JP2012502548A - 認証能力のセキュアなネゴシエーション - Google Patents

Abstract

【課題】認証能力、及び、認証が行われる前に通知する必要があり得る他の「基本的な」能力の競り下げに対する、簡単かつ効率的な（共有鍵ベースの）保護
【解決手段】ネットワーク（２０）は、認証ノード（２２）と、ＡＡＡ（認証、許可、及び課金）サーバ等のサーバ（２４）と、を含む。方法は、端末（３０）がネットワークアクセスインタフェース（３２）を介してネットワークに認証能力情報（ＡＣ）を送信することを含む（認証能力情報は端末の認証能力の指示を与える）。次いでネットワーク（２０）は、認証能力情報を用いて第１の暗号値を決定する。次いで端末（３０）は認証能力情報を用いて第２の暗号値を決定する。ネットワーク（２０）は第１の暗号値及び第２の暗号値を比較して端末を認証する。
【選択図】図６

Description

本出願は、２００８年９月５日に出願された「SECURE NEGOTIATION OF AUTHENTICATION CAPABILITIES」と題する米国仮出願６１／０９４，７１５号の優先権及び利益を主張する。この出願は引用によりその全体が本願に含まれるものとする。

本発明は電気通信に関し、更に具体的には通信の認証に関する。

[0001] 典型的なセル式無線システムにおいて、無線端末（移動局及び／又はユーザ装置ユニット（ＵＥ）としても知られる）は、無線アクセスネットワーク（ＲＡＮ）を介して１つ以上のコアネットワークと通信を行う。無線端末は、無線能力を有する移動電話（「セル式」電話）及びラップトップ（例えば移動終端器）等の移動局又はユーザ装置ユニット（ＵＥ）とすることができるので、例えば、無線アクセスネットワークと音声及び／又はデータの通信を行う携帯型、ポケット用、ハンドヘルド型、コンピュータ内蔵、又は車載型の移動デバイスとすることができる。

[0002] 無線アクセスネットワーク（ＲＡＮ）は、通常は複数のセル領域に分割された地理的領域をカバーする。各セル領域は、例えば無線基地局（ＲＢＳ）のような基地局によって対応される。いくつかのネットワークにおいて、ＲＢＳは、ＷｉＭＡＸでは「ＢＳ］と呼ばれ、ＷＬＡＮでは「ＡＰ」と呼ばれ、また第３世代移動ネットワークでは「ＮｏｄｅＢ」又は「Ｂｎｏｄｅ」としても知られている。セルは、基地局サイトにおける無線基地局装置によって無線サービスエリアが提供される地理的領域である。各セル及び／又は基地局は、ローカル無線領域内のアイデンティティによって識別され、これはセル内で同報通信される。基地局は、基地局の範囲内のユーザ装置ユニット（ＵＥ）と、無線周波数で動作するエアインタフェースを介して通信を行う。

[0003] 無線アクセスネットワークのいくつかのバージョン（特に初期のバージョン）においては、いくつかの基地局は通常、（例えば地上通信線又はマイクロ波によって）無線ネットワークコントローラ（ＲＮＣ）に接続される。無線ネットワークコントローラは、基地局コントローラ（ＢＳＣ）と称されることもあり、接続された複数の基地局の様々なアクティビティを監視し調整する。無線ネットワークコントローラは通常、１つ以上のコアネットワークに接続される。また、基地局は、コアネットワークによって補助されて、又は直接的な基地局相互接続を用いて、基地局間で無線端末のハンドオーバを可能とするための手段を有する場合がある。

[0004] ＵＭＴＳ（Universal Mobile Telecommunications System）は、ＧＳＭ（Global System for Mobile Communications）から発展した第３世代移動通信システムであり、広帯域符号分割多元接続（ＷＣＤＭＡ）アクセス技術に基づいて改良された移動通信サービスを提供することを目的とする。ＵＴＲＡＮは、本質的に、ユーザ装置ユニット（ＵＥ）のための広帯域符号分割多元接続を用いた無線アクセスネットワークである。３ＧＰＰ（Third Generation Partnership Project）は、更に別のＵＴＲＡＮ及びＧＳＭベースの無線アクセスネットワーク技術の開発に取り組んでいる。

[0005] ３ＧＰＰにおいて、Ｅ−ＵＴＲＡＮ（次世代ユニバーサル地上無線アクセスネットワーク：Evolved Universal Terrestrial Radio Access Network）のための規定が進行中である。Ｅ−ＵＴＲＡＮは、ＬＴＥ（Long Term Evolution）を含み、ＳＡＥ（System Architecture Evolution）の一部である。

[0006] ＬＴＥは、３ＧＰＰ無線アクセス技術の変形であり、無線基地局ノードが無線ネットワークコントローラ（ＲＮＣ）ノードでなく直接コアネットワークに接続されるものである。一般に、ＬＴＥにおいては、無線ネットワークコントローラ（ＲＮＣ）ノードの機能は無線基地局ノードによって実行される。このため、ＬＴＥシステムの無線アクセスネットワーク（ＲＡＮ）は、無線ネットワークコントローラ（ＲＮＣ）ノードの監督下にあるのではない無線基地局ノードを含む本質的に「フラットな」アーキテクチャを有する。従って、Ｅ−ＵＴＲＡＮ（evolved UTRAN）は、例えば発展型ノードＢ又はｅＮＢのような発展型基地局ノードを含み、無線端末に対して発展型のＵＴＲＡＮユーザプレーン及び無線リソース制御プレーンプロトコル終端器を提供する。

[0007] ＷｉＭＡＸすなわちマイクロ波アクセスのための世界的相互運用性は、二地点間リンクから完全移動セル式アクセスまでの範囲にわたる様々な方法で無線データ伝送を提供する電気通信技術である。この技術は、配線も大きなネットワーク構造も実際に必要とすることなく広帯域速度を利用するというアイディアをユーザに提供する。この技術はＩＥＥＥ８０２．１６規格（ＷｉｒｅｌｅｓｓＭＡＮとも呼ばれる）に基づいている。「ＷｉＭＡＸ」という名前はＷｉＭＡＸフォーラムによって生成された。

[0008] 無線端末等のノードがネットワークに接続すると、多くの場合、無線インタフェース上で認証及び暗号化の使用の設定を含むセキュリティハンドシェークが実行される。このために、無線端末は、サポートするセキュリティ能力（例えばセキュリティアルゴリズム及びプロトコル）についてネットワークに通知して、ネットワークが適切な選択を実行できるようにしなければならない。しかしながら、以下に記載するように、この通知は、いわゆる競り下げ攻撃に対して影響を受けやすい恐れがある。

[0009] 例えば、無線端末が、認証アルゴリズムＳ（「セキュア」）及び認証アルゴリズムＬ（「低セキュア」）をサポートすると仮定する。更に、図１に示すように、悪質なパーティが無線端末の能力シグナルに介入して、これを認証アルゴリズムのセット｛Ｓ，Ｌ｝からセット｛Ｌ｝に変更したと仮定する。ネットワークは、無線端末（ＵＥ）が認証アルゴリズムＬ（「低セキュア」）のみをサポートすると考え、従ってネットワークは低セキュアＬを選択させられることになる。これは、無線端末に対して得られるセキュリティが、得られるはずであったよりも低いことを意味する。更に悪いことには、システムがセキュリティ能力なしの端末を許可すれば、攻撃者は、例えば｛ ｝のような空の認証アルゴリズムセットを転送することができ、無線端末はセキュリティを全くサポートしないということになる。従って、無線端末のセキュリティに関連した能力を（おそらくは他の能力も）含むメッセージを保護する必要がある。

[00010] セキュリティの脅威に対する通常の又は当然の手法は、無線端末のセキュリティ能力をネットワークに知らせる通知メッセージの完全性を保護することである。しかしながら、通知メッセージは一般に認証前に実行されなければならないので、通常この目的のために暗号鍵は利用可能でない。なぜなら暗号鍵は認証の後（又は認証と同時）に生成されるからである。公開鍵技術を用いることは１つの選択肢であるが、効率が低く、ほとんどの無線規格において公開鍵インフラストラクチャ（ＰＫＩ）はサポートされていない。

[00011] ＷＩＭＡＸのための解決策は、能力シグナル（ＳＢＣ能力）を認証ステップの後に移すことである。

[00012] 初期のＩＥＥＥ８０２．１６規格では、多くの極めて重要な欠点を有するＰＫＭ（Privacy and Key Management）プロトコルが用いられた。ＩＥＥＥ８０２．１６ｅは、ＰＫＭｖ２としてリリースされたＰＫＭプロトコルの新しいバージョンを含む。ＰＫＭｖ２は、以前のバージョンに比べて、ナンス、メッセージ認証コード、鍵ＩＤ、証明書等のセキュリティフィーチャを含む大きな変更が行われている。このため、ＷＩＭＡＸにおけるＰＫＭＶ２は、ＰＫＭ要求メッセージにおいていくつかのセキュリティ能力を伝達する。これらの能力はセキュリティ関連のものであり、また認証能力にも関連する場合があり、かかる能力も保護する必要がある。

[00013] 図２に、別の一般的な技法（例えば３ＧＰＰ ＵＭＴＳ及びＬＴＥにおいて用いられる）を示す。図２はネットワーク接続手順の無線端末実行部分を示す。基本的な無線接続確立（図示せず）はすでに行われていると仮定する。この技法は以下のステップを含む。

[00014] ステップ２−１：無線端末（ＵＥ）はそのセキュリティ能力をネットワーク（ＶＰＬＭＮ）に送信する。ここでのセキュリティ能力とは、認証（の成功）の後に用いられる暗号化アルゴリズム等を指す。

[00015] ステップ２−２：ネットワーク（ＶＰＬＭＮ）は、ＨＰＬＭＮのＡＡＡ（認証、許可、及び課金）サーバ又は一部から認証データをフェッチする。ＵＭＴＳにおいて、ＡＡＡサーバはＨＳＳ（ホーム加入者サーバ）として知られる。

[00016] ステップ２−３：チャレンジ−レスポンス手順（以下で更に詳細に説明する）による認証を実行し、鍵ｋを生成する。

[00017] ステップ２−４：ＶＰＬＭＮは、ステップ２−１のメッセージにおいて無線端末（ＵＥ）から受信したセキュリティ能力を「エコーする」が、ここでは完全性は鍵ｋによって保護されている（認証されている）。

[00018] ステップ２−５：無線端末（ＵＥ）は、同じ鍵ｋを用い、完全性を検証すると共に能力がメッセージ１で送信したものと同一であることをチェックする。

[00019] 図２によって例示された技法は、セキュリティ能力に関する上述の問題を解決するが、セキュリティ機能を認証してイネーブルした後になってから偽の能力メッセージが検出されるという好ましくない特性がある。更に、セキュリティ能力が信頼性高く保護されるのは認証手順がセキュアな方法で実行された場合のみである。なぜなら、そうでない場合には、鍵ｋが他のパーティに知られてステップ２−４でメッセージの偽造を可能とする恐れがあるからである。

[00020] 図２の手順の一部を形成するチャレンジ−レスポンスプロトコルは、従来技術において存在しており、認証のために用いられる（例えばＧＳＭ／ＵＭＴＳ認証及び鍵合意（ＡＫＡ）、拡張認証プロトコル（ＥＡＰ）、ダイジェスト認証等）。かかるプロトコルにおいては、無線端末及びＡＡＡサーバは予め共有された鍵（又はパスワード）Ｋを有すると仮定される。かかるチャレンジ−レスポンスプロトコルの基本的な態様について、以下に列挙した例示的なステップによって示す。

[00021] （１）ＡＡＡサーバはランダム値ＲＡＮＤを選択する。

[00022] （２）ＡＡＡサーバは予想レスポンスＸＲＥＳ＝Ｆ（Ｋ，ＲＡＮＤ）を計算する。ここで、Ｆは合意された暗号化関数である（また、ＦはＲＡＮＤでなく他のパラメータに依存することも可能である）。ＲＡＮＤ及びＫに基づいて、例えば鍵のような他のパラメータも計算することができる。

[00023] （３）ＡＡＡサーバはＲＡＮＤを無線端末に送信する。

[00024] （４）無線端末はレスポンスＲＥＳ＝Ｆ（Ｋ，ＲＡＮＤ）を計算し、これを（ＡＡＡサーバ又はアクセスネットワークにおける何らかの認証者ノードに対して）返信する。

[00025] （５）ＡＡＡサーバ／認証者はＲＥＳ＝ＸＲＥＳであるか否かをチェックし、これが成り立つならば無線端末が認証されていると見なす。

[00026] かかるチャレンジ−レスポンスプロトコルにおいては、必然的にステップ（２）はステップ（１）の後かつステップ（５）の前に実行しなければならないが、任意にステップ（３）及びステップ（４）の後に実行することも可能である。これによって可能な認証手順セットに制限が加わる。

[00027] 一般に、ＵＭＴＳ又はＬＴＥ等のシステムはセキュリティ能力を保護するが、認証能力は保護しない。近い将来、かかるシステムは複数の認証能力をサポートする可能性があり、従って認証能力の保護がないことは認証手順に対する根本的な脅威を生じ、更に「ドミノ効果」を生む。なぜなら、副作用としてセキュリティ能力が脅かされる恐れがあるからである。認証能力が保護されない理由は、部分的には、かかる保護を提供しようとする全ての直接的な手法に関連した固有の「因果関係のわからない」問題によるものである。

[00028] 更に、上述した従来技術の構成（例えばＵＭＴＳ）におけるセキュリティ関連能力は、移動先の公衆陸上移動ネットワーク（ＶＰＬＭＮ：visited public land mobile network）と無線端末との間で保護されるだけである。これはＶＰＬＭＮに強い信頼が必要であることを意味する。そうでない場合には、ＶＰＬＭＮが無線端末から転送された無線端末能力を「偽造」する可能性があるからである。特に、認証能力は時に、無線端末と認証及び課金（ＡＡＡ）機能／サーバとの間の「エンドツーエンド」の問題となる場合があり、同様にエンドツーエンド保護を行わなければならない。

[00029] 本明細書に開示する技術は、その態様の１つにおいて、インタフェースを介して無線端末と通信を行う通信ネットワークを動作させる方法に関する。このネットワークは、認証ノードと、ＡＡＡサーバ等のサーバと、を備える。この方法は、その最も基本的な形態において、端末がインタフェースを介してネットワークに認証能力情報を送信することを含む（認証能力情報は端末の認証能力の指示を与える）。次いでネットワークは、受信した認証能力情報を用いて、端末による認証及び鍵合意手順内で用いられる第１の暗号値を決定する。次いで端末は、認証能力情報を用いて、認証及び鍵合意手順内で用いられる第２の暗号値を決定する。第１及び第２の暗号値が異なる場合、認証及び鍵合意手順の少なくとも一部が失敗する。この失敗は、ネットワーク、端末、又はその双方によって検出することができる。

[00030] 例示的な実施において、認証能力情報は、端末によってサポートされる認証アルゴリズム、認証／プロトコル、又は認証信用証明書の識別（例えばリスト）を含む。

[00031] 第１の暗号値及び第２の暗号値を用いた認証手順の検証の取得は、様々な方法で行うことができる。例えば、検証の取得は、第１の暗号値及び第２の暗号値を比較することによって、認証手順が成功であるか否かを明示的に判定することを含むことができる（例えば、第１の暗号値が第２の暗号値と等しい場合に認証手順は成功であると判定される）。いくつかの例示的な実施形態において、第１の暗号値及び第２の暗号値のこのような比較はネットワークによって実行可能である。他の例示的な実施形態において、第１の暗号値及び第２の暗号値のこのような比較は端末によって実行可能である。更に別の例示的な実施形態では、検証の取得は本質的に、ネットワークと端末との間のセキュアな（例えば暗号化された）通信に関連付けて、ネットワークが第１の暗号値の使用を試み、端末が第２の暗号値の使用を試みることを含む。かかる実施形態は、暗号化／復号化動作通信が失敗しない場合に認証手順の成功を判定することを含む。この場合、検証は暗黙的比較の一例である。すなわち、これは、明示的な比較「ｘ＝＝ｙ？」に基づいておらず、何らかの暗号関数ｈ、ｇについての「ｈ（ｘ）はｇ（ｙ）と一致するか？」の形態の基準の評価に基づいている。

[00032] 従って、１つの例示的な実施形態において、ネットワークは端末に第１の暗号値を提供する。端末は、ネットワークを認証するために第１の暗号値及び第２の暗号値を比較し、それらが異なる場合には認証及び鍵合意手順を拒絶する。

[00033] 別の例示的な実施形態において、端末はネットワークに、暗号値として用いられる第２の暗号値を提供する。ネットワークは、端末を検証するために第１の暗号値及び第２の暗号値を比較し、それらが異なる場合には認証及び鍵合意手順を拒絶する。

[00034] 更に別の実施形態においては、第１及び第２の暗号値は、端末とネットワークとの間のセキュアな通信（例えば暗号化及び／又はデータ完全性保護）に用いられるセッション鍵材料を含む。ネットワーク又は端末のいずれかがセキュアな通信に関連した通信エラーを検出した場合、認証及び鍵合意手順は拒絶される。

[00035] この方法の例示的なサーバベースのモードにおいて、端末はインタフェースを介して認証ノード及びサーバに認証能力情報を送信する。サーバは、認証能力情報を用いて第１の暗号値を決定する。端末は、認証能力情報を用いて第２の暗号値を決定する。認証ノードは、第１の暗号値及び第２の暗号値を比較して端末を認証する。

[00036] サーバベースのモードの更に詳細な実施において、端末は無線インタフェースを介して認証ノードに認証能力情報を送信する。次いで認証ノードは、認証能力情報をサーバに送信する。サーバは、受信した認証能力情報、ランダム数、及び鍵（鍵は端末及びサーバによって予め共有されている）の関数として第１の暗号値を発生する。サーバは、ランダム数及び第１の暗号値を認証ノードに送信する。認証ノードはランダム数を端末に送信する。端末は、ランダム数、鍵、及び認証能力情報を用いて、第２の暗号値を計算する。端末は第２の暗号値を認証ノードに送信する。

[00037] サーバベースのモードの入力を変更した変形においては、端末はインタフェースを介して認証ノードに認証能力情報を送信する。認証ノードは認証能力情報をサーバに送信する。サーバは二次ランダム数を選択し、更に、この二次ランダム数及び受信した認証能力情報を用いて、一次ランダム数を決定する。サーバは、一次ランダム数及び鍵の関数として第１の暗号値を発生する。鍵は、端末及びサーバによって予め共有されている。サーバは、二次ランダム数及び第１の暗号値を認証ノードに送信する。認証ノードは二次ランダム数を端末に送信する。端末は、二次ランダム数及び認証能力情報を用いて、第２の一次ランダム数を決定する。端末は、第２の一次ランダム数及び鍵を用いて、第２の暗号値を計算する。

[00038] サーバベースのモードの入力を変更した変形では、サーバはサーバ第１関数を用いて第１の暗号値を決定し、サーバ第１関数に対する入力は認証能力情報に依存する。

[00039] 例示的な実施において、第１の暗号値は認証トークン（ＡＵＴＮ）である。別の実施形態において、第１の暗号値は暗号鍵（ＣＫ）及び／又は完全性鍵（ＩＫ）である。別の実施形態では、第１の暗号値は予想レスポンス（ＸＲＥＳ）であり、第２の暗号値はレスポンス（ＲＥＳ）である。別の例示的な実施形態においては、第１の暗号値は、ＵＭＴＳ認証及び鍵合意のための拡張認証プロトコル方法（ＥＡＰ−ＡＫＡ）のマスタセッション鍵（ＭＳＫ）の鍵である。

[00040] 本明細書において記載する実施形態のいくつかは、明示的なチェック値を利用する。例えば、第１の認証能力が攻撃者によって変更された場合、端末において導出される結果（ＲＥＳ）値は、ネットワークによって発生される対応する予想結果（ＸＲＥＳ）とは異なり、ＲＥＳ及びＸＲＥＳの比較はネットワークにおいて失敗する。また、ＡＵＴＮが暗号値として機能する実施形態も明示的なチェック値の一例であるが、この実施形態では、失敗は端末において検出される。他の場合、例えば鍵（ＭＳＫ及び／又はＣＫ／ＩＫ）をチェック値として用いる場合には、変更されたセキュリティ能力の検出は、例えば暗号の失敗によるものなので、チェック値は暗黙的である。

[00041] この方法の例示的な共有モードにおいて、端末は、インタフェースを介してネットワークの認証ノードに認証能力情報を送信する。認証ノードは、ネットワークのサーバから第３の暗号値を要求する。サーバは、ランダム数及び鍵の関数として第３の暗号値を発生する。鍵は、端末及びサーバによって予め共有されている。サーバは、ランダム数及び第３の暗号値を認証ノードに送信する。認証ノードは、ランダム数、第３の暗号値、及び認証能力情報を用いて、第１の暗号値を決定する。認証ノードは、ランダム数を端末に送信する。端末は、ランダム数、鍵、及び認証能力情報を用いて、第２の暗号値を決定する。端末は第２の暗号値を認証ノードに送信する。共有モードの例示的な実施においては、認証ノードは、ＶＰＬＭＮにおけるＳＧＳＮ（Serving GPRS Support Node）又はＭＭＥ（Mobility Management Entity）ノードであり、サーバは、ホーム公衆陸上移動ネットワーク（ＨＰＬＭＮ：home public land mobile network）におけるＡＡＡサーバ又はＨＳＳである。

[00042] 本明細書に開示する技術は、その別の態様において、通信ネットワークのノードに関する。このノードは、端末の認証能力情報を用いて端末のための暗号値を決定するように構成されている（認証能力情報は端末の認証能力の指示を与える）。例えば、認証能力情報は、端末によってサポートされる認証アルゴリズム、認証プロトコル、及び／又は認証信用証明書の識別（例えばリスト）を含む。

[00043] 例示的な実施形態において、ノードは、認証能力情報、ランダム数、及び鍵の関数として暗号値を決定するように構成されたサーバを含む。鍵は、端末及びサーバによって予め共有されている。

[00044] ノードの別の実施形態は、二次ランダム数を選択してこの二次ランダム数及び認証能力情報を用いて一次ランダム数を決定するように構成されたサーバを含む。このサーバは、一次ランダム数及び鍵の関数として暗号値を発生するように更に構成されている。鍵は、端末及びサーバによって予め共有されている。この実施形態は、サーバがサーバ第１関数を用いて暗号値を決定するように構成されている実施形態の一例であり、サーバ第１関数に対する入力は認証能力情報に依存する。

[00045] 例示的な実施において、ノードは、ＶＰＬＭＮにおける認証ノード（例えばＭＭＥノード又はＳＧＳＮ）である。別の例示的な実施において、ノードは、ＨＰＬＭＮにおけるＡＡＡサーバ又はＨＳＳノードを含む。

[00046] 本明細書に開示する技術は、その別の態様において、第１のノード及び第２のノードを含む通信ネットワークに関する。第１のノードは、端末の認証能力情報を受信すると共に第２のノードから第３の暗号値を要求するように構成されている。第２のノードは、ランダム数及び鍵の関数として第３の暗号値を発生するように構成されている。鍵は、端末及び第２のノードによって予め共有されている。第１のノードは、ランダム数、第３の暗号値、及び認証能力情報を用いて第１の暗号値を決定すると共に、端末から受信した第２の暗号値を第１の暗号値と比較して端末を認証するように構成されている。例示的な実施において、第１のノードは、ＶＰＬＭＮにおけるＳＧＳＮ又はＭＭＥノードを含み、第２のノードは、ＨＰＬＭＮにおけるＡＡＡサーバ又はＨＳＳノードを含む。

[00047] 本明細書に開示する技術は、その別の態様において、インタフェースを介して通信ネットワークに認証能力情報を送信すると共に認証能力情報を用いて暗号値を決定するように構成された端末に関する。この暗号値は、端末の認証のために、インタフェースを介して通信ネットワークに送信される。例示的な実施において、認証能力情報は、端末によってサポートされる認証アルゴリズムの識別を含む。

[00048] 本明細書に開示する技術は、その別の態様において、インタフェースを介して通信ネットワークに認証能力情報を送信すると共に認証能力情報を用いて第１の暗号値を決定するように構成された端末に関する。端末は、更に、第１の暗号値と、認証手順の一部として通信ネットワークから受信した第２の暗号値とを比較すると共に、この比較が失敗した場合には認証手順を拒絶するように構成されている。例示的な実施において、認証能力情報は、端末によってサポートされる認証アルゴリズムの識別を含む。

[00049] 本発明の前述及びその他の目的、フィーチャ、及び利点は、添付図面に示したような以下の好適な実施形態の具体的な記載から明らかとなろう。添付図面において、参照符号は様々な図を通して同一の部品を示す。図面は必ずしも一定の縮尺通りではなく、本発明の原理を例示する際には強調している。

[00050] 端末とネットワークとの間の通信に対する悪質なパーティによる潜在的な攻撃を示す図である。 [00051] 一般的な認証技法に伴うステップの図である。 [00052] 本明細書に開示する技術の背景を述べるのに適した第１の例示的な通信ネットワークの関連部分の概略図である。 [00053] 本明細書に開示する技術の背景を述べるのに適した第２の例示的な通信ネットワークの関連部分の概略図である。 [00054] 図３の通信ネットワークと組み合わせた方法の一般モードで実行される例示的な行為又はステップを示す図である。 [00055] 様々な、限定でない、より詳細な例示的な実施形態に従った、認証ノード、ＡＡＡサーバ、及び端末の例示的な構成ユニット及び機能性を示す。 [00055] 様々な、限定でない、より詳細な例示的な実施形態に従った、認証ノード、ＡＡＡサーバ、及び端末の例示的な構成ユニット及び機能性を示す。 [00055] 様々な、限定でない、より詳細な例示的な実施形態に従った、認証ノード、ＡＡＡサーバ、及び端末の例示的な構成ユニット及び機能性を示す。 [00055] 様々な、限定でない、より詳細な例示的な実施形態に従った、認証ノード、ＡＡＡサーバ、及び端末の例示的な構成ユニット及び機能性を示す。 [00055] 様々な、限定でない、より詳細な例示的な実施形態に従った、認証ノード、ＡＡＡサーバ、及び端末の例示的な構成ユニット及び機能性を示す。 [00056] サーバベースの認証方法の例示的な実施形態の例示的又は代表的な基本的行為又はステップを示す。 [00057] 図６のサーバベースのモードの更に詳細な実施において実行される基本的又は代表的な例示的行為又はステップを示す。 [00058] 本明細書に開示する技術の別の例示的な方法によって実行される基本的又は代表的な例示的行為又はステップを示す図である。 [00059] ＡＵＴＮパラメータが認証能力に依存するようになっているＵＭＴＳ ＡＫＡに関連したモードにおいて実行される基本的又は代表的な例示的行為又はステップを示す図である。 [00060] ＭＳＫが認証能力に依存するようになっている拡張認証プロトコル方法に関連したモードにおいて実行される基本的又は代表的な例示的行為又はステップを示す図である。 [00061] 本明細書に開示する技術の別の例示的な方法によって実行される基本的又は代表的な例示的行為又はステップを示す図である。

[00062] 以下の記載において、限定でなく説明の目的で、本発明の完全な理解を提供するために、特定のアーキテクチャ、インタフェース、技法等の具体的な詳細事項について述べる。しかしながら、本発明はこれらの具体的な詳細事項から逸脱する他の実施形態において実施可能であることは当業者には明らかであろう。すなわち、当業者は、本明細書において明示的に記載又は図示されていないが本発明の原理を具現化しその精神及び範囲内に含まれる様々な構成を考案することができる。いくつかの例においては、不必要な詳細事項によって本発明の記載を不明瞭にしないために、周知のデバイス、回路、及び方法の詳細な記載は省略する。本発明の原理、態様、及び実施形態を述べる本明細書における全ての記述は、その構造的均等物及び機能的均等物の双方を包含することが意図されている。更に、かかる均等物は、現在知られている均等物及び将来開発される均等物すなわち構造に関わらず同一の機能を実行する開発された要素の双方を含むことが意図されている。

[00063] このため、例えば、本明細書におけるブロック図は技術の原理を具現化する例示的な回路の概念図を表すことができることは当業者には認められよう。同様に、あらゆるフローチャート、状態遷移図、擬似コード等が表す様々なプロセスは、コンピュータ読み取り可能媒体において実質的に表現されてコンピュータ又はプロセッサによって実行することができ、かかるコンピュータ又はプロセッサは明示的に図示する場合もしない場合もあることは認められよう。

[00064] 「プロセッサ」又は「コントローラ」と標示又は記載した機能ブロックを含む様々な要素の機能は、専用ハードウェア及びソフトウェアを実行可能なコンピュータ等のハードウェアを用いることによって提供可能である。プロセッサによって提供される場合、これらの機能は、単一の専用プロセッサによって、単一の共有プロセッサによって、又は一部が共有もしくは分散される場合がある複数の個別プロセッサによって提供することができる。更に、「プロセッサ」又は「コントローラ」という言葉の明示的な使用は、ソフトウェアを実行可能なハードウェアを排他的に示すものとして解釈されるのではなく、限定なしに、デジタル信号プロセッサ（ＤＳＰ）ハードウェア、ソフトウェアを記憶するための読み出し専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、及び不揮発性記憶装置を含むことができる。

[00065] 図３Ａは、本明細書に開示した技術の背景を述べるのに適した例示的な通信ネットワーク２０の関連部分を示す。通信ネットワーク２０は、認証ノード２２及びＡＡＡサーバ２４を含む。認証ノード２２はアクセスネットワーク２６に接続されている。アクセスネットワーク２６は、無線基地局としても知られる少なくとも１つの基地局２８を含む。基地局２８は、インタフェース３２を介して端末３０と通信を行う。このため、図３Ａの例示的な実施形態においては、アクセスネットワーク２６は無線アクセスネットワークであり、端末３０はエア又は無線インタフェース３２を介して通信を行う無線端末である。

[00066] 図３Ｂは、本明細書において開示される技術が無線アクセスネットワーク又は無線端末との使用に限定されないことを示す。図３Ｂは、アクセスネットワークを、例えば無線ベース以外にすることが可能であることを示し、更に、端末３０’を無線以外のものにすることが可能であることを示す（例えば電話線、光ファイバ、同軸ケーブル等を用いた有線又はケーブル接続）。以下の実施形態は主として図３Ａの無線の状況を参照して記載するが、かかる実施形態は図３Ｂに示すもの等のいっそう一般的な状況において実施可能であることは認められよう。

[00067] 認証ノード２２は、ＳＧＳＮ、ＭＳＣ、又はＭＭＥ等の通信ネットワーク２０のいずれかの適切なノードとすることができる。また、ＡＡＡサーバ２４は通信ネットワーク２０のノードに位置することができ、この理由でＡＡＡサーバ２４もノードであると考えることができる。この点で、ＡＡＡサーバ２４は、（Radius又はDiameter）ＡＡＡサーバ、ＨＬＲ／ＡｕＣ（ホーム位置レジスタ／認証センタ）、又はＨＳＳに位置することができる。

[00068] その基本的な態様の１つにおいて、本明細書に開示する技術は、図１を参照して記載した問題等の認証プロトコル能力の競り下げ問題を解決する。これを行うために、本明細書において開示する技術は、認証プロトコル能力に関する情報を認証手順自体に関連させて統合する。このため、認証ノード２２は認証ユニット３４を含み、ＡＡＡサーバ２４は認証ユニット３６を含み、端末３０は認証ユニット３８を含む。本明細書において記載するいくつかの実施形態において、認証能力情報に対する認証手順の依存性は認証ノード２２に対して本質的にトランスペアレントである。他の実施形態においては、かかる依存性はＡＡＡサーバ２４に対してトランスペアレントである。

[00069] 図３Ａに示したタイプの例示的な実施において、認証ノード２２は、ＶＰＬＭＮ４０に配置されているか、又はＶＰＬＭＮ４０を備える。ＶＰＬＭＮ４０は無線アクセスネットワーク（ＲＡＮ）２６に備えることができる。例示的な実施において、ＡＡＡサーバ２４は、ＨＰＬＭＮ（ホームＰＬＭＮ）４２に配置されているか、又はＨＰＬＭＮを備える。

[00070] 図４は、図３の通信ネットワーク２０のための認証手順の一般モードで実行される例示的な行為又はステップを示す。行為４−１は、端末３０が、インタフェース３２を介してネットワーク２０に認証能力情報（ＡＣ）メッセージを送信することを含む。

[00071] 本明細書において記載した実施形態において、認証能力情報（ＡＣ）は、端末の認証能力の指示を与える。従って、認証能力はセキュリティ能力とは異なる。セキュリティ能力は本質的に、認証手順が成功して完了した際に利用される暗号化アルゴリズム等に関連するものである。認証能力情報（ＡＣ）は、例えば、認証アルゴリズム（複数のアルゴリズム）、認証プロトコル（複数のプロトコル）、及び／又は端末３０が適格であるか又は可能である認証信用証明書の識別（例えばリスト又は記述）とすることができる。端末のタイプ及び性質に応じて、行為４−１として送信される認証能力情報（ＡＣ）メッセージには、様々な異なるタイプの認証アルゴリズムを含ませることができる。例示的な認証能力情報（ＡＣ）メッセージに含ませることができるタイプの例示的な端末用認証アルゴリズムの網羅的でないサンプルは、Ｍｉｌｅｎａｇｅ、ＲＳＡ（Ｒ）等を含む。認証プロトコルの例は、ＵＭＴＳ ＡＫＡ、ＥＡＰ ＡＫＡ、ＥＡＰ ＴＬＳ等とすることができる。信用証明書の例は、ＩＭＳＩ（複数のＩＭＳＩ）、公開鍵証明書等を含むことができる。

[00072] 認証機構の完全な規定には、認証アルゴリズム、アルゴリズムを使用するための認証プロトコル、及び認証の実行に関連した信用証明書（例えば鍵及び／又は識別子）の各々の規定が必要である場合があることは理解できよう。場合によっては、これらの３つのパラメータの１つ以上は暗黙的であり、能力に明示的に含ませる必要はない。例えば、ＬＴＥネットワークにおいてはＵＭＴＳ ＡＫＡプロトコルのみがサポートされ、この事実を明示的に通知する必要はない。しかしながら、明示的な通知を必要とするパラメータはいずれも、競り下げ攻撃を受ける場合があり、従って本明細書に述べる技術によって提供される保護から利益を得ることができる。

[00073] 行為４−２は、通信ネットワーク２０が認証能力情報を用いて第１の暗号値（ＣＶ１）を決定することを含む。行為４−３として、端末３０はその認証能力情報を用いて第２の暗号値（ＣＶ２）を決定する。また、第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）は、それぞれ第１の認証チェック値及び第２の認証チェック値と考えることができる。行為４−４は、認証手順が成功である（例えばネットワーク２０と端末３０との間で認証された通信を許可する）か否かの検証を取得する（第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）を用いて）ことを含む。

[00074] 図４は、限定ではないが本明細書に記載した他のモードを含む、この方法の他のモードに従って、様々な方法で認証ノード２２とＡＡＡサーバ２４との間で行為４−２を分散／共有することが可能であるという意味で一般的な動作モードを示す。また、図４は、端末３０、ネットワーク２０、又は共に機能するネットワーク及び端末３０の組み合わせによって行為４−４を実行可能であるという観点からも一般的である。例えば、以下で更に詳細に記載するが、行為４−４は、第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）を比較し、これによって認証手順が成功であるか否かを明示的に判定することを含むことができる（例えば、第１の暗号値（ＣＶ１）が第２の暗号値（ＣＶ２）と等しい場合に認証手順が成功であると判定される）。いくつかの例示的な実施形態においては、かかる第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）の比較はネットワーク２０によって実行可能である。他の例示的な実施形態では、かかる第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）の比較は端末３０によって実行可能である。更に別の例示的な実施形態では、行為４−４は本質的に、ネットワーク２０と端末３０との間の暗号通信（認証後に実行される）に関連付けて、ネットワーク２０が第１の暗号値（ＣＶ１）の使用を試み端末３０が第２の暗号値（ＣＶ２）の使用を試みることで検証を取得し、セキュアな通信（例えば暗号化／復号化）動作通信が失敗でない場合に認証手順の成功を判定することを含む（なぜなら、第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）の値が等しくないことで通信上の問題が生じた場合、通信は失敗するからである）。

[00075] 図５Ａは、限定でない例示的な実施形態に従った認証ノード２２、ＡＡＡサーバ２４、及び端末３０の例示的な構成ユニット及び機能性を更に詳細に示す。図５Ａに示すように、認証ノード２２は、他の例示していない構成要素及び機能性の中でも、認証ノードプロセッサ５０、ＡＡＡサーバ２４に対するインタフェース５２、及び無線アクセスネットワーク（ＲＡＮ）２６に対するインタフェース５４（これを介して端末３０に対する通信が行われる）を含む。例示した実施形態においては、認証ノードプロセッサ５０は、少なくとも部分的に認証ユニット３４の役割を実行し、従って暗号値比較器５６を更に含む。

[00076] ＡＡＡサーバ２４は、ＡＡＡサーバ認証ユニット３６及びＡＡＡサーバプロセッサ６０と図示されたコンピュータ又はプロセッサを含む。更に、加入者アイデンティティ回路としても知られるＡＡＡサーバ認証ユニット３６は、第１の暗号値発生器６２及び鍵メモリ６３を含む。ＡＡＡサーバ認証ユニット３６は通常、セキュアな改ざん防止ユニットである。ＡＡＡサーバプロセッサ６０は、ランダム数発生器６４、認証ノードインタフェース６６、認証能力依存ユニット（ＡＣＤＵ）６７、及び認証能力メモリ６８を含む。ＡＡＡサーバ認証ユニット３６は、プロセッサ６０とは別個の集積回路又はプロセッサ等の回路の形態を取ることができる。このため、例示的な実施形態においては、ＡＡＡサーバ認証ユニット３６は、メモリ（例えば不揮発性メモリ）だけでなく、コンピュータ読み取り可能又は機械読み取り可能命令を実行するプロセッサも含むことができる。従って、例えばそのプロセッサを考慮すると、ＡＡＡサーバ認証ユニット３６は、コンピュータ実施又は回路実施による認証ユニットとも称される。同様に、ＡＡＡサーバプロセッサ６０によって実現又は具現化されるので、認証能力依存ユニット（ＡＣＤＵ）６７は、コンピュータ実施による認証能力依存ユニットとも称される。

[00077] このため、認証能力に対する依存性は認証能力依存ユニット（ＡＣＤＵ）６７によって生成され、ＡＣＤＵ６６は一般に、認証能力に対する依存性を含むことによって、ＡＡＡサーバ認証ユニット３６への入力又はこれからの出力に対して動作する。現在の例示的な実施形態では、ＡＣＤＵ６７はＡＡＡサーバ認証ユニット３６への入力に対して動作する。ＡＣＤＵ６７は、ランダム数発生器６４及び認証能力メモリ６８によって提供されるランダム数を組み合わせることによって入力を形成する。ＡＣＤＵはＡＡＡサーバ認証ユニット３６の入力／出力に対して直接動作するので、ＡＣＤＵはあるいは、ＡＡＡサーバ認証ユニット３６に全体的に又は部分的に統合することも可能である（この場合、これはコンピュータ実施又は回路実施による認証能力依存ユニットとして表すことができる）。しかしながら、通常はＡＡＡサーバ認証ユニット３６の変更は避けることが好ましく、これが、図５Ａ等の図の少なくとも一部に示すような機能分割の理由である。

[00078] ＡＣＤＵ６７がＡＡＡサーバ認証ユニット３６への入力に対してのみ動作する実施形態においては、第１の暗号値（ＣＶ１）は、ＡＡＡサーバ認証ユニット３６の出力によって直接識別することができる。ＡＣＤＵ６７がＡＡＡサーバ認証ユニット３６への出力に対して少なくとも部分的に動作する実施形態（後述する）においては、第１の暗号値（ＣＶ１）は代わりにＡＣＤＵ６７の出力によって識別される。

[00079] 図５Ａの端末３０は、他の例示しない構成要素及び機能性の中でも、認証ユニット３８、端末コンピュータ又は端末プロセッサ７０、及びトランシーバ７１を含む。トランシーバ７１は、従来から知られている方法でインタフェース３２を介して基地局２８とのアップリンク通信及びダウンリンク通信の双方を行うために用いられる。更に、端末認証ユニット３８は、第２の暗号値発生器７２及び鍵メモリ７３を含む。また、端末認証ユニット３８は通常セキュアなユニットである。端末プロセッサ７０は、ランダム数発生器７４、認証ノードインタフェース７６、端末認証能力依存ユニット（ＡＣＤＵ）７７、及び認証能力メモリ７８を含む。ＡＡＡ認証ユニット３６と同様、端末認証ユニット３８は集積回路等の回路の形態を取ることができ、特に、加入者アイデンティティモジュール（ＳＩＭ又はＵＳＩＭ）タイプのカード等の集積回路カードの形態を取ることができる。このため、例示的な実施形態では、認証ユニット３８は、メモリ（例えば不揮発性メモリ）だけでなくコンピュータ読み取り可能又は機械読み取り可能命令を実行するプロセッサも含むことができる。このため、例えばそのプロセッサを考慮すると、端末認証ユニット３８は、コンピュータ実施又は回路実施による端末認証ユニットとも称される。同様に、端末プロセッサ７０によって実現又は具現化されるので、認証能力依存ユニット（ＡＣＤＵ）６７は、コンピュータ実施による認証能力依存ユニットとも称される。

[00080] 端末３０の端末認証能力依存ユニット（ＡＣＤＵ）７７は本質的に、端末認証ユニット３８からの入力及び／又は出力に対して動作することによって、ＡＡＡサーバの対応するＡＣＤＵ６７を「ミラーリング」する。あるいは、ＡＣＤＵ７７は、端末認証ユニット３８に全体的に又は部分的に統合することも可能であり、この場合でもこれはコンピュータ実施又は回路実施による認証能力依存ユニットである。しかしながら、通常ここでも、端末認証ユニット３８を変更なしの状態に維持したいということは同じである。

[00081] サーバ側と同様に、ＡＣＤＵ７７が端末認証ユニット３６への入力に対してのみ動作する実施形態においては、第２の暗号値（ＣＶ２）は、端末認証ユニット３８の出力によって直接識別することができる。ＡＣＤＵ６７が端末認証ユニット３８への出力に対して少なくとも部分的に動作する実施形態（これも後述する）においては、第２の暗号値（ＣＶ２）は代わりにＡＣＤＵ７７の出力によって識別される。

[00082] 本明細書において記載する実施形態においては、端末３０のための鍵又はパスワードは、ＡＡＡサーバ認証ユニット３６の鍵メモリ６３及び端末認証ユニット３８の鍵メモリ７３の双方において／双方に対して予め記憶、設定、又はダウンロードする。端末３０は、それ自身の認証能力（例えば端末３０が動作することができる認証アルゴリズム）を知っており、認証能力メモリ７８に記憶されたそれを示す認証能力情報（ＡＣ）を有する。端末３０の認証能力が時間と共に変わる場合、それに応じて認証能力情報（ＡＣ）は認証能力メモリ７８において更新される。

[00083] 図６は、本明細書に記載する技術に従った、認証方法の例示的なサーバベースのモードの例示的又は代表的な基本的行為又はステップを示す。図６において、行為６−１として、端末３０は、インタフェース３２を介して認証ノード２２及びＡＡＡサーバ２４に、認証能力情報メッセージ内で認証能力情報（ＡＣ）を送信する。図６に示すように、認証能力情報（ＡＣ）は通常、最初に認証ノード２２に送信され、認証能力情報（ＡＣ）を２４に中継する。行為６−２は、ＡＡＡサーバ２４が認証能力情報を用いて第１の暗号値（ＣＶ１）を決定することを含む。行為６−３は、端末３０が認証能力情報を用いて第２の暗号値（ＣＶ２）を決定することを含む。行為６−４は、認証ノード２２が第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）を比較して、認証手順が成功であるか否かを明示的に判定し、更に、（成功である場合）これによって端末を認証することを含む。

[00084] 図７は、サーバベースのモードのいっそう詳細な実施において実行される基本的又は代表的な例示的行為又はステップを示す。行為７−０は、端末３０がその認証能力を認証能力情報メッセージの形態でＡＡＡサーバ２４に送信することを含む。図７に示すように、端末３０はその認証能力情報を、インタフェース３２を介して認証ノード２２に送信し、認証ノード２２は認証能力情報をＡＡＡサーバ２４に送信する。

[00085] 端末３０の認証能力情報（ＡＣ）は、ＡＡＡサーバ２４の認証ノードインタフェース６６を介して受信され、ＡＡＡサーバ認証ユニット３６に適用される。図７の行為７−１は、ＡＡＡサーバプロセッサ６０がランダム値（ＲＡＮＤ）を選択することを含む。この点で、行為７−１として、プロセッサ６０はランダム数発生器６４を呼び出す。ランダム数発生器６４からランダム数ＲＡＮＤを取得したら、ランダム数ＲＡＮＤを認証能力ＡＣと共にＡＣＤＵ６７に提供する。ＡＣＤＵ６７は、それらを組み合わせてＲＡＮＤ││ＡＣとし、この値を入力としてＡＡＡサーバ認証ユニット３６に提供する。行為７−２として、第１の暗号チェック値発生器６２は暗号関数Ｆを計算して、例えばＸＲＥＳのような、第１の暗号値として用いられる第１の結果又は第１のチェック値を生成する。特に、図７の例示的な実施形態においては、第１の暗号値（ＣＶ１）はＸＲＥＳ＝Ｆ（Ｋ，ＲＡＮＤ）││ＡＣ）として計算され、ここでＦは合意された暗号関数であり、ＡＣは認証能力情報である。暗号関数ＦはＲＡＮＤ及びＫ以外のパラメータに依存することが可能であることは理解されよう。従って、行為７−２として、暗号値ＸＲＥＳは認証能力（ＡＣ）に依存するものとして計算される。所望の場合、例えば鍵のような他のパラメータも行為７−２の一部として計算することができる。

[00086] 行為７−３は、ＡＡＡサーバ２４が選択したランダム値（ＲＡＮＤ）を端末３０に送信することを含む。更に具体的には、図７に示すように、ＡＡＡサーバ２４はランダム数ＲＡＮＤ及び第１の暗号値ＸＲＥＳを認証ノード２２に送信し、次いで認証ノード２２はランダム数ＲＡＮＤを端末３０に送信する。

[00087] 行為７−４は、端末３０の第２の暗号チェック値発生器７２が、例えばＲＥＳ（例えば「結果」）のような第２の暗号値を計算することを含む。図７の例示的な実施形態において、第２の暗号は、第２の暗号チェック値発生器７２によってＲＥＳ＝Ｆ（Ｋ，ＲＡＮＤ││ＡＣ）として計算される。換言すると、端末３０は、行為７−３においてＡＡＡサーバ２４から受信したランダム数（ＲＡＮＤ）を用い、認証能力メモリ７８に記憶された認証能力情報（ＡＣ）を用いて、ＡＣＤＵ７７によって、端末認証ユニット３８に提供される入力ＲＡＮＤ││ＡＣを計算する。端末認証ユニット３８は、暗号関数Ｆ及び鍵メモリ７３に記憶されたような鍵（Ｋ）を、提供された入力に適用して、第２の暗号値ＲＥＳを計算する。図７は、更に、端末３０が第２の暗号値ＲＥＳを認証ノード２２に送信することを示す。従って、行為７−４は、端末３０が、行為７−０のメッセージにおいて送信した（と考える）認証能力情報（ＡＣ）値をＲＥＳの計算に含ませることを含む。

[00088] 行為７−５は、認証ノード２２が、ＲＥＳ＝ＸＲＥＳであるか否かを明示的にチェックし、もしそうならば端末が適切に認証されたと見なすことによって、認証手順が成功であるか否かを判定することを含む。換言すると、認証ノード２２の暗号値比較器５６は、第１の暗号値ＸＲＥＳを第２の暗号値ＲＥＳと比較し、ＲＥＳ＝ＸＲＥＳである場合、認証ノード２２は端末３０を認証する。もしもステップ７−０において端末から与えられた第１の認証能力が攻撃者によって変更されたならば、この比較は失敗し（ＲＥＳ及びＸＲＥＳが異なる入力から計算されたからである）、認証ノード２２によって検出されることになる。行為７−５で認証成功を判定した後、認証ノード２２は典型的に成功／失敗メッセージの形態の通知を端末に送信し、これによって端末に認証成功の事実を通知する。従って、この場合、いかなる攻撃も最初に認証ノード２２によって検出され、この検出は明示的である。

[00089] このため、関数Ｆは、端末の認証能力の一部と見なすことができる（例えば異なる端末が異なるＦ関数をサポートすることができる）。典型的に、Ｆは、加入者アイデンティティモジュール機能（ＳＩＭ又はＵＭＴＳ ＳＩＭ）を実施すると共に鍵（複数の鍵）のセキュアな記憶を提供するスマートカードによって提供される。しかしながら、本明細書において記載する技術は、セキュリティ能力のこの側面を変更する攻撃者に対する保護も提供する。なぜなら、この能力が変更されるということは、ネットワーク及び端末のそれぞれが異なる認証能力（ＡＣ）入力を用いることが少なくとも暗示されるからである。また、この能力が変更されるということは、ネットワーク及び端末が異なるＦ関数を用いるが、これは通常ＲＥＳ及びＸＲＥＳが異なる可能性をいっそう高くするだけであることを意味する場合がある。

[00090] 図７に例示したモードにおいて、ネットワークが、例えば認証ならびに無線受信及び送信等の異なる機能性を実行する２つ以上のノードを含む場合があることは理解されよう。関数Ｆの計算でさえも２つ以上のノードにわたって分散する場合があるが、鍵（上でＫと示した）は通常、ＡＡＡサーバの（セキュアな）鍵メモリ６３から出ることはない。更に、ＡＡＡサーバ２４及び認証ノード２２の機能、及び本明細書に記載した行為を実行するユーザ装置ユニット又は端末３０の機能性は、プロセッサ又はコントローラによって実現することができる。これらの言葉は本明細書において包括的に記載されているので、コンピュータ実施によるものと考えることができる。かかるプロセッサ／コントローラは、いずれかの適切なコンピュータ読み取り可能媒体上に記憶された命令を実行することによって、本明細書に記載された行為を実行することができる。

[00091] 誰かがＡＣ’を代わりに送信することによって認証能力（ＡＣ）を改ざん（又は偽造）した場合、これは、（行為７−２において）ＡＡＡサーバ２４が計算するＸＲＥＳが、（ローカルＡＣ値に基づいて）端末によって計算されたものとは異なる（ＡＣ’に基づいたものであるから）ということを意味する。そしてこれは、端末が拒絶されること、例えば上述したように認証されないことを意味する。

[00092] これは、悪質なパーティが端末に対してサービス使用不能（ＤｏＳ）攻撃を行うためだけに認証能力（ＡＣ）を変更する場合があるという問題を残したままである。しかしながら、この特性は上述した３ＧＰＰの現在の手法と共有される。例えば、攻撃者が、端末によって提供されたＲＥＳ値を変更して認証を失敗させることは常に起こり得る。また、これは「基本的な」チャレンジ−レスポンス認証パラダイムと共有される。なぜなら、ＲＥＳはサードパーティによって途中で変更される可能性があるからである。いずれの場合であっても、攻撃者はネットワーク及び端末を「だまして」次善のセキュリティレベルを用いることが妨げられる。

[00093] 他の態様において、本明細書に開示する技術は前述のものの様々な変形を包含する。例えば図８に示す一例の実施形態において、行為８−ｘは、図７の同様に付番した行為７−ｘに本質的に対応する。図８の実施形態においては、ＲＥＳをＡＣに依存させる更に間接的な方法として、ＲＡＮＤを認証能力（ＡＣ）に依存させる（図８の行為８−１に反映されるように）。この点で、ＡＡＡサーバ２４はランダムＲＡＮＤ’を選択して、ＲＡＮＤ＝Ｇ（ＲＡＮＤ’││ＡＣ）を設定することができる。行為８−３として、ＲＡＮＤでなくＲＡＮＤ’を端末に送信し、端末はローカルにＲＡＮＤを計算する。これは、暗号関数Ｆを暗号関数Ｆ’（Ｋ，ＲＡＮＤ’││ＡＣ）＝Ｆ（Ｋ，Ｇ（ＲＡＮＤ’││ＡＣ））に変更することと同等であることに留意すべきである。このため、これは同じ効果を有するので、先に述べた実施形態によってカバーされる。すなわち、認証能力（ＡＣ）値が変更されるとＲＥＳ及びＸＲＥＳの比較が失敗する。しかしながら、図８の実施形態は、すでに定義及び／又は実施された暗号関数を再使用するための特に簡単な方法を提供する。これが適切であるのは、言及したＦ関数が典型的に「ハードコード」であり（例えば端末３０のＳＩＭカード等のスマートカードにおいて）、この実施形態が関数Ｆの実施だけでなく完了した入力／出力挙動も影響されないままとするからである。

[00094] また、図７及び図８のモードは、本明細書において、入力を変更したサーバベースのモードの変形としても知られる。図７及び図８の変形は双方ともＦ関数に対する入力を変更するが、これを異なる方法で行う。ここで図８の例示的な行為を更に詳しく説明すると、行為８−０は、端末３０が、インタフェース３２を介して認証ノード２２に認証能力情報（ＡＣ）を送信することを含む。次いで認証ノード２２は、認証能力情報を２４に送信する。行為８−１は、ＡＡＡサーバ２４がそのランダム数発生器６４から二次ランダム数（ＲＡＮＤ’）を選択し、この二次ランダム数（ＲＡＮＤ’）及び行為８−０によって取得した認証能力情報（ＡＣ）を用いて、ＡＣＤＵ６７によって一次ランダム数（ＲＡＮＤ）を決定することを含む。一次ランダム数（ＲＡＮＤ）は第１の暗号値ＸＲＥＳを決定するために用いられるが、二次ランダム数（ＲＡＮＤ’）は端末３０に送信される。行為８−２は、ＡＡＡサーバ２４が、一次ランダム数（ＲＡＮＤ）及び鍵（Ｋ）（鍵メモリ６３から取得され端末３０及びＡＡＡサーバ２４によって予め共有されている）の関数として、第１の暗号値ＸＲＥＳを発生することを含む。行為８−３は、ＡＡＡサーバ２４が二次ランダム数（ＲＡＮＤ’）及び第１の暗号値（ＸＲＥＳ）を認証ノード２２に送信することを含む。次いで認証ノード２２は、二次ランダム数（ＲＡＮＤ’）を端末３０に送信する。行為８−４は、端末３０が、二次ランダム数（ＲＡＮＤ’）及び認証能力メモリ７８に記憶された認証能力情報（ＡＣ）を用いてＡＣＤＵ７７によってまず一次ランダム数（ＲＡＮＤ）を決定し、次いで一次ランダム数（ＲＡＮＤ）及び鍵（Ｋ）を用いて第２の暗号値ＲＥＳを計算することを含む。端末３０は第２の暗号値ＲＥＳを認証ノード２２に送信し、その暗号値比較器５６は第１の暗号値ＸＲＥＳ及び第２の暗号値ＲＥＳの値を比較して、端末３０が認証可能であるか否かを判定する。

[00095] 図５Ｂは図９と共に、別の例示的な実施形態を示し、ＵＭＴＳ ＡＫＡの具体的な例に関連している。図９の実施形態においては、いわゆるＡＵＴＮパラメータ（ネットワーク認証のための認証トークン）が認証能力（ＡＣ）に依存するようになっており、端末３０は認証プロセスが成功であるか否かを明示的に判定する。特に、図５Ｂの実施形態について、認証ノード２２は暗号値比較器を含まず、暗号値比較の機能は端末３０に配置されている。図５Ｂは、端末３０の端末認証ユニット３８が第２の暗号チェック値発生器７２及び鍵メモリ７３を含むものとして示す。端末３０のプロセッサ７０は、ランダム数発生器７４、認証ノードインタフェース７６、端末認証能力依存ユニット（ＡＣＤＵ）７７、認証能力メモリ７８、及び暗号値比較器８０を含む。上述したように、端末認証ユニット３８の機能性の全て又は一部は加入者アイデンティティモジュール（ＳＩＭ）カードによって実現又は容易にすることができる。

[00096] 図５Ｂ及び図９に示す例示的な実施形態においては、認証トークン（ＡＵＴＮ）をランダム数と共に認証要求メッセージ内で端末に送信する。更に、本明細書において記載するこの実施形態及び他の様々な実施形態において、鍵シーケンスインジケータ（ＫＳＩ）も端末に送信することができる。鍵の値は送信せず、鍵の名前すなわちＫＳＩだけを送信する。ＡＵＴＮ内の変数は、移動体がネットワークと共に実行する認証プロセスにおいて、この移動体によって用いられる。特に、ＡＡＡサーバ２４において、第１の暗号値（ＣＶ１）をＸＡＵＴＮ＝Ｈ（Ｋ，ＲＡＮＤ││ＡＣ）として求め、端末３０は第２の暗号値（ＣＶ２）をＡＵＴＮ＝Ｈ（Ｋ，ＲＡＮＤ││ＡＣ）として求める。同様に、図９において末尾に同様の文字が付された行為は図７のものと同様であり、例外は第１の暗号値（ＣＶ１）としてＸＲＥＳの代わりにＸＡＵＴＮを用い、第２の暗号値（ＣＶ２）としてＲＥＳの代わりにＡＵＴＮを用いることである。行為９−５は、端末の暗号値比較器８０がＸＡＵＴＮ及びＡＵＴＮを比較することを含む。このモードは特に有益である。なぜなら、端末がＲＥＳにより応答する前にＡＵＴＮが端末によってチェックされ、このため改ざんされた認証能力情報ＡＣの場合には「早期アボート」が行われるからである。従って、この実施形態は認証能力の明示的なチェックを提供するが、この場合チェックはネットワークでなく端末によって実行される。実際、ＡＵＴＮ及びＸＡＵＴＮの比較は、（Ｘ）ＡＵＴＮ値の一部にのみ、すなわち３ＧＰＰ ＴＳ３３．１０２に指定されたようないわゆるＭＡＣ部分にのみ基づくものとすることができる。３ＧＰＰ ＴＳ３３．１０２は、引用により本願にも含まれるものとし、この場合に比較をどのように実行するかについて詳細に記載する。

[00097] 図５Ｃ及び図１０は別の例示的な実施形態を示し、これは、ＥＡＰ−ＡＫＡの使用に関する。ＵＭＴＳ認証及び鍵合意のための拡張認証プロトコル方法すなわちＥＡＰ−ＡＫＡは、ＵＭＴＳ加入者アイデンティティモジュール（ＵＳＩＭ）を用いた認証及びセッション鍵配布のためのＥＡＰ方法である。ＥＡＰ−ＡＫＡはＲＦＣ４１８７に記載されており、これは引用により本願にも含まれるものとする。ＭＳＫは、マスタ鍵を記載するいくつかのセキュリティ技法及び手順において用いられる言葉であり、ここから認証及び暗号鍵等の多数の他の鍵が導出される。

[00098] 図５Ｃに示すように、ＥＡＰ−ＡＫＡの例示的な実施形態においては、認証ノードも端末３０Ｃも暗号値比較器を含まない。図５Ｃは、ネットワークが暗号化／復号化ユニット８１を含み、端末３０Ｃが暗号化／復号化ユニット８２を含むことを示す。典型的に、暗号化／復号化ユニット８１は基地局２８に配置されている。暗号化／復号化ユニット８１及び暗合化／復号化ユニット８２は双方とも、ＭＳＫ又はこれから導出された鍵を、端末３０Ｃと認証ノード２２Ｃとの間で送信されるメッセージの暗号化／復号化に関連付けて用いる。暗号化／復号化ユニット８１は通常、基地局２８に配置されている及び／又は基地局２８を備える。他の実施形態も同様に暗号化／復号化ユニットを含む場合があるが、様々な他の実施形態においては、暗号化／復号化ユニットは認証手順を有効にする際に必ずしも役割を果たさない。しかしながら、図５Ｃ及び図１０の実施形態においては、ネットワーク及び端末３０Ｃが同一の認証能力依存マスタセッション鍵（ＸＭＳＫ及びＭＳＫ）を用意するか否かが、暗号化／復号化が失敗するか又は成功するかを決定し、このため認証手順が成功する（例えば有効になる）か否かの指標である。

[00099] ＭＳＫは、例えばＷｉＭＡＸセッティングにおいて鍵材料として用いられる。この代わりに、ネーティブのＵＭＴＳ ＡＫＡ鍵（Ｃｋ、Ｉｋ）（ＥＡＰ ＡＫＡを用いる場合、ここからＭＳＫを導出する）に、認証能力に対する依存性を追加することによって、ＵＭＴＳ又はＬＴＥセッティングにおいて同様の実施形態を容易に実施することができる。

[00100] 図１０の例においては、ＭＳＫは認証能力（ＡＣ）に依存するようになっている。上述のように、この実施形態においては通常、認証能力の明示的な検証がない。攻撃者が端末の認証能力（ＡＣ）を変更すると、端末及びネットワークはＭＳＫについて異なる値を用いることになる。しかしながら、この事実の検証は暗黙的である。例えば、端末がＭＳＫに基づいてメッセージを暗号化すると、ネットワークにおける復号プロセスは誤ったＭＳＫ値を用いて復号を行う。同様に、ＭＳＫに基づいたデータ完全性保護が用いられると、これはエラーを生成する。これによって端末とネットワークとの間の通信が「失敗」する。このため、検証（例えば認証手順が成功であるか否かを判定する）は暗黙的であり、この実施形態ではいずれかの特定ノードによって明示的に実行されることはない。換言すると、図１０における行為１０−５は、認証手順の間に求めた暗号値ＭＳＫ及びＸＭＳＫを用いて暗号化／復号化／データ完全性手順を後に実行することに依存して認証手順の検証を取得することを含む。その効果は、通信を試みる場合に端末及びネットワークにインコンパチブルな「言語」を使用させることにたとえることができる。

[00101] 図８は、図７のサーバベースのモードの入力を変更した変形を示す。これは、ＡＡＡサーバ２４がサーバ第１関数を用いて第１の暗号値（ＣＶ１、例えばＸＲＥＳ’）を求め、サーバ第１関数に対する入力が認証能力情報（ＡＣ）に依存するいくつかの実施形態の一例を示す。これによって包含される変形／実施形態のいくつかに共通するのは、能力（認証能力（ＡＣ））の依存性は、関数の出力に影響を及ぼすのではなく様々な関数（例えば関数Ｆ、Ｇ、及びＨ）に対する入力に影響を及ぼす可能性があるという事実である。例えば、認証能力（ＡＣ）に対する依存性が例えばＸＲＥＳ＝Ｆ（Ｋ，ＲＡＮＤ）││ＡＣ）のような入力によって反映される方法でＸＲＥＳを計算する代わりに、いくつかの適切な関数Ｆ’についてＸＲＥＳ＝Ｆ’（Ｆ（Ｋ，ＲＡＮＤ）││ＡＣ）を計算することができ、このため関数Ｆの出力は認証能力（ＡＣ）によって影響される。これは、上述した基本的な形態で暗号関数Ｆを暗号関数Ｆ’’（Ｋ，ＲＡＮＤ││ＡＣ）＝Ｆ’（Ｋ，ＲＡＮＤ）││（ＡＣ）に変更することと同等であるが、この更に別の形態はＦ及びＦ’を異なるノードで計算することを可能とし、この場合はＦ’を計算するノードのみがＡＣを知る必要があり、Ｆを計算するノードのみが共有鍵を知る必要がある。

[00102] 関数ＦはＡＡＡサーバ２４によって計算することができるだけなので、認証能力情報（ＡＣ）がかかる関数Ｆの出力に影響する上述の技法は、図５Ｄに示すもの等の端末３０がローミング中の状況において、すなわち、ＶＰＬＭＮ４０において動作するが端末３０のＨＰＬＭＮ４２と共有される秘密鍵（Ｋ）を有する場合に、特に有利である。図５Ｄの状況において、ＡＡＡサーバ２４が望む場合（例えばＡＡＡサーバ２４がＶＰＬＭＮに対して適度に強い信頼を有する場合）、関数Ｆ’の計算は、ＶＰＬＭＮに（例えばＶＰＬＭＮ４０の認証ノード２２に）「委任する」ことができる。認証ノード２２による関数Ｆ’の利用を容易にするために、認証ノード認証ユニット３４は、認証ノード認証能力依存ユニット（ＡＣＤＵ）５７及び認証能力メモリ５８を含む。そして、認証能力依存ユニット（ＡＣＤＵ）５７は、第１の暗号チェック値発生器５９を含む。それらはプロセッサ５０によって実現することができるか、又はプロセッサ５０を含むことができるので、認証ノード認証能力依存ユニット（ＡＣＤＵ）５７及びその第１の暗号チェック値発生器５９は、コンピュータ実施によるデバイス、例えばコンピュータ実施による認証ノード認証能力依存ユニットとも称される。端末認証能力依存ユニット（ＡＣＤＵ）７７は、第２の暗号チェック値（ＣＶ２）発生器７９を含む。それらはプロセッサ７０によって実現することができるか、又はプロセッサ７０を含むことができるので、端末認証能力依存ユニット（ＡＣＤＵ）７７及びその第２の暗号チェック値発生器８９は、コンピュータ実施によるデバイス、例えばコンピュータ実施による端末認証能力依存ユニットとも称される。

[00103] 図１１に、かかる状況の一例を示す。図１１は、この方法の例示的な共有モードにおける例示的な行為又はステップを示す。行為１１−０は、端末３０がインタフェースを介して認証ノード２２に認証能力情報（ＡＣ）を送信することと、認証ノード２２がＡＡＡサーバ２４からの本明細書において第３の暗号値（ＦＲＥＳ）と称するものを要求することと、を含む。行為１１−１は、ＡＡＡサーバ２４が第３の暗号値（ＦＲＥＳ）の計算の準備としてランダム値（ＲＡＮＤ）を選択又は取得することを含む。行為１１−２ａは、ＡＡＡサーバ２４がランダム数（ＲＡＮＤ）及び鍵（Ｋ）の関数として第３の暗号値（ＦＲＥＳ）を発生することを含み、この鍵は端末３０及びＡＡＡサーバ２４によって予め共有されている。次いでＡＡＡサーバ２４は、ランダム数（ＲＡＮＤ）及び第３の暗号値（ＦＲＥＳ）をＡＡＡサーバ２４に送信する。行為１１−２ｂは、認証ノード２２及び特に認証ノード認証能力依存ユニット（ＡＣＤＵ）５７の第１の暗号チェック値発生器５９が、ランダム数（ＲＡＮＤ）、第３の暗号値（ＦＲＥＳ）、及び認証能力情報（ＡＣ）を用いて、例えばＲＥＳ＝Ｆ’（ＦＲＥＳ｜｜ＡＣ）のように第１の暗号チェック値（ＸＲＥＳ）を決定することを含む。行為１１−２ｂの一部として、認証能力メモリ５８から認証能力情報（ＡＣ）をフェッチする。行為１１−３は、認証ノード２２がランダム数（ＲＡＮＤ）を端末３０に送信することを含む。行為１１−４は、端末３０が、ランダム数（ＲＡＮＤ）、鍵（Ｋ）、及び認証能力情報（ＡＣ）を用いて第２の暗号値（ＲＥＳ）を決定することを含む。次いで、端末３０は第２の暗号値（ＲＥＳ）を認証ノード２２に送信する。行為１１−５は、認証ノード２２が、端末３０を認証するための前提条件として第１の暗号値（ＸＲＥＳ）及び第２の暗号値（ＲＥＳ）を比較することを含む。

[00104] 従って、図１１の例示的な実施形態は、本明細書に開示し（例えば）図５Ａによって表された、ＨＰＬＭＮ（ＡＡＡサーバ２４）が鍵（Ｋ）及び認証能力情報（ＡＣ）の双方を知っている必要がある技術の基本的な形態とは対照的である。図１１の実施形態においては、認証ノード２２は認証能力情報（ＡＣ）を知っている必要があるが、ＡＡＡサーバ２４は認証能力情報（ＡＣ）を知っている必要はない。これに対し、認証ノード２２は鍵Ｋを知っている必要はなく、ＡＡＡサーバ２４は鍵Ｋを知っている必要はない。また、図１１の実施形態で実行されたものと同じ又は同様のアクションの共有／分配／委任は、認証手順の成功の検証方法とは無関係に他の実施形態においても実行することができる。例えば、端末又は認証ノードのいずれかによる明示的な検証がある実施形態において、及び、後の暗号化／復号化動作における第１の暗号値の利用による暗黙的な検証がある実施形態において実行可能である。

[00105] 図５Ｄが例示する状況では、認証能力情報（ＡＣ）は認証ノード２２によって用いられて関数Ｆの出力に影響を及ぼすが、認証能力（ＡＣ）の出力に影響する利用はＡＡＡサーバ２４においても実施可能であることは認められよう。例えば、図５Ｅが示す例示的な実施形態においては、ＸＲＥＳ＝Ｆ’（Ｆ（Ｋ，ＲＡＮＤ）｜｜ＡＣ）等の関数は、認証ノード２２ではなくＡＡＡサーバ２４によって計算される。図５Ｅの状況において、ＡＡＡサーバ認証ユニット３６はここでも暗号値発生器６２Ｅを含み、認証能力（ＡＣ）を用いてＸＲＥＳ＝Ｆ’（Ｆ（Ｋ，ＲＡＮＤ）｜｜ＡＣ）の計算を実行するのは認証能力依存ユニット（ＡＣＤＵ）６７Ｅであり、このため、認証能力依存ユニット（ＡＣＤＵ）６７は、第１の暗号チェック値（ＣＶ１）を計算するための第１の暗号チェック値発生器として機能する。

[00106] 本明細書において開示した技術は、ＷｉＭＡＸ又はＬＴＥ認証の状況に特に適しているが、これに対して限定的であるわけではない。後者の場合、本明細書において開示した技術が特に適しているのは、ＵＥ認証能力の一部がＡＡＡ／ＨＳＳ及びユーザ装置ユニットで用いられるＫＤＦ（鍵導出関数）を含む場合である。

[00107] 認証の前及び／又は間に交換する必要がある他の「基本的な」能力（例えば無線／リンク関連）は、本明細書に記載したものと同様の方法で保護することができる。

[00108] また、ＡＡＡサーバ２４は、用いる関数を端末の能力から選択する（すなわちＦ、Ｇ等のどれかを決定する）。ＡＡＡサーバ２４は、その選択をセキュアな方法で端末に通知する。通常、これは自動的に処理される。なぜなら、ＡＡＡサーバ２４によって行われた選択を攻撃者が改ざんした場合、端末及びＡＡＡサーバ２４は異なるアルゴリズムを用いて認証値を計算し、従って失敗することになるからである。しかしながら、いずれの場合であっても、以下のように何らかの追加の保護を達成することができる（例えば、セキュリティの観点から１つのアルゴリズムが特に好ましくない場合）。すなわち、ＡＡＡサーバ２４は、認証能力（ＡＣ）だけでなく、暗号チェック値の発生において実際に選択したアルゴリズム（複数のアルゴリズム）も含む。例えば、ＡＡＡサーバ２４が認証アルゴリズムＦを選択した場合、ＦＲＥＳ値はＦＲＥＳ＝Ｆ（Ｋ，ＲＡＮＤ｜｜”Ｆ”）として計算される。ここで、”Ｆ”は、アルゴリズムＦを識別する何らかの所定の方法を示す。次いで、値”Ｆ”を、端末に対する通知に含ませる。

[00109] 以下に示す考えられる攻撃のタイプについて考慮しなければならない。すなわち、（１）攻撃者が、端末が送信しなかった能力ｃを追加することによって変更を行う。（２）攻撃者が、端末が送信した能力ｃを削除することによって変更を行う。タイプ（１）は、おそらくあまり深刻ではない。これは、攻撃者が追加する能力は端末によってサポートされないことを意味するからである。従って、端末はいずれにせよ、正しい第１の暗号値（例えばＲＥＳ）を計算することができない。いずれにしても、双方のタイプに共通するのは、ＡＡＡサーバ２４によって用いられる認証能力情報（ＡＣ）値が、端末によって用いられるものとは異なるので、それらは一致しない認証値を導出するということである。

[00110] 本明細書に開示した技術にはいくつかの利点がある。それらの利点の中に、以下のものがある。
・認証能力、及び、認証が行われる前に通知する必要があり得る他の「基本的な」能力の競り下げに対する、簡単かつ効率的な（共有鍵ベースの）保護。
・端末とＡＡＡサーバ２４との間のエンドツーエンドのセキュリティの提供。
・能力の改ざんの「早期」検出（セキュリティが「オン」になる前）の提供。
・潜在的に改良したＰＫＭｖ２ Ｗｉｍａｘセキュリティプロトコルシグナリング。

[00111] アルゴリズム（Ｆ、Ｇ、Ｈ等に対応する）は通常、端末の汎用ＩＣカード（ＵＩＣＣ）と同様のものにおいて実施される。本明細書に開示した技術の様々な実施形態においては、Ｆ、Ｇ、及びＨの入力及び／又は出力を変更するだけである。これが意味するのは、ＵＩＣＣは影響を受けず、本明細書に開示した技術はＵＩＣＣの「ソフトウェア」カプセル化として提供可能であるということである。

[00112] 上述の記載は多くの規定を含むが、これらは本発明の範囲を限定するものとしてではなく、単に本発明の現在好適な実施形態のいくつかの例示を与えるものとして解釈されるべきである。本発明の範囲は、当業者に明らかとなり得る他の実施形態を完全に包含し、従って本発明の範囲は過度に限定されるものではない。単数形の要素に対する言及は、明示的に述べていない限り「唯一のもの」を意味することは意図しておらず、むしろ「１つ以上」を意味する。当技術分野において当業者に既知である上述の好適な実施形態の要素に対する全ての構造的、化学的、及び機能的な均等物は、引用により本明細書に明白に含まれ、本明細書によって包含されることが意図される。更に、本発明によって包含されるデバイス又は方法が、本発明によって解決しようとする全ての問題に対処する必要はない。

本出願は、２００８年９月５日に出願された「SECURE NEGOTIATION OF AUTHENTICATION CAPABILITIES」と題する米国仮出願６１／０９４，７１５号の優先権及び利益を主張する。

本発明は電気通信に関し、更に具体的には通信の認証に関する。

[0001] 典型的なセル式無線システムにおいて、無線端末（移動局及び／又はユーザ装置ユニット（ＵＥ）としても知られる）は、無線アクセスネットワーク（ＲＡＮ）を介して１つ以上のコアネットワークと通信を行う。無線端末は、無線能力を有する移動電話（「セル式」電話）及びラップトップ）例えば移動終端器）等の移動局又はユーザ装置ユニット（ＵＥ）とすることができるので、例えば、無線アクセスネットワークと音声及び／又はデータの通信を行う携帯型、ポケット用、ハンドヘルド型、コンピュータ内蔵、又は車載型の移動デバイスとすることができる。

[0002] 無線アクセスネットワーク（ＲＡＮ）は、通常は複数のセル領域に分割された地理的領域をカバーする。各セル領域は、例えば無線基地局（ＲＢＳ）のような基地局によって対応される。いくつかのネットワークにおいて、ＲＢＳは、ＷｉＭＡＸでは「ＢＳ］と呼ばれ、ＷＬＡＮでは「ＡＰ」と呼ばれ、また第３世代移動ネットワークでは「ＮｏｄｅＢ」又は「Ｂｎｏｄｅ」としても知られている。セルは、基地局サイトにおける無線基地局装置によって無線サービスエリアが提供される地理的領域である。各セル及び／又は基地局は、ローカル無線領域内のアイデンティティによって識別され、これはセル内で同報通信される。基地局は、基地局の範囲内のユーザ装置ユニット（ＵＥ）と、無線周波数で動作するエアインタフェースを介して通信を行う。

[0003] 無線アクセスネットワークのいくつかのバージョン（特に初期のバージョン）においては、いくつかの基地局は通常、（例えば地上通信線又はマイクロ波によって）無線ネットワークコントローラ（ＲＮＣ）に接続される。無線ネットワークコントローラは、基地局コントローラ（ＢＳＣ）と称されることもあり、接続された複数の基地局の様々なアクティビティを監視し調整する。無線ネットワークコントローラは通常、１つ以上のコアネットワークに接続される。また、基地局は、コアネットワークによって補助されて、又は直接的な基地局相互接続を用いて、基地局間で無線端末のハンドオーバを可能とするための手段を有する場合がある。

[0004] ＵＭＴＳ（Universal Mobile Telecommunications System）は、ＧＳＭ（Global System for Mobile Communications）から発展した第３世代移動通信システムであり、広帯域符号分割多元接続（ＷＣＤＭＡ）アクセス技術に基づいて改良された移動通信サービスを提供することを目的とする。ＵＴＲＡＮは、本質的に、ユーザ装置ユニット（ＵＥ）のための広帯域符号分割多元接続を用いた無線アクセスネットワークである。３ＧＰＰ（Third Generation Partnership Project）は、更に別のＵＴＲＡＮ及びＧＳＭベースの無線アクセスネットワーク技術の開発に取り組んでいる。

[0005] ３ＧＰＰにおいて、Ｅ−ＵＴＲＡＮ（次世代ユニバーサル地上無線アクセスネットワーク：Evolved Universal Terrestrial Radio Access Network）のための規定が進行中である。Ｅ−ＵＴＲＡＮは、ＬＴＥ（Long Term Evolution）を含み、ＳＡＥ（System Architecture Evolution）の一部である。

[0006] ＬＴＥは、３ＧＰＰ無線アクセス技術の変形であり、無線基地局ノードが無線ネットワークコントローラ（ＲＮＣ）ノードでなく直接コアネットワークに接続されるものである。一般に、ＬＴＥにおいては、無線ネットワークコントローラ（ＲＮＣ）ノードの機能は無線基地局ノードによって実行される。このため、ＬＴＥシステムの無線アクセスネットワーク（ＲＡＮ）は、無線ネットワークコントローラ（ＲＮＣ）ノードの監督下にあるのではない無線基地局ノードを含む本質的に「フラットな」アーキテクチャを有する。従って、Ｅ−ＵＴＲＡＮ（evolved UTRAN）は、例えば発展型ノードＢ又はｅＮＢのような発展型基地局ノードを含み、無線端末に対して発展型のＵＴＲＡＮユーザプレーン及び無線リソース制御プレーンプロトコル終端器を提供する。

[0007] ＷｉＭＡＸすなわちマイクロ波アクセスのための世界的相互運用性は、二地点間リンクから完全移動セル式アクセスまでの範囲にわたる様々な方法で無線データ伝送を提供する電気通信技術である。この技術は、配線も大きなネットワーク構造も実際に必要とすることなく広帯域速度を利用するというアイディアをユーザに提供する。この技術はＩＥＥＥ８０２．１６規格（ＷｉｒｅｌｅｓｓＭＡＮとも呼ばれる）に基づいている。「ＷｉＭＡＸ」という名前はＷｉＭＡＸフォーラムによって生成された。

[0008] 無線端末等のノードがネットワークに接続すると、多くの場合、無線インタフェース上で認証及び暗号化の使用の設定を含むセキュリティハンドシェークが実行される。このために、無線端末は、サポートするセキュリティ能力（例えばセキュリティアルゴリズム及びプロトコル）についてネットワークに通知して、ネットワークが適切な選択を実行できるようにしなければならない。しかしながら、以下に記載するように、この通知は、いわゆる競り下げ攻撃に対して影響を受けやすい恐れがある。

[0009] 例えば、無線端末が、認証アルゴリズムＳ（「セキュア」）及び認証アルゴリズムＬ（「低セキュア」）をサポートすると仮定する。更に、図１に示すように、悪質なパーティが無線端末の能力シグナルに介入して、これを認証アルゴリズムのセット｛Ｓ，Ｌ｝からセット｛Ｌ｝に変更したと仮定する。ネットワークは、無線端末（ＵＥ）が認証アルゴリズムＬ（「低セキュア」）のみをサポートすると考え、従ってネットワークは低セキュアＬを選択させられることになる。これは、無線端末に対して得られるセキュリティが、得られるはずであったよりも低いことを意味する。更に悪いことには、システムがセキュリティ能力なしの端末を許可すれば、攻撃者は、例えば｛ ｝のような空の認証アルゴリズムセットを転送することができ、無線端末はセキュリティを全くサポートしないということになる。従って、無線端末のセキュリティに関連した能力を（おそらくは他の能力も）含むメッセージを保護する必要がある。

[00010] セキュリティの脅威に対する通常の又は当然の手法は、無線端末のセキュリティ能力をネットワークに知らせる通知メッセージの完全性を保護することである。しかしながら、通知メッセージは一般に認証前に実行されなければならないので、通常この目的のために暗号鍵は利用可能でない。なぜなら暗号鍵は認証の後（又は認証と同時）に生成されるからである。公開鍵技術を用いることは１つの選択肢であるが、効率が低く、ほとんどの無線規格において公開鍵インフラストラクチャ（ＰＫＩ）はサポートされていない。

[00011] ＷＩＭＡＸのための解決策は、能力シグナル（ＳＢＣ能力）を認証ステップの後に移すことである。

[00012] 初期のＩＥＥＥ８０２．１６規格では、多くの極めて重要な欠点を有するＰＫＭ（Privacy and Key Management）プロトコルが用いられた。ＩＥＥＥ８０２．１６ｅは、ＰＫＭｖ２としてリリースされたＰＫＭプロトコルの新しいバージョンを含む。ＰＫＭｖ２は、以前のバージョンに比べて、ナンス、メッセージ認証コード、鍵ＩＤ、証明書等のセキュリティフィーチャを含む大きな変更が行われている。このため、ＷＩＭＡＸにおけるＰＫＭＶ２は、ＰＫＭ要求メッセージにおいていくつかのセキュリティ能力を伝達する。これらの能力はセキュリティ関連のものであり、また認証能力にも関連する場合があり、かかる能力も保護する必要がある。

[00013] 図２に、別の一般的な技法（例えば３ＧＰＰ ＵＭＴＳ及びＬＴＥにおいて用いられる）を示す。図２はネットワーク接続手順の無線端末実行部分を示す。基本的な無線接続確立（図示せず）はすでに行われていると仮定する。この技法は以下のステップを含む。

[00014] ステップ２−１：無線端末（ＵＥ）はそのセキュリティ能力をネットワーク（ＶＰＬＭＮ）に送信する。ここでのセキュリティ能力とは、認証（の成功）の後に用いられる暗号化アルゴリズム等を指す。

[00015] ステップ２−２：ネットワーク（ＶＰＬＭＮ）は、ＨＰＬＭＮのＡＡＡ（認証、許可、及び課金）サーバ又は一部から認証データをフェッチする。ＵＭＴＳにおいて、ＡＡＡサーバはＨＳＳ（ホーム加入者サーバ）として知られる。

[00016] ステップ２−３：チャレンジ−レスポンス手順（以下で更に詳細に説明する）による認証を実行し、鍵ｋを生成する。

[00017] ステップ２−４：ＶＰＬＭＮは、ステップ２−１のメッセージにおいて無線端末（ＵＥ）から受信したセキュリティ能力を「エコーする」が、ここでは完全性は鍵ｋによって保護されている（認証されている）。

[00018] ステップ２−５：無線端末（ＵＥ）は、同じ鍵ｋを用い、完全性を検証すると共に能力がメッセージ１で送信したものと同一であることをチェックする。

[00019] 図２によって例示された技法は、セキュリティ能力に関する上述の問題を解決するが、セキュリティ機能を認証してイネーブルした後になってから偽の能力メッセージが検出されるという好ましくない特性がある。更に、セキュリティ能力が信頼性高く保護されるのは認証手順がセキュアな方法で実行された場合のみである。なぜなら、そうでない場合には、鍵ｋが他のパーティに知られてステップ２−４でメッセージの偽造を可能とする恐れがあるからである。

[00020] 図２の手順の一部を形成するチャレンジ−レスポンスプロトコルは、従来技術において存在しており、認証のために用いられる（例えばＧＳＭ／ＵＭＴＳ認証及び鍵合意（ＡＫＡ）、拡張認証プロトコル（ＥＡＰ）、ダイジェスト認証等）。かかるプロトコルにおいては、無線端末及びＡＡＡサーバは予め共有された鍵（又はパスワード）Ｋを有すると仮定される。かかるチャレンジ−レスポンスプロトコルの基本的な態様について、以下に列挙した例示的なステップによって示す。

[00021] （１）ＡＡＡサーバはランダム値ＲＡＮＤを選択する。

[00022] （２）ＡＡＡサーバは予想レスポンスＸＲＥＳ＝Ｆ（Ｋ，ＲＡＮＤ）を計算する。ここで、Ｆは合意された暗号化関数である（また、ＦはＲＡＮＤでなく他のパラメータに依存することも可能である）。ＲＡＮＤ及びＫに基づいて、例えば鍵のような他のパラメータも計算することができる。

[00023] （３）ＡＡＡサーバはＲＡＮＤを無線端末に送信する。

[00024] （４）無線端末はレスポンスＲＥＳ＝Ｆ（Ｋ，ＲＡＮＤ）を計算し、これを（ＡＡＡサーバ又はアクセスネットワークにおける何らかの認証者ノードに対して）返信する。

[00025] （５）ＡＡＡサーバ／認証者はＲＥＳ＝ＸＲＥＳであるか否かをチェックし、これが成り立つならば無線端末が認証されていると見なす。

[00026] かかるチャレンジ−レスポンスプロトコルにおいては、必然的にステップ（２）はステップ（１）の後かつステップ（５）の前に実行しなければならないが、任意にステップ（３）及びステップ（４）の後に実行することも可能である。これによって可能な認証手順セットに制限が加わる。

[00027] 一般に、ＵＭＴＳ又はＬＴＥ等のシステムはセキュリティ能力を保護するが、認証能力は保護しない。近い将来、かかるシステムは複数の認証能力をサポートする可能性があり、従って認証能力の保護がないことは認証手順に対する根本的な脅威を生じ、更に「ドミノ効果」を生む。なぜなら、副作用としてセキュリティ能力が脅かされる恐れがあるからである。認証能力が保護されない理由は、部分的には、かかる保護を提供しようとする全ての直接的な手法に関連した固有の「因果関係のわからない」問題によるものである。

[00028] 更に、上述した従来技術の構成（例えばＵＭＴＳ）におけるセキュリティ関連能力は、移動先の公衆陸上移動ネットワーク（ＶＰＬＭＮ：visited public land mobile network）と無線端末との間で保護されるだけである。これはＶＰＬＭＮに強い信頼が必要であることを意味する。そうでない場合には、ＶＰＬＭＮが無線端末から転送された無線端末能力を「偽造」する可能性があるからである。特に、認証能力は時に、無線端末と認証及び課金（ＡＡＡ）機能／サーバとの間の「エンドツーエンド」の問題となる場合があり、同様にエンドツーエンド保護を行わなければならない。

[00029] 本明細書に開示する技術は、その態様の１つにおいて、インタフェースを介して無線端末と通信を行う通信ネットワークを動作させる方法に関する。このネットワークは、認証ノードと、ＡＡＡサーバ等のサーバと、を備える。この方法は、その最も基本的な形態において、端末がインタフェースを介してネットワークに認証能力情報を送信することを含む（認証能力情報は端末の認証能力の指示を与える）。次いでネットワークは、受信した認証能力情報を用いて、端末による認証及び鍵合意手順内で用いられる第１の暗号値を決定する。次いで端末は、認証能力情報を用いて、認証及び鍵合意手順内で用いられる第２の暗号値を決定する。第１及び第２の暗号値が異なる場合、認証及び鍵合意手順の少なくとも一部が失敗する。この失敗は、ネットワーク、端末、又はその双方によって検出することができる。

[00030] 例示的な実施において、認証能力情報は、端末によってサポートされる認証アルゴリズム、認証／プロトコル、又は認証信用証明書の識別（例えばリスト）を含む。

[00031] 第１の暗号値及び第２の暗号値を用いた認証手順の検証の取得は、様々な方法で行うことができる。例えば、検証の取得は、第１の暗号値及び第２の暗号値を比較することによって、認証手順が成功であるか否かを明示的に判定することを含むことができる（例えば、第１の暗号値が第２の暗号値と等しい場合に認証手順は成功であると判定される）。いくつかの例示的な実施形態において、第１の暗号値及び第２の暗号値のこのような比較はネットワークによって実行可能である。他の例示的な実施形態において、第１の暗号値及び第２の暗号値のこのような比較は端末によって実行可能である。更に別の例示的な実施形態では、検証の取得は本質的に、ネットワークと端末との間のセキュアな（例えば暗号化された）通信に関連付けて、ネットワークが第１の暗号値の使用を試み、端末が第２の暗号値の使用を試みることを含む。かかる実施形態は、暗号化／復号化動作通信が失敗しない場合に認証手順の成功を判定することを含む。この場合、検証は暗黙的比較の一例である。すなわち、これは、明示的な比較「ｘ＝＝ｙ？」に基づいておらず、何らかの暗号関数ｈ、ｇについての「ｈ（ｘ）はｇ（ｙ）と一致するか？」の形態の基準の評価に基づいている。

[00032] 従って、１つの例示的な実施形態において、ネットワークは端末に第１の暗号値を提供する。端末は、ネットワークを認証するために第１の暗号値及び第２の暗号値を比較し、それらが異なる場合には認証及び鍵合意手順を拒絶する。

[00033] 別の例示的な実施形態において、端末はネットワークに、暗号値として用いられる第２の暗号値を提供する。ネットワークは、端末を検証するために第１の暗号値及び第２の暗号値を比較し、それらが異なる場合には認証及び鍵合意手順を拒絶する。

[00034] 更に別の実施形態においては、第１及び第２の暗号値は、端末とネットワークとの間のセキュアな通信（例えば暗号化及び／又はデータ完全性保護）に用いられるセッション鍵材料を含む。ネットワーク又は端末のいずれかがセキュアな通信に関連した通信エラーを検出した場合、認証及び鍵合意手順は拒絶される。

[00035] この方法の例示的なサーバベースのモードにおいて、端末はインタフェースを介して認証ノード及びサーバに認証能力情報を送信する。サーバは、認証能力情報を用いて第１の暗号値を決定する。端末は、認証能力情報を用いて第２の暗号値を決定する。認証ノードは、第１の暗号値及び第２の暗号値を比較して端末を認証する。

[00036] サーバベースのモードの更に詳細な実施において、端末は無線インタフェースを介して認証ノードに認証能力情報を送信する。次いで認証ノードは、認証能力情報をサーバに送信する。サーバは、受信した認証能力情報、ランダム数、及び鍵（鍵は端末及びサーバによって予め共有されている）の関数として第１の暗号値を発生する。サーバは、ランダム数及び第１の暗号値を認証ノードに送信する。認証ノードはランダム数を端末に送信する。端末は、ランダム数、鍵、及び認証能力情報を用いて、第２の暗号値を計算する。端末は第２の暗号値を認証ノードに送信する。

[00037] サーバベースのモードの入力を変更した変形においては、端末はインタフェースを介して認証ノードに認証能力情報を送信する。認証ノードは認証能力情報をサーバに送信する。サーバは二次ランダム数を選択し、更に、この二次ランダム数及び受信した認証能力情報を用いて、一次ランダム数を決定する。サーバは、一次ランダム数及び鍵の関数として第１の暗号値を発生する。鍵は、端末及びサーバによって予め共有されている。サーバは、二次ランダム数及び第１の暗号値を認証ノードに送信する。認証ノードは二次ランダム数を端末に送信する。端末は、二次ランダム数及び認証能力情報を用いて、第２の一次ランダム数を決定する。端末は、第２の一次ランダム数及び鍵を用いて、第２の暗号値を計算する。

[00038] サーバベースのモードの入力を変更した変形では、サーバはサーバ第１関数を用いて第１の暗号値を決定し、サーバ第１関数に対する入力は認証能力情報に依存する。

[00039] 例示的な実施において、第１の暗号値は認証トークン（ＡＵＴＮ）である。別の実施形態において、第１の暗号値は暗号鍵（ＣＫ）及び／又は完全性鍵（ＩＫ）である。別の実施形態では、第１の暗号値は予想レスポンス（ＸＲＥＳ）であり、第２の暗号値はレスポンス（ＲＥＳ）である。別の例示的な実施形態においては、第１の暗号値は、ＵＭＴＳ認証及び鍵合意のための拡張認証プロトコル方法（ＥＡＰ−ＡＫＡ）のマスタセッション鍵（ＭＳＫ）の鍵である。

[00040] 本明細書において記載する実施形態のいくつかは、明示的なチェック値を利用する。例えば、第１の認証能力が攻撃者によって変更された場合、端末において導出される結果（ＲＥＳ）値は、ネットワークによって発生される対応する予想結果（ＸＲＥＳ）とは異なり、ＲＥＳ及びＸＲＥＳの比較はネットワークにおいて失敗する。また、ＡＵＴＮが暗号値として機能する実施形態も明示的なチェック値の一例であるが、この実施形態では、失敗は端末において検出される。他の場合、例えば鍵（ＭＳＫ及び／又はＣＫ／ＩＫ）をチェック値として用いる場合には、変更されたセキュリティ能力の検出は、例えば暗号の失敗によるものなので、チェック値は暗黙的である。

[00041] この方法の例示的な共有モードにおいて、端末は、インタフェースを介してネットワークの認証ノードに認証能力情報を送信する。認証ノードは、ネットワークのサーバから第３の暗号値を要求する。サーバは、ランダム数及び鍵の関数として第３の暗号値を発生する。鍵は、端末及びサーバによって予め共有されている。サーバは、ランダム数及び第３の暗号値を認証ノードに送信する。認証ノードは、ランダム数、第３の暗号値、及び認証能力情報を用いて、第１の暗号値を決定する。認証ノードは、ランダム数を端末に送信する。端末は、ランダム数、鍵、及び認証能力情報を用いて、第２の暗号値を決定する。端末は第２の暗号値を認証ノードに送信する。共有モードの例示的な実施においては、認証ノードは、ＶＰＬＭＮにおけるＳＧＳＮ（Serving GPRS Support Node）又はＭＭＥ（Mobility Management Entity）ノードであり、サーバは、ホーム公衆陸上移動ネットワーク（ＨＰＬＭＮ：home public land mobile network）におけるＡＡＡサーバ又はＨＳＳである。

[00042] 本明細書に開示する技術は、その別の態様において、通信ネットワークのノードに関する。このノードは、端末の認証能力情報を用いて端末のための暗号値を決定するように構成されている（認証能力情報は端末の認証能力の指示を与える）。例えば、認証能力情報は、端末によってサポートされる認証アルゴリズム、認証プロトコル、及び／又は認証信用証明書の識別（例えばリスト）を含む。

[00043] 例示的な実施形態において、ノードは、認証能力情報、ランダム数、及び鍵の関数として暗号値を決定するように構成されたサーバを含む。鍵は、端末及びサーバによって予め共有されている。

[00044] ノードの別の実施形態は、二次ランダム数を選択してこの二次ランダム数及び認証能力情報を用いて一次ランダム数を決定するように構成されたサーバを含む。このサーバは、一次ランダム数及び鍵の関数として暗号値を発生するように更に構成されている。鍵は、端末及びサーバによって予め共有されている。この実施形態は、サーバがサーバ第１関数を用いて暗号値を決定するように構成されている実施形態の一例であり、サーバ第１関数に対する入力は認証能力情報に依存する。

[00045] 例示的な実施において、ノードは、ＶＰＬＭＮにおける認証ノード（例えばＭＭＥノード又はＳＧＳＮ）である。別の例示的な実施において、ノードは、ＨＰＬＭＮにおけるＡＡＡサーバ又はＨＳＳノードを含む。

[00046] 本明細書に開示する技術は、その別の態様において、第１のノード及び第２のノードを含む通信ネットワークに関する。第１のノードは、端末の認証能力情報を受信すると共に第２のノードから第３の暗号値を要求するように構成されている。第２のノードは、ランダム数及び鍵の関数として第３の暗号値を発生するように構成されている。鍵は、端末及び第２のノードによって予め共有されている。第１のノードは、ランダム数、第３の暗号値、及び認証能力情報を用いて第１の暗号値を決定すると共に、端末から受信した第２の暗号値を第１の暗号値と比較して端末を認証するように構成されている。例示的な実施において、第１のノードは、ＶＰＬＭＮにおけるＳＧＳＮ又はＭＭＥノードを含み、第２のノードは、ＨＰＬＭＮにおけるＡＡＡサーバ又はＨＳＳノードを含む。

[00047] 本明細書に開示する技術は、その別の態様において、インタフェースを介して通信ネットワークに認証能力情報を送信すると共に認証能力情報を用いて暗号値を決定するように構成された端末に関する。この暗号値は、端末の認証のために、インタフェースを介して通信ネットワークに送信される。例示的な実施において、認証能力情報は、端末によってサポートされる認証アルゴリズムの識別を含む。

[00048] 本明細書に開示する技術は、その別の態様において、インタフェースを介して通信ネットワークに認証能力情報を送信すると共に認証能力情報を用いて第１の暗号値を決定するように構成された端末に関する。端末は、更に、第１の暗号値と、認証手順の一部として通信ネットワークから受信した第２の暗号値とを比較すると共に、この比較が失敗した場合には認証手順を拒絶するように構成されている。例示的な実施において、認証能力情報は、端末によってサポートされる認証アルゴリズムの識別を含む。

[00049] 本発明の前述及びその他の目的、フィーチャ、及び利点は、添付図面に示したような以下の好適な実施形態の具体的な記載から明らかとなろう。添付図面において、参照符号は様々な図を通して同一の部品を示す。図面は必ずしも一定の縮尺通りではなく、本発明の原理を例示する際には強調している。

[00050] 端末とネットワークとの間の通信に対する悪質なパーティによる潜在的な攻撃を示す図である。 [00051] 一般的な認証技法に伴うステップの図である。 [00052] 本明細書に開示する技術の背景を述べるのに適した第１の例示的な通信ネットワークの関連部分の概略図である。 [00053] 本明細書に開示する技術の背景を述べるのに適した第２の例示的な通信ネットワークの関連部分の概略図である。 [00054] 図３の通信ネットワークと組み合わせた方法の一般モードで実行される例示的な行為又はステップを示す図である。 [00055] 様々な、限定でない、より詳細な例示的な実施形態に従った、認証ノード、ＡＡＡサーバ、及び端末の例示的な構成ユニット及び機能性を示す。 [00055] 様々な、限定でない、より詳細な例示的な実施形態に従った、認証ノード、ＡＡＡサーバ、及び端末の例示的な構成ユニット及び機能性を示す。 [00055] 様々な、限定でない、より詳細な例示的な実施形態に従った、認証ノード、ＡＡＡサーバ、及び端末の例示的な構成ユニット及び機能性を示す。 [00055] 様々な、限定でない、より詳細な例示的な実施形態に従った、認証ノード、ＡＡＡサーバ、及び端末の例示的な構成ユニット及び機能性を示す。 [00055] 様々な、限定でない、より詳細な例示的な実施形態に従った、認証ノード、ＡＡＡサーバ、及び端末の例示的な構成ユニット及び機能性を示す。 [00056] サーバベースの認証方法の例示的な実施形態の例示的又は代表的な基本的行為又はステップを示す。 [00057] 図６のサーバベースのモードの更に詳細な実施において実行される基本的又は代表的な例示的行為又はステップを示す。 [00058] 本明細書に開示する技術の別の例示的な方法によって実行される基本的又は代表的な例示的行為又はステップを示す図である。 [00059] ＡＵＴＮパラメータが認証能力に依存するようになっているＵＭＴＳ ＡＫＡに関連したモードにおいて実行される基本的又は代表的な例示的行為又はステップを示す図である。 [00060] ＭＳＫが認証能力に依存するようになっている拡張認証プロトコル方法に関連したモードにおいて実行される基本的又は代表的な例示的行為又はステップを示す図である。 [00061] 本明細書に開示する技術の別の例示的な方法によって実行される基本的又は代表的な例示的行為又はステップを示す図である。

[00062] 以下の記載において、限定でなく説明の目的で、本発明の完全な理解を提供するために、特定のアーキテクチャ、インタフェース、技法等の具体的な詳細事項について述べる。しかしながら、本発明はこれらの具体的な詳細事項から逸脱する他の実施形態において実施可能であることは当業者には明らかであろう。すなわち、当業者は、本明細書において明示的に記載又は図示されていないが本発明の原理を具現化する様々な構成を考案することができる。いくつかの例においては、不必要な詳細事項によって本発明の記載を不明瞭にしないために、周知のデバイス、回路、及び方法の詳細な記載は省略する。本発明の原理、態様、及び実施形態を述べる本明細書における全ての記述は、その構造的均等物及び機能的均等物の双方を包含することが意図されている。更に、かかる均等物は、現在知られている均等物及び将来開発される均等物すなわち構造に関わらず同一の機能を実行する開発された要素の双方を含むことが意図されている。

[00063] このため、例えば、本明細書におけるブロック図は技術の原理を具現化する例示的な回路の概念図を表すことができることは当業者には認められよう。同様に、あらゆるフローチャート、状態遷移図、擬似コード等が表す様々なプロセスは、コンピュータ読み取り可能媒体において実質的に表現されてコンピュータ又はプロセッサによって実行することができ、かかるコンピュータ又はプロセッサは明示的に図示する場合もしない場合もあることは認められよう。

[00064] 「プロセッサ」又は「コントローラ」と標示又は記載した機能ブロックを含む様々な要素の機能は、専用ハードウェア及びソフトウェアを実行可能なコンピュータ等のハードウェアを用いることによって提供可能である。プロセッサによって提供される場合、これらの機能は、単一の専用プロセッサによって、単一の共有プロセッサによって、又は一部が共有もしくは分散される場合がある複数の個別プロセッサによって提供することができる。更に、「プロセッサ」又は「コントローラ」という言葉の明示的な使用は、ソフトウェアを実行可能なハードウェアを排他的に示すものとして解釈されるのではなく、限定なしに、デジタル信号プロセッサ（ＤＳＰ）ハードウェア、ソフトウェアを記憶するための読み出し専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、及び不揮発性記憶装置を含むことができる。

[00065] 図３Ａは、本明細書に開示した技術の背景を述べるのに適した例示的な通信ネットワーク２０の関連部分を示す。通信ネットワーク２０は、認証ノード２２及びＡＡＡサーバ２４を含む。認証ノード２２はアクセスネットワーク２６に接続されている。アクセスネットワーク２６は、無線基地局としても知られる少なくとも１つの基地局２８を含む。基地局２８は、インタフェース３２を介して端末３０と通信を行う。このため、図３Ａの例示的な実施形態においては、アクセスネットワーク２６は無線アクセスネットワークであり、端末３０はエア又は無線インタフェース３２を介して通信を行う無線端末である。

[00066] 図３Ｂは、本明細書において開示される技術が無線アクセスネットワーク又は無線端末との使用に限定されないことを示す。図３Ｂは、アクセスネットワークを、例えば無線ベース以外にすることが可能であることを示し、更に、端末３０’を無線以外のものにすることが可能であることを示す（例えば電話線、光ファイバ、同軸ケーブル等を用いた有線又はケーブル接続）。以下の実施形態は主として図３Ａの無線の状況を参照して記載するが、かかる実施形態は図３Ｂに示すもの等のいっそう一般的な状況において実施可能であることは認められよう。

[00067] 認証ノード２２は、ＳＧＳＮ、ＭＳＣ、又はＭＭＥ等の通信ネットワーク２０のいずれかの適切なノードとすることができる。また、ＡＡＡサーバ２４は通信ネットワーク２０のノードに位置することができ、この理由でＡＡＡサーバ２４もノードであると考えることができる。この点で、ＡＡＡサーバ２４は、（Radius又はDiameter）ＡＡＡサーバ、ＨＬＲ／ＡｕＣ（ホーム位置レジスタ／認証センタ）、又はＨＳＳに位置することができる。

[00068] その基本的な態様の１つにおいて、本明細書に開示する技術は、図１を参照して記載した問題等の認証プロトコル能力の競り下げ問題を解決する。これを行うために、本明細書において開示する技術は、認証プロトコル能力に関する情報を認証手順自体に関連させて統合する。このため、認証ノード２２は認証ユニット３４を含み、ＡＡＡサーバ２４は認証ユニット３６を含み、端末３０は認証ユニット３８を含む。本明細書において記載するいくつかの実施形態において、認証能力情報に対する認証手順の依存性は認証ノード２２に対して本質的にトランスペアレントである。他の実施形態においては、かかる依存性はＡＡＡサーバ２４に対してトランスペアレントである。

[00069] 図３Ａに示したタイプの例示的な実施において、認証ノード２２は、ＶＰＬＭＮ４０に配置されているか、又はＶＰＬＭＮ４０を備える。ＶＰＬＭＮ４０は無線アクセスネットワーク（ＲＡＮ）２６に備えることができる。例示的な実施において、ＡＡＡサーバ２４は、ＨＰＬＭＮ（ホームＰＬＭＮ）４２に配置されているか、又はＨＰＬＭＮを備える。

[00070] 図４は、図３の通信ネットワーク２０のための認証手順の一般モードで実行される例示的な行為又はステップを示す。行為４−１は、端末３０が、インタフェース３２を介してネットワーク２０に認証能力情報（ＡＣ）メッセージを送信することを含む。

[00071] 本明細書において記載した実施形態において、認証能力情報（ＡＣ）は、端末の認証能力の指示を与える。従って、認証能力はセキュリティ能力とは異なる。セキュリティ能力は本質的に、認証手順が成功して完了した際に利用される暗号化アルゴリズム等に関連するものである。認証能力情報（ＡＣ）は、例えば、認証アルゴリズム（複数のアルゴリズム）、認証プロトコル（複数のプロトコル）、及び／又は端末３０が適格であるか又は可能である認証信用証明書の識別（例えばリスト又は記述）とすることができる。端末のタイプ及び性質に応じて、行為４−１として送信される認証能力情報（ＡＣ）メッセージには、様々な異なるタイプの認証アルゴリズムを含ませることができる。例示的な認証能力情報（ＡＣ）メッセージに含ませることができるタイプの例示的な端末用認証アルゴリズムの網羅的でないサンプルは、Ｍｉｌｅｎａｇｅ、ＲＳＡ（Ｒ）等を含む。認証プロトコルの例は、ＵＭＴＳ ＡＫＡ、ＥＡＰ ＡＫＡ、ＥＡＰ ＴＬＳ等とすることができる。信用証明書の例は、ＩＭＳＩ（複数のＩＭＳＩ）、公開鍵証明書等を含むことができる。

[00072] 認証機構の完全な規定には、認証アルゴリズム、アルゴリズムを使用するための認証プロトコル、及び認証の実行に関連した信用証明書（例えば鍵及び／又は識別子）の各々の規定が必要である場合があることは理解できよう。場合によっては、これらの３つのパラメータの１つ以上は暗黙的であり、能力に明示的に含ませる必要はない。例えば、ＬＴＥネットワークにおいてはＵＭＴＳ ＡＫＡプロトコルのみがサポートされ、この事実を明示的に通知する必要はない。しかしながら、明示的な通知を必要とするパラメータはいずれも、競り下げ攻撃を受ける場合があり、従って本明細書に述べる技術によって提供される保護から利益を得ることができる。

[00073] 行為４−２は、通信ネットワーク２０が認証能力情報を用いて第１の暗号値（ＣＶ１）を決定することを含む。行為４−３として、端末３０はその認証能力情報を用いて第２の暗号値（ＣＶ２）を決定する。また、第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）は、それぞれ第１の認証チェック値及び第２の認証チェック値と考えることができる。行為４−４は、認証手順が成功である（例えばネットワーク２０と端末３０との間で認証された通信を許可する）か否かの検証を取得する（第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）を用いて）ことを含む。

[00074] 図４は、限定ではないが本明細書に記載した他のモードを含む、この方法の他のモードに従って、様々な方法で認証ノード２２とＡＡＡサーバ２４との間で行為４−２を分散／共有することが可能であるという意味で一般的な動作モードを示す。また、図４は、端末３０、ネットワーク２０、又は共に機能するネットワーク及び端末３０の組み合わせによって行為４−４を実行可能であるという観点からも一般的である。例えば、以下で更に詳細に記載するが、行為４−４は、第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）を比較し、これによって認証手順が成功であるか否かを明示的に判定することを含むことができる（例えば、第１の暗号値（ＣＶ１）が第２の暗号値（ＣＶ２）と等しい場合に認証手順が成功であると判定される）。いくつかの例示的な実施形態においては、かかる第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）の比較はネットワーク２０によって実行可能である。他の例示的な実施形態では、かかる第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）の比較は端末３０によって実行可能である。更に別の例示的な実施形態では、行為４−４は本質的に、ネットワーク２０と端末３０との間の暗号通信（認証後に実行される）に関連付けて、ネットワーク２０が第１の暗号値（ＣＶ１）の使用を試み端末３０が第２の暗号値（ＣＶ２）の使用を試みることで検証を取得し、セキュアな通信（例えば暗号化／復号化）動作通信が失敗でない場合に認証手順の成功を判定することを含む（なぜなら、第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）の値が等しくないことで通信上の問題が生じた場合、通信は失敗するからである）。

[00075] 図５Ａは、限定でない例示的な実施形態に従った認証ノード２２、ＡＡＡサーバ２４、及び端末３０の例示的な構成ユニット及び機能性を更に詳細に示す。図５Ａに示すように、認証ノード２２は、他の例示していない構成要素及び機能性の中でも、認証ノードプロセッサ５０、ＡＡＡサーバ２４に対するインタフェース５２、及び無線アクセスネットワーク（ＲＡＮ）２６に対するインタフェース５４（これを介して端末３０に対する通信が行われる）を含む。例示した実施形態においては、認証ノードプロセッサ５０は、少なくとも部分的に認証ユニット３４の役割を実行し、従って暗号値比較器５６を更に含む。

[00076] ＡＡＡサーバ２４は、ＡＡＡサーバ認証ユニット３６及びＡＡＡサーバプロセッサ６０と図示されたコンピュータ又はプロセッサを含む。更に、加入者アイデンティティ回路としても知られるＡＡＡサーバ認証ユニット３６は、第１の暗号値発生器６２及び鍵メモリ６３を含む。ＡＡＡサーバ認証ユニット３６は通常、セキュアな改ざん防止ユニットである。ＡＡＡサーバプロセッサ６０は、ランダム数発生器６４、認証ノードインタフェース６６、認証能力依存ユニット（ＡＣＤＵ）６７、及び認証能力メモリ６８を含む。ＡＡＡサーバ認証ユニット３６は、プロセッサ６０とは別個の集積回路又はプロセッサ等の回路の形態を取ることができる。このため、例示的な実施形態においては、ＡＡＡサーバ認証ユニット３６は、メモリ（例えば不揮発性メモリ）だけでなく、コンピュータ読み取り可能又は機械読み取り可能命令を実行するプロセッサも含むことができる。従って、例えばそのプロセッサを考慮すると、ＡＡＡサーバ認証ユニット３６は、コンピュータ実施又は回路実施による認証ユニットとも称される。同様に、ＡＡＡサーバプロセッサ６０によって実現又は具現化されるので、認証能力依存ユニット（ＡＣＤＵ）６７は、コンピュータ実施による認証能力依存ユニットとも称される。

[00077] このため、認証能力に対する依存性は認証能力依存ユニット（ＡＣＤＵ）６７によって生成され、ＡＣＤＵ６６は一般に、認証能力に対する依存性を含むことによって、ＡＡＡサーバ認証ユニット３６への入力又はこれからの出力に対して動作する。現在の例示的な実施形態では、ＡＣＤＵ６７はＡＡＡサーバ認証ユニット３６への入力に対して動作する。ＡＣＤＵ６７は、ランダム数発生器６４及び認証能力メモリ６８によって提供されるランダム数を組み合わせることによって入力を形成する。ＡＣＤＵはＡＡＡサーバ認証ユニット３６の入力／出力に対して直接動作するので、ＡＣＤＵはあるいは、ＡＡＡサーバ認証ユニット３６に全体的に又は部分的に統合することも可能である（この場合、これはコンピュータ実施又は回路実施による認証能力依存ユニットとして表すことができる）。しかしながら、通常はＡＡＡサーバ認証ユニット３６の変更は避けることが好ましく、これが、図５Ａ等の図の少なくとも一部に示すような機能分割の理由である。

[00078] ＡＣＤＵ６７がＡＡＡサーバ認証ユニット３６への入力に対してのみ動作する実施形態においては、第１の暗号値（ＣＶ１）は、ＡＡＡサーバ認証ユニット３６の出力によって直接識別することができる。ＡＣＤＵ６７がＡＡＡサーバ認証ユニット３６への出力に対して少なくとも部分的に動作する実施形態（後述する）においては、第１の暗号値（ＣＶ１）は代わりにＡＣＤＵ６７の出力によって識別される。

[00079] 図５Ａの端末３０は、他の例示しない構成要素及び機能性の中でも、認証ユニット３８、端末コンピュータ又は端末プロセッサ７０、及びトランシーバ７１を含む。トランシーバ７１は、従来から知られている方法でインタフェース３２を介して基地局２８とのアップリンク通信及びダウンリンク通信の双方を行うために用いられる。更に、端末認証ユニット３８は、第２の暗号値発生器７２及び鍵メモリ７３を含む。また、端末認証ユニット３８は通常セキュアなユニットである。端末プロセッサ７０は、ランダム数発生器７４、認証ノードインタフェース７６、端末認証能力依存ユニット（ＡＣＤＵ）７７、及び認証能力メモリ７８を含む。ＡＡＡ認証ユニット３６と同様、端末認証ユニット３８は集積回路等の回路の形態を取ることができ、特に、加入者アイデンティティモジュール（ＳＩＭ又はＵＳＩＭ）タイプのカード等の集積回路カードの形態を取ることができる。このため、例示的な実施形態では、認証ユニット３８は、メモリ（例えば不揮発性メモリ）だけでなくコンピュータ読み取り可能又は機械読み取り可能命令を実行するプロセッサも含むことができる。このため、例えばそのプロセッサを考慮すると、端末認証ユニット３８は、コンピュータ実施又は回路実施による端末認証ユニットとも称される。同様に、端末プロセッサ７０によって実現又は具現化されるので、認証能力依存ユニット（ＡＣＤＵ）６７は、コンピュータ実施による認証能力依存ユニットとも称される。

[00080] 端末３０の端末認証能力依存ユニット（ＡＣＤＵ）７７は本質的に、端末認証ユニット３８からの入力及び／又は出力に対して動作することによって、ＡＡＡサーバの対応するＡＣＤＵ６７を「ミラーリング」する。あるいは、ＡＣＤＵ７７は、端末認証ユニット３８に全体的に又は部分的に統合することも可能であり、この場合でもこれはコンピュータ実施又は回路実施による認証能力依存ユニットである。しかしながら、通常ここでも、端末認証ユニット３８を変更なしの状態に維持したいということは同じである。

[00081] サーバ側と同様に、ＡＣＤＵ７７が端末認証ユニット３６への入力に対してのみ動作する実施形態においては、第２の暗号値（ＣＶ２）は、端末認証ユニット３８の出力によって直接識別することができる。ＡＣＤＵ６７が端末認証ユニット３８への出力に対して少なくとも部分的に動作する実施形態（これも後述する）においては、第２の暗号値（ＣＶ２）は代わりにＡＣＤＵ７７の出力によって識別される。

[00082] 本明細書において記載する実施形態においては、端末３０のための鍵又はパスワードは、ＡＡＡサーバ認証ユニット３６の鍵メモリ６３及び端末認証ユニット３８の鍵メモリ７３の双方において／双方に対して予め記憶、設定、又はダウンロードする。端末３０は、それ自身の認証能力（例えば端末３０が動作することができる認証アルゴリズム）を知っており、認証能力メモリ７８に記憶されたそれを示す認証能力情報（ＡＣ）を有する。端末３０の認証能力が時間と共に変わる場合、それに応じて認証能力情報（ＡＣ）は認証能力メモリ７８において更新される。

[00083] 図６は、本明細書に記載する技術に従った、認証方法の例示的なサーバベースのモードの例示的又は代表的な基本的行為又はステップを示す。図６において、行為６−１として、端末３０は、インタフェース３２を介して認証ノード２２及びＡＡＡサーバ２４に、認証能力情報メッセージ内で認証能力情報（ＡＣ）を送信する。図６に示すように、認証能力情報（ＡＣ）は通常、最初に認証ノード２２に送信され、認証能力情報（ＡＣ）を２４に中継する。行為６−２は、ＡＡＡサーバ２４が認証能力情報を用いて第１の暗号値（ＣＶ１）を決定することを含む。行為６−３は、端末３０が認証能力情報を用いて第２の暗号値（ＣＶ２）を決定することを含む。行為６−４は、認証ノード２２が第１の暗号値（ＣＶ１）及び第２の暗号値（ＣＶ２）を比較して、認証手順が成功であるか否かを明示的に判定し、更に、（成功である場合）これによって端末を認証することを含む。

[00084] 図７は、サーバベースのモードのいっそう詳細な実施において実行される基本的又は代表的な例示的行為又はステップを示す。行為７−０は、端末３０がその認証能力を認証能力情報メッセージの形態でＡＡＡサーバ２４に送信することを含む。図７に示すように、端末３０はその認証能力情報を、インタフェース３２を介して認証ノード２２に送信し、認証ノード２２は認証能力情報をＡＡＡサーバ２４に送信する。

[00085] 端末３０の認証能力情報（ＡＣ）は、ＡＡＡサーバ２４の認証ノードインタフェース６６を介して受信され、ＡＡＡサーバ認証ユニット３６に適用される。図７の行為７−１は、ＡＡＡサーバプロセッサ６０がランダム値（ＲＡＮＤ）を選択することを含む。この点で、行為７−１として、プロセッサ６０はランダム数発生器６４を呼び出す。ランダム数発生器６４からランダム数ＲＡＮＤを取得したら、ランダム数ＲＡＮＤを認証能力ＡＣと共にＡＣＤＵ６７に提供する。ＡＣＤＵ６７は、それらを組み合わせてＲＡＮＤ││ＡＣとし、この値を入力としてＡＡＡサーバ認証ユニット３６に提供する。行為７−２として、第１の暗号チェック値発生器６２は暗号関数Ｆを計算して、例えばＸＲＥＳのような、第１の暗号値として用いられる第１の結果又は第１のチェック値を生成する。特に、図７の例示的な実施形態においては、第１の暗号値（ＣＶ１）はＸＲＥＳ＝Ｆ（Ｋ，ＲＡＮＤ）││ＡＣ）として計算され、ここでＦは合意された暗号関数であり、ＡＣは認証能力情報である。暗号関数ＦはＲＡＮＤ及びＫ以外のパラメータに依存することが可能であることは理解されよう。従って、行為７−２として、暗号値ＸＲＥＳは認証能力（ＡＣ）に依存するものとして計算される。所望の場合、例えば鍵のような他のパラメータも行為７−２の一部として計算することができる。

[00086] 行為７−３は、ＡＡＡサーバ２４が選択したランダム値（ＲＡＮＤ）を端末３０に送信することを含む。更に具体的には、図７に示すように、ＡＡＡサーバ２４はランダム数ＲＡＮＤ及び第１の暗号値ＸＲＥＳを認証ノード２２に送信し、次いで認証ノード２２はランダム数ＲＡＮＤを端末３０に送信する。

[00087] 行為７−４は、端末３０の第２の暗号チェック値発生器７２が、例えばＲＥＳ（例えば「結果」）のような第２の暗号値を計算することを含む。図７の例示的な実施形態において、第２の暗号は、第２の暗号チェック値発生器７２によってＲＥＳ＝Ｆ（Ｋ，ＲＡＮＤ││ＡＣ）として計算される。換言すると、端末３０は、行為７−３においてＡＡＡサーバ２４から受信したランダム数（ＲＡＮＤ）を用い、認証能力メモリ７８に記憶された認証能力情報（ＡＣ）を用いて、ＡＣＤＵ７７によって、端末認証ユニット３８に提供される入力ＲＡＮＤ││ＡＣを計算する。端末認証ユニット３８は、暗号関数Ｆ及び鍵メモリ７３に記憶されたような鍵（Ｋ）を、提供された入力に適用して、第２の暗号値ＲＥＳを計算する。図７は、更に、端末３０が第２の暗号値ＲＥＳを認証ノード２２に送信することを示す。従って、行為７−４は、端末３０が、行為７−０のメッセージにおいて送信した（と考える）認証能力情報（ＡＣ）値をＲＥＳの計算に含ませることを含む。

[00088] 行為７−５は、認証ノード２２が、ＲＥＳ＝ＸＲＥＳであるか否かを明示的にチェックし、もしそうならば端末が適切に認証されたと見なすことによって、認証手順が成功であるか否かを判定することを含む。換言すると、認証ノード２２の暗号値比較器５６は、第１の暗号値ＸＲＥＳを第２の暗号値ＲＥＳと比較し、ＲＥＳ＝ＸＲＥＳである場合、認証ノード２２は端末３０を認証する。もしもステップ７−０において端末から与えられた第１の認証能力が攻撃者によって変更されたならば、この比較は失敗し（ＲＥＳ及びＸＲＥＳが異なる入力から計算されたからである）、認証ノード２２によって検出されることになる。行為７−５で認証成功を判定した後、認証ノード２２は典型的に成功／失敗メッセージの形態の通知を端末に送信し、これによって端末に認証成功の事実を通知する。従って、この場合、いかなる攻撃も最初に認証ノード２２によって検出され、この検出は明示的である。

[00089] このため、関数Ｆは、端末の認証能力の一部と見なすことができる（例えば異なる端末が異なるＦ関数をサポートすることができる）。典型的に、Ｆは、加入者アイデンティティモジュール機能（ＳＩＭ又はＵＭＴＳ ＳＩＭ）を実施すると共に鍵（複数の鍵）のセキュアな記憶を提供するスマートカードによって提供される。しかしながら、本明細書において記載する技術は、セキュリティ能力のこの側面を変更する攻撃者に対する保護も提供する。なぜなら、この能力が変更されるということは、ネットワーク及び端末のそれぞれが異なる認証能力（ＡＣ）入力を用いることが少なくとも暗示されるからである。また、この能力が変更されるということは、ネットワーク及び端末が異なるＦ関数を用いるが、これは通常ＲＥＳ及びＸＲＥＳが異なる可能性をいっそう高くするだけであることを意味する場合がある。

[00090] 図７に例示したモードにおいて、ネットワークが、例えば認証ならびに無線受信及び送信等の異なる機能性を実行する２つ以上のノードを含む場合があることは理解されよう。関数Ｆの計算でさえも２つ以上のノードにわたって分散する場合があるが、鍵（上でＫと示した）は通常、ＡＡＡサーバの（セキュアな）鍵メモリ６３から出ることはない。更に、ＡＡＡサーバ２４及び認証ノード２２の機能、及び本明細書に記載した行為を実行するユーザ装置ユニット又は端末３０の機能性は、プロセッサ又はコントローラによって実現することができる。これらの言葉は本明細書において包括的に記載されているので、コンピュータ実施によるものと考えることができる。かかるプロセッサ／コントローラは、いずれかの適切なコンピュータ読み取り可能媒体上に記憶された命令を実行することによって、本明細書に記載された行為を実行することができる。

[00091] 誰かがＡＣ’を代わりに送信することによって認証能力（ＡＣ）を改ざん（又は偽造）した場合、これは、（行為７−２において）ＡＡＡサーバ２４が計算するＸＲＥＳが、（ローカルＡＣ値に基づいて）端末によって計算されたものとは異なる（ＡＣ’に基づいたものであるから）ということを意味する。そしてこれは、端末が拒絶されること、例えば上述したように認証されないことを意味する。

[00092] これは、悪質なパーティが端末に対してサービス使用不能（ＤｏＳ）攻撃を行うためだけに認証能力（ＡＣ）を変更する場合があるという問題を残したままである。しかしながら、この特性は上述した３ＧＰＰの現在の手法と共有される。例えば、攻撃者が、端末によって提供されたＲＥＳ値を変更して認証を失敗させることは常に起こり得る。また、これは「基本的な」チャレンジ−レスポンス認証パラダイムと共有される。なぜなら、ＲＥＳはサードパーティによって途中で変更される可能性があるからである。いずれの場合であっても、攻撃者はネットワーク及び端末を「だまして」次善のセキュリティレベルを用いることが妨げられる。

[00093] 他の態様において、本明細書に開示する技術は前述のものの様々な変形を包含する。例えば図８に示す一例の実施形態において、行為８−ｘは、図７の同様に付番した行為７−ｘに本質的に対応する。図８の実施形態においては、ＲＥＳをＡＣに依存させる更に間接的な方法として、ＲＡＮＤを認証能力（ＡＣ）に依存させる（図８の行為８−１に反映されるように）。この点で、ＡＡＡサーバ２４はランダムＲＡＮＤ’を選択して、ＲＡＮＤ＝Ｇ（ＲＡＮＤ’││ＡＣ）を設定することができる。行為８−３として、ＲＡＮＤでなくＲＡＮＤ’を端末に送信し、端末はローカルにＲＡＮＤを計算する。これは、暗号関数Ｆを暗号関数Ｆ’（Ｋ，ＲＡＮＤ’││ＡＣ）＝Ｆ（Ｋ，Ｇ（ＲＡＮＤ’││ＡＣ））に変更することと同等であることに留意すべきである。このため、これは同じ効果を有するので、先に述べた実施形態によってカバーされる。すなわち、認証能力（ＡＣ）値が変更されるとＲＥＳ及びＸＲＥＳの比較が失敗する。しかしながら、図８の実施形態は、すでに定義及び／又は実施された暗号関数を再使用するための特に簡単な方法を提供する。これが適切であるのは、言及したＦ関数が典型的に「ハードコード」であり（例えば端末３０のＳＩＭカード等のスマートカードにおいて）、この実施形態が関数Ｆの実施だけでなく完了した入力／出力挙動も影響されないままとするからである。

[00094] また、図７及び図８のモードは、本明細書において、入力を変更したサーバベースのモードの変形としても知られる。図７及び図８の変形は双方ともＦ関数に対する入力を変更するが、これを異なる方法で行う。ここで図８の例示的な行為を更に詳しく説明すると、行為８−０は、端末３０が、インタフェース３２を介して認証ノード２２に認証能力情報（ＡＣ）を送信することを含む。次いで認証ノード２２は、認証能力情報を２４に送信する。行為８−１は、ＡＡＡサーバ２４がそのランダム数発生器６４から二次ランダム数（ＲＡＮＤ’）を選択し、この二次ランダム数（ＲＡＮＤ’）及び行為８−０によって取得した認証能力情報（ＡＣ）を用いて、ＡＣＤＵ６７によって一次ランダム数（ＲＡＮＤ）を決定することを含む。一次ランダム数（ＲＡＮＤ）は第１の暗号値ＸＲＥＳを決定するために用いられるが、二次ランダム数（ＲＡＮＤ’）は端末３０に送信される。行為８−２は、ＡＡＡサーバ２４が、一次ランダム数（ＲＡＮＤ）及び鍵（Ｋ）（鍵メモリ６３から取得され端末３０及びＡＡＡサーバ２４によって予め共有されている）の関数として、第１の暗号値ＸＲＥＳを発生することを含む。行為８−３は、ＡＡＡサーバ２４が二次ランダム数（ＲＡＮＤ’）及び第１の暗号値（ＸＲＥＳ）を認証ノード２２に送信することを含む。次いで認証ノード２２は、二次ランダム数（ＲＡＮＤ’）を端末３０に送信する。行為８−４は、端末３０が、二次ランダム数（ＲＡＮＤ’）及び認証能力メモリ７８に記憶された認証能力情報（ＡＣ）を用いてＡＣＤＵ７７によってまず一次ランダム数（ＲＡＮＤ）を決定し、次いで一次ランダム数（ＲＡＮＤ）及び鍵（Ｋ）を用いて第２の暗号値ＲＥＳを計算することを含む。端末３０は第２の暗号値ＲＥＳを認証ノード２２に送信し、その暗号値比較器５６は第１の暗号値ＸＲＥＳ及び第２の暗号値ＲＥＳの値を比較して、端末３０が認証可能であるか否かを判定する。

[00095] 図５Ｂは図９と共に、別の例示的な実施形態を示し、ＵＭＴＳ ＡＫＡの具体的な例に関連している。図９の実施形態においては、いわゆるＡＵＴＮパラメータ（ネットワーク認証のための認証トークン）が認証能力（ＡＣ）に依存するようになっており、端末３０は認証プロセスが成功であるか否かを明示的に判定する。特に、図５Ｂの実施形態について、認証ノード２２は暗号値比較器を含まず、暗号値比較の機能は端末３０に配置されている。図５Ｂは、端末３０の端末認証ユニット３８が第２の暗号チェック値発生器７２及び鍵メモリ７３を含むものとして示す。端末３０のプロセッサ７０は、ランダム数発生器７４、認証ノードインタフェース７６、端末認証能力依存ユニット（ＡＣＤＵ）７７、認証能力メモリ７８、及び暗号値比較器８０を含む。上述したように、端末認証ユニット３８の機能性の全て又は一部は加入者アイデンティティモジュール（ＳＩＭ）カードによって実現又は容易にすることができる。

[00096] 図５Ｂ及び図９Ｂに示す例示的な実施形態においては、認証トークン（ＡＵＴＮ）をランダム数と共に認証要求メッセージ内で端末に送信する。更に、本明細書において記載するこの実施形態及び他の様々な実施形態において、鍵シーケンスインジケータ（ＫＳＩ）も端末に送信することができる。鍵の値は送信せず、鍵の名前すなわちＫＳＩだけを送信する。ＡＵＴＮ内の変数は、移動体がネットワークと共に実行する認証プロセスにおいて、この移動体によって用いられる。特に、ＡＡＡサーバ２４において、第１の暗号値（ＣＶ１）をＸＡＵＴＮ＝Ｈ（Ｋ，ＲＡＮＤ││ＡＣ）として求め、端末３０は第２の暗号値（ＣＶ２）をＡＵＴＮ＝Ｈ（Ｋ，ＲＡＮＤ││ＡＣ）として求める。同様に、図９において末尾に同様の文字が付された行為は図７のものと同様であり、例外は第１の暗号値（ＣＶ１）としてＸＲＥＳの代わりにＸＡＵＴＮを用い、第２の暗号値（ＣＶ２）としてＲＥＳの代わりにＡＵＴＮを用いることである。行為９−５は、端末の暗号値比較器８０がＸＡＵＴＮ及びＡＵＴＮを比較することを含む。このモードは特に有益である。なぜなら、端末がＲＥＳにより応答する前にＡＵＴＮが端末によってチェックされ、このため改ざんされた認証能力情報ＡＣの場合には「早期アボート」が行われるからである。従って、この実施形態は認証能力の明示的なチェックを提供するが、この場合チェックはネットワークでなく端末によって実行される。実際、ＡＵＴＮ及びＸＡＵＴＮの比較は、（Ｘ）ＡＵＴＮ値の一部にのみ、すなわち３ＧＰＰ ＴＳ３３．１０２に指定されたようないわゆるＭＡＣ部分にのみ基づくものとすることができる。３ＧＰＰ ＴＳ３３．１０２は、この場合に比較をどのように実行するかについて詳細に記載する。

[00097] 図５Ｃ及び図１０は別の例示的な実施形態を示し、これは、ＥＡＰ−ＡＫＡの使用に関する。ＵＭＴＳ認証及び鍵合意のための拡張認証プロトコル方法すなわちＥＡＰ−ＡＫＡは、ＵＭＴＳ加入者アイデンティティモジュール（ＵＳＩＭ）を用いた認証及びセッション鍵配布のためのＥＡＰ方法である。ＥＡＰ−ＡＫＡはＲＦＣ４１８７に記載されており、これは引用により本願にも含まれるものとする。ＭＳＫは、マスタ鍵を記載するいくつかのセキュリティ技法及び手順において用いられる言葉であり、ここから認証及び暗号鍵等の多数の他の鍵が導出される。

[00098] 図５Ｃに示すように、ＥＡＰ−ＡＫＡの例示的な実施形態においては、認証ノードも端末３０Ｃも暗号値比較器を含まない。図５Ｃは、ネットワークが暗号化／復号化ユニット８１を含み、端末３０Ｃが暗号化／復号化ユニット８２を含むことを示す。典型的に、暗号化／復号化ユニット８１は基地局２８に配置されている。暗号化／復号化ユニット８１及び暗合化／復号化ユニット８２は双方とも、ＭＳＫ又はこれから導出された鍵を、端末３０Ｃと認証ノード２２Ｃとの間で送信されるメッセージの暗号化／復号化に関連付けて用いる。暗号化／復号化ユニット８１は通常、基地局２８に配置されている及び／又は基地局２８を備える。他の実施形態も同様に暗号化／復号化ユニットを含む場合があるが、様々な他の実施形態においては、暗号化／復号化ユニットは認証手順を有効にする際に必ずしも役割を果たさない。しかしながら、図５Ｃ及び図１０の実施形態においては、ネットワーク及び端末３０Ｃが同一の認証能力依存マスタセッション鍵（ＸＭＳＫ及びＭＳＫ）を用意するか否かが、暗号化／復号化が失敗するか又は成功するかを決定し、このため認証手順が成功する（例えば有効になる）か否かの指標である。

[00099] ＭＳＫは、例えばＷｉＭＡＸセッティングにおいて鍵材料として用いられる。この代わりに、ネーティブのＵＭＴＳ ＡＫＡ鍵（Ｃｋ、Ｉｋ）（ＥＡＰ ＡＫＡを用いる場合、ここからＭＳＫを導出する）に、認証能力に対する依存性を追加することによって、ＵＭＴＳ又はＬＴＥセッティングにおいて同様の実施形態を容易に実施することができる。

[00100] 図１０の例においては、ＭＳＫは認証能力（ＡＣ）に依存するようになっている。上述のように、この実施形態においては通常、認証能力の明示的な検証がない。攻撃者が端末の認証能力（ＡＣ）を変更すると、端末及びネットワークはＭＳＫについて異なる値を用いることになる。しかしながら、この事実の検証は暗黙的である。例えば、端末がＭＳＫに基づいてメッセージを暗号化すると、ネットワークにおける復号プロセスは誤ったＭＳＫ値を用いて復号を行う。同様に、ＭＳＫに基づいたデータ完全性保護が用いられると、これはエラーを生成する。これによって端末とネットワークとの間の通信が「失敗」する。このため、検証（例えば認証手順が成功であるか否かを判定する）は暗黙的であり、この実施形態ではいずれかの特定ノードによって明示的に実行されることはない。換言すると、図１０における行為１０−５は、認証手順の間に求めた暗号値ＭＳＫ及びＸＭＳＫを用いて暗号化／復号化／データ完全性手順を後に実行することに依存して認証手順の検証を取得することを含む。その効果は、通信を試みる場合に端末及びネットワークにインコンパチブルな「言語」を使用させることにたとえることができる。

[00101] 図８は、図７のサーバベースのモードの入力を変更した変形を示す。これは、ＡＡＡサーバ２４がサーバ第１関数を用いて第１の暗号値（ＣＶ１、例えばＸＲＥＳ’）を求め、サーバ第１関数に対する入力が認証能力情報（ＡＣ）に依存するいくつかの実施形態の一例を示す。これによって包含される変形／実施形態のいくつかに共通するのは、能力（認証能力（ＡＣ））の依存性は、関数の出力に影響を及ぼすのではなく様々な関数（例えば関数Ｆ、Ｇ、及びＨ）に対する入力に影響を及ぼす可能性があるという事実である。例えば、認証能力（ＡＣ）に対する依存性が例えばＸＲＥＳ＝Ｆ（Ｋ，ＲＡＮＤ）││ＡＣ）のような入力によって反映される方法でＸＲＥＳを計算する代わりに、いくつかの適切な関数Ｆ’についてＸＲＥＳ＝Ｆ’（Ｆ（Ｋ，ＲＡＮＤ）││ＡＣ）を計算することができ、このため関数Ｆの出力は認証能力（ＡＣ）によって影響される。これは、上述した基本的な形態で暗号関数Ｆを暗号関数Ｆ’’（Ｋ，ＲＡＮＤ││ＡＣ）＝Ｆ’（Ｋ，ＲＡＮＤ）││（ＡＣ）に変更することと同等であるが、この更に別の形態はＦ及びＦ’を異なるノードで計算することを可能とし、この場合はＦ’を計算するノードのみがＡＣを知る必要があり、Ｆを計算するノードのみが共有鍵を知る必要がある。

[00102] 関数ＦはＡＡＡサーバ２４によって計算することができるだけなので、認証能力情報（ＡＣ）がかかる関数Ｆの出力に影響する上述の技法は、図５Ｄに示すもの等の端末３０がローミング中の状況において、すなわち、ＶＰＬＭＮ４０において動作するが端末３０のＨＰＬＭＮ４２と共有される秘密鍵（Ｋ）を有する場合に、特に有利である。図５Ｄの状況において、ＡＡＡサーバ２４が望む場合（例えばＡＡＡサーバ２４がＶＰＬＭＮに対して適度に強い信頼を有する場合）、関数Ｆ’の計算は、ＶＰＬＭＮに（例えばＶＰＬＭＮ４０の認証ノード２２に）「委任する」ことができる。認証ノード２２による関数Ｆ’の利用を容易にするために、認証ノード認証ユニット３４は、認証ノード認証能力依存ユニット（ＡＣＤＵ）５７及び認証能力メモリ５８を含む。そして、認証能力依存ユニット（ＡＣＤＵ）５７は、第１の暗号チェック値発生器５９を含む。それらはプロセッサ５０によって実現することができるか、又はプロセッサ５０を含むことができるので、認証ノード認証能力依存ユニット（ＡＣＤＵ）５７及びその第１の暗号チェック値発生器５９は、コンピュータ実施によるデバイス、例えばコンピュータ実施による認証ノード認証能力依存ユニットとも称される。端末認証能力依存ユニット（ＡＣＤＵ）７７は、第２の暗号チェック値（ＣＶ２）発生器７９を含む。それらはプロセッサ７０によって実現することができるか、又はプロセッサ７０を含むことができるので、端末認証能力依存ユニット（ＡＣＤＵ）７７及びその第２の暗号チェック値発生器８９は、コンピュータ実施によるデバイス、例えばコンピュータ実施による端末認証能力依存ユニットとも称される。

[00103] 図１１に、かかる状況の一例を示す。図１１は、この方法の例示的な共有モードにおける例示的な行為又はステップを示す。行為１１−０は、端末３０がインタフェースを介して認証ノード２２に認証能力情報（ＡＣ）を送信することと、認証ノード２２がＡＡＡサーバ２４からの本明細書において第３の暗号値（ＦＲＥＳ）と称するものを要求することと、を含む。行為１１−１は、ＡＡＡサーバ２４が第３の暗号値（ＦＲＥＳ）の計算の準備としてランダム値（ＲＡＮＤ）を選択又は取得することを含む。行為１１−２ａは、ＡＡＡサーバ２４がランダム数（ＲＡＮＤ）及び鍵（Ｋ）の関数として第３の暗号値（ＦＲＥＳ）を発生することを含み、この鍵は端末３０及びＡＡＡサーバ２４によって予め共有されている。次いでＡＡＡサーバ２４は、ランダム数（ＲＡＮＤ）及び第３の暗号値（ＦＲＥＳ）を認証ノード２２に送信する。行為１１−２ｂは、認証ノード２２及び特に認証ノード認証能力依存ユニット（ＡＣＤＵ）５７の第１の暗号チェック値発生器５９が、ランダム数（ＲＡＮＤ）、第３の暗号値（ＦＲＥＳ）、及び認証能力情報（ＡＣ）を用いて、例えばＲＥＳ＝Ｆ’（ＦＲＥＳ｜｜ＡＣ）のように第１の暗号チェック値（ＸＲＥＳ）を決定することを含む。行為１１−２ｂの一部として、認証能力メモリ５８から認証能力情報（ＡＣ）をフェッチする。行為１１−３は、認証ノード２２がランダム数（ＲＡＮＤ）を端末３０に送信することを含む。行為１１−４は、端末３０が、ランダム数（ＲＡＮＤ）、鍵（Ｋ）、及び認証能力情報（ＡＣ）を用いて第２の暗号値（ＲＥＳ）を決定することを含む。次いで、端末３０は第２の暗号値（ＲＥＳ）を認証ノード２２に送信する。行為１１−５は、認証ノード２２が、端末３０を認証するための前提条件として第１の暗号値（ＸＲＥＳ）及び第２の暗号値（ＲＥＳ）を比較することを含む。

[00104] 従って、図１１の例示的な実施形態は、本明細書に開示し（例えば）図５Ａによって表された、ＨＰＬＭＮ（ＡＡＡサーバ２４）が鍵（Ｋ）及び認証能力情報（ＡＣ）の双方を知っている必要がある技術の基本的な形態とは対照的である。図１１の実施形態においては、認証ノード２２は認証能力情報（ＡＣ）を知っている必要があるが、ＡＡＡサーバ２４は認証能力情報（ＡＣ）を知っている必要はない。これに対し、認証ノード２２は鍵Ｋを知っている必要はなく、ＡＡＡサーバ２４は鍵Ｋを知っている必要はない。また、図１１の実施形態で実行されたものと同じ又は同様のアクションの共有／分配／委任は、認証手順の成功の検証方法とは無関係に他の実施形態においても実行することができる。例えば、端末又は認証ノードのいずれかによる明示的な検証がある実施形態において、及び、後の暗号化／復号化動作における第１の暗号値の利用による暗黙的な検証がある実施形態において実行可能である。

[00105] 図５Ｄが例示する状況では、認証能力情報（ＡＣ）は認証ノード２２によって用いられて関数Ｆの出力に影響を及ぼすが、認証能力（ＡＣ）の出力に影響する利用はＡＡＡサーバ２４においても実施可能であることは認められよう。例えば、図５Ｅが示す例示的な実施形態においては、ＸＲＥＳ＝Ｆ’（Ｆ（Ｋ，ＲＡＮＤ）｜｜ＡＣ）等の関数は、認証ノード２２ではなくＡＡＡサーバ２４によって計算される。図５Ｅの状況において、ＡＡＡサーバ認証ユニット３６はここでも暗号値発生器６２Ｅを含み、認証能力（ＡＣ）を用いてＸＲＥＳ＝Ｆ’（Ｆ（Ｋ，ＲＡＮＤ）｜｜ＡＣ）の計算を実行するのは認証能力依存ユニット（ＡＣＤＵ）６７Ｅであり、このため、認証能力依存ユニット（ＡＣＤＵ）６７は、第１の暗号チェック値（ＣＶ１）を計算するための第１の暗号チェック値発生器として機能する。

[00106] 本明細書において開示した技術は、ＷｉＭＡＸ又はＬＴＥ認証の状況に特に適しているが、これに対して限定的であるわけではない。後者の場合、本明細書において開示した技術が特に適しているのは、ＵＥ認証能力の一部がＡＡＡ／ＨＳＳ及びユーザ装置ユニットで用いられるＫＤＦ（鍵導出関数）を含む場合である。

[00107] 認証の前及び／又は間に交換する必要がある他の「基本的な」能力（例えば無線／リンク関連）は、本明細書に記載したものと同様の方法で保護することができる。

[00108] また、ＡＡＡサーバ２４は、用いる関数を端末の能力から選択する（すなわちＦ、Ｇ等のどれかを決定する）。ＡＡＡサーバ２４は、その選択をセキュアな方法で端末に通知する。通常、これは自動的に処理される。なぜなら、ＡＡＡサーバ２４によって行われた選択を攻撃者が改ざんした場合、端末及びＡＡＡサーバ２４は異なるアルゴリズムを用いて認証値を計算し、従って失敗することになるからである。しかしながら、いずれの場合であっても、以下のように何らかの追加の保護を達成することができる（例えば、セキュリティの観点から１つのアルゴリズムが特に好ましくない場合）。すなわち、ＡＡＡサーバ２４は、認証能力（ＡＣ）だけでなく、暗号チェック値の発生において実際に選択したアルゴリズム（複数のアルゴリズム）も含む。例えば、ＡＡＡサーバ２４が認証アルゴリズムＦを選択した場合、ＦＲＥＳ値はＦＲＥＳ＝Ｆ（Ｋ，ＲＡＮＤ｜｜”Ｆ”）として計算される。ここで、”Ｆ”は、アルゴリズムＦを識別する何らかの所定の方法を示す。次いで、値”Ｆ”を、端末に対する通知に含ませる。

[00109] 以下に示す考えられる攻撃のタイプについて考慮しなければならない。すなわち、（１）攻撃者が、端末が送信しなかった能力ｃを追加することによって変更を行う。（２）攻撃者が、端末が送信した能力ｃを削除することによって変更を行う。タイプ（１）は、おそらくあまり深刻ではない。これは、攻撃者が追加する能力は端末によってサポートされないことを意味するからである。従って、端末はいずれにせよ、正しい第１の暗号値（例えばＲＥＳ）を計算することができない。いずれにしても、双方のタイプに共通するのは、ＡＡＡサーバ２４によって用いられる認証能力情報（ＡＣ）値が、端末によって用いられるものとは異なるので、それらは一致しない認証値を導出するということである。

[00110] 本明細書に開示した技術にはいくつかの利点がある。それらの利点の中に、以下のものがある。
・認証能力、及び、認証が行われる前に通知する必要があり得る他の「基本的な」能力の競り下げに対する、簡単かつ効率的な（共有鍵ベースの）保護。
・端末とＡＡＡサーバ２４との間のエンドツーエンドのセキュリティの提供。
・能力の改ざんの「早期」検出（セキュリティが「オン」になる前）の提供。
・潜在的に改良したＰＫＭｖ２ Ｗｉｍａｘセキュリティプロトコルシグナリング。

[00111] アルゴリズム（Ｆ、Ｇ、Ｈ等に対応する）は通常、端末の汎用ＩＣカード（ＵＩＣＣ）と同様のものにおいて実施される。本明細書に開示した技術の様々な実施形態においては、Ｆ、Ｇ、及びＨの入力及び／又は出力を変更するだけである。これが意味するのは、ＵＩＣＣは影響を受けず、本明細書に開示した技術はＵＩＣＣの「ソフトウェア」カプセル化として提供可能であるということである。

[00112] 上述の記載は多くの規定を含むが、これらは本発明の範囲を限定するものとしてではなく、単に本発明の現在好適な実施形態のいくつかの例示を与えるものとして解釈されるべきである。本発明の範囲は、当業者に明らかとなり得る他の実施形態を完全に包含し、従って本発明の範囲は過度に限定されるものではない。単数形の要素に対する言及は、明示的に述べていない限り「唯一のもの」を意味することは意図しておらず、むしろ「１つ以上」を意味する。当技術分野において当業者に既知である上述の好適な実施形態の要素に対する全ての構造的、化学的、及び機能的な均等物は、本明細書によって包含されることが意図される。更に、本発明によって包含されるデバイス又は方法が、本発明によって解決しようとする全ての問題に対処する必要はない。

Claims (40)

1. 端末（３０）の認証能力情報を用いて第１の暗号値を決定するように構成されたサーバ（２４）であって、前記認証能力情報が前記端末（３０）の認証能力の指示を与える前記サーバ（２４）と、
   前記第１の暗号値を用いて前記端末（３０）のための認証手順の検証を行うように構成された認証ノード（２２）と、
   を含むことを特徴とする、通信ネットワーク（２０）。
2. 前記認証能力情報が、前記端末（３０）によってサポートされる認証アルゴリズム、認証プロトコル、又は認証信用証明書の少なくとも１つを含む、請求項１に記載のネットワーク。
3. 前記認証ノード（２２）が、前記第１の暗号値と前記端末（３０）から取得された第２の暗号値とを比較することによって、前記端末（３０）のための前記認証手順の明示的な検証を行うように構成されている、請求項１に記載のネットワーク。
4. 前記サーバ（２４）が、少なくとも前記認証能力情報及び鍵の関数として前記第１の暗号値を決定するように構成され、前記鍵が前記端末（３０）及び前記サーバ（２４）によって予め共有されている、請求項１に記載のネットワーク。
5. 前記サーバ（２４）が、二次ランダム数を選択して前記二次ランダム数及び前記認証能力情報を用いて一次ランダム数を決定するように構成され、前記サーバ（２４）が、更に、前記一次ランダム数及び鍵の関数として前記暗号値を発生するように構成され、前記鍵が前記端末（３０）及び前記サーバ（２４）によって予め共有されている、請求項１に記載のネットワーク。
6. 前記サーバ（２４）がサーバ第１関数を用いて前記暗号値を決定するように構成され、前記サーバ第１関数に対する入力が前記認証能力情報に依存する、請求項１に記載のネットワーク。
7. 前記認証ノード（２２）が、ＶＰＬＭＮ（visited public land mobile network）のＳＧＳＮ、ＭＳＣ（移動交換局）、又はＭＭＥ（Mobility Management Entity）を含む、請求項１に記載のネットワーク。
8. 前記サーバ（２４）が、ＨＰＬＭＮ（home public land mobile network）のＨＳＳ（ホーム加入者サーバ）又はＡＡＡ（認証、許可、及び課金）サーバを含む、請求項１に記載のネットワーク。
9. 前記第１の暗号値が、前記端末（３０）と前記ネットワークとの間でセキュアな通信に用いられる暗号セッション鍵であり、前記暗号セッション鍵を用いて暗号化及び復号化動作の少なくとも１つが実行されると、前記認証ノード（２２）が前記端末（３０）のための前記認証手順の暗黙的な検証を行うように構成されている、請求項１に記載のネットワーク。
10. ＨＰＬＭＮのサーバ（２４）であって、端末（３０）の認証能力情報を用いて第１の暗号値を決定するように構成され、前記第１の暗号値を用いて前記端末（３０）のための認証手順の検証が取得され、前記認証能力情報が前記端末（３０）の認証能力の指示を与えることを特徴とする、サーバ。
11. 前記サーバ（２４）が、ＨＰＬＭＮのＨＳＳ又はＡＡＡサーバを含む、請求項１０に記載のサーバ。
12. 前記サーバ（２４）が、少なくとも前記認証能力情報及び鍵の関数として前記第１の暗号値を決定するように構成され、前記鍵が前記端末（３０）及び前記サーバ（２４）によって予め共有されている、請求項１０に記載のサーバ。
13. 前記サーバ（２４）が、二次ランダム数を選択して前記二次ランダム数及び前記認証能力情報を用いて一次ランダム数を決定するように構成され、前記サーバ（２４）が、更に、前記一次ランダム数及び鍵の関数として前記暗号値を発生するように構成され、前記鍵が前記端末（３０）及び前記サーバ（２４）によって予め共有されている、請求項１０に記載のサーバ。
14. 前記サーバ（２４）がサーバ第１関数を用いて前記暗号値を決定するように構成され、前記サーバ第１関数に対する入力が前記認証能力情報に依存する、請求項１０に記載のサーバ。
15. 前記第１の暗号値が認証トークン（ＡＵＴＮ）に含まれる、請求項１０に記載のサーバ。
16. 前記第１の暗号値が、前記端末（３０）と前記ネットワークとの間でセキュアな通信に用いられる暗号セッション鍵である、請求項１０に記載のサーバ。
17. 通信ネットワーク（２０）のノードであって、端末（３０）の認証能力情報を用いて第１の暗号値を決定するように構成され、前記認証能力情報が前記端末（３０）の認証能力の指示を与え、更に、前記端末（３０）のための認証手順の検証を行うように構成されていることを特徴とする、ノード。
18. 前記ノードが、前記認証手順の検証の一部として、前記第１の暗号値と前記端末（２０）から取得された第２の暗号値とを比較することによって、前記端末（３０）のための前記認証能力の明示的な検証を行うように構成されている、請求項１７に記載のネットワーク。
19. 第１のノードと、
    第２のノードと、
    を含む通信ネットワーク（２０）において、前記第１のノードが、端末（３０）の認証能力情報を受信すると共に前記第２のノードから第３の暗号値を要求するように構成され、
    前記第２のノードが、ランダム数及び鍵の関数として前記第３の暗号値を発生するように構成され、前記鍵が前記端末（３０）及び前記第２のノードによって予め共有され、
    前記第１のノードが、前記ランダム数、前記第３の暗号値、及び前記認証能力情報を用いて第１の暗号値を決定すると共に、前記端末（３０）から受信した前記認証能力に依存した第２の暗号値を前記第１の暗号値と比較して前記端末（３０）を認証し、これによって前記端末（３０）の前記認証能力を検証するように構成されていることを特徴とする、通信ネットワーク。
20. 前記第１のノードがＶＰＬＭＮを含む、請求項１９に記載のネットワーク。
21. 前記第２のノードがＨＰＬＭＮを含む、請求項１９に記載のネットワーク。
22. 通信ネットワーク（２０）を動作させる方法であって、
    前記ネットワークが端末（３０）の認証能力情報を用いて第１の暗号値を決定し、前記認証能力情報が前記端末（３０）の認証能力の指示を与え、
    前記ネットワークが前記第１の暗号値を用いて前記端末（３０）のための認証手順の検証を行う、
    ことを特徴とする、方法。
23. 前記認証能力情報が、前記端末（３０）によってサポートされる認証アルゴリズム、認証プロトコル、又は認証信用証明書の少なくとも１つを含む、請求項２２に記載の方法。
24. 前記ネットワークのノードが、前記第１の暗号値と前記端末（２０）から取得された第２の暗号値とを比較することによって、前記端末（３０）のための前記認証手順の明示的な検証を行い、これによって前記端末（３０）の前記認証能力を検証することを更に含む、請求項２２に記載の方法。
25. 前記ネットワークのサーバ（２４）が、二次ランダム数を選択して前記二次ランダム数及び前記認証能力情報を用いて一次ランダム数を決定することと、
    前記サーバ（２４）が、前記一次ランダム数及び鍵の関数として前記暗号値を発生し、前記鍵が前記端末（３０）及び前記サーバ（２４）によって予め共有されていることと、
    を更に含む、請求項２２に記載の方法。
26. 前記ネットワークのサーバ（２４）がサーバ第１関数を用いて前記暗号値を決定することを更に含み、前記サーバ第１関数に対する入力が前記認証能力情報に依存する、請求項２２に記載の方法。
27. 前記第１の暗号値が、前記端末（３０）と前記方法との間でセキュアな通信に用いられる暗号セッション鍵であり、前記方法が、前記暗号セッション鍵を用いて暗号化及び復号化動作の少なくとも１つが実行されると、前記ネットワークの認証ノード（２２）が前記端末（３０）のための前記認証手順の暗黙的な検証を行うことを更に含む、請求項２２に記載の方法。
28. 前記第１の暗号値が認証トークン（ＡＵＴＮ）に含まれる、請求項２２に記載の方法。
29. 前記第１の暗号値が、前記端末（３０）と前記ネットワークとの間でセキュアな通信に用いられる暗号セッション鍵である、請求項２２に記載の方法。
30. 前記端末（３０）がネットワークアクセスインタフェースを介して前記ネットワークに認証能力情報を送信し、前記認証能力情報が前記端末（３０）の認証能力の指示を与えることと、
    前記端末（３０）が前記認証能力情報を用いて第２の暗号値を決定することと、
    前記ネットワークが前記第１の暗号値及び前記第２の暗号値を用いて前記端末（３０）を認証することと、
    を更に含む、請求項２２に記載の方法。
31. 前記端末（３０）が前記ネットワークアクセスインタフェースを介して前記ネットワークの認証ノード及び前記ネットワークのサーバ（２４）に前記認証能力情報を送信することと、
    前記サーバ（２４）が前記認証能力情報を用いて前記第１の暗号値を決定することと、
    前記端末（３０）が前記認証能力情報を用いて前記第２の暗号値を決定することと、
    前記認証ノードが前記第１の暗号値及び前記第２の暗号値を比較して前記端末（３０）を認証することと、
    を更に含む、請求項３０に記載の方法。
32. 前記端末（３０）が前記ネットワークアクセスインタフェースを介して前記認証ノードに前記認証能力情報を送信することと、
    前記認証ノードが前記認証能力情報を前記サーバ（２４）に送信することと、
    前記サーバ（２４）が、前記認証能力情報、ランダム数、及び鍵の関数として前記第１の暗号値を発生し、前記鍵が前記端末（３０）及び前記サーバ（２４）によって予め共有されていることと、
    前記サーバ（２４）が前記ランダム数及び前記第１の暗号値を前記認証ノードに送信することと、
    前記認証ノードが前記ランダム数を前記端末（３０）に送信することと、
    前記端末（３０）が、前記ランダム数、前記鍵、及び前記認証能力情報を用いて前記第２の暗号値を計算することと、
    前記端末（３０）が前記第２の暗号値を前記認証ノードに送信することと、
    を更に含む、請求項３１に記載の方法。
33. 前記端末（３０）がネットワークアクセスインタフェースを介して前記認証ノードに認証能力情報を送信することと、
    前記認証ノードが前記認証能力情報を前記サーバ（２４）に送信することと、
    前記サーバ（２４）が二次ランダム数を選択して前記二次ランダム数及び前記認証能力情報を用いて一次ランダム数を決定することと、
    前記サーバ（２４）が前記一次ランダム数及び鍵の関数として前記第１の暗号値を発生し、前記鍵が前記端末（３０）及び前記サーバ（２４）によって予め共有されていることと、
    前記サーバ（２４）が前記二次ランダム数及び前記第１の暗号値を前記認証ノードに送信することと、
    前記認証ノードが前記二次ランダム数を前記端末（３０）に送信することと、
    前記端末（３０）が前記二次ランダム数及び前記認証能力情報を用いて前記一次ランダム数を決定することと、
    前記端末（３０）が前記一次ランダム数及び鍵を用いて前記第２の暗号値を計算することと、
    前記端末（３０）が前記第２の暗号値を前記認証ノードに送信することと、
    を更に含む、請求項３１に記載の方法。
34. 前記サーバ（２４）がサーバ第１関数を用いて前記第１の暗号値を決定し、前記サーバ第１関数に対する入力が前記認証能力情報に依存する、請求項３１に記載の方法。
35. 前記端末（３０）が前記ネットワークアクセスインタフェースを介して認証ノード及びサーバ（２４）に前記認証能力情報を送信することと、
    前記サーバ（２４）が前記認証能力情報を用いて前記第１の暗号値を決定することと、
    前記端末（３０）が前記認証能力情報を用いて前記第２の暗号値を決定することと、
    前記端末（３０）が前記第１の暗号値及び前記第２の暗号値を比較して前記ネットワークを認証することと、
    を更に含む、請求項３０に記載の方法。
36. 前記暗号値の少なくとも１つが認証トークン（ＡＵＴＮ）である、請求項３１に記載の方法。
37. 前記端末（３０）が前記ネットワークアクセスインタフェースを介して認証ノード及びサーバ（２４）に前記認証能力情報を送信することと、
    前記サーバ（２４）が前記認証能力情報を用いて前記第１の暗号値を決定することと、
    前記端末（３０）が前記認証能力情報を用いて前記第２の暗号値を決定することと、
    前記端末（３０）と前記ネットワークとの間の前記ネットワークアクセスインタフェースを介した通信を暗号化及び復号化するために前記第１の暗号値及び前記第２の暗号値を正常に用いることによって前記端末（３０）の認証を取得することと、
    を更に含む、請求項３０に記載の方法。
38. 前記暗号値の少なくとも１つが、ＵＭＴＳ認証及び鍵合意のための拡張認証プロトコル方法（ＥＡＰ−ＡＫＡ）のマスタセッション鍵（ＭＳＫ）の鍵である、請求項３１に記載の方法。
39. 前記端末（３０）が前記ネットワークアクセスインタフェースを介して前記ネットワークの認証ノードに前記認証能力情報を送信することと、
    前記認証ノードが前記ネットワークのサーバ（２４）から第３の暗号値を要求することと、
    前記サーバ（２４）がランダム数及び鍵の関数として前記第３の暗号値を発生し、前記鍵が前記端末（３０）及び前記サーバ（２４）によって予め共有されていることと、
    前記サーバ（２４）が前記ランダム数及び前記第３の暗号値を前記認証ノードに送信することと、
    前記認証ノードが、前記ランダム数、前記第３の暗号値、及び前記認証能力情報を用いて第１の暗号値を決定することと、
    前記認証ノードが前記ランダム数を前記端末（３０）に送信することと、
    前記端末（３０）が、前記ランダム数、前記鍵、及び前記認証能力情報を用いて前記第２の暗号値を決定することと、
    前記端末（３０）が前記第２の暗号値を前記認証ノードに送信することと、
    を更に含む、請求項３０に記載の方法。
40. 前記認証ノードがＶＰＬＭＮを含み、前記サーバ（２４）がＨＰＬＭＮを含む、請求項３９に記載の方法。

Images