JP2007529763A - ネットワークアプリケーションエンティティのためにユーザーの身元確認を得る方法 - Google Patents

Abstract

本発明は、加入者身元情報を得るネットワークアプリケーション機能のための方法を提供する。本発明のアプリケーションによれば、ＮＡＦは、その加入者の管理を容易にするために、例えば加入者の課金および／またはアクセス制御を成し遂げるために、加入者身元情報を得る。ＮＡＦがアプリケーションサーバープロキシとして動作するときに、それは、加入者身元情報を、それが転送するメッセージの中に挿入することができ、これは、転送されたメッセージを受信するアプリケーションサーバーが、加入者の身元を識別することを容易にする。本発明を実施することは、容易かつ便利であり、かつ、本発明は、更に、既存の関連するフローと互換性を持っている。

Description

本発明は、３Ｇ無線通信技術分野、特に、加入者身元（ｉｄｅｎｔｉｔｙ）情報を得るための一般的な認証アーキテクチャーの中のネットワークアプリケーション機能（ＮＡＦ）のための方法に関する。

３Ｇ無線通信規格において、一般的な認証アーキテクチャー（ＧＡＡ）は、加入者の身元の確認を成し遂げるために、複数のアプリケーションサービスの機能によって用いられる一般的アーキテクチャーである。一般的な認証アーキテクチャーは、アプリケーションサービスの加入者のチェックおよび加入者の身元の確認を成し遂げるために用いられ得る。上記のアプリケーションサービスは、マルチキャスト／ブロードキャストサービス、または加入者認可（ｃｅｒｔｉｆｉｃａｔｅ）サービス、または情報サービスの即時の供給、またはプロキシサービスのいずれかであり得る。例えば、１つのプロキシと関連した、いくつかのサービスの場合、一般的な認証アーキテクチャーは、プロキシをサービスとして同様に処理することができ、かつシステムアーキテクチャーは、フレキシブルであり得る。そして、更に、将来展開される新規なサービスも、一般的な認証アーキテクチャーを用いて、アプリケーションサービスの加入者をチェックして、彼らの身元を確認することができる。

図１は、一般的な認証アーキテクチャーの構成を示している概略図である。一般的な認証アーキテクチャーは、概して、加入者１０１、最初の加入者の身元のチェックおよび確認を実行するブートストラッピングサーバー機能（ＢＳＦ）１０２、ホーム加入者システム（ＨＳＳ）１０３およびＮＡＦ１０４を備えている。ＢＳＦ１０２は、加入者１０１との相互身元チェックを実行し、同時に、ＢＳＦ１０２および加入者１０１によって共有されるキーを生成するように動作する。ＨＳＳ１０３は、プロフィールの中の加入者説明情報を記憶していて、これは、加入者の身元を含む加入者と関連する全ての説明的な情報を含んでいる。加えて、ＨＳＳ１０３は、認証情報を生成するように機能する。ＮＡＦ１０４は、アプリケーションサーバーであってもよい。それは、アプリケーションサーバープロキシであってもよい。アプリケーションサーバープロキシとして動作するとき、それは、アプリケーションサーバー１０５およびアプリケーションサーバー１０６のような、いくつかのアプリケーションサーバーと接続される。

加入者がサービスを必要とするとき、もし加入者が、サービスがＢＳＦでの相互認証プロセスを必要とすることを知っているのであれば、この加入者は、相互認証のために直接ＢＳＦへ行く。さもなければ、加入者は、最初に、このサービスに対応するＮＡＦと接続する。そして、ＮＡＦが、一般的な認証アーキテクチャーを用いていて、身元確認のためにＢＳＦへ行くために加入者を必要とする場合、それは、一般的な認証アーキテクチャーによって、その加入者の身元を確認することを加入者に知らせる。さもなければ、それは、他の関連する処理を実行する。

図２は、一般的な認証アーキテクチャーを用いる既存の技術の身元確認のためのフローチャートである。

ステップ２０１で、加入者は、最初の認証要求メッセージをＢＳＦに送信する。

ＢＳＦは、加入者の認証要求を受信した後に、ステップ２０２で、ＨＳＳから加入者の認証情報およびプロフィールを照会する。

ＨＳＳから照会情報を含む応答メッセージを得たら、ステップ２０３で、ＢＳＦは、認証およびキーの一致（ＡＫＡ）を用いて加入者との相互認証を行うために、得られた情報を用いる。ＢＳＦと加入者が、ＡＫＡプロトコルを用いて相互認証を行った後に、それらは、キーＫｓを共有する。

ステップ２０４で、ＢＳＦは、ブートストラッピング処理アイデンティファイアー（Ｂ−ＴＩＤ）を加入者に割り当てる。このＢ−ＴＩＤは、この加入者専用であり、Ｋｓと関連している。

Ｂ−ＴＩＤを受信したら、ステップ２０５で、加入者は、サービスアプリケーション要求メッセージをＮＡＦに送信するが、この要求メッセージは、Ｂ−ＴＩＤ情報を含んでいる。

ＮＡＦが、加入者によって送信されたＢ−ＴＩＤ情報を含むサービスアプリケーション要求メッセージを受信すると、ステップ２０６で、それは、まずＮＡＦでローカル照会を実行する。照会が成功したら、それは、直接ステップ２０８を実行し、さもなければ、それは、Ｂ−ＴＩＤ照会メッセージをＢＳＦに送信し、それからステップ２０７を実行する。

ＮＡＦから照会メッセージを受信したら、ステップ２０７で、ＢＳＦは、それが、ＮＡＦによって必要なＢ−ＴＩＤを見つけることができれば、ＮＡＦに成功の応答メッセージを送信し、ＮＡＦは、メッセージの内容を記憶して、ステップ２０８を実行する。さもなければ、ＢＳＦは、応答失敗の照会メッセージをＮＡＦに送信して、加入者の情報が入手できないことを知らせる。そして、ＮＡＦは、加入者に、再認証のためにＢＳＦへ行くべきことを知らせ、処理フローを終了する。

成功の応答メッセージは、照会されたＢ−ＴＩＤおよび照会されたＢ−ＴＩＤに対応する加入者と関連する共有キーＫｓ、またはＮＡＦのセキュリティクラスに応じて共有キーＫｓによって生成される派生キーを含んでいる。ここで、ＮＡＦと加入者も、共有キーＫｓまたはその派生キーを共有する。

ステップ２０８で、ＮＡＦは、加入者と通信して、共有キーＫｓまたはＫｓによって生成される派生キーを用いて、以降の通信を保護する。

上記の解決案の欠点は、ＮＡＦがＢＳＦからのＢ−ＴＩＤ情報を照会するときに、ＢＳＦは、もしＢＳＦが情報を見つけることができても、Ｂ−ＴＩＤおよびＢ−ＴＩＤに対応する加入者と関連する共有キーＫｓ、または共有キーＫｓによって生成される派生キーを返すだけである点である。しかし、アプリケーションサーバーまたはアプリケーションサーバープロキシとして働くＮＡＦは、加入者の身元情報を得るための過程に関与しない。従って、それは、加入者の課金情報を集め、かつ／またはサービス層への加入者のアクセスを制御することができない。

上記を鑑みて、本発明の目的は、加入者身元情報を得るための、ネットワークアプリケーション機能（ＮＡＦ）のための方法を提供することであり、これにより、ＮＡＦは、加入者身元情報を得ることができる。

本発明による技術的な解決案は、以下の通りである。

加入者身元情報を得るための、ネットワークアプリケーション機能のための方法において、
前もって認証および加入者によって用いられるブートストラッピング処理アイデンティファイアー（Ｂ−ＴＩＤ）とその身元情報との間の対応する関係をパスした加入者のＢ−ＴＩＤを記憶するステップを有していて、前記ＢＳＦは、加入者の身元の最初の確認を実行するために用いられ、
更に、前記ＢＳＦが、前記ＮＡＦからＢ−ＴＩＤ照会メッセージを受信するときに、前記Ｂ−ＴＩＤ照会メッセージの中に示されていたＢ−ＴＩＤが、前記ＢＳＦの中に記憶されていれば、Ｂ−ＴＩＤおよび加入者身元情報を送信して、前記Ｂ−ＴＩＤはＮＡＦに関連付けされるステップと、必要なＢ−ＴＩＤおよび加入者の識別情報を得て、それらの関係を記憶するステップとを有している。

好ましくは、この方法は、記憶された関係の時間を予め設定して、加入者がＮＡＦとの接続を断つときに、ＮＡＦは、記憶された関係の予め設定された時間が終了したら、Ｂ−ＴＩＤおよび関連する加入者身元情報を削除または禁止するステップを更に有している。

好ましくは、前もって設定された、前記記憶された関係の時間は、Ｂ−ＴＩＤの存続期間である。

好ましくは、前記Ｂ−ＴＩＤ照会メッセージの中に示されていたＢ−ＴＩＤが、前記ＢＳＦの中に記憶されていれば、この方法は、更に、ＢＳＦは、前記加入者身元情報が、前記Ｂ−ＴＩＤ照会メッセージの中に示されていた場合に、以降のステップを実行し続ける。

好ましくは、前記加入者身元情報が、前記Ｂ−ＴＩＤ照会メッセージの中に示されていた場合に、この方法は、更に、オペレータの方針に従って、ＮＡＦに加入者身元情報を返すことを許可することを決めた後に、以降のステップを実行し続ける。

好ましくは、この方法は、前記ＮＡＦが、それが要求する加入者身元情報を得ることに失敗したら、前記ＮＡＦは、それ自身の構成に従って、加入者との通信を続けるべきかどうかを判定するステップを更に有している。

好ましくは、この方法は、前記ＮＡＦが、それが要求する加入者身元情報を得ることに失敗したら、前記ＮＡＦは、それ自身の構成に従って、加入者との通信を続けるべきかどうかを判定するステップを更に有している。

好ましくは、この方法は、前記ＮＡＦが、加入者の身元情報に応じて、加入者の課金および／またはサービスアプリケーション層への加入者のアクセスの制御を実行するステップを更に有している。

好ましくは、前記ＮＡＦは、アプリケーションサーバープロキシまたはアプリケーションサーバーである。

好ましくは、前記ＮＡＦがアプリケーションサーバープロキシである場合、この方法は、ＮＡＦが他のアプリケーションサーバーにメッセージを転送するときに、加入者身元情報を前記メッセージの中に挿入するステップを更に有している。

好ましくは、前記加入者身元情報は、全部のプロフィールまたは加入者の身元と関連するプロフィールの一部、または加入者の身元である。

本発明によって、ＮＡＦは、加入者の身元を得て、加入者のＮＡＦの管理を容易にする、例えば、加入者の課金およびアクセス制御を成し遂げることができ、アクセス制御の助けを借りて、ネットワークの負荷を減らして、ネットワーク資源を最適化することができる。さらにまた、ＢＳＦは、それ自身の方針に従って、ＮＡＦに身元情報を返すかどうかを決めることもでき、これは、本発明が実現している解決案を、よりフレキシブルかつ制御可能にする。ＮＡＦがアプリケーションサーバープロキシとして動作するとき、それは、加入者身元情報を、それが転送するメッセージの中に挿入することができ、これは、転送されたメッセージを受信するアプリケーションサーバーが、加入者の身元を識別することを容易にする。本発明を実施することは、容易かつ便利であり、かつ、本発明は、更に、既存の関連するフローと互換性を持っている。

本発明の技術的な解決案をより明確にするために、本発明が、以下のように詳細に説明される。

図３は、本発明の一般的な認証アーキテクチャーを用いている加入者身元確認のためのフローチャートである。

ステップ３０１で、加入者は、最初の認証要求メッセージをＢＳＦに送信する。

ステップ３０２で、ＢＳＦは、それが加入者の認証要求を受信した後に、ＨＳＳから加入者の認証情報およびプロフィールを照会する。

ＨＳＳからこの情報を含む応答メッセージを得たら、ステップ３０３で、ＢＳＦは、ＡＫＡを用いて加入者との相互認証を行うために、この情報を用いる。ＢＳＦと加入者がＡＫＡプロトコルを用いて相互認証を行った後に、すなわち、互いの身元を認証した後に、それらは、キーＫｓを共有する。

ステップ３０４で、ＢＳＦは、Ｂ−ＴＩＤを加入者に割り当てる。このＢ−ＴＩＤは、この加入者専用で、共有キーＫｓと関連している。

ＢＳＦは、現在、認証および加入者によって用いられるＢ−ＴＩＤと加入者の身元情報との間の対応する関係をパスした加入者によって用いられるＢ−ＴＩＤを記憶している。加入者の身元情報は、加入者の全部のプロフィール、または加入者の身元情報と関連するプロフィールの一部、または加入者の身元のみである。

割り当てられたＢ−ＴＩＤを受信したら、ステップ３０５で、加入者は、サービスアプリケーション要求メッセージをＮＡＦに送信し、この要求メッセージは、Ｂ−ＴＩＤ情報を運ぶ。

ＮＡＦが、加入者によって送信されたＢ−ＴＩＤ情報を含むサービスアプリケーション要求メッセージを受信すると、ステップ３０６で、それは、まずＮＡＦでローカル照会を実行し、照会が成功したら、それは、直接ステップ３０９を実行する。さもなければ、それは、Ｂ−ＴＩＤ照会メッセージをＢＳＦに送信し、それからステップ３０７を実行する。

ＮＡＦから照会メッセージを受信したら、ステップ３０７で、ＢＳＦは、それが、ＮＡＦによって必要なＢ−ＴＩＤを見つけることができれば、ＮＡＦに成功の応答メッセージを送信し、それからステップ３０８を実行する。さもなければ、ＢＳＦは、失敗の照会メッセージをＮＡＦに送信して、加入者の情報が入手できないことを知らせる。そして、ＮＡＦは、加入者に、再認証のためにＢＳＦへ行くべきことを知らせ、処理フローを終了する。

成功の応答メッセージは、Ｂ−ＴＩＤに対応する加入者によって用いられる照会されたＢ−ＴＩＤおよび共有キーＫｓ、またはＮＡＦのセキュリティクラスに応じて共有キーＫｓによって生成される派生キーを含むだけでなく、前記ステップ３０４の対応する関係に応じて得られるＢ−ＴＩＤに対応する加入者身元情報も含む。ここで、ＮＡＦと加入者も、Ｋｓまたはその派生キーを共有する。

ステップ３０８で、ＮＡＦは、上述した成功の応答メッセージの中の加入者身元情報と、加入者のＢ−ＴＩＤ情報との関係を記憶する。

ステップ３０９で、ＮＡＦは、加入者と通信して、共有キーＫｓまたはＫｓによって生成される派生キーによって以降の通信を保護し、同時に、加入者の身元情報に応じて、加入者の課金および／またはサービスアプリケーション層へのアクセスの制御を実行する。

このようにして、ＮＡＦは、加入者身元情報を得る。

加えて、ステップ３０７で、ＢＳＦは、以下のように動作することもできる。

ローカル照会でＮＡＦによって必要なＢ−ＴＩＤを見つけたら、ＢＳＦは、更に、加入者身元情報が必要なことが、ＮＡＦからのＢ−ＴＩＤ照会メッセージの中に明確に示されているかどうかを判定する。もしそうであれば、ＢＳＦは、ＮＡＦによって必要な加入者身元情報を、成功の応答メッセージの中に加える。さもなければ、ＮＡＦに返される成功の応答メッセージは、加入者身元情報を含まない。

そして、この方法は、ＢＳＦが、加入者の身元が必要なことが、ＮＡＦからのＢ−ＴＩＤ照会メッセージの中に明確に示されていると判定した後に、更に以下のステップを有している。ＢＳＦは、オペレータの方針に従って、加入者身元情報をＮＡＦに返すことが許可されるかどうかを判定する。もしそうであれば、成功の応答メッセージは、ＮＡＦによって必要な加入者身元情報を含んでいて、さもなければ、たとえ、ＮＡＦが、Ｂ−ＴＩＤ照会メッセージの中に、加入者の身元およびプロフィール情報が必要なことを明確に示していたとしても、ＢＳＦは、返されるメッセージの中に加入者身元情報を加えることを拒否する。

ＮＡＦが、要求した加入者身元情報を得ることに失敗したら、ＮＡＦは、それ自身の構成に従って、以降のサービスを続行するか、または加入者とのその通信を終了するかを決めることができる。

ＮＡＦが、アプリケーションサーバープロキシとして働いていて、他のサーバーにメッセージを転送するときに、それは、加入者の身元を、それが転送するメッセージの中に挿入する。これにより、受信するアプリケーションサーバーは、加入者を識別することができる。

加えて、加入者が、ＮＡＦの後ろのいくつかのアプリケーションサーバーにアクセスすべきであるときに、ＮＡＦは、それの中に記憶された加入者のプロフィール情報に従って、加入者がアクセスしようとしているサービスに加入しているかどうかを判定することができる。加入者がサービスに加入していなかったら、ＮＡＦは、直接、加入者に、その加入者がサービスを用いる許可を与えられていないことを知らせる。従って、それは、ＮＡＦの背後のアプリケーションサーバーにメッセージを転送する必要はない。このような方法で、ネットワーク資源は最適化される。

加入者がＮＡＦとのその通信をリリースするとき、ＮＡＦは、加入者によって用いられるＢ−ＴＩＤと加入者の身元との間の対応する関係を記憶し続け、記憶している時間は、通常、Ｂ−ＴＩＤの存続期間である。なぜなら、Ｂ−ＴＩＤの存続期間内で、加入者は、Ｂ−ＴＩＤを用いて、ＮＡＦと通信し続けることができるからである。Ｂ−ＴＩＤの時間が過ぎると、加入者の身元は、この加入者の身元に対応するＢ−ＴＩＤが削除されるときに、削除される。または、この加入者の身元に対応するＢ−ＴＩＤが禁止されるときに、禁止される。

上記の説明は、本発明の好ましい実施形態に過ぎず、その保護範囲を限定するために用いられるものではない。本発明の範囲内の全ての変形、等価な代替または改良は、本発明の保護範囲内に含まれるべきである。

一般的な認証アーキテクチャーの構成を示している概略図である。 一般的な認証アーキテクチャーを用いている従来技術の加入者身元確認のためのフローチャートである。 一般的な認証アーキテクチャーを用いている本発明の加入者身元確認のためのフローチャートである。

符号の説明

１０１ 加入者
１０２ ブートストラッピングサーバー機能（ＢＳＦ）
１０３ ホーム加入者システム（ＨＳＳ）
１０４ ネットワークアプリケーション機能（ＮＡＦ）
１０５、１０６ アプリケーションサーバー

Claims (10)

1. 加入者身元情報を得るためのネットワークアプリケーション機能（ＮＡＦ）のための方法において、
   前もって認証および加入者によって用いられるブートストラッピング処理アイデンティファイアー（Ｂ−ＴＩＤ）とその身元情報との間の対応する関係をパスした加入者のＢ−ＴＩＤを記憶するステップを有していて、前記ＢＳＦは、加入者の身元の最初の確認を実行するために用いられ、
   更に、前記ＢＳＦが前記ＮＡＦからＢ−ＴＩＤ照会メッセージを受信したときに、前記Ｂ−ＴＩＤ照会メッセージの中に示されていたＢ−ＴＩＤが前記ＢＳＦの中に記憶されていれば、Ｂ−ＴＩＤおよび加入者身元情報を送信して、前記Ｂ−ＴＩＤはＮＡＦに関連付けされるステップと、
   必要なＢ−ＴＩＤおよび加入者の身元情報を得て、それらの関係を記憶するステップとを有していることを特徴とする方法。
2. 記憶された関係の時間を予め設定して、加入者がＮＡＦとの接続を断つときに、ＮＡＦは、記憶された関係の予め設定された時間が終了したら、Ｂ−ＴＩＤおよび関連する加入者身元情報を削除または禁止するステップを更に有していることを特徴とする請求項１に記載の方法。
3. 前記記憶された関係の時間は、Ｂ−ＴＩＤの存続期間であることを特徴とする請求項２に記載の方法。
4. 前記Ｂ−ＴＩＤ照会メッセージの中に示されていたＢ−ＴＩＤが、前記ＢＳＦの中に記憶されていれば、更に、ＢＳＦは、前記加入者身元情報が、前記Ｂ−ＴＩＤ照会メッセージの中に示されていた場合に、以降のステップを実行し続けることを特徴とする請求項１に記載の方法。
5. 前記加入者身元情報が、前記Ｂ−ＴＩＤ照会メッセージの中に示されていた場合に、更に、オペレータの方針に従って、ＮＡＦに加入者身元情報を返すことを許可することを決めた後に、以降のステップを実行し続けることを特徴とする請求項４に記載の方法。
6. 前記ＮＡＦが、それが要求する加入者身元情報を得ることに失敗したら、前記ＮＡＦは、それ自身の構成に従って、加入者との通信を続けるべきかどうかを判定するステップを更に有していることを特徴とする請求項４または５に記載の方法。
7. 前記ＮＡＦが、加入者の身元情報に応じて、加入者の課金および／またはサービスアプリケーション層への加入者のアクセスの制御を実行するステップを更に有していることを特徴とする請求項１に記載の方法。
8. 前記ＮＡＦは、アプリケーションサーバープロキシまたはアプリケーションサーバーであることを特徴とする請求項１、４または５に記載の方法。
9. 前記ＮＡＦがアプリケーションサーバープロキシである場合、ＮＡＦが他のアプリケーションサーバーにメッセージを転送するときに、加入者身元情報を前記メッセージの中に挿入するステップを更に有していることを特徴とする請求項８に記載の方法。
10. 前記加入者身元情報は、全部のプロフィールまたは加入者の身元と関連するプロフィールの一部、または加入者の身元であることを特徴とする請求項１、４または５に記載の方法。

Images