JP4713338B2

JP4713338B2 - セルラ通信システムにおいて再認証を可能にする方法および装置

Info

Publication number: JP4713338B2
Application number: JP2005500071A
Authority: JP
Inventors: ハベリネン，ヘンリー; アーマバーラ，カッレ
Original assignee: Nokia Oyj
Current assignee: Nokia Oyj
Priority date: 2002-10-03
Filing date: 2003-09-30
Publication date: 2011-06-29
Anticipated expiration: 2023-09-30
Also published as: AU2003267708A1; WO2004032415A1; EP1552646B1; EP1552646A4; JP2006515486A; US20040153555A1; RU2372734C2; EP1552646A1; KR20050062586A; US8972582B2; KR100996983B1; RU2005113272A; DK1552646T3; PT1552646E

Description

“ＥＡＰＡＫＡおよびＳＩＭ認証”という名称の米国仮出願番号第６０／４１６，４８１号（２００２年１０月３日出願）を参照し、上記出願の優先権を要求する。

本発明は、一般移動通信システム（ＵＭＴＳ）の認証用ＥＡＰメカニズム（セッション）キー（配信）契約（ＡＫＡ）などの、さらにまた、移動通信用広域システム（ＧＳＭ）で使用される加入者識別モジュール（ＳＩＭ）内に実現されるＡＫＡ用ＥＡＰメカニズムなどの認証用および通信システムにおけるセッションキーの配信を行うための拡張可能認証プロトコル（ＥＡＰ）メカニズムに関する。さらに詳細には、本発明は、ＧＳＭＳＩＭやＵＭＴＳＡＫＡの認証用ＥＡＰメカニズムを利用する通信システムにおける再認証に関する。

ＡＫＡは誰何／応答メカニズムおよび左右対称暗号法に基づくものであり、ＵＭＴＳでは、３ＧＰＰ（第３世代パートナープログラム）ＴＳ（技術仕様）３３.１０２Ｖ３.６.０：“技術仕様グループサービスおよびシステム態様；３Ｇセキュリティ；セキュリティ・アーキテクチャ（１９９９年発表）”（第３世代パートナープロジェクト、２０００年１１月）で設計されるようなものである。ＡＫＡは、スマートカード様装置である、ＵＭＴＳ加入者識別モジュール（ＵＳＩＭ）の形で一般に機能する。しかし、ＡＫＡの適用は、スマートカードを備えたクライアント装置に限定されるものではない。例えばホストのソフトウェアの形でＡＫＡメカニズムを実装することができる。またＡＫＡは、ＧＳＭ０３.２０（ＥＴＳ３００５３４）のＧＳＭ認証メカニズムに提示されている逆方向の整合性も提供する：“デジタルセルラ通信システム（フェーズ２）；セキュリティ関連ネットワーク機能”（欧州通信規格協会、１９９７年８月）。ＧＳＭメカニズムと比較すると、ＡＫＡは実質的により長いキー長およびサーバ側並びにクライアント側の認証を提供するものである。

（特に移動局などの）無線端末装置のようなクライアント装置が、通信事業者が提供し、管理する通信システム内のサーバのようなサーバが提供するサービス（特に、インターネットなどを含む任意の種類のネットワークサーバのサービス）を利用するために、端末装置またはユーザは、場合によってはいくつかのネットワークの場合、および、当該ネットワークのいくつかのサービスの場合、サーバに対して自身を認証する必要がある。この逆の場合の認証も同様であり、（いくつかのネットワーク、特にＵＭＴＳでは少なくとも後者）すなわち、各自が通信相手に対して自分が何者であるかを証明しなければならない。ダイアルアップネットワーク、無線ＬＡＮ、有線ＬＡＮネットワークおよび種々のデジタル加入者回線（ＸＤＳＬ）ネットワーク上で、ネットワークの通信事業者側は、ＡＡＡ（認証、認可、アカウンティング）サーバとしばしば呼ばれるサーバを一般に利用して、クライアントの認証を行い、クライアント側はサービス要求を送った宛先の通信事業者のネットワークサーバの認証を行う（すなわち、いかなる特定のサーバにかかわりなく通信事業者のネットワークの認証を行う）。ＡＡＡサーバは、共有の秘密と、ユーザ（特定ユーザに対する専用コンポーネントを備え、したがって当該ユーザを特定する端末装置）の認証に必要なその他の信用情報とを格納する役割を果たすことができる。あるいは、ＡＡＡサーバは、信用情報を格納する別々のユーザデータベースサーバを利用するものであってもよい。拡張可能認証プロトコル（ＥＡＰ）は、ＡＡＡサーバと端末装置間での認証用としてＡＡＡサーバを採用するネットワーク上で利用される場合が多い。ネットワークの通信事業者がＵＭＴＳやＧＳＭネットワークのセルラ通信事業者である場合、ＥＡＰ法は、拡張型ＧＳＭ認証とキーアグリーメントをＥＡＰＳＩＭ内にカプセル化したり、拡張型ＵＭＴＳ認証とキーアグリーメントをＥＡＰＡＫＡ内にカプセル化したりすることができる。端末装置はローカルネットワーク上の付随装置を用いて認証パケットの交換を行う。付随装置は、異なるタイプのネットワーク上では異なる装置となるが、例えば、無線ＬＡＮアクセスポイント、イーサネット（登録商標）交換機あるいはダイアルアップネットワークアクセスサーバ（ＮＡＳ）などであってもよい。付随装置は通常いわゆるＡＡＡクライアントとして作動し、ＡＡＡクライアント並びにＡＡＡサーバはいわゆるＡＡＡプロトコルを用いて認証を実行する。

ＥＡＰＳＩＭあるいはＥＡＰＡＫＡを用いて確立された通信セッションの開始時に、端末装置とＡＡＡサーバとは、いわゆる完全認証（端末装置側にもＡＡＡサーバ側にも一方が相手方を認証する基礎がまったくない状態から開始される認証）と本願明細書で呼ぶ認証を実行する。

完全認証の確立後、ある所定時間が経過した後、あるいは、他の何らかの条件が満たされた場合、再認証を要求して、“ワル（badguy）”が別の何らかの装置（サーバ装置やクライアント装置）を用いて、最初認証したエンティティとして変装を始めたりするチャンスや、最初認証した装置の物理的制御をどうにかして入手して（ユーザが認証済みの端末装置をオンにしたまま席を離れたりした場合など）要求を送信し始めたりするチャンスのいずれかを少なくするようにすることができる。端末装置がネットワーク資源をまだ使用していることを確かめるために、ローカルネットワークが送信する課金メッセージによる請求のような形で再認証要求を行うことも可能である。また、セキュリティ上の理由でキーの耐用期間に限度が設けられている場合、新たなセキュリティキーのネゴシエーションを行うために再認証を利用することも可能である。再認証は、（ＧＳＭ用の）ＥＡＰＳＩＭと（ＵＭＴＳ用の）ＥＡＰＡＫＡとで同一である。

ＥＡＰＳＩＭとＥＡＰＡＫＡプロトコルの従来技術では、ＡＡＡサーバから再認証を行う対象端末装置へ配信される別々の再認証用ユーザＩＤを利用して再認証が行われる。再認証は、セッションキーおよび完全認証中に確立された別のコンテキスト情報に基づいて行われる。

通信事業者は負荷バランス上の理由およびその他の理由のためにいくつかのＡＡＡサーバをネットワークで利用する。端末装置を認証するためにＡＡＡサーバをランダムに選択することが可能であるため、あるいは、ラウンドロビンメカニズムなどの何らかの所定のメカニズムにより該サーバを選択することが可能であるため、端末装置（ユーザ）側は必ずしも同一のＡＡＡサーバを用いて認証を行うことが可能であるとはかぎらない。このようなネットワークでは、コンテキスト情報が、完全認証を行ったＡＡＡサーバだけに格納されるという点で再認証には問題がある。再認証が、完全認証中に提供されるいくつかの情報の利用可能性を想定しているため、再認証に対する端末装置側のＡＡＡ要求が、完全認証を行ったＡＡＡサーバとは異なるＡＡＡサーバへリレーされた場合、再認証は機能しなくなる（すなわち再認証の実行が不可能になる）。

したがって、必要とされるのは、完全認証を行ったＡＡＡサーバ以外のＡＡＡサーバへ再認証要求をリレーできるようなネットワークで機能する再認証方法である。

したがって、本発明の第１の態様では、認証ネットワークを介する端末装置とサーバ間での情報交換を含む通信セッションの再認証時に利用する方法であって、上記通信セッションが、上記端末装置と、上記認証ネットワークの第１の認証サーバとによってすでに認証されている方法において、該第１の認証サーバと別の認証サーバとにそれぞれの一意の領域名を個々に割り当てるステップと、上記端末装置と上記第１の認証サーバ間での認証中に、上記第１の認証サーバが、上記第１の認証サーバに割り当てられた上記一意の領域名を含む再認証識別子を上記端末装置へ送信するステップと、を具備することを特徴とする方法が提供される。

本発明の第１の態様によれば、上記方法は、再認証を行うために、上記端末装置が、上記一意の領域名を含む上記再認証識別子を用いて、再認証要求を送信するステップと、上記再認証要求を受け取った認証ネットワークエレメントが、上記要求の中に含まれる上記再認証識別子から、完全認証を行った認証サーバを示す一意の領域名を決定するステップと、をさらに具備することを特徴とする方法であってもよい。上記方法は、認証ネットワークエレメントを上記再認証識別子の一部として含む一意の領域名が示す上記認証サーバへ上記要求を転送するステップと、上記端末装置と上記第１の認証サーバとが再認証を行うステップと、をさらに具備することを特徴とする方法であってもよい。

本発明の第２の態様では、端末装置とコンテントサーバ間で通信セッションの再認証を行う手段を備えた、セルラ通信システム内の認証サーバであって、割り当てられた一意の領域名を受け取る手段と、上記一意の領域名を含む再認証識別子を上記端末装置へ送信する手段とを具備することを特徴とする認証サーバが提供される。

本発明の第１の態様によれば、上記認証サーバは上記再認証識別子を用いて再認証要求を受け取り、上記再認証識別子から上記一意の領域名を決定する手段をさらに具備することを特徴とするものであってもよい。上記認証サーバは、上記再認証識別子の一部として含まれる一意の領域名が示す上記認証サーバへ上記要求を転送する手段をさらに具備することを特徴とするものであってもよい。

本発明の第３の態様では、コンピュータプログラムプロダクトであって、認証サーバ（２３ａ）においてコンピュータ処理装置により実行するコンピュータプログラムコードを上記プロダクト上に具現化するコンピュータ可読格納構造を具備するコンピュータプログラムプロダクトにおいて、上記コンピュータプログラムコードを用いて、本発明の第２の態様に準拠する装置手段を作動させる命令を含むことを特徴とするコンピュータプログラムプロダクトが提供される。

本発明の第４の態様では、複数の端末装置と、複数の認証サーバと、少なくとも１つのコンテントサーバとを備えたシステムであって、上記端末装置は、上記認証サーバのうちの一方または他方に関する認証および時折の再認証を行った後、上記コンテントサーバから得られる内容を要求するように作動し、上記認証サーバのうち少なくとも２つが個々に本発明の第２の態様に準拠する装置であるような認証サーバであることを特徴とするシステムが提供される。

本発明の上記目的およびその他の目的、特徴、並びに利点は、添付図面と関連して示される後続の詳細な説明について考察することにより明らかになる。

本発明は、完全認証を行ったＡＡＡサーバ以外のＡＡＡサーバへ再認証要求をリレーできるようなネットワークにおいて再認証機能を保証する方法上の問題に対する解決方法を提供するものである。この問題を解決するために、完全認証を行ったＡＡＡサーバを再認証時のＡＡＡサーバとして選択することが本発明によって可能となる。

３ＧＰＰＴＳ３３.１０２Ｖ３.６.０：“技術仕様グループサービスおよびシステム態様；３Ｇセキュリティ；セキュリティ・アーキテクチャ（１９９９年発表）”（第３世代パートナープロジェクト、２０００年１１月）に、並びに、Ｊ．ＡｒｋｋｏおよびＨ．Ｈａｖｅｒｉｎｅｎによる、ＩＥＴＦ（インターネット技術者タスクフォース）ドラフト文書“ＥＡＰＡＫＡ認証”"draft-arkko-pppext-eap-aka-04.txt（２００２年６月）に提示されているような、一般移動通信システム（ＵＭＴＳ）における認証並びにキーアグリーメント（ＡＫＡ）における認証用およびセッションキーの配信用拡張可能認証プロトコル（ＥＡＰ）メカニズムと関連して本発明について以下説明する。ＵＭＴＳとは、広域第３世代移動通信ネットワーク規格である。本発明が、ＧＳＭ技術仕様０３.２０（ＥＴＳ３００５３４）：“デジタルセルラ通信システム（フェーズ２）；セキュリティ関連ネットワーク機能”（欧州通信規格協会、１９９７年８月）に、並びに、Ｈ．ＨａｖｅｒｉｎｅｎによるＩＥＴＦドラフト文書、“ＥＡＰＳＩＭ認証”draft-haverinen-pppext-eap-sim-05.txt（２００２年７月２日）に提示されているような、ＧＳＭ認証用ＥＡＰメカニズム並びに移動通信用広域システム（ＧＳＭ）加入者識別モジュール（ＳＩＭ）を用いるセッションキーの配信とも関連して利用されるものであることは明らかである。特に、拡張可能認証プロトコルの利用およびこのプロトコルのＵＭＴＳとＧＳＭ向けの方法の利用に関連して本発明を説明するものではあるが、ＵＭＴＳあるいはＧＳＭ規格に準拠する拡張可能認証プロトコルあるいはセルラ通信システムでの利用に関して本発明を限定するものは本発明については何も存在しないことを理解されたい。それどころか、本発明は、ＡＡＡプロトコルで制御される拡張可能認証プロトコルの利用と類似する、あるいは、上記利用に匹敵する何らかの方法で認証が行われる任意の通信システムにおいて利用できるものである。記載の実施形態のケースでの本発明は、ＩＥＴＦのネットワーク作業グループが公開した“ＰＰＰ拡張可能認証プロトコル（ＥＡＰ）”という名称のＲＦＣ２２８４に提示されているようないわゆるＥＡＰ（拡張可能認証プロトコル）を利用するものである。（ＰＰＰ）ＥＡＰは認証用の一般的プロトコルであり、マルチ認証メカニズムをサポートするものである。

次に図１および図２を参照すると、再認証が常時可能であることを保証するために、本発明によって、第１のステップ１１を含む方法が提供され、この第１のステップ１１で、（同じまたは異なる通信事業者のネットワーク内の）個々のＡＡＡサーバ２３ａ、２３ｂに一意の領域名が割り当てられ、ＵＭＴＳまたはＧＳＭおよびＩＰサービス用の認証の場合、上記一意の領域名は、（“realm”が一意の領域名であるinuser@realmなどの一部として）ネットワークアクセス識別子（ＮＡＩ）の形で使用可能なタイプ名であり、このネットワークアクセス識別子は、ネットワークアクセス用の認証と関連してＡＡＡプロトコルで使用する端末装置のＩＤである。確立されたＥＡＰおよびＡＡＡプロトコルでは、認証要求にはユーザのネットワークアクセス識別子が含まれる。完全認証の場合には、ＥＡＰＳＩＭおよびＥＡＰＡＫＡは、完全認証の要求のために端末装置が使用すべき識別子フォーマットを指定する。確立された仕様によれば、ＮＡＩのユーザ名部分は、国際移動通信加入者識別子（ＩＭＳＩ）か、ＥＡＰＳＩＭおよびＥＡＰＡＫＡ仕様でペンネームと呼ばれる一時識別子かのいずれかを含むことになる。ＮＡＩで使用される領域名は、一般に在宅オペレータが通常使用する識別子である。この領域名へ送信される要求に対してサービスを提供するためにいくつかのＡＡＡサーバを採用してもよい。したがって、従来技術によれば、一般に、ＮＡＩ内の領域名はいくつかのＡＡＡサーバにより共用することができる。例えば、ＭｙＯｐｅｒａｔｏｒの加入者は領域名myoperator.comを用いることも可能であり、ＡＡＡメッセージはmyoperator.comのＡＡＡサーバのうちの１つに経路指定されることになる。領域が１グループのＡＡＡサーバを示すのは、おそらくＥＡＰＳＩＭおよびＥＡＰＡＫＡの完全認証の場合である。しかし、本発明によれば、個々のＡＡＡサーバにも、例えばserverX.myoperator.comのような一意の領域名が割り当てられることになり、これは再認証識別子の形で使用される一意の領域名である。この場合、第３レベルの名称serverXは、領域名serverX.myoperator.comを一意の領域名にする。領域名の構造化フォーマットは、ＡＡＡエレメントのうちのいくつかが、第３レベルのいずれの名称にも関係なく、領域名を一意のものにするために追加の必要が生じるかもしれない正しい次のホップへの、myoperator.comで終るすべての領域の経路指定を可能にすることができる。例えば、付随装置２１ａは完全な領域名について心配する必要のないようにすることが可能であり、代わりに、単純な規則“ＭｙＯｐｅｒａｔｏｒＡＡＡプロキシへの経路指定＊.myoperator.com”を利用することができる（この場合、＊記号はワイルドカードとして機能する。すなわち、名称内で許される任意のセットの記号を示す）。

次のステップ１２で、ＡＡＡサーバ２３ａ、２３ｂのうちの第１の２３ａは、付随装置２１ａ（すなわちＡＡＡクライアント、および、特に、端末装置２１に関する（完全な）認証を行うために、プロキシＡＡＡサーバ２２を介して、サービスアクセスポイントなどから要求を受け取り、それによって付随装置２１ａは、端末装置２１の（インターネットなどの）ネットワーク２４に対するアクセスを許可することが可能となる。端末装置２１とＡＡＡサーバ２３ａ、２３ｂとの間の無線通信を可能にする１または２以上の通信事業者のネットワークエレメント（すなわち、特に、個々の通信事業者のネットワーク用の無線アクセスネットワーク、並びに、ＡＡＡサーバ２３ａ、２３ｂの一方または他方の通信の経路指定を行う別のエレメント）のうちの種々のエレメントは、（図を明瞭にするために）図２には示していない。

次のステップ１３で、第１のＡＡＡサーバ２３ａは、（後で認証を行う際に端末装置が利用する）ユーザ名部分も含む再認証識別子を（プロキシサーバ２２と付随装置２１ａとを介して）端末装置２１へ送信し、このＡＡＡサーバの再認証識別子には一意の領域名が含まれる。この再認証識別子は、完全認証時に使用するＩＭＳＩベースの識別子およびペンネーム識別子とは異なるものである。ステップ１３は完全認証処理手順の一部として実行されるが、このステップには、図を明瞭にするために図１から省かれた別のステップが含まれる。再認証識別子のユーザ名部分はサーバにより選ばれた１回限りのユーザ名である。このユーザ名部分は数字であってもよいし、ランダムに選ばれた識別子であってもよい。したがって、再認証識別子は、例えば下記のようにすることも可能である：
1209834387@serverl5.myoperator.com

次のステップ１４で、（一般に、満たされたある条件に基づいて）再認証を行うために、端末装置２１は一意の領域名を含む再認証識別子を用いて再認証要求を送信する。一般に、再認証を開始できるいくつかの方法が存在する。１つの方法として、付随装置２１ａが再認証を始動する方法がある。この場合、無線ＬＡＮ上で一意の領域名に基づいて転送される“再認証要求”にＥＡＰ識別子応答パケットが含まれるが、付随装置２１ａはＥＡＰＩＤ要求パケットを端末装置２１へ送信し、端末装置は、再認証識別子を含むＥＡＰ識別子レスポンスを応答として送信する。次いで、このパケットはＡＡＡプロトコルを介して正しいＡＡＡサーバへ転送される。上記とは別に、端末装置２１自体が再認証を始動することも可能である。無線ＬＡＮ上で、端末装置２１は、ＥＡＰＯＬ−Ｓｔａｒｔ（ＬＡＮを介するＥＡＰ開始）パケットを付随装置２１ａへ送信する。ＥＡＰＯＬ−Ｓｔａｒｔの受信時に、付随装置２１ａはＥＡＰＩＤ要求パケットを端末装置へ送出し、以下に説明するように再認証交換が進行する。

次のステップ１５で、要求を受け取った任意のＡＡＡネットワークエレメント（付随装置２１ａ、プロキシ２２、ＡＡＡサーバ２３ａ、２３ｂ）は、上記要求の中に含まれる再認証識別子をチェックし、（領域名を介して第１のＡＡＡサーバ２３ａを示す上記再認証識別子に基づいて）この要求の経路指定を行う経路を決定する。この経路指定はルーティングテーブルや、適当な別の通常のＡＡＡ経路指定手段に基づいて行われる。一般に、プロキシサーバ２２は領域名のチェックを行い、第１のＡＡＡサーバ２３ａへの上記要求の経路指定を直接行う。この結果、要求は、完全認証を行ったＡＡＡサーバ（第１のＡＡＡサーバ２３ａ）によって遅かれ早かれ受信されることになる。

次のステップ１６で、第１のＡＡＡサーバ２３ａは再認証用として確立されたプロトコル毎に再認証要求に対する応答を行う。後続のステップ１７で、端末装置２１から第１のＡＡＡサーバ２３ａへ後続する通信メッセージが、確立されたプロトコル毎に付随装置２１ａを介して端末装置２１と第１のＡＡＡサーバ２３ａ間で伝えられる。この後続する通信メッセージは、付随装置２１ａと第１のＡＡＡサーバ２３ａ間で直接経路指定される場合もあれば、中間のＡＡＡエレメントを介して経路指定される場合もある。上記確立済みＡＡＡプロトコルには、一般に、再認証を行うＡＡＡサーバ２３ａが認証交換中に変らないことを保証する手段が含まれている。

いくつかの例では、端末装置２１は、個々のセッションに対する完全認証処理手順を用いていくつかの異なるセッションを介して同時通信を行うことができる。このセッションは、同じＡＡＡサーバによって、あるいは、異なるＡＡＡサーバによって認証が可能であり、さらに、同じ無線技術や異なる無線技術を利用したり、再認証を行うための同じアプリケーションや異なるアプリケーションの利用も可能である。本発明によれば、このような変動性を調整するために、図１と関連して説明したように、端末装置２１は個々のこのようなセッションに関連する個別の状態情報を保持し、次いで、端末装置２１は、個々のこのようなセッションに対して独立に再認証を行うことができる。同様に、１または２以上の同時セッション用として認証時に使用される個々のＡＡＡサーバ２３ａ、２３ｂは、個々の上記のようなセッションに関連する個別の状態情報を保持する。

本発明は無線ＬＡＮの認証に関連するものではあるが、本発明がＸＤＳＬ、ダイアルアップ、イーサネット（登録商標）および別の認証コンテキストにも関連するものであることに留意されたい。ＵＭＴＳ認証用およびＧＳＭ認証用の拡張可能認証プロトコルによる方法は、ＷＬＡＮや別の相補形のアクセスネットワークの管理を望む移動通信事業者をターゲットとするものである。実際のＵＭＴＳネットワークやＧＳＭネットワーク上では本発明が決して利用されないこともあり得る。

上述の構成が、本発明の原理の適用例にすぎないことを理解されたい。本発明の範囲から逸脱することなく当業者は多数の変更および代替構成を考案することも可能であり、添付の請求項はこのような変更と構成とをカバーすることを意図するものである。

本発明に基づいて、認証エージェントとして機能する認証サーバを用いて端末装置の再認証を行う方法を示すフローチャートである。本発明に基づいて、認証サーバを用いて認証を行い、次いで、再認証を行う端末装置のブロック図／フローチャートである。

Claims

認証サーバが端末装置の完全認証の要求を受信するステップと、
前記端末装置と前記認証サーバ間での完全認証中に、前記端末装置に、ユーザ名部分と、前記認証サーバに割り当てられた一意の領域名と、を含む再認証識別子を送信するステップと、
該完全認証中に確立されたコンテキスト情報を格納するステップと、
再認証識別子を含む、前記端末装置からの再認証要求を受信するステップと、
前記一意の領域名を、前記要求の中に含まれる前記再認証識別子から決定するステップと、
前記一意の領域名が別の認証サーバを示す場合、前記一意の領域名によって示される前記認証サーバへ、前記要求を転送するステップと、
前記一意の領域名が自己の認証サーバを示す場合、該格納されたコンテキスト情報を利用して再認証を実行するステップと、
を具備する方法。
完全認証を実行する手段と、
ユーザ名部分と、認証サーバを一意に識別する一意の領域名と、を含む再認証識別子を、完全認証を要求する端末装置へ送信する手段と、
完全認証中に確立されたコンテキスト情報を格納する手段と、
前記再認証識別子を含む、再認証のための端末装置からの要求を受信する手段と、
前記再認証識別子から、前記要求中に含まれる前記ユーザ名部分と前記一意の領域名とを決定する手段と、
前記一意の領域名が別の認証サーバを示す場合、前記要求を該別の認証サーバに転送する手段と、
前記一意の領域名が自己の認証サーバを示す場合、該格納されたコンテキスト情報を利用して再認証を実行する手段と、
を具備する認証サーバ。
認証サーバのコンピュータ処理装置により実行されるコンピュータプログラムであって、該コンピュータ処理装置に、
認証サーバが端末装置の完全認証の要求を受信するステップと、
前記端末装置と前記認証サーバ間での完全認証中に、前記端末装置に、ユーザ名部分と、前記認証サーバに割り当てられた一意の領域名と、を含む再認証識別子を送信するステップと、
該完全認証中に確立されたコンテキスト情報を格納するステップと、
再認証識別子を含む、前記端末装置からの再認証要求を受信するステップと、
前記一意の領域名を、前記要求の中に含まれる前記再認証識別子から決定するステップと、
前記一意の領域名が別の認証サーバを示す場合、前記一意の領域名によって示される前記認証サーバへ、前記要求を転送するステップと、
前記一意の領域名が自己の認証サーバを示す場合、該格納されたコンテキスト情報を利用して再認証を実行するステップと、
を実行させるためのコンピュータプログラム。
複数の端末装置と、
請求項２に記載の認証サーバを少なくとも２つ含む複数の認証サーバと、
少なくとも１つのコンテントサーバと、
を備えたシステム。
請求項２に記載の認証サーバから、ユーザ名部分と、該認証サーバに割り当てられた一意の領域名と、を含む再認証識別子を受信する手段と、
前記ユーザ名部分と前記一意の領域名とを含む前記再認証識別子を使用して認証ネットワークエレメントに再認証の要求を送信する手段と、
を具備する端末装置。
前記再認証識別子を使用して認証ネットワークエレメントに再認証の要求を送信する前記手段は、拡張可能認証プロトコルに従う識別子応答パケット中に、前記ユーザ名部分と前記一意の領域名とを含む前記再認証識別子を使用する、請求項５に記載の端末装置。