JP4688808B2 - 移動体通信システムにおける暗号化の強化セキュリティ構成 - Google Patents

Description

技術分野
本発明は概して、通信システムにおける暗号化の問題に関し、特にＧＳＭ（モバイル通信用グローバルシステム）、ＵＭＴＳ（ユニバーサルモバイル通信システム）、及び同様の通信システムのセキュリティ強化に関する。

背景技術
例えばＧＳＭ又はＵＭＴＳ規格による移動体通信では、セキュリティが最も重要である。これは、ビジネスに関連して、更にはプライベートコミュニケーションにおいて、移動体通信が益々利用されるようになっていることに非常に大きく関係している。現在では、例えばＧＳＭはセキュリティに問題を有することが知られている。最近参考文献[１]に開示されたように、暗号鍵は、Ａ５／２暗号アルゴリズムを解読することにより取り出すことができる。回路交換データに関しては３つの基本的なアルゴリズム、すなわちＡ５／１、Ａ５／２、Ａ５／３を選択することができ、パケットデータに関しては３つの基本的なアルゴリズム、すなわちＧＥＡ１、ＧＥＡ２、及びＧＥＡ３が在る。しかしながら、Ａ５／４及びＧＥＡ４と呼ばれる更に強力な１２８ビットアルゴリズムが在ることに注目されたい。端末はその機能、特に端末がサポートする一連の暗号アルゴリズムをネットワークに通知する。次にネットワークは、いずれの暗号アルゴリズムを使用するかを選択する。ここで、この信号送信は保護されないことに注目されたい。従って、端末は、端末がＡ５／２を使用しなければならないこと、及びこの情報が権限あるオペレータから発信されていることを、攻撃者が通知しているかどうか、及び攻撃者が通知している時、検出することができない。
通常、少なくとも３種類の攻撃が在る。第１の種類は、システムが解読済みのＡ５／２アルゴリズムを使用しているとき、攻撃者がトラフィックを傍受し、解読する場合である。

第２の種類の攻撃は、ＡＫＡ手順に関連するトラフィックを傍受してトラフィックデータ及び使用されるＲＡＮＤ値を記録することからなる。その後、偽の基地局が以前に記録したＲＡＮＤを使用して移動端末にＡＫＡ手順を実行させ、次にＡ５／２アルゴリズムを使用してトラフィックを暗号化することができ、これによって攻撃者は暗号鍵Ｋｃを取り出すことができる。単純にＲＡＮＤに依存するので、このキーＫｃは記録済みトラフィックを保護するために使用されたキーと同じキーとなる。
第３の種類の攻撃は、端末にＡ５／２アルゴリズムを強制的に使用させて暗号鍵の計算を可能にする能動的な中間者攻撃である。

ＵＭＴＳ規格は、これらの問題のほとんどを解決する方法を推奨する。しかしながら、大多数のユーザがＵＭＴＳ端末を所有するようになるまでに、かなり長い期間に渡ってＧＳＭ端末が使用されることが予測される。実際、多くの最先端サービスがＧＳＭ電話で利用可能であり、従ってユーザは今すぐ電話を取り替えようとはしないであろう。
更に、ＵＭＴＳはこれらの攻撃に対する強度を上げるための対策を有するが、当然ながら、暗号解析が将来時点で進歩することによって、同様の問題がＵＭＴＳ及び／又は他の通信システムにおいても出現する恐れがある。更に、ＧＳＭネットワークとＵＭＴＳネットワーク等、異なる種類のネットワークをローミングする場合にセキュリティ問題が生じ得る。

発明の概要
本発明は、先行技術における構成の上記及びその他の欠陥を解決する。
本発明の基本目的は、通信システムのセキュリティ構成を強化することである。

特に、本発明の目的は、ＧＳＭ及びＵＭＴＳのような移動体通信システムにおける鍵共有に基づく暗号化通信のセキュリティを強化することである。
ＧＳＭ及びＵＭＴＳの鍵管理を改善して、他のアルゴリズムに対するＡ５／２解読の悪影響及び将来の攻撃を減らすことを特定の目的とする。

先行技術によるセキュリティ構成の主要な欠陥は、暗号セキュリティキーが特定のランダムチャレンジに基づくものであっても、同じキーが実際のセキュリティアルゴリズムに関係なく使用されることであることが判っている。本発明による基本的な考え方は、移動体通信システムの通常の鍵共有手順において生成されるセキュリティキーに対し、アルゴリズムに固有の変更を加えることにより、基本暗号セキュリティアルゴリズムを強化又は更新することである。
移動端末とネットワーク側との間で通信を行なう場合、通常、移動体がサポートする複数の基本暗号セキュリティアルゴリズムのうちの一つの強化版が、ネットワーク側によって又は移動体とネットワーク側双方の合意に基づいて選択される。次に、移動端末とネットワークの間の鍵共有手順の結果得られる基本セキュリティキーを、選択されたアルゴリズムを表わす情報に基づいて変更し、アルゴリズムに固有のセキュリティキーを生成する。最後に基本セキュリティアルゴリズムをアルゴリズムに固有のセキュリティキーにキー入力として適用することにより、移動体通信ネットワークにおける保護対象通信のセキュリティを強化する。

上述のように、アルゴリズム選択はネットワーク側で行なうことができ、この場合、ネットワーク側は選択されたアルゴリズムを表わす情報を移動端末に送信する。この解決方法は、例えばＡ５／１〜Ａ５／３アルゴリズムがネットワークによって選択される今日のＧＳＭに適用することができる。
しかしながら、別の構成として、特に他の通信システムの場合、本発明による強化セキュリティアルゴリズムは、例えばハンドシェーク手順、アンサー−オファープロトコル又は同様の交渉プロトコルを使用することにより、必要に応じて移動端末とネットワーク側との合意に基づくものにすることができる。

好適には、ハードウェアに組み込まれた元のアルゴリズムは同じままで（少なくとも移動端末において）、セキュリティ強化を必要とする元の各アルゴリズムに関し、アルゴリズムに固有のキーを変更したものと元のアルゴリズムとに基づいて、強化暗号化／暗号アルゴリズム等の更新（仮想）セキュリティアルゴリズムを定義する。一般にキー変更はキー変更機能によって行なうことができ、この機能により、アルゴリズム識別子、又は選択アルゴリズム及び可能であれば幾つかの追加データを表わす同様の情報に基づいて入力キーが処理されて変更キーが生成され、元のセキュリティアルゴリズムに転送される。
強化版セキュリティアルゴリズムをサポートするだけでなく、基本アルゴリズム、例えば相互運用性のサポートを維持することが望ましい場合、アルゴリズム識別子は元の基本セキュリティアルゴリズムと強化セキュリティアルゴリズムとを判別する機能を有する必要がある。

実際、基本的な解決方法に必要なのは、端末及び／又はネットワークシステムにおけるソフトウェア更新のみである。本発明の好適な実施形態では、問題は基本的に端末群に変更を加え、これらの端末に、端末が元の基本アルゴリズムの更新且つ強化版（のみ）をサポートすることを通知させることにより解決する。変更機能及びアルゴリズム識別子のみを標準化すればよいことから、標準化作業は最小限に止めることができる。
ネットワーク側では、アルゴリズム選択、キー変更、及び暗号化のような暗号セキュリティ処理は、単一のノードにおいて実行することができるか、又は複数のノードに分散させることができる。多くの場合、アルゴリズム選択及びキー変更は同じノードにおいて実行する。しかしながら別の構成として、アルゴリズム選択及びキー変更は、必要に応じて複数のネットワークノードに分散させることができる。例えば、１つのノードがセキュリティアルゴリズム群全てのアルゴリズム固有キーを計算してこれらのキーを別のノードに転送し、次にこの別のノードが強化版セキュリティアルゴリズムを選択し、受信した一連のキーから適切なキーを抽出又は導出することができる。システムの形態に応じて、実際の暗号化又は他のセキュリティ処理は、キーが導出されたノードと同じノード、又は別のノードにおいて実行することができる。

本発明はまた、好適には移動端末のＡＫＡ手順に使用されるランダムチャレンジのような既存のＡＫＡ情報に情報を符号化又は埋設することにより、再生保護、基本ネットワーク認証、及び／又は安全なアルゴリズム選択をサポートする。ネットワーク認証は、移動端末によって確認できるＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）のような、キーに基づく認証情報を埋め込むことにより行なうことが好ましい。再生保護情報及び／又はホームネットワークが許可するアルゴリズムに関する情報についてＭＡＣを計算することにより、この情報の完全性を保護することができ、その結果安全な再生保護及び／又は安全なアルゴリズム選択が可能になる。
現在ほとんどの緊急を要する問題は解読されたＧＳＭアルゴリズムに関するものであるが、キー変更は、同様の（恐らくは、未だ発現していない）問題が今後も現われないことを積極的に保証するために、ＧＳＭだけでなく、ＵＭＴＳ、ＣＤＭＡ、又は将来世代のシステムにおいても有用であることが明らかである。というのは、これらのシステムにおける鍵の導出は、現在もアルゴリズムに依存しないからである。実際、本発明は、例えばＧＳＭ／ＧＰＲＳ、Ｗ−ＬＡＮ（無線ローカルエリアネットワーク）、ＵＭＴＳ、及びＩＭＳ（ＩＰマルチメディアサブシステム）システムを含む種々の通信システムに適用することができる。

従って、本発明は、例えばＧＳＭ／ＵＭＴＳ ＡＫＡ手順における基本セキュリティ構成の欠陥に対する解決策を提供する。提案される解決方法は、既存のプロトコルフレームワークに非常に良く適合し、且つ実施による影響が小さいので迅速な展開が可能である。
本発明は次の利点を提供する。
・基本セキュリティ構成の欠陥を効率的に解決する。
・キーを変更するだけで十分であり、ハードウェアに組み込まれた元のアルゴリズムはそのままとすることができる。
・標準化作業が最小限で済む。
・既存のプロトコルフレームワークに非常に良く適合する。
・実施による影響が小さく、迅速な展開が可能である。

本発明によって提供される他の利点については、本発明の実施形態に関する以下の記述を一読することにより明らかになるであろう。
本発明、並びに本発明の更に別の目的及び利点は、添付の図と共に以下の説明を参照することにより最も深く理解されるものと考えられる。

発明の実施形態の詳細な説明
説明のため、ＧＳＭにおける基本的なセキュリティの欠陥を簡単に解析することから始める。現在の構成の一つの欠陥は、全てのアルゴリズムに使用されるキーが、使用する暗号化アルゴリズムに関係なく同じ方法で得られることである。そうでなければ、Ａ５／２の解読はそれだけの意味しか持たず、他のアルゴリズムにより保護されるトラフィックの傍受に、技術背景において記載した種類２及び３の攻撃が使用されることはなかったであろう。
更に、構成不備の深刻度は、信号送信が保護されない（ネットワーク認証が行なわれないので完全性保護又は再生保護が行なわれない）ことによって増大する。上に述べたように、これはＵＭＴＳでは補正されている。ＧＳＭのセキュリティをＵＭＴＳのセキュリティにまで改善すると問題が解決されると考えられる。しかしながら、これには認証センター（ＡｕＣ）、基地局、端末、及びＳＩＭ（加入者識別情報モジュール）カードに変更を加える必要があり、この方法は問題を解決するために非常にコストの高く付く方法となる。

他方、本発明は、このようなセキュリティ欠陥の解決方法を、主にＡＫＡのキーイング材料にアルゴリズム固有の変更を加えることにより提供する。図１に示すように、標準のＡＫＡ手順１０によって提供されるキーイング材料が強化セキュリティアルゴリズム２０への入力として使用され、このセキュリティアルゴリズムは、キー変更２２を元のセキュリティアルゴリズム２４と組み合わせることによって形成される。アルゴリズムに基づくキーイング材料を、変更ユニットの出力として保証するために、選択アルゴリズムを表わすか又は識別する情報を入力として変更ユニットに適用する。本発明は、このような下位の基本アルゴリズムのセキュリティを高めることはないが、キーイング材料は、他の任意のアルゴリズムに対する攻撃にはさほど有用ではない。キー変更は普通、暗号変更機能によって行なわれ、この暗号変更機能は少なくとも一方向関数でなければならず、好ましくは擬似ランダム関数である。例えば、暗号変更機能は暗号ハッシュ関数として実行することができる。ＡＫＡ手順のＲＡＮＤ及びＲＥＳ等の、他のＡＫＡ関連情報を随意で導入し、事前計算攻撃を実行不可能にすることができ、他の種類の入札妨害攻撃を識別することができる場合には、任意選択のコンテキスト情報を導入することもできる。
セキュリティアルゴリズムのセキュリティ処理は通常、データの機密保全及びデータ暗号化に関連するが、別の構成としてデータの完全性及び／又はデータ認証に関連させることができる。
キー変更はアルゴリズム前処理と見なすことができるが、ＡＫＡ事後処理と見ることもでき、この場合、標準のＡＫＡ手順の出力キーを事後処理してアルゴリズムに基づくキーを生成する。これは単なる定義の問題に過ぎない。

図２は、本発明の好適な実施形態による移動体通信システムにおける保護対象通信のセキュリティ強化方法のフローチャートである。ステップＳ１では、通常、移動端末の認証も含む全ＡＫＡ手順の一部である鍵共有手順が行なわれる。ステップＳ２では、基本セキュリティアルゴリズムの一つの強化版又は更新版を、ネットワーク側で、又は移動端末とネットワーク側双方の合意に基づいて選択する。前述のように、強化セキュリティアルゴリズムはセキュリティ強化暗号化／暗号アルゴリズムであることが多いが、他の種類のセキュリティ処理も利用できる。アルゴリズムをネットワーク側で選択する場合、選択されたアルゴリズムを表わす情報がネットワーク側から移動端末に送信される。この場合、移動体がホームネットワークに位置する場合、アルゴリズム選択は普通ホームネットワークにより行なわれる。移動体が訪問先ネットワークにローミングする場合、訪問先ネットワークは普通、所定のポリシーに従ってアルゴリズム選択を行なう。訪問先ネットワークが行なう選択は最終的にホームネットワークのセキュリティポリシーに対してチェックされ、選択アルゴリズムがホームネットワークによって受け入れられる。別の構成として、移動端末とネットワーク側との間で交渉を行なうことにより、いずれのセキュリティアルゴリズムを使用すべきかについて、例えばハンドシェーク手順により決定する。
いずれにせよ、移動端末との通信を保護するために使用するセキュリティアルゴリズムについて最終的に何らかの合意が行なわれる。アルゴリズム合意と鍵共有が行われる特定の順番は通常重要でないが、移動体端末の認証を無事に終えた後にアルゴリズム合意を行なうと有利な場合がある。ステップＳ３では、ステップＳ１の鍵共有手順によるキー情報、一般に基本セキュリティキーを変更してアルゴリズム固有キー情報を生成する。次に、ステップＳ４では、対応する基本セキュリティアルゴリズムをキー入力として変更アルゴリズム固有キー情報に適用する。セキュリティキー情報をアルゴリズム固有にするか、又はアルゴリズム依存性にすることにより、ネットワークと移動端末との間の保護対象通信のセキュリティが強化される。

アルゴリズム固有キー変更及び変更キー情報の利用は、移動端末だけでなくネットワーク側においても行なわれる。但し、少なくとも端末側で行なわれる。非常に多くの移動端末がセキュリティアルゴリズムの解読によって影響を受ける可能性があることを考えると、キー変更をソフトウェアで行ない、単純に端末のソフトウェアのアップグレードを行なうと非常に有利である。これは、ハードウェアに組み込まれた元のアルゴリズムに変更が不要であるので、導入による影響が極めて小さいことを意味する。キー変更は通常、一方向暗号ハッシュ関数のようなソフトウェア実行型キー変更機能によって行なうことができ、この変更機能は入力キーをアルゴリズム識別子及び可能であれば何らかの追加データに基づいて処理して変更キーを生成し、続いてこのキーは元のセキュリティアルゴリズムに転送される。同様に、関連ネットワークノード又はノード群は、ソフトウェアをアップグレードすることにより更新できる。
基本的に、本発明は、ＧＳＭ ＡＫＡ及びＵＭＴＳ ＡＫＡのような標準のＡＫＡ手順において生成されるキーイング材料を変更して、アルゴリズムに基づくキーを生成することを提案する。本発明は、ＧＳＭ、ＧＰＲＳ、Ｗ−ＬＡＮ、ＣＤＭＡ、ＵＭＴＳ、ＩＭＳ又は将来世代のシステムを含む様々な通信システムに広く適用することができるが、後述では、主にＧＭＳ／ＧＰＲＳ及びＵＭＴＳ ＡＫＡ手順に関連して本発明を説明する。

ＧＭＳ ＡＫＡの特定の実施例：
Ｋｃ’＝ＧＳＭ＿Ｍｏｄｉｆｙ（Ｋｃ， Ａｌｇｏｒｉｔｈｍ＿Ｉｄ， ［ＲＡＮＤ， ＲＥＳ， Ｏｔｈｅｒ＿ｃｏｎｔｅｘｔ＿ｉｎｆｏ］）
ＵＭＴＳ：
Ｃｋ’， Ｉｋ’＝ＵＭＴＳ＿Ｍｏｄｉｆｙ（Ｃｋ， Ｉｋ， Ａｌｇｏｒｉｔｈｍ＿Ｉｄ， ［ＲＡＮＤ， ＲＥＳ， Ｏｔｈｅｒ＿ｃｏｎｔｅｘｔ＿ｉｎｆｏ］）
上の式において、ＧＳＭ＿Ｍｏｄｉｆｙ（ ）及びＵＭＴＳ＿Ｍｏｄｉｆｙ（ ）の関数は、例えばＭＤ５、ＳＨＡ１又はこれらの変形に基づく暗号関数であり、左端の１６４／１２８ビットにそれぞれ丸める。ＵＭＴＳの場合、Ｃｋ及びＩｋの両方を入力とする関数を使用して２５６ビット出力を生成することも可能である。ＲＡＮＤを導入して事前計算攻撃を実行不能にすることができる。他のシステムにおけるＭＳＣ間ハンドオーバー及び同様のハンドオーバーの場合、ＲＡＮＤは通常、標準のハンドオーバー情報とともに旧ＭＳＣから新ＭＳＣに転送される。

以下の記述においては、本発明について、主としてアルゴリズム選択をネットワーク側で行なう場合に関して説明する。しかしながらここで、移動端末とネットワーク側との間で、いずれのセキュリティアルゴリズムを保護対象通信に使用すべきかについての合意が行われる基本的なハンドシェーク手順又は同様の交渉メカニズムを実行することが、等しく実行可能であることを理解されたい。

本発明の好適な例示的実施形態による、端末とネットワーク側との間の一般的な信号について、図３を参照しながら説明する。
１．端末は、端末がいずれの更新アルゴリズムをサポートするか、並びにユーザ又は加入者ＩＤを通知する。
ネットワーク側（ホームネットワーク及び／又は、従来のＡＫＡ手順に必要な及び必要とされる場合の訪問先ネットワークを含む）は、ＲＡＮＤを生成し、予測応答及び一以上のキーを計算することにより認証と鍵共有を開始する。加入者ＩＤに基づいて、関連する共有秘密加入者キーをネットワーク側で取り出すことができ、よってＡＫＡ計算が可能になる。
２．ネットワークはＲＡＮＤを端末に送信する。
３．端末はＧＳＭ、ＳＩＭ、ＵＭＴＳ、ＳＩＭ、ＩＳＩＭ、又は同様の機能にＲＡＮＤを入力し、共有加入者キーに基づいて応答ＲＥＳ及び一以上のキーを取得する。
４．端末はＲＥＳをネットワーク側に送信する。
５．ネットワーク側はＲＥＳをチェックして端末を認証する。移動体がホームネットワークに位置する場合、ホームネットワークは予測応答ＸＲＥＳとＲＥＳを照らし合わせる。移動端末が訪問先ネットワークに位置する場合、訪問先ネットワークは普通、ホームネットワークから受信するＸＲＥＳとの比較によりＲＥＳをチェックする。ＧＳＭ用語法では、ＲＥＳ及びＸＲＥＳは普通、ともにＳＲＥＳと呼ばれる。
６．この実施例では、ネットワーク側（移動体が位置する場所によってホームネットワーク又は訪問先ネットワークとなる）は、端末がサポートする更新アルゴリズムのうちの一つを選択し、暗号化を開始することが好ましい。当然のことであるが、ネットワーク側も選択された強化セキュリティアルゴリズムをサポートしていなければならない。
７．ネットワーク側はアルゴリズムＩＤを端末に送信する。
８．端末は、アルゴリズムに応じたキー変更を含め、選択された更新アルゴリズムに基づいて暗号化を開始する。
セキュリティアルゴリズムの強化版をサポートするだけでなく、基本アルゴリズムに対するサポートを、例えば相互運用のために維持することが望ましい場合、アルゴリズム識別子は元の基本セキュリティアルゴリズムと強化セキュリティアルゴリズムとを判別する機能を備えていなければならない。

以下の表１は、基本ＧＳＭ／ＧＰＲＳ暗号アルゴリズムと、対応する一群の強化暗号アルゴリズムのアルゴリズム識別子の例を示している。
表１

ここではＧＳＭ及びＧＰＲＳ暗号化の特定ケースに関するＡ５／１’、Ａ５／２’、．．．、Ａ５／ｋ’、．．．、ＧＥＡ１’、ＧＥＡ２’、．．．、ＧＥＡｍ’によって表わされる新規の強化暗号アルゴリズムがこのように定義されている。一般性を維持するために、普通ｋ＝ｍ＝４となる、ｋ個のＡ５アルゴリズム及びｍ個のＧＥＡアルゴリズムが存在すると仮定する。前述のように、これらの強化アルゴリズムの各々は、対応する基本アルゴリズムと組み合わせたアルゴリズムに固有のキー変更により構成される。ネットワークが何らかの理由により基本セキュリティアルゴリズムを選択する場合、ＡＫＡキーは基本アルゴリズムに変更を加えることなく透過的に渡される。

当然のことであるが、複数のアルゴリズム識別子を判別する他の方法、例えば２進法表記又は１６進法表記に基づく方法を使用することができる。
例えば、ＧＳＭは現在最大８個のアルゴリズムをサポートする仕様であるので、簡単な方法は、ｊ＝５、６、７、及び８の場合、Ａ５／ｊによってＡ５／１’、Ａ５／２’、Ａ５／３’、及びＡ５／４’をそれぞれ表わすようにすることである。１２８ビットアルゴリズムであるＡ５／４、更にはＧＥＡ４に関しては、これらのアルゴリズムは少なくとも現時点で非常に強力であると考えられているため、強化変形版を提供する必要はない。

更新強化アルゴリズムのみをサポートすることが望ましい場合の、提案される強化版ＧＳＭ／ＧＰＲＳ暗号アルゴリズムのアルゴリズム識別子の例を下の表２に示す。
表２

例示的な解決方法では、端末をアップグレードし、これらの端末に、これらの端末が（現在の）基本アルゴリズムの更新版しかサポートしないことを通知させる。これは、新規の暗号アルゴリズム、例えばＡ５／１’、Ａ５／２’、．．．、Ａ５／ｋ’、ＧＥＡ１’、ＧＥＡ２’、．．．、ＧＥＡｍ’をＧＳＭ及びＧＰＲＳの特定ケースに関して定義することにより、又は通知の中で通常の端末機能を示すことによって行なうことができる。
手順全体の一実施例を以下に示す。
１．端末はＡ５／ｘ’、Ａ５／ｙ’、．．．、をサポートすることを通知し、更にユーザＩＤ又は加入者ＩＤを送信する。
２．ネットワークはＲＡＮＤを端末に送信する。
３．端末はＲＡＮＤをＳＩＭに入力し、ＲＥＳ及びＫｃを取得する。
４．端末はＲＥＳをネットワークに送信する。
５．ネットワークはＲＥＳをチェックする。
６．認証を無事に終えた後、ネットワークはサポートされるアルゴリズム、例えばＡ５／ｙ’を選択し、Ａ５／ｙ’を使用して暗号化を開始する。
７．ネットワークはＡ５／ｙ’のアルゴリズム識別子を端末に送信する。
８．端末は更新アルゴリズムＡ５／ｙ’（キー変更及びＡ５／ｙ）を使用して暗号化を開始する。実際、これは通常端末がＫｃ’＝Ｍｏｄｉｆｙ（Ｋｃ、Ａ５／ｙ’＿ｉｄｅｎｔｉｆｉｅｒ、［ＲＥＳ］、［ＲＡＮＤ］）を実行することにより使用される変更キーを計算し、変更キーＫｃ’を元のハードウェアアルゴリズムＡ５／ｙに適用することを意味する。

上記のように、変更機能は少なくとも一方向関数、好ましくは擬似ランダム関数でなければならない。ＭＤ５、ＳＨＡ−１、又はこれらの変形、例えばＨＭＡＣのような鍵付き標準暗号ハッシュ関数を使用することができる。必要に応じて、変更機能を使用して基本ＡＫＡキーのサイズを変える（長くする／短くする）ことも可能である。例えば、キーイング材料のキー処理及び／又はキー連結を用いて最終的なキーサイズを大きくすることができる。例えば、変更ユニットが、新規のランダムチャレンジとしてＲＡＮＤに所定の定数を加えたものを使用して２回目のＳＩＭの起動を行ない、第１ＡＫＡキーと第２ＡＫＡキーを連結して新規の２倍長のキーを生成し、次にこのキーを、一方向暗号関数を使用してアルゴリズム固有とすることができる。別の実施例では、例えばビットをシフトさせることによりＡＫＡキーを処理して処理済みＡＫＡキーを生成し、次にこのキーを元のＡＫＡキーと連結してキーサイズを長くすることができる。当然のことであるが、変更ユニットは、本発明が提案するアルゴリズムに固有のキー変更と組み合わせることができる他のセキュリティ強化機能を含むことができる。

図４は、アルゴリズムに固有のキー変更を用いる本発明の例示的実施形態による移動端末の関連部分のブロック模式図である。普通、ＡＫＡキー機能１０は、ＧＳＭ ＳＩＭカードのような標準識別情報モジュール（ＩＭ）１５において実行されるが、別の構成として、移動端末１００の別の位置に設けることができる。次に、ＡＫＡ出力キー（群）を、場合によってはＲＡＮＤ、ＲＥＳ及び／又はコンテキスト情報と一緒に、本発明によるキー変更モジュール２２に転送する。キー変更モジュール２２は、選択されたセキュリティアルゴリズムを表わすアルゴリズム識別子に応じてＡＫＡ出力キー（群）を処理し、アルゴリズムに固有のセキュリティキーを生成する。次に、この変更キーを、ここでは、元のＡ５／１、Ａ５／２、Ａ５／３、ＧＥＡ１、ＧＥＡ２、及びＧＥＡ３アルゴリズムのいずれかのような暗号アルゴリズムによって例示される基本セキュリティアルゴリズム２４に転送する。当然ながら、基本セキュリティアルゴリズム２４も、セキュリティアルゴリズムによって保護される情報を受信する。暗号化の場合、いわゆる「クリアテキスト」データをアルゴリズムに固有のセキュリティキーに基づくセキュリティアルゴリズムによって暗号化し、暗号化出力データを生成する。キー変更モジュール２２は普通、端末ソフトウェア／ハードウェアにおいて、好適には移動体１００の普通の端末機能を使用することにより実行される。記載したように、キー変更は、端末処理ハードウェアが実行する適切な暗号変更機能に基づいて、ソフトウェアアップグレードとして実行すると有利である。しかしながら、移動体設計者／製造業者が全ての暗号機能をハードウェアに実現することを望む場合、ハードウェアによるキー変更の実行に何ら障害は無い。例えば、新規のＧＳＭ電話には追加のキー変更ハードウェアモジュールを設けることができ、このモジュールはＡＫＡモジュール及び普通の基本暗号化アルゴリズムと連動する。暗号アルゴリズム２４は通常、端末ハードウェアにおいて、好適にはＲＸ／ＴＸチェーン３０の近傍で実施される。識別情報モジュール１５には、この技術分野で公知のあらゆる不正開封防止識別情報モジュールを使用することができ、不正開封防止識別情報モジュールは、ＧＳＭ（移動体通信のためのグローバルシステム）方式の携帯電話、ＵＭＴＳ（ユニバーサル移動体通信システム）ＳＩＭ（ＵＳＩＭ）、ＷＩＭとしても知られるＷＡＰ（無線接続プロトコル）ＳＩＭ、ＩＳＩＭ（ＩＰマルチメディア加入者識別情報モジュール）、及び更に一般的にＵＩＣＣ（Ｕｎｉｖｅｒｓａｌ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ Ｃａｒｄ）モジュールに使用される標準のＳＩＭカードを含む。ＡＫＡ機能は必ずしも識別情報モジュールにおいて実施される必要はないか、又は少なくとも普通のＳＩＭのようなハードウェアモジュールにおいて実施される必要はない。ＡＫＡ機能を含む識別情報モジュール全体をソフトウェアでエミュレートすることも可能である。
記載したように、本発明は、ホームネットワーク及び訪問先ネットワークがそれぞれ強化セキュリティアルゴリズムをサポートしている限り（ホームネットワークがアルゴリズムの存在を認識するだけで十分である）、移動端末が端末のホームネットワークに位置するときも、移動端末が訪問先ネットワークにローミングするときも、適用可能である。移動端末が訪問先ネットワークにローミングする後者の場合の方が複雑であるので、ホームネットワーク及び訪問先ネットワークの両方を含む例示的ネットワークアーキテクチャについて図５を参照して簡単に説明する。汎用ネットワークアーキテクチャの他に、図５は多数の例示的通信システムの各々に含まれるノードも示している。

総合ネットワークアーキテクチャは、移動端末１００、ネットワークアクセスポイント２００、一以上のいわゆるセキュリティ実装ノード３００を訪問先ネットワークに含み、一以上の加入者処理ネットワークノード４００をホームネットワークに含む。ネットワークアクセスポイントは、考慮する通信システムに応じて、例えばＢＴＳ（無線基地局）ノード、ノードＢ、又はＷ−ＬＡＮアクセスポイントとすることができる。基本的に、訪問先ネットワークのセキュリティ実装ノード３００は、ユーザ認証をサポートする必要があり、このユーザ認証では、移動端末はネットワークサービスへの接続を行なうためにネットワークに対して認証を求める。この認証はユーザ課金の基礎にもなる。最新の通信システムの基本セキュリティプロトコルは普通、チャレンジ−レスポンス型認証及び鍵共有（ＡＫＡ）手順を含む。ＡＫＡ手順は、殆どの場合において、前述のように移動端末とホームネットワークとの間で共有される秘密鍵を使用した対称暗号法に基づく。移動端末１００では、共有される秘密鍵は普通、ＧＳＭ、ＳＩＭ、ＵＳＩＭ、ＩＳＩＭ、ＷＩＭのような加入者識別情報モジュール又は更に一般的にはＵＩＣＣに保存される。ホームネットワークでは、一以上のネットワークノード４００が加入者情報及び関連セキュリティ情報を処理する。ホームネットワークの加入者処理ノード（群）４００は、訪問先ネットワークのセキュリティ実装ノード（群）３００と通信し、普通はＡＫＡ関連情報を、場合によってはセキュリティポリシー情報を、ホームネットワークから訪問先ネットワークに転送する。本発明の例示的実施形態によれば、セキュリティ実装ノード（群）は、移動端末との間で行う保護対象通信に適したセキュリティアルゴリズムを選択する機能も含む。好適には、セキュリティ実装ノード（群）３００にはキー変更機能が設けられ、選択アルゴリズムに基づいて普通のＡＫＡ出力キー（群）を変更し、本発明による強化セキュリティアルゴリズムのサポートを行なう。これらのセキュリティ実装ノードは、暗号化のようなセキュリティ処理の実際の暗号エンジンを含むこともできる。しかしながら、ＧＳＭのような一部のシステムでは、暗号化は、ネットワークアクセスポイントとして動作する実際の無線基地局において実施される。
アルゴリズム選択、キー変更、及び実際の暗号化は１つのノードにおいて実行することも、又は複数のノードに分散させることもできる。多くの場合、アルゴリズム選択及びキー変更は同じノードにおいて実行する。しかしながら別の構成として、アルゴリズム選択及びキー変更は、必要に応じて複数のネットワークノードに分散させることができる。システムの形態に応じて、実際の暗号化又は他のセキュリティ処理は、キー生成機能と同じ場所に配置しても、同じ場所に配置しなくてもよい。後者の場合、暗号化アルゴリズムに使用する変更アルゴリズムに固有のキーは、暗号化を行なう別のノードに転送する必要がある。

ＧＳＭシステムでは、セキュリティ実装ノード群は、通常、ＢＳＣ（基地局コントローラ）及びＭＳＣ／ＶＬＲ（移動交換局／Ｖｉｓｉｔｅｄ Ｌｏｃａｔｉｏｎ Ｒｅｇｉｓｔｅｒ）に対応する。ホームネットワーク側では、ＧＳＭネットワークのＨＬＲ／ＡｕＣ（Ｈｏｍｅ Ｌｏｃａｔｉｏｎ Ｒｅｇｉｓｔｅｒ／認証センター）は、通常、加入者情報及びセキュリティ関連情報を処理する。加入者処理ネットワークノード（群）４００は、必然的にホームオペレータＨＬＲ／ＡｕＣであって、ＡＡＡ（許可、認証及び課金）サーバを含むことができ、このサーバは、認証センターと同じ場所に配置しても、しなくてもよい。しかしながら、加入者処理ネットワークノードは、多くの異なるネットワークオペレータの総合認証センター又は認証情報センターとして機能するブローカとすることもできる。基本的に、提案される解決方法は、ネットワーク側に、アルゴリズム識別子の拡張と、ＢＳＣ又はＭＳＣ／ＶＬＲの適切な場所におけるアルゴリズム固有キー変更の実行とを必要とするだけである。ＧＳＭでは、実際の暗号化はＢＴＳ基地局において実行する。これは、変更キーをＢＳＣから基地局に転送して実際の暗号化を行なう必要があることを意味する。従って、ＢＴＳはセキュリティ実装ノード（群）の一部と考えることもできる。標準認証パラメータ及び鍵共有パラメータは通常ＨＬＲ／ＡｕＣから取得する。
ＧＰＲＳ／ＧＳＭシステムの場合、キー変更及び暗号化は共に、通常、ＳＧＳＮ（サービスＧＰＲＳサポートノード）ノードにおいて行われ、このノードが訪問先ネットワークの加入者認証の処理も行う。従って、ＢＴＳ基地局を有するＧＳＭ ＢＳＳ（基地局システム）は、この意味で、純粋なＧＳＭの場合よりも受動的な役割を果たす。

３ＧＰＰ Ｗ−ＬＡＮシステムの場合、セキュリティ実装ノードは通常、プロキシＡＡＡノード及びＷＳＮ／ＦＡ（Ｗ−ＬＡＮを提供するノード）に対応し、ＷＳＮ／ＦＡはＷ−ＬＡＮアクセスポイント（ＡＰ）と相互作用する。標準認証パラメータ及び鍵共有パラメータはＨＬＲ／ＡｕＣ及びＡＡＡサーバから取得する。
ＵＭＴＳシステムの場合、アクセスポイントはノードＢであり、セキュリティ実装ノードはＲＮＣ（無線ネットワークコントローラ）及びＭＳＣノードに対応する。ホームネットワークでは、ＨＬＲ／ＡｕＣはＭＳＣノード及びＲＮＣノードとの必要な相互作用を管理する。
ＩＰマルチメディアサブシステムの場合、プロキシＣＳＣＦ（呼状態制御機能）ノードはセキュリティ実装ノードに対応し、且つアプリケーションレベルのコントロール信号のセキュリティを強化するためにアルゴリズムに固有のキー変更を行なうことができる。次世代のＩＭＳシステムでは、本発明によるキー変更を用いることにより、ユーザデータも保護することができる。ホームネットワークでは、ＨＳＳ（Ｈｏｍｅ Ｓｕｂｓｃｒｉｂｅｒ Ｓｙｓｔｅｍ）ノードは必要な認証パラメータ及び鍵共有パラメータを提供し、サービスＣＳＣＦは通常ＩＭＳ加入者の認証を行なう。

図６は、ＧＳＭの特定事例に関連する、本発明の例示的実施形態による強化暗号モード設定及びキー変更手順の概要を示す模式図である。ＴＳ２４．００８に規格化されているクラスマークと同様のＭＳクラスマークでは、アルゴリズム決定又はアルゴリズム交渉がＢＳＣにおいて行われると仮定すると、移動体がサポートするアルゴリズムのリストは移動端末１００からＢＳＳ（基地局システム）へ、好適にはＢＳＣ３１０へ、ＢＴＳ基地局２００を介して転送される。サポートされるアルゴリズムのリストは、少なくとも強化セキュリティアルゴリズムＡ５／１’、Ａ５／２’、Ａ５／３’を含むことが好ましいが、基本アルゴリズムＡ５／１、Ａ５／２、及びＡ５／３も含むことができる。ＭＳＣ３２０は、訪問先ネットワークのセキュリティポリシーが許可するアルゴリズムのリストを、ＢＳＳシステム、更に好適にはＢＳＣ３１０に、ＴＳ４８．００８に規格化されている命令に類似のＣＭＣ（Ｃｉｐｈｅｒ Ｍｏｄｅ Ｃｏｍｍａｎｄ）命令で転送する。次いで、ＢＳＳシステム、特にＢＳＣ３１０は、通常、サポートされるアルゴリズムのリスト及び許可されるアルゴリズムのリストに基づいて移動端末との間で行われる保護対象通信のアルゴリズムを選択し、強化セキュリティアルゴリズムを選択する場合、好ましくはアルゴリズムに固有のセキュリティキーを得る。ＢＳＳシステムはまた、選択されたアルゴリズムのアルゴリズム識別子を、移動端末に、ＴＳ４４．０１８に規格化されている命令に類似の無線インターフェースＣＭＣ命令で送信する。例えば、鍵の導出は、選択されたアルゴリズムに基づいてＢＳＣ３１０で変更キーを計算することにより行なうことができる。別の構成として、ＭＳＣ３２０が、訪問先ネットワークによって許可されたアルゴリズムの全てに関するアルゴリズムに固有の変更キーを計算し、好適にはＣＭＣ命令に関連する形でこれらの変更キーをＢＳＣに転送し、次いでこのＢＳＣがアルゴリズムを選択し、計算されたキー群から適切なキーを選択する。ＧＳＭでは、実際の暗号化は、ＢＳＳシステムのＢＴＳ基地局２００が実行する。ここでは、移動端末１００に本発明によるキー変更機能を設け、移動端末はアルゴリズム識別子を、可能であれば追加情報と一緒にキー変更機能に適用し、暗号化に使用される、対応するアルゴリズムに固有のキーを生成する。
前述のように、訪問先ネットワークが行なうアルゴリズム選択を、ホームネットワークのセキュリティポリシーと照らし合わせて、選択されたアルゴリズムがホームネットワークに受け入れられることを確認できる。通常、これはホームネットワークによって許可されるアルゴリズムのリストが移動端末に転送されることを意味する。好適にはこの情報は完全性が保護されており、よって移動体は、後述するように、情報が改ざんされていないことを確認することができる。

好適には、本発明は、好ましくは移動端末のＡＫＡ手順に使用されるランダムチャレンジＲＡＮＤのような既存のＡＫＡ情報に符号化又は埋設される情報に基づいて、再生保護、基本ネットワーク認証、及び／又は安全なアルゴリズム選択に対するサポートも提供する。ホームネットワーク側のＡｕＣ（認証センター）又は対応するノードへの変更を受け入れることもできる場合、再生保護、ネットワーク認証、並びにセキュリティに対する更なる強化を後述のようにして実現することができる。
ＲＡＮＤ値はランダムであると考えられるが、セキュリティを更に強化するために、数ビットのＲＡＮＤを使用して、何らかの追加情報をホームネットワーク（ＡｕＣ）から端末に通知することができる。上記実施形態によって、アルゴリズム毎にキーが固有であるという問題を解決できるが、これらの実施形態では通常再生の問題又はネットワーク認証ができない問題を解決することができない。以下の例示的解決方法は、変更（ＡｕＣ及び端末のみに対する）を最小限に抑え、且つ新規の通知を行なうことなくこの課題を解決する。

図７は、再生保護及びネットワーク認証を統合したセキュリティアルゴリズムの強化を含む、本発明の更に別の好適な例示的実施形態による基本的な信号の模式図である。説明を簡単にするために以下の実施例はＧＳＭの場合に関連するものとするが、当業者であれば、説明する機構はＧＳＭに限定されないことを容易に理解するであろう。
１．端末は、端末がいずれの更新アルゴリズムをサポートするかを、好適には端末の加入者ＩＤと一緒に訪問先ネットワーク及びＭＳＣ／ＶＬＲノードに通知する。
２．訪問先ネットワークは加入者ＩＤをホームネットワーク、特にＨＬＲ／ＡｕＣ又は対応するノードに転送する。
３．この特定の実施形態では、ＡｕＣは次のようにＲＡＮＤ値を形成する（ＲＡＮＤが通常１２８ビットのサイズを有すると仮定する）。
Ａ．ＡｕＣは各移動体（ＳＩＭ）について、前記移動体に対して行われる認証の回数のカウンタｃを維持する。このカウンタは、例えばｔ＝１６ビットのサイズとすることができ、且つ２^１６を法として折り返すことができる。カウンタｃは再生保護情報の代表的な例である。
Ｂ．Ａ（１２８−ｔ−ｍ）ビットランダム値ＲをＡｕＣにおいて生成する。このｍは以下のように決定される。
Ｃ．値

（ｒを１２８ビットのサイズ、すなわちｍビットにするために必要な数のゼロ）をＧＳＭキー生成関数に入力してキーｋを取得する。別の構成として、何らかの別のパディング方式を使用することができる。一般的には、ｒはＲ及びｃ、及び更には可能であれば他の任意情報の関数ｆである。
Ｄ．値

を形成し、これを使用して暗号化キーＫｃ及び予測応答ＸＲＥＳを生成する。ここで、ＭＡＣ（メッセージ認証コード）はメッセージ認証関数、例えばｍビット（例えばｍ＝３２）に丸められるＨＭＡＣである。ＭＡＣはネットワーク認証情報の代表例である。

４−５．ＲＡＮＤが通常通り移動体に送信される（Ｋｃ、ＸＲＥＳが訪問先ネットワークに送信される）。
６．ＡｕＣはｃを１だけ増やす。端末側では、次の操作を行なうことが好ましい。
Ａ．移動体も、移動体が行なった認証の回数のカウンタｃ’を維持する。
Ｂ．移動体は、ＲＡＮＤを受信するとｒ及びｃをＲＡＮＤから抽出する。
Ｃ．移動体は、ｃが移動体のローカルなｃ’値よりも「先行している（ａｈｅａｄ）」（後述）ことをチェックする。先行していない場合、移動体はプロトコルを中止する。
Ｄ．それ以外の場合、移動体は次にｒをＳＩＭに送信し、ｋを得る（ＳＩＭを再使用する）。
Ｅ．移動体は、ＸＭＡＣ（ｋ、ｒ）を計算し、ＭＡＣとＸＭＡＣを比較することにより、ＭＡＣが正しいかをチェックする。ＭＡＣが正しくない場合、移動体はプロトコルを中止する。
Ｆ．他方、ＭＡＣが正しい場合、ネットワークの正当性が確認されたことになる。移動体はｃ’＝ｃを設定することにより移動体のカウンタを更新する。

７．移動体はＳＩＭを再び起動するが、この時はＲＡＮＤの全てを入力として用いて起動することによりＲＥＳ及びＫｃを取得する。
８．端末はＲＥＳをネットワーク側に送信する。
９．訪問先ネットワークは、通常、ホームネットワークから受信するＸＲＥＳと比較することによりＲＥＳをチェックして端末を認証する。
１０．訪問先ネットワークは、端末がサポートする更新強化アルゴリズムのうちの一つを選択し、暗号化を開始する。
１１．訪問先ネットワークはアルゴリズムＩＤを端末に送信する。
１２．端末は、アルゴリズムに基づくキー変更を含む選択された更新アルゴリズムに基づいて暗号化を開始する。
移動体はこの時点で訪問先ネットワークと通信することができる。ここで、ＭＡＣ関数の擬似ランダム特性により、ＲＡＮＤの相対エントロピーの低減が小さく、基本的に、カウンタに対応するビットのみが失われることに留意されたい。

ｃが「先行している」かどうかをチェックするために、通常のシーケンス番号計算を使用する。２つのｔビット値、ａ及びｂを次のようにして比較する。
ａ＞ｂ且つａ−ｂ＜２＾（ｔ−１）、
又は
ａ＜ｂ且つｂ−ａ＞２＾（ｔ−１）
とすると、ａはｂよりも「先行している」と言え、他の場合はそうではない。別の解決方法では、カウンタに代えて、タイムスタンプを再生保護情報として使用することができる。
値ｃを含むｒ全体に渡ってＭＡＣを計算するので、このデータについても同様に完全性保護が行われることになる。攻撃者が再生保護情報を変更すると、ＭＡＣが有効であることを証明することができず、プロトコルが中止されることに注目されたい。いずれにしても、ＭＡＣを使用するかどうかに関係なく、ＲＡＮＤ値は同じになることがなく、ネットワーク側の予測応答ＸＲＥＳに一致しない不正なＲＥＳが生じる。従って、誰かがＲＡＮＤ値を改ざんした場合、ユーザ認証が無事に行われることはあり得ない。

別の構成として、再生保護及びネットワーク認証の段階を分離し、互いに独立して実行することができる。再生保護の場合、カウンタ値又はタイムスタンプをＲＡＮＤ値に符号化又は埋設することができる。基本的なネットワーク認証の場合、ＭＡＣコード又は同様のコードのような、キーに応じた認証情報をネットワーク側で計算し、認証のために移動端末に送信する。
上記の原理を、例えば参考文献［２］において既に提案されている何らかの付加的な考え方と組み合わせることにより、更に改善を行うことも可能である。例えば、ＲＡＮＤの余剰ビットを数ビット割り当てることで、ホームネットワークから移動体にセキュリティポリシーを通知することができる。

本発明では、例えばアルゴリズム番号ｊ（アルゴリズムの、合意された何らかの付番方式による）を移動体が使用できる場合、且つそのような場合にのみ、ＲＡＮＤのｊ番目のビットを１に設定することができる。従って、ホームネットワークが許可するアルゴリズムのリスト全体をＲＡＮＤに埋め込んで送信することができる。次に、移動端末は、訪問先ネットワークが選択するアルゴリズムをホームネットワークが受け入れるかどうかをチェックすることができる。ホームネットワークが受け入れない場合、移動端末はプロトコルを中止する。ホームネットワークが許可するセキュリティアルゴリズムに関する情報に対してＭＡＣを計算することにより、完全性の保護を行なうことも可能であり、且つ望ましい。
必要であれば、値

（ｒを例えば１２８ビットのサイズにするために必要な数のゼロ）とすることにより再生保護、ネットワーク認証、及び安全なアルゴリズム選択を全て統合することができる。値

を形成し、暗号化キーＫｃ及び予測応答ＸＲＥＳを生成するのに使用する。値ｒ、カウンタ値ｃ、並びにホームネットワークが許可するアルゴリズムに関する情報が移動体によって抽出され、ＭＡＣがチェックされる。

本発明の利点は、本解決方法を、参考文献［２、３］に概要が記載される提案を含む他の提案と一緒に使用できることである。提案［２、３］によって種々のセキュリティ面が強化されるが、いずれの提案も所望のキー分離を行なうことができない。これは、アルゴリズムＸ及びＹが共に許可され、且つサポートされる場合に、移動体がアルゴリズムＸ及びＹの両方を同じキーＫｃを用いて実行する場合があり得ることを意味する。
基本的なキー変更の実施形態と比較すると、再生保護、ネットワーク認証及び／又は安全なアルゴリズム選択により、変更を必要とする追加ノードはネットワーク側のＨＬＲ／ＡｕＣだけとなる。第３世代のネットワークでは、基本的なキー変更の実施形態においてＩＰマルチメディアサブシステムのＣＳＣＦ（呼状態制御機能）ノードを更新する必要があり、再生保護、ネットワーク認証及び／又は安全なアルゴリズム選択を用いる場合、ＨＳＳ（Ｈｏｍｅ Ｓｕｂｓｃｒｉｂｅｒ Ｓｙｓｔｅｍ）ノードも変更を必要とする。

上記実施形態は単なる例示であり、本発明はこれらの実施形態に限定されない。

参考文献
［１］"Ｉｎｓｔａｎｔ Ｃｉｐｈｅｒｔｅｘｔ−Ｏｎｌｙ Ｃｒｙｐｔａｎａｌｙｓｉｓ ｏｆ ＧＳＭ Ｅｎｃｒｙｐｔｅｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ” ｂｙ Ｂａｒｋａｎ、 Ｂｉｈａｍ、 ａｎｄ Ｋｅｌｌｅｒ、 Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｃｒｙｐｔｏ ２００３、 Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ｖｏｌ． ２７２９、 Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ．
［２］“Ｃｉｐｈｅｒ ｋｅｙ ｓｅｐａｒａｔｉｏｎ ｆｏｒ Ａ／Ｇｂ ｓｅｃｕｒｉｔｙ ｅｎｈａｎｃｅｍｅｎｔｓ”、 Ｓ３−０３０４６３、 ３ＧＰＰ Ｓ３＃２９、 １５−１８ Ｊｕｌｙ ２００３、 Ｓａｎ Ｆｒａｎｃｉｓｃｏ、 ＵＳＡ．
［３］“Ｅｎｈａｎｃｅｄ Ｓｅｃｕｒｉｔｙ ｆｏｒ Ａ／Ｇｂ”、 Ｓ３−０３０３６１、 ３ＧＰＰ Ｓ３＃２９、 １５−１８ Ｊｕｌｙ ２００３、 Ｓａｎ Ｆｒａｎｃｉｓｃｏ、 ＵＳＡ．

本発明の好適な例示的実施形態による基本的な解決方法を示すブロック模式図であり、元の暗号アルゴリズムと組み合わせたアルゴリズムに固有のキー変更によってアルゴリズム全体が定義される。 本発明の好適な実施形態による移動体通信システムにおける保護対象通信に関するセキュリティを強化する方法のフローチャートである。 本発明の好適な例示的実施形態による基本的な信号の模式図である。 アルゴリズムに固有のキー変更を用いる本発明の例示的実施形態による移動端末の関連部分を示すブロック模式図である。 異なる種類の通信システムに含まれるノードを示す例示的なネットワークアーキテクチャを示す。 本発明の特定の例示的実施形態による、強化暗号モード設定及びキー変更手順の概要を示す模式図である。 再生保護とネットワーク認証を統合したセキュリティアルゴリズム強化を含む、本発明の更に別の好適な例示的実施形態による基本的な信号の模式図である。

Claims (39)

1. 少なくとも一つの基本暗号セキュリティアルゴリズムを有する移動端末にサービスを提供する移動体通信ネットワークにおいて鍵共有手順に基づいて保護の対象となる通信のセキュリティを強化する方法であって、
   − 移動端末とネットワーク側との間の通信のために強化版基本暗号セキュリティアルゴリズムを選択するステップ、
   − 鍵共有手順の結果として得られる基本セキュリティキーと、選択された強化版基本暗号セキュリティアルゴリズムを識別するアルゴリズム識別子とを一方向関数である暗号変更関数の入力にして、アルゴリズムに固有のセキュリティキーを生成するステップ、及び
   − 前記移動体通信ネットワークにおける保護対象通信のセキュリティを強化するために、基本暗号セキュリティアルゴリズムを、アルゴリズムに固有のセキュリティキーをキー入力として適用するステップ
   を含む方法。
2. 前記強化版基本暗号セキュリティアルゴリズムを選択するステップをネットワーク側で実行し、且つ前記方法が更に、選択された強化版基本暗号セキュリティアルゴリズムを識別するアルゴリズム識別子を移動端末に送信するステップを含む、請求項１記載の方法。
3. 前記強化版基本暗号セキュリティアルゴリズムを選択するステップは、前記移動端末と前記ネットワークとの間の合意に基づいて行う、請求項１記載の方法。
4. 前記アルゴリズムに固有のセキュリティキーを生成するステップ及び前記基本暗号セキュリティアルゴリズムをアルゴリズムに固有のセキュリティキーをキー入力として適用するステップを、ネットワーク側及び移動端末の両方において実行する、請求項１記載の方法。
5. 基本暗号セキュリティアルゴリズムと、前記アルゴリズムに固有のセキュリティキーとの組み合わせが、強化版基本暗号セキュリティアルゴリズムである、請求項１記載の方法。
6. 前記移動端末は、鍵共有手順の結果として得られる基本セキュリティキーと、前記選択された強化版基本暗号セキュリティアルゴリズムを識別するアルゴリズム識別子とを暗号変更関数の入力にして生成したアルゴリズムに固有のセキュリティキーを前記移動端末の基本セキュリティアルゴリズムの暗号エンジンに転送する、請求項１記載の方法。
7. 前記強化版基本暗号セキュリティアルゴリズムを選択するステップは、移動端末がサポートするアルゴリズムのリスト及びネットワークが許可するアルゴリズムのリストに基づいて行われる、請求項１記載の方法。
8. 前記基本暗号セキュリティアルゴリズム及び前記強化版基本暗号セキュリティアルゴリズムは、データ機密性、データ完全性、及び認証の内の少なくとも一つに関して構成される、請求項１記載の方法。
9. 前記基本暗号セキュリティアルゴリズム及び前記強化版基本暗号セキュリティアルゴリズムは、前記移動体通信ネットワークにおける暗号化通信に関して構成される、請求項８記載の方法。
10. − 前記ネットワーク側が、移動端末の認証及び移動端末との鍵共有に使用されるランダムチャレンジ（ＲＡＮＤ）に再生保護情報を埋め込むステップ、
    − 前記移動端末が、前記ランダムチャレンジから前記再生保護情報を抽出するステップ、及び
    − 前記移動端末が、抽出された再生保護情報に基づいて再生保護チェックを実行するステップ
    を更に含む、請求項１記載の方法。
11. 前記再生保護情報はカウンタ又は経過時間を利用する、請求項１０記載の方法。
12. − 前記ネットワーク側が、移動端末とネットワーク側との間で共有される秘密鍵に少なくとも部分的に基づいて、キーに基づく認証情報を生成するステップ、
    − 前記ネットワーク側が、移動端末の認証及び移動端末との鍵共有に使用されるランダムチャレンジ（ＲＡＮＤ）に前記キーに基づく認証情報を埋め込むステップ、
    − 前記移動端末が、前記ランダムチャレンジから前記キーに基づく認証情報を抽出するステップ、及び
    − 前記移動端末が、前記共有秘密鍵に少なくとも部分的に基づいて、前記キーに基づく認証情報をチェックすることによりネットワークの正当性を確認するステップ
    を更に含む、請求項１記載の方法。
13. 前記キーに基づく認証情報を生成するステップ及び前記キーに基づく認証情報をチェックするステップを、ネットワーク側で生じるランダム値及び前記共有秘密鍵から自律的に導出されるキーに少なくとも部分的に基づいて実行し、前記ランダム値は前記キーに基づく認証情報と一緒に前記ランダムチャレンジ（ＲＡＮＤ）に埋め込む、請求項１２記載の方法。
14. 前記キーに基づく認証情報を生成するステップ及び前記キーに基づく認証情報をチェックするステップを、前記共有秘密鍵及び少なくとも一つの情報項目に少なくとも部分的に基づいて実行し、前記少なくとも一つの情報項目が前記キーに基づく認証情報と一緒に前記ランダムチャレンジ（ＲＡＮＤ）に埋め込まれることにより、前記少なくとも一つの情報項目の完全性が保護される、請求項１２記載の方法。
15. 前記少なくとも一つの情報項目は再生保護情報を含む、請求項１４記載の方法。
16. 前記強化版基本暗号セキュリティアルゴリズムを選択するステップは訪問先ネットワークによって実行され、前記少なくとも一つの情報項目は、移動端末のホームネットワークが許可するセキュリティキーアルゴリズムに関する情報を含み、前記移動端末は、訪問先ネットワークによって選択されたセキュリティアルゴリズムがホームネットワークによって許可されるかどうかをチェックする、請求項１４記載の方法。
17. 前記アルゴリズムに固有のセキュリティキーを生成するステップを、基本セキュリティキー及び選択された強化版基本暗号セキュリティアルゴリズムを識別するアルゴリズム識別子に対応し、且つソフトウェアで実行される暗号変更機能に基づいて実行する、請求項１記載の方法。
18. 少なくとも一つの基本暗号セキュリティアルゴリズムを有する移動端末にサービスを提供する移動体通信ネットワークにおいて鍵共有手順に基づいて保護対象通信のセキュリティを強化する構成であって、
    − 移動端末とネットワーク側との間の通信のために強化版基本暗号セキュリティアルゴリズムを選択する手段、
    − 選択された強化版基本暗号セキュリティアルゴリズムを識別するアルゴリズム識別子と、鍵共有手順の結果として得られる基本セキュリティキーとを一方向関数である暗号変更関数の入力にして、アルゴリズムに固有のセキュリティキーを生成する手段、及び
    − 前記移動体通信ネットワークにおける保護対象通信のセキュリティを強化するために、アルゴリズムに固有のセキュリティキーをキー入力として基本暗号セキュリティアルゴリズムを適用する手段
    を備える構成。
19. 前記強化版基本暗号セキュリティアルゴリズムを選択する手段は、移動端末との通信のためにネットワーク側で前記強化版基本暗号セキュリティアルゴリズムを選択する手段を含み、前記構成は更に、選択された強化版基本暗号セキュリティアルゴリズムを識別するアルゴリズム識別子を移動端末に送信する手段を備える、請求項１８記載の構成。
20. 前記強化版基本暗号セキュリティアルゴリズムを選択する手段は、前記移動端末と前記ネットワークとの間の交渉により強化版基本暗号セキュリティアルゴリズムを選択する手段を含む、請求項１８記載の構成。
21. 前記アルゴリズムに固有のセキュリティキーを生成する手段及び前記アルゴリズムに固有のセキュリティキーをキー入力として基本暗号セキュリティアルゴリズムを適用する手段を、ネットワーク側及び移動端末の両方が備える、請求項１８記載の構成。
22. 基本セキュリティアルゴリズムと、前記アルゴリズムに固有のセキュリティキーとの組み合わせが、強化版基本暗号セキュリティアルゴリズムである、請求項１８記載の構成。
23. 前記移動端末は、鍵共有手順の結果として得られる基本セキュリティキーと、選択された強化版基本暗号セキュリティアルゴリズムを識別するアルゴリズム識別子とを暗号変更関数の入力にして生成した、アルゴリズムに固有のセキュリティキーを基本セキュリティアルゴリズムの暗号エンジンに転送するように動作する、請求項１８記載の構成。
24. 前記強化版基本暗号セキュリティアルゴリズムを選択する手段は、移動端末がサポートするアルゴリズムのリスト及びネットワークが許可するアルゴリズムのリストに基づいて動作する、請求項１８記載の構成。
25. ネットワークノードは、強化版基本暗号セキュリティアルゴリズムを選択し、ネットワーク側でアルゴリズムに固有のセキュリティキーを生成し、更に選択された強化版基本暗号セキュリティアルゴリズムを識別するアルゴリズム識別子を移動端末に送信するように動作する、請求項１９記載の構成。
26. 第１ネットワークノードは、複数の基本暗号セキュリティアルゴリズムの各々について、アルゴリズムに固有のセキュリティキーを計算し、計算されたアルゴリズムに固有のセキュリティキー群を第２ネットワークノードに転送するように動作し、第２ネットワークノードは、強化版基本暗号セキュリティアルゴリズムを選択し、前記アルゴリズムに固有のセキュリティキー群からセキュリティキーを抽出するように動作する、請求項１９記載の構成。
27. 前記基本暗号セキュリティアルゴリズム及び前記強化版基本暗号セキュリティアルゴリズムは、前記移動体通信ネットワークにおける暗号化通信に関して構成される、請求項１８記載の構成。
28. − ネットワーク側で、移動端末の認証及び移動端末との鍵共有に使用されるランダムチャレンジ（ＲＡＮＤ）に再生保護情報を埋め込む手段、
    − 前記移動端末において、前記ランダムチャレンジから前記再生保護情報を抽出する手段、及び
    − 前記移動端末において、抽出された再生保護情報に基づいて再生保護チェックを実行する手段
    を更に備える、請求項１８記載の構成。
29. − ネットワーク側で、移動端末とネットワーク側との間で共有される秘密鍵に少なくとも部分的に基づいて、キーに基づく認証情報を生成する手段、
    − ネットワーク側で、移動端末の認証及び移動端末との鍵共有に使用されるランダムチャレンジ（ＲＡＮＤ）に前記キーに基づく認証情報を埋め込む手段、
    − 前記移動端末において、前記ランダムチャレンジから前記キーに基づく認証情報を抽出する手段、及び
    − 前記移動端末において、前記共有秘密鍵に少なくとも部分的に基づいて前記キーに基づく認証情報をチェックすることによりネットワークの正当性を確認する手段
    を更に備える、請求項１８記載の構成。
30. 前記アルゴリズムに固有のセキュリティキーを生成する手段が、ソフトウェアアップグレードとして提供される、請求項１８記載の構成。
31. 移動体通信ネットワークにおいて動作する移動端末であって、
    − 認証及び鍵共有（ＡＫＡ）機能、
    − 基本暗号セキュリティアルゴリズムのエンジン、及び
    − 前記移動体通信ネットワークにおける保護対象通信のセキュリティを強化するために、前記ＡＫＡ機能の基本セキュリティキーと、選択された強化版基本暗号セキュリティアルゴリズムを識別するアルゴリズム識別子とを一方向関数である暗号変更関数の入力にして、アルゴリズムに固有のセキュリティキーを生成して前記基本暗号セキュリティアルゴリズムエンジンの入力キーとする手段
    を備える移動端末。
32. 選択されたセキュリティアルゴリズムは強化版基本暗号セキュリティアルゴリズムであり、強化版基本暗号セキュリティアルゴリズムはネットワーク側から選択され、前記移動端末は、選択された強化版基本暗号セキュリティアルゴリズムを識別するアルゴリズム識別子をネットワーク側から受信するように動作する、請求項３１記載の移動端末。
33. 基本暗号セキュリティアルゴリズムと、前記アルゴリズムに固有のセキュリティキーとの組み合わせが、強化版基本暗号セキュリティアルゴリズムとなる、請求項３１記載の移動端末。
34. 前記アルゴリズムに固有のセキュリティキーを生成する手段が、移動端末のソフトウェアアップグレードとして提供される、請求項３１記載の移動端末。
35. 少なくとも一つの基本暗号セキュリティアルゴリズムをサポートする移動体通信ネットワークにおいて動作するネットワークノードであって、
    − 前記移動体通信ネットワークにおける保護対象通信のセキュリティを強化するために、選択された強化版基本暗号セキュリティアルゴリズムを識別するアルゴリズム識別子と、鍵共有手順の結果として得られる基本セキュリティキーとを一方向関数である暗号変更関数の入力にした、強化版基本暗号セキュリティアルゴリズムに対応するアルゴリズムに固有のセキュリティキーを導出して基本暗号セキュリティアルゴリズムのキー入力とする手段
    を備えるネットワークノード。
36. 更に、移動端末との保護対象通信のために、前記強化版基本暗号セキュリティアルゴリズムを選択する手段を備える、請求項３５記載のネットワークノード。
37. 前記アルゴリズムに固有のセキュリティキーを導出する手段が、ネットワークノードのソフトウェアアップグレードとして提供される、請求項３６記載のネットワークノード。
38. 前記アルゴリズムに固有のセキュリティキーを導出する手段は、複数の基本暗号セキュリティアルゴリズムに対応する事前に計算されたアルゴリズムに固有のセキュリティキー群からセキュリティキーを選択する手段を含む、請求項３５記載のネットワークノード。
39. 更に、選択されたアルゴリズムに対応するアルゴリズムに固有の情報を移動端末に送信する手段を備える、請求項３６記載のネットワークノード。

Images