JP4649513B2 - 無線携帯インターネットシステムの認証方法及び関連キー生成方法 - Google Patents

Description

本発明は、無線携帯インターネットシステムにおける認証方法に関する。より具体的には、本発明は、無線携帯インターネットシステムの認証方法と、この認証方法に関する各種のキーを生成する方法に関するものである。

移動通信システムにおける無線携帯インターネットは、従来の無線ＬＡＮのように固定されたアクセスポイントを利用する近距離データ通信方式に、移動性をさらに支援する次世代通信方式である。このような無線携帯インターネットに対して多様な標準が提案され、現在ＩＥＥＥ８０２．１６ｅで活発に携帯インターネットの国際標準化が進められている。ここで、ＩＥＥＥ８０２．１６とは、基本的に都市規模通信網（ＭＡＮ）を支援する規格であって、構内情報通信網（ＬＡＮ）と広域通信網（ＷＡＮ）の中間程度の地域を網羅する情報通信網のことである。

無線携帯インターネットシステムで多様なトラフィックデータサービスを安全に提供するためには、端末に対する認証及び権限検証手続を含むセキュリティ（保安）機能を遂行する必要がある。このような機能は、無線携帯インターネットサービスの安全性及び網の安定性のために必要な、基本的な要求事項として提案されている。最近では、より強力な保安性を提供する保安キー管理プロトコルであるＰＫＭｖ２（Ｐｒｉｖａｃｙ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｖｅｒｓｉｏｎ ２）が提案された。

従来提案されたＰＫＭｖ２では、端末と基地局を相互認証するＲＳＡ（Ｒｉｖｅｓｔ Ｓｈａｍｉｒ Ａｄｌｅｍａｎ）基盤認証方式と、上位認証プロトコルを使用するＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）基盤認証方式を多様に組み合わせて、端末または基地局に対する装置認証、そして使用者認証まで行うことができる。

ＲＳＡ基盤認証方式によって認証を行う場合、端末と基地局は、認証要請メッセージとこれに対する認証応答メッセージとを互いに交換して、端末と基地局装置に対する相互認証を行う。認証手続が完了すると、端末は自ら支援可能な全ての保安関連アルゴリズム（Ｓｅｃｕｒｉｔｙ_Ｃａｐａｂｉｌｉｔｉｅｓ）を基地局に通知し、基地局はこれを交渉してＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）情報を端末に与える。

しかしながら、この場合、端末と基地局の間で伝達される情報を含むメッセージが、別途の認証機能なく無線上で送受信されることによって、このような情報に対する保安が行われないなどの問題が発生する。

一方、ＲＳＡ基盤認証方式とＥＡＰ基盤認証方式を組み合わせて使用して、ＥＡＰ基盤認証手続のみを行う場合、または、ＲＳＡ基盤認証手続の後にＥＡＰ基盤認証手続を行ったり、ＲＳＡ基盤認証手続の後に認証されたＥＡＰ基盤認証手続を行う場合には、認証が完了すると、別途のＳＡ-ＴＥＫ（ＳＡ-Ｔｒａｆｆｉｃ Ｅｎｃｒｙｐｔｉｏｎ Ｋｅｙ）手続を行って、ＳＡ情報を端末に提供しなければならない。

特に、ＲＳＡ基盤認証方式とＥＡＰ基盤認証方式が共に行われる場合、ＲＳＡ基盤認証手続によってＳＡ情報が端末に提供された状態で、ＥＡＰ基盤認証手続が完了した後に再びＳＡ-ＴＥＫ手続が行われることによって、端末は、基地局から自機に関連する全てのＳＡ情報を、ＲＳＡ基盤認証手続とＳＡ-ＴＥＫ手続を通じて２回受信する。したがって、不必要にＳＡ情報のための手続が繰り返されて無線資源の浪費が発生し、認証手続が長くなるなどの問題が発生する。したがって、従来の認証方法は、非体系的で非画一的に行われるなどの問題がある。

また、多様な組み合わせからなる認証方式を通じて導出される端末関連認証キーの構造が非体系的で非効率的な問題がある。

したがって、本発明が目的とする技術的課題は、上述のような従来の問題点を解決するためのもので、無線携帯インターネットシステムでＰＫＭｖ２基盤の認証方式に基づいて、体系的で効率的な認証方法を提供することにある。

また、本発明が目的とする技術的課題は、権限検証が行われた端末に対する体系的構造を有する認証キーを導出することができるキー生成方法を提供することにある。さらに、本発明が目的とする技術的課題は、認証キーに基づいてメッセージ認証のためのキーを生成する方法を提供することにある。

また、本発明が目的とする技術的課題は、権限検証された端末と基地局の間の安定的なトラフィックデータ伝送のためのトラフィックデータ暗号化キーを生成して伝達する方法を提供することにある。

このような技術的課題を達成するために、本発明の第１の特徴による認証方法は、無線携帯インターネットシステムで、基地局または加入者端末である第１ノードが、加入者端末または基地局である第２ノードと連係して認証処理を行う方法であって、ａ）前記第１ノードと第２ノードとの間での協議により設定された認証方式に対応する認証手続を行う段階;ｂ）前記認証手続に従って、前記第２ノードと共有される認証キーを生成するための１つ以上の基本キーを獲得する段階;ｃ）前記第１ノードの識別子、前記第２ノードの識別子、及び前記基本キーに基づいて認証キーを生成する段階;及び、ｄ）前記認証キー関連パラメータ及び保安関連パラメータを含む追加的な認証手続のメッセージに基づいて、保安アルゴリズムとＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）情報とを交換する段階を含む。

また、本発明の第２の特徴による認証方法は、無線携帯インターネットシステムで、基地局または加入者端末である第１ノードが、加入者端末または基地局である第２ノードと連係して認証処理を行う方法であって、ａ）前記第１ノードと第２ノードとの間での協議により設定された認証方式に対応する認証手続を行う段階;ｂ）前記認証手続に従って、前記第１ノードと前記第２ノードとの間で共有される認証キーを生成するための１つ以上の基本キーを獲得する段階;及び、ｃ）前記認証キー関連パラメータ及び保安関連パラメータを含む別途の認証手続のメッセージに基づいて、前記第２ノードとの間で、保安アルゴリズムとＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）情報とを交換する段階を含み、前記ｃ）段階は、前記第１ノードの識別子、前記第１ノードが任意に生成した第１ランダム値、前記基本キー、前記第２ノードの識別子、及び前記第２ノードが任意に生成した第２ランダム値、に基づいて認証キーを生成する段階をさらに含む。

また、本発明の第３の特徴による認証方法は、無線携帯インターネットシステムで、基地局または加入者端末である第１ノードが、加入者端末または基地局である第２ノードと連係して認証処理を行う方法であって、ａ）前記第１ノードと第２ノードとの間での協議により設定された認証方式に対応する認証手続を行う段階;ｂ）前記認証手続に従って、前記第１ノードと前記第２ノードとの間で共有される認証キーを獲得する段階;及び、ｃ）前記認証キー関連パラメータ及び保安関連パラメータを含む追加の認証手続のメッセージに基づいて、前記第２ノードとの間で、保安アルゴリズムとＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）情報を交換する段階を含む。

また、本発明の第４の特徴による認証キー生成方法は、無線携帯インターネットシステムで基地局または加入者端末である第１ノードが加入者端末または基地局である第２ノードと連係して認証処理を行う際の、前記認証に関するキーを生成する方法であって、ａ）前記第１ノードが前記第２ノードと協議することにより設定された認証方式に対応する認証手続を行って、認証キー生成のための第１の基本キーを獲得する段階;ｂ）前記第１の基本キーから第２の基本キーを生成する段階;及び、ｃ）前記第２の基本キーを入力キーとし使用し、かつ、前記第１ノードの識別子、前記第２ノードの識別子、及び所定のストリング文字を入力データとして使用して、キー生成アルゴリズムを行うことにより認証キーを生成する段階を含む。

また、本発明の第５の特徴による認証キー生成方法は、無線携帯インターネットシステムで基地局または加入者端末である第１ノードが加入者端末または基地局である第２ノードと連係して認証処理を行う際の、前記認証に関するキーを生成する方法であって、ａ）前記第１ノードが前記第２ノードと協議することにより設定された認証方式に対応する認証手続を行って、認証キー生成のための第１の基本キーを獲得する段階;ｂ）前記第１の基本キーから第２の基本キーを生成する段階;及び、ｃ）前記第２の基本キーを入力キーとして使用し、かつ、前記第１ノードの識別子、前記第１ノードが任意に生成した第１のランダム値、前記第２ノードの識別子、前記第２ノードが任意に生成した第２のランダム値、及び所定のストリング文字を入力データとして使用して、キー生成アルゴリズムを行うことにより認証キーを生成する段階を含む。

また、本発明の第６の特徴による認証キー生成方法は、無線携帯インターネットシステムで、基地局または加入者端末である第１ノードが、加入者端末または基地局である第２ノードと連係しながら認証処理を行い、メッセージ認証キー関連パラメータを生成するための、メッセージ認証キーを生成する方法であって、ａ）前記第１ノードと第２ノードとの間の協議によって、ＲＳＡ基盤認証手続後に認証されたＥＡＰ基盤認証手続が行われる方式が選択された場合に、前記第１ノードがＲＳＡ基盤認証手続を通じて前記第２ノードと共有される基本キーを獲得する段階;ｂ）前記基本キーを入力キーとして使用し、かつ、第１ノードの識別子、第２ノードの識別子、及び所定のストリング文字を入力データとして使用して、キー生成アルゴリズムを実行することによって、結果データを獲得する段階;ｃ）前記結果データの所定ビットを抽出し、該抽出されたビットの第１の所定ビットを、上位リンク用メッセージのメッセージ認証コード関連パラメータを生成するためのメッセージ認証キーとして使用する段階;及び、ｄ）前記結果データの所定ビットを抽出し、該抽出されたビットの第２の所定ビットを、下位リンク用メッセージのメッセージ認証コード関連パラメータを生成するためのメッセージ認証キーとして生成する段階を含む。

以下、添付した図面を参照して本発明の実施形態について本発明が属する技術分野における通常の知識を有する者が容易に実施できるように詳しく説明する。但し、本発明は多様で相異なる形態で実現することができ、ここで説明する実施形態に限られない。図面で本発明を明確に説明するために説明上不必要な部分は省略した。

また、ある部分がある構成要素を‘含む'とするとき、これは特に反対になる記載のない限り他の構成要素を除くことではなく、他の構成要素をさらに含むことを意味する。

図１は本発明の実施形態による無線携帯インターネットシステムの構造を概略的に示す図面である。

この無線携帯インターネットシステムは、基本的に、加入者端末１００と、基地局２００，２１０（説明の便宜のため、選択的に“２００”を代表番号とする。）と、前記基地局とゲートウェイを通じて接続されたルーター（３００、３１０）と、ルーター（３００、３１０）に接続され加入者端末１００に対する認証を行う認証サーバー（ＡＡＡ:Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｚａｔｉｏｎａｎｄ Ａｃｃｏｕｎｔｉｎｇ）４００と、を含む。

加入者端末１００と基地局（２００、２１０）は、相互に通信を開始しながら、加入者端末（以下、単に「端末」とも言う。）１００に対する認証のための認証方式を交渉し、該交渉により選択された認証方式によって、認証手続を行う。ここで、ＲＳＡ基盤認証方式が選択される場合には、端末と基地局のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）階層でＲＳＡ基盤認証が行われ、ＥＡＰ基盤認証方式が選択される場合には、端末と認証サーバーの上位ＥＡＰ認証プロトコル階層でＥＡＰ基盤認証が行われる。本発明の実施形態では、各ノードの上位ＥＡＰ認証プロトコル階層は、ＭＡＣ階層よりも上位の層に位置されることによりＥＡＰ認証関連処理を行う階層であって、多様な認証プロトコルを伝送するプロトコルであるＥＡＰ階層及びＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌｅｖｅｌ Ｓｅｃｕｒｉｔｙ）またはＴＴＬＳ（Ｔｕｎｎｅｌｅｄ ＴＬＳ）プロトコルのような実際の認証を行うための認証プロトコル階層を含む。上位ＥＡＰ認証プロトコル階層は、ＭＡＣ階層から伝達されるデータに基づいてＥＡＰ認証処理を行い、それによるＥＡＰ認証情報をＭＡＣ階層に伝達する。したがって、この情報は、ＭＡＣ階層を通じてＥＡＰ認証に関する各種メッセージのフォーマットへと処理され、その後、他のノードに伝達される。

ＭＡＣ階層は、無線通信を可能にするための総体的な制御を行い、その機能別に、システムアクセス、帯域幅割当、トラフィックコネクション設定及び維持、ＱｏＳ管理に関する機能を担当するＭＡＣ共通部副階層と、ペイロードヘッダーサプレッション（ｐａｙｌｏａｄ ｈｅａｄｅｒ ｓｕｐｐｒｅｓｓｉｏｎ）及びＱｏＳマッピング機能を担当するサービス特定コンバージェンス副階層（ＳｅｒｖｉｃｅＳｐｅｃｉｆｉｃＣｏｎｖｅｒｇｅｎｃｅＳｕｂｌａｙｅｒ）と、に分けられる。このような階層構造で、加入者端末または基地局に対する装置認証及び保安キー交換、暗号化機能を含む保安機能を行う保安副階層（Ｓｅｃｕｒｉｔｙ Ｓｕｂｌａｙｅｒ）は、ＭＡＣ共通部副階層に定義されるが、これらの階層に限定されない。

本発明の実施形態による加入者端末１００と基地局２００の間に行われる認証政策は、ＰＫＭｖ２による認証政策に基づく。ＰＫＭｖ２による認証政策は、ＲＳＡ基盤認証方式と、ＥＡＰ基盤認証方式と、認証されたＥＡＰ基盤認証方式との組み合わせに応じて、次のような４つの種類に分類される。

第１に、端末と基地局の相互の装置認証を行うためのＲＳＡ基盤の認証方式であり、第２に、上位ＥＡＰ認証プロトコルを使用して端末または基地局に対する装置認証または使用者認証を行うためのＥＡＰ基盤の認証方式である。第３に、端末と基地局の相互の装置認証のためにＲＳＡ基盤認証方式を先に行って、次に使用者認証のためにＥＡＰ基盤認証を行う、という２つの方法の組み合わせ方式がある。そして、第４は、端末または基地局に対する装置認証のためにＲＳＡ基盤の認証方式またはＥＡＰ基盤認証を行い、そのＲＳＡ基盤の認証方式またはＥＡＰ基盤認証の結果によって得られたキーを用いて遂行される、認証されたＥＡＰ基盤の認証方式（Ａｕｔｈｅｎｔｉｃａｔｅｄ ＥＡＰ−ｂａｓｅｄ ａｕｔｈｏｒｉｚａｔｉｏｎ）である。

認証されたＥＡＰ基盤認証方式は、上位ＥＡＰ認証プロトコルを利用するという点ではＥＡＰ基盤認証方式と同一であるが、ＥＡＰ基盤認証方式と異なって、端末と基地局が上位ＥＡＰ認証プロトコルを伝送するときに使用されるメッセージに対する認証を行う方式である。認証されたＥＡＰ基盤認証方式の場合、端末と基地局が実質的な認証手続を行う前に、加入者端末の基本機能交渉手続を通じて、端末と基地局との間のメッセージ認証機能を行うために使用されるメッセージ認証方式（ＭＡＣ ｍｏｄｅ:Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ Ｍｏｄｅ）を決めるが、この時に決められたメッセージ認証方式（ＭＡＣ モード）によって、ＨＭＡＣ（Ｈａｓｈｅｄ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）またはＣＭＡＣ（Ｃｉｐｈｅｒ−ｂａｓｅｄ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）が決定される。

以下に記述される本発明の実施形態は、加入者端末と基地局との間の交渉に応じて、上述した４つの方法のうちの選択された１つの方法によって、認証を遂行する。そして、上述した４つの認証方法の中で選択された１つの認証方法を遂行した後に、加入者端末と基地局は、加入者端末の保安アルゴリズム及びＳＡ情報を交換するために、ＳＡ−ＴＥＫ手続を行う。

本発明の第１実施形態では、上述した４つの方法のうちの選択された１つの認証方法で認証を行いながら、加入者端末と基地局が、認証キー（ＡＫ:Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｋｅｙ）を生成するために、ＲＳＡ基盤認証手続を通じて得られたキー（ＰＡＫ:Ｐｒｉｍａｒｙ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｋｅｙ）、またはＥＡＰ基盤認証手続や認証されたＥＡＰ基盤認証手続を通じて得られたキー（ＰＭＫ:Ｐａｉｒｗｉｓｅ Ｍａｓｔｅｒ Ｋｅｙ）、端末識別子、つまり、端末ＭＡＣアドレス、そして基地局識別子（ＢＳ ＩＤ）を使用するための、ＰＫＭｖ２のフレームワークを提供する。

また、本発明の第２実施形態では、加入者端末と基地局が、認証キーを生成するために、ＲＳＡ基盤認証手続を通じて得られたキー（ＰＡＫ）またはＥＡＰ基盤認証手続や認証されたＥＡＰ基盤認証手続を通じて得られたキー（ＰＭＫ）、加入者端末識別子である加入者端末のＭＡＣアドレス、そして基地局識別子（ＢＳ ＩＤ）だけでなく、ＳＡ−ＴＥＫ手続で含まれてランダムに生成された値である、加入者端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）と基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）を使用するための、ＰＫＭｖ２のフレームワークを提供する。

なお、本発明の実施形態では加入者端末識別子として端末のＭＡＣアドレスを使用するが、必ずしもこれに限定されるものではない。したがって、認証キーを生成するために、加入者端末ＭＡＣアドレスの代わりに当該端末を識別することができる他の情報が使用されてもよい。

まず、各実施形態による認証方法を説明する前に、認証時に使用されるメッセージの構造について具体的に説明する。

図２は本発明の実施形態によるＲＳＡ基盤認証方式に使用されるＰＫＭｖ２ＲＳＡ−依頼メッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２ＲＳＡ−依頼メッセージは、加入者端末が基地局に端末装置認証を要請するために使用されるメッセージであり、別名“ＲＳＡ認証要請メッセージ”とも言う。具体的には、ＰＫＭｖ２ＲＳＡ−依頼メッセージは、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）、端末認証書（ＭＳ_Ｃｅｒｔｉｆｉｃａｔｅ）、そしてメッセージ認証パラメータ（ＳｉｇＳＳ）を含む。

端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）は、端末が任意に生成する値（例:６４ビット）であり、悪意の攻撃者からの反復的攻撃を防止するためのものである。

端末認証書は、端末の公開キーを含む。端末認証書を基地局が受信した場合には、当該基地局は、その端末認証書に基づいて、端末装置に対する権限検証を行う。

メッセージ認証パラメータ（ＳｉｇＳＳ）は、ＰＫＭｖ２ＲＳＡ−依頼メッセージ自体を認証するために使用されるパラメータである。端末は、端末の秘密キーに基づいて、ＳｉｇＳＳを除いたＰＫＭｖ２ＲＳＡ−依頼メッセージの残りのパラメータを端末メッセージハッシュ関数（例:ＲＳＡアルゴリズム）に適用させることによって、ＳｉｇＳＳを生成する。

図３は本発明の実施形態によるＲＳＡ基盤認証方式に使用されるＰＫＭｖ２ＲＳＡ−応答メッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２ＲＳＡ−応答メッセージは、前記ＰＫＭｖ２ＲＳＡ−依頼メッセージによって端末に対する装置認証が成功裡に行われた場合に、基地局が端末に基地局装置認証を要請するために使用されるメッセージであって、別名“ＲＳＡ認証応答メッセージ”とも言う。より具体的に、ＰＫＭｖ２ＲＳＡ−応答メッセージは、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）、基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）、暗号化されたｐｒｅ−ＰＡＫ、キー有効時間、キー一連番号、基地局認証書（ＢＳ_Ｃｅｒｔｉｆｉｃａｔｅ）、そしてメッセージ認証パラメータ（ＳｉｇＢＳ）を含む。

端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）は、ＰＫＭｖ２ＲＳＡ−依頼メッセージに含まれたＭＳ_Ｒａｎｄｏｍと同一値である。基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）は、基地局が任意に生成した値（例:６４ビット）である。このような端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）及び基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）は、悪意の攻撃者の反復的攻撃を防止するためのパラメータである。

暗号化されたｐｒｅ−ＰＡＫは、基地局が任意に生成した値（ｐｒｅ−ＰＡＫ）を、ＰＫＭｖ２ＲＳＡ−依頼メッセージの内部パラメータのうちの１つである端末認証書（ＭＳ_Ｃｅｒｔｉｆｉｃａｔｅ）に含まれた端末の公開キーで暗号化することによって生成される値である。例えば、ｐｒｅ−ＰＡＫは、基地局が任意に生成した２５６ビット値であり得る。

キー有効時間は、ＰＡＫの有効時間として与えられたものであり、キー一連番号は、ＰＡＫの一連番号を示すものである。基地局認証書（ＢＳ_Ｃｅｒｔｉｆｉｃａｔｅ）には基地局の公開キーが含まれ、端末は、このような基地局認証書に基づいて基地局装置に対する権限検証を行う。メッセージ認証パラメータ（ＳｉｇＢＳ）は、ＰＫＭｖ２ＲＳＡ−応答メッセージ自体を認証するために使用されるパラメータである。基地局は、基地局の秘密キーに基づいて、ＳｉｇＢＳを除いたＰＫＭｖ２ＲＳＡ−応答メッセージの残りのパラメータをメッセージハッシュ関数（例:ＲＳＡアルゴリズム）に適用させることによって、ＳｉｇＢＳを生成する。

図４は本発明の実施形態によるＲＳＡ基盤認証方式に使用されるＰＫＭｖ２ＲＳＡ−拒絶メッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２ＲＳＡ−拒絶メッセージは、前記ＰＫＭｖ２ＲＳＡ−依頼メッセージを受信した基地局が端末装置に対する認証に失敗した場合に、これを通知するために使用されるメッセージであり、別名“ＲＳＡ認証失敗メッセージ”とも言う。具体的には、ＰＫＭｖ２ＲＳＡ−拒絶メッセージは、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）、基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）、エラーコード、表示ストリング、そしてメッセージ認証パラメータ（ＳｉｇＢＳ）を含む。

端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）は、ＰＫＭｖ２ＲＳＡ−依頼メッセージに含まれたＭＳ_Ｒａｎｄｏｍと同一値であり、基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）は、基地局が任意に生成した値（例:６４ビット）である。基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）は、悪意の攻撃者の反復的攻撃を防止するためのパラメータである。

エラーコードは、基地局が端末装置に対する権限検証に失敗した理由を示し、表示ストリングは、端末装置に対する権限検証失敗の理由をストリングで示すものである。メッセージ認証パラメータ（ＳｉｇＢＳ）は、ＰＫＭｖ２ＲＳＡ−拒絶メッセージ自体を認証するために使用されるパラメータである。基地局は、基地局の秘密キーに基づいて、ＳｉｇＢＳを除いたＰＫＭｖ２ＲＳＡ−拒絶メッセージの残りのパラメータをメッセージハッシュ関数（例:ＲＳＡアルゴリズム）に適用させることによって、ＳｉｇＢＳを生成する。

図５は本発明で提案するＲＳＡ基盤認証方式に使用されるＰＫＭｖ２ＲＳＡ−承認メッセージの内部パラメータ構造を示すテーブルである。ＰＫＭｖ２ＲＳＡ−承認メッセージは、前記ＰＫＭｖ２ＲＳＡ−応答メッセージを受信した端末が基地局装置に対する認証に成功した場合に、これを通知するために使用するメッセージであり、別名“ＲＳＡ認証認知メッセージ”とも言う。基地局装置に対する認証成功の意味が含まれたＰＫＭｖ２ＲＳＡ−承認メッセージを基地局が受信すると、ＲＳＡ基盤認証手続が完了する。

具体的には、ＰＫＭｖ２ＲＳＡ−Ａｃｋｎｏｗｌｅｄｇｅメッセージは、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）及び基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）、認証結果コード、そしてメッセージ認証パラメータ（ＳｉｇＳＳ）を含み、かつ、エラーコード及び表示ストリングを選択的にさらに含む。

端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）は、ＰＫＭｖ２ＲＳＡ−依頼メッセージに含まれたＭＳ_Ｒａｎｓｏｍと同一値であり、基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）は、ＰＫＭｖ２ＲＳＡ−応答メッセージに含まれたＢＳ_Ｒａｎｓｏｍと同一値である。

認証結果コードは、基地局装置に対する権限検証結果（成功または失敗）を知らせるためのコードである。この認証結果コードの値が失敗である場合のみ、エラーコードと表示ストリングとが定義される。エラーコードは、端末が基地局装置に対する権限検証に失敗した理由を示し、表示ストリングは、基地局装置に対する権限検証失敗の理由をストリングで示したものである。

メッセージ認証パラメータ（ＳｉｇＳＳ）は、ＰＫＭｖ２ＲＳＡ−承認メッセージ自体を認証するために使用されるパラメータである。端末は、端末の秘密キーに基づいて、ＳｉｇＳＳを除いたＰＫＭｖ２ＲＳＡ−承認メッセージの残りのパラメータをメッセージハッシュ関数（例:ＲＳＡアルゴリズム）に適用させることによって、ＳｉｇＳＳを生成する。

一方、本発明の実施形態によるＥＡＰ基盤認証方式または認証されたＥＡＰ基盤認証方式では、ＰＫＭｖ２ＥＡＰ−Ｓｔａｒｔメッセージが使用される。

ＰＫＭｖ２ＥＡＰ−Ｓｔａｒｔメッセージは、端末が基地局にＥＡＰ基盤認証手続または認証されたＥＡＰ基盤認証手続の開始を通知するメッセージであり、別名“ＥＡＰ認証開始メッセージ”とも言う。このようなＰＫＭｖ２ＥＡＰ−Ｓｔａｒｔメッセージは、具体的なパラメータを含まないが、必ずしもこれに限定されるものではない。

図６は本発明の実施形態によるＥＡＰ基盤認証方式で使用されるＰＫＭｖ２ＥＡＰ−転送メッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２ＥＡＰ−転送メッセージは、端末や基地局が上位ＥＡＰ認証プロトコルからＥＡＰデータを受信した場合に、相手方ノード（端末または基地局）に当該ＥＡＰデータを伝達するために使用されるメッセージであり、別名“ＥＡＰデータ伝送メッセージ”とも言う。

具体的には、ＰＫＭｖ２ＥＡＰ−転送メッセージは、ＥＡＰペイロードを含む。ＥＡＰペイロードは、上位ＥＡＰ認証プロトコルから受信したＥＡＰデータである。端末のＭＡＣ階層や基地局のＭＡＣ階層ではＥＡＰペイロードを分析しない。

図７は本発明の実施形態による認証されたＥＡＰ基盤認証方式で使用されるＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージは、端末や基地局が上位ＥＡＰ認証プロトコルからＥＡＰデータを受信すると、相手方ノード（端末または基地局）に当該ＥＡＰデータを伝達するために使用されるメッセージである。このＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージは、別名“認証されたＥＡＰデータ伝送メッセージ”とも言う。

ＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−Ｔｒａｓｎｆｅｒメッセージは、ＰＫＭｖ２ＥＡＰ−転送メッセージとは異なって、メッセージ認証機能が含まれたものである。かかるメッセージは、具体的には、キー一連番号、ＥＡＰペイロード、そしてメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を含む。

キー一連番号は、ＰＡＫの一連番号である。ＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージに含まれるメッセージ認証コード関連パラメータであるＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔを生成するためのキーは、ＲＳＡ基盤認証手続を通じて得られたｐｒｅ−ＰＡＫに基づいて導出される。端末及び基地局が同時に２つのｐｒｅ−ＰＡＫを有することができるので、ＰＡＫの一連番号は、これら２つのｐｒｅ−ＰＡＫらをそれぞれ区別するために必要である。このとき、ＰＡＫ一連番号は、ｐｒｅ−ＰＡＫ一連番号と同一である。したがって、キー一連番号は、メッセージ認証コード関連パラメータが生成される時に使用されるｐｒｅ−ＰＡＫのためのＰＡＫ一連番号を示す。

ＥＡＰペイロードは、上述のように、上位ＥＡＰ認証プロトコルから受信されたＥＡＰデータを示す。

メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）は、ＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージ自体を認証するために使用されるパラメータである。端末や基地局は、ＲＳＡ基盤認証手続を通じて共有されたｐｒｅ−ＰＡＫに基づいて、ＥＩＫ（ＥＡＰ Ｉｎｔｅｇｒｉｔｙ Ｋｅｙ）を生成する。このように生成されたＥＩＫに基づいて、メッセージ認証コード関連パラメータを除いたＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージの残りのパラメータをメッセージハッシュ関数（ＲＳＡアルゴリズム）に適用させることで、ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔが生成される。

一方、本発明の実施形態によるＥＡＰ基盤認証方法または認証されたＥＡＰ基盤認証方法では、ＰＫＭｖ２ＥＡＰ−転送−コンプリートメッセージが使用される。

ＰＫＭｖ２ＥＡＰ−転送−コンプリートメッセージは、端末がＥＡＰ基盤認証手続または認証されたＥＡＰ基盤認証手続を成功裡に終了したことを基地局に通知するために使用されるメッセージであり、別名“ＥＡＰ認証成功メッセージ”とも言う。ＰＫＭｖ２ＥＡＰ−転送−コンプリートメッセージは、いかなるパラメータも含まないが、必ずしもこれに限定されるものではない。

一方、上述したメッセージ（ＰＫＭｖ２ＲＳＡ−依頼メッセージ、ＰＫＭｖ２ＲＳＡ−依頼メッセージ、ＰＫＭｖ２ＲＳＡ−拒絶メッセージ、ＰＫＭｖ２ＲＳＡ−拒絶メッセージ、ＰＫＭｖ２ＥＡＰ−Ｓｔａｒｔメッセージ、ＰＫＭｖ２ＥＡＰ−転送メッセージ、ＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージ、ＰＫＭｖ２ＥＡＰ−転送−コンプリートメッセージ）は、第１及び第２の実施形態に、同一に適用される。

図８は本発明の実施形態によるＳＡ−ＴＥＫ手続中に使用されるＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージは、端末と基地局との間での認証手続が完了した後に、基地局が端末にＳＡ−ＴＥＫ手続の開始を通知するために使用されるメッセージであり、別名“ＳＡ−ＴＥＫ試みメッセージ”とも言う。

端末と基地局が認証キーを生成する時に、ＰＡＫまたはＰＭＫ（これらを認証キー生成のための基本キーとも言う。）、端末ＭＡＣアドレス、そして基地局識別子のみを使用する第１実施形態の場合には、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージは、基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）、キー一連番号、認証キー識別子（ＡＫ−ＩＤ:Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｋｅｙ−Ｉｄｅｎｔｉｆｉｅｒ）、メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を含み、キー有効時間を選択的にさらに含む。

基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）は、上述のように、基地局が任意に生成した値である。基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）は、悪意の攻撃者からの反復的攻撃を防止するためのパラメータである。

キー一連番号は、認証キーの一連番号である。ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含まれたＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔを生成するために使用されるキーは、認証キーから導出される。端末と基地局で同時に２つの認証キーを有することができるので、この２つの認証キーを区別するために認証キー一連番号が使用される。

キー有効時間は、ＰＭＫの有効時間である。このフィールドは、認証政策でＥＡＰ基盤認証方式または認証されたＥＡＰ基盤認証方式を支援しなければならず、また、上位ＥＡＰ認証プロトコルの特徴によってＭＳＫを端末と基地局が共有する場合に限って定義され得る。

認証キー識別子は、認証キー、認証キー一連番号、端末ＭＡＣアドレス、及び基地局識別子から導出された値である。この認証キー識別子は、端末と基地局とにより別個独自に生成され、基地局と端末とで同一の認証キー識別子を保持していることを確認するために、基地局から端末に伝送される。

認証キー一連番号は、ＰＡＫ一連番号とＰＭＫ一連番号との組み合わせで生成された値である。ＰＫＭｖ２ ＳＡ−ＴＥＫ−チャレンジメッセージに含まれる認証キー一連番号は、ＰＭＫ一連番号を通知するためのものである。これは、ＰＡＫ一連番号はＲＳＡ基盤認証手続のＰＫＭｖ２ＲＳＡ−応答メッセージに含まれているが、ＰＭＫ一連番号は、ＥＡＰ基盤認証手続のいかなるメッセージにも含まれていないためである。

認証キー識別子は、このような認証キー一連番号を通じて作られる。認証キー一連番号と認証キー識別子は、いずれも全て、端末と基地局が同時に２つの認証キーを有する場合に、かかる２つの認証キーを識別するために使用される。端末がハンドオーバーを要請する場合、認証キー一連番号は、新たな再認証手続を行わないと、すべての隣接基地局が同一値を使用することができる。これに反し、認証キー識別子は、基地局ごとに相異なる値を有する。

メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）は、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージ自体を認証するために使用されるパラメータである。基地局は、認証キーに基づいてメッセージ認証コード関連パラメータを除いたＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含まれた残りのパラメータをメッセージハッシュ関数に適用させて、ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔを生成する。

一方、端末と基地局が認証キーを生成するときに、ＰＡＫまたはＰＭＫ（認証キーを生成するための基本キーと呼ばれる。）と端末ＭＡＣアドレス、そして基地局識別子だけでなく、端末と基地局が任意に生成した端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）と基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）を使用する第２実施形態でも、端末と基地局が交渉した認証手続が完了した後に、基地局は、端末にＳＡ−ＴＥＫ手続を開始するために、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージを送信する。

第２実施形態に使用されるＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージは、第１実施形態とは異なって、基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）、ランダム値有効時間、キー一連番号を含み、上述のように認証政策でＥＡＰ基盤認証手続または認証されたＥＡＰ基盤認証手続を支援し、上位ＥＡＰ認証プロトコルの特性に従よってＭＳＫを端末と基地局が共有する場合、ＰＭＫに対するキー有効時間をさらに含むことができる。ここで、ランダム値有効時間は、端末ランダム値及び基地局ランダム値に対する有効時間を示す。

図９は本発明の実施形態によるＳＡ−ＴＥＫ手続に使用されるＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージは、端末が支援可能なすべての保安関連アルゴリズムを通知するためのメッセージであり、別名“ＳＡ−ＴＥＫ要請メッセージ”とも言う。第１実施形態で、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージを受信した端末が、当該メッセージの認証に成功した後に、当該端末が有する認証キー識別子、特に自機で生成した認証キー識別子と、基地局から受信されたＰＫＭｖ２ＳＡ−ＴＥＫチャレンジメッセージに含まれた認証キー識別子とが同一であることが確認された場合、該端末は、自ら支援可能なすべての保安関連アルゴリズムを含むＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージを基地局に送信する。第２実施形態ではこれとは異なって、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージを受信した端末が当該メッセージ認証に成功した場合、該端末は、自ら支援可能なすべての保安関連アルゴリズムを含むＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージを基地局に送信する。

ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージは、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）及び基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）、キー一連番号、認証キー識別子、端末保安アルゴリズム能力（Ｓｅｃｕｒｉｔｙ_Ｃａｐａｂｉｌｉｔｉｅｓ）、及びメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を含む。

端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）は、端末が任意に生成した値（例:６４ビット）であり、基地局ランダム値（ＢＳ−Ｒａｎｄｏｍ）は、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含まれた基地局ランダム値（ＢＳ−Ｒａｎｄｏｍ）と同一値である。ここで、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）は、悪意の攻撃者の反復的攻撃を防止するためのパラメータである。

キー一連番号は、上述のように、ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに含まれたメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）の生成時に使用されるキーを導出する時に必要な認証キーを区別するための認証キー一連番号である。

認証キー識別子は、認証キー、認証キー一連番号、端末ＭＡＣアドレス、及び基地局識別子から導出された値である。

端末保安アルゴリズム能力は、端末が支援可能なすべての保安アルゴリズムを示すパラメータである。メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）は、ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージ自体を認証するために使用されるパラメータである。端末は、認証キーに基づいて、メッセージ認証コード関連パラメータを除いたＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージの残りのパラメータをメッセージハッシュ関数に適用させることにより、ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔを生成する。

第１実施形態の場合、ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに含まれる認証キー識別子は、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含まれた認証キー識別子と同一の識別子である。

これに反し、第２実施形態の場合、ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに含まれる認証キー識別子は、端末が自ら生成した認証キー、認証キーの一連番号、端末ＭＡＣアドレス、及び基地局識別子、に基づいて生成される。

図１０は本発明の実施形態によるＳＡ−ＴＥＫ手続に使用されるＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージは、基地局が端末にＳＡ情報を伝送する場合に使用されるメッセージであり、別名“ＳＡ−ＴＥＫ応答メッセージ”とも言う。具体的には、上述したＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージを受信した基地局が当該メッセージに対する認証を行ってこの認証が成功した場合、基地局が保有した認証キー識別子、特に基地局が自ら生成した認証キー識別子と、ＰＫＭｖ２ＳＡ−ＴＥＫ依頼メッセージに含まれた（端末が生成した）認証キー識別子と、が同一であることが確認されると、基地局は、全てのＳＡ情報を含むＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージを端末に送信する。

ＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージは、具体的には、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）及び基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）、キー一連番号、認証キー識別子、ＳＡ−ＴＥＫ更新情報（ＳＡ_ＴＥＫ_Ｕｐｄａｔｅ）、１つまたは１つ以上のＳＡ記述語（ＳＡ−Ｄｅｓｃｒｉｐｔｏｒ）、そして、メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を含む。

端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）は、端末から受信されたＰＫＭｖ２ＳＡ−ＴＥＫ依頼メッセージに含まれたＭＳ_Ｒａｎｄｏｍと同一値であり、基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）はＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含まれた基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）と同一値である。

キー一連番号は、認証キーの一連番号である。ＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージに含まれたＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔを生成する時に使用されるキーは、認証キーから導出される。認証キーは、端末と基地局とにより同時に２つを有することができることから、この２つの認証キーを区別するために、認証キー一連番号が必要になる。

認証キー識別子は、認証キー、認証キー一連番号、端末ＭＡＣアドレス、及び基地局識別子から導出された値である。

ＳＡ−ＴＥＫ更新情報（ＳＡ_ＴＥＫ_Ｕｐｄａｔｅ）は、ＳＡ情報を含むパラメータであって、ハンドオーバー中に又は再接続手続中に使用される。ＳＡ記述語（ＳＡ−Ｄｅｓｃｒｉｐｔｏｒ）は、ＳＡ情報を含むパラメータであり、初期接続手続中に使用される。しかしながら、必ずしもこれに限定されるものではない。

ＳＡ記述語は、具体的には、ＳＡの識別子であるＳＡＩＤと、ＳＡの類型を知らせるためのＳＡタイプと、ＳＡタイプが動的ＳＡであるか静的ＳＡである場合に定義され、ＳＡのトラフィックサービスの形態を知らせるためのＳＡサービスタイプと、当該ＳＡで使用される暗号化アルゴリズムを知らせるための暗号スイート（Ｃｒｙｐｔｏｇｒａｐｈｉｃ−Ｓｕｉｔｅ）と、を含む。このＳＡ記述語は、基地局が動的に生成するＳＡの個数だけ反復的に定義されることができる。

メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）は、ＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージ自体を認証するために使用されるパラメータである。基地局は、認証キーに基づいてメッセージ認証コード関連パラメータを除いてＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージの残りパラメータをメッセージハッシュ関数に適用させることによって、ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔを生成する。

第１実施形態の場合、ＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージの認証キー識別子は、前記ＰＫＭｖ２ＳＡ−ＴＥＫ−Ｃｈａｎｌｌｅｎｇｅメッセージに含まれる認証キー識別子と同一である。これに反し、第２実施形態の場合には、ＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージの認証キー識別子は、前記ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに含まれる認証キー識別子と同一である。

次に、上述したメッセージに基づいた、本発明の実施形態による認証方法及びこれに関するキーを生成する方法について説明する。

本発明の実施形態による認証方法は、ＲＳＡ基盤認証方式、ＥＡＰ基盤認証方式、認証されたＥＡＰ基盤認証方式の組み合わせによって生成される多様な政策に基づいて認証を行う。特に、所定の手続による認証を行った後に、端末と基地局は、端末の保安アルゴリズム及びＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）情報を交換するために、ＳＡ−ＴＥＫ手続を行う。

従来のＰＫＭｖ２の認証政策では、端末の保安アルゴリズムとＳＡ情報を２つの手続、つまり、ＲＳＡ基盤認証手続とＳＡ−ＴＥＫ手続とで重複して交換しており、また、ＲＳＡ基盤認証手続で端末と基地局の間で交換されるメッセージにはメッセージ認証機能がないため、このＲＳＡ基盤認証手続で交換される端末の保安アルゴリズムとＳＡ情報は、信頼性が低い。

従って、本発明の実施形態では、端末と基地局とが、端末の保安アルゴリズムとＳＡ情報とを、メッセージ認証機能を支援するＳＡ−ＴＥＫ手続を通じて交換する。

まず、本発明の第１実施形態による認証方法と認証キー生成方法について説明する。

本発明の第１実施形態の第１例は、ＲＳＡ基盤認証手続のみを行う場合に関するものである。

図１１は本発明の第１実施形態の第１例によるＲＳＡ基盤認証手続のみを行う認証方法を示す流れ図である。

端末１００と基地局２００の間に実際的な認証手続が行われる前に、端末基本機能に関する交渉が行われながら、所定の認証方式が選択できる。

選択された認証方式がＲＳＡ基盤の認証手続のみを行う方式である場合、図１１でのように、端末１００は、ＭＡＣメッセージのうちの認証メッセージであるＰＫＭメッセージを通じて加入者デジタル認証書を基地局２００に伝達する。具体的には、端末１００は、ＰＫＭｖ２ＲＳＡ−依頼メッセージに当該端末の公開キーを含む認証書を加え、該加えられたメッセージを基地局２００に送信する（Ｓ１００）。

端末１００から伝送されたＰＫＭｖ２ＲＳＡ−依頼メッセージを受信した基地局２００は、当該端末に対する装置認証を行う。端末１００に対する装置認証が成功的に行われると、基地局２００は、基地局の認証書と端末１００の公開キーで暗号化されたｐｒｅ−ＰＡＫが含まれたＰＫＭｖ２ＲＳＡ−応答メッセージを端末１００に送信することによって、基地局装置に対する認証を要請する（Ｓ１１０）。これとは反対に、当該端末に対する装置認証が成功的に完了しなかった場合には、基地局２００は、端末１００にＰＫＭｖ２ＲＳＡ−拒絶メッセージを送信して認証が失敗したことを通知する。

一方、基地局２００からのＰＫＭｖ２ＲＳＡ−応答メッセージを受信した端末１００は、かかるメッセージに含まれた基地局の認証書を検証して、基地局に対する権限検証を行い、その結果が含まれたＰＫＭｖ２ＲＳＡ−承認メッセージを基地局２００に送信する（Ｓ１２０）。このように端末側でもＲＳＡ基盤認証が行われ、かつ、基地局に対する検証が成功した場合に、端末１００が基地局２００に成功の結果が含まれたＰＫＭｖ２ＲＳＡ−承認メッセージを伝送し、これにより、ＲＳＡ基盤の相互認証手続が完了する。

このようにＲＳＡ基盤認証手続が成功的に完了すると、端末１００と基地局２００は、ｐｒｅ−ＰＡＫを共有し、このｐｒｅ−ＰＡＫを使用してＰＡＫを生成（導出）する。また、端末１００と基地局２００は、ＰＡＫと端末ＭＡＣアドレスと基地局識別子を使用して、、それぞれ認証キー（ＡＫ:Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｋｅｙ）を導出する（Ｓ１３０）。

次に、ＲＳＡ基盤認証手続を完了した後、端末１００と基地局２００は、端末の保安アルゴリズム及びＳＡ情報を交換するために、ＳＡ−ＴＥＫ手続を行う。具体的には、ＲＳＡ基盤認証手続が行われた後、端末１００と基地局２００は、認証キーの識別子と、認証キー一連番号と、ＳＡＩＤと、それぞれのＳＡごとに使用されるアルゴリズムと、トラフィック暗号化キー（ＴＥＫ:Ｔｒａｆｆｉｃ Ｅｎｃｒｙｐｔｉｏｎ Ｋｅｙ）と、を知る（ｓｙｎｃｈｒｏｎｉｚｅ）ために、３−ウェイＳＡ−ＴＥＫ交換手続を行う。

図１１に示されるように、認証手続を通じて認証キーを導出した基地局２００は、端末１００にＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージを伝送することで、ＳＡ−ＴＥＫ手続を開始する（Ｓ１４０）。

このとき、基地局２００は、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージを通じて、認証キー一連番号と認証キーの識別子（ＡＫ−ＩＤ）を端末１００に知らせる。前記ＰＫＭｖ２ＲＳＡ−応答メッセージにはＰＡＫ一連番号が含まれているので、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージの認証キーの一連番号は、ＰＫＭｖ２ＲＳＡ−応答メッセージに含まれたＰＡＫ一連番号と同一である。

また、端末１００は、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含まれたメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）に基づいて、前記メッセージに対する認証機能を行うことができる。

具体的には、端末１００は、認証キーに基づいて、前記受信されたＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージからメッセージ認証コード関連パラメータを除いた残りのパラメータをメッセージハッシュ関数に適用させることによって、新たなメッセージ認証コード関連パラメータを生成する。そして、端末１００は、生成されたメッセージ認証コード関連パラメータと、前記ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含まれたメッセージ認証コード関連パラメータと、の同一性の有無を判断して、これらのパラメータが同一である場合にはメッセージ認証が成功したことと見なし、これらのパラメータが同一でない場合にはメッセージ認証が失敗したことと見なす。そして、メッセージ認証が成功した場合には、端末と基地局が同一の認証キーを共有していると見なす。しかしながら、メッセージ認証が失敗した場合には、端末１００は、受信した前記メッセージを廃棄する。

本発明の実施形態では、このように端末と基地局の間で送受信されたメッセージにメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）が含まれている場合には、上述のような過程を通じてメッセージ認証を行い、メッセージ認証が成功裡に終了した場合には当該メッセージに基づく所定の処理を行う。一方、この後に説明される、認証されたＥＡＰ基盤認証方式に使用されるＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージの場合には、認証キーでなく、ＥＩＫ（ＥＡＰ Ｉｎｔｅｇｒｉｔｙ Ｋｅｙ）に基づいてメッセージ認証コード関連パラメータを生成することによって、メッセージ認証を行う。

上述のように、メッセージ認証コード関連パラメータに基づいてＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに対する認証に成功した場合には、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含まれた認証キー識別子と、端末が保有した認証キー識別子、特に、端末が自ら生成した認証キー識別子（この識別子は、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含まれていた認証キー一連番号、既知の認証キー、基地局識別子、及び端末のＭＡＣアドレス、に基づいて生成される。）と、の同一性の有無を判断し、２つの識別子が同一の場合には、後述の処理を行う。

これに反し、前記認証キー識別子が同一でない場合には、端末と基地局が互いに異なる認証キー、認証キーの一連番号、基地局識別子又は端末ＭＡＣアドレス、を用いて認証キー識別子を生成したと判断して、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージを廃棄処理する。

ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに対する認証が成功し、認証キー識別子に対する同一性が確認されて前記メッセージが有効であると判断された場合には、端末１００は、該端末が支援する全ての保安関連アルゴリズムを含むＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージを、基地局２００に送信する（Ｓ１５０）。これに対して基地局２００は、ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに含まれたメッセージ認証コード関連パラメータに基づいて、メッセージ認証を行う。

メッセージ認証が成功すると、基地局２００は、該基地局が保有した認証キー識別子、特に、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含まれた認証キー識別子と、前記ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに含まれた認証キー識別子と、の同一性を判断することができる。認証キー識別子の同一性が確認された場合には、基地局２００は、提供可能な１つのｐｒｉｍａｒｙＳＡと、０またはそれ以上のｓｔａｔｉｃＳＡに相当するＳＡＩＤ及びアルゴリズムとを、ＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージを通じて、端末１００に知らせる。その結果、端末１００がＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージを受信すると、ＳＡ−ＴＥＫ手続が完了し、結局すべての認証手続が終了する（Ｓ１６０）。このとき、端末１００がＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージに対する認証を行い、かかるメッセージ認証が成功した場合にＳＡ−ＴＥＫ手続が完了する。

このような実施形態によれば、ＲＳＡ基盤認証手続で、メッセージ認証機能が含まれたＳＡ−ＴＥＫ手続を通じて、端末保安アルゴリズムとＳＡ情報を交換することによって、信頼性のある情報交換が行われる。

一方、前記ＲＳＡ基盤認証手続が成功的に行われ、端末と基地局が認証キーを共有すると、端末と基地局との間で伝送されるトラフィックデータを暗号化するために、トラフィック暗号化キーを生成し、これを分配する過程を行う。このような過程を通じて、端末と基地局の間でトラフィックデータを安全に伝達することができる。トラフィック暗号化キーを生成して分配する過程については、以下で具体的に説明する。

次に、このような本発明の第１実施形態の第１例による認証キー生成方法について具体的に説明する。

図１２は本発明の第１実施形態の第１例によるＲＳＡ基盤認証手続のみを行う認証方法における認証キー生成方法を示す流れ図である。

図１２に示すように、ＲＳＡ基盤認証手続が成功的に完了すると、端末と基地局は、ｐｒｅ−ＰＡＫ（例:２５６ビット）を共有する（Ｓ１３１）。このｐｒｅ−ＰＡＫは、基地局がランダムに生成したものである。基地局は、端末公開キーを使用してｐｒｅ−ＰＡＫを暗号化し、該暗号化されたｐｒｅ−ＰＡＫを端末に送信する。この暗号化されたｐｒｅ−ＰＡＫは、端末公開キーと対をなす秘密キーのみを保持している端末のみによって解読されることができる。

端末１００は、基地局から伝達された、暗号化されたｐｒｅ−ＰＡＫを秘密キーで複号化することで、元のｐｒｅ−ＰＡＫを獲得する。そして、ｐｒｅ−ＰＡＫを入力キーとして入力し、かつ、端末ＭＡＣアドレスと基地局識別子、そして所定のストリング、例えば“ＥＩＫ+ＰＡＫ”というストリング文字を入力データとして入力することによって、キー生成アルゴリズムを行う（Ｓ１３２）。本発明の実施形態で使用されるキー生成アルゴリズムは、ＣＭＡＣアルゴリズムを利用する“Ｄｏｔ１６ＫＤＦ”であるが、これに限定されるものではない。

キー生成アルゴリズムを行うことで生成された結果データから、所定ビット、例えば上位の３２０ビットを切り出す。切り出されたデータ（３２０ビットデータ）の中で所定のビット、例えば上位１６０ビットはＥＩＫ（ＥＡＰ Ｉｎｔｅｇｒｉｔｙ Ｋｅｙ）として使用し、残りビット、例えば、下位１６０ビットはＰＡＫとして使用する（Ｓ１３３）。ここで、生成されたＥＩＫは、後述するＲＳＡ基盤認証手続を行った後に認証されたＥＡＰ基盤認証手続を行う認証方法において、ＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージ自らの認証機能を行うためのメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を生成するときに、入力キーとして使用される。

次に、端末１００は、ＰＡＫを入力キーとし、かつ、端末ＭＡＣアドレス、基地局識別子、及び“ＡＫ”というストリング文字を入力データとすることによって、キー生成アルゴリズム（例:Ｄｏｔ１６ＫＤＦ）を実行する（Ｓ１３４）。そして、得られた結果データから所定のビット、例えば上位１６０ビットを切り出して、そのデータを認証キー（ＡＫ）として使用する（Ｓ１３５）。

基地局２００もまた、端末に伝送したｐｒｅ−ＰＡＫに基づいて上述のように認証キーを生成し、これにより、端末と基地局が同一の認証キーを共有する。

このような認証キー生成方法によって、体系的（階層的）な構造を有する認証キーを生成することができる。

次に、本発明の第１実施形態の第２例による認証方法及び認証キー生成方法について説明する。本発明の第１実施形態の第２例は、基本機能交渉過程で選択された認証方式がＥＡＰ基盤認証手続のみを行う場合に関するものである。

図１３は本発明の第１実施形態の第２例による、ＥＡＰ基盤認証手続のみを行う認証方法を示す流れ図である。

図１３に示されているように、端末１００は、網のＥＡＰ認証プロトコルにＥＡＰ基盤認証手続の開始を通知するために、基地局２００にＰＫＭｖ２ＥＡＰ−ｓｔａｒｔメッセージを送信する（Ｓ２００）。このメッセージを受信した基地局２００は、自機のＭＡＣ階層を介して、自機の上位ＥＡＰ認証プロトコル階層に当該メッセージを伝達し、それによって、上位ＥＡＰ認証プロトコル階層から伝達される要請に応じて、どのような端末であるかを問い合わせるＰＫＭｖ２ＥＡＰ−転送メッセージを、端末１００に伝送する。このメッセージに対する応答として、端末１００から、該端末に関する情報を含むＰＫＭｖ２ＥＡＰ−転送メッセージが伝送されると、基地局２００は、このメッセージを認証サーバー４００に伝達する。

この後、端末１００と基地局２００は、認証サーバー４００と連係し、ＥＡＰ認証プロトコルの手続に従って上位ＥＡＰ認証プロトコル階層からＥＡＰ関連データを受信するたびに、当該データを、ＰＫＭｖ２ＥＡＰ−転送メッセージを通じて、他のノードに伝送する（Ｓ２１０〜Ｓ２２０）。

このようにして、上位ＥＡＰ認証プロトコルの手続によってＰＫＭｖ２ＥＡＰ−転送メッセージが端末１００と基地局２００との間で何度も伝達された場合に、端末と認証サーバー内部に存在する上位ＥＡＰ認証プロトコル階層とで、端末または基地局に対する装置認証または使用者認証が行われる。ここで、端末と基地局との間で伝達されるＰＫＭｖ２ＥＡＰ−転送メッセージの数は、上位ＥＡＰ認証プロトコルに応じて異なる。

上位ＥＡＰ認証プロトコルを通じて端末または基地局の装置に対する認証または使用者認証が成功的に行われた場合（Ｓ２３０）に、基地局２００は、認証成功を知らせるＰＫＭｖ２ＥＡＰ−転送メッセージを、端末１００に送信する（Ｓ２４０）。これにより、端末１００は、ＥＡＰ基盤認証手続が成功裡に完了したことを通知するために、基地局にＰＫＭｖ２ＥＡＰ−転送−コンプリートメッセージを送信し、基地局２００は、このメッセージを受信した場合に、ＥＡＰ基盤認証手続を完了する（Ｓ２５０）。

このようなＥＡＰ基盤認証手続が成功裡に完了すると、端末１００と基地局２００は、上位ＥＡＰ認証プロトコル特性に従ってＭＳＫ（Ｍａｓｔｅｒ Ｓｅｓｓｉｏｎ Ｋｅｙ）を共有することができる。端末と基地局がＭＳＫを共有した場合には、端末及び基地局は、このＭＳＫを使用して、ＰＭＫ（Ｐａｉｒｗｉｓｅ Ｍａｓｔｅｒ Ｋｅｙ）を導出する。また、端末及び基地局は、ＰＭＫと、端末ＭＡＣアドレスと、基地局識別子と、を使用して、後述された認証キー生成過程を通じて、それぞれ認証キーを導出する（Ｓ２６０）。

このように認証が行われた後、前記第１実施形態の第１例と同じように、端末１００と基地局２００は、認証キーの識別子、認証キー一連番号、ＳＡＩＤ、それぞれのＳＡごとに使用されるアルゴリズム、及びトラフィック暗号化キー（ＴＥＫ）を知るために、３−ウェイＳＡ−ＴＥＫ交換手続を行う。この手続は、上述した第１例と同一に行われることから、ここでは詳細な説明を省略する（Ｓ２７０〜Ｓ２９０）。この後、端末と基地局は、トラフィック暗号化キーを生成し、これを分配する過程を行うことによって、端末と基地局との間で伝送されるトラフィックデータを暗号化して安定的に送受信できるようになる。

次に、このような第１実施形態の第２例による認証方法における認証キー生成方法について具体的に説明する。

図１４は本発明の第１実施形態の第２例によるＥＡＰ基盤認証手続のみを行う認証方法における認証キー生成方法を示す流れ図である。

ＥＡＰ基盤認証手続が成功裡に完了すると、図１４に示されているように、上位ＥＡＰ認証プロトコル特性によって、端末と基地局は、５１２ビットのＭＳＫを選択的に共有する（Ｓ２６１）。端末と基地局がＭＳＫを共有する場合、ＭＳＫの所定ビット、例えば上位１６０ビットが切り出され、切り出されたデータ、すなわち、１６０ビットデータがＰＭＫとして使用される（Ｓ２６２〜Ｓ２６３）。

次に、端末は、ＰＭＫを入力キーとし、端末ＭＡＣアドレス、基地局識別子、及び“ＡＫ”というストリング文字を入力データとしてキー生成アルゴリズム（例:ＣＭＡＣアルゴリズムを利用するＤｏｔ１６ＫＤＦ）を行って結果データを獲得し、結果データから所定ビット、例えば上位１６０ビットを切り出し、切り出されたデータを認証キーとして使用する（Ｓ２６４〜Ｓ２６５）。

このような認証キー生成方法によって体系的な構造を有する認証キーを生成することができる。

次に、本発明の第１実施形態の第３例による認証方法及び認証キー生成方法について説明する。本発明の第１実施形態の第３例は、基本機能交渉過程で選択された認証方式がＲＳＡ基盤認証手続を行った後、ＥＡＰ基盤認証手続を行う場合に関するものである。

図１５は本発明の第１実施形態の第３例でＲＳＡ基盤認証手続を行った後、ＥＡＰ基盤認証手続を行う認証方法の流れ図である。

端末１００と基地局２００は、上述した第１例と同様に、ＰＫＭｖ２ＲＳＡ−依頼メッセージとＰＫＭｖ２ＲＳＡ−応答メッセージを通じて相互認証を行い、端末と基地局装置に対する相互認証が成功した場合には、端末１００がＰＫＭｖ２ＲＳＡ−承認メッセージを基地局２００に送信してＲＳＡ基盤認証手続を完了する（Ｓ３００〜Ｓ３２０）。このようなＲＳＡ基盤認証方式によって、端末１００と基地局２００は、ｐｒｅ−ＰＡＫを共有し、このキーを使用してＰＡＫを導出する（Ｓ３３０）。

この後、端末１００と基地局２００は、上述された第２例と同様に、ＰＫＭｖ２ＥＡＰ−Ｓｔａｒｔメッセージを通じてＥＡＰ基盤認証手続を開始し、上位ＥＡＰ認証プロトコルによってＰＫＭｖ２ＥＡＰ−転送メッセージを複数交換して、使用者認証を行う（Ｓ３４０〜Ｓ３８０）。

このＥＡＰ基盤認証手続が成功的に完了すると、端末と基地局は、上位ＥＡＰ認証プロトコル特性によってＭＳＫを選択的に共有し、ＭＳＫを共有すると、この共有されたＭＳＫを用いてＰＭＫを導出する。最後に、端末１００と基地局２００は、ＲＳＡ基盤認証手続を通じて導出されたＰＡＫまたはＥＡＰ基盤認証手続を通じて導出されたＰＭＫ、及び端末ＭＡＣアドレスと基地局識別子を用いて、後述する認証キー導出過程を通じてそれぞれ認証キーを生成する（Ｓ３９０）。

このように認証が行われた後、端末１００と基地局２００は、認証キーの識別子、認証キー一連番号、ＳＡＩＤ、それぞれのＳＡごとに使用されるアルゴリズム、及びトラフィック暗号化キー（ＴＥＫ）を知るために、３−ウェイＳＡ−ＴＥＫ交換手続を行う（Ｓ４００〜Ｓ４２０）。この手続は上述したことと同一に行われることから、ここでは詳細な説明を省略する。そして、この後、端末と基地局は、トラフィック暗号化キーを生成し、これを分配する過程を行うことによって、端末と基地局との間で伝送されるトラフィックデータを安定的に送受信する。

次には、このような第１実施形態の第３例による認証キー生成方法について詳細に説明する。

図１６は本発明の第１実施形態の第３例によるＲＳＡ基盤認証手続を行った後、ＥＡＰ基盤認証手続を行う認証方法における認証キー生成方法を示す流れ図である。ここでは、端末と基地局がＭＳＫを共有した場合にのみ適用される認証キー生成方法を記述する。もし、端末と基地局がＭＳＫを共有しない場合には、図１２に記述された認証キー生成方法によって認証キーを生成することができる。

ＲＳＡ基盤認証手続が成功的に完了されると、図１６でのように、端末１００と基地局２００は、ｐｒｅ−ＰＡＫ（例:２５６ビット）を共有する（Ｓ３９１）。この後、ｐｒｅ−ＰＡＫを入力キーとして使用し、端末ＭＡＣアドレス、基地局識別子、及び“ＥＩＫ+ＰＡＫ”というストリング文字を入力データとしてキー生成アルゴリズムを行って、結果データを得る（Ｓ３９２）。この結果データから所定ビット、例えば上位３２０ビットを切り出し、切り出されたデータの中で所定ビット、例えば、上位１６０ビットをＥＩＫ（ＥＡＰ Ｉｎｔｅｇｒｉｔｙ Ｋｅｙ）として使用し、残りのビット、例えば、下位１６０ビットをＰＡＫとして使用する（Ｓ３９３）。

一方、ＲＳＡ基盤認証手続を行った後、ＥＡＰ基盤認証手続が成功的に完了すると、上位ＥＡＰ認証プロトコル特性によって、端末と基地局は、５１２ビットのＭＳＫを共有する（Ｓ３９４）。ＭＳＫを共有する場合、端末１００と基地局２００は、ＭＳＫの所定ビット、例えば、上位１６０ビットを切り出し、切り出された１６０ビットデータをＰＭＫとして使用する（Ｓ３９５〜Ｓ３９６）。

上述のように得られたＰＡＫとＰＭＫを所定演算、例えば、排他的論理和（ｅｘｃｌｕｓｉｖｅ−ｏｒ）演算をし、その結果で得られる結果値を入力キーに設定する。そして、端末は、前記端末ＭＡＣアドレスと基地局識別子、そして“ＡＫ”というストリング文字を入力データとして、前記入力キーを利用してキー生成アルゴリズム（例:ＣＭＡＣアルゴリズムを利用するＤｏｔ１６ＫＤＦ）を行う。端末は、キー生成アルゴリズムによって得られた結果データから所定ビット、例えば、上位１６０ビットを切り出し、切り出されたビットのデータを認証キー（ＡＫ）として使用する（Ｓ３９７〜Ｓ３９８）。

このような認証キー生成方法によって、体系的な構造を有する認証キーを生成することができる。

次に、本発明の第１実施形態の第４例による認証方法及び認証キー生成方法について詳細に説明する。本発明の第１実施形態の第４例は、基本機能交渉過程で選択された認証方式がＲＳＡ基盤認証手続を行った後に認証されたＥＡＰ基盤認証手続を行う場合に関するものである。

図１７は本発明の第１実施形態の第４例でＲＳＡ基盤認証手続を行った後にＥＡＰ基盤認証手続を行う認証方法の流れ図である。

図１７に示されているように、前記第１実施形態の第１例と同一のＲＳＡ基盤認証方式に基づいて端末及び基地局装置に対する認証を行って、ｐｒｅ−ＰＡＫを共有し、該共有されたｒｅ−ＰＡＫを用いてＰＡＫを導出する（Ｓ５００〜Ｓ５２０）。

ＲＳＡ基盤認証手続が完了した後、端末１００と基地局２００は、第１実施形態の第２例に記述されたように、ＰＫＭｖ２ＥＡＰ−Ｓｔａｒｔメッセージを通じてＥＡＰ基盤認証手続を開始し、上位ＥＡＰ認証プロトコルによってＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージを複数交換して、使用者認証を行う（Ｓ５３０〜Ｓ５８０）。

この場合にも、認証されたＥＡＰ基盤認証手続が成功的に完了すると、端末と基地局は、上位ＥＡＰ認証プロトコル特性によってＭＳＫを選択的に共有し、該共有されたＭＳＫを用いてＰＭＫを導出する。最後に、端末１００と基地局２００は、ＰＡＫまたはＰＭＫ、端末ＭＡＣアドレス、及び基地局識別子を使って、この後に記述された認証キー導出過程を通じてそれぞれ認証キーを生成する（Ｓ５９０）。このような認証キー生成方法は上述した第３例（図１６参照）と同一に行われるので、ここでは詳細な説明を省略する。一方、ＰＡＫに基づいて得られるＥＩＫは、ＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージが自体認証機能を行うためのメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を生成するための入力キーとして使用される。

このように認証が行われた後、前記第１実施形態による第１例と同一に端末１００と基地局２００は、認証キーの識別子、認証キー一連番号、ＳＡＩＤ、それぞれのＳＡごとに使用されるアルゴリズム及びトラフィック暗号化キー（ＴＥＫ）を知るために、３−ウェイＳＡ−ＴＥＫ交換手続を行う（Ｓ６００〜Ｓ６２０）。この手続は上述した第１例と同一に行われるので、ここでは詳細な説明を省略する。そして、この後、端末と基地局は、トラフィック暗号化キーを生成し、これを分配する過程を行うことにより、端末と基地局の間に伝送されるトラフィックデータを安定的に送受信する。

上述のように、端末と基地局が、生成された任意のランダム値を使用せず、ＲＳＡ基盤認証手続を通じて得られたＰＡＫまたはＥＡＰ基盤認証手続を通じて得られたＰＭＫ、端末ＭＡＣアドレス、及び基地局識別子を使用して認証キーを生成する第１実施形態では、認証キー有効時間は、認証政策によって定義されるＰＡＫ有効時間またはＰＭＫ有効時間のうちから相対的に短い時間を選択することが好ましい。このような場合、認証キーの有効時間が短くなることで、強力な認証キー維持が可能になる。

このような第１実施形態によれば、交渉による各認証手続を行った後に、必須的にＳＡ−ＴＥＫ手続を行って保安関連情報を交換することで、信頼性のある情報提供が行われる。

また、認証手続を行ったことによって得られたＰＡＫまたはＰＭＫを、認証キー生成のためのキー生成アルゴリズムの入力キーとしてそれぞれ使用することによって、各認証方法ごとに体系的な構造を有する認証キーを得ることができる。

次に、本発明の第２実施形態による認証方法及び認証キー生成方法について説明する。

本発明の第２実施形態による認証方法も、上述した第１実施形態と同様に、端末基本機能交渉過程で選択された認証方式によって、ＲＳＡ基盤認証手続のみを行う方法、ＥＡＰ基盤認証手続のみを行う方法、ＲＳＡ基盤認証手続を行った後、ＥＡＰ基盤認証手続を行う方法、及びＲＳＡ基盤認証手続を行った後、認証されたＥＡＰ基盤認証手続を行う方法、のうちの少なくとも１つを含む。また、各方法による認証手続を行った後に、端末と基地局は、トラフィック暗号化キーを生成し、これを分配する過程を行うことによって、端末と基地局の間に伝送されるトラフィックデータを安定的に送受信する。

第２実施形態のそれぞれの認証方法による認証手続は、上述した第１実施形態と同一に行われることから、ここでは詳細な説明を省略する。

しかしながら、本発明の第２実施形態では、第１実施形態とは異なって、認証キーがＳＡ−ＴＥＫ手続中に生成される。

図１８は本発明の第２実施形態による認証方法の流れ図であり、特にＳＡ−ＴＥＫ手続を具体的に示す流れ図である。

図１８に示されているように、本発明の第２実施形態でも、端末と基地局が交渉した認証方式によって各認証手続を完了した後（Ｓ７００）、端末と基地局は、端末の保安アルゴリズム及びＳＡ情報を交換するためにＳＡ−ＴＥＫ手続を行う。

より具体的には、基地局２００は、端末１００にＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージを伝送することによって、ＳＡ−ＴＥＫ手続を開始する。この場合にも、基地局２００は、第１実施形態と同一の特性を有する認証キー一連番号を端末１００に知らせるが、第１実施形態とは異なって、認証キーの識別子を端末に知らせない。また、基地局２００は、基地局が任意に生成した６４ビット値である基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）を生成して端末に知らせる。すなわち、認証キー一連番号と任意に生成された６４ビット値（ＢＳ_Ｒａｎｄｏｍ）を含むＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージを端末１００に伝送する（Ｓ７１０〜Ｓ７２０）。

このようなＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージを受信した端末１００は、ランダムな６４ビット値である端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）を生成する（Ｓ７３０）。そして、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含まれた基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）、１つの認証手続を通じて得られたＰＡＫまたはＰＭＫ、端末ＭＡＣアドレス、及び基地局識別子を使用して、認証キーを生成する。また、端末１００は、既知の認証キー、及びＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含まれていた認証キー一連番号、端末ＭＡＣアドレス、基地局識別子に基づいて、認証キー識別子を生成する（Ｓ７４０）。

この後、端末１００は、端末自ら支援する全ての保安関連アルゴリズムと、前記生成された認証キー識別子とを含むＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージを、基地局２００に送信する（Ｓ７５０）。このとき、ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージにはメッセージ認証のためのメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）が含まれ、このようなメッセージ認証コード関連パラメータは、認証キーに基づいて生成されたものである。

基地局２００は、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）と、ＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに使用した基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）と、１つの組み合わせ認証手続によって得られたＰＡＫまたはＰＭＫと、端末ＭＡＣアドレスと、基地局識別子と、を使用して、認証キーを生成する。

この後、認証キーに基づいて、基地局２００は、ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに含まれた認証機能の遂行、すなわち、ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔの適法性を判別することにより、ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに対する認証処理を行う（Ｓ７６０〜Ｓ７７０）。

ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージ認証が成功した場合、基地局２００は、当該認証キーに基づいて認証キー識別子を生成し、基地局が自ら生成した当該認証キー識別子と、端末から提供されたＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに含まれた認証キー識別子と、の同一性を確認し、同様にして、基地局ランダム値との同一性を確認する（Ｓ７８０）。

具体的には、基地局２００は、既に知っていた認証キー、前記ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに含まれていた認証キー一連番号、端末ＭＡＣアドレス、及び基地局識別子に基づいて、認証キー識別子を生成する。そして、生成された認証キー識別子とＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに含まれていた認証キー識別子との同一性を確認する。

また、基地局２００は、基地局ランダム値（ＢＳ−Ｒａｎｓｏｍ）の同一性の有無を確認する。すなわち、Ｓ７２０段階でＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージに含ませて伝送した基地局ランダム値と、Ｓ７５０段階で受信したＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに含まれた基地局ランダム値と、の同一性の有無を判断する。

認証キー識別子が同一で基地局ランダム値が同一である場合には、基地局２００は、対応する端末に、ＳＡ情報が含まれたＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージを送信する。このＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージを端末１００が受信すると、ＳＡ−ＴＥＫ手続が完了し、結局すべての認証手続が終了する（Ｓ７９０）。一方、端末１００は、ＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージに対してもメッセージ認証が成功し、認証キー識別子が同一で、端末ランダム値（すなわち、段階（Ｓ７４０）で、ＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージに含ませて伝送したＭＳ−Ｒａｎｄｏｍと、ＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージに含まれたＭＳ−Ｒａｎｄｏｍ）の同一性が確認された場合には、ＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージが適法（適切）であると判断して、ＳＡ−ＴＥＫ手続を完了する。

このように、本発明の実施形態では、ＳＡ−ＴＥＫ手続を行うときに、所定メッセージに対して、メッセージ認証コード関連パラメータの同一性、認証キー識別子の同一性、及びランダム値の同一性が全て満足すると、受信ノードである端末または基地局では、当該メッセージが有効なメッセージであると判断する。しかしながら、本発明は必ずしもこれに限られるわけではない。一方、前記第１実施形態によるＳＡ−ＴＥＫ手続を行う時にも、上述のようなメッセージに対する有効性判断を行うことができる。

次に、本発明の第２実施形態による認証キー生成方法について詳細に説明する。

本発明の第２実施形態では、認証キーの生成時に、ＲＳＡ基盤認証手続を通じて得られたＰＡＫ、またはＥＡＰ基盤認証手続を通じて得られたＰＭＫ、端末ＭＡＣアドレス、及び基地局識別子だけでなく、ＳＡ−ＴＥＫ手続で含まれるランダム値である端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）と基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）を使用する。

まず、ＲＳＡ基盤認証手続のみを行う認証方法で、認証キーを生成する本発明の第２実施形態の第１例による認証キー生成方法について説明する。

図１９は本発明の第２実施形態によるＲＳＡ基盤認証手続のみを行う認証方法における認証キー生成方法を示す流れ図である。

ＲＳＡ基盤認証手続の成功的完了によって端末と基地局が２５６ビットのｐｒｅ−ＰＡＫを共有すると（Ｓ８００）、図１９に示された第１実施形態の第１例と同様に、ｐｒｅ−ＰＡＫを入力キーとし、端末ＭＡＣアドレスと基地局識別子、及び“ＥＩＫ+ＰＡＫ”というストリング文字を入力データとして、キー生成アルゴリズムを行う（Ｓ８１０）。そして、キー生成アルゴリズムによって得られた結果データ（例:３２０ビット）の所定ビット（例：上位１６０ビット）をＥＩＫとして使用し、残りのビット（例：下位１６０ビット）をＰＡＫとして使用する（Ｓ８２０）。

一方、ＲＳＡ基盤認証手続を行った後、ＳＡ−ＴＥＫ手続を行うが、端末と基地局は、ＳＡ−ＴＥＫ手続中に互いの交換によって、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）及び基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）を有する。

第２実施形態の第１例では、端末と基地局は、ＰＡＫを入力キーとし、端末ＭＡＣアドレス、基地局識別子、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）及び基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）、及び“ＡＫ”というストリング文字を入力データとしてキー生成アルゴリズムを行う（Ｓ８３０）。そして、得られた結果データの所定ビット（例:上位１６０ビット）を認証キーとして使用する（Ｓ８４０）。

次に、本発明の第２実施形態の第２例による認証キー生成方法について詳細に説明する。本発明の第２実施形態の第２例は、ＥＡＰ基盤認証手続を行う認証方法における認証キー生成方法に関するものである。

図２０は本発明の第２実施形態によるＥＡＰ基盤認証手続のみを行う認証方法における認証キー生成方法を示す流れ図である。

ＥＡＰ基盤認証手続が成功的に完了すると、上位ＥＡＰ認証プロトコル特性に従って、端末と基地局は、ＭＳＫ（例:５１２ビット）を共有する（Ｓ９００）。この場合、第１実施形態の第２例と同様に、ＭＳＫの所定ビット（例:上位１６０ビット）をＰＭＫとして使用する（Ｓ９１０〜Ｓ９２０）。

ＥＡＰ基盤認証手続を行った後、ＳＡ−ＴＥＫ手続を行うが、端末と基地局は、ＳＡ−ＴＥＫ手続中に互いに交換することによって、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）及び基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）を有する。端末と基地局は、ＰＭＫを入力キーとし、端末ＭＡＣアドレス、基地局識別子、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）及び基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）、そして“ＡＫ”というストリング文字を入力データとして、キー生成アルゴリズムを行う。そして、得られた結果データの所定ビット（例:上位１６０ビット）を認証キーとして使用する（Ｓ９３０〜Ｓ９４０）。

次に、本発明の第２実施形態の第３例による認証キー生成方法について詳細に説明する。本発明の第２実施形態の第３例は、ＲＳＡ基盤認証手続を行った後、ＥＡＰ基盤認証手続を行う認証方法における認証キー生成方法に関するものである。

図２１は本発明の第２実施形態による、ＲＳＡ基盤認証手続を行った後に、ＥＡＰ基盤認証手続を行う認証方法における認証キー生成方法を示す流れ図である。

この認証キー生成方法は、ＥＡＰ基盤認証手続によって端末と基地局がＭＳＫを共有した場合にのみ適用される方法である。もし、端末と基地局がＲＳＡ基盤認証手続を行った後、ＥＡＰ基盤認証手続を行っても、ＭＳＫを共有しない場合には、図１２に示された第１実施形態の第１例による認証キー生成方法によって認証キーを生成する。

ＲＳＡ基盤認証手続が成功的に完了すると、端末と基地局は、２５６ビットのｐｒｅ−ＰＡＫを共有し、このキーでＥＩＫとＰＡＫを導出する（Ｓ１１００〜Ｓ１２００）。そして、端末１００と基地局２００は、上位ＥＡＰ認証プロトコルによってＰＫＭｖ２ −ＥＡＰ−転送メッセージを複数交換し、端末または基地局に対する装置認証または使用者認証を行う。ＥＡＰ基盤認証手続が成功的に完了すると、端末と基地局は、上位ＥＡＰ認証プロトコル特性によってＭＳＫを共有する（Ｓ１３００）。この場合、端末と基地局は、共有されたＭＳＫを使用してＰＭＫを導出する（Ｓ１４００〜Ｓ１５００）。

しかしながら、第１実施形態の第３例とは異なって、端末１００と基地局２００は、ＳＡ−ＴＥＫ手続で得られた端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）及び基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）に基づいて、認証キーを生成する。すなわち、端末と基地局は、ＰＡＫとＰＭＫについて所定演算、例えば、排他的論理和の演算を行って、得られた結果値を獲得する。そして、端末は、その結果値を入力キーとし、端末ＭＡＣアドレス、基地局識別子、端末ランダム値（ＭＳ_Ｒａｎｄｏｍ）及び基地局ランダム値（ＢＳ_Ｒａｎｄｏｍ）、及び“ＡＫ”というストリング文字を入力データとしてキー生成アルゴリズムを行って、結果データを獲得する。そして、結果データの所定ビット（例:上位１６０ビット）を認証キー（ＡＫ）として使用する（Ｓ１６００〜Ｓ１７００）。

一方、本発明の第２実施形態の第４例による、ＲＳＡ基盤認証手続を行った後、認証されたＥＡＰ基盤認証手続を行う認証方法における認証キー生成方法は、上述した第２実施形態の第３例による認証キー生成方法と同一に行われる。この認証キー生成方法は、ＲＳＡ基盤認証手続を行った後、認証されたＥＡＰ基盤認証手続によって、端末と基地局がＭＳＫを共有した場合にのみ適用される方法である。もし、端末と基地局がＲＳＡ基盤認証手続を行った後、認証されたＥＡＰ基盤認証手続を行っても、ＭＳＫを共有しない場合には、図１２に示された第１実施形態の第１例による認証キー生成方法によって認証キーを生成する。したがって、ここでは詳細な説明を省略する。

このような第１実施形態によれば、交渉による各認証手続を行った後に、必須的にＳＡ−ＴＥＫ手続を行って保安関連情報を交換することによって、信頼性のある情報提供が行われる。また、認証手続を行うことによって生成されたＰＡＫまたはＰＭＫを認証キー生成のためのキー生成アルゴリズムの入力キーとしてそれぞれ使用することによって、各認証方法ごとに体系的な構造を有する認証キーを得ることができる。

一方、上述のような第１実施形態で、キー有効時間は、認証政策によって定義されるＰＡＫ有効時間またはＰＭＫ有効時間の中で相対的に短い時間を選択することが好ましい。このような場合、認証キーの有効時間が短くなることで、強力な認証キー維持が可能になる。

また、第２実施形態で、認証キー有効時間は、ＰＡＫ有効時間またはＰＭＫ有効時間またはランダム値有効時間の中で相対的に短い時間を選択することが好ましい。このような場合、認証キーの有効時間が短くなることで、さらに強力な認証キー維持が可能になる。

また、ＰＡＫ有効時間は、基地局によってＲＳＡ基盤認証手続中に端末に提供される。一方、ＰＭＫ有効時間は、上位ＥＡＰ認証プロトコル階層から端末と基地局がそれぞれ提供を受けたり、ＳＡ−ＴＥＫ基盤認証手続中に基地局から端末に提供される。また、ランダム値有効時間は、ＳＡ−ＴＥＫ手続中に基地局から端末に提供される。

また、認証方式がＲＳＡ基盤認証手続のみを行う場合、認証キー有効時間がＰＡＫ有効時間に設定され、端末は、認証キー有効時間が満了する前に、上述のようなＲＳＡ基盤認証手続を通じてＰＡＫを更新することができる。この場合、更新が成功すると、端末と基地局がＰＡＫとＰＡＫ有効時間をそれぞれ更新し、認証キーは、更新されたＰＡＫで再生成され、認証キー有効時間は、当該更新されたＰＡＫ有効時間と同一値に設定される。

また、認証方式がＥＡＰ基盤認証手続のみを行う場合、認証キー有効時間がＰＭＫ有効時間に設定され、端末は、認証キー有効時間が満了する前に、上述のようなＥＡＰ基盤認証手続を通じてＰＭＫを更新することができる。この場合、更新が成功すると、該更新されたＰＭＫで認証キーを再生成し、ＰＭＫ有効時間は、上位ＥＡＰ認証プロトコル階層から伝達されたり、ＳＡ−ＴＥＫ手続により更新されることができ、また、認証キー有効時間は、当該更新されたＰＭＫ有効時間と同一値に設定されることができる。

次に、上述した第１及び第２実施形態で、端末と基地局が交渉した認証方式が、ＲＳＡ基盤認証手続を行った後、認証されたＥＡＰ基盤認証手続を行う場合に、認証されたＥＡＰ基盤認証手続で使用されるメッセージ（ＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージ）に対するメッセージ認証のための、メッセージ認証コード関連パラメータを生成するキーであるメッセージ認証キーを導出する方法について説明する。

図２２はメッセージ認証キーの生成方法を示す流れ図であり、具体的には、本発明の第１及び第２実施形態によるＥＩＫを用いたメッセージ認証のためのメッセージ認証キー、すなわち、ＨＭＡＣキーとＣＭＡＣキーを生成する方法を示す流れ図である。この方法は、端末と基地局が交渉した認証政策として、ＲＳＡ基盤認証手続を行った後に認証されたＥＡＰ基盤認証手続を行う認証方法を選択した場合にのみ有効である。すなわち、ＲＳＡ基盤認証手続で基地局から端末に伝達されるＰＫＭｖ２ＲＳＡ−応答メッセージに含まれたｐｒｅ−ＰＡＫを通じて得られたＥＩＫに基づいて、認証されたＥＡＰ基盤認証手続で使用されるＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージに含まれたＨＭＡＣ−ＤｉｇｅｓｔやＣＭＡＣ−Ｄｉｇｅｓｔを生成するのに必要なメッセージ認証キー（ＨＭＡＣ又はＣＭＡＣキー）を生成する。

具体的には、図２２に示されているように、ＲＳＡ基盤認証手続が成功的に完了すると、上述のように端末１００と基地局２００は、ｐｒｅ−ＰＡＫを使用してＥＩＫ（１２８ビット）を生成する（Ｓ２０００）。

そして、端末基本機能交渉手続を通じて、メッセージ認証方式でＨＭＡＣが決定された場合、端末１００と基地局２００は、共有されたＥＩＫを入力キーとし、端末ＭＡＣアドレスと基地局識別子、及び“ＨＭＡＣ_ＫＥＹＳ”というストリング文字を入力データとして、キー生成アルゴリズムを行う（Ｓ２１００〜Ｓ２２００）。

かかるキー生成アルゴリズムによって得られた結果データの所定ビット（例:上位３２０ビット）を切り出し、切り出されたビットから所定ビット（例:上位１６０ビット）を第１入力キー、すなわち、上位リンクに伝送されるＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージに含まれるＨＭＡＣ−Ｄｉｇｅｓｔを生成するための入力キーＨＭＡＣ_ＫＥＹ_Ｕとして使用する。そして、前記結果データから切り出されたビットの残りのビット（例:下位１６０ビット）を第２入力キー、すなわち、下位リンクに伝送されるＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージに含まれたＨＭＡＣ−Ｄｉｇｅｓｔを生成するための入力キーＨＭＡＣ_ＫＥＹ_Ｄとして使用する（Ｓ２３００）。

一方、端末と基地局との端末基本機能交渉手続を通じて、メッセージ認証方式でＣＭＡＣが決定された場合、端末と基地局は、共有されたＥＩＫを入力キーとし、端末ＭＡＣアドレスと基地局識別子、及び“ＣＭＡＣ_ＫＥＹＳ”というストリング文字を入力データとして、キー生成アルゴリズムを行う（Ｓ２４００）。

そして、当該アルゴリズムによる結果データの中で所定ビット（例:上位２５６ビット）を切り出し、切り出されたビットから所定ビット（例:１２８ビット）を第１入力キー、すなわち、上位リンクに伝送されるＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージに含まれたＣＭＡＣ−Ｄｉｇｅｓｔを生成するための入力キーであるＣＭＡＣ_ＫＥＹ_Ｕとして使用する。そして、前記結果データから切り出されたビットの残りのビット（例:下位１２８ビット）を第２入力キー、すなわち、下位リンクに伝送されるＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージに含まれたＣＭＡＣ−Ｄｉｇｅｓｔを生成するための入力キーＣＭＡＣ_ＫＥＹ_Ｄとして使用する（Ｓ２５００）。

このように生成されたメッセージ認証キー（ＨＭＡＣ_ＫＥＹ_Ｕ、ＨＭＡＣ_ＫＥＹ_Ｄ、ＣＭＡＣ_ＫＥＹ_Ｕ、ＣＭＡＣ_ＫＥＹ_Ｄ）に基づいて、メッセージ認証コード関連パラメータに含まれるＨＭＡＣ−ＤｉｇｅｓｔまたはＣＭＡＣ−Ｄｉｇｅｓｔをそれぞれ生成する。

次に、本発明の第１及び第２実施形態による認証方法を通じて端末や基地局装置に対する認証または使用者認証が成功した場合に、端末と基地局とで送受信されるトラフィックデータに対する暗号化を行うのに使用される入力キーのトラフィック暗号化キーを生成し、これを分配する過程について、より具体的に説明する。

まず、トラフィック暗号化キーを生成する時に使用されるメッセージの構造について説明する。

本発明の実施形態では、トラフィック暗号化キー生成及び分配過程で端末と基地局の間で送受信されるメッセージに、当該メッセージに対する反復的攻撃を防止するためのランダム番号を含めて伝送する。端末と基地局は、それぞれランダム番号を独立的に管理し、ランダム番号が含まれたメッセージを受信した受信側では、当該メッセージに含まれたランダム番号と予め格納されたランダム番号との関係によって、当該メッセージが反復的攻撃を受けたかどうかを判断する。反復的攻撃を受けたと判断された場合には、当該メッセージを廃棄処理し、反復的攻撃を受けていない場合には、当該メッセージに基づいて所定処理を行う。

このようなランダム番号は、第１形態の値で生成されたり、第２形態の値で生成されることができる。

ランダム番号は、カウンターのように、一定の値が増加する方向に生成されたりまたは一定の値が減少する方向に生成されてもよく、このようなことを、ランダム番号が第１形態の値で生成されると見なす。例えば、ランダム番号が第１形態の値で生成される場合、ランダム番号値を前に使用した値より+１増加された値に設定したり、−１減少した値に設定することができる。

ランダム番号が第１形態の値で生成される場合、所定のトラフィック暗号化キー生成及び分配過程のときに当該ランダム番号を含むメッセージを受信したノードは、各メッセージに含まれたランダム番号を全て格納して管理せずに、ランダム番号の中で最大値を有するランダム番号のみを保存したり、最小値を有するランダム番号のみを格納する。したがって、受信ノードには、対応するトラフィック暗号化キーが満了するまでは、１つのランダム番号（最大ランダム番号または最小ランダム番号）が格納され、当該トラフィック暗号化キーが満了すると、これに対応するランダム番号が削除される。

この場合、受信ノードは、所定メッセージが受信されると、当該メッセージに含まれていたランダム番号（例:第１ランダム番号）の値が受信側に予め格納されていたランダム番号（例:第２ランダム番号）の値を超えるかどうかを判断し、超える場合には、当該メッセージが反復的攻撃を受けていないメッセージであると見なす。そして、第１ランダム番号が第２ランダム番号を超える場合には、格納されていた第２ランダム番号を削除し、当該第１ランダム番号を格納して、この後に受信されるメッセージに対する反復的攻撃可否を判断するためのランダム番号として使用する。

ここで、ランダム番号がカウンターのように一定の値が増加する方向に生成される場合には、第２ランダム番号が最大ランダム番号であるので、第１ランダム番号が第２ランダム番号より大きい場合には第１ランダム番号が第２ランダム番号を超えることと見なす。したがって、受信ノードは、受信されたメッセージに含まれた第１ランダム番号が第２ランダム番号より小さいか同一であれば、当該メッセージが反復的攻撃を受けたメッセージであると見なして、これを廃棄する。

これに反し、ランダム番号がカウンターのように一定の値が減少する方向に生成される場合には、第２ランダム番号が最小ランダム番号であるので、第１ランダム番号が第２ランダム番号より小さい場合には、第１ランダム番号が第２ランダム番号を超えることと見なす。したがって、受信ノードは、受信されたメッセージに含まれた第１ランダム番号が第２ランダム番号より大きいか同一であれば、当該メッセージが反復的攻撃を受けたメッセージであると見なして、これを廃棄する。

また、ランダム番号は、カウンターとは異なって、ランダムに生成することができ、このような場合を、ランダム番号が第２形態の値で生成されることと見なす。この場合、ランダム番号の値を前に使用した値とは全く関係なくランダムに設定することができる。

ランダム番号が第２形態の値で生成される場合、所定のトラフィック暗号化キー生成及び分配過程のときに当該ランダム番号を含むメッセージを受信したノードは、各メッセージに含まれたランダム番号を全て格納して管理し、このようなランダム番号を、該当するトラフィック暗号化キーが満了するまで格納する。そして、前記トラフィック暗号化キーが満了すると、これに該当する全てのランダム番号を削除する。

この場合、受信ノードは、所定のメッセージが受信されると、当該メッセージに含まれたランダム番号（例:第１ランダム番号）の値が受信側で予め格納されていた１つ以上のランダム番号（例:第２ランダム番号）の値と同一であるかを判断する。すなわち、第１ランダム番号の値が第２ランダム番号のうちの１つと同一値を有すると、当該メッセージは反復的攻撃を受けたメッセージであると見なして、このメッセージを廃棄処理する。これに反し、第１ランダム番号の値が第２ランダム番号のうちのいずれの１つとも同一でない場合には、当該メッセージが反復的攻撃を受けなかったと判断して、かかるメッセージを使用する。そして、前記第１ランダム番号を格納し、予め格納されていた第２ランダム番号と共に管理することによって、この後に受信されるメッセージに対する反復的攻撃有無を判断するための番号として使用する。

図２３は本発明の実施形態によるトラフィック暗号化キー生成及び分配過程で使用されるメッセージのうちの、ＰＫＭｖ２Ｋｅｙ−依頼メッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２Ｋｅｙ−依頼メッセージは、端末が、自ら有しているＳＡ_ＩＤに対応するトラフィック暗号化キー及びトラフィック暗号化キー関連パラメータを基地局に要請するためのメッセージであり、別名“トラフィック暗号化キー要請メッセージ”とも言う。

ＰＫＭｖ２Ｋｅｙ−依頼メッセージは、認証キー一連番号、ＳＡＩＤ、ランダム番号、及びメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を含む。

認証キー一連番号は、認証キーのための順次的な一連番号である。ＰＫＭｖ２Ｋｅｙ−依頼メッセージに含まれたメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を生成するときに使用される入力キーは、認証キーから導出されるが、認証キーが同時に２つ使用されることがあり得る。したがって、使用される認証キーを区別するために、認証キー一連番号が使用される。

ＳＡＩＤは、ＳＡの識別子である。ＳＡは、トラフィック暗号化キーだけでなく、トラフィックデータを暗号化することにおいて必要なパラメータを含む集合（セット）である。また、１つのＳＡは、１つ以上のトラフィック接続とマッピングできる。

ランダム番号は、このメッセージの反復的攻撃に対して保護するために使用される。端末が前記ＰＫＭｖ２Ｋｅｙ−依頼メッセージを送信するとき、当該端末は、ランダム番号を第１形態の値で生成したり第２形態の値で生成して当該メッセージに含ませる。したがって、基地局は、このメッセージを受信した場合に、かかるメッセージに含まれたランダム番号の値が第１形態または第２形態の値を有するかどうかに応じて、上述のように、受信したメッセージが反復的攻撃を受けたメッセージであるかどうかを判断し、反復的攻撃を受けたメッセージである場合には廃棄する。

メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）は、ＰＫＭｖ２Ｋｅｙ−依頼メッセージ自体を認証するために使用されるパラメータである。端末は、認証キーに基づいて、メッセージ認証コード関連パラメータを除いたＰＫＭｖ２Ｋｅｙ−依頼メッセージの残りのパラメータをメッセージハッシュ関数に適用させることによって、ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔを生成する。

図２４は本発明の実施形態によるトラフィック暗号化キー生成及び分配過程で使用されるメッセージの中でＰＫＭｖ２Ｋｅｙ−応答メッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２Ｋｅｙ−応答メッセージは、前記ＰＫＭｖ２Ｋｅｙ−依頼メッセージによって基地局が当該ＳＡＩＤに対するトラフィック暗号化キーを生成した場合、これを端末に通知するためのメッセージであり、別名“トラフィック暗号化キー応答メッセージ"とも言う。

基地局は、予め定められたＳＡＩＤに対応するトラフィック暗号化キー要請メッセージであるＰＫＭｖ２Ｋｅｙ−依頼メッセージを端末から受信すると、このメッセージに含まれるメッセージ認証コード関連パラメータＣＭＡＣ−ＤｉｇｅｓｔやＨＭＡＣ−Ｄｉｇｅｓｔを使用して、当該メッセージに対する認証検証を行う。そして、認証が成功裡に終了した場合、当該ＳＡＩＤに対応するトラフィック暗号化キーを生成し、これをＰＫＭｖ２Ｋｅｙ−応答メッセージに含ませて端末に送信する。この場合、端末がＰＫＭｖ２Ｋｅｙ−応答メッセージを成功的に受信すると、トラフィック暗号化キー生成及び分配手続が完了する。

このようなＰＫＭｖ２Ｋｅｙ−応答メッセージは、認証キー一連番号、ＳＡＩＤ、トラフィック暗号化キー関連パラメータ（ＴＥＫ−Ｐａｒａｍｅｔｅｒｓ）、グループキー暗号化キー関連パラメータ（ＧＫＥＫ−Ｐａｒａｍｅｔｅｒｓ）、ランダム番号、及びメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を含む。

認証キー一連番号は、上述のように、メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を生成するときに使用されるメッセージ認証キーを生成するために使用される認証キーを区別するための番号である。ＳＡＩＤは、ＳＡの識別子であり、端末が送信したＰＫＭｖ２Ｋｅｙ−依頼メッセージに含まれたＳＡＩＤと同一値である。

トラフィック暗号化キー関連パラメータ（ＴＥＫ−Ｐａｒａｍｅｔｅｒｓ）は、トラフィックデータを暗号化するときに必要なパラメータを含む。例えば、トラフィック暗号化キー、トラフィック暗号化キー一連番号、トラフィック暗号化キー有効時間、ＣＢＣ−ＩＶ、及び関連グループキー暗号化キー一連番号（Ａｓｓｏｃｉａｔｅｄ ＧＫＥＫ Ｓｅｑｕｅｎｃｅ Ｎｕｍｂｅｒ）を含む。ＰＫＭｖ２Ｋｅｙ−応答メッセージには、２つのトラフィック暗号化キー関連パラメータ、すなわち、現在の有効時間の間に使用されるトラフィック暗号化キー関連パラメータと、次の有効時間の間に使用されるトラフィック暗号化キー関連パラメータと、を含むことができる。

グループキー暗号化キー関連パラメータ（ＧＫＥＫ−Ｐａｒａｍｅｔｅｒｓ）は、マルチキャストサービスやブロードキャストサービスまたはＭＢＳサービスに該当するトラフィックデータを暗号化するときに必要なパラメータを含む。例えば、グループキー暗号化キー（ＧＫＥＫ:Ｇｒｏｕｐ Ｋｅｙ Ｅｎｃｒｙｐｔｉｏｎ Ｋｅｙ）、グループキー暗号化キー有効時間、及びグループキー暗号化キー一連番号を含む。ＰＫＭｖ２Ｋｅｙ−応答メッセージには、２つのグループキー暗号化キー関連パラメータ、すなわち、現在の有効時間の間に使用されるグループキー暗号化キー関連パラメータと、次の有効時間の間に使用されるグループキー暗号化キー関連パラメータと、を含むことができる。一方、グループキー暗号化キー関連パラメータは、マルチキャストサービスやブロードキャストサービスまたはＭＢＳサービスに該当するＳＡが定義される場合にのみ含まれる。

ランダム番号は、上述のようにメッセージを反復的攻撃から保護するために使用され、例えば、基地局がＰＫＭｖ２Ｋｅｙ−応答メッセージを送信するときに、第１形態の値で生成されたり、第２形態の値で生成されて、当該メッセージに含まれる。したがって、端末は、このメッセージを受信したときに、当該メッセージに含まれたランダム番号の値が第１形態または第２形態の値を有するかに応じて、上述のように受信したメッセージが反復的攻撃を受けたメッセージであるかどうかを判断し、反復的攻撃を受けたメッセージの場合には廃棄する。

メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）は、ＰＫＭｖ２Ｋｅｙ−応答メッセージ自体を認証するために使用されるパラメータである。基地局は、認証キーに基づいて、メッセージ認証コード関連パラメータを除いたＰＫＭｖ２Ｋｅｙ−応答メッセージの残りのパラメータをメッセージハッシュ関数に適用させることによって、ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔを生成する。

図２５は本発明の第１及び第２実施形態によるトラフィック暗号化キー生成及び分配過程で使用されるメッセージの中でＰＫＭｖ２Ｋｅｙ−拒絶メッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２Ｋｅｙ−拒絶メッセージは、端末のＰＫＭｖ２Ｋｅｙ−依頼メッセージによってトラフィック暗号化キー生成が失敗した場合に、これを端末に通知するために使用されるメッセージである。

基地局は、ＰＫＭｖ２Ｋｅｙ−依頼メッセージを受信し、このメッセージに対する認証検証が成功した場合に、端末が要請した当該ＳＡＩＤに対するトラフィック暗号化キー生成が失敗すると、端末にＰＫＭｖ２Ｋｅｙ−拒絶メッセージを送信する。この場合、ＰＫＭｖ２Ｋｅｙ−拒絶メッセージを受信した端末は、基地局にＰＫＭｖ２Ｋｅｙ−依頼メッセージを再び送信して、トラフィック暗号化キーを再び要請する。

ＰＫＭｖ２Ｋｅｙ−拒絶メッセージは、認証キー一連番号、ＳＡＩＤ、エラーコード、表示ストリング、ランダム番号、そしてメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を含む。

認証キー一連番号は、上述のように、メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を生成するときに使用されるキーを導出するために使用される、認証キーを区別するための順次的な一連番号である。ＳＡＩＤは、ＳＡの識別子であり、端末が送信したＰＫＭｖ２Ｋｅｙ−依頼メッセージに含まれたＳＡＩＤと同一値である。

エラーコードは、基地局が端末のトラフィック暗号化キー要請に対して拒絶する理由を示すものである。表示ストリングは、端末のトラフィック暗号化キー要請に対する基地局の拒絶の理由をストリングで示したものである。

ランダム番号は、上述のようにメッセージを反復的攻撃から保護するために使用され、例えば、基地局がＰＫＭｖ２Ｋｅｙ−拒絶メッセージを送信するときに、該基地局によって第１形態の値で生成され或いは第２形態の値で生成されて、当該メッセージに含められる。したがって、端末は、このメッセージを受信したときに、当該メッセージに含まれたランダム番号の値が第１形態または第２形態の値を有するかに応じて、上述のように受信したメッセージが反復的攻撃を受けたメッセージであるかどうかを判断し、反復的攻撃を受けたメッセージの場合には廃棄する。

メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）は、ＰＫＭｖ２Ｋｅｙ−拒絶メッセージ自体を認証するために使用されるパラメータである。基地局は、認証キーに基づいてメッセージ認証コード関連パラメータを除いたＰＫＭｖ２Ｋｅｙ−拒絶メッセージの残りのパラメータをメッセージハッシュ関数に適用させることによって、ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔを生成する。

図２６は本発明の実施形態による１つ以上のトラフィック暗号化キーを動的に生成及び分配過程で使用されるメッセージの中でＰＫＭｖ２ＳＡ−付加メッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２ＳＡ−付加メッセージは、基地局が１つ以上のＳＡを動的に生成し、これを端末に分配しようとするときに、端末に送信するメッセージであり、別名“ＳＡ動的追加メッセージ”とも言う。すなわち、端末と基地局の間でトラフィック接続が動的に追加され、当該トラフィック接続に対するトラフィック暗号化機能を支援するときに、このメッセージが使用される。

ＰＫＭｖ２ＳＡ−付加メッセージは、認証キー一連番号、１つ以上のＳＡ記述語、ランダム番号、及びメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を含む。

認証キー一連番号は、上述のように、認証キーのための順次的な一連番号である。

ＳＡ記述語は、ＳＡの識別子であるＳＡＩＤ、ＳＡの類型を知らせるためのＳＡタイプ、ＳＡタイプが動的ＳＡであるか静的ＳＡである場合に定義され、ＳＡのトラフィックサービスの形態を知らせるためのＳＡサービスタイプ、そして当該ＳＡで使用される暗号化アルゴリズムを知らせるための暗号スイートを含む。このＳＡ記述語は、基地局が動的に生成しようとするＳＡの個数だけ反復的に定義することができる。

ランダム番号は、ＰＫＭｖ２ＳＡ−付加メッセージを反復的攻撃から保護するために使用される。基地局がＰＫＭｖ２ＳＡ−付加メッセージを送信する際に、該基地局は、ランダム番号を、第１形態の値或いは第２形態の値で生成し、当該メッセージに含める。端末は、このメッセージを受信した場合に、当該メッセージに含まれたランダム番号の値が第１形態または第２形態の値を有するかに応じて、上述のように受信したメッセージが反復的攻撃を受けたメッセージであるかどうかを判断し、反復的攻撃を受けたメッセージの場合には廃棄する。

メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）は、ＰＫＭｖ２ＳＡ−付加メッセージ自体を認証するために使用されるパラメータである。基地局は、認証キーに基づいて、メッセージ認証コード関連パラメータを除いたＰＫＭｖ２ＳＡ−付加メッセージの残りパラメータをメッセージハッシュ関数に適用させることによって、ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔを生成する。

図２７は本発明の第１及び第２の実施形態による、トラフィック暗号化キーのエラーを通知する過程で使用されるメッセージの中でＰＫＭｖ２ＴＥＫ−無効メッセージの内部パラメータ構造を示すテーブルである。

ＰＫＭｖ２ＴＥＫ−無効メッセージは、トラフィックデータを暗号化するときに使用されるトラフィック暗号化キーが適切でない場合に、基地局が端末に通知するために使用されるメッセージであり、別名“トラフィック暗号化キーエラー通知メッセージ”とも言う。例えば、有効でないトラフィック暗号化キー一連番号が使用された場合のように、適切でないトラフィック暗号化キーが使用された場合に、基地局は、このことを通知するために、ＰＫＭｖ２ＴＥＫ−無効メッセージを端末に送信する。この場合、ＰＫＭｖ２ＴＥＫ−無効メッセージを受信した端末は、該メッセージに含まれたＳＡＩＤに対応するトラフィック暗号化キーを含む新たなＳＡを要請する。新たなトラフィック暗号化キーを要請し、受信するために、端末と基地局は、ＰＫＭｖ２Ｋｅｙ−依頼メッセージとＰＫＭｖ２Ｋｅｙ−応答メッセージを使用する。

ＰＫＭｖ２ＴＥＫ−無効メッセージは、認証キー一連番号、ＳＡＩＤ、エラーコード、表示ストリング、ランダム番号、そしてメッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）を含む。

上述のように、認証キー一連番号は、認証キーのための順次的な一連番号である。ＳＡＩＤは、ＳＡの識別子であり、特に、有効でないトラフィック暗号化キーに属していたＳＡの識別子を意味する。このようなＳＡＩＤが含まれていると、端末と基地局は、ＳＡＩＤに対応するトラフィック暗号化キーを新たに生成して分配しなければならない。

エラーコードは、基地局が端末のトラフィック暗号化キー要請を拒絶する理由を示すものであり、表示ストリングは、端末のトラフィック暗号化キー要請を拒絶する理由をストリングで示すものである。

ランダム番号は、ＰＫＭｖ２ＴＥＫ−無効メッセージを反復的攻撃から保護するために使用され、例えば基地局がＰＫＭｖ２ＴＥＫ−無効メッセージを送信するときに、該基地局により第１形態の値で生成されたり第２形態の値で生成されて、当該メッセージに含められる。したがって、端末は、このメッセージを受信したときに、当該メッセージに含まれたランダム番号の値が第１形態または第２形態の値を有するかに応じて、上述のように受信したメッセージが反復的攻撃を受けたメッセージであるかどうかを判断し、反復的攻撃を受けたメッセージの場合には廃棄する。

メッセージ認証コード関連パラメータ（ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔ）は、ＰＫＭｖ２ＴＥＫ−無効メッセージ自体を認証するために使用されるパラメータである。基地局は、認証キーに基づいてメッセージ認証コード関連パラメータを除いたＰＫＭｖ２ＴＥＫ−無効メッセージの残りパラメータをメッセージハッシュ関数に適用させることによって、ＣＭＡＣ−ＤｉｇｅｓｔまたはＨＭＡＣ−Ｄｉｇｅｓｔを生成する。

次に、上述したような構造からなるメッセージに基づいて、本発明の実施形態によるトラフィック暗号化キー生成及び分配過程について、より具体的に説明する。

図２８は本発明の第１及び第２実施形態によるトラフィック暗号化キー生成及び分配過程を示す流れ図である。

認証の後に、端末１００は、トラフィックデータ保安のためのトラフィック暗号化キーを要請するキー要請メッセージであるＰＫＭｖ２Ｋｅｙ−依頼メッセージを、基地局２００に送信する（Ｓ３０００）。このメッセージを受信した基地局２００は、当該メッセージが適法（有効）な端末から受信されたかを確認するために、メッセージ認証を行う（Ｓ３１００）。

メッセージ認証が成功した場合、基地局２００は、ＰＫＭｖ２Ｋｅｙ−依頼メッセージに含まれたＳＡに対応するトラフィック暗号化キーを生成し（Ｓ３２００）、該トラフィック暗号化キーを含むＰＫＭｖ２Ｋｅｙ−応答メッセージを端末１００に伝送する。これによって、トラフィック暗号化キー生成及び手続が完了する（Ｓ３３００）。

しかしながら、ステップＳ３１００で、メッセージ認証が失敗した場合には、基地局は、受信したＰＫＭｖ２Ｋｅｙ−依頼メッセージを廃棄処理する。また、メッセージ認証が成功しても、端末が要請したトラフィック暗号化キーに相当するＳＡＩＤが存在しないなどの理由でトラフィック暗号化キー生成が失敗した場合には、基地局２００は、ＰＫＭｖ２Ｋｅｙ−拒絶メッセージを端末に送信して、端末のトラフィック暗号化キー要請を拒絶する。

このような過程を通じて、端末と基地局は、トラフィック暗号化キーを共有し、このように共有されたトラフィック暗号化キーに基づいて、安定したトラフィックデータ伝送が達成される（Ｓ３４００）。

一方、端末と基地局との間で、動的にＳＡを追加する手続を行うことができる。この場合、基地局２００は、１つ以上のＳＡを追加するために、端末１００にＰＫＭｖ２ＳＡ−付加メッセージを送信する。ＰＫＭｖ２ＳＡ−付加メッセージを受信した端末１００は、当該受信されたメッセージに対する認証に成功し、このメッセージをうまく受信した場合に、手続を完了する。その結果、端末のＳＡが動的に追加される。

また、基地局は、有効でないトラフィック暗号化キー使用を通知する手続を行うことができる。この場合、基地局２００は、当該ＳＡの適切でないトラフィック暗号化キー使用を通知するために、ＰＫＭｖ２ＴＥＫ−無効メッセージを端末１００に送信する。端末１００は、受信されたＰＫＭｖ２ＴＥＫ−無効メッセージに対する認証が成功的で、このメッセージを正常に受信した場合に、手続を完了して、基地局２００に新たなトラフィック暗号化キーに対する生成及び分配を要請する。

上述した認証方法及びキー（認証キー、トラフィック暗号化キーなど）を生成する方法は、コンピュータが判読できる記録媒体に格納されるプログラム形態で実現することができる。かかる記録媒体としては、コンピュータによって判読できるデータが格納される全ての種類の記録装置を含むことができ、例えば、ＨＤＤ、メモリ、ＣＤ−ＲＯＭ、磁気テープ、フロッピーディスクなどがあり、また搬送波（例えば、インターネットによる伝送）の形態で実現されるものも含まれる。

以上、本発明の好ましい実施形態について詳細に説明したが、本発明の権利範囲はこれに限定されず、請求範囲で定義する本発明の基本概念を利用した当業者の多様な変形及び改良形態もまた本発明の権利範囲に属する。

上述した本発明の実施形態によれば、次のような効果が得られる。

第１に、ＲＳＡ基盤認証方式、ＥＡＰ基盤認証方式、及び認証されたＥＡＰ基盤認証方式を多様に選択して認証手続を行うことで、強力な認証機能を提供することができる。

第２に、認証の時に、端末と基地局の間に交換される主要パラメータを伝達するための認証関連メッセージに対する認証機能を追加することによって、相手方ノードから受信する保安関連パラメータに対する信頼性が向上する。

第３に、選択的な多様な組み合わせの認証方法を通じて、端末及び基地局に対する装置認証、そして使用者に対する認証機能が遂行され、認証キーを生成したり認証キー及び保安関連パラメータを伝達するために別途のＳＡ−ＴＥＫ認証手続を必須的に行う多重階層的な認証手続が定義されることで、効率的で体系的なＰＫＭｖ２のフレームワークを提供することができる。

第４に、認証キーを生成することにおいて、ＳＡ−ＴＥＫ手続中で端末と基地局が互いにランダムに生成して相手方ノードに伝達するランダム値を使用しない実施形態（第１実施形態）、これとは反対にランダム値を使用する実施形態（第２実施形態）をそれぞれ実現することによって、サービス事業者の認証政策によって認証キー生成方法を選択的に使用することができる。

第５に、ＲＳＡ基盤認証手続を通じて端末と基地局が共有するＰＡＫと、ＥＡＰ基盤認証手続を通じて両ノードが共有できるＰＭＫとで認証キーを生成することにおいて、これらを同一に入力キーとして使用する方法を提示することで、体系的で安全な認証キー構造を提供することができる。

第６に、認証キー有効時間を、認証政策によって定義されるＰＡＫ有効時間またはＰＭＫ有効時間の中から相対的に短い時間を選択することで、認証キーをより強力に管理することができる。

第７に、ＲＳＡ基盤認証手続を行った後に認証されたＥＡＰ基盤認証手続を行うように定義された認証政策において、認証されたＥＡＰ基盤認証手続に含まれたメッセージに対する認証機能を行うパラメータ（ＨＭＡＣ−ＤｉｇｅｓｔまたはＣＭＡＣ−Ｄｉｇｅｓｔ）を生成するのに使用するキーを作る方法を提示することによって、認証されたＥＡＰ基盤認証手続を完璧に支援することができる。

第８に、トラフィック暗号化キーを生成及び分配する手続において、当該手続の関連メッセージに対するメッセージ認証機能を追加することにより、端末と基地局の間で信頼性のある有効なトラフィック暗号化キーを共有することができる。

第９に、動的にＳＡを追加する手続において、当該手続の関連メッセージに対するメッセージ認証機能を追加することにより、基地局で信頼性のあるＳＡを追加することができる。

第１０に、上向リンクトラフィックデータを暗号化するためのトラフィック暗号化キーが適切でないことを基地局が端末に通知する手続において、当該手続の関連メッセージに対するメッセージ認証機能を追加することにより、信頼性のある基地局から、適切でないトラフィック暗号化キーを使用していることを認識することが可能になる。

本発明の実施形態による無線携帯インターネットシステムの構造を示す概略図である。 本発明の実施形態によるＲＳＡ基盤認証方式に使用されるＰＫＭｖ２ＲＳＡ−依頼メッセージの内部パラメータ構造を示すテーブルである。 本発明の実施形態によるＲＳＡ基盤認証方式に使用されるＰＫＭｖ２ＲＳＡ−応答メッセージの内部パラメータ構造を示すテーブルである。 本発明の実施形態によるＲＳＡ基盤認証方式に使用されるＰＫＭｖ２ＲＳＡ−拒絶メッセージの内部パラメータ構造を示すテーブルである。 本発明の実施形態によるＲＳＡ基盤認証方式に使用されるＰＫＭｖ２ＲＳＡ−承認メッセージの内部パラメータ構造を示すテーブルである。 本発明の実施形態によるＥＡＰ基盤認証方式で使用されるＰＫＭｖ２ＥＡＰ−転送メッセージの内部パラメータ構造を示すテーブルである。 本発明の実施形態による認証されたＥＡＰ基盤認証方式で使用されるＰＫＭｖ２ Ａｕｔｈｅｎｔｉｃａｔｅｄ−ＥＡＰ−転送メッセージの内部パラメータ構造を示すテーブルである。 本発明の実施形態によるＳＡ−ＴＥＫ手続中に使用されるＰＫＭｖ２ＳＡ−ＴＥＫ−チャレンジメッセージの内部パラメータ構造を示すテーブルである。 本発明の実施形態によるＳＡ−ＴＥＫ手続に使用されるＰＫＭｖ２ＳＡ−ＴＥＫ−依頼メッセージの内部パラメータ構造を示すテーブルである。 本発明の実施形態によるＳＡ−ＴＥＫ手続に使用されるＰＫＭｖ２ＳＡ−ＴＥＫ−応答メッセージの内部パラメータ構造を示すテーブルである。 本発明の第１実施形態によるＲＳＡ基盤認証手続のみを行う認証方法の流れ図である。 本発明の第１実施形態によるＲＳＡ基盤認証手続のみを行う認証方法における認証キー生成方法を示す流れ図である。 本発明の第１実施形態によるＥＡＰ基盤認証手続のみを行う認証方法の流れ図である。 本発明の第１実施形態によるＥＡＰ基盤認証手続のみを行う認証方法における認証キー生成方法を示す流れ図である。 本発明の第１実施形態でＲＳＡ基盤認証手続を行った後、ＥＡＰ基盤認証手続を行う認証方法の流れ図である。 本発明の第１実施形態によるＲＳＡ基盤認証手続を行った後、ＥＡＰ基盤認証手続を行う認証方法における認証キー生成方法を示す流れ図である。 本発明の第１実施形態によるＲＳＡ基盤認証手続を行った後、認証されたＥＡＰ基盤認証手続を行う認証方法の流れ図である。 本発明の第２実施形態による認証方法の流れ図であり、特に、ＳＡ−ＴＥＫ手続を示す流れ図である。 本発明の第２実施形態によるＲＳＡ基盤認証手続のみを行う認証方法における認証キー生成方法を示す流れ図である。 本発明の第２実施形態によるＥＡＰ基盤認証手続のみを行う認証方法における認証キー生成方法を示す流れ図である。 本発明の第２実施形態によるＲＳＡ基盤認証手続を行った後、ＥＡＰ基盤認証手続を行う認証方法における認証キー生成方法を示す流れ図である。 本発明の第１及び第２実施形態によるＥＩＫでメッセージ認証のためのＨＭＡＣキーまたはＣＭＡＣキーを生成する方法を示す流れ図である。 本発明の実施形態によるトラフィック暗号化キー生成及び分配過程で使用されるメッセージの中でＰＫＭｖ２Ｋｅｙ−依頼メッセージの内部パラメータ構造を示すテーブルである。 本発明の実施形態によるトラフィック暗号化キー生成及び分配過程で使用されるメッセージの中でＰＫＭｖ２Ｋｅｙ−応答メッセージの内部パラメータ構造を示すテーブルである。 本発明の実施形態によるトラフィック暗号化キー生成及び分配過程で使用されるメッセージの中でＰＫＭｖ２Ｋｅｙ−拒絶メッセージの内部パラメータ構造テーブルである。 本発明の実施形態による１つ以上のトラフィック暗号化キーを動的に生成及び分配する過程で使用されるメッセージの中でＰＫＭｖ２ＳＡ−付加メッセージの内部パラメータ構造を示すテーブルである。 本発明の実施形態によるトラフィック暗号化キーエラー通知過程で使用されるメッセージの中でＰＫＭｖ２ＴＥＫ−無効メッセージの内部パラメータ構造を示すテーブルである。 本発明の実施形態によるトラフィック暗号化キー生成及び分配過程を示す流れ図である。

Claims (41)

1. 無線携帯インターネットシステムで、基地局または加入者端末である第１ノードが、加入者端末または基地局である第２ノードと連係して認証処理を行う方法であって、
   ａ）前記第１ノードと第２ノードとの間での協議により設定された認証方式に対応する認証手続を行う段階;
   ｂ）前記認証手続に従って、前記第２ノードと共有される認証キーを生成するための１つ以上の基本キーを獲得する段階;
   ｃ）前記第１ノードの識別子、前記第２ノードの識別子、及び前記基本キーに基づいて認証キーを生成する段階;及び、
   ｄ）前記認証キー関連パラメータ及び保安関連パラメータを含む追加の認証手続のメッセージに基づいて、前記第２ノードとの間で、保安アルゴリズムとＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）情報とを交換する段階
   を含むことを特徴とする認証方法。
2. 無線携帯インターネットシステムで、基地局または加入者端末である第１ノードが、加入者端末または基地局である第２ノードと連係して認証処理を行う方法であって、
   ａ）前記第１ノードと第２ノードとの間での協議により設定された認証方式に対応する認証手続を行う段階;
   ｂ）前記認証手続に従って、前記第１ノードと前記第２ノードとの間で共有される認証キーを生成するための１つ以上の基本キーを獲得する段階;及び、
   ｃ）前記認証キー関連パラメータ及び保安関連パラメータを含む追加の認証手続のメッセージに基づいて、前記第２ノードとの間で、保安アルゴリズムとＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）情報とを交換する段階を含み、
   前記ｃ）段階は、前記第１ノードの識別子、前記第１ノードが任意に生成した第１ランダム値、前記基本キー、前記第２ノードの識別子、及び前記第２ノードが任意に生成した第２ランダム値、に基づいて認証キーを生成する段階をさらに含む
   ことを特徴とする認証方法。
3. 無線携帯インターネットシステムで、基地局または加入者端末である第１ノードが、加入者端末または基地局である第２ノードと連係して認証処理を行う方法であって、
   ａ）前記第１ノードと第２ノードとの間での協議により設定された認証方式に対応する認証手続を行う段階;
   ｂ）前記認証手続に従って、前記第１ノードと前記第２ノードとの間で共有される認証キーを獲得する段階;及び、
   ｃ）前記認証キー関連パラメータ及び保安関連パラメータを含む追加の認証手続のメッセージに基づいて、前記第２ノードとの間で、保安アルゴリズムとＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）情報とを交換する段階
   を含むことを特徴とする認証方法。
4. 前記認証方式は、
   加入者端末と基地局が互いに相手方ノードの装置認証をそれぞれ行うＲＳＡ（Ｒｉｖｅｓｔ Ｓｈａｍｉｒ Ａｄｌｅｍａｎ）基盤の認証方式、
   上位ＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）認証プロトコルを使用して、加入者端末と基地局に対する装置認証または使用者に対する認証を行うＥＡＰ基盤の認証方式、
   ＲＳＡ基盤認証を行った後に、ＥＡＰ基盤認証を行う認証方式、及び
   ＲＳＡ基盤認証を行った後に、認証されたＥＡＰ基盤認証を行う認証方式、
   のうちの少なくとも１つであることを特徴とする、請求項１乃至３のいずれかに記載の認証方法。
5. 前記第１ノードまたは第２ノードが加入者端末である場合、当該ノードの識別子は、加入者端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスであることを特徴とする、請求項１乃至３のいずれかに記載の認証方法。
6. 前記ａ）段階でＲＳＡ基盤認証手続が行われた場合、
   前記ｂ）段階は、
   前記ＲＳＡ基盤認証手続によってｐｒｅ−ＰＡＫ（ｐｒｅ−Ｐｒｉｍａｒｙ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｋｅｙ）を獲得する段階;
   前記ｐｒｅ−ＰＡＫでＰＡＫ（Ｐｒｉｍａｒｙ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｋｅｙ）を生成する段階;及び
   前記ＰＡＫを前記基本キーとして設定する段階
   を含むことを特徴とする、請求項１又は２に記載の認証方法。
7. 前記ａ）段階でＥＡＰ基盤認証手続が行われた場合、
   前記ｂ）段階は、
   上位ＥＡＰ認証プロトコル特性によりＭＳＫ（Ｍａｓｔｅｒ Ｓｅｓｓｉｏｎ Ｋｅｙ）を選択的に獲得する段階;
   前記獲得されたＭＳＫでＰＭＫ（Ｐａｉｒｗｉｓｅ Ｍａｓｔｅｒ Ｋｅｙ）を生成する段階;及び
   前記ＰＭＫを基本キーとして設定する段階
   を含むことを特徴とする、請求項１または２に記載の認証方法。
8. 前記ａ）段階でＲＳＡ基盤認証手続を行った後にＥＡＰ基盤認証手続が行われた場合、
   前記ｂ）段階は、
   前記ＲＳＡ基盤認証手続を行った後にｐｒｅ−ＰＡＫを獲得し、該ｐｒｅ−ＰＡＫに基づいてＰＡＫを生成する段階;
   前記ＥＡＰ基盤認証手続または認証されたＥＡＰ基盤認証手続を行った後に、前記ＥＡＰ認証プロトコルの特性に従ってＭＳＫ（Ｍａｓｔｅｒ Ｓｅｓｓｉｏｎ Ｋｅｙ）を選択的に獲得し、該獲得されたＭＳＫに基づいてＰＭＫ（Ｐａｉｒｗｉｓｅ Ｍａｓｔｅｒ Ｋｅｙ）を生成する段階;及び
   前記ＰＡＫまたはＰＭＫを前記基本キーとして設定する段階
   を含むことを特徴とする、請求項１記載の認証方法。
9. 前記ａ）段階は、
   ＲＳＡ基盤認証手続が行われる場合に、
   前記基地局が、加入者端末から受信したＲＳＡ認証要請メッセージ−該メッセージは、加入者端末認証書を含み、加入者端末が任意に生成した加入者端末ランダム値、メッセージ認証のためのパラメータのうちの少なくとも１つをさらに含む−によって、前記加入者端末装置に対する認証を行う段階;
   前記端末装置認証を行った結果が成功である場合、前記基地局が、ＲＳＡ認証応答メッセージ−該メッセージは、暗号化されたｐｒｅ−ＰＡＫ、基地局認証書、キー一連番号を含み、前記加入者端末ランダム値、基地局が任意に生成した基地局ランダム値、キー有効時間、メッセージ認証のためのパラメータのうちの少なくとも１つをさらに含む−を端末に送信しながら基地局装置に対する認証を要請する段階;及び、
   前記加入者端末から基地局装置に対する認証成功結果コードを含むＲＳＡ認証認知メッセージが受信されると、前記ＲＳＡ基盤認証手続を完了する段階；
   を含むことを特徴とする、請求項４に記載の認証方法。
10. 前記加入者端末装置に対する認証を行った結果が失敗である場合に、前記基地局が、ＲＳＡ認証失敗メッセージを加入者端末に伝送することにより認証失敗を通知する段階;及び、
    前記基地局装置に対する認証を行った結果が失敗である場合に、前記加入者端末が、認証失敗結果コードを含むＲＳＡ認証認知メッセージを基地局に伝送することにより認証失敗を通知する段階；
    を含み、
    前記ＲＳＡ認証失敗メッセージ及び前記ＲＳＡ認証認知メッセージは、加入者端末ランダム値、基地局ランダム値、失敗理由を示すエラーコード及び表示ストリング、メッセージ認証のためのメッセージ認証パラメータ、のうちの少なくとも１つをさらに含むことを特徴とする、請求項９に記載の認証方法。
11. 前記ａ）段階は、
    ＥＡＰ基盤認証手続が行われる場合に、
    前記基地局が、加入者端末から送信された認証手続の開始を通知するＥＡＰ認証開始メッセージによって、ＥＡＰ基盤認証手続を開始する段階;
    前記基地局が上位ＥＡＰ認証プロトコル階層からＥＡＰデータを受信するたびに前記データをＥＡＰデータ伝送メッセージを通じて加入者端末に送信することにより、使用者認証が行われる段階;及び、
    前記加入者端末からＥＡＰ認証成功メッセージが受信されるとＥＡＰ基盤認証を完了する段階；
    を含むことを特徴とする、請求項４に記載の認証方法。
12. 前記加入者端末が、上位ＥＡＰ認証プロトコル階層からＥＡＰデータを受信するたびに、前記データをＥＡＰデータ伝送メッセージを通じて基地局に送信する段階をさらに含むことを特徴とする、請求項１１に記載の認証方法。
13. 前記加入者端末と基地局の間に伝達されるＥＡＰデータ伝送メッセージの数は、上位認証プロトコルに応じて可変することを特徴とする、請求項１１に記載の認証方法。
14. 前記保安アルゴリズムとＳＡ情報とを交換する段階は、前記追加の認証手続のメッセージを受信したノードが当該受信されたメッセージに対する有効性を判断する段階をさらに含み、
    前記有効性を判断する段階は、
    前記受信されたメッセージに含まれたメッセージ認証コード関連パラメータと、認証キーに基づいて前記受信ノードにより直接生成されたメッセージ認証コード関連パラメータと、の同一性を判断する段階;
    前記受信されたメッセージに含まれたランダム値と、直前に相手方ノードに送信されたメッセージに含まれたランダム値と、の同一性を判断する段階;
    前記受信されたメッセージに含まれた認証キー識別子と、前記受信ノード内で保有された認証キー識別子と、の同一性を判断する段階;及び、
    前記メッセージ認証コード関連パラメータの同一性、前記ランダム値の同一性、及び前記認証キー識別子の同一性が満足された場合に、前記メッセージは有効であると判断する段階
    を含むことを特徴とする、請求項１乃至３のいずれかに記載の認証方法。
15. 前記基地局がＳＡ−ＴＥＫ試みメッセージを加入者端末に送信することにより、ＳＡ−ＴＥＫ手続を開始する段階;
    前記基地局が、加入者端末が支援する全ての保安関連アルゴリズムを含むＳＡ−ＴＥＫ要請メッセージを加入者端末から受信し、当該メッセージに対する有効性を確認する段階;及び、
    前記メッセージに対する有効性が確認された場合に、前記基地局が提供可能なＳＡと保安関連アルゴリズムを含むＳＡ−ＴＥＫ応答メッセージを加入者端末に送信する段階；
    を含むことを特徴とする、請求項１乃至３のいずれかに記載の認証方法。
16. 前記加入者端末が基地局からＳＡ−ＴＥＫ試みメッセージを受信する段階;
    受信された前記ＳＡ−ＴＥＫ試みメッセージによって、前記加入者端末が支援する全ての保安関連アルゴリズムを含むＳＡ−ＴＥＫ要請メッセージを基地局に送信する段階;
    前記加入者端末が基地局から受信されるＳＡ−ＴＥＫ応答メッセージの有効性を確認する段階;及び、
    前記ＳＡ−ＴＥＫ応答メッセージが有効であると確認された場合に、前記ＳＡ−ＴＥＫ手続を終了する段階；
    を含むことを特徴とする、請求項１５に記載の認証方法。
17. 前記ＳＡ−ＴＥＫ応答メッセージはＳＡ記述語を含み、
    前記ＳＡ記述語は、ＳＡの識別子であるＳＡＩＤと、ＳＡの類型を知らせるためのＳＡタイプと、前記ＳＡタイプが動的ＳＡであるか静的ＳＡである場合に定義され、ＳＡのトラフィックサービス形態を知らせるためのＳＡサービスタイプと、を含むことを特徴とする、請求項１６に記載の認証方法。
18. 前記ＳＡ−ＴＥＫ試みメッセージは、認証キー一連番号、認証キー識別子を含み、かつ、基地局が任意に生成した基地局ランダム値、メッセージ認証コード関連パラメータ、そしてＰＭＫ有効時間のうちの少なくとも１つをさらに含み、
    前記ＳＡ−ＴＥＫ試みメッセージに含まれた認証キー識別子と加入者端末が独自に生成した認証キー識別子とが同一である場合に、前記加入者端末が、ＳＡ−ＴＥＫ試みメッセージに含まれた前記認証キー識別子を含むＳＡ−ＴＥＫ要請メッセージを基地局に送信することを特徴とする、請求項１６に記載の認証方法。
19. 前記ＳＡ−ＴＥＫ試みメッセージは、基地局が任意に生成した基地局ランダム値及び認証キー一連番号を含み、かつ、ランダム値有効時間、ＰＭＫ有効時間のうちの少なくとも１つをさらに含み、
    前記ＳＡ−ＴＥＫ要請メッセージを基地局に送信する段階は、
    前記加入者端末が、前記ＳＡ−ＴＥＫ試みメッセージに含まれた基地局ランダム値に基づいて、認証キーを生成する段階;及び、
    前記加入者端末が、前記生成された認証キーに基づいて認証キー識別子を生成し、該生成された認証キー識別子を含む前記ＳＡ−ＴＥＫ要請メッセージを、基地局に送信する段階；
    を含むことを特徴とする、請求項１６に記載の認証方法。
20. 前記ＳＡ−ＴＥＫ要請メッセージは、加入者端末保安アルゴリズム能力を含み、かつ、加入者端末が任意に生成した加入者端末ランダム値、基地局が任意に生成して前記ＳＡ−ＴＥＫ試みメッセージ内に含める基地局ランダム値、認証キー一連番号、認証キー識別子、及びメッセージ認証コード関連パラメータのうちの少なくとも１つをさらに含み、
    前記認証キー識別子は、前記ＳＡ−ＴＥＫ試みメッセージに含まれた認証キー識別子と同一であることを特徴とする、請求項１８に記載の認証方法。
21. 前記ＳＡ−ＴＥＫ要請メッセージは、加入者端末が任意に生成した加入者端末ランダム値、加入者端末保安アルゴリズム能力、及び認証キー識別子を含み、かつ、基地局が任意に生成して前記ＳＡ−ＴＥＫ試みメッセージ内に含める基地局ランダム値、認証キー一連番号、及びメッセージ認証コード関連パラメータのうちの少なくとも１つをさらに含み、
    前記認証キー識別子は、前記加入者端末が新しく生成した認証キー識別子と同一であることを特徴とする、請求項１９に記載の認証方法。
22. 前記ＳＡ−ＴＥＫ応答メッセージは、ＳＡ更新情報と、１つまたは１つ以上のＳＡ記述語とを含み、かつ、ＳＡ−ＴＥＫ更新情報、加入者端末ランダム値及び基地局ランダム値、認証キー一連番号、認証キー識別子、及びメッセージ認証コード関連パラメータのうちの少なくとも１つをさらに含み、
    前記認証キー識別子は、前記ＳＡ−ＴＥＫ試みメッセージに含まれた認証キー識別子と同一であることを特徴とする、請求項１８に記載の認証方法。
23. 前記ＳＡ−ＴＥＫ応答メッセージは、１つまたは１つ以上のＳＡ記述語を含み、ＳＡ−ＴＥＫ更新情報、加入者端末ランダム値及び基地局ランダム値、認証キー一連番号、認証キー識別子、そしてメッセージ認証コード関連パラメータのうちの少なくとも１つをさらに含み、
    前記認証キー識別子は、前記ＳＡ−ＴＥＫ要請メッセージに含まれた認証キー識別子と同一であることを特徴とする、請求項１９に記載の認証方法。
24. 前記基地局と加入者端末がトラフィック暗号化キーを共有する段階をさらに含み、
    前記共有する段階は、
    前記基地局が、加入者端末から受信したトラフィック暗号化キー要請メッセージに対する認証を行う段階;
    メッセージ認証が成功した場合、前記ＳＡに対応するトラフィック暗号化キーを生成する段階;及び
    トラフィック暗号化キーを含むトラフィック暗号化キー応答メッセージを前記加入者端末に伝送する段階
    を含むことを特徴とする、請求項４に記載の認証方法。
25. 前記メッセージは反復的攻撃に対する保護のためのランダム番号を含み、前記メッセージを受信した受信ノードは、前記ランダム番号に従って前記メッセージを使用し又は廃棄処理することを特徴とする、請求項２４に記載の認証方法。
26. 前記ランダム番号が所定の値で増加又は減少する第１形態により生成された場合、
    前記メッセージに含まれた第１ランダム番号が、予め格納されている第２ランダム番号を超える場合には、前記受信ノードが、前記メッセージを使用し、前記格納されている第２ランダム番号を削除し、前記第１ランダム番号を格納する段階;及び
    前記第１ランダム番号が前記第２ランダム番号を超えない場合には、前記メッセージを廃棄処理する段階
    を含むことを特徴とする、請求項２５に記載の認証方法。
27. 前記受信ノードは、前記第２ランダム番号に相当するトラフィック暗号化キーが満了するまで前記第２ランダム番号を格納し、前記トラフィック暗号化キーが満了すると、前記第２ランダム番号を削除することを特徴とする、請求項２６に記載の認証方法。
28. 前記ランダム番号が第２形態で生成された場合、
    前記受信ノードは、前記メッセージに含まれた第１ランダム番号が、予め格納されている少なくとも１つ以上の第２ランダム番号のうちの１つと同一であれば、前記受信ノードが前記メッセージを廃棄処理し、
    前記第１ランダム番号がすべての第２ランダム番号と同一でなければ、前記メッセージを使用し、前記第１ランダム番号を第２ランダム番号の１つとして格納することによって管理する段階、
    を含むことを特徴とする、請求項２５に記載の認証方法。
29. 前記受信ノードは、前記すべての第２ランダム番号に該当するトラフィック暗号化キーが満了するまで前記すべての第２ランダム番号を格納し、前記トラフィック暗号化キーが満了すると、前記第２ランダム番号を全て削除することを特徴とする、請求項２８に記載の認証方法。
30. 前記基地局がＳＡ動的追加メッセージ−該メッセージは、追加しようとするＳＡ情報を含むＳＡ記述語を含み、かつ、認証キー一連番号、ランダム番号、及びメッセージ認証コード関連パラメータのうちの少なくとも１つをさらに含む−を加入者端末に送信し、該加入者端末にＳＡを動的に追加する段階
    をさらに含むことを特徴とする、請求項２４に記載の認証方法。
31. 前記基地局が、有効でないトラフィック暗号化キーの使用を通知するトラフィック暗号化キーエラー通知メッセージ−該メッセージは、前記トラフィック暗号化キーを使用するＳＡの識別子を含み、かつ、認証キー一連番号、エラーコード、ランダム番号、メッセージ認証コード関連パラメータのうちの少なくとも１つをさらに含む−を加入者端末に送信する段階をさらに含み、
    前記加入者端末は、前記トラフィック暗号化キーエラー通知メッセージに従って、基地局に新たなトラフィック暗号化キー分配を要請する
    ことを特徴とする、請求項２４に記載の認証方法。
32. 無線携帯インターネットシステムで基地局または加入者端末である第１ノードが加入者端末または基地局である第２ノードと連係して認証処理を行う際の認証キーを生成する方法であって、
    ａ）前記第１ノードが前記第２ノードと協議することにより設定された認証方式に対応する認証手続を行って、認証キー生成のための第１の基本キーを獲得する段階;
    ｂ）前記第１の基本キーから第２の基本キーを生成する段階;及び、
    ｃ）前記第２の基本キーを入力キーとして使用し、かつ、前記第１ノードの識別子、前記第２ノードの識別子、及び所定のストリング文字を入力データとして使用して、キー生成アルゴリズムを行うことにより認証キーを生成する段階
    を含むことを特徴とする認証キー生成方法。
33. 無線携帯インターネットシステムで基地局または加入者端末である第１ノードが加入者端末または基地局である第２ノードと連係して認証処理を行う際の認証キーを生成する方法であって、
    ａ）前記第１ノードが前記第２ノードと協議することにより設定された認証方式に対応する認証手続を行って、認証キー生成のための第１の基本キーを獲得する段階;
    ｂ）前記第１の基本キーから第２の基本キーを生成する段階;及び、
    ｃ）前記第２の基本キーを入力キーとして使用し、かつ、前記第１ノードの識別子、前記第１ノードが任意に生成した第１のランダム値、前記第２ノードの識別子、前記第２ノードが任意に生成した第２のランダム値、及び所定のストリング文字を入力データとして使用して、キー生成アルゴリズムを行うことにより認証キーを生成する段階
    を含むことを特徴とする認証キー生成方法。
34. 前記第１ノードまたは第２ノードが加入者端末である場合、当該ノードの識別子は、加入者端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスであることを特徴とする、請求項３２又は３３に記載の認証キー生成方法。
35. 前記認証方式が、加入者端末と基地局が互いに認証をそれぞれ行うＲＳＡ基盤の認証手続のみを行う方式の場合、前記第１基本キーはｐｒｅ−ＰＡＫであり、
    前記ｂ）段階は、
    前記ｐｒｅ−ＰＡＫを入力キーとして使用し、かつ、加入者端末識別子、基地局識別子、及び所定のストリングを入力データとして使用して、キー生成アルゴリズムを行うことにより第１結果データを獲得する段階;
    前記第１結果データから所定ビットを抽出する段階;及び
    前記抽出された所定ビットのデータの第１所定ビットを、第２の基本キーのＰＡＫに設定する段階
    を含むことを特徴とする、請求項３２又は３３に記載の認証キー生成方法。
36. 前記認証方式が、上位ＥＡＰ認証プロトコルを使用して加入者端末及び基地局に対する装置認証または使用者に対する認証を行うＥＡＰ基盤の認証手続のみを行う方式の場合、前記第１の基本キーはＭＳＫであり、
    前記ｂ）段階は、
    前記第１の基本キーであるＭＳＫの所定ビットを抽出することにより第２の基本キーであるＰＭＫに設定する段階
    を含むことを特徴とする、請求項３２又は３３に記載の認証キー生成方法。
37. 前記認証方式が、ＲＳＡ基盤認証手続を行った後に、ＥＡＰ基盤認証手続または認証されたＥＡＰ基盤認証手続を行う方式の場合、
    前記ｂ）段階は、
    前記ＲＳＡ基盤認証手続後獲得される第１基本キーのｐｒｅ−ＰＡＫからＰＡＫを生成する段階;
    前記ＥＡＰ基盤認証手続または認証されたＥＡＰ基盤認証手続を行った後に獲得される第１の基本キーであるＭＳＫからＰＭＫを生成する段階;
    前記ＰＡＫ及びＰＭＫについて論理演算を行って結果値を獲得する段階;及び
    前記結果値を第２の基本キーとして設定する段階
    を含むことを特徴とする、請求項３２又は３３に記載の認証キー生成方法。
38. 前記結果値を獲得する段階は、前記ＰＡＫとＰＭＫを排他的論理和演算することで前記結果値を獲得することを特徴とする、請求項３７に記載の認証キー生成方法。
39. 無線携帯インターネットシステムで、基地局または加入者端末である第１ノードが、加入者端末または基地局である第２ノードと連係しながら認証処理を行い、メッセージ認証キーパラメータを生成するための、メッセージ認証キーを生成する方法であって、
    ａ）前記第１ノードと第２ノードとの間の協議によって、ＲＳＡ基盤認証手続を行った後に認証されたＥＡＰ基盤認証手続が行われる方式が選択された場合に、前記第１ノードがＲＳＡ基盤認証手続を通じて前記第２ノードと共有される基本キーを獲得する段階;
    ｂ）前記基本キーを入力キーとして使用し、かつ、第１ノードの識別子、第２ノードの識別子、及び所定のストリング文字を入力データとして使用して、キー生成アルゴリズムを実行することによって、結果データを獲得する段階;
    ｃ）前記結果データの所定ビットを抽出し、該抽出されたビットの第１の所定ビットを、上位リンク用メッセージのメッセージ認証コード関連パラメータを生成するためのメッセージ認証キーとして使用する段階;及び、
    ｄ）前記結果データの所定ビットを抽出し、該抽出されたビットの第２の所定ビットを、下位リンク用メッセージのメッセージ認証コード関連パラメータを生成するためのメッセージ認証キーとして生成する段階
    を含むことを特徴とする認証キー生成方法。
40. 前記基本キーは、ＲＳＡ基盤認証手続を行った後に得られるｐｒｅ−ＰＡＫを用いて獲得されるＥＩＫ（ＥＡＰ Ｉｎｔｅｇｒｉｔｙ キー）であることを特徴とする、請求項３９に記載の認証キー生成方法。
41. 前記メッセージ認証コード関連パラメータは、ＨＭＡＣ（Ｈａｓｈ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を使用してメッセージを認証する方式、ＣＭＡＣ（Ｃｉｐｈｅｒ-ｂａｓｅｄ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を使用してメッセージを認証する方式の内の１つの方式を使用することを特徴とする、請求項３９又は４０に記載の認証キー生成方法。

Images