JP2012070426A - 移動通信システムにおける安全なデータ伝送のための方法および装置 - Google Patents

Abstract

【課題】移動通信システムにおける安全なデータ伝送のための方法および装置。
【解決手段】安全な伝送のための方法および装置。各ユーザは登録キーを与えられる。長期間更新された放送キーは、登録キーを使用して暗号化され、そして周期的にユーザに与えられる。短期間更新されたキーは放送キーを使用して暗号化され、そして周期的にユーザに与えられる。放送はそこで短期間キーを使用して暗号化され、ここでユーザは短期間キーを使用して放送メッセージを解読する。一つの実施例はリンクレイヤ内容暗号化を与える。他の実施例は、エンドツーエンド暗号化を与える。
【選択図】 図４

Description

関連出願

３５Ｕ．Ｓ．Ｃ．１２０による優先権主張
本特許出願は、部分的に継続であり、そして“データ処理システムにおける安全性のための方法および装置”と題された、２００１年８月２０日に出願され、そしてこれについて譲受人に譲渡され、そしてこの結果参照によってこの中に明確に組み込まれた特許出願09/933,972に対する優先権を主張する。

本発明は一般的にデータ処理システム、そしてとくにデータ処理システムにおける安全性（security）のための方法および装置に関する。

通信システムを含む、データ処理および情報システムにおける安全性は、他の必要とされる基準の過多(plethora)と同様に、責任、公正度、正確度、信頼度、操作性に寄与している。暗号化、あるいは一般的な暗号の分野は、電子的な商取引(electronic commerse)、無線通信、放送に使用され、そして応用に関する無限の範囲を有している。電子的な商取引においては、暗号化は詐欺を防止し、財務上の取引を確認するために使用される。データ処理システムにおいては、暗号化は関係者が本人であることを識別するために使用される。暗号化はまた、ハッキングを防止し、ウエブページを保護し、そして秘密の書類へのアクセスを防止するために使用される。

しばしば暗号システムとして参照される非対称な暗号化システムは、メッセージを暗号化し、そして解読するために同じキー（すなわち秘密キー）を使用する。ここで、非対称な暗号化システムは、メッセージを暗号化するために第１のキー（すなわち公開キー(public key)）を使用し、それを解読するために異なったキー（すなわち個人キー(private key)）を使用する。非対称な暗号化システムはまた公開キー暗号システムと呼ばれる。対称な暗号化システムは送出者から受信者への秘密キーの安全な準備においては問題がある。さらに、キーあるいは他の暗号化機構がしばしば更新される場合は問題が存在する。データ処理システムにおいては、安全にキーを更新する方法は、処理時間、メモリ容量、および他の処理オーバーヘッドを負担する。無線通信システムにおいては、キーを更新することは伝送のために使用される貴重な帯域幅を使用する。

従来の技術は、彼等が暗号化された放送にアクセスするために、移動局の大きなグループに対してキーを更新するための方法を与えていない。その結果、データ処理システムにおいてはキーを更新することに関する安全なそして効率的な方法に対するニーズが存在する。さらに、無線通信システムにおいては、キーを更新することに関する安全なそして効率的な方法に対するニーズが存在する。

この中に開示された実施例は、データ処理システムにおける安全のための方法を与えることによって上に示されたニーズに対処する。

一つの観点においては、安全な伝送のための方法は、伝送における関係者に固有の登録キーを決定し、第１のキーを決定し、第１のキーを登録キーを用いて暗号化し、第２のキーを決定し、第２のキーを第１のキーを用いて暗号化し、そして第１および第２のキーを更新することを含む。

他の観点においては、伝送の安全な受信のための方法は、伝送における関係者に固有の登録キーを受信し、第１のキーを受信し、第１のキーを登録キーを用いて解読し、第２のキーを受信し、第２のキーを第１のキーを用いて解読し、情報の放送ストリームを受信し、そして情報の放送ストリームを第２のキーを用いて解読することを含む。

さらに他の観点においては、放送サービスオプションをサポートする無線通信システムは、受信回路、放送メッセージを解読するための短期間キーを回復することが可能なユーザ識別ユニット、および放送メッセージを解読するために短期間キーを適用することに適合された移動装置ユニットをを含む基幹施設エレメントを有する。ユーザ識別ユニットはキー情報を解読することが可能な処理ユニット、および登録キーを保存するためのメモリ保存ユニットを含む。

図１Ａは、暗号システムに関する線図である。 図１Ｂは、対称暗号システムに関する線図である。 図１Ｃは、非対称暗号システムに関する線図である。 図１Ｄは、ＰＧＰ暗号化システムに関する線図である。 図１Ｅは、ＰＧＰ解読システムに関する線図である。 図２は、いくつかのユーザをサポートする、スペクトル拡散通信システムに関する線図である。 図３は、放送伝送をサポートする、通信システムに関するブロック線図である。 図４は、無線通信システムにおける移動局に関するブロック線図である。 図５は、放送アクセスを制御するために使用される移動局内におけるキーの更新を記述している模型である。 図６は、ＵＩＭ内における暗号動作を記述している模型である。 図７Ａ〜７Ｄは、放送伝送をサポートする無線通信システムにおいて、安全暗号化を実行する方法を示す。 図７Ａ〜７Ｄは、放送伝送をサポートする無線通信システムにおいて、安全暗号化を実行する方法を示す。 図７Ａ〜７Ｄは、放送伝送をサポートする無線通信システムにおいて、安全暗号化を実行する方法を示す。 図７Ａ〜７Ｄは、放送伝送をサポートする無線通信システムにおいて、安全暗号化を実行する方法を示す。 図７Ｅは、放送伝送をサポートする無線通信システムにおいて、安全オプションのキー更新期間に関するタイミング線図である。 図８Ａ〜８Ｄは、放送伝送をサポートする無線通信システムにおける、安全暗号化方法の応用を示す。 図８Ａ〜８Ｄは、放送伝送をサポートする無線通信システムにおける、安全暗号化方法の応用を示す。 図８Ａ〜８Ｄは、放送伝送をサポートする無線通信システムにおける、安全暗号化方法の応用を示す。 図８Ａ〜８Ｄは、放送伝送をサポートする無線通信システムにおける、安全暗号化方法の応用を示す。 図９は、放送伝送をサポートする無線通信システムにおける安全性を示している高レベルアーキテクチャ線図である。 図１０は、リンクレイヤ内容暗号化を使用している通信システムのブロック線図である。 図１１は、エンドツーエンド内容暗号化を使用している通信システムのブロック線図である。 図１２は、集中化されたＢＡＫ暗号化を使用している通信システムのブロック線図である。 図１３は、通信システムにおける、登録キー（ＲＫ）の準備を示すタイミング線図である。 図１４は、通信システムにおける、放送アクセスキー（ＢＡＫ）の加入サーバ（ＳＳ）暗号化を示すタイミング線図である。 図１５は、通信システムにおける、ローカルに暗号化されたＢＡＫを示すタイミング線図である。 図１６は、通信システムにおける、認証ベクトル（ＡＶ）を使用しての一時的なキー（ＴＫ）の発生を示すタイミング線図である。 図１７は、通信システムにおける、リンクレイヤ暗号化を示すタイミング線図である。 図１８は、放送およびマルチキャストサービスをサポートする通信システムである。 図１９は、内容サーバ（ＣＳ）によって実行された放送アクセスキー（ＢＡＫ）更新を示すタイミング線図である。 図２０は、サービスプロバイダ（ＳＰ）によって実行されたＢＡＫ更新を示すタイミング線図である。 図２１は、放送チャネル上に送出された情報を結合することによって、ＢＡＫから複数の解読キーを導出することを示す。 図２２は、ＢＣＭＣＳをサポートするための通信システムアーキテクチャである。 図２３は、ＢＣＭＣＳをサポートする通信システムにおける、登録キー（ＲＫ）確立に関するタイミング線図であり、ここでホームサービスプロバイダは、内容サーバ（ＣＳ）を所有していない。 図２４は、ＢＣＭＣＳをサポートするための通信システムアーキテクチャであって、ここでホームサービスプロバイダはＣＳを所有している。 図２５は、マルチキャストサービスに対する準備を経てのベアラーパスセットアップに関するタイミング線図である。 図２６は、ユニキャストサービスに対する準備を経てのベアラーパスセットアップに関するタイミング線図である。 図２７は、マルチキャストサービスに対するＭＳ登録を経てのベアラーパス配置に関するタイミング線図である。

用語“典型的な”は、この中では、“実例、事実、あるいは例証として役立つ”ことを意味するためにのみ使用される。この中に“典型的な”として記述されたいかなる実施例も、選定されあるいは他の実施例よりも優れて有利であるとして解釈される必要はない。

無線通信システムは、音声、データ、等の通信の種々の形態を与えるために広く展開されている。これらのシステムは、符号分割多元接続（ＣＤＭＡ）、時間分割多元接続（ＴＤＭＡ）、あるいは若干の他の変調技術に基づくことが可能である。ＣＤＭＡシステムは、増加されたシステム容量を含む、システムの他の形式に勝るある利点を与える。

システムは、この中ではＩＳ−９５標準として参照される“デュアルモード広帯域スペクトル拡散セルラシステムのためのＴＩＡ／ＥＩＡ／ＩＳ−９５−Ｂ移動局−基地局両立性標準”、この中では３ＧＰＰとして参照される“第３世代パートナーシッププロジェクト”と命名された協会によって提供され、そして書類番号3G TS25.211、3G TS 25.212、3G TS 25.213、および 3G TS 25.214、3G TS 25.302を含む書類のセットに収録されたこの中ではＷ−ＣＤＭＡとして参照される標準、この中では３ＧＰＰ２として参照される“第３世代パートナーシッププロジェクト２”と命名された協会によって提供された標準、およびこの中ではｃｄｍａ２０００標準として参照される、以前はＩＳ−２０００ＭＣと呼ばれた、ＴＲ−４５．５等の、１個あるいはそれ以上の標準をサポートするように設計することが可能である。この中で以上に引用された標準は、この結果参照によってこの中に明確に組み込まれている。

各標準は、基地局から移動体へのそして逆もまた同様に、伝送のためのデータに関する処理を明確に定義している。典型的な実施例として、以下の論議はｃｄｍａ２０００システムと矛盾のないスペクトル拡散通信システムを考慮する。代わりの実施例は、他の標準／システムと組み合わせられることが可能である。なお他の実施例は、暗号システムを使用するデータ処理システムの任意の形式に対して、この中に開示された安全な方法を適用することが可能である。

暗号システムはメッセージを隠す方法であり、したがって、ユーザの特定のグループがメッセージを抽出することを可能とする。図１Ａは、基本的な暗号システム１０を示す。暗号は創造の技術であり、そして暗号システムを使用する。暗号解読は暗号システムを破壊するすなわち、あなたがメッセージにアクセスすることが可能なユーザの特定のグループにいない場合に、メッセージを受信しそして理解する技術である。もとのメッセージは暗号のもとになる平文メッセージあるいは平文として参照される。暗号化されたメッセージは暗号文と呼ばれ、ここで暗号化は平文を暗号文に変換する何らかの手段を含む。解読は、暗号文を平文に変換する、すなわちもとのメッセージを回復する何らかの手段を含む。図１Ａに示されるように、平文メッセージは暗号文を形成するために暗号化される。暗号文はそこで受信されそして平文を回復するために解読される。用語、平文および暗号文は一般的にデータに関連するが、暗号化の概念はディジタル形式で与えられたオーディオおよびビデオデータを含む、任意のディジタル情報に適用することが可能である。この中に与えられた本発明に関する記述は暗号の技術と矛盾のない用語、平文および暗号文を使用するが、これらの用語はディジタル通信に関する他の形式を除外していない。

暗号システムは秘密をもとにしている。エンティティのグループは、もしもこのグループ外のエンティティが意味を持って大量のリソースなしに秘密を得ることが不可能な場合は、エンティティのグループは秘密を共有する。この秘密はエンティティのグループ間のセキュリティアソシエーション(security association)として役立つといわれる。

暗号システムはアルゴリズムの集合であることが可能であり、ここで、各アルゴリズムは名前を付けられそして名前はキーと呼ばれる。しばしば暗号システムとして参照される対称的暗号化システムは、メッセージを暗号化しそして解読するために同じキー（すなわち秘密キー）を使用する。対称的暗号化システム２０は図１Ｂに示され、ここで、暗号化および解読の両者は同じ個人キーを使用する。

対照的に、非対称暗号化システムは、メッセージを暗号化するために第１のキー（すなわち公開キー）を使用し、そしてそれを解読するために異なったキー（すなわち個人キー）を使用する。図１Ｃは、非対称暗号化システム３０を示す。ここで、１個のキーは暗号化のために、そして第２のキーは解読のために与えられる。非対称暗号システムはまた、公開キー暗号システムと呼ばれる。公開キーは、公開されそして任意のメッセージを暗号化するために使用可能である。しかしながら、公開キーを用いて暗号化されたメッセージを解読するためには個人キーのみが使用可能である。

送出者から受領者への秘密キーに関する安全性の準備において、対称的暗号システムにおいては問題が存在する。一つの解においては、情報を与えるための伝達手段(courier)が使用可能であるかも知れない。あるいは、より効率的でそして信頼できる解は、Rivest、Shamir、およびAdleman（ＲＳＡ）によって定義された、この中で以下に論じられる、公開キー暗号システムを使用することかも知れない。ＲＳＡシステムは、かなり良いプライバシー（ＰＧＰ：Pretty Good Privacy）として参照される一般的な安全ツールの中に使用され、そしてそれはさらにこの中で以下に詳述される。たとえば、最初に記録された暗号システムは、平文内の文字をアルファベット内でｎ個だけ各文字をシフトすることによって変更した。ここで、ｎはあらかじめ設定された一定の整数値である。このような方式においては、“Ａ”は“Ｄ”で置き換えられる等である。ここで与えられた暗号化方式は、ｎに関するいくつかの異なった数と組み合わせることが可能である。この暗号化方式においては“ｎ”はキーである。意図された受領者は暗号文の受信に先立って暗号化方式を与えられる。このようにして、キーを知っている人々のみが平文を回復するために暗号文を解読することが可能であった。しかしながら暗号化に関する知識を持ってキーを計算することによって、意図されないパーティが安全問題を発生させて、暗号文を傍受しそして解読することが可能であるかも知れない。

さらに複雑なそして洗練された暗号システムは、意図されないパーティーから傍受および解読を阻止する戦略的なキーを使用している。古典的な暗号システムは、暗号化関数Ｅおよび解読関数Ｄを次のように使用している。

Ｄ＿Ｋ（Ｅ＿Ｋ（Ｐ） ）＝Ｐ 任意の平文Ｐに対して （１）。

公開キー暗号システムにおいては、 Ｅ＿Ｋは、Ｋから順に計算される既知の“公開キー”Ｙから容易に計算される。誰でもがメッセージを暗号化することが可能なようにＹは公開される。解読関数Ｄ＿Ｋは公開キーＹから計算されるが、しかし個人キーＫに関する知識はほとんどない。個人キーＫなしには意図されない受領者は、そのように発生された暗号文を解読することはできないかも知れない。このようにして、Ｋを発生した受領者のみがメッセージを解読可能である。

ＲＳＡは、 Rivest、Shamir、およびAdlemanによって定義された公開キー暗号システムである。例として、２⁵¹²までの正の整数として平文を考慮しよう。キーはクオッドルプル(quadruples)（ｐ、ｑ、ｅ、ｄ）であって、ｐは２５６ビットの素数として与えられ、ｑは２５８ビットの素数として与えられ、そしてｄおよびｅは(p-1)(q-1)によって除算可能な(de-1)である大きい数である。さらに、暗号化関数を
Ｅ＿Ｋ（Ｐ）＝Ｐ^e mod pq，Ｄ＿Ｋ（Ｃ）＝Ｃ^d mod pq， （２）
として定義する。

Ｅ＿Ｋは対(pair)（pq,e）から容易に計算される一方、 Ｄ＿Ｋを対（pq,e）から計算するための知られた単純な方法はない。その結果Kを発生する受領者が対（pq,e）を公開可能である。彼がメッセージを読むことが可能な一人であるとして秘密のメッセージを受領人に送出することは可能である。

ＰＧＰは、対称的、および非対称的暗号化からの特徴を結合している。図１Ｄおよび１Ｅは、ＰＧＰ暗号システム５０を示し、ここで平文メッセージは暗号化されそして回復される。図１Ｄにおいては、平文メッセージはモデム伝送時間およびディスク空間を節約するために圧縮される。圧縮は暗号化および解読の処理に対して他の変換レベルを加えることによって暗号の安全性即ち機密性を強める。大部分の暗号解読技術は、暗号を解読するために平文内に見られるパターンを利用する。圧縮は平文内のこれらのパターンを減らし、それによって暗号解読に対する抵抗を高める。一つの実施例は圧縮するには短すぎる平文あるいは他のメッセージは圧縮せず、あるいは適切に圧縮しないものは圧縮されないことに注意すべきである。

ＰＧＰはそこで一度だけの秘密キーであるセションキーを作成する。このキーは、マウスのランダムな動きおよびタイプをするときのキーストローク等の任意のランダム事象から発生することが可能なランダムな数である。セションキーは、暗号文に帰着する平文を暗号化するための安全な暗号化アルゴリズムとともに動作する。一度データが暗号化されるとセションキーはそこで受領者の公開キーに対して暗号化される。この公開キー、暗号化されたセションキーは、暗号文とともに受領者に送信される。

図１Ｅ内に示されるように、解読のために受領者のＰＧＰに関するコピーは、一時的なセションキーを回復するために個人キーを使用する。そしてそれを、ＰＧＰはそこで規則通りに暗号化された暗号文を解読するために使用する。この暗号化方法の組み合わせは、公開キー暗号化の簡便さとそして対称的暗号化の速度とを利用している。対称的暗号化は、一般に公開キー暗号化よりもずっとより速い。公開キー暗号化は、代わりにキー配送およびデータ伝送発出に対する解を与える。組み合わせによって特性およびキー配送は安全における何の犠牲もなしに改善される。

キーは、特定の暗号文を発生するために暗号アルゴリズムとともに動作する値である。キーは基本的に非常に大きい数である。キーサイズはビットで測定される。公開キー暗号においては、安全性はキーサイズとともに増加するが、しかしながら、公開キーサイズおよび対称的暗号化個人キーサイズは一般的に関係ない。一方、公開および個人キーは数学的に関係があるので、公開キーのみを与えて個人キーを導出するにあたって困難が生じる。個人キーを導出することは、十分な時間と計算力を与えれば、キーサイズの選択を重要な安全問題として可能である。目標は、速い処理のためにキーサイズを十分に小さく維持しながら、安全な大きいキーを有することである。付加的な配慮は、予想される傍受者、とくに、第三者に対するメッセージの何が重要であるか、そして解読のために第三者がどのくらいの資源を有しているかである。

より大きいキーはより長い時間中暗号的に安全であろう。キーは暗号化された形態で記憶される。ＰＧＰはとくにキーを２個のファイル、１個は公開キーに対するそして１個は個人キーに対する中に保存する。これらのファイルはキーリング(keyring)と呼ばれる。適用にあたって、ＰＧＰ暗号化システムは目標とする受領者の公開キーを送出者の公開キーリングの中に加える。送出者の個人キーは、送出者の個人キーリング上に記憶される。

この中で上に与えられた例において論じたように、暗号化および解読に使用されるキーの配送の方法は複雑であることが可能である。“キー交換問題”は、第１に、キーが送出者および受信者の両方がそれぞれ暗号化および解読を実行可能であるように、そして双方向通信に対しては、送出者および受信者の両方がそれぞれメッセージを暗号化しそして解読することが可能であるように交換されることを保証することを含む。さらに、キー交換が意図されていない第三者による傍受を排除するように実行されることが望まれる。最後に付加的な配慮は、受信者に、メッセージは、意図された送出者でありそして第三者ではないものによって、暗号化されたことを受信者に保証を与える認証である。個人キー交換システムにおいては、成功したキー交換および確実な認証の上に改善された安全性を与えて、キーは秘密のうちに交換される。個人キー暗号化方式は暗黙のうちに認証を与えることは記憶すべきである。個人キー暗号システムにおける基本となる仮定は、意図された送出者のみが、意図された受信者に配送されたメッセージを暗号化する能力を有するキーを有するであろうということである。公開キー暗号方法は‘キー交換問題’に関するきわどい局面、とくに、キー交換の期間中消極的な盗聴者が存在する場合においてもその解読に対する抵抗を解決しているとはいえ、キー交換と組み合わせられたすべての問題を解決していない。とくに、キーは‘公開された知識’（とくにＲＳＡの場合）と見なされているために、キーのみの所有は（メッセージを暗号化するのには十分な）送出者の特定の独自の本人であることの証拠ではなく、受領者の本人であることを確立するために十分な、それ自身による対応する解読キーの所有でもないので若干の他の機構が認証を与えるために必要とされる。

一つの解決法は、リストされたキーは実際に与えたエンティティのそれであることを保証する、時には信頼された機関(trusted authority)、証明書機関(certificate authority)、あるいは第三者証書代理人(third part escrow agent)と呼ばれるキー配送機能を開発することである。この機関は典型的には実際にキーを発生せず、しかし送出者および受信者によって参照のために保存されそして広告された、キーのリストおよび組み合わせられた（本人であることの）証拠が正しくそして断固としたものであることを保証する。他の方法は、ユーザがお互いのキーを配送しそして追跡することを信頼し、そして略式の配送された様式を信頼することである。ＲＳＡのもとにおいては、もしもユーザが、暗号化されたメッセージに加えてそれらの本人であることの証拠を送ることを願う場合は、個人キーを用いてサインは暗号化される。受信者は、送出者のみが秘密キーの使用によって平文を暗号化してきていることが可能であるように、情報を解読することを確認するために、ＲＳＡアルゴリズムを逆に使用することが可能である。典型的には、暗号化された‘サイン’は、秘密のメッセージの唯一の数学的な‘要約’を含む‘メッセージ要約’である（もしもサインが複数のメッセージに亙って変わらなかった場合は、一度知った前の受信者はそれを不正に使用することができた）。このようにして、理論的にのみメッセージの送出者は、それによって受信者に対してその認証を立てて、そのメッセージに対する正しいサインを発生することが可能であった。

メッセージ要約は、暗号を用いたハッシュ関数(hash function)を用いてしばしば計算される。暗号を用いたハッシュ関数は、任意の入力から入力の長さには関係なく値（一定したビットの数の）を計算する。暗号を用いたハッシュ関数の一つの特性は次のとおりである。出力値を与えて、その出力に帰着するであろう入力を決定することは計算機的に困難である。暗号を用いたハッシュ関数の例は、連邦情報処理標準発行機関（FIPS PUBS： Federal Information Processing Standards Publication）によって公表され、そして米国標準および技術会National Institute of Standards and Technology)によって発行された“安全なハッシュ標準（Secure Hash Standard）”、FIPS PUB 180−1、の中に記述されるように、ＳＨＡ−１である。

図２は、いくつかのユーザをサポートし、そして本発明の少なくともいくつかの観点および実施例を実行することが可能な通信システム１００の例として有効である。アルゴリズムおよび方法の任意の変形は、システム１００内における伝送を予定するために使用することが可能である。システム１００は、それらの各々は対応する基地局１０４Ａから１０４Ｇによってそれぞれ取り扱われる、いくつかのセル１０２Ａから１０２Ｇに対する通信を与える。典型的な実施例においては、基地局１０４のいくつかは複数の受信アンテナを有し、そして他はただ１個の受信アンテナを有する。同様に、基地局１０４のいくつかは複数の送信アンテナを有し、そして他は１個の送信アンテナを有する。送信アンテナおよび受信アンテナの組み合わせに制約はない。その結果、基地局１０４に対して複数の送信アンテナおよび１個の受信アンテナを有すること、あるいは複数の受信アンテナおよび１個の送信アンテナを有すること、あるいはともに１個のあるいは複数の送信および受信アンテナを有することが可能である。

カバレッジエリア内の端末１０６は固定され（すなわち静止した）あるいは移動体であることが可能である。図２内に示されたように、種々の端末１０６がシステムを通じて分散されている。各端末１０６は、下りリンクおよび上りリンク上で任意の与えられた瞬間において、たとえばソフトハンドオフが使用されているか否か、あるいは、端末が複数の基地局からの複数の伝送を（同時にあるいは順次に）受信するように設計されそして動作されるか否かによって異なる、少なくとも１個の、そして多分それ以上の基地局１０４と通信する。ＣＤＭＡ通信システムにおけるソフトハンドオフは、当業界においてよく知られ、そして“ＣＤＭＡセルラ電話システムにおいてソフトハンドオフを与えるための方法および装置”と題された、本発明の譲受人に譲渡された、米国特許5,101,501の中に詳細に記述されている。

下りリンクは基地局から端末への伝送に関連し、そして上りリンクは端末から基地局への伝送に関連する。典型的な実施例においては、端末１０６のいくつかは、複数の受信アンテナを有し、そして他は１個のみの受信アンテナを有する。図２において基地局１０４Ａは、データを端末１０６Ａおよび１０６Ｊに、下りリンク上に送信する。基地局１０４Ｂは、データを端末１０６Ｂおよび１０６Ｊに送信し、基地局１０４Ｃはデータを端末１０６Ｃに送信する等である。

無線データ伝送に対する増加している要求と、そして無線通信技術によって利用可能なサービスの拡大は、特別なデータサービスの開発に帰着している。一つのこのようなサービスは高データレート（ＨＤＲ：High Data Rate）として参照される。典型的なＨＤＲサービスは“ＨＤＲ規格”として参照される“ＥＩＡ／ＴＩＡ−ＩＳ８５６ｃｄｍａ２０００高レートパケットデータエアインタフェース規格”の中に提案されている。ＨＤＲサービスは一般的に、無線通信システムにおいてデータのパケットを送信する効率的な方法を与える音声通信システムに対するオーバーレイである。送信されるデータの量および伝送の数の増加につれて、無線電話伝送に利用可能な限定された帯域幅は危機的な資源になってきている。その結果、利用可能な帯域幅の使用を最適化する、通信システムにおける伝送を予定する効率的なそして公正な方法に対するニーズが存在する。典型的な実施例においては、図２に示されたシステム１００は、ＨＤＲサービスを有するＣＤＭＡ形式システムと矛盾していない。

一つの実施例に従って、システム１００は、高速度放送サービス（ＨＳＢＳ：High-Speed Broadcast Service）として参照される高速度マルチメディア放送サービスをサポートする。ＨＳＢＳに対する例となる応用は、映画、スポーツイベント等のビデオストリーミングである。ＨＳＢＳサービスはインターネットプロトコル（ＩＰ）に基づいたパケットデータサービスである。典型的な実施例に従ってサービスプロバイダは、ユーザに対してこのような高速度放送サービスの利用可能性を示す。ＨＳＢＳサービスを希望するユーザはサービスを受けるために加入し、そして広告、ショートマネージメントシステム（ＳＭＳ：Short Management System）、無線応用プロトコル（ＷＡＰ:Wireless Application Protocol）等を通じて放送サービス予定を見出すことが可能である。移動ユーザは、移動局（ＭＳ）として参照される。基地局（ＢＳ）は、オーバーヘッドメッセージの中にＨＳＢＳに関係したパラメータを送信する。ＭＳが放送セションを受信することを希望する場合は、ＭＳはオーバーヘッドメッセージを読み、そして適切な構成を学ぶ。ＭＳはそこでＨＳＢＳチャネルを含む周波数に同調し、そして放送サービス内容を受信する。

考慮されているサービスは高速度マルチメディア放送サービスである。このサービスは、この書類の中では、高速度放送サービス（ＨＳＢＳ）として参照される。一つのこのような例は、映画、スポーツイベント等のビデオストリーミングである。このサービスは多分インターネットプロトコル（ＩＰ）に基づいたパケットデータサービスであろう。

サービスプロバイダは、ユーザに対してこれらの高速度放送サービスの利用可能性を示すであろう。このようなサービスを希望する移動局ユーザは、このサービスを受けるために加入し、そして、広告、ＳＭＳ、ＷＡＰ等を通じて放送サービス予定を見出すであろう。基地局はオーバーヘッドメッセージ内に放送サービスに関係したパラメータを送信するであろう。放送セションを聴くことを希望する移動体は、適切な構成を決定するために、これらのメッセージを読み、高速度放送チャネルを含む周波数に同調し、そして放送サービス内容の受信を開始する。

ＨＳＢＳサービスに対しては、自由なアクセス、制御されたアクセス、および部分的に制御されたアクセスを含む、いくつかの可能な加入／収入モデルが存在する。自由なアクセスに対しては、サービスを受けるために移動体によっての加入は必要とされない。ＢＳは、内容を暗号化することなしに放送し、そして関心のある移動体は内容を受信することが可能である。サービスプロバイダに対する収入は、放送チャネル内にまた送信されるかも知れない広告を経て発生されることが可能である。たとえば、それに対して撮影所がサービスプロバイダに支払うであろう、間もなく現れる映画の一部分の送信されることが可能である。

制御されたアクセスに対しては、ＭＳ（移動局）ユーザは、サービスに対して加入し、放送サービスを受けるために対応する料金を支払う。加入していないユーザはＨＳＢＳサービスを受けることが不可能である。制御されたアクセスは、加入したユーザのみが内容を解読することが可能であるようにＨＳＢＳ伝送／内容を暗号化することによって達成されることが可能である。これは、オーバージエア暗号化キー交換手順を使用するかも知れない。この方式は強い安全性を与え、そしてサービスを盗むことを防止する。

部分的に制御されたアクセスとして参照される混成アクセス方式は、暗号化された加入に基づいたサービスとして、間欠的な暗号化されない広告伝送とともにＨＳＢＳサービスを与える。これらの広告は、暗号化されたＨＳＢＳサービスに対する加入を活性化するために目論まれるかも知れない。これらの暗号化されないセグメントの予定は外部的な手段によってＭＳに対して知られることが可能である。

無線通信システム２００が図３に示され、ここでビデオ、およびオーディオ情報が内容サーバ（ＣＳ：Content Server）２０１によってパケット化されたデータサービスネットワーク（ＰＤＳＮ：Packetized Data Service Network）２０２に与えられる。ビデオおよびオーディオ情報は、テレビ放送されたプログラムあるいは無線電話伝送から来るかも知れない。情報はＩＰパケット内等のパケット化されたデータとして与えられる。ＰＤＳＮ２０２はアクセスネットワーク（ＡＮAccess Network）内における配送のためにＩＰパケットを処理する。示されるように、ＡＮは複数のＭＳ２０６と通信中のＢＳ２０４を含むシステムの部分として定義される。ＰＤＳＮ２０２はＢＳ２０４に結合される。ＨＳＢＳサービスに対しては、ＢＳ２０４はＰＤＳＮ２０２からの情報のストリームを受信し、そして情報をシステム２００内の加入者に対する選定されたチャネル上に与える。アクセスを制御するために、内容はＰＤＳＮ２０２に与えられる前にＣＳ２０１によって暗号化される。加入したユーザはＩＰパケットが解読されうるように解読キーとともに与えられる。

図４は、図３におけるＭＳ２０６と同様にＭＳ３００を詳細に示している。ＭＳ３００は受信回路３０４に結合されたアンテナ３０２を有する。ＭＳ３００は図３におけるＢＳ２０４と同様にＢＳ（図示せず）からの伝送を受信する。ＭＳ３００はユーザ識別モジュール（ＵＩＭ：User Identification Module）３０８および移動装置（ＭＥ：Mobile Equipment）３０６を含む。受信回路はＵＩＭ３０８およびＭＥ３０６に結合されている。ＵＩＭ３０８はＨＳＢＳ伝送の安全性のために確認手順を適用し、そして種々のキーをＭＥ３０６に与える。ＭＥ３０６は処理ユニット３１２に結合することが可能である。ＭＥ３０６は、ＨＳＢＳ内容ストリームの解読を含む、しかし限定はされない、実質的な処理を実行する。ＭＥ３０６はメモリ記憶ユニット（ＭＥＭ：memory storage unit）３１０を含む。典型的な実施例においては、ＭＥ３０６処理（図示せず）内のデータ、およびＭＥメモリ記憶ユニットＭＥＭ３１０内のデータは限定された資源の使用によって、非加入者によって容易にアクセスされることが可能であり、そしてその結果ＭＥ３０６は不安全であるといわれる。ＭＥ３０６に通された、あるいはＭＥ３０６によって処理されたいかなる情報も、短時間の間のみは安全に秘密にとどまる。その結果、 ＭＥ３０６と共有されたキー等のいかなる秘密の情報もしばしば変更されることが望まれる。

ＵＩＭ３０８は、長い期間の間秘密にとどまるべき秘密の情報（暗号化キー等の）を記憶しそして処理するためには信用されている。ＵＩＭ３０８は安全なユニットであるために、その中に記憶された秘密はシステムに対して秘密情報をしばしば変更することを必ずしも必要としない。ＵＩＭ３０８は、安全なＵＩＭ処理ユニット（ＳＵＰＵ：Secure UIM Processing Unit）３１６として参照される処理ユニット、および安全であると信用される安全なＵＩＭメモリユニット（ＳＵＭＵ：Secure UIM Memory Unit）３１４として参照されるメモリ記憶ユニットを含む。ＵＩＭ３０８の中に、ＳＵＭＵ３１４は、情報に対する不許可のアクセスを妨害するようなやり方で秘密の情報を記憶する。もしも秘密の情報がＵＩＭ３０８から得られる場合は、アクセスは意味を持って大量の資源を要求するであろう。また、ＵＩＭ３０８の中で、ＳＵＰＵ３１６は、ＵＩＭ３０８にとって外側であり、そして／あるいはＵＩＭ３０８にとって内側であるかも知れない値について計算を実行する。計算の結果は、ＳＵＭＵ３１４の中に記憶され、あるいはＭＥ３０６に通されることが可能である。ＳＵＰＵ３１６とともに実行された計算は、ＵＩＭ３０８から、意味を持って大量の資源を持ったエンティティによって得られることのみが可能である。同様に、ＳＵＭＵ３１４の中に記憶されるべく指定されたＳＵＰＵ３１６からの出力（しかしＭＥ３０６への出力ではない）は、認証されていない傍受者が有意義な大量の資源を要求するように設計されている。一つの実施例においては、ＵＩＭ３０８はＭＳ３００内の固定ユニットである。ＵＩＭ３０８における安全な記憶および処理に加えて、ＵＩＭ３０８はまた、電話番号、Ｅメールアドレス情報、ウエブページあるいはＵＲＬアドレス情報および／あるいは予定関数等を含む情報の記憶に対して安全でない記憶、および処理（図示せず）を含むかも知れないことは記憶すべきである。

他の実施例は、取り外し可能な、および／あるいは再プログラムが可能なＵＩＭを与える。典型的な実施例においては、ＳＵＰＵ３１６は、ＨＳＢＳの放送内容の暗号化を可能とするような、安全性およびキー手順を超えた機能に対する十分な処理力を有していない。代わりの実施例は、より強力な処理力を有しているＵＩＭを実現することが可能である。

ＵＩＭは特定のユーザと組み合わせられており、そして本来はＭＳ３００がそのユーザに与えられた、移動電話ネットワークにアクセスする等の特権を有するかを確認するために使用される。その結果、ＭＳ３００というよりはむしろＵＩＭ３０８と組み合わせられている。同じユーザは複数のＵＩＭ３０８と組み合わせられることが可能である。

放送サービスは加入したユーザに対してキーを如何に配送するかを決定する問題に直面している。特定の時刻において放送内容を解読するために、ＭＥは現在の解読キーを知らなければならない。サービスが盗まれるのを防止するために、解読キーは頻繁にたとえば毎分ごとに交換されるべきである。これらの解読キーは短期間キー（ＳＫ：Short-term Keys）と称される。ＳＫは、短時間の間放送内容を解読するために使用され、そこで、ＳＫはユーザに対する固有の金額(monetary value)の若干の量を有していると仮定されることが可能である。たとえば、この固有の金額は、登録コストの一部であるかも知れない。加入者のメモリ記憶ユニットＭＥＭ３１０からＳＫを得ている非加入者のコストがＳＫの固有の金額を超えると仮定しよう。それは、ＳＫを（違法に）得ているコストが収入を超えるということでありそこで利益はない。したがってメモリ記憶ユニットＭＥＭ３１０の中のＳＫを防護する必要はない。しかしながら、もしも秘密キーがＳＫのそれよりもより長い寿命期間を有する場合は、そこでこの秘密キーを（違法に）得ているコストは収入よりも少ない。この状況においてはメモリ記憶ユニットＭＥＭ３１０からこのようなキーを得ることの利益が存在する。したがってメモリ記憶ユニットＭＥＭ３１０は、理想的にはＳＫのそれよりもより長い寿命期間で秘密を記憶しないであろう。

ＳＫを種々の加入者ユニットに配送するためにＣＳ（図示せず）によって使用されるチャネルは安全ではないと見なされる。その結果、与えられたＳＫを配送する場合に、ＣＳは非加入のユーザからＳＫの値を隠す技術を使用することを希望する。さらに、ＣＳはそれぞれのＭＥにおける処理のために、比較的短い時間フレームのうちに潜在的に多数の加入者の各々に対してＳＫを配送する。キー伝送に関する既知の安全な方法は遅く、そして多数のキーの伝送を必要とし、そして必要とされる基準に対して一般的に実行可能ではない。典型的な実施例は、非加入者は解読キーを得ることができないような方法で、短い時間フレームのうちに加入者の大きい組に解読キーを配送する実行可能な方法である。

典型的な実施例においては、ＭＳ３００は無線通信システムにおけるＨＳＢＳをサポートする。ＨＳＢＳへのアクセスを得るために、ユーザは登録しそしてその後サービスに加入する。一度加入が可能になるときは、種々のキーは周期的に更新される。登録処理において、ＣＳおよびＵＩＭ３０８はユーザおよびＣＳ間のセキュリティアソシエーションとして役立つ登録キー（ＲＫ：Registration Key）に関して一致する。ＣＳはそこでＲＫを用いて暗号化されたさらなる秘密情報をＵＩＭに送出することが可能になる。ＲＫは秘密としてＵＩＭ３０８の中に保管され、そして与えられたＵＩＭに対して唯一である。すなわち各ユーザは異なったＲＫを割り当てられる。登録処理のみはＨＳＢＳに対するユーザアクセスを与えない。この中で以上に述べたように、登録の後にユーザはサービスに加入する。加入処理中、ＣＳはＵＩＭ３０８に共通の放送アクセスキー（ＢＡＫ：Broadcast Access Key）の値を送出する。ＣＳは、ＭＳ３００そしてとくにＵＩＭ３０８に対して、ＵＩＭ３０８に対する唯一のＲＫを用いて暗号化されたＢＡＫの値を送出する。ＵＩＭ３０８は、ＲＫを用いて暗号化されたバージョンからもとのＢＡＫの値を回復することが可能である。ＢＡＫは、ＣＳおよび加入したユーザのグループ間のセキュリティアソシエーションとして役立つ。ＣＳはそこで、ＳＫを導出するためにＵＩＭ３０８内でＢＡＫと結合される、ＳＫ情報（ＳＫＩ：SK Information）と呼ばれるデータを放送する。ＵＩＭ３０８はそこでＳＫをＭＥ３０６に通す。このようにして、ＣＳはＳＫの新しい値を加入したユーザのＭＥに対して効率的に配送することが可能である。

次のパラグラフは、登録処理をさらに詳細に論じる。ユーザが与えられたＣＳをもって登録するときに、ＵＩＭ３０８およびＣＳ（図示せず）は、セキュリティアソシエーションを構築する。それは、ＵＩＭ３０８およびＣＳが秘密キーＲＫに関して一致することである。ＲＫは、もしも１個のユーザが複数のＵＩＭを有する場合は、そこでこれらのＵＩＭは、ＣＳのポリシーによって異なる同じＲＫを共有するかも知れないが、各ＵＩＭ３０８に対して唯一のものである。この登録は、ＣＳによって提供される放送チャネルにユーザが加入する場合に生起するかも知れず、あるいは加入に先立って生起するかも知れない。１個のＣＳが複数の放送チャネルを提供するかも知れない。ＣＳは、すべてのチャネルに対して同じＲＫをもつユーザと組むか、あるいはユーザに各チャネルに対して登録し、そして異なったチャネル上の異なったＲＫをもつ同じユーザと組むことを要求するか、を選定することが可能である。複数のＣＳは同じ登録キーを使用するか、あるいはユーザに登録し、そして各ＣＳに対して異なったＲＫを得ることを要求することを選択するかも知れない。

このセキュリティアソシエーションを構築するための二つの共通したシナリオは、認証されたキー一致（ＡＫＡ：Authenticated Key Agreement）方法（３ＧＰＰにおいて使用されるように）および、IPsecにおいて使用されるような、インターネットキー交換（ＩＫＥ：Internet Key Exchange）方法を含む。いずれの場合においても、ＵＩＭメモリユニットＳＵＭＵ３１４は、Ａキーとして参照される秘密キーを含む。一つの例として、ＡＫＡ方法が記述される。ＡＫＡ方法においては、Ａキーは、ＵＩＭおよび信用された第三者（ＴＴＰ：trusted third party）のみに知られた秘密である。ＴＴＰは、１個以上のエンティティを含むことが可能である。ＴＴＰは典型的には、それとともにユーザが登録される移動体サービスプロバイダである。ＣＳおよびＴＴＰ間のすべての通信は安全であり、そしてＣＳはＴＴＰが放送サービスに対する無許可のアクセスを援助しないであろうことを信用している。ユーザが登録を行う場合、ＣＳはＴＴＰにユーザがサービスに対する登録を希望していることを通知し、そしてユーザの要求に関する確認を与える。ＴＴＰは、Ａキーおよび登録キー情報（ＲＫＩ：Registration Key Information）と呼ばれる付加的なデータからＲＫ計算するために関数（暗号を用いたハッシュ関数と同様な）を使用する。ＴＴＰはＲＫ、ＲＫＩをこの提案とは関係のない他のデータとともに安全なチャネル上をＣＳに通す。ＣＳはＲＫＩをＭＳ３００に送出する。受信機回路３０４はＲＫＩをＵＩＭ３０８に通し、そして多分ＲＫＩをＭＥ３０６に通す。ＵＩＭ３０８はＲＫＩおよびＵＩＭメモリユニットＳＵＭＵ３１４に記憶されるＡキーからＲＫを計算する。ＲＫは、ＵＩＭメモリユニットＳＵＭＵ３１４に記憶されそして直接にＭＥ３０６には与えられない。他の実施例はＲＫを確立するためにＩＫＥシナリオあるいはいくつかの他の方法を使用するかも知れない。ＲＫはＣＳおよびＵＩＭ３０８間のセキュリティアソシエーションとして役に立つ。

ＡＫＡ方法においてＲＫはＣＳ、ＵＩＭ、およびＴＴＰ間で共有される秘密である 。その結果、この中に使用されるようにＡＫＡ方法は、ＣＳおよびＵＩＭ間のいかなるセキュリティアソシエーションも暗黙のうちにＴＴＰを含むことを暗示している。任意のセキュリティアソシエーション内にＴＴＰを含むことは、ＣＳがＴＴＰ放送チャネルへの許可されていないアクセスに対して援助しないことを信用している故に、安全性即ち機密性の侵害とは見なされない。この中で以上に述べたように、もしもキーがＭＥ３０６と共有される場合は、そのキーはしばしば変更することが望まれる。これは、メモリ記憶ユニットＭＥＭ３１０内に記憶された情報を非加入者がアクセスすることの、そしてその結果、制御されたあるいは部分的に制御されたサービスへのアクセスを許容することのリスクに起因している。ＭＥ３０６は、メモリ記憶ユニットＭＥＭ３１０内にＳＫ（放送内容を解読するために使用されるキー情報）を記憶する。ＣＳはＳＫを計算するために加入したユーザに対する十分な情報を送出しなければならない。もしも加入したユーザのＭＥ３０６がこの情報からＳＫを計算する場合は、そこでＳＫを計算するために必要とされる付加的な情報は秘密でありえない。この場合は、加入していないユーザのＭＥ３０６はまた、この情報からＳＫを計算することが可能であると仮定する。このために、ＳＫの値はＣＳおよびＳＵＭＵ３１４によって共有された秘密キーを用いてＳＵＰＵ３１６内において計算されなければならない。ＣＳおよびＳＵＭＵ３１４は、ＲＫの値を共有し、しかしながら各ユーザはＲＫの唯一の値を有する。ＣＳにとってＲＫのすべての値でＳＫを暗号化し、そしてこれらの暗号化された値を各加入したユーザに送信するためには不十分な時間である。若干の他の技術が必要とされる。

次のパラグラフは、加入処理をさらに詳細に論じる。安全情報ＳＫの効率的な配送を保証するために、ＣＳは周期的に各加入者ＵＩＭ３０８に共通の放送アクセスキー（ＢＡＫ）を配送する。各加入者に対してＣＳはＢＡＫＩ（ＢＡＫ情報）と呼ばれる値を得るために、対応するＲＫを用いてＢＡＫを暗号化する。ＣＳは加入したユーザのＭＳ３００に対して対応するＢＡＫＩを送出する。たとえば、ＢＡＫは各ＭＳに対応するＲＫを用いて暗号化されたＩＰパケットとして送信されることが可能である。典型的な実施例においては、ＢＡＫＩはＩＰＳｅｑパケットである。典型的な実施例においては、ＢＡＫＩは、キーとしてＲＫを用いて暗号化されたＢＡＫを含むＩＰＳｅｃパケットである。ＲＫはユーザごとのキーであるからＣＳはＢＡＫを各加入者それぞれに送出しなければならない。従って、ＢＡＫは放送チャネル上に送出されない。ＭＳ３００はＢＡＫＩをＵＩＭ３０８に通す。ＳＵＰＵ３１６はＳＵＭＵ３１４の中に記憶されたＲＫの値およびＢＡＫＩの値を用いてＢＡＫを計算する。ＢＡＫの値はそこでＳＵＭＵの中に記憶される。典型的な実施例においては、ＢＡＫＩは、ＭＳ３００にＢＡＫＩをＵＩＭ３０８に通すことを命令している、そしてＵＩＭ３０８にＢＡＫＩを解読するためにＲＫを用いることを命令している、安全パラメータインデックス（ＳＰＩ：Security Parameter Index）値を含む。

ＢＡＫを更新するための期間は、ＣＳがＢＡＫを各加入者それぞれに、意味のあるオーバーヘッドが生起することなしに送出することを可能とするほどに十分であることが望まれる。ＭＥ３０６は長期間の間秘密を保持することは信用されていないので、ＵＩＭ３０８はＢＡＫをＭＥ３０６には与えない。ＢＡＫはＣＳおよびＨＳＢＳサービスの加入者のグループ間のセキュリティアソシエーションとして役立つ。

次のパラグラフは、成功した加入処理に続いて如何にＳＫが更新されるかを論じる。ＢＡＫを更新するための各期間中、その期間中にＳＫが放送チャネル上に配送される短い期間が与えられる。ＣＳは二つの値ＳＫおよびＳＫＩ（ＳＫ情報）を、ＳＫがＢＡＫおよびＳＫＩから決定されることが可能なように決定するために暗号関数を使用する。たとえば、ＳＫＩはキーとしてＢＡＫを用いたＳＫの暗号化であるかも知れない。典型的な実施例においては、ＳＫＩはキーとしてＢＡＫを用いて暗号化されたＳＫを含むＩＰＳｅｃパケットである。あるいは、ＳＫはブロックＳＫＩおよびＢＡＫの連鎖に対して暗号を用いたハッシュ関数を適用した結果であるかも知れない。

ＳＫＩの若干の部分は予測可能である。たとえば、ＳＫＩの一部はその期間中このＳＫＩが有効であるシステム時間から導出されることが可能である。ＳＫＩ＿Ａで示されるこの部分は、放送サービスの部分としてＭＳ３００に送信される必要はない。ＳＫＩの残り、ＳＫＩ＿Ｂは予測不能であるかも知れない。 ＳＫＩ＿Ｂは、放送サービスの部分であるとしてＭＳ３００に送信される必要はない。ＭＳ３００は、 ＳＫＩ＿ＡおよびＳＫＩ＿ＢからＳＫＩを再構成し、そしてＳＫＩをＵＩＭ３０８に与える。ＳＫＩはＵＩＭ３０８の中で再構成されることが可能である。ＳＫＩの値は各新しいＳＫの値に対して変化しなければならない。したがって、新しいＳＫを計算する場合はＳＫＩ＿Ａおよび／あるいはＳＫＩ＿Ｂの何れかは変化しなければならない。ＣＳは放送伝送のために、ＢＳに対してＳＫＩ＿Ｂを送出する。ＢＳはＳＫＩ＿Ｂを放送し、そしてそれはアンテナ３０２によって検出されそして受信回路３０４に通される。受信回路３０４は、 ＳＫＩ＿ＢをＭＳ３００に与え、ここでＭＳ３００はＳＫＩを再構成する。ＭＳ３００はＳＫＩをＵＩＭ３０８に与え、ここで、ＵＩＭ３０８はＳＵＭＵ３１４に記憶されたＢＡＫを用いてＳＫを得る。ＳＫはそこでＵＩＭ３０８によってＭＥ３０６に与えられる。ＭＥ３０６はＳＫをメモリ記憶ユニットＭＥＭ３１０に記憶する。ＭＥ３０６はＣＳから受信された放送伝送を解読するためにＳＫを使用する。

典型的な実施例においては、ＳＫＩはまた、ＭＳ３００にＳＫＩをＵＩＭ３０８に通すことを命令する、そしてＵＩＭ３０８にＳＫＩを解読するためにＢＡＫを使用することを命令する、安全パラメータインデックス（ＳＰＩ；Security Parameter Index）値を含む。解読の後に、ＵＩＭ３０８はＳＫをＭＥ３０６に通し、ここで、ＭＥ３０６は放送内容を解読するためにＳＫを使用する。

ＣＳとＢＳとはいつＳＫＩ＿Ｂが送信されるべきかということに対する若干の基準に対して一致する。ＣＳは、ＳＫ周波数を変更することによって各ＳＫ内の固有の金額を減らすことを希望するかも知れない。この状態においては、 ＳＫＩ＿Ｂデータを変更するための希望は利用可能な帯域幅を最適化することに対して比較される。 ＳＫＩ＿Ｂは、放送チャネル以外のチャネル上に送信されることが可能である。ユーザが放送チャネルに“同調する”場合に、受信回路３０４は“制御チャネル”から放送チャネルの位置に関する情報を得る。ユーザが放送チャネルに“同調する”場合は、速いアクセスを許可することが望ましいかも知れない。このことは、ＭＥ３０６に短い時間のうちにＳＫＩを得ることを必要とする。ＭＥ３０６はすでにＳＫＩ＿Ａを知っているであろうが、しかしながらＢＳはこの短い時間量の間にＭＥ３００にＳＫＩ＿Ｂを与えなければならない。たとえば、ＢＳは（放送チャネルの位置に関する情報とともに）制御チャネル上に頻繁にＳＫＩ＿Ｂを送信し、あるいは放送チャネル上に頻繁にＳＫＩ＿Ｂを送信するかも知れない。ＢＳがより頻繁にＳＫＩ＿Ｂの値を“新たにする”ほど、ＭＳ３００はより速く放送メッセージにアクセスすることが可能である。 ＳＫＩ＿Ｂデータをあまりに頻繁に送信することは、制御チャネルあるいは放送チャネル内の受け入れられない帯域幅の量を使用するかも知れないために、 ＳＫＩ＿Ｂデータを新たにする希望は、利用可能な帯域幅を最適化することに対して比較される。

このパラグラフは、放送内容に関する暗号化および伝送について論じる。ＣＳは現在のＳＫを使用して放送内容を暗号化する。典型的な実施例は、進歩した暗号化標準（ＡＥＳ：Advanced Encryption Standard）ｈ暗号アルゴリズム等の暗号化アルゴリズムを使用する。典型的な実施例においては、暗号化された内容はそこで、カプセル化する安全ペイロード（ＥＳＰ：Encapsulating Security Payload）輸送モードに従ってＩＰｓｅｃパケットによって輸送される。 ＩＰｓｅｃパケットはまた、受信された放送内容を解読するために現在のＳＫを使用することをＭＥ３０６に命令するＳＰＩ値を含む。暗号化された内容は放送チャネルを経由して送出される。

受信回路３０４は、ＲＫＩおよびＢＡＫＩを直接にＵＩＭ３０８に与える。さらに、受信回路３０４は、 ＳＫＩ＿Ｂを、そこでそれがＳＫＩを得るためにＳＫＩ＿Ａと結合される、ＭＳ３００の適切な部分に与える。ＳＫＩはＭＳ３００の関連した部分によってＵＩＭ３０８に与えられる。ＵＩＭ３０８はＲＫＩおよびＡキーからＲＫを計算し、ＢＡＫを得るためにＲＫを用いてＢＡＫＩを解読し、そしてＭＥ３０６による使用に対してＳＫを発生するためにＳＫＩおよびＢＡＫを使用してＳＫを計算する。ＭＥ３０６はＳＫを用いて放送内容を解読する。典型的な実施例のＵＩＭ３０８はリアルタイムにおける放送内容に解読に対して十分に強力ではないので、そしてその結果、ＳＫは放送内容の解読のためにＭＥ３０６に通される。

図５は、典型的な実施例に従ったキーＲＫ、ＢＡＫおよびＳＫに関する伝送および処理を示す。示されたように、登録のときに、ＭＳ３００はＲＫＩを受信し、そしてそれをＵＩＭ３０８に通す。ここで、ＳＵＰＵ３１６はＲＫＩおよびＡキーを用いてＲＫを計算しそしてＲＫをＵＩＭメモリ記憶ＳＵＭＵ３１４に記憶する。ＭＳ３００は周期的に、ＵＩＭ３０８に対して特定のＲＫ値を使用して暗号化されたＢＡＫを含むＢＡＫＩを受信する。暗号化されたＢＡＫＩはＢＡＫを回復するためにＳＵＰＵ３１６によって解読されそしてそれはＵＩＭメモリ記憶ＳＵＭＵ３１４に記憶される。ＭＳ３００はさらに周期的に、ＳＫＩを形成するためにそれがＳＫＩ＿Ａと結合するＳＫＩ＿Ｂを受信する。ＳＵＰＵ３１６はＳＫＩおよびＢＡＫからＳＫを計算する。ＳＫは放送内容を解読するためにＭＥ３０６に与えられる。

典型的な実施例においては、ＣＳキーは必ずしも暗号化されそしてＭＳに送信される必要はない。ＣＳは代わりの方法を使用するかも知れない。各ＭＳへの伝送のためにＣＳによって発生されたキー情報は、キーを計算するためのＭＳに対する十分な情報を与える。図６のシステム３５０内に示されたようにＲＫはＣＳによって発生されるがしかし、ＲＫ情報（ＲＫＩ）はＭＳに対して送信される。ＣＳはＵＩＭに対してＲＫを導出するために十分な情報を送出する。ここで、ＣＳから送信された情報からＲＫを導出するためにあらかじめ設定された関数が使用される。ＲＫＩはＡキーおよび、あらかじめ設定されたｄ１と命名された公開関数等の他の値から、もとのＲＫを決定するためのＭＳに対する十分な情報を含む。ここで。

ＲＫ＝ｄ１（Ａキー，ＲＫＩ） （３）。

典型的な実施例においては、関数ｄ１は暗号化的な形式の関数を定義する。一つの実施例に従ってＲＫは。

ＲＫ＝ＳＨＡ’（Ａキー‖ＲＫＩ） （４）
として決定される。

ここで、“‖”は、ＡキーおよびＲＫＩを含むブロックに関する連鎖を表し、そしてＳＨＡ’（Ｘ）は、入力Ｘに対して与えられる、安全なハッシュアルゴリズムＳＨＡ−１の出力の最後の１２８ビットを表す。他の実施例においては、ＲＫは。

ＲＫ＝ＡＥＳ（Ａキー，ＲＫＩ） （５）
として決定される。

ここで、ＡＥＳ（Ｘ，Ｙ）は１２８ビットＡキーを使用する１２８ビットブロックＲＫＩの暗号化を示す。ＡＫＡプロトコルに基づいたさらなる実施例においては、ＲＫは３ＧＰＰキー発生関数ｆ３の出力として決定され、ここでＲＫＩは標準によって定義されるように、ＲＡＮＤの値、およびＡＭＦおよびＳＱＮの適切な値を含む。

ＢＡＫは、異なったＲＫの値を有する複数のユーザがＢＡＫの同じ値を計算しなければならないために、異なった方法で処理される。ＣＳはＢＡＫを決定するために任意の技術を使用することが可能である。しかしながら、特定のＵＩＭ３０８と組み合わせられたＢＡＫＩの値はそのＵＩＭ３０８と組み合わせられた唯一のＲＫのもとにおけるＢＡＫの暗号化でなければならない。ＳＵＰＵ３１６は、ｄ２と名付けられた関数に従って。

ＢＡＫ＝ｄ２（ＢＡＫＩ，ＲＫ） （９）
に従ってＳＵＭＵ３１４内に記憶されたＲＫを用いてＢＡＫＩを解読する。

他の実施例においては、ＣＳはＲＫを用いてＢＡＫに対する解読処理を適用することによってＢＡＫＩを計算することが可能であり、そしてＳＵＰＵ３１６はＲＫを用いてＢＡＫＩに対する解読処理を適用することによってＢＡＫを得る。これは、ＣＳがＢＡＫを暗号化し、そしてＳＵＰＵ３１６がＢＡＫＩを解読するのと等価であると考えられる。他の実施例は、図６に示されたそれらに加えて、あるいは代わりに任意の数のキー組み合わせを実行するかも知れない。

ＳＫはＲＫに対すると同様な方法で処理される。最初にＳＫＩはＳＫＩ＿ＡおよびＳＫＩ＿Ｂから導出される（ ＳＫＩ＿Ｂ はＣＳからＭＳに送信された情報である）。そこで、ｄ３と名付けられたあらかじめ設定された関数がＳＫＩおよび（ＳＵＭＵ３１４内に記憶された） ＢＡＫから。

ＳＫ＝ｄ３（ＢＡＫ，ＳＫＩ） （６）
に従って導出するために使用される。

一つの実施例においては、関数ｄ３は暗号化的な形式の関数である。典型的な実施例においては、ＳＫは。

ＳＫ＝ＳＨＡ（ＢＡＫ‖ＳＫＩ） （７）。

一方他の実施例においては、ＳＫは。

ＳＫ＝ＡＥＳ（ＢＡＫ，ＳＫＩ） （８）
として計算される。

放送メッセージに対して安全性を与えるための方法が図７Ａ〜７Ｄに示される。図７Ａは、登録処理４００を示しており、その中で、加入者はステップ４０２においてＣＳと登録を取り決める。ステップ４０４において登録はＵＩＭに唯一のＲＫを与える。ＵＩＭはＲＫをステップ４０６において安全なメモリユニット（ＳＵＭＵ）内に記憶する。図７ＢはＣＳおよびＭＳ間の加入処理４２０を示す。ステップ４２２において、ＣＳはＢＡＫ期間Ｔ１に対するＢＡＫを発生する。ＢＡＫはＢＡＫ期間Ｔ１を通じて有効であり、ここでＢＡＫは周期的に更新される。ステップ４２４において、ＣＳはＵＩＭがＢＡＫタイマー期間Ｔ１の期間中に、放送内容（ＢＣ：Broadcast Content）にアクセスすることを許可する。ステップ４２６において、ＣＳは各加入者に対する各個別のＲＫを用いてＢＡＫを暗号化する。暗号化されたＢＡＫはＢＡＫＩとして参照される。ＣＳはそこでステップ４２８においてＢＡＫＩをＵＩＭに送信する。ＵＩＭはＢＡＫＩを受信し、そしてステップ４３０においてＲＫを用いて解読を実行する。解読されたＢＡＫＩは最初に発生されたＢＡＫに帰着する。ＵＩＭはＢＡＫをステップ４３２においてＳＵＭＵ内に記憶する。ＵＩＭはそこで放送セションを受信しそして、暗号化された放送（ＥＢＣ：encrypted broadcast）の解読にＢＡＫを適用することによって、ＢＣにアクセスすることが可能である。

図７Ｃは、放送サービスをサポートする無線通信システムにおいて、安全な暗号化のためにキーを更新する方法を示す。方法４４０は、図７Ｅに与えられるような期間に実行する。ＢＡＫは期間Ｔ１を有して周期的に更新される。タイマーt1は、ＢＡＫが計算されそしてＴ１において時間が終了するときに開始する。ＳＫを計算するために、ＳＫ＿ＲＡＮＤとして参照される変数が使用され、そしてそれは期間Ｔ２をもって周期的に更新される。タイマーt2は、 ＳＫ＿ＲＡＮＤが発生されＴ２において時間が終了するときに開始する。一つの実施例においては、ＳＫはさらにＴ３の期間をもって周期的に更新される。タイマーt3は各ＳＫが発生されＴ３において時間が終了するときに開始する。 ＳＫ＿ＲＡＮＤがＣＳにおいて発生されそして周期的にＭＳに与えられる。ＭＳおよびＣＳはこの中で以下に詳細に述べられるように、ＳＫを発生するためにＳＫ＿ＲＡＮＤを使用する。

第１のタイマーt1はＢＡＫの適用可能な値が更新される場合にリセットされる。２個のＢＡＫ更新の間の時間は、ＢＡＫ更新期間である。典型的な実施例においては、ＢＡＫ更新期間は月であるが、しかしながら他の実施例は、システムの最適な動作に対して必要とされる、あるいは種々のシステム基準を満足させるために任意の期間に実行されることが可能である。

図７Ｃにおいて続けると、方法４４０はＳＫ＿ＲＥＧ期間Ｔ２を開始するためにステップ４４２においてタイマーt2を初期化する。ＣＳはＳＫ＿ＲＡＮＤを発生し、そしてステップ４４４においてシステムを通しての伝送のために送信回路に値を与える。タイマーt3は、ステップ４４６においてＳＫ期間Ｔ３を開始するために初期化される。ＣＳはそこでステップ４４８において現在のＳＫを使用してＢＣを暗号化する。暗号化された結果はＥＢＣであり、ここでＣＳはシステム内の伝送のために送信回路にＥＢＣを与える。もしもタイマーt2が決定ダイアモンド４５０において終了している場合は、処理はステップ４４２に戻る。t2がＴ２よりも小さい間に、もしもタイマーt3が決定ダイアモンド４５２において終了している場合は、処理はステップ４４６に戻り、そうでない場合は処理は４５０に戻る。

図７Ｄは、放送サービスにアクセスしているＭＳの動作を示す。方法４６０は、最初にタイマーt2およびt3をステップ４６２におけるＣＳにおける値に同期する。ＭＳのＵＩＭはステップ４６４においてＣＳによって発生されたＳＫ＿ＲＡＮＤを受信する。ステップ４６６において、ＵＩＭは、 ＳＫ＿ＲＡＮＤ、ＢＡＫ、および時間の測定値を用いてＳＫを発生する。ＵＩＭはＳＫをＭＳのＭＥに通す。ＵＩＭはそこで、ステップ４６８においてもとのＢＣを抽出するためにＳＫを用いて受信されたＥＢＣを解読する。ステップ４７０においてタイマーt2が終了する場合は、処理はステップ４６２に戻る。タイマーt2がＴ２よりも小さい間に、もしもタイマーt3がステップ４７２において終了する場合は、タイマーt3はステップ４７４において初期化されそして４６６に戻る。

もしもユーザが特定のＢＡＫ更新期間中に放送サービスに加入する場合は、ＣＳは（ＲＫを用いて暗号化されたＢＡＫに対応する）適切な情報ＢＡＫＩを送出する。これは、典型的に、このＢＡＫ更新期間の開始に先立って、あるいはこのＢＡＫ更新期間中にＭＳが放送チャネルに最初に同調する場合に生起する。これは基準の違いに従ってＭＳあるいはＣＳによって開始されることが可能である。複数のＢＡＫＩが送信されそして同時に解読される。

ＢＡＫ更新期間の終了が差し迫っている場合は、もしもＭＳが次のＢＡＫ更新期間に加入している場合はＭＳはＣＳからの更新されたＢＡＫを要求することが可能であることは注意すべきである。代わりの実施例においては、ＣＳによって第１のタイマーt1が使用され、ここでタイマーの終了すなわちＢＡＫ更新期間の満足の場合は、ＣＳはＢＡＫを送信する。

ユーザにとってＢＡＫ更新期間中にＢＡＫを受信することが可能であることは注意すべきである。ここでたとえば、ＢＡＫ更新が月毎に実行される場合は加入者は半月サービスに加わる。さらに、ＢＡＫおよびＳＫ更新の期間は、すべての加入者が与えられた時刻において更新されるように同期されることが可能である。

図８Ａは、典型的な実施例に従った無線通信システム５００における登録処理を示す。ＣＳ５０２は、各加入者すなわちＭＳ５１２と、加入者の各々に対する特定のＲＫを発生するために協定する。ＲＫは各ＭＳのＵＩＭ内のＳＵＭＵユニットに与えられる。示されたように、ＣＳ５０２はＵＩＭ_１５１２の中のＳＵＭＵ_１５１０に記憶されるＲＫ_１を発生する。同様に、ＣＳ５０２はＵＩＭ_２５２２の中のＳＵＭＵ_２５２０の中に、そしてＵＩＭ_Ｎ５３２の中のＳＵＭＵ_Ｎ５３０の中にそれぞれ記憶される、ＲＫ_２およびＲＫ_Ｎを発生する。

図８Ｂは、システム５００における加入処理を示す。ＣＳ５０２はさらに複数の符号化器５０４を含む。符号化器５０４の各々は唯一のＲＫの一つおよびＣＳ５０２内で発生されたＢＡＫ値を受信する。各符号化器５０４の出力は加入者に対して特定的に符号化されたＢＡＫＩである。ＢＡＫＩはＵＩＭ_１５１２等の各ＭＳのＵＩＭにおいて受信される。各ＵＩＭは、ＵＩＭ_１５１２のＳＵＰＵ_１５１４、およびＳＵＭＵ_１５１０等のＳＵＰＵおよびＳＵＭＵを含む。ＳＵＰＵは、ＵＩＭに関するＲＫの適用によってＢＡＫを回復する復号器５１６等の復号器を含む。処理は各加入者において繰り返される。

キーの取り扱いおよび更新は、図８Ｃに示され、ここで、ＣＳは、ＳＫを計算するためにＣＳおよびＭＳによって用いられる、仮の値であるＳＫ＿ＲＡＮＤの値を発生するために関数５０８を適用する。とくに、関数５０８は、ＢＡＫ値、ＳＫ＿ＲＡＮＤ、および時間係数を適用する。図８Ｃに示された実施例は、いつＳＫを更新するを決定するためにタイマーを適用しているが、代わりの実施例は、周期的な更新を与えるために代わりの尺度、たとえば誤り、あるいは他の事象の生起を使用するかも知れない。ＣＳは、加入者のそれぞれに対してＳＫ＿ＲＡＮＤ値を与え、ここで、各ＵＩＭ内にある関数５１８はＣＳの関数５０８にあると同じ関数を適用する。関数５１８は、ＭＥ_１５４０のＭＥＭ_１５４２等のＭＥ内のメモリ位置に記憶されるＳＫを発生するためにＳＫ＿ＲＡＮＤ、ＢＡＫ、およびタイマー値上で動作する。

図８Ｄは、登録および加入後のＢＣの処理を示す。ＣＳ５０２は、ＥＢＣを発生するために現在のＳＫを使用してＢＣを符号化する符号化器５６０を含む。ＥＢＣはそこで加入者に送信される。各ＭＳはＳＫを使用してＥＢＣからＢＣを抽出する符号化器５４４等の符号化器を含む。

本発明は、１方向放送サービスをサポートする無線通信システムの典型的な実施例に関して記述されて来ているが一方、この中に以上に記述された暗号化方法およびキーの取り扱いはさらにマルチキャスト形式の放送システムを含む、他のデータ処理システムに対して適用可能である。なお、さらに、そこでは安全でないチャネルを通じて安全な情報の１個の伝送に複数の加入者がアクセスしている、任意のデータ処理システムに対する本発明の適用が可能である。

ユーザは、現在の内容サーバ（ＣＳ）、内容プロバイダ、および／あるいは現在の放送あるいは伝送に対する内容ソースと異なった第１のエンティティに加入するかも知れないことは注意すべきである。一例として、異なった地理的領域の中に動き回るユーザを考慮しよう。このユーザはＣＮＮ等の中央ニュース放送エンティティに対する加入者である。ＣＮＮアジア等の中央ニュース放送エンティティの関連会社も地域的に発生されるかも知れない。この場合、中央ニュース放送エンティティたとえばＣＮＮの加入者が地域的に発生された放送エンティティたとえばＣＮＮアジアの地域的領域内に動き回る場合は、許可は地域的に発生された放送エンティティに中央放送エンティティの加入データベースをチェックすることを要求するかも知れない。

各放送エンティティは、分離した加入サーバ（ＳＳ： Subscription Server ）を有するかも知れない。そしてそれは、ＳＳの各々が、動き回る位置にある他のＳＳと取り決めることを必要とするので認証を複雑にする。同様に、分離したＳＳの使用は、キー配送に関して混乱を生じるかも知れない。ＳＳの各々は地域的なＣＳによって所有されるかも知れず、あるいは地域的なＣＳとの業務協定を有するかも知れない。

動き回ること等と組み合わせられた許可問題の若干を避ける種々の他の実施例がこの中に記述されている。論理的エンティティに対する次の定義は、明確化のために、このような実施例を理解することの中に与えられる。ＨＬＲあるいはＨＬＲ／ＡＣとして参照されるホームシステムあるいはネットワークは、移動体ユーザの加入を維持する。換言すれば、ホームはどこに正常な電話加入がおかれているかをシステムに参照する。（正常な電話加入がおかれているシステムを参照する。）ＭＳＣ／ＶＬＲ等のＶＬＲとして参照される訪問されたシステムあるいはネットワークは、そこで動き回ること等によって入られたシステムである。ユーザが動き回らない場合は、ＶＬＲシステムはＨＬＲシステムと同様である。内容サーバ（ＣＳ）はそのＣＳが訪問したネットワークに内容を与える場合は、地域的な／訪問されたものとして参照される。ＣＳは、内容ソースおよび放送アクセスキー（ＢＡＫ）発生器を含む。ＢＡＫ暗号化器は、ＵＩＭへの準備のためにＢＡＫを暗号化する。ＢＡＫ暗号化器は、１個だけのＣＳと組み合わせられるかも知れず、あるいは複数のＣＳを取り扱うかも知れない。加入サーバ（ＳＳ）は、ユーザに少なくとも１個の放送マルチキャストサービス（ＢＣＭＣＳ：Broad Cast Multi Cast Service）を許可している加入データを維持する。ＳＳは地域的なＣＳによって所有されるかも知れず、あるいは地域的なＣＳとの業務協定の部分であるかも知れない。

ＢＣＭＣＳの目的は放送およびマルチキャストサービスを与えることである。内容サーバ（ＣＳ）と呼ばれるエンティティは、内容を参加している移動体サービスプロバイダ（ＳＰ）に与えるであろう。内容は可聴可視(audiovisual)データであると想定される。ＣＳは取り扱いネットワークの部分であるかも知れず、しかしそれはそうである必要はない。ＳＰはこの内容を特定の物理チャネルに送信するであろう。もしも内容が無料で提供される場合は、そこで任意のユーザがこのチャネルに内容を見て／処理(view/process) するためにアクセスすることが可能である。もしもチャネルへのアクセスが加入ベースである場合は、そこで任意のユーザが物理チャネルに同調することが可能である一方で、内容は、加入したユーザのみが内容を見て処理することが可能であろうように、暗号化されるであろう。

放送システムに対する安全性の脅威が、主要な設計考慮である。放送およびマルチキャストサービスを与えるシステムは図１８内に示される。安全性の脅威は加入費用（ここでは必要とされる）を払うことなしに内容にアクセスを得ているユーザを含むかも知れない。このような脅威に対抗するために、内容は暗号化され、そして解読キーは加入して来ているこれらのユーザのみに与えられる。キー管理がそこで決定的に重要になって来る。

放送内容は輸送モードにある、ＩＰＳｅｃカプセル封入安全ペイロード（ＥＳＰ：Encapsulating Security Payload）を用いてエンドツーエンド暗号化によって保護することが可能である。暗号化キー、および暗号化アルゴリズム等の安全パラメータは、セキュリティアソシエーションとして記憶される。そしてそれは、宛先アドレスおよび安全パラメータインデックス（ＳＰＩ：Security Parameter Index）と呼ばれる３２ビット値によって指示される。

この議論の目的のために、移動局（ＭＳ）は二つの分離したエンティティ、ユーザ識別モジュール（ＵＩＭ）および移動体装置（ＭＥ）として考慮される。ＵＩＭは安全なメモリを含む低電力処理装置である。ＵＩＭは取り外し可能であるか（ＳＩＭカードのように）、あるいはＭＳそれ自身の部分であるかも知れない。ＭＥは高電力処理装置を含むが安全なメモリは含まない。

内容は頻繁に変化する短期間キー（ＳＫ）を用いて暗号化される。ＭＥはＳＫを用いて内容を解読する。“詐欺砲弾(rogue shell)”を防止するために、送出するＳＫから他の端末までの放送を受信するときの使用のために頻繁に変化し、それによって１個の支払いをしている加入のみに多くのサービスを与える。ＳＫは送信されず、特定の放送パケットを暗号化するために使用されたＳＫの値はそのＩＰＳｅｃパケットのヘッダ内の放送アクセスキー（ＢＡＫ）およびＳＰＩから導出される。ＢＡＫは、放送サービスを受信するためにＵＩＭの存在を必要としてＵＩＭの中におかれる。現在のＢＡＫはそのチャネルに対するすべての加入者に対して同じであり、そしてＢＡＫは操作者によって決定された期間に対してアクセスを与える。したがって、一度ＵＩＭがＢＡＫを得ていればＵＩＭは放送を解読するためにＭＥに対して必要とされるＳＫ値を計算することが可能である。“スペクトル拡散システムにおいて移動局の準備をするオーバージエアサービス”と題された２００１年１２月に発行されたＴＩＡ／ＥＩＡ／ＩＳ−６８３−Ｂ、Ｃ．Ｓ００１６−Ａ、ＳＰ−４７４２−ＲＶ２−Ａの中に記述されたように“安全なモード（Secure Mode）”に似た方法が、ＢＡＫを用いてＵＩＭを準備するために使用される。

以下は、理解の明確化のために与えられた定義に関するリストである。
ＡＡＡ 認証、許可、および課金処理。ＡＡＡはユーザに関する基本キーを保有する。
ＡＣ 認証センタ。これは、ＡＡＡによって実行されるそれと同様な認証およびキー取り扱い機能を実行するＡＮＳ−４１エンティティ。
ＢＡＫ 放送アクセスキー。ある時間の間（たとえば１日、１週間、１月）内容へのアクセスを与える。
ＢＡＫＵＥ 放送アクセスキー更新エンティティ。ＢＡＫＵＥはＢＡＫを更新することが可能な、取り扱いネットワーク内にあるエンティティ。
ＣＳ 内容サーバ。サービスのためのデータを与える。
ＭＳ 移動局。本文書の目的に対してＭＳは２個の分離したエンティティ、ＵＩＭおよびＭＥとして考慮される。
ＵＩＭ ユーザ識別モジュール（ＵＩＭ）。ＵＩＭは安全なメモリを含む低電力処理装置である。ＵＩＭは取り外し可能であるか（ＳＩＭカードのように）あるいはＭＳそれ自身の部分である。
ＭＥ 移動体装置。ＭＥは高電力処理装置を含むが安全なメモリは含まない。
ＳＡ セキュリティアソシエーション。ＩＰＳｅｃパケットを処理するために必要とされるパラメータ（キー等）のリスティング。各ＳＡは宛先アドレスおよび安全パラメータインデックス（ＳＰＩ）によるインデックスである。
ＳＤＰ セションデータパラメータ。現在の内容を処理するために必要とされるパラメータ。
ＳＫ 短期間キー。ＣＳは内容をＳＫを用いて暗号化し、そしてＭＥはＳＫを用いて解読する。
ＳＭＣＫ 安全モード暗号キー。ＩＳ−６８３−Ｂ内で使用された通り。ＢＣＭＣＳにおいては、ＳＭＣＫはＵＩＭに送出される場合にＢＡＫを暗号化するために使用される。
ＳＰ サービスプロバイダ。その中にＭＳが現在位置している取り扱いネットワーク。
ＳＰＩ 安全パラメータインデックス。セキュリティアソシエーション（ＳＡ）を示すために使用される。
ＰＤＳＮ パケットデータサービングノード。インターネットおよびＲＡＮ間のインタフェース。
ＲＡＮ ラジオアクセスネットワーク。
ＲＡＮＤ_SM ＩＳ−６８３−ＢにおいてＳＭＣＫを発生するためにＡＣ／ＡＡＡによって発生されたランダムな数。

加入処理はこの議論の範囲外にある。しかしながら、ＣＳおよびＳＰが、認証およびキー取り扱いの両者に対して使用することが可能な加入当たりの基本キーの準備を含む加入処理に関して一致すると仮定しよう。この基本キーはＡＣあるいはＡＡＡ−Ｈによって保有されると仮定しよう。

放送加入はＣＳあるいはＡＡＡ−Ｈ内、あるいはＡＣと組み合わせられたＨＬＲ内に保有されるであろう無線アクセスに対する加入から分離された、他のエンティティ内に保有されるかも知れないことは可能である。この場合、無線アクセス加入は放送サービス加入が確立される前に確立されると仮定しよう。加入データの位置は、どのようにＢＡＫが準備されるかに影響するであろう。もしもそれが正しいＢＡＫを有する場合は、ＭＳが検出のために使用することが可能な二つの方法がある。

ユーザが放送サービスに同調する場合に、第１のステップはＣＳからセションデータパラメータ（ＳＤＰ：Session Data Parameters）を得ることである。ＳＤＰは、もしもあるなら識別子（シーケンス数）および終了時刻等の、ＢＡＫに関する関連したデータを含む。これらの値は、ＭＳにそれがＢＡＫを更新することを必要とするか否かを決定することを可能にする。伝送期間中にもしもＢＡＫ更新が必要とされる場合は、伝送はＳＤＰ更新を実行することのＭＳに対する通知（それから、ＭＳはそれがＢＡＫを更新する必要があることを決定することが可能である）を含むであろう。

ＢＡＫから導出されたＳＫ値で暗号化されたＩＰＳｅｃパケットは、そのＢＡＫに対応するＢＡＫ＿ＩＤに対するＳＰＩセットに関する、４個の最も意味のあるビット（ＭＳＢ：(most significant bit)）を有する。そこでＭＥはＵＩＭが正しいＢＡＫを有しているかをチェックするために４個のＭＳＢを抽出することが可能である。

ＣＳはどのくらい頻繁にＢＡＫが変更されるかを決定する。頻繁なＢＡＫ変更はより安全性を与えるであろう。頻繁なＢＡＫ変更はまた、請求におけるより大きな柔軟性を与えるであろう。次の例を考慮しよう。一度ユーザがＢＡＫを有するときは、彼等はＢＡＫの寿命期間中内容にアクセスすることが可能である。ＢＡＫは毎月の初めに変更されると仮定しよう。もしもユーザの加入がＢＡＫの寿命期間を通して中間で終了する場合は、ユーザはＢＡＫが終了するまでは、なおＳＫを発生することが（そしてその結果内容を見ることが）可能であろう。そこでＢＡＫを月毎にのみ変更することによって、ＣＳは、月の始まりから月の終わりまで加入請求することが可能である。ユーザは月の半ばから次の月の半ばまで加入することはできない。しかしながら、もしもＢＡＫが毎日変更される場合は、そこで、ユーザは、月の期間中の任意の日の初めから加入することが可能である。ＢＡＫ変更の頻度を増加することは、移動局が新しいＢＡＫ値を引き出さなければならない回数の、可能性のある増加に対して評価されるべきである。

この議論は、それがＢＡＫを更新することを必要とするかを如何にＭＳが決定するかを定義するものではない。そのＢＡＫが終了間近であるかあるいは終了しているか、ＢＡＫ更新を実行するためのトリガリング動作を決定するための手段がＭＳに対して与えられるであろうと仮定しよう。その結果、いくつかの方法が利用可能である。ＭＳがＢＡＫ更新を実行することを決定する場合、ＩＳ−６８３−Ｂ安全モードと同様な方法が、ＵＩＭにＢＡＫを与えるために使用される。これが行われることが可能な、二つの方法が存在する。

第１に、図１９にあるように、ＣＳはＵＩＭにＢＡＫを準備することが可能である。ＭＳがＢＡＫを更新することを必要とすると決定した場合、ＭＳはＣＳと接触する。

ＣＳはユーザが加入しているかをチェックする。もしもユーザが加入している場合は、そこでＣＳはＩＳ−６８３−Ｂにあるように一時的なＳＭＣＫを得るためにユーザのＡＣ／ＡＡＡに接触する。ＡＣ／ＡＡＡはランダムな数ＲＡＮＤ_SMを発生し、そしてこれをＳＭＣＫを得るために、移動局の現在のＳＳＤ−Ｂ（あるいは基本キー）と結合する。ＳＨＡ−１に基づいた関数f3がこの目的に用いられる。 ＡＣ／ＡＡＡはＲＡＮＤ_SMおよびＳＭＣＫをＣＳに送出する。

ＣＳはＥＢＡＫを得るためにＳＭＣＫを用いてＢＡＫを暗号化する。ＣＳはそこで、移動局に対してＲＡＮＤ_SM、ＢＡＫ＿ＩＤ、およびＥＢＡＫを送出する。ＵＩＭはＳＭＣＫを得るためにＲＡＮＤ_SMを基本キーＫ（あるいは現在のＳＳＤ−Ｂ ）と結合する。

ＵＩＭはそこでＢＡＫを得るために、ＥＢＡＫを解読するためにＳＭＣＫを使用し、そしてＢＡＫを安全なメモリ内に記憶する。

もしもＣＳがＨＬＲ／ＡＣあるいはＡＡＡ−Ｈの上へ加入データを通す場合は、そこで、ＳＰは、図２０に示したように、ＣＳの代わりにＵＩＭにＢＡＫを準備することが可能である。このシナリオにおいては、ＳＰはＵＩＭにＢＡＫを準備することが可能な１個あるいはそれ以上のＢＡＫ更新エンティティ（ＢＡＫＵＥ：BAK Update Entities）を有する。

ＣＳは現在のＢＡＫをＢＡＫＵＥに供給する。ＭＳがＢＡＫを更新することを必要とすると決定した場合は、ＭＳはＢＡＫＵＥと接触する。 ＢＡＫＵＥは、ＩＳ−６８３−Ｂにおけるように一時的な安全モード暗号キー（ＳＭＣＫ；Secure Mode Cipher Key）を得るためにユーザのＡＣ／ＡＡＡと接触する。

ＡＣ／ＡＡＡは、ユーザが加入しているかをチェックする。ユーザが加入している場合は、そこで、ＡＣ／ＡＡＡはランダムな数ＲＡＮＤ_SMを発生しそして、ＳＭＣＫを得るためにこれを移動局の現在のＳＳＤ−Ｂ（あるいは基本キーＫ）と結合する。ＳＨＡ−１に基づいた関数f3がこの目的に対して使用される。ＡＣ／ＡＡＡはＲＡＮＤ_SMおよびＳＭＣＫをＢＡＫＵＥに送出する。

ＢＡＫＵＥは、ＥＢＡＫを得るためにＳＭＣＫを用いてＢＡＫを暗号化する。ＣＳはそこで移動局に対してＲＡＮＤ_SM、ＢＡＫ＿ＩＤ、およびＥＢＡＫを送出する。ＵＩＭは、ＳＭＣＫを得るためにＲＡＮＤ_SMを基本キーＫ（あるいは現在のＳＳＤ−Ｂ）と結合する。ＵＩＭはそこでＢＡＫを得るために、ＥＢＡＫを解読するためにＳＭＣＫを使用し、そしてＢＡＫを安全なメモリ内に記憶する。

もしもＣＳが加入データをＨＬＲ／ＡＣあるいはＡＡＡ−Ｈの上へ通す場合は、そこでＳＰは図２０に示されるようにＣＳの代わりにＵＩＭにＢＡＫを準備することが可能である。このシナリオにおいてはＳＰは、ＵＩＭにＢＡＫを準備することが可能な１個あるいはそれ以上のＢＡＫ更新エンティティ（ＢＡＫＵＥ）を有する。
１．ＣＳは現在のＢＡＫをＢＡＫＵＥに供給する。
２．ＭＳがＢＡＫを更新する必要があると決定する場合は、ＭＳはＢＡＫＵＥと接触する。
３．ＢＡＫＵＥは、ＩＳ−６８３−Ｂにおけるように、一時的な安全モード暗号キー（ＳＭＣＫ）を得るためにユーザのＡＣ／ＡＡＡと接触する。
４．ＡＣ／ＡＡＡはそのユーザが加入しているかをチェックする。もしもユーザが加入している場合は、そこでＡＣ／ＡＡＡはランダムな数ＲＡＮＤ_SMを発生し、そしてＳＭＣＫを得るためにこれを移動局の現在のＳＳＤ−Ｂ（あるいは基本キーＫ）と結合する。ＳＨＡ−１に基づいた関数f3がこの目的に対して使用される。ＡＣ／ＡＡＡはＲＡＮＤ_SMおよびＳＭＣＫをＢＡＫＵＥに送出する。
５．ＢＡＫＵＥは、ＥＢＡＫを得るためにＳＭＣＫを用いてＢＡＫを暗号化する。ＣＳはそこで、ＲＡＮＤ_SM、ＢＡＫ＿ＩＤ、およびＥＢＡＫを移動局に対して送信する。
６．ＵＩＭはＳＭＣＫを得るためにＲＡＮＤ_SMを基本キーＫ（あるいは現在のＳＳＤ−Ｂ）と結合する。ＵＩＭはそこでＢＡＫを得るために、ＥＢＡＫを解読するためにＳＭＣＫを使用し、そしてＢＡＫを安全なメモリの中に記憶する。

競争相手は、加入したユーザをまねている間にＢＡＫ要求を実行することによって何も達成していない。加入したユーザのみが、ＲＡＮＤＳＭからＳＭＣＫを導出し、そしてしたがって、ＢＡＫを抽出することが可能であろう。これらの理由のために、ＣＳ／ＢＡＫＵＥは、ＢＡＫ要求を認証する必要がないことが可能である。典型的な実施例に従って、ＵＩＭはＢＡＫを示さない。もしも１個のＵＩＭがＢＡＫを示せば、そこですべての秘密はＣＳがＢＡＫを変更するまでは失われる。

ＵＩＭはもしあれば、ＢＡＫおよび識別子（シーケンス数）および終了時間等のＢＡＫに関する関係したデータを記憶すべきである。 ＢＡＫがＳＫ値を導出するために使用されることを開始する僅か前に、ＵＩＭがＢＡＫを準備することが有利であることは立証可能である。そうでない場合は、一度ＣＳが、新しいＢＡＫから導出されたＳＫをもったパケットの送出を開始すると、ユーザはＭＳがＢＡＫ更新を実行するときに遅延を経験するであろう。もしも多くのユーザが同調する場合は、そこで、ＭＳのすべてがＢＡＫ更新を実行するときにトラフィックのバーストが存在するであろう。

このような問題を避けるために、この中に記述したように、放送マルチキャストサービス（ＢＣＭＣＳ）が、ＢＡＫ変更の少し前にＭＳが新しいＢＡＫを得ることを可能にするかも知れない。ＭＳ、ＳＰ、あるいはＣＳはＢＡＫ取得処理を開始することが可能である。異なったＭＳは、余りに多くのＭＳが一度にＢＡＫ更新を実行することを防止するために、ＢＡＫ更新を実行するための異なった予定を有することが可能である。

安全性の理由のために、ＢＡＫは使用の時間に対して可能な限り近接して配送されるべきである。ＭＥはＵＩＭからのこの情報の要求を減らすために、ＢＡＫに関連したデータを記憶することが可能である。

もしもＣＳが現在のＳＰＩに対応するＳＫをすでに計算している場合は、そこで、ＣＳは、輸送モードにおけるＩＰＳｅｃＥＳＰに従って暗号化キーとしてＳＫを用いて、放送内容を暗号化する。新しいキーＳＫを作成するためにＣＳは次のステップを実行する。ＣＳはランダムな２８ビット値ＳＰＩ＿ＲＡＮＤを選定する。ＣＳはＳＰＩ＝（ＢＡＫ＿ＩＤ‖ ＳＰＩ＿ＲＡＮＤ ）形態の３２ビットＳＰＩを形成する。ここで、４ビットのＢＡＫ＿ＩＤは、現在のＢＡＫ値を識別する。ＣＳはＳＰＩ＿ＲＡＮＤを１２８ビットに引き伸ばす。ＣＳはキーとしてＢＡＫを用いてこの１２８ビット値を暗号化する。１２８ビット出力はＳＫである。ＣＳはＳＫの新しい値をＳＰＩおよび放送パケットの宛先アドレスによって示されたＳＡの中に置く。

ＳＰＩ＿ＲＡＮＤの値は、ＳＰＩのいかなる値が将来使用されるであろうかをユーザが予測できないようにランダムであるべきである。そうでない場合は、誰かがある日に対して使用されるべきＳＫ値をあらかじめ計算し、そしてこれらのキーをその日の始まるときに配送することが可能となる。キーを配送することを欲している誰かに対しては、この処理はキーをリアルタイムで配送するよりもより容易で（そしてより少ない支出で）あろう。

ＢＣＭＣＳＩＰＳｅｃパケットを与えると、ＭＥは次のステップを実行する。ＭＥはＳＰＩを取得する。ＭＥはＳＰＩからＢＡＫ＿ＩＤを抽出する。ＭＥはそこでＵＩＭが正しいＢＡＫを有しているかを決定する。もしもＵＩＭが正しいＢＡＫを有していない場合は、そこでＭＳは上に論じられたようにＢＡＫを更新する。（あるいはＭＥは、それが現在のＢＡＫを有しているかを見るためにＳＤＰをチェックするかも知れない）。

ＭＥは、それがＳＰＩおよび放送パケットの宛先アドレスに対応するセキュリティアソシエーション（ＳＡ）を有するかをチェックする。もしもＭＥがこのＳＰＩに伴ったＳＡを有する場合は、そこでＭＥは、ＳＡ内の解読キーＳＫを用いてブロックを解読（輸送モードにおけるＩＰＳｅｃＥＳＰによって）する。もしもＭＥがこのＳＰＩに伴ったＳＡを有していない場合は、そこでＭＥはＵＩＭがＳＫを計算できるようにＳＰＩをＵＩＭに通す。ＵＩＭはＳＫを次のようにして計算する。ＵＩＭは、ＳＰＩの４個の最も意味を持つビットからＢＡＫ＿ＩＤを抽出し、そしてそのメモリから（ＢＡＫ＿ＩＤ に対応する）ＢＡＫの値を回収する。ＵＩＭは２８ビットのＳＰＩ＿ＲＡＮＤを抽出しそしてＳＰＩ＿ＲＡＮＤを１２８ビットに引き伸ばす。

ＵＩＭは、キーとしてＢＡＫを用いてこの１２８ビット値を暗号化する。１２８ビット出力はＳＫである。ＵＩＭはＳＫをＭＥに通す。ＭＥはＳＫの新しい値を、ＳＰＩおよび放送パケットの宛先アドレスによって示されたＳＡ内に置く。ＭＥは今度はキーとしてＳＫを用い、輸送モードにおけるＩＰＳｅｃＥＳＰによってブロックを解読する。

ＳＫの同じ値は、１個以上のＩＰＳｅｃパケットに対して使用可能である。ＣＳは、いつ、そしてどのくらいの頻度でＳＫを変更するかを決定する。ＳＫの寿命期間を減少することは安全性を増加する。ＳＫは通常は５〜１０分毎に変更することが可能であるがしかし、どの位頻繁に彼らがＳＫを変更することを望んでいるかを決定することはＣＳの仕事である。ピーク使用の期間中ＣＳはさらなる安全のためにＳＫをより頻繁に変更することを選定することが可能である。ＳＫの値はＳＰＩを変更することによって変更され、そこでＣＳおよびＭＳは動的なＳＰＩに順応するように設計されなければならないことに注目されたい。

ＳＫの同じ値は１個以上のＩＰＳｅｃパケットに対して使用されるであろう。ＣＳは、いつ、そしてどのくらいの頻度でＳＫを変更するかを決定する。ＳＫの寿命期間を減少することは安全性を増加する。ＳＫは通常は５〜１０分毎に変更することが可能であるが、どの位頻繁に彼らがＳＫを変更することを望んでいるかを決定することはＣＳの仕事である。ピーク使用の期間中、ＣＳはさらなる安全のためにＳＫをより頻繁に変更することを選定することができる。ＳＫの値はＳＰＩを変更することによって変更され、そこでＣＳおよびＭＳは動的なＳＰＩに順応するように設計されなければならないことに注目されたい。ＳＫの同じ値は、１個以上のＩＰＳｅｃパケットに対して使用可能である。ＣＳは、いつ、そしてどのくらいの頻度でＳＫを変更するかを決定する。ＳＫの寿命期間を減少することは安全性を増加する。ＳＫは通常は５〜１０分毎に変更することが可能であるがしかし、どの位頻繁に彼らがＳＫを変更することを望んでいるかを決定することはＣＳの仕事である。ピーク使用の期間中ＣＳはさらなる安全のためにＳＫをより頻繁に変更することを選定することが可能である。ＳＫの値はＳＰＩを変更することによって変更され、そこでＣＳおよびＭＳは動的なＳＰＩに順応するように設計されなければならない。
表１は、ＭＳ内のキーの使用、計算および記憶に関する手早い参考資料として有用であるかも知れない。表１は移動局におけるキーの使用、計算、および記憶に関する要約である。

ＢＣＭＣＳは、標準的でない解(non-standard solution)を必要とするキー取り扱いに対する新しい課題を提供する。もしも解がＩＰＳｅｃを使用する場合は、ＳＫのいかなる値が解読のために使用されるべきかを決定するために、可変のＳＰＩがＢＣＭＣＳのために必要とされる。一つの実施例に対しては、キーの取り扱い（その中で、ＳＫはＢＡＫおよびＳＰＩから導出される）はＢＣＭＣＳに対して十分に安全であり、ＢＣＭＣＳに対してとくに実用的な解を可能にする。

ＢＣＭＣＳの中で発生している二つの“交換”が存在する。
・ＣＳから（ＳＰを経由して）放送内容を受信するために、ユーザはＣＳに代金を支払う。
・ＳＰからの伝送時間を受信するために、ＣＳはＳＰに代金を支払う。

システムの安全目標は、次の脅威を避けることを含む。
脅威１：ＳＰが支払われた伝送代金を伝送時間を与えることなしに受け取る。典型的には、これは主要な関心事ではない。伝送時間を与えることに失敗したいかなるＳＰも容易に捕まえられるであろう。ＳＰは、さらなる事業を促進するような方法で行動するであろうと予期される。そうでなければ、違法なＳＰは悪い評判の結果を受けるであろう。
脅威２：ＣＳ（あるいは他のパーティ）は伝送費用を支払わずに伝送時間を得る。誰かが合法的なＣＳをまねる場合のように、あたかもそれがＣＳによって与えられた内容であったかのようにメッセージをＳＰに送出する。一つの解は脅威を防ぐためにＣＳおよびＳＫ間のリンク上に認証ヘッダ（ＡＨ：Authentication Header）を付加することである。
脅威３：費用を支払わずにユーザが放送内容にアクセスする。解はＩＰＳｅｃに基づくことを必要とされた。放送内容にアクセスするために、ユーザは現在の解読キーを持たなければならない。ＵＩＭは、内容を解読するのに十分なほどに力がないので、そしてその結果、ＭＥが解読を実行する。これは、解読キーがＭＥの中に記憶されることを意味する。結局、誰かがＭＥから現在の解読キーを抽出する方法を解くであろう。加入したユーザはそこで、他の加入していないユーザに解読キーを配送することが可能になるであろう。そこで、加入していないユーザがデータにアクセス不可能であるような方式を設計することは困難であろう。

目標は、潜在的な市場（サービスが目標としているこれらのユーザ）が内容にアクセスするために違法の手段を用いることを思いとどまらせることであることに注意すべきである。

ＭＥは、長期のキーを記憶しあるいは計算することを信用され得ない。長期のキーは、ＵＩＭの中に記憶されそして計算されるべきである。ＵＩＭは公開キー暗号操作を実行するに十分なほどに強力でなく、そこですべてのキー取り扱いは対称暗号を基にすべきである。ＳＰおよび他のエンティティは若干の対称キーにアクセスを有するであろうし、そしてこれらを解読キーを導出するために使用することが可能である。真の脅威は、解読キーを非加入のユーザに配送する加入したユーザであると思われる。一つの解は、予想できない方法で解読キーを頻繁に変更することである。課題は、キー配送に対して必要とされる伝送オーバーヘッドを最小にしながらこれを達成することである。

一つの解は、各ユーザ個々に放送アクセスキー（ＢＡＫ）を配送する。ここで多くの解読キーがＢＡＫおよび放送で送出された公開情報を用いて導出される。一例が図２１に示される。この例においては、３個だけの解読キーが各ＢＡＫから導出される。実際問題として１個のＢＡＫから導出された数百個あるいは数千個の解読キーが存在することが可能である。

図２１は放送チャネル上に送出された情報と組み合わせることによって、一つのＢＡＫから多くの解読キーを導出する一例である。もしも加入したユーザがＢＡＫを抽出し、そしてそれを他のユーザに配送することができれば、そこでこれは他のユーザが多くのＳＫを導出することを可能にするであろう。これを避けるために、ユーザがＢＡＫを抽出できないように、ＢＡＫはＵＩＭの中の安全なメモリ内に保管されなければならない。ＵＩＭがＢＡＫを準備するための種々のオプションが存在する。提案されたオプションは（ＩＳ−６８３−Ｂ安全モードに似て）最も単純な解であるように見える。

ＩＰＳｅｃを用いる標準の場合においては、２個のパーティーはキーを交換するときに標準的に取り決める。一度パーティーが新しいキーに関して一致すれば、ＳＰＩは変化しない。パーティーは単に古いセキュリティアソシエーションの中に新しいキーをおきＳＰＩをそれがそうであったように残す。ＢＣＭＣＳにおいては、そこには複数の受信機がありそして通信はＣＳからユーザにのみ流れるために、異なった状況が存在する。ＣＳはユーザがＳＫの正しい値を有するかを識別する位置にはない。同様に、ユーザは彼らがＳＫの正しい値を有するかを識別することが困難である。ＳＫが変化する場合にＳＰＩを変化することはこの問題を解決する。この方法は、ＳＫが変化していることをユーザが承知しているかをＣＳは知っている。これは、ＩＰＳｅｃの標準の実行でないことに注意すべきである。

ＳＫを配送するための二つの主要なオプションは：１）内容ストリームとは分離したパケット内でＳＫを送出すること、あるいは ２）内容を含むＩＰＳｅｃパケット内に含まれる情報からＳＫを導出することを含む。ハイブリッド方式もまた考慮されるかも知れない。

ユーザは、放送の期間中いつでも“同調する”ことが可能である。ユーザは、ほとんど瞬間的に内容にアクセスすることを希望するであろう。したがって、もしもＳＫを導出するための情報が内容と分離したパケット内で送出される場合（たとえば、そしてＳＫの暗号化された値あるいはランダムな速度）は、そこでＣＳは、ＳＫを導出するための情報を数秒毎に再送出しなければならない。一つの欠点は、この方法は帯域幅を多く使用することである。主要な欠点は、ＳＫ情報を含むパケットを、内容を含むパケットから識別するための標準方法がないことである。

ＳＫが変化しているときにＳＰＩが変化していることを与えるとＢＡＫおよびＳＰＩから独占的にＳＫを導出する余分なステップをとることが可能となる。ＢＡＫの正しい値が使用されることを保証するためにＳＰＩは４ビットのＢＡＫ＿ＩＤを含み、そして将来他のＢＡＫの値に対してＢＡＫ＿ＩＤが再使用されることが可能なように、そのＢＡＫに対する終了時間があるであろう。これは、２²⁸のＳＫの可能な値に対応して変化することが可能なＳＰＩの２８ビットを残す。ＭＥが新しいＳＰＩを見つける（超えてくる）場合は、ＭＥはこのＳＰＩをＵＩＭに通し、そしてＵＩＭはＳＰＩおよびＢＡＫからＳＫを計算する。ＭＥは、無視できる時間の内に新しいＳＫを戻すであろうしそして解読を継続することが可能である。ＳＰＩの変化する部分はランダムであろう、そうでない場合は加入したユーザが必要なＳＫ値をあらかじめ計算し、そしてそれらを配送するためにＵＩＭを得ることが可能である。

このような方法は、ＳＫをユーザに配送するための余分な帯域幅を必要とすることがなく、そしてＵＩＭが、ＢＡＫを有するとすぐにＳＫを計算することを可能とし、そしてＭＥは、ＩＰＳｅｃパケットの受信を開始している。ユーザはＳＫに対する情報を含むパケットを待つ必要がない。これは、とくにユーザが数秒あるいは数分毎にチャネルを変更している場合に相当な利点であり、ユーザは彼等がチャネルを変更する度にＳＫを導出するための情報を待つ間の数秒の遅延を欲しないであろう。

しかしながら、この方式は１個のＢＡＫから導出されるべき比較的小さい数のＳＫ値を可能とする。とくに、記述された例においては、他の方法を使用するときの２¹²⁸個の値に比較して（ＳＰＩ＿ＲＡＮＤの２²⁸個の値に対応する）２²⁸個の値が存在する。加入したユーザのグループは、すべての２²⁸個の可能なＳＰＩ値を入力することによって、現在のＢＡＫに対するＳＫのすべての２²⁸個の値をあらかじめ計算するために、それらのＵＩＭを得ることが可能である。一つのＵＩＭはすべてのキーを、大略、１時間のうちにあらかじめ計算することが可能であろう。このグループはそこでこれらの値を配送することが可能となろう。キーのセットはメモリの約４ギガバイトを必要とするであろう。しかしながら、現在の考慮はパーソナルディジタルアシスタント（ＰＤＡ）あるいは電話を経由してアクセスするユーザに対するものであるから、すべての４ギガバイトに対する十分な記憶に対してアクセスしているであろうということは、ほとんどありそうにない。さらにユーザは、多分大量のデータ、たとえば４ギガバイトをＢＡＫが変化する度毎にダウンロードすることは行いたくないであろう。また、現在の例は品質サービスを欲するユーザを考慮している。すべてのこのキーなしにはユーザは内容のすべてを解読可能とするところではなく、そして品質サービスを受けないであろう。

次の議論は、ＢＣＭＣＳおよび同様な放送形式にサービスの安全性を高めるためのいくつかのオプションを提供する。とくに考慮されたことは：１）リンクレイヤ暗号化およびエンドツーエンド暗号化を含む暗号化レイヤ；２）ＳＳにおける暗号化およびローカルネットワークにおける暗号化等のＢＡＫ更新手順；３）１個のＣＳと組み合わせられ、あるいは複数のＣＳに対する準備のために集中化されたような、ＢＡＫ暗号化器あるいはＢＡＫ配送サーバの位置、および４）ＳＫ輸送、ここでＳＫはＳＰＩから導出されあるいは暗号化された形態で送出されることが可能である。典型的なアーキテクチャは次の議論において使用されるであろう図９に与えられる。

種々のオプションおよび実施例が考慮される一方で、典型的な実施例は、最初に登録キー（ＲＫ）あるいは基本キーを、ＨＬＲとして参照されるホームシステムあるいはネットワーク、および遠隔ユニット、ＵＩＭ内の安全なモジュール間に安全に確立するための方法を与える。ＡＫＡ手順、あるいは修正されたＡＫＡ手順が、ＨＬＲおよび与えられたユーザに対するＵＩＭの両者に対して、同じＲＫを与えるために使用される。一度ＵＩＭおよびＨＬＲの両者が同じＲＫ値を有するときは、ＶＬＲとして参照されるローカルシステムはこれらの情報を用いて放送アクセスキー（ＢＡＫ）をＵＩＭに与えることが可能である。とくに、ＶＬＲはＢＡＫを発生する。ＶＬＲはそこで：１） ＨＬＲにＢＡＫを与える。そしてそこでＨＬＲはＢＡＫを暗号化しそして暗号化されたＢＡＫ（ＥＢＡＫ）をＶＬＲに与える。あるいは２）ＶＬＲは一時的なキー（ＴＫ）要求をＨＬＲに送出する、の何れかを行う。第１の例においては、ＨＬＲはＨＬＲおよびＵＩＭによってのみ知られるＲＫを用いてＢＡＫを暗号化する。ＥＢＡＫはＶＬＲを経由してＵＩＭに与えられる。ＵＩＭはＥＢＡＫを受信し、そしてＢＡＫを解読するためにＲＫを使用する。実行にあたって、その度ごとにＢＡＫは変化し、ＶＬＲはそのＢＡＫをＨＬＲ生起オーバーヘッドに送出しなければならない。方法２）に対しては、ＨＬＲは複数のＴＫ値および組み合わせられたランダムな値を発生する。ＴＫ値はランダムな数およびＲＫを用いて発生される。ＴＫ値すなわち、ＴＫ_１、ＴＫ_２等、およびランダムな値すなわちＴＫ＿ＲＡＮＤ_１，ＴＫ＿ＲＡＮＤ_２等はＶＬＲに与えられる。その度ごとにＶＬＲはＢＡＫを更新し（安全な伝送の維持のためにＢＡＫを変更し）、ＶＬＲはＴＫ_ｉを使用してＢＡＫを暗号化する。ＶＬＲはそこでＥＢＡＫおよびＴＫ_ｉあるいは（ ＴＫ_ｉ 、 ＴＫ＿ＲＡＮＤ _ｉ）対をＵＩＭに送出する。各々の状態において、ＵＩＭはＲＫを有しているためにＵＩＭはＥＢＡＫを解読し、ＢＡＫを回復することが可能である。

ＢＣＭＣＳをサポートする、図２２におけるシステム１０００を考えよう。種々のエンティティの機能は、
・ホームＢＣＭＣＳ制御：
−ＢＣＭＣＳサービス加入を与えること
−ＢＣＭＣＳサービスに対する課金処理情報
−ＵＩＭ内に基本キー（ＲＫ）確立を要求
−ＢＡＫの暗号化に対して一時的なキー（ＴＫ）を発生
・ローカルＢＣＭＣＳ制御：
−ＢＣＭＣＳサービスに対するＢＡＫを発生
−ＴＫを用いることによってＢＡＫを暗号化
−暗号化されたＢＡＫをＵＩＭにダウンロード
−ＳＫを発生するためにＢＡＫをＲＡＮに配送、そしてまたＳＫ寿命期間の表示
・ＢＣＭＣＳ内容サーバ：
−ＢＣＭＣＳ内容を与える。
として定義される。システム１０００内に示されたインタフェースは、
・Ｂ１インタフェース（ＨＬＲ／ＡＣ−ホームＢＣＭＣＳ制御）：
−ホームＢＣＭＣＳ制御からのＵＩＭ内にＲＫ確立要求に対して使用
−ＨＬＲ／ＡＣからホームＢＣＭＣＳ制御へのＲＫの配送
・Ｂ２インタフェース（ローカルＢＣＭＣＳ制御−ＰＤＳＮ）：
−暗号化されたＢＡＫをＩＰプロトコルを経由してＵＩＭにダウンロード
・Ｂ３インタフェース（ローカルＢＣＭＣＳ制御−ＢＳＣ／ＰＣＦ）：
−ＢＡＫをＲＡＮに配送
−ＳＫリフト時間をＲＡＮに送出
・Ｂ４インタフェース（ローカルＢＣＭＣＳ制御−ホームＢＣＭＣＳ制御）
−ＴＫのセットをローカルＢＣＭＣＳ制御に配送
として定義される。

図２３は、ＲＫ確立を示すタイミング線図である。垂直軸が時刻を示す。ＲＫ確立あるいは準備は、ユーザがホームＢＣＭＣＳ ＡＡＡ内のＢＣＭＣＳサービスに加入する場合に生起する。各ＢＣＭＣＳ内容プロバイダは各加入者に対する一つの対応するＲＫを有する。ＲＫはＵＩＭおよびホームサービスプロバイダ／ホーム内容サービスプロバイダのみによって知られる。図２３に示されたＲＫ確立手順は次のように記述される。

−ステップａ：ユーザから加入を受信する場合は、ホームＢＣＭＣＳ制御は、加入者の身元（ＳＵＢ＿ＩＤ）およびその自身のＢＣＭＣＳ内容プロバイダの身元を示してＲＫ確立要求を、加入者のホームサービスプロバイダのＨＬＲ／ＡＣに送出する。
−ステップｂ：ＨＬＲ／ＡＣは、現存のＡＫＡ手順をＵＩＭ内にＲＫを確立するために使用する。
−ステップｃ：ＵＩＭ内におけるＲＫ確立成功の場合は、ＨＬＲ／ＡＣはＲＫをホームＢＣＭＣＳ制御に送出する。ＭＳがそれを要求する場合はＢＡＫダウンロードが生起する。各ＢＡＫと組み合わせられたＢＡＫ寿命期間が存在する。ここで各ＢＡＫはＢＡＫ識別子あるいはシーケンス数によって識別される。内容ＩＤによって識別された各ＢＣＭＣＳプログラムはその自身のＢＡＫを有している。ホーム内容プロバイダＩＤおよび内容ＩＤは各ＢＣＭＣＳプログラムに対して唯一である。ＢＣＭＣＳ＿ＩＤおよび（ホーム内容プロバイダＩＤ＋内容ＩＤ）対間のマッピングは、ローカルにローカルＢＣＭＣＳ制御内で実行される。ＢＡＫはローカルＢＣＭＣＳ制御およびＵＩＭによってのみ知られる。ＢＡＫダウンロード手順は次のように与えられる。
−ステップａ：加入者のＢＣＭＣＳサービスへの加入のときあるいはＢＡＫ寿命期間の終了のときは、ＵＩＭはＢＡＫダウンロードを要求し、そしてＭＳは要求をローカルＢＣＭＣＳ制御に通す。
−ステップｂ：ローカルＢＣＭＣＳ制御エンティティは、ホームＢＣＭＣＳ制御に一時的なキー要求を、それがキーをＢＡＫの暗号化に対して使用できるように送出する。
−ステップｃ：ホームＢＣＭＣＳキー暗号化器は、ＴＫ＿ＲＡＮＤを発生し、そしてそこで、ある関数［ＴＫ＝ｆ（ ＴＫ＿ＲＡＮＤ ，ＲＫ）］を用いることによってＲＫおよびＴＫ＿ＲＡＮＤの入力を用いてＴＫを計算する。ホームＢＣＭＣＳキー暗号化器は、ホームＢＣＭＣＳ制御およびローカルＢＣＭＣＳ制御間の取り扱いが必ずしも必要とされないように、将来の使用のために対のいくつかのセットを発生することが可能である。ホームＢＣＭＣＳ制御はそこで、いくつかのＴＫをローカルＢＣＭＣＳ制御に戻す。
−ステップｄ：ローカルＢＣＭＣＳキー暗号化器は、ＴＫの一つで暗号化されたＢＡＫを発生しそしてＢＡＫ＿ＲＡＮＤを発生する。ローカルＢＣＭＣＳ暗号化器はそこで若干の関数［ＢＡＫ＿ＡＵＴＨ＝ｆ（ ＢＡＫ＿ＲＡＮＤ，ＢＡＫ）］を使用することによって、ＢＡＫおよびＢＡＫ＿ＲＡＮＤの入力を用いてＢＡＫ＿ＡＵＴＨを計算する。そこで、ローカルＢＣＭＣＳキー暗号化器は、対応するＢＡＫ＿ＩＤおよびＢＡＫ寿命期間、ＢＣＭＣＳ＿ＩＤ、ＴＫ＿ＲＡＮＤ、ＢＡＫ＿ＡＵＴＨ、およびＢＡＫ＿ＲＡＮＤを用いて暗号化されたＢＡＫを、ＭＳを経由してＵＩＭに送出する。ＵＩＭはＴＫ＿ＲＡＮＤおよびその自身の記憶されたＲＫの入力を用いてＴＫを計算し、そしてそこでＴＫを用いることによってＢＡＫを解読する。
ＢＡＫおよびＢＡＫ＿ＲＡＮＤの入力を用いてのＢＡＫ＿ＡＵＴＨの計算は、受信されたＢＡＫ＿ＡＵＴＨと比較される。もしも整合がない場合はステップａに戻る。図２４は、内容サーバを有するホームサービスプロバイダに対するＢＣＭＣＳアーキテクチャを示す。システム１１００は、次のように定義されるエンティティを有する。
・ホームＨＬＲ／ＡＣ：
−ＢＣＭＣＳサービス加入を与える
−ＢＣＭＣＳサービスに対する課金処理情報
−ＢＡＫの暗号化のために一時的なキー（ＴＫ）を発生
・ローカルＢＣＭＣＳ制御
−ＢＣＭＣＳサービスのためにＢＡＫを発生
−ＴＫを用いることによってＢＡＫを暗号化
−Ｂ２インタフェースを経由してＵＩＭに暗号化されたＢＡＫをダウンロード
−ＳＫを発生するためにＢＡＫをＲＡＮに発送、そしてまたＳＫ寿命期間の表示
・ＢＣＭＣＳ内容サーバ
−ＢＣＭＣＳ内容を与える
図２４に示されるようにインタフェースは次のように定義される。
・Ｂ２インタフェース（ローカルＢＣＭＣＳ制御−ＰＤＳＮ）
−ＩＰプロトコルを経由して暗号化されたＢＡＫをＵＩＭにダウンロード
・Ｂ３インタフェース（ローカルＢＣＭＣＳ制御−ＢＳＣ／ＰＣＦ）
−ＢＡＫをＲＡＮに配送
−ＳＫ寿命期間をＲＡＮに送出
・Ｂ５インタフェース（ローカルＢＣＭＣＳ制御−ＢＳＣ／ＰＣＦ）
−ＴＫのセットをローカルＢＣＭＣＳ制御に配送
システム１１００においては、ホームサービスプロバイダが自身のＢＣＭＣＳ内容サーバを所有するためにＡキー交換手順と同様にＡキーはＲＫに対して使用される。

システム１１００に関しては、ＭＳがＢＡＫあるいは更新を要求する場合にＢＡＫダウンロードが生起する。各ＢＡＫと組み合わせられたＢＡＫ寿命期間が存在する。内容ＩＤによって識別された各ＢＣＭＣＳプログラムは、その自身のＢＡＫを有する。ＢＡＫは、ローカルＢＣＭＣＳ制御およびＵＩＭによってのみ知られる。ＢＡＫダウンロード手順は次のように与えられる。
−ステップａ：加入者がＢＣＭＣＳサービスに加入するとき、あるいはＢＡＫ寿命期間が終了するときＵＩＭはＢＡＫダウンロードを要求し、そしてＭＳは要求をローカルＢＣＭＣＳ制御に通す。
−ステップｂ：ローカルＢＣＭＣＳ制御は一時的なキーの要求を、それがキーをＢＡＫの暗号化のためにキーを使用可能なようにＢＳＣ／ＶＬＲに送出する。
−ステップｃ：ＢＳＣ／ＰＣＦは、一時的なキーの要求をＭＳＣ／ＶＬＲを経由してＨＬＲ／ＡＣに通す。
−ステップｄ：ＨＬＲ／ＡＣは、ＴＫ＿ＲＡＮＤを発生し、そしてそこである関数［ＴＫ＝ｆ（ＴＫ＿ＲＡＮＤ，Ａキー）］を使用することによって、ＡキーおよびＴＫ＿ＲＡＮＤの入力を用いてＴＫを計算する。それ（ＨＬＲ／ＡＣ）は、ＭＳＣ／ＶＬＲを経由してのＨＬＲ／ＡＣおよびＢＳＣ／ＰＣＦ間の移動が必ずしも必要とされないように、将来の使用のためにこの対のいくつかのセットを発生することが可能である。ＨＬＲ／ＡＣはそこで、いくつかのＴＫをＭＳＣ／ＶＬＲを経由してＢＳＣ／ＰＣＦに戻す。
−ステップｅ：ＢＳＣ／ＰＣＦはＴＫをローカルＢＣＭＣＳ制御に通す。
−ステップｆ：ローカルＢＣＭＣＳ制御はＢＡＫを発生し、そして一つのＴＫで暗号化する。それはまたＢＡＫ＿ＲＡＮＤを発生し、そしてそこで、ある関数［ＢＡＫ＿ＡＵＴＨ＝ｆ（ ＢＡＫ＿ＲＡＮＤ ，ＢＡＫ）］を使用することによってＢＡＫおよびＢＡＫ＿ＲＡＮＤの入力を用いてＢＡＫ＿ＡＵＴＨを計算する。そこで、ローカルＢＣＭＣＳ制御は、暗号化されたＢＡＫを対応するＢＡＫ＿ＩＤ、およびＢＡＫ寿命期間、ＢＣＭＣＳ＿ＩＤ、ＴＫ＿ＲＡＮＤ、ＢＡＫ＿ＡＵＴＨ、およびＢＡＫ＿ＲＡＮＤとともにＭＳを経由してＵＩＭに送出する。ＵＩＭはＴＫ＿ＲＡＮＤおよびその所有する記憶されたＡキーの入力を用いてＴＫを計算し、そしてそこで、ＴＫを使用することによってＢＡＫを解読する。そしてそこで、それはその自身のＢＡＫ＿ＡＵＴＨをＢＡＫおよびＢＡＫ＿ＲＡＮＤの入力を用いて計算する。それは、その計算したＢＡＫ＿ＡＵＴＨを受信したＢＡＫ＿ＡＵＴＨと比較する。もしもそれが整合しない場合は、それはステップａから再び出発するであろう。リンクレイヤにおいて暗号化を与える実施例に対しては、このような暗号化形態は、ＩＰレベルでの暗号化を防止しないことに注意すべきである。リンクレイヤにおける暗号化はもしもＩＰレベルでの暗号化が可能である場合は無力にされるべきである。短期間キー（ＳＫ）ダウンロード手順は次のように与えられる。
−ステップａ：ＢＣＭＣＳ制御は、ＢＡＫおよびＢＡＫ寿命期間をＢＳＣ／ＰＣＦに送出し、そしてＳＫ寿命期間を示された寿命期間でＳＫを発生した要求ＢＳＣ／ＰＣＦに送出する。
−ステップｂ：ＢＳＣ／ＰＣＦは、ＢＡＫで暗号化されたＳＫをＭＳを経由してＵＩＭに送出する。
−ステップｃ：ＵＩＭはＢＡＫを用いてＳＫを解読し、ＭＳに返送する。
−ステップｄ：ＢＣＭＣＳ内容サーバは平文の放送内容をＰＤＳＮを経由してＢＳＣ／ＰＣＦに送出する。
−ステップｅ：ＢＳＣ／ＰＣＦは放送内容をＳＫで暗号化し、そしてそこでそれを、オーバージエアに送出する。要約すると、ＢＣＭＣＳは帯域外で見出される。ユーザはＢＣＭＣＳサービスに帯域外（ＳＵＢ ＩＤ）で加入する。もしもホームサービスプロバイダが内容サーバを所有していない場合は、基本キーあるいは登録キー（ＲＫ）がＡＫＡ経由で確立され、そうでない場合はＡキーはＲＫのために使用されるであろう。ＴＫはローカルＢＣＭＣＳ制御ノードに送出される。ＴＫによって暗号化されたＢＡＫは、特別なＵＤＰポート数を使用して訪問したネットワーク（ＰＤＳＮ）経由でＵＩＭにダウンロードされる。ＭＳはオーバーヘッドメッセージによって特定のセクタに対して放送サービスが利用可能かを見出す。ＭＳは登録（ＢＣＭＣＳ＿ＩＤ）を実行する。

図２５は、ＣＳおよびＰＤＳＮ間のマルチキャストサービスに対する準備によるベアラーパスセットアップ(bearer path set-up)を示している。図２６は、ＣＳおよびＰＤＳＮ間のユニキャストサービスに対する準備によるベアラーパスセットアップを示している。図２７は、ＣＳおよびＰＤＳＮ間のマルチキャストサービスに対するＭＳ登録および登録解除(deregistration)によるベアラーパスセットアップおよびティアーダウンを示している。

・ＢＣＭＣＳベアラーパスがセットアップされる（そこにない場合）。

・ＭＳはＢＣＭＣＳチャネルのモニタを開始。

図９は、一つの実施例に従った安全性に対する高レベルアーキテクチャを示す。ＣＳ６０２は内容暗号化器（ＣＥ）６０４に対して内容情報を与える。ＣＥ６０４はＳＫの発生に使用され、そしてＳＫの暗号化に対して使用されることが可能である。内容暗号化器６０４は、：１）ＳＫで暗号化された内容；２）ＳＰＩ；あるいは３）暗号化されたＳＫ（この中で以下に論じられる）を放送受信機６０６に与える。さらに、ＣＥ６０４はＢＡＫ発生器６１２からＢＡＫ、ＢＡＫｓｅｑ（何れのＢＡＫ値かを識別する）およびＳＫ寿命期間（どのくらい長くＳＫが有効であるかを定義する）を受信する。これらの値はＣＥ６０４内における処理のために与えられる。ＣＥ６０４は内容を暗号化し、そして暗号化された製品を放送受信機６０６に与える。ＣＥ６０４はまたＢＡＫｓｅｑを放送受信機６０６に与える。ＢＡＫが更新されるときに、ＢＡＫｓｅｑ値はそれぞれのＢＡＫを識別する。内容暗号化器６０４がＳＫを発生することに注意すべきである。ＳＫ発生はＳＰＩに基づいているかも知れず、あるいは暗号化されたＳＫ（ＥＳＫ）であるかも知れない。

ＳＰＩに基づいたＳＫの発生に対しては、ＳＰＩは４ビットＢＡＫｓｅｑおよび２８ビットＳＰＩ＿ＲＡＮＤから形成されることが可能である。

ＳＰＩ＝（ＢＡＫｓｅｑ， ＳＰＩ＿ＲＡＮＤ ）がＳＰＩ＿ＲＡＮＤをＢＡＫで暗号化することによって発生される場合に、ＳＫはパケットに対する。ここで、“Ｘ＿ＲＡＮＤ”は、Ｘの値を求めるために使用されるランダムな数である。ＳＰＩの変更はＳＫにおける変更を示す。内容暗号化器６０４は、 ＳＰＩ＿ＲＡＮＤを選定し、ＳＫを発生し、そしてＳＰＩ（ＢＡＫｓｅｑ， ＳＰＩ＿ＲＡＮＤ ）を形成する。内容暗号化器（ＣＥ）６０４は、ＳＫを用いて内容を暗号化し、そして暗号化された内容とともにＳＰＩを放送受信機６０６に送出する。放送受信機６０６は、ＳＰＩを抽出しＳＰＩを、ＳＰＩ＿ＲＡＮＤおよびＢＡＫからＳＫを計算するＵＩＭ６０８に通す。ＵＩＭ６０８はＳＫを、ＳＫを用いて内容を解読する放送受信機６０６に通す。

ＥＳＫに対しては、内容暗号化器６０４はＥＳＫを発生するためにＢＡＫを用いてＳＫを暗号化する。内容暗号化器６０４はＳＫを選定しそれらから（ＢＡＫＳｅｑ，ＥＳＫ）を形成するためにＥＳＫを計算する。内容暗号化器６０４は、内容をＳＫを用いて暗号化し、そして周期的に（ＢＡＫＳｅｑ，ＥＳＫ）を暗号化された内容とともに放送受信機６０６に送出する。放送受信機６０６は、（ＢＡＫｓｅｑ，ＥＳＫ）を、ＳＫを計算し、そのＳＫを放送受信機６０６に戻し通すところのＵＩＭ６０８に通す。放送受信機６０６は、そこでＳＫを用いて内容を解読する。（ＢＡＫｓｅｑ，ＥＳＫ）は、独自のポート数をもったパケットに送出することが可能であり、そしてそれは同期化問題を導入するかも知れない。

放送受信機６０６は、内容解読およびシグナリングを与える。放送受信機６０６はＣＥ６０４から暗号化された内容、ＳＰＩあるいはＥＳＫ、およびＢＡＫｓｅｑを受信する。放送受信機６０６は、ＳＰＩあるいはＥＳＫおよびＢＡＫｓｅｑをＵＩＭ６０８に与え、そしてＵＩＭ６０８からＳＫ要求および／あるいはＢＡＫ要求を受信する。さらに、放送受信機６０６はＲＫで暗号化されたＢＡＫを与え、あるいはＴＫ＿ＲＡＮＤで暗号化されたＢＡＫをＵＩＭ６０８に与える。

ＵＩＭ６０８は、端末基本キーＫ、ＳＳ基本キーＲＫ、およびアクセスキーＢＡＫを記憶する。ＵＩＭ６０８はＲＫおよびＴＫの値を決定する。ＵＩＭ６０８はＢＡＫを解読し、そしてＳＰＩおよびＢＡＫからＳＫを決定する。あるいは、ＵＩＭ６０８はまた、ＳＫを形成するためにＢＡＫを用いてＥＳＫを解読するために用いられるかも知れない。ＵＩＭ６０８は、ＳＫをＭＥに通す（図示せず）。

内容アクセスマネージャ６１０はＢＡＫ発生器６１２にＢＡＫ更新命令を与える。ＢＡＫ発生器６１２はＢＡＫおよびＢＡＫシーケンス数すなわちＢＡＫｓｅｑを発生する。ＢＡＫ発生器６１２は、ＢＡＫ、ＢＡＫｓｅｑ、およびＳＫ寿命期間を内容暗号化器６０４に与える。ＢＡＫ発生器６１２は、ＢＡＫ、ＢＡＫｓｅｑ、ＢＡＫ寿命期間（どのくらい長くＢＡＫが有効であろうかを定義する）をＢＡＫ配送サーバ６１６に与える。認証はサービス認証ユニット６１４によってＢＡＫ配送サーバ６１６に与えられる。ＢＡＫ配送サーバ６１６は、放送受信機６０６からＢＡＫ要求を受信する。ＢＡＫ配送サーバ６１６は、ランダムなＢＡＫ更新時間、ＲＫあるいはＲＫ＿ＲＡＮＤを用いて暗号化されたＢＡＫ、およびＴＫを用いて暗号化されたＢＡＫを放送受信機６０６に与えるために適応している。

第１の場合、ＢＡＫ配送サーバ６１６は、どのＢＡＫが要求されているかの識別すなわちＢＡＫｓｅｑとともに、放送受信機６０６からＢＡＫ要求を受信する。対応して、ＢＡＫ配送サーバ６１６は加入サーバ（ＳＳ）６１８にＴＫ要求を与える。ＳＳ６１８は、ＳＳおよびＵＩＭに対するＲＫ独自のキーを保持する。ＳＳ６１８は基本キーおよびＴＫ＿ＲＡＮＤから一時的なキー（ＴＫ）を形成する。ＳＳ６１８はそこで、ＢＡＫ配送サーバ６１６にＴＫ＿ＲＡＮＤ値を送出する。

第２の場合、 ＢＡＫ配送サーバ６１６は、ＢＡＫ要求によって定義されたＢＡＫおよび放送受信機６０６から受信されたＢＡＫｓｅｑをＳＳ６１８に送出する。対応して、ＳＳ６１８はＢＡＫをＲＫで暗号化し、そして暗号化されたＢＡＫをＢＡＫ配送サーバ６１６に戻す。

なお他の場合、ＢＡＫ配送サーバ６１６は、認証サーバ６２０にＴＫ要求を送出する。認証サーバ６２０は端末基本キーＫを保持し、そして基本キーおよびランダムな数からＴＫおよび／あるいはＲＫを形成する。認証サーバ６２０はそこで、ＴＫ＿ＲＡＮＤをＢＡＫ配送サーバ６１６に送出する。この中で以下に記述されるように、ＢＡＫ配送サーバ６１６はまた、ＢＡＫ暗号化器として参照されるかも知れないことに注意すべきである。

ＵＩＭ６０８は、認証サーバ６２０によって与えられたＲＫ＿ＲＡＮＤからＲＫを計算する。認証サーバ６２０は、ＵＩＭ６０８からのＲＫ要求に応じてＲＫ＿ＲＡＮＤを与える。認証サーバ６２０はまたＲＫ値をＳＳ６１８に与える。

ＢＡＫ配送サーバ６１６はＵＩＭ６０８にランダムなＢＡＫ更新期間を与える。ランダムなＢＡＫ更新期間は、ＵＩＭ６０８に、いつＢＡＫ更新を要求すべきかを命令する。このような更新のランダムなタイミングはすべてのユーザが同時に更新を要求しそしてシステムに負担をかけることをしないことを保証する。

図１０、１１、および１２は、種々のシステム配列に対する、暗号化および安全適用の種々の実施例を示す。各図面は、信号、キー、およびシステム内の情報の流れを示す凡例を含む。凡例は、図の右下側の隅におかれている。これらの例によって示されるように暗号化は、この中で暗号化は基地局制御器（ＢＳＣ：Base Station Controller）、パケット制御機能（ＰＣＦ：Packet Control Function）ノード、他の同様なノード、あるいはこれらの組み合わせにおいて実行されるようにリンクレイヤにおいて実行されることが可能である。リンクレイヤ暗号化方法の一つの実施例は図１０に示されている。暗号化はまた、エンドツーエンド基準で与えられることが可能であり、ここで一つの実施例は図１１に示される。エンドツーエンド暗号化方法は、この中で以上にＩＰｓｅｃの使用を通じて記述されている。図１１に示された実施例は、アプリケーションレイヤで暗号化を実行する。

ＢＡＫは、周期的にあるいはそうでなければ時々更新されることに注意すべきである。ＢＡＫ更新はＳＳ暗号化されるかも知れない。そこでは、ＢＡＫ暗号化器はＢＡＫをＳＳに送出し、ＳＳはＢＡＫを暗号化し、暗号化されたＢＡＫをＢＡＫ暗号化器に返す。特別には、ＢＡＫ暗号化器はＢＡＫをＳＳに送出する。ＳＳはＢＡＫを、暗号化されたＢＡＫ（ＥＢＡＫ）にＲＫを用いて暗号化する。ＳＳはＥＢＡＫをＢＡＫ暗号化器に返す。ＢＡＫ暗号化器は、ＢＡＫを回復するためにＲＫを用いてＥＢＡＫを解読する、ＵＩＭにＥＢＡＫを送出する。

あるいは、ＢＡＫはローカルに暗号化されるかもしれない。この場合、ＳＳは一時的なキー（ＴＫ）をローカルＢＡＫ暗号化器に与える。もしもＢＡＫ暗号化器がローカルネットワークの中にある場合は、そこでＢＡＫ暗号化器は、ＣＫをＴＫとして使用することが可能である。ここで、ＣＫは認証ベクトル（ＡＶ：Authentication Vector）から導出される。

ＢＡＫ暗号化器の位置は、システムのニーズおよび目標に従って設計されることが可能である。ＢＡＫ暗号化器はＳＳから（ＴＫ＿ＲＡＮＤ，ＴＫ）対を得る。一つの実施例においては、ＴＫは、
ＴＫ＝ｆ（ ＴＫ＿ＲＡＮＤ，ＲＫ） （１１）
として与えられる。ＢＡＫ暗号化器は、（ＴＫ＿ＲＡＮＤ，ＴＫ）対を再使用することが可能である。ＳＳは複数の対を送出することが可能である。ＢＡＫ暗号化器は、そこでＥＢＡＫを形成するためにＴＫを用いてＢＡＫを暗号化する。ＢＡＫ暗号化器はそこで、ＵＩＭに（ＴＫ＿ＲＡＮＤ，ＥＢＡＫ）を送出する。ＵＩＭは上に与えられた式（１１）を用いてＴＫを形成する。ＵＩＭはＢＡＫを回復するためにＴＫを用いてＥＢＡＫを解読する。

代わりの実施例においては、ＢＡＫ更新は、認証、課金処理および許可（ＡＡＡ）ユニットＨＬＲ／ＡＡＡからのＴＫを用いてローカルに暗号化される。この場合、ＳＳはＨＬＲ／ＡＡＡである。ＭＳは特別なＡＫＡ交渉を実行する。認証ベクトルはＣＫを含み、ここで、ＣＫは
ＣＫ＝ｆ（ＣＫ＿ＲＡＮＤ，Ｋ） （１２）
として定義される。ここでＫは、ＨＬＲあるいはホームネットワークにおける基本キーであるＡキーに等しい。ＢＡＫ暗号化器は（ＣＫ＿ＲＡＮＤ，ＣＫ）対を再使用することが可能である。ＨＬＲ／ＡＡＡは、複数の対を送出可能である。ＣＫおよびＣＫ＿ＲＡＮＤは、ＥＢＡＫを形成するためにＣＫを用いてＢＡＫを暗号化するＢＡＫ暗号化器に通される。ＢＡＫ暗号化器はそこで、ＵＩＭに（ＣＫ＿ＲＡＮＤ，ＥＢＡＫ）対を送出する。これに応じてＵＩＭは式（１２）に定義されたようにＣＫを形成する。ＵＩＭはＢＡＫを形成するためにＣＫを用いてＥＢＡＫを解読する。

一つの実施例においては、ＢＡＫ暗号化器は、１個の内容サーバ（ＣＳ）と組み合わせられる。他の実施例においては、図１２に示したように、複数のＣＳと組み合わせられることが可能な、集中化されたＢＡＫ暗号化器が使用される。

ＳＫは周期的にあるいは時々更新される。一つの実施例においては、ＳＫはＳＰＩから導出される。他の実施例においては、ＳＫは暗号化された形態で与えられる。特別なポート数がＳＫを含むパケットを表示するために使用されることが可能である。たとえば、ＢＳＲ＿ＩＤ等の放送フレーム識別子が、ＳＫを含むパケットを表示するために、“０００”等のあらかじめ設定された値にセットされることが可能である。

図１０は、リンクレイヤ内容暗号化を与える一つの実施例を示す。システム７００は、ＭＥ７０４に結合されたＵＩＭ７０２を含む。ＵＩＭ７０２は、ＭＥ７０４に暗号化されていないＢＡＫを与える。ＭＥ７０４はＵＩＭ７０２に、暗号化されたＢＡＫを与える。同様にＭＥ７０４は、ＵＩＭ７０２にＲＫ−ＡＫＡを与える。示されたように、ＳＫ発生、ＳＫ暗号化、および内容暗号化は、基地局制御器／パケット制御機能（ＢＳＣ／ＰＣＦ）ノード７０８によって内容プロバイダを所有するローカルネットワークにおいて実行される。暗号化されていない内容は、内部内容ソース(internal content source)（ＣＳ２）７２２からパケットデータサービスノード（ＰＤＳＮ）７１０に与えられる。ＰＤＳＮ７１０はそこで、暗号化されていない内容をＢＳＣ／ＰＣＦ７０８に通す。ＣＳ２ＢＡＫ発生器７２４は、暗号化されていないＢＡＫ値をＰＤＳＮ７１０に与え、そしてＣＳ２ＢＡＫ暗号化器７２６はＰＤＳＮ７１０からＢＡＫ要求を受信し、そして暗号化されたＢＡＫを代わりに与える。ＰＤＳＮ７１０はそこで、暗号化されていない内容、暗号化されていないＢＡＫ、および暗号化されたＢＡＫをＢＳＣ／ＰＣＦ７０８に進める。

ローカルネットワークは、ＶＬＲとして動作するＭＳＣ７０６を含む。ＢＳＣ／ＰＣＦ７０８は、ＲＫ要求に対応してＭＳＣ７０６からＲＫを受信する。ホームネットワーク７２８の中に位置するＡＣ７３０はＨＬＲとして動作する。ＭＳＣはＲＫを与えることによって応答するＡＣ７３０からＲＫを要求する。ＭＳＣ７０６は、ＲＫをＭＥ７０４に与えるＢＳＣ／ＰＣＦ７０８にＲＫを与える。さらに、ＢＳＣ／ＰＣＦ７０８は、暗号化された内容および暗号化されたＢＡＫをＭＥ７０４に与える。

ローカルな第三者内容プロバイダ７２０は、外部内容ソース(external content source)（ＣＳ１）７１４、ＣＳ１ ＢＡＫ発生器７１６、およびＣＳ１ ＢＡＫ暗号化器７１８を含む。暗号化されたＢＡＫはＢＡＫ暗号化器７１８からＰＤＳＮ７１０に与えられる。外部内容ソースＣＳ１ ７１４は、ＰＤＳＮ７１０に、暗号化されていない内容および暗号化されていないＢＡＫを与える。

加入を記憶するエンティティ７３２は、加入サーバ７３４を含む。ＭＳＣ７０６はＲＫを加入サーバ７３４に与える。ＴＫ要求およびＴＫ＿ＲＡＮＤ対は、加入サーバ７３４およびＢＡＫ暗号化器７１８および７２６の間で通信される。信号シーケンスは図１０の凡例に与えられた通りであり、ここで、信号はＲＫ要求で開始される少なくなる順序で示される。

図１１は、エンドツーエンド内容暗号化を与える他の実施例を示す。システム８００の配置はシステム７００のそれと同様であるが、しかしながらシステム８００においては、内容ソース（ＣＳ２）８２２はＳＫ発生、ＳＫ暗号化、および内容暗号化を与える。内容ソース８２２は、ＰＤＳＮ８１０に暗号化された内容を与え、そしてＢＡＫ暗号化器８２６は、ＢＡＫを暗号化し、そしてＢＡＫ要求に対応してＰＤＳＮ８１０に暗号化されたＢＡＫを与える。ＰＤＳＮはさらにローカル第三者内容プロバイダ８２０の中の外部内容ソース（ＣＳ１）８１４から暗号化された内容を受信する。内容ソース８２２におけるように、外部内容ソース８１４はＳＫ発生、ＳＫ暗号化、および内容暗号化を実行する。ＢＡＫ暗号化器８１８は、暗号化されたＢＡＫをＰＤＳＮ８１０に与える。ＰＤＳＮ８１０はそこで、暗号化された内容および暗号化されたＢＡＫをＢＳＣ／ＰＣＦ８０８に与える。

図１２は、エンドツーエンド内容暗号化を有する集中化されたＢＡＫ暗号化を与える実施例を示す。システム９００の配置はシステム８００のそれと同様である。ここで、ＳＫ発生、ＳＫ暗号化、および内容暗号化は内容ソース（ＣＳ２）９２２および外部内容ソース（ＣＳ１）９１４によって実行される。システム９００は、ＣＳ２ ＢＡＫ発生器９２４およびＣＳ１ ＢＡＫ発生器９１６からの暗号化されていないＢＡＫを受信する集中化されたＢＡＫ暗号化器９１２を含む。集中化されたＢＡＫ暗号化器９１２は、暗号化されたＢＡＫを、ＢＡＫ要求に対応してＰＤＳＮ９１０に与える。集中化されたＢＡＫ暗号化器９１２は、さらに、ＴＫ要求およびＴＫ＿ＲＡＮＤ／対と協定するために加入サーバ９３２と通信する。

図１３は、ＲＫを準備するためのタイミング線図である。垂直軸は時間軸を与える。そしてシステムエレメントは上部水平軸上に与えられる。ＭＥはＶＬＲとして動作しているＭＳＣにメッセージを送出することによって認証されたキー協定（ＡＫＡ）手順を開始する。ＡＫＡ手順は、そのように命名されたブロックの中で識別される。ＭＳＣはそこで、ＨＬＲに認証ベクトル（ＡＶ）要求を送出する。ＨＬＲはＲＡＮＤ値を選択し、そしてそれからＡＶを発生する。ＡＶは
ＡＵＴＨ＝ｆ１（ＲＡＮＤ，Ｋ） （１３）
ＸＲＥＳ＝ｆ２（ＲＡＮＤ，Ｋ） （１４）
ＣＫ＝ｆ３（ＲＡＮＤ，Ｋ） （１５）
として示される変数と同様にランダムな数ＲＡＮＤを含むかも知れない。ここで、ｆ１、ｆ２、ｆ３等は変数の各々を計算するための異なった関数を示すために定められる。

ＨＬＲは、ＡＶをＭＳＣあるいはＶＬＲに与える。もしもＭＳＣが余分のＡＶを有する場合は、この余備品が使用され、そしてＨＬＲからＡＶを要求する必要はない。ＡＶからの情報は認証を確認し処理変数を計算するＵＩＭに進められる。このような処理はそこでＭＳＣによって識別される。ＭＳＣは、式（１３）に示されたようにＡＵＴＨを計算することによって、そしてさらに、次の変数を計算することによって認証を確認する。

ＲＥＳ＝ｆ２（ＲＡＮＤ，Ｋ） （１６）
ＲＫ＝ＣＫ＝ｆ３（ＲＡＮＤ，Ｋ） （１７）
ＲＫ値は確認処理を進めるＳＳに送出される。ＳＳはそこで、ランダムな数ＲＡＮＤ２を選択し、そして
ＡＵＴＨ２＝ｆ１（ＶＥＲ＿ＲＡＮＤ２，ＲＫ） （１８）
を計算することによってさらなる確認を実行する。ＳＳは、ＭＥに対して認証を確認し、そして承認する（あるいは否定的に承認する）ＵＩＭに認証情報を与える。

図１４は、ＳＳ暗号化されたＢＡＫ値の発生を示すタイミング線図である。図９を参照すると、たとえば、ＢＡＫ配送サーバ（あるいは暗号化器）６１６はＢＡＫ要求をＳＳ６１８に送出し、そしてＳＳ６１８はＥＢＡＫを形成するためにＲＫを用いてＢＡＫを暗号化する。ＳＳ６１８はＥＢＡＫをＢＡＫ配送サーバ６１６に送出する。図１４に示したようにＭＥは、ＢＡＫ暗号化器を経由してＳＳからＢＡＫを要求する。ＭＥはＢＡＫ要求メッセージをＢＡＫ暗号化器に送出する。ＢＡＫ暗号化器はそこでＢＡＫおよび組み合わせられた情報をＳＳに送出する。ＳＳはＢＡＫを受信し、そして暗号化されたＢＡＫ（ＥＢＡＫ）を発生する。ＥＢＡＫは、ＢＡＫを回復するためにＥＢＡＫを解読するＵＩＭに進められる。ここで、このような計算は、
ＢＡＫ＝Ｄ［ＥＢＡＫ，ＲＫ］ （１９）
として与えられる。ここでＤ［］は、解読演算子である。ＵＩＭはさらに
ＡＵＴＨ＿ＢＡＫ＝ｆ１（ＲＡＮＤ＿ＢＡＫ，ＢＡＫ） （２０）
を計算することによってＢＡＫを確認する。ＵＩＭは、承認あるいは失敗のメッセージをこの確認に対応して送出する。失敗の場合は、失敗処理がＭＥによって実行されあるいは開始される。与えられた期間中変数を計算するための種々の関数は同じ関数であるかも知れずあるいは各々は個別に割り当てられる（指定される）かも知れない。

図１５は、ローカルに暗号化されたＢＡＫ処理を示すタイミング線図である。図９を参照するとたとえば、ＢＡＫ配送サーバ（あるいは暗号化器）６１６は、ＴＫ要求をＳＳ６１８に送出し、そしてＳＳ６１８は、基本キーおよびランダムな数ＴＫ＿ＲＡＮＤからＴＫを形成する。ＳＳ６１８はＴＫ＿ＲＡＮＤをＢＡＫ配送サーバ６１６に送出する。ＢＡＫ配送サーバ６１６はそこでＢＡＫをＴＫ＿ＲＡＮＤで暗号化する。図１５に示されたように、ＭＥはＢＡＫ暗号化器にＢＡＫ要求メッセージを送出する。もしもＢＡＫ暗号化器が現在の加入データをもっていない場合は、ＢＡＫ暗号化器はＳＳからこのようなものを要求する。もしもＢＡＫ暗号化器がＴＫ対を有していない場合は、ＳＳはランダムな数ＴＫ＿ＲＡＮＤを選定し、そしてＴＫを
ＴＫ＝ｆ（ ＴＫ＿ＲＡＮＤ ，ＲＫ） （２１）
として計算する。ＳＳはいくつかの（ ＴＫ＿ＲＡＮＤ ，ＲＫ）対をＢＡＫ暗号化器に送出する。ＢＡＫ暗号化器は、ＴＫを用いてＢＡＫを暗号化することによってＥＢＡＫを計算する。ＢＡＫ暗号化器はそこで他のＢＡＫ情報と同様にＥＢＡＫ、ＴＫ＿ＲＡＮＤを、このような情報をＵＩＭに進めるところのＭＥに与える。ＵＩＭは式（２１）に従ってＴＫを計算し、式（１９）に従ってＥＢＡＫを計算し、そして式（２０）に従ってＡＵＴＨ＿ＢＡＫを計算する。ＵＩＭはＢＡＫを確認し、それに従って認可、あるいは失敗メッセージをＭＥに送出する。失敗の場合は、ＭＥによって失敗処理が実行され、あるいは開始される。

図１６は、最初の認証手順期間中にローカルＢＡＫがＡＶを受信してしまっており、そしてそこでＴＫを発生するためにそのＡＶからのランダムな値を使用する場合の安全処理を示す。この状況においては、ＢＡＫ暗号化器はＶＬＲである。ＢＡＫ暗号化器はＳＳ（これはＨＬＲと見なされる）に対してＡＶ要求を送出する。対応して、ＳＳはランダムな数ＲＡＮＤを選定し、そして式（１３）、（１４）、および（１５）にそれぞれ与えられたように、ＡＵＴＨ、ＸＲＥＳ、およびＣＫを計算する。ＳＳはＡＶを、ＥＢＡＫを形成するためにＢＡＫを暗号化するＢＡＫ暗号化器に送出する。ＢＡＫ暗号化器はそこでＲＡＮＤ、ＥＢＡＫ、およびＢＡＫ情報を、このような情報をＵＩＭに進めるＭＥに送出する。ＵＩＭは、式（２１）に従ってＴＫを計算し、式（１９）に従ってＥＢＡＫを計算し、そして式（２０）に従ってＡＵＴＨ＿ＢＡＫを計算する。ＵＩＭは、ＢＡＫを確認し、そしてそれに従って認可あるいは失敗メッセージをＭＥに送出する。失敗の場合は、ＭＥによって失敗処理が実行されあるいは開始される。

図１７は、リンクレイヤ暗号化を示すタイミング線図である。ここで、ＢＳＣはＳＫおよび内容を暗号化する。図９および１０を参照するとここで、ＢＳＣ７０８は、ＳＫ発生、ＳＫ暗号化、および内容暗号化を実行する。図１７に示したように、ＢＡＫ暗号化器はＢＡＫおよびＳＫ情報と同様に、ＢＡＫをＢＳＣに与える。ＢＳＣはＳＫを選定しそしてＥＳＫを形成するためにＢＡＫを用いてＳＫを暗号化する。ＢＳＣはさらにランダムな数ＳＫ＿ＲＡＮＤを選定し、そして
ＡＵＴＨ＿ＳＫ＝ｆ１（ ＳＫ＿ＲＡＮＤ ，ＳＫ） （２２）
として与えられる認証変数ＡＵＴＨ＿ＳＫを計算する。ＢＳＣは、ＥＳＫ、ＳＫ＿ＲＡＮＤ、ＡＵＴＨ＿ＳＫ、およびＢＡＫ情報を、これらの情報をＵＩＭに進めるところのＭＥに与える。ＵＩＭはＳＫを
ＳＫ＝Ｄ［ＥＳＫ，ＢＡＫ］ （２３）
として計算し、 そしてＡＵＴＨ＿ＳＫを式（２２）で与えられるとして計算する。ＵＩＭはそこで、ＳＫあるいは失敗メッセージをＭＥに送出する。失敗に対しては、ＭＥは失敗処理を実行し、あるいは開始する。ＳＫの識別に対して暗号化されたリンクが現在安全な通信に対して利用可能である。

キー識別は通信システムにおけるさらなる安全考慮である。もしも通信および／あるいはＳＳ、ＢＡＫ暗号化等の処理において若干の混乱が存在して来ている場合は、正しくない値のキーがＵＩＭ内に導出されているかも知れない。その結果、ＵＩＭに対して、ＲＫ、ＢＡＫ、およびＳＫが正しく準備されているかを 決定するためのニーズが存在する。一つの実施例に従って、与えられたキーと組み合わせられたランダムな数を用い、そしてそのランダムな数を用いて与えられたキーに対する識別演算を実行することによって識別が実行される。識別の結果はそこでＵＩＭに送出される。ＵＩＭは識別結果をチェックする。たとえば、ＫｘはＲＫ、ＢＡＫ、ＳＫあるいは通信システムにおいて暗号化のために設計された任意の他のキーを表すとしよう。キーＫｘを確立しているエンティティは、最初にランダムな数ＲＡＮＤ＿Ｋｘを選定する。エンティティはそこで、
ＶＥＲＩＦ＿Ｋｘ＝ｆ（ ＲＡＮＤ＿Ｋｘ ，Ｋｘ） （２４）
として与えられる識別結果を計算する。エンティティはそこで、（ ＲＡＮＤ＿Ｋｘ ，ＶＥＲＩＦ＿Ｋｘ）対をＵＩＭに送出する。ＵＩＭはそこで式（２４）に定義された識別結果をチェックすることによってＫｘが正しいかどうかを決定する。もしも識別結果が正しい場合は、ＵＩＭはキーを受け入れる。そうでない場合はＵＩＭはキー識別誤り処理を実行する。そしてそれは、キーが正しくないことにかかわるエンティティ、あるいは複数のエンティティを発表することを含むかも知れない。もしもエンティティがＵＩＭから応答を受信しない場合は、エンティティはキーが正しく受信されたと仮定する。

同様に、ＢＡＫ識別は実行されることが可能である。ここで、ＵＩＭにＥＢＡＫを送出するのに先立って、ＢＡＫ暗号化器は識別手順を実行する。ＢＡＫ暗号化器はランダムな数ＲＡＮＤ＿ＢＡＫを選定し、そして識別結果を
ＶＥＲＩＦ＿ＢＡＫ＝ｆ１（ ＲＡＮＤ＿ＢＡＫ ，ＢＡＫ） （２５）
として計算する。ここで、ＢＡＫは識別されたキーである。ＢＡＫ暗号化器は、ＵＩＭに、（ＥＢＡＫ，ＲＡＮＤ＿ＢＡＫ，ＶＥＲＩＦ＿ＢＡＫ）を送出する。ＢＡＫ暗号化器は、付加的な情報をその上に送出することが可能である。ＵＩＭはＥＢＡＫを解読しそして式（２５）を確認する。確認した場合は、ＵＩＭは導出されたＢＡＫ値を用い、そうでない場合は、ＵＩＭはＢＡＫが正しくないＢＡＫ暗号化器を発表する。

キー識別において、ＲＡＮＤ＿Ｋｘは時間に対する値を含むことが可能であることは注意すべきである。この場合ＶＥＲＩＦ＿ＫｘはいつＫｘがＵＩＭに送られたかを識別する “タイムスタンプ”となる。これは、誰かがキーがすでに使用されてしまっているときに、ある時刻だけ遅れて同じパケットを送出することによってＵＩＭを混乱させることを試みる、再生攻撃(replay attack)を防止する。ＵＩＭは時刻が違っていることを検出するであろう。攻撃者は、それがまたＶＥＲＩＦ＿Ｋｘの値を変更するであろうために時刻を変更することができない。

当業界において熟練した人々は、情報および信号は種々の異なった技術および手法の任意のものを使用して表すことが可能であることを理解するであろう。たとえば、上の記述を通して参照されることが可能な、データ、指令、命令、情報、信号、ビット、シンボル、およびチップは、電圧、電流、電磁波、磁場あるいは粒子、光学場あるいは粒子あるいはこれらの任意の組み合わせによって示されることが可能である。

熟練した人々はさらに、この中に開示された実施例に関連して記述された、種々の例証となる論理ブロック、モジュール、回路、およびアルゴリズムステップは電子的ハードウエア、計算機ソフトウエア、あるいは両者の組み合わせとして実現可能であることを正しく評価するであろう。ハードウエアおよびソフトウエアのこの互換性を明らかに示すために、種々の例証的なコンポーネント、ブロック、モジュール、回路、およびステップが一般的にそれらの機能の形で上に記述されてきている。これらの機能が、ハードウエア、あるいはソフトウエアとして実現されるかは、特定の応用およびシステム全体に課せられた設計制約によって異なる。熟練した技術者は、記述された機能を各特定の応用に対して、種々の方法で実現することが可能であるが、しかしこれらの実現の決定は本発明の範囲からの逸脱の原因となると解釈されるべきではない。

この中に開示された実施例と結合して記述された、種々の例証的な論理ブロック、モジュール、および回路は、汎用処理装置、ディジタル信号処理装置（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、あるいは他のプログラム可能な論理デバイス、ディスクリートゲートあるいはトランジスタ論理、ディスクリートハードウエアコンポーネント、あるいはこの中に記述された機能を実行するために設計されたこれらの任意の組み合わせを用いて実現され、あるいは実行されることが可能である。汎用処理装置はマイクロ処理装置であるかも知れず、しかし代わりに処理装置は、任意の従来の処理装置、制御器、マイクロ制御器、あるいはステートマシンであるかも知れない。処理装置はまた、計算デバイスたとえばＤＳＰおよびマイクロ処理装置の組み合わせ、複数のマイクロ処理装置、ＤＳＰコアと結合した１個あるいはそれ以上のマイクロ処理装置、あるいは、任意の他のこのような配置として実現されるかも知れない。

この中に開示された実施例に関連して記述された方法のステップあるいはアルゴリズムは、直接にハードウエア内で、処理装置によって実行されるソフトウエア内で、あるいはこの二つの組み合わせ内で実行されることが可能である。ソフトウエアモジュールは、ＲＡＭメモリ、フラッシュメモリ、ＲＯＭメモリ、ＥＰＲＯＭメモリ、ＥＥＰＲＯＭメモリ、抵抗器、ハードディスク、取り外し可能なディスク、ＣＤ−ＲＯＭ、あるいは当業界において知られる記憶媒体の任意の他の形態の中に置かれるかも知れない。典型的な記憶媒体は、その処理装置が記憶媒体から情報を読み取り、それに情報を書き込むことが可能なように処理装置と結合される。あるいは記憶媒体は、処理装置に合体されるかも知れない。処理装置および記憶媒体はＡＳＩＣ内に置かれるかも知れない。ＡＳＩＣはユーザ端末内に置かれるかも知れない。あるいは、処理装置および記憶媒体はディスクリートコンポーネントとしてユーザ端末の中に置かれるかも知れない。

開示された実施例に関する以上の記述は、当業界において熟練したいかなる人も本発明を作成しあるいは使用することを可能とするために与えられる。これらの実施例に関する種々の変形が、当業界において熟練した人々には容易に明白であろうし、そしてこの中に定義された一般的な原理は、本発明の精神および範囲から逸脱することなしに、他の実施例に適用することが可能である。したがって、本発明はこの中に示された実施例に限定されることを意図したものではなく、しかしこの中に開示された原理および新規な特徴に矛盾のない最も広い範囲に一致されるべきものである。

Claims (8)

1. 放送サービスをサポートする通信システムにおける、暗号化キー取り扱いのための方法であって、
   ホームネットワーク内容プロバイダから遠隔局に対して基本キーを要求し、
   基本キーを遠隔局に配送するための認証手順を適用し、そして
   基本キーをユーザ識別モジュール（ＵＩＭ）の中に記憶する
   ことを含む方法。
2. 放送サービスをサポートする通信システムにおける、暗号化キー取り扱いのための方法であって、
   基本キーを遠隔局のユーザ識別モジュール（ＵＩＭ）の中に記憶し、
   放送サービスのための暗号化された放送アクセスキー（ＥＢＡＫ）を受信し、
   基本キーに基づいてＥＢＡＫを解読することを含む方法。
3. ここで、ＥＢＡＫは、一時的なキー（ＴＫ）を使用して暗号化されており、方法はさらに、
   一時的なキー（ＴＫ）と組み合わせられたランダムな数を受信し、
   基本キーを使用してランダムな数からＴＫを発生し、
   ＴＫを使用してＥＢＡＫを解読する
   ことを含む、請求項２記載の方法。
4. ここで、ＥＢＡＫは周期的に更新され、そして各ＥＢＡＫは組み合わせられたＢＡＫ識別子を有しており、ここで、各ＥＢＡＫは組み合わせられたＴＫおよびランダムな数を有している、請求項３記載の方法。
5. ここで、ＥＢＡＫは、訪問した内容サーバにおいて暗号化される、請求項２記載の方法。
6. ここで、ＴＫおよびランダムな数は、ホーム内容サーバによって発生される、請求項５記載の方法。
7. 放送サービスをサポートする通信システムにおける、暗号化キー取り扱いのための方法であって、
   暗号化された短期間キー（ＳＫ）を受信し、ここで、ＳＫは、
   放送アクセスキー（ＢＡＫ）を使用して暗号化されており、
   ＢＡＫを使用してＳＫを解読する、
   ことを含む方法。
8. 安全な伝送のための方法であって、方法は
   安全な伝送に対する要求を受信し、
   放送アクセスキーを要求し、
   暗号化された放送アクセスキーを受信し、
   放送アクセスキーの関数として短期間キーを発生し、そして
   安全な伝送に対する内容を暗号化する
   ことを含む方法。

Images