JP2004312517A - 経路最適化システムと方法およびプログラム - Google Patents

Abstract

【課題】モバイルＩＰ等における経路最適化時のＢＵ／ＢＡの交換に用いる共有秘密鍵の生成による遅延時間を抑制する。
【解決手段】移動端末１と相手端末２間でセッション制御サーバ５を介してセッション制御を行う際に、移動制御サーバ４による経路最適化時のバインディング情報（ＢＵ／ＢＡ）交換を端末間でエンドツーエンド（Ｅｎｄ−ｔｏ−Ｅｎｄ）にセキュアに行うために用いる鍵（共有秘密鍵Ａ）を配布し、セッション制御完了直後に、移動端末１と相手端末２でのバインディング情報の交換を可能とし、共有秘密鍵Ａの生成で生じる遅延時間を抑制する。
【選択図】 図１

Description

【０００１】
【発明の属する技術分野】
本発明は、携帯電話やＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）等、無線通信を行う移動端末のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）網における接続制御を行う技術に係わり、特に、移動端末の移動に伴う経路最適化処理を効率的に行うのに好適な通信制御技術に関するものである。
【０００２】
【従来の技術】
近年、無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を利用したホットスポット（登録商標）からのＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を用いたＶｏＩＰ（Ｖｏｉｃｅ ｏｖｅｒ ＩＰ）サービスが注目を集めている。このＶｏＩＰサービスを提供するネットワークに対して、モバイルＩＰ技術を適用することにより、サービスのエリアや質の拡大を図ることができる。
【０００３】
例えば、携帯端末がホットスポット間を移動してインターネット内を移動するとＩＰアドレスが変化してしまうため、継続的な通信ができないという問題があるが、モバイルＩＰでは、このような問題に対処できる。
【０００４】
すなわち、モバイルＩＰでは、本来の端末のＩＰアドレスであるホームアドレス、移動先のネットワークに接続するための一時的な気付アドレス、移動する端末の位置管理を行うホームエージェント、および、実際のデータの転送を行うトンネリング機能を有し、移動端末が本来所属するホームネットワークから移動先のネットワークに移動したときに気付アドレスを付与して、移動端末のデータ転送は一旦全てホームネットワークのホームエージェントに送り、そこから気付アドレス宛に再送（トンネリング）する。
【０００５】
しかし、この技術では、ホームエージェントを経由するため、ネットワークの負荷増加や、ホームエージェントと移動端末間の距離が遠くなるなどの問題があり、このような問題に対処するために、最適化経路制御技術が検討されている。
【０００６】
尚、移動端末の高速移動で気付アドレスが頻繁に変わることに伴う位置登録トラヒックの増大、および、移動端末の気付アドレス登録に起因するパケット損失に対処する技術として、例えば、非特許文献１に記載の技術がある。
【０００７】
この技術では、複数の移動先ネットワーク（外部エージェント）を一つの外部エージェント群として登録し、その群を一つの位置登録エリアとすることで、移動端末が位置登録エリアが変わるまでは位置登録制御を行わないようにして、位置登録トラヒックの大幅な削減を図っている。また、位置登録エリア内の複数の外部エージェントからパケットを同時に送信することにより、高速移動中の移動端末への着信パケット損失の低減を図っている。
【０００８】
しかし、この技術では、経路最適化を実施する際に行うセキュリティ制御に伴う負荷増大に関しての考慮がなされていない。すなわち、ＶｏＩＰ等のセッション制御を利用したサービスを提供するにあたっては、なりすましや盗聴、改竄等のセキュリティ脅威への対応が必要であるが、経路最適化においてもセキュリティ制御が必要である。。
【０００９】
現在、セッション制御完了後にセキュアに経路最適化を実施するためには、移動端末（Ｍｏｂｉｌｅ Ｎｏｄｅ：ＭＮ）と相手端末（Ｃｏｒｒｅｓｐｏｎｄｅｎｔ Ｎｏｄｅ：ＣＮ）間でバインディング情報登録（ＢＵ：Ｂｉｎｄｉｎｇ Ｕｐｄａｔｅ）パケットおよび応答（ＢＡ；Ｂｉｎｄｉｎｇ Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ）パケットを交換するが、このＢＵ／ＢＡパケットをセキュアに交換するために、例えば非特許文献２に記載のように、その交換前に、相手端末が移動端末の正当性を確認することが要求される。そのため、移動端末と相手端末間でバインディング情報を交換するための共有秘密鍵を生成する必要が生じる。
【００１０】
非特許文献２に記載の技術は、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）で規定されているプロトコルであり、この技術では、バインディング情報を交換する前に、ＲＲ（Ｒｅｔｕｒｎ Ｒｏｕｔａｂｉｌｉｔｙ）処理を行い共有秘密鍵を生成する。
【００１１】
このＲＲ処理は、相手端末（ＣＮ）に対して正しい移動端末（ＭＮ）であることを証明するために、移動端末（ＭＮ）のホームアドレスと気付アドレスを基に移動端末（ＭＮ）と相手端末（ＣＮ）間の共有秘密鍵を生成する。
【００１２】
この共有秘密鍵を生成する際、ＲＲ処理では、ＣｏＴＩ（Ｃａｒｅ−ｏｆ Ｔｅｓｔ Ｉｎｉｔ）、ＣｏＴ（Ｃａｒｅ−ｏｆ Ｔｅｓｔ）を移動端末（ＭＮ）と相手端末（ＣＮ）間で交換する。尚、生成した共有秘密鍵は、メディアパケットを交換するための共有秘密鍵とは別のものである。
【００１３】
このように、この従来技術では、移動端末（ＭＮ）の移動に伴い経路最適化を行う際、移動端末（ＭＮ）と相手端末（ＣＮ）間でＢＵ／ＢＡパケットを交換する前に、ＣｏＴＩやＣｏＴを移動端末（ＭＮ）と相手端末（ＣＮ）間で交換して共有秘密鍵（メディアパケットを交換するための共有秘密鍵とは別の共有秘密鍵）を生成する。そのため、経路最適化を行って音声通信を開始するまでに、多くの遅延が生じる。この遅延は、音声通信や映像通信にとって、パケットロス増加につながる。また、経路最適化を実施しなければ、場合によっては遅延増加につながる。
【００１４】
また、非特許文献３には、呼処理中に相手端末（ＣＮ）のＩＰアドレスを取得し、その直後に経路最適化を行う技術が記載されている。すなわち、移動端末（ＭＮ）発の場合は、相手端末（ＣＮ）からの発呼応答メッセージである「２００ＯＫメッセージ（パケット）」受信後、また、相手端末（ＣＮ）発の場合は、相手端末（ＣＮ）からの発呼要求メッセージである「ＩＮＶＩＴＥメッセージ（パケット）」受信後に、移動端末（ＭＮ）がＲＲ処理のＣｏＴＩを送出し、経路最適化を実行し、相手端末（ＣＮ）からのＢＡの受信を契機に、移動端末（ＭＮ）は発呼応答メッセージ（「２００ＯＫメッセージ（パケット）」）もしくは応答確認メッセージである「ＡＣＫメッセージ（パケット）」を送出する。
【００１５】
しかし、この技術では、呼処理中に経路最適化が実行されるため、端末側における呼処理の状態管理が複雑となる。
【００１６】
以上の非特許文献１〜３に記載の従来技術では、経路最適化処理時にＩＰｓｅｃ ＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）が確立されていないので、ＢＵ／ＢＡを交換するための鍵をＲＲで生成する必要が生じる。また、経路最適化がＳＩＰシーケンスに組み込まれているので、通信開始時とハンドオーバ時で各々別パターンを定義する必要があり、状態管理が複雑となる。
【００１７】
尚、非特許文献３に記載の従来技術では、通常のＳＩＰ呼処理を通して相手端末（ＣＮ）のＩＰアドレスを取得することができるが、非特許文献２に記載の従来技術では、相手端末（ＣＮ）のＩＰアドレスを何らかの手段を利用して取得する必要が生じる。
【００１８】
【非特許文献１】
木村徹，小野夏子，藤井輝也，”位置登録エリアを考慮したモバイルＩＰの検討”，信学技報，ＲＣＳ２００２−２９，ＣＱ２００２−２９（２００２−０４）
【非特許文献２】
Ｄ．Ｊｏｈｎｓｏｎ， Ｃ．Ｐｅｒｋｉｎｓ ａｎｄ Ｊ．Ａｒｋｋｏ， 「“Ｍｏｂｉｌｉｔｙ Ｓｕｐｐｏｒｔ ｉｎ Ｉｐｖ６”，ｄｒａｆｔ−ｉｅｔｆ−ｍｏｂｉｌｅｉｐ−ｉｐｖ６−１９， ２００２−１１−４」、［平成１５年３月２８日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ１．ｉｅｔｆ．ｏｒｇ／ｍａｉｌ−ａｒｃｈｉｖｅ／ｉｅｔｆ−ａｎｎｏｕｎｃｅ／Ｃｕｒｒｅｎｔ／ｍｓｇ２１２７６．ｈｔｍｌ＞
【非特許文献３】
Ｄ．Ｊｏｈｎｓｏｎ， Ｃ．Ｐｅｒｋｉｎｓ， Ｊ．Ａｒｋｋｏ，「Ｍｏｂｉｌｉｔｙ Ｓｕｐｐｏｒｔ ｉｎ ＩＰｖ６ ｄｒａｆｔ−ｉｅｔｆ−ｍｏｂｉｌｅｉｐ−ｉｐｖ６−２１．ｔｘｔ」、［ｏｎｌｉｎｅ］、Ｆｅｂｒｕａｒｙ ２６， ２００３、［平成１５年３月２８日検索］、インターネット＜ＵＲＬ ： ｈｔｔｐ：ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｉｎｔｅｒｎｅｔ−ｄｒａｆｔｓ／ｄｒａｆｔ−ｉｅｔｆ−ｍｏｂｉｌｅｉｐ−ｉｐｖ６−２１．ｔｘｔ＞、ｐ．２０−３０（「５．２ Ｂｉｎｄｉｎｇ Ｕｐｄａｔｅｓ ｔｏ Ｃｏｒｒｅｓｐｏｎｄｅｎｔ Ｎｏｄｅｓ」）
【００１９】
【発明が解決しようとする課題】
解決しようとする問題点は、従来の技術では、経路最適化時にＩＰｓｅｃが確立されていないため、ＢＵ／ＢＡを交換するために用いる鍵をＲＲで生成する必要が生じてしまい、経路最適化を行ってから音声通信を開始するまでに多くの遅延が生じてしまう点である。
【００２０】
本発明の目的は、これら従来技術の課題を解決し、経路最適化の効率の向上を図ることである。
【００２１】
【課題を解決するための手段】
上記目的を達成するため、本発明では、移動端末（１）と相手端末（２）間でセッション制御サーバ（５）を介してセッション制御を行う際に、移動制御サーバ（４）による経路最適化時のバインディング情報（ＢＵ／ＢＡ）交換を端末間でエンドツーエンド（Ｅｎｄ−ｔｏ−Ｅｎｄ）にセキュアに行うために用いる鍵（共有秘密鍵Ａ）を配布し、セッション制御完了直後に、移動端末（１）と相手端末（２）間で、経路最適化のためのバインディング情報の交換を可能とし、共有秘密鍵Ａの生成で生じる遅延時間を抑制する。
【００２２】
【発明の実施の形態】
以下、本発明の実施の形態を、図面により詳細に説明する。
【００２３】
図１は、本発明に係わる経路最適化システムを設けたネットワークの構成例を示すブロック図であり、図２は、図１における経路最適化システムの処理動作例を示すシーケンス図である。
【００２４】
図１において、１は携帯電話やＰＤＡ等の移動端末、２は同じく携帯電話やＰＤＡあるいはパーソナルコンピュータ等の相手端末、３はルータ、４は移動制御サーバ、５はセッション制御サーバ、６は無線ＬＡＮ、７はインターネット等のＩＰパケット転送網（図中「ＩＰ通信網」と記載）であり、ルータ３は移動端末１の在圏先に存在するＩＰ網の境界に設置され、移動制御サーバ４とセッション制御サーバ５はＩＰパケット転送網７内に存在するネットワーク構成となっている。
【００２５】
ルータ３、移動制御サーバ４、およびセッション制御サーバ５のそれぞれは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）や主メモリ、表示装置、入力装置、外部記憶装置等を具備したコンピュータ構成からなり、光ディスク駆動装置等を介してＣＤ−ＲＯＭ等の記憶媒体に記録されたプログラムやデータを外部記憶装置内にインストールした後、この外部記憶装置から主メモリに読み込みＣＰＵで処理することにより、各処理機能を実行する。
【００２６】
移動端末１と相手端末２に関しても、同様のコンピュータ処理機能を有しており、本図１に示すように、移動端末１においては、移動制御部１０とセッション制御部１１および鍵生成処理部１２がコンピュータ処理により実現される機能として実装されている。特に鍵生成処理部１２を設けることにより、本発明に係わる経路最適化システムとしての処理動作が実行される。
【００２７】
図１のネットワークシステムにおいて、移動端末１および相手端末２は、ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＨ．３２３のようなＩＰ網を介して音声、動画、データのようなマルチメディアセッションの確立や維持、終了を行うためのセッション制御プロトコルをサポートすると共に、モバイルＩＰのように、バインディング情報を管理して移動制御サーバへこのバインディング情報を登録する移動制御プロトコルをサポートする。
【００２８】
また、移動制御サーバ４は、モバイルＩＰにおけるホームエージェント（ＨＡ：ＨｏｍｅＡｇｅｎｔ）の機能を有し、バインディング情報を管理して、固定ＩＰアドレスを宛先とした移動端末１宛のパケットを移動端末１の在圏先の気付アドレスを宛先としてパケットを転送する。
【００２９】
そして、セッション制御サーバ５は、ＩＰパケット転送網７内で端末（１，２）がサポートするセッション制御プロトコルを用いて位置管理、パケットの中継および転送を行う機能を具備する。
【００３０】
より詳細には、移動制御サーバ４は、ＩＰパケット転送機能を有する複数のルータ（ルータ３）で構成されるインタネット（ＩＰパケット転送網７）上において、あるサブネットと契約している全移動端末（移動端末１）に対し、この端末（移動端末１）の固有アドレス（ホームアドレス）と在圏先のアドレス（気付アドレス）のマッピング情報（以下、バインディング情報）テーブルを管理し、第三者から当該端末（移動端末１）のホームアドレスを宛先としたパケットを受信した際に、気付アドレスを宛先としてパケットを送出する機能を有する。
【００３１】
また、セッション制御サーバ５は、端末が送出するセッション制御もしくは呼制御プロトコル（以後、「セッション制御」とする）パケットを処理し、端末間（移動端末１、相手端末２）でやりとりする「発呼要求メッセージ（パケット）」、「発呼応答メッセージ（パケット）」、「応答確認メッセージ（パケット）」の３ｗａｙ（ウェイ）ハンドシェイクのプロキシ（中継）を行う。
【００３２】
移動端末１は、バインディング情報の登録が可能な移動制御用クライアントソフトウェア（プログラム）と、セッション制御パケットを処理可能なセッション制御用クライアントソフトウェア（プログラム）の双方が内部記憶装置にインストールされ、それぞれのプログラムをＣＰＵで実行することで移動制御部１０とセッション制御部１１としての機能が実現され、セッション制御部１１でのセッション制御によりセッション管理した上で、音声や映像のメディアパケットを相手端末２等と送受信する。
【００３３】
相手端末２は、移動端末１と同一のクライアントソフトウェア（プログラム）がインストールされ、セッション制御によるセッション管理を行うと共に、移動端末１の気付アドレスを宛先として通信を行う経路最適化を可能とする機能、および、音声や映像のメディアパケットを移動端末１と最適な経路で送受信する機能を有する。
【００３４】
これらの移動端末１−セッション制御サーバ５間、相手端末２−セッション制御サーバ５間、必要に応じてセッション制御サーバ５−他のセッション制御サーバ間において各々セキュアパスが確立され、その上をセッション制御パケットが流れ、さらにセッション制御パケットを通じてセキュアに移動端末１と相手端末２間の共有秘密鍵を生成可能な通信環境下となる。
【００３５】
このような通信環境下において、移動端末１を発側端末とし、移動端末１から発呼要求パケットが送出され、その応答として相手端末２から発呼応答パケットが送出され、その確認として移動端末１から相手端末２に対して応答確認パケットが送出される。
【００３６】
本例では、移動端末１は、このセッション制御フェーズにおける応答確認パケットに、鍵生成処理部１２において生成した共有秘密鍵を含めて、相手端末２に送出する。
【００３７】
そして、移動端末１と相手端末２は、この共有秘密鍵を用いてバインディング情報を暗号化し、暗号化したバインデイング情報を交換することで経路最適化を実現する。
【００３８】
さらに、音声等のメディアパケットの暗号化にも同一の共有秘密鍵を利用することで、１種類の鍵により経路最適化とメディアパケットの暗号化を行うことができる。
【００３９】
以下、図２を用いて、図１に示すネットワーク構成における本例の経路最適化システムの動作を説明する。
【００４０】
図２においては、移動端末１を発側端末とした場合の、セッション制御を利用したセキュアかつ高品質（ロス、遅延を抑制することをここでは高品質と呼ぶ）な経路最適化手順について示している。
【００４１】
ここでは、セッション制御プロトコルとしてＳＩＰ、移動制御プロトコルとしてモバイルＩＰを用いる。
【００４２】
移動端末１とセッション制御サーバ（図中「ＳＩＰサーバ」と記載）５および相手端末２は、ＳＩＰに基づき、セッション制御の開始を示すＩＮＶＩＴＥからＡＣＫまでのセッション制御メッセージ（パケット）の送受信（ステップＳ１０１〜Ｓ１０６）をセキュアに処理する。
【００４３】
この処理は、移動端末１とセッション制御サーバ５および相手端末２間でホップバイホップにセキュリティパスを確立していることとする。これはＩＥＴＦ等で議論されているＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）等を用いることにより実現可能である。
【００４４】
本例では、ステップＳ１０１〜Ｓ１０６でのセッション制御処理で送受信する各メッセージ（パケット）を介して、モバイルＩＰのバインディング情報、および、移動端末１と相手端末２間で送受信するメディア情報を暗号化／認証するための共有秘密鍵を、移動端末１および相手端末２に提供する。以降、セッション制御メッセージを介して提供される共有秘密鍵を「共有秘密鍵Ａ」と記述する。
【００４５】
図２の例では、以下に説明するように、共有秘密鍵Ａを移動端末１側で生成し、相手端末２へ配布する。
【００４６】
まず、ステップＳ１０１，Ｓ１０２の処理において、移動端末１からセッション制御サーバ５を経由して相手端末２に送信される発呼要求パケットである「ＩＮＶＩＴＥメッセージ（パケット）」で、移動端末１（発端末）のセキュリティ情報群（セキュリティパラメータやアルゴリズム等）を相手端末２に通知する。
【００４７】
次に、ステップＳ１０３，Ｓ１０４の処理において、相手端末２からセッション制御サーバ５および移動制御サーバ（図中「ＨＡ」と記載）４を経由して移動端末１に送信される発行応答パケットである「２００ ＯＫメッセージ（パケット）」で、相手端末２（着端末）のセキュリティ情報群を移動端末１に通知することで、相互のセキュリティ情報を交換する。
【００４８】
相手端末２からの「２００ ＯＫメッセージ（パケット）」の受信後、移動端末１において、使用パラメータおよび使用アルゴリズムを決定し、それに基づき共有秘密鍵Ａを生成する（ステップＳ１０５）。ここで生成した共有秘密鍵Ａは、そのセッションの切断時、もしくはライフタイマ満了時まで有効である。
【００４９】
移動端末１は、生成した共有秘密鍵Ａを応答確認パケットである「ＡＣＫメッセージ（パケット）」に含めて、セッション制御サーバ５を経由して相手端末２へ送付する（ステップＳ１０６，Ｓ１０７）。
【００５０】
そして、移動端末１は、「ＡＣＫメッセージ（パケット）」の送信を契機として、バインディングアップデートメッセージ（ＢＵ）（図中「Ｂｉｎｄｉｎｇ Ｕｐｄａｔｅ」と記載）を共有秘密鍵Ａを用いて暗号化し、相手端末２に対して通知する（ステップＳ１０８）。
【００５１】
相手端末２は、移動端末１から暗号化されて送られてきたバインディングアップデートメッセージ（ＢＵ）を受信し、ステップＳ１０６，Ｓ１０７で送信されてきた、移動端末１が保持するものと同一の共有秘密鍵Ａにより復号化し、当該バインディングアップデートメッセージ（ＢＵ）を認識する。
【００５２】
そして、相手端末２は、移動端末１からのバインディングアップデートメッセージ（ＢＵ）の応答として、バインディングアクノウリッジメッセージ（ＢＡ）（図中「Ｂｉｎｄｉｎｇ Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ」と記載）を、共有秘密鍵Ａで暗号化し、移動端末１に対して通知する（ステップＳ１０９）。
【００５３】
移動端末１は、相手端末２から受信したバインディングアクノウリッジメッセージ（ＢＡ）を、共有秘密鍵Ａにより復号化した上で、認識する。
【００５４】
その後、移動端末１および相手端末２は、経路最適化に用いるバインディング情報を交換するのに用いた共有秘密鍵Ａを、メディア（例えば音声）用の暗号化鍵として用いる。
【００５５】
このようにして、本例では、セッション時に生成／配布した鍵（共有秘密鍵Ａ）を用いて、モバイルＩＰの経路最適化時のバインディング情報の交換およびメディア交換をセキュアに行うことが可能である。
【００５６】
図３は、本発明に係わる他の経路最適化システムを設けたネットワークの構成例を示すブロック図であり、図４は、図３における経路最適化システムの処理動作例を示すシーケンス図である。
【００５７】
図３におけるネットワークを構成する移動端末１ａ、相手端末２ａ、ルータ３ａ、移動制御サーバ４ａ、セッション制御サーバ５ａ、無線ＬＡＮ６ａ、ＩＰパケット転送網（図中「ＩＰ通信網」と記載）７ａのそれぞれは、図１におけるネットワークを構成する移動端末１、相手端末２、ルータ３、移動制御サーバ４、セッション制御サーバ５、無線ＬＡＮ６、ＩＰパケット転送網７のそれぞれに相当し、図３の例では、図１において移動端末１に設けられていた鍵生成処理部が、セッション制御サーバ５ａに鍵生成処理部５０として設けられており、この鍵生成処理部５０により、本発明に係わる経路最適化システムとしての処理動作が実行される。
【００５８】
本図３のネットワークシステムにおいても、図１のネットワークシステムと同様に、移動端末１ａや相手端末２ａは、ＳＩＰやＨ．３２３等の、ＩＰ網を介して音声、動画、データのようなマルチメディアセッションの確立や維持、終了を行うためのセッション制御プロトコルをサポートすると共に、モバイルＩＰのように、バインディング情報を管理して移動制御サーバ４ａへこのバインディング情報を登録する移動制御プロトコルをサポートし、また、移動制御サーバ４ａは、バインディング情報を管理して、固定ＩＰアドレスを宛先とした移動端末１ａ宛のパケットを移動端末１ａの在圏先の気付アドレスを宛先としてパケットを転送するホームエージェントの機能を有し、そして、セッション制御サーバ５ａは、ＩＰパケット転送網７ａ内で端末（１ａ，２ａ）がサポートするセッション制御プロトコルを用いて位置管理、パケットの中継および転送を行う機能を具備する。
【００５９】
図１における例と同様、移動端末１ａ−セッション制御サーバ５ａ間、相手端末２ａ−セッション制御サーバ５ａ間、必要に応じてセッション制御サーバ５ａ−他のセッション制御サーバ間において各々セキュアパスが確立され、その上をセッション制御パケットが流れ、さらにセッション制御パケットを通じてセキュアに移動端末１ａと相手端末２ａ間の共有秘密鍵を生成可能な通信環境下において、移動端末１ａを発側端末とし、移動端末１ａから発呼要求パケットが送出される。
【００６０】
その応答として相手端末２ａから発呼応答パケットが送出され、その間に介在するセッション制御サーバ５ａが、両端末（移動端末１ａ，相手端末２ａ）の情報を把握した上で、共有秘密鍵を生成し、セッション制御サーバ５ａから両端末へ、この共有秘密鍵を含めた応答確認パケットを送付する。
【００６１】
移動端末１ａは、セッション制御サーバ５ａから送付された共有秘密鍵を用いて、バインディング情報を暗号化し、このバインディング情報を相手端末２ａと交換することで経路最適化を実現する。
【００６２】
また、移動端末１ａは、音声等のメディアパケットの暗号化にも同一の共有秘密鍵を利用する。これにより、１種類の鍵で経路最適化とメディアパケットの暗号化を行うことができる。
【００６３】
このような構成のネットワークにおける本例の経路最適化システムの動作を、図４を用いて説明する。
【００６４】
図４においては、移動端末１ａを発側端末とした場合の、セッション制御を利用したセキュアかつ高品質（ロス、遅延を抑制することをここでは高品質と呼ぶ）な経路最適化手順について示している。
【００６５】
ここでは、セッション制御プロトコルとしてＳＩＰ、移動制御プロトコルとしてモバイルＩＰを用いる。
【００６６】
移動端末１ａとセッション制御サーバ（図中「ＳＩＰサーバ」と記載）５ａおよび相手端末２ａは、ＳＩＰに基づき、セッション制御の開始を示すＩＮＶＩＴＥからＡＣＫまでのセッション制御メッセージ（パケット）の送受信（ステップＳ４０１〜Ｓ４０４，Ｓ４０６〜Ｓ４０７）をセキュアに処理する。
【００６７】
この処理は、移動端末１ａとセッション制御サーバ５ａおよび相手端末２ａ間でホップバイホップにセキュリティパスを確立していることとする。これはＩＥＴＦ等で議論されているＴＬＳ等を用いることにより実現可能である。
【００６８】
本例では、ステップＳ４０１〜Ｓ４０４，Ｓ４０６〜Ｓ４０７でのセッション制御処理で送受信する各メッセージ（パケット）を介して、モバイルＩＰのバインディング情報、および、移動端末１ａと相手端末２ａ間で送受信するメディア情報を暗号化／認証するための共有秘密鍵を、移動端末１ａおよび相手端末２ａに提供する。以降、本例でセッション制御メッセージ（パケット）を介して提供される共有秘密鍵を「共有秘密鍵Ｂ」と記述する。
【００６９】
図３，４の例では、図１，２の例において端末側で生成していた共有秘密鍵をセッション制御サーバ５ａ側で生成する。すなわち、図３，４の例においては、共有秘密鍵Ｂをセッション制御サーバ５ａ側で生成し、移動端末１ａと相手端末２へ配布する。
【００７０】
図４のステップＳ４０１，Ｓ４０２の処理において移動端末１ａからセッション制御サーバ５ａを経由して相手端末２ａに送信される発呼要求パケットである「ＩＮＶＩＴＥメッセージ（パケット）」により、移動端末１ａ（発端末）のセキュリティ情報群（セキュリティパラメータやアルゴリズム等）を相手端末２ａに通知すると共に、セッション制御サーバ５ａにおいて、当該セキュリティ情報群を記憶する。
【００７１】
「ＩＮＶＩＴＥメッセージ（パケット）」に対応して相手端末２ａからセッション制御サーバ５ａを経由して移動端末１ａに送信する発行応答パケットである「２００ ＯＫメッセージ（パケット）」により（ステップＳ４０３，Ｓ４０４）、相手端末２ａ（着端末）のセキュリティ情報群を移動端末１ａに通知すると共に、セッション制御サーバ５ａにおいて、当該セキュリティ情報群を記憶する。
【００７２】
そして、セッション制御サーバ５ａは、それぞれ記憶した発側端末である移動端末１ａのセキュリティ情報群および着側端末である相手端末２ａのセキュリティ情報群に基づき、最適なセキュリティアルゴリズムやパラメータを決定して共有秘密鍵Ｂを生成する（ステップＳ４０５）。
【００７３】
このように、セッション制御サーバ５ａは、「２００ ＯＫメッセージ（パケット）」の受信後、セキュリティ情報群を考慮した上で共有秘密鍵Ｂを生成すると、生成した共有秘密鍵Ｂを応答確認パケットである「ＡＣＫメッセージ（パケット）」に加えて、移動端末１ａおよび相手端末２ａに通知する（ステップＳ４０６，Ｓ４０７）。これにより、移動端末１ａおよび相手端末２ａの両端末はセキュウアに共有秘密鍵Ｂを共有することができる。
【００７４】
そして、移動端末１ａは、セッション制御サーバ５ａからの「ＡＣＫメッセージ（パケット）」の受信を契機として、バインディングアップデートメッセージ（図中「Ｂｉｎｄｉｎｇ Ｕｐｄａｔｅ」と記載）を共有秘密鍵Ｂを用いて暗号化し、相手端末２ａに対して通知する（ステップＳ４０８）。
【００７５】
相手端末２ａは、暗号化されたバインディングアップデートメッセージを受信し、ステップＳ４０７でセッション制御サーバ５ａから受信した、移動端末１ａが保持するものと同一の共有秘密鍵Ｂにより復号化し、当該バインディングアップデートメッセージを認識する。
【００７６】
そして、相手端末２ａは、移動端末１ａからのバインディングアップデートメッセージの応答として、バインディングアクノウリッジ（図中「ＢｉｎｄｉｎｇＡｃｋｎｏｗｌｅｄｇｅｍｅｎｔ」と記載）メッセージを、共有秘密鍵Ｂで暗号化し、移動端末１ａに対して通知する（ステップＳ４０９）。
【００７７】
移動端末１ａは、相手端末２ａから受信したバインディングアクノウリッジメッセージを、共有秘密鍵Ｂにより復号化した上で、認識する。
【００７８】
その後、移動端末１ａおよび相手端末２ａは、経路最適化に用いるバインディング情報を交換するのに用いた共有秘密鍵Ｂを、メディア（例えば音声）用の暗号化鍵として用いる。
【００７９】
このようにして、本例では、セッション制御サーバ５ａがセッション制御時に生成／配布した鍵（共有秘密鍵Ｂ）を用いて、モバイルＩＰの経路最適化時のバイディング情報の交換およびメディア交換をセキュアに行うことが可能である。
【００８０】
以上、図１〜図４を用いて説明したように、本例では、ＩＰパケット転送網７，７ａ内でセッション制御時に提供する移動端末１，１ａと相手端末２，２ａ間の共有秘密鍵Ａ，Ｂを交換する環境下において、このセッション制御処理を、経路最適化処理と連携させ、セッション制御時に生成され提供される共有秘密鍵Ａ，Ｂを、経路最適化処理におけるバインディング情報交換に利用する。このことにより、セキュアで、かつ鍵交換遅延時間を抑制した経路最適化を行うことができる。
【００８１】
このように、本例では、移動端末１，１ａと相手端末２，２ａ間でセッション制御サーバ５，５ａを介してセッション制御を行う際に、経路最適化時のバインディング情報（ＢＵ／ＢＡ）交換を端末間でエンドツーエンド（Ｅｎｄ−ｔｏ−Ｅｎｄ）にセキュアに行うために用いる鍵（共有秘密鍵Ａ，Ｂ）を配布する。
【００８２】
このことにより、セッション制御完了直後に、移動端末１，１ａと相手端末２，２ａはバインディング情報を交換することが可能となり、共有秘密鍵の生成による遅延時間を抑制でき、メディアパケットのロスや遅延を抑制した経路最適化が可能となる。
【００８３】
尚、本発明は、図１〜図４を用いて説明した例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能である。例えば、本例では、モバイルＩＰにおける経路最適化に関して説明したが、モバイルＩＰに限らず、ＩＰレベルで移動端末の移動管理制御を行うモバイルプロトコルを用いた経路最適化処理に適用することができる。
【００８４】
また、図１，図２で示した例では、移動端末１を発側端末として、移動端末１に設けた鍵生成処理部１２により共有秘密鍵Ａを生成して「ＡＣＫメッセージ（パケット）」に含ませて相手端末２に通知することで、本発明に係わる経路最適化システムの動作を行っているが、発側端末が相手端末２であれば、この相手端末２側で、共有秘密鍵Ａを生成して「ＡＣＫメッセージ（パケット）」に含ませて移動端末１に通知する構成、動作となる。
【００８５】
また、本例では、移動端末１，１ａと相手端末２，２ａ間に１つのセッション制御サーバ５，５ａが設けられた構成としているが、複数のセッション制御サーバを介して移動端末１，１ａと相手端末２，２ａ間のセッション制御を行う構成としても良い。
【００８６】
また、コンピュータの構成例としても、キーボードや光ディスクの駆動装置の無いコンピュータ構成としても良い。また、本例では、光ディスクを記録媒体として用いているが、ＦＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ）等を記録媒体として用いることでも良い。また、プログラムのインストールに関しても、通信装置を介してネットワーク経由でプログラムをダウンロードしてインストールすることでも良い。
【００８７】
【発明の効果】
本発明によれば、ＩＰ通信網内でセッション制御時に提供する移動端末と相手端末間の共有秘密鍵を交換する環境下において、セッション制御処理と経路最適化処理を連携させ、セッション制御時に生成され提供される共有秘密鍵を、経路最適化処理におけるバインディング情報交換に利用することにより、経路最適化のための共有秘密鍵の生成で生じる遅延時間を抑制することができ、経路最適化の効率を向上させることが可能となる。
【図面の簡単な説明】
【図１】本発明に係わる経路最適化システムを設けたネットワークの構成例を示すブロック図である。
【図２】図１における経路最適化システムの処理動作例を示すシーケンス図である。
【図３】本発明に係わる他の経路最適化システムを設けたネットワークの構成例を示すブロック図である。
【図４】図３における経路最適化システムの処理動作例を示すシーケンス図である。
【符号の説明】
１，１ａ：移動端末、２，２ａ：相手端末、３，３ａ：ルータ、４，４ａ：移動制御サーバ、５，５ａ：セッション制御サーバ、６，６ａ：無線ＬＡＮ、７，７ａ：ＩＰパケット転送網、１０，１０ａ：移動制御部、１１，１１ａ：セッション制御部、１２，５０：鍵生成処理部。

Claims (11)

1. 移動端末に対するモバイルＩＰ制御を行う移動制御サーバと、上記移動端末と相手端末間のセキュアパスの確立およびセッション制御を行うセッション制御サーバとを具備するＩＰ通信網における上記移動端末の移動に伴う経路最適化を行うシステムであって、
   上記経路最適化のために上記移動端末と上記相手端末間で交換するバインディング情報の暗号化と認証に用いる共有秘密鍵を、上記セッション制御サーバを介しての上記移動端末と相手端末のセッション制御中に生成する鍵生成処理手段を有することを特徴とする経路最適化システム。
2. 移動端末の移動元のＩＰアドレスと移動先のＩＰアドレスを対応付けて記憶し、記憶した対応付け情報に基づき、移動した上記移動端末の移動元のＩＰアドレスでの通信を継続させる移動制御サーバと、上記移動端末と相手端末間のセキュアパスの確立およびセッション制御を行うセッション制御サーバとを具備するＩＰ通信網における上記移動端末の移動に伴う経路最適化を行うシステムであって、
   上記経路最適化のために上記移動端末と上記相手端末間で交換する情報の暗号化と認証に用いる共有秘密鍵を、上記セッション制御サーバを介しての上記移動端末と相手端末のセッション制御中に生成する鍵生成処理手段を有することを特徴とする経路最適化システム。
3. 請求項１もしくは請求項２のいずれかに記載の経路最適化システムであって、
   上記セッション制御サーバは、上記移動端末と上記相手端末間でやりとりする発呼要求パケットと発呼応答パケットおよび応答確認パケットのスリーウェイハンドシェークの中継を行う手段を有し、
   上記鍵生成手段で生成した上記共有秘密鍵を、上記応答確認パケットに含めて送信することを特徴とする経路最適化システム。
4. 請求項３に記載の経路最適化システムであって、
   上記鍵生成手段を発側端末に設け、該発側端末に設けた上記鍵生成手段で生成した上記共有秘密鍵を、該発側端末からの上記応答確認パケットに含めて送信することを特徴とする経路最適化システム。
5. 請求項１もしくは請求項２のいずれかに記載の経路最適化システムであって、
   上記セッション制御サーバは、
   上記移動端末と上記相手端末間でやりとりする発呼要求パケットと発呼応答パケットの中継を行う手段と、
   上記発呼要求パケットおよび上記発呼応答パケットに対応して上記移動端末と上記相手端末に応答確認パケットを送出する手段、
   および上記鍵生成手段を有し、
   上記鍵生成手段で上記発呼要求パケットと上記発呼応答パケットに基づき上記共有秘密鍵を生成し、生成した共有秘密鍵を上記応答確認パケットに含めて送信することを特徴とする経路最適化システム。
6. 移動端末に対するモバイルＩＰ制御を行う移動制御サーバと、上記移動端末と相手端末間のセキュアパスの確立およびセッション制御を行うセッション制御サーバとを具備するＩＰ通信網における上記移動端末の移動に伴う経路最適化方法であって、
   上記経路最適化のために上記移動端末と上記相手端末間で交換するバインディング情報の暗号化と認証に用いる共有秘密鍵を、上記セッション制御サーバを介しての上記移動端末と相手端末のセッション制御中に生成する手順を有することを特徴とする経路最適化方法。
7. 移動端末の移動元のＩＰアドレスと移動先のＩＰアドレスを対応付けて記憶し、記憶した対応付け情報に基づき、移動した上記移動端末の移動元のＩＰアドレスでの通信を継続させる移動制御サーバと、上記移動端末と相手端末間のセキュアパスの確立およびセッション制御を行うセッション制御サーバとを具備するＩＰ通信網における上記移動端末の移動に伴う経路最適化方法であって、
   上記経路最適化のために上記移動端末と上記相手端末間で交換する情報の暗号化と認証に用いる共有秘密鍵を、上記セッション制御サーバを介しての上記移動端末と相手端末のセッション制御中に生成する手順を有することを特徴とする経路最適化方法。
8. 請求項６もしくは請求項７のいずれかに記載の経路最適化方法であって、
   上記セッション制御サーバにおいて、上記移動端末と上記相手端末間でやりとりする発呼要求パケットと発呼応答パケットおよび応答確認パケットのスリーウェイハンドシェークの中継を行う手順を有し、
   生成した上記共有秘密鍵を、上記応答確認パケットに含めて送信することを特徴とする経路最適化方法。
9. 請求項８に記載の経路最適化方法であって、
   発側端末において、上記共有秘密鍵を生成し、生成した共有秘密鍵を、該発側端末からの上記応答確認パケットに含めて送信することを特徴とする経路最適化方法。
10. 請求項６もしくは請求項７のいずれかに記載の経路最適化方法であって、
    上記セッション制御サーバにおいて、上記移動端末と上記相手端末間でやりとりする発呼要求パケットと発呼応答パケットの中継と、上記発呼要求パケットおよび上記発呼応答パケットに対応する応答確認パケットの上記移動端末と上記相手端末への送出を行い、かつ、上記発呼要求パケットと上記発呼応答パケットに基づき上記共有秘密鍵を生成し、生成した共有秘密鍵を上記応答確認パケットに含めて上記移動端末と上記相手端末に送信することを特徴とする経路最適化方法。
11. コンピュータに、請求項６から請求項１０のいずれかに記載の経路最適化方法における各手順を実行させるためのプログラム。

Images