JP4675206B2

JP4675206B2 - ユーザ認証方法、無線通信網、ホームワイヤレス通信網及び認証サーバ

Info

Publication number: JP4675206B2
Application number: JP2005304796A
Authority: JP
Inventors: チェヌシヌ
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2004-10-20
Filing date: 2005-10-19
Publication date: 2011-04-20
Anticipated expiration: 2025-10-19
Also published as: DE602005005131T2; EP1650999B1; DE602005005131D1; EP1650999A1; JP2006121698A; US7971235B2; GB0423301D0; US20060123470A1; EP1701577A1

Description

本発明は一般に無線通信網に関連する。そのようなネットワークはデータ伝送に加えて電話に使用することもできる。本発明は無線で動作する小規模のプライベートネットワークに使用可能であるだけでなく、任意の大掛かりなオペレータによって運営される移動通信ネットワークを含む如何なる無線ネットワークへのアプリケーションも有する。

従来の無線ローカルエリアネットワーク（ここではＷＬＡＮと呼ぶ）は１種類のサービス（ユーザに対するインターネットアクセス）しか提供していなかった。従ってサービス認証を明確化する必要性がなかった；ユーザが無線ネットワークのプロバイダにより確認されると、サービスが許可される。インターネット上で及び（ボイスオーバーインターネットプロトコル（ＶＯＩＰ）を用いてインターネットの一部を構成するような）ＷＬＡＮ上で伝送される音声データの出現により、更には情報管理システム（ＩＭＳ）やショートメッセージサービス（ＳＭＳ）によるマルチメディアメッセージサービスメッセージ（ＭＭＳ）のような他のサービス出現により、インターネット以外のサービスにアクセスする必要性が増えている。これは特にＷＬＡＮが第三世代（３Ｇ）移動電話網と相互作用する場合に著しく、そのＷＬＡＮは以前に利用可能であったものよりも高いデータレートを及び更に多くのサービスをサポートする。

従って、特定のサービスをユーザが要求可能にすること及びそのユーザがそのサービスをアクセスすることが認められているか否かをネットワークが確認可能にすることのために明確なサービス認証手順が必要とされる。この判定はユーザの加入情報、ローカルポリシー及び他の関連事項に基づいて行うことができる。

どの無線システムでもユーザがサービスにアクセスすることを許可する前にいくつかの前提条件がある：ユーザは確認されなければならず；要求されるサービスが確認されなければならず；ユーザがそのサービスに対して認められ；ユーザがそのサービスに接続される必要がある。

これらの前提条件は認証、サービス認証及びトンネリングセットアップの３つの認証ステップを行うことで充足され、それらは後述の従来の２／２．５及び３Ｇシステムで実行されている。

先ず認証ステップによりユーザが確認され、そのステップではユーザの身元がシステムに与えられ、システムはその身元を検査する。次の認証ステップでは、ユーザは要求するサービスを特定し、システムはユーザがそのサービスを利用できるか否かを検査し、可能ならば認証を与える。最後に、ユーザが認証されると、そのサービスのデータを通信するためにサービス及びユーザ装置間のデータリンク（トンネルとして知られている）を形成する接続手順がなされる。

（２Ｇ／２．５Ｇにおけるサービス認証）
２Ｇ及び２．５Ｇシステムではサービス認証ステップはトンネリングエンドポイントを発見することが意図され、エンドポイントでは所望のサービスのアプリケーションサーバにアクセス可能であり、サービス品質の取り決め（ネゴシエーション）を行うことができる。例えばデータレートその他のファクタによるサービス品質はユーザの装備、ユーザ装置又はネットワーク参入に対してユーザが支払う金額に依存するかもしれない。例えばユーザが未加入であったり、サービスにアクセスするのに充分な残高（クレジット）を持っていなかったならば、サービス認証要求は拒否される。

図１は第２世代（２Ｇ又は２．５Ｇ）のシステムの概略を表す。ユーザ装置又は移動局（ＵＥ）は無線アクセスネットワークによりサービングＧＲＰＳノード（ＳＧＳＮ）にリンクされる。これはコアネットワーク（通常的には単独のオペレータにより管理される有線接続されたネットワーク）の一部を形成する。有線接続されたネットワークはユーザ情報のデータベースも含み、そのデータベースは２Ｇではホームロケーションレジスタ（ＨＬＲ）及びドメインネームサーバ（ＤＳＮ）として知られており、これら双方はＳＧＳＮに接続される。サービスに接続されるゲートウエーＧＲＰＳノードにＳＧＳＮは接続される。

認証、サービス認証及びトンネル確立は全てＳＧＳＮを通じて実行される。

２Ｇ／２．５Ｇの認証方法ではＵＥはユーザ識別情報をＳＧＳＮに送付する。ＳＧＳＮはＨＬＲに格納されたそのユーザに関する情報を利用してそのユーザを認証する。

そのサービス認証方法では（ネットワークによって目下認証された）ユーザ装置がその後にＳＧＳＮを通じてサービスを要求する。

従来例でのサービス要求はそのサービスに対するアクセスポイント名（ＡＰＮ）を使用する。ＡＰＮは要求されるサービスを区別するものであり、（サービスのホストを努める）ＩＰネットワークの完全修飾ドメイン名（ＦＱＤＮ：ＦｕｌｌｙＱｕａｌｉｆｉｅｄＤｏｍａｉｎＮａｍｅ）である。事実上これはトンネルのエンドポイントであり、ユーザ装置によってＳＧＳＮに与えられる。

サービス要求はＳＧＳＮによって認証される。トンネルのエンドポイント（ＧＧＳＮ）のＩＰアドレスはその後に内部の（インターナル）ＤＳＮから取得され、ＳＧＳＮは選択されたサービスに接続されたＧＧＳＮへのトンネルを確立する。つまり認証用に当初確立された接続はサービス認証及びトンネルの設定にも使用される。トンネルは２つの部分に設定され、それらは：ユーザ及びＳＧＳＮの間と、ＳＧＳＮ及びＧＧＳＮの間である。従ってＳＧＳＮはトンネルの中間点（ミッドポイント）である。

ユーザが異なるサービスを要求すると、新たなサービス認証及びトンネリング設定が必要とされる。

従来のシステムに関する更なる詳細については３ＧＰＰＴＳ２３．０６０及び３ＧＰＰＴＳ２４．００８（非特許文献１）を参照されたい。

従来の２Ｇアーキテクチャの１つの欠点は、第２の認証ステップなしに別のサービスを利用するための対策が無いことである。２つ目の欠点は、サービスへの接続が確立される限りトンネル中間点を形成するだけでなく確認及び認証のステップ全てにＳＧＳＮが含まれていることである。

（３Ｇでのサービス認証）
図２は既存の３Ｇアーキテクチャを示す。図中上部は上述の２Ｇ及び２．５Ｇの態様を示す。従来の３Ｇアーキテクチャは同一ネットワークで異なるサービスを利用するための付加的なアーキテクチャをタンデムに（ｔａｎｄｅｍ）用意している。ここで、無線ネットワークでの及び特にＷＬＡＮでの認証は、サービス認証及びトンネル設定から分離されている。特にアクセス及び認証サーバ（即ちＡＡＡサーバ）が認証用に用意される。ＡＡＡサーバは認証用にＨＬＲに接続される。

ＵＥは認証のためにＡＡＡサーバと直接的に通信するが、以後のステップでは通信しない。その代わりにサービス認証及びトンネル設定はパケットデータゲートウエイ（ＰＤＧ）を用いて実行され、ＰＤＧはコアネットワーク内で様々なサービスに接続される。ユーザ装置は無線ネットワーク上で公的なＤＮＳにも接続される。既存の３Ｇの例ではＡＰＮが認証用に再び使用されるが、ＵＥはそのＡＰＮにより公的なＤＮＳにアクセスする。ＤＮＳはＰＤＧのＩＰアドレスを返す。

ＩＰセキュリティプロトコル（ＩＰＳｅｃ）はＰＤＧを介するサービスへのトンネルを設定するために使用される。

このアーキテクチャの詳細については３ＧＰＰＴＳ２３．２３４及びＲＦＣ２４０１（非特許文献２）を参照されたい。

図３は図２に示される３Ｇアーキテクチャでの様々なエンティティ間の通信を表すデータシーケンスフローを示す図である。左側のＵＥ及びＤＮＳは公的な無線ネットワークの一部であり、右側のサーバ及びＰＤＧは有線接続されたホームネットワークの一部である。

加入者確認モジュール（ＳＩＭ）又はＵＭＴＳ（ユニバーサル移動通信システム）のユニバーサル加入者確認モジュール（ＵＳＩＭ）を用いて、ＥＡＰ−ＵＳＩＭ／ＳＩＭやＡＡＡ機能の関連する拡張可能な認証プロトコルに基づいて、ＵＥ及びＡＡＡサーバ間でユーザを見分ける認証ステップが最初になされる。

第1のサービス認証ステップではここではラップトップとして示されているユーザ装置がＡＰＮ形式でＤＳＮの問い合わせを公的なドメインＤＮＳに送信する。その応答はＩＰアドレスであり、そのＩＰアドレスで特定されるＰＤＧのトンネル設定用のパケットデータゲートウエー（ＰＤＧ）に関するものである。そしてＵＥはそのＰＤＧのＩＰアドレス宛にトンネリング要求を送信し、今度はＰＤＧがその後にＡＡＡサーバからそのユーザについての認証を要求しなければならない。認証が認められるとトンネリング設定は成功し、ユーザはそのサービスにアクセスできる。

影の付された下側の図は、ユーザが特定のサービスにアクセスすることを認められたがデフォルトのゲートウエーがもはや不適切になっている場合を示す。これは例えばコアネットワークが再構成されたような場合である。ＡＡＡサーバは以後に新たなＡＰＮを当初に選択されたデフォルトＰＤＧに返し、そのＰＤＧはトンネリング設定の失敗メッセージを新たなＡＰＮを含むＵＥに返す。新たなＰＤＧ（ここではＰＤＧ２として示される）の関連するＩＰアドレスを取得するためにＵＥはその後に新たなＤＮＳ問い合わせを送信しなければならず、トンネリングがなされる前に付随する認証ステップを有する第２のトンネリング設定ステップが必要とされる。

図４はユーザ装置がホームネットワーク以外の訪問したネットワークで操作される場合（いわゆるローミング）の従来の３Ｇシステムを示す。

図中左側に示されるエンティティはユーザ装置、ＷＬＡＮノード（ＷＬＡＮＡＮ）、無線アクセスゲートウエー（ＷＡＧ）、３ＧＰＰＡＡＡプロキシサーバ及び訪れたＰＤＧである。これらの要素は訪れたネットワーク内にある。右側にはホームネットワークの３ＧＰＰＡＡＡサーバ及びホームＰＤＧが示されている。ホームネットワーク及び訪れたネットワークは典型的には標準的な有線接続で接続される。

Ａで示される第1ステップはユーザ装置のＷＬＡＮアクセス、確認及び認証のステップである。プロキシサーバはネットワーク識別子を含むネットワーク情報をＵＥに広告し、ＵＥはその識別子をＡＰＮの前に（プレフィックスに）結合し、訪問先のＡＰＮ（Ｖ−ＡＰＮ）を形成し、Ｖ−ＡＰＮは訪れたネットワークを区別し、ＵＥはホームＡＡＡサーバに情報を送信する。

セクションＢ，Ｃは訪れたネットワークのサービス利用可能性に依存する、ＰＤＧに対するサービス認証及びトンネル設定の別の状況である。

セクションＢ（好ましい状況）では訪問したネットワークが要求されたサービスを提供することができる。最初にＤＮＳ問い合わせが訪問したネットワークのＤＮＳに送付される（これはセクションＢ，Ｃ双方でなされる）。セクションＢでは訪問したネットワークが要求されたサービスを提供することができ、訪問先のＤＮＳ（図示せず）が訪問したネットワークのＰＤＧのＩＰアドレスを返す。認証は訪問したＰＤＧによって要求され、そのＰＤＧはホームサーバ及び訪問したＡＡＡサーバ双方と通信しなければならない。ＡＡＡサーバ双方により認証が与えられると、訪問したＰＤＧとのトンネルが設定される。従ってエンドトゥエンドのトンネル設定は全体的に訪問したネットワークの中にある。図示のトンネルパケットフローフィルタのデータ交換はパケットルーチンのキャリアプロトコルを参照し、これは本発明の対象外である。

しかしながらセクションＣでは要求されたサービスが訪問したネットワークからは利用可能でなく；訪問したネットワークからＵＥは拒否メッセージを受信し、それ故にＵＥはホームＡＰＮを使用してＤＮＳを問い合わせる必要があり；訪問したネットワークのＤＮＳはそのホームネットワークのＰＤＧのＩＰアドレスを返す。ここでのデータは、ホームネットワークから送信されること、訪問したネットワークのコアを介すること及びその後にＵＥへの送信に備えてＷＡＧで無線信号に変換されることを必要とする。

ホーム及びローミング双方の状況における認証アーキテクチャ及び方法には多数の欠点がある。第1に公のＤＮＳサーバを利用するということはシステムオペレータがＰＤＧのＩＰアドレスを第三者にさらすことを意味する。例えば無線ネットワークが第三者によって所有され、その第三者がオペレータのネットワークトポロジ（商業上重要な事項である）に関する情報に気づくかもしれない。

更に公のＤＮＳシステムを利用するということは、オペレータがネットワークトポロジを変更し、それが適切なＰＤＧのＩＰアドレスに影響を及ぼす場合に、そのような変更はＤＮＳシステムに伝わらなければならず、競合状態（ｒａｃｅｃｏｎｄｉｔｉｏｎ）の問題を引き起こすかもしれないことを意味する。

認証の第1ステップとしてＤＮＳの問い合わせを許可するために各ＡＰＮはＵＥ（しばしば端末とも呼ばれる）に格納されるので、新たなＡＰＮは端末の構成を変更することによってしか導入できない。

更にサービス認証の各々は単独のトンネルのみを認証する。従ってユーザが幾つかのサービスにアクセスすることを希望する場合には、新たなサービスがアクセスされる毎に遅延が生じるかもしれない。

上述の従来のサービス認証はＷＬＡＮや特定の無線プロトコルに使用するのに適しているが、ＷＬＡＮスタンダードから大幅に発展するかもしれない別の何らかの無線アクセスネットワークには必ずしも有利ではない。

最後に、第1のトンネル設定は２つの理由で失敗するおそれがあり、それらは：ローミングする場合に訪問したネットワークでサービスが利用可能でない場合及びオペレータによりＡＰＮが変更された場合である。そのような失敗はサービスアクセス全体の遅延に影響を及ぼし、無線リソースを浪費してしまう。
3GPPインターフェース規格，3GPP"TS23.060"，"TS24.008" 3GPPインターフェース規格，3GPP"TS23.234"，"RFC2401"

本発明の課題は上記の欠点の1以上を克服する又は少なくとも緩和する認証ネットワーク及び方法並びに適切なネットワークエンティティを提供することである。

更なる課題は将来的なシステムに組み込まれるのに充分な柔軟性があり且つ理想的には特定の技術やプロトコルに制限されないような方法、ネットワーク及びエンティティを提供することである。

本発明は特許請求の範囲で参照される独立項で規定される。好適な実施例は縦属項で詳述される。

本発明の第1態様によれば、無線通信網でのサービスのためにユーザを認証する方法が使用され、当該方法は、ユーザ装置及びネットワークの認証サーバの間の接続を設定するステップ；前記ユーザ装置がユーザの身元を前記認証サーバに提供するステップ；前記認証サーバがユーザにサービスを利用可能にするために前記ユーザの身元に基づいて認証データを検索するステップ；前記認証サーバが前記認証データで示されるサービスに対する認証を前記ユーザ装置に返すステップ；及び前記ユーザ装置が前記認証を用いて前記サービスに対する通信経路を設定するステップ；を有する。

本質的には本発明はサービス認証機能をトンネル設定機能から分離する。即ち、上述の従来の３Ｇでの手法（ソリューション）とは異なり、認証はサービスに対する新たな通信経路の設定を可能にし、その経路は認証サーバを含まない。従来では認証要求に必要とされるものと同じ通信経路が使用されていた。

サービスアクセスについての認証と通信経路設定とを別々にすることは、それら別々のプロセスに含まれる技術が独立に発展することを可能にする。サービス利用に関するＰＤＧへの接続は従来では認証用接続と不可分にリンクしていた。

３Ｇパートナーシッププロジェクト（３ＧＰＰ）は３Ｇ−ＷＬＡＮアーキテクチャがトンネリングプロトコルとしてＩＰＳｅｃを利用することを想定した。しかしながらＩＰＳｅｃは移動性をサポートしない。その標準化の時点では（移動性）は開発されていなかったので、様々なアクセスネットワーク間で移動性をサポートする条件は一切無く、ＩＰＳｅｃは市場に登録するための最も簡易且つ最速の手法として理解されていた。

しかしながら将来的には（開発されているＮＧＮ又は他の無線ネットワーク）、様々なアクセスネットワークに渡る充分な移動性が要求される。この場合にＩＰＳｅｃはもはや充分ではなくなり、モバイルＩＰのような移動性をサポートする別のトンネリングプロトコルが必要になるであろう。

しかしながら従来の３Ｇの手法の問題点はサービス認証用にもトンネリングプロトコルを使用する点にあり、従って例えばＡＰＮを実行するためのトンネリングプロトコルの修正を必要とする。従って従来の３Ｇの手法が将来使用されるならば、例えばモバイルＩＰのような移動性をサポートするために開発された他の如何なるトンネリングプロトコルでも同様な修正が必要とされる。

他の利点は本発明がサービスのアドレスを有する公のＤＮＳを要しないことである。設定される接続は（ホームの有線ネットワークの一部であることが望ましい）ネットワークの認証サーバと直接的になされ、これにより背景技術で言及した公のＤＮＳの欠点を克服できる。

認証サーバのＩＰアドレスのみが公のＤＮＳドメインに伝わることを必要としてよい。認証サーバのＩＰアドレスを変更することは非日常的であること及びネットワークごとに少数の認証サーバしか存在しないであろうことを仮定するのは適切である。このことはネットワークトポロジの如何なる露呈も抑制し、ブレイス（ｂｒａｃｅ）状態に関する問題を切り離す。当然にホーム認証サーバＩＰは端末で事前に構築可能であり、公のＤＮＳで用意する必要性を排除してもよい。

更にこの手法は一般的であり、アクセスネットワークの特定のどの種別にも基づかない。本発明は３Ｇ、ＷＬＡＮ及びａｄｓを含むどの種類のアクセスネットワークにも適用できる。

好ましくは、ユーザ装置及び認証サーバ間の接続はデータ暗号化によるセキュアコネクションであり、ユーザ装置及び認証サーバ間の通信はセキュアコネクションの下で実行される。

そのようなセキュアコネクションはユーザの認証を安全性を更に改善する。

具体的には、ユーザ装置及び認証サーバ間で一度設定される接続の通信は、書類要求及び転送のＨＴＴＰ（ハイパーテキストトランスファプロトコル）又はＨＴＴＰＳ（セキュアハイパーテキストトランスファプロトコル）を用いることができる。

プロトコルとしてＨＴＴＰを用いることは幾つかの利点があり、それらは：ほとんどの端末で既にサポートされていること；及び他のサービスと統合するのが容易であり、ユーザフレンドリなウエブページインターフェースを用意するのが容易なことである。

有利なことに、ユーザ装置で動作するブラウザアプリケーションは認証を返す際に利用可能なサービスを表示し、利用可能なサービスのユーザの選択が通信経路の確立を許可する。ウエブページ形式のユーザインターフェースは公に広くアクセス可能であり、直感的で分かりやすい。

無線ネットワークの好ましい動作によれば、通信経路はユーザ装置及びサービス間の安全な暗号化された通信経路を形成するトンネルを与える。

ある有利な態様では、複数のサービスが認証され、認証サーバが特定のサービスに対する個々の特定の認証を含む１つの認証を返すことが好ましい。

ここで、各サーバの認証は複数のトンネルを確認することができ、トンネルが設定される毎に再確認する必要はない。このことはネットワークリソースの更に効率的な利用をもたらす。認証サーバはユーザの身元に基づいてユーザに利用可能なサービス全てに関する認証データを単に検索してもよい。認証サーバは複数のサービスを別々に認証してもよいが、個々の特定の認証と共に１つの認証を返すことが好ましい。認証されたサービスはユーザによる選択用にブラウザアプリケーションにより作成されたディスプレイに列挙されてもよい。

有利なことに、ユーザ装置は特定の認証を用いて特定のサービス各々に対する通信経路を設定する。

簡易な利用を行うために、認証はユーザに利用可能な各サービスについてのアドレスの形式でもよく、該アドレス宛の通信経路が形成されてもよい。

具体的にはアドレスは当該技術分野で知られているようなＩＰアドレスでもよい。ＩＰアドレスは要求されたサービスの現在のＰＤＧのものである。

本発明による好適実施例の方法は幾つかのサービスについてのユーザ認証を同時に行うことに適しているので、サービスを特定せずに単にユーザの身元を与えることでユーザ装置は認証要求を送信することができる。しかしながらユーザ装置はユーザに身元と共に1以上のサービス名を認証サーバに提供してもよい。

この場合に、それらのサービスに関する認証のみがユーザに返されてもよい。或いはサービスの選択が何らの影響も与えず、全ての可能なサービスが選択されたものに対するリファレンスなしに認証されてもよい。

ユーザ装置が、ユーザの身元を与える場合に要求するサービスを特定しない場合には、返される認証はユーザに利用可能な全てのサービスに対する特定の認証でもよい。本方法が実行される時点でユーザの趣向に依存してサービス仕様に関する上述のどのユーザ認証方法についての機能でも同じユーザ装置が提供してもよい。

好適実施例ではサービスはＡＰＮにより特定される。これら様々な方法の全ては端末に全てのＡＰＮを格納することを要しない点で有利であるかもしれない：なぜなら認証サーバは必要に応じて全てのサービスを自動的に認証できるからである。従ってたとえ新たなサービスが導入されたとしても、端末の再構築は一切不要である。

本発明による方法は、ユーザ装置及び認証サーバの間でなされる初期の認証ステップを含んでもよい。

具体的なネットワークトポロジ及び他の要因に依存して、認証及び確認のサーバが一体であって認証及び確認サーバを形成するならば、認証及び確認サーバ内部で認証データが検索可能である。

或いは、認証サーバが確認サーバとは別のサーバとして用意され、認証データは認証サーバによってコアネットワーク内の確認サーバから検索されてもよい。或いは、ユーザ加入プロファイルを保持するデータベースに認証サーバが直接的に連結され、そのデータベースから認証データが検索されてもよい。

上述したような認証サーバは認証されたサービスの通信を支援する更なる機能を備えてもよい。好ましくは認証サーバは通信経路の設定を支援するために認証データにより示される少なくとも１つのサービスの通信経路パラメータをインストールする。

ローミングの筋書きでは、ユーザ装置はホームネットワークの外側に在圏していても、ホームネットワーク及び（ユーザ装置が在圏している）訪問先のネットワーク間の契約によりサービスを提供することができる。訪問先のネットワークに適用される上述の方法ではユーザの認証手順は次のようにすることができる：
ユーザ装置はホームネットワークの範囲外にいるときに訪問先のネットワークにローミングし；
認証サーバである訪問先の認証サーバは、ユーザの身元をホーム認証サーバに中継し、ホームネットワークにより提供される何らかのホームサービスに対するホーム認証を受信し、ユーザに利用可能な何らかの訪問先のサービスに対する訪問先のユーザ認証データを検索し、何らかのホームサービスに対する認証と訪問先のネットワークで提供される何らかの訪問先のサービスに対する認証とを返す。

ネットワーク間の契約に従って、どの訪問先サービスが訪問先ネットワークにより提供可能であるかを指定するのはホームネットワークである。従って訪問先の認証サービスはホームネットワークにより許可される何らかの訪問先のサービスに関する情報も受信してもよい。

通信経路がＵＥ及び訪問先サービスの間に設けられる場合に、これはユーザ装置と訪問先ＰＤＧとの間で直接的に設定されるトンネルで達成可能である。

本発明の更なる態様によれば、訪問した無線通信網でのローミングサービスの認証のためにホーム無線通信網からユーザを認証する方法は：ホームネットワークの認証サーバが訪問先のネットワークからユーザの身元を受信するステップ；ホーム認証サーバが、ホームサービスに又はユーザに利用可能なサービスに関連する認証データをユーザの身元に基づいてホーム無線通信網からを検索し、認証データにより示される少なくとも１つのホームサービスについて訪問先のネットワークの認証を返すステップ；及び認証を用いて訪問先のネットワークから少なくとも１つのホームサービスへの通信経路を設定するステップ；を有する。

上述のように、ホーム認証サーバは、訪問先のネットワークにより提供されるホームネットワークにより許可される何らかの訪問先サービスについての情報を返してもよく、好ましくは何らかのホームサービスについて訪問先のネットワークを介してユーザ装置及びホームＰＤＧの間でトンネルが設定される。

これらのローミング法での１つの好ましい態様は訪問先でのサービスがデフォルトとして用意され、ホームサービスは同様な訪問先サービスが利用可能でない場合でのみ提供される。或いはホームサービスはネットワークプロバイダ間の契約に依存してデフォルトとして用意されてもよい。

本発明の更なる態様では、サービスを利用するのにユーザが認証を要する無線通信網は、ユーザ装置及び認証サーバの間でセキュアコネクションを設定するように動作するユーザ装置及び認証サーバを有し；ユーザ装置はユーザの身元を認証サーバに与え；認証サーバは、ユーザに利用可能な1つ又は複数のサービスに関するユーザ認証データをユーザの身元に基づいて検索し、ユーザ認証データにより示される少なくとも１つのサービスについての認証をユーザ装置に返し；及びユーザ装置は認証を用いて少なくとも１つのサービスに対する通信経路を設定する。

本発明の更なる態様によるホームワイヤレス通信網では、ユーザ装置がローミングする場合にユーザはホームサービスを又は訪問先の無線通信網により提供されるサービスを利用するための認証を必要とし、当該ホームワイヤレス通信網は：前記訪問先のネットワークからユーザの身元を受信するよう動作するホーム認証サーバ；を有し、ホーム認証サーバは、ユーザに利用可能な1以上のホームサービスに関連するユーザ認証データをユーザの身元に基づいて検索し、認証データにより示される少なくとも１つのホームサービスについてのホーム認証を訪問先のネットワークに返し；及び少なくとも１つのホームサーバは認証を利用して通信経路情報を受信する。

これらの更なる態様のネットワークは上述のどの方法でも実行するように及び／又は実行する又は実行させる手段を有することを必要としてもよい。

本発明の更なる態様によれば、無線通信ネットワークでのサービスについてユーザ認証機能を与える認証サーバは：ユーザ装置との接続を設定する手段；ユーザ装置からユーザの身元を受信する手段；ユーザの身元に基づいてユーザに利用可能な1以上のサービスに関する認証データを検索する手段；及び認証データによって示される少なくとも１つのサービスについての認証をユーザ装置に返送し、認証を用いてユーザ装置が少なくとも１つのサービスに対する新たな通信経路を設定可能にする手段；を有する。

認証サーバは上述のどの認証サーバの方法ステップでも実行するように及び／又は実行する又は実行させる手段を有するように構成されてもよい。

本発明の更なる態様によれば、無線通信網でのサービスについてユーザの認証を要求するユーザ装置は：無線通信網の認証サーバへの接続を設定する手段；ユーザの身元を前記認証サーバに提供する手段；前記認証サーバから返された少なくとも１つのサービスについての認証を受信し、該認証を利用して少なくとも１つのサービスに対する新たな通信経路を設定する手段；を有する。

ユーザ装置は上述されたようなユーザ装置で実行される方法ステップのどれでもそれを実行するように適合されてもよいし、及び／又は実行する手段を有してもよいし或いは実行するように動作可能であってもよい。

上述のどの態様においても様々な特徴はハードウエアで実現されてもよいし、1以上のプロセッサ上で動作するソフトウエアモジュールとして実現されてもよい。ある態様の特徴は他の態様のどれとでも適用されてよい。

本発明はここで説明された如何なる方法でも実行するコンピュータプログラム又はコンピュータプログラムプロダクト、一群のそのようなプログラム又はプログラムプロダクト及びここで説明した如何なる方法でも実行するプログラム（又は一群のプログラム）を格納するコンピュータ読取可能な媒体（又は一群のコンピュータ読取可能な媒体）も提供する。本発明を利用する1以上のコンピュータプログラムは、コンピュータ読取可能な媒体に格納されてもよいし、或いは例えばインターネットウエブサイトから提供されるダウンロード可能なデータ信号のような信号形式でもよいし、他の如何なる形式であってもよい。

以下、添付図面を参照しながら単なる例として本発明の好適な特徴が説明される。

従来技術に関する図1乃至４は上記に説明したとおりである。

図５は本発明の一実施例によるサービス認証に関連する無線ネットワークのエンティティを示す。ここで使用される用語は特定のプロトコルに良く対応するかもしれないが、当業者は本発明の概念が他のプロトコルに及び更には将来的なプロトコルにさえ等しく適用できることを認識するであろうことに留意を要する。例えばユーザ装置端末又は装備はここでは一般に３Ｇ標準規格によるＵＥとして参照される。しかしながらそのような用語は限定するものではなく、説明されるネットワークエンティティ各々の機能が本質であってその名称ではないことは明白である。

図５ではＰＤＡとして示されるＵＥ（同様に移動電話、ラップトップ又は他の如何なる無線装置でもよい）は公のＤＮＳに無線で接続され、この場合にＤＮＳは認証サーバのＩＰアドレスを抽出するためにＵＥにより使用される。またＵＥはＡＡＡサーバに無線でもリンクし、ＡＡＡサーバはここではＨＬＲとして言及されるユーザデータベースにコアネットワーク内で接続される。またＵＥは認証サーバにも無線で接続され、認証サーバはＡＡＡサーバと、ＰＤＧのＩＰアドレスを抽出するのに使用される内部ＤＮＳとにホームネットワーク内で接続され、特定のサービスはそのＰＤＧを通じてアクセスされる。最後にＵＥはトンネル設定用にＰＤＧに無線で接続する。ＰＤＧは以下に説明される理由で認証サーバにリンクされる。

図５はサービス認証とトンネル設定との分離を明確に図示している。図５はＵＥ及びサービス間の直接的なトンネルの形式で通信経路を示し、図５はサービス認証がトンネル設定以外の異なるネットワークエンティティにより実行されることも示している。

図６は本発明の一実施例による認証の詳細なシーケンス説明図を与える。これらのステップが以下に説明される：
１．端末又はＵＥはネットワーク選択段階でホーム認証サーバのＦＱＤＮを取得する。このステップは選択的である、なぜならＦＱＤＮは端末のホームオペレータにより事前に構築可能だからである。これは頻繁に変更するようなものではない。

２．認証は端末及びＡＡＡサーバの間でなされ、セキュリティキーがユーザの認証用に生成される。

３．端末はＷＬＡＮのＤＮＤサーバから認証サーバのＩＰアドレスを決める。認証サーバのＩＰアドレスが端末で事前に構築されるならば、このステップも任意的である。オペレータのネットワークに多くの認証サーバはないであろうし、それらのＩＰアドレスも頻繁には変わらないであろう。

４．認証中に生成されたキー（鍵）に基づいて、端末は認証サーバとのＴＬＳ（トランスポートレイヤセキュリティ）接続を設定する。ＴＬＳがどのように設定されるかは本発明の範囲外であるが、それを知るにはＴＬＳの仕様書が利用可能である。

５．ユーザは要求されたサービスを選択し、端末はユーザのｉｄ（身元）及び要求されたＡＰＮを含むＨＴＴＰｓＧＥＴを認証サーバに送付する。

６．認証サーバはＨＬＲとのインターフェースを有するＡＡＡサーバからユーザ加入データを検索する。ＡＡＡサーバはユーザがアクセスすることを許可される全てのサービスを確認し、対応するＡＰＮ全てを認証サーバに返す。

７．認証サーバはインターナルＤＮＳサーバから返ってきたＡＰＮに基づいてＰＤＧのＩＰアドレスを決定する。

８．認証サーバはトンネルパラメータをＰＤＧにインストールする。そのようなパラメータは例えばユーザ識別子（ユーザｉｄ）、トンネルｉｄ及びサービス品質（ＱｏＳ）パラメータを含む。

９．認証サーバはトンネルパラメータを更にどのＰＤＧにもインストールする。

１０．ＰＤＧのＩＰアドレス及び対応するトンネリングパラメータを含むＨＴＴＰｓＰＵＴを認証サーバが返す。

１１．端末のブラウザアプリケーションはウエブページのようなインターフェーエスをユーザに表示し、ユーザがアクセスできる全てのサービスを示すことができる。

１２．その後にユーザはブラウザアプリケーションに現れているサービスへのリンクをクリックすることで彼／彼女がアクセスすることを望むサービスを選択することができる。この動作は対応するＰＤＧに対するトンネリング設定の契機（トリガ）を与える。

１３．利用可能なサービスへの全ての可能なトンネルは既に準備されているので、何らの余分なトンネリング設定なしにユーザは更なるサービスを選択することができる。

図７はローミングの様子を示す。サービス認証の個々のステップが以下に説明される：
２１．端末はネットワーク選択段階で訪問先のサーバ即ちＶ−認証サーバのＦＱＤＮを取得する。このステップは必須である、なぜならローミングの場合にはホームネットワークの場合よりも多くの情報が必要になるからである。

２２．認証は端末及びＡＡＡサーバの間で行われ、セキュリティキーも生成される。

２３．端末はＷＬＡＮ内の訪問先のＤＮＳサーバからＶ−認証サーバのＩＰアドレスを決定する。どのオペレータのネットワークでも多くの認証サーバは存在しないであろうし、それらのＩＰアドレスは頻繁には変わらないであろう。Ｖ−認証サーバのＩＰアドレスを公のＤＮＳサーバの中で決定されるようにすることはオペレータのネットワークに不都合な影響を与えない。

２４．認証中に生成されたキーに基づいて、端末はＶ−認証サーバと共にＴＬＳ接続を確立する。

２５．ユーザはサービスを選択し、端末はユーザｉｄ及び要求されたＡＰＮを含むＨＴＴＰｓＧＥＴをＶ−認証サーバに送信する。

２６．Ｖ−認証サーバはホーム又はＨ−認証サーバへの要求を代行する。

２７．Ｈ−認証サーバはホームＡＡＡサーバからユーザ加入データを検索する。ＡＡＡサーバは、訪問した又はＶ−ＡＰＮを含むユーザがアクセスを許可され且つホームネットワーク内でＨ−ＡＰＮを有することを許可されるサービスの全てを確認し、ＡＡＡサーバは対応するＡＰＮ全てをＨ−認証サーバに返す。

２８．Ｈ−認証サーバはインターナルＤＮＳサーバからのＨ−ＡＰＮに基づいてホームＰＤＧ又はＨＰＤＧのＩＰアドレスを決定する。

２９．Ｈ−認証サーバはその後にユーザｉｄ、トンネルｉｄ及びＱｏＳパラメータのようなトンネルパラメータをＨＰＤＧにインストールする。

３０．Ｈ−認証サーバはＶ−ＡＰＮとＨＰＤＧのＩＰアドレスとをＶ−認証サーバに返す。

３１．Ｖ−認証サーバはインターナルＤＮＳサーバからのＶ−ＡＰＮに基づいて訪問したＰＤＧ又はＶＰＤＧのＩＰアドレスを決定する。

３２．Ｖ−認証サーバはその後に例えばユーザｉｄ、トンネルｉｄ及びＱｏＳパラメータのようなトンネルパラメータをＶＰＤＧにインストールする。

３３．Ｖ−認証サーバはＨＰＤＧ，ＶＰＤＧのＩＰアドレス及び対応するトンネリングパラメータを含むＨＴＴＰｓＰＵＴを返す。

３４．端末のブラウザアプリケーションはウエブページのようなインターフェースをユーザに表示し、そのユーザがアクセスできる全てのサービスを提示することができ、ユーザはリンクをクリックすることでサービスを選択できる。

３５．利用可能な全てのトンネルが用意されているので、更なるトンネリング設定は一切必要とされない。

本実施例ではユーザは要求されるサービスを選択し、全ての可能なサービスを受信する。別の実施例ではユーザはそのサービスの認証だけを返すことができる。潜在的には特定のサービス要求又は全ての利用可能なサービスについての要求は一切なくてもよい。３つ全ての可能性が同一のＵＥに選択肢として用意されてもよいことを当業者は認識するであろう。

図８はＡＡＡサーバが認証及び確認サーバ双方として機能する本発明の実施例を示す。これは公のＤＮＳサーバに関与しないサーバの例を示す。

認証は次のようにして行われる：
４１．ＥＡＰ−ＡＫＡを用いてＡＡＡサーバによりＵＥは認証され、共用されるセキュリティキーが生成される。認証が成功した後で、認証に使用されたＡＡＡサーバのロケーションを識別するＵＲＬがユーザに返されてもよい（或いはそのＵＲＬは端末で事前に構築されていてもよい。）。そのＵＲＬは３ＧネットワークからＰＤＧアドレスを検索するのに使用される。

４２．セキュリティキーに基づいて、ＵＥはＡＡＡサーバとのＴＬＳセキュアコネクションを設定する。端末はそのＵＲＬにアクセスするためにＨＴＴＰＳを使用し、ＵＲＬのソースは３Ｇネットワークのエンティティ内に位置し、そのエンティティは認証の責務を有する（本実施例ではＡＡＡサーバ）。

４３．ＵＥのブラウザアプリケーションはＡＡＡサーバにサービス認証のためのＨＴＴＰ要求を送信する。

４４．ＡＡＡサーバはインターナルＤＮＳ中のユーザプロファイルから全てのＵＥの加入済みＡＰＮを検索する。

４５．ＡＡＡサーバはインターナルＤＮＳサーバを用いて各ＡＰＮのＩＰアドレスを決定する。

４６．ＡＡＡサーバはＵＥが加入しているＡＰＮ各々に対応するＩＰアドレスのリストを返す。端末に対するＨＴＴＰＳの応答は、各ユーザ加入ＡＰＮに対するＰＤＧのＩＰアドレスをウエブページリンク形式として含む。（ＩＰアドレスは隠されるが、サービス名はエンドユーザに提示される。）。

４７．ＵＥのブラウザアプリケーションはＩＰアドレスに対応するサービス名を表示する。

４８．サービス名の下のリンクをクリックすることによってＵＥはアクセスするサービスを選択する。このクリックはＰＤＧのＩＰアドレスに向うトンネル設定のトリガを与える。

端末は返されたＨＴＴＰ応答を将来的なサービスアクセスに備えてキャッシュし、ネットワークソースを節約することができる。ユーザが利用可能な新たなサービスをオペレータが所有した場合、或いは何らかの理由でオペレータがＤＮＳ設定を変更する場合（ＡＰＮに対するＩＰアドレスを変更することになる）、オペレータは成功した認証メッセージの中でその端末がＨＴＴＰＳ認証をリスタートすべきであることを通知できる。

本発明は単に例示的に説明され、細部の修正は本発明の範囲内でなされ得ることが理解されるであろう。上述した様々な実施例は1以上のプロセッサ上で動作するソフトウエア通信モジュールを用いて実現されてもよく、そのプロセッサは例えば（請求項で規定される手段として動作する）ネットワーク上の何らかのエンティティの一部でもよいし、ディジタル信号プロセッサでもよいし、その他の如何なる種類のプロセッサでもよい。

そのようなモジュールのプログラミングは様々な機能の説明から当業者には明白であろう。そのようなモジュールは適切な如何なるプログラミング言語でもそれを用いて適切などのプロセッサにプログラムされてもよいことを当業者は認めるであろう。或いは上述の機能の全部又は一部が専用のハードウエア又はファームウエアを用いて実現されてもよい。

以下、本発明により教示される手段を例示的に列挙する。

（付記１）
無線通信網でのサービスのためにユーザを認証する方法であって：
ユーザ装置及びネットワークの認証サーバの間の接続を設定するステップ；
前記ユーザ装置がユーザの身元を前記認証サーバに提供するステップ；
前記認証サーバがユーザにサービスを利用可能にするために前記ユーザの身元に基づいて認証データを検索するステップ；
前記認証サーバが前記認証データで示されるサービスに対する認証を前記ユーザ装置に返すステップ；及び
前記ユーザ装置が前記認証を用いて前記サービスに対する通信経路を設定するステップ；
を有することを特徴とする方法。

（付記２）
前記ユーザ装置及び前記認証サーバ間の接続がデータ暗号化によるセキュアコネクションであり、前記ユーザ装置及び前記認証サーバ間の通信が前記セキュアコネクションの下で実行される
ことを特徴とする付記１記載の方法。

（付記３）
前記ユーザ装置及び前記認証サーバ間の通信では、書類要求及び転送のハイパーテキストトランスファプロトコルを用いて接続が一度確立される
ことを特徴とする付記１又は２に記載の方法。

（付記４）
前記ユーザ装置で動作するブラウザアプリケーションが前記認証を返す際に利用可能なサービスを表示し、利用可能なサービスのユーザの選択が前記通信経路の確立を許可する
ことを特徴とする付記１乃至３の何れか1項に記載の方法。

（付記５）
前記通信経路が、前記ユーザ装置及び前記サービス間の安全な暗号化された通信経路を形成するトンネルを与える
ことを特徴とする付記１乃至４の何れか1項に記載の方法。

（付記６）
複数のサービスが認証され、前記認証サーバが特定のサービスに対する個々の特定の認証を含む１つの認証を返す
ことを特徴とする付記１乃至５の何れか1項に記載の方法。

（付記７）
前記ユーザ装置が特定の認証を用いて特定のサービス各々に対する通信経路を設定する
ことを特徴とする付記６記載の方法。

（付記８）
前記認証が前記ユーザに利用可能な各サービスについてのアドレスの形式であり、該アドレス宛の通信経路が形成される
ことを特徴とする付記１乃至７の何れか1項に記載の方法。

（付記９）
前記ユーザ装置が、前記ユーザの身元確認と同時に前記認証サーバに対する1以上のサービス名を提供する
ことを特徴とする付記１乃至８の何れか1項に記載の方法。

（付記１０）
前記ユーザ装置が、ユーザの身元を与える場合に要求するサービスを特定しない
ことを特徴とする付記１乃至９の何れか1項に記載の方法。

（付記１１）
初期の認証ステップが、前記ユーザ装置及び認証サーバの間でなされる
ことを特徴とする付記１乃至１０の何れか1項に記載の方法。

（付記１２）
認証及び確認のサーバが一体であり、認証及び確認サーバの確認部から認証データが内部で検索される
ことを特徴とする付記１１記載の方法。

（付記１３）
前記認証サーバが確認サーバとは別のサーバとして用意され、認証データは認証サーバによってコアネットワーク内の確認サーバから検索される
ことを特徴とする付記１１記載の方法。

（付記１４）
前記認証サーバが、通信経路の設定を支援するために前記認証データにより示される少なくとも１つのサービスの通信経路パラメータをインストールする
ことを特徴とする付記１乃至１３の何れか1項に記載の方法。

（付記１５）
ユーザ装置はホームネットワークの範囲外になった場合に訪問先のネットワークにローミングし；この場合に前記認証サーバである訪問先の認証サーバは、ユーザの身元をホーム認証サーバに中継し、前記ホームネットワークにより提供される何らかのホームサービスに対するホーム認証を受信し、前記ユーザに利用可能な何らかの訪問先のサービスに対する訪問先のユーザ認証データを検索し、何らかのホームサービスに対する認証と訪問先のネットワークで提供される何らかの訪問先のサービスに対する認証とを返す
ことを特徴とする付記１乃至１４の何れか1項に記載の方法。

（付記１６）
訪問先の認証サービスが、前記ホームネットワークにより許可される何らかの訪問先のサービスに関する情報も受信する
ことを特徴とする付記１５記載の方法。

（付記１７）
前記ユーザ装置と何らかの訪問先のサービスに対する訪問先のＰＤＧとの間でトンネルが確立される
ことを特徴とする付記１５記載の方法。

（付記１８）
訪問した無線通信網でのローミングサービスの認証のためにホーム無線通信網からユーザを認証する方法であって：
前記ホームネットワークの認証サーバが訪問先のネットワークからユーザの身元を受信するステップ；
前記ホーム認証サーバが、前記ユーザの身元に基づいてホームサービスに関連する又は前記ユーザに利用可能なサービスに関連する認証データを前記ホーム無線通信網から検索し、前記認証データにより示される少なくとも１つのホームサービスについて訪問先のネットワークの認証を返すステップ；及び
前記認証を用いて訪問先のネットワークから少なくとも１つのホームサービスへの通信経路を設定するステップ；
を有することを特徴とする方法。

（付記１９）
前記ホーム認証サーバが、訪問先のネットワークにより提供される前記ホーム無線通信網により許可される何らかのサービスについての情報を返す
ことを特徴とする付記１８記載の方法。

（付記２０）
何らかのホームサービスについて訪問先のネットワークを介して前記ユーザ装置及びホームＰＤＧの間でトンネルが設定される
ことを特徴とする付記１８又は１９に記載の方法。

（付記２１）
ホーム又は訪問先でのサービスがデフォルトとして用意され、他の種類のサービスは同様なデフォルトサービスが利用可能でない場合でのみ提供される
ことを特徴とする付記１５乃至１８の何れか1項に記載の方法。

（付記２２）
サービスを利用するのにユーザが認証を要する無線通信網であって、
セキュアコネクションを設定するように動作するユーザ装置及び認証サーバを有し；
前記ユーザ装置はユーザの身元を前記認証サーバに与え；
前記認証サーバは、前記ユーザに利用可能なサービスに関するユーザ認証データを前記ユーザの身元に基づいて検索し、前記ユーザ認証データにより示されるサービスについての認証を前記ユーザ装置に返し；及び
前記ユーザ装置は前記認証を用いて前記サービスに対する通信経路を設定する
ことを特徴とする無線通信網。

（付記２３）
前記ユーザ装置及び前記認証サーバ間の接続がデータの暗号化を行うセキュアコネクションであり、前記ユーザ装置及び前記認証サーバが前記セキュアコネクションの下で通信可能である
ことを特徴とする付記２２記載の無線通信網。

（付記２４）
前記ユーザ装置及び前記認証サーバ間の通信において、書類要求及び転送のハイパーテキストトランスファプロトコルを用いて接続が一度設定される
ことを特徴とする付記２２又は２３に記載の無線通信網。

（付記２５）
前記ユーザ装置で動作するブラウザアプリケーションが前記認証の返送の際に利用可能なサービスを表示し、利用可能なサービスのユーザの選択が前記通信経路の設定を許可する
ことを特徴とする付記２２乃至２４の何れか1項に記載の無線通信網。

（付記２６）
前記通信経路が、前記ユーザ装置及び前記サービスの間で安全な暗号化された通信経路を形成するトンネルである
ことを特徴とする付記２２乃至２５の何れか1項に記載の無線通信網。

（付記２７）
複数のサービスが認証され、前記認証サーバは特定のサービスのための個々の認証を含む１つの認証を返す
ことを特徴とする付記２２乃至２６の何れか1項に記載の無線通信網。

（付記２８）
前記ユーザ装置は、特定の認証を利用して特定のサービス各々に対する通信経路を設定する
ことを特徴とする付記２７記載の無線通信網。

（付記２９）
前記認証が、前記ユーザに利用可能なサービス各々についてのアドレスの形式で示される
ことを特徴とする付記２２乃至２８の何れか1項に記載の無線通信網。

（付記３０）
前記ユーザ装置が、ユーザ確認と同時にサービス名を前記認証サーバに提供する
ことを特徴とする付記２２乃至２９の何れか1項に記載の無線通信網。

（付記３１）
前記ユーザ装置は、ユーザの身元を提供する場合に、要求するサービスを特定しない
ことを特徴とする付記２２乃至３０の何れか1項に記載の無線通信網。

（付記３２）
認証サーバで初期の認証ステップをユーザ装置との間で行う
ことを特徴とする付記２２乃至３１の何れか1項に記載の無線通信網。

（付記３３）
認証及び確認のサーバが一体であり、認証データは認証及び確認のサーバの認証部から内部で検索される
ことを特徴とする付記３２記載の無線通信網。

（付記３４）
前記認証サーバが前記確認サーバとは別個のサーバとして用意され、認証データが認証サーバによりコアネットワーク内の認証サーバから検索される
ことを特徴とする付記３２記載の無線通信網。

（付記３５）
前記認証サーバが、通信経路の設定を支援するために前記認証サーバにより示される少なくとも１つのサービスの通信経路パラメータをインストールする
ことを特徴とする付記２２乃至３４の何れか1項に記載の無線通信網。

（付記３６）
当該無線通信網がホームネットワークの範囲外の訪問先のネットワークとして動作し；前記認証サーバである訪問先の認証サーバは、ユーザの身元を前記ユーザ装置のホーム認証サーバに中継し、前記ホームネットワークにより提供される何らかのサービスに対するホーム認証を受信し、前記ユーザに利用可能な何らかの訪問先のサービスに対する訪問先のユーザ認証を検索し、ホームサービスに対する認証と訪問先のネットワークで提供される何らかの訪問先のサービスに対する認証とを返す
ことを特徴とする付記２２乃至３５の何れか1項に記載の無線通信網。

（付記３７）
訪問先の認証サービスが、前記ホームネットワークにより許可される何らかのサービスに関する情報も受信する
ことを特徴とする付記３６記載の無線通信網。

（付記３８）
前記ユーザ装置と何らかの訪問先のサービスに対する訪問先のＰＤＧとの間でトンネルが確立される
ことを特徴とする付記３６又は３７に記載の無線通信網。

（付記３９）
ホームワイヤレス通信網であって、ユーザ装置がローミングする場合にユーザはホームサービスを又は訪問先の無線通信網により提供されるサービスを利用するための認証を必要とし、当該ホームワイヤレス通信網は：
前記訪問先の無線通信網からユーザの身元を受信するよう動作するホーム認証サーバ；
を有し、前記ホーム認証サーバは、前記ユーザに利用可能なホームサービスに関連するユーザ認証データをユーザの身元に基づいて検索し、前記認証データにより示されるホームサービスについてのホーム認証を前記訪問先のネットワークに返し；及び
少なくとも１つのホームサーバは前記認証を利用して通信経路情報を受信する；
ことを特徴とするホームワイヤレス通信網。

（付記４０）
前記ホーム認証サーバが、訪問先のネットワークで提供される、前記ホームネットワークにより許可される何らかの訪問先のサービスに関する情報を返す
ことを特徴とする付記３９記載のホームワイヤレス通信網。

（付記４１）
訪問先のネットワークを通じて前記ユーザ装置及びホームＰＤＧの間で何らかのホームサービスについてのトンネルが設定される
ことを特徴とする付記３９又は４１に記載のホームワイヤレス通信網。

（付記４２）
ホーム又は訪問先のサービスがデフォルトとして用意され、同様なデフォルトサービスが利用可能でない場合でのみ他の種類のサービスが提供される
ことを特徴とする付記３６乃至４１の何れか1項に記載のホームワイヤレス通信網。

（付記４３）
無線通信ネットワークでのサービスについてユーザ認証機能を与える認証サーバであって：
ユーザ装置との接続を設定する手段；
前記ユーザ装置からユーザの身元を受信する手段；
前記ユーザの身元に基づいて前記ユーザに利用可能なサービスに関する認証データを検索する手段；及び
前記認証データによって示されるサービスについての認証を前記ユーザ装置に返送し、前記認証を用いて前記ユーザ装置が前記サービスに対する新たな通信経路を設定可能にする手段；
を有することを特徴とする認証サーバ。

（付記４４）
無線通信網でのサービスについてユーザの認証を要求するユーザ装置であって：
前記無線通信網の認証サーバへの接続を設定する手段；
ユーザの身元を前記認証サーバに提供する手段；
前記認証サーバから返されたサービスについての認証を受信し、該認証を利用して前記サービスに対する新たな通信経路を設定する手段；
を有することを特徴とするユーザ装置。

従来の２Ｇ／２．５Ｇシステムでのサービス認証アーキテクチャの概略図を示す。従来の３Ｇシステムでのサービス認証アーキテクチャの概略図を示す。図２に示される従来の３Ｇアーキテクチャでの様々なエンティティ間での通信を示すシーケンシャルなデータフローチャートである。ユーザ装置が訪問したネットワークのホームネットワークで動作する場合における従来の３Ｇシステムでの動作を示す通信フローチャートである。本発明の一実施例によるサービス認証アーキテクチャを示す。図５に示されるアーキテクチャ内の様々なエンティティの間での通信を示すシーケンシャルなデータフローチャートである。ローミングする場合の様々なエンティティ間の通信を示す本発明の一実施例によるシーケンシャルなデータフローチャートである。様々なエンティティ間の通信を示す本発明の別の実施例によるシーケンシャルなデータフローチャートである。

符号の説明

ＷＬＡＮ無線ローカルエリアネットワーク
ＵＥユーザ装置
ＳＧＳＮサービングＧＲＰＳノード
ＤＮＳドメインネームサーバ
ＨＬＲホームロケーションレジスタ
ＧＧＳＮゲートウエーＧＲＰＳノード
ＡＰＮアクセスポイント名
ＡＡＡサーバアクセス認証サーバ
ＰＤＧパケットデータゲートウエー
ＳＩＭ加入者識別モジュール
ＵＳＩＭユニバーサル加入者識別モジュール
ＵＭＴＳユニバーサル移動通信システム

Claims

無線通信網でのサービスのためにユーザを認証する方法であって：
ユーザ装置及びネットワークの認証サーバの間の接続を設定するステップ；
前記ユーザ装置がユーザのＩＤを前記認証サーバに提供するステップ；
前記認証サーバがユーザにサービスを利用可能にするために前記ユーザのＩＤに基づいて認証データを検索するステップ；
前記認証サーバが前記認証データで示される前記サービスを提供する装置に前記サービスに対する通信経路を設定するためのトネリングパラメータをインストールするステップ；
前記認証サーバが前記認証データで示される前記サービスを提供する装置のＩＰアドレス及び前記サービスに対する通信経路を設定するためのトネリングパラメータを前記ユーザ装置に返すステップ；及び
前記ユーザ装置が前記ＩＰアドレス及び前記トネリングパラメータを用いて前記サービスに対する通信経路を設定するステップ；
を有することを特徴とする方法。
訪問した無線通信網でのローミングサービスの認証のためにホーム無線通信網からユーザを認証する方法であって：
前記ホームネットワークの認証サーバが訪問先のネットワークからユーザのＩＤを受信するステップ；
前記ホーム認証サーバが、前記ユーザのＩＤに基づいてホームサービスに関連する又は前記ユーザに利用可能なサービスに関連する認証データを前記ホーム無線通信網から検索するステップ；
前記ホーム認証サーバが前記認証データで示される前記ホームサービスを提供する装置に前記ホームサービスに対する通信経路を設定するためのトネリングパラメータをインストールするステップ；
前記認証データにより示される少なくとも１つのホームサービスを提供する装置のＩＰアドレス及び前記ホームサービスに対する通信経路を設定するためのトネリングパラメータを訪問先のネットワークに返すステップ；及び
前記ＩＰアドレス及び前記トネリングパラメータを用いて訪問先のネットワークから少なくとも１つのホームサービスへの通信経路を設定するステップ；
を有することを特徴とする方法。
サービスを利用するのにユーザが認証を要する無線通信網であって、
セキュアコネクションを設定するように動作するユーザ装置及び認証サーバを有し；
前記ユーザ装置はユーザのＩＤを前記認証サーバに与え；
前記認証サーバは、前記ユーザに利用可能なサービスに関するユーザ認証データを前記ユーザのＩＤに基づいて検索し、前記認証データで示される前記サービスを提供する装置に前記サービスに対する通信経路を設定するためのトネリングパラメータをインストールし、前記ユーザ認証データにより示されるサービスを提供する装置のＩＰアドレス及び前記サービスに対する通信経路を設定するためのトネリングパラメータを前記ユーザ装置に返し；及び
前記ユーザ装置は前記ＩＰアドレス及び前記トネリングパラメータを用いて前記サービスに対する通信経路を設定する
ことを特徴とする無線通信網。
ホームワイヤレス通信網であって、
ユーザ装置がローミングする場合にユーザはホームサービスを又は訪問先の無線通信網により提供されるサービスを利用するための認証を必要とし、
当該ホームワイヤレス通信網は：
前記訪問先の無線通信網からユーザのＩＤを受信するよう動作するホーム認証サーバ；
を有し、
前記ホーム認証サーバは、
前記ユーザに利用可能なホームサービスに関連するユーザ認証データをユーザのＩＤに基づいて検索し、前記認証データで示される前記ホームサービスを提供する装置に前記ホームサービスに対する通信経路を設定するためのトネリングパラメータをインストールし、前記認証データにより示されるホームサービスを提供する装置のＩＰアドレス及び前記ホームサービスに対する通信経路を設定するためのトネリングパラメータを前記訪問先のネットワークに返し；及び
少なくとも１つのホームサーバは前記ＩＰアドレス及び前記トネリングパラメータを利用して通信経路情報を受信する；
ことを特徴とするホームワイヤレス通信網。
無線通信ネットワークでのサービスについてユーザ認証機能を与える認証サーバであって：
ユーザ装置との接続を設定する手段；
前記ユーザ装置からユーザのＩＤを受信する手段；
前記ユーザのＩＤに基づいて前記ユーザに利用可能なサービスに関する認証データを検索する手段；
前記認証データで示される前記サービスを提供する装置に前記サービスに対する通信経路を設定するためのトネリングパラメータをインストールする手段；及び
前記認証データによって示されるサービスを提供する装置のＩＰアドレス及び前記サービスに対する通信経路を設定するためのトネリングパラメータを前記ユーザ装置に返送し、前記ＩＰアドレス及び前記トネリングパラメータを用いて前記ユーザ装置が前記サービスに対する新たな通信経路を設定可能にする手段；
を有することを特徴とする認証サーバ。