JP2004246895A

JP2004246895A - インターネット接続時のネットワークアクセスにおけるユーザ認証方法およびシステム

Info

Publication number: JP2004246895A
Application number: JP2004033712A
Authority: JP
Inventors: Lionel Morand; リヨネル，モラン; Frederic Delmond; フレデリク，デルモン; Estelle Transy; エステル，トランシ; Celine Carpy; セリーヌ，カルピ
Original assignee: France Telecom SA
Current assignee: Orange SA
Priority date: 2003-02-10
Filing date: 2004-02-10
Publication date: 2004-09-02
Anticipated expiration: 2024-02-10
Also published as: EP1445916A3; US20050039050A1; JP4741193B2; CN1523811B; KR101025403B1; US7448075B2; EP1445916A2; CN1523811A; KR20040073329A; FR2851104A1

Abstract

【課題】ＩＰサービスまたはインターネットアクセスプロバイダへの接続を確立しようとする試みと同時に、アクセスおよびＩＰ通信網事業者がユーザを認証する。
【解決手段】本発明のユーザ認証方法は、(1)ユーザ識別・認証データを含み、アクセス網１、２、５を介してアクセスまたはＩＰサービスプロバイダの認証サーバ６、７、８へ送信されるアクセス要求を、ユーザ端末１１がアクセスまたはＩＰサービスプロバイダに発行し、(2)網事業者の認証サーバ１２へアクセス要求をあらかじめ送信し、(3)認証サーバ１２が、網事業者によるユーザ識別・認証データに基づいて、ユーザを認証する手続を実行し、(4)認証サーバ６、７、８が、プロバイダによるユーザ識別データに基づいて、ユーザを認証するための手続を実行し、(5)認証サーバ６、７、８、１２によるユーザ認証の結果を含む応答メッセージをユーザ端末１１へ送信する。
【選択図】図２

Description

本発明は、インターネット接続やインターネットプロトコル（ＩＰ（Internet protocol））を用いた電話通信などのような、インターネットプロトコル通信を基盤とするサービス提供に関するものである。

現在、このようなサービスは、ユーザにより生成されるＩＰトラフィック（IP traffic）をさまざまなアクセス網（公衆交換電話回線網（ＰＳＴＮ（public switched telephone network））、総合デジタル通信網（ＩＳＤＮ（integrated services digital network））、デジタル加入者線（ｘＤＳＬ（digital subscriber line））など）から収集して、ＩＰストリームに集約するアクセス網事業者（ＡＮＯ（access network operator））またはＩＰ通信事業者（ＩＴＯ（IP transport operator）により提供されている。こうして収集および集約されたＩＰトラフィックは、その後、閉域網（a closed model)内でユーザにより選択されたインターネットアクセスプロバイダ（ＩＡＰ（Internet access provider））またはＩＰサービスプロバイダ（ＩＳＰ（IP service provider））のネットワーク内にある一つもしくは複数の交換局（delivery points）に伝達される。公衆網(an open model)内では、ＩＰトラフィックは、宛先のＩＰアドレスにより、通信網上で直接転送される。閉域網内では、集められたトラフィックは全部、一般に、ＩＰゲートウェイと、インターネットアクセスプロバイダまたはＩＰサービスプロバイダのネットワークとの間にあるトンネルを使うことにより、インターネットアクセスプロバイダまたはＩＰサービスプロバイダに転送される。ここで、ＩＰゲートウェイには、例えば、ネットワークアクセスサーバ（ＮＡＳ（network access server））型、ブロードバンドアクセスサーバ（ＢＡＳ（broadband access server））型がある。図１は、公衆網を示す。

同図では、集約網（collecting network）は、ＩＰトラフィックをローカルレベルで（at local level）集約している。このネットワークは、既存のアクセス網１、２にインターフェースを提供しているさまざまなタイプのＩＰゲートウェイ３、４で構成される。例えばＮＡＳ型のデータ転送速度の遅いゲートウェイ３は、ＰＳＴＮ型およびＩＳＤＮ型のネットワーク１にインターフェースを提供する。一方、例えばＢＡＳ型のデータ転送速度の速いゲートウェイ４は、非同期転送モード（ＡＴＭ（asynchronous transfer mode））のネットワークを経由する非対称デジタル加入者線（ＡＤＳＬ（asymmetric digital subscriber line））との接続のためのインターフェースを提供する。

端末１１からＩＰゲートウェイ３、４に向かうＩＰトラフィックは、ＰＰＰ（point-to-point protocol）に従ってフレームにカプセル化される。接続の開始時、このプロトコルは、ＩＰ接続を確立し、ユーザ端末を認証するのに必要な情報を伝達する役割を果たす。その後、この情報はＩＰゲートウェイ３、４で受信される。このＩＰゲートウェイ３、４は、その情報をＲＡＤＩＵＳ（Remote Authentication Dial In User Service）またはDiameterのような認証／許可／課金（ＡＡＡ（authentication, authorization, and accounting））のプロトコルに従って、メッセージにカプセル化し、その後、それをアクセス網事業者およびＩＰ通信事業者によって制御されている認証用プロキシサーバ９に転送する。プロキシサーバ９は、そのような認証要求を、ＩＰ通信網５を介して、ユーザによって要求されたインターネットアクセスプロバイダ６、７またはＩＰサービスプロバイダ８により制御されているＡＡＡサーバに送信するように設計されている。ＡＡＡサーバは、ユーザを認証し、ユーザに対してＰＰＰセッション開放の許可を出す。ＩＰ接続の最後に、ＩＰゲートウェイ３、４は、ユーザに請求書を発行するのに必要な情報すべてを含んだチケットを発行する。

このようなアーキテクチャ（図１）では、ＩＰ通信網のユーザは“IAPid@IAPdomain"の形式の識別子情報とそれに付随するパスワードに基づいて、インターネットアクセスまたはサービスプロバイダ６、７、８のＡＡＡサーバにより単独で認証される。この識別子およびパスワードは、アクセスまたはサービスプロバイダにより割り当てられる。概して、ユーザを識別するためのこのような認証情報は異なる管理領域（administrative domain）で管理されているため、アクセス／ＩＰ通信網の事業者（ＡＮＯ／ＩＴＯ）はこの情報を使用することができない。その結果、プロキシサーバ９はその情報が正しいということを証明することができず、そのため、ユーザにより要求されたアクセスまたはサービスプロバイダからユーザの認証を得るために、その情報をそのプロバイダに転送することができるにすぎない。

しかも、ＰＳＴＮ、ＩＳＤＮ、またＡＤＳＬのようなアクセス網１、２経由でＩＰ／ＰＰＰ接続を確立するために現在行われているこの手続では、アクセス網内でユーザ認証を行うことができない。

それにもかかわらず、現状の通信集約サービスが提供され続けている中でも、アクセス／ＩＰ通信網の事業者には、アクセス網内での高付加価値サービスとしてユーザに個人向けサービスを提供するために、ユーザを識別する必要性がある。このようなサービスの例として、ローミングユーザの移動の管理、ユーザによりあらかじめ設定されている好みの機能としての個人アクセス、利用される端末やアクセスポイントに関係なく、ある特定のユーザによるアクセス全てを一つの請求書に結び付ける、多アクセスに対して単一の請求書を発行する（single multi-access billing）サービスなどが挙げられる。
国際公開第０１／４５３５２号パンフレット（２００１年６月２１日公開）米国特許出願公開第２００１／０３７４６６号明細書（２００１年１１月１日公開）国際公開第０２／０８６７１８号パンフレット（２００２年１０月３１日公開）欧州特許出願公開第１２５１６７２号明細書（２００２年１０月２３日公開）

本発明は、上記の問題点に鑑みてなされたものであり、その目的は、ＰＰＰ／ＩＰ接続を確立するための従来の手順に従ったアーキテクチャを用いつつ、上記のような障害を取り除くことにある。すなわち、本発明の目的は、ＩＰサービスまたはインターネットアクセスプロバイダへの接続を確立しようとする試みと同時に、アクセスおよびＩＰ通信網事業者がユーザを認証することができるユーザ認証方法およびシステムを実現することにある。

上記課題を解決するために、本発明に係るユーザ認証方法は、ユーザ識別・認証データを含み、アクセス網およびＩＰ通信網を介してアクセスまたはＩＰサービスプロバイダの認証サーバへ送信されるアクセス要求を、ユーザ端末がアクセスまたはＩＰサービスプロバイダに発行するステップと、上記認証サーバが、上記アクセス要求に含まれる識別・認証データに基づいて、ユーザを認証するための手続を実行するステップと、上記認証サーバによるユーザ認証の結果を含む応答メッセージをユーザ端末へ送信するステップとを含む方法である。

そして、本発明に係るユーザ認証方法は、上記アクセス要求に、上記アクセスおよびＩＰ通信網事業者によるユーザ識別・認証データをあらかじめ挿入するステップと、上記アクセスおよびＩＰ通信網事業者の認証サーバへＩＰ通信網を介して伝送されるアクセス要求を送信するステップと、上記アクセスおよびＩＰ通信網事業者の認証サーバが、アクセス要求に含まれる上記アクセスおよびＩＰ通信網事業者によるユーザ識別・認証データに基づいて、ユーザを認証する手続を実行するステップと、をさらに含む方法である。

さらに、本発明に係るユーザ認証方法は、上記アクセスおよびＩＰ通信網事業者によるユーザ識別・認証データを上記アクセス要求に挿入するステップが、ユーザの選択により任意であることが好ましい。

さらに、本発明に係るユーザ認証方法は、上記アクセスおよびＩＰ通信網事業者の上記認証サーバによるユーザ認証結果を上記応答メッセージに挿入するステップをさらに含む方法である。

さらに、本発明に係るユーザ認証方法は、上記アクセスおよびＩＰ通信網事業者によるユーザ識別・認証データを含まないアクセス要求を生成し、当該アクセス要求をインターネットアクセスまたはＩＰサービスプロバイダに送信するステップを含む方法である。

さらに、本発明に係るユーザ認証方法は、上記アクセス網およびＩＰ通信網事業者の認証サーバによって認証手続が実行されている間に、ユーザが認証された場合、ユーザの個人情報を上記応答メッセージに挿入するステップを含む方法である。

さらに、本発明に係るユーザ認証方法は、上記インターネットまたはＩＰアクセスサービスプロバイダ、および、上記アクセスおよびＩＰ通信網事業者の上記認証サーバによるユーザ認証の上記ステップが、逐次的に実行される方法である。

あるいは、本発明に係るユーザ認証方法は、上記インターネットまたはＩＰアクセスサービスプロバイダ、および、上記アクセスまたはＩＰ通信網事業者の上記認証サーバによるユーザ認証の上記ステップが、実質上同時にトリガされる方法である。

さらに、本発明に係るユーザ認証方法は、上記アクセス要求に挿入される上記識別・認証データが、“IAPid|Nid|AUTH@IAPdomain,PW"（“IAPid"は、上記アクセスまたはＩＰサービスプロバイダによるユーザ識別子を表す；“Nid"は、上記アクセスおよびＩＰ通信網事業者によるユーザ識別子を表す；“AUTH"は、上記アクセスおよびＩＰ通信網事業者によるユーザ認証データを表す；“IAPdomain"は、上記ＩＰ通信網内での上記アクセスまたはＩＰサービスプロバイダの識別子を表す；“PW"は、ユーザの識別子"IAPid"と関連付けられた、上記アクセスまたはＩＰサービスプロバイダによる認証パスワードを表す）という形式をとる方法である。

また、本発明は、アクセスおよびＩＰ通信網の事業者がインターネットアクセスまたはＩＰサービスプロバイダへの接続を確立しようと試みるユーザを認証することを可能にするシステムを提供する。

本発明に係るユーザ認証システムは、ユーザ端末が接続されるアクセス網と、インターネットアクセスおよびＩＰサービスプロバイダが接続される少なくとも一つのＩＰ通信網と、上記アクセス網と上記ＩＰ通信網とを接続するＩＰゲートウェイと、各々のユーザ端末に備えられた、上記アクセスあるいはＩＰサービスプロバイダの一つに、当該アクセスあるいはＩＰサービスプロバイダによるユーザ識別・認証データを含むアクセス要求を発行するための手段と、上記アクセスあるいはＩＰサービスプロバイダごとに設けられ、上記アクセスあるいはＩＰサービスプロバイダによって受信されたアクセス要求に含まれている識別・認証データに従って、ユーザを識別・認証するように設計された少なくとも一つの認証サーバと、を備えて構成されている。

そして、さらに、本発明に係るユーザ認証システムは、各々の上記ユーザ端末が、各々が発行する各アクセス要求に、アクセスおよびＩＰ通信網事業者によるユーザ識別・認証データを挿入する手段を備えたものであって、上記アクセスおよびＩＰ通信網事業者のアクセス制御装置および認証サーバをさらに備え、上記アクセス制御装置が、ユーザ端末から送信され上記ＩＰ通信網を経由して転送されるすべてのアクセス要求を受信する手段と、各々のアクセス要求から上記アクセスおよびＩＰ通信網事業者によるユーザ識別・認証データを抽出し、当該データを上記アクセスおよびＩＰ通信網事業者の上記認証サーバへ送信する手段とを備え、上記アクセスおよびＩＰ通信網事業者の上記認証サーバが、上記アクセス制御装置から受信した識別・認証データに基づき認証手続を実行する手段を備えて構成されている。

さらに、本発明に係るユーザ認証システムは、上記アクセス制御装置は、上記アクセスおよびＩＰ通信網事業者の認証サーバにより実行されるユーザ認証の手続の結果を、上記アクセス要求に対する応答として、上記アクセスあるいはＩＰサービスプロバイダにより発行された応答メッセージに挿入する手段を備える構成である。

さらに、本発明に係るユーザ認証システムは、上記アクセスおよびＩＰ通信網事業者のユーザ識別データと、当該ユーザの個人情報とを格納するデータベースを備えるとともに、上記データベースが、上記アクセスおよびＩＰ通信網事業者の認証サーバおよび／または上記アクセス制御装置からアクセス可能である構成である。

さらに、本発明に係るユーザ認証システムは、上記アクセス制御装置がＲＡＤＩＵＳ（Remote Authentication Dial In User Service）プロキシサーバであり、上記認証サーバがＲＡＤＩＵＳサーバである構成である。

以上のように、本発明に係るユーザ認証方法は、アクセス要求に、アクセスおよびＩＰ通信網事業者によるユーザ識別・認証データをあらかじめ挿入するステップと、アクセスおよびＩＰ通信網事業者の認証サーバへＩＰ通信網を介して伝送されるアクセス要求を送信するステップと、アクセスおよびＩＰ通信網事業者の認証サーバが、アクセス要求に含まれるアクセスおよびＩＰ通信網事業者によるユーザ識別・認証データに基づいて、ユーザを認証する手続を実行するステップとを含む方法である。

また、本発明に係るユーザ認証システムは、各々のユーザ端末が、各々が発行する各アクセス要求に、アクセスおよびＩＰ通信網事業者によるユーザ識別・認証データを挿入する手段を備えたものであって、アクセスおよびＩＰ通信網事業者のアクセス制御装置および認証サーバをさらに備え、アクセス制御装置が、ユーザ端末から送信されＩＰ通信網を経由して転送されるすべてのアクセス要求を受信する手段と、各々のアクセス要求からアクセスおよびＩＰ通信網事業者によるユーザ識別・認証データを抽出し、当該データをアクセスおよびＩＰ通信網事業者の認証サーバへ送信する手段とを備え、アクセスおよびＩＰ通信網事業者の認証サーバが、アクセス制御装置から受信した識別・認証データに基づき認証手続を実行する手段を備えた構成である。

上記の方法および構成によれば、ＩＰサービスまたはインターネットアクセスプロバイダへの接続を確立しようとする試みと同時に、アクセスおよびＩＰ通信網事業者がユーザを認証することができる。したがって、ＰＰＰ／ＩＰ接続を確立するための従来の手順に従ったアーキテクチャを用いつつ、上述したような従来システムにおける障害を取り除くことが可能となるという効果を奏する。

図２に示されるこのシステムアーキテクチャは、ユーザ端末１１が接続されたアクセス網１、２を含む。これらのアクセス網１、２は、ユーザ端末１１にそのアクセス網それぞれに適したＩＰゲートウェイ３、４経由でのＩＰ通信網５へのアクセスを提供する。アクセス網、ゲートウェイ、およびＩＰ通信網を含むこのエンティティーは、アクセス網およびＩＰ通信網事業者（ＡＮＯ／ＩＴＯ）により実施される。

このＩＰ通信網５は、ユーザのインターネットアクセスプロバイダ６、７またはＩＰサービスプロバイダ８へのアクセスを可能にする。この目的のために、本発明のシステムは、ＩＰ通信網５に接続されたアクセス制御装置１０を含む。ＩＰゲートウェイ３、４は、端末１１により発行されたアクセス要求をこのアクセス制御装置１０に転送する。

本発明のシステムは、また、アクセス制御装置１０に接続されているＡＡＡ認証サーバ１２、および認証サーバ１２やおそらくアクセス制御装置１０からもアクセス可能なユーザデータベース１３を含む。このデータベースは、ＡＮＯ／ＩＴＯ事業者に関して、ユーザの識別データや個人情報を格納している。

アクセス制御装置１０は、ネットワーク１、２でユーザにより発行された、アクセスまたはサービスプロバイダ６、７、８宛ての全てのアクセス要求を受信するように設計されている。それらのアクセス要求は、ユーザにより選択されたアクセスまたはサービスプロバイダ６、７、８に転送される前に、使用されたアクセス網に対応しているＩＰゲートウェイ３、４によってアクセス制御装置に転送される。認証サーバ１２は、受信した各々のアクセス要求に対して認証手続を実行するように設計されている。この手続は、データベース１３に格納されている識別・認証情報を利用する。

ユーザにより発行されるアクセスまたはサービスプロバイダへのアクセス要求は、ＰＰＰセッション開始の許可要求を含む。このような要求を受信すると、アクセス制御装置１０は、認証サーバ１２に対してユーザを認証するように依頼し、それからサーバは認証手続を開始する。従来の方法でも、アクセス制御装置は、アクセスまたはサービスプロバイダ６、７、８にユーザを認証するように依頼する。認証サーバ１２およびアクセスまたはサービスプロバイダがユーザ認証に関する応答をすでに返信している場合、アクセス制御装置は、アクセス許可要求に対する応答をユーザ端末１１に発行する。この応答は、受信した認証応答の内容による。

ここで、ユーザ端末がＰＰＰセッションの開始許可要求を挿入するのは、任意でかつユーザの選択によるものであってよい。また、この挿入は、アクセス網またはＩＰ通信網における個人向けサービスによる利益をユーザが求める場合にのみ必要とされる、ＡＮＯ／ＩＴＯ事業者によるユーザ認証に伴うものである。もし、ＡＮＯ／ＩＴＯ事業者による認証が失敗した場合、アクセス制御装置１０は、ＡＮＯ／ＩＴＯ事業者により推奨されたアクセス権管理のための手続に従う。

アクセス制御装置１０によって受信された要求がＡＮＯ／ＩＴＯ事業者によるユーザを識別する情報を含んでいない場合、従来の方法では、その要求は要求されたアクセスまたはＩＰサービスプロバイダに転送される。すなわち、アクセス制御装置１０による処理は行われない。

図３のダイアグラムに、交換されるメッセージおよび認証手続を時系列に配列したものを示す。

インターネットまたはＩＰサービスにアクセスするために、ユーザ端末１１はＰＰＰ接続を確立するための手続２１を実行する。この手続は、インターネットアクセスプロバイダ６または７、あるいはサービスプロバイダ８のためのユーザ識別・認証情報を含んだアクセス要求メッセージ３１を発行する処理を含む。この識別情報は、パスワードなどの認証情報と関連付けられている。具体的には、この識別情報は、"IAPid@IAPdomain"という形式をとってもよい。なお、“IAPid"は、アクセスまたはサービスプロバイダと組み合わせて、ユーザを一意に識別可能とするものである。加えて、本発明では、このアクセス要求メッセージ３１は、さらに、ユーザのアクセスおよびＩＰ通信事業者ＡＮＯ／ＩＴＯのためのユーザ識別・認証情報を含む。

アクセス要求メッセージ３１は、対応するＩＰゲートウェイ３、４へ、ユーザ端末１１によって送信される。このようなメッセージを受信したとき、ＩＰゲートウェイは、手続２２を実行する。手続２２では、受信しメッセージ３１をＩＰ網へアクセスするための許可を要求するメッセージ３２にカプセル化する。このメッセージは、ＩＰゲートウェイによって、アクセス網およびＩＰ通信網事業者ＡＮＯ／ＩＴＯのアクセス制御装置１０に転送される。

メッセージ３２を受信したとき、アクセス制御装置１０は、手続２３を実行する。手続２３では、アクセスおよびＩＰ通信事業者によるユーザ識別・認証情報をメッセージ３２から抽出し、この情報をメッセージ３３の形で認証サーバ１２へ送信する。

メッセージ３３を受信したとき、認証サーバ１２は、ユーザ認証のための手続２４を開始する。手続２４では、受信した識別・認証情報が、ユーザごとにデータベースに格納されている情報と間違いなく対応していることを証明する。その後、認証サーバ１２は、認証完了を報告するメッセージ３４をアクセス制御装置１０に送信する。

手続２３が実行されている間、もしくはメッセージ３４を受信したときに開始された手続き２５において、アクセス制御装置１０は、アクセス許可要求メッセージ３３からアクセスまたはサービスプロバイダ６、７、８にアクセスするための要求３５を抽出し、その要求をそのプロバイダへ転送する。

要求３５を受信したとき、アクセスまたはサービスプロバイダは、手続２６を開始する。手続２６では、要求に識別子とパスワードとが含まれているので、ユーザがインターネットまたはＩＰサービスにアクセスすることを許可されたと証明し、認証を報告するメッセージ３６をアクセス制御装置１０に返信する。

認証サーバ１２から、およびアクセスまたはＩＰサービスプロバイダ６、７、８からの、ユーザ認証を報告する二つのメッセージ３４および３６を受信したとき、アクセス制御装置１０は、手続２７を実行する。手続２７では、ユーザによるアクセス要求に対して応答するメッセージ３７を生成し、この応答メッセージをＩＰゲートウェイ３、４へ転送する。

この応答メッセージ３７は、アクセスまたはＩＰサービスプロバイダ６、７、８により発行された認証報告を含んでおり、また認証サーバ１２により発行された認証報告も含んでいることがある。

もし、認証サーバ１２からの認証報告が認証成功を示していれば、ユーザが登録しているサービスの内容に関しての、通信網事業者ＡＮＯ／ＩＴＯによる情報を含んでいる。例えば、その情報は、データベース１３にユーザ識別子と関連付けて格納されていてもよい。あるいは、認証サーバ１２によってあらかじめ認証されているユーザであれば、アクセス制御装置１０によって参照できるように、この個人情報がデータベース１３内に格納されていてもよい。

ここで、サーバ１２およびアクセスまたはサービスプロバイダ６、７、８によって実行される認証手続２４と２６は、同時に実行されるか、あるいは何らかの順番で逐次的に実行される。

メッセージ３７を受信したとき、ＩＰゲートウェイ３、４は、手続２８を実行する。手続２８では、上記応答メッセージからユーザに返信するための情報を抽出し、その後、そのメッセージに含まれる個人情報を利用して、ユーザ宛ての抽出された情報すべてを含んだメッセージ３８を、ユーザ端末へ送信する。

これらの処理によって、通信網事業者ＡＮＯ／ＩＴＯは、それらが提供する接続および通信サービスにユーザをその身元に応じて適合させることができる。例えば、認証されなかったユーザに対しては、最低限のサービスしか提供しないことなどが可能である。

上述したように、本発明は、ＰＰＰプロトコルに基づく接続に利用されるような認証プロトコルを用いることで実施可能である。つまり、ＰＡＰ（password authentication protocol）およびＲＡＤＩＵＳ（Remote Authentication Dial In User Service）プロトコルである。

したがって、アクセス制御装置１０は、ＲＡＤＩＵＳプロキシサーバに、また認証サーバ１２はＲＡＤＩＵＳサーバに基づき開発され得る。

ＰＡＰプロトコルによれば、“IAPid@IAPdomain"の形式で識別子をアクセスまたはＩＰサービスプロバイダに送信し、パスワードを入力することによって、ユーザは、利用する上記アクセスまたはＩＰサービスプロバイダによる認証を得ることができる。

アクセス制御装置１０がユーザを認証するのに必要とする情報を送信するために、ユーザの通信網識別子Nid、および関連付けられた認証情報AUTHを、アクセスプロバイダのユーザ識別子に以下のように挿入することが可能である。

“IAPid|Nid|AUTH@IAPdomain"
メッセージ３１は、“ＰＨＰ認証要求"メッセージに対応し、上記識別文字列とユーザにより設定された、アクセスまたはサービスプロバイダによる認証パスワード（PW）を含んでいる。

手続２２によって生成されるメッセージ３２は、特に次のような属性を持つＲＡＤＩＵＳ“アクセス要求"メッセージである。

ユーザ名＝"IAPid|Nid|AUTH@IAPdomain"
ユーザパスワード＝“PW"
手続２３では、メッセージ３２の“ユーザ名”属性から、事業者ＡＮＯ／ＩＴＯがユーザを識別するのに必要とする“Nid|AUTH"の部分を抽出し、以下のＲＡＤＩＵＳ“アクセス要求"型の属性をメッセージ３３に挿入する。

ユーザ名＝“Nid"
ユーザパスワード＝“AUTH"
認証手続２４は、ＲＡＤＩＵＳサーバ１２により実行される。手続２４では、データベース１３内でパスワード“AUTH"と関連付けられているかどうかを確認するために、識別子“Nid"をデータベース１３から検索し、認証の結果に応じて、ＲＡＤＩＵＳの“アクセス可"または“アクセス不可"メッセージ型の報告メッセージ３４を発行する。

アクセスまたはサービスプロバイダ６、７、８の認証サーバもＲＡＤＩＵＳサーバと同様であり、またメッセージ３５も以下の属性を持つＲＡＤＩＵＳ“アクセス要求"メッセージ型と同様である。

ユーザ名＝“IAPid"
ユーザパスワード＝“PW"
報告メッセージ３６も認証結果に応じた、ＲＡＤＩＵＳ“アクセス可"または"アクセス不可"型のメッセージと同様である。

メッセージ３７を生成するために、手続２７では、例えば、認証サーバ１２によって実行された認証の結果、例えば“成功”または“失敗”などを含む“応答メッセージ”属性を、メッセージ３６に挿入する。

手続２８の間にゲートウェイ３、４によって生成されるメッセージ３８は、アクセスが許可された場合は“ＰＡＰ認証承認"型のメッセージであり、アクセスが拒否された場合は、“ＰＡＰ認証否認"型のメッセージである。また、このメッセージは、メッセージ３６の“応答メッセージ"属性の内容を含む。

もちろん、Diameterのような他の認証プロトコルも多様なサービスのユーザ認証のために、本発明によって利用することができる。

本発明は上述した実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能である。すなわち、請求項に示した範囲で適宜変更した技術的手段を組み合わせて得られる実施形態についても本発明の技術的範囲に含まれる。

本発明は、ＩＰサービスまたはインターネットアクセスプロバイダへの接続を確立しようとする試みと同時に、アクセスおよびＩＰ通信網事業者がユーザを認証することを可能とするものであるため、インターネット接続やインターネットプロトコルを用いた電話通信などのような、インターネットプロトコル通信を基盤として提供されるサービスに広く適用できる。特に、アクセスおよびＩＰ通信網事業者がアクセス網内で個人向けの高付加価値サービスを提供する際のユーザ識別に好適に利用できる。

ＩＰ通信に基づくサービス提供のための従来技術のシステムのアーキテクチャを示す図である。ＩＰ通信基づくサービス提供のための本発明におけるシステムのアーキテクチャを示す図である。図２で示されたシステムにおいて実行される手続と交換されるメッセージとを時系列で示した図である。

符号の説明

１、２アクセス網
３、４ＩＰゲートウェイ
５ＩＰ通信網
６、７インターネットアクセスプロバイダ
８ＩＰサービスプロバイダ
１０アクセス制御装置
１１ユーザ端末
１２アクセスおよびＩＰ通信網事業者の認証サーバ
１３データベース
３１アクセス要求
３５アクセス要求
３６応答メッセージ
ＡＡＡアクセスまたはＩＰサービスプロバイダの認証サーバ

Claims

インターネットアクセスまたはＩＰサービスプロバイダ（６、７、８）への接続を確立しようとするのと同時に、アクセスおよびＩＰ通信網事業者がユーザを認証するためのユーザ認証方法であって、
ユーザ識別・認証データを含み、アクセス網（１、２）およびＩＰ通信網（５）を介して上記アクセスまたはＩＰサービスプロバイダの認証サーバ（ＡＡＡ）へ送信されるアクセス要求（３１）を、ユーザ端末（１１）がアクセスまたはＩＰサービスプロバイダに発行するステップと、
上記認証サーバが、上記アクセス要求に含まれる識別・認証データに基づいて、ユーザを認証するための手続（２６）を実行するステップと、
上記認証サーバ（ＡＡＡ）によるユーザ認証の結果を含む応答メッセージ（３６）をユーザ端末（１１）へ送信するステップとを含み、
さらに、上記アクセス要求（３１）に、上記アクセスおよびＩＰ通信網事業者によるユーザ識別・認証データをあらかじめ挿入するステップと、
上記アクセスおよびＩＰ通信網事業者の認証サーバ（１２）へ上記ＩＰ通信網を介して伝送されるアクセス要求を送信するステップと、
上記アクセスおよびＩＰ通信網事業者の認証サーバ（１２）が、上記アクセス要求（３１）に含まれる上記アクセスおよびＩＰ通信網事業者によるユーザ識別・認証データに基づいて、ユーザを認証する手続（２４）を実行するステップと、を含むことを特徴とするユーザ認証方法。
上記アクセスおよびＩＰ通信網事業者によるアクセス要求（３１）にユーザ識別・認証データを挿入するステップを実行するか否かが、ユーザにより選択可能であることを特徴とする請求項１に記載のユーザ認証方法。
上記アクセスおよびＩＰ通信網事業者の上記認証サーバ（１２）によるユーザ認証結果を上記応答メッセージ（３６）に挿入するステップをさらに含むことを特徴とする請求項１または２に記載のユーザ認証方法。
上記アクセスおよびＩＰ通信網事業者によるユーザ識別・認証データを含まないアクセス要求（３５）を生成し、当該アクセス要求を上記インターネットアクセスまたはＩＰサービスプロバイダ（６、７、８）へ送信するステップをさらに含むことを特徴とする請求項１から３のいずれか１項に記載のユーザ認証方法。
上記アクセスおよびＩＰ通信網事業者の認証サーバ（１２）によって認証手続が実行される間に、ユーザが認証された場合、ユーザの個人情報を上記応答メッセージ（３６）に挿入するステップをさらに含むことを特徴とする請求項１から４のいずれか１項に記載のユーザ認証方法。
上記インターネットアクセスまたはＩＰサービスプロバイダ、および、上記アクセスおよびＩＰ通信網事業者の認証サーバ（ＡＡＡ、１２）によるユーザ認証のステップ（２４、２６）が、逐次的に実行されることを特徴とする請求項１から５のいずれか１項に記載のユーザ認証方法。
上記インターネットアクセスまたはＩＰサービスプロバイダ、および、上記アクセスおよびＩＰ通信網事業者の認証サーバ（ＡＡＡ、１２）によるユーザ認証のステップ（２４、２６）が、実質上同時にトリガされることを特徴とする請求項１から５のいずれか１項に記載のユーザ認証方法。
上記アクセス要求（３１）に挿入される上記識別・認証データが、
“IAPid|Nid|AUTH@IAPdomain,PW"
−“IAPid”は、上記アクセスまたはＩＰサービスプロバイダによるユーザ識別子を表す；
−“Nid”は、上記アクセスおよびＩＰ通信網事業者によるユーザ識別子を表す；
−“AUTH”は、上記アクセスおよびＩＰ通信網事業者によるユーザ認証データを表す；
−“IAPdomain”は、上記ＩＰ通信網（５）内での上記アクセスまたはＩＰサービスプロバイダの識別子を表す；
−“PW”は、ユーザの識別子“IAPid”と関連付けられた、上記アクセスまたはＩＰサービスプロバイダによる認証パスワードを表す；
という形式をとることを特徴とする請求項１から７のいずれか１項に記載のユーザ認証方法。
インターネットアクセスまたはＩＰサービスプロバイダ（６、７、８）への接続を確立しようと試みる間に、アクセスおよびＩＰ通信網事業者がユーザを認証するためのユーザ認証システムであって、
ユーザ端末（１１）が接続されるアクセス網（１、２）と、
インターネットアクセスおよびＩＰサービスプロバイダが接続される少なくとも一つのＩＰ通信網（５）と、
上記アクセス網を上記ＩＰ通信網に接続するＩＰゲートウェイ（３、４）と、
各々のユーザ端末に備えられた、上記アクセスあるいはＩＰサービスプロバイダの一つに、当該プロバイダによるユーザ識別・認証データを含むアクセス要求（３１）を発行するための手段と、
上記アクセスあるいはＩＰサービスプロバイダごとに設けられ、上記アクセスあるいはＩＰサービスプロバイダによって受信されたアクセス要求（３１）に含まれている識別・認証データに従って、ユーザを識別・認証するように設計された少なくとも一つの認証サーバ（ＡＡＡ）と、を備えるとともに、
各々の上記ユーザ端末（１１）が、各々が発行する各アクセス要求（３１）に、アクセスおよびＩＰ通信網事業者によるユーザ識別・認証データを挿入する手段を備え、
上記ユーザ認証システムは、
上記アクセスおよびＩＰ通信網事業者のアクセス制御装置（１０）および認証サーバ（１２）をさらに備え、
上記アクセス制御装置が、ユーザ端末から送信され上記ＩＰ通信網（５）を経由して転送されるすべてのアクセス要求を受信する手段と、各々の上記アクセス要求から上記アクセスおよびＩＰ通信網事業者による上記ユーザ識別・認証データを抽出し、当該データを上記アクセスおよびＩＰ通信網事業者の認証サーバ（１２）へ送信する手段とを備え、
上記アクセスおよびＩＰ通信網事業者の上記認証サーバが、上記アクセス制御装置から受信した識別・認証データに基づき認証手続（２４）を実行する手段を備えることを特徴とするユーザ認証システム。
上記アクセス制御装置（１０）は、上記アクセスおよびＩＰ通信網事業者の上記認証サーバ（１２）により実行されるユーザ認証の上記手続（２４）の結果を、上記アクセス要求に対する応答として、上記アクセスあるいはＩＰサービスプロバイダ（６、７、８）により発行された応答メッセージに挿入する手段を備えることを特徴とする請求項９に記載のユーザ認証システム。
上記アクセスおよびＩＰ通信網事業者のユーザ識別データと、当該ユーザの個人情報とを格納するデータベース（１３）を備えるとともに、
上記データベースが、上記アクセスおよびＩＰ通信網事業者の認証サーバ（１２）および／または上記アクセス制御装置からアクセス可能であることを特徴とする請求項９または１０に記載のユーザ認証システム。
上記アクセス制御装置（１０）がＲＡＤＩＵＳ（Remote Authentication Dial In User Service）プロキシサーバであり、上記認証サーバ（１２）がＲＡＤＩＵＳサーバであることを特徴とする請求項９から１１のいずれか１項に記載のユーザ認証システム。