JP2013533535A - パケットネットワークにおけるアプリケーションレイヤ認証 - Google Patents

Abstract

通信ネットワークのアプリケーションサーバにてエンドユーザ装置の効率的な認証のための技術が開示される。たとえば通信ネットワーク内では、第１のコンピューティングデバイスがエンドユーザ装置であり、第２のコンピューティングデバイスがゲートウェイサーバであり、第３のコンピューティングデバイスがアプリケーションサーバであることを前提とし、方法は以下のステップを含む。第２のコンピューティングデバイスは、第１のコンピューティングデバイスから受け取った１つまたは複数のパケットを認証する。第２のコンピューティングデバイスは、第３のコンピューティングデバイスが第１のレイヤの識別情報と第２のレイヤの識別情報の関連性を確認することによって第１のコンピューティングデバイスからの１つまたは複数のパケットを認証できるように、１つまたは複数のパケットを第３のコンピューティングデバイスに向けて送る前に、第１のレイヤの識別情報を用いて１つまたは複数のパケットにマークする。たとえば第１のレイヤの識別情報は、第１のコンピューティングデバイスに割り当てられたリンクレイヤ識別情報（たとえばゲートウェイサーバまたは他の何らかのサーバによって割り当てられた）を含むことができ、第２のレイヤの識別情報は、第１のコンピューティングデバイスに割り当てられたアプリケーションレイヤ識別情報（たとえばアプリケーションサーバまたは他の何らかのサーバによって前に割り当てられた）を含むことができる。

Description

本発明は一般に通信ネットワークに関し、より詳細には通信ネットワークにおける認証技術に関する。

この項は、本発明のより良い理解を容易にする助けとなり得る側面を紹介する。したがってこの項の文はこの観点から読まれるべきであり、何が従来技術であり、何が従来技術でないということを自認するものと理解されるべきではない。

一般に既存の認証手法では、特定の通信ネットワークを通してアプリケーションへのアクセスを求めるユーザ装置（エンドユーザ）は、第１に通信ネットワーク自体によって認証されなければならず、第２にエンドユーザによってアクセスが求められるアプリケーションを提供するアプリケーションサーバによって再び認証（再認証）されなければならない。

汎用ブートストラッピングアーキテクチャ（ＧＢＡ）は、エンドユーザの認証を可能にする１つの技術である。ＧＢＡは、３ＧＰＰ技術仕様書（ＴＳ）３３．２２０に従って３ｒｄ Ｇｅｎｅｒａｔｉｏｎ Ｐａｒｔｎｅｒｓｈｉｐ Ｐｒｏｊｅｃｔ（３ＧＰＰ）によって規格化され、その開示の全体を引用により本明細書に組み込む。一般にＧＢＡは、ネットワークへのアクセスを得るように試みたときに、初期ネットワーク構成要素はエンドユーザ装置にチャレンジさせ、チャレンジの応答がホームロケーションレジスタ（ＨＬＲ）またはホーム加入者サーバ（ＨＳＳ）によって予測されるもとの同様であることを検証することによって認証する。

しかしＧＢＡはまた、アプリケーションレイヤにてエンドユーザの明示的な再認証も要求する。この再認証は３ＧＰＰ認証および鍵一致（ＡＫＡ）プロトコルに従って行われ、その開示の全体が引用により本明細書に組み込まれるＲＦＣ３３１０：「Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ（ＨＴＴＰ） Ｄｉｇｅｓｔ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｕｓｉｎｇ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ（ＡＫＡ）」、２００２年９月、およびその開示の全体が引用により本明細書に組み込まれるＲＦＣ４１６９「Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ（ＨＴＴＰ） Ｄｉｇｅｓｔ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｕｓｉｎｇ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ（ＡＫＡ） Ｖｅｒｓｉｏｎ−２」２００５年１１月を参照されたい。

３ＧＰＰ技術仕様書（ＴＳ）３３．２２０ ＲＦＣ３３１０：「Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ（ＨＴＴＰ） Ｄｉｇｅｓｔ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｕｓｉｎｇ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ（ＡＫＡ）」、２００２年９月 ＲＦＣ４１６９「Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ（ＨＴＴＰ） Ｄｉｇｅｓｔ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｕｓｉｎｇ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ（ＡＫＡ） Ｖｅｒｓｉｏｎ−２」２００５年１１月 ＯｐｅｎＩＤ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ２．０ ＯｐｅｎＩＤ Ｐｒｏｖｉｄｅｒ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｏｌｉｃｙ Ｅｘｔｅｎｓｉｏｎ １．０ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｏｎ−Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｔａｎｄａｒｄｉｚａｔｉｏｎ Ｓｅｃｔｏｒ（ＩＴＵ−Ｔ） Ｒｅｃｏｍｍｅｎｄａｔｉｏｎ Ｙ．２７２０、「ＮＧＮ Ｉｄｅｎｔｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｆｒａｍｅｗｏｒｋ」 「Ｒｅｑｕｉｒｅｍｅｎｔｓ ｆｏｒ ＤＰＩ ｉｎ ｐａｃｋｅｔ−ｂａｓｅｄ ｎｅｔｗｏｒｋｓ ａｎｄ ＮＧＮ」ドラフト２０１０、ＩＴＵ−Ｔ、スイス、ジュネーブ ３ＧＰＰ ＧＢＡ：３ＧＰＰ ＴＳ ３３．２２０ Ｖ９．２．０（２００９年１２月）、３ｒｄ Ｇｅｎｅｒａｔｉｏｎ Ｐａｒｔｎｅｒｓｈｉｐ Ｐｒｏｊｅｃｔ Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ Ｇｅｎｅｒｉｃ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＧＡＡ） Ｇｅｎｅｒｉｃ ｂｏｏｔｓｔｒａｐｐｉｎｇ ａｒｃｈｉｔｅｃｔｕｒｅ（Ｒｅｌｅａｓｅ９） 「Ｔｈｅ ３Ｇ ＩＰ Ｍｕｌｔｉｍｅｄｉａ Ｓｕｂｓｙｓｔｅｍ（ＩＭＳ）：Ｍｅｒｇｉｎｇ ｔｈｅ Ｉｎｔｅｒｎｅｔ ａｎｄ ｔｈｅ Ｃｅｌｌｕｌａｒ Ｗｏｒｌｄｓ」Ｇｏｎｚａｌｏ Ｃａｍａｒｉｌｌｏ、Ｍｉｇｕｅｌ−Ａｎｇｅｌ Ｇａｒｃｉａ−Ｍａｒｔｉｎ（Ｊｏｈｎ Ｗｉｌｅｙ ＆ Ｓｏｎｓ、２００６年）

このような再認証は、たとえばＨＬＲ／ＨＳＳデータベースへの追加のアクセスの必要性、およびＡＫＡシーケンス番号（ＳＱＮ）パラメータに対する潜在的な問題によって引き起こされる再同期の必要性などのいくつかの問題を引き起こす。さらにＧＢＡはＡＫＡダイジェストプロトコルを用い、これは標準のＷｅｂブラウザによってサポートされていない。

したがって改良されたエンドユーザ認証技術が必要である。

本発明の実施形態は、通信ネットワークのアプリケーションサーバでのエンドユーザ装置の効率的な認証のための技術を提供する。

第１の態様では、通信ネットワーク内では、第１のコンピューティングデバイスがエンドユーザ装置であり、第２のコンピューティングデバイスがゲートウェイサーバであり、第３のコンピューティングデバイスがアプリケーションサーバであることを前提とし、方法は以下のステップを含む。

第２のコンピューティングデバイスは、第１のコンピューティングデバイスから受け取った１つまたは複数のパケットを認証する。第２のコンピューティングデバイスは、第３のコンピューティングデバイスが第１のレイヤの識別情報と第２のレイヤの識別情報の関連性を確認することによって第１のコンピューティングデバイスからの１つまたは複数のパケットを認証できるように、１つまたは複数のパケットを第３のコンピューティングデバイスに向けて送る前に、第１のレイヤの識別情報を用いて１つまたは複数のパケットにマークする。

第２の態様では、やはり通信ネットワーク内では、第１のコンピューティングデバイスがエンドユーザ装置であり、第２のコンピューティングデバイスがゲートウェイサーバであり、第３のコンピューティングデバイスがアプリケーションサーバであることを前提とし、方法は以下のステップを含む。

第３のコンピューティングデバイスは第２のコンピューティングデバイスから１つまたは複数のパケットを受け取り、第２のコンピューティングデバイスは第１のコンピューティングデバイスから受け取った１つまたは複数のパケットを認証しており、１つまたは複数のパケットを第３のコンピューティングデバイスに向けて送る前に第１のレイヤの識別情報を用いて１つまたは複数のパケットにマークしてある。第３のコンピューティングデバイスは、第１のレイヤの識別情報と第２のレイヤの識別情報の関連性を確認することによって第１のコンピューティングデバイスからの１つまたは複数のパケットを認証する。

一実施形態では第１のレイヤの識別情報は、第１のコンピューティングデバイスに割り当てられたリンクレイヤ識別情報（たとえばゲートウェイサーバまたは他の何らかのサーバによって割り当てられた）を含み、第２のレイヤの識別情報は、第１のコンピューティングデバイスに割り当てられたアプリケーションレイヤ識別情報（たとえばアプリケーションサーバまたは他の何らかのサーバによって前に割り当てられた）を含む。

他の態様は、メモリと、メモリに結合され上述のそれぞれの方法のステップを行うように動作するプロセッサとを備える装置によりもたらされる。

さらに他の態様は、コンピューティングデバイスに関連付けられたプロセッサによって実行されたときに上述のそれぞれの方法のステップを行う、１つまたは複数のソフトウェアプログラムを記憶したプロセッサ可読記憶媒体を備える製品によりもたらされる。

有利には本発明の例示的実施形態は、エンドユーザに対する認証の繰り返しをなくすことを実現する。代わりに本発明の例示の原理は、各パケットはゲートウェイを通ってネットワークに入り、ゲートウェイはすでにパケットをリンクレイヤにて認証しているということに基づく。それによりエンドユーザを、別の完全なＡＫＡ認証手順を行うのではなく、アプリケーションサーバがエンドユーザのリンクレイヤ識別情報（本明細書では「パケットペインティング」と呼ばれる、マークされたまたはラベル付けされたパケットから判定される）と、エンドユーザのアプリケーションレイヤ識別情報との間の関連性（たとえば一致）を確認するだけで、アプリケーションレイヤレベルで認証することができる。

本発明の上記その他の特徴および利点は、添付の図面および以下の詳細な説明から、より明らかになるであろう。

本発明の第１の実施形態による、パケットペインティングをその中で行うことができる通信ネットワークの一部分の図である。 本発明の第２の実施形態による、パケットペインティングをその中で行うことができる通信ネットワークの一部分の図である。 本発明の第３の実施形態による、パケットペインティングをその中で行うことができる通信ネットワークの一部分の図である。 本発明の第４の実施形態による、パケットペインティングをその中で行うことができる通信ネットワークの一部分の図である。 本発明の第５の実施形態による、パケットペインティングをその中で行うことができる通信ネットワークの一部分の図である。 本発明の第６の実施形態による、パケットペインティングをその中で行うことができる通信ネットワークの一部分の図である。 本発明の第７の実施形態による、パケットペインティングをその中で行うことができる通信ネットワークの一部分の図である。 本発明の第８の実施形態による、パケットペインティングをその中で行うことができる通信ネットワークの一部分の図である。 本発明の第９の実施形態による、パケットペインティングをその中で行うことができる通信ネットワークの一部分の図である。 本発明の一実施形態による、パケットペインティングを実現するのに適した通信ネットワークのハードウェアアーキテクチャの図である。

本発明の例示的実施形態は、ネットワークゲートウェイにて行われるリンクレイヤ認証に基づいて、パケットネットワークのアプリケーションレイヤを通してエンドユーザ装置（エンドユーザ）の認証をもたらす。それにより、パケットネットワーク内部のいずれのアプリケーションサーバでもエンドユーザの明示的な再認証は必要なく、すなわちアプリケーションレイヤレベルでのＡＫＡ認証手順を行う必要はない。本発明の認証は、本明細書では例示的に「パケットペインティング」と呼ばれる、パケットのマーク、ラベル付け、または増補技術を用いることによって達成される。

本明細書で用いられる「エンドユーザ装置」（または「ユーザ機器」）という語句は、一般にネットワークおよびそのサービスにアクセスするために人間がそれと対話する装置として定義される。このような装置は、例示のみとして携帯電話、パーソナルコンピュータ、またはインターネット機器とすることができる。このような装置はまた好ましくは、場合によってはさらに他のデバイスを通して、セキュリティ証明書（たとえばＡＫＡ証明書）を保持するスマートカード（加入者識別モジュールすなわちＳＩＭカード）と対話する手段を有する。

本明細書では「ゲートウェイ」または「ネットワークゲートウェイ」という用語は一般に、特定のプロバイダのネットワークに属するが、たとえば他のプロバイダのネットワークまたはインターネットなどの１つまたは複数の他のネットワークにも接続されたコンピューティングネットワークデバイスとして定義される。それによって外部ネットワークへの接続は、物理レベル（無線基地局によって具体化されるような）、あるいはＨＴＴＰまたはＳＩＰ（セッション開始プロトコル）プロキシ、またはＨＴＴＰまたはＳＩＰサーバの場合のようなアプリケーションレベルとすることができる。

本明細書で用いられる「アプリケーションサーバ」とは一般に、例示のみとしてＨＴＴＰまたはＳＩＰなどの、クライアント／サーバアプリケーションプロトコルにおけるサーバの役割をするコンピューティングネットワークデバイスとして定義される。

本明細書で述べられる例示的実施形態は、アプリケーションレイヤおよびリンクレイヤを対象とするが、本発明の原理はそれらに限定されないことを理解されたい。すなわちエンドユーザの認証は、通信ネットワークの１つのネットワークフレームワークレイヤを通して、別のネットワークフレームワークレイヤを通して前に行われた認証に基づいて効率的に行うことができる。したがってアプリケーションレイヤ、およびリンクレイヤは、本発明の原理をそれを用いて実現することができるネットワークフレームワークレイヤの単なる例である。このような原理は、７つのレイヤ（アプリケーション、プレゼンテーション、セッション、トランスポート、ネットワーク、リンク、および物理）の開放型システム間相互接続（ＯＳＩ）モデル、または他の適切なネットワークフレームワークモデルの他のレイヤに応用することができる。

本発明の例示のパケットペインティング技術の使用によって実現される利点は非限定的に、（１）ＨＬＲ／ＨＳＳへの負荷を軽くすること、（２）認証を能率化（より簡単かつより高速に）すること、および（３）既存のブラウザとの完全な相互動作（ＡＫＡサポートの要件を取り除くことによる）を含む。パケットペインティングの結果として、サードパーティアプリケーションに対する簡略化されたブートストラッピングがもたらされる。もう１つの結果は、ＯｐｅｎＩＤをサポートするための簡略化された認証機構がもたらさせることである。

ＯｐｅｎＩＤは、ユーザ中心のデジタル識別情報のためのオープンな分散型の無償のフレームワークである。すなわちＯｐｅｎＩＤは、ユーザが同じデジタル識別情報を用いて多くのサービスにログオンすることを可能にする。ＯｐｅｎＩＤは、ＯｐｅｎＩＤ Ｆｏｕｎｄａｔｉｏｎ（カリフォルニア州サンラモン）によって管理される。規格は、ＯｐｅｎＩＤ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ２．０、およびＯｐｅｎＩＤ Ｐｒｏｖｉｄｅｒ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｏｌｉｃｙ Ｅｘｔｅｎｓｉｏｎ １．０に詳述されており、その開示の全体を引用により本明細書に組み込む。

本発明の例示の原理によればネットワークのいずれのアプリケーションサーバも、アプリケーションレイヤプロトコルデータ単位（ＰＤＵ）のすべての部分が、すでに認証された１組の下位のレイヤのＰＤＵ（リンクレイヤフレームなど）を通してネットワーク内に到達していることが確実である限り、このＰＤＵを認証することができる。これは本発明のパケットペインティング技術を用いて達成される。一実施形態では、リンクレイヤにてユーザを認証するゲートウェイノード（たとえばモバイル基地局、Ｎｏｄｅ Ｂ、パケットデータゲートウェイ、ブロードバンドネットワークゲートウェイ、または次世代ネットワーク（ＮＧＮ）アクセスノードなど）は、ユーザのリンクレイヤ識別情報を確認するラベル（場合により署名された）を発行する。このようなラベルは例示として、（１）インターネットプロトコル（ＩＰ）パケットの前に挿入することができ、この挿入はネットワーク全体にわたって伝播される、および／または（２）既存または新規のＩＰヘッダ内に保持することができる。ペイントされたＰＤＵがアプリケーションサーバに到達した後にはアプリケーションサーバは、エンドユーザに別の認証手順（ＡＫＡプロトコルまたは手順など）をアプリケーションサーバに対して行うことを要求するのではなく、リンクレイヤ識別情報とアプリケーションレイヤ識別情報の関連性を（たとえばルックアップテーブル比較により）確かめるだけでよい。この例示の解決策はまた好ましくは、ルータ（またはマルチプロトコルスイッチ）がストリーム内のあらゆるパケットにラベルを渡すようにさせる。他の利点はパケットペインティング技術は、アプリケーションレイヤプロトコルの変更を必要としないことである。

他の実施形態では、ゲートウェイにてディープパケットインスペクション（ＤＰＩ）が使用され、ＰＤＵは条件付きでまたは一定のトリガでペイントされる（たとえばリンクレイヤ識別情報を用いて増補、マーク、またはラベル付けされる）。このようなトリガの一実施例はゲートウェイが、ハイパーテキスト転送プロトコル（ＨＴＴＰ）リダイレクションを通じてＯｐｅｎＩＤ要求が発生したことを認識したときである。

トリガまたは条件の他の実施例はゲートウェイが、宛て先アドレスが識別情報プロバイダ（ＩｄＰ）に対応することを認識したときである。ＩｄＰは実際上、その開示の全体が引用により本明細書に組み込まれる「ＮＧＮ Ｉｄｅｎｔｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｆｒａｍｅｗｏｒｋ」という名称のＩｎｔｅｒｎａｔｉｏｎａｌ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｏｎ−Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｔａｎｄａｒｄｉｚａｔｉｏｎ Ｓｅｃｔｏｒ（ＩＴＵ−Ｔ） Ｒｅｃｏｍｍｅｎｄａｔｉｏｎ Ｙ．２７２０に指定されたＩＰベースの次世代ネットワーク（ＮＧＮ）のための識別情報管理（ＩｄＭ）規格に従う、その境界内の事業者ネットワークに対するゲートウェイ構成要素である。ＮＧＮすなわち次世代ネットワークは、電気通信サービスを含むサービスを提供することができるパケットベースのネットワークであり、複数の広帯域な、サービス品質（ＱｏＳ）対応の転送技術を利用することができ、そこではサービス関連機能はその下にある転送関連技術とは独立している。識別情報管理（ＩｄＭ）の概念により、通信ネットワークの運用者、たとえば電気通信運用者またはネットワーク事業者（本明細書ではこれら２つの語句は同義的に用いることができることに留意されたい）による新しいサービスが可能になることが理解される。このような事業者の例には非限定的に、ＡＴ＆Ｔ、Ｖｅｒｉｚｏｎ、ＮＴＴ、Ｃｈｉｎａ Ｍｏｂｉｌｅ、Ｆｒａｎｃｅ Ｔｅｌｅｃｏｍ／Ｏｒａｎｇｅを含むことができる。

ＮＧＮ技術の例には、非限定的にユニバーサルモバイルテレコミュニケーションズシステム（ＵＭＴＳ）、ＩＰマルチメディアサブシステム（ＩＭＳ）などが含まれる。これらのネットワークはネットワーク事業者によって管理される。ＩｄＭフレームワークにおいては、識別情報プロバイダ構成要素はネットワーク事業者によって制御され、運用される。

上述の両方の例示的実施形態すなわち自動パケットペインティングまたは条件付き／トリガ型パケットペインティングでは、本発明の例示の原理は、すべてのパケットは通常はネットワークゲートウェイサーバを通過しなければならず、このようなゲートウェイサーバはエンドユーザを認証しなければならないので、この認証はアプリケーションレイヤに再帰的に拡張できるという事実を利用している。

本発明の原理の１つの例示の用途は、ＮＧＮプロバイダによるＯｐｅｎＩＤまたはＯＡｕｔｈなどのＷｅｂ２．０アプリケーションを実現するものを開発することである。ＯＡｕｔｈとの関連においては、Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂなどの通信ネットワークを通じて利用できる様々な機能は、ユーザが自身のアプリケーションまたはウェブページを生成を可能にすることが理解される。１つの例は「マッシュアップ」として知られており、これは２つ以上のソースからのデータまたは機能を用いてまたは組み合わせて新しいサービスまたはアプリケーションを生成するウェブページまたはアプリケーションである。しかしユーザが自身の資格証明（ユーザ名またはパスワード）を１つのソースから他のソースに提出することを求められ、それによりソース間で情報を露出し、一方のソースに他方のソースへの完全なアクセスを与える場合に問題が生じる。これはユーザにとって望ましくない。ＯＡｕｔｈとして知られるプロトコルは、この問題への解決策を提供することを試みる。一般にＯＡｕｔｈプロトコル（ｈｔｔｐ：／／ｏａｕｔｈ．ｎｅｔ／を参照）はユーザが、ユーザのパスワードを共有せずにユーザのウェブリソースへのアクセスをサードパーティに提供することを可能にする。本発明によるパケットペインティングは、ＯＡｕｔｈとの関連において実施することができる。

本発明の例示的実施形態はＯｐｅｎＩＤまたはＯＡｕｔｈプロトコルを用いて使用することができるが、本発明の原理はこれらのプロトコルに限定されず、任意のアプリケーションサーバは、用いられる特定用途向けプロトコルとは無関係に、本発明のパケットペインティングプロセスを通じてユーザを認証できることを理解されたい。

図１は、本発明の第１の実施形態による、パケットペインティングをその中で行うことができる通信ネットワーク１００の一部分の図である。この実施形態に示されるように、エンドユーザ装置１０２（または非限定的にパーソナルコンピュータまたは携帯電話などのインターネット機器とすることができる、ユーザ機器ＵＥ）は、アクセスインターフェースＡ１０４を通して、ネットワークゲートウェイサーバ１０６（たとえばＮＧＮアクセスノードなど）との認証されたリンクレイヤ接続を確立している。アクセスインターフェースの例には、非限定的に無線Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ（ＬＴＥ）、デジタル加入者回線（ＤＳＬ）、またはローカルエリアネットワーク（ＬＡＮ）が含まれる。ネットワーク境界は１０１として示されることに留意されたい。ネットワークゲートウェイサーバ１０６は、ＡＫＡプロトコルを用いて、そのリンクレイヤ識別子または識別情報（Ｉｄ）１０３（たとえば国際移動電話加入者識別番号（ＩＭＳＩ））に基づいてＵＥ１０２を認証する。ネットワークゲートウェイサーバ１０６と識別情報プロバイダサーバ（ＩｄＰ）１１８の間のすべてのメッセージは、一連のネットワークルータ（またはマルチプロトコルスイッチ）１１４−１、１１４−２、…、１１４−ｋをたどる。識別情報プロバイダ１１８は、アプリケーションサーバの一例であることを理解されたい。

この本発明の例示的実施形態によれば次いで、ネットワークゲートウェイサーバ１０６は、それがインターフェースＮ１０８上のルータまたはスイッチ１１４−１に送出するあらゆるＩＰパケット１１２の前にラベル１１０を挿入し、すなわち各パケットにラベルを付加する。このようなインターフェースＮの例には非限定的に、８０２．２ファミリのリンクレイヤプロトコル、ハイレベルデータリンク制御（ＨＤＬＣ）、またはポイントツーポイントプロトコル（ＰＰＰ）を含むことができる。続いて経路（１１４−１、１１４−２、…、１１４−ｋ）上の各ルータまたはスイッチは、インターフェースＮ１、Ｎ２、およびＮｋ（１１６−１、１１６−２、…、１１６−ｋ）にわたる途中で、同じラベル１１０をコピーする。

最後に識別情報プロバイダサーバ１１８では、ペイントされた（ラベルが付けられた）パケットのみが受け入れられ、したがって（たとえばアプリケーションプログラミングインターフェースすなわちＡＰＩを通じて（図示せず））、アプリケーションレイヤＰＤＵを認証し、それらのそれぞれを特定のＬＬＩＤ１０３まで追跡することが可能となり、これは適切なアプリケーションレイヤ識別子または識別情報（ＯｐｅｎＩＤまたはＩＭＳＩ）に関連付けられる。好ましい実施形態ではＬＬラベル１１０内に、ゲートウェイＩＤ１０５が設けられることに留意されたい。

ラベル１１０は署名付きにできることに留意されたい。本明細書で用いられる「署名」は、これが信頼されたネットワークであることを前提として、そうである場合もあり得るが必ずしも暗号化されたものではない。最も簡単なケースでは署名はヌルでもよい。

上記の実施形態は、エンドユーザがローミング（別のプロバイダのネットワークを通過するという意味での）をしていない場合のみに関する。ローミングにより複雑さがもたらされ、これは以下で考察する。

図２は、本発明の第２の実施形態による、パケットペインティングをその中で行うことができる通信ネットワーク２００の一部分の図である。図１の構成要素およびインターフェースと同じ図２に示される構成要素およびインターフェースは、同様な参照番号を有するが１００だけ増加されていることに留意されたい（すなわち図１のＵＥ１０２は図２のＵＥ２０２に対応し、図１のゲートウェイ１０６は図２のゲートウェイ２０６に対応し、以下同様）。

図１の実施形態と図２の実施形態の主な違いは、どこにＬＬラベルが保持されるかである。図２の実施形態ではＬＬラベル２１０は、送られているパケット２２０（パケットはペイロード２２４を含んでいる）の既存のまたは新規のＩＰヘッダフィールド２２２内に含まれる。図１の実施形態は、ラベルを各パケットに付加していることを想起されたい。

具体的には図２に示されるように、ネットワークゲートウェイサーバ２０６に到着する認証されたＵＥ２０２からのあらゆるパケット２２０に対して、ゲートウェイはＬＬラベル２１０を発生し、パケットを次のルータまたはスイッチ２１４−１に転送する前に、ラベル２１０を適切なＩＰヘッダフィールド２２２に付加する。ラベル２１０は、識別情報プロバイダ（アプリケーションサーバ）２１８に到達する前に、パケット２２０が一連のルータまたはスイッチ（２１４−１、２１４−２、…、２１４−ｋ）を通過する際には不変のままとなる。すなわち途中のルータまたはスイッチは、ラベルヘッダフィールドには全く触れない。ＵＥ２０２からのパケットがすでにＬＬラベルを保持していることがあり得る。この場合にはゲートウェイ２０６は、それが発生したＬＬラベル２１０を用いて既存のラベルを上書きする。

図３は、本発明の第３の実施形態による、パケットペインティングをその中で行うことができる通信ネットワーク３００の一部分の図である。図３は、ディープパケットインスペクション（ＤＰＩ）の概念に関係する例示的実施形態を示す。やはり図１の構成要素およびインターフェースと同じ図３に示される構成要素およびインターフェースは、同様な参照番号を有するが２００だけ増加されていることに留意されたい（すなわち図１のＵＥ１０２は図３のＵＥ３０２に対応し、図１のゲートウェイ１０６は図３のゲートウェイ３０６に対応し、以下同様）。

図３の実施形態ではネットワークゲートウェイサーバ３０２は、ディープパケットインスペクション（ＤＰＩ）３０７を行う。一実施形態では好ましくはディープパケットインスペクションは、その開示の全体が引用により本明細書に組み込まれる「Ｒｅｑｕｉｒｅｍｅｎｔｓ ｆｏｒ ＤＰＩ ｉｎ ｐａｃｋｅｔ−ｂａｓｅｄ ｎｅｔｗｏｒｋｓ ａｎｄ ＮＧＮ」ドラフト２０１０、ＩＴＵ−Ｔ、スイス、ジュネーブ、というＩＴＵ−Ｔ Ｎｅｗ Ｄｒａｆｔ Ｒｅｃｏｍｍｅｎｄａｔｉｏｎと呼ばれる新しいＩＴＵ−Ｔ規格文書で述べられる１つまたは複数の技術を含むことができる。しかし本発明の原理はＩＴＵ−Ｔディープパケットインスペクション解析に限定されず、本明細書で述べられるようにトリガおよび／または条件の存在を判定する他の技術を含み得ることを理解されたい。

したがってネットワークゲートウェイサーバ３０２が、ＤＰＩ解析３０７を通じて一定の条件を検出（たとえばＯｐｅｎＩＤ認証要求、またはＩｄＰ宛て先を検出）したときは、この条件の存在（または発生または実在）は、ＬＬＩＤ情報（ラベル３１０）をパケット３３０の適切なＩＰヘッダフィールドに追加するようにゲートウェイをトリガする。パケット３３０は、指定された条件が存在する場合にのみマークされまたはラベル付けされるので、「条件付きでペイントされた」パケットと見なされる。次いで上記の実施形態のように、識別情報プロバイダ（アプリケーションサーバ）３１８は署名を調べ、ＰＤＵ３３０が認証されたかどうかを判定し、次いでＬＬＩＤ３１０をアプリケーションＩＤに関連付ける。

図４は、本発明の第４の実施形態による、パケットペインティングをその中で行うことができる通信ネットワーク４００の一部分の図である。図４は、ＵＥローミング、すなわちＵＥがホームネットワークから訪問ネットワークに移動する場合を対象にする例示的実施形態を示す。やはり適切な部分では、図１の構成要素およびインターフェースと同じ図４に示される構成要素およびインターフェースは、同様な参照番号を有するが３００だけ増加されている（すなわち図１のＵＥ１０２は図４のＵＥ４０２に対応し、図１のゲートウェイ１０６は図４のゲートウェイ４０６に対応し、以下同様）。

この場合はＵＥ４０２は訪問ネットワークゲートウェイサーバ４０３（ネットワークＩゲートウェイ）に接続される。ホームネットワーク（ネットワークＩＩ）への接続は、ネットワークＩゲートウェイ４０３とネットワークＩＩゲートウェイ４０６の間のレイヤ２またはレイヤ３のトンネル４０７を通して達成される。この接続はインターフェース（Ｎ’）４０９によってサポートされる。しかしいずれの場合も終端ゲートウェイサーバ４０６（ネットワークＩＩゲートウェイ）が、パケットをペイント（マークまたはラベル付け）することが期待される。それによって、それがレイヤ３ゲートウェイである場合は、上述のペイント方法の代替として、ゲートウェイ４０６はパケットのペイロードを実際に署名することができる。ＵＥ４０２はそれがローミングしていないときは、レイヤ２またはレイヤ３トンネル４０５を通して、ネットワークゲートウェイサーバ４０６を通じてホームネットワーク４０６に直接接続できることに留意されたい。

図５は、本発明の第５の実施形態による、パケットペインティングをその中で行うことができる通信ネットワーク５００の一部分の図である。この実施形態は、図５の実施形態が図３との関連において上述したＤＰＩトリガを使用することを除いて、図２の実施形態と同様である。すなわち図５ではネットワークゲートウェイは、すべてのパケットをペイントするのではなく、規定されたポリシーによってトリガされるのに従って特定のものをペイントするように選択することができる。やはり適切な部分では、図１の構成要素およびインターフェースと同じ図５に示される構成要素およびインターフェースは、同様な参照番号を有するが４００だけ増加されている（すなわち図１のＵＥ１０２は図５のＵＥ５０２に対応し、図１のゲートウェイ１０６は図５のゲートウェイ５０６に対応し、以下同様）。

図５の実施形態は、ゲートウェイ５０６にてＤＰＩを行って、パケット（ヘッダ５５２およびペイロード５５４）を変更することが可能な（これは、より高いレイヤにて暗号化も完全性保護も使用されていないことを意味する）場合で、ネットワークポリシーがこのようなパケットペインティングを許す場合に対するものである。この場合は動作はたとえば、特定のアプリケーションヘッダの存在（ＨＴＴＰリダイレクトなど）によってトリガすることができ、結果としてフローチャート５５６に示されるように、ネットワークで規定されるやり方でペイロードに追加された「ペイント」（ＬＬラベル）を生じることになる。

ここまではユーザを識別情報プロバイダ（アプリケーションサーバ）に対して認証する様々なペイント技術を示してきたことを理解されたい。しかしどのようにしてネットワークがユーザに対して認証されるかは示していない。それを以下で図６との関連において行う前に、相互認証がなくてもネットワークはすでに他に対する識別情報プロバイダの役割を行い得ることに留意する。

図６は本発明の第６の実施形態による、相互認証をその中で行うことができる通信ネットワーク６００の一部分の図である。具体的には図６は、相互認証サービスのための情報および決定フローを示す一実施形態である。

図示のように、ＯｐｅｎＩＤをサポートするＷｅｂサーバである依拠当事者６０４は、ネットワークプロバイダの識別情報プロバイダ６０６を見出し、それに認証のためにＵＥ６０２をリダイレクトする（ステップ６１０）。ＵＥ６０２は認証を求める要求を識別情報プロバイダ（ＩｄＰ）６０６に送出する（ステップ６１２）。ＩｄＰ６０６は、要求（のパケット）に関連付けられた「ペイント」（ラベル）を調べ（ステップ６１４）、ラベルの識別情報がそのＵＥに対するＯｐｅｎＩＤのそれとマップするかどうかを判定する。肯定であった場合はＩｄＰ６０６は、ＯｐｅｎＩＤプロトコルによって要求されるように、署名されたＡｕｔｈＮ結果を返すことによって認証を確認する（ステップ６１６）。それによりＵＥとＩｄＰは相互認証を完了する。次いでＵＥ６０２は、署名されたＡｕｔｈＮ結果を依拠当事者６０４に送出する（ステップ６１８）。

パケットはステップ６１１の一部としてペイントされ（ラベルが付けられ）、ステップ６１２の認証要求の一部としてＩｄＰ６０６に送出されることを理解されたい。これによりＩｄＰ６０６は、それらの正統性を判定することが可能になる。またＩｄＰ６０６および依拠当事者６０４は共に、アプリケーションサーバと見なされることを理解されたい。

この特定の実施形態は、ＯｐｅｎＩＤ規格および仕様（上記に記載）の側面を利用するが、ＯｐｅｎＩＤは、使用できるオープンソースの識別規格およびオープンソースベースの識別子の一例であることを理解されたい。したがってＯｐｅｎＩＤと同様な機能および特徴をもたらす他の適切な識別規格も、本発明の実施形態の範囲内であると見なすことができる。

また好ましくはラベル（たとえば図１の１１０）はゲートウェイＩＤを表すことを想起されたい。それによりネットワーク内のアプリケーションサーバは、新しい１対の対称鍵（１つは暗号化用、１つは完全性保護用）を生成し、これらの鍵をゲートウェイを通じてＵＥと共有することができる。したがって３ＧＰＰブートストラッピング機能（ＢＳＦ）、およびＩＭＳサービス呼セッション制御機能（Ｓ−ＣＳＣＦ）（またはプロキシ呼セッション制御機能（Ｐ−ＣＳＣＦ））はそれ自体で、認証のためにパケットペインティングを用いることができる。

図７はＢＳＦの場合を示す。やはり適切な部分では、図１の構成要素およびインターフェースと同じ図７に示される構成要素およびインターフェースは、同様な参照番号を有するが６００だけ増加されている（すなわち図１のＵＥ１０２は図７のＵＥ７０２に対応し、図１のゲートウェイ１０６は図７のゲートウェイ７０６に対応し、以下同様）。この場合にはＢＳＦ７１８はアプリケーションサーバとして働くことを理解されたい。

図７に示されるように、ＵＥ７０２が認証を求める第１の要求７０３を送出したときは、ＢＳＦ７１８は、ネットワークゲートウェイ７０６から受け取ったペイント（たとえばペイロード７２４も有するパケット７２０のヘッダ７２２内のラベル７１０）を調べ、ＡＫＡ手順を行う必要なしに、要求が正規ユーザから届いたかどうかを判定する。

図８はＳ−ＣＳＣＦ（Ｐ−ＣＳＣＦ）の場合を示す。図７の構成要素およびインターフェースと同じ図８に示される構成要素およびインターフェースは、同様な参照番号を有するが１００だけ増加されている。この場合はＳ−ＣＳＣＦ（Ｐ−ＣＳＣＦ）８１８はアプリケーションサーバとして働くことを理解されたい。

ＵＥ８０２がＵＥ ＳＩＰ ＩＮＶＩＴＥ８０３を発行したときは、ＩＭＳ Ｓ−ＣＳＣＦ（またはＰ−ＣＳＣＦ）８１８は、ネットワークゲートウェイ８０６から受け取ったペイント（たとえばペイロード８２４も有するパケット８２０内のヘッダ８２２内のラベル８１０）を調べ、ＡＫＡ手順を行う必要なしに、要求が正規ユーザから届いたかどうかを判定する。

当業者ならＢＳＦおよびＳ−ＣＳＣＦ（Ｐ−ＣＳＣＦ）の通常の動作に関する詳細を理解するであろうことを理解されたい。しかしさらなる詳細は、その論文の全体が引用により本明細書に組み込まれる３ＧＰＰ ＧＢＡ：３ＧＰＰ ＴＳ ３３．２２０ Ｖ９．２．０（２００９年１２月）、３ｒｄ Ｇｅｎｅｒａｔｉｏｎ Ｐａｒｔｎｅｒｓｈｉｐ Ｐｒｏｊｅｃｔ、Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ、Ｇｅｎｅｒｉｃ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＧＡＡ）、Ｇｅｎｅｒｉｃ ｂｏｏｔｓｔｒａｐｐｉｎｇ ａｒｃｈｉｔｅｃｔｕｒｅ（Ｒｅｌｅａｓｅ ９）、および「Ｔｈｅ ３Ｇ ＩＰ Ｍｕｌｔｉｍｅｄｉａ Ｓｕｂｓｙｓｔｅｍ（ＩＭＳ）：Ｍｅｒｇｉｎｇ ｔｈｅ Ｉｎｔｅｒｎｅｔ ａｎｄ ｔｈｅ Ｃｅｌｌｕｌａｒ Ｗｏｒｌｄｓ」Ｇｏｎｚａｌｏ Ｃａｍａｒｉｌｌｏ、Ｍｉｇｕｅｌ−Ａｎｇｅｌ Ｇａｒｃｉａ−Ｍａｒｔｉｎ（Ｊｏｈｎ Ｗｉｌｅｙ ＆ Ｓｏｎｓ、２００６年）に見出すことができる。

本発明の例示の原理はまた、ゲートウェイＩＤはそれにＵＥが接続するのに従って動的に変化するので、動的にモビリティをサポートする。図９はこの変化を示す。やはり図９での同様な構成要素およびインターフェースは、図１と比べて８００だけ増加された参照番号を有する。

図示のようにＵＥ９０２が、１つのゲートウェイ９０６−１（ネットワークゲートウェイ１）からゲートウェイ９０６−２（ネットワークゲートウェイ２）に移動したときは、これを反映するようにペイントは変化する。たとえば図示のようにパケット９２０（ヘッダ９２２とペイロード９２４を有する）は、ネットワークゲートウェイ９０６−１によりラベル９１０−１で、およびネットワークゲートウェイ９０６−２によりラベル９１０−２でペイントされる。ＩｄＰ９１８（または他のアプリケーションサーバ）は、ＵＥが接続されたいずれかのネットワークゲートウェイから、ペイントされたパケットを受け取る。

本発明のパケットペインティング技術は、その開示の全体が引用により本明細書に組み込まれる２００９年５月７日出願の「Ｉｄｅｎｔｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｓｅｒｖｉｃｅｓ Ｐｒｏｖｉｄｅｄ Ｂｙ Ｎｅｔｗｏｒｋ Ｏｐｅｒａｔｏｒ」という名称の米国特許出願第１２／４３７，２４８号（代理人整理番号８０５０２１−ＵＳ−ＮＰ）で述べられている識別情報管理技術と共に使用できることを理解されたい。

図１０は、本発明の一実施形態による、パケットペインティングを実現するのに適した通信ネットワーク１０００のハードウェアアーキテクチャの図である。図示のようにエンドユーザ装置１０１０（たとえばユーザ機器１０２）と、ゲートウェイサーバ１０２０（たとえばネットワークゲートウェイサーバ１０６）と、アプリケーションサーバ１０３０（たとえばＩｄＰ１１８、ＢＳＦ８１８、Ｓ−ＣＳＣＦ／Ｐ−ＣＳＣＦ９１８）は、通信ネットワーク媒体１０５０を通じて動作可能に結合される。ネットワーク媒体は、それを通してユーザ機器とサーバとが通信することを望む任意のネットワーク媒体とすることができる。例示としてネットワーク媒体は、エンドツーエンドでＩＰパケットを運ぶことができ、アクセスネットワークでのＵＭＴＳまたはＷｉＦｉまたはＤＳＬ（デジタル加入者回線）、メトロネットワークでのイーサネット（登録商標）、およびバックボーンでのＭＰＬＳ（マルチプロトコルラベルスイッチング）を含むものとすることができる。しかし本発明はネットワーク媒体の特定のタイプに限定されない。典型的にはエンドユーザ装置１０１０はクライアントマシンとなり、サーバ１０２０および１０３０はサーバマシンとなり得る。

当業者には容易に明らかなように、サーバおよびクライアントはコンピュータプログラムコードの制御下で動作するプログラムされたコンピュータとして実装することができる。コンピュータプログラムコードは、コンピュータ（またはプロセッサまたはマシン）可読記憶媒体（たとえばメモリ）に記憶され、コードはコンピュータのプロセッサによって実行される。本開示を前提として当業者なら、本明細書に述べられたプロトコルを実現するために適切なコンピュータプログラムコードを容易に生成し得るであろう。

それでもなお図１０は、ネットワーク媒体を通して通信する各デバイスの例示のアーキテクチャを全体的に示す。図示のように、エンドユーザ装置１０１０はＩ／Ｏデバイス１０１２、プロセッサ１０１４、およびメモリ１０１６を備える。ゲートウェイサーバ１０２０はＩ／Ｏデバイス１０２２、プロセッサ１０２４、およびメモリ１０２６を備える。アプリケーションサーバ１０３０はＩ／Ｏデバイス１０３２、プロセッサ１０３４、およびメモリ１０３６を備える。

本明細書で用いられる「プロセッサ」という用語は、非限定的に１つまたは複数の信号プロセッサ、１つまたは複数の集積回路などを含む、中央処理装置（ＣＰＵ）または他の処理回路を含む１つまたは複数の処理デバイスを含むものであることを理解されたい。また本明細書で用いられる「メモリ」という用語は、ＲＡＭ、ＲＯＭ、固定メモリ装置（たとえばハードドライブ）、またはリムーバブルメモリ装置（たとえばディスケットまたはＣＤＲＯＭ）など、プロセッサまたはＣＰＵに関連付けられたメモリを含むものである。さらに本明細書で用いられる「Ｉ／Ｏデバイス」という用語は、処理装置にデータを入力するための１つまたは複数の入力デバイス（たとえばキーボード、マウス）、および処理装置に関連する結果をもたらすための１つまたは複数の出力デバイス（たとえばＣＲＴディスプレイ）を含むものである。

したがって本明細書で述べられた本発明の方法を行うためのソフトウェア命令またはコードは、関連するメモリデバイス、たとえばＲＯＭ、固定またはリムーバブルメモリの１つまたは複数に記憶し、使用の準備ができたときはＲＡＭにロードされ、ＣＰＵによって実行することができる。すなわち図１０に示される各コンピューティングデバイス（１０１０、１０２０、および１０３０）はそれらの、図１から９に示されるプロトコルのそれぞれのステップを行うように個々にプログラムすることができる。

本明細書では添付の図面を参照して本発明の例示的実施形態について述べてきたが、本発明はそれらの正確な実施形態に限定されず、当業者によって本発明の範囲または趣旨から逸脱せずに様々な他の変形および変更を行い得ることを理解されたい。

Claims (10)

1. 第１のコンピューティングデバイスがエンドユーザ装置であり、第２のコンピューティングデバイスがゲートウェイサーバであり、第３のコンピューティングデバイスがアプリケーションサーバである通信ネットワークにおいて、
   第２のコンピューティングデバイスにより、第１のコンピューティングデバイスから受け取った１つまたは複数のパケットを認証するステップと、
   第２のコンピューティングデバイスにより、第３のコンピューティングデバイスが第１のレイヤの識別情報と第２のレイヤの識別情報の関連性を確認することによって第１のコンピューティングデバイスからの１つまたは複数のパケットを認証できるように、１つまたは複数のパケットを第３のコンピューティングデバイスに向けて送る前に、第１のレイヤの識別情報を用いて１つまたは複数のパケットにマークするステップと
   を含む、方法。
2. 第１のレイヤの識別情報が、第１のコンピューティングデバイスに割り当てられたリンクレイヤ識別情報を含む、請求項１に記載の方法。
3. 第２のレイヤの識別情報が、第１のコンピューティングデバイスに割り当てられたアプリケーションレイヤ識別情報を含む、請求項１に記載の方法。
4. １つまたは複数のパケットをマークするステップが、１つまたは複数のパケットのそれぞれに第１のレイヤの識別情報を付加するステップを含む、請求項１に記載の方法。
5. １つまたは複数のパケットをマークするステップが、１つまたは複数のパケットのそれぞれに第１のレイヤの識別情報を挿入するステップを含む、請求項１に記載の方法。
6. 第１のレイヤの識別情報を用いて１つまたは複数のパケットをマークするステップが、ディープパケットインスペクションに応答する、請求項１に記載の方法。
7. 第１のレイヤの識別情報を用いて１つまたは複数のパケットをマークするステップが、少なくとも１つの条件の存在に応答する、請求項１に記載の方法。
8. 第１のコンピューティングデバイスがエンドユーザ装置であり、第２のコンピューティングデバイスがゲートウェイサーバであり、第３のコンピューティングデバイスがアプリケーションサーバである通信ネットワークにおいて、
   第３のコンピューティングデバイスにより、第２のコンピューティングデバイスから１つまたは複数のパケットを受け取るステップであって、第２のコンピューティングデバイスは第１のコンピューティングデバイスから受け取った１つまたは複数のパケットを認証しており、１つまたは複数のパケットを第３のコンピューティングデバイスに向けて送る前に第１のレイヤの識別情報を用いて１つまたは複数のパケットにマークしてある、ステップと、
   第３のコンピューティングデバイスにより、第１のレイヤの識別情報と第２のレイヤの識別情報の関連性を確認することによって第１のコンピューティングデバイスからの１つまたは複数のパケットを認証するステップと
   を含む、方法。
9. 第１のコンピューティングデバイスがエンドユーザ装置であり、第２のコンピューティングデバイスがアプリケーションサーバであり、第３のコンピューティングデバイスがゲートウェイサーバとして働く通信ネットワークにおいて、
   メモリと、
   メモリに結合されたプロセッサであって、
   第１のコンピューティングデバイスから受け取った１つまたは複数のパケットを認証し、
   第２のコンピューティングデバイスが第１のレイヤの識別情報と第２のレイヤの識別情報の関連性を確認することによって第１のコンピューティングデバイスからの１つまたは複数のパケットを認証できるように、１つまたは複数のパケットを第２のコンピューティングデバイスに向けて送る前に、第１のレイヤの識別情報を用いて１つまたは複数のパケットにマークするように動作可能な、プロセッサと
   を備える、装置。
10. 第１のコンピューティングデバイスがエンドユーザ装置であり、第２のコンピューティングデバイスがゲートウェイサーバであり、第３のコンピューティングデバイスがアプリケーションサーバとして働く通信ネットワークにおいて、
    メモリと、
    メモリに結合されたプロセッサであって、
    第２のコンピューティングデバイスから１つまたは複数のパケットを受け取ることであって、第２のコンピューティングデバイスは第１のコンピューティングデバイスから受け取った１つまたは複数のパケットを認証しており、１つまたは複数のパケットを第３のコンピューティングデバイスに向けて送る前に第１のレイヤの識別情報を用いて１つまたは複数のパケットにマークしてある、パケットを受け取ること、および
    第１のレイヤの識別情報と第２のレイヤの識別情報の関連性を確認することによって第１のコンピューティングデバイスからの１つまたは複数のパケットを認証すること
    を行うように動作可能な、プロセッサと
    を備える、装置。

Images