JP2017537576A - モバイル仮想ネットワークにおけるモバイル認証 - Google Patents

Abstract

モバイルネットワーク認証要素を使用したモバイルデバイスを認証するためのシステム、方法、及び非一時的なコンピュータ可読記憶媒体。【選択図】図１

Description

関連出願の相互参照
本出願は、２０１４年１１月７日に出願された米国仮出願第６２／０７６，７０３号及び２０１５年１月７日に出願された米国仮出願第６２／１００，８１６号の優先権を主張するものであり、その開示内容全体を参照として本明細書に明示的に援用する。

本技術は、ネットワーク認証に関し、より詳細には、モバイルネットワーク内のデバイスの認証に関する。

企業通信ネットワークは、認証されたユーザー、ハードウェア識別子（例えば、イーサネット（登録商標）ＭＡＣアドレス）を有する認証されたデバイス（例えば、コンピュータ、プリンタ、及び電話機）、及びデバイスが接続し可能な既知の場所を有する認証されたルータを識別し、アクティビティの内容／時間及びユーザー、デバイス識別子（ｄｅｖｉｃｅＩｄ）、想定されるデバイスタイプ、及びそのアクティビティに関与するルータに基づくアクセス及び使用量を調整することによってセキュリティを実現する。通常、この調整は、ルータに基づいてデバイスのＩＰアドレスを割り当て、割り当てられたＩＰアドレスに関するルールを使用してトラフィックのルーティングを制御するという形をとる。したがって、デバイスへの物理的なアクセス制御（例えば、オフィスのドアのロック）は、企業セキュリティの重要な要素である。

しかしながら、ユーザーは企業ネットワークの外から（通常はモバイルデバイスを経由して）エンタープライズサービスとクラウドサービスにアクセスする必要がますます増加しており、どちらのサービスも従来の企業ＩＰベースのセキュリティモデルにチャレンジを行う。このような場合の認証では、より積極的なパスワード変更ポリシーによるパスワード入力の頻繁なチャレンジと、通常、別のチャネル（音声通話、ＳＭＳ、またはｓｅｃｕｒＩＤカード）でユーザーに一時的に一意のコードを配信し、パスワードに加えて、それらを入力するという形式をとる「二要素認証」の技術の様々な形態が必要になる。パスワード入力のチャレンジの増加及び第２の要素入力のチャレンジの増加により、ユーザー及び割り込みの流れに不都合が生じる。パスワードは、フィッシング、パスワードの推測、クロス・サイト・スクリプティング、及び様々な中間者攻撃を含む、様々な攻撃の対象となる。ＳＭＳ及び音声通話の第２の要素のチャレンジには、様々な通話及びＳＭＳ転送サービスによる脆弱性がある。ＳｅｃｕｒＩｄとは、別の物理デバイスを持ち運ぶことであり、これは、次のチャレンジまでユーザーに気付かれることなく、未使用時に盗まれる可能性があることを、ユーザーは覚えておく必要がある。これらの技術は、多くの場合、有用なセキュリティヒューリスティックであるネットワークベースの位置情報を提供しない。

クラウドサービス（ＳａｌｅｓＦｏｒｃｅなど）は、エンタープライズ・シングル・サインオン・サービスまたはＶＰＮから特定の企業ネットワークへの認証されたアクセスを許可する設定によってセキュリティを強化することができる。しかしながら、これは、これらのサービスにアクセスするために企業ネットワークとの間でトラフィックをルーティングする必要があるモバイルユーザーにとっては、ネットワークの待ち時間が長くなることを意味する。

必要なものは、エンタープライズサービス及びクラウドサービスが、社内のネットワークハードウェアを使用して直接アクセスできるだけでなく、動作するモバイルデバイスとのセッションを認証してセキュリティで保護する方法である。有益なのは、現代のモバイルデバイスが、一般にＳＩＭカードを搭載しているため、通信事業者がアクセス及び課金の目的でモバイルネットワークに対してモバイルデバイスを認証するために使用する物理的なＳＩＭの所有を検証する、暗号化された安全なチャレンジ／レスポンス通信が可能なことである。

本開示のさらなる特徴及び利点は、以下の説明に記載され、一部は説明から明白になり、または本明細書に開示された原理の実施によって習得され得る。本開示の特徴及び利点は、添付の特許請求の範囲で特に指摘された機器及び組み合わせによって実現及び取得することができる。本開示のこれら及び他の特徴は、以下の説明及び添付の特許請求の範囲からより十分に明らかになるか、または本明細書に記載された原理の実施によって知ることができる。

本技術のいくつかの実施形態は、エンタープライズサービス及びクラウドサービスアクセス制御システムにモバイル認証要素へのアクセスを提供するためのシステム、方法、及びコンピュータ可読媒体を含む。モバイル認証要素は、移動通信事業者または仮想移動体通信事業者（ＭＶＮＯ）が、デバイスへの無線接続を使用して直接利用することができる。

本技術は、モバイルデバイスが、企業ネットワーク及びインターネットにアクセスするインターネット・サービス・プロバイダ（ＩＳＰ）またはゲートウェイとして機能するセキュリティシステムを含むこともできる。いくつかの実施形態では、セキュリティシステムは、モバイルデバイスにＩＰアドレスを割り当てることができ、トラフィックをルーティングすることができる。

いくつかの実施形態は、モバイルデバイスを企業の一部として登録するモバイル認証プラットフォームをホストし、デバイス識別子に基づいてネットワーク識別子をデバイスに割り当て、及び要求デバイスが一致するネットワーク識別子及び／または位置情報などのその他の一致するモバイル認証情報を有する場合に、ネットワークリソースに対する要求を認証する、仮想移動体通信事業者（ＭＶＮＯ）を含む。

ＭＶＮＯホスト型モバイル認証プラットフォームは、企業のネットワークにアクセスするためのモバイルデバイスからの要求を受信できる。モバイルデバイスがセルラータワーと接続すると、ＭＶＮＯホスト型モバイル認証プラットフォームへの接続を行うことをモバイルデバイスが指示し、要求を行っているモバイルデバイスのネットワーク識別子をモバイル認証プラットフォームが検査する、アクセスポイント名（ＡＰＮ）をモバイルデバイスが指定することができる。ＭＶＮＯホスト型モバイル認証プラットフォームは、企業ネットワークの登録メンバーのモバイルデバイスに割り当てられたネットワーク識別子のデータベースを維持し、モバイルデバイスが企業のメンバーによって使用されていることを決定することができる。

ネットワーク識別子は、ＳＩＭ番号、ＭＡＣアドレス、１つまたは複数の位置識別子などを含むモバイルデバイスの１つまたは複数のモバイル認証要素に基づいて、モバイルデバイスに割り当てることができる。

ＭＶＮＯホスト型モバイル認証プラットフォームが、ネットワーク識別子を持つデバイスを構成すると、デバイスは企業の専用接続を介してリソースにアクセスするためのリソース要求を行うことができる。リソース要求が受信されると、ＭＶＮＯホスト型モバイル認証プラットフォームは、１つまたは複数のリソース要求要素（要求デバイスのＩＰアドレス、下位レベルオペレーティングシステムによって決定されたデバイスの位置など）を抽出することができ、モバイル認証要素が、それぞれ１つまたは複数のリソース要求要素に対応している場合に、モバイルデバイスを認証することができる。

本開示の上記及び他の利点及び特徴を得ることができる方法を説明するために、上記で簡単に説明した原理のより詳細な説明を、添付の図面に示すその特定の実施形態を参照して行う。これらの図面は、本開示の例示的な実施形態のみを示しており、したがって、その範囲を限定するものと見なされるべきではないと理解され、本明細書の原理は、以下の添付の図面を使用することを通じて、追加の具体性及び詳細を使用して記載され説明される。

本技術のいくつかの実施形態による、モバイルネットワーク環境におけるモバイル認証プラットフォームの一例を示す。 本技術のいくつかの実施形態による、ＭＶＮＯホスト型モバイル認証プラットフォームにモバイルデバイスを登録する方法を示す。 本技術のいくつかの実施形態による、ＭＶＮＯホスト型モバイル認証プラットフォーム上のモバイルデバイスを認証する方法を示す。 例示的なクラウドコンピューティングシステムを示す。 例示的な実施可能なシステム実施形態を示す。 例示的な実施可能なシステム実施形態を示す。

本開示の様々な実施形態を以下に詳細に説明する。特定の実装形態について説明しているが、これは例示の目的でのみ行われることを理解されたい。当業者は、本開示の精神及び範囲から逸脱することなく、他の要素及び構成を使用できることを理解されよう。

本技術のいくつかの実施形態は、無線通信事業者及び仮想移動体通信事業者（ＭＶＮＯ）が、デバイスへの無線接続を使用して移動通信事業者またはＭＶＮＯが直接利用可能なモバイル要素へのアクセスが可能なエンタープライズサービス及びクラウドサービスアクセス制御システムを提供するシステム、方法、及びコンピュータ可読媒体を含む。モバイル要素は、モバイルデバイスに関連付けられたＳＩＭカード番号、位置を参照し得るモバイルタワーによって推測されるモバイルデバイスの位置、それらのモバイルタワーの事業者、及び通信事業者がそのＳＩＭカード番号を持つデバイスからの情報を本当に保持していることを確認するためのチャレンジ・レスポンス・インターフェイスを含むことができる。また、デバイスの種類（例えば、ｉＰｈｏｎｅ（登録商標）６ｓ、Ｇｏｏｇｌｅ Ｎｅｘｕｓ、ＭｉＦｉ）も含まれ得る。

移動体通信事業者は、通信事業者の無線スペクトル割り当て及びネットワーク・インフラ・ストラクチャへの仮想移動体通信事業者（ＭＮＶＯ）アクセスを提供することができる。開示された技術は、モバイルデバイス認証要素に基づいて、ネットワークリソースのためのＭＶＮＯ顧客からの要求を認証するためのシステム、方法、及びコンピュータ可読媒体の当技術分野の必要性に対処する。

モバイルデバイスの認証要素に基づいてユーザーを認証することで、企業、政府機関、非営利団体、及びその他の企業に安全なソリューションが提供される。例えば、企業は、従業員／メンバーのすべてのモバイルデバイスをＭＶＮＯに登録することができ、ＭＶＮＯは通信事業者とエンドユーザーとの間の独自の立場から、モバイルデバイスからの要求が信頼できることを保証するために、追加の認証レベルを提供することができる。

企業のメンバーを認証するためのＭＶＮＯホスト型認証サーバーが上記で説明されているが、本開示の利益を有する当業者は、多種多様なユーザー及びネットワーク事業体が、モバイル要素認証の恩恵を受けることができることを容易に理解するであろう。

本技術のいくつかの実施形態では、モバイル認証プラットフォームは、モバイルデバイスを認証サービスに登録し、認証されたデバイスだけにリソースへのアクセスを許可することを保証するためにネットワークリソースに対する要求を検査することができる。

認証プラットフォームは、ネットワークリソースにアクセスするためのモバイルデバイスからの要求を受信できる。モバイルデバイスがセルラータワーと接続すると、モバイル認証プラットフォームへの接続を行うことをモバイルデバイスが指示し、認証プラットフォームに要求を検査することをモバイルデバイスが許可する、アクセスポイント名（ＡＰＮ）をモバイルデバイスが指定することができる。認証プラットフォームは、多種多様な事業体（例えば、ＭＶＮＯ、企業、クラウド・コンピューティング・サービスなど）によってホストされ得て、ＡＰＮがホスティング事業体に対して要求を送信することを指定した場合、認証プラットフォームがデバイスからの要求を受信する。

同様に、認証プラットフォームは、無線ネットワークから発信された要求を受信し、アクセスポイント（例えば、無線ルータ）がトラフィックを認証プラットフォームにルーティングするときに、デバイス要素（例えば、ＭＡＣアドレス）を検証することができる。

いくつかの実施形態では、モバイル認証プラットフォームは、ＭＶＮＯによってホストされ得て、１つまたは複数のモバイル認証サーバー、モバイルデバイスを登録するための登録エンジン、及びモバイルデバイスでネットワーク構成パラメータをネゴシエートするためのネットワーク構成エンジンを含むことができる。

いくつかの実施形態では、モバイル認証プラットフォームは、企業ネットワーク内のモバイルデバイスを登録する機能を提供し、モバイルデバイスの認証情報を格納し、エンタープライズリソースの要求を監視し、要求で受信した実際の情報と一致する予想認証情報に基づいて企業内のモバイルデバイスを認証することができる。

図１は、本技術のいくつかの実施形態による、モバイルネットワーク環境１００におけるモバイル認証プラットフォーム１１０の一例を示す。モバイルネットワーク環境１００は、１つまたは複数のセルラータワー１３０を介して携帯電話会社ネットワーク１３０と通信するモバイルデバイス１２０_ａ、１２０_ｂ、．．．、１２０_ｘを含む。

モバイル認証プラットフォーム１１０は、仮想移動体通信事業者（ＭＶＮＯ）によってホストされ得る。ＭＶＮＯは、モバイル認証プラットフォーム１１０を使用するための企業向けのデバイスを登録することができる。例えば、エンタープライズ管理者Ｗｅｂインターフェイス１３５を公開し、エンタープライズ管理者がモバイル要素認証にサインアップし、ユーザーデバイスを登録して、アクセス許可を定義するためなどに使用することができる。モバイル認証プラットフォーム１１０は、登録データを受信するための登録エンジン１４５と、登録されたデバイスに関する情報を格納するためのモバイルデバイスデータベース１５０とを含むこともできる。例えば、エンタープライズ管理者は、エンタープライズ管理Ｗｅｂインターフェイス１３５で、既存のデバイスアドレス（例えば、ＭＡＣアドレス、加入者識別モジュール（ＳＩＭ）番号など）を入力することによってモバイルデバイスを登録することができ、登録エンジン１４５は、モバイルデバイスデータベース１５０に企業の一部であるモバイルデバイスに属するデバイスアドレスのレコードを格納させることができる。

また、以下により詳細に説明されるように、ＭＶＮＯは、モバイルデバイスがモバイル認証プラットフォーム１１０に登録されているとき、１つまたは複数のモバイルデバイス１２０_ａ、１２０_ｂ、．．．、１２０_ｘとモバイル認証プラットフォーム１１０との間に専用接続を配置することもできる。それ以外の場合、モバイルデバイス１２０_ａ、１２０_ｂ、．．．、１２０_ｘからの要求は、パブリックインターネット１１５及びファイアウォール１０５を介してモバイルデバイス１２０_ａ、１２０_ｂ、．．．、１２０_ｘからトラフィックを送信する従来のワークフローを含むことができる。

モバイル認証プラットフォーム１１０は、エンタープライズリソースへのアクセスをいつ許可して、インターネット要求をどのようにルーティングするかを決定するために、モバイル認証要素を使用するセキュリティシステムを含むこともできる。セキュリティシステムは、認証サーバー１２５であり得て、１つまたは複数のモバイルデバイス１２０_ａ、１２０_ｂ、．．．、１２０_ｘが、モバイル認証プラットフォーム１１０に接続されている場合に、認証サーバー１２５はデバイスを認証することができる。モバイル認証プラットフォーム１１０はまた、１つまたは複数のチャレンジを、要求デバイスに提示するファイアウォール１５５を含むこともできる。

認証サーバー１２５及び／またはファイアウォール１５５は、インターネット１１５へのアクセス及び／または１つまたは複数のアクセス制限リソース１９０へのアクセスを、モバイルデバイスにいつ許可するかを決定することができる。例えば、認証サーバー１２５は、企業に登録されているモバイルデバイスに対してエンタープライズリソースへのアクセスを制限することができる。

さらに、モバイル認証プラットフォーム１１０は、モバイル認証プラットフォーム１１０を介してネットワークリソースへのアクセスを要求するデバイスにネットワークアドレス（例えば、ＩＰアドレス）を割り当てるネットワーク構成エンジン１６０を含むことができる。例えば、モバイル認証プラットフォーム１１０に登録されたモバイルデバイスが、インターネット１１５またはアクセス制限リソース１９０にアクセスしようとした場合、ネットワーク構成エンジン１６０は、デバイスとネゴシエートし、デバイスにネットワークアドレスを割り当てることができる。さらに、ネットワーク構成エンジン１６０は、要求デバイスから１つまたは複数の認証要素（例えば、一意の加入者識別モジュール（ＳＩＭ）番号、デバイスの位置、及びデバイスの位置の近くにある１つまたは複数のモバイルタワーの識別など）にアクセスすることができ、認証要素を使用してネットワークアドレスを生成することができる。モバイル認証プラットフォーム１１０は、モバイルデバイスデータベース１５０に認証要素を格納することができ、次いで、デバイス（またはデバイスと称するデバイス、デバイスのなりすましなど）からリソースに対する要求が受信された場合に、モバイル認証プラットフォーム１１０は、ネットワークアドレスを使用して認証要素にアクセスすることができる。

次に、認証サーバー１２５は、要求からの実際の要素を要求デバイスから抽出し、予想モバイル認証要素が、要求からの１つまたは複数の実際の要素に対応している場合に、モバイルデバイスを認証することができる。例えば、認証サーバー１２５は、ネットワーク構成エンジン１６０によって割り当てられている以外のネットワークアドレスを有する登録されたモバイルデバイスから到着するネットワークリソースに対する要求にフラグを設定することができる。

認証サーバー１２５は、ネットワークアドレスが割り当てられたネットワークアドレスと一致することを要求することに加えて、ネットワーク要求からさらに認証要素を抽出し、モバイルデバイスに格納されている認証要素と比較することができる。例えば、認証サーバー１２５は、デバイスの下位レベルのオペレーティングシステムからのセルラー三角測量を使用して位置識別にアクセスすることができ、この位置データを、ネットワーク構成エンジン１６０がモバイルデバイスに、そのネットワークアドレスを割り当てたときに、モバイルデバイスに格納されている予測位置データ（例えば、アプリケーション層位置データに基づく）と一致させるために必要とされる実際の要素として使用することができる。

現在のシステムは、ユーザーのデバイスが、ユーザーのＩＤを確認するための意味のある情報を提供することに依存しているため、悪用される可能性がある。例えば、ユーザーのデバイスが何らかの形で汚染されている場合、デバイスは、アプリケーション層を介して、実際の場所とは異なる場所にいるものとして、自分の場所を提示することがある。モバイルデバイス上で最も一般的にアクセスできるアプリケーション層は、基礎となるネットワーク・アクセス・オペレーティングシステムではないため、最上位のオペレーティングシステムに依存せずにデバイスの位置を確認する、第２のヒューリスティックを収集することができる。

さらに説明すると、一部のデバイスでは、ユーザーがＩＰ接続を使用して認証しようとしているアプリケーションが含まれている可能性がある、最上位のオペレーティングシステムがある。認証要求が行われると、認証サーバー１２５は、デバイスの下位レベルのオペレーティングシステムを使用して（例えば、セルラータワーで受信したＳＩＭ／ＩＭＳＩ信号の信号強度を使用して）、位置識別を要求する携帯電話事業者のモバイルネットワークに対して要求を行う。下位レベルのオペレーティングシステムでは、最上位のオペレーティングシステムと比較してエントリの負担が高くなるため、攻撃者が両方のレベルの場所のＩＤを偽装できる可能性は低くなる。下位レベルのオペレーティングシステムによって提供される情報を、最上位レベルのアプリケーションの署名と一致させることで、ユーザーのＩＤをより確実に確認することができる。

モバイルデバイス１２０_ａ、１２０_ｂ、．．．、１２０_ｘとＭＶＮＯホスト型モバイル認証プラットフォーム１１０との間の専用接続は、第三者が中間者攻撃に関与する可能性を低減し、モバイルデバイス１２０_ａ、１２０_ｂ、．．．、１２０_ｘと企業との間の通信待ち時間を短縮する。また、モバイルネットワーク認証要素を使用すると、アプリケーションレベルのパスワードと比較して、通信しているモバイルデバイスを認証するためのより優れたヒューリスティックが提供され、２つの要素のその他のほとんどの形式または非パスワード認証に比べて利便性とセキュリティが向上する。また、仮想ネットワークを使用すると、移動通信事業者自体からの追加の保護が提供され、より短い待ち時間の企業ネットワークが、より長い待ち時間のモバイル接続上で公開キーセッションネゴシエーションを強制するのではなく、他のネットワークとの安全な接続をネゴシエートする（及び安全でない接続をオフにする）ことを可能にする。

ＭＶＮＯホスト型モバイル認証プラットフォームは、企業全体をサポートし、すべてのモバイルデバイスを登録できる。モバイル認証プラットフォームは、企業がモバイルフリートを管理するための管理ツール、インターフェイスなどを提供することもできる。

企業は、ユーザーの既存のデバイス識別子（複数可）（例えば、ＳＩＭ番号、ＭＡＣアドレスなど）を登録するか、またはＭＶＮＯホスト型モバイル認証プラットフォームから既に登録されているデバイスを注文することによって、新しいモバイルデバイスを組み入れることができる。どちらの方法でも、認証プラットフォームは、企業用のデバイスを登録し、企業デバイスが認証プラットフォームを使用できるようにするための専用接続を提供し、専用接続を使用して要求を認証し、使用量に基づいて企業に請求を行うことができる。

図２は、本技術のいくつかの実施形態による、ＭＶＮＯホスト型モバイル認証プラットフォームにモバイルデバイスを登録する方法２００を示す。方法２００は、ＭＶＮＯホスト型モバイル認証プラットフォーム２０５に１つまたは複数のモバイルデバイスを登録する要求を受信することを含む。上述したように、要求はエンタープライズ管理者から行うことができ、既存のデバイス識別子（例えば、ＳＩＭ番号、ＭＡＣアドレスなど）を登録し、認証プラットフォームに既に登録されている新しいデバイスを注文し、ＳＩＭカードが既に認証プラットフォームに登録されている既存のデバイス用のＳＩＭカードを注文することよって行うことができる。

方法２００はまた、企業のモバイルデバイスのデバイスデータ及びユーザープロファイルデータ２１０を格納するＭＶＮＯホスト型モバイル認証プラットフォームも含むことができる。例えば、ＭＶＮＯホスト型モバイル認証プラットフォームは、企業内のユーザーの位置を識別するユーザーデータ（例えば、アクセス許可の強制など）を格納できる。

必要に応じて、方法２００は、登録されたモバイルデバイス２１５のユーザーからの１つまたは複数の認証を要求するＭＶＮＯホスト型モバイル認証プラットフォームを含むことができる。例えば、ＭＶＮＯホスト型モバイル認証プラットフォームは、ユーザーがモバイルデバイスを認証するための自分の位置データを使用して、ＭＶＮＯホスト型モバイル認証プラットフォームに同意するように要求することができる。また、ＭＶＮＯホスト型モバイル認証プラットフォームは、ユーザーが、より高度なユーザー認証をするためにユーザーの個人データにアクセスするＭＶＮＯホスト型モバイル認証プラットフォームにオプトインすることを希望するかどうかを要求することができる。例えば、ユーザーは、ＭＶＮＯホスト型モバイル認証プラットフォームが、認証要素として使用するユーザーの位置を決定するためのユーザーのカレンダ情報、デジタル旅行情報（例えば、航空会社アプリケーション経由）、通勤アプリケーション（例えば、Ｕｂｅｒ）にアクセスすることを許可するためにオプトインすることができる。

企業が、モバイルデバイスをＭＶＮＯホスト型モバイル認証プラットフォームに登録すると、方法２００は、ＭＶＮＯホスト型モバイル認証プラットフォーム２２０に登録されているすべてのデバイスに対して、ＭＶＮＯホスト型モバイル認証プラットフォームを介して、通信事業者ネットワークからの要求をルーティングするための専用接続を確立するＭＶＮＯホスト型モバイル認証プラットフォームを含めることができる。

方法２００はまた、モバイルデバイスがリソース２２５を要求するとき、デバイス識別子、位置情報などに基づいてデバイスにネットワークアドレス（例えば、ＩＰアドレス）を割り当てるＭＶＮＯホスト型モバイル認証プラットフォーム内のネットワーク構成エンジンも含む。

続いて、登録されたデバイスを使用してリソースを要求するとき、方法２００は、使用量２３０に基づいて企業に請求するＭＶＮＯホスト型モバイル認証プラットフォームを含む。

ＭＶＮＯホスト型モバイル認証プラットフォームに企業のメンバーが参加すると、認証サーバーは専用接続を介してリソースの要求を検査し、予想モバイル認証要素（ネットワークアドレス、位置データなど）がリソースの要求のデータと一致したときに、要求を行うデバイスを認証することができる。

図３は、本技術のいくつかの実施形態による、ＭＶＮＯホスト型モバイル認証プラットフォーム上のモバイルデバイスを認証する方法３００を示す。方法３００は、企業ネットワーク３０５への専用接続を使用する要求を受信し、その要求が企業３１０のメンバーから受信されたものであることを決定することを含む。

次に、方法３００は、要求３１５を行うモバイルデバイスに関するデバイスデータを収集することを含む。例えば、ＭＶＮＯホスト型モバイル認証プラットフォームは、デバイス識別子（例えば、ＳＩＭ番号、ＭＡＣアドレスなど）及び他の認証要素、例えば、通信事業者からの位置データを収集することができる。次いで、方法３００は、モバイルデバイス３２０のために収集されたデバイスデータ及び認証要素データに基づいてモバイルデバイスにネットワークアドレスを割り当てる、ＭＶＮＯホスト型モバイル認証プラットフォームのネットワーク構成エンジンを含む。

方法３００は、適切なネットワークアドレス及び予想認証要素３２５と一致する追加の認証要素に対する専用接続を使用して、リソースの後続要求を検査することを含む。例えば、ＭＶＮＯホスト型モバイル認証プラットフォームは、ネットワーク構成エンジンからＩＰアドレスが割り当てられたデバイスからの要求を受信したとき、及びアプリケーション層から以前に収集された位置データが、要求中にベースバンド層によって報告された位置データと一致するときに、ネットワークトラフィックを許可するかどうかを決定できる。

方法３００は、予想認証要素が、デバイス情報３３０と一致するときに、モバイルデバイスを認証することを含む。必要に応じて、方法３００は、要求から抽出されたデータに基づいて、デバイスのユーザーのプロファイルを検索することによって、モバイルデバイス３３５に対する一連のアクセス許可を検査することを含むことができる。認証されるデバイス及び／またはアクセス許可に基づいて、方法３００は、デバイスが適切なアクセス許可を有するときに、認証されたデバイス３４０へのネットワークへのアクセスを提供し、アクセス制限されたエンタープライズリソース３４５へのアクセスを提供することを含むことができる。同様に、企業は、禁止されたデバイスに関連するＳＩＭに基づくＩＰアドレスを有するモバイルデバイスからの要求を調整することによって、特定のモバイルデバイス上の特定のネットワークリソース（例えば、ソーシャルメディア・ウェブサイト）をブロックすることができる。

本技術のいくつかの実施形態では、モバイル認証プラットフォームは、企業内に追加の機能を提供するモバイルデバイスを登録することもできる。例えば、エンタープライズ管理者は、モバイル認証プラットフォームで認証できるセルラーネットワークベースのホットスポットデバイスを登録し、他のデバイスへの接続を提供するために使用できる。例えば、セルラーネットワークベースのホットスポットデバイスは、ＷｉＦｉルータとして機能し、プリンタに接続して、専用接続を使用するモバイルデバイスがプリンタを使用できるようにすることができる。管理者は、セルラーネットワークベースのホットスポットデバイスＳＩＭカード情報に加えて、他のモバイルデバイスがプリンタを検出できるように、企業内のセルラーネットワークベースのホットスポットデバイス機能を、モバイル認証プラットフォームに登録することができる。

上述したように、企業のメンバーを認証するためのＭＶＮＯホスト型認証サーバーが上記で説明されているが、本開示の利益を有する当業者は、多種多様なユーザー及びネットワークエンティティが、モバイル要素認証の恩恵を受けることができることを容易に理解するであろう。

いくつかの実施形態は、ユーザーのデータベースを維持するセキュリティシステム、接続に使用する権限が与えられているＳＩＭ、それらのＳＩＭに関連するトラフィックを配信し得る通信事業者、それらのデバイスがそれらのユーザーの代わりに接続し得る位置（個人データの共有をオプトインするユーザーの時間帯及びカレンダで更新可能）、特定の位置の特定のデバイスからユーザーが、その位置及び通信事業者に対する特別な信頼度をもって実行し得るものに関するポリシーを含む。いくつかの実施形態は、これらのアクセス制約のサブセットのみを維持するセキュリティシステムを含む。

いくつかの実施形態では、セキュリティシステムは、モバイルデバイスが、企業ネットワーク及びインターネットにアクセスするインターネット・サービス・プロバイダ（ＩＳＰ）またはゲートウェイとして機能する。いくつかの実施形態では、セキュリティシステムは、モバイルデバイスにＩＰアドレスを割り当てることができ、トラフィックをルーティングすることができる。

いくつかの実施形態では、これらのセキュリティプロパティを有するエンタープライズＶＰＮを介してのみインターネットと通信することを要求するために、エンタープライズレベルのモバイルデバイス管理（ＭＤＭ）ソフトウェアが、モバイルデバイスにインストールされる。これにより、企業は、企業の物理ネットワーク上にあるかのように、すべてのデバイスアクティビティを完全に可視化することができる。

本技術のいくつかの実施形態は、ＭＶＮＯプラットフォームまたは他のネットワークを介してエンタープライズリソースにアクセスする形態でのクラウドコンピューティングを含む。クラウドコンピューティングは、インターネットベースのコンピューティングの一種であり、様々なリソースがエンティティによってホスト及び／または制御され、インターネットを介して認証されたユーザーにエンティティによって利用可能になる。例示的なクラウドコンピューティングシステム構成４００を図４に示す。様々な電子デバイスが、コンテンツ及び他のデータを交換するためにネットワークを介して通信することができる。システムは、電子デバイスの相互通信を容易にする多種多様なネットワーク構成で使用できるように構成することができる。例えば、図４のシステム４００の各コンポーネントは、ネットワーク内で局所的にまたは分散的に実装され得る。

システム４００は、クラウドコンピューティングリソース４２０を含むように構成することができる。クラウドリソースは、クラウドサーバー４２２、クラウドデータベース４２４、クラウドストレージ４２６、クラウドネットワーク４２８、クラウドアプリケーション、クラウドプラットフォーム、及び／または他のクラウドベースのリソースなどの様々なハードウェア及び／またはソフトウェアリソースを含むことができる。場合によっては、クラウドリソースは分散される。例えば、クラウドストレージ４２６は、複数のストレージデバイスを含むことができる。場合によっては、クラウドリソースを複数のクラウドコンピューティングシステム及び／または個々のネットワーク対応コンピューティングデバイスに分散することができる。例えば、クラウドコンピューティングリソース４２０は、サーバー４０４_１、４０４_２、．．．、４０４_ｎ（総称して「４０４」）、データベース４０６、及び／または他のネットワーク対応コンピューティングデバイスと通信して、クラウドリソースを提供することができる。

さらに、場合によっては、クラウドリソースを冗長化し得る。例えば、クラウドコンピューティングリソース４２０が、データバックアップサービスを提供するように構成されている場合、１つのストレージリソースが利用できない場合でも、ユーザーがデータを利用できるように、データの複数のコピーを保存することができる。別の例では、クラウドコンピューティングリソース４２０が、ソフトウェアを提供するように構成されている場合、ソフトウェアは別のクラウドサーバーから利用可能になり、最も近いサーバーからソフトウェアを提供することができる。

システム４００では、ユーザーは、直接及び／または間接通信によってネットワークに接続されたユーザー端末４０２_１、４０２_２、．．．、４０２_ｎ（総称して「４０２」）を介してクラウドコンピューティングリソース４２０と対話する。クラウドコンピューティングリソース４２０は、サーバー、デスクトップコンピュータ、モバイルコンピュータ、携帯電話、スマートフォン、タブレットなどの携帯通信デバイス、セットトップボックス、ネットワーク対応のハードドライブ、及び／または任意の他のネットワーク対応コンピューティングデバイスなどの様々な異なる電子デバイスからの接続をサポートすることができる。

さらに、クラウドコンピューティングリソース４２０は、複数の電子デバイスからの接続を同時に受け入れ、複数の電子デバイスと対話することができる。

クラウドコンピューティングリソース４２０は、パブリック、プライベート、コミュニティ、ハイブリッド、及び／または他のクラウド配置モデルなどの様々な配置モデルを介してクラウドリソースを提供することができる。場合によっては、クラウドコンピューティングリソース４２０は、複数の配置モデルをサポートすることができる。例えば、クラウドコンピューティングリソース４２０は、パブリック配置モデルを介して一組のリソースを提供し、プライベート配置モデルを介してもう一組のリソーストを提供することができる。

いくつかの構成では、ユーザー端末４０２_ｉは、インターネット上の場所が利用可能な任意の場所から、クラウドコンピューティングリソース４２０にアクセスすることができる。しかしながら、他の場合には、クラウドコンピューティングリソース４２０は、リソースが特定の場所からのみアクセスできるように、特定のリソースへのアクセスを制限するように構成することができる。例えば、クラウドコンピューティングリソース４２０が、プライベート配置モデルを使用して、リソースを提供するように構成されている場合、クラウドコンピューティングリソース４２０は、ユーザー端末４０２_ｉがファイアウォールの内側からリソースにアクセスすることを要求するなど、リソースへのアクセスを制限することができる。

クラウドコンピューティングリソース４２０は、サービスとしてのソフトウェア（ＳａａＳ）、サービスとしてのプラットフォーム（ＰａａＳ）、サービスとしてのインフラストラクチャ（ＩａａＳ）、及び／またはその他のクラウドサービスモデルなどの様々なサービスモデルを介してユーザー端末４０２にクラウドリソースを提供することができる。場合によっては、クラウドコンピューティングリソース４２０は、複数のサービスモデルをユーザー端末４０２_ｉに提供することができる。例えば、クラウドコンピューティングリソース４２０は、ＳａａＳ及びＩａａＳの両方をユーザー端末４０２_ｉに提供することができる。場合によっては、クラウドコンピューティングリソース４２０は、異なるユーザー端末４０２に異なるサービスモデルを提供することができる。例えば、クラウドコンピューティングリソース４２０は、ＳａａＳをユーザー端末４０２_１に、ＰａａＳをユーザー端末４０２_２に提供することができる。

場合によっては、クラウドコンピューティングリソース４２０は、アカウントデータベースを維持することができる。アカウントデータベースは、登録されたユーザーのプロファイル情報を格納することができる。プロファイル情報は、ユーザーが使用することが許可されているソフトウェア、最大ストレージ容量などのリソースアクセス権を含むことができる。プロファイル情報は、消費されたコンピューティングリソース、データ記憶場所、セキュリティ設定、個人の構成設定などの使用情報も含むことができる。

クラウドコンピューティングリソース４２０は、ユーザーの対話を必要とする様々な機能を提供することができる。したがって、クラウドコンピューティングリソース４２０と通信し、及び／またはクラウドリソースに関連するタスクを実行するためのユーザインターフェイス（ＵＩ）を提供することができる。ＵＩは、クラウドコンピューティングリソース４２０と通信するエンドユーザー端末４０２_ｉを介してアクセスすることができる。ＵＩは、クラウドコンピューティングリソース４２０及び／またはユーザー端末４０２_ｉのストレージ及び処理能力に応じて、ファットクライアントモード、シンクライアントモード、またはハイブリッドクライアントモードを含む様々なクライアントモードで動作するように構成することができる。したがって、いくつかの実施形態では、ＵＩはユーザー端末で動作するスタンドアロンアプリケーションとして実装することができる。他の実施形態では、ウェブブラウザベースのポータルを使用してＵＩを提供することができる。クラウドコンピューティングリソース４２０にアクセスするその他の構成は、様々な実施形態でも使用することができる。

上述のように、いくつかの構成では、クラウドコンピューティングリソースを使用してユーザーデータを格納することができる。本開示は、場合によっては、この収集されたデータが、個人データ及び／または機密データを含む可能性があることを想到している。本開示は、そのようなデータの収集、分析、開示、移動、保管、または他の使用の責任を負うエンティティが、個人情報データをプライベートかつセキュアに維持するための工業または行政上の要件を満たすかそれを超えると一般的に認識されるプライバシーポリシー及び慣行を実施及び常に使用する必要があることをさらに想到する。例えば、ユーザーからの個人情報は、そのエンティティの合法的かつ正当な使用のために収集されるべきであり、それらの合法的使用を除いて、共有または販売されるべきではない。さらに、そのような収集は、ユーザーに告知して同意を得た後にのみ実施するべきである。さらに、そのようなエンティティは、そのような個人データへのアクセスを保護して安全化し、その個人データへのアクセスを有する他者が、それらのプライバシーポリシー、セキュリティポリシー及び手順を遵守することを保証するための、あらゆる必要な措置を講じるべきである。さらに、そのようなエンティティは、広く受け入れられているプライバシーポリシー及び慣行に対する自身の遵守を証明するために、第三者による評価を自らが受けることができる。

前述の事柄にもかかわらず、本開示はまた、ユーザーが、個人データの使用またはアクセスを選択的に阻止する実施形態も想到する。すなわち、本開示は、そのような個人データへのアクセスを防止または阻止するために、ハードウェア要素及び／またはソフトウェア要素を提供することができると想到する。例えば、本技術は、ユーザーがクラウドストレージに格納されたデータを選択できるように構成することができる。

したがって、本開示は、１つまたは複数の様々な開示された実施形態を実施するための個人データの使用を、広範に網羅するものであるが、本開示は、それらの様々な実施形態がまた、そのような個人データにアクセスすることを必要とせずに実施することも可能である点も、また想到する。すなわち、本技術の様々な実施形態は、そのような個人データのすべてまたは一部分の欠如により、実施不可能となるものではない。例えば、非個人データは、クラウドストレージに格納することができる。

図５Ａ及び図５Ｂは、例示的な実施可能なシステム実施形態を示す。より適切な実施形態は、本技術を実施する当業者には明らかであろう。当業者であれば、他のシステムの実施形態も可能であることを容易に理解するであろう。

図５Ａは、システムのコンポーネントが、バス５０５を使用して互いに電気的に通信する従来のシステムバスコンピューティングシステムアーキテクチャ５００を示す。例示的なシステム５００は、処理装置（ＣＰＵまたはプロセッサー）５１０と、読み取り専用メモリー（ＲＯＭ）５２０及びランダムアクセスメモリー（ＲＡＭ）５２５などのシステムメモリー５１５を含む様々なシステムコンポーネントをプロセッサー５１０に結合するシステムバス５０５とを含む。システム５００は、プロセッサー５１０と直接接続されている、近接している、またはプロセッサー５１０の一部として統合されている高速メモリーのキャッシュを含むことができる。システム５００は、プロセッサー５１０による迅速なアクセスのために、メモリー５１５及び／またはストレージデバイス５３０からキャッシュ５１２にデータをコピーすることができる。このようにして、キャッシュは、データの待機中の、プロセッサー５１０の遅延を回避する性能向上を提供することができる。これら及び他のモジュールは、プロセッサー５１０を制御またはプロセッサー５１０を制御するように構成して、様々な動作を実行することができる。その他のシステムメモリー５１５も使用可能であり得る。メモリー５１５は、異なるパフォーマンス特性を有する複数の異なるタイプのメモリーを含むことができる。プロセッサー５１０は、プロセッサー５１０を制御するように構成されたストレージデバイス５３０に格納されたモジュール１ ５３２、モジュール２ ５３４、及びモジュール３ ５３６などの汎用プロセッサー及びハードウェアモジュールまたはソフトウェアモジュールを含むことができ、ソフトウェア命令が実際のプロセッサー設計に組み込まれている専用プロセッサーである。プロセッサー５１０は、本質的に、複数のコアまたはプロセッサー、バス、メモリコントローラ、キャッシュなどを含む、完全に自己完結型のコンピューティングシステムであり得る。マルチコアプロセッサーは、対称または非対称であり得る。

コンピューティングデバイス５００とのユーザー対話を可能にするために、入力デバイス５４５には、通話用のマイクロフォン、ジェスチャまたはグラフィック入力用のタッチセンシティブスクリーン、キーボード、マウス、モーション入力、通話などの任意の数の入力機構が挙げられる。出力デバイス５３５はまた、当業者に知られているいくつかの出力機構のうちの１つまたは複数であり得る。いくつかの例では、マルチモーダルシステムにより、ユーザーがコンピューティングデバイス５００と通信するために入力の複数のタイプを提供することを可能にし得る。通信インターフェイス５４０は、一般に、ユーザー入力及びシステム出力を制御及び管理することができる。特定のハードウェア構成上での動作に対する制限はなく、したがって、本明細書での基本的な特徴は、改良されたハードウェアまたはファームウェア構成が開発されたときに、容易に代用することができる。

ストレージデバイス５３０は、不揮発性メモリーであり、磁気カセット、フラッシュメモリーカード、ソリッドステートメモリーデバイス、デジタル多目的ディスク、カートリッジ、ランダムアクセスメモリー（ＲＡＭ）５２５、読み取り専用メモリー（ＲＯＭ）５２０、及びそれらのハイブリッドなどのコンピュータによってアクセス可能なデータを格納することができるハードディスクまたはその他のタイプのコンピュータ可読媒体であり得る。

ストレージデバイス５３０は、プロセッサー５１０を制御するためのソフトウェアモジュール５３２、５３４、５３６を含むことができる。その他のハードウェアまたはソフトウェアモジュールも想到される。ストレージデバイス５３０は、システムバス５０５に接続することができる。一態様では、特定の機能を実行するハードウェアモジュールは、プロセッサー５１０、バス５０５、ディスプレイ５３５などの必要なハードウェアコンポーネントに関連してコンピュータ可読媒体に格納されたソフトウェアコンポーネントを含むことができ、その機能を実行することができる。

図５Ｂは、説明した方法を実行し、グラフィカルユーザーインターフェイス（ＧＵＩ）を生成して表示するのに使用できるチップセットアーキテクチャを有するコンピュータシステム５５０を示す。コンピュータシステム５５０は、開示された技術を実施するために使用することができるコンピュータハードウェア、ソフトウェア、及びファームウェアの一例である。システム５５０は、特定の計算を実行するように構成されたソフトウェア、ファームウェア、及びハードウェアを実行することができる物理的及び／または論理的に異なるリソースを表す任意の数のプロセッサー５５５を含むことができる。プロセッサー５５５は、プロセッサー５５５との入出力を制御することができるチップセット５６０と通信することができる。この例では、チップセット５６０は、情報をディスプレイなどの出力５６５に出力し、例えば、磁気媒体及びソリッドステート媒体を含むことができる、ストレージデバイス５７０に情報を読み書きすることができる。チップセット５６０はまた、ＲＡＭ５７５からデータを読み取り、ＲＡＭ５７５にデータを書き込むこともできる。様々なユーザーインターフェイスコンポーネント５８５とインターフェイスするためのブリッジ５８０は、チップセット５６０とのインターフェイスのために提供され得る。そのようなユーザーインターフェイスコンポーネント５８５は、キーボード、マイクロフォン、タッチ検出及び処理回路、マウスなどのポインティングデバイスなどを含むことができる。一般に、システム５５０への入力は、機械が生成した及び／または人間が生成した、様々なソースのいずれかから入力することができる。

チップセット５６０は、異なる物理インターフェイスを有することができる１つまたは複数の通信インターフェイス５９０とインターフェイスすることもできる。そのような通信インターフェイスは、有線及び無線ローカルエリアネットワーク、ブロードバンドワイヤレスネットワーク、及びパーソナルエリアネットワークのためのインターフェイスを含むことができる。本明細書で開示されたＧＵＩを生成、表示、及び使用する方法のいくつかのアプリケーションは、物理インターフェイス上またはストレージ５７０または５７５に格納されたデータを分析するプロセッサー５５５によって作成された順序付けられたデータセットを受信することを含むことができる。さらに、マシンは、ユーザーインターフェイスコンポーネント５８５を介してユーザーからの入力を受信し、プロセッサー５５５を使用して、これらの入力を解釈することによって、ブラウジング機能などの適切な機能を実行することができる。

例示的なシステム５００及び５５０は、２つ以上のプロセッサー５１０を有することができ、またはより大きな処理能力を提供するために共にネットワーク化されたコンピューティングデバイスのグループまたはクラスタの一部であり得ることが理解されよう。

説明を分かりやすくするために、いくつかの例では、本技術は、ソフトウェア、またはハードウェアとソフトウェアの組み合わせで具現化された方法におけるデバイス、デバイスコンポーネント、ステップまたはルーチンを備える機能ブロックを含む個々の機能ブロックを含むものとして提示することができる。

いくつかの実施形態では、コンピュータ可読ストレージデバイス、媒体、及びメモリーは、ビットストリームなどを含む有線信号または無線信号を含むことができる。しかしながら、言及すると、非一時的なコンピュータ可読記憶媒体は、エネルギー、搬送波信号、電磁波、及び信号そのものなどの媒体を明示的に排除する。

上記の例による方法は、格納されているコンピュータ実行可能命令を使用して実装できるか、それ以外の場合は、コンピュータ可読媒体から使用できる。そのような命令は、例えば、汎用コンピュータ、専用コンピュータ、または特定の機能または機能のグループを実行する特殊用途処理装置を構成させる、または別の方法での命令及びデータを含むことができる。使用されるコンピュータリソースの一部は、ネットワークを介してアクセス可能であり得る。コンピュータ実行可能命令は、例えば、バイナリ、アセンブリ言語、ファームウェア、またはソースコードなどの中間フォーマット命令であり得る。説明された例による方法中の命令、使用される情報、及び／または生成された情報を格納するために使用され得るコンピュータ可読媒体の例には、磁気または光学ディスク、フラッシュメモリー、不揮発性メモリーを備えたＵＳＢデバイス、ネットワークストレージデバイスなどがある。

これらの開示による方法を実施するデバイスは、ハードウェア、ファームウェア及び／またはソフトウェアを含むことができ、様々なフォームファクターのいずれかを使用することができる。そのようなフォームファクターの典型的な例には、ラップトップ、スマートフォン、スモールフォームファクター、パーソナルコンピュータ、パーソナルデジタルアシスタントなどが含まれる。本明細書に記載の機能は、周辺機器またはアドインカードでも具体化することができる。このような機能は、別の例として、異なるチップ間の回路基板上または単一のデバイス内で実行される異なるプロセス上に実装することもできる。

命令、そのような命令を伝達するための媒体、それらを実行するためのコンピューティングリソース、及びそのようなコンピューティングリソースをサポートするための他の構造は、これらの開示に記載された機能を提供するための手段である。

添付の特許請求の範囲内の態様を説明するために様々な例及びその他の情報が使用されたが、当業者がこれらの実施例を使用して、多種多様な実装形態を導出できるように、そのような例における特定の特徴または配置に基づいて請求項の限定は暗示されるべきではない。さらに、いくつかの主題は、構造的特徴及び／または方法の工程の例に特有の言語で説明されているかもしれないが、添付の特許請求の範囲で定義される主題は、必ずしもこれらの説明された特徴または動作に限定されるものではないことを理解されたい。例えば、そのような機能は、異なる方法で配布すること、または本明細書で特定されたもの以外のコンポーネントで実行することができる。むしろ、記載された特徴及び工程は、添付の特許請求の範囲内のシステム及び方法のコンポーネントの例として開示される。

Claims (16)

1. サーバーの１つまたは複数のコンピュータプロセッサーによって実行されると、前記サーバーに、
   モバイルデバイスから、前記サーバーによって管理される企業のネットワークにアクセスするためのアクセス要求を受信させ、
   前記要求を行っている前記モバイルデバイスのネットワーク識別子を検査させ、
   前記モバイルデバイスが前記企業のメンバーによって使用され、前記ネットワーク識別子が、前記モバイルデバイスのための１つまたは複数のモバイル認証要素に基づいて前記モバイルデバイスに割り当てられていることを決定するために、前記企業ネットワークのメンバーのモバイルデバイスに割り当てられたネットワーク識別子のデータベースを調べさせ、
   前記モバイルデバイスから、前記企業のネットワークを介してリソースにアクセスするためのリソース要求を受信させ、
   前記リソース要求から１つまたは複数のリソース要求要素を抽出させ、前記１つまたは複数のモバイル認証要素が前記１つまたは複数のリソース要求要素にそれぞれ対応する場合に、前記モバイルデバイスを認証させる、命令を格納する非一時的なコンピュータ可読媒体。
2. 仮想移動体通信の事業者が前記サーバーを管理する、請求項１に記載の非一時的なコンピュータ可読媒体。
3. 前記１つまたは複数のモバイル認証要素が、一意の加入者識別モジュール（ＳＩＭ）番号を少なくとも含み、リソース要求要素が、前記ＳＩＭ番号である場合に、前記モバイルデバイスをサーバーが認証する、請求項１に記載の非一時的なコンピュータ可読媒体。
4. 前記１つまたは複数のモバイル認証要素が、アプリケーション層由来のデバイス位置識別を少なくとも含み、リソース要求要素が、前記アプリケーション層由来のデバイス位置識別と一致するベースバンド由来の位置識別である場合、前記モバイルデバイスをサーバーが認証する、請求項１に記載の非一時的なコンピュータ可読媒体。
5. 前記１つまたは複数のモバイル認証要素が、前記デバイスの近傍の１つまたは複数のモバイルタワーの位置を使用して、導出された位置識別子を少なくとも含み、リソース要求要素が、前記デバイスの近傍の１つまたは複数のモバイルタワーの位置を使用して、導出された前記位置識別子に一致するセルラータワー三角測量位置識別である場合、前記モバイルデバイスをサーバーが認証する、請求項１に記載の非一時的なコンピュータ可読媒体。
6. 前記命令は、さらに前記サーバーに実行させる、
   前記サーバーに前記ユーザーのモバイルデバイス上の個人の位置データにアクセスすることを許可するために、モバイルデバイスのユーザーがオプトインすることを要求させ、
   前記サーバーに前記ユーザーのモバイルデバイス上の個人の位置データにアクセスすることを許可するために、前記ユーザーがオプトインすることに同意する確認を受信させ、
   前記企業のネットワークを介してリソースにアクセスするリソース要求を受信すると、前記リソース要求要素として前記ユーザーの個人位置データにアクセスし、
   前記１つまたは複数のモバイル認証要素が、アプリケーション層由来のデバイス位置識別を少なくとも含み、前記アプリケーション層由来のデバイス位置識別が、前記ユーザーの個人の位置データと一致する場合に、前記モバイルデバイスを前記サーバーが認証する、請求項１に記載の非一時的なコンピュータ可読媒体。
7. 前記ユーザーの個人の位置データは、１つまたは複数のユーザーの住居、ユーザーが頻出する位置、前記ユーザーのカレンダにおける位置、前記モバイルデバイス上の旅行アプリケーションから得られた位置、及び前記モバイルデバイス内のコンテキストデータに基づいて決定された位置を含む、請求項６に記載の非一時的なコンピュータ可読媒体。
8. 前記命令が、さらに前記サーバーに実行させる、
   前記モバイルデバイスの前記ネットワーク識別子に基づいて、前記企業ネットワーク内のリソースにアクセスするために前記モバイルデバイスのユーザーに与えられた１つまたは複数のアクセス許可を記載する企業識別情報を決定させ、
   前記ネットワーク識別子が、前記モバイルデバイスのユーザーが、前記アクセス制限されたリソースにアクセスする許可を有することを示すとき、要求されたリソースを取得させる、請求項１に記載の非一時的なコンピュータ可読媒体。
9. モバイルデバイスから、前記サーバーによって管理される企業のネットワークにアクセスするためのアクセス要求をサーバーで受信することと、
   前記要求を行っている前記モバイルデバイスのネットワーク識別子を検査することと、
   前記モバイルデバイスが前記企業のメンバーによって使用され、前記ネットワーク識別子が、前記モバイルデバイスのための１つまたは複数のモバイル認証要素に基づいて前記モバイルデバイスに割り当てられていることを決定するために、前記企業ネットワークのメンバーのモバイルデバイスに割り当てられたネットワーク識別子のデータベースを調べることと、
   前記モバイルデバイスから、前記企業のネットワークを介してリソースにアクセスするためのリソース要求を受信することと、
   前記リソース要求から、１つまたは複数のリソース要求要素を抽出することと、
   前記１つまたは複数のモバイル認証要素が、前記１つまたは複数のリソース要求要素にそれぞれ対応する場合に、前記モバイルデバイスを認証することとを含む、コンピュータ実装方法。
10. 仮想移動体通信の事業者が前記サーバーを管理する、請求項９に記載のコンピュータ実装方法。
11. 前記１つまたは複数のモバイル認証要素が、一意の加入者識別モジュール（ＳＩＭ）番号を少なくとも含み、前記モバイルデバイスを認証することは、前記リソース要求要素が、前記ＳＩＭ番号であることを決定することを含む、請求項９に記載のコンピュータ実装方法。
12. 前記１つまたは複数のモバイル認証要素が、アプリケーション層由来のデバイス位置識別を少なくとも含み、前記モバイルデバイスを認証することは、前記リソース要求要素が、前記アプリケーション層由来のデバイス位置識別と一致するベースバンド由来の位置識別であることを決定することを含む、請求項９に記載のコンピュータ実装方法。
13. 前記１つまたは複数のモバイル認証要素が、前記デバイスの近傍の１つまたは複数のモバイルタワーの位置を使用して、導出された位置識別子を少なくとも含み、前記モバイルデバイスを認証することは、前記リソース要求要素が、前記デバイスの近傍の１つまたは複数のモバイルタワーの位置を使用して、導出された前記位置識別子に一致するセルラータワー三角測量位置識別であることを決定することを含む、請求項９に記載のコンピュータ実装方法。
14. 前記サーバーに前記ユーザーのモバイルデバイス上の個人の位置データにアクセスすることを許可するために、モバイルデバイスのユーザーがオプトインすることを要求することと、
    前記サーバーに前記ユーザーのモバイルデバイス上の個人の位置データにアクセスすることを許可するために、前記ユーザーがオプトインすることに同意する確認を受信することと、
    前記企業のネットワークを介してリソースにアクセスするリソース要求を受信すると、前記リソース要求要素として前記ユーザーの個人位置データにアクセスし、
    前記１つまたは複数のモバイル認証要素が、アプリケーション層由来のデバイス位置識別を少なくとも含み、前記モバイルデバイスを認証することが、前記アプリケーション層由来のデバイス位置識別が、前記ユーザーの個人の位置データと一致することを決定することを含むこととをさらに含む、請求項９に記載のコンピュータ実装方法。
15. 前記ユーザーの個人の位置データが、１つまたは複数のユーザーの住居、ユーザーが頻出する位置、前記ユーザーのカレンダにおける位置、前記モバイルデバイス上の旅行アプリケーションから得られた位置、及び前記モバイルデバイス内のコンテキストデータに基づいて決定された位置を含む、請求項１４に記載のコンピュータ実装方法。
16. 複数のモバイルデバイスとエンタープライズリソースとの間の専用接続を提供するために、企業の仮想移動体通信をホストするように構成された１つまたは複数のサーバーと、
    命令を格納する非一時的なコンピュータ可読媒体であって、サーバーの１つまたは複数のコンピュータプロセッサーによって実行されると、前記１つまたは複数のサーバーに、
    モバイルデバイスから、前記サーバーによって管理される企業のネットワークにアクセスするためのアクセス要求を受信させ、
    前記要求を行っている前記モバイルデバイスのネットワーク識別子を検査させ、
    前記モバイルデバイスが前記企業のネットワークのメンバーによって使用され、前記ネットワーク識別子が、前記モバイルデバイスのための１つまたは複数のモバイル認証要素に基づいて前記モバイルデバイスに割り当てられていることを決定するために、前記企業ネットワークのメンバーのモバイルデバイスに割り当てられたネットワーク識別子のデータベースを調べさせ、
    前記モバイルデバイスから、前記企業のネットワークを介してリソースにアクセスするためのリソース要求を受信させ、
    前記リソース要求から、１つまたは複数のリソース要求要素を抽出させ、
    前記１つまたは複数のモバイル認証要素が、前記１つまたは複数のリソース要求要素にそれぞれ対応する場合に、前記モバイルデバイスを認証させる、非一時的なコンピュータ可読媒体とを含む、システム。

Images