JP2012505436A

JP2012505436A - ゲートウェイ装置、認証サーバ、その制御方法及びコンピュータプログラム

Info

Publication number: JP2012505436A
Application number: JP2011504264A
Authority: JP
Inventors: ヨハンイェルム，; 剛志松村; 慎吾村上; 稔周小田
Original assignee: テレフオンアクチーボラゲットエルエムエリクソン（パブル）
Priority date: 2008-10-10
Filing date: 2008-10-10
Publication date: 2012-03-01
Anticipated expiration: 2028-10-10
Also published as: US20110188508A1; US8472388B2; EP2335179A1; EP2335179A4; WO2010041347A1; JP5325974B2

Abstract

本発明の１つの態様は、ユーザ端末と通信可能で、ゲートウェイ装置と認証サーバとの間のＧＢＡ認証をユーザ端末に提供可能なゲートウェイ装置を提供する。ゲートウェイ装置は、ゲートウェイ装置のネットワークアドレスにアドレス指定されたＨＴＴＰ要求をユーザ端末から受信するように動作可能な受信ユニットと、ＨＴＴＰ要求の受信に従って認証サーバに対してＧＢＡ認証を要求するように動作可能な要求ユニットと、ＧＢＡ認証の後に認証サーバから事前に受信した認証サーバのネットワークアドレスを使用してＨＴＴＰ要求を認証サーバに送信するように動作可能な送信ユニットとを備える。
【選択図】図２

Description

本発明は、ゲートウェイ装置、認証サーバ、その制御方法及びコンピュータプログラムに関する。

ＯｐｅｎＩＤは、インターネットユーザが単一のデジタルＩＤを使用して多くの異なるウェブサイトにログインすることを可能にし、それによりサイト毎の異なるユーザ名及びパスワードを不要にする共有ＩＤサービスである。ＯｐｅｎＩＤ有効サイトを使用する時、ユーザは、通常はウェブサイト毎に異なるユーザ名及びパスワード等の従来の認証証明書を覚えておく必要がない。その代わり、ユーザは、ＨＴＴＰＵＲＬの形式で一意のＩＤをユーザに割り当てるＯｐｅｎＩＤ「ＩＤプロバイダ」（ＩｄＰ）に登録されていればよい。ユーザは、ＩＤを使用するだけで全てのＯｐｅｎＩＤ有効サイトにサインインできる。

特に、本発明に関連するＯｐｅｎＩＤ規格に規定される項目が３つある。

識別子：例えばhttp://example.com/SmithであるＩｄＰによりユーザに割り当てられた一意のＨＴＴＰＵＲＬ。

消費者：ユーザがＯｐｅｎＩＤ識別子を使用してウェブサイトにサインインすることを可能にし且つユーザが請求した識別子を所有することの証明を要求するインターネットサービスプロバイダ。

ＩｄＰ：ユーザに識別子を割り当て且つ消費者の代わりにユーザを認証するＩＤプロバイダ。

図１Ａは、ＯｐｅｎＩｄアーキテクチャにおけるエンティティ間の高レベル関係を示す。ユーザ１０１は、サインイン消費者（＝インターネットサービスプロバイダ）１０３に対して自身の識別子を請求する。消費者１０３は、受信した識別子を使用してユーザ１０１の認証を対応するＩｄＰ１０２に委任する。ＩｄＰ１０２は、消費者１０３の代わりにユーザ１０１を認証する。これにより、消費者１０３がＯｐｅｎＩＤ識別子を受け付け且つ実際のユーザ認証をＩｄＰ１０２に委任するため、リバティ・アライアンスと同様に、シングルサインオンが可能である。

図１Ｂは、ＯｐｅｎＩＤ認証の高レベルフローを示す。尚、消費者１０３とＩｄＰ１０２との間でユーザを介してやり取りされたメッセージがセキュリティ上安全に検証されるように消費者１０３及びＩｄＰ１０２が共有秘密に関して同意しているという点でそれらの間には信頼関係があると仮定される。

ステップＳ１０１において、ウェブブラウザのユーザは、消費者ウェブサイトに接続し且つ例えば「http://example.com/Smith」である自身のＯｐｅｎＩＤ識別子を入力フォームに入力する。

ステップＳ１０２において、消費者１０３は、ＯｐｅｎＩＤ識別子に従ってＵＲＬにより指定されたウェブページを取り出す。ウェブページは、対応するＩｄＰエンドポイントＵＲＬを指し示す「openid.server」によりタグ付けされたリンク参照を含む。例えば、＜link ref="openid.server" href="http://example.com/openid-auth"/＞は取り出したウェブページのＨＴＭＬ＜header＞に提供される。ここで、「http://example.com/openid-auth」はＩｄＰエンドポイントＵＲＬを表す。

ステップＳ１０３において、消費者１０３は、ブラウザをそのＩｄＰエンドポイントＵＲＬにリダイレクトする。ステップＳ１０４において、ユーザ１０１により使用されるユーザ端末において、ある認証セッションがＩｄＰ１０２とブラウザとの間で開始する。例えばＩｄＰ１０２は、パスワード入力フォームをブラウザに送出する。尚、ＯｐｅｎＩＤ規格は、ユーザ１０１がＩｄＰ１０２により認証される方法を指定しないが、ＩｄＰ１０２は好適な認証方法を選択できる。

ステップＳ１０５において、ユーザ認証が成功した後、ブラウザは元の消費者１０３に再度リダイレクトされる。リダイレクト要求は、ＩｄＰ１０２により署名された認証結果を含む。消費者１０３はこれを検証して、ユーザが正常に認証されたことを認識する。

ＯｐｅｎＩＤは、大きなサイトの間で益々受け入れられてきており、複数の組織がＯｐｅｎＩＤＩｄＰとしての役割を果たしている。

加入者がＭＳＩＳＤＮ（移動加入者ＩＳＤＭ番号）及びＩＭＰＵ（ＩＭＳパブリックユーザＩＤ）のような従来のテレコムＩＤに加えてインターネットドメインで使用可能なＯｐｅｎＩＤ識別子である追加のユーザＩＤを取得できるように、テレコムオペレータが加入者にＯｐｅｎＩＤＩｄＰサービスを提供することは一般的になるだろう。

ＩｄＰに対するパスワードを用いたユーザ認証に依存するインターネットサービスプロバイダにより提供される既存のＯｐｅｎＩＤＩｄＰサービスと比較すると、テレコムオペレータにより運営されるＯｐｅｎＩＤＩｄＰの１つの可能な利点は、例えば３ＧＰＰＴＳ３３．２２−Ｖ７．３．０（２００６年３月）「ＧｅｎｅｒｉｃＡｕｔｈｅｎｔｉｃａｔｉｏｎＡｒｃｈｉｔｅｃｔｕｒｅ；ＧｅｎｅｒｉｃＢｏｏｔｓｔｒａｐＡｒｃｈｉｔｅｃｔｕｒｅ」で規定されるＧＢＡ（汎用ブートストラップアーキテクチャ）を使用することによるＳＩＭ証明書に基づくセキュリティ上より安全なユーザ認証機構である。この場合、テレコムオペレータは、ホーム加入者サーバ（ＨＳＳ）に格納されてもよいＯｐｅｎＩＤ識別子と関連付けられたＩＭＳプライベートＩＤ（ＩＭＰＩ）等の加入者の認証ＩＤを関連付けるためのテーブルを有する。

図１Ｃは、移動ハンドセット１１１が消費者１０３によりＩｄＰ１０２に制限される場合にＧＢＡ認証されたＨＴＴＰセッション１１２を確立する（３ＧＰＰＴＳ２４．１０９Ｖ７．３．０（２００６年６月）「Ｂｏｏｔｓｔｒａｐｐｉｎｇｉｎｔｅｒｆａｃｅ（Ｕｂ）ａｎｄｎｅｔｗｏｒｋａｐｐｌｉｃａｔｉｏｎｆｕｎｃｔｉｏｎｉｎｔｅｒｆａｃｅ（Ｕａ），Ｐｒｏｔｏｃｏｌｄｅｔａｉｌｓ」で指定されるようなＨＴＴＰダイジェスト及び／又はＴＬＳを使用して）機構を示す。このＧＢＡ認証１１２がユーザ対話なしで黙示的に実行されるため、ユーザはオペレータ１０２により与えられたＯｐｅｎＩＤ識別子に対応するパスワードを覚えておくことも入力することも必要ない。

「ＩＰマルチメディアサブシステム」（ＩＭＳ）と呼ばれるネットワークアーキテクチャは、パケットドメインにおいてマルチメディアサービス及びセッションを処理するオープン標準として第３世代パートナーシッププロジェクト（３ＧＰＰ）により開発された（ＩＭＳに関する詳細については、http://www.3gpp.org/ftp/Specs/html-info/22173.htmを参照）。現在、ＩＭＳ標準に準拠する種々の通信端末及びデバイス（以下においてＩＭＳ端末と呼ばれる）が既知である。ＩＭＳ端末の一般的な一例は、ＩＭＳ機能性を有する移動電話である。パーソナルコンピュータ（ＰＣ）又はパーソナルデジタルアシスタント（ＰＤＡ）等は、ＩＭＳ機能性を備える場合にＩＭＳ端末としての役割を果たすことができる。ＩＭＳ端末は、例えばＩＭＳネットワークを介してビデオストリーミングサーバからビデオストリーミングを受信することによりマルチメディアサービスを提供できる。

国際公開第ＷＯ２００６／０４５７０６号は、デスクトップＰＣ及びラップトップＰＣ等のＩＭＳ機能性を有さない非ＩＭＳ端末がＩＭＳネットワークを介してサービスにアクセスできるようにする「ホームＩＭＳゲートウェイ」（ＨＩＧＡ）と呼ばれるマルチメディアゲートウェイを開示する。ＨＩＧＡの場所は、少なくとも１つのユーザ端末が接続されるプライベートネットワークにおいて特定される。ＨＩＧＡは、「セットトップボックス」（ＳＴＢ）、「レジデンシャルゲートウェイ」（ＲＧｗ）及び種々のホームデバイス上で実現される。

ＨＩＧＡに接続されたユーザ端末のユーザがＯｐｅｎＩＤ識別子を使用してインターネットサービスにサインインできるが、その一方でＩｄＰ（＝ＩＭＳオペレータ）に対する実際のユーザ認証がＨＩＧＡのＩＳＩＭ証明書に基づいてＧＢＡを介して実行されるシステムを提供するのが望ましい。

本発明の第１の態様によると、ユーザ端末と通信可能なゲートウェイ装置であり、ゲートウェイ装置と認証サーバとの間のＧＢＡ認証をユーザ端末に提供可能なゲートウェイ装置であって、ゲートウェイ装置のネットワークアドレスにアドレス指定されたＨＴＴＰ要求をユーザ端末から受信する受信ユニットと、ＨＴＴＰ要求の受信に従って認証サーバに対してＧＢＡ認証を要求する要求ユニットと、ＧＢＡ認証の後、認証サーバから事前に受信した認証サーバのネットワークアドレスを使用してＨＴＴＰ要求を認証サーバに送信するように動作可能な送信ユニットとを備えるゲートウェイ装置が提供される。

本発明の第２の態様によると、サービスプロバイダサーバに対して加入者認証サービスを提供するためにネットワークに接続された認証サーバであって、認証されるユーザの第１の識別子により指定されたウェブページを要求するウェブページ要求を受信する受信ユニットと、第１の識別子に対応するゲートウェイ装置のネットワークアドレスを取得する取得ユニットと、サービスプロバイダサーバに対してゲートウェイ装置のネットワークアドレスを含むウェブページを送信する送信ユニットと、ゲートウェイ装置が認証サーバに関連するネットワークオペレータの加入者であるかどうかを認証するＧＢＡ認証ユニットとを備え、受信ユニットは、認証されるユーザの第１の識別子を含むＨＴＴＰ要求をＧＢＡ認証の後にゲートウェイ装置から受信し、認証サーバは、ＧＢＡ認証の後に受信した第１の識別子がゲートウェイ装置に割り当てられた識別子により識別されるか否かを検証する検証ユニットを更に含む認証サーバが提供される。

本発明の更なる特徴は、添付の図面を参照して例示的な実施形態の以下の説明を読むことにより明らかとなるだろう。

ＯｐｅｎＩＤアーキテクチャにおけるエンティティ間の高レベル関係を示す図である。ＯｐｅｎＩＤ認証の高レベルフローを示す図である。移動ハンドセット１１１がＧＢＡ認証されたＨＴＴＰセッション１１２を確立する機構を示す図である。本発明の一実施形態に係る例示的なシステムを示す図である。本発明の実施形態の１つの態様に係る例示的なＩＭＳゲートウェイ２０１を示す図である。本発明の実施形態の１つの態様に係る例示的なユーザ端末２０２を示す図である。本発明の実施形態の１つの態様に係る例示的な認証サーバ２１２を示す図である。本出願の１つの態様に従って、ＯｐｅｎＩＤを用いた認証を可能にするインターネットサービスにアクセスする時に家にいるウェブブラウザのユーザが認証される方法を説明する例示的なシーケンス図である。ＩＭＳゲートウェイ２０１と認証サーバ２１２とが自身のアドレスをやり取りする方法を説明する例示的なシーケンス図である。本発明の実施形態の１つの態様に係る例示的なＩＤテーブル３２３を示す図である。本出願の１つの態様に従って、ＯｐｅｎＩＤを用いた認証を可能にするインターネットサービスにアクセスする時に家にいるウェブブラウザのユーザが認証される方法を説明する例示的なシーケンス図である。

本発明の実施形態について、添付の図面を参照して説明する。以下に説明する各実施形態は、一般的な概念からより詳細な概念までの種々の概念を理解するのに有用である。

尚、本発明の技術範囲は請求の範囲により規定され、以下に説明する各実施形態により限定されない。更に、実施形態で説明する特徴の全ての組合せが必ずしも本発明に不可欠なものであるとは限らない。

図２は、本発明の一実施形態に係る例示的なシステムを示す。このシステムにおいて、ＩＭＳ（ＩＰマルチメディアサブシステム）ゲートウェイ（ＩＭＳＧＷ）２０１及びユーザ端末（ＵＴ）２０２は、レジデンシャルゲートウェイ（ＲＧＷ）２０３を介してＦＦＴＨ又はＤＳＬ等のブロードバンドアクセスネットワーク２２０にそれぞれ通信可能に結合される。ＩＭＳゲートウェイ２０１、ユーザ端末２０２及びＲＧＷ２０３は、ローカルエリアネットワーク（ＬＡＮ）２００を介して互いに通信可能に結合される。更にユーザ端末２０２は、ＩＭＳゲートウェイ２０１を使用してＩＭＳオペレータネットワーク２１０に通信可能に結合される。

ＩＭＳゲートウェイ２０１は、ユーザ端末２０２に対してＩＭＳゲートウェイ２０１と認証サーバ２１２との間のＧＢＡ認証を提供するためにＯｐｅｎＩＤ認証プロキシの機能を含む。ＩＭＳゲートウェイ２０１は、レジデンシャルゲートウェイ２０３に対応する機能を含んでもよい。ＩＭＳゲートウェイ２０１は、プライベートネットワークであるＬＡＮ２００に配置されるホームＩＭＳゲートウェイ（ＨＩＧＡ）として動作してもよい。

ユーザ端末２０２は、デスクトップコンピュータ、ラップトップコンピュータ、パーソナルデジタルアシスタンス（ＰＤＡ）、スマートフォン又は移動端末／移動電話等の汎用コンピュータであってもよい。ユーザ端末２０２が無線通信リンクを介して他のＵＴと通信する場合、通信リンクは、ＡＮＳＩ−１３６、ＧＳＭ（汎ヨーロッパデジタル移動通信システム）通信、ＧＰＲＳ（汎用パケット無線サービス）、ＥＤＧＥ（ＧＳＭ拡張向け高速データレート）、符号分割多元接続（ＣＤＭＡ）、広帯域符号分割多元接続（ＷＣＤＭＡ）、ＣＤＭＡ２０００、ＬＴＥ（Long Term Evolution）及びＵＭＴＳ（ユニバーサル移動通信システム）等の無線通信プロトコルに従ってもよい。

レジデンシャルゲートウェイ２０３は、ＩＭＳゲートウェイ２０１とユーザ端末及び外部ネットワーク２１０、２２０又は２３０上の外部サーバとの間の通信を可能にするゲートウェイ装置である。

ＩＭＳオペレータネットワーク２１０は、ホーム加入者サーバ／ブートストラップサーバ機能（ＨＳＳ／ＢＳＦ）２１１及び認証サーバ（ＯｐｅｎＩＤＩｄＰＧＢＡＮＡＦ）２１２を含む。

ＨＳＳ／ＢＳＦ２１２は、加入者関連情報（ユーザプロファイル）を含むマスタユーザデータベースを含む。ＨＳＳ／ＢＳＦ２１２は、３ＧＰＰプロトコルＡＫＡ（認証及びキー同意）に基づいてユーザ端末２０２とＨＳＳ／ＢＳＦ２１２との間の相互認証に対してアプリケーションに依存しない機能を提供する。

認証サーバ２１２は、本出願の実施形態に従って認証サービスを提供する。ＩＭＳオペレータは、認証サーバ２１２を有してもよく又は認証サーバ２１２を動作させてもよい。

ＩＭＳオペレータネットワーク２１０は、例えばＩＭＳアプリケーションサーバ（ＡＳ）及びコールセッション制御機能（ＣＳＣＦ）である通信のための更なるエンティティを含んでもよい。ＣＳＣＦは、プロキシＣＳＣＦ（Ｐ−ＣＳＣＦ）、問合せＣＳＣＦ（Ｉ−ＣＳＣＦ）及びサービングＣＳＣＦ（Ｓ−ＣＳＣＦ）等を含む。

サービスプロバイダサーバ２３１は、ユーザ端末２０２に特定のアプリケーションを提供し且つユーザがウェブサイトにサインインするのにＯｐｅｎＩＤ識別子を使用することを可能にするためにインターネット２３０に接続され、ユーザが請求した識別子を所有することの証明を要求する。

ユーザ端末２４１は、インターネット２３０に接続され、ネットワークを介してＩＭＳゲートウェイ２０１と通信できる。ユーザ端末２４１は、ユーザ端末２０２に対応して構成されてもよく、デスクトップコンピュータ、ラップトップコンピュータ、パーソナルデジタルアシスタンス（ＰＤＡ）、スマートフォン又は移動端末等の汎用コンピュータであってもよい。

図３Ａは、本発明の実施形態に係る例示的なＩＭＳゲートウェイ２０１を示す。例示的なＩＭＳゲートウェイ２０１は、ＩＳＩＭ／ＵＳＩＭ３０１、ＵＰｎＰ制御点（ＣＰ）３０２、ＳＩＰ登録ユニット３０３、ＳＩＰバックツーバックユーザエージェント（Ｂ２ＢＵＡ）３０４、ＯｐｅｎＩＤ認証プロキシ３０５、通信ユニット３０６、ＨＴＴＰウェブプロキシ３０７及びＧＢＡクライアント３０８を含む。

図３Ａにおいて、ＩＳＩＭ／ＵＳＩＭ３０１は、認証及びＩＭＳパブリックＩＤ（ＩＭＰＵ）に対する共有秘密等の各ＩＭＳゲートウェイがＩＭＳクライアントとして動作するのに必須の情報を格納する。ＵＰｎＰＣＰ３０２は、デバイス発見を実行し且つ発見したデバイスを制御する。ＵＰｎＰＣＰ３０２は、レジデンシャルゲートウェイ２０３においてポートマッピングを作成するためにＵＰｎＰＩＧＤ（インターネットゲートウェイデバイス）を含む。

ＳＩＰ登録ユニット３０３は、レジデンシャルネットワークのＳＩＰデバイスの登録を受け付け、その登録を管理する。ＳＩＰＢ２ＢＵＡ３０４は、ＩＭＳに対応してないＩＭＳゲートウェイに接続されたデバイスがＩＭＳオペレータネットワーク２１０にアクセスできるようにＩＥＴＦＳＩＰとＩＭＳＳＩＰとの間の変換を実行する。

ＯｐｅｎＩＤ認証プロキシ３０５は、ブラウザとＯｐｅｎＩＤＩｄＰとの間のＯｐｅｎＩＤユーザ認証手順をプロキシするＩＭＳゲートウェイ２０１内のアプリケーションである。ＯｐｅｎＩＤ認証プロキシ３０５は、ＩｄＰがＮＡＦとして動作しているためＧＢＡを使用してＯｐｅｎＩＤＩｄＰに対して認証される。

通信ユニット３０６は、ユーザ端末、認証サーバ２１２及びサービスプロバイダサーバ２３１と通信するためにＬＡＮ２００（ＵＰｎＰ及び／又はＳＩＰを使用する）に通信可能に結合するためのインタフェースである。

ＨＴＴＰウェブプロキシ３０７は、ブラウザからＨＴＴＰ要求を受信し、要求の要求ＵＲＬにより指定された他のＨＴＴＰサーバにその要求を転送するＨＴＴＰサーバ機能である。ＨＴＴＰウェブプロキシのアドレスがブラウザにおいて設定されると、ブラウザとの間で送受信される全てのＨＴＴＰトラフィックはＨＴＴＰウェブプロキシを通る。

ＧＢＡクライアント３０８は、ＢＳＦによりブートストラッピング手順を実行し（すなわち、Ｕｂ参照点をサポートする）且つアプリケーションがセキュリティ上安全に且つ認証されてＧＢＡＮＡＦ３２５と通信できるようにＩＭＳゲートウェイ２０１内のアプリケーションにセキュリティ上の関連付けを提供する（すなわち、Ｕａ参照点をサポートする）ＩＭＳゲートウェイ２０１における機能である。

図３Ｂは、本発明の実施形態に係る例示的なユーザ端末２０２を示す。例示的なユーザ端末２０２は、処理ユニット３１１、ウェブブラウザアプリケーションプログラム３１３を含むメモリ３１２、通信ユニット３１４、表示ユニット３１５及びユーザインタフェース３１６を含む。

処理ユニット３１１は、ユーザ端末２０２を制御するのに必要な処理を実行する。更に処理ユニットは、メモリ３１２のウェブブラウザアプリケーションプログラム３１３を実行する。メモリ３１２は、処理ユニット３１１により実行されるプログラム、並びにユーザ端末２０２において使用されるアプリケーションプログラム及びデータを格納する。

通信ユニット３１４は、ＨＴＴＰ要求を含む情報を送受信する。表示ユニット３１５は、例えばＬＣＤ、ＰＤＰ又はＣＲＴである表示装置上にウェブブラウザウィンドウを含む情報を表示する。ユーザインタフェース３１６は、例えばマウス及びキーボードであるユーザが命令を入力するためのインタフェースである。

図３Ｃは、本発明の実施形態に係る例示的な認証サーバ２１２を示す。例示的な認証サーバ２１２は、処理ユニット３１２、ＩＤテーブル３２３を含むメモリ３２２、通信ユニット３２４、ＧＢＡＮＡＦ（汎用ブートストラッピングアーキテクチャネットワークアプリケーション機能）３２５を含む。

処理ユニット３２１は、認証サーバ２１２を制御するのに必要な処理を実行する。メモリ３２２は、処理ユニット３２１により実行されるプログラム、並びに認証サーバ２１２において使用されるアプリケーションプログラム及びデータを格納する。ＩＤテーブル３２３は、図６を参照して説明する。通信ユニット３２４は、ＩＭＳゲートウェイ２０１、ＨＳＳ／ＢＳＦ２１１又はサービスプロバイダサーバ２３１と通信するために情報を送受信する。

ＧＢＡＮＡＦ３２５は、ＩＭＳゲートウェイ２０１のＯｐｅｎＩＤ認証プロキシ３０５によりＧＢＡ認証手順を実行する認証サーバ２１２における機能である。

図３Ａ〜図３Ｃにおいて、各モジュールは、所望の機能を達成するために対応する処理プログラムを実行する独立したハードウェアモジュールとして実現されてもよく、あるいはＣＰＵ、ＭＰＵ、ＶＧＡ、ＦＰＧＡ、ＡＳＩＣ又はＤＳＰ等のプロセッサにおいて実行される対応する処理コードを含むソフトウェアモジュールとして実現されてもよい。

図４は、本出願の１つの態様に従って、ＯｐｅｎＩＤを用いた認証を可能にするインターネットサービスにアクセスする時に家にいるウェブブラウザのユーザが認証される方法を説明する例示的なシーケンス図である。

ステップＳ４０１において、ユーザはウェブブラウザアプリケーションプログラム３１３を実行することによりユーザ端末２０２においてウェブブラウザを起動する。ステップＳ４０２において、ユーザ端末２０２は、ブックマークをクリックするか又はウェブブラウザにＵＲＬを入力することにより、所望のインターネットサービスのためにブラウザに送られたユーザ命令に従ってＩＭＳゲートウェイ２０１のＨＴＴＰウェブプロキシ３０７のアドレスにＨＴＴＰ要求を送出する。

ステップＳ４０３において、ＩＭＳゲートウェイ２０１のＯｐｅｎＩＤ認証プロキシ３０５は、宛先ＵＲＬをチェックして認証サーバ２１２のＩｄＰエンドポイントＵＲＬと宛先ＵＲＬとを比較する。この場合、２つのＵＲＬは同一でない。ステップＳ４０４において、ＨＴＴＰウェブプロキシ３０７は、ＨＴＴＰ要求を宛先ＵＲＬに転送する。図４には示さないが、要求に対する対応するＨＴＴＰ応答はＨＴＴＰウェブプロキシ３０７によりプロキシされる。

ステップＳ４０５において、ユーザ端末２０２とサービスプロバイダサーバ２３１との間でＨＴＴＰ要求及び応答が複数回やり取りされた後、ユーザはログインフォームを提示される。ユーザは、自身のＯｐｅｎＩＤ識別子（例えば、http://imsop.net/Smith）を入力する。ＯｐｅｎＩＤ識別子を含むＨＴＴＰ要求は、ＩＭＳゲートウェイ２０１のＨＴＴＰウェブプロキシ３０７に送出される。

ステップＳ４０６において、ＯｐｅｎＩＤ認証プロキシ３０５は、宛先ＵＲＬをチェックして認証サーバ２１２のＩｄＰエンドポイントＵＲＬと宛先ＵＲＬとを比較する。この場合、２つのＵＲＬは同一でない。

ステップＳ４０７において、ＨＴＴＰウェブプロキシ３０７は、ＨＴＴＰ要求を宛先ＵＲＬに転送する。ステップＳ４０８において、サービスプロバイダサーバ２３１は、http://imsop.net/Smithに位置するウェブページを取り出すためにＨＴＴＰＧＥＴを送出する。ステップＳ４０９において、ＨＴＴＰＧＥＴに応答して、認証サーバ２１２は、ＨＴＭＬヘッダ部分においてopenid.serverによりタグ付けされた認証サーバ２１２のＩｄＰエンドポイントＵＲＬのリンク参照ＵＲＬを含むウェブページを返す。例えば、リンク参照は、＜link ref="openid.server" href="IdP endpoint URL"＞のように書かれる。

ステップＳ４１０において、サービスプロバイダサーバ２３１は、リンク参照からＩｄＰエンドポイントＵＲＬを取得する。ステップＳ４１１において、サービスプロバイダサーバ２３１は、請求されたＯｐｅｎＩＤ識別子を有するＩｄＰエンドポイントＵＲＬに対してＩＭＳゲートウェイ２０１のＨＴＴＰウェブプロキシ３０７を介してユーザ端末のブラウザをリダイレクトする。

ステップＳ４１２において、ブラウザは、ＩｄＰエンドポイントＵＲＬにアドレス指定されたリダイレクトされたＨＴＴＰ要求をＩＭＳゲートウェイ２０１のＨＴＴＰウェブプロキシ３０７に送出する。ステップＳ４１３において、ＯｐｅｎＩＤ認証プロキシ３０５は、宛先ＵＲＬをチェックして宛先ＵＲＬをＩｄＰエンドポイントＵＲＬと比較する。この場合、２つのＵＲＬは同一である。ＯｐｅｎＩＤ認証プロキシ３０５は、ＨＴＴＰ要求がＯｐｅｎＩＤユーザ認証要求であると理解する。

ステップＳ４１４において、ＯｐｅｎＩＤ認証プロキシ３０７は、自身を認証するためにＧＢＡ認証要求を送出する。この要求は、ＨＴＴＰダイジェスト認証としてステップＳ４１６における処理と共に実現されてもよく、あるいは３ＧＰＰＴＳ２４．１０９Ｖ７．３．０（２００６年６月）「Ｂｏｏｔｓｔｒａｐｐｉｎｇｉｎｔｅｒｆａｃｅ（Ｕｂ）ａｎｄｎｅｔｗｏｒｋａｐｐｌｉｃａｔｉｏｎｆｕｎｃｔｉｏｎｉｎｔｅｒｆａｃｅ（Ｕａ），Ｐｒｏｔｏｃｏｌｄｅｔａｉｌｓ」で指定されるようなＴＬＳハンドシェークの一部として実現されてもよい。

ステップＳ４１５において、認証サーバ２１２は、ＧＢＡＺｎインタフェースを介してＨＳＳ／ＢＳＦ２１１からＧＢＡ鍵素材及びユーザ情報を取り出す。ユーザ情報は、ＩＭＳゲートウェイ２０１のＩＭＰＩを含む。ＮＡＦであるＩｄＰは、鍵素材を使用してＩＭＳゲートウェイ２０１を認証する。

ステップＳ４１６において、ＧＢＡ認証が成功した後、ＯｐｅｎＩＤ認証プロキシ３０５は、請求されたＯｐｅｎＩＤ識別子を含むＨＴＴＰ要求を認証サーバ２１２に転送する。ステップＳ４１７において、認証サーバ２１２は、請求されたＯｐｅｎＩＤ識別子がステップＳ４１５で取り出されたユーザ情報に従ってＩＭＰＩにより識別されたＧＢＡ認証済みユーザにより所有されるかを検証する。

ステップＳ４１８及びＳ４１９において、検証された場合、認証サーバ２１２は、署名された認証結果（すなわち、アサーション）を有するブラウザをサービスプロバイダサーバ２３１にリダイレクトする（ＨＴＴＰウェブプロキシ３０７を介する）。

ステップＳ４２０において、ユーザ端末２０２は、サービスプロバイダサーバ２３１にアドレス指定されたリダイレクトされたＨＴＴＰ要求をＨＴＴＰウェブプロキシ３０７に送出する。ステップＳ４２１において、ＯｐｅｎＩＤ認証プロキシ３０５は、宛先ＵＲＬをチェックしてそのＵＲＬをＩｄＰエンドポイントＵＲＬと比較する。この場合、２つのＵＲＬは同一でない。

ステップＳ４２２において、ＨＴＴＰウェブプロキシ３０７はＨＴＴＰ要求を宛先ＵＲＬに転送する。

上記手順によると、家にいるウェブブラウザのユーザは、ＩＭＳオペレータ（＝認証サーバ２１２）により与えられたＯｐｅｎＩＤ識別子を使用して、パスワードを入力することなくインターネットサービス（＝サービスプロバイダサーバ２３１）にログインできる。認証サーバ２１２に対するユーザ認証は、ＩＳＩＭ証明書に基づくＩＭＳゲートウェイ２０１のＯｐｅｎＩＤ認証プロキシ機能性を利用してバックエンドで黙示的に達成される。

しかし、上記手順において、ウェブブラウザからの全てのＨＴＴＰ要求がＨＴＴＰウェブプロキシ３０７に送出されるが、認証サーバ２１２にアドレス指定されたＨＴＴＰ要求のみが認証サーバ２１２に対するユーザ認証の目的の対象である。

このために、ＯｐｅｎＩＤ認証プロキシ３０５は、ブラウザから送出された全てのＨＴＴＰ要求の全ての宛先ＵＲＬをチェックすることを要求され、これは、通常のレジデンシャルゲートウェイデバイスで実現されるＩＭＳゲートウェイ等のリソースが制限された消費者デバイスにとって費用がかかる。

以下において、上記欠点に対処する機構が提供される。この機構により、サービスプロバイダサーバ２３１は、ブラウザから送出されたリダイレクトされたＨＴＴＰ要求が認証サーバ２１２ではなくＯｐｅｎＩＤ認証プロキシ３０５に送出されるように、ＯｐｅｎＩＤ認証プロキシ３０５のアドレスにウェブブラウザをリダイレクトできる。ＯｐｅｎＩＤ認証プロキシ３０５がＨＴＴＰ要求を転送するが、その一方でＩＭＳゲートウェイ２０１はＧＢＡを介して認証される。ＩＭＳゲートウェイ２０１がＨＴＴＰウェブプロキシ３０７である必要がなく、その結果、ＨＩＧＡがブラウザとの間で送受信される全てのＨＴＴＰ要求／応答をプロキシする必要がないため、機構はユーザがＨＴＴＰウェブプロキシ設定をウェブブラウザに手作業で設定することを必要としない。

提案された機構により、基本的に認証サーバ２１２として動作するのはＩＭＳオペレータである。しかし、この機構によりＩＭＳオペレータが信頼する第三者サービスプロバイダは認証サーバ２１２として動作できるが、その一方で認証サーバ２１２に対するユーザ認証は依然としてＩＳＩＭ証明書に基づいてＧＢＡを介する。

認証サーバ２１２は、加入者にＯｐｅｎＩＤ識別子を割り当て、これはＩＭＰＩ等の加入者の認証ＩＤと関連付けられる。オプションとして、オペレータは、ユーザが家以外でも識別子を使用できるように（すなわち、ＩＭＳゲートウェイ２０１を利用せずに）識別子に対するパスワードを判定することを可能にする。

ＩＭＳゲートウェイ２０１が起動した時、ＩＭＳゲートウェイは認証サーバ２１２にＯｐｅｎＩＤ認証プロキシアドレスを通知する。これは、ＳＯＡＰ（http://www.w3.org/TR/soap/）又はＸＣＡＰ（ＩＥＴＦＲＦＣ４８２５、ＸＣＡＰ）等のＨＴＴＰを用いたプロトコルを使用して行われるが、その一方で、プロトコルはＧＢＡに保護されるか、あるいは認証サーバ２１２がＩＳＣインタフェース（３ＧＰＰＴＳ２３．２２８Ｖ６．６．０（２００４年６月）「ＩＰＭｕｌｔｉｍｅｄｉａＳｕｂｓｙｓｔｅｍ，Ｓｔａｇｅ２」）を実現する場合はＲｅｇｉｓｔｅｒ又はＰｕｂｌｉｓｈ等のＳＩＰメッセージが使用される。

ＯｐｅｎＩＤ認証プロキシ３０５が家にいないユーザをサポートする場合、ＯｐｅｎＩＤ認証プロキシのアドレスはレジデンシャルゲートウェイ２０３のグローバルＩＰアドレス（例えば、150.236.132.154:8080）であってもよく、あるいはＯｐｅｎＩＤ認証プロキシ３０５が家にいるユーザのみをサポートする場合、ＯｐｅｎＩＤ認証プロキシのアドレスはプライベートＩＰアドレス（例えば、192.168.0.3:8080）であってもよい。ＯｐｅｎＩＤ認証プロキシ３０５のアドレスがグローバルである場合、ＩＭＳゲートウェイ２０１は、例えばＵＰｎＰＩＧＤ（インターネットゲートウェイデバイス）を使用してレジデンシャルゲートウェイにおいてポートマッピングを作成する。これの手順を図５に例示する。図５は、ＩＭＳゲートウェイ２０１及び認証サーバ２１２が自身のアドレスをやり取りする方法を説明する例示的なシーケンス図である。

ステップＳ５０１において、ＩＭＳゲートウェイ２０１はユーザにより電源を投入される。ステップＳ５０２において、ＩＭＳゲートウェイ２０１のＧＢＡクライアント３０８は、ＨＳＳ／ＢＳＦ２１１によりブートストラップする。ステップＳ５０３において、ＩＭＳゲートウェイ２０１のＯｐｅｎＩＤ認証プロキシ３０５はアドレス192.168.0.3:8080で起動する。

ステップＳ５０４において、ＯｐｅｎＩＤ認証プロキシ３０５は、ＵＰｎＰＩＧＤを使用して、レジデンシャルゲートウェイ２０３にＷＡＮアドレスとプライベートＩＰアドレスとの間のポートマッピングを作成するように要求する。ステップＳ５０５において、マッピングされたアドレス150.236.132.154:8080はレジデンシャルゲートウェイ２０３から返される。

ステップＳ５０６において、ＯｐｅｎＩＤ認証プロキシ３０５は、自身を認証するためのＧＢＡ認証要求を認証サーバ２１２に送出する。この要求は、ＨＴＴＰダイジェスト認証としてステップ５０８の処理と共に実現されてもよく、あるいは３ＧＰＰＴＳ２４．１０９Ｖ．７．３．０（２００６年６月）「Ｂｏｏｔｓｔｒａｐｐｉｎｇｉｎｔｅｒｆａｃｅ（Ｕｂ）ａｎｄｎｅｔｗｏｒｋａｐｐｌｉｃａｔｉｏｎｆｕｎｃｔｉｏｎｉｎｔｅｒｆａｃｅ（Ｕａ），Ｐｒｏｔｏｃｏｌｄｅｔａｉｌｓ」で指定されるようなＴＬＳハンドシェークの一部として実現されてもよい。

ステップＳ５０７において、認証サーバ２１２は、ＧＢＡＺｎインタフェースを介してＨＳＳ／ＢＳＦ２１１からＧＢＡ鍵素材及びユーザ情報を取り出す。ユーザ情報は、ＩＭＳゲートウェイ２０１のＩＭＰＩを含んでもよい。ＮＡＦである認証サーバ２１２は、鍵素材を使用してＩＭＳゲートウェイ２０１を認証する。

ステップＳ５０８において、ＧＢＡ認証が成功した後、ＯｐｅｎＩＤ認証プロキシ３０５は、アドレスhttp://150.236.132.154:8080を認証サーバ２１２に通知する。認証サーバ２１２は、ＯｐｅｎＩＤ認証プロキシのアドレスをユーザのＯｐｅｎＩＤ識別子と関連付けてＩＤテーブル３２３に格納する。

ステップＳ５０９において、ＯｐｅｎＩＤ認証プロキシアドレスの受信に応答して、認証サーバ２１２は、ＯｐｅｎＩＤＩｄＰエンドポイントＵＲＬ（例えば、http://imsop.net/openid-auth）である自身のアドレスをＯｐｅｎＩＤ認証プロキシ３０５に返す。

図５に係る手順は、例えばＩＭＳゲートウェイ２０１が起動した時、リブートした時又はＩＭＳゲートウェイ２０１が使用するＩＰアドレスが変更された時等、必要な時に実行される。

上述した準備処理に従って、認証サーバ２１２は、ＢＴＩＤ（ブートストラップトランザクションＩＤ）６０１、ＩＭＳゲートウェイ２０１のＩＭＰＩ６０２、ユーザのＯｐｅｎＩＤ識別子６０３及びＩＭＳゲートウェイ２０１に割り当てられたＯｐｅｎＩＤ認証プロキシアドレス６０４を互いに関連付けて格納する図６に示すようなＩＤテーブル３２３を作成できる。ＢＴＩＤ６０１は、ＧＢＡＵａ参照点を介して認証される加入者を識別し且つＨＳＳ／ＢＳＦ２１１に格納された鍵素材及びユーザ情報を選択するために使用される。

図７の以下のステップは、家にいるウェブブラウザのユーザがＯｐｅｎＩＤを用いた認証を可能にするインターネットサービスにアクセスする時に認証される方法を説明する。

ステップＳ７０１において、ユーザはウェブブラウザアプリケーションプログラム３１３を実行することによりユーザ端末２０２においてウェブブラウザを起動する。ステップＳ７０２において、ユーザ端末２０２は、ブックマークをクリックするか又はウェブブラウザにＵＲＬを入力することにより、所望のインターネットサービスのためにユーザ命令に従ってサービスプロバイダサーバ２３１のＵＲＬにアドレス指定されたＨＴＴＰ要求をブラウザに送出する。

サービスプロバイダサーバ２３１に対するＨＴＴＰ要求に応答してログインフォームが表示される。ステップＳ７０３において、ユーザは自身のＯｐｅｎＩＤ識別子（例えば、http://imsop.net/Smith）を入力し、ユーザ端末はＯｐｅｎＩＤ識別子を含むＨＴＴＰ要求をサービスプロバイダサーバ２３１に送出する。

ステップＳ７０４において、サービスプロバイダサーバ２３１は、ＯｐｅｎＩＤ識別子（http://imsop.net/Smith）に従ってウェブページを取り出すためにＨＴＴＰＧＥＴを送出する。ステップＳ７０５において、認証サーバ２１２は、ＨＴＴＰＧＥＴ要求を受信すると、受信したＯｐｅｎＩＤ識別子と関連付けられたＯｐｅｎＩＤ認証プロキシアドレス（http://150.236.132.154.:8080）を見つけるためにＩＤテーブル３２３を探索する。認証サーバ２１２は、ＨＴＴＰＧＥＴに対して返されたウェブページのヘッダ部分に含まれる「openid.server」によりタグ付けされたリンク参照ＵＲＬに見つけたＯｐｅｎＩＤ認証プロキシアドレスを設定する。例えばリンク参照は、＜link rel="openid.server" href="http://150.236.132.154:8080"/＞として準備される。

ステップＳ７０６において、ステップＳ７０５で認証サーバ２１２により生成されたウェブページは、サービスプロバイダサーバ２３１に返される。ステップＳ７０７において、サービスプロバイダサーバ２３１は、「openid.server」でタグ付けされたリンク参照からＵＲＬを取得する。ＯｐｅｎＩＤ規格によると、タグは認証サーバ２１２のＩｄＰエンドポイントＵＲＬを意味するが、本実施形態において、これはＩＭＳゲートウェイ２０１のＯｐｅｎＩＤ認証プロキシアドレスに割り当てられる。

ステップＳ７０８において、サービスプロバイダサーバ２３１は、ユーザ端末２０２で実行されたブラウザを請求されたＯｐｅｎＩＤ識別子を有するＵＲＬにリダイレクトする。ステップＳ７０９において、ユーザ端末２０２は、この例においてはＯｐｅｎＩＤ認証プロキシアドレスであるリダイレクトされたＵＲＬにＨＴＴＰ要求を送出する。ステップＳ７１０において、ＯｐｅｎＩＤ認証プロキシ３０５は、自身を認証するためにＧＢＡ認証要求を送出する。この要求は、ＨＴＴＰダイジェスト認証としてステップＳ７１２の処理と共に実現されてもよく、あるいはＴＬＳハンドシェークの一部として実現されてもよい。

ステップＳ７１１において、認証サーバ２１２は、ステップＳ７１０のＵａ参照点におけるＧＢＡ認証に対応するＢＴＩＤに基づいてＧＢＡＺｎインタフェースを介してＨＳＳ／ＢＳＦ２１１からＧＢＡ鍵素材及びユーザ情報を取り出す。ユーザ情報は、ＧＢＡを介して認証されたユーザＩＤであるＩＭＰＩを含む。認証サーバ２１２のＧＢＡＮＡＦ３２５は、鍵素材を使用してＩＭＳゲートウェイ２０１を認証する。

ステップＳ７１２において、ＧＢＡ認証が成功した後、ＯｐｅｎＩＤ認証プロキシ３０５は、請求されたＯｐｅｎＩＤ識別子を含むリダイレクトされたＨＴＴＰ要求を認証サーバ２１２に転送する。ステップＳ７１３において、認証サーバ２１２は、受信したＯｐｅｎＩＤ識別子がＩＤテーブル３２３を参照してステップＳ７１１で取り出されたＩＭＰＩに対応するか否かを検証する。この検証処理により、ＯｐｅｎＩＤ識別子がＧＢＡ認証されたユーザにより実際に所有されるかを検証できる。

ステップＳ７１４及びＳ７１５において、検証処理が正常に終了した場合、認証サーバ２１２は、署名された認証結果（すなわち、アサーション）を有するユーザ端末２０２において実行された（実際にはＯｐｅｎＩＤ認証プロキシを介して）ブラウザをサービスプロバイダにリダイレクトする。サービスプロバイダサーバ２３１は、認証サーバからのアサーションを検証し、最終的にサービスプロバイダサーバ２３１におけるユーザ認証は正常に終了する。

図７の手順によると、家にいるウェブブラウザのユーザは、ＯｐｅｎＩＤを用いた認証を可能にするインターネットサービスにアクセスする時に認証される。

図７の実施形態において、ユーザがＬＡＮ２００を介してＩＭＳゲートウェイに接続されたユーザ端末を家で使用する場合について説明する。しかし、外出中のユーザが認証サーバ２１２に認証してほしい場合があるだろう。そのような状況において、ＯｐｅｎＩＤ認証プロキシ３０５は自身のグローバルプロキシアドレスを認証サーバ２１２に登録し、ＯｐｅｎＩＤ認証プロキシ３０５がＧＢＡ認証を実行しないが単純にＨＴＴＰ要求を認証サーバ２１２に転送するか又はリモートブラウザを認証サーバ２１２にリダイレクトすること以外は上述の同一のユーザ認証機構が適用可能である。

認証サーバ２１２は、請求されたＯｐｅｎＩＤ識別子と関連付けられたパスワードに基づいてユーザ（家にいない）を認証する。オプションとして、パスワードはユーザの要望に応じてユーザにより判定される。これは、対応するＯｐｅｎＩＤ認証プロキシ３０５が家以外の悪意のあるユーザのブラウザから認証要求を受け付けた場合、その悪意のあるユーザが盗んだＯｐｅｎＩＤ識別子を使用して認証サーバ２１２に対して正常に認証されるためである。

この状況を回避するために、ＯｐｅｎＩＤ認証プロキシ３０５は、プロキシアドレスで受信したＨＴＴＰ要求がホームネットワーク（ＬＡＮ２００）のユーザから発信されたか又は家以外にいるユーザから発信されたかを判定する。家からの場合、ＯｐｅｎＩＤ認証プロキシ３０５は、認証サーバ２１２に対してＧＢＡ認証をする。外からの場合、ＯｐｅｎＩＤ認証プロキシ３０５は、単純に要求を認証サーバ２１２に転送又はリダイレクトする。認証サーバ２１２は、パスワードに基づいてユーザを認証する。

上述した実施形態において、認証サーバ２１２及びＩＭＳオペレータが同一のエンティティであると仮定されるが、認証サーバ２１２は、ＩＭＳオペレータが信頼する第三者サービスプロバイダにより動作可能である。これは、認証サーバ２１２がＧＢＡを介してＯｐｅｎＩＤユーザ認証を実行する場合に認証サーバ２１２がＧＢＡＮＡＦである必要があり、且つＧＢＡ規格によるとＮＡＦが信頼できる第三者サービスプロバイダにより所有され且つ実行されるため可能である。

第三者プロバイダは、ＩＭＰＩ６０２等のＧＢＡＺｎインタフェースを介してＩＭＳオペレータのＧＢＡＢＳＦから図６のＩＤテーブル３２３を維持するために必要な情報を検索できる。

更に本発明は、家族の各メンバに割り当てられた複数のＯｐｅｎＩＤ識別子に適用可能である。図７に係る実施形態において、単一のＯｐｅｎＩＤ識別子が単一のＩＭＳゲートウェイ２０１のＩＭＰＩと関連付けられた家族に割り当てられると仮定される。しかし、家族のメンバがそれぞれのＯｐｅｎＩＤ識別子を使用したい場合は複数のＯｐｅｎＩＤ識別子が家族に割り当てられる。

この場合においても、複数のＯｐｅｎＩＤ識別子は、ＩＭＳゲートウェイ２０１のＩＭＰＩと関連付けられ、単一のＩＭＰＩを共有するため認証サーバ２１２に対するＩＭＳゲートウェイ２０１からのＧＢＡ認証を共有する。この場合、ＩＤの盗用は家族内で可能である。これを回避する必要がある場合、家の所有者は、ユーザがＩＭＳゲートウェイ２０１にリダイレクトされた後、すなわち図７のステップＳ７０９とステップＳ７１０との間で、例えばＨＴＴＰ基本／ダイジェスト認証を使用して家族のメンバのローカル認証を実行するようにＩＭＳゲートウェイ２０１を設定できる。この場合、家族のメンバに対するＯｐｅｎＩＤ識別子は認証サーバ２１２又はＩＭＳオペレータからＩＭＳゲートウェイ２０１に提供され且つＩＭＳゲートウェイ２０１はそれらのＯｐｅｎＩＤ識別子とローカルパスワードとの間のマッピングテーブルを維持すると仮定される。

本発明の実施形態のいくつかの態様によると、以下の利点が得られる。尚、いくつかの実施形態は以下の利点の一部を達成しない可能性があるが、そのような実施形態は本発明の範囲から除外されない。

本発明は、ＩＭＳオペレータがパスワードを用いた認証よりセキュリティ上安全なＩＭＳゲートウェイのＩＳＩＭ証明書に基づいて効率的にユーザを認証できる一方で、加入者があるサービスプロバイダにより提供されたインターネットサービスに対してＯｐｅｎＩＤ識別子を使用することを可能にするためにＯｐｅｎＩＤ認証サービスを提供するＩＭＳオペレータに対して機構を提供する。ユーザは、ウェブブラウザのいかなる設定も行う必要がなく、家にいる時には認証サーバに対して認証されるためにパスワードを入力する必要がない。更にＯｐｅｎＩＤ規格及びＯｐｅｎＩＤ消費者（サービスプロバイダサーバ）の挙動において料金は必要ない。

例示的な実施形態を参照して本発明を説明したが、本発明は開示した例示的な実施形態に限定されないことが理解される。以下の請求の範囲の範囲は、全ての変形例、並びに等価な構造及び機能を含むように広範に解釈される。

Claims

ユーザ端末（２０２）と通信可能で、ゲートウェイ装置（２０１）と認証サーバ（２１２）との間のＧＢＡ認証を前記ユーザ端末に提供可能なゲートウェイ装置（２０１）であって、
前記ゲートウェイ装置のネットワークアドレス（６０４）にアドレス指定されたＨＴＴＰ要求を前記ユーザ端末（２０２）から受信する受信ユニット（３０６）と、
前記ＨＴＴＰ要求の受信に従って、前記認証サーバ（２１２）に対してＧＢＡ認証を要求する要求ユニット（３０８）と、
前記ＧＢＡ認証の後、前記認証サーバ（２１２）から事前に受信した前記認証サーバのネットワークアドレス（６０４）を使用して前記ＨＴＴＰ要求を前記認証サーバ（２１２）に送信する送信ユニット（３０６）と
を備えるゲートウェイ装置（２０１）。
前記受信ユニット（３０６）は、ネットワーク（２２０、２３０）において前記ゲートウェイ装置を一意に特定するためのグローバルネットワークアドレスを更に受信し、
前記送信ユニット（３０６）は、前記グローバルネットワークアドレスを使用して生成された前記ネットワークアドレス（６０４）を前記ネットワーク（２２０）を介して前記認証サーバ（２１２）に更に送信し、
前記受信ユニット（３０６）は、前記生成されたネットワークアドレス（６０４）の送信に対する応答として前記認証サーバ（２１２）から前記認証サーバ（２１２）の前記ネットワークアドレスを更に受信する、
請求項１に記載のゲートウェイ装置（２０１）。
前記認証は、前記ゲートウェイ装置が前記ネットワークオペレータに対する加入者であるかどうかの認証を実行するように要求される、請求項１又は２に記載のゲートウェイ装置（２０１）。
前記ユーザ端末（２４１）は前記ネットワーク（２２０、２３０）を介して前記ゲートウェイ装置に接続され、
前記要求ユニット（３０８）は、前記受信ユニット（３０６）が前記ネットワークを介して前記ユーザ端末（２４１）から前記ＨＴＴＰ要求を受信した場合は前記ＧＢＡ認証を要求しない、請求項３に記載のゲートウェイ装置（２０１）。
サービスプロバイダサーバ（２３１）に対して加入者認証サービスを提供するためにネットワーク（２１０）に接続された認証サーバ（２１２）であって、
認証されるユーザの第１の識別子（６０３）により指定されたウェブページを要求するウェブページ要求を受信する受信ユニット（３２４）と、
前記第１の識別子に対応する前記ゲートウェイ装置（２０１）のネットワークアドレス（６０４）を取得する取得ユニット（３２１）と、
前記サービスプロバイダサーバ（２３１）に対して前記ゲートウェイ装置の前記ネットワークアドレス（６０４）を含む前記ウェブページを送信する送信ユニット（３２４）と、
前記ゲートウェイ装置（２０１）が前記認証サーバ（２１２）に関連するネットワークオペレータの加入者であるかどうかを認証するＧＢＡ認証ユニット（３２５）と
を備え、
前記受信ユニット（３２４）は、認証される前記ユーザの前記第１の識別子（６０３）を含むＨＴＴＰ要求を、前記ＧＢＡ認証の後に前記ゲートウェイ装置（２０１）から更に受信し、
前記認証サーバは、前記ＧＢＡ認証の後に受信した前記第１の識別子（６０３）が前記ゲートウェイ装置（２０１）に割り当てられた識別子と同一か否かを検証する検証ユニット（３２１）を更に含む、認証サーバ（２１２）。
前記送信ユニット（３２４）は、前記第１の識別子（６０３）が正常に検証される場合、前記検証の正常な応答を送信する、請求項５に記載の認証サーバ（２１２）。
前記第１の識別子（６０３）と関連付けられた前記ゲートウェイ装置（２０１）の第２の識別子（６０２）を含むテーブル（３２３）を格納するための記憶ユニット（３２２）と、
前記ＧＢＡ認証で使用される前記ゲートウェイ装置（２０１）の前記第２の識別子（６０２）に対応する前記ユーザの前記第１の識別子（６０３）を前記テーブル（３２３）から検索する検索ユニット（３２１）と
を更に備え、
前記検証ユニット（３２１）は、前記検索した第１の識別子と前記受信した第１の識別子とを比較することにより前記受信した第１の識別子（６０３）を検証する、請求項５又は６に記載の認証サーバ（２１２）。
ユーザ端末（２０２）と通信可能で、ゲートウェイ装置（２０１）と認証サーバ（２１２）との間のＧＢＡ認証を前記ユーザ端末に提供可能な前記ゲートウェイ装置（２０１）を制御する方法をコンピュータに実行させるコンピュータプログラムであって、前記方法は、
前記ゲートウェイ装置（２０１）のネットワークアドレス（６０４）にアドレス指定されたＨＴＴＰ要求を前記ユーザ端末（２０２）から受信するステップ（Ｓ７０９）と、
前記ＨＴＴＰ要求の受信に従って前記認証サーバ（２１２）に対してＧＢＡ認証を要求するステップ（Ｓ７１０）と、
前記ＧＢＡ認証の後、前記認証サーバ（２１２）から事前に受信した前記認証サーバ（２１２）のネットワークアドレス（６０４）を使用して前記ＨＴＴＰ要求を前記認証サーバ（２１２）に送信するステップ（Ｓ７１２）と
を備える、コンピュータプログラム。
前記方法は、
ネットワーク（２２０、２３０）において前記ゲートウェイ装置（２０１）を一意に特定するためのグローバルネットワークアドレスを受信するステップ（Ｓ５０５）と、
前記グローバルネットワークアドレスを使用して生成された前記ネットワークアドレス（６０４）を前記ネットワーク（２２０）を介して前記認証サーバ（２１２）に送信するステップ（Ｓ５０８）と、
前記生成されたネットワークアドレス（６０４）の送信に対する応答として前記認証サーバ（２１２）から前記認証サーバ（２１２）の前記ネットワークアドレスを受信するステップ（Ｓ５０９）と
を更に含む請求項８に記載のコンピュータプログラム。
前記認証は、前記ゲートウェイ装置が前記ネットワークオペレータに対する加入者であるかどうかの認証を実行するように要求される、請求項８又は９に記載のコンピュータプログラム。
サービスプロバイダサーバに対して加入者識別サービスを提供するためにネットワーク（２１０）に接続された認証サーバ（２１２）を制御する方法をコンピュータに実行させるコンピュータプログラムであって、前記方法は、
認証されるユーザの第１の識別子（６０３）により指定されたウェブページを要求するウェブページ要求を受信するステップ（Ｓ７０４）と、
前記第１の識別子に対応する前記ゲートウェイ装置（２０１）のネットワークアドレス（６０４）を取得するステップ（Ｓ７０５）と、
前記サービスプロバイダサーバ（２３１）に対して前記ゲートウェイ装置（２０１）の前記ネットワークアドレス（６０４）を含む前記ウェブページを送信するステップ（Ｓ７０６）と、
前記ゲートウェイ装置（２０１）が前記認証サーバ（２１２）に関連するネットワークオペレータの加入者であるかどうかをＧＢＡ認証するステップ（Ｓ７１０）と、
認証される前記ユーザの前記第１の識別子（６０３）を含むＨＴＴＰ要求を、前記ＧＢＡ認証の後に前記ゲートウェイ装置（２０１）から受信するステップ（Ｓ７１２）と、
前記ＧＢＡ認証の後に受信した前記第１の識別子（６０３）が前記ゲートウェイ装置（２０１）に割り当てられた識別子と同一か否かを検証するステップ（Ｓ７１３）と
を備える、コンピュータプログラム。
前記方法は、前記第１の識別子（６０３）が正常に検証される場合、前記検証の正常な応答を送信するステップ（Ｓ７１４）を更に含む、請求項１１記載のコンピュータプログラム。
前記認証サーバ（２１２）は、前記第１の識別子（６０３）と関連付けられた前記ゲートウェイ装置（２０１）の第２の識別子（６０２）を含むテーブル（３２３）を格納するための記憶ユニット（３２２）を含み、
前記方法は、前記ＧＢＡ認証で使用される前記ゲートウェイ装置（２０１）の前記第２の識別子（６０２）に対応する前記ユーザの前記第１の識別子（６０３）を前記テーブル（３２３）から検索するステップ（Ｓ７１１）を更に含み、
前記検証するステップ（Ｓ７１３）は、前記検索した第１の識別子と前記受信した第１の識別子とを比較することにより実行される、請求項１１又は１２に記載のコンピュータプログラム。
ユーザ端末（２０２）と通信可能で、ゲートウェイ装置（２０１）と認証サーバ（２１２）との間のＧＢＡ認証を前記ユーザ端末に提供可能な、前記ゲートウェイ装置（２０１）を制御する方法であって、
前記ゲートウェイ装置（２０１）のネットワークアドレス（６０４）にアドレス指定されたＨＴＴＰ要求を前記ユーザ端末（２０２）から受信するステップ（Ｓ７０９）と、
前記ＨＴＴＰ要求の受信に従って前記認証サーバ（２１２）に対してＧＢＡ認証を要求するステップ（Ｓ７１０）と、
前記ＧＢＡ認証の後、前記認証サーバ（２１２）から事前に受信した前記認証サーバ（２１２）のネットワークアドレス（６０４）を使用して前記ＨＴＴＰ要求を前記認証サーバ（２１２）に送信するステップ（Ｓ７１２）と
を備える方法。
サービスプロバイダサーバに対して加入者識別サービスを提供するためにネットワーク（２１０）に接続された認証サーバ（２１２）を制御する方法であって、
認証されるユーザの第１の識別子（６０３）により指定されたウェブページを要求するウェブページ要求を受信するステップ（Ｓ７０４）と、
前記第１の識別子に対応する前記ゲートウェイ装置（２０１）のネットワークアドレス（６０４）を取得するステップ（Ｓ７０５）と、
前記サービスプロバイダサーバ（２３１）に対して前記ゲートウェイ装置の前記ネットワークアドレス（６０４）を含む前記ウェブページを送信するステップ（Ｓ７０６）と、
前記ゲートウェイ装置（２０１）が前記認証サーバ（２１２）に関連するネットワークオペレータの加入者であるかどうかをＧＢＡ認証するステップ（Ｓ７１０）と、
認証される前記ユーザの前記第１の識別子（６０３）を含むＨＴＴＰ要求を、前記ＧＢＡ認証の後に前記ゲートウェイ装置（２０１）から受信するステップ（Ｓ７１２）と、
前記ＧＢＡ認証の後に受信した前記第１の識別子（６０３）が前記ゲートウェイ装置（２０１）に割り当てられた識別子と同一か否かを検証するステップ（Ｓ７１３）と
を備える方法。