことができる。OpenIDを実装することにより、APとMNOネットワークとの間に追加的な抽象化層を作り出すことができる。OPは、ネットワークの認証基盤に対してプロキシとして機能し、APに接続されたネットワークAVへの直接のアクセスを与えることなく、ネットワーク認証情報に基づいてUEを認証することができる。OPが認証点として機能するので、APのロジックを減らしてOpenIDのアサーションを検証することができる。OpenIDを使用すると、APでAVを扱う必要がなくなる。また、APがMNOの基盤への直接の接続を有する必要がないため、OPが、異なるAP事業者の複数のAPに対応することができる。OPは、トランザクションの認証者としても機能することができるこれは、例えばローカルOPを含むことができる。これにより、AP事業者に対してはMNOのバックエンドを介した課金および/または利益/特典の支払いを可能にすることができる。したがって、複数のMNOが同じOPを使用することができる。複数のAP提供者も同じOPを使用することができる。その結果、例えばスター型のアーキテクチャとなる。本明細書に記載の実施形態では、汎用的なブートストラップ手順などの鍵導出機能を使用することができる。例えば、汎用ブートストラッピングアーキテクチャGBAを実装することができる。GBAの例示的実施形態の1つが、3GPP技術仕様TS33.220に記載される。ただし、GBAはUICCによる認証情報に制限される場合がある。本明細書に記載の実施形態は、UICCによる認証情報および/または非UICCの認証情報を使用して実装することができる。GBAは、ブートストラップおよび認証を行うためのUE-BSFとUE-NAF間のIP接続にも制限される場合がある。その結果、GBAでは、例えばMobileIPなどのシームレスな移動性プロトコルを中断させる可能性がある。MobileIPでは、IP層またはそれより下位層での認証を使用して、切替えと、WLANインタフェースなどの新しいインタフェースの立ち上げおよびホームエージェントHAへの登録を行うことができる。IP層におけるMobileIP登録とアプリケーション層におけるGBAによるブートストラップとの間の競合状態は、移動性を破綻させ、MIP登録を失敗させ、その結果WLANネットワークへの切替えが失敗する可能性がある。EAPとGBAの統合の選択肢を使用して、例えばGBAに基づくデュアルモード装置の場合の3GPPとWLANネットワークとの間の移動性の問題を解決することができる。GBA認証は、既存の3GPPインタフェースを通じて行うことができる。GBA認証の結果例えば装置に記憶されたKs_NAFを使用して、ホットスポットでEAP認証を完了することができる。移動性の問題は、例えば、3GPPインタフェースを介してGBA認証のためのIP接続性を提供すること、およびGBAとEAPの統合を使用することによってGBAで解決することができる。図14は、OpenIDConnectを使用したサービスのためのUE1421の認証を説明する流れ図である。図14に示すように、UE1421は、アクティブなワイヤレス接続例えば、3GPP接続を有することができ、その接続を通じてAAA/RPサーバ1425および/またはOPサーバ1426に到達することができる。1401で、UE1421は、AAA/RPサーバ1425にOpenIDConnectログインを行い、AAA/RPサーバ1425はアクセストークンを作成することができる。アクセストークンは1402でBA1422によって保存またはOSによって保存されることができる。UEのローカルコンポーネント、例えばCM1423が、ビーコンチャネル等のアクセス層のシグナリングを介してAP1424およびMNO-WiFiSSIDなどのその識別の情報を発見することができる。CM1423は、UE1421がAP1424に接続すべきであると判断することができる。1403で、CMはAP1424にアタッチすることができる。AP1424例えば、認証者は、1404でUE1421の状態を未認証または未許可に設定することができる。1405で、AP1424は、UE1421のEAP/IP層の識別を求めるEAP要求を発行することができる。1406で、UE1421は、移動加入者識別番号IMSIおよび/または他の認証の情報を返すことができる。他の認証の情報は領域を含むことができ、領域は、例えばSSO認証を使用するためのヒント例えば、IMSIsso.MNO.comを含むことができる。1407で、AP1424は、UE1421から受け取ったEAPIDをAAA/RPサーバ1425に例えば、RADIUSアクセス要求を使用して送信することができる。1408で、AAA/RPサーバ1425は、受け取ったEAPIDに基づいてまたは受け取ったEAPIDを使用してデータベースを検索することにより、UE1421がOpenIDConnectに基づくフローを使用できることを検出することができる。AAA/RPサーバ1425は、1409でAP1424にEAP-SIM/AKAチャレンジを送信し、OpenIDConnectをEAPプロトコルで使用すべきことを知らせることができる。AP1424は、AAA/RPサーバ1425から受信したEAPメッセージEAP-要求/チャレンジをUE1421に例えば、CM1423に送信することができる。EAP-要求/チャレンジメッセージを受信すると、1411で、UE1421はメッセージ中の認証パラメータを調べ、BA1422にトークンを要求することができる例えばBAは代わりにOSまたはAPIであってもよい。1412でアクセストークンをCM1423に返すことができる。1413で、CM1423は、アクセストークンをEAPメッセージでAP1424に送信することができる。AP1424は、1414で、EAPレスポンス/チャレンジメッセージをAAA/RPサーバに転送することができる。AAA/RPサーバ1425は、1415で、トークンを検証し、OPサーバ1426からのユーザ情報エンドポイントと共にトークンを使用して、OPサーバ1426から認証用のユーザ情報を取り出すことができる。OPサーバ1426は、ユーザ情報を公開する前にトークンの有効性を確認することができる。AAA/RPサーバ1425は、1417でユーザ情報を受け取ることができる。ユーザ情報は、例えばユーザ名、住所、課金情報、および/または課金トークンを含むことができる。AAA/RPサーバ1425は、1417で、受信したユーザ情報に基づいて認証の検査を行うことができる。すべての検査が合格すると、AAA/RPサーバは、認証成功の通知をUE1421に送信することができる。例えば、AAA/RPサーバ1425は、1418で、EAP成功および鍵材料を含むアクセス受付けメッセージをAP1424に送信することができる。EAP成功メッセージは、1419でUE1421に転送することができる。1420で、UE1421のステータスが、AP1424でネットワーク上でアクセスを許可された状態になる。UE1421は、IPアドレスを取得し例えばDHCPを使用して、AP1424を介してインターネットにアクセスすることができる。図15は、OpenIDConnectおよびローカルOPを使用した、サービスのためのUE1520の認証を説明する流れ図である。図15に示すように、UE1520のローカルコンポーネント、例えばCM1522がAP1524、および/またはその識別の情報を発見することができる。AP1524および/またはその識別の情報はMNO-WiFiSSIDを含むことができ、例えばビーコンチャネルなどのアクセス層のシグナリングを介して発見することができる。CM1522は、UE1520がAP1524に接続すべきであると判断することができる。1501で、UE1520はAP1524にアタッチすることができる。AP1524例えば、認証者は、1520でUE1520の状態を通信について未認証または未許可の状態に設定することができる。AP1524は、1503でUEのIP層/EAP識別を求めるEAP要求を発行することができる。UE1520は、1504で自身のIP層/EAP識別子を返すことができる。例えば、UE1520は、移動加入者識別番号IMSIおよび/または追加的な認証の情報を返すことができる。追加的な認証の情報はUEの領域を含むことができ、領域は、例えばSSO認証を使用するためのヒント例えば、IMSIsso.MNO.comを含むことができる。AP1524は、1505でEAPIDをAAA/RPサーバ1525に送信することができる。AP1524とAAA/RPサーバ1525との間の通信は、例えばアクセス要求メッセージ、アクセスチャレンジ、および/またはアクセス受付けメッセージなどのRADIUSメッセージを使用して行うことができる。1506で、AAA/RPサーバは、受け取ったEAP識別に基づいて、UE1520がOpenIDConnectに基づくフローを使用できることを検出することができるまたは例えば受け取ったEAP識別を使用してデータベースを検索することにより。AAA/RPサーバは、1507でEAP-SIM/AKAチャレンジをAP1524に送信することができる。このチャレンジは、OpenIDConnectをEAPプロトコルで使用することを指示することができる。指示は、AP1524および/またはEAPプロトコルに対して透過にすることができる。指示に代えて、AAA/RPサーバ1525は、OpenIDConnect要求オブジェクト例えば、JSONを作成し、要求中に指示子URLを入れてもよい。1508で、AP1524は、AAA/RPサーバ1525から受信したEAPメッセージEAP-要求/チャレンジをUE1520に例えば、CM1522に送信することができる。EAP-要求/チャレンジメッセージを受信すると、1509で、UE1520は認証パラメータを調べることができ、OpenIDConnect要求オブジェクトを使用して、ローカルOP1521とのOpenIDConnectセッションを開始する。ローカルOP1521は、1510でアクセストークンを作成することができる例えばローカルのユーザ認証が成功した後に。1511で、アクセストークンをCM1522に返すことができる。1512で、CM1522は、アクセストークンをEAPメッセージでAP1524に送信することができる。AP1524は、EAP-レスポンス/チャレンジメッセージをAAA/RPサーバ1525に転送することができる。AAA/RPサーバ1525は、1514でトークンを検証し、トークンをOPサーバ1526からのユーザ情報エンドポイントと共に使用して、認証用のユーザデータを取り出すことができる。1515で、OPサーバ1526は、トークンの有効性を確認してから認証用のユーザ情報を公開することができる。AAA/RPサーバ1525は、1516でユーザ情報を受信することができる。ユーザ情報は、例えばユーザ名、住所、課金情報、および/または課金トークンを含むことができる。AAA/RPサーバ1525は、1516で受け取ったユーザ情報を使用してユーザの認証を行い、検査が合格であると、AAA/RPサーバ1525は1517で認証成功の通知をUE1520に送信することができる。例えば、AAA/RPサーバ1525は、EAP成功メッセージおよび/または鍵材料を含むことが可能なアクセス受付けメッセージをAP1524に送信することができる。EAP成功メッセージは、1518でUE1520に例えばCM1522に転送することができる。UE1520のステータスは、1519でAP1524において許可の状態になることができる。UE1520は、例えばDHCPを使用してIPアドレスを取得し、AP1524を介してインターネットにアクセスすることができる。上記では特定の組合せで特徴および要素について説明したが、当業者は、各特徴または要素は単独で、または他の特徴および要素との任意の組合せで使用可能であることを認識されよう。また、本明細書に記載の方法は、コンピュータまたはプロセッサによる実行のためにコンピュータ可読媒体に組み込まれた、コンピュータプログラム、ソフトウェア、またはファームウェアにて実装することができる。コンピュータ可読媒体の例は、電子信号有線または無線接続を通じて伝送される、およびコンピュータ可読記憶媒体を含む。コンピュータ可読記憶媒体の例は、これらに限定されないが、読み出し専用メモリROM、ランダムアクセスメモリRAM、レジスタ、キャッシュメモリ、半導体メモリ装置、内蔵ハードディスクや取外し可能ディスクなどの磁気媒体、光磁気媒体、およびCD-ROMディスクやデジタル多用途ディスクDVDなどの光学媒体を含む。ソフトウェアと関連したプロセッサを使用して、WTRU、UE、端末、基地局、RNC、または任意のホストコンピュータで使用するための無線周波トランシーバを実装することができる。"