JP2011524675A

JP2011524675A - セキュリティアソシエーションに関連した多数の接続パケットを連結し、暗号化オーバーヘッドを減少させるシステム及び方法

Info

Publication number: JP2011524675A
Application number: JP2011512380A
Authority: JP
Inventors: アギワル・アニル
Original assignee: Samsung Electronics Co Ltd
Current assignee: Samsung Electronics Co Ltd
Priority date: 2008-06-03
Filing date: 2009-06-03
Publication date: 2011-09-01
Anticipated expiration: 2029-06-03
Also published as: US9906627B2; KR20110040753A; WO2009148263A3; CN102057615B; JP5527906B2; CN102057615A; EP2283603A2; EP2283603A4; WO2009148263A2; US20110145561A1; EP2283603B1; KR101570039B1

Abstract

暗号化のための方法は、多数のソース接続からデータペイロードの受信に応答して、前記データペイロードと一致する一つ以上のセキュリティアソシエーションを検出する過程と、各々のデータペイロードは、各々のソース接続からの一つ以上のデータパケットであり、各々のセキュリティアソシエーションと一致するデータペイロードを連結する過程と、各々のセキュリティアソシエーションのために、前記連結されたデータペイロードを暗号化する過程とを含む。また、暗号化のためのシステムは、多数のソース接続からデータペイロードの受信に応答して、前記データペイロードと一致する一つ以上のセキュリティアソシエーションを検出し、そして各々のセキュリティアソシエーションと一致するデータペイロードを連結する決定モジュールと、各々のセキュリティアソシエーションのために前記連結されたデータペイロードを暗号化する暗号化モジュールを備える。

Description

本発明は、一般に電子データ通信に関し、特に、本発明は、暗号化のための方法及びシステムに関する。

現在シナリオにおいて、広帯域無線ネットワークは、インターネットプロトコルを介して音声のような広範囲なデータ通信サービスをユーザに提供する。前記データ通信サービスは、無線ネットワークを介してパケットデータ技術を使用するデータ送信を伴う。一般に、無線ネットワークを介して送信されたデータパケットは、ユーザのプライバシーを保護し、安全なデータ通信を提供するために、暗号化（ｅｎｃｒｙｐｔｉｏｎ）される。暗号化は、加入者端末から基地局への接続を介して伝達される、そして前記基地局から前記加入者端末への接続を介して伝達される各データペイロードに暗号変換（ｃｒｙｐｔｏｇｒａｐｈｉｃｔｒａｎｓｆｏｒｍｓ）が適用されて行われる。その上、前記データの暗号化は、各々のデータペイロードに追加的なヘッダフィールドを加える過程が伴われる。しかしながら、独立的に多数の接続から発信される多数データペイロードを暗号化するオーバーヘッドは、前記加入者端末と前記基地局でネットワーク帯域幅の利用（ｕｔｉｌｉｚａｔｉｏｎｏｆｎｅｔｗｏｒｋｂａｎｄｗｉｄｔｈ）、処理時間（ｐｒｏｃｅｓｓｉｎｇｔｉｍｅ）、及びエネルギー資源の消費（ｃｏｎｓｕｍｐｔｉｏｎｏｆｅｎｅｒｇｙｒｅｓｏｕｒｃｅｓ）を増加させる。さらに、各々の接続から発信される各々のデータペイロードにヘッダフィールドを生成して追加する過程は、オーバーヘッドを増加させる。

上述のように、前記オーバーヘッドを最小化して多数接続から発信されるデータペイロードを暗号化する方法及びシステムが必要である。

韓国特許第１０−０６１２２５５号公報韓国特許出願公開第１０−２００４−０１０２６２４号公報韓国特許第１０−０４７９３４５号公報韓国特許第１０−０３８３６０９号公報

本発明の目的は、暗号化のための方法及びシステムを提供することにある。

本発明の他の目的は、前記オーバーヘッドを最小化する多数接続から発信されるデータペイロードを暗号化する方法及びシステムを提供することにある。

暗号化のための方法の実施の形態は、多数のソース接続からデータペイロードの受信に応答して、前記データペイロードと一致する一つ以上のセキュリティアソシエーション（ｓｅｃｕｒｉｔｙａｓｓｏｃｉａｔｉｏｎ）を検出する過程を含む。前記方法は、また各々各々のセキュリティアソシエーションと一致するデータペイロードを連結する過程を含む。その上、前記方法は、各々のセキュリティアソシエーションのために、前記連結されたデータペイロードを暗号化する過程とを含む。

暗号化のためのシステムの実施の形態は、多数のソース接続からデータペイロードの受信に応答して、前記データペイロードと一致する一つ以上のセキュリティアソシエーション（ｓｅｃｕｒｉｔｙａｓｓｏｃｉａｔｉｏｎ）を検出し、そして各々のセキュリティアソシエーションと一致するデータペイロードを連結する決定モジュールを備える。なお、各々のセキュリティアソシエーションのために前記連結されたデータペイロードを暗号化する暗号化モジュールを備える。

電子装置の実施の形態は、プロトコルデータユニット（ＰｒｏｔｏｃｏｌＤａｔａＵｎｉｔ：ＰＤＵ）を含むデータパケットを送受信する通信インタフェースを含む。また、前記電子装置は、情報を格納するメモリを含む。なお、前記電子装置は、多数のソース接続からデータペイロードの受信に応答して、前記データペイロードと一致する一つ以上のセキュリティアソシエーション（ｓｅｃｕｒｉｔｙａｓｓｏｃｉａｔｉｏｎ）を検出するために、前記情報に反応するプロセッサを含む。また、前記プロセッサは、各々のセキュリティアソシエーションと一致するデータペイロードを連結し、各々のセキュリティアソシエーションのために前記連結されたデータペイロードを暗号化する。

添付の図面、類似の参照番号は、同一の又は機能的に類似の構成要素を言及する。この参照番号は、多様な具体的実施の形態を示し、そして本発明の多様な目的及び長所を説明するために詳細な説明に用いられる。

図１は、多様な実施の形態が具体化されうるシステム環境のブロックダイアグラムである。図２は、具体化による電子装置のブロックダイアグラムである。図３は、加入者端末及び基地局においてＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）階層を示している。図４は、具体化による暗号化のためのフロー図（ｆｌｏｗｄｉａｇｒａｍ）である。図５は、具体化による二つのソース接続から連結されて暗号化されたデータペイロードを含むプロトコルデータユニット（ＰｒｏｔｏｃｏｌＤａｔａＵｎｉｔ：ＰＤＵ）に対するＭＡＣヘッダの生成を示している。図６は、一つの具体化による類似のセキュリティアソシエーションと多数のソース接続からデータペイロードのために生成されたＭＡＣＰＤＵｓを示している。図７は、一つの具体化による多数セキュリティアソシエーションと関連した多数接続からデータペイロードのために作られたＭＡＣＰＤＵを示している。

当業者は、前記図内の前記構成要素が簡潔明瞭に示されていることを認知し、範囲を制限しないであろう。例えば、図においていくつかのの構成要素の範囲は、本発明の多様な実施の形態の理解を助けるために他の構成要素に関して誇張されることができる。

以下、本発明の好ましい実施の形態を添付した図面を参照して詳細に説明する。そして、本発明を説明するに当たって、関連した公知の機能又は構成についての具体的な説明が本発明の要旨を不明確にする恐れがあると判断される場合には、その詳細な説明を省略する。そして、後述する用語は、本発明での機能を考慮して定義された用語であり、これは、ユーザ、操作者の意図又は慣例などによって変わりうる。したがって、その定義は、本明細書全般にわたる内容に基づいて行わなければならない。

本発明の具体的な実施の形態は、暗号化のための方法及びシステムを提供する。

図１は、多様な実施の形態が具体化されうるシステム環境のブロックダイアグラムである。

前記システム環境１００は、送信部１０５、受信部１１０を備える。前記送信部１０５は、ネットワーク１１５を介して受信部１１０と通信する。前記ネットワーク１０５の一例として、ＷｉＭａｘ（ＷｏｒｌｄｗｉｄｅＩｎｔｅｒｏｐｅｒａｂｉｌｉｔｙｆｏｒＭｉｃｒｏｗａｖｅＡｃｃｅｓｓ）ネットワーク、近距離通信網（ＬＡＮ）、ＷＡＮ（ＷｉｄｅＡｒｅａＮｅｔｗｏｒｋ）、ブルートゥースネットワーク、ＩＭＳ（ＩｎｔｅｒｎｅｔｐｒｏｔｏｃｏｌＭｕｌｔｉｍｅｄｉａＳｕｂｓｙｓｔｅｍ）ネットワーク、赤外線ネットワーク、ジグビー（ｚｉｇｂｅｅ）ネットワーク、無線ＬＡＮ（ＷＬＡＮ）、又はＩＥＥＥ（ＩｎｓｔｉｔｕｔｅｏｆＥｌｅｃｔｒｉｃａｌａｎｄＥｌｅｃｔｒｏｎｉｃｓＥｎｇｉｎｅｅｒｓ）協会により明示された他の無線ネットワークを含むが、本発明において制限されない。

送信部１０５は、多数のソース接続からデータペイロードに一致するセキュリティアソシエーションを決定する決定モジュール１２０を備える。各々のデータペイロードは、各々のソース接続から一つ以上のデータパケットを含む。前記セキュリティアソシエーションは、ネットワーク１１５に安全な通信を支援するために、前記送信部１０５と前記受信部１１０との間に共有されたセキュリティ情報（ｓｅｃｕｒｉｔｙｉｎｆｏｒｍａｔｉｏｎ）のセットである。その上、前記決定モジュール１２０は、各々のセキュリティアソシエーションと一致する多数のソース接続から受信されたデータペイロードを連結する。前記送信部１０５もまた、各々のセキュリティアソシエーションのために連結された（ｃｏｎｃａｔｅｎａｔｅｄ）データペイロードを暗号化する暗号化モジュール１２５を含む。前記暗号化は、アルゴリズムを使用してデータの変形（ｔｒａｎｓｆｏｒｍａｔｉｏｎ）を伴う。その上、前記送信部１０５は、前記暗号化されたデータペイロードに対するプロトコルデータユニット（ＰＤＵ）を生成して、前記プロトコルデータユニット（ＰＤＵ）を送信する送信モジュール１３０を備える。

前記受信部１１０は、前記送信部１０５から受信したプロトコルデータユニットにおいて一つ以上のセキュリティアソシエーションを確認するための識別子モジュール１３５を備える。なお、前記識別子モジュール１３５は、一つ以上のセキュリティアソシエーションと関連した前記暗号化されたデータペイロードを確認し、前記暗号化されたデータペイロードを解読する（ｄｅｃｒｙｐｔ）ために、セキュリティ情報（ｓｅｃｕｒｉｔｙｉｎｆｏｒｍａｔｉｏｎ）を確認する。前記受信部１１０もまた、前記暗号化されたデータペイロードを解読し、各解読されたデータペイロードと接続した目的地（ｄｅｓｔｉｎａｔｉｏｎ）接続を確認するための暗号化解読モジュール１４０を備える。前記受信部１１０は、また、上記の目的地接続の確認を基盤に、目的地接続にペイロードを提供する。

具現化において、前記送信部１０５は、前記受信部１１０と関連したタスク（ｔａｓｋ）を行い、反対に前記受信部１１０は、前記送信部１０５と関連したタスク（ｔａｓｋ）を行うことができる。

多様な具体化において、前記送信部１０５は、加入者端末に該当できる。そして、前記受信部１１０は、基地局に該当できる。そして、反対に前記送信部１０５は、基地局に該当できる。そして、前記受信部１１０は、加入者端末に該当できる。前記加入者端末は、電子装置に該当できる。例えば、前記電子装置には、コンピュータ、ラップトップ、モバイル機器、携帯用移動機器（ｈａｎｄｈｅｌｄｄｅｖｉｃｅ）、携帯情報端末（ＰｅｒｓｏｎａｌＤｉｇｉｔａｌＡｓｓｉｓｔａｎｔ：ＰＤＡ）がある。

図２において構成要素を含む電子装置を詳細に説明する。
図２は、具体化による電子装置のブロックダイアグラムである。前記電子装置は、情報を通信するためのバス２０５、及び前記情報を処理するための前記バス２０５と接続したプロセッサ２１０を備える。また、前記電子装置は、前記プロセッサ２１０により要求された情報を格納するためのメモリ２１５、例えば、前記バス２０５と接続したＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）を含む。前記メモリ２１５は、前記プロセッサ２１０により要求された一時的な情報を格納するために用いられることができる。前記電子装置は、プロセッサ２１０により要求された固定された情報（ｓｔａｔｉｃｉｎｆｏｒｍａｔｉｏｎ）を格納するための前記バス２０５と接続したＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）２２０をさらに含む。前記サーバ記録装置２２５、例えば、磁気ディスク、ハードディスク、又は光ディスクは、情報を格納するために提供されて、前記バス２０５と接続されることができる。

前記電子装置は、情報をディスプレイするために、前記バス２０５を介してディスプレイ２３０（例：陰極線管（ＣａｔｈｏｄｅＲａｙＴｕｂｅ：ＣＲＴ）又は液晶表示装置（ＬｉｑｕｉｄＣｒｙｓｔａｌＤｉｓｐｌａｙ：ＬＣＤ）と接続されることができる。様々なキーを含む入力装置２３５は、前記プロセッサ２１０と情報を通信するために、前記バス２０５に接続される。具現において、前記プロセッサ２１０と情報を通信して前記ディスプレイ２３０においてカーソルを制御するためのカーソル制御機２４０（例えば、マウス、トラックボール、ジョイスチック又はカーソル方向キー）も存在できる。

具現化において、本発明の過程は、前記プロセッサ２１０を使用する前記電子装置により行われる。前記情報は、機械読み取り可能媒体（ｍａｃｈｉｎｅ−ｒｅａｄａｂｌｅｍｅｄｉｕｍ）（例えば、前記サーバ記録装置２２５から前記メモリ２１５に読み込まれる。他の具現において、ハードウェアに内蔵された回路は、多様な具現を実行するために、ソフトウェア命令を代えるか、又はソフトウェア命令と結合されて使用されることができる。

前記機械読み取り可能媒体の用語は、前記機械が特定機能を行うことを可能にするために、機械にデータを提供する媒体と定義される。前記機械読み取り可能媒体は、記録媒体（ｓｔｏｒａｇｅｍｅｄｉｕｍ）でありうる。前記記録媒体は、不揮発性媒体（ｎｏｎ−ｖｏｌａｔｉｌｅｍｅｄｉａ）と揮発性媒体（ｖｏｌａｔｉｌｅｍｅｄｉａ）を含むことができる。前記サーバ記録装置２２５は、不揮発性媒体でありうる。前記メモリ２１５は、揮発性媒体でありうる。そういうすべての媒体が、前記媒体によって伝達される命令（ｉｎｓｔｒｕｃｔｉｏｎｓ）が物理的メカニズムによって検出されることを可能にするために明白にならなければならない。

前記機械読み取り可能媒体の一例として、フロッピー（登録商標）ディスク、フレキシブルディスク（ｆｌｅｘｉｂｌｅｄｉｓｋ）、ハードディスク、磁気テープ（ｍａｇｎｅｔｉｃｔａｐ）、ＣＤ−ＲＯＭ、光ディスク、穿孔カード（ｐｕｎｃｈｃａｒｄｓ）、紙テープ（ｐａｐｅｒｔａｐｅ）、ＲＡＭ、ＰＲＯＭ、ＥＰＲＯＭ、そしてＦＬＡＳＨ−ＥＰＲＯＭを含むが、これに制限されるものではない。

前記機械読み取り可能媒体はまたリンクオンラインリンク、ダウンロードリンク、及び前記プロセッサ２１０に情報を提供するインストールリンク（ｉｎｓｔａｌｌａｔｉｏｎｌｉｎｋｓ）を含むことができる。

また、前記電子装置は、データ通信を可能にするために、前記バス２０５に接続した通信インタフェース２４５を備える。前記通信インタフェース２４５の一例として、ＩＳＤＮ（ＩｎｔｅｇｒａｔｅｄＳｅｒｖｉｃｅｓＤｉｇｉｔａｌＮｅｔｗｏｒｋ）カード、モデム、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）カード、赤外線ポート、ブルートゥースポート、ジグビーポート、及び無線ポートを含むが、これに制限されるものではない。

具現化において、前記プロセッサ２１０は、前記プロセッサ２１０の一つ以上の機能を行うための一つ以上の処理装置を備えることができる。前記処理装置は、特定の機能を行うハードウェア回路である。

一つ以上の機能は、多数のソース接続からデータペイロードの受信に応答して、前記データペイロードに該当する一つ以上のセキュリティアソシエーションを検出する機能、各々のセキュリティアソシエーションに一致するデータペイロードを連結する機能と、及び前記連結した各々のセキュリティアソシエーションに対するデータペイロードを暗号化する機能を含む。例えば、前記ソース接続は、前記ネットワーク１１５と電子通信を行う前記プロセッサによって行われた、ソフトウェアアプリケーション（例えば、インターネットブラウザー、ＦＴＰ（ｆｉｌｅｔｒａｎｓｆｅｒｐｒｏｔｏｃｏｌ）、及びＶＯＩＰ（ｖｏｉｃｅｏｖｅｒｉｎｔｅｒｎｅｔｐｒｏｔｏｃｏｌ））に該当できる。また、一つ以上の機能は、暗号化されたデータペイロードに対するプロトコルデータユニット（ＰＤＵ）を生成する機能と前記プロトコルデータユニット（ＰＤＵ）を送信する機能とを含む。

具現において、前記電子装置はまた受信部１１０と一致することができる。前記受信部１１０として動作する前記電子装置のプロセッサの機能は、前記送信部１０５として機能する前記基地局から受信された前記プロトコルデータユニット（ＰＤＵ）において一つ以上のセキュリティアソシエーションを確認する機能を含むことができる。また、前記プロセッサの機能は、一つ以上のセキュリティアソシエーションと関連した暗号化されたデータペイロードを確認し、そして前記暗号化されたデータペイロードを解読するために、セキュリティ情報（ｓｅｃｕｒｉｔｙｉｎｆｏｒｍａｔｉｏｎ）を確認する機能を含む。その上、前記プロセッサの機能は、解読（ｄｅｃｒｙｐｔｉｎｇ）を含むことができる。前記セキュリティ情報を使用して前記暗号化されたデータペイロードを解読する機能と各解読されたデータペイロードと接続した目的地接続を確認する機能とを含む。前記プロセッサの機能はまた上記の目的地接続を確認して、上記の目的地接続に各々解読されたデータペイロードを提供することを含むことができる。

図３は、加入者端末（ＳｕｂｓｃｒｉｂｅｒＳｔａｔｉｏｎ：ＳＳ）及び基地局（ＢａｓｅＳｔａｔｉｏｎ：ＢＳ）においてＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）階層を示している。

前記ＭＡＣ階層３０５は、３個の副階層（ｓｕｂｌａｙｅｒｓ）、例えば、サービス関連収斂副階層（ｓｅｒｖｉｃｅｓｐｅｃｉｆｉｃＣｏｎｖｅｒｇｅｎｃｅＳｕｂｌａｙｅｒ（ＣＳ））３１０、ＭＡＣ共同部分副階層（ＭＡＣｃｏｍｍｏｎｐａｒｔｓｕｂｌａｙｅｒ：ＭＡＣＣＰＳ）３１５、そしてセキュリティ副階層（ｓｅｃｕｒｉｔｙｓｕｂｌａｙｅｒ）３２０を備える。

前記ＣＳ３１０は、ＣＳＳＡＰ（ＳｅｒｖｉｃｅＡｃｃｅｓｓＰｏｉｎｔ）３２５を介して受信された外部ネットワークデータの変形（ｔｒａｎｓｆｏｒｍａｔｉｏｎ）またはマッピング（ｍａｐｐｉｎｇ）をＭＡＣサービスデータユニット（ＳｅｒｖｉｃｅＤａｔａＵｎｉｔ：ＳＤＵ）に提供する。前記変形とマッピングとは、前記ＭＡＣネットワークＳＤＵを分類し、指定されたＭＡＣ接続にＭＡＣＳＤＵを接続することを含む。

前記ＭＡＣＣＰＳ３１５は、システムアクセスのコアＭＡＣ機能、帯域幅割り当て、接続設定（ｃｏｎｎｅｃｔｉｏｎｅｓｔａｂｌｉｓｈｍｅｎｔ）、そして接続維持（ｃｏｎｎｅｃｔｉｏｎｍａｉｎｔｅｎａｎｃｅ）を提供する。前記ＭＡＣＣＰＳ３１５は、前記ＭＡＣＳＡＰ３３０を介して前記ＣＳからデータを受信する。

データ、物理階層（ＰＨＹ）３３５制御、及び統計情報は、ＰＨＹＳＡＰ３４０を介して前記ＭＡＣＣＰＳ３１５とＰＨＹ３３５との間に伝達される。

また、ＭＡＣＣＰＳ３１５は、認証（ａｕｔｈｅｎｔｉｃａｔｉｏｎ）、セキュリティキー交換（ｓｅｃｕｒｅｋｅｙｅｘｃｈａｎｇｅ）、及び暗号化（ｅｎｃｒｙｐｔｉｏｎ）を提供する互いに異なるセキュリティ副階層３２０を備える。前記セキュリティ副階層３２０は、セキュリティアソシエーション（ｓｅｃｕｒｉｔｙａｓｓｏｃｉａｔｉｏｎｓ）を使用して支援されるセキュリティアルゴリズム集合（ａｓｅｔｏｆｓｕｐｐｏｒｔｅｄｃｒｙｐｔｏｇｒａｐｈｉｃｓｕｉｔｅｓ）を定義する。前記セキュリティアソシエーション（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ：ＳＡ）は、前記加入者端末と前記基地局とがネットワーク（例：ＩＥＥＥ８０２．１６ｅネットワーク）で安全な通信を支援するために共有する、セキュリティ情報（ｓｅｃｕｒｉｔｙｉｎｆｏｒｍａｔｉｏｎ）の集合である。

各々のＭＡＣ接続は、ＳＡと関連される。多数のＭＡＣ接続は、同じＳＡと関連されることができる。さらに、各々のＳＡと一致する多数ＭＡＣ接続は、前記加入者端末と前記基地局との間に同時に存在できる。

図４は、具体化による暗号化のためのフロー図（ｆｌｏｗｄｉａｇｒａｍ）である。

多数のソース接続からデータペイロードは受信される。各々のソース接続は、セキュリティアソシエーション（ＳＡ）と関連（ａｓｓｏｃｉａｔｅ）される。前記ＳＡは、前記ネットワークにおいて二つのデータ通信ポイントの間に共有されたセキュリティ情報集合である。前記共有情報は、セキュリティアルゴリズム集合（ｃｒｙｐｔｏｇｒａｐｈｉｃｓｕｉｔｅ）、暗号化キー、そして初期化ベクトル（ｉｎｉｔｉａｌｉｚａｔｉｏｎｖｅｃｔｏｒｓ）を含むが、これに制限されるものではない。多数のソース接続は、一つ以上のＳＡと関連されることができる。

前記方法は、ステップ４０５から始める。

ステップ４１０にて、前記データペイロードと関連した一つ以上のＳＡは、前記多数ソースからデータペイロードの受信に応答して検出される。例えば、各々のデータペイロードは、各々のソース接続から一つ以上のデータパケット（例：サービス関連収斂副階層（ＣＳ）から受信された一つ以上のサービスデータユニット（ＳＤＵ））を含む。

例えば、ＷｉＭａｘネットワークシステムにおいて、仮に一つ以上のＭＡＣＳＤＵｓ又はＭＡＣＳＤＵ断片（ｆｒａｇｍｅｎｔｓ）がＭＡＣ階層のＭＡＣＣＰＳを介して４個のソース接続から受信されると、そのとき、各々のソース接続から受信されたデータペイロードのＳＡｓが検出される。４個の接続のうち、接続１と接続２とは、セキュリティアソシエーション（ＳＡ１）と関連されることに対し、４個の接続のうち、接続３と接続４とは、セキュリティアソシエーション（ＳＡ２）と関連される。接続１と接続２からの前記データペイロードと関連した前記セキュリティアソシエーション（ＳＡｓ）は、ＳＡ１として検出され。接続３と接続４からの前記データペイロードと関連した前記セキュリティアソシエーション（ＳＡｓ）は、ＳＡ２として検出される。

ステップ４１５にて、各々のセキュリティアソシエーションと一致する前記多数のソース接続からの前記データペイロードは連結（ｃｏｎｃａｔｅｎａｔｅ）される。

例えば、ＷｉＭａｘネットワークシステムにおいて、仮に、接続１及び接続２がセキュリティアソシエーション（ＳＡ１）と関連されると、ＭＡＣＣＰＳは、接続１及び接続２の一つ以上のＭＡＣＳＤＵｓ又はＭＡＣＳＤＵ断片フラグメントｓ）を含む前記データペイロードを連結する。前記連結されたデータペイロードは、一つのデータペイロードに該当し暗号化のためにセキュリティ副階層に送信する。同様に、仮に、接続３及び接続４がセキュリティアソシエーション（ＳＡ２）と関連されると、ＭＡＣＣＰＳは、ＳＡ２と関連された接続３及び接続４の前記データペイロードを連結する。

ステップ４２０にて、各々のセキュリティアソシエーションのために連結されたデータペイロードは、暗号化される。前記暗号化は、ｃｏｕｎｔｅｒｗｉｔｈｃｉｐｈｅｒｂｌｏｃｋｃｈａｉｎｉｎｇｍｅｓｓａｇｅａｕｔｈｅｎｔｉｃａｔｉｏｎｃｏｄｅ（ＣＣＭ）ｍｏｄｅ１２８ｂｉｔＡｄｖａｎｃｅｄＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ（ＡＥＳ）ｅｎｃｒｙｐｔｉｏｎ、そしてｃｏｕｎｔｅｒ（ＣＴＲ）ｍｏｄｅ１２８ｂｉｔＡＥＳｅｎｃｒｙｐｔｉｏｎを基盤に行われることができるが、これに制限されることではない。前記連結されたペイロードのためのセキュリティ情報が生成され、前記セキュリティ情報は、前記連結されたデータペイロードと関連される。前記セキュリティ情報は、パケット番号（ＰａｃｋｅｔＮｕｍｂｅｒ：ＰＮ）と無欠性検査値（ＩｎｔｅｇｒｉｔｙＣｈｅｃｋＶａｌｕｅ：ＩＣＶ）により特徴付けられる。前記ＰＮとＩＣＶとは、前記暗号化されたデータペイロードに追加される。前記ＰＮは、全て暗号化された前記連結されたデータペイロードのために生成される。前記ＰＮは、前記暗号化されたデータペイロードの前に添付され、前記ＩＣＶは、前記暗号化されたデータペイロードの後に添付される。

具現化において、前記暗号化されたデータペイロードと関連したプロトコルデータユニット（ＰＤＵ）は、各々のＳＡのために生成される。

ヘッダは、各々のＳＡと関連した前記プロトコルデータユニット（ＰＤＵ）のために生成される。前記ヘッダは、各々のソース接続と関連される接続識別子、前記データペイロードの長さ、そして各々のＳＡと関連されたセキュリティ情報を決定して生成される。

さらに他の具現において、前記プロトコルデータユニット（ＰＤＵ）は、少なくとも２個以上のＳＡのための前記暗号化されたデータペイロードのために生成される。前記ヘッダは、少なくとも２個以上のＳＡと関連した前記連結されたデータペイロードのために生成される。前記ヘッダは、接続識別子、前記データペイロードの長さ、及び少なくとも２個以上のＳＡと一致するセキュリティ情報を決定して生成される。

具現化において、前記プロトコルデータユニットのために生成されたデフォルトＧＭＨ（ＧｅｎｅｒｉｃＭＡＣＨｅａｄｅｒ）は、修正されたＧＭＨ（Ｍ＿ＧＭＨ）を形成するために修正される。前記Ｍ＿ＧＭＨは、各々のソース接続と関連した接続識別子、及び各々のＳＡと関連された前記暗号化されたデータペイロードに伝達される各ソース接続からのデータペイロードの長さを含むことができるが、これに制限されることではない。拡張されたセキュリティヘッダはまた生成されて前記プロトコルデータユニットに添付されることができる。前記拡張されたセキュリティヘッダは、前記連結されたデータペイロードと関連されたセキュリティ情報を含むことができるが、これに制限されるものではない。

前記連結されたデータペイロードの暗号化と前記暗号化されたデータペイロードのヘッダ生成は、プロセシングオーバーヘッド、資源利用、及び各ソース接続から前記データペイロードを暗号化するためにかかる時間を最小化する。

前記プロトコルデータユニット（ＰＤＵ）は、受信機に送信される。前記受信機は、前記プロトコルデータユニットで一つ以上のセキュリティアソシエーションを確認する。また、前記受信機は、一つ以上のセキュリティアソシエーションと関連した前記暗号化されたデータペイロードを確認する。その上、また前記暗号化されたデータペイロードを解読するために、前記セキュリティ情報を確認する。その上、前記受信機は、前記セキュリティ情報を使用して前記暗号化されたデータペイロードを解読し、各々の解読されたデータペイロードと関連された目的地接続を確認する。各々の解読されたデータペイロードは、目的地接続の識別を基盤に目的地接続に提供する。

ステップ４２５にて、本発明の手順を終了する。

図５は、具体化に応じる二つのソース接続から連結されて暗号化されたデータペイロードを含むプロトコルデータユニット（ＰｒｏｔｏｃｏｌＤａｔａＵｎｉｔ：ＰＤＵ）に対するＭＡＣヘッダの生成を示している。

前記ＭＡＣＰＤＵは、同じセキュリティアソシエーション（ＳＡ）と関連された二つのソース接続（接続１、接続２）から長さＸバイトと長さＹバイトのデータペイロードを連結して生成される。パケット番号（ＰＮ）と無欠性検査値（ＩＣＶ）とは、前記暗号化されたデータペイロードに追加される。前記ＰＮは、全て暗号化された前記連結されたデータペイロードのために生成される。前記ＰＮは、前記暗号化されたデータペイロードの前に添付され、そして前記ＩＣＶは、前記暗号化されたデータペイロードの後に添付される。一般に、前記ＰＮは、略８バイトで、前記ＩＣＶは、略４バイトである。前記ＭＡＣＰＤＵは、前記暗号化されたデータペイロードのために生成され、前記ＭＡＣヘッダは、前記ＭＡＣＰＤＵのために生成される。具現において、二つのソース接続に対するＭＡＣＰＤＵのために生成された前記ＭＡＣヘッダ（ＧＭＨ）は、次のような情報を含む：
● ＥＫＳ
● Ｌｅｎｇｔｈ（ＬｅｎｇｔｈｏｆＭＰＤＵ）＝ＬｅｎｇｔｈｏｆＭ＿ＧＭＨ＋Ｘ＋Ｙ＋１２＋ＣＲＣＬｅｎｇｔｈ
● ＣｏｎｎｅｃｔｉｏｎＩＥ１
○ ＬＡＳＴ＝０
○ Ｔｙｐｅ
○ ＣｏｎｎｅｃｔｉｏｎＩｄｅｎｔｉｆｉｅｒ＝ｃｏｎｎｅｃｔｉｏｎ１
○ Ｌｅｎｇｔｈ＝Ｘｂｙｔｅｓ
● ＣｏｎｎｅｃｔｉｏｎＩＥ２
○ ＬＡＳＴ＝１
○ Ｔｙｐｅ
○ ＣｏｎｎｅｃｔｉｏｎＩｄｅｎｔｉｆｉｅｒ＝ｃｏｎｎｅｃｔｉｏｎ２

前記ＭＡＣＰＤＵは、生成されたＭＡＣヘッダ（ＧＭＨ）及びＣＲＣを含む。前記ＧＭＨは、他の関連フィールドに加えて３個のペイロード特性フィールドを含む。前記３個のペイロード特性フィールドは、長さ（ｌｅｎｇｔｈ）、暗号化キーシーケンス（ＥｎｃｒｙｐｔｉｏｎＫｅｙＳｅｑｕｅｎｃｅ：ＥＫＳ）、及び接続情報要素（ＩＥ）である。長さフィールドは、ＭＡＣＰＤＵの長さを示す。前記長さは、コンピュータメモリユニットの用語で表現されることができる。前記ＭＡＣＰＤＵの長さは、前記連結され暗号化されたデータペイロードのために生成されたＭ＿ＧＭＨ（ｍｏｄｉｆｉｅｄｇｅｎｅｒｉｃＭＡＣｈｅａｄｅｒ）の長さ、接続１から長さＸバイト、接続２から長さＹバイト、ＰＮとＩＣＶに該当する追加１２バイト、及びＣＲＣの長さを含む。

前記ＥＫＳは、前記ペイロードを暗号化するために使用された暗号化キーのシーケンス番号を示す。前記接続ＩＥは、前記接続に関連した情報を含む。前記接続ＩＥは、４個の接続特性フィールド、ＬＡＳＴ、ｔｙｐｅ、接続識別子、及び長さを含む。前記ＬＡＳＴは、ＬＡＳＴと一致する「０」又は「１」値を有するシングルビットフィールドである。すなわち、「０」は、ソース接続が最後の接続ＩＥであることを示す。そして、「１」は、現在ソース接続の次に一つ以上のソース接続が存在するということを示す。タイプ（ｔｙｐｅ）フィールドは、前記接続識別子により確認された前記ソース接続のメッセージペイロード中にあるサブヘッダと特別なペイロードタイプを示す。前記接続識別子は、伝達されるデータのソース接続を確認する。前記長さフィールドは、データペイロードの長さに該当する。

前記ＧＭＨは、ＭＡＣＰＤＵを受信する前記受信機で分析される。前記受信機の安全副階層は、暗号解読（ｄｅｃｒｙｐｔｉｎｇ）をするために、「ＭＰＤＵの長さ−ＧＭＨの長さ−ＣＲＣの長さ」バイトを受信する。前記受信機で前記セキュリティ副階層は、前記プロトコルデータユニットを解読し、前記暗号化ヘッダＰＮとＩＣＶとを除去し、「ＭＰＤＵの長さ−ＧＭＨの長さ−ＣＲＣの長さ」バイトサイズの前記解読されたプロトコルデータユニットに伝達される前記データペイロードを目的地接続に提供する。

図６は、一つの具体化による類似のセキュリティアソシエーションと多数のソース接続からデータペイロードのために生成されたＭＡＣＰＤＵｓを示している。

例えば、「ｎ」異なるソース接続からのデータペイロードを考慮する。各々の「ｎ」異なるソース接続は、一つのＳＡと関連される。前記ＭＡＣＰＤＵｓは、同じセキュリティアソシエーション（ＳＡ）と関連されたソース接続からのデータペイロードを連結する（例：ＳＡ１に対したＭＡＣＰＤＵ（ＳＡ１）、ＳＡ２に対するＭＡＣＰＤＵ（ＳＡ２）、ＳＡｎに対したＭＡＣＰＤＵ（ＳＡｎ））。前記パケット番号（ＰＮ）と無欠性検査値（ＩＣＶ）とを含むセキュリティ情報は、データペイロードに追加される。前記ＰＮは、全て暗号化された前記連結されたデータペイロードのために生成される。前記ＰＮは、前記暗号化されたデータペイロードの前に追加され、そして前記ＩＣＶは、前記暗号化されたデータペイロードの後に追加される。代案として、拡張されたセキュリティヘッダ（ｅｘｔｅｎｄｅｄｓｅｃｕｒｉｔｙｈｅａｄｅｒ）も生成されて、前記ＭＡＣＰＤＵに追加されることができる。前記拡張されたセキュリティヘッダは、セキュリティ情報としてＰＮ、暗号化キーシーケンス（ＥＫＳ）、及び前記連結されたデータペイロードと関連されたＩＣＶを含むことができるが、これに制限されるものではない。なお、前記ＭＡＣＰＤＵは、多数暗号化されたデータペイロードのうち、各々の暗号化されたデータペイロードのために生成され、前記ＭＡＣヘッダは、各々の前記ＭＡＣＰＤＵのためにそれぞれ（ｓｅｐａｒａｔｅｌｙ）生成される。

なお、ＧＭＨと追加的な多重化拡張ヘッダ（ＭｕｌｔｉｐｌｅｘｉｎｇＥｘｔｅｎｄｅｄＨｅａｄｅｒ：ＭＥＨ）は、各々のＭＡＣＰＤＵのために生成される。前記ＧＭＨと前記ＭＥＨとは、前記ＭＡＣＰＤＵ内に連結されたデータペイロードを有するソース接続、及び各々のソース接続からの各々のデータペイロードの長さを共に確認する。各々のＳＡに該当するＭＡＣＰＤＵは、順次送信される。

図７は、一つの具体化による多数セキュリティアソシエーションと関連した多数接続からデータペイロードのために作られたＭＡＣＰＤＵを示している。

例えば、「ｎ」個の異なるソース接続からのデータペイロードを考慮する。「ｎ」個の異なるソース接続は、各々一つのＳＡと関連される。同じセキュリティアソシエーション（ＳＡ）と関連されたソース接続からのデータペイロードは連結されて暗号化される。各々のＳＡと一致する暗号化されたデータペイロードは連結される。例えば、ＳＡ１、ＳＡ２、及びＳＡｎに属するデータペイロードは、独立的に鎖のようにつながる。パケット番号（ＰＮ）と無欠性検査値（ＩＣＶ）とを含むセキュリティ情報は、各々のＳＡと一致する各々の連結されたデータペイロードに追加される。前記ＰＮは、全て暗号化された前記連結されたデータペイロードのために生成される。前記ＰＮは、前記暗号化されたデータペイロードの前に添付され、そしてＩＣＶは、前記暗号化されたデータペイロードの後に添付される。代案として、拡張されたセキュリティヘッダもまた生成されてＭＡＣＰＤＵに添付される。前記拡張されたセキュリティヘッダは、セキュリティ情報としてＰＮ、暗号化キーシーケンス（ＥＫＳ）、及び前記連結されたデータペイロードと関連したＩＣＶを含むことができるが、これに制限されるものではない。その上、ＳＡ１、ＳＡ２、及びＳＡｎに属する暗号化されたデータペイロードは、前記ＭＡＣＰＤＵを生成するために連結される。

なお、ＧＭＨと追加的な多重化拡張ヘッダ（ＭｕｌｔｉｐｌｅｘｉｎｇＥｘｔｅｎｄｅｄＨｅａｄｅｒ：ＭＥＨ）は、前記ＭＡＣＰＤＵのために生成される。前記ＧＭＨと前記ＭＥＨとは、各々のＳＡに一致する前記ＭＡＣＰＤＵ内に各暗号化されたデータペイロードに連結されたデータペイロードを有するソース接続を共に確認する。前記ＧＭＨと前記ＭＥＨとは、前記各々のＳＡに一致する前記暗号化されたデータペイロード内の各々のソース接続からの各データペイロードの長さを共に決定する。前記ＧＭＨと前記ＭＥＨとは、各々の暗号化されたデータペイロードに該当するソース接続情報を含む。前記ソース接続情報は、各々の暗号化されたデータペイロードの配列と同じ順序に整列される。例えば、第１暗号化データペイロードに該当する前記ソース接続情報は、第２暗号化データペイロードに該当する前記ソース接続情報より先んじる。

なお、各々の暗号化されたデータペイロードと一致する前記ソース接続情報は、各々のソース接続に該当するデータペイロード情報を含む。前記データペイロード情報は、暗号化されたデータペイロード内の各々のデータペイロードの配列と同じ順序に整列される。例えば、第１ソース接続に該当するデータペイロード情報は、第２ソース接続に該当するデータペイロード情報より先んじる。以後、前記ＭＡＣＰＤＵは、受信機に送信される。

上述したように、同じセキュリティアソシエーション（ＳＡ）のデータペイロードを連結して暗号化することで、プロセシングオーバーヘッド、資源利用、そして各ソース接続から前記データペイロードを暗号化するためにかかる時間を最小化しうるという利点がある。

一方、本発明の詳細な説明では具体的な実施の形態について説明したが、本発明の範囲から逸脱しない範囲内で多様な変形が可能であることは勿論である。したがって、本発明の範囲は、上述の実施の形態に限って決まらず、特許請求の範囲だけでなく、特許請求の範囲と均等なものによって決まらねばならない。

１００システム環境
１０５送信部
１１０受信部
１１５ネットワーク
１２０決定モジュール
１２５暗号化モジュール
１３０送信モジュール
１３５識別子モジュール
１４０暗号化解読モジュール

Claims

暗号化のための方法であって、
多数のソース接続からデータペイロードの受信に応答して、前記データペイロードと一致する一つ以上のセキュリティアソシエーション（ｓｅｃｕｒｉｔｙａｓｓｏｃｉａｔｉｏｎ）を検出する過程であって、各々のデータペイロードは、各々のソース接続からの一つ以上のデータパケットである過程と、
各々のセキュリティアソシエーションと一致するデータペイロードを連結する過程と、
各々のセキュリティアソシエーションのために、前記連結されたデータペイロードを暗号化する過程とを含むことを特徴とする方法。
前記連結されたデータペイロードのためにセキュリティ情報（ｓｅｃｕｒｉｔｙｉｎｆｏｒｍａｔｉｏｎ）を生成する過程と、
前記セキュリティ情報と前記連結されたデータペイロードとを結合（ｃｏｍｂｉｎｉｎｇ）させる過程とをさらに含むことを特徴とする請求項１に記載の方法。
各々のセキュリティアソシエーションのために暗号化されたデータペイロードに対するプロトコルデータユニット（ＰｒｏｔｏｃｏｌＤａｔａＵｎｉｔ：ＰＤＵ）を生成する過程と、
少なくとも二つ以上のセキュリティアソシエーションのために、前記暗号化されたデータペイロードに対するプロトコルデータユニットを生成する過程のうちの何れか一つを含むことを特徴とする請求項１に記載の方法。
前記各々のセキュリティアソシエーションのために暗号化されたデータペイロードに対するプロトコルデータユニット（ＰｒｏｔｏｃｏｌＤａｔａＵｎｉｔ：ＰＤＵ）を生成する過程は、
プロトコルデータユニットのためのヘッダを生成する過程であり、
前記少なくとも二つ以上のセキュリティアソシエーションのために、前記暗号化されたデータペイロードに対するプロトコルデータユニットを生成する過程は、
前記プロトコルデータユニットのためのヘッダを生成する過程であることを特徴とする請求項３に記載の方法。
前記プロトコルデータユニットのために生成されたＧＭＨ（ＧｅｎｅｒｉｃＭｅｄｉａａｃｃｅｓｓｃｏｎｔｒｏｌＨｅａｄｅｒ）と結合される前記ヘッダを生成する過程と、
前記ＧＭＨに前記ヘッダを添付する過程とをさらに含むことを特徴とする請求項４に記載の方法。
拡張されたセキュリティヘッダを生成する過程であって、前記拡張されたセキュリティヘッダは、前記連結されたデータペイロードと関連したセキュリティ情報を含む過程と、
前記プロトコルデータユニットに前記拡張されたセキュリティヘッダを添付する過程とをさらに含むことを特徴とする請求項４に記載の方法。
各々のセキュリティアソシエーションと一致するプロトコルデータユニットのためのヘッダを生成する過程は、
前記セキュリティアソシエーションと一致する各々のソース接続と関連した接続識別子を決定する過程と、
前記セキュリティアソシエーションと一致する各々のソース接続と関連したデータペイロードの長さを決定する過程と、
セキュリティ情報を決定する過程とをさらに含むことを特徴とする請求項４に記載の方法。
前記少なくとも二つ以上のセキュリティアソシエーションに該当するプロトコルデータユニットのためのヘッダを生成する過程は、
各々のセキュリティアソシエーションと一致する各々のソース接続と関連した接続識別子を決定する過程と、
各々のセキュリティアソシエーションと一致する各々のソース接続と関連した前記データペイロードの長さを決定する過程と、
セキュリティ情報を決定する過程とを含むことを特徴とする請求項４に記載の方法。
前記プロトコルデータユニットを送信する過程をさらに含むことを特徴とする請求項４に記載の方法。
一つ以上のセキュリティアソシエーションと一致する前記プロトコルデータユニットを受信する過程と、
前記プロトコルデータユニットと関連した一つ以上のセキュリティアソシエーションを確認する過程と、
前記一つ以上のセキュリティアソシエーションと関連した前記暗号化されたデータペイロードを確認する過程と、
前記暗号化されたデータペイロードを解読するために、セキュリティ情報（ｓｅｃｕｒｉｔｙｉｎｆｏｒｍａｔｉｏｎ）を確認する過程と、
前記セキュリティ情報を使用して、前記暗号化されたデータペイロードを解読する過程と、
各々の前記解読されたデータペイロードと関連した目的地接続を確認する過程とをさらに含むことを特徴とする請求項４に記載の方法。
上記の目的地接続の識別を基盤に、目的地接続にデータペイロードを提供する過程をさらに含むことを特徴とする請求項１０に記載の方法。
前記連結されたデータペイロードを暗号化する過程は、
資源利用、プロセシングオーバーヘッド、及び各ソース接続からのデータペイロードを暗号化する際にかかる時間を最小化することを特徴とする請求項１に記載の方法。
暗号化のためのシステムであって、
多数のソース接続からデータペイロードの受信に応答して、前記データペイロードと一致する一つ以上のセキュリティアソシエーション（ｓｅｃｕｒｉｔｙａｓｓｏｃｉａｔｉｏｎ）を検出し、そして各々のセキュリティアソシエーションと一致するデータペイロードを連結する決定モジュールと、各々のデータペイロードは、各々のソース接続からの一つ以上のデータパケットであり、
各々のセキュリティアソシエーションのために前記連結されたデータペイロードを暗号化する暗号化モジュールを備えることを特徴とするシステム。
前記暗号化されたデータペイロードに対するプロトコルデータユニット（ＰｒｏｔｏｃｏｌＤａｔａＵｎｉｔ：ＰＤＵ）を生成し、そして前記プロトコルデータユニットを送信する送信モジュールをさらに備えることを特徴とする請求項１３に記載のシステム。
前記プロトコルデータユニットに前記一つ以上のセキュリティアソシエーションを確認し、前記一つ以上のセキュリティアソシエーションと関連した前記暗号化されたデータペイロードを確認し、そして前記暗号化されたデータペイロードを解読するためにセキュリティ情報を確認する識別子モジュールをさらに備えることを特徴とする請求項１３に記載のシステム。
前記セキュリティ情報を使用して前記暗号化されたデータペイロードを解読し、そして各々の解読されたデータペイロードと関連した目的地接続を確認する暗号化モジュールをさらに備えることを特徴とする請求項１５に記載のシステム。
前記システムは、ＷｉＭａｘ（ｗｏｒｌｄｗｉｄｅｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙｆｏｒｍｉｃｒｏｗａｖｅａｃｃｅｓｓ）モデムであることを特徴とする請求項１３に記載のシステム。
電子装置であって、データパケットを送受信する通信インタフェースと、前記データパケットは、プロトコルデータユニット（ＰｒｏｔｏｃｏｌＤａｔａＵｎｉｔ：ＰＤＵ）で、
情報を格納するメモリと、
多数のソース接続からデータペイロードの受信に応答して、前記データペイロードと一致する一つ以上のセキュリティアソシエーション（ｓｅｃｕｒｉｔｙａｓｓｏｃｉａｔｉｏｎ）を検出するために、各々のデータペイロードは、各々のソース接続からの一つ以上のデータパケットで、各々のセキュリティアソシエーションと一致する前記データペイロードを連結し、各々のセキュリティアソシエーションのために前記連結されたデータペイロードを暗号化するために、前記情報に反応するプロセッサを含むことを特徴とする電子装置。
前記プロセッサは、
前記暗号化されたデータペイロードに対するプロトコルデータユニットを生成し、そして前記プロトコルデータユニットを送信することをさらに行うために、
前記情報に反応することを特徴とする請求項１８に記載の電子機器。
前記プロセッサは、
前記プロトコルデータユニットに一つ以上のセキュリティアソシエーションを確認し、前記一つ以上のセキュリティアソシエーションと関連した前記暗号化されたデータペイロードを確認し、前記暗号化されたデータペイロードを解読するために、セキュリティ情報を確認し、前記セキュリティ情報を使用して前記暗号化されたデータペイロード解読し、そして各々の解読されたデータペイロードと関連した目的地接続を確認することをさらに行うために、
前記情報に反応することを特徴とする請求項１９に記載の電子装置。