JP4805935B2 - 区別されたランダムチャレンジを用いて認証をブートストラップすること - Google Patents

Description

関連出願の記載

３５Ｕ．Ｓ．Ｃ．§１１９に基づく優先権主張
この出願は、２００４年９月８日に出願された「ＧＳＭ認証と区別されたＲＡＮＤＳをブートストラップすること」（BOOTSTRAPPING GSM AUTHENTICATION AND DISTINGUISHED RANDS）というタイトルの米国仮特許出願第６０／６０８，３０５の優先権を主張する。

上述のファイルされた出願の開示は、参照することによりその全体が本明細書に組み込まれる。

この出願は一般にセルラー通信ネットワークにおける認証に関し、特にアプリケーションセキュリティのための暗号鍵の導出に関する。

移動通信アプリケーションは一般に、通信が開始される前にまたはトランザクションが実行される前に通信サーバーにより加入者（ユーザー機器または移動局）の認証の必要性を共有する。

１つの認証機構は、通信エンティティ間で共有される秘密に基づいており、この事前共有秘密に依存する多数の認証プロトコルがある。

例えば、移動通信のためのグローバルシステム（ＧＳＭ）に基づいた移動通信ネットワークにおいて、加入者のアイデンティティは加入者が通信ネットワークをアクセスすることが可能になる前に認証される。加入者の移動局（またはユーザー機器ＵＥ）がネットワークエレメントとの通信セッションを確立するために、移動局は乱数チャレンジに応答することによりネットワークエレメントに対して自身を認証する。乱数チャレンジと共有秘密鍵は、移動局とネットワークエレメントとの間の通信送信を暗号化するためのセッション暗号鍵を確立するために使用される。

ここに記載された通信システム特徴は、通信エンティティ間に認証と暗号化された通信を必要とするさまざまな通信ネットワークにおいて実施することができる。図１は、ＧＳＭネットワークにおいて加入者の認証に含まれる通信ネットワークエンティティのブロック図である。加入者の移動局３０は、安全ＩＣ３２および移動機器（ＭＥ）３４（例えば、セルラー電話ハンドセット）を備える。移動機器３４は、安全ＩＣ３２と連動する移動局３０において認証機能を実行するように構成されたプロセッサー３６を含む。

安全ＩＣ３２には、加入者アイデンティティおよび加入関連情報、通信ネットワークを用いて認証機能を実行するための情報、国際移動加入者アイデンティティ（ＩＭＳＩ）、好ましい言語、およびＩＣカード同定が記憶される。安全ＩＣはＳＩＭカードまたはスマートカードと呼ばれてもよい。また、安全ＩＣ３２には、ネットワークをアクセスするためにサービスするネットワークのネットワークエレメント４０に対して移動局３０を認証するために使用される秘密鍵ｋｉ３８が記憶される。秘密鍵ｋｉ３８はまた、認証センター（ＡｕＣ）４２において移動加入者のホームネットワークにも記憶される。認証センター４２は秘密鍵ｋｉ３８を用いて、秘密鍵ｋｉ３８を用いる加入者に特有の認証データを発生し、認証データをネットワークエレメント４０に送信する。

移動局認証と暗号化された通信のための認証及び鍵生成プロセスは図１乃至図３に示される。この場合、図２は、移動局３０において認証と暗号鍵発生の方法を図示するフロー図であり、図３は、通信ネットワークにおいて移動局認証と暗号鍵発生の方法を図示する信号フロー図である。図３を参照すると、ステップ１０２において、移動局３０はネットワークエレメント４０との通信セッションを要求する。ネットワークエレメント４０が、移動局３０を認証するためにその加入者に対して記憶された安全情報をすでに有していないなら、ネットワークエレメント４０は、ステップ１０４において、安全情報のための要求を移動局のホームネットワーク内の認証センター４２に送信する。安全情報要求に応答して、認証センター４２は、乱数チャレンジＲＡＮＤ、期待される認証応答ＸＲＥＳ、および暗号鍵Ｋｃを備えた１つ以上の認証ベクトルを発生する。期待される応答ＸＲＥＳ及び暗号鍵ＫｃはＲＡＮＤ及び秘密鍵Ｋｉ３８に基づいて決定される。ステップ１０８において、認証センター４２は、認証ベクトル（複数の場合もある）（ＲＡＮＤ、ＸＲＥＳ、Ｋｃ）をネットワークエレメント４０に送信する。

ステップ１１２において、ネットワークエレメント４０は、移動局３０のアイデンティティを認証するのに使用するために認証ベクトル（ＲＡＮＤ，ＸＲＥＳ、Ｋｃ）を選択し、選択された認証ベクトルのランダムチャレンジＲＡＮＤを移動局３０に送信する。図２を参照すると、ステップ１１４において、移動局３０はステップ１１２においてチャレンジＲＡＮＤを有する認証チャレンジを受信し、認証応答を計算し送信する。また、ステップ１１５において、移動局３０は、秘密鍵Ｋｉ３８とＲＡＮＤを用いてセッション鍵を計算する。

ステップ１１３において応答とセッション鍵を生成するために、移動局３０の移動機器３４はＲＡＮＤを安全なＩＣに渡す。ステップ１１４とステップ１１５において、安全ＩＣ３２は、受信したランダムチャレンジＲＡＮＤと記憶された秘密鍵Ｋｉを用いて１つ以上の値のセットを計算する。ステップ１１４に示すようにこれらの値は、一般に認証応答ＳＲＥＳを含む。ステップ１１５において、安全なＩＣ３２は、受信したランダムチャレンジＲＡＮＤ、記憶された秘密鍵Ｋｉ３８を用いてセッション暗号鍵Ｋｃを備えた第２の値を計算する。ステップ１１６において、安全なＩＣ３２は、発生された応答ＳＲＥＳと暗号鍵Ｋｃを移動機器３４に送信する。ステップ１１７において、移動機器３４は発生認証応答ＳＲＥＳをネットワークエレメント４０に送信し、ステップ１１８において鍵Ｋｃを移動機器に記憶する。ステップ１１９においてネットワークエレメント４０は移動局認証応答ＳＲＥＳを選択された認証ベクトルの期待される応答ＸＲＥＳと比較する。認証パラメーターが一致しないなら、認証手続は終了される。パラメーターが一致するなら、ステップ１２０において移動局３０は認証されたと考えられ、ネットワークエレメント４０はステップ１２２において暗号鍵Ｋｃを用いて移動ユニットと通信し始める。

ＧＳＭ認証と鍵アグリーメント手続は、再生および暗号解読攻撃の影響を受けやすい。例えば、通信を暗号化するためにＧＳＭシステムにより使用される従来のアルゴリズムは弱い。暗号鍵Ｋｃを決定するためおよび加入者の通信の内容を決定するための方法が考案された。それゆえ、特に移動通信はより敏感なデータに使用されるようになりまたはより強い認証を必要とするので、配置された移動局の現在の能力を用いてアプリケーションの安全を改良する方法のための技術的必要性がある。

１つの観点において、この発明は無線通信ネットワークにおいて通信するように構成された移動局を含む。移動局は、無線通信ネットワークからの少なくとも１つの認証データパラメーターを受信するように構成された受信機と、固定認証データパラメーターを記憶するメモリとを備える。第１の処理回路は、少なくとも１つの受信された認証データパラメーターに基づいて第１の鍵を発生するように構成され、固定認証データパラメーターに基づいて第２の鍵を発生するように構成される。第２の処理回路は少なくとも第１の鍵と第２の鍵を用いて第３の鍵を発生するように構成される。

他の観点において、無線通信ネットワークの移動エレメントが提供される。無線通信ネットワークは、複数の移動エレメントと、移動エレメントと通信する複数のネットワークエレメントを備える。移動エレメントは、認証手続の期間に通信ネットワークのネットワークエレメントにより移動エレメントに提供されるチャレンジ値に応答することにより通信ネットワークに対して自分自身を認証するように構成される。さらに、移動エレメントは、任意のネットワークエレメントと任意の移動エレメントとの間の認証手続において移動エレメントを認証するために使用されない取っておかれたチャレンジ値を記憶するメモリを備える。

他の観点において、この発明は移動局と通信ネットワークエレメントとの間の通信の方法を含む。この方法は、ネットワークエレメントにおいて認証チャレンジを選択することと、認証チャレンジを移動局に送信することとを含む。この方法はさらに少なくとも認証チャレンジと記憶された鍵を用いて移動局において認証応答を備えた第１の値を発生することと、少なくとも認証チャレンジおよび記憶された鍵を用いて移動機器において第２の値を発生することと、認証チャレンジおよび記憶された鍵とは異なる少なくとも第４の値を用いて移動機器において第３の値を発生することと、少なくとも第２および第３の値を用いて鍵を発生することとを含む。

他の観点において、チャレンジ応答認証手続を使用する通信ネットワーク内で鍵を作成する方法は、通信ネットワーク内の移動ユニットとネットワークエレメントとの間の通信に使用するセッション鍵を発生するのに使用する少なくとも１つのチャレンジ値を取っておくことを備える。取っておかれたチャレンジ値は移動ユニット認証に対して使用されない。

他の観点において、移動局とネットワークエレメントとの間の通信を保証するために移動局において鍵を発生する方法が提供される。この観点において、この方法は、移動局においてネットワークエレメントから認証チャレンジ値を受信することと、認証チャレンジ値を処理回路に送信することとを含む。この方法はさらに、少なくとも認証チャレンジ値を用いて１つ以上の値の第１のセットを発生することと、前記第１のセットからの少なくとも１つの値を認証のためにネットワークエレメントに送信することとを含む。この方法は第２の認証チャレンジ値を処理回路に送信し、少なくとも第２の認証チャレンジを用いて１つ以上の値の第２のセットを発生することにより続く。鍵は第１の値に少なくとも１つの値と第２のセットの少なくとも１つの値を用いて発生される。

他の観点において、通信ネットワーク内の移動局は、通信ネットワークから認証チャレンジ値を受信する手段と、受信した認証チャレンジに応答して第１のセットの値を発生する手段と、区別された認証チャレンジ値に応答して第２のセットの値を発生する手段と、少なくとも第１のセットの値の１つと少なくとも第２のセットの値の１つを用いて鍵を発生する手段を含む。

上述したように、ＧＳＭ暗号アルゴリズムＡ５／１およびＡ５／２は攻撃されやすい。暗号鍵の知識を取得し、それにより移動局３０から認められていない情報を取得する方法が発見された。従って、改良された認証および鍵発生手続がここに記載される。この場合、認証および鍵発生手続は一実施形態において実施される。この場合、移動加入者の安全ＩＣ３２により実行される機能は、図２−３に図示される手続と同じであるが、移動機器ＭＥにより実行される機能は異なる。具体的には、ここに記載された認証および鍵発生手続は、ＧＳＭ無線インターフェース暗号の欠点により解決されないアプリケーションセキュリティに使用するための鍵を導き出すために、すでに配置された安全ＩＣｓ３２を用いて新しい移動局端末において実施することができる。

図４は、区別された認証データを用いて加入者の認証に含まれる通信ネットワークエンティティの一実施形態のブロック図である。図４に示される通信ネットワークは移動局２０２を備えている。この移動局２０２は図１の移動局３０と類似している。図３の移動局２０２は、秘密鍵３８を記憶する安全ＩＣ３２を備える。移動機器２０４は、区別された乱数チャレンジＲＡＮＤ２０６のような区別されたまたは取っておかれた認証データをそのメモリに記憶する点において、移動局２０２の移動機器２０４は、図１の移動局３０の移動機器３４と異なる。また、移動機器２０４はプロセッサー２０８を含む。

移動機器２０４は、認証プロセスの一部としてネットワークから受信したＲＡＮＤに応答して生成された値のセットに加えて、値の第２のセットを発生するために区別されたＲＡＮＤを使用する。移動局は、ネットワークから受信したチャレンジＲＡＮＤから生成された値と、移動局内に記憶された区別されたＲＡＮＤから生成された値を用いて「区別された」セッション鍵Ｋを計算する。区別されたＲＡＮＤはネットワークおよび移動装置に知られた所定の固定値を有する。それは例えばオールゼロ値を有していてもよくここでは、ＲＡＮＤ０として指定される。また、認証センター４２は区別されたＲＡＮＤを記憶するので、ネットワークも区別された鍵Ｋを計算することができる。区別された鍵Ｋは発生された後で、将来の通信、トランザクションまたは同種のものにおいてメッセージ認証コードを暗号化するまたはキーイングすることを含めてさまざまな目的のために使用することができる。それは、ＧＰＲＳ、Ｂｌｕｅｔｏｏｔｈ（登録商標）またはＷＬＡＮのようなさまざまな所有者に対して銀行アプリケーションのような増加されたセキュリティを必要とするアプリケーションのために移動局２０２とネットワークエレメントとの間の通信を保証するために使用されてもよい。区別されたRANDは、区別された鍵Kを発生する際に使用するためにシステムにより取っておかれ、最初の認証手続のためには使用されないので、RAND0またはRAND0に対する署名された応答（ＳＲＥＳ０）は無線通信リンクを介して転送されない。

図５乃至図６は図４のネットワークエンティティのための認証および安全鍵発生プロセスを図解する。この場合、図５は移動局２０２において認証および安全鍵発生の方法の一実施形態を図解するフロー図である。図６はネットワークにおいて安全な通信を確立するための認証および安全鍵発生プロセスの一実施形態を図解する信号フロー図である。

図６を参照すると、ネットワークエレメント４０は、加入者のホームネットワーク内の認証センター（ＡｕＣ）４２から加入者に特有の認証データを得る。ステップ２１４において、認証センター４２は、ランダムチャレンジＲＡＮＤおよび秘密鍵Ｋｉを用いて１つ以上の認証ベクトル（ＲＡＮＤ、ＸＲＥＳ、Ｋｃ）を発生する。また、認証センター４２は、区別されたランダムチャレンジＲＡＮＤ０ ２０６および秘密鍵Ｋｉを用いて１つ以上の区別された認証ベクトル（ＲＡＮＤ０、ＸＲＥＳ０、Ｋｃ０）を発生する。ステップ２１６において、認証センターは、Ｋｃ、Ｋｃ０、ＸＲＥＳ、およびＸＲＥＳ０を用いて区別されたセッション鍵Ｋを計算する。一実施形態において、区別された鍵ＫはＫｃ、Ｋｃ０、ＸＲＥＳおよびＸＲＥＳ０のハッシュである。ステップ２２０において、認証センター４２は、認証ベクトル（複数の場合もある）と区別された認証ベクトル（複数の場合もある）をネットワークエレメント４０に送信する。この情報を用いて、ネットワークエレメントはまた、認証センターにより提供される情報に基づいて区別された鍵Ｋを計算することができる。

当業者により理解されるように、区別された鍵Ｋは、値の複数の組み合わせに基づいて発生されてもよくここに記載されたこれらに限定されない。例えば、区別された鍵Ｋは、Ｋｃ、Ｋｃ０、ＸＲＥＳおよびＸＲＥＳ０に加えてまたはそれらの代わりにＲＡＮＤおよびＲＡＮＤ０に基づいて発生されてもよい。また、さまざまな変形は鍵Ｋを用いて移動局と通信するのに必要な情報をネットワークエレメントに提供するために使用されてもよい。ネットワークエレメント４０は上述した区別された認証ベクトルからよりはむしろ認証センターから区別された鍵Ｋを形成するハッシュ値を直接受信してもよい。あるいは、ネットワークエレメントは、異なる加入者アイデンティティ（例えばＩＭＳＩ）のためにＸＲＥＳ０とＫｃ０のデータベースを保持することもあり得る。

図４は区別された認証データを用いて移動加入者を認証するブートストラップされた方法の一実施形態を図解する信号フロー図である。図４に図解された方法に従ってネットワークエレメントにより実行される手続のいくつかは図２に図解された方法に従って実行された手続に類似している。

移動局の認証およびセッション鍵の発生のために、ネットワークエレメント４０はステップ２２０において移動加入者の移動機器２０４に認証要求を送信する。この場合、認証要求は、乱数チャレンジＲＡＮＤのみで構成され、区別されたＲＡＮＤ０は、無線ネットワークを介してネットワークエレメント４０から移動局２０２に送信されない。図５を参照すると、移動局２０２において実行される認証およびセッション鍵の発生プロセスは、ステップ２２４で始まり、このステップにおいて、移動機器２０４は、チャレンジＲＡＮＤを有した認証チャレンジを受信する。ステップ２２６において、安全なＩＣ３２は、認証応答ＳＲＥＳＩを計算し、移動機器２０４は、ネットワークエレメント４０に応答を送信する。ステップ２２８において、安全なＩＣは、記憶された秘密鍵ＫｉおよびチャレンジＲＡＮＤを用いて第１の鍵ＫＥＹ１を計算する。ステップ２４０において、安全なＩＣ３２は、移動機器２０４に記憶された区別されたチャレンジＲＡＮＤ０および安全なＩＣ３２に記憶された秘密鍵Ｋｉを用いて第２の鍵ＫＥＹ２を計算する。ステップ２４４において、移動機器２０４は、ＫＥＹ１およびＫＥＹ２からセッション鍵Ｋを計算する。この鍵は将来の通信またはトランザクションにおいて使用されてもよい。

安全なＩＣおよび移動機器２０４において実行される認証および鍵発生プロセスは図６のネットワークエレメント４０を参照して詳細に図解される。乱数チャレンジＲＡＮＤを受信すると、移動機器２０４は、ステップ２２４においてＲＡＮＤを安全ＩＣ３２に送信する。ステップ２２６において、安全なＩＣは、ＲＡＮＤおよび秘密鍵Ｋｉ３８を用いて認証または信号応答ＳＲＥＳを発生し、安全ＩＣは、ＲＡＮＤと秘密鍵Ｋｉを用いてステップ２２８において暗号解読の鍵Ｋｃを計算する。安全なＩＣ３２は、ステップ２３０において、認証応答ＳＲＥＳと暗号解読の鍵Ｋｃの両方を移動機器２０４に送信し、移動機器２０４は、ステップ２３０において認証応答ＳＲＥＳをネットワークエレメント４０に送信する。図３のステップ１１９に類似するステップ２３４において、ネットワークエレメント４０は、移動機器２０４からの認証応答ＳＲＥＳを、選択された認証ベクトル内の期待された応答ＸＲＥＳと比較する。

ステップ２３６において、移動機器２０４は、移動機器２０４において記憶された区別されたランダムチャレンジＲＡＮＤ０を安全なＩＣ３２に送信する。安全なＩＣ３２は、秘密鍵Ｋｉを用いて、ステップ２２６に類似するステップ２３８において区別されたＲＡＮＤ０に基づいて区別された認証応答ＳＲＥＳ０を計算する。安全なＩＣ３２はまた秘密鍵Ｋｉを用いてステップ２４０において区別された暗号解読の鍵Ｋｃ０を計算する。次に、安全なＩＣは、ステップ２４２において区別された認証応答ＳＲＥＳ０と区別された暗号解読の鍵Ｋｃ０を移動機器２０４に移動する。従って、図６に図解されたこの発明の実施形態に従って、区別された暗号解読の鍵Ｋｃ０を発生するために図３の認証プロセスで使用された同じ安全なＩＣを使用することができる。

区別された認証応答ＳＲＥＳ０および区別された暗号解読の鍵Ｋｃ０の受信に応答して、移動機器２０４は、ステップ２４４において区別されたセッション鍵Ｋを発生する。一実施形態において、ＲＡＮＤを用いてステップ２２６と２２８において安全なＩＣ３２により発生された暗号解読の鍵Ｋｃおよび認証応答ＳＲＥＳに基づいて区別された鍵Ｋが発生され、ＲＡＮＤ０を用いてステップ２３８と２４０において安全なＩＣ３２により区別された暗号解読の鍵Ｋｃ０および区別された認証応答ＳＲＥＳ０が発生される。移動機器は、ステップ２４６において区別された鍵Ｋを記憶する。区別された鍵Ｋが移動機器２０４とネットワークエレメント４０の両方に記憶された状態で、鍵Ｋは、将来の通信およびトランザクションに使用することができる。いくつかの実施形態において、取っておかれたＲＡＮＤ値に対する署名された応答は、決して無線通信リンクを介して送信されず、結果として生じる暗号解読の鍵Ｋｃ０は、無線リンクを介して暗号化するために使用されないことを保証するために、移動機器２０４は、区別されたＲＡＮＤ値を含む認証要求をリジェクトするように構成される。

従って、図４乃至図６に図解した認証および鍵発生プロセスに従って、鍵Ｋはアプリケーションにより使用するために、既存のＧＳＭ ＳＩＭを再使用するためにおよび移動端末とＳＩＭとの間のインターフェースのために合意されるが、鍵は、ＧＳＭエアーインターフェース内のセキュリティウイークネスにより顕在化されない。

一実施形態において、移動機器２０４は、ネットワークエレメント４０に対して移動局２０２のアイデンティティの認証のための認証応答ＳＲＥＳを交換するために区別された認証応答ＤＲＥＳを発生するように構成される。例えば、移動機器２０４は、ＸＲＥＳ、ＸＲＥＳＯ、Ｋｃ、ＫｃＯに基づいて区別された鍵ＤＲＥＳを発生するように構成されてもよい。そのような実施形態において、ネットワークエレメント４０は、認証センター４２において発生される期待された区別される認証応答を受信するか、またはネットワークエレメント４０は受信されたパラメーターＳＲＥＳ、ＳＲＥＳ０、ＫｃおよびＫｃ０に基づいて期待された区別される応答ＤＲＥＳを発生するように構成される。ネットワークエレメント４０はさらに移動機器２０４により発生された区別された認証データＤＲＥＳを移動局２０２の認証のための期待された区別される応答と比較するように構成される。

いくつかの実施形態において、図４乃至図６を参照して述べられた認証および鍵発生プロセスは、認証および鍵発生プロセスをブートストラップするための移動局のホームネットワーク内のブートストラッピング機能をさらに採用する。ブートストラップされたプロセスは、移動局と電子商取引ネットワークアプリケーション機能との間のように、高められたセキュリティを要求する通信セッションと関連する認証および鍵発生のために使用されてもよい。そのような実施形態において、移動局２０２は、ネットワークエレメント４０の代わりにブートストラッピング機能に関連する認証および鍵発生プロセスを実行する。この場合、ブートストラッピング機能は、認証センター４２から認証ベクトルとセッション鍵Ｋを受信する。移動局の認証に続いて、ブートストラッピング機能は次に移動局との通信を暗号化するために電子商取引ネットワークアプリケーション機能にセッション鍵Ｋを送信する。

ブートストラップされたプロセスを採用する通信ネットワークにおいて、移動機器２０４は、音声呼のために図２乃至３において図解された安全なＩＣ３２を用いて認証および鍵発生プロセスを実行するように構成されてもよい。この場合、暗号解読の鍵Ｋｃを用いてネットワークエレメントとの通信を暗号化する。移動機器２０４はさらに電子商取引のような増大するセキュリティを必要とする通信セッションタイプを認識し、従って、図５および図６に図解された安全なＩＣを用いて認証および鍵発生プロセスを実行するようにさらに構成されてもよい。この場合、セッション鍵Ｋは通信を暗号化するために使用される。移動機器２０４により実行された認証および鍵発生プロセスにもかかわらず、安全なＩＣ３２により実行されるプロセスは、ランダムチャレンジを受信し、ランダムチャレンジおよび記憶された秘密鍵Ｋｉに基づいて署名された応答および暗号解読のための鍵の両方を計算することにより同じ状態のままである。

図４乃至図６において図解された認証および鍵発生プロセスの例示実施は、移動局と金融機関との間の通信セッションである。この場合、移動加入者は、ネットワークアプリケーションで機密情報を交換することを望み、それゆえ、増大した通信セキュリティを望む。この例において、移動局は、要求を移動局のホームネットワーク内のブートストラッピング機能に送信することにより銀行ネットワークアプリケーション機能との通信を要求する。ブートストラッピング機能は、通信を要求する移動局のアイデンティティを認証するのに使用するために、認証センターから規格（ＲＡＮＤ、ＸＲＥＳ、Ｋｃ）と区別された認証ベクトル（ＲＡＮＤ０、ＸＲＥＳ０、Ｋｃ０）とセッション鍵を取得する。ブートストラッピング機能は、ランダムチャレンジＲＡＮＤを移動局の移動機器に送信する。移動機器は、応答ＳＲＥＳと暗号解読の鍵Ｋｃの計算のために、ランダムチャレンジＲＡＮＤを安全ＩＣに送信する。前記安全なＩＣからの応答ＳＲＥＳと暗号解読の鍵Ｋｃの受信に応答して、移動機器は応答ＳＲＥＳをブートストラップ機能に送信する。ブートストラップ機能は、ＳＲＥＳを発生するために使用される鍵が、期待された応答ＸＲＥＳを発生するために使用される鍵と同じかどうかを、ＳＲＥＳとＸＲＥＳを比較することにより決定する。２つのパラメーターが一致するなら、移動局の認証は成功したと考えられ、ブートストラッピング機能はセッション鍵をネットワークアプリケーション機能（銀行）に送信する。

発生された応答ＳＲＥＳをブートストラップ機能に送信した後、移動機器は、移動機器に記憶された区別されたＲＡＮＤ０を、区別された応答ＳＲＥＳ０および区別された暗号解読の鍵Ｋｃ０の計算のために安全なＩＣに送信する。次に、移動機器はＫｃ、ＳＲＥＳ、Ｋｃ０、ＳＲＥＳ０を使用して区別されたセッション鍵Ｋを計算する。次に、移動局とネットワークアプリケーション機能は、区別されたセッション鍵Ｋを用いて安全な通信を開始することができ、それらの通信送信を暗号化することができる。

当業者により理解されるように、上述のシステムおよび方法は、わずかな特定の実施形態にのみ向けられておりこの発明は多くの方法で実施することができる。当業者は、情報および信号は、さまざまな異なる科学技術および技法を用いて表してもよいことを理解するであろう。例えば、上述した記述全体を通して参照してもよいデータ、命令、コマンド、情報、信号、ビット、記号、およびチップは、電圧、電流、電磁波、磁界、磁性粒子、光学界、または光学粒子またはそれらの任意の組合せにより表してもよい。

当業者はさらに、ここに開示した実施の形態に関連して記載した種々の実例となる論理ブロック、モジュール、回路、およびアルゴリズムステップは、電子ハードウエア、コンピュータソフトウエアまたは両方の組合せで実施してもよいことを理解するであろう。このハードウエアとソフトウエアの互換性を明瞭に説明するために、種々の実例となる部品、ブロック、モジュール、回路、およびステップが一般にそれらの機能性の観点から上に記載された。そのような機能性がハードウエアまたはソフトウエアとして実現されるかは特定のアプリケーションおよび全体のシステムに課せられた設計制約に依存する。熟達した職人は、各特定のアプリケーションに対して記載した機能性を変形した方法で実施することができるが、そのような実施の判断は、この発明の範囲を逸脱するものとして解釈されるべきでない。

ここに開示された実施の形態に関連して記載された種々の実例となる論理ブロック、モジュール、および回路は、汎用プロセッサー、デジタルシグナルプロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）または他のプログラマブル論理装置、ディスクリートゲートまたはトランジスタロジック、ディスクリートハードウエアコンポーネント、またはここに記載した機能を実行するように設計されたいずれかの組合せを用いて実施または実行してもよい。

汎用プロセッサーは、マイクロプロセッサであってよいが、別の方法では、プロセッサーは、いずれかの一般的なプロセッサー、コントローラ、マイクロコントローラ、またはステートマシンであってよい。プロセッサーはまた、計算装置の組合せとしても実施できる。例えば、ＤＳＰとマイクロプロセッサの組合せ、複数のマイクロプロセッサ、ＤＳＰコアと協力した１つ以上のマイクロプロセッサまたはいずれかの他のそのような構成として実施してもよい。 ここに開示された実施の形態に関連して記載された方法またはアルゴリズムのステップは、ハードウエアにおいて、プロセッサーにより実行されるソフトウエアモジュールにおいて、または両者の組合せにおいて直接具現化してもよい。ソフトウエアモジュールは、ＲＡＭメモリ、フラッシュメモリ、ＲＯＭメモリ、ＥＰＲＯＭメモリ、ＥＥＰＲＯＭメモリ、レジスタ、ハードディスク、脱着可能ディスク、ＣＤ−ＲＯＭ、または技術的に知られているその他のいずれかの形態の記憶媒体に常駐してもよい。例示記憶媒体は、プロセッサーに接続される。そのようなプロセッサーは記憶媒体から情報を読み出し、記憶媒体に情報を書き込むことができる。代替策では、記憶媒体はプロセッサーに一体化してよい。プロセッサー及び記憶媒体はASICに常駐してよい。ＡＳＩＣはユーザー端末に常駐してよい。代替策では、プロセッサー及び記憶媒体はユーザー端末内に別々の構成要素として常駐してよい。好適実施の形態の上述の記載は当業者がこの発明を製作または使用することを可能にするために提供される。これらの実施の形態に対する種々の変更は当業者には容易に明白であろう、そしてここに定義される包括的原理はこの発明の精神または範囲を逸脱することなく他の実施形態に適用されてもよい。従って、この発明は、ここに示される実施形態に限定されることを意図したものではなく、ここに開示された原理および新規な特徴と一致する最も広い範囲が許容されるべきである。

図１は、ＧＳＭネットワークにおける通信のための加入者の認証に含まれる通信ネットワークエンティティのブロック図である。 図２はＧＳＭに従って移動局において実行される認証および鍵発生プロセスを図示するフローチャートである。 図３はＧＳＭ内のネットワークエレメントに対する加入者の認証のための認証及び鍵アグリーメント手続を図示する信号フロー図である。 図４は区別された認証データを用いて加入者の認証に含まれる通信ネットワークエンティティの一実施形態のブロック図である。 図５は、区別された認証データを用いて移動局において実行される認証および区別された鍵発生プロセスの一実施形態を図示するフローチャートである。 図６は区別された認証データを用いて移動局と通信ネットワークとの間の安全な通信セッションを確立する方法の一実施形態を図示する信号フロー図である。

Claims (15)

1. 無線通信ネットワークにおいてチャレンジレスポンス認証手続を用いた通信のための移動局において、
   前記無線通信ネットワークから第１のチャレンジ値を形成する少なくとも１つのデータパラメータ値を受信するように構成された受信機と、ここにおいて、前記第１のチャレンジ値は移動局の認証に使用される、
   前記移動局と前記通信ネットワークとの間の通信に使用する鍵を発生するのに使用する第２のリザーブされたチャレンジ値を形成する固定データパラメータ値を記憶するメモリと、ここにおいて、前記リザーブされたチャレンジ値は移動局の認証には使用されない、
   前記少なくとも１つの受信されたデータパラメーター値に基づいて第１の鍵を発生し、前記リザーブされたチャレンジ値に基づいて第２の鍵を発生するように構成された第１の処理回路と、
   少なくとも前記第１および第２の鍵を用いて前記通信に使用する第３の鍵を発生するように構成された第２の処理回路と、
   を備えた移動局。
2. 前記第２の処理回路は、前記第３の鍵を用いて通信送信を暗号化するように構成された請求項１の移動局。
3. 前記少なくとも１つの受信されたデータパラメーター値は、前記移動局と前記通信ネットワークとの間の異なる通信セッションに対して変化する乱数または擬似乱数を備える、請求項１の移動局。
4. 移動機器は前記データパラメーター値を含む認証要求をリジェクトするように構成される、請求項３の移動局。
5. 前記第１の処理回路は、前記少なくとも１つの受信されたデータパラメーター値及び秘密鍵を用いて認証応答を発生するように構成される、請求項１の移動局。
6. 前記移動局は、前記移動局の認証のために無線通信チャネルを介して前記認証応答を送信するように構成される、請求項５の移動局。
7. 前記第１の処理回路は安全な集積回路を備える、請求項１の移動局。
8. 前記集積回路は加入者アイデンティティモジュール（ＳＩＭ）を備える、請求項７の移動局
9. 移動局とネットワークエレメントとの間の通信を確実にするために前記移動局において鍵を発生する方法において、
   前記移動局において前記ネットワークエレメントからチャレンジレスポンス認証手続の一部として第１の認証チャレンジ値を受信することと、
   前記認証チャレンジ値を処理回路に送信することと、
   少なくとも前記認証チャレンジ値を用いて１つ以上の値の第１のセットを発生することと、ここにおいて、前記第１のセットは第１の鍵を含む、
   前記第１のセットから少なくとも１つの値を認証のために前記ネットワークエレメントに送信することと、
   第２のリザーブされたチャレンジ値を前記処理回路に送信することと、ここにおいて、前記リザーブされたチャレンジ値は前記移動局と前記ネットワークエレメントとの間の通信に使用する鍵を発生するのに使用され、前記リザーブされたチャレンジ値は移動局の認証には使用されない、
   少なくとも前記第２のリザーブされたチャレンジ値を用いて１つ以上の値の第２のセットを発生することと、ここにおいて、前記第２のセットは第２の鍵を含む、
   少なくとも前記第１の鍵と少なくとも前記第２の鍵を用いて前記鍵を発生することと、
   を備えた方法。
10. 前記第１のセットの１つの値は署名された応答（ＳＲＥＳ）を備える、請求項９の方法。
11. 前記第１のセットの１つの値は暗号化鍵を備える、請求項９の方法。
12. 前記第２のセットの１つの値は暗号化鍵を備える、請求項９の方法。
13. 前記処理回路を用いて、前記処理回路に送信された各認証チャレンジ値に対して符号付き応答と暗号化鍵を発生することを備えた、請求項９の方法。
14. 前記第１の認証チャレンジは乱数または擬似乱数である、請求項９の方法。
15. 通信ネットワークにおける移動局において、前記移動局は、
    前記通信ネットワークからチャレンジレスポンス認証手続の一部として第１の認証チャレンジ値を受信する手段と、
    少なくとも前記第１の認証チャレンジ値を用いて第１の鍵を発生する手段と、
    第２のリザーブされたチャレンジ値を用いて第２の鍵を発生する手段と、ここにおいて、前記第２のリザーブされたチャレンジ値は前記移動局と前記ネットワークとの間の通信に使用する鍵を発生するのに使用され、前記リザーブされたチャレンジ値は移動局の認証には使用されない、
    少なくとも前記第１の鍵と少なくとも前記第２の鍵を用いて通信のために鍵を発生する手段と、
    を備えた移動局。

Images