JP2010527549A - ネットワーク・ベースおよびホスト・ベース混合型のモビリティ管理における方法 - Google Patents

ネットワーク・ベースおよびホスト・ベース混合型のモビリティ管理における方法 Download PDF

Info

Publication number
JP2010527549A
JP2010527549A JP2010507809A JP2010507809A JP2010527549A JP 2010527549 A JP2010527549 A JP 2010527549A JP 2010507809 A JP2010507809 A JP 2010507809A JP 2010507809 A JP2010507809 A JP 2010507809A JP 2010527549 A JP2010527549 A JP 2010527549A
Authority
JP
Japan
Prior art keywords
mobile node
message
address
binding
node
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
JP2010507809A
Other languages
English (en)
Inventor
キリアン ヴェニゲル
純 平野
イェンス バッハマン
ゲナディ ベレブ
ヨン シュリンガー
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Corp
Panasonic Holdings Corp
Original Assignee
Panasonic Corp
Matsushita Electric Industrial Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from EP07009852A external-priority patent/EP1914955A1/en
Priority claimed from PCT/EP2007/009112 external-priority patent/WO2008046655A1/en
Application filed by Panasonic Corp, Matsushita Electric Industrial Co Ltd filed Critical Panasonic Corp
Publication of JP2010527549A publication Critical patent/JP2010527549A/ja
Withdrawn legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/062—Pre-authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/02—Processing of mobility data, e.g. registration information at HLR [Home Location Register] or VLR [Visitor Location Register]; Transfer of mobility data, e.g. between HLR, VLR or external networks
    • H04W8/08—Mobility data transfer
    • H04W8/082—Mobility data transfer for traffic bypassing of mobility servers, e.g. location registers, home PLMNs or home agents
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/04—Network layer protocols, e.g. mobile IP [Internet Protocol]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/18—Service support devices; Network management devices
    • H04W88/182—Network node acting on behalf of an other network entity, e.g. proxy

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

【課題】ネットワーク・ベースおよびホスト・ベース混合型のモビリティを管理する
【解決手段】本発明の第１の態様は、ネットワーク内のモバイルノードのネットワーク要素への接続を検証する方法に関する。本発明の第２の態様は、モビリティ・アンカー・ノード内に実装される方法であって、登録メッセージ間の競合状態が発生しているか否かを検知し、モバイルノードの最も直近の位置を決定する方法に関する。本発明の第３の態様は、あるコレスポンデント・ノードにおけるモビリティ用のバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知する方法、および、あるコレスポンデント・ノードにおけるモバイルノードの気付アドレスを登録する方法に関する。本発明の第４の態様は、モバイルノードからローカル・モビリティ・アンカーへと、モバイルノードのネットワーク要素への接続に関する情報を提供する方法に関する。

Description

本発明は、第１の態様によると、パケット・ベースの通信ネットワーク内におけるモバイルノードのモビリティ管理、より具体的には、モバイルノードのモビリティを管理するためのネットワーク・ベースおよびホスト・ベース両方のモビリティ管理スキームを実装するローカル・モビリティ・アンカーにおいて、セキュリティを向上させる方法に関する。本発明は、安全性が損なわれている（compromised）ネットワーク要素からの、モバイルノードあてのトラフィックをリダイレクトする試みを検知する方法に関する。本発明は、ネットワーク内のネットワーク要素へのモバイルノードによる接続を検証する方法を提案する。本発明は、本方法に関与するローカル・モビリティ・アンカー、モバイルノード、および、ネットワーク要素も提供する。
本発明は、第２の態様によると、パケット・ベースの通信ネットワーク内におけるネットワーク・ベースおよびホスト・ベースのモビリティ管理の相互作用に関する。本発明は、ネットワーク・ベースおよびホスト・ベース混合型のモビリティ管理におけるモビリティ・アンカー・ポイントでの競合状態を解消し、モビリティ・アンカー・ポイントが、２つのバインディング更新を受信した際に、必ず最も直近のバインディング更新を受け入れるようにする方法を提供する。
本発明は、第３の態様によると、あるコレスポンデント・ノードにおけるモバイルノードのバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知する方法に関する。さらに、本発明の第３の態様は、あるコレスポンデント・ノードにモバイルノードの気付アドレスを登録する方法にも関する。本発明の第３の態様は、これらの方法に関与するモバイルノードとコレスポンデント・ノード、および、モバイルノードとコレスポンデント・ノードとを備える移動通信システムも提供する。
本発明は、第４の態様によると、モバイルノードのネットワーク要素への接続を検証する方法、および、モバイルノードからローカル・モビリティ・アンカーへと、モバイルノードのネットワーク要素への接続に関する情報を提供する方法に関する。本発明の第４の態様は、これらの方法に関与するモバイルノードとローカル・モビリティ・アンカー、および、モバイルノードとローカル・モビリティ・アンカーとを含む移動通信システムも提供する。
移動通信システムは、インターネット・プロトコル（ＩＰ）ベースのネットワークへとますます進化している。インターネットは、音声およびデータが一端末から他端末へと断片状、いわゆる、パケットで送信される、多くの相互接続ネットワークから成る。それらパケットはルータによって、コネクションレスの方法で宛先へとルーティングされる。したがって、パケットはＩＰヘッダとペイロード情報とから成り、ヘッダは特にソースおよび宛先のＩＰアドレスを含む。拡張性を理由として、通常、大きなＩＰネットワークはサブネットへと分割され、階層的アドレッシング体系を用いる。それゆえ、ＩＰアドレスは対応する端末を識別するだけでなく、この端末についての位置情報（現在のサブネット）を付加的に含有する。ルーティング・プロトコルによって提供された追加情報によって、ネットワーク内のルータは、ある特定の宛先へと向かう次のルータを識別することができる。
端末がモバイル（移動性）の場合（以降、モバイルノード（ＭＮ）と称する）かつ、サブネット間を移動する場合、ＭＮは、階層的アドレッシング体系を理由に、自己のＩＰアドレスをトポロジー的に正しいアドレスへと変更しなければならない。しかし、ＴＣＰ接続といった高次レイヤの接続は、通信ノードのＩＰアドレス（およびポート）によって定義されるので、ノードのうち１つが移動等を理由にそのＩＰアドレスを変更した場合、接続が遮断される。
モバイルＩＰｖ６（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される、Ｄ．Ｊｏｈｎｓｏｎ、Ｃ．Ｐｅｒｋｉｎｓ、Ｊ．Ａｒｋｋｏ、「ＩＰｖ６におけるモビリティポート」、ＩＥＴＦ ＲＦＣ ３７７５、２００４年６月を参照）は、ＩＰベースのモビリティ・プロトコルであって、モバイルノードが、高次レイヤおよびアプリケーションに透過（トランスペアレント）な方法で、すなわち、高次レイヤの接続を遮断することなく、サブネット間を移動することを可能にする。したがって、モバイルノードは２つのＩＰアドレス、気付アドレス（ＣｏＡ）およびホーム・アドレス（ＨｏＡ）を構成している。モバイルノードの高次レイヤは、宛先端末と関連付けられる通信パートナー（以降、コレスポンディング・ノード（ＣＮ）と称する）との通信のために、ホーム・アドレスを用いる。このアドレスは変化せず、モバイルノードの識別の役割を果たす。トポロジー的には、ホーム・アドレスはモバイルノードのホーム・ネットワーク（ＨＮ）に属している。
対照的に、気付アドレスは、結果としてサブネットの変化をもたらす移動のたびに変化して結果としてサブネットの変化をきたし、ルーティング・インフラストラクチャの下部構造のためのロケータとして用いられる。トポロジー的には、気付アドレスは、モバイルノードが現在接続されているネットワークに属している。ホーム・リンク上に配置された１組のホーム・エージェント（ＨＡ）のセットのうちの１つは、モバイルノードの気付アドレスのモバイルノードのホーム・アドレスに対するモバイルノードの気付アドレスへのマッピングを保持し、モバイルノードへの着信トラフィックをその自己の現在位置へとリダイレクトする。なお、１つのＨＡではなく１セットのホーム・エージェントを有する理由は、冗長性およびロード・バランシングによるものである。
モバイルＩＰｖ６は現在２つの動作のモード、双方向性トンネリングおよびルート最適化を定義する。図１は双方向性トンネリングの使用を例示している。コレスポンデント・ノードによって送信され、モバイルノードのホーム・アドレスへと宛てられたデータ・パケットは、ホーム・ネットワーク内のホーム・エージェントによって受信（intercept）され、モバイルノードの気付アドレスへとトンネリングされる。モバイルノードによって送信されたデータ・パケットはホーム・エージェントへとリバース・トンネリングされ、ホーム・エージェントはパケットの脱カプセル化を行い、パケットをコレスポンデント・ノードへと送信する（リバース・トンネリングとは、パケットが、モバイルノードの気付アドレスを起点としホーム・エージェントを終点とするトンネルを介して、モバイルノードによって送信されることを意味する）。
この動作に関しては、ホーム・エージェントのみがモバイルノードの気付アドレスについて通知される。したがって、モバイルノードはバインディング更新（ＢＵ）メッセージをホーム・エージェントへと送信する。バインディング更新メッセージは、ＩＰｓｅｃのセキュリティ・アソシエーション上を送信される。したがって、バインディング更新メッセージは、暗号的に保護されて、データ発信元認証および完全性保護を提供する。このことは、モバイルノードとホーム・エージェントとが秘密キーを共有することを要する。それゆえ、ホーム・エージェントは、モバイルノードのホーム・アドレスに関連するバインディング更新メッセージであり、対応する共有キーで暗号的に保護されているバインディング更新メッセージを受け取るだけである。
欠点は、モバイルノードがホーム・ネットワークから離れており、かつ、コレスポンデント・ノードがモバイルノードに近い場合には、通信経路が不必要に長く、非効率的なルーティングおよび大幅なパケット遅延をきたすことである。ルート最適化モードは、コレスポンデント・ノードとモバイルノードとの間の直接経路を用いることによって、双方向性トンネリング・モードの非効率を防ぐことができる。モバイルノードは、バインディング更新メッセージをコレスポンデント・ノードへと送信し、その結果、コレスポンデント・ノードは、データ・パケットをモバイルノードへと直接的に送信することができるようになる（タイプ２のルーティング・ヘッダが直接経路上でパケットを送信するために用いられる）。当然ながら、コレスポンデント・ノードはモバイルＩＰｖ６ルート最適化サポートを実装しなければならない。
コレスポンデント・ノードへのバインディング更新メッセージを認証するために、モバイルノードおよびコレスポンデント・ノードは、いわゆるリターン・ルータビリティ手順を実行する。この手順は、ホーム・アドレス試験および気付アドレス試験をそれぞれ用いて、ホーム・アドレスおよび気付アドレスにおけるモバイルノードの到達可能性を試験し、共有するセッション・キーを生成する。その後、モバイルノードは、コレスポンデント・ノードへ送信されるモバイルノードのバインディング更新を認証するためのセッション・キーを用いて、コレスポンデント・ノードに自己の気付アドレスを登録してもよい。
近年、モバイルＩＰｖ６は、モバイルノードが、ホーム・エージェントによって動的にブートストラップすることを可能にするべく拡張されてきた（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される、Ｇｉａｒｅｔｔａら、「分裂シナリオにおけるモバイルＩＰｖ６のブートストラッピング」、ＲＦＣ５０２６、２００７年１０月を参照）。ブートストラッピングは、ホーム・エージェントを発見すること、モバイルＩＰシグナリングを保護するためにホーム・エージェントとのセキュリティ・アソシエーションを設定すること、および、対応するホーム・アドレスを構成することを含む。
ＩＰｓｅｃのセキュリティ・アソシエーションは、ＩＫＥｖ２を用いて動的に確立されてもよい。ＩＫＥｖ２は、Ｋａｕｆｍａｎ、「インターネット・キー交換（ＩＫＥｖ２）プロトコル」、ＩＥＴＦ ＲＦＣ４３０６、２００５年１２月、Ａｒｋｋｏら、「モバイルノードとホーム・エージェントとの間のＩＰｖ６シグナリングを保護するためのＩＰｓｅｃの使用」、ＩＥＴＦ ＲＦＣ３７７６、２００４年６月、および、Ｄｅｖａｒａｐａｌｌｉら、「ＩＫＥｖ２および改定ＩＰｓｅｃアーキテクチャによるモバイルＩＰｖ６の動作」、ＩＥＴＦ ＲＦＣ４８７７、２００７年４月（３文献ともｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される）に定義されている。モバイルＩＰシグナリングを守るためのセキュリティ・アソシエーションの確立を可能とする他のプロトコルは、ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される、Ｐａｔａｌら、「モバイルＩＰｖ６のための認証プロトコル」、ＩＥＴＦ ＲＦＣ４２８５、２００６年１月、による認証プロトコルである。
モバイルノードによってホーム・エージェントを発見するためにの複数の方法が存在する。１つの選択肢は、モバイルノードがホーム・エージェントのＤＮＳ名を事前に設定構成されており、モバイルノードはＤＮＳ（ドメイン・ネーム・システム）に問い合わせてホーム・エージェントのＩＰアドレスのリストを得ることである（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される、Ｇｉａｒｅｔｔａら、「分裂シナリオにおけるモバイルＩＰｖ６のブートストラッピング」、ＲＦＣ５０２６、２００７年１０月を参照）。他の選択肢は、モバイルノードがエニーキャスト・ホーム・エージェントの・アドレス・サフィックスを事前に設定されており、モバイルノードは、ＤＨＡＡＤメッセージ（ＩＥＴＦ ＲＦＣ ３７７５を参照）またはＩＫＥ＿ＳＡ＿ＩＮＩＴメッセージを、エニーキャストを介してホーム・エージェントのグループへと送信する（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される、Ｄｕｐｏｎｔら、「モバイルＩＰｖ６／ＮＥＭＯブートストラッピングにおけるＩＫＥｖ２ベースのホーム・エージェント割当」、ＩＥＴＦインターネット草案、ｄｒａｆｔ−ｄｕｐｏｎｔ−ｉｋｅｖ２−ｈａａｓｓｉｇｎ−０２．ｔｘｔ、２００７年１月を参照）ことである。エニーキャスト・ホーム・エージェント・アドレスのためのプレフィックスは、モバイルノードに上で事前に設定されていてもよく、または、ネットワークから動的に取得されてもよい。さらに、このプレフィックスはモバイルノードのホーム・アドレス・プレフィックスと等しくてもよい。
エニーキャストの概念によって、複数のホーム・エージェントには同一のエニーキャスト・アドレスが割り当てられ、このエニーキャストへと送信されたメッセージは、エニーキャスト・グループの一部であるホーム・エージェントのうち任意のものへと送られる。メッセージは代表的には、送信者の最も近くに配置されたホーム・エージェントへと送られる。ＤＮＳベースのホーム・エージェント探索、および、エニーキャスト・ベースのホーム・エージェント探索を組み合わせることもできる。したがって、モバイルノードはＤＮＳ名が事前構成され、ＤＮＳはエニーキャスト・アドレスを返す。図１は、ＩＫＥエニーキャスティングを用いたホーム・エージェント探索の例を示す。
アクセス・ネットワーク事業者とホーム・ネットワーク事業者とが、同一であるかまたは信頼関係を有する配備シナリオにおいて、モバイルノードのためのホーム・エージェントのアドレスは、ホーム・ネットワークまたは在圏ネットワーク（visited network）によって割り当てられ、ＡＡＡプロトコルを介してアクセス・ネットワークへと送られ、ＤＨＣＰプロトコルを用いてモバイルノードへと割り当てることができる。このアプローチによって、モバイルノードはＤＨＣＰサーバーに問い合わせて、ホーム・エージェントのＩＰアドレスを取得する（ともにｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される、Ｃｈｏｗｄｈｕｒｙら、「統合シナリオのためのＭＩＰ６−ブートストラッピング」、ＩＥＴＦインターネット草案、ｄｒａｆｔ−ｉｅｔｆ−ｍｉｐ６−ｂｏｏｔｓｔｒａｐｐｉｎｇ−ｉｎｔｅｇｒａｔｅｄ−ｄｈｃ−０５．ｔｘｔ、２００７年６月、および、Ｈｅｅ Ｊｉｎ Ｊａｎｇら、「ＭＩＰｖ６におけるホーム情報発見のためのＤＨＣＰ選択肢」、ＩＥＴＦインターネット草案、ｄｒａｆｔ−ｉｅｔｆ−ｍｉｐ６−ｈｉｏｐｔ−０９．ｔｘｔ、２００８年１月を参照）。
モビリティ管理シグナリングはホスト／クライアントとホーム・エージェントとの間で行われるので、モバイルＩＰはホスト・ベースまたはクライアント・ベースのプロトコルである。それゆえ、モバイルＩＰは時にはクライアント・モバイルＩＰ（ＣＭＩＰ）とも称される。
一般的に人気が高まりつつある他のアプローチは、ＩＰのモビリティ管理のためのネットワーク・ベースのアプローチである。在圏アクセス・ネットワーク内のエンティティは、モバイルノードのモビリティを管理し、位置更新の信号をホーム・エージェントへと送る。ネットワーク・ベースのモビリティ管理は、無線においてよりも少ないシグナリングのオーバーヘッドをより少なくする、および、単純なＩＰノード（すなわち、非ＣＭＩＰノード）のモビリティをサポートする、といったいくつかの利点が有する（すなわちＣＭＩＰ不能ノード）。欠点は、在圏アクセス・ネットワークからのサポートを必要とすることである。
インターネット・エンジニアリング・タスク・フォース（ＩＥＴＦ）は、モバイルＩＰプロトコルに基づいたローカルなモビリティ管理のためのこういったアプローチに取り組んでいる。ネットワーク・エンティティは、モバイルノードの代理となるプロキシとしての役割を果たすので、プロトコルはプロキシ・モバイルＩＰ（ＰＭＩＰ）と称される。ＰＭＩＰｖ６と称されるＩＰｖ６のバリアント（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される、Ｓ．Ｇｕｎｄａｖｅｌｌｉら、「プロキシ・モバイルＩＰｖ６、ＩＥＴＦインターネット草案、ｄｒａｆｔ−ｉｅｔｆ−ｎｅｔｌｍｍ−ｐｒｏｘｙｍｉｐ６−１１、２００８年２月、等を参照）、および、プロキシＭＩＰｖ４と称されるＩＰｖ４のバリアント（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される、Ｋ．Ｌｅｕｎｇら、「ＷｉＭＡＸフォーラム／３ＧＰＰ２プロキシ・モバイルＩＰｖ４」、ＩＥＴＦインターネット草案、ｄｒａｆｔ−ｌｅｕｎｇ−ｍｉｐ４−ｐｒｏｘｙ−ｍｏｄｅ−０２．ｔｘｔ、２００７年１２月、等を参照）がある。
ＰＭＩＰｖ６は、プロキシ・モバイル・エージェント（ＰＭＡ）またはモバイル・アクセス・ゲートウェイ（ＭＡＧ）と称される新しい論理エンティティを導入し、代表的には該論理エンティティは、モバイルノードが現在接続中であるアクセス・ルータ（ＡＲ）と同一位置に配置されており、モバイルノードに代わってバインディング更新（ＢＵ）メッセージを送信する。ＰＭＩＰホーム・エージェントは、拡張されたＣＭＩＰホーム・エージェントであり、ローカル・モビリティ・アンカー（ＬＭＡ）と称される。ローカル・モビリティ・アンカーはホーム・エージェントの機能性を備えるので、ローカル・モビリティ・アンカーは本明細書中において、ホーム・エージェントと表されることもある。モバイル・アクセス・ゲートウェイによって送信されたバインディング更新メッセージにはフラグが付いており、その結果、該メッセージは、ローカル・モビリティ・アンカーによってプロキシ・バインディング更新（ＰＢＵ）メッセージとして識別され、モバイルノードによって送信されたバインディング更新メッセージ（すなわちＣＭＩＰ信号メッセージ）と区別することができる。
さらに、ＰＢＵメッセージは、ネットワーク・アクセス識別子（ＮＡＩ）オプション、ホーム・プレフィックス・オプション、および、タイムスタンプ・オプションを含む。ＮＡＩオプションは、「ｕｓｅｒｎａｍｅ(R)ｒｅａｌｍ」といった形態を有し、モバイルノードを識別するのに用いられるモバイルノードのネットワーク・アクセス識別子（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される、Ａｂｏｄａら、「ネットワーク・アクセス識別子」、ＩＥＴＦ ＲＦＣ４２８２、２００５年１２月、に規定のとおり）を含む。
ホーム・プレフィックス・オプションは、モバイルノードのホーム・アドレスもしくはホーム・プレフィックスを含む。２つのアドレス指定モデルがＰＭＩＰｖ６によってサポートされている。いわゆるｐｅｒ−ＭＮ−プレフィックス・モデルにおいて、すべてのモバイルノードは固有のホーム・プレフィックスを有し、該ホーム・プレフィックスが、ホーム・アドレスの代わりにＰＢＵメッセージ中に用いられることができる。共用プレフィックス・モデルにおいて、モバイルノードは、複数のモバイルノード間で共用されるプレフィックスからのホーム・アドレスを用いる。タイムスタンプ・オプションは、ＰＢＵが送信された時間を含むとともに、ローカル・モビリティ・アンカーに用いられて、ＰＢＵの「新しさ」を識別し、ＰＢＵメッセージの順序付けを正しくする。ＰＢＵメッセージ中のシーケンス番号値はＰＭＩＰｖ６によって用いられず、ローカル・モビリティ・アンカーによって無視される。ＰＢＵメッセージのシーケンス番号値は、ＰＢＵの順序を判定するためにホーム・エージェントによっては考慮されない。その理由は、ＰＭＡは自己がＰＢＵのために用いるシーケンス番号とは同期しないからである。
モバイルノードが、ハンドオーバーの後または電源を入れた後に、新しいモバイル・アクセス・ゲートウェイに接続される場合、モバイルノードは、リンク層に特有の方法、ＥＡＰフレームワーク（ＲＦＣ３７４８を参照）、および、ＥＡＰ−ＡＫＡといったＥＡＰ方式（ＲＦＣ４１８７を参照）を用いること等により、ネットワークを認証する。代表的にはモバイル・アクセス・ゲートウェイは、パススルー認証者の機能を果たし、Ｄｉａｍｅｔｅｒ（ＲＦＣ３５８８、ＲＦＣ４０７２を参照）またはＲａｄｉｕｓ（ＲＦＣ２８６５、ＲＦＣ３５７９を参照）といった、ＡＡＡプロトコルを用いること等により、ＡＡＡサーバーまたはインフラストラクチャーといったバックエンド認証サーバーへと、ＥＡＰパケットを転送する。モバイルノードは、ネットワーク認証中の識別子として、ネットワーク・アクセス識別子等を用いる。ネットワーク認証に成功すると、モバイル・アクセス・ゲートウェイは、モバイルノードのホーム・プレフィックスを含むＡＡＡサーバーから、モバイルノードのプロファイルを取得し、該プロファイルをネットワーク・アクセス識別子と一緒に保存する。次いでモバイル・アクセス・ゲートウェイは、ＰＢＵをローカル・モビリティ・アンカーへ送信して、モバイルノードの新しい位置を登録する。ＰＢＵの送信プロセスは、正常なネットワーク認証の成功、ＤＨＣＰ（動的ホスト構成プロトコル）メッセージ、または、その他によって、トリガされることができる。さらに、モバイル・アクセス・ゲートウェイは、モバイルノードのホーム・プレフィックスをモバイルノードへと通知する。その結果として、モバイルノードは、自己が、モバイルノードのホーム・プレフィックスを通知するとともにモバイルノードのモビリティを管理する１組のモバイル・アクセス・ゲートウェイ（以降、ＰＭＩＰｖ６またはＰＭＩＰドメインと称する）の内部を移動する限り、自己がホームに存在すると考え、自己がサブネットを変更していることに気が付かない。ローカル・モバイル・アンカーとモバイル・アクセス・ゲートウェイとの間のトンネルが確立され、モバイルノードを出入りするすべてのトラフィックはこのトンネルを通って転送される。
プロキシ・バインディング更新メッセージは、ＩＰｓｅｃのセキュリティ・アソシエーション上を送信され、ひいては、暗号的に保護されて、データ発信元認証および完全性保護を提供する。このことは、代表的には、モバイル・アクセス・ゲートウェイおよびホーム・エージェントが秘密キーを共有することを要する。それゆえ、ホーム・エージェントは、モバイル・アクセス・ゲートウェイのアドレスのプロキシ・バインディング更新メッセージＰＢＵのみを受け取り、該メッセージは対応する共有キーで暗号的に保護されている。ローカル・モビリティ・アンカーは基本的に、正しい共用キーを所有する、信頼されたモバイル・アクセス・ゲートウェイによって送信された任意のＰＢＵメッセージを受け取るので、モバイル・アクセス・ゲートウェイの安全性が損なわれている場合、すなわち、攻撃者が、信頼されたモバイル・アクセス・ゲートウェイの支配権を得ることができる場合に、問題が生じる。この場合には、このモバイル・アクセス・ゲートウェイは、偽りのＰＢＵをローカル・モバイル・アンカーへと送信することによって、オフ・パス攻撃を実装し、ＰＭＩＰドメイン内の任意のモバイルノードに関するトラフィックを自己へとリダイレクトする。問題は、ローカル・モビリティ・アンカーがモバイルノードのＣＭＩＰアンカーでもあるとともに、ＰＭＩＰのホーム・アドレスがＣＭＩＰのホーム・アドレスと等しい場合に、さらに重大である。この場合には、攻撃はＭＩＰｖ６へと拡張され、攻撃者は、ＰＭＩＰドメインの外部に配置されたモバイルノードに関するトラフィックをリダイレクトすることができる。
この状況は図１に例示される。データ・パケットをコレスポンデント・ノード（ＣＮ）と交換するモバイルノード（ＭＮ）は、自己のホームＰＭＩＰドメインの外部に位置しており、ローカル・モビリティ・アンカー（ＬＭＡ）をＭＩＰｖ６用のホーム・エージェントとして用いる。モバイルノードがＰＭＩＰドメイン内に存在する場合、モバイルノードはモバイル・アクセス・ゲートウェイＭＡＧ１によって支配されうる。しかしながら、安全性が損なわれているモバイル・アクセス・ゲートウェイＭＡＧ２は、モバイルノードのホーム・アドレス用の偽りのＰＢＵを送信することができる。ローカル・モバイル・アンカーはこの偽りのＰＢＵを受け入れて、モバイルノードがモバイル・アクセス・ゲートウェイＭＡＧ２へと移動したと考える。このようにして、ローカル・モバイル・アンカーはモバイルノードに向かうすべてのトラフィックをモバイル・アクセス・ゲートウェイＭＡＧ２へと転送する。
それゆえ、モバイルノードの位置に応じて、２種類のリダイレクト攻撃を区別することができる。第１には、リダイレクト攻撃は、安全性が損なわれているモバイル・アクセス・ゲートウェイと同一のＰＭＩＰｖ６ドメインの内部に配置されたモバイルノードへと向けることができる（シナリオ１）。第２には、リダイレクト攻撃は、安全性が損なわれているモバイル・アクセス・ゲートウェイのＰＭＩＰｖ６ドメインの外部に配置されているとともにモバイルＩＰｖ６を用いているモバイルノードへと向けることができる（シナリオ２）。
シナリオ１に関して、ローカル・モバイル・アンカーは、モバイル・アクセス・ゲートウェイがモバイルノード用のバインディング・キャッシュ・エントリーを作成するようことを許可されているか否かを確認しうる（Ｓ．Ｇｕｎｄａｖｅｌｌｉ、Ｋ．Ｌｅｕｎｇ、Ｖ．Ｄｅｖａｒａｐａｌｌｉ、Ｋ．Ｃｈｏｗｄｈｕｒｙ、Ｂ．Ｐａｔｉｌ、「プロキシ・モバイルＩＰｖ６」、ｄｒａｆｔ−ｓｇｕｎｄａｖｅ−ｍｉｐ６−ｐｒｏｘｙｍｉｐ６−０２、２００７年３月、を参照）。この確認の詳細は記載されていないが、ＡＡＡインフラストラクチャーといったポリシー・ストアを問い合わせできることが示唆されている。しかしながら、該ポリシー・ストア、または、受信されたあらゆるＰＢＵメッセージのＡＡＡサーバーを調べることは、ハンドオーバー遅延を大幅に増大させるであろう。
シナリオ２に関して、Ｓ．Ｇｕｎｄａｖｅｌｌｉ、Ｋ．Ｌｅｕｎｇ、Ｖ．Ｄｅｖａｒａｐａｌｌｉ、Ｋ．Ｃｈｏｗｄｈｕｒｙ、Ｂ．Ｐａｔｉｌ、「プロキシ・モバイルＩＰｖ６」、ｄｒａｆｔ−ｓｇｕｎｄａｖｅ−ｍｉｐ６−ｐｒｏｘｙｍｉｐ６−０２、２００７年３月は、現在のバインディング・キャッシュ・エントリーが、モバイルノードがＰＭＩＰドメインの外部に配置されたことを示す場合は、ローカル・モビリティ・アンカーは、ＰＢＵメッセージを受信した直後で、登録解除ＢＵメッセージがモバイルノードから受信される前には、バインディング・キャッシュ・エントリーを変更しない機構を記載している。攻撃者は登録解除ＢＵメッセージをスプーフィングできないので、この機構は問題を解決するであろう。しかしながら、この機構は、モバイルノードがＰＭＩＰドメイン内に進入する時にはハンドオーバー遅延も大幅に増大させるとともに、シナリオ１における問題を解決しない。
第２の態様では、ネットワーク・ベースおよびホスト・ベース混合型のモビリティ管理におけるモビリティ・アンカー・ポイントにおける競合状態に関連する問題を説明する。モビリティ・アンカー・ポイントは、２つのバインディング更新を受信した直後に、最も直近のバインディング更新を発見する問題に直面することが示される。
モバイルノード（ＭＮ）が新しいＰＭＡに接続する時、ＭＮはＥＡＰフレームワーク［ＲＦＣ３７４８］およびＥＡＰ−ＡＫＡ［ＲＦＣ４１８７］といったＥＡＰ方式を用いて、ネットワークを認証する。代表的にはＰＭＡは、パススルー認証者の機能を果たし、ＥＡＰパケットをＭＮに関連するＡＡＡサーバー／インフラストラクチャーへと転送する。ＭＮは識別子としてＮＡＩを用いる。ネットワーク認証に成功すると、ＰＭＡは、ＭＮのホーム・プレフィックスを含むＭＮのプロファイルを、ＡＡＡサーバーから取得する。次いでＰＭＡは、ＰＢＵをＨＡへと送信し、ホーム・プレフィックスをＭＮへと通知する。ＭＮがＡＲを認証した後、ＭＮはＩＰ構成を開始する、すなわちＭＮは、リンク・ローカル（ｌｉｎｋ−ｌｏｃａｌ：ＬＬ）ＩＰアドレスを構成するとともに、要請ノード・マルチキャスト・アドレスへと、確認すべきＬＬアドレスに関する近隣要請（ＮＳ）メッセージを送信するＬＬアドレスのための重複アドレス検知（ＤＡＤ）を実行する。この手順に成功すると、ＭＮはルータ要請（ＲＳ）メッセージをすべてのルータのマルチキャスト・アドレスへと送信し、ルータ通知（ＲＡ）を受信するのを待つ。ＡＲ／ＰＭＡは、ＭＮのホーム・プレフィックスを含むユニキャストＲＡに応答する。本発明において、ＭＮはステートフル・アドレス構成スキームを適用することが想定されており、これは、動的ホスト構成プロトコル（ＤＨＣＰ）が用いられていることを意味する。ＭＮは、「Ｍ」フラグが設定された受信されたユニキャストＲＡメッセージから、ＤＨＣＰが用いられるべきことを把握する。その結果として、ＭＮはＤＨＣＰ要請メッセージを送信し、該メッセージは、ＤＨＣＰ中継エージェントの機能を果たすＡＲ／ＰＭＡによって獲得される。ＤＨＣＰ中継はこのメッセージをＤＨＣＰサーバーへと転送し、ＤＨＣＰサーバーは、ＭＮのホーム・アドレス（ＨｏＡ）を含むＤＨＣＰ応答ないし通知メッセージを回答する。ＭＮがＤＨＣＰ通知メッセージを受信した後、ＭＮは通知されたＨｏＡを自己のグローバルＩＰアドレスとして構成する。その結果として、ＭＮは到達可能となり、ＭＮは、自己がＰＭＩＰドメインの内部を移動する限り、自己がホームに存在すると考える。この段落に記載される初期の接続手順におけるＰＭＩＰｖ６向けの例示的なシグナリングの流れが図６に示される。
図７は、同一のＰＭＩＰドメイン内にあるＰＭＡどうしのハンドオーバーの場合のシグナリングの流れを示す。ＭＮがＡＲ／ＰＭＡ２の領域へと移動すると、ＭＮは図６に記載される認証手順を開始する。ＰＭＡ２は、ＥＡＰキー輸送メッセージを受信した後、ＰＢＵ［ＮＡＩ、ホーム・プレフィックス、タイムスタンプ］を送信して、ＨＡの登録プロセスを開始できる。ＭＮがＰＭＡ２の認証に成功した後、ＭＮは、現在のＩＰ構成が依然として有効であるか否かを確認することを開始する、すなわち、ＭＮはＲＳメッセージを送信する。ＡＲ／ＰＭＡ２は、アドレス構成用のＤＨＣＰを用いるために設定された「Ｍ」フラグを有するＲＡで応答する。続いて、ＭＮはＤＨＣＰ受信確認メッセージを送信し、該メッセージは、ＤＨＣＰ中継エンティティの機能を果たすＡＰ／ＰＭＡ２によってインターセプトされる。ＤＨＣＰサーバーによって送信されたＤＨＣＰ応答メッセージは、過去に構成されたＨｏＡを依然として用いることができることを確認するものである。ＤＨＣＰ手順が完了した後、ＭＮは再度ＩＰに接続され、データ・パケットを送信／受信することができる。
ＲＦＣ３７７５中に定義されているＭＩＰｖ６用のＨＡの機能性は、かなりの程度まで再利用されるが、ＰＭＩＰｖ６をサポートするためのいくつかの変更が必要である。これ以降、ＲＦＣ３７７５に定義されるＨＡをＣＭＩＰ−ＨＡと称し、（Ｓ．Ｇｕｎｄａｖｅｌｌｉ、Ｋ．Ｌｅｕｎｇ、Ｖ．Ｄｅｖａｒａｐａｌｌｉ、Ｋ．Ｃｈｏｗｄｈｕｒｙ、「プロキシ・モバイルＩＰｖ６」、ｄｒａｆｔ．ａｇｕｎｄａｖｅ−ｍｉｐ６−ｐｒｏｘｙｍｉｐ６−０１、２００７年１月）に定義されているＨＡはＰＭＩＰ−ＨＡと称する。例をあげると、主要な違いは、ＢＵ／ＰＢＵメッセージの新しさがどのようにＨＡによって判定されるかである。ＣＭＩＰ−ＨＡは、ＢＵ中のシーケンス番号に基づいてＢＵメッセージの新しさを識別し、一方、ＰＭＩＰ−ＨＡは、ＰＢＵ中のタイムスタンプ・オプション中のタイムスタンプに基づいて、ＰＢＵメッセージの新しさを識別する。ＰＭＩＰ−ＨＡはＰＢＵメッセージ中のシーケンス番号値を考慮しない。
同一位置に配置されたＰＭＩＰ−ＨＡおよびＣＭＩＰ−ＨＡ（さらに、本発明ではこのようなＣＭＩＰ／ＰＭＩＰ−ＨＡは単にＨＡと称する）を含む考えられるシナリオが、図８に示されている。この図では、ＰＭＩＰｖ６が、ホーム事業者ネットワーク内におけるローカルなモビリティ管理のために用いられ、ＣＭＩＰｖ６が、ＭＮが他のネットワーク内にローミングする場合には、グローバルなモビリティ管理に用いられる。ＨＡは、ＭＮのＣｏＡが登録されているデータベースを保持する。これらの登録は、ＭＮまたはＰＭＡによってそれぞれ送信されるＢＵおよびＰＢＵメッセージに基づいている。さらに、このデータベースを、バインディング・キャッシュ・エントリー（ＢＣＥ）と称する。
ＢＵおよびＰＢＵメッセージは異なるＣｏＡを含む。しかしながら、両方ともが同一のＨｏＡに関連付けられている。ＨＡが、異なるＣｏＡの間で同一のＨｏＡ宛ての異なるＩＰフローを分離する機構（このような機構はマルチ・ホーミングとして公知である）を実装しない場合は、ＨＡは、ＨｏＡおよびＣｏＡのアクティブなバインディングを１つのみ有すればよく、その結果、ＨＡは、いずれのＣｏＡにデータ・パケットが転送されるか曖昧さを残さず知ることができる。ＢＵおよびＰＢＵメッセージは異なるＣｏＡを含むので、ＨＡは、いずれのメッセージ、これに対応していずれのＣｏＡが該当するものであるのかを決定する必要がある。
上記に記載のように、モバイルノード（クライアント・ベースのモビリティの場合であり、簡便化のためにクライアントＢＵを表すＣＢＵと称する）と、プロキシモバイルエージェント（ネットワーク・ベースのモビリティの場合であり、簡便化のためにプロキシＢＵを表すＰＢＵと称する）とによって送信されたバインディング更新について、その新しさを、異なる条件に基づいて比較する。クライアント・バインディング更新はシーケンス番号を含み、該シーケンス番号は、新しいバインディング更新が送信されるたびに増加する。プロキシ・バインディング更新は、受信者側における送信時間を意味するタイムスタンプを含む。これを有しているため、ホーム・エージェントは、両方のバインディング更新のうちいずれが、より直近に送信されたかを比較できない。さらに本発明において、この状況はバインディング更新の競合状態と称する。その理由は、バインディング更新は異なる経路上を伝搬されるので、ホーム・エージェントは、バインディング更新到着の結果に基づいてバインディング更新の新しさに結論を出すことができない。
バインディング更新の再順序付けが発生し、ホーム・エージェントがより古いバインディング更新を誤って受け入れると、モバイルノードへのデータ・パケットは古いモバイルノードの位置へとルーティングされるであろう、すなわち、パケットは失われるであろう。ＨＡ内において再順序付けされたＢＵおよびＰＢＵが到着するシナリオが、図９および図１０に示される。図９は、ＭＮがＣＭＩＰベースからＰＭＩＰベースのモビリティ機構へと移動し、ＭＮによって送信されるＢＵが、ＰＭＡによって送信されるＰＢＵよりもＨＡ内に遅く到着する場合を示す。同様に図１０は、ＰＭＩＰベースのモビリティからＣＭＩＰベースのモビリティ機構への移行、および、ＰＭＡによって送信されるＰＢＵがＭＮによって送信されるＢＵよりもＨＡ内により遅く到着する場合を示す。
第３の態様では、あるコレスポンデント・ノードにおけるモバイルノード用のバインディング・キャッシュ・エントリーがスプーフィングされたか否かの検知に関連する問題が提示される。さらに、あるコレスポンデント・ノードにおけるモバイルノードの気付アドレスの登録に関連する問題が説明される。
モバイルＩＰｖ６は現在２つの動作のモード、双方向性トンネリングおよびルート最適化、を定義する。図１５は双方向性トンネリングの使用を例示する。コレスポンデント・ノードによって送信され、モバイルノードのホーム・アドレスへと宛てられたデータ・パケットは、ホーム・ネットワーク内のホーム・エージェントによってインターセプトされ、モバイルノードの気付アドレスへとトンネリングされる。モバイルノードによって送信されたデータ・パケットは、ホーム・エージェントへとリバース・トンネリングされ、ホーム・エージェントはパケットの脱カプセル化を行い、該パケットをコレスポンデント・ノードへと送信する（リバース・トンネリングとは、パケットがモバイルノードによって、モバイルノードの気付アドレスを起点としホーム・エージェントを終点とするトンネルを介して、送信されることを意味する）。
この動作に関しては、ホーム・エージェントのみにモバイルノードの気付アドレスについて通知される。したがって、モバイルノードはバインディング更新（ＢＵ）メッセージをホーム・エージェントへと送信する。これらのメッセージは、ＩＰｓｅｃのセキュリティ・アソシエーション上を送信され、ひいては、認証され、および完全性が保護される。欠点は、モバイルノードがホーム・ネットワークから離れているとともに、コレスポンデント・ノードがモバイルノードに近い場合には、通信経路が不必要に長く、不十分なルーティングおよび大幅なパケット遅延をきたすことである。
ルート最適化モードは、コレスポンデント・ノードとモバイルノードとの間の直接経路を用いることによって、双方向性トンネリング・モードの不十分さを防止することができる。ルート最適化の使用が図１６に例示される。モバイルノードは、バインディング更新メッセージをコレスポンデント・ノードへと送信し、次いでコレスポンデント・ノードは、データ・パケットをモバイルノードへと直接的に送信することができる（タイプ２のルーティング・ヘッダが直接経路上でパケットを送信するために用いられる）。当然ながら、コレスポンデント・ノードはモバイルＩＰｖ６ルート最適化サポートを実装しなければならない。
バインディング更新メッセージを認証するために、モバイルノードおよびコレスポンデント・ノードは、いわゆるリターン・ルータビリティ手順を実行し（図１７を参照）、該手順は、ホーム・アドレスおよび気付アドレスにおけるモバイルノードの到達可能性を、ホーム・アドレス試験および気付アドレス試験をそれぞれ用いて、試験し、共用のセッション・キーを生成する。その後、モバイルノードは、コレスポンデント・ノードへと送信されるバインディング更新を認証するためのセッション・キーを利用して、コレスポンデント・ノードに自己の気付アドレスを登録してもよい。
図１８に示されるように、モバイルノードはホーム試験イニット・メッセージを送信することによってリターン・ルータビリティ手順を開始し、該メッセージはホーム・エージェント上をリバース・トンネリングされる。ホーム試験イニット・メッセージは、応答を要求へとマッピングできるクッキーを含む。コレスポンデント・ノードは、ホーム・クッキー、ホーム・ノンス指標、および、ホーム・キー生成トークンを含む、いわゆるホーム試験メッセージで応答する。ホーム・キー生成トークンは、ホーム・アドレスおよびホーム・ノンスからのキー付ハッシュ関数によって計算される。この交換と並行してまたはこの交換に続いて、モバイルノードは、直接経路上の気付試験イニット・メッセージを、コレスポンデント・ノードへと送信する。気付試験イニットは気付クッキーを含み、コレスポンデント・ノードは気付試験メッセージで応答する。該気付試験メッセージは、気付クッキー、気付ノンス指標、および、気付キー生成トークンを含み、該気付キー生成トークンは、気付アドレスと気付ノンスとからキー付ハッシュ関数によって計算される。ハッシュ関数用のキー、および、ノンスのみがコレスポンデント・ノードに知られている。モバイルノードが、ホーム試験メッセージおよび気付試験メッセージの両方を受信した後、モバイルノードは、ホーム試験および気付試験メッセージ内のキー生成トークンの連結のハッシュ値である、バインディング・キー「ｋｂｍ」を計算する。次に、モバイルノードは、バインディング・キーの付いたハッシュ関数を用いて、オーセンティケーターを計算する。オーセンティケーターは、バインディング更新メッセージ、ホーム・アドレス、および、気付アドレスに対して計算され、バインディング更新メッセージに付加される。この許可されたバインディング更新メッセージは、最終的にコレスポンデント・ノードへと送信される。検証に成功すると、コレスポンデント・ノードは、自己のバインディング・キャッシュ内のホーム・アドレスおよび気付アドレスのバインディングを作成し、パケットをモバイルノードの気付アドレスへと直接的に送信できる。
セキュリティに関して、設計の目的は、ＩＰｖ６に匹敵するレベルを達成すること、すなわち、攻撃者が経路上に存在する場合にのみ、トラフィックのリダイレクトを許容することであった。
リターン・ルータビリティ手順およびルート最適化モードに対する複数の種類の攻撃が可能である（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される、Ｐ．Ｎｉｋａｎｄｅｒ、Ｊ．Ａｒｋｋｏら、「モバイルＩＰバージョン６ルート最適化セキュリティ設計背景」、ＩＥＴＦ ＲＦＣ ４２２５、２００５年１２月、等を参照）。偽りのバインディング更新メッセージがコレスポンデント・ノードによって誤って受け入れられる場合に起こりうる２つの最も重要な攻撃は、
−アドレス・スチーリングまたはなりすまし攻撃：トラフィックを盗聴または改ざんするため、または、サービス妨害攻撃によってトラフィックを低下させるために、攻撃者が、犠牲者宛てのトラフィックを自己へとリダイレクトすることを試みる。犠牲者は、モバイルノード、または、グローバルにルーティング可能なアドレスを持つ任意の固定ノードでありうる。
−フラッディング攻撃：攻撃者が高帯域幅サービスに加入し、サービス妨害攻撃のために犠牲者へと向がうトラフィックをリダイレクトする
である。
下記の表は、攻撃者がバインディング更新メッセージ中に入れうるアドレスの考えられる組み合わせ、バインディング更新がコレスポンデント・ノードによって受け入れられる場合の結果、および、考えられる対策の概要を提供する：
１）ホーム・アドレス＝犠牲者のホーム・アドレス／アドレス、気付アドレス＝攻撃者の気付アドレス
−標的：盗聴／改ざんのためのアドレス・スチーリング／なりすまし攻撃
−対策：暗号的に生成されたアドレス、ホーム・アドレス試験
２）ホーム・アドレス＝犠牲者のホーム・アドレス／アドレス、気付アドレス＝存在しない気付アドレス
−標的：サービス妨害攻撃のためのアドレス・スチーリング／なりすまし攻撃
−対策：暗号的に生成されたアドレス、ホーム・アドレス試験
３）ホーム・アドレス＝攻撃者のホーム・アドレス、気付アドレス＝犠牲者の気付アドレス
−標的：フラッディング攻撃
−対策：クレジット・ベースのバインディング受信確認、気付アドレス試験
４）ホーム・アドレス＝犠牲者のプレフィックスの付いた攻撃者のホーム・アドレス、気付アドレス＝攻撃者の気付アドレス
−標的：ホームに戻るフラッディング：攻撃者がホーム・アドレスを高帯域幅サービスへと加入し、バインディングの期限切れを起こさせ、サービス妨害攻撃のために犠牲者のネットワークへとストリームをリダイレクトする
−対策：ホーム・アドレス試験
ホーム・アドレス試験（ホーム試験／ホーム試験イニット交換）を理由として、攻撃者は、要求されたホーム・アドレスに到達可能でなければならない。それゆえ、ホーム・エージェントとコレスポンデント・ノードとの間の経路上の攻撃者、および、モバイルノードとホーム・エージェントとの間の攻撃者のみが、第１、２、および４のアドレスの組み合わせで攻撃の完了に成功することができる。ＩＰｓｅｃが用いられる場合は、モバイルノードとホーム・エージェントとの間のトンネル内にあるホーム試験が、暗号化されるべきである（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される、Ｊ．Ａｒｋｋｏ、Ｖ．Ｄｅｖａｒａｐａｌｌｉ、Ｆ．Ｄｕｐｏｎｔ、「モバイルノードとホーム・エージェントとの間のモバイルＩＰｖ６シグナリングを保護するためのＩＰｓｅｃの使用」、ＩＥＴＦ ＲＦＣ３７７６、２００４年６月、を参照）。この場合には、第１、２、および４のアドレスの組み合わせで攻撃の完了に成功するためには、攻撃者は、ホーム・エージェントとコレスポンデント・ノードとの間の経路上に存在しなければならない。気付アドレス試験（気付試験／気付試験イニット交換）を理由として、第３のアドレスの組み合わせでフラッディング攻撃の完了に成功するためには、攻撃者は、要求された気付アドレスに到達可能でなければならない。
要約すると、偽りのコレスポンデント・ノード登録を用いてトラフィックをリダイレクトできるようにするためには、攻撃者は経路上に存在しなければならない。しかしながら、ＩＰｖ６とは対照的に、攻撃者は、経路へのアクセスを一時的に獲得し、オフ・パス攻撃を継続できるのみであろう。例をあげると、攻撃者はホーム試験をインターセプトし、その後、第１のアドレスの組み合わせで、なりすまし攻撃を実装するべく、ホーム・エージェントとコレスポンデント・ノードとの間の経路を離れることができるであろう。
これは、タイム・シフト攻撃（ＲＦＣ４２２５等を参照）と称し、７分間という短いバインディング寿命が緩和される、すなわち、偽りのリダイレクトを有効に保つために、攻撃者は、７分ごとに経路上に戻らなければならない。
リターン・ルータビリティ手順およびルート最適化モードの欠点は、待ち時間およびシグナリングのオーバーヘッドが大幅に増大することである。すべてのハンドオーバーの直後に、少なくとも（バインディング更新メッセージを含む）５つのメッセージが交換されなければならず、たとえモバイルノードが移動中でなくても、バインディング寿命の期限が切れるたびに（すなわち７分後に）、手順は繰り返されなければならない。他の欠点は、手順が完全に安全でないことである。このことは、要求されたホーム・アドレスおよび気付アドレスに直近の７分以内に到達可能であったノードは、攻撃者ではないという前提に基づいている。リターン・ルータビリティ手順の別の欠点は、該手順が、ホーム・エージェントに依存することである。このことは、ホーム・エージェントは経路を最適化したトラフィックのためのデータ経路上に存在しないであろうが、ホーム・エージェントがダウンすると、経路を最適化した通信は可能でないことを意味している。
Ｊ．Ａｒｋｋｏ、Ｃ．Ｖｏｇｔ、Ｗ．Ｈａｄｄａｄ、「暗号的に生成されたアドレス（ＣＧＡ）およびクレジット・ベースの認証（ＣＢＵ）のモバイルＩＰｖ６への適用」、ｄｒａｆｔ−ａｒｋｋｏ−ｍｉｐｓｈｏｐ−ｃｇａ−ｃｂａ−０４．ｔｘｔ、２００６年６月（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される）は、ルート最適化モードのための２つの最適化を提案している。第１のものは、モバイルノードが、ハンドオーバー遅延を改善するために、新しい未検証の気付アドレスの付いた早期のバインディング更新を送信することを許容する、すなわち、気付アドレス試験は、バインディング更新が送信された後に、データを新しい気付アドレスへと送信するのと並行して実行される。しかしながら、コレスポンデント・ノードは、クレジット・カウンタを保守しており、前回の気付アドレスに送信した数と同数のパケットを、この未検証の気付アドレスへと送信することのみが許容される。この「クレジット・ベースの許可」は、リダイレクト・ベースのフラッディング攻撃における増幅を防止する。第２の最適化は、モバイルノードおよびコレスポンデント・ノードが、初期ホーム・アドレス試験を除くほとんどすべてのホーム・アドレス試験を省略することを許容する。これによって、シグナリングのオーバーヘッドおよびハンドオーバー遅延を低減するが、ホーム・アドレスが、たとえばＴ．Ａｕｒａ、「暗号的に生成されたアドレス（ＣＧＡ）」、ＲＦＣ３９７２、２００５年３月（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含される）に提案されるような暗号的に生成されたアドレス（ＣＧＡ）であることを要する。暗号的に生成されたアドレスは、パブリック・キーをＩＰｖ６アドレス（または、より具体的には、そのインタフェース識別子）と結合する。これは、対応するプライベート・キーで署名したメッセージの強力な暗号的アドレスの所有権証明であり、なりすまし攻撃を事実上不可能にする。初期ホーム・アドレス試験は、ホームの暗号的に生成されたアドレスのプレフィックスを検証し、ホームに戻るフラッディング攻撃を防止するためにのみ必要である（Ｊ．Ａｒｋｋｏ、Ｃ．Ｖｏｇｔ、Ｗ．Ｈａｄｄａｄ、「暗号的に生成されたアドレス（ＣＧＡ）およびクレジット・ベースの認証（ＣＢＵ）のモバイルＩＰｖ６への適用」を参照）。これらの機構によって、コレスポンデント・ノードにおけるバインディング寿命は、７分間よりもずっと大きくなるよう許容される。すなわち、リターン・ルータビリティ手順は７分ごとに繰り返される必要はない。
しかしながら、該提案には欠点がある。第１に、暗号的に生成されたアドレスはパブリック・キー暗号化に基づいており、それゆえに、パブリック／プライベート・キー、および、（メッセージを署名および検証するため、および、暗号的に生成されたアドレスを生成するための）何らかの演算およびメモリを必要とする。これは、すべてのモバイルノードまたはコレスポンデント・ノードにおいて利用できない可能性もありうる。さらに、暗号的に生成されたアドレスは、様々な理由により大きな規模では実施されない。
モバイルＩＰｖ６ルート最適化モードの欠点は、双方向性トンネリング・モードと比較しての限定的なセキュリティ、および、高いシグナリングおよびハンドオーバー遅延である。後者は、遅延センシティブなアプリケーションに対して悪影響を及ぼす。本発明の第３の態様は、ルート最適化モードおよびそのバリアントのセキュリティを増大するか、または、事実上同一のセキュリティ特性を保ちながら、シグナリングのオーバーヘッドおよびハンドオーバー遅延を低減するかのいずれかに用いることができる機構を提案する。
別の欠点は、ホーム・エージェントへの依存、および、ホーム・エージェントがダウンしている時にデータ・セッションを有効に保つことができないことである。本発明の第３の態様は、ホーム・エージェントへの依存を低減し、それゆえに、ホーム・エージェント・クラッシュに対する耐性を増大することができる。
第４の態様では、モバイルノードのネットワーク要素への接続を検証し、モバイルノードのネットワーク要素への接続に関する情報を、モバイルノードからローカル・モビリティ・アンカーへと提供することに関与する問題が説明される。
プロキシ・モバイルＩＰｖ６はマルチ・インタフェースのハンドオーバーおよび接続をサポートする。したがってＰＢＵは、上記のＭＮ−ＩＤ（ＮＡＩ）およびホーム・ネットワーク・プレフィックス（ＨＮＰ）に加えて、ハンドオーバー・インディケーター（ＨＩ）、インタフェース識別子（ＩＩＤ）、アクセス技術タイプ（ＡＴＴ）を含む。ＨＩフィールドによって、モバイル・アクセス・ゲートウェイ（ＭＡＧ）は、モバイルノード（ＭＮ）のローカル・モビリティ・アンカーへの接続の種類を示すことができる。考えられる値は、「新しいインタフェース上の接続」、「インタフェース間のハンドオフ」、「同一のモバイルノードのＩＦのためのモバイル・アクセス・ゲートウェイ間のハンドオフ」または「未知のハンドオフ状態」である。ＩＩＤフィールドは、現在ＭＡＧに接続されているＭＮインタフェースの識別子を含み、一方、ＡＴＴフィールドは、ＭＮが現在のインタフェースのためにアクセス技術のいずれの種類を用いるかを表す。これらパラメータの組み合わせに応じた論理に基づいて（ｄｒａｆｔ−ｉｅｔｆ−ｎｅｔｌｍｍ−ｐｒｏｘｙｍｉｐ６−１１の第５．４節を参照）、ローカル・モビリティ・アンカーは、ＭＮ用のＢＣＥを更新する（すなわちハンドオーバー）か、または、新しいＨＮＰをＭＮに割り当てる（すなわち新しいセッション）かを決定する。
３ＧＰＰ ＳＡＥシステム（ともに、ｈｔｔｐ：／／ｗｗｗ．３ｇｐｐ．ｏｒｇより入手可能であり、参照によって本明細書に包含される、３ＧＰＰ ＴＳ ２３．４０１、「拡張型ユニバーサル第３世代無線アクセス・ネットワーク（Ｅ−ＵＴＲＡＮ）アクセスのための汎用パケット無線サービス（ＧＰＲＳ）の向上」、第８．０．０版、および、３ＧＰＰ ＴＳ ２３．４０２、「非３ＧＰＰアクセスのためのアーキテクチャ向上」、第８．０．０版を参照）は、アクセス技術間のハンドオーバーのモビリティ管理のための（クライアント）ＭＩＰｖ６およびプロキシＭＩＰｖ６の両方を指定する。ホーム・エージェント機能およびローカル・モビリティ・アンカー機能は、パブリック・データ・ネットワーク・ゲートウェイ（ＰＤＮ−ＧＷ）の一部であり、モバイルノード機能はユーザ機器（モバイルノードと等価）の一部であり、モバイル・アクセス・ゲートウェイ機能は、拡張型パケット・データ・ゲートウェイ（ｅＰＤＧ）、アクセス・ゲートウェイ、および、非３ＧＰＰネットワークのアクセス・ルータの一部である。
モバイル・アクセス・ゲートウェイによる他の種類のリダイレクト攻撃が可能であり、これを図２５に示す。攻撃者によって安全性が損なわれたＭＡＧは、図２５中でＭＡＧ３として表されており、トラフィックを、安全性が損なわれたＭＡＧに接続されていないＭＮへと、首尾よくリダイレクトすることができる。それを達成するためには、安全性が損なわれたＭＡＧは、犠牲者のＩＤを含む偽りのＰＢＵを、ＬＭＡへと送信さえすればよい。オフ・パス攻撃について、下記の図２５に関してより詳細に記載される。
最初に、ＭＮはＭＡＧ１に接続し、引き続きＭＡＧ１はＰＢＵをＬＭＡへと送信する。これによって、ＭＡＧ１とＬＭＡとの間にトンネルを設定し、ＭＮとＣＮとの間でのトラフィックの転送を可能にする。その後、安全性が損なわれたＭＡＧ３は、ＰＢＵを、ＭＮのＩＤを含むＬＭＡへと送信することによって、リダイレクト攻撃を実装する。さらなる方策を取らなければ、ＬＭＡはＰＢＵを受け入れ、ＭＡＧ１において、ＭＮ宛てのトラフィックすべてを、攻撃者によって操作された安全性が損なわれたＭＡＧ３へと転送するであろう。
リダイレクト攻撃の成功のためには、安全性が損なわれたＭＡＧによって送信されたＰＢＵは、犠牲者ＭＮのＩＤおよびＨＩ値２（インタフェース間のハンドオフ）を含みさえすればよい。このＰＢＵにおいて、犠牲者のＨＮＰおよびＩＩＤはオプションであり、安全性が損なわれたＭＡＧは把握する必要がない。このオフ・パス攻撃は可能である。その理由は、ＭＡＧの安全性が損なわれた時に信頼関係は変化しないので、ＬＭＡは、たとえ安全性が損なわれているとしても、信頼されるよう構成されたＭＡＧを信頼するからである。
ＬＭＡがいずれのＭＡＧにＭＮが現在接続されているかを把握することができたならば、ＬＭＡは、このＭＡＧからのみのこのＭＮ用のＰＢＵを受け入れることができ、ひいては、安全性が損なわれたＭＡＧによるリダイレクト攻撃を防止するであろう。しかしながら、ＰＭＩＰはＭＮをプロトコル交換に関与させないので、ＭＮはＬＭＡを知りすらしないこともありうるので、ＭＮと、この情報を提供しうるＬＭＡとの間で、プロトコル・メッセージ交換は可能でない。
本発明の第１の目的は、安全性が損なわれたネットワーク要素からのモバイルノード宛てのトラフィックをリダイレクトする試みを検知する、ハンドオーバー遅延に影響を及ぼさない改善された方法を提供することである。
本発明の第２の目的は、ネットワーク・ベースおよびホスト・ベース混合型のモビリティ管理におけるモビリティ・アンカー・ポイントでの競合状態を解消し、および、モビリティ・アンカー・ポイントが、２つのバインディング更新を受信した直後に、常に最も直近のバインディング更新を受け取ることを保証する方法を提供することである。
本発明の第３の目的は、モバイルノードおよび／またはコレスポンデント・ノードが、コレスポンデント・ノードにおけるスプーフィングされたバインディング・キャッシュ・エントリーを検知するのを可能にすること、および、モバイルノードのホーム・エージェントが到達可能でない場合であっても、コレスポンデント・ノードにおける気付アドレスの許可された登録を許容する機構を提案することである。さらに、他の目的は、暗号的に生成されたアドレスの使用を要することなく、これらの目的のうち少なくとも１つを達成することである。
本発明の第４の目的は、ネットワーク要素、ならびに、対応するモバイルノードおよびローカル・モビリティ・アンカーへのモバイルノードの接続を検証する方法を提供することである。
本発明の第１の態様による一実施形態は、受信確認メッセージを、受信されたばかりの有効なＰＢＵメッセージ中に含まれるＩＰアドレスへとだけでなく過去に受信された有効なＰＢＵメッセージ中に含まれるＩＰアドレスへも、送信することによって、モバイルノードが本当に、ＰＢＵメッセージをローカル・モビリティ・アンカーに送信したモバイル・アクセス・ゲートウェイに接続されているかどうかを検証することにある。このような機構によって、ハンドオーバー時間のたびにポリシー・ストアまたはＡＡＡサーバーに問い合わせる必要なしに、攻撃の検知が可能になり、これによってハンドオーバー遅延の増大を防止する。
本発明の第１の態様による一実施形態によると、ローカル・モビリティ・アンカーが、信頼されたモバイル・アクセス・ゲートウェイから有効なＰＢＵを受信した直後にバインディング・キャッシュ・エントリーを更新し、その後に、モバイルノードが、ＰＢＵを送信するモバイル・アクセス・ゲートウェイに本当に位置しているか否かを検証する手順を開始する場合には、ハンドオーバー遅延がさらに低減できる。すなわち、データ・トラフィックが新しい位置へと即座に流れることが可能であり、攻撃検知が同時に実行される。この楽観的アプローチは、通常のＰＭＩＰハンドオーバーと比較してハンドオーバー遅延が増大しない一方で、依然としてリダイレクト攻撃を検知できることを保証する。
本発明の第１の態様による一実施形態は、ネットワーク内のモバイルノードのネットワーク要素への接続を検証する方法を提供する。前記ネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる。前記方法は：第１のネットワーク内のモバイルノードの位置についての第１のメッセージを受信することであって、前記第１のメッセージは第１のＩＰアドレスを含む；第２のネットワーク内のモバイルノードの位置についての第２のメッセージを受信することであって、前記第２のメッセージは第２のＩＰアドレスを含み、前記第２のネットワークは、モバイルノードのモビリティを管理するために、ネットワーク・ベースのモビリティ管理スキームを用いる；受信確認メッセージを第１および第２のＩＰアドレスの両方へと送信すること；第１のネットワーク内のモバイルノードの位置についての第１のメッセージと、受信確認メッセージとを比較すること；および、比較結果に基づいて、第２のネットワーク内のモバイルノードの位置についての第２のメッセージが改ざんされているか否かを検知すること；を含む。
本発明の第１の態様による他の実施形態は、ネットワーク内のモバイルノードのネットワーク要素への接続を検証する方法を提供する。前記ネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる。前記方法は、ローカル・モビリティ・アンカーによって実行される：第１のネットワーク内のモバイルノードの位置についての第１のメッセージを受信する手順であって、前記第１のメッセージは第１のＩＰアドレスを含む手順；第２のネットワーク内のモバイルノードの位置についての第２のメッセージを受信する手順であって、前記第２のメッセージは第２のＩＰアドレスを含み、前記第２のネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる手順；受信確認メッセージを第１および第２のＩＰアドレスの両方へと送信する手順であって、前記受信確認メッセージは、第１のネットワーク内のモバイルノードの位置についての第１のメッセージおよび第２のネットワーク内のモバイルノードの位置についての第２のメッセージの、それぞれの再送信を要求する手順；および、ローカル・モビリティ・アンカーによって受信されるモバイルノードの位置についての再送信されたメッセージに基づいて、第２のネットワーク内のモバイルノードの位置についての第２のメッセージが改ざんされるか否かを検知する手順；を含む。
本発明の第１の態様による他の実施形態は、ネットワーク内のモバイルノードのネットワーク要素への接続を検証するよう構成されたローカル・モビリティ・アンカーを提供する。前記ネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる。前記ローカル・モビリティ・アンカーは：第１のネットワーク内のモバイルノードの位置についての第１のメッセージであって前記第１のメッセージは第１のＩＰアドレスを含む第１のメッセージと、第２のネットワーク内のモバイルノードの位置についての第２のメッセージであって前記第２のメッセージは第２のＩＰアドレスを含む第２のメッセージとを受信する受信手段であって、前記第２のネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる受信手段；および、受信確認メッセージを第１および第２のＩＰアドレスの両方へと送信する送信手段；を含む。
本発明の第１の態様によるさらに別の実施形態は、モバイルノードであって：第１のネットワーク内のモバイルノードの位置についての第１のメッセージを送信する送信手段であって、前記第１のネットワークは、モバイルノードのモビリティを管理するためにモバイルノード・ベースのモビリティ管理スキームを用いる送信手段；ローカル・モビリティ・アンカーから受信確認メッセージを受信する受信手段；第１のネットワーク内のモバイルノードの位置についての第１のメッセージと受信された受信確認メッセージとを比較する比較手段；および、比較結果に基づいて、ローカル・モビリティ・アンカーにおいて受信された、第２のネットワーク内のモバイルノードの位置についての第２のメッセージが改ざんされるか否かを検知する検知手段であって、前記第２のネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる検知手段：を含むモバイルノードを提供する。
本発明の第１の態様による他の実施形態は、ネットワーク要素であって：第１のネットワーク内のモバイルノードの位置についての第１のメッセージを送信する送信手段であって、前記第１のネットワークはモバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる送信手段；ローカル・モビリティ・アンカーから受信確認メッセージを受信する受信手段；第１のネットワーク内のモバイルノードの位置についての第１のメッセージと受信された受信確認メッセージとを比較する比較手段；および、比較結果に基づいて、ローカル・モビリティ・アンカーにおいて受信された、第２のネットワーク内のモバイルノードの位置についての第２のメッセージが改ざんされるか否かを検知する検知手段であって、前記第２のネットワークはモバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる検知手段；を含むネットワーク要素を提供する。
本発明の第１の態様によるさらに別の実施形態は、ネットワーク内のモバイルノードのネットワーク要素への接続を検証するよう構成されたローカル・モビリティ・アンカーを提供する。前記ネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる。前記ローカル・モビリティ・アンカーは：第１のネットワーク内のモバイルノードの位置についての第１のメッセージであって前記第１のメッセージは第１のＩＰアドレスを含む第１のメッセージと、および、第２のネットワーク内のモバイルノードの位置についての第２のメッセージであって前記第２のメッセージは第２のＩＰアドレスを含み、前記第２のネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる、第２のメッセージとを受信する受信手段；および、受信確認メッセージを第１および第２のＩＰアドレスの両方へと送信する送信手段であって、前記受信確認メッセージは、第１のネットワーク内のモバイルノードの位置についての第１のメッセージおよび第２のネットワーク内のモバイルノードの位置についての第２のメッセージのそれぞれの再送信を要求する送信手段；ローカル・モビリティ・アンカーによって受信されるモバイルノードの位置についての再送信されたメッセージに基づいて、第２のネットワーク内のモバイルノードの位置についての第２のメッセージが改ざんされるか否かを検知する検知手段；を含む。
本発明の第２の態様による一実施形態は、ＣＭＩＰ−ＨＡとＰＭＩＰ−ＨＡとが１つのＨＡ内にともに配置されている場合に、ネットワーク・ベースおよびクライアント・ベースのモビリティ機構によって送信されたバインディング更新の競合状態の検知および解消のために、ホーム・エージェント内にアルゴリズムを導入することにある。ＨＡはまず、所定のＭＮについてモビリティ機構の変化を検知する必要がある。モビリティ機構の変化（すなわち、ＣＭＩＰからＰＭＩＰへ、または、ＰＭＩＰからＣＭＩＰへ）のこの検知は、異なる種類のバインディング更新の連続受信、すなわち、ＨＡが、ＰＢＵの後にＣＢＵを受信するのか、または、ＣＢＵの後にＰＢＵを受信するのかに基づいている。これはバインディング更新の競合状態が発生しうる第１の徴候である。
さらに、ＨＡはＢＵ競合状態の検知を精緻化するために、追加的な機構を実装してもよい。本発明の第２の態様による一実施形態によると、ＨＡは、異なる種類のバインディング更新のそれぞれの到着時間の時間差を測定してもよい。この時間が所定の時間制限よりも短い場合、すなわち、バインディング更新が互いに近い時間に疑わしく到着する場合には、ＨＡはバインディング更新どうしの競合状態が発生すると結論づけてもよい。ＨＡが競合状態を疑う場合は、ＨＡは最後のＢＵを拒絶し、その結果、ＨＡは、ＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］と表される、更新通知オプションが０に設定されたバインディング受信確認等、ＢＵ解消（resolution）クエリー・メッセージを、両方のＣｏＡ、すなわち、バインディング・キャッシュ・エントリー中のＣｏＡおよび最後のＢＵ中のＣｏＡへと送信する。後に、ＨＡは、現在のＭＮの位置からＢＵ解消応答メッセージ（ＣＢＵまたはＰＢＵ）を１つのみ受信し、通常の方法でこのＢＵを処理する。
本発明の第２の態様による一実施形態は、モビリティ・アンカー・ポイントにおけるモバイルノードのモビリティを管理する方法を提供する。前記モバイルノードは、第１のネットワークと第２のネットワークとの間を移動する。前記第１のネットワークは、モバイルノードのモビリティを管理するためにモバイルノード・ベースのモビリティ管理スキームを用い、前記第２のネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる。前記モビリティ・アンカー・ポイントはモバイルノード・ベースのモビリティ管理スキーム、および、ネットワーク・ベースのモビリティ管理スキームの両方を実装する。前記方法は、モビリティ・アンカー・ポイントによって実行される：モバイルノードからの、第１のネットワーク内のモバイルノードの第１の位置についての第１のメッセージを受信する手順であって、該モバイルノードは第１のＩＰアドレスを有する手順；第２のネットワーク内のネットワーク要素からの、第２のネットワーク内のモバイルノードの第２の位置についての第２のメッセージを受信する手順であって、該モバイルノードは第２のＩＰアドレスを有する手順；バインディング要求メッセージを、モバイルノードの該第１および第２のＩＰアドレスのうち少なくとも１つに送信する手順；該第１および第２のＩＰアドレスのうち少なくとも１つに対する応答メッセージを受信する手順；および、受信された応答メッセージに基づいて、該第１および第２のＩＰアドレスのうちいずれがモバイルノードの現在のＩＰアドレスであるかを判定する手順；を含む。
本発明の第２の態様による他の実施形態は、モビリティ・アンカー・ポイントにおけるモバイルノードのモビリティを管理する方法を提供する。前記モバイルノードは、第１のネットワークと第２のネットワークとの間を移動する。前記第１および第２のネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる。前記モビリティ・アンカー・ポイントは、ネットワーク・ベースのモビリティ管理スキームを実装する。前記方法は、モビリティ・アンカー・ポイントによって実行される：第１のネットワーク内の第１のネットワーク要素からの、第１のネットワーク内のモバイルノードの第１の位置についての、第１のメッセージを受信する手順であって、該モバイルノードは第１のＩＰアドレスを有する手順；第２のネットワーク内の第２のネットワーク要素からの、第２のネットワーク内のモバイルノードの第２の位置についての、第２のメッセージを受信する手順であって、該モバイルノードは第２のＩＰアドレスを有する手順；バインディング要求メッセージをモバイルノードの該第１および第２のＩＰアドレスのうち少なくとも１つに送信する手順；該第１および第２のＩＰアドレスのうち少なくとも１つに対する応答メッセージを受信する手順；および、受信された応答メッセージに基づいて、該第１および第２のＩＰアドレスのうちいずれがモバイルノードの現在のＩＰアドレスであるかを判定する手順；を含む。
本発明の第２の態様による他の実施形態は、モバイルノードのモビリティを管理するためのモビリティ・アンカー・ポイントを提供する。前記モバイルノードは、第１のネットワークと第２のネットワークとの間を移動する。前記第１のネットワークは、モバイルノードのモビリティを管理するためにモバイルノード・ベースのモビリティ管理スキームを用い、前記第２のネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用い、および、前記モビリティ・アンカー・ポイントは、モバイルノード・ベースのモビリティ管理スキームおよびネットワーク・ベースのモビリティ管理スキームの両方を実装する。前記モビリティ・アンカー・ポイントは：モバイルノードからの、第１のネットワーク内のモバイルノードの第１の位置についての第１のメッセージであって、該モバイルノードは第１のＩＰアドレスを有する第１のメッセージと、および、第２のネットワーク内のネットワーク要素からの、第２のネットワーク内のモバイルノードの第２の位置についての、第２のメッセージであって、該モバイルノードは第２のＩＰアドレスを有する第２のメッセージとを受信する受信手段；および、バインディング要求メッセージをモバイルノードの該第１および第２のＩＰアドレスのうち少なくとも１つに送信する送信手段；を含み、前記受信手段は、該第１および第２のＩＰアドレスのうち少なくとも１つに対する応答メッセージを受信するよう構成され、および、前記モビリティ・アンカー・ポイントは、受信された応答メッセージに基づいて、該第１および第２のＩＰアドレスのうちいずれがモバイルノードの現在のＩＰアドレスであるかを判定する判定手段をさらに含む。
本発明の第２の態様によるさらに別の実施形態は、モバイルノードのモビリティを管理するためのモビリティ・アンカー・ポイントを提供する。前記モバイルノードは第１のネットワークと第２のネットワークとの間を移動し、前記第１および第２のネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用い、および、前記モビリティ・アンカー・ポイントは、ネットワーク・ベースのモビリティ管理スキームを実装する。および、前記モビリティ・アンカー・ポイントは：第１のネットワーク内の第１のネットワーク要素からの、第１のネットワーク内のモバイルノードの第１の位置についての、第１のメッセージであって、該モバイルノードは第１のＩＰアドレスを有する第１のメッセージと、および、第２のネットワーク内の第２のネットワーク要素からの、第２のネットワーク内のモバイルノードの第２の位置についての、第２のメッセージであって、該モバイルノードは第２のＩＰアドレスを有する第２のメッセージとを受信する受信手段；および、バインディング要求メッセージをモバイルノードの該第１および第２のＩＰアドレスのうち少なくとも１つに送信する送信手段；を含み、前記受信手段は、該第１および第２のＩＰアドレスのうち少なくとも１つに対する応答メッセージを受信するよう構成され、および、前記モビリティ・アンカー・ポイントは、受信された応答メッセージに基づいて、該第１および第２のＩＰアドレスのうちいずれがモバイルノードの現在のＩＰアドレスであるかを判定する判定手段をさらに含む。
本発明の第２の態様による他の実施形態は、第１のネットワークと第２のネットワークとの間を移動するモバイルノードを提供する。前記第１のネットワークは、モバイルノードのモビリティを管理するためにモバイルノード・ベースのモビリティ管理スキームを用い、および、前記第２のネットワークは、モバイルノードのモビリティを管理するためにネットワーク・ベースのモビリティ管理スキームを用いる。前記モバイルノードは、第１のネットワーク内のモバイルノードの位置についてのメッセージを、モバイルノードのモビリティ・アンカー・ポイントに送信する送信手段であって、該モバイルノードは第１のＩＰアドレスを有する送信手段；および、モビリティ・アンカー・ポイントから、モバイルノードの第１のＩＰアドレスに対するバインディング要求メッセージを受信する受信手段；を含み、前記送信手段は、受信されたバインディング要求メッセージに対する応答メッセージを、モビリティ・アンカー・ポイントへと送信するよう構成されている。
本発明の第２の態様による他の実施形態は、モバイルノードのモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを用いるネットワーク内において、ネットワーク要素を提供し、前記ネットワーク要素は、モバイルノードのモビリティ・アンカー・ポイントに、ネットワーク内のモバイルノードの位置についてのメッセージを送信する送信手段；該モバイルノードはＩＰアドレスを有する、および、モビリティ・アンカー・ポイントから、モバイルノードのＩＰアドレスに対するバインディング要求メッセージを受信する受信手段を含み、前記送信手段は、受信されたバインディング要求メッセージに対する応答メッセージを、モビリティ・アンカー・ポイントへと送信するよう構成されている。
本発明の第３の態様の目的のうち１つは、あるコレスポンデント・ノードにおけるあるモバイルノードのスプーフィングされたバインディング・キャッシュ・エントリーの検知を可能にする機構を提案することである。下記に概略を示すように、１つの解決法は、バインディング更新に対するバインディング受信確認を、モバイルノードのホーム・アドレスおよび／またはモバイルノードの以前に登録された気付アドレスへと送信することであってもよい。さらに、コレスポンデント・ノードは、オプションとして、別のバインディング受信確認を、新しく登録された気付アドレスへと送信してもよい。後者の例では、コレスポンデント・ノードは、バインディング受信確認を新しい（スプーフィングされている可能性のある）気付アドレスだけでなく、モバイルノードの以前に登録された気付アドレスおよび／またはモバイルノードのホーム・アドレスへと送信する場合、移動体端末は、自己のバインディングに対する攻撃を、たとえば、該移動体端末によって送信されたバインディング更新に対するバインディング受信確認が受信されることを認識することによって、検知しうる。
モバイルノードのスプーフィングされたバインディング・キャッシュ・エントリーを検知する他の選択肢は、コレスポンデント・ノードが、１つ以上の要求／要請または非要請プローブ・メッセージをモバイルノードへと送信するバインディング試験であってもよい。これらプローブ・メッセージは、モバイルノードが、該コレスポンデント・ノードにおける自己のバインディング・キャッシュ・エントリーが（依然として）正しいか否かを確認／検知することを許容してもよい。
本発明の第３の態様の他の目的は、たとえモバイルノードのホーム・エージェントがダウンしている場合であっても、シグナリング経費を低減しうる、および／または、コレスポンデント・ノードにおける気付アドレスの許可された登録もまた可能にしうる、許可された気付アドレス登録機構を提案することである。本発明の第３の態様による提案された機構は、該機構が、暗号的に生成されたアドレスがモバイルノードおよびコレスポンデント・ノードによって用いられることを必要としないという点で有利でありうる。この態様によると、いわゆる永続トークン（または永続キー生成トークン）がバインディング更新の認証のために用いられる。様々な実施形態もまた、どのようにこのような永続トークンがモバイルノードおよびコレスポンデント・ノードにおいて生成されうるか、および、いつ、かつどのように、たとえば、該コレスポンデント・ノードにおけるモバイルノードのバインディングに対する攻撃の検知に応答して、永続トークンを更新するかを説明している。
本発明の第３の態様による一実施形態によると、あるコレスポンデント・ノードにおける移動体のバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知する方法が提供される。この実施形態では、モバイルノードは自己のホーム・ネットワーク内に少なくとも１つのホーム・アドレスを、および、外部ネットワーク内に少なくとも１つの気付アドレスを有することが想定される。この実施形態では、コレスポンデント・ノードは、許可されたバインディング更新の受信に応答して、少なくとも１つのバインディング受信確認をモバイルノードへと送信する。これによって、１つのバインディング受信確認は、モバイルノードのホーム・ネットワーク内にあるモバイルノードのホーム・アドレスへと向かうことになる。代替的に（または、バインディング更新をモバイルノードのホーム・アドレスへと送信することに加えて）、コレスポンデント・ノードは、１つのバインディング受信確認を、許可されたバインディング更新によって登録抹消された気付アドレスへと向けてもよい。モバイルノードは、少なくとも１つのバインディング受信確認を受信し、および、少なくとも１つの受信されたバインディング受信確認に基づいて、該コレスポンデント・ノードにおける該移動体のバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知しうる。
本発明の第３の態様による他の実施形態によると、コレスポンデント・ノードは、別のバインディング受信確認を、許可されたバインディング更新の中に提供される新しい気付アドレスへと向けてもよい。
本発明の第３の態様による一実施形態では、コレスポンデント・ノードにおけるモバイルノードのバインディング・キャッシュ・エントリーがスプーフィングされているか否かが、モバイルノードによって送信された許可されたバインディング更新に対して、少なくとも１つのバインディング受信確認が受信されるか否かを、該モバイルノードにおいて判定することによって、判定される。
本発明の第３の態様による他の実施形態では、コレスポンデント・ノードにおけるモバイルノードのバインディング・キャッシュ・エントリーがスプーフィングされているか否かが、該少なくとも１つの受信されたバインディング受信確認中のシーケンス番号が、受信確認されていない許可されたバインディング更新のシーケンス番号に一致するか否かを、該モバイルノードにおいて判定することによって、判定される。
本発明の第３の態様による他の実施形態では、モバイルノードにおいて、モバイルノードが登録されているホーム・エージェントがダウンしていることが、さらに検知される。もしそうであれば、モバイルノードは、コレスポンデント・ノードに、ダウン中であるホーム・エージェントについて通知してもよい。
本発明の第３の態様による他の実施形態は、あるコレスポンデント・ノードにおける移動体のバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知する方法に関する。この実施形態では、モバイルノードは外部ネットワーク内に少なくとも１つの気付アドレスを有する。モバイルノードおよびコレスポンデント・ノードはバインディング試験を行う。このバインディング試験は、モバイルノードの気付アドレスを用いて、送信側コレスポンデント・ノードからモバイルノードへのバインディング試験メッセージの送信を含んでもよい。コレスポンデント・ノードにおけるスプーフィングされたバインディング・キャッシュ・エントリーは、バインディング試験に基づいて検知されてもよい。
この実施形態の変形例では、閾値期間にわたってモバイルノードがコレスポンデント・ノードからのバインディング試験メッセージを受信しない場合には、モバイルノードは、該コレスポンデント・ノードにおける該モバイルノードのバインディング・キャッシュ・エントリーがスプーフィングされたことを検知してもよい。
本実施形態の他の変形例では、バインディング試験メッセージは、該コレスポンデント・ノードによって送信された非要請メッセージであってもよい。さらに、バインディング試験メッセージは定期的に送信されることも予見されうる。
本発明の第３の態様による別の実施形態では、コレスポンデント・ノードが、たとえば一時的に、モバイルノードへと送信するデータ・パケットを全く有さない場合には、バインディング試験メッセージがコレスポンデント・ノードによって送信される。
本発明の第３の態様による他の実施形態では、バインディング試験は、コレスポンデント・ノードに対してバインディング試験メッセージを送信するよう要求するために、少なくとも１つのバインディング試験要求メッセージを、モバイルノードからコレスポンデント・ノードへと送信することをさらに含む。この実施形態の変形例では、コレスポンデント・ノードから、１つ以上のプローブ・メッセージに対する応答がモバイルノードによって全く受信されない場合は、コレスポンデント・ノードにおけるスプーフィングされたバインディング・キャッシュ・エントリーは、モバイルノードによって検知されてもよい。この実施形態の他の変形例では、バインディング試験は、たとえばＩＣＭＰエコー要求および／またはＩＣＭＰエコー応答メッセージといった、ＩＣＭＰプロトコルのメッセージを活用する。
本発明の第３の態様による他の実施形態では、バインディング試験メッセージ（単数または複数）はバインディング受信確認メッセージ（単数または複数）である。
本発明の第３の態様による他の実施形態は、移動体端末のバインディングに対する検知された攻撃に対して対策を行うことに関する。たとえば、モバイルノードは、コレスポンデント・ノードにおけるスプーフィングされたバインディング・キャッシュ・エントリーの検知に応答して、下記の対策のうち少なくとも１つを実行してもよい。
１つの考えられる対策は、コレスポンデント・ノードによってリターン・ルータビリティ手順を実行することである。この手順は、モバイルノードに暗号情報を提供しうる。リターン・ルータビリティ手順に引き続いて、移動体端末は次いで、スプーフィングされたバインディング・キャッシュ・エントリーを正しくするために、許可されたバインディング更新をコレスポンデント・ノードへと送信してもよい。これによって、許可されたバインディング更新は、リターン・ルータビリティ手順を行うことによって取得された暗号情報を用いることによって、認証される。なお、永続キー生成トークンは、リターン・ルータビリティ手順の一部としてのモバイルノードおよびコレスポンデント・ノードによって決定されてもよい。
別の考えられる対策は、モバイルノードが、スプーフィングされたバインディング・キャッシュ・エントリーについてコレスポンデント・ノードに通知することであってもよい。
さらなる対策は、モバイルノードとコレスポンデント・ノードの間でデータを交換する際に、ルート最適化を用いない／もはや用いないことである。本発明の第３の態様による例示的な実施形態によると、この対策は、モバイルノードのバインディングに対する攻撃を検知した直後に、モバイルノードとコレスポンデント・ノードの間で交換されるすべての日付が、モバイルノードのホーム・ネットワークを通って、送信されることを含んでもよい。結果として、該コレスポンデント・ノードにおいて潜在的な攻撃ノードがモバイルノードのバインディング・キャッシュ・エントリーをスプーフィングするのを究極的に防止するであろう、該モバイルノードのバインディング・キャッシュ・エントリーを、該コレスポンデントはもはや有しないであろう。
コレスポンデント・ノードに、スプーフィングされたバインディング・キャッシュ・エントリーについて通知される場合には、本発明の第３の態様による他の実施形態によると、コレスポンデント・ノードは、スプーフィングされたバインディング・キャッシュ・エントリー中に気付アドレスを登録するために、さらなるバインディング更新を阻止する、および／または、スプーフィングされたバインディング・キャッシュ・エントリー中の気付アドレスと同一または類似のプレフィックスを有する気付アドレスを登録するために、さらなるバインディング更新を阻止することが提案されている。このことは、現在の位置からの攻撃側ノードが、コレスポンデント・ノードにおけるバインディング・キャッシュ・エントリーに対するさらなる攻撃を開始するのを防止しうるという利点を有しうる。
本発明の第３の態様による別の実施形態では、モバイルノードのホーム・エージェントは、コレスポンデント・ノードにスプーフィングされたバインディング・キャッシュ・エントリーについて通知するためのメッセージであって、モバイルノードからホーム・エージェントを介してコレスポンデント・ノードへと送信されるメッセージを認証してもよい。
本発明の第３の態様による別の実施形態では、モバイルノードは、モバイルノードとコレスポンデント・ノードに知られている永続キー生成トークンに少なくとも基づいて、メッセージ認証コードを判定する。さらに、モバイルノードは、このメッセージ認証コードを、コレスポンデント・ノードへと送信される許可されたバインディング更新へと含めてもよい。この許可されたバインディング更新は、設定時に、永続キー生成トークンに基づいてメッセージ認証コードを有効化するよう、コレスポンデント・ノードに対して指示するフラグをさらに含んでもよい。永続キー生成トークンの使用によって、たとえば、リターン・ルータビリティ手順においてホーム・アドレス試験を省略することを可能にしうる。このことは、ホーム・ネットワーク内のモバイルノードとして機能する、モバイルノードのホーム・アドレスと関連付けられたホーム・エージェントが、応答しないかまたはダウンしている場合に、とりわけ有利である。
メッセージ認証コードの生成は、たとえば下記のとおり実施してもよい。コレスポンデント・ノードは、気付キー生成トークンを含むメッセージを、モバイルノードへと送信してもよい。このメッセージは、コレスポンデント・ノードに現在登録されているモバイルノードの気付アドレスに向けられてもよい。このメッセージを受信した後、モバイルノードは、永続キー生成トークンに少なくとも基づいて、および、気付キー生成トークンを用いて、メッセージ認証コードを判定してもよい。
本発明の第３の態様による別の実施形態では、モバイルノードは、該コレスポンデント・ノードにおけるモバイルノードの気付アドレスを登録するために、許可されたバインディング更新をコレスポンデント・ノードへと送信する。この許可されたバインディング更新は、メッセージ認証コード、および、設定時に、コレスポンデント・ノードに対して、永続キー生成トークンを判定するよう指示するフラグを含んでもよい。
一般的に、永続キー生成トークンは、有限に有効であってもよく、または、一部の場合には無限に有効であってもよい。
本発明の第３の態様による一実施形態によると、コレスポンデント・ノードによって判定される永続キー生成トークンは、モバイルノードによって判定される永続キー生成トークンと同一である。
本発明の第３の態様による別の実施形態は、永続キー生成トークンの判定に関する。その判定は、コレスポンデント・ノードからモバイルノードのホーム・アドレス宛てのメッセージ中においてモバイルノードに提供されるホーム・キー生成トークンである、ホーム・キー生成トークン、および／または、コレスポンデント・ノードからモバイルノードの気付アドレス宛てのメッセージ中において、モバイルノードに提供される気付キー生成トークンである、気付キー生成トークンのうち少なくとも１つに基づいてもよい。
本発明の第３の態様による例示的な一実施形態では、永続キー生成トークンの判定は、リターン・ルータビリティ手順のホーム・アドレス試験および／または気付アドレス試験中のコレスポンデント・ノードによって提供される、少なくとも１つのキー生成トークンに基づいている。
前に述べたように、移動体端末はメッセージ認証コードを生成してもよい。本発明の第３の態様による例示的な一実施形態によると、モバイルノードは、コレスポンデント・ノードからモバイルノードのホーム・アドレス宛てのメッセージ中においてモバイルノードに提供されるキー生成トークンである、ホーム・キー生成トークン、および、コレスポンデント・ノードからモバイルノードの気付アドレス宛てのメッセージ中において、モバイルノードに提供されるキー生成トークンである、気付キー生成トークンのうち少なくとも１つに基づいて、メッセージ認証コードを判定する。
すでに明らかにされているはずであるが、したがって、本発明の第３の態様による異なる実施形態では、永続キー生成トークンがモバイルノードおよび／またはコレスポンデント・ノードによって判定されることが予見される。
本発明の第３の態様によるさらなる例示的な一実施形態では、モバイルノードは、許可されたバインディング更新に対する少なくとも１つのバインディング受信確認のモバイルノードからの受信に応答して、永続キー生成トークンを判定してもよい。
本発明の第３の態様による他の例示的な実施形態では、永続キー生成トークンは、許可されたバインディング更新のモバイルノードからの受信に応答して、コレスポンデント・ノードにおいて判定される。本実施形態により判定された永続キー生成トークンに応答して許可されたバインディング更新は、たとえば、設定時に、コレスポンデント・ノードに永続キー生成トークンを判定するよう指示するフラグを含んでもよい。
本発明の第３の態様による別の実施形態は、あるコレスポンデント・ノードにおけるモバイルノードの気付アドレスを登録する方法に関する。この方法によると、モバイルノードおよびコレスポンデント・ノードは、気付アドレス試験を実行してもよく、これによって気付キー生成トークンをモバイルノードに提供する。さらに、モバイルノードは、許可されたバインディング更新を、コレスポンデント・ノードへと送信してもよく、該許可されたバインディング更新は、該気付キー生成トークン、および、モバイルノードとコレスポンデント・ノードに知られている永続キー生成トークンに基づいて、移動体端末によって判定されるメッセージ認証コードを含む。
たとえば、永続キー生成トークンは、ホーム・エージェントのダウン前に最後に成功したホーム・アドレス試験において移動体端末に提供された、ホーム・キー生成トークンでありうる（または、該トークンに基づいて生成されうる）。
本発明の第３の態様による別の実施形態では、コレスポンデント・ノードは、許可されたバインディング更新の少なくとも１つのバインディング受信確認を、モバイルノードへと送信する。コレスポンデント・ノードは、この少なくとも１つのバインディング受信確認を、許可されたバインディング更新によって登録を抹消された気付アドレスへと向けてもよい。
一変形例では、ホーム・エージェントがダウンしていることをコレスポンデント・ノードが検知するか、または、モバイルノードによって通知される場合（のみ）には、コレスポンデント・ノードは、該少なくとも１つのバインディング受信確認を、許可されたバインディング更新によって登録を抹消された気付アドレスへと向けてもよい。
本発明の第３の態様による別の実施形態では、到達不可能なホームを検知するいくつかの機構が提案されている。ホーム・エージェントは、下記の機構のうち１つまたは組み合わせのいずれかによって、ダウン中（または到達不可能）であるとみなされるかまたは検知されうる。１つの選択肢は、モバイルノードによってホーム・エージェントへと送信されたある許可されたバインディング更新に対する、バインディング受信確認が、該モバイルノードにおいて受信されていないことを、モバイルノードにおいて検知することであろう。別の選択肢は本目的のためのＩＰｓｅｃ・デッドピア検知手順の使用である。本明細書中に提案される別の選択肢は、ホーム・エージェントへと送信されたか、または、このホーム・エージェントにおいて登録された移動体端末のホーム・アドレスへと送信された１つ以上のプローブ・メッセージに対する応答が全く受信されていないことを、モバイルノードまたはコレスポンデント・ノードによって検知することである。
本発明の第３の態様による別の実施形態では、コレスポンデント・ノードは、モバイルノードによって、通知メッセージをモバイルノードからコレスポンデント・ノードへと送信することによって、モバイルノードが登録されているホーム・エージェントがダウンしていることを通知されてもよい。
通知メッセージがモバイルノードによって認証されることは有利でありうる。通知の認証のために、ホーム・アドレス試験と気付アドレス試験とを含むリターン・ルータビリティ手順において過去に決定されたバインディング管理キーが用いられうる。
さらに、他の選択肢は、該通知が、モバイルノードによってコレスポンデント・ノードへと送信された許可されたバインディング更新の一部として送信されることであってもよい。
さらに、本発明の第３の態様による他の実施形態では、あるコレスポンデント・ノードにおけるモバイルノードの気付アドレスを登録する、上記に記載の本発明の第３の態様による異なる実施形態による方法は、あるコレスポンデント・ノードにおける移動体用のバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知する、本明細書中に記載される本発明の第３の態様による異なる実施形態による方法の手順をさらに含んでもよい。
本発明の第３の態様による他の実施形態は、あるコレスポンデント・ノードにおけるモバイルノードのバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知するモバイルノードに関する。モバイルノードはそのホーム・ネットワーク内の少なくとも１つのホーム・アドレスおよび外部ネットワーク内の少なくとも１つの気付アドレスに割り当てられる。この例示的な実施形態によると、モバイルノードは、コレスポンデント・ノードによって送信される少なくとも１つの確認応答を受信する受信機を備える。コレスポンデント・ノードは、１つのバインディング受信確認を、自己のホーム・ネットワーク内のモバイルノードのホーム・アドレス宛てとし、および／または、１つを許可されたバインディング更新によって登録を抹消された気付アドレス宛てとする。さらに、モバイルノードは、該少なくとも１つの受信されたバインディング受信確認に基づいて、移動体のコレスポンデント・ノードにおけるバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知する処理装置を有していてもよい。
本発明の第３の態様による他の実施形態では、モバイルノードは、あるコレスポンデント・ノードにおけるある移動体のバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知する任意の方法、および／または、あるコレスポンデント・ノードにおけるモバイルノードの気付アドレスを登録する、本明細書中に記載される様々な実施形態のうち１つによる方法のための方法を実行するか、または、そのステップに参加するよう設定された手段を含んでもよい。
本発明の第３の態様による別の実施形態は、モバイルノードのバインディング・キャッシュ・エントリーを保守するコレスポンデント・ノードに関する。他の実施形態のように、モバイルノードには、自己のホーム・ネットワーク内に少なくとも１つのホーム・アドレスを、および、外部ネットワーク内に少なくとも１つの気付アドレスを割り当てられることが想定されうる。コレスポンデント・ノードは、許可されたバインディング更新の受信に応答して、少なくとも１つのバインディング受信確認をモバイルノードへと送信する通信装置（たとえば、送信機を含む）を備えてもよい。これによって コレスポンデント・ノードは、１つのバインディング受信確認を、自己のホーム・ネットワーク内のモバイルノードのホーム・アドレス、および／または、許可されたバインディング更新によってコレスポンデント・ノードのバインディング・キャッシュから登録を抹消された気付アドレス宛てとする。
本発明の第３の態様による他の実施形態では、コレスポンデント・ノードは、あるコレスポンデント・ノードにおけるある移動体のバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知する方法、および／または、あるコレスポンデント・ノードにおけるモバイルノードの気付アドレスを登録する、本明細書中に記載される様々な実施形態のうち１つによる方法を実行するか、または、そのステップに参加するよう構成された手段を含む。
本発明の第３の態様による別の実施形態は、あるコレスポンデント・ノードにおけるモバイルノードのバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知する他のモバイルノードに関する。ここでは、モバイルノードには、外部ネットワーク内に少なくとも１つの気付アドレスを割り当てられてもよい。本実施形態によるモバイルノードは、コレスポンデント・ノードから、モバイルノードの気付アドレス宛てのバインディング試験メッセージを受信することを含むバインディング試験を実行する通信手段を含んでもよい。さらに、端末は、バインディング試験に基づいて、該コレスポンデント・ノードにおいてスプーフィングされたバインディング・キャッシュ・エントリーを検知する処理装置を含んでもよい。
本発明の第３の態様による別の実施形態は、モバイルノードのバインディング・キャッシュ・エントリーを保守する、別のコレスポンデント・ノードを提供する。また、ここでは、モバイルノードには、外部ネットワーク内に少なくとも１つの気付アドレスを割り当てられてもよい。この例示的な実施形態によるコレスポンデント・ノードは、モバイルノードからの少なくとも１つのバインディング試験要求メッセージを、バインディング試験の一部として受信する受信機、および、バインディング試験の一部としての少なくとも１つのバインディング試験要求メッセージに応答して、モバイルノードの気付アドレス宛てのバインディング試験メッセージを送信する送信機を含んでもよい。
本発明の第３の態様によるさらに別の実施形態は、モバイルノードおよび気付アドレスによって気付アドレス試験を実行して、これによって、気付キー生成トークンをモバイルノードに提供する通信装置を備える、気付アドレスをあるコレスポンデント・ノードにおいて登録するためのモバイルノードに関する。さらに、この通信装置は、許可されたバインディング更新をモバイルノードからモバイルノードへと送信することが操作可能でありうる。この許可されたバインディング更新は、気付キー生成トークン、および、モバイルノードとコレスポンデント・ノードに知られている永続キー生成トークンに基づいて、移動体端末によって判定されるメッセージ認証コードを含みうる。
本発明の第３の態様による別の実施形態による別のコレスポンデント・ノードは、モバイルノードの気付アドレスを登録する際に用いられてもよい。このコレスポンデント・ノードは、モバイルノードおよびコレスポンデント・ノードによって、気付アドレス試験を実行することにより、気付キー生成トークンをモバイルノードに提供する通信装置を含みうる。通信装置はたとえば、許可されたバインディング更新を、モバイルノードからモバイルノードへと受信することが操作可能であってもよく、許可されたバインディング更新は、気付キー生成トークン、および、モバイルノードとコレスポンデント・ノードに知られている永続キー生成トークンに基づいて、移動体端末によって判定されるメッセージ認証コードを含む。
さらに、本発明の第３の態様による別の実施形態は、モバイルノードおよび／またはコレスポンデント・ノードを含む、本明細書中に記載される本発明の様々な実施形態のうち１つによる、移動通信システムに関する。
本発明の第３の態様による別の実施形態は、モバイルノードの処理装置によって実行される際に、モバイルノードに、あるコレスポンデント・ノードにおける該モバイルノードのバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知させる指示を保存している、コンピュータで読み取り可能な媒体を提供する。例示的な一実施形態によると、モバイルノードには、自己のホーム・ネットワーク内に少なくとも１つのホーム・アドレスを、および、外部ネットワーク内に少なくとも１つの気付アドレスを割り当てられる。本発明の本実施形態により、コンピュータで読み取り可能な媒体に保存された指示は、モバイルノードの処理装置によって実行される際に、モバイルノードに、コレスポンデント・ノードによって送信される、少なくとも１つのバインディング受信確認の少なくとも１つを受信させる。１つのバインディング受信確認は、モバイルノードのホーム・ネットワーク内のモバイルノードのホーム・アドレス宛てとし、および／または、１つのバインディング受信確認は許可されたバインディング更新によって登録を抹消された気付アドレス宛とする。さらに、該指示は、モバイルノードに対して、少なくとも該１つの受信されたバインディング更新に基づいて、移動体の該コレスポンデント・ノードにおけるバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知させてもよい。
本発明の第３の態様による別の実施形態は、あるコレスポンデント・ノードの処理装置によって実行される際に、コレスポンデント・ノードに対して、モバイルノードのバインディング・キャッシュ・エントリーを保守させる指示を保存するコンピュータで読み取り可能な媒体を提供する。該媒体において、モバイルノードには、自己のホーム・ネットワーク内に少なくとも１つのホーム・アドレスを、および、外部ネットワーク内に少なくとも１つの気付アドレスを割り当てられる。このことは、モバイルノードに対して、コレスポンデント・ノードに、許可されたバインディング更新の受信に応答して、少なくとも１つのバインディング受信確認を送信させることによって、達成されてもよく、１つのバインディング受信確認はホーム・ネットワーク内のモバイルノードのホーム・アドレス宛てであり、および／または、１つのバインディング受信確認は許可されたバインディング更新によって登録を抹消されたモバイルノードの気付アドレス宛である。
本発明の第３の態様による他の実施形態による別のコンピュータで読み取り可能な媒体は、モバイルノードの処理装置によって実行される際に、モバイルノードに、コレスポンデント・ノードにおけるモバイルノードのバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知させる指示を保存する。該媒体では、コレスポンデント・ノードからモバイルノードの気付アドレスへのバインディング試験メッセージを受信すること、および、バインディング試験に基づいて、コレスポンデント・ノードにおけるスプーフィングされたバインディング・キャッシュ・エントリーを検知することによって、バインディング試験を実行することによって、モバイルノードには、外部ネットワーク内に少なくとも１つの気付アドレスを割り当てられる。
本発明の第３の態様による他の実施形態による、他のコンピュータで読み取り可能な媒体は、コレスポンデント・ノードの処理装置によって実行される際に、コレスポンデント・ノードに、モバイルノードのバインディング・キャッシュ・エントリーを保守させる指示を保存する。該媒体において、モバイルノードから少なくとも１つのバインディング試験要求メッセージをバインディング試験の一部として受信し、および、バインディング試験の一部としての該少なくとも１つのバインディング試験要求メッセージに応答して、モバイルノードの気付アドレス宛てのバインディング試験メッセージを送信することによって、モバイルノードには、外部ネットワーク内に少なくとも１つの気付アドレスを割り当てられる。
本発明の第３の態様による別の実施形態は、モバイルノードの処理装置によって実行される際に、モバイルノードおよびコレスポンデント・ノードによって気付アドレス試験を実行することにより気付キー生成トークンをモバイルノードに提供し、許可されたバインディング更新をモバイルノードからモバイルノードへと送信することによって、モバイルノードに、あるコレスポンデント・ノードにおける気付アドレスを登録させる指示を保存するコンピュータで読み取り可能な媒体を提供する。該媒体において、許可されたバインディング更新は、気付キー生成トークン、および、モバイルノードとコレスポンデント・ノードに知られている永続キー生成トークンに基づいて、移動体端末によって判定されるメッセージ認証コードを含む。
本発明の第３の態様によるさらに別の実施形態は、コレスポンデント・ノードの処理装置によって実行される際に、モバイルノードおよびコレスポンデント・ノードによって気付アドレス試験を実行することにより気付キー生成トークンをモバイルノードに提供し、および、許可されたバインディング更新をモバイルノードからモバイルノードへと受信することによって、コレスポンデント・ノードにモバイルノード用の気付アドレスを登録させる指示を保存するコンピュータで読み取り可能な媒体に関する。該媒体において、許可されたバインディング更新は、気付キー生成トークン、および、モバイルノードとコレスポンデント・ノードに知られている永続キー生成トークンに基づいて、移動体端末によって判定されるメッセージ認証コードを含む。
本発明の第３の態様による本発明の他の実施形態は、モバイルノードまたはコレスポンデント・ノードの処理装置によって実行される際に、モバイルノードまたはコレスポンデント・ノードに対してそれぞれ、コレスポンデント・ノードにおける移動体用のバインディング・キャッシュ・エントリーがスプーフィングされたか否かを検知する方法、および／または、あるコレスポンデント・ノードにおけるモバイルノードの気付アドレスを登録する、本明細書中に記載される様々な実施形態のうち１つによる、方法の方法を実行させるか、または、そのステップに参加させる指示を保存するコンピュータで読み取り可能な媒体を提供する。
本発明の第４の態様によると、特別な暗号トークンが、ＭＮとＬＭＡとの間のプロトコル交換を導入することなく、ＭＮからＬＭＡへと送信される。トークンはあるＭＡＧにおけるＭＮの存在の証明として機能し、および、ＬＭＡは特定のＭＮに対するＰＢＵのみを受け取り、この際、トークンは、ＰＢＵを送信したＭＡＧにおけるＭＮの存在を証明する。ＭＮとＬＭＡとの間のプロトコルを導入することなくＭＮからＬＭＡへとトークンを配送するためには、この思想は、トークンをレイヤ２を介してＭＡＧへと送信し、ＭＡＧはトークンをＬＭＡへと転送することである。しかしながら、すべての考えられるレイヤ２のトークンを運搬するメッセージを定義することは実現可能ではなく、および、それゆえに、該思想は、ＭＮが新しいレイヤ２アドレスを暗号トークンから生成し、および、ＭＡＧとの通信のためにこのレイヤ２アドレスを用いる、すなわち、ＭＮのレイヤ２アドレスが用いられて、トークンをＭＡＧへと配送するために用いられることである。ＭＡＧは次いで、ＰＢＵ中のインタフェース識別子（ＩＩＤ）としてＭＮのレイヤ２アドレスを含み、該ＰＢＵは、最終的にＬＭＡによって受信される。このアプローチは、ＰＭＩＰプロトコル・メッセージ・フォーマットのいずれの変更も必要とせず、および、ＭＮとＬＭＡとの間に任意の新しいプロトコルまたはプロトコル・メッセージを導入しない。
本発明の第４の態様による好適な実施形態では、シーケンス番号は、安全性が損なわれているＭＡＧによるリプレー・アタックを防止する暗号トークンの一部である。しかしながら、ＬＭＡからＭＮへのフィードバック・チャネルなしにシーケンス番号を再同期することは困難である。それゆえに、一実施形態はこのシーケンス番号再同期問題に対する解決策を提案する。
本発明の第４の態様による一実施形態は、モバイルノードのモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを実装するネットワーク内において、モバイルノードからローカル・モビリティ・アンカーへと、モバイルノードのネットワーク要素への接続に関する情報を提供する方法を提供する。前記方法は、モバイルノードによって実行される：モバイルノードのネットワーク要素への接続の直後に、モバイルノードおよびローカル・モビリティ・アンカーに共通の暗号化キーに基づいて、暗号トークンを生成する；および、生成された暗号トークンをネットワーク要素へと送信する；ステップを含む。
本発明の第４の態様による好適な実施形態では、暗号トークンは、前記暗号化キーと組み合わせたキー付ハッシュ・メッセージ認証コード関数を、認証されるメッセージに適用することによって生成される。
本発明の第４の態様による他の実施形態は、モバイルノードのモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを実装するネットワーク内において、モバイルノードからローカル・モビリティ・アンカーへと、モバイルノードのネットワーク要素への接続に関する情報を提供する方法を提供する。前記方法は、モバイルノードによって実行される：モバイルノードのネットワーク要素への接続の直後に、暗号トークンを生成する；および、生成された暗号トークンをネットワーク要素へと送信することであって、生成された暗号トークンの順序が生成された暗号トークンのハッシュ連鎖によって与えられる；ステップを含む。
本発明の第４の態様による好適な実施形態では、暗号トークンは、キー付ハッシュ・メッセージ認証コード関数を、認証されるメッセージに適用することによって生成される。
本発明の第４の態様による好適な実施形態では、認証されるメッセージが、モバイルノード識別子、ネットワーク要素を識別するネットワーク要素識別子、および、モバイルノードのネットワーク要素への接続の種類を示すハンドオーバー・フラグのうち少なくとも１つの連結を含む。
本発明の第４の態様による好適な実施形態では、モバイルノードを識別するモバイルノード識別子が、ネットワーク・アクセス識別子、または、ＩＰアドレス、または、レイヤ２アドレスを含む。
本発明の第４の態様による好適な実施形態では、ネットワーク要素識別子は、デフォルト・ルータＩＰアドレスまたはレイヤ２アドレスを含む。
本発明の第４の態様による好適な実施形態では、モバイルノードのネットワーク要素への接続の種類が、別のネットワーク要素へのハンドオーバー、および、別のインタフェース上のネットワーク要素への接続のうち１つを含む。
本発明の第４の態様による好適な実施形態では、モバイルノードのレイヤ２アドレスが生成された暗号トークンに基づいて生成され、モバイルノードが、モバイルノードの生成されたレイヤ２アドレスを用いて、ネットワーク要素とのレイヤ２通信を実行する。
本発明の第４の態様による好適な実施形態では、モバイルノードのレイヤ２アドレスがＩＥＥＥ８０２メディア・アクセス制御アドレスである。
本発明の第４の態様による好適な実施形態では、ＩＰｖ６とリンクしたローカル・アドレス、インタフェース識別子、または、ＩＫＥ識別ペイロードのうち１つを、暗号トークンに基づいて生成することによって、生成された暗号トークンがネットワーク要素へと送信され、モバイルノードが生成されたアドレスまたは識別子を用いてネットワーク要素との通信を実行する。
本発明の第４の態様による好適な実施形態では、デフォルト・ルータＩＰアドレスまたはレイヤ２ハンドオーバーの変更に気が付いた直後に、モバイルノードの別のネットワーク要素への接続またはハンドオーバーが検知され、および、別の暗号トークンを生成する。
本発明の第４の態様による好適な実施形態では、認証されるメッセージ中にシーケンス番号がさらに連結されている。
本発明の第４の態様による好適な実施形態では、暗号トークンがハッシュ部および個々のシーケンス番号を含む。
本発明の第４の態様による好適な実施形態では、別のモバイルノードのネットワーク要素への接続またはハンドオーバーの直後に、インクリメントされたシーケンス番号の付いた別の暗号トークンが生成される。
本発明の第４の態様による好適な実施形態では、モバイルノードとローカル・モビリティ・アンカーとの間で変えられうるシーケンス番号の非同期を示すメッセージが、ネットワーク要素から受信され、および、第２のキー付ハッシュ・メッセージ認証コード関数を共通の暗号化キーと組み合わせて用いて、第２の暗号トークンが生成され、前記第２の暗号トークンは、モバイルノードとローカル・モビリティ・アンカーとの間で変えられうるシーケンス番号を同期化するためのものである。
本発明の第４の態様による好適な実施形態では、第２の暗号トークンは、第１の暗号トークンの対応フィールドとは異なる値を有するフィールドを含み、前記フィールドは、第２の暗号トークンを第１の暗号トークンと差別化するためのものである。
本発明の第４の態様による好適な実施形態では、認証されるメッセージが、モバイルノード識別子、タイムスタンプ、ネットワーク要素を識別するネットワーク要素識別子、および、モバイルノードのネットワーク要素への接続の種類を示すハンドオーバー・フラグのうち少なくとも１つの連結を含む。
本発明の第４の態様による好適な実施形態では、第２の暗号トークンに含まれるタイムスタンプに基づいて、シーケンス番号の値が更新され、および、別のネットワーク要素への接続の直後に、更新されたシーケンス番号の値を用いて別の暗号トークンが生成される。
本発明の第４の態様による好適な実施形態では、モバイルノードとローカル・モビリティ・アンカーとの間で変えられうるシーケンス番号の非同期を示すネットワーク要素からのメッセージは、プレフィックスの寿命がゼロに設定されたルータ通知メッセージである。
本発明の第４の態様による別の実施形態は、モバイルノードのモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを実装するネットワーク内において、モバイルノードのネットワーク要素への接続を検証する方法を提供する。前記方法は、ローカル・モビリティ・アンカーによって実行される：モバイルノードのネットワーク要素への接続を示す、ネットワーク要素からのメッセージを受信するステップであって、前記メッセージは第１の暗号トークンを含む；暗号トークンを、モバイルノードおよびローカル・モビリティ・アンカーに共通の第２の暗号化キーに基づいて計算する；受信された第１の暗号トークンと計算された第２の暗号トークンとを互いに比較する；および、
受信された第１の暗号トークンが計算された第２の暗号トークンと一致する場合は、モバイルノードのネットワーク要素への接続を示す、ネットワーク要素からのメッセージは本物であると判定する；ステップを含む。
本発明の第４の態様による好適な実施形態では、モバイルノードのネットワーク要素への接続を示す、ネットワーク要素から受信されたメッセージは、プロキシ・バインディング更新であり、および前記方法は、モバイルノード用のバインディング・キャッシュ・エントリーを、本物であると判定されたメッセージで更新するか、または、メッセージが偽装されたと判定された場合にメッセージを廃棄するかのいずれかをさらに含む。
本発明の第４の態様による好適な実施形態では、第２の暗号トークンは、共通の暗号化キーと組み合わせたキー付ハッシュ・メッセージ認証コード関数を、認証されるメッセージに適用することによって計算される。
本発明の第４の態様による好適な実施形態では、認証されるメッセージは、モバイルノードを識別するモバイルノード識別子、シーケンス番号、ネットワーク要素を識別するネットワーク要素識別子、および、モバイルノードのネットワーク要素への接続の種類を示すハンドオーバー・フラグのうち少なくとも１つの連結を含む。
本発明の第４の態様による好適な実施形態では、モバイルノード識別子は、モバイルノードのネットワーク要素への接続を示す受信されたメッセージから抽出される。
本発明の第４の態様による好適な実施形態では、受信された第１の暗号トークンがハッシュ部および個々のシーケンス番号を含み、前記方法は、受信された第１の暗号トークンに含まれるシーケンス番号と第２の暗号トークンを計算するのに用いられるべきシーケンス番号とを互いにを比較することをさらに含み、ローカル・モビリティ・アンカーは、受信された第１の暗号トークンに含まれるシーケンス番号が第２の暗号トークンを計算するのに用いられるシーケンス番号よりも大きい場合に、ネットワーク要素からのメッセージは本物であると判定する。
本発明の第４の態様による好適な実施形態では、ネットワーク要素からのメッセージが本物であると判定される場合に、シーケンス番号がインクリメントされる。
本発明の第４の態様による好適な実施形態では、受信された第１の暗号トークンがハッシュ部および個々のシーケンス番号を含み、前記方法は、受信された第１の暗号トークンに含まれるシーケンス番号と第２の暗号トークンを計算するのに用いられるべきシーケンス番号とを互いにを比較することをさらに含み、ローカル・モビリティ・アンカーは、受信された第１の暗号トークンに含まれるシーケンス番号が第２の暗号トークンを計算するのに用いられるシーケンス番号よりも小さい場合に、ネットワーク要素からのメッセージは本物であると判定する。
本発明の第４の態様による好適な実施形態では、モバイルノードとローカル・モビリティ・アンカーとの間で変えられうるシーケンス番号の非同期が検知されたことを示すメッセージがネットワーク要素へと送信される。
本発明の第４の態様による好適な実施形態では、モバイルノードのネットワーク要素への接続を示す別のメッセージがネットワーク要素から受信され、前記別のメッセージは、モバイルノードとローカル・モビリティ・アンカーとの間で変えられうるシーケンス番号を同期化するためのものである第３の暗号トークンを含む。
本発明の第４の態様による好適な実施形態では、第１の暗号トークンの対応フィールドとは異なる値を有する第３の暗号トークンのフィールドに基づいて、第３の暗号トークンが第１の暗号トークンと区別される。
本発明の第４の態様による好適な実施形態では、モバイルノードによる第３の暗号トークンの送信時間と、ローカル・モビリティ・アンカーによる第３の暗号トークンの受信との間のタイムスパンが評価され、該評価されたタイムスパン内に含まれるタイムスタンプを用いて、少なくとも１つの第４の暗号トークンが計算され、該受信された第３の暗号トークンと計算された少なくとも１つの第４の暗号トークンが互いに比較され、および、該受信された第３の暗号トークンが計算された第４の暗号トークンに一致する場合は、共通のシーケンス番号の値が、第４の暗号トークンに含まれるタイムスタンプに基づいて生成される。
本発明の第４の態様による好適な実施形態では、モバイルノードおよびローカル・モビリティ・アンカーが、ネットワーク認証中に共通の暗号化キーを取得し、暗号化キーはネットワーク認証キーに基づいて生成される。
本発明の第４の態様による好適な実施形態では、モバイルノードおよびローカル・モビリティ・アンカーが、モバイルノードがモビリティ・プロトコルをネットワークによってブートストラップする時に、共通の暗号化キーを取得し、暗号化キーはモビリティ認証キーに基づいて生成される。
本発明の第４の態様による好適な実施形態では、ネットワーク要素はモバイル・アクセス・ゲートウェイである。
本発明の第４の態様による他の実施形態は、モバイルノードのモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを実装するネットワーク内において、モバイルノードのネットワーク要素への接続の直後に、モバイルノードおよびローカル・モビリティ・アンカーに共通の暗号トークンを、暗号化キーに基づいて生成する生成手段；および、生成された暗号トークンをネットワーク要素へと送信し、これによって前記モバイルノードが、モバイルノードのネットワーク要素への接続に関する情報を、ローカル・モビリティ・アンカーへと提供することを可能にする送信手段；を含むモバイルノードを提供する。
本発明の第４の態様による他の実施形態は、モバイルノードのモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを実装するネットワーク内において、モバイルノードのネットワーク要素への接続の直後に、暗号トークンを生成する生成手段；および、生成された暗号トークンをネットワーク要素へと送信し、これによって前記モバイルノードが、モバイルノードのネットワーク要素への接続に関する情報をローカル・モビリティ・アンカーへと提供することを可能にする送信手段；を含み、生成された暗号トークンの順序が生成された暗号トークンのハッシュ連鎖によって与えられる、モバイルノードを提供する。
本発明の第４の態様による他の実施形態は、モバイルノードのモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを実装するネットワーク内において、モバイルノードのネットワーク要素への接続を検証するよう構成されたローカル・モビリティ・アンカーを提供する。前記ローカル・モビリティ・アンカーは、モバイルノードのネットワーク要素への接続を示す、ネットワーク要素からのメッセージを受信する受信手段であって、前記メッセージが第１の暗号トークンを含み；モバイルノードおよびローカル・モビリティ・アンカーに共通の暗号トークンを、第２の暗号化キーに基づいて計算する計算手段；受信された第１の暗号トークンと計算された第２の暗号トークンとを互いに比較する比較手段；および、受信された第１の暗号トークンが計算された第２の暗号トークンと一致する場合は、モバイルノードのネットワーク要素への接続を示す、ネットワーク要素からのメッセージは本物であると判定する判定手段；を含む。
本発明の第４の態様による他の実施形態は、モバイルノードおよびローカル・モビリティ・アンカーを含み、前記ローカル・モビリティ・アンカーによってネットワーク要素から受信された前記メッセージに含まれる前記第１の暗号トークンが、前記モバイルノードによって前記メッセージ生成された暗号トークンである、移動通信システム。
以下において、添付図面を参照に、本発明をより詳細に説明する。図面中において類似または対応する詳細事項には同一の参照番号が付けられている。
トラフィックを、モバイル・アクセス・ゲートウェイに接続されていないモバイルノードへとリダイレクトする、安全性が損なわれているモバイル・アクセス・ゲートウェイの例 第１の態様による本発明の第１の実施形態によるシグナリング・フローであって、ＰＭＩＰドメイン内の安全性が損なわれているモバイル・アクセス・ゲートウェイが、トラフィックを、ＰＭＩＰドメインの外部に配置されたモバイルノードへとリダイレクトするよう試みている例 第１の態様による本発明の第１の実施形態によるシグナリング・フローであって、ＰＭＩＰドメイン内の安全性が損なわれているモバイル・アクセス・ゲートウェイが、トラフィックを、ＰＭＩＰドメインの内部に配置されたモバイルノードへと利だ入れうとするよう試みている例 第１の態様による本発明の第２の実施形態によるシグナリング・フローであって、ＰＭＩＰドメイン内の安全性が損なわれているモバイル・アクセス・ゲートウェイが、トラフィックを、ＰＭＩＰドメインの外部に配置されたモバイルノードへとリダイレクトするよう試みている例 第１の態様による本発明の第２の実施形態によるシグナリング・フローであって、ＰＭＩＰドメイン内の安全性が損なわれているモバイル・アクセス・ゲートウェイが、トラフィックを、ＰＭＩＰドメインの内部に配置されたモバイルノードへとリダイレクトするよう試みている例 初期接続中のＰＭＩＰｖ６の例示的なシグナリング・フロー ＣＭＩＰベースのネットワーク・ドメインからＰＭＩＰベースのネットワーク・ドメイン（ＣＭＩＰからＰＭＩＰへのモビリティ移行）へのハンドオーバー中のＰＭＩＰｖ６の例示的なシグナリング・フロー 同一位置に配置されたＰＭＩＰ／ＣＭＩＰ−ＨＡシナリオ ＣＭＩＰからＰＭＩＰへのモビリティ移行におけるＢＵ競合状態の例 ＰＭＩＰからＣＭＩＰへのモビリティ移行におけるＢＵ競合状態の例 本発明の第２の態様によるＣＭＩＰからＰＭＩＰへのモビリティ移行におけるＢＵ競合状態シナリオの解決策 本発明の第２の態様によるＰＭＩＰからＣＭＩＰへの移行におけるＢＵ競合状態シナリオの解決策 本発明の第２の態様による、ＢＵの到着は正しい（順序において）にもかかわらず、ＢＵ競合状態を検知した例 本発明の第２の態様による最新のＢＵ手順のサポート解決に必要とされる処理（および随意的な処理も）を示す、ＰＭＡ中での例示的なフローチャート ＭＩＰｖ６によるモバイルノードとコレスポンデント・ノードの間の通信のための双方向性トンネリングの使用 ＭＩＰｖ６によるモバイルノードとコレスポンデント・ノードの間の通信のためのルート最適化の使用 ＭＩＰｖ６にしたがって、外部ネットワーク内に新しい気付アドレスを取得した直後にモバイルノードによって実行される処置 ＭＩＰｖ６にしたがって、モバイルノードおよびコレスポンデントによって実行されるリターン・ルータビリティ手順および気付アドレス登録 本発明の第３の態様による例示的な実施形態によるモバイルノードのホーム・ネットワークを介して送信されたバインディング受信確認に基づいて、モバイルノードが、コレスポンデント・ノードにおけるモバイルノードのバインディングに対する攻撃を検知することを許容する、攻撃者、モバイルノード、コレスポンデント・ノードおよびホーム・エージェントの間で交換されるメッセージの例示的なシーケンス 本発明の第３の態様による例示的な実施形態によるバインディング試験に基づいて、モバイルノードが、コレスポンデント・ノードにおいてモバイルノードのバインディングに対する攻撃を検知することを許容する、攻撃者、モバイルノード、コレスポンデント・ノードおよびホーム・エージェントの間で交換されるメッセージの例示的なシーケンス 本発明の第３の態様による例示的な実施形態による、改善されたリターン・ルータビリティ手順および後続の気付アドレス登録による、モバイルノード、コレスポンデント・ノードおよびホーム・エージェントの間で交換されるメッセージの例示的なシーケンス 永続トークンが認証のために用いられる本発明の第３の態様による例示的な実施形態による、コレスポンデント・ノードの気付アドレスを登録するための、モバイルノードとコレスポンデント・ノードの間で交換される一連のステップおよびメッセージ 永続トークンが認証のために用いられる本発明の第３の態様による例示的な実施形態による、コレスポンデント・ノードの気付アドレスを登録するための、モバイルノード、ホーム・エージェントおよびコレスポンデント・ノードの間で交換される他の一連のステップおよびメッセージ 永続トークンが認証のために用いられ、および、モバイルノードが、攻撃者がモバイルノードのバインディング・キャッシュ・エントリー・コレスポンデント・ノードにおいてスプーフィングしたことを検知する、本発明の第３の態様による例示的な実施形態による、モバイルノード、攻撃者、ホーム・エージェントおよびコレスポンデント・ノードの間で交換される別の一連のメッセージおよび一連のステップ トラフィックを、モバイル・アクセス・ゲートウェイに接続されていないモバイルノードへとリダイレクトする、安全性が損なわれている該モバイル・アクセス・ゲートウェイの他の例 第４の態様による本発明の第１の実施形態によるシグナリング・フローであって、ＰＭＩＰドメイン内の安全性が損なわれているモバイル・アクセス・ゲートウェイが、トラフィックを、ＰＭＩＰドメインの内部に配置されたモバイルノードへとリダイレクトするよう試みている例 シーケンス番号の変数が同期している場合に用いられる本発明の第４の態様によると暗号トークンの例 シーケンス番号の変数が同期していない場合に用いられる本発明の第４の態様によると暗号トークンの例 モバイル・アクセス・ゲートウェイへの接続の直後にモバイルノードによって実行される方法のステップ シーケンス番号の変数が同期していない場合に、モバイルノードによって実行される方法のステップ
下記の段落は本発明の様々な態様を記載する。さらに、いくつかの実施形態について説明する。例示的な目的のみから、上記の「背景技術」の節に論じたように、実施形態の大部分は、通信ネットワークに関連して、ＭＩＰｖ６を用いて概略が説明されるが、本発明は、この特定の例示的な通信ネットワークにおける使用に限定されない。
したがって、本明細書中において用いられる術語もまた主として、モバイルＩＰｖ６の標準化においてＩＥＴＦによって用いられる術語に基づいている。しかしながら、モバイルＩＰｖ６に関する術語および実施形態の記載は、本発明の原理および思想を、このようなシステムおよびこのプロトコルの使用のみに限定することを意図していない。
上記の技術的背景の節で与えられる説明は、本明細書中に記載される特定の例示的な実施形態をより良く理解するよう意図されており、本発明を、移動通信ネットワークにおける処理および機能の記載された特定の実施へと限定するものとして理解されるべきでない。それにもかかわらず、本明細書中に提案された改善は、背景技術の節に記載されるプロトコル／システムに容易に適用されてもよく、本発明のいくつかの実施形態においてこれらプロトコル／システムの標準的なおよび改善された手順も活用したものでもよい。
以下において、本文書中で高頻度に用いられるいくつかの術語の定義が提供される。
コレスポンデント・ノードまたはモバイルノードは通信ネットワーク内の物理的なエンティティである。１つのノードは、いくつかの機能的なエンティティを有してもよい。機能的なエンティティとは、前もって決定された１組の機能を、あるノードまたは該ネットワークの他の機能的なエンティティに実装および／または提供するソフトウェアまたはハードウェア・モジュールのことを言う。ノードは、該ノードを、通信施設、または、ノードがその上を通って、通信できる媒体へと接続する１つ以上のインタフェースを有してもよい。同様に、ネットワーク・エンティティは、機能的なエンティティを、通信施設、または、ノードがその上を通って、他の機能的なエンティティまたはノードと通信しうる媒体に接続する論理インタフェースを有してもよい。
ノードまたは機能的なエンティティのアドレスは、該ノードまたは機能的なエンティティのグローバルまたはサイトローカルな、永続または一時的に限定的に有効な識別子である。代表的には、本明細書中の実施形態のいくつかでは、アドレスはネットワーク層アドレスである、すなわち、ＯＳＩ参照モデルのネットワーク層上にあるノードおよびネットワーク・エンティティの識別のために用いられる（たとえば、参照によって本明細書に包含される教科書「コンピュータ・ネットワーク」、Ａｎｄｒｅｗ Ｓ．Ｔａｎｅｎｂａｕｍ、第４版、２００３年、Ｐｒｅｎｔｉｃｅ Ｈａｌｌ ＰＴＲ、第１．４章を参照）。
ネットワーク層またはレイヤ３は、代表的には、可変長パケットをソースから宛先へと１つ以上のネットワークを介して転送する機能的および手続き上の手段を提供する。
代表的には、ノードのインタフェースには１つのアドレスが割り当てられる。しかしながら、複数のアドレスを１つのインタフェースへと割り当てることも可能であろう。さらに、複数の機能的なエンティティを含むノードの場合、１つ以上のアドレスが、それぞれの機能的なエンティティの１つの論理インタフェースに関連付けられてもよい。
一般的に、各ネットワークは、いわゆるプレフィックス等、少なくとも１つの数字によって識別される。この数字は、ネットワーク内のノードへのパケットのルーティングを許容する。さらに、この数字は、ネットワーク内のノードによって用いられることが可能な識別子のプールのことを言う。あるネットワーク内にあるアドレスは、識別子のプールから取った識別子である。たとえば、ＩＰｖ６において、あるネットワークの数字はＩＰｖ６プレフィックスであり、あるネットワーク内のアドレスは、ＩＰｖ６プレフィックスおよびＩＰｖ６ホスト部から成るＩＰｖ６アドレスである。異なるネットワークにおいては、たとえばホーム・ネットワークおよび外部ネットワークの内部では、異なるアドレスが用いられる。
モバイルノードのホーム・ネットワークは、代表的には、該モバイルノードが、自己の所定のホーム・アドレスに自己の気付アドレス（単数または複数）を登録する、ホーム・エージェントの位置によって識別される。
ホーム・アドレスとは、モバイルノードに割り当てられ、モバイルノードの永続アドレスとして用いられるアドレスである。このアドレスは、モバイルノードのホーム・ネットワークの内部に定義される。モバイルノードは、たとえば複数のホーム・ネットワークがある場合は、複数のホーム・アドレスを有してもよく、または、モバイルノードは、１つのホーム・ネットワーク内に複数のホーム・アドレスを有してもよい。
気付アドレスとは、外部ネットワークへの在圏中に、モバイルノードに関連付けられるアドレスである。モバイルノードは、１つ以上の気付アドレスを同時に有してもよい。
バインディングとは、モバイルノードのホーム・アドレスの、そのモバイルノードの気付アドレスとの関連付けのことを言う。本発明のいくつかの実施形態では、その関連付けの残存する寿命も、バインディングの一部でありうる。バインディングは、登録を手段として生成され、該登録とは、モバイルノードまたはプロキシがバインディング更新をモバイルノードのホーム・エージェントまたはコレスポンデント・ノードへと送信して、該モバイルノードのバインディングを登録させる間の処理を表す。バインディングは、たとえば、モバイルノードのホーム・エージェントまたはコレスポンデント・ノードのバインディング・キャッシュ中にそれぞれ保存されてもよい。
許可されたバインディング更新とは、バインディングを登録するためのメッセージである。バインディングの登録は、たとえば手段としてメッセージ認証コード（ＭＡＣ）または他の認証機構を用いる（パブリック／プライベートのキーの対を手段として用いることによってバインディング更新を署名する等）ことにより、許可されたバインディング更新の送信者を認証することによって、許可される。
本発明のいくつかの実施形態では、ＩＰｖ６プロトコルがネットワーク層上で用いられる。この場合には、アドレスは、あるノードの単一の（論理）インタフェースの識別子であり、その結果、他のＩＰｖ６サブネットから該アドレスへと送信されたパケットが、低位層リンクを介して当該アドレスによって識別される（論理）インタフェースへと送られるようにする。
ホーム・エージェントとは、モバイルノードが自己の現在の気付アドレス（単数または複数）を登録する該モバイルノードのホーム・ネットワーク上にある、ルーティング機能を提供するルータまたは機能的なエンティティである。モバイルノードがホームから離れている間、ホーム・エージェントは、モバイルノードのホーム・アドレス宛てのホーム・リンク上のパケットをインターセプトし、パケットをカプセル化し、モバイルノードの登録された気付アドレスのうち１つまたはいくつか（単数または複数）へとトンネリングしてもよい。
ルート最適化が用いられる場合、モバイルノードおよびコレスポンデント・ノードは、データ・パケットをモバイルノードのホーム・ネットワークを通過させることなく、データ・パケットを直接的に交換する。代わりに、コレスポンデント・ノードは、データ・パケットを、コレスポンデント・ノードのバインディング・キャッシュ中に登録されたモバイルノードの気付アドレスへと、送信する。同様に、モバイルノードは、データ・パケットをコレスポンデント・ノードへと自己のホーム・ネットワークを介して（すなわち、ホーム・エージェントを介して）は送信しないが、データ・パケットを直接的にコレスポンデント・ノードのアドレス宛てとする。
以下において、本発明の第１の態様について説明する。
この第１の態様を、ローカル・モビリティ・アンカーおよびホーム・エージェントの機能性が、同一の物理的なエンティティにおける同一位置に配置されている状況に関して、説明する。術語「ローカル・モビリティ・アンカー」および「ホーム・エージェント」はそれゆえに交換可能に用いられる。さらに、この第１の態様による本発明は、モバイルノードが、アプリケーション・セッション中に、ネットワーク・ベースのモビリティ管理スキームとホスト・ベースのモビリティ管理スキームとの間で切り換わることが許容される状況に関して説明される。使用可能なネットワーク・ベースのモビリティ管理スキームの一例は、Ｓ．Ｇｕｎｄａｖｅｌｌｉ、Ｋ．Ｌｅｕｎｇ、Ｖ．Ｄｅｖａｒａｐａｌｌｉ、Ｋ．Ｃｈｏｗｄｈｕｒｙ、Ｂ．Ｐａｔｉｌ、プロキシ・モバイルＩＰｖ６、ｄｒａｆｔ−ｓｇｕｎｄａｖｅ−ｍｉｐ６−ｐｒｏｘｙｍｉｐ６−０２、２００７年３月に定義されているＰＭＩＰｖ６プロトコルである。しかしながら、この第１の態様による本発明は、このプロトコルに限定されず、ＰＭＩＰｖ４、または、ＰＭＩＰの他のバリアントといった他のネットワーク・ベースのモビリティ管理スキームを用いることができる。
以下において、第１の態様による本発明の２つの実施形態について説明する。第１の実施形態は、図２および３に関して説明し、一方、第２の実施形態は、図４および５に関して説明する。
第１の態様による第１の実施形態の第１のバリアントを、図２に関して説明する。モバイルノードが、クライアント・ベースのモビリティ管理スキームを実装するドメイン内に配置されている。モバイルノードはそれゆえ、バインディング更新メッセージＢＵをローカル・モビリティ・アンカーＬＭＡへと送信することによって、自己の位置を通信する。ローカル・モビリティ・アンカーＬＭＡは、最初に、バインディング更新メッセージＢＵ中に含まれる認証情報を確認して、このバインディング更新ＢＵが信頼できることを識別する。バインディング更新を受信した後、ローカル・モビリティ・アンカーＬＭＡは次いで、バインディング受信確認メッセージＢＡを、バインディング更新ＢＵ中に含まれるモバイルノードの気付アドレスへと送信して、気付アドレスがローカル・モビリティ・アンカーＬＭＡのバインディング・キャッシュ・エントリー中に保存されたことを確認する。
図２は、ネットワーク・ベースのモビリティ管理スキームを実装するドメイン内の安全性が損なわれているモバイル・アクセス・ゲートウェイによる、トラフィックをモバイルノードへとリダイレクトする試みを図示する。モバイル・アクセス・ゲートウェイは、偽りのプロキシ・バインディング更新メッセージＰＢＵを、ローカル・モビリティ・アンカーＬＭＡへと送信する。ローカル・モビリティ・アンカーは、これに対応して、モバイルノードの古い気付アドレスを、偽りのプロキシ・バインディング更新ＰＢＵ中に含まれるモバイル・アクセス・ゲートウェイの新しい気付アドレスで置き換えることによって、自己のバインディング・キャッシュ・エントリーを更新する。ローカル・モビリティ・アンカーＬＭＡは次いで、プロキシ・バインディング受信確認メッセージＰＢＡを、安全性が損なわれているモバイル・アクセス・ゲートウェイの気付アドレスへと送信する。さらに、ローカル・モビリティ・アンカーＬＭＡは、安全性が損なわれているモバイル・アクセス・ゲートウェイの新たに保存された気付アドレスへと送信されたプロキシ・バインディング受信確認メッセージＰＢＡに加えて、バインディング受信確認ＢＡ’を、バインディング・キャッシュ・エントリー中に以前に保存されたモバイルノードの気付アドレスへと送信する。
モバイルノードは、受信されたバインディング受信確認メッセージＢＡ’と、モバイルノードがかつてローカル・モビリティ・アンカーＬＭＡへと送信したバインディング更新メッセージを比較することによって、安全性が損なわれているモバイル・アクセス・ゲートウェイによるトラフィックをリダイレクトする試みを検知できる。モバイルノードが、自己がローカル・モビリティ・アンカーＬＭＡへと送信したいずれのバインディング更新メッセージと対応していないバインディング受信確認メッセージに気が付くと、モバイルノードは次いで、安全性が損なわれているモバイル・アクセス・ゲートウェイによって起こりうるトラフィックをリダイレクトする試みを検知する。
モバイルノードは、バインディング更新リストを調べることによって、バインディング受信確認メッセージがバインディング更新メッセージに対応しているか否かを確認できる。該リストは、かつて送信されたバインディング更新メッセージについての情報を含む。
第１の態様による本発明の一実施形態によると、バインディング受信確認メッセージが、ある特定のバインディング更新メッセージに対応していると定義されるのは、バインディング更新メッセージおよびバインディング受信確認メッセージのシーケンス番号が互いに等しく、バインディング受信確認メッセージがこの特定のバインディング更新に対してこれまでに受信されていない場合、すなわち、このバインディング受信確認メッセージが最初に受信されたものである場合である。しかしながら、バインディング更新メッセージをバインディング受信確認メッセージへとマッピングする他の方法が、用いられてもよい。
図２に示される例では、モバイルノードは最初に、バインディング更新メッセージＢＵを送信して、自己の位置をローカル・モビリティ・アンカーＬＭＡに示す。このバインディング更新メッセージＢＵは、１に等しいシーケンス番号ＳＮを含む。ローカル・モビリティ・アンカーＬＭＡによって送信されたバインディング受信確認メッセージＢＡは、値１を有するシーケンス番号を含み、したがって、モバイルノードによって送信されたバインディング更新メッセージＢＵに対応している。
しかしながら、安全性が損なわれているモバイル・アクセス・ゲートウェイは、モバイルノードからのバインディング更新メッセージ中にあるシーケンス番号の値を取得できない。それゆえ、安全性が損なわれているモバイル・アクセス・ゲートウェイによってローカル・モビリティ・アンカーＬＭＡへと送信されたプロキシ・バインディング更新メッセージＰＢＵは、モバイルノードからのバインディング更新メッセージのシーケンス番号値とは異なるシーケンス番号値を有する。図２の例では、プロキシ・バインディング更新メッセージＰＢＵはシーケンス番号値２を有する。ローカル・モビリティ・アンカーＬＭＡは、プロキシ・バインディング更新メッセージＰＢＵに対する応答として、シーケンス番号値２を有するプロキシ・バインディング受信確認ＰＢＡを、モバイル・アクセス・ゲートウェイの気付アドレスへと送信する。さらに、ローカル・モビリティ・アンカーＬＭＡは、別のバインディング受信確認メッセージＢＡ’を、バインディング・キャッシュ・エントリー中に以前に保存されたモバイルノードの気付アドレスへと送信する。この別のバインディング受信確認メッセージＢＡ’は、シーケンス番号２を有する。
モバイルノードは、ローカル・モビリティ・アンカーＬＭＡからバインディング受信確認メッセージＢＡ’を受信した直後に、バインディング受信確認メッセージＢＡ’をかつて送信されたバインディング更新メッセージＢＵと比較する。モバイルノードは、各メッセージのシーケンス番号が対応していないことに気が付く。その理由は、バインディング更新メッセージＢＵのシーケンス番号は値１を有し、バインディング受信確認メッセージＢＡ’のそれは２であるからである。それゆえ、モバイルノードは攻撃を検知する。
さらに、モバイル・アクセス・ゲートウェイが、モバイルノードとローカル・モビリティ・アンカーとの間で交換されるシーケンス番号の現在値を検索することがもし可能であったならば、モバイル・アクセス・ゲートウェイは、モバイルノードによって送信されたバインディング更新メッセージのシーケンス番号値に対応しているシーケンス番号値、すなわち、値１、を有するバインディング受信確認メッセージＢＡ’を送信可能であったろう。しかしながら、モバイルノードはバインディング更新リストを調べることによって、シーケンス番号値１を有するバインディング受信確認ＢＡがすでに受信されており、それゆえ、バインディング更新メッセージＢＵと対応することに気が付くであろう。それゆえ、モバイルノードは、バインディング受信確認メッセージＢＡ’がモバイルノードによって受信された、シーケンス番号値１を有する、２番目のバインディング受信確認メッセージであることに気が付くであろう。
それゆえ、モバイルノードが、バインディング受信確認メッセージを受信した直後に、トラフィックのリダイレクトの試みを検知するのは、モバイルノードが、受信されたバインディング受信確認メッセージと対応するバインディング更新メッセージをまだ送信していない場合、すなわち、受信されたバインディング受信確認メッセージと同一のシーケンス番号を持った、これまでにバインディング受信確認が受信されていないモバイルノード向けのバインディング更新を、モバイルノードが発見しない場合である。
モバイルノードがプロキシ・モバイルＩＰホーム・ドメインに進入する場合には、モバイルノードは、トラフィックのリダイレクトの試みを検知する際に、別の状況も考慮に入れるべきである。モバイルノードが攻撃を検知するべきであるのは、受信されたバインディング受信確認メッセージが以前に送信されたいずれのバインディング更新メッセージとも対応しておらず、かつ、モバイルノードがホームに存在しない場合、すなわち、モバイルノードが接続されるアクセス・ルータによって通知されるプレフィックスが、モバイルノードのホーム・プレフィックスでない場合のみである。第２の状況は、モバイルノードがＰＭＩＰホーム・ドメインに進入する際に、攻撃を誤って検知することを防止することを許容する。
ひとたびモバイルノードが攻撃を検知すると、モバイルノードは、モバイルノードの気付アドレスを含む新しいバインディング更新メッセージＢＵ’を、ローカル・モビリティ・アンカーＬＭＡへと送信して、バインディング・キャッシュ・エントリーを、安全性が損なわれているモバイル・アクセス・ゲートウェイの保存された気付アドレスからモバイルノードの気付アドレスへと修正する。
第１の態様による本発明の別の実施形態によると、モバイルノードは、「攻撃フラグ」をバインディング更新メッセージＢＵ’中に設定すること等によって、ローカル・モビリティ・アンカーに、疑われる攻撃を通知してもよい。次いでローカル・モビリティ・アンカーは、バインディング更新メッセージＢＵ’を受信した直後に、攻撃が本当に存在するか否かを検証して、安全性が損なわれているモバイル・アンカー・ゲートウェイを特定するための措置を行うことができる。このことは、ＡＡＡインフラストラクチャーに問い合わせて、モバイルノードがいずれの位置からネットワークへと最近認証されたかを決定する等によって、行われうる。この決定された位置が、プロキシ・バインディング更新ＰＢＵを送信したモバイル・アンカー・ゲートウェイの位置と異なる場合は、次いでローカル・モビリティ・アンカーは、モバイル・アンカー・ゲートウェイは安全性が損なわれているとみなす。ローカル・モビリティ・アンカーは、安全性が損なわれているモバイル・アンカー・ゲートウェイを特定した後に、信頼されるモバイル・アンカー・ゲートウェイのリストから、このモバイル・アンカー・ゲートウェイを取り除くことができる。
これより、第１の態様による第１の実施形態の第２のバリアントを、図３に関して説明する。記載される状況は、モバイルノードが、現在、ネットワーク・ベースのモビリティ管理スキームを実装するドメインの内部にある状況である。モバイルノードは、第１のモバイル・アクセス・ゲートウェイＭＡＧ１に接続されており、それゆえ、モバイル・アクセス・ゲートウェイＭＡＧ１は、プロキシ・バインディング更新メッセージＰＢＵ１をローカル・モビリティ・アンカーＬＭＡに送信して、モバイルノードの接続を指示する。ローカル・モビリティ・アンカーＬＭＡは、プロキシ・バインディング更新メッセージＰＢＵ１を受信した後、次いで、プロキシ・バインディング更新ＰＢＵ１中に含まれる第１のモバイル・アクセス・ゲートウェイＭＡＧ１アドレスである、プロキシ・バインディング受信確認メッセージＰＢＡ’を、気付アドレスへと送信して、気付アドレスがローカル・モビリティ・アンカーＬＭＡのバインディング・キャッシュ・エントリー中に保存されたことを確認する。
図３は、安全性が損なわれている第２のモバイル・アクセス・ゲートウェイＭＡＧ２によって、モバイルノードへと向かうことになっているトラフィックのリダイレクトの試みを図示する。第２のモバイル・アクセス・ゲートウェイＭＡＧ２は、偽りのプロキシ・バインディング更新メッセージＰＢＵ２を、ローカル・モビリティ・アンカーＬＭＡへと送信する。ローカル・モビリティ・アンカーは、これに対応して、第１のモバイル・アクセス・ゲートウェイＭＡＧ１と対応する古い気付アドレスを、第２のモバイル・アクセス・ゲートウェイＭＡＧ２と対応し、偽りのプロキシ・バインディング更新ＰＢＵ２中に含まれる新しい気付アドレスで置き換えることによって、自己のバインディング・キャッシュ・エントリーを更新する。ローカル・モビリティ・アンカーＬＭＡは次いで、プロキシ・バインディング受信確認メッセージＰＢＡ２を、安全性が損なわれているモバイル・アクセス・ゲートウェイＭＡＧ２と対応する気付アドレスへと送信する。さらに、ローカル・モビリティ・アンカーＬＭＡは、安全性が損なわれているモバイル・アクセス・ゲートウェイＭＡＧ２に対応する、新たに保存された気付アドレスへと送信されたプロキシ・バインディング受信確認メッセージＰＢＡ２に加えて、プロキシ・バインディング受信確認メッセージＰＢＡ’２を、バインディング・キャッシュ・エントリー中に以前に保存された第１のモバイル・アクセス・ゲートウェイＭＡＧ１と対応する気付アドレスへと送信する。
第１のモバイル・アクセス・ゲートウェイＭＡＧ１は、受信されたプロキシ・バインディング受信確認メッセージＰＢＡ’２と、第１のモバイル・アクセス・ゲートウェイＭＡＧ１がかつてローカル・モビリティ・アンカーＬＭＡへと送信したプロキシ・バインディング更新メッセージを比較することによって、安全性が損なわれているモバイル・アクセス・ゲートウェイＭＡＧ２によるトラフィックのリダイレクトの試みを検知できる。第１のモバイル・アクセス・ゲートウェイＭＡＧ１が、自己がローカル・モビリティ・アンカーＬＭＡへと送信したいずれのプロキシ・バインディング更新メッセージとも対応していないプロキシ・バインディング受信確認メッセージに気が付くと、第１のモバイル・アクセス・ゲートウェイＭＡＧ１は次いで、モバイルノードが第１のモバイル・アクセス・ゲートウェイＭＡＧ１に依然として接続されているか否かを確認する。もしもそうである場合には、ＭＡＧ１は、安全性が損なわれているモバイル・アクセス・ゲートウェイによって起こりうるトラフィックをリダイレクトする試みを検知する。
図３に示されるように、第１のモバイル・アクセス・ゲートウェイＭＡＧ１は、プロキシ・バインディング受信確認メッセージＰＢＡ’２を受信した直後に、自らが対応するプロキシ・バインディング更新メッセージをまだ送信していないことに気が付く。その理由は、ＭＡＧ１が、かつて送信されたプロキシ・バインディング更新ＰＢＵ１のプロキシ・バインディング受信確認ＰＢＡ１をすでに受信したから、および、プロキシ・バインディング受信確認メッセージＰＢＡ’２中のシーケンス番号はプロキシ・バインディング更新ＰＢＵ１中のそれとは異なるからである。第１のモバイル・アクセス・ゲートウェイＭＡＧ１は次いで、図３の「試験レイヤ２接続」シグナリングによって示されるように、モバイルノードが第１のモバイル・アクセス・ゲートウェイＭＡＧ１に依然として接続されているか否かを確認する。モバイルノードが第１のモバイル・アクセス・ゲートウェイＭＡＧ１に依然として接続されている場合は、ＭＡＧ１は、第２のモバイル・アクセス・ゲートウェイＭＡＧ２からの攻撃を検知する。
ひとたび第１のモバイル・アクセス・ゲートウェイＭＡＧ１が攻撃を検知すると、ＭＡＧ１は、新しいプロキシ・バインディング更新メッセージＰＢＵ’をローカル・モビリティ・アンカーへと送信して、ローカル・モビリティ・アンカーにおけるバインディング・キャッシュ・エントリーを修正する。さらに、第１のモバイル・アクセス・ゲートウェイＭＡＧ１は、プロキシ・バインディング更新メッセージＰＢＵ’中に新しい「攻撃フラグ」を設定すること等によって、ローカル・モビリティ・アンカーに、疑われる攻撃を通知してもよい。ローカル・モビリティ・アンカーは次いで、攻撃が本当に存在するか否かを検証して、安全性が損なわれているモバイル・アクセス・ゲートウェイを特定するための措置を行うことができる。このことは、ＡＡＡインフラストラクチャーに問い合わせて、モバイルノードがいずれの位置からネットワークへと認証されたかを決定する等によって、行われうる。ローカル・モビリティ・アンカーは、安全性が損なわれているモバイル・アクセス・ゲートウェイを特定した後に、信頼されるモバイル・アンカー・ゲートウェイのリストから、このモバイル・アンカー・ゲートウェイを取り除くことができる。
図２／図３それぞれに関して図示される方法では、古い気付アドレスないしモバイルノード／第１のモバイル・アクセス・ゲートウェイＭＡＧ１それぞれへの、バインディング受信確認メッセージＢＡ’／プロキシ・バインディング受信確認メッセージＰＢＡ’２のそれぞれが失われると、攻撃はタイムリーに検知できない。このような場合、モバイルノードまたは安全性が損なわれていないモバイル・アクセス・ゲートウェイのそれぞれからのバインディング更新の後に、安全性が損なわれているモバイル・アクセス・ゲートウェイからの、バインディング・キャッシュ・エントリーの寿命に応じて幾分の時間がかかりうるバインディング更新が続いた後にのみ、攻撃が検知できる。パケット損失の場合において、検知の速度を上げるのに考えられる一方法は、バインディング・キャッシュ・エントリーの寿命を低減することであろう。他の選択肢は、モバイルノード／モバイル・アクセス・ゲートウェイそれぞれからの、バインディング受信確認メッセージＢＡ’／プロキシ・バインディング受信確認メッセージＰＢＡ’２それぞれの受信を確認する受信確認メッセージを導入し、その結果、所定の時間枠以内に受信確認が全く受信されない場合には、バインディング受信確認メッセージＢＡ’／プロキシ・バインディング受信確認メッセージＰＢＡ’２それぞれが、ローカル・モビリティ・アンカーによって再送信できるようにすることにあるであろう。
第１の態様による本発明の一実施形態によると、ローカル・モビリティ・アンカーは、プロキシ・バインディング更新を受信した直後にバインディング・キャッシュ・エントリーを更新して、ハンドオーバー遅延の速度を上げる。しかしながら、偽りのプロキシ・バインディング更新の場合、このことによって、トラフィックの一時的なリダイレクトを許容するであろう。それゆえ、ローカル・モビリティ・アンカーは、一時的なバインディング・キャッシュ・エントリーを作成するとともに、バインディング受信確認メッセージＢＡ’／プロキシ・バインディング受信確認メッセージＰＢＡ’２それぞれを、モバイルノード／第１のモバイル・アクセス・ゲートウェイＭＡＧ１それぞれの古い気付アドレスを送信した後にタイマーを設定することができるであろう。タイマーが切れ、攻撃フラグの付いたバインディング更新／プロキシ・バインディング更新メッセージそれぞれが全く受信されていない場合は、ローカル・モビリティ・アンカーは、バインディング・キャッシュ・エントリーを、一時的なバインディング・キャッシュ・エントリーからの情報で更新することができる。このことは、トラフィックの一時的なリダイレクトを防止するであろうが、ハンドオーバー遅延を増大するであろう。
これより、第１の態様による本発明の第２の実施形態を、図４および５に関して説明する。
第１の態様による第２の実施形態の第１のバリアントを、図４に関して説明する。モバイルノードが、クライアント・ベースのモビリティ管理スキームを実装するドメイン内に配置されている。モバイルノードはそれゆえ、バインディング更新メッセージＢＵをローカル・モビリティ・アンカーＬＭＡへと送信することによって、自己の位置を通信する。ローカル・モビリティ・アンカーＬＭＡは、最初に、バインディング更新メッセージＢＵ中に含まれる認証情報を確認して、このバインディング更新ＢＵが、本当に、ＢＵ中に含まれるホーム・アドレスと対応するモバイルノードによって本当に送信されたことを識別する。バインディング更新を受け取った後、ローカル・モビリティ・アンカーＬＭＡは次いで、バインディング受信確認メッセージＢＡを、バインディング更新メッセージＢＵ中に含まれるモバイルノードの気付アドレスへと送信し、気付アドレスがローカル・モビリティ・アンカーＬＭＡのバインディング・キャッシュ・エントリー中に保存されたことを確認する。
図４は、ネットワーク・ベースのモビリティ管理スキームを実装するドメイン内における、安全性が損なわれているモバイル・アクセス・ゲートウェイによる、モバイルノード宛てのトラフィックをリダイレクトする試みを図示する。モバイル・アクセス・ゲートウェイは、偽りのプロキシ・バインディング更新メッセージＰＢＵをローカル・モビリティ・アンカーＬＭＡへと送信する。ローカル・モビリティ・アンカーは、これに対応して、モバイルノードの古い気付アドレスを、偽りのプロキシ・バインディング更新ＰＢＵ中に含まれるモバイル・アクセス・ゲートウェイの新しい気付アドレスで置き換えることによって、自己のバインディング・キャッシュ・エントリーを更新する。ローカル・モビリティ・アンカーＬＭＡは次いで、プロキシ・バインディング受信確認メッセージＰＢＡを、安全性が損なわれているモバイル・アクセス・ゲートウェイの気付アドレスへと送信する。さらに、ローカル・モビリティ・アンカーＬＭＡは、安全性が損なわれているモバイル・アクセス・ゲートウェイの新たに保存された気付アドレスへと送信されたプロキシ・バインディング受信確認メッセージＰＢＡに加えて、バインディング受信確認ＢＡ１を、バインディング・キャッシュ・エントリー中に以前に保存されたモバイルノードの気付アドレスへと送信する。
第１の態様による本発明の第２の実施形態のこのバリアントでは、ローカル・モビリティ・アンカーは、バインディング・キャッシュ・エントリー中に現在保存されている気付アドレスおよび受信されたＰＢＵまたはＢＵメッセージ中の気付アドレスの両方からの新しいバインディング更新メッセージを要求する。この要求は、たとえばプロキシ・バインディング受信確認メッセージＰＢＡ、および、バインディング受信確認メッセージＢＡ’、または、代替的には、Ｂ．Ｈａｌｅｙ、Ｓｒｉ Ｇｕｎｄａｖｅｌｌｉ、「モビリティ・ヘッダ・シグナリング・メッセージ」、ｄｒａｆｔ−ｈａｌｅｙ−ｍｉｐ６−ｍｈ−シグナリング−０２．ｔｘｔ、２００７年３月に規定されるモビリティ・ヘッダ・シグナリング要求メッセージ（ＭＨＳＲ）といった異なる種類のメッセージ送信することによって実現することができる。追加的に、バインディング更新通知オプション（ＢＲＡ、ＲＦＣ３７７５の第６．２．４節を参照）を含むことができる。バインディング更新通知オプション中の更新間隔フィールド、または、バインディング受信確認メッセージ中の寿命フィールドに、ゼロと同じかそれに近い、好ましくは５秒未満の値を設定することによって、プロキシ・バインディング受信確認メッセージＰＢＡの受信機である安全性が損なわれているモバイル・アクセス・ゲートウェイと、バインディング受信確認メッセージＢＡ’の受信機であるモバイルノードのそれぞれに対して、ローカル・モビリティ・アンカー内のバインディング・キャッシュ・エントリーを更新するために、プロキシ・バインディング更新ＰＢＵ’およびバインディング更新ＢＵ’でそれぞれ、即座に応答するよう要求する。
図４に示されるように、バインディング更新通知オプションの有無にかかわらずバインディング受信確認メッセージＢＡ’を受信した直後に、モバイルノードは、新しいバインディング更新ＢＵ’で、ローカル・モビリティ・アンカーに応答する。図４はあるバインディング受信確認メッセージの特定の例を記載しているが、上述のとおり、バインディング受信確認メッセージＢＡ’は、モビリティ・ヘッダ・シグナリング要求メッセージで置き換えられうる。プロキシ・バインディング受信確認メッセージＰＢＡ、または、バインディング更新通知の有無にかかわらずモビリティ・ヘッダ・シグナリング要求を受信するモバイル・アクセス・ゲートウェイは、モバイルノードが依然として接続されているか否かを確認し、接続されている場合は、新しいプロキシ・バインディング更新をローカル・モビリティ・アンカーへと送信するか。モバイルノードがもはや接続されていない場合、モバイルノードは新しいプロキシ・バインディング更新を送信しない。しかしながら、モバイル・アクセス・ゲートウェイＭＡＧは安全性が損なわれているので、モバイルノードがＭＡＧに接続されていないものの、ＭＡＧはリダイレクト攻撃の有効性を保つために、プロキシ・バインディング更新ＰＢＵ’で応答する。
それゆえ、ローカル・モビリティ・アンカーＬＭＡは、自己の再送信要求に対する応答として、プロキシ・バインディング更新ＰＢＵ’およびバインディング更新メッセージＢＵ’の両方を受信する。それゆえ、ローカル・モビリティ・アンカーは、安全性が損なわれているモバイル・アクセス・ゲートウェイがあることを検知する。
第１の選択肢によると、ローカル・モビリティ・アンカーＬＭＡは、モビリティ・アンカー・ゲートウェイではなくモバイルノードを信頼する。その理由は、モバイルノードとローカル・モビリティ・アンカーＬＭＡとの間にピアツーピアのセキュリティ・アソシエーションがあり、および、モバイルノード自体が、バインディング更新メッセージＢＵ’のソースであるからである。その結果、ローカル・モビリティ・アンカーは、プロキシ・バインディング更新ＰＢＵ’を廃棄し、モバイル・アクセス・ゲートウェイが安全性が損なわれているとみなす。これは、このモバイル・アクセス・ゲートウェイからの別のプロキシ・バインディング更新は一切受け取られないことを意味する。
第２の選択肢によると、ローカル・モビリティ・アンカーＬＭＡは、ＡＡＡインフラストラクチャーからのポリシー・ストアを調べて、どこでモバイルノードが認証され、アクセス・リソースを用いることが許可されるかを検証する。ローカル・モビリティ・アンカーＬＭＡが、モバイルノードがＰＭＩＰドメイン内にないことを検証した後、ローカル・モビリティ・アンカーＬＭＡは、モバイル・アクセス・ゲートウェイが、安全性が損なわれているとみなす。
これより、第１の態様による第２の実施形態の第２のバリアントを、図５に関して説明する。
記載された状況は、現在モバイルノードが、ネットワーク・ベースのモビリティ管理スキームを実装するドメイン内にあることである。モバイルノードは、第１のモバイル・アクセス・ゲートウェイＭＡＧ１に接続され、それゆえ、ＭＡＧ１はプロキシ・バインディング更新メッセージＰＢＵ１をローカル・モビリティ・アンカーＬＭＡに送信して、モバイルノードの接続を指示する。プロキシ・バインディング更新メッセージＰＢＵ１を受信した後、ローカル・モビリティ・アンカーＬＭＡは次いで、プロキシ・バインディング受信確認メッセージＰＢＡ１を、プロキシ・バインディング更新ＰＢＵ１中に含まれる第１のモバイル・アクセス・ゲートウェイＭＡＧ１と対応する気付アドレスへと送信し、気付アドレスがローカル・モビリティ・アンカーＬＭＡのバインディング・キャッシュ・エントリー中に保存されたことを確認する。
図５は、安全性が損なわれている第２のモバイル・アクセス・ゲートウェイＭＡＧ２による、モバイルノード宛てのトラフィックをリダイレクトする試みを図示する。第２のモバイル・アクセス・ゲートウェイＭＡＧ２は、偽りのプロキシ・バインディング更新メッセージＰＢＵ２を、ローカル・モビリティ・アンカーＬＭＡへと送信する。ローカル・モビリティ・アンカーはこれに対応して、第１のモバイル・アクセス・ゲートウェイＭＡＧ１に対応する古い気付アドレスを、偽りのプロキシ・バインディング更新ＰＢＵ２中に含まれる第２のモバイル・アクセス・ゲートウェイＭＡＧ２と対応する新しい気付アドレスで置き換えることによって、自己のバインディング・キャッシュ・エントリーを更新する。ローカル・モビリティ・アンカーＬＭＡは、次いで、プロキシ・バインディング受信確認メッセージＰＢＡ２を、安全性が損なわれているモバイル・アクセス・ゲートウェイＭＡＧ２に対応する気付アドレスへと送信する。さらに、ローカル・モビリティ・アンカーＬＭＡは、安全性が損なわれているモバイル・アクセス・ゲートウェイＭＡＧ２に対応する新たに保存された気付アドレスへと送信されたプロキシ・バインディング受信確認メッセージＰＢＡ２に加えて、プロキシ・バインディング受信確認メッセージＰＢＡ’２を、バインディング・キャッシュ・エントリー中に以前に保存された第１のモバイル・アクセス・ゲートウェイＭＡＧ１と対応する気付アドレスへと送信する。
第１の態様による本発明の第２の実施形態のこのバリアントでは、ローカル・モビリティ・アンカーは、モビリティ・ヘッダ・シグナリング要求、または、図５に示されるように、プロキシ・バインディング受信確認メッセージＰＢＡ２のいずれかを、安全性が損なわれているモバイル・アクセス・ゲートウェイＭＡＧ２と対応する気付アドレスへと、および、プロキシ・バインディング受信確認メッセージＰＢＡ’２を第１のモバイル・アクセス・ゲートウェイＭＡＧ１と対応する気付アドレスへと、バインディング更新通知オプションの有無にかかわらず（ＢＲＡ、ＲＦＣ３７７５の第６．２．４節を参照）送信する。
モバイル・アクセス・ゲートウェイが再送信の要求を受信するといつでも、モバイル・アクセス・ゲートウェイは確認を行って、モバイルノードが依然として自己に接続されているか否かを判定するために。モバイルノードが依然として接続されている場合は、モバイル・アクセス・ゲートウェイは次いで、プロキシ・バインディング更新をローカル・モビリティ・アンカーへと送信する。安全性が損なわれているモバイル・アクセス・ゲートウェイＭＡＧ２は、プロキシ・バインディング更新ＰＢＵ’２をローカル・モビリティ・アンカーへと送信して、リダイレクト攻撃の有効性を保ち、モバイルノードの接続の場合は、第１のモバイル・アクセス・ゲートウェイＭＡＧ１は、ローカル・モビリティ・アンカー内のバインディング・キャッシュ・エントリーを更新するために、プロキシ・バインディング更新ＰＢＵ’１で応答する。
上記に記載のように、ローカル・モビリティ・アンカーは２つのプロキシ・バインディング更新を受信し、該バインディング更新に基づいて、ローカル・モビリティ・アンカーＬＭＡは、モバイル・アクセス・ゲートウェイのうち１つが安全性が損なわれていることを判定する。次に、ローカル・モビリティ・アンカーＬＭＡは、上記に記載のように、安全性が損なわれているモバイル・アクセス・ゲートウェイを特定するために、ＡＡＡインフラストラクチャーのポリシー・ストアを調べることができる。
第１の態様による第１の実施形態に関して上述のとおり、ローカル・モビリティ・アンカーＬＭＡは、プロキシ・バインディング更新を受信した直後に、バインディング・キャッシュ・エントリーを更新して、ハンドオーバー遅延の速度を上げることができるであろう。しかしながら、これによって、安全性が損なわれているモバイル・アクセス・ゲートウェイによるトラフィックの一時的なリダイレクトを許容するであろう。それゆえ、ローカル・モビリティ・アンカーは、新しい気付アドレスの付いた一時的なバインディング・キャッシュ・エントリーを作成し、バインディング受信確認／プロキシ・バインディング受信確認メッセージそれぞれを、バインディング・キャッシュ・エントリー中の現在の気付アドレスへと送信した後に、タイマーを設定することができるであろう。タイマーが切れ、バインディング更新／プロキシ・バインディング更新メッセージそれぞれが現在の気付アドレスから全く受信されなかった場合、ローカル・モビリティ・アンカーは、バインディング・キャッシュ・エントリーを、一時的なバインディング・キャッシュ・エントリーからの情報で更新する。それゆえにローカル・モビリティ・アンカーは、新しい気付アドレスは安全性が損なわれていないモバイル・アクセス・ゲートウェイに由来していると想定する。この代替策は、トラフィックの一時的なリダイレクトを防止するであろうが、ハンドオーバー遅延を増大するであろう。
本発明の第１の態様は、ローカル・モビリティ・アンカーがバインディング受信確認メッセージをモバイルノードまたはモバイル・アクセス・ゲートウェイのいずれかへと送信する状況についてとりわけ記載されてきたが、攻撃を検知する他の種類のメッセージを本発明の範囲から逸脱することなく用いることができる。
以下において、本発明の第２の態様を説明する。下記の術語は下記の定義を有すると解釈される。
本明細書中では、バインディング更新（ＢＵ）は、モバイルノードまたはプロキシ・モビリティ・エージェント（ＰＭＡ）によって送信されて、ＭＮの新しいアドレス（すなわち位相的な位置）についてモビリティ・アンカー・ポイント（ＨＡ）を通知する登録メッセージと定義されている。この本発明の第２の態様では、ＢＵは、ホスト・ベースのモビリティ機構中のＭＮによって送信される、クライアントＢＵを表すＣＢＵとも称するＢＵと、ネットワーク・ベースのモビリティ機構中のＰＭＡによって送信される、プロキシＢＵを表すＰＢＵとも称するＢＵとに区別される。類推的には、ホストによって送信されるバインディング更新受信確認メッセージはＣＢＡｃｋ（クライアントＢＡｃｋ）として示され、ＰＭＡによって送信されるバインディング更新受信確認メッセージはＰＢＡｃｋ（プロキシ−ＢＡｃｋ）として示される。
本明細書中でのＢＵ競合状態とは、ＣＢＵまたはＰＢＵメッセージが遅延し、結果として、古い（Ｐ）ＢＵがより新しい（Ｐ）ＢＵより後にＨＡに到達する状況のことを言う。
ＣＭＩＰ（クライアント・モバイルＩＰ）とは、ホスト・ベースのモビリティ機構のことを言う。クライアント（ホストまたはモバイルノードＭＮ）は、登録メッセージをモビリティ・アンカー・ノード（ホーム・エージェントＨＡ）へと送信し、自己の新しい位置を登録する。
ＰＭＩＰ（プロキシ・モバイルＩＰ）とは、モバイルＩＰプロトコル（Ｄ．Ｊｏｈｎｓｏｎ、Ｃ．Ｐｅｒｋｉｎｓ、Ｊ．Ａｒｋｋｏ、「ＩＰｖ６におけるモビリティ・サポート」、ＲＦＣ３７７５、２００４年６月）に基づいて設立されたネットワーク・ベースのモビリティ機構のことを言う。プロキシ・モバイル・エージェント（ＰＭＡ）は、ＭＮの代わりに登録メッセージをモビリティ・アンカー・ノード（ＨＡ）へと送信して、ＭＮの新しい位置を登録する。ＰＭＩＰ機構では、ＭＮはモビリティに関連した手順に関与しない。
第２の態様による本発明の一実施形態による解決策は２段階に分けることができる。第１の段階では、ＨＡはＢＵ競合状態の可能性を検知する。この段階はＢＵ競合状態検知手順とも称する。第２の段階では、ＨＡがＢＵ競合状態の可能性を検知した後、ＨＡは、両方のＢＵのうちいずれがより新しいかを解消する必要がある。これは最新ＢＵの解消手順とも称する。
下記の術語が第２の態様による本発明の説明に用いられ、その定義が以下に提供される。
ＢＵ解消クエリー・メッセージは、ＢＵ競合状態が発生した場合に、ＨＡによって送信されるメッセージを指定して、最新（すなわち最も現在の）ＢＵの解消を行う。このメッセージは、更新通知オプションの付いたバインディング更新受信確認、または、インターネット制御メッセージ・プロトコル（ＩＣＭＰ）エコー・メッセージ、または気付試験イニット（ＣｏＴＩ）メッセージ、または、いくつかの他のメッセージであってもよい。
ＢＵ解消応答メッセージは、ＭＮまたはＰＭＡによって送信されるメッセージを、ＢＵ解消クエリー・メッセージに対する応答として指定する。このメッセージは、バインディング更新、または、プロキシ・バインディング更新メッセージ、または、ＩＣＭＰエコー応答メッセージ、または、気付試験（ＣｏＴ）メッセージ、または、いくつかの他のメッセージであってもよい。
ＢＵ競合状態検知手順は、使用されるモビリティ機構の変更、すなわち、クライアント・ベース（ＣＭＩＰ）からネットワーク・ベース（ＰＭＩＰ）モビリティへの、またはその反対の移行の検知に主として基づいている。ＨＡは、ＰＢＵを受信した後のＣＢＵの受信またはＣＢＵを受信した後のＰＢＵの受信等の、異なる種類のＢＵのシーケンス受信によって、この移行を検知できる。モビリティ機構の移行が検知されるたびに、ＨＡが最新ＢＵの解消手順を開始していたならば、これは、ネットワーク内における不必要なシグナリングおよびＨＡ内におけるバインディング更新の処理の不必要な遅延をきたしたであろう。したがって、第２の態様による本発明の好適な実施形態によると、ＢＵ競合状態検知手順は精緻化され、異なる種類のＢＵが到着した時の時間をＨＡに監視および保存させることによって、ＢＵ競合状態検知のより正確な状況が追加的に導入される。異なる種類の連続するＢＵの到着が事前に設定される時間幅（時間幅は「Ｔ」によっても表される）内にある場合、このことは、異なる種類のＢＵがそれぞれが送信された後から非常に短い時間内に送信されることを意味し、このため、ＢＵの再順序付けの可能性は大きい。この場合にはＨＡが最新ＢＵの解消手順をトリガする。図１２の測定時間差を想定するとしよう。ここで、Δｔが事前に設定された時間幅Ｔよりも小さい／短いという条件（すなわち、Δｔ＜Ｔ）が満たされる場合、ＨＡは次いで最新ＢＵの解消手順を開始する。
時間幅Ｔの設定は、ネットワーク事業者によって手動で行うことができ、または、動的に決定することができる。たとえば事業者は、ある外部ネットワークとおよびホーム・ネットワークとの間のハンドオーバー手順（または、ＣＭＩＰベースの機構からＰＭＩＰベースの機構まで）がどのくらいの長さであるかを知りうるし、または、異なるネットワーク・ドメイン間のハンドオーバーに必要な最短時間を知っている。したがって、異なる種類の連続するＢＵの到着は、最小のハンドオーバー遅延よりも短くなるはずがない。その時間のほうがより短い場合は、何か疑わしいことが発生しており、ＨＡは、ＢＵの到着の正確な結果について疑う。この場合には、パラメータＴが、ＣＭＩＰからＰＭＩＰへ（またはその反対）のモビリティ移行の最小のハンドオーバー遅延プラスマイナス幾分のガード時間に基づいて構成される。しかしながら、ＭＮが事前認証および事前許可を行う場合は（これは、ＭＮが、Ｌ２ハンドオーバーの前の新しいネットワーク・ドメインでＥＡＰ手順を行うことを意味する）、パラメータＴは、適切に設定される必要がある、すなわち、異なる種類のＢＵが互いの送信からすぐ直後に送信されうることを考慮する必要がある。パラメータＴはＢＵ競合状態検知手順の追加的な情報条件であり、その構成が実装ごとに特有なことに留意されたい。ＨＡがＢＵ競合状態を検知した場合、次の手順は、最新ＢＵの解消手順を行うことである。この手順の間、ＨＡは最後に受信されたＢＵ（ＣＢＵまたはＰＢＵ、Ｃ／ＰＢＵとも称する）を拒絶し、ＢＵ解消クエリー・メッセージ（更新通知オプションが０に設定されたバインディング受信確認、ＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］等）を両方のＣｏＡへと送信する。第１のＣｏＡは、現在のバインディング・キャッシュ・エントリー（ＢＣＥ）から取り出され、このことは、このアドレスが以前のＣ／ＰＢＵによってすでに登録されていることを意味する。第２のＣｏＡは、ちょうど拒絶されたばかりの最近のＣ／ＰＢＵ中に含まれる。ＢＵ解消クエリー・メッセージに対する応答として、ＨＡは、現在のＭＮの位置から、すなわち、最新のＣｏＡからＢＵ解消応答メッセージ（Ｃ／ＰＢＵ等）を１つのみ受信し、これに対応して自己のＢＣＥを更新する。
図１１は、ＣＭＩＰからＰＭＩＰへのモビリティ移行におけるＢＵ競合状態シナリオの例示的な解決策を示す。ＭＮによって送信されるより古いＣＢＵは、ＰＭＡによって送信されるより新しいＰＢＵよりも遅くＨＡに到着する。ＰＢＵとＣＢＵとの到着の時間差（Δｔ）は、事前構成される時間パラメータＴよりも小さいので、ＨＡはＢＵ競合状態の可能性を検知する。したがって、ＨＡはＣＢＵを受け取らず、最新ＢＵの解消手順を開始する。ＨＡのための１つの選択肢はＣＢＵを削除することであるが、他の選択肢は（ＨＡが、ＢＵ解消応答メッセージを受信する前に登録解除メッセージ受信する箇所における記載中に後に示されるように）、ＣＢＵの情報を保存することであり、その理由は、ＨＡは、ＢＵ解消応答メッセージの受信の前に、ＢＣＥを更新する決定をする可能性があるからである。ＢＵ競合状態を検知する結果として、ＨＡは、ＣＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］をＭＮへと、および、ＰＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］をＰＭＡへと送信する。ＭＮへのＣＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］を受信することができないので、ＭＮからは応答が全く来ないであろう。ＰＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］の受信の後、ＰＭＡはＰＢＵで即座にＨＡへと応答する。ＨＡがＰＢＵを受信する時、ＨＡは自己のＢＣＥを更新する。この場合には、このことは、ＢＣＥは変更されず、単にＢＣＥ中の寿命タイマーのみが更新されることを意味する。
図１２は、ＰＭＩＰからＣＭＩＰへのモビリティ移行におけるＢＵ競合状態シナリオの例示的な解決策を示す。ＰＭＡによって送信されるより古いＰＢＵは、ＭＮによって送信されるより新しいＣＢＵよりも、遅くＨＡに到着する。再び、条件Δｔ＜Ｔが満たされる場合は、ＨＡは最新ＢＵの解消手順を開始する。ＨＡはＣＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］をＭＮへと、および、ＰＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］をＰＭＡへと送信する。ＰＭＡ向けのＰＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］は受信される。しかし、ＭＮはもはやＰＭＡのモビリティ登録データベース中に存在しないので、ＰＭＡはメッセージを廃棄する。他方では、ＣＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］メッセージの受信の後、ＭＮはＣＢＵで即座にＨＡへと応答する。ＨＡがＣＢＵを受信する時、ＨＡは自己のＢＣＥを更新する。この場合には、このことは、ＢＣＥは変更されず、単にＢＣＥ中の寿命タイマーが更新されることを意味する。
前の段落に記載されたように、ＢＵ競合状態の検知の精緻化は、異なる種類の連続するＢＵの到着の時間差に基づいている。図１２とは対照的に、ＢＵが順序正しく、しかし、互いの送信からすぐ直後に到着することも可能である。このような場合は、ＭＮがＰＭＩＰからＣＭＩＰへのハンドオーバーを行う図１３に表される。ＰＢＵはＣＢＵのすぐ前（すなわち、Δｔ＜Ｔ）に到着する。この条件があるため、ＢＵは正確に（順序正しく）到着したものの、最新ＢＵの解消手順が起動される。結果としての挙動は、ＨＡは最新のＢＵ（すなわち、ＣＢＵ）を受け取らず、ＣＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］をＭＮへと、および、ＰＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］をＰＭＡへと送信することである。ＭＮはもはやＰＭＡに接続されていないので、ＰＭＡはＰＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］メッセージを廃棄する。ＣＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］の受信の後、ＭＮはＣＢＵ［ＳＮ+１］で即座にＨＡへと応答する。表示ＣＢＵ［ＳＮ+１］とは、クライアントＢＵ中のシーケンス番号が１ずつ増加することを意味する。ＨＡがＣＢＵを受信する時、ＨＡはＣＢＵを受け取り、ＭＮのための対応するプロキシＢＣＥが無効にされる（または実装に応じて削除される）ので、自己のＢＣＥを更新する。ＨＡは、ＣＢＵの受信確認のためにＣＢＡｃｋをＭＮへと返信してもよい。図１３の場合を要約すると、各ＢＵがＨＡに順序正しく到着するものの、最新ＢＵの解消手順がトリガされる。しかしながら、最新ＢＵの解消手順が行われた後、ＨＡは正しいＢＵ（この場合はＣＢＵ）を受け取る。したがって、正しい処理は影響を受けない。唯一の影響は、ＣＢＵが受け取られる前に、小さな遅延が導入されることである。この遅延は、ＨＡとＭＮとの間の１回の往復時間（ＲＴＴ）である。
以下において、第２の態様による最新ＢＵの解消手順の最適化について説明する。前記最適化は主としてＰＭＡのレベルにある。
一部の状況において、ＰＭＡとＭＮとの間のレイヤ２（Ｌ２）技術は、Ｌ２登録解除をサポートしないこともありうる。このことは、ＭＮがＰＭＡを離れる時、短い継続期間では、ＰＭＡは、ＭＮが登録されているデータベース内に依然として入力を有することもありうる。ＰＭＡがＢＵ解消クエリー・メッセージをこの継続期間において受信する場合、ＰＭＡは、ＭＮが離れているにもかかわらず、ＨＡに肯定的に応答するであろう。したがって、以下の最適化が提案され、該最適化は図１４のフローチャートによって図示される。
第２の態様による本発明の一実施形態によると、ＰＭＡが所定のＭＮのＢＵ解消クエリー・メッセージを受信するとともに、ＰＭＡがこのＭＮの有効な登録を有している場合、ＰＭＡはＭＮが依然としてＩＰリンクに接続されているか否かを確認する。これを行うにはいくつかの選択肢がある。１つの選択肢は、Ｌ２ポーリング・メッセージをＭＮへと送信し、および応答を取得することである。当該ＨＡの別の選択肢は、近隣要請を送信し、および、ＭＮから近隣通知を受信することである。ＰＭＡが、ＭＮが依然として接続されていることを判定する場合、ＰＭＡは次いで、（寿命がゼロでないオプションでの）肯定的なＰＢＵをＨＡへと送信する。そうでなく、ＭＮがＰＭＡに接続されていない場合は、ＰＭＡはＢＵ解消クエリー・メッセージを廃棄する。
ＰＭＡが常にＢＵ解消クエリー・メッセージに回答することも可能である。それゆえ、第２の選択肢によると、ＭＮがＰＭＡに登録されている場合、ＰＭＡは肯定的なＢＵ解消応答メッセージで回答する。ＭＮがもはやＰＭＡに接続されていない場合、ＰＭＡは否定的なＢＵ解消応答メッセージで回答する。
好適には、ＢＵ解消クエリー・メッセージは、更新通知オプションの付いたバインディング更新受信確認メッセージによって実装される。更新通知オプションはゼロに設定されており、このことは、受信者がバインディング更新で即座に応答しなければならないことを意味する。本発明の第２の態様に用いられるこのメッセージの表示は、ＰＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］である。結果生じるＢＵ解消応答メッセージは、好ましくは、ＣＢＵまたはＰＢＵであり、おれは誰がＰＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］メッセージに応答するか次第である。すなわち、応答者がＭＮであれば、ＢＵ解消応答メッセージはＣＢＵであり、応答者がＰＭＡであれば、ＢＵ解消応答メッセージがＰＢＵである。肯定的なＢＵ解消応答メッセージは、ゼロよりも大きい寿命オプションを有する通常のＣＢＵまたはＰＢＵ（すなわち、ＰＢＵ［寿命＞０］）である。否定的なＢＵ解消応答メッセージは、ゼロと等しい寿命オプションを有するＣＢＵまたはＰＢＵ（すなわち、ＰＢＵ［寿命＝０］）である。
図１４は、最新ＢＵの解消手順をサポートするＰＭＡ内における本発明の第２の態様による例示的な実装を示す。最も単純な実装では、ＰＭＡは、データベースのみ（ＢＣＥ）について、ＭＮが登録されている（入力を有する）か否かを確認する。ＭＮがＢＣＥリスト中に入力を有する場合、ＰＭＡは、ＢＣＥ中のバインディング寿命が、寿命オプション中の値で更新されるべきであることを意味する、ＰＢＵ［寿命＞０］を送信する。これに反して、ＭＮがＢＣＥ中にない場合、ＰＭＡはＢＵ解消クエリー・メッセージを廃棄する。ＰＭＡがＮＡｃｋメッセージ（すなわち、登録抹消メッセージＢＵ［寿命＝０］）を送信するよう構成されている場合、ＰＭＡは次いで、ＭＮがＢＣＥリスト中に存在しない場合にこのメッセージを送信する。ＭＩＰｖ６では、登録抹消メッセージはＢＵ［寿命＝０］であり、該メッセージは、ＨＡ内の所定のＣｏＡに対するＭＮの入力を削除する。ここでは、ＰＭＡは、ＨＡ内のプロキシ・バインディングをＰＭＡ自体でまたは他の単語で登録抹消するために、ＰＢＵ［寿命＝０］を送信し、ＰＭＡは、ＭＮがもはやこのＰＭＡに位置していないことを、ＨＡに通知する。随意的に、ＭＮがＢＣＥリスト中に存在するものの、ＰＭＡがＬ２アベイラビリティ確認を行うよう構成されている場合、ＰＭＡはこの確認を行う。Ｌ２確認が肯定の場合、ＰＭＡはＰＢＵ［寿命＞０］を送信する。そうでなく、Ｌ２確認が否定の場合、ＰＭＡはあたかもＭＮがＢＣＥリスト中に入手可能でないかのように同一の動作を行う。
以下において、第２の態様による本発明の他の実施形態について説明する。ＨＡがＣＢＵまたはＰＢＵの登録解除メッセージを受信すると、このことは両ＣｏＡのうち１つがもはや有効でないことを意味する。ＣＭＩＰ−ＨＡにおける登録解除処理が、「Ｄ．Ｊｏｈｎｓｏｎ、Ｃ．Ｐｅｒｋｉｎｓ、Ｊ．Ａｒｋｋｏ、「ＩＰｖ６におけるモビリティ・サポート」、ＲＦＣ３７７５、２００４年６月」の第１０．３．２．節に記載されている。ＨＡ内のバインディングが登録解除される必要がありうるのは、ＭＮがホーム・ネットワーク内に戻る時、または、ＰＭＡがＭＮが自己の領域から出たことを検知する場合である。送信側エンティティ（ＭＮまたはＰＭＡ）が、ＣｏＡが必要とされていないか、または、もはや有効でないことを知っている場合はいつでも、ＢＵ登録抹消メッセージが送信される。したがって、ＨＡがＣＢＵまたはＰＢＵ登録解除メッセージを受信する時は、ＨＡは、ＢＵ競合状態検知手順または最新ＢＵの解消手順を取り消すべきである。具体的には、ＢＵ競合状態検知手順の場合には、ＨＡはΔｔ時間を測定するのを止めてもよい。最新ＢＵの解消手順の場合、ＢＵ解消クエリー・メッセージを送信した後であり、かつ、ＢＵ解消応答メッセージを受信する前に、ＨＡが登録解除メッセージを受信する場合は、ＨＡは、ＢＵ解消応答メッセージを待たずに、登録抹消に基づいて最も現在のＢＵの有限性について判定する。たとえば、ＨＡがＣＢＵの後にＰＢＵを受信し、最新ＢＵの解消手順を開始して登録解除ＣＢＵを受信する場合は、ＨＡは、ＰＢＵを受け取ること、および、ＢＵ解消応答メッセージが到着する前に、ＣＢＵから自己のバインディングを削除することを決定する。逆も同様に、ＨＡがＣＢＵの後にＰＢＵを受信し、最新ＢＵの解消手順を開始して登録解除ＰＢＵを受信する場合は、ＨＡは、ＣＢＵを受け取ること、および、ＢＵ解消応答メッセージが到着する前にＰＢＵからバインディングを削除することを決定する。
第２の態様による本発明の解決策を展開するためにＨＡ内で実装が要求される変更を、以下に要約する。
第一に、上記に記載のＢＵ競合状態検知手順が、ＨＡ内で実施されるべきである。さらに、上記に定義される時間パラメータ「Ｔ」が、ネットワーク事業者によって構成されるべきである。異なる種類のＢＵの到着時間の差の測定を実施するのに二つの選択肢がある。一つの選択肢は、ＨＡ内のすべてのＰＢＵおよびＣＢＵの到着時間を保存することである。これは、第２の態様による一実施形態によると、ＨＡ内のバインディング・キャッシュ・エントリー（ＢＣＥ）中の新しいフィールドとして実装されうる。異なる種類の新しいＢＵが到着すると、ＨＡは、最も新しいＣ／ＰＢＵと前回のＣ／ＰＢＵの到着時間を比較する。他の選択肢はタイマーを実装して、異なる種類の各ＢＵの到着時間の差を測定することであろう。あるＣ／ＰＢＵが到着した後、次のＣ／ＰＢＵが到着する時に、タイマー が開始および停止される。
ＨＡ内において要求される他の変更は、最新ＢＵの解消手順の実施である。さらに、バインディング要求メッセージＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］の、ＭＮの両方のＣｏＡまたはＣｏＡのうち少なくとも１つへの送信が、実施されるべきである。最も新しいＢＵは、最新ＢＵの解消手順が完了するまでＨＡによって保存され、次いで破棄されるべきである。
モバイルノードおよびＰＭＡで要求される変更を以下に要約する。
一般的に、ＭＩＰを実装するノードは、未処理のＢＵに対するバインディング受信確認（ＢＡｃｋ）メッセージのみを処理する。しかしながら、ＢＡｃｋ［Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０］メッセージは、対応してＭＮまたはＰＭＡに受信された同一のＢＵの第２のバインディング受信確認である。したがって、ＭＮまたはＰＭＡ内でのＭＩＰの実装は、更新通知オプションが０に設定される（Ｒｅｆｒ−Ａｄｖ−Ｏｐｔ＝０）場合のみに、第２のＣＢＡｃｋまたは対応してＰＢＡｃｋメッセージを処理するよう変更されるべきである。オプションＲｅｆｒ−Ａｄｖ−Ｏｐｔ＝０を有する第２のＣ／ＰＢＡｃｋのみを受け取る理由は、攻撃者がＭＮを不必要なＢＡｃｋでフラッドさせたいと思いうるセキュリティ脅威の可能性を限定することである。ＭＮの場合において第２のＣＢＡｃｋを受け取る一具体例を以下に説明する。ＭＮは、未処理の各ＣＢＵと同一のシーケンス番号（ＳＮ）を有するＣＢＡｃｋのみを処理する。ひとたび、ＣＢＡｃｋが処理されると、ＣＢＵはもはや未処理ではなくなる。したがって、すでに受信確認済のＣＢＵの第２のＣＢＡｃｋを受け取るためには、ＭＮは修正される必要がある。
さらに、ＭＮがもはやＰＭＡに登録されていない場合は、上記に記載の最適化手順によって、すなわち、否定の応答ＰＢＵ［寿命＝０］をＨＡへと送信することによって、ＰＭＡが変更される。さらに、ＰＭＡは、ＭＮのアベイラビリティについてわからなくなるたびにＭＮのポーリングを行うよう、修正されてもよい。このようなポーリングの場合、ＰＭＡは、Ｌ２ポーリング・メッセージをＭＮへと送信し、応答を取得してもよい。ＨＡに対する別の選択肢は近隣要請を送信することであり、ＭＮからの近隣通知の受信によって、ＭＮの接続を確認するであろう。
両方のＢＵ解消クエリー・メッセージが何らかの理由で失われる特別な場合がありうる。対応するＢＵ解消クエリー・メッセージへのＢＵ解消応答メッセージが所定時間内にＨＡ内に到着しないこのような場合には、ＨＡはＢＵ解消クエリー・メッセージを再度送信する。
第２の態様による本発明の別の実施形態によると、ＨＡは、ＢＵ解消メッセージ（すなわちＢＡｃｋ）を両方のＣｏＡには送信せず、１つのエンティティのみに送信する。たとえば、ＨＡは、ＨＡ内に最後に登録されたＰＭＡのみに、すなわち他の単語では、最後のＰＢＵを送信したＰＭＡに、ＢＡｃｋを送信してもよい。ＰＭＡがＢＵ解消メッセージを受信すると、ＰＭＡは、要求されたＭＮが依然として登録されているか否かを確認する。肯定の場合、ＰＭＡは新しいＰＢＵをＨＡへと送信する。そうでない場合、ＰＭＡは否定の応答をＨＡへと返信する。このバリアントの利点は、ＰＭＡとＨＡとの間の往復時間が非常に高い確率でより小さくなることである。したがって、ＨＡはＰＭＡによる迅速な応答を受信する。このバリアントの実現のためには、ＰＭＡが常にＢＵ解消メッセージに応答するようＰＭＡを修正することが必要である。
最新ＢＵの解消に関して異なるバリアントが可能である。主要な解決策において、更新通知オプションの付いたバインディング受信確認の配置が提示された。この解決策は、ＢＡｃｋに対する応答は送信者によって署名されたＢＵまたはＰＢＵであり、その結果、ホーム・エージェントがメッセージの送信者を許可するので、好適である。このようにして、最新のバインディング更新解消の解決策は、セキュリティ脅威を有しない。しかしながら、ホーム・エージェントに対する、バインディング更新の送信者、すなわち、ＭＮおよびプロキシ・モビリティ・エージェントをポーリングする他の選択肢は想定されることはできない。具体的には、ＢＡｃｋを代替するメッセージを送信することができ、うちいくつかが以下にリストに記載される。
ＨＡは、気付アドレス試験初期化（ＣｏＴｉ）メッセージを、連続する異なる種類のバインディング更新の両方のＣｏＡへと送信してもよい。ＣｏＴｉメッセージを受信するエンティティは、ＣｏＴメッセージで応答する。ＨＡがＣｏＴメッセージを受信すると、ＨＡは、ＣｏＴのソースＩＰアドレスに基づいて送信者を判定する。その結果として、ＨＡはモバイルノードの現在位置を導き出すことができる。しかしながら、ＣｏＴメッセージは署名されていないので、いくつかの異なるＣｏＡを含みおよびＭＮのデータ・フローを妨げうる攻撃者をＨＡは区別できないので、ＣｏＴメッセージは最適なセキュリティを提供しない。この観点において、このメッセージの使用は可能と考えられるが、ＢＡｃｋの使用よりも好適ではない。
代替的に、ＨＡは、両方のＣｏＡまたはＣｏＡのうち少なくとも１つへと、ＩＣＭＰエコー要求を送信してもよい。受信された応答に応じて、ＨＡは現在のＣｏＡの有限性を判定することができる。しかしながら、フラッディング攻撃を回避するために、ファイアウォールがＩＣＭＰメッセージをフィルタリングまたは廃棄することが可能である。この観点において、このメッセージの使用は可能と考えられるが、ＢＡｃｋの使用よりも好適ではない。
第２の態様による本発明の別の実施形態によると、あるＰＭＩＰドメイン内にある２つのＰＭＡ間のモバイルノードのハンドオーバーの場合において、第２の態様による本発明の各実施形態に関する上記に記載の原理が用いられてもよい。本発明の第２の態様に記載される本解決策は、各ＢＵが、シーケンス番号（ＣＢＵ）またはタイムスタンプ（ＰＢＵ）のいずれかを含むために直接的に比較可能でない場合に、最新のＢＵを選択する問題を標的とする。しかしながら、ＰＢＵが時間同期していない異なるＰＭＡ由来である場合、本解決策は、ＰＢＵ間で区別するのに適用してもよい。これは、ＭＮが時間同期していないＰＭＩＰドメイン間を移動する場合に、発生しうる。この場合には、両方のＰＭＩＰドメインに由来する連続するＰＢＵはタイムスタンプ・オプションを有しており、タイムスタンプは、ＰＢＵの新しさに関する判定を行うには十分でない。このような場合、第１に、ＨＡは、各ＰＢＵを送信する各ＰＭＡの消失時間の同期について（事前構成等によって）知るべきである。第二に、ＨＡは、それら非同期のＰＭＡに由来するＰＢＵを、異なる種類由来のＢＵとして扱う。ＢＵ競合状態検知手順が競合状態を検知する場合、ＨＡは最新ＢＵの解消手順をトリガする。
以下において、本発明の第３の態様を説明する。
本発明の第３の態様の記載に高頻度に用いられるいくつかの術語の定義を提供する。
セキュリティ・アソシエーションは、安全な通信をサポートするために２つのノードまたは機能的なエンティティが共有する１組のセキュリティ情報と定義されてもよい。たとえばセキュリティ・アソシエーションは、日付暗号化アルゴリズム、日付暗号化キー（単数または複数）（たとえば、秘密キーまたはパブリック／プライベート・キーの対、初期ベクトル（単数または複数）、デジタル証明書等を含んでもよい。代表的には、外部ネットワーク内のモバイルノードと、ホーム・ネットワーク内のモバイルノードのホーム・エージェントとの間に、セキュリティ・アソシエーションが提供される。このようにして、たとえモバイルノードが外部ネットワークに接続されている場合であっても、ホーム・エージェントとモバイルノードとの間で暗号化された、および／または、（安全なトンネルを介する等により）認証／許可された通信が保証されてもよい。
トークンとは、セキュリティに関連する機能および手順に用いられてもよい暗号情報である。１つ以上のトークンを手段として用いて、モバイルノードおよびコレスポンデント・ノードは、たとえば、コレスポンデント・ノードにおけるモバイルノードのバインディングの登録に関連しているメッセージの許可された通信を達成しうる。トークンは、たとえば乱数いわゆるノンスを用いて生成されてもよい。１つ以上のトークンが組み合わされて、新しいトークンを形成してもよい。
キー生成トークンは、リターン・ルータビリティ手順においてコレスポンデント・ノードによって供給され、モバイルノードが、バインディング更新を許可するのに必要なバインディング管理キーを演算することを可能にする数字であってもよい。したがって、気付キー生成トークンは、気付試験中にコレスポンデント・ノードによって送信されるキー生成トークンであり、一方、ホーム・キー生成トークンは、ホーム試験中にコレスポンデント・ノードによって送信されるキー生成トークンを表す。
バインディング管理キー（Ｋｂｍ）は、バインディング・キャッシュ管理メッセージ（たとえば、バインディング更新またはバインディング受信確認）を許可するのに用いられるキーである。リターン・ルータビリティは、バインディング管理キーを作成する方法を提供する。
ノンスは代表的には、リターン・ルータビリティ手順に関連したキー生成トークンの作成において、コレスポンデント・ノードによって内部的に用いられる。ノンスはモバイルノードに特有ではなく、コレスポンデント・ノード内で秘密に保たれている。ノンス指標は、キー生成トークン値を作成する際にいずれのノンスが用いられたかを、ノンス自体を暴露することなく指示するのに用いられる。
クッキーとは、モバイルノードによって用いられる、リターン・ルータビリティ手順において偽りのコレスポンデント・ノードによるスプーフィングを防止するための乱数である。気付イニット・クッキーは、コレスポンデント・ノードへと送信される、気付試験イニット・メッセージ中のクッキーである。この気付イニット・クッキーは、モバイルノードが応答の真正性を確認するのを許容するべく、気付試験メッセージ中に返してもよい。同様に、ホーム イニット・クッキーはコレスポンデント・ノードへと送信される、ホーム試験イニット・メッセージ中のクッキーであり、ホーム試験メッセージ中に返されるべきである。
気付アドレスの登録とは、モバイルノードがバインディング更新を自己のホーム・エージェントまたはコレスポンデント・ノードへと送信して、該モバイルノードのバインディングを登録させる処理である。リターン・ルータビリティ手順は、登録に先行してもよく、引き続いての登録を暗号トークン交換の使用によって許可するのに用いられてもよい。
代表的には、許可が実施中であるバインディング更新を許可されたバインディング更新という。一般的に、許可されたバインディング更新は、バインディング更新を認証するためのメッセージ認証コードなどいくつかの暗号情報を含むバインディング更新と、みなされてもよい。上記に示すように、許可されたバインディング更新は、たとえば、リターン・ルータビリティ手順においてコレスポンデント・ノードとモバイルノードとの間で交換される暗号情報に基づいて生成されうるメッセージ認証コードを含んでもよい。
一般的に、メッセージに組み込まれるメッセージ認証コードの使用メッセージは、通信経路または接続といった、信頼できない媒体を送信されたか、または、該媒体内に保存された情報の完全性を確認する方法を提供しうる。代表的には、秘密キーに基づいてこのような完全性確認を提供する機構は、通常、メッセージ認証コード（ＭＡＣ）と称する。メッセージ認証コードは代表的には、秘密キーを共有する２当事者間で、これら当事者間で送信された情報を有効化するために用いられている。ＭＡＣ機構は、たとえば暗号的ハッシュ関数（ＭＤ５およびＳＨＡ１等）に基づいていてもよい。さらに、採用された秘密キーは、たとえば暗号的ハッシュ関数を用いても生成されうる暗号情報であってもよい。本発明の一実施形態に用いられる暗号的ハッシュ関数の詳細は、たとえば、ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇより入手可能であり、参照によって本明細書に包含されるＫｒａｗｃｚｙｋら、「ＨＭＡＣ：メッセージ認証のためのキー付ハッシュ」、ＩＥＴＦ ＲＦＣ ２１０４、１９９７年２月に見出されうる。
リターン・ルータビリティとは、モバイルノードとコレスポンデント・ノードの間の暗号情報の交換を含み、該交換に基づいて、引き続いて交換されるメッセージの認証が可能である。一実施形態では、リターン・ルータビリティ手順は、モバイルノードの後続のバインディング更新を認証するために、モバイルノードに２つのトークン（ホーム・キー生成トークンおよび気付キー生成トークンと表される）を提供するホーム試験および気付試験を含むという点で、ＭＩＰｖ６リターン・ルータビリティ手順に類似している。しかしながら、下記の各節により明らかになるように、本発明のいくつかの実施形態では、この手順は、ホーム試験が必要とならない（または、言い換えれば ホーム試験「省略され」うる）ように変更される。さらに、別の実施形態では、バインディング受信確認の認証にはリターン・ルータビリティ手順は何ら要求されない。
上記にすでに示したように、本発明の一目的は、モバイルノードが、コレスポンデント・ノードにおける自己のバインディング・キャッシュ・エントリーがいつスプーフィングされたかを検知することを可能にする。コレスポンデント・ノードにおけるモバイルノードのバインディング・キャッシュ・エントリーのスプーフィングの検知によって、たとえば、攻撃の影響を無効にするべく、即座に対策をとる（たとえば、コレスポンデント・ノードにおけるバインディングを修復する）ことを可能にする。
モバイルノードのバインディングに対する攻撃を検知する複数の機構について、本明細書中において概略を説明する。本発明の第３の態様による一実施形態では、検知機構は、許可されたバインディング更新を受信した後に、複数のバインディング受信確認を、モバイルノードの異なるアドレスへと送信するコレスポンデント・ノードを含む。バインディング受信確認をモバイルノードの新しい気付アドレスへと送信することに加えて、またはその代わりに、コレスポンデント・ノードは、バインディング受信確認を、モバイルノードのホーム・アドレスおよび／または古い気付アドレスへと送信してもよい。その結果として、モバイルノードは、対応するバインディング更新を送信しなかった可能性があるけれども、バインディング受信確認を受信するであろう。このことは、モバイルノードによって、コレスポンデント・ノード内の自己のバインディング・エントリーに対する攻撃の成功と解釈することができる。例示的な一実施形態では、モバイルノードは、ネットワークに接続／接続されたままであってもよく、該ネットワークでは、許可されたバインディング更新によって登録を抹消されたモバイルノードの気付アドレスは、この気付アドレスへと向かうことになっているバインディング受信確認を（随意的に）該気付アドレスから離れる前に受信すると、定義されている。
本発明の第３の態様による別の実施形態では、検知機構は、バインディング試験を用いて、コレスポンデント・ノード内のバインディング・エントリーの正しさを確認するモバイルノードを含む。この試験はたとえば、１つ以上のバインディング試験メッセージをコレスポンデント・ノードへと送信することを含みうる。バインディング試験メッセージは、コレスポンデント・ノードからの（ＩＣＭＰエコー要求／応答に類似している等の）応答を要求してもよい。モバイルノードは、これらバインディング試験メッセージを、たとえば、１回、定期的に、または、所定の期間コレスポンデント・ノードによって何らデータが受信されていない時等、時折送信してもよい。バインディング試験メッセージはたとえば、モバイルノードのホーム・エージェントを介してトンネリングされてもよく、その結果、メッセージがモバイルノードのホーム・アドレスをソース アドレスとして有し、コレスポンデント・ノードは、応答にはバインディング・キャッシュ・エントリーを用いなければならない。複数の試験メッセージを送信した後応答が全く受信されない場合は、モバイルノードは、消失した応答を、コレスポンデント・ノードにおけるモバイルノードのバインディングに対する攻撃の成功の示唆として解釈してもよい。
本発明の第３の態様による本発明の別の実施形態では、コレスポンデント・ノードにおけるスプーフィングされたバインディング・キャッシュ・エントリーの検知は、要請されていないプローブ・メッセージをモバイルノードの現在の気付アドレスへと送信するコレスポンデント・ノードを含んでもよい。プローブ・メッセージは、たとえば、コレスポンデント・ノードによってモバイルノードへと所定の期間、定期的にまたは時折送信されてもよい。プローブ・メッセージはたとえば、バインディング受信確認メッセージであってもよい。データおよび／またはバインディング受信確認が複数の期間において何ら受信されていない場合、モバイルノードは、このことをコレスポンデント・ノードにおけるモバイルノードのバインディング・キャッシュ・エントリーに対する攻撃の成功の示唆として解釈しうるであろう。
それら検知機構は、既存のバインディング手順に加えて、該手順をより安全にするのに用いられてもよく、または、すべての攻撃をそもそも防止しないコストで、シグナリング経費およびハンドオーバー遅延を低減するよう、バインディング手順を最適化するのに用いられることができる。しかしながら、モバイルノードは、攻撃を検知できるとともに、攻撃の影響を無効にする即座に処置をとりうるので、セキュリティの低下が防止される。さらに、異なる検知機構が、個別にまたは任意の組み合わせにおいて採用することができる。
本発明の第３の態様の他の目的は、たとえば暗号的に生成されたアドレスが何も要求されないようにする、リターン・ルータビリティ手順およびルート最適化モードの最適化に関する。本発明の第３の態様による一実施形態では、ホーム試験は、モバイルノードおよびコレスポンデント・ノードによって、初期にのみ実行されてもよく、ホーム・キー生成トークンは、後続の楽観的リターン・ルータビリティ・ラウンドにおいて再使用される。すなわち、ホーム試験（ＨｏＴ／ＨｏＴｉ交換）が省略される。
このことは、シグナリング経費およびハンドオーバー遅延を低減するかもしれないが、コレスポンデント・ノードにおけるモバイルノードのバインディングに対するタイム・シフト攻撃を促進する。しかしながら、この欠点はたとえば、本明細書中に記載される異なる機構のうち１つを用いて攻撃を検知するモバイルノードによって、補償されてもよい。攻撃を検知することに応答して、移動体端末はたとえば、完全なリターン・ルータビリティ手順（ホーム試験／ホーム試験イニット交換を含む）を開始して、バインディングを即座に修復し、新しいホーム・キー生成トークンを生成してもよい。
上記に示すように、本発明の第３の態様による一実施形態では、モバイルノードのバインディング・キャッシュ・エントリーをスプーフィングする攻撃者は、許可されたバインディング更新を受信した後に、複数のバインディング受信確認をモバイルノードの異なるアドレスへと送信するコレスポンデント・ノードに基づいて検知されてもよい。たとえば、バインディング受信確認をモバイルノードの新しい気付アドレスへと送信することに加えて、コレスポンデント・ノードは、バインディング受信確認をモバイルノードのホーム・アドレスおよび／または随意的に古い気付アドレスへと送信する。
図１９は、モバイルノードが、本発明の例示的な実施形態による、モバイルノードのホーム・ネットワークを介して送信されたバインディング受信確認に基づいて、コレスポンデント・ノードにおいて、自己のバインディングに対する攻撃を検知することを許容する、攻撃者、モバイルノード、コレスポンデント・ノードおよびホーム・エージェントの間で交換されるメッセージの例示的なシーケンスを示す。例示的な目的のために、モバイルノードおよびコレスポンデント・ノードが、データ・パケットを交換するためにルート最適化を用いることが想定される。
例示的な目的のみのために、攻撃者がアドレス・スチーリング／なりすまし攻撃を行って、たとえば、モバイルノードへと向かうことになっているデータを盗聴または改ざんするとさらに想定される。攻撃者は、それゆえに、リターン・ルータビリティ手順５０１、および、コレスポンデント・ノード（ＣＮ）への後続の気付アドレス登録手順５０２を実行することを成し遂げるかもしれない。リターン・ルータビリティ手順の結果として、バインディング更新を認証する該当する暗号情報を取得した後ただちに、攻撃者は引き続き、バインディング更新をコレスポンデント・ノードへと送信して５０５、モバイルノードの気付アドレスとして、たとえば自己のアドレスを登録して、モバイルノードへと向かうことになっているトラフィックを自己へとリダイレクトする。攻撃者は、（リターン・ルータビリティ手順５０１から取得された暗号情報に基づいて判定されるメッセージ認証コードを含む等によって）有効にバインディング更新を認証する能力があるので、コレスポンデント・ノードは、バインディング更新中の該アドレスを、モバイルノードの新しい気付アドレスとして登録する５０３（すなわち、スプーフィングされた新しい気付アドレスを指すべく、モバイルノードのバインディング・キャッシュ・エントリーのホーム・アドレスを更新する）。
バインディング受信確認を送信して５０５、許可されたバインディング更新に指示された新しい気付アドレス中への新しい気付アドレスへの登録を確認することに加えて（またはその代わりに）、コレスポンデント・ノードは、（別の）バインディング受信確認を、モバイルノードのホーム・アドレスへと送信し５０６、その結果、まず、バインディング受信確認が最初にモバイルノードのホーム・エージェントへとルーティングされ、該ホーム・エージェントは、ホーム・エージェントのバインディング・キャッシュにおいて、モバイルノード登録簿の気付アドレス（すなわち、モバイルノードのスプーフィングされていない実際の気付アドレス）を用いて、バインディング受信確認をモバイルノードへと転送する５０７ようにする。
その結果として、モバイルノードは、対応するバインディング更新をまだ送信していないにもかかわらず、バインディング受信確認を受信する。このことは、モバイルノードによって、コレスポンデント・ノードにおける自己のバインディング・エントリーに対する攻撃の成功と解釈されうる。より具体的にはモバイルノードは、このコレスポンデント・ノードへと送信された最後の（受信確認されていない）バインディング更新の再送信ウィンドウ内に存在ない（すなわちシーケンス番号よりも高いか、または、所定の閾値だけ低い）シーケンス番号とともにバインディング受信確認が受信される場合に、コレスポンデント・ノードにおける、たとえば、モバイルノードのバインディングに対する攻撃を検知５０８してもよい。
本発明の第３の態様による実施形態の変形例では、バインディング受信確認をモバイルノードのホーム・アドレスへと送信すること５０５、５０６に加えるかまたはその代わりに、コレスポンデント・ノードは、バインディング受信確認を、モバイルノードの以前に登録された気付アドレス（攻撃の場合には有効な気付アドレスであるべきである）へも送信できうることにさらに留意するべきである。また、この選択肢は、モバイルノードが自己のバインディングに対する攻撃を認識することを許容するであろう。
モバイルノードが自己のバインディングに対する攻撃を検知する場合は、たとえば再度バインディングを修復するための対策を取ってもよい。図１９の例示的な実施形態では、モバイルノードは、新しい暗号情報を生成するべく、ホーム試験５１０と気付試験５１１とを含むリターン・ルータビリティ手順５０９を行う。例示的な一実施形態では、ホーム試験は、クッキーの付いたホーム試験イニット・メッセージをコレスポンデント・ノードへと、ホーム・ネットワーク（すなわちホーム・エージェント）を介して送信すること、および、コレスポンデント・ノードが応答を送信することを含み、ホーム・メッセージはホーム・キー生成トークンを含んでもよい。ホーム試験メッセージは、ホーム・エージェントを介して移動体ノードへと送信される。これに類似して気付試験は、たとえば、クッキーの付いた気付試験イニット・メッセージをコレスポンデント・ノードへと直接的に送信すること、および、コレスポンデント・ノードが応答を送信することを含み、気付試験メッセージがたとえば気付キー生成トークンを含んでもよい。
リターン・ルータビリティ手順から取得された暗号情報を用いて、モバイルノードおよびコレスポンデント・ノードは、後続のバインディング更新を認証するために用いられるためにバインディング・キーを判定／生成してもよい５１２、５１３。手順５１２、５１３は任意であってもよい。リターン・ルータビリティ手順等は、モバイルノードおよびコレスポンデント・ノードに、後続のメッセージを認証する際に直接的に用いられうる暗号情報を提供しうる。
リターン・ルータビリティ手順５０９の精密な実施の有無にかかわらず、該手順から取得された暗号情報は、引き続き移動体端末によって用いられ、コレスポンデント・ノードにおける自己の正しい気付アドレスの登録５１４を認証し、これによってバインディングを修復し、検知された攻撃の影響を無効にする。その後、パケットはモバイルノードへと送信され５１５、今や正確に登録された気付アドレスは移動体端末へと再度ルーティングされる。
上記に記載の再送信ウィンドウはたとえば、バインディング受信確認が、再送信されたバインディング更新メッセージが受信できるウィンドウとして定義されてもよい。例をあげると、モバイルノードがシーケンス番号１１の付いたバインディング更新を送信し、モバイルノードにおける再送信タイマーが期限切れになる前にシーケンス番号１１の付いたバインディング受信確認が全く受信されない場合、モバイルノードは、新しいシーケンス番号（１２等）の付いた他のバインディング更新を送信するであろう。今や、バインディング更新またはシーケンス番号１１の付いたバインディング受信確認メッセージのいずれも失われなかったが、その代わりに、（ネットワーク内の一時的な混雑等のために）再送信タイマーよりも長い時間遅延したことがありうる。この場合には、モバイルノードは、現在のシーケンス番号よりも低いシーケンス番号の付いた遅延したバインディング受信確認を受信する。モバイルノードが通常、現在のシーケンス番号から再送信のサイズを引いた数よりも低いシーケンス番号の付いたバインディング受信確認を受信しないようにするべく、再送信ウィンドウは、静的または動的に設定されてもよい。攻撃が検知されうるのは、バインディング受信確認が現在のシーケンス番号よりも高いかまたは所定の閾値だけ低い等、再送信ウィンドウから外れたシーケンス番号とともにモバイルノードにおいて受信される場合である。
しかしながら、パケット損失がこの機構にとって問題である。攻撃が成功し、バインディング更新メッセージに対する応答としてバインディング受信確認のみが送信され、および、それらバインディング受信確認が失われる場合は、攻撃はモバイルノードによって検知できない。様々な機構をこのようなパケット損失シナリオに対応するために用いることができる。１つの選択肢は、モバイルノードが、バインディング受信確認メッセージに対する受信確認を送信し、その結果、コレスポンデント・ノードが、パケット損失を検知し、バインディング受信確認メッセージを再送信できるようにすることであろう。
本発明の第３の態様による別の実施形態では、モバイルノードは、プローブ・メッセージをコレスポンデント・ノードへと送信することによって、コレスポンデント・ノード内のバインディング・エントリーの正しさを確認し、該プローブ・メッセージは、コレスポンデント・ノードからの（ＩＣＭＰエコー要求／応答と類似している等の）応答を要求し、これによって、応答は、コレスポンデント・ノードにおいて登録されたモバイルノードの気付アドレスへと向けられる。実施形態の一変形例では、プローブ・メッセージが、モバイルノードのホーム・ネットワーク（すなわち、ホーム・エージェントから）を経由して、または、直接的にモバイルノードのいずれかで受信されたにかかわらず、コレスポンデント・ノードは、バインディング・キャッシュ中に登録されている気付アドレスを、自己の応答の宛先として常に用いる。これらプローブ・メッセージは、１回、定期的に、または、たとえばコレスポンデント・ノードによってデータが全く所定の期間受信されていない場合等、時折、送信されうる。プローブ・メッセージは、ホーム・エージェント上をトンネリングされてもよく、その結果、該プローブ・メッセージは、ソース アドレスとしてモバイルノードのホーム・アドレスを有し、コレスポンデント・ノードは、応答に対するバインディング・キャッシュ・エントリーを用いなければならないようになる。別の選択肢は、プローブ・メッセージを直接的にモバイルノードからコレスポンデント・ノードへと送信することであろう。複数の応答の後、プローブ・メッセージ（単数または複数）に対する応答が全く受信されない場合、モバイルノードは、このことを攻撃の成功の示唆として解釈してもよい。
図２０は、モバイルノードが、バインディング試験に基づいて、コレスポンデント・ノードにおいて自己のバインディングに対する攻撃を検知することを許容する、本発明の第３の態様による例示的な実施形態による攻撃者、モバイルノード、コレスポンデント・ノードおよびホーム・エージェントの間で交換されるメッセージの例示的なシーケンスを示す。例示的な目的のために、モバイルノードおよびコレスポンデント・ノードが、データ・パケットを交換するためにルート最適化を用いると想定する。
図１９に示される例におけるように、また、本発明の第３の態様によるこの実施形態においても、例示的な目的のみから、攻撃者はアドレス・スチーリングまたはなりすまし攻撃を起動すると想定する。したがって攻撃者は、最初に、リターン・ルータビリティ手順を実行し５０１、および引き続いて、コレスポンデント・ノードにおける自己のアドレスを登録する５０２、５０３、５０４、５０５。これら手順は図１９の手順と類似しているため、より詳細については図１９の説明に記載される。したがって、モバイルノードのスプーフィングされた気付アドレスへと向かうことになっているコレスポンデント・ノード由来のすべてのデータは、モバイルノードの新しい気付アドレスとしてコレスポンデント・ノードのバインディング・キャッシュ中に登録された後ただちに、攻撃者のアドレスへと提供される６０１。
図１９とは異なり、この例示的な実施形態では、バインディング試験機構が攻撃者を検知するのに用いられるので、コレスポンデント・ノードは、バインディング更新をモバイルノードのホーム・アドレスまたは以前に登録された気付アドレスへと送信する必要がないことが、要求されていないことに留意するべきである。しかしながら、他の実施形態では、バインディング受信確認に基づいて攻撃者を検知する機構とバインディング試験の使用とを組み合わせても、同様に有利に用いられうる。
本発明の第３の態様によるこの実施形態に提案されるバインディング試験６０２に戻ると、同じことが、ＩＣＭＰエコー／応答機構と類似の機構を用いる要求応答スキームにたとえば基づいてもよい。モバイルノードは、バインディング試験要求メッセージをコレスポンデント・ノードへと送信してもよい６０３。図２０に示される例では、バインディング試験要求はコレスポンデント・ノードへと直接的に送信される。随意的に、モバイルノードはバインディング試験要求を自己のホーム・エージェントへとリバース・トンネリングしてもよく、該ホーム・エージェントは、バインディング試験要求をコレスポンデント・ノードへと転送する。いかなる場合でも、コレスポンデント・ノードは、バインディング試験応答メッセージを送信する６０５ことによって、この要求に応答する。このメッセージは、要求側のモバイルノードの現在登録された気付アドレスへと向けられており、該気付アドレスは、コレスポンデント・ノードのバインディング・キャッシュから取得される６０４。コレスポンデント・ノードにおけるモバイルノードのバインディングが攻撃者によってスプーフィングされたと想定すると、移動体端末からバインディング試験要求へのバインディング試験応答は、スプーフィングされた気付アドレス、すなわちこの例では攻撃者へと向かうことになっている。
随意的に、モバイルノードは１つを上回るバインディング試験要求メッセージを送信して、コレスポンデント・ノードにおける自己のバインディング・キャッシュ・エントリーを検証することができるであろう。このことは、図２０の点線で描いたメッセージ６０６、６０８および点線で描いた機能的阻止６０７によって、図示される。
モバイルノードは、バインディング試験メッセージおよび１つ以上のバインディング要求メッセージがタイムアウトした（すなわち、閾値期間内に応答が全く受信されなかった）直後に、タイマーを開始してもよく、モバイルノードはこの状況をコレスポンデント・ノードにおけるバインディングの破損とみなしてもよい。それゆえ、図１９の状況と同様に、モバイルノードは、ホーム試験５１０と気付試験５１１とを含む完全なリターン・ルータビリティ試験５０９を行い、モバイルノードおよびコレスポンデント・ノードにおいてバインディング・キーを随意的に生成し５１２、５１３、モバイルノードの正しい気付アドレスを再度登録して５１４、スプーフィングされたバインディングを修復すること等によって、適切な対策を取ってもよい。
上記の図２０に関して記載された実施形態では、例示的な目的のために、バインディング試験応答が、コレスポンデント・ノードによってモバイルノードからの対応する要求に応答して送信される、すなわち、該応答は要請された応答メッセージであると想定してきた。本発明の第３の態様による別の実施形態では、コレスポンデント・ノードは、非送信請求アライブ・メッセージを送信してもよい。これらアライブ・メッセージはたとえば、コレスポンデント・ノードによって定期的にまたは時折（コレスポンデント・ノードによってデータが全くモバイルノードへと所定期間送信されなかった場合等）送信できる可能性があり、モバイルノードは、コレスポンデント・ノードのバインディング・キャッシュ中に登録された現在の気付アドレスへと向かうことになっている。例示的な一実施形態では、非送信請求アライブ・メッセージはバインディング受信確認メッセージである。データおよび／または非送信請求アライブ・メッセージ（単数または複数）が複数の閾値期間にわたって全く受信されない場合、モバイルノードは、これを攻撃の成功の示唆として解釈してもよい。本質的に、非送信請求アライブ・メッセージを用いるバインディング試験は、図２０に示される機構と類似している。これとは対照的に、モバイルノードはバインディング試験要求を送信せず（手順６０３、６０６）、コレスポンデント・ノードから自己の気付アドレスへと向かうことになっているデータ・パケットを受信した直後か、または、非送信請求アライブ・メッセージの受信直後に、タイマーを再開してもよい。さらに、バインディング試験応答メッセージ６０５、６０８は、この場合には、非送信請求アライブ・メッセージとみなされうる。
上記に概略が説明される本発明の第３の態様による様々な実施形態による検知機構は、該手順をより安全にするために、既存のバインディング手順に加えて用いられてもよい。たとえば新しい機構は、モバイルノードが、標準的なリターン・ルータビリティ手順／ルート最適化モードにおいて経路上の攻撃を検知すること、または、暗号的に生成されたアドレス・アドレスをスプーフィングするような起こりそうにない攻撃を対象とすることを許容できるであろう。後者の場合には、攻撃者は力ずくの攻撃を行って、暗号的に生成された既存アドレスを生成するパブリック・キーを計算するであろう。暗号的に生成されたアドレスを生成するために用いられるセキュリティ・パラメータに応じて、このような力ずくの攻撃のために必要な努力は、現実的な範囲で起こりうる。本明細書中に提案された検知機構があれば、このような攻撃を検知できる可能性があり、影響を無効にするための処置をトリガすることができる。
さらに、本明細書中に提案される検知機構は、そもそもすべての攻撃を防止しないが、シグナリング経費およびハンドオーバー遅延を低減するように、バインディング手順（リターン・ルータビリティ手順を含む）を最適化してもよい。モバイルノードは、攻撃を検知すると、攻撃の影響を無効にするためのいくつかの処置を即座にとる。
このような処置は、上記に例示された完全なリターン・ルータビリティ手順を含む新しいコレスポンデント登録を開始することによって、コレスポンデント・ノードにおけるバインディング・キャッシュ・エントリーを修復することでありうる。
スプーフィングされたバインディングを修復すること以外の、他の追加的または代替的な対策は、コレスポンデント・ノードに攻撃のことを通知することであってもよい。コレスポンデント・ノードは、攻撃に関する通知に応答して、たとえば、モバイルノードのルート最適化の使用を中止してもよく、および／または、所定のアドレスまたはプレフィックスからのさらなるバインディング更新メッセージを阻止してもよい。たとえば、攻撃者がトラフィックを自己へとリダイレクトする場合は、スプーフィングされた気付アドレスは攻撃者の実際に有効なアドレスであり、その結果、コレスポンデント・ノードは攻撃者のネットワーク・プレフィックスおよびアドレスを承知するようになる。
攻撃者がスプーフィングすることを回避し、または、攻撃の通知をコレスポンデント・ノードへと報告することを防止するためには、本発明の第３の態様による一実施形態は、コレスポンデント・ノードに対して攻撃について安全に通知するモバイルノードに関する。このことは、たとえば、生成された新しい暗号情報（バインディング・キー等）でモバイルノードによって署名された通知メッセージを送信することによって、実施されてもよい。代替的には、コレスポンデント・ノードとホーム・エージェントとの間の信頼関係（またはセキュリティ・アソシエーション）が存在する場合、モバイルノードはまた、通知をホーム・エージェントを介してコレスポンデント・ノードへと送信する。ホーム・エージェントは、コレスポンデント・ノードが、該通知がホーム・エージェント上をルーティングされたか否かを検証することを許容するキーで、メッセージを署名してもよい。典型的にはセキュリティ・アソシエーションがモバイルノードとホーム・エージェントとの間に提供されているので、この手順は、攻撃の通知の真正性を保証しうる。
本発明の第３の態様の別の目的は、ホーム・エージェントが（一時的に）到達可能でない場合においても、モバイルノードの気付アドレスの１つ以上の変更を含むとともにルート最適化を用いるセッションの間にわたって、モバイルノードとコレスポンデント・ノードとの間の通信を保守することを可能にすることである。とりわけ、ホーム・エージェントが、新しいバインディングを認証するための暗号情報をモバイルノードへと提供するべく、リターン・ルータビリティ手順に参加することが要求される場合には、モバイルノードのホーム・エージェントの機能停止によって、セッション／サービスの中断または終了へと至りうる。
それゆえ、本発明の第３の態様による別の実施形態は、モバイルノードのホーム・エージェントの到達可能性に完全には依存しない認証された気付アドレス登録のための最適化された手順を提供することに関する。
本発明の第３の態様による例示的な一実施形態では、リターン・ルータビリティ手順および気付アドレス登録の改善が提案されている。
本発明の第３の態様による本実施形態によると、リターン・ルータビリティ手順および後続の気付アドレス登録を強化して、その結果、ホーム・アドレス試験を省略してもよい。ホーム・アドレス試験の一般的な省略によって、所定のシナリオにおけるなりすまし攻撃を可能にするかもしれないので、本明細書中に記載される本発明の第３の態様によるいくつかの実施形態は、初期ホーム・アドレス試験を行うことを提案する。本発明の第３の態様による別の実施形態では、コレスポンデント・ノードにおけるスプーフィングされたバインディング・キャッシュ・エントリーを検知する異なる機構のうち１つ以上が、タイム・シフト攻撃を検知しその影響を無効にするのに用いられてもよい。
以下において、本発明の第３の態様による例示的な一実施形態によるリターン・ルータビリティ手順および後続の気付アドレス登録の改善について、図２１に関して概略を説明する。図２１は、本発明の第３の態様による例示的な実施形態による改善されたリターン・ルータビリティ手順および後続の気付アドレス登録による、モバイルノード、コレスポンデント・ノードおよびホーム・エージェントの間で交換されるメッセージの例示的なシーケンスを示す。
最初に、モバイルノードは、ホーム試験７０２と気付試験７０３とを含む（完全な）リターン・ルータビリティ手順を実行する７０１。一例では、このリターン・ルータビリティ手順はＩＥＴＦ ＲＦＣ３７７５に提案される手順と類似している。この手順において交換される暗号情報によると、モバイルノードおよびコレスポンデント・ノードは、それぞれ、バインディング・キーを生成してもよい７０４、７０５。
その後、移動体端末は気付アドレス登録を開始する。移動体端末は、許可されたバインディング更新をコレスポンデント・ノードへと送信する７０６。一般的に許可されたバインディング更新は、たとえば、コレスポンデント・ノードのバインディング・キャッシュ中において、いずれのホーム・アドレスに対して（すなわち、いずれのモバイルノードまたはそのインタフェースに対して）バインディング・キャッシュ・エントリーが生成または変更されるべきであるかを指示するモバイルノードのホーム・アドレス、および、登録される新しい気付アドレスを含んでもよい。さらに、許可されたバインディング更新は、たとえば、バインディング更新のバインディング受信確認への関連付けを許容するべく、シーケンス番号を含んでもよい。バインディング更新の送信者を認証するために、モバイルノードは、バインディング・キー等、リターン・ルータビリティ手順において取得される暗号情報に基づいて生成されるバインディング更新に対するメッセージ認証コードを含んでもよい。
モバイルノードが、後続のリターン・ルータビリティ・ラウンドにおいてホーム・アドレス試験（「楽観的リターン・ルータビリティ・ラウンド」と称してもよい）を省略したい場合、モバイルノードは、後続の楽観的リターン・ルータビリティにおいて用いられるべき永続キー生成トークンを生成するよう、設定時に、コレスポンデント・ノードに対して指示するフラグ（ｐｋｔ＿ｇｅｎ＿フラグ）を、許可されたバインディング更新中に設定してもよい。バインディング更新メッセージ認証コード（ＭＡＣ）が正しい場合は、コレスポンデント・ノードは、許可されたバインディング更新に指示されたモバイルノードの気付アドレスを登録してもよく７０７、永続ホーム・キー生成トークンを判定／計算してもよい７０８。
たとえば、永続キー生成トークンは、少なくともホーム試験メッセージ中のホーム・キー生成トークンに基づいて、計算されてもよい。ホーム・キー生成トークンは、永続キー生成トークンとして用いられてもよい。この場合には、ホーム・キー生成トークンは、後続の楽観的リターン・ルータビリティ・ラウンドにおいて再使用される。この場合には、永続キー生成トークンは、永続ホーム・キー生成トークンと称してもよい。代替的に、コレスポンデント・ノードは、他の手段によって永続トークンを計算してもよい。本発明の第３の態様による例示的な一実施形態では、永続キー生成トークンは、ハッシュ関数（たとえばＳＨＡ１）を用いて下記のとおり計算される：
永続キー生成トークン＝最初の（６４、ＳＨＡ１（Ｋｂｍ｜ｓｅｑｎｏ））
「｜」は、モバイルノードによって受信／送信されたバインディング中のバインディング・キーＫｂｍおよびシーケンス番号ｓｅｑｎｏの連結を表すことに留意されたい。「最初の（ｘ，．．．）」は、バインディング・キーＫｂｍおよびシーケンス番号ｓｅｑｎｏの連結に適用されたハッシュ関数ＳＨＡ１の結果から、最初のｘビットを抽出する機能である。この関数に用いられるバインディング・キーは、たとえば、リターン・ルータビリティ手順のホーム試験から取得されたホーム・キー生成トークン、ホーム試験を含むリターン・ルータビリティ手順から取得された他の任意の暗号情報またはその組み合わせでありうることに留意されたい。本発明の一実施形態では、バインディング・キーＫｂｍは、本明細書で以前述べたＩＥＴＦ ＲＦＣ３７５５に定義されているように計算される。
本発明の第３の態様による他の実施形態では、気付キー生成トークンは、バインディング・キーの一部として含まれてもよい。このことは、正しい永続キー生成トークンを計算するには、攻撃者は、初期のホーム試験メッセージおよび対応する気付試験メッセージの両方を受信しなければならないという利点を有しうる。永続トークンは、コレスポンデント・ノード内のモバイルノードのバインディング・キャッシュ・エントリー中に保存されてもよい。
コレスポンデント・ノードはさらに、バインディング更新の成功を示すバインディング受信確認をモバイルノードへと返信してもよい７０９。その後、モバイルノードは、コレスポンデント・ノードが行ったのと同じ方法で、永続ホーム・キー生成トークンを計算７１０および保存し、その結果、モバイルノードおよびコレスポンデント・ノードの両方が、対応する永続トークンを生成および保存できるようにする。両方のノードは、事前決定または交渉されうる有限な寿命をトークンに割り当ててもよい。さらに、この寿命は、７分間よりも大幅に大きくてもよい。
モバイルノードおよびコレスポンデント・ノードにおいて登録に成功した該モバイルノードの新しいバインディングは、モバイルノードの更新された気付アドレスを用いて、データ・パケットを交換７１１してもよい。
上記に例示したモバイルノードおよびコレスポンデント・ノードにおける永続トークンを生成した直後に、この永続トークンは、モバイルノードの後続の気付アドレス登録、または、より具体的には、モバイルノードから送信された後続のバインディング更新の認証に活用されてもよい。後続の気付アドレスの登録は、それゆえにホーム試験をもはや活用しなくてもよい。いくつかの実施形態では、気付試験すら全く用いられない。このことによって、たとえば、コレスポンデント・ノードにおけるモバイルノードの気付アドレスを登録するのに要求されるシグナリングを低減する可能性があり、および／または、たとえ、モバイルノードとして機能する（またはより具体的には、ホーム・エージェントの１つ以上のモバイルノードとして機能する）ホーム・エージェントが、障害、攻撃、ネットワーク混雑等を理由としてダウンしている場合であっても、気付アドレス登録、ひいては、ルート最適化の使用を許容する。
図２２は、本発明の第３の態様による例示的な実施形態による、コレスポンデント・ノードの気付アドレスを登録するための、モバイルノードとコレスポンデント・ノードの間で交換される一連のステップおよびメッセージを示し、該実施形態では、永続トークンが認証のために用いられる。たとえば、他のプレフィックスを用いて、新しいネットワークまたはネットワークの他の管理ドメインへの接続等を理由として、モバイルノードによって、新しい気付アドレスを割り当てられるか、または、生成された直後に、モバイルノードは、コレスポンデント・ノードにおける自己の新しい気付アドレスを登録する準備をする。この実施形態では、ホーム試験または気付試験は全く行われない。代わりにモバイルノードは、モバイルノードとコレスポンデント・ノードに知られている、登録を認証するための永続キー生成トークンを用いる。したがって、モバイルノードは、メッセージ内容を認証するべく、バインディング更新への包含のためのメッセージ認証コードを計算８０１する。これによって、永続キー生成トークンはメッセージ認証コード（ＭＡＣ）を生成するのに用いられる。
一例において、メッセージ認証コードは下記のとおり決定されてもよい：
ＭＡＣ＝最初の（９６、ＨＭＡＣ＿ＳＨＡ１（永続キー生成トークン、（気付アドレス｜コレスポンデント・ノード・アドレス｜バインディング更新）））
それゆえにメッセージ認証コードは、モバイルノードの登録されるべき（新しい）気付アドレス、コレスポンデント・ノード・アドレス、および、バインディング更新メッセージの連結によって形成された、あるメッセージに対するキーとして永続キー生成トークンを用いて、適用されたハッシュ関数ＨＭＡＣ＿ＳＨＡ１の結果のうち最初の９６（または代替的に、１２８、６４、４８等別の数字）ビットによって形成されてもよい。
その後、登録するべき気付アドレス、モバイルノードのホーム・アドレス、およびＭＡＣを含む許可されたバインディング更新が、コレスポンデント・ノードへと送信８０２される。バインディング更新が永続キー生成トークンを用いて許可されたことをコレスポンデント・ノードに通知するために、バインディング更新は、設定時にコレスポンデント・ノードに永続キー生成トークンを用いてＭＡＣを評価８０３する（すなわち、バインディング更新メッセージを認証する）よう指示するフラグ（ｐｋｔ＿ＭＡＣ＿フラグ）をさらに含んでもよい。さらに、バインディング更新は、たとえばバインディング更新をバインディング受信確認に関連付けるために用いられうるシーケンス番号（sequence no.）も含んでもよい。
コレスポンデント・ノードにおけるバインディング更新を認証８０３した直後に、コレスポンデント・ノードは自己のバインディング・キャッシュ中の気付アドレスを登録８０４してもよい。さらに、コレスポンデント・ノードは、バインディング受信確認をモバイルノードへと送信８０５することによって、登録を受信確認してもよい。このバインディング受信確認は、コレスポンデント・ノードによって生成されたメッセージ認証コードをたとえば含んでもよい。バインディング受信確認中のＭＡＣは、ハッシュ関数がバインディング更新メッセージの代わりバインディング受信確認メッセージに適用されること、および、（随意的に）モバイルノードの気付アドレスまたはホーム・アドレスがコレスポンデント・ノードのアドレスの代わりに用いられることを考慮して、たとえば、バインディング更新のＭＡＣと類似の方法で判定されてもよい。
さらに、バインディング受信確認はたとえば、モバイルノードに対して、いずれのバインディング更新の受信確認が送信されるかを指示する（バインディング更新中のシーケンス番号と等しい等）シーケンス番号を含んでもよい。さらに、随意的でもあるが、バインディング受信確認は、登録のステータスの指示、すなわち、バインディング更新が永続キー生成トークンに基づいて首尾よく認証しうるか、および／または、気付アドレスの登録がこれまで成功してきたか、をさらに含んでもよい。
気付アドレスの登録に成功した場合、モバイルノードおよびコレスポンデント・ノードは、ルート最適化を用いて通信を継続８０６する。
上記の図２２に関して記載された手順の可能性のある一欠点は、該手順は、攻撃に、とりわけ、モバイルノードへと向かうことになっているデータを盗聴または改ざんするためのアドレス・スチーリング／なりすまし攻撃の影響を受けやすいかもしれないことである。その理由は、ホーム試験が全く行われていないからである。このことが特に問題になりうるのは、攻撃者が、モバイルノードとコレスポンデント・ノードの間の通信を盗聴し、これによって、永続キー生成トークンの知識を取得し、その結果、攻撃者が、モバイルノードのホーム・アドレスへと向かうことになっているトラフィックの盗聴を要することなく、モバイルノードのバインディングをスプーフィングしうる場合である。したがって、本発明の他の実施形態によると、図２２による手順は、スプーフィングされたバインディング更新を検知する上記に記載された機構のうち１つ以上を用いることによって、改善されうる。
図２３は、本発明の第３の態様による例示的な実施形態による、コレスポンデント・ノードの気付アドレスを登録するための、モバイルノード、ホーム・エージェントおよびコレスポンデント・ノードの間で交換される他の一連のステップおよびメッセージを例示し、該実施形態は、永続トークンが認証のために用いられる。
図２１と同様に、モバイルノードは最初に、コレスポンデント・ノードにおける気付アドレスを登録する。ホーム試験７０２と気付試験７０３とを含む完全なリターン・ルータビリティ手順７０１が行われ、バインディング・キーが生成７０４、７０５されて、その後に送信７０５されたバインディング更新を認証する。コレスポンデント・ノードは気付アドレスを登録７０７し、設定されているｐｋｔ＿フラグを理由として、本明細書中の前で説明した永続キー生成トークンを生成７０８する。またモバイルノードは、コレスポンデント・ノードから受信７０９された受信確認に応答して、永続キー生成トークンを生成７１０する。
その後、モバイルノードが、コレスポンデント・ノードにおける新しい気付アドレスを登録しようとする場合、永続キー生成トークンは、モバイルノードとコレスポンデント・ノードの間で交換されるメッセージを認証する際に用いられてもよい。この例では、モバイルノードおよびコレスポンデント・ノードは気付試験９０１を行う。モバイルノードは、気付試験イニット・メッセージを送信９０１し、それに応答して、対応する気付試験メッセージを受信９０３する。これによって、モバイルノードには（コレスポンデント・ノードにも知られている）気付キー生成トークンが提供される。
この例では、モバイルノードは次に、モバイルノードのバインディング更新が送信されることを認証するためのメッセージ認証コードを生成９０４する。この例では、ＭＡＣは、バインディング・キーＫｂｍに基づいて移動体端末によって生成され、バインディング・キーＫｂｍは、受信された直後の気付試験メッセージの気付キー生成トークンおよび初期のリターン・ルータビリティ手順から取得された永続キー生成トークンに基づいて、計算されることを前提としてもよい。気付アドレス登録手順と組み合わせて、認証のために永続キー生成トークンおよび気付キー生成トークンを用いて気付試験を行うことは有利でありうる。その理由は、フラッディング攻撃が気付試験を理由として防止されうるからである。
たとえば、ＭＡＣはたとえば下記のとおり計算されてもよい：
ＭＡＣ＝最初の（９６、ＨＭＡＣ−ＳＨＡ１（Ｋｂｍ、（気付アドレス｜コレスポンデント・ノード・アドレス｜バインディング更新メッセージ）））
この機構は、永続キー生成トークンの代わりにバインディング・キーＫｂｍを用いることを除き、概略が上記に説明される機構と類似している。再び、ハッシュ関数の最初の９６ビットを取ることは、例示的な目的のみを有する。
この例におけるバインディング・キーＫｂｍは、気付キー生成トークンおよび永続キー生成トークンを用いて生成される。このことは、たとえば下記のとおり実現されうる：
Ｋｂｍ＝ＳＨＡ１（永続キー生成トークン｜気付キー生成トークン）
それゆえ、バインディング・キーは、永続キー生成トークンおよび気付キー生成トークンの連結に適用された暗号的ハッシュ関数の結果であってもよい。
結果生じるメッセージ認証コード（ＭＡＣ）は、上記の図２２に関して説明されるようにバインディング更新に含まれてもよく、許可されたバインディング更新は、コレスポンデント・ノードへと送信９０５される。一般的にＭＡＣは、バインディング更新とは、別のメッセージにおいて等別々に、コレスポンデントへとシグナリングされてもよいことに留意するべきである。たとえば、このメッセージとバインディング更新に共通の識別子（たとえばシーケンス番号）が用いられて、バインディング更新と、バインディング更新のＭＡＣを含むメッセージを関連付ける。さらに、別のメッセージで送信されたＭＡＣは、バインディング更新に基づいてだけでなく、別のメッセージに追加的に（たとえば、ハッシュ関数への入力としてメッセージの連結を用いることによって）計算されてもよい。
永続キー生成トークンがＭＡＣの計算のために用いられていたことを、コレスポンデント・ノードに指示するために、バインディング更新は、ＭＡＣの計算のために永続キー生成トークンを使用することをコレスポンデント・ノードに対して示す各フラグｐｋｔ＿ＭＡＣ＿フラグを含んでもよい。ＭＡＣがバインディング更新とは別にシグナリングされる場合、フラグは、コレスポンデント・ノードが、バインディング更新を認証するためのＭＡＣを含む別のメッセージを受信することとなることを指示するであろう。
モバイルノードと同様に、フラグが設定されると、コレスポンデント・ノードは永続キー生成トークンを用いて、バインディング・キーＫｂｍ（まだ存在していない場合は）を計算し、バインディング更新メッセージ中のＭＡＣを検証９０６する。バインディング更新が有効な場合、コレスポンデント・ノードは、バインディング更新中の気付アドレスを自己のキャッシュ中に登録９０７する。さらにコレスポンデント・ノードは、バインディング受信確認を、前に説明したようにモバイルノードの新しい気付アドレスへと送信９０８してもよい。本発明の第３の態様によるこの実施形態では、コレスポンデント・ノードは（追加的に）、バインディング受信確認メッセージを、モバイルノードのホーム・アドレスおよび／またはモバイルノードの古い気付アドレスへと送信９０９、９１０する。その後、モバイルノードおよびコレスポンデント・ノードは、新しく登録された気付アドレスをデータを用いて交換９０１１してもよい。
下記の図２４に関して概略が説明されるように、コレスポンデント・ノードによって送信される後者の２つのバインディング受信確認メッセージ（すなわち、モバイルノードのホーム・アドレス９０９、９１０へと向かう受信確認、または、以前に登録された気付アドレスへと送信された受信確認）のいずれも、モバイルノードが攻撃を検知することを許容する。
図２４は、本発明の第３の態様による例示的な実施形態による、モバイルノード、攻撃者、ホーム・エージェントおよびコレスポンデント・ノードの間で交換される他の一連のステップおよびメッセージを示し、該実施形態では、永続トークンが認証のために用いられるとともに、モバイルノードが攻撃者がコレスポンデント・ノードで自己のバインディング・キャッシュ・エントリーをスプーフィングしたことを検知する。これによって、気付アドレスの登録はホーム試験が実行されること（概略を前述したように気付試験も随意的に省略されうる）を必要としない。
まず、攻撃者が永続キー生成トークンの知識を獲得したか、または、図２１に示される類似の方法を用いてモバイルノードのスプーフィングされた気付アドレス登録の実行に成功し、その結果、有効なホーム・キー生成トークンを所有するようになると仮定する。気付試験をコレスポンデント・ノードで随意的に行った１００１後ただちに、攻撃者は、（盗聴された）永続キー生成トークンおよび（随意的に）気付試験からの気付キー生成トークンに基づいて、メッセージ認証コードを生成１００２する。攻撃者は、生成されたＭＡＣを手段として用いてコレスポンデント・ノードへと送信１００３されたバインディング更新を認証し、およびフラグであるｐｋｔ＿ＭＡＣ−フラグをバインディング更新中に設定して、攻撃者（モバイルノード）およびコレスポンデント・ノードに知られている永続キー生成トークンに基づいて生成されたＭＡＣをバインディング更新が含むことを、コレスポンデント・ノードに対して指示する。
コレスポンデント・ノードはＭＡＣを評価１００４し、評価に成功すると、攻撃者によってバインディング・キャッシュ中に指示された気付アドレスを登録１００５する。さらにコレスポンデント・ノードは、バインディング確認に対する応答を新しい気付アドレスへと（随意的に）送信１００６して、バインディングを確認してもよい。攻撃の検知を許容するために、コレスポンデント・ノードは、バインディングが更新されたモバイルノードのホーム・アドレスへと、バインディング更新を送信１００７、１００８する。その代わりに、または、モバイルノードのホーム・アドレスへと向かうことになっているバインディング受信確認に加えて、コレスポンデント・ノードは、バインディング受信確認を、バインディング・キャッシュのために以前に登録された気付アドレスへと送信１００９する。この以前に登録された気付アドレスは（バインディングがこれまでスプーフィングされなかった場合は）最新のモバイルノードの気付アドレスに対応している。
なりすまし攻撃の場合、攻撃者は、モバイルノードのホーム・アドレスの付いたバインディング更新メッセージを送信して、到達可能な場合は気付アドレスを登録し、モバイルノードは、対応するバインディング更新メッセージを送信することなく、少なくとも１つのバインディング受信確認メッセージを受信する。上記に概略が説明されるように、モバイルノードはたとえば、メッセージ中のシーケンス番号によって、バインディング受信確認メッセージをバインディング更新メッセージへとマッピング１０１０してもよい。より具体的にはたとえば、バインディング受信確認が、このコレスポンデント・ノードへと送信された最後のバインディング更新の再送信ウィンドウ中にない（すなわち、シーケンス番号よりも高いかまたは所定の閾値だけ低い）シーケンス番号が付いて受信される場合に、モバイルノードは攻撃を検知してもよい。モバイルノードが攻撃を検知した場合、モバイルノードはたとえば攻撃の影響を即座に無効にしてもよい。この図２４では、モバイルノードは、ホーム試験７０２と気付試験７０３とを含むバインディングを修復する（７０４、７０５、７０６、７０７、７０９）リターン・ルータビリティ手順を開始７０１し、および随意的に、新しい永続キー生成トークン（７０８、７１０）の生成を開始してもよい。図２１のステップと類似しているこれらステップの後、コレスポンデント・ノードは、データをモバイルノードの正しい気付アドレスへと向ける７１１。
以下において、リターン・ルータビリティ手順および気付アドレス登録手順のために提案された最適化のセキュリティ特性に関する簡単な分析について論じる。このセキュリティ特性は後に示されるように、ＩＥＴＦ ＲＦＣ３７５５に提供されるようにＭＩＰｖ６によって知られる標準的なリターン・ルータビリティ手順／ルート最適化モードのセキュリティ特性と匹敵する。
初期ホーム・アドレス試験が実行される場合、本発明のいくつかの実施形態によって提案された永続キー生成トークンを用いるリターン・ルータビリティ手順では、経路外攻撃は可能でない。タイム・シフト攻撃、すなわち、攻撃者が暫くの間経路上に存在し次いで経路外へと移動して攻撃を継続することのみが可能である。
楽観的リターン・ルータビリティ・ラウンドではタイム・シフト攻撃はより深刻である。その理由は楽観的リターン・ルータビリティの場合には、初期のホーム試験／ホーム試験イニット交換のみが行われてもよいからである。その結果として、モバイルノードが初期の完全なリターン・ルータビリティを実行する時に、ホーム・エージェントのコレスポンデント・ノード経路上に配置された攻撃者は、ホーム試験を盗聴することができ、永続ホーム・キー生成トークンを取得することができる（永続トークンがどのように計算されるかに応じて、攻撃者は、モバイルノードのコレスポンデント・ノード経路上に同時に配置されて気付試験を盗聴するとともに、気付キー生成トークンを取得する必要があるかもしれない）。永続トークンを取得した後、攻撃者は経路外へと移動することができ、気付アドレス試験のため要求された気付アドレスに依然として到達可能であるはずなので、（上記の図２４に関して説明されるように）楽観的リターン・ルータビリティを用いてトラフィックをリダイレクトすることができる。しかしながら、モバイルノードがこの攻撃を検知しうるのは、モバイルノードによって送信されたバインディング更新に対して受信されたバインディング受信確認等を理由に、本明細書中において論じられる検知機構のうち少なくとも１つを用いる場合である。このことは、モバイルノードが、ホーム試験と後続の気付登録とを含むリターン・ルータビリティ手順を行うことによってバインディングを修復するといった対策を取ることを許容してもよい。その結果として、攻撃者は経路外の攻撃を継続できないかもしれない。その理由は、永続キー生成トークンは変更され、経路上に戻すことによってのみ再度取得できるからである。
攻撃者がホーム・エージェントとコレスポンデント・ノードとの間の経路上に存在する間に、ホーム試験と気付試験とを含むリターン・ルータビリティ手順、および後続の気付アドレス登録を開始し、永続キー生成トークンを生成することも起こりうる。この場合には、モバイルノードはリターン・ルータビリティに関与しておらず、気が付きすらしないかもしれない。また、古い気付アドレスは攻撃者へと割り当てられたので、後続の楽観的リターン・ルータビリティにおける古い気付アドレスへのバインディング受信確認はモバイルノードに到達しないであろう。しかしながら、モバイルノードのホーム・アドレスへと向かうバインディング受信確認は、依然としてモバイルノードに到達してもよく、モバイルノードが攻撃を検知することを可能にしうる。
リターン・ルータビリティ手順を全く用いずに、または、気付アドレス登録の前の気付試験のみを用いることによって作成されうる新しい脅威は、攻撃者がリターン・ルータビリティ・メッセージを阻止し、その結果、攻撃の成功の後に、モバイルノードがバインディングを修復できないことでありうる。この脅威を緩和するために、本発明の第３の態様による他の実施形態は、ホーム試験メッセージ（ＨｏＴｉ／ＨｏＴ）およびモバイルノードとホーム・エージェントとの間のすべてのシグナリングメッセージが（ＩＰｓｅｃ等を用いて）暗号化され、その結果、攻撃者がそれらメッセージのすべてを阻止できるかまたは全く阻止できないかのいずれかになることを提案する。ホーム・エージェントからのバインディング受信確認メッセージおよびＩＰｓｅｃメッセージの阻止は、モバイルノードによって（ＩＰｓｅｃデッドピア検知等を手段として用いて）検知できるので、バインディングを修復する処理中のモバイルノードは、リターン・ルータビリティ・メッセージをブロッキングする指示としてこのことを解釈することができる。
この場合には、モバイルノードはたとえば、後続の気付アドレス登録の認証のための暗号情報を生成するために、ホーム試験と気付試験とを含むリターン・ルータビリティ手順の使用を要求するようコレスポンデント・ノードに対して依頼するメッセージを、コレスポンデント・ノードへと送信してもよい。コレスポンデント・ノードへと送信されたこの通知は、モバイルノードおよびコレスポンデント・ノードによって実行されるホーム試験と気付試験とを含む以前のリターン・ルータビリティ手順から取得された暗号情報（たとえばかつて生成されたバインディング・キー）で、署名されてもよい。
直面しうる他の起こりうる問題は、継続的に攻撃を行う攻撃者であろう。この場合には、たとえ、モバイルノードがコレスポンデント・ノードにおけるバインディングを継続的に検知および修復するであろう場合であっても、大量のトラフィックをリダイレクトすることができるであろう。本発明の第３の態様による一実施形態による継続的な攻撃を緩和する１つの選択肢は、モバイルノードが、コレスポンデント・ノードに継続的な攻撃について通知することであってもよい。このような通知はたとえば、モバイルノードおよびコレスポンデント・ノードによって実行される、上記に記載のようにホーム試験と気付試験とを含む以前のリターン・ルータビリティ手順から取得された暗号情報で署名してもよい。コレスポンデント・ノードはたとえば、リターン・ルータビリティがホーム試験および気付試験を含まなければならない気付アドレス（単数または複数）または気付アドレス・プレフィックスのブラック・リストを保守してもよい。
楽観的リターン・ルータビリティ・ラウンドは、たとえば、永続キー生成トークン、ブラック・リストの保守等といったコレスポンデント・ノードにおけるいくつかの追加的な状況の情報を要求しうる。しかしながらこの状態は、許可されたバインディング更新がコレスポンデント・ノードによって受信された後に最初に確立される。攻撃者は、無作為のホーム・アドレスおよび気付アドレスの付いた多くの偽りのバインディング更新を送信してコレスポンデント・ノードのメモリを使い尽くすことによって、サービス妨害攻撃を実装しうる。この攻撃を緩和するために、コレスポンデント・ノードはたとえば、自己がバインディング更新を処理するために用いるリソースの量を限定してもよい。
犠牲者は（追加的な情報バインディング受信確認を考慮する場合であっても）攻撃者が送信したより多くのメッセージを決して受信しないので、増幅を伴う反射攻撃もまた考えられる。
上記にすでに論じたリターン・ルータビリティ手順の別の起こりうる欠点は、該手順が、ホーム・エージェントの参加を要しうることである。このことはたとえばＭＩＰｖ６に対して、モバイルノードのホーム・エージェントが（たとえ、ホーム・エージェントが経路を最適化したトラフィックのデータ経路上になくても）ダウンしている場合は、経路を最適化した通信は可能でないことを意味する。
ホーム試験を省略する提案されたリターン・ルータビリティ手順は、原則的に、ホーム・エージェントへの依存を除去してもよい。しかしながら、ホーム試験および後続の気付登録を省略するリターン・ルータビリティ手順を安全にするために、いくつかの実施形態では、バインディング受信確認をモバイルノードのホーム・アドレスへと送信するといった、モバイルノードのバインディングに対する攻撃を検知する機構を用いることが提案されている。しかしながら、ホーム・エージェントがダウンし、およびそれゆえに、モバイルノードがそのホーム・エージェントのダウン時間中にアドレス・スチーリング／なりすまし攻撃を検知できない場合は、モバイルノードのホーム・アドレスへのバインディング受信確認メッセージは、もはやモバイルノードに到達できない。このことは重大な脅威になりうる。その理由は、攻撃者はたとえば、サービス妨害攻撃を実装しうるため、ホーム・エージェントを強制的にダウンさせるか、または、攻撃者は、ホーム・エージェントを監視し、ホーム・エージェントがどんな理由であれ到達不可能になるまで、攻撃を待ちうるからである。
本発明の第３の態様による例示的な実施形態によるこの脅威に対する一対策は、コレスポンデント・ノードが、バインディング受信確認を、モバイルノードの古い気付アドレス（すなわち、モバイルノードのホーム・アドレスのための以前に登録された気付アドレス）へと、送信することである。コレスポンデント・ノードは、常に、または、モバイルノードのホーム・エージェントがダウンしている状況のみにおいてのみ、バインディング受信確認をモバイルノードの古い気付アドレスへと向けてもよい。
別の争点は、ホーム・エージェントがダウンしていることを、コレスポンデント・ノードおよびモバイルノードがどのようにして知るかでありうる。１つの選択肢は、モバイルノードがバインディング更新メッセージを送信した後に、ホーム・エージェントからの紛失したバインディング受信確認メッセージに基づいて、モバイルノードがホーム・エージェントが到達可能でないことを検知することである。別の選択肢は、ＩＰｓｅｃのセキュリティ・アソシエーションがモバイルノードとホーム・エージェントとの間に存在する場合に、ＩＰｓｅｃデッドピア検知（ＤＰＤ）を用いてホーム・エージェントの機能停止を検知することである。
別の選択肢は、この目的のために新しい定期的メッセージ交換（ＩＣＭＰエコー要求／応答メッセージ等）を導入することであってもよい。ホーム・エージェントがダウンしていることをモバイルノードが検知した後、モバイルノードは、通知メッセージを手段として用いて、ダウン中であるホーム・エージェントについて、コレスポンデント・ノードに通知してもよい。このメッセージはたとえば、モバイルノードおよびコレスポンデント・ノードによって実行される、ホーム試験および気付試験を含む前回のリターン・ルータビリティ手順から取得された暗号情報（たとえば、かつて生成されたバインディング・キー）で署名してもよい。一例では、このような通知は、設定時にホーム・エージェントがダウンしていることを示す新しいフラグ（「ホーム・エージェント・ダウン」フラグ）をバインディング更新に導入する等によって、バインディング更新メッセージへと含まれてもよい。
攻撃者がこのようなスプーフィングされた通知をコレスポンデント・ノードへと送信することを防止するために、コレスポンデント・ノードはたとえば、通知の署名が有効なこと、および、通知がモバイルノードの現在登録された気付アドレスから送信されたことを検証してもよい。さらにコレスポンデント・ノードは随意的に、要求メッセージ（ＩＣＭＰエコー要求等）をモバイルノードのホーム・アドレスへと送信すること等によって、ホーム・エージェントが本当にダウンしていることを検証してもよい。複数の試行の後に応答が全く受信されない場合には、コレスポンデント・ノードは、ホーム・エージェントが本当にダウンしていると結論づけてもよい。
コレスポンデント・ノードがモバイルノードのダウン中であるホーム・エージェントについて通知される場合には（および、随意的に通知を確認した後ただちに）、コレスポンデント・ノードはたとえば、この情報を保存してもよく、ホーム試験は省略されてもよく、バインディング更新の受信確認は、新しく登録されたおよび以前に登録された気付アドレスへと送信される「ホーム・エージェント・ダウン・モード」へと切り換わる。さらに、バインディング更新メッセージは、永続キー生成トークン、および随意的に、気付アドレス試験から取得された暗号情報を用いて許可されてもよい。すなわちホーム・アドレス試験は全く行われない。永続キー生成トークンは、たとえば、上記に記載のように計算されてもよく、または、ホーム・エージェントがダウンした前に、最後に成功したホーム・アドレス試験のホーム・キー生成トークンまたはその等価物に基づいて生成されてもよい。
その結果として、ルート最適化を用いるモバイルノードとコレスポンデント・ノードの間の通信は、たとえホーム・エージェントがダウン中である場合であっても継続しうる。
本発明の第３の態様による別の実施形態では、コレスポンデント・ノードおよび／またはモバイルノードは、たとえば、ホーム・エージェント・ダウン・プローブ・メッセージをモバイルノードのホーム・アドレスへと送信することによって、ホーム・エージェントが依然としてダウンしているか否かを定期的に確認してもよい。（ホーム・エージェントのアドレスは、コレスポンデント・ノードに知られていないかもしれないことに留意されたい。）ホーム・エージェントが再度起動すると、コレスポンデント・ノードは、許可されたバインディング更新に再度応答して、バインディング受信確認をホーム・エージェントを介して送信してもよい。
モバイルノードのホーム・エージェントがダウンしていないのに、コレスポンデント・ノードに対してダウンしていると欺くために、攻撃者が、ホーム・エージェント・ダウン・プローブ・メッセージを阻止しうるという問題を緩和するために、ホーム・エージェントはたとえば、コレスポンデント・ノードによって送信されるプローブ・メッセージをインターセプトしてもよく、（該メッセージをモバイルノードへと転送する代わりに）即座に該メッセージを応答してもよい。このことは、モバイルノードのホーム・エージェント経路上の攻撃者が、それらメッセージを阻止することを防止しうる。
本明細書中に記載される本発明の第３の態様による様々な実施形態に提案される、コレスポンデント・ノードにおけるモバイルノードのバインディングに対する攻撃を検知する機構、ならびに、リターン・ルータビリティ手順および気付アドレス登録手順の改善は、ＭＩＰｖ６において有利に用いられる。しかしながら、本明細書中に概略が説明される原理および思想は、ネットワーク・エンティティにおけるアドレス間のバインディングを登録し、メッセージの登録後ただちに受信確認メッセージを送信する、モバイク、ＨＩＰおよびそれらの派生物等任意のプロトコルに適用してもよい。
本発明の第３の態様による別の実施形態では、対応する気付試験イニットを送信することなく、他のノードからの気付試験メッセージを受信するモバイルノードは（たとえば、このことは気付イニット・クッキーに基づいて検知しうる）、この状況を該ノードにおける自己のバインディングに対する攻撃の指示として用いてもよく、本明細書中に概略が説明される適切な対策を取ってもよい。同様に、ホーム試験メッセージを対応するホーム試験イニットを送信することなく受信するモバイルノードは、このイベントをバインディング更新をスプーフィングする試みとしてみなしてもよい。
これより、図２５から３０に関して本発明の第４の態様を説明する。
モバイル・アクセス・ゲートウェイ（ＭＡＧ）は安全性が損なわれうるので、ローカル・モビリティ・アンカー（ＬＭＡ）は、ＭＡＧによって送信されたＰＢＵ中に含まれる情報を盲目的には信頼できない。ＬＭＡが、ＭＡＧによって提供された情報が有効か、または、安全性が損なわれているＭＡＧによるリダイレクト攻撃を理由に偽りであるかを確認できるようにするには、多少の追加情報が必要である。
本発明の一実施形態では、モバイルノードが新しいＭＡＧに接続される時に、暗号トークンがモバイルノード（ＭＮ）によって生成される。ＭＮおよびＬＭＡは、安全性が損なわれているＭＡＧの検知のための暗号化キーｋｃｍを共有する。このキーは、事前に構成することもでき、または、たとえば、ＭＮが最初にネットワークに進入し、ネットワーク認証する時等に動的に設定することもできる。その場合、ＭＮおよびＬＭＡは、キーｋｃｍをネットワーク認証キーから導き出すことができる。代替的にＭＮがＭＩＰｖ６を用いる場合は、ＭＮがネットワークをブートストラップする時に、キーを設定することができる。ＭＮおよびＬＭＡは次いで、モビリティ認証キーからキーｋｃｍを導き出すことができる。
ＭＮが新しいＭＡＧに接続される時、ＭＮは暗号化キー付ハッシュ関数（またはキー付ハッシュ・メッセージ認証コード）を用いてトークンを生成する。本発明の第４の態様好適な実施形態によると、ハッシュされるメッセージは下記のパラメータの連結である：
−ＮＡＩまたはレイヤ２アドレスといった暗号トークンをＭＮアイデンティティに結合するＭＮ識別子
−リプレー・アタックを防止するシーケンス番号ＳＮ
−デフォルト・ルータＩＰアドレスまたはレイヤ２アドレス等トークンを現在のＭＡＧに結合するＭＡＧ識別子を随意的に、および
−マルチ・ホーミングの目的またはハンドオーバーの目的で、ＭＮが追加的なインタフェースとともにＭＡＧに接続されるか否かを示すハンドオーバー・フラグを、随意的に。
それゆえ、暗号トークンは、図２７に表されるように、下記の形態である：
ハッシュ（ｋｃｍ、ＭＮ−ＩＤ｜ＳＮ｜［ＭＡＧ−ＩＤ］｜［ＨＯ−フラグ］）
ここで、「｜」は連結を表し、「［］」は随意的なパラメータを表す。
ＭＮが新しいＭＡＧに接続される場合、ＭＮは、増加したＳＮでこの暗号トークンを計算し、および次いで、このトークンからレイヤ２アドレスを生成および構成する。たとえば、トークン長は４８ビットでありうるが、当該トークン値には４８ビットＩＥＥＥ ＭＡＣアドレスが設定される。このアドレス構成は、図２６の図中のセクション１で実行される。ＭＡＧへの接続の直後にＭＮによって実行される処理ステップが、図２９に要約される。ＭＡＧ１は次いで、レイヤ２のＭＮとの通信中にＭＮのレイヤ２アドレスを学習し、ＬＭＡへと送信されるプロキシ・バインディング更新（ＰＢＵ）中にＭＮインタフェース識別子（ＩＩＤ）として該アドレスを含める。これは、図２６の図中のセクション２に対応している。
アクセス技術に応じて、他のパラメータを用いて暗号トークンをＭＡＧに通信することができる。技術無線ＬＡＮといったＩＥＥＥの場合、ＭＡＣアドレスを用いて、トークンを運搬することができる。ＭＡＣアドレスが全く利用可能でない場合、ＷｉＭＡＸ、３ＧＰＰ２等といったＩＰｖ６とリンクしたローカル・アドレス、または、ＰＰＰ等のインタフェースＩＤ、または、ＩＫＥｖ２等識別ペイロードが、トークンをＭＮからＭＡＧへと運搬するのに用いることができる。
ＬＭＡは次いで、生成された暗号トークンを含むＰＢＵを受信し、続けて、ＭＮと同一のハッシュ関数、同一のキーｋｃｍ、および同一のパラメータの連結によって、第２の暗号トークンを計算する。ＬＭＡは受信されたＰＢＵからＭＮ−ＩＤを抽出し、ＭＡＧ−ＩＤはＰＢＵのソース・アドレスから導き出すことができ、ＳＮ値は、ＬＭＡにおける内部ＳＮ状態から取り出される。しかしながら、ＨＯフラグといったパラメータに対しては、ＬＭＡはＭＮが選択した値を知らないかもしれず、その結果、ＬＭＡは複数のトークンを異なるＨＯフラグ値で計算する必要がある。１つ以上のトークンが一致する場合、ＰＢＵが受け取られ、ＬＭＡは、自動的にＭＮによって選択されたＨＯフラグ値を知る。
ＰＢＵ中の暗号トークンが計算された第２の暗号トークンと一致する場合、ＬＭＡは、受信されたＰＢＵを本物であると判定する。トークンを受け取った後ただちに、ＬＭＡは自己の内部ＳＮカウンタを増加させる。新しいＰＢＵは同一のＩＩＤ／トークンで送信されるので、新しいＰＢＵの再計算を回避するため、ＬＭＡは、有効であるとみなされたトークンを許可されたトークンのリストに保存してもよい。さもなければ、ＭＮはセッション中にレイヤ２アドレスを変更しなければならないであろう。
トークン中のＨＯフラグまたはＰＢＵ中のＨＡＩフラグによって指示されるように、ＭＮが新しいＭＡＧへのハンドオーバーを実行し、追加的なインタフェース接続を行わない場合、ＬＭＡは許可されたトークンのリストから古いトークンを削除する。追加的なインタフェース接続の場合、ＬＭＡは許可されたトークンのリスト中に古いトークンを保持し、その結果、古いＭＡＧは依然としてＰＢＵを送信してもよくなる。
安全性が損なわれているＭＡＧがＰＢＵを送信する場合、該ＭＡＧは有効な暗号トークンを持っていない。それゆえＭＡＧは、トークンがないかまたは無効なトークンを備えたＰＢＵのみを送信することができる。このことは図２６の第３部に表される。安全性が損なわれているＭＡＧ３によって送信された偽りのＰＢＵは、ＬＭＡによって計算されたトークンとは合致せず、それゆえＬＭＡは該ＰＢＵを拒絶する。したがって、このことは、経路上のＭＡＧのみがＬＭＡにおいてバインディング・キャッシュ・エントリーを更新できることを保証する。
以下において、ＭＮが自己が新しいＭＡＧに接続されたことをどのようにして検知できるか、したがって、新しいトークンおよびレイヤ２アドレスをいつ生成するべきかを知るか記載する。
ＭＡＧはレイヤ２のハンドオーバーの直後に変化しうることもしないこともありうるので、レイヤ２のハンドオーバーの検知後ただちに新しいＭＡＧを検知することは、信頼できる指示ではない。一実施形態によると、ＭＮはデフォルト・ルータＩＰアドレスの変更に基づいて新しいＭＡＧ検知する。しかしながら、このことはすべての配備においてはうまくいかないかもしれない。その理由は、ＰＭＩＰの１つの配備構成は、新しいデフォルト・ルータＩＰアドレスの検知および構成の結果生じるハンドオーバー遅延を回避するために、同一のデフォルト・ルータＩＰアドレスですべてのＭＡＧを構成することを予測するからである。さらにＭＮは、レイヤ３が構成する前に、したがって、新しいデフォルト・ルータＩＰアドレスがＭＮによって通知される前に、レイヤ２アドレスを生成する必要がある。
一実施形態によると、ネットワークは、ＭＡＧが変更されたことを、いくつかのレイヤ２メッセージ中のまたはネットワーク認証中のＭＮに指示する。他の可能性は、レイヤ２ハンドオーバーの直後にＭＡＧが変更することを、ＭＮが常に想定していることである。それゆえ、レイヤ２ハンドオーバーが起きると、ＭＮは古いレイヤ２アドレスを用いることを開始する。ＭＮがデフォルト・ルータＩＰアドレが変わったことに気が付くと、ＭＮはレイヤ２から離れ、新しいトークンおよびレイヤ２アドレスを生成し、再度ＭＡＧへと接続する。
他の実施形態によると、ＭＮは、レイヤ２のハンドオーバーの直後にＭＡＧが変わることを常に想定している。ＭＮは、レイヤ２のハンドオーバーが起きると、新しいトークンおよびレイヤ２アドレスを常に生成する。しかしながらこのことは、レイヤ２のハンドオーバーの直後にＭＡＧが変わらなかった場合には、ＭＡＧが新旧のレイヤ２アドレスを同一のＭＮへと接続することができることを要する。このことは、ＭＮ識別子またはいくつかのプロトコル状態等、レイヤ２接続メッセージの内容に基づいて受動的に行うことも、または、ＭＡＧが読み取り可能なレイヤ２アドレス中にＭＮ識別子を明確に含めることによって能動的に行うこともできる。
以下において、ＭＮによるレイヤ２アドレスの動的な生成を理由として起こりうるリンク上のレイヤ２アドレスの衝突がどのように回避できるかを説明する。
ＰＭＩＰは、共用されるリンクではなく、２地点間のレイヤ２リンクを想定しているので、この問題は代表的には起こるはずがない。それゆえ、ＭＮおよびＭＡＧのレイヤ２アドレスのみが衝突することができ、このことは、ＭＡＧによって容易に検知することができる。共用されるリンクの場合、ＭＡＧは、たとえば、レイヤ２接続メッセージの内容（ＭＮ識別子またはいくつかのプロトコル状態等）に受動的に基づいてレイヤ２アドレスをＭＮとリンクさせることによって、または、ＭＡＧが読み取り可能なレイヤ２アドレス中にＭＮ識別子を明確に含めることによって能動的に、二重のレイヤ２アドレスを再度検知できる。
ＭＡＧが同一のレイヤ２アドレスから由来するが２つの異なるＭＮアイデンティティとリンクした２つのメッセージを受信する場合は、ＭＡＧは衝突を検知できる。このような場合、ＭＡＧはＭＮのうち一方または両方に対し衝突について通知する。衝突を解消するために、通知されたＭＮはＭＡＧから離れ、新しいトークンおよび新しいレイヤ２アドレスを生成し、ＭＡＧへと新しいアドレスで再接続する。
本発明の好適な実施形態によると、ＳＮは、反復操作による保護を保証するために、すなわち、ＭＮが先に接続されているＭＡＧが、ＭＮによって過去に生成された古いトークンの付いたＰＢＵをトラフィックをリダイレクトするために送信することを防止するために、ＭＮによって生成された暗号トークン中で連結されている。したがって、トークン中のＳＮが以前受け取られたトークン中のＳＮよりも高い場合のみに、ＬＭＡはトークンを受け取ってもよい。初期のＳＮ状態は、事前に構成することもできるし、または、ネットワーク認証中にＭＮが最初にネットワークに進入する時に動的に設定することもできる。
ＭＮとＬＭＡとの間のＳＮ状態は同期外れとなる可能性がある。たとえば、ＬＭＡまたはＭＮは、機能停止を理由としてＳＮ状態を緩めるかもしれないし、または、ＭＮがＭＡＧを離れて、新しいトークンが生成される新しいＭＡＧに接続される直前に、ＰＢＵは紛失してＬＭＡによって受信されないかもしれない。以下において、どのようにしてこの問題を解決できるかについて説明する。
ＳＮの同期外れ状況の第１の問題は、トークンがハッシュ関数によって暗号化され、それゆえ、ＬＭＡによってＳＮがトークンから読み取ることができないことである。すなわち、トークンを計算するためにＬＭＡによって用いられるＳＮは間違っており、トークンが無効とみなされる。さらに、ＬＭＡによってトークンがと無効とみなされる場合は、ＬＭＡは、これは間違ったキー、すなわち、安全性が損なわれているＭＡＧによる攻撃によるのか、または、間違ったＳＮ状態によるのかがわからない。この問題への解決策は、ＳＮを明確にトークン中に含めること、すなわち、トークンがハッシュ部およびＳＮ部から成ることである。
ＳＮの同期外れ状況の第２の問題は、ＬＭＡにおけるＳＮ状態がＭＮにおけるよりも高い場合は、ＰＢＵが全く受信されないことである。この問題を解決するために、本発明の第４の態様の一実施形態によると、ＳＮ同期外れイベントが検知され、ＳＮ状態は再同期化される。
同期外れイベントの検知は、ＬＭＡにおいて、トークンのＳＮ部中の明確なＳＮとＬＭＡにおける内部ＳＮ状態を比較することによって、行うことができる。それらが異なる場合、ＬＭＡは新しいステータス・コード「トークンＳＮ同期外れ」の付いたＰＢＵを拒絶する。このことは、ＭＡＧに同期外れイベントについて通知する。ＭＡＧは次いで、プレフィックスの寿命０の付いたルータ通知を送信する等によって、いくつかのレイヤ２またはレイヤ３メッセージの付いたＭＮを通知することができる。
ひとたびＭＮがＳＮ同期外れイベントに気が付くと、ＭＮは適切な処置を取ることができる。しかしながら、ＭＮとＭＡＧとの間、または、ＭＮとＬＭＡとの間にはＰＭＩＰのプロトコル交換は全くないので、代表的には、ＳＮ状態の再同期を目的としてＬＭＡからＭＮへと新しいＳＮを通信する方法は全くない。図３０は、ＳＮ同期外れイベントの直後にＭＮによって実行される処理ステップを図示する。
第４の態様による本発明の一実施形態では、ＭＮは、特にＳＮの再同期を目的とする新しい暗号トークンを生成する。この再同期トークンのハッシュ部は、同期外れのＳＮの代わりに、ハッシュされたタイムスタンプを含んで、リプレー・アタックを防止する。この再同期トークンは、トークンの種類を指示する特別なフラグ等によって、ＳＮトークンから区別することができる。暗号トークンの例を下記に示し、図２８にも図示する：
ハッシュ（ｋｃｍ、１｜ＭＮ−ＩＤ｜タイムスタンプ｜［ＭＡＧ−ＩＤ］｜［ＨＯフラグ］）
ここで、「｜」は連結を表し、「［］」は随意的なパラメータを表す。
しかしながら、ＬＭＡは、ＭＮが再同期トークンを生成した厳密な時間を知らない。その理由は、ＭＮのクロックとＬＭＡのクロックとはでわずかに同期外れであるかもしれず、ＭＮからＬＭＡへのトークンの送信には暫く時間がかかるからである。この問題への一解決策は、トークン中に明確にタイムスタンプを入れることであるが、代表的には、トークン中にはタイムスタンプのための十分な空間はなく、タイムスタンプ部を含めることは、応答攻撃を可能にしうる。
第４の態様による本発明の一実施形態では、ＬＭＡは、ＭＮが再同期トークンを生成した時間と、ＬＭＡにおけるトークンの受信との間のタイムスパンを評価する。ＬＭＡは次いで、このタイムスパン内に異なるタイムスタンプを備えた複数のトークンを生成する。これらトークンのうち１つが受信されたＰＢＵ中のトークンと一致すると、ＰＢＵが受け取られ、ＬＭＡは、共通のタイムスタンプに基づいて新しい同期したＳＮ状態を生成する。この生成されたＳＮの例は、新しいＳＮ＝モジュロ（タイムスタンプ）等でありうる。さらにＭＮは、ＬＭＡが正しいタイムスタンプを見出して、ＰＢＵを受け取ったか否かを知らない。それゆえＭＮは、ＬＭＡが行うであろう方法と同じ方法で、タイムスタンプに基づいて新しいＳＮ状態を生成し、次の接続における新しいトークンのためにこの新しく同期したＳＮを用いる。
シーケンス番号ＳＮが暗号トークン中に連結される、本発明の第４の態様による多様な実施形態をこれまで記載してきたが、本発明の第４の態様のさらに他の実施形態では、シーケンス番号の代わりにハッシュ連鎖を用いることを考慮してもよい。したがって、ＳＮは、ハッシュ関数において、以前に生成されたトークンによって置換されている。第１の要素に基づくハッシュ連鎖の第２の要素の考えられる定義の例は下記に提供される：
トークン１＝ハッシュ（ｋｃｍ、ＭＮ−ＩＤ｜トークン０｜［ＭＡＧ−ＩＤ］｜［ＨＯフラグ］）
ＭＮおよびＭＡＧが安全な近隣発見［Ｊ．Ａｒｋｋｏ、Ｊ．Ｋｅｍｐｆ、Ｂ．Ｚｉｌｌ、Ｐ．Ｎｉｋａｎｄｅｒ、安全な近隣発見（ＳＥＮＤ）、ＲＦＣ３９７１、２００５年３月］をサポートする場合、他の変形例は、安全性が損なわれているＭＡＧ検知に対するトークンの代わりに、ＭＮのＣＧＡおよびルータ通知中のタイムスタンプ・オプションを活用することであってもよい。ＭＡＧは次いで、最新の近隣要請からのＳｅＮＤに関連する情報、または、ＭＮによって送信された通知を、ＬＭＡへ送信されたＰＢＵ中に含む必要があるであろう。ＬＭＡは、ＰＢＵが有効なＲＳ署名オプションおよび最近のタイムスタンプを備えたＳｅＮＤメッセージを含む場合には、ＰＢＵのみを受け取るであろう。
本発明の異なる態様の別の実施形態は、ハードウェアおよびソフトウェアを用いる上記に記載された様々な実施形態の実施に関する。様々な態様による本発明の様々な実施形態は、演算装置（処理装置）を用いて実施または実行されてもよいことが認識されている。演算装置または処理装置はたとえば、汎用目的処理装置、デジタル信号処理装置（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、または、他のプログラマブル論理装置等であってもよい。本発明の様々な実施形態は、これら装置の組み合わせによっても、実行されるか具現化されてもよい。
さらに、様々な態様による本発明の実施形態は、処理装置によってまたは直接的にハードウェア内で実装されるソフトウェア・モジュールを手段として用いて実施されてもよい。また、ソフトウェア・モジュールの組み合わせ、および、ハードウェアの実装もまた可能でありうる。ソフトウェア・モジュールは、任意の種類のコンピュータで読み取り可能な保存媒体、たとえば、ＲＡＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、フラッシュ・メモリ、レジスタ、ハード・ディスク、ＣＤ−ＲＯＭ、ＤＶＤ等に保存されてもよい。
前の段落では、本発明の様々な実施形態およびその変形例が記載されてきた。具体的な実施形態に示されるように、多数の変形例および／または修正が、広く記載された本発明の範囲と逸脱することなく、本発明に対してなされてもよいことが、当業者によって理解されるであろう。

Claims (27)

  1. モバイルノード（ＭＮ）のモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを実装するネットワーク内において、モバイルノード（ＭＮ）からローカル・モビリティ・アンカー（ＬＭＡ）へと、モバイルノード（ＭＮ）のネットワーク要素への接続に関する情報を提供する方法であって、前記方法は、モバイルノード（ＭＮ）によって実行される以下のステップ：
    モバイルノード（ＭＮ）のネットワーク要素への接続の直後に、モバイルノード（ＭＮ）およびローカル・モビリティ・アンカー（ＬＭＡ）に共通の暗号化キー（ｋｃｍ）に基づいて、暗号トークンを生成する；および
    生成された暗号トークンをネットワーク要素へと送信する；
    ステップを含む方法。
  2. 暗号トークンは、前記暗号化キー（ｋｃｍ）と組み合わせたキー付ハッシュ・メッセージ認証コード関数を、認証されるメッセージに適用することによって生成される、請求項１に記載の方法。
  3. モバイルノード（ＭＮ）のモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを実装するネットワーク内において、モバイルノード（ＭＮ）からローカル・モビリティ・アンカー（ＬＭＡ）へと、モバイルノード（ＭＮ）のネットワーク要素への接続に関する情報を提供する方法であって、前記方法は、モバイルノード（ＭＮ）によって実行される以下のステップ：
    モバイルノード（ＭＮ）のネットワーク要素への接続の直後に、暗号トークンを生成する；および
    生成された暗号トークンをネットワーク要素へと送信することであって、生成された暗号トークンの順序が生成された暗号トークンのハッシュ連鎖によって与えられる；
    ステップを含む方法。
  4. 暗号トークンは、キー付ハッシュ・メッセージ認証コード関数を、認証されるメッセージに適用することによって生成される、請求項３に記載の方法。
  5. 認証されるメッセージが、モバイルノード識別子、ネットワーク要素を識別するネットワーク要素識別子、および、モバイルノード（ＭＮ）のネットワーク要素への接続の種類を示すハンドオーバー・フラグのうち少なくとも１つの連結を含む、請求項２または４に記載の方法。
  6. モバイルノード（ＭＮ）を識別するモバイルノード識別子が、ネットワーク・アクセス識別子、または、ＩＰアドレス、または、レイヤ２アドレスを含む、請求項５に記載の方法。
  7. ネットワーク要素識別子は、デフォルト・ルータＩＰアドレスまたはレイヤ２アドレスを含む、請求項５または６に記載の方法。
  8. モバイルノード（ＭＮ）のネットワーク要素への接続の種類が、別のネットワーク要素へのハンドオーバー、および、別のインタフェース上のネットワーク要素への接続のうち１つを含む、請求項の５から７のいずれかに記載の方法。
  9. モバイルノード（ＭＮ）のレイヤ２アドレスを、生成された暗号トークンに基づいて生成することをさらに含み、モバイルノード（ＭＮ）が、生成されたモバイルノード（ＭＮ）のレイヤ２アドレスを用いて、ネットワーク要素とのレイヤ２通信を実行する、請求項１から８のいずれかに記載の方法。
  10. モバイルノード（ＭＮ）のレイヤ２アドレスが、ＩＥＥＥ８０２メディア・アクセス制御アドレスである、請求項９に記載の方法。
  11. ＩＰｖ６とリンクしたローカル・アドレス、インタフェース識別子、または、ＩＫＥ識別ペイロードのうち１つを、暗号トークンに基づいて生成することによって、生成された暗号トークンをネットワーク要素へと送信することをさらに含み、モバイルノード（ＭＮ）は、生成されたアドレスまたは識別子を用いて、ネットワーク要素との通信を実行する、請求項１から８のいずれかに記載の方法。
  12. デフォルト・ルータＩＰアドレスまたはレイヤ２ハンドオーバーの変更に気が付いた直後に、モバイルノード（ＭＮ）の別のネットワーク要素への接続またはハンドオーバーを検知すること、および、別の暗号トークンを生成することをさらに含む、請求項１から１１のいずれかに記載の方法。
  13. 認証されるメッセージ中にシーケンス番号がさらに連結されている、請求項５に記載の方法。
  14. 暗号トークンがハッシュ部および個々のシーケンス番号を含む、請求項１１から１３のいずれかに記載の方法。
  15. モバイルノード（ＭＮ）の別のネットワーク要素への接続またはハンドオーバーの直後に、インクリメントされたシーケンス番号の付いた別の暗号トークンを生成することをさらに含む、請求項１３または１４に記載の方法。
  16. ネットワーク要素から、モバイルノード（ＭＮ）とローカル・モビリティ・アンカーとの間で変えられうるシーケンス番号の非同期を示すメッセージを受信すること；および、第２のキー付ハッシュ・メッセージ認証コード関数を共通の暗号化キー（ｋｃｍ）と組み合わせて用いて、第２の暗号トークンを生成すること；をさらに含み、前記第２の暗号トークンは、モバイルノード（ＭＮ）とローカル・モビリティ・アンカーとの間で変えられうるシーケンス番号を同期化するためのものである、請求項１３から１５のいずれかに記載の方法。
  17. 第２の暗号トークンは、第１の暗号トークンの対応フィールドとは異なる値を有するフィールドを含み、前記フィールドは、第２の暗号トークンを第１の暗号トークンと差別化するためのものである、請求項１６に記載の方法。
  18. 認証されるメッセージが、モバイルノード識別子、タイムスタンプ、ネットワーク要素を識別するネットワーク要素識別子、および、モバイルノード（ＭＮ）のネットワーク要素への接続の種類を示すハンドオーバー・フラグのうち少なくとも１つの連結を含む、請求項１６または１７に記載の方法。
  19. シーケンス番号の値を、第２の暗号トークンに含まれるタイムスタンプに基づいて更新すること、および、別のネットワーク要素への接続の直後に、別の暗号トークンを、シーケンス番号の更新された値を用いて生成すること、をさらに含む請求項１８に記載の方法。
  20. モバイルノード（ＭＮ）とローカル・モビリティ・アンカーとの間で変えられうるシーケンス番号の非同期を示す、ネットワーク要素からのメッセージは、プレフィックスの寿命がゼロに設定されたルータ通知メッセージである、請求項１６から１９のいずれかに記載の方法。
  21. モバイルノード（ＭＮ）のモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを実装するネットワーク内において、モバイルノード（ＭＮ）のネットワーク要素への接続を検証する方法であって、前記方法は、ローカル・モビリティ・アンカー（ＬＭＡ）によって実行される以下のステップ：
    モバイルノード（ＭＮ）のネットワーク要素への接続を示す、ネットワーク要素からのメッセージ（ＰＢＵ）を受信するステップであって、前記メッセージ（ＰＢＵ）は第１の暗号トークンを含む；
    第２の暗号トークンを、モバイルノード（ＭＮ）およびローカル・モビリティ・アンカー（ＬＭＡ）に共通の暗号化キー（ｋｃｍ）に基づいて、計算する；
    受信された第１の暗号トークンと計算された第２の暗号トークンとを、互いに比較する；および
    受信された第１の暗号トークンが計算された第２の暗号トークンと一致する場合は、モバイルノード（ＭＮ）のネットワーク要素への接続を示す、ネットワーク要素からのメッセージ（ＰＢＵ）は本物であると判定する；
    ことを含む方法。
  22. モバイルノード（ＭＮ）およびローカル・モビリティ・アンカー（ＬＭＡ）が、暗号化キー（ｋｃｍ）がネットワーク認証キーに基づいて生成されるネットワーク認証中か、または、モバイルノード（ＭＮ）がモビリティ・プロトコルをネットワークによってブートストラップする時であって暗号化キー（ｋｃｍ）がモビリティ認証キーに基づいて生成される時、のいずれかにおいて、共通の暗号化キー（ｋｃｍ）を取得する、請求項１１から２１のいずれかに記載の方法。
  23. モバイルノード（ＭＮ）のモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを実装するネットワーク内において、モバイルノード（ＭＮ）のネットワーク要素への接続の直後に、モバイルノード（ＭＮ）およびローカル・モビリティ・アンカー（ＬＭＡ）に共通の暗号トークンを、暗号化キー（ｋｃｍ）に基づいて、生成する生成手段；および
    生成された暗号トークンをネットワーク要素へと送信し、これによって前記モバイルノード（ＭＮ）が、モバイルノード（ＭＮ）のネットワーク要素への接続に関する情報を、ローカル・モビリティ・アンカー（ＬＭＡ）へと提供することを可能にする送信手段；
    を含むモバイルノード。
  24. モバイルノード（ＭＮ）のモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを実装するネットワーク内において、モバイルノード（ＭＮ）のネットワーク要素への接続の直後に、暗号トークンを生成する生成手段；および
    生成された暗号トークンをネットワーク要素へと送信し、これによって、前記モバイルノード（ＭＮ）が、モバイルノード（ＭＮ）のネットワーク要素への接続に関する情報を、ローカル・モビリティ・アンカー（ＬＭＡ）へと提供することを可能にする送信手段；
    を含み、
    生成された暗号トークンの順序が生成された暗号トークンのハッシュ連鎖によって与えられる
    モバイルノード。
  25. 前記モバイルノード（ＭＮ）が、請求項２、４から２０、および２２のいずれかに記載の方法の方法ステップを実行するよう構成された、請求項２３または２４に記載のモバイルノード。
  26. モバイルノード（ＭＮ）のモビリティを管理するためのネットワーク・ベースのモビリティ管理スキームを実装するネットワーク内において、モバイルノード（ＭＮ）のネットワーク要素への接続を検証するよう構成されたローカル・モビリティ・アンカーであって、前記ローカル・モビリティ・アンカー（ＬＭＡ）は：
    モバイルノード（ＭＮ）のネットワーク要素への接続を示す、ネットワーク要素からのメッセージ（ＰＢＵ）を受信する受信手段であって、前記メッセージ（ＰＢＵ）が第１の暗号トークンを含み；
    モバイルノード（ＭＮ）およびローカル・モビリティ・アンカー（ＬＭＡ）に共通の暗号トークンを、第２の暗号化キー（ｋｃｍ）に基づいて、計算する計算手段；
    受信された第１の暗号トークンと計算された第２の暗号トークンとを互いに比較する比較手段；および
    受信された第１の暗号トークンが計算された第２の暗号トークンと一致する場合は、モバイルノード（ＭＮ）のネットワーク要素への接続を示す、ネットワーク要素からのメッセージ（ＰＢＵ）は本物であると判定する判定手段；
    を含むローカル・モビリティ・アンカー（ＬＭＡ）。
  27. 請求項２３から２５のいずれかに記載のモバイルノード（ＭＮ）と；請求項２６に記載のローカル・モビリティ・アンカー（ＬＭＡ）と；を含み、前記ローカル・モビリティ・アンカー（ＬＭＡ）によってネットワーク要素から受信された前記メッセージ（ＰＢＵ）に含まれる前記第１の暗号トークンが、前記モバイルノード（ＭＮ）によって生成された暗号トークンである、移動通信システム。
JP2010507809A 2007-05-16 2008-04-11 ネットワーク・ベースおよびホスト・ベース混合型のモビリティ管理における方法 Withdrawn JP2010527549A (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP07009852A EP1914955A1 (en) 2006-10-20 2007-05-16 Detection of a compromised proxy mobility management client
PCT/EP2007/009112 WO2008046655A1 (en) 2006-10-20 2007-10-19 Methods in mixed network- and host-based mobility management
PCT/EP2008/002897 WO2008138440A2 (en) 2007-05-16 2008-04-11 Methods in mixed network and host-based mobility management

Publications (1)

Publication Number Publication Date
JP2010527549A true JP2010527549A (ja) 2010-08-12

Family

ID=39831964

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2010507809A Withdrawn JP2010527549A (ja) 2007-05-16 2008-04-11 ネットワーク・ベースおよびホスト・ベース混合型のモビリティ管理における方法

Country Status (5)

Country Link
US (1) US20100313024A1 (ja)
EP (1) EP2156636A2 (ja)
JP (1) JP2010527549A (ja)
RU (1) RU2009146556A (ja)
WO (1) WO2008138440A2 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101366778B1 (ko) * 2012-06-28 2014-02-24 에스케이텔레콤 주식회사 패킷 교환 제어 방법 및 장치

Families Citing this family (63)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4980151B2 (ja) * 2007-06-18 2012-07-18 株式会社日立製作所 移動体通信システム、ｐｄｉｆ及び移動端末の死活監視方法
CA2714280A1 (en) * 2008-02-08 2009-08-13 Telefonaktiebolaget L M Ericsson (Publ) Method and apparatus for use in a communications network
EP2091204A1 (en) 2008-02-18 2009-08-19 Panasonic Corporation Home agent discovery upon changing the mobility management scheme
CN101547383B (zh) * 2008-03-26 2013-06-05 华为技术有限公司 一种接入认证方法及接入认证系统以及相关设备
US8370503B2 (en) * 2008-05-02 2013-02-05 Futurewei Technologies, Inc. Authentication option support for binding revocation in mobile internet protocol version 6
ES2376991T3 (es) * 2008-06-02 2012-03-21 Media Patents, S. L. Procedimientos y aparatos para el envío de paquetes de datos entre nodos móviles
CN101605319B (zh) * 2008-06-12 2013-04-17 华为技术有限公司 状态切换信息处理方法、移动接入网关和移动终端
US9268779B2 (en) * 2009-01-28 2016-02-23 Mckesson Financial Holdings Methods, computer program products, and apparatuses for dispersing content items
US8385249B2 (en) * 2009-04-17 2013-02-26 Futurewei Technologies, Inc. Apparatus and method for basic multicast support for proxy mobile internet protocol version six (IPv6)
CN101873572B (zh) * 2009-04-27 2012-08-29 中国移动通信集团公司 基于PMIPv6的数据传输方法、系统及相关网络设备
KR101673183B1 (ko) * 2009-06-16 2016-11-17 삼성전자주식회사 무선통신시스템에서 타이머 보상을 통한 데이터 관리방법 및 장치
US20120179803A1 (en) * 2009-07-03 2012-07-12 Telemaco Melia Enhancing network-based ip mobility management protocol to provide multihoming support
WO2011003456A1 (en) * 2009-07-10 2011-01-13 Nokia Siemens Networks Oy Methods, apparatuses, related computer program product and data structure for distributed storage of service provision-related information
CN102056144B (zh) * 2009-10-28 2015-05-20 中兴通讯股份有限公司 多接入的处理方法、家乡代理及用户设备
CN102196438A (zh) 2010-03-16 2011-09-21 高通股份有限公司 通信终端标识号管理的方法和装置
JP5547340B2 (ja) 2010-05-04 2014-07-09 クゥアルコム・インコーポレイテッド 共用回線交換セキュリティコンテキスト
US9385862B2 (en) 2010-06-16 2016-07-05 Qualcomm Incorporated Method and apparatus for binding subscriber authentication and device authentication in communication systems
US8839373B2 (en) 2010-06-18 2014-09-16 Qualcomm Incorporated Method and apparatus for relay node management and authorization
CN102448045B (zh) * 2010-09-30 2015-05-20 电信科学技术研究院 一种处理移动性管理上下文的方法和设备
US9112905B2 (en) 2010-10-22 2015-08-18 Qualcomm Incorporated Authentication of access terminal identities in roaming networks
US9021104B2 (en) * 2011-02-28 2015-04-28 Futurewei Technologies, Inc. System and method for mobility management in a wireless communications system
US9130937B1 (en) * 2011-03-07 2015-09-08 Raytheon Company Validating network communications
EP2500872A1 (fr) * 2011-03-08 2012-09-19 Openways Sas Procédé sécurisé de commande d'ouverture de dispositifs de serrure par un objet communicant de type téléphone portable
US9668128B2 (en) 2011-03-09 2017-05-30 Qualcomm Incorporated Method for authentication of a remote station using a secure element
WO2013025137A1 (en) * 2011-08-15 2013-02-21 Telefonaktiebolaget L M Ericsson (Publ) Ran node and method thereof
US9271193B2 (en) * 2012-02-24 2016-02-23 Intel Deutschland Gmbh Care-of-address handover
JP5978748B2 (ja) * 2012-05-10 2016-08-24 富士通株式会社 添付情報付き電子メールによる不正メールの検知方法，その検知プログラム及びその検知装置
CN103716196B (zh) * 2012-09-28 2018-10-09 新华三技术有限公司 一种网络设备及探测方法
US9590850B2 (en) * 2013-08-08 2017-03-07 Cisco Technology, Inc. Discovery of connectivity and compatibility in a communication network
CN105265003B (zh) 2013-11-01 2019-11-29 华为技术有限公司 一种与分组数据网络建立连接的装置、设备及方法
US10412127B2 (en) * 2014-05-20 2019-09-10 Telefonaktiebolaget Lm Ericsson (Publ) Method and apparatus for establishing an additional session to an anonymous user
WO2016026517A1 (en) * 2014-08-19 2016-02-25 Telefonaktiebolaget L M Ericsson (Publ) Generating cryptographic checksums
US9826401B2 (en) * 2015-03-11 2017-11-21 Verizon Patent And Licensing Inc. Authenticated communication session for wireless roaming
WO2017039775A2 (en) * 2015-06-11 2017-03-09 PeerNova, Inc. Making cryptographic claims about stored data using an anchoring system
US9832024B2 (en) 2015-11-13 2017-11-28 Visa International Service Association Methods and systems for PKI-based authentication
CN109314725B (zh) * 2016-05-18 2022-03-25 瑞典爱立信有限公司 移动ip网络中的本地疏导
US10470154B2 (en) 2016-12-12 2019-11-05 Oracle International Corporation Methods, systems, and computer readable media for validating subscriber location information
US10248365B2 (en) * 2016-12-30 2019-04-02 Konica Minolta Laboratory U.S.A., Inc. Method and system of using OAuth2 to secure neighbor discovery
US10742408B2 (en) * 2017-02-27 2020-08-11 Cord3 Innovation Inc. Many-to-many symmetric cryptographic system and method
US10616200B2 (en) 2017-08-01 2020-04-07 Oracle International Corporation Methods, systems, and computer readable media for mobility management entity (MME) authentication for outbound roaming subscribers using diameter edge agent (DEA)
CN109391942A (zh) * 2017-08-07 2019-02-26 华为技术有限公司 触发网络鉴权的方法及相关设备
US10652950B2 (en) * 2017-11-16 2020-05-12 Cisco Technology, Inc. Method and system for providing signed user location information
CN110035037B (zh) * 2018-01-11 2021-09-17 华为技术有限公司 安全认证方法、相关设备及系统
US10931668B2 (en) 2018-06-29 2021-02-23 Oracle International Corporation Methods, systems, and computer readable media for network node validation
US10834045B2 (en) * 2018-08-09 2020-11-10 Oracle International Corporation Methods, systems, and computer readable media for conducting a time distance security countermeasure for outbound roaming subscribers using diameter edge agent
US11128474B2 (en) * 2019-03-25 2021-09-21 Micron Technology, Inc. Secure device communication
US10952063B2 (en) 2019-04-09 2021-03-16 Oracle International Corporation Methods, systems, and computer readable media for dynamically learning and using foreign telecommunications network mobility management node information for security screening
CN115150359A (zh) * 2019-08-20 2022-10-04 华为技术有限公司 域名系统查询的方法和通信装置
US11336683B2 (en) 2019-10-16 2022-05-17 Citrix Systems, Inc. Systems and methods for preventing replay attacks
US11411925B2 (en) 2019-12-31 2022-08-09 Oracle International Corporation Methods, systems, and computer readable media for implementing indirect general packet radio service (GPRS) tunneling protocol (GTP) firewall filtering using diameter agent and signal transfer point (STP)
US11553342B2 (en) 2020-07-14 2023-01-10 Oracle International Corporation Methods, systems, and computer readable media for mitigating 5G roaming security attacks using security edge protection proxy (SEPP)
US11751056B2 (en) 2020-08-31 2023-09-05 Oracle International Corporation Methods, systems, and computer readable media for 5G user equipment (UE) historical mobility tracking and security screening using mobility patterns
US11832172B2 (en) 2020-09-25 2023-11-28 Oracle International Corporation Methods, systems, and computer readable media for mitigating spoofing attacks on security edge protection proxy (SEPP) inter-public land mobile network (inter-PLMN) forwarding interface
US11825310B2 (en) 2020-09-25 2023-11-21 Oracle International Corporation Methods, systems, and computer readable media for mitigating 5G roaming spoofing attacks
US11622255B2 (en) 2020-10-21 2023-04-04 Oracle International Corporation Methods, systems, and computer readable media for validating a session management function (SMF) registration request
US11528251B2 (en) 2020-11-06 2022-12-13 Oracle International Corporation Methods, systems, and computer readable media for ingress message rate limiting
US11770694B2 (en) 2020-11-16 2023-09-26 Oracle International Corporation Methods, systems, and computer readable media for validating location update messages
US11818570B2 (en) 2020-12-15 2023-11-14 Oracle International Corporation Methods, systems, and computer readable media for message validation in fifth generation (5G) communications networks
US11812271B2 (en) 2020-12-17 2023-11-07 Oracle International Corporation Methods, systems, and computer readable media for mitigating 5G roaming attacks for internet of things (IoT) devices based on expected user equipment (UE) behavior patterns
US11700510B2 (en) 2021-02-12 2023-07-11 Oracle International Corporation Methods, systems, and computer readable media for short message delivery status report validation
US11516671B2 (en) 2021-02-25 2022-11-29 Oracle International Corporation Methods, systems, and computer readable media for mitigating location tracking and denial of service (DoS) attacks that utilize access and mobility management function (AMF) location service
US11689912B2 (en) 2021-05-12 2023-06-27 Oracle International Corporation Methods, systems, and computer readable media for conducting a velocity check for outbound subscribers roaming to neighboring countries
CN114546495B (zh) * 2021-09-03 2022-12-20 北京睿芯众核科技有限公司 适用于risc-v架构处理器的地址属性检查的方法及系统

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001093061A1 (en) * 2000-05-26 2001-12-06 Vocaltec Ltd. Communications protocol
AU2003240171A1 (en) * 2002-07-15 2004-02-02 Nokia Corporation An ipv6 address ownership authentification based on zero-knowledge identification protocols or based on one time password
US7269138B2 (en) * 2003-06-04 2007-09-11 Motorola, Inc. Distributed MAC protocol facilitating collaborative ranging in communications networks
US7502331B2 (en) * 2004-11-17 2009-03-10 Cisco Technology, Inc. Infrastructure-less bootstrapping: trustless bootstrapping to enable mobility for mobile devices
US7813511B2 (en) * 2005-07-01 2010-10-12 Cisco Technology, Inc. Facilitating mobility for a mobile station
CN101268669B (zh) * 2005-09-20 2011-09-07 艾利森电话股份有限公司 用于认证来自移动节点的更新的方法和移动锚点
US20070113075A1 (en) * 2005-11-10 2007-05-17 Ntt Docomo, Inc. Secure route optimization for mobile network using multi-key crytographically generated addresses
CN101473632B (zh) * 2006-06-20 2013-06-19 艾利森电话股份有限公司 移动网络中的装置和方法
US8375430B2 (en) * 2006-06-27 2013-02-12 Intel Corporation Roaming secure authenticated network access method and apparatus
KR101377574B1 (ko) * 2006-07-28 2014-03-26 삼성전자주식회사 프락시 모바일 아이피를 사용하는 이동통신 시스템에서보안 관리 방법 및 그 시스템

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101366778B1 (ko) * 2012-06-28 2014-02-24 에스케이텔레콤 주식회사 패킷 교환 제어 방법 및 장치

Also Published As

Publication number Publication date
WO2008138440A2 (en) 2008-11-20
EP2156636A2 (en) 2010-02-24
RU2009146556A (ru) 2011-06-27
WO2008138440A3 (en) 2009-01-29
US20100313024A1 (en) 2010-12-09

Similar Documents

Publication Publication Date Title
US11477634B2 (en) Home agent discovery upon changing the mobility management scheme
JP2010527549A (ja) ネットワーク・ベースおよびホスト・ベース混合型のモビリティ管理における方法
US20100296481A1 (en) Methods in mixed network- and host-based mobility management
Johnson et al. Mobility support in IPv6
US8498414B2 (en) Secure route optimization in mobile internet protocol using trusted domain name servers
US7881468B2 (en) Secret authentication key setup in mobile IPv6
JP5430587B2 (ja) ネットワークベースのモビリティ管理による経路最適化のためのゲートウェイ間での情報交換
US20090307485A1 (en) Method for mitigating denial of service attacks against a home against
US20090262685A1 (en) Method and apparatus for mobile ip route optimization
US8953798B2 (en) Enhanced cryptographically generated addresses for secure route optimization in mobile internet protocol
Ren et al. Routing optimization security in mobile IPv6
JP5250634B2 (ja) 移動通信ネットワークにおいて使用するための方法及び装置
US8711843B2 (en) Cryptographically generated addresses using backward key chain for secure route optimization in mobile internet protocol
WO2008147323A2 (en) Method and apparatus for combining internet protocol authentication and mobility signaling
Kavitha et al. Security analysis of binding update protocols in route optimization of MIPv6
EP1914953B1 (en) Care-of address registration and detection of spoofed binding cache entries
EP1914955A1 (en) Detection of a compromised proxy mobility management client
Oryema et al. Secure mobility management using CoAP in the Internet of Things
Durr et al. An analysis of security threats to mobile IPv6
Arkko IETF Mobile IP Working Group D. Johnson Internet-Draft Rice University Obsoletes: 3775 (if approved) C. Perkins (Ed.) Expires: January 14, 2010 WiChorus Inc.
Qiu et al. Trusted connection between mobile nodes and mobility anchor points in hierarchical mobile IPv6

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20110201

A761 Written withdrawal of application

Free format text: JAPANESE INTERMEDIATE CODE: A761

Effective date: 20120417