JP2008509614A - 高速ネットワーク接続機構 - Google Patents

Abstract

移動体ノードによるアクセス網へのインターネットプロトコルアクセスを容易にする方法であって、その方法は、移動体ノード識別子と、インタフェース識別子或はインタフェース識別子を導出する手段とを含み、移動体ノードにより署名されメッセージがその移動体ノードにおいて発信したものであるとして認証されることが可能な接続要求をその移動体ノードからアクセス網のアクセスルータに送信し、そのアクセスルータで前記接続要求を受信し、前記署名を用いて前記メッセージを認証し、前記メッセージの受信と認証に応答して、そのアクセスノードへ委任され、前記アクセスを容易にするために必要とされている、予め定義された一連の作業を実行し、前記アクセスルータからアクセス許可を確認しようとする移動体ノードに対して確認応答を返信することを含む。その確認応答は、ネットワークルーティングプレフィックスと、移動体ノードに対してアクセスルータを認証する手段とを含む。

Description

本発明は、移動体無線ネットワークに高速ネットワーク接続する機構に関する。

移動体無線通信ネットワークにおいて、用語“接続”とは、ユーザ装置がローカル無線ネットワーク（例えば、無線ＬＡＮアクセスポイント）に接続し、少なくともそのネットワークによって提供されているサービスのいくらかを利用することができるようになるための手順について言及している。実際には、この手順は、複数のプロトコル層、例えば、正しい無線周波数の識別、アクセスポイントと通信を可能にする無線層のネゴシエーション、ネットワークアクセス認証と認可の手順、リンク層での機密保護の開始、ＩＰ層におけるルータとアドレスの発見、新しいＩＰアドレスへのモビリティ機構を再設定することなどに関係するものを含んでいる。残念なことに、無線アクセスについての問題における研究の多くが特定の側面にのみ焦点を当ててきたことから、これら作業を完了させるまでの時間と個々の作業の相互作用と全体的な効果はよく理解されていない。

複数プロトコルを相互に関係させることに失敗すると特に影響を受けそうな分野は、異なったネットワークタイプ間のモビリティについての分野である。例えば、この分野についての研究者は、（ビジネス上と法律上との内、少なくともいずれかでの要求のために必要な）リンクについてのアクセス制御を実現しなければならないことについての影響を無視する傾向にあった。実際のユーザはただ、異なるネットワークタイプ間でのモビリティの利点を享受しようとしているだけであり、それゆえ、関連する問題については完全には理解されてなかったか認識されていなかった。

モバイルＩＰは、アクセスネットワーク間を加入者がローミングし、同時に加入者の現在の位置を知らない相手ノードから加入者が到達可能となることを確実とすること、を提供するプロトコルセットである。図１は、モバイルＩＰを実施するためのネットワークアーキテクチャを模式的に図示している。加入者１はネットワーク３のアクセスルータ２に接続されている。モバイルＩＰに基本的なことは、加入者のホームネットワーク５において、加入者１の現在位置（“気付アドレス”として知られているＩＰアドレスによって定義されている現在位置）を知っているホームエージェント４を備え、加入者の固定ＩＰアドレスにあてられたメッセージをその現在位置へルーティングすることを可能にすることである。対応付け情報のメッセージ（binding update message）は、例えば、加入者が新しいアクセスネットワークにローミングする際など、加入者１がホームエージェント４における自らの気付アドレスを更新することを可能にするために用いられている。加入者が自身の気付アドレスを変更するとき、各アクセスネットワーク７に接続している相手ホスト６から続々と送られてくるパケットを加入者に最適な経路を通じてルーティングすることを確実にするため、ルートの最適化手順が呼び出される。ホームネットワーク５に位置する、認証、認可、課金（ＡＡＡ）サーバ８はホームエージェント４と通信する。

インターネットプロトコル・バージョン６（ＩＰｖ６）において、典型的な無線リンクでのネットワーク接続の過程は以下の通りである。

・特定の無線ローカルエリアネットワーク（ＬＡＮ）アクセスポイントを検出して、接続するといったようなリンク層接続。

・アクセス制御手順。８０２．１ＸとＥＡＰといった仕組みがこのために使われる。一般的に、これは３つのＥＡＰ制御メッセージ（ＥＡＰＯＬ−Ｓｕｃｃｅｓｓメッセージにピギーバックされて送られる、アイデンティティ要求、応答、そして成功のメッセージ）と特定の認証方式を含む。単純な認証方法は２つのメッセージで完結するが、多くの方法はより多くのメッセージを必要とする。

・ルータ探知。これは、ノードのためにデフォルトルータを発見し、このリンクのルーティング・プレフィックスを決定するための過程である。最も単純な場合においては、間に待ち時間を伴う２つのメッセージを必要とする。

・重複アドレス検出（ＤＡＤ）。これは移動体ノードがこのリンクで使用するため選択したアドレスが、一意であることを保証するために用いられる。一般的にこれは１つのメッセージと待ち時間を伴う。

・モビリティ管理手順。これはホームエージェント、そして、相手ノード、以前使用していたルータとのメッセージのやりとりを含む。そのやりとりは、一般的にユーザ端末とホームエージェント間でやり取りされる２つのメッセージと、各相手ノードとやりとりされる（部分的には同時に行われる）５つのメッセージと、以前のルータとやりとりされる１つのメッセージからなる。

インターネットプロトコル・バージョン４（ＩＰｖ４）は、ＩＰｖ６とたいていは同様にふるまう。しかし、ルータ探知と、隣接ネットワーク探知と、アドレス自動設定とは、動的ホスト制御プロトコル（Dynamic Host Control Protcol：ＤＨＣＰ）によって代わられている。また、ＤＡＤのサポートはない。ＤＨＣＰは一般的に４つのメッセージを必要としている。モバイルＩＰｖ４はルート最適化の技術を備えておらず、従って、モビリティに関連する、２つだけ追加のメッセージを必要としている。ＩＰｖ４では古いものから新しいアクセスルータへスムーズにハンドオーバするためのサポートはない。

要約すると、ＩＰｖ６では、仮に相手ノードがひとつだった場合に、少なくとも１６個のメッセージと２つの明白な待ち時間が必要となる（しかしながら、これらメッセージのうち４つは並列に送信可能である）。ＩＰｖ４の場合は、その少ない機能とＤＨＣＰの主要な役割のために、メッセージの数は幾分少なくなる。しかしながら、少なくとも１１個のメッセージが依然として必要である。

上で論じたようなシグナリング手順のいくつかを最適化しようとする研究が進行中である。

特に、
・いわゆる“最適化された”ＤＡＤは、ＤＡＤに関連した遅延を回避しようとし、ＤＡＤが完了する前においては仮のアドレスを使うことを許可する。このアプローチの期待できる利点は、１つの待ち時間の削減と、メッセージ送信段階において並列処理が付加的に可能となることである。もうひとつの提案されたアプローチは、ＤＡＤ手順において、ＤＡＤを補助するためにアクセスルータを使うことである。

・最適移動検知（Optimised Movement Detection）は、（ユーザ端末の）移動があったときそれを検知し、新しいネットワークにおけるネットワークパラメータを検出することをより高速にしようと試みる。これはＩＰｖ６のルータ広告（Router Advertisement）と関連した待ち時間の削減のための新しいアルゴリズムを含んでいるが、全体としてのメッセージの量は減少しない。

・階層化モバイルＩＰ（ＨＭＩＰ）は、ホームエージェントと相手ノードに送られる位置更新の数を最小化できるように移動を局所化しようと試みている。
英国特許第２３６７９８６号明細書

これらの最適化アプローチは、主に不要な待ち時間の削減に関心がある。これらのアプローチは、ＨＭＩＰ以外については、必要なシグナリングの量について重大な影響はないように思われる。ＨＭＩＰは、基本的なネットワークアクセス・シグナリングの量を減らさないが、ただシグナリングが通らなければならないパスを短くするのみである。

本発明の目的は、移動体ノードのネットワークアクセスを容易にするために必要なメッセージの数を減らすことである。これは、現在移動体ノードによって実行されている一定の作業をアクセスネットワークのアクセス・ルータに確実に委任することで実現される。

いわゆる委任に基づく機密保護の方式を提供することが本発明の目的である。その方式では、移動体ノードと、それが通信しようとするコアネットワークのいかなるエンティティとのエンド−エンド間でメッセージを送信することよりむしろ、さもなければ移動体ノードでなされなければならないいくつかのタスクについてアクセスルータに委任するための証明書を移動体ノードからアクセスルータへ送信する。

本発明の第一の側面は、アクセス網への移動体ノードによるインターネットプロトコルアクセスを容易にする方法であって、その方法は、
移動体ノード識別子と、インタフェース識別子或は前記インタフェース識別子を導出するための手段を含み、メッセージがその移動体ノードにおいて発信したものであるとして認証されるために前記移動体ノードによって署名された接続要求を前記移動体ノードから前記アクセス網のアクセスルータに送信する工程と、
前記アクセスルータでその接続要求を受信し、前記署名を用いてそのメッセージを認証し、前記メッセージの受信と認証とに応答して、前記アクセスノードへ委任され、前記アクセスを容易にするために必要とされている、予め定義された一連の作業を実行する工程と、
前記アクセスルータからアクセス許可を確認しようとする前記移動体ノードに対して確認応答を返信する工程とを有し、前記確認応答は、ネットワークルーティングプレフィックスと、前記移動体ノードに対して前記アクセスルータを認証する手段を含むことを特徴とする。

本発明を適用する結果、特定のプロトコルと作業に焦点を当てるよりむしろ、全体的なアプローチを用いることで、移動体ノードにネットワーク接続を提供するために要求されるシグナリングメッセージの数を大幅に減らすことができる。それによって、アクセスネットワーク間のほとんどシームレスに近いローミングができることが期待できる。

さて、前記接続要求は、
前記移動体ノードのネットワークアクセス識別子（ＮＡＩ）と、
前記移動体ノード自身の公開鍵と、
前記移動体ノードが受信する意図のあるいずれかのアクセスルータの信頼されたルートと、
前記移動体ノードのホームエージェントのアドレスと、
前記移動体ノードがルート最適化を望む相手ノードのアドレスと、
暗号化アドレス生成（Cryptographically Generated Address：ＣＧＡ）法によって構成されたインタフェース識別子と、
（もし知られているなら）前記アクセスルータのアイデンティティと、
（もし必要なら）無線リンク接続のための所望のパラメータと、
前記移動体ノードだけによって知られた方法によって計算されたクッキーと、
前記移動体ノードの秘密鍵で記された署名と
の内、１つ以上を含むことが好ましい。

また、前記アクセスルータにおける前記接続要求の受信は、前記アクセスルータにおいて、
リンク層接続と、
アクセス制御手順と、
ルータ探知と、
ＩＰアドレス生成と、
重複アドレス検出と
の手順の内、１以上の手順の契機となることが好ましい。

さらに、前記予め定められた一連の作業は、
前記移動体ノードのホームネットワークにおける適切なインフラストラクチュア（ＡＡＡサーバ）にアクセス、認可、課金の手順を実装することと、
前記移動体ノードのために、前記移動体ノードのホームエージェントにおいて情報対応付けを行うことと、
前記移動体ノードの１つ以上の相手ノードに対してルート最適化を実行することとを含むことが好ましい。

本発明の第二の側面は、移動体ノードによるアクセス網へのインターネットプロトコルアクセスを容易にするために前記移動体ノードを動作させる方法であって、前記方法は、移動体ノード識別子と、インタフェース識別子或はインタフェース識別子を導出する手段とを含み、前記移動体ノードにより署名されメッセージが前記移動体ノードにおいて発信したものであるとして認証されることが可能な接続要求を前記移動体ノードから前記アクセス網のアクセスルータに送信する工程を含み、前記メッセージは、前記アクセスルータが前記アクセスノードへ委任され、前記アクセスを容易にするために必要とされている、予め定義された一連の作業を実行するための認可を含むことを特徴とする。

本発明の第三の側面は、移動体ノードによるアクセス網へのインターネットプロトコルアクセスを容易にするために構成されたアクセスルータを動作させる方法であって、前記方法は、
前記アクセスルータで要求を受信し、署名を用いてメッセージを認証し、メッセージの受信と認証に応答して、アクセスノードへ委任され、前記アクセスを容易にするために必要とされている、予め定義された一連の作業を実行する工程と、
前記アクセスルータから、アクセス許可を確認しようとする前記移動体ノードに対して確認応答を返信する工程とを有し、前記確認応答は、ネットワーク（ルーティング）プレフィックスと、前記移動体ノードに対して前記アクセスルータを認証する手段とを含むことを特徴とする。

本発明の第四の側面は、移動体ノードに対して移動体インターネットプロトコルを実装するために構成されたホームエージェントを動作させる方法であって、前記方法は、
アクセスルータから前記移動体ノードのための位置更新メッセージを受信する工程と、
前記移動体ノードのために、アクセスルータが位置更新を行うことを認可する工程と、
前記位置更新を実行する工程とを備えることを特徴とする。

移動体ノードのネットワーク接続手順を最適化する際に、いくつかの基本的な条件が考慮されなければならない。移動体ノードの観点からみると、移動体ノードはアクセスネットワークに対して、アクセス権があることを証明する必要がある。また、移動体ノードは、ホームエージェントに対して、ホームエージェントに保存されている対応付け情報を更新する権利を有することを証明し、相手ノードに対しては、ホームアドレスと気付けアドレスで到達可能であることを証明する必要がある。最後に、移動体ノードは、訪問中のネットワークにおける他のノードに対し、気付けアドレスを“所有”していることを証明する必要がある。他の条件は以下の通りである。

・ローカルルータは移動体ノードに対し、アクセス認証とルータとしての動作能力との両方について、自身の権限を証明する必要がある。

・アクセス、認可、課金機能の（ＡＡＡ）インフラストラクチュアは、（機密保護を確かなものとし、支払いがすぐにされるであろうことを確認するために）移動体ノードが確かに自らであると主張するものであることについての証明を得る必要がある。

・ホームエージェントは、移動体ノードが本当に位置更新を要求したことについて証明を得る必要がある。

ここで提案される効率的なネットワーク接続手順は、以下の基本概念に基づいている。

・ネットワークアクセスのための（その付随する証明書を伴う）一個の要求は、アクセスルータ、ホームエージェント、必要であればＡＡＡインフラストラクチュアから必要な許可を得るために用いられる。

・移動体ノードのためのアドレス創成は別々のノードによってなされる次の２つのステップで実行される。即ち、移動体ノードは、アドレスのインタフェース識別子（ＩＩＤ）部を生成し、暗号化して生成されたアドレス（Cryptographically Generated Addresses）（英国特許２３６７９８６号を参照）またはＥＵＩ−６４アドレス証明書をとおして、そのＩＩＤの所有権を保証する。アクセスルータはアドレスのプレフィックス部を生成することができる。

・ホームエージェント（またはホームＡＡＡサーバ）は移動体ノードに代わって、アクセスルータに対する信頼性と、気付けアドレスを構成することについての正しさを検証するため動作する。

・ホームエージェントは移動体ノードに代わって、相手ノードとのルート最適化を実行するために必要な暗号値である、ホーム“鍵生成（keygen）”トークンを取得するために動作する。

・同様に、アクセスルータは移動体ノードに代わって、気付け鍵生成トークンを取得するために動作することができる。

・サービス拒否攻撃の防止は、その防止手順は余分な遅れを引き起こすだけであるので、その関与するノードが攻撃にさらされている時にのみ用いられる必要がある。

上記の概念に基づく無線リンクプロトコルを創成する様々な方法は数多くある。ひとつの解決法は、以下のメッセージ送信シーケンスからなるものである。

１．ある種のリンク層において、移動体ノードが接続を試みる前に、広告または“ビーコン”メッセージを受信することが可能であるかもしれない。そのようなメッセージが利用可能である場合には、そのメッセージは以下の情報を含む。即ち、
アクセスルータのアイデンティティと、
任意のものとして、アクセスルータの能力と特性である。

２．移動体ノードがリンクに接続準備完了となっているとき、移動体ノードは適切なアクセスルータに対して、“新規接続メッセージ”を送信する。このメッセージは、おそらく証明書の形で移動体ノードより送られた、署名付きステートメントである。そのステートメントは、移動体ノードがアクセスできるようになることを望んでいることを示すともに、以下の情報を含む。

即ち、
移動体ノードのネットワークアクセス識別子（ＮＡＩ）と、
移動体ノード自身の公開鍵と、
移動体ノードが受信する全てのアクセスルータの信頼されたルートと、
移動体ノードのホームエージェントのアドレスと、
移動体ノードがルート最適化を望む相手ノードのアドレスと、
暗号化アドレス生成（Cryptographically Generated Address：ＣＧＡ）法によって構成されたインタフェース識別子（ＩＩＤ）と、
（もし知られているなら）アクセスルータのアイデンティティと、
（もし必要なら）無線リンク接続のための所望のパラメータと、
移動体ノードだけによって知られた方法によって計算されたクッキーと、
移動体ノードの秘密鍵で記された署名とである。

３．一端、アクセスルータでアクセス要求を検査した後（この詳細については後述）、アクセスルータは移動体ノードに確認応答を送信して、ネットワークにアクセスすることを許可する。この確認応答は、アクセスルータに委任された作業を実行したことを示す、アクセスルータより送られた署名付きステートメントである。加えて、その確認応答はホームＡＡＡネットワークがアクセス要求を登録し、そのアクセス網が信頼されるものであることを検証したという、ホームＡＡＡネットワークからの署名付きステートメントを搬送する。その確認応答は、移動体ノードのホームエージェントが移動体ノードの新しい位置情報を登録し、またそのアクセスルータが信頼されていることを検証したという、ホームエージェントからの同様の署名付きステートメントをも搬送する。その確認応答は以下の情報を含む。

即ち、移動体ノードからのクッキーと、
移動体ノードのために割り当てられたネットワークプリフィックスと、
アクセスルータのアイデンティティ及び公開鍵と、
アクセスルータの署名と、
ユーザのホームＡＡＡネットワークの署名と、
ユーザのホームエージェントの署名とである。

４．移動体ノードは確認応答に含まれているクッキーが自らが作成したものであることを検証し、メッセージの署名を検証する（これを行うため、移動体ノードは知られた公開鍵を使っても良い）。署名が正しいと仮定するなら、移動体ノードはデータパケットの送信を開始する。

５．一旦、アクセスルータ、ホームエージェント、相手ノードがルート最適化を確立するために必要とされるモビリティシグナリングを完了させたならば、アクセスルータは移動体ノードに対して、以下の情報を含むメッセージを送信する。即ち、
移動体ノードからのクッキーと、
相手ノードのアドレスと、
アクセスルータの署名とである。

６．移動体ノードは再び、このメッセージに含まれているクッキーが自らが生成したものであることを検証し、そのメッセージの署名を検証する。情報が正しいと仮定するなら、移動体ノードは問題となっている相手ノードに対して送信するデータパケットについてルート最適化を用いはじめる。

一旦、このプロセスが完了したならば、移動体ノードはローカルネットワークに認証されたのであり（おそらく課金記録が作成され）、ホームエージェントによって登録され、すべての相手ノードによって登録されたのである。

移動体ノードが、（ａ）ステップ１から６までが実行されたというアクセスルータからの確認応答を受信したときか、（ｂ）移動体ノードが（楽観的に）データ送信を始めた場合におけるプリフィックス情報を少なくとも受信したときか、或は、（ｃ）アクセスルータが移動体ノードのパケットを発信元ＩＰアドレスのプリフィックス部で満たしたなら、すぐに、データパケットは流れ始める。

公開鍵暗号処理を伴う単一の要求−応答のペアを用いることは、潜在的にサービス拒否（ＤｏＳ）の脆弱性がある。攻撃者が多数の要求を生成し、例えば、アクセスルータのような受信者はその要求が無効であると決定できる前に、多くの計算を実行しなければならない。このＤｏＳ攻撃に対してとられる通常の防御方法は、実際の負荷の高い計算が発生する前に、いくつかの（わずかに）検証されたパケットを交換することである。例えば、インターネット鍵交換（ＩＫＥ）手順はクッキーを交換し、ディフィ−ヘルマン（Diffie-Hellman）またはＲＳＡ計算のどちらかを実行する前に、申告されたＩＰアドレスにおいて実際に相手がパケットを受信できるのかを検証する。

類似した防御法としては、ここで述べられている（一般的に、アクセス網から移動体ノードへのクッキー送信と、移動体ノードによって送信された初期アクセス要求にこのクッキーを含むことが関係する）手順が使われるかもしれない。しかし、比較的まれな問題による遅延を避けるために、その手順に関与するノードは余分な交換を通常は求めない。むしろ、ノードが重い処理負荷にあるか、潜在的にサービス拒否攻撃にさらされていると考える時にのみ、そのことを求める。具体的には、そのような状況では、アクセスルータまたはその背後にあるインフラストラクチュアは、署名を即座に検証することはしないようにできる。その代わりに、オリジナルのメッセージと送信者のクッキーとを含む予備的な応答メッセージを送り、それに自身のクッキーを付加することができる。もし、その要求が正当であるのであれば、送信者はこのメッセージを受信し、予備応答メッセージから得られた付加的なクッキーを伴った要求を再送信することにより応答するであろう。このことにより、少なくとも、問題となっているノードが、知られたＩＰアドレスに存在し、パケットを送受信できることを保証している。この場合、シグナリングシーケンスは以下の通りである。

１．移動体ノードは新しいリンクに接続するとき“新規接続メッセージ”を送信する。

２．そのアクセスルータまたは、その背後にあるインフラストラクチュアノードは追加的な検証を要求する。そのメッセージは以下の情報を含む。即ち、
移動体ノードからのクッキーと、
アクセスルータ（とインフラストラクチュア）ノードからのクッキーとである。

３．移動体ノードは、そのメッセージの中に含まれているクッキーが自らが生成したものであることを検証して、一つの追加的なパラメータ、即ち、アクセスルータ（とインフラストラクチュア）ノードからのクッキーと共に、自身の本来の要求を再送する。

４．この点より先からは、その過程は上記で説明したように継続する。

ネットワーク接続手順のインフラストラクチュアについての部分は、新しいプロトコルを導入するか、既存のものを再利用するかに応じて、様々な方法で実施される。以下に、我々は、アクセスルータにおける望ましい機能の提供について、そして、アクセスルータがどのようにして、ＡＡＡインフラストラクチュア、ホームエージェントそして相手ノードに既存のプロトコルを用いつつ接続するかについての概要のみを記す。

１．ＡＡＡインフラストラクチュアには既存の認証機構を用いて通信する。例えば、アクセスルータはＲＡＤＩＵＳプロトコルのＥＡＰ−ＴＬＳを実行し、クライアントＴＬＳ認証のためにルータ自身の鍵を用いる。証明書の様式の中に移動体ノードの署名付きアクセス要求を含めることによって、ＡＡＡインフラストラクチュアは、移動体ノードがアクセスルータへ認証作業を委任したことを判断できる。

２．このリンクで現在使われているＩＩＤについてアクセスルータ自身のデータベースを保持することにより、或は、移動体ノードに代わってリンクにおけるＩＰｖ６ ＤＡＤ要求を送信することによって、アクセスルータは移動体ノードによって送信されたＩＩＤを検証する。

３．アクセスルータは、自身の公開鍵を使って移動体ノードのホームエージェントに対して自分自身を認証し、そして、上述したように証明書として移動体ノードの署名入り要求を含める。加えて、アクセスルータはネットワークプリフィックス情報を提供する。その後、ホームエージェントは新しい位置を判定し、移動体ノードが本当に移動される要求を行ったことを検証する。その要求がなされる前にアクセスルータのアイデンティティを移動体ノードが知っていたかどうかに従って、ホームエージェントもまた、移動体ノード、アクセスルータ、及びホームエージェントのすべてがアクセスルータのアイデンティティについて合意していることをチェックすることができる。

４．一旦、アクセスルータがＡＡＡインフラストラクチュアとホームエージェントの両方から回答を受信し、その受信したクッキーと署名とを検証したならば、移動体ノードに確認応答を送信し、移動体ノードがネットワークにアクセスすることを許可することにより継続する。

５．ホームエージェントがアクセス要求を承認したとき、同時にホームエージェントは移動体ＩＰｖ６ホームテスト“初期”メッセージをリストにある相手ノードに送信する。同様に、アクセスルータは、気付テスト“初期”メッセージをその同じ相手ノードに送信する。ホームテストメッセージに対する応答は、ホームエージェントからアクセスルータへ送信される。ホームテストメッセージと気付テストメッセージの両方に対して応答されたとき、相手ノードに対応付け情報（Binding Update）を送信するために、アクセスルータは応答から得られた値を結合する。（この交換に関与する他のノードと違って、テスト実行中のホームエージェントとアクセスルータのために継続しているアドレス到達テストに基づいてのみ相手ノードは動作しているので、相手ノードは署名付きステートメントを必要とはしない）。

メッセージフローの概要は図２に示されている。

図示されている手順は、他のインフラストラクチュアノードに対するメッセージを並列的な求めることを含むことで、またさらに最適化されうることが認識されよう。

ここで紹介したモデルはまた、リンク層（無線リンク）の機密保護機構として、例えば、ホストとアクセスルータとの間の暗号化を可能とするために動作することもできる。必要とされたセションキーを導出するために必要な暗号の交換は“新しい接続メッセージ”とその確認応答に組み込むことができる。例えば、ディフィ−ヘルマン（Diffie-Hellman）交換がセションキーにおいて安全に合意するために実行される。

もちろん、確認応答を受信する前に楽観的にデータパケットが送信された場合を仮定するならば、最も簡単な場合において、ここで説明した手順は、無線リンク上でネットワーク接続機構を機密保護された一個のメッセージに対して提供する。いずれにしろ、説明した機構は、移動体ノードに対するネットワーク接続を実行するのに無線リンクで最大で３つのメッセージを必要とする。

本発明の範囲から逸脱することなく、様々な変形が上述した実施例に対してなされることが当業者には認識されるであろう。

模式的に移動体ＩＰを使用している移動体通信システムアーキテクチュアを示す図である。 高速ネットワーク接続手順に関するシグナリングの様子を示す図である。

Claims (7)

1. 移動体ノードによるアクセス網へのインターネットプロトコルアクセスを容易にする方法であって、前記方法は、
   移動体ノード識別子と、インタフェース識別子或はインタフェース識別子を導出する手段とを含み、前記移動体ノードにより署名されメッセージが前記移動体ノードにおいて発信したものであるとして認証されることが可能な接続要求を前記移動体ノードから前記アクセス網のアクセスルータに送信する工程と、
   前記アクセスルータで前記接続要求を受信し、前記署名を用いて前記メッセージを認証し、前記メッセージの受信と認証に応答して、前記アクセスノードへ委任され、前記アクセスを容易にするために必要とされている、予め定義された一連の作業を実行する工程と、
   前記アクセスルータから、アクセス許可を確認しようとする前記移動体ノードに対して確認応答を返信する工程とを有し、
   前記確認応答は、ネットワークルーティングプレフィックスと、前記移動体ノードに対して前記アクセスルータを認証する手段を含むことを特徴とする方法。
2. 前記接続要求は、
   前記移動体ノードのネットワークアクセス識別子と、
   前記移動体ノード自身の公開鍵と、
   前記移動体ノードが受信する意図のあるいずれかのアクセスルータの信頼されたルートと、
   前記移動体ノードのホームエージェントのアドレスと、
   前記移動体ノードがルート最適化を望む相手ノードのアドレスと、
   暗号化アドレス生成（Cryptographically Generated Address）法によって生成されたインタフェース識別子と、
   前記アクセスルータのアイデンティティと、
   無線リンク接続のための所望のパラメータと、
   前記移動体ノードだけによって知られた方法によって計算されたクッキーと、
   前記移動体ノードの秘密鍵で記された署名と
   の内、１つ以上を含むことを特徴とする請求項１に記載の方法。
3. 前記アクセスルータにおける前記接続要求の受信は、前記アクセスルータにおいて、
   リンク層接続と、
   アクセス制御手順と、
   ルータ探知と、
   ＩＰアドレス生成と、
   重複アドレス検出と
   の手順の内、１以上の手順の契機となることを特徴とする請求項１又は２に記載の方法。
4. 前記予め定められた一連の作業は、
   前記移動体ノードのホームネットワークにおける適切なインフラストラクチュアにアクセス、認可、課金の手順を実装することと、
   前記移動体ノードのために、前記移動体ノードのホームエージェントにおいて情報対応付けを行うことと、
   前記移動体ノードの１つ以上の相手ノードに対してルート最適化を実行することとを含むことを特徴とする請求項１乃至３のいずれか１項に記載の方法。
5. 移動体ノードによるアクセス網へのインターネットプロトコルアクセスを容易にするために前記移動体ノードを動作させる方法であって、前記方法は、
   移動体ノード識別子と、インタフェース識別子或はインタフェース識別子を導出する手段とを含み、前記移動体ノードにより署名されメッセージが前記移動体ノードにおいて発信したものであるとして認証されることが可能な接続要求を前記移動体ノードから前記アクセス網のアクセスルータに送信する工程を含み、
   前記メッセージは、前記アクセスルータが前記アクセスノードへ委任され、前記アクセスを容易にするために必要とされている、予め定義された一連の作業を実行するための認可を含むことを特徴とする方法。
6. 移動体ノードによるアクセス網へのインターネットプロトコルアクセスを容易にするために構成されたアクセスルータを動作させる方法であって、
   前記アクセスルータで要求を受信し、署名を用いてメッセージを認証し、メッセージの受信と認証に応答して、アクセスノードへ委任され、前記アクセスを容易にするために必要とされている、予め定義された一連の作業を実行する工程と、
   前記アクセスルータから、アクセス許可を確認しようとする前記移動体ノードに対して確認応答を返信する工程とを有し、
   前記確認応答は、ネットワーク（ルーティング）プレフィックスと、前記移動体ノードに対して前記アクセスルータを認証する手段とを含むことを特徴とする方法。
7. 移動体ノードに対して移動体インターネットプロトコルを実装するために構成されたホームエージェントを動作させる方法であって、
   アクセスルータから前記移動体ノードのための位置更新メッセージを受信する工程と、
   前記移動体ノードのために、アクセスルータが位置更新を行うことを認可する工程と、
   前記位置更新を実行する工程とを備えることを特徴とする方法。

Images