JP2016111660A - 認証サーバ、端末及び認証方法 - Google Patents

Abstract

【課題】ネットワーク接続時のセキュリティを強化し、第３者による不正アクセスを防止すること。【解決手段】タグ情報生成部６２３は、端末１０による初回接続要求時に、ユーザＩＤとＭＳＩＳＤＮとからタグ情報を生成し、鍵交換処理部６２４は、端末１０からのタグ情報を含む鍵生成要求を受信すると共通鍵を生成し、生成した共通鍵を、鍵生成要求に含まれるタグ情報に対応付けられたＭＳＩＳＤＮと対応付けて記憶部６２２に格納させ、暗号化部６２５は、端末１０による２回目以降接続要求時に当該接続要求に対応する認証要求を受信すると、受信したＭＳＩＳＤＮに対応付けられた共通鍵を用いて、受信したユーザＩＤに対応付けられたパスワードを暗号化し、認証部６２６は、受信したチャレンジコードと暗号化されたパスワードとを用いてハッシュ値を算出し、ハッシュ値と受信したレスポンスコードとが一致する場合、当該接続要求が正当であると判定する。【選択図】図２

Description

本開示は、認証サーバ、端末及び認証方法に関する。

セルラーシステム等の無線通信システムにおいて端末がネットワークに接続・登録（アタッチ）する際の端末認証方法の一つとして、ＣＨＡＰ（Challenge Handshake Authentication Protocol）又はＰＡＰ（Password Authentication Protocol）が使用されている（例えば、特許文献１を参照）。

また、近年、移動体通信事業者（ＭＮＯ：Mobile Network Operator）の物理的な回線を利用してユーザに移動通信サービスを提供する仮想移動体通信事業者（ＭＶＮＯ：Mobile Virtual Network Operator）によるサービスが開始されている。ＭＶＮＯサービスを利用するユーザの端末は、ＭＶＮＯネットワークへの接続要求時に認証サーバとの間において認証処理を行い、当該接続要求の正当性が確認されると、ＭＮＯネットワークを介してＭＶＮＯネットワークに接続される。

認証サーバによるＣＨＡＰ認証において、端末は、パスワード、及び、乱数により生成されたチャレンジコードに対して、ＭＤ５（Message Digest 5）又はＳＨＡ（Secure Hash Algorithm）等の一方向性関数であるハッシュ関数を適用することにより、レスポンスコード（ハッシュ値）を生成する。そして、端末は、ユーザ識別子（ユーザＩＤ。username）、チャレンジコード、レスポンスコードを認証サーバへ送信する。認証サーバは、チャレンジコード及び端末から送信されたユーザＩＤに対応するパスワードに対して、ハッシュ関数を適用することにより得られた出力結果（ハッシュ値）と、端末から送信されたレスポンスコードとを比較し、値が一致すれば当該端末の接続要求が正当であると判定する（認証成功）。

一方、認証サーバによるＰＡＰ認証において、端末は、ユーザ識別子（ユーザＩＤ。username）、及び、パスワードを認証サーバへ送信する。認証サーバは、端末から送信されたユーザＩＤ及びパスワードを用いて当該端末の接続要求が正当であるか否かを判定する。

また、認証サーバは、端末に搭載（挿入）されたＳＩＭ（Subscriber Identity Module）カードに登録されたＭＳＩＳＤＮ（Mobile Subscriber Integrated Services Digital Network Number：電話番号）と、ユーザＩＤ／パスワードとの組み合わせ（テーブル）を予め保持している。他の認証方法の一つとして、認証サーバは、上記テーブルを参照して、端末側から送られる、ＳＩＭと一対一に対応した加入者識別子であるＩＭＳＩ(International Mobile Subscriber Identity)等のＳＩＭ情報に基づきＭＮＯネットワークから送られるＭＳＩＳＤＮと、端末のユーザＩＤ／パスワードとの組み合わせが妥当であるか否かを判断し（妥当性検証）、妥当であれば当該端末の接続要求が正当であると判定する。

特開２０１１−１６６７９６号公報

しかしながら、上述したＣＨＡＰ認証／ＰＡＰ認証又は妥当性検証において、ユーザＩＤ／パスワード又はＳＩＭを第３者によって盗まれた場合には、第３者が正当なユーザになりすまして認証を通過し、ネットワークに不正アクセスするおそれがある。

本開示の一態様の目的は、ネットワーク接続時のセキュリティを強化し、第３者による不正アクセスを防止することができる認証サーバ、端末、及び認証方法を提供することである。

本開示の一態様に係る認証サーバは、ＣＨＡＰ認証方式により、ユーザ識別子及びパスワードを用いてネットワークに接続要求を行う端末を認証する認証サーバであって、前記ユーザ識別子と前記パスワードとの対応付けを格納する記憶部と、前記端末による初回の接続要求時に、少なくとも、前記端末のユーザ識別子と、前記端末に搭載されたＳＩＭカードの情報(ＩＭＳＩ)に基づきＭＮＯネットワークから受け取るＭＳＩＳＤＮ(電話番号)とから、前記端末との間で共有されるタグ情報を生成し、前記生成したタグ情報を前記ＭＳＩＳＤＮと対応付けて前記記憶部に格納させるタグ情報生成部と、前記端末からの前記タグ情報を含む鍵生成要求を受信すると、前記端末との間で共有される共通鍵を生成し、前記生成した共通鍵を、前記鍵生成要求に含まれるタグ情報に対応付けられた前記ＭＳＩＳＤＮと対応付けて前記記憶部に格納させる鍵交換処理部と、前記端末による２回目以降の接続要求時に、前記端末のユーザ識別子、前記ＣＨＡＰ認証方式に使用されるチャレンジコード、レスポンスコード、及び、前記端末のＭＳＩＳＤＮを含む、当該接続要求に対応する認証要求を受信すると、前記受信したＭＳＩＳＤＮに対応付けられた共通鍵を用いて、前記受信したユーザ識別子に対応付けられたパスワードを暗号化する暗号化部と、前記レスポンスコードは、前記端末において、前記チャレンジコードと、前記共有される共通鍵を用いて暗号化されたパスワードとを用いて算出されたハッシュ値であり、前記受信したチャレンジコードと前記暗号化部で暗号化されたパスワードとを用いてハッシュ値を算出し、前記算出したハッシュ値と前記レスポンスコードとが一致する場合、前記接続要求が正当であると判定する認証部と、前記認証要求の受信と当該認証要求の応答の送信、及び、前記共通鍵を生成するための前記端末との間におけるパラメータの送受信を行う通信部と、を具備する構成を採る。

本開示の一態様に係る端末は、ネットワーク接続要求時にユーザ識別子及びパスワードを用いた端末認証を受ける端末であって、初回のネットワーク接続完了直後に、少なくとも、前記端末のユーザ識別子と、前記端末に搭載されたＳＩＭカードが保持するか、もしくはネットワーク接続時にＭＮＯネットワークに要求し受け取るＭＳＩＳＤＮと、から、ＣＨＡＰ認証方式により前記端末を認証する認証サーバとの間で共有されるタグ情報を生成するタグ情報生成部と、前記認証サーバに対して、前記タグ情報を含む鍵生成要求を送信し、前記認証サーバとの間で共有される共通鍵を生成する鍵交換処理部と、前記タグ情報及び前記共通鍵を格納する記憶部と、前記格納された共通鍵を用いて、前記パスワードを暗号化する暗号化部と、２回目以降の接続要求時に、乱数列を発生させ、前記乱数列と、前記暗号化されたパスワードとを用いてハッシュ値を算出するＣＨＡＰ処理部と、前記ユーザ識別子、前記乱数列を示すチャレンジコード、前記ハッシュ値を示すレスポンスコード、前記ＳＩＭカードの情報（ＩＭＳＩ）を含む、接続要求の送信と当該接続要求の応答の受信、及び、前記共通鍵を生成するための前記認証サーバとの間におけるパラメータの送受信を行う通信部と、を具備する構成を採る。

本開示の一態様に係る認証方法は、ネットワーク接続要求時にユーザ識別子及びパスワードを用いた端末認証を行う端末と、前記ユーザ識別子と前記パスワードとの対応付けを記憶部に事前に格納し、ネットワーク接続時にＣＨＡＰ認証方式により前記端末を認証する認証サーバとを含む通信システムにおける認証方法であって、前記端末は、初回の接続完了直後に、少なくとも、前記ユーザ識別子と、前記端末に搭載されたＳＩＭカードが保持するか、もしくはネットワーク接続時にＭＮＯネットワークに要求し受けとるＭＳＩＳＤＮと、から、ＣＨＡＰ認証方式により前記端末を認証する認証サーバとの間で共有されるタグ情報を生成し、前記認証サーバに対して、前記タグ情報を含む鍵生成要求を送信し、前記認証サーバとの間で共有される共通鍵を生成し、前記タグ情報及び前記共通鍵を格納し、前記認証サーバは、初回の接続要求時に、少なくとも、前記ユーザ識別子と、前記端末に搭載されたＳＩＭカードの情報(ＩＭＳＩ)に基づきＭＮＯネットワークから受け取る前記ＭＳＩＳＤＮとから、前記タグ情報を生成し、前記生成したタグ情報を前記ＭＳＩＳＤＮと対応付けて記憶部に格納させ、前記端末からの前記タグ情報を含む鍵生成要求を受信すると、前記共通鍵を生成し、前記生成した共通鍵を、前記鍵生成要求に含まれるタグ情報に対応付けられた前記ＭＳＩＳＤＮと対応付けて前記記憶部に格納させ、前記端末は、前記格納された共通鍵を用いて、前記パスワードを暗号化し、２回目以降の接続要求時に、乱数列を発生させ、前記乱数列と、前記暗号化されたパスワードとを用いてハッシュ値を算出し、前記ユーザ識別子、前記乱数列を示すチャレンジコード、前記ハッシュ値を示すレスポンスコード、前記ＳＩＭカードの情報（ＩＭＳＩ）を含む、接続要求を送信し、前記認証サーバは、２回目以降の接続要求時に、前記ユーザ識別子、前記チャレンジコード、前記レスポンスコード、及び、前記端末に搭載されたＳＩＭカードの情報(ＩＭＳＩ)に基づきＭＮＯネットワークから受け取る前記ＭＳＩＳＤＮを含む、当該接続要求に対応する認証要求を受信すると、前記受信したＭＳＩＳＤＮに対応付けられた共通鍵を用いて、前記受信したユーザ識別子に対応付けられたパスワードを暗号化し、前記チャレンジコードと前記暗号化されたパスワードとを用いてハッシュ値を算出し、前記算出したハッシュ値と前記レスポンスコードとが一致する場合、前記接続要求が正当であると判定する。

本開示の一態様に係る認証サーバは、ＰＡＰ認証方式により、ユーザ識別子及びパスワードを用いてネットワークに接続要求を行う端末を認証する認証サーバであって、前記端末に搭載されたＳＩＭカードの情報(ＩＭＳＩ)に対応するＭＳＩＳＤＮ（電話番号）と、前記端末との間で共有されるカウンタ値との対応付け、及び、前記ＭＳＩＳＤＮと前記端末が保持する秘密鍵に対応する公開鍵との対応付けを格納する記憶部と、前記パスワードは、前記端末において、前記秘密鍵を用いて、前記端末が保持するカウンタ値を用いて算出されたハッシュ値を暗号化して得られる値であり、前記端末による接続要求時に、前記パスワード及び前記ＭＳＩＳＤＮを含む、当該接続要求に対応する認証要求を受信すると、前記受信したＭＳＩＳＤＮに対応付けられた前記カウンタ値を用いてハッシュ値を算出し、前記受信したＭＳＩＳＤＮに対応付けられた前記公開鍵を用いて前記パスワードを復号し、前記ハッシュ値と前記パスワードの復号結果とが一致する場合、前記接続要求が正当であると判定する検証部と、前記検証部で前記接続要求が正当であると判定された場合のみ前記記憶部に保持された前記カウンタ値を更新するカウンタ値更新部と、前記認証要求の受信と当該認証要求の応答の送信を行う通信部と、を具備する構成を採る。

本開示の一態様に係る端末は、ネットワーク接続要求時に、ＰＡＰ認証方式によりユーザ識別子及びパスワードを用いた端末認証を受ける端末であって、前記端末を認証する認証サーバとの間で共有されるカウンタ値、及び、前記認証サーバが保持する公開鍵に対応する秘密鍵を格納する記憶部と、前記秘密鍵を用いて、前記カウンタ値を用いて算出したハッシュ値を暗号化して、署名情報を生成するディジタル署名部と、前記パスワードとしての前記署名情報、ユーザ識別子、及び、前記端末に搭載されたＳＩＭカードの情報（ＩＭＳＩ）を含む接続要求の送信と、当該接続要求の応答の受信を行う通信部と、前記認証サーバで当該接続要求が正当であると判定され、その結果が前記通信部で当該接続要求の応答として受信されたときのみ前記記憶部に保持された前記カウンタ値を更新するカウンタ値更新部と、を具備する構成を採る。

本開示の一態様に係る認証方法は、ネットワーク接続要求時に、ＰＡＰ認証方式によりユーザ識別子及びパスワードを用いた端末認証を受ける端末と、前記端末を認証する認証サーバとを含む通信システムにおける認証方法であって、前記端末は、前記認証サーバとの間で共有されるカウンタ値、及び、前記認証サーバが保持する公開鍵に対応する秘密鍵を格納し、前記秘密鍵を用いて、前記カウンタ値を用いて算出したハッシュ値を暗号化して、署名情報を生成し、前記パスワードとしての前記署名情報、ユーザ識別子、及び、前記端末に搭載されたＳＩＭカードの情報（ＩＭＳＩ）を含む接続要求を送信し、前記認証サーバは、前記端末に搭載されたＳＩＭカードの情報(ＩＭＳＩ)に対応するＭＳＩＳＤＮ（電話番号）と、前記端末との間で共有されるカウンタ値との対応付け、及び、前記ＭＳＩＳＤＮと前記端末が保持する秘密鍵に対応する公開鍵との対応付けを格納し、前記端末による接続要求時に、前記パスワード及び前記ＭＳＩＳＤＮを含む、当該接続要求に対応する認証要求を受信すると、前記受信したＭＳＩＳＤＮに対応付けられた前記カウンタ値を用いてハッシュ値を算出し、前記受信したＭＳＩＳＤＮに対応付けられた前記公開鍵を用いて前記パスワードを復号し、前記ハッシュ値と前記パスワードの復号結果とが一致する場合、前記接続要求が正当であると判定すると共に前記格納されているカウンタ値を更新し、接続要求が正当であるという通知を受けた前記端末側でも格納されている前記カウンタ値を更新する。

本開示の一態様によれば、ネットワーク接続時のセキュリティを強化し、第３者による不正アクセスを防止することができる。

実施の形態１に係るシステムの概要を示す図 実施の形態１に係る端末及び認証サーバの構成を示すブロック図 実施の形態１に係る認証処理の動作を示すシーケンス図（初回接続時） 実施の形態１に係る鍵交換処理の動作を示すシーケンス図 実施の形態１に係る鍵交換処理の詳細動作を示すシーケンス図 実施の形態１に係る認証処理の動作を示すシーケンス図（動作例１） 実施の形態１に係る認証処理の動作を示すシーケンス図（動作例１の変形例） 実施の形態１に係る認証処理の動作を示すシーケンス図（動作例２） 実施の形態１に係る認証処理の動作を示すシーケンス図（動作例３） 実施の形態１に係る認証処理の動作を示すシーケンス図（動作例３の変形例） 実施の形態１に係る認証処理の動作を示すシーケンス図（動作例４） 実施の形態１に係る認証処理の動作を示すシーケンス図（動作例５） 実施の形態１に係る認証処理の動作を示すシーケンス図（動作例６） 実施の形態１に係る認証処理の動作を示すシーケンス図（動作例６の変形例） 実施の形態１に係る認証処理の動作を示すシーケンス図（動作例７） 実施の形態１に係る認証処理の動作を示すシーケンス図（動作例７の変形例） 実施の形態２に係る認証処理の動作を示すシーケンス図 実施の形態２に係る鍵交換処理の動作を示すシーケンス図 実施の形態２に係る認証処理の動作を示すシーケンス図 実施の形態２に係る鍵交換処理の動作を示すシーケンス図 実施の形態２の変形例に係る認証処理の動作を示すシーケンス図 実施の形態３に係る鍵交換処理の動作を示すシーケンス図 実施の形態３に係る通信途絶が発生した場合の鍵交換処理の動作を示すシーケンス図 実施の形態３に係る通信途絶が発生した場合の鍵交換処理の動作を示すシーケンス図 実施の形態４に係るシステムの概要を示す図 実施の形態４に係る端末及び認証サーバの構成を示すブロック図 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例１） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例１の変形例） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例２） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例２の変形例） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例３） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例３の変形例） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例４） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例４の変形例） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例５） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例５の変形例） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例６） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例６の変形例） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例７） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例７の変形例） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例８） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例８の変形例） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例９） 実施の形態４に係る認証処理の動作を示すシーケンス図（動作例９の変形例） 実施の形態５に係る課題の説明に供する図 実施の形態５に係る課題の説明に供する図 実施の形態５に係る端末及び認証サーバの構成を示すブロック図 実施の形態５に係る認証処理の動作を示すシーケンス図 実施の形態５のカウンタ値補正処理の動作を示すシーケンス図 実施の形態５に係る認証処理の動作を示すシーケンス図（変形例）

以下、本開示の実施の形態について図面を参照して詳細に説明する。

なお、以下、実施の形態１〜３では、ＣＨＡＰ認証方式に基づく認証方法について説明し、実施の形態４，５では、ＰＡＰ認証方式に基づく認証方法について説明する。

（実施の形態１）
［通信システムの構成］
図１は、本実施の形態に係る通信システムの構成を示す。なお、図１では、本開示の一態様に密接に関連する処理に関わる構成部を示し、それ以外の構成部については示さず、かつ、説明を省略する。

本実施の形態に係る通信システム１は、端末１０、ＳＩＭカード４０、ＭＮＯネットワーク５０、ＭＶＮＯネットワーク６０、インターネット７０を備える構成を採る。

端末１０は、例えば、携帯電話などであって、ＴＥ（Terminal Equipment）２０及びＭＴ（Mobile Terminal）３０を備える。

ＴＥ２０は、各種アプリケーションを実行する装置である。ＴＥ２０は、認証処理に用いる共通鍵の交換処理をＭＶＮＯネットワーク６０内の認証サーバ６２との間で行い、生成された共通鍵を保持する。ＴＥ２０は共通鍵を用いてパスワードの暗号化を行う。ＴＥ２０は、ＭＶＮＯネットワーク６０への接続要求を行う際、認証方法、ユーザＩＤ（username）、パスワード若しくは暗号化されたパスワードをＭＴ３０へ送信する。

ＭＴ３０は、ＳＩＭカード４０と接続し、ＳＩＭカード４０に記憶されているＩＭＳＩを読み出す。また、ＭＴ３０は、ＭＮＯネットワーク５０及びＭＶＮＯネットワーク６０との間においてアタッチ処理及びセッション確立処理を行う。ここで、認証処理を行う際、ＭＴ３０は、ＴＥ２０から受け取る、認証方法、ユーザＩＤ、パスワード若しくは、暗号化されたパスワードを用いて、認証に用いるパラメータを生成する。

ＳＩＭカード４０は、加入者識別子（ＩＭＳＩ）、電話番号（ＭＳＩＳＤＮ）等を格納する。

ＭＮＯネットワーク５０は、ＢＴＳ（Base station tranceiver：基地局）５１を介してＭＴ３０との間において通信のやりとりを行う。ＭＴ３０からＭＮＯネットワーク５０へ送信されるアタッチ要求のパラメータの内、認証に用いるパラメータは、任意のデータを送信可能なＰＣＯ（Protocol Configuration Option）領域を使用して送信され、ＭＶＮＯネットワーク６０まで透過的に伝えられる。ＭＴ３０からＭＮＯネットワーク５０へ送信されるＩＭＳＩ等の別のパラメータはＰＣＯ領域とは別の領域を使用して送信される。

ＭＶＮＯネットワーク６０は、Ｐ−ＧＷ（Packet data network GateWay）６１及び認証サーバ６２を含む構成を採る。

Ｐ−ＧＷ６１は、ＭＮＯネットワーク５０、及び、インターネット７０等の外部ネットワークと接続し、ＩＰアドレスの割り当てなどを行う。端末１０は、Ｐ−ＧＷ６１を介して認証サーバ６２との間で認証処理を行い、認証された場合にはＰ−ＧＷ６１を介してインターネット７０に接続される。

認証サーバ６２は、ＭＴ３０を介してＴＥ２０との間で認証処理を行う。また、認証サーバ６２は、ＴＥ２０との間で、認証処理に用いる共通鍵の交換処理を行う。

なお、図１においてＢＴＳ５１とＰ−ＧＷ６１は直接接続されているように記しているが、これは論理的に接続されていることを示す。実際、ＢＴＳ５１とＰ−ＧＷ６１の間は、種々の装置及び内部ネットワークを介して接続されているが、ここでは図示及び説明を省略する。

［端末１０及び認証サーバ６２の構成］
図２は、本実施の形態に係る認証処理に密接に関連する、端末１０（ＴＥ２０＋ＭＴ３０）及び認証サーバ６２の構成を示すブロック図である。

端末１０は、ユーザＩＤ／パスワードを用いてＭＶＮＯネットワーク６０に接続要求(アタッチ要求)を行う。また、認証サーバ６２は、ＣＨＡＰ認証方式を用いて、ユーザＩＤ／パスワードを用いてＭＶＮＯネットワーク６０に接続要求を行う端末を認証する。

図２に示す端末１０は、ＴＥ２０及びＭＴ３０により構成される。また、ＴＥ２０は、タグ情報生成部２１、鍵交換処理部２２、記憶部２３、暗号化部２４を備え、ＭＴ３０は、ＣＨＰＡ処理部３１、通信部３２を備える。

端末１０において、タグ情報生成部２１は、端末１０がＭＶＮＯネットワーク６０への初めてのアタッチ要求を行い、当該アタッチ要求が承認された場合に、タグ情報を生成する。タグ情報は、認証サーバ６２との間で共有され、少なくとも、端末１０のユーザＩＤと、端末１０に搭載（挿入）されたＳＩＭカード４０が保持するＭＳＩＳＤＮ（電話番号）を用いて生成される（少なくとも、端末１０のユーザＩＤと、端末１０に搭載（挿入）されたＳＩＭカード４０が保持するＭＳＩＳＤＮを用い、これらを暗号化することによって生成される）。タグ情報生成部２１は、生成したタグ情報を記憶部２３に出力する。

鍵交換処理部２２は、認証サーバ６２との間で共通鍵の交換処理を行う。共通鍵は、ＣＨＡＰ処理の入力パラメータであるパスワードの暗号化に使用される。具体的には、鍵交換処理部２２は、認証サーバ６２に対して、記憶部２３に格納されたタグ情報を含む鍵生成要求を送信し、認証サーバ６２との間で共有される共通鍵を生成する。鍵交換処理部２２は、共通鍵の交換処理において認証サーバ６２へパラメータを送信する際には、タグ情報を併せて送信する。なお、鍵交換処理部２２は、認証サーバ６２との間の共通鍵交換処理に関するパラメータのやりとりをＭＴ３０の通信部３２を介して行う。そして、鍵交換処理部２２は、共通鍵交換処理によって生成された共通鍵を記憶部２３に出力する。鍵交換処理部２２における共通鍵交換処理の詳細については後述する。

記憶部２３は例えば不揮発性メモリであって、端末１０に電源が供給されない場合にもデータを保持可能である。記憶部２３は、鍵交換処理部２２から受け取る共通鍵を格納する。また、記憶部２３は、ＴＥ２０（端末１０）に設定されたユーザＩＤ／パスワードを格納する。記憶部２３は、パスワード及び共通鍵を暗号化部２４に出力するとともに、ユーザＩＤを通信部３２に出力する。

なお、ユーザＩＤ／パスワードは、記憶部２３に格納される場合に限定されず、端末１０の外部から入力されてもよい。

暗号化部２４は、記憶部２３に格納された共通鍵を用いて、記憶部２３から受け取る端末１０のパスワードを暗号化する。共通鍵を用いた暗号化方式として、ＤＥＳ（Data Encription Standard）、トリプルＤＥＳ、ＡＥＳ（Advanced Encryption Standard）暗号方式等が挙げられる。暗号化部２４は、暗号化の出力結果をＣＨＡＰ処理部３１へ出力する。

なお、ＴＥ２０は、ネットワーク接続要求（アッタチ要求）のトリガが発生すると、ＭＴ３０に対して、認証種別（ＣＨＡＰ、ＰＡＰなど）、記憶部２３に格納されたユーザＩＤ、及び、暗号化部２４の暗号化出力をＭＴ３０へ出力する。

ＭＴ３０において、ＣＨＡＰ処理部３１は、初回接続要求時には、ＴＥ２０（例えば記憶部２３）から受け取るパスワードを用いて、ＣＨＡＰ処理を行う。具体的には、ＣＨＡＰ処理部３１は、乱数列をチャレンジコードとして発生させる。そして、ＣＨＡＰ処理部３１は、チャレンジコードと、パスワードとを用いてハッシュ関数を適用することにより、レスポンスコード（ハッシュ値）を算出する。

一方、ＣＨＡＰ処理部３１は、２回目以降の接続要求時には、暗号化部２４から受け取るパスワードの暗号化出力を用いて、ＣＨＡＰ処理を行う。具体的には、ＣＨＡＰ処理部３１は、乱数列であるチャレンジコードと、パスワードの暗号化出力とを用いてハッシュ関数を適用することにより、レスポンスコード（ハッシュ値）を算出する。

ＣＨＡＰ処理部３１は、チャレンジコード及びレスポンスコードを通信部３２へ出力する。

通信部３２は、ＭＮＯネットワーク５０、ＭＶＮＯネットワーク６０を介して認証サーバ６２との間の通信を行う。例えば、通信部３２は、ネットワーク接続要求時には、アタッチ処理、及び、セッション確立処理に関するデータを送受信する（図示せず）。例えば、通信部３２は、アタッチ要求時には、認証種別、ユーザＩＤ、チャレンジコード、レスポンスコード、及び、ＳＩＭカード４０から取得するＩＭＳＩを含む接続要求を送信する。なお、認証種別、ユーザＩＤ、チャレンジコード、レスポンスコードは、ＰＣＯ領域で送信される。ＭＮＯネットワーク５０は、ＰＣＯ領域で受信したパラメータをＭＶＮＯネットワーク６０のＰ−ＧＷ６１に透過的に伝える。

また、通信部３２は、アタッチ完了時には、ＭＮＯネットワーク５０から受け取る、アタッチ完了に含まれるＩＰアドレスなどのパラメータをＴＥ２０へ出力する（図示せず）。

次に、図２に示す認証サーバ６２は、通信部６２１、記憶部６２２、タグ情報生成部６２３、鍵交換処理部６２４、暗号化部６２５、認証部６２６を備える。

通信部６２１は、ＭＶＮＯネットワーク６０、ＭＮＯネットワーク５０を介してＭＴ３０との間の通信を行う。通信部６２１は、認証種別、端末１０のユーザＩＤ、チャレンジコード及びレスポンスコード及びＭＳＩＳＤＮを含む認証要求を受信し、認証要求を暗号化部６２５、タグ情報生成部６２３及び認証部６２６に出力する。なお、ＭＳＩＳＤＮは、ＭＴ３０からＭＮＯネットワーク５０に送信されたＳＩＭ情報（ＩＭＳＩ等）に基づきＭＮＯネットワーク５０からＭＶＮＯネットワーク６０に送られてきたものである。また、通信部６２１は、認証結果（認証成功（accept）又は認証失敗（reject））をＰ−ＧＷ６１（図１を参照）へ出力する。

また、通信部６２１は、共通鍵の交換処理の際、タグ情報を含む鍵生成要求を受信し、鍵交換処理に関するパラメータの送受信を行う。鍵交換処理に関するパラメータは、鍵交換処理部６２４に出力される。

記憶部６２２は、認証処理に用いられるパラメータを格納する。具体的には、記憶部６２２は、ユーザＩＤ／パスワードとＭＳＩＳＤＮとの対応付け、ユーザＩＤとパスワードとの対応付け、タグ情報と当該タグ情報の生成に用いられたＭＳＩＳＤＮとの対応付け、及び、鍵生成要求に含まれるタグ情報に対応付けられたＭＳＩＳＤＮと、当該鍵生成要求によって生成された共通鍵との対応付けなどを格納する。

タグ情報生成部６２３は、端末１０がＭＶＮＯネットワーク６０への初めての接続要求（アッタチ要求）を行い、当該接続要求（アタッチ要求）に対応する認証要求が承認された場合に、当該端末１０に対するタグ情報を生成する。タグ情報は、少なくとも、通信部６２１で受信した端末１０のユーザＩＤ及び、ＭＳＩＳＤＮから生成される（少なくとも、通信部６２１で受信した端末１０のユーザＩＤ及びＭＳＩＳＤＮを用い、これらを暗号化することによって生成される）。タグ情報生成部６２３は、生成したタグ情報を、当該タグ情報の生成に用いられたＭＳＩＳＤＮと対応付けて記憶部６２２に格納させる。

鍵交換処理部６２４は、ＴＥ２０（鍵交換処理部２２）との間で共通鍵の交換処理を行う。具体的には、鍵交換処理部６２４は、タグ情報を含む鍵生成要求を受けとると、端末１０との間で共有する共通鍵を生成する。なお、鍵交換処理部６２４は、ＴＥ２０との間の共通鍵交換処理に関するパラメータのやりとりを通信部６２１を介して行う。

鍵交換処理部６２４は、鍵交換処理によって生成された共通鍵を、対応する鍵生成要求に含まれるタグ情報に対応付けられたＭＳＩＳＤＮと対応付けて記憶部６２２に格納させる。鍵交換処理部６２４における共通鍵交換処理の詳細については後述する。

暗号化部６２５は、端末１０による２回目以降の接続要求（アタッチ要求）に対応する認証要求を受け取ると、受信した認証要求に含まれるＭＳＩＳＤＮに対応付けられた共通鍵を記憶部６２２から取得し、受信した認証要求に含まれるユーザＩＤに対応付けられたパスワードを記憶部６２２から取得する。そして、暗号化部６２５は、取得した共通鍵を用いて、取得したパスワードを暗号化（例えば、ＤＥＳ、トリプルＤＥＳ、ＡＥＳ暗号方式）する。暗号化部６２５は、暗号化の出力結果を認証部６２６へ出力する。

認証部６２６は、通信部６２１から認証要求を受け取ると、当該認証要求に対応する端末１０に対して認証処理を行う。具体的には、認証部６２６は、ＣＨＡＰ認証、及びユーザＩＤ／パスワードとＭＳＩＳＤＮとの組み合わせの妥当性検証を行う。

ＣＨＡＰ認証において、認証部６２６は、端末１０による初回の接続要求時には、認証要求に含まれるチャレンジコードと、認証要求に含まれるユーザＩＤに対応付けられ記憶部６２２に格納されたパスワードとを用いてハッシュ値を算出する。一方、認証部６２６は、端末１０による２回目以降の接続要求（アタッチ要求）時には、認証要求に含まれるチャレンジコードと、暗号化部６２５から受け取る暗号化出力とを用いてハッシュ値を算出する。

そして、認証部６２６は、算出したハッシュ値と、認証要求に含まれるレスポンスコード（ハッシュ値）とが一致しているか否かを判断する。認証部６２６は、ハッシュ値とレスポンスコードとが一致している場合、認証要求に対応する端末１０の接続要求（アタッチ）が正当であると判定する。

認証部６２６は、ＣＨＡＰ認証、及び、ユーザＩＤ／パスワードとＭＳＩＳＤＮとの組み合わせの妥当性検証の結果、つまり、認証要求に対応する端末１０の接続要求が正当であるか否かの判定結果を示す認証結果を通信部６２１へ出力する。

［認証処理に関する動作］
次に、上述した通信システム１における認証処理の詳細について説明する。

以下では、端末Ａ（端末１０）のＴＥ２０に設定されたユーザＩＤ（username）を「userID_A」とし、パスワードを「pass_A」とする。また、端末ＡのＭＴ３０に搭載（挿入）されたＳＩＭカード４０（SIM_A）のＩＭＳＩを「IMSI_A」、ＭＳＩＳＤＮを「MSISDN_A」とする。

また、認証サーバ６２は、各端末１０（例えば、端末Ａ、端末Ｂ）のユーザＩＤとパスワードとを対応付けて格納している「username/passwordテーブル」を保持する。

また、認証サーバ６２は、各端末１０のタグ情報と、当該端末１０のＭＳＩＳＤＮとを対応付けて格納している「タグ情報/MSISDNテーブル」を保持する。

また、認証サーバ６２は、ＭＳＩＳＤＮと共通鍵とを対応付けて格納している「MSISDN/共通鍵テーブル」を保持する。

また、認証サーバ６２は、ＭＳＩＳＤＮと、当該ＭＳＩＳＤＮに対応付けられた共通鍵によって暗号化された出力結果（暗号化出力）とを対応付けて格納している「MSISDN/暗号化出力テーブル」を保持する。

また、認証サーバ６２は、username/passwordと、ＭＳＩＳＤＮとの組み合わせを予め登録しているものとする。

また、以下の説明で使用する各パラメータ（KA、KB、AU_A、AU_Bなど）における括弧内の数字は、当該パラメータが生成された回数を表す。

［初期動作］
図３は、端末１０（ＴＥ２０＋ＭＴ３０）がＭＶＮＯネットワーク６０に初めて接続要求する際の各装置の動作を示すシーケンス図である。換言すると、「初めて接続要求する」とは、接続要求時にＣＨＡＰ認証に用いる共通鍵が存在しない状態における接続要求を言う。

ステップ（以下、単に「ＳＴ」と表す）１０１では、ＴＥ２０において、ネットワーク接続要求のトリガが発生し、ＳＴ１０２では、ＴＥ２０は、ＭＴ３０に対して接続要求を送信する。この接続要求には、認証種別（ここではＣＨＡＰ認証）、ＴＥ２０のユーザＩＤ（userID_A）、パスワード（pass_A）が含まれる。

ＳＴ１０３では、ＭＴ３０は、ＣＨＡＰ処理を行う。具体的には、ＭＴ３０は、乱数列を発生させてチャレンジコード（以下、「Challenge」と表すこともある）を生成し、チャレンジコード、及び、ＳＴ１０２において受け取ったパスワードを用いてハッシュ関数を適用することにより、レスポンスコード（以下、「Response」と表すこともある。ハッシュ値）を生成する。

ＳＴ１０４では、ＭＴ３０は、ＭＮＯネットワーク５０に対してアタッチ要求を送信する。このアタッチ要求には、認証種別（ここではＣＨＡＰ認証）、ＴＥ２０のユーザＩＤ（userID_A）、ＳＴ１０３のＣＨＡＰ処理において得られたチャレンジコード及びレスポンスコードが含まれる。これらのパラメータは、ＰＣＯ領域を用いて送信される。また、アタッチ要求にはＩＭＳＩ(IMSI_A)も含まれ、ＰＣＯ領域とは別の領域を用いて送信される。

ＳＴ１０５では、ＭＴ３０及びＭＮＯネットワーク５０は、ＭＴ３０に接続されたＳＩＭカード４０のＩＭＳＩ（IMSI_A）を用いて、当該ＩＭＳＩがＭＮＯネットワーク５０に登録されている値と一致するか否かを判断する（ＳＩＭが正当なものであるか否かを判断する）ＳＩＭ認証処理を行う。

ＳＴ１０６では、ＭＮＯネットワーク５０は、端末１０に対する通信経路の設定要求を、ＭＶＮＯネットワーク６０内のＰ−ＧＷ６１へ送信する。この経路設定要求には、認証種別（ここではＣＨＡＰ認証）、ＴＥ２０のユーザＩＤ（userID_A）、チャレンジコード及びレスポンスコードが含まれる。これらのパラメータは、ＰＣＯ領域を用いて送信される。また、ＭＮＯネットワーク５０は、ＳＴ１０４でＭＴ３０から受信したＩＭＳＩ（IMSI_A）に対応するＭＳＩＳＤＮ（ＭＴ３０に接続されたＳＩＭカード４０のＭＳＩＳＤＮ（MSISDN_A））をＰ−ＧＷ６１へ合わせて送信する。

ＳＴ１０７では、Ｐ−ＧＷ６１は、ＳＴ１０６で受け取ったＰＣＯ領域の内容、ＭＳＩＳＤＮに従って、端末１０に対する認証要求を認証サーバ６２へ送信する。この認証要求には、認証種別（ここではＣＨＡＰ認証）、ＴＥ２０のユーザＩＤ（userID_A）、チャレンジコード／レスポンスコード、及び、ＭＳＩＳＤＮ（MSISDN_A）が含まれる。

ＳＴ１０８では、認証サーバ６２は、username/passwordテーブルを参照して、ＳＴ１０７において受け取った認証要求に含まれるユーザＩＤ（userID_A）に対応するパスワード（pass_A）を取得する。

ＳＴ１０９では、認証サーバ６２は、ＣＨＡＰ認証処理、及び、ユーザＩＤ/パスワードとＭＳＩＳＤＮとの組み合わせの妥当性検証（以下、単に「妥当性検証」と称することもある）を行う。具体的には、認証サーバ６２は、ＣＨＡＰ認証において、ＳＴ１０７で受け取ったチャレンジコード（乱数）及びＳＴ１０８で取得したパスワード（pass_A）を用いてハッシュ関数を適用し、得られたハッシュ値と、ＳＴ１０７において受け取ったレスポンスコードとが一致している場合、端末１０からの接続要求（認証要求）が正当であると判定する（認証成功）。

または、認証サーバ６２は、ＳＴ１０７及びＳＴ１０８で取得したユーザＩＤ/パスワードと、ＳＴ１０７で取得したＭＳＩＳＤＮとの組み合わせが、予め登録されている組み合わせと一致する場合、端末１０からの接続要求（認証要求）が正当であると判定する（認証成功）。

なお、ＳＴ１０９において、認証サーバ６２は、ＣＨＡＰ認証処理及び妥当性検証処理の何れか一方の処理を先に行い、一方の処理において認証成功の場合、他方の処理を行う。すなわち、認証サーバ６２は、どちらか一方でも認証処理が失敗した場合、端末１０からの接続要求（認証要求）が不正であるとみなす。

ＳＴ１１０では、認証サーバ６２は、ＳＴ１０９における認証処理の結果、認証が成功したか否かを判断する。認証サーバ６２は、認証成功の場合（ＳＴ１１０：Ｙｅｓ）にはＳＴ１１１の処理に進み、認証失敗の場合（ＳＴ１１０：Ｎｏ）、ＳＴ１１２の処理に進む。

ＳＴ１１１では、認証サーバ６２は、認証した端末１０に対応するユーザＩＤ（userID_A）及びＭＳＩＳＤＮ（MSISDN_A）を用い、これらを暗号化することによってＴＥ２０のタグ情報（H_A）を生成する。認証サーバ６２は、生成したタグ情報（H_A）と、タグ情報の生成に用いたＭＳＩＳＤＮ（MSISDN_A）との対応付けをタグ情報/MSISDNテーブルに格納する。

なお、タグ情報の生成における暗号化の手法としては、ユーザＩＤ及びＭＳＩＳＤＮを用いてハッシュ値を計算したり、端末１０と認証サーバ６２の間で事前に共有された鍵もしくはＣＨＡＰ認証で用いたチャレンジコードを用いてユーザＩＤ及びＭＳＩＳＤＮを暗号化する。また、ハッシュ値計算又は暗号化の対象はユーザＩＤ及びＭＳＩＳＤＮのコードを結合したもの、又は、ユーザＩＤ及びＭＳＩＳＤＮの加算値、減算値に限定されず、ユーザＩＤ及びＭＳＩＳＤＮの乗算値又は除算値でもよく、ユーザＩＤ及びＭＳＩＳＤＮを用いた他の演算結果でもよい。また、ユーザＩＤの代わりに、当該ユーザＩＤに対応付けられたパスワードとユーザＩＤを用いた何かしらの演算結果を使用してもよい。すなわち、認証サーバ６２に予め登録されているユーザＩＤ／パスワードと、ＭＳＩＳＤＮとの組み合わせを暗号化することによってタグ情報が生成されればよい。

ＳＴ１１２では、認証サーバ６２は、Ｐ−ＧＷ６１に対して、端末１０の認証成功（accept）を示すメッセージを送信する。なお、端末１０の認証が失敗した場合には認証失敗（reject）を示すメッセージが送信される（図示せず）。

ＳＴ１１３では、Ｐ−ＧＷ６１は、端末１０に対してＩＰアドレスを割り当てる。ＳＴ１１４では、ＳＴ１０６の経路設定要求に対する応答である経路設定応答をＭＮＯネットワーク５０に送信する。この経路設定応答には、ＳＴ１１３で割り当てられたＩＰアドレスが含まれる。

ＳＴ１１５では、ＭＮＯネットワーク５０は、ＭＴ３０に対して、アタッチ完了通知を送信するとともに、パケットの論理的パスであるベアラ（デフォルトベアラ）の設定要求を送信する。ＳＴ１１６では、ＭＮＯネットワーク５０及びＭＴ３０は、アタッチ完了処理、及び、デフォルトベアラの確立処理を行う。

ＳＴ１１７では、ＭＴ３０は、ＴＥ２０に対して、アタッチの完了を報告するとともに、割り当てられたＩＰアドレスを通知する。

ＳＴ１１８では、ＴＥ２０は、アタッチ完了の報告を受けて、ＴＥ２０のユーザＩＤ（userID_A）及びＭＴ３０に搭載されたＳＩＭカード４０のＭＳＩＳＤＮ（MSISDN_A）を用いてＴＥ２０のタグ情報（H_A）を算出する。なお、ＳＴ１１１及びＳＴ１１８におけるタグ情報の算出方法は同一とする。

つまり、ＴＥ２０及び認証サーバ６２は、端末１０を利用するユーザＡのユーザＩＤ及びＳＩＭカード４０（SIM_A）のＭＳＩＳＤＮ（MSISDN_A）を用いて算出された同一値のタグ情報を保持している。

［共通鍵交換処理］
次に、図４は、ＴＥ２０と認証サーバ６２との間における共通鍵の交換処理を示すシーケンス図である。

図４に示す共通鍵の交換処理は、少なくとも、図３に示す動作の後に実行される。すなわち、図４に示すＴＥ２０及び認証サーバ６２は、端末１０（ユーザＡ）のユーザＩＤ及びＳＩＭカード４０（SIM_A）のＭＳＩＳＤＮ（MSISDN_A）を用いて算出されたタグ情報（H_A）を予め保持している。

ＳＴ２０１では、ＴＥ２０は、認証サーバ６２に対して、共通鍵の生成を要求する鍵生成要求をＰ−ＧＷ６１を介して送信する。この鍵生成要求には、図３に示すＳＴ１１８において算出されたタグ情報（H_A）が含まれる。タグ情報（H_A）を一緒に送信するのは、認証サーバ６２に対して、ＳＴ２０１が、複数存在する端末１０の内、ユーザＡからの鍵生成要求であることを通知するためである。

認証サーバ６２は、ＳＴ２０２ａにおいて鍵交換処理を行うことにより、生成鍵KA(1)を生成し、ＴＥ２０は、ＳＴ２０２ｂにおいて鍵交換処理を行うことにより、生成鍵KA(1)を生成する。例えば、ＳＴ２０２ａ及びＳＴ２０２ｂでは、ＤＨ（Diffie-Hellman）鍵共有法が適用される。

図５は、ＴＥ２０及び認証サーバ６２における共通鍵交換処理のより詳細な動作を示すシーケンス図である。

具体的には、ＳＴ２０２ａ及びＳＴ２０２ｂにおいて、まず、認証サーバ６２は、乱数Ｂ１（１）を生成する。次いで、認証サーバ６２は、事前に設定された非常に大きな素数Ｐ、生成元Ｇ及び、乱数Ｂ１（１）を用いてnonce値（Nonce_s）を生成する（ＳＴ２２１）。そして、認証サーバ６２は、生成元Ｇ、素数Ｐ及びnonce値（Nonce_s）をパラメータ１（１）としてＴＥ２０へ送信する（ＳＴ２２２）。

一方、ＴＥ２０は、認証サーバ６２と同様、乱数Ａ１（１）を生成し、乱数Ａ１（１）、及び、認証サーバ６２から受け取る生成元Ｇ及び素数Ｐを用いてnonce値（Nonce_c）を生成する（ＳＴ２２３）。そして、ＴＥ２０は、Nonce_c及びタグ情報（H_A）を含むパラメータ２（１）を認証サーバ６２へ送信する（ＳＴ２２４）。

次いで、認証サーバ６２は、ＴＥ２０から送信されたNonce_c、乱数Ｂ１（１）及び素数Ｐを用いて共通鍵KA(1)を生成する（ＳＴ２２５）。また、ＴＥ２０は、乱数Ａ１（１）、認証サーバ６２から送信されたNonce_s及び素数Ｐを用いて共通鍵KA(1)を生成する（ＳＴ２２６）。

以上の処理により、ＴＥ２０及び認証サーバ６２は、ＴＥ２０及び認証サーバ６２において共有される共通鍵KA(1)を生成する。

図４に戻り、ＳＴ２０３では、認証サーバ６２は、タグ情報/MSISDNテーブルを参照して、ＴＥ２０から受け取ったタグ情報（H_A）に対応するＭＳＩＳＤＮ（MSISDN_A）を取得する。

ＳＴ２０４では、認証サーバ６２は、ＳＴ２０３で取得したＭＳＩＳＤＮ（MSISDN_A）に対応付けて、ＳＴ２０２ａで生成した共通鍵（KA(1)）を、MSISDN/共通鍵テーブルに格納する。

ＳＴ２０５では、ＴＥ２０は、ＳＴ２０２ｂで生成した共通鍵（KA(1)）を記憶部２３に格納する。

ＳＴ２０６では、ＴＥ２０は、タイマの計時を開始し、予め設定された時間（待ち時間）が経過するまで待機する。

そして、タイマが満了すると、ＴＥ２０は、ＳＴ２０１’において鍵生成要求を認証サーバ６２へ送信する。ＴＥ２０及び認証サーバ６２は、ＳＴ２０１’〜ＳＴ２０６’において、ＳＴ２０１〜ＳＴ２０６の処理と同様の処理を行う。ただし、ＳＴ２０１’〜ＳＴ２０６’の処理では、共通鍵（KA(2)）の生成に用いるパラメータ（パラメータ１（２）、パラメータ２（２））がＳＴ２０１〜ＳＴ２０６の処理で用いた値と異なる（認証サーバ６２で生成する乱数Ｂ１及び、ＴＥ２０で生成する乱数Ａ１がそれぞれ異なる）。こうすることで、ＳＴ２０１’〜ＳＴ２０６’では、ＳＴ２０１〜ＳＴ２０６とは異なる共通鍵KA(2)が生成される。

なお、図４では、２回目の共通鍵の交換処理まで示しているが、これ以降、端末ＡのＴＥ２０及び認証サーバ６２は、端末ＡがＭＶＮＯネットワーク６０に接続されている間、待ち時間の経過毎に共通鍵交換処理を繰り返し行う。また、端末ＡのＴＥ２０及び認証サーバ６２は、図３に示す初回のアタッチ処理（接続要求）の後にデタッチされ、再び接続要求によりＭＶＮＯネットワーク６０に接続される度に、図４に示す共通鍵交換処理を行う。

なお、認証サーバ６２は、端末Ａのみでなく、ＭＶＮＯネットワーク６０に接続された他の端末１０（図４では端末Ｂ）についても共通鍵（KB）の交換処理を行う。これにより、各端末１０と認証サーバ６２との間で共通鍵が共有される。

［２回目以降の認証処理］
次に、端末１０（ＴＥ２０＋ＭＴ３０）がＭＶＮＯネットワーク６０に対して２回目以降の接続を要求する際の各装置の動作について説明する。

ここで、「２回目以降の接続要求」とは、初回接続（図３を参照）の後に、端末１０の電源ＯＦＦ又はセルラー通信を無効にするモード（機内モードなど）などによって、端末１０とセルラーネットワークとの間の回線が少なくとも１回切断（デタッチ）された後の接続のことである。換言すると、「２回目以降の接続要求」とは、少なくとも、図３に示す初期動作、及び、図４に示す共通鍵交換処理（ＳＴ２０１〜ＳＴ２０５）が行われた後の接続処理のことである。つまり、２回目以降の接続要求時には、端末Ａ及び認証サーバ６２は、互いに共有した端末Ａの共通鍵を保持している。

なお、以下の説明に用いる図３及び図６〜図１６において同一の処理には同一の符号を付し、重複する説明を省略する。

＜動作例１：図６＞
動作例１では、端末ＡのユーザＡ（正当なユーザ）が認証処理を行う場合について説明する。また、動作例１では、端末Ａには、ＳＩＭカード４０としてSIM_A（IMSI_A、MSISDN_A）が挿入されている。

図６では、端末Ａ（ユーザＡ）に対するユーザＩＤ／パスワード／ＭＳＩＳＤＮ／共通鍵をそれぞれ、userID_A、pass_A、MSISDN_A、KA(N)とする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／パスワード／ＭＳＩＳＤＮ／共通鍵をそれぞれ、userID_B、pass_B、MSISDN_B、KB(L)とする。

ＳＴ３０１では、端末ＡのＴＥ２０は、図４に示す共通鍵交換処理によって生成された共通鍵（KA(N)）を用いて、ＴＥ２０に設定されたパスワード（pass_A）を暗号化し、暗号化出力AU_A(1)を得る。

ＳＴ１０２（図３を参照）におけるネットワーク接続要求に含まれるパスワードがpass_Aであるのに対して、図６に示すＳＴ１０２’におけるネットワーク接続要求に含まれるパスワードがＳＴ３０１において生成された暗号化出力AU_A(1)（つまり、pass_Aの暗号化出力）である点が異なる。すなわち、ＳＴ１０３のＣＨＡＰ処理では、暗号化出力AU_A(1)とチャレンジコードに対してハッシュ関数が適用される。

ＳＴ３０２では、認証サーバ６２は、ＳＴ１０７で受け取ったユーザＩＤ（userID_A）及びＭＳＩＳＤＮ（MSISDN_A）と、ＳＴ１０８で取得したパスワード（pass_A）との組み合わせが、予め登録されている組み合わせと一致するか否かを判断する（組み合わせの妥当性検証）。認証サーバ６２は、組み合わせが妥当である場合（ＳＴ３０３：Ｙｅｓ）にはＳＴ３０４の処理に進み、組み合わせが妥当ではない場合（ＳＴ３０３：Ｎｏ）には認証失敗としてＳＴ１１２の処理に進む。ここでは、上記組み合わせはuserID_A／pass_A／MSISDN_Aであるので、認証サーバ６２は、組み合わせが妥当であると判定する。

ＳＴ３０４では、認証サーバ６２は、MSISDN/共通鍵テーブルを参照して、ＳＴ１０７で受け取ったＭＳＩＳＤＮ（MSISDN_A）に対応する共通鍵（KA(N)）を取得する。

ＳＴ３０５では、認証サーバ６２は、ＳＴ３０４で取得した共通鍵(KA(N))を用いて、ＳＴ１０８で取得したパスワード（pass_A）を暗号化し、暗号化出力AU_A(1)を得る。つまり、認証サーバ６２は、認証要求に含まれるＭＳＩＳＤＮに対応付けられた共通鍵を用いて、認証要求に含まれるユーザＩＤに対応付けられたパスワードを暗号化する。

また、認証サーバ６２は、ＳＴ３０５で得た暗号化出力AU_A(1)を、ＳＴ１０７で受け取ったＭＳＩＳＤＮ（MSISDN_A）に対応付けて、MSISDN/暗号化出力テーブルに格納する。

ＳＴ３０６では、認証サーバ６２はＣＨＡＰ認証を行う。具体的には、認証サーバ６２は、ＳＴ１０７で受け取ったチャレンジコード（乱数）及びＳＴ３０５で得た暗号化出力（AU_A(1)）を用いてハッシュ関数を適用することにより得られたハッシュ値と、ＳＴ１０７において受け取ったレスポンスコード（ハッシュ値）とが一致している場合、端末Ａの接続要求が正当であると判定する（認証成功）。

認証サーバ６２は、ＳＴ３０２の妥当性検証及びＳＴ３０６のＣＨＰＡ認証の双方において端末Ａの接続要求が正当なユーザによる接続要求であると判定した場合、当該端末Ａに対してＭＶＮＯネットワーク６０への接続を許可する。

このように、端末１０及び認証サーバ６２は、共通鍵KA(N)を用いてパスワードを暗号化し、暗号化されたパスワード（暗号化出力）を用いてＣＨＡＰ認証を行う。

上述したように、共通鍵は、端末１０毎に、すなわちＴＥ２０毎に個別に生成されるとともに、認証サーバ６２において端末１０毎に生成される。更に、認証サーバ６２では、端末１０毎に生成された共通鍵が、ＳＩＭカード４０に紐づくＭＳＩＳＤＮ毎に対応付けられて管理されている。よって、本実施の形態に係る認証方式によれば、認証サーバ６２は、ユーザＩＤ／パスワードとＭＳＩＳＤＮの組み合わせに加え、端末１０（ＴＥ２０）に紐づく共通鍵とＳＩＭに紐づくＭＳＩＳＤＮの組み合わせに基づいて端末１０に対する認証処理を行うことができる。

例えば、正当なユーザのユーザＩＤ／パスワード及びＳＩＭが或るタイミングにおいて第３者に盗まれ、第３者の端末１０を介して接続要求が行われたとする。この場合ユーザＩＤ／パスワードとＭＳＩＳＤＮの組み合わせは妥当と判断される。しかし、当該第３者の端末１０において使用される共通鍵（すなわち、第３者の共通鍵）と、認証サーバ６２において使用される、盗まれたＳＩＭのＭＳＩＳＤＮに対応付けられた共通鍵（すなわち、正当なユーザの共通鍵）と、が異なる。よって、認証サーバ６２は、当該第３者による不正アクセスを防止することができる。

なお、このような不正アクセスを防止する動作の具体例については、動作例２〜動作例７において後述する。

（変形例）
認証サーバ６２は、図６に示す処理の代わりに、図７に示すように、ＣＨＡＰ認証を先に行い、ＣＨＡＰ認証が成功した場合（ＳＴ３０７：Ｙｅｓ）、ユーザＩＤ／パスワードとＭＳＩＳＤＮの組み合わせの妥当性検証を行ってもよい。

以上、動作例１の処理について説明した。

次に、本実施の形態に係る通信システム１において、端末ＡのユーザＡが端末ＢのユーザＢのユーザＩＤ、パスワード又はＳＩＭカードを盗んで不正アクセスを行った場合の動作例２〜動作例７について説明する。

＜動作例２：図８＞
図８では、端末Ａ（ユーザＡ）に対するユーザＩＤ／パスワード／ＩＭＳＩ／ＭＳＩＳＤＮ／共通鍵をそれぞれ、userID_A、pass_A、IMSI_A、MSISDN_A、KA(N)とする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／パスワード／ＭＳＩＳＤＮ／共通鍵をそれぞれ、userID_B、pass_B、MSISDN_B、KB(L)とする。

ただし、動作例２では、端末ＡのユーザＡが端末Ｂ（ユーザＢ）のユーザＩＤ／パスワード（userID_B／pass_B）を盗み、ユーザＢになりすます場合について説明する。

図８に示すように、端末ＡのＴＥ２０は、端末Ａの共通鍵KA(N)を用いてユーザＢのパスワード（pass_B）を暗号化して、暗号化出力AU_BA(1)を得る（ＳＴ３０１）。

そして、ＴＥ２０は、ＭＴ３０に対して、ユーザＢのユーザＩＤ（userID_B）、及び、暗号化出力AU_BA(1)を用いたＣＨＡＰ認証によるネットワーク接続要求を指示する（ＳＴ１０２’）。すなわち、端末ＡのＭＴ３０は、暗号化出力AU_BA(1)を用いてレスポンスコードを生成する。なお、端末ＡのＭＴ３０には、ＳＩＭカード４０としてSIM_A（IMSI_A、MSISDN_A）が挿入されている。

この場合、認証サーバ６２は、ユーザＢのユーザＩＤ（userID_B）、暗号化出力AU_BA(1)を用いて生成されたレスポンスコード、端末Ａに挿入されているSIM_Aに対応するＭＳＩＳＤＮ（MSISDN_A）を含む認証要求を受け取る（ＳＴ１０７）。

また、認証サーバ６２は、username/passwordテーブルを参照して、受け取ったユーザＩＤ（userID_B）に対応付けられたパスワード（pass_B）を取得する（ＳＴ１０８）。

そして、認証サーバ６２は、ユーザＩＤ／パスワードと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ３０２）。ここで、認証サーバ６２には、ユーザＡについて、userID_A／pass_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_B／pass_B／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６２は、ＳＴ１０７及びＳＴ１０８において取得したuserID_B／pass_B／MSISDN_Aの組み合わせが妥当ではないと判断する（ＳＴ３０３：Ｎｏ）。

よって、図８では、認証サーバ６２は、ＣＨＡＰ認証（ＳＴ３０４〜ＳＴ３０６）を行うことなく、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

以上より、動作例２では、ユーザＡによるユーザＢのなりすましを防止することができる。

＜動作例３：図９＞
図９では、端末Ａ（ユーザＡ）に対するユーザＩＤ／パスワード／ＩＭＳＩ／ＭＳＩＳＤＮ／共通鍵をそれぞれ、userID_A、pass_A、IMSI_A、MSISDN_A、KA(N)とし、端末Ｂ（ユーザＢ）に対するユーザＩＤ／パスワード／ＩＭＳＩ／ＭＳＩＳＤＮ／共通鍵をそれぞれ、userID_B、pass_B、IMSI_B、MSISDN_B、KB(L)とする。

ただし、動作例３では、端末ＡのユーザＡが端末ＢのＳＩＭカード４０（SIM_B：IMSI_B、MSISDN_B）を盗み、端末Ａ（ＭＴ３０）に挿入し、ユーザＢになりすます場合について説明する。

図９に示すように、端末ＡのＴＥ２０は、端末Ａの共通鍵KA(N)を用いてユーザＡのパスワード（pass_A）を暗号化して、暗号化出力AU_A(1)を得る（ＳＴ３０１）。

そして、ＴＥ２０は、ＭＴ３０に対して、ユーザＡのユーザＩＤ（userID_A）、及び、暗号化出力AU_A(1)を用いたＣＨＡＰ認証によるネットワーク接続要求を指示する（ＳＴ１０２’）。すなわち、端末ＡのＭＴ３０は、暗号化出力AU_A(1)を用いてレスポンスコードを生成する。また、上述したように、端末ＡのＭＴ３０には、ＳＩＭカード４０としてSIM_B（IMSI_B、MSISDN_B）が挿入されている。

よって、この場合、認証サーバ６２は、ユーザＡのユーザＩＤ（userID_A）、暗号化出力AU_A(1)を用いて生成されたレスポンスコード、SIM_Bに対応するＭＳＩＳＤＮ（MSISDN_B）を含む認証要求を受け取る（ＳＴ１０７）。

また、認証サーバ６２は、username/passwordテーブルを参照して、受け取ったユーザＩＤ（userID_A）に対応付けられたパスワード（pass_A）を取得する（ＳＴ１０８）。

そして、認証サーバ６２は、ユーザＩＤ／パスワードと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ３０２）。ここで、認証サーバ６２には、ユーザＡについて、userID_A／pass_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_B／pass_B／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６２は、ＳＴ１０７及びＳＴ１０８において取得したuserID_A／pass_A／MSISDN_Bの組み合わせが妥当ではないと判断する（ＳＴ３０３：Ｎｏ）。

よって、図９では、認証サーバ６２は、ＣＨＡＰ認証（ＳＴ３０４〜ＳＴ３０６）を行うことなく、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

以上より、動作例３では、ユーザＡによるユーザＢのなりすましを防止することができる。

（変形例）
なお、認証サーバ６２は、図９に示す処理の代わりに、図１０に示すように、ＣＨＡＰ認証を先に行い、ＣＨＡＰ認証が成功した場合（ＳＴ３０７：Ｙｅｓ）、ユーザＩＤ／パスワードとＭＳＩＳＤＮの組み合わせの妥当性検証を行ってもよい。

図１０では、認証サーバ６２は、MSISDN/共通鍵テーブルを参照して、ＳＴ１０７で取得したMSISDN_Bに対応する共通鍵KB(L)を取得する（ＳＴ３０４）。

そして、認証サーバ６２は、共通鍵KB(L)を用いて、ＳＴ１０８で取得したパスワード（pass_A）を暗号化し、暗号化出力AU_AB(M)を得る（ＳＴ３０５）。得られたAU_AB(M)は、MSISDN_Bに対応付けてMSISDN/暗号化出力テーブルに格納される。

認証サーバ６２は、暗号化出力AU_AB(M)を用いてＣＨＡＰ認証を行う（ＳＴ３０６）。具体的には、認証サーバ６２は、暗号化出力AU_AB(M)を用いて得られたハッシュ関数の出力（ハッシュ値）と、ＳＴ１０７で取得したレスポンスコード（ハッシュ値）とが一致するか否かを判断する。ここで、ＳＴ１０３では、ＭＴ３０は、暗号化出力AU_A(1)を用いてＣＨＡＰ処理を行う。つまり、端末Ａと認証サーバ６２とでは、ＣＨＡＰ処理において用いられる入力パラメータ（暗号化出力）が異なる。これは、端末Ａと認証サーバ６２とでは、異なる共通鍵（KA(N)とKB(L)）を用いてパスワード（pass_A）が暗号化されるためである。よって、認証サーバ６２は、暗号化出力AU_AB(M)を用いて得られたハッシュ関数の出力と、ＳＴ１０７で取得したレスポンスコードとは一致しないと判断する（ＳＴ３０７：Ｎｏ）。

よって、図１０では、認証サーバ６２は、ユーザＩＤ／パスワードとＭＳＩＳＤＮとの組み合わせの妥当性検証（ＳＴ３０２）を行うことなく、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

以上より、図１０の動作例でも、ユーザＡによるユーザＢのなりすましを防止することができる。

＜動作例４：図１１＞
動作例４では、端末Ａ及び端末Ｂは同一サービスグループに属しており（例えば、ＭＶＮＯが提供する同じサービスに加入している）、共通のユーザＩＤ／パスワード（userID_A／pass_A）が割り当てられている。

図１１では、端末Ａ（ユーザＡ）に対するユーザＩＤ／パスワード／ＩＭＳＩ／ＭＳＩＳＤＮ／共通鍵をそれぞれ、userID_A、pass_A、MSISDN_A、KA(N)とする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／パスワード／ＩＭＳＩ／ＭＳＩＳＤＮ／共通鍵をそれぞれ、userID_A、pass_A、IMSI_B、MSISDN_B、KB(L)とする。なお、図１１において、userID_B/pass_Bは、端末Ａ及び端末Ｂが属するサービスグループ以外の他のサービスグループに設定されたユーザＩＤ／パスワードである。

ただし、動作例４では、端末ＡのユーザＡが端末ＢのＳＩＭカード４０（SIM_B：IMSI_B、MSISDN_B）を盗み、端末Ａ（ＭＴ３０）に挿入し、ユーザＢになりすます場合について説明する。

図１１に示すように、端末ＡのＴＥ２０は、端末Ａの共通鍵KA(N)を用いてユーザＡのパスワード（pass_A）を暗号化して、暗号化出力AU_A(1)を得る（ＳＴ３０１）。

そして、ＴＥ２０は、ＭＴ３０に対して、ユーザＡのユーザＩＤ（userID_A）、及び、暗号化出力AU_A(1)を用いたＣＨＡＰ認証によるネットワーク接続要求を指示する（ＳＴ１０２’）。すなわち、端末ＡのＭＴ３０は、暗号化出力AU_A(1)とチャレンジコードを用いてレスポンスコードを生成する。また、上述したように、端末ＡのＭＴ３０には、ＳＩＭカード４０としてSIM_B（IMSI_B、MSISDN_B）が挿入されている。

よって、この場合、認証サーバ６２は、ユーザＡのユーザＩＤ（userID_A）、暗号化出力AU_A(1) とチャレンジコードを用いて生成されたレスポンスコード、SIM_Bに対応するＭＳＩＳＤＮ（MSISDN_B）を含む認証要求を受け取る（ＳＴ１０７）。

また、認証サーバ６２は、username/passwordテーブルを参照して、受け取ったユーザＩＤ（userID_A）に対応付けられたパスワード（pass_A）を取得する（ＳＴ１０８）。

そして、認証サーバ６２は、ユーザＩＤ／パスワードと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ３０２）。ここで、認証サーバ６２には、ユーザＡについて、userID_A／pass_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_A／pass_A／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６２は、ＳＴ１０７及びＳＴ１０８において取得したuserID_A／pass_A／MSISDN_Bの組み合わせが妥当であると判断する（ＳＴ３０３：Ｙｅｓ）。

つまり、図１１のように、ユーザＡがユーザＢのＳＩＭカード４０（SIM_B）を端末Ａに挿入してユーザＢになりすました場合、ユーザＩＤ／パスワードとＭＳＩＳＤＮとの組み合わせの妥当性検証では当該なりすましを防止することができない。

そこで、図１１では、認証サーバ６２は、引き続き、ＣＨＡＰ認証を行う。

具体的には、認証サーバ６２は、MSISDN/共通鍵テーブルを参照して、ＳＴ１０７で取得したMSISDN_Bに対応する共通鍵KB(L)を取得する（ＳＴ３０４）。そして、認証サーバ６２は、共通鍵KB(L)を用いて、ＳＴ１０８で取得したパスワード（pass_A）を暗号化し、暗号化出力AU_AB(M)を得る（ＳＴ３０５）。得られたAU_AB(M)は、MSISDN_Bに対応付けてMSISDN/暗号化出力テーブルに格納される。

次いで、認証サーバ６２は、暗号化出力AU_AB(M)を用いてＣＨＡＰ認証を行う（ＳＴ３０６）。具体的には、認証サーバ６２は、暗号化出力AU_AB(M) とチャレンジコードを用いて得られたハッシュ関数の出力（ハッシュ値）と、ＳＴ１０７で取得したレスポンスコード（ハッシュ値）とが一致するか否かを判断する。ここで、ＳＴ１０３では、ＭＴ３０は、暗号化出力AU_A(1) とチャレンジコードを用いてＣＨＡＰ処理を行う。つまり、端末Ａと認証サーバ６２とでは、ＣＨＡＰ処理において用いられる入力パラメータ（暗号化出力）が異なる。これは、端末Ａと認証サーバ６２とでは、異なる共通鍵（KA(N)とKB(L)）を用いてパスワード（pass_A）が暗号化されるためである。よって、認証サーバ６２は、暗号化出力AU_AB(M)を用いて得られたハッシュ関数の出力と、ＳＴ１０７で取得したレスポンスコードとは一致しないと判断する。すなわち、認証サーバ６２は、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

以上より、動作例４では、ユーザＩＤ／パスワードとＭＳＩＳＤＮとの組み合わせの妥当性検証では当該なりすましを防止することができないものの、共通鍵によって暗号化されたパスワードを用いたＣＨＡＰ認証によって、ユーザＡによるユーザＢのなりすましを防止することができる。

＜動作例５：図１２＞
図１２では、端末Ａ（ユーザＡ）に対するユーザＩＤ／パスワード／ＩＭＳＩ／ＭＳＩＳＤＮ／共通鍵をそれぞれ、userID_A、pass_A、IMSI_A、MSISDN_A、KA(N)とする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／パスワード／ＩＭＳＩ／ＭＳＩＳＤＮ／共通鍵をそれぞれ、userID_B、pass_B、IMSI_B、MSISDN_B、KB(L)とする。

ただし、動作例５では、端末ＡのユーザＡが端末ＢのＳＩＭカード４０（SIM_B：IMSI_B、MSISDN_B）を盗み、端末Ａ（ＭＴ３０）に挿入し、かつ、端末ＢのユーザＢのユーザＩＤ／パスワード（userID_B, pass_B）も盗み、ユーザＢになりすます場合について説明する。

図１２に示すように、端末ＡのＴＥ２０は、端末Ａの共通鍵KA(N)を用いてユーザＢのパスワード（pass_B）を暗号化して、暗号化出力AU_BA(1)を得る（ＳＴ３０１）。

そして、ＴＥ２０は、ＭＴ３０に対して、ユーザＢのユーザＩＤ（userID_B）、及び、暗号化出力AU_BA(1)を用いたＣＨＡＰ認証によるネットワーク接続要求を指示する（ＳＴ１０２’）。すなわち、端末ＡのＭＴ３０は、暗号化出力AU_BA(1)とチャレンジコードを用いてレスポンスコードを生成する。また、上述したように、端末ＡのＭＴ３０には、ＳＩＭカード４０としてSIM_B（IMSI_B、MSISDN_B）が挿入されている。

よって、この場合、認証サーバ６２は、ユーザＢのユーザＩＤ（userID_B）、暗号化出力AU_BA(1) とチャレンジコードを用いて生成されたレスポンスコード、SIM_Bに対応するＭＳＩＳＤＮ（MSISDN_B）を含む認証要求を受け取る（ＳＴ１０７）。

また、認証サーバ６２は、username/passwordテーブルを参照して、受け取ったユーザＩＤ（userID_B）に対応付けられたパスワード（pass_B）を取得する（ＳＴ１０８）。

そして、認証サーバ６２は、ユーザＩＤ／パスワードと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ３０２）。ここで、認証サーバ６２には、ユーザＡについて、userID_A／pass_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_B／pass_B／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６２は、ＳＴ１０７及びＳＴ１０８において取得したuserID_B／pass_B／MSISDN_Bの組み合わせが妥当であると判断する（ＳＴ３０３：Ｙｅｓ）。

つまり、図１２のように、ユーザＡがユーザＢのＳＩＭカード４０（SIM_B）を端末Ａに挿入し、かつ、ユーザＩＤ／パスワードを盗んでユーザＢになりすました場合、ユーザＩＤ／パスワードとＭＳＩＳＤＮとの組み合わせの妥当性検証では当該なりすましを防止することができない。

そこで、図１２では、認証サーバ６２は、引き続き、ＣＨＡＰ認証を行う。

具体的には、認証サーバ６２は、MSISDN/共通鍵テーブルを参照して、ＳＴ１０７で取得したMSISDN_Bに対応する共通鍵KB(L)を取得する（ＳＴ３０４）。そして、認証サーバ６２は、共通鍵KB(L)を用いて、ＳＴ１０８で取得したパスワード（pass_B）を暗号化し、暗号化出力AU_B(M)を得る（ＳＴ３０５）。得られたAU_B(M)は、MSISDN_Bに対応付けてMSISDN/暗号化出力テーブルに格納される。

次いで、認証サーバ６２は、暗号化出力AU_AB(M)を用いてＣＨＡＰ認証を行う（ＳＴ３０６）。具体的には、認証サーバ６２は、暗号化出力AU_B(M) とチャレンジコードを用いて得られたハッシュ関数の出力（ハッシュ値）と、ＳＴ１０７で取得したレスポンスコード（ハッシュ値）とが一致するか否かを判断する。ここで、ＳＴ１０３では、ＭＴ３０は、暗号化出力AU_BA(1)を用いてＣＨＡＰ処理を行う。つまり、端末Ａと認証サーバ６２とでは、ＣＨＡＰ処理において用いられる入力パラメータ（暗号化出力）が異なる。これは、端末Ａと認証サーバ６２とでは、異なる共通鍵（KA(N)とKB(L)）を用いてパスワード（pass_A）が暗号化されるためである。よって、認証サーバ６２は、暗号化出力AU_B(M) とチャレンジコードを用いて得られたハッシュ関数の出力と、ＳＴ１０７で取得したレスポンスコードとは一致しないと判断する。すなわち、認証サーバ６２は、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

以上より、動作例５では、ユーザＩＤ／パスワードとＭＳＩＳＤＮとの組み合わせの妥当性検証では、当該なりすましを防止することができないものの、共通鍵によって暗号化されたパスワードを用いたＣＨＡＰ認証によって、ユーザＡによるユーザＢのなりすましを防止することができる。

＜動作例６：図１３＞
図１３では、端末Ａ（ユーザＡ）に対するユーザＩＤ／パスワード／ＩＭＳＩ／ＭＳＩＳＤＮをそれぞれ、userID_A、pass_A、IMSI_A、MSISDN_Aとする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／パスワード／ＩＭＳＩ／ＭＳＩＳＤＮ／共通鍵をそれぞれ、userID_B、pass_B、IMSI_B、MSISDN_B、KB(L)とする。

ただし、動作例６では、本実施の形態に係る認証方式をサポートしていない契約に属するユーザＡが、本実施の形態に係る認証方式をサポートしている契約に属する端末ＢのＳＩＭカード４０（SIM_B：IMSI_B、MSISDN_B）を盗み、ユーザＡの端末Ａ（ＭＴ）に挿入し、ユーザＢになりすます場合について説明する。

本実施の形態に係る認証方式をサポートしていない契約に属するユーザＡの端末Ａに対しては、図３に示すＳＴ１１１及びＳＴ１１８のタグ情報生成処理、及び、図４に示す共通鍵交換処理が行われない。つまり、端末Ａに対して共通鍵は生成されず、暗号化されていないパスワードを用いたＣＨＡＰ認証が行われる。

図１３に示すように、端末ＡのＴＥは、ＭＴに対して、ユーザＡのユーザＩＤ（userID_A）、及び、パスワード（pass_A）を用いたＣＨＡＰ認証によるネットワーク接続要求を指示する（ＳＴ１０２’）。すなわち、端末ＡのＭＴは、パスワードpass_Aとチャレンジコードを用いてレスポンスコードを生成する。また、上述したように、端末ＡのＭＴには、ＳＩＭカード４０としてSIM_B（IMSI_B、MSISDN_B）が挿入されている。

よって、この場合、認証サーバ６２は、ユーザＡのユーザＩＤ（userID_A）、pass_Aを用いて生成されたレスポンスコード、SIM_Bに対応するＭＳＩＳＤＮ（MSISDN_B）を含む認証要求を受け取る（ＳＴ１０７）。

また、認証サーバ６２は、username/passwordテーブルを参照して、受け取ったユーザＩＤ（userID_A）に対応付けられたパスワード（pass_A）を取得する（ＳＴ１０８）。

そして、認証サーバ６２は、ユーザＩＤ／パスワードと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ３０２）。ここで、認証サーバ６２には、ユーザＡについて、userID_A／pass_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_B／pass_B／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６２は、ＳＴ１０７及びＳＴ１０８において取得したuserID_A／pass_A／MSISDN_Bの組み合わせが妥当ではないと判断する（ＳＴ３０３：Ｎｏ）。

よって、図１３では、認証サーバ６２は、ＣＨＡＰ認証（ＳＴ３０４〜ＳＴ３０６）を行うことなく、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

以上より、動作例６では、ユーザＡによるユーザＢのなりすましを防止することができる。

（変形例）
なお、認証サーバ６２は、図１３に示す処理の代わりに、図１４に示すように、ＣＨＡＰ認証を先に行い、ＣＨＡＰ認証が成功した場合（ＳＴ３０７：Ｙｅｓ）、ユーザＩＤ／パスワードとＭＳＩＳＤＮの組み合わせの妥当性検証を行ってもよい。

図１４では、認証サーバ６２は、MSISDN/共通鍵テーブルを参照して、ＳＴ１０７で取得したMSISDN_Bに対応する共通鍵KB(L)を取得する（ＳＴ３０４）。

そして、認証サーバ６２は、共通鍵KB(L)を用いて、ＳＴ１０８で取得したパスワード（pass_A）を暗号化し、暗号化出力AU_AB(M)を得る（ＳＴ３０５）。得られたAU_AB(M)は、MSISDN_Bに対応付けてMSISDN/暗号化出力テーブルに格納される。

認証サーバ６２は、暗号化出力AU_AB(M)を用いてＣＨＡＰ認証を行う（ＳＴ３０６）。具体的には、認証サーバ６２は、暗号化出力AU_AB(M)とチャレンジコードを用いて得られたハッシュ関数の出力（ハッシュ値）と、ＳＴ１０７で取得したレスポンスコード（ハッシュ値）とが一致するか否かを判断する。ここで、ＳＴ１０３では、端末ＡのＭＴは、パスワードpass_Aを用いてＣＨＡＰ処理を行う。つまり、端末Ａと認証サーバ６２とでは、ＣＨＡＰ処理において用いられる入力パラメータ（暗号化の有無）が異なる。これは、端末Ａではパスワード（pass_A）の暗号化を行わず、認証サーバ６２では鍵KB(L)を用いてパスワード（pass_A）が暗号化されるためである。よって、認証サーバ６２は、暗号化出力AU_AB(M)を用いて得られたハッシュ関数の出力と、ＳＴ１０７で取得したレスポンスコードとは一致しないと判断する（ＳＴ３０７：Ｎｏ）。

よって、図１４では、認証サーバ６２は、ユーザＩＤ／パスワードとＭＳＩＳＤＮとの組み合わせの妥当性検証（ＳＴ３０２）を行うことなく、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

以上より、図１４の動作例でも、ユーザＡによるユーザＢのなりすましを防止することができる。

＜動作例７：図１５＞
図１５では、端末Ａ（ユーザＡ）に対するユーザＩＤ／パスワード／ＩＭＳＩ／ＭＳＩＳＤＮをそれぞれ、userID_A、pass_A、IMSI_A、MSISDN_Aとする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／パスワード／ＩＭＳＩ／ＭＳＩＳＤＮ／共通鍵をそれぞれ、userID_B、pass_B、IMSI_B、MSISDN_B、KB(L)とする。

ただし、動作例７では、本実施の形態に係る認証方式をサポートしていない契約に属するユーザＡが、本実施の形態に係る認証方式をサポートしている契約に属する端末ＢのＳＩＭカード４０（SIM_B：IMSI_B、MSISDN_B）を盗み、端末Ａ（ＭＴ３０）に挿入し、かつ、端末ＢのユーザＢのユーザＩＤ／パスワード（userID_B, pass_B）も盗み、ユーザＢになりすます場合について説明する。

本実施の形態に係る認証方式をサポートしていない契約に属するユーザＡの端末Ａに対しては、図３に示すＳＴ１１１及びＳＴ１１８のタグ情報生成処理、及び、図４に示す共通鍵交換処理が行われない。つまり、端末Ａに対して共通鍵は生成されず、暗号化されていないパスワードを用いたＣＨＡＰ認証が行われる。

図１５に示すように、端末ＡのＴＥは、ＭＴに対して、ユーザＢのユーザＩＤ（userID_B）、及び、パスワードpass_Bを用いたＣＨＡＰ認証によるネットワーク接続要求を指示する（ＳＴ１０２’）。すなわち、端末ＡのＭＴは、パスワードpass_Bとチャレンジコードを用いてレスポンスコードを生成する。また、上述したように、端末ＡのＭＴには、ＳＩＭカード４０としてSIM_B（IMSI_B、MSISDN_B）が挿入されている。

よって、この場合、認証サーバ６２は、ユーザＢのユーザＩＤ（userID_B）、パスワードpass_Bとチャレンジコードを用いて生成されたレスポンスコード、SIM_Bに対応するＭＳＩＳＤＮ（MSISDN_B）を含む認証要求を受け取る（ＳＴ１０７）。

また、認証サーバ６２は、username/passwordテーブルを参照して、受け取ったユーザＩＤ（userID_B）に対応付けられたパスワード（pass_B）を取得する（ＳＴ１０８）。

そして、認証サーバ６２は、ユーザＩＤ／パスワードと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ３０２）。ここで、認証サーバ６２には、ユーザＡについて、userID_A／pass_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_B／pass_B／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６２は、ＳＴ１０７及びＳＴ１０８において取得したuserID_B／pass_B／MSISDN_Bの組み合わせが妥当であると判断する（ＳＴ３０３：Ｙｅｓ）。

つまり、図１５のように、ユーザＡがユーザＢのＳＩＭカード４０（SIM_B）を端末Ａに挿入し、かつ、ユーザＩＤ／パスワードを盗んでユーザＢになりすました場合、ユーザＩＤ／パスワードとＭＳＩＳＤＮとの組み合わせの妥当性検証では当該なりすましを防止することができない。

そこで、図１５では、認証サーバ６２は、引き続き、ＣＨＡＰ認証を行う。

具体的には、認証サーバ６２は、MSISDN/共通鍵テーブルを参照して、ＳＴ１０７で取得したMSISDN_Bに対応する共通鍵KB(L)を取得する（ＳＴ３０４）。そして、認証サーバ６２は、共通鍵KB(L)を用いて、ＳＴ１０８で取得したパスワード（pass_B）を暗号化し、暗号化出力AU_B(M)を得る（ＳＴ３０５）。得られたAU_B(M)は、MSISDN_Bに対応付けてMSISDN/暗号化出力テーブルに格納される。

次いで、認証サーバ６２は、暗号化出力AU_B(M)を用いてＣＨＡＰ認証を行う（ＳＴ３０６）。具体的には、認証サーバ６２は、暗号化出力AU_B(M) とチャレンジコードを用いて得られたハッシュ関数の出力（ハッシュ値）と、ＳＴ１０７で取得したレスポンスコード（ハッシュ値）とが一致するか否かを判断する。ここで、ＳＴ１０３では、端末ＡのＭＴは、パスワードpass_Bを用いてＣＨＡＰ処理を行う。つまり、端末Ａと認証サーバ６２とでは、ＣＨＡＰ処理において用いられる入力パラメータ（暗号化の有無）が異なる。これは、端末Ａではパスワード（pass_B）の暗号化を行わず、認証サーバ６２では鍵KB(L)を用いてパスワード（pass_B）が暗号化されるためである。よって、認証サーバ６２は、暗号化出力AU_B(M)を用いて得られたハッシュ関数の出力と、ＳＴ１０７で取得したレスポンスコードとは一致しないと判断する。すなわち、認証サーバ６２は、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

以上より、動作例７では、ユーザＩＤ／パスワードとＭＳＩＳＤＮとの組み合わせの妥当性検証では、当該なりすましを防止することができないものの、共通鍵によって暗号化されたパスワードを用いたＣＨＡＰ認証によって、ユーザＡによるユーザＢのなりすましを防止することができる。

（変形例）
なお、認証サーバ６２は、図１５に示す処理の代わりに、図１６に示すように、ＣＨＡＰ認証を先に行い、ＣＨＡＰ認証が成功した場合（ＳＴ３０７：Ｙｅｓ）、ユーザＩＤ／パスワードとＭＳＩＳＤＮの組み合わせの妥当性検証を行ってもよい。

図１６では、認証サーバ６２は、MSISDN/共通鍵テーブルを参照して、ＳＴ１０７で取得したMSISDN_Bに対応する共通鍵KB(L)を取得する（ＳＴ３０４）。

そして、認証サーバ６２は、共通鍵KB(L)を用いて、ＳＴ１０８で取得したパスワード（pass_B）を暗号化し、暗号化出力AU_B(M)を得る（ＳＴ３０５）。得られたAU_B(M)は、MSISDN_Bに対応付けてMSISDN/暗号化出力テーブルに格納される。

認証サーバ６２は、暗号化出力AU_B(M)を用いてＣＨＡＰ認証を行う（ＳＴ３０６）。具体的には、認証サーバ６２は、暗号化出力AU_B(M) とチャレンジコードを用いて得られたハッシュ関数の出力（ハッシュ値）と、ＳＴ１０７で取得したレスポンスコード（ハッシュ値）とが一致するか否かを判断する。ここで、ＳＴ１０３では、端末ＡのＭＴは、パスワードpass_Bを用いてＣＨＡＰ処理を行う。つまり、端末Ａと認証サーバ６２とでは、ＣＨＡＰ処理において用いられる入力パラメータ（暗号化の有無）が異なる。これは、端末Ａではパスワード（pass_B）の暗号化を行わず、認証サーバ６２では鍵KB(L)を用いてパスワード（pass_B）が暗号化されるためである。よって、認証サーバ６２は、暗号化出力AU_B(M)を用いて得られたハッシュ関数の出力と、ＳＴ１０７で取得したレスポンスコードとは一致しないと判断する（ＳＴ３０７：Ｎｏ）。

よって、図１６では、認証サーバ６２は、ユーザＩＤ／パスワードとＭＳＩＳＤＮとの組み合わせの妥当性検証（ＳＴ３０２）を行うことなく、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

以上より、図１６の動作例でも、ユーザＡによるユーザＢのなりすましを防止することができる。

以上、通信システム１における認証処理の詳細な動作について説明した。

上記のようにして、本実施の形態では、端末１０において、ＴＥ２０は、認証サーバ６２との間で共通鍵の交換処理を行い、共通鍵を用いて端末１０（ＴＥ２０）に設定されたパスワードを暗号化する。また、端末１０において、ＭＴ３０は、暗号化されたパスワードとチャレンジコードを用いてＣＨＡＰ処理を行い、レスポンスコードを生成する。

ここで、共通鍵は、端末１０毎、すなわちＴＥ２０毎に個別に生成される。このため、端末１０においてこの共通鍵を用いたＣＨＡＰ処理を行うことにより生成されるレスポンスコードは、端末１０毎に固有の値となる。

また、認証サーバ６２では、端末側で生成したものと同じ共通鍵がＳＩＭカード４０に紐づくＭＳＩＳＤＮ毎に対応付けられ管理されている。

また、共通鍵は、少なくとも、端末１０がＭＮＯネットワーク５０及びＭＶＮＯネットワーク６０に初めて接続（アタッチ／セッション確立処理）された直後以降に生成されている。一方、或る端末１０においてユーザＩＤ／パスワード又はＳＩＭカード（ＭＳＩＳＤＮ）が第３者に盗まれ、第３者の端末１０でＭＶＮＯネットワーク６０への不正アクセスが実行されるのは、第３者の端末１０が少なくとも１度デタッチされ、ＭＮＯネットワーク５０及びＭＶＮＯネットワーク６０から切断された後、再びアタッチするときの状態である（第３者の端末１０に盗んだＳＩＭを挿入する際に第３者の端末１０の電源をＯＦＦし（デタッチする）、再び電源をＯＮする（アタッチする））。すなわち、ユーザＩＤ／パスワード又はＳＩＭ（ＭＳＩＳＤＮ）を盗んで第３者の端末１０に設定したとしても、第３者の端末１０は、デタッチ前に第３者の端末１０に対して生成された共通鍵を保持している。一方、第３者がＳＩＭ（ＭＳＩＳＤＮ）を盗んでそれを第３者の端末１０に挿入し接続要求する場合、認証サーバ６２において使用される共通鍵は、盗まれたＳＩＭのＭＳＩＳＤＮに対応付けられた共通鍵であって、第３者の端末１０に対して生成された共通鍵とは異なる。

よって、たとえユーザＩＤ／パスワード又はＳＩＭカード（ＭＳＩＳＤＮ）が第３者に取得され、ＭＶＮＯネットワーク６０に対して不正に接続要求が行われたとしても、認証時のパスワードの暗号化に使用する共通鍵は、第３者の端末１０と認証サーバ６２との間で異なるので、認証サーバ６２は、当該接続要求が不正な第３者によって行われたことを判定することができる。

このようにして、本実施の形態によれば、ネットワーク接続時のセキュリティを強化し、第３者による不正アクセスを防止することができる。

また、ＭＶＮＯネットワーク６０を介して、インターネット７０に接続し、クライアント認証（端末認証）を要求するインターネット上のサーバにアクセスする際には、クライアント証明書等を用いた強固な認証が行われ、不正な端末による当該サーバへのアクセスを防止できる。しかし、インターネット７０に接続する以前のＭＶＮＯネットワーク接続時点でこのような不正な端末による接続を防止できなかった場合、クライアント認証（端末認証）を要求するインターネット上のサーバへの不正アクセスは防止できたとしても、それ以外のクライアント認証を要求しないインターネット上のサーバやＭＶＮＯネットワーク上の各種サーバ等への不正アクセス（ＤｏＳ攻撃等も含む）が行われる危険性がある。これに対して、本実施の形態では、ＭＶＮＯネットワーク接続時に共通鍵暗号方式を応用した強固な端末認証を行うことで、上記不正アクセスを防ぐことができる。

（実施の形態２）
本実施の形態では、共通鍵の交換処理の動作が実施の形態１と異なる。

本実施の形態に係る端末及び認証サーバの基本構成は、実施の形態１と同様であるので、図２（端末１０、認証サーバ６２）を援用して説明する。

本実施の形態に係る端末１０及び認証サーバ６２は、端末１０が初めてＭＶＮＯネットワーク６０への接続要求を行う場合には、実施の形態１（図３を参照）と同様の処理を行う。すなわち、端末１０及び認証サーバ６２は、端末１０に対する認証が成功した場合（ＳＴ１１０：Ｙｅｓ）、ＭＳＩＳＤＮとユーザＩＤとを用いて端末１０（ＴＥ２０）のタグ情報（H_A）を生成する（ＳＴ１１１及びＳＴ１１８）。

また、端末１０及び認証サーバ６２は、当該認証が成功してから（アタッチ完了から）デタッチ処理が行われるまでの期間において、実施の形態１（図４を参照）と同様、共通鍵の交換処理を所定のタイミングで行う。

また、端末１０及び認証サーバ６２は、実施の形態１と同様、２回目以降の接続要求（アタッチ処理）毎に、共通鍵の交換処理を行う。ただし、本実施の形態では、接続要求（アタッチ処理）の度に各端末１０のタグ情報を更新する点が実施の形態１と異なる。

図１７Ａ及び図１７Ｂは、本実施の形態に係る端末１０（ＴＥ２０＋ＭＴ３０）がデタッチされた後に再びアタッチ処理（ネットワーク接続要求）を行う際の端末１０及び認証サーバ６２の動作を示すシーケンス図である。

なお、図１７Ａ及び図１７Ｂは、図６に示す実施の形態１に係るシーケンス図から、本実施の形態に密接に関連する端末１０のＴＥ２０及び認証サーバ６２の動作のみを抜き出した図であり、図６と同一の処理には同一の符号を付し、その説明を省略する。

図１７Ａに示すＴＥ２０（タグ情報生成部２１）は、ＭＮＯネットワーク５０からアタッチ完了を受け取ると（ＳＴ１１７）、ＳＴ４０１において、ＭＴ３０に接続されたＳＩＭカード４０のＭＳＩＳＤＮ（MSISDN_A）、ＴＥ２０のユーザＩＤ（userID_A）、及び、ＳＴ３０１において得た暗号化出力AU_A(1)、もしくは、ＭＴ３０に接続されたＳＩＭカード４０のＭＳＩＳＤＮ（MSISDN_A）とＳＴ３０１において得た暗号化出力AU_A(1)を用い、これらを暗号化することによってＴＥ２０のタグ情報（H_A2）を生成する。ただし、ＴＥ２０は、後述する認証サーバ６２側のＳＴ４０３と同じ方法を用いる。ＴＥ２０は、生成したタグ情報H_A2を、現在保持しているタグ情報（初回のアタッチ完了時に生成したタグ情報：H_A）に上書きする。これにより、端末１０（ＴＥ２０）におけるタグ情報が、アタッチ処理で使用された暗号化出力AU_A(1)を用いて更新される。

一方、図１７Ｂに示す認証サーバ６２は、Ｐ−ＧＷ６１から認証要求を受け取ると、実施の形態１と同様にして認証処理を行う。認証サーバ６２（タグ情報生成部６２３）は、端末１０に対する認証が成功した場合（ＳＴ４０２：Ｙｅｓ）、ＳＴ４０３において、認証した端末１０に関するユーザＩＤ（userID_A）、ＭＳＩＳＤＮ（MSISDN_A）及び、ＳＴ３０５において得た暗号化出力AU_A(1)、若しくは、ＭＳＩＳＤＮ（MSISDN_A）とＳＴ３０５において得た暗号化出力AU_A(1)を用い、これらを暗号化することによってＴＥ２０のタグ情報（H_A2）を生成する。ただし、認証サーバ６２は、ＴＥ２０側のＳＴ４０１と同じ方法を用いる。認証サーバ６２は、生成したタグ情報（H_A2）を、タグ情報/MSISDNテーブルにおいてMSISDN_Aに対応付けられたタグ情報（H_A）に上書きする。これにより、認証サーバ６２においけるタグ情報が、アタッチ処理で使用された暗号化出力AU_A(1)を用いて更新される。

なお、ＳＴ４０１、ＳＴ４０３でのタグ情報生成における暗号化の手法としては、ユーザＩＤ、ＭＳＩＳＤＮ及び暗号化出力、もしくは、ＭＳＩＳＤＮと暗号化出力を用いてハッシュ値を計算したり、端末１０と認証サーバ６２の間で事前に共有された鍵もしくはＣＨＡＰ認証で用いたチャレンジコードを用いてユーザＩＤ、ＭＳＩＳＤＮ及び暗号化出力、もしくは、ＭＳＩＳＤＮと暗号化出力を暗号化する。また、ハッシュ値計算又は暗号化の対象は、それぞれのコードの結合又は加算値、減算値に限定されず、それぞれのコードの乗算値又は除算値でもよく、それぞれのコードを用いた他の演算結果でもよい。

図１７Ａに示すＳＴ４０１の処理後、ＴＥ２０及び認証サーバ６２は、共通鍵の交換処理を行う。

図１８は、本実施の形態に係るＴＥ２０と認証サーバ６２との間における共通鍵の交換処理を示すシーケンス図である。

図１８において、ＴＥ２０が認証サーバ６２に対して鍵生成要求、又は、鍵交換処理に用いられるパラメータ（パラメータ２）を送信する際に併せて送信するタグ情報（つまり、各ＴＥ２０を識別するための情報）が図１７Ａ及び図１７Ｂにおいて生成したH_A2である点のみが、実施の形態１（図４）に示す共通鍵の交換処理と異なる。

同様にして、図１７Ａ及び図１７Ｂに示すアタッチ処理によってＭＶＮＯネットワーク６０に接続された端末１０がデタッチされ、再びアタッチ処理を行う場合、端末１０及び認証サーバ６２は、端末１０を識別するためのタグ情報を更新する（図１９Ａ及び図１９ＢではH_A3）。そして、ＴＥ２０及び認証サーバ６２は、更新したタグ情報を用いて共通鍵の交換処理を行う（図２０を参照）。

このようにして、ＴＥ２０及び認証サーバ６２は、１つの端末１０に対する接続要求（アタッチ処理）毎に異なるタグ情報を用いて共通鍵の交換処理を行う。これにより、或るタイミングにおいてタグ情報が第３者に傍受されたとしても、他のアタッチ処理のタイミングでは、端末１０は、傍受されたタグ情報と異なる他のタグ情報を用いて鍵交換処理を行う。

例えば、図１８に示す端末Ａのタグ情報H_A2が第３者に傍受されたとしても、H_A2に対応する接続要求以外の他の接続要求によってＭＶＮＯネットワーク６０に接続された期間では、端末１０及び認証サーバ６２は、H_A2とは異なるタグ情報（例えば、図２０に示すH_A3）を用いて共通鍵の交換処理を行う。このため、第３者は、端末１０の或る接続期間においてH_A2を傍受したとしても、他の接続期間では、傍受したH_A2を用いて共通鍵に関するパラメータを特定することができなくなる。

すなわち、本実施の形態によれば、端末１０の接続要求の度にタグ情報を更新することにより、過去の接続要求時に第３者によってタグ情報を傍受されたとしても、現在の接続要求時において当該第３者によって共通鍵生成のためのパラメータの送信を特定されることを防止することができる。よって、本実施の形態によれば、実施の形態１と比較して、共通鍵の交換処理のセキュリティをより強固にすることができる。

（変形例）
なお、認証サーバ６２は、図１７Ｂ又は図１９Ｂに示す処理の代わりに、図２１に示すように、ＣＨＡＰ認証を先に行い、ＣＨＡＰ認証が成功した場合（ＳＴ４０２：Ｙｅｓ）、ユーザＩＤ／パスワードとＭＳＩＳＤＮの組み合わせの妥当性検証を行ってもよい。そして、認証サーバ６２は、ユーザＩＤ／パスワードとＭＳＩＳＤＮの組み合わせが妥当である場合（ＳＴ３０３：Ｙｅｓ）、タグ情報を更新する（ＳＴ４０３）。

（実施の形態３）
本実施の形態では、共通鍵の交換処理の動作が実施の形態１，２と異なる。

本実施の形態に係る端末及び認証サーバの基本構成は、実施の形態１と同様であるので、図２（端末１０、認証サーバ６２）を援用して説明する。

実施の形態１（図５）では、ＴＥ２０及び認証サーバ６２は、ＴＥ２０から認証サーバ６２へのパラメータ２の送信後、各々において共通鍵を生成する（ＳＴ２２５及びＳＴ２２６）。

しかしながら、パラメータ２に対する通信が途中で途絶した場合、認証サーバ６２は、共通鍵を生成することができなくなる。この場合、認証サーバ６２は、共通鍵の生成処理（ＳＴ２２５）を行わずに、現在保持している共通鍵を使用して暗号化処理を行う。一方、ＴＥ２０は、共通鍵を新たに生成し（ＳＴ２２６）、生成した共通鍵を使用して暗号化処理を行う。

この場合、端末１０及び認証サーバ６２の各々において使用される共通鍵が異なるため、たとえ正当なユーザによるネットワーク接続要求があったとしても、認証サーバ６２では正常に認証を完了できなくなってしまう（認証失敗となる）。特に、図１に示す無線通信環境下では、有線通信と比較して、通信途絶が発生しやすい。

そこで、本実施の形態では、無線通信システム等の通信途絶が発生しやすい環境でも、端末１０及び認証サーバ６２において同一の共通鍵を用いて暗号化処理を行うことができる方法について説明する。

図２２は、本実施の形態に係るＴＥ２０と認証サーバ６２との間の共通鍵交換処理の詳細な動作を示すシーケンス図である。なお、図２２において、実施の形態１（図５）と同一の処理には同一の符号を付し、その説明を省略する。

図２２において、認証サーバ６２は、ＳＴ２２５において共通鍵KA(n)の生成が完了すると、ＳＴ２５０において、ＴＥ２０に対して共通鍵の生成を指示する鍵生成指示をＴＥ２０へ送信する。

ＴＥ２０は、ＳＴ２５０において鍵生成指示を受け取ると、共通鍵KA(n)の生成を開始する。つまり、ＴＥ２０は、認証サーバ６２側での共通鍵生成ＳＴ２２５が完了し、認証サーバ６２から鍵生成指示を受け取らない場合、共通鍵を生成しない（前回生成した共通鍵が保持される）。

次に、図２３を用いて、ＳＴ２２４においてＴＥ２０から認証サーバ６２へ送信されるパラメータ２（ｎ）の通信が途中で途絶した場合の動作について説明する。

図２３に示すように、パラメータ２（ｎ）の通信が途中で途絶した場合、認証サーバ６２は、共通鍵の生成処理（ＳＴ２２５）を行わずに、現在保持している共通鍵（KA(n-1)）を使用して暗号化処理を行う。また、認証サーバ６２は、共通鍵の生成処理を行わないので、鍵生成指示（ＳＴ２５０）を送信しない。

一方、ＴＥ２０は、認証サーバ６２から鍵生成指示を受け取らないので、共通鍵の生成処理（ＳＴ２２６）を行わずに、現在保持している共通鍵（KA(n-1)）を使用して暗号化処理を行う。

よって、図２３では、パラメータ２（ｎ）の通信が途中で途絶した場合には、ＴＥ２０及び認証サーバ６２の双方は、現在保持している同一の共通鍵（KA(n-1)）を用いて暗号化処理を行う。つまり、認証サーバ６２は、端末１０に対して正常に認証処理を行うことができる。

次に、図２４を用いて、ＳＴ２５０において認証サーバ６２からＴＥ２０へ送信される鍵生成指示の通信が途中で途絶した場合の動作について説明する。

図２４に示すように、鍵生成指示の通信が途中で途絶した場合、ＴＥ２０は、認証サーバ６２から鍵生成指示を受け取らないので、共通鍵の生成処理（ＳＴ２２６）を行わずに、現在保持している共通鍵（KA(n-1)）を使用して暗号化処理を行う。

一方、認証サーバ６２は、新たな共通鍵KA(n)及び一つ前の共通鍵KA(n-1)を用いて認証処理を行う。具体的には、認証サーバ６２は、次回の端末１０に対する認証処理の際、まず、新しい共通鍵KA(n)を使用して暗号化処理とその結果を用いた認証処理を行う。ただし、端末１０では、１つ前の共通鍵KA(n-1)が使用されるので、認証サーバ６２では、端末１０に対する認証に失敗する。そこで、認証サーバは、次に、一つ前の共通鍵KA(n-1)を使用して認証処理を行う。この場合、端末１０と認証サーバ６２の双方は、同一の共通鍵（KA(n-1)）を用いて暗号化処理を行うので、認証サーバ６２では端末１０に対する認証に成功する。

このように、認証サーバ６２は、鍵生成指示の通信途絶を考慮して、新たに生成した共通鍵KA(n)、及び、一つ前の共通鍵KA(n-1)の双方について認証処理を行い、何れか一方において受信したレスポンスコードと認証サーバ６２で生成したハッシュ値とが一致すれば、当該端末１０の接続要求が正当であると判定する（認証成功）。

よって、図２４では、鍵生成指示の通信が途中で途絶した場合でも、認証サーバ６２は、端末１０に対して正常に認証処理を行うことができる。

以上のようにして、本実施の形態によれば、端末１０は、鍵生成指示を受け取った後に、共通鍵の生成処理を行う。こうすることで、共通鍵の交換処理において必要となるパラメータの通信が途絶した場合でも、端末１０及び認証サーバ６２で使用される共通鍵を一致させ、認証処理を正常に実施させることが可能となる。

（実施の形態４）
［通信システムの構成］
図２５は、本実施の形態に係る通信システムの構成を示す。なお、図２５では、本開示の一態様に密接に関連する処理に関わる構成部を示し、それ以外の構成部については示さず、かつ、説明を省略する。

本実施の形態に係る通信システム１ａは、端末１０ａ、ＳＩＭカード４０、ＭＮＯネットワーク５０、ＭＶＮＯネットワーク６０、インターネット７０を備える構成を採る。

端末１０ａは、例えば、携帯電話などであって、ＴＥ（Terminal Equipment）８０及びＭＴ（Mobile Terminal）９０を備える。端末１０ａは、ＭＶＮＯネットワーク６０への接続要求時に、ＰＡＰ認証方式によりユーザＩＤ及びパスワードを用いた端末認証を受ける。端末１０ａは、ＰＡＰ認証時のパスワードとして、ディジタル署名に基づく暗号化により得られる出力（署名情報出力）を用いる。

ＴＥ８０は、各種アプリケーションを実行する装置である。ＴＥ８０は、ディジタル署名による暗号化に用いる秘密鍵を保持する。ＴＥ８０は、端末１０ａに設定されたカウンタ値（ディジタル署名のメッセージに相当）に対してハッシュ関数を適用することにより得られるハッシュ値（ディジタル署名のダイジェストに相当）を、秘密鍵を用いて暗号化する。ＴＥ８０は、ＭＶＮＯネットワーク６０への接続要求を行う際、認証方法、ユーザＩＤ（username）、パスワード（署名情報出力）をＭＴ９０へ送信する。

ＭＴ９０は、ＳＩＭカード４０と接続し、ＳＩＭカード４０に記憶されているＩＭＳＩを読み出す。また、ＭＴ９０は、ＭＮＯネットワーク５０及びＭＶＮＯネットワーク６０との間においてアタッチ処理及びセッション確立処理を行う。ここで、ＭＴ９０は、ＭＮＯネットワーク５０を介してＭＶＮＯネットワーク６０への接続要求（アタッチ要求）を行う際、ＴＥ８０から受け取るユーザＩＤ、パスワード（署名情報出力）を、認証に用いるパラメータとしてＭＮＯネットワーク５０へ送信する。また、ＭＴ９０は、接続要求（アタッチ要求）を行う際、ＳＩＭカード４０の情報（ＩＭＳＩ）をＭＮＯネットワーク５０へ送信する。

ＳＩＭカード４０は、加入者識別子（ＩＭＳＩ）、電話番号（ＭＳＩＳＤＮ）等を格納する。

ＭＮＯネットワーク５０は、ＢＴＳ（Base Transceiver Station：基地局）５１を介してＭＴ９０との間において通信のやりとりを行う。ＭＴ９０からＭＮＯネットワーク５０へ送信されるアタッチ要求のパラメータの内、認証に用いるパラメータは、任意のデータを送信可能なＰＣＯ（Protocol Configuration Option）領域を使用して送信され、ＭＶＮＯネットワーク６０まで透過的に伝えられる。ＭＴ９０からＭＮＯネットワーク５０へ送信されるＩＭＳＩ等の別のパラメータはＰＣＯ領域とは別の領域を使用して送信される。

ＭＶＮＯネットワーク６０は、Ｐ−ＧＷ（Packet data network GateWay）６１及び認証サーバ６５を含む構成を採る。

Ｐ−ＧＷ６１は、ＭＮＯネットワーク５０、及び、インターネット７０等の外部ネットワークと接続し、ＩＰアドレスの割り当てなどを行う。端末１０ａは、Ｐ−ＧＷ６１を介して認証サーバ６５との間で認証処理を行い、認証された場合にはＰ−ＧＷ６１を介してインターネット７０に接続される。

認証サーバ６５は、ＰＡＰ認証方式により、ユーザＩＤ及びパスワードを用いて、ＭＴ９０を介してＴＥ８０との間で認証処理を行う。認証サーバ６５は、ＴＥ８０との間で認証処理を行う際に用いる公開鍵（つまり、端末１０ａ（ＴＥ８０）が保持する秘密鍵に対応する公開鍵）を保持する。また、認証サーバ６５は、ＴＥ８０に設定されたカウンタ値（つまり、端末１０ａとの間で共有されるカウンタ値）を保持する。そして、認証サーバ６５は、公開鍵を用いて、ＭＴ９０から受け取ったパスワード（署名情報出力）を復号し、保持しているＴＥ８０に対応するカウンタ値から生成されるハッシュ値（ダイジェスト）と、パスワードの復号結果とを比較し、完全一致する場合、認証成功と判定する。

なお、図２５においてＢＴＳ５１とＰ−ＧＷ６１は直接接続されているように記しているが、これは論理的に接続されていることを示す。実際、ＢＴＳ５１とＰ−ＧＷ６１の間は、種々の装置及び内部ネットワークを介して接続されているが、ここでは図示及び説明を省略する。

［端末１０ａ及び認証サーバ６５の構成］
図２６は、本実施の形態に係る認証処理に密接に関連する、端末１０ａ（ＴＥ８０＋ＭＴ９０）及び認証サーバ６５の構成を示すブロック図である。

図２６に示す端末１０ａは、ＴＥ８０及びＭＴ９０により構成される。また、ＴＥ８０は、カウンタ値更新部８１、記憶部８２、ディジタル署名部８３を備え、ＭＴ９０は、ＰＡＰ処理部９１、通信部９２を備える。

端末１０ａにおいて、カウンタ値更新部８１は、通信部９２においてアタッチ要求に対する完了通知（アタッチ完了通知）が受信された場合、ディジタル署名部８３においてディジタル署名に基づく暗号化に用いられるカウンタ値を記憶部８２から読み出し、読みだしたカウンタ値を更新する。カウンタ値更新部８１は、更新後のカウンタ値を記憶部８２に格納する。例えば、カウンタ値更新部８１は、記憶部８２に格納されている現在のカウンタ値をインクリメント（１を加算）する。

ここで、端末１０ａが保持するカウンタ値は、端末１０ａと認証サーバ６５との間で予め共有されている。また、認証サーバ６５での認証の対象となる端末１０ａと同様の構成をとる複数の端末で保持しているカウンタの初期値（認証サーバ６５で保持しているカウンタの初期値）は、端末毎に異なる値でもよく、同一の値でもよい。

記憶部８２は例えば不揮発性メモリであって、端末１０ａに電源が供給されない場合にもデータを保持可能である。記憶部８２は、ディジタル署名部８３におけるディジタル署名による暗号化に用いられるカウンタ値を格納する。また、記憶部８２は、カウンタ値更新部８１から更新後のカウンタ値を受け取る場合、現在格納しているカウンタ値を更新後のカウンタ値に置き換える。また、記憶部８２は、端末１０ａに設定されたユーザＩＤを格納する。また、記憶部８２は、ディジタル署名部８３におけるディジタル署名による暗号化に用いられる秘密鍵及び署名パラメータ群を格納する。端末１０ａが保持する秘密鍵に対応する公開鍵は認証サーバ６５に格納されている。記憶部８２は、カウンタ値、秘密鍵及び署名パラメータ群をディジタル署名部８３に出力するとともに、ユーザＩＤをＰＡＰ処理部９１に出力する。

なお、ユーザＩＤは、記憶部８２に格納される場合に限定されず、端末１０ａの外部から入力されてもよい。

また、記憶部８２に格納されるパラメータのうち、ディジタル署名の生成処理に使用されるパラメータ（秘密鍵、署名パラメータ群及びカウンタ値）は、他のパラメータ（ユーザＩＤなど）が格納されるメモリとは別に、より秘匿性の高いメモリに格納されてもよい。

ディジタル署名部８３は、記憶部２３に格納されたカウンタ値に対してハッシュ関数を適用してハッシュ値を算出する。そして、ディジタル署名部８３は、記憶部２３に格納された秘密鍵及び署名パラメータ群を用いて、カウンタ値のハッシュ値を暗号化（署名生成）して、暗号化結果として署名情報を生成する。ディジタル署名の方式として、ＲＳＡ方式、ＥｌＧａｍａｌ方式、ＤＳＡ（Digital Signature Algorithm）方式等が挙げられる。ディジタル署名部８３は、署名情報をＰＡＰ処理部９１へ出力する。

なお、署名パラメータ群Ｗは、ディジタル署名方式に依存したパラメータであり、端末１０ａと認証サーバ６５との間で予め共有される。また、署名パラメータ群Ｗは、端末１０ａ固有の値、認証サーバ６５での認証の対象となる端末１０ａと同様の構成をとる複数の端末で共通の値などが含まれる。なお、署名パラメータ郡Ｗは、その一部または全てが認証局（ＣＡ：Certificate Authority）において発行される場合もある。また、署名情報は、ディジタル署名方式に依存する値であり、１つ又は複数の数値の組み合わせとして表される。

ディジタル署名の暗号化（署名生成）の一例として、ＤＳＡ方式では、カウンタ値Ｍ、秘密鍵Ｘ（ＴＥ８０が保持）、署名パラメータ群Ｗ（ｇ，ｐ，ｑ）、及び、乱数ｋが用いられる。この場合、署名情報は、ｒ（=(g^k mod p)mod q）及びｔ（=((h(M) + X・r）/k) mod q）の組み合わせ（ｒ，ｔ）によって表される。なお、関数h(M)はMのハッシュ値を算出する関数である。

ＴＥ８０は、ネットワーク接続要求（アッタチ要求）のトリガが発生すると、ＭＴ９０に対して、認証種別（ＰＡＰ）、記憶部８２に格納されたユーザＩＤ、及び、ディジタル署名部８３の出力（署名情報）をＭＴ９０へ出力する。

ＭＴ９０において、ＰＡＰ処理部９１は、記憶部８２から受け取るユーザＩＤ、及び、ディジタル署名部８３から受け取る署名情報を、ＰＡＰ認証に用いるパラメータ（ユーザＩＤ／パスワード）として、所定のリソースにマッピングする。例えば、ＰＡＰ処理部９１は、認証種別（ＰＡＰ）と共にＰＡＰ認証に用いるパラメータを任意のデータを送信可能なＰＣＯ（Protocol Configuration Option）領域にマッピングする。

通信部９２は、ＭＮＯネットワーク５０、ＭＶＮＯネットワーク６０を介して認証サーバ６５との間の通信を行う。例えば、通信部９２は、ネットワーク接続要求時には、アタッチ処理、及び、セッション確立処理に関するデータを送受信する（図示せず）。例えば、通信部９２は、アタッチ要求時には、認証種別、ユーザＩＤ、パスワード（署名情報出力）、及び、ＳＩＭカード４０から取得するＩＭＳＩを含む接続要求を送信する。なお、認証種別、ユーザＩＤ、パスワードは、ＰＡＰ処理部９１でＰＣＯ領域にマッピングされたものが送信される。ＭＮＯネットワーク５０は、ＰＣＯ領域で受信したパラメータをＭＶＮＯネットワーク６０のＰ−ＧＷ６１に透過的に伝える。

また、通信部９２は、アタッチ完了時には、ＭＮＯネットワーク５０から受け取る、アタッチ完了（接続要求の応答）に含まれるＩＰアドレスなどのパラメータをＴＥ８０へ出力する（図示せず）。

次に、図２６に示す認証サーバ６５は、通信部６５１、記憶部６５２、検証部６５３、カウンタ値更新部６５４を備える。

通信部６５１は、ＭＶＮＯネットワーク６０、ＭＮＯネットワーク５０を介してＭＴ９０との間の通信を行う。通信部６５１は、認証種別、端末１０ａのユーザＩＤ、パスワード及びＭＳＩＳＤＮを含む、端末１０ａからの接続要求に対応する認証要求を受信し、認証要求に含まれるパラメータを検証部６５３に出力する。なお、ＭＳＩＳＤＮは、ＭＴ９０からＭＮＯネットワーク５０に送信されたＳＩＭ情報（ＩＭＳＩ等）に基づきＭＮＯネットワーク５０からＭＶＮＯネットワーク６０に送られてきたものである。また、通信部６５１は、認証要求の応答として認証結果（認証成功（accept）又は認証失敗（reject））をＰ−ＧＷ６１（図２５を参照）へ出力する。

記憶部６５２は、認証処理に用いられるパラメータを格納する。具体的には、記憶部６５２は、ユーザＩＤとＭＳＩＳＤＮとの対応付け、ＭＳＩＳＤＮと公開鍵との対応付け、ＭＳＩＳＤＮとカウンタ値との対応付け、及び、ＭＳＩＳＤＮと署名パラメータ群との対応付けなどを格納する。つまり、ディジタル署名に関するパラメータ（公開鍵、カウンタ値、署名パラメータ群）は、端末１０ａとの間で共有されるパラメータであって、各端末１０ａに搭載されたＳＩＭカード４０の情報（ＩＭＳＩ）に対応するＭＳＩＳＤＮと対応付けられている。なお、公開鍵に関しては、端末１０ａに格納されている秘密鍵と対を成すものという意味で秘密鍵と値は異なるが共有されるパラメータに位置付けている。また、公開鍵は、信頼性向上のため通常、認証局（ＣＡ：Certificate Authority）を通じて発行される。

検証部６５３は、通信部６５１から認証要求を受け取ると、当該認証要求に対応する端末１０ａに対して検証処理を行う。具体的には、検証部６５３は、署名検証、及び、ユーザＩＤとＭＳＩＳＤＮとの組み合わせの妥当性検証を行う。

署名検証において、検証部６５３は、認証要求に含まれるＭＳＩＳＤＮに対応付られたカウンタ値を記憶部６５２から読み出し、読み出したカウンタ値を用いてハッシュ値を算出する。また、検証部６５３は、認証要求に含まれるＭＳＩＳＤＮに対応付られた公開鍵及び署名パラメータ群を記憶部６５２から読み出し、読み出したパラメータを用いて、認証要求に含まれるパスワード（署名情報）を復号する。

そして、検証部６５３は、算出したハッシュ値と、パスワードの復号結果とが一致しているか否かを判断する。検証部６５３は、ハッシュ値とパスワードの復号結果とが一致している場合、認証要求に対応する端末１０ａの接続要求（アタッチ）が正当であると判定する。

ディジタル署名の署名検証の一例として、ＤＳＡ方式では、認証サーバ６５が保持しているカウンタ値Ｍ、公開鍵Ｙ、署名パラメータ群Ｗ（ｇ，ｐ，ｑ）、及び、受信した認証要求に含まれるパスワード（署名情報(ｒ，ｔ)）が用いられる。この場合、署名検証では、上述した、算出したハッシュ値とパスワードの復号結果とが一致していることは、等式ｒ=(g^h(M)/t Y^r/t mod p)mod qが成立することと等価である。

検証部６５３は、署名検証、及び、ユーザＩＤとＭＳＩＳＤＮとの組み合わせの妥当性検証の結果、つまり、認証要求に対応する端末１０ａの接続要求が正当であるか否かの判定結果を示す認証結果を通信部６５１へ出力する。

カウンタ値更新部６５４は、検証部６５３から端末１０ａの接続要求が正当である旨の通知を受け取った場合、当該端末１０ａとの間で共有されるカウンタ値を更新する。例えば、カウンタ値更新部６５４は、記憶部６５２に格納されている現在のカウンタ値をインクリメント（１を加算）し、更新後のカウンタ値を記憶部６５２に格納する。なお、端末１０ａと認証サーバ６５とは、同一の方法を用いてカウンタ値を更新する。

［認証処理に関する動作］
次に、上述した通信システム１ａにおける認証処理の詳細について説明する。

［認証処理］
具体的には、端末１０ａ（ＴＥ８０＋ＭＴ９０）がＭＶＮＯネットワーク６０に対して接続要求する際の各装置の動作について説明する。

以下では、端末Ａ（端末１０ａ）のＴＥ８０に設定されたユーザＩＤ（username）を「userID_A」とする。また、端末ＡのＭＴ９０に搭載（挿入）されたＳＩＭカード４０（SIM_A）のＩＭＳＩを「IMSI_A」、ＭＳＩＳＤＮを「MSISDN_A」とする。

また、認証サーバ６５は、各端末１０ａに搭載されたＳＩＭカード４０の情報（ＩＭＳＩ）に対応するＭＳＩＳＤＮと、各端末１０ａが保持する秘密鍵に対応する公開鍵とを対応付けて格納している「公開鍵テーブル」を保持する。

また、認証サーバ６５は、各端末１０ａに搭載されたＳＩＭカード４０の情報（ＩＭＳＩ）に対応するＭＳＩＳＤＮと、各端末１０ａとの間で共有されるカウンタ値とを対応付けて格納している「カウンタ値テーブル」を保持する。

また、認証サーバ６５は、各端末１０ａに搭載されたＳＩＭカード４０の情報（ＩＭＳＩ）に対応するＭＳＩＳＤＮと、各端末１０ａとの間で共有される署名パラメータ群Ｗとを対応付けて格納している「署名パラメータテーブル」を保持する。

また、認証サーバ６５は、usernameと、ＭＳＩＳＤＮとの組み合わせを予め登録しているものとする。

図２７〜図４４は、端末１０ａ（ＴＥ８０＋ＭＴ９０）がＭＶＮＯネットワーク６０に対して接続要求する際の各装置の動作を示すシーケンス図である。なお、以下の説明に用いる図２７〜図４４において同一の処理には同一の符号を付し、重複する説明を省略する。

＜動作例１：図２７＞
動作例１では、端末ＡのユーザＡ（正当なユーザ）が認証処理を行う場合について説明する。動作例１では、端末Ａには、ＳＩＭカード４０としてSIM_A（IMSI_A、MSISDN_A）が挿入されている。

図２７に示すステップ（以下、単に「ＳＴ」と表す）５０１では、ＴＥ８０において、ネットワーク接続要求のトリガが発生し、ＳＴ５０２では、ＴＥ８０は、ディジタル署名に基づいて、カウンタ値M0のハッシュ値を算出し、そのハッシュ値を暗号化する。ここでは、ＴＥ８０は、秘密鍵X_A、署名パラメータ群Wを用いて、カウンタ値M0のハッシュ値を暗号化し、署名情報出力としてDS_A(M0)を得る。

ＳＴ５０３では、ＴＥ８０は、ＭＴ９０に対して接続要求を送信する。この接続要求には、認証種別（ＰＡＰ認証）、ＴＥ８０のユーザＩＤ（userID_A）、ＰＡＰ認証のパスワードとして、ＳＴ５０２で得られたDS_A(M0)が含まれる。

ＳＴ５０４では、ＭＴ９０は、ＰＡＰ処理を行う。具体的には、ＭＴ９０は、ＳＴ５０３において受け取った認証種別（ＰＡＰ認証）、ユーザＩＤ／パスワードを、ＰＡＰ認証のパラメータとして所定のリソース（例えばＰＣＯ領域に対応するリソース）にマッピングする。

ＳＴ５０５では、ＭＴ９０は、ＭＮＯネットワーク５０に対してアタッチ要求を送信する。このアタッチ要求には、認証種別（ＰＡＰ認証）、ＴＥ８０のユーザＩＤ（userID_A）、パスワード（DS_A(M0)）が含まれる。これらのパラメータは、ＰＣＯ領域を用いて送信される。また、アタッチ要求にはＩＭＳＩ(IMSI_A)も含まれ、ＰＣＯ領域とは別の領域を用いて送信される。

ＳＴ５０６では、ＭＴ９０及びＭＮＯネットワーク５０は、ＭＴ９０に接続されたＳＩＭカード４０のＩＭＳＩ（IMSI_A）を用いて、当該ＩＭＳＩがＭＮＯネットワーク５０に登録されている値と一致するか否かを判断する（ＳＩＭが正当なものであるか否かを判断する）ＳＩＭ認証処理を行う。

ＳＴ５０７では、ＭＮＯネットワーク５０は、端末１０ａに対する通信経路の設定要求を、ＭＶＮＯネットワーク６０内のＰ−ＧＷ６１へ送信する。この経路設定要求には、認証種別（ここではＰＡＰ認証）、ＴＥ８０のユーザＩＤ（userID_A）、パスワード（DS_A(M0)）が含まれる。これらのパラメータは、ＰＣＯ領域を用いて送信される。また、ＭＮＯネットワーク５０は、ＳＴ５０５でＭＴ９０から受信したＩＭＳＩ（IMSI_A）に対応するＭＳＩＳＤＮ（ＭＴ９０に接続されたＳＩＭカード４０のＭＳＩＳＤＮ（MSISDN_A））をＰ−ＧＷ６１へ合わせて送信する。

ＳＴ５０８では、Ｐ−ＧＷ６１は、ＳＴ５０７で受け取ったＰＣＯ領域の内容、ＭＳＩＳＤＮに従って、端末１０ａに対する認証要求を認証サーバ６５へ送信する。この認証要求には、認証種別（ここではＰＡＰ認証）、ＴＥ８０のユーザＩＤ（userID_A）、パスワード（DS_A(M0)）、及び、ＭＳＩＳＤＮ（MSISDN_A）が含まれる。

ＳＴ５０９では、認証サーバ６５は、ＳＴ５０８で受け取った、ユーザＩＤとＭＳＩＳＤＮとの組み合わせが、予め登録されている組み合わせと一致するか否かを判断する（組み合わせの妥当性検証）。認証サーバ６５は、組み合わせが妥当である場合（ＳＴ５１０：Ｙｅｓ）にはＳＴ５１１の処理に進み、組み合わせが妥当ではない場合（ＳＴ５１０：Ｎｏ）には認証失敗としてＳＴ５１７の処理に進む。図２７では、上記組み合わせはuserID_A／MSISDN_Aであるので、認証サーバ６５は、組み合わせが妥当であると判定する。

ＳＴ５１１では、認証サーバ６５は、公開鍵テーブルを参照して、ＳＴ５０８で受け取ったＭＳＩＳＤＮ（MSISDN_A）に対応する公開鍵（Y_A）を取得する。

ＳＴ５１２では、認証サーバ６５は、カウンタ値テーブルを参照して、ＳＴ５０８で受け取ったＭＳＩＳＤＮ（MSISDN_A）に対応するカウンタ値（M0）を取得する。

ＳＴ５１３では、認証サーバ６５は、署名パラメータテーブルを参照して、ＳＴ５０８で受け取ったＭＳＩＳＤＮ（MSISDN_A）に対応する署名パラメータ群Ｗを取得する。

ＳＴ５１４では、認証サーバ６５は、ＳＴ５１１〜ＳＴ５１３の各々において取得した公開鍵Y_A、カウンタ値M0、署名パラメータ群Ｗ、及び、ＳＴ５０８で受け取った署名情報出力DS_A(M0)を用いて、署名検証を行う。

ＳＴ５１５では、認証サーバ６５は、ＳＴ５１４の署名検証の結果に基づいて、ディジタル署名が有効（検証ＯＫ）であるか否かを判断する。認証サーバ６５は、ディジタル署名が有効である場合（ＳＴ５１５：Ｙｅｓ）にはＳＴ５１６の処理に進み、ディジタル署名が有効ではない場合（ＳＴ５１５：Ｎｏ）には認証失敗としてＳＴ５１７の処理に進む。図２７では、カウンタ値M0、署名パラメータ群Wは、端末ＡがＰＡＰ認証のパスワードの生成に使用された値と同一であり（図２７のＳＴ５０２を参照）、公開鍵Y_Aは、端末Ａが使用した秘密鍵X_Aに対応する公開鍵である。よって、署名情報出力DS_A(M0)を公開鍵Y_Aを用いて復号して得られる値と、カウンタ値M0のハッシュ値とは一致するので、認証サーバ６５は、ディジタル署名が有効であると判断する（ＳＴ５１５：Ｙｅｓ）。

ＳＴ５１６では、認証サーバ６５は、認証に成功した端末１０ａに搭載されたＳＩＭカード４０のＭＳＩＳＤＮに対応するカウンタ値を更新する。例えば、認証サーバ６５は、ＳＴ５１２でカウンタ値テーブルから取得したカウンタ値M0をインクリメントして、M0+1に更新する。そして、認証サーバ６５は、当該端末１０ａに搭載されたＳＩＭのＭＳＩＳＤＮ（MSISDN_A）と更新後のカウンタ値（M0+1）とを対応付けて、カウンタ値テーブルに格納する。

ＳＴ５１７では、認証サーバ６５は、Ｐ−ＧＷ６１に対して、端末１０ａの認証成功（accept）を示すメッセージを送信する。なお、端末１０ａの認証が失敗した場合には認証失敗（reject）を示すメッセージが送信される（図示せず）。

ＳＴ５１８では、Ｐ−ＧＷ６１は、端末１０ａに対してＩＰアドレスを割り当てる。ＳＴ５１９では、ＳＴ５０７の経路設定要求に対する応答である経路設定応答をＭＮＯネットワーク５０に送信する。この経路設定応答には、ＳＴ５１８で割り当てられたＩＰアドレスが含まれる。

ＳＴ５２０では、ＭＮＯネットワーク５０は、ＭＴ９０に対して、アタッチ完了通知を送信するとともに、パケットの論理的パスであるベアラ（デフォルトベアラ）の設定要求を送信する。ＳＴ５２１では、ＭＮＯネットワーク５０及びＭＴ９０は、アタッチ完了処理、及び、デフォルトベアラの確立処理を行う。

ＳＴ５２２では、ＭＴ９０は、ＴＥ８０に対して、アタッチの完了を報告するとともに、割り当てられたＩＰアドレスを通知する。

ＳＴ５２３では、ＴＥ８０は、アタッチ完了通知を受けて、端末Ａのカウンタ値（M0）を更新する。例えば、ＴＥ８０は、保持しているカウンタ値M0をインクリメントして、M0+1に更新する。ＳＴ５２４では、ＴＥ８０は、ＳＴ５２３において更新したカウンタ値（M0+1）を格納する。なお、ＳＴ５１６及びＳＴ５２３におけるカウンタ値の更新方法は同一とする。

つまり、端末１０ａ及び認証サーバ６５は、同一値のカウンタ値を保持しており、認証サーバ６５において端末１０ａの認証に成功した場合、及び、端末１０ａにおいてアタッチ完了通知を受信した場合にカウンタ値をそれぞれ更新する。

これ以降、端末１０ａ及び認証サーバ６５は、端末Ａに対する認証成功、つまり、アタッチ完了の度に、カウンタ値を順次更新する（例えば、カウンタ値M0、M0+1、M0+2、…、M0+N、…）。

このように、端末１０ａは、ディジタル署名により秘密鍵、署名パラメータを用いて、端末１０ａ（ＴＥ８０）と認証サーバ６５とが共有するカウンタ値を暗号化し、暗号化された値（署名情報）をパスワードとしてＰＡＰ認証を行う。また、認証サーバ６５は、端末１０ａからの接続要求に対応する認証要求に含まれるＰＡＰ認証のパスワード（署名情報）、及び、当該認証要求に含まれるＭＳＩＳＤＮに対応付けられたカウンタ値、公開鍵、署名パラメータを用いて、署名検証を行う。

例えば、正当なユーザのユーザＩＤ及びＳＩＭが第３者に盗まれ、第３者の端末１０ａを介して接続要求が行われたとする。この場合、ユーザＩＤとＭＳＩＳＤＮの組み合わせは妥当と判断され得る。しかし、当該第３者の端末１０ａにおいて使用される秘密鍵（すなわち、第３者の秘密鍵）と、認証サーバ６５において使用される、盗まれたＳＩＭのＭＳＩＳＤＮに対応付けられた公開鍵（すなわち、正当なユーザの公開鍵）と、が異なる。よって、認証サーバ６５は、当該第３者による不正アクセスを防止することができる。

また、端末１０ａ及び認証サーバ６５は、ディジタル署名方式において使用されるカウンタ値をアタッチ完了の度に更新する。

ＰＡＰ認証では、ユーザＩＤ及びパスワードが平文のまま送信される（ＣＨＡＰ認証のようにチャレンジコードを加えたハッシュ値を用いていない）。よって、正当なユーザによるＰＡＰ認証に基づくアタッチ要求が第３者に盗聴され、パスワードである署名情報出力が盗まれ、第３者の端末１０ａを介して接続要求が行われることも想定される。しかし、この場合、当該第３者の端末１０ａにおいてパスワードとして使用される正当なユーザから盗んだ署名情報の生成時に用いられたカウンタ値と、認証サーバ６５における署名検証時に用いられるカウンタ値と、が異なる。よって、認証サーバ６５は、当該第３者による不正アクセスを防止することができる。

なお、このような不正アクセスを防止する動作の具体例については、動作例２〜動作例９において後述する。

（変形例）
認証サーバ６５は、図２７に示す処理の代わりに、図２８に示すように、署名検証（ＳＴ５１１〜ＳＴ５１５）を先に行い、署名検証が成功した場合（ＳＴ５１５：Ｙｅｓ）、ユーザＩＤとＭＳＩＳＤＮの組み合わせの妥当性検証（ＳＴ５０９、ＳＴ５１０）を行ってもよい。

以上、動作例１の処理について説明した。

次に、本実施の形態に係る通信システム１ａにおいて、端末ＡのユーザＡが端末ＢのユーザＢのユーザＩＤ、ＳＩＭカード、又は、アタッチ要求に含まれるパスワード（署名情報出力）を盗んで不正アクセスを行った場合の動作例２〜動作例９について説明する。

なお、以下では、端末Ａ及び認証サーバ６５が共有しているカウンタ値をM0+Nとし、端末Ｂ及び認証サーバ６５が共有しているカウンタ値をMp（≠M0+N）とする。

＜動作例２：図２９＞
図２９では、端末Ａ（ユーザＡ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_A、IMSI_A、MSISDN_A、X_A、Y_Aとする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_B、IMSI_B、MSISDN_B、X_B、Y_Bとする。

動作例２では、端末ＡのユーザＡが端末Ｂ（ユーザＢ）のユーザＩＤ（userID_B）を盗み、ユーザＢになりすます場合について説明する。

つまり、図２９に示すように、端末ＡのＴＥ８０は、ＰＡＰ認証によるネットワーク接続要求の際（ＳＴ５０３）、ユーザＩＤとして「userID_B」を用い、パスワードとして「DS_A(M0+N)」を用いる。なお、端末ＡのＭＴ９０には、ＳＩＭカード４０としてSIM_A（IMSI_A、MSISDN_A）が挿入されている。

この場合、認証サーバ６５は、ユーザＢのユーザＩＤ（userID_B）、署名情報出力DS_A(M0+N)、端末Ａに挿入されているSIM_Aに対応するＭＳＩＳＤＮ（MSISDN_A）を含む認証要求を受け取る（ＳＴ５０８）。

そして、認証サーバ６５は、ユーザＩＤと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ５０９）。ここで、認証サーバ６５には、ユーザＡについて、userID_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_B／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６５は、ＳＴ５０８において取得したuserID_B／MSISDN_Aの組み合わせが妥当ではないと判断する（ＳＴ５１０：Ｎｏ）。

よって、図２９では、認証サーバ６５は、署名検証（ＳＴ５１１〜ＳＴ５１５）及びカウンタ値更新（ＳＴ５１６）を行うことなく、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

この場合、ＳＴ５１７ａでは、認証サーバ６５は、Ｐ−ＧＷ６１に対して、端末１０ａの認証失敗（reject）を示すメッセージを送信する。ＳＴ５１９ａでは、Ｐ−ＧＷ６１は、ＳＴ５０７の経路設定要求に対する応答である経路設定応答をＭＮＯネットワーク５０に送信する。この経路設定応答にはＩＰアドレスが含まれない。ＳＴ５２０ａでは、ＭＮＯネットワーク５０は、ＭＴ９０に対して、アタッチ否認を送信する。

よって、ＴＥ８０は、アタッチ完了通知を受信しないので、認証サーバ６５と同様、保持しているカウンタ値を更新しない。

以上より、動作例２では、ユーザＡによるユーザＢのなりすましを防止することができる。

（変形例）
認証サーバ６５は、図２９に示す処理の代わりに、図３０に示すように、署名検証（ＳＴ５１１〜ＳＴ５１５）を先に行い、署名検証が成功した場合（ＳＴ５１５：Ｙｅｓ）、ユーザＩＤとＭＳＩＳＤＮの組み合わせの妥当性検証（ＳＴ５０９、ＳＴ５１０）を行ってもよい。図３０においても、認証サーバ６５は、ＳＴ５０８において取得したuserID_B／MSISDN_Aの組み合わせが妥当ではないと判断する（ＳＴ５１０：Ｎｏ）。以上より、図３０の動作例でも、ユーザＡによるユーザＢのなりすましを防止することができる。

＜動作例３：図３１＞
図３１では、端末Ａ（ユーザＡ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_A、IMSI_A、MSISDN_A、X_A、Y_Aとする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_B、IMSI_B、MSISDN_B、X_B、Y_Bとする。

動作例３では、端末ＡのユーザＡが端末ＢのＳＩＭカード４０（SIM_B：IMSI_B、MSISDN_B）を盗み、端末Ａ（ＭＴ９０）に挿入し、ユーザＢになりすます場合について説明する。

つまり、図３１に示すように、端末ＡのＭＴ９０は、アタッチ要求の際（ＳＴ５０５）、ユーザＩＤ／パスワードとして「userID_A／DS_A(M0+N)」、ＳＩＭカード４０の情報として「IMSI_B」を送信する。

この場合、認証サーバ６５は、ユーザＡのユーザＩＤ（userID_A）、署名情報出力DS_A(M0+N)、端末Ａに挿入されているSIM_Bに対応するＭＳＩＳＤＮ（MSISDN_B）を含む認証要求を受け取る（ＳＴ５０８）。

そして、認証サーバ６５は、ユーザＩＤと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ５０９）。ここで、認証サーバ６５には、ユーザＡについて、userID_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_B／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６５は、ＳＴ５０８において取得したuserID_A／MSISDN_Bの組み合わせが妥当ではないと判断する（ＳＴ５１０：Ｎｏ）。

よって、図３１では、認証サーバ６５は、署名検証（ＳＴ５１１〜ＳＴ５１５）及びカウンタ値更新（ＳＴ５１６）を行うことなく、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

以上より、動作例３では、ユーザＡによるユーザＢのなりすましを防止することができる。

（変形例）
認証サーバ６５は、図３１に示す処理の代わりに、図３２に示すように、署名検証（ＳＴ５１１〜ＳＴ５１５）を先に行い、署名検証が成功した場合（ＳＴ５１５：Ｙｅｓ）、ユーザＩＤとＭＳＩＳＤＮの組み合わせの妥当性検証（ＳＴ５０９、ＳＴ５１０）を行ってもよい。

図３２では、認証サーバ６５は、公開鍵テーブル、カウンタ値テーブル、署名パラメータテーブルを参照して、ＳＴ５０８で取得したMSISDN_Bに対応する公開鍵Y_B、カウンタ値Mp、署名パラメータ群Wを取得する（ＳＴ５１１〜ＳＴ５１３）。

ここで、カウンタ値Mpは、ＰＡＰ認証のパスワード（DS_A(M0+N)）の生成に使用された端末Ａのカウンタ値M0+Nと異なり、公開鍵Y_Bは、端末Ａが使用した秘密鍵X_Aに対応しない（図３２のＳＴ５０２を参照）。よって、署名情報出力DS_A(M0＋N)を公開鍵Y_Bを用いて復号して得られる値と、カウンタ値Mpのハッシュ値とは一致しないので、認証サーバ６５は、ディジタル署名が有効ではない（検証ＮＧ）と判断する（ＳＴ５１５：Ｎｏ）。

以上より、図３２の動作例でも、ユーザＡによるユーザＢのなりすましを防止することができる。

＜動作例４：図３３＞
動作例４では、端末Ａ及び端末Ｂは同一サービスグループに属しており（例えば、ＭＶＮＯが提供する同じサービスに加入している）、共通のユーザＩＤ（userID_A）が割り当てられている。

図３３では、端末Ａ（ユーザＡ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_A、IMSI_A、MSISDN_A、X_A、Y_Aとする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_A、IMSI_B、MSISDN_B、X_B、Y_Bとする。なお、動作例４において、userID_B（図示せず）は、端末Ａ及び端末Ｂが属するサービスグループ以外の他のサービスグループに設定されたユーザＩＤである。

動作例４では、端末ＡのユーザＡが端末ＢのＳＩＭカード４０（SIM_B：IMSI_B、MSISDN_B）を盗み、端末Ａ（ＭＴ９０）に挿入し、ユーザＢになりすます場合について説明する。

つまり、図３３に示すように、端末ＡのＭＴ９０は、アタッチ要求の際（ＳＴ５０５）、ユーザＩＤ／パスワードとして「userID_A／DS_A(M0+N)」、ＳＩＭカード４０の情報として「IMSI_B」を送信する。

この場合、認証サーバ６５は、ユーザＡのユーザＩＤ（userID_A）、署名情報出力DS_A(M0+N)、端末Ａに挿入されているSIM_Bに対応するＭＳＩＳＤＮ（MSISDN_B）を含む認証要求を受け取る（ＳＴ５０８）。

そして、認証サーバ６５は、ユーザＩＤと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ５０９）。ここで、認証サーバ６５には、ユーザＡについて、userID_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_A／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６５は、ＳＴ５０８において取得したuserID_A／MSISDN_Bの組み合わせが妥当であると判断する（ＳＴ５１０：Ｙｅｓ）。

つまり、図３３のように、ユーザＡがユーザＢのＳＩＭカード４０（SIM_B）を端末Ａに挿入してユーザＢになりすました場合、ユーザＩＤとＭＳＩＳＤＮとの組み合わせの妥当性検証では当該なりすましを防止することができない。

そこで、図３３では、認証サーバ６５は、引き続き、署名検証を行う。

具体的には、認証サーバ６５は、公開鍵テーブル、カウンタ値テーブル、署名パラメータテーブルを参照して、ＳＴ５０８で取得したMSISDN_Bに対応する公開鍵Y_B、カウンタ値Mp、署名パラメータ群Wを取得する（ＳＴ５１１〜ＳＴ５１３）。

ここで、カウンタ値Mpは、ＰＡＰ認証のパスワード（DS_A(M0+N)）の生成に使用された端末Ａのカウンタ値M0+Nと異なり、公開鍵Y_Bは、端末Ａが使用した秘密鍵X_Aに対応しない（ＳＴ５０２を参照）。よって、署名情報出力DS_A(M0＋N)を公開鍵Y_Bを用いて復号して得られる値と、カウンタ値Mpのハッシュ値とは一致しないので、認証サーバ６５は、ディジタル署名が有効ではない（検証ＮＧ）と判断する（ＳＴ５１５：Ｎｏ）。

以上より、動作例４では、ユーザＩＤとＭＳＩＳＤＮとの組み合わせの妥当性検証では当該なりすましを防止することができないものの、ディジタル署名方式によって生成される署名情報をパスワードとして用いたＰＡＰ認証によって、ユーザＡによるユーザＢのなりすましを防止することができる。

（変形例）
認証サーバ６５は、図３３に示す処理の代わりに、図３４に示すように、署名検証（ＳＴ５１１〜ＳＴ５１５）を先に行い、署名検証が成功した場合（ＳＴ５１５：Ｙｅｓ）、ユーザＩＤとＭＳＩＳＤＮの組み合わせの妥当性検証（ＳＴ５０９、ＳＴ５１０）を行ってもよい。

＜動作例５：図３５＞
図３５では、端末Ａ（ユーザＡ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_A、IMSI_A、MSISDN_A、X_A、Y_Aとする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_B、IMSI_B、MSISDN_B、X_B、Y_Bとする。

動作例５では、端末ＡのユーザＡが端末ＢのＳＩＭカード４０（SIM_B：IMSI_B、MSISDN_B）を盗み、端末Ａ（ＭＴ９０）に挿入し、かつ、端末ＢのユーザＢのユーザＩＤ（userID_B）も盗み、ユーザＢになりすます場合について説明する。

つまり、図３５に示すように、端末ＡのＴＥ８０は、ＰＡＰ認証によるネットワーク接続要求の際（ＳＴ５０３）、ユーザＩＤとして「userID_B」を用い、パスワードとして「DS_A(M0+N)」を用いる。また、図３５に示すように、端末ＡのＭＴ９０は、アタッチ要求の際（ＳＴ５０５）、ユーザＩＤ／パスワードとして「userID_B／DS_A(M0+N)」、ＳＩＭカード４０の情報として「IMSI_B」を送信する。

この場合、認証サーバ６５は、ユーザＢのユーザＩＤ（userID_B）、署名情報出力DS_A(M0+N)、端末Ａに挿入されているSIM_Bに対応するＭＳＩＳＤＮ（MSISDN_B）を含む認証要求を受け取る（ＳＴ５０８）。

そして、認証サーバ６５は、ユーザＩＤと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ５０９）。ここで、認証サーバ６５には、ユーザＡについて、userID_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_B／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６５は、ＳＴ５０８において取得したuserID_B／MSISDN_Bの組み合わせが妥当であると判断する（ＳＴ５１０：Ｙｅｓ）。

つまり、図３５のように、ユーザＡがユーザＢのＳＩＭカード４０（SIM_B）を端末Ａに挿入し、かつ、ユーザＩＤを盗んでユーザＢになりすました場合、ユーザＩＤとＭＳＩＳＤＮとの組み合わせの妥当性検証では当該なりすましを防止することができない。

そこで、図３５では、認証サーバ６５は、引き続き、署名検証を行う。

具体的には、認証サーバ６５は、公開鍵テーブル、カウンタ値テーブル、署名パラメータテーブルを参照して、ＳＴ５０８で取得したMSISDN_Bに対応する公開鍵Y_B、カウンタ値Mp、署名パラメータ群Wを取得する（ＳＴ５１１〜ＳＴ５１３）。

ここで、カウンタ値Mpは、ＰＡＰ認証のパスワード（DS_A(M0+N)）の生成に使用された端末Ａのカウンタ値M0+Nと異なり、公開鍵Y_Bは、端末Ａが使用した秘密鍵X_Aに対応しない（ＳＴ５０２を参照）。よって、署名情報出力DS_A(M0＋N)を公開鍵Y_Bを用いて復号して得られる値と、カウンタ値Mpのハッシュ値とは一致しないので、認証サーバ６５は、ディジタル署名が有効ではない（検証ＮＧ）と判断する（ＳＴ５１５：Ｎｏ）。

以上より、動作例５では、ユーザＩＤとＭＳＩＳＤＮとの組み合わせの妥当性検証では当該なりすましを防止することができないものの、ディジタル署名方式によって生成される署名情報をパスワードとして用いたＰＡＰ認証によって、ユーザＡによるユーザＢのなりすましを防止することができる。

（変形例）
認証サーバ６５は、図３５に示す処理の代わりに、図３６に示すように、署名検証（ＳＴ５１１〜ＳＴ５１５）を先に行い、署名検証が成功した場合（ＳＴ５１５：Ｙｅｓ）、ユーザＩＤとＭＳＩＳＤＮの組み合わせの妥当性検証（ＳＴ５０９、ＳＴ５１０）を行ってもよい。

＜動作例６：図３７＞
図３７では、端末Ａ（ユーザＡ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮをそれぞれ、userID_A、IMSI_A、MSISDN_Aとする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_B、IMSI_B、MSISDN_B、X_B、Y_Bとする。

動作例６では、本実施の形態に係る認証方式をサポートしていない契約に属するユーザＡが、本実施の形態に係る認証方式をサポートしている契約に属する端末ＢのＳＩＭカード４０（SIM_B：IMSI_B、MSISDN_B）を盗み、ユーザＡの端末Ａ（ＭＴ）に挿入し、ユーザＢになりすます場合について説明する。

本実施の形態に係る認証方式をサポートしていない契約に属するユーザＡの端末Ａに対しては、図２７に示すＳＴ５０２のディジタル署名の署名情報生成処理、及び、ＳＴ５２３，ＳＴ５２４のカウンタ値更新処理が行われない。端末Ａについては予め設定されたパスワード（pass_A）を用いたＰＡＰ認証が行われる。

つまり、図３７に示すように、端末ＡのＴＥは、ＰＡＰ認証によるネットワーク接続要求の際（ＳＴ５０３）、ユーザＩＤとして「userID_A」を用い、パスワードとして「pass_A」を用いる。また、図３７に示すように、端末ＡのＭＴは、アタッチ要求の際（ＳＴ５０５）、ユーザＩＤ／パスワードとして「userID_A／pass_A」、ＳＩＭカード４０の情報として「IMSI_B」を送信する。

この場合、認証サーバ６５は、ユーザＡのユーザＩＤ（userID_A）、パスワード（pass_A）、端末Ａに挿入されているSIM_Bに対応するＭＳＩＳＤＮ（MSISDN_B）を含む認証要求を受け取る（ＳＴ５０８）。

そして、認証サーバ６５は、ユーザＩＤと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ５０９）。ここで、認証サーバ６５には、ユーザＡについて、userID_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_B／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６５は、ＳＴ５０８において取得したuserID_A／MSISDN_Bの組み合わせが妥当ではないと判断する（ＳＴ５１０：Ｎｏ）。

よって、図３７では、認証サーバ６５は、署名検証（ＳＴ５１１〜ＳＴ５１５）及びカウンタ値更新（ＳＴ５１６）を行うことなく、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

以上より、動作例６では、ユーザＡによるユーザＢのなりすましを防止することができる。

（変形例）
認証サーバ６５は、図３７に示す処理の代わりに、図３８に示すように、署名検証（ＳＴ５１１〜ＳＴ５１５）を先に行い、署名検証が成功した場合（ＳＴ５１５：Ｙｅｓ）、ユーザＩＤとＭＳＩＳＤＮの組み合わせの妥当性検証（ＳＴ５０９、ＳＴ５１０）を行ってもよい。

図３８では、認証サーバ６５は、公開鍵テーブル、カウンタ値テーブル、署名パラメータテーブルを参照して、ＳＴ５０８で取得したMSISDN_Bに対応する公開鍵Y_B、カウンタ値Mp、署名パラメータ群Wを取得する（ＳＴ５１１〜ＳＴ５１３）。

ここで、端末Ａは本実施の形態に係る認証方式をサポートしていない契約に属するので、パスワードにはディジタル署名により生成される署名情報を用いない（秘密鍵で暗号化された情報を用いない）。よって、パスワード（pass_A）を公開鍵Y_Bを用いて復号して得られる値と、カウンタ値Mpのハッシュ値とは一致しないので、認証サーバ６５は、ディジタル署名が有効ではない（検証ＮＧ）と判断する（ＳＴ５１５：Ｎｏ）。

以上より、図３８の動作例でも、ユーザＡによるユーザＢのなりすましを防止することができる。

＜動作例７：図３９＞
図３９では、端末Ａ（ユーザＡ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮをそれぞれ、userID_A、IMSI_A、MSISDN_Aとする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_B、IMSI_B、MSISDN_B、X_B、Y_Bとする。

動作例７では、本実施の形態に係る認証方式をサポートしていない契約に属するユーザＡが、本実施の形態に係る認証方式をサポートしている契約に属する端末ＢのＳＩＭカード４０（SIM_B：IMSI_B、MSISDN_B）を盗み、端末Ａ（ＭＴ９０）に挿入し、かつ、端末ＢのユーザＢのユーザＩＤ（userID_B）も盗み、ユーザＢになりすます場合について説明する。

本実施の形態に係る認証方式をサポートしていない契約に属するユーザＡの端末Ａに対しては、図２７に示すＳＴ５０２のディジタル署名の署名情報生成処理、及び、ＳＴ５２３，ＳＴ５２４のカウンタ値更新処理が行われない。つまり、端末Ａについては予め設定されたパスワード（pass_A）を用いたＰＡＰ認証が行われる。

つまり、図３９に示すように、端末ＡのＴＥは、ＰＡＰ認証によるネットワーク接続要求の際（ＳＴ５０３）、ユーザＩＤとして「userID_B」を用い、パスワードとして「pass_A」を用いる。また、図３９に示すように、端末ＡのＭＴは、アタッチ要求の際（ＳＴ５０５）、ユーザＩＤ／パスワードとして「userID_B／pass_A」、ＳＩＭカード４０の情報として「IMSI_B」を送信する。

この場合、認証サーバ６５は、ユーザＢのユーザＩＤ（userID_B）、パスワード（pass_A）、端末Ａに挿入されているSIM_Bに対応するＭＳＩＳＤＮ（MSISDN_B）を含む認証要求を受け取る（ＳＴ５０８）。

そして、認証サーバ６５は、ユーザＩＤと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ５０９）。ここで、認証サーバ６５には、ユーザＡについて、userID_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_B／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６５は、ＳＴ５０８において取得したuserID_B／MSISDN_Bの組み合わせが妥当であると判断する（ＳＴ５１０：Ｙｅｓ）。

つまり、図３９のように、ユーザＡがユーザＢのＳＩＭカード４０（SIM_B）を端末Ａに挿入し、かつ、ユーザＩＤを盗んでユーザＢになりすました場合、ユーザＩＤとＭＳＩＳＤＮとの組み合わせの妥当性検証では当該なりすましを防止することができない。

そこで、図３９では、認証サーバ６５は、引き続き、署名検証を行う。

具体的には、認証サーバ６５は、公開鍵テーブル、カウンタ値テーブル、署名パラメータテーブルを参照して、ＳＴ５０８で取得したMSISDN_Bに対応する公開鍵Y_B、カウンタ値Mp、署名パラメータ群Wを取得する（ＳＴ５１１〜ＳＴ５１３）。

ここで、端末Ａは本実施の形態に係る認証方式をサポートしていない契約に属するので、パスワードにはディジタル署名により生成される署名情報を用いない（秘密鍵で暗号化された情報を用いない）。よって、パスワード（pass_A）を公開鍵Y_Bを用いて復号して得られる値と、カウンタ値Mpのハッシュ値とは一致しないので、認証サーバ６５は、ディジタル署名が有効ではない（検証ＮＧ）と判断する（ＳＴ５１５：Ｎｏ）。

以上より、動作例７では、ユーザＩＤとＭＳＩＳＤＮとの組み合わせの妥当性検証では当該なりすましを防止することができないものの、ディジタル署名方式によって生成される署名情報をパスワードとして用いたＰＡＰ認証によって、ユーザＡによるユーザＢのなりすましを防止することができる。

（変形例）
認証サーバ６５は、図３９に示す処理の代わりに、図４０に示すように、署名検証（ＳＴ５１１〜ＳＴ５１５）を先に行い、署名検証が成功した場合（ＳＴ５１５：Ｙｅｓ）、ユーザＩＤとＭＳＩＳＤＮの組み合わせの妥当性検証（ＳＴ５０９、ＳＴ５１０）を行ってもよい。

＜動作例８：図４１＞
図４１では、端末Ａ（ユーザＡ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_A、IMSI_A、MSISDN_A、X_A、Y_Aとする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_B、IMSI_B、MSISDN_B、X_B、Y_Bとする。

動作例８では、ユーザＡが、端末Ｂのアタッチ要求（図示せず）を盗聴し、端末Ｂのアタッチ要求に含まれるユーザＩＤ（userID_B）及びパスワード（DS_B(Mn)）を盗んで、ユーザＢになりすます場合について説明する。なお、DS_B(Mn)は、端末Ｂにおいて、カウンタ値Mn、秘密鍵X_B、署名パラメータ群Wを用いて算出される署名情報である。

つまり、図４１に示すように、端末ＡのＴＥ８０は、ＰＡＰ認証によるネットワーク接続要求の際（ＳＴ５０３）、ユーザＩＤとして「userID_B」を用い、パスワードとして「DS_B(Mn)」を用いる。また、図４１に示すように、端末ＡのＭＴ９０は、アタッチ要求の際（ＳＴ５０５）、ユーザＩＤ／パスワードとして「userID_B／DS_B(Mn)」、ＳＩＭカード４０の情報として「IMSI_A」を送信する。

この場合、認証サーバ６５は、ユーザＢのユーザＩＤ（userID_B）、パスワード（DS_B(Mn)）、端末Ａに挿入されているSIM_Aに対応するＭＳＩＳＤＮ（MSISDN_A）を含む認証要求を受け取る（ＳＴ５０８）。

そして、認証サーバ６５は、ユーザＩＤと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ５０９）。ここで、認証サーバ６５には、ユーザＡについて、userID_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_B／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６５は、ＳＴ５０８において取得したuserID_B／MSISDN_Aの組み合わせが妥当ではないと判断する（ＳＴ５１０：Ｎｏ）。

よって、図４１では、認証サーバ６５は、署名検証（ＳＴ５１１〜ＳＴ５１５）及びカウンタ値更新（ＳＴ５１６）を行うことなく、端末Ａの接続要求（対応する認証要求）が正当ではないと判定する（認証失敗）。

以上より、動作例８では、ユーザＡによるユーザＢのなりすましを防止することができる。

（変形例）
認証サーバ６５は、図４１に示す処理の代わりに、図４２に示すように、署名検証（ＳＴ５１１〜ＳＴ５１５）を先に行い、署名検証が成功した場合（ＳＴ５１５：Ｙｅｓ）、ユーザＩＤとＭＳＩＳＤＮの組み合わせの妥当性検証（ＳＴ５０９、ＳＴ５１０）を行ってもよい。

図４２では、認証サーバ６５は、公開鍵テーブル、カウンタ値テーブル、署名パラメータテーブルを参照して、ＳＴ５０８で取得したMSISDN_Aに対応する公開鍵Y_A、カウンタ値M0+N、署名パラメータ群Wを取得する（ＳＴ５１１〜ＳＴ５１３）。

ここで、カウンタ値M0+Nは、パスワードとして送信された端末Ｂの署名情報出力DS_B(Mn)の生成に使用されたカウンタ値Mnと異なる。また、公開鍵Y_Aは、端末Ｂの署名情報出力DS_B(Mn)の生成に使用された秘密鍵X_Bに対応しない。よって、署名情報出力DS_B(Mn)を公開鍵Y_Aを用いて復号して得られる値と、カウンタ値M0+Nのハッシュ値とは一致しないので、認証サーバ６５は、ディジタル署名が有効ではない（検証ＮＧ）と判断する（ＳＴ５１５：Ｎｏ）。

以上より、図４２の動作例でも、ユーザＡによるユーザＢのなりすましを防止することができる。

＜動作例９：図４３＞
図４３では、端末Ａ（ユーザＡ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_A、IMSI_A、MSISDN_A、X_A、Y_Aとする。また、端末Ｂ（ユーザＢ）に対するユーザＩＤ／ＩＭＳＩ／ＭＳＩＳＤＮ／秘密鍵／公開鍵をそれぞれ、userID_B、IMSI_B、MSISDN_B、X_B、Y_Bとする。

動作例９では、ユーザＡが、端末Ｂのアタッチ要求（図示せず）を盗聴し、端末Ｂのアタッチ要求に含まれるユーザＩＤ（userID_B）及びパスワード（DS_B(Mn)）を盗んで、かつ、端末ＢのＳＩＭカード４０（SIM_B：IMSI_B、MSISDN_B）も盗み、端末Ａ（ＭＴ９０）に挿入し、ユーザＢになりすます場合について説明する。なお、DS_B(Mn)は、端末Ｂにおいて、カウンタ値Mn、秘密鍵X_B、署名パラメータ群Wを用いて算出される署名情報出力である。

また、ここでは、少なくとも、ユーザＡによって盗聴された端末Ｂのアタッチ要求に対応するアタッチが完了したものとする。すなわち、端末Ｂに対するカウンタ値Mnは更新されている（図４１ではMp(≧Mn+1)）。

図４３に示すように、端末ＡのＴＥ８０は、ＰＡＰ認証によるネットワーク接続要求の際（ＳＴ５０３）、ユーザＩＤとして「userID_B」を用い、パスワードとして「DS_B(Mn)」を用いる。また、図４３に示すように、端末ＡのＭＴ９０は、アタッチ要求の際（ＳＴ５０５）、ユーザＩＤ／パスワードとして「userID_B／DS_B(Mn)」、ＳＩＭカード４０の情報として「IMSI_B」を送信する。

この場合、認証サーバ６５は、ユーザＢのユーザＩＤ（userID_B）、パスワード（DS_B(Mn)）、端末Ａに挿入されているSIM_Bに対応するＭＳＩＳＤＮ（MSISDN_B）を含む認証要求を受け取る（ＳＴ５０８）。

そして、認証サーバ６５は、ユーザＩＤと、ＭＳＩＳＤＮとの組み合わせの妥当性を検証する（ＳＴ５０９）。ここで、認証サーバ６５には、ユーザＡについて、userID_A／MSISDN_Aの対応付けが登録され、ユーザＢについて、userID_B／MSISDN_Bの対応付けが登録されている。よって、認証サーバ６５は、ＳＴ５０８において取得したuserID_B／MSISDN_Bの組み合わせが妥当であると判断する（ＳＴ５１０：Ｙｅｓ）。

つまり、図４３のように、ユーザＡがユーザＢのＳＩＭカード４０（SIM_B）を端末Ａに挿入し、かつ、アタッチ要求（ユーザＩＤ）を盗聴してユーザＢになりすました場合、ユーザＩＤとＭＳＩＳＤＮとの組み合わせの妥当性検証では当該なりすましを防止することができない。

そこで、図４３では、認証サーバ６５は、引き続き、署名検証を行う。

具体的には、認証サーバ６５は、公開鍵テーブル、カウンタ値テーブル、署名パラメータテーブルを参照して、ＳＴ５０８で取得したMSISDN_Bに対応する公開鍵Y_B、カウンタ値Mp、署名パラメータ群Wを取得する（ＳＴ５１１〜ＳＴ５１３）。

ここで、カウンタ値Mpは、パスワードとして送信された端末Ｂの署名情報DS_B(Mn)の生成に使用されたカウンタ値Mnと異なる（Mp≧Mn+1）。よって、署名情報出力DS_B(Mn)を公開鍵Y_Bを用いて復号して得られる値と、カウンタ値Mpのハッシュ値とは一致しないので、認証サーバ６５は、ディジタル署名が有効ではない（検証ＮＧ）と判断する（ＳＴ５１５：Ｎｏ）。

より詳細には、認証サーバ６５及び各端末１０ａ（ここでは端末Ｂ）は、各端末１０ａの認証がＯＫとなりアタッチが完了する度にディジタル署名に使用されるカウンタ値を更新する。こうすることで、図４３に示すように或る端末１０ａのアタッチ要求（ユーザＩＤ／署名情報出力）が第３者に盗聴されたとしても、当該アタッチ要求に対するアタッチが完了すると、カウンタ値が更新されるので、当該アタッチ要求に含まれる署名情報出力は無効となる。すなわち、第３者が盗聴した情報に含まれる署名情報出力の生成に使用されたカウンタ値と、第３者がＭＶＮＯネットワーク６０へ不正アクセスを試みる際に認証サーバ６５において格納されているカウンタ値とは異なる。これにより、第３者によるなりすましを防止することができる。

以上より、動作例９では、ユーザＩＤとＭＳＩＳＤＮとの組み合わせの妥当性検証では当該なりすましを防止することができないものの、ディジタル署名方式によって生成される署名情報をパスワードとして用いたＰＡＰ認証によって、ユーザＡによるユーザＢのなりすましを防止することができる。

（変形例）
認証サーバ６５は、図４３に示す処理の代わりに、図４４に示すように、署名検証（ＳＴ５１１〜ＳＴ５１５）を先に行い、署名検証が成功した場合（ＳＴ５１５：Ｙｅｓ）、ユーザＩＤとＭＳＩＳＤＮの組み合わせの妥当性検証（ＳＴ５０９、ＳＴ５１０）を行ってもよい。

以上、通信システム１ａにおける認証処理の詳細な動作について説明した。

上記のようにして、本実施の形態では、端末１０ａにおいて、ＴＥ８０は、秘密鍵を用いて、認証サーバ６５との間で共有されるカウンタ値を用いて算出したハッシュ値を暗号化して、署名情報を生成し、ＭＴ９０は、ＰＡＰ認証のパスワードとしての署名情報、及び、端末１０ａに搭載されたＳＩＭカードの情報（ＩＭＳＩ）を含む接続要求（アタッチ要求）を送信する。また、認証サーバ６５は、端末１０ａによる接続要求時に、パスワード及びＭＳＩＳＤＮを含む、当該接続要求に対応する認証要求を受信すると、受信したＭＳＩＳＤＮに対応付けられたカウンタ値を用いてハッシュ値を算出し、受信したＭＳＩＳＤＮに対応付けられた公開鍵を用いてパスワードを復号し、ハッシュ値とパスワードの復号結果とが一致する場合、接続要求が正当であると判定する。

こうすることで、たとえユーザＩＤ又はＳＩＭカード（ＭＳＩＳＤＮ）が第３者に盗まれ、ＭＶＮＯネットワーク６０に対して不正に接続要求が行われたとしても、端末１０ａにおいて署名情報の生成に使用されたカウンタ値／秘密鍵と、認証サーバ６５において使用される、不正に取得されたＭＳＩＳＤＮに対応付けられたカウンタ値／公開鍵とが対応しないので、認証サーバ６５は、当該接続要求が不正な第３者によって行われたことを判定することができる。

また、たとえユーザＩＤのみが第３者に取得され、ＭＶＮＯネットワーク６０に対して不正に接続要求が行われたとしても、認証サーバ６５に予め登録されたユーザＩＤとＭＳＩＳＤＮとの組み合わせが妥当ではないと判断されるので、認証サーバ６５は、当該接続要求が不正な第３者によって行われたことを判定することができる。

また、本実施の形態では、認証サーバ６５は、認証成功した端末１０ａの保持しているカウンタ値を更新する。また、端末１０ａは、ディジタル署名の暗号化対象であるカウンタ値を、アタッチが完了する度に更新する。

こうすることで、たとえアタッチ要求が盗聴され、ユーザＩＤ及びパスワード（署名情報）が第３者に取得され、ＭＶＮＯネットワーク６０に対して不正に接続要求が行われたとしても、不正アクセス時のパスワードである盗まれた署名情報の生成に使用されたカウンタ値と、認証サーバ６５において格納されたカウンタ値とが異なるので、認証サーバ６５は、当該接続要求が不正な第３者によって行われたことを判定することができる。

このようにして、本実施の形態によれば、ネットワーク接続時のセキュリティを強化し、第３者による不正アクセスを防止することができる。

また、ＭＶＮＯネットワーク６０を介して、インターネット７０に接続し、クライアント認証（端末認証）を要求するインターネット上のサーバにアクセスする際には、クライアント証明書等を用いた強固な認証が行われ、不正な端末による当該サーバへのアクセスを防止できる。しかし、インターネット７０に接続する以前のＭＶＮＯネットワーク接続時点でこのような不正な端末による接続を防止できなかった場合、クライアント認証（端末認証）を要求するインターネット上のサーバへの不正アクセスは防止できたとしても、それ以外のクライアント認証を要求しないインターネット上のサーバやＭＶＮＯネットワーク上の各種サーバ等への不正アクセス（ＤｏＳ攻撃等も含む）が行われる危険性がある。

これに対して、本実施の形態では、ＭＶＮＯネットワーク接続時にディジタル署名方式を応用した強固な端末認証を行うことで、上記不正アクセスを防ぐことができる。なお、本実施の形態では、クライアント証明書よりもデータサイズが小さいディジタル署名の署名情報を認証情報として用いるので、ネットワーク接続に任意のデータ(データサイズ制限有り)をＭＶＮＯネットワークのＰ−ＧＷに転送できるＰＣＯ領域に当該認証情報を搭載することが可能となり、ＭＶＮＯネットワーク接続時に上記のようなディジタル署名を応用した強固な端末認証を実現することができる。

（実施の形態５）
実施の形態４では、認証サーバ６５が端末１０ａの認証成功時にカウンタ値を更新し、端末１０ａがアタッチ完了の度にカウンタ値を更新することにより、認証サーバ６５と端末１０ａの間において同一のカウンタ値を共有している。

しかしながら、図４５に示すように、認証サーバ６５において端末１０ａ（端末Ａ）の認証に成功し、端末１０ａのカウンタ値を更新したものの（ＳＴ５１６）、端末１０ａ宛てのアタッチ完了通知（ＳＴ５２０）の通信が途絶した場合、端末１０ａ（ＴＥ８０）においてカウンタ値更新（ＳＴ５２３，ＳＴ５２４）は行われない。

この場合、端末１０ａが保持するカウンタ値（図４５ではM0）と、認証サーバ６５が保持する端末１０ａのカウンタ値（図４５ではM0+1）は異なる。よって、これ以降、図４６に示すように、正規のユーザによる正当なネットワーク接続要求を行ったとしても、端末１０ａと認証サーバ６５との間で使用されるカウンタ値が異なるので、DS_A(M0)の復号結果とM0+1のハッシュ値とは一致せず、認証は失敗（ＳＴ５１５：Ｎｏ）してしまう。

特に、図２５に示す無線通信環境下では、有線通信と比較して通信途絶が発生しやすく、上記のような問題が発生しやすくなる。

そこで、本実施の形態では、無線通信システム等の通信途絶が発生しやすい環境でも、端末１０ａ及び認証サーバ６５において正常に認証処理を行うことができる方法について説明する。

図４７は、本実施の形態に係る認証処理に密接に関連する、端末１０ａ（ＴＥ８０＋ＭＴ９０）及び認証サーバ６５の構成を示すブロック図である。図４７において、実施の形態４（図２６）と同一処理を行う構成部には同一符号を付し、その説明を省略する。図４７に示す端末１０ａの構成は、実施の形態４と同一である。一方、図４７に示す認証サーバ６５は、カウンタ値補正部６５５を新たに備える構成を採る。

認証サーバ６５において、カウンタ値補正部６５５は、検証部６５３から署名検証失敗（カウンタ値のハッシュ値とパスワード（署名情報）の復号結果とが一致しない場合）の通知を受け取ると、検証部６５３において使用されたカウンタ値を前回の更新前の値に戻す補正処理を行う。カウンタ値補正部６５５は、補正後のカウンタ値を検証部６５３に出力する。例えば、カウンタ値更新部６５４においてカウンタ値更新の際にカウンタ値をインクリメントする場合、カウンタ値補正部６５５は、カウンタ値をデクリメントすることにより、補正カウンタ値を算出する。

検証部６５３は、カウンタ値補正部６５５から補正カウンタ値を受け取った場合、補正カウンタ値を用いて、検証処理を実行する。つまり、検証部６５３は、補正カウンタ値（前回の更新前の値）を用いてハッシュ値を算出し、ハッシュ値とパスワードの復号結果とが一致する場合、端末１０ａによる接続要求が正当であると判定する。

図４８は、本実施の形態に係る認証サーバ６５の動作を示すシーケンス図である。なお、図４８において、図４６と同一の処理については同一の符号を付し、その説明を省略する。なお、認証サーバ６５以外の他の装置（端末１０ａ、ＭＮＯ５０、Ｐ−ＧＷ６１など）の動作は、図２７に示す動作と同様であるので図４８では図示しない。

また、図４８では、図４５に示すようにアタッチ完了通知の通信が途絶し、端末１０ａ（端末Ａ）が当該アタッチ完了通知を受信していない場合について説明する。つまり、図４８では、図４６と同様、認証サーバ６５は、端末１０ａ（端末Ａ）においてカウンタ値M0を用いて生成された署名情報出力DS_A(M0)を含む認証要求を受信する。また、認証サーバ６５は、端末１０ａのカウンタ値としてM0+1を保持している。つまり、図４８では、端末１０ａの認証時に端末１０ａ及び認証サーバ６５の各々が保持する端末１０ａのカウンタ値は異なる。

図４８において、認証サーバ６５は、署名検証を行うと（ＳＴ５１４、ＳＴ５１５）、ＳＴ６０１においてカウンタ値の補正処理（補正処理の要否の判断を含む）を行う。認証サーバ６５は、ＳＴ６０１においてカウンタ値の補正処理を行った場合、ＳＴ５１４の処理に戻り、補正カウンタ値を用いて署名検証を再度行う。

図４９は、図４８に示すカウンタ値補正処理（ＳＴ６０１）の詳細な動作を示す図である。

図４９に示すように、ＳＴ５１５において署名検証ＮＧと判断された場合、ＳＴ６１では、認証サーバ６５は、カウンタ値の補正が完了しているか否かを判断する。例えば、認証サーバ６５は、カウンタ値の補正回数（上限）を予め設定し、補正処理を実行した回数が設定された回数を満たした場合、カウンタ値補正完了と判断する。

カウンタ値補正完了と判断された場合（ＳＴ６１：Ｙｅｓ）、認証サーバ６５は、署名検証ＮＧ（認証失敗）と判定し、ＳＴ５１７（図４８）の処理に進む。

一方、カウンタ値補正完了と判断されない場合（ＳＴ６１：Ｎｏ）、認証サーバ６５は、ＳＴ６２においてカウンタ値を補正する。例えば、認証サーバ６５は、保持している端末１０ａのカウンタ値M0+1をデクリメントして、補正カウンタ値M0を算出する。認証サーバ６５は、補正カウンタ値M0を算出すると、ＳＴ５１４の処理に戻る。

すなわち、認証サーバ６５は、ＳＴ５１４の処理に戻り、補正カウンタ値M0を用いて署名検証を行う（ＳＴ５１４）。図４８において、補正カウンタ値M0、署名パラメータ群Wは、端末１０ａが署名情報の生成に使用したカウンタ値M0、署名パラメータ群Wと同一であり、公開鍵Y_Aは、端末１０ａが使用した秘密鍵X_Aに対応する公開鍵である。よって、署名情報出力DS_A(M0)を公開鍵Y_Aを用いて復号して得られる値と、補正カウンタ値M0のハッシュ値とは一致するので、認証サーバ６５は、ディジタル署名が有効であると判断する（ＳＴ５１５：Ｙｅｓ）。

次いで、図４９に戻り、ＳＴ５１５において署名検証ＯＫと判断された場合、ＳＴ６３では、認証サーバ６５は、カウンタ値補正処理を実施したか否かを判断する。カウンタ値補正処理を実施していない場合（ＳＴ６３：Ｎｏ）、つまり、カウンタ値を補正することなく署名検証ＯＫとなった場合、認証サーバ６５は、ＳＴ５１６の処理に進む。

一方、カウンタ値補正処理を実施した場合（ＳＴ６３：Ｙｅｓ）、つまり、カウンタ値を補正することにより署名検証ＯＫとなった場合、ＳＴ６４では、認証サーバ６５は、補正カウンタ値（図４８ではM0）をカウンタ値テーブルに格納する。そして、認証サーバ６５は、ＳＴ５１６の処理に進む。つまり、カウンタ値を補正することにより署名検証ＯＫとなった場合、補正カウンタ値がカウンタ値テーブルに格納されることにより、端末１０ａが保持するカウンタ値と、認証サーバ６５が格納するカウンタ値が同一となる。

以上のように、認証サーバ６５は、署名検証がＮＧとなる場合に当該署名検証に使用したカウンタ値を補正し、補正カウンタ値を用いて署名検証を再度実施する。こうすることで、端末１０ａ宛てのアタッチ完了通知の通信が途絶し、端末１０ａにおいてカウンタ値の更新が行われていない場合でも、認証サーバ６５は、端末１０ａが保持するカウンタ値と同一の値（補正カウンタ値）を用いて署名検証を正常に行うことができる。

よって、本実施の形態によれば、無線通信システム等の通信途絶が発生した場合でも、端末１０ａ及び認証サーバ６５において正常に認証処理を行うことができる。

（変形例）
認証サーバ６５は、図４８に示す処理の代わりに、図５０に示すように、署名検証（ＳＴ５１１〜ＳＴ５１５）を先に行い、署名検証が成功した場合（ＳＴ５１５：Ｙｅｓ）、ユーザＩＤとＭＳＩＳＤＮの組み合わせの妥当性検証（ＳＴ５０９、ＳＴ５１０）を行ってもよい。

以上、各実施の形態について説明した。

上記実施の形態に係る通信システム１又は通信システム１ａは、ＭＮＯネットワーク５０とＭＶＮＯネットワーク６０を分けた構成としたが、分けずに一つのネットワーク内に構成するようにしてもよい。例えば、一つのネットワークとしてＭＮＯネットワークの中に、Ｐ−ＧＷ６１や認証サーバ６２（認証サーバ６５）等のＭＶＮＯネットワーク６０の構成を含めるようにしてもよい。

また、上記実施の形態では、Ｐ−ＧＷ６１の接続先としてインターネット７０として説明したが、これに限らない。例えば、特定のイントラネット等に接続するようにしてもよい。

また、上記実施の形態では、ＴＥ２０（ＴＥ８０）とＭＴ３０（ＭＴ９０）とは同一の装置（端末１０又は端末１０ａ）として構成される場合について説明したが、これに限らず、ＴＥ２０（ＴＥ８０）及びＭＴ３０（ＭＴ９０）がそれぞれ１つの装置として構成してもよい。例えば、図１において端末１０及び図２５において端末１０ａの下側に記される様に、ＴＥ２０及びＴＥ８０はパーソナルコンピュータであり、ＭＴ３０及びＭＴ９０はＵＳＢドングルのようなセルラー通信モジュールとしてもよい。

また、本開示では、１つの端末が、図２に示す端末１０の構成（ＣＨＡＰ認証に対応）及び図２６に示す端末１０ａの構成（ＰＡＰ認証に対応）の双方を備えてもよい。また、ＭＶＮＯネットワーク６０の認証サーバは、図２に示す認証サーバ６２の構成（ＣＨＡＰ認証に対応）及び図２６に示す認証サーバ６５の構成（ＰＡＰ認証に対応）の双方を備えてもよい。これらの端末及び認証サーバでは、端末認証として選択される認証方式（ＣＨＡＰ認証又はＰＡＰ認証）に応じて、対応する構成部を動作させればよい。

また、上記実施の形態では、本発明をハードウェアで構成する場合を例にとって説明したが、本発明はハードウェア（例えば、ＣＰＵとメモリとＩ／Ｏインタフェース回路等）との連携においてソフトウェアによって実現することも可能である。

また、上記実施の形態の説明に用いた各機能ブロックは、典型的には集積回路であるＬＳＩとして実現される。あるいはプロセッサ上で動作するソフトウェアで実現される。これらは個別に１チップ化されてもよいし、一部又は全てを含むように１チップ化されてもよい。ここでは、ＬＳＩとしたが、集積度の違いにより、ＩＣ、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。

また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。

さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。

本開示の一態様は、移動通信システム等に適用できる。

１，１ａ 通信システム
１０，１０ａ 端末
２０，８０ ＴＥ
２１，６２３ タグ情報生成部
２２，６２４ 鍵交換処理部
２３，８２，６２２，６５２ 記憶部
２４，６２５ 暗号化部
３０，９０ ＭＴ
３１ ＣＨＡＰ処理部
３２，９２，６２１，６５１ 通信部
４０ ＳＩＭカード
５０ ＭＮＯネットワーク
５１ ＢＴＳ
６０ ＭＶＮＯネットワーク
６１ Ｐ−ＧＷ
６２，６５ 認証サーバ
６２６ 認証部
６５３ 検証部
７０ インターネット
８１，６５４ カウンタ値更新部
８３ ディジタル署名部
９１ ＰＡＰ処理部
６５５ カウンタ値補正部

Claims (12)

1. ＣＨＡＰ認証方式により、ユーザ識別子及びパスワードを用いてネットワークに接続要求を行う端末を認証する認証サーバであって、
   前記ユーザ識別子と前記パスワードとの対応付けを格納する記憶部と、
   前記端末による初回の接続要求時に、少なくとも、前記端末のユーザ識別子と、前記端末に搭載されたＳＩＭカードの情報(ＩＭＳＩ)に基づきＭＮＯネットワークから受け取るＭＳＩＳＤＮ(電話番号)とから、前記端末との間で共有されるタグ情報を生成し、前記生成したタグ情報を前記ＭＳＩＳＤＮと対応付けて前記記憶部に格納させるタグ情報生成部と、
   前記端末からの前記タグ情報を含む鍵生成要求を受信すると、前記端末との間で共有される共通鍵を生成し、前記生成した共通鍵を、前記鍵生成要求に含まれるタグ情報に対応付けられた前記ＭＳＩＳＤＮと対応付けて前記記憶部に格納させる鍵交換処理部と、
   前記端末による２回目以降の接続要求時に、前記端末のユーザ識別子、前記ＣＨＡＰ認証方式に使用されるチャレンジコード、レスポンスコード、及び、前記端末のＭＳＩＳＤＮを含む、当該接続要求に対応する認証要求を受信すると、前記受信したＭＳＩＳＤＮに対応付けられた共通鍵を用いて、前記受信したユーザ識別子に対応付けられたパスワードを暗号化する暗号化部と、
   前記レスポンスコードは、前記端末において、前記チャレンジコードと、前記共有される共通鍵を用いて暗号化されたパスワードとを用いて算出されたハッシュ値であり、
   前記受信したチャレンジコードと前記暗号化部で暗号化されたパスワードとを用いてハッシュ値を算出し、前記算出したハッシュ値と前記レスポンスコードとが一致する場合、前記接続要求が正当であると判定する認証部と、
   前記認証要求の受信と当該認証要求の応答の送信、及び、前記共通鍵を生成するための前記端末との間におけるパラメータの送受信を行う通信部と、
   を具備する認証サーバ。
2. 前記鍵交換処理部は、２回目以降の接続要求が正当であると判定される度に、前記ユーザ識別子、前記ＭＳＩＳＤＮ、及び、前記暗号化されたパスワードを用いて前記タグ情報を生成し、
   前記記憶部は、前記生成したタグ情報を用いて、前記格納しているタグ情報とＭＳＩＳＤＮとの対応付けを更新する、
   請求項１に記載の認証サーバ。
3. 前記鍵交換処理部は、前記共通鍵の生成が完了した場合、前記端末に対して共通鍵の生成を指示する鍵生成指示を送信する、
   請求項１に記載の認証サーバ。
4. 最新の共通鍵、及び、１回前に生成した共通鍵による認証を実施する、
   請求項３に記載の認証サーバ。
5. ネットワーク接続要求時にユーザ識別子及びパスワードを用いた端末認証を受ける端末であって、
   初回のネットワーク接続完了直後に、少なくとも、前記端末のユーザ識別子と、前記端末に搭載されたＳＩＭカードが保持するか、もしくはネットワーク接続時にＭＮＯネットワークに要求し受け取るＭＳＩＳＤＮと、から、ＣＨＡＰ認証方式により前記端末を認証する認証サーバとの間で共有されるタグ情報を生成するタグ情報生成部と、
   前記認証サーバに対して、前記タグ情報を含む鍵生成要求を送信し、前記認証サーバとの間で共有される共通鍵を生成する鍵交換処理部と、
   前記タグ情報及び前記共通鍵を格納する記憶部と、
   前記格納された共通鍵を用いて、前記パスワードを暗号化する暗号化部と、
   ２回目以降の接続要求時に、乱数列を発生させ、前記乱数列と、前記暗号化されたパスワードとを用いてハッシュ値を算出するＣＨＡＰ処理部と、
   前記ユーザ識別子、前記乱数列を示すチャレンジコード、前記ハッシュ値を示すレスポンスコード、前記ＳＩＭカードの情報（ＩＭＳＩ）を含む、接続要求の送信と当該接続要求の応答の受信、及び、前記共通鍵を生成するための前記認証サーバとの間におけるパラメータの送受信を行う通信部と、
   を具備する端末。
6. ネットワーク接続要求時にユーザ識別子及びパスワードを用いた端末認証を行う端末と、前記ユーザ識別子と前記パスワードとの対応付けを記憶部に事前に格納し、ネットワーク接続時にＣＨＡＰ認証方式により前記端末を認証する認証サーバとを含む通信システムにおける認証方法であって、
   前記端末は、
   初回の接続完了直後に、少なくとも、前記ユーザ識別子と、前記端末に搭載されたＳＩＭカードが保持するか、もしくはネットワーク接続時にＭＮＯネットワークに要求し受けとるＭＳＩＳＤＮと、から、ＣＨＡＰ認証方式により前記端末を認証する認証サーバとの間で共有されるタグ情報を生成し、
   前記認証サーバに対して、前記タグ情報を含む鍵生成要求を送信し、前記認証サーバとの間で共有される共通鍵を生成し、
   前記タグ情報及び前記共通鍵を格納し、
   前記認証サーバは、
   初回の接続要求時に、少なくとも、前記ユーザ識別子と、前記端末に搭載されたＳＩＭカードの情報(ＩＭＳＩ)に基づきＭＮＯネットワークから受け取る前記ＭＳＩＳＤＮとから、前記タグ情報を生成し、前記生成したタグ情報を前記ＭＳＩＳＤＮと対応付けて記憶部に格納させ、
   前記端末からの前記タグ情報を含む鍵生成要求を受信すると、前記共通鍵を生成し、前記生成した共通鍵を、前記鍵生成要求に含まれるタグ情報に対応付けられた前記ＭＳＩＳＤＮと対応付けて前記記憶部に格納させ、
   前記端末は、
   前記格納された共通鍵を用いて、前記パスワードを暗号化し、
   ２回目以降の接続要求時に、乱数列を発生させ、前記乱数列と、前記暗号化されたパスワードとを用いてハッシュ値を算出し、
   前記ユーザ識別子、前記乱数列を示すチャレンジコード、前記ハッシュ値を示すレスポンスコード、前記ＳＩＭカードの情報（ＩＭＳＩ）を含む、接続要求を送信し、
   前記認証サーバは、
   ２回目以降の接続要求時に、前記ユーザ識別子、前記チャレンジコード、前記レスポンスコード、及び、前記端末に搭載されたＳＩＭカードの情報(ＩＭＳＩ)に基づきＭＮＯネットワークから受け取る前記ＭＳＩＳＤＮを含む、当該接続要求に対応する認証要求を受信すると、前記受信したＭＳＩＳＤＮに対応付けられた共通鍵を用いて、前記受信したユーザ識別子に対応付けられたパスワードを暗号化し、
   前記チャレンジコードと前記暗号化されたパスワードとを用いてハッシュ値を算出し、前記算出したハッシュ値と前記レスポンスコードとが一致する場合、前記接続要求が正当であると判定する、
   認証方法。
7. ＰＡＰ認証方式により、ユーザ識別子及びパスワードを用いてネットワークに接続要求を行う端末を認証する認証サーバであって、
   前記端末に搭載されたＳＩＭカードの情報(ＩＭＳＩ)に対応するＭＳＩＳＤＮ（電話番号）と、前記端末との間で共有されるカウンタ値との対応付け、及び、前記ＭＳＩＳＤＮと前記端末が保持する秘密鍵に対応する公開鍵との対応付けを格納する記憶部と、
   前記パスワードは、前記端末において、前記秘密鍵を用いて、前記端末が保持するカウンタ値を用いて算出されたハッシュ値を暗号化して得られる値であり、
   前記端末による接続要求時に、前記パスワード及び前記ＭＳＩＳＤＮを含む、当該接続要求に対応する認証要求を受信すると、前記受信したＭＳＩＳＤＮに対応付けられた前記カウンタ値を用いてハッシュ値を算出し、前記受信したＭＳＩＳＤＮに対応付けられた前記公開鍵を用いて前記パスワードを復号し、前記ハッシュ値と前記パスワードの復号結果とが一致する場合、前記接続要求が正当であると判定する検証部と、
   前記認証要求の受信と当該認証要求の応答の送信を行う通信部と、
   を具備する認証サーバ。
8. 前記端末による接続要求が正当であると判定された場合、当該端末との間で共有されるカウンタ値を更新する更新部、を更に備える、
   請求項７に記載の認証サーバ。
9. 前記検証部において前記ハッシュ値と前記パスワードの復号結果とが一致しないと判定された場合、当該端末との間で共有されるカウンタ値を前回の更新前の値に戻す補正部、を更に備え、
   前記検証部は、前記前回の更新前の値を用いてハッシュ値を算出し、前記ハッシュ値と前記パスワードの復号結果とが一致する場合、前記接続要求が正当であると判定する、
   請求項８に記載の認証サーバ。
10. ネットワーク接続要求時に、ＰＡＰ認証方式によりユーザ識別子及びパスワードを用いた端末認証を受ける端末であって、
    前記端末を認証する認証サーバとの間で共有されるカウンタ値、及び、前記認証サーバが保持する公開鍵に対応する秘密鍵を格納する記憶部と、
    前記秘密鍵を用いて、前記カウンタ値を用いて算出したハッシュ値を暗号化して、署名情報を生成するディジタル署名部と、
    前記パスワードとしての前記署名情報、ユーザ識別子、及び、前記端末に搭載されたＳＩＭカードの情報（ＩＭＳＩ）を含む接続要求の送信と、当該接続要求の応答の受信を行う通信部と、
    を具備する端末。
11. 前記接続要求の応答が認証サーバによる端末認証が成功したことを示す場合、前記認証サーバとの間で共有されるカウンタ値を更新する更新部、を更に備える、
    請求項１０に記載の端末。
12. ネットワーク接続要求時に、ＰＡＰ認証方式によりユーザ識別子及びパスワードを用いた端末認証を受ける端末と、前記端末を認証する認証サーバとを含む通信システムにおける認証方法であって、
    前記端末は、
    前記認証サーバとの間で共有されるカウンタ値、及び、前記認証サーバが保持する公開鍵に対応する秘密鍵を格納し、
    前記秘密鍵を用いて、前記カウンタ値を用いて算出したハッシュ値を暗号化して、署名情報を生成し、
    前記パスワードとしての前記署名情報、ユーザ識別子、及び、前記端末に搭載されたＳＩＭカードの情報（ＩＭＳＩ）を含む接続要求を送信し、
    前記認証サーバは、
    前記端末に搭載されたＳＩＭカードの情報(ＩＭＳＩ)に対応するＭＳＩＳＤＮ（電話番号）と、前記端末との間で共有されるカウンタ値との対応付け、及び、前記ＭＳＩＳＤＮと前記端末が保持する秘密鍵に対応する公開鍵との対応付けを格納し、
    前記端末による接続要求時に、前記パスワード及び前記ＭＳＩＳＤＮを含む、当該接続要求に対応する認証要求を受信すると、前記受信したＭＳＩＳＤＮに対応付けられた前記カウンタ値を用いてハッシュ値を算出し、前記受信したＭＳＩＳＤＮに対応付けられた前記公開鍵を用いて前記パスワードを復号し、前記ハッシュ値と前記パスワードの復号結果とが一致する場合、前記接続要求が正当であると判定すると共に前記格納されているカウンタ値を更新し、接続要求が正当であるという通知を受けた前記端末側でも格納されている前記カウンタ値を更新する、
    認証方法。

Images