JP2003234740A

JP2003234740A - モバイルｉｐネットワークへのアクセスを安全にする方法

Info

Publication number: JP2003234740A
Application number: JP2002325168A
Authority: JP
Inventors: Satomi Okazaki; サトミオカザキ; Atsushi Takeshita; アツシタケシタ; Yiqun Yin; イーチュンイン; Aki Yokote; アキヨコテ
Original assignee: Docomo Communications Labs USA Inc
Current assignee: Docomo Innovations Inc
Priority date: 2001-11-09
Filing date: 2002-11-08
Publication date: 2003-08-22
Anticipated expiration: 2022-11-08
Also published as: JP3831331B2

Abstract

(57)【要約】【課題】ネットワークへのアクセスを安全に行う。【解決手段】モビリティエージェントは、モバイルノ
ードが認証できる広告メッセージを用いて、モバイルノ
ードに接続を提供する。広告メッセージは、送信元のモ
ビリティエージェントによって署名されていて、証明書
を同封している。この証明書は、送信元のモビリティエ
ージェントの公開鍵を有し、送信元のモビリティエージ
ェントの管理サーバのプライベートキーによって署名さ
れている。よって、モバイルノードが管理サーバの公開
鍵を持っている場合、モバイルノードは広告メッセージ
を認証できる。また、モバイルノードが管理サーバの公
開鍵を持っていない場合、モバイルノードはモビリティ
エージェントに登録する時に公開鍵を要求する。管理サ
ーバの公開鍵は、モバイルノードの認証に責任を持つ管
理サーバのプライベートキーによって署名された証明書
に入れて送られる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、モバイルノードに
接続を提供するネットワークの認証の為のプロトコルに
関する。本発明によるセキュリティプロトコルは、ＡＡ
Ａフレームワークに基づいているとともに、認証メカニ
ズムに公開鍵方式の暗号化方式を使用する。

【０００２】

【従来の技術】パーソナルコミュニケーションデバイス
への依存が急速に進んでいるので、世界中で無線通信へ
の需要が拡大している。無線の役割が、ほんの数年前の
音声と呼び出し無線サービス以上に大きくなっている。
世界的データネットワークの標準化の為に認められた機
関であるインターネット協会の国際電気通信連合（Ｉｎ
ｔｅｒｎａｔｉｏｎａｌＴｅｌｅｃｏｍｍｕｎｉｃａ
ｔｉｏｎＵｎｉｏｎ（ＩＴＵ））は最近、国際移動体
通信２０００規格（ＩＭＴ−２０００）を発表した。こ
の規格では、いわゆる第３世代とそれ以降（すなわち第
３．５世代、第４世代）のデータネットワークを提案し
ているが、このデータネットワークには、セルラ方式電
話、携帯情報端末（ＰＤＡ）、ハンドヘルドコンピュー
タなどの無線式移動体端末による広範囲にわたるモバイ
ルアクセスが含まれている。第３世代とそれ以降の世代
のネットワークでは、モバイルノードは、ネットワーク
リソースへの接続を維持しながら、あるネットワークか
ら他のネットワークへとネットワークへの接続点を変更
しながら移動することができる。このために、このよう
なデータネットワークは、ローミングしているモバイル
ノードをアドレス指定するモビリティサポートと、ネッ
トワークを越えてローミングをしているモバイルノード
にデータパケットをダイナミックに再ルーティングする
ことと、一番重要なのだが、そのようなローミングして
いるモバイルノードとモバイルノードが訪れたネットワ
ークの間の認証とを提供するように設計されていなけれ
ばならない。

【０００３】インターネットアーキテクチャの発展とイ
ンターネットのスムーズな運営に関心を有している、ネ
ットワーク設計者、事業者、ベンダー、さらに研究者の
国際的なコミュニティである、インターネット技術標準
化委員会（ＩＥＴＦ：ＴｈｅＩｎｔｅｒｎｅｔＥｎｇ
ｉｎｎｅｒｉｎｇＴａｓｋｆｏｒｃｅ）は、モビリ
ティへの対応に関するいくつかの基準を提案した。これ
らには、モバイルＩＰバージョン４（ＩＰｖ４）とも呼
ばれているＩＥＴＦによるＲＦＣ２００２や、モバイル
ＩＰバージョン６と呼ばれている「ＩＰｖ６におけるモ
ビリティサポート」と言う題の文書「ドラフト−ｉｅｔ
ｆ−モバイルＩＰｖ６−１３：ｄｒａｆｔ−ｉｅｔｆ−
ｍｏｂｉｌｅｉｐ−ｉｐｖ６−１３」などのＩＰモビリ
ティサポートの為に提案中標準が含まれている。両文書
は、参照として本明細書に組み込む。

【０００４】モバイルＩＰｖ４とＩＰｖ６で決められた
プロトコル処理によれば、モバイルノードは、ネットワ
ークリソースへの接続を保ちながら、あるネットワーク
から他のネットワークに接続ポイントを変更しながら移
動することができる。この処理は、「レイヤ３（Ｌ３）
ハンドオフ」と呼ばれ、レイヤ２（Ｌ２）ハンドオフと
は区別されるべきである。ここでレイヤ２ハンドオフと
は、モバイルノードが同一のネットワーク内で、リンク
層の接続をあるアクセスポイントから他のアクセスポイ
ントに変更することを言う。Ｌ３ハンドオフでは必ずＬ
２ハンドオフが伴うが、逆は必ずしもそうでない。モバ
イルＩＰｖ４とＩＰｖ６は、Ｌ３ハンドオフの処理に使
用されるメカニズムを提供している。モバイルＩＰｖ４
とＩＰｖ６両方において、ハンドオフ処理はモバイルノ
ードがハンドオフされる次のエージェントやルータを探
す処理から始まる。モバイルＩＰｖ４において、この処
理は、「エージェントディスカバリ」と呼ばれ、接続を
提供するモビリティエージェントをモバイルノードが探
す処理である。

【０００５】モビリティエージェントは定期的に自分自
身の存在を示す広告（ａｄｖｅｒｔｉｓｅ）をしてい
る。モバイルノードは、近くのモビリティエージェント
からの広告メッセージを受信して、自分自身が接続して
いるエージェントや自分自身がハンドオフされうるエー
ジェント候補を見つけることができる。モバイルノード
は、エージェントソリシテーションを送信することで、
近くのエージェントにエージェント広告（Ａｄｖｅｒｔ
ｉｓｅｍｅｎｔ）を要求しても良い。モバイルＩＰｖ６
では、同じ処理が「近隣ディスカバリー：Ｎｅｉｇｈｂ
ｏｒＤｉｓｃｏｖｅｒｙ」と呼ばれている。近隣ディ
スカバリーでは、ルータがルータ広告（Ａｄｖｅｒｔｉ
ｓｅｍｅｎｔ）を使って接続を提供している。モバイル
ノードは、ルータソリシテーションを送信することで、
近くのルータにルータ広告（Ａｄｖｅｒｔｉｓｅｍｅｎ
ｔ）を要求しても良い。

【０００６】Ｌ３ハンドオフの処理で一番重要なのは登
録である。モバイルノードは常に、「ホームアドレス」
によりそのアドレスを指定することができる。このホー
ムアドレスとは、ホームリンク上のホームエージェント
によってモバイルノードに割り当てられたＩＰアドレス
か、またはモバイルノード自身で決めたＩＰアドレスで
ある。ホームリンクから離れたフォーリンリンク上にモ
バイルノードがある時は、モバイルノードは、モバイル
ノードがその時点でインターネットに接続しているポイ
ントを示す気付アドレスによって、アドレス設定されて
いる。モバイルＩＰｖ４では、気付アドレスはフォーリ
ンエージェントのアドレスであり、ホームから離れたと
ころにあるモバイルノードは、気付アドレスをホームエ
ージェントに登録する。登録要求を受けたホームエージ
ェントは、モバイルノード宛のパケットを調べて、その
パケットをモバイルノードの気付アドレス宛に転送す
る。モバイルＩＰｖ６では、ホームから離れたモバイル
ノードは、ホームルータと通信相手ノードとにバインデ
ィング更新要求を送る。バインディング更新要求を受け
た通信相手ノードは、ホームルータを通すルートでな
く、モバイルノードに直接パケットを送信する。

【０００７】

【非特許文献】シー・パーキンス（Ｃ．Ｐｅｒｋｉｎ
ｓ）編、「ＲＦＣ２００２」、インターネット技術標準
化委員会（ＩＥＴＦ：ＴｈｅＩｎｔｅｒｎｅｔＥｎ
ｇｉｎｎｅｒｉｎｇＴａｓｋｆｏｒｃｅ）、１９９
６年１０月

【０００８】

【発明が解決しようとする課題】ここで、モバイルノー
ドが、第１のネットワークから第２のネットワークへと
ハンドオフしようとする時に、重大なセキュリティの問
題が出てくる。つまり、第２のネットワークは、モバイ
ルノードに対して安全であると認証されなければならな
いのである。これによりモバイルノードが悪意のある環
境で動作することのないようにしなければならない。例
えば、モバイルノードがあるネットワークから他のネッ
トワークに移動する時に、連続した良好なサービスをユ
ーザに提供する為に、素早いハンドオフが必要である。
しかし、問題のあるフォーリンエージェントやルータが
あって、問題のある広告メッセージを送信することで、
モバイルノードが素早いハンドオフを行うのを妨げよう
としていると言われている。問題のある広告メッセージ
として、モバイルノードをだますための誤った情報を入
れたものがあり、これにより、モバイルノードは、その
広告を出しているフォーリンエージェントを他のエージ
ェントよりも接続すべき相手だ（実際はそうではないの
だが）と誤って判断してしまう。悪意のあるエージェン
トやルータに登録するように誘い込まれたモバイルノー
ドは、何度も登録を試みようとしても登録できないとい
う結果になるだろう。もしモバイルノードが、そのよう
なフォーリンエージェントやルータに登録できても、モ
バイルノードは貧弱な接続性やサービスを受けることに
なるであろう。

【０００９】現在、多くの認証方法が実施され、様々な
アクセス技術のために導入されている。これには、例え
ばＰＰＰと８０２．１ネットワーク（無線ＬＡＮ）の認
証がある。しかし、これらはリンク層の方法であり、特
定のアクセス技術にしか適用できないので、万能な解決
方法ではない。この点で、ネットワーク層の解決法が好
ましいのは明らかである。ネットワーク層の解決法は、
その下のリンク層でどんなアクセス技術が使われていよ
うが有効であろう。ＩＰｓｅｃ認証サービスはＬ３の方
法であるが、Ｌ３ハンドオフの場合は、ネットワークと
モバイルノードがお互いに認証するための、実行可能な
解決法にはなりえない。ＩＰｓｅｃ認証は、２つの要素
間で前もって存在するセキュリティアソシエーションを
前提にしている。あるフォーリンエージェントやルータ
が、広告を受信した各モバイルノードとセキュリティア
ソシエーションをするだろうと仮定することは出来ない
し、あるいは、モバイルノードが、広告を送信している
近くのフォーリンエージェントやルータ全てとセキュリ
ティアソシエーションをするだろうと仮定することも出
来ない。

【００１０】

【課題を解決するための手段】本発明において、接続を
提供するモビリティエージェントは、モバイルノードが
認証できる形式で広告メッセージを送信する。本発明に
よれば、ネットワークは管理ドメインを有していて、こ
の管理ドメインの各々は、管理サーバと最低１つのモビ
リティエージェントを有している。モビリティエージェ
ントは、信頼されたエンティティが認証した広告メッセ
ージを用いて接続を提供し、これにより、モバイルノー
ドがメッセージの正当性を確かめることができる。

【００１１】信頼されたエンティティは、広告を送信し
ているモビリティエージェントが属するドメインにサー
ビスを提供している管理サーバでも良い。広告メッセー
ジは、広告を送信しているモビリティエージェントのプ
ライベートキーによって署名されていて、証明書（広告
を送信しているモビリティエージェントの公開鍵を含ん
でいて、信頼された管理サーバのプライベートキーによ
って署名されている）を同封していても良い。このよう
に、モバイルノードが信頼された管理サーバの公開鍵を
持っていれば、モバイルノードは、メッセージの正当性
を確かめることができる。

【００１２】モバイルノードが広告メッセージを受信
し、その広告の認証に成功したら、モバイルノードは、
認証した広告から１つを選択し、選択した広告を送信し
たモビリティエージェントに登録する。モビリティエー
ジェントの選択は、広告を送信しているモビリティエー
ジェントの接続性による。

【００１３】モバイルノードが、広告を送信しているモ
ビリティエージェントのどれも認証できない場合でも、
モバイルノードは、広告を送信しているモビリティエー
ジェントから１つを選択し、その選択された１つに登録
を進める。この登録プロセスを通して、モバイルノード
は、信頼された管理サーバの公開鍵を取得する。信頼さ
れた管理サーバの公開鍵は、モバイルノードの認証に責
任を有するホーム管理サーバによって認証される。モバ
イルノードが信頼するホーム管理サーバによって認証さ
れたので、信頼された管理サーバの公開鍵の正しさも、
モバイルノードは信頼することができる。

【００１４】本発明は、受信した広告メッセージのどれ
もモバイルノードが認証できない場合に、１つのモビリ
ティエージェントを選択する独特な方法を提供する。モ
バイルノードは、始め、ある期間内に受信した広告メッ
セージをグループに並べ替える。この並び替えは、メッ
セージ内に含まれているパラメータの一貫性の順にして
も良い。モバイルノードは、次に、広告メッセージのグ
ループのうち１つを選択する、そしてその選択したグル
ープから１つの広告メッセージを選択する。このプロセ
スの間、パラメータの一貫性が高い順に、グループの選
択を行っても良い。そして、広告メッセージの選択は、
メッセージを送信しているモビリティエージェントへの
接続性に基づいて行われる。そして、モバイルノード
は、選択されたメッセージを送信しているモビリティエ
ージェントに登録する。選択された広告を送信している
モビリティエージェントへの登録が失敗した場合、モバ
イルノードは、選択したグループの広告を全て廃棄し、
次に高い一貫性を有する他のグループを選択する。モバ
イルノードは、モビリティエージェントに登録できるま
で、このプロセスを繰り返す。

【００１５】

【発明の実施の形態】以下に図面を参照しながら、本発
明による好適な実施形態を説明する。ここで同一の要素
は同一の符号で表される。ここでの実施例の記載は、例
示を意図したものであり、発明の範囲を限定するもので
はない。

【００１６】図１は、本発明の用途として意図している
第３世代無線モバイルアクセスＩＰネットワーク１００
を例示している図である。説明上、データネットワーク
１００は、無線モバイルアクセスネットワークの為のＩ
ＴＵのＩＭＴ−２０００基準と仕様に準拠していると仮
定する。更に、データネットワーク１００は、ＩＥＴＦ
の提案されたモバイルＩＰｖ４とＩＰｖ６に拠ったモバ
イルＩＰサポートを実装していると仮定する。無線モバ
イルアクセスＩＰネットワーク１００は、固定接続点ま
たはリンクなどの多くの固定ノード（図示せず）を有す
るＩＰデータネットワーク１２０をそのコアとして有し
ている。

【００１７】インターネットのプロトコルに従って、デ
ジタルデータはネットワーク内やネットワークを越えて
伝送される。コアネットワーク１２０上には、ゲートル
ータ１３０の集合がある。このゲートルータ１３０の集
合は、ＩＰモバイルバックボーン１４０を形成し、イン
ターネット標準のアドレス・ルーティングプロトコルに
従って、このネットワークに接続している出所元ノード
と宛先ノードの間でのデータパケット伝送をする。ＩＰ
モバイルバックボーン１４０を形成しているゲートルー
タ１３０は、それ自身がコアネットワーク１２０のノー
ドであり、コアネットワーク１２０を超えて通信をする
ために、他と重複しないＩＰアドレスを有している。

【００１８】ゲートルータ１３０の各々にはサーバ１４
５が接続されている。このサーバ１４５も他と重複しな
いＩＰアドレスを有していて、ホームエージェント（Ｈ
Ａ）やフォーリンエージェント（ＦＡ）として機能する
ことができ、モバイルＩＰｖ４で規定されているよう
に、モバイルノード１３５のコアネットワーク１２０へ
のインターフェースとして働き結びつける。モバイルＩ
Ｐｖ６では、これらのサーバ１４５は、モバイルノード
１３５にＩＰ接続を提供するホームルータやフォーリン
ルータとして働く。ネットワーク１２０には、モバイル
ＩＰｖ４かモバイルＩＰｖ６かのどちらかを実装するネ
ットワークがあっても良い。よって、本出願の全般にわ
たり、「エージェント」と言う語は、「アクセスルー
タ」または「ルータ」と言う語と交換して使われうる。
同じように、「エージェントディスカバリ」は「近隣デ
ィスカバリ」と、「エージェントソリシテーション」は
「ルータソリシテーション」と、「登録要求」は「バイ
ンディング更新要求」と、交換して使われうる。

【００１９】モバイルノードは、セル式ハンドセット、
セル式電話、ハンドヘルドコンピュータ、パーソナル情
報機器、無線データターミナルのような通信端末であ
り、無線を使用していても良い。モバイルノード１３５
の各々にはホームサブネットワークが割り当てられてい
る。各モバイルノードはホームエージェントルータを有
していて、このホームエージェントルータは、実際はホ
ームサブネットワークのセンタサーバである。各モバイ
ルノード１３５にとっては、ホームエージェントがネッ
トワーク１２０への元々の接続点であり、各モバイルノ
ードは、ホームサブネットワークにおいて、ホームエー
ジェントから割り当てられたホームアドレスかモバイル
ノード自身で選んだホームアドレスにより、アドレス指
定される。他のエージェント１４５はフォーリンエージ
ェントかルータとして機能することができる。モバイル
ノード１３５がフォーリンエージェントのサブネットワ
ークに入って来た時は、フォーリンエージェント１４５
はモバイルノード１３５にネットワークアクセスを提供
しても良い。モバイルノードがホームから離れてフォー
リンサブネットワーク上にある時は、モバイルノード
は、気付アドレスによってアドレス設定されている。こ
の気付アドレスは、そのモバイルノードがいるフォーリ
ンサブネットワークのアドレスであり、モバイルノード
がその時点でインターネットに接続しているポイントを
示している。モバイルノード１３５がホームサブネット
ワークから離れて稼動している時、モバイルノードのホ
ームエージェント１４５は、登録プロセスを通してモバ
イルノード１３５の現在地情報を保持している。

【００２０】各エージェント１４５は基地局ネットワー
ク１５０を有している。この基地局ネットワーク１５０
を通して、モバイルノード１３５はエージェントやルー
タ１４５と通信を行う。基地局ネットワーク１５０の各
々には複数の基地局すなわちアクセスポイント（ＡＰ）
１５５がある。モバイルノード１３５とＡＰはＣＤＭＡ
やＷ−ＣＤＭＡまたは他の公知のデジタルデータ通信技
術を使用して、お互いに通信を行う。ＡＰネットワーク
１５０やＡＰ１５５の構成と設備と機能とは従来のもの
であり標準のものである。同様に、無線モバイルノード
機器１３５とＡＰ１５５が使用するＣＤＭＡやＷ−ＣＤ
ＭＡまたは他のデジタルデータ通信技術は標準のもので
ある。本発明の理解には、これらの詳細な説明は必要な
いので、省略する。

【００２１】データネットワーク１００全体の中で、２
種類のモビリティハンドオフが考慮されている。レイヤ
２（Ｌ２）ハンドオフとはモバイルノードが同一のＡＰ
ネットワーク１５０内で位置を変更することを言い、モ
バイルノードのネットワークリンクは変わらず、モバイ
ルノードの接続点が、あるＡＰ１５５から他のＡＰ１５
５に変わる。Ｌ２ハンドオフは無線セル方式通信ネット
ワークにおいてよく知られている。例えば、モバイルノ
ード１３５がＡＰネットワーク１５０内を移動する間の
ＡＰ間の通信ハンドオフを見つけたり処理したりする為
に、レイヤ２信号やビーコンシグナルをモニターするこ
とは良く知られている。レイヤ３（Ｌ３）ハンドオフ
は、あるサブネットワークから他のサブネットワークへ
接続点を変更することを言う。言い換えれば、モバイル
ノードは、あるサブネットワークを離れ、他のエージェ
ント１４５配下の他のサブネットワークへと入る。Ｌ３
ハンドオフにおいて、モバイルノードは、サブネットサ
ーバ間でネットワークへの接続点を変更する時期を知る
ために、近くのエージェントからの信号をモニターして
いる。

【００２２】図２は、第３世代無線モバイルアクセスデ
ータネットワークにおけるモバイルノードのＬ３ハンド
オフを簡単に示した図である。図２において、ネットワ
ーク１００は、コアネットワーク１２０と、コアネット
ワーク１２０に接続されたエージェント１４５とを有し
ている。エージェント１４５にはホームエージェントＨ
ＡとフォーリンエージェントＦＡ１、ＦＡ２、ＦＡ３と
が含まれる。モバイルノード（ＭＮ）１３５にとって、
ホームエージェントＨＡがネットワーク１２０への元々
の接続点である。フォーリンエージェントＦＡ１、ＦＡ
２、ＦＡ３は、モバイルノードＭＮ１３５が各々のサブ
ネットワークに入って来た時に、ＭＮ１３５に各々のネ
ットワークアクセスポイントを提供しても良い。図２に
示される例において、ＭＮ１３５は元々開始位置Ａにい
て中間位置Ｂを経由して位置Ｃに移動する。開始位置Ａ
において、ＭＮ１３５はＦＡ１配下のフォーリンサブネ
ットワークで動作していて、ＦＡ１を経由してネットワ
ーク１２０に接続している。一方、位置ＣはＦＡ２配下
のフォーリンサブネットワーク内に位置ある。このと
き、ＭＮ１３５がＦＡ１配下のサブネットワークを横切
って、ＦＡ２配下のサブネットワークに入ると、Ｌ３ハ
ンドオフがＭＮ１３５に発生して、ＭＮ１３５はネット
ワーク接続をＦＡ１経由からＦＡ２経由へと変更する。

【００２３】ＭＮ１３５の移動はディスカバリメカニズ
ムにより検出される。このメカニズムは、モバイルＩＰ
ｖ４でのエージェントディスカバリかモバイルＩＰｖ６
の近隣ディスカバリでも良い。ディスカバリメカニズム
に従って、ＦＡ１、ＦＡ２、ＦＡ３は、モバイルＩＰｖ
４の場合はエージェント広告で、モバイルＩＰｖ６の場
合はルータ広告を用いて、定期的に存在を広告する。Ｍ
Ｎ１３５は、モバイルＩＰｖ４の場合エージェントソリ
シテーションを、モバイルＩＰｖ６の場合ルータソリシ
テーションを送信することで、これらの広告メッセージ
をフォーリンエージェント１４５に要求しても良い。Ｍ
Ｎ１３５は受信部を使用して、これらの広告を受信すれ
ば、ＭＮ１３５は現在どのサブネットワーク内にいるか
決定できる。開始位置Ａにおいて、ＭＮ１３５はエージ
ェント広告をＦＡ１だけから受信するが、このエージェ
ント広告は、ＦＡ１配下のフォーリンサブネットワーク
上にＭＮ１３５がいると伝えている。ＭＮ１３５が中間
位置Ｂに到達し、位置Ｃへと移動するにつれて、ＦＡ２
からの広告がＭＮ１３５に着きはじめる。従って、ＭＮ
１３５は、自身がＦＡ１のサブネットワークを離れ、Ｆ
Ａ２配下のサブネットワークに入りつつあるとわかる。

【００２４】ＭＮ１３５が中間位置Ｂを通った後に、Ｌ
２ハンドオフが発生する時がきて、ＭＮ１３５は、ＦＡ
１によるサブネットワーク内のＡＰ１５５のうちの１つ
から、ＦＡ２によるサブネットワーク内のＡＰ１５５の
うちの１つへと、Ｌ２接続を変更する。Ｌ２ハンドオフ
が終了した後、ＦＡ２からの広告メッセージのみがＭＮ
１３５に届く。ＭＮ１３５に届く広告メッセージに基い
て、ＭＮ１３５はＦＡ２配下のサブネットワーク内で動
作しているのだとわかる。ＭＮ１３５は次に、ＦＡ２を
通してＨＡに登録要求またはバインディング更新を送る
ことで、登録プロセスを始める。登録要求またはバイン
ディング更新には、気付アドレスが含まれている。この
気付アドレスは、ＭＮ１３５がＦＡ２からの広告メッセ
ージから得たＦＡ２のサブネットワークのアドレスであ
る。ＨＡにおいて、ＭＮ１３５の身元が証明されたら、
ＨＡはＭＮ１３５の気付アドレスを記憶し、ＦＡ２に返
事を出す。ＦＡ２はこの返事を処理して、ＭＮ１３５に
送る。この返事は、ＭＮ１３５が本物であるとＦＡ２に
証明し、ＭＮ１３５とＦＡ２の間の接続確立に許可を与
える。この登録プロセスの後、ＭＮ１３５はＦＡ１から
ＦＡ２へのＬ３ハンドオフを終える。

【００２５】モバイルデータ通信の人気が上がるにつ
れ、モバイルノードを誘導し登録をさせようとする好ま
しくないモビリティエージェントが増えてくる。しか
し、これらのエージェントは、実際のところは、質の低
い接続性やサービスを提供し、モバイルノードが素早い
ハンドオフを行うのを邪魔しているだけである。これら
の好ましくないモビリティエージェントが増えるにつ
れ、モバイルＩＰ登録プロセスがこれらの好ましくない
エージェントで始まる前に、このような悪意のあるエー
ジェントを特定しようとする必要性が出てきた。本発明
によれば、モビリティエージェントを認証するためのセ
キュリティプロトコルを提供され、モバイルノードは、
このような悪意のあるエージェントを特定できるように
なり、それらにハンドオフするよう誘導されないように
なる。

【００２６】本発明のセキュリティメカニズムは、ＡＡ
Ａプロトコルに基づいている。ＲＡＤＩＵＳやＤＩＡＭ
ＥＴＥＲのようなＡＡＡプロトコルは、現在インターネ
ットにおいて使用されていて、認証、許可、アカウンテ
ィングサービスをダイアルアップユーザに提供してい
る。このようなＡＡＡ管理サービス、特にＡＡＡサーバ
によって提供されている認証サービスは、モバイルＩＰ
を使用したモバイルノードにとって重要である。モバイ
ルＩＰとは、モバイルノードがあるネットワークから他
のネットワークに移動できるようにしている技術であ
る。ＡＡＡプロトコルでは、ある共通の管理のもとで動
作している１つまたは複数のネットワークからなる管理
ドメインを定義している。この様に、ＡＡＡ管理ドメイ
ンの定義のされ方によって、モバイルノードの移動が、
あるネットワークから同じ管理ドメイン内のネットワー
クへのものになったり、異なった管理ドメインのネット
ワークへのものになったりする。

【００２７】しかし、モバイルノードのモバイルＩＰの
移動をＡＡＡ管理ドメインにマッピングすることで、モ
バイルＩＰを実装しているモバイルノードにとって、Ａ
ＡＡ管理サービスが利用可能になる。実際、モバイルＩ
ＰはＡＡＡインフラストラクチャ上に、基礎的フレーム
ワークにほとんど変更を加えずに実装できる。例えば、
ＡＡＡプロトコルのクライアントは、モバイルＩＰのモ
バイルノードであるとみなされる。モバイルＩＰのモビ
リティエージェントは、ＡＡＡプロトコルのアテンダン
トにぴったり当てはまる。ＡＡＡメッセージを理解でき
る様に、モバイルノード、モビリティエージェントやル
ータのようなモバイルエンティティの機能を増やすこと
で、ＡＡＡインフラストラクチャ上にモバイルＩＰを実
装することが可能となる。

【００２８】普通、ＡＡＡ認証メカニズムは次のように
働く。まず、第１のＡＡＡエンティティが通信相手とし
たい第２のエンティティに証明書を送る、そして第２の
エンティティが第１のエンティティの証明書を正しいと
確認したら、通信が認められる。ＡＡＡサーバは鍵配布
センタとして働き、ＡＡＡエンティティの要求により、
２つのＡＡＡエンティティ間の証明書の正しさを証明す
るのに使われる鍵を生成し配布する。ＡＡＡプロトコル
は、他の鍵アルゴリズムと一緒に動くように設計されて
いる。鍵アルゴリズムの中には、公開鍵インフラストラ
クチャがあることを前提にしているものもあり、また他
方には共通鍵の配布によっているものもある。本発明の
説明では、公開鍵インフラストラクチャを採用している
ネットワークを使う。しかしながら、当業者は本発明の
実装には他の鍵アルゴリズムでも良いと理解するであろ
う。

【００２９】本発明の登録プロセスを、図３を参照して
さらに説明する。図３は、ＡＡＡプロトコルに基づいた
本発明による第３世代とそれ以降の無線モバイルアクセ
スデータネットワークを簡単に示した図である。このネ
ットワーク内で、本発明による登録プロセスが実施され
る。図２に示すネットワークと同様に、図３のネットワ
ークはモバイルＩＰｖ４かＩＰｖ６を実装している。本
実施形態のネットワークは、ＡＡＡプロトコルを使用し
ていて、それゆえに複数の管理サーバを有している。こ
れら管理サーバはそれぞれ管理ドメインを作っている。
ＡＡＡプロトコルに応じて、各管理サーバは、モバイル
ノードへのサービスのために、認証をし、許可をし、そ
してアカウンティング情報を集める。

【００３０】簡略化の為に、図３には３つの管理サーバ
ＡＡＡ＿ＨＡ、ＡＡＡ＿ＦＡ１、ＡＡＡ＿ＦＡ２、のみ
が示されている。サーバＡＡＡ＿ＨＡは、ホーム管理サ
ーバであり、モバイルノードＭＮの認証をになってい
る。多くの場合、サーバＡＡＡ＿ＨＡによる管理ドメイ
ンからモバイルノードが発呼し、そしてホーム管理ドメ
インはホームエージェントＨＡとＨＡによるサブネット
ワークを含む。言い換えると、多くの場合、ＭＮへの認
証サービスと登録サービスは同一のドメインで行われ
る。しかしながら、認証サービスと登録サービスは同一
のドメインで行われなくてもよいことに注意すべきであ
る。すなわち、ホームエージェントＨＡは、ホームドメ
インとは違う管理ドメイン内にあっても良い。このよう
な状況は次のようなばあいに起こる。つまり、ＭＮが、
ある管理ドメイン内にあるＩＳＰに登録されていて、ク
レジットカード会社が他のドメインでＭＮの認証を行う
場合である。サーバＡＡＡ＿ＦＡ１はフォーリン管理サ
ーバであり、フォーリンエージェントＦＡ１とＦＡ２に
よるサブネットワークを含む管理ドメインを作ってい
る。言い換えると、フォーリンエージェントＦＡ１とＦ
Ａ２は共通の管理下にある。サーバＡＡＡ＿ＦＡ２もフ
ォーリン管理サーバであり、フォーリンエージェントＦ
Ａ３によるサブネットワークを含む管理ドメインを作っ
ている。

【００３１】図３に示すネットワークにはセキュリティ
モデルが内在する。図４は、そのような内在するセキュ
リティモデルを示していて、点線でエンティティ間のセ
キュリティアソシエーション（ＳＡ）を示している。第
１に、ＨＡ、ＦＡ１、ＦＡ２、ＦＡ３はそれぞれ、それ
らの管理サーバとセキュリティアソシエーションを確立
していると仮定する。各エージェントは、過去に、管理
ドメイン内にいたときから、管理サーバと通信を行った
はずである。この様に、ＨＡとＡＡＡ＿ＨＡは、すでに
確立しているセキュリティアソシエーションを有してい
る。ＦＡ１とＦＡ２は、ＡＡＡ＿ＦＡ１との間ですでに
確立しているセキュリティアソシエーションを有してい
る。ＦＡ３は、ＡＡＡ＿ＦＡ２との間ですでに確立して
いるセキュリティアソシエーションを有している。第２
に、ＭＮは、ＡＡＡ＿ＨＡとのセキュリティアソシエー
ションを前もって有している。これは、そうでなかった
ら、ＭＮの認証をＡＡＡ＿ＨＡが行えないからである。
なお、ＡＡＡ＿ＨＡがＭＮの認証の責任を有している。
第３に、登録プロセスの性質から、ＭＮは、自らが登録
しようとしているフォーリンエージェントと、セキュリ
ティアソシエーションを有していることはありえない。
最後に、管理サーバＡＡＡ＿ＨＡ、ＡＡＡ＿ＦＡ１、Ａ
ＡＡ＿ＦＡ２間で前もって確立されたセキュリティアソ
シエーションは必要ない。しかし必要な場合は、管理サ
ーバ同士でのセキュリティアソシエーションを交渉する
ことができなければならない。セキュリティアソシエー
ションは、仲介ＡＡＡサーバを使用して、もしくは、静
的事前手配済みセキュリティアソシエーションを共有す
る事で、２つのサーバ間で確立しても良い。

【００３２】本発明においては、エージェントＨＡ、Ｆ
Ａ１、ＦＡ２、ＦＡ３から送信されたエージェント広告
メッセージは、正しいものであるとＭＮに証明すること
ができる。エージェント広告メッセージの認証は、公開
鍵暗号法を使用して、デジタル署名−デジタル証明書を
用いて実行される。モバイルＩＰでは、エージェント広
告を、モビリティエージェント拡張をした修正ＩＣＭＰ
ルータ広告として定義している（図５参照）。広告には
付随している拡張部がある。図３に示された例では、Ｈ
Ａ、ＦＡ１、ＦＡ２、ＦＡ３は、ＭＮが証明を行うこと
ができる特別な形式でエージェント広告を送信してい
る。さらに詳しくは、各エージェントメッセージは、送
信側エージェントのプライベートキーでデジタル署名さ
れて、デジタル証明書と付加される。このデジタル証明
書は、送信側エージェントの管理サーバがそのサーバの
プライベートキーで署名したものであり、送信側エージ
ェントの公開鍵を含んでいる。この特別なエージェント
広告は、「認証されたエージェント広告（ＡＳＰ）」と
呼ばれ、次のように表される。ＡＳＰ＝ＳＰ‖ｓｉｇ_SK-FA（ＳＰ）‖ｃｅｒｔ_AAA__FA
（ＦＡ）ここで、ｓｉｇ_SK-FA（ＳＰ）は、フォーリンエージェ
ントＦＡのプライベートキー（ＳＫ−ＦＡ）で署名され
ている、フォーリンエージェントＦＡから来たエージェ
ント広告メッセージ（ＳＰ）である。そして、ｃｅｒｔ
_AAA__FA（ＦＡ）は、ＦＡの証明書であり、ＦＡの管理サ
ーバＡＡＡ＿ＦＡのプライベートキーで署名されてい
て、ＦＡの公開鍵を含んでいる。

【００３３】ＡＳＰを受信したＭＮがＦＡの管理サーバ
ＡＡＡ＿ＦＡの公開鍵を持っていれば、ＭＮは付加され
てきた証明書を復号化して、その中からＦＡの公開鍵を
取り出す。ＦＡの公開鍵を使用して、ＭＮはエージェン
ト広告メッセージを復号化することができる。この様
に、ＦＡの管理サーバの公開鍵によって、エージェント
広告メッセージが信頼でき完全なものであると、ＭＮは
確かめることができ、また、メッセージを送ってきたフ
ォーリンエージェントＦＡの身元が正しい物と確かめる
事ができる。一方、ＭＮがＦＡの管理サーバＡＡＡ＿Ｆ
Ａの公開鍵を持っていなければ、ＭＮは広告メッセージ
の信頼性と完全性、さらにメッセージを送ってくるＦＡ
の身元に関して警戒しなければならない。そして、ＭＮ
は、近隣に確かな広告メッセージを送ってくる他のＦＡ
が利用可能であれば、そのＦＡに登録するのを避けるべ
きである。図６は、本発明の実施例による認証プロセス
を示すフローチャートである。

【００３４】（ステップ６１）ステップ６１において、
ＭＮは近隣のエージェントからエージェント広告を受信
する。図３で、ＭＮは始め開始位置Ａにいて、目的地Ｃ
へと移動していく。位置Ａでは、ＭＮはＦＡ１に登録し
ている。よって、ＭＮがＦＡ１からの広告メッセージを
復号化しＦＡ１に登録するのに必要であるＡＡＡ＿ＦＡ
１の公開鍵を、ＭＮは有していると想定される。図３に
示されるように、ＭＮは、位置Ａから移動し始め、位置
Ｃに向かって、ＦＡ１によるサブネットワークを横切
る。位置Ａと位置Ｃの間で、Ｌ２ハンドオフが起こり、
ＭＮはＦＡ１との接続を失う。位置Ｃでは、ＦＡ２とＦ
Ａ３によるサブネットワークが重なり合っている。言い
換えると、これら２つのエージェントからのエージェン
ト広告が位置Ｃに届く。本実施形態のＭＮはマルチリン
ク可能であると仮定されていて、ＭＮは位置Ｃに着いた
時、ＭＮはＦＡ２とＦＡ３の両方からのエージェント広
告を受信することができる。ＭＮは、レイヤ３に関し
て、シングルリンク可能であっても良いし、マルチリン
ク可能であっても良い。シングルリンク可能なＭＮは、
１つのサブネットワーク内の１または複数のエージェン
トから１または複数のエージェント広告を受信すること
ができる。このようなＭＮが、複数のサブネットワーク
が重なり合っている地点にいる場合、ＭＮは、この複数
のサブネットワークのうちの１つのサブネットワーク内
に位置する１または複数のエージェントから１または複
数のエージェント広告を受信することができる。サブネ
ットワークの選択は、ＭＮのレイヤ２で発生する。一
方、マルチリンク可能なＭＮは、重なりあっている全て
のサブネットワーク内のエージェントからエージェント
広告を受信することが出来る。このようなＭＮは、その
レイヤ２内で行われた選択に基づいて、複数のサブネッ
トワークの１つ内に位置するエージェントに接続するこ
とになる。

【００３５】ＭＮが位置Ｃに着くと、ＭＮは、ＦＡ１に
よるサブネットワークを離れたことを知り、さらにＦＡ
２とＦＡ３による２つのサブネットワークへ接続可能な
地域に入ったことを知る。ＭＮは、ＦＡ２とＦＡ３のど
ちらに登録するかを決めなければならない。ＦＡ２は定
期的に、自身の認証されているエージェント広告（ＡＳ
Ｐ_FA2）を送信しているが、このエージェント広告は次
の様に示される。ＡＳＰ_FA2＝ＳＰ‖ｓｉｇ_SK-FA2（ＳＰ）‖ｃｅｒｔ_AAA
__FA1（ＦＡ１）既に述べた様に、ＡＳＰ_FA2を復号化するために、ＭＮ
はＡＡＡ＿ＦＡ１の公開鍵が必要である。同様に、ＦＡ
３は、自身の認証されているエージェント広告を定期的
に送信している。このエージェント広告は次の様に示さ
れる。ＡＳＰ_FA3＝ＳＰ‖ｓｉｇ_SK-FA3（ＳＰ）‖ｃｅｒｔ_AAA
__FA2（ＦＡ２）ＡＳＰ_FA3を復号化するために、ＭＮはＡＡＡ＿ＦＡ２
の公開鍵が必要である。

【００３６】（ステップ６２）ステップ６２で、ＭＮは
受信したエージェント広告の認証を試みる。ＭＮがＡＳ
Ｐ_FA2とＡＳＰ_FA3を受信すると、ＭＮは内部キャッシュ
を、ＡＡＡ＿ＦＡ１またはＡＡＡ＿ＦＡ２、もしくは両
方の公開鍵があるかどうかを調べる。上で仮定したよう
に、ＭＮは同じ管理ドメイン内に位置するＦＡ１に前に
登録しているので、ＭＮはＡＡＡ＿ＦＡ１の公開鍵を持
っている。ＡＡＡ＿ＦＡ１の公開鍵を使用して、ＭＮは
ＡＳＰ_FA2を認証する事ができる。ＡＳＰ_FA2を認証は２
段階のプロセスである。最初に、ＭＮは、ＡＳＰ_FA2を
送信しているＦＡ２を認証する。ＭＮはＦＡ２の証明書
をＡＳＰ_FA2の証明書拡張部から取り出し、ＡＡＡ＿Ｆ
Ａ１の公開鍵を使ってこの証明書が正しい物であるか確
認する。ＭＮが証明書を正しい物と確認したら、ＭＮが
信頼しているＡＡＡ＿ＦＡ１によってＦＡ２がＭＮに認
証されたので、ＭＮはＦＡ２を信頼する。第２に、ＡＳ
Ｐ_FA2が正しい物であるかを認証する。証明書が正しい
と確認するとすぐに、ＭＮは、証明書から得たＦＡ２の
公開鍵を使い、署名拡張部のデジタル署名が正しいもの
であるかを確かめる。ＭＮがデジタル署名を正しい物と
確認したら、ＦＡ２によって広告の正しさがＭＮに保証
されたので、ＭＮは受信した広告ＡＳＰ_FA2を信頼す
る。

【００３７】（ステップ６３）ステップ６３で、ＭＮは
登録するエージェントを１つ選択する。基本的に、エー
ジェントの選択はポリシー決定である。この様に、エー
ジェントの選択は、ＭＮがある特定のエージェントの認
証に成功したかどうかを考慮するだけでによるべきでは
なく、他の複数の要素（例えば、エージェントからの信
号の強度や信号対雑音比）によってなされるべきであ
る。これらの要素が考慮されるべきであり、これらの要
素を他のある要素よりも重んじるのはポリシー決定であ
る。この様に、ネットワークがどの様に設計されている
かに基づいて、以下のようなケースもある。つまり、広
告が認証されていないエージェントが、他のエージェン
トより信号強度で強ければ、広告が認証されているエー
ジェントを抑えて、選択されるケースである。

【００３８】ＭＮがＦＡ２からの広告を認証したと仮定
する。もしＭＮがＡＡＡ＿ＦＡ２の公開鍵を持っていな
くてＦＡ３からの広告を認証出来なければ、ＭＮはＦＡ
２に登録するのがよりよいだろう。ＭＮがたまたまＡＡ
Ａ＿ＦＡ２の公開鍵を持っているが、ＦＡ３からの広告
を認証できない場合も同じようにするのがよい。しかし
ながら、上述したように、ＦＡ２かＦＡ３のエージェン
トどちらを選択すべきかは、完全にポリシー決定であ
り、他の要素を考慮にいれて決定すべきである。

【００３９】ＭＮがＦＡ２からの広告を認証したと仮定
する。またＭＮがＡＡＡ＿ＦＡ２の公開鍵を持ってい
て、ＦＡ３からの広告も認証するとする。ＦＡ２とＦＡ
３は両方共、身元の正しさの点で利用できる。よって決
定は、２つのエージェントの信号強度のような他の要素
に基づくべきである。

【００４０】ＭＮがＡＡＡ＿ＦＡ１やＡＡＡ＿ＦＡ２の
公開鍵を持っていなくて、ＦＡ２とＦＡ３の両方の広告
を認証できないとする。この時、現在行われているデー
タ通信の途絶を防ぐために、ＭＮは１つのエージェント
を選択し、そこに登録を行うべきである。この決定は他
の要素に基づくべきである。

【００４１】（ステップ６４）ＭＮが広告ＡＳＰ_FA2の
認証に成功したので、ＦＡ２が選択されたとする（ステ
ップ６３）。ＭＮはするとＦＡ２へ登録する。本発明の
実施形態による登録プロセスは、基本的にＩＥＴＦの
「モバイルＩＰ拡張、認証とアカウンティング要件」と
題されたＲＦＣ２９７７と「ダイアメタモバイルＩＰ拡
張（ＤｉａｍｅｔｅｒＭｏｂｉｌｅＩＰＥｘｔｅ
ｎｓｉｏｎｓ）」と題されたインターネットドラフト
（ｄｒａｆｔ−ｃａｌｈｏｕｎ−ｄｉａｍｅｔｅｒ−ｍ
ｏｂｉｌｅｉｐ−１２．ｔｘｔ）にしたがっている。こ
れら２つの文書は参照として本明細書に組み込まれる。
図７は、本発明の実施形態による登録プロセスを示すフ
ローチャートであり、ここでは広告の正当性が確認され
ている。図７に示される様に、階層的に経路が形成され
て、ダイアメタメッセージがこの階層的な経路を、ＭＮ
の登録を行うために送られる。上で仮定されたように、
ＭＮとＦＡ２を除いて経路上のどの２つのエンティティ
もお互いに、安全に通信を行うためにセキュリティアソ
シエーションを確立しているか、必要な時に確立でき
る。このようなセキュリティアソシエーションは、例え
ば、手動でもしくは動的に分配された共通鍵や公開鍵を
使用するなど、認証方法はどんなのでも良い。

【００４２】既に述べた様に、ＭＮはＦＡ２からのエー
ジェント広告を認証している。ＭＮは、次に登録要求
（ＭＩＰ＿Ｒｅｇ＿Ｒｅｑｕｅｓｔ）をＦＡ２に送る
（ステップ７１）。この要求には、ＭＮのホームアドレ
ス、ＭＮのホームエージェント（ＨＡ）のアドレス、そ
してＭＮの身元証明（例えば、ネットワークアクセス識
別子：ＮＡＩ）が含まれている。ＦＡ２は、この要求を
ダイアメタメッセージ（ＤｉａｍｅｔｅｒＭｅｓｓａ
ｇｅ）の形式に変更して、ローカル管理サーバＡＡＡ＿
ＦＡ１に送信する（ステップ７２）。ＦＡ２からこの登
録要求を受信するとすぐに、ＡＡＡ＿ＦＡ１はＭＮのホ
ーム管理サーバを確定し、この登録要求をＡＡＡ＿ＨＡ
に転送する（ステップ７３）。ＡＡＡ＿ＨＡは、ＭＮの
身元確認を行う。ＡＡＡ＿ＨＡがＭＮの身元を確認でき
なかったら、ＡＡＡ＿ＨＡはＡＡＡ＿ＦＡ１にエラーメ
ッセージを返す。しかし、ＡＡＡ＿ＨＡがＭＮの身元を
確認した場合は、ＡＡＡ＿ＨＡはＨＡにこの登録要求を
送る（ステップ７４）。

【００４３】ＨＡは、ＡＡＡ＿ＨＡから登録要求を受信
するとすぐに、キャッシュ内にＭＮのバインディング情
報を保存する。バインディング情報にはＭＮの現時点の
接続点、すなわちＭＮの気付アドレスを含む。ＨＡは次
に登録返答を作成し、ＡＡＡ＿ＨＡに送る（ステップ７
５）。ＡＡＡ＿ＨＡは、登録返答をＡＡＡ＿ＦＡ１に転
送する（ステップ７６）。ＡＡＡ＿ＦＡ１は、今度はこ
の登録返答をＦＡ２に転送する（ステップ７７）。ＡＡ
Ａ＿ＦＡ１からの返答は、ＦＡ２にとって、ＭＮのネッ
トワークアクセスがＦＡ２を介して認証されたと言うこ
とを表している。ＦＡ２は、返答をＭＮに転送する（ス
テップ７８）。ＭＮが返答を受け取った時、登録プロセ
スが終わる。

【００４４】（ステップ６５）ステップ６３において、
ＭＮがＡＡＡ＿ＦＡ２の公開鍵を持っていなくて広告Ａ
ＳＰ_FA3を認証できないにもかかわらず、ＭＮはＦＡ３
に登録すべきであると判定されたと仮定する。この場
合、ＭＮは、ＦＡ３からのエージェント広告の認証をし
ようとせずに、図８に示された登録プロセスに従ってＦ
Ａ３に登録する処理を行う。図８に示された登録プロセ
スには、図７で既に説明をした基本登録プロセスを含ま
れ、さらに、ＭＮがＡＡＡ＿ＦＡ２の公開鍵を取得する
追加のプロセスが含まれている。基本登録プロセスの詳
細を、繰り返して説明することは省略する。図８を参照
して、追加の登録プロセスのみ説明する。

【００４５】ＭＮは、ＡＡＡ＿ＦＡ２の証明書（ＡＡＡ
＿ＦＡ２＿Ｃｅｒｔ＿Ｒｅｑｕｅｓｔ）を要求する要求
を作成し、登録要求に付加する。ＭＮは次に、この要求
をＦＡ３に送る（ステップ８１）。ステップ８２におい
て、ＦＡ３は、ＡＡＡ＿ＦＡ２＿Ｃｅｒｔ＿Ｒｅｑｕｅ
ｓｔを登録要求とともにＡＡＡ＿ＦＡ２に転送する。Ａ
ＡＡ＿ＦＡ２は、ＡＡＡ＿ＦＡ２＿Ｃｅｒｔ＿Ｒｅｑｕ
ｅｓｔをＦＡ３から受信するとすぐに、自分の公開鍵
（ＡＡＡ＿ＦＡ２’ｓＰｕｂ＿Ｋｅｙ）をＡＡＡ＿ＦＡ
２＿Ｃｅｒｔ＿Ｒｅｑｕｅｓｔに入れて、ＡＡＡ＿ＨＡ
に登録要求とともに送る（ステップ８３）。ＡＡＡ＿Ｈ
Ａは、ＡＡＡ＿ＦＡ２の公開鍵が入っていて、ＡＡＡ＿
ＨＡのプライベートキーで署名された証明書を作成す
る。ＡＡＡ＿ＨＡは、返答（ＡＡＡ＿ＦＡ２＿Ｃｅｒｔ
＿Ｒｅｐｌｙ）を作成して、返答の中に証明書を入れ
る。ＡＡＡ＿ＨＡは、それから、ＨＡから登録返答を待
つ。

【００４６】ＡＡＡ＿ＨＡがＨＡから登録返答を受信し
たら、ＡＡＡ＿ＦＡ２＿Ｃｅｒｔ＿Ｒｅｐｌｙを登録返
答に付加してＡＡＡ＿ＦＡ２に送る（ステップ８４）。
ＡＡＡ＿ＦＡ２から、ＡＡＡ＿ＦＡ２＿Ｃｅｒｔ＿Ｒｅ
ｐｌｙがＦＡ３に転送され（ステップ８５）、ＭＮに送
られる（ステップ８６）。ＭＮはＡＡＡ＿ＦＡ２＿Ｃｅ
ｒｔ＿Ｒｅｐｌｙを受信するとすぐに、ＭＮはＡＡＡ＿
ＨＡの公開鍵を使用して、この要求内にある証明書を復
号化してＡＡＡ＿ＦＡ２の公開鍵を取り出す。ＭＮはＡ
ＡＡ＿ＨＡによるドメインから発信しているので、ＭＮ
はＡＡＡ＿ＨＡの公開鍵をもっているはずである。ＭＮ
が証明書の復号化に成功したら、ＭＮはＡＡＡ＿ＦＡ２
を信頼しその公開鍵を受け取っても良い、これはＡＡＡ
＿ＦＡ２が、ＭＮが信頼するＡＡＡ＿ＨＡの公開鍵によ
って、ＭＮに本物であると認証されたからである。ＭＮ
はＡＡＡ＿ＦＡ２の公開鍵を、将来の使用の為にキャッ
シュの中に保存する。

【００４７】ＭＮのキャッシュ内に保存されたＡＡＡ＿
ＦＡ２の公開鍵は、生存期間があり、この生存期間が来
たら無効になる。しかし、生存期間内では、公開鍵は再
使用できる。このようなことが起こるのは、例えば、Ｍ
ＮがＡＡＡ＿ＦＡ２によるドメイン内に入った後、ＭＮ
が接続点を変更する移動をドメイン内で行った時、また
は、ＭＮがドメインを出たあと、またそのドメインに入
った時である。このことが、ＭＮのキャッシュ内に保存
されているＡＡＡ＿ＦＡ２の生存期間内に起これば、Ｍ
Ｎは新しいエージェントからのエージェント広告をこの
公開鍵を使用して復号化することができ、図７に示され
る登録プロセスに従って、新しいエージェントに登録す
ることができる。

【００４８】図９は、本発明の他の実施形態を示すフロ
ーチャートである。ステップ９１において、ＭＮは多数
のフォーリンエージェントからエージェント広告を受信
する。ＭＮはどの広告も認証できないと仮定する。言い
換えると、周囲の管理ドメインは全て、ＭＮにとって初
めてのものであり、ＭＮは周囲のドメイン内の管理サー
バの公開鍵をどれも持っていない。進行中のデータ通信
が中断するのを防ぐために、ＭＮは１つのフォーリンエ
ージェントを選択して、それに登録を進めなければなら
ない。この選択は、確実で信頼できるフォーリンエージ
ェントが安定したエージェント広告を送信しているとの
仮定に基づいている。「安定した」とは広告に含まれて
いるパラメータが時間とともに変化しないと言う意味で
ある。このパラメータには、気付アドレス、ＲＦＣ２０
０２によって規定されているソースアドレス、そして証
明書や鍵などの本発明によって追加された識別子が含ま
れている。

【００４９】信頼できるエージェントは同じエージェン
ト広告を一貫して流し続けていて、悪意のあるエージェ
ントは定期的にパラメータを変更したエージェント広告
を送信し、できるだけ多くのモバイルノードをひきつけ
ようをしている、と仮定する。このような悪意のあるエ
ージェントを特定するために、ＭＮはエージェント広告
をある期間受信して（ステップ９１）、受信した広告
を、その中に含まれているパラメータの一貫性の順にグ
ループに、ＭＮ内の並べ替え手段を使用して並べ替える
（ステップ９２）。ステップ９３において、ＭＮは、最
も一貫していると位置付けられた広告のグループを選択
する。ＭＮは次に、そのグループの中から、信号強度が
最高かパケット遅延の最低の広告を１つ選択する。これ
ら２回の選択はＭＮ内の選択手段が行う。ステップ９４
において、選択されたエージェント広告を送信していた
エージェントに、ＭＮは、送信手段を使用して登録要求
を送信して登録を試みる。ＭＮがそのエージェントに登
録できなかった場合は（ステップ９５）、ＭＮは、その
グループ内の全てのエージェント広告を捨ててステップ
９３に戻る。ステップ９３において、ＭＮは、第２番目
に一貫していると位置付けられた広告のグループを選
び、そのグループから、上述の方法と同じように、１つ
の広告を選択する。ステップ９４で、選択された広告の
エージェントにＭＮは登録しようとする。ＭＮは、この
プロセスを登録に成功するまで続ける。この方法では、
ＭＮが悪意のあるエージェントに登録しようとするのを
防ぐ事はないが、登録試行が失敗に終わる回数を減らす
ことが期待できる。

【００５０】本発明の好適な実施形態を説明したが、以
上の説明は例示のためであり、本発明を限定しようとす
るためのものではない。当業者であれば、発明の新規性
と有利な特徴を保ちながら、発明の精神から逸脱せずに
変更や追加ができることを理解できるであろう。以上か
ら、本発明の範囲は、正しく理解された特許請求の範囲
のみによって決まる。

【００５１】

【発明の効果】以上説明したように、本発明によれば、
ネットワークへのアクセスを安全に素早く行うことがで
きる。

【図面の簡単な説明】

【図１】本発明の用途として意図している第３世代無
線モバイルアクセスＩＰネットワークを例示している図
である。

【図２】第３世代無線モバイルアクセスデータネット
ワークにおけるモバイルノードのハンドオフのプロセス
を簡単に示した図である。

【図３】ＡＡＡプロトコルに基づいた本発明による第
３世代無線モバイルアクセスデータネットワークを簡単
に示した図である。

【図４】図３に示されたネットワーク内の内在してい
るセキュリティモデルの図であり、破線はネットワーク
内に仮定されているセキュリティアソシエーションであ
る。

【図５】本発明で使用されるモバイルＩＰ広告を示す
図である。

【図６】本発明の実施例によるエージェント認証プロ
セスを示すフローチャートである。

【図７】本発明による登録プロセスを示すフローチャ
ートであり、ここではモバイルノードがエージェントか
らの広告を認証している。

【図８】本発明による登録プロセスを示すフローチャ
ートであり、ここではモバイルノードがエージェントか
らの広告を認証していない。

【図９】本発明によるエージェントを選択するプロセ
スを示すフローチャートであり、ここではモバイルノー
ドが近隣のエージェントを認証できない。

【符号の説明】

１００・・・無線モバイルアクセスＩＰネットワーク、
１２０・・・コアネットワーク、１３０・・・ゲートル
ータ、１３５・・・モバイルノード、１４０・・・ＩＰ
モバイルバックボーン、１４５・・・サーバ、１５０・
・・基地局ネットワーク、ＭＮ・・・モバイルノード、
ＨＡ・・・ホームエージェント、ＦＡ１、ＦＡ２、ＦＡ
３・・・フォーリンエージェント、ＡＡＡ＿ＨＡ・・・
ホーム管理サーバ、ＡＡＡ＿ＦＡ１、ＡＡＡ＿ＦＡ２・
・・フォーリン管理サーバ。

フロントページの続き (51)Int.Cl.⁷ 識別記号ＦＩテーマコート゛(参考）Ｈ０４Ｌ 9/00 ６７５Ｂ６７５Ｚ (72)発明者オカザキサトミアメリカ合衆国，カリフォルニア州 95110，サンノゼ，スイート300，メトロドライブ181 (72)発明者タケシタアツシアメリカ合衆国，カリフォルニア州 95110，サンノゼ，スイート300，メトロドライブ181 (72)発明者インイーチュンアメリカ合衆国，カリフォルニア州 95110，サンノゼ，スイート300，メトロドライブ181 (72)発明者ヨコテアキアメリカ合衆国，カリフォルニア州 95110，サンノゼ，スイート300，メトロドライブ181 Ｆターム(参考） 5J104 AA07 KA02 KA05 MA01 PA07 5K030 GA15 HA08 HB08 HC09 JT09 KX24 LC16 LD19 LD20 MD08 5K067 AA30 BB04 BB21 DD04 DD17 EE02 EE12 EE16 HH36

Claims

【特許請求の範囲】

【請求項１】各々が最低１つの管理サーバで管理され
ていて、かつ各々が最低１つのモビリティエージェント
を有している複数の管理ドメインを有し、信頼されたエンティティが正当性を保証した広告メッセ
ージを通信端末が認証することによって、モビリティエ
ージェントは前記通信端末にアクセスを提供することを
特徴とする通信ネットワーク。
【請求項２】請求項１に記載の通信ネットワークにお
いて、前記信頼されたエンティティは、前記広告メッセージを
送信している前記モビリティエージェントが属する管理
ドメインにサービスを提供している管理サーバであるこ
とを特徴とする通信ネットワーク。
【請求項３】請求項２に記載の通信ネットワークにお
いて、前記広告メッセージは、前記広告メッセージを送信して
いる前記モビリティエージェントのプライベートキーに
よって署名されていて、前記広告メッセージを送信して
いる前記モビリティエージェントの公開鍵を持ち、前記
信頼された管理サーバのプライベートキーによって署名
されている証明書を同封していることを特徴とする通信
ネットワーク。
【請求項４】請求項３に記載の通信ネットワークにお
いて、前記通信端末が、前記信頼されている管理サーバに属す
るモビリティエージェントに始めて登録するとき、前記
通信端末は、前記信頼されている管理サーバの公開鍵を
取得することを特徴とする通信ネットワーク。
【請求項５】請求項３に記載の通信ネットワークにお
いて、前記信頼されている管理サーバの公開鍵は、第２の信頼
されている管理サーバによって署名された証明書内に含
まれていることを特徴とする通信ネットワーク。
【請求項６】請求項５に記載の通信ネットワークにお
いて、前記第２の信頼されている管理サーバは、前記通信端末
の認証に関し全ての責任を有している管理サーバである
ことを特徴とする通信ネットワーク。
【請求項７】請求項６に記載の通信ネットワークにお
いて、前記第２の信頼されている管理サーバは、前記通信端末
が発信をする管理ドメインにサービスを提供している管
理サーバであることを特徴とする通信ネットワーク。
【請求項８】請求項１に記載の通信ネットワークにお
いて、通信ネットワークはＡＡＡプロトコルに基づいているこ
とを特徴とする通信ネットワーク。
【請求項９】最低１つの管理サーバによりサービスが
提供されているドメイン内に属していて、かつ通信端末
にネットワークへのアクセスを提供するモビリティエー
ジェントから広告メッセージを受信する受信部を有し、信頼されたエンティティによって認証されている広告メ
ッセージを認証することを特徴とする通信端末。
【請求項１０】請求項９に記載の通信端末において、前記信頼されたエンティティは、前記広告メッセージを
送信している前記モビリティエージェントが属する管理
ドメインにサービスを提供している管理サーバであるこ
とを特徴とする通信端末。
【請求項１１】請求項１０に記載の通信端末におい
て、前記広告メッセージは、前記広告メッセージを送信して
いる前記モビリティエージェントのプライベートキーに
よって署名されていて、前記広告メッセージを送信して
いる前記モビリティエージェントの公開鍵を持ち、前記
信頼された管理サーバのプライベートキーによって署名
されている証明書を同封していることを特徴とする通信
端末。
【請求項１２】請求項９に記載の通信端末において、認証が成功している広告メッセージを送信しているモビ
リティエージェントのうちの選択された１つに、登録す
ることを特徴とする通信端末。
【請求項１３】請求項１２に記載の通信端末におい
て、選択は、広告メッセージを送信していて、認証が成功し
ているモビリティエージェントへの接続性に基づいて行
われることを特徴とする通信端末。
【請求項１４】請求項１１に記載の通信端末におい
て、広告メッセージを送信しているモビリティエージェント
のどれも認証できない場合、広告メッセージを送信して
いるモビリティエージェントの中で選択された１つに登
録を進めることを特徴とする通信端末。
【請求項１５】請求項１４に記載の通信端末におい
て、ある一定の期間にモビリティエージェントから受信して
得た広告メッセージをグループに並べ替える並べ替え手
段と、広告メッセージのグループのうち、１つのグループを選
択する第１選択手段と、前記選択されたグループ内の１つの広告メッセージを選
択する第２選択手段と、前記選択された広告メッセージを送信しているモビリテ
ィエージェントへ登録要求を送信する登録要求送信手段
とを有し、広告メッセージを送信している選択されたモビリティエ
ージェントへの登録が失敗した場合、前期選択したグル
ープを廃棄し、再度前記第１選択手段と前記第２選択手
段と前記登録要求送信手段を使用し新たな登録要求を送
信することを特徴とする通信端末。
【請求項１６】請求項１５に記載の通信端末におい
て、受信された広告メッセージは、メッセージが有するパラ
メータの一貫性の順にグループに並び替えられることを
特徴とする通信端末。
【請求項１７】請求項１６に記載の通信端末におい
て、第１選択手段は、より高い一貫性をもつグループが選択
することを特徴とする通信端末。
【請求項１８】請求項１５に記載の通信端末におい
て、第２選択手段は、広告メッセージを広告メッセージを送
信しているモビリティエージェントの接続性に基づい
て、選択することを特徴とする通信端末。
【請求項１９】請求項１４に記載の通信端末におい
て、選択された広告メッセージを送信しているモビリティエ
ージェントに登録を行う時、信頼された管理サーバの公
開鍵を有する証明書を要求することを特徴とする通信端
末。
【請求項２０】請求項１９に記載の通信端末におい
て、前記信頼されている管理サーバの公開鍵は、第２の信頼
されている管理サーバによって署名された証明書内に含
まれていることを特徴とする通信端末。
【請求項２１】請求項２０に記載の通信端末におい
て、前記第２の信頼されている管理サーバは、前記通信端末
の認証に関し全ての責任を有している管理サーバである
ことを特徴とする通信端末。
【請求項２２】請求項２１に記載の通信端末におい
て、前記第２の信頼されている管理サーバは、前記通信端末
が発信をする管理ドメインにサービスを提供している管
理サーバであることを特徴とする通信端末。
【請求項２３】通信端末が、通信ネットワーク内で接
続点をあるモビリティエージェントから他のモビリティ
エージェントに変更した場合に実施される登録プロセス
において、（ａ）モビリティエージェントを最低１つ有する管理
ドメインを形成する管理サーバを配置する過程と、（ｂ）信頼されたエンティティが認証した広告メッセ
ージによってモビリティエージェントが接続を提供する
過程と、（ｃ）通信端末が、広告メッセージを受信し認証する
過程と、（ｄ）通信端末が、前記広告メッセージを送信してい
るモビリティエージェントのうち選択された１つに登録
する過程とを有することを特徴とする登録プロセス。
【請求項２４】請求項２３に記載の登録プロセスにお
いて、前記信頼されたエンティティは、前記広告メッセージを
送信している前記モビリティエージェントが属する管理
ドメインにサービスを提供している管理サーバであるこ
とを特徴とする登録プロセス。
【請求項２５】請求項２４に記載の登録プロセスにお
いて、前記広告メッセージは、前記広告メッセージを送信して
いる前記モビリティエージェントのプライベートキーに
よって署名されていて、前記広告メッセージを送信して
いる前記モビリティエージェントの公開鍵を持ち、前記
信頼された管理サーバのプライベートキーによって署名
されている証明書を同封していることを特徴とする登録
プロセス。
【請求項２６】請求項２３に記載の登録プロセスにお
いて、前記通信端末は、認証が成功している広告メッセージを
送信しているモビリティエージェントのうちの選択され
た１つに、登録することを特徴とする登録プロセス。
【請求項２７】請求項２６に記載の登録プロセスにお
いて、選択は、広告メッセージを送信していて、認証が成功し
ているモビリティエージェントへの接続性に基づいて行
われることを特徴とする登録プロセス。
【請求項２８】請求項２５に記載の登録プロセスにお
いて、前記通信端末が、前記広告メッセージを送信している前
記モビリティエージェントのどれも認証できない場合、
前記通信端末は、前記広告メッセージを送信している前
記モビリティエージェントの中で選択された１つに登録
を進めることを特徴とする登録プロセス。
【請求項２９】請求項２８に記載の登録プロセスにお
いて、（１）ある一定の期間にモビリティエージェントから
受信して得た広告メッセージをグループに並べ替える過
程と、（２）広告メッセージのグループのうち１つのグルー
プを選択する過程と、（３）選択されたグループ内の１つの広告メッセージ
を選択する過程と、（４）選択された広告メッセージを送信しているモビ
リティエージェントへの登録に進む過程と、（５）広告メッセージを送信している前記選択された
モビリティエージェントへの登録が失敗した場合、前記
選択したグループを廃棄し、（２）の過程に戻る過程と
を有することを特徴とする登録プロセス。
【請求項３０】請求項２９に記載の登録プロセスにお
いて、受信された広告メッセージは、広告メッセージが有する
パラメータの一貫性の順にグループに並び替えられるこ
とを特徴とする登録プロセス。
【請求項３１】請求項２９に記載の登録プロセスにお
いて、過程（２）において、より高い一貫性をもつグループが
選択されることを特徴とする登録プロセス。
【請求項３２】請求項２９に記載の登録プロセスにお
いて、過程（３）において、広告メッセージは、広告メッセー
ジを送信しているモビリティエージェントの接続性に基
づいて、選択されることを特徴とする登録プロセス。
【請求項３３】請求項２８に記載の登録プロセスにお
いて、通信端末が、選択された広告メッセージを送信している
モビリティエージェントに登録を行う時、前記通信端末
は、信頼された管理サーバの公開鍵を有する証明書を要
求することを特徴とする登録プロセス。
【請求項３４】請求項３３に記載の登録プロセスにお
いて、前記信頼されている管理サーバの公開鍵は、第２の信頼
されている管理サーバによって署名された証明書内に含
まれていることを特徴とする登録プロセス。
【請求項３５】請求項３４に記載の登録プロセスにお
いて、前記第２の信頼されている管理サーバは、前記通信端末
の認証に関し全ての責任を有している管理サーバである
ことを特徴とする登録プロセス。
【請求項３６】請求項３５に記載の登録プロセスにお
いて、前記第２の信頼されている管理サーバは、前記通信端末
が発信をする管理ドメインにサービスを提供している管
理サーバであることを特徴とする登録プロセス。
【請求項３７】請求項２３に記載の登録プロセスにお
いて、通信ネットワークはＡＡＡプロトコルに基づいているこ
とを特徴とする登録プロセス。