JP2010536241A - セキュリティアソシエーションをセットアップするためのブートストラッピング方法 - Google Patents

Abstract

一実施形態では、本発明の方法は、（Ａ）モバイルノード（ＭＮ）と認証、認可、アカウンティング（ＡＡＡ）サーバとの間にアクセス層セキュリティアソシエーション（ＳＡ）を確立するステップと、（Ｂ）アクセス層ＳＡに対応する拡張マスタセッションキー（ＥＭＳＫ）から２次キーを導出するステップと、（Ｃ）ホームエージェントに２次キーを提供するステップと、（Ｄ）２次キーに基づいて、ホームエージェントと選択されたネットワークノードとの間の通信をセキュリティ保護するために、アクセス層より上位の開放型システム間相互接続（ＯＳＩ）層に対応するＳＡを確立するステップとを有する。さまざまな実施形態では、選択されたネットワークノードは（ｉ）ＭＮ、（ｉｉ）ＭＮの代わりに構成されたプロキシノード、または（ｉｉｉ）ホームエージェントの代わりに構成されたプロキシノードでよい。

Description

本発明はネットワークに関し、より詳細にはネットワークセキュリティに関する。

現代のデータネットワーキング標準は、実質的に開放型システム間相互接続（ＯＳＩ）スタックのすべての層で、通信ネットワークノードのためのセキュリティ機能をサポートする。たとえば、ＯＳＩアプリケーション層はセキュアリアルタイムトランスポートプロトコル（ＳＲＴＰ）セキュリティメカニズムを使用でき、ＯＳＩトランスポート層はセキュアソケットレイヤ（ＳＳＬ）および／またはトランスポートレイヤセキュリティ（ＴＬＳ）メカニズムを使用でき、ＯＳＩネットワーク層はインターネットプロトコルセキュリティ（ＩＰＳｅｃ）メカニズムを使用できる。ＯＳＩリンク（またはアクセス）層セキュリティメカニズムは、使用されたリンク層標準に依存し、およびそれ特有であり、たとえばＩＥＥＥ８０２セキュリティメカニズム、３ＧＰＰ ＵＭＴＳおよびＧＳＭセキュリティメカニズム、３ＧＰＰ２ Ｃｄｍａ２０００およびＵＭＢセキュリティメカニズムを含む。フレームフォーマット、プロトコル交換、およびセキュリティ方法（たとえば、暗号化および認証）は、関連する標準および刊行物において指定されるが、セキュリティアソシエーションを確立するための、および暗号化アルゴリズムをネゴシエーションするための特定のメカニズムは、しばしば著しい実装の変形形態の影響を受けやすい。

ＩＥＴＦ Ｎｅｔｗｏｒｋ Ｗｏｒｋｉｎｇ Ｇｒｏｕｐ、Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ Ｎｏ．３７７５（ＲＦＣ ３７７５） インターネット技術標準化委員会（ＩＥＴＦ）ＲＦＣ３３４４ ＩＥＴＦ ＲＦＣ２１０４ ＩＥＴＦ ＲＦＣ３７４８ ＲＦＣ４１８７（ＥＡＰ−ＡＫＡ） ＲＦＣ２７１６（ＥＡＰ−ＴＬＳ） ＲＦＣ４３０６、セクション３．１ Ｘ．Ｓ００４７「Ｍｏｂｉｌｅ ＩＰｖ６ Ｅｎｈａｎｃｅｍｅｎｔ」、３ＧＰＰ２ ＴＳＧ−Ｓ ＷＧ−４寄稿「Ｓ４０−２００７０５１４−００７Ｒ１＿ＱＣＯＭ−ＫＤＤＩ−Ｓｔａｒｅｎｔ−ＮＥＣ−Ｆｕｔｊｉｓｕ−Ｈｉｔａｃｈｉ−ＣＴＣ＿ＷＬＡＮ＿ＩＷ＿ｆｏｒ＿２Ｇ＿Ｒ−ＵＩＭ．ｄｏｃ」

ＩＰアドレス指定が可能ないずれか２つのネットワークノード間の交換をセキュリティ保護するための、ある代表的なネットワーク層セキュリティメカニズムは、インターネットキー交換（ＩＫＥ、バージョン１または２）手順に結合されたＩＰＳｅｃ手順の使用に依存する。このネットワーク層セキュリティメカニズムは、たとえばＩＰｖ６（インターネットプロトコル、バージョン６）対応装置のための一般的な移動性管理プロトコルである、Ｍｏｂｉｌｅ ＩＰｖ６で使用され、これはＩＥＴＦ Ｎｅｔｗｏｒｋ Ｗｏｒｋｉｎｇ ＧｒｏｕｐのＲｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ Ｎｏ．３７７５（ＲＦＣ ３７７５）で説明されており、その教示を参照により本明細書に組み込む。Ｍｏｂｉｌｅ ＩＰｖ６では、パケットをモバイルエンドポイントへ、およびそれからルーティングおよび転送できるようにするために、制御メッセージ（バインディングアップデート、およびバインディング確認と呼ばれる）がモバイルエンドポイントとホームエージェントとの間で交換される。制御メッセージをセキュリティ保護するためにＩＰＳｅｃを使用するオプションがＭｏｂｉｌｅ ＩＰｖ６に明記されているが、セキュリティアソシエーションを確立するための、および関連するセッションキーを提供するための特定の手順は、開発および革新の余地がある。

本発明の実施形態は、２つ以上のネットワークノード間に安全な通信を確立するための方法を提供する。一実施形態では、本発明の方法は：（Ａ）モバイルノード（ＭＮ）と認証、認可、アカウンティング（ＡＡＡ）サーバとの間にアクセス層セキュリティアソシエーション（ＳＡ）を確立するステップと、（Ｂ）アクセス層ＳＡに対応する拡張マスタセッションキー（ＥＭＳＫ）から２次キーを導出するステップと、（Ｃ）ホームエージェントに２次キーを提供するステップと、（Ｄ）２次キーに基づいて、ホームエージェントと選択されたネットワークノードとの間の通信をセキュリティ保護するために、アクセス層より上位の開放型システム間相互接続（ＯＳＩ）層に対応するＳＡを確立するステップとを有する。さまざまな実施形態では、選択されたネットワークノードは（ｉ）ＭＮ、（ｉｉ）ＭＮの代わりに構成されたプロキシノード、または（ｉｉｉ）ホームエージェントの代わりに構成されたプロキシノードでよい。

一実施形態によれば、ネットワークの２つ以上のノード間に安全な通信を確立するための本発明の方法は：（Ａ）クライアントとネットワークサーバとの間に第１セキュリティアソシエーション（ＳＡ）を確立するステップであって、第１ＳＡがアクセス層ＳＡであるステップと、（Ｂ）クライアントおよびネットワークサーバのそれぞれで、第１ＳＡに対応するキーから２次キーを導出するステップと、（Ｃ）第１ネットワークノードで、ネットワークサーバから２次キーを取得するステップと、（Ｄ）２次キーを使用して第１ネットワークノードと第２ネットワークノードとの間に第２ＳＡを確立するステップであって、第２ネットワークノードが２次キーを所有するステップとを含む。

他の実施形態によれば、本発明は：（Ａ）クライアントと、（Ｂ）ネットワークサーバとを含むネットワークのノードであって、（ｉ）クライアントおよびネットワークサーバが、第１セキュリティアソシエーション（ＳＡ）を確立するように構成され、第１ＳＡがアクセス層ＳＡであり、（ｉｉ）クライアントおよびネットワークサーバのそれぞれが、第１ＳＡに対応するキーから２次キーを導出するように構成され、ネットワークのノードがさらに、（Ｃ）ネットワークサーバから２次キーを取得するように構成された第１ネットワークノードを含み、第１ネットワークノードおよび第２ネットワークノードが２次キーを使用して第２ＳＡを確立するように構成され、第２ネットワークノードが２次キーを所有するノード、ネットワークのノードを提供する。このノードは、クライアント、ネットワークサーバ、第１ネットワークノード、および第２ネットワークノードのうちの１つである。

他の実施形態によれば、本発明のネットワークは：（Ａ）クライアントと、（Ｂ）ネットワークサーバとを含み、（ｉ）クライアントおよびネットワークサーバが、第１セキュリティアソシエーション（ＳＡ）を確立するように構成され、第１ＳＡがアクセス層ＳＡであり、（ｉｉ）クライアントおよびネットワークサーバのそれぞれが、第１ＳＡに対応するキーから２次キーを導出するように構成され、ネットワークがさらに、（Ｃ）ネットワークサーバから２次キーを取得するように構成された第１ネットワークノードを含み、第１ネットワークノードおよび第２ネットワークノードが２次キーを使用して第２ＳＡを確立するように構成され、第２ネットワークノードが２次キーを所有する。

本発明の他の諸態様、諸特徴、および諸利益は、以下の詳細な説明、添付の特許請求の範囲、および添付の図面より十分に明らかになるだろう。

本発明の方法が実行されうるネットワークを示すブロック図である。 本発明の一実施形態による、セキュリティアソシエーション（ＳＡ）をセットアップする方法を示す流れ図である。 本発明の一実施形態による、図２に示した方法において使用されうるブートストラッピング方法を示す流れ図である。 本発明の他の実施形態による、ＳＡをセットアップするための方法を示す図である。

図１は、本発明の方法が実行されうるネットワーク１００のブロック図を示している。ネットワーク１００は、無線リンクを有する代表的なネットワークである。当業者は、本発明の方法が、１つまたは複数の無線リンクを有する、異なるように構成されたネットワークにおいて、およびさまざまな有線ネットワークにおいても実行されうることが理解できるだろう。

ネットワーク１００は、モバイルノード（ＭＮ）１１０を有し、それはたとえばラップトップ型コンピュータ、携帯情報端末、またはセルラー式電話でよい。ＭＮ１１０は無線リンクを介して基地局（ＢＴＳ）１２０に接続されており、ＢＴＳ１２０は有線リンクを介してネットワーク１００の他の諸要素にさらに接続されている。典型的には、ＢＴＳ１２０は、ＭＮ１１０と類似する複数のモバイルノードを有する無線セルをサポートするように構成されている。無線ネットワークコントローラ（ＲＮＣ）１３０は、ＢＴＳ１２０、およびそのＲＮＳに接続されたＢＴＳ１２０と類似する他の基地局の制御を担当する。ＲＮＣ１３０は、無線リソース管理、およびある種の移動性管理機能を実行する。ＲＮＣ１３０は、パケットデータサービングノード（ＰＤＳＮ）１４０に、およびローカルネットワークドメイン１５０を介して認証、認可、アカウンティング（ＡＡＡ）サーバ１６０ａに、さらに接続されている。

ＰＤＳＮ１４０は、ＭＮ１１０にインターネット、イントラネット、およびアプリケーションサーバへのアクセスを提供して、アクセスゲートウェイの役割を果たす。たとえば、ＰＤＳＮ１４０は、通常のインターネットプロトコル（ＩＰ）アクセスおよび／またはモバイルＩＰアクセス、フォーリンエージェントのサポート、ならびに仮想プライベートネットワーキング（ＶＰＮ）のためのパケットトランスポートを提供するように構成されうる。ＰＤＳＮ１４０は、ＰＤＳＮがホームネットワークドメイン１７０を介して接続されているＡＡＡサーバ１６０ｂなどの、ＡＡＡサーバにとってのクライアントの役割も果たす。ＰＤＳＮ１４０はホームエージェント（ＨＡ）１８０にさらに接続されている。

それぞれのＡＡＡサーバ１６０ａ〜ｂは、アクセス制御のために構成されたネットワークサーバである。ＡＡＡサーバ１６０の認証機能は、ＭＮ１１０などのユーザを識別する。ＡＡＡサーバ１６０の認可機能は、正規ユーザがどのリソースおよびサービスにアクセスできるかを決定するポリシーを実装する。ＡＡＡサーバ１６０のアカウンティング機能は、課金および分析のために、それぞれのユーザによる使用時間およびデータリソース利用の経過を追う。

ＨＡ１８０は、たとえばＭＮの気付アドレス内で識別されたような、ＭＮ１１０の現在位置についての情報を維持するホームネットワークドメイン１７０上のルータである。ＨＡ１８０は、ＭＮ１１０への、およびそれからのトラフィックを誘導するためにトンネリングメカニズムを使用するように構成されている。ＨＡ１８０は、対応するフォーリンネットワークドメイン上のルータである、フォーリンエージェント（図１には明確に図示せず）と連動して動作してよい。フォーリンおよびホームエージェント、ならびにそれらの機能のさらなる説明は、たとえばインターネット技術標準化委員会（ＩＥＴＦ）ＲＦＣ３３４４に出ており、その教示を参照により本明細書に組み込む。

ネットワーク１００はファイアウォール１９０に接続されており、ファイアウォール１９０は、あらかじめ定められたセキュリティポリシーにしたがって、ネットワーク１００と他の（たとえば民間企業の）ネットワーク（図１には明確に図示せず）との間のアクセスを制限するように構成されている。ＭＮ１１０は、たとえば適切なＶＰＮ手順を使用して、ファイアウォールされたネットワークのノードとの接続を確立できる。

同様に本発明の方法が実行されうるＵＭＢ／ＣＡＮ（Ｕｌｔｒａ Ｍｏｂｉｌｅ Ｂｒｏａｄｂａｎｄ／Ｃｏｎｖｅｒｇｅｄ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ）フラットネットワークアーキテクチャを示すブロック図は、ＰＤＳＮ１４０をアクセスゲートウェイ（ＡＧＷ）サーバと置換することによって、図１に示されたブロック図から取得されうる。さらに、ＲＮＣ１３０がシグナリングＲＮＣになる。後者は、ＢＴＳまたはＡＧＷサーバに統合されうる論理ネットワーク要素である。

図２は、本発明の一実施形態による、セキュリティアソシエーション（ＳＡ）をセットアップする方法２００の流れ図を示している。例示の目的のために、方法２００はネットワーク１００（図１）を参照して説明される。当業者は、方法２００が他の適切なネットワーク、たとえばＵＭＢ／ＣＡＮネットワークに同様に実装されうることが理解できるだろう。方法２００は一般的な適用性を有し、標準でもプロトコル特有でもない。

一般に、ＳＡは２つのネットワーク要素間の単向接続であり、その単向接続によって搬送されたトラフィックにセキュリティサービスを与えるものと定義される。典型的な双方向通信をセキュリティ保護するためには、一般に２つのＳＡ（それぞれの方向に１つ）が使用される。ＳＡは、対応する標準またはプロトコルによって定義された、１組のＳＡ属性によって識別される。このような１組の一例は、セキュリティパラメータインデックス（ＳＰＩ）、ＩＰ宛先アドレス、およびセキュリティプロトコル識別子からなる３部構成である。ＳＰＩは、カーネルが異なるトラフィックストリームを見分けるのを助けるパケットヘッダに追加された識別タグである。一般的に言えば、ＳＰＩは、特定のセキュリティプロトコルに関するＳＡのための識別子であり、それぞれのセキュリティプロトコルはそれ自体のＳＰＩ領域を有する。ＩＰ宛先アドレスは、ユニキャストアドレス、ＩＰブロードキャストアドレス、またはマルチキャストグループアドレスでもよい。ある種の既存のＳＡ管理メカニズムはユニキャストＳＡのためだけに定義されているが、本発明のブートストラッピング方法のさまざまな実施形態は、一般にポイントツーポイントおよびポイントツーマルチポイントＳＡの両方に適用可能である。例示的なセキュリティプロトコルは、認証ヘッダ（ＡＨ）およびカプセル化セキュリティペイロード（ＥＳＰ）プロトコルである。

方法２００のステップ２０２で、ネットワーク１００がネットワークアクセス認証を実行する。より詳細には、たとえばオンライン状態になった後、ＭＮ１１０（クライアント）がネットワーク１００との登録手順を実行する。登録手順は当分野で一般に知られており、典型的には乱数および共有秘密キーを使用する相互認証（または一方向認証）を含む。もっとも一般的な認証形式はユーザ名およびパスワードであるが、この形式が提供するセキュリティのレベルは比較的低い。比較的高いセキュリティレベルに達するために、通常ＶＰＮはデジタル証明書およびデジタル署名を使用する。ステップ２０２は、ＡＡＡサーバ１６０のうちの１つ、あるいはそれぞれのＡＡＡサーバにとってプロキシの役割を果たすＲＮＣ１３０またはＰＤＳＮ１４０によって実行されうる。

ステップ２０４で、ＭＮ１１０およびＡＡＡサーバ１６０はアクセスキーの合意に達する。より詳細には、ＭＮ１１０およびＡＡＡサーバ１６０は、別々にマスタセッションキー（ＭＳＫ）および拡張マスタセッションキー（ＥＭＳＫ）を計算する。この時点で、ＭＮ１１０とＡＡＡサーバ１６０との間にアクセス層ＳＡが作成されたことになる。ＭＳＫは、ＭＮ１１０にネットワークアクセスサービスを提供するネットワーク要素、たとえばＰＤＳＮ１４０と共有される。一方、ＥＭＳＫはＭＮ１１０およびＡＡＡサーバ１６０だけに知られ、他のどのようなネットワーク要素とも共有されない。

ステップ２０６で、ＭＮ１１０およびＡＡＡサーバ１６０はＥＭＳＫを使用して、そこから、以下では２次キーと呼ばれる追加のキーイング材料を導出する。２次キーは、互いに暗号で隔離されている点に留意されたい。このような２次キーのうちの１つまたは複数が導出されうる。ＭＮ１１０およびＡＡＡサーバ１６０は、２次キーごとにそれぞれのＳＰＩも導出する。それぞれのこのようなＳＰＩは、実質的に、対応する２次キーへのポインタである。２次キーおよびＳＰＩを導出する方法は当分野で知られており、１次キー材料および追加の知られているパラメータを、ＨＭＡＣ−ＳＨＡ１などの暗号一方向疑似ランダム関数で処理することを含んでよい。このような関数は、たとえばＩＥＴＦ ＲＦＣ２１０４で説明されており、その教示を参照により本明細書に組み込む。

ステップ２０８で、ステップ２０６で導出した２次キーのうちの１つまたは複数、および対応するＳＰＩのうちの１つまたは複数を使用して、ネットワーク１００の２つのノードがそれらの間にＳＡを作成する。それらの２つのノードは、ＭＮ１１０、ＰＤＳＮ１４０、およびＡＡＡサーバ１６０のうちの少なくとも１つを含んでも含まなくてもよい点に留意されたい。たとえばステップ２０８で、ＭＮ１１０は、たとえばＨＡ１８０などの、ネットワーク１００のどのような所望の装置または要素とのＳＡも作成できる。あるいは、ＭＮ１１０の代わりに機能する他のネットワークノード、たとえばプロキシサーバ（図１には明確に図示せず）が、ステップ２０８でＨＡ１８０とのＳＡを作成できる。ステップ２０８で作成されたＳＡは、アクセス層より上位のどのようなＯＳＩ層にも対応できる。それらの上位層は、昇順でネットワーク層、トランスポート層、セッション層、プレゼンテーション層、およびアプリケーション層である。実際には、２つの適切に認証されたネットワークノードが、新しいＳＡを、ステップ２０４で確立されたＭＮ１１０とＡＡＡサーバ１６０との間のアクセス層ＳＡにブートストラップする。

本明細書では、「ブートストラップ」という用語は、一般に新しいセキュリティ構成を確立するためにネットワークエンティティが利用可能なセキュリティ構成を使用する処理を意味する。たとえば、ネットワークエンティティＡとＢとの間に確立されたＳＡがある場合、ＡともＢとも異なるネットワークエンティティＣがネットワークエンティティＤとの新しいＳＡを確立するために、そのＳＡを使用できる。ネットワークエンティティＤは、ネットワークエンティティＡおよびＢのうちの１つを含んでも含まなくてもよい。

図３は、本発明の一実施形態による、方法２００のステップ２０８を実装するために使用されうるブートストラッピング方法３０８の流れ図を示している。例示の目的のために、方法３０８は、ＭＮ１１０（クライアント）とＨＡ１８０（関連ノード）との間にＳＡを作成することを参照して説明される。当業者は、ＳＡが他の適切なネットワークエンティティ間に同様に作成されうることが理解できるだろう。方法３０８はどちら側からも開始されうる。以下の説明では、ＭＮ１００およびＨＡ１８０は、それぞれイニシエータおよびレスポンダと仮定される。その逆も可能である。

方法３０８のステップ３１０で、ＭＮ１１０（クライアント、イニシエータ）は、適切に選択されたＯＳＩ層に対応する所望のセキュリティアソシエーションを確立する目的で、ＨＡ１８０（関連ノード、レスポンダ）とコンタクトをとる。このステップで暗に意味されるのは、ＭＮ１１０およびＨＡ１８０は、そのＯＳＩ層内に有効なそれぞれのアイデンティティを所有するということである。ステップ３１０に対応するメッセージ交換の間、ＭＮ１１０およびＨＡ１８０は、自身のアイデンティティを互いに示す。メッセージ交換をセキュリティ保護するために、当分野で知られているように、ＭＮ１１０およびＨＡ１８０は、たとえば認証されていないＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ手順に基づいて、一時的なセキュリティアソシエーションを確立してよい。言い換えれば、このセキュリティアソシエーションは、互いの予備知識なしに、したがって互いのアイデンティティを確認できずに、２つの通信ノード間で確立されることになる。

ステップ３１２で、ＭＮ１１０（クライアント）は、方法２００のステップ２０６で生成された対応する２次キーを指すＳＰＩを選択する。次いで、選択されたＳＰＩがＨＡ１８０（関連ノード）に伝えられる。さらに、ＭＮ１１０は自身のアクセス層アイデンティティをＨＡ１８０に知らせる。ＡＡＡサーバ１６０はＭＮ１１０のアクセス層アイデンティティを知っている点に留意されたい。典型的には、ＭＮ１１０のアクセス層アイデンティティは、適切なＡＡＡサーバ１６０を識別する情報も含む。

ステップ３１４で、ＨＡ１８０（関連ノード）が識別されたＡＡＡサーバ１６０とコンタクトをとって、ステップ３１２でＭＮ１１０によって選択されたＳＰＩに対応する２次キーを要求する。ステップ３１４は、プロキシサーバとコンタクトをとるステップをさらに含んでよく、次いでプロキシサーバはその要求を適切なＡＡＡサーバ１６０にルーティングする。

ステップ３１６で、ＡＡＡサーバ１６０はその要求を処理して、要求された２次キーをＨＡ１８０（関連ノード）に送信する。このステップは、２次キーを求める最初の要求をルーティングしたプロキシサーバを介して、要求された２次キーを戻すステップを含んでよい。ＡＡＡサーバ１６０およびプロキシサーバは、ＡＡＡサーバからプロキシサーバに２次キーを安全に転送するために、両者間に前から存在するＳＡを使用してもよく、新しいＳＡを作成してもよい。同様に、プロキシサーバおよびＨＡ１８０は、プロキシサーバからＨＡに２次キーを安全に転送するために、前から存在するＳＡを使用してもよく、新しいＳＡを作成してもよい。ＨＡ１８０とＡＡＡサーバ１６０／プロキシサーバとの間の交換のフォーマットは、標準フォーマットを含んでもよく、ベンダ独自の拡張を含んでもよい。

ステップ３１８で、２次キー受信について、ＨＡ１８０（関連ノード）がＭＮ１１０（クライアント）に確認を送信する。確認の後、ＭＮ１１０およびＨＡ１８０のそれぞれは、適切なキー交換プロトコル（たとえばＩＫＥ）の残りの部分を完了して、ＭＮとＨＡとの間の後続のトラフィックのためのキーを２次キーから導出する。この導出後、ＭＮ１１０およびＨＡ１８０は適切な共有秘密キーを所有し、それによって所望のＳＡを確立したことになる。ＭＮ１１０とＨＡ１８０との間のさらなるトラフィックは、このＳＡを使用して伝送される。

図４は、本発明の他の実施形態による、ＳＡをセットアップする方法４００を示している。方法４００は、Ｍｏｂｉｌｅ ＩＰｖ６（ＭＩＰｖ６）対応ネットワークのために設計されており、一般に適用可能な方法２００の代表的なプロトコル独自の実施形態と考えられる。ＭＩＰｖ６のもとで、モバイルクライアント（たとえばＭＮ１１０）は、訪問したネットワークのサブネットに基づいて、同じ場所に配置された気付アドレス（ＣｏＡ）を計算する。次いで、モバイルクライアントは、ホームエージェント（たとえばＨＡ１８０）からＩＰｖ６ホームアドレスを取得して、同時にホームエージェントでＣｏＡとホームアドレスとをバインドする。このバインディング手順は、モバイルノードとホームエージェントとの間に事前に確立されたＩＰＳｅｃトンネルを使用してセキュリティ保護されてよい。方法４００は、モバイルノードとホームエージェントとの間にＩＰＳｅｃセッションのための安全なセッションキーを確立するための、ブートストラッピング手順を提供する。

例示の目的のために、方法４００は、ネットワーク１００内のＭＮ１１０とＨＡ１８０との間にＳＡを作成することを参照して説明される（図１参照）。当業者は、方法４００は（ｉ）２つの他の適切なネットワークエンティティ間のＳＡの作成、および／または（ｉｉ）他のネットワークアーキテクチャに同様に適用可能であることを理解するだろう。対応する従来技術の方法と比較して、方法４００の諸利点および諸利益をよりよく説明するために、まずＭＮ１１０とＨＡ１８０との間にＳＡを作成する典型的な従来技術の方法の簡単な説明を行う。この説明に続いて、方法４００の詳細な説明を行う。

ＭＮ１１０とＨＡ１８０との間にＳＡを作成する典型的な従来技術の方法には２つのフェーズがある。フェーズ１で、ＭＮ１１０およびＨＡ１８０の相互認証を行う。このフェーズは、Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ（ＩＳＡＫＭＰ）として知られているＳＡを確立する。フェーズ２で、ＭＮ１１０とＨＡ１８０との間に所望のＩＰＳｅｃ ＳＡをセットアップする。

フェーズ１ネゴシエーションは、たとえば以下のように６つのメッセージで実行されうる。メッセージ１で、ＭＮ１１０は、クッキーおよびＭＮがサポートする暗号アルゴリズムのリストをＨＡ１８０に送信する。メッセージ２で、ＨＡ１８０は、自身のクッキーおよびＨＡがサポートする暗号アルゴリズムのリストで応答する。メッセージ３および４はＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ交換である。メッセージ５で、ＭＮ１１０は自身のアイデンティティをＨＡ１８０に示す。メッセージ６で、ＨＡ１８０が同様に自身のアイデンティティをＭＮ１１０に示す。

フェーズ２ネゴシエーションは、どちら側によっても開始されうる。例示の目的のために、ＭＮ１１０およびＨＡ１８０は、それぞれイニシエータおよびレスポンダと仮定される。フェーズ２のメッセージ１で、ＭＮ１１０は、（ｉ）フェーズ１の間に生成された１対のクッキー（以下ではＸと表される）、（ｉｉ）フェーズ２とフェーズ１を区別する３２ビット数（以下ではＹと表される）、（ｉｉｉ）提案された暗号パラメータ（ＰＣＰ）のリスト、（ｉｖ）ノンス、（ｖ）Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ値、および（ｖｉ）送信されるべきトラフィックの任意の記述を、ＨＡ１８０に送信する。メッセージ２で、ＨＡ１８０は（ｉ）Ｘ、（ｉｉ）Ｙ、（ｉｉｉ）容認された暗号パラメータのリスト（ＡＣＰ）、（ｉｖ）ＨＡのＳＰＩオーセンティケータ、（ｖ）それぞれのノンス、（ｖｉ）それぞれのＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ値、および（ｖｉｉ）送信されるべきトラフィックの任意の記述を、ＭＮ１１０に送信する。メッセージ３で、ＭＮ１１０は、（ｉ）Ｘ、（ｉｉ）Ｙ、および（ｉｉｉ）確認をＨＡ１８０に送信する。この時点で、ＭＮ１１０およびＨＡ１８０は所望のＳＡを確立したことになり、さらなるトラフィックはこのＳＡを使用して継続する。

次に図４を参照すると、ＭＮ１１０、ＨＡ１８０、およびＡＡＡサーバ１６０のそれぞれから下方に延びるそれぞれの縦軸が、増加する時間を表している。２つのそれぞれの時間線をつなぐ水平方向の矢印のそれぞれは、対応するノード間で伝送されたそれぞれのメッセージを表している。水平方向のボックス４０２は、一般に方法２００のステップ２０２に対応するアクセス層認証手順を表している。双方向矢印４２８は、所望のＳＡが確立された後の、ＭＮ１１０とＨＡ１８０との間のバインディングアップデート（ＢＵ）およびバインディング確認（ＢＡ）を搬送するトラフィックを表している。楕円形のそれぞれは、それぞれの方法ステップを表している。

手順４０２の間、ＡＡＡサーバ１６０はＭＮ１１０に完全な拡張認証手順（ＥＡＰ）を実行する。ＥＡＰは、たとえばＩＥＴＦ ＲＦＣ３７４８で説明されており、その教示を参照により本明細書に組み込む。相互に認証されたセキュリティアソシエーションを生成する、すなわちＭＳＫおよびＥＭＳＫを生成する特定のＥＡＰ方法は、ＲＦＣ４１８７（ＥＡＰ−ＡＫＡ）およびＲＦＣ２７１６（ＥＡＰ−ＴＬＳ）で説明された方法を含むが、これに限定されない。次いで、ＡＡＡサーバ１６０が、ＭＮ１１０がネットワークサービスを使用するためにセキュリティアソシエーションに入ることが認可されるかどうかを検査する。アクセス認証および認可が成功した後、ステップ４０４ａ〜ｂで、ＭＮ１１０およびＡＡＡサーバ１６０はＭＳＫおよびＥＭＳＫを計算する。ステップ４０６ａ〜ｂで、ＭＮ１１０およびＡＡＡサーバ１６０は、ＥＭＳＫをソースキー材料として使用して、本明細書でＭＩＰ＿ＩＫＥと表される追加キーを導出する。この追加キーは、ＭＩＰｖ６セキュリティのためのルートキーとして使用されることになる。さらに、ＭＮ１１０およびＡＡＡサーバ１６０は、対応するＳＰＩ（本明細書ではＳＰＩｍと表される）を導出する。ＳＰＩｍは、ＥＭＳＫかＥＭＳＫの方向微分係数のうちのどちらか１つをソースマテリアルとして使用して計算される。その結果、ＭＩＰ＿ＩＫＥおよびＳＰＩｍは、互いに暗号で隔離されながら、直接関連付けられる。ステップ４０４ａおよび４０６ａは、それぞれステップ４０４ｂおよび４０６ｂと並行して実行される点に留意されたい。ステップ４０４および４０６は一般に、それぞれ方法２００のステップ２０４および２０６と対応する。

メッセージ４１０、４１２、および４１６〜４２２、ならびにステップ４０８、４１４、４２４、および４２６は、ＩＫＥｖ２（ＩＫＥバージョン２）のための事前共有キーを取得することに向けられたブートストラッピング手順を表している。このブートストラッピング手順は、一般に方法２００のステップ２０８に対応する。

ステップ４０８で、ＭＮ１１０はＡＡＡサーバ１６０からＨＡ１８０のＩＰアドレスを取得し、また、訪問したネットワークゲートウェイからのアドバタイズメントに基づいて同じ場所に配置されたＣｏＡも計算する。同じ場所に配置されたＣｏＡは、ＭＮ１１０のネットワーク層アイデンティティである。ＨＡ１８０のＩＰアドレスは、ＨＡのアイデンティティの役割を果たす。

メッセージ４１０で、ＭＮ１１０はＨＡ１８０に以下の属性を送信する：ＨＤＲ、ＳＡｉ１、Ｋｅｉ、およびＮｉ。ＨＤＲは、（ｉ）ステップ４０２のＥＡＰ手順の結果、導出されたＳＰＩ、（ｉｉ）バージョン番号、および（ｉｉｉ）適切なフラッグを含む。特に、ＨＤＲは２つのＳＰＩフィールドを含む：（１）ＳＰＩｉと表される、イニシエータ（ＭＮ１１０）のＳＰＩ、および（２）ＳＰＩｒと表される、レスポンダ（ＨＡ１８０）のＳＰＩ。レスポンダでのＳＰＩｉの衝突を防ぐために、ＳＰＩｉフィールドは４オクテットのＳＰＩｍを含み、残りのフィールドはＭＮの同じ場所に配置されたＣｏＡで満たされる。メッセージ４１０内のＳＰＩｒフィールドはゼロで満たされる。ＳＡｉ１ペイロードは、イニシエータがＩＫＥＳＡのためにサポートする暗号アルゴリズムを提示する。ＫＥｉペイロードは、イニシエータのＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ値を含む。Ｎｉはイニシエータのノンスである。

メッセージ４１２で、ＨＡ１８０（レスポンダ）は以下の属性をＭＮ１１０（イニシエータ）に送り返す：ＨＤＲ、ＳＡｒ１、ＫＥｒ、およびＮｒ。ＨＡ１８０は、メッセージ４１０のＳＡｉ１ペイロードから暗号スイートを選択して、その選択をメッセージ４１２のＳＡｒ１ペイロード内で表す。メッセージ４１２のＫＥｒペイロードは、ＭＮ１１０とのＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ交換を完了する。Ｎｒはレスポンダのノンスである。メッセージ４１２のＨＤＲ内のＳＰＩｒフィールドは乱数値で満たされ、したがって、連結されたＳＰＩｉ|ＳＰＩｒの組合せの一意性を確実にする。

ステップ４１４ａ〜ｂで、ＭＮ１１０およびＨＡ１８０は、ＩＫＥ ＳＡのためのすべてのキーがそこから導出されるキーである、ＳＫＥＹＳＥＥＤを別々に生成する。ヘッダを除いて、メッセージ４１６および４２２のコンテンツは暗号化されて、完全性が保護される。暗号化および完全性保護のために使用されるキーはＳＫＥＹＳＥＥＤから導出されて、ＳＫ＿ｅ（暗号化）およびＳＫ＿ａ（完全性保護として知られる認証）として知られる。ＳＫ＿ｅおよびＳＫ＿ａの別個のペアが、それぞれの方向ごとに計算される。メッセージ４１６および４２２のコンテンツを指定するためにＳＫ｛ペイロード｝が使用する表記法は、そのペイロードがその方向のＳＫ＿ｅおよびＳＫ＿ａを使用して暗号化および完全性保護されていることを示す。ステップ４１４ａ−ｂで、ＳＫ＿ｅおよびＳＫ＿ａに加えて、他の量（ＳＫ＿ｄと表される）が導出されて、その後、子ＳＡのためのさらなるキーイング材料の導出に使用される。

メッセージ４１６で、ＭＮ１１０がＨＡ１８０に以下の属性を送信する：ＨＤＲおよびＳＫ｛ＩＤｉ、ＡＵＴＨ、ＳＡｉ２、ＴＳｉ、ＴＳｒ｝。ＨＤＲパラメータは、たとえばＲＦＣ４３０６のセクション３．１で説明されており、その教示を参照により本明細書に組み込む。ＩＤｉペイロードは、登録されるべきＭＮのネットワークアクセス識別子（ＮＡＩ）を含む。ＡＵＴＨペイロードは、ＩＤｉに対応する秘密の知識を証明するために、およびメッセージ４１６のコンテンツの完全性保護のために使用される。ＡＵＴＨペイロードは、ステップ４０６で生成されたキーＭＩＰ＿ＩＫＥで署名される。ＳＡｉ２ペイロードは、子ＳＡのネゴシエーションを開始するために使用される。ＴＳｉおよびＴＳｒは、それぞれイニシエータおよびレスポンダに対応するＩＰｓｅｃトラフィックのためのトラフィックセレクタである。

ＭＮ１１０からメッセージ４１６を受信すると、ＨＡ１８０はまずそのデータベースをＨＤＲフィールド内のＣｏＡおよびＳＰＩｉで調べる。データベース内に対応するキーが見つからない場合、ＨＡ１８０は、ＳＰＩｍおよびＭＮのＮＡＩを含むメッセージ４１８をＡＡＡサーバ１６０に送信して、キーＭＩＰ＿ＩＫＥを取得する。ＡＡＡサーバ１６０は、受信したＳＰＩｍおよびＮＡＩを使用して、ステップ４０６で生成されたＭＩＰ＿ＩＫＥを見つける。次いで、ＡＡＡサーバ１６０は、メッセージ４２０内でＭＩＰ＿ＩＫＥをＨＡ１８０に返す。ＭＩＰ＿ＩＫＥを受信すると、ＨＡ１８０はＡＵＴＨを検証できる。ＣｏＡおよびＳＰＩｉに対応するキーがデータベース内で見つかると、メッセージ４１８および４２０は送信されず、ＨＡ１８０は直接ＡＵＴＨを検証しようとすることに進む。

ＡＵＴＨの検証が成功した場合、次いでＨＡ１８０は、以下の属性を有するメッセージ４２２をＭＮ１１０に送信する：ＨＤＲおよびＳＫ｛ＩＤｒ、ＡＵＴＨ、ＳＡｒ２、ＴＳｉ、ＴＳｒ｝。ＨＤＲパラメータは、たとえばＲＦＣ４３０６のセクション３．１で説明されている。ＩＤｒペイロードはＨＡのアイデンティティをアサートする。ＡＵＴＨペイロードは、ＨＡのアイデンティティを認証して、メッセージ４２２の完全性を保護するために使用される。ＡＵＴＨペイロードは、ステップ４０６で生成されたキーＭＩＰ＿ＩＫＥで署名される。ＴＳｉおよびＴＳｒは、子ＳＡのネゴシエーションを完了するために使用される。ＡＵＴＨの検証に失敗した場合、子ＳＡの作成ができず、その手順は終了する。ブートストラッピングの失敗は、ブートストラップされたリンク層ＳＡの失敗を意味し、関連するエンティティのうちの少なくともの１つが、ブートストラップされた秘密の知識を偽造しており、他のエンティティとの安全な通信内にいるための正当な権限を有していないことを間接的に示すことがある。

ステップ４２４で、ＭＮ１１０はメッセージ４２２のＡＵＴＨペイロードを検証して、ＩＤｒペイロード内の名前はＡＵＴＨペイロードの生成に使用されたキーに対応するとアサートする。次に、ＭＮ１１０とＨＡ１８０の両方が、キーＳＫ＿ｄ（ステップ４１４参照）からＩＰＳｅｃセッションキーを導出することができ、それは、それぞれステップ４２６ａ〜ｂで行う。ＳＫ＿ｄを導出すると、ＭＮ１１０およびＨＡ１８０は所望の子ＳＡを確立したことになる。このＳＡはＭＮ１１０とＨＡ１８０との間の後続の通信、たとえばステップ４２８のＢＵ／ＢＡメッセージをセキュリティ保護するために使用される。

いくつかの従来技術の３ＧＰＰ２文書、たとえば、Ｘ．Ｓ００４７「Ｍｏｂｉｌｅ ＩＰｖ６ Ｅｎｈａｎｃｅｍｅｎｔ」、３ＧＰＰ２ ＴＳＧ−Ｓ ＷＧ−４寄稿「Ｓ４０−２００７０５１４−００７Ｒ１＿ＱＣＯＭ−ＫＤＤＩ−Ｓｔａｒｅｎｔ−ＮＥＣ−Ｆｕｔｊｉｓｕ−Ｈｉｔａｃｈｉ−ＣＴＣ＿ＷＬＡＮ＿ＩＷ＿ｆｏｒ＿２Ｇ＿Ｒ−ＵＩＭ．ｄｏｃ」は、フェーズ１とフェーズ２との間で、ＩＫＥｖ．２手順内でＥＡＰプロトコルを実行することを要求する方法を説明している。この実行されたＥＡＰ（特にＥＡＰ−ＡＫＡ）はＭＳＫキーを生成し、子ＳＡを作成するためのＩＫＥｖ．２フェーズ２によって使用される。このような推奨された方法は、ＩＫＥｖ２フェーズ１が開始する前にすでに実行されたＥＡＰ手順を事実上繰り返して、余計な混乱および少なくとも６つの余分なメッセージを処理に追加する。従来技術より有利なことに、方法４００の代表的な実施形態は、このような繰り返しをすることなくアクセス層ＳＡからすでに入手可能なＥＭＳＫベースのキーイング材料を利用する。

一実施形態では、Ｐｒｏｘｙ Ｍｏｂｉｌｅ ＩＰｖ６の手順のために、アクセス層ＳＡおよびＩＰＳｅｃＳＡをブートストラップするために方法４００が使用されうる。たとえば、ＭＮ１１０のために、アクセスノード（たとえばＢＴＳ１２０またはＰＤＳＮ１４０）でプロキシモバイルノード（Ｐ−ＭＮ）が確立されうる。次いで、有利なことにネットワーク内にあるＰ−ＭＮが、ＭＮ１１０の代わりにＭＩＰｖ６移動性管理手順を実行できる。この状況では、リンク認証およびアクセスノードへのＭＳＫの分散に加えて、ＡＡＡサーバ１６０は、Ｐ−ＭＮが方法４００のブートストラッピング手順を実行できるようにするために、導出されたキー（ＭＩＰ＿ＩＫＥ）をＰ−ＭＮに配信もする。

他の実施形態では、ＭＮ１１０は導出されたキー（ＭＩＰ＿ＩＫＥ）および対応するセキュリティパラメータインデックス（ＳＰＩｍ）を使用して、ネットワーク層ＳＡ、またはトランスポート層ＳＡと、非ＩＭＳアプリケーションのためのプロキシセッション開始プロトコル（ＳＩＰ）登録サーバとのブートストラップを確立でき、ここではＩＭＳは、３ＧＰＰの標準ファミリ（たとえば、３ＧＰＰ２のためのマルチメディアドメインを参照）によって標準化された、ＩＰマルチメディアサブシステムとして知られるサービスアーキテクチャを指す。ＩＭＳがさまざまなＩＰサービスに呼およびセッション制御を提供するための一般的なフレームワークである一方で、ネットワークオペレータは非ＩＭＳサービスを含めることにも関心を持ち続けている。

例示的実施形態を参照して本発明を説明してきたが、この説明は限定的な意味で解釈されるべきものではない。以下の特許請求の範囲で表されるように、説明した実施形態のさまざまな変更形態、ならびに本発明に関連する分野の当業者に明らかな本発明の他の実施形態が、本発明の原理および範囲内にあると見なされる。

本発明は、これらの方法を実行するための方法および装置の形で実施されうる。本発明は、フロッピー（登録商標）ディスク、ＣＤ−ＲＯＭ、ハードドライブ、または他の何らかの機械可読の記憶メディアなどの、有形メディア内で実施されるプログラムコードの形でも実施することができ、それらの有形メディアでは、コンピュータまたはプロセッサなどの機械によってプログラムコードがロードされて実行されると、その機械は本発明を実行するための装置になる。本発明は、たとえば記憶メディア内に格納されたプログラムコード、機械によってロードおよび／または実行されたプログラムコード、あるいは電気配線またはケーブルを介して、光ファイバを通じて、または電磁放射を介してなど、何らかの伝送メディアまたはキャリアを介して伝送されたプログラムコードの形でも実施することができ、コンピュータなどの機械によってプログラムコードがロードされて実行されると、その機械は本発明を実行するための装置になる。汎用プロセッサに実装されると、プログラムコードセグメントはプロセッサを結合して、特定の論理回路を同様に作動する一意の装置を提供する。

本明細書で説明した例示的方法の諸ステップは、必ずしも説明した順序で実行される必要はないことが理解されるべきであり、このような方法の諸ステップの順序は単なる例示であることが理解されるべきである。同様に、本発明のさまざまな実施形態に一致する方法にこのような方法に追加の諸ステップが含まれてよく、特定の諸ステップが省略または結合されてよい。

以下の方法クレームにおける諸要素は、もしあれば、対応するラベリングとともに特定の順序で列挙されているが、クレームの列挙がそれらの諸要素のうちのいくつかまたはすべてを実装するための特定の順序を含意しない限り、それらの諸要素は必ずしもその特定の順序で実装されることに限定されることを意図しない。

本明細書における、「一実施形態」または「ある実施形態」への言及は、実施形態に関連して説明された特定の特徴、構成、または特性が、本発明の少なくとも１つの実施形態に含まれうることを意味する。明細書のさまざまな場所に出現する「一実施形態では」という語句は、必ずしもすべてが同じ実施形態を参照するものではなく、必ずしも他の実施形態と相互排他的な別々のまたは代替の実施形態でもない。同じことが「実装」という用語にも適用される。

また、この説明のために、「結合する」、「結合している」、「結合された」、「接続する」、「接続している」、または「接続された」という用語は、２つ以上の要素間でエネルギーが転送されうる、当技術分野で知られている、または後に開発されたどのような方法も指し、１つまたは複数の追加の諸要素の介在が、必要ではないが企図される。逆に、「直接結合された」、「直接接続された」などの用語は、このような追加の諸要素がないことを含意する。

Claims (10)

1. ネットワークの２つ以上のノード間に安全な通信を確立するための方法であって、
   クライアントとネットワークサーバとの間に第１セキュリティアソシエーション（ＳＡ）を確立するステップであって、第１ＳＡがアクセス層ＳＡであるステップと、
   クライアントおよびネットワークサーバのそれぞれで、第１ＳＡに対応するキーから２次キーを導出するステップと、
   第１ネットワークノードで、ネットワークサーバから２次キーを取得するステップと、
   ２次キーを使用して第１ネットワークノードと第２ネットワークノードとの間に第２ＳＡを確立するステップであって、第２ネットワークノードが２次キーを所有するステップとを含む、方法。
2. 第２ＳＡが、アクセス層より上位のスタック層に対応する、請求項１に記載の方法。
3. 第２ネットワークノードが、
   クライアントの代わりに構成されたプロキシノードと、
   第１ネットワークノードの代わりに構成されたプロキシノードと
   クライアントとのうちの１つである、請求項１に記載の方法。
4. ２次キーを導出するステップが、
   １次セッションキーを計算するステップであって、１次セッションキーが第１ＳＡに対応するステップと、
   １次セッションキーから２次キーを導出するステップと、
   １次セッションキーから２次キーに対応するセキュリティパラメータインデックス（ＳＰＩ）を導出するステップとを含み、
   取得するステップが、第１ネットワークノードで、
   クライアントから、クライアントのアイデンティティおよびＳＰＩを含む第１メッセージを受信するステップと、
   （ｉ）クライアントのアイデンティティおよびＳＰＩを含み、（ｉｉ）ネットワークサーバに２次キーを要求する、第２メッセージをネットワークサーバに送信するステップと、
   ２次キーを含む第３メッセージをネットワークサーバから受信するステップとを含み、
   第２ＳＡを確立するステップが、第２ＳＡのための１つまたは複数のセッションキーを導出するために、クライアントと第１ネットワークノードとの間でキー交換プロトコルを実行するステップを含み、２次キーが前記１つまたは複数のセッションキーの導出のためのルートキーの役割を果たす、請求項１に記載の方法。
5. 第２ＳＡを確立するステップが、
   ２次キーを使用して互いに認証する第１および第２ネットワークノードを含む、請求項１に記載の方法。
6. 第２ＳＡを確立するステップが、
   第２ＳＡのための１つまたは複数のセッションキーを導出するために、第１ネットワークノードと第２ネットワークノードとの間でキー交換プロトコルを実行するステップをさらに含み、２次キーが前記１つまたは複数のセッションキーの導出のためのルートキーの役割を果たす、請求項５に記載の方法。
7. モバイルインターネットプロトコルを実行するために第２ＳＡが確立され、
   第１ＳＡを確立するステップが、ネットワークサーバで、クライアントと完全な拡張認証手順（ＥＡＰ）を実行するステップを含み、
   ２次キーを導出するステップが、
   第１ＳＡに対応する拡張マスタセッションキー（ＥＭＳＫ）を計算するステップと、
   ＥＭＳＫから２次キーを導出するステップと、
   ＥＭＳＫから２次キーに対応するセキュリティパラメータインデックス（ＳＰＩ）を導出するステップとを含み、
   方法が、クライアントで、
   第１ネットワークノードのＩＰアドレスをネットワークサーバから取得するステップであって、前記ＩＰアドレスが第１ネットワークノードのためのネットワーク層アイデンティティの役割を果たすステップと、
   クライアントのネットワーク層アイデンティティの役割を果たす同じ場所に配置された気付アドレス（ＣｏＡ）を計算するステップとをさらに含み、
   ２次キーを取得するステップが、第１ネットワークノードで、
   クライアントによって選択されたＳＰＩポインタ、ＣｏＡ、クライアントによってサポートされる暗号アルゴリズムを指定するペイロード、および第１ノンスを含む、第１メッセージをクライアントから受信するステップと、
   暗号アルゴリズムおよびＳＰＩポインタのサブセットを指定するペイロードを含む第２メッセージをクライアントに送信するステップであって、ＳＰＩがクライアントによって選択されたＳＰＩポインタの連結と第１ネットワークノードによって選択された乱数とを含むステップと、
   クライアントと第１ネットワークノードとの間のさらなるネゴシエーションメッセージの暗号化および完全性保護のために第１の複数のキーを生成するステップであって、前記ネゴシエーションが第２ＳＡの確立を目的とするステップと、
   前記ネゴシエーションメッセージのうちの１つであり、クライアントのネットワークアクセス識別子（ＮＡＩ）、ＮＡＩに対応する秘密の知識の証明、および１つまたは複数のトラフィックセレクタを含む第３メッセージを、クライアントから受信するステップと、
   （ｉ）ＳＰＩおよびＮＡＩを含み、（ｉｉ）ネットワークサーバに２次キーを要求する第４メッセージを、ネットワークサーバに送信するステップと、
   ２次キーを含む第５メッセージをネットワークサーバから受信するステップと、
   ネットワークサーバからの２次キー受信確認を含む第６メッセージをクライアントに送信するステップと、
   第２ＳＡのための１つまたは複数のセッションキーを導出するステップであって、２次キーが前記１つまたは複数のセッションキーの導出のためのルートキーの役割を果たすステップとを含む、請求項１に記載の方法。
8. 第１ネットワークノードが第１ＳＡに対応する前記キーを有さない、請求項１に記載の方法。
9. ネットワークのノードであって、該ネットワークが
   クライアントと、
   ネットワークサーバとを含み、
   クライアントおよびネットワークサーバが、第１セキュリティアソシエーション（ＳＡ）を確立するように構成され、第１ＳＡがアクセス層ＳＡであり、
   クライアントおよびネットワークサーバのそれぞれが、第１ＳＡに対応するキーから２次キーを導出するように構成され、ネットワークがさらに、
   ネットワークサーバから２次キーを取得するように構成された第１ネットワークノードを含み、第１ネットワークノードおよび第２ネットワークノードが２次キーを使用して第２ＳＡを確立するように構成され、
   第２ネットワークノードが２次キーを所有し、
   ノードが、クライアント、ネットワークサーバ、第１ネットワークノード、および第２ネットワークノードのうちの１つである、ネットワークのノード。
10. クライアントと、
    ネットワークサーバとを含むネットワークであって、
    クライアントおよびネットワークサーバが、第１セキュリティアソシエーション（ＳＡ）を確立するように構成され、第１ＳＡがアクセス層ＳＡであり、
    クライアントおよびネットワークサーバのそれぞれが、第１ＳＡに対応するキーから２次キーを導出するように構成され、ネットワークがさらに、
    ネットワークサーバから２次キーを取得するように構成された第１ネットワークノードを含み、第１ネットワークノードおよび第２ネットワークノードが２次キーを使用して第２ＳＡを確立するように構成され、第２ネットワークノードが２次キーを所有する、ネットワーク。

Images