JP4865791B2 - ペアワイズ・マスタ・キーを更新する方法 - Google Patents

Description

本発明は、一般には通信システムに関し、より詳細には無線通信システムに関する。

アクセス・ポイントは、無線通信システム内で１つまたは複数のモバイル装置への無線接続を提供するために使用される。典型的なアクセス・ポイントには、基地局、基地局ルータ、ＡＳＮ（アクセス・サービス提供ネットワーク）、ＷｉＭＡＸルータ等がある。モバイル装置には、携帯電話、携帯情報端末、スマート・フォン、テキスト・メッセージング機器、ラップトップ・コンピュータ、デスクトップ・コンピュータ等がある。アクセス・ポイントは、１つまたは複数の外部ネットワークへの接続も提供する。例えば、ＩＥＥＥ８０２．１６プロトコルに従って動作する無線ネットワークでは、モバイル装置は、ＷｉＭＡＸルータとの間に無線接続を確立することができ、ＷｉＭＡＸルータは、１つまたは複数のＡＳＮ（アクセス・サービス提供ネットワーク）エンティティと１つまたは複数の基地局とを含むことができる。ＷｉＭＡＸルータは、外部ネットワークへの接続性を提供する１つまたは複数のＣＳＮ（コネクティビティ・サービス提供ネットワーク）に接続することができる。

セキュリティ・アソシエーション（ａｓｓｏｃｉａｔｉｏｎ：関連付け、接続）を確立および維持して、モバイル装置とサービス提供ネットワーク間の安全な通信を可能にすることができる。例えば、ＩＥＥＥ８０２．１６ｅおよび／またはＷｉＭＡＸ規格に従って動作するシステムは、ユーザ認証とデバイス認証に、ＥＡＰ（拡張可能認証プロトコル）と併せてＰＫＭｖ２（プライバシおよびキー管理バージョン２）プロトコルを使用することができる。ＰＫＭｖ２プロトコルは、３者方式を用いたモバイル装置とホームＮＳＰ（ネットワーク・サービス・プロバイダ）間のデバイス認証およびユーザ認証に対応する。

ＰＫＭｖ２プロトコルにおける３者とは、サプリカント（ｓｕｐｐｌｉｃａｎｔ：嘆願者、要求者）、認証機器、および認証サーバである。サプリカントは、２地点間リンクの一方の端に取り付けられた認証機器によって認証される、そのリンクのもう一端にあるエンティティである。認証機器は、２地点間リンクの一方の端に取り付けられることが可能なサプリカントの認証を容易にする、そのリンクのもう一端にあるエンティティである。認証機器は、サプリカントがネットワーク内のサービスにアクセスすることを許可する前に認証を実施する。認証サーバは、認証機器に認証サービスを提供するエンティティである。この認証サーバは、サプリカントから提供される資格証明を用いて、サプリカントが、認証機器を介して提供されるサービスにアクセスする権限を有するかどうかを判定する。例えば、ＷｉＭＡＸシステムでは、サプリカントはモバイル装置であり、認証機器はＡＳＮ（アクセス・サービス提供ネットワーク）内に存在し、認証サーバはＣＳＮ（コネクティビティ・サービス提供ネットワーク）内のＡＡＡ（認証、権限付与、および課金）サーバに実施される。

ＥＡＰ（拡張可能認証プロトコル）は、サプリカントと認証サーバの間で認証方法を交渉するために用いることが可能なパケット・データ・ユニット（ＰＤＵ）を移送するのに用いられるカプセル化プロトコルである。ＥＡＰは、ＰＫＭｖ２プロトコル、８０２．１６プロトコル、ＲＡＤＩＵＳまたはＤＩＡＭＥＴＥＲプロトコル、ＵＤＰ（ユニバーサル・データグラム・プロトコル）、ＴＣＰ（伝送制御プロトコル）、ＩＰ（インターネット・プロトコル）等の他のプロトコルの中にカプセル化することができる。ＲＡＤＩＵＳプロトコルと、可能性としてはＤＩＡＭＥＴＥＲプロトコルは、認証機器と認証サーバ間のＥＡＰ ｏｖｅｒ ＩＰネットワークの事実上のトランスポート・プロトコルである。ＥＡＰ（拡張可能認証プロトコル）は、ＥＡＰ−ＴＬＳ、ＥＡＰ−ＡＫＡ、ＥＡＰ−ＭＳＣＨＡＰｖ２等の暗号技術的に強いキー導出方法、ならびに、ＷｉＭＡＸネットワークを通じたユーザの資格証明タイプの再使用に対応する。

安全な接続は、通例、サプリカント、認証機器、認証サーバ間の動作上の関係を規定したセキュリティ・モデルに従って確立される。例えば、４段階のセキュリティ・モデルを使用することができる。第１段階では、サプリカント（例えばモバイル装置）が、あるサービス・エリア内で無線接続を提供することができる１つまたは複数の利用可能な基地局を発見し、好適な（すなわちサービス）基地局として特定の基地局を選択する。モバイル装置は、次いで構成データを発見するが、この発見は、静的および／または動的に行うことができる。第２段階では、サプリカントが自身の資格証明を認証機器に提示し、認証機器はサプリカントの資格証明を認証サーバに転送する。交渉される認証方法に応じて、各種のエンティティ間で複数の往復通信が使用されることができる。認証手順が成功した場合、認証サーバは、第３段階でセッションに関連するキーを認証機器に転送する。認証サーバは、そのセッションに関連するキーを生成するのに使用することができる情報もサプリカントに転送する。認証機器およびサプリカントで保持されているセッションに関連するキーを使用して、秘密対称キーの対で表されるセキュリティ・アソシエーションを確立し、この秘密対称キーを使用して、第４段階で送信されるデータを保護するキーを生成することができる。

ＩＥＥＥ８０２．１６およびＷｉＭＡＸ規格に従って動作するシステムでは、マスタ・キー（ＭＫ）と呼ばれる対称キーが、サプリカントの加入開始時にサプリカントと認証サーバにあらかじめ供給される。マスタ・キーは、加入に基づく現在のセキュリティ・アソシエーションを表し、サプリカントと認証サーバだけがマスタ・キーを所有することができ、このマスタ・キーは、サプリカントに代わって決定を行うための権限を証明する。マスタ・キーの一例は、ＡＫＡ（認証およびキー一致）プロトコルで使用されるルート・キーである。サプリカントおよび／または認証サーバは、マスタ・キーから、マスタ・セッション・キー（ＭＳＫ）および／または拡張マスタ・セッション・キー（ＥＭＳＫ）を生成することができる。マスタ・セッション・キーは、通例、固定加入者に使用され、拡張マスタ・セッション・キーは、通例、モバイル加入者に使用される。これらのキーは、ＩＥＴＦ ＲＦＣ−３７４８「Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ」の項７．１０に推奨される要領で導出することができる。

サプリカントと認証サーバは、マスタ・セッション・キー（または拡張可能マスタ・セッション・キー）に基づいてＡＡＡキーを導出することができる。認証サーバは、例えばＲＡＤＩＵＳプロトコルおよび／またはＤＩＡＭＥＴＥＲプロトコルを使用して、対応する認証機器内にＡＡＡキーを設定することにより、サプリカント、認証機器、認証サーバの間にセキュリティ・アソシエーションを確立する。サプリカントと認証機器はそれぞれ、ＡＡＡキーを使用して一対の秘密対称キーの一方を生成し、この秘密対称キーの対は、ペアワイズ・マスタ・キー（Ｐａｉｒｗｉｓｅ Ｍａｓｔｅｒ Ｋｅｙ：ＰＭＫ）と呼ばれる場合がある。ＩＥＥＥ８０２．１６およびＷｉＭＡＸ規格では、サプリカントと認証機器はＡＡＡキーを切り捨てることによってペアワイズ・マスタ・キーを導出するものと規定している。ペアワイズ・マスタ・キーの生成は、資格証明検証およびユーザ認証の段階、すなわち上記の第２段階が正常に完了したことを表す。サプリカントと認証機器はそれぞれ、ペアワイズ・マスタ・キーを使用して認証キー（ＡＫ）のコピーを生成することができる。ＩＥＥＥ８０２．１６ｅ規格草案に記載されるように、認証キーから追加のキーを導出することができる。

サプリカントと認証機器間のセキュリティ・アソシエーションを管理する秘密対称キーの対を定期的に更新することが有用である場合がある。例えば、秘密対称キーは、あらかじめ決められたキーの有効期間が経過すると失効する場合があり、そのため、失効する前に秘密対称キーを更新することが望ましい場合がある。さらに、ペアワイズ・マスタ・キーと認証キーとの間の静的リンケージのため、８０２．１６ｅで規定されるセキュリティ動作のために認証キーが消去される時にペアワイズ・マスタ・キーを消去することが必要とされる。しかし、現行のＩＥＥＥ８０２．１６ｅ規格でペアワイズ・マスタ・キーを変更する唯一の手段は、上記の３者間の４段階の認証手順を完全に実施することである。

上記の３者間、４段階の認証手順は、少なくとも１つには加入者のホーム・ネットワーク内の認証サーバにアクセスしなければならないため、大量の時間と他のシステム資源を消費する可能性がある。そのため、サプリカントと認証機器の間に確立されたセキュリティ・アソシエーション（秘密対称キーの対で表される）が、比較的長時間にわたって保持される可能性がある。例えば、モバイル装置とアクセス・サービス提供ネットワーク間のセキュリティ・アソシエーションを定義するために使用されたペアワイズ・マスタ・キーは、モバイル装置が現在のアクセス・サービス提供ネットワークの境界内にとどまる限り更新されない可能性がある。その結果、その秘密対称キーの対から導出された他のキーが更新されない可能性がある。例えば、特定の基地局に対して生成されるアクセス・キー（ＡＫ）は、通例、ペアワイズ・マスタ・キー（ＰＭＫ）、基地局識別子（ＢＳ−ＩＤ）、およびモバイル装置識別子（ＭＳ−ＩＤ）に応じて定義され、その結果、ペアワイズ・マスタ・キー（ＰＭＫ）が同じである限りは同じ値に設定されることになる。

しかし、サプリカントと認証機器の間のセキュリティ・アソシエーション（秘密対称キーの対で表される）を比較的長い時間にわたって維持すると、そのセキュリティ・アソシエーションに伴うセキュリティ上の危険性が増す可能性がある。秘密対称キーを比較的長時間維持すると、ペアワイズ・マスタ・キーや認証キーなど、各種のキーの比較的静的な値への受動的攻撃および能動的攻撃の確率が増す可能性もある。例えば、信頼性が低いセキュリティ・ドメインにある基地局は、ペアワイズ・マスタ・キーおよび／または認証キーなどのキーの値を使用して、それらキーを暗号解析する場合がある。そのキーが攻撃者によって使用されて、現在および／または過去の通信セッションに関連する情報を解読することができる。

本発明は、上記で述べた問題の１つまたは複数の影響に対処することを対象とする。以下に、本発明の態様の一部の基本的な理解を提供するために、本発明の簡略な概要を提示する。この概要は、本発明を網羅した概説ではない。本発明の主要あるいは必須の要素を明らかにするものでも、本発明の範囲を詳述するものでもない。その唯一の目的は、その後に述べられるより詳細な説明の前置きとして簡略化した形でいくつかの概念を提示することである。

本発明の一実施形態では、第１のキーに基づく確立済みのセキュリティ・アソシエーションを有するサプリカント、認証機器、および認証サーバを伴う通信のための方法が提供される。サプリカントと認証機器は、第２のキーに基づく確立済みのセキュリティ・アソシエーションも有する。この方法は、サプリカントからのチャレンジ・レスポンスが有効であると判定されるのに応じて、第１のキーを使用して第２のキーを変更することを含むことができる。

本発明の別の実施形態では、第１のキーに基づく確立済みのセキュリティ・アソシエーションを有するサプリカント、認証機器、および認証サーバを伴う通信のための方法が提供される。サプリカントと認証機器は、第２のキーに基づく確立済みのセキュリティ・アソシエーションも有する。この方法は、認証機器からのチャレンジ・レスポンスが有効であると判定されるのに応じて、第１のキーを使用して第２のキーを変更することを含むことができる。

本発明は、添付図面と併せて以下の説明を参照することによって理解することができる。図面では、同様の要素は同様の参照符号で識別される。

本発明は、各種の変更および代替の形態が可能であるが、その具体的な実施形態が例として図面に図示され、本明細書で詳細に説明される。しかし、本明細書における具体的な実施形態の説明は、本発明をここに開示される特定の形態に制限する意図ではなく、反対に、本発明は、添付の特許請求の範囲に定義される本発明の趣旨および範囲に該当するすべての変更形態、均等形態、および代替形態を包含するものとする。

以下に本発明の例示的実施形態を説明する。理解しやすいように、実際の実施のすべての特徴が本明細書に記載される訳ではない。言うまでもなく、そのような実際の実施形態を開発する際には、実施ごとに異なるシステムに関連する制約や実務に関連する制約に合わせることなど、開発者独自の目標を達成するために多数の実施固有の決定を行わなければならないことが理解されよう。さらに、そのような開発上の手間は、複雑で時間を要する場合もあるが、それでもなお、本開示の利益を有する当業者にとっては日常的な業務であることが理解されよう。

本発明とそれに対応する詳細な説明の部分は、ソフトウェア、またはコンピュータ・メモリのデータ・ビットに対する操作のアルゴリズムおよび記号的表現の形で提示される。この説明および表現は、当業者が自身の研究の内容を他の当業者に効果的に伝えるための説明および表現である。本明細書で使用される、また一般に使用される用語「アルゴリズム」は、要求される結果をもたらす矛盾のないステップの連続とみなされる。このステップは、物理的数量の物理的操作を必要とするステップである。必ずしもそうではないが、通常、これら数量は、記憶、転送、組み合わせ、比較、および他の形での操作が可能な光学信号、電気信号、または磁気信号の形をとる。それらの信号を、ビット、値、要素、記号、文字、項、数等と呼ぶことは、主として一般的な語法のために、時に利便であることが分かっている。

ただし、それらの用語および同様の用語はすべて、適切な物理的数量と関連付けるべきであり、そうした数量に付される利便な標識に過ぎないことを念頭に置かれたい。特に断らない限り、あるいは論述から明らかであるように、「処理する」、「算出する」、「計算する」、「判定する」、「表示する」等の用語は、コンピュータ・システムのレジスタおよびメモリ内の物理的、電子的数量として表されたデータを操作し、コンピュータ・システムのメモリまたはレジスタ、あるいは他の同様の情報記憶装置、伝送装置、表示装置内の同様に物理的数量として表される他のデータに変換する、コンピュータ・システムあるいは同様の電子計算装置の動作とプロセスを指す。

また、本発明のソフトウェアによって実施される態様は、通例、何らかの形態のプログラム記憶媒体に符号化されるか、何らかのタイプの伝送媒体を通じて実施されることにも留意されたい。プログラム記憶媒体は、磁気媒体（例えばフロッピー（登録商標）・ディスクやハード・ドライブ）、光学媒体（例えばコンパクト・ディスク読み取り専用メモリ、すなわち「ＣＤ−ＲＯＭ」）等であり、読み取り専用でもランダム・アクセスでもよい。同様に、伝送媒体は、より対線、同軸ケーブル、光ファイバ、あるいは当技術分野で知られる何らかの他の適切な伝送媒体でもよい。本発明は、所与の実施形態のこれらの態様によって制限されない。

次いで、添付の図を参照して本発明を説明する。各種の構造、システム、装置が、説明のみの目的で、当業者に周知の詳細事項で本発明を不明瞭にしないように模式的に図面に図示される。それでもなお、添付図面は、本発明の例示的な例を説明するために含められる。本明細書で使用される単語および語句は、関連分野の当業者によるそれら単語および語句の解釈と一致した意味を持つものと理解および解釈すべきである。用語または語句の特殊な定義、すなわち、当業者に解釈される一般的で慣例的な意味と異なる定義は、本明細書における用語または語句の一貫性のある使用で示唆されないものとする。ある用語または語句が特殊な意味、すなわち当業者に理解される意味以外の意味を持つことが意図される限りにおいては、そのような特殊な定義は、その用語または語句の特殊な定義を直接的かつ明確に提供する定義の形で本明細書中で明確に示される。

図１に、通信システム１００の一例示的実施形態を概念的に示す。図の実施形態で、通信システム１００は、エア・インタフェース１１５を介して基地局１１０と通信できる状態にあるサプリカント１０５を含む。例示的なサプリカント１０５には、これらに限定しないが、携帯電話、携帯情報端末、スマート・フォン、テキスト・メッセージング装置、ラップトップ・コンピュータ、デスクトップ・コンピュータ等が含まれる。図１には基地局１１０を示すが、当業者は、任意の他種のアクセス・ポイントを使用してよいことを理解されよう。代替実施形態では、例示的なアクセス・ポイントとしては、基地局ルータ、ＡＳＮ（アクセス・サービス提供ネットワーク）、ＷｉＭＡＸルータ等が挙げられる。サプリカント１０５と基地局１１０は、任意のプロトコルまたはプロトコルの組み合わせに従ってエア・インタフェース１１５を通じて通信することができる。例えば、サプリカント１０５と基地局１１０は、エア・インタフェース１１５を通じて、ＵＭＴＳ（Ｕｎｉｖｅｒｓａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｙｓｔｅｍ）プロトコル、ＧＳＭ（Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ ｃｏｍｍｕｎｉｃａｔｉｏｎ）プロトコル、ＣＤＭＡ、ＣＤＭＡ２０００（符号分割多重接続）プロトコル、ＩＥＥＥ８０２．１１プロトコル、ＩＥＥＥ８０２．１６プロトコル、Ｂｌｕｅｔｏｏｔｈプロトコル等に従って通信することができる。したがって、本明細書では本発明に関連する通信プロトコルの態様のみを取り上げる。

基地局１１０は、ＡＳＮ（アクセス・サービス提供ネットワーク）１２５内に実施されることが可能な認証機器１２０と通信的に結合されている。図の実施形態では、アクセス・サービス提供ネットワーク１２５は、基地局１３０も含む。ただし、本開示の利益を有する当業者は、アクセス・サービス提供ネットワーク１２５は、任意数の基地局を含んでよいことを理解されよう。図１には、アクセス・サービス提供ネットワーク１２５内の機能要素として認証機器１２０と基地局１１０、１３０を図示するが、当業者は、アクセス・サービス提供ネットワーク１２５、認証機器１２０、および／または基地局１１０、１３０は、いくつの物理的装置に実施してもよいことも理解されよう。

認証機器１２０は、コネクティビティ・サービス提供ネットワーク１４０内に実施された認証サーバ１３５に通信的に結合されている。図の実施形態では、認証サーバ１３５と認証機器１２０間にセキュリティ・アソシエーションが存在して両者間の通信を保護する。このセキュリティ・アソシエーションは、アクセス・サービス提供ネットワーク１２５とコネクティビティ・サービス提供ネットワーク１４０の間に、これらのネットワークの事業者間の業務上の取り決めに基づいて、確立することができる。アクセス・サービス提供ネットワーク１２５とコネクティビティ・サービス提供ネットワーク１４０は、認証機器１２０と認証サーバ１３５間のセキュリティ・アソシエーションのために、信頼できるドメインの一部とみなされる。

認証サーバ１３５とサプリカント１０５の間に別のセキュリティ・アソシエーションが存在する。このセキュリティ・アソシエーションは、サプリカントの加入に基づいて確立される。サプリカント１０５とコネクティビティ・サービス提供ネットワーク１４０は、サプリカント１０５と認証サーバ１３５間のセキュリティ・アソシエーションのために、別の信頼できるドメインの一部とみなされる。このセキュリティ・アソシエーションは、１つまたは複数のセキュリティ・キーに基づいて確立および／または維持される。例えば、通信システム１００がＩＥＥＥ８０２．１６および／またはＷｉＭＡＸ規格に従って動作する場合、サプリカント１０５と認証サーバ１３５は、マスタ・セッション・キー（または拡張可能マスタ・セッション・キー）に基づいてＡＡＡキーを導出することができる。そして、認証サーバ１３５は、例えばＲＡＤＩＵＳプロトコルおよび／またはＤＩＡＭＥＴＥＲプロトコルを使用してそのＡＡＡキーを認証機器１２０に設定して、サプリカント１０５、認証機器１２０、認証サーバ１３５の間にセキュリティ・アソシエーションを確立することができる。３者間の信頼モデルでは、サプリカント１０５と認証サーバ１３５間のセキュリティ・アソシエーションの有効性の検証に基づいて、サプリカント１０５とアクセス・サービス提供ネットワーク認証機器１２５の間に、セッション限定のセキュリティ・アソシエーションが作成される。このセキュリティ・アソシエーションに固有のセキュリティ・キーなど、このセキュリティ・アソシエーションを定義するパラメータは、認証サーバ１３５と認証機器１２５間の既存のセキュリティ・アソシエーションの保護の下、認証サーバ１３５から認証機器１２５に配布される。

図の実施形態では、認証機器１２０とサプリカント１０５間に作成されるセキュリティ・アソシエーションは、秘密対称キーの対で表され、キーの対の１つは認証機器１２０内に記憶され、もう１つはサプリカント１０５内に記憶される。例えば、通信システム１００がＩＥＥＥ８０２．１６および／またはＷｉＭＡＸ規格に従って動作する場合、サプリカント１０５と認証機器１２０はそれぞれ、ＡＡＡキーを使用してペアワイズ・マスタ・キー（ＰＭＫ）のコピーを生成する。そして、そのペアワイズ・マスタ・キーのコピーは、それぞれサプリカント１０５と認証機器１２０によって記憶することができる。

秘密対称キーの対は、サプリカント１０５、認証機器１２０、認証サーバ１３５間のセキュリティ・アソシエーションを確立するために使用されたセキュリティ・キーの値を使用して更新または変更することができる。例えば、通信システム１００がＩＥＥＥ８０２．１６および／またはＷｉＭＡＸ規格に従って動作する場合、サプリカント１０５と認証機器１２０はそれぞれ、ＡＡＡキーの現在の値を使用してペアワイズ・マスタ・キー（ＰＭＫ）の値を変更することができる。したがって、サプリカント１０５とアクセス・サービス提供ネットワーク１２５間のセキュリティ・アソシエーションは、コネクティビティ・サービス提供ネットワーク１４０の認証サーバ１３５にアクセスせずに更新することができる。

通信システム１００は、１つまたは複数の信頼性の低いドメインも含む場合がある。図の実施形態では、アクセス・サービス提供ネットワーク１４５とコネクティビティ・サービス提供ネットワーク１５０は、信頼性の低いドメインにある。アクセス・サービス提供ネットワーク１４５は、１つまたは複数の基地局１５５と認証機器１６０を含むことができ、コネクティビティ・サービス提供ネットワーク１５０は、独自の認証サーバ１６５を含むことができる。アクセス・サービス提供ネットワーク１４５とコネクティビティ・サービス提供ネットワーク１５０は、サプリカント１０５、認証機器１６０、および認証サーバ１６５間に事前のセキュリティ・アソシエーションがないため、信頼性の低いドメインにあるとみなされる。同様に、サプリカント１０５と認証機器１６０の間には、秘密対称キーの対で表されるセキュリティ・アソシエーションのようなセキュリティ・アソシエーションが存在しない。一実施形態では、秘密対称キーの対は、サプリカント１０５が信頼性の低いドメインの基地局１５５にハンドオフする（点線１７０で示す）前に、上記のように更新または変更することができる。その結果、信頼性の低い基地局１５５は、新しく更新された秘密対称キーから導出されたキーを受け取り、セキュリティ・キーの以前の値は、新しいキーの暗号解析には使用することができない。

図２は、既存のセキュリティ・キーに基づいて秘密対称キーを変更する方法２００の一例示的実施形態を概念的に示す。図の実施形態では、サプリカント２０５と認証機器２１０の間に秘密対称キーで表されるセキュリティ・アソシエーションが存在する。サプリカント２０５と認証機器２１０は、Ｂｅｌｌａｒｅ−Ｒｏｇａｗａｙの３ステップ・プロトコルの一種などのネゴシエーション・プロトコルを使用してこの秘密対称キーを生成する。認証機器２１０とサプリカント２０５間のキー管理ネゴシエーションを使用してサプリカント２０５と認証機器２１０に秘密対称キーを結び付け、それにより両者が秘密対称キーを所有することを確実にすることができる。

図の実施形態のサプリカント２０５と認証機器２１０は、ＩＥＥＥ８０２．１６および／またはＷｉＭＡＸ規格に従って動作する。ただし、本開示の利益を有する当業者は、本発明はこれらの規格に制限されず、代替実施形態ではどの規格を使用してもよいことを理解されよう。したがって、３者間のＥＡＰアクセス認証プロトコルが正常に完了した後、方法２００を開始する前に、コネクティビティ・サービス提供ネットワーク内のホームＡＡＡサーバなどの認証サーバが、ＡＡＡキー／ＭＳＫを認証機器２１０に送達する。認証サーバは、サプリカント２０５がＡＡＡキー／ＭＳＫを導出するために使用することができる情報も提供する。そしてサプリカント２０５と認証機器２１０は、下記のように、ＡＡＡキーからペアワイズ・マスタ・キー（ＰＭＫ）などの秘密対称キーのコピーを生成することができる。

図の実施形態では、方法２００は認証機器２１０によって開始され、認証機器２１０は、乱数Ｒ_Ａなどのチャレンジを生成する（工程２１５）。あるいは、認証機器２１０は、サプリカント２０５および／または認証機器２１０によって生成されたノンス（ｎｏｎｃｅ：使い捨て乱数データ、ワンタイムパスワード）を含むチャレンジを生成してもよい。本発明では、ノンスは、例えば１回の認証動作などに、一度のみ使用される１つの情報と定義される。認証機器２１０は、矢印２２０で示すようにそのチャレンジをサプリカント２０５に送信する。一実施形態では、このランダム・チャレンジはＩＥＥＥ８０２．１６ ＰＫＭｖ．２プロトコルを介して送信される。ランダム・チャレンジＲ_Ａを受け取ると、サプリカント２０５は、第１のレスポンスを生成し、このレスポンスはチャレンジＣ_Ｍとも呼ばれる。チャレンジＣ_Ｍは、乱数またはカウンタの形態をとることができる。あるいは、サプリカント２０５は、サプリカント２０５および／または認証機器２１０によって生成された１つまたは複数のノンスを含むチャレンジを生成してもよい。例えば、サプリカント２０５は、Ｒ_Ａと自身のノンスの両方を含んだ第１のレスポンスを生成することができ、このレスポンスは、乱数またはカウンタの形態をとることができる。図の実施形態では、サプリカント２０５は、ローカル・アクセス・カウンタを維持し、ランダム・チャレンジに応じてカウンタＣ_Ｍを増分する（工程２２５）。サプリカント２０５は、認証機器から受け取ったチャレンジＲ_Ａへのレスポンスを表すメッセージ認証コード（ＭＡＣ_０）と、サプリカントによってローカルに維持されているチャレンジＣ_Ｍを生成する（工程２３０）。このメッセージ認証コードＭＡＣ_０は、ハッシュ関数を使用して計算される。

ＭＡＣ_０＝Ｈ（ＡＡＡ−Ｋｅｙ‖ＴＡＧ_０‖Ｒ_Ａ‖Ｃ_Ｍ）

この式で、Ｈ（）は、一般に認められたメッセージ認証コード・プロパティを有するハッシュ関数を表す。このような関数の例は、ＭＤ５、ＳＨＡ−１、ＨＭＡＣ、ＥＨＭＡＣ等である。記号「‖」は、連結を意味する。値「ＴＡＧ_０」は、このハッシュ関数のＭＡＣ_０を生成するプロセスを識別するタグである。各種の代替実施形態で、タグは、任意の数および／または文字列を表す任意数のビットを含むことができる。サプリカント２０５は、矢印２３５で示すようにチャレンジ・レスポンス・メッセージを認証機器２１０に送信する。図の実施形態では、チャレンジ・レスポンス・メッセージは、Ｃ_ＭとＭＡＣ_０を含んでいる。

認証機器２１０は、ＭＡＣ_０を使用してチャレンジ・レスポンスの有効性を検証する（工程２４０）。認証機器２１０がチャレンジ・レスポンスが有効であると判定した場合、認証機器２１０は、ハッシュ関数とＡＡＡキーに基づいてメッセージ認証コード（ＭＡＣ_１）を生成する（工程２４５）。

ＭＡＣ_１＝Ｈ（ＡＡＡ−Ｋｅｙ‖Ｔａｇ_１‖Ｒ_Ａ‖Ｃ_Ｍ）

値「Ｔａｇ_１」で示される別のタグを使用して、メッセージ認証コード（ＭＡＣ_１）を生成する（工程２４５）。各種の代替実施形態で、タグは、任意の数および／または文字列を表す任意数のビットを含むことができる。認証機器２１０は、ハッシュ関数およびＡＡＡキーに基づいて秘密対称キーの新しい値も計算する（工程２５０）。

ＰＭＫ＝Ｈ（ＡＡＡ−Ｋｅｙ‖Ｔａｇ_２‖Ｒ_Ａ‖Ｃ_Ｍ）

値「Ｔａｇ_２」は、ハッシュ関数のＰＭＫを生成するプロセスを識別するタグである。各種の代替実施形態で、タグは、任意の数および／または文字列を表す任意数のビットを含むことができる。認証機器２１０は、矢印２５５で示すように、検証のためにサプリカント２０５にＭＡＣ_１を送信する。

サプリカント２０５は、ＭＡＣ_１の有効性を検証し（工程２６０）、上記の式を使用して秘密対称キーの新しい値を計算する（工程２６５）。サプリカント２０５と認証機器２１０は、ＭＡＣ_１が有効であることが確認されると、相互に認証される（工程２６０）。一実施形態では、認証キー（ＡＫ）などの追加のキーをサプリカント２０５および認証機器２１０の両方によって生成することができる。プロトコルが破損せずに受信された場合、双方は、互いと一致する秘密対称キーを持っていることを暗号法的な確実性で知る。逆に、プロトコルがいずれか一方の方向で破損した場合、対応する側はそのことを検出し、そのトランザクションを中止する。

方法２００の実施形態は、加入者のホーム・ネットワークの認証サーバにアクセスせずに、サプリカント２０５と認証機器２１０間のセキュリティ・アソシエーションを周期的に更新することを可能にする。例えば、このプロトコルは、ＡＡＡキーを更新するためにＡＡＡサーバに再接触せずに要求時にＰＭＫを更新することを可能にする。その結果、本発明の実施形態を使用した秘密対称キーの変更は、上述の従来の３者間、４段階の認証手順に比べて、消費する時間量およびその他のシステム資源が比較的少ない可能性がある。したがって、秘密対称キーをより頻繁に更新して、通信システムに伴うセキュリティ上の危険性を軽減する可能性がある。

本発明は、本明細書の教示の利益を有する当業者に明らかな、異なるけれども同等の方式で変更および実施することが可能であるので、上記に開示される特定の実施形態は例示に過ぎない。さらに、添付の特許請求の範囲に記載される以外、本明細書に示される構成や設計の詳細は限定されるものではない。したがって、上記に開示される特定の実施形態には変更や修正を加えてよく、そのような変形形態はすべて本発明の範囲および趣旨内にあるものとみなされることが明白である。そのため、本明細書で求められる保護が添付の特許請求の範囲に述べられる。

本発明による通信システムの一例示的実施形態を概念的に示す図である。 本発明による、既存のセキュリティ・キーに基づいて秘密対称キーを変更する方法の一例示的実施形態を概念的に示す図である。

Claims (10)

1. 第１のキーに基づいて確立されたセキュリティ・アソシエーションを有するサプリカント、認証機器、および認証サーバを伴う通信の方法であって、前記サプリカントと前記認証機器は第２のキーに基づいて確立されたセキュリティ・アソシエーションを有し、前記方法は前記認証機器で実行され、前記方法は、
   空気インタフェースを介して前記サプリカントへ第１のチャレンジを送信したことに応動して、空気インタフェースを介して前記サプリカントからチャレンジ・レスポンスを受信する工程を含み、前記チャレンジ・レスポンスは、前記サプリカントによって生成された第２のチャレンジと、前記第１のキーと前記第１のチャレンジと前記第２のチャレンジとを用いて決定された第１のメッセージ認証コードとを含み、さらに、
   前記サプリカントからのチャレンジ・レスポンスが有効であるときには、前記第１のキーと前記第１のチャレンジと前記第２のチャレンジとを使用して、前記第２のキーを変更する工程を含むことを特徴とするとする方法。
2. 前記第１のチャレンジの送信は、前記認証機器によって生成された乱数を提供することを含み、前記第２のチャレンジは、前記サプリカントによって生成された乱数、カウンタ、およびノンスの少なくとも１つを含み、前記ノンスは乱数およびカウンタの少なくとも１つを含むことを特徴とする請求項１に記載の方法。
3. 前記第１のキーと前記第１のチャレンジと前記第２のチャレンジとを用いて第２のメッセージ認証コードを生成する工程をさらに含むことを特徴とする請求項１に記載の方法。
4. 前記第２のキーを変更する工程は、前記第１のキーと前記第１のチャレンジと前記第２のチャレンジとのハッシュ関数を用いて前記第２のキーを決定する工程を含むことを特徴とする請求項１に記載の方法。
5. 変更された前記第２のキーに基づいて、少なくとも１つの第３のキーを決定する工程を含むことを特徴とする請求項１に記載の方法。
6. 第１のキーに基づいて確立されたセキュリティ・アソシエーションを有するサプリカント、認証機器、および認証サーバを伴う通信の方法であって、前記サプリカントと前記認証機器は、第２のキーに基づいて確立されたセキュリティ・アソシエーションを有し、前記方法は前記サプリカントにおいて実行され、前記方法は、
   空気インタフェースを介して前記認証機器からの第１のチャレンジを受信したことに応動して、空気インタフェースを介して前記認証機器へチャレンジ・レスポンスを送信する工程を含み、前記チャレンジ・レスポンスは、前記サプリカントによって生成された第２のチャレンジと、前記第１のキーと前記第１のチャレンジと前記第２のチャレンジとを用いて決定された第１のメッセージ認証コードとを含み、さらに、
   空気インタフェースを介して前記認証機器から第２のメッセージ認証コードを受信する工程と、
   前記サプリカントからのチャレンジ・レスポンスが有効であるときには、前記第１のキーと前記第１のチャレンジと前記第２のチャレンジとを使用して前記第２のキーを変更する工程を含むことを特徴とする方法。
7. 前記第１のチャレンジの受信は、前記認証機器によって生成された乱数を受信することを含み、前記第２のチャレンジは、前記サプリカントによって生成された乱数、カウンタ、およびノンスの少なくとも１つを含み、前記ノンスは乱数およびカウンタの少なくとも１つを含むことを特徴とする請求項６に記載の方法。
8. 前記第２のメッセージ認証コードを受信する工程は、前記第１のキーと前記第１のチャレンジと前記第２のチャレンジとを用いて前記認証機器によって生成された第２のメッセージ認証コードを受信する工程を含むことを特徴とする請求項６に記載の方法。
9. 前記第２のキーを変更する工程は、前記第１のキーと前記第１のチャレンジと前記第２のチャレンジとのハッシュ関数を用いて前記第２のキーを決定する工程を含むことを特徴とする請求項６に記載の方法
10. 変更された前記第２のキーに基づいて、少なくとも１つの第３のキーを決定する工程を含むことを特徴とする請求項６に記載の方法。

Images