JP4865805B2 - 異なる認証証明書をサポートするための方法および機器 - Google Patents

Description

背景

本願は、この譲受人に譲渡され、参照によりここに組み込まれた、２００５年１２月１日に出願され、「各サービスが異なるリンク認証証明書を必要とするときにＡＴ上におけるＩＭＳ接続性およびＴＤへの汎用インターネット接続性をサポートするための方法」と題された米国仮出願第６０／７４２，１３０号の優先権を主張する。

［Ｉ．技術分野］
本明細書は、一般的には、データ通信に関し、より詳細には、データサービスをサポートするための技術に関する。

［背景技術］
ワイヤレス通信ネットワークは、様々なデータサービスをアクセス端末に提供するために、広範囲に配備されている。データサービスは、ネットワークによって提供されるものであればどのようなサービスであってもよく、データを交換することを含む。そのようなデータサービスの例には、音声、ビデオ、汎用インターネット接続性、マルチメディアストリーミングおよびブロードキャストサービス、ショートメッセージサービス（ＳＭＳ）およびテキストメッセージサービス、地理的位置に基づいたサービス、などが含まれる。多種多様なデータサービスおよびそれらの能力は、急速に成長し続けており、これらのデータサービスを有効に利用するために、新しい用途が、絶えず開発されている。

アクセス端末は、データサービス、例えば、ボイスオーバーアイピー(Voice-over-IP)（ＶｏＩＰ）のようなインターネットプロトコル（ＩＰ）に基づいたサービス、を得るために、ワイヤレスネットワーク(wireless network)と通信することができる。アクセス端末は、例えば、汎用インターネットサービスのような別のデータサービスを得るために、端末装置に結合され、その端末装置によって使用されてもよい。それらの２つのデータサービスは、異なるネットワークを介して得られてもよく、また、異なる証明書(credentials)を使用してもよい。証明書は、与えられたユーザ／装置を確認する(verify)／認証(authenticate)するために使用される情報である。証明書は、典型的には、識別情報（例えば、ユーザ名）と、その識別情報を確認することのできる秘密情報（例えば、パスワード）とを含む。異なるデータサービスがたとえ異なる証明書を使用したとしても、アクセス端末および端末装置上においてそれらの異なるデータサービスを並行して(concurrently)サポートすることは望ましい。

［概要］
異なる証明書によって並行データサービス(concurrent data services)をサポートするための技術が、ここで説明される。異なる証明書は、新しい証明書が適用できるときにはいつでも、ユーザ／装置をワイヤレス通信ネットワークに認証させることによって、サポートされてもよい。新しい証明書による認証は、様々な認証プロトコルに対して様々な形で、トリガおよび実行されてもよい。

一態様においては、アクセス端末は、第１の証明書(credential)をポイントツーポイントプロトコル(Point-to-Point Protocol)（ＰＰＰ）リンクを介してパケットデータサービングノード(Packet Data Serving Node)（ＰＤＳＮ）へ送信し、そして、第１の証明書に基づいて第１のデータサービスの認証に合格したこと(successful authentication)の指示(indication)を、そのＰＤＳＮから受信する。アクセス端末は、第２のデータサービスについての要求および第２の証明書を、内部アプリケーションかまたはアクセス端末に結合された端末装置から受信してもよい。そして、アクセス端末は、第１のデータサービスが進行している間に（あるいは、確立され続けているときに）、第２の証明書を、ＰＰＰリンクを介してＰＤＳＮへ送信する。そして、アクセス端末は、第２の証明書に基づいて第２のデータサービスの認証に合格したことの指示をＰＤＳＮから受信する。

アクセス端末は、チャレンジハンドシェイク認証プロトコル(Challenge-Handshake Authentication Protocol)（ＣＨＡＰ）を用いて、ＰＤＳＮによる認証を実行してもよい。この場合には、アクセス端末は、ＰＤＳＮによって第２のデータサービスを認証することをトリガするために、設定要求パケット(Configure-Request packet)を送信してもよい。そして、アクセス端末は、ＣＨＡＰチャレンジパケット(CHAP Challenge packet)をＰＤＳＮから受信してもよく、それに応じて、第２の証明書を備えたＣＨＡＰ応答パケット(CHAP Response packet)をＰＤＳＮへ送信してもよい。あるいは、アクセス端末は、パスワード認証プロトコル(Password Authentication Protocol)（ＰＡＰ）を用いて、ＰＤＳＮによる認証を実行してもよい。この場合には、アクセス端末は、ＰＤＳＮによって第２のデータサービスを認証することを開始するために、第２の証明書を備えたＰＡＰ認証要求パケット(PAP Authenticate-Request packet)を送信してもよい。

第１のデータサービスは、任意のデータサービス、例えばＩＰマルチメディアサブシステム(IP Multimedia Subsystem)（ＩＭＳ）などであってもよく、また、第１のネットワーク、例えばワイヤレスネットワークなどから、アクセス端末によって得られることができる。第２のデータサービスも、また、任意のデータサービス、例えば汎用インターネットサービスなどであってもよく、また、第１のネットワークまたは第２のネットワーク、例えばインターネットサービスプロバイダ（ＩＳＰ）ネットワークなどから、内部アプリケーションまたは端末装置によって得られることができる。第１のネットワーク層プロトコル(first network-layer protocol)、例えばＩＰ バージョン６(IP Version6)（ＩＰｖ６）などは、第１のネットワーク制御プロトコル(first Network Control Protocol)（ＮＣＰ）、例えばＩＰｖ６のためのＩＰ バージョン６ 制御プロトコル(IP Version6 Control Protocol)（ＩＰｖ６ＣＰ）などを用いて、第１のデータサービスのために設定される(configured)ことができる。第２のネットワーク層プロトコル、例えばＩＰ バージョン４（ＩＰｖ４）などは、第２のＮＣＰ、例えばＩＰｖ４のためのインターネットプロトコル制御プロトコル(Internet Protocol Control Protocol)（ＩＰＣＰ）などを用いて、第２のデータサービスのために設定されることができる。

以下に、本開示の様々な態様および特徴が、より詳細に説明される。

［詳細な説明］
ここで説明される技術は、様々なワイヤレス通信ネットワークに使用されてもよい。「ネットワーク」と「システム」という用語は、多くの場合において、互換可能に使用される。例えば、この技術は、符号分割多元接続（ＣＤＭＡ）ネットワーク、時分割多元接続（ＴＤＭＡ）ネットワーク、周波数多元接続（ＦＤＭＡ）ネットワーク、直交ＦＤＭＡ（ＯＦＤＭＡ）ネットワーク、などに使用されてもよい。ＣＤＭＡネットワークは、ｃｄｍａ２０００、広帯域ＣＤＭＡ（Ｗ−ＣＤＭＡ）、などのような無線技術をインプリメントすることができる。ｃｄｍａ２０００は、ＩＳ−２０００規格、ＩＳ−９５規格、および、ＩＳ−８５６規格を対象として含む。ＴＤＭＡネットワークは、グローバルシステムフォーモバイルコミュニケーションズ(Global System for Mobile Communications)（ＧＳＭ）、デジタル先進移動電話サービス(Digital Advanced Mobile Phone System)（Ｄ−ＡＭＰＳ）などのような無線技術をインプリメントすることができる。これらの様々な無線技術および規格は、この分野においては知られている。Ｗ−ＣＤＭＡおよびＧＳＭは、「第３世代パートナーシッププロジェクト(3rd Generation Partnership Project)（３ＧＰＰ）」と名づけられた団体からのドキュメント中に記述されている。ｃｄｍａ２０００は、「第３世代パートナーシッププロジェクト２(3rd Generation Partnership Project 2)（３ＧＰＰ２）」と名づけられた団体からのドキュメント中に記述されている。３ＧＰＰおよび３ＧＰＰ２のドキュメントは、公に入手可能である。

理解しやすいように、以下においては、ｃｄｍａ２０００ファミリの規格をインプリメントするｃｄｍａ２０００ネットワークについての技術が説明される。ｃｄｍａ２０００において、ＩＳ−２０００リリース０およびＡは、一般に、ＣＤＭＡ２０００ １Ｘ（または、ただ単に、１Ｘ）と呼ばれ、ＩＳ−２０００リリースＣは、一般に、ＣＤＭＡ２０００ １ｘＥＶ−ＤＶ（または、ただ単に、１ｘＥＶ−ＤＶ）と呼ばれ、ＩＳ−８５６は、一般に、ＣＤＭＡ２０００ １ｘＥＶ−ＤＯ（または、ただ単に、１ｘＥＶ−ＤＯ）と呼ばれる。

図１は、ワイヤレスネットワーク１００およびＩＳＰネットワーク１０２を備えた配置(deployment)を示す。アクセス端末１２０は、ワイヤレスネットワーク１００および／またはＩＳＰネットワーク１０２によってサポートされるデータサービスを得るために、ワイヤレスネットワーク１００と通信してもよい。アクセス端末１２０は、また、移動局、ユーザ機器、ユーザ端末、加入者ユニット、ステーション、などと呼ばれてもよい。アクセス端末１２０は、携帯電話、携帯情報端末（ＰＤＡ）、データカード、または、ワイヤレスネットワークへのアクセスを提供することのできる何らかのその他の装置であってもよい。

アクセス端末１２０は、有線接続（図１に示されるように）またはワイヤレス接続を介して、端末装置１１０に結合されてもよい。端末装置１１０は、また、端末機器、ＴＥ２装置、などと呼ばれてもよい。端末装置１１０は、ラップトップコンピュータ、ＰＤＡ、または、何らかのその他のコンピューティング装置であってもよい。端末装置１１０は、様々なハードウェア相互接続および／またはソフトウェア相互接続を用いて、アクセス端末１２０と通信することができる。端末装置１１０が、アクセス端末１２０に結合されると、モバイルユーザは、端末装置１１０を介して、様々なデータサービスを得ることができる。これらのデータサービスを得るために、端末装置１１０は、アクセス端末１２０と通信し、そのアクセス端末１２０は、さらに、ワイヤレスネットワーク１００と通信し、そのワイヤレスネットワーク１００は、さらに、その他のネットワーク、例えば、ＩＳＰネットワーク１０２とデータを交換してもよい。また、アクセス端末１２０は、無線通信を提供し、そして、端末装置１１０は、データサービスを得るためのエンドツーエンド通信をサポートする。

ワイヤレスネットワーク１００は、アクセス端末および様々なサービスをサポートするための様々な機能を実行するネットワークエンティティのために無線通信をサポートする無線ネットワーク１３０を含む。無線ネットワーク１３０は、アクセス端末と通信する基地局１３２と、基地局コントローラ／パケット制御機能（Base Station Controller/Packet Control Function）（ＢＳＣ／ＰＣＦ）１３４を含み、そのＢＳＣ／ＰＣＦ１３４は、それの制御下において、基地局のために、調整および制御を提供し、かつ、パケットデータをルーティングする。ＰＤＳＮ１４０は、ワイヤレスネットワーク１００内に存在するアクセス端末のためのデータサービスをサポートする。例えば、ＰＤＳＮ１４０は、アクセス端末のためのＰＰＰセッションの確立、維持、および、終了に責任を有してもよく、さらに、動的なＩＰアドレスをアクセス端末に割り当ててもよい。ＰＤＳＮ１４０は、データネットワーク１５０に結合してもよく、そのデータネットワーク１５０は、インターネット、プライベートデータネットワーク、および／または、公衆データ網から構成されてもよい。ＰＤＳＮ１４０は、ネットワーク１５０を介して、様々なエンティティと通信することができる。

呼セッション制御機能(Call Session Control Function)（ＣＳＣＦ）１４２は、ＶｏＩＰ、マルチメディア、などのようなＩＭＳサービスをサポートするための様々な機能を実行する。ＣＳＣＦ１４２は、要求を受け入れてそれらの要求を内部で処理するかまたはそれらの要求をその他のエンティティに転送し、別のネットワークからの要求をルーティングし、アクセス端末のためのセッション制御サービスを実行し、ＩＭＳサービスなどのためのセッション状態を維持してもよい。認証、許可、および課金処理(Authentication, Authorization, and Accounting)（ＡＡＡ）サーバ１４４は、データサーバへのアクセスを要求するアクセス端末を確認／認証し、要求を許可または拒否し（例えば、サービス加入契約に基づいて）、アクセスを承諾または拒否する応答を提供する。ワイヤレスネットワーク１００および無線ネットワーク１３０は、図１には便宜上示されないその他のネットワークエンティティを含んでもよい。

ＩＳＰネットワーク１０２は、ＩＳＰゲートウェイ１６０およびＡＡＡサーバ１６４を含む。ＩＳＰゲートウェイ１６０は、ＩＳＰサーバ（図１には示されない）にアクセスするための要求を装置から受信してもよく、そして、要求装置とＩＳＰサーバとの間においてデータをルーティングしてもよい。ＰＤＳＮ１４０は、データネットワーク１５０を介して（図１に示されるように）、または、専用回線またはＶＰＮ型コネクションのような専用リンクを介して、または、何らかのその他の手段を介して、ＩＳＰゲートウェイ１６０と通信してもよい。ＡＡＡサーバ１６４は、ＩＳＰネットワーク１０２を使用するための認証および許可を実行する。ＩＳＰネットワーク１０２は、また、図１には便宜上示されない他のネットワークエンティティを含んでもよい。

図２は、図１に示される様々なエンティティにおける例としてのプロトコルスタックを示す。それぞれのエンティティごとのプロトコルスタックは、トランスポート層、ネットワーク層、リンク層、および、物理層を含んでもよい。

端末装置１１０およびアクセス端末１２０は、伝送制御プロトコル(Transmission Control Protocol)（ＴＣＰ）、ユーザデータグラムプロトコル(User Datagram Protocol)（ＵＤＰ）、または、トランスポート層における何らかの他のプロトコルを用いて、遠隔装置またはサーバと通信してもよい。ＴＣＰおよびＵＤＰは、典型的には、ネットワーク層におけるＩＰの上位で動作する。トランスポート層データ（例えば、ＴＣＰおよび／またはＵＤＰの場合）は、ＩＰパケットとしてカプセル化され、そのＩＰパケットは、端末装置１１０およびアクセス端末１２０によって、無線ネットワーク１３０、ＰＤＳＮ１４０、および、場合によっては、ＩＳＰゲートウェイ１６０を介して、遠隔装置／サーバと交換される。

端末装置１１０とアクセス端末１２０との間のリンク層は、イーサネット(登録商標)(Ethernet（登録商標）)、あるいは物理層の上位で動作する何らかのその他のプロトコルであってもよい。アクセス端末１２０と無線ネットワーク１３０との間のリンク層は、典型的には、無線ネットワークによって使用される無線技術によって決まる。ｃｄｍａ２０００の場合、リンク層は、ラジオリンクプロトコル(Radio Link Protocol)（ＲＬＰ）の上位に存在するＰＰＰによって実施される。アクセス端末１２０は、データセッションのために、ＰＤＳＮ１４０とのＰＰＰセッション／リンクを維持し、データ交換のために、ＲＬＰを介して、無線ネットワーク１３０と通信する。ＲＬＰは、エアリンクインタフェース(air-link interface)（例えば、ｃｄｍａ２０００におけるＩＳ−２０００またはＩＳ−８５６）の上位で(on top)動作する。無線ネットワーク１３０は、物理層の上位で動作する技術依存型インタフェース（例えば、ｃｄｍａ２０００における“Ｒ−Ｐ”インタフェース）を介して、ＰＤＳＮ１４０と通信する。ＰＤＳＮ１４０は、リンク層および物理層の上位に存在するＩＰを介して、ＩＳＰゲートウェイ１６０と通信してもよい。アクセス端末１２０は、電源投入時にＩＭＳをワイヤレスネットワーク１００に登録してもよく、それによって、アクセス端末は、利用可能なすべてのＩＭＳサービスに到達することができる。ＩＭＳを登録した後、アクセス端末１２０は、常時、ワイヤレスネットワーク１００とのオープンデータコネクション(open data connection)を維持してもよく、それによって、別の装置が、例えば、ＶｏＩＰ、インスタントメッセージ（ＩＭ）、などのために、アクセス端末に到達することができる。したがって、アクセス端末１２０は、到達できる状態のままであるために、ＩＭＳを登録した後に、オープンデータコネクションを維持してもよく、そして、データサービスに積極的に関与してもよくあるいはしなくてもよい。

図３は、ＩＭＳ登録のためにアクセス端末１２０によって発信されるパケットデータ呼に関する呼の流れ(call flow)３００を示す。アクセス端末１２０は、例えば、アクセス端末１２０の電源投入時に、パケットデータ呼を発信するように依頼する要求を受け取る（ステップａ）。そして、アクセス端末１２０は、無線リンクを確立するために、例えば、トラフィックチャンネルをセットアップするために、無線ネットワーク１３０（図１には示されない）と信号を交換する。

そして、アクセス端末１２０は、ＰＰＰセッション／リンクを確立するために、また、ネットワーク層プロトコルを設定するために、ＰＤＳＮ１４０と信号を交換する。ＰＰＰの確立は、３つの段階(3 phases)、すなわち、リンク確立段階、認証段階、および、ネットワーク層プロトコル段階からなる。この３つの段階は、公に入手可能である「ポイントツーポイントプロトコル(The Point-to-Point Protocol)（ＰＰＰ）」と題された、コメントについてのリクエスト(Request for Comments)（ＲＦＣ）１６６１の中で説明されている。

リンク確立段階は、アクセス端末１２０とＰＤＳＮ１４０との間でデータリンクコネクションを確立し、設定し、かつ、検査するためのリンク制御プロトコル(Link Control Protocol)（ＬＣＰ）を用いて、実行される（ステップｂ）。この段階において、アクセス端末１２０は、１つまたは複数のＬＣＰ設定パケット(LCP Configure packet)をＰＤＳＮ１４０へ送信し、ＬＣＰ設定肯定応答パケット(LCP Configure-Ack packet)をＰＤＳＮから受け取る。同様に、ＰＤＳＮ１４０は、１つまたは複数のＬＣＰ設定パケットをアクセス端末１２０へ送信し、ＬＣＰ設定肯定応答パケットをアクセス端末１２０から受け取る。リンク確立段階は、アクセス端末１２０およびＰＤＳＮ１４０の両方がＬＣＰ設定肯定応答パケットを受信したときに完了する。リンク確立段階は、認証段階で使用するための特定の認証プロトコルを識別してもよい。

認証段階は、ＰＰＰに対しては随意的なものであり、リンク確立段階が完了した後に実行されてもよい（ステップｃ）。この段階は、ＣＨＡＰ、ＰＡＰ、または、何らかのその他の認証プロトコルを用いて、アクセス端末１２０を認証してもよい。図３に示されるＣＨＡＰの場合、ＰＤＳＮ１４０は、ＰＤＳＮ１４０によって生成されたチャレンジ乱数値を含むＣＨＡＰチャレンジパケットをアクセス端末１２０へ送信する（ステップｃ１）。そして、アクセス端末１２０は、ＩＭＳ証明書、ＣＨＡＰチャレンジパケットから得られたチャレンジ値に基づいて生成されたチャレンジ応答値、および、共有鍵／パスワードを含むＣＨＡＰ応答パケットを返送する（ステップｃ２）。ＩＭＳ証明書は、アクセス端末１２０を認証しかつアクセス端末１２０がＩＭＳを許可されるかどうかを決定するのに使用されるべき識別子およびパスワードを備えてもよい。同様に、ＰＤＳＮ１４０は、チャレンジ応答値を計算してもよい。計算されたチャレンジ応答値は、受信されたチャレンジ応答値と比較され、計算された値と受信された値とが等しければ、アクセス端末１２０は、認証される。そして、ＰＤＳＮ１４０は、ＣＨＡＰ合格パケット(CHAP Success packet)を返送する（ステップｃ３）。等しくなければ、ＰＤＳＮ１４０は、ＣＨＡＰ不合格パケット(CHAP Failure packet)を返送する（図３には示されない）。ＰＤＳＮ１４０は、データセッション中にいつでもＣＨＡＰチャレンジパケットを送信してよい。ＣＨＡＰは、公に入手可能である「ＰＰＰチャレンジハンドシェイク認証プロトコル(PPP Authentication Protocols)（ＣＨＡＰ）」題されたＲＦＣ１９９４の中に説明されている。

図３には示されないＰＡＰの場合、アクセス端末１２０は、それのＩＭＳ証明書をＰＡＰ認証要求パケットとしてＰＤＳＮ１４０へ送信する。そして、ＰＤＳＮ１４０は、ＩＭＳ証明書に基づいて、認証を実行してもよく、認証に合格したこと（または、不合格であること）を指示するためのＰＡＰ認証肯定応答（または、否定応答）パケットを返送する。アクセス端末１２０は、認証が承認されるまで、繰り返し、「生文で(in the clear)」ＩＭＳ証明書を送信してもよい。アクセス端末１２０は、ＰＡＰ認証要求パケットをいつどのくらいの頻度でＰＤＳＮ１４０へ送信するかを決定してもよい。ＰＡＰは、公に入手可能である「ＰＰＰ認証プロトコル(PPP Authentication Protocols)」題されたＲＦＣ１３３４の中で説明されている。

ＰＤＳＮ１４０は、認証段階中に、ＡＡＡサーバ１４４に接続し、証明書を有効にするために、ＡＡＡサーバ１４４と信号を交換してもよい（同様に、ステップｃ）。ＰＤＳＮ１４０は、どのＡＡＡサーバを使用すべきかを識別するために、ユーザ名および／またはネットワークアクセス識別子（ＮＡＩ）を使用してもよく、この例においては、それは、ＡＡＡサーバ１４４である。そして、ＰＤＳＮ１４０は、情報（例えば、チャレンジおよび応答）をＡＡＡサーバ１４４に転送し、そして、そのＡＡＡサーバ１４４が、証明書を認証してもよい。一般的には、ＰＰＰレベルにおける認証段階が、リンク／装置を認証するのに対して、より高い層は、具体的なデータサービスを認証する。しかしながら、以下で説明されるように、ＰＰＰレベルが、同様に、より高い層の認証を助けるのに使用されてもよい。いずれにしても、ＩＭＳの許可は、ステップｃ２においてアクセス端末１２０によって送信されたＩＭＳ証明書に基づくものであってもよい。

ネットワーク層プロトコル段階が、認証段階が完了した後に実行され、ネットワーク制御プロトコル(Network Control Protocol)（ＮＣＰ）を使用する（ステップｄ）。この段階は、ＩＰ バージョン４（ＩＰｖ４）、ＩＰ バージョン６（ＩＰｖ６）、インターネットパケットエクスチェンジプロトコル(Internet Packet eXchange protocol)（ＩＰＸ）、ＡｐｐｌｅＴａｌｋ、などのような様々なネットワーク層プロトコルの中のいずれか１つを確立および設定してもよい。ＮＣＰのファミリが、ＰＰＰ内に存在し、それぞれのＮＣＰは、異なるネットワーク層プロトコル（例えば、上で定義されたようなプロトコル）を設定するように定義される。例えば、ＩＰｖ４は、インターネットプロトコル制御プロトコル（ＩＰＣＰ）によって設定されてもよく、そのＩＰＣＰは、「ＰＰＰ インターネットプロトコル制御プロトコル(The PPP Internet Protocol Control Protocol)（ＩＰＣＰ）」題されたＲＦＣ１３３２の中で説明されている。ＩＰｖ６は、ＩＰ バージョン６ 制御プロトコル（ＩＰｖ６ＣＰ）によって設定されてもよく、そのＩＰｖ６ＣＰは、「ＩＰ バージョン６ オーバ ＰＰＰ(IP Version 6 over PPP)」と題されたＲＦＣ２４７２の中で説明されている。これらのＲＦＣドキュメントは、公に入手可能である。ネットワーク層プロトコル段階は、選択されたネットワーク層プロトコルに使用するための関連パラメータを設定する。図３に示される例においては、ＩＭＳは、ＩＰｖ６を使用するので、この段階は、ＩＰｖ６ＣＰを用いて、ＩＰｖ６パラメータを設定する。

ネットワーク層プロトコル段階が完了した後、アクセス端末１２０は、ＰＤＳＮ１４０とのＰＰＰセッション／リンクを有する。ＰＰＰセッションは、アクセス端末１２０かまたはＰＤＳＮ１４０によって終了されるまで、どのような期間にわたってオープンされてもよい。アクセス端末１２０は、ＩＭＳをセットアップするために、ＩＭＳ信号をＣＳＣＦ１４２と交換してもよい（図３には示されない）。その後、アクセス端末１２０は、ＩＭＳのために、ＰＤＳＮ１４０を介して、ＩＰｖ６パケットをＣＳＣＦ１４２と交換してもよい（ステップｅ）。

図３は、アクセス端末１２０がＰＤＳＮ１４０を介してＩＭＳサービスを得てもよい簡単な場合を示す。上の説明においては、アクセス端末１２０は、アクセス端末１２０において実行されているアプリケーションのためにさらには端末装置１１０において実行されているアプリケーションのためにデータ接続性を得るために使用されてもよい。アクセス端末１２０がアクティブＩＭＳアプリケーションを有しかつ端末装置１１０がデータ接続性を望んでいるアプリケーションを有する状況が存在してもよい。例えば、アクセス端末１２０は、ワイヤレスネットワーク１００によるＶｏＩＰ呼を有してもよく、端末装置１１０は、ＩＳＰネットワーク１０２からの汎用インターネットサービスを所望してもよい。別の例として、アクセス端末１２０は、上述したように、ＩＭＳへのオープンデータコネクションを有してもよい。ユーザが、何らかのデータサービスにアクセス端末１２０を介して積極的に関与していなければ、そのユーザは、このオープンデータコネクションに気づいていないかもしれず、そして、汎用インターネット接続性を端末装置１１０を介して得たいかもしれない。

上記の例においては、汎用インターネット接続性は、ワイヤレスネットワーク事業者の代わりに、第三者によって提供されてもよく、そして、ワイヤレスネットワーク事業者によって使用される証明書とは異なる証明書を使用してもよい。例えば、ＩＳＰネットワーク１０２は、ＩＳＰネットワークに対して端末装置１１０自身をＩＳＰ証明書を用いて証明するように端末装置１１０に要求してもよく、そのＩＳＰ証明書は、端末装置１１０において用意されてもよく、ＩＳＰネットワーク１０２に適用できるものである。アクセス端末１２０は、ワイヤレスネットワーク１００に適用できるかもしれないＩＭＳ証明書を供給されてもよい。アクセス端末１２０においてＩＭＳアプリケーションに使用される証明書は、ワイヤレスネットワーク１００の事業者に帰属するものであってもよく、そして、端末装置１１０においてインターネットサービスに使用されるＩＳＰ証明書は、ＩＳＰに帰属するものであってもよい。

ｃｄｍａ２０００において、アクセス証明書は、典型的には、例えば、図３に示されるようなＰＰＰ確立の認証段階中に提供される。ＰＰＰは、例えば、ＩＭＳサービスおよび第三者ＩＳＰインターネットサービスのための複数の証明書を発行するためのメカニズムを提供しない。さらにまた、複数の証明書は、様々な時刻に、および／または、様々な装置によって、発行されてもよい。例えば、ＩＭＳ証明書は、アクセス端末１２０に記憶されてもよく、また、電源投入時に提供されてもよい。ＩＳＰ証明書は、端末装置１１０またはアクセス端末１２０に記憶されてもよく、あるいは、端末装置１１０またはアクセス端末１２０を介して、ユーザによって提供されてもよい。ＩＳＰ証明書は、インターネットセッションがアクセス端末１２０上のアプリケーションによってかまたはアクセス端末１２０に結合されかつサービスを要求する端末装置１１０によって開始されたときに、使用されてもよい。この要求は、ＩＭＳアプリケーションがアクセス端末１２０において実行された後のある時点に発生してもよい。

一態様においては、新しい証明書が有効になればいつでも、例えば、ＩＭＳセッションが確立された後に汎用インターネットサービスが所望されるとき、ワイヤレスネットワーク１００にユーザ／装置を認証させることによって、異なるデータサービスのための異なる証明書が、サポートされてもよい。新しい証明書による認証は、異なる認証プロトコルに対応する異なる形でトリガされかつ実行されてもよい。一般的には、新しい証明書による認証は、データセッション中の任意の時刻に実行することのできるどのような認証プロトコルによって実行されてもよい。

図４は、ＣＨＡＰを用いて異なる証明書をサポートするための呼の流れ４００を示す。アクセス端末１２０は、ＩＭＳサービスを得るためのパケットデータ呼を発信するように依頼する要求を受け取り（ステップａ）、無線リンクを確立するために、無線ネットワーク１３０と信号を交換する。そして、アクセス端末１２０は、データリンクコネクションを確立、設定、および、検査するために、ＰＤＳＮ１４０とＬＣＰパケットを交換する（ステップｂ）。アクセス端末１２０は、ＣＨＡＰを用いて、ＰＤＳＮ１４０によって認証され、アクセス端末１２０によって提供されたＩＭＳ証明書に基づいて、要求されたＩＭＳサービスをＡＡＡサーバ１４４によって許可される（ステップｃ）。そして、アクセス端末１２０は、ＩＭＳのためのＩＰｖ６を設定するために、ＰＤＳＮ１４０とＩＰｖ６ＣＰパケットを交換する（ステップｄ）。また、アクセス端末１２０は、ＩＭＳをセットアップするために、ＣＳＣＦ１４２とＩＭＳ信号を交換し、その後に、ＰＤＳＮ１４０およびＣＳＣＦ１４２を介して、ＩＭＳサービスを得る（ステップｅ）。

その後に、端末装置１１０が、アクセス端末１２０に取り付けられ、例えば、ユーザから、または、端末装置１１０において実行されているアプリケーションから、インターネットサービスを得るための要求を受け取る（ステップｆ）。そして、端末装置１１０は、インターネットサービスのためのＩＰｖ４を確立するために、コネクション要求をアクセス端末１２０へ送信する（ステップｇ）。このコネクション要求は、認証情報（例えば、インターネットサービスを認証するのに使用するためのＩＳＰ証明書）、コネクション情報（例えば、ＮＡＩ、身元またはアドレス、ＩＳＰネットワーク１０２）、などを含んでもよい。コネクション要求は、ＩＰｖ４を確立するためにアクセス端末１２０がＩＰＣＰ設定要求パケット(IPCP Configure-Request packet)を送信することをトリガし、そのＩＰｖ４は、端末装置１１０へのインターネットサービスに使用される（ステップｈ）。図４には示されないが、コネクション要求は、また、アクセス端末１２０において実行されているアプリケーションによって、または、アクセス端末１２０を介してユーザによって、送信されてもよい。

ＩＳＰ証明書は、この例においては汎用インターネット接続性である要求データサービスを使用するのをユーザが許されていることを確認するのに使用される。ＩＳＰ証明書は、ユーザに帰属する。アクセス端末１２０は、（ａ）端末装置１１０からＩＳＰ証明書を取り出してそれらのＩＳＰ証明書をワイヤレスネットワーク１００に転送することによって、ゲートウェイとして動作し、また、（ｂ）ＩＳＰ証明書を中継するための別のプロトコルを使用することによって、プロキシとして動作する。

ＩＰＣＰ設定要求パケットは、ＰＤＳＮ１４０がアクセス端末１２０を再ＣＨＡＰすることをトリガする（ステップｉ）。再ＣＨＡＰは、典型的には、ＣＨＡＰによってユーザ／装置を再認証するのに使用される。この場合においては、再ＣＨＡＰは、異なる証明書によって別のデータサービスを認証するのに使用される。この再ＣＨＡＰの場合、ＰＤＳＮ１４０は、チャレンジ値を含むＣＨＡＰチャレンジパケットをアクセス端末１２０へ送信する（ステップｉ１）。アクセス端末１２０は、ＩＳＰ証明書およびチャレンジ応答値を含むＣＨＡＰ応答パケットを返送する（ステップｉ２）。ＩＳＰ証明書は、ユーザ名／ＮＡＩまたはどのネットワーク／ドメインが認証を実行するかを指示する何らかのその他の情報を含んでもよい。ＰＤＳＮ１４０は、ＩＳＰ証明書は別のデータサービスのためのものであることを認識してもよく、また、ユーザ名／ＮＡＩまたは何らかのその他の情報に基づいて、適切なＡＡＡサーバ（これは、この例においては、ＡＡＡサーバ１６４である）を識別してもよい。そして、ＰＤＳＮ１４０は、受信したチャレンジ応答値および計算したチャレンジ応答値をＡＡＡサーバ１６４に転送し、そのＡＡＡサーバは、２つの値を比較し、２つの値が等しければ、認証に合格したことの指示を返送する。そして、ＰＤＳＮ１４０は、ＣＨＡＰ合格パケットをアクセス端末１２０に返送する（ステップｉ３）。

このように、ＰＤＳＮ１４０は、端末装置１１０によって提供されかつアクセス端末１２０によって転送されたＩＳＰ証明書に基づいて、要求されたインターネットサービスを認証および許可するために、ＡＡＡサーバ１６４と信号を交換してもよい（同様に、ステップｉ）。ＰＤＳＮ１４０は、図４に示されるように、例えば、端末装置１１０によって提供されたコネクション情報またはＰＤＳＮ１４０において利用できるコネクション情報を用いて、ＡＡＡサーバ１６４と直接に通信してもよい。ＰＤＳＮ１４０は、また、ワイヤレスネットワーク１００内に存在するＡＡＡサーバ１４４と通信してもよく、そして、ＡＡＡサーバ１４４は、ＡＡＡサーバ１６４と通信してもよく、あるいは、ＡＡＡサーバ１６４の代理となるプロキシの役割をなしてもよい（図４には示されない）。認証段階が完了した後、アクセス端末１２０は、端末装置１１０へのインターネットサービスのためのＩＰｖ４を設定するために、ＰＤＳＮ１４０とＩＰＣＰパケットを交換する（ステップｊ）。また、ステップｉにおけるＮＡＩおよび認証合格は、要求されたインターネットサービスをＰＤＳＮ１４０が「アクティブ」にすることをトリガし、例えば、ＰＤＳＮ１４０は、ＩＳＰゲートウェイ１６０へのチャンネルをセットアップしてもよい（同様に、ステップｊ）。

ステップｇは、インターネットサービスをＩＳＰネットワーク１０２から得るのに使用されるＩＳＰ証明書を端末装置１１０およびアクセス端末１２０に送出させる。図４に示される例においては、ＩＳＰ証明書は、ステップｉにおける再ＣＨＡＰ動作中に使用されるが、ＩＭＳ証明書は、ステップｃにおける最初のＣＨＡＰ動作中に使用される。ＰＤＳＮ１４０は、ＩＳＰ証明書を用いて、ＩＳＰゲートウェイ１６０によってインターネットサービスを確立してもよい（ステップｊ）。一般的に、２つのデータサービスは、どのような種類のデータサービスであってもよく、そして、どのような証明書が、これらのデータサービスに使用されてもよい。

インターネットサービスのためのＩＰｖ４の設定が完了した後、アクセス端末１２０は、端末装置１１０がＩＳＰネットワーク１０２に接続されたことをその端末装置１１０に通知する（ステップｋ）。この時点において、端末装置１１０は、ＩＳＰネットワーク１０２によるＩＰｖ４インターネットサービスを有し、アクセス端末１２０は、ワイヤレスネットワーク１００によるそれと並行するＩＭＳ（ＩＰｖ６）サービスを有する（ステップｌ）。アクセス端末１２０は、アクセス端末１２０へのＩＭＳサービスおよび端末装置１１０へのインターネットサービスの両方のために、ＰＤＳＮ１４０とパケットを交換してもよい。ＩＭＳサービスの場合、アクセス端末１２０は、ＰＤＳＮ１４０を介して、ＣＳＣＦ１４２とパケットを交換してもよい。インターネットサービスの場合、端末装置１１０は、アクセス端末１２０およびＰＤＳＮ１４０を介して、ＩＳＰゲートウェイ１６０とパケットを交換してもよい。

その後に、端末装置１１０は、インターネットサービスを終了するために、切断要求を送信する（ステップｍ）。この切断要求は、ＩＰＣＰを終了するためにアクセス端末１２０がＩＰＣＰ設定要求パケットをＰＤＳＮ１４０へ送信することをトリガし、その結果として、そのＩＰＣＰ設定要求パケットは、端末装置１１０とＩＳＰネットワーク１０２とのインターネットセッションを終了させる（ステップｎ）。この時点において、アクセス端末１２０は、依然として、ＩＭＳサービスのための接続されたデータセッションを有するが、端末装置１１０は、もはや、接続されていない（ステップｏ）。

図５は、ＰＡＰを用いて異なる証明書をサポートするための呼の流れ５００を示す。呼の流れ５００のステップａ〜ステップｅは、それぞれ、図４に示される呼の流れ４００のステップａ〜ステップｅに類似する。しかしながら、アクセス端末１２０は、ステップｃにおいてＰＡＰ（ＣＨＡＰの代わりに）によって認証される。

その後に、端末装置１１０は、インターネットサービスを得るための要求を受け取り（ステップｆ）、ＩＰｖ４を確立するためのコネクション要求およびその端末装置１１０のＩＳＰ証明書をアクセス端末１２０へ送信する（ステップｇ）。このコネクション要求は、アクセス端末１２０がＰＡＰを用いてインターネットサービスを認証することを開始することをトリガする（ステップｈ）。インターネットサービスを認証するために、アクセス端末１２０は、そのＩＳＰ証明書を含むＰＡＰ認証要求パケットをＰＤＳＮ１４０へ送信する（ステップｈ１）。

ＰＤＳＮ１４０は、端末装置１１０によって提供されかつアクセス端末１２０によって転送されたＩＳＰ証明書に基づいて、要求されたインターネットサービスを認証および許可するために、ＡＡＡサーバ１６４と信号を交換してもよい（同様に、ステップｈ）。認証合格の指示をＡＡＡサーバ１６４から受信した後、ＰＤＳＮ１４０は、その認証合格を伝達するためのＰＡＰ認証肯定パケットを返送する（ステップｈ２）。認証段階が完了した後、アクセス端末１２０は、端末装置１１０へのインターネットサービスのためのＩＰｖ４を設定するために、ＰＤＳＮ１４０とＩＰＣＰパケットを交換する（ステップｉ）。

ステップｇは、インターネットサービスをＩＳＰネットワーク１０２から得るのに使用されるＩＳＰ証明書を端末装置１１０およびアクセス端末１２０に送出させる。ＩＳＰ証明書は、ステップｈにおける第２のＰＡＰ動作中に使用されるが、ＩＭＳ証明書は、ステップｃにおける最初のＰＡＰ動作中に使用される。ＰＤＳＮ１４０は、ＩＳＰ証明書を用いて、ＩＳＰゲートウェイ１６０によってインターネットサービスを確立してもよい（ステップｉ）。呼の流れ５００のステップｊ〜ステップｎは、それぞれ、図４に示される呼の流れ４００のステップｋ〜ステップｏと同じものである。

図４および図５に示されるように、新しいデータサービスの認証は、異なる認証プロトコルごとに異なる形でトリガされてもよい。ＣＨＡＰは、図４および図５に示されるＰＤＳＮ１４０である認証者によって開始される。この場合、アクセス端末１２０は、ＰＤＳＮ１４０が認証を開始することをトリガするための適切なパケットを送信してもよい。トリガパケットは、例えば、ＩＰＣＰ設定要求パケット（図４に示されるような）、ＩＰｖ６ＣＰ設定要求パケット、などのような、新しいデータサービスに使用されるべきネットワーク層プロトコルのための設定要求パケットであってもよい。それとは対照的に、ＰＡＰは、認証されるピアによって開始され、そのピアは、図４および図５においてはアクセス端末１２０である。アクセス端末１２０は、ＰＤＳＮ１４０によって認証を開始するために、ＰＡＰ認証要求パケットをいつでも送信してもよく、これは、ＲＦＣ１３３４には定義されていないが、ＰＤＳＮ１４０によってサポートされてもよい。認証プロトコルに関係なく、異なる証明書による新しいデータサービスが所望されるときにはいつでも、アクセス端末１２０が、認証を開始する（例えば、ＰＡＰの場合）かまたはＰＤＳＮが認証を開始することをトリガしてもよい（例えば、ＣＨＡＰの場合）。

図４に示される呼の流れ４００および図５に示される呼の流れ５００においては、新しいデータサービスの認証中に、その新しいデータサービス（例えば、インターネットサービス）に対する異なる証明書が、提供される。新しい証明書による認証は、既存のデータサービスおよび証明書（例えば、ＩＭＳサービスのための）を切断または除去しない。新しい証明書が新しいデータサービスの認証中に使用されたとしても、既存のサービスは、当然ながら、機能し続ける。ＰＤＳＮ１４０は、新しいサービスは追加されたものであり、したがって、新しいサービスが既存のサービスに取って代わることはないことを認識する。ＰＤＳＮ１４０は、また、新しい証明書に対応する新しいデータサービスのためのセットアップを実行してもよい。例えば、ＰＤＳＮ１４０は、図４および図５に示されるように、第三者ネットワークとのデータコネクションをセットアップしてもよい。ＰＤＳＮ１４０は、また、クライアントが認証されたことおよびそのクライアントはデータサービスを得ることができることをワイヤレスネットワーク１００内に存在する別のエンティティに通知するために、そのエンティティと通信してもよい。ＰＤＳＮ１４０は、また、データサービスへ宛てられたトラフィックがＰＤＳＮを通ってそのデータサービスのための適切なサーバへ到達するのを可能にしてもよい。

図４および図５に示される例においては、アクセス端末１２０は、ＩＭＳ証明書によってＩＭＳサービスを入手し、端末装置１１０は、ＩＳＰ証明書によってインターネットサービスを入手する。一般的に、それぞれの装置は、同じかまたは異なる証明書によって、どのような数のデータサービスを得てもよい。複数のデータサービスが、アクセス端末１２０によって、または、端末装置１１０によって、または、それらの両方の装置によって、並行して得られてもよい。例えば、アクセス端末１２０は、ＩＭＳ証明書によるＩＭＳサービスおよびインターネット証明書によるインターネットサービスを同時に得てもよい。また、複数のデータサービスは、図４および図５に示されるように異なるネットワークを介して、あるいは、同じネットワークを介して、得られてもよい。

一般的には、どのようなネットワーク層プロトコルが、それぞれのデータサービスに使用されてもよい。図４および図５に示される例においては、ＩＰｖ６が、ＩＭＳサービスに使用され、ＩＰｖ４が、インターネットサービスに使用される。異なるデータサービスに対して異なるネットワーク層プロトコルを使用することは、以下で説明されるように、これらのデータサービスのためのパケットのルーティングを簡素化することができる。

アクセス端末１２０は、端末装置１１０およびアクセス端末１２０が異なるデータサービスを同時に受信するのを可能にするようにパケットをルーティングする。アクセス端末１２０は、アクセス端末１２０へのＩＭＳサービスおよび端末装置１１０へのインターネットサービスの両方のインバウンドパケットをＰＤＳＮ１４０から受信してもよく、そして、これらのパケットを適切な宛先へ転送してもよい。異なるネットワーク層プロトコルが、並行データサービスに使用されるならば（例えば、図４および図５に示される例におけるＩＰｖ４およびＩＰｖ６）、アクセス端末１２０は、それぞれのパケットのＩＰバージョンに基づいて、インバウンドパケットをルーティングしてもよい。アクセス端末１２０は、インバウンドＩＰｖ６パケットを、アクセス端末１２０で実行されているアプリケーションのためのアクセス端末１２０のプロトコルスタックに送出してもよく、そして、インバウンドＩＰｖ４パケットを端末装置１１０へ転送してもよい。それぞれのパケットは、ＩＰｖ４かまたはＩＰｖ６のために設定されてもよいバージョンフィールドを含む。アクセス端末１２０は、そのバージョンフィールドに基づいて、それぞれのパケットのＩＰバージョンを決定することができる。ＩＰｖ６が、両方のデータサービスに使用されるならば、アクセス端末１２０は、ＩＰｖ６アドレスおよび／または何らかのその他の情報を用いて、インバウンドパケットをルーティングしてもよい。

また、アクセス端末１２０は、プロトコルスタック内のＰＰＰとＩＰとの間で動作するネットワークインタフェースを用いて、インバウンドパケットをルーティングしてもよい。それぞれのネットワークインタフェースは、パケットフィルタリング、ルーティング、ブリッジング、などのような処理を実行してもよい。ルーティングは、パケットヘッダー内のＩＰアドレスを検査してパケットがローカルホスト（これは、そのルーティングを実行している装置である）または別のホストへ宛てられたものかどうかを判定する処理を意味する。ブリッジングは、アドレス情報に関係なく、すべてのインバウンドパケットを特定のホストへ送出する処理を意味する。アクセス端末１２０は、ＩＰｖ４パケットおよびＩＰｖ６パケットのための別個のネットワークインタフェースを使用してもよい。ＩＰｖ４のためのネットワークインタフェース（または、ＩＰｖ４インタフェース）は、ブリッジとして設定されてもよく、そして、すべてのインバウンドＩＰｖ４パケットを端末装置１１０へ送出してもよい。ＩＰｖ６のためのネットワークインタフェース（または、ＩＰｖ６インタフェース）は、ルーターとして設定されてもよく、そして、インバウンドＩＰｖ６パケットをアクセス端末１２０のプロトコルスタックに送出してもよい。ＩＰｖ６が、両方のデータサービスに使用されるならば、別個のネットワークインタフェースが、端末装置１１０へブリッジングされたＩＰｖ６アドレスに使用されてもよい。

アクセス端末１２０は、並行データサービスのために、アウトバウンドパケットを端末装置１１０および／またはアクセス端末１２０から受信してもよい。アクセス端末１２０は、そのアウトバウンドパケットをＰＤＳＮ１４０へただ単に転送してもよい。特別のハンドリングは、アウトバウンドパケットのためには必要とされない。

図６は、異なる証明書によって並行データサービスをサポートするためにアクセス端末１２０によって実行される処理６００を示す。アクセス端末１２０は、第１の証明書をＰＰＰリンクを介してＰＤＳＮ１４０へ送信し（ブロック６１２）、第１の証明書に基づいて第１のデータサービスの認証に合格したことの指示をＰＤＳＮから受信する（ブロック６１４）。第２のデータサービスが要求されたかどうかの判定がなされる（ブロック６１６）。答えが“いいえ”であれば、処理は、ブロック６１６に戻る。そうではなく、ブロック６１６の答えが“はい”であれば、アクセス端末１２０は、第２のデータサービスについての要求および第２の証明書を端末装置１１０（または、内部のアプリケーション）から受信してもよい。そして、アクセス端末１２０は、第１のデータサービスが、進行している間に、または、確立され続けているときに、第２の証明書をＰＰＰリンクを介してＰＤＳＮ１４０へ送信する（ブロック６１８）。そして、アクセス端末１２０は、第２の証明書に基づいて第２のデータサービスの認証に合格したことの指示をＰＤＳＮ１４０から受信する（ブロック６２０）。

もしアクセス端末１２０が、ＣＨＡＰを用いたＰＤＳＮ１４０による認証を実行するように構成されているならば、ブロック６１８の代わりとして、アクセス端末１２０は、ＩＰＣＰまたはＩＰｖ６ＣＰ（第２のデータサービスに依存する）における設定要求パケットを送信してもよく、これは、ＰＤＳＮ１４０が第２のデータサービスを認証することをトリガする。そして、アクセス端末１２０は、ＣＨＡＰチャレンジパケットをＰＤＳＮ１４０から受信し、それに応じて、第２の証明書を備えたＣＨＡＰ応答パケットをＰＤＳＮ１４０へ送信してもよい。あるいは、アクセス端末１２０が、ＣＨＡＰを用いたＰＤＳＮ１４０による認証を実行するように構成されているならば、ブロック６１８の代わりとして、アクセス端末１２０は、ＰＤＳＮ１４０による第２のデータサービスの認証を開始するために、第２の証明書を備えたＰＡＰ認証要求パケットを送信してもよい。一般的には、アクセス端末１２０は、第１の認証プロトコル（例えば、ＣＨＡＰまたはＰＡＰ）を用いたＰＤＳＮ１４０による第１のデータサービスの認証を実行してもよく、また、第２の認証プロトコル（例えば、ＣＨＡＰまたはＰＡＰ）を用いたＰＤＳＮ１２０による第２のデータサービスの認証を実行してもよい。第１の認証プロトコルは、第２の認証プロトコルと同じものであってもよく、あるいは、異なるものであってもよい。

第１のデータサービスは、どのようなデータサービス（例えば、ＩＭＳサービス）であってもよく、また、アクセス端末１２０によって第１のネットワークから得られてもよい。第２のデータサービスは、同様に、どのようなデータサービス（例えば、インターネットサービス）であってもよく、また、端末装置１１０またはアクセス端末１２０によって第１のネットワークまたは第２のネットワークから得られてもよい。第１のネットワークエンティティへの第１のコネクションが、第１のデータサービスのために確立されてもよく、第２のネットワークエンティティへの第２のコネクションが、第２のデータサービスのために確立されてもよい。第１のネットワーク層プロトコル（例えば、ＩＰｖ６）が、第１のＮＣＰ（例えば、ＩＰｖ６ＣＰ）を用いて、第１のデータサービスのために設定されてもよい。第２のネットワーク層プロトコル（例えば、ＩＰｖ４）が、第２のＮＣＰ（例えば、ＩＰＣＰ）を用いて、第２のデータサービスのために設定されてもよい。

アクセス端末１２０は、第１および第２のデータサービスのために、インバウンドパケットをＰＤＳＮ１４０から受信してもよい。アクセス端末１２０は、第１のデータサービスのためのインバウンドパケットをアクセス端末１２０のプロトコルスタックに送出してもよく、また、第２のデータサービスのためのインバウンドパケットを端末装置１１０へ転送してもよい。アクセス端末１２０は、それぞれのパケット内に含まれるＩＰバージョンに基づいて、第１および第２のデータサービスのためのインバウンドパケットを識別してもよい。アクセス端末１２０は、第１および第２のデータサービスのためのアウトバウンドパケットをＰＤＳＮ１４０へ送信してもよい。

図７は、異なる証明書によって並行データサービスをサポートするためにＰＤＳＮ１４０によって実行される処理７００を示す。ＰＤＳＮ１４０は、第１のデータサービスのための第１の証明書をアクセス端末１２０からＰＰＰリンクを介して受信し（ブロック７１２）、その第１の証明書に基づいて、第１のデータサービスの認証を実行する（ブロック７１４）。認証に合格すれば、ＰＤＳＮ１４０は、また、第１のデータサービスのためのセットアップ（例えば、データコネクションのセットアップ）を実行してもよい（ブロック７１６）。ＰＤＳＮ１４０は、第１のデータサービスが進行している間に、第２のデータサービスのための第２の証明書をアクセス端末１２０からＰＰＰリンクを介して受信する（ブロック７１８）。ＰＤＳＮ１４０は、第２の証明書に基づいて第２のデータサービスの認証を実行する（ブロック７２０）。それぞれのデータサービスを認証するためのＰＤＳＮ１４０による処理は、認証に使用される認証プロトコル、認証を実行するように指示されたネットワーク／ドメイン、認証を実行するように指示されたエンティティ、などに依存してもよい。ＰＤＳＮ１４０は、第１のデータサービスを認証するために、第１のＡＡＡサーバと通信してもよく、また、第２のデータサービスを認証するために、第１のＡＡＡサーバまたは第２のＡＡＡサーバと通信してもよい。また、ＰＤＳＮ１４０は、第２のデータサービスの認証に合格すれば、第２のデータサービスのためのセットアップ（例えば、ＩＳＰゲートウェイ１６０とのＩＰｖ４のセットアップ）を実行してもよい（ブロック７２２）。

ＰＤＳＮ１４０は、ＣＨＡＰを用いて、認証を実行してもよい。この場合には、ブロック７１８の代わりとして、ＰＤＳＮ１４０は、第２のデータサービスの認証をトリガするアクセス端末１２０からＩＰＣＰ設定要求パケットまたはＩＰｖ６ＣＰ設定要求パケットを受信してもよい。そして、ＰＤＳＮ１４０は、ＣＨＡＰチャレンジパケットをアクセス端末１２０へ送信してもよく、また、第２の証明書を備えたＣＨＡＰ応答パケットを受信してもよい。あるいは、ＰＤＳＮ１４０は、ＰＡＰを用いて、認証を実行してもよい。この場合には、ブロック７１８の代わりとして、ＰＤＳＮ１４０は、第２の証明書を備えたＰＡＰ認証要求パケットを、第２のデータサービスの認証を開始するアクセス端末１２０から受信してもよい。一般的に、ＰＤＳＮ１４０は、第１のデータサービスのための第１の認証プロトコル（例えば、ＣＨＡＰまたはＰＡＰ）を用いて、認証を実行してもよく、また、第２のデータサービスのための第２の認証プロトコル（例えば、ＣＨＡＰまたはＰＡＰ）を用いて、認証を実行してもよい。第１の認証プロトコルは、第２の認証プロトコルと同じものであってもよく、あるいは、異なるものであってもよい。

図８は、図１に示される端末装置１１０、アクセス端末１２０、無線ネットワーク１３０、および、ＰＤＳＮ１４０のブロック図を示す。便宜上、図８は、（ａ）端末装置１１０のための１つのコントローラ／プロセッサ８１０、１つのメモリ８１２、および、１つの通信（Ｃｏｍｍ）ユニット８１４、（ｂ）アクセス端末１２０のための１つのコントローラ／プロセッサ８２０、１つのメモリ８２２、１つの通信ユニット８２４、および、１つのトランシーバ８２６、（ｃ）無線ネットワーク１３０のための１つのコントローラ／プロセッサ８３０、１つのメモリ８３２、１つの通信ユニット８３４、および、１つのトランシーバ８３６、（ｄ）ＰＤＳＮ１４０のための１つのコントローラ／プロセッサ８４０、１つのメモリ８４２、および、１つの通信ユニット８４４を示す。一般的に、それぞれのエンティティは、どのような数のコントローラ、プロセッサ、メモリ、トランシーバ、通信ユニット、などを含んでもよい。

ダウンリンク上において、無線ネットワーク１３０における基地局は、トラフィックデータ、信号／メッセージ、および、パイロットを、その基地局のカバレージエリア内に存在するアクセス端末へ送信する。これらの様々な種類のデータは、プロセッサ８３０によって処理され、ダウンリンク信号を生成するためにトランシーバ８３６によって調整され、そのダウンリンク信号は、基地局アンテナを介して送信される。アクセス端末１２０において、基地局からのダウンリンク信号が、アンテナを介して受信され、トランシーバ８２６によって調整され、そして、トラフィックデータ、信号、などを得るために、プロセッサ８２０によって処理される。プロセッサ８２０は、上で説明された呼の流れにおけるアクセス端末１２０のための処理を実行してもよく、また、図６に示される処理６００および／または異なる証明書によって並行データサービスをサポートするためのその他の処理を実行してもよい。

アップリンク上においては、アクセス端末１２０は、トラフィックデータ、信号、および、パイロットを基地局へ送信してもよい。これらの様々な種類のデータは、プロセッサ８２０によって処理され、アップリンク信号を生成するためにトランシーバ８２６によって調整され、そのアップリンク信号は、アクセス端末アンテナを介して送信される。無線ネットワーク１３０において、アクセス端末１２０からのアップリンク信号は、受信され、トランシーバ８３６によって調整され、そして、トラフィックデータ、信号、などを得るために、プロセッサ８３０によってさらに処理される。メモリ８２２および８３２は、それぞれ、アクセス端末１２０および無線ネットワーク１３０のためのプログラムコードおよびデータを記憶する。無線ネットワーク１３０は、通信ユニット８３４を介して、その他のネットワークエンティティと通信してもよい。

端末装置１１０内において、プロセッサ８１０は、端末装置のための処理を実行し、さらに、端末装置内に存在する様々なユニットの動作を管理する。メモリ８１２は、端末装置１１０のためのプログラムコードおよびデータを記憶する。通信ユニット８１４および８２４は、端末装置１１０とアクセス端末１２０との間の通信をサポートする。

ＰＤＳＮ１４０内において、プロセッサ８４０は、ＰＤＳＮのための処理を実行し、さらに、ＰＤＳＮ内に存在する様々なユニットの動作を管理する。メモリ８４２は、ＰＤＳＮ１４０のためのプログラムコードおよびデータを記憶する。通信ユニット８４４は、ＰＤＳＮ１４０がその他のエンティティと通信するのを可能にする。プロセッサ８４０は、上で説明された呼の流れにおけるＰＤＳＮ１４０のための処理を実行してもよく、また、図７に示される処理７００および／または異なる証明書によって並行データサービスをサポートするためのその他の処理を実行してもよい。

ここで説明された技術は、様々な手段によって実施されてもよい。例えば、これらの技術は、ハードウェア、ファームウェア、ソフトウェア、または、それらの組み合わせとして実施されてもよい。ハードウェア実施形態の場合、エンティティ（例えば、アクセス端末１２０、ＰＤＳＮ１４０、など）においてこの技術を実行するために使用される処理ユニットは、１つまたは複数の特定用途向け集積回路（ＡＳＩＣ）、デジタル信号プロセッサ（ＤＳＰ）、デジタル信号処理装置（ＤＳＰＤ）、プログラマブルロジックアレイ（ＰＬＤ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、プロセッサ、コントローラ、マイクロコントローラ、マイクロプロセッサ、電子デバイス、ここで説明された機能を実行するように設計されたその他の電子ユニット、コンピュータ、または、それらの組み合わせ内において実施されてもよい。

ファームウェア実施形態および／またはソフトウェア実施形態の場合、この技術は、ここで説明された機能を実行するモジュール（例えば、プロシージャ、関数、など）によって実施されてもよい。ファームウェアコードおよび／またはソフトウェアコードは、メモリ（例えば、図８に示されるメモリ８１２、８２２、８３２、または、８４２）に記憶され、プロセッサ（例えば、プロセッサ８１０、８２０、８３０、または、８４０）によって実行されてもよい。メモリは、プロセッサの内部に実装されてもよく、あるいは、プロセッサの外部に実装されてもよい。

ここに説明された技術をインプリメントする機器は、スタンドアロンユニットであってもよく、あるいは、デバイスの一部であってもよい。そのデバイスは、（１）スタンドアロン集積回路（ＩＣ）、（２）データおよび／または命令を記憶するためのメモリＩＣを含むことができる一組の１つまたは複数のＩＣ、（３）移動局モデム（ＭＳＭ）のようなＡＳＩＣ、（４）他のデバイス内に組み込まれてもよいモジュール、（５）携帯電話、ワイヤレス装置、ハンドセット、または、モバイルユニット、（６）その他、であってもよい。

本開示の以上の説明は、当業者の誰もが本開示を作りまたは使用するのを可能とするように提供されている。本開示の様々の変形は当業者には容易に明らかであり、そして、ここに定義された包括的な原理は本開示の精神或いは範囲を逸脱することなく他の実施形態に適用されることが出来る。従って、本発明は、ここに説明された例に限定されるように意図されてはおらず、ここに開示された原理及び新規な特徴と整合する最も広い範囲が与えられるべきものである。

ワイヤレスネットワークおよびＩＳＰネットワークを示す図である。 図１に示される様々なエンティティにおけるプロトコルスタックを示す図である。 ＩＭＳサービスのためのパケットデータ呼に関する呼の流れを示す図である。 ＣＨＡＰを用いて異なる証明書をサポートするための呼の流れを示す図である。 ＰＡＰを用いて異なる証明書をサポートするための呼の流れを示す図である。 異なる証明書によって並行データサービスをサポートするためにアクセス端末によって実行される処理を示す図である。 異なる証明書によって並行データサービスをサポートするためにＰＤＳＮによって実行される処理を示す図である。 図１に示される様々なエンティティのブロック図である。

Claims (41)

1. 第１の証明書をポイントツーポイントプロトコル（ＰＰＰ）リンクを介してパケットデータサービングノード（ＰＤＳＮ）へ送信し、前記第１の証明書に基づいて第１のデータサービスの認証に合格したことの指示を受信し、前記第１のデータサービスが進行している間に、第２の証明書を前記ＰＰＰリンクを介して前記ＰＤＳＮへ送信し、前記第２の証明書に基づいて第２のデータサービスの認証に合格したことの指示を受信するように、構成されたプロセッサと、
   前記ＰＤＳＮの処理を前記プロセッサにより実行するため、前記プロセッサに結合され、前記ＰＤＳＮのためのプログラムコード及びデータを記憶するメモリと、
   を備える機器。
2. 前記プロセッサは、前記第２のデータサービスについての要求および前記第２の証明書を端末装置から受信するように構成され、また、前記第２の証明書は、前記第２のデータサービスについての前記要求に応じて、前記ＰＤＳＮへ送信される、請求項１に記載の機器。
3. 前記プロセッサは、チャレンジハンドシェイク認証プロトコル（ＣＨＡＰ）を用いて、前記ＰＤＳＮによる認証を実行するように構成されている、請求項１に記載の機器。
4. 前記プロセッサは、前記第２のデータサービスの認証をトリガするために、インターネットプロトコル制御プロトコル（ＩＰＣＰ）またはＩＰバージョン６制御プロトコル（ＩＰｖ６ＣＰ）における設定要求パケットを送信するように構成されている請求項３に記載の機器。
5. 前記プロセッサは、前記設定要求パケットに応じて、ＣＨＡＰチャレンジパケットを前記ＰＤＳＮから受信するように、そして、前記第２の証明書を備えたＣＨＡＰ応答パケットを前記ＰＤＳＮへ送信するように、構成されている、請求項４に記載の機器。
6. 前記プロセッサは、パスワード認証プロトコル（ＰＡＰ）を用いて、前記ＰＤＳＮによる認証を実行するように構成されている、請求項１に記載の機器。
7. 前記プロセッサは、前記第２のデータサービスの認証を開始するために、前記第２の証明書を備えたＰＡＰ認証要求パケットを送信するように構成されている、請求項６に記載の機器。
8. 前記プロセッサは、前記第１のデータサービスのための第１の認証プロトコルを用いて、前記ＰＤＳＮによる認証を実行するように、そして、前記第２のデータサービスのための第２の認証プロトコルを用いて、前記ＰＤＳＮによる認証を実行するように、構成されている、請求項１に記載の機器。
9. 前記プロセッサは、前記第１のデータサービスのための第１のネットワークエンティティへの第１のコネクションを確立するように、そして、前記第２のデータサービスのための第２のネットワークエンティティへの第２のコネクションを確立するように、構成されている、請求項１に記載の機器。
10. 前記ＰＤＳＮおよび前記第１のネットワークエンティティが、第１のネットワーク内に存在し、そして、前記第２のネットワークエンティティが、第２のネットワーク内に存在する、請求項９に記載の機器。
11. 前記プロセッサは、第１のネットワーク制御プロトコル（ＮＣＰ）を用いて、前記第１のデータサービスのための第１のネットワーク層プロトコルを設定するように、そして、第２のＮＣＰを用いて、前記第２のデータサービスのための第２のネットワーク層プロトコルを設定するように、構成されている、請求項１に記載の機器。
12. 前記プロセッサは、前記第１のデータサービスのためのインターネットプロトコル バージョン６（ＩＰｖ６）を設定するように、そして、前記第２のデータサービスのためのインターネットプロトコル バージョン４（ＩＰｖ４）を設定するように、構成されている、請求項１に記載の機器。
13. 前記プロセッサが、前記第１および第２のデータサービスのためのインバウンドパケットを前記ＰＤＳＮから受信し、前記第１のデータサービスのためのインバウンドパケットを前記機器のプロトコルスタックに送出し、かつ、前記第２のデータサービスのためのインバウンドパケットを前記端末装置へ転送するように構成されている、請求項２に記載の機器。
14. 前記第１および第２のデータサービスは、異なるインターネットプロトコル（ＩＰ）バージョンを使用し、前記プロセッサは、それぞれの前記インバウンドパケット内に含まれるＩＰバージョンに基づいて、前記第１および第２のデータサービスのためのインバウンドパケットを識別するように構成されている、請求項１３に記載の機器。
15. 前記第１のデータサービスは、前記機器によって第１のネットワークから得られ、そして、前記第２のデータサービスは、前記端末装置によって第２のネットワークから得られる、請求項２に記載の機器。
16. 前記第１のデータサービスは、ＩＰマルチメディアサブシステム（ＩＭＳ）サービスであり、前記第２のデータサービスは、インターネットサービスである、請求項１に記載の機器。
17. プロセッサが第１の証明書をポイントツーポイントプロトコル（ＰＰＰ）リンクを介してパケットデータサービングノード（ＰＤＳＮ）へ送信することと、
    前記プロセッサが認証プロトコルを用いて前記第１の証明書に基づいて第１のデータサービスの認証に合格したことの指示を受信することと、
    前記プロセッサが前記第１のデータサービスが進行している間に、第２の証明書を前記ＰＰＰリンクを介して前記ＰＤＳＮへ送信することと、
    前記プロセッサが認証プロトコルを用いて前記第２の証明書に基づいて第２のデータサービスの認証に合格したことの指示を受信することと、を含む方法。
18. 前記プロセッサが前記第２の証明書を送信することは、
    前記第２のデータサービスの認証をトリガするために、設定要求パケットを送信することと、
    前記設定要求パケットに応じて、チャレンジハンドシェイク認証プロトコル（ＣＨＡＰ）チャレンジパケットを前記ＰＤＳＮから受信することと、
    前記第２の証明書を備えたＣＨＡＰ応答パケットを前記ＰＤＳＮへ送信することと、
    を含む、請求項１７に記載の方法。
19. 前記プロセッサが前記第２の証明書を送信することは、前記第２のデータサービスの認証を開始するために、前記第２の証明書を備えたパスワード認証プロトコル（ＰＡＰ）認証要求パケットを送信すること、を含む、請求項１７に記載の方法。
20. 第１の証明書をポイントツーポイントプロトコル（ＰＰＰ）リンクを介してパケットデータサービングノード（ＰＤＳＮ）へ送信するための手段と、
    前記第１の証明書に基づいて第１のデータサービスの認証に合格したことの指示を受信するための手段と、
    前記第１のデータサービスが進行している間に、第２の証明書を前記ＰＰＰリンクを介して前記ＰＤＳＮへ送信するための手段と、
    前記第２の証明書に基づいて第２のデータサービスの認証に合格したことの指示を受信するための手段と、を備える機器。
21. 前記第２の証明書を送信するための前記手段は、
    前記第２のデータサービスの認証をトリガするために、設定要求パケットを送信するための手段と、
    前記設定要求パケットに応じて、チャレンジハンドシェイク認証プロトコル（ＣＨＡＰ）チャレンジパケットを前記ＰＤＳＮから受信するための手段と、
    前記第２の証明書を備えたＣＨＡＰ応答パケットを前記ＰＤＳＮへ送信するための手段と、
    を備える、請求項２０に記載の機器。
22. 前記第２の証明書を送信するための前記手段は、前記第２のデータサービスの認証を開始するために、前記第２の証明書を備えたパスワード認証プロトコル（ＰＡＰ）認証要求パケットを送信するための手段、を備える、請求項２０に記載の機器。
23. 第１の証明書をポイントツーポイントプロトコル（ＰＰＰ）リンクを介してパケットデータサービングノード（ＰＤＳＮ）へ送信すること、
    前記第１の証明書に基づいて第１のデータサービスの認証に合格したことの指示を受信すること、
    前記第１のデータサービスが進行している間に、第２の証明書を前記ＰＰＰリンクを介して前記ＰＤＳＮへ送信すること、
    前記第２の証明書に基づいて第２のデータサービスの認証に合格したことの指示を受信すること、をプロセッサに実行させる命令を記憶したプロセッサ可読記録媒体。
24. 前記第２のデータサービスの認証をトリガするために、設定要求パケットを送信すること、
    前記設定要求パケットに応じて、チャレンジハンドシェイク認証プロトコル（ＣＨＡＰ）チャレンジパケットを前記ＰＤＳＮから受信すること、
    前記第２の証明書を備えたＣＨＡＰ応答パケットを前記ＰＤＳＮへ送信すること、を前記プロセッサに実行させる命令をさらに記憶するための請求項２３に記載のプロセッサ可読記録媒体。
25. 前記第２のデータサービスの認証を開始するために、前記第２の証明書を備えたパスワード認証プロトコル（ＰＡＰ）認証要求パケットを送信すること、を前記プロセッサに実行させる命令をさらに記憶するための請求項２３に記載のプロセッサ可読記録媒体。
26. 第１のデータサービスのための第１の証明書をアクセス端末からポイントツーポイントプロトコル（ＰＰＰ）リンクを介して受信し、前記第１の証明書に基づいて前記第１のデータサービスの認証を実行し、前記第１のデータサービスが進行している間に、第２のデータサービスのための第２の証明書を前記アクセス端末から前記ＰＰＰリンクを介して受信し、前記第２の証明書に基づいて前記第２のデータサービスの認証を実行するように、構成されたプロセッサと、
    前記アクセス端末の処理を前記プロセッサにより実行するため、前記プロセッサに結合され、前記アクセス端末のためのプログラムコード及びデータを記憶するメモリと、
    を備える機器。
27. 前記プロセッサは、前記第２のデータサービスのためのゲートウェイまたはサーバとのデータコネクションを確立するように構成されている、請求項２６に記載の機器。
28. 前記プロセッサは、前記第２の証明書に関連するネットワークアクセス識別子（ＮＡＩ）に基づいて、前記ゲートウェイまたは前記サーバを決定するように構成されている、請求項２７に記載の機器。
29. 前記プロセッサは、前記第１のデータサービスの認証を実行するために、第１の認証、許可、および課金処理（ＡＡＡ）サーバと通信するように、そして、前記第２のデータサービスの認証を実行するために、前記第１のＡＡＡサーバまたは第２のＡＡＡサーバと通信するように、構成されている、請求項２６に記載の機器。
30. 前記プロセッサは、前記第２のデータサービスの認証を実行するために、認証、許可、および課金処理（ＡＡＡ）サーバと通信するように、そして、認証に合格したことの指示を前記ＡＡＡサーバから受信したことに応じて、前記第２のデータサービスのためのセットアップを実行するように、構成されている、請求項２６に記載の機器。
31. 前記プロセッサは、チャレンジハンドシェイク認証プロトコル（ＣＨＡＰ）を用いて、前記第２のデータサービスの認証を実行するように構成されている、請求項２６に記載の機器。
32. 前記プロセッサは、前記第２のデータサービスの認証をトリガする前記アクセス端末から設定要求パケットを受信するように構成されている、請求項３１に記載の機器。
33. 前記プロセッサは、前記設定要求パケットのためのネットワーク制御プロトコル（ＮＣＰ）を用いて、前記第２のデータサービスのためのネットワーク層プロトコルを設定する、請求項３２に記載の機器。
34. 前記プロセッサは、前記設定要求パケットに応じて、ＣＨＡＰチャレンジパケットを前記アクセス端末へ送信するように、そして、前記第２の証明書を備えたＣＨＡＰ応答パケットを前記アクセス端末から受信するように、構成されている、請求項３２に記載の機器。
35. 前記プロセッサは、パスワード認証プロトコル（ＰＡＰ）を用いて、前記第２のデータサービスの認証を実行するように構成されている、請求項２６に記載の機器。
36. 前記プロセッサは、前記第２のデータサービスの認証を開始する前記アクセス端末から前記第２の証明書を備えたＰＡＰ認証要求パケットを受信するように構成されている、請求項３５に記載の機器。
37. 前記プロセッサは、第１の認証プロトコルを用いて、前記第１のデータサービスの認証を実行するように、そして、第２の認証プロトコルを用いて、前記第２のデータサービスの認証を実行するように、構成されている、請求項２６に記載の機器。
38. プロセッサが第１のデータサービスのための第１の証明書をアクセス端末からポイントツーポイントプロトコル（ＰＰＰ）リンクを介して受信することと、
    前記プロセッサが前記第１の証明書に基づいて前記第１のデータサービスの認証を実行することと、
    前記プロセッサが前記第１のデータサービスが進行している間に、第２のデータサービスのための第２の証明書を前記アクセス端末から前記ＰＰＰリンクを介して受信することと、
    前記プロセッサが前記第２の証明書に基づいて前記第２のデータサービスの認証を実行することと、
    を含む方法。
39. 前記プロセッサが前記第１のデータサービスを認証するために、第１の認証、許可、および課金処理（ＡＡＡ）サーバと通信することと、
    前記第２のデータサービスを認証するために、前記第１のＡＡＡサーバまたは第２のＡＡＡサーバと通信することと、
    をさらに行う、請求項３８に記載の方法。
40. 前記プロセッサが前記第２のデータサービスのための前記第２の証明書を前記受信することは、
    設定要求パケットを、前記第２のデータサービスの認証をトリガする前記アクセス端末から受信することと、
    チャレンジハンドシェイク認証プロトコル（ＣＨＡＰ）チャレンジパケットを前記アクセス端末へ送信することと、
    前記第２の証明書を備えたＣＨＡＰ応答パケットを前記アクセス端末から受信することと、
    を含む、請求項３８に記載の方法。
41. 前記第２のデータサービスのための前記第２の証明書を前記受信することは、
    前記プロセッサが前記第２の証明書を備えたパスワード認証プロトコル（ＰＡＰ）認証要求パケットを、前記第２のデータサービスの認証を開始する前記アクセス端末から受信すること、
    を含む、請求項３８に記載の方法。

Images