JP2003070068A - 認証区間判定方法、および認証区間判定装置 - Google Patents
認証区間判定方法、および認証区間判定装置Info
- Publication number
- JP2003070068A JP2003070068A JP2001258246A JP2001258246A JP2003070068A JP 2003070068 A JP2003070068 A JP 2003070068A JP 2001258246 A JP2001258246 A JP 2001258246A JP 2001258246 A JP2001258246 A JP 2001258246A JP 2003070068 A JP2003070068 A JP 2003070068A
- Authority
- JP
- Japan
- Prior art keywords
- authentication
- network
- connection
- connection form
- management server
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Landscapes
- Mobile Radio Communication Systems (AREA)
Abstract
(57)【要約】
【課題】 移動通信端末および網内装置に対して配布し
た認証鍵を用いて認証を行うに際し、移動通信端末およ
び網内装置の処理負荷を軽減すること。 【解決手段】 前記パケットを受信した認証管理サーバ
が接続する可能性のあるノードのアドレスまたはノード
識別子を示す網構成情報を導出するステップと、前記導
出された情報に基いて、認証を必要とする区間が予め定
められた接続形態を認定するステップとを含む。
た認証鍵を用いて認証を行うに際し、移動通信端末およ
び網内装置の処理負荷を軽減すること。 【解決手段】 前記パケットを受信した認証管理サーバ
が接続する可能性のあるノードのアドレスまたはノード
識別子を示す網構成情報を導出するステップと、前記導
出された情報に基いて、認証を必要とする区間が予め定
められた接続形態を認定するステップとを含む。
Description
【０００１】
【発明の属する技術分野】本発明は、移動通信端末およ
び移動通信網内の装置に対して配布した認証鍵を用いて
認証を行うに際し、移動通信端末および移動通信網内の
装置における処理負荷を軽減する方法に関する。
び移動通信網内の装置に対して配布した認証鍵を用いて
認証を行うに際し、移動通信端末および移動通信網内の
装置における処理負荷を軽減する方法に関する。
【０００２】
【従来の技術】従来、移動通信端末とパケットによる通
信を実現する方式のひとつとして、Ｍｏｂｉｌｅ ＩＰ
技術（ＲＦＣ２００２、ＩＰ Ｍｏｂｉｌｉｔｙ Ｓｕ
ｐｐｏｒｔ，１９９６）が知られている。このＭｏｂｉ
ｌｅ ＩＰ技術における認証では、移動通信端末からの
位置登録時に、移動通信端末の正当性が確認された後
に、移動通信端末と、アクセスルータに相当するフォー
リンエージェント（ＦＡ：Ｆｏｒｅｉｇｎ Ａｇｅｎ
ｔ、外部エージェントともいう。）と、その移動通信端
末が契約している網に属するホームエージェント（Ｈ
Ａ：Ｈｏｍｅ Ａｇｅｎｔ）に対して、認証管理サーバ
に相当するＡＡＡサーバ（Ａｕｔｈｅｎｔｉｃａｔｉｏ
ｎ，Ａｕｔｈｏｒｉｚａｔｉｏｎ，Ａｃｃｏｕｎｔｉｎ
ｇに関するサーバ）から認証鍵を配布し、その移動通信
端末と、フォーリンエージェントと、ホームエージェン
ト相互の全区間において認証処理を実行している。な
お、ＡＡＡサーバから認証鍵を配布する技術は、IETFの
ｄｒａｆｔ−ｉｅｔｆ−ｍｏｂｉｌｅｒｐ−ａａａ−ｋ
ｅｙ−０８．ｔｘｔに開示されている。
信を実現する方式のひとつとして、Ｍｏｂｉｌｅ ＩＰ
技術（ＲＦＣ２００２、ＩＰ Ｍｏｂｉｌｉｔｙ Ｓｕ
ｐｐｏｒｔ，１９９６）が知られている。このＭｏｂｉ
ｌｅ ＩＰ技術における認証では、移動通信端末からの
位置登録時に、移動通信端末の正当性が確認された後
に、移動通信端末と、アクセスルータに相当するフォー
リンエージェント（ＦＡ：Ｆｏｒｅｉｇｎ Ａｇｅｎ
ｔ、外部エージェントともいう。）と、その移動通信端
末が契約している網に属するホームエージェント（Ｈ
Ａ：Ｈｏｍｅ Ａｇｅｎｔ）に対して、認証管理サーバ
に相当するＡＡＡサーバ（Ａｕｔｈｅｎｔｉｃａｔｉｏ
ｎ，Ａｕｔｈｏｒｉｚａｔｉｏｎ，Ａｃｃｏｕｎｔｉｎ
ｇに関するサーバ）から認証鍵を配布し、その移動通信
端末と、フォーリンエージェントと、ホームエージェン
ト相互の全区間において認証処理を実行している。な
お、ＡＡＡサーバから認証鍵を配布する技術は、IETFの
ｄｒａｆｔ−ｉｅｔｆ−ｍｏｂｉｌｅｒｐ−ａａａ−ｋ
ｅｙ−０８．ｔｘｔに開示されている。
【０００３】図９は、従来のＭｏｂｉｌｅ ＩＰを適用
した基本ネットワーク構成を示す図である。ＨＡは、セ
キュリティの確保されていない接続、例えばインターネ
ットを介してＣＮ（Ｃｏｒｒｅｓｐｏｎｄｅｎｔ Ｎｏ
ｄｅ）と接続が可能である。また、図９においては、Ｈ
ＡはＦＡ１およびＦＡ２と通信が可能に接続されてお
り、ＭＮは、この時点でＦＡ１と通信しているものとす
る。ＡＡＡは、MNの正当性を確認後ＨＡ、ＦＡ１、およ
びＭＮ間の認証に必要な認証鍵又は認証鍵を生成するた
めの資源の配布を実施する。ＭＮが移動先で送信するパ
ケットは、HAによりインターセプトされ移動先の中継機
であるＦＡ１のＩＰアドレスでカプセル化され、移動元
の中継機であるFＡに届けられ、カプセル化をといた後
にMN宛に転送される。これにより、ＭＮは移動元のＩＰ
アドレスのままで移動元のＬＡＮに接続されているかの
ように通信を行うことが可能となる。
した基本ネットワーク構成を示す図である。ＨＡは、セ
キュリティの確保されていない接続、例えばインターネ
ットを介してＣＮ（Ｃｏｒｒｅｓｐｏｎｄｅｎｔ Ｎｏ
ｄｅ）と接続が可能である。また、図９においては、Ｈ
ＡはＦＡ１およびＦＡ２と通信が可能に接続されてお
り、ＭＮは、この時点でＦＡ１と通信しているものとす
る。ＡＡＡは、MNの正当性を確認後ＨＡ、ＦＡ１、およ
びＭＮ間の認証に必要な認証鍵又は認証鍵を生成するた
めの資源の配布を実施する。ＭＮが移動先で送信するパ
ケットは、HAによりインターセプトされ移動先の中継機
であるＦＡ１のＩＰアドレスでカプセル化され、移動元
の中継機であるFＡに届けられ、カプセル化をといた後
にMN宛に転送される。これにより、ＭＮは移動元のＩＰ
アドレスのままで移動元のＬＡＮに接続されているかの
ように通信を行うことが可能となる。
【０００４】図１０は、従来の認証鍵の配布方式を示す
図である。図１０において、ＭＮ（Ｍｏｂｉｌｅ Ｎｏ
ｄｅ：移動ノード）はユーザであり、ユーザ識別子であ
るＮＡＩ（Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ Ｉｄｅｎｔ
ｉｆｉｅｒ）とMN〜AAA間で予め保存されている共有秘
密鍵をもとに生成したMN−AAA認証拡張を位置登録要求
メッセージ内に格納し、ＦＡ宛に送信する。ＦＡは、送
信されてきた位置登録要求メッセージを、ＡＡＡとの通
信プロトコルであるＤＩＡＭＥＴＥＲメッセージ内にマ
ッピングし、自らが所属するドメイン内のＡＡＡに情報
を送信する。ＡＡＡでは、ＮＡＩによってユーザのホー
ムのＡＡＡを識別し、プロキシーとなってホームのＡＡ
Ａに送信する。ＡＡＡでは、事前にＭＮと共有していた
認証鍵を元にユーザ認証を実施し、ＡＡＡ内で管理して
いる各認証鍵又は認証鍵を生成する資源をそれぞれ払い
出し、ＨＡ宛のメッセージ内にそれらの鍵を格納して転
送する。各認証鍵には、網へのアクセスのためのＭＮ−
ＦＡ認証鍵、ノード間認証であるＦＡ−ＨＡ認証鍵、Ｍ
ＮとＨＡとの間の認証であるＭＮ−ＨＡ認証鍵がある。
図である。図１０において、ＭＮ（Ｍｏｂｉｌｅ Ｎｏ
ｄｅ：移動ノード）はユーザであり、ユーザ識別子であ
るＮＡＩ（Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ Ｉｄｅｎｔ
ｉｆｉｅｒ）とMN〜AAA間で予め保存されている共有秘
密鍵をもとに生成したMN−AAA認証拡張を位置登録要求
メッセージ内に格納し、ＦＡ宛に送信する。ＦＡは、送
信されてきた位置登録要求メッセージを、ＡＡＡとの通
信プロトコルであるＤＩＡＭＥＴＥＲメッセージ内にマ
ッピングし、自らが所属するドメイン内のＡＡＡに情報
を送信する。ＡＡＡでは、ＮＡＩによってユーザのホー
ムのＡＡＡを識別し、プロキシーとなってホームのＡＡ
Ａに送信する。ＡＡＡでは、事前にＭＮと共有していた
認証鍵を元にユーザ認証を実施し、ＡＡＡ内で管理して
いる各認証鍵又は認証鍵を生成する資源をそれぞれ払い
出し、ＨＡ宛のメッセージ内にそれらの鍵を格納して転
送する。各認証鍵には、網へのアクセスのためのＭＮ−
ＦＡ認証鍵、ノード間認証であるＦＡ−ＨＡ認証鍵、Ｍ
ＮとＨＡとの間の認証であるＭＮ−ＨＡ認証鍵がある。
【０００５】図１１は、従来のＭｏｂｉｌｅ ＩＰにお
ける各種認証の種類と目的を示す図である。網へのアク
セスのためのＭＮ−ＦＡ認証は、不正ＦＡによる盗聴防
止、ローミングに契約していないユーザからの網アクセ
ス防止を目的とする。ノード間認証であるＦＡ−ＨＡ認
証は、オープンなネットワーク環境下における不正移動
エージェント（ＦＡまたはＨＡ）のなりすまし防止を目
的とする。ユーザ認証であるMN−HA認証は、ＨＡとして
不正ＭＮへのパケット転送防止、不正ＨＡへの登録防止
を目的とする。なお、ＭＮ−ＡＡＡ認証は、課金、サー
ビス情報、ユーザ認証等の加入者情報を管理するＡＡＡ
における不正ＭＮからのアクセス防止を目的とする。し
かし、ＲＦＣ２００２における規定では、対象外とされ
ている。
ける各種認証の種類と目的を示す図である。網へのアク
セスのためのＭＮ−ＦＡ認証は、不正ＦＡによる盗聴防
止、ローミングに契約していないユーザからの網アクセ
ス防止を目的とする。ノード間認証であるＦＡ−ＨＡ認
証は、オープンなネットワーク環境下における不正移動
エージェント（ＦＡまたはＨＡ）のなりすまし防止を目
的とする。ユーザ認証であるMN−HA認証は、ＨＡとして
不正ＭＮへのパケット転送防止、不正ＨＡへの登録防止
を目的とする。なお、ＭＮ−ＡＡＡ認証は、課金、サー
ビス情報、ユーザ認証等の加入者情報を管理するＡＡＡ
における不正ＭＮからのアクセス防止を目的とする。し
かし、ＲＦＣ２００２における規定では、対象外とされ
ている。
【０００６】図１０において、ＨＡでは、位置登録処理
を実施すると共に、ＡＡＡから払い出されたＭＮ−ＨＡ
認証鍵とノード間認証鍵であるＦＡ−ＨＡ認証鍵を取得
する。また、ＨＡからＡＡＡを経由してＦＡ、ＭＮへ位
置登録の応答メッセージが返信され、そのメッセージを
受信する時点で、ＦＡ、ＭＮは、ＡＡＡから払い出され
た認証鍵を取得する。
を実施すると共に、ＡＡＡから払い出されたＭＮ−ＨＡ
認証鍵とノード間認証鍵であるＦＡ−ＨＡ認証鍵を取得
する。また、ＨＡからＡＡＡを経由してＦＡ、ＭＮへ位
置登録の応答メッセージが返信され、そのメッセージを
受信する時点で、ＦＡ、ＭＮは、ＡＡＡから払い出され
た認証鍵を取得する。
【０００７】
【発明が解決しようとする課題】上記のように、従来の
Ｍｏｂｉｌｅ ＩＰにおける認証鍵の配布技術では、図
１０に示すように、無条件に移動通信端末、フォーリン
エージェント、および、その移動通信端末が契約してい
る網に属するホームエージェント相互の全区間において
認証処理を実行する。しかし、例えば、移動通信端末が
通信可能であるフォーリンエージェントがその移動通信
端末と同一の通信事業者で管理されている場合には、両
者の正当性を確認するための認証処理は本来不必要と考
えられる。このため、従来の技術では、本来不必要な認
証処理をせざるをしてしまう場合があった。その結果、
移動通信端末および網内装置の処理負荷が増大するとい
う問題があった。
Ｍｏｂｉｌｅ ＩＰにおける認証鍵の配布技術では、図
１０に示すように、無条件に移動通信端末、フォーリン
エージェント、および、その移動通信端末が契約してい
る網に属するホームエージェント相互の全区間において
認証処理を実行する。しかし、例えば、移動通信端末が
通信可能であるフォーリンエージェントがその移動通信
端末と同一の通信事業者で管理されている場合には、両
者の正当性を確認するための認証処理は本来不必要と考
えられる。このため、従来の技術では、本来不必要な認
証処理をせざるをしてしまう場合があった。その結果、
移動通信端末および網内装置の処理負荷が増大するとい
う問題があった。
【０００８】本発明は、このような事情に鑑みてなされ
たものであり、移動通信端末および網内装置に対して配
布した認証鍵を用いて認証を行うに際し、移動通信端末
および網内装置の処理負荷を軽減することができる認証
方法を提供することを目的とする。
たものであり、移動通信端末および網内装置に対して配
布した認証鍵を用いて認証を行うに際し、移動通信端末
および網内装置の処理負荷を軽減することができる認証
方法を提供することを目的とする。
【０００９】
【課題を解決するための手段】上記の目的を達成するた
めに、本発明は、以下のような手段を講じた。すなわ
ち、本発明は、移動通信端末とパケット通信を行う移動
通信網における認証区間判定方法であって、前記パケッ
トを受信した認証管理サーバが接続する可能性のあるノ
ードに関する網構成情報を導出するステップと、前記導
出された情報に基いて、認証を必要とする区間が予め定
められた接続形態を認定するステップとを含むことを特
徴とする。上記認証区間判定方法において、更に前記パ
ケットに設定されているユーザ識別子を抽出するステッ
プを含み、前記接続形態認定ステップでは、前記抽出さ
れたユーザ識別子に関する情報を加味して、認証を必要
とする区間が予め定められた接続形態を認定するように
してもよい。また、上記認証区間判定方法において、更
に、前記移動通信端末と外部エージェントとの通信可否
を示すローミング契約情報を抽出するステップを含み、
前記接続形態認定ステップでは、前記抽出されたローミ
ング契約情報を加味して、認証を必要とする区間が予め
定められた接続形態を認定するようにしてもうよい。ま
た、上記認証区間判定方法において、更に、前記移動通
信端末が所属する網を識別すると共に、前記移動通信端
末が自網に所属している場合に前記認証管理サーバで管
理しているかどうかを識別するユーザ管理情報を抽出す
るステップを含み、前記接続形態認定ステップでは、前
記抽出されたユーザ管理情報を加味して、認証を必要と
する区間が予め定められた接続形態を認定するようにし
てもよい。また、上記認証区間判定方法において、前記
接続形態を認定するステップで、前記認証管理サーバへ
アクセスするためのメッセージ（例えばＤＩＡＭＥＴＥ
Ｒメッセージ）の送出元を検出し、検出された送信元が
自網の認証管理サーバ（例えばＡＡＡ）であるか他網の
認証管理サーバであるかに応じて接続形態を認定するス
テップと、前記認証管理サーバへアクセスするためのメ
ッセージの送出元が自網の外部エージェントである場合
に、自網のアクセス網をサポートしているかどうかによ
って接続形態を認定するステップとを含むこともでき
る。
めに、本発明は、以下のような手段を講じた。すなわ
ち、本発明は、移動通信端末とパケット通信を行う移動
通信網における認証区間判定方法であって、前記パケッ
トを受信した認証管理サーバが接続する可能性のあるノ
ードに関する網構成情報を導出するステップと、前記導
出された情報に基いて、認証を必要とする区間が予め定
められた接続形態を認定するステップとを含むことを特
徴とする。上記認証区間判定方法において、更に前記パ
ケットに設定されているユーザ識別子を抽出するステッ
プを含み、前記接続形態認定ステップでは、前記抽出さ
れたユーザ識別子に関する情報を加味して、認証を必要
とする区間が予め定められた接続形態を認定するように
してもよい。また、上記認証区間判定方法において、更
に、前記移動通信端末と外部エージェントとの通信可否
を示すローミング契約情報を抽出するステップを含み、
前記接続形態認定ステップでは、前記抽出されたローミ
ング契約情報を加味して、認証を必要とする区間が予め
定められた接続形態を認定するようにしてもうよい。ま
た、上記認証区間判定方法において、更に、前記移動通
信端末が所属する網を識別すると共に、前記移動通信端
末が自網に所属している場合に前記認証管理サーバで管
理しているかどうかを識別するユーザ管理情報を抽出す
るステップを含み、前記接続形態認定ステップでは、前
記抽出されたユーザ管理情報を加味して、認証を必要と
する区間が予め定められた接続形態を認定するようにし
てもよい。また、上記認証区間判定方法において、前記
接続形態を認定するステップで、前記認証管理サーバへ
アクセスするためのメッセージ（例えばＤＩＡＭＥＴＥ
Ｒメッセージ）の送出元を検出し、検出された送信元が
自網の認証管理サーバ（例えばＡＡＡ）であるか他網の
認証管理サーバであるかに応じて接続形態を認定するス
テップと、前記認証管理サーバへアクセスするためのメ
ッセージの送出元が自網の外部エージェントである場合
に、自網のアクセス網をサポートしているかどうかによ
って接続形態を認定するステップとを含むこともでき
る。
【００１０】また、上記認証区間判定方法において、前
記認証管理サーバへアクセスするためのメッセージの送
出元が自網の認証管理サーバである場合に、認証管理サ
ーバ間の接続がセキュリティの確保された接続、例えば
専用線、VPN（仮想プライベートネットワーク）等によ
るものかセキュリティの確保されていない接続、例えば
インターネットを介するものかを判断するステップと、
認証管理サーバ間の接続がセキュリティの確保された接
続、例えば専用線、VPN（仮想プライベートネットワー
ク）等によるものである場合は、自網のアクセス網をサ
ポートしているかどうかによって接続形態を認定するス
テップと、認証管理サーバ間の接続がセキュリティの確
保されていない接続、例えばインターネットを介するも
のである場合は、自網のアクセス網をサポートしている
かどうかによって接続形態を認定するステップとを含む
ようにしてもよい。また、上記認証区間判定方法におい
て、前記ローミング契約情報抽出ステップが、前記移動
通信端末とアクセスルータとの通信可否を示すローミン
グ契約情報を抽出するようにしてもよい。
記認証管理サーバへアクセスするためのメッセージの送
出元が自網の認証管理サーバである場合に、認証管理サ
ーバ間の接続がセキュリティの確保された接続、例えば
専用線、VPN（仮想プライベートネットワーク）等によ
るものかセキュリティの確保されていない接続、例えば
インターネットを介するものかを判断するステップと、
認証管理サーバ間の接続がセキュリティの確保された接
続、例えば専用線、VPN（仮想プライベートネットワー
ク）等によるものである場合は、自網のアクセス網をサ
ポートしているかどうかによって接続形態を認定するス
テップと、認証管理サーバ間の接続がセキュリティの確
保されていない接続、例えばインターネットを介するも
のである場合は、自網のアクセス網をサポートしている
かどうかによって接続形態を認定するステップとを含む
ようにしてもよい。また、上記認証区間判定方法におい
て、前記ローミング契約情報抽出ステップが、前記移動
通信端末とアクセスルータとの通信可否を示すローミン
グ契約情報を抽出するようにしてもよい。
【００１１】また、上記認証区間判定方法において、前
記接続形態を認定するステップが、前記認証サーバへの
アクセスするためのメッセージの送出元を検出し、検出
された送信元が自網の認証管理サーバであるか他網の認
証管理サーバであるかに応じて接続形態を認定するステ
ップと、前記メッセージの送出元が自網のアクセスルー
タである場合に、自網のアクセス網をサポートしている
かどうかによって接続形態を認定するステップとを含む
ようにしてもよい。
記接続形態を認定するステップが、前記認証サーバへの
アクセスするためのメッセージの送出元を検出し、検出
された送信元が自網の認証管理サーバであるか他網の認
証管理サーバであるかに応じて接続形態を認定するステ
ップと、前記メッセージの送出元が自網のアクセスルー
タである場合に、自網のアクセス網をサポートしている
かどうかによって接続形態を認定するステップとを含む
ようにしてもよい。
【００１２】また、上記認証区間判定方法において、前
記認定された接続形態に応じて必要な認証鍵または認証
鍵を生成するための資源を該当するノードに払い出すス
テップを含むように構成してもよい。
記認定された接続形態に応じて必要な認証鍵または認証
鍵を生成するための資源を該当するノードに払い出すス
テップを含むように構成してもよい。
【００１３】また、上記認証区間判定方法において、前
記認定された接続形態に応じて必要な認証鍵または認証
鍵を生成するための資源を該当するノードに払い出すス
テップを含むこともできる。
記認定された接続形態に応じて必要な認証鍵または認証
鍵を生成するための資源を該当するノードに払い出すス
テップを含むこともできる。
【００１４】また、移動通信端末とパケット通信を行う
移動通信網に設けられる認証区間判定装置であって、前
記パケットを受信した認証管理サーバが接続する可能性
のあるノードに関する網構成情報を導出する網構成情報
導出手段と、前記導出された情報に基いて、認証を必要
とする区間が予め定められた接続形態を認定する接続形
態認定手段とを備える。また、上記認証区間判定装置に
おいて、更に、前記パケットに設定されているユーザ識
別子を抽出するユーザ識別子抽出手段を含み、前記接続
形態認定手段が、前記ユーザ識別子抽出手段で抽出され
た前記ユーザ識別子更に加味して、接続形態を認定する
ように構成してもよい。また、上記認証区間判定装置に
おいて、更に、前記移動通信端末と外部エージェントと
の通信可否を示すローミング契約情報を抽出するローミ
ング契約情報抽出手段を含み、前記接続形態認定手段
が、前記ローミング契約情報抽出手段で抽出された前記
ローミング契約情報を更に加味して、接続形態を認定す
るように構成してもよい。また、上記認証区間判定装置
おいて、更に、前記移動通信端末が所属する網を識別す
ると共に、前記移動通信端末が自網に所属している場合
に前記認証管理サーバで管理しているかどうかを識別す
るユーザ管理情報を抽出するユーザ管理情報抽出手段を
含み、前記接続形態認定手段が、前記抽出されたユーザ
管理情報を更に加味して、接続形態を認定するように構
成してもよい。また、前記接続形態認定手段は、認証管
理サーバへアクセスするためのメッセージ（例えば、Ｄ
ＩＡＭＥＴＥＲメッセージ）の送出元を検出する送信元
検出手段と、前記検出された送信元が自網の認証管理サ
ーバ（例えば、ＡＡＡ）であるか他網の認証管理サーバ
であるかに応じて接続形態を定める第１テーブルと、前
記認証管理サーバへアクセスするためのメッセージの送
出元が自網の外部エージェントである場合に、自網のア
クセス網をサポートしているかどうかに応じて接続形態
を定める第２テーブルとを備えることもできる。
移動通信網に設けられる認証区間判定装置であって、前
記パケットを受信した認証管理サーバが接続する可能性
のあるノードに関する網構成情報を導出する網構成情報
導出手段と、前記導出された情報に基いて、認証を必要
とする区間が予め定められた接続形態を認定する接続形
態認定手段とを備える。また、上記認証区間判定装置に
おいて、更に、前記パケットに設定されているユーザ識
別子を抽出するユーザ識別子抽出手段を含み、前記接続
形態認定手段が、前記ユーザ識別子抽出手段で抽出され
た前記ユーザ識別子更に加味して、接続形態を認定する
ように構成してもよい。また、上記認証区間判定装置に
おいて、更に、前記移動通信端末と外部エージェントと
の通信可否を示すローミング契約情報を抽出するローミ
ング契約情報抽出手段を含み、前記接続形態認定手段
が、前記ローミング契約情報抽出手段で抽出された前記
ローミング契約情報を更に加味して、接続形態を認定す
るように構成してもよい。また、上記認証区間判定装置
おいて、更に、前記移動通信端末が所属する網を識別す
ると共に、前記移動通信端末が自網に所属している場合
に前記認証管理サーバで管理しているかどうかを識別す
るユーザ管理情報を抽出するユーザ管理情報抽出手段を
含み、前記接続形態認定手段が、前記抽出されたユーザ
管理情報を更に加味して、接続形態を認定するように構
成してもよい。また、前記接続形態認定手段は、認証管
理サーバへアクセスするためのメッセージ（例えば、Ｄ
ＩＡＭＥＴＥＲメッセージ）の送出元を検出する送信元
検出手段と、前記検出された送信元が自網の認証管理サ
ーバ（例えば、ＡＡＡ）であるか他網の認証管理サーバ
であるかに応じて接続形態を定める第１テーブルと、前
記認証管理サーバへアクセスするためのメッセージの送
出元が自網の外部エージェントである場合に、自網のア
クセス網をサポートしているかどうかに応じて接続形態
を定める第２テーブルとを備えることもできる。
【００１５】また、前記認証管理サーバへアクセスする
ためのメッセージの送出元が自網の認証管理サーバであ
る場合に、認証管理サーバ間の接続がセキュリティの確
保された接続、例えば専用線、VPN（仮想プライベート
ネットワーク）等によるものか、セキュリティの確保さ
れていない接続、例えばインターネットを介するものか
を判断する接続判断手段と、認証管理サーバ間の接続が
セキュリティの確保された接続、例えば専用線、VPN
（仮想プライベートネットワーク）等によるものである
場合は、自網のアクセス網をサポートしているかどうか
に応じて接続形態を定める第３テーブルと、認証管理サ
ーバ間の接続がセキュリティの確保されていない接続、
例えばインターネットを介するものである場合は、自網
のアクセス網をサポートしているかどうかに応じて接続
形態を定める第４テーブルとを備えることもできる。
ためのメッセージの送出元が自網の認証管理サーバであ
る場合に、認証管理サーバ間の接続がセキュリティの確
保された接続、例えば専用線、VPN（仮想プライベート
ネットワーク）等によるものか、セキュリティの確保さ
れていない接続、例えばインターネットを介するものか
を判断する接続判断手段と、認証管理サーバ間の接続が
セキュリティの確保された接続、例えば専用線、VPN
（仮想プライベートネットワーク）等によるものである
場合は、自網のアクセス網をサポートしているかどうか
に応じて接続形態を定める第３テーブルと、認証管理サ
ーバ間の接続がセキュリティの確保されていない接続、
例えばインターネットを介するものである場合は、自網
のアクセス網をサポートしているかどうかに応じて接続
形態を定める第４テーブルとを備えることもできる。
【００１６】これにより、ネットワーク側で接続形態を
判断することができるため、接続形態に応じて認証が必
要となる各ノードに、必要な認証鍵または認証鍵を生成
するための資源を配布することが可能となる。このた
め、接続形態によっては不必要な認証鍵を配布すること
がなくなり、各ノード内の認証処理の削減および網内で
配布した認証鍵管理コストの低減を図ることができる。
同時に、接続形態をユーザが判断し、接続形態毎に異な
る位置登録要求を送出する機能、例えば、判定する手順
や機能の実装が不要となる。
判断することができるため、接続形態に応じて認証が必
要となる各ノードに、必要な認証鍵または認証鍵を生成
するための資源を配布することが可能となる。このた
め、接続形態によっては不必要な認証鍵を配布すること
がなくなり、各ノード内の認証処理の削減および網内で
配布した認証鍵管理コストの低減を図ることができる。
同時に、接続形態をユーザが判断し、接続形態毎に異な
る位置登録要求を送出する機能、例えば、判定する手順
や機能の実装が不要となる。
【００１７】
【発明の実施の形態】以下、本発明の実施の形態につい
て、図面を参照して説明する。本実施の形態において、
ＭＮ、ＨＡ、ＦＡ、およびＡＡＡは、それぞれ、次の条
件を満たすものとする。
て、図面を参照して説明する。本実施の形態において、
ＭＮ、ＨＡ、ＦＡ、およびＡＡＡは、それぞれ、次の条
件を満たすものとする。
【００１８】ＭＮは、Ｍｏｂｉｌｅ Ｎｏｄｅ、すなわ
ち移動ノードであり、次の条件を満たす。 Ｍｏｂｉｌｅ ＩＰプロトコルを実装しているこ
と。ここでは、ＲＦＣ２００２で示されているＭｏｂｉ
ｌｅ ＩＰｖ４とする。 ＭＮ−ＮＡＩ拡張（ＲＦＣ２７９４）をサポートし
ていること。ＮＡＩとは、Ｎｅｔｗｏｒｋ Ａｃｃｅｓ
ｓ Ｉｄｅｎｔｉｆｉｅｒ、すなわち、ユーザ識別子の
ことである。 ＭＮ−ＡＡＡ認証（ＲＦＣ３０１２）をサポートし
ていること。 ＡＡＡとの間で共有秘密鍵を保持していること。 ＭＮが認証鍵を作る資源を受け取ったとき、それを
用いて認証鍵を生成することができること。
ち移動ノードであり、次の条件を満たす。 Ｍｏｂｉｌｅ ＩＰプロトコルを実装しているこ
と。ここでは、ＲＦＣ２００２で示されているＭｏｂｉ
ｌｅ ＩＰｖ４とする。 ＭＮ−ＮＡＩ拡張（ＲＦＣ２７９４）をサポートし
ていること。ＮＡＩとは、Ｎｅｔｗｏｒｋ Ａｃｃｅｓ
ｓ Ｉｄｅｎｔｉｆｉｅｒ、すなわち、ユーザ識別子の
ことである。 ＭＮ−ＡＡＡ認証（ＲＦＣ３０１２）をサポートし
ていること。 ＡＡＡとの間で共有秘密鍵を保持していること。 ＭＮが認証鍵を作る資源を受け取ったとき、それを
用いて認証鍵を生成することができること。
【００１９】ＨＡは、Ｈｏｍｅ Ａｇｅｎｔ、すなわち
ホームエージェントであり、次の条件を満たす。 Ｍｏｂｉｌｅ ＩＰプロトコルを実装しているこ
と。 ＡＡＡとの通信プロトコルであるＤＩＡＭＥＴＥＲ
プロトコルをサポートしていること。
ホームエージェントであり、次の条件を満たす。 Ｍｏｂｉｌｅ ＩＰプロトコルを実装しているこ
と。 ＡＡＡとの通信プロトコルであるＤＩＡＭＥＴＥＲ
プロトコルをサポートしていること。
【００２０】ＦＡは、Ｆｏｒｅｉｇｎ Ａｇｅｎｔ、す
なわち外部エージェントであり、次の条件を満たす。 Ｍｏｂｉｌｅ ＩＰプロトコルを実装しているこ
と。 ＡＡＡとの通信プロトコルであるＤＩＡＭＥＴＥＲ
プロトコルをサポートしていること。
なわち外部エージェントであり、次の条件を満たす。 Ｍｏｂｉｌｅ ＩＰプロトコルを実装しているこ
と。 ＡＡＡとの通信プロトコルであるＤＩＡＭＥＴＥＲ
プロトコルをサポートしていること。
【００２１】ＡＡＡは、Ａｕｔｈｅｎｔｉｃａｔｉｏ
ｎ，Ａｕｔｈｏｒｉｚａｔｉｏｎ，Ａｃｃｏｕｎｔｉｎ
ｇ、すなわち、認証、承認、課金であり、次の条件を満
たす。 ＤＩＡＭＥＴＥＲプロトコルをサポートしているこ
と。 ＭＮ−ＡＡＡ認証（ＲＦＣ３０１２）をサポートして
いること。 自分がＡＭＲ（ＤＩＡＭＥＴＥＲメッセージ）を受け
取る可能性のある相手ノードに関して、以下の情報を含
む網構成情報を記憶しておくこと。 １）自ノードと接続する可能性のあるノードのIPアドレ
ス及びNAI ２）自ノードと接続するノードの種別（自網又は他網の
AAA、自網のFA） ３）自ノードとそれが接続しているノードとの接続情報
（セキュリティが確保されていない接続、例えばインタ
ーネット経由又は、セキュリティが確保されている接
続、例えば専用線、VPN） ４）接続ノードが自ノードの場合、接続しているアクセ
ス網の種別（自アクセス網又は他アクセス網） 受け取ったＡＭＲメッセージ（ＤＩＡＭＥＴＥＲメ
ッセージ）に含まれるＭＮのＮＡＩ値とAMR値の送信元
ＩＰアドレス（又はNAI値）、AAA内に保持する網構成情
報から、接続形態を判断可能であること。 MNとの間で共有秘密鍵を保持していること。
ｎ，Ａｕｔｈｏｒｉｚａｔｉｏｎ，Ａｃｃｏｕｎｔｉｎ
ｇ、すなわち、認証、承認、課金であり、次の条件を満
たす。 ＤＩＡＭＥＴＥＲプロトコルをサポートしているこ
と。 ＭＮ−ＡＡＡ認証（ＲＦＣ３０１２）をサポートして
いること。 自分がＡＭＲ（ＤＩＡＭＥＴＥＲメッセージ）を受け
取る可能性のある相手ノードに関して、以下の情報を含
む網構成情報を記憶しておくこと。 １）自ノードと接続する可能性のあるノードのIPアドレ
ス及びNAI ２）自ノードと接続するノードの種別（自網又は他網の
AAA、自網のFA） ３）自ノードとそれが接続しているノードとの接続情報
（セキュリティが確保されていない接続、例えばインタ
ーネット経由又は、セキュリティが確保されている接
続、例えば専用線、VPN） ４）接続ノードが自ノードの場合、接続しているアクセ
ス網の種別（自アクセス網又は他アクセス網） 受け取ったＡＭＲメッセージ（ＤＩＡＭＥＴＥＲメ
ッセージ）に含まれるＭＮのＮＡＩ値とAMR値の送信元
ＩＰアドレス（又はNAI値）、AAA内に保持する網構成情
報から、接続形態を判断可能であること。 MNとの間で共有秘密鍵を保持していること。
【００２２】（実施の形態１）実施の形態１では、図１
０に示されるＡＡＡサーバにおける処理を図１に示すよ
うな処理アルゴリズムで行う。これにより、ユーザ／ノ
ード識別情報（ＮＡＩなど）や、ネットワークの接続情
報などを用いて、接続形態をネットワーク側で判断し、
接続形態に応じて必要と考えられる認証鍵（あるいは認
証鍵を生成する資源）を該当するノードに払い出す方法
を提案する。以下、Ｍｏｂｉｌｅ ＩＰｖ４を用いた場
合の処理手順を示す。なお、ここでは、気付アドレス
は、外部気付アドレスを使用するものとする。
０に示されるＡＡＡサーバにおける処理を図１に示すよ
うな処理アルゴリズムで行う。これにより、ユーザ／ノ
ード識別情報（ＮＡＩなど）や、ネットワークの接続情
報などを用いて、接続形態をネットワーク側で判断し、
接続形態に応じて必要と考えられる認証鍵（あるいは認
証鍵を生成する資源）を該当するノードに払い出す方法
を提案する。以下、Ｍｏｂｉｌｅ ＩＰｖ４を用いた場
合の処理手順を示す。なお、ここでは、気付アドレス
は、外部気付アドレスを使用するものとする。
【００２３】ＭＮは、ユーザ識別情報（例えば、ＭＮ−
ＮＡＩ）と、自分の管理ドメインにあるＡＡＡとの間で
予め保持している共有認証鍵情報を用いて、認証を行う
ための情報（例えば、ＭＮ−ＡＡＡ認証拡張）を付与し
た位置登録要求メッセージをＦＡに送出する（ステップ
Ｓ１）。
ＮＡＩ）と、自分の管理ドメインにあるＡＡＡとの間で
予め保持している共有認証鍵情報を用いて、認証を行う
ための情報（例えば、ＭＮ−ＡＡＡ認証拡張）を付与し
た位置登録要求メッセージをＦＡに送出する（ステップ
Ｓ１）。
【００２４】ＦＡでは、受け取った位置登録要求メッセ
ージを元に、ＭＮのユーザ識別情報と認証を行うための
情報、そして位置登録要求メッセージの内容を含むＤＩ
ＡＭＥＴＥＲメッセージを作成し、ＦＡのドメインを管
理するＡＡＡに対して送出する。ＡＡＡは、ＭＮが送出
した位置登録情報を含むＤＩＡＭＥＴＥＲメッセージ
（例えば、ＡＭＲメッセージ）を受信する（ステップＳ
２）。なお、ステップＳ６、ステップＳ８に分岐した場
合は、他網のＡＡＡまたは自網のＡＡＡからＤＩＡＭＥ
ＴＥＲメッセージが転送される。
ージを元に、ＭＮのユーザ識別情報と認証を行うための
情報、そして位置登録要求メッセージの内容を含むＤＩ
ＡＭＥＴＥＲメッセージを作成し、ＦＡのドメインを管
理するＡＡＡに対して送出する。ＡＡＡは、ＭＮが送出
した位置登録情報を含むＤＩＡＭＥＴＥＲメッセージ
（例えば、ＡＭＲメッセージ）を受信する（ステップＳ
２）。なお、ステップＳ６、ステップＳ８に分岐した場
合は、他網のＡＡＡまたは自網のＡＡＡからＤＩＡＭＥ
ＴＥＲメッセージが転送される。
【００２５】ＡＡＡは、ＡＭＲメッセージに含まれるＭ
Ｎのユーザ識別情報を参照し、自分に割り当てられてい
るＮＡＩ値と照合することによって、自網ユーザである
か他網ユーザであるかを識別する（ステップＳ３）。具
体的には、ＮＡＩ値から自網ユーザであるか他網ユーザ
であるかを判断するテーブルをＡＡＡで保持しておき、
それと照合することによってＭＮが自網ユーザであるか
他網ユーザであるかを識別する。
Ｎのユーザ識別情報を参照し、自分に割り当てられてい
るＮＡＩ値と照合することによって、自網ユーザである
か他網ユーザであるかを識別する（ステップＳ３）。具
体的には、ＮＡＩ値から自網ユーザであるか他網ユーザ
であるかを判断するテーブルをＡＡＡで保持しておき、
それと照合することによってＭＮが自網ユーザであるか
他網ユーザであるかを識別する。
【００２６】ステップＳ３において、登録要求を送出し
たＭＮが自網ユーザでない場合は、ＡＡＡで保持してい
るドメイン名に基づくローミング契約情報を参照し、Ｍ
Ｎの所属する他網とローミング契約を行っているかどう
かの判定を行う（ステップＳ４）。ここでは、ＭＮ−Ｎ
ＡＩとＡＡＡで管理しているローミング契約情報を使用
する。ステップＳ４において、ＭＮの属する他網とロー
ミング契約を行っていない場合は、ローミング非契約の
ＭＮからの位置登録要求であるため、位置登録を拒否す
るエラーメッセージをＦＡ経由でＭＮに返す（ステップ
Ｓ５）。一方、ステップＳ４において、ＭＮの属する他
網とローミング契約を行っている場合は、ローミング先
のＡＡＡへＤＩＡＭＥＴＥＲメッセージ（ＡＭＲ）を転
送し（ステップＳ６）、ステップＳ２へ移行する。
たＭＮが自網ユーザでない場合は、ＡＡＡで保持してい
るドメイン名に基づくローミング契約情報を参照し、Ｍ
Ｎの所属する他網とローミング契約を行っているかどう
かの判定を行う（ステップＳ４）。ここでは、ＭＮ−Ｎ
ＡＩとＡＡＡで管理しているローミング契約情報を使用
する。ステップＳ４において、ＭＮの属する他網とロー
ミング契約を行っていない場合は、ローミング非契約の
ＭＮからの位置登録要求であるため、位置登録を拒否す
るエラーメッセージをＦＡ経由でＭＮに返す（ステップ
Ｓ５）。一方、ステップＳ４において、ＭＮの属する他
網とローミング契約を行っている場合は、ローミング先
のＡＡＡへＤＩＡＭＥＴＥＲメッセージ（ＡＭＲ）を転
送し（ステップＳ６）、ステップＳ２へ移行する。
【００２７】一方、ステップＳ３において、登録要求を
送出したＭＮが自網ユーザである場合は、ＮＡＩ値に含
まれるドメイン名とＡＡＡで管理するドメイン名管理情
報（例えば、サブドメイン名によって自網ユーザであ
り、かつユーザが管理されているＡＡＡまでを識別でき
る情報）により、ＤＩＡＭＥＴＥＲメッセージ（ＡＭ
Ｒ）を受信したＡＡＡの管理配下のユーザであるかどう
かを判定する（ステップＳ７）。
送出したＭＮが自網ユーザである場合は、ＮＡＩ値に含
まれるドメイン名とＡＡＡで管理するドメイン名管理情
報（例えば、サブドメイン名によって自網ユーザであ
り、かつユーザが管理されているＡＡＡまでを識別でき
る情報）により、ＤＩＡＭＥＴＥＲメッセージ（ＡＭ
Ｒ）を受信したＡＡＡの管理配下のユーザであるかどう
かを判定する（ステップＳ７）。
【００２８】以下に説明するステップS7以降の手順が、
本発明の特徴であり、特に詳細に説明する。
本発明の特徴であり、特に詳細に説明する。
【００２９】ステップＳ７において、自網のユーザであ
るが、ＤＩＡＭＥＴＥＲメッセージを受信したＡＡＡ配
下のユーザでない場合は、そのユーザの所属するドメイ
ンを管理しているＡＡＡへＤＩＡＭＥＴＥＲメッセージ
を転送する（ステップＳ８）。一方、ステップＳ７にお
いて、自網のユーザであり、かつＤＩＡＭＥＴＥＲメッ
セージを受信したＡＡＡ配下のユーザである場合、受信
したＤＩＡＭＥＴＥＲメッセージの送信元のIPアドレス
から、ＡＡＡ内で管理する網接続情報（例えば、Ｃｏｎ
ｆｉｇファイル等）を参照することにより、メッセージ
送出元ノードの判定を行う（ステップＳ９）。
るが、ＤＩＡＭＥＴＥＲメッセージを受信したＡＡＡ配
下のユーザでない場合は、そのユーザの所属するドメイ
ンを管理しているＡＡＡへＤＩＡＭＥＴＥＲメッセージ
を転送する（ステップＳ８）。一方、ステップＳ７にお
いて、自網のユーザであり、かつＤＩＡＭＥＴＥＲメッ
セージを受信したＡＡＡ配下のユーザである場合、受信
したＤＩＡＭＥＴＥＲメッセージの送信元のIPアドレス
から、ＡＡＡ内で管理する網接続情報（例えば、Ｃｏｎ
ｆｉｇファイル等）を参照することにより、メッセージ
送出元ノードの判定を行う（ステップＳ９）。
【００３０】ステップＳ９において、ＤＩＡＭＥＴＥＲ
メッセージの送出元ノードが他網のＡＡＡである場合
は、「接続形態Ａ」であると判定する（ステップＳ１
０）。また、ステップＳ９において、ＤＩＡＭＥＴＥＲ
メッセージの送出元ノードが自網のＡＡＡである場合
は、「接続形態Ｂ」であると判定する（ステップＳ１
１）。また、ステップＳ９において、ＤＩＡＭＥＴＥＲ
メッセージの送出元ノードが自網のＦＡである場合は、
ＡＡＡ内で管理する網接続情報（例えば、Ｃｏｎｆｉｇ
ファイル等）を参照することによって、自網のアクセス
網と接続しているＦＡであるか、他網のアクセス網に接
続しているＦＡであるかを判定する（ステップＳ１
２）。
メッセージの送出元ノードが他網のＡＡＡである場合
は、「接続形態Ａ」であると判定する（ステップＳ１
０）。また、ステップＳ９において、ＤＩＡＭＥＴＥＲ
メッセージの送出元ノードが自網のＡＡＡである場合
は、「接続形態Ｂ」であると判定する（ステップＳ１
１）。また、ステップＳ９において、ＤＩＡＭＥＴＥＲ
メッセージの送出元ノードが自網のＦＡである場合は、
ＡＡＡ内で管理する網接続情報（例えば、Ｃｏｎｆｉｇ
ファイル等）を参照することによって、自網のアクセス
網と接続しているＦＡであるか、他網のアクセス網に接
続しているＦＡであるかを判定する（ステップＳ１
２）。
【００３１】ステップＳ１２において、自網のアクセス
網をサポートしていない場合は、「接続形態Ｃ」である
と判定し、自網のアクセス網をサポートしている場合
は、「接続形態Ｄ」であると判定する。
網をサポートしていない場合は、「接続形態Ｃ」である
と判定し、自網のアクセス網をサポートしている場合
は、「接続形態Ｄ」であると判定する。
【００３２】なお、Ｍｏｂｉｌｅ ＩＰｖ６の場合は、
Ｍｏｂｉｌｅ ＩＰｖ４の場合と異なりＦＡが存在しな
いが、ユーザの移動検知を補助するＡｃｃｅｓｓ Ｒｏ
ｕｔｅｒ（ＡＲ）にＡＡＡと連携する機能を持たせるこ
とにより、図４において、ＦＡをＡＲと置き換えること
が可能である。本発明は、Ｍｏｂｉｌｅ ＩＰｖ４のみ
ならず、Ｍｏｂｉｌｅ ＩＰｖ６にも適用可能である。
Ｍｏｂｉｌｅ ＩＰｖ４の場合と異なりＦＡが存在しな
いが、ユーザの移動検知を補助するＡｃｃｅｓｓ Ｒｏ
ｕｔｅｒ（ＡＲ）にＡＡＡと連携する機能を持たせるこ
とにより、図４において、ＦＡをＡＲと置き換えること
が可能である。本発明は、Ｍｏｂｉｌｅ ＩＰｖ４のみ
ならず、Ｍｏｂｉｌｅ ＩＰｖ６にも適用可能である。
【００３３】次に、上記のように識別された接続形態Ａ
〜Ｄの具体例について説明する。ここでは、Ｍｏｂｉｌ
ｅ ＩＰｖ４を例にとって説明する。Ｍｏｂｉｌｅ Ｉ
Ｐでは、認証区間として、ＭＮ〜ＦＡ間、ＦＡ〜ＨＡ
間、ＭＮ〜ＨＡ間の３種類の区間において、なりすまし
防止や改竄防止のための認証方法がＲＦＣ２００２で規
定されている。しかし、それぞれの使用方法や目的につ
いては詳細に言及されていないため、明確ではない。Ｍ
Ｎ〜ＨＡ間については、ユーザ認識のために必要となる
認証であると考えられるが、ＭＮ〜ＦＡ間、ＦＡ〜ＨＡ
間については、それぞれ網へのアクセス認証やノード間
の認証に用いられると考えられる。
〜Ｄの具体例について説明する。ここでは、Ｍｏｂｉｌ
ｅ ＩＰｖ４を例にとって説明する。Ｍｏｂｉｌｅ Ｉ
Ｐでは、認証区間として、ＭＮ〜ＦＡ間、ＦＡ〜ＨＡ
間、ＭＮ〜ＨＡ間の３種類の区間において、なりすまし
防止や改竄防止のための認証方法がＲＦＣ２００２で規
定されている。しかし、それぞれの使用方法や目的につ
いては詳細に言及されていないため、明確ではない。Ｍ
Ｎ〜ＨＡ間については、ユーザ認識のために必要となる
認証であると考えられるが、ＭＮ〜ＦＡ間、ＦＡ〜ＨＡ
間については、それぞれ網へのアクセス認証やノード間
の認証に用いられると考えられる。
【００３４】そこで、この網アクセス認証とノード間認
証について、ＭＮ〜ＦＡ及びFA〜HA間のセキュリティ保
証性により、従って、この２種類の認証方法の必要性か
ら、Ｍｏｂｉｌｅ ＩＰを用いた接続パターンは、それ
ぞれ、図２に示す接続形態Ａ〜Ｄの４種類に分類できる
ことが分かる。接続形態Ａ〜Ｄの４パターンそれぞれの
接続形態例としては、図２に示すような接続形態例（サ
ービス例）が考えられる。各接続形態の構成例を図３に
示す。なお、これらの接続例はあくまでも例示であり、
本発明は、これに限定されるわけではない。
証について、ＭＮ〜ＦＡ及びFA〜HA間のセキュリティ保
証性により、従って、この２種類の認証方法の必要性か
ら、Ｍｏｂｉｌｅ ＩＰを用いた接続パターンは、それ
ぞれ、図２に示す接続形態Ａ〜Ｄの４種類に分類できる
ことが分かる。接続形態Ａ〜Ｄの４パターンそれぞれの
接続形態例としては、図２に示すような接続形態例（サ
ービス例）が考えられる。各接続形態の構成例を図３に
示す。なお、これらの接続例はあくまでも例示であり、
本発明は、これに限定されるわけではない。
【００３５】図２および図３において、接続形態Ａは異
種キャリア間のローミング形態、すなわち、Ｍｏｂｉｌ
ｅ ＩＰを用いた移動制御を網内で適用している移動キ
ャリア間のローミングサービス等が該当する。この接続
形態Ａでは、ＭＮ〜ＦＡ間、ＦＡ〜ＨＡ間は管理するキ
ャリアが両端ノードで異なるためセキュリティが保証さ
れておらず、両方の区間での認証が必要であると考えら
れる。
種キャリア間のローミング形態、すなわち、Ｍｏｂｉｌ
ｅ ＩＰを用いた移動制御を網内で適用している移動キ
ャリア間のローミングサービス等が該当する。この接続
形態Ａでは、ＭＮ〜ＦＡ間、ＦＡ〜ＨＡ間は管理するキ
ャリアが両端ノードで異なるためセキュリティが保証さ
れておらず、両方の区間での認証が必要であると考えら
れる。
【００３６】また、接続形態ＢはＭｏｂｉｌｅ ＩＰに
よる移動管理機能を有する私設LAN間に、セキュリティ
の確保されていない接続、例えばインターネット網を介
した網において、MNが任意の私設LAN配下にローミング
する形態などが該当する。この接続形態Ｂでは、MNは、
私設LANと契約もしくは私設LANに管理されているためMN
−FA間の認証は不要であるが、ＦＡ〜ＨＡ区間はインタ
ーネット内でのデータの改ざん等の可能性があるため認
証が必要であると考えれる。
よる移動管理機能を有する私設LAN間に、セキュリティ
の確保されていない接続、例えばインターネット網を介
した網において、MNが任意の私設LAN配下にローミング
する形態などが該当する。この接続形態Ｂでは、MNは、
私設LANと契約もしくは私設LANに管理されているためMN
−FA間の認証は不要であるが、ＦＡ〜ＨＡ区間はインタ
ーネット内でのデータの改ざん等の可能性があるため認
証が必要であると考えれる。
【００３７】また、接続形態ＣはＭｏｂｉｌｅ ＩＰに
よる移動管理機能を有するキャリアに複数の私設ＬＡＮ
が収容されている網においてMNが任意の私設LAN配下に
ローミングする形態などが該当する。例えば、移動キャ
リア内の移動制御を用い、私設ＬＡＮ間の移動をサービ
スとして提供する形態や、移動キャリア自身がホットＳ
ｐｏｔ的にＬＡＮや異種アクセス網を収容し、その間の
移動サービスを提供する形態も考えられる。この接続形
態Ｃでは、HAとFAは閉域網内にあるためキャリアが保証
されているためFA〜HA区間の認証は不要であるが、ＭＮ
〜ＦＡ区間は管理するキャリアが異なるため認証が必要
であると考えられる。
よる移動管理機能を有するキャリアに複数の私設ＬＡＮ
が収容されている網においてMNが任意の私設LAN配下に
ローミングする形態などが該当する。例えば、移動キャ
リア内の移動制御を用い、私設ＬＡＮ間の移動をサービ
スとして提供する形態や、移動キャリア自身がホットＳ
ｐｏｔ的にＬＡＮや異種アクセス網を収容し、その間の
移動サービスを提供する形態も考えられる。この接続形
態Ｃでは、HAとFAは閉域網内にあるためキャリアが保証
されているためFA〜HA区間の認証は不要であるが、ＭＮ
〜ＦＡ区間は管理するキャリアが異なるため認証が必要
であると考えられる。
【００３８】また、接続形態Ｄは同一キャリア内の移動
制御の形態が該当する。すなわち、同一キャリア内にお
けるハンドオーバ等の移動制御へのＭｏｂｉｌｅ ＩＰ
の適用が考えられる。この接続形態Ｄでは、ＭＮ〜ＦＡ
間、ＦＡ〜ＨＡ間いずれも認証は不要であると考えられ
る。
制御の形態が該当する。すなわち、同一キャリア内にお
けるハンドオーバ等の移動制御へのＭｏｂｉｌｅ ＩＰ
の適用が考えられる。この接続形態Ｄでは、ＭＮ〜ＦＡ
間、ＦＡ〜ＨＡ間いずれも認証は不要であると考えられ
る。
【００３９】ただし、上記の接続形態Ａ〜Ｄでは、ＭＮ
〜ＨＡ間、およびＭＮ〜認証管理サーバ間の認証は、い
ずれの接続形態でも必要であることとする。
〜ＨＡ間、およびＭＮ〜認証管理サーバ間の認証は、い
ずれの接続形態でも必要であることとする。
【００４０】また、実施の形態１において、移動通信端
末が、実施の形態１における「接続形態Ｂ」の形態で通
信を行う場合、図１に示すアルゴリズムによって、ま
ず、該当する移動通信端末の所属する網に属するが、そ
の移動通信端末を管理していない認証管理サーバに対
し、その移動通信端末が送出する位置登録メッセージ
を、ＤＩＡＭＥＴＥＲプロトコルにマッピングしたメッ
セージが送出される。そして、ステップＳ２、ステップ
Ｓ３、ステップＳ７、ステップＳ８の処理を経て、その
移動通信端末を管理する認証管理サーバにそのメッセー
ジが転送される。そのメッセージを受信した、その移動
通信端末を管理する認証管理サーバは、ステップＳ２、
ステップＳ３、ステップＳ７、ステップＳ９、ステップ
Ｓ１１の処理を経て、接続形態Ｂであることが判別され
る。このため、この接続形態に必要なＭＮ−ＨＡ認証鍵
およびＦＡ−ＨＡ認証鍵を、該当するノードである、Ｍ
Ｎ、ＦＡ、ＨＡに対してＤＩＡＭＥＴＥＲメッセージと
Ｍｏｂｉｌｅ ＩＰメッセージを使用して配布する。こ
のような手順により、接続形態に応じた認証を行うこと
が可能となる。
末が、実施の形態１における「接続形態Ｂ」の形態で通
信を行う場合、図１に示すアルゴリズムによって、ま
ず、該当する移動通信端末の所属する網に属するが、そ
の移動通信端末を管理していない認証管理サーバに対
し、その移動通信端末が送出する位置登録メッセージ
を、ＤＩＡＭＥＴＥＲプロトコルにマッピングしたメッ
セージが送出される。そして、ステップＳ２、ステップ
Ｓ３、ステップＳ７、ステップＳ８の処理を経て、その
移動通信端末を管理する認証管理サーバにそのメッセー
ジが転送される。そのメッセージを受信した、その移動
通信端末を管理する認証管理サーバは、ステップＳ２、
ステップＳ３、ステップＳ７、ステップＳ９、ステップ
Ｓ１１の処理を経て、接続形態Ｂであることが判別され
る。このため、この接続形態に必要なＭＮ−ＨＡ認証鍵
およびＦＡ−ＨＡ認証鍵を、該当するノードである、Ｍ
Ｎ、ＦＡ、ＨＡに対してＤＩＡＭＥＴＥＲメッセージと
Ｍｏｂｉｌｅ ＩＰメッセージを使用して配布する。こ
のような手順により、接続形態に応じた認証を行うこと
が可能となる。
【００４１】なお、接続形態Ａ、Ｃ、Ｄの場合も上記の
接続形態Ｂの場合と同様に、必要な認証区間に応じた認
証を行うことが可能となる。
接続形態Ｂの場合と同様に、必要な認証区間に応じた認
証を行うことが可能となる。
【００４２】（実施の形態２）実施の形態２では、ま
ず、次のような前提条件が設定されている。 ＭＮ〜ＨＡ、およびＭＮ〜ＡＡＡ間の認証は必須と
する。 ＭＮ〜ＡＡＡ間では、共有認証鍵を予め保持してい
る。 ＭＮ〜ＦＡ、ＦＡ〜ＨＡ間の接続形態により、ユー
ザの接続形態を４つのパターンに分類する。この４つの
パターンを図４に示す。
ず、次のような前提条件が設定されている。 ＭＮ〜ＨＡ、およびＭＮ〜ＡＡＡ間の認証は必須と
する。 ＭＮ〜ＡＡＡ間では、共有認証鍵を予め保持してい
る。 ＭＮ〜ＦＡ、ＦＡ〜ＨＡ間の接続形態により、ユー
ザの接続形態を４つのパターンに分類する。この４つの
パターンを図４に示す。
【００４３】図４において、接続形態Ａは、例えば、他
キャリアのＭＮのローミングが該当する。接続形態Ｂ
は、例えば、セキュリティの確保されていない接続、例
えばインターネット網を介した私設ＬＡＮ間のローミン
グが該当する。接続形態Ｃは、例えば、キャリア移動管
理による複数の私設ＬＡＮを収容する形態が該当する。
接続形態Ｄは、例えば、同一キャリア内の移動制御の形
態が該当する。これらの各接続形態の構成例を、図５に
示す。
キャリアのＭＮのローミングが該当する。接続形態Ｂ
は、例えば、セキュリティの確保されていない接続、例
えばインターネット網を介した私設ＬＡＮ間のローミン
グが該当する。接続形態Ｃは、例えば、キャリア移動管
理による複数の私設ＬＡＮを収容する形態が該当する。
接続形態Ｄは、例えば、同一キャリア内の移動制御の形
態が該当する。これらの各接続形態の構成例を、図５に
示す。
【００４４】また、網構成情報に対する前提条件が次の
ように設定されている。 自網ＡＡＡ〜他網ＡＡＡ間は、セキュリティの確保
されていない接続、例えばインターネット経由を前提と
する。 自網ＡＡＡ〜自網ＦＡ間はセキュリティの確保され
た接続、例えば専用線、VPN（仮想プライベートネット
ワーク）等による接続を前提とする。 自網ＡＡＡ〜自網ＡＡＡ間は、セキュリティの確保
されていない接続、例えばインターネット経由またはセ
キュリティの確保された接続、例えば専用線、VPN（仮
想プライベートネットワーク）接続のどちらも許容す
る。
ように設定されている。 自網ＡＡＡ〜他網ＡＡＡ間は、セキュリティの確保
されていない接続、例えばインターネット経由を前提と
する。 自網ＡＡＡ〜自網ＦＡ間はセキュリティの確保され
た接続、例えば専用線、VPN（仮想プライベートネット
ワーク）等による接続を前提とする。 自網ＡＡＡ〜自網ＡＡＡ間は、セキュリティの確保
されていない接続、例えばインターネット経由またはセ
キュリティの確保された接続、例えば専用線、VPN（仮
想プライベートネットワーク）接続のどちらも許容す
る。
【００４５】次に、接続種別判定に必要な情報について
説明する。 （１）ＭＮが保持する情報としては、ＮＡＩ（Ｎｅｔｗ
ｏｒｋ ＡｃｃｅｓｓＩｄｅｎｔｉｆｉｅｒ）であり、
ユーザ名と、そのユーザが所属するドメインが識別可能
なものである。例えば、xxxxxxx@yyy.zzz.ne.jpの形で
ある。 （２）ＡＡＡが保持する情報としては、以下のものがあ
る。 まず、ＮＡＩであり、自分の管理するドメインが識
別可能なものである。例えば、aaa@yyy.zzz.ne.jpの形
である。 次に、ローミング情報であり、登録要求を送出した
ＭＮがローミング可能なユーザであるかどうかをＭＮ−
ＮＡＩのドメイン名を参照することにより判断する。 さらに、網構成情報であり、ＤＩＡＭＥＴＥＲメッ
セージを送出したノードのＩＰアドレスと、ＡＡＡが接
続する可能性のあるノード（自網のＦＡ、自網／他網の
ＡＡＡ）との対応表、およびそれらのノードとの間の接
続状況（セキュリティの確保されていない接続、例えば
インターネット経由／セキュリティの確保された接続、
例えば専用線、VPN（仮想プライベートネットワーク）
接続）を含めた情報である。ここでは、接続元ＩＰアド
レスとＮＡＩとの対応表も保持していてもよい。また、
自網ノードである場合、管理するアクセス網が自網／他
網であるかの情報を含む。
説明する。 （１）ＭＮが保持する情報としては、ＮＡＩ（Ｎｅｔｗ
ｏｒｋ ＡｃｃｅｓｓＩｄｅｎｔｉｆｉｅｒ）であり、
ユーザ名と、そのユーザが所属するドメインが識別可能
なものである。例えば、xxxxxxx@yyy.zzz.ne.jpの形で
ある。 （２）ＡＡＡが保持する情報としては、以下のものがあ
る。 まず、ＮＡＩであり、自分の管理するドメインが識
別可能なものである。例えば、aaa@yyy.zzz.ne.jpの形
である。 次に、ローミング情報であり、登録要求を送出した
ＭＮがローミング可能なユーザであるかどうかをＭＮ−
ＮＡＩのドメイン名を参照することにより判断する。 さらに、網構成情報であり、ＤＩＡＭＥＴＥＲメッ
セージを送出したノードのＩＰアドレスと、ＡＡＡが接
続する可能性のあるノード（自網のＦＡ、自網／他網の
ＡＡＡ）との対応表、およびそれらのノードとの間の接
続状況（セキュリティの確保されていない接続、例えば
インターネット経由／セキュリティの確保された接続、
例えば専用線、VPN（仮想プライベートネットワーク）
接続）を含めた情報である。ここでは、接続元ＩＰアド
レスとＮＡＩとの対応表も保持していてもよい。また、
自網ノードである場合、管理するアクセス網が自網／他
網であるかの情報を含む。
【００４６】次に、ＡＡＡの管理テーブルについて説明
する。図６に示すように、ＡＡＡの管理テーブルは、Ｉ
Ｐアドレス（ＮＡＩ値）、接続ノード又は、接続状況、
および管理アクセス網とから構成される。ローミング情
報としては、例えば、ローミング契約を行っているキャ
リアのドメイン名（＠以下）を保持する。これにより、
ＡＡＡで保持していないドメイン名を持つＭＮの要求を
拒否することができる。
する。図６に示すように、ＡＡＡの管理テーブルは、Ｉ
Ｐアドレス（ＮＡＩ値）、接続ノード又は、接続状況、
および管理アクセス網とから構成される。ローミング情
報としては、例えば、ローミング契約を行っているキャ
リアのドメイン名（＠以下）を保持する。これにより、
ＡＡＡで保持していないドメイン名を持つＭＮの要求を
拒否することができる。
【００４７】次に、実施の形態２に係る処理手順につい
て図７を参照して説明する。まず、ステップＴ１〜Ｔ７
は、該当するＭＮを管理しているＡＡＡを特定する手順
である。具体的には、ＡＡＡが受信したＤＩＡＭＥＴＥ
Ｒメッセージに含まれるＭＮのＮＡＩ値とＡＡＡのＮＡ
Ｉ値とを比較することにより、該当するユーザが管理さ
れているＡＡＡを特定する。その後、ステップＴ８にお
いて、受信したＤＩＡＭＥＴＥＲメッセージの送信元Ｉ
Ｐアドレスを元にして、ＡＡＡで予め保持している網構
成情報から、メッセージの送信元を特定する。その際、
他網のＡＡＡからであれば、ステップＴ９に移行し、
「接続形態Ａ」であると判断する。
て図７を参照して説明する。まず、ステップＴ１〜Ｔ７
は、該当するＭＮを管理しているＡＡＡを特定する手順
である。具体的には、ＡＡＡが受信したＤＩＡＭＥＴＥ
Ｒメッセージに含まれるＭＮのＮＡＩ値とＡＡＡのＮＡ
Ｉ値とを比較することにより、該当するユーザが管理さ
れているＡＡＡを特定する。その後、ステップＴ８にお
いて、受信したＤＩＡＭＥＴＥＲメッセージの送信元Ｉ
Ｐアドレスを元にして、ＡＡＡで予め保持している網構
成情報から、メッセージの送信元を特定する。その際、
他網のＡＡＡからであれば、ステップＴ９に移行し、
「接続形態Ａ」であると判断する。
【００４８】一方、ステップＴ８において、自網のＡＡ
Ａからであれば、ＡＡＡ間の接続はセキュリティの確保
された接続、例えば専用線、VPN（仮想プライベートネ
ットワーク）等であるのか、セキュリティの確保されて
いない接続、例えばインターネット経由であるのかを判
断する（ステップＴ１０）。ステップＴ１０における判
断の結果、セキュリティの確保されていない接続、例え
ばインターネット経由である場合は、ＤＩＡＭＥＴＥＲ
メッセージ中のＭｏｂｉｌｅ ＩＰメッセージに含まれ
る気付アドレスと、ＡＡＡで予め保持している網構成情
報よりＭＮが接続しているＦＡが、自アクセス網／他ア
クセス網のどちらを管理しているかを判定する（ステッ
プＴ１１）。この判定の結果、他アクセス網を管理して
いる場合は、ステップＴ１２に移行し、「接続形態Ａ」
であると判断する。一方、自アクセス網を管理している
場合は、ステップＴ１３に移行し、「接続形態Ｂ」であ
ると判断する。
Ａからであれば、ＡＡＡ間の接続はセキュリティの確保
された接続、例えば専用線、VPN（仮想プライベートネ
ットワーク）等であるのか、セキュリティの確保されて
いない接続、例えばインターネット経由であるのかを判
断する（ステップＴ１０）。ステップＴ１０における判
断の結果、セキュリティの確保されていない接続、例え
ばインターネット経由である場合は、ＤＩＡＭＥＴＥＲ
メッセージ中のＭｏｂｉｌｅ ＩＰメッセージに含まれ
る気付アドレスと、ＡＡＡで予め保持している網構成情
報よりＭＮが接続しているＦＡが、自アクセス網／他ア
クセス網のどちらを管理しているかを判定する（ステッ
プＴ１１）。この判定の結果、他アクセス網を管理して
いる場合は、ステップＴ１２に移行し、「接続形態Ａ」
であると判断する。一方、自アクセス網を管理している
場合は、ステップＴ１３に移行し、「接続形態Ｂ」であ
ると判断する。
【００４９】ステップＴ８において、ＤＩＡＭＥＴＥＲ
の送信元ノードが自網ＦＡである場合およびステップＴ
１０においてＡＡＡ間の接続がセキュリティの確保され
た接続、例えば専用線、VPN（仮想プライベートネット
ワーク）接続である場合は、ステップＴ１４に移行し、
ＭＮが接続しているＦＡのアクセス網のサポート状況に
ついて判定を行う。この判定の結果、他アクセス網を管
理している場合は、ステップＴ１５に移行し、「接続形
態Ｃ」であると判断する。一方、自アクセス網を管理し
ている場合は、ステップＴ１６に移行し、「接続形態
Ｄ」であると判断する。
の送信元ノードが自網ＦＡである場合およびステップＴ
１０においてＡＡＡ間の接続がセキュリティの確保され
た接続、例えば専用線、VPN（仮想プライベートネット
ワーク）接続である場合は、ステップＴ１４に移行し、
ＭＮが接続しているＦＡのアクセス網のサポート状況に
ついて判定を行う。この判定の結果、他アクセス網を管
理している場合は、ステップＴ１５に移行し、「接続形
態Ｃ」であると判断する。一方、自アクセス網を管理し
ている場合は、ステップＴ１６に移行し、「接続形態
Ｄ」であると判断する。
【００５０】以上のように接続形態を特定した後、ＭＮ
を管理するＡＡＡはその接続形態に応じて必要となる認
証鍵（又は認証鍵の資源）を該当するノードのみに配布
する。
を管理するＡＡＡはその接続形態に応じて必要となる認
証鍵（又は認証鍵の資源）を該当するノードのみに配布
する。
【００５１】なお、本実施の形態において、認証区間判
定装置としてのＡＡＡの概略構成について説明する。図
８に示すように、ＡＡＡ８０において、ユーザ識別子抽
出手段８１は、移動通信端末が送信したパケットに設定
されているユーザ識別子を抽出する。ローミング契約情
報抽出手段８２は、移動通信端末と外部エージェントと
の通信可否を示すローミング契約情報を抽出する。網構
成情報抽出手段８３は、パケットを受信した認証管理サ
ーバが接続する可能性のあるノードのアドレスまたはノ
ード識別子を示す網構成情報を抽出する。
定装置としてのＡＡＡの概略構成について説明する。図
８に示すように、ＡＡＡ８０において、ユーザ識別子抽
出手段８１は、移動通信端末が送信したパケットに設定
されているユーザ識別子を抽出する。ローミング契約情
報抽出手段８２は、移動通信端末と外部エージェントと
の通信可否を示すローミング契約情報を抽出する。網構
成情報抽出手段８３は、パケットを受信した認証管理サ
ーバが接続する可能性のあるノードのアドレスまたはノ
ード識別子を示す網構成情報を抽出する。
【００５２】ユーザ管理情報抽出手段８４は、移動通信
端末が所属する網を識別すると共に、移動通信端末が自
網に所属している場合に前記認証管理サーバで管理して
いるかどうかを識別するユーザ管理情報を抽出する。そ
して、本発明の特徴のひとつである接続形態認定手段８
５は、抽出された各情報に基いて、認証を必要とする区
間が予め定められた接続形態を認定する。さらに、送信
元検出手段８６は、ＤＩＡＭＥＴＥＲメッセージの送出
元を検出する。
端末が所属する網を識別すると共に、移動通信端末が自
網に所属している場合に前記認証管理サーバで管理して
いるかどうかを識別するユーザ管理情報を抽出する。そ
して、本発明の特徴のひとつである接続形態認定手段８
５は、抽出された各情報に基いて、認証を必要とする区
間が予め定められた接続形態を認定する。さらに、送信
元検出手段８６は、ＤＩＡＭＥＴＥＲメッセージの送出
元を検出する。
【００５３】第１〜第４テーブル８７は、検出された送
信元が自網のＡＡＡであるか他網のＡＡＡであるかに応
じて接続形態を定め、ＤＩＡＭＥＴＥＲメッセージの送
出元が自網の外部エージェントである場合に、自網のア
クセス網をサポートしているかどうかに応じて接続形態
を定め、ＡＡＡ間の接続がセキュリティの確保された接
続、例えば専用線、VPN（仮想プライベートネットワー
ク）等によるものである場合は、自網のアクセス網をサ
ポートしているかどうかに応じて接続形態を定め、ＡＡ
Ａ間の接続がセキュリティの確保されていない接続、例
えばインターネットを介するものである場合は、自網の
アクセス網をサポートしているかどうかに応じて接続形
態を定める。接続判断手段８８は、ＤＩＡＭＥＴＥＲメ
ッセージの送出元が自網のＡＡＡである場合に、ＡＡＡ
間の接続がセキュリティの確保された接続、例えば専用
線、VPN（仮想プライベートネットワーク）等によるも
のか、セキュリティの確保されていない接続、例えばイ
ンターネットを介するものかを判断する。以上の構成要
素は、制御バス８９に接続されており、図示しないＣＰ
Ｕによる制御を受ける。
信元が自網のＡＡＡであるか他網のＡＡＡであるかに応
じて接続形態を定め、ＤＩＡＭＥＴＥＲメッセージの送
出元が自網の外部エージェントである場合に、自網のア
クセス網をサポートしているかどうかに応じて接続形態
を定め、ＡＡＡ間の接続がセキュリティの確保された接
続、例えば専用線、VPN（仮想プライベートネットワー
ク）等によるものである場合は、自網のアクセス網をサ
ポートしているかどうかに応じて接続形態を定め、ＡＡ
Ａ間の接続がセキュリティの確保されていない接続、例
えばインターネットを介するものである場合は、自網の
アクセス網をサポートしているかどうかに応じて接続形
態を定める。接続判断手段８８は、ＤＩＡＭＥＴＥＲメ
ッセージの送出元が自網のＡＡＡである場合に、ＡＡＡ
間の接続がセキュリティの確保された接続、例えば専用
線、VPN（仮想プライベートネットワーク）等によるも
のか、セキュリティの確保されていない接続、例えばイ
ンターネットを介するものかを判断する。以上の構成要
素は、制御バス８９に接続されており、図示しないＣＰ
Ｕによる制御を受ける。
【００５４】以上のように、本実施の形態によれば、ネ
ットワーク側で接続形態を判断することができるため、
接続形態に応じて認証が必要となる各ノードに、必要な
認証鍵または認証鍵を生成するための資源を配布するこ
とが可能となる。このため、接続形態によっては不必要
な認証鍵を配布することがなくなり、各ノード内の認証
処理の削減および網内で配布した認証鍵管理コストの低
減を図ることができる。同時に、接続形態をユーザが判
断し、接続形態毎に異なる位置登録要求を送出する機
能、例えば、判定する手順や機能の実装が不要となる。
ットワーク側で接続形態を判断することができるため、
接続形態に応じて認証が必要となる各ノードに、必要な
認証鍵または認証鍵を生成するための資源を配布するこ
とが可能となる。このため、接続形態によっては不必要
な認証鍵を配布することがなくなり、各ノード内の認証
処理の削減および網内で配布した認証鍵管理コストの低
減を図ることができる。同時に、接続形態をユーザが判
断し、接続形態毎に異なる位置登録要求を送出する機
能、例えば、判定する手順や機能の実装が不要となる。
【００５５】
【発明の効果】以上説明したように、本発明は、移動通
信端末とパケット通信を行う移動通信網における認証区
間判定方法であって、前記パケットを受信した認証管理
サーバが接続する可能性のあるノードのアドレスまたは
ノード識別子を示す網構成情報を抽出するステップと、
前記抽出された情報に基いて、認証を必要とする区間が
予め定められた接続形態を認定するステップとを含む。
信端末とパケット通信を行う移動通信網における認証区
間判定方法であって、前記パケットを受信した認証管理
サーバが接続する可能性のあるノードのアドレスまたは
ノード識別子を示す網構成情報を抽出するステップと、
前記抽出された情報に基いて、認証を必要とする区間が
予め定められた接続形態を認定するステップとを含む。
【００５６】これにより、ネットワーク側で接続形態を
判断することができるため、接続形態に応じて認証が必
要となる各ノードのみに、必要な認証鍵または認証鍵を
生成するための資源を配布することが可能となる。
判断することができるため、接続形態に応じて認証が必
要となる各ノードのみに、必要な認証鍵または認証鍵を
生成するための資源を配布することが可能となる。
【図１】実施の形態１において、接続形態をネットワー
ク側で識別するためのフローチャートである。
ク側で識別するためのフローチャートである。
【図２】実施の形態１における接続形態Ａ〜Ｄの具体的
説明を示す図である。
説明を示す図である。
【図３】実施の形態１における接続形態Ａ〜Ｄの構成例
を示す図である。
を示す図である。
【図４】実施の形態２における接続形態Ａ〜Ｄの具体的
説明を示す図である。
説明を示す図である。
【図５】実施の形態２における接続形態Ａ〜Ｄの構成例
を示す図である。
を示す図である。
【図６】ＡＡＡの管理テーブルの例を示す図である。
【図７】実施の形態２において、接続形態をネットワー
ク側で識別するためのフローチャートである。
ク側で識別するためのフローチャートである。
【図８】ＡＡＡの概略構成を示す図である。
【図９】従来提案されているＭｏｂｉｌｅ ＩＰを適用
した場合の基本的なネットワーク構成を示す図である。
した場合の基本的なネットワーク構成を示す図である。
【図１０】従来提案されているＭｏｂｉｌｅ ＩＰの位
置登録とＡＡＡの連携による認証鍵の配布方法の処理シ
ーケンスを示す図である。
置登録とＡＡＡの連携による認証鍵の配布方法の処理シ
ーケンスを示す図である。
【図１１】従来のＭｏｂｉｌｅ ＩＰにおける各種認証
の種類と目的を示す図である。
の種類と目的を示す図である。
ＭＮ…Ｍｏｂｉｌｅ Ｎｏｄｅ、ＨＡ…Ｈｏｍｅ Ａｇ
ｅｎｔ、ＦＡ…Ｆｏｅｒｉｇｎ Ａｇｅｎｔ、ＡＡＡ…
Ａｕｔｈｅｎｔｉｃａｔｉｏｎ，Ａｕｔｈｏｒｉｚａｔ
ｉｏｎ，Ａｃｃｏｕｎｔｉｎｇ、ＣＮ…Ｃｏｒｒｅｓｐ
ｏｎｄｅｎｔＮｏｄｅ、ＡＲ…Ａｃｃｅｓｓ Ｒｏｕｔ
ｅｒ、８０…ＡＡＡ、８１…ユーザ識別子抽出手段、８
２…ローミング契約情報抽出手段、８３…網構成情報抽
出手段、８４…ユーザ管理情報抽出手段、８５…接続形
態認定手段、８６…送信元抽出手段、８７…第１〜第４
テーブル、８８…接続判断手段。
ｅｎｔ、ＦＡ…Ｆｏｅｒｉｇｎ Ａｇｅｎｔ、ＡＡＡ…
Ａｕｔｈｅｎｔｉｃａｔｉｏｎ，Ａｕｔｈｏｒｉｚａｔ
ｉｏｎ，Ａｃｃｏｕｎｔｉｎｇ、ＣＮ…Ｃｏｒｒｅｓｐ
ｏｎｄｅｎｔＮｏｄｅ、ＡＲ…Ａｃｃｅｓｓ Ｒｏｕｔ
ｅｒ、８０…ＡＡＡ、８１…ユーザ識別子抽出手段、８
２…ローミング契約情報抽出手段、８３…網構成情報抽
出手段、８４…ユーザ管理情報抽出手段、８５…接続形
態認定手段、８６…送信元抽出手段、８７…第１〜第４
テーブル、８８…接続判断手段。
フロントページの続き
(72)発明者 井原 武
東京都千代田区永田町二丁目11番１号 株
式会社エヌ・ティ・ティ・ドコモ内
Ｆターム(参考） 5J104 AA07 KA01 KA02 MA01 PA02
5K067 CC08 DD17 HH21 HH22 HH24
Claims (15)
- 【請求項１】 移動通信端末とパケット通信を行う移動
通信網における認証区間判定方法であって、 前記パケットを受信した認証管理サーバが接続する可能
性のあるノードに関する網構成情報を導出するステップ
と、 前記導出された情報に基いて、認証を必要とする区間が
予め定められた接続形態を認定するステップとを含むこ
とを特徴とする認証区間判定方法。 - 【請求項２】 請求項１記載の認証区間判定方法におい
て、更に前記パケットに設定されているユーザ識別子を
抽出するステップを含み、 前記接続形態認定ステップでは、前記抽出されたユーザ
識別子に関する情報を加味して、認証を必要とする区間
が予め定められた接続形態を認定することを特徴とす
る。 - 【請求項３】請求項１又は２記載の認証区間判定方法に
おいて、更に、前記移動通信端末と外部エージェントと
の通信可否を示すローミング契約情報を抽出するステッ
プを含み、前記接続形態認定ステップでは、前記抽出さ
れたローミング契約情報を加味して、認証を必要とする
区間が予め定められた接続形態を認定することを特徴と
する。 - 【請求項４】請求項１，２又は３記載の認証区間判定方
法において、更に、前記移動通信端末が所属する網を識
別すると共に、前記移動通信端末が自網に所属している
場合に前記認証管理サーバで管理しているかどうかを識
別するユーザ管理情報を抽出するステップを含み、前記
接続形態認定ステップでは、前記抽出されたユーザ管理
情報を加味して、認証を必要とする区間が予め定められ
た接続形態を認定することを特徴とする。 - 【請求項５】 前記接続形態を認定するステップは、 前記認証管理サーバへアクセスするためのメッセージの
送出元を検出し、検出された送信元が自網の認証管理サ
ーバであるか他網の認証管理サーバであるかに応じて接
続形態を認定するステップと、 前記メッセージの送出元が自網の外部エージェントであ
る場合に、自網のアクセス網をサポートしているかどう
かによって接続形態を認定するステップとを含むことを
特徴とする請求項１乃至４記載の認証区間判定方法。 - 【請求項６】 前記メッセージの送出元が自網の認証管
理サーバである場合に、認証管理サーバ間の接続がセキ
ュリティの確保された接続によるものかセキュリティの
確保されていない接続を介するものかを判断するステッ
プと、 認証管理サーバ間の接続が、セキュリティが確保された
接続によるものである場合は、自網のアクセス網をサポ
ートしているかどうかによって接続形態を認定するステ
ップと、 認証管理サーバ間の接続が、セキュリティが確保されて
いない接続を介するものである場合は、自網のアクセス
網をサポートしているかどうかによって接続形態を認定
するステップとを含むことを特徴とする請求項５記載の
認証区間判定方法。 - 【請求項７】 請求項３記載の認証区間判定方法におい
て、前記ローミング契約情報抽出ステップが、前記移動
通信端末とアクセスルータとの通信可否を示すローミン
グ契約情報を抽出することを特徴とする。 - 【請求項８】 前記接続形態を認定するステップは、 前記認証サーバへのアクセスするためのメッセージの送
出元を検出し、検出された送信元が自網の認証管理サー
バであるか他網の認証管理サーバであるかに応じて接続
形態を認定するステップと、 前記メッセージの送出元が自網のアクセスルータである
場合に、自網のアクセス網をサポートしているかどうか
によって接続形態を認定するステップとを含むことを特
徴とする請求項７記載の認証区間判定方法。 - 【請求項９】 前記認定された接続形態に応じて必要な
認証鍵または認証鍵を生成するための資源を該当するノ
ードに払い出すステップを含むことを特徴とする請求項
１乃至８のいずれかに記載の認証区間判定方法。 - 【請求項１０】 移動通信端末とパケット通信を行う移
動通信網に設けられる認証区間判定装置であって、 前記パケットを受信した認証管理サーバが接続する可能
性に関する網構成情報を導出する網構成情報導出手段
と、 前記導出された情報に基いて、認証を必要とする区間が
予め定められた接続形態を認定する接続形態認定手段と
を備えることを特徴とする認証区間判定装置。 - 【請求項１１】 請求項１０記載の認証区間判定装置に
おいて、更に、前記パケットに設定されているユーザ識
別子を抽出するユーザ識別子抽出手段を含み、前記接続
形態認定手段が、前記ユーザ識別子抽出手段で抽出され
た前記ユーザ識別子更に加味して、接続形態を認定する
ことを特徴とする。 - 【請求項１２】 請求項１０又は１１記載の認証区間判
定装置において、更に、前記移動通信端末と外部エージ
ェントとの通信可否を示すローミング契約情報を抽出す
るローミング契約情報抽出手段を含み、前記接続形態認
定手段が、前記ローミング契約情報抽出手段で抽出され
た前記ローミング契約情報を更に加味して、接続形態を
認定することを特徴とする。 - 【請求項１３】 請求項１０，１１又は１２記載の認証
区間判定装置おいて、更に、前記移動通信端末が所属す
る網を識別すると共に、前記移動通信端末が自網に所属
している場合に前記認証管理サーバで管理しているかど
うかを識別するユーザ管理情報を抽出するユーザ管理情
報抽出手段を含み、前記接続形態認定手段が、前記抽出
されたユーザ管理情報を更に加味して、接続形態を認定
することを特徴とする。 - 【請求項１４】 前記接続形態認定手段は、 前記認証サーバへアクセスするためのメッセージの送出
元を検出する送信元検出手段と、 前記検出された送信元が自網の認証管理サーバであるか
他網の認証管理サーバであるかに応じて接続形態を定め
る第１テーブルと、 前記メッセージの送出元が自網の外部エージェントであ
る場合に、自網のアクセス網をサポートしているかどう
かに応じて接続形態を定める第２テーブルとを備えるこ
とを特徴とする請求項１０乃至１２記載の認証区間判定
装置。 - 【請求項１５】 前記メッセージの送出元が自網の認証
管理サーバである場合に、認証管理サーバ間の接続がセ
キュリティの確保された接続、例えばセキュリティの確
保された接続によるものかセキュリティの確保されてい
ない接続、例えばインターネットを介するものかを判断
する接続判断手段と、 認証管理サーバ間の接続が信頼性のある接続よるもので
ある場合は、自網のアクセス網をサポートしているかど
うかに応じて接続形態を定める第３テーブルと、 認証管理サーバ間の接続が信頼性に欠ける接続を介する
ものである場合は、自網のアクセス網をサポートしてい
るかどうかに応じて接続形態を定める第４テーブルとを
備えることを特徴とする請求項１３記載の認証区間判定
装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001258246A JP4230683B2 (ja) | 2001-08-28 | 2001-08-28 | セキュリティ判定方法、およびセキュリティ判定装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001258246A JP4230683B2 (ja) | 2001-08-28 | 2001-08-28 | セキュリティ判定方法、およびセキュリティ判定装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003070068A true JP2003070068A (ja) | 2003-03-07 |
| JP4230683B2 JP4230683B2 (ja) | 2009-02-25 |
Family
ID=19085801
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001258246A Expired - Fee Related JP4230683B2 (ja) | 2001-08-28 | 2001-08-28 | セキュリティ判定方法、およびセキュリティ判定装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4230683B2 (ja) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1905734B (zh) * | 2005-07-25 | 2010-05-05 | 华为技术有限公司 | 一种目标基站获取鉴权密钥的方法及系统 |
| JP2010537571A (ja) * | 2007-08-17 | 2010-12-02 | クゥアルコム・インコーポレイテッド | アドホック・モバイル・サービス・プロバイダにおけるハンドオフ |
| US8644206B2 (en) | 2007-08-17 | 2014-02-04 | Qualcomm Incorporated | Ad hoc service provider configuration for broadcasting service information |
| US9179367B2 (en) | 2009-05-26 | 2015-11-03 | Qualcomm Incorporated | Maximizing service provider utility in a heterogeneous wireless ad-hoc network |
-
2001
- 2001-08-28 JP JP2001258246A patent/JP4230683B2/ja not_active Expired - Fee Related
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1905734B (zh) * | 2005-07-25 | 2010-05-05 | 华为技术有限公司 | 一种目标基站获取鉴权密钥的方法及系统 |
| JP2010537571A (ja) * | 2007-08-17 | 2010-12-02 | クゥアルコム・インコーポレイテッド | アドホック・モバイル・サービス・プロバイダにおけるハンドオフ |
| US8644206B2 (en) | 2007-08-17 | 2014-02-04 | Qualcomm Incorporated | Ad hoc service provider configuration for broadcasting service information |
| US9167426B2 (en) | 2007-08-17 | 2015-10-20 | Qualcomm Incorporated | Ad hoc service provider's ability to provide service for a wireless network |
| US9392445B2 (en) | 2007-08-17 | 2016-07-12 | Qualcomm Incorporated | Handoff at an ad-hoc mobile service provider |
| US9398453B2 (en) | 2007-08-17 | 2016-07-19 | Qualcomm Incorporated | Ad hoc service provider's ability to provide service for a wireless network |
| US9179367B2 (en) | 2009-05-26 | 2015-11-03 | Qualcomm Incorporated | Maximizing service provider utility in a heterogeneous wireless ad-hoc network |
Also Published As
| Publication number | Publication date |
|---|---|
| JP4230683B2 (ja) | 2009-02-25 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN1650576B (zh) | 在wlan漫游时用于gsm鉴权的方法和系统 | |
| KR101401605B1 (ko) | 접속에 특화된 키를 제공하기 위한 방법 및 시스템 | |
| US8477945B2 (en) | Method and server for providing a mobile key | |
| US9686669B2 (en) | Method of configuring a mobile node | |
| JP4586071B2 (ja) | 端末へのユーザポリシーの提供 | |
| KR100651716B1 (ko) | Ｄｉａｍｅｔｅｒ 기반 프로토콜에서 모바일 네트워크의부트스트랩핑 방법 및 그 시스템 | |
| US9113332B2 (en) | Method and device for managing authentication of a user | |
| US8533471B2 (en) | Method and server for providing mobility key | |
| US7213144B2 (en) | Efficient security association establishment negotiation technique | |
| US20080026724A1 (en) | Method for wireless local area network user set-up session connection and authentication, authorization and accounting server | |
| CN101006682B (zh) | 快速网络附着 | |
| US9043599B2 (en) | Method and server for providing a mobility key | |
| US20040066769A1 (en) | Method and system for establishing a connection via an access network | |
| US20040153555A1 (en) | Method and apparatus enabling reauthentication in a cellular communication system | |
| WO2000002406A2 (en) | System and method for authentication in a mobile communications system | |
| EP1741308A1 (en) | Improved subscriber authentication for unlicensed mobile access signaling | |
| JP2004241976A (ja) | 移動通信ネットワークシステムおよび移動端末認証方法 | |
| JP5044690B2 (ja) | Ｉｐモビリティシステムのための動的な外部エージェント−ホーム・エージェント・セキュリティ・アソシエーション割当て | |
| EP1629653B1 (en) | Secure traffic redirection in a mobile communication system | |
| WO2006079953A1 (en) | Authentication method and device for use in wireless communication system | |
| JP2003070068A (ja) | 認証区間判定方法、および認証区間判定装置 | |
| CN101355578B (zh) | 基于radius和diameter协议的移动ip应用的兼容方法及系统 | |
| US8817786B2 (en) | Method for filtering packets coming from a communication network | |
| KR100628304B1 (ko) | 모바일 네트워크에서의 핸드오프 방법 및 그 시스템 | |
| EP1443712B1 (en) | A method and a system for controlling handoff of a terminal |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20041012 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20060710 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070116 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070319 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080108 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080229 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20081202 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20081204 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4230683 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111212 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111212 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121212 Year of fee payment: 4 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121212 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131212 Year of fee payment: 5 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |