JP2014507855A - 信頼できないネットワークを介した外部認証サポート - Google Patents

Abstract

信頼できないアクセスネットワークを介した外部パケットデータネットワークに対する認証をサポートする方法であって、鍵情報交換メカニズムの認証要求であるとともに認証データを含む第１の認証要求に応答して、セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対してユーザ装置を認証するステップと、ユーザ装置を通信ネットワークの外部のパケットデータネットワークに対して認証するための第２の認証要求を受け取るステップとを例示的に含む方法を提供する。この方法は、ユーザ装置から受け取った認証データ及びユーザの識別情報を含むバインディングアップデートメッセージを作成するステップをさらに含むことができる。
【選択図】図３

Description

本発明は、例えば信頼できない非３ＧＰＰネットワークなどの信頼できないネットワークを介した外部認証サポートのための装置、方法及びコンピュータプログラム製品に関する。

本明細書で使用する略語には、次の意味を適用する。
３ＧＰＰ：第３世代パートナーシッププロジェクト
ＡＡＡ：認証、許可及びアカウンティング
ＡＰＮ：アクセスポイント名
ＣＨＡＰ：チャレンジハンドシェイク認証プロトコル
ＥＡＰ：拡張可能認証プロトコル
ＥＡＰ−ＧＴＣ：ＥＡＰ汎用トークンカード
ｅＮｏｄｅ−Ｂ：ＬＴＥ基地局（ｅＮＢとも呼ぶ）
ＥＰＣ：進化型パケットコア
ＥＰＳ：進化型パケットシステム
ｅＰＤＧ：進化型パケットデータゲートウェイ
ＧＧＳＮ：ゲートウェイＧＰＲＳサポートノード
ＧＰＲＳ：汎用パケット無線サービス
ＧＴＰｖ２：ＧＰＲＳトンネリングプロトコルバージョン２
ＩＤｉ：識別イニシエータ
ＩＤｒ：識別レスポンダ
ＩＥＴＦ：インターネット技術標準化委員会
ＩＫＥｖ２：インターネット鍵交換バージョン２
ＩＰ：インターネットプロトコル
ＩＰＳｅｃ：インターネットプロトコルセキュリティ
ＬＣＰ：リンク制御プロトコル
ＬＴＥ：ロングタームエボリューション
ＬＴＥ−Ａ：ＬＴＥ−Ａｄｖａｎｃｅｄ
ＭＮ：移動ノード
ＭＳ ＩＳＤＮ：移動局統合サービスデータネットワーク
ＭＴ：移動端末
ＰＡＰ：パスワード認証プロトコル
ＰＣＯ：プロトコル構成オプション
ＰＤＧ：パケットデータゲートウェイ
ＰＤＮ：パケットデータネットワーク
ＰＤＰ：パケットデータプロトコル
ＰＧＷ：ＰＤＮゲートウェイ（ＰＤＮ ＧＷ）
ＰＭＩＰｖβ：プロキシＭＩＰｖ６
ＰＰＰ：ポイント・ツー・ポイント・プロトコル
ＴＥ：端末装置
ＵＥ：ユーザ装置

本明細書は、基本的には３ＧＰＰ進化型パケットシステム（ＥＰＳ）に関し、より詳細には、ＵＥが信頼できない非３ＧＰＰアクセスネットワークを介してＥＰＣに接続される場合のシナリオに関する。ＵＥが、信頼できない非３ＧＰＰアクセスネットワークを介してＥＰＣ（進化型パケットコア）に接続される場合、ＵＥと３ＧＰＰネットワークの間にはセキュアな通信を行うためにＩＰＳｅｃトンネルが存在する。３ＧＰＰネットワークにおけるＩＰＳｅｃトンネルのエンドポイントは、ｅＰＤＧ（進化型パケットシステムゲートウェイ）である。ＩＰＳｅｃトンネルを確立するために、ＵＥとｅＰＤＧの間ではＩＫＥｖ２が使用される。

例えば、３ＧＰＰ ＴＳ２３．０６０（非特許文献１）に規定されているようなＧＰＲＳ、及びＥＰＳでは、ＵＥが３ＧＰＰアクセスネットワーク又は信頼できる非３ＧＰＰアクセスネットワークを介して３ＧＰＰパケットコアネットワークに接続する場合、ＰＡＰ又はＣＨＡＰを使用して外部ＡＡＡサーバによる認証が可能である。この外部認証の詳細は、例えば３ＧＰＰ ＴＳ２９．０６１（非特許文献２）に規定されている。

外部認証では、ＵＥと外部ＡＡＡサーバの間で認証情報を交換する必要がある。

この目的のために、プロトコル構成オプション（ＰＣＯ）情報要素が定められ、ＵＥが３ＧＰＰアクセスネットワークに接続される場合には、この情報要素を用いて、ＵＥとコアネットワークの間でユーザクレデンシャルを搬送することができる。ユーザクレデンシャルとは、ＰＡＰ又はＣＨＡＰパラメータ（ＰＡＰ：パスワード認証プロトコル、ＣＨＡＰ：チャレンジハンドシェイクプロトコル）内のユーザ名及びユーザパスワードなどのことである。

ＵＥが、信頼できない非３ＧＰＰアクセスネットワークを介してＥＰＣに接続される場合、ＵＥと３ＧＰＰネットワークの間には、セキュアな通信を確立するためにＩＰＳｅｃトンネルが存在する。３ＧＰＰネットワーク側におけるＩＰＳｅｃトンネルのエンドポイントは、ｅＰＤＧ（進化型パケットゲートウェイ）である。例えば、ＩＰＳｅｃトンネルを確立するために、ＵＥとｅＰＤＧの間ではＩＫＥｖ２（インターネット鍵交換バージョン２）が使用される。

３ＧＰＰ ＴＳ２３．０６０ ３ＧＰＰ ＴＳ２９．０６１

しかしながら、現在のところ、信頼できない非３ＧＰＰアクセスを使用するＵＥとコアネットワークの間でユーザクレデンシャルを搬送する方法についての解決策は存在せず、ＵＥとｅＰＤＧの間に定められたＰＣＯメカニズム又は同様のものも存在しない。

してみると、ＵＥが信頼できないアクセスネットワークを介して外部ネットワークにアクセスするのを認証する際に使用する必要がある認証データをｅＰＤＧに提供するための実行可能なメカニズムは存在しないことになる。

従って、信頼できないアクセスを介した外部認証サポートのための、すなわち信頼できないアクセスネットワークを介した外部パケットデータネットワークへの認証をサポートするためのメカニズムを求める要求が存在する。

本発明の実施形態は、上記の問題及び／又は課題の少なくとも一部に対処することを目的とする。

本発明の実施形態は、信頼できないアクセスを介した外部認証サポートのための、すなわち信頼できないアクセスネットワークを介した外部パケットデータネットワークへの認証をサポートするためのメカニズムを提供するものである。

本発明の例示的な第１の態様によれば、以下の内容が提供される。

本発明の例示的な第１の態様によれば、
セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対してユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを挿入された第１の認証要求を作成するステップと、
認証データに基づいて、通信ネットワークに対してユーザ装置を認証するための第１の認証要求を送信するステップと、
通信ネットワークに対する認証後、通信ネットワークの外部のパケットデータネットワークに対してユーザ装置を認証するための第２の認証要求を作成するステップと、
第２の認証要求を送信するステップと、
を含む方法が提供される。

そのさらなる発展形又は修正形によれば、以下の１又はそれ以上が適用される。
− この方法は、第１の認証要求を送信する前に、複数の認証がサポートされている旨の指示を受け取るステップと、複数の認証がサポートされている旨の指示を第１の認証要求に挿入するステップとをさらに含むことができ、
− この方法は、ユーザ装置の識別情報を含む要求を送信するステップをさらに含むことができ、及び／又は、
− この方法は、構成パラメータを含む認証応答を受け取るステップをさらに含むことができる。

本発明の例示的な第２の態様によれば、セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対してユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを含む第１の認証要求を受け取るステップと、認証データに基づいて、通信ネットワークに対してユーザ装置を認証するステップと、通信ネットワークの外部のパケットデータネットワークに対してユーザ装置を認証するための第２の認証要求をユーザ装置から受け取るステップと、ユーザ装置から受け取った認証データ及びユーザの識別情報を含むバインディングアップデートメッセージを作成するステップと、バインディングアップデートメッセージをパケットデータネットワークのゲートウェイ装置に送信するステップとを含む方法が提供される。

そのさらなる発展形又は修正形によれば、以下の１又はそれ以上が適用される。
− 認証データを、バインディングアップデートメッセージ内の専用情報要素に含めることができ、
− 認証データを、バインディングアップデートメッセージ内のプロトコル構成オプション情報要素に含めることができ、
− バインディングアップデートメッセージ内に、パスワード情報要素、認証プロトコルチャレンジ情報要素及び／又はユーザ名情報要素を含む複数の情報要素を提供することができ、
− この方法は、複数の認証がサポートされている旨の指示を含む第１の認証要求を受け取る前に、複数の認証がサポートされている旨の指示を送信するステップをさらに含むことができ、
− この方法は、ユーザ装置から、ユーザ装置の識別情報を含む要求を受け取るステップをさらに含むことができ、及び／又は、
− この方法は、ゲートウェイ装置から、構成パラメータを含むバインディングアップデート応答を受け取るステップと、構成パラメータを含む認証応答をユーザ装置に送信するステップとをさらに含むことができる。

本発明の例示的な第３の態様によれば、ユーザ装置をパケットデータネットワークに対して認証するのに役立つ識別情報及び認証データを含むバインディングアップデートメッセージを受け取るステップと、識別情報及び認証データに基づいてアクセス要求を作成するステップと、アクセス要求メッセージをネットワーク認証要素に送信するステップとを含む方法が提供される。

そのさらなる発展形又は修正形によれば、以下の１又はそれ以上が適用される。
− 認証データを、バインディングアップデートメッセージ内の専用情報要素に含めることができ、
− 認証データを、バインディングアップデートメッセージ内のプロトコル構成オプション情報要素に含めることができ、
− バインディングアップデートメッセージ内に、認証プロトコルパスワード情報要素、認証プロトコルチャレンジ情報要素、パスワード情報要素及び／又はユーザ名情報要素を含む複数の情報要素を提供することができ、及び／又は、
− この方法は、バインディングアップデートメッセージに応答して、構成パラメータを含むバインディングアップデート応答を送信するステップをさらに含むことができる。

本発明の例示的な第４の態様によれば、セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対してユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを含む第１の認証要求を、ユーザ装置から第１のゲートウェイ装置に送信するステップと、認証データに基づいて、ユーザ装置を通信ネットワークに対して認証するステップと、通信ネットワークの外部のパケットデータネットワークに対してユーザ装置を認証するための第２の認証要求を、ユーザ装置から第１のゲートウェイ装置に送信するステップと、ユーザ装置から受け取った認証データ及びユーザの識別情報を含むバインディングアップデートメッセージを作成するステップと、バインディングアップデートメッセージを、第１のゲートウェイ装置からパケットデータネットワークの第２のゲートウェイ装置に送信するステップとを含む方法が提供される。

そのさらなる発展形又は修正形によれば、以下の１又はそれ以上が適用される。
− この方法は、識別情報及び認証データに基づいて、第２のゲートウェイ装置からネットワーク認証要素にアクセス要求を送信するステップと、第２のゲートウェイ装置において、ネットワーク認証要素からのアクセス承認メッセージを受け取るステップとをさらに含むことができ、及び／又は、
− この方法は、第２のゲートウェイ装置から第１のゲートウェイ装置に、構成パラメータを含むバインディングアップデート応答を送信するステップと、
構成パラメータを含む認証応答を第１のゲートウェイ装置からユーザ装置に送信するステップと、
をさらに含むことができる。

本発明の例示的な第５の態様によれば、セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対してユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを挿入された第１の認証要求を作成するように構成されたプロセッサと、認証データに基づいて、ユーザ装置を通信ネットワークに対して認証するための第１の認証要求を送信するように構成されたインターフェイスとを備えた装置が提供され、プロセッサは、通信ネットワークに対する認証後、通信ネットワークの外部のパケットデータネットワークに対してユーザ装置を認証するための第２の認証要求を作成するようにさらに構成され、インターフェイスは、第２の認証要求を送信するようにさらに構成される。

そのさらなる発展形又は修正形によれば、以下の１又はそれ以上が適用される。
− プロセッサは、第１の認証要求を送信する前に、複数の認証がサポートされている旨の指示を受け取るように構成することができ、またプロセッサは、複数の認証がサポートされている旨の指示を第１の認証要求に挿入するように構成することができ、
− インターフェイスは、ユーザ装置の識別情報を含む要求を送信するように構成することができ、及び／又は、
− インターフェイスは、構成パラメータを含む認証応答を受け取るように構成することができる。

本発明の例示的な第６の態様によれば、セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対してユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを含む第１の認証要求を受け取るように構成されたインターフェイスと、認証データに基づいて、ユーザ装置を通信ネットワークに対して認証するように構成されたプロセッサとを備えた装置が提供され、インターフェイスは、通信ネットワークの外部のパケットデータネットワークに対してユーザ装置を認証するための第２の認証要求をユーザ装置から受け取るようにさらに構成され、プロセッサは、ユーザ装置から受け取った認証データ及びユーザ装置の識別情報を含むバインディングアップデートメッセージを作成するようにさらに構成され、インターフェイスは、バインディングアップデートメッセージをパケットデータネットワークのゲートウェイ装置に送信するようにさらに構成される。

そのさらなる発展形又は修正形によれば、以下の１又はそれ以上が適用される。
− プロセッサは、バインディングアップデートメッセージ内の専用情報要素に認証データを含めるように構成することができ、
− プロセッサは、バインディングアップデートメッセージ内のプロトコル構成オプション情報要素に認証データを含めるように構成することができ、
− バインディングアップデートメッセージ内に、パスワード情報要素、認証プロトコルチャレンジ情報要素及び／又はユーザ名情報要素を含む複数の情報要素を提供することができ、
− プロセッサは、複数の認証をサポートするように構成することができ、インターフェイスは、複数の認証がサポートされている旨の指示を含む第１の認証要求を受け取る前に、複数の認証がサポートされている旨の指示を送信するように構成することができ、
− インターフェイスは、ユーザ装置から、ユーザ装置の識別情報を含む要求を受け取るようにさらに構成することができ、及び／又は、
− インターフェイスは、ゲートウェイ装置から、構成パラメータを含むバインディングアップデート応答を受け取るようにさらに構成することができ、プロセッサは、構成パラメータを含む認証応答を作成するように構成することができ、インターフェイスは、認証応答をユーザ装置に送信するようにさらに構成することができる。

本発明の例示的な第７の態様によれば、ユーザ装置をパケットデータネットワークに対して認証するのに役立つ識別情報及び認証データを含むバインディングアップデートメッセージを受け取るように構成されたインターフェイスと、識別情報及び認証データに基づいてアクセス要求を作成するように構成されたプロセッサとを備えた装置が提供され、インターフェイスは、アクセス要求メッセージをネットワーク認証要素に送信するようにさらに構成される。

そのさらなる発展形又は修正形によれば、以下の１又はそれ以上が適用される。
− 認証データを、バインディングアップデートメッセージ内の専用情報要素に含めることができ、
− 認証データを、バインディングアップデートメッセージ内のプロトコル構成オプション情報要素に含めることができ、
− バインディングアップデートメッセージ内に、パスワード情報要素、認証プロトコルチャレンジ情報要素及び／又はユーザ名情報要素を含む複数の情報要素を提供することができ、及び／又は、
− プロセッサは、構成パラメータを含むバインディングアップデート応答を作成するようにさらに構成することができ、インターフェイスは、バインディングアップデートメッセージに応答して、バインディングアップデート応答を送信するように構成することができる。

本発明の例示的な第８の態様によれば、ソフトウェアコード部分を有するプログラムを含むコンピュータプログラム製品が提供され、ソフトウェアコード部分は、装置のプロセッサ上で実行された時に、上述した第５、第２、第３及び／又は第４の態様、及び／又はその発展形又は修正形による方法を実行するように構成される。

そのさらなる発展形又は修正形によれば、第８の態様によるコンピュータプログラム製品は、ソフトウェアコード部分を記憶するコンピュータ可読媒体を含み、及び／又はプログラムをプロセッサの内部メモリに直接ロード可能である。

以下の本発明の実施形態の詳細な説明を添付図面と併せて解釈することにより、上記の及びその他の目的、特徴、詳細及び利点がより完全に明らかになるであろう。

本発明の実施形態を適用可能な進化型パケットシステムの例示的なシステムアーキテクチャを示す概略図である。 本発明の実施形態を適用可能な進化型パケットシステムの例示的なシステムアーキテクチャを示す概略図である。 本発明の実施形態による、ユーザ装置、ｅＰＤＧ及びＰＧＷの構造を示す概略ブロック図である。 本発明の実施形態による、ユーザ装置と、第１のゲートウェイ装置と、第２のゲートウェイ装置との間のシグナリングを示すシグナリング図である。

以下、本発明の実施形態について説明する。しかしながら、この説明は一例として行うものであり、説明する実施形態を、決して本発明を限定するものとして理解すべきではない。

本発明及びその実施形態を、いくつかの例示的なネットワーク構成及びネットワーク展開の非限定的な例として使用する３ＧＰＰ仕様書に関連して主に説明する。具体的には、このように説明する例示的な実施形態の適用性の非限定的な例として、（内部）ＥＰＣ、及び信頼できない（非３ＧＰＰ）アクセスネットワークを介してＵＥがアクセス可能な外部ＰＤＮを含むＥＰＳのコンテキストを使用する。従って、本明細書に示す例示的な実施形態の説明では、特にこれらの実施形態に直接関連する専門用語に言及する。このような専門用語は、提示する非限定的な例との関連においてのみ使用するものであり、当然ながら決して本発明を限定するものではない。むしろ、本明細書で説明する特徴に従ってさえいれば、他のあらゆるネットワーク構成又はシステム展開などを利用することもできる。

一般に、本発明の実施形態は、３ＧＰＰ（第３世代パートナープロジェクト）又はＩＥＴＦ（インターネット技術標準化委員会）の仕様書に従うあらゆる考えられる移動／無線通信ネットワークを含む、あらゆる種類の現代の及び将来の通信ネットワークに／で適用可能である。

以下、本発明の様々な実施形態及び実装、並びにその態様又は実施形態について、いくつかの代替例を用いて説明する。一般に、説明する代替例は、特定のニーズ及び制約に従って、全て単独で又はあらゆる考えられる組み合わせ（様々な代替例の個々の特徴の組み合わせも含む）で提供することができる。

本発明の例示的な実施形態の説明では、ネットワーク（ＥＰＣ、ＰＤＮなど）に対するユーザ装置（又はそのユーザ）の認証は、それぞれのネットワーク（ＥＰＣ、ＰＤＮなど）への／に対するユーザ装置（又はそのユーザ）のアクセスの／のための認証に等しいと解釈される。

本明細書において後述するように、本発明の例示的な実施形態は、特に３ＧＰＰ規格に従う進化型パケットシステムに適用可能である。

図１及び図２は、本発明の実施形態を適用可能な進化型パケットシステムの例示的なシステムアーキテクチャを示す概略図である。

図１及び図２に示すこのような進化型パケットシステムでは、ＷＬＡＮ ＵＥなどのユーザ装置が、信頼できない非３ＧＰＰアクセスネットワークに接続し、これを介して進化型パケットコア（ＥＰＣ）及び外部パケットデータネットワーク（ＰＤＮ）に接続することができる。ＥＰＣ及び外部ＰＤＮ（以下、単にＰＤＮと呼ぶこともある）は、ＰＤＮゲートウェイ（ＰＧＷ）を介してリンクされる。

様々な実装の詳細を検討する前の予備事項として、本発明の例示的な実施形態の実施において使用するのに適した様々な電子装置の簡略ブロック図を示す図３を参照する。

図３に示すように、本発明の実施形態によれば、ユーザ装置（ＵＥ）１０は、バス１４によって接続されたプロセッサ１１、メモリ１２及びインターフェイス１３を備える。第１のゲートウェイ装置の例であるｅＰＤＧ２０は、バス２４によって接続されたプロセッサ２１、メモリ２２及びインターフェイス２３を備える。第２のゲートウェイ装置３０の例であるＰＧＷ３０（ＰＤＮ ＧＷ）は、バス３４によって接続されたプロセッサ３１、メモリ３２及びインターフェイス３３を備える。ユーザ装置１０と第１のゲートウェイ装置は、図２に示すＳＷｕインターフェイスを含むことができるリンク１７を介して接続され、第１のゲートウェイ装置２０と第２のゲートウェイ装置３０は、図２に示すＳ２ｂインターフェイスとすることができるリンク１８を介して接続される。

メモリ１２、２２及び３２は、プログラム命令を含むと想定されるそれぞれのプログラムを記憶することができ、これらのプログラムた命令は、関連するプロセッサ１１、２１及び３１による実行時に、電子装置が本発明の例示的な実施形態に従って動作できるようにする。プロセッサ１１、２１及び３１は、インターフェイス１３、２３及び３３を介した（有線）リンク１７、１８及び１９上の通信を容易にするモデムを含むこともできる。ユーザ装置１０のインターフェイス１３は、無線アクセスネットワークを含む１又はそれ以上の無線リンクを介した双方向無線通信のための、１又はそれ以上のアンテナに結合された好適な無線周波数（ＲＦ）トランシーバをさらに含むことができる。

ユーザ装置１０の様々な実施形態は、以下に限定されるわけではないが、移動局、携帯電話機、無線通信能力を有する携帯情報端末（ＰＤＡ）、無線通信能力を有するポータブルコンピュータ、無線通信能力を有するデジタルカメラなどの画像取込装置、無線通信能力を有するゲーム機、無線通信能力を有する音楽保存・再生機器、無線インターネットアクセス及びブラウジングを可能にするインターネット家電、並びにこのような機能の組み合わせを内蔵したポータブル装置又は端末を含むことができる。

一般に、本発明の例示的な実施形態は、メモリ１２、２２及び３２に記憶されたコンピュータソフトウェアにより実装することができ、プロセッサ１１、２１及び３１、又はハードウェア、或いは図示の装置のいずれか又は全てにおけるソフトウェア及び／又はファームウェアとハードウェアとの組み合わせにより実行可能である。

「接続された（ｃｏｎｎｅｃｔｅｄ）」、「結合された（ｃｏｕｐｌｅｄ）」という用語、又はこれらのあらゆる変形は、２又はそれ以上の要素間の直接的又は間接的なあらゆる接続又は結合を意味し、互いに「接続」又は「結合」された２つの要素間に１又はそれ以上の中間要素が存在することを含むことができる。要素間の結合又は接続は、物理的なもの、論理的なもの、或いはこれらの組み合わせとすることができる。本明細書で使用する場合、２つの要素は、１又はそれ以上の電線、ケーブル及びプリント電子接続を使用することにより、並びに非限定的な例として、無線周波数領域、マイクロ波領域及び光（可視及び不可視の両方）領域の波長を有する電磁エネルギーなどの電磁エネルギーを使用することにより、互いに「接続」又は「結合」されていると見なすことができる。

本発明の一般的な実施形態によれば、ユーザ装置１０のプロセッサ１１は、セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対してユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを挿入された第１の認証要求を作成するように構成される。ユーザ装置のインターフェイス１３は、この認証データに基づいて、ユーザ装置を通信ネットワークに対して認証するための第１の認証要求を送信するように構成される。プロセッサ１１は、通信ネットワークに対する認証後、通信ネットワークの外部のパケットデータネットワークに対してユーザ装置を認証するための、ユーザ装置からの第２の認証要求を作成するようにさらに構成される。さらに、プロセッサ１１は、ユーザ装置から受け取った認証データ及びユーザの識別情報を含むバインディングアップデートメッセージを作成するように構成される。インターフェイス１３は、このバインディングアップデートメッセージをゲートウェイ装置（ｅＰＤＧ２０など）に送信するようにさらに構成される。

本発明の一般的な実施形態によれば、第１のゲートウェイ装置（図３に示すｅＰＤＧ２０など）のインターフェイス２３は、セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対してユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを含む第１の認証要求を受け取るように構成される。第１のゲートウェイ装置のプロセッサ２１は、この認証データに基づいて、ユーザ装置を通信ネットワークに対して認証するように構成される。インターフェイス２３は、通信ネットワークの外部のパケットデータネットワークに対してユーザ装置を認証するための第２の認証要求をユーザ装置から受け取るようにさらに構成される。さらに、プロセッサ２１は、ユーザ装置から受け取った認証データ及びユーザ装置の識別情報を含むバインディングアップデートメッセージを作成するように構成され、第１のゲートウェイ装置のインターフェイスは、このバインディングアップデートメッセージをパケットデータネットワークの第２のゲートウェイ装置（ＰＧＷ３０など）に送信するようにさらに構成される。

さらに、本発明の一般的な実施形態によれば、第２のゲートウェイ装置（図３に示すＰＧＷ３０など）のインターフェイス３３は、ユーザ装置をパケットデータネットワークに対して認証するのに役立つ識別情報及び認証データを含むバインディングアップデートメッセージを受け取るように構成され、第２のゲートウェイ装置のプロセッサ３１は、この識別情報及び認証データに基づいてアクセス要求を作成するように構成される。さらに、第２のゲートウェイ装置のインターフェイスは、このアクセス要求メッセージをネットワーク認証要素に送信するようにさらに構成される。

認証データは、パスワード（ＰＡＰ又はＣＨＡＰパスワードなど）、認証プロトコルチャレンジ（ＰＡＰ又はＣＨＡＰチャレンジなど）などのユーザクレデンシャル情報とすることができる。しかしながら、本発明はこれらの具体例に限定されるものではない。

さらに、上述した鍵情報交換メカニズムは、ＩＫＥｖ２メカニズムとすることができる。しかしながら、本発明はこの具体例に限定されるものではない。

本発明の例示的な実施形態によれば、ＲＦＣ４７３９に規定されるＩＫＥｖ２の拡張を使用して、ＵＥとｅＰＤＧの間で追加の認証パラメータを転送することが提案される。

図４に示す例は、外部認証サーバとの間でＣＨＡＰ（チャレンジハンドシェイク認証プロトコル）を使用する手順を示すものである。ＰＡＰ及びＥＡＰによる手順に非常に似ている。この提示する例は、ＰＭＩＰベースのＳ２ｂを想定したものであるが、ＧＴＰベースのＳ２ｂ、又は別の好適なプロトコルでも機能することができる。本発明は、これらの具体例に限定されるものではない。

ステップ１において、ＵＥ及びｅＰＤＧは、ＩＫＥ＿ＳＡ＿ＩＮＩＴとして知られている第１のメッセージ対を交換する。ステップ１ｂにおいて、ｅＰＤＧは、指示ＭＵＬＴＩＰＬＥ＿ＡＵＴＨ＿ＳＵＰＰＯＲＴＥＤを含む。

ステップ２において、ＵＥは、指示ＭＵＬＴＩＰＬＥ＿ＡＵＴＨ＿ＳＵＰＰＯＲＴＥＤを含むユーザのＩＫＥ＿ＡＵＴＨ要求を送信する。ｅＰＤＧは、後でステップ９の最中に使用できるように、ＩＤｉペイロード内で受け取った識別情報を記憶する。

ステップ３において、通常のＥＡＰ−ＡＫＡ認証が行われる。

ステップ４において、ＵＥは、第１のＩＫＥ＿ＳＡ＿ＩＮＩＴメッセージを認証するＡＵＴＨペイロードを含むＩＫＥ＿ＡＵＴＨ要求メッセージを送信する。ＡＵＴＨペイロードは、ステップ３で使用した鍵生成ＥＡＰ法により確立された共有鍵を用いて計算される。このメッセージは、別の認証期間が後続することをｅＰＤＧに示す通知ペイロードＡＮＯＴＨＥＲ＿ＡＵＴＨ＿ＦＯＬＬＯＷＳも含む。

ステップ５において、ｅＰＤＧは、ＵＥから受け取ったＡＵＴＨの正当性をチェックする。ｅＰＤＧは、ステップ３において使用した鍵生成ＥＡＰ法により確立された共有鍵を用いて、第２のＩＫＥ＿ＳＡ＿ＩＮＩＴメッセージを認証する応答ＡＵＴＨペイロードを計算する。その後、ＵＥにＡＵＴＨパラメータが送信される。

ステップ６において、ＵＥは、その私的ネットワークにおける識別情報をＩＤｉ’ペイロードに含めて送信し、この識別情報が、（ステップ１０において）外部ＡＡＡサーバにより認証されて許可されるようになる。

ステップ７において、ステップ２でＩＤｒペイロードにより示されたＡＰＮが外部ＡＡＡサーバに対して認証を要求し、かつ選択した認証方法がＣＨＡＰ手順である場合、ｅＰＤＧは、次の認証のためのＥＡＰ ＭＤ５チャレンジ要求をＵＥに送信する。

ステップ８において、ＵＥは、ＥＡＰ ＭＤ５チャレンジ応答をｅＰＤＧに戻す。

ステップ９において、ｅＰＤＧは、ＩＫＥ＿ＡＵＴＨ要求（ステップ６）内のＩＤｉ’からコピーしたユーザ名、ＣＨＡＰパスワード、及びＣＨＡＰチャレンジ属性を含むＰＤＮ接続を作成するためのＰＢＵメッセージをＰＧＷに送信する。ＰＢＵ内のＭＮ識別子オプションは、ステップ２においてＩＤｉペイロード内で受け取った識別情報に対応する識別情報を含む。これについては、以下でより詳細に説明する。

ステップ１０において、ＰＧＷは、ＲＡＤＩＵＳクライアントである外部ＡＡＡサーバに、ＰＢＵメッセージ内で受け取ったパラメータを含むアクセス要求メッセージを送信する。

ステップ１１において、外部ＡＡＡサーバは、ＰＤＧにアクセス承認を戻す。

ステップ１２において、ＰＧＷは、ｅＰＤＧにＰＢＡメッセージを送信する。

ステップ１３において、ＩＫＥｖ２を介してＵＥにＥＡＰ成功メッセージが送信される。

ステップ１４において、ＵＥは、第１のＩＫＥ＿ＳＡ＿ＩＮＩＴメッセージを認証するためのＡＵＴＨパラメータを生成する。このＡＵＴＨパラメータをｅＰＤＧに送信する。

ステップ１５において、ｅＰＤＧは、ＵＥから受け取ったＡＵＴＨの正当性をチェックする。ｅＰＤＧは、割り当てられたＩＰアドレス、及びその他の構成パラメータをＵＥに送信する。ＩＫＥｖ２ネゴシエーションは、このステップで終了する。

図示してはいないが、上記の認証手順の１つで不具合が生じた場合、対応するメッセージがＵＥに送信されて手順は終了する。

上記の処理は、以下のように要約することができる。
− 二重認証、すなわちＵＥとネットワークの間の第１の認証、及びＰＧＷしかコンタクトできない外部ＡＡＡとＵＥの間の第２の認証が行われる。
− 第２の認証の認証データは、第１の認証に使用したプロトコルの拡張を使用してＵＥからｅＰＤＧに送信される。
− この第２の認証の認証データは、バインディングアップデートに含まれてｅＰＤＧからＰＧＷに転送される。
− ＰＧＷは、ステップ２で受け取った認証データを使用して外部ＡＡＡにコンタクトしてユーザを認証する。

次に、ＣＨＡＰ認証に関する具体的な詳細について説明する。具体的には、ｅＰＤＧが、ＣＨＡＰチャレンジを生成する役目を担う。ＵＥがいわゆる分割ＵＥとして実装される（すなわち、ＴＥ（端末装置）とＭＴ（移動端末）が分離され、ＰＰＰ（ポイント・ツー・ポイント・プロトコル）を使用してこれらの間の通信を行う）という理論上可能な場合には、ＰＰＰ処理に関連するいくつかの配慮が必要になる。ベアラ設定が開始すると、ＴＥは、使用するＡＰＮ（アクセスポイント名）及びＰＤＰ（パケットデータプロトコル）タイプを定めるＡＴコマンドをＭＴに対して発行する。

ＭＴは、ｅＰＤＧとの間における（ＲＦＣ４７３９による）第１段階のＩＫＥｖ２交換中（すなわち、図４に示すステップ１〜ステップ３の最中）に、受け取ったＡＰＮ及びＰＤＰタイプ情報を使用して、適当なＰＧＷ、ＡＰＮ／ＰＤＮへの接続を確立し、ＩＰ構成のための適当な構成ペイロードをＩＫＥｖ２メッセージに入れ込む方法（ＩＰｖ４、ＩＰｖ６、又はＩＰｖ４ｖ６「ベアラ」のいずれが設定されたかを判断する構成ペイロードなどをいかにしてＭＴが満たすか）を決定する。ＴＥとＭＴの間のＰＰＰ接続を設定すると、第１段階のＩＫＥｖ２交換が開始される。ＭＴは、第２段階のＩＫＥｖ２交換中にどのような認証方法が行われても、ＬＣＰ（リンク制御プロトコル）及びその後にＩＰＣＰ／ＩＰＶ６ＣＰをインターリーブする必要があることを認識している。ＭＴは、ＰＰＰにおけるＩＫＥｖ２イニシエータとＮＡＳの間の「ブリッジ」として実際に機能する。例えば、
・ＥＡＰを使用し、ｅＰＤＧがＥＡＰ−ＭＤ５を提案する。これにより、ＭＴは、ＴＥにＰＰＰ ＬＣＰ Ｒｅｑｕｅｓｔ−ＣＨＡＰ ａｕｔｈを送信するようになる。ＴＥは、これに対してＬＣＰレベルでＡＣＫ又はＮＡＫのいずれかを行い、その後これが、ＭＴにおいてＩＫＥｖ２内の適当なＥＡＰ応答に変換される。
・ＥＡＰを使用し、ｅＰＤＧがＥＡＰ−ＧＴＣを提案する。これにより、ＭＴは、ＴＥにＰＰＰ ＬＣＰ Ｒｅｑｕｅｓｔ−ＰＡＰ ａｕｔｈを送信するようになる。ＴＥは、これに対してＬＣＰレベルでＡＣＫ又はＮＡＫのいずれかを行い、その後これが、ＭＴにおいてＩＫＥｖ２内の適当なＥＡＰ応答に変換される。
・ＥＡＰを使用し、ｅＰＤＧが任意のＥＡＰ法を提案する。これにより、ＭＴは、ＴＥにＰＰＰ ＬＣＰ Ｒｅｑｕｅｓｔ−ＥＡＰ ａｕｔｈを送信するようになる。ＴＥは、これに対してＬＣＰレベルでＡＣＫ又はＮＡＫのいずれかを行い、その後これが、ＭＴにおいてＩＫＥｖ２内の適当なＥＡＰ応答に変換される。

両ＩＫＥｖ２段階が正常に完了すると、ＴＥとＭＴの間でＩＰＣＰ／ＩＰＶ６ＣＰネゴシエーションを開始することができる。なお、このステップは、この時点ですでに完全に局所的なものである。ＭＴは、ＩＫＥｖ２（＋ＰＭＩＰｖ６）ネゴシエーション自体の最中に受け取ったＩＰレベルの構成情報のみをＴＥに与える。

例示的な実施形態によれば、ｅＰＤＧとＰＧＷの間で、ＰＢＵ及びＰＢＡメッセージ、並びに対応するＧＴＰｖ２メッセージ内で（ＣＨＡＰ又はＰＡＰ）ユーザクレデンシャル情報を伝送するための、以下の２つの代替方法が提供される。
１．新たな情報要素に含める。
２．ＰＢＵ／ＰＢＡ内ですでに指定されているプロトコル構成オプション（ＰＣＯ）情報要素にユーザクレデンシャル情報を含める。

解決策２に従ってＰＢＵ／ＰＢＡ内にすでに存在するＰＣＯ情報要素を使用する利点は、３ＧＰＰでは、ＰＭＩＰ及びＧＴＰの両方においてＰＣＯ情報要素がすでに指定されている点である。従って、解決策２は容易に実装することができる。

解決策１による新たな情報要素を使用する利点は、ＰＣＯセマンティックの変更が不要な点である。すなわち、ＰＣＯ情報要素は、ＵＥとＰＧＷの間で変化しない情報を搬送すべきであることが好ましい。解決策２によれば、ｅＰＤＧが、ＩＫＥｖ２で搬送されたユーザクレデンシャル情報を、ＰＭＩＰ ＰＣＯ内のユーザクレデンシャル情報に「変換」する。しかしながら、ＰＣＯでは、ＵＥとＰＧＷの間はエンド・ツー・エンド・シグナリングであることが意図されている。従って、ｅＰＤＧによるＰＣＯの作成は望ましくないと見なされることがある。従って、解決策１によれば、３ＧＰＰにおいて新たな情報要素が規定され、この情報要素によりｅＰＤＧとＰＧＷの間で交換されるＰＢＵ／ＰＢＡメッセージ内のユーザクレデンシャル情報が搬送される。これには、ＰＭＩＰｖ６及びＧＴＰｖ２の若干の拡張が必要であるが、これらの実装及び展開は容易である。

以下のＰＭＩＰｖβ及びＧＴＰ情報要素が必要とされる。
・ＣＨＡＰパスワード情報要素
・ＣＨＡＰチャレンジ情報要素
・ＰＡＰパスワード情報要素
・ユーザ名情報要素（この情報要素内の識別情報は、例えばＰＭＩＰｖβと共に使用するＭＮ識別子とは異なることがある）

情報要素が、使用された役割を識別できると仮定すれば、ＣＨＡＰパスワード情報要素とＰＡＰパスワード情報要素を組み合わることができる。

さらに、上述したパスワード情報要素の代わりに拡張パスワード要素を使用し、この拡張パスワード要素の後に、この要素がＣＨＡＰパスワードとして使用されているか、それともＰＡＰパスワードとして使用されているかを示すフラグを続けることができる。しかしながら、このフラグは、パスワード情報要素に使用する認証プロトコルの指示の一例にすぎない。

別の認証プロトコルを使用する場合、パスワード情報要素に対応するパスワードを挿入することができる。

本発明の一般的な実施形態の態様によれば、
セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対してユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを挿入された第１の認証要求を作成するための手段と、
この認証データに基づいて、通信ネットワークに対してユーザ装置を認証するための第１の認証要求を送信するための手段と、
通信ネットワークに対する認証後、通信ネットワークの外部のパケットデータネットワークに対してユーザ装置を認証するための第２の認証要求を作成する手段と、
第２の認証要求を送信する手段と、
を備えた装置が提供される。

本発明の一般的な実施形態のさらなる態様によれば、
セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対してユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを含む第１の認証要求を受け取るための手段と、
この認証データに基づいて、通信ネットワークに対してユーザ装置を認証するための手段と、
通信ネットワークの外部のパケットデータネットワークに対してユーザ装置を認証するための第２の認証要求をユーザ装置から受け取るための手段と、
ユーザ装置から受け取った認証データ及びユーザの識別情報を含むバインディングアップデートメッセージを作成するための手段と、
このバインディングアップデートメッセージをパケットデータネットワークのゲートウェイ装置に送信するための手段と、
を備えた装置が提供される。

本発明の一般的な実施形態のさらなる態様によれば、
ユーザ装置をパケットデータネットワークに対して認証するのに役立つ識別情報及び認証データを含むバインディングアップデートメッセージ受け取るための手段と、
この識別情報及び認証データに基づいてアクセス要求を作成するための手段と、
このアクセス要求メッセージをネットワーク認証要素に送信するための手段と、
を備えた装置が提供される。

それぞれの態様、及び／又はこれらの態様が参照する実施形態には、これらの態様及び実施形態が代替例を含まないと明確に示していない限り、上記の修正のいずれかを単独で又は組み合わせて適用できると理解されたい。

本明細書で上述した本発明の実施形態では、以下に留意されたい。
− （機器、装置及び／又はそのモジュールの例として、或いは装置及び／又はそのモジュールを含むエンティティの例として）ソフトウェアコード部分として実装される可能性が高く、ネットワーク要素又は端末においてプロセッサを使用して実行される方法ステップは、ソフトウェアコードには依存せず、これらの方法ステップにより定められる機能が維持される限り、あらゆる既知の又は将来開発されるプログラミング言語を使用して規定することができる。
− 一般に、いずれの方法ステップも、実施される機能の面で本発明の発想を変更することなくソフトウェアとして又はハードウェアによって実現するのに適している。
− 上記で定義した装置、又はそのいずれかの（単複の）モジュールにおいてハードウェア構成要素として実装される可能性が高い方法ステップ及び／又は機器、ユニット又は手段（上述したようなＵＥ、ｅＰＤＧ、ＰＧＷなどの、上述した実施形態による装置の機能を実施する機器）は、ハードウェアに依存せず、ＭＯＳ（金属酸化膜半導体）、ＣＭＯＳ（相補型ＭＯＳ）、ＢｉＭＯＳ（バイポーラＭＯＳ）、ＢｉＣＭＯＳ（バイポーラＣＭＯＳ）、ＥＣＬ（エミッタ結合型論理）、ＴＴＬ（トランジスタ−トランジスタ論理）などのいずれかの公知の又は将来開発されるハードウェア技術又はこれらのいずれかの雑種を使用して、例えばＡＳＩＣ（特定用途向けＩＣ（集積回路））構成要素、ＦＰＧＡ（フィールドプログラマブルゲートアレイ）構成要素、ＣＰＬＤ（結合プログラムマブル論理回路）構成要素又はＤＳＰ（デジタルシグナルプロセッサ）構成要素を使用して実装することができる。
− （上記で定義した装置、又はこれらのそれぞれの手段のいずれか１つなどの）機器、ユニット又は手段は、個々の機器、ユニット又は手段として実装することができるが、これは、これらの機器、ユニット又は手段の機能が維持される限り、これらがシステム全体を通じて分散方式で実装されることを除外するものではない。
− 装置は、半導体チップ、チップセット、このようなチップ又はチップセットを含む（ハードウェア）モジュールによって表すことができるが、これは、装置又はモジュールの機能が、ハードウェアで実装される代わりに、プロセッサ上における実行／動作のための実行可能ソフトウェアコード部分を含むコンピュータプログラム又はコンピュータプログラム製品などの（ソフトウェア）モジュール内のソフトウェアとして実装される可能性を除外するものではない。
− 例えば、機器は、互いに機能的に連携しているか、又は互いに機能的には独立しているが同じ装置のハウジング内に存在するかにより、１つの装置として、又は複数の装置の組立品として見なすことができる。

なお、上述した実施形態及び実施例は、例示のみを目的として示したものであり、本発明がこれらに限定されることを決して意図するものではない。むしろ、添付の特許請求の思想及び範囲には全ての変形例及び修正例が含まれることを意図している。

１０：ユーザ装置
１１：プロセッサ
１２：メモリ
１３：インターフェイス
１４：バス
１７：リンク
１８：リンク
２０：ｅＰＤＧ
２１：プロセッサ
２２：メモリ
２３：インターフェイス
２４：バス
３０：ＰＧＷ
３１：プロセッサ
３２：メモリ
３３：インターフェイス
３４：バス

Claims (37)

1. セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対して前記ユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを挿入された第１の認証要求を作成するステップと、
   前記認証データに基づいて、前記通信ネットワークに対して前記ユーザ装置を認証するための前記第１の認証要求を送信するステップと、
   前記通信ネットワークに対する認証後、前記通信ネットワークの外部のパケットデータネットワークに対して前記ユーザ装置を認証するための第２の認証要求を作成するステップと、
   前記第２の認証要求を送信するステップと、
   を含むことを特徴とする方法。
2. 前記第１の認証要求を送信する前に、複数の認証がサポートされている旨の指示を受け取るステップと、
   複数の認証がサポートされている旨の指示を前記第１の認証要求に挿入するステップと、
   をさらに含むことを特徴とする請求項１に記載の方法。
3. 前記ユーザ装置の識別情報を含む要求を送信するステップをさらに含む、
   ことを特徴とする請求項１又は請求項２に記載の方法。
4. 構成パラメータを含む認証応答を受け取るステップをさらに含む、
   ことを特徴とする請求項１から請求項３のいずれか１項に記載の方法。
5. セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対して前記ユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを含む第１の認証要求を受け取るステップと、
   前記認証データに基づいて、前記通信ネットワークに対して前記ユーザ装置を認証するステップと、
   前記通信ネットワークの外部のパケットデータネットワークに対して前記ユーザ装置を認証するための第２の認証要求を前記ユーザ装置から受け取るステップと、
   前記ユーザ装置から受け取った前記認証データ及び前記ユーザの識別情報を含むバインディングアップデートメッセージを作成するステップと、
   前記バインディングアップデートメッセージを前記パケットデータネットワークのゲートウェイ装置に送信するステップと、
   を含むことを特徴とする方法。
6. 前記認証データは、前記バインディングアップデートメッセージ内の専用情報要素に含まれる、
   ことを特徴とする請求項５に記載の方法。
7. 前記認証データは、前記バインディングアップデートメッセージ内のプロトコル構成オプション情報要素に含まれる、
   ことを特徴とする請求項５に記載の方法。
8. 前記バインディングアップデートメッセージ内に、パスワード情報要素、認証プロトコルチャレンジ情報要素及び／又はユーザ名情報要素を含む複数の情報要素が提供される、
   ことを特徴とする請求項５から請求項７のいずれか１項に記載の方法。
9. 複数の認証がサポートされている旨の指示を含む前記第１の認証要求を受け取る前に、複数の認証がサポートされている旨の指示を送信するステップをさらに含む、
   ことを特徴とする請求項５から請求項８のうちのいずれかに記載の方法。
10. 前記ユーザ装置から、該ユーザ装置の識別情報を含む要求を受け取るステップをさらに含む、
    ことを特徴とする請求項５から請求項９のいずれか１項に記載の方法。
11. 前記ゲートウェイ装置から、構成パラメータを含むバインディングアップデート応答を受け取るステップと、
    構成パラメータを含む認証応答を前記ユーザ装置に送信するステップと、
    をさらに含むことを特徴とする請求項５から請求項１０のいずれか１項に記載の方法。
12. ユーザ装置をパケットデータネットワークに対して認証するのに役立つ識別情報及び認証データを含むバインディングアップデートメッセージを受け取るステップと、
    前記識別情報及び認証データに基づいてアクセス要求を作成するステップと、
    前記アクセス要求メッセージをネットワーク認証要素に送信するステップと、
    を含むことを特徴とする方法。
13. 前記認証データは、前記バインディングアップデートメッセージ内の専用情報要素に含まれる、
    ことを特徴とする請求項１２に記載の方法。
14. 前記認証データは、前記バインディングアップデートメッセージ内のプロトコル構成オプション情報要素に含まれる、
    ことを特徴とする請求項１２に記載の方法。
15. 前記バインディングアップデートメッセージ内に、認証プロトコルパスワード情報要素、認証プロトコルチャレンジ情報要素、パスワード情報要素及び／又はユーザ名情報要素を含む複数の情報要素が提供される、
    ことを特徴とする請求項１２から請求項１４のいずれか１項に記載の方法。
16. 前記バインディングアップデートメッセージに応答して、構成パラメータを含むバインディングアップデート応答を送信するステップをさらに含む、
    ことを特徴とする請求項１２から請求項１５のいずれか１項に記載の方法。
17. セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対して前記ユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを含む第１の認証要求を、前記ユーザ装置から第１のゲートウェイ装置に送信するステップと、
    前記認証データに基づいて、前記ユーザ装置を前記通信ネットワークに対して認証するステップと、
    前記通信ネットワークの外部のパケットデータネットワークに対して前記ユーザ装置を認証するための第２の認証要求を、前記ユーザ装置から前記第１のゲートウェイ装置に送信するステップと、
    前記ユーザ装置から受け取った前記認証データ及び前記ユーザの識別情報を含むバインディングアップデートメッセージを作成するステップと、
    前記バインディングアップデートメッセージを、前記第１のゲートウェイ装置から前記パケットデータネットワークの第２のゲートウェイ装置に送信するステップと、
    を含むことを特徴とする方法。
18. 前記識別情報及び認証データに基づいて、前記第２のゲートウェイ装置からネットワーク認証要素にアクセス要求を送信するステップと、
    前記第２のゲートウェイ装置において、前記ネットワーク認証要素からのアクセス承認メッセージを受け取るステップと、
    をさらに含むことを特徴とする請求項１７に記載の方法。
19. 前記第２のゲートウェイ装置から前記第１のゲートウェイ装置に、構成パラメータを含むバインディングアップデート応答を送信するステップと、
    構成パラメータを含む認証応答を前記第１のゲートウェイ装置から前記ユーザ装置に送信するステップと、
    をさらに含むことを特徴とする請求項１８に記載の方法。
20. セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対して前記ユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを挿入された第１の認証要求を作成するように構成されたプロセッサと、
    前記認証データに基づいて、前記ユーザ装置を前記通信ネットワークに対して認証するための前記第１の認証要求を送信するように構成されたインターフェイスと、
    を備え、
    前記プロセッサは、前記通信ネットワークに対する認証後、前記通信ネットワークの外部のパケットデータネットワークに対して前記ユーザ装置を認証するための第２の認証要求を作成するようにさらに構成され、
    前記インターフェイスは、前記第２の認証要求を送信するようにさらに構成される、
    ことを特徴とする装置。
21. 前記プロセッサは、前記第１の認証要求を送信する前に、複数の認証がサポートされている旨の指示を受け取るように構成され、
    前記プロセッサは、複数の認証がサポートされている旨の指示を前記第１の認証要求に挿入するように構成される、
    ことを特徴とする請求項２０に記載の装置。
22. 前記インターフェイスは、前記ユーザ装置の識別情報を含む要求を送信するように構成される、
    ことを特徴とする請求項２０又は請求項２１に記載の装置。
23. 前記インターフェイスは、構成パラメータを含む認証応答を受け取るように構成される、
    ことを特徴とする請求項２０から請求項２２のいずれか１項に記載の装置。
24. セキュリティ対策が施されていないアクセスネットワークを越えてユーザ装置に接続性を提供する通信ネットワークに対して前記ユーザ装置を認証するための、鍵情報交換メカニズムの認証要求であるとともに認証データを含む第１の認証要求を受け取るように構成されたインターフェイスと、
    前記認証データに基づいて、前記ユーザ装置を前記通信ネットワークに対して認証するように構成されたプロセッサと、
    を備え、
    前記インターフェイスは、前記通信ネットワークの外部のパケットデータネットワークに対して前記ユーザ装置を認証するための第２の認証要求を前記ユーザ装置から受け取るようにさらに構成され、
    前記プロセッサは、前記ユーザ装置から受け取った前記認証データ及び前記ユーザ装置の識別情報を含むバインディングアップデートメッセージを作成するようにさらに構成され、
    前記インターフェイスは、前記バインディングアップデートメッセージを前記パケットデータネットワークのゲートウェイ装置に送信するようにさらに構成される、
    ことを特徴とする装置。
25. 前記プロセッサは、前記バインディングアップデートメッセージ内の専用情報要素に前記認証データを含めるように構成される、
    ことを特徴とする請求項２４に記載の装置。
26. 前記プロセッサは、前記バインディングアップデートメッセージ内のプロトコル構成オプション情報要素に前記認証データを含めるように構成される、
    ことを特徴とする請求項２４に記載の装置。
27. 前記バインディングアップデートメッセージ内に、パスワード情報要素、認証プロトコルチャレンジ情報要素及び／又はユーザ名情報要素を含む複数の情報要素が提供される、
    ことを特徴とする請求項２４から請求項２６のいずれか１項に記載の装置。
28. 前記プロセッサは、複数の認証をサポートするように構成され、
    前記インターフェイスは、複数の認証がサポートされている旨の指示を含む前記第１の認証要求を受け取る前に、複数の認証がサポートされている旨の指示を送信するように構成される、
    ことを特徴とする請求項２４から請求項２７のいずれか１項に記載の装置。
29. 前記インターフェイスは、前記ユーザ装置から、該ユーザ装置の識別情報を含む要求を受け取るようにさらに構成される、
    ことを特徴とする請求項２４から請求項２８のいずれか１項に記載の装置。
30. 前記インターフェイスは、前記ゲートウェイ装置から、構成パラメータを含むバインディングアップデート応答を受け取るようにさらに構成され、
    前記プロセッサは、構成パラメータを含む認証応答を作成するように構成され、
    前記インターフェイスは、前記認証応答を前記ユーザ装置に送信するようにさらに構成される、
    ことを特徴とする請求項２４から請求項２９のいずれか１項に記載の装置。
31. ユーザ装置をパケットデータネットワークに対して認証するのに役立つ識別情報及び認証データを含むバインディングアップデートメッセージを受け取るように構成されたインターフェイスと、
    前記識別情報及び認証データに基づいてアクセス要求を作成するように構成されたプロセッサと、
    を備え、前記インターフェイスは、前記アクセス要求メッセージをネットワーク認証要素に送信するようにさらに構成される、
    ことを特徴とする装置。
32. 前記認証データは、前記バインディングアップデートメッセージ内の専用情報要素に含まれる、
    ことを特徴とする請求項３１に記載の装置。
33. 前記認証データは、前記バインディングアップデートメッセージ内のプロトコル構成オプション情報要素に含まれる、
    ことを特徴とする請求項３１に記載の装置。
34. 前記バインディングアップデートメッセージ内に、パスワード情報要素、認証プロトコルチャレンジ情報要素及び／又はユーザ名情報要素を含む複数の情報要素が提供される、
    ことを特徴とする請求項３１から請求項３３のいずれか１項に記載の装置。
35. 前記プロセッサは、構成パラメータを含むバインディングアップデート応答を作成するようにさらに構成され、
    前記インターフェイスは、前記バインディングアップデートメッセージに応答して、前記バインディングアップデート応答を送信するように構成される、
    ことを特徴とする請求項３１から請求項３４のいずれか１項に記載の装置。
36. ソフトウェアコード部分を有するプログラムを含むコンピュータプログラム製品であって、前記ソフトウェアコード部分は、装置のプロセッサ上で実行された時に、請求項１から請求項４、又は請求項５から請求項１１、又は請求項１２から請求項１６、又は請求項１７から請求項１９のいずれか１項に記載の方法を実行するように構成される、
    ことを特徴とするコンピュータプログラム製品。
37. 前記コンピュータプログラム製品は、前記ソフトウェアコード部分を記憶するコンピュータ可読媒体を含み、及び／又は、前記プログラムは、前記プロセッサの内部メモリに直接ロード可能である、
    ことを特徴とする請求項３６に記載のコンピュータプログラム製品。

Images