JP2015502104A - 融合ワイヤレスネットワークにおいての認証の方法およびデバイス - Google Patents

Abstract

融合ワイヤレスネットワークにおいての認証の方法およびデバイス。既存のＷＬＡＮネットワークでは、事前共有暗号鍵を使用する認証方法は、安全性が低く、大規模配備に適用可能でなく、一方で８０２．１ｘに基づく認証方法は、非常に複雑であり、ＥＡＰ／ＲＡＤＩＵＳサーバを導入する必要がある。本発明は、融合ワイヤレスアクセスネットワークにおいての認証方法およびデバイスを提供するものであり、ワイヤレスアクセスネットワークおよびＵＥはすべて、第１のワイヤレスアクセスネットワークにアクセスするためのＵＥの暗号鍵を保持し、ＵＥが第２のワイヤレスアクセスネットワークにアクセスするとき、ワイヤレスアクセスネットワークおよびＵＥは、暗号鍵に基づいて認証を履行する。本発明では、安全に取得されている、第１のワイヤレスアクセスネットワークにアクセスするためのＵＥ鍵が、第２のワイヤレスアクセスネットワークにおいてのＵＥのアクセスに対する認証において使用される。共有暗号鍵の従来の解決策と比較すると、提案される解決策によって安全性が確実になり、従来の８０２．１ｘ解決策と比較すると、その提案される解決策は、ネゴシエーションすることによって暗号鍵を取得する動作を省き、鍵サーバ等のようなネットワーク要素を含む必要がない。

Description

本発明はワイヤレスネットワークに関し、特に融合ワイヤレスネットワークに関する。

モバイルデータサービスの急速な成長は、ワイヤレスセルラーネットワーク、特にワイヤレスアクセスネットワーク上で多くの切迫状態を引き起こした。現在ではワイヤレスアクセス能力は、急速に高まる需要を満たすために緊急に増強される必要がある。同時にＷｉＦｉは、それが安価であること、単純であること、および扱いが容易であることに起因して、世界中に広く配備されてきている。スマート携帯電話、ｉＰａｄ、ネットブック等々のような、ますます多くのクライアントデバイスが、ＷｉＦｉの、および同時にワイヤレスセルラーの、デュアルモードアクセス機能を有する。デュアルモード端末の利用可能性が増大されるのは、ＷｉＦｉおよび３ＧＰＰワイヤレスアクセス（３Ｇ／４Ｇ）をマルチモードワイヤレスアクセス環境に一体化するためであり、デュアルモード端末の数量が急速に伸びることによって、ＷｉＦｉおよびワイヤレスセルラーアクセス技術（３Ｇ／４Ｇ）の２つのアクセス技術を融合させることによりワイヤレスアクセス容量を向上させることが可能になる。

マルチモードワイヤレスアクセスネットワークを確立する解決策は、ＷｉＦｉアクセスポイントおよびワイヤレスセルラーネットワーク基地局を同じ機器に一体化し、共通のバックホール回線を通ってモバイルコアネットワークにアクセスすることである。典型的にはこのマルチモードワイヤレスアクセスシステムは、一種の重複ヘテロジーニアスネットワークである。セルラーネットワークは完備したカバレッジを提供してモビリティサポートを提供し、一方で、ＷｉＦｉ信号が利用可能である場所で、例えばホットスポットまたはホットゾーンで、ＷｉＦｉはワイヤレスアクセス能力を増強するために使用される。

この融合マルチモードワイヤレスアクセスネットワークでは、ＷｉＦｉワイヤレスリンクにおいて安全なアクセス制御およびセキュアなデータ送信をどのように提供するかが、解決されるべき重要な問題である。

３つの段階、すなわちスキャン、認証、およびアソシエーションに分けられ得る典型的なＷｉＦｉアクセス手順が、図１に例示されている。

ＷｉＦｉ ＡＰ（アクセスポイント）を発見するために、最初にＷｉＦｉ局（ＳＴＡ）が「スキャン」と呼ばれるリンク層手順を遂行する。８０２．１１では２つのスキャン方法、すなわちパッシブおよびアクティブが存在する。パッシブスキャニングではＳＴＡは、定期的な間隔でＡＰにより送信されるビーコンフレームがないかリッスンする。ビーコンは、ＳＳＩＤ、サポートされるレートおよびセキュリティパラメータ等々のような情報を含む。ＳＴＡは、アクティブスキャニングを使用することにより同じ情報を取得することもまた可能である。アクティブスキャニング（またはプロービング）の間ＳＴＡは、プローブ要求フレームを送信し、プローブ要求フレームを受信した後ＡＰは、パッシブスキャニングでのビーコンフレーム内に含まれるものと同様の情報を含むプローブ応答フレームによって応答することになる。このようにしてＳＴＡは、候補ＡＰに関する情報を収集することが可能であり、それらの候補ＡＰの１つを選択する。ＡＰの選択は、信号品質、アクセスネットワーク能力、ユーザの好み等々のようないくつかの要因によって決まる。ＡＰを選択した後でＳＴＡは、アクセス認証段階に進むことになる。認証が成功裏に完了するとＳＴＡは最後に、アソシエーション手順によって、通信データレートおよび予約リソースを新しいＡＰとネゴシエーションすることになる。ＡＰは最後に、サポートされるデータレートおよびセッションＩＤを含むアソシエーション応答によって返信する。

現在ではＷｉＦｉアクセス認証は、２つの主要な機構、すなわち、事前共有鍵認証、および８０２．１ｘに基づくアクセス認証を含む。事前共有鍵認証は、鍵が使用される前に２つの通信当事者間で鍵を事前設定することを必要とし、ＡＰおよびすべての関係するクライアントは同じ鍵を共有する。認証処理が図１に例示されている。最初にＷｉＦｉ ＳＴＡは、ＡＰに認証要求を送出する。ＡＰが要求を受信すると、ＡＰは、ランダムな形で生成される１２８オクテットのチャレンジテキストからなる認証フレームによって返信することになる。次にＳＴＡは、チャレンジテキストを認証フレーム内にコピーし、共有鍵によってそのフレームを暗号化し、次いでＡＰに暗号化されたフレームを送出することになる。第４のステップでＡＰは、同じ共有鍵を使用して、返されたチャレンジテキストを復号し、そのチャレンジテキストを前に送出された元のコピーと比較することになる。一致が見出されるならば、ＡＰは、認証成功を指示する認証応答によって返信することになり、そうでないならばＡＰは、認証失敗指示を送出することになる。共有鍵認証解決策は非常に単純であり、その解決策は、他の機器を必然的に含むことを必要としない。しかしながら、鍵が前もってＡＰおよびすべてのクライアントの間で共有される必要があり、そのことによってこの解決策は、限られた数のユーザを伴う家庭または小事務所に、より適合したものとなる。数千または数万のＡＰおよび無線局を伴う大規模ネットワークに対しては、その解決策は、鍵を共有するための莫大な量の作業をもたらすことになる。そして、鍵を動的に変更するのは容易ではない。さらにその解決策は、鍵がすべての関係するＳＴＡおよびＡＰにおいて同じであるので、脆弱性が高い。したがってこの方法は、事業者レベルでの大規模ネットワーク配備には適用可能でない。

第２の典型的な認証方法は、８０２．１ｘに基づくものである。処理が図２に例示されている。ＡＰとＡＳ（認証サーバ）との間の通信規格は、ＲＡＤＩＵＳ（リモート認証ダイヤルインユーザサービス）である。ＳＴＡとＡＳとの間の認証セッションは、ＥＡＰ（拡張可能認証プロトコル）フレーム内で搬送される。ＥＡＰフレームは、８０２．１ｘではＥＡＰＯＬ（ＥＡＰオーバＬＡＮ）として搬送され、ＲＡＤＩＵＳではＥＡＰメッセージパラメータとして搬送される。

共有鍵に基づく解決策では、アソシエーションの後にＳＴＡは、ネットワークアクセスを得ることが可能になる。しかしながら８０２．１Ｘに基づく解決策では、これでは十分ではない。確立されたアソシエーションによってデータフレームを送信するために、ＳＴＡは、新しく作成されたアソシエーションにマッピングされた８０２．１Ｘポートをアンロックしなければならない。そのことを行うためにＳＴＡは、８０２．１Ｘフレームを使用してＥＡＰ認証を遂行することになる。

ＥＡＰ認証は、ＳＴＡがＥＡＰＯＬ開始フレームを送信するとき、またはＡＰがＥＡＰアイデンティティ要求フレームを送信するときに起動される。次いでＳＴＡは、バックエンドＥＡＰサーバによって認証するための、認証クレデンシャルおよび特定のＥＡＰ認証方法を使用する。ＡＰは、ＳＴＡからバックエンドＥＡＰサーバに、およびその逆にＥＡＰパケットを転送することにより通過エンティティの働きをする。ＥＡＰパケットは、８０２．１ｘフレームから抽出され、ＲＡＤＩＵＳメッセージ内にカプセル化され、次いでバックエンドＥＡＰサーバに送出され、バックエンドＥＡＰサーバは、メッセージからＥＡＰペイロードを抽出し、ＡＰを通してＳＴＡに返信メッセージを送出する。

ＥＡＰとＳＴＡとの間の複数のシグナリング対話（詳細な手順は、使用されているＥＡＰ認証方法によって決まる）の後、ＥＡＰサーバは、ＥＡＰサーバがＳＴＡ識別子を成功裏に認証したかどうかを決定する。成功の場合にはＥＡＰサーバは、ＥＡＰ成功メッセージを送信する。鍵情報が、ＳＴＡに、およびＡＰにも送出され得る。次いでＡＰは、関連するＳＴＡにマッピングされた８０２．１ｘポートをアンロックする。アンロックされた８０２．１ｘポートによって、保護され認証されたデータフレームのみが通過することが可能になる。

８０２．１ｘに基づく認証方法は、ＷｉＦｉクライアントに集中型の認証および鍵管理を提供し得る。しかしながらその認証方法は、ＥＡＰ／Ｒａｄｉｕｓサーバの導入、ならびに、ＷｉＦｉクライアントおよびＡＰの両方において８０２．１ｘプロトコルをサポートすることを必要とする、複雑な方法である。加えて事業者にとっては、保守を容易にするために、およびコストを低下するために、ＷｉＦｉ認証はセルラーネットワークと一体化されなければならない。したがってセルラーネットワーク要素、例えばＨＬＲ／ＨＳＳは、ＷｉＦｉ認証サーバとの相互運用をサポートする必要があり、そのことによってシステムの複雑性がさらに増大する。

要約すると、事前共有鍵認証方法は、安全性が低く、脆弱性が高く、保守するのが難しく、大規模配備には適合しない。一方で８０２．１ｘに基づく認証方法は、ＥＡＰ／Ｒａｄｉｕｓサーバを導入すること、ならびに、ＷｉＦｉクライアントおよびＡＰからのサポートを必要とし、そのことのコストおよび複雑性は高い。加えてセルラーネットワークとの相互運用によって、その解決策の複雑性はさらに増大する。

本発明は、マルチモードワイヤレスアクセス環境でのＷｉＦｉアクセスのための、新規の認証およびデータ暗号化方法を提供することを目的とする。本発明に適用可能な目標シナリオは、融合マルチモードワイヤレスネットワークを含み、セルラーおよびＷｉＦｉのワイヤレスインターフェースが、アクセスノードおよびユーザ機器（ＵＥ）の両方において装備されている。すなわちＵＥはデュアルモードであり、ＷｉＦｉ ＡＰおよびセルラー基地局は、単一のデバイス（融合アクセスノード）に一体化される。本発明の発明の概念は、融合アクセスノードが、両方のワイヤレスインターフェースの情報、例えば鍵情報、ＵＥの識別情報、およびセルの識別情報を、管理および共有することが可能であるということである。そして融合アクセスノードは、元々セルラーワイヤレスインターフェースに対する情報を暗号化するために使用される鍵を使用して、ＷｉＦｉアクセスを認証し、ＷｉＦｉに対するデータ送信を暗号化する。鍵は単一のセル内の単一のユーザクライアントに対して一意的であり専属的であるので、融合アクセスノードは、インデックスとしてＵＥ識別情報を取り扱うことにより鍵を識別することが可能である。認証手順は以下の態様を含む：
− デュアルモードＵＥは、アクセス要求において、そのデュアルモードＵＥがアタッチするセルの識別情報、およびそのデュアルモードＵＥ自体の識別情報を送出する。識別情報の両方は、モバイルセルラーネットワークのエアインターフェースを介して以前に獲得されている。
− 融合アクセスノードが要求を取得すると、その融合アクセスノードは、要求内のセル識別情報が、その融合アクセスノードがサービス提供するセルと同じものであるならば、応答を返送することになる。応答は、ランダムな形で生成されるチャレンジを含む。
− デュアルモードＵＥは、ＷｉＦｉインターフェースを介して応答を受信し、鍵によってチャレンジを暗号化し、融合アクセスノードに、暗号にされたテキストを返送する。その場合鍵は、元々セルラー無線インターフェースに対するデータまたはシグナリングを暗号化するために使用されるものであり、ここではその鍵は、ＷｉＦｉアクセスを認証し、ＷｉＦｉに対するデータ送信を暗号化するための鍵として役立つ。
− 融合アクセスノードは、暗号テキストを取得し、鍵によって暗号テキストを復号し、その復号された暗号テキストを、以前に送出されたチャレンジテキストのコピーと比較する。両方が同じであるならば、認証は成功し、アクセスノードは、認証成功を指示する応答を返送する。そうでないならば、そのアクセスノードは失敗指示によって返信することになる。その場合、インデックスとしてユーザ識別情報を取り扱うことにより、アクセスノードは、セルラーワイヤレスインターフェースにおいてＵＥにより使用される鍵に対応する鍵、例えば対称鍵、または非対称鍵においての秘密鍵もしくは公開鍵を、暗号テキストを復号するために使用される鍵として取得することが可能である。

ワイヤレスアクセスデバイスにおいての本発明の改良態様によれば、ワイヤレスアクセスデバイスにおいて複数のユーザ機器（ＵＥ）とともに認証を履行する方法が提供され、アクセスデバイスは、第１のワイヤレスアクセスネットワークおよび第２のワイヤレスアクセスネットワークのアクセス機能を一体化し、方法は：
ｉ．第１のワイヤレスアクセスネットワークにアクセスするためのＵＥの暗号鍵を保持するステップと、
ｉｉ．ＵＥから第２のワイヤレスアクセスネットワークにアクセスするアクセス要求を受信するステップと、
ｉｉｉ．暗号鍵に基づいてＵＥとともに認証を履行するステップと
を含む。

この態様では、アクセスデバイスにより安全に取得されている、第１のワイヤレスアクセスネットワークにアクセスするために使用されるＵＥの鍵が、第２のワイヤレスアクセスネットワークにおいてのＵＥのアクセスに対して認証することのために使用され、共有鍵の従来の解決策と比較すると、この態様によって安全性が確実になり、従来の８０２．１ｘ解決策と比較すると、その態様は、鍵を取得するために再度ネゴシエーションする動作を省き、その態様は、鍵サーバおよび他の要素を含む必要がなく、アクセスデバイスおよびＵＥに対するいくつかの機能的な修正を履行するのみである。そしてその態様は、一種の集中型の鍵管理をさらに提供し、そのことによって保守が容易になり得る。

好ましい実施形態によれば、ステップｉｉｉは：
ａ．ＵＥに一意的な暗号鍵を決定するステップと、
ｂ．ＵＥとともに認証を履行するために暗号鍵を使用するステップと
を含む。

この実施形態では、第１のワイヤレスネットワークにアクセスするためのＵＥの暗号鍵は、それぞれ、各々のＵＥに対して異なり、すなわち暗号鍵は一意的である。したがって事前共有暗号鍵解決策と比較すると、その実施形態は、安全性を向上させるとともに、大規模配備に適したものである。

別の好ましい実施形態によれば、アクセス要求は、第１のワイヤレスアクセスネットワークにおいてのＵＥのＵＥ識別情報を含み、ステップａは：
ａ１．アクセス要求からＵＥ識別情報を抽出するステップと、
ａ４．ＵＥ識別情報に基づいて、保持される暗号鍵からＵＥに対応する暗号鍵を探すステップと
を含む。

この実施形態ではそれは、ＵＥ識別情報を使用することによりＵＥを決定し、対応して暗号鍵を決定し、そのことが、暗号鍵を取得するための容易な方法を提供する。

さらなる好ましい実施形態によれば、アクセス要求は、ＵＥがアクセスした第１のワイヤレスアクセスネットワークのネットワーク識別情報を含み、ステップａは：
ａ２．アクセス要求からネットワーク識別情報を抽出するステップと、
ａ３．抽出されたネットワーク識別情報およびＵＥ識別情報に基づいて、ＵＥがアクセスデバイスを介して第１のワイヤレスアクセスネットワークにアクセスしたかどうかを決定し、結果が肯定であるならば、後続の動作を履行するステップと
をさらに含む。

この実施形態では、認証する前にそれは、ＵＥがアクセスデバイスを介して第１のワイヤレスアクセスネットワークにアクセスしたかどうかをさらに決定し、そのことによって、認証する処理のロバスト性が向上する。

好ましい実施形態によれば、第１のワイヤレスアクセスネットワークはワイヤレスモバイルネットワークを備え、第２のワイヤレスアクセスネットワークはワイヤレスローカルカバレッジネットワークを備える。ワイヤレスモバイルネットワークは、２Ｇ、３Ｇ、またはＬＴＥ等のようなセルラーワイヤレスネットワークである。このワイヤレスネットワークに対して使用される暗号鍵は強固な安全性を有し、そのことは、ＵＥがＷｉＦｉなどのワイヤレスローカルカバレッジネットワークのカバレッジ内に移動するときに、ＷｉＦｉネットワークへのアクセスを認証するのに適している。

そのことに応じて、ＵＥにおいての本発明の改良態様に関して、ＵＥにおいて、ワイヤレスアクセスデバイスとともに認証を履行する方法が提供され、ＵＥは、第１のワイヤレスアクセスネットワークおよび第２のワイヤレスアクセスネットワークを介してアクセスデバイスにアクセスすることが可能であり、方法は：
ｉ．第１のワイヤレスアクセスネットワークにアクセスするためのＵＥの暗号鍵を保持するステップと、
ｉｉ．アクセスデバイスに第２のワイヤレスアクセスネットワークにアクセスするアクセス要求を送出するステップと、
ｉｉｉ．暗号鍵に基づいてアクセスデバイスとともに認証を履行するステップと
を含む。

本発明の機器の視点から、１つの態様では、ワイヤレスアクセスデバイスに対して使用される認証デバイスが提供され、アクセスデバイスは、第１のワイヤレスアクセスネットワークおよび第２のワイヤレスアクセスネットワークのアクセス機能を一体化し、認証デバイスは：
− 第１のワイヤレスアクセスネットワークにアクセスするために使用されるＵＥの暗号鍵を保持するために使用される暗号鍵保持ユニットと、
− ＵＥから第２のワイヤレスアクセスネットワークにアクセスするアクセス要求を受信するために使用される受信器と、
− 暗号鍵に基づいてＵＥとともに認証を履行するために使用される認証器と
を備える。

別の態様では、ＵＥに対して使用される認証デバイスが提供され、ＵＥは、第１のワイヤレスアクセスネットワークおよび第２のワイヤレスアクセスネットワークを介してワイヤレスアクセスデバイスにアクセスすることが可能であり、認証デバイスは：
− 第１のワイヤレスアクセスネットワークにアクセスするためのＵＥの暗号鍵を保持するために使用される暗号鍵保持ユニットと、
− アクセスデバイスに第２のワイヤレスアクセスネットワークにアクセスするアクセス要求を送信するために使用される送信器と、
− 暗号鍵に基づいてアクセスデバイスとともに認証を履行するために使用される認証器と
を備える。

以下の図面を参照して非限定的な実施形態の詳細な説明を読むことにより、本発明の他の特徴、目的、および利点がより明らかになろう。

ＷｉＦｉの現在のアクセス処理を示す図である。 ８０２．１ｘに基づく現在のアクセスおよび認証処理を示す図である。 融合ワイヤレスアクセスネットワークの例示的なネットワーク構造を示す図である。 本発明の実施形態によるアクセスおよび認証処理を示す図である。

以下では、実施形態を詳細に説明する。以下では、矛盾しない場合に、本出願の実施形態および実施形態での特徴は相互に組み合され得るということを説明する必要がある。

以下では、本発明の実施形態を与える。図３は、融合ワイヤレスアクセスネットワークの例示的なネットワークアーキテクチャを例示する。デュアルモードＵＥは、ＬＴＥインターフェースおよびＷｉＦｉインターフェースが同時に装備されている。デュアルモードＵＥは、２つのワイヤレスインターフェースを使用して、同時にＩＰサービスフローの通信を履行することが可能である。ＷｉＦｉアクセスポイント機能およびＬＴＥ ｅＮＢ機能の両方が、融合アクセスノードに一体化され、それらの機能は、共通のＩＰおよびバックホールリンクを使用して、モバイルコアネットワークを接続する。実施形態では融合アクセスノードは、両方のワイヤレスインターフェースの情報、例えば鍵情報、ＵＥ識別情報、およびセル識別情報を、管理および共有することが可能である。そのようなオーバーレイヘテロジーニアスネットワークではＬＴＥは、モビリティサポートを伴う完全なカバレッジを提供し、一方でＷｉＦｉは、ワイヤレスアクセスの容量を増強するために使用される。

デュアルモードＵＥが初期化されるとき、そのデュアルモードＵＥは常に、認証および認可を完了するためにセルラーモバイルネットワーク（ＬＴＥネットワーク）にアクセスすることを試行する。セルラーネットワークにアクセスした後、ＵＥおよびアクセスデバイスは、セルラーネットワークのシグナリング鍵またはサービス鍵である、セルラーネットワークにアクセスするための暗号鍵を保持することになる。暗号鍵は対称鍵であってよく、その暗号鍵は１対の非対称鍵であってもよい。その場合、セルラーモバイルネットワークにアクセスするための暗号鍵を取得する方法は、本発明により影響を受けるものではない。セルラーモバイルネットワークの暗号鍵を取得する既存の、または新しく開発された方法の任意のものすべてが、本発明に適用可能である。

移動中にＷｉＦｉ信号を検出するとＵＥは、ＷｉＦｉのアクセス認証を履行することになる。認証に合格した後ＵＥは、ＷｉＦｉを介してアクセスすることが許される。ＷｉＦｉアクセス処理は、図１に示されるものと同様であり、３つの主要な段階、すなわちスキャニング、認証、およびアソシエーションを含む。しかしながら図４に例示される認証手順は、既存の技術とは著しく異なる。

最初にＵＥは、アクセスノードに認証要求を送出する。認証要求メッセージは、ＵＥ識別情報、および、そのＵＥがセルラーネットワークインターフェースを介して現在アタッチするセル識別情報を含む。詳細な実施形態ではＵＥ識別情報は、セル内で一意的なＵＥ識別情報を提供するＣ−ＲＮＴＩ（セル無線ネットワーク一時識別子）であり得る。詳細な実施形態ではセル識別情報は、地球範囲でセルを識別するために使用されるＥＣＧＩ（ＥＵＴＲＡＮセルグローバル識別情報）であり得る。その識別情報は、セルラーネットワーク内のセルラーシステム情報としてＵＥにブロードキャストされる。すべてのＵＥは、セルラーワイヤレスインターフェースを介してその識別情報を得ることが可能である。

セル識別情報をチェックすることによりアクセスノードは、認証要求を送出するＵＥが、現在考慮中のセルにアタッチされているかどうかを決定することが可能である。そしてアクセスノードは、ＵＥ識別情報によって、ＵＥが、セルにアタッチされているＵＥの１つであるかどうかを決定する。ただし２つの決定の両方とも、本発明の基本的な履行に関して不可欠であるわけではないということが理解されるべきである。

次に、融合アクセスノードが、受信された認証要求メッセージ内のセル識別情報が、その融合アクセスノードがサービス提供するセルのものと同じであり、要求メッセージ内のＵＥ識別情報が、アタッチされている状態にあるＵＥを指示するということを確認するならば、融合アクセスノードは認証応答を返送することが可能である。応答は、好ましくはランダムな形で生成されるチャレンジテキストを含む。

次に、ＵＥがＷｉＦｉインターフェースによって認証応答を受信すると、そのＵＥは、チャレンジテキストを新しい認証メッセージ内にコピーし、それを、セルラーワイヤレスネットワーク（ＬＴＥ）の保持されている鍵によって暗号化することになる。セルラーワイヤレスネットワーク層では、ＵＥおよびセルラー基地局の両方が共通の暗号化された暗号鍵を保有し、その暗号鍵は、ＵＥとセルラー基地局との間のＬＴＥユーザデータまたはシグナリングを暗号化するために一意的に使用される。通常、暗号化された暗号鍵は、３ＧＰＰ規格の暗号鍵確立機構によって取得される。暗号鍵は、セルラーワイヤレスネットワーク層において専用であり一意的であり、データ送信をセキュアにするために使用されるものであり、一方で既存のＷｉＦｉでは、すべての接続されるＷｉＦｉクライアントは、データ送信を暗号化するための同じ暗号鍵を保有するので、この実施形態での暗号鍵は、ＷｉＦｉ（ＷＬＡＮ）での既存の事前共有鍵よりセキュアである。

融合アクセスノードは、認証メッセージを得て、暗号鍵によってチャレンジテキストを復号する。セルラーネットワークにアクセスするための対称暗号鍵を使用する場合では、アクセスノードおよびＵＥにより使用される暗号鍵は同じであり、非対称暗号鍵の場合では、アクセスノードおよびＵＥは、マッチングした公開鍵および秘密鍵を使用するということが理解され得る。

最後に融合アクセスノードは、復号された結果、および元々送出されたチャレンジテキストを比較する。復号された結果が元々送出されたチャレンジテキストと同じであるならば、融合アクセスノードは、認証成功を決定し、認証成功を指示するためにＵＥに認証応答を送出する。そうでないならば融合アクセスノードは、認証不成功の指示によって返信することになる。

上記の方法に対応して、機器の視点から、ワイヤレスアクセスデバイスに対して使用される認証デバイスが提供され、アクセスデバイスは、第１のワイヤレスアクセスネットワークおよび第２のワイヤレスアクセスネットワークのアクセス機能を一体化し、認証デバイスは：
− 第１のワイヤレスアクセスネットワークにアクセスするためのＵＥの暗号鍵を保持するために使用される暗号鍵保持ユニットと、
− ＵＥから第２のワイヤレスアクセスネットワークにアクセスするアクセス要求を受信するために使用される受信器と、
− 暗号鍵に基づいてＵＥとともに認証を履行するために使用される認証器と
を備える。

その場合暗号鍵保持ユニットは、暗号鍵データベースにより実現され得るものであり、受信器は、物理的なＷｉＦｉアンテナおよび論理的なＷｉＦｉプロトコルスタックを備え、認証器は、ＣＰＵ、ＷｉＦｉアンテナ、およびＷｉＦｉプロトコルスタックにより実現され得るものであり、ＵＥがアクセスデバイスを通してセルにアタッチするかどうかの決定を実現することが可能であり、詳細な認証処理、すなわち、チャレンジを生成および送出すること、ＵＥにより暗号化されたチャレンジを受信および復号すること、ならびに２つのチャレンジが一致しているかどうかを決定すること、ならびに認証応答を送出することを実現することが可能である。

同様に本発明は、ＵＥに対して使用される認証デバイスをさらに提供し、ＵＥは、第１のワイヤレスアクセスネットワークおよび第２のワイヤレスアクセスネットワークを介してワイヤレスアクセスデバイスにアクセスすることが可能であり、認証デバイスは：
− 第１のワイヤレスアクセスネットワークにアクセスするためのＵＥの暗号鍵を保持するために使用される暗号鍵保持ユニットと、
− アクセスデバイスに第２のワイヤレスアクセスネットワークにアクセスするアクセス要求を送信するために使用される送信器と、
− 暗号鍵に基づいてアクセスデバイスとともに認証を履行するために使用される認証器と
を備える。

その場合暗号鍵保持ユニットは、暗号鍵データベースにより実現され得るものであり、受信器は、物理的なＷｉＦｉアンテナおよび論理的なＷｉＦｉプロトコルスタックを備え、認証器は、ＣＰＵ、ＷｉＦｉアンテナ、およびＷｉＦｉプロトコルスタックにより実現され得るものであり、詳細な認証処理、すなわち、チャレンジを受信すること、チャレンジを暗号化および送出すること、認証応答を受信することを実現することが可能である。

確実に、本発明の他の様々な実施形態が存在する。例えば上記では、第１および第２のワイヤレスアクセスネットワークを、それぞれ例として、ＬＴＥネットワークおよびＷｉＦｉネットワークを取り上げることにより明確にしている。第１および第２のワイヤレスアクセスネットワークは限定されず、第１のワイヤレスアクセスネットワークは３Ｇネットワークであり得るということが理解され得る。本発明の趣旨および本質から逸脱することなく、当業者であれば、本発明に対してすべての種類の対応する変更および修正を行うことが可能であり、一方で対応する変更および修正は、本発明に付属される特許請求の範囲の保護範囲に属するべきものである。

Claims (15)

1. ワイヤレスアクセスデバイスにおいて複数のユーザ機器（ＵＥ）とともに認証を履行する方法であって、アクセスデバイスが、第１のワイヤレスアクセスネットワークおよび第２のワイヤレスアクセスネットワークのアクセス機能を一体化し、方法が、
   ｉ．第１のワイヤレスアクセスネットワークにアクセスするためのＵＥの暗号鍵を保持するステップと、
   ｉｉ．ＵＥから第２のワイヤレスアクセスネットワークにアクセスするアクセス要求を受信するステップと、
   ｉｉｉ．暗号鍵に基づいてＵＥとともに認証を履行するステップと
   を含む、方法。
2. ステップｉｉｉが、
   ａ．ＵＥに関して一意的である暗号鍵を決定するステップと、
   ｂ．ＵＥとともに認証を履行するために暗号鍵を使用するステップと
   を含む、請求項１に記載の方法。
3. アクセス要求が、第１のワイヤレスアクセスネットワークにおいてのＵＥのＵＥ識別情報を含み、ステップａが、
   ａ１．アクセス要求からＵＥ識別情報を抽出するステップと、
   ａ４．ＵＥ識別情報に基づいて、保持される暗号鍵からＵＥに対応する暗号鍵を探すステップと
   を含む、請求項１に記載の方法。
4. アクセス要求が、ＵＥがアクセスした第１のワイヤレスアクセスネットワークのネットワーク識別情報を含み、ステップａが、
   ａ１．アクセス要求からネットワーク識別情報を抽出するステップと、
   ａ３．抽出されたネットワーク識別情報およびＵＥ識別情報に基づいて、ＵＥがアクセスデバイスを介して第１のワイヤレスアクセスネットワークにアクセスしたかどうかを決定し、結果が肯定であるならば、後続の動作を履行するステップと
   をさらに含む、請求項３に記載の方法。
5. ステップｂが、
   − ランダムにチャレンジ情報を生成するステップと、
   − ＵＥにチャレンジ情報を送出するステップと、
   − ＵＥから暗号化されたチャレンジ情報を受信するステップと、
   − 暗号鍵を使用することにより、暗号化されたチャレンジ情報を復号するステップと、
   − 復号の結果、および送出されたチャレンジ情報を比較し、両方が整合しているときにＵＥの成功認証を決定するステップと、
   − ＵＥに関しての成功認証を指示する認証応答メッセージを送出するステップと
   を含む、請求項１に記載の方法。
6. 第１のワイヤレスアクセスネットワークがワイヤレスモバイルネットワークを備え、第２のワイヤレスアクセスネットワークがワイヤレスローカルカバレッジネットワークを備える、請求項１に記載の方法。
7. ＵＥにおいて、ワイヤレスアクセスデバイスとともに認証を履行する方法であって、ＵＥが、第１のワイヤレスアクセスネットワークおよび第２のワイヤレスアクセスネットワークを介してアクセスデバイスにアクセスすることが可能であり、方法が、
   ｉ．第１のワイヤレスアクセスネットワークにアクセスするためのＵＥの暗号鍵を保持するステップと、
   ｉｉ．アクセスデバイスに第２のワイヤレスアクセスネットワークにアクセスするアクセス要求を送出するステップと、
   ｉｉｉ．暗号鍵に基づいてアクセスデバイスとともに認証を履行するステップと
   を含む、方法。
8. ステップｉｉが、
   − アクセス要求において、アクセスデバイスに、第１のワイヤレスアクセスネットワークにおいてのＵＥのＵＥ識別情報を送出するステップ
   を含む、請求項７に記載の方法。
9. ステップｉｉが、
   − アクセス要求において、アクセスデバイスに、ＵＥがアクセスした第１のワイヤレスアクセスネットワークのネットワーク識別情報を送出するステップ
   をさらに含む、請求項８に記載の方法。
10. ステップｉｉｉが、
    − アクセスデバイスからチャレンジ情報を受信するステップと、
    − ＵＥに関して一意的である暗号鍵を使用することによりチャレンジ情報を暗号化するステップと、
    − アクセスデバイスに暗号化されたチャレンジ情報を返送するステップと、
    − アクセスデバイスから成功認証を指示する認証応答メッセージを受信するステップと
    を含む、請求項７に記載の方法。
11. 第１のワイヤレスアクセスネットワークがワイヤレスモバイルネットワークを備え、第２のワイヤレスアクセスネットワークがワイヤレスローカルカバレッジネットワークを備える、請求項７に記載の方法。
12. ワイヤレスアクセスデバイスに対して使用される認証デバイスであって、アクセスデバイスが、第１のワイヤレスアクセスネットワークおよび第２のワイヤレスアクセスネットワークのアクセス機能を一体化し、認証デバイスが、
    − 第１のワイヤレスアクセスネットワークにアクセスするための複数のユーザ機器（ＵＥ）の暗号鍵を保持するために使用される暗号鍵保持ユニットと、
    − ＵＥから第２のワイヤレスアクセスネットワークにアクセスするアクセス要求を受信するために使用される受信器と、
    − 暗号鍵に基づいてＵＥとともに認証を履行するために使用される認証器と
    を備える、認証デバイス。
13. 第１のワイヤレスアクセスネットワークがワイヤレスモバイルネットワークを備え、第２のワイヤレスアクセスネットワークがワイヤレスローカルカバレッジネットワークを備える、請求項１２に記載の認証デバイス。
14. ユーザ機器（ＵＥ）に対して使用される認証デバイスであって、ＵＥが、第１のワイヤレスアクセスネットワークおよび第２のワイヤレスアクセスネットワークを介してワイヤレスアクセスデバイスにアクセスすることが可能であり、認証デバイスが、
    − 第１のワイヤレスアクセスネットワークにアクセスするためのＵＥの暗号鍵を保持するために使用される暗号鍵保持ユニットと、
    − アクセスデバイスに第２のワイヤレスアクセスネットワークにアクセスするアクセス要求を送信するために使用される送信器と、
    − 暗号鍵に基づいてアクセスデバイスとともに認証を履行するために使用される認証器と
    を備える、認証デバイス。
15. 第１のワイヤレスアクセスネットワークがワイヤレスモバイルネットワークを備え、第２のワイヤレスアクセスネットワークがワイヤレスローカルカバレッジネットワークを備える、請求項１４に記載の認証デバイス。

Images