JP2005532012A - ホームエージェントと共に移動ノードのホームアドレスを登録する方法 - Google Patents

Abstract

ホームエージェントと共に移動ノードのホームアドレスをネットワークに登録する方法。
移動ノードを特定する際のキー要素として移動ノードのホームアドレスを利用する代わりに、登録処理を行う際、移動ノードが登録要求時にホームエージェントへ送る移動ノードのネットワークアクセスの識別番号が、ホームエージェントによって使用される。登録要求を受け取るとき、ネットワークアクセスの識別番号に基づいて適当なセキュリティアソシエーションを選択することにより、ホームエージェントは移動ノードの認証を行う。これに応答して、ホームエージェントは、認証とキーマテリアルとを移動ノードへ送って、移動ノードが、呼掛け／応答手順で使用する移動ノード認証をホームエージェントにさらに与えることができるようにする。

Description

本発明はモバイルＩＰｖ６およびＩＰのセキュリティに関連する。

モバイルＩＰｖ６（ＭＩＰｖ６）は、ＩＰｖ６ホスト用としてＩＰｖ６ネットワークにおけるＩＰのモビリティを可能にするために開発されたプロトコルである。このようなプロトコルにより、移動ノード（ＭＮ）は、１つのサブネットから別のサブネットへ移動しながら、アクティブなＴＣＰ（伝送制御プロトコル）接続とＵＤＰ（ユーザデータグラムプロトコル）ポートのバインディングとを保持することが可能となる。現在のモバイルＩＰｖ６モデルは、加入登録時などにおけるそのＨｏＡ（ホームアドレス）としてスタティックなＩＰアドレスが割り当てられたＭＮに基づいている。ＭＮは、異種のネットワークを介して接続されると、バインディング更新（ＢＵ）をそのホームエージェント（ＨＡ）へ送信して、ＭＮの現在の所在位置情報、または、ＭＮの現在のアタッチメントポイントでＭＮに割り当てられた気付けアドレス（ＣｏＡ）を示す。この情報によって、ＨＡは、ＭＮ用として意図されたパケットを現在の所在位置へ転送することが可能となる。ＢＵは、ＭＮとＨＡ（加入登録時における設定）との間に存在するＩＰｓｅｃセキュリティアソシエーション（ＳＡ）によってセキュリティ保護を受ける。このＩＰｓｅｃ ＳＡは、通常、ＭＮ（ソースアドレス）のスタティックなＨｏＡ、ホームエージェントアドレス、セキュリティ・パラメータ・インデックス（ＳＰＩ）値および次のヘッダの値と関連付けられる。ＨＡは個々の着信パケット用の上記パラメータを利用して、利用すべき正しいＳＡの特定を行う。ＭＮとＨＡ内のＩＰｓｅｃエンジンは、ＢＵとバインディング肯定応答とのセキュリティ保護を行う際に（すなわちメッセージを送信しているＭＮの認証と、メッセージの完全性の検証とを行う際に）このＳＡを利用する。

現在、ＭＮはそのホームＩＰアドレスをＨＡに示して、自身の特定を行っている。特に、これは、ＩＰｓｅｃエンジンがＢＵの真正性を検証した後、ＨＡがＢＵを処理することを意味するものである。ＭＮからＨＡへ送られたＢＵがＩＰｓｅｃによりセキュリティ保護を受けるため、ＢＵがＩＰｓｅｃエンジンにより処理された後でしか、ＨＡにおけるＢＵメッセージのモバイルＩＰ処理は実行されない。モバイルＩＰモジュールは認証済みのＢＵを処理するだけである。というのは、真正性を保証する役割がＩＰｓｅｃへ移されるからである。

しかし、実際の利用モデルとプライバシ問題とに起因して、スタティックなＨｏＡを割り当てる代わりに、ＲＦＣ３０４１で提案されているような技法をＭＮにより利用して、動的ＨｏＡの作成を行うことも可能である。このような場合、ＭＮは動的ＨｏＡを用いているため、ＨＡがＨｏＡを守り、ＭＮへの着信パケットの転送を開始し、ＣｏＡ用としてバインディングキャッシュを作成できるようになる前に、ＭＮはまずそのＨＡと共に動的ＨｏＡを登録し、次いで、ＨＡへＢＵメッセージを送る必要がある。これらのメッセージのセキュリティを保護するために（ＨＡの充満（フラッディング）を防止するために）、ＭＮは、ＭＮが提案したＨｏＡをＨＡが受け付けるように（すなわち、メッセージが首尾よくＩＰｓｅｃエンジンの処理をパスするように）、ＭＮのＩＰアドレスではないＩＤを介してＨＡに対してＭＮの身元を証明する必要がある。ＨＡがＨｏＡを受け付けた後でのみ、ＭＮが送ったＢＵはＭＮにより処理されることになる。

現在、モバイルＩＰには、ＭＮによって動的に作成されたホームアドレス（ＨｏＡ）をセキュリティを保護する態様でＭＮがＨＡと共に登録する方法は存在しない。しかし、ＣＧＡ（暗号により作成されたアドレス）ソリューションまたはＲＦＣ２９７７で要求されている動的ホームアドレス割当て手順を可能にするために、この欠落している手順は早々に求められることになるであろう。

ＣＧＡおよびその他の提案されているソリューションは、要求されたＩＰアドレス（ホームアドレスおよび気付けアドレス）をＭＮが所有していることをＭＮが証明できるようにする方式を定めるものである。（秘密キーが損なわれたとき公開キーに依拠するソリューションを用いるような）状況では、上記ソリューションは、ＭＮが新たなホームアドレスを計算し、そのホームネットワークを用いてこのホームアドレスの登録を行う。しかし、上記のように、このような手順はまだ存在していない。上記とは別に、（ＡＡＡサーバなどのような）いくつかの通信施設（インフラストラクチャ）の存在に依拠することが可能である。また、現在のモバイルＩＰｖ６モデルは、スタティックなＨｏＡが割り当てられているＭＮに依拠しているが、これは、実際の大規模利用のためのものとしては最も効率的のよいモデルとはいえない場合もあり、さらに、ＲＦＣ３０４１またはＣＧＡで求められているような動的ＨｏＡ割当てを可能にするものではない。

ＩＰｖ６のモビリティ用として有効で、かつ、容易に利用可能であると考えられる解決方法として、いずれのインフラストラクチャ（ＡＡＡ−認証、アクセス権限、アカウンティング方式など、ＲＦＣ２９７７を参照のこと）の存在にも依拠せずに、移動ノード（ＭＮ）とホームエージェント（ＨＡ）間でのメッセージ交換だけに基づくようにすることが望ましい。

本発明は、モバイルＩＰｖ６に対する拡張を提供するものであり、この拡張によって、移動ノードが１または２以上のホームアドレス（ＨｏＡ）を動的に構成し、セキュリティを保護する態様で（すなわち、ＭＮにセキュリティ保護を行う権限を与えることを保証することにより）移動ノードがホームエージェントと共に前記ＨｏＡの登録を行うことを可能にするものである。本発明は、ＭＮのＮＡＩ（ネットワークアクセスの識別番号）を利用して、ＭＮの特定を行うものである。特に、本発明はＡＡＡインフラストラクチャが存在しないシナリオに適用するものである。

本発明は、モバイルＩＰｖ６に対する２つの新たなメッセージ、すなわちホームアドレス登録要求とホームアドレス登録応答の定義を行うものである。

したがって、本発明の第１の態様によれば、ホームエージェントと共に移動ノードのホームアドレスをネットワークに登録する方法が提供される。本方法は、
前記ホームアドレスの登録を求める要求を移動ノードによってホームエージェントへ送るステップと、
移動ノードを認証するステップと、
前記移動ノードのホームアドレスを前記ホームエージェントに格納するステップと、を具備するものである。

本方法は、移動ノードによってホームアドレスを取得するステップをさらに具備する。

好ましくは、上記要求が、移動ノードのネットワークアクセスの識別番号と、登録すべきホームアドレスとを含み、ネットワークアクセスの識別番号に基づいて、セキュリティ情報を利用して移動ノードを認証できるようにすることが望ましい。

好適には、移動ノードとホームエージェントとがネットワークアクセスの識別番号により特定されるセキュリティアソシエーションを共有し、移動ノードが上記セキュリティアソシエーションに基づいて認証される。

好適には、上記要求は、前記認証ステップで使用する移動ノード認証子も含み、上記移動ノード認証子は前記認証ステップで使用され、前記セキュリティアソシエーションに基づいて上記移動ノード認証子が計算される。

好適には、上記要求には、移動ノードによるネットワークとの現在のアタッチメントポイントを示す移動ノードの気付けアドレスも含まれる。

好適には、上記方法は、認証とキーマテリアルとを移動ノードへ送信するステップをさらに具備し、前記認証ステップが呼掛け／応答手順を必要とするとき、上記移動ノードが上記認証とキーマテリアルとに基づいて、移動ノード認証によって上記ホームエージェントを出力できるようにする。

必要な場合、上記移動ノードは、上記格納済みホームアドレスに基づいて、前記ホームエージェントへのバインディング更新メッセージを続行できる。

好適には、上記方法は、上記移動ノードが、上記バインディング更新メッセージを続行できるようにする継続期間を制限する耐用期間を上記登録済みホームアドレスと関連付けるステップをさらに具備し、その場合、上記移動ノードがバインディング更新メッセージを続行するとき、上記耐用期間をリフレッシュしたり、あるいは移動ノードによって、上記ホームエージェントへの要求を用いてこの耐用期間を新しくしたりできるようにする。

好適には、上記要求方法はハッシュ関数を用いて上記要求を認証するステップをさらに具備する。

好適には、上記方法は、前記ホームエージェント内のセキュリティエンジンに、上記ホームアドレスとセキュリティ・パラメータ・インデックスとを示す値を格納して、前記格納値と上記セキュリティ・パラメータ・インデックスとに基づいて上記ホームエージェントがバインディング更新メッセージを認証ができるようにするステップをさらに具備する。

好適には、上記方法は、上記移動ノードが、上記ホームアドレスまたは上記気付けアドレスを所有し、上記ホームアドレスまたは上記気付けアドレスを使用する権限が与えられていることを上記移動ノードが証明するステップをさらに具備する。

好適には、上記移動ノードによって、上記ホームエージェントを発見プロセスで発見することが可能であり、前記ホームアドレスの登録は上記発見されたホームエージェントへ伝えられる。

本発明の第２の態様によれば、ネットワークシステムが提供される。上記ネットワークシステムは、
移動ノードと関連するホームアドレスを有する少なくとも移動ノードと、
上記移動ノードが、上記ホームアドレスの登録を要求するホームエージェントへ要求を送るようになっていて、上記ホームエージェントが上記移動ノードを認証して、上記移動ノードのホームアドレスを上記ホームエージェントに格納するようになっているホームエージェントと、を具備する。上記要求は、上記移動ノードのネットワークアクセスの識別番号と、登録対象であるホームアドレスとを具備し、ネットワークアクセスの識別番号に基づいてセキュリティ情報を利用してホームエージェントが移動ノードを認証できるようにする。

本発明の第３の態様によれば、ネットワーク内のホームエージェントが提供され、上記ネットワークは、上記ホームエージェントへ要求を送ることにより、上記ホームエージェントと共に登録する対象ホームアドレスを有する少なくとも１つの移動ノードを具備する。上記ホームエージェントは、
上記移動ノードを認証するための前記要求に対する応答手段と、
上記ホームアドレスを格納するための前記認証に対する応答手段と、を具備し、上記要求は、上記移動ノードのネットワークアクセスの識別番号と、登録対象である上記ホームアドレスとを具備し、上記認証手段は、上記ネットワークアクセスの識別番号に基づいて移動ノードの認証を行う。

本発明の上記第４の態様によれば、少なくともホームエージェントを具備するネットワーク内の移動通信装置であって、ホームアドレスと、ネットワークアクセスの識別番号とを有する移動通信装置が提供される。上記移動通信装置は、
上記ホームアドレスを登録するために上記ホームエージェントへ要求を送るステップを備え、上記要求が上記ネットワークアクセスの識別番号を含み、上記ホームエージェントが、上記ネットワークアクセスの識別番号に基づいて上記移動通信装置の認証を可能とするように為すことを特徴とする。

上記ホームエージェントは、発見プロセスにおいて上記移動通信装置により発見することができる。

上記移動通信装置は、上記ホームエージェントと共に上記ホームアドレスを登録する際に、上記移動通信装置が上記ホームアドレスまたは上記気付けアドレスを所有し、上記ホームアドレスを使用する権限が与えられている旨の証明を送るようになっている。

図１〜図４と関連して行われる説明を読むとき、本発明は明らかになる。

セキュリティアソシエーション（ＳＡ）が、移動ノード（ＭＮ）とそのホームネットワーク（特にホームエージェント（ＨＡ））との間で共有されていると仮定する。このようなセキュリティアソシエーションは、モバイルＩＰｖ６エンジン内の１つのキーまたは１組のキーから構成され、ＭＮとＭＮのＮＡＩとにより与えられるＭＮ認証子に基づいてＭＮの認証を行うようになっている。

上述のように、本発明は、キー要素としてＭＮのホームアドレスを使用して、ＭＮを特定し、セキュリティパラメータの検索の代わりに、ＭＮとホームエージェントとがＭＮのＮＡＩを利用するという着想に基づくものである。

図１と図２とに例示されているように、本発明は以下の手順に基づくものである。

新たなホームアドレスまたはＨｏＡの作成後（すなわち、もしＭＮがこの新たなホームアドレスまたはＨｏＡを作成したり、ネットワークエレメントから受信したりした場合）ＭＮはホームネットワークでホームエージェントをオプションとして発見することができる。新たなＨｏＡの作成または取得は図２のフローチャート１００のステップ１１０に示されている。

次いで、ＭＮは、図１のステップ（１）と図２のステップ１２０で示すようにホームエージェントへＨｏＡ登録要求を送る。メッセージには以下が含まれる：
ＭＮのＮＡＩ、
ＭＮのＨｏＡ、
ＭＮのＣｏＡ、そして、おそらく
ＭＮ認証子、この場合、
− ＭＮのＮＡＩを利用してホームネットワークによってユーザの特定を行う。
− ＭＮのＨｏＡは、ＭＮにより取得され、ＨＡへ与えられる新たなアドレスであり、このアドレスによって、ＨＡは、どのＩＰアドレスを守るべきかを認知し、ＩＰｓｅｃ ＳＰＤ（セキュリティポリシーデータベース）内に必要なエントリを作成できるようになる。
− ＭＮのＣｏＡは、ＭＮがその現在のアタッチメントポイントに達することができるアドレスである。
− ＭＮ認証子はＭＮに含まれ、このＭＮ認証子によって、メッセージ認証コード（ＭＡＣ）を含むことにより、デフォルトによる登録要求の認証が可能となる。このメッセージ認証コード（ＭＡＣ）はパケット全体に対する（ホームドメイン）−（ＭＮ）共有化キーを用いるハッシュ関数を適用することにより取得される。

ＭＮ認証子がＨｏＡ登録要求の中に含まれている場合、図１のステップ（２）と、フローチャート１００のステップ１５０とで示すように、ＨｏＡ登録要求の受信時に、ＭＮが与えるＮＡＩに基づいて適当なＳＡを選択することにより、並びに、ＭＮ認証子を検証することにより、ＨＡ内のモバイルＩＰエンジンによるＭＮの認証が行われる。

フローチャート１００のステップ１３０で判定されるように、ＭＮ認証子が含まれていない場合、フローチャート１００のステップ１４０で、ＨＡは、登録手順の終了前にＨｏＡ登録応答メッセージの形で認証とキーマテリアルをＭＮへ送る。呼掛け／応答手順を必要とする認証メカニズムに基づいてＭＮを認証するために、および／または、将来のバインディング更新の認証に用いる動的キーを導き出すために、上記ステップが実行される。

ＨＡは、フローチャート１００のステップ１３２で、オプションとして、登録手順の終了前にＨｏＡ登録応答メッセージの形で認証とキーマテリアルとをＭＮへ送ってもよい。このステップを用いて、例えば、再生アタックを防止し、次いで、呼掛け／応答手順を要求する認証メカニズムに基づいてＭＮの追加認証および／または将来のバインディング更新メッセージの認証に用いるＭＮとＨＡ間での動的キーを作成するキーマテリアルの出力を行うことができる。

フローチャート１００のステップ１４２で、認証とキーマテリアルとを含むＨＡからＨｏＡ登録応答に応答して、ＭＮは追加のＨｏＡ登録要求をＨＡへ送る。この場合、追加のＨｏＡ登録要求には、図１のステップ（１）と同じＮＡＩと、ホームアドレスと、気付けアドレスとが含まれるが、モバイルＩＰレベルのＨＡ、並びに、認証とキーマテリアルと共に共有されるＳＡを用いて計算されるＭＮ認証子も含まれる。

ＭＮにより与えられるＮＡＩに基づいて適当なＳＡを選択することにより、また、フローチャート１００のステップ１６０で示すようにＭＮ認証子を検証することにより、ＨＡ内のモバイルＩＰエンジンはＭＮの認証を行う。

ステップ１６０で、ＨＡ内のモバイルＩＰエンジンはＭＮが提供するＨｏＡを格納し、ＭＮが提案するＨｏＡの耐用期間値を用いて耐用期間をＨｏＡと関連づける。

フローチャート１００のステップ１６２で、ＨＡは、ＭＮが与えるソースアドレスフィールド値を動的ＨｏＡに対して設定することにより、ＨＡとＭＮとには既知の所定値か、あるいは、ＨＡが決定し、ＭＮへ返される値かのいずれかの値に対してＳＰＩ値を設定することにより、ＩＰｓｅｃエンジン内にエントリを作成する。

上記エントリと関連づけられるキーは、ＨＡとＭＮとにより共有されたり、（呼掛け／応答手順などによる）ＭＮ認証中に計算されたりするＳＡの一部であってもよい。この手順により、ＭＮからの将来のバインディング更新メッセージをＩＰｓｅｃレベルで直接認証できるようになる。

フローチャート１００のステップ１７０で、ＨＡは、登録の成功または失敗を示すＨｏＡ登録応答メッセージをＭＮへ送る。ＨＡは、ＭＮが提案した値が容認できない場合、異なる値のＨｏＡの耐用期間を送ることが可能である。

上記プロセスが首尾よく終った場合、フローチャート１００のステップ１８０に示すように、ＨｏＡの耐用期間の期限が切れないうちに、必要に応じて、ＭＮはバインディング更新メッセージを続行する。

ＨＡ内のＨｏＡの耐用期間が期限切れになったとき、ＨＡは以下を削除する：
ＭＮと関連づけられたＨｏＡ
ＨｏＡと関連するモバイルＩＰバインディングキャッシュ内のすべてのエントリ
ＨｏＡに対応するＩＰｓｅｃエントリ
しかし、ＭＮは、２つの方法、すなわち、耐用期間の期限切れ前に新たなＨｏＡ登録要求を送るか、あるいは、ＭＮが送って来る個々のバインディングの更新時にＨＡがリフレッシュ（すなわちタイマの再スタート）できるようにするかのいずれかの方法によって、ＨｏＡの耐用期間をリフレッシュすることができる。

登録手順中に、ＭＮは、ＭＮが請求されたＨｏＡとＣｏＡとを所有し、これらを使用する権限が与えられている（すなわちＩＰｖ６アドレス所有権についての問題を解決する）旨の証明などの付加情報をオプションとして与えることが可能である。この付加情報はＭＮが当該アドレスを所有する旨を証明するものである。ＭＮがこのような情報を計算する方法は本発明の範囲外に在るものである。

ＨｏＡ登録メッセージの形で担持される（ＮＡＩ以外の）付加情報のすべてを暗号化して、いずれかの盗聴者によってトラフィック分析が行われたり、他のいずれかの機密情報が入手されたりすることを防止できるように図ることが可能である。ＭＮのＮＡＩを用いて適当なセキュリティキーを検索し、メッセージの解読を行うことが可能である。

本発明は多数の様々なシナリオで適用可能であり、例示を目的としてそれらのシナリオのうちの２、３を下記に示すことにする：

シナリオ１：
ＨｏＡ登録要求とＨｏＡ登録応答メッセージとは新たなモバイルＩＰメッセージである。
新たなモビリティヘッダのタイプによって、ＢＵ、ＨＯＴＩ（ホーム検査開始）、ＣＯＴ（車輌検査）などのような別のモバイルＩＰメッセージから上記メッセージの識別を行うことが可能となる。このシナリオでは、ＨｏＡ登録とバインディング更新手順とは別々のものとなっている（すなわち、独立にかつ逐次実行される）。

・ＨｏＡ登録要求は少なくとも以下のフィールドを含むことが望ましい。
− ソースＩＰアドレス： ＣｏＡ
− 宛先ＩＰアドレス：ＨＡ（または任意の割当てアドレス − 以下を参照のこと）
− 次のヘッダ： モビリティヘッダ
− 種別： ＨｏＡ登録要求
− 識別番号： 要求と応答とに一致する
− ＮＡＩ
− ホームアドレスオプション
− ＭＮ認証子このフィールドはオプションであり、ＨＡとＭＮとにより共有されるＳＡに準拠する認証方法によって、要求が最初にＨＡへ送信されるとき、ＭＮによりＭＮ認証子の計算がサポートされている場合にのみ、上記フィールドを含むことが望ましい。ＭＮが、認証とキーマテリアルとを含むＨＡから、ＨｏＡ登録応答メッセージに応答してＨＡへＨｏＡ登録要求メッセージを送る場合には常にこのフィールドが含まれる。
− ＨｏＡの耐用期間 このフィールドはオプションである。というのは、加入登録時に指定される所定値が存在する場合があるからである。ＭＮは異なる耐用期間値を要求する場合もある。
− ＳＰＩ： このフィールドはオプションであり、ＨＡとＭＮとが、バインディング更新の認証に用いることになる、ＩＰｓｅｃセキュリティアソシエーション用として申込み時に定められるＳＰＩを含まない場合にのみ、このフィールドが存在することが望ましい。

さらに、ＨｏＡ登録応答は以下のフィールドを含むことが望ましい：
− ソースＩＰアドレス： ホームエージェント
− 宛先ＩＰアドレス： ＣｏＡ
− 次に 次のヘッダ モビリティヘッダ
− 種別 登録応答
− 識別番号
− 結果コード： 成功／失敗
−認証とキーマテリアル：このフィールドはオプションであり、ＭＮが要求時にＭＮ認証子を与えなかった場合、あるいは、再生アタックを防止するためにおよび／または（呼びかけ／応答などの）ある特定の認証方法を用いることにより、ホームエージェントがＭＮの別の認証方法を決定する場合のいずれかの場合にのみこのフィールドが存在することが望ましい。ＨＡが上記フィールドを利用して、キーマテリアルを提供し、将来のバインディング更新メッセージの認証用としてＭＮとＨＡ間で動的キーを作成するようにしてもよい。
− ＨｏＡの耐用期間 このフィールドはオプションであり、ＭＮによって提案されたＨｏＡの耐用期間値または申込み時に予め定められた値をＨＡが受け付けない場合にのみ上記フィールドが存在することが望ましい。

ホームエージェントのアドレス（例えばＭＮがそれらのリストですでに予め構成されている場合）か、任意の割当てアドレスかのいずれかのアドレスにＨｏＡ登録要求メッセージをアドレス指定することができる：第２のオプションにより、ホームエージェントの発見とＨｏＡ登録とを同時に行うことが可能となり、したがって手順の最適化が可能となる。

ホームエージェントにおいて本発明を実現する様々な方法が存在するが、いくつかの可能な方法について以下説明する。しかし、本発明は異なる態様でも実現が可能である。

オプション１ − 変更ホームエージェント（図３）
ＩＰｓｅｃエンジンへパケットを転送する前に、一般にＭＩＰスタックがある処理を行う（ホームアドレスオプションが存在するとき、ＭＩＰスタックはソースアドレスとホームアドレスオプションフィールドの内容を入れ替える）のと同じ方法で、受信パケットが登録要求であることを認識したとき、モバイルＩＰスタックは、上記受信パケットをＩＰｓｅｃエンジンへ渡さずに、種別番号によってこの受信パケットを直接処理する。ＭＩＰスタックは要求の真正性を検証し、ＭＮが正規の権限が与えられたものであることを確認し、次いで、ＭＮからＨＡへ後続するＭＩＰメッセージ（バインディング更新など）用ＩＰｓｅｃセキュリティポリシーデータベースの中にエントリを作成する。

この例示実装構成は、ＭＩＰ ＨＡソースコードへのあるアクセスを必要とし、来るべき将来のＨＡの中にこの構成を実現することが可能となる。これは長期の解決方法である。

オプション２ − “バンプ・イン・ザ・スタック（Bump-in-the-stack）”（図４）
すでに利用されているＨＡの場合、ＩＰｓｅｃが予め配備され、ＩＰｖ４スタックがすでに存在しているときに生じるような“バンプ・イン・ザ・スタック”（ＢＩＴＳ）実装構成は、短期の解決方法とすることができる。本発明は、ＨＡとローカルなネットワークドライバとの間での既存のＭＩＰ ＨＡ/ＩＰｓｅｃプロトコルスタックの実装構成“の下で”実現されるものとなる。ＭＩＰ ＨＡスタック用のソースコードアクセスはこの状況では要求されず、ＢＩＴＳはＩＰｓｅｃＳＰＤにアクセスできることが望ましい。ＢＩＴＳがＨＡバインディングキャッシュにもアクセスできる場合、いくつかの最適化が可能となるが、より具体的には、登録要求メッセージに関して、対応するバインディングキャッシュの作成が可能となる。ＢＩＴＳがＨＡバインディングキャッシュにもアクセスできない場合、ＭＮは登録要求後にバインディング更新を送る必要がある。

上記実施構成によるアプローチはレガシーシステムとして利用するのに適している。

オプション３
このオプションは、改善されたＩＰｓｅｃプロトコルの実装構成／バージョンの可能性について考察するものである。現在、ＩＰｓｅｃはソースアドレス、宛先アドレス、次のヘッダおよびセキュリティ・パラメータ・インデックスに基づいてパケットの識別を行うことができる。この情報により適切なセキュリティアソシエーションの検索と、パケットの処理とが可能となる。

しかし、モバイルＩＰなどのような異なるプロトコルの進化と共に、この細分性が十分なものではないことが確認されるようになってきた。すなわち、次のヘッダのみによって、それがＴＣＰ、ＵＤＰ、ホップ・バイ・ホップ、モビリティあるいはルーティングヘッダなどであるかどうかの識別が可能となっているが、バインディング更新、ＨｏＴ、ＣｏＴ、ＨｏＡ登録要求などの種別に基づくことによってもパケットの識別が可能となれば有益であろう。

将来のＩＰｓｅｃバージョンにより上記が可能となるか、ホームエージェントが、このより高い細分性を選択することが可能なＩＰｓｅｃの拡張された実施構成を備えることができるようになるかのいずれかとなるであろう。

このような場合、申込み時に作成されたＳＰＤ内に１つのＭＮについて２つのエントリが生じることになる。バインディング更新用の一方のエントリと、ＨｏＡ登録要求用のもう一方のエントリである。このことによって、（フラッディングなどのような）潜在的サービス拒否アタックが制限を受けることになる。というのは、どのパケットもまずＩＰｓｅｃエンジンのチェックを受ける必要があるからである。

ＨｏＡ登録要求は認証ヘッダプロトコルによって保護（認証）され、次いで、ＮＡＩに基づいて認証され、双方の検証をパスした場合、バインディング更新に対応するエントリがＩＰｓｅｃ ＳＰＤの中に作成される。

シナリオ２：
バインディング更新とバインディング肯定応答メッセージとが拡張され、ＨｏＡ登録も行われる。このシナリオでは、ＭＡとＨＡとはＩＰｓｅｃレベルとＭＩＰレベルの双方のレベルでＳＡを共有することになる。ＩＰｓｅｃがメッセージの真正性を検証するのに対して、ＭＩＰレベルは、そのＮＡＩと共にＭＮがＢＵの中に含んでいるＭＮ認証子の検証を行う。

シナリオ３：
これはシナリオ１を拡張したものである。認証パス後のＨｏＡ登録要求処理の一部として、対応するバインディングキャッシュが作成される。これによって、ＨｏＡ登録応答後のいずれのバインディング更新／バインディング確認応答も防止されることになる。

本発明の利点は以下の通りである：

利用可能なＣＧＡ、ＲＦＣ３０４１のような解決方法に求められるものに加えて、モバイルＩＰｖ６に対するより多くの柔軟性（割り当てられたＨＡが低下したときなどの状況への対処など）がこの解決方法により許容される。

現在のバインディング更新メッセージを拡張することにより、単にモバイルＩＰｖ６に対する２つの新たなメッセージをＩＥＴＦに定義するだけで上記解決方法は実行可能である。

ＭＮがホームアドレスを変更するとき、本発明に記載の手順を実行する必要があるが、モバイルＩＰ仕様にすでに規定されているその他すべての手順に影響を与えたり、これらの手順を変更したりするものではない。

本発明は、利用可能とするためにＩＰｓｅｃに対する変更を必要としない：これは、標準化の実行可能性、並びに、短／中期間での可用性という観点から見て大きな利点となる。

（ＡＡＡ、ＰＫＩ（公開キーインフラストラクチャ）などの）インフラストラクチャを必要としない。

上記解決方法は、ＭＮとＨＡ間での信号制御の最適化を可能にするためにホームエージェントを動的に割り当てる場合、ホームエージェントの発見に組み込むことが可能である。これは、新たな登録メッセージが規定されている場合に適用される。

上記手順は異なる認証メカニズムをサポートするものである。例えば、ＭＮは、メッセージ自身の関数として計算したＭＮ認証子と、ＭＮがＨＡと共有しているＳＡに属するキーとを登録要求時に送信することが可能となる。また、さらに複雑な認証メカニズムの利用も可能である。例えば、ＨＡは認証とキーマテリアルとをＭＮへ送り、次いで、ＭＮはこの認証とキーマテリアルとを利用して、認証対象である応答を出力することができる。これにより、ＧＳＭあるいはＵＭＴＳ ＡＫＡ（認証とキー取り決め）で採用されているＳＩＭベースの呼びかけ／応答メカニズムなどの認証メカニズムが利用可能となる。これによって、ＧＳＭの呼びかけ／応答認証によりＨＡを介してＷＬＡＮへのＭＮアクセスが認証を受けるＯＷＬＡＮ（通信事業者無線ローカルエリアネットワーク）のような製品内における本発明の採用が可能になり、有用となる。

この解決方法はアンチ応答アタックをサポートするものであり、（クッキーなどを用いることにより、採用されている認証方法に応じて）サービス拒否アタックを制限することが可能となる。

要するに、本発明は、モバイルＩＰｖ６の拡張方法を提供するものであり、この拡張によって、移動ノードが１または２以上のアドレスを動的に構成し、さらに、セキュリティ保護を行う権限を移動ノードに与えることを保証することにより、セキュリティを保護する態様で移動ノードがホームエージェントと共にアドレスの登録を行うこが可能となる。本発明は移動ノードのネットワークアクセスの識別番号を利用して、移動ノードの特定を行うものである。ネットワークアクセスの識別番号はホームアドレス登録要求時にホームエージェントへ与えられる。好適には、移動ノード認証子がこの登録要求の中に含まれて、ホームエージェントが認証子に基づいて移動ノードを認証できるようにすることが望ましい。認証処理後、ホームエージェントは、そのＩＰセキュリティエンジンの中に、上記移動ノードの与えられたホームアドレスを格納し、移動ノードから出される将来のバインディング更新メッセージをＩＰのセキュリティレベルにより直接認証できるようにする。

本発明の好ましい実施形態を参照しながら本発明について説明したが、上述の、本発明の形態および細部における変更、省略並びに逸脱、並びに、本発明のその他の形態および細部における種々の変更、省略並びに逸脱は、本発明の範囲から逸脱することなく行うことが可能であることは当業者の理解するところであろう。

本発明による好適なＨｏＡ登録手順を示すブロック図である。 好ましいＨｏＡ登録手順を示すフローチャートである。 本発明による変更されたＨｏＡ登録手順を示すブロック図である。 本発明によるさらに別の変更されたＨｏＡ登録手順を示すブロック図である。

Claims (30)

1. ホームエージェントと共に移動ノードのホームアドレスをネットワークに登録する方法であって、
   前記ホームアドレスの登録を要求する要求を移動ノードによって前記ホームエージェントへ送るステップと、
   前記移動ノードを認証するステップと、
   前記ホームエージェントに前記移動ノードのホームアドレスを格納するステップと、を具備する方法。
2. 前記移動ノードによって前記ホームアドレスを取得するステップをさらに具備する請求項１に記載の方法。
3. 前記要求が、前記移動ノードのネットワークアクセスの識別番号と、前記登録対象のホームアドレスとを含む請求項１に記載の方法。
4. 前記ネットワークアクセスの識別番号に基づいてセキュリティ情報を用いて前記移動ノードを認証する請求項３に記載の方法。
5. 前記移動ノードと前記ホームエージェントとが、前記ネットワークアクセスの識別番号により特定されるセキュリティアソシエーションを共有し、さらに、前記セキュリティアソシエーションに基づいて前記移動ノードを認証する請求項３に記載の方法。
6. 前記要求が、前記認証ステップで使用する移動ノード認証子も含む請求項１に記載の方法。
7. 前記要求が前記認証ステップで使用する移動ノード認証子も含み、さらに、前記セキュリティアソシエーションに基づいて前記移動ノード認証子を計算する請求項５に記載の方法。
8. 前記要求が、前記移動ノードによる前記ネットワークとの現在のアタッチメントポイントを示す前記移動ノードの気付けアドレス（care-of-address）を含む請求項１に記載の方法。
9. 請求項１に記載の方法であって、
   前記認証ステップが呼掛け／応答手順を要求するとき、前記移動ノードへ認証とキーマテリアルとを送り、前記移動ノードが、前記認証と前記キーマテリアルとに基づいて、前記ホームエージェントに移動ノード認証を許すように為すステップをさらに具備する方法。
10. 必要な場合に、前記ホームエージェント内の前記格納済みホームアドレスに基づいて、前記移動ノードがバインディング更新メッセージを続行できるように為す請求項１に記載の方法。
11. 請求項１０に記載の方法であって、
    耐用期間を前記登録済みホームアドレスと関連づけて、前記移動ノードが前記バインディング更新メッセージを続行できる継続期間に限度を設けるように為すステップをさらに具備する方法。
12. 前記移動ノードがバインディング更新メッセージを続行するとき、前記耐用期間をリフレッシュすることができる請求項１１に記載の方法。
13. 前記ホームエージェントに対する移動ノードによる別の要求によって前記耐用期間をリフレッシュすることができる請求項１１に記載の方法。
14. 請求項１に記載の方法であって、
    ハッシュ関数を用いて前記要求を認証するステップをさらに具備する方法。
15. 請求項１に記載の方法であって、
    前記ホームアドレスを示す値と、セキュリティエンジン内のセキュリティ・パラメータ・インデックスとを前記ホームエージェントに格納して、前記ホームエージェントが前記格納値と、前記セキュリティ・パラメータ・インデックスとに基づいてバインディング更新メッセージを認証できるように為すステップをさらに具備する方法。
16. 請求項１に記載の方法であって、前記移動ノードが前記ホームアドレスを所有し、かつ、前記ホームアドレスを使用する権限が与えられていることを前記移動ノードが証明するステップをさらに具備する方法。
17. 前記移動ノードが、前記気付けアドレスを所有し、かつ、前記気付けアドレスを使用する権限が与えられていることを前記移動ノードが証明するステップをさらに具備する請求項８に記載の方法。
18. 前記移動ノードが発見プロセスで前記ホームエージェントを発見し、前記発見されたホームエージェントへ前記ホームアドレスの登録を送る請求項１に記載の方法。
19. ネットワークシステムであって、
    移動ノードと関連するホームアドレスを有する少なくとも移動ノードと、
    前記移動ノードが、前記ホームアドレスの登録を要求する要求を送る送り先であって、前記移動ノードを認証し、前記移動ノードのホームアドレスを前記ホームエージェントに格納するようになっているホームエージェントと、を具備するネットワークシステム。
20. 前記要求が、前記移動ノードのネットワークアクセスの識別番号と、前記登録対象ホームアドレスとを含む請求項１９に記載のネットワークシステム。
21. 前記ホームエージェントが、前記ネットワークアクセスの識別番号に基づいてセキュリティ情報を用いて前記移動ノードを認証する請求項２０に記載のネットワークシステム。
22. 前記移動ノードと、前記ホームエージェントとが、前記ネットワークアクセスの識別番号により特定可能なセキュリティアソシエーションを共有し、さらに、前記セキュリティアソシエーションに基づいて、前記ホームエージェントが前記移動ノードを認証する請求項１９に記載のネットワークシステム。
23. 前記要求が、前記移動ノードによる前記ネットワークとの現在のアタッチメントポイントを示す前記移動ノードの気付けアドレスを含む請求項１９に記載のネットワークシステム。
24. ネットワーク内のホームエージェントであって、前記ネットワークが、前記ホームエージェントへ要求を送ることにより、前記ホームエージェントと共に登録対象ホームアドレスを有する少なくとも１つの移動ノードを具備するホームエージェントにおいて、
    前記要求に応じて前記移動ノードを認証する手段と、
    前記認証に応じて前記ホームアドレスを格納する手段と、を具備するホームエージェント。
25. 前記要求が、前記移動ノードのネットワークアクセスの識別番号と、前記登録対象ホームアドレスとを具備する請求項２４に記載のホームエージェント。
26. 前記認証手段が、前記ネットワークアクセスの識別番号に基づいて前記移動ノードを認証する請求項２５に記載のホームエージェント。
27. 少なくともホームエージェントを具備するネットワーク内の移動通信装置であって、ホームアドレスとネットワークアクセスの識別番号とを有する移動通信装置において、
    前記ホームアドレスの登録要求を前記ホームエージェントへ送るステップを有し、前記要求が前記ネットワークアクセスの識別番号を含み、前記ホームエージェントが、前記ネットワークアクセスの識別番号に基づいて前記移動通信装置を認証することを可能にするように為すことを特徴とする移動通信装置。
28. 発見プロセスで前記移動通信装置により前記ホームエージェントを発見する請求項２７に記載の移動通信装置。
29. 前記ホームエージェントと共に前記ホームアドレスを登録する際に、前記ホームアドレスを所有する移動通信装置であって、前記ホームアドレスを使用する権限が与えられている旨の証明を送るようになっている請求項２７に記載の移動通信装置。
30. 前記要求が移動通信装置認証子をさらに含み、前記認証子に基づいて、前記ホームエージェントが前記移動通信装置の認証を行うことを可能にするように為す請求項２７に記載の移動通信装置。

Images