JP2006515698A - 通信システム - Google Patents

Abstract

テレコミュニケーションネットワークに使用するためのセキュリティサーバーは、メッセージを受信し、そのメッセージが既知のソースからのものか未知のソースからのものか決定し、その決定の結果に基づいてメッセージを変更し、そしてメッセージをテレコミュニケーションネットワーク内で転送するように構成される。テレコミュニケーションネットワークに使用するためのネットワーク処理要素は、別のネットワーク要素からメッセージを受信し、そのメッセージが変更されたかどうか決定し、その決定の結果に基づいて、メッセージに関して１つ以上のセキュリティチェックを実行するように構成される。

Description

本発明は、テレコミュニケーションネットワークに使用するためのセキュリティサーバー、ネットワーク処理要素、テレコミュニケーションネットワーク、及びテレコミュニケーションネットワークへ到来するメッセージに対してセキュリティチェックを実行する方法に係る。

ワイヤレステレコミュニケーションネットワークを設け、これを横切って移動装置の２人のユーザが通信を行い、又はワイヤレスネットワークから地上ラインへの信号の転送により移動ユーザが固定位置ユーザと通信できるようにすることが知られている。ワイヤレス通信ネットワークの１つの既知の形式は、現在世界中で使用されるようになってきた第三世代パートナーシッププロジェクト（３ＧＰＰ）システムである。このネットワークは、ユニバーサル移動テレコミュニケーションシステム（ＵＭＴＳ）として知られており、これが以前のワイヤレスネットワーク規格に勝る１つの利点は、回路交換（コア）ネットワーク（ＣＳ−ＣＮ）を経て行なわれる音声転送に加えて、パケット交換（コア）ネットワーク（ＰＳ−ＣＮ）を使用して遥かに高いレートのデータ転送を許すことである。ＰＳ−ＣＮは、インターネットに接続することができ、そしてＣＳ−ＣＮは、公衆交換電話ネットワーク（ＰＳＴＮ）及びデジタル総合サービス網（ＩＳＤＮ）に接続することができる。

実際に、ＣＳ−ＣＮの機能は、ＰＳ−ＣＮにおけるＩＰマルチメディアサブシステム（ＩＭＳ）と称されるサブシステムを経て達成される。ＩＭＳは、インターネットのようなＩＰベースのネットワークに接続して、ボイスオーバーＩＰのようなサービスを提供することができる。移動電話のようなユーザ装置（ＵＥ）とＩＭＳとの間、及びＩＭＳの要素間に使用されるシグナリングプロトコルは、セッションイニシエーションプロトコル（ＳＩＰ）である。このプロトコルは、ユーザ登録（例えば、位置及び通信能力）、アドレッシング及びルーティング能力を有する。

ＩＭＳネットワーク内の要素の１つの重要なセットは、コールセッションコントロールファンクション（ＣＳＣＦ）である。これらは、信号を処理し、ワイヤレスユーザセッションを制御すると共に、アドレス変換ファンクション及び加入者プロフィールの取り扱いを実行するという点でサーバーサービスを実行する。ユーザがホームネットワークにいる場合には、サービング−ＣＳＣＦ（Ｓ−ＣＳＣＦ）を経てネットワークがアクセスされ、このサーバーは、セッション制御及びユーザに対する他のサービスを提供する。ユーザがローミングしている場合には、ローミング位置のローカルネットワークが、プロキシー−ＣＳＣＦ（Ｐ−ＣＳＣＦ）を経てアクセスされ、これは、ユーザに対するローカル制御及びサービスを与えると共に、ユーザのＳ−ＣＳＣＦとコンタクトする。Ｓ−ＣＳＣＦ及び必要に応じてＰ−ＣＳＣＦは、勘定ファンクションも実行する。通常、ＩＭＳネットワーク内に多数のＳ−ＣＳＣＦをもつようにされる。

ＣＳＣＦの更に別の形式は、質問ＣＳＣＦ（Ｉ−ＣＳＣＦ）である。このＩ−ＣＳＣＦは、訪問中のユーザがアクセスするためのホームネットワーク内の第１コンタクトポイントである。これは、加入者口座情報及び加入者位置情報を保持するホーム加入者サーバー（ＨＳＳ）と通信するように構成される。Ｉ−ＣＳＣＦは、ＨＳＳにより与えられる情報を使用してＳ−ＣＳＣＦ内の負荷バランスをとるように設定される。これは、他のネットワークからのユーザに対するネットワークへの単一のエントリーポイントを与えるので、他のネットワークのオペレータがＩＭＳネットワークの特定構造を知るのを防止するための手段としてしばしば使用される。

上述した形式のネットワークで生じる問題は、ＩＭＳネットワークの外部からＩ−ＣＳＣＦに到着するメッセージは、必ずしも信頼できるソースからのものでないことである。Ｉ−ＣＳＣＦは、ＨＳＳに関連して機能するので、到来するメッセージが、ＨＳＳに保持された詳細を有するとして識別されたユーザからのものか、ＩＭＳネットワークがローミング合意した別のネットワークの加入者であるユーザからのものか決定することは簡単である。メッセージがこのようなユーザからのものでない場合には、例えば、支払が前納でない限りユーザが支払う必要のあるサービスを提供しないことにより、ネットワークへのアクセスを制限することができる。しかしながら、ＨＳＳにリストされたネットワーク加入者から明らかに発信したものでないメッセージでは、特定の問題が発生する。

ユーザがネットワークの外部からネットワークへアクセスを試みるときには、その要求を発するユーザの識別を含むメッセージがネットワークへ送信される。この識別は、上述したように、ＨＳＳに関連してＩ−ＣＳＣＦによりチェックされる。多くのユーザ識別は周知であり、従って、無許可のユーザでも、ネットワークへアクセス要求を行なうときに公然と知られた識別を採用することができる。この公然と知られた識別がネットワークの加入者に属するものである場合には、その認識のユーザがネットワークの加入者であると決定されても、アクセスは、実際には、その加入者により要求されたものではない。その結果、無許可のユーザがネットワークへアクセスでき、更に、その識別が採用された加入者の口座へもアクセスできてしまう。従って、このような無許可のユーザは、加入者の口座を使用して、著しい勘定額に達することがあり、加入者は、おそらく加入者の翌月の勘定書を受け取るまでそれに気付かない。

同様に、無許可のユーザが、両ネットワーク間のローミング合意に鑑みネットワークの利用が許された別のネットワークの加入者の認識も使用できてしまう。

そこで、公然と知られた加入者識別を使用する無断アクセスのおそれを最小にするテレコミュニケーションネットワークを提供することが要望される。

本発明の第１の態様によれば、テレコミュニケーションネットワークに使用するためのセキュリティサーバーにおいて、メッセージを受信し、そのメッセージが既知のソースからのものか未知のソースからのものか決定し、該決定の結果に基づいてメッセージを変更し、そしてメッセージをテレコミュニケーションネットワーク内で転送するように構成されたセキュリティサーバーが提供される。

本発明の第２の態様によれば、テレコミュニケーションネットワークに使用するためのネットワーク処理要素において、別のネットワーク要素からメッセージを受信し、メッセージが変更されたかどうか決定し、該決定の結果に基づいて、メッセージに関して１つ以上のセキュリティチェックを実行するように構成されたネットワーク処理要素が提供される。

本発明の第３の態様によれば、セキュリティサーバー及びネットワーク処理要素を備えたテレコミュニケーションネットワークにおいて、セキュリティサーバーは、メッセージを受信し、そのメッセージが既知のソースからのものか未知のソースからのものか決定し、該決定の結果に基づいてメッセージを変更し、そしてメッセージをネットワーク処理要素に転送するように構成されたテレコミュニケーションネットワークが提供される。

本発明の第４の態様によれば、テレコミュニケーションネットワークにおいてメッセージのセキュリティチェックを実行する方法であって、メッセージを受信するステップと、そのメッセージが既知のソースからのものか未知のソースからのものか決定し、該決定の結果に基づいてメッセージを変更するステップと、メッセージをテレコミュニケーションネットワーク内で転送するステップとを備えた方法が提供される。

本発明の第５の態様によれば、テレコミュニケーションネットワークに使用するためのセキュリティサーバーにおいて、メッセージを受信し、そのメッセージが既知のソースからのものか未知のソースからのものか決定し、そしてその決定の結果に基づくように、メッセージをテレコミュニケーションネットワーク内で転送するように構成されたセキュリティサーバーが提供される。

本発明の第６の態様によれば、セキュリティサーバー及びネットワーク処理要素を備えたテレコミュニケーションネットワークにおいて、前記セキュリティサーバーは、メッセージを受信し、そのメッセージが既知のソースからのものか未知のソースからのものか決定し、そしてその決定の結果に基づくように、メッセージをネットワーク処理要素に転送するように構成されたテレコミュニケーションネットワークが提供される。

本発明の第７の態様によれば、テレコミュニケーションネットワークにおいてメッセージのセキュリティチェックを実行する方法であって、メッセージを受信するステップと、そのメッセージが既知のソースからのものか未知のソースからのものか決定するステップと、その決定の結果に基づくようにメッセージをテレコミュニケーションネットワーク内で転送するステップとを備えた方法が提供される。

本発明の第８の態様によれば、テレコミュニケーションネットワークに使用するためのセキュリティサーバーにおいて、メッセージを受信し、そのメッセージが既知のソースからのものか未知のソースからのものか決定し、そして該決定の結果に基づいて、メッセージの受信時に行なわれるべきその後の動作を決定するように構成されたセキュリティサーバーが提供される。

本発明の第９の態様によれば、テレコミュニケーションネットワークにおいてメッセージのセキュリティチェックを実行する方法であって、メッセージを受信するステップと、そのメッセージが既知のソースからのものか未知のソースからのものか決定し、そして該決定の結果に基づいて、メッセージの受信時に行なわれるべきその後の動作を決定するステップとを備えた方法が提供される。

以下、添付図面を参照して、本発明の実施形態を一例として詳細に説明する。
本発明の実施形態を説明する前に、ネットワーク間及びネットワーク内に各々存在することのできるＺａ及びＺｂインターフェイスに関して最初に説明する。この説明は、３ＧＰＰ ＴＳ３３．２１０ Ｖ６．０．０（２００２−１２）技術仕様書、リリース６から採用したものである。この仕様書は、技術仕様グループサービス及びシステムアスペクト；３Ｇセキュリティ；ネットワークドメインセキュリティ及びＩＰネットワーク層セキュリティを網羅している。図５は、２つのセキュリティドメインと、これらドメインのエンティティ間のＺａ及びＺｂインターフェイスとを示す。

これらインターフェイスは、ネガティブＩＰベースプロトコルの保護のために定義される。
Ｚａインターフェイス（ＳＥＧ−ＳＥＧ）
Ｚａインターフェイスは、セキュリティドメイン間の全てのＮＤＳ／ＩＰ（ネットワークドメインセキュリティ／インターネットプロトコル）トラフィックを網羅する。ＳＥＧ（セキュリティゲートウェイ）は、ＩＫＥ（インターネットキー交換）を使用して、それらの間の保安ＥＳＰ（カプセル化セキュリティペイロード）トンネルをネゴシエーションし、確立し、そして維持する。ローミング合意を受けて、ＳＥＧ間トンネルは、通常、常時利用できるが、必要に応じて確立することもできる。ＥＳＰは、暗号と、認証／完全性との両方で使用されねばならないが、認証／完全性のみのモードも許される。トンネルは、その後、セキュリティドメインＡとセキュリティドメインＢとの間でＮＤＳ／ＩＰトラフィックを転送するのに使用される。

１つのＳＥＧが、全てのローミングパートナーのあるサブセットだけにサービスするように、専用とすることができる。これは、維持する必要のあるＳＡ及びトンネルの数を制限する。
この仕様に適合する全てのセキュリティドメインが、Ｚａインターフェイスを動作しなければならない。

Ｚｂインターフェイス（ＮＥ−ＳＥＧ／ＮＥ−ＮＥ）
同じセキュリティドメイン内でＳＥＧとＮＥとの間及びＮＥ間にＺｂインターフェイスが配置される。Ｚｂインターフェイスの実施は任意である。実施される場合には、ＥＳＰ＋ＩＫＥを実施しなければならない。

Ｚｂインターフェイスでは、ＥＳＰは、常に、認証／完全性保護と共に使用しなければならない。暗号の使用は、任意である。セキュリティ保護を必要とする全ての制御平面トラフィックに対しＥＳＰセキュリティアソシエーションを使用しなければならない。

セキュリティアソシエーションを必要に応じて確立するか優先的に確立するかは、セキュリティドメインのオペレータが判断することである。その結果、セキュリティアソシエーションは、ＮＥ間のＮＤＳ／ＩＰトラフィックの交換に使用される。

Ｚａインターフェイスを経て確立されるセキュリティポリシーは、ローミング合意を受ける。これは、セキュリティドメインオペレータにより一方的に判断されてＺｂインターフェイスにわたって実施されるセキュリティポリシーとは異なる。

先ず、図１を参照すれば、ＵＭＴＳシステムのＩＭＳネットワーク１が示されている。ＩＭＳネットワーク１内には、Ｉ−ＣＳＣＦ２があって、Ｐ−ＣＳＣＦ４、Ｓ−ＣＳＣＦ６及びＨＳＳ８に接続されている。又、ＨＳＳ８及びＳ−ＣＳＣＦ６は、互いに接続されている。実際には、２つ以上のＳ−ＣＳＣＦがあるが、便宜上、１つしか示されていない。これらの要素は、全て、種々のファンクションを実行するのに適したソフトウェアを備え、そして適当なプログラミングによりネットワークの特定のニーズに対して設定することができる。あるファンクションは、ハードウェアベースでもよい。

各接続部には、Ｚｂインターフェイス１０が破線の楕円で示されている。このインターフェイスは、任意なものであるために破線で示されている。というのは、ネットワークプロバイダーが、それらのネットワーク内にＺｂインターフェイスを使用したくないことがあるためである。

Ｚｂインターフェイスは、これが設けられたときには、ＩＭＳネットワーク１内に接続されたエンティティの各対間に存在するセキュリティインターフェイスである。Ｚｂインターフェイスは、ＩＭＳネットワーク内にしか存在しない。というのは、同じセキュリティドメイン、即ちＩＭＳネットワーク１内のエンティティにしか適用されないからである。Ｚｂインターフェイスの目的は、ＩＭＳネットワーク内で送信されるメッセージに対してセキュリティを与えることである。ＩＭＳネットワーク１は、ＵＭＴＳネットワーク内にあるので、セキュリティプロトコルは、カプセル化セキュリティペイロード（ＥＳＰ）プロトコルによって与えられる。このプロトコルは、それを経て進行するメッセージのデータ完全性のチェックと、データ発信源認証チェックとを行なう。又、Ｚｂインターフェイスは、インターネットキー交換（ＩＫＥ）プロトコルを用いたセキュリティキーも使用する。

Ｚｂインターフェイスが存在する結果として、ＩＭＳネットワーク１内の別のエンティティからメッセージを受信するＩＭＳネットワーク１内のエンティティは、そのメッセージがＺｂインターフェイスを経て来たものであるかどうか（ひいては、セキュリティをクリアしたものであるかどうか）を知る。

図１から明らかなように、Ｉ−ＣＳＣＦ２は、ネットワークの外部から発信されたメッセージにとってＩＭＳネットワーク１へのエントリーポイントであることが図１から明らかである。Ｉ−ＣＳＣＦ２は、ネットワーク外部のセキュリティゲートウェイ（ＳＥＧ）１２に接続され、これを通してメッセージはセキュリティチェック経路を越えてＩＭＳネットワーク１に入ることができる。この経路は、実線の楕円で示されたＺａインターフェイス１４を含む。このＺａインターフェイスは、Ｚｂインターフェイスと動作が同様であるが、ＵＭＴＳネットワークの現在仕が義務付けられる。ＳＥＧ１２は、ＩＭＳネットワーク１とＺａインターフェイス１４との間にゲートウェイファンクションを与える。Ｚａインターフェイスを経てＳＥＧ１２を通って到来するメッセージは、セキュリティチェックされたことがＩ−ＣＳＣＦ２に分かる。

第２ネットワーク１６も図１に示されており、それ自身のＳＥＧ１８を有するように示されている。ネットワーク１６は、ＩＭＳネットワーク１がローミング合意するところのネットワークである。その結果、ネットワーク１６とＩＭＳネットワーク１との間のトラフィックは、Ｚａインターフェイスを経て送信され、従って、受信側ネットワークは、このように受け取られたメッセージがセキュリティをクリアしたものであり且つ許可及び認証されたユーザからのものであると分かる。移動電話２０を有していて、ＩＭＳネットワーク１の加入者であるローミングユーザは、ネットワーク１６にアクセスするための適当な位置にいるものとして示されている。

第２の移動電話２２も図１に示されている。この移動電話２２は、ＩＭＳネットワーク１に直接的に、即ちネットワーク１６のような別のネットワークを通さずに、アクセスするよう試みる。

ネットワークの相対的なサイズ、それらの相対的な位置、及び移動電話の位置は、図１には一例として示されているに過ぎないことを理解されたい。実際には、ＩＭＳネットワーク１は、多数のネットワークとのＺａインターフェイス接続を有するが、便宜上、１つのネットワーク１６しか示されていない。更に、本発明は、ＵＭＴＳネットワーク以外の形式のネットワークにも適用できる。

動作中に、移動電話２０を有するユーザは、ローミング合意によりネットワーク１６にアクセスすることができる。移動電話２０は、ネットワークによりカバーされたエリアへローミングするときにネットワーク１６へのハンドオーバーを要求し、そしてこの技術で良く知られたように接続が与えられる。接続が与えられる前に、許可及び認証手順が実行される。この手順は、パスワードをベースとするチェックや、ユーザと称する個人が実際にユーザであって、その認識を使用する他の誰かでないことを照合する他の適当な照合を含む。許可及び認証チェックが首尾良く行われた場合には、保安チャンネルが使用のために設定される。従って、移動電話２０のユーザが自分のホームネットワークサービスの利用を希望する場合には、その要求がＺａインターフェイスを経てＳＩＰメッセージとして送信され、ＩＭＳネットワーク１は、それらが本物の要求であることを知る。

このようなメッセージは、Ｐ−アサーテッド−認識(P-Asserted-Identity)ヘッダと称される送信者識別ヘッダを含む。送信者が公然と知られたユーザ認識を伴うユーザである場合のこのヘッダのフォーマットは、次の通りである。
＜ｓｉｐ：ｕｓｅｒ１＿ｐｕｂｌｉｃ１＠ｈｏｍｅ１．ｎｅｔ＞

移動電話２２がＩＭＳネットワーク１へ要求を直接送信する場合には、Ｉ−ＣＳＣＦ２は、その要求がＺａインターフェイスを経て来たものではなく、従って、その要求に対してセキュリティチェックが行われていないことを知る。このようなシステムのＰ−アサーテッド−認識ヘッダは、偽のユーザが別のユーザの公然と知られた認識を採用することがあるので、本物として信頼することができない。しかし、従来のシステムでは、このようなメッセージがＳ−ＣＳＣＦ６に処理のために直接通され、Ｓ−ＣＳＣＦは、メッセージが潜在的に問題であることを知らない。Ｚｂインターフェイスを伴う従来のシステムでは、このようなメッセージがＺｂインターフェイスを経て通され、従って、この場合も、Ｓ−ＣＳＣＦは、それを処理するように動作する。その結果、移動電話２２のユーザが実際にＩＭＳネットワーク１の加入者の認識を単に使用する場合に、そのユーザは、加入者の口座へアクセスすることが許されてしまう。

本発明の以下の実施形態は、この問題に対する解決策を説明する。
本発明の第１実施形態では、ＩＭＳネットワーク１内にＺｂインターフェイスが使用されず、従って、メッセージのセキュリティをクリアする手段としてこれを使用することはできない。

この第１の実施形態は、図２ａ及び２ｂのステップで表わされている。先ず、図２ａを参照すれば、プロセスの始めに（３０）、ＳＩＰメッセージがＩ−ＣＳＣＦに受け取られる。このメッセージは、Ｚａインターフェイスを経て受け取られたか、又はネットワークの外部から直接受け取られたものである。ステップ３２では、Ｉ−ＣＳＣＦ２は、これら２つの形態のどちらの場合かを決定する。

その回答がノー（即ち、Ｚａインターフェイスを経て受け取られていないメッセージ）である場合には、Ｉ−ＣＳＣＦ２がステップ３４へ進み、メッセージのＰ−アサーテッド−認識ヘッダに変更がなされる。この実施形態では、メッセージがセキュリティをクリアしていないことを示すパラメータがヘッダに追加される。それ故、上述した例示的ヘッダは、次のフォーマットを有するように変更される。
＜ｓｉｐ：ｕｓｅｒ１＿ｐｕｂｌｉｃ１＠ｈｏｍｅ１．ｎｅｔ＞；ｓｃｒｅｅｎｉｎｇ＝ｎｏ

次いで、Ｉ−ＣＳＣＦは、ステップ３６へ進み、変更されたヘッダを伴うメッセージがＳ−ＣＳＣＦ６へ転送される。
ステップ３２の回答がイエスである場合には、メッセージがＺａインターフェイスを経て到来しており、Ｉ−ＣＳＣＦは、ステップ３６へ直接進み、メッセージに変更を加えずにＳ−ＣＳＣＦ６へメッセージを転送する。

ステップ３８では、メッセージが、本物であるという指示を保持してＳ−ＣＳＣＦに到着する。換言すれば、通常のＰ−アサーテッド−認識ヘッダを伴うメッセージが到着した場合には、Ｓ−ＣＳＣＦ６は、それがセキュリティチェックを通ったことを知る。変更されたＰ−アサーテッド−認識ヘッダを伴うメッセージが到着した場合には、Ｓ−ＣＳＣＦ６は、それがセキュリティチェックを通らなかったことを知る。

Ｓ−ＣＳＣＦ６のその後のファンクションが図２ｂに示されている。Ｓ−ＣＳＣＦ６は、ステップ４０においてメッセージを読み取る。ステップ４２では、メッセージのＰ−アサーテッド−認識ヘッダが、Ｉ−ＣＳＣＦ２により追加されたパラメータを含むかどうか決定される。その回答がノーである場合には、Ｓ−ＣＳＣＦ６はステップ４４へ進み、メッセージを処理する。その回答がイエスである場合には、Ｓ−ＣＳＣＦ６はステップ４６へ進み、メッセージに対する許可及び認証チェックのようなセキュリティチェックを実行する。これらチェックで、メッセージが本物の加入者からのものであると示された場合には、メッセージをその後に通常のものとして処理することができる。メッセージが本物の加入者からのものでないと分かった場合には、Ｓ−ＣＳＣＦは、メッセージを通常のものとして処理せず、むしろ、例えば、支払わねばならないサービスの利用を許さないことにより、それを部分的に処理するだけであると判断することができる。Ｓ−ＣＳＣＦは、メッセージを全く処理しないように判断することができる。従って、メッセージに保持されたＰ−アサーテッド−認識を有する加入者の口座への無断アクセスが回避される。

本発明の第２の実施形態でも、ＺｂインターフェイスがＩＭＳネットワーク１内に使用されず、従って、この場合も、これは、メッセージのセキュリティをクリアする手段として使用することができない。

第２の実施形態が図３ａ及び３ｂのステップにより示されている。先ず、図３ａを参照すれば、プロセスの始めに（５０）、ＳＩＰメッセージがＩ−ＣＳＣＦに受け取られる。このメッセージは、Ｚａインターフェイスを経て受け取られたか、又はネットワークの外部から直接受け取られている。ステップ５２では、Ｉ−ＣＳＣＦ２は、これら２つの形態のどちらの場合かを決定する。

その回答がノー（即ち、Ｚａインターフェイスを経て受け取られていないメッセージ）である場合には、Ｉ−ＣＳＣＦ２がステップ５４へ進み、Ｐ−アサーテッド−認識ヘッダが存在するかどうか調べるチェックがなされ、もしそうであれば、メッセージのＰ−アサーテッド−認識ヘッダに変更がなされる。この実施形態では、メッセージがセキュリティをクリアしていないことを指示するためにＰ−アサーテッド−認識ヘッダが除去される。必要に応じてヘッダの一部分だけを除去することも考えられる。

次いで、Ｉ−ＣＳＣＦは、ステップ５６へ進み、ヘッダを伴わないメッセージがＳ−ＣＳＣＦ６へ転送される。
ステップ５２の回答がイエスである場合には、メッセージがＺａインターフェイスを経て到来しており、Ｉ−ＣＳＣＦは、ステップ５６へ直接進み、メッセージに変更を加えずにＳ−ＣＳＣＦ６へメッセージを転送する。

ステップ５８では、メッセージが、本物であるという指示を保持してＳ−ＣＳＣＦに到着する。換言すれば、通常のＰ−アサーテッド−認識ヘッダを伴うメッセージが到着した場合には、Ｓ−ＣＳＣＦ６は、それがセキュリティチェックを通ったことを知る。Ｐ−アサーテッド−認識ヘッダをもたないメッセージが到着した場合には、Ｓ−ＣＳＣＦ６は、それが信頼性のある発信者のものでないことを知る。

Ｓ−ＣＳＣＦ６のその後のファンクションが図３ｂに示されている。Ｓ−ＣＳＣＦ６は、ステップ６０においてメッセージを読み取る。ステップ６２では、メッセージのＰ−アサーテッド−認識ヘッダが、Ｉ−ＣＳＣＦ２により除去されたかどうか決定される。その回答がノーである場合には、Ｓ−ＣＳＣＦ６はステップ６４へ進み、メッセージを処理する。その回答がイエスである場合には、Ｓ−ＣＳＣＦ６はステップ６６へ進み、メッセージに対する許可及び認証チェックのようなセキュリティチェックを実行する。これらチェックで、メッセージが本物の加入者からのものであると示された場合には、メッセージをその後に処理することができる。メッセージが本物の加入者からのものでないと分かった場合には、Ｓ−ＣＳＣＦは、メッセージを通常のものとして処理せず、むしろ、例えば、支払わねばならないサービスの利用を許さないことにより、それを部分的に処理するだけであると判断することができる。Ｓ−ＣＳＣＦは、メッセージを全く処理しないように判断することができる。従って、メッセージに保持されたＰ−アサーテッド−認識を有する加入者の口座への無断アクセスが回避される。

本発明の第３の実施形態では、ＺｂインターフェイスがＩＭＳネットワーク１内に使用され、セキュリティをクリアする目的でこれを使用することができる。
第３の実施形態が図４ａ及び４ｂのステップにより示されている。先ず、図４ａを参照すれば、プロセスの始めに（７０）、ＳＩＰメッセージがＩ−ＣＳＣＦに受け取られる。このメッセージは、Ｚａインターフェイスを経て受け取られたか、又はネットワークの外部から直接受け取られている。ステップ７２では、Ｉ−ＣＳＣＦ２は、これら２つの形態のどちらの場合かを決定する。ステップ７２の回答は、メッセージがＳ−ＣＳＣＦ６へ転送される仕方を決定する。

その回答がノー（即ち、Ｚａインターフェイスを経て受け取られていないメッセージ）である場合には、Ｉ−ＣＳＣＦ２がステップ７４へ進み、メッセージがＳ−ＣＳＣＦ６へ転送される。メッセージは、直接、即ちＺｂインターフェイスを経ずに転送される。

ステップ７２の回答がイエスである場合には、メッセージがＺａインターフェイスを経て到来しており、Ｉ−ＣＳＣＦは、ステップ７６へ進み、Ｚｂインターフェイスを経てＳ−ＣＳＣＦ６へメッセージを転送する。Ｚｂインターフェイスは、メッセージが送られて来たネットワーク１６によりメッセージが既にチェックされていても、メッセージに対する更に別の内部セキュリティチェックを実行してもよい。

ステップ７８では、メッセージが、本物であることを指示するようにＳ−ＣＳＣＦに到着する。換言すれば、メッセージがＺｂインターフェイスを経て到着した場合には、Ｓ−ＣＳＣＦ６は、それがセキュリティチェックを通ったことを知る。メッセージが直接、即ちＺｂインターフェイスを経ずに到着した場合には、Ｓ−ＣＳＣＦ６は、セキュリティチェックを通っていないことを知る。

Ｓ−ＣＳＣＦ６のその後のファンクションが図４ｂに示されている。Ｓ−ＣＳＣＦ６は、ステップ８０においてメッセージを読み取る。ステップ８２では、メッセージが、Ｉ−ＣＳＣＦ２によりＺｂインターフェイスを経て送信されたかどうか決定される。その回答がイエスである場合には、Ｓ−ＣＳＣＦ６はステップ８４へ進み、メッセージを処理する。その回答がノーである場合には、Ｓ−ＣＳＣＦ６はステップ８６へ進み、メッセージに対する許可及び認証チェックのようなセキュリティチェックを実行する。これらチェックで、メッセージが本物の加入者からのものであると示された場合には、メッセージをその後に処理することができる。メッセージが本物の加入者からのものでないと分かった場合には、Ｓ−ＣＳＣＦは、メッセージを通常のものとして処理せず、むしろ、例えば、支払わねばならないサービスの利用を許さないことにより、それを部分的に処理するだけであると判断することができる。Ｓ−ＣＳＣＦは、メッセージを全く処理しないように判断することができる。従って、メッセージに保持されたＰ−アサーテッド−認識を有する加入者の口座への無断アクセスが回避される。

従って、本発明は、偽のユーザがＩＭＳネットワークの本物のユーザの公然と知られた識別を使用してＩＭＳネットワーク１へのアクセスを試みる問題に対して単独で又は組合せて使用できる多数の解決策を提供することが理解できよう。本発明の実施形態は、移動電話２０のユーザがネットワーク１６の加入者であり且つローミング合意によりＩＭＳネットワーク１を使用することが本物であるために許される場合には、充分等しく機能する。換言すれば、本発明は、本物のユーザと、公然と使用できる識別を使用する本物でないユーザとの間を区別する方法を提供する。

本発明は、上述した特定のネットワーク要素にもＳＩＰプロトコルにも限定されない。移動電話２２は、実際には、ＩＭＳネットワーク１に直接アクセスするように試みず、他のテレコミュニケーションエンティティを経て試みることがあるかもしれない。本発明の範囲内に入る他の実施形態を考えることができ、例えば、セキュリティが確保されないＳＩＰメッセージのヘッダを変更する必要がなく、メッセージの異なる部分を変更することもできる。セキュリティが確保されないメッセージは、パラメータの追加以外の何らかの方法でタグ付けすることができる。おそらくあまり便利ではないが、Ｚａインターフェイスを経て来なかったメッセージではなく、それを経て来たメッセージを変更することもできる。

又、本発明は、偽のユーザにより採用され得るＰ−アサーテッド−認識ヘッダ以外のヘッダをもつメッセージに適用することもできる。それ故、本発明の実施形態は、このような異なる形式のヘッダの変更や、このようなヘッダの削除又は部分削除を組み込むこともできる。

ＩＭＳネットワークと、ネットワークの外部からそこへのアクセスとを概略的に示す図である。 本発明の第１実施形態のフローチャートである。 本発明の第１実施形態のフローチャートである。 本発明の第２実施形態のフローチャートである。 本発明の第２実施形態のフローチャートである。 本発明の第３実施形態のフローチャートである。 本発明の第３実施形態のフローチャートである。 Ｚａ及びＺｂインターフェイスを含む２つのセキュリティドメインを示す図である。

Claims (45)

1. テレコミュニケーションネットワークに使用するためのセキュリティサーバーにおいて、
   メッセージを受信し、
   前記メッセージが既知のソースからのものか未知のソースからのものか決定し、該決定の結果に基づいて前記メッセージを変更し、そして
   前記メッセージを前記テレコミュニケーションネットワーク内で転送する、
   というように構成されたセキュリティサーバー。
2. 前記テレコミュニケーションネットワークの外部からメッセージを受信するように構成された請求項１に記載のセキュリティサーバー。
3. 前記メッセージが既知のソース又は未知のソースから到来したことを示すパラメータを前記メッセージに追加することにより前記メッセージを変更するように構成された請求項１に記載のセキュリティサーバー。
4. 前記セキュリティサーバーは、認識ヘッダを含むメッセージを受信するように構成され、そして更に、前記メッセージの認識ヘッダに前記パラメータを追加するように構成された請求項３に記載のセキュリティサーバー。
5. 前記メッセージは、ＳＩＰメッセージである請求項４に記載のセキュリティサーバー。
6. 前記認識ヘッダは、Ｐ−アサーテッド−認識である請求項４に記載のセキュリティサーバー。
7. 認識ヘッダを含むメッセージを受信するように構成され、そして更に、前記認識ヘッダの少なくとも一部分を除去することにより前記メッセージを変更するように構成された請求項１に記載のセキュリティサーバー。
8. 前記認識ヘッダが特定形式のものであるかどうか検出し、もしそうであれば、前記ヘッダの少なくとも一部分を除去するように構成された請求項７に記載のセキュリティサーバー。
9. 前記メッセージは、ＳＩＰメッセージである請求項７に記載のセキュリティサーバー。
10. 前記認識ヘッダがＰ−アサーテッド−認識形式のものであるかどうか検出するように構成された請求項８に記載のセキュリティサーバー。
11. 前記セキュリティサーバーは、前記メッセージが保安手段を経て受信されたかどうか決定することにより、前記メッセージが既知のソースからのものか未知のソースからのものかを決定するように構成された請求項１に記載のセキュリティサーバー。
12. 前記保安手段は、Ｚａインターフェイスである請求項１１に記載のセキュリティサーバー。
13. 質問コールセッション制御ファンクションである請求項１に記載のセキュリティサーバー。
14. テレコミュニケーションネットワークに使用するためのネットワーク処理要素において、
    別のネットワーク要素からメッセージを受信し、
    前記メッセージが変更されたかどうか決定し、該決定の結果に基づいて、前記メッセージに関して１つ以上のセキュリティチェックを実行する、
    というように構成されたネットワーク処理要素。
15. メッセージの認識ヘッダが追加パラメータを含むかどうか検出することにより、メッセージの認識ヘッダが変更されたかどうか決定するように構成された請求項１４に記載のネットワーク処理要素。
16. 前記メッセージは、ＳＩＰメッセージである請求項１５に記載のネットワーク処理要素。
17. 前記認識ヘッダは、Ｐ−アサーテッド−認識である請求項１５に記載のネットワーク処理要素。
18. メッセージの認識ヘッダの全部が除去されたか一部分が除去されたか決定することによりメッセージが変更されたかどうか決定するように構成される請求項１４に記載のネットワーク処理要素。
19. 前記メッセージはＳＩＰメッセージである請求項１８に記載のネットワーク処理要素。
20. 前記認識ヘッダは、Ｐ−アサーテッド−認識である請求項１８に記載のネットワーク処理要素。
21. サービングコールセッション制御ファンクションである請求項１４に記載のネットワーク処理要素。
22. セキュリティサーバー及びネットワーク処理要素を備えたテレコミュニケーションネットワークにおいて、前記セキュリティサーバーは、
    メッセージを受信し、
    前記メッセージが既知のソースからのものか未知のソースからのものか決定し、該決定の結果に基づいて前記メッセージを変更し、そして
    前記メッセージを前記ネットワーク処理要素に転送する、
    というように構成されたテレコミュニケーションネットワーク。
23. 前記セキュリティサーバーは、前記テレコミュニケーションネットワークの外部からメッセージを受信するように構成された請求項２２に記載のテレコミュニケーションネットワーク。
24. 前記ネットワーク処理要素は、
    前記セキュリティサーバーにより転送されたメッセージを受信し、そして
    前記メッセージが変更されたかどうか決定し、その決定の結果に基づいて、前記メッセージに関して１つ以上のセキュリティチェックを実行する、
    というように構成された請求項２２に記載のテレコミュニケーションネットワーク。
25. テレコミュニケーションネットワークにおいてメッセージのセキュリティチェックを実行する方法であって、
    メッセージを受信するステップと、
    前記メッセージが既知のソースからのものか未知のソースからのものか決定し、該決定の結果に基づいて前記メッセージを変更するステップと、
    前記メッセージを前記テレコミュニケーションネットワーク内で転送するステップと、
    を備えた方法。
26. テレコミュニケーションネットワークに使用するためのセキュリティサーバーにおいて、
    メッセージを受信し、
    前記メッセージが既知のソースからのものか未知のソースからのものか決定し、そして
    前記決定の結果に基づくように、前記メッセージを前記テレコミュニケーションネットワーク内で転送する、
    というように構成されたセキュリティサーバー。
27. 前記テレコミュニケーションネットワークの外部からメッセージを受信するように構成された請求項２６に記載のセキュリティサーバー。
28. 前記メッセージが未知のソースからのものであると決定された場合には、セキュリティを伴わずに前記メッセージを転送するように構成された請求項２６に記載のセキュリティサーバー。
29. 前記メッセージが既知のソースからのものであると決定された場合には、セキュリティを伴って前記メッセージを転送するように構成された請求項２６に記載のセキュリティサーバー。
30. 前記セキュリティは、Ｚｂインターフェイスである請求項２８に記載のセキュリティサーバー。
31. 前記メッセージは、ＳＩＰメッセージである請求項２６に記載のセキュリティサーバー。
32. 質問コールセッション制御ファンクションである請求項２６に記載のセキュリティサーバー。
33. セキュリティサーバー及びネットワーク処理要素を備えたテレコミュニケーションネットワークにおいて、前記セキュリティサーバーは、
    メッセージを受信し、
    前記メッセージが既知のソースからのものか未知のソースからのものか決定し、そして
    前記決定の結果に基づくように、前記メッセージを前記ネットワーク処理要素に転送する、
    というように構成されたテレコミュニケーションネットワーク。
34. 前記セキュリティサーバーは、前記テレコミュニケーションネットワークの外部からメッセージを受信するように構成された請求項３３に記載のテレコミュニケーションネットワーク。
35. 内部セキュリティシステムを更に備え、前記セキュリティサーバーは、
    メッセージが既知のソースからのものであると決定された場合には、前記内部セキュリティシステムを経て前記メッセージを転送し、そして
    メッセージが未知のソースからのものであると決定された場合には、前記内部セキュリティシステムを経て前記メッセージを転送しない、
    というように構成された請求項３３に記載のテレコミュニケーションネットワーク。
36. 前記内部セキュリティシステムは、ＵＭＴＳ指定のセキュリティシステムである請求項３５に記載のテレコミュニケーションネットワーク。
37. 前記内部セキュリティシステムは、Ｚｂインターフェイスである請求項３５に記載のテレコミュニケーションネットワーク。
38. 前記メッセージは、ＳＩＰメッセージである請求項３３に記載のテレコミュニケーションネットワーク。
39. 前記セキュリティサーバーは、メッセージが保安手段を経て受信されたかどうか決定することにより、メッセージが既知のソースからのものか未知のソースからのものかを決定するように構成された請求項３３に記載のテレコミュニケーションネットワーク。
40. 前記保安手段は、ＵＭＴＳ標準セキュリティ手段である請求項３９に記載のテレコミュニケーションネットワーク。
41. 前記保安手段は、Ｚａインターフェイスである請求項３９に記載のテレコミュニケーションネットワーク。
42. 前記セキュリティサーバーは、質問コールセッション制御ファンクションである請求項３３に記載のテレコミュニケーションネットワーク。
43. テレコミュニケーションネットワークにおいてメッセージのセキュリティチェックを実行する方法であって、
    メッセージを受信するステップと、
    前記メッセージが既知のソースからのものか未知のソースからのものか決定するステップと、
    前記決定の結果に基づくように前記メッセージを前記テレコミュニケーションネットワーク内で転送するステップと、
    を備えた方法。
44. テレコミュニケーションネットワークに使用するためのセキュリティサーバーにおいて、
    メッセージを受信し、
    前記メッセージが既知のソースからのものか未知のソースからのものか決定し、そして該決定の結果に基づいて、前記メッセージの受信時に行なわれるべきその後の動作を決定する、
    というように構成されたセキュリティサーバー。
45. テレコミュニケーションネットワークにおいてメッセージのセキュリティチェックを実行する方法であって、
    メッセージを受信するステップと、
    前記メッセージが既知のソースからのものか未知のソースからのものか決定し、そして該決定の結果に基づいて、前記メッセージの受信時に行なわれるべきその後の動作を決定するステップと、
    を備えた方法。

Images