JP2014511070A - ハイブリッド通信システムにおける盗聴タイプの攻撃の防止 - Google Patents

Abstract

ハイブリッド通信システムを含む環境において、通信をセキュアにするのに使用される技法が開示される。たとえば、方法は、少なくとも１つのコンピューティングデバイスが第１の通信モードまたは第２の通信モードで選択的に動作するように構成された、ハイブリッド通信システムにおいて、少なくとも１つのコンピューティングデバイスを第１の通信モードで認証するために使用されている認証データが、第２の通信モードでの認証処理のために生成されたと判定されたときに、少なくとも１つのコンピューティングデバイスが第１の通信モードでのアタッチ処理を完了するのを防止するステップを含む。

Description

本発明は、一般に、通信セキュリティに関し、より詳細には、ハイブリッド通信システムにおける中間者攻撃などの盗聴タイプの攻撃を防止するための技法に関する。

ユニバーサル移動体通信システム（Ｕｎｉｖｅｒｓａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｙｓｔｅｍ：ＵＭＴＳ）は、その前身である移動体通信用グローバルシステム（Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎ：ＧＳＭ（登録商標））を改良するために、３ＧＰＰ（第３世代パートナーシッププロジェクト）によって開発された第３世代通信ネットワーク技術であることが知られている。ＵＭＴＳネットワークは、移動局がＵＭＴＳネットワークにアクセスするためのエアインターフェース（無線アクセス技術）として、ＵＭＴＳ地上無線アクセスネットワーク（ＵＭＴＳ Ｔｅｒｒｅｓｔｒｉａｌ Ｒａｄｉｏ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ：ＵＴＲＡＮ）を利用する。たとえば、２５．ｘｘｘ ｓｅｒｉｅｓ ｏｆ ３ＧＰＰ ｓｔａｎｄａｒｄｓを参照されたい。ＧＳＭネットワークは、移動局がＧＳＭネットワークにアクセスするためのエアインターフェースとして、汎用パケット無線サービス（Ｇｅｎｅｒａｌ Ｐａｃｋｅｔ Ｒａｄｉｏ Ｓｅｒｖｉｃｅ：ＧＰＲＳ）を利用する。たとえば、２３．ｘｘｘ ｓｅｒｉｅｓ ｏｆ ３ＧＰＰ ｓｔａｎｄａｒｄｓを参照されたい。

さらに、ロングタームエボリューション（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ：ＬＴＥ）ネットワークは、ＵＭＴＳ標準を改良し、次世代移動体ブロードバンドのための拡張されたユーザ体験および簡素化された技術を提供するために開発された、３ＧＰＰ指定のネットワークであることが知られている。ＬＴＥ無線アクセス技術は、発展型ＵＭＴＳ地上無線アクセス（Ｅｖｏｌｖｅｄ ＵＭＴＳ Ｔｅｒｒｅｓｔｒｉａｌ Ｒａｄｉｏ Ａｃｃｅｓｓ：Ｅ−ＵＴＲＡ）として知られており、そのネットワークは、発展型パケットシステム（Ｅｖｏｌｖｅｄ Ｐａｃｋｅｔ Ｓｙｓｔｅｍ：ＥＰＳ）として知られている。Ｅ−ＵＴＲＡに関する詳細は、例として、３６．ｘｘｘ ｓｅｒｉｅｓ ｏｆ ３ＧＰＰ ｓｔａｎｄａｒｄｓにおいて見出されてよい。

利用可能なさまざまなネットワークプロトコルおよび無線アクセス技術が与えられ、通信システムが本質的にハイブリッドになる（たとえば、２つ以上の無線アクセス技術またはネットワークプロトコルを使用する）傾向にあり、一方で１つまたは複数のより新しい通信標準が、１つまたは複数のより古い通信標準に徐々に取って代わるという事実を考えて、移動機器（たとえば、スマートフォン、ポータブルコンピュータなど）の製造業者は、複数の無線アクセス技術およびネットワークプロトコルを介して動作する能力を備えた自社の移動機器を設計することが知られている。したがって、特定の移動機器は、たとえば、ＧＳＭモードもしくはＥＰＳモードなどの２つのモードのうちの１つで、またはたとえば、ＧＳＭモード、ＵＭＴＳモード、もしくはＥＰＳモードなどの３つのモードのうちの１つで、選択的に動作することができるように、マルチモード能力を有することが知られている。そのようにして、移動デバイスが通信システムにおいてローミングするとき、移動デバイスは、与えられた地理的範囲内で利用可能であればいかなるモードであれ、それを介してシステムにアクセスすることができる。

しかしながら、ＧＳＭ技術を使用して動作する移動機器が、いわゆる「中間者」（ｍａｎ−ｉｎ−ｔｈｅ−ｍｉｄｄｌｅ：ＭＩＴＭ）攻撃を受けやすい可能性があることが示されている。その開示が全体において引用により本明細書に組み込まれる、Ｕｌｒｉｋｅ Ｍｅｙｅｒら、「Ａ Ｍａｎ−ｉｎ−ｔｈｅ−Ｍｉｄｄｌｅ Ａｔｔａｃｋ ｏｎ ＵＭＴＳ」、ＷｉＳｅ’０４、Ｐｈｉｌａｄｅｌｐｈｉａ、ＰＡ、２００４年１０月によって説明されるように、ＵＭＴＳ認証および鍵合意が使用されているという事実に関わらず、攻撃は、侵入者が、ＧＳＭネットワークにおいて動作するＵＭＴＳ加入者に対し、有効なＧＳＭ基地局になりすますことを可能にする。したがって、侵入者は、移動局により開始されたすべてのトラフィックを盗聴することができる。これにより、侵入者が、疑いを持たない移動局のユーザからの情報、たとえば、クレジットカード情報、オンラインバンキング情報、その他などを取得することが可能になる。

２５．ｘｘｘ ｓｅｒｉｅｓ ｏｆ ３ＧＰＰ ｓｔａｎｄａｒｄｓ ２３．ｘｘｘ ｓｅｒｉｅｓ ｏｆ ３ＧＰＰ ｓｔａｎｄａｒｄｓ ３６．ｘｘｘ ｓｅｒｉｅｓ ｏｆ ３ＧＰＰ ｓｔａｎｄａｒｄｓ Ｕｌｒｉｋｅ Ｍｅｙｅｒら、「Ａ Ｍａｎ−ｉｎ−ｔｈｅ−Ｍｉｄｄｌｅ Ａｔｔａｃｋ ｏｎ ＵＭＴＳ」、ＷｉＳｅ’０４、Ｐｈｉｌａｄｅｌｐｈｉａ、ＰＡ、２００４年１０月 ３ＧＰＰ ＴＳ（Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ） ３３．４０１

本発明の原理は、ハイブリッド通信システムを含むような環境において、通信をセキュアにするのに使用される技法を提供する。

たとえば、本発明の一態様において、方法が、少なくとも１つのコンピューティングデバイスが第１の通信モードまたは第２の通信モードで選択的に動作するように構成された、ハイブリッド通信システムにおいて、少なくとも１つのコンピューティングデバイスを第１の通信モードで認証するために使用されている認証データが、第２の通信モードでの認証処理のために生成されたと判定されたときに、少なくとも１つのコンピューティングデバイスが第１の通信モードでのアタッチ処理を完了するのを防止するステップを含む。

一実施形態において、第１の通信モードは、移動体通信用グローバルシステム（ＧＳＭ）モードであり、第２の通信モードは、ユニバーサル移動体通信システム（ＵＭＴＳ）モードおよび発展型パケットシステム（ＥＰＳ）モードのうちの１つである。

防止するステップは、認証データの一部における値をモニタするステップをさらに含むことができる。値は、認証データに含まれる認証管理フィールドにおけるビット値を含むことができる。ビット値は、認証管理フィールドにおける分離ビットを含むことができる。分離ビットは、認証ベクトルの計算の間に、少なくとも１つのコンピューティングデバイスのホームネットワークにおける認証機関によって設定されてよい。

一実施形態において、値が第１の値に設定されているとき、少なくとも１つのコンピューティングデバイスはアタッチ処理を終了する。値が第２の値に設定されているとき、少なくとも１つのコンピューティングデバイスはアタッチ処理を続行する。第１の値に設定されている値は、アタッチ処理がセキュリティ攻撃の一部であるという表示である。少なくとも１つのコンピューティングデバイスは、移動局（ユーザ機器）を含むことができる。

有利には、本発明の方法論が、ハイブリッド通信システムにおける中間者タイプの攻撃を防止することができる。

本発明のこれらの、ならびに他の目的、特徴、および利点は、添付の図面と関連して読まれるべき、本発明の例示的な実施形態の以下の詳細な説明から明らかになるであろう。

移動局がそのホームネットワーク以外のネットワークにアクセスするときに使用するための認証および鍵合意手順を示す図である。 中間者攻撃の第１の段階を示す図である。 本発明の実施形態による攻撃を防止するための方法論を用いた中間者攻撃の第２の段階を示す図である。 本発明の実施形態による認証ベクトルを示す図である。 本発明の実施形態による方法論およびプロトコルのうちの１つまたは複数を実装するのに適した、通信システムの一部およびコンピューティングデバイスのハードウェアアーキテクチャを示す図である。

本発明の原理は、ハイブリッド通信システムに関連付けられた通信をセキュアにするための必要性を実現する。以下の実施形態において、ハイブリッドなＧＳＭ／ＥＰＳ、ＧＳＭ／ＵＭＴＳ、およびＧＳＭ／ＵＭＴＳ／ＥＰＳシステムが、本発明のセキュリティ技法およびメカニズムを例示的に説明するために使用されることになる。しかしながら、本発明の原理は、ＧＳＭ、ならびにＥＰＳおよび／またはＵＭＴＳ通信モードによるハイブリッド通信システムに限定されず、むしろ、ハイブリッド通信システムにおける１つの通信モードが、ハイブリッド通信システムにおける別の通信モードのセキュリティよりも脆弱なセキュリティを実装する、という事実のために仕掛けられることがあるセキュリティ攻撃を防止することが望ましい、多種多様な他のハイブリッド通信システムにより広く適していることを理解されたい。

本明細書で使用されるとき、語句「ハイブリッド通信システム」は、一般に、２つ以上の通信モードをサポートする通信システムを指す。「通信モード」（または単に「モード」）は、一般に、特定のタイプの通信ネットワークに通信特徴およびアクセス特徴を提供するために使用される、特定の無線アクセス技術および／またはネットワークプロトコルをサポートする動作モードを指す。例示として、本明細書で説明される例示的なハイブリッド通信システムの一部である通信モードは、ＧＳＭ通信モード、ならびにＥＰＳ通信モード、および／またはＵＭＴＳ通信モードを含む。

次に図１を参照すると、認証および鍵合意手順が示されている。この手順１００は、一般に、移動局（ＭＳ）が、そのホームネットワーク以外のネットワーク（訪問先ネットワーク）にアクセスするときに行われる認証および鍵合意プロトコルを表す。手順１００は、一般に、ハイブリッド通信システムにおいて使用されてよい認証および鍵合意プロトコルを示す。

示されるように、ハイブリッド通信システムにおいて使用されてよい移動局（ＭＳ）１０２（「ユーザ機器」すなわちＵＥとも呼ばれる）は、移動機器（ＭＥ）１０４およびＵＭＴＳ加入者識別モジュール（ＵＭＴＳ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ：ＵＳＩＭ）１０６から構成されている。移動局またはユーザ機器の例は、いわゆる「スマートフォン」などの移動もしくはセルラ（セル）方式の電話、ポータブルコンピュータ、ワイヤレス電子メールデバイス、携帯情報端末（ＰＤＡ）、またはなんらかの他のユーザ移動通信デバイスを含むことができるが、これらに限定されない。

知られているように、バックホールは、通常、コアネットワーク、すなわちシステムのバックボーンと、システム全体のエッジにおける小さなサブネットワークとの間の中間リンクを含む、通信システムの一部を指す。たとえば、基地局と通信しているセル方式の電話が、ローカルサブネットワーク（または、アクセス技術に応じて、無線アクセスネットワークもしくはＵＴＲＡＮ／Ｅ−ＵＴＲＡＮ）を構成する間に、セル塔とコアネットワークとの間のコネクションが、ＰＬＭＮ（公共地上移動体ネットワーク）のコアへのバックホールリンクにより開始される。たとえば、典型的なＥ−ＵＴＲＡネットワークでは、バックホールは、ホームｅＮｏｄｅＢ（ＨｅＮＢ）ノードと、オペレータのコアネットワークにおけるノードとの間の１つまたは複数の通信リンクを指すことができ、オペレータのコアネットワークにおけるノードは、すなわち、ＭＭＥ（モビリティ管理エンティティ）、ＳＧＷ（サービングゲートウェイ）、ＰＧＷ（パケットデータネットワークゲートウェイ）である。知られているように、ｅＮＢは、ユーザ機器（ＵＥ）ノードがＰＬＭＮにアクセスするための基地局としての働きをする。本明細書で使用されるとき、用語「ノード」は、通信システムの１つまたは複数のネットワークによって利用されてよい、またはそれらに関連付けられてよい、１つもしくは複数のコンポーネント、または１つもしくは複数のデバイス（通信デバイスおよびコンピューティングデバイスを含むが、それらに限定されない）を指すことを理解されたい。

図１にさらに示されるように、ＭＳ１０２は、訪問先ロケーションレジスタ（Ｖｉｓｉｔｅｄ Ｌｏｃａｔｉｏｎ Ｒｅｇｉｓｔｅｒ：ＶＬＲ）１０８を介して、訪問先ネットワーク（サービングネットワークとも呼ばれる）と通信する。ＭＳ１０２と直接通信し、訪問先ネットワークへのＭＳ１０２のためのアクセスポイントとして働くｅＮＢまたは基地局システム（ＢＳＳ）が、特には示されないが、存在しているものと仮定される。ｅＮＢまたはＢＳＳは、通常、無線ネットワークコントローラ（ＲＮＣ、図示せず）、およびサービングＧＰＲＳサポートノード（ＳＧＳＮ、図示せず）、または移動交換センター（ＭＳＣ、図示せず）を通して、ＶＬＲと通信する。ＶＬＲ１０８は、ＭＳ１０２のホームネットワークのホームロケーションレジスタ（Ｈｏｍｅ Ｌｏｃａｔｉｏｎ Ｒｅｇｉｓｔｅｒ：ＨＬＲ）１１０と通信する。この通信リンクは、通常、訪問先ネットワークのＳＧＳＮ／ＭＳＣ、およびホームネットワークのゲートウェイＧＳＮ（ＧＧＳＮ、図示せず）または別のＭＳＣを介する。図１における要素１１０はまた、ＨＬＲ機能と同じノードに常駐してもしていなくてもよい認証センター（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｅｎｔｅｒ：ＡｕＣ）を表すが、図１では、簡略化のために一緒に示されている。「ホームネットワーク」は、それによってＭＳが特定のサービスについて加入される（したがって、ＭＳのユーザは「加入者」である）ネットワークであることが理解される。しかしながら、ＭＳは、ホームネットワークの外部に「ローミングする」ことができ、しかしなお、ホームネットワークに、およびしたがって「訪問先ネットワーク」を介したサービスに、アクセスすることができる。

図１の手順１００において示されるように、ステップ１で、ＭＥ１０４（ＭＳ１０２の一部）は、ＶＬＲ１０８に登録する。これは、ＭＥ１０４が、国際移動体加入者識別番号（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ：ＩＭＳＩ）をＶＬＲ１０８に提供することを含んでよい。ＩＭＳＩは、各ＭＳに一意の永続的な識別子である。ＩＭＳＩがエアインターフェース上で送信される時間量を最小限にするために、ローカル（訪問先ネットワーク）で有効な一時的移動体加入者識別番号（Ｔｅｍｐｏｒａｒｙ Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ：ＴＭＳＩ）がまた、ＭＳ１０２を識別するために使用されてよい。

ステップ２で、ＶＬＲ１０８は、ＨＬＲ／ＡｕＣ１１０を介して、ホームネットワークにＭＳ１０２のための認証データを要求する。ＨＬＲ／ＡｕＣ１１０は、ランダムチャレンジＲＡＮＤ、対応する認証トークンＡＵＴＮ、期待される認証応答ＸＲＥＳ、完全性鍵ＩＫ、および暗号（暗号化）鍵ＣＫを含む、認証の「クインタプレット」または認証ベクトル（ＡＶ）を計算する。計算されたＡＶは、ステップ３で、ＶＬＲ１０８に送信される。

ステップ４で、ＶＬＲ１０８は、認証チャレンジＲＡＮＤおよび認証トークンＡＵＴＮをＭＥ１０４に送信し、ステップ５で、ＭＥ１０４は、ＲＡＮＤおよびＡＵＴＮを、（やはりＭＳ１０２の一部である）ＵＳＩＭ１０６へと渡す。ＵＳＩＭ１０６は、認証トークンＡＵＴＮからシーケンス番号（ＳＱＮ）を抽出し、ＳＱＮを検査する。ＳＱＮが許容できる範囲内にある場合、ＵＳＩＭ１０６は、ＡＵＴＮがそのホームネットワークによって最近発行されたことを確かめる。ＵＳＩＭ１０６は次いで、認証チャレンジＲＡＮＤに対するその応答ＲＥＳを計算し、ＡＵＴＮからＩＫおよびＣＫを計算する。

ステップ６で、ＲＥＳ、ＩＫ、およびＣＫがＭＥ１０４に送信される。ステップ７で、ＭＥ１０４は、ＲＥＳをＶＬＲ１０８に送信する。ＶＬＲ１０８は次いで、ＲＥＳとＸＲＥＳとを比較することによって、ＭＳ１０２を有効化する。ＲＥＳとＸＲＥＳとが等しい場合、ＭＳ１０２は有効化される（通信システムに認証される）。

上で参照された論文、Ｕｌｒｉｋｅ Ｍｅｙｅｒらによる、表題「Ａ Ｍａｎ−ｉｎ−ｔｈｅ−Ｍｉｄｄｌｅ Ａｔｔａｃｋ ｏｎ ＵＭＴＳ」、ＷｉＳｅ’０４、Ｐｈｉｌａｄｅｌｐｈｉａ、ＰＡ、２００４年１０月で説明されるように、ＵＭＴＳ認証は、どのセキュリティアルゴリズム（脆弱な暗号化またはさらには暗号化なしから、強力な暗号化アルゴリズムまで）を利用するかを決定するように、訪問先ネットワークに要請する。決定は、セキュリティモードコマンドメッセージを介して、ＭＳに伝達される。セキュリティモードコマンドメッセージはまた、ＭＳが最初にコネクション処理を開始したときにＭＳが訪問先ネットワークに伝達していてよい、セキュリティ能力の表示を含むことができる。セキュリティモードコマンドメッセージは、完全性鍵ＩＫを使用して完全性保護されている。セキュリティ能力を最初に提供していたＭＳに再び伝達するステップ、および完全性保護を使用するステップのこれらのステップは、一般に、ＵＭＴＳのみの移動局を扱うときに、中間者（ＭＩＴＭ）攻撃から守る。しかしながら、さらに指摘されたように、ＧＳＭ認証は、これらの２つのセキュリティステップを利用せず、組み合わされたＵＭＴＳ／ＧＳＭユーザ機器によるＭＳを、ＭＩＴＭ攻撃に開放する。

このようにして、通信モードの１つがＧＳＭモードを含む複数の通信モードで、ハイブリッド通信システムにおいて動作することができるＭＳが、訪問先ネットワークを伴って、ＭＩＴＭ攻撃を受けやすいということが認識されてきた。しかしながら、そのような問題を克服するための合理的なソリューションは提案されていない。有利には、本明細書でさらに詳細に説明されるように、本発明の例示的な原理が、この問題を克服するための１つまたは複数の合理的なソリューションを提供する。

ＭＳのユーザ機器によってサポートされる、ＧＳＭモード以外の他の通信モードは、たとえば、ＥＰＳモードおよび／またはＵＭＴＳモードを含むことができることを認識されたい。たとえば、デュアルモードのＭＳは、ＥＰＳとＧＳＭとで、およびＥＰＳとＵＭＴＳとで動作することが知られており、一方、トリプルモードのＭＳは、ＥＰＳ、ＧＳＭ、およびＵＭＴＳで動作することが知られている。本発明の原理は、これらの、および他のハイブリッドな例で実装されてよいが、上で説明されたＭＩＴＭ問題に対するソリューションを、ＥＰＳ／ＧＳＭマルチモードのコンテキストにおいて例示的に説明する。

このようにして、ＥＰＳ／ＧＳＭハイブリッド通信システムの実施形態に従って、次に、ＭＩＴＭ攻撃および攻撃を防止するための技法を説明することにする。しかしながら、本明細書で説明される例示的な技法は、通信モードのうちの１つがＭＩＴＭ攻撃を受けやすい、少なくとも２つの通信モードをサポートする任意のＭＳに適用されてよいことを理解されたい。

そのようなＭＩＴＭ攻撃において、ＥＰＳ認証および鍵合意が使用されているという事実に関わらず、侵入者は、ＧＳＭネットワークにおいて動作するＥＰＳ加入者に対し、有効なＧＳＭ基地局になりすます。したがって、侵入者は、すべての移動局により開始されたトラフィックを盗聴することができる。これにより、侵入者が、疑いを持たないＭＳのユーザからの情報を取得することが可能になる。

攻撃の第１の段階において、攻撃者は、被害加入者のＩＭＳＩおよび任意のＴＭＳＩを取得する。これは、自分自身のネットワークノード（たとえば、ラップトップコンピュータまたはスマートフォン）を使用して、被害加入者のＭＳ（被害者ＭＳ）による認証処理を開始する攻撃者によって遂行されてよい。被害者ＭＳのＩＭＳＩおよび（もしあれば）ＴＭＳＩを受信した後、攻撃者は、認証処理を終了する。この「スニフィング」動作の間、攻撃者はまた、被害者ＭＳのセキュリティ能力を検出する。

攻撃は次いで、第２の段階に進む。この第２の段階は、図２に示されている。図２では、攻撃者のネットワークノード２０２が、「ＭＳ攻撃者」とラベル付けされている。ＭＳ攻撃者２０２は、ホームネットワークから被害者ＭＳの認証データを取得するために、訪問先ネットワークに対し、被害者ＭＳになりすます。この認証データにより、ＭＳ攻撃者は次いで、被害者ＭＳに対し、訪問先ネットワークになりすます（したがって、語句「中間者」）ことができる。図２では、訪問先ネットワークは、ネットワーク要素ＭＭＥ２０４で表現されている（上記から、これがモビリティ管理エンティティであることを思い出されたい）。ＭＭＥ２０４は、被害者ＭＳのホームネットワークのＨＬＲ／ＨＳＳ２０６と通信する。ＨＳＳは、ホーム加入者サービスを意味する。

図２に示すように、ステップ１は、ＭＳ攻撃者２０２が、被害者ＭＳのセキュリティ能力をＭＭＥ２０４に送信することを含む。ステップ２で、ＭＳ攻撃者２０２はまた、被害者ＭＳのＴＭＳＩをＭＭＥ２０４に送信する。ＭＭＥ２０４がＴＭＳＩを解決できない場合、ステップ３で、ＭＭＥ２０４は、ＭＳ攻撃者２０２に認証情報要求を送信する。ステップ４で、ＭＳ攻撃者２０２は、被害者ＭＳのＩＭＳＩをＭＭＥ２０４に送信することによって応答する。

ＭＳ攻撃者２０２のアタッチ試行が被害者ＭＳによる正当なＥＰＳモードアタッチ試行であることを信じて、ステップ５で、ＭＭＥ２０４は、認証データについての要求を被害者ＭＳのホームネットワークに送信する。要求は、ＨＬＲ／ＨＳＳ２０６によって受信される。これに返して、ステップ６で、ＨＬＲ／ＨＳＳ２０６は、ランダムチャレンジＲＡＮＤ、対応する認証トークンＡＵＴＮ、期待される認証応答ＸＲＥＳ、およびルート鍵Ｋ_ＡＳＭＥを含む認証の「クワドラプレット」または認証ベクトル（ＡＶ）を、ＭＭＥ２０４に送信する。ＥＰＳモードにおけるルート鍵Ｋ_ＡＳＭＥは、ＥＰＳモードにおける完全性および暗号化の保護のために使用される。この鍵は、ＵＭＴＳにおける完全性鍵ＩＫおよび暗号（暗号化）鍵ＣＫと同様の機能を提供し、実際に、ＩＫおよびＣＫから導き出される（こうした理由による、ここで言及された認証の「クワドラプレット」と、上の図１で言及された認証の「クインタプレット」との違い）。ステップ７で、ＭＭＥ２０４は、ＲＡＮＤおよびＡＵＴＮをＭＳ攻撃者に送信する。この認証データにより、ＭＳ攻撃者２０２は、偽のアタッチ試行を終了して訪問先ネットワークを切断し、第３段階に移る。ＭＳ攻撃者は、たとえば、そのネットワークノードの電源を切ることによって、切断することができる。

上で参照されたＵｌｒｉｋｅ Ｍｅｙｅｒらの論文において言及されたＭＩＴＭ攻撃に少々戻ると、「Ｕｌｒｉｋｅ Ｍｅｙｅｒ」ＭＩＴＭタイプの攻撃における次の段階は、被害者ＭＳおよびＭＳ攻撃者がコネクションを確立することを含み、それによって、ＭＳ攻撃者が今度は、被害者ＭＳに対し、ＧＳＭ基地局になりすます。被害者ＭＳは、そのセキュリティ能力およびＩＭＳＩ／ＴＭＳＩを、ＭＳ攻撃者に送信する。ＭＳ攻撃者は次いで、欺いてホームネットワークから取得した認証チャレンジＲＡＮＤおよび認証トークンＡＵＴＮを、被害者ＭＳに送信する。この認証データが、その現在のアタッチ試行に応答して、そのホームネットワークから来たことを信じて、被害者ＭＳは、認証トークンＡＵＴＮを首尾よく検証し、認証応答ＲＥＳで返答する。ＭＳ攻撃者は次いで、それ自身と被害者ＭＳとの間のエアインターフェース上で、暗号化なし、または脆弱な暗号化を使用することを決定し、選んだ暗号化アルゴリズムを指定するＧＳＭ暗号モードコマンドを、被害者ＭＳに送信する。脆弱な暗号化または暗号化なしにより、ＭＳ攻撃者は、疑いを持たないＭＳのユーザから、機密情報（たとえば、クレジットカード情報、オンラインバンキング情報など）を取得することができる。攻撃者は次いで、被害者の損害となるこの情報を使用することができる。

本発明の原理に従って、上で説明されたＭＩＴＭ攻撃を克服するための技法が利用される。これは、図３のコンテキストにおいて示されている。図３は、ＭＩＴＭ攻撃の最後の、すなわち第３の段階を示しており、それによって、ＭＳ攻撃者（図３の３０４）は、被害者ＭＳ（図３の３０２）に対し、ＧＳＭ基地局になりすますことを理解されたい。第１段階（図には特に示されず）および第２段階（図２に示される）は、上で説明された通りに既に行われたと仮定される。しかしながら、被害者ＭＳは、ＧＳＭ基地局が正当であるか否かを知らないので、図３に示されるこの手順は、ＭＳが、ＧＳＭ基地局になりすましているＭＳ攻撃者と通信しているのか、または正当なＧＳＭ基地局と通信しているのかに関わらず、実施されることに留意されたい。それに応じて、以下の議論の目的のために、要素３０４を、この例では、それがＢＳＳ（基地局システム）になりすますＭＳ攻撃者であったとしても、「ＢＳＳ」と呼ぶことにする。

図３のステップ１に示されるように、ＭＳ３０２は、そのセキュリティ能力をＢＳＳ３０４に提供する。これは、ＲＮＣコネクション確立の間に行われる。ステップ２で、ＭＳ３０２は、そのＴＭＳＩおよび／またはＩＭＳＩをＢＳＳ３０４に提供する。ＭＳ攻撃者は既に（上で説明された第１段階から）この情報を有していることが思い出されるが、いずれにしても、なりすましを維持するためにそれを受信する。ステップ３で、ＢＳＳ３０４は、以前に欺いてホームネットワークから取得した認証ＲＡＮＤおよび認証トークンＡＵＴＮ（これは、ＭＳ攻撃者について第２段階（図２）であったことを思い出されたい）を、ＭＳ３０２に送信する。

しかしながら、上で説明された「Ｕｌｒｉｋｅ Ｍｅｙｅｒ」ＭＩＴＭタイプの攻撃において行われるように、ＡＵＴＮを検証してＲＥＳを計算し、次いでＲＥＳをＢＳＳ３０４に送信することに代えて、本発明の原理は、認証トークンＡＵＴＮにおける特定のビットフィールド、すなわち、ＡＵＴＮの認証管理フィールド（ＡＭＦ）における「分離ビット」を検査することを提供する。その開示が全体において引用により本明細書に組み込まれる３ＧＰＰ ＴＳ（Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ）３３．４０１は、ＡＭＦフィールドにおけるビット位置ゼロ（０）を分離ビットとして定義し、ネットワークタイプがＥ−ＵＴＲＡＮに等しい場合、ＡＵＴＮのＡＭＦフィールドにおける分離ビットが論理レベル１（１）に設定されて、認証ベクトルがＥＰＳコンテキストにおける認証および鍵合意（ＡＫＡ）手順のためのみに使用可能であることをＵＥに示すものとし、分離ビットが論理レベルゼロ（０）に設定される場合、ＡＶは、非ＥＰＳコンテキスト（たとえば、ＧＳＭ、ＵＭＴＳ）のみで使用可能であることを述べている。図４は、ＡＫＡ認証ベクトル４００を示し、概して、ＡＵＴＮ、ＲＡＮＤ、およびＸＲＥＳがどのように生成されるのかを示す。ＥＰＳ動作においては、Ｋ_ＡＳＭＥが、ホームネットワークにより、ＣＫおよびＩＫから導き出されることに留意されたい。簡略化のために図４では特に示されていないが、そのような導出のための手順は、ＴＳ３３．４０１に説明されている。より重要なことに、図４はまた、ＡＭＦフィールド４０２が認証ベクトルに配置されているところを示している。ＡＭＦフィールド４０２における分離ビットは、ＡｕＣ（認証センター）またはＨＬＲ／ＨＳＳなどの、ホームネットワークのノードによって設定される。

次に図３のステップ４に戻ると、ＭＳ３０２は、ＢＳＳ３０４から受信したＡＵＴＮを検査して、ＡＭＦフィールドにおける分離ビットになんの値が設定されているかを見る。論理１に設定されている場合、ステップ５で、マルチモードのＭＳ３０２は、この認証ベクトルがＥＰＳ認証および鍵合意（ＡＫＡ）手順から来ている（すなわち、ＥＰＳモードに関連付けられている）ことを知り、アタッチ手順は、ＭＳ３０２によって終了される。すなわち、被害者ＭＳが、ＧＳＭ基地局になりすましたＭＳ攻撃者から受信した認証トークンＡＵＴＮが、ＥＰＳ ＡＫＡ手順（これは実際には、攻撃の第２段階（図２）でＭＳ攻撃者がトークンを取得したやり方である）からであると（論理１であるＡＭＦ分離ビットから）判定すると、被害者ＭＳは、これがＭＩＴＭ攻撃であるらしいことを知り、有利には、被害者ＭＳは、攻撃が進行できないようにアタッチを終了する。

しかしながら、正当なＧＳＭ基地局のアタッチ手順が行われていたらしいことを示す論理０に設定されている場合、ステップ６で、ＭＳ３０２のＵＳＩＭは、ＡＵＴＮ（メッセージ認証コードまたはＭＡＣおよびＳＱＮを含む）を解決し、認証応答およびＧＳＭ ＲＥＳを導き出す。すなわち、ＡＭＦ分離ビットが、認証トークンＡＵＴＮが正当なＧＳＭ基地局から来たものであることをＭＳに示すので、ＭＳ３０２は、ＢＳＳ３０４とのアタッチ手順を続行する。ステップ７で、ＭＳ３０２は次いで、認証応答およびＧＳＭ ＲＥＳをＢＳＳ３０４に送信する。ステップ８で、ＢＳＳは、どのＧＳＭ暗号化アルゴリズムを使用するかについての決定を行う。ステップ９で、ＢＳＳは次いで、選んだアルゴリズムを含むＧＳＭ暗号モードコマンドメッセージを、ＭＳ３０２に送信する。

したがって、要約すると、ハイブリッドＥＰＳ／ＧＳＭ通信システムに対するＭＩＴＭ攻撃の最終段階において、攻撃者は正当なＧＳＭ ＢＳＳを装い、攻撃の前の段階で記録されたＥＰＳ ＡＶを再生する。ＡＶコンポーネントの１つは、認証トークンＡＵＴＮを含み、これは、情報要素の１つにおいてＡＭＦ分離ビットを有する。そのＡＵＴＮはＥＰＳ ＡＶに属するので、そのＡＭＦ分離ビットは、値「１」に設定される。ＵＥがＡＵＴＮを開いて、ＡＭＦ分離ビットに達するとき、ＵＥは、ＧＳＭ ＢＳＳから受信されたＡＶが、実際には、異なるドメイン、すなわち、ＥＰＳドメインのために生成されたとわかることになる。したがって、ＵＥは、アタッチ手順を終了することを決定することになる。しかしながら、ＡＭＦ分離ビットが値「０」に設定されている場合、ＵＥは、アタッチを続行し、ＲＥＳを計算し、ＲＥＳを認証応答メッセージにおいてＧＳＭ ＢＳＳに送信することになる。

図３のＭＩＴＭ防止方法論は、ＥＰＳ／ＧＳＭ実施形態のコンテキストにおいて説明されているが、限定はされないが、ＵＭＴＳ／ＧＳＭ実施形態またはＥＰＳ／ＵＭＴＳ／ＧＳＭ実施形態を含む他のハイブリッド通信モード実施形態が同様に実装されてもよいことを認識されたい。そのような例示的な各実施形態において、ＧＳＭモードは、マルチモードシステムの中で、よくある脆弱なセキュリティリンクであることに留意されたい。しかしながら、脆弱なセキュリティリンクは、任意のマルチモードまたはハイブリッド通信環境において攻撃者によって活用され得る、１つまたは複数のセキュリティ欠点を有するなんらかの他の通信モード（すなわち、ＧＳＭ以外）である場合があることをさらに認識されたい。

最後に、図５は、上で説明された本発明の原理によるＭＩＴＭ防止を実装するために好適な、ハイブリッド通信システム５００の一部の一般化されたハードウェアアーキテクチャを示す。

示されるように、移動局（ＭＳ）５１０（ＭＳ３０２に対応する）および基地局システム５２０（ＭＳ攻撃者または正当なＢＳＳであってよい、ＢＳＳ３０４に対応する）は、通信ネットワーク媒体５５０を介して動作可能に結合されている。ネットワーク媒体は、その間でＭＳと基地局とが通信するように構成された、任意のネットワーク媒体であってよい。例として、ネットワーク媒体は、ＩＰパケットを搬送することができ、上で言及された通信ネットワークのうちのいずれかを含むことができる。しかしながら、本発明は、特定のタイプのネットワーク媒体に限定されない。ここでは特に示されていないが、図１−図４のコンテキストにおいて示された、または説明された他のネットワーク要素（以下で説明される同じプロセッサ／メモリ構成を有することができる）が、ネットワーク媒体、ＭＳおよび／またはＢＳＳに動作可能に結合されていることが理解される。

当業者には直ちに明らかであるように、要素は、コンピュータプログラムコードの制御下で動作するプログラムされたコンピュータとして実装されてよい。コンピュータプログラムコードは、コンピュータ（またはプロセッサ）可読ストレージ媒体（たとえば、メモリ）に記憶され、コードは、コンピュータのプロセッサによって実行されることになる。本発明のこの開示が与えられれば、当業者は、本明細書で説明されるプロトコルを実装するための適切なコンピュータプログラムコードを直ちに生み出すことができる。

それでもなお、図５は、概して、ネットワーク媒体上で通信する各デバイスのための例示的なアーキテクチャを示している。示されるように、ＭＳ５１０は、Ｉ／Ｏデバイス５１２と、プロセッサ５１４と、メモリ５１６とを含む。ＢＳＳ５２０は、Ｉ／Ｏデバイス５２２と、プロセッサ５２４と、メモリ５２６とを含む。

本明細書で使用されるとき、用語「プロセッサ」は、１つまたは複数の処理デバイスを含むよう意図され、処理デバイスは、限定はされないが、１つまたは複数の信号プロセッサ、１つまたは複数の集積回路などを含む、中央処理ユニット（ＣＰＵ）または他の処理回路を含むことを理解されたい。また、本明細書で使用されるとき、用語「メモリ」は、ＲＡＭ、ＲＯＭ、固定メモリデバイス（たとえば、ハードドライブ）、またはリムーバブルメモリデバイス（たとえば、ディスケットもしくはＣＤＲＯＭ）などの、プロセッサまたはＣＰＵに関連付けられたメモリを含むように意図される。加えて、本明細書で使用されるとき、用語「Ｉ／Ｏデバイス」は、処理ユニットにデータを入力するための１つまたは複数の入力デバイス（たとえば、キーボード、マウス）、ならびに処理ユニットに関連付けられた結果を提供するための１つまたは複数の出力デバイス（たとえば、ＣＲＴディスプレイ）を含むように意図される。

それに応じて、本明細書で説明される本発明の方法論を実施するためのソフトウェア命令またはコードは、関連したメモリデバイス、たとえば、ＲＯＭ、固定またはリムーバブルメモリのうちの１つまたは複数に記憶され、利用されるように準備ができたら、ＲＡＭにロードされ、ＣＰＵによって実行されてよい。すなわち、図５に示される各コンピューティングデバイス（５１０および５２０）は、図１から図４に示されるプロトコルおよび機能のそのそれぞれのステップを実施するために、個々にプログラムされてよい。また、ブロック５１０およびブロック５２０は、それぞれ、２つ以上の別個のネットワークノードまたはコンピューティングデバイスを介して実装されてもよいことを理解されたい。

本発明の例示的な実施形態が、添付の図面を参照して本明細書で説明されてきたが、本発明は、それらの厳密な実施形態に限定されないこと、および、本発明の範囲または趣旨から逸脱せずに、さまざまな他の変更形態および修正形態が当業者によって行われてもよいことを理解されたい。

Claims (10)

1. 少なくとも１つのコンピューティングデバイスが第１の通信モードまたは第２の通信モードで選択的に動作するように構成された、ハイブリッド通信システムにおいて、
   少なくとも１つのコンピューティングデバイスを第１の通信モードで認証するために使用されている認証データが、第２の通信モードでの認証処理のために生成されたと判定されたときに、少なくとも１つのコンピューティングデバイスが第１の通信モードでのアタッチ処理を完了するのを防止するステップ
   を含む、方法。
2. 第１の通信モードが、移動体通信用グローバルシステム（ＧＳＭ）モードであり、第２の通信モードが、ユニバーサル移動体通信システム（ＵＭＴＳ）モードおよび発展型パケットシステム（ＥＰＳ）モードのうちの１つである、請求項１に記載の方法。
3. 防止するステップが、認証データの一部における値をモニタするステップをさらに含む、請求項１に記載の方法。
4. 値が、認証データに含まれる認証管理フィールドにおけるビット値を含む、請求項３に記載の方法。
5. 値が第１の値に設定されているとき、少なくとも１つのコンピューティングデバイスがアタッチ処理を終了する、請求項３に記載の方法。
6. 値が第２の値に設定されているとき、少なくとも１つのコンピューティングデバイスがアタッチ処理を続行する、請求項５に記載の方法。
7. 第１の値に設定されている値が、アタッチ処理がセキュリティ攻撃の一部であるという表示である、請求項５に記載の方法。
8. セキュリティ攻撃が、中間者攻撃である、請求項７に記載の方法。
9. メモリと、
   メモリに結合された少なくとも１つのプロセッサであって、ハイブリッド通信システムにおいて、第１の通信モードまたは第２の通信モードで選択的に動作するように、かつ、第１の通信モードで認証を実施するために使用されている認証データが、第２の通信モードでの認証処理のために生成されたと判定されたときに、第１の通信モードでのアタッチ処理を完了するのを防止するように構成された、プロセッサと
   を含む、装置。
10. ユーザ機器が第１の通信モードまたは第２の通信モードで選択的に動作するように構成された、ハイブリッド通信システムにおいて、
    メモリと、
    メモリに結合された少なくとも１つのプロセッサであって、第１の通信モードで認証を実施するために使用されている認証データが、第２の通信モードでの認証処理のために生成されたと判定されたときに、第１の通信モードでのアタッチ処理を完了するのを防止するように構成された、プロセッサと
    を含む、ユーザ機器。

Images