JP2010500803A - アクセス専用キーを提供する方法およびシステム - Google Patents

アクセス専用キーを提供する方法およびシステム Download PDF

Info

Publication number
JP2010500803A
JP2010500803A JP2009523298A JP2009523298A JP2010500803A JP 2010500803 A JP2010500803 A JP 2010500803A JP 2009523298 A JP2009523298 A JP 2009523298A JP 2009523298 A JP2009523298 A JP 2009523298A JP 2010500803 A JP2010500803 A JP 2010500803A
Authority
JP
Japan
Prior art keywords
key
mobile terminal
access
network
function
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2009523298A
Other languages
English (en)
Other versions
JP5054772B2 (ja
Inventor
ファルク ライナー
ホルン ギュンター
クレーゼルベルク ディルク
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Original Assignee
Siemens AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG filed Critical Siemens AG
Publication of JP2010500803A publication Critical patent/JP2010500803A/ja
Application granted granted Critical
Publication of JP5054772B2 publication Critical patent/JP5054772B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/04—Network layer protocols, e.g. mobile IP [Internet Protocol]
    • H04W80/045—Network layer protocols, e.g. mobile IP [Internet Protocol] involving different protocol versions, e.g. MIPv4 and MIPv6
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/02—Terminal devices
    • H04W88/06—Terminal devices adapted for operation in multiple networks or having at least two operational modes, e.g. multi-mode terminals

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

移動端末機(1)とアクセスネットワーク(2)のノードとの間でのデータ伝送を保安するためのアクセス専用キーを提供するための方法であって、前記移動端末機(1)の認証の際に、認証サーバ(4A)がセッションキーを生成し、該セッションキーからベースキーが導出され、インタワーキングプロキシサーバ(7)に伝送され、該インタワーキングプロキシサーバは伝送されたベースキーからアクセス専用キーを導出し、前記アクセスネットワーク(2)のノードに提供する方法。

Description

本発明は、移動端末機とアクセスネットワークノードとの間でのデータ伝送を保安するためのアクセス専用キーを提供する方法およびシステムに関する。
TCP/IPプロトコルを用いるインターネットは、モバイル分野のためにより高度なプロトコルを開発するためのプラットフォームを提供する。インターネットプロトコルは広く普及しているので、相応のプロトコル拡張によってモバイル環境のために、大きな適用範囲を開発することができる。しかしながら従来のインターネットプロトコルは本来的にモバイルでの使用のために構想されていない。従来のインターネットのパケット交換においては、固定のコンピュータ間でパケットが交換され、これらのパケットのネットワークアドレスは変化せず、またこれらのパケットが異なるサブネットワーク間で伝送されることもない。移動端末機ないしモバイルコンピュータを備えた無線ネットワークにおいては、モバイルコンピュータMS(移動局)が種々のネットワークに組み込まれることが多い。DHCP(動的ホスト構成プロトコル；Dynamic Host Configuration Protocol)は、相応のサーバを用いてネットワーク内のコンピュータへのIPアドレスおよび別のコンフィギュレーションパラメータの動的な割当てを実現する。ネットワークにリンクされるコンピュータにはDHCPプロトコルにより任意のIPアドレスが自動的に割り当てられる。モバイルコンピュータにDHCPがインストールされると、このコンピュータはDHCPプロトコルによるコンフィギュレーションをサポートするローカルネットワークのエリア内で動作しなければならない。DHCPプロトコルでは動的なアドレス設定が実現される。すなわち任意のIPアドレスが自動的に所定時間の間、割り当てられる。この時間の経過後には、モバイルコンピュータMSによるリクエストが新たに行われなければならないか、またはIPアドレスを別のやり方で割り当てることができる。
DHCPにより、マニュアルによるコンフィギュレーションを行うことなくモバイルコンピュータMSをネットワークに組み込むことができる。その前提として単にDHCPサーバが提供されれば良い。モバイルコンピュータMSはローカルネットワークのサービスを利用することができ、例えば中央に記憶されているデータファイルを利用することができる。しかしながら、モバイルコンピュータMS自体がサービスを提供する場合には、潜在的なサービスユーザがそのモバイルコンピュータMSを発見することはできない。なぜならば、そのモバイルコンピュータのIPアドレスはモバイルコンピュータが組み込まれるネットワーク毎に変わるからである。同様のことは、IPコネクションが確立されている間にIPアドレスが変わる場合にも発生する。これによりコネクションが中断される。したがってモバイルIPの場合には、モバイルコンピュータMSに他のネットワークにおいても維持されるIPアドレスが割り当てられる。従来のIPネットワーク変化の場合には、IPアドレス設定を相応に適合させることが必要であった。IPアドレスおよび従来の自動的なコンフィギュレーションメカニズムが恒常的に適合される場合、確立しているコネクションがIPアドレスの変更の際に遮断される。MIPプロトコル(RFC2002，RFC2977，RFC3344，RFC3846，RFC3957，RFC3775，RFC3776，RFC4285)は移動端末機MSのモビリティをサポートする。従来のIPプロトコルにおいては、移動端末機MSは、IPサブネットワークが変化する都度、自身のIPアドレスを適合させなければならなかった。これは移動端末機MSにアドレッシングされたデータパケットを正確にルーティングするためである。確立したTCPコネクションを維持するために、移動端末機MSは自身のIPアドレスを保持しなければならない。なぜならば、アドレス変更によりコネクションが遮断されるからである。MIPプロトコルにより2つのアドレス間で、すなわち恒久的なホームアドレスと一時的な気付アドレス(Care-Of-Address)との間でトランスパレントなコネクションが実現される。気付アドレスとは、その時点において移動端末機MSにアクセスすることができるIPアドレスである。
ホームエージェント(Home Agent)HAは、移動端末機MSが本来のホームネットワーク内に存在しない場合における、この移動端末機MSのエージェントである。ホームエージェントにはモバイルコンピュータMSの現在地に関する情報が恒常的に通知される。ホームエージェントHAは通常の場合、移動端末機のホームネットワーク内のルータの構成要素である。移動端末機MSがホームネットワーク外に存在する場合には、ホームエージェントHAは移動端末機MSがログインできる機能を提供する。この場合ホームエージェントHAは、この移動端末機MSにアドレッシングされたデータパケットを、移動端末機MSの現在のサブネットワークに転送する。
フォーリンエージェント(Foreign Agent)FAは、移動端末機MSが移動しているサブネットワーク内に存在する。フォーリンエージェントFAは到来したデータパケットを移動端末機MSないしモバイルコンピュータMSに転送する。フォーリンエージェントFAはいわゆるフォーリンネットワーク(訪問先のネットワーク)内に存在する。フォーリンエージェントFAも通常の場合、ルータの構成要素である。フォーリンエージェントFAはすべての管理モバイルデータパケットを、移動端末機MSとそのホームエージェントHAとの間でルーティングする。フォーリンエージェントFAはホームエージェントHAから送信され、トンネリングされたIPデータパケットをアンパックし、そのデータを移動端末機MSに転送する。
移動端末機MSのホームアドレスは、この移動端末機MSに恒常的にアクセスすることができるアドレスである。ホームアドレスは、ホームエージェントHAと同一のアドレスプレフィクスを有する。ここで気付アドレスは、移動端末機MSがフォーリンネットワークにおいて使用するIPアドレスである。
ホームエージェントHAはいわゆるモビリティ結合テーブル(MBT: Mobility Binding Table)を管理する。このテーブル内のエントリは、移動端末機MSの2つのアドレス、すなわちホームアドレスと気付アドレスを相互に対応付け、データパケットを相応にリルートするために使用される。
MBTテーブルはホームアドレス、気付アドレス、およびこの対応付けが有効である期間(ライフタイム)についての情報に関するエントリを含む。
図１は、従来技術によるモビリティ結合テーブルMBTの一例を示す。
フォーリンエージェントFAは、訪問者リストないしビジターリスト(VL：Visitor List)を有し、このリストはその時点においてフォーリンエージェントFAのIPネットワーク内に存在する移動端末機MSに関する情報を包含する。
図２は、従来技術によるその種の訪問者リストの一例を示す。
モバイルコンピュータMSをネットワークに組み込むためには、モバイルコンピュータMSは先ず自身がホームネットワーク内にいるのか外部ネットワーク内にいるのかを識別しなければならない。付加的に移動端末機MSは、サブネットワーク内のどのコンピュータがホームエージェントもしくはフォーリンエージェントであるかを識別しなければならない。これらの情報はいわゆるエージェント発見(Agent Discovery)によって求められる。
続く登録によって移動端末機MSは自身の現在地を自身のホームエージェントHAに通知することができる。このためにモバイルコンピュータないし移動端末機MSはホームエージェントに目下の気付アドレスを送信する。登録のためにモバイルコンピュータMSは登録リクエスト(Registration-Request)ないし登録要求をホームエージェントに送信する。ホームエージェントHAは気付アドレスを自身のリストに登録し、登録リプレイ(Registration Reply)ないし登録応答により応答する。もっともこの場合、安全性に関する問題が存在する。原理的にはいずれのコンピュータもホームエージェントHAに登録リクエストを送信することができるので、簡単にホームエージェントHAに、コンピュータが別のネットワーク内を移動しているかのように認識させることができてしまう。つまり外部のコンピュータはモバイルコンピュータないし移動端末機のすべてのデータパケットを受け取ることが可能であり、このことを送信器が識別することもない。これを阻止するために、モバイルコンピュータMSおよびホームエージェントHAは共通の秘密キーを使用する。モバイルコンピュータMSが自身のホームネットワークに戻ると、このモバイルコンピュータMSはホームエージェントHAにおける登録が抹消される。なぜならばモバイルコンピュータMSはすべてのデータパケットを自身で受け取ることができるからである。モバイル無線ネットワークはことに以下のセキュリティ特性を有していなければならない。情報に対するアクセスは所望の通信パートナに対してのみ許可される。すなわち伝送されるデータに対して不所望な傍受者によるアクセスは許可されない。したがってモバイル無線ネットワークは秘匿(Confidentiality)特性を有していなければならない。さらに認証性が与えられていなければならない。認証性(Authenticity)により通信パートナは、所望の通信パートナとの通信が実際に確立されたか、または部外者が通信パートナと称しているかを一義的に識別することができる。認証をメッセージ毎またはコネクション毎に実施することができる。コネクションを基礎として認証が行われる場合には、セッション(Session)の開始時に一度だけ通信パートナが識別される。セッションのさらなる経過に関しては、後続のメッセージが依然として相応の送信器に由来することが前提とされる。もちろん、通信パートナの同一性が確定されている場合であっても、すなわち通信パートナが認証されている場合であっても、この通信パートナはすべてのリソースへのアクセスが許可されない、もしくはネットワークを介するすべてのサービスの利用が許可されない場合もある。この場合においては、相応の許可はこの通信パートナが前もって認証されることを前提とする。
モバイルデータネットワークにおいては、メッセージがエアインタフェースを介して比較的長い区間を伝送されるので、潜在的な攻撃者はこれらのメッセージに容易にアクセスすることができる。したがってモバイル無線データネットワークにおいてはセキュリティの側面が非常に重要な役割を担う。データネットワークにおける安全性を高めるための重要な手段は暗号化技術である。暗号化によって、権限のない第三者がデータにアクセスできることなく、保安されていない通信経路、例えばエアインタフェースを介してデータを伝送することができる。暗号化のためにデータ、すなわちいわゆる平文が暗号化アルゴリズムにより暗号文に変換される。この暗号文を保安されていないデータ伝送チャネルを介して伝送し、続けて復号ないし解読することができる。
非常に有望な無線アクセス技術としてWiMax(Worldwide Interoperability for Microwave Access)が新たな標準として提案されており、これはIEEE802.16無線伝送のために使用される。WiMaxにより送信局は100Mbit/秒のデータレートで50kmまでの領域をカバーすることができる。
図３は、WiMax無線ネットワークに関する基準モデルを示す。移動端末機MSは、アクセスネットワーク(ASN：Access Serving Network)内に存在する。アクセスネットワークASNは少なくとも１つの訪問先ネットワーク(VCSN：Visited Connectivity Service Network)ないし中間ネットワークを介してホームネットワークHCSN(Home Connectivity Service Network)と接続されている。種々異なるネットワークがインタフェースないし基準点Rを介して相互に接続されている。移動局MSのホームエージェントHAは、ホームネットワーク(HCSN)または訪問先ネットワーク(VCSN)内に存在する。
WiMaxは、モバイルIPの2つの実現バリエーションを支援する。すなわち、移動局MS自体がMIPクライアント機能を実現するクライアントMIP(CMIP)と、MIPクライアント機能がWiMaxアクセスネットワークASNによって実現されているプロキシMIP(PMIP)の2つである。このためにASN内に設けられている機能性はプロキシモバイルノード(PMN)またはPMIPクライアントと称される。これによって自身ではMIPをサポートしない移動局MSもMIPを使用することができる。
図４は、ホームエージェントHAが訪問先ネットワークVCSN内に存在する場合の従来技術によるプロキシMIP(PMIP)におけるコネクション確立を示す。
移動端末機MSと基地局BSとの間の無線コネクションが確立された後に、先ずアクセス認証が行われる。認証、許可および課金の機能はいわゆるAAAサーバによって行われる(AAA：Authentication Authorization and Accounting)。移動端末機MSとホームネットワークのAAAサーバ(HAAA)との間で認証メッセージが交換され、この認証メッセージによりホームエージェントHAのアドレスおよび認証キーが取得される。ホームネットワーク内の認証サーバは、加入者のプロフィールデータを有する。AAAサーバは、移動端末機の加入者識別子を含む認証リクエストメッセージを受け取る。AAAサーバはアクセス認証が成功すると、移動端末機MSとアクセスネットワークASNの基地局BSとの間のデータ伝送区間を保安するためにMSKキー(MSK：Master Session Key)を生成する。このMSKキーはホームネットワークのAAAサーバから中間ネットワークCSNを介してアクセスネットワークASNに伝送される。
アクセス認証後には、図４から見て取れるように、DHCPプロキシサーバがアクセスネットワークASNでコンフィギュレートされる。IPアドレスおよびホストコンフィギュレーションがすでにAAA応答メッセージに含まれている場合には、すべての情報がDHCPプロキシサーバにダウンロードされる。
認証および許可が成功すると、移動局ないし移動端末機MSがDHCP発見メッセージ(discovery message)を送信し、またIPアドレスの割当てが行われる。
移動端末機MSがネットワークに組み込まれると、この移動端末機MSは自分がホームネットワークにいるか外部ネットワークにいるかを認識できなければならない。さらにこの移動端末機MSは、どのコンピュータがそれぞれのネットワーク内でホームエージェントもしくはフォーリンエージェントであるかを識別しなければならない。これらの情報はいわゆるエージェント発見(Agent Discovery)によって求められる。エージェント発見には2種類がある。すなわち、エージェント広告(Agent Advertisement)とエージェント誘導(Agent Solicitation)がある。
エージェント広告ではエージェント、すなわちホームエージェントまたはフォーリンエージェントが周期的に同報メッセージをサブネットワークのすべてのコンピュータもしくは移動端末機に送信する。所定の期間に同報メッセージを聴取したコンピュータはいずれも、それぞれのサブネットワークにおけるエージェントを識別することができる。
移動端末機が新たに起動される場合、一般的に次のエージェント広告を待機することは実際的ではない。移動端末機MSは、今現在どのサブネットワーク内にいるかを即座に知らなければならない。したがっていわゆるエージェント誘導においては、移動端末機MSが、エージェント広告を実施せよとの要求をそれぞれのサブネットワークのすべてのコンピュータに送信する。移動端末機MSはエージェント誘導によって、エージェントを即座に識別することを強制することができ、これにより待機時間が格段に短縮される。エージェント誘導は、例えばパケット損失またはネットワーク切り換えの際にエージェント広告が行われない場合にも実施される。エージェント発見により、移動端末機MSは自身がホームネットワーク内にいるか、フォーリンネットワーク内にいるかを識別することもできる。エージェント広告メッセージ内のパケット情報に基づき、移動端末機MSは自身のホームエージェントHAを識別する。移動端末機MSがフォーリンネットワークからのメッセージパケットを受信すると、この移動端末機MSは自身の現在地が最後の広告以降に変化したか否かを付加的に識別することができる。移動端末機MSが広告メッセージを受信しない場合、この移動端末機MSは、ホームネットワーク内におり、かつホームエージェントHAは妨害されていないことをとりあえず前提にする。そして移動端末機MSはこの前提を確認するために、ネットワークのルータとコンタクトを取ることを試みる。移動端末機MSが自身のホームネットワーク内にいない場合には、この移動端末機MSはDHCPサーバにアクセスし、サブネットワークのアドレスを取得することを試みる。この試みが成功すると、移動端末機MSはこのアドレスをいわゆる共有気付アドレス(Colocated Care-of-Adresse)として使用し、ホームエージェントHAとコンタクトを取る。共有気付アドレスはフォーリンネットワーク内の移動端末機MSに割り当てられたアドレスであり、ホームエージェントHAにも通知される。
ネットワークベースのモビリティ管理(PMIP)と端末機ベースのモビリティ管理(CMIP)は区別される。端末機ベースのモビリティ管理CMIPは、端末機モバイルIP(MIP)を支援する。
図４は従来のネットワークベースのモビリティ管理(PMIP)におけるコネクション確立を示し、図５は従来の端末機ベースのモビリティ管理(CMIP)におけるコネクション確立を示す。
移動端末機MSとネットワークとの間でコネクションが確立されると、ホームネットワークの認証サーバ(H-AAA)は加入者の認証が成功した後に認証確認メッセージ(SUCCESS)を送信する。認証確認メッセージは、認証クライアントに加入者の認証が成功したことを通知する。
プロキシMIPないしネットワークベースのモビリティ管理(PMIP)では移動端末機はモバイルIPをサポートしない、もしくは相応のMIPソフトウェアが移動端末機MSで起動されない。
これに対してクライアントMIP(CMIP)ないし端末機ベースのモビリティ管理においては、モバイルIPがそれぞれの端末機ないし移動局MSによってサポートされる。
プロキシMIPでは、移動端末機MSはDHCPサーバによって割り当てられたIPアドレスしか識別しない。移動端末機MSの気付アドレスはこの移動端末機MSには既知ではなく、PMIPクライアント、フォーリンエージェントFAならびにホームエージェントHAに既知である。これに対してクライアントMIPでは、移動端末機MSは自身の両方のIPアドレス、すなわちホームアドレスも気付アドレスも識別する。
図４，５から分かるように、IPアドレスの割当て後にはMIP登録が行われる。このMIP登録の際に、ホームエージェントHAには移動端末機MSの現在地に関する情報が通知される。登録のために移動端末機MSまたは相応のPMIPクライアントは、目下の気付アドレスを含む登録リクエストをホームエージェントHAに送信する。ホームエージェントHAは気付アドレスを自身が管理するリストに登録し、登録応答(Registration Reply)により応答する。基本的に各コンピュータはホームエージェントHAに登録リクエストを送信することができるので、コンピュータまたは移動端末機MSは、別のネットワーク内を移動しているかのようにホームエージェントHAに簡単に認識させることができてしまう。これを阻止するために、移動端末機MSもホームエージェントHAも共通の秘密キー、すなわちモバイルIPキー(MIP-KEY)を使用する。
プロキシMIP(PMIP)では登録リクエスト(MIPRRQ)が、アクセスネットワークASN内のPMIPクライアントからフォーリンエージェントFAを介してホームエージェントHAに伝送される。図４に示されているように、ホームエージェントHAには所属の認証サーバH-AAAにより加入者用のキーが割り当てられ、ホームエージェントHAはこのキーをMIP登録応答(MIP Registration Reply)と共に伝送する。
図５に示されているように、端末機ベースのモビリティ管理(CMIP)では、登録リクエストメッセージ(MIPRRQ)が、移動端末機MSからフォーリンエージェントFAを介してホームエージェントHAに直接送信される。
WiMaxアクセスネットワークでは、モバイルIP(CMIP)の他にプロキシモバイルIP(PMIP)も使用され、これにより自身はモバイルIPクライアント機能を有していないクライアントのためにモバイル管理を可能にしている。PMIPでは、アクセスネットワークにプロキシモバイルIPクライアントが設けられており、このプロキシモバイルIPクライアントはクライアントのために代理でMIPシグナリングを行う。これらのモバイルプロトコルは、WiMaxでは2つのアクセスネットワークASN間のハンドオーバ、ないしは2つのネットワークアクセスプロバイダNAP間のハンドオーバのために使用される。ここで所属のWiMaxホームエージェントは選択的に、WiMaxホームネットワークHCSNまたは訪問先WiMaxネットワーク(VCSN)に存在することができる。WiMaxでは、ホームネットワークHCSNにホームAAAサーバが存在し、このホームAAAサーバはユーザと共有の長期暗号キーと別の使用パラメータを知っていることが前提である。
登録の際にWiMaxホームエージェントは、WiMaxホームAAAサーバに保安パラメータ、例えば一時的暗号キーを問い合わせる。このことは、権限のあるクライアントだけがホームエージェントに登録することができるようにし、MIPシグナリングを保安するために必要である。移動端末機が認証サーバとともに実行する認証およびキー取決めプロトコルの一部として、移動端末機もこの保安パラメータを導出することができる。WiMaxアクセスネットワークでは、いわゆるEMSKキー(Extended Master Session Key)からAMSKないしはモバイルIPルートキー(MIP-RK)が導出され、作成される。このモバイルIPルートキーから、続いて別のキーが導出される。この別のキーは、モバイルノードないしはフォーリンエージェントFAとホームエージェントHAとの間の種々の通信区間を保安するためのものである。ここでは種々のモバイルIPバージョン、例えばモバイルIP V6およびモバイルIP V4が、固有のキーによってクライアントモバイルIPの場合とプロキシモバイルIPの場合に対してそれぞれ導出される。
従来のWiMaxアクセスネットワークでは、別形式のネットワークとのインタワーキングないしは共同作業がサポートされていない。
図６は、WiMaxアクセスネットワークと3GPPホームネットワークとの従来技術による相互作用を示す。図６から分かるように、WiMaxアクセスネットワークには認証プロキシサーバ(AAA-Relay)が設けられており、これはインタワーキングユニットIWUを3GPPホームネットワークへのインタフェースとして有する。認証プロキシサーバは、3GPPネットワークとのインタワーキングの場合に、キー作成とキー導出を引き受ける。このキー作成とキー導出は、加入者のネットワークエントリーの枠内で、加入者ないしは移動端末機に対してプロキシモバイルIPを起動するために必要である。プロキシモバイルIPの場合、プロキシモバイルIPクライアントは、WiMaxホームネットワークWiMax-CSNのASNゲートウェイないしは認証プロキシサーバ内に存在する。このWiMaxホームネットワークWiMax-CSNは、図６に示されるように3GPPネットワークと接続されている。したがってプロキシモバイルIPでは、インタワーキングユニットIWUがモバイルIPキー(MIP-Key)を、ネットワークエントリーの際にプロキシモバイルIPクライアントとホームエージェントとの間の区間を保安するために生成する。ここでプロキシモバイルIPクライアントは有利には、ASNゲートウェイ内に存在し、したがってアクセスネットワークインフラストラクチャの一部を形成する。したがってプロキシモバイルIPでは、3GPP認証サーバを変更することは不要であり、3GPP認証サーバはWiMaxアクセスネットワークの仕様を満たす必要はない。
クライアントプロキシモバイルIPでは、とりわけWiMaxアクセスネットワークと3GPPホームネットワークとの間のインタワーキングがサポートされていない。現在のところ、保安パラメータをクライアントないしは移動端末機に転送するための固有のプロトコルは存在しない。その理由は、移動端末機がこの保安パラメータを、従来の処理では認証およびキー取決めプロトコルから導出するからである。
したがって本発明の課題は、移動端末機とアクセスネットワークのノードとの間でのデータ伝送を保安するためのアクセス専用キーを提供する方法およびシステムを開示することであり、これはホームネットワークの認証サーバがモビリティ管理をサポートしない場合でもクライアントIP(CMIP)を可能にする。
本発明は、移動端末機とアクセスネットワークのノードとの間でのデータ伝送を保安するためのアクセス専用キーを提供するための方法を開示する。ここでは、移動端末機の認証の際に認証サーバがセッションキーを生成し、このセッションキーからベースキーが導出され、インタワーキングプロキシサーバに伝送され、このインタワーキングプロキシサーバは伝送されたベースキーからアクセス専用キーを導出し、アクセスネットワークのノードに提供する。
本発明の方法の有利な実施形態では、セッションキーはMSK(Master Session Key)キーまたはEMSK(Extended Master Session Key)キーにより形成される。
したがって本発明の方法では、保安の理由からホームネットワークの認証サーバ(AAA)から離れてはならないローカルマスタセッションキー(MSKないしはEMSK)が、擬似ベースキーないしはベースキーの導出のために利用され、引き続きインタワーキングプロキシサーバに伝送される。そしてインタワーキングプロキシサーバは受信したベースキーから必要なアクセス専用キーを、所定のキー階層にしたがい導出し、アクセスネットワークのそれぞれのノードのために提供する。
本発明による方法の有利な実施形態においては、認証サーバが移動端末機のホームネットワーク内に存在する。
本発明の方法の実施形態では、ベースキーがセッションキーから、所定の第1の誘導関数によって導出される。
この第1の誘導関数は有利には、HMAC-SHA1誘導関数、HMAC-SHA256誘導関数、HMAC-MD5誘導関数、 SHA1誘導関数、SHA-256誘導関数またはMD5誘導関数により形成される。
本発明の方法の有利な実施形態では、ベースキーの導出は、セッションキーと符合文字列(ストリング)に依存して行われる。
本発明の方法の有利な実施形態では、移動端末機の認証は認証サーバにおいてEAPプロトコルによって行われる。
本発明の方法の別の有利な実施形態では、移動端末機の認証は認証サーバにおいてUMTS-AKAプロトコルによって行われる。
本発明の方法の択一的な実施形態では、移動端末機の認証は認証サーバにおいてHTTPダイジェストAKAプロトコルによって行われる。
本発明の方法の別の実施形態では、認証サーバとインタワーキングプロキシサーバとの間のデータ伝送は、DiameterプロトコルまたはRadiusプロトコルによって行われる。
本発明の方法の有利な実施形態では、アクセスネットワークはWiMaxネットワークによって形成される。
本発明の方法の有利な実施形態では、ホームワークは3GPPネットワークによって形成される。
本発明の方法の有利な実施形態では、伝送されたベースキーからインタワーキングプロキシサーバによって第2の誘導関数を用いてモバイルIPルートキーが導出される。
この第2の誘導関数は有利には、HMAC-SHA1誘導関数、HMAC-SHA256誘導関数、HMAC-MD5誘導関数、 SHA1誘導関数、SHA-256誘導関数またはMD5誘導関数により形成される。
本発明の方法の有利な実施形態では、導出されたモバイルIPルートキーから第3の誘導関数によって、移動端末機とアクセスネットワークのノードとの間のデータ伝送を保護するためのアクセス専用キーが導出される。
この第3の誘導関数は有利には、HMAC-SHA1誘導関数、HMAC-SHA256誘導関数、HMAC-MD5誘導関数、 SHA1誘導関数、SHA-256誘導関数またはMD5誘導関数である。
本発明の方法の実施形態では、アクセスネットワークのノードと移動端末機との間の種々のデータ伝送区間のために、それぞれ1つの所属のアクセス専用キーが導出される。
本発明の方法の実施形態では、移動端末機が認証の際に同様にセッションキーを生成し、そこからアクセス専用キーを導出する。
本発明さらには、ベースキーを提供するための認証サーバを開示するものであり、このベースキーから移動端末機とアクセスネットワークのノードとの間でのデータ伝送を保安するためのアクセス専用キーを導出することができる。ここでは、
認証サーバが移動端末機の認証の際にセッションキーを生成し、そこから誘導関数によってベースキーを導出し、インタワーキングプロキシサーバに提供する。
本発明さらには、移動端末機とアクセスネットワークのノードとの間でのデータ伝送を保安するためのアクセス専用キーを提供するインタワーキングプロキシサーバを開示する。ここでは、インタワーキングプロキシサーバは、認証サーバから伝送されたベースキーからアクセス専用キーを導出し、アクセスネットワークのノードに提供する。
本発明さらに、複数のアクセスネットワークと、移動端末機の少なくとも1つのホームネットワークとを備えるデータ伝送システムに関する。ここではホームネットワークの認証サーバが、移動端末機の認証の際にセッションキーを生成し、そこから共通のベースキーを導出し、このベースキーがアクセスネットワークに伝送され、このアクセスネットワークはインタワーキングプロキシサーバを有しており、このインタワーキングプロキシサーバは少なくとも1つのアクセス専用キーを伝送されたベースキーから導出し、このアクセス専用キーは、移動端末機とそれぞれのアクセスネットワークのノードとの間のデータ伝送区間を保安するために設けられている。
移動端末機とアクセスネットワークのノードとの間でのデータ伝送を保安するためのアクセス専用キーを提供するための本発明方法および本発明のシステムの有利な実施形態の詳細について、本発明の主要な特徴を示す添付図面を参照して説明する。
従来技術のモビリティエントリーを示す図である。 従来技術による訪問者リストを示す。 WiMax無線ネットワークに対する基準モデルを示す。 従来技術によるプロキシMIP(PMIP)におけるコネクション確立を示す。 従来技術によるクライアントMIP(CMIP)におけるコネクション確立を示す。 WiMaxアクセスネットワークと3GPPホームネットワークとの従来技術による相互作用(インタワーキング)を示す。 アクセス専用キーを提供するための本発明のシステムの実施形態のブロック回路図である。 アクセス専用キーを提供するための本発明の方法の実施形態を示す信号線図である。 アクセス専用キーを提供するための本発明の方法の実施形態を示す別の信号線図である。
図７は、アクセス専用キーを提供するための本発明による方法を使用することができるネットワークアーキテクチャを示す。移動端末機1(MS＝移動局)は、インタフェースR1を介してアクセスネットワーク2(ASN= Access Service Network)に接続されている。アクセスネットワーク2は、インタフェースR3を介して訪問先ネットワーク3(VCSN=訪問先のコネクティビティサービスネットワーク；Visited Connectivity Service Network)に接続されている。この訪問先ネットワーク3は、インタフェースR5を介してホームネットワーク4(HCSN=ホームコネクティビティサービスネットワーク；Home Connectivity Service Network)と接続されている。
移動端末機1が第1のアクセスネットワーク2から第2のアクセスネットワーク2'に移動すると、第1のアクセスネットワークと第2のアクセスネットワークとの間で引渡し(ハンドオーバ)が行われる。この引渡し(ハンドオーバ)はWiMax仕様において「マクロモビリティ管理；Macro Mobility Management」または「R3モビリティ；R3 Mobility」もしくは「インタASNモビリティ；Inter ASN Mobility」と称される。訪問先ネットワーク3およびホームネットワーク4は、それぞれアクセスサービスプロバイダ(ASP；Access Service Provider)のネットワークまたはインターネットに接続されている。
各アクセスネットワーク2は複数の基地局6を有し、それらの基地局6はインタフェースR6を介してASNゲートウェイノード５に接続されている。図６に示されているASNゲートウェイノード5はオーセンティケータ5A、MIPフォーリンエージェント5BおよびオプションとしてPMIPクライアント5C、ならびにオプションとしてインタワーキングプロキシユニット7を有する。各訪問先ネットワーク3には、図６に示されているようにAAAサーバ3Aが設けられている。同様にホームネットワーク4にはオーセンティケータ4Aならびにホームエージェント4Bが設けられている。択一的実施形態では、インタワーキングユニット7もホームネットワーク4に設けられている。
移動端末機1に関しては2つのケースを区別することが重要である。つまり、移動端末機1が自身でモバイルIPをサポートし、かつ固有のCMIPクライアントを有するケースと、移動端末機1がモバイルIPをサポートせず、かつアクセスネットワーク2のゲートウェイノード5におけるPMIPクライアント5Cを必要とするケースである。
図８は、本発明による方法の実施形態を説明するための信号線図を示す。
ここでインタワーキングユニット7は、第1の実施形態ではアクセスネットワーク2に、または択一的実施形態ではホームネットワーク4に設けられている。本発明の方法ではアクセス専用キーが、移動端末機1とアクセスネットワーク2の任意のノードとの間のデータ伝送を保安するために提供される。ここで移動端末機1の認証の際に、移動端末機4のホームネットワーク4に存在する認証サーバ4Aがセッションキーを生成し、このセッションキーからベースキーを導出し、このベースキーがインタワーキングプロキシサーバ1に、図７に示したように伝送される。インタワーキングプロキシサーバ7は受信したベースキーから必要なアクセス専用キーを、誘導関数を用いて導出し、アクセスネットワーク2のそれぞれのノードのために提供する。伝送されるベースキーが導出されるセッションキーは、実施形態ではMSK(Master Session Key)キーまたはEMSK(Extended Master Session Key)キーにより形成される。図８に示すように、認証サーバ4Aは、擬似EMSKないしは共通のベースキーをHMAC-SHA1誘導関数によって拡張マスタセッションキーEMSKから導出する。択一的実施形態でこの誘導関数は、HMAC-SHA256誘導関数、HMAC-MD5誘導関数、 SHA1誘導関数、SHA-256誘導関数またはMD5誘導関数により形成される。導出されたベースキーないしは擬似キーは、EAP成功メッセージで、マスタセッションキーMSKとともにインタワーキングユニット7に伝送される。このインタワーキングユニット7は、たとえばインタワーキングプロキシサーバとして構成されている。
本発明の別の実施形態では、ベースキーないしは擬似キーPEMSKの導出が、セッションキーMSKおよび/またはEMSKに依存して、かつ付加的に符合文字列ないしはストリングに依存して、すなわち次のバリエーションの1つに相応して行われる：
PEMSK = H(MSK, EMSK, "ストリング")、
PEMSK = H(MSK, "ストリング")、
PEMSK = H(EMSK, "ストリング")。
図８に示した実施形態で、移動端末機1の認証はEAPデータ伝送プロトコルによって行われる。択一的実施形態で、移動端末機の認証は認証サーバ4Aにおいて、UMTS-AKAプロトコルまたはHTTPダイジェストAKAプロトコルによって行われる。認証サーバ4Aとインタワーキングプロキシサーバ7との間のデータ伝送は有利には、DiameterプロトコルまたはRadiusプロトコルによって行われる。
導出されたベースキーないしは擬似キーは、キー階層での中間段階である。このベースキーは共通のベースキーとして、種々のアクセスネットワーク2に設けられた種々のインタワーキングプロキシサーバ1にも伝送される。アクセスネットワーク2は例えばWiMaxネットワークである。認証サーバ4Aが設けられているホームネットワーク4は、例えば3GPPネットワークである。
図８に示されているようにインタワーキングプロキシサーバ7が伝送されたベースキーPEMSKを受け取ると直ちに、このインタワーキングプロキシサーバは第2の誘導関数を用いてモバイルIPルートキーIMP-RKを生成する。この第2の誘導関数も同様に、HMAC-SHA1誘導関数、HMAC-SHA256誘導関数、HMAC-MD5誘導関数、 SHA1誘導関数、SHA-256誘導関数またはMD5誘導関数とすることができる。別の実施形態では、別の誘導関数ないしは暗号キー誘導関数KDFを使用することができる。このようにして導出されたモバイルIPルートキーIMP-RKから、キー階層に相応してさらなるアクセス専用キーを、移動端末機1とアクセスネットワーク2のノードとの間のデータ伝送を保安するために導出することができる。この第3の誘導関数も例えば、HMAC-SHA1誘導関数、HMAC-SHA256誘導関数、HMAC-MD5誘導関数、SHA1誘導関数、SHA-256誘導関数またはMD5誘導関数とすることができる。
モバイルIPルートキーIMP-RKは、そこからアプリケーションキーないしはアクセス専横キーを生成するために使用される。例えば：
MN-HA-MIP4 = H (MIP-RK, "ストリング"|HA-IP)
MN-HA-CMIP6 = H (MIP-RK, "ストリング"|HA-IP)
MN-FA = H (MIP-RK, "ストリング"|FA-IP) そして
FA-H = H (MIP-RK, "ストリング"|FA-IP|HA-IP|NONCE)。
符合"|"は、部分符合文字列の連続に対するものである。
キー導出はさらに、PMIPV4とCMIPV4に対して別個のキーを導出するように変更することができる。例えば：
MN-HA-CMIP4 = H(MIP-RK, "CMIP4MNHA"|HA-IP)
MN-HA-PMIP4 = H(MIP-RK, "PMIP4MNHA"|HA-IP)。
アクセスネットワーク2のノードと移動端末機との間の種々のデータ伝送区間のそれぞれに対してこのようにして、所属のアクセス専用キーをモバイルIPルートキーIMP-RKから導出することができ、このモバイルIPルートキーIMP-RKは伝送されたベースキーから導出される。
本発明の方法では、加入者のための、EAPベースのネットワークエントリーの枠内でこれまでのキー導出が拡張され、インタワーキングプロキシサーバ7がアクセスネットワークに、CMIPに適するキーを提供するようになり、このキーは場合によりPMIPにも使用可能であるようになる。本発明の方法では、ベースキーないしは擬似キーが、MSKおよび/またはEMSKおよび/または別の入力、例えば符合文字列から適切なキー誘導関数KDFを用い、認証サーバによって導出される。
図９は、本発明による方法の基礎となる原理を説明するための信号チャートである。移動端末機1の認証の際には認証およびキー取決めプロトコル、例えばRadiusまたはDiameterに基づくEAPを用いて、保安サーバないしは認証サーバ4Aが第1のネットワークでベースキーないしは擬似キーないしは擬似一次暗号キーを、一時的暗号キーTKS、例えばマスタセッションキーMSKないしはEMSKに基づいて生成する。誘導関数により導出された擬似キーは引き続き、第2のネットワークにあるインタワーキングプロキシサーバ1に伝送される。ここでは各認証サーバないしはノード8，9に対して別の誘導関数からアクセス専用キーが導出される。続いて、各アプリケーションサーバ8，9はインタワーキングプロキシサーバ7から、導出されたアクセス専用キーを受け取る。引き続き、伝送されたキーを用いて端末機1とそれぞれのアプリケーションサーバ8，9との間のデータ伝送区間が暗号で保護される。
本発明の方法により、認証サーバ、例えばWLANサーバまたは3GPPサーバをWiMaxアクセスネットワークのために使用することができる。この認証サーバは、WiMaxアクセスネットワークにより期待されるCMIP/PMIP機能性を提供する必要はなく、ベースキーをセッションキーから導出するという機能性だけを拡張すればよい。本発明の方法の利点は、WiMaxアクセスネットワークにおいてCMIPのケースもサポートされ、したがってマクロモビリティに関する制限が回避されることである。本発明の方法で、WiMazxネットワークは、WiMaxネットワークにインタワーキングプロキシサーバ7を設けることは例外として、それ以上の変更は必要ない。移動端末機1、認証サーバならびにインタワーキングプロキシサーバ7は、どのベースキーないし擬似キーを自分が使用するかを知る。これにより、種々異なるMIPキー(Bootstrapping-Varianten)をWiMaxネットワーク内でサポートすることができる。本発明の方法では、例えば3GPPネットワークから発するキーマテリアルが、WiMaxネットワークに対するキーマテリアルに変換され、WiMaxネットワークは形成されたキーを、適合を行うことなしに使用することができる。
本発明の方法の実施形態では、本発明による認証機能性がWiMaxネットワークの外でも、例えば3GPPネットワークでも確立される。本発明の方法によって、将来的にWiMax-3GPPインタワーキングが可能となり、これによりWiMaxネットワークでの制限が生じることもない。本発明の方法のさらなる利点は、種々のネットワーク間のインタワーキングに容易に拡張することができ、任意のアプリケーションに対してキーを提供するように拡張できることである。本発明の方法では、インタワーキングプロキシサーバ7だけが、どのアプリケーション専用キーを提供しなければならず、これをどのように導出するかを知ればよい。したがって本発明の方法では、ホーム認証サーバが、接続されたすべての種々異なるネットワークに対してそれぞれ所要のキーを生成する必要はない。したがって本発明の方法では比較的簡単に、種々異なるネットワークをフレキシブルにホームネットワークに接続することができる。
本発明の方法では、移動端末機1が認証の際に同様にセッションキーを生成し、相応にしてそこからアクセス専用キーを導出する。

Claims (26)

  1. 移動端末機(1)とアクセスネットワーク(2)のノードとの間でのデータ伝送を保安するためのアクセス専用キーを提供するための方法であって、
    前記移動端末機(1)の認証の際に、認証サーバ(4A)がセッションキーを生成し、
    該セッションキーからベースキーが導出され、インタワーキングプロキシサーバ(7)に伝送され、
    該インタワーキングプロキシサーバは伝送されたベースキーからアクセス専用キーを導出し、前記アクセスネットワーク(2)のノードに提供する方法。
  2. 請求項１記載の方法であって、
    前記セッションキーはMSK(Master Session Key)キーまたはEMSK(Extended Master Session Key)キーにより形成される方法。
  3. 請求項１記載の方法であって、
    前記認証サーバ(4A)は、前記移動端末機のホームネットワークに設けられている方法。
  4. 請求項１記載の方法であって、
    前記ベースキーは前記セッションキーから、所定の第1の誘導関数によって導出される方法。
  5. 請求項４記載の方法であって、
    前記第1の誘導関数は、HMAC-SHA1誘導関数、HMAC-SHA256誘導関数、HMAC-MD5誘導関数、 SHA1誘導関数、SHA-256誘導関数またはMD5誘導関数により形成される方法。
  6. 請求項１記載の方法であって、
    前記ベースキーの導出は、前記セッションキーと符合文字列(ストリング)に依存して行われる方法。
  7. 請求項１記載の方法であって、
    移動端末機の認証は、認証サーバにおいてEAPプロトコルを用いて行われる方法。
  8. 請求項１記載の方法であって、
    移動端末機の認証は、認証サーバにおいてUMTS-AKAプロトコルを用いて行われる方法。
  9. 請求項１記載の方法であって、
    移動端末機の認証は、認証サーバにおいてHTTPダイジェストAKAプロトコルを用いて行われる方法。
  10. 請求項１記載の方法であって、
    認証サーバとインタワーキングプロキシサーバとの間のデータ伝送は、DiameterプロトコルまたはRadiusプロトコルによって行われる方法。
  11. 請求項１記載の方法であって、
    アクセスネットワークはWiMaxネットワークにより形成される方法。
  12. 請求項１記載の方法であって、
    ホームワークは3GPPネットワークにより形成される方法。
  13. 請求項１記載の方法であって、
    伝送されたベースキーからインタワーキングプロキシサーバによって、第2の誘導関数を用いてモバイルIPルートキーが導出される方法。
  14. 請求項１３記載の方法であって、
    前記第2の誘導関数は、HMAC-SHA1誘導関数、HMAC-SHA256誘導関数、HMAC-MD5誘導関数、 SHA1誘導関数、SHA-256誘導関数またはMD5誘導関数により形成される方法。
  15. 請求項１４記載の方法であって、
    前記導出されたモバイルIPルートキーから第3の誘導関数によって、移動端末機とアクセスネットワークのノードとの間のデータ伝送を保安するためのアクセス専用キーが導出される方法。
  16. 請求項１５記載の方法であって、
    前記第3の誘導関数は、HMAC-SHA1誘導関数、HMAC-SHA256誘導関数、HMAC-MD5誘導関数、 SHA1誘導関数、SHA-256誘導関数またはMD5誘導関数により形成される方法。
  17. 請求項１記載の方法であって、
    アクセスネットワーク(2)のノードと移動端末機(1)との間の種々異なるデータ伝送区間に対して、それぞれ1つの所属のアクセス専用キーが導出される方法。
  18. 請求項１記載の方法であって、
    移動端末機(1)は認証の際に、同様にセッションキーを生成し、該セッションキーからアクセス専用キーを導出する方法。
  19. ベースキーを提供するための認証サーバ(4A)であって、前記ベースキーから移動端末機(1)とアクセスネットワーク(2)のノードとの間でのデータ伝送を保安するためのアクセス専用キーが導出され、
    前記認証サーバ(4A)は、移動端末機(1)の認証の際にセッションキーを生成し、該セッションキーから誘導関数によってベースキーを導出し、インタワーキングプロキシサーバ(7)に提供する認証サーバ。
  20. 請求項１９記載の認証サーバであって、
    前記誘導関数は、HMAC-SHA1誘導関数、HMAC-SHA256誘導関数、HMAC-MD5誘導関数、 SHA1誘導関数、SHA-256誘導関数またはMD5誘導関数により形成される認証サーバ。
  21. 請求項１９記載の認証サーバであって、
    前記認証サーバ(4A)は、前記移動端末機(1)のホームネットワークに設けられている認証サーバ。
  22. 移動端末機(1)とアクセスネットワーク(2)のノードとの間でのデータ伝送を保安するためのアクセス専用キーを提供するためのインタワーキングプロキシサーバ(7)であって、
    前記インタワーキングプロキシサーバ(7)は、認証サーバ(4a)から伝送されたベースキーからアクセス専用キーを導出し、アクセスネットワーク(2)のノードに提供するインタワーキングプロキシサーバ。
  23. 請求項２２記載のインタワーキングプロキシサーバであって、
    前記インタワーキングプロキシサーバ(7)はアクセスネットワーク(2)に設けられているインタワーキングプロキシサーバ。
  24. 請求項２２記載のインタワーキングプロキシサーバであって、
    前記インタワーキングプロキシサーバ(7)は、前記移動端末機(1)のホームネットワークに設けられているインタワーキングプロキシサーバ。
  25. 複数のアクセスネットワーク(2)と、移動端末機(1)の少なくとも1つのホームネットワーク(4)とを備えるデータ伝送システムであって、
    前記ホームネットワーク(4)の認証サーバ(4A)が、移動端末機(1)の認証の際にセッションキーを生成し、該セッションキーから共通のベースキーを導出し、
    該ベースキーは前記アクセスネットワーク(2)に伝送され、
    該アクセスネットワークはそれぞれ1つのインタワーキングプロキシサーバ(7)を有しており、
    該インタワーキングプロキシサーバは少なくとも1つのアクセス専用キーを前記伝送されたベースキーから導出し、
    該アクセス専用キーは、前記移動端末機とそれぞれのアクセスネットワーク(2)のノードとの間のデータ伝送区間を保安するために設けられているものであるデータ伝送システム。
  26. 請求項２５記載のデータ伝送システムであって、
    前記アクセスネットワーク(2)の各ノードに対して所属のアクセス専用キーが、前記伝送されたベースキーからインタワーキングプロキシサーバ(7)によって導出されるデータ伝送システム。
JP2009523298A 2006-08-14 2007-08-09 アクセス専用キーを提供する方法およびシステム Active JP5054772B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
DE102006038037.1 2006-08-14
DE102006038037A DE102006038037A1 (de) 2006-08-14 2006-08-14 Verfahren und System zum Bereitstellen eines zugangsspezifischen Schlüssels
PCT/EP2007/058284 WO2008019989A1 (de) 2006-08-14 2007-08-09 Verfahren und system zum bereitstellen eines zugangsspezifischen schlüssels

Publications (2)

Publication Number Publication Date
JP2010500803A true JP2010500803A (ja) 2010-01-07
JP5054772B2 JP5054772B2 (ja) 2012-10-24

Family

ID=38686963

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2009523298A Active JP5054772B2 (ja) 2006-08-14 2007-08-09 アクセス専用キーを提供する方法およびシステム

Country Status (10)

Country Link
US (1) US9197615B2 (ja)
EP (1) EP2052517B1 (ja)
JP (1) JP5054772B2 (ja)
KR (1) KR101401605B1 (ja)
CN (2) CN101502078A (ja)
DE (1) DE102006038037A1 (ja)
EA (1) EA013147B1 (ja)
ES (1) ES2609257T3 (ja)
PL (1) PL2052517T3 (ja)
WO (1) WO2008019989A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010529755A (ja) * 2007-05-31 2010-08-26 クゥアルコム・インコーポレイテッド 無線通信ネットワークにおけるプロキシモバイルキー階層構造を提供するための方法および装置
JP5364796B2 (ja) * 2009-11-26 2013-12-11 株式会社東芝 暗号情報送信端末
JP2014517560A (ja) * 2011-04-15 2014-07-17 サムスン エレクトロニクス カンパニー リミテッド マシン−対−マシンサービスを提供する方法及び装置

Families Citing this family (44)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10181953B1 (en) 2013-09-16 2019-01-15 Amazon Technologies, Inc. Trusted data verification
EP1914960B1 (en) * 2006-10-16 2013-01-09 Nokia Siemens Networks GmbH & Co. KG Method for transmission of DHCP messages
US8923811B2 (en) * 2008-03-14 2014-12-30 Alcatel Lucent Methods and apparatuses for dynamic management of security associations in a wireless network
US20100106971A1 (en) * 2008-10-27 2010-04-29 Domagoj Premec Method and communication system for protecting an authentication connection
US8695082B2 (en) * 2008-10-27 2014-04-08 Nokia Siemens Networks Oy Method and communication system for accessing a wireless communication network
PL2394452T3 (pl) * 2009-02-05 2018-05-30 Ericsson Telefon Ab L M Jednostka sieciowa sieciowego systemu zarządzania urządzeniami do zabezpieczania komunikatu rozruchowego (bootstrap) oraz odpowiednie urządzenie, sposób i program komputerowy
IT1398518B1 (it) * 2009-09-25 2013-03-01 Colombo Safe milano
US20110312299A1 (en) 2010-06-18 2011-12-22 Qualcomm Incorporated Methods and apparatuses facilitating synchronization of security configurations
CA2798951C (en) * 2010-07-08 2016-05-10 Certicom Corp. System and method for performing device authentication using key agreement
US9237155B1 (en) 2010-12-06 2016-01-12 Amazon Technologies, Inc. Distributed policy enforcement with optimizing policy transformations
US20120303503A1 (en) 2011-05-26 2012-11-29 First Data Corporation Systems and Methods for Tokenizing Financial Information
US8769642B1 (en) 2011-05-31 2014-07-01 Amazon Technologies, Inc. Techniques for delegation of access privileges
US9197409B2 (en) 2011-09-29 2015-11-24 Amazon Technologies, Inc. Key derivation techniques
US9178701B2 (en) 2011-09-29 2015-11-03 Amazon Technologies, Inc. Parameter based key derivation
US9203613B2 (en) 2011-09-29 2015-12-01 Amazon Technologies, Inc. Techniques for client constructed sessions
US8739308B1 (en) 2012-03-27 2014-05-27 Amazon Technologies, Inc. Source identification for unauthorized copies of content
US8892865B1 (en) 2012-03-27 2014-11-18 Amazon Technologies, Inc. Multiple authority key derivation
US9215076B1 (en) 2012-03-27 2015-12-15 Amazon Technologies, Inc. Key generation for hierarchical data access
US9148173B2 (en) 2012-03-30 2015-09-29 California Institute Of Technology Distributed reed-solomon codes for simple multiple access networks
US9130742B2 (en) * 2012-03-30 2015-09-08 California Institute Of Technology Key agreement in wireless networks with active adversaries
CN103490887B (zh) * 2012-06-14 2017-06-13 中兴通讯股份有限公司 一种网络设备及其认证和密钥管理方法
US9660972B1 (en) 2012-06-25 2017-05-23 Amazon Technologies, Inc. Protection from data security threats
US9258118B1 (en) 2012-06-25 2016-02-09 Amazon Technologies, Inc. Decentralized verification in a distributed system
US9813449B1 (en) * 2012-08-10 2017-11-07 Lookwise S.L. Systems and methods for providing a security information and event management system in a distributed architecture
KR20140124157A (ko) * 2013-04-16 2014-10-24 삼성전자주식회사 무선 네트워크에서 키 하이어라키 생성 장치 및 방법
US9407440B2 (en) 2013-06-20 2016-08-02 Amazon Technologies, Inc. Multiple authority data security and access
US9521000B1 (en) 2013-07-17 2016-12-13 Amazon Technologies, Inc. Complete forward access sessions
US9311500B2 (en) 2013-09-25 2016-04-12 Amazon Technologies, Inc. Data security using request-supplied keys
US9237019B2 (en) 2013-09-25 2016-01-12 Amazon Technologies, Inc. Resource locators with keys
US10243945B1 (en) 2013-10-28 2019-03-26 Amazon Technologies, Inc. Managed identity federation
US9420007B1 (en) 2013-12-04 2016-08-16 Amazon Technologies, Inc. Access control using impersonization
US9374368B1 (en) 2014-01-07 2016-06-21 Amazon Technologies, Inc. Distributed passcode verification system
US9369461B1 (en) 2014-01-07 2016-06-14 Amazon Technologies, Inc. Passcode verification using hardware secrets
US9292711B1 (en) 2014-01-07 2016-03-22 Amazon Technologies, Inc. Hardware secret usage limits
US9262642B1 (en) 2014-01-13 2016-02-16 Amazon Technologies, Inc. Adaptive client-aware session security as a service
US10771255B1 (en) 2014-03-25 2020-09-08 Amazon Technologies, Inc. Authenticated storage operations
US9413730B1 (en) * 2014-06-04 2016-08-09 Skyhigh Networks, Inc. Encryption in the cloud using enterprise managed keys
US9258117B1 (en) 2014-06-26 2016-02-09 Amazon Technologies, Inc. Mutual authentication with symmetric secrets and signatures
US10326597B1 (en) 2014-06-27 2019-06-18 Amazon Technologies, Inc. Dynamic response signing capability in a distributed system
US10122692B2 (en) 2015-06-16 2018-11-06 Amazon Technologies, Inc. Handshake offload
US10122689B2 (en) 2015-06-16 2018-11-06 Amazon Technologies, Inc. Load balancing with handshake offload
WO2017209367A1 (ko) * 2016-05-31 2017-12-07 엘지전자(주) 무선통신 시스템에서 서비스 별로 단말의 인증을 수행하기 위한 방법 및 이를 위한 장치
US10116440B1 (en) 2016-08-09 2018-10-30 Amazon Technologies, Inc. Cryptographic key management for imported cryptographic keys
US10652236B2 (en) 2017-03-17 2020-05-12 Conduent Business Services, Llc Electronic crowd-based authentication

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002232418A (ja) * 2000-12-11 2002-08-16 Lucent Technol Inc 鍵変換システムおよび方法
JP2005210639A (ja) * 2004-01-26 2005-08-04 Ntt Docomo Inc 鍵生成システム、鍵生成サーバ及び鍵生成方法
JP2005530277A (ja) * 2002-06-20 2005-10-06 クゥアルコム・インコーポレイテッド 通信システムにおけるキー発生方法及び装置
JP2008506317A (ja) * 2004-07-09 2008-02-28 ボルテージ セキュリティー， インコーポレイテッド 導出鍵を用いたセキュアメッセージングシステム
JP2008529368A (ja) * 2005-01-28 2008-07-31 テレフオンアクチーボラゲット エル エム エリクソン（パブル） 通信システムにおけるユーザ認証及び認可

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020120844A1 (en) * 2001-02-23 2002-08-29 Stefano Faccin Authentication and distribution of keys in mobile IP network
CN1685694B (zh) * 2002-08-14 2010-05-05 汤姆森特许公司 支持多个虚拟操作员的公共无线局域网的会话密钥管理
US7475241B2 (en) 2002-11-22 2009-01-06 Cisco Technology, Inc. Methods and apparatus for dynamic session key generation and rekeying in mobile IP
US7350077B2 (en) * 2002-11-26 2008-03-25 Cisco Technology, Inc. 802.11 using a compressed reassociation exchange to facilitate fast handoff
CN1290362C (zh) * 2003-05-30 2006-12-13 华为技术有限公司 一种无线局域网中用于移动台切换的密钥协商方法
US7325133B2 (en) * 2003-10-07 2008-01-29 Koolspan, Inc. Mass subscriber management

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002232418A (ja) * 2000-12-11 2002-08-16 Lucent Technol Inc 鍵変換システムおよび方法
JP2005530277A (ja) * 2002-06-20 2005-10-06 クゥアルコム・インコーポレイテッド 通信システムにおけるキー発生方法及び装置
JP2005210639A (ja) * 2004-01-26 2005-08-04 Ntt Docomo Inc 鍵生成システム、鍵生成サーバ及び鍵生成方法
JP2008506317A (ja) * 2004-07-09 2008-02-28 ボルテージ セキュリティー， インコーポレイテッド 導出鍵を用いたセキュアメッセージングシステム
JP2008529368A (ja) * 2005-01-28 2008-07-31 テレフオンアクチーボラゲット エル エム エリクソン（パブル） 通信システムにおけるユーザ認証及び認可

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010529755A (ja) * 2007-05-31 2010-08-26 クゥアルコム・インコーポレイテッド 無線通信ネットワークにおけるプロキシモバイルキー階層構造を提供するための方法および装置
US8769611B2 (en) 2007-05-31 2014-07-01 Qualcomm Incorporated Methods and apparatus for providing PMIP key hierarchy in wireless communication networks
JP5364796B2 (ja) * 2009-11-26 2013-12-11 株式会社東芝 暗号情報送信端末
JP2014517560A (ja) * 2011-04-15 2014-07-17 サムスン エレクトロニクス カンパニー リミテッド マシン−対−マシンサービスを提供する方法及び装置

Also Published As

Publication number Publication date
KR101401605B1 (ko) 2014-06-02
DE102006038037A1 (de) 2008-02-21
PL2052517T3 (pl) 2017-05-31
EA200970201A1 (ru) 2009-06-30
EP2052517A1 (de) 2009-04-29
CN107070846A (zh) 2017-08-18
CN101502078A (zh) 2009-08-05
KR20090040912A (ko) 2009-04-27
JP5054772B2 (ja) 2012-10-24
EA013147B1 (ru) 2010-02-26
EP2052517B1 (de) 2016-11-02
WO2008019989A1 (de) 2008-02-21
US20110010538A1 (en) 2011-01-13
ES2609257T3 (es) 2017-04-19
US9197615B2 (en) 2015-11-24

Similar Documents

Publication Publication Date Title
JP5054772B2 (ja) アクセス専用キーを提供する方法およびシステム
JP4806028B2 (ja) モビリティキーを提供する方法とサーバ
JP4861426B2 (ja) モビリティキーを提供する方法とサーバ
JP4681656B2 (ja) クライアントモバイルｉｐ（ｃｍｉｐ）に代わるプロキシモバイルｉｐ（ｐｍｐ）の加入者固有の強制
JP5119242B2 (ja) モバイルｉｐキーを提供する方法とシステム
US7545768B2 (en) Utilizing generic authentication architecture for mobile internet protocol key distribution
KR101037844B1 (ko) 이동성 키를 제공하기 위한 방법 및 서버
JP2003051818A (ja) モバイルｉｐネットワークにおけるｉｐセキュリティ実行方法
JP5159878B2 (ja) インターネットプロトコル認証とモビリティシグナリングとを結合するための方法と装置
WO2010049247A1 (en) Method and communication system for protecting an authentication connection
Kim et al. Secure and low latency handoff scheme for proxy mobile ipv6
Marques et al. An 802.1 X-based Security Architecture for MIP
Cheng et al. A Unified Security Framework Under MWIF Architecture
Araújo et al. An 802.1 X-based Security Architecture for MIP

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20090205

RD04 Notification of resignation of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7424

Effective date: 20101227

Free format text: JAPANESE INTERMEDIATE CODE: A7424

Effective date: 20101228

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20110818

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20111006

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20111228

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20120628

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20120727

R150 Certificate of patent or registration of utility model

Ref document number: 5054772

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20150803

Year of fee payment: 3

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250