JP2004260243A

JP2004260243A - Method of authenticating mobile terminal, mobile position management apparatus, and authentication information management apparatus

Info

Publication number: JP2004260243A
Application number: JP2003045427A
Authority: JP
Inventors: Masanori Morita; 正範森田; Hirosuke Sakitani; 啓輔崎谷; Hiroyuki Onishi; 浩行大西
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2003-02-24
Filing date: 2003-02-24
Publication date: 2004-09-16

Abstract

<P>PROBLEM TO BE SOLVED: To solve the problem of a load concentration and the delay of authentication processing due to access to an authenticating apparatus from conventional mobile terminals for every time of position registration. <P>SOLUTION: When a mobile terminal 5 moves from a home network to an in-zone network and moves from the in-zone network to another in-zone network, and a home agent 4 receives a position registration message S1 transmitted periodically, the home agent 4 obtains (S2, S3)authentication information from an authentication information management apparatus 7 storing the authentication information of all the mobile terminals, and compares the obtained authentication information with the authentication information added to the position registration message to authenticate the mobile terminal 5. If the authentication is OK, the home agent 4 stores the obtained authentication information in a cache storing a correlation between the home address and a care of address. Upon receiving the position registration message S1 from the mobile terminal 5, the home agent 4 authenticates the mobile terminal 5 by using the authentication information stored in the cache. <P>COPYRIGHT: (C)2004,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
本発明は、ＭｏｂｉｌｅＩＰｖ６での移動端末の認証方法、並びにこの認証方法に用いる移動位置管理装置（ホームエージェント）及び認証情報管理装置に関するものである。
より詳細には、ホーム網に属し、そのホーム網から払い出されたホームアドレスを持つ移動端末が、特に公衆網において、移動端末の位置（気付けアドレス）をホームエージェントに登録する際に、移動端末のなりすましや位置登録情報の改ざんを防止するために移動端末の認証を行う技術に関する。
【０００２】
【従来の技術】
従来、ＭｏｂｉｌｅＩＰｖ４では、ＩＥＴＦ（ＩｎｔｅｒｎｅｔＥｎｇｉｎｅｅｒｉｎｇＴａｓｋＦｏｒｃｅ：インターネット技術標準化委員会）で規定されている認証方式が知られている。これは、移動端末がホーム網から在圏網に移動した際、在圏網から在圏網に移動した際、及び周期的に送信する位置登録メッセージの受信を契機に、移動位置管理装置（ホームエージェント）が、全移動端末の認証情報の管理機能と照合機能を具備する認証装置（認証サーバ）に対して認証要求を送信し、該認証装置において、位置登録メッセージに一緒に付けれた認証情報と該認証装置で保持された認証情報とを照合するというものである（例えば、非特許文献１参照）。また、一般に認証情報の保持と認証情報の照合処理を外部の認証装置で行う認証方式としては、ＩＥＥＥ８０２．１ｘが知られている。
【０００３】
しかし、ＭｏｂｉｌｅＩＰｖ６においては、ＩＥＴＦでもＭｏｂｉｌｅＩＰ機能自体の検討が進められている段階で、移動端末に対しＭｏｂｉｌｅＩＰサービスを許可するかどうかの認証方式に関しては規定がなく、また、移動端末からの位置登録メッセージに対するＩｐｓｅｃ（ＩＰＳｅｃｕｒｉｔｙＰｒｏｔｏｃｏｌ）を用いた送信元の認証方式についてはＩＥＴＦで現在検討されているが、認証機能の配備等の実現方式に関しては規定がない。
【０００４】
【非特許文献１】
ＭｏｂｉｌｅＩＰＷｏｒｋｉｎｇＧｒｏｕｐＩｎｔｅｒｎｅｔＤｒａｆｔ２３Ｏｃｔｏｂｅｒ２００２
＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｉｎｔｅｒｎｅｔ−ｄｒａｆｔｓ／ｄｒａｆｔ−ｉｅｔｆ−ｍｏｂｉｌｅｉｐ−ａａａ− ｋｅｙ−１０．ｔｘｔ＞
【０００５】
【発明が解決しようとする課題】
従来の技術では、全移動端末の認証情報を保持し、位置登録メッセージに一緒に付けられた認証情報と内部で保持された認証情報とを照合する認証装置を用いて、移動端末がホーム網から在圏網に移動した際、在圏網から在圏網に移動した際、及び周期的に送信する位置登録メッセージの受信を契機に認証処理が行われていた。その場合、移動端末がホームエージェントに位置登録する毎に認証装置で認証処理を行っていたために、位置登録する移動端末数が多くなるほど認証装置に負荷が集中し、またホームエージェントから認証装置にアクセスする時間分、位置登録処理が遅延していた。特にＭｏｂｉｌｅＩＰｖ６においては、ホーム網をＩＥＴＦで検討されているＤｙｎａｍｉｃＨｏｍｅＡｇｅｎｔＡｄｄｒｅｓｓＤｉｓｃｏｖｅｒｙ機能を用いた複数ホームエージェントとする場合には、外部装置での認証情報の一元管理が必要となり、上記の課題が一層顕著になる。
【０００６】
本発明は、ＭｏｂｉｌｅＩＰｖ６網において、例えば公衆網サービスのようなセキュアかつ大規模なＭｏｂｉｌｅＩＰサービスを提供するために、移動端末の認証情報を保持する認証情報管理機能と、位置登録メッセージに一緒に付けられた認証情報との照合処理機能を移動位置管理装置（ホームエージェント）と認証情報管理装置とに分散配備し、且つ位置登録メッセージ受信毎の認証情報管理機能へのアクセス数を削減することで、負荷集中や認証処理遅延を軽減する移動端末の認証方法並びにこの認証方法に用いた移動位置管理装置及び認証情報管理装置を提供することを目的とする。
【０００７】
【課題を解決するための手段】
上記目的を達成するため、本発明では、ＭｏｂｉｌｅＩＰｖ６ネットワーク環境において、移動端末がホーム網から在圏網に移動した際、在圏網から在圏網に移動した際、及び周期的に送信する位置登録メッセージを、該移動端末の位置を管理する移動位置管理装置（ホームエージェント）が受信した時を契機に、該ホームエージェントが、該移動端末の認証情報を保持した認証情報管理装置から認証情報を取得し、該取得した該認証情報と前記位置登録メッセージに一緒に付けられた認証情報とを照合することにより位置登録メッセージの送信元移動端末を認証する。そして、認証が正常と判断された場合には、ホームエージェントは、前記認証情報管理装置から取得した認証情報を、ホームアドレスと気付けアドレスの対応関係を保持した該当ＢｉｎｄｉｎｇＣａｃｈｅエントリに格納する。その後、該移動端末が前記ホームエージェントに対し位置登録する際、該ホームエージェントは、前記ＢｉｎｄｉｎｇＣａｃｈｅエントリの有無を判断し、該移動端末のＢｉｎｄｉｎｇＣａｃｈｅエントリがない場合には、前記認証情報管理装置から認証情報を取得するが、該移動端末のＢｉｎｄｉｎｇＣａｃｈｅエントリがある場合には、該ＢｉｎｄｉｎｇＣａｃｈｅエントリにある認証情報で移動端末を認証する。
【０００８】
本発明によれば、移動端末がホーム網から在圏網に移動した際、在圏網から在圏網に移動した際、及び周期的に送信する位置登録メッセージに対し、ホームエージェントにて送信元の認証が可能となり、安全性の高いＭｏｂｉｌｅＩＰサービスが提供可能となる。さらに従来の外部の認証装置で発生した認証処理の負荷集中を分散させることが可能となる。
【０００９】
【発明の実施の形態】
以下、本発明の実施の形態を図面に示す好適実施例に基づいて詳細に説明する。
図１に本発明の適用対象であるネットワーク構成例を示す。ＭｏｂｉｌｅＩＰｖ６網１は、移動端末５が帰属するホーム網２（図１ではホーム網Ｂ）と移動端末５の移動先である在圏網３（図１では在圏網Ｃ、Ｄ）のネットワークから構成される。ホーム網２には複数の移動位置管理装置（以下、ホームエージェント）４が存在するが、図１ではホームエージェントＡとホームエージェントＢのみを示している。後述するように、ホームエージェント４は、移動端末のホームアドレスと気付けアドレスの対応を保持したバインディングキャッシュ（ＢｉｎｄｉｎｇＣａｃｈｅ）を具備している。また、本ＭｏｂｉｌｅＩＰｖ６網１には、移動端末５と通信する相手端末６、各移動端末の認証情報を保持する認証情報管理装置７が存在する。
【００１０】
移動端末５は、ホーム網Ｂから在圏網Ｄに移動した際、在圏網Ｄから在圏網Ｃに移動際、及び、周期的に位置登録メッセージＳ１をホームエージェント４（図１ではホームエージェントＡ）に送信する。この位置登録メッセージＳ１には認証情報が一緒に付けられている。１回目の位置登録では、ホームエージェントＡは、認証情報管理装置７に対して移動端末５の認証情報の取得要求メッセージＳ２を送信し、認証情報管理装置７から取得応答要求メッセージＳ３として認証情報を取得し、該取得した認証情報と取得要求メッセージＳ１に付けられた認証情報とを照合することにより、移動端末５を認証する。認証がとれると、ホームエージェントＡは、移動端末５に対して位置登録応答メッセージＳ４を送信する。また、この時、認証情報管理装置７から取得した認証情報をＢｉｎｄｉｎｇＣａｃｈｅの該当エントリに格納する。一方、２回目以降の位置登録では、ホームエージェントＡは、該当ＢｉｎｄｉｎｇＣａｃｈｅエントリに格納されている認証情報と位置登録メッセージＳ１に付けられた認証情報とを照合することにより、移動端末５を認証する。認証が正常と判断された場合、移動端末５はホームエージェントＡを介し、相手端末６と通信してパケットＤ１、Ｄ２等の送受信が可能になる。
【００１１】
図２は本発明によるホームエージェント４の構成例を示す機能ブロック図である。本ホームエージェント４はＩＰｖ６パケット送受信処理部４１０、ＭｏｂｉｌｅＩＰ処理部４２０、認証処理部４３０に大別される。ＩＰｖ６パケット送受信処理部４１０は、移動端末５や相手端末６からのＩＰｖ６パケットの送受信、移動端末５からのＩＰｖ６パケット化された位置登録メッセージＳ１の受信や移動端末５への位置登録応答メッセージＳ４の送信、認証情報管理装置７と認証情報の取得要求メッセージＳ２や認証情報の取得応答メッセージＳ３を送受信する。認証情報管理装置７への認証情報の取得要求メッセージＳ２には、移動端末５のホームアドレスを含める。ＭｏｂｉｌｅＩＰ処理部４２０は、位置登録メッセージＳ１等のＭｏｂｉｌｅＩＰメッセージを解釈するとともに、移動端末５の移動位置を示したＢｉｎｄｉｎｇＣａｃｈｅ４２１０を管理するＢｉｎｄｉｎｇＣａｃｈｅ管理部４２１を持ち、そのＢｉｎｄｉｎｇＣａｃｈｅ４２１０に基づき相手端末６からのホームアドレス宛のパケットを気付けアドレスでカプセル化して移動端末５に転送する。認証処理部４３０は、位置登録メッセージＳ１受信時に移動端末５のＢｉｎｄｉｎｇＣａｃｈｅエントリの有無を判定する認証判定処理部４３１、移動端末５のＢｉｎｄｉｎｇＣａｃｈｅエントリがない場合に、認証情報管理装置７から認証情報を取得する認証情報送受信処理部４３２、認証情報管理装置７から取得した認証情報、またはＢｉｎｄｉｎｇＣａｃｈｅ４２１０に格納された認証情報と位置登録メッセージＳ１に一緒に付けられた認証情報とを照合する照合処理部４３３から構成される。
【００１２】
図３に、上記ホームエージェント４のＢｉｎｄｉｎｇＣａｃｈｅ管理部４２１で管理するＢｉｎｄｉｎｇＣａｃｈｅ４２１０の構成例を示す。ＢｉｎｄｉｎｇＣａｃｈｅ４２１０は、当該ホームエージェント４の管理対象である各移動端末毎に、ホームアドレスと気付けアドレスの対応、有効期間（Ｌｉｆｅｔｉｍｅ）、その他必要な情報に加えて、認証情報管理装置７から取得した認証情報を格納している。該ＢｉｎｄｉｎｇＣａｃｈｅ４２１０の一つのエントリが一つの移動端末をに対応する。ここで、該ＢｉｎｄｉｎｇＣａｃｈｅエントリ中の認証情報が本発明で付加されたもので、それ以外のホームアドレス、気付けアドレス、Ｌｉｆｅｔｉｍｅ等は従来と同様である。
【００１３】
ホームエージェント４は、ＢｉｎｄｉｎｇＣａｃｈｅ管理部４２１にて一定期間毎にＢｉｎｄｉｎｇＣａｃｈｅ４２１０を監視して、Ｌｉｆｅｔｉｍｅが満了したエントリを削除する。この削除契機にあわせて該当エントリの認証情報も削除される。
【００１４】
図４は移動端末５の構成例を示す機能ブロック図である。本移動端末５は、ホームエージェント４との位置登録メッセージＳ１や位置登録応答メッセージＳ４の送受信、相手端末６と通信する際のパケットＤ１を送受信するＩＰｖ６パケット送受信処理部５１０と、位置登録メッセージＳ１等のＭｏｂｉｌｅＩＰメッセージを解釈するＭｏｂｉｌｅＩＰ処理部５２０と、ホームエージェント４で認証を受けるためにあらかじめ設定しておいた認証情報５３００を保持し、位置登録メッセージＳ１に一緒に付けて送信する認証情報管理部５３０を具備する。この移動端末５の構成は基本的に従来と同様である。
【００１５】
相手端末６は、図は省略するが、移動端末５と通信する際のパケットを送受信するＩＰｖ６パケット送受信処理部を具備する。また、相手端末６が移動端末の場合には、図４と同様の構成を具備する。
【００１６】
図５は、本発明による認証情報管理装置７の構成例を示す機能ブロック図である。本認証情報管理装置７はＩＰｖ６パケット送受信処理部７１０、認証情報送受信処理部７２０、認証情報管理部７３０を具備する。認証情報管理部７３０は、本ＭｏｂｉｌｅＩＰｖ６網１を運営する組織等が管理対象とする全移動端末の認証情報７３００を、当該移動端末のホームアドレスを対として保持する。該認証情報管理部７３０では、認証情報の取得メッセージＳ２に含まれるホームアドレスを検索キーとして認証情報７３００を検索する。ＩＰｖ６パケット送受信処理部７１０は、ホームエージェント４からＩＰｖ６パケット化された認証情報の取得メッセージＳ２を受信して認証情報送受信処理部７２０に渡し、また、認証情報送受信処理部７２０から認証情報の取得応答メッセージＳ３を受け取ってＩＰｖ６パケット化し、ホームエージェント４へ送信する。認証情報送受信処理部７２０は、ＩＰｖ６パケット送受信処理部７１０から渡された認証情報の取得要求メッセージＳ２を解釈し、ホームアドレスを抽出して認証情報管理部７３０へ渡し、該認証情報管理部７３０から検索された認証情報を取得し、該認証情報の取得応答メッセージＳ３を生成してＩＰｖ６パケット送受信処理部７１０へ渡す。
【００１７】
図６は、本発明による認証情報管理装置７の別の構成例を示す機能ブロック図である。図６において、ＩＰｖ６パケット送受信処理部７１０と認証情報送受信処理部７２０と認証情報管理部７３０は先の図５と同様である。ホームエージェント管理部７４０は、ホーム網２に収容される全ホームエージェント４の負荷または収容数を監視し、移動端末５がＩＣＭＰ（ＩｎｔｅｒｎｅｔＣｏｎｔｒｏｌＭｅｓｓａｇｅＰｒｏｔｏｃｏｌ：インターネット制御メッセージ・プロトコル）によりＨｏｍｅＡｇｅｎｔＡｄｄｒｅｓｓＤｉｓｃｏｖｅｒｙＲｅｑｕｅｓｔメッセージで、収容ホームエージェントを要求してきた際に、最も負荷が低いまたは収容数が少ないホームエージェント（以下、最適ホームエージェント）を割り当てるとともに、認証情報の取得元が最適ホームエージェントかどうか判定する。
【００１８】
次に、上記の各装置を用いた本発明の認証シーケンス例について説明する。
〔実施例１〕
本実施例１は、図１のＭｏｂｉｌｅＩＰｖ６網において、図２の構成のホームエージェント４と図５の構成の認証情報管理装置７を用いて移動端末５の認証を行う例である。図７に本実施例１の認証シーケンスを示す。また、図８にホームエージェント４の処理フロー、図９に認証情報管理装置７（ここでは図５）の処理フローを示す。
【００１９】
移動端末５が、ホーム網２から在圏網３に移動した際、在圏網Ｃから在圏網Ｄなどに移動した際、及び周期的に送信するＭｏｂｉｌｅＩＰｖ６の位置登録メッセージＳ１を、移動端末５の位置を管理するホームエージェント４が受信したことを契機に（図８の１００１）、該ホームエージェント４は、認証処理部４３０で移動端末５のＢｉｎｄｉｎｇＣａｃｈｅエントリの有無を判定する（図８の１００２、１００３）。ＢｉｎｄｉｎｇＣａｃｈｅエントリがない場合（図８の１００３がＮｏ）、つまり１回目の位置登録であった場合、ホームエージェント４は、全移動端末の認証情報を保持する認証情報管理装置７に対し、移動端末５の認証情報の取得要求メッセージＳ２を送信する（図８の１００４）。
【００２０】
認証情報管理装置７は、ホームエージェント４から認証情報の取得要求メッセージＳ２を受信すると（図９の２００１）、該取得要求メッセージＳ２に含まれる移動端末５のホームアドレスを検索キーとして、認証情報管理部７３０で移動端末５の認証情報を検索し（図９の２００２）、該移動端末５の認証情報の取得応答メッセージＳ３を生成して（図９の２００３）、要求元のホームエージェント４に送信する（図９の２００４）。
【００２１】
ホームエージェントＡ４は認証情報管理装置７から移動端末５の認証情報の取得応答メッセージＳ３を受信すると（図８の１００５）、照合処理部４３０で、認証情報管理装置７から取得した認証情報と位置登録メッセージＳ１に一緒に付けられた認証情報とを照合する（図８の１００６）。そして、照合がＯＫであれば、移動端末５に対し位置登録応答メッセージＳ４を送信する（図８の１００７）。また、１回目の位置登録であるので、ＢｉｎｄｉｎｇＣａｃｈｅ管理部４２１では、図３に示すように生成された移動端末５のＢｉｎｄｉｎｇＣａｃｈｅエントリに認証情報管理装置７から取得した認証情報を格納する（図８の１００８、１００９）。先に述べたように、ＢｉｎｄｉｎｇＣａｃｈｅ管理部４２１では、一定期間毎にＢｉｎｄｉｎｇＣａｃｈｅエントリを監視しており、Ｌｉｆｅｔｉｍｅが満了したエントリを削除する。この時、該当エントリの認証情報も削除される。
【００２２】
次に、移動端末５が、再び位置登録メッセージＳ１をホームエージェント４に送信してきた場合、ホームエージェント４は、上記と同じ手順（図８の１００２、１００３）で、移動端末５のＢｉｎｄｉｎｇＣａｃｈｅエントリの有無を判定する。２回目以降の位置登録で、該当ＢｉｎｄｉｎｇＣａｃｈｅエントリのＬｉｆｅｔｉｍｅが満了しない間は、移動端末５のＢｉｎｄｉｎｇＣａｃｈｅエントリは存在する。ＢｉｎｄｉｎｇＣａｃｈｅエントリがある場合（図８の１００３がＹｅｓ）、照合処理部４３０では、該当ＢｉｎｄｉｎｇＣａｃｈｅエントリに格納された認証情報と位置登録メッセージＳ１に一緒に付けられた認証情報２１とを照合する（図８の１００６）。そして、照合がＯＫであれば、移動端末５に対し位置登録応答メッセージＳ４を送信する（図８の１００７）。
【００２３】
なお、上記照合処理の結果、照合がＮＧだった場合には、ホームエージェント４は、移動端末５へエラーメッセージを送信し、その時点で移動端末５のＢｉｎｄｉｎｇＣａｃｈｅエントリを削除するなどの処理を実施することになる。
【００２４】
［実施例２］
本実施例２は、図１のＭｏｂｉｌｅＩＰｖ６網において、図２の構成のホームエージェント４と図６の構成の認証情報管理装置７を用いて移動端末の認証を行う例である。図１０及び図１１に本実施例２の認証シーケンスを示す。後述するように、図１０は認証情報管理装置７が割当てた最適ホームエージェントと認証情報の取得要求メッセージＳ２を送信したホームエージェントとが一致した場合のシーケンス、図１１は不一致の場合のシーケンスである。
【００２５】
図１２は認証情報管理装置７（ここでは図６）の処理フローである。ホームエージェント４の処理は、先の図８の処理フローの先頭に、移動端末５がＩＣＭＰＨｏｍｅＡｇｅｎｔＡｄｄｒｅｓｓＤｉｓｃｏｖｅｒｙＲｅｑｕｅｓｔメッセージＳ５で収容ホームエージェントを要求してきた際の処理が追加される以外、基本的に図８の処理フローと同様である。
【００２６】
利用者の所望操作を契機に、移動端末５がＩＣＭＰＨｏｍｅＡｇｅｎｔＡｄｄｒｅｓｓＤｉｓｃｏｖｅｒｙＲｅｑｕｅｓｔメッセージＳ５で、収容ホームエージェントを要求してきた際、該ＩＣＭＰＨｏｍｅＡｇｅｎｔＡｄｄｒｅｓｓＤｉｓｃｏｖｅｒｙＲｅｑｕｅｓｔメッセージＳ５を受信したホームエージェント４（ホームエージェントＡとする）は、認証情報管理装置７に対し最適ホームエージェント要求メッセージＳ６で問い合わせる。
【００２７】
認証情報管理装置７は、ホームエージェントＡから最適ホームエージェント要求メッセージＳ６を受信すると（図１２の３００１）、ホームエージェント管理部７４０でホーム網２内の全ホームエージェントから負荷または収容数の最も低いホームエージェントを最適ホームエージェント（ここではホームエージェントＢとする）として割当て（図１２の３００２）、要求元のホームエージェントＡに最適ホームエージェント応答メッセージＳ７で通知する（図１２の３００３）。また、ホームエージェント管理部５４０は、割当てたホームエージェントＢを保持する（図１２の３００４）。
【００２８】
ホームエージェントＡは、ＩＣＭＰＨｏｍｅＡｇｅｎｔＡｄｄｒｅｓｓＤｉｓｃｏｖｅｒｙＲｅｐｌｙメッセージＳ８で移動端末５に最適ホームエージェントＢを通知する。
【００２９】
その後、図１０に示すように、上記で割り当てられたホームエージェントＢが移動端末５から位置登録メッセージＳ１を受信すると、それを契機に、ホームエージェントＢは、実施例１での処理と同様に、認証処理部４３０で移動端末５のＢｉｎｄｉｎｇＣａｃｈｅエントリの有無を判定する（図８の１００１〜１００３）。該当ＢｉｎｄｉｎｇＣａｃｈｅエントリがない場合、つまり１回目の位置登録であった場合、ホームエージェントＢは全移動端末の認証情報を保持した認証情報管理装置７に対し、移動端末５の認証情報の取得要求メッセージＳ２を送信する（図８の１００４）。
【００３０】
認証情報管理装置７は、ホームエージェントＢから認証情報の取得要求メッセージＳ２を受信すると（図１２の３００５）、ホームエージェント管理部７４０で認証情報の取得要求メッセージＳ２を送信したホームエージェントＢと保持してある最適ホームエージェントＢを照合する（図１２の３００６）。図１０の場合は一致するので、引き続き認証情報管理部７３０で移動端末５の認証情報を検索し、その認証情報を、認証情報の取得応答メッセージＳ３に格納して送信する（図１２の３００７、３００８、３００９）。
【００３１】
認証情報の取得応答メッセージＳ３を受信したホームエージェントＢは、該認証情報管理装置７から取得した認証情報と位置登録メッセージＳ１に一緒に付けられた認証情報とを照合し、照合がＯＫであれば、移動端末５に対して位置登録応答メッセージＳ４を送信する。また、生成された移動端末５のＢｉｎｄｉｎｇＣａｃｈｅエントリに認証情報管理装置７から取得した認証情報を格納する。これは先の実施例１と同様である。また、２回目以降の位置登録の場合も実施例１と同様である。
【００３２】
一方、図１１に示すように、上記割り当てられた適当ホームエージェントＢ以外のホームエージェント（ここではホームエージェントＡ）が移動端末５からの位置登録メッセージＳ１を受信したとする。ホームエージェントＡは、移動端末５のＢｉｎｄｉｎｇＣａｃｈｅエントリの有無を判定し、該当ＢｉｎｄｉｎｇＣａｃｈｅエントリがない場合、つまり、１回目の位置登録であった場合、認証情報管理装置７に対し、移動端末５の認証情報の取得要求メッセージＳ２を送信する。
【００３３】
ホームエージェントＡから認証情報の取得要求メッセージＳ２を受信した認証情報管理装置７は、ホームエージェント管理部７４０で認証情報の取得要求メッセージＳ２を送信したホームエージェントＡと保持してある最適ホームエージェントＢと照合する（図１２の３００６）。図１１の場合は不一致なので、認証情報の検索処理は行わずに、認証情報の取得応答メッセージＳ３としてエラーメッセージをホームエージェントＡに返す（図１２の３０１０）。
【００３４】
ホームエージェントＡは、移動端末５に対し、位置登録応答メッセージＳ４としてエラーメッセージを送信する。エラーメッセージを受信した移動端末５は、例えば、あらためてホームエージェントＢに対して位置登録メッセージＳ１を送信することになる。
【００３５】
【発明の効果】
本発明にれば、移動端末の認証機能と管理機能を移動位置管理装置（ホームエージェント）と認証情報管理装置に分散させ、かつ認証情報管理装置へのアクセス数も削減することで負荷を分散させることができ、移動端末がホーム網から在圏網に移動した際、在圏網から在圏網に移動した際、及び周期的に送信する位置登録メッセージに対し、迅速に送信元の認証が可能となり、安全性の高いＭｏｂｉｌｅ
ＩＰサービスが提供可能となる。
【図面の簡単な説明】
【図１】本発明の適用対象であるネットワーク構成例である。
【図２】本発明によるホームエージェントの一実施例の機能ブロック図である。
【図３】本発明によるホームエージェントが持つＢｉｎｄｉｎｇＣａｃｈｅの構成例である。
【図４】移動端末の一実施例の機能ブロック図である。
【図５】本発明による認証情報管理装置の一実施例の機能ブロック図である。
【図６】本発明による認証情報管理装置の別の実施例の機能ブロック図である。
【図７】本発明の実施例１における認証シーケンス図である。
【図８】本発明によるホームエージェントの一実施例の処理フロー図である。
【図９】本発明による認証情報管理装置の一実施例の処理フロー図である。
【図１０】本発明の実施例２における認証シーケンス図（その１）である。
【図１１】本発明の実施例２における認証シーケンス図（その２）である。
【図１２】本発明による認証情報管理装置の別の実施例の処理フロー図である。
【符号の説明】
１ＭｏｂｉｌｅＩＰｖ６網
２ホーム網
３在圏網
４ホームエージェント
５移動端末
６相手端末
７認証情報管理装置
４１０，５１０，７１０ＩＰｖ６パケット送受信部
４２０，５２０ＭｏｂｉｌｅＩＰ処理部
４２１ＢｉｎｄｉｎｇＣａｃｈｅ管理部
４２１０ＢｉｎｄｉｎｇＣａｃｈｅ
４２０認証処理部
４３１認証判定処理部
４３３照合処理部
４３２，７２０認証情報送受信処理部
５３０，７３０認証情報管理部
７４０ホームエージェント管理部[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a mobile terminal authentication method using Mobile IPv6, and a mobile location management device (home agent) and an authentication information management device used for the authentication method.
More specifically, when a mobile terminal belonging to a home network and having a home address assigned from the home network registers a position (care-of address) of the mobile terminal with a home agent, particularly in a public network, the mobile terminal The present invention relates to a technology for performing authentication of a mobile terminal in order to prevent impersonation and falsification of location registration information.
[0002]
[Prior art]
Conventionally, in Mobile IPv4, an authentication method specified by an IETF (Internet Engineering Task Force) has been known. This is because when the mobile terminal moves from the home network to the visited network, when the mobile terminal moves from the visited network to the visited network, and when a periodically transmitted location registration message is received, the mobile location management device (home Agent) sends an authentication request to an authentication device (authentication server) having a management function and a collation function of authentication information of all mobile terminals, and the authentication device transmits the authentication information together with the authentication information attached to the location registration message. The authentication information is collated with the authentication information held by the authentication device (for example, see Non-Patent Document 1). In general, IEEE 802.1x is known as an authentication method in which an external authentication device performs holding of authentication information and collation processing of authentication information with an external authentication device.
[0003]
However, in Mobile IPv6, at the stage where the IETF is studying the Mobile IP function itself, there is no regulation on the authentication method for permitting the Mobile IP service to the mobile terminal. The IETF is currently examining the authentication method of the transmission source using Ipsec (IP Security Protocol) for the location registration message, but there is no specification on the method of realizing the deployment of the authentication function.
[0004]
[Non-patent document 1]
Mobile IP Working Group Internet Draft 23 October 2002
<URL: http: // www. ief. org / internet-drafts / draft-ietf-mobileip-aaa-key-10. txt>
[0005]
[Problems to be solved by the invention]
In the prior art, the mobile terminal is connected to the home network by using an authentication device that holds the authentication information of all mobile terminals and compares the authentication information attached to the location registration message with the authentication information held therein. Authentication processing has been performed when moving to a visited network, when moving from a visited network to a visited network, and upon receiving a location registration message transmitted periodically. In this case, the authentication device performs the authentication process each time the mobile terminal registers with the home agent, so the load is concentrated on the authentication device as the number of mobile terminals to be registered increases, and the home agent accesses the authentication device. Registration processing was delayed by the time required. In particular, in Mobile IPv6, when the home network is a plurality of home agents using the Dynamic Home Agent Address Discovery function that is being studied by the IETF, centralized management of authentication information in an external device is required, and the above-described problem is solved. It becomes even more noticeable.
[0006]
The present invention provides an authentication information management function for holding authentication information of a mobile terminal and a location registration message together with a location registration message in order to provide a secure and large-scale Mobile IP service such as a public network service in a Mobile IPv6 network. The collation processing function for the attached authentication information is distributed to the mobile location management device (home agent) and the authentication information management device, and the number of accesses to the authentication information management function every time a location registration message is received is reduced. It is another object of the present invention to provide a mobile terminal authentication method for reducing load concentration and authentication processing delay, and a mobile position management device and an authentication information management device used in the authentication method.
[0007]
[Means for Solving the Problems]
In order to achieve the above object, according to the present invention, in a Mobile IPv6 network environment, when a mobile terminal moves from a home network to a visited network, when a mobile terminal moves from a visited network to a visited network, and when a mobile terminal transmits periodically. When the registration message is received by the mobile location management device (home agent) that manages the location of the mobile terminal, the home agent sends the authentication information from the authentication information management device holding the authentication information of the mobile terminal. The mobile terminal that has transmitted the location registration message is authenticated by comparing the obtained authentication information with the authentication information attached to the location registration message. If it is determined that the authentication is normal, the home agent stores the authentication information acquired from the authentication information management device in the corresponding Binding Cache entry holding the correspondence between the home address and the care-of address. Thereafter, when the mobile terminal registers with the home agent, the home agent determines whether the binding cache entry is present or not, and if there is no binding cache entry for the mobile terminal, the authentication information management device transmits the binding cache entry. The authentication information is acquired, and if there is a Binding Cache entry for the mobile terminal, the mobile terminal is authenticated with the authentication information in the Binding Cache entry.
[0008]
According to the present invention, when the mobile terminal moves from the home network to the visited network, when the mobile terminal moves from the visited network to the visited network, and in response to the periodically transmitted location registration message, Authentication becomes possible, and a highly secure Mobile IP service can be provided. Further, it is possible to disperse the load concentration of the authentication processing generated in the conventional external authentication device.
[0009]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described in detail based on preferred embodiments shown in the drawings.
FIG. 1 shows an example of a network configuration to which the present invention is applied. The Mobile IPv6 network 1 is composed of a home network 2 (home network B in FIG. 1) to which the mobile terminal 5 belongs and a visited network 3 (the visited networks C and D in FIG. 1) to which the mobile terminal 5 moves. Be composed. Although a plurality of mobile location management devices (hereinafter, home agents) 4 exist in the home network 2, only the home agent A and the home agent B are shown in FIG. As will be described later, the home agent 4 has a binding cache (Binding Cache) that holds the correspondence between the home address of the mobile terminal and the care-of address. Also, in the Mobile IPv6 network 1, there are a partner terminal 6 that communicates with the mobile terminal 5, and an authentication information management device 7 that holds authentication information of each mobile terminal.
[0010]
The mobile terminal 5 transmits the location registration message S1 to the home agent 4 (in FIG. 1, the home agent 4) when it moves from the home network B to the visited network D, when it moves from the visited network D to the visited network C, and periodically. A). The location registration message S1 is accompanied by authentication information. In the first location registration, the home agent A transmits an authentication information acquisition request message S2 of the mobile terminal 5 to the authentication information management device 7, and sends the authentication information from the authentication information management device 7 as an acquisition response request message S3. The mobile terminal 5 is authenticated by comparing the acquired authentication information with the authentication information attached to the acquisition request message S1. Upon successful authentication, the home agent A sends a location registration response message S4 to the mobile terminal 5. At this time, the authentication information acquired from the authentication information management device 7 is stored in the corresponding entry of the binding cache. On the other hand, in the second and subsequent location registrations, the home agent A authenticates the mobile terminal 5 by comparing the authentication information stored in the corresponding Binding Cache entry with the authentication information attached to the location registration message S1. . When the authentication is determined to be normal, the mobile terminal 5 communicates with the counterpart terminal 6 via the home agent A, so that transmission / reception of the packets D1, D2, etc. becomes possible.
[0011]
FIG. 2 is a functional block diagram showing a configuration example of the home agent 4 according to the present invention. The home agent 4 is roughly divided into an IPv6 packet transmission / reception processing unit 410, a Mobile IP processing unit 420, and an authentication processing unit 430. The IPv6 packet transmission / reception processing unit 410 transmits and receives an IPv6 packet from the mobile terminal 5 and the partner terminal 6, receives an IPv6 packetized location registration message S1 from the mobile terminal 5, and sends a location registration response message S4 to the mobile terminal 5. Transmission and reception of the authentication information acquisition request message S2 and the authentication information acquisition response message S3 with the authentication information management device 7. The authentication information acquisition request message S2 to the authentication information management device 7 includes the home address of the mobile terminal 5. The Mobile IP processing unit 420 has a Binding Cache management unit 421 that interprets the Mobile IP message such as the location registration message S1 and manages the Binding Cache 4210 indicating the moving position of the mobile terminal 5, and based on the Binding Cache 4210 based on the Binding Cache 4210. 6 is encapsulated with the care-of address and transferred to the mobile terminal 5. The authentication processing unit 430 determines whether or not there is a Binding Cache entry of the mobile terminal 5 when receiving the location registration message S1. If there is no Binding Cache entry of the mobile terminal 5, the authentication processing unit 430 The authentication information transmission / reception processing unit 432 that obtains the authentication information obtained from the authentication information management device 7 or the authentication information stored in the binding cache 4210 and the authentication processing unit that matches the authentication information attached to the location registration message S1. 433.
[0012]
FIG. 3 shows a configuration example of the binding cache 4210 managed by the binding cache management unit 421 of the home agent 4. The Binding Cache 4210 is acquired from the authentication information management device 7 in addition to the correspondence between the home address and the care-of address, the validity period (Life time), and other necessary information for each mobile terminal managed by the home agent 4. Stores authentication information. One entry of the binding cache 4210 corresponds to one mobile terminal. Here, the authentication information in the binding cache entry is added in the present invention, and the remaining home address, care-of address, life time, and the like are the same as in the related art.
[0013]
The home agent 4 monitors the binding cache 4210 at regular intervals by the binding cache management unit 421, and deletes an entry whose life time has expired. At the same time as the deletion trigger, the authentication information of the entry is also deleted.
[0014]
FIG. 4 is a functional block diagram illustrating a configuration example of the mobile terminal 5. The mobile terminal 5 transmits and receives a location registration message S1 and a location registration response message S4 to and from the home agent 4, and transmits and receives a packet D1 when communicating with the partner terminal 6, an IPv6 packet transmission and reception processing unit 510, a location registration message S1 and the like. And a mobile IP processing unit 520 for interpreting the Mobile IP message, and authentication information management for storing authentication information 5300 set in advance to be authenticated by the home agent 4 and transmitting it together with the location registration message S1. A section 530 is provided. The configuration of the mobile terminal 5 is basically the same as the conventional one.
[0015]
Although not shown, the partner terminal 6 includes an IPv6 packet transmission / reception processing unit that transmits and receives a packet when communicating with the mobile terminal 5. When the partner terminal 6 is a mobile terminal, it has the same configuration as that of FIG.
[0016]
FIG. 5 is a functional block diagram showing a configuration example of the authentication information management device 7 according to the present invention. The authentication information management device 7 includes an IPv6 packet transmission / reception processing unit 710, an authentication information transmission / reception processing unit 720, and an authentication information management unit 730. The authentication information management unit 730 holds the authentication information 7300 of all mobile terminals to be managed by the organization or the like operating the Mobile IPv6 network 1 with the home addresses of the mobile terminals as a pair. The authentication information management unit 730 searches the authentication information 7300 using the home address included in the authentication information acquisition message S2 as a search key. The IPv6 packet transmission / reception processing unit 710 receives the authentication information acquisition message S2 in the form of an IPv6 packet from the home agent 4 and passes it to the authentication information transmission / reception processing unit 720. Also, the authentication information acquisition response from the authentication information transmission / reception processing unit 720 The message S3 is received, converted into an IPv6 packet, and transmitted to the home agent 4. The authentication information transmission / reception processing unit 720 interprets the authentication information acquisition request message S2 passed from the IPv6 packet transmission / reception processing unit 710, extracts the home address, passes the home address to the authentication information management unit 730, and sends the home address to the authentication information management unit 730. The acquired authentication information is acquired, an acquisition response message S3 of the authentication information is generated, and passed to the IPv6 packet transmission / reception processing unit 710.
[0017]
FIG. 6 is a functional block diagram showing another configuration example of the authentication information management device 7 according to the present invention. 6, an IPv6 packet transmission / reception processing unit 710, an authentication information transmission / reception processing unit 720, and an authentication information management unit 730 are the same as those in FIG. The home agent management unit 740 monitors the load or the number of accommodated home agents 4 accommodated in the home network 2, and allows the mobile terminal 5 to perform a Home Agent Address Discovery Request by ICMP (Internet Control Message Protocol). When a home agent is requested in the message, a home agent with the lowest load or the smallest number of home agents (hereinafter referred to as an optimum home agent) is allocated, and it is determined whether or not the acquisition source of the authentication information is the optimum home agent.
[0018]
Next, an example of an authentication sequence of the present invention using the above-described devices will be described.
[Example 1]
The first embodiment is an example in which the mobile terminal 5 is authenticated using the home agent 4 having the configuration shown in FIG. 2 and the authentication information management device 7 having the configuration shown in FIG. 5 in the Mobile IPv6 network shown in FIG. FIG. 7 shows an authentication sequence according to the first embodiment. FIG. 8 shows a processing flow of the home agent 4, and FIG. 9 shows a processing flow of the authentication information management device 7 (here, FIG. 5).
[0019]
When the mobile terminal 5 moves from the home network 2 to the visited network 3, when it moves from the visited network C to the visited network D, and the like, and periodically transmits the location registration message S1 of Mobile IPv6, which is transmitted to the mobile terminal 5. When the home agent 4 that manages the position of the mobile terminal 5 receives the data (1001 in FIG. 8), the home agent 4 determines in the authentication processing unit 430 whether or not the binding cache entry of the mobile terminal 5 exists (see FIG. 8). 1002, 1003). If there is no Binding Cache entry (No in 1003 in FIG. 8), that is, if it is the first location registration, the home agent 4 sends the mobile terminal to the authentication information management device 7 that holds the authentication information of all mobile terminals. The authentication information acquisition request message S2 of No. 5 is transmitted (1004 in FIG. 8).
[0020]
Upon receiving the authentication information acquisition request message S2 from the home agent 4 (2001 in FIG. 9), the authentication information management device 7 uses the home address of the mobile terminal 5 included in the acquisition request message S2 as a search key as a search key. The unit 730 searches the authentication information of the mobile terminal 5 (2002 in FIG. 9), generates an authentication information acquisition response message S3 of the mobile terminal 5 (2003 in FIG. 9), and transmits it to the requesting home agent 4. (2004 in FIG. 9).
[0021]
When the home agent A4 receives the authentication information acquisition response message S3 of the mobile terminal 5 from the authentication information management device 7 (1005 in FIG. 8), the collation processing unit 430 uses the authentication information acquired from the authentication information management device 7 and the location registration. The authentication information is collated with the authentication information attached to the message S1 (1006 in FIG. 8). If the collation is OK, a location registration response message S4 is transmitted to the mobile terminal 5 (1007 in FIG. 8). Further, since this is the first location registration, the binding cache management unit 421 stores the authentication information acquired from the authentication information management device 7 in the binding cache entry of the mobile terminal 5 generated as shown in FIG. 8, 1008, 1009). As described above, the binding cache management unit 421 monitors binding cache entries at regular intervals, and deletes entries for which the lifetime has expired. At this time, the authentication information of the corresponding entry is also deleted.
[0022]
Next, when the mobile terminal 5 transmits the location registration message S1 to the home agent 4 again, the home agent 4 performs the same procedure (1002 and 1003 in FIG. 8) of the binding cache entry of the mobile terminal 5 as described above. Determine the presence or absence. In the second and subsequent location registrations, the Binding Cache entry of the mobile terminal 5 exists while the Lifetime of the corresponding Binding Cache entry does not expire. If there is a Binding Cache entry (1003 in FIG. 8 is Yes), the collation processing unit 430 collates the authentication information stored in the Binding Cache entry with the authentication information 21 attached to the location registration message S1 ( 1006 in FIG. 8). If the collation is OK, a location registration response message S4 is transmitted to the mobile terminal 5 (1007 in FIG. 8).
[0023]
As a result of the collation processing, if the collation is unacceptable, the home agent 4 transmits an error message to the mobile terminal 5 and executes processing such as deleting the Binding Cache entry of the mobile terminal 5 at that time. Will do.
[0024]
[Example 2]
The second embodiment is an example in which a mobile terminal is authenticated in the Mobile IPv6 network of FIG. 1 using the home agent 4 having the configuration of FIG. 2 and the authentication information management device 7 having the configuration of FIG. 10 and 11 show an authentication sequence according to the second embodiment. As will be described later, FIG. 10 shows a sequence when the optimum home agent assigned by the authentication information management device 7 matches the home agent that has transmitted the authentication information acquisition request message S2, and FIG. 11 shows a sequence when it does not match. .
[0025]
FIG. 12 is a processing flow of the authentication information management device 7 (here, FIG. 6). The processing of the home agent 4 is basically the same as that of the processing flow of FIG. 8 except that the processing when the mobile terminal 5 requests the accommodated home agent by the ICMP Home Agent Address Discovery Request message S5 is added. This is the same as the processing flow of FIG.
[0026]
When the mobile terminal 5 requests the accommodating home agent with the ICMP Home Agent Address Discovery Request message S5 triggered by the user's desired operation, the home agent 4 (home agent 4) that has received the ICMP Home Agent Address Discovery Request message S5 A) makes an inquiry to the authentication information management device 7 with an optimum home agent request message S6.
[0027]
Upon receiving the optimum home agent request message S6 from the home agent A (3001 in FIG. 12), the authentication information management device 7 causes the home agent management unit 740 to select a home with the lowest load or accommodation number from all home agents in the home network 2. The agent is assigned as an optimal home agent (here, home agent B) (3002 in FIG. 12), and the requesting home agent A is notified with an optimal home agent response message S7 (3003 in FIG. 12). The home agent management unit 540 holds the assigned home agent B (3004 in FIG. 12).
[0028]
The home agent A notifies the mobile terminal 5 of the optimal home agent B by using an ICMP Home Agent Address Discovery Reply message S8.
[0029]
Thereafter, as shown in FIG. 10, when the home agent B assigned above receives the location registration message S1 from the mobile terminal 5, the home agent B receives the location registration message S1 in the same manner as the processing in the first embodiment. The authentication processing unit 430 determines whether or not the binding cache entry of the mobile terminal 5 exists (1001 to 1003 in FIG. 8). If there is no corresponding Binding Cache entry, that is, if it is the first location registration, the home agent B sends an authentication information acquisition request message for the mobile terminal 5 to the authentication information management device 7 that holds the authentication information of all mobile terminals. S2 is transmitted (1004 in FIG. 8).
[0030]
Upon receiving the authentication information acquisition request message S2 from the home agent B (3005 in FIG. 12), the authentication information management device 7 holds the home agent B that transmitted the authentication information acquisition request message S2 in the home agent management unit 740. The optimal home agent B is collated (3006 in FIG. 12). 10, the authentication information management unit 730 continuously searches for authentication information of the mobile terminal 5, stores the authentication information in the authentication information acquisition response message S3, and transmits it (3007 in FIG. 12). 3008, 3009).
[0031]
The home agent B, which has received the authentication information acquisition response message S3, compares the authentication information acquired from the authentication information management device 7 with the authentication information attached to the location registration message S1. Sends a location registration response message S4 to the mobile terminal 5. In addition, the authentication information acquired from the authentication information management device 7 is stored in the generated binding cache entry of the mobile terminal 5. This is the same as in the first embodiment. The case of the second and subsequent location registrations is the same as in the first embodiment.
[0032]
On the other hand, as shown in FIG. 11, it is assumed that a home agent (here, home agent A) other than the assigned appropriate home agent B receives the location registration message S1 from the mobile terminal 5. Home agent A determines the presence or absence of a binding cache entry of mobile terminal 5, and if there is no corresponding binding cache entry, that is, if it is the first location registration, authentication information management device 7 notifies mobile terminal 5 of mobile terminal 5. An authentication information acquisition request message S2 is transmitted.
[0033]
Upon receiving the authentication information acquisition request message S2 from the home agent A, the authentication information management device 7 transmits the authentication information acquisition request message S2 by the home agent management unit 740 to the home agent A and the optimal home agent B stored therein. Collation is performed (3006 in FIG. 12). In the case of FIG. 11, there is no match, so that an authentication information retrieval process is not performed, and an error message is returned to the home agent A as an authentication information acquisition response message S3 (3010 in FIG. 12).
[0034]
Home agent A transmits an error message to mobile terminal 5 as location registration response message S4. The mobile terminal 5 that has received the error message transmits a location registration message S1 to the home agent B again, for example.
[0035]
【The invention's effect】
According to the present invention, the authentication function and the management function of the mobile terminal are distributed to the mobile location management device (home agent) and the authentication information management device, and the number of accesses to the authentication information management device is reduced to distribute the load. The sender can be quickly authenticated when the mobile terminal moves from the home network to the visited network, when it moves from the visited network to the visited network, and for periodically transmitted location registration messages. And highly secure Mobile
IP service can be provided.
[Brief description of the drawings]
FIG. 1 is an example of a network configuration to which the present invention is applied.
FIG. 2 is a functional block diagram of an embodiment of a home agent according to the present invention.
FIG. 3 is a configuration example of a binding cache of a home agent according to the present invention.
FIG. 4 is a functional block diagram of one embodiment of a mobile terminal.
FIG. 5 is a functional block diagram of an embodiment of an authentication information management device according to the present invention.
FIG. 6 is a functional block diagram of another embodiment of the authentication information management device according to the present invention.
FIG. 7 is an authentication sequence diagram according to the first embodiment of the present invention.
FIG. 8 is a processing flow diagram of an embodiment of a home agent according to the present invention.
FIG. 9 is a processing flowchart of an embodiment of an authentication information management device according to the present invention.
FIG. 10 is an authentication sequence diagram (part 1) according to the second embodiment of the present invention.
FIG. 11 is an authentication sequence diagram (part 2) according to the second embodiment of the present invention.
FIG. 12 is a processing flowchart of another embodiment of the authentication information management device according to the present invention.
[Explanation of symbols]
1 Mobile IPv6 network 2 Home network 3 Visited network 4 Home agent 5 Mobile terminal 6 Destination terminal 7 Authentication information management devices 410, 510, 710 IPv6 packet transmission / reception units 420, 520 Mobile IP processing unit 421 Binding Cache management unit 4210 Binding Cache
420 authentication processing unit 431 authentication determination processing unit 433 collation processing units 432, 720 authentication information transmission / reception processing units 530, 730 authentication information management unit 740 home agent management unit

Claims

An authentication method of a mobile terminal in a Mobile IPv6 network, wherein a mobile location management device (hereinafter, a home agent) for managing the location of the mobile terminal receives a location registration message transmitted by the mobile terminal, the authentication information of the mobile terminal. Authenticating the mobile terminal that transmitted the location registration message by acquiring the authentication information from the authentication information management apparatus holding the authentication information, and comparing the acquired authentication information with the authentication information attached to the location registration message. A method for authenticating a mobile terminal, comprising:

2. The mobile terminal authentication method according to claim 1, wherein, when the authentication is determined to be normal, the home agent associates the authentication information acquired from the authentication information management device with a home address of the mobile terminal and a care-of address. A method for authenticating a mobile terminal, wherein the authentication method is stored in a binding cache entry holding a relationship.

3. The mobile terminal authentication method according to claim 2, wherein the home agent receives the location registration message from the mobile terminal, determines whether the binding cache entry exists, and determines whether the binding cache entry does not exist for the mobile terminal. Acquiring the authentication information from the authentication information management device, and if there is a Binding Cache entry of the mobile terminal, collates the authentication information stored in the Binding Cache entry with the authentication information attached to the location registration message. A mobile terminal authentication method, comprising: authenticating a mobile terminal that has transmitted the location registration message.

4. The authentication method for a mobile terminal according to claim 1, wherein the home agent notifies a home address from the home agent when the home agent acquires authentication information from the authentication information management device, and A method for authenticating a mobile terminal, wherein the information management device searches for authentication information using the home address as a search key, and transmits the searched authentication information to the home agent.

The authentication method for a mobile terminal according to any one of claims 1 to 3,
The authentication information management device monitors the load status of all home agents in the home network, and the home agent receives an ICMP Home Agent Address Discovery Request message from the mobile terminal, and the home agent with the lowest load or the smallest number of homes is received. When inquiring an agent (hereinafter referred to as an optimum home agent) to the authentication information management device, the authentication information management device assigns an optimum home agent to the mobile terminal,
When the home agent requests the authentication information management device to acquire the authentication information, the authentication information management device determines whether the home agent of the acquisition requester is the optimal home agent. A method for authenticating a mobile terminal, wherein the mobile terminal does not transmit a password.

A mobile location management device that manages the location of a mobile terminal in a Mobile IPv6 network, and obtains authentication information from an authentication information management device that holds the authentication information of the mobile terminal when receiving a location registration message transmitted by the mobile terminal. And a means for comparing the acquired authentication information with the authentication information attached to the location registration message to authenticate the source mobile terminal of the location registration message. apparatus.

The moving position management device according to claim 6,
A binding cache that holds the correspondence between the home address of the mobile terminal and the care-of address,
When the authentication is determined to be normal, the authentication information acquired from the authentication information management device is stored in a corresponding entry of the binding cache, and the authentication information is deleted in response to the deletion of the binding cache entry. A movement position management device characterized by the above-mentioned.

8. The mobile location management device according to claim 7, wherein upon receiving a location registration message from the mobile terminal, the presence / absence of the Binding Cache entry is determined, and if there is a Binding Cache entry for the mobile terminal, the Binding Cache entry is present. A mobile location management device for comparing the authentication information stored in the mobile terminal with authentication information attached to a location registration message from the mobile terminal.

In a Mobile IPv6 network, a mobile location management device for managing the location of a mobile terminal, means for holding authentication information of the mobile terminal in pair with a home address, and a mobile location management device for managing the location of the mobile terminal Means for receiving authentication information including the home address of the mobile terminal from the home agent), searching for authentication information using the home address as a search key, and transmitting the searched authentication information to the home agent. An authentication information management device, comprising:

10. The authentication information management device according to claim 9, wherein the load of the home agent in the home network or the number of accommodated mobile terminals is monitored, and when the home agent inquires about the accommodated home agent of the mobile terminal, the load is low or accommodated. A small number of optimal home agents are allocated, and in response to a request for acquiring authentication information from the home agent, it is determined whether or not the requesting home agent is the optimal home agent. An authentication information management device comprising means for preventing transmission to a home agent.