JP2021524167A - 複数の登録のための方法および装置 - Google Patents

複数の登録のための方法および装置 Download PDF

Info

Publication number
JP2021524167A
JP2021524167A JP2020538542A JP2020538542A JP2021524167A JP 2021524167 A JP2021524167 A JP 2021524167A JP 2020538542 A JP2020538542 A JP 2020538542A JP 2020538542 A JP2020538542 A JP 2020538542A JP 2021524167 A JP2021524167 A JP 2021524167A
Authority
JP
Japan
Prior art keywords
network
key
user device
identifier
count
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2020538542A
Other languages
English (en)
Inventor
パラニゴウンダー、アナンド
エスコット、エイドリアン・エドワード
リ、ス・ボム
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Qualcomm Inc
Original Assignee
Qualcomm Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from US16/246,349 external-priority patent/US11553381B2/en
Application filed by Qualcomm Inc filed Critical Qualcomm Inc
Publication of JP2021524167A publication Critical patent/JP2021524167A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation

Abstract

第１の鍵に基づいて第１のネットワークとセキュリティコンテキストを有するユーザデバイスは、第２のネットワークとセキュリティコンテキストを確立し得る。方法では、ユーザデバイスは、第１の鍵および第２のネットワークのネットワーク識別子に基づいて鍵識別子を生成し得る。ユーザデバイスは、第１のネットワークが第１のネットワークにおいて第１の鍵を識別することを可能にするために第２のネットワークによって第１のネットワークに転送するための鍵識別子を第２のネットワークに転送し得る。ユーザデバイスは、第２のネットワークから鍵カウントを受信し得る。鍵カウントは、第１のネットワークから第２のネットワークに転送される第２の鍵に関連付けられ得る。ユーザデバイスは、第１の鍵および受信された鍵カウントに基づいて第２の鍵を生成し、それによって、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立し得る。【選択図】図２Ｂ

Description

関連出願への相互参照
[0001] 本出願は、２０１９年１月１１日に米国特許商標庁に出願された非仮特許出願番号１６／２４６，３４９と、２０１８年１月１２日に米国特許商標庁に出願された仮特許出願番号６２／６１７，０６５の優先権および利益を主張し、その全内容が以下に十分に明記するかのように参照によって全ての適用可能な目的で本明細書に組み込まれる。
[0002] 本開示は、一般に、ユーザ機器とワイヤレスネットワークインフラストラクチャとの間にセキュリティコンテキストを確立することに関する。
[0003] ワイヤレス通信システムは、例えば、音声、ビデオ、データ、等のような様々なタイプの通信コンテンツを提供するために広く展開されている。典型的なワイヤレス通信システムは、利用可能なシステムリソース（例えば、帯域幅、伝送電力、等）を共有することで複数のユーザとの通信をサポートすることが可能な多元接続システムであり得る。一般に、ワイヤレス多元接続通信システムは、複数のデバイスのための通信を同時にサポートし得る。サービスされるデバイスは各々、１つまたは複数無線アクセス局と通信し得る。
[0004] ワイヤレス通信ネットワークにアクセスする前に、デバイス（加入者デバイス、ユーザ機器、モバイルデバイス、等とも呼ばれる）が認証され得る。多くのワイヤレス通信ネットワークでは、認証は、移動体通信事業者および／またはサービスプロバイダによって提供される証明書を使用して行われ得る。ゆえに、１つまたは複数の証明書を交換することでワイヤレス通信ネットワークに対してデバイスを認証するためのシステムおよび方法が有益であり得る。
[0005] ユーザ機器（ＵＥ）は、異なるタイプの２つ以上のワイヤレスネットワークに登録され得る。ユーザ機器は、各ワイヤレスネットワークとセキュリティコンテキストを確立して維持する。しかしながら、新しいサービングネットワークに登録するたびにＵＥの完全な認証を実行することは時間を消費するものである。
[0006] 従って、ユーザ機器が１つより多くのワイヤレスネットワークとセキュリティコンテキストを効率的に確立して維持するための技法が必要である。
[0007] 本開示の態様は、第１の鍵に基づいて第１のネットワークとセキュリティコンテキストを有するユーザデバイス／局によって第２のネットワークとセキュリティコンテキストを確立するための方法にあり得、これは、ユーザデバイスによって、第１の鍵および第２のネットワークのネットワーク識別子に基づいて鍵識別子を生成することと、ユーザデバイスによって、第１のネットワークが第１のネットワークにおいて第１の鍵を識別することを可能にするために第２のネットワークによって第１のネットワークに転送するための鍵識別子を第２のネットワークに転送することと、ユーザデバイスによって、第２のネットワークから鍵カウントを受信することと、ここにおいて、鍵カウントは、第１のネットワークから第２のネットワークに転送される第２の鍵に関連付けられている、ユーザデバイスによって、第１の鍵および受信された鍵カウントに基づいて第２の鍵を生成し、それによって、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立することとを含む。
[0008] より詳細な態様において、ユーザデバイスは、ユーザデバイスが第３のネットワークに登録するとき、第１のネットワークと第１の鍵を確立し得る。第１の鍵は、第１のネットワークとの認証および鍵合意プロトコルの実行の一部として、ユーザデバイスと第１のネットワークとの間で確立され得る。ユーザデバイスはモバイルデバイスであり得、第１のネットワークは第１のパブリックランドモバイルネットワークであり得、第２のネットワークは第２のパブリックランドモバイルネットワークであり得る。また、第２のネットワークは、ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）アクセスネットワークまたは固定ブロードバンドアクセスネットワークを備え得る。第３のネットワークは、５Ｇ無線アクセスネットワーク（ＲＡＮ）またはロングタームエボリューション（ＬＴＥ（登録商標））ＲＡＮのような３ＧＰＰ（登録商標）無線アクセスネットワークを備え得る。
[0009] 他のより詳細な態様において、方法は、ユーザデバイスと第２のネットワークとの間の通信を保護するための暗号鍵または完全性鍵のうちの少なくとも１つを生成するために、ユーザデバイスによって、第２の鍵を使用することをさらに備え得る。また、鍵識別子を生成することは、ユーザデバイス識別子および／または関数呼出し値の少なくとも一部分にさらに基づき得る。
[0010] 別の態様は、第２のネットワークとセキュリティコンテキストを確立するためのユーザデバイスにあり得、これは、第１の鍵および第２のネットワークのネットワーク識別子に基づいて鍵識別子を生成するための手段と、ここにおいて、第１のネットワークとユーザデバイスとの間のセキュリティコンテキストは第１の鍵に基づく、第１のネットワークが第１のネットワークにおいて第１の鍵を識別することを可能にするために第２のネットワークによって第１のネットワークに転送するための鍵識別子を第２のネットワークに転送するための手段と、第２のネットワークから鍵カウントを受信するための手段と、ここにおいて、鍵カウントは、第１のネットワークから第２のネットワークに転送される第２の鍵に関連付けられている、第１の鍵および受信された鍵カウントに基づいて第２の鍵を生成し、それによって、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立するための手段とを含む。
[0011] 別の態様は、第２のネットワークとセキュリティコンテキストを確立するためのユーザデバイスにあり得、これは、第１の鍵および第２のネットワークのネットワーク識別子に基づいて鍵識別子を生成することと、ここにおいて、第１のネットワークとユーザデバイスとの間のセキュリティコンテキストは第１の鍵に基づく、第１のネットワークが第１のネットワークにおいて第１の鍵を識別することを可能にするために第２のネットワークによって第１のネットワークに転送するための鍵識別子を第２のネットワークに転送することと、第２のネットワークから鍵カウントを受信することと、ここにおいて、鍵カウントは、第１のネットワークから第２のネットワークに転送される第２の鍵に関連付けられている、第１の鍵および受信された鍵カウントに基づいて第２の鍵を生成し、それによって、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立することとを行うように構成されたプロセッサを含む。
[0012] 別の態様は、コンピュータに、第１の鍵および第２のネットワークのネットワーク識別子に基づいて鍵識別子を生成させるためのコードと、ここにおいて、第１のネットワークとユーザデバイスとの間のセキュリティコンテキストは第１の鍵に基づく、コンピュータに、第１のネットワークが第１のネットワークにおいて第１の鍵を識別することを可能にするために第２のネットワークによって第１のネットワークに転送するための鍵識別子を第２のネットワークに転送させるためのコードと、コンピュータに、第２のネットワークから鍵カウントを受信させるためのコードと、ここにおいて、鍵カウントは、第１のネットワークから第２のネットワークに転送される第２の鍵に関連付けられている、コンピュータに、第１の鍵および受信された鍵カウントに基づいて第２の鍵を生成させ、それによって、コンピュータの間にセキュリティコンテキストを確立させるためのコードを含むコンピュータ読取可能な媒体にあり得る。
[0013] さらに別の態様は、第１のネットワークによって、鍵識別子を受信することと、ここにおいて、鍵識別子は、第１の鍵および第２のネットワークのネットワーク識別子に基づく、第１のネットワークによって、鍵識別子および第２のネットワークのネットワーク識別子に基づいて第１の鍵を識別することと、第１のネットワークによって、第１の鍵および鍵カウントに基づいて第２の鍵を生成することと、第１のネットワークによって、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立するために第２の鍵および鍵カウントを第２のネットワークに転送することとを含む方法にあり得る。
[0014] 別の態様は、鍵識別子を受信するための手段と、ここにおいて、鍵識別子は、第１の鍵および第２のネットワークのネットワーク識別子に基づく、鍵識別子および第２のネットワークのネットワーク識別子に基づいて第１の鍵を識別するための手段と、第１の鍵および鍵カウントに基づいて第２の鍵を生成するための手段と、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立するために第２の鍵および鍵カウントを第２のネットワークに転送するための手段とを含む第１のネットワークにあり得る。
[0015] 別の態様は、鍵識別子を受信することと、ここにおいて、鍵識別子は、第１の鍵および第２のネットワークのネットワーク識別子に基づく、鍵識別子および第２のネットワークのネットワーク識別子に基づいて第１の鍵を識別することと、第１の鍵および鍵カウントに基づいて第２の鍵を生成することと、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立するために第２の鍵および鍵カウントを第２のネットワークに転送することとを行うように構成されたプロセッサを含む第１のネットワークにあり得る。
[0016] 別の態様は、コンピュータに、鍵識別子を受信させるためのコードと、ここにおいて、鍵識別子は、第１の鍵および第２のネットワークのネットワーク識別子に基づく、コンピュータに、鍵識別子および第２のネットワークのネットワーク識別子に基づいて第１の鍵を識別させるためのコードと、コンピュータに、第１の鍵および鍵カウントに基づいて第２の鍵を生成させるためのコードと、コンピュータに、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立するために第２の鍵および鍵カウントを第２のネットワークに転送させるためのコードとを含むコンピュータ読取可能な媒体にあり得る。
[0017] ある態様は、第１の鍵に基づいて第１のネットワークとセキュリティコンテキストを有するユーザデバイスによって第２のネットワークとセキュリティコンテキストを確立するための方法にあり得、これは、ユーザデバイスによって、第１の鍵およびユーザデバイス識別子の少なくとも一部分に基づいて鍵識別子を生成することと、ユーザデバイスによって、第１のネットワークが第１のネットワークにおいて第１の鍵を識別することを可能にするために第２のネットワークによって第１のネットワークに転送するための鍵識別子を第２のネットワークに転送することと、ユーザデバイスによって、第２のネットワークから鍵カウントを受信することと、ここにおいて、鍵カウントは、第１のネットワークから第２のネットワークに転送される第２の鍵に関連付けられている、ユーザデバイスによって、第１の鍵および受信された鍵カウントに基づいて第２の鍵を生成し、それによって、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立することとを含む。
一次認証を回避しつつユーザ機器が複数のサービングネットワークへの複数のネットワーク登録を行い得る例示的なワイヤレスネットワークシステムを例示するブロック図である。 １つの特徴に係る、１つまたは複数のネットワーク上で通信するユーザデバイスのためのセキュリティコンテキストを確立するための例示的な認証および登録プロセスのフロー図を例示する。 １つの特徴に係る、１つまたは複数のネットワーク上で通信するユーザデバイスのためのセキュリティコンテキストを確立するための例示的な認証および登録プロセスのフロー図を例示する。 ５Ｇ通信システムの例示的な鍵階層構造を例示する図である。 複数の登録を行い、複数のセキュリティコンテキストを確立するように構成された例示的なユーザデバイスのブロック図である。 １つの例示的な特徴に係る、ユーザデバイスと第２のネットワークとの間にセキュリティコンテキストを確立するための方法のフロー図である。 一態様に係る、別のセキュリティコンテキストを確立するために鍵カウントを提供することおよび第１の鍵を識別することで効率的なセキュリティコンテキスト生成を容易にするための、ユーザデバイス上で動作可能な別の例示的な方法のフロー図である。 １つまたは複数のユーザデバイスにサービスを提供するように構成された例示的なネットワークノード／デバイスのブロック図である。 一態様に係る、別のセキュリティコンテキストを確立するために鍵カウントを提供することおよび第１の鍵を識別することで効率的なセキュリティコンテキスト生成を容易にするための、ホームネットワークデバイス上で動作可能な例示的な方法のフロー図である。 次世代ワイヤレスネットワークインフラストラクチャの例示的なネットワークアーキテクチャ９００を例示する。
詳細な説明
[0027] 下記説明では、実施形態の完全な理解を提供するために、特定の詳細が提示される。しかしながら、実施形態がこれらの特定の詳細なしに実施され得ることは、当業者によって理解されるであろう。例えば、不必要な詳細でこれらの実施形態をあいまいにしないために、回路はブロック図で示され得る。他の事例では、周知の回路、構造、および技法は、これらの実施形態をあいまいにしないために、詳細には示されない可能性がある。「例示的」という用語は、「実例、事例、または例示として機能する」を意味するために本明細書で使用される。「例示的」として本明細書で説明される任意の実施形態は、必ずしも、他の実施形態よりも好ましいまたは有利であると解釈されるべきではない。
[0028] 図１は、一次認証を回避しつつユーザ機器が複数のサービングネットワークへの複数のネットワーク登録を行い得る例示的なワイヤレスネットワークシステムを例示するブロック図である。このワイヤレスネットワークシステム１００では、ユーザデバイス１０２（例えば、加入者デバイス、携帯電話、ウェアラブルデバイス、車両に組み込まれた通信デバイス、ユーザ機器、等）が、ユーザデバイス１０２を認証して１つまたは複数の鍵についてユーザデバイス１０２と合意する役割を果たすホームネットワーク１０６に、第１の無線アクセスネットワークＡ（ＲＡＮ）１０４上で、第１のサービスプロバイダＡ（例えば、第１のサービングネットワーク）１０８を通して通信し得る。ホームネットワーク１０６とユーザデバイス１０２との間のこの認証および鍵合意（ＡＫＡ）プロセスの一部として、ホームネットワーク１０６およびユーザデバイス１０２に知られている第１の鍵Ｋ１ １１２ａおよび１１２ｂが生成される。次いで、この第１の鍵Ｋ１（または、Ｋ１から導出された別の鍵）は、ユーザデバイス１０２への／からの通信をセキュアにする役割を果たす第１のセキュリティコンテキストＡ１１４を生成するため、および／または、ユーザデバイス１０２において追加の鍵を生成するために使用される。第１のセキュリティコンテキストＡ１１４は、ユーザデバイス１０２および第１のサービスプロバイダＡ１０８の両方で生成され得る。
[0029] その後、ユーザデバイス１０２は、第２の無線アクセスネットワークＢ１０５を介して第２のサービスプロバイダＢ１１０（例えば、第２のサービングネットワーク）を通して通信しようとし得る場合。その結果として、それは、第２のサービスプロバイダＢ（例えば、第２のサービングネットワーク）１１０とセキュリティコンテキストを確立するために、第２のサービスプロバイダ１１０に登録することを試み得る。ホームネットワーク１０６と別のＡＫＡプロセスを行う（これは時間消費する）のではなく、第１の鍵Ｋ１を再使用して、第２のネットワークＢ１１０との第２のセキュリティコンテキストＢ１１６を確立し得る。第２のセキュリティコンテキストＢ１１６は、ユーザデバイス１０２および第２のサービスプロバイダＢ１１０の両方で生成され得る。
[0030] 図１では、２つのＲＡＮ１０４および１０５がサービスプロバイダＡ１０８およびＢ１１０にサービスするように（すなわち、サービングネットワークと）例示されているが、他の実現形態では、サービスプロバイダＡ１０８および／またはＢ１１０の両方が単一の無線アクセスネットワークに結合され得ることが企図されることに留意されたい。
[0031] 図２Ａおよび図２Ｂは、１つまたは複数のネットワーク上で通信するユーザデバイス２１０のための別のセキュリティコンテキストを確立するためにセキュリティ鍵を再使用するための例示的な認証および登録プロセス２００のフロー図を例示する。一例において、ユーザデバイス２１０は、最初に、第３の（サービング）ネットワーク２１５を介してサービスを取得し得る。第３のネットワーク２１５を通して通信するために、ユーザデバイス２１０は、ユーザデバイス２１０が第３のネットワーク２１５（例えば、無線アクセスネットワーク）に登録するときに、ホームネットワーク２３０と第１の鍵Ｋ１を確立し得る。様々な例において、ユーザデバイス２１０は、モバイル局、加入者デバイス、ウェアラブルデバイス、車両に組み込まれた通信デバイス、クライアントデバイス、モバイルデバイス、ワイヤレスデバイス、等であり得る。ホームネットワーク２３０は、パブリックランドモバイルネットワーク（ＰＬＭＮ）であり得、５Ｇ ＲＡＮまたはＬＴＥ ＲＡＮのような３ＧＰＰ無線アクセスネットワークを備え得る。いくつかの事例において、ホームネットワーク（例えば、認証ネットワーク、認可ネットワーク、等とも呼ばれる）。同様に、第３のネットワーク２１５は、第１のパブリックランドモバイルネットワークであり得、ワイヤレスローカルアクセスネットワーク（ＷＬＡＮ）および／または固定ブロードバンドアクセスネットワークを備え得る。
[0032] ユーザデバイス２１０とホームネットワーク２３０との間の認証および鍵合意（ＡＫＡ）プロトコル２０２の実行の一部として、ホームネットワーク２３０は、（例えば、一意のデバイス識別子に基づいて）ユーザデバイス２１０を認証し得、少なくとも１つの鍵が、ホームネットワーク２３０およびユーザデバイス２１０において確立され得る。例えば、ユーザデバイスの認証が成功すると、ユーザデバイス２１０およびホームネットワーク２３０において第１の鍵Ｋ１が確立され得る２０４。この第１の鍵Ｋ１は、例えば、ＡＫＡ２０２において交換される情報、秘密ユーザデバイス鍵、一意のユーザデバイス識別子、等に基づいて生成され得る。この第１の鍵Ｋ１は、ホームネットワーク２３０において第３の鍵Ｋ３（例えば、アンカ鍵）を生成する２０６ｂために使用され得る。この第３の鍵Ｋ３は、ホームネットワーク２３０によって第３のネットワーク２１５に送られ得る２０８。第１の鍵Ｋ１は、ユーザデバイス２１０および第１の（ホーム）ネットワーク２３０にのみ知られているものであり得、第３のネットワーク２１５には知られていないことに留意されたい。次いで、第３のネットワーク２１５は、第３の鍵Ｋ３（例えば、アンカ鍵Ｋ１ＳＥＡＦ）の関数として、ユーザデバイス２１０のために、第１のセキュリティコンテキストを生成および／または確立し得る２１２ｂ。第１の鍵Ｋ１を確立するために様々な方法が使用され得、それはまた、ホームネットワーク２３０において一意のユーザデバイス識別子（ＵＩＤ）に関連付けられ得ることが企図される。追加的に、第３の鍵Ｋ３を生成または確立するために様々な方法が使用され得ること、ここで、ユーザデバイス２１０は、ホームネットワーク２３０および第３のネットワーク２１５によって使用される方法（例えば、鍵導出関数）を知っているであろう、も企図される。
[0033] 同様に、ホームネットワーク２３０から認証成功メッセージ／インジケーションを受信すると、ユーザデバイスは、（例えば、ホームネットワーク２３０と同じ鍵導出関数を使用して）第１の鍵Ｋ１のローカルインスタンスを確立し得２０４ａ、次いで、（例えば、第３のネットワーク２１５と同じ鍵導出関数を使用して）第３の鍵Ｋ３のローカルインスタンスを生成し得る２０６ａ。次いで、ユーザデバイスは、第３のネットワーク２１５とセキュリティコンテキストを確立する２１２ａために、第３の鍵Ｋ３のそのローカルバージョンを使用し得る。
[0034] 第３の鍵Ｋ３が第１の鍵Ｋ１の関数として導出されるため、セキュリティコンテキスト２１２ａおよび２１２ｂは第１の鍵Ｋ１の関数として確立されるとも言えることに留意されたい。
[0035] 後続の時間に、ユーザデバイス２１０は、第２の（サービング）ネットワーク２２０を通信に使用し得る。すなわち、ユーザデバイス２１０は、第２のネットワーク２２０を使用することに切り替え得るか、または第３のネットワーク２１５と同時に第２のネットワーク２２０を使用し得る。第２のネットワーク２２０は、第２のパブリックランドモバイルネットワークであり得、ワイヤレスローカルアクセスネットワーク（ＷＬＡＮ）または固定ブロードバンドアクセスネットワークを備え得る。
[0036] 第２のネットワーク２２０を通してＡＫＡプロトコルを再度実行する代わりに、ユーザデバイス２１０は、第２のネットワーク２２０と第２のセキュリティコンテキストを確立するために第１の鍵Ｋ１を再使用し得る。ユーザデバイス２１０は、第１の鍵Ｋ１、第２のネットワーク２２０の第２のネットワーク識別子またはネットワーク名ＳＮ−Ｂ、および／または一意のユーザデバイス識別子（ＵＩＤ）に基づいて鍵識別子ＫｅｙＩＤを生成する２３５ために鍵導出関数（ＫＤＦ）を使用し得る。このように、第１の鍵Ｋ１は、少なくとも２つの異なるサービングネットワークと複数のセキュリティコンテキスト（例えば、第１のセキュリティコンテキスト２１２および第２のセキュリティコンテキスト２７２）を確立するための基礎(basis)として利用され得る。
[0037] ユーザデバイス２１０は、鍵識別子ＫｅｙＩＤを、登録要求２４０の一部として、第２のネットワーク２２０に転送し得る。次いで、第２のネットワーク２２０は、第２のネットワーク識別子／名ＳＮ−Ｂと一意のユーザデバイス識別子ＵＩＤとを含む認証要求２４５をホームネットワーク２３０に送り得る。次いで、ホームネットワーク２３０は、第１の鍵Ｋ１に基づいてユーザデバイス２１０を識別し得る。すなわち、一意のユーザデバイス識別子ＵＩＤ、ホームネットワーク２３０は、第１の鍵Ｋ１を確かめることができる。ゆえに、ホームネットワーク２３０は、ＡＫＡプロトコルを再度実行することなく、ユーザデバイス２１０を認証できる。
[0038] ホームネットワーク２３０は、第１の鍵Ｋ１および鍵カウントＣＯＵＮＴの関数として第２の鍵Ｋ２を生成し得る２５５。次いで、ホームネットワーク２３０は、（例えば、一意のユーザデバイス識別子ＵＩＤおよび鍵カウントＣＯＵＮＴも含む認証応答の一部として）第２の鍵Ｋ２を第２のネットワーク２２０に転送し得る２６０。次に、第２のネットワーク２２０は、（例えば、セキュリティモードコマンドの一部として）鍵カウントＣＯＵＮＴをユーザデバイス２１０に送り得る２６５。第２の鍵Ｋ２を受信すると、次いで、第２のネットワーク２２０は、第２の鍵Ｋ２に基づいて、ユーザデバイス２１０と、第２のセキュリティコンテキストを生成／確立することができる２７２ｂ。同様に、ユーザデバイス２１０はまた、第１の鍵Ｋ１および受信された鍵カウントＣＯＵＮＴに基づいて、第２の鍵Ｋ２のローカルインスタンスを生成し得る２７０。次いで、ユーザデバイス２１０は、第２のネットワーク２２０と第２のセキュリティコンテキストを確立する２７２ａために、第２の鍵Ｋ２のそのローカルインスタンスを使用し得る。
[0039] 図３は、５Ｇ通信システムの例示的な鍵階層構造を例示する図である。この例示的な鍵階層構造３００は、ユーザデバイス（ＵＥ）３０２とネットワーク３０４との間に通信を確立してセキュアにするための様々な鍵を生成する役割を果たし得る。長期秘密鍵（Ｋ）３０６は、ユーザデバイス３０２に対してユニバーサル加入者識別モジュール（ＵＳＩＭ）でプロビジョニングされ得る。ユーザデバイス３０２およびネットワーク３０４は、秘密鍵Ｋ３０６の関数として暗号化鍵（ＣＫ）および完全性鍵（ＩＫ）３０８を生成し得る。
[0040] 第１の認証鍵ＫＡＵＳＦ３１０は、認証および鍵合意（ＡＫＡ）プロセス中に、暗号化鍵ＣＫおよび完全性鍵ＩＫ３０８からユーザデバイスおよびネットワーク（例えば、認証証明リポジトリおよび処理機能すなわちＡＲＰＦ）によって導出される。３ＧＰＰ秘密鍵Ｋが、拡張認証プロトコルＥＡＰをサポートする無線アクセス技術上での認証に使用される場合、第１の認証鍵ＫＡＵＳＦ３１０’は、ＥＡＰ ＡＫＡ’規格に従って導出される。
[0041] ユーザデバイス３０２とネットワーク３０４との間の一次認証の成功後、サービングネットワーク固有アンカ鍵（ＫＳＥＡＦ）３１２が第１の認証鍵ＫＡＵＳＦ３１０から導出され得る。
[0042] アンカ鍵ＫＳＥＡＦ３１２から、ＮＡＳシグナリング、および、制御プレーン（ＣＰ）、すなわち無線リソース制御（ＲＲＣ）メッセージ、と、ユーザプレーン（ＵＰ）とからなるアクセス層（ＡＳ）のための秘密性および完全性保護鍵が導出される。例えば、アンカ鍵ＫＳＥＡＦ３１２は、セキュリティアンカ機能（ＳＥＡＦ）およびユーザデバイスによってアクセスおよびモビリティ鍵ＫＡＭＦ３１４を導出するために使用され得る。アクセスおよびモビリティ機能（ＡＭＦ）は、非アクセス層（ＮＡＳ）シグナリング保護のために、アクセスおよびモビリティ鍵ＫＡＭＦから秘密完全性鍵ＫＮＡＳｉｎｔ３１６および秘密暗号鍵ＫＮＡＳｅｎｃ３１８を生成し得る。セキュリティコンテキストは、秘密完全性鍵ＫＮＡＳｉｎｔ３１６および秘密暗号鍵ＫＮＡＳｅｎｃ３１８を含み得る。
[0043] ユーザデバイス３１２およびＡＭＦはまた、アクセスおよびモビリティ鍵ＫＡＭＦ３１４からノード鍵ＫｇＮＢ３２０を生成し得る。ＡＳのための完全性および秘密性鍵、すなわち、ＵＰ（ＫＵＰｉｎｔおよびＫＵＰｅｎｃ）およびＲＲＣ（ＫＲＲＣｉｎｔおよびＫＲＲＣｅｎｃ）は、ノード鍵ＫｇＮＢから導出され得る。ハンドオーバ中に転送機密性を提供するために、中間鍵ＮＨも導出され得る。
[0044] 再び図２を参照すると、第１の鍵Ｋ１は、図３の鍵階層３００における第１の認証鍵ＫＡＵＳＦ３１０または３１０’と同等であり得る。次いで、第１のアンカ鍵Ｋ１ＳＥＡＦが、第１の鍵Ｋ１から生成され得る。例えば、図２を参照すると、（例えば、ユーザデバイス２１０およびホームネットワーク２３０のＡＵＳＦにおいて）第１の鍵Ｋ１を確立した２０４ａおよび２０４ｂ後、第１のアンカ鍵Ｋ１ＳＥＡＦが、ユーザデバイス２１０および（ホームネットワーク２３０の）ＡＵＳＦにおいて第１の鍵Ｋ１（例えば、図３の第１の認証鍵ＫＡＵＳＦ３１０または３１０’）の関数として生成され得る。次いで、ホームネットワーク２３０のＡＵＳＦが、第１のアンカ鍵Ｋ１ＳＥＡＦを第３のネットワーク２１５に送り得る。
[0045] その後、第２の登録がユーザデバイス２１０によって第２のネットワークに対して行われる場合／とき、別の一次認証を行う（これは時間消費する）のではなく、第１の鍵Ｋ１（例えば、認証鍵ＫＡＵＳＦ３１０または３１０’）を使用して、ユーザデバイスを認証するためおよび第２のアンカ鍵Ｋ２ＳＥＡＦを生成し得る。ゆえに、他のサービングネットワークへのユーザデバイスの後続の登録は、一次認証を回避するためおよび追加のアンカ鍵を生成するために、第１の鍵Ｋ１（例えば、認証鍵ＫＡＵＳＦ３１０または３１０’）を利用し得る。例えば、図２を参照すると、第１の鍵Ｋ１を使用してユーザデバイスを識別した２５０後、第２の鍵Ｋ２（例えば、第２のアンカ鍵Ｋ２ＳＥＡＦ）が、ホームネットワーク２３０のＡＵＳＦによって生成される２５５）。次いで、この第２の鍵Ｋ２（例えば、第２のアンカ鍵Ｋ２ＳＥＡＦ）は、ホームネットワーク２３０のＡＵＳＦによって第２のネットワーク２２０に送られる２６０。追加的に、鍵カウントＣＯＵＮＴを受信２６５した後、ユーザデバイス２１０はまた、第２の鍵Ｋ２のローカルバージョンを生成する２７０。次いで、ユーザデバイス２１０と第２のネットワーク２２０の両方が、第２の鍵Ｋ２（例えば、第２のアンカ鍵Ｋ２ＳＥＡＦ）に基づいて第２のセキュリティコンテキストを確立し得る２７２ａおよび２７２ｂ。
[0046] 図４は、複数の登録を行い、複数のセキュリティコンテキストを確立するように構成された例示的なユーザデバイスのブロック図である。ユーザデバイス４００は、記憶デバイス／媒体４２０（例えば、メモリおよび／またはディスクドライブ）、ディスプレイ４３０、入力デバイス４４０（例えば、キーパッド、マイクロフォン、等）、および／または１つまたは複数のワイヤレスアンテナ４５０に結合された通信インターフェース／回路４４５に結合された処理回路４１０を備え得る。
[0047] 典型的なデバイス登録では、ユーザデバイスは、あるタイプのアクセス（例えば、３ＧＰＰ）上で第１のサービングネットワークに登録され得、別のタイプのアクセス（例えば、非３ＧＰＰ）上で第２のサービングネットワークに登録され得る。そのようなケースでは、ユーザデバイスは、２つの異なる（５Ｇ）セキュリティコンテキストを、サービングネットワークごとに１つずつ（すなわち、１つのＰＬＭＮネットワークごとに１つずつ）、独立して維持および使用し得る。
[0048] ユーザデバイスが第１のサービングネットワークを介して既に登録されているとき、第２のサービングネットワークと別個の一次認証（例えば、５Ｇ ＡＫＡまたはＥＡＰ−ＡＫＡ’）を行う代わりに、ユーザデバイス４００は、第２のサービングネットワークに対して一次認証を再度行うのをバイパス／回避するために、第１のサービングネットワークと以前に確立された第１の鍵を再使用するように構成され得る。第１のサービングネットワークに対する一次認証中、第１の鍵Ｋ１が生成され、ユーザデバイス４００のためのホームネットワークの認証サーバ機能（ＡＵＳＦ）に記憶されている。例えば、この第１の鍵Ｋ１は、第１の認証鍵ＫＡＵＳＦ（図３の３１０または３１０’）として知られているであろう。第１の鍵Ｋ１は、第２のサービングネットワークを介してさらに別の一次認証を行う必要なしに、第２のサービングネットワークにおいてセキュリティコンテキストを作成するために使用され得る。
[0049] 鍵識別子ＫｅｙＩＤは、第２のサービングネットワークのサービングネットワーク識別子／名ＳＮ−Ｂを組み込むことと、それを（ａ）ユーザデバイス４００とホームネットワークとの間でのオプション機能の使用（すなわち、別個の一次認証実行を回避するための第１の鍵Ｋ１の再使用）をネゴシエートするためにおよび（ｂ）セキュリティコンテキストを確立するためホームネットワークのＡＵＳＦにおいてコンテキストを識別するために使用することとによって、第１の認証鍵ＫＡＵＳＦから導出され得る。より詳細には、ユーザデバイス４００が、第１のサービングネットワークに以前に登録しており、異なる第２のサービングネットワークに登録したいと望み、かつ、記憶された第１の認証鍵ＫＡＵＳＦが利用可能である場合、それは、第１の認証鍵ＫＡＵＳＦから鍵識別子ＫｅｙＩＤ＿ＡＵＳＦを導出し得、それを登録要求（図２の２４０）に含め得る。ユーザデバイス４００は、サービングネットワーク（ＰＬＭＮ）のサービングネットワーク識別子／名を鍵識別子ＫｅｙＩＤ＿ＡＵＳＦ導出に含め得る。
[0050] 一例では、ＫｅｙＩＤ（または、ＫｅｙＩＤ＿ＡＵＳＦ）は、以下のように導出され得る：
ＫｅｙＩＤ＿ＡＵＳＦ＝ＫＤＦ（ＫｅｙＩＤ導出のためのＫ＿ＡＵＳＦ、ＳＮ−ＩＤ、ＦＣ値）、
ここで、ＫｅｙＩＤ＿ＡＵＳＦは、ＳＨＡ−２５６（これは２５６ビットの出力を有し得る）のような鍵導出関数（ＫＤＦ）の出力の固定（例えば、３２）最下位ビットを用いて識別され得る。Ｋ＿ＡＵＳＦは、２５６ビット長であり得る。サービングネットワーク識別子／名ＳＮ−ＩＤは、サービングネットワーク識別子／名（例えば、第２のネットワーク識別子ＳＮ−Ｂ）であり得、サービングネットワーク識別子／名の構築に関する規格に従って、「５Ｇ」に設定されたサービスコードおよび訪問ＰＬＭＮ（ＶＰＬＭＮ ＩＤ）の連結に等しいであろう。
[0051] ユーザデバイス４００は、登録要求（図２の２４０）において、ＫｅｙＩＤ＿ＡＵＳＦおよびユーザデバイス識別子（ＵＩＤ）をアクセスおよびモビリティ管理機能（ＡＭＦ）に転送し得る。様々な例では、ＵＩＤは、サブスクリプション隠蔽識別子（ＳＵＣＩ：）またはサブスクリプション永続識別子（ＳＵＰＩ）であり得る。ＫｅｙＩＤ＿ＡＵＳＦを伴う登録要求を受信すると、ＡＭＦ内にあり得るセキュリティアンカ機能（ＳＥＡＦ）は、ＡＵＳＦへの認証開始要求（５Ｇ−ＡＩＲ）メッセージ（図２の２４５）中にＫｅｙＩＤ＿ＡＵＳＦを含め得る。
[0052] 代替の実施形態では、ＫｅｙＩＤを導出するために、ネットワーク識別子／名ＳＮ−ＩＤの代わりにユーザデバイス識別子（ＵＩＤ）またはＵＩＤの一部分（例えば、ＵＩＤの３２最下位ビット）がＫＤＦへの入力として含まれ得る。例えば、ＫｅｙＩＤは、ＫｅｙＩＤ＿ＡＵＳＦ＝ＫＤＦ（ＫｅｙＩＤ導出のためのＫ＿ＡＵＳＦ、ＵＩＤ、ＦＣ値）として導出され得、ここで、ＵＩＤは、その全体または任意の一部分（例えば、ＵＩＤの３２最下位ビット）に含まれる。ＵＩＤが、ＳＵＣＩのようなプライバシ保護サブスクリプション識別子であるとき、ＵＩＤの少なくとも一部分を含めることは、生成された鍵識別子が加入者識別子のプライバシを保護することを確実にする。さらに別の実施形態では、ＵＩＤまたはＵＩＤの一部が、ＳＮ−ＩＤに加えて、ＫＤＦへの入力として含められ得る。
[0053] 認証開始要求メッセージ（図２の２４５）を受信すると、（ホームネットワークの）ＡＵＳＦがＫ＿ＡＵＳＦ（すなわち、第１の認証鍵ＫＡＵＳＦ）を記憶している場合、それを再使用することを決定し得る。それを再使用することを決定すると、ＡＵＳＦは、ユーザデバイス４００と同じ方法でＫｅｙＩＤ＿ＡＵＳＦを導出し得、ＡＵＳＦによって導出されたＫｅｙＩＤ＿ＡＵＳＦが受信された値と一致するかどうかを検証する。それらが一致すると、ＡＵＳＦは、認証をスキップし得、Ｋ＿ＡＵＳＦ（例えば、図２の第１の鍵Ｋ１）およびカウンタＡＵＳＦ＿ＫＤＦ＿ＣＯＵＮＴからＫ＿ＳＥＡＦ（すなわち、図２の第２の鍵Ｋ２）を導出し得る。ＳＨＡ−２５６のような鍵導出関数ＫＤＦは、Ｋ＿ＳＥＡＦ（例えば、図２の第２の鍵Ｋ２）を導出するために使用され得る。ＡＵＳＦ＿ＫＤＦ＿ＣＯＵＮＴ（例えば、図２のＣＯＵＮＴ）は、初期値ゼロの単調増加３２ビットカウンタであり得る。Ｋ＿ＡＵＳＦからの各鍵導出の後、ＡＵＳＦは、ＡＵＳＦ＿ＫＤＦ＿ＣＯＵＮＴを１だけ増分する。ＡＵＳＦ＿ＫＤＦ＿ＣＯＵＮＴは、Ｋ＿ＡＵＳＦとともにＡＵＳＦによって記憶され得る。ＡＵＳＦ＿ＫＤＦ＿ＣＯＵＮＴの使用は、Ｋ＿ＡＵＳＦから導出された鍵が常に新鮮であることを確実にする。
[0054] （ホームネットワークの）ＡＵＳＦは、導出されたＫ＿ＳＥＡＦ（例えば、図２の第２の鍵Ｋ２）を、ＡＵＳＦ＿ＫＤＦ＿ＣＯＵＮＴとともに、認証開始応答（５Ｇ−ＡＩＡ）においてＳＥＡＦに送り得る（図２の２６０）。ＡＭＦは、ネットワークアクセス層（ＮＡＳ）セキュリティモードコマンド（ＳＭＣ）をユーザデバイス４００に送ることでユーザデバイス４００と別個の５Ｇセキュリティコンテキストを確立するために、Ｋ＿ＳＥＡＦを使用し得る。ＮＡＳ ＳＭＣは、ＡＵＳＦ＿ＫＤＦ＿ＩＮＰＵＴを含み得る。ＮＡＳ ＳＭＣ中のＡＵＳＦ＿ＫＤＦ＿ＩＮＰＵＴは、完全性保護されているが、暗号化はされていない可能性がある。ユーザデバイス４００は、Ｋ＿ＳＥＡＦ（図２の第２の鍵Ｋ２）を導出するためおよび第２のサービングネットワークにおけるＡＭＦと別個の５Ｇセキュリティコンテキストを確立するために、ＮＡＳ ＳＭＣにおいて受信されたＡＵＳＦ＿ＫＤＦ＿ＣＯＵＮＴを使用するであろう。
[0055] ユーザデバイス４００は、ＮＡＳセキュリティモード完了コマンドをＡＭＦに送り得る（図２の２７５）。ＡＭＦ（第２のサービングネットワーク）は、受諾メッセージで応答し得る（図２の２８０）。
[0056] そうではなく、ホームネットワークのＡＵＳＦがＫ＿ＡＵＳＦの記憶をサポートしない場合またはＡＵＳＦがユーザデバイス４００の一次認証を行うことを望む場合、ＡＵＳＦは、Ａｕｔｈ−Ｉｎｆｏ−ＲｅｑメッセージをＵＤＭ／ＡＲＰＦに送ることで一次認証を開始し得る。ＵＥの認証の成功は、ＡＭＦとの別個の５Ｇセキュリティコンテキストの確立に帰着する。
[0057] ユーザデバイス４００の様々な例には、ハンドヘルド電話、加入者デバイス、ユーザ機器（ＵＥ）、ウェアラブルコンピューティングデバイス、車両に組み込まれた通信デバイス、および／またはラップトップコンピュータが含まれ得る。ユーザデバイス４００のための通信インターフェース／回路４４５は、符号分割多元接続（ＣＤＭＡ）、時分割多元接続（ＴＤＭＡ）、周波数分割多元接続（ＦＤＭＡ）、空間分割多元接続（ＳＤＭＡ）、偏波分割多元接続（ＰＤＭＡ）、または当技術分野で知られている他の変調技法のような、いくつかの多元接続技法のうちの任意の１つをサポートし得る。
[0058] 図５は、１つの例示的な特徴に係る、ユーザデバイスと第２のネットワークとの間にセキュリティコンテキストを確立するための、ユーザデバイスにおいて動作可能な方法のフロー図である。一例では、この方法は、図４のユーザデバイス４００によって実施され得る。鍵識別子ＫｅｙＩＤは、（第１のネットワークのために以前に確立された）第１の鍵Ｋ１と、第２のネットワークのネットワーク識別子／名とに基づいて生成され得５１０（図２の２３５）、ここにおいて、第１のネットワークとユーザデバイス４００との間のセキュリティコンテキストは、第１の鍵Ｋ１に基づく。鍵識別子ＫｅｙＩＤは、ホームネットワークが第１の鍵Ｋ１を識別することを可能にするために、ホームネットワークに転送するために第２のネットワークに転送され得る／送られ得る５２０（図２の２５０）。鍵カウントＣＯＵＮＴは、第２のネットワークから受信され得５３０（図２の２６５）、ここにおいて、鍵カウントは、ホームネットワークから第２のネットワークに転送される第２の鍵Ｋ２に関連付けられている。ユーザデバイスにおいて、第２の鍵Ｋ２は、第１の鍵Ｋ１および受信された鍵カウントに基づいて生成され得５４０、それによって、第２のネットワークとユーザデバイス４００との間にセキュリティコンテキストを確立する（図２の２７０および２７２）。
[0059] 再び図４を参照すると、一態様によると、ユーザデバイス４００は、第２のネットワーク２２０（図２）とセキュリティコンテキストを確立するように構成され得、それは、第１の鍵Ｋ１（例えば、第１の認証鍵ＫＡＵＳＦ）および第２のネットワーク識別子／名ＳＮ−Ｂに基づいて鍵識別子ＫｅｙＩＤを生成するための手段（例えば、処理回路４１０および／または通信インターフェース／回路４４５）と、ここにおいて、第３のネットワーク２１５とユーザデバイス４００との間の第１のセキュリティコンテキストは、第１の鍵に基づいて以前に確立されている、ホームネットワークが第１の鍵Ｋ１を識別することを可能にするために（すなわち、第１の鍵Ｋ１がユーザデバイスによって以前に使用されたかどうかを確かめるために）ホームネットワークに転送するための鍵識別子ＫｅｙＩＤを第２のネットワークに転送する（図２の２４０）ための手段（例えば、処理回路４１０および／または通信インターフェース／回路４４５）と、第２のネットワークから鍵カウントＣＯＵＮＴを受信する（図２の２６５）ための手段（例えば、処理回路４１０および／または通信インターフェース／回路４４５）と、ここにおいて、鍵カウントは、ホームネットワークから第２のネットワークに転送される第２の鍵Ｋ２に関連付けられている、第１の鍵Ｋ１および受信された鍵カウントＣＯＵＮＴに基づいて第２の鍵Ｋ２を生成し、それによって、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立する（図２の２７２）ための手段（例えば、処理回路４１０）とを備える。
[0060] 別の態様は、コンピュータ読取可能な媒体または記憶デバイス４２０を提供し得、それは、処理回路４１０に、（第１のサービングネットワークを通して以前に確立された）第１の鍵Ｋ１および第２のサービングネットワークのネットワーク識別子／名に基づいて鍵識別子ＫｅｙＩＤを生成させる（図２の２３５または図５の５１０）ためのコードと、ここにおいて、第１のサービングネットワークとユーザデバイス４００との間の第１のセキュリティコンテキストは、第１の鍵Ｋ１に基づく、処理回路４１０に、ホームネットワークがホームネットワークにおいて第１の鍵Ｋ１を識別することを可能にするためにホームネットワークに転送するための鍵識別子ＫｅｙＩＤを第２のサービングネットワークに転送させる（図２の２４０または図５の５２０）ためのコードと、処理回路４１０に、第２のネットワークから鍵カウントＣＯＵＮＴを受信させる（図２の２６５または図５の５３０）ためのコードと、ここにおいて、鍵カウントは、ホームネットワークから第２のネットワークに転送される第２の鍵Ｋ２に関連付けられている、処理回路４１０に、第１の鍵Ｋ１および受信された鍵カウントに基づいて第２の鍵Ｋ２を生成させ、それによって、第２のネットワークとユーザデバイス４００との間にセキュリティコンテキスト（すなわち、第２のセキュリティコンテキスト）を確立させる（図２の２７２または図５の５４０）ためのコードを備える。
[0061] 図６は、一態様に係る、別のセキュリティコンテキストを確立するために鍵カウントを提供することおよび第１の鍵を識別することで効率的なセキュリティコンテキスト生成を容易にするための、ユーザデバイス上で動作可能な別の例示的な方法８００のフロー図である。この方法６００は、例えば、ユーザデバイス４００によって行われ得る。第１の鍵Ｋ１は、ユーザデバイスと第１の（ホーム）ネットワークとの間で（例えば、ＡＫＡプロシージャの一部として）以前に確立されているであろう。その後、ユーザデバイスが異なる第２のサービングネットワーク上で通信を確立したいと望むとき、ユーザデバイスは、第１の鍵およびユーザデバイス識別子ＵＩＤの少なくとも一部分に基づいて鍵識別子ＫｅｙＩＤを生成し得る６１０（図２の２３５）。ユーザデバイスは、第１の（ホーム）ネットワークがホームネットワークにおいて第１の鍵を識別することを可能にするためにホームネットワークに転送するための鍵識別子を第２のネットワークに転送し得る６２０（ステップ２４０）。ユーザデバイスは、第２のネットワークから鍵カウントＣＯＵＮＴを受信し得る６３０（図２の２６５）。鍵カウントは、第１の（ホーム）ネットワークから第２のネットワークに転送される第２の鍵Ｋ２に関連付けられているであろう。ユーザデバイスは、第１の鍵および受信された鍵カウントに基づいて第２の鍵を生成し、それによって、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立し得る６４０（図２の２７０）。
[0062] 図７は、１つまたは複数のユーザデバイスにサービスを提供するように構成された例示的なネットワークノード／デバイスのブロック図である。ネットワークノード／デバイス７００は、記憶デバイス／媒体７２０（例えば、メモリおよび／またはディスクドライブ）、ディスプレイ７３０、入力デバイス７４０（例えば、キーパッド、マイクロフォン、等）、および／または１つまたは複数のワイヤレスアンテナ７５０および／またはネットワークに結合された通信インターフェース／回路７４５に結合された処理回路７１０を備え得る。様々な例では、ネットワークノード／デバイス７００は、図２の第３のネットワーク２１５、第２のネットワーク２２０、および／または第１の／ホームネットワーク２３０であり得、並びに／あるいはこれらのネットワークによって行われる１つまたは複数の機能を行うように構成され得る。例えば、ネットワークノード／デバイス７００は、複数の登録を行い、１つまたは複数のユーザデバイスのための複数のセキュリティコンテキストを確立するように構成され得る。
[0063] 図８は、一態様に係る、別のセキュリティコンテキストを確立するために鍵カウントを提供することおよび第１の鍵を識別することで効率的なセキュリティコンテキスト生成を容易にするための、第１の（ホーム）ネットワーク上で動作可能な例示的な方法８００のフロー図である。この方法８００は、例えば、ホームネットワークノード／デバイス（図２の２３０）によって行われ得る。鍵識別子ＫｅｙＩＤが受信され得８１０、ここにおいて、鍵識別子は、第１の鍵Ｋ１および第２のネットワークのネットワーク識別子／名ＳＮ−Ｂに基づく。第１の鍵は、鍵識別子および第２のネットワークのネットワーク識別子／名に基づいて識別され得る８２０。すなわち、ホームネットワークノード／デバイスは、第１の鍵が送信側ユーザデバイスによって以前に確立されているが、異なるサービングネットワークのためのものであることを確かめ得る。次いで、第１の鍵および鍵カウントＣＯＵＮＴに基づいて、第２の鍵Ｋ２が生成される８３０。次いで、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立するために、第２の鍵および鍵カウントが第２のネットワークに転送される８４０。
[0064] 再び図７を参照すると、別の態様は、ネットワークノード／デバイス７００によって実施され得、それは、鍵識別子ＫｅｙＩＤを受信するための手段（例えば、処理回路７１０および／または通信インターフェース／回路７４５）と、ここにおいて、鍵識別子は、第１の鍵Ｋ１および第２のネットワークのネットワーク識別子／名ＳＮ−Ｂに基づく、鍵識別子および第２のネットワークのネットワーク識別子／名に基づいて第１の鍵を識別するための手段（例えば、処理回路７１０）と、第１の鍵および鍵カウントＣＯＵＮＴに基づいて第２の鍵Ｋ２を生成するための手段（例えば、処理回路７１０）と、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立するために第２の鍵および鍵カウントを第２のネットワークに転送するための手段（例えば、処理回路７１０および／または通信インターフェース／回路７４５）とを備える。
[0065] 別の態様は、コンピュータ読取可能な媒体または記憶デバイス６２０中にあり得、それは、処理回路７１０に、鍵識別子ｋｅｙＩＤを受信させる（図２の２４５または図８の８１０）ためのコードと、ここにおいて、鍵識別子は、第１の鍵Ｋ１および第２のネットワークのネットワーク識別子／名ＳＮ−Ｂに基づく、処理回路７１０に、鍵識別子および第２のネットワークのネットワーク識別子／名に基づいて第１の鍵を識別させる（図２の２５０または図８の８２０）ためのコードと、処理回路７１０に、第１の鍵および鍵カウントＣＯＵＮＴに基づいて第２の鍵Ｋ２を生成させる（図２の２５５または図８の８３０）ためのコードと、処理回路７１０に、第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立するために第２の鍵および鍵カウントを第２のネットワークに転送させる（図２の２６０または図８の８４０）ためのコードとを備える。
[0066] 図９は、次世代ワイヤレスネットワークインフラストラクチャ（すなわち、５Ｇ）の例示的なネットワークアーキテクチャ９００を例示する。ユーザ機器（ＵＥ）９０２、例えば、図２のユーザデバイス／局２１０は、アクセスネットワーク（ＡＮ）または無線ＡＮ（（Ｒ）ＡＮ）９０４のいずれか並びにアクセスおよびモビリティ機能（ＡＭＦ）９０６に接続され得る。ＲＡＮ９０４は、例えば、発展型ＬＴＥを使用する基地局またはアクセスノードを表し得、ＡＮは、非３ＧＰＰアクセス、例えば、ＷｉーＦｉを含む一般的な基地局であり得る。コアネットワークは、一般に、ＡＭＦ９０６、セッション管理機能（ＳＭＦ）９０８、ポリシー制御機能（ＰＣＦ）９１０、アプリケーション機能（ＡＦ）９１２、認証サーバ機能（ＡＵＳＦ）９１４、ユーザプレーン機能（ＵＰＦ）９１６、ユーザデータ管理（ＵＤＭ）９１８、およびデータネットワーク接続（ＤＮ）９２０を含み得る。これに関する詳細は、３ＧＰＰ ＴＳ２３．５０１の「System Architecture for the 5G System」に記載されているであろう。コアネットワークコンポーネントおよび／または機能のうちの１つまたは複数は、例えば、サービングネットワーク２１５および／または２２０並びに／あるいはホームネットワーク２３０において実施され得る。
[0067] 当業者であれば、情報および信号が多種多様な技術および技法のうちの任意のものを使用して表され得ることを理解するであろう。例えば、上の説明全体にわたって参照され得るデータ、命令、コマンド、情報、信号、ビット、シンボル、およびチップは、電圧、電流、電磁波、磁場または磁性粒子、光場または光粒子、またはこれらの任意の組合せによって表され得る。
[0068] 当業者であれば、本明細書で開示された実施形態に関連して説明された実例となる様々な論理ブロック、モジュール、回路、およびアルゴリズムステップが、電子ハードウェア、コンピュータソフトウェア、または両方の組合せとして実施され得ることをさらに認識するであろう。このハードウェアとソフトウェアとの互換性を明確に例示するために、実例となる様々なコンポーネント、ブロック、モジュール、回路、およびステップが、概してそれらの機能性の観点から上で説明されている。このような機能性がハードウェアとして実施されるかソフトウェアとして実施されるかは、特定の用途とシステム全体に課せられる設計制約とに依存する。当業者は、説明した機能性を特定の用途ごとに様々な方法で実施し得るが、このような実現形態の決定は、本明細書の説明の範囲からの逸脱をさせるものとして解釈されるべきでない。
[0069] 本明細書に開示された実施形態に関連して説明された実例となる様々な論理ブロック、モジュール、回路は、汎用プロセッサ、デジタルシグナルプロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）または他のプログラマブル論理デバイス、ディスクリートゲートまたはトランジスタ論理、ディスクリートハードウェアコンポーネントまたは本明細書で説明された機能を行うよう設計されたそれらの任意の組合せで実施または行われ得る。汎用プロセッサは、マイクロプロセッサであり得るが、代替的に、プロセッサは、任意の従来のプロセッサ、コントローラ、マイクロコントローラ、またはステートマシンであり得る。プロセッサはまた、コンピューティングデバイスの組合せ、例えば、ＤＳＰと、１つのマイクロプロセッサ、複数のマイクロプロセッサ、ＤＳＰコアに連結した１つまたは複数のマイクロプロセッサ、または任意の他のそのような構成との組合せとして実施され得る。
[0070] 本明細書で開示された実施形態に関連して説明されたアルゴリズムまたは方法のステップは、直接ハードウェアで、プロセッサによって実行されるソフトウェアモジュールで、または両者の組合せで具現化され得る。ソフトウェアモジュールは、ＲＡＭメモリ、フラッシュメモリ、ＲＯＭメモリ、ＥＰＲＯＭメモリ、ＥＥＰＲＯＭ（登録商標）メモリ、レジスタ、ハードディスク、リムーバブルディスク、ＣＤ−ＲＯＭ、または当技術分野で知られている任意の他の形式の記憶媒体にあり得る。例示的な記憶媒体は、プロセッサが記憶媒体から情報を読み取り、記憶媒体に情報を書き込むことができるように、プロセッサに結合される。代替的に、記憶媒体は、プロセッサに一体化され得る。プロセッサおよび記憶媒体はＡＳＩＣ内にあり得る。ＡＳＩＣはユーザ端末内にあり得る。代替的に、プロセッサおよび記憶媒体は、ユーザ端末においてディスクリートコンポーネントとして存在し得る。
[0071] １つまたは複数の例示的な実施形態では、説明された機能は、ハードウェア、ソフトウェア、ファームウェアまたはそれらの任意の組合せで実施され得る。コンピュータプログラム製品としてソフトウェアにおいて実施される場合、これら機能は、１つまたは複数の命令またはコードとして、コンピュータ読取可能な媒体上に記憶されるかまたはコンピュータ読取可能な媒体を通して送信され得る。コンピュータ読取可能な媒体は、ある場所から別の場所へのコンピュータプログラムの転送を容易にする任意の媒体を含む通信媒体および非一時的なコンピュータ読取可能な記憶媒体の両方を含む。記憶媒体は、コンピュータによってアクセスされることができる任意の利用可能な媒体であり得る。限定ではなく例として、このようなコンピュータ読取可能な媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭまたは他の光ディスク記憶装置、磁気ディスク記憶装置または他の磁気記憶デバイス、あるいはデータ構造または命令の形式で所望のプログラムコードを記憶または搬送するために使用されることができかつコンピュータによってアクセスされることができる任意の他の媒体を備えることができる。また、いずれの接続も、厳密にはコンピュータ読取可能な媒体と称される。例えば、ソフトウェアが、ウェブサイト、サーバ、または他のリモートソースから、同軸ケーブル、光ファイバーケーブル、ツイストペア、デジタル加入者回線（ＤＳＬ）、または赤外線、電波、およびマイクロ波のようなワイヤレス技術を使用して送信される場合、同軸ケーブル、光ファイバーケーブル、ツイストペア、ＤＳＬ、または赤外線、電波、およびマイクロ波のようなワイヤレス技術は、媒体の定義に含まれる。本明細書で使用される場合、ディスク（disk）およびディスク（disc）は、コンパクトディスク（ＣＤ）、レーザーディスク（登録商標）、光ディスク、デジタル多用途ディスク（ＤＶＤ）、フロッピー（登録商標）ディスク、およびブルーレイディスクを含み、ここで、ディスク（disk）は、通常磁気的にデータを再生し、ディスク（disc）は、レーザーを用いて光学的にデータを再生する。上記の組合せもまた、コンピュータ読取可能な媒体の範囲内に含まれるべきである。
[0072] 開示された実施形態の先の説明は、当業者による本開示の製造または使用を可能にするために提供される。これらの実施形態に対する様々な修正は、当業者には容易に明らかであり、本明細書で定義された包括的な原理は、本開示の精神または範囲から逸脱することなく他の実施形態に適用され得る。ゆえに、本開示は、本明細書に示された実施形態に制限されるよう意図されるのではなく、本明細書で開示された原理および新規な特徴に合致する最も広い範囲が与えられるべきである。

Claims (30)

  1. 第１のネットワークと以前に確立された第１の鍵を有するユーザデバイスによって第２のネットワークとセキュリティコンテキストを確立するための方法であって、
    前記ユーザデバイスによって、前記第１の鍵に基づいて鍵識別子を生成することと、
    前記ユーザデバイスによって、前記第１のネットワークが前記第１の鍵を識別することを可能にするために前記第１のネットワークに転送するための前記鍵識別子を前記第２のネットワークに転送することと、
    前記ユーザデバイスによって、前記第２のネットワークから鍵カウントを受信することと、ここにおいて、前記鍵カウントは、前記第１のネットワークから前記第２のネットワークに転送される第２の鍵に関連付けられている、
    前記ユーザデバイスによって、前記第１の鍵および前記受信された鍵カウントに基づいて前記第２の鍵を生成し、それによって、前記第２のネットワークと前記ユーザデバイスとの間にセキュリティコンテキストを確立することと
    を備える方法。
  2. 前記鍵識別子は、前記第２のネットワークのためのネットワーク識別子にさらに基づく、請求項１に記載の方法。
  3. 前記ネットワーク識別子が、前記第２のネットワークのネットワーク名の少なくとも一部分にさらに基づく、請求項２に記載の方法。
  4. 前記ユーザデバイスは、前記ユーザデバイスが第３のネットワークを通して登録するとき、前記第１のネットワークと前記第１の鍵を確立する、請求項１に記載の方法。
  5. 前記第１の鍵は、前記第１のネットワークとの認証および鍵合意プロトコルの前記実行の一部として、前記ユーザデバイスと前記第１のネットワークとの間で確立される、請求項１に記載の方法。
  6. 前記ユーザデバイスと前記第２のネットワークとの間の通信を保護するための暗号鍵または完全性鍵のうちの少なくとも１つを生成するために、前記ユーザデバイスによって、前記第２の鍵を使用することと、
    をさらに備える、請求項１に記載の方法。
  7. 前記ユーザデバイスがモバイルデバイスであり、前記第１のネットワークが第１のパブリックランドモバイルネットワークであり、前記第２のネットワークが第２のパブリックランドモバイルネットワークである、請求項１に記載の方法。
  8. 前記第２のネットワークは、ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）アクセスネットワークを含む、請求項１に記載の方法。
  9. 前記第２のネットワークは、固定ブロードバンドアクセスネットワークを含む、請求項１に記載の方法。
  10. 前記鍵識別子を生成することは、ユーザデバイス識別子の少なくとも一部分にさらに基づく、請求項１に記載の方法。
  11. 前記鍵識別子を生成することは、関数呼出し値にさらに基づく、請求項１に記載の方法。
  12. 前記第１の鍵は、前記第２のネットワークに知られていない、請求項１に記載の方法。
  13. 前記第１の鍵は、少なくとも２つの異なるサービングネットワークと複数のセキュリティコンテキストを確立するための基礎として利用される、請求項１に記載の方法。
  14. 前記ユーザデバイスは、前記第２のネットワークを通して登録するとき、前記第１のネットワークとの認証および鍵合意プロトコルの実行をバイパスする、請求項１に記載の方法。
  15. 第２のネットワークとセキュリティコンテキストを確立するためのユーザデバイスであって、
    １つまたは複数のネットワークと通信するための通信インターフェースと、
    前記通信インターフェースに結合された処理回路と
    を備え、前記処理回路は、
    前記ユーザデバイスと第１のネットワークとの間で以前に確立された第１の鍵に基づいて鍵識別子を生成することと、
    前記第１のネットワークが前記第１の鍵を識別することを可能にするために前記第１のネットワークに転送するための前記鍵識別子を前記第２のネットワークに転送することと、
    前記第２のネットワークから鍵カウントを受信することと、ここにおいて、前記鍵カウントは、前記第１のネットワークから前記第２のネットワークに転送される第２の鍵に関連付けられている、
    前記第１の鍵および前記受信された鍵カウントに基づいて前記第２の鍵を生成し、それによって、前記第２のネットワークと前記ユーザデバイスとの間にセキュリティコンテキストを確立することと
    を行うように構成される、ユーザデバイス。
  16. 前記鍵識別子は、前記第２のネットワークのためのネットワーク識別子にさらに基づく、請求項１５に記載のユーザデバイス。
  17. 前記ユーザデバイスは、前記ユーザデバイスが第３のネットワークを通して登録するとき、前記第１のネットワークと前記第１の鍵を確立する、請求項１５に記載のユーザデバイス。
  18. 前記第１の鍵は、前記第１のネットワークとの認証および鍵合意プロトコルの前記実行の一部として、前記ユーザデバイスと前記第１のネットワークとの間で確立される、請求項１５に記載のユーザデバイス。
  19. 前記ユーザデバイスは、前記第２のネットワークを通して登録するとき、前記第１のネットワークとの認証および鍵合意プロトコルの実行をバイパスする、請求項１７に記載のユーザデバイス。
  20. 前記第１の鍵は、少なくとも２つの異なるサービングネットワークと複数のセキュリティコンテキストを確立するための基礎として利用される、請求項１５に記載のユーザデバイス。
  21. 第１のネットワークによって、鍵識別子を受信することと、ここにおいて、前記鍵識別子は、第１の鍵および第２のネットワークのネットワーク識別子に基づく、
    前記第１のネットワークによって、前記鍵識別子および前記第２のネットワークの前記ネットワーク識別子に基づいて前記第１の鍵を識別することと、
    前記第１のネットワークによって、前記第１の鍵および鍵カウントに基づいて第２の鍵を生成することと、
    前記第１のネットワークによって、前記第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立するために前記第２の鍵および前記鍵カウントを前記第２のネットワークに転送することと
    を備える方法。
  22. 前記第１の鍵は、前記第１のネットワークとの認証および鍵合意プロトコルの前記実行の一部として、前記ユーザデバイスと前記第１のネットワークとの間で確立される、請求項２１に記載の方法。
  23. 前記ユーザデバイスが前記第２のネットワークを通して登録するとき、前記第１のネットワークとの別の認証および鍵合意プロトコルの実行がバイパスされる、請求項２２に記載のユーザデバイス。
  24. 前記第１の鍵は、前記ユーザデバイスが第３のネットワークを通して登録したときに前記ユーザデバイスによって事前に確立されている、請求項２１に記載の方法。
  25. 前記第１の鍵は、前記第２のネットワークに知られていない、請求項２１に記載の方法。
  26. 前記第１の鍵は、少なくとも２つの異なるサービングネットワークと複数のセキュリティコンテキストを確立するための基礎として利用される、請求項２１に記載の方法。
  27. 他のネットワークと通信するための通信インターフェースと、
    前記通信インターフェースに結合された処理回路と
    を備え、前記処理回路は、
    鍵識別子を受信することと、ここにおいて、前記鍵識別子は、第１の鍵および第２のネットワークのネットワーク識別子に基づく、
    前記鍵識別子および前記第２のネットワークの前記ネットワーク識別子に基づいて前記第１の鍵を識別することと、
    前記第１の鍵および鍵カウントに基づいて第２の鍵を生成することと、
    前記第２のネットワークとユーザデバイスとの間にセキュリティコンテキストを確立するために前記第２の鍵および前記鍵カウントを前記第２のネットワークに転送することと
    を行うように構成される、
    第１のネットワークデバイス。
  28. 前記第１の鍵は、前記第１のネットワークとの認証および鍵合意プロトコルの前記実行の一部として、前記ユーザデバイスと前記第１のネットワークとの間で確立され、前記ユーザデバイスが前記第２のネットワークを通して登録するとき、前記第１のネットワークとの別の認証および鍵合意プロトコルの実行がバイパスされる、請求項２７に記載の第１のネットワークデバイス。
  29. 前記第１の鍵は、前記第２のネットワークに知られていない、請求項２７に記載の第１のネットワークデバイス。
  30. 前記第１の鍵は、少なくとも２つの異なるサービングネットワークと複数のセキュリティコンテキストを確立するための基礎として利用される、請求項２７に記載の第１のネットワークデバイス。
JP2020538542A 2018-01-12 2019-01-12 複数の登録のための方法および装置 Pending JP2021524167A (ja)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
US201862617271P 2018-01-12 2018-01-12
US16/246,349 US11553381B2 (en) 2018-01-12 2019-01-11 Method and apparatus for multiple registrations
US16/246,349 2019-01-11
PCT/US2019/013392 WO2019140337A1 (en) 2018-01-12 2019-01-12 Method and apparatus for multiple registrations

Publications (1)

Publication Number Publication Date
JP2021524167A true JP2021524167A (ja) 2021-09-09

Family

ID=67219894

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2020538542A Pending JP2021524167A (ja) 2018-01-12 2019-01-12 複数の登録のための方法および装置

Country Status (2)

Country Link
JP (1) JP2021524167A (ja)
WO (1) WO2019140337A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115104332A (zh) * 2020-02-20 2022-09-23 联想（新加坡）私人有限公司 重新认证密钥生成

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101931951B (zh) * 2009-06-26 2012-11-07 华为技术有限公司 密钥推演方法、设备及系统
WO2011137580A1 (en) * 2010-05-04 2011-11-10 Qualcomm Incorporated Shared circuit switched security context
EP3255914A4 (en) * 2015-02-28 2018-02-14 Huawei Technologies Co. Ltd. Key generation method, device and system

Also Published As

Publication number Publication date
WO2019140337A1 (en) 2019-07-18

Similar Documents

Publication Publication Date Title
US11553381B2 (en) Method and apparatus for multiple registrations
US11856621B2 (en) Station and method for receiving a frame comprising a configuration change counter corresponding to another access point
TWI388180B (zh) 通信系統中之金鑰產生
US10798082B2 (en) Network authentication triggering method and related device
RU2665064C1 (ru) Беспроводная связь, включающая в себя кадр обнаружения быстрого первоначального установления линии связи, fils, для сетевой сигнализации
JP2018532325A (ja) ユーザ機器ｕｅのアクセス方法、アクセスデバイス、およびアクセスシステム
WO2023280194A1 (zh) 网络连接管理方法、装置、可读介质、程序产品及电子设备
WO2013174267A1 (zh) 无线局域网络的安全建立方法及系统、设备
WO2022147803A1 (zh) 安全通信方法及设备
US20160134610A1 (en) Privacy during re-authentication of a wireless station with an authentication server
WO2022068474A1 (zh) ProSe通信组的通信方法、装置及存储介质
US20240089728A1 (en) Communication method and apparatus
JP2021524167A (ja) 複数の登録のための方法および装置
TW202306403A (zh) 用於使用使用者裝備識別符進行認證之方法、設備及電腦程式產品
US20230231708A1 (en) Method and apparatus for multiple registrations
US11546339B2 (en) Authenticating client devices to an enterprise network