JP2013506388A - Ｉｂｅを有する効率的なｎｅｍｏセキュリティ - Google Patents

Abstract

移動体ＩＰ及び／又はネットワーク移動性（ＮＥＭＯ）に準拠した通信ネットワークにおいて、選択されたエンティティ及びそれらの関連付けられた装置／システムが通信ネットワーク間を移動するときに、通信ネットワークの種々のエンティティ間の通信を保証するためにアイデンティティに基づく暗号化（ＩＢＥ）を用いるための装置、方法及びシステムが提供される。他の実施形態も開示され又は請求される。

Description

［関連出願］
本ＰＣＴ出願は、マレーシア特許出願番号ＰＩ２０１０００６１３０、２０１０年１２月２２日出願、名称「ＥＦＦＩＣＩＥＮＴ ＮＥＭＯ ＳＥＣＵＲＩＴＹ ＷＩＴＨ ＩＢＥ」に関連し、該特許出願の優先権を主張する。

本開示は、概して移動体コンピュータ・ネットワークに関し、特にネットワーク移動性（Ｎｅｔｗｏｒｋ Ｍｏｂｉｌｉｔｙ：ＮＥＭＯ）に効率的なセキュリティ・スキームを提供する。

移動体ＩＰは、インターネット・プロトコル（ＩＰ）データグラム（又はパケット）の位置に依存しないルーティングを可能にしうる。移動体ＩＰは、ＩＰｖ４及びＩＰｖ６ネットワークの両方で用いられてもよい。ＩＰｖ４ネットワークのための移動体ＩＰは、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ（ＲＦＣ）３３４４に記載されており、ＩＥＴＦ ＲＦＣ４７２１で最新情報が追加されている。ＩＰｖ６ネットワークのための移動体ＩＰ（Ｍｏｂｉｌｅ ＩＰｖ６ ｆｏｒ ｓｈｏｒｔ）は、ＩＥＴＦ ＲＦＣ３７７５に記載されている。

移動体ＩＰでは、移動ノードは、該移動ノードのホーム・ネットワーク内に居る間、ホーム・エージェント（ＨＡ）に関連付けられてもよく、ホーム・アドレスを割り当てられてもよい。ＨＡは、ＨＡのネットワーク内にあるホーム・アドレスを有する移動ノードに関する情報を格納してもよい。移動ノードがそのホーム・ネットワークから離れて移動するとき、移動ノードは、外部エージェント（ＦＡ）に関連付けられてもよく、外部ネットワーク内での移動ノードの現在の位置を識別する気付けアドレス（Ｃａｒｅ ｏｆ Ａｄｄｒｅｓｓ：ＣｏＡ）を割り当てられてもよい。移動ノードはホーム・アドレスとＣｏＡの両方を割り当てられてもよいが、移動ノードはインターネットにおける自身の現在の位置に拘わらず自身のホーム・アドレスにより識別されてもよい。

ネットワーク移動性（ＮＥＭＯ）は移動体ＩＰプロトコルの拡張である。Ｎｅｔｗｏｒｋ Ｍｏｂｉｌｉｔｙ Ｂａｓｉｃ Ｓｕｐｐｏｒｔ Ｐｒｏｔｏｃｏｌは、ＩＥＴＦ Ｎｅｔｗｏｒｋ Ｍｏｂｉｌｉｔｙ Ｗｏｒｋｉｎｇ ＧｒｏｕｐによりＲＦＣ３９６３で発行された。ＮＥＭＯは、移動体ネットワーク全体に対する移動性、つまりインターネットの異なる地点に移動し参加する移動体ネットワークに対応するよう設計されている。ＮＥＭＯは、ネットワークが移動するとき、移動体ネットワーク内の各ノードに対してセッション連続性を可能にする。

ＮＥＭＯは、セキュリティのために、ＩＰＳｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ）及びセキュリティ・アソシエーション（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎｓ：ＳＡ）を用いることを提案する。しかしながら、ＩＰＳｅｃ及びＳＡは、ＮＥＭＯに基づくネットワークに、認証、往復経路確認（Ｒｅｔｕｒｎ Ｒｏｕｔｅａｂｉｌｉｔｙ：ＲＲ）、プロトコルのカプセル化等に関連する処理オーバーヘッドを含む処理オーバーヘッドを導入しうる。これは、ＮＥＭＯのセキュリティ構造設計の効率に負の影響を与えうる。

本開示の実施形態は、添付の図面に例として図示されるが、これらに限定されない。また、図中の類似の参照符号は同様の要素を表す。

本発明は、ＩＢＥを有する効率的なＮＥＭＯセキュリティを提供する。

本開示の種々の実施形態によるＮＥＭＯ及びＩＢＥに基づく通信に適した例である装置を示す。 本開示の種々の実施形態によるＮＥＭＯ及びＩＢＥに基づく例である通信システムを示す。 本開示の種々の実施形態によるＮＥＭＯでＩＢＥを用いる例である動作の一部を説明するフロー図を示す。 本開示の種々の実施形態を実行するための使用に適した例であるコンピュータ・システムを示す。

以下の詳細な説明では、その一部を形成する添付の図面が参照される。添付の図面は本開示が実行されうる説明のための実施形態として示される。他の実施形態が利用されてもよく、構造的又は論理的変化が本開示の範囲から逸脱することなく行われてもよいことが理解されるべきである。従って、以下の詳細な説明は限定的意味と考えられるのではなく、本開示による実施形態の範囲は特許請求の範囲及びその等価物によって定められる。

種々の動作は、複数の別個の動作として、また本開示の理解に有用な方法で記載される。しかしながら、記載の順序はこれらの動作が必ずしも順序に依存していることを示唆しない。

用語「結合される」及び「接続される」に加えてそれらの派生語が用いられてもよい。これらの用語は、互いに同義語を意味しないことが理解されるべきである。むしろ、特定の実施形態では、「接続される」は２以上の要素が物理的又は電気的に互いに間接的に接触していることを示すために用いられうる。「結合される」は、２以上の要素が物理的又は電気的に直接的に接触していることを意味しうる。しかしながら、「結合される」は、２以上の要素が互いに間接的に接触していないが、依然として互いに協調して又は相互作用していることも意味しうる。

説明を目的として、「Ａ／Ｂ」の形式又は「Ａ及び／又はＢ」の形式の表現は、（Ａ）、（Ｂ）又は（Ａ及びＢ）を意味する。説明を目的として、「Ａ、Ｂ及びＣのうちの少なくとも１つ」の形式の表現は、（Ａ）、（Ｂ）、（Ｃ）、（Ａ及びＢ）、（Ａ及びＣ）、（Ｂ及びＣ）又は（Ａ、Ｂ及びＣ）を意味する。説明を目的として、「Ａ（Ｂ）」の形式の表現は、（Ｂ）又は（ＡＢ）、つまりＡが任意の要素であることを意味する。

説明は、「一実施形態では」又は「実施形態では」という表現を用いうる。これらは同一の又は異なる実施形態のうちの１又は複数を表しうる。更に、用語「有する（ｃｏｍｐｒｉｓｉｎｇ、ｉｎｃｌｕｄｉｎｇ、ｈａｖｉｎｇ）」等は、本開示の実施形態に関連して用いられるとき、同義である。

ＮＥＭＯは、セキュリティのために、ＩＰＳｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ）及びセキュリティ・アソシエーション（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎｓ：ＳＡ）を用いることを提案する。ＮＥＭＯに基づき、サブ・ネットワークの移動ノードを含む該サブ・ネットワーク全体は、そのホーム・ネットワークから外部ネットワークへ動き、該外部ネットワークに参加してもよい。ＮＥＭＯ／移動体ＩＰに従い、移動ノードはＣｏＡを与えられてもよい。移動ノードは、１又は複数のバインディング・アップデートを介して、ホーム・ネットワーク内の自身のＨＡにＣｏＡを送信して、自身の現在の位置をＨＡに知らせてもよい。その後、エンド・ツーエンドのＩＰＳｅｃ ＥＳＰ（Ｅｎｃａｐｓｕｌａｔｅｄ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）で保護された双方向トンネルが、ホーム・ネットワークと外部ネットワークとの間に設定されてもよい。しかしながら、移動ノードは自身のホーム・ネットワークにおけるホーム・アドレスに関連付けられたままなので、相手ノードは、移動ノードのホーム・アドレスにパケットを送信することにより移動ノードと通信し続けうる。パケットは、移動ノードのホーム・ネットワーク内の該移動ノードのＨＡにより受信され、ＩＰＳｅｃトンネルを介して外部ネットワーク内にいる該移動ノードへ転送されてもよい。特に、ＨＡは、ＩＰＳｅｃトンネルの入口及び出口を送信元及び宛先アドレスとして用い、ＩＰヘッダの外層を構築してもよい。

しかしながら、移動ノードを含むサブ・ネットワークが１又は複数の追加ホップを介して別のネットワークへ動く場合、別のＩＰＳｅｃトンネルがこれらのネットワークのそれぞれの間に途中で設定されてもよい。その後、相手ノードからのパケットは、移動ノードに到達する前に多くのＩＰＳｅｃトンネルを通じて伝達してもよい。ネットワークのエッジに近いアクセス・ルータ（ＡＲ）に参加している移動ノードが最高位のツリー・ノードと見なされる場合、ｎ回移動（roaming）した後の該移動ノードへの経路は、ツリーのｎ番目のレベルの深さへ行く必要がある。移動ノードが更に遠くへ離れ、ルートから深さｎのブランチを有し、それによりルーティングのコストが増大し、ＮＥＭＯベースのネットワークの拡張性が低減するとき、ＨＡ及び／又はネットワークは過負荷になりうる。

更に、ＩＰＳｅｃを用いて異なるトンネル間で異なるセキュリティ・アソシエーション（ＳＡ）に接続するとき、ＳＡは対応される暗号アソシエーションを互いに個々に交渉する必要がある。従って、ＩＰＳｅｃにより用いられるＳＡメカニズムは、ＮＥＭＯに準拠するネットワークに追加オーバーヘッドを課す。従って、ＮＥＭＯでセキュリティを提供する方法としてＩＰＳｅｃ及びＳＡを用いることによるオーバーヘッドは、ＮＥＭＯネットワークの移動性及び信頼性にとって負担となる。

本開示の種々の実施形態では、ＩＤベース暗号（Ｉｄｅｎｔｉｔｙ Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ：ＩＢＥ）が用いられ、過度なＩＰＳｅｃカプセル化により生じるオーバーヘッドを低減しうる。ＩＢＥの基本概念は、ＩＥＴＦにより発行されたＲＦＣ５４０８に開示されている。

図１は、本開示の種々の実施形態によるＮＥＭＯ及びＩＢＥに基づく通信ネットワークに適した例である装置を示す。装置１００は、受信機１１０、送信機１２０、鍵生成器１３０、暗号化エンジン１４０、及び復号化エンジン１５０を有し、これらは示されるようにバス１６０を介して互いに結合され、以下に更に説明されるように本開示の方法を実行するためにロジックを与えられる。図１は別個の構成要素を列挙しているが、これらの構成要素のうちの１又は複数が単一の構成要素に統合されてもよく、又は更に分割されてもよいことが理解される。例えば、暗号化エンジン１４０及び復号化エンジン１５０は単一の暗号エンジンに結合されてもよい。装置１００は、電源、アンテナ、メモリ等のような図１に示されない他の構成要素を有してもよい。種々の実施形態では、構成要素１１０乃至１５０は、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）のようなハードウェア、又は汎用プロセッサ（又はプロセッサ・コア）で動作するソフトウェア、又はそれらの組合せで実施されてもよい。更に、構成要素１１０乃至１５０は、例えばポイント・ツー・ポイント接続等のような他の種類の相互接続を介して互いに結合されてもよい。

図２は、本開示の種々の実施形態によるＮＥＭＯ及びＩＢＥに基づく例である無線通信システムを示す。示されるように、通信システム２００は、複数のＮＥＭＯに準拠した通信ネットワーク２１０、２２０及び２３０等を有してもよい。ＮＥＭＯに準拠した通信ネットワーク２１０乃至２３０は、１又は複数の他のネットワーク２０５を介して互いに結合されてもよい。１又は複数のネットワーク２０５は、如何なる大きさ及び接続形態のネットワークを有してもよく、ＮＥＭＯに準拠してもしていなくてもよく、一般にインターネットと称されるネットワーク・クラウドを含む１又は複数の私設及び／又は公衆ネットワーク、又はそれらの組合せであってもよい。図２中のＮＥＭＯに準拠した通信ネットワークの数は、説明を目的としている。図２は３つのＮＥＭＯに準拠した通信ネットワークを示すが、通信システム２００は更に多くの又は少ないＮＥＭＯに準拠した通信ネットワークを有してもよい。

種々の実施形態では、通信ネットワーク２１０は、ホーム・エージェント（ＨＡ）２１１及び相手ノード（ＣＮ）２１２を有してもよい。通信ネットワーク２２０は、ＨＡ２２１、移動ルータ（ＭＲ）２２２及び移動ネットワーク・ノード（ＭＮＮ）２２３を有してもよい。ＭＲ２２２、ＭＮＮ２２３及びＣＮ２１２は、図１に示されたような本開示の教示を組み込まれた装置１００に基づく装置であってもよい。

通信システム２００は、公開／秘密鍵生成器（ＰＫＧ）サーバ２０１を更に有してもよい。種々の実施形態では、ＰＫＧサーバ２０１は、マスタ公開鍵及び対応するマスタ秘密鍵を保持してもよい。マスタ公開／秘密鍵は、静的に作成されてもよく、又は動的に生成されてもよい。マスタ公開鍵に対する要求を受信すると、ＰＫＧサーバ２０１は、必要な認証及び承認の後に、マスタ公開鍵を要求元に対して発行し、マスタ秘密鍵を保有する。同様に、マスタ秘密鍵に対する要求を受信すると、ＰＫＧサーバ２０１は、必要な認証及び承認の検証の後に、マスタ秘密鍵を要求元に対して発行し、マスタ公開鍵を保有する。ＰＫＧサーバ２０１は、専用サービスであってもよく、又は通信システム２００に存在するウェブ・サービスを含む別のサービスの一部として統合されてもよい。ＰＫＧサーバ２０１は、ソフトウェア又はハードウェアの何れで実施されてもよく、集中又は分散されてもよい。種々の実施形態では、ＰＫＧサーバ２０１による認証及び承認の検証は、任意であってもよい。

種々の実施形態では、ＣＮ２１２、ＭＲ２２２、ＭＮＮ２２３、ＨＡ２１１及び／又はＨＡ２２１を含む通信システム２００のエンティティは、ＰＫＧサーバ２０１と通信して、マスタ公開鍵又はマスタ秘密鍵の何れかを得てもよく、鍵生成器１３０を介して必要な暗号／復号鍵を生成してもよい。

種々の実施形態では、ＭＲ２２２は、ＭＮＮ２２３のためのルータとして動作してもよく、ＭＮＮ２２３へのネットワーク・アクセスを提供してもよい。ＭＮＮ２２３がＣＮ２１２との通信を望む場合、ＭＮＮ２２３は、ＣＮ２１２向けのパケットを先ずＭＲ２２２へ送信してもよい。ＭＲ２２２は、自身の受信機１１０を介してＭＮＮ２２３からパケットを受信し、該パケットを自身の送信機１２０を介してＣＮ２１２へ転送してもよい。パケットは、ＣＮ２１２に到達する前に１又は複数の中間ルータ及びＨＡを通じて横断してもよい。種々の実施形態では、ＭＲ２２２及びＭＮＮ２２３は、ネットワーク２２０からネットワーク２３０へ移動してもよい。ＭＲ２２２は、ネットワーク２３０のＭＲ２３２に参加してもよい。ＭＮＮ２２３及びＭＲ２２２は、ネットワーク２３０のＦＡ（示されない）によりそれぞれＣｏＡを与えられてもよい。

種々の実施形態では、ＭＲ２２２及び／又はＭＮＮ２２３がＣＮ２１２と通信したい場合、ＭＲ２２２及び／又はＭＮＮ２２３は、ＣＮ２１２のアイデンティティとしてＣＮ２１２のホーム・アドレスを用いてもよい。ＭＲ２２２及び／又はＭＮＮ２２３は、ＣＮ２１２に対して有効なＩＢＥに準拠した公開鍵を有するか否かを決定してもよい。ＭＲ２２２及び／又はＭＮＮ２２３がＣＮ２１２に対してＩＢＥに準拠した公開鍵を有していない場合、又は既存のＩＢＥに準拠した公開鍵が有効でない場合、例えば期限切れの場合、ＭＲ２２２及び／又はＭＮＮ２２３は、ＰＫＧサーバ２０１に問い合わせてマスタ公開鍵（ＭＰｕｂＫ）を要求してもよい。ＭＲ２２２及び／又はＭＮＮ２２３は、鍵生成器１３０を介して、ＣＮ２１２に対してユニークなＩＢＥに準拠した公開鍵を生成してもよい。ＣＮ２１２のＩＢＥに準拠した公開鍵は、種々の方法で生成されてもよい。一実施形態では、ＭＲ２２２及び／又はＭＮＮ２２３の鍵生成器１３０は、ＣＮ２１２のアイデンティティ、つまりホーム・アドレスとＭＰｕｂＫのＸＯＲ演算を実行することにより、ＣＮ２１２のＩＢＥに準拠した公開鍵を生成してもよい。ＭＲ２２２及び／又はＭＮＮ２２３は、次に、暗号化エンジン１４０を介して、ＣＮ２１２のＩＢＥに準拠した公開鍵とともに、ＣＮ２１２へ送信されるべき平文メッセージを暗号化することにより暗号文を生成してもよい。ＭＲ２２２及び／又はＭＮＮ２２３は、次に、ＮＥＭＯ及び移動体ＩＰに従い、送信機１２０を介して、ＣＮ２１２へ暗号化メッセージを送信してもよい。

種々の実施形態では、ＣＮ２１２が暗号化メッセージを自身の受信機を介して受信するとき、ＣＮ２１２は先ず自身が有効なＩＢＥに準拠した秘密鍵を有するか否かを決定してもよい。ＣＮ２１２がＩＢＥに準拠した秘密鍵を有していない場合、又は既存のＩＢＥに準拠した秘密鍵が有効でない場合、例えば期限切れの場合、ＣＮ２１２は、ＰＫＧサーバ２０１に問い合わせてマスタ秘密鍵（ＭＰｒｖＫ）を得てもよい。ＣＮ２１２は、次に、鍵生成器１３０を介して、例えばＣＮ２１２のホーム・アドレスとＭＰｒｖＫとのＸＯＲ演算を実行することにより自身のＩＢＥに準拠した秘密鍵を生成してもよい。ＣＮ２１２は自身のＩＢＥに準拠した秘密鍵を得た後、復号化エンジン１５０を介して、ＩＢＥに準拠した秘密鍵を用いてＭＮＮ２２３からのメッセージを復号化してもよい。メッセージはＩＢＥに基づき暗号化されるので、メッセージはＣＮ２１２とＭＲ２２２及び／又はＭＮＮ２２３との間にトンネルを設定することなく、また高価なカプセル化を用いることなく、送信されてよく、それにより通信の効率が向上する。

種々の実施形態では、ＩＢＥに準拠した秘密鍵を作り出す方法は、作り出されたＩＢＥに準拠した秘密鍵がＩＢＥに準拠した公開鍵によりエンコードされたメッセージを復号することに成功しうる限り、ＩＢＥに準拠した公開鍵を作り出す方法と同一又は対称的でなくてもよい。

種々の実施形態では、ＣＮ２１２がＭＲ２２２及び／又はＭＮＮ２２３と通信したいと望む場合、ＣＮ２１２は以上に記載したのと同様に類似のＩＢＥ暗号化方法を実行してもよい。ＭＮＮ２２３及びＭＲ２２２のＣｏＡは、ＭＮＮ２２３及びＭＲ２２２のアイデンティティとして用いられてもよい。例えば、ＣＮ２１２は、ＣＮ２１２の鍵生成器１３０を介して、ＭＮＮ２２３及び／又はＭＲ２２２のＣｏＡとＭＰｕｂＫとのＸＯＲ演算を実行することにより、ＩＢＥに準拠した公開鍵を計算してもよい。ＣＮ２１２は、次に、自身の暗号化エンジン１４０を介して、生成された公開鍵に基づきメッセージを暗号化してもよい。ＣＮ２１２は、送信機１２０を介して暗号化メッセージを送信してもよい。同様に、ＭＲ２２２及び／又はＭＮＮ２２３は、自身の受信機１１０を介してメッセージを受信し、鍵生成器１３０を介して自身のＣｏＡとＭＰｒｖＫとのＸＯＲ演算を実行することにより自身のＩＢＥに準拠した秘密鍵を計算し、復号化エンジン１５０を介して、ＣＮ２１２からのメッセージを復号化するために該秘密鍵を用いてもよい。

種々の実施形態では、ＩＢＥに準拠した公開鍵／秘密鍵の計算及び／又はＰＫＧサーバとの問い合わせは、必要な場合にのみ行われればよい。例えば、ＩＢＥに準拠した公開鍵／秘密鍵の計算は、ＣＮ２１２又はＭＲ２２２の何れかが新たなＣｏＡを得た場合、又はＩＢＥに準拠した公開鍵／秘密鍵が期限切れとなった場合のみ実行されてもよい。更に、ＮＥＭＯでＩＢＥを用い、マスタ公開鍵／秘密鍵は、ジャスト・イン・タイムに基づき提供されるので、通信ネットワーク２００の全てのエンティティに同時に分配される必要はない。

種々の実施形態では、ＣＮ２１２は、自身のいる場所に関係なく自身のアイデンティティとしてＭＲ２２２のホーム・アドレス又はＭＮＮ２２３のホーム・アドレスを用いてもよい。ＣＮ２１２は、ＭＰｕｂＫを取り込みＭＲ２２２又はＭＮＮ２２３のホーム・アドレスとのＸＯＲ演算を行うことにより、ＭＲ２２２又はＭＮＮ２２３のＩＢＥに準拠した公開鍵を計算してもよい。ＭＲ２２２又はＭＮＮ２２３のホーム・アドレスは、ＭＲ２２２及び／又はＭＮＮ２２３の実際の位置に関係なく同一のままなので、これは、ＭＲ２２２又はＭＮＮ２２３のＣｏＡをＣＮ２１２に知らせる必要を排除し、セッションの連続性を提供し、更に通信処理を簡略化しうる。

図３は、本開示の種々の実施形態によるＮＥＭＯでＩＢＥを用いる例である動作の一部を説明するフロー図を示す。ＣＮ２１２へ送信する前に、ＭＲ２２２は、ＣＮ２１２のためにＩＢＥに準拠した暗号鍵が必要であることを決定してもよい。３１０で、ＣＮ２１２のＩＢＥに準拠した暗号鍵を生成するために、ＭＲ２２２はマスタ公開鍵に関してＰＫＧサーバ２０１に問い合わせてもよく、またＰＫＧサーバ２０１はＭＲ２２２にマスタ公開鍵を与えてもよい。３２０で、ＭＲ２２２は、鍵生成器１３０を介して、例えばマスタ公開鍵を取り込みＣＮ２１２のホーム・アドレスとのＸＯＲ演算を実行することによりＩＢＥに準拠した秘密鍵を計算してもよい。ＭＲ２２２は送信機１２０を介して暗号文をＣＮ２１２へ送信してもよい。ＣＮ２１２は、ＣＮ２１２のためにＩＢＥに準拠した復号鍵が必要であることを決定してもよい。メッセージを受信した後に、３４０で、ＣＮ２１２はマスタ秘密鍵に関してＰＫＧサーバ２０１に問い合わせてもよく、またＰＫＧサーバ２０１はＣＮ２１２にマスタ秘密鍵を与えてもよい。次に、３５０で、ＣＮ２１２は、自身の鍵生成器１３０を介してマスタ秘密鍵を用いてＣＮ２１２のＩＢＥに準拠した暗号鍵を生成し、復号化エンジン１５０を介して暗号文を復号化してもよい。ＣＮ２１２は、例えばマスタ秘密鍵とＣＮ２１２のホーム・アドレスとの間のＸＯＲ演算を実行することによりＩＢＥに準拠した秘密鍵を生成してもよい。

図４は、本開示の種々の実施形態を実行するための使用に適した例であるコンピュータ・システムを示す。示されるように、コンピュータ・システム４００は、多数のプロセッサ又はプロセッサ・コア４０２、システム・メモリ４０４及び通信インタフェース４１０を有してもよい。本出願の目的のため、特許請求の範囲を含めて、用語「プロセッサ」及び「プロセッサ・コア」は、文脈上明示されない限り同義と考えられてもよい。

更に、コンピュータ・システム４００は、（ディスケット、ハード・ドライブ、コンパクト・ディクス読み出し専用メモリ（ＣＤＲＯＭ）等を含む製品のような）有形非一時的大容量記憶装置４０６、（キーボード、カーソル制御等のような）入力／出力装置４０８を有してもよい。要素は、１又は複数のバスを表すシステム・バス４１２を介して互いに結合されてもよい。複数のバスの場合には、複数のバスは１又は複数のバス・ブリッジ（示されない）によりブリッジされてもよい。

これらの要素のそれぞれは、当分野で知られている自身の従来の機能を実行してもよい。特に、システム・メモリ４９４及び有形非一時的大容量記憶装置４０６は、ここでは集合的に４２２として示されるプログラム命令の作業用コピー及び恒久的コピーを格納するために用いられてもよい。４２２は、１又は複数の移動ルータ、公開／秘密鍵生成器、ホーム・エージェント、外部エージェント等を含むＮＥＭＯに準拠した通信ネットワーク内の種々のエンティティにより実行される１又は複数のオペレーティング・システム、ドライバ、アプリケーションを実施する。

プログラム命令の恒久的コピーは、工場で又は現場で、例えばコンパクト・ディスク（ＣＤ）のような配布媒体（示されない）を通じて又は（配信サーバ（示されない）から）通信インタフェース４１０を通じて、永久記録媒体４０６に置かれてもよい。つまり、エージェント・プログラムの具現化を有する１又は複数の配布媒体は、エージェント及びプログラムを種々のコンピュータ装置に配信するために用いられてもよい。

これらの要素４０２−４１２の残りの構成は知られているので、更に説明されない。

本願明細書では特定の実施形態が図示され説明されたが、本開示の実施形態の範囲から逸脱することなく広範な代替の及び／又は等価な実施が示され説明された特定の実施形態の代用になりうることが当業者に理解されるだろう。本願は、本願明細書で議論された実施形態の如何なる適応又は変形も包含することを意図している。従って、本開示の実施形態は特許請求の範囲及びその等価物によってのみ限定されることが明らかである。

Claims (20)

1. 移動ルータにより、移動ネットワーク・ノードから、外部通信ネットワークを通じて相手ノードへ送信されるべきメッセージを受信する段階、
   前記移動ルータにより、前記相手ノードのアイデンティティに基づき暗号鍵を生成する段階、
   前記移動ルータにより、前記暗号鍵に基づき前記メッセージを暗号化する段階、
   前記移動ルータにより、前記暗号化されたメッセージを前記相手ノードへ送信する段階、
   を有し、
   前記移動ルータは、前記移動ルータ及び前記移動ネットワーク・ノードがホーム通信ネットワークにいるとき又は外部通信ネットワークにいるとき、前記移動ネットワーク・ノードへのネットワーク・アクセスを提供するよう構成される、
   ことを特徴とする方法。
2. 前記移動ルータにより、前記移動ネットワーク・ノードからのメッセージの受信に基づき、鍵サーバからマスタ公開鍵を要求する段階、
   前記移動ルータにより、前記要求に応答して前記鍵サーバから前記マスタ公開鍵を受信する段階、
   を更に有し、
   前記暗号鍵を生成する段階は、前記マスタ公開鍵に更に基づき前記暗号鍵を生成する段階を有する、
   ことを特徴とする請求項１に記載の方法。
3. 前記暗号鍵を生成する段階は、前記マスタ公開鍵と前記相手ノードのアイデンティティとのＸＯＲ演算を実行する段階を有する、
   ことを特徴とする請求項２に記載の方法。
4. 前記相手ノードのアイデンティティは、前記相手ノードに関連付けられたホーム・ネットワーク・アドレスを有する、
   ことを特徴とする請求項１乃至３の何れか一項に記載の方法。
5. 前記移動ルータにより、前記移動ルータと前記外部通信ネットワークとの間の関連を示す気付けアドレス（Ｃａｒｅ Ｏｆ Ａｄｄｒｅｓｓ：ＣｏＡ）を受信する段階、
   前記移動ルータにより、前記移動ルータのホーム・エージェントに前記ＣｏＡを提供する段階、
   を更に有する請求項１乃至４の何れか一項に記載の方法。
6. 前記移動ルータにより、前記相手ノードから第２の暗号化メッセージを受信する段階、
   前記移動ルータにより、前記移動ルータのアイデンティティ及びマスタ秘密鍵に基づき復号鍵を生成する段階、
   前記移動ルータにより、前記第２の暗号化メッセージを復号化する段階、
   を更に有する請求項１乃至５の何れか一項に記載の方法。
7. 前記移動ルータのアイデンティティは、前記外部通信ネットワークにおける前記移動ルータの気付けアドレスを有する、
   ことを特徴とする請求項６に記載の方法。
8. 前記移動ルータのアイデンティティは、前記ホーム通信ネットワークにおける前記移動ルータのホーム・アドレスを有する、
   ことを特徴とする請求項６に記載の方法。
9. 移動ルータから暗号化メッセージを受信し、
   前記相手ノードのアイデンティティ及びマスタ秘密鍵に基づき復号鍵を生成し、
   前記復号鍵に基づき前記暗号化メッセージを復号化する、
   動作を相手ノードに実行させる手段を有し、
   前記移動ルータは、移動ネットワーク・ノードに通信可能に結合され、
   前記移動ルータは、前記移動ネットワーク・ノードとともにホーム通信ネットワークから外部通信ネットワークへ移動し、前記ホーム通信ネットワーク及び前記外部通信ネットワーク内で前記移動ネットワーク・ノードへのネットワーク・アクセスを提供するよう構成される、
   ことを特徴とする製品。
10. 前記動作は、
    前記移動ルータからのメッセージの受信に基づき、鍵サーバからマスタ秘密鍵を要求し、
    前記要求に基づき、前記鍵サーバから前記マスタ秘密鍵を受信する、
    動作を更に有し、
    前記復号鍵を生成することは、前記マスタ秘密鍵に更に基づき前記復号鍵を生成することを有する、
    ことを特徴とする請求項９に記載の製品。
11. 前記暗号鍵を生成することは、前記マスタ公開鍵と前記移動ルータのアイデンティティとのＸＯＲ演算を実行することを有する、
    ことを特徴とする請求項１０に記載の製品。
12. 前記動作は、
    移動ルータのアイデンティティに基づき暗号鍵を生成すること、
    前記暗号鍵に基づきメッセージを暗号化すること、
    前記メッセージを前記移動ルータへ送信すること、
    を更に有する、
    ことを特徴とする請求項９乃至１１の何れか一項に記載の製品。
13. 前記相手ノードのアイデンティティは、前記相手ノードのホーム・ネットワークにおける前記相手ノードのネットワーク・アドレスを有する、
    ことを特徴とする請求項１２に記載の製品。
14. 前記相手ノードのホーム・ネットワークにおける前記相手ノードのネットワーク・アドレスは、ＩＰｖ６アドレスである、
    ことを特徴とする請求項１３に記載の製品。
15. 装置であって、
    当該装置は移動ノードとともに前記移動ノードのホーム・ネットワークから前記移動ノードの外部ネットワークへ移動するよう構成され、
    第１のメッセージは前記移動ノードのアイデンティティに基づき第１の暗号鍵を用いて暗号化され、
    当該装置は、
    相手ノードから前記第１のメッセージを受信するよう構成された受信機、
    前記受信機に結合され、前記移動ノードのアイデンティティに基づき復号鍵を生成し、前記相手ノードのアイデンティティに基づき第２の暗号鍵を生成する鍵生成器、
    前記鍵生成器に結合され、前記復号鍵に基づき前記第１のメッセージを復号化するよう構成された復号化エンジン、
    前記鍵生成器に結合され、前記第２の暗号鍵に基づき第２のメッセージを暗号化するよう構成された暗号化エンジン、
    前記相手ノードに前記第２のメッセージを送信するよう構成された送信機、
    を有する装置。
16. 前記鍵生成器は、
    前記第２のメッセージに基づき、鍵サーバからマスタ公開鍵を得て、
    前記マスタ公開鍵と前記相手ノードのアイデンティティとのＸＯＲ演算に基づき、前記第２の暗号鍵を生成する、
    よう更に構成される、
    ことを特徴とする請求項１５記載の装置。
17. 前記相手ノードのアイデンティティは、前記相手ノードのホーム・ネットワークにおける前記相手ノードのネットワーク・アドレスである、
    ことを特徴とする請求項１５乃至１６の何れか一項に記載の装置。
18. 前記移動ノードの前記ホーム・ネットワーク及び前記外部ネットワークは、ネットワーク移動性（Ｎｅｔｗｏｒｋ Ｍｏｂｉｌｉｔｙ：ＮＥＭＯ）に準拠した通信ネットワークである、
    ことを特徴とする請求項１５乃至１７の何れか一項に記載の装置。
19. 前記受信機は、移動ルータに通信可能に結合され、
    前記移動ルータのアイデンティティは、前記移動ノードの前記外部通信ネットワークにおける前記移動ルータの気付けアドレスを有する、
    ことを特徴とする請求項１８に記載の装置。
20. 前記移動ルータのアイデンティティは、前記移動ノードの前記ホーム・ネットワークにおける前記移動ルータのホーム・アドレスを有する、
    ことを特徴とする請求項１９に記載の装置。

Images