JP2009507427A - ネットワークリソース使用記録を検証する方法及びシステム - Google Patents

Abstract

課金サービス・プロバイダによりネットワークリソース・アクセスゲートウェイのオペレータから受け取られた課金データを検証できるようにするシステム及び方法。アクセスゲートウェイデバイスは、ネットワーク・ユーザーデバイス及び課金サービス・プロバイダ・システムに結合されている。このネットワーク・ユーザーデバイスは、課金データを生成する。このアクセスゲートウェイデバイスは、受け取られた課金データを、このアクセスゲートウェイデバイスで生成された対応する課金データと比較するように構成されており、また、この受け取られた課金データが、このアクセスゲートウェイデバイスにより生成された課金データと相関関係にある場合には、このアクセスゲートウェイデバイスは、その受け取られた課金データの一部を保存する。

Description

（定義）
ネットワークリソース：ネットワーク上で使用するか、あるいはデジタル伝送により受け渡すために、提供でき、かつ受け入れられる任意のサービス又は任意の設備。実際の達成が或る代替手段により行われる場合でも同様である。インターネット又は他のネットワークのアクセス、データ記憶、データ処理などを含む。
ネットワークリソース・アクセスゲートウェイ（アクセスゲートウェイ）：任意の種類のネットワークリソースへのアクセスを制御するデバイス（又は、デバイスの集まり）（例えば、アクセスポイント、無線ゲートウェイ、ルータ、無線ルータ、スイッチ、アプリケーション・ゲートウェイなど）。
ネットワーク・ユーザーデバイス（デバイス）：ネットワークリソース・アクセスゲートウェイを介してネットワークに接続して、任意のネットワークリソースを利用することのできる任意のネットワーク対応デバイス（例えば、ラップトップ・コンピュータ、ＰＤＡ、スマートフォン、ビデオゲーム機、音楽／ビデオプレーヤ、測定器、デジタルカメラなど）。
ネットワークリソース・ユーザー（ユーザー）：ネットワーク・ユーザーデバイスを使用又は制御して、ネットワークリソース・アクセスゲートウェイを介して、ネットワークリソースにアクセスする任意の個人又はエンティティ（デバイス）。
ネットワークリソース・アクセスゲートウェイ・オペレータ（アクセスゲートウェイ・オペレータ）。１つ又は複数のネットワークリソース・アクセスゲートウェイのオペレータ。
ネットワークリソース使用統計（使用統計）：使用されるネットワークリソースを正確に詳述している、アカウンティング・管理目的で使用されるかもしれない任意データ。
課金データ：送り状を送付するなどして、ネットワークリソースのユーザーに料金を請求する根拠として利用される、また、ネットワークリソース使用統計から成るか、あるいは、少なくとも部分的にネットワークリソース使用統計に基づいて計算された金銭的な（又は、他の）データである任意データ（ただし、符号化される）。
課金サービス・プロバイダ：送り状を送付するなどして、ネットワークリソース・ユーザーに、使用されたネットワークリソースの料金を請求し、また、それに対応して、課金データを用いて、ネットワークリソース・アクセスゲートウェイ・オペレータに当然支払われるべき支払い額を決済するエンティティ。
ネットワークリソースＡＡＡシステム（ＡＡＡシステム）：ネットワークリソース・ユーザーを認証し、個々のネットワークリソースへのネットワークリソース・ユーザーのアクセスを承認（認可）し、利用されたそれらのネットワークリソースのアカウンティングを行うことができるシステムであって、通常、課金サービス・プロバイダにより運営されるシステム。

ネットワークリソース・ユーザー（ユーザー）とのアカウンティング／課金関係を維持する課金サービス・プロバイダとは無関係に、ネットワークリソースのアクセス・インフラを運営するネットワーク環境の数が増えてきている。これは特に、規制されてない無線ネットワーク・アクセス・スペクトラム（例えば、８０２．１１ａ／ｂ／ｇ、など）において起こり、そこでは、独立した「無線ホットスポット」オペレータを介してインターネットにアクセスする無線対応デバイスのユーザーの数が伸びており、さらに、それらの無線ホットスポット・オペレータが、このユーザーの課金サービス・プロバイダと承認及び決済の取決めを持っている。ユーザーが、その無線ホットスポット・オペレータと直接の商業ベースの関係を持っていない場合には、これらの取決めは、しばしば「ローミング協定」として知られている。ユーザーが、無線ホットスポットを介してインターネットにアクセスするときはいつでも、その無線ホットスポットのオペレータ（あるいは、それらの機器）は、通常、ユーザーのＩＤ、最初の接続の日付／時間、使用されるネットワークリソースのタイプ、接続される期間、転送されるデータの量などのような情報を詳述するネットワークリソース使用統計を課金サービス・プロバイダに送り、したがって、その課金サービス・プロバイダが、ユーザーにまちがいなく料金を請求し、さらに、ネットワークリソースのアクセス・インフラの利用に対して、その無線ホットスポットのオペレータに報酬を支払う。このようなアカウンティングのほとんどは、ＲＡＤＩＵＳ（ＲＦＣ２８６５／２８６６）やＤＩＡＭＥＴＥＲ（ＲＦＣ３５８８）などの標準の認証、承認、アカウンティング（ＡＡＡ）プロトコル、暗号化データ転送の規定を含むＣＲＡＮＥ（ＲＦＣ３４２３）、ＣＩＢＥＲ、ＴＡＰ、ＩＰＤＲ（ｉｐｄｒ．ｏｒｇ）などのアカウンティング・プロトコルを利用して、自動的に実行されるが、その無線ホットスポットのオペレータは、それらのシステムを操作して（ソフトウェア及び／又はハードウェアの修正を通じて）、ネットワークリソース使用統計が、それらに有利に誇張されるように（例えば、報告される転送データ量をつり上げたり、接続期間を実際より長く見せたり、あるいは、使用されるリソースのタイプを虚偽報告することなどにより）することも依然として可能である。これは、重大な問題である。なぜなら、課金サービス・プロバイダが、現在の規格や技術を利用しても、この種の詐欺を見破ることはほぼ不可能であるからである。課金サービス・プロバイダは、監査スタイルの抜き打ち検査を実行して、いかなるずさんな報告も見破ろうとすることにほぼ限定されている。上記の抜き打ち検査を実行して、厳密な意味で見破れないと仮定しても、このような抜き打ち検査は、請け負うのに多大の費用を要し、また、特に、ずさんな報告が一定不変でない場合には、そのようなずさんな報告の多くのケースを見落としがちである。ネットワークリソース・ユーザーはまた、この詐欺が甚だしく、かつ、ユーザーが、そのデバイスで作成されたかもしれないどんな接続ログに対してもチェックできる場合を除き、いかなる矛盾にも気づく可能性が極めて低い。課金サービス・プロバイダの影響を受けないアクセスゲートウェイ・オペレータを介して、有料（chargeable）ネットワークリソースにアクセスするネットワーク・ユーザーデバイスのユーザーの数が増加し続けているから、詐欺の可能性が、はるかに重大となっている。

（従来技術）
従来技術は、以下のもっともな理由から、この問題をほとんど扱っていない。伝統的な電気通信モデル（従来の固定回線であれ、携帯電話であれ、またデータ・ネットワーキングであれ、ＩＳＰであれ）では、課金サービス・プロバイダはまた、通常、アクセスゲートウェイ・オペレータでもある。それゆえ、課金サービス・プロバイダは、アクセスゲートウェイにより、ＡＡＡシステムに送られるネットワークリソース使用統計を暗黙のうちに信頼している。いくつかのＩＳＰやバーチャル電気通信オペレータに当てはまるようないくつかのビジネスモデルでは、課金サービス・プロバイダは、アクセスゲートウェイ（例えば、分散されたバンク（bank）のダイヤルイン・モデム、携帯電話の基地局、又は、リモート無線アクセスゲートウェイ）を運営する他の電気通信会社と協定を結んでいる。これらのアクセスゲートウェイを操作して、詐欺的なネットワークリソース使用統計を作成するという状況においては、通常、ほとんで問題とはならない。これは、これらのオペレータが、評判のよい（一般に）大企業であって、保護されるからである。しかしながら、この分野におけるインターネット規格文書の一部の中に含む詐欺の可能性が広く認められており、このような詐欺の可能性から守るのに役立ついくつかの措置が取られてきた。ＩＥＴＦの進行中作業として、例えば、（非特許文献１）を発表して、今日のネットワーク・インフラ（特に、広範に使用されているＲＡＤＩＵＳプロトコルに関して）において依然として可能性のある潜在的詐欺の様々な方法と、いくつかの可能な解決法を強調した。ＩＥＴＦの最新の認証、承認、アカウンティング規格、すなわち、（非特許文献２）は、潜在的なアカウンティング詐欺のいくつかの要素に取り組もうとしている。この規格のセクション１（序説）には、Ａｕｄｉｔａｂｉｌｉｔｙ（監査能力）に関するサブセクションがある。この規格には、ＲＡＤＩＵＳに関する下記のパラグラフがある。

ＲＡＤＩＵＳは、データオブジェクトのセキュリティ機構は定義していない。その結果、信頼されてないプロキシが、見破られずに、属性又はパケット・ヘッダーを修正することがある。これが、能力交渉（capabilities negotiation）のサポートの欠如と組み合わされると、係争の場合に何が行われたか判定することが非常に困難となる。Ｄｉａｍｅｔｅｒの範囲内では、データオブジェクトのセキュリティの実施は必須ではないが、このような能力は、サポートされており、［ＡＡＡＣＭＳ］に記述される。

Ｄｉａｍｅｔｅｒとプロプライエタリ（メーカ独自仕様）の双方の開発において、最近の従来技術は、アクセスゲートウェイと課金サービス・プロバイダとの間の伝送中に、ネットワークリソース使用統計のセキュリティと完全性（integrity）を維持することに焦点を合わせてきた。例えば、Ｄｉａｍｅｔｅｒは、データオブジェクトのセキュリティの任意実装をサポートしているが、Ｄｉａｍｅｔｅｒは、信頼されてない中間プロキシ・サーバーに、そのアカウンティング・データを修正させないために、ただそうしているだけである。Ｄｉａｍｅｔｅｒは、まず第１に、元のアカウンティング・データの正確さをどの程度、保証するか、また、その正確さをどの程度、監査できるかという他の基本的な問題は扱っていない。正当なやり方で認証され、かつ承認されたユーザーに基づいて、アクセスゲートウェイがネットワークリソース使用統計を作成する場合に、この従来技術の利用は、修正を見破れない意味のあるリスクなしで、これらの記録を、課金サービス・プロバイダに送り戻せることを保証するにすぎない。

この従来技術のもとに、図１は、アクセスゲートウェイが、一般に、どのように、ネットワーク・ユーザーデバイスのネットワークリソース使用のアカウンティングを行うか（総体的に）示している。

１）アクセスゲートウェイは、或る種のネットワークリソースへのアクセス（例えば、インターネット・アクセス）を提供する要求を、ネットワーク・ユーザーデバイスから受け取る。通常、このネットワーク・ユーザーデバイスは、この要求の一部として、或る形式のクレデンシャル（例えば、ユーザー名、ハッシュ・パスワード、必要とされるサービスなど）を送る。

２）次に、アクセスゲートウェイは、サービスをユーザーやデバイスに提供できるかどうか判定する要求をＡＡＡシステムに出す。

３）アクセスゲートウェイは、ＡＡＡシステムからの応答を受け取る。この応答が肯定的であれば、このプロセスが継続する。

４）アクセスゲートウェイは、この承認されたネットワークリソースを、ネットワーク・ユーザーデバイスに提供する。アクセスゲートウェイはまた、（通常）、ネットワーク・ユーザーデバイスのネットワークリソース消費のアカウンティングを始めようとすることをＡＡＡシステムに通知する。

５）アクセスゲートウェイは、ネットワークリソース使用統計を記録することで、ネットワーク・ユーザーデバイスのネットワークリソース消費の経過を追いながら、使用が承認されたネットワークリソースに基づいて、ネットワーク・ユーザーデバイスへの／ネットワーク・ユーザーデバイスからのネットワーク・トラフィックを処理する。

６）アクセスゲートウェイは、ネットワーク・ユーザーデバイスから、現在の通信セッションを終了させる要求を受け取る。終了は、ｉ）アクセスゲートウェイのタイマが、その通信セッションをタイムアウトとして終了させるのに充分な非活動期間を記録する。ii）アクセスゲートウェイが、正式の要求なしに、ネットワーク・ユーザーデバイスによる接続の終了を検出すること、iii）その通信セッションを終了させなければならない（例えば、ユーザーの信用限度（credit limit）に達しているために）という通知を、ＡＡＡシステムから受け取ること、iv）アクセスゲートウェイのアドミニストレータが、その通信セッションの終了を指示することを含め、他に代わるべきいくつかの理由からも、終了が行われることがある。

７）アクセスゲートウェイは、ネットワーク・ユーザーデバイスで消費されるネットワークリソースの詳細を含むアカウンティング記録（ネットワークリソース使用統計）を作成して、それを、ＡＡＡシステムに送る。

アクセスゲートウェイとＡＡＡシステムとの間のトラフィックは、任意の数のプロキシ・サーバー間で交わされる。この従来技術は、中間者攻撃及びリプレイ攻撃に耐える伝送プロトコルとエンドツーエンド暗号化とを使用することで、これらの構成要素（コンポーネント）間で伝送されるデータを改ざんさせないようにするのに適切な保護手段であると現在見られているものを提供できる。

アクセスゲートウェイがどこにでもあって、かつだれにでも運営できるような規制されてないＷｉＦｉローミングの進化する世界では、ネットワークリソース使用統計を作成する時点での詐欺の可能性が、大幅に増えてきた。多くのＷｉＦｉ「ホットスポット」オペレータは小企業又は個人であって、必ずしも、より大きい電気通信会社と同一の評判又はクレデンシャルを持つとは限らない。現在、この分野における課金サービス・プロバイダ（例えば、ｉＰａｓｓ、Ｂｏｉｎｇｏなど）として運営されているいくつかの会社は、監査タイプのスポットチェックを使用して、これらの会社が直接又は間接の商業協定を持っている様々なアクセスゲートウェイ・オペレータからのネットワークリソース使用統計の有効性を試験する。このスポットチェック試験のユーザーは、１つ又は複数のセッションに着手して、ネットワーク・ユーザーデバイスから、アクセスゲートウェイを介してネットワークリソースにアクセスし、かつ、このネットワーク・ユーザーデバイスによるネットワークリソース使用の詳細なログを保存することになる。その結果得られたデータを、後で、課金サービス・プロバイダとともにログされたデータと比較して、間違いのないことをチェックする。

１９９９年５月に、Ｚｏｒｎ，Ｇ．氏とＣａｌｈｏｕｎ，Ｐ．氏によるＬｉｍｉｔｉｎｇ Ｆｒａｕｄ ｉｎ Ｒｏａｍｉｎｇ（ローミングにおける詐欺の規制）（ｄｒａｆｔ−ｉｅｔｆ−ｒｏａｍｏｐｓ−ｆｒａｕｄ−ｌｉｍｉｔ−００．ｔｘｔとして入手できる）という論文 ２００３年に発表されたＤｉａｍｅｔｅｒの規格（ＲＦＣ３５８８）

本発明は、特定レベルのネットワークリソース使用の細分性まで正確に、（例えば、課金サービス・プロバイダにより）独立に検証できる課金データを、ネットワークリソース・アクセスゲートウェイ（例えば、無線ルータ又はアクセスサーバー）が確実に生成できるようにするシステム及び方法を提供する。本発明はまた、ネットワークリソース・ユーザーが、それらのネットワークリソース使用を（詐欺的に、あるいは誤って）拒絶しようとするかもしれない場合に、任意のデバイスの接続を終了させるべきかどうかネットワークリソース・アクセスゲートウェイに判定させるシステム及び方法も提供する。

問題の要約
１．図２を参照すると、示されている関係者はそれぞれ、自主的な商業ベースの動機で運営されている。
２．ユーザー（Ｕ）は、自分が知らないし、信頼してもいないアクセスゲートウェイ・オペレータ（Ａ）が、課金サービス・プロバイダ（Ｂ）に送られたユーザーのネットワークリソース使用の記録を膨らまして、自分に対して法外な請求をしようとするのではないかと心配している。しかしながら、ユーザーは、Ｂを信頼することに決めて、Ｂと商業ベースの関係を結んでいる。
３．アクセスゲートウェイ・オペレータは、自分が知らないし、信頼してもいないユーザーが、課金サービス・プロバイダに送られるネットワークリソース使用のアクセスゲートウェイ・オペレータの正確な記録に何とかして疑いをさしはさもうとするのではないかと心配している。しかしながら、アクセスゲートウェイ・オペレータは、Ｂを信頼することに決めて、Ｂと商業ベースの関係を結んでいる。
４．課金サービス・プロバイダは、自主的に、アクセスゲートウェイ・オペレータも、ユーザーも信頼しておらず、自分の責任は、アクセスゲートウェイ・オペレータとユーザーとの間の請求金額を決済することである。ＡとＵの双方が、使用されるネットワークリソースのタイプと数量について合意する（しかも、Ｂが、それらの合意に余分な手を加えたはずがないと確信している）場合には、Ｂは、それらの双方合意を信頼している。

簡単な要約
・ＵはＡを信頼していない。
・ＡはＵを信頼していない。
・ＵはＢを信頼している。
・ＡはＢを信頼している。
・Ｂは、双方合意を実証する場合を除き、自主的に、ＵもＡも信頼していない。

伝達
・Ｕは、直接Ａに伝達できる。
・Ａは、直接Ｕに伝達できる。
・Ｕは、Ａを介してのみＢに伝達できる。
・Ｂは、Ａを介してのみＵに伝達できる。

信頼されていない仲介者を介して情報を渡さなければならないどんな状況でも、潜在的な完全性の問題が発生する。強力な暗号システムを使用しているときでも、ＵとＢ間の伝達、またＢとＵ間の伝達は、様々な形式の置換攻撃（substitution attack）、リプレイ攻撃、又は中間者攻撃を受けやすい。Ａは、そのような攻撃を犯す潜在的な商業ベースの誘因を持つ中間者である。

本発明は、互いに信頼していない２人の取引き関係者が、その取引きの詳細な記録について合意し、また、その記録を、後で、見破られずに修正することができない場合には、その取引きの合意された詳細は、後で、双方の関係者により拒絶できないという前提に基づいている。さらに具体的に言えば、この取引きの詳細が、徐々に変わりつつあり（ネットワークリソースが徐々に消費されるにつれて）、また、いずれかの関係者が、進行中の取引きから一方的に立ち去り（他方の関係者への事前の通知なしに、また他方の関係者の合意なしに、この接続を外すことで）かねないようなネットワークリソース使用の取引きの場合には、どちらの関係者にも拒絶されないと保証されている取引きの記録だけが、その取引きの当時未決定（懸案）の状態について双方の最新の合意である。

それゆえ、本発明は、ネットワークリソースを利用する（例えば、ネットワーク１５、又はネットワーク１５に接続された記憶デバイスの利用）セッション中に消費されるネットワークリソースに関して、アクセスゲートウェイ１１とネットワーク・ユーザーデバイス１３との間の最新の合意状態の経過をアクセスゲートウェイ１１に追わせることができるようにするアクセスゲートウェイ１１の改良を含む。このような動的な合意状態は、そのネットワーク・セッションの間に定期的に更新され、また、アクセスゲートウェイ１１で、後で見破られずに修正することはできない。課金サービス・プロバイダで利用されるＡＡＡシステム１７は、ネットワーク１５を利用して、ユーザー、及び、ネットワークリソースへのユーザーのアクセスを認証する。

図３は、本発明のもとに、従来技術の主要な変更を示している。

段階１〜段階５は、図１に示される従来技術のものとまったく同じである。段階８ａは、ネットワーク・ユーザーデバイスによる明確なセッションの終了がある場合を除き、従来技術の段階６と同一である。この明確なセッションの終了がある場合には、これは、以下で詳述される通りである。段階９は、この従来技術の段階７と同一である。図３には、下記の必要な新たな段階（６ａ、７ａ、１０）も示されている。

６ａ）このセッション中に時おり、一般に約１０秒ごとに（これは、利用されるネットワークリソースの費用や量などのファクタを反映する特定の例の要件に完全に左右されるが）、アクセスゲートウェイは、ネットワーク・ユーザーデバイスから課金データを受け取る。この課金データは、アクセスゲートウェイを介するネットワーク・ユーザーデバイスのネットワークリソース消費の１つ又は複数のパラメータに関してのネットワークリソース使用統計（或る一般に知られている基点（好ましくは、現在セッションの開始）から参照される）のネットワーク・ユーザーデバイス記録に応じて決まる。このアクセスゲートウェイは、この受け取られた課金データ中の１つ又は複数のパラメータを読み取る何らかの手段（例えば、ネットワーク・ユーザーデバイスの公開鍵を用いて、その受け取られた課金データを復号する手段）を持っており、したがって、このアクセスゲートウェイは、これらのパラメータの１つ又は複数が、これらのパラメータのアクセスゲートウェイ自体の記録と相関関係にあるかどうか判定できる。この相関関係（例えば、接続された時間、又は転送されたデータの量の比較）を決定するときに、このアクセスゲートウェイは、その課金データを生成して、送ることに関わる待機時間（レイテンシー）を考慮に入れる。さらに具体的に言えば、これは、ネットワーク・ユーザーデバイスによるデータ処理（符号化を含む）のために発生した遅延（一般に、数ミリ秒から１秒〜２秒まで）、及びネットワーク待機時間を考慮に入れるときに、この受け取られたパラメータ（１つ又は複数）が、アクセスゲートウェイで予想される特定の値域内にあるかどうか判定する必要がある。ときには（例えば、接続時間が、１０秒ごとにネットワークリソースを報告している場合）、その予想される値域は、ただ１つの値にすぎない（すなわち、前述の場合には、このアクセスゲートウェイの現在セッションのタイムカウンタは、切り捨てられて、１０秒の位にそろえられる）。この受け取られた課金データは、アクセスゲートウェイで読取り可能である１つ又は複数のパラメータを含むが、これらのパラメータ（１つ又は複数）を修正することも、代える（前回セッションの課金データの全部又は一部に代えることも含む）こともないように符号化されて、後で、有資格の第３者（例えば、中でも、ネットワーク・ユーザーデバイスで使用されるものに対応する秘密鍵（secret）を所持して、そのデータを符号化するもの）により見破られる可能性のない少なくとも一部分を含まなければならない。適切な符号化方法用の従来技術は充分理解されてはいるが、いくつかの可能な符号化方法を、以下で詳述する。この従来技術では、スポットチェック監査が、接続ログを保存するリモートデバイスを使用して実行されるときに、ネットワークリソース使用のセッションが終了した後までではないが、この従来技術においてアクセスゲートウェイのネットワークリソース使用統計が初めて利用できる（アカウティング記録の形式で）ようになるときのように、同様な比較が企てられる（特定形式の符号化をまったく必要としない）。本発明は、ネットワークリソース使用中に積極的に行われる比較に左右される。これは、使用されるネットワークリソースの量が、普通なら、後で拒絶されるかもしれないからである。このアクセスゲートウェイが、アクティブ・セッション中に（ネットワーク・ユーザーデバイスから）受け取るものと一致しない場合には、このアクセスゲートウェイは、アクティブなネットワークリソース使用を直ちに終了させる。

１）新たに受け取られた課金データに含まれるパラメータ（あるいは、それらのパラメータの任意派生物）が、これらのパラメータのアクセスゲートウェイ自体の記録又は計算と相関関係にない（例えば、ネットワーク・ユーザーデバイスが、ネットワークリソースの消費を実際より少なく見せているようである）ことが、そのアクセスゲートウェイにより決定される場合には、このアクセスゲートウェイは、そのセッションを終了させる。アクセスゲートウェイが、その受け取られたパラメータ（１つ又は複数）に同意する場合には、このアクセスゲートウェイは、その受け取られた課金データ（あるいは、その符号化されたパラメータの少なくとも１つ又は複数）を保存して、引き続き、ネットワーク・ユーザーデバイスにサービスを提供する。

２）アクセスゲートウェイが、予想されるタイムフレーム内で、期待しているパラメータに関する課金データを受け取らない場合には、このアクセスゲートウェイは、そのセッションを終了させる。（例えば、このアクセスゲートウェイは、１０秒の接続時間ごとに、その後で、最新の課金データを得るように求められる。アクセスゲートウェイが、１２秒（ネットワーク・ユーザーデバイスに猶予期間をみておいて、このデータを生成する）後に、また、ネットワーク伝送におけるその後の待機時間の間に、そのようなデータを受け取ってない場合には、このアクセスゲートウェイは、そのセッションを終了させる）。

３）この受け取られた課金データは、適切に符号化された形式で、以下の１つ又は複数から成っているか、あるいは、以下の１つ又は複数を含む。
・ネットワークリソース使用統計の一部又は全部。
・ネットワークリソース使用統計の一部又は全部からの派生。
・ネットワークリソースの消費に関わる（デジタル署名された）支払い又は承認の確認応答（すなわち、Ｘ個購入することに合意している）。例えば、一実施形態では、アクセスゲートウェイは、ネットワーク・ユーザーデバイスが３０分の接続時間を利用したという通知をネットワーク・ユーザーデバイスに送った。それゆえ、このアクセスゲートウェイは、＄１の当然の支払いを確認する必要がある。このような場合、ネットワーク・ユーザーデバイスは、ネットワークリソース使用統計のネットワーク・ユーザーデバイス自体の記録を使用して、３０分の接続が利用されたことを確認する。それゆえ、このネットワーク・ユーザーデバイスは、そのネットワークリソース使用統計を参照する必要はないけれども、＄１の承認を、このアクセスゲートウェイに送る。この承認は、そのネットワークリソース使用に応じて決まることになるが、ただし、そのネットワークリソース使用から直接に得られるとは限らない。

７ａ）段階７ａは、段階６ａの繰返してある。アクセスゲートウェイは、引き続き、このセッション中にネットワーク・ユーザーデバイスから課金データを受け取って、段階６ａに示されるように、その課金データを処理する。その課金データが、アクセスゲートウェイで受け取られる回数は、例や構成によって決まる。一実施形態では、このセッションの承認にて、アクセスゲートウェイは、ネットワークリソース使用統計として、どのパラメータを、また、いくらの回数で追跡すべきかについて、ＡＡＡシステムから通知を受け取る。アクセスゲートウェイはまた、これらのパラメータを、ネットワーク・ユーザーデバイスにも渡す。他の実施形態では、これらのパラメータと回数は、事前設定されて、アクセスゲートウェイ及びネットワーク・ユーザーデバイスに入れられる。

アクセスゲートウェイが、ネットワーク・ユーザーデバイスから、正式のセッション終了通知を受け取る場合には、そのアクセスゲートウェイはまた、１つ又は複数の対応する組の課金データを、他の方法で予想される場合よりも早く受け取る。このアクセスゲートウェイは、これらの課金データを段階６ａと同一のやり方で処理する。

アクセスゲートウェイは、ごく最近に受け取られて、検証された（すなわち、相関関係のある）課金データ、あるいは、それらの課金データの少なくとも予め決めてある部分を、ネットワーク・ユーザーデバイスから受け取られる符号化形式で、ＡＡＡシステムに（直接又は間接に）転送する。

さらに具体的に言えば、この転送されたデータは、このデータがユーザーのネットワーク・ユーザーデバイスからのみ生じたかもしれないこと（さらに、ネットワーク・ユーザーデバイス内で符号化されたどの特定パラメータも修正されてないこと）をＡＡＡシステムが検証できるように、また、検証される必要のある任意の課金データを、アクセスゲートウェイで生成され、さらにＡＡＡシステムにも転送された対応するアカウンティング・データ又は他の課金データと比較するのに充分なデータをＡＡＡシステムが持つように、符号化課金データ（受け取るＡＡＡシステムに対応する形式で転送される）の少なくとも充分な部分を含まなければならない。２つ以上のネットワークリソースが監視されている場合には、複数の組の課金データ（あるいは、それらの課金データの一部）が、アクセスゲートウェイにより、ＡＡＡシステムに転送される。

符号化方法
ネットワーク・ユーザーデバイスから、アクセスゲートウェイで受け取られた課金データを、後で、ＡＡＡシステムで見破られずにアクセスゲートウェイが改ざんすることがないように保証するために、この課金データの少なくとも一部を符号化する特定の方法を使用しなければならない。この課金データは、修正不可能である必要があるパラメータと、このアクセスゲートウェイに知られてない（しかも、求めることが、計算上、不可能である）秘密鍵との双方によって決まる１つ又は複数の変換関数の結果（１つ又は複数）から成るか、あるいは、そのような結果を含まなければならない。この変換関数は、この秘密鍵を知らないで、１つ又は複数の選ばれたパラメータ値に対して、この変換関数の結果を求めることが、計算上、不可能であるような任意の関数であると言える。課金データの符号化部分（１つ又は複数）はまた、前回有効な（符号化された）課金データが再利用される（すなわち、暗号方式では、一般にリプレイ攻撃と呼ばれるようなもので）ことのないようにする手段も取り入れなければならない。このような手段は、例えば、一意のセッション識別子及び／又はタイムスタンプの１つ又は複数を、符号化の前に課金データの一部（１つ又は複数）に取り入れることで、提供できる。このようなリプレイ防止鍵を生成し、管理し、後で、再利用データを確実に見破れるようにする安全方法は、充分理解され、本発明の範囲外のものである。

以下の例は、様々な実装シナリオに対して、代替符号化方法、及び、それらの符号化方法の相対的な利点と欠点とを示している。

非対称（公開鍵）暗号データ符号化
このデータは、ユーザーの秘密鍵を用いて、ネットワーク・ユーザーデバイスにより符号化される。

このデータを、ユーザーの公開鍵を利用して、アクセスゲートウェイが復号ができる。また、この公開鍵は、アクセスゲートウェイに、その実装プロトコルの一部として提供される必要がある。

利点として、ネットワーク上で受け取られる／送られるデータがコンパクトであることと、課金サービス・プロバイダから秘密鍵が漏れる恐れがないことである。

欠点として、そのセッションの開始時に、ユーザーの公開鍵をアクセスゲートウェイに受け渡す必要があることと、現在知られている形式の非対称暗号方式をサポートする処理要求が比較的に高いことである。

デジタル署名されたハッシュを持つ平文
このデータは、平文データ（暗号化されてない）とユーザーの秘密鍵を用いて生成されたデジタル署名されたハッシュを、平文データに付加して、ネットワーク・ユーザーデバイスにより符号化される。

アクセスゲートウェイは、平文データを修正するときには、必ずこのデジタル署名されたハッシュを無効にさせるが、さらなる要件もまったくなく、この平文データを読み取ることができる。このアクセスゲートウェイは、その平文のアクセスゲートウェイ自体のハッシュを生成して、それを、ユーザーの公開鍵（これは、アクセスゲートウェイに、その実装プロトコルの一部として提供される必要があろう）を利用して復号されたデジタル署名されたハッシュと比較すれば、そのデジタル署名されたハッシュの有効性をチェックすることができる。

利点として、性能が、すべての平文データの暗号化よりも潜在的に高くなる。

欠点として、符号化データの長さが長くなり、また、わずかに高いレベルのネットワーク・トラフィックがもたらされる。

対称暗号方式
本発明では、アクセスゲートウェイに知られてない秘密鍵を利用する対称暗号方式が、その受け取られた課金データの一部に符号化方法として使用される（例えば、平文データとともに、平文のハッシュを暗号化するために）が、その対称暗号方式は、好ましい符号化方法ではない。この主な理由は、アクセスゲートウェイが読み取ることのできる部分が相関関係にあっても（例えば、その平文は相関関係にあるかもしれないが、ただし、その暗号化されたハッシュは相関関係にないかもしれない）、その受け取られた課金データがアクセスゲートウェイ自体の課金データと完全に相関関係にあったと、アクセスゲートウェイが確信を持って決定することを不可能にするからである。すべての課金データ（受け取られた課金データと、アクセスゲートウェイにより生成された課金データの両方）が、ＡＡＡシステムに転送されたとすると、詐欺的活動のパターンが拾い上げられ、かつ、その詐欺的活動が、受け取られた課金データを修正する詐欺師アクセスゲートウェイであるか、矛盾する課金データを提出する詐欺師ネットワーク・ユーザーデバイスであるかどうか、複数のセッションにわたって、異なるアクセスゲートウェイを横切って判定することがおそらく可能であろう。ただし、これは、ただ１つのネットワークリソース使用セッションでは可能ではなく、したがって、本発明の価値は、低下することになる。

もちろん、ユーザーが、ネットワークリソースを利用するセッションを開始できる前に、アクセスゲートウェイは、ネットワーク・ユーザーデバイスのユーザーからの接続を認証するために、ＡＡＡシステムとコンタクトを取る。ＡＡＡシステムにより、アクセスゲートウェイが信頼されない（例えば、第３者により運営される）と判定された場合には、認証された接続を確立するプロトコルを供給する必要があろう。しかしながら、このようなプロトコルの詳細は、併記の特許請求の範囲で定義される通りに、本発明を適正に理解するのに必要ではない。

この従来技術により、アクセスゲートウェイが、どのように、ネットワーク・ユーザーデバイスのネットワークリソース使用のアカウンティングを行うか示す。 ネットワーク・アクセス、及びネットワークリソース使用のアカウンティングを実現するシステムとのアクセスゲートウェイの関係を示す概要ブロック図である。 本発明により、アクセスゲートウェイが、どのように、ネットワーク・ユーザーデバイスのネットワークリソース使用のアカウンティングを行うか示す。

符号の説明

１１ アクセスゲートウェイ
１３ ネットワークデバイス
１５ ネットワーク
１７ ＡＡＡシステム

Claims (20)

1. ネットワークリソース・アクセスゲートウェイのオペレータから受け取った課金データを課金サービス・プロバイダにより検証できるようにするシステムであって、
   課金データを生成するネットワーク・ユーザーデバイスと課金サービス・プロバイダ・システムとに結合されているアクセスゲートウェイデバイスであって、受け取った課金データを、前記アクセスゲートウェイデバイスで生成された対応する課金データと比較し、かつ、前記受け取った課金データが、前記アクセスゲートウェイデバイスにより生成された前記課金データと相関関係にある場合には、前記受け取った課金データの予め決めてある部分を保存するように構成されたアクセスゲートウェイデバイスを含むシステム。
2. 前記受け取った課金データを、前記対応する課金データと比較する前に、前記受け取った課金データを復号するデコーダをさらに含む請求項１に記載のシステム。
3. 前記デコーダが、デジタル署名されたハッシュを持つ平文からのデジタル署名されたハッシュの復号化と、非対称暗号データの復号化のいずれかを実行する請求項２に記載のシステム。
4. 独立に検証できる課金データを生成する方法であって、
   課金データを生成するステップと、
   ネットワークリソース使用中に、受け取った課金データを、アクセスゲートウェイにより生成された対応する課金データと比較するステップと、
   前記受け取った課金データが、前記対応する課金データと相関関係にある場合には、前記受け取った課金データの予め決めてある部分を保存するステップと、
   を含む方法。
5. 前記受け取った課金データを、前記対応する課金データと比較する前に、前記受け取った課金データを復号するステップをさらに含む請求項４に記載の方法。
6. 前記復号するステップが、デジタル署名されたハッシュを持つ平文からのデジタル署名されたハッシュの復号化と、非対称暗号データの復号化のいずれかである請求項５に記載の方法。
7. 前記受け取った課金データの前記予め決めてある部分を課金サービス・プロバイダに送るステップをさらに含む請求項４に記載の方法。
8. 前記受け取った課金データが、ごく最近受け取った課金データである請求項７に記載の方法。
9. 潜在的に詐欺的なネットワークリソース使用を回避する方法であって、
   課金データを生成するステップと、
   ネットワークリソース使用中に、受け取った課金データを、アクセスゲートウェイにより生成された対応する課金データと比較するステップと、
   前記受け取った課金データが、前記対応する課金データと相関関係にない場合には、前記ネットワークリソース使用を終了させるステップと、
   を含む方法。
10. 前記受け取った課金データを、前記対応する課金データと比較する前に、前記受け取った課金データの予め決めてある部分を復号するステップをさらに含む請求項９に記載の方法。
11. 前記復号するステップが、デジタル署名されたハッシュを持つ平文からのデジタル署名されたハッシュの復号化と、非対称暗号データの復号化のいずれかである請求項１０に記載の方法。
12. 前記受け取った課金データが前記対応する課金データと相関関係にないという通知を課金サービス・プロバイダに送るステップをさらに含む請求項９に記載の方法。
13. 前記通知が、前記受け取った課金データと、前記対応する課金データの少なくとも１つの予め決めてある部分を含む請求項１２に記載の方法。
14. 前記アクセスゲートウェイが、前記受け取った課金データの前記予め決めてある部分を前記課金サービス・プロバイダに送る請求項１に記載のシステム。
15. 前記受け取った課金データが、ごく最近受け取った課金データである請求項１４に記載のシステム。
16. 潜在的に詐欺的なネットワークリソース使用を回避するシステムであって、
    課金データを生成する手段と、
    前記生成された課金データを受け取って、ネットワークリソース使用中に、前記受け取った課金データを、アクセスゲートウェイにより生成された対応する課金データと比較する手段と、
    前記受け取った課金データが、前記対応する課金データと相関関係にない場合には、前記ネットワークリソース使用を終了させる手段と、
    を含むシステム。
17. 前記受け取った課金データを、前記対応する課金データと比較する前に、前記受け取った課金データの予め決めてある部分を復号する手段をさらに含む請求項１６に記載のシステム。
18. 前記復号する手段が、デジタル署名されたハッシュを持つ平文からのデジタル署名されたハッシュの復号化と、非対称暗号データの復号化のいずれかを実行する請求項１７に記載のシステム。
19. 前記受け取った課金データが前記対応する課金データと相関関係にないという通知を課金サービス・プロバイダに送る手段をさらに含む請求項１６に記載のシステム。
20. 前記送られた通知が、前記受け取った課金データと、前記対応する課金データの少なくとも１つの予め決めてある部分を含む請求項１９に記載のシステム。

Images