JP2023547926A - サービス認証方法、通信装置、及びシステム - Google Patents

サービス認証方法、通信装置、及びシステム Download PDF

Info

Publication number
JP2023547926A
JP2023547926A JP2023526336A JP2023526336A JP2023547926A JP 2023547926 A JP2023547926 A JP 2023547926A JP 2023526336 A JP2023526336 A JP 2023526336A JP 2023526336 A JP2023526336 A JP 2023526336A JP 2023547926 A JP2023547926 A JP 2023547926A
Authority
JP
Japan
Prior art keywords
network
information
service
token
request
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2023526336A
Other languages
English (en)
Inventor
リー，フェイ
ジャーン，ボー
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Publication of JP2023547926A publication Critical patent/JP2023547926A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/2866—Architectures; Arrangements
    • H04L67/30—Profiles
    • H04L67/303—Terminal profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/51—Discovery or management thereof, e.g. service location protocol [SLP] or web services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/14—Backbone network devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/121—Timestamp
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/126—Anti-theft arrangements, e.g. protection against subscriber identity module [SIM] cloning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/61—Time-dependent

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本願は、サービス認証方法、通信装置、及びシステムを提供する。方法は、第１ネットワーク要素が第１トークン要求をネットワークリポジトリ機能ネットワーク要素へ送信することを含む。第１ネットワーク要素から第１トークン要求を受信した後、ネットワークリポジトリ機能ネットワーク要素は、第１トークン要求で運ばれたネットワーク機能サービスコンシューマエンティティの第１情報がネットワーク機能サービスコンシューマエンティティのアサーション内の証明書の第２情報と一致するかどうかを検証により決定することによって、ネットワーク機能サービスコンシューマエンティティの妥当性に関する検証を完了することができ、ネットワーク機能サービスコンシューマエンティティの妥当性を検証するためにネットワーク機能サービスコンシューマエンティティのプロファイルに依存しない。従って、プロファイルがネットワークリポジトリ機能ネットワーク要素で保持されていないネットワーク機能サービスコンシューマエンティティの場合にも、ネットワークリポジトリ機能ネットワーク要素は、ネットワーク機能サービスコンシューマエンティティのパラメータの妥当性を検証することができるので、ネットワーク機能サービスを使用する安全性は有効に改善される。

Description

本願は、通信技術の分野に、特に、サービス認証方法、通信装置、及びシステムに関係がある。
第３世代パートナーシッププロジェクト（3rd generation partnership project，３ＧＰＰ）は、第５世代（the 5th Generation，５Ｇ）移動体通信システムでサービスベースのアーキテクチャ（service-based architecture，ＳＢＡ）及びサービスベースのアーキテクチャのエンハンスメント（enhancement of service-based architecture，ｅＳＢＡ）を使用することを提案している。
ＳＢＡ又はｅＳＢＡでは、全てのネットワーク機能（network functions，ＮＦ）がトランスポートレイヤセキュリティ（transport layer security，ＴＬＳ）プロトコルに対応している。ネットワーク機能サービスプロバイダ（network function service provider，ＮＦｐ）エンティティは、許可されたネットワーク機能サービスコンシューマ（network function service consumer，ＮＦｃ）エンティティがネットワーク機能サービスプロバイダエンティティのサービスにアクセスすることを許す。ネットワークリポジトリ機能（network repository function，ＮＲＦ）ネットワーク要素が、ＮＦの管理、発見、及び承認などのサービスを提供する。
認証プロセスは、ＮＦｃエンティティがＮＲＦネットワーク要素に認証を求めて、ＮＦｃエンティティが要求したいサービスに対応するトークンを得ることを要求ことと、ＮＲＦネットワーク要素がＮＦｃエンティティの証明書に基づいてトークンを生成し、トークンをＮＦｃエンティティへ送ることと、トークンを得た後、ＮＦｃが、トークンに基づいて、サービスを有するＮＦｐエンティティにサービスを要求することができることとを含む。
上記の認証プロセスでは、ＮＦｃエンティティからトークン要求を受け取ると、ＮＲＦネットワーク要素は、一般的に、ＮＦｃエンティティのローカルに記憶されたプロファイル（profile）に基づいて、トークン要求で運ばれたパラメータ（例えば、単一ネットワークスライス選択支援情報（single network slice selection assistance information，Ｓ－ＮＳＳＡＩ））を検証して、ＮＦｃエンティティがＮＲＦ認証を得るために悪意を持ってＮＦｃエンティティのパラメータを報告することを防ぐ。しかし、ＮＲＦは、ＮＦｃの一部のプロファイルを記憶していない。結果として、ＮＲＦは、ＮＦｃのパラメータを検証することができない。
本願の実施形態は、ＮＲＦがＮＦｃの一部を検証することができないという問題を解決して、ネットワーク信頼性及び安全性が有効に改善されるようにするために、サービス認証方法、通信装置、及びシステムを提供する。
第１の態様に従って、本願の実施形態はサービス認証方法を提供する。方法は、第１ネットワーク要素が第１トークン要求をネットワークリポジトリ機能ネットワーク要素へ送信することを含み、第１トークン要求は、ネットワーク機能サービスコンシューマエンティティの第１情報と、ネットワーク機能サービスコンシューマエンティティのアサーションとを含み、アサーションはネットワーク機能サービスコンシューマエンティティの証明書を含み、証明書はネットワーク機能サービスコンシューマエンティティの第２情報を含む。第１トークン要求を受信した後、ネットワークリポジトリ機能ネットワーク要素は、検証により、第１情報が第２情報と一致するかどうかを決定し、第１情報が第２情報と一致することを決定した後、トークンを生成し、トークンを第１ネットワーク要素へ送信する。第１ネットワーク要素はトークンを受信する。
上記の技術的解決法では、第１ネットワーク要素から第１トークン要求を受信した後、ネットワークリポジトリ機能ネットワーク要素は、第１トークンで運ばれたネットワーク機能サービスコンシューマエンティティの第１情報がネットワーク機能サービスコンシューマエンティティのアサーション内の証明書の第２情報と一致するかどうかを検証により決定することによって、ネットワーク機能サービスコンシューマエンティティの妥当性に対する検証を完了することができ、ネットワーク機能サービスコンシューマエンティティの妥当性を検証するためにネットワーク機能サービスコンシューマエンティティのプロファイルに依存しない。従って、ネットワークリポジトリ機能ネットワーク要素にプロファイルが保持されていないネットワーク機能サービスコンシューマエンティティの場合にも、ネットワークリポジトリ機能ネットワーク要素は、ネットワーク機能サービスコンシューマエンティティのパラメータの妥当性を検証することができ、それにより、ネットワーク機能サービスを使用する安全性は有効に改善される。
可能な設計において、第１情報は、次の、第１公衆地上移動体ネットワーク識別子、第１スタンドアロン非公衆ネットワーク識別子、第１単一ネットワークスライス選択支援情報識別子、第１ネットワーク機能インスタンス識別子、第２ネットワーク機能タイプ、第１ネットワーク機能セット、及び第１統一資源識別子、のうちの１つ以上を含む。第２情報は、次の、第２公衆地上移動体ネットワーク識別子、第２スタンドアロン非公衆ネットワーク識別子、第２単一ネットワークスライス選択支援情報識別子、第３ネットワーク機能インスタンス識別子、第２ネットワーク機能タイプ、第２ネットワーク機能セット、及び第２統一資源識別子、のうちの１つ以上を含む。
上記の技術的解決法では、第１情報及び第２情報は、１つ以上のネットワーク機能サービスコンシューマエンティティのパラメータ情報を含んでよく、それにより、技術的解決法の柔軟性及び信頼性は有効に改善される。
第１情報に含まれている情報は、第２情報に含まれている情報と一対一の対応にあることに留意すべきである。
例えば、第１情報が第１ネットワーク機能インスタンス識別子を含む場合に、第２情報は第２ネットワーク機能インスタンス識別子を含む。他の例として、第１情報が第１スタンドアロン非公衆ネットワーク識別子及び第１公衆地上移動体ネットワーク識別子を含む場合に、第２情報は第２スタンドアロン非公衆ネットワーク識別子及び第２公衆地上移動体ネットワーク識別子を含む。更なる他の例として、第１情報が第１公衆地上移動体ネットワーク識別子、第１スタンドアロン非公衆ネットワーク識別子、及び第１ネットワーク機能インスタンス識別子を含む場合に、第２情報は第２公衆地上移動体ネットワーク識別子、第２スタンドアロン非公衆ネットワーク識別子、及び第３ネットワーク機能インスタンス識別子を含む。
ネットワークリポジトリ機能ネットワーク要素が、検証により、第１情報が第２情報と一致するかどうかを決定する具体的な実施には複数通りあり、次の２つの実施を含むがそれらにに限られないことが理解されるべきである。
実施１：第１情報が第２情報と同じである場合に、ネットワークリポジトリ機能ネットワーク要素は、第１情報が第２情報と一致すると決定する。
例えば、第１情報が第１公衆地上移動体ネットワーク識別子であり、第２情報が第２公衆地上移動体ネットワーク識別子である場合に、第１公衆地上移動体ネットワーク識別子が第２公衆地上移動体ネットワーク識別子と同じあり、例えば、両方とも１であるならば、ネットワークリポジトリ機能ネットワーク要素は、第１情報が第２情報と一致すると決定する。
実施２：第１情報が第２情報のサブセットであると決定する場合に、ネットワークリポジトリ機能ネットワーク要素は、第１情報が第２情報と一致すると決定する。
例えば、第１情報が第１スタンドアロン非公衆ネットワーク識別子であり、第２情報がスタンドアロン非公衆ネットワーク識別子であり、第１スタンドアロン非公衆ネットワーク識別子が１であり、第２スタンドアロン非公衆ネットワーク識別子が｛１，２，４｝である場合に、第１スタンドアロン非公衆ネットワーク識別子は第２スタンドアロン非公衆ネットワーク識別子のサブセットであり、ネットワークリポジトリ機能ネットワーク要素は、第１情報が第２情報と一致すると決定する。
上記の技術的解決法では、ネットワークリポジトリ機能ネットワーク要素は、第１情報と第２情報との間の一致関係を複数の方法で検証することができ、それにより、本願のこの実施形態で提供される技術的解決法の柔軟性は更に改善される。
可能な設計において、トークンを受信した後、第１ネットワーク要素は更に、第１サービス要求をネットワーク機能サービスプロバイダエンティティへ送信してよく、第１サービス要求は、ネットワーク機能サービスコンシューマエンティティにサービスを提供することをネットワーク機能サービスプロバイダエンティティに要求するためのものであり、第１サービス要求はトークン及びアサーションを含み、トークンは第１ネットワーク機能インスタンス識別子を含み、アサーションは第２ネットワーク機能インスタンス識別子を更に含む。第１サービス要求を受信した後、ネットワーク機能サービスプロバイダエンティティは、検証により、第１ネットワーク機能インスタンス識別子が第２ネットワーク機能インスタンス識別子と同じであるかどうかを決定し、第１ネットワーク機能インスタンス識別子が第２ネットワーク機能インスタンス識別子と同じであると決定した後、ネットワーク機能サービスコンシューマエンティティにサービスを提供してよい。
上記の技術的解決法では、ネットワーク機能サービスプロバイダエンティティは、サービス要求で運ばれたトークン内のネットワーク機能インスタンス識別子及びアサーションで運ばれたネットワーク機能インスタンス識別子を検証する。これにより、サービス要求に含まれるトークン及びアサーションの間の一致が確かにされ、攻撃者が違法にトークンを盗み、更には違法にネットワーク機能サービスを取得することが回避される。従って、ネットワーク機能サービスを使用する安全性は有効に改善される。
第１ネットワーク要素はサービス通信プロキシネットワーク要素であってよく、あるいは、ネットワーク機能サービスコンシューマエンティティであってよいことが留意されるべきである。これは、本願のこの実施形態で特に制限されない。
可能な設計において、第１ネットワーク要素はサービス通信プロキシネットワーク要素であり、サービス通信プロキシネットワーク要素が第１トークン要求をネットワークリポジトリ機能ネットワーク要素へ送信する前に、サービス通信プロキシネットワーク要素は、ネットワーク機能サービスコンシューマエンティティから第２トークン要求又は第２サービス要求を更に受信してよく、第２トークン要求又は第２サービス要求は証明書を含む。次いで、サービス通信プロキシネットワーク要素は、証明書に関連する第１完全修飾ドメイン名ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得し、第１ＦＱＤＮが第３ネットワーク機能インスタンス識別子と一致することを決定する。
可能な設計において、第１ネットワーク要素はサービス通信プロキシネットワーク要素であり、トークンを受信した後、第１ネットワーク要素は更に、トークンをネットワーク機能サービスコンシューマエンティティへ送信し、ネットワーク機能サービスプロバイダエンティティから第１サービス要求を受信してよく、第１サービス要求は証明書を含む。次いで、サービス通信プロキシネットワーク要素は、証明書に関連する第１ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得し、第１ＦＱＤＮが第３ネットワーク機能インスタンス識別子と一致すると決定した後第１サービス要求をネットワーク機能サービスプロバイダエンティティへ送信する。
サービス通信プロキシネットワーク要素が、第１ＦＱＤＮが第３ネットワーク機能インスタンス識別子と一致することを決定する実施には複数通りあり、次の２つの実施を含むがそれらに限られない。
実施１：サービス通信プロキシネットワーク要素は、ネットワークリポジトリ機能ネットワーク要素からＦＱＤＮとネットワーク機能インスタンス識別子との間のバインディング関係を取得し、バインディング関係に基づいて、第１ＦＱＤＮが第３ネットワーク機能インスタンス識別子と一致するかどうかを決定する。
実施２：サービス通信プロキシネットワーク要素は、第１完全修飾ドメイン名ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子をネットワークリポジトリ機能ネットワーク要素へ送信し、ネットワークリポジトリ機能ネットワーク要素は、ネットワークリポジトリ機能ネットワーク要素によってローカルで記憶されているバインディング関係、又は証明書管理当局エンティティから取得されたバインディング関係に基づいて、第１ＦＱＤＮが第３ネットワーク機能インスタンス識別子と一致するかどうかを決定する。
上記の技術的解決法では、サービス要求をネットワーク機能サービスプロバイダエンティティへ送る前に、サービス通信プロキシネットワーク要素は、最初に、ネットワーク機能サービスコンシューマエンティティのアサーション内の証明書に関連するＦＱＤＮ及び第３ネットワーク機能インスタンス識別子の間の一致関係を検証し、検証が成功した後にのみ、サービス要求をネットワーク機能サービスプロバイダエンティティへ送信する。従って、攻撃者が違法にアサーションを盗み、更には違法にネットワーク機能サービスを取得する場合は回避することができ、それんひより、ネットワーク機能サービスを使用する安全性は有効に改善される。
可能な設計において、第１ネットワーク要素はネットワーク機能サービスコンシューマエンティティであり、第１ネットワーク要素が第１サービス要求をネットワーク機能サービスへ送信する具体的な実施は次の通りであってよい：ネットワーク機能サービスコンシューマエンティティは、第１サービス要求を、サービス通信プロキシネットワーク要素を使用することによってネットワーク機能サービスプロバイダエンティティへ送信し、第１サービス要求は証明書を含む。サービス通信プロキシネットワーク要素は、第１ネットワーク要素から第１サービス要求を受信し、第１サービス要求を受信した後、証明書に関連する第１完全修飾ドメイン名ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得し、第１ＦＱＤＮが第３ネットワーク機能インスタンス識別子と一致すると決定した後、第１サービス要求をネットワーク機能サービスプロバイダエンティティへ更に送信してよい。
上記の技術的解決法では、サービス要求をネットワーク機能サービスプロバイダエンティティへ送信する前、サービス通信プロキシネットワーク要素は、最初に、ネットワーク機能サービスコンシューマエンティティのアサーション内の証明書に関連する第１ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子の間の一致関係を検証し、検証が成功した後にのみ、サービス要求をネットワーク機能サービスプロバイダエンティティへ送信する。従って、攻撃者が違法にアサーションを盗み、更には違法にネットワーク機能サービスを取得する場合は回避することでき、それにより、ネットワーク機能サービスを使用する安全性は有効に改善される。
可能な設計において、第１トークン要求を受信した後、かつ、トークンを第１ネットワーク要素へ送信する前に、ネットワークリポジトリ機能ネットワーク要素は、証明書に関連する第１完全修飾ドメイン名ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得し、第１ＦＱＤＮが第３ネットワーク機能インスタンス識別子と一致すること及び第１情報が第２情報と一致することを決定してよい。
上記の技術的解決法では、トークンを第１ネットワーク要素へ返す前に、ネットワークリポジトリ機能ネットワーク要素は、最初に、ネットワーク機能サービスコンシューマエンティティのアサーション内の証明書に関連する第１ＦＱＤＮと第３ネットワーク機能インスタンス識別子、及びトークン要求内の第１情報と第２情報の間の一致関係を検証し、検証が成功した後にのみ、トークンを返す。サービス通信プロキシネットワーク要素は、トークンを受信した後にのみサービスを開始することができる。従って、攻撃者が違法にアサーションを盗み、更には違法にネットワーク機能サービスを取得する場合は回避することでき、それにより、ネットワーク機能サービスを使用する安全性は有効に改善される。
可能な設計において、第１トークン要求をネットワークリポジトリ機能ネットワーク要素へ送信する前、ネットワーク機能サービスコンシューマエンティティは、証明書申請要求を証明書管理当局エンティティへ更に送信してよく、証明書申請要求は証明書テンプレートを含み、証明書テンプレートは第１ＦＱＤＮ及び第２情報を含む。証明書申請要求を受信した後、証明書管理当局エンティティは、第１ＦＱＤＮ及び第２情報に基づいて証明書を生成し、証明書をネットワーク機能サービスコンシューマエンティティへ送信してよく、証明書は第１ＦＱＤＮを含む。
上記の技術的解決法では、ネットワーク機能サービスコンシューマエンティティは、第１ＦＱＤＮ及び第２情報を証明書申請要求に含めて、証明書がより豊かな情報を含むようにする。これは、証明書情報検証の信頼性を有効に高める。
可能な設計において、証明書管理当局エンティティは、証明書テンプレート内にある第１ＦＱＤＮ及び第２情報内の第３ネットワーク機能インスタンス識別子に基づいて、第１ＦＱＤＮと第３ネットワーク機能インスタンス識別子との間のバインディング関係を更に生成してよい。
上記の技術的解決法では、証明書管理当局エンティティが、第１ＦＱＤＮと第３ネットワーク機能インスタンス識別子との間のバインディング関係を生成する。これは、証明書検証の信頼性を更に改善し、攻撃者が違法にステートメントを盗み、更には違法にサービスを取得する場合を有効に回避する。
可能な設計において、ネットワーク機能サービスコンシューマエンティティから第１サービス要求を受信したか、又はネットワーク機能サービスプロバイダエンティティからサービス登録要求を受信した後、ネットワークリポジトリ機能ネットワーク要素は、証明書管理当局エンティティからバインディング関係を更に取得してよい。
上記の技術的解決法では、ネットワーク機能サービスコンシューマエンティティから第１サービス要求を受信したか、又はネットワーク機能サービスプロバイダエンティティからサービス登録要求を受信した後にのみ、ネットワークリポジトリ機能ネットワーク要素は、証明書管理当局エンティティからバインディング関係を取得し、バインディング関係をローカルで記憶する必要がなく、それにより、ネットワークリポジトリ機能ネットワーク要素の記憶資源は有効に削減される。
第２の態様に従って、サービス認証方法が提供される。方法は、ネットワークリポジトリ機能ネットワーク要素に適用されてよく、あるいは、ネットワークリポジトリ機能ネットワーク要素内のチップに適用されてもよい。例えば、方法は、ネットワークリポジトリ機能ネットワーク要素に適用されてよく、方法は、
第１ネットワーク要素から第１トークン要求を受信することであり、第１トークン要求は、ネットワーク機能サービスコンシューマエンティティの第１情報と、ネットワーク機能サービスコンシューマエンティティのアサーションとを含み、アサーションは、ネットワーク機能サービスコンシューマエンティティの証明書を含み、証明書は、前記ネットワーク機能サービスコンシューマエンティティの第２情報を含む、受信することと、
検証により、第１情報が第２情報と一致するかどうかを決定し、第１情報が第２情報と一致すると決定した後、トークンを生成し、トークンを第１ネットワーク要素へ送信することと
を含む。
可能な設計において、第１トークン要求を受信した後、かつ、トークンを第１ネットワーク要素へ送信する前、ネットワークリポジトリ機能ネットワーク要素は更に、証明書に関連する第１ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得し、第１ＦＱＤＮが第３ネットワーク機能インスタンス識別子と一致すること及び第１情報が第２情報と一致することを決定してよい。
可能な設計において、ネットワークリポジトリ機能ネットワーク要素が、検証により、第１情報が第２情報と一致するかどうかを決定する実施には複数通りあり、次の２つの実施を含むがそれらに限られない。
実施１：第１情報が第２情報と同じである場合に、第１情報が第２情報と一致する、と決定される。
実施２：第１情報が第２情報のサブセットである場合に、第１情報が第２情報と一致する、と決定される。
可能な設計において、ネットワーク機能サービスコンシューマエンティティから第１サービス要求を受信したか、又はネットワーク機能サービスプロバイダエンティティからサービス登録要求を受信した後、ネットワークリポジトリ機能ネットワーク要素は、証明書管理当局からＦＱＤＮとネットワーク機能インスタンス識別子との間のバインディング関係を取得してよい。
第３の態様に従って、サービス認証方法が提供される。方法は、第１ネットワーク要素に適用されてよく、あるいは、第１ネットワーク要素内のチップに適用されてもよい。例えば、方法は第１ネットワーク要素に適用されてよく、方法は、
第１トークン要求をネットワークリポジトリ機能ネットワーク要素へ送信することであり、第１トークン要求は、ネットワーク機能サービスコンシューマエンティティの第１情報と、ネットワーク機能サービスコンシューマエンティティのアサーションとを含み、アサーションは、ネットワーク機能サービスコンシューマエンティティの証明書を含み、証明書は、ネットワーク機能サービスコンシューマエンティティの第２情報を含む、ことと、
ネットワークリポジトリ機能ネットワーク要素からトークンを受信することと
を含む。
可能な設計において、トークンを受信した後、第１ネットワーク要素は、第１サービス要求をネットワーク機能サービスプロバイダエンティティへ更に送信してよく、第１サービス要求はトークン及びアサーションを含み、トークンは第１ネットワーク機能インスタンス識別子を含み、アサーションは第２ネットワーク機能インスタンス識別子を更に含み、第１サービス要求は、ネットワーク機能サービスコンシューマエンティティにサービスを提供することをネットワーク機能サービスプロバイダエンティティに要求するためのものである。
可能な設計において、第１ネットワーク要素はサービス通信プロキシネットワーク要素であり、第１トークン要求をネットワークリポジトリ機能ネットワーク要素へ送信する前に、方法は、ネットワーク機能サービスコンシューマエンティティから第２トークン要求又は第２サービス要求を受信することであり、第２トークン要求又は第２サービス要求は証明書を含む、ことと、証明書に関連する第１完全修飾ドメイン名ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得することと、第１ＦＱＤＮが第３ネットワーク機能インスタンス識別子と一致することを決定することとを更に含む。
可能な設計において、第１ネットワーク要素はネットワーク機能サービスコンシューマエンティティであり、トークンを受信した後、ネットワーク機能サービスコンシューマエンティティは、第１サービス要求を、サービス通信プロキシネットワーク要素を使用することによってネットワーク機能サービスプロバイダエンティティへ更に送信してよく、第１サービス要求は、ネットワーク機能サービスコンシューマエンティティにサービスを提供することをネットワーク機能サービスプロバイダエンティティに示す。
可能な設計において、第１ネットワーク要素がネットワーク機能サービスコンシューマエンティティである場合に、第１トークン要求をネットワーク記憶機能ネットワーク要素へ送信する前に、ネットワーク機能サービスコンシューマエンティティは、証明書申請要求を証明書管理当局へ更に送信してよく、証明書申請要求は証明書テンプレートを含み、証明書テンプレートは第１ＦＱＤＮ及び第２情報を含む。
第４の態様に従って、サービス認証方法が提供される。方法は、ネットワーク機能サービスプロバイダエンティティに適用され、あるいは、ネットワーク機能サービスプロバイダエンティティ内のチップに適用されてもよい。例えば、方法はネットワーク機能サービスプロバイダエンティティに適用されてよく、方法は、
第１ネットワーク要素から第１サービス要求を受信することであり、第１サービス要求はトークン及びアサーションを含み、トークンは第１ネットワーク機能インスタンス識別子を含み、アサーションは第２ネットワーク機能インスタンス識別子を含む、受信することと、
検証により、第１ネットワーク機能インスタンス識別子が第２ネットワーク機能インスタンス識別子と一致するかどうかを決定することと、
第１ネットワーク機能インスタンス識別子が第２ネットワーク機能インスタンス識別子と一致すると決定した後、ネットワーク機能サービスコンシューマエンティティにサービスを提供することと
を含む。
第５の態様に従って、通信装置が提供される。装置は、第２の態様又は第２の態様の可能な実施のうちのいずれか１つに係る方法を実行するよう構成されたモジュールを含む。
一例で、装置は、
第１ネットワーク要素から第１トークン要求を受信するよう構成されるトランシーバユニットであり、第１トークン要求は、ネットワーク機能サービスコンシューマエンティティの第１情報と、ネットワーク機能サービスコンシューマエンティティのアサーションとを含み、アサーションは、ネットワーク機能サービスコンシューマエンティティの証明書を含み、証明書は、ネットワーク機能サービスコンシューマエンティティの第２情報を含む、トランシーバユニットと、
検証により、第１情報が第２情報と一致するかどうかを決定し、第１情報が第２情報と一致すると決定した後、トークンを生成するよう構成される処理ユニットと
を含んでよく、トランシーバユニットは、トークンを第１ネットワーク要素へ送信するよう更に構成される。
可能な設計において、トランシーバユニットが第１トークン要求を受信した後、かつ、トランシーバユニットがトークンを第１ネットワーク要素へ送信する前、処理ユニットは、証明書に関連する第１ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得し、第１ＦＱＤＮが第３ネットワーク機能インスタンス識別子と一致すること及び第１情報が第２情報と一致することを決定するよう更に構成される。
可能な設計において、検証により、第１情報が第２情報と一致するかどうかを決定するよう構成される前に、処理ユニットは、第１情報が第２情報と同じである場合に、第１情報が第２情報と一致すると決定するか、あるいは、第１情報が第２情報のサブセットである場合に、第１情報が第２情報と一致すると決定するよう特に構成される。
第６の態様に従って、通信装置が提供される。装置は、第３の態様又は第３の態様の可能な実施のうちのいずれか１つに係る方法を実行するよう構成されたモジュールを含む。
一例で、装置は、
第１トークン要求を生成するよう構成される処理ユニットであり、第１トークン要求は、ネットワーク機能サービスコンシューマエンティティの第１情報と、ネットワーク機能サービスコンシューマエンティティのアサーションとを含み、アサーションは、ネットワーク機能サービスコンシューマエンティティの証明書を含み、証明書は、ネットワーク機能サービスコンシューマエンティティの第２情報を含む、処理ユニットと、
第１トークン要求をネットワークリポジトリ機能ネットワーク要素へ送信し、ネットワークリポジトリ機能ネットワーク要素からトークンを受信するよう構成されるトランシーバユニットと
を含んでよい。
可能な設計において、トークンを受信した後、トランシーバユニットは、第１サービス要求をネットワーク機能サービスプロバイダエンティティへ送信するよう更に構成され、第１サービス要求はトークン及びアサーションを含み、トークンは第１ネットワーク機能インスタンス識別子を含み、アサーションは第２ネットワーク機能インスタンス識別子を更に含み、第１サービス要求は、ネットワーク機能サービスコンシューマエンティティにサービスを提供することをネットワーク機能サービスプロバイダエンティティに要求するためのものである。
可能な設計において、第１ネットワーク要素はサービス通信プロキシネットワーク要素であり、第１トークン要求をネットワークリポジトリ機能ネットワーク要素へ送信する前に、トランシーバユニットは、ネットワーク機能サービスコンシューマエンティティから第２トークン要求又は第２サービス要求を受信するよう更に構成され、第２トークン要求又は第２サービス要求は証明書を含む。処理ユニットは、証明書に関連する第１完全修飾ドメイン名ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得し、第１ＦＱＤＮが第３ネットワーク機能インスタンス識別子と一致することを決定するよう更に構成される。
第７の態様に従って、通信装置が提供される。装置は、第４の態様又は第４の態様の可能な実施のうちのいずれか１つに係る方法を実行するよう構成されたモジュールを含む。
一例で、装置は、
第１ネットワーク要素から第１サービス要求を受信するよう構成されるトランシーバユニットであり、第１サービス要求はトークン及びアサーションを含み、トークンは第１ネットワーク機能インスタンス識別子を含み、アサーションは第２ネットワーク機能インスタンス識別子を含む、トランシーバユニットと、
検証により、第１ネットワーク機能インスタンス識別子が第２ネットワーク機能インスタンス識別子と一致するかどうかを決定し、第１ネットワーク機能インスタンス識別子が第２ネットワーク機能インスタンス識別子と一致すると決定した後、ネットワーク機能サービスコンシューマエンティティにサービスを提供するよう構成される処理ユニットと
を含んでよい。
第８の態様に従って、サービング認証システムが提供される。システムは、第５の態様又は第５の態様の可能な実施のうちのいずれか１つに係る通信装置と、第６の態様又は第６の態様の可能な実施のうちのいずれか１つに係る通信装置とを含む。
任意に、システムは、第７の態様に係る通信装置を更に含む。
第９の態様に従って、少なくとも１つのプロセッサと、少なくとも１つのプロセッサへ通信可能に接続されているメモリ及び通信インターフェースとを含む電子デバイスが提供される。メモリは、少なくとも１つのプロセッサが実行することができる命令を記憶し、少なくとも１つのプロセッサは、メモリに記憶されている命令を実行し、それにより、電子デバイスは、第２の態様又は第２の態様の可能な設計のうちのいずれか１つに係る方法、第３の態様又は第３の態様の可能な設計のうちのいずれか１つに係る方法、あるいは、第４の態様又は第４の態様の可能な実施のうちのいずれか１つに係る方法を実行する。
第１０の態様に従って、プログラム又は命令を含むコンピュータ可読記憶媒体が提供される。プログラム又は命令がコンピュータで実行されると、第２の態様又は第２の態様の可能な実施のうちのいずれか１つに係る方法、第３の態様又は第３の態様の可能な設計のうちのいずれか１つに係る方法、あるいは、第４の態様又は第４の態様の可能な実施のうちのいずれか１つに係る方法が実行される。
第１１の態様に従って、チップが提供される。チップはメモリへ結合され、メモリに記憶されているプログラム命令を読み出して実行するよう構成され、それにより、第２の態様又は第２の態様の可能な実施のうちのいずれか１つに係る方法、第３の態様又は第３の態様の可能な設計のうちのいずれか１つに係る方法、あるいは、第４の態様又は第４の態様の可能な実施のうちのいずれか１つに係る方法が実行される。
第１２の態様に従って、コンピュータプログラム命令が提供される。コンピュータプログラム命令がコンピュータで実行されると、第２の態様又は第２の態様の可能な実施のうちのいずれか１つに係る方法、第３の態様又は第３の態様の可能な設計のうちのいずれか１つに係る方法、あるいは、第４の態様又は第４の態様の可能な実施のうちのいずれか１つに係る方法が実行される。
第２の態様乃至第１２の態様のうちのいずれか１つの設計解決法によって達成することができる技術的効果については、第１の態様又は第１の態様の可能な設計のうちのいずれか１つに係る方法によって達成することができる技術的効果を参照されたい。詳細はここで再び記載されない。
本願の実施形態が適用される通信システムの構造の模式図である。 本願の実施形態が適用される具体的な通信システムの構造の模式図である。 本願の実施形態が適用されるアプリケーションシナリオの模式図である。 本願の実施形態が適用される他のアプリケーションシナリオの模式図である。 本願の実施形態が適用される他のアプリケーションシナリオの模式図である。 本願の実施形態に係るサービス認証方法の略フローチャートである。 サービス認証方法の略フローチャートである。 他のサービス認証方法の略フローチャートである。 本願の実施形態に係るサービス認証方法の略フローチャートである。 他のサービス認証方法の略フローチャートである。 本願の実施形態に係るサービス認証方法の略フローチャートである。 本願の実施形態に係るサービス認証方法の略フローチャートである。 本願の実施形態に係る証明書申請の略フローチャートである。 本願の実施形態に係る、ＮＲＦによってバインディング関係を取得する方法の略フローチャートである。 本願の実施形態に係るサービス認証方法のフローチャートである。 本願の実施形態に係るサービス認証方法のフローチャートである。 本願の実施形態に係る他のサービス認証方法のフローチャートである。 本願の実施形態に係るサービス認証方法のフローチャートである。 本願の実施形態に係る通信装置の構造の模式図である。 本願の実施形態に係る通信装置の構造の模式図である。 本願の実施形態に係る通信装置の構造の模式図である。 本願の実施形態に係る電子デバイスの構造の模式図である。
最初に、本願の実施形態でのいくつかの用語について、理解を容易にするために説明する。
（１）証明書（certificate）はデジタル証明書であり、認証局（certificate authority，ＣＡ）によってデジタル署名され、公開鍵所有者情報及び公開鍵を含むファイルである。証明書は、通信パーティ間の身元認証のためのものである。証明書は、一般的に、証明書バージョン番号（version）、シリアル番号（serial number）、証明アルゴリズム識別子（signature）、発行者名（issuer）、主体者公開鍵情報（subject public key info）、及び妥当性（validity）などの情報を含み、発行者識別子（issuer unique identifier）、主体者識別子（subject unique identifier）、及び他の拡張情報（extensions）も含んでよい。本願の実施形態は、ＮＦサービスコンシューマエンティティの証明書に関係がある。証明書はアプリケーションレイヤ証明書であってよく、トランスポートレイヤセキュリティ（transport layer security，ＴＬＳ）証明書であってよく、あるいは、アプリケーションレイヤ及びトランスポートレイヤによって共有されている証明書であってもよい。
（２）ネットワーク機能サービスコンシューマ（network function service consumer，ＮＦｃ）エンティティは、「ＮＦｃエンティティ」や略して「ＮＦｃ」と呼ばれ、具体的には、サービスベースのアーキテクチャにおける機能サービス、例えば、セッション管理機能（session management function，ＳＭＦ）ネットワーク要素、アクセス及びモビリティ管理機能（access and mobility management function，ＡＭＦ）ネットワーク要素、又は認証サーバ機能（Authentication Server Function，ＡＵＳＦ）ネットワーク要素を呼び出すことができるＮＦであってよい。
（３）ネットワーク機能サービスプロバイダ（network function service provider，ＮＦｐ）エンティティは、「ＮＦｐエンティティ」又は略して「ＮＦｐ」と呼ばれ、具体的には、サービスベースのアーキテクチャで呼び出され得る機能サービス、例えば、ＳＭＦネットワーク要素、ＡＵＳＦネットワーク要素、又は統合データ管理（unified data management，ＵＤＭ）ネットワーク要素を有するＮＦであってよい。
（４）ネットワークリポジトリ機能（network repository function，ＮＲＦ）ネットワーク要素は、「ＮＲＦネットワーク要素」又は略して「ＮＲＦ」と呼ばれ、ネットワーク機能及びサービスのオンデマンド設定及びＮＦ間の相互接続を実装するように、具体的にＮＦサービス登録、発見、ステータス監視、サービス認証、などを含むＮＦ自動管理、選択、及び拡張に関与するよう構成される。例えば、ＮＲＦは、トークン生成及びトークン検証などの機能を有する。
（５）サービス通信プロキシ（service communication proxy，ＳＣＰ）ネットワーク要素は、「ＳＣＰネットワーク要素」又は略して「ＳＣＰ」と呼ばれ、ＮＦ間の間接的な通信のためのものであってよく、負荷平衡及びＮＦ選択を実施するよう更に構成されてよく、ＮＦ登録、発見、及びサービス認証などの機能を更に有してもよい。
いくつかの可能な実施形態で、用語「ネットワーク要素」は、「エンティティ」、「デバイス」などと置換されることがある。例えば、「ＡＭＦネットワーク要素」は「ＡＭＦエンティティ」又は「ＡＭＦデバイス」とも記述されることがあり、「ＳＭＦネットワーク要素」は「ＳＭＦエンティティ」又は「ＳＭＦデバイス」とも記述されることがある。記載を容易にするために、「ＸＸＸネットワーク要素」は、以下で、「ＸＸＸ」と一律に省略される。例えば、「ＡＵＳＦネットワーク要素」は「ＡＵＳＦ」と省略されてもよく、「ＳＭＦネットワーク要素」は「ＳＭＦ」と省略されてもよい。
本願中の用語で示される各ネットワーク要素は物理的な概念であり得る、ことが理解されるべきである。例えば、ネットワーク要素は、物理的に単一のデバイスであってよく、あるいは、少なくとも２つのネットワーク要素は、同じ物理的なデバイスに一体化されてもよい。代替的に、本明細書中に示されるネットワーク要素は、論理的な概念、例えば、各ネットワーク要素によって提供されるサービスに対応するソフトウェアモジュールまたはネットワーク機能であり得る。ネットワーク機能は、仮想実施におけるか総機能として理解されてよく、あるいは、サービスベースのアーキテクチャでサービスを提供するネットワーク機能として理解されてもよい。
本願の実施形態で、用語「少なくとも１つ」は１つ以上を示し、「複数の」は２つ以上を示す。用語「及び／又は」は、関連するオブジェクトについて記載するための関連付け関係を示し、３つの関係が存在する可能性があることを表す。例えば、Ａ及び／又はＢは、次の３つの場合：Ａのみ存在、ＡとＢの両方が存在、Ｂのみ存在を表す。Ａ及びＢは夫々単数又は複数であってよい。文字「／」は、一般的に、関連するオブジェクトの間の「論理和」関係を示す。次の項目（断片）又はその類似した表現のうちの少なくとも１つは、単数の項目（断片）又は複数の項目（断片）の任意の組み合わせを含む、これらの項目の任意の組み合わせを指す。例えば、ａ、ｂ、又はｃのうちの少なくとも１つは、ａ、ｂ、ｃ、ａとｂ、ａとｃ、ｂとｃ、又はａとｂとｃを表し得る。
加えて、別なふうに述べられない限り、本願の実施形態での「第１」及び「第２」などの序数は、複数のオブジェクトどうしを区別するためのものであり、複数のオブジェクトの順番、時間順序、優先度、又は重要性を制限する意図はない。例えば、第１優先基準及び第２優先基準は、単に、異なる基準どうしを区別するために使用され、２つの基準の異なる内容、優先度、重要性、などを示すものではない。
加えて、本願の実施形態、特許請求の範囲、及び添付の図面での用語「含む」及び「有する」は、排他的ではない。例えば、一連のステップ又はモジュールを含むプロセス、方法、システム、製品、又はデバイスは、挙げられているステップ又はモジュールに制限されず、挙げられていないステップ又はモジュールを更に含んでもよい。
本願の実施形態での技術的解決法は、様々な通信システム、例えば、第４世代（4th Generation，４Ｇ）通信システム、第５世代（5th Generation，５Ｇ）通信システム、他の将来の進化したシステム、又はラジオアクセス技術を使用する様々な他の無線通信システムに適用されてよい。本願の実施形態での技術的解決法は、サービス承認又は認証などの要件を有する任意の通信システムに適用されてよい。更に、本願の実施形態で使用されるネットワーク要素は、将来の通信システムでは異なる名称を有する場合がある。
例えば、図１は、本願の実施形態が適用される通信システムを示す。通信システムは、第１ネットワーク要素、ＮＲＦ、及びＮＦｐを含む。
第１ネットワーク要素はＮＦｃであってよい。ＮＦｃは、ＮＦｐのサービス認証をＮＲＦに要求し、例えば、ＮＦｐに対応するトークンを要求し、ＮＲＦから認証を得た後（例えば、トークンを取得した後）、ＮＦｐへのサービス要求を開始し得る。
第１ネットワーク要素は、代替的に、ＮＦｃへ通信可能に接続されているＳＣＰであってもよい。ＳＣＰは、ＮＦｃの機能の一部のためのプロキシとして機能するか、あるいは、ＮＦｃが方法を実行するためのプロキシとして機能し得る。例えば、ＳＣＰは、ＮＦｃのプロキシとして、ＮＦｐのサービス認証をＮＲＦに要求するか、あるいは、ＮＦｃのプロキシとして、ＮＦｐへのサービス要求を開始し得る。
実際の適用中、図１に示される通信システムは、より多くのネットワーク要素を更に含んでもよい。
例えば、図２は、本願の実施形態が適用される具体的な通信システムを示す。通信システムは、コアネットワーク（core network，ＣＮ）を含む。ベアラネットワークとして、ＣＮは、データネットワーク（data network）へのインターフェースを提供し、端末デバイスに通信接続、認証、管理、ポリシー制御、データサービスベアラ、などを提供する。ＣＮは、次のネットワーク要素：ＳＭＦネットワーク要素、ＡＭＦネットワーク要素、ＵＤＭネットワーク要素、ＡＵＳＦネットワーク要素、ポリシー制御機能（policy control function，ＰＣＦ）ネットワーク要素、ユーザプレーン機能（user plane function，ＵＰＦ）ネットワーク要素、ネットワークスライス選択機能（network slice selection function，ＮＳＳＦ）ネットワーク要素、ネットワーク露出機能（network exposure function，ＮＥＦ）ネットワーク要素、ＮＲＦ、アプリケーション機能（application function，ＡＦ）ネットワーク要素、などを含み得る。
ＣＮは１つ以上のＣＮデバイスを含んでもよい、ことが留意されるべきである。ＣＮデバイスは、上記の単一のネットワーク機能を実行するよう構成されたネットワーク要素であってよく、あるいは、上記の複数のネットワーク機能を実行するよう構成されたネットワーク要素であってもよい。１つのＣＮデバイスが複数のネットワーク機能を実行するよう構成される場合に、ＣＮデバイスは、複数のネットワーク機能を実行するよう構成された１つ以上の機能モジュールを含んでもよい。機能モジュールはソフトウェアモジュールであってよく、あるいは、ソフトウェア／ハードウェアモジュールであってもよい。これは、本願の実施形態で制限されない。
ＡＭＦ、ＳＭＦ、ＡＵＳＦ、ＵＤＭ、ＮＥＦ、ＰＣＦ、ＡＦ、ＮＳＳＦ、などは、サービスベースのインターフェースを使用することによって互いに相互作用し得る、ことが留意されるべきである。例えば、図１に示されるように、Ｎａｍｆ、Ｎｓｍｆ、Ｎａｕｓｆ、Ｎｕｄｍ、Ｎｎｅｆ、Ｎｐｃｆ、Ｎａｆ、Ｎｎｓｓｆ、及びＮｎｒｆは、夫々、ＡＭＦ、ＳＭＦ、ＡＵＳＦ、ＵＤＭ、ＮＥＦ、ＰＣＦ、ＡＦ、ＮＳＳＦ、及びＮＲＦによって提供されるサービスベースのインターフェースである。Ｎ１及びＮ２は、夫々、ＳＭＦとＵＰＦとの間のサービスベースのインターフェース、及びＵＰＦとＤＮＡとの間のサービスベースのインターフェースである。
図１の第１ネットワーク要素は、具体的に、図２のＳＣＰ、ＳＭＦ、ＡＭＦ、などであってよい。図１のＮＲＦは、具体的に、図２のＮＲＦであってよい。図１のＮＦｐは、具体的に、図２のＳＭＦ、ＤＵＭ、などであってよい。
図２は、単に、理解を容易にするための例の簡略化された模式図である、ことが理解されるべきである。通信システムは、より多くのネットワーク要素又はデバイスを更に含んでもよい。例えば、任意に、通信システムは端末デバイスを更に含む。任意に、通信システムはＲＡＮを更に含む。
端末デバイスは、端末とも呼ばれ、ユーザにボイス及び／又はデータコネクティビティを提供するデバイスを含んでよく、例えば、無線接続機能を備えたハンドヘルドデバイス、又は無線モデムへ接続された処理デバイスを含んでよい。端末デバイスは、ラジオアクセスネットワーク（radio access network，ＲＡＮ）を通じてコアネットワークと通信し、ボイス及び／又はデータをＲＡＮと交換し得る。端末デバイスは、ユーザ設備（user equipment，ＵＥ）、無線端末デバイス、移動体端末デバイス、デバイス間（device-to-device，Ｄ２Ｄ）通信端末デバイス、Ｖ２Ｘ端末デバイス、マシン間／マシンタイプ通信（machine-to-machine/machine-type communications，Ｍ２Ｍ／ＭＴＣ）端末デバイス、インターネット・オブ・シングス（internet of things，ＩｏＴ）端末デバイス、加入者ユニット（subscribe unit）、加入者局（subscriber station）、移動局（mobile station）、遠隔局（remote station）、アクセスポイント（access point，ＡＰ）、遠隔端末（remote terminal）、アクセス端末（access terminal）、ユーザ端末（user terminal）、ユーザエージェント（user agent）、ユーザデバイス（user device）、などであってよい。例えば、端末デバイスは、携帯電話（又は「セルラー」電話と呼ばれる）、移動体端末デバイスを備えたコンピュータ、又はポータブル、ポケットサイズ、ハンドヘルド、若しくはコンピュータ内蔵モバイル装置を含んでよい。例えば、端末デバイスは、パーソナル通信サービス（personal communication service，ＰＣＳ）電話、コードレス電話セット、セッション開始プロトコル（session initiation protocol，ＳＩＰ）電話、無線ローカルループ（wireless local loop，ＷＬＬ）局、又はパーソナルデジタルアシスタント（personal digital assistant，ＰＤＡ）などのデバイスであってよい。端末デバイスは、代替的に、制限されたデバイス、比較的に電力消費が低いデバイス、記憶能力が限られているデバイス、又は計算能力が限られているデバイスを含んでもよい。例えば、端末デバイスは、バーコード、無線周波数識別（radio frequency identification，ＲＦＩＤ）、センサ、グローバル・ポジショニング・システム（global positioning system，ＧＰＳ）、又はレーザスキャナなどの情報検知デバイスを含む。
限定ではなく一例として、本願の実施形態で、端末デバイスは、代替的に、ウェアラブルデバイスであってよい。ウェアラブルデバイスは、ウェアラブルインテリジェントデバイス、インテリジェントウェアラブルデバイス、などとも呼ばれることがあり、ウェアラブル技術を使用することによって日常着用にインテリジェントに設計及び開発されるウェアラブルデバイスの一般名称であり、例えば、メガネ、グループ、時計、衣服、及び靴などがある。ウェアラブルデバイスは、身体に直接身につけられるか又はユーザの衣服若しくはアクセサリに組み込むことができるポータブルデバイスである。ウェアラブルデバイスは、ハードウェアデバイスであるだけでなく、ソフトウェアサポート、データ交換、及びクラウドインタラクションを通じて強力な機能も実装する。広い意味で、ウェアラブルインテリジェントデバイスは、スマートフォンに依存しない機能の全て又は一部を実装することができるフル機能の大規模なデバイス、例えば、スマートウォッチ又はスマートグラスを含み、ただ１つのタイプのアプリケーション機能に専用であり、スマートフォンなどの他のデバイス、例えば、身体的な兆候を監視する様々なスマートバンド、スマートヘルメット、又はスマートジュエリなどと協働する必要があるデバイスを含む。
上述されている様々な端末デバイスが車内に位置する（例えば、車内に置かれるか又は車内に設置される）場合に、端末デバイスは全て車載端末デバイスと見なされてよい。例えば、車載端末デバイスは、オンボードユニット（on-board unit，ＯＢＵ）とも呼ばれる。
ＲＡＮは、ＵＥのアクセスに主に関与する。ＲＡＮは、通信システムのネットワーク側に位置し、無線トランシーバ機能を備えるデバイス、又はデバイスに配置することができるチップである。アクセスネットワークデバイスは、エボルブド・ノードＢ（evolved node B，ｅＮＢ）、ラジオネットワークコントローラ（radio network controller，ＲＮＣ）、ノードＢ（node B，ＮＢ）、基地局コントローラ（base station controller，ＢＳＣ）、ベーストランシーバ局（base transceiver station，ＢＴＳ）、ホーム基地局（例えば、ホーム・エボルブド・ノードＢ又はホーム・ノードＢ，ＨＮＢ）、ベースバンドユニット（base band unit，ＢＢＵ）、ワイヤレス・フィデリティ（wireless fidelity，Ｗｉ－Ｆｉ）システムのアクセスポイント（access point，ＡＰ）、無線中継ノード、無線バックホールノード、送受信ポイント（transmission and reception point，ＴＲＰ又はtransmission point，ＴＰ）などを含むがこれらに限られない。代替的にアクセスネットワークデバイスは、ニュー・ラジオ（new radio，ＮＲ）システムなどの５ＧシステムのｇＮＢ若しくは送信ポイント（ＴＲＰ若しくは又はＴＰ）、又は５Ｇシステムの基地局の１つのアンテナパネル若しくはアンテナパネルのグループ（複数のアンテナパネルを含む）であってよく、あるいは、ｇＮＢ又は送信ポイントを構成する、ベースバンドユニット（ＢＢＵ）又は分散ユニット（distributed unit，ＤＵ）などのネットワークノードであってもよい。
本願の実施形態は、ＮＦｃが、サービスベースのアーキテクチャ内の対応するＮＦｐにサービスを要求するために、ＮＲＦからトークンを取得するシナリオに適用されてよい。
図３Ａから図３Ｃは、本願の実施形態に係るいくつかの可能な具体的なアプリケーションシナリオを示す。
図３Ａに示されるように、ＳＣＰは、ＮＲＦに対して、ＮＦｃのプロキシとして、サービスをＮＦｐに要求するためのトークンを要求する。ＮＲＦは、対応するトークンを生成し、トークンを、ＳＣＰを通じてＮＦｃに返す。ＳＣＰは、ＮＦｃのプロキシとして、サービス要求をＮＦｐへ送信する。ＮＦｐはサービス要求を受信し、サービス応答を、ＳＣＰを通じてＮＦｃに返す。
図３Ｂに示されるように、ＮＦｃはサービス要求をＳＣＰへ送信し、それにより、ＳＣＰは、ＮＦｃのプロキシとして、ＮＲＦへのトークン要求を開始して、サービスをＮＦｐに要求するためのトークンを取得する。ＮＲＦは、対応するトークンを生成し、トークンをＳＣＰに返す。ＳＣＰは、ＮＦｃのプロキシとして、サービス要求をＮＦｐへ送信する。ＮＦｐはサービス要求を受信し、サービス応答を、ＳＣＰを通じてＮＦｃに返す。
図３Ｃに示されるように、ＮＦｃは、ＮＲＦに対して直接に、サービスをＮＦｐに要求するためのトークンを要求する。ＮＲＦは、対応するトークンを生成し、トークンをＮＦｃに返す。ＮＦｃのプロキシとして、ＳＣＰはサービス要求をＮＦｐへ送信する。ＮＦｐはサービス要求を受信し、サービス応答を、ＳＣＰを通じてＮＦｃに返す。
上記のいくつかのシナリオは、限定ではなく、単に例である、ことが理解されるべきである。
添付の図面を参照して、以下は、本願の実施形態で提供されるサービス認証方法について記載する。
ｅＳＢＡ又はＳＢＡで、ＮＦｃからトークン要求を受信した後、ＮＲＦは、一般的に、表１に示されるＮＦｃのプロファイルに基づいて、トークン要求で運ばれたパラメータを検証して、ＮＦｃがＮＲＦから認証を得るために悪意を持ってＮＦｃのパラメータを報告することを防ぐ。例えば、トークン要求で運ばれた単一ネットワークスライス選択支援情報（single-network slice selection assistance information，Ｓ－ＮＳＳＡＩ）が、ＮＦｃの妥当性を検証するために、検証される。しかし、ＮＲＦは、ＮＦｃの一部（例えば、ＮＲＦに登録されていないＮＦｃ）のプロファイルを保持していない。その結果、ＮＲＦは、それらのＮＦｃのパラメータを検証することができない。
Figure 2023547926000002
上記の技術的問題について、本願の実施形態はサービス認証方法を提供する。方法は、図１に示される通信システムに適用されてよい。
図４を参照されたい。方法は次のプロシージャを含む。
Ｓ４０１：第１ネットワーク要素は第１トークン要求をＮＲＦへ送信し、ＮＲＦは第１ネットワーク要素から第１トークン要求を受信する。
本願のこの実施形態の第１ネットワーク要素はＮＦｃであってよく、あるいは、ＳＣＰであってよい。これは、本願のこの実施形態で特に制限されない。
本願のこの実施形態のＮＦｃは、機能サービスを呼び出すことができる任意のネットワーク要素、例えば、図２のＳＭＦ又はＡＭＦであってよい。これはここで制限されない。
第１トークン要求は、ＮＦｃの第１情報と、ＮＦｃのアサーション（assertion）とを含む。アサーションはＮＦｃの証明書を含み、証明書は、ＮＦｃの第２情報を含む。
第１情報は、次の１つ以上を含み得る：
（１）第１公衆地上移動体ネットワーク識別子（public land mobile network identifier，ＰＬＭＮ－ＩＤ）；
（２）第１スタンドアロン非公衆ネットワーク識別子（stand-alone non-public network identifier，ＳＮＰＮ－ＩＤ）；
（４）第１単一ネットワークスライス選択支援情報（single-network slice selection assistance information identifier，Ｓ－ＮＳＳＡＩ ＩＤ）；
（４）第１ネットワーク機能インスタンス識別子（network function instance identifier，ＮＦインスタンスＩＤ）；
（５）第１ネットワーク機能タイプ（network function type，ＮＦタイプ）；
（６）第１ネットワーク機能セット（network function set，ＮＦセット）；及び
（７）第１統合資源識別子（universal resource locator，ＵＲＩ）。
第２情報は、次の１つ以上を含み得る：
（１）第２ＰＬＭＮ ＩＤ；
（２）第２ＳＮＰＮ ＩＤ；
（４）第２Ｓ－ＮＳＳＡＩ ＩＤ；
（４）第３ＮＦインスタンスＩＤ；
（５）第２ＮＦタイプ；
（６）第２ＮＦセット；及び
（７）第２ＵＲＩ。
第１ＰＬＭＮ ＩＤ及び第２ＰＬＭＮ ＩＤは両方とも、ＮＦｃのホームネットワーク及び／又は訪問ネットワークを識別するためのものである、ことが理解されるべきである。第１ＳＮＰＮ ＩＤ及び第２ＳＮＰＮ ＩＤは両方とも、ＮＦｃのホームネットワーク及び／又は方今ネットワークを識別するためのものである。第１Ｓ－ＮＳＳＡＩ ＩＤ及び第２Ｓ－ＮＳＳＡＩ ＩＤは両方とも、ＮＦｃのネットワークスライス情報を識別するためのものである。第１ＮＦインスタンスＩＤ及び第３ＮＦインスタンスＩＤは両方とも、ＮＦｃの特定のネットワーク要素を識別するためのものである。第１ＮＦタイプ及び第２ＮＦタイプは両方とも、ＮＦｐ又はＮＦｃによって提供されるサービスリストを識別するためのものである。第１ＵＲＩ及び第２ＵＲＩは両方とも、インターネットリソース名の文字列を識別するためのものである。
第１情報又は第２情報内の各情報は、識別子（identifier，ＩＤ）であってよく、あるいは、ＩＤリストであってよい。これは、本願のこの実施形態で特に制限されない。
第１情報の具体的な内容は、第２情報の具体的な内容に対応する、ことが理解され得る。
例えば、第１情報は第１ＳＮＰＮ ＩＤを含む場合に、第２情報は第２ＳＮＰＮ ＩＤを含む。他の例として、第１情報が第１ＳＮＰＮ ＩＤ及び第１ＰＬＭＮ ＩＤを含む場合に。第２情報は、第２ＳＮＰＮ ＩＤ及び第２ＰＬＭＮ ＩＤを含む。更なる他の例として、第１情報が第１ＳＮＰＮ ＩＤ、第１ＰＬＭＮ ＩＤ、及び第１ＮＦインスタンスＩＤを含む場合に、第２情報は第２ＳＮＰＮ ＩＤ、第２ＰＬＭＮ ＩＤ、及び第３ＮＦインスタンスＩＤを含む。
任意に、第２情報は、証明書の拡張（extensions）フィールドで運ばれる。
Ｓ４０２：ＮＲＦは、検証により、第１情報が第２情報と一致するかどうかを決定する。
具体的に、第１トークン要求を受信した後、ＮＲＦはＳ４０２を実行して、検証により、第１情報が第２情報と一致するかどうかを決定する。第１情報が第２情報と一致すると決定する場合に、ＮＲＦはＳ４０３ＡからＳ４０４を実行する。第１情報が第２情報と一致しないと決定する場合に、ＮＲＦはＳ４０３Ｂを実行して、トークン要求が失敗したことを示す応答情報を第１ネットワーク要素に返すか、又はＮＦｃからのトークン要求を拒絶する。
本願のこの実施形態で、ＮＲＦが、検証により、第１情報が第２情報と一致するかどうかを決定する具体的な実施は、次の２つのタイプを含むが限られない。
実施１：第１情報が第２情報と同じである場合に、ＮＲＦは、第１情報が第２情報と一致すると決定する。
例えば、第１情報が第１ＰＬＭＮ ＩＤであり、第２情報が第２ＰＬＭＮ ＩＤである場合に、第１ＰＬＭＮ ＩＤ及び第２ＰＬＭＮ ＩＤが同じであり、例えば、両方とも１であるならば、ＮＲＦは、第１情報が第２情報と一致すると決定する。
実施２：第１情報が第２情報のサブセットである場合に、ＮＲＦは、第１情報が第２情報と一致すると決定する。
例えば、第１情報が第１ＳＮＰＮ ＩＤであり、第２情報が第２ＳＮＰＮ ＩＤであり、第１ＳＮＰＮ ＩＤが１であり、第２ＳＮＰＮ ＩＤが｛１，２，４｝である場合に、第１ＳＮＰＮ ＩＤは第２ＳＮＰＮ ＩＤのサブセットであり、ＮＲＦは、第１情報が第２情報と一致すると決定する。
第１情報及び第２情報の両方が複数の情報を含む場合に、ＮＲＦが、第１情報が第２情報と一致すると決定することは、具体的に、ＮＲＦが、第１情報に含まれている情報が、一対一の対応で、第２情報に含まれている情報と一致する、と決定することを含む、ことが理解されるべきである。
例えば、第１情報が第１ＰＬＭＮ ＩＤ、第１ＳＮＰＮ ＩＤ、第１Ｓ－ＮＳＳＡＩ ＩＤ、及び第１ＮＦインスタンスＩＤを含み、第２情報が第２ＰＬＭＮ ＩＤ、第２ＳＮＰＮ ＩＤ、第２Ｓ－ＮＳＳＡＩ ＩＤ、及び第３ＮＦインスタンスＩＤを含む場合に、第１ＰＬＭＮ ＩＤが第２ＰＬＭＮ ＩＤと一致し、第１ＳＮＰＮ ＩＤが第２ＳＮＰＮ ＩＤと一致し、第１ＮＦインスタンスＩＤが第３ＮＦインスタンスＩＤと一致すると決定すると、ＮＲＦは、第１情報が第２情報と一致すると決定する。
Ｓ４０３Ａ：ＮＲＦはトークンを生成する。
可能な実施において、ＮＲＦは、トークン要求で運ばれた第１情報及びアサーションに含まれている証明書に基づいてトークンを生成してよい。具体的に言えば、生成されたトークンは、ＮＦｃの第１情報及びアサーションを運んでよく、それにより、他のネットワーク要素は、その後にトークンを使用するときに、トークン内の第１情報及び証明書に基づいて他の検証動作を実行し得る。
Ｓ４０３Ｂ：ＮＲＦは、不成功応答を第１ネットワーク要素に返し、第１ネットワーク要素は不成功応答を受信し、このとき、不成功応答は、トークン要求が失敗したことを示す。
Ｓ４０４：ＮＲＦはトークンを第１ネットワーク要素へ送信し、第１ネットワーク要素はトークンを受信する。
以上から分かるように、本願のこの実施形態ででは、第１情報はトークン要求で運ばれ、第２情報はＮＦｃの証明書で運ばれ、それにより、ＮＲＦは、第１情報と第２情報との間の一致関係を検証することによってＮＦｃの妥当性を検証することができ、ＮＦｃの妥当性を検証するためにＮＦｃのプロファイルに依存しない。従って、プロファイルがＮＲＦに記憶されていないＮＦｃの場合にも、ＮＲＦはＮＦｃのパラメータの妥当性を検証することができ、それにより、ＮＦサービスを使用する安全性は、本願のこの実施形態で有効に改善される。
図５は、サービス認証方法の模式図である。方法は、次のステップを含む。
Ｓ５０１：ＮＦｃ及びＮＲＦはサービスを発見する。
具体的に、ＮＦｃは、ＮＲＦへのサービス発見要求を開始する。ＮＲＦはサービス発見要求を受信し、対応するＮＦｐによって提供されるＮＦサービスに関する情報をＮＦｃに返す。
Ｓ５０２：ＮＦｃはトークン要求をＮＲＦへ送信し、ＮＲＦはトークン要求を受信する。
具体的に、トークン要求を受信した後、ＮＲＦはトークンを生成し、トークンをＮＦｃに返す。
Ｓ５０３：ＮＲＦはトークンをＮＦｃへ送信し、ＮＦｃはトークンを受信する。
具体的に、トークンを受信した後、ＮＦｃはＳ５０１を再び実行して、ＮＦｐによって提供されるサービスを発見し、次いでＳ５０４を実行する。
Ｓ５０４：ＮＦｃはサービス要求を、ＳＣＰを通じてＮＦｐへ送信し、ＮＦｐはサービス要求を、ＳＣＰを通じて受信し、このとき、サービス要求はトークン及びＮＦｃのアサーションを運ぶ。
Ｓ５０５：ＮＦｐはアサーション及びトークンを検証する。
具体的に、ＮＦｐがトークンを検証するプロセスは、検証により、トークンの標準パラメータ（例えば、妥当性又はＰＬＭＮ ＩＤ）が有効であるかどうかを決定することであってよい。ＮＦｐがアサーションを検証するプロセスは、検証により、アサーション内のＮＦインスタンスＩＤが、アサーションに含まれている証明書内のＮＦインスタンスＩＤと一致するかどうかを決定すること、又はアサーション内のタイムスタンプ（timestamp）、経過情報（expiration time）、期待される聴衆のネットワーク機能タイプ（network function type of the expected audience）、署名、などを検証することであってよい。ＮＦｐが、トークン内の標準パラメータが有効であり、アサーション内のＮＦインスタンスＩＤが、アサーションに含まれている証明書内のＮＦインスタンスＩＤと一致する、と決定する場合に、Ｓ５０６が実行される。
Ｓ５０６：ＮＦｐはサービス応答を、ＳＣＰを通じてＮＦｃに返し、ＮＦｃはサービス応答を、ＳＣＰを通じて受信する。
上記の方法では、ＮＦｃがトークン要求を直接ＮＲＦへ送信し、ＮＦｃがサービス要求を、ＳＣＰを通じてＮＦｐへ送信する場合に、ＮＦｃは更に、アサーションをサービス要求に含め、ＮＦｐは、検証により、アサーション内のＮＦインスタンスＩＤが、アサーションに含まれている証明書内のＮＦインスタンスＩＤと一致するかどうかのみを決定する。従って、トークン内のＮＦインスタンスＩＤがアサーション内のＮＦインスタンスＩＤと不一致であるとき、攻撃者がＮＦｃのトークンを違法に取得する場合に、攻撃者はＮＦサービスを違法に取得する可能性がある。
図６は、他のサービス認証方法の略フローチャートである。方法は、具体的に、次のステップを含む。
Ｓ６００：ＮＦｃ及びＮＲＦはサービスを発見する。
具体的に、Ｓ６００の具体的な実施は、Ｓ５０１の具体的な実施と似ている。Ｓ５０１の記載を参照されたい。詳細はここで再び記載されない。
Ｓ６０１：ＮＦｃはトークン要求を、ＳＣＰを通じてＮＲＦへ送信し、ＮＲＦはトークン要求を、ＳＣＰを通じて受信し、このとき、トークン要求はＮＦｃのアサーションを運ぶ。
Ｓ６０２：ＮＲＦはアサーションを検証する。
具体的に、ＮＲＦがアサーションを検証するプロセスは、検証により、アサーション内のＮＦインスタンスＩＤが、アサーションに含まれている証明書内のＮＦインスタンスＩＤと一致するかどうかを決定することであってよい。
Ｓ６０３：ＮＦｐはトークンを、ＳＣＰを通じてＮＦｃへ送信し、ＮＦｃはトークンを、ＳＣＰを通じて受信する。
Ｓ６０４：ＮＦｃはサービス要求を、ＳＣＰを通じてＮＦｐへ送信し、ＮＦｐはサービス要求を、ＳＣＰを通じて受信する。
Ｓ６０５：ＮＦｐはトークンを検証する。
具体的に、ＮＦｐがトークンを検証するプロセスは、トークンの標準パラメータ（例えば、妥当性又はＰＬＭＮ ＩＤ）を検証することであってよい。
Ｓ６０６：ＮＦｐはサービス応答を、ＳＣＰを通じてＮＦｃに返し、ＮＦｃはサービス応答を、ＳＣＰを通じて受信する。
上記の方法では、ＮＦｃがトークン要求を、ＳＣＰを通じてＮＲＦへ送信し、サービス要求を、ＳＣＰを通じてＮＦｃへ送信する場合に、ＮＦｃは、トークン要求及びサービス要求の両方にＮＦｃのアサーションを含め、ＮＲＦ及びＮＦｐの両方がアサーションを検証する。しかし、トークン内のＮＦインスタンスＩＤがアサーション内のＮＦインスタンスＩＤと不一致である場合は依然として存在する。その結果、攻撃者がＮＲＦから違法にトークンを取得し、更にはＮＦサービスを違法に取得する場合は、依然として存在する。
攻撃者がＮＦｃのトークンを違法に盗んでＮＦサービスを違法に取得する、という技術的問題を解決するために、本願の実施形態は、サービス認証方法を更に提供する。方法は、図１に示される通信システムに適用されてよい。図７を参照されたい。方法は次のステップを含む。
Ｓ７０１：第１ネットワーク要素はサービス要求をＮＦｐへ送信し、ＮＦｐはサービス要求を受信する。
サービス要求は、ＮＦｃにＮＦサービスを提供するようＮＦｐに要求するためのものである。サービス要求はトークン及びアサーションを含む。トークンは第１ＮＦインスタンスＩＤを含み、アサーションは第２ＮＦインスタンスＩＤを含む。
第１ネットワーク要素はＮＦｃ又はＳＣＰであってよい。これはここで制限されない。
本願のこの実施形態のＮＦｐは、呼び出すことができるＮＦサービスを有する任意のネットワーク要素、例えば、図２のＳＭＦ又はＵＤＭであってよい。これはここで制限されない。
Ｓ７０２：ＮＦｐは、検証により、アサーションがトークンと一致するかどうかを決定する。
具体的に、ＮＦｐが、検証により、アサーションがトークンと一致するかどうかを決定する具体的なプロセスは、ＮＦｐが、検証により、トークン内の第１ＮＦインスタンスＩＤがアサーション内の第２ＮＦインスタンスＩＤと同じであるかどうかを決定することであってよい。第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じであるとき、ＮＦｐは、アサーションがトークンと一致すると決定し、Ｓ７０３Ａを実行する。第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤとは異なると決定するとき、ＮＦｐは、アサーションがトークンと一致しないと決定し、Ｓ７０３Ｂを実行する。
例えば、第１ＮＦインスタンスＩＤが普遍的に一意の識別子（universally unique identifier，ＵＵＩＤ）であり、第２ＮＦインスタンスＩＤがＵＵＤＩである、と仮定したとき、ＮＦｐは、第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じであると決定し、つまり、アサーションがトークンと一致すると決定する。他の例として、第１ＮＦインスタンスＩＤは“＃＃＃１３４”であり、第２ＮＦインスタンスＩＤも“＃＃＃１３４”である場合に、ＮＦｐは、第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じであると決定し、つまり、アサーションがトークンと一致すると決定する。
Ｓ７０３Ａ：ＮＦｐはサービス応答を第１ネットワーク要素に返し、第１ネットワーク要素はサービス応答を受信する。
可能な実施において、第１ネットワーク要素はＳＣＰである。サービス応答を受信した後、ＳＣＰである。はサービス応答をＮＦｃへ送信する。サービス応答はＮＦｐのアサーションを運び、アサーションは第３ＮＦセットを含む。サービス応答を受信した後、ＮＦｃは、検証により、ＮＦｃによって要求されている第１ＮＦセットが第３ＮＦセットと一致するかどうかを決定する。第１ＮＦセットが第３ＮＦセットと一致する場合に、ＮＦｃは、対応するＮＦサービスにアクセスする。第１ＮＦセットが第３ＮＦセットと一致しない場合には、ＮＦｃは、ＮＦｐへのサービス要求を再開する。
他の可能な実施においては、第１ネットワーク要素はＮＦｃである。サービス応答はＮＦｐのアサーションを運び、アサーションは第３ＮＦセットを含む。サービス応答を受信した後、ＮＦｃは、検証により、ＮＦｃによって要求されている第１ＮＦセットが第３ＮＦセットと一致するかどうかを決定する。第１ＮＦセットが第３ＮＦセットと一致する場合に、ＮＦｃは、対応するＮＦサービスにアクセスする。第１ＮＦセットが第３ＮＦセットと一致しない場合には、ＮＦｃは、ＮＦｐへのサービス要求を再開する。
ＮＦｃが、検証により、第１ＮＦセットが第３ＮＦセットと一致するかどうかを決定するプロセスは、具体的に、第１ＮＦセットが第３ＮＦセットと同じであるかどうかを決定すること、又は共通集合が第１ＮＦセットと第３ＮＦセットとの間に存在するかどうかを決定することであってよい。例えば、第１ＮＦセットが１であり、第３ＮＦセットも１である場合に、ＮＦｃは、第１ＮＦセットが第３ＮＦセットと一致すると決定する。他の例として、第１ＮＦセットが｛２，３，５｝であり、第３ＮＦセットが｛１，２，４｝であり、第１ＮＦセットと第３ＮＦセットとの間に共通集合｛２｝がある場合に、ＮＦｃは、第１ＮＦセットが第３ＮＦセットと一致すると決定する。
Ｓ７０３Ｂ：ＮＦｐは不成功応答を第１ネットワーク要素に返し、第１ネットワーク要素は不成功応答を受信し、このとき、不成功応答は、第１ネットワーク要素のサービス要求が失敗したことを示す。
図７に示されるサービス認証方法では、ＮＦｐは、サービス要求で運ばれたトークン内のＮＦインスタンスＩＤと、アサーションで運ばれたＮＦインスタンスＩＤとを検証して、サービス要求内のトークンがアサーションと一致することを確かにし、攻撃者が違法にトークンを盗み、更には違法にＮＦサービスを取得する場合を回避する。従って、ＮＦサービスを使用する安全性は、本願のこの実施形態では有効に改善される。
図８は、他のサービス認証方法の略フローチャートである。図８は、ＮＦｃがサービス要求を、ＳＣＰを通じてＮＦｐへ送信し、サービス要求が、トークン要求をＮＲＦへ送信するようＳＣＰをトリガするシナリオを示す。方法は、具体的に、次のステップを含む。
Ｓ８００：ＮＦｃはサービス要求を、ＳＣＰを通じてＮＲＦへ送信し、ＮＲＦはサービス要求を、ＳＣＰを通じて受信する。
具体的に、ＮＦｃは、ＮＦｃのアサーションをサービス要求に含める。
Ｓ８０１：ＳＣＰ及びＮＲＦはサービスを発見する。
具体的に、ＳＣＰは、ＮＲＦへのサービス発見要求を開始し、ＮＲＦによって返された情報を受信し、情報に基づいて、登録されているＮＦｐによって提供されたＮＦサービスを決定し、Ｓ８０２を実行してトークン要求をＮＲＦへ送信する。
Ｓ８０２：ＳＣＰはトークン要求をＮＲＦへ送信し、ＮＲＦはトークン要求を受信する。
具体的に、ＳＣＰは、ＮＦｃのアサーションをトークン要求に含める。
Ｓ８０３：ＮＲＦはアサーションを検証する。
具体的に、トークン要求を受信した後、ＮＲＦは、トークン要求内のアサーションを検証する。検証が成功した後、ＮＲＦはトークンを生成し、Ｓ８０４を実行してトークンをＳＣＰへ送信する。検証が成功する場合に、ＮＲＦは、ＳＣＰに対して、トークン要求が失敗したことを示す応答情報を返す。
Ｓ８０４：ＮＲＦはトークンをＳＣＰへ送信し、ＳＣＰはトークンを受信する。
Ｓ８０５：ＳＣＰはサービス要求をＮＦｐへ送信し、ＮＦｐはサービス要求を受信し、このとき、サービス要求は、トークン及びＮＦｃのアサーションを運ぶ。
Ｓ８０６：ＮＦｐはトークン及びアサーションを検証する。
Ｓ８０６の具体的な実施は、Ｓ５０５の具体的な実施に似ている。Ｓ５０５の記載を参照されたい。詳細はここで再び記載されない。トークン及びアサーションの両方が成功裏に検証されると、ＮＦｐはＳ８０７を実行して、サービス応答を、ＳＣＰを通じてＮＦｃに返す。
Ｓ８０７：ＮＦｐはサービス応答を、ＳＣＰを通じてＮＦｃに返し、ＮＦｃはサービス応答を、ＳＣＰを通じて受信する。
図８に示されるサービス認証方法では、ＮＦｃがサービス要求を、ＳＣＰを通じてＮＦｐへ送信する場合に、ＮＦｃは、ＮＦｃのアサーションをサービス要求に含め、サービス要求は、トークン要求をＮＲＦへ送信するようＳＣＰをトリガする。ＳＣＰもアサーションをトークン要求に含める。トークンを取得した後、ＳＣＰは、ＮＦｃのプロキシとしてサービス要求を送信するときにアサーションをサービス要求にも含める。ＮＲＦ及びＮＦｐの両方が、ＮＦｃのアサーションを検証する。サービス要求プロセス全体がアサーションに依存する（例えば、アサーションが成功裏に検証されることは、トークンを生成するための必要条件である）。従って、攻撃者は、他のＮＦｃのアサーションを盗み、更には違法にＮＦサービスを取得する可能性がある。
攻撃者が違法にＮＦｃのアサーションを盗んで違法にＮＦサービスを取得する、という技術的問題を解決するために、本願の実施形態は、サービス認証方法を更に提供する。方法は、図１に示される通信システムに適用されてよい。図９を参照されたい。方法は次のステップを含む。
Ｓ９０１：ＳＣＰは、証明書に関連する第１完全修飾ドメイン名（fully qualified domain name，ＦＱＤＮ）及び第３ＮＦインスタンスＩＤを取得する。
本願のこの実施形態では、第１ＦＱＤＮは、ＮＦｃのトランスポートレイヤ証明書内のＦＱＤＮであってよく、第３ＮＦインスタンスＩＤは、ＮＦｃのアプリケーションレイヤ証明書内のＮＦインスタンスＩＤであってよい。代替的に、第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤは、ＮＦｃの共有証明書（例えば、トランスポートレイヤ及びアプリケーションレイヤによって共有されている証明書）内のＦＱＤＮ及びＮＦインスタンスＩＤであってよい。
Ｓ９０２：ＳＣＰは、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致することを決定する。
可能な実施において、ＳＣＰは、ＮＦｃからサービス要求を受信してよい。サービス要求は、ＮＦｃの証明書を含む。ＳＣＰはＳ９０１及びＳ９０２を実行して、証明書から、証明書に関連する第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤを取得する。ＳＣＰが、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致すると決定する場合に、ＳＣＰはＳ９０３を実行して、サービス要求をＮＦｐへ送信する。ＳＣＰが、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致しないと決定する場合には、ＳＣＰは、サービス要求が失敗したことを示すプロンプト情報をＮＦｃに返す。
他の可能な実施においては、ＳＣＰは、ＮＦｃからトークン要求を受信してよい。トークン要求は、ＮＦｃの証明書を含む。ＳＣＰはＳ９０１及びＳ９０２を実行して、証明書から、証明書に関連する第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤを取得する。ＳＣＰが、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致すると決定する場合に、ＳＣＰは、トークン要求をＮＲＦへ送信する。ＳＣＰが、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致しないと決定する場合には、ＳＣＰは、トークン要求が失敗したことを示すプロンプト情報をＮＦｃに返す。
可能な実施において、ＳＣＰは、ＦＱＤＮとＮＦインスタンスＩＤとの間のバインディング関係に基づいて、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致するかどうかを決定してもよい。
本願のこの実施形態では、ＳＣＰが、バインディング関係に基づいて、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致するかどうかを決定する実施が複数通りあり、次の３つの実施を含むがこれらに限られない。
実施１：ＳＣＰは、ＮＦｃのトランスポートレイヤ証明書から第１ＦＱＤＮを抽出し、バインディング関係クエリ要求をＮＲＦへ送信し、このとき、バインディング関係クエリ要求は第１ＦＱＤＮを運ぶ。ＳＣＰは、ＮＲＦによって返された対応するＮＦインスタンスＩＤを受信し、ＮＦインスタンスＩＤが、トークン要求で運ばれたアサーション内のアプリケーションレイヤ証明書内の第３ＮＦインスタンスＩＤと一致するかどうかを決定する。ＮＦインスタンスＩＤが第３ＮＦインスタンスＩＤと一致する場合に、ＳＣＰは、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致すると決定する。ＮＦインスタンスＩＤが第３ＮＦインスタンスＩＤと不一致である場合には、ＳＣＰは、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致しないと決定する。
実施２：ＳＣＰは、ＮＦｃのアサーション内のアプリケーションレイヤ証明書から第３ＮＦインスタンスＩＤを抽出し、バインディング関係クエリ要求をＮＲＦへ送信し、このとき、バインディング関係クエリ要求は第３ＮＦインスタンスＩＤを運ぶ。ＳＣＰは、ＮＲＦによって返された対応するＦＱＤＮを受信し、ＦＱＤＮが、ＮＦｃのトランスポートレイヤ証明書内の第１ＦＱＤＮと一致するかどうかを決定する。ＦＱＤＮが第１ＦＱＤＮと一致する場合に、ＳＣＰは、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致すると決定する。ＦＱＤＮが第１ＦＱＤＮと不一致である場合に、ＳＣＰは、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致しないと決定する。
実施３：ＳＣＰは、ＮＦｃのトランスポートレイヤ証明書から第１ＦＱＤＮを抽出し、ＮＦｃのアサーション内のアプリケーションレイヤ証明書から第３ＮＦインスタンスＩＤを抽出し、バインディング関係クエリ要求をＮＲＦへ送信し、このとき、バインディング関係クエリ要求は、第３ＮＦインスタンスＩＤ及び第１ＦＱＤＮを運ぶ。ＳＣＰは、ＮＲＦによって返された一致結果を受信し、一致結果は、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致するかどうかを直接示し得る。
任意に、バインディング関係は、認証局／登録局（certification authority/registration authority，ＣＡ／ＲＡ）エンティティからＳＣＰによって取得されてよい。代替的に、バインディング関係は、前もってＣＡ／ＲＡからＮＲＦによって取得され、ローカルで記憶され、それから、ＮＲＦからＳＣＰによって取得されてもよい。
Ｓ９０３：ＳＣＰはサービス要求をＮＦｐへ送信し、ＮＦｐはサービス要求を受信する。
具体的に、ＳＣＰは、ＮＦｃのアサーション及びトークンをサービス要求に含めてよい。サービス要求を受信した後、ＮＦｐは、検証により、アサーションがトークンと一致するかどうかを決定してよい。アサーションがトークンと一致すると決定するとき、ＮＦｐはＳ９０４を実行して、サービス応答をＳＣＰへ返す。アサーションがトークンと一致しないと決定すると、ＮＦｐはサービス要求を拒絶する。
Ｓ９０４：ＮＦｐはサービス応答をＳＣＰに返し、ＳＣＰはサービス応答を受信する。
具体的に、サービス応答を受信した後、ＳＣＰは更に、サービス応答をＮＦｃへ送信し、ＮＦｃはサービス応答を受信する。
図９に示されるサービス認証方法では、サービス要求をＮＦｐへ送信する前に、ＳＣＰは最初に、ＮＦｃのアサーションに含まれ証明書に関連するＦＱＤＮ及びＮＦインスタンスＩＤの間の一致関係を検証し、検証が成功した後にのみ、サービス要求をＮＦｐへ送信する。従って、攻撃者が違法にアサーションを盗み、更には違法にＮＦサービスを取得する場合は回避することができ、ＮＦサービスを使用する安全性は有効に改善され得る。
本願のこの実施形態ででは、バインディング関係が、代替的に、他のネットワーク要素によって検証されてもよい。例えば、第１ネットワーク要素からトークン要求を受信した後、ＮＲＦは、トークンを第１ネットワーク要素へ配信する前に、バインディング関係を検証してよい。詳細については、図１０を参照されたい。次のステップが含まれる。
Ｓ１００１：第１ネットワーク要素はトークン要求をＮＲＦへ送信し、ＮＲＦはトークン要求を受信し、このとき、トークン要求はＮＦｃのアサーションを運ぶ。
可能な実施において、第１ネットワーク要素はＳＣＰである。サービス要求又はトークン要求をＮＦｃから受信した後、ＳＣＰはトークン要求をＮＲＦへ送信する。
他の可能な実施においては、第１ネットワーク要素はＮＦｃである。ＮＦｃはトークン要求をＮＲＦへ直接送信する。
Ｓ１００２：ＮＲＦは、証明書に関連する第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤを取得する。
可能な実施において、トークン要求はＮＦｃのアサーションを運び、アサーションは、ＮＦｃのアプリケーションレイヤ証明書及びトランスポートレイヤ証明書を含む。ＮＲＦは、ＮＦｃのトランスポートレイヤ証明書からＦＱＤＮを抽出し、ＮＦｃのアプリケーションレイヤ証明書から第３ＮＦインスタンスＩＤを抽出してよい。
トランスポートレイヤ証明書は、トランスポートレイヤリンクが第１ネットワーク要素とＮＲＦとの間で確立されるときに、第１ネットワーク要素によってＮＲＦへ送信され得る、ことが理解されるべきである。
他の可能な実施においては、トークン要求はＮＦｃのアサーションを運び、アサーションは、ＮＦｃのアプリケーションレイヤ及びトランスポートレイヤの共有証明書を含む。ＮＲＦは、共有証明書から第１ＦＱＤＮ及び／又は第３ＮＦインスタンスＩＤを抽出してもよい。
Ｓ１００３：ＮＲＦは、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致することを決定する。
可能な実施において、第１ネットワーク要素からトークン要求を受信した後、ＮＲＦは、ＦＱＤＮとＮＦインスタンスＩＤとの間のローカルで記憶されているバインディング関係に基づいて、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致するかどうかを決定してよい。具体的に、ＮＲＦが、第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤが夫々、バインディング関係におけるＦＱＤＮ及びＮＦインスタンスＩＤと一対一に対応していることを決定する場合に、ＮＲＦは、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致すると決定し、トークンを生成し、Ｓ１００４を実行する。ＮＲＦが、第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤが夫々、バインディング関係におけるＦＱＤＮ及びＮＦインスタンスＩＤと一対一に対応していないことを決定する場合には、ＮＲＦは、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致しないと決定し、第１ネットワーク要素に対して、トークン要求が失敗したことを示す応答情報を返すか、あるいは、第１ネットワーク要素のトークン要求を拒絶する。
他の可能な実施においては、第１ネットワーク要素からトークン要求を受信した後、ＮＲＦは、ＣＡ／ＲＡからバインディング関係の関連パラメータ（ＦＱＤＮ及び／又はＮＦインスタンスＩＤ）を取得し、バインディング関係の関連パラメータに基づいて、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致するかどうかを決定してよい。ＮＲＦがＣＡ／ＲＡからバインディング関係の関連パラメータを取得する具体的な実施は、図１２に示される実施形態で詳細に記載される。
Ｓ１００４：ＮＲＦはトークンを第１ネットワーク要素に返し、第１ネットワーク要素はトークンを受信する。
可能な実施において、第１ネットワーク要素はＳＣＰである。トークンを受信した後、ＳＣＰはトークンをＮＦｃに転送する。
他の可能な実施においては、第１ネットワーク要素はＮＦｃであり、ＮＦｃはＮＲＦからトークンを受信する。
図１０に示されるサービス認証方法では、トークンを第１ネットワーク要素に返す前に、ＮＲＦは最初に、ＮＦｃのアサーションに含まれ証明書に関連するＦＱＤＮ及びＮＦインスタンスＩＤの間の一致関係を検証し、検証が成功した後にのみ、トークンを返す。ＮＦｃ又はＳＣＰは、トークンを受信した後にのみ、サービス要求を開始することができる。従って、攻撃者が違法にアサーションを盗み、更には違法にＮＦサービスを取得する場合は回避することができ、ＮＦサービスを使用する安全性は有効に改善され得る。
任意に、ＦＱＤＮとＮＦインスタンスＩＤとの間のバインディング関係は、ＮＦｃが証明書をＣＡ／ＲＡに申請する場合に、ＣＡ／ＲＡによって生成されてもよい。
以下は、証明書を申請する方法について記載する。
図１１は、証明書申請方法の模式図である。方法は次のステップを含む。
Ｓ１１０１：ＮＦｃは第１証明書申請要求をＣＡ／ＲＡへ送信し、ＣＡ／ＲＡは第１証明書申請要求を受信する。
具体的に、第１証明書申請要求は証明書テンプレートを含み、証明書テンプレートは第２情報を含む。第２情報は、第３ＮＦインスタンスＩＤ、第２ＰＬＭＮ ＩＤ、第２ＳＮＰＮ ＩＤ、第２Ｓ－ＮＳＳＡＩ ＩＤ、第２ＮＦタイプ、第２ＮＦセット、及び第２ＵＲＩなどの１つ以上の情報を含んでよい。第１証明書申請要求を受信した後、ＣＡ／ＲＡは、第２情報に基づいて第１証明書を生成してよい。
Ｓ１１０２：ＣＡ／ＲＡは、第２情報を運ぶ第２証明書を生成する。
第１証明書は、ＮＦｃのアプリケーションレイヤ証明書であってよい、ことが理解されるべきである。
Ｓ１１０３：ＣＡ／ＲＡは第１証明書をＮＦｃに返し、ＮＦｃは第１証明書を受信する。
Ｓ１１０４：ＮＦｃは第２証明書申請要求をＣＡ／ＲＡへ送信し、ＣＡ／ＲＡは第２証明書申請要求を受信する。
具体的に、第２証明書申請要求は証明書テンプレートを含み、証明書テンプレートは第１ＦＱＤＮを含む。第１証明書申請要求を受信した後、ＣＡ／ＲＡは、第１ＦＱＤＮに基づいて第２証明書を生成してよい。
Ｓ１１０５：ＣＡ／ＲＡは、第１ＦＱＤＮを運ぶ第２証明書を生成する。
第１証明書は、ＮＦｃのトランスポートレイヤ証明書であってよい、ことが理解されるべきである。
Ｓ１１０６：ＣＡ／ＲＡは第２証明書をＮＦｃに返し、ＮＦｃは第２証明書を受信する。
Ｓ１１０７：ＣＡ／ＲＡは、第２情報内の第３ＮＦインスタンスＩＤを第１ＦＱＤＮと結び付けて、第３ＮＦインスタンスＩＤと第１ＦＱＤＮとの間のバインディング関係を生成する。
任意に、第１証明書及び第２証明書は１つの証明書にまとめられてもよい。従って、ＮＦｃは、一度だけ証明書をＣＡ／ＲＡに申請しさえすればよい。ＮＦｃは、ＣＡ／ＲＡへ送られた証明書申請要求に、第１ＦＱＤＮ及び第２情報を含む証明書テンプレートを含めてよい。証明書申請要求を受信した後、ＣＡ／ＲＡは、証明書申請要求の証明書テンプレートに基づいて、第１ＦＱＤＮ及び第２情報を運ぶ証明書と、第３ＮＦインスタンスＩＤと第１ＦＱＤＮとの間のバインディング関係とを生成してよい。
以下は、ＮＲＦがバインディング関係を取得する方法について記載する。
図１２は、ＮＲＦがバインディング関係を取得する方法のフローチャートである。方法は次のステップを含む。
Ｓ１２０１：ＮＲＦはトリガイベントを検出する。
トリガイベントは、ＮＲＦがＮＦｐからＮＦサービス登録要求を受信すること、ＮＲＦがＮＦｃからサービス発見要求を受信すること、又はＮＲＦがＮＦｃからサービス要求を受信することであってよい。これは、本願のこの実施形態で特に制限されない。
Ｓ１２０２：ＮＲＦは、バインディング関係要求をＣＡ／ＲＡへ送信し、ＣＡ／ＲＡはバインディング関係要求を受信する。
可能な実施において、ＮＲＦは、バインディング関係要求で証明書を運ぶ。証明書は、ＮＦｃのトランスポートレイヤ証明書（第１ＦＱＤＮを含む証明書）、ＮＦｃのアプリケーションレイヤ証明書（第３ＮＦインスタンスＩＤを含む証明書）、又はＮＦｃのトランスポートレイヤ及びアプリケーションレイヤによって共有されている証明書（つまり、第１ＮＦインスタンスＩＤ及び第３ＦＱＤＮを含む証明書）であってよい。
他の可能な実施においては、ＮＲＦは、バインディング関係要求で証明書申請パラメータを運ぶ。パラメータは、ＮＦｃのトランスポートレイヤ証明書内の第１ＦＱＤＮ、ＮＦｃのアプリケーションレイヤ証明書内の第３ＮＦインスタンスＩＤ、又はＮＦｃのトランスポートレイヤ証明書内の第１ＦＱＤＮ及びアプリケーションレイヤ証明書内の第３ＮＦインスタンスＩＤであってよい。
Ｓ１２０３：ＣＡ／ＲＡは、バインディング関係要求に対応する応答結果を決定する。
本願のこの実施形態では、ＣＡ／ＲＡによって受信されたバインディング関係要求がＮＦｃのトランスポートレイヤ証明書を運ぶ場合に、ＣＡ／ＲＡは、応答結果がバインディング関係におけるアプリケーションレイヤ証明書であることを決定する。ＣＡ／ＲＡによって受信されたバインディング関係要求がＮＦｃのアプリケーションレイヤ証明書を運ぶ場合に、ＣＡ／ＲＡは、応答結果がバインディング関係におけるトランスポートレイヤ証明書であることを決定する。ＣＡ／ＲＡによって受信されたバインディング関係要求がＮＦｃのトランスポートレイヤ及びアプリケーションレイヤの共有証明書を運ぶ場合に、ＣＡ／ＲＡは、応答結果がＦＱＤＮ及びＮＦインスタンスＩＤの一致結果であることを決定する。
相応して、ＣＡ／ＲＡによって受信されたバインディング関係要求がＮＦｃのトランスポートレイヤ証明書内の第１ＦＱＤＮを運ぶ場合に、ＣＡ／ＲＡは、応答結果がバインディング関係におけるＮＦインスタンスＩＤであることを決定する。ＣＡ／ＲＡによって受信されたバインディング関係要求がＮＦｃのアプリケーションレイヤ証明書内の第３ＮＦインスタンスＩＤを運ぶ場合に、ＣＡ／ＲＡは、応答結果がバインディング関係におけるＦＱＤＮであることを決定する。ＣＡ／ＲＡによって受信されたバインディング関係要求がＮＦｃのトランスポートレイヤ及びアプリケーションレイヤの共有証明書内の第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤを運ぶ場合に、ＣＡ／ＲＡは、応答結果が第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤの一致結果であることを決定する。
Ｓ１２０４：ＣＡ／ＲＡは応答結果をＮＲＦに返し、ＮＲＦは応答結果を受信する。
具体的に、バインディング関係要求で運ばれたパラメータに基づいて、対応する応答結果を決定した後、ＣＡ／ＲＡは応答結果をＮＲＦに返す。
任意に、応答結果を受信した後、ＮＲＦは、応答結果に基づいて、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致するかどうかを決定し、このとき、第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤは、ＳＣＰからＮＲＦによって受信されたサービス要求で運ばれたＮＦｃのアサーションに含まれている証明書に関連し、そして、一致結果をＳＣＰへ送信してよい。
以上は、３つの技術的問題に対する対応する技術的解決法を別々に提供する、ことが理解されるべきである。実際の適用では、上記の実施は、異なる技術的解決法及び技術的効果を実施するよう互いに組み合わされてもよい。以下は、いくつかの具体例を使用することによって、詳細な説明を提供する。
例１：
図１３に示されるように、図４、図７、及び図９に示される技術的解決法を参照して、本願の実施形態はサービス認証方法を提供する。方法は、図３Ａに示されるアプリケーションシナリオに適用され、方法は次のステップを含む。
Ｓ１３０１：ＮＦｃはトークン要求をＳＣＰへ送信し、ＳＣＰはトークン要求を受信する。
例えば、ＮＦｃは、図２に示される通信システム内のＳＭＤ、ＡＭＦ、などであってよい。
トークン要求は、ＮＦｃのアサーション及び第１情報を運ぶ。アサーションはＮＦｃの証明書を含み、証明書はＮＦｃの第２情報を含む。第１情報及び第２情報の具体的な中身については、Ｓ４０１の関連する記載を参照されたい。詳細はここで再び記載されない。
Ｓ１３０２：ＳＣＰは、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致することを決定する。
第１ＦＱＤＮは、ＮＦｃのトランスポートレイヤ証明書内のＦＱＤＮであってよく、第３ＮＦインスタンスＩＤは、ＮＦｃのアプリケーションレイヤ証明書内のＮＦインスタンスＩＤであってよい。代替的に、第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤは、ＮＦｃのトランスポートレイヤ及びアプリケーションレイヤによって共有されている証明書内のＦＱＤＮ及びＮＦインスタンスＩＤであってよい。
具体的に、ＳＣＰは、ＦＱＤＮとＮＦインスタンスＩＤとの間のバインディング関係に基づいて、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致するかどうかを決定してよい。
ＳＣＰが、バインディング関係に基づいて、Ｓ１３０２で、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致することを決定する具体的な実施は、Ｓ９０２の具体的な実施に似ている、ことが理解され得る。詳細はここで再び記載されない。
任意に、Ｓ１３０２を実行した後、ＳＣＰは、ＦＱＤＮとＮＦインスタンスＩＤとの間のバインディング関係、又はバインディング関係における関連パラメータ（例えば、ＦＱＤＮ及びＮＦインスタンスＩＤ）をローカルで記憶してもよい。
Ｓ１３０３：ＳＣＰはトークン要求をＮＲＦへ送信し、ＮＲＦはトークン要求を受信する。
具体的に、トークン要求はアサーション及び第１情報を運び、アサーション内の証明書は第２情報を運び、第１情報は第１ＮＦインスタンスＩＤを含む。トークンを受信した後、かつ、トークンを生成する前に、ＮＲＦはＳ１３０４を実行して、第１情報が第２情報と一致するかどうかを決定する。第１情報が第２情報と一致すると決定すると、ＮＲＦは、証明書及び第１ＮＦインスタンスＩＤを運ぶトークンを生成し、Ｓ１３０５を実行して、トークンを、ＳＣＰを通じてＮＦｃに返す。第１情報が第２情報と一致しないと決定する場合には、ＮＲＦは、ＮＦｃに対してＳＣＰを通じて、トークン要求が失敗したことを示すプロンプト情報を返すか、あるいは、ＮＦｃのトークン要求を拒絶する。
Ｓ１３０４：ＮＲＦは、第１情報が第２情報と一致することを決定する。
ＮＲＦが、検証により、Ｓ１３０４で、第１情報が第２情報と一致するかどうかを決定する具体的な実施は、Ｓ４０２の具体的な実施に似ている、ことが理解され得る。詳細はここで再び記載されない。
Ｓ１３０５：ＮＲＦはトークンを、ＳＣＰを通じてＮＦｃへ送信し、ＮＦｃはトークンを、ＳＣＰを通じて受信する。
Ｓ１３０６：ＮＦｃはサービス要求をＳＣＰへ送信し、ＳＣＰはサービス要求を受信する。
具体的に、ＮＦｃは、ＮＦｃのアサーション及びトークンをサービス要求に含め、ＳＣＰは更にＳ１３０２を再度実行して、アサーション内の証明書に関連する第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤの間に一致があるかどうかを決定するか、あるいは、Ｓ１３０２で記憶されたバインディング関係又はバインディング関係における関連パラメータに基づいて、サービス要求に含まれている証明書に関連する第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤの間に一致があるかどうかを決定してよい。
Ｓ１３０７：ＳＣＰはサービス要求をＮＦｐへ送信し、ＮＦｐはサービス要求を受信する。
具体的に、サービス要求は、ＮＦｃのアサーション及びトークンを運び、トークンは第１ＮＦインスタンスＩＤを含み、アサーションは第２ＮＦインスタンスＩＤを含む。サービス要求を受信した後、ＮＦｐはＳ１３０８を実行する。
Ｓ１３０８：ＮＦｐは、第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じであるかどうかを決定する。
具体的に、ＮＦｐは、検証により、トークン内の第１ＮＦインスタンスＩＤがアサーション内の第２ＮＦインスタンスＩＤと同じであるかどうかを決定する。第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じである場合に、ＮＦｐはＳ１３０９を実行する。第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと異なる場合には、ＮＦｐは、ＮＦｃに対してＳＣＰを通じて、サービス要求が失敗したことを示す情報を返す。
ＮＦｐが、検証により、Ｓ１３０８で、第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じであるかどうかを決定する具体的な実施は、Ｓ７０２の具体的な実施に似ている、ことが理解され得る。詳細はここで再び記載されない。
Ｓ１３０９：ＮＦｐはサービス応答を、ＳＣＰを通じてＮＦｐに返し、ＮＦｐはサービス応答を、ＳＣＰを通じて受信する。
Ｓ１３０９の具体的な実施は、Ｓ７０３Ａの具体的な実施に似ている、ことが理解され得る。詳細はここで再び記載されない。
図１３に示される技術的解決法では、ＮＲＦは、トークン要求で運ばれるＮＦｃの第１情報及びＮＦｃのアサーションの証明書で運ばれた第２情報の間の一致関係を検証し、ＮＦｐは、サービス要求で運ばれるＮＦｃのトークン内の第１ＮＦインスタンスＩＤ及びアサーション内の第２ＮＦインスタンスＩＤの間の一致関係を検証し、ＳＣＰは、サービス要求で運ばれたＮＦの証明書に関連する第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤの間の一致関係を検証する。これは、攻撃者が違法にトークンを盗み、アサーションをねつ造し、更には違法にＮＦサービスを取得する場合を有効に回避する。更には、ＮＦｃの妥当性は、ＮＦｃのプロファイルを使用することによって検証により決定する必要がない。従って、ＮＲＦは、プロファイルがＮＲＦに保持されていないＮＦｃのパラメータの妥当性も検証することができる。従って、本願のこの実施形態では、ＮＦサービスを使用する安全性が有効に改善され得る。
例２：
例２と例１との間の違いは、例１では、トークン要求がＮＦｃによってＳＣＰを通じてＮＲＦに対して開始され、ＳＣＰを通じてＮＲＦによって返されたトークンを受信した後にのみ、ＮＦｃがサービス要求を開始する点にある。例２では、ＮＦｃは、ＳＣＰを通じてＮＲＦに直接にサービス要求を送信して、ＮＦｃのプロキシとしてＮＲＦへのトークン要求を開始するようＳＣＰをトリガする。
図１４に示されるように、図４、図７、及び図９に示される技術的解決法を参照して、本願の実施形態は、他のサービス認証方法を提供する。方法は、図３Ｂに示されるアプリケーションシナリオに適用されてよく、方法は次のステップを含む。
Ｓ１４０１：ＮＦｃは第１サービス要求をＳＣＰへ送信し、ＳＣＰは第１サービス要求を受信する。
Ｓ１４０２：ＳＣＰは、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致することを決定する。
第１ＦＱＤＮは、トランスポートレイヤ証明書内のＦＱＤＮであってよく、第３ＮＦインスタンスＩＤは、ＮＦｃのアプリケーションレイヤ証明書内のＮＦインスタンスＩＤであってよい。代替的に、第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤは、ＮＦｃのトランスポートレイヤ及びアプリケーションレイヤによって共有されている証明書内のＦＱＤＮ及びＮＦインスタンスＩＤであってよい。
具体的に、第１サービス要求は、ＮＦｃのアサーション及び第１情報を運び、アサーションは、ＮＦｃのトランスポートレイヤ証明書及びアプリケーションレイヤ証明書、又はトランスポートレイヤ及びアプリケーションレイヤによって共有されている証明書を含む。ＳＣＰは、これらの証明書から第１ＦＱＤＮ及び／又は第３ＮＦインスタンスＩＤを抽出子、ステップＳ１４０２を実行して、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致することを決定してよい。Ｓ１４０２の具体的な実施は、Ｓ９０２の具体的な実施に似ている、ことが理解され得る。Ｓ９０２の記載を参照されたい。詳細はここで再び記載されない。
Ｓ１４０３：ＳＣＰはトークン要求をＮＲＦへ送信し、ＮＲＦはトークン要求を受信する。
具体的に、トークン要求は、ＮＦｃのアサーション及び第１情報を運び、アサーションはＮＦｃの証明書を含み、証明書は第２情報を含む。第１情報及び第２情報の具体的な中身については、Ｓ４０１の関連する記載を参照されたい。詳細はここで再び記載されない。
具体的に、第１情報は第１ＮＦインスタンスＩＤを含む。トークン要求を受信した後、トークンを生成する前、ＮＲＦはＳ１４０１を実行して、検証により、第１情報が第２情報と一致するかどうかを決定する。第１情報が第２情報と一致すると決定すると、ＮＲＦは、証明書及び第１ＮＦインスタンスＩＤを運ぶトークンを生成し、Ｓ１４０５を実行して、トークンを、ＳＣＰを通じてＮＦｃに返す。第１情報が第２情報と一致しないと決定する場合には、ＮＲＦは、ＮＦｃに対してＳＣＰを通じて、トークン要求が失敗したことを示すプロンプト情報を返すか、あるいは、ＮＦｃのトークン要求を拒絶する。
Ｓ１４０４：ＮＲＦは、第１情報が第２情報と一致することを決定する。
ＮＲＦが、検証により、Ｓ１４０４で、第１情報が第２情報と一致するかどうかを決定する具体的な実施は、Ｓ４０２の具体的な実施に似ている、ことが理解され得る。詳細はここで再び記載されない。
Ｓ１４０５：ＮＲＦはトークンをＳＣＰへ送信し、ＳＣＰはトークンを受信する。
Ｓ１４０６：ＳＣＰは第２サービス要求をＮＦｐへ送信し、ＮＦｐは第２サービス要求を受信する。
具体的に、第２サービス要求は、ＮＦｃのトークン及びアサーションを運び、トークンは第１ＮＦインスタンスＩＤを含み、アサーションは第２ＮＦインスタンスＩＤを含む。
Ｓ１４０７：ＮＦｐは、第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じであることを決定する。
具体的に、第２サービス要求を受信した後、ＮＦｐは、検証により、第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じであるかどうかを決定する。第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じである場合に、ＮＦｐはＳ１４０８を実行して、サービス応答を、ＳＣＰを通じてＮＦｃに返す。第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと異なる場合には、ＮＦｐは、ＳＣＰを通じて、サービス要求が失敗したことを示す情報をＮＦｃに返す。
ＮＦｐが、検証により、Ｓ１４０７で、第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じであるかどうかを決定する具体的な実施は、Ｓ７０２の具体的な実施に似ている、ことが理解され得る。詳細はここで再び記載されない。
Ｓ１４０８；ＮＦｐはサービス応答を、ＳＣＰを通じてＮＦｃに返し、ＮＦｃはサービス応答を、ＳＣＰを通じて受信する。
Ｓ１４０８の具体的な実施は、Ｓ７０３Ａの具体的な実施に似ている、ことが理解され得る。詳細はここで再び記載されない。
図１４に示される技術的解決法では、ＳＣＰは、ＮＦｃから第１サービス要求で運ばれたＮＦｃのアサーション内の証明書に関連する第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤの間の一致関係を検証し、ＮＲＦは、ＳＣＰからトークン要求で運ばれる第１情報及び第２情報の間の一致関係を検証し、ＮＦｐは、ＳＣＰから第２サービス要求で運ばれるトークン内の第１ＮＦインスタンスＩＤ及びアサーション内の第２ＮＦインスタンスＩＤの間の一致関係を検証する。これは、攻撃者が違法にトークンを盗み、アサーションをねつ造し、更には違法にＮＦサービスを取得する場合を有効に回避する。更には、ＮＦｃの妥当性は、ＮＦｃのプロファイルを使用することによって検証される必要がない。従って、ＮＲＦは、プロファイルがＮＲＦに保持されていないＮＦｃのパラメータの妥当性も検証することができる。従って、本願のこの実施形態では、ＮＦサービスを使用する安全性が有効に改善され得、ＳＣＰは、ＮＦｃのアサーション内の証明書に関連する第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤの間の一致関係を繰り返し検証する必要がない。これは、計算資源を有効に削減する。
例３：
この例と例１及び例２との間の違いは、次の通りである：例３では、ＮＦｃがＮＲＦへのトークン要求を直接に開始し、ＮＲＦによって返されたトークンを受信した後、サービス要求をＳＣＰへ送信する。サービス要求を受信した後、ＳＣＰは、サービス要求で運ばれたアサーション内の証明書に関連する第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤの間の一致関係を検証する。
図１５に示されるように、図４、図７、及び図９に示される技術的解決法を参照して、本願の実施形態は、更なる他のサービス認証及び要求方法を提供する。方法は、図３Ｃに示されるアプリケーションシナリオに適用されてよく、方法は次のステップを含む。
Ｓ１５０１：ＮＦｃはトークン要求をＮＲＦへ送信し、ＮＲＦはトークン要求を受信する。
具体的に、トークンは、ＮＦｃの第１情報を運ぶ。トークン要求を受信した後、ＮＲＦはＮＦｃの証明書を取得し、証明書は第２情報を含む。ＮＲＦはＳ１５０２を実行して、検証により、第１情報が第２情報と一致するかどうかを決定する。第１情報が第２情報と一致する場合に、ＮＲＦはＳ１５０３を実行する。第１情報が第２情報と一致しない場合には、ＮＲＦは、ＮＦｃに対して、トークン要求が失敗したことを示す指示情報を返すか、あるいは、ＮＦｃのトークン要求を拒絶する。
本願のこの実施形態では、ＮＲＦによって取得されたＮＦｃの証明書は、ＮＲＦがＮＦｃへのトランスポートレイヤリンクを確立する場合にＮＦＲによって取得されたＮＦｃの証明書であってよく、ＮＲＦで事前設定されたＮＦｃの証明書であってよく、あるいは、トークン要求で運ばれたＮＦｃの証明書であってよい。
Ｓ１５０２：ＮＲＦは、第１情報が第２情報と一致すること決定する。
ＮＲＦが、検証により、Ｓ１５０２で、第１情報が第２情報と一致するかどうかを決定する具体的な実施は、Ｓ３０２の具体的な実施に似ている、ことが理解され得る。Ｓ４０２の関連する記載を参照されたい。
Ｓ１５０３：ＮＲＦはトークンをＮＦｃへ送信し、ＮＦｃはトークンを受信する。
具体的に、トークンをＮＦｃへ送信する前に、ＮＲＦは、証明書及び第１ＮＦインスタンスＩＤを運ぶトークンを生成する。
Ｓ１５０４：ＮＦｃはサービス要求をＳＣＰへ送信し、ＳＣＰはサービス要求を受信する。
具体的に、サービス要求はＮＦｃのトークン及びアサーションを運び、アサーションはＮＦｃの証明書を含む。サービス要求を受信した後、ＳＣＰは、証明書に関連する第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤを決定し、Ｓ１５０５を実行して、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致するかどうかを決定し得る。第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致すると決定する場合に、ＳＣＰは、引き続きＳ１５０６を実行する。第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致しないと決定する場合には、ＳＣＰは、ＮＦｃに対して、サービス要求が失敗したことを示す指示情報を返す。
Ｓ１５０５：ＳＣＰは、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致することを決定する。
ＳＣＰが、Ｓ１５０５で、第１ＦＱＤＮが第３ＮＦインスタンスＩＤと一致することを決定する具体的な実施は、Ｓ９０２の具体的な実施に似ている、ことが理解され得る。詳細はここで再び記載されない。
Ｓ１５０６：ＳＣＰはサービス要求をＮＦｐへ送信し、ＮＦｐはサービス要求を受信する。
具体的に、サービス要求は、ＮＦｃのアサーション及びトークンを運び、トークンは第１ＮＦインスタンスＩＤを運び、アサーションは第２ＮＦインスタンスＩＤを運ぶ。
Ｓ１５０７：ＮＦｐは、第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じであるかどうかを決定する。
具体的に、サービス要求を受信した後、ＮＦｐは、検証により、第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じであるかどうかを決定する。第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じである場合に、ＮＦｐはＳ１５０８を実行して、サービス応答を、ＳＣＰを通じてＮＦｃに返す。第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと異なる場合には、ＮＦｐは、ＳＣＰを通じて、サービス要求が失敗したことを示す情報をＮＦｃに返す。
ＮＦｐが、検証により、Ｓ１５０８で、第１ＮＦインスタンスＩＤが第２ＮＦインスタンスＩＤと同じであるかどうかを決定する具体的な実施は、Ｓ７０２の具体的な実施に似ている、ことが理解され得る。詳細はここで再び記載されない。
Ｓ１５０８：ＮＦｐはサービス応答を、ＳＣＰを通じてＮＦｃに返し、ＮＦｃはサービス応答を、ＳＣＰを通じて受信する。
Ｓ１５０８の具体的な実施は、Ｓ７０３Ａの具体的な実施に似ている、ことが理解され得る。詳細はここで再び記載されない。
図１５に示される技術的解決法では、ＮＲＦは、ＮＦｃからトークン要求で運ばれる第１情報と証明書内の第２情報との間の一致関係を検証し、ＳＣＰは、ＮＦｃからサービス要求で運ばれたアサーション内の証明書に関連する第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤの間の一致関係を検証し、ＮＦＰは、ＳＣＰからサービス要求で運ばれるＮＦｃのトークン内の第１ＮＦインスタンスＩＤ及びアサーション内の第２ＮＦインスタンスＩＤの間の一致関係を検証する。これは、攻撃者が違法にトークンを盗み、アサーションをねつ造し、更には違法にＮＦサービスを取得する場合を有効に回避する。更には、ＮＲＦは、プロファイルがＮＲＦに保持されていないＮＦｃのパラメータの妥当性も検証することができる。これは、本願のこの実施形態でＮＦサービスを使用する安全性を有効に改善することができる。
確かに、実際の適用では、上記の３つの例に加えて、より多くの他の組み合わされた解決法が存在する場合があるが、それらはここで１つずつ挙げられていない。
本願の実施形態の上記の解決法をより良く理解するために、本願の上記の実施形態でのいくつかのＮＦインスタンスＩＤは、ここで更に分類される。第１ＮＦインスタンスＩＤは、ＮＦｃのトークン要求で運ばれるＮＦインスタンスＩＤ、又はトークン内のＮＦインスタンスＩＤであり、第２ＮＦインスタンスＩＤは、ＮＦｃのアサーションで運ばれるＮＦインスタンスＩＤであり、第３ＮＦインスタンスＩＤは、ＮＦｃのアサーションで運ばれるＮＦインスタンスＩＤである。
本願の実施形態で挙げられている情報に加えて、本願の実施形態でのトークン要求、トークン、サービス要求、又はサービス応答などのメッセージは、他の情報を更に含んでもよい、ことが留意されるべきである。これは本願で制限されない。
ＮＦｃがＮＦｃからのＮＦサービスにサブスクライブするアプリケーションシナリオでは、一部の攻撃者は、ＮＦサービスの通知情報を違法に得るために、サブスクリプション要求で違法なＵＲＩを運ぶ可能性がある。その結果、ＮＦサービスのネットワーク情報は開示される。これを鑑み、本願の実施形態はサービス認証方法を更に提供する。図１６を参照されたい。方法は次のステップを含む。
Ｓ１６０１：ＮＦｃはサブスクリプション要求をＮＦｐへ送信し、ＮＦｐはサブスクリプション要求を受信する。
可能な実施において、サブスクリプション要求は、ＮＦｃの第１ＵＲＩ及びＮＦｃの証明書を運び、証明書は第２ＵＲＩを含む。この場合に、ＮＦｐは、サブスクリプション要求から第１ＵＲＩ及び第２ＵＲＩを取得し得る。
他の可能な実施においては、サブスクリプション要求は、ＮＦｃの第１ＵＲＩを運び、ＮＦｐは、他の方法でＮＦｃの証明書を取得し、例えば、トランスポートレイヤからＮＦｃの証明書を取得し、それから、ＮＦｃの証明書から第２ＵＲＩを取得する。この場合にも、ＮＦｐは、第１ＵＲＩ及び第２ＵＲＩを取得し得る。
Ｓ１６０２：ＮＦｐは、検証により、第１ＵＲＩが証明書内の第２ＵＲＩと一致するかどうかを決定する。
具体的に、ＮＦｐが、検証により、第１ＵＲＩが第２ＵＲＩと一致するかどうかを決定するプロセスは、第１ＵＲＩが第２ＵＲＩと一致することを決定すること、又は第１ＵＲＩが第２ＵＲＩのサブセットであることを決定するを具体的に含んでもよい。例えば、第１ＵＲＩが“＃＃８８８８”であり、第２ＵＲＩも“＃＃８８８８”である場合に、ＮＦｐは、第１ＵＲＩが第２ＵＲＩと一致すると決定する。他の例として、第１ＵＲＩが“１２３”であり、第２ＵＲＩが｛１２３，４５６｝であり、第１ＮＦ ＵＲＩが第２ＮＦ ＵＲＩのサブセットである場合に、ＮＦｐは、第１ＮＦ ＵＲＩが第２ＮＦ ＵＲＩと一致すると決定する。第１ＵＲＩが第２ＵＲＩと一致すると決定する場合に、ＮＦｐはＳ１６０３Ａを実行する。第１ＵＲＩが第２ＵＲＩと一致しないと決定する場合には、ＮＦｐはＳ１６０３Ｂを実行する。
Ｓ１６０３Ａ：ＮＦｐは第１応答情報をＮＦｃに返し、ＮＦｃは第１応答情報を受信し、第１応答情報は、ＮＦｃのサブスクリプション要求が成功したこと又はＮＦｐがサブスクリプション要求を受け入れたことを示す。
具体的に、ＮＦｃによって送信されたサブスクリプション要求に同意した後、ＮＦｐは、前もってセットされた周期に基づいてＮＦｐへ、ＮＦｐによってサポートされているＮＦサービスに関する通知メッセージを送信してよい。
Ｓ１６０３Ｂ：ＮＦｐは第２応答情報をＮＦｃに返し、ＮＦｃは第２応答情報を受信し、第２応答情報は、ＮＦｃのサブスクリプション要求が失敗したこと又はＮＦｐがサブスクリプション要求を拒絶したことを示す。
図１６に示される実施形態では、ＮＦｐは、検証により、サブスクリプション要求で運ばれたＮＦｃの第１情報内の第１ＵＲＩが、ＮＦｃのトランスポートレイヤ証明書内の第２ＵＲＩと一致するかどうかを決定し、それにより、ＮＦｃがネットワーク情報を違法に得るためにサブスクリプション要求で違法なＵＲＩを違法に運ぶ場合は、有効に回避することができる。これは、ＮＦサービスのネットワーク情報が回避されることを有効に回避する。
以上は、図４から図１６を参照して、本願の実施形態で提供されるサービス認証方法について記載してきた。以下は、図１７、図１８、及び図１９を参照して、本願の実施形態で提供される装置について記載する。
同じ技術概念に基づいて、本願の実施形態は通信装置１７００を更に提供する。装置１７００は、上記の方法の例でＮＲＦを実装する機能を備えている。例えば、装置１７００は、図１０に示される実施形態でＮＲＦによって実行されるステップを実行するための対応するモジュール、ユニット、又は手段（means）を含む。機能、ユニット、又は手段は、ソフトウェアによって実施されてよく、あるいは、ハードウェアによって実施されてよく、あるいは、対応するソフトウェアを実行することでハードウェアによって実施されてよい。
例えば、図１７を参照されたい。装置１７００は、
第１ネットワーク要素から第１トークン要求を受信するよう構成されるトランシーバユニット１７０１であり、第１トークン要求は、ネットワーク機能サービスコンシューマエンティティの第１情報と、ネットワーク機能サービスコンシューマエンティティのアサーションとを含み、アサーションは、ネットワーク機能サービスコンシューマエンティティの証明書を含み、証明書は、ネットワーク機能サービスコンシューマエンティティの第２情報を含む、トランシーバユニット１７０１と、
検証により、第１情報が第２情報と一致するかどうかを決定し、第１情報が第２情報と一致すると決定した後、トークンを生成するよう構成される処理ユニット１７０２と
を含んでよく、トランシーバユニット１７０１は、トークンを第１ネットワーク要素へ送信するよう更に構成される。
上記の方法の実施形態におけるステップの全ての関連する内容は、対応する機能モジュールの機能説明で引用され得る、ことが理解されるべきである。詳細はここで再び記載されない。
同じ技術概念に基づいて、本願の実施形態は通信装置１８００を更に提供する。装置１８００は、上記の方法の例で第１ネットワーク要素を実装する機能を備えている。例えば、装置１８００は、図７に示される実施形態で第１ネットワーク要素によって実行されるステップを実行するための対応するモジュール、ユニット、又は手段（means）を含む。機能、ユニット、又は手段は、ソフトウェアによって実施されてよく、あるいは、ハードウェアによって実施されてよく、あるいは、対応するソフトウェアを実行することでハードウェアによって実施されてよい。
例えば、図１８を参照されたい。装置は、
第１トークン要求を生成するよう構成される処理ユニット１８０１であり、第１トークン要求は、ネットワーク機能サービスコンシューマエンティティの第１情報と、ネットワーク機能サービスコンシューマエンティティのアサーションとを含み、アサーションは、ネットワーク機能サービスコンシューマエンティティの証明書を含み、証明書は、ネットワーク機能サービスコンシューマエンティティの第２情報を含む、処理ユニット１８０８と、
第１トークン要求をネットワークリポジトリ機能ネットワーク要素へ送信し、ネットワークリポジトリ機能ネットワーク要素からトークンを受信するよう構成されるトランシーバユニット１８０２と
を含んでよい。
上記の方法の実施形態におけるステップの全ての関連する内容は、対応する機能モジュールの機能説明で引用され得る、ことが理解されるべきである。詳細はここで再び記載されない。
同じ技術概念に基づいて、本願の実施形態は通信装置１９００を更に提供する。装置１９００は、上記の方法の例でＮＦｐを実装する機能を備えている。例えば、装置１９００は、図７に示される実施形態でＮＦｐによって実行されるステップを実行するための対応するモジュール、ユニット、又は手段（means）を含む。機能、ユニット、又は手段は、ソフトウェアによって実施されてよく、あるいは、ハードウェアによって実施されてよく、あるいは、対応するソフトウェアを実行することでハードウェアによって実施されてよい。
例えば、図１９を参照されたい。装置１９００は、
第１ネットワーク要素から第１サービス要求を受信するよう構成されるトランシーバユニット１９０１であり、第１サービス要求はトークン及びアサーションを含み、トークンは第１ネットワーク機能インスタンス識別子を含み、アサーションは第２ネットワーク機能インスタンス識別子を含む、トランシーバユニット１９０１と、
検証により、第１ネットワーク機能インスタンス識別子が第２ネットワーク機能インスタンス識別子と一致するかどうかを決定し、第１ネットワーク機能インスタンス識別子が第２ネットワーク機能インスタンス識別子と一致すると決定した後、ネットワーク機能サービスコンシューマエンティティにサービスを提供するよう構成される処理ユニット１９０２と
を含んでよい。
上記の方法の実施形態におけるステップの全ての関連する内容は、対応する機能モジュールの機能説明で引用され得る、ことが理解されるべきである。詳細はここで再び記載されない。
同じ技術概念に基づいて、本願の実施形態は、図１に示される実施形態の方法を実施するよう構成された電子デバイス２０００を更に提供する。
図２０に示されるように、電子デバイス２０００は、メモリ２００２に記憶されているプログラム又は命令を実行するよう構成されたプロセッサ２００１を含んでよい。メモリ２００２に記憶されているプログラム又は命令が実行されると、プロセッサは、図４乃至図１６に示される実施形態の方法を実行するよう構成される。
任意に、電子デバイス２０００は、通信インターフェース２００３を更に含んでよい。図２０で、通信インターフェース２００３は、破線によって表されており、電子デバイス２０００にとって任意である。
プロセッサ２００１、メモリ２００２、及び通信インターフェース２００３の数は、本願のこの実施形態に対する制限を構成せず、具体的な実施中、サービス要件に基づいてランダムに構成されてよい。
任意に、メモリ２０２２は、電子デバイス２０００の外に位置する。
任意に、電子デバイス２０００はメモリ２００２を含み、メモリ２００２は少なくとも１つのプロセッサ２００１へ接続され、メモリ２００２は、少なくとも１つのプロセッサ２００１によって実行することができる命令を記憶する。図２０で、メモリ２００２が破線によって表されており、電子デバイス２０００にとって任意である。
プロセッサ２００１及びメモリ２００２は、インターフェース回路を通じて結合されてよく、あるいは、一体化されてもよい。これはここで制限されない。
プロセッサ２００１と、メモリ２００２と、通信インターフェース２００３との間の具体的な接続媒体は、本願のこの実施形態で制限されない。本願のこの実施形態で、プロセッサ２００１、メモリ２００２、及び通信インターフェース２００３は、図２０ではバス２００４を通じて接続される。バスは、図２０では太線を使用することによって表されている。他のコンポーネントの間の接続様態は、記載のための例にすぎず、それに限られない。バスは、アドレスバス、データバス、コントロールバス、などに分類されてよい。表現を容易にするために、ただ１つの太線は図２０ではバスを表すためのものであるが、ただ１つのバス又はただ１種類のバスしか存在しないことを意味するものではない。
本願の実施形態で述べられているプロセッサは、ハードウェアによって実施されてよく、あるいは、ソフトウェアによって実施されてよい、ことが理解されるべきである。プロセッサはハードウェアを使用することによって実施される場合に、プロセッサは論理回路、集積回路、などであってよい。プロセッサがソフトウェアを使用することによって実施される場合に、プロセッサは汎用プロセッサであってよく、メモリに記憶されているソフトウェアコードを読み出すことによって実施される。
例えば、プロセッサは中央演算処理装置（Central Processing Unit，ＣＰＵ）であってよく、あるいは、他の汎用プロセッサ、デジタル信号プロセッサ（Digital Signal Processor，ＤＳＰ）、特定用途向け集積回路（Application-Specific Integrated Circuit，ＡＳＩＣ）、フィールド・プログラマブル・ゲート・アレイ（Field Programmable Gate Array，ＦＰＧＡ）、他のプログラム可能なロジックデバイス、ディスクリートゲート、トランジスタロジックデバイス、ディスクリートハードウェア部品、などであってよい。汎用プロセッサはマイクロプロセッサであってよく、あるいは、プロセッサは任意の従来のプロセッサなどであってもよい。
本願の実施形態で述べられているメモリは揮発性メモリ若しくは不揮発性メモリであってよく、又は揮発性メモリ及び不揮発性メモリを含んでもよい、ことが理解され得る。不揮発性メモリはリードオンリーメモリ（Read-Only Memory，ＲＯＭ）、プログラム可能リードオンリーメモリ（Programmable ROM，ＰＲＯＭ）、消去可能なプログラム可能リードオンリーメモリ（Erasable PROM，ＥＰＲＯＭ）、電気的消去可能なプログラム可能リードオンリーメモリ（Electrically EPROM，ＥＥＰＲＯＭ）、又はフラッシュメモリであってよい。揮発性メモリは、外部キャッシュとして使用されるランダムアクセスメモリ（Random Access Memory，ＲＡＭ）であってよい。例として、限定ではなく、多くの形態のＲＡＭ、例えば、静的ランダムアクセスメモリ（Static RAM，ＳＲＡＭ）、動的ランダムアクセスメモリ（Dynamic RAM，ＤＲＡＭ）、同期型動的ランダムアクセスメモリ（Synchronous DRAM，ＳＤＲＡＭ）、ダブルデータレート同期型動的ランダムアクセスメモリ（Double Data Eate SDRAM，ＤＤＲ ＳＤＲＡＭ）、エンハンスド同期型動的ランダムアクセスメモリ（Enhanced SDRAM，ＥＳＤＲＡＭ）、シンクリンク動的ランダムアクセスメモリ（Synchlink DRAM，ＳＬＤＲＡＭ）及びダイレクトランバス型ランダムアクセスメモリ（Direct Rambus RAM，ＤＲ ＲＡＭ）が使用されてもよい。
プロセッサが汎用プロセッサ、ＤＳＰ、ＡＳＩＣ、ＦＰＧＡ、他のプログラム可能なロジックデバイス、ディスクリートゲート若しくはトランジスタロジックデバイス、又はディスクリートハードウェア部品であるとき、メモリ（記憶媒体）はプロセッサに組み込まれてよい、ことが留意されるべきである。
本明細書で記載されているメモリは、これらのメモリ及び他の適切なタイプの任意のメモリを含むことを目指しているが、これらに限られない、ことが留意されるべきである。
同じ技術概念に基づいて、本願の実施形態は、プログラム又は命令を含むコンピュータ可読記憶媒体を更に提供する。プログラム又は命令がコンピュータで実行されると、上記の方法の例におけるＮＲＦによって実行される方法、第１ネットワーク要素によって実行される方法、又はＮＦｐによって実行される方法が実行される。
同じ技術概念に基づいて、本願の実施形態は、チップを更に提供する。チップはメモリへ結合され、メモリに記憶されているプログラム命令を読み出して実行するよう構成され、それにより、上記の方法の例におけるＮＲＦによって実行される方法、第１ネットワーク要素によって実行される方法、又はＮＦｐによって実行される方法が実行される。
同じ技術概念に基づいて、本願の実施形態は、コンピュータプログラム命令を更に提供する、コンピュータプログラム命令がコンピュータで実行されると、上記の方法の例におけるＮＲＦによって実行される方法、第１ネットワーク要素によって実行される方法、又はＮＦｐによって実行される方法が実行される。
上記の実施形態は、異なる技術的効果を達成するために互いに組み合わされてよい。
当業者であれば、本願の実施形態が方法、システム、又はコンピュータプログラム製品として提供されてもよいことを理解するはずである。従って、本願は、ハードウェアのみの実施形態、ソフトウェアのみの実施形態、又はソフトウェアとハードウェアとの組み合わせによる実施形態の形式を使用し得る。更には、本願は、コンピュータで使用可能なプログラムコードを含む１つ以上のコンピュータ使用可能記憶媒体（ディスクメモリ、ＣＤ－ＲＯＭ、光学メモリ、などを含むがこれらに限られない）で実施されるコンピュータプログラム製品の形成を使用し得る。
本願は、本願の実施形態に係る方法、デバイス（システム）、及びコンピュータプログラム製品のフローチャート及び／又はブロック図を参照して記載される。コンピュータプログラム命令は、フローチャート及び／又はブロック図の各プロセス及び／又は各ブロックと、フローチャート及び／又はブロック図のプロセス及び／又はブロックの組み合わせとを実施するために使用されてよい、ことが理解されるべきである。これらのコンピュータプログラム命令は、汎用コンピュータ、専用コンピュータ、埋め込みコンピュータ、又は任意の他のプログラム可能なデータ処理デバイスのプロセッサがマシンを発生させるために提供されてよく、それにより、任意の他のプログラム可能なデータ処理デバイスのプロセッサの又はコンピュータによって実行された命令は、ブロック図の１つ以上のブロックでの及び／又はフローチャートの１つ以上のプロセスでの特定の機能を実施する装置を発生させる。
これらのコンピュータプログラム命令は、特定の方法で作動するようにコンピュータ又は任意の他のプログラム可能なデータ処理デバイスに命令することができるコンピュータ読み出し可能なメモリに記憶されてよく、それにより、コンピュータ読み出し可能な命令に記憶されている命令は、命令装置を含むアーチファクトを発生させる。命令装置は、ブロック図の１つ以上のブロックでの及び／又はフローチャートの１つ以上のプロセスでの特定の機能を実施する。
当業者であれば、本願の実施形態の範囲から逸脱せずに、本願の実施形態に対して様々な変更及び変形を行うことができることは明らかである。本願は、これらの変更及び変形が続く特許請求の範囲及びそれらの同等の技術によって定義されている保護の範囲内にあるという条件で、これらの変更及び変形をカバーするよう意図される。
［関連出願への相互参照］
本願は、２０２０年１０月３０日付けで「SERVICE AUTHORIZATION METHOD, COMMUNICATION APPARATUS, AND SYSTEM」との発明の名称にて中国知識産権局に出願された中国特許出願第２０２０１１１９７５１９．５号に対する優先権を主張するものである。この先の中国出願は、その全文を参照により本願に援用される。
第３世代パートナーシッププロジェクト（3rd generation partnership project，３ＧＰＰ）は、第５世代（5th Generation，５Ｇ）移動体通信システムでサービスベースのアーキテクチャ（service-based architecture，ＳＢＡ）及びサービスベースのアーキテクチャのエンハンスメント（enhancement of service-based architecture，ｅＳＢＡ）を使用することを提案している。
可能な設計において、第１情報は、次の、第１公衆地上移動体ネットワーク識別子、第１スタンドアロン非公衆ネットワーク識別子、第１単一ネットワークスライス選択支援情報識別子、第１ネットワーク機能インスタンス識別子、第１ネットワーク機能タイプ、第１ネットワーク機能セット、及び第１統一資源識別子、のうちの１つ以上を含む。第２情報は、次の、第２公衆地上移動体ネットワーク識別子、第２スタンドアロン非公衆ネットワーク識別子、第２単一ネットワークスライス選択支援情報識別子、第２ネットワーク機能インスタンス識別子、第２ネットワーク機能タイプ、第２ネットワーク機能セット、及び第２統一資源識別子、のうちの１つ以上を含む。
例えば、第１情報が第１ネットワーク機能インスタンス識別子を含む場合に、第２情報は第２ネットワーク機能インスタンス識別子を含む。他の例として、第１情報が第１スタンドアロン非公衆ネットワーク識別子及び第１公衆地上移動体ネットワーク識別子を含む場合に、第２情報は第２スタンドアロン非公衆ネットワーク識別子及び第２公衆地上移動体ネットワーク識別子を含む。更なる他の例として、第１情報が第１公衆地上移動体ネットワーク識別子、第１スタンドアロン非公衆ネットワーク識別子、及び第１ネットワーク機能インスタンス識別子を含む場合に、第２情報は第２公衆地上移動体ネットワーク識別子、第２スタンドアロン非公衆ネットワーク識別子、及び第２ネットワーク機能インスタンス識別子を含む。
例えば、第１情報が第１スタンドアロン非公衆ネットワーク識別子であり、第２情報が第２スタンドアロン非公衆ネットワーク識別子であり、第１スタンドアロン非公衆ネットワーク識別子が１であり、第２スタンドアロン非公衆ネットワーク識別子が｛１，２，４｝である場合に、第１スタンドアロン非公衆ネットワーク識別子は第２スタンドアロン非公衆ネットワーク識別子のサブセットであり、ネットワークリポジトリ機能ネットワーク要素は、第１情報が第２情報と一致すると決定する。
図１の第１ネットワーク要素は、具体的に、図２のＳＣＰ、ＳＭＦ、ＡＭＦ、などであってよい。図１のＮＲＦは、具体的に、図２のＮＲＦであってよい。図１のＮＦｐは、具体的に、図２のＳＭＦ、ＵＤＭ、などであってよい。
第１情報は、次の１つ以上を含み得る：
（１）第１公衆地上移動体ネットワーク識別子（public land mobile network identifier，ＰＬＭＮ－ＩＤ）；
（２）第１スタンドアロン非公衆ネットワーク識別子（stand-alone non-public network identifier，ＳＮＰＮ－ＩＤ）；
（３）第１単一ネットワークスライス選択支援情報（single-network slice selection assistance information identifier，Ｓ－ＮＳＳＡＩ ＩＤ）；
（４）第１ネットワーク機能インスタンス識別子（network function instance identifier，ＮＦインスタンスＩＤ）；
（５）第１ネットワーク機能タイプ（network function type，ＮＦタイプ）；
（６）第１ネットワーク機能セット（network function set，ＮＦセット）；及び
（７）第１統合資源識別子（universal resource locator，ＵＲＩ）。
第２情報は、次の１つ以上を含み得る：
（１）第２ＰＬＭＮ ＩＤ；
（２）第２ＳＮＰＮ ＩＤ；
（３）第２Ｓ－ＮＳＳＡＩ ＩＤ；
（４）第２ＮＦインスタンスＩＤ；
（５）第２ＮＦタイプ；
（６）第２ＮＦセット；及び
（７）第２ＵＲＩ。
例えば、第１情報は第１ＳＮＰＮ ＩＤを含む場合に、第２情報は第２ＳＮＰＮ ＩＤを含む。他の例として、第１情報が第１ＳＮＰＮ ＩＤ及び第１ＰＬＭＮ ＩＤを含む場合に。第２情報は、第２ＳＮＰＮ ＩＤ及び第２ＰＬＭＮ ＩＤを含む。更なる他の例として、第１情報が第１ＳＮＰＮ ＩＤ、第１ＰＬＭＮ ＩＤ、及び第１ＮＦインスタンスＩＤを含む場合に、第２情報は第２ＳＮＰＮ ＩＤ、第２ＰＬＭＮ ＩＤ、及び第２ＮＦインスタンスＩＤを含む。
任意に、第２情報は、証明書の拡張フィールドで運ばれる。
Ｓ６０３：ＮＲＦはトークンを、ＳＣＰを通じてＮＦｃへ送信し、ＮＦｃはトークンを、ＳＣＰを通じて受信する。
具体的に、トークン要求を受信した後、ＮＲＦは、トークン要求内のアサーションを検証する。検証が成功した後、ＮＲＦはトークンを生成し、Ｓ８０４を実行してトークンをＳＣＰへ送信する。検証が失敗する場合に、ＮＲＦは、ＳＣＰに対して、トークン要求が失敗したことを示す応答情報を返す。
具体的に、第２証明書申請要求は証明書テンプレートを含み、証明書テンプレートは第１ＦＱＤＮを含む。第２証明書申請要求を受信した後、ＣＡ／ＲＡは、第１ＦＱＤＮに基づいて第２証明書を生成してよい。
第２証明書は、ＮＦｃのトランスポートレイヤ証明書であってよい、ことが理解されるべきである。
可能な実施において、ＮＲＦは、バインディング関係要求で証明書を運ぶ。証明書は、ＮＦｃのトランスポートレイヤ証明書（第１ＦＱＤＮを含む証明書）、ＮＦｃのアプリケーションレイヤ証明書（第３ＮＦインスタンスＩＤを含む証明書）、又はＮＦｃのトランスポートレイヤ及びアプリケーションレイヤによって共有されている証明書（つまり、第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤを含む証明書）であってよい。
ＮＲＦが、検証により、Ｓ１５０２で、第１情報が第２情報と一致するかどうかを決定する具体的な実施は、Ｓ４０２の具体的な実施に似ている、ことが理解され得る。Ｓ４０２の関連する記載を参照されたい。
図１５に示される技術的解決法では、ＮＲＦは、ＮＦｃからトークン要求で運ばれる第１情報と証明書内の第２情報との間の一致関係を検証し、ＳＣＰは、ＮＦｃからサービス要求で運ばれたアサーション内の証明書に関連する第１ＦＱＤＮ及び第３ＮＦインスタンスＩＤの間の一致関係を検証し、ＮＦｐは、ＳＣＰからサービス要求で運ばれるＮＦｃのトークン内の第１ＮＦインスタンスＩＤ及びアサーション内の第２ＮＦインスタンスＩＤの間の一致関係を検証する。これは、攻撃者が違法にトークンを盗み、アサーションをねつ造し、更には違法にＮＦサービスを取得する場合を有効に回避する。更には、ＮＲＦは、プロファイルがＮＲＦに保持されていないＮＦｃのパラメータの妥当性も検証することができる。これは、本願のこの実施形態でＮＦサービスを使用する安全性を有効に改善することができる。
本願の実施形態で述べられているメモリは揮発性メモリ若しくは不揮発性メモリであってよく、又は揮発性メモリ及び不揮発性メモリを含んでもよい、ことが理解され得る。不揮発性メモリはリードオンリーメモリ（Read-Only Memory，ＲＯＭ）、プログラム可能リードオンリーメモリ（Programmable ROM，ＰＲＯＭ）、消去可能なプログラム可能リードオンリーメモリ（Erasable PROM，ＥＰＲＯＭ）、電気的消去可能なプログラム可能リードオンリーメモリ（Electrically EPROM，ＥＥＰＲＯＭ）、又はフラッシュメモリであってよい。揮発性メモリは、外部キャッシュとして使用されるランダムアクセスメモリ（Random Access Memory，ＲＡＭ）であってよい。例として、限定ではなく、多くの形態のＲＡＭ、例えば、静的ランダムアクセスメモリ（Static RAM，ＳＲＡＭ）、動的ランダムアクセスメモリ（Dynamic RAM，ＤＲＡＭ）、同期型動的ランダムアクセスメモリ（Synchronous DRAM，ＳＤＲＡＭ）、ダブルデータレート同期型動的ランダムアクセスメモリ（Double Data Rate SDRAM，ＤＤＲ ＳＤＲＡＭ）、エンハンスド同期型動的ランダムアクセスメモリ（Enhanced SDRAM，ＥＳＤＲＡＭ）、シンクリンク動的ランダムアクセスメモリ（Synchlink DRAM，ＳＬＤＲＡＭ）及びダイレクトランバス型ランダムアクセスメモリ（Direct Rambus RAM，ＤＲ ＲＡＭ）が使用されてもよい。

Claims (40)

  1. ネットワークリポジトリ機能ネットワーク要素によって、ネットワーク機能サービスコンシューマエンティティからトークン要求を受信することであり、前記トークン要求は、前記ネットワーク機能サービスコンシューマエンティティの第１情報を運ぶ、前記受信することと、
    前記ネットワークリポジトリ機能ネットワーク要素によって、前記ネットワーク機能サービスコンシューマエンティティの証明書を取得することであり、前記証明書は第２情報を含む、前記取得することと、
    検証により、前記第１情報が前記第２情報と一致することを決定した後、前記ネットワークリポジトリ機能ネットワーク要素によって、トークンを前記ネットワーク機能サービスコンシューマエンティティへ送信することと
    を有する処理方法。
  2. 前記第１情報は第１ネットワーク機能タイプを含み、前記第２情報は第２ネットワーク機能タイプを含む、
    請求項１に記載の方法。
  3. 当該方法は、
    検証により、前記第１情報が前記第２情報と一致しないことを決定した後、前記ネットワークリポジトリ機能ネットワーク要素によって、不成功応答を前記ネットワーク機能サービスコンシューマエンティティへ送信することを更に有する、
    請求項１又は２に記載の方法。
  4. 当該方法は、
    ネットワーク機能サービスプロバイダエンティティによって、前記ネットワーク機能サービスコンシューマエンティティからサービス要求を受信することであり、前記サービス要求は前記トークン及びアサーションを含み、前記トークンは第１ＮＦインスタンスＩＤを含み、前記アサーションは第２ＮＦインスタンスＩＤを含む、ことと、
    検証により、前記第１ＮＦインスタンスＩＤが前記第２ＮＦインスタンスＩＤと一致することを決定した後、前記ネットワーク機能サービスプロバイダエンティティによって、サービス応答を前記ネットワーク機能サービスコンシューマエンティティへ送信することと
    を更に有する、
    請求項１乃至３のうちいずれか一項に記載の方法。
  5. 当該方法は、
    検証により、前記第１ＮＦインスタンスＩＤが前記第２ＮＦインスタンスＩＤと一致しないことを決定した場合に、前記ネットワーク機能サービスプロバイダエンティティによって、不成功応答を前記ネットワーク機能サービスコンシューマエンティティへ送信することを更に有する、
    請求項４に記載の方法。
  6. 前記ネットワークリポジトリ機能ネットワーク要素によって検証により、前記第１情報が前記第２情報と一致することを決定した場合に、当該方法は、前記トークンを生成することを更に有する、
    請求項１乃至５のうちいずれか一項に記載の方法。
  7. ネットワーク機能サービスプロバイダエンティティによって、ネットワーク機能サービスコンシューマエンティティからサービス要求を受信することであり、前記サービス要求はトークン及びアサーションを含み、前記トークンは第１ＮＦインスタンスＩＤを含み、前記アサーションは第２ＮＦインスタンスＩＤを含む、前記受信することと、
    検証により、前記第１ＮＦインスタンスＩＤが前記第２ＮＦインスタンスＩＤと一致することを決定した後、前記ネットワーク機能サービスプロバイダエンティティによって、サービス応答を前記ネットワーク機能サービスコンシューマエンティティへ送信することと
    を有する処理方法。
  8. 当該方法は、
    検証により、前記第１ＮＦインスタンスＩＤが前記第２ＮＦインスタンスＩＤと一致しないことを決定した場合に、前記ネットワーク機能サービスプロバイダエンティティによって、不成功応答を前記ネットワーク機能サービスコンシューマエンティティへ送信することを更に有する、
    請求項７に記載の方法。
  9. ネットワーク機能サービスコンシューマエンティティからトークン要求を受信するよう構成されるトランシーバユニットであり、前記トークン要求は、前記ネットワーク機能サービスコンシューマエンティティの第１情報を運ぶ、前記トランシーバユニットと、
    前記ネットワーク機能サービスコンシューマエンティティの証明書を取得し、前記証明書が第２情報を含み、検証により、前記第１情報が前記第２情報と一致するかどうかを決定するよう構成される処理ユニットと
    を有し、
    前記トランシーバユニットは、検証により前記第１情報が前記第２情報と一致すると決定された後、トークンを前記ネットワーク機能サービスコンシューマエンティティへ送信するよう更に構成される、
    通信装置。
  10. 前記第１情報は第１ネットワーク機能タイプを含み、前記第２情報は第２ネットワーク機能タイプを含む、
    請求項９に記載の装置。
  11. 前記トランシーバユニットは、前記処理ユニットが、検証により、前記第１情報が前記第２情報と一致しないと決定する場合に、不成功応答を前記ネットワーク機能サービスコンシューマエンティティへ送信するよう更に構成される、
    請求項９又は１０に記載の装置。
  12. 検証により前記第１情報が前記第２情報と一致すると決定した後、前記処理ユニットは、前記トークンを生成するよう更に構成される、
    請求項９乃至１１のうちいずれか一項に記載の装置。
  13. ネットワーク機能サービスコンシューマエンティティからサービス要求を受信するよう構成されるトランシーバユニットであり、前記サービス要求はトークン及びアサーションを含み、前記トークンは第１ＮＦインスタンスＩＤを含み、前記アサーションは第２ＮＦインスタンスＩＤを含む、前記トランシーバユニットと、
    検証により、前記第１ＮＦインスタンスＩＤが前記第２ＮＦインスタンスＩＤと一致するかどうかを決定するよう構成される処理ユニットと
    を有し、
    前記トランシーバユニットは、前記処理ユニットが、検証により、前記第１ＮＦインスタンスＩＤが前記第２ＮＦインスタンスＩＤと一致すると決定した後、サービス応答を前記ネットワーク機能サービスコンシューマエンティティへ送信するよう更に構成される、
    通信装置。
  14. 前記トランシーバユニットは、前記処理ユニットが、検証により、前記第１ＮＦインスタンスＩＤが前記第２ＮＦインスタンスＩＤと一致しないと決定する場合に、不成功応答を前記ネットワーク機能サービスコンシューマエンティティへ送信するよう更に構成される、
    請求項１３に記載の装置。
  15. 第１ネットワーク要素によって第１トークン要求をネットワークリポジトリ機能ネットワーク要素へ送信することであり、前記第１トークン要求は、ネットワーク機能サービスコンシューマエンティティの第１情報と、前記ネットワーク機能サービスコンシューマエンティティのアサーションとを含み、前記アサーションは、前記ネットワーク機能サービスコンシューマエンティティの証明書を含み、前記証明書は、前記ネットワーク機能サービスコンシューマエンティティの第２情報を含む、前記送信することと、
    前記ネットワークリポジトリ機能ネットワーク要素によって前記第１トークン要求を受信し、検証により、前記第１情報が前記第２情報と一致するかどうかを決定し、前記第１情報が前記第２情報と一致することを決定した後、トークンを生成し、前記トークンを前記第１ネットワーク要素へ送信することと、
    前記第１ネットワーク要素によって前記トークンを受信することと
    を有するサービス認証方法。
  16. 当該方法は、
    前記トークンを受信した後、前記第１ネットワーク要素によって第１サービス要求をネットワーク機能サービスプロバイダエンティティへ送信することであり、前記第１サービス要求は、前記ネットワーク機能サービスコンシューマエンティティにサービスを提供することを前記ネットワーク機能サービスプロバイダエンティティに要求するためのものであり、前記第１サービス要求は前記トークン及び前記アサーションを含み、前記トークンは第１ネットワーク機能インスタンス識別子を含み、前記アサーションは第２ネットワーク機能インスタンス識別子を更に含む、ことと、
    前記ネットワーク機能サービスプロバイダエンティティによって前記第１サービス要求を受信し、検証により、前記第１ネットワーク機能インスタンス識別子が前記第２ネットワーク機能インスタンス識別子と同じであるかどうかを決定し、前記第１ネットワーク機能インスタンス識別子が前記第２ネットワーク機能インスタンス識別子と同じであると決定した後、前記ネットワーク機能サービスコンシューマエンティティに前記サービスを提供することと
    を更に有する、
    請求項１５に記載の方法。
  17. 前記第１ネットワーク要素はサービス通信プロキシネットワーク要素であり、
    前記第１ネットワーク要素によって前記第１トークン要求を前記ネットワークリポジトリ機能ネットワーク要素へ送信することの前に、当該方法は、
    前記サービス通信プロキシネットワーク要素によって、前記ネットワーク機能サービスコンシューマエンティティから第２トークン要求又は第２サービス要求を受信することであり、前記第２トークン要求又は前記第２サービス要求は前記証明書を含む、ことと、
    前記サービス通信プロキシネットワーク要素によって、前記証明書に関連する第１完全修飾ドメイン名ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得し、前記第１ＦＱＤＮが前記第３ネットワーク機能インスタンス識別子と一致することを決定することと
    を更に有する、
    請求項１５又は１６に記載の方法。
  18. 前記第１ネットワーク要素は前記ネットワーク機能サービスコンシューマエンティティであり、
    前記第１ネットワーク要素によって前記第１サービス要求を前記ネットワーク機能サービスプロバイダエンティティへ送信することは、
    前記ネットワーク機能サービスコンシューマエンティティによって、前記第１サービス要求を、前記サービス通信プロキシネットワーク要素を使用することによって前記ネットワーク機能サービスプロバイダエンティティへ送信することであり、前記第１サービス要求は前記証明書を含む、ことと、
    前記サービス通信プロキシネットワーク要素によって、前記第１ネットワーク要素から前記第１サービス要求を受信し、前記第１サービス要求を受信した後、前記証明書に関連する第１完全修飾ドメイン名ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得し、前記第１ＦＱＤＮが前記第３ネットワーク機能インスタンス識別子と一致すると決定した後、前記第１サービス要求を前記ネットワーク機能サービスプロバイダエンティティへ送信することと
    を有する、
    請求項１６に記載の方法。
  19. 前記ネットワークリポジトリ機能ネットワーク要素によって前記第１トークン要求を受信した後、かつ、前記トークンを前記第１ネットワーク要素へ送信する前に、当該方法は、
    前記ネットワークリポジトリ機能ネットワーク要素によって、前記証明書に関連する前記第１完全修飾ドメイン名ＦＱＤＮ及び前記第３ネットワーク機能インスタンス識別子を取得し、前記第１ＦＱＤＮが前記第３ネットワーク機能インスタンス識別子と一致すること及び前記第１情報が前記第２情報と一致することを決定することを更に有する、
    請求項１７又は１８に記載の方法。
  20. 前記ネットワークリポジトリ機能ネットワーク要素によって検証により、前記第１情報が前記第２情報と一致するかどうかを決定することは、
    前記第１情報が前記第２情報と同じである場合に、前記第１情報が前記第２情報と一致すると決定すること、又は
    前記第１情報が前記第２情報のサブセットであると決定する場合に、前記第１情報が前記第２情報と一致すると決定すること
    を有する、
    請求項１５乃至１９のうちいずれか一項に記載の方法。
  21. ネットワークリポジトリ機能ネットワーク要素に適用されるサービス認証方法であって、
    第１ネットワーク要素から第１トークン要求を受信することであり、前記第１トークン要求は、ネットワーク機能サービスコンシューマエンティティの第１情報と、前記ネットワーク機能サービスコンシューマエンティティのアサーションとを含み、前記アサーションは、前記ネットワーク機能サービスコンシューマエンティティの証明書を含み、前記証明書は、前記ネットワーク機能サービスコンシューマエンティティの第２情報を含む、前記受信することと、
    検証により、前記第１情報が前記第２情報と一致するかどうかを決定し、前記第１情報が前記第２情報と一致すると決定した後、トークンを生成し、前記トークンを前記第１ネットワーク要素へ送信することと
    を有する方法。
  22. 前記第１トークン要求を受信した後、かつ、前記トークンを前記第１ネットワーク要素へ送信する前に、当該方法は、
    前記証明書に関連する第１ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得することと、
    前記第１ＦＱＤＮが前記第３ネットワーク機能インスタンス識別子と一致すること及び前記第１情報が前記第２情報と一致することを決定することと
    を更に有する、
    請求項２１に記載の方法。
  23. 検証により、前記第１情報が前記第２情報と一致するかどうかを決定することは、
    前記第１情報が前記第２情報と同じである場合に、前記第１情報が前記第２情報と一致すると決定すること、又は
    前記第１情報が前記第２情報のサブセットであると決定する場合に、前記第１情報が前記第２情報と一致すると決定すること
    を有する、
    請求項２１又は２２に記載の方法。
  24. 第１ネットワーク要素に適用されるサービス認証方法であって、
    第１トークン要求をネットワークリポジトリ機能ネットワーク要素へ送信することであり、前記第１トークン要求は、ネットワーク機能サービスコンシューマエンティティの第１情報と、前記ネットワーク機能サービスコンシューマエンティティのアサーションとを含み、前記アサーションは、前記ネットワーク機能サービスコンシューマエンティティの証明書を含み、前記証明書は、前記ネットワーク機能サービスコンシューマエンティティの第２情報を含む、ことと、
    前記ネットワークリポジトリ機能ネットワーク要素からトークンを受信することと
    を有する方法。
  25. 前記トークンを受信した後、当該方法は、
    第１サービス要求を前記ネットワーク機能サービスプロバイダエンティティへ送信することであり、前記第１サービス要求は前記トークン及び前記アサーションを含み、前記トークンは第１ネットワーク機能インスタンス識別子を含み、前記アサーションは第２ネットワーク機能インスタンス識別子を更に含む、ことを更に有し、
    前記第１サービス要求は、前記ネットワーク機能サービスコンシューマエンティティにサービスを提供することを前記ネットワーク機能サービスプロバイダエンティティに要求するためのものである、
    請求項２４に記載の方法。
  26. 前記第１ネットワーク要素はサービス通信プロキシネットワーク要素であり、
    前記第１トークン要求を前記ネットワークリポジトリ機能ネットワーク要素へ送信する前に、当該方法は、
    前記ネットワーク機能サービスコンシューマエンティティから第２トークン要求又は第２サービス要求を受信することであり、前記第２トークン要求又は前記第２サービス要求は前記証明書を含む、ことと、
    前記証明書に関連する第１完全修飾ドメイン名ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得することと、
    前記第１ＦＱＤＮが前記第３ネットワーク機能インスタンス識別子と一致することを決定することと
    を更に有する、
    請求項２４又は２５に記載の方法。
  27. ネットワーク機能サービスプロバイダエンティティに適用されるサービス認証方法であって、
    第１ネットワーク要素から第１サービス要求を受信することであり、前記第１サービス要求はトークン及びアサーションを含み、前記トークンは前記第１ネットワーク機能インスタンス識別子を含み、前記アサーションは第２ネットワーク機能インスタンス識別子を含む、前記受信することと、
    検証により、前記第１ネットワーク機能インスタンス識別子が前記第２ネットワーク機能インスタンス識別子と一致するかどうかを決定することと、
    前記第１ネットワーク機能インスタンス識別子が前記第２ネットワーク機能インスタンス識別子と一致すると決定した後、前記ネットワーク機能サービスコンシューマエンティティに前記サービスを提供することと
    を有する方法。
  28. 第１ネットワーク要素から第１トークン要求を受信するよう構成されるトランシーバユニットであり、前記第１トークン要求は、ネットワーク機能サービスコンシューマエンティティの第１情報と、前記ネットワーク機能サービスコンシューマエンティティのアサーションとを含み、前記アサーションは、前記ネットワーク機能サービスコンシューマエンティティの証明書を含み、前記証明書は、前記ネットワーク機能サービスコンシューマエンティティの第２情報を含む、前記トランシーバユニットと、
    検証により、前記第１情報が前記第２情報と一致するかどうかを決定し、前記第１情報が前記第２情報と一致すると決定した後、トークンを生成するよう構成される処理ユニットと
    を有し、
    前記トランシーバユニットは、前記トークンを前記第１ネットワーク要素へ送信する要更に構成される、
    通信装置。
  29. 前記トランシーバユニットが前記第１トークン要求を受信した後、かつ、前記トランシーバユニットが前記トークンを前記第１ネットワーク要素へ送信する前に、前記処理ユニットは、
    前記証明書に関連する第１ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得し、
    前記第１ＦＱＤＮが前記第３ネットワーク機能インスタンス識別子と一致すること及び前記第１情報が前記第２情報と一致することを決定する
    よう更に構成される、
    請求項２８に記載の装置。
  30. 検証により、前記第１情報が前記第２情報と一致するかどうかを決定するよう構成される場合に、前記処理ユニットは、
    前記第１情報が前記第２情報と同じである場合に、前記第１情報が前記第２情報と一致すると決定するか、又は
    前記第１情報が前記第２情報のサブセットであると決定する場合に、前記第１情報が前記第２情報と一致すると決定する
    よう特に構成される、
    請求項２８又は２９に記載の装置。
  31. 第１トークン要求を生成するよう構成される処理ユニットであり、前記第１トークン要求は、ネットワーク機能サービスコンシューマエンティティの第１情報と、前記ネットワーク機能サービスコンシューマエンティティのアサーションとを含み、前記アサーションは、前記ネットワーク機能サービスコンシューマエンティティの証明書を含み、前記証明書は、前記ネットワーク機能サービスコンシューマエンティティの第２情報を含む、前記処理ユニットと、
    前記第１トークン要求をネットワークリポジトリ機能ネットワーク要素へ送信し、前記ネットワークリポジトリ機能ネットワーク要素からトークンを受信するよう構成されるトランシーバユニットと
    を有する通信装置。
  32. 前記トークンを受信した後、前記トランシーバユニットは、
    第１サービス要求を前記ネットワーク機能サービスプロバイダエンティティへ送信するよう更に構成され、前記第１サービス要求は前記トークン及び前記アサーションを含み、前記トークンは第１ネットワーク機能インスタンス識別子を含み、前記アサーションは第２ネットワーク機能インスタンス識別子を更に含み、
    前記第１サービス要求は、前記ネットワーク機能サービスコンシューマエンティティにサービスを提供することを前記ネットワーク機能サービスプロバイダエンティティに要求するためのものである、
    請求項３１に記載の装置。
  33. 前記第１ネットワーク要素はサービス通信プロキシネットワーク要素であり、
    前記第１トークン要求を前記ネットワークリポジトリ機能ネットワーク要素へ送信する前に、前記トランシーバユニットは、
    前記ネットワーク機能サービスコンシューマエンティティから第２トークン要求又は第２サービス要求を受信するよう更に構成され、前記第２トークン要求又は前記第２サービス要求は前記証明書を含み、
    前記処理ユニットは、前記証明書に関連する第１完全修飾ドメイン名ＦＱＤＮ及び第３ネットワーク機能インスタンス識別子を取得し、前記第１ＦＱＤＮが前記第３ネットワーク機能インスタンス識別子と一致することを決定するよう更に構成される、
    請求項３１又は３２に記載の装置。
  34. 第１ネットワーク要素から第１サービス要求を受信するよう構成されるトランシーバユニットであり、前記第１サービス要求はトークン及びアサーションを含み、前記トークンは第１ネットワーク機能インスタンス識別子を含み、前記アサーションは第２ネットワーク機能インスタンス識別子を含む、前記トランシーバユニットと、
    検証により、前記第１ネットワーク機能インスタンス識別子が前記第２ネットワーク機能インスタンス識別子と一致するかどうかを決定し、前記第１ネットワーク機能インスタンス識別子が前記第２ネットワーク機能インスタンス識別子と一致すると決定した後、前記ネットワーク機能サービスコンシューマエンティティに前記サービスを提供するよう構成される処理ユニットと
    を有する通信装置。
  35. 請求項２８に記載の通信装置と
    請求項３１に記載の通信装置と
    を有するサービス認証システム。
  36. 当該システムは、
    請求項３４に記載の通信装置を更に有する、
    請求項３５に記載のシステム。
  37. プログラム又は命令を有し、
    前記プログラム又は前記命令がコンピュータで実行されると、請求項１乃至６、請求項７及び８、請求項２１乃至２３、請求項２４乃至２６、又は請求項２７のうちいずれか一項に記載の方法が実行される、
    コンピュータ可読記憶媒体。
  38. メモリへ結合され、該メモリに記憶されているプログラム命令を読み出して実行して、請求項１乃至６、請求項７及び８、請求項２１乃至２３、請求項２４乃至２６、又は請求項２７のうちいずれか一項に記載の方法を実施するよう構成されるチップ。
  39. 前記第１情報は、次の、第１公衆地上移動体ネットワーク識別子、第１スタンドアロン非公衆ネットワーク識別子、第１単一ネットワークスライス選択支援情報識別子、前記第１ネットワーク機能インスタンス識別子、第２ネットワーク機能タイプ、第１ネットワーク機能セット、及び第１統一資源識別子、のうちの１つ以上を含み、
    前記第２情報は、次の、第２公衆地上移動体ネットワーク識別子、第２スタンドアロン非公衆ネットワーク識別子、第２単一ネットワークスライス選択支援情報識別子、前記第３ネットワーク機能インスタンス識別子、第２ネットワーク機能タイプ、第２ネットワーク機能セット、及び第２統一資源識別子、のうちの１つ以上を含む、
    請求項１５乃至２０のうちいずれか一項に記載の方法、又は請求項２８乃至３４のうちいずれか一項に記載の装置、又は請求項３５及び３６のうちいずれか一項に記載のシステム。
  40. 請求項９乃至１２のうちいずれか一項に記載の通信装置と、
    請求項１３又は１４に記載の通信装置と
    を有するサービス認証システム。
JP2023526336A 2020-10-30 2021-10-21 サービス認証方法、通信装置、及びシステム Pending JP2023547926A (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
CN202011197519.5 2020-10-30
CN202011197519.5A CN114528540A (zh) 2020-10-30 2020-10-30 一种服务授权方法、通信装置及系统
PCT/CN2021/125200 WO2022089290A1 (zh) 2020-10-30 2021-10-21 一种服务授权方法、通信装置及系统

Publications (1)

Publication Number Publication Date
JP2023547926A true JP2023547926A (ja) 2023-11-14

Family

ID=81381912

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2023526336A Pending JP2023547926A (ja) 2020-10-30 2021-10-21 サービス認証方法、通信装置、及びシステム

Country Status (6)

Country Link
US (1) US20230262459A1 (ja)
EP (1) EP4224346A4 (ja)
JP (1) JP2023547926A (ja)
KR (1) KR20230096062A (ja)
CN (1) CN114528540A (ja)
WO (1) WO2022089290A1 (ja)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021234028A1 (en) * 2020-05-20 2021-11-25 Telefonaktiebolaget Lm Ericsson (Publ) Service request handling
FI129556B (en) * 2021-01-13 2022-04-29 Nokia Technologies Oy Handling an error in a network function call
US11630922B2 (en) * 2021-09-23 2023-04-18 Rockwell Automation Technologies, Inc. Counterfeit hardware detection techniques
CN117318948A (zh) * 2022-06-20 2023-12-29 华为技术有限公司 通信方法和装置
CN117858087A (zh) * 2022-09-30 2024-04-09 中国移动通信有限公司研究院 信息传输方法、装置、设备及存储介质

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060083262A1 (en) * 2004-10-14 2006-04-20 Utstarcom, Inc. Method and apparatus to facilitate use of a pool of internet protocol 6to4 address prefixes
US11075819B2 (en) * 2014-08-07 2021-07-27 Ca, Inc. Identifying unauthorized changes to network elements and determining the impact of unauthorized changes to network elements on network services
US10963553B2 (en) * 2018-02-15 2021-03-30 Nokia Technologies Oy Security management for service authorization in communication systems with service-based architecture
CN110519074B (zh) * 2018-05-22 2022-04-12 华为技术有限公司 一种服务区域管理方法及装置
CN110650029B (zh) * 2018-06-26 2021-05-18 华为技术有限公司 一种配置方法及装置
CN111435932B (zh) * 2019-01-14 2021-10-01 华为技术有限公司 一种令牌处理方法及装置

Also Published As

Publication number Publication date
KR20230096062A (ko) 2023-06-29
EP4224346A1 (en) 2023-08-09
WO2022089290A1 (zh) 2022-05-05
CN114528540A (zh) 2022-05-24
US20230262459A1 (en) 2023-08-17
EP4224346A4 (en) 2024-03-27

Similar Documents

Publication Publication Date Title
JP2023547926A (ja) サービス認証方法、通信装置、及びシステム
US11134105B2 (en) Method and apparatus for providing a profile
US10346147B2 (en) Method and apparatus for providing a profile
KR102398221B1 (ko) 무선 직접통신 네트워크에서 비대칭 키를 사용하여 아이덴티티를 검증하기 위한 방법 및 장치
KR102492203B1 (ko) 기기간 통신 네트워크에서의 자동화된 서비스 등록
KR102094216B1 (ko) 이동 통신 시스템 환경에서 프락시미티 기반 서비스 단말 간 발견 및 통신을 지원하기 위한 보안 방안 및 시스템
US11989543B2 (en) Method for interoperating between bundle download process and eSIM profile download process by SSP terminal
US11831736B2 (en) System and methods for service layer cache management
JP2022541760A (ja) コアネットワークドメインにおける証明書ハンドリングのための技法
CN113709736B (zh) 网络认证方法及装置、系统
WO2018045983A1 (zh) 信息处理方法、装置以及网络系统
US20200128392A1 (en) Methods for automatic bootstrapping of a device
CN109891921B (zh) 下一代系统的认证的方法、装置和计算机可读存储介质
EP4226663A1 (en) Relay ue and remote ue authorization
CN115699678A (zh) 设备注销的方法、设备注册的方法、通信设备和云平台
WO2021099675A1 (en) Mobile network service security management
CN114301788A (zh) 一种切片管理方法、装置及通信设备
CN112887965A (zh) 发送用户标识的方法和装置
US20230030315A1 (en) Network Security
JP7428265B2 (ja) 通信端末及びその方法
WO2022116695A1 (zh) 发送用户标识的方法和装置
TW202245442A (zh) 一種通訊方法及裝置
WO2015135269A1 (zh) 业务发现及鉴权方法、设备、终端、系统及计算机存储介质
WO2021079023A1 (en) Inter-mobile network communication security
CN116114282A (zh) 一种注册方法及装置

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230529

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20230529

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20240514