JP2016054500A - ネットワーク支援の不正検出装置及び方法 - Google Patents

Abstract

【課題】不正な機器の動作を検出するための方法、装置及びモバイルデバイスを提供する。
【解決手段】機器は、ユーザアクセス制御クライアントを発行され、このアクセス制御クライアントは、ネットワーク及びアクセス制御クライアント内部にセキュアに記憶される共有シークレットと、一意的に関連付けられる。アクセス制御クライアントをアクティブ化又は非アクティブ化するための後続の取り組みは、この共有シークレットの検証を必要とする。各状態変化は、共有シークレットへの変更を含む。適切な共有シークレットを有さない状態への変化に関するリクエストは、無視され、かつ／又は不正であるとしてフラグが立てられる。
【選択図】図３

Description

［優先権］
本出願は、２０１２年２月７日に出願され「ＮＥＴＷＯＲＫ ＡＳＳＩＳＴＥＤ ＦＲＡＵＤ ＤＥＴＥＣＴＩＯＮ ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤＳ」と題された米国仮特許出願第６１／５９６，００７号に対する優先権を主張する、２０１３年２月７日に本明細書と同時に出願され「ＮＥＴＷＯＲＫ ＡＳＳＩＳＴＥＤ ＦＲＡＵＤ ＤＥＴＥＣＴＩＯＮ ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤＳ」と題された、共有の同時係属中の米国特許出願第１３／７６２，０７４号に対する優先権を主張得るものであり、上記のそれぞれは、その全体が参照により本明細書に組み込まれる。

［関連出願］
本出願は、共有の同時係属中の、２０１１年４月２５日に出願され「ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＳＴＯＲＩＮＧ ＥＬＥＣＴＲＯＮＩＣ ＡＣＣＥＳＳ ＣＬＩＥＮＴＳ」と題された、米国特許出願第１３／０９３，７２２号、２０１１年４月５日に出願され「ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＣＯＮＴＲＯＬＬＩＮＧ ＤＩＳＴＲＩＢＵＴＩＯＮ ＯＦ ＥＬＥＣＴＲＯＮＩＣ ＡＣＣＥＳＳ ＣＬＩＥＮＴＳ」と題された同第１３／０８０，５５８号、２０１０年１１月２２日に出願され「ＭＥＴＨＯＤＳ ＦＯＲ ＰＲＯＶＩＳＩＯＮＩＮＧ ＳＵＢＳＣＲＩＢＥＲ ＩＤＥＮＴＩＴＹ ＤＡＴＡ ＩＮ Ａ ＷＩＲＥＬＥＳＳ ＮＥＴＷＯＲＫ」と題された同第１２／９５２，０８９号、２０１１年７月１４日に出願され「ＶＩＲＴＵＡＬ ＳＵＢＳＣＲＩＢＥＲ ＩＤＥＮＴＩＴＹ ＭＯＤＵＬＥ ＤＩＳＴＲＩＢＵＴＩＯＮ ＳＹＳＴＥＭ」と題された同第１３／１８３，０２３号、２０１１年５月１７日に出願され「ＭＥＴＨＯＤＳ ＡＮＤ ＡＰＰＡＲＡＴＵＳ ＦＯＲ ＡＣＣＥＳＳ ＣＯＮＴＲＯＬ ＣＬＩＥＮＴ ＡＳＳＩＳＴＥＤ ＲＯＡＭＩＮＧ」と題された同第１３／１０９，８５１号、２０１１年４月４日に出願され「ＭＡＮＡＧＥＭＥＮＴ ＳＹＳＴＥＭＳ ＦＯＲ ＭＵＬＴＩＰＬＥ ＡＣＣＥＳＳ ＣＯＮＴＲＯＬ ＥＮＴＩＴＩＥＳ」と題された同第１３／０７９，６１４号、２０１１年５月１９日に出願され「ＭＥＴＨＯＤＳ ＡＮＤ ＡＰＰＡＲＡＴＵＳ ＦＯＲ ＤＥＬＩＶＥＲＩＮＧ ＥＬＥＣＴＲＯＮＩＣ ＩＤＥＮＴＩＦＩＣＡＴＩＯＮ ＣＯＭＰＯＮＥＮＴＳ ＯＶＥＲ Ａ ＷＩＲＥＬＥＳＳ ＮＥＴＷＯＲＫ」と題された同第１３／１１１，８０１号、２０１１年４月５日に出願され「ＭＥＴＨＯＤＳ ＡＮＤ ＡＰＰＡＲＡＴＵＳ ＦＯＲ ＳＴＯＲＡＧＥ ＡＮＤ ＥＸＥＣＵＴＩＯＮ ＯＦ ＡＣＣＥＳＳ ＣＯＮＴＲＯＬ ＣＬＩＥＮＴＳ」と題された同第１３／０８０，５２１号、２０１１年４月１日に出願され「ＡＣＣＥＳＳ ＤＡＴＡ ＰＲＯＶＩＳＩＯＮＩＮＧ ＳＥＲＶＩＣＥ」と題された同第１３／０７８，８１１号、２０１１年１１月２日に出願され「ＭＥＴＨＯＤＳ ＡＮＤ ＡＰＰＡＲＡＴＵＳ ＦＯＲ ＡＣＣＥＳＳ ＤＡＴＡ ＲＥＣＯＶＥＲＹ ＦＲＯＭ Ａ ＭＡＬＦＵＮＣＴＩＯＮＩＮＧ ＤＥＶＩＣＥ」と題された同第１３／２８７，８７４号、２０１１年４月５日に出願され「ＳＩＭＵＬＡＣＲＵＭ ＯＦ ＰＨＹＳＩＣＡＬ ＳＥＣＵＲＩＴＹ ＤＥＶＩＣＥ ＡＮＤ ＭＥＴＨＯＤＳ」と題された同第１３／０８０，５３３号、及び２０１１年１１月１１日に出願され「ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＲＥＣＯＲＤＡＴＩＯＮ ＯＦ ＤＥＶＩＣＥ ＨＩＳＴＯＲＹ ＡＣＲＯＳＳ ＭＵＬＴＩＰＬＥ ＳＯＦＴＷＡＲＥ ＥＭＵＬＡＴＩＯＮ」と題された同第１３／２９４，６３１号、２０１０年１１月２２日に出願され「ＷＩＲＥＬＥＳＳ ＮＥＴＷＯＲＫ ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤＳ」と題された同第１２／９５２，０８２号、２０１０年１１月２２日に出願され「ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＰＲＯＶＩＳＩＯＮＩＮＧ ＳＵＢＳＣＲＩＢＥＲ ＩＤＥＮＴＩＴＹ ＤＡＴＡ ＩＮ Ａ ＷＩＲＥＬＥＳＳ ＮＥＴＷＯＲＫ」と題された同第１２／９５２，０８９号、及び２００９年１月１３日に出願され「ＰＯＳＴＰＯＮＥＤ ＣＡＲＲＩＥＲ ＣＯＮＦＩＧＵＲＡＴＩＯＮ」と題された同第１２／３５３，２２７号（現在、米国特許公開第２００９／０１８１６６２号として公開）に関連するものであり、上記のそれぞれは、その全体が参照により本明細書に組み込まれる。

１．技術分野
本開示は、概して、通信システムの分野に関し、より詳細には、例示的一態様では、ユーザ機器が、アクセス制御クライアントを使用して、無線ネットワーク（例えば、セルラーネットワーク、ＷＬＡＮ、ＷＭＡＮなど）に対して認証することを可能にする、無線システムに関する。

２．関連技術の説明
殆どの従来技術の無線通信システムでは、セキュアな通信のためにアクセス制御が必要とされる。例として、１つの単純なアクセス制御スキームは、（ｉ）通信当事者のアイデンティティを検証すること、及び（ｉｉ）検証されたアイデンティティに相応のアクセスのレベルを認可することを含み得る。例示的なセルラーシステム（例えば、ユニバーサル移動体通信システム（ＵＭＴＳ））のコンテキストの範囲内では、アクセス制御は、例示的なＵＭＴＳのコンテキストではユニバーサル加入者識別モジュール（ＵＳＩＭ）と称され、物理的ユニバーサル集積回路カード（ＵＩＣＣ）上で実行される、アクセス制御クライアントによって統御される。ＵＳＩＭは、ＵＭＴＳセルラーネットワークへの加入者を認証する。認証の成功の後に、加入者は、そのセルラーネットワークへのアクセスを許可される。

ＵＳＩＭソフトウェアの一般的な実装は、Ｊａｖａ Ｃａｒｄ（商標）プログラミング言語に基づく。Ｊａｖａ Ｃａｒｄは、（上述のＵＩＣＣなどの）内蔵型「カード」タイプの装置用に修正されたＪａｖａ（商標）プログラミング言語のサブセットである。従来、ＵＳＩＭは、適用可能なデータ及びプログラムを検証し解読することにより、セキュアな初期化を保証する、周知の認証及びキー合意（ＡＫＡ）手順を実行している。具体的には、ＵＳＩＭは、（ｉ）リモートチャレンジへの応答に成功して、そのアイデンティティをネットワークオペレータに証明することと、（ｉｉ）ネットワークのアイデンティティを検証するためのチャレンジを発行することの両方をしなければならない。ＵＳＩＭベースのアクセス制御は、一度に単一の移動体通信事業者（ＭＮＯ）のみに限定される。

既存のＵＳＩＭ解決策は、物理的ＵＩＣＣカード媒体にハードコードされており、加入者は、ＵＳＩＭ動作を変更するために、新たなＵＩＣＣを必要とする。このことは、ＭＮＯ及び加入者の双方にとって不利益となる場合があり、例えば、認証手順が（例えば、悪質な「ハッキング」又は他のそのようなアクティビティを介して）「破られる」場合には、加入者には、新たなＵＩＣＣを発行しなければならず、このプロセスは時間を要し、かつ高価である。

更には、様々な実際的考慮事項により、各物理的ＵＩＣＣは、単一のＵＳＩＭエンティティのみをサポートするように制限され、既存の解決策は、同じＵＩＣＣ内部で複数のＵＳＩＭプロファイルを処理するためには好適ではない。

少なくとも上述の理由のために、物理的ハードウェアに依存しないセキュリティのための、改善された解決策が必要とされる。理想的には、そのような解決策は、物理的ＵＩＣＣを使用することなく動作するが、その物理的均等物と同等レベルの不正抑止をなおももたらすものであり、その能力の柔軟性により、種々のＳＩＭプロファイルを処理するものである。

本開示は、とりわけ、ユーザ機器が、アクセス制御クライアントを使用して、無線ネットワーク（例えば、セルラーネットワーク、ＷＬＡＮ、ＷＭＡＮなど）に対して認証するための、装置及び方法を提供することによって、上述の必要性に対処する。

不正プロトコルを実行する方法が開示される。一実施形態では、この方法は、例えばアクティブ化に関するリクエストの受信に対応して、そのリクエストから１つ以上のデータを抽出することであって、その抽出される１つ以上のデータが、第１のアクティブ化状態に相当する、抽出することと、この第１のアクティブ化状態に少なくとも部分的に基づいて、それらの１つ以上のデータを検証することと、それらの１つ以上のデータの検証の失敗に応じて、不正プロトコルを実行することとを含む。

不正検出プロトコルの実行に有用なアプライアンス装置もまた開示される。一実施形態では、このアプライアンス装置は、プロセッサと、複数のアクセス制御クライアントのうちの各対応するアクセス制御クライアントに関するアクティブ化状態情報を記憶するように構成された、状態データベースと、少なくとも１つのコンピュータプログラムが記憶されている永続的記憶媒体を有する、コンピュータ可読装置とを含む。

一変形形態では、この少なくとも１つのコンピュータプログラムは、プロセッサ上で実行されると、このアプライアンス装置に、モバイル機器からのアクセス制御クライアントリクエストを受信させ、このアクセス制御クライアントリクエストが、少なくともアクティブ化状態情報を含み、状態データベースからの、リクエストされたアクセス制御クライアントに相当する現在の状態情報の取得を引き起こさせ、少なくともアクティブ化状態情報と取得された現在の状態情報との比較によって、リクエストの妥当性を検証させ、リクエストが無効であると判定される場合に、不正プロトコルを実施させるように構成される。

永続的コンピュータ可読媒体が、更に開示される。一実施形態では、このコンピュータ可読媒体は、不正な機器のアクティブ化を検出するための複数の命令を含み、それらの複数の命令は、実行されると、ネットワークエンティティに、モバイル機器からのアクセス制御クライアントリクエストを受信させ、このリクエストが、少なくともアクセス制御クライアントの状態情報、及びモバイル機器の秘密キーを含み、少なくとも状態情報が、そのアクセス制御クライアントに関する期待状態に相当するか否か、及び秘密キーが有効であるか否かを判定させ、（ｉ）状態情報が、期待状態に相当しない場合、及び／又は（ｉｉ）秘密キーが無効である場合に、そのアクセス制御クライアントに関する不正プロトコルを実施させる。

別の実施形態では、このコンピュータ可読媒体は、不正な機器のアクティブ化を検出するための複数の命令を含み、それらの複数の命令は、実行されると、モバイル機器に、アクティブ化サービスに対してアクセス制御クライアントリクエストを送信させ、このリクエストが、少なくともアクセス制御クライアントの現在のアクティブ化ステータスを含み、アクティブ化サービスからのメッセージを受信させ、このメッセージが、リクエストの妥当性を示すように構成され、リクエストが無効であることをメッセージが示す場合に、少なくともアクセス制御クライアントに対して不正手順を実施させる。

不正な機器のアクティブ化を検出するための方法もまた開示される。一実施形態では、この方法は、アクセス制御クライアントに関するリクエストを送信することと、そのアクセス制御クライアントリクエストの、アクセス制御クライアントに関連付けられた情報を受信することと、受信された情報を検証することと、この受信された情報の検証の際、アクセス制御クライアントに関するリクエストに関連付けられたアクションを実行することとを含む。

不正検出プロトコルの実行のために構成されたモバイル機器が、更に開示される。一実施形態では、このモバイル機器は、プロセッサと、１つ以上のアクセス制御クライアントを記憶するように構成されたセキュア要素と、プロセッサとデータ通信する少なくとも１つの無線インターフェースと、少なくとも１つのコンピュータプログラムが記憶されている永続的記憶媒体を有する、コンピュータ可読装置とを含む。

一変形形態では、この少なくとも１つのコンピュータプログラムは、プロセッサ上で実行されると、このモバイル機器に、アクセス制御クライアントに関連するリクエストを送信させ、このリクエストが、少なくとも、そのアクセス制御クライアントのアクティブ化ステータスに関連する情報を含み、そのリクエストの判定された妥当性を示す応答を受信させ、その応答が無効なリクエストを示す場合に、不正プロトコルを実行させるように構成される。

不正検出プロトコルを実行するように構成されたネットワークアーキテクチャもまた開示される。

モバイル機器上で使用するためのアクセス制御クライアントが、更に開示される。

本開示の他の特徴及び利点は、添付図面、及び以下に記載されるような例示的実施形態の詳細な説明を参照することで、当業者によって即座に認識されるであろう。

従来技術のユニバーサル加入者識別モジュール（ＵＳＩＭ）を使用する、例示的な認証及びキー合意（ＡＫＡ）手順を示す。 アクセス制御クライアントを配布するために使用される、１つの例示的なネットワークアーキテクチャのブロック図である。 本開示による不正検出プロトコルを実行するための一般化された方法の一実施形態を示す論理フロー図である。 図本開示による不正検出プロトコルの実行のために有用なネットワークアーキテクチャの一実施形態を示すブロック図である。 本開示による、１つ以上のアクセス制御クライアントを記憶するように適合されたｅＵＩＣＣアプライアンスの一実施形態を示すブロック図である。 本開示による、１つ以上のアクセス制御クライアントを記憶及び使用するように適合されたモバイル機器の一実施形態を示すブロック図である。

全ての図は、２０１２年に作成され、２０１３年に最終更新されたものであり、その全ての著作権はＡｐｐｌｅ Ｉｎｃ．が保持している。

ここで図面を参照するが、全体を通して、同様の番号は同様の部分を指す。

概要
一態様では、本開示は、不正な機器の動作を検出するための方法及び装置を提供する。例示的一実施形態では、機器（無線モバイル機器など）は、ユーザアクセス制御クライアントを発行され、このアクセス制御クライアントは、ネットワーク及びアクセス制御クライアント内部にセキュアに記憶される共有シークレットと、一意的に関連付けられる。アクセス制御クライアントをアクティブ化又は非アクティブ化するための後続の取り組みは、この共有シークレットの検証を必要とする。一変形形態では、各状態変化（例えば、アクティブ化、非アクティブ化など）は、共有シークレットへの変更を含む。以降でより詳細に説明されるように、共有シークレットの排他的特性は、ユーザが、一度に１つのみのアクセス制御クライアントをアクティブにさせることが可能であることを保証する。したがって、適切な共有シークレットを有さない状態への変化に関するリクエストは、無視され、不正であるとしてフラグが立てられ、かつ／又は、その機器の部分的若しくは全体的な無効化を引き起こすことにさえもなる。

本開示の例示的一実装形態では、ユーザは、アクセスクライアント（例えば、電子加入者識別モジュール（ｅＳＩＭ））を発行され、このｅＳＩＭは、状態（例えば、アクティブ、非アクティブ）と、例えば許可センターなどに記憶される隠れ同期変数とに関連付けられる。ユーザは、１つ以上のユーザ機器（ＵＥ）を有し、このユーザ機器は、仮想化された電子ユニバーサル集積回路カード（ｅＵＩＣＣ）を備えており、ｅＳＩＭを受信及び記憶するように構成される。ユーザは、ネットワークアプライアンス（例えば、ＳＩＭプロビジョニングサービス（ＳＰＳ）、ピア機器など）から、発行されたｅＳＩＭを取得して、そのｅＳＩＭをアクティブ化することにより、通常動作に関してＵＥを有効にすることができる。許可センターは、最新の同期変数を有するアクティブ化リクエストのみが、更に処理又は認可されるように、構成される。

例示的実施形態の詳細な説明
本開示の例示的実施形態を、ここで詳細に説明する。これらの実施形態は、ＧＳＭ、ＧＰＲＳ／ＥＤＧＥ、ＵＭＴＳセルラーネットワークの加入者識別モジュール（ＳＩＭ）のコンテキストで主に論じられるが、当業者には、本開示がそのように限定されるものではないことが、認識されるであろう。実際に、本開示の様々な態様は、不正なネットワークトランザクションを検出することによって恩恵を受けることができる、（セルラーであれ、又は他の方式であれ）あらゆるネットワークで有用である。

従来技術の加入者識別モジュール（ＳＩＭ）の動作−
例示的な従来技術のＵＭＴＳセルラーネットワークのコンテキストの範囲内では、ユーザ機器（ＵＥ）は、モバイル機器及びユニバーサル加入者識別モジュール（ＵＳＩＭ）を含む。ＵＳＩＭは、物理的ユニバーサル集積回路カード（ＵＩＣＣ）に記憶され、そのＵＩＣＣから実行される、論理ソフトウェアエンティティである。加入者情報、並びに無線ネットワークサービスを取得するためにネットワークオペレータとの認証に使用されるキー及びアルゴリズムなどの、様々な情報が、ＵＳＩＭ内に記憶される。このＵＳＩＭソフトウェアは、Ｊａｖａ Ｃａｒｄ（商標）プログラミング言語に基づくものである。Ｊａｖａ Ｃａｒｄは、（上述のＵＩＣＣなどの）内蔵型「カード」タイプの装置用に修正されたＪａｖａ（商標）プログラミング言語のサブセットである。

一般的に、ＵＩＣＣは、加入者配布の前にＵＳＩＭでプログラムされ、この事前プログラミング又は「個人化」は、各ネットワークオペレータに特有のものである。例えば、配備の前に、ＵＳＩＭは、国際移動電話加入者識別番号（ＩＭＳＩ）、固有の集積回路カード識別子（ＩＣＣ−ＩＤ）、及び特定の認証キー（Ｋ）に関連付けられる。ネットワークオペレータは、ネットワークの認証センター（ＡｕＣ）内に収容されたレジストリ内に、その関連性を記憶する。個人化の後、加入者にそのＵＩＣＣを配布することができる。

ここで図１を参照すると、上述の従来技術のＵＳＩＭを使用する、１つの例示的な認証及びキー合意（ＡＫＡ）手順が、詳細に示される。通常の認証手順の間に、ＵＥは、ＵＳＩＭから国際移動電話加入者識別番号（ＩＭＳＩ）を取得する。ＵＥは、ネットワークオペレータのサービス提供ネットワーク（ＳＮ）又は訪問先コアネットワークにこのＩＭＳＩを渡す。ＳＮは、ホームネットワーク（ＨＮ）のＡｕＣにその認証リクエストを転送する。ＨＮは、受信されたＩＭＳＩをＡｕＣのレジストリと比較して、適切なＫを取得する。ＨＮは、乱数（ＲＡＮＤ）を生成し、期待応答（ＸＲＥＳ）を作成するためのアルゴリズムを使用してその乱数にＫで署名する。ＨＮは、様々なアルゴリズムを使用して、暗号化及び完全性保護に使用するための、暗号キー（ＣＫ）及び完全性キー（ＩＫ）、並びに認証トークン（ＡＵＴＮ）を更に生成する。ＨＮは、ＲＡＮＤ、ＸＲＥＳ、ＣＫ、及びＡＵＴＮからなる認証ベクトルをＳＮに送信する。ＳＮは、ワンタイム認証プロセスで使用するためにのみ、この認証ベクトルを記憶する。ＳＮは、ＲＡＮＤ及びＡＵＴＮをＵＥに渡す。

ＵＥが、ＲＡＮＤ及びＡＵＴＮを受信すると、ＵＳＩＭは、受信されたＡＵＴＮが有効であるか否かを検証する。有効である場合には、ＵＥは、受信されたＲＡＮＤを使用して、記憶されているＫ、及びＸＲＥＳを生成した同じアルゴリズムを使用することで、それ自体の応答（ＲＥＳ）を計算する。ＵＥは、そのＲＥＳをＳＮに返送する。ＳＮは、ＸＲＥＳと受信されたＲＥＳとを比較して、それらが一致する場合には、ＳＮは、そのＵＥがオペレータの無線ネットワークサービスを利用することを許可する。

上述の図１の手順は、従来技術のＳＩＭカードの物理的媒体内部で具体化される。従来技術のＳＩＭカードは、少なくとも２つの明確かつ望ましい特性を有するものであり、すなわち、（ｉ）ＳＩＭカードは、ＳＩＭデータ（例えば、アカウント情報、暗号化キーなど）に関する、暗号学によってセキュリティ保護された物理記憶を提供し、（ｉｉ）ＳＩＭカードは、容易に模造することができない。

従来技術のＳＩＭカードは、ユニバーサル集積回路カード（ＵＩＣＣ）内に形成された、プロセッサ及びメモリを含む。ＳＩＭカードは、ＵＩＣＣ上のデータ信号の外部探査を防止するために、エポキシ樹脂で充填することができる。所望に応じて、他の改竄防止構造（例えば、遮蔽層、マスキング層など）をＵＩＣＣ内に含めることができる。ＳＩＭカードは、プロセッサへのセキュアなインターフェースを有し、プロセッサは、メモリへの内部インターフェースを有する。ＵＩＣＣは、外部装置から電力を受け取り、これによりプロセッサは、メモリ構成要素からのコードを実行することが可能となる。メモリ構成要素自体には、直接アクセス可能ではなく（すなわち、内部ファイルシステムは、ユーザから隠されている）、プロセッサを介してアクセスしなければならない。

通常動作の間、プロセッサは、限られた数のコマンドを受け付ける。各コマンドは、条件付きでアクセス可能であるに過ぎない。無断アクセスを防止するために、コマンドの実行に対してアクセス条件が制約される。アクセス条件は、階層的な場合もあれば、そうではない場合もあり、例えば、１つのレベル又は領域又は機能に関する許可が、別のレベル又は領域又は機能に関する許可を自動的に認可しない場合がある。例えば、アクセス条件の１つのセットは、（ｉ）常にアクセス可能、（ｉｉ）常にアクセス不能、（ｉｉｉ）第１のアカウントにアクセス可能、（ｉｖ）第２のアカウントにアクセス可能、などを含み得る。条件付きアクセスは、適切なセキュリティプロトコルの完了が成功した後にのみ認可される。アイデンティティを検証するための一般的な方法としては、パスワード又は個人識別番号（ＰＩＮ）、共有シークレットのチャレンジなどを挙げることができる。

条件付きアクセス、限定されたコマンドのセット、及び保護されたメモリ空間の使用は、ＳＩＭカード内部に記憶された情報が、外部アクセスからセキュアであることを保証する。ＳＩＭカードを模造することは、物理的カードの構築、並びに内部ファイルシステム及びデータの構築を必然的に伴うものである。これらの特徴の組み合わせにより、物理的ＳＩＭカードは、実際的な偽造の試みに大いに耐え得るものとなる。

しかしながら、ＵＩＣＣの物理的性質はまた、幾つかの欠点も有する。例えば、ＵＩＣＣの物理的カードのフォームファクタは、ＵＩＣＣ動作を読み取るためのホスト装置又はリーダーの内部に、カード収容部を必要とする。同様に、ＵＩＣＣは、動作に関してハードコードされる。したがって、ＵＩＣＣの動作は、配備の後に変更すること（例えば、ＳＩＭの追加又は除去、ファームウェアの更新、特権の変更など）ができない。少なくともこれらの理由のために、現在の開発領域は、ＳＩＭの配信及び使用のための代替的機構を目的とする。

電子加入者識別モジュール（ｅＳＩＭ）の動作−
アクセスクライアント（例えば、ｅＳＩＭ）の例示的実施形態の動作を、ここで詳細に説明する。

余談として、用語「保存性」、「保存する」、及び「保存された」とは、本明細書で使用するとき、簡単に増加又は減少させることができない、（物理的又は仮想的のいずれかの）要素を指す。例えば、保存されたｅＳＩＭは、通常動作の間にコピー又は複製することができない。

更には、本明細書で使用するとき、（物理的又は仮想的のいずれかの）要素に適用される用語「固有性」とは、その要素が、特定の特性及び／又は特質を有する唯一無二の要素であるという特性を指す。例えば、固有のｅＳＩＭは、複製ｅＳＩＭを有し得ない。

本明細書で使用するとき、用語「セキュリティ」とは、一般的に、データ及び／又はソフトウェアの保護を指す。例えば、アクセス制御データセキュリティは、アクセス制御クライアントに関連付けられたデータ及び／又はソフトウェアが、無許可のアクティビティ及び／又は悪意の第三者による、窃盗、悪用、破壊、公開、及び／又は改竄から保護されることを保証する。

更には、本明細書で使用するとき、用語「ユーザ許可」とは、一般的に、リソースに対するユーザのアクセスを指定することを指す。

一般的に、ソフトウェアは、ハードウェアよりも柔軟であり、例えば、ソフトウェアは、コピー、修正、及び配布が容易であることが理解されよう。更には、ソフトウェアは、多くの場合、ハードウェアの均等物よりも安価に、電力効率的に、物理的に小さく作製することができる。したがって、従来のＳＩＭ動作は、カード（ＵＩＣＣ）などの物理的フォームファクタを利用するが、現在の開発領域では、ソフトウェア内部にＳＩＭ動作を仮想化することに焦点が当てられている。しかしながら、ＳＩＭデータ（例えば、加入者固有情報など）の高度な機密性には、特別な配慮が必要とされる。例えば、ＳＩＭデータの様々な部分は、加入者に固有のものであり、悪意の第三者、又は不正な使用若しくは配布から、慎重に保護されるべきである。更には、各ＳＩＭは、有限のネットワークリソースへのアクセスの量に関する契約を表し、それゆえ、ネットワークリソースの過剰利用及び／又は過少利用、並びにサービスプロバイダーの料金又は収入の肩代わりを防止するために、ＳＩＭの複製、破壊、及び／又は再利用を管理しなければならない。したがって、ｅＳＩＭなどの仮想化されたアクセスクライアントは、以下の特性、すなわち、（ｉ）セキュリティ、（ｉｉ）固有性、及び（ｉｉｉ）保存性の特性を満たすべきである。更には、そのような特性は、理想的には、少なくとも既存のネットワークインフラストラクチャと同等のコストで提供されるべきである。

ＳＩＭ動作に関する初期の解決策は、例えば、以降では電子ユニバーサル集積回路カード（ｅＵＩＣＣ）と称される、ソフトウェアアプリケーションなどの仮想的又は電子的エンティティとして、ＵＩＣＣをエミュレートする。このｅＵＩＣＣは、以降では電子加入者識別モジュール（ｅＳＩＭ）と称される、１つ以上のＳＩＭ要素を記憶及び管理することが可能である。しかしながら、仮想化されたｅＳＩＭ動作に関する解決策は、ＵＩＣＣによって既に提供されている既存のセキュリティ能力と同等の（改善されないとしても）セキュリティを提供しなければならない。更には、既存のインフラストラクチャは、仮想化されたｅＳＩＭの数が、ネットワーク全体にわたって制御されるように（すなわち、仮想化されたｅＳＩＭが、複製、喪失されないなど）、仮想化されたｅＳＩＭの保存性を強化するための好適な方法を必要とする。

図２に示すシステムを考察すると、システム２００は、（ｉ）幾つかのＳＩＭベンダー２０２、（ｉｉ）幾つかのＳＩＭプロビジョニングサーバ（ＳＰＳ）２０４（先に参照により組み込まれている、共有の同時係属中の、２０１０年１１月２２日に出願され「ＷＩＲＥＬＥＳＳ ＮＥＴＷＯＲＫ ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤＳ」と題された米国特許出願第１２／９５２，０８２号、及び２０１０年１１月２２日に出願され「ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＰＲＯＶＩＳＩＯＮＩＮＧ ＳＵＢＳＣＲＩＢＥＲ ＩＤＥＮＴＩＴＹ ＤＡＴＡ ＩＮ Ａ ＷＩＲＥＬＥＳＳ ＮＥＴＷＯＲＫ」と題された同第１２／９５２，０８９号で、より詳細に説明されるものなど）、及び（ｉｉｉ）ユーザ機器（ＵＥ）２０６の集団を含み、各ＵＥは、セキュアなｅＵＩＣＣを含む。以下の論考は、ＳＩＭベンダーからセキュアなｅＵＩＣＣにｅＳＩＭを配布するための、種々のスキームを説明する。

第１のスキームでは、ＵＥ ２０６は、いずれかのＳＰＳ ２０４からｅＳＩＭをリクエストし、そのＳＰＳは、ＳＩＭベンダー２０２から適切なｅＳＩＭを取得する。この手法では、ＳＩＭベンダーは、ｅＳＩＭの配布を容易に制御することができ、新たにリクエストされる各ｅＳＩＭは、そのＳＩＭベンダーによってのみ認可される。しかしながら、ＳＩＭベンダーは、ｅＳＩＭを配給することができる唯一の当事者であるため、加入者の大集団が、短期間のうちにＳＩＭベンダーにリクエストを殺到させる場合には（製品リリースの成功に関しては、一般的ではあるが）、ＳＩＭベンダーが「ボトルネック」を作り出す恐れがある。

第２のスキームでは、各ＳＰＳ ２０４が、ＳＩＭベンダー２０２からｅＳＩＭのプールを取得して、そのｅＳＩＭのプールを、各ＳＰＳ内部に記憶する（ｅＳＩＭのプールは、各ＳＰＳについて複製される）。その後、ＳＰＳは、リクエストに応じて、ＵＥ ２０６にｅＳＩＭを配布する。ｅＳＩＭは、セキュアなｅＵＩＣＣによってのみ、解読及び使用することができる。この分散ＳＰＳサーバモデルでは、ＳＩＭベンダーによるボトルネックが生じることはない。しかしながら、この第２のスキームは、実質的により多くのインフラストラクチャを必要とする。具体的には、ＳＰＳの集団は、複製されたｅＳＩＭが配布されないことを保証しなければならない。したがって、ＳＰＳがｅＳＩＭを認可する場合は常に、他のＳＰＳは、通信リンク２０８を介して、それらの複製ｅＳＩＭを非アクティブ化しなければならない。このことにより、そのｅＳＩＭが固有である（すなわち、複製ｅＳＩＭが配布されていない）ことが保証される。ＳＰＳ間でｅＳＩＭ状態情報の同期を保持するための通信は、ネットワークインフラストラクチャ上での著しい量のトラフィックである。

更に第３のスキーム（図示せず）では、ＳＰＳ ２０４及びＳＩＭベンダー２０６のインフラストラクチャは、何らかの方式で組み合わされる。例えば、ＳＩＭベンダー及びＳＰＳネットワークは、共通の設備内に一体に収容され、互いに自由にアクセスすることができるか、又は他の方式でロジスティックに絡み合わされる。絡み合った設備の動作を成功させるには、ＳＩＭベンダーとＳＰＳネットワークオペレータとの間に信頼された取引関係が必要とされるが、このことは、場合によっては望ましくない可能性がある（例えば、法的な独占禁止の考慮事項により、企業が対立する場合など）。

方法−
したがって、本開示の様々な態様は、有利には、仮想化されたアクセス制御クライアントの動作及び配布のコンテキストでの、不正検出を可能にする。更には、本明細書でより詳細に説明されるように、本開示の実施形態は、いずれかの特定のネットワークインフラストラクチャに特有のものではなく、実質上いかなる構成にも柔軟に対応することができる。

一態様では、本明細書で説明される不正検出スキームは、一度に１つのセキュア要素にのみ、アクセス制御クライアントを記憶及び転送することができるという事実を利用する。仮想化されたアクセス制御の使用及び配布は、例えば、先に参照により組み込まれている、共有の同時係属中の、２０１１年４月２５日に出願され「ＡＰＰＡＲＡＴＵＳ ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＳＴＯＲＩＮＧ ＥＬＥＣＴＲＯＮＩＣ ＡＣＣＥＳＳ ＣＬＩＥＮＴＳ」と題された、米国特許出願第１３／０９３，７２２号で説明されている。

余談として、セキュア要素は、保護された記憶媒体からのソフトウェアを実行する、プロセッサ又は処理装置として具体化することができる。一部の変形形態では、保護された記憶媒体は、無断アクセス又は改竄を排除するように、暗号化されるか又は他の方式でセキュリティ保護される。更には、セキュア要素は、記憶媒体及び／又はセキュアなプロセッサへのアクセスを防止するために、物理的に硬化又は保護することができる。物理的硬化の一般的な実施例としては、無断アクセスの試みが生じた場合に、自己破壊するか若しくはその機器をアクセス不能にするように準備された、物理的ケース若しくは他の機構、並びに／又は、外部探査を防止するために、樹脂若しくは他の材料内に回路を埋め込むことを挙げることができる。本開示のセキュア要素は、異常なアクセスを、更に制限し、かつ／又は監視／フラグを立てるように構成され、一部の変形形態では、機器の全て又は一部の更なる使用を防止するように構成される。

本開示の例示的一実施形態では、機器は、ネットワーク及びクライアント機器のセキュア要素の両方の内部にセキュアに記憶される共有シークレットと一意的に関連付けられる、ユーザアクセス制御クライアントを発行される。アクセス制御クライアントをアクティブ化又は非アクティブ化するための後続の取り組みは、この共有シークレットの検証を必要とする。各状態変化（例えば、アクティブ化、非アクティブ化など）はまた、共有シークレットへの変更を含む。この共有シークレットの排他的特性は、ユーザが、一度に１つのみのアクセス制御クライアントをアクティブにさせることが可能であることを保証する。したがって、適切な共有シークレットを有さない状態への変化に関するリクエストは、無視され、かつ／又は不正であるとしてフラグが立てられることになる。この方法の上述の実施形態は、単一の状態変数に関連付けられた共有シークレットを中心として構築されるが、各アクセス制御クライアントは、所望に応じて複数の状態変数を保有することができる点もまた、理解されよう。例えば、１つの状態変数は、アクセスクライアントの使用属性（例えば、「利用可能」、「陳腐化」など）に関連し得るが、他の状態変数は、他のタイプの属性（例えば、「音声のみ」、「音声及びデータ」、「データのみ」、「ローミング」、「非ローミング」などの、多種多様なサービスへのアクセスに関する許可の状態又は値）に関連し得るか、又は記述することができる。

ここで図３を参照すると、上述のアクセス制御クライアントに関連付けられた、本開示による、不正検出プロトコルを実行するための一般化された方法３００の一実施形態が示される。方法３００のステップ３０２では、アクセス制御クライアントが、検証プロセスの間に検査される。この検証プロセスは、例示的実施形態では、状態変化（例えば、アクティブ化及び／又は非アクティブ化など）の間に実行される。一変形形態では、アクセス制御クライアントの保存性及び固有性の特性が、状態変化の間に保持されることを保証するために、アクセス制御クライアントの内部状態、及びその内部状態に関連付けられた共有シークレットは、アクティブ化サービスとの間で同期される。更には、アクセス制御クライアントの１つのコピーのみが、一度にアクティブとなることが許可される。この方式で、ネットワークにアクセスすることを試みる機器は、そのネットワークへの認証のために必要な情報を知らなければならないばかりではなく（例えば、上記の図１を参照）、アクティブ化サービスとの（例えば、共有シークレットを通じた）状態の同期も維持しなければならない。

例えば、例示的一実施形態では、ソース機器が、行先機器にアクセス制御クライアントを転送する。アクセス制御クライアントを転送することに加えて、ソース機器はまた、アクティブ化サービスへの転送にフラグを立てる。その後、行先機器は、アクティブ化サービスから、状態更新（及び関連する共有シークレット）を受信する。したがって、ネットワークにアクセスするための、いずれの後続の試みも、この状態更新を知っているということを証明しなければならない。

あるいは、また、別の変形形態では、ソース機器は、行先機器にアクセス制御クライアントを転送する。行先機器は、検証されることを望むことを、アクティブ化サービスに通知し、続いて、状態を示す共有シークレット更新を受信する。その後、ネットワークにアクセスするための、いずれの後続の試みも、この共有シークレットを知っているということを証明しなければならない。この状態通知又は共有シークレット更新は、様々なシナリオの下で簡便であるか又は必要とされ得るように、異なる時間に達成され得ることが理解されよう。一部の実施形態では、状態の更新は、転送の後、ある程度の時間を経て実施することができる。そのような実施形態は、バルク転送の際に特に有用であり得る。

一般的に、共有シークレットは、セキュア通信の際に２つの当事者（例えば、行先機器、ネットワークなど）を互いに検証するために使用される、１つのデータである。共有シークレットは、パスワード、パスフレーズ、大きい数字、又は、無作為に選択されたバイトの配列とすることができる。共有シークレットの他の一般的な実施例としては、増加／減少する計数、暗号ハッシュが挙げられるが、これらに限定されない。場合によっては、共有シークレットは、初期化ベクトル（ＩＶ）を使用して更に難読化することができる。

更には、特定の通知又は更新が、有効と見なされるための規定の時間的ウィンドウの範囲内で達成されなければならないように、「有効性ウィンドウ」もまた、指定することができる。例えば、ベンダーは、製品が発注されて出荷されると、その機器が顧客に到達するために２日を要することを知っている。したがって、アクティブ化サービスは、出荷後４８〜９６時間の範囲内で実施される検証リクエストのみを受け付けることができるが、これは、機器上のアクセス制御クライアントがアクティブ化されることが期待される、期待ウィンドウであるためである。製品の初期発注の間の有効性ウィンドウの使用に加えて、当業者には、本開示を与えられることで、他の有効性ウィンドウが容易に明らかとなることが理解されよう。例えば、有効性ウィンドウは、機器の配布の時間から遅延させることが可能であり（すなわち、即座に利用可能ではない）、機器間でアクセス制御クライアントを転送するための、ユーザからのリクエスト受信の際に規定することが可能であり、特定の再来性イベント（例えば、毎月１日）の間にのみ実施することが可能である、などである。

ステップ３０４では、例えば、アクセス制御クライアントの認証データ及び共有シークレットの両方が有効であることを保証することによって、そのアクセス制御クライアントが有効であるか否かについての判断が下される。更には、この判定は、上述の有効性ウィンドウの範囲内で実施しなければならないが、このことは決して必須要件ではない。アクセス制御クライアントが有効である場合には、ステップ３０６で、アクセスが認可される。しかしながら、アクセス制御クライアントが有効ではない場合には、ステップ３０８で、不正検出及び／又は軽減プロトコルが実行される。

様々な不正検出及び／又は軽減プロトコルの使用により、ネットワークオペレータ及び／又はネットワーク加入者に幾つかの利益がもたらされる。例示的一実施形態では、アクティブ化サービスによる無効アクセス制御クライアントの検出を使用して、ユーザのアカウントに関連付けられる潜在的な不正を、加入者に通知することができる。例えば、ユーザのアクセス制御クライアントがセキュリティ破壊され、別のエンティティが、別の機器を使用してネットワークへのアクセスを取得することによってそのユーザのアクセス制御クライアントを再利用することを試みる場合には、ｅメールメッセージ、電話、又はショートメッセージサービス（ＳＭＳ）のテキストメッセージを介して、そのユーザに通知することができる。ユーザは、それらのアクセス制御クライアントデータの不正使用の結果として生じる、いずれのアクションにも関与するものではないことを保証するために、適切な措置を講じることができる。

ユーザ通知に加えて、又はその代替として、アクティブ化サービスはまた、不正なアクセス制御クライアントデータの使用の試みの結果として生じる、あらゆる異常又は悪質なアクティビティを、ネットワークオペレータに通知することもできる。例えば、リプレイ攻撃又は他の攻撃が繰り返されることにより、とりわけネットワークリソースを消耗させる、ネットワークに対するサービス妨害攻撃を阻止するために、不正検出プロトコルの実行を使用することができる。例示的一実装形態では、アクティブ化サービスは、アクセス制御クライアントと、アクセスを取得することを試みる機器のアイデンティティ（例えば、ＩＣＣ−ＩＤ）との関連性を保守する。アクセスの試みが、異常又は不正であると判定される場合には、ネットワークは、そのアクセスを取得するための不正な試みに関連付けられているアイデンティティへのアクセスを阻止することによって、その機器からのあらゆるリクエストの繰り返しを、単純に無視することができる。

上述のそれらの特定の方法論に加えて、ネットワークオペレータはまた、異常又は悪質なアクティビティのソースである機器に、無効化信号を送信することもできる。例えば、オペレータは、その機器が目的通りに動作することがないように、その機器上のファームウェアを破壊することができる。その機器は、所有者がネットワークオペレータとコンタクトを取り、問題点を是正するまで、役に立たないものにされる。機器を無効化して、その機器のユーザに、ネットワークオペレータとコンタクトを取るよう要求することによって、サービス妨害攻撃を実行しているか又はアクセス制御クライアントを模造することを試みているような、ネットワーク上で悪質なアクティビティに関与しているユーザは、機能しない機器と共に放置されることになる。反対に、機器が誤って無効化された場合には、ユーザは、それらのネットワークオペレータとコンタクトを取ることによって、その状況を容易に是正することができる。しかしながら、本開示は、永続的な無効化の手法、及び非永続的な無効化の手法の両方、又はそれらの手法の組み合わせを想到する（例えば、修復に関する時間制限が満了するか、又は、ＩＣＣ−ＩＤ若しくはアクセスクライアントに関連付けられる後続イベントが発生した際に、非永続的な無効化を、永続的にすることができる）ことが、認識されるであろう。

例示的動作
図４は、本開示で有用な、例示的ネットワークアーキテクチャの一実施形態を示す。図示のように、このネットワークアーキテクチャは、幾つかのアクセスクライアント（例えば、ｅＳＩＭ）ベンダー４０２、幾つかのアクティブ化サービス４０４、幾つかのｅＵＩＣＣアプライアンス４０６、及び幾つかのモバイル機器４０８を含むが、それぞれは、より多く又はより少なく存在する場合がある。

ＵＥ ４０８Ａは、ネットワークからｅＳＩＭをリクエストし、そのリクエストは、アプライアンス４０６Ａに転送される。このアプライアンスは、ＳＩＭベンダー４０２Ａから適切なｅＳＩＭを取得して、このｅＳＩＭを、ＵＥ ４０８Ａに向けて返送する。次いで、ＵＥ ４０８Ａのユーザは、受信されたｅＳＩＭをアクティブ化する。このアクティブ化リクエストは、アクティブ化サービス４０４へと転送される。ｅＳＩＭ内部に存在する他のデータと共に、ｅＳＩＭの内部状態、及びその内部状態に関連付けられた共有シークレットが、アクティブ化サービス４０４とＵＥ ４０８Ａとの間で同期される。ＵＥ ４０８Ａに関連付けられたｅＳＩＭは、この時点でネットワークによってアクティブ化されており、ＵＥ ４０８Ａのユーザは、この時点でネットワークリソースにアクセスすることができる。

アクティブ化に続いて、ＵＥ ４０８Ｂは、ＵＥ ４０８Ａに関連付けられる模造されたｅＳＩＭデータを使用して、ネットワークへのアクセスを取得することを試みる。ＵＥ ４０８Ｂによるリクエストは、この模造されたｅＳＩＭデータを検証することができるように、アクティブ化サービス４０４へと転送される。ＵＥ ４０８ＢからのｅＳＩＭデータ及び状態情報は、アクティブ化サービス４０４内に記憶されたその情報と一致しないため、ネットワークによって不正検出プロトコルが実行される。ＵＥ ４０８Ｂに関連付けられたＩＣＣ−ＩＤは、ネットワークによってフラグを立てられ、ＵＥ ４０８Ａのユーザには、そのユーザに不正アクセスの試みを通知するＳＭＳメッセージが送信される。次いで、ユーザ及び／又はネットワークは、この不正検出プロトコルの実行に応じて、適切な措置を講じる。

装置−
上述の方法に関連して有用な様々な装置を、ここでより詳細に説明する。

ｅＵＩＣＣアプライアンス
ここで図５を参照すると、本開示によるｅＵＩＣＣアプライアンス４０６の例示的一実施形態が示される。このｅＵＩＣＣアプライアンスは、スタンドアローンのエンティティを含み得るか、又は他のネットワークエンティティ（例えば、サービスプロビジョニングサービス（ＳＰＳ）など）と合併させることもできる。図示のように、ｅＵＩＣＣアプライアンスは、一般的に、通信ネットワークとインターフェース接続するためのネットワークインターフェース５０２、プロセッサ５０４、及び記憶装置５０８を含む。ネットワークインターフェースは、他のｅＵＩＣＣアプライアンスへのアクセス、及び１つ以上のモバイル機器への直接的又は間接的なアクセスを提供するように、ＭＮＯインフラストラクチャに接続して示されるが、他の構成及び機能性に置き換えることもできる。

一構成では、ｅＵＩＣＣアプライアンスは、ハードウェアセキュリティモジュール（ＨＳＭ）である。ＨＳＭは、幾つかのアクセス制御クライアントを記憶するための、１つ以上のセキュア要素を含む。このＨＳＭは、アクセス制御クライアントの固有性及び保存性を維持しつつ、別のＨＳＭとの間でのアクセス制御クライアントの転送を可能にするように構成される。更には、この実施形態での別のＨＳＭへのアクセス制御クライアントの転送は、ローカルに記憶されたアクセス制御クライアントの非アクティブ化及び／又は削除を引き起こす。ＨＳＭはまた、改竄された場合には、自己破壊するか、又は永続的／非永続的にそれ自体を無効化するように、構成することもできる。
図５の例示された実施形態では、ｅＵＩＣＣアプライアンスは、少なくとも、プロセッサ５０４上で実行される状態データベース５１０を含む。ｅＵＩＣＣアプライアンス上で実行される単一のアプリケーションとして示されるが、上述のデータベースの機能性は、互いにデータ通信する複数の機器上で実行される、分散アプリケーションを含み得ることが理解されよう。

この状態データベースアプリケーションは、（ｉ）ｅＳＩＭを記憶するためのリクエスト、（ｉｉ）現在記憶されているｅＳＩＭを転送するためのリクエストを含めた、リクエストを処理する。このデータベースアプリケーションはまた、そのようなリクエストを行うことが許可されたエンティティから通信が受信されることを保証するために、リクエストを検証することにも関与する。

一実施形態では、状態データベースアプリケーションは、チャレンジ及びレスポンスセキュリティプロトコルを実行するように構成される。このチャレンジレスポンスセキュリティプロトコルは、未知の第三者によって行われたリクエストを、チャレンジ及び／又は応答の適切な生成に基づいて検証するように構成される。あるいは、別の実施形態では、このセキュア要素は、信頼機関によって署名されたデジタル証明書を検証することができる。

図示のように、記憶装置５０８は、アクセス制御クライアントの配列を記憶するように適合される。一実施形態では、ｅＵＩＣＣアプライアンスは、ｅＳＩＭの配列を記憶する。そのような一実施形態では、各ｅＳＩＭは、コンピュータ可読命令（ｅＳＩＭプログラム）及び関連データ（例えば、暗号キー、完全性キーなど）を含む、小さいファイルシステムを含む。更には、各ｅＳＩＭは、このｅＵＩＣＣアプライアンスの公開キーで更に暗号化される。したがって、各ｅＵＩＣＣは、このｅＵＩＣＣアプライアンスによってのみ解読することができる。一部の実施形態では、暗号化された各ｅＳＩＭは、固有の識別子、チャレンジ、又はチャレンジレスポンスで更に暗号化される。一部の実施形態では、これらの暗号化されたコンポーネントは、バイナリラージオブジェクト（ＢＬＯＢ）として更に記憶される。

状態データベースアプリケーションは、利用可能なｅＳＩＭを管理するように構成される。図５に示すように、このデータベースは、特定のｅＳＩＭ ＢＬＯＢ、そのｅＳＩＭを使用することが許可された機器、そのｅＳＩＭの現在の状態及び／又は現在のステータス（「利用可能」、「利用不可」、「陳腐化」など）に関連する情報を提供することができる。更なる情報もまた、保守することができる。

このデータベースアプリケーションは、データベース内に記憶された情報を、更新又は変更するように構成される。ＳＩＭデータベースアプリケーションは、例示的一実施形態では、シークレットを記憶し、アクセス制御クライアントの状態の変化（例えば、アクティブ化、非アクティブ化など）に際して、新たな共有シークレットを生成することに関与する。ｅＵＩＣＣアプライアンスは、リクエストする機器に、ネットワークインターフェース５０２を介して、新たな共有シークレットを提供すると共に、その新たな共有シークレットを、対応するアクセス制御クライアントと関連付けて、ＳＩＭデータベース５１０に記憶することになる。一変形形態では、共有秘密キーが、別の信頼されるネットワークエンティティによって生成され、ｅＵＩＣＣアプライアンスに配信されて記憶され、リクエストする機器に配信される。

機器が、ｅＵＩＣＣアプライアンスからｅＳＩＭをリクエストすると、データベースアプリケーションは、リクエストされたｅＳＩＭの共有シークレットを取得する。この情報を使用して、そのリクエストされたｅＳＩＭを提供することができるか否か、及び、何らかの疑わしい不正が生じているか否かを判定する。この妥当性チェックは、例えば、リクエストする機器によって提供された共有シークレットと、ｅＵＩＣＣアプライアンス又は別の信頼されるエンティティに記憶された共有シークレットとを比較することによって、ｅＵＩＣＣアプライアンスで実行するか、共有するか又は更に他の場所で実施することができる。

ユーザ装置
ここで図６を参照すると、本開示の様々な態様による、例示的なユーザ装置４０８（例えば、ＵＥ）が示される。

図６の例示的なＵＥ装置は、デジタル信号プロセッサ、マイクロプロセッサ、フィールドプログラマブルゲートアレイ、又は１つ以上の基板上に搭載された複数の処理構成要素を含み得るアプリケーションプロセッサ６０２を有する、無線機器である。この処理サブシステムはまた、内部キャッシュメモリも含み得る。この処理サブシステムは、例えば、ＳＲＡＭ、フラッシュ、及び／又はＳＤＲＡＭ構成要素を含み得るメモリを含む、メモリサブシステム６０４と通信する。このメモリサブシステムは、当該技術分野において周知であるように、データアクセスを容易にするために、１つ以上のＤＭＡタイプのハードウェアを実装することができる。メモリサブシステムは、プロセッササブシステムによって実行可能な、コンピュータ実行可能命令を含む。

例示的一実施形態では、この機器は、１つ以上の無線ネットワークに接続するように適合された、１つ以上の無線インターフェース６０６を含み得る。これらの複数の無線インターフェースは、適切なアンテナ及びモデムサブシステムを実装することによって、ＧＳＭ、ＣＤＭＡ、ＵＭＴＳ、ＬＴＥ／ＬＴＥ−Ａ、ＷｉＭＡＸ、ＷＬＡＮ、Ｂｌｕｅｔｏｏｔｈなどの、種々の無線技術に対応することができる。

ユーザインターフェースサブシステム６０８は、限定するものではないが、キーパッド、タッチスクリーン（例えば、マルチタッチインターフェース）、ＬＣＤディスプレイ、バックライト、スピーカ、及び／又はマイクロホンを含めた、任意数の周知のＩ／Ｏを含む。しかしながら、特定の適用例では、これらの構成要素のうちの１つ以上が不要となり得ることが認識されよう。例えば、ＰＣＭＣＩＡカードタイプのクライアントの実施形態は、ユーザインターフェースが欠如する場合がある（それらは、物理的及び／又は電気的に結合されるホスト機器のユーザインターフェースを、便乗して利用することが可能であるため）。

図示の実施形態では、機器は、ｅＵＩＣＣアプリケーションを収容して動作させる、セキュア要素６１０を含む。このｅＵＩＣＣは、ネットワークオペレータとの認証のために使用される、複数のアクセス制御クライアントを記憶してアクセスすることが可能である。このセキュア要素は、この実施形態では、セキュアな媒体内に記憶されたソフトウェアを実行する、セキュアなプロセッサを含む。このセキュアな媒体は、（セキュアなプロセッサ以外の）他の全ての構成要素にアクセス不能である。更には、セキュア要素は、前述のように、改竄を防止するために、更に硬化させる（例えば、樹脂内に包み込む）ことができる。

セキュア要素６１０は、１つ以上のアクセス制御クライアントを受信して記憶することが可能である。一実施形態では、このセキュア要素は、ｅＳＩＭの配列又は複数のｅＳＩＭと、上述のような不正検出で使用するための、各ｅＳＩＭに関連付けられた共有シークレットとを記憶する。各ｅＳＩＭは、コンピュータ可読命令（ｅＳＩＭプログラム）及び関連データ（例えば、暗号キー、完全性キーなど）を含む、小さいファイルシステムを含む。

セキュア要素は、モバイル機器との間でのｅＳＩＭの転送を可能にするように、更に適合される。例示的一実施形態では、モバイル機器は、ｅＳＩＭの転送を開始するために、ＧＵＩベースの確認応答を提供する。各転送イベントは、更に、機器の無線インターフェースのうちの１つなどを介して、ｅＵＩＣＣアプライアンスに通知される。ｅＵＩＣＣアプライアンスは、有効な秘密キーを備えるｅＳＩＭを有するモバイル機器のみを転送することができるように保証し、無効なキーを含むｅＳＩＭリクエストは、機能しないようにすることができる。

モバイル機器のユーザが、ｅＳＩＭを転送又は受信することを選択すると、そのモバイル機器は、転送に関するリクエストをｅＵＩＣＣアプライアンスに送信する。このリクエストは、ｅＳＩＭを特定するものであり、許可された使用に関する検証のために使用される、ｅＵＩＣＣ及びモバイル機器の双方に既知の共有シークレットを含む。その秘密キーが、ｅＵＩＣＣアプライアンスによって検証され、有効であると判定された後に、ｅＵＩＣＣアプライアンスは、そのモバイル機器にｅＳＩＭの転送を許可することになる。対応するｅＳＩＭの将来の転送リクエストのために、新たな共有秘密キーが生成され、モバイル機器に提供される。受信された共有シークレットは、対応するｅＳＩＭに関連付けられ、セキュア要素内部に記憶される。

最終的に、モバイル装置もまた、転送イベント（送信、受信など）ごとに、ｅＵＩＣＣアプライアンスへの通知を生成することができる。ｅＳＩＭを使用する不規則又は異常な挙動もまた、認識されてフラグが立てられることにより、違法又は無許可の可能性があるｅＳＩＭの使用を捕獲することができる。

本開示の特定の態様が、方法のステップの具体的なシーケンスの観点から説明されているが、これらの説明は、本開示のより広範な方法の例示に過ぎないものであり、具体的な適用によって、必要に応じて修正することができる点が、認識されるであろう。特定のステップは、特定の状況下では、不必要又は任意選択とすることができる。更には、特定のステップ又は機能性を開示される実施形態に追加することができ、あるいは２つ以上のステップの実行の順序を置き換えることもできる。全てのそのような変更形態は、本明細書で開示され特許請求される、本開示の範囲内に包含されると見なされる。

上記の発明を実施するための形態は、様々な実施形態に適用されるような、本開示の新規の機構を示し、説明し、指摘しているが、例示された機器又はプロセスの形態及び詳細の、様々な省略、置換、並びに変更を、本開示から逸脱することなく、当業者によって実施することができる点が、理解されるであろう。前述の説明は、本開示の実行に関して現時点で想到される最良の様式である。本説明は、限定することを決して意図するものではなく、むしろ、本開示の一般的原理の例示として解釈されるべきである。本開示の範囲は、特許請求の範囲に準拠して決定されるべきである。

Claims (27)

1. 不正プロトコルを実行するための方法であって、
   アクティブ化に関するリクエストの受信に対応して、前記リクエストから１つ以上のデータを抽出することであって、前記抽出される１つ以上のデータが、第１のアクティブ化状態に相当する、抽出することと、
   前記第１のアクティブ化状態に少なくとも部分的に基づいて、前記１つ以上のデータを検証することと、
   前記１つ以上のデータの検証の失敗に応じて、不正プロトコルを実行することと、を含む、方法。
2. 前記アクティブ化に関するリクエストが、少なくとも、ネットワークサービスプロバイダーに関連付けられた電子加入者識別モジュール（ｅＳＩＭ）をアクティブ化するためのリクエストを含む、請求項１に記載の方法。
3. 前記１つ以上のデータを前記検証することが、少なくとも、前記第１のアクティブ化状態と期待アクティブ化状態とを比較することを含み、
   前記検証の失敗が、少なくとも、前記第１のアクティブ化状態と前記期待アクティブ化状態との前記比較が規定の判定基準を満たさない場合を含む、
   請求項２に記載の方法。
4. 前記抽出される１つ以上のデータが、少なくとも、前記アクティブ化に関するリクエストに関与するモバイル機器とアクティブ化サービスエンティティとの間の共有シークレットを含み、
   検証の失敗が、少なくとも、前記抽出される１つ以上のデータの前記共有シークレットが、アクティブ化サービスエンティティでの前記共有シークレットと一致しない場合を含む、
   請求項２に記載の方法。
5. 不正検出プロトコルの前記実行に有用なアプライアンス装置であって、
   プロセッサと、
   複数のアクセス制御クライアントのうちの各対応するアクセス制御クライアントに関するアクティブ化状態情報を記憶するように構成された、状態データベースと、
   少なくとも１つのコンピュータプログラムが記憶されている永続的記憶媒体を有する、コンピュータ可読装置と、を備え、前記少なくとも１つのコンピュータプログラムが、前記プロセッサ上で実行されると、前記アプライアンス装置に、
   モバイル機器からのアクセス制御クライアントリクエストを受信させ、前記アクセス制御クライアントリクエストが、少なくともアクティブ化状態情報を含み、
   前記状態データベースからの、前記リクエストされたアクセス制御クライアントに相当する現在の状態情報の取得を引き起こさせ、
   少なくとも前記アクティブ化状態情報と前記取得された現在の状態情報との比較によって、前記リクエストの前記妥当性を検証させ、
   前記リクエストが無効であると判定される場合に、不正プロトコルを実施させるように構成される、アプライアンス装置。
6. 前記少なくとも１つのコンピュータプログラムが、実行されると、前記アプライアンス装置に、前記リクエストで提供されたシークレット情報の検証チェックによって、前記リクエストの前記妥当性を検証させるように更に構成され、前記シークレット情報が、前記モバイル機器と前記アプライアンス装置との間で共有される、請求項５に記載のアプライアンス装置。
7. 前記少なくとも１つのコンピュータプログラムが、実行されると、前記アプライアンス装置に、
   前記リクエストの前記妥当性が有効であると判定される場合に、前記シークレット情報を更新させ、
   前記更新されたシークレット情報を、前記モバイル機器に提供させるように更に構成される、請求項６に記載のアプライアンス装置。
8. 前記少なくとも１つのコンピュータプログラムが、実行されると、前記アプライアンス装置に、
   前記リクエストの検証の際、前記リクエストに従って、前記状態データベース内に記憶された前記現在の状態情報を更新させるように更に構成される、請求項５に記載のアプライアンス装置。
9. 前記不正プロトコルが、前記アクセス制御クライアントリクエストに関連付けられるアクセス制御クライアントの無効化を含む、請求項５に記載のアプライアンス装置。
10. 不正な機器のアクティブ化を検出するための複数の命令を含む、永続的コンピュータ可読媒体であって、前記複数の命令が、実行されると、ネットワークエンティティに、
    モバイル機器からのアクセス制御クライアントリクエストを受信させ、前記リクエストが、少なくとも前記アクセス制御クライアントの状態情報、及び前記モバイル機器の秘密キーを含み、
    前記少なくとも状態情報が、前記アクセス制御クライアントに関する期待状態に相当するか否か、及び前記秘密キーが有効であるか否かを判定させ、
    （ｉ）前記状態情報が前記期待状態に相当しない場合、及び／又は（ｉｉ）前記秘密キーが無効である場合に、前記アクセス制御クライアントに関する不正プロトコルを実施させるように構成される、永続的コンピュータ可読媒体。
11. 不正な機器のアクティブ化を検出するための方法であって、
    アクセス制御クライアントに関するリクエストを送信することと、
    前記アクセス制御クライアントリクエストの、アクセス制御クライアントに関連付けられた情報を受信することと、
    前記受信された情報を検証することと、
    前記受信された情報の検証の際、前記アクセス制御クライアントに関する前記リクエストに関連付けられたアクションを実行することと、を含む、方法。
12. アクセス制御クライアントに関連付けられた前記情報が、少なくとも、前記アクセス制御クライアントのアクティブ化ステータス情報を含む、請求項１１に記載の方法。
13. 前記検証が、少なくとも部分的に、前記アクティブ化ステータス情報が、前記アクセス制御クライアントの期待アクティブ化ステータスと一致することに基づいて判定される、請求項１２に記載の方法。
14. 前記アクションを実行する際、前記期待アクティブ化ステータスを更新することを更に含み、前記更新された期待アクティブ化ステータスが、少なくとも部分的に、前記実行されたアクションに関連する、請求項１３に記載の方法。
15. 不正検出プロトコルの実行のために構成されたモバイル機器であって、
    プロセッサと、
    １つ以上のアクセス制御クライアントを記憶するように構成されたセキュア要素と、
    前記プロセッサとデータ通信する少なくとも１つの無線インターフェースと、
    少なくとも１つのコンピュータプログラムが記憶されている永続的記憶媒体を有する、コンピュータ可読装置と、を備え、前記少なくとも１つのコンピュータプログラムが、前記プロセッサ上で実行されると、前記モバイル機器に、
    アクセス制御クライアントに関連するリクエストを送信させ、前記リクエストが、少なくとも、前記アクセス制御クライアントのアクティブ化ステータスに関連する情報を含み、
    前記リクエストの判定された妥当性を示す応答を受信させ、
    前記応答が無効なリクエストを示す場合に、不正プロトコルを実行させるように構成される、モバイル機器。
16. 前記不正プロトコルが、前記モバイル機器内の前記アクセス制御クライアントの無効化を含む、請求項１５に記載のモバイル機器。
17. 前記リクエストが、前記モバイル機器と前記アクセス制御クライアントに関連付けられるアクティブ化サービスとの間で共有されるシークレットを更に含み、
    前記受信された応答が、該応答が有効なリクエストを示す場合に、少なくとも更新されたシークレットを含む、
    請求項１５に記載のモバイル機器。
18. 前記少なくとも１つのコンピュータプログラムが、実行されると、前記モバイル機器に、前記受信された更新されたシークレットを、前記セキュア要素内に記憶させるように更に構成される、請求項１６に記載のモバイル機器。
19. 前記少なくとも１つのコンピュータプログラムが、前記応答が有効なリクエストを示す場合に、前記アクセス制御クライアントのステータスを更新するように更に構成され、該更新されたステータスが、少なくとも部分的に、前記リクエストに関連付けられたアクションに基づく、請求項１５に記載のモバイル機器。
20. 不正な機器のアクティブ化を検出するための複数の命令を含む、永続的コンピュータ可読媒体であって、前記複数の命令が、実行されると、モバイル機器に、
    アクティブ化サービスに対してアクセス制御クライアントリクエストを送信させ、前記リクエストが、少なくとも、前記アクセス制御クライアントの現在のアクティブ化ステータスを含み、
    前記アクティブ化サービスからのメッセージを受信させ、前記メッセージが、前記リクエストの妥当性を示すように構成され、
    前記リクエストが無効であることを前記メッセージが示した場合に、少なくとも前記アクセス制御クライアントに対して不正手順を実施させるように構成される、永続的コンピュータ可読媒体。
21. 不正な機器のアクティブ化を検出するために構成されたモバイル機器であって、
    アクセス制御クライアントに関するリクエストを送信するための手段と、
    前記リクエストに関連付けられたアクセス制御クライアントに関連する情報を受信するための手段と、
    前記受信された情報を検証するための手段と、
    前記アクセス制御クライアントに関する、前記リクエストに関連付けられたアクションを実行するための手段と、を備え、前記アクションが、前記受信された情報の検証を条件として実行される、モバイル機器。
22. アクセス制御クライアントに関連する前記情報が、少なくとも、前記アクセス制御クライアントのアクティブ化ステータス情報を含む、請求項２１に記載のモバイル機器。
23. 前記検証が、少なくとも部分的に、前記アクティブ化ステータス情報が、前記アクセス制御クライアントの期待アクティブ化ステータスと一致することに基づいて判定される、請求項２２に記載のモバイル機器。
24. 前記期待アクティブ化ステータスを更新するための手段を更に備え、前記期待アクティブ化ステータスの更新が、前記アクションの実行の際に実施され、
    前記期待アクティブ化ステータスの更新が、少なくとも部分的に、前記実行されたアクションに関連する、請求項２３に記載のモバイル機器。
25. 不正プロトコルを実行するために構成されたアプライアンス装置であって、
    アクティブ化に関するリクエストから１つ以上のデータを抽出するための手段であって、前記抽出される１つ以上のデータが、第１のアクティブ化状態に相当する、手段と、
    前記第１のアクティブ化状態に少なくとも部分的に基づいて、前記１つ以上のデータを検証するための手段と、
    前記１つ以上のデータの検証の失敗に基づいて、不正プロトコルを実行するための手段と、を備える、アプライアンス装置。
26. 前記アクティブ化に関するリクエストが、少なくとも、ネットワークサービスプロバイダーに関連付けられた電子加入者識別モジュール（ｅＳＩＭ）をアクティブ化するためのリクエストを含む、請求項２５に記載のアプライアンス装置。
27. 前記１つ以上のデータを検証するための前記手段が、少なくとも、前記第１のアクティブ化状態と期待アクティブ化状態とを比較することを含み、
    前記検証の失敗が、少なくとも、前記第１のアクティブ化状態と前記期待アクティブ化状態との前記比較が規定の判定基準を満たさないことを含む、
    請求項２６に記載のアプライアンス装置。

Images