JP4984020B2 - 通信システム、ノード、認証サーバ、通信方法及びそのプログラム - Google Patents

Description

本発明は、クライアント−サーバの相互認証技術に関し、特にＡＫＡ認証キーを異なるネットワーク上に設けられているノードで共有する技術に関する。

従来、３ＧＰＰ網（第３世代移動網）サービスは、ＵＭＴＳ（Ｕｎｉｖｅｒｓａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｒｖｉｃｅ）と呼ばれ、日本では無線方式としてＷＣＤＭＡ（Ｗｉｄｅｂａｎｄ Ｃｏｄｅ Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ）を使っている。

このＵＭＴＳベースの認証においては、クライアント−サーバ間で相互認証するためにＵＳＩＭ（ＵＭＴＳ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ：ユーザ加入識別モジュール）カード情報を使ったＡＫＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ）認証方式が採られている。

例えば、３ＧＰＰ標準におけるＡＫＡ認証は、３ＧＰＰ ＴＳ ３３．１０２によると、ＨＬＲ（Ｈｏｍｅ Ｌｏｃａｔｉｏｎ Ｒｅｇｉｓｔｅｒ）がＳＧＳＮ（Ｓｅｒｖｉｎｇ ＧＰＲＳ Ｓｕｐｐｏｒｔ Ｎｏｄｅ）に対して発行したＡＶ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｖｅｃｔｏｒ）に含まれる認証キー及び自身の秘密鍵と、ＭＮ（Ｍｏｂｉｌｅ Ｎｏｄｅ）がＳＧＳＮより受けた認証要求メッセージ中のパラメータを使って算出した認証キー及び自身の秘密鍵とをそれぞれにおいて適用することで行われる。なお、ＡＶは１ユーザ用に複数個をセットにして発行され、利用時に毎回違うものを利用できるようにＡＶにはシーケンスナンバーが振られている。

また、３ＧＰＰの標準化（３ＧＰＰ ＴＳ ２３．２３４、３ＧＰＰ ＴＳ ３３．２３４）において、コアネットワークがＷＬＡＮ（無線ＬＡＮ）アクセス網を収容する標準も作成されている。そこでは３ＧＰＰ網と同様にＷＬＡＮ網でアクセスした場合にもＡＫＡ認証を行う手順が記載されている。この手法は、ＥＡＰ／ＡＫＡと呼ばれており、３ＧＰＰ網のＡＫＡ認証とは独立して規定されている。これは、ＡＶがＨＳＳ（Ｈｏｍｅ Ｓｕｂｓｃｒｉｂｅｒ Ｓｅｒｖｅｒ）より３ＧＰＰ ＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ, Ａｕｔｈｏｒｉｚａｔｉｏｎ ａｎｄ Ａｃｃｏｕｎｔｉｎｇ） Ｓｅｒｖｅｒに対して発行され、このＡＶに含まれる認証キー及び自身の秘密鍵と、ＭＮが３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒより受けた認証要求メッセージ中のパラメータを使って算出した認証キー及び自身の秘密鍵とをそれぞれにおいて適用することでＡＫＡ認証が行われる。すなわち、各種無線アクセス網ごとに個別の認証方法が規定されている。即ち、事業者が複数の無線アクセスサービスを提供していて、それぞれにＳＩＭカードやＵＳＩＭカードを使ったＡＫＡ認証方式を適用する際には、上記のように複数のアクセス網ごとに個別の認証方法が規定されている。しかしながら、各無線アクセス網間で連携がないと、システムごとに別々の認証証明が必要となる。従って、特許文献１では、共通の認証証明を保持する技術が提案されている。

しかしながら、特許文献１に記載の技術は、ＡＡＡサーバ間のみで連携させるため、ＡＡＡサーバを持たないネットワーク、例えば３ＧＰＰ網等に適用させることができず、以下のような課題が発生する。

１．ＭＮが複数の異なる種類の無線アクセスサービスを受けようとするとき、即ち、互いに非対称の構成をとっている複数の無線アクセスサービスを受けようとするとき、いずれの無線種でもサーバが加入者データベースに基づいてコアネットワークノードに対して発行するＡＶとＭＮとの間でＡＫＡ認証を行うが、無線種の切り換えごとに加入者データベースを有するサーバにてＡＫＡ認証キーを作成する演算がなされるために、サーバの負荷が大きくなる。

２．ＭＮが新たな無線アクセスサービス用にＡＫＡ認証方式に対応する場合に、特殊なヘッダ生成部が必要となる。
特開２００４-３０４８０４号公報

従って、本発明が解決しようとする課題は上記問題点を解決することにあり、ＭＮがＡＫＡ認証を適用して複数の異なる種類の無線アクセスサービスを受けようとするとき、加入者データベースを有するサーバの負荷を下げることにある。

また、本発明が解決しようとする課題は、特殊なヘッダを扱うことなくＡＫＡ認証を実現する技術を提供することにある。

上記課題を解決するための第１の発明は、通信システムであって、認証サーバを有するネットワークに接続されているノードと認証サーバを有しないネットワークに接続されているノードとをコアネットワーク上に有し、加入者データベースに基づいて発行されるＡＶ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
Ｖｅｃｔｏｒ）のコピーを前記ノード間で送受信し、前記加入者データベースに基づいて発行されるＡＶ又は前記受信したＡＶのコピーを用いて、自ノードが設けられているネットワークにアクセスしてきた端末のＡＫＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ）認証を行うように構成されていることを特徴とする。

上記課題を解決するための第２の発明は、上記第１の発明において、前記ノードは、前記ＡＶのコピーを受信する受信手段と、前記加入者データベースに基づいて前記認証サーバに対して発行されるＡＶ又は前記受信されるＡＶのコピーを保持する認証情報保持手段と、前記認証情報保持手段が保持するＡＶを用いて、無線ＬＡＮのネットワークにアクセスしてきた端末の認証を行う認証手段とを有することを特徴とする。

上記課題を解決するための第３の発明は、上記第２の発明において、端末から送信される認証応答値を有するパケットに認証キーを使って計算したチェックサム値を追加して、前記認証サーバへ送信する手段を有することを特徴とする。

上記課題を解決するための第４の発明は、上記第２又は第３の発明において、前記認証保持手段は、前記加入者データベースに基づいて前記認証サーバに対して発行されるＡＶの一部又は前記受信されるＡＶのコピーの一部を保持する認証保持手段であることを特徴とする。

上記課題を解決するための第５の発明は、上記第１から第４のいずれかの発明において、前記ノードは、受信したＡＶのコピーを他ノードに送信する送信手段を有することを特徴とする。

上記課題を解決するための第６の発明は、認証サーバを有するネットワークと認証サーバを有しないネットワークとを収容するコアネットワーク上のノードであって、加入者データベースに基づいて発行されるＡＶ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
Ｖｅｃｔｏｒ）のコピーを、自ノードと異なる構成のネットワーク上のノードとの間で送受信する送受信手段と、送信されて来るＡＶ又は前記受信されるＡＶのコピーを保持する認証情報保持手段と、前記認証情報保持手段が保持するＡＶを用いて、自ノードが設けられているネットワークにアクセスしてきた端末の認証を行う認証手段とを有することを特徴とする。

上記課題を解決するための第７の発明は、上記第６の発明において、加入者データベースに基づいて前記認証サーバに対して発行されるＡＶ又は前記受信されるＡＶのコピーを保持する手段であることを特徴とする。

上記課題を解決するための第８の発明は、上記第６又は第７の発明において、端末から送信される認証応答値を有するパケットに認証キーを使って計算したチェックサム値を追加して、前記認証サーバへ送信する手段を有することを特徴とする。

上記課題を解決するための第９の発明は、上記第８の発明において、前記認証保持手段は、前記加入者データベースに基づいて認証サーバに対して発行されるＡＶの一部又は前記受信されるＡＶのコピーの一部を保持する手段であることを特徴とする。

上記課題を解決するための第１０の発明は、上記第６から第９のいずれかの発明において、受信したＡＶのコピーを他ノードに送信する送信手段を有することを特徴とする。

上記課題を解決するための第１１の発明は、認証サーバを有するネットワークと認証サーバを有しないネットワークとを収容するコアネットワーク上のノードのプログラムであって、前記プログラムは、前記ノードを、加入者データベースに基づいて発行されるＡＶ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
Ｖｅｃｔｏｒ）のコピーを、自ノードと異なる構成のネットワーク上のノードとの間で送受信する送受信手段と、送信されて来るＡＶ又は前記受信されるＡＶのコピーを保持する認証情報保持手段と、前記認証情報保持手段が保持するＡＶを用いて、自ノードが設けられているネットワークにアクセスしてきた端末の認証を行う認証手段として機能させることを特徴とする。

上記課題を解決するための第１２の発明は、上記第１１の発明において、前記プログラムは、前記認証情報保持手段を、加入者データベースに基づいて前記認証サーバに対して発行されるＡＶ又は前記受信されるＡＶのコピーを保持する手段として機能させることを特徴とする。

上記課題を解決するための第１３の発明は、上記第１１又は大１２の発明において、端末から送信される認証応答値を有するパケットに認証キーを使って計算したチェックサム値を追加して、前記認証サーバへ送信する手段として機能させることを特徴とする。

上記課題を解決するための第１４の発明は、上記第１３の発明において、前記プログラムは、前記認証保持手段を、前記加入者データベースに基づいて認証サーバに対して発行されるＡＶの一部又は前記受信されるＡＶのコピーの一部を保持する手段として機能させることを特徴とする。

上記課題を解決するための第１５の発明は、上記第１１から第１４のいずれかの発明において、端前記プログラムは、前記ノードを、受信したＡＶのコピーを他ノードに送信する送信手段として機能させることを特徴とする。

上記課題を解決するための第１６の発明は、認証サーバを有するネットワークと認証サーバを有しないネットワークとを収容するコアネットワーク上のノードの通信方法であって、前記ノードが加入者データベースに基づいて発行されるＡＶ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
Ｖｅｃｔｏｒ）のコピーを、自ノードと異なる構成のネットワーク上のノードとの間で送受信する送受信ステップと、送信されて来るＡＶ又は前記受信されるＡＶのコピーを保持する認証情報保持ステップと、前記認証情報保持ステップで保持したＡＶを用いて、自ノードが設けられているネットワークにアクセスしてきた端末の認証を行う認証ステップとを有することを特徴とする。

上記課題を解決するための第１７の発明は、上記第１６に記載の発明において、前記認証情報保持ステップは、加入者データベースに基づいて前記認証サーバに対して発行されるＡＶ又は前記受信されるＡＶのコピーを保持するステップであることを特徴とする。

上記課題を解決するための第１８の発明は、上記第１６又は第１７の発明において、端末から送信される認証応答値を有するパケットに認証キーを使って計算したチェックサム値を追加して、前記認証サーバへ送信するステップを有することを特徴とする。

上記課題を解決するための第１９の発明は、上記第１８の発明において、前記認証保持ステップは、前記加入者データベースに基づいて認証サーバに対して発行されるＡＶの一部又は前記受信されるＡＶのコピーの一部を保持するステップであることを特徴とする。

上記課題を解決するための第２０の発明は、上記第１６から第１９のいずれかの発明において、前記ノードが、受信したＡＶのコピーを他ノードに送信する送信ステップを有することを特徴とする。

本発明は、アクセス網Ａ経由でネットワーク−ユーザ端末間のＡＫＡ相互認証が開始されると、まず加入者データベースＡよりアクセス網Ａ中のコアネットワークノードＡの認証ベクトル保持部に対し１ユーザ用のＡＶが複数個セットで発行される。

次に、コアネットワークノードＡの認証ベクトル保持部は認証ベクトル仲介部経由でアクセス網Ｂ中のコアネットワークノードＢの認証ベクトル仲介部と通信し、コピーしたＡＶセットを送信してコアネットワークノードＢの認証ベクトル保持部に持たせる（Ｓ１）。

アクセス網Ａ経由のＡＫＡ相互認証をユーザ端末のＵＳＩＭカードとコアネットワークノードＡの認証部との間で完了させる。

一方、しばらくしてユーザ端末がアクセス網Ｂのサービスを使い始め、アクセス網Ｂ経由のＡＫＡ相互認証を開始すると、ユーザ端末はコアネットワークノードＢのＡＡＡ代行部との間でＡＫＡ認証を行う。その際、ネットワーク側のＡＫＡ認証キーとしてはコアネットワークノードＢの認証ベクトル保持部が持っているＡＶセットの内の次のシーケンスナンバーのものが使われる。

上記とは逆に、先にアクセス網Ｂ経由でネットワーク−ユーザ端末間のＡＫＡ相互認証が開始されると、まず加入者データベースＢよりＡＡＡ Ｓｅｒｖｅｒに対し１ユーザ用のＡＶが複数個セットで発行される（Ｓ２）。

ＡＡＡ Ｓｅｒｖｅｒはアクセス網Ｂ中のコアネットワークノードＢの認証ベクトル仲介部と通信し、コピーしたＡＶセットを送信してコアネットワークノードＢの認証ベクトル保持部に持たせる。また、さらにアクセス網Ａ中のコアネットワークノードＡの認証ベクトル仲介部と通信し、コピーしたＡＶセットを送信してコアネットワークノードＡの認証ベクトル保持部に持たせる。それから、アクセス網Ｂ経由のＡＫＡ相互認証をユーザ端末のＵＳＩＭカードとコアネットワークノードＢのＡＡＡ代行部との間で完了させる。

一方、しばらくしてユーザ端末がアクセス網Ａのサービスを使い始め、アクセス網Ａ経由のＡＫＡ相互認証を開始すると、ユーザ端末はコアネットワークノードＡの認証部との間でＡＫＡ認証を行う。その際、ネットワーク側のＡＫＡ認証キーとしてはコアネットワークノードＡの認証ベクトル保持部が持っているＡＶセットの内の次のシーケンスナンバーのものが使われる。

上記によって、本発明の課題は解決される。

また、本発明は、ユーザ端末がアクセス網Ｂ経由のＡＫＡ相互認証用の専用特殊ヘッダを作成できないとき、コアネットワークノードＢの特殊ヘッダ作成部との間でアクセス網Ｂの汎用認証プロトコルにより通信を行う。この特殊ヘッダは、送受信の双方でＡＶが含むＩＫ（Ｉｎｔｅｇｒｉｔｙ Ｋｅｙ）、ＣＫ（Ｃｉｐｈｅｒ Ｋｅｙ）を使ったチェックサム計算を行う点が特徴である。上記のＳ１までが完了すると、コアネットワークノードＢの認証ベクトル保持部にＡＶが作成されている。ユーザ端末は、コアネットワークノードＢの特殊ヘッダ作成部との間でＵＳＩＭカード中のＡＫＡ計算結果である認証応答値（ＲＥＳ値）をアクセス網Ｂの汎用認証プロトコルに載せてやり取りする。一方、コアネットワークノードＢの特殊ヘッダ作成部は、ＡＡＡ Ｓｅｒｖｅｒとの間で認証ベクトル保持部中のＡＶが含むＩＫ、ＣＫを使って計算したチェックサム値を認証プロトコルに載せてやり取りする。こうして、ユーザ端末とＡＡＡ Ｓｅｒｖｅｒとの間でＡＫＡ認証を完了させる。

上記S2までが完了した後、ＡＡＡ ＳｅｒｖｅｒはコアネットワークノードＢの認証ベクトル仲介部と通信し、ＡＶセットの中のＩＫ、ＣＫのみをコピーして送信し、コアネットワークノードＢの認証ベクトル保持部に持たせる。ユーザ端末は、コアネットワークノードＢの特殊ヘッダ作成部との間でＵＳＩＭカード中のＡＫＡ計算結果である認証応答値（ＲＥＳ値）をアクセス網Ｂの汎用認証プロトコルに載せてやり取りする。一方、コアネットワークノードＢの特殊ヘッダ作成部は、ＡＡＡ Ｓｅｒｖｅｒとの間で認証ベクトル保持部中のＩＫ、ＣＫを使って計算したチェックサム値を認証プロトコルに載せてやり取りする。こうして、ユーザ端末とＡＡＡ Ｓｅｒｖｅｒとの間でＡＫＡ認証を完了させる。

上記によって、本発明の課題は解決される。

本発明によると、ＭＮがＡＫＡ認証を適用して複数の無線アクセスサービスを受けようとするとき、加入者データベースのサーバ負荷を下げることができる。

また、ネットワーク側でＡＫＡ認証キーの連携を行うため、ユーザ端末は既存のものをそのまま用いることができる。

また、特殊なヘッダを扱うことなくＡＫＡ認証を実現できる。

また、新たな無線インタフェース利用時にＳＩＭ、ＵＳＩＭカードベースのＡＫＡ認証を行う必要があるとき、ユーザ端末に新たに特殊なヘッダを作成するプロトコルを追加する必要がない。

本発明を実施するための第１の実施の形態について図１を用いて詳細に説明する。

図１に本発明の第１の実施の形態のシステム構成図を示す。

アクセス網Ａ７０は、方式Ａの無線アクセスネットワークであり、複数台の基地局５１を有する。

アクセス網Ｂ７１は、方式Ｂの無線アクセスネットワークであり、複数台の基地局５２を有する。この方式Ｂは方式Ａとは異なる種類の無線アクセスネットワークである。

コアネットワーク７２は、通信事業車間を結ぶ基幹通信回線であり、複数の無線アクセス網を収容している。コアネットワーク７２が収容している無線アクセス網は複数の種類からなる無線アクセスサービス網であり、種類が異なる無線アクセス網同士の構成要素は同一ではない。

アクセス網Ａ７０は、コアネットワークノードＡ５３、インターネットゲートウェイであるＧＷＡ５８、加入者データベースＡ５６から構成される。

アクセス網Ｂ７１は、コアネットワークノードＢ５４、インターネットゲートウェイであるＧＷＢ５９、加入者データベースＢ５７、認証サーバであるＡＡＡ Ｓｅｒｖｅｒ５５から構成される。

ユーザ端末５０はアクセス方式Ａ、Ｂの両無線カードを搭載している。

ＡＡＡ Ｓｅｒｖｅｒ５５中にはＡＶ６９が保持されている。

ＧＷＡ５８およびＧＷＢ５９はＩｎｔｅｒｎｅｔ６０への接続ゲートウェイとなっている。

コアネットワークノードＡ５３中には、認証部６１及びＡＶ６７を保持している認証ベクトル保持部６３があり、さらに本発明用に追加した認証ベクトル仲介部６２がある。

コアネットワークノードＢ５４中には、本発明用に追加した認証ベクトル仲介部６４、ＡＡＡ代行部６５、及びＡＶ６８を保持している認証ベクトル保持部６６がある。

続いて、図２を用いて、本実施の形態の動作について説明する。

＜１＞アクセス網Ａのサービスを利用した後でアクセス網Ｂのサービスを利用する場合

ユーザがユーザ端末５０を用いてアクセス網Ａ７０経由でサービスを利用するとき、ネットワーク側からの起動でネットワーク−ユーザ端末間のＡＫＡ相互認証が開始される（ステップＳ１０１）。

加入者データベースＡ５６に基づいて、アクセス網Ａ７０の制御部よりコアネットワークノードＡ５３の認証ベクトル保持部６３に対し１ユーザ用のＡＶ６７が複数個をセットにして発行される（ステップＳ１０２）。

次に、コアネットワークノードＡ５３の認証ベクトル保持部６３は、認証ベクトル仲介部６２経由でアクセス網Ｂ７１の接続ゲートウェイであるコアネットワークノードＢ５４の認証ベクトル仲介部６４と通信し、コピーしたＡＶセットを送信して（ステップＳ１０３）、コアネットワークノードＢ５４の認証ベクトル保持部６６に持たせる（ステップＳ１０４）。

アクセス網Ａ７０経由のＡＫＡ相互認証は、ユーザ端末５０のＵＳＩＭカードとコアネットワークノードＡ５３の認証部６１との間で完了される（ステップＳ１０５）。なお、認証ベクトル保持部６３、６６はＡＶを加入者識別子で検索できるようなテーブルとして保持している。

一方、しばらくして、ユーザ端末がアクセス網Ｂ７１経由のサービスを使い始めると、アクセス網Ｂ７１経由のＡＫＡ相互認証が開始される（ステップＳ１０６）。これによって、ユーザ端末はコアネットワークノードＢ５４のＡＡＡ代行部６５との間でＡＫＡ認証を行う（ステップＳ１０７）。その際、ネットワーク側のＡＫＡ認証キーとしてはコアネットワークノードＢ５４の認証ベクトル保持部６６が持っているＡＶセット６８の中の次のシーケンスナンバーが使われる。尚、ＡＶ６７、６８、６９は、乱数ＲＡＮＤ、ユーザ端末５０から受信するＲＥＳの期待値ＸＲＥＳ、特殊ヘッダ作成時のチェックサム計算に使うＩｎｔｅｇｒｉｔｙキー ＩＫ、Ｃｉｐｈｅｒキー ＣＫ、認証トークンＡＵＴＮから成る。

一方、ユーザ端末５０は、受信したＲＡＮＤ、ＡＵＴＮを元にＵＳＩＭカード中でレスポンス値ＲＥＳ、ネットワーク側から受信するＭＡＣの期待値ＸＭＡＣ、特殊ヘッダ作成時のチェックサム計算に使うＩｎｔｅｇｒｉｔｙキー ＩＫ、Ｃｉｐｈｅｒキー ＣＫを算出し、ネットワークの正当性を確認した上でネットワークにＲＥＳを送信する（ステップＳ１０８）。

＜２＞アクセス網Ｂのサービスを利用した後でアクセス網Ａのサービスを利用する場合

ユーザ端末がアクセス網Ｂ７１経由でサービスを利用するとき、ネットワーク−ユーザ端末間のＡＫＡ相互認証が開始される（ステップＳ２０１）。

加入者データベースＢ５７に基づいて、アクセス網Ｂ７１の制御部よりＡＡＡ Ｓｅｒｖｅｒ５５に対し１ユーザ用のＡＶ６９が複数個をセットにして発行される（ステップＳ２０２）。

次に、ＡＡＡ Ｓｅｒｖｅｒ５５は、コアネットワークノードＢ５４の認証ベクトル仲介部６４と通信し、コピーしたＡＶセットを送信して（ステップＳ２０３）、コアネットワークノードＢ５４の認証ベクトル保持部６６に持たせる（ステップＳ２０４）。

さらに、認証ベクトル仲介部６４は、コアネットワークノードＡ５３の認証ベクトル仲介部６２と通信し、コピーしたＡＶセットを送信して（ステップＳ２０５）コアネットワークノードＡ５３の認証ベクトル保持部６３に持たせる（ステップＳ２０６）。

アクセス網Ｂ７１経由のＡＫＡ相互認証は、ユーザ端末５０のＵＳＩＭカードとコアネットワークノードＢ５４のＡＡＡ代行部６５との間で完了される（ステップＳ２０７）。

一方、しばらくして、ユーザ端末がアクセス網Ａ７０経由のサービスを使い始めると、アクセス網Ａ７０経由のＡＫＡ相互認証が開始される（ステップＳ２０８）。これにより、ユーザ端末はコアネットワークノードＡ５３の認証部６１との間でＡＫＡ認証を行う（ステップＳ２０９）。その際、ネットワーク側のＡＫＡ認証キーとしてはコアネットワークノードＡ５３の認証ベクトル保持部６３が持っているＡＶセット６７の中の次のシーケンスナンバーが使われる。

続いて、本発明における第２の実施の形態について説明する。

図４に本発明の第２の実施の形態のシステム構成図を示す。

アクセス網Ａ９３は、方式Ａの無線アクセスネットワークであり、複数台の基地局７４を有する。

アクセス網Ｂ９４は、方式Ｂの無線アクセスネットワークであり、複数台の基地局７５を有する。この方式Ｂは方式Ａとは異なる種類である。

コアネットワーク９５は、複数の無線アクセス網を収容している。この複数の無線アクセス網は異なる無線アクセスサービス網であり、各無線アクセス網の構成要素は同一ではない。

アクセス網Ａ９３は、コアネットワークノードＡ７６、インターネットゲートウェイであるＧＷＡ８１、及び加入者データベースＡ７９から構成されている。

アクセス網Ｂ９４は、コアネットワークノードＢ７７、インターネットゲートウェイであるＧＷＢ８２、加入者データベースＢ８０、及び認証サーバであるＡＡＡ Ｓｅｒｖｅｒ７８から構成される。

ユーザ端末７３は、アクセス方式Ａ、Ｂの両無線カードを搭載している。

ＡＡＡ Ｓｅｒｖｅｒ７８中にはＡＶ９２が保持されている。

ＧＷＡ８１およびＧＷＢ８２はＩｎｔｅｒｎｅｔ８３への接続ゲートウェイとなっている。

コアネットワークノードＡ７６中には、認証部８４、ＡＶ９０を保持している認証ベクトル保持部８６があり、さらに本発明用に追加した認証ベクトル仲介部８５がある。

コアネットワークノードＢ７７中には、本発明の特徴である認証ベクトル仲介部８７、第１の実施の形態とは異なる追加点の特殊ヘッダ作成部８８、ＡＶまたはＩＫ／ＣＫ９１を保持している認証ベクトル保持部８９がある。

次に、本実施の形態の動作について図２を使って詳細に説明する。

＜１＞アクセス網Ａのサービスを利用した後でアクセス網Ｂのサービスを利用する場合

ユーザ端末７３がアクセス網Ｂ９４経由のＡＫＡ相互認証用の専用特殊ヘッダを作成できない構成の場合、ユーザ端末７３はコアネットワークノードＢ７７の特殊ヘッダ作成部８８との間でアクセス網Ｂ９４の汎用認証プロトコルによる通信を行う。この特殊ヘッダ作成部８８は、送受信の双方で、ＡＶに含まれているＩＫ（Ｉｎｔｅｇｒｉｔｙ Ｋｅｙ）及びＣＫ（Ｃｉｐｈｅｒ Ｋｅｙ）を使ったチェックサム計算を行う点が特徴となっている。

アクセス網Ａ９３経由でネットワーク−ユーザ端末間のＡＫＡ相互認証を開始し（ステップＳ３０１）、加入者データベースＡ７９よりコアネットワークノードＡ７６の認証ベクトル保持部８６に対し１ユーザ用のＡＶ９０が複数個セットで発行される（ステップＳ３０２）。

コアネットワークノードＡ７６の認証ベクトル保持部８６は、認証ベクトル仲介部８５経由でコアネットワークノードＢ７７の認証ベクトル仲介部８７と通信し、コピーしたＡＶセットを送信して（ステップＳ３０３）コアネットワークノードＢ７７の認証ベクトル保持部８９に持たせる（ステップＳ３０４）。

アクセス網Ａ９３経由のＡＫＡ相互認証はユーザ端末７３のＵＳＩＭカードとコアネットワークノードＡ７６の認証部８４との間で完了される（ステップＳ３０５）。なお、認証ベクトル保持部８６、８９はＡＶを加入者識別子で検索できるようなテーブルとして保持している。

一方、しばらくして、ユーザ端末がアクセス網Ｂ９４経由のサービスを使い始めると、アクセス網Ｂ９４経由のＡＫＡ相互認証を開始する（ステップＳ３０６）。そして、ユーザ端末は、特殊ヘッダ作成部８８との間でＡＫＡ認証を行う（ステップＳ３０７）。その際、ネットワーク側のＡＫＡ認証キーとしては、コアネットワークノードＢ７７の認証ベクトル保持部８９が持っているＡＶセット又はＩＫ／ＣＫ９１中の次のシーケンスナンバーが使われる。尚、ＡＶ９０、９１、９２は、乱数ＲＡＮＤ、ユーザ端末５０から受信するＲＥＳの期待値ＸＲＥＳ、特殊ヘッダ作成時のチェックサム計算に使うＩｎｔｅｇｒｉｔｙキー ＩＫ、Ｃｉｐｈｅｒキー ＣＫ、認証トークンＡＵＴＮから成る。しかしながら、ＡＶ９１は、少なくとも特殊ヘッダ作成時のチェックサム計算に使うＩｎｔｅｇｒｉｔｙキー ＩＫ、Ｃｉｐｈｅｒキー ＣＫからなっていれば良い。

ユーザ端末７３は、認証の際、コアネットワークノードＢ７７の特殊ヘッダ作成部８８との間でＵＳＩＭカード中のＡＫＡ計算結果である認証応答値（ＲＥＳ値）をアクセス網Ｂ９４の汎用認証プロトコルに載せてやり取りする（ステップＳ３０８）。

一方、コアネットワークノードＢ７７の特殊ヘッダ作成部８８は、ＡＡＡ Ｓｅｒｖｅｒ７８との間で認証ベクトル保持部８９中のＩＫ、ＣＫ９１を使って計算したチェックサム値を認証プロトコルに載せてやり取りする（ステップＳ３０９）。

こうして、ユーザ端末７３とＡＡＡ Ｓｅｒｖｅｒ７８との間でＡＫＡ認証が完了する。

＜２＞アクセス網Ｂのサービスを利用した後でアクセス網Ａのサービスを利用する場合

上記＜１＞とは逆に、先にアクセス網Ｂ９４経由でネットワーク−ユーザ端末間のＡＫＡ相互認証が開始すると（ステップＳ４０１）、まず加入者データベースＢ８０よりＡＡＡ Ｓｅｒｖｅｒ７８に対し１ユーザ用のＡＶ９２が複数個をセットにして発行される（ステップＳ４０２）。

ＡＡＡ Ｓｅｒｖｅｒ７８は、コアネットワークノードＢ７７の認証ベクトル仲介部８７と通信し、ＡＶセット９２の内ＩＫ、ＣＫのみをコピーして送信し（ステップＳ４０３）、コアネットワークノードＢ７７の認証ベクトル保持部８９に持たせる（ステップＳ４０４）。

ユーザ端末７３は、ＵＳＩＭカード中のＡＫＡ計算結果である認証応答値（ＲＥＳ値）をアクセス網Ｂ９４の汎用認証プロトコルに載せて、コアネットワークノードＢ７７の特殊ヘッダ作成部８８との間でやり取りする（ステップＳ４０５）。

一方、コアネットワークノードＢ７７の特殊ヘッダ作成部８８は、ＡＡＡ Ｓｅｒｖｅｒ７８との間で認証ベクトル保持部８９中のＩＫ、ＣＫ９１を使って計算したチェックサム値を認証プロトコルに載せてやり取りする（ステップＳ４０６）。こうして、ユーザ端末７３とＡＡＡ Ｓｅｒｖｅｒ７８との間でＡＫＡ認証が完了する。

一方、しばらくして、ユーザ端末がアクセス網Ａ９３経由のサービスを使い始め、アクセス網Ａ９３経由のＡＫＡ相互認証を開始する。そして、ユーザ端末は、コアネットワークノードＡ７６の認証部８４との間でＡＫＡ認証を行う。その際、ネットワーク側のＡＫＡ認証キーとして、コアネットワークノードＡ９３の認証ベクトル保持部８６が持っているＡＶセット９０の中の次のシーケンスナンバーが使われる。

上記は各アクセス網間でコアネットワークノード中の認証ベクトル仲介部によって通信してＡＶを渡している方法について説明したが、コアネットワークノード同士を一体に統合する方法であってもよい。

第１の実施の形態においてＡＡＡ Ｓｅｒｖｅｒをコアネットワークノードと統合する構成であっても良い。このような構成をとると、ＡＶをコアネットワーク中で転送する手間が省け、さらにコアネットワークノード同士も統合すればより手間が省ける。

第１の実施の形態において、アクセス網Ｂ側でＡＡＡ代行処理をやめ、ＡＡＡ Ｓｅｒｖｅｒとの認証を行うようにする構成であっても良い。

次に、本発明の実施例１を、図面を参照して説明する。かかる実施例１は、本発明の第１の実施の形態に対応するものである。

３ＧＰＰコアネットワークが３ＧＰＰサービスとＷＬＡＮサービスとを収容する場合について説明をする。

図7は、本発明の実施例１のシステム構成図である。

３ＧＰＰ ＲＡＮ（Ｒａｄｉｏ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ）２２は、３ＧＰＰ網サービスの無線アクセスネットワークであり、複数台のＲＮＣ（Ｒａｄｉｏ Ｎｅｔｗｏｒｋ Ｃｏｎｔｒｏｌｌｅｒ）４から構成される。ＲＮＣ４は複数台のＷＣＤＭＡ基地局Ｎｏｄｅ−Ｂ２を有する。

ＷＬＡＮ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ２３は、ＷＬＡＮ網サービスの無線アクセスネットワークであり、複数台のＡＰ（Ａｃｃｅｓｓ Ｐｏｉｎｔ）３を有する。

３ＧＰＰ ＣＮ（Ｃｏｒｅ Ｎｅｔｗｏｒｋ）２４は、３ＧＰＰ網（第３世代移動網）サービスのコアネットワークであり、３ＧＰＰ及びＷＬＡＮの両無線サービスを収容している。

３ＧＰＰＲＡＮ２２はＳＧＳＮ５、ＧＧＳＮ１０、及び加入者データベースであるＨＬＲ８から構成される。

ＷＬＡＮ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ２３は、ＷＡＧ（ＷＬＡＮ Ａｃｃｅｓｓ Ｇａｔｅｗａｙ）６、ＰＤＧ（Ｐａｃｋｅｔ Ｄａｔａ Ｇａｔｅｗａｙ）１１、加入者データベース拡張版であるＨＳＳ９、及び認証サーバである３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ７から構成される。

ユーザ端末１は３ＧＰＰとＷＬＡＮとの両無線カードを搭載している。

３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ７中にはＡＶ２１が保持されている。

ＧＧＳＮ１０およびＰＤＧ１１はＩｎｔｅｒｎｅｔ１２への接続ゲートウェイとなっている。

ＳＧＳＮ５は、３ＧＰＰの標準機能として認証部１３及びＡＶ１９を保持している認証ベクトル保持部１５がある。さらにＳＧＳＮ５は、本発明用に追加した認証ベクトル仲介部１４がある。

ＷＡＧ６は、本発明で追加された認証ベクトル仲介部１６、ＡＡＡ代行部１７、ＡＶ２０を保持している認証ベクトル保持部１８がある。

続いて、本実施例の動作について説明する。

＜１＞３ＧＰＰサービスを利用した後でＷＬＡＮサービスを利用する場合

ユーザ端末が３ＧＰＰアクセス網経由でサービスを利用するとき、ネットワーク側からの起動でネットワーク−ユーザ端末間のＡＫＡ相互認証が開始される。

ＨＬＲ８よりＳＧＳＮ５の認証ベクトル保持部１５に対し１ユーザ用のＡＶ１９が複数個をセットにして発行される。

次に、ＳＧＳＮ５の認証ベクトル保持部１５は、認証ベクトル仲介部１４経由でＷＬＡＮアクセス網の接続ゲートウェイであるＷＡＧ６の認証ベクトル仲介部１６と通信し、コピーしたＡＶセットを送信してＷＡＧ６の認証ベクトル保持部１８に持たせる。

３ＧＰＰアクセス網経由のＡＫＡ相互認証をユーザ端末１のＵＳＩＭカードとＳＧＳＮ５の認証部１３との間で３ＧＰＰ標準通りに完了させる。なお、認証ベクトル保持部１５、１８は、ＡＶを加入者識別子であるＩＭＳＩ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ）で検索できるテーブルとして保持している。

一方、しばらくして、ユーザ端末が、ＷＬＡＮサービスを使い始め、ＷＬＡＮ網経由のＡＫＡ相互認証を開始する。そして、ユーザ端末は、ＷＡＧ６のＡＡＡ代行部１７との間でＡＫＡ認証を行う。その際、ネットワーク側のＡＫＡ認証キーとして、ＷＡＧ６の認証ベクトル保持部１８が持っているＡＶセット２０の内の次のシーケンスナンバーが使われる。なお、３ＧＰＰ標準では３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ７の持つＡＶ２１との間でＡＫＡ認証を行うことになっているため、この点で従来技術とは異なっている。

ＡＶ１９、２０、２１は、乱数ＲＡＮＤ、ユーザ端末１から受信するＲＥＳの期待値ＸＲＥＳ、ＥＡＰ／ＡＫＡヘッダ作成時のチェックサム計算に使うＩｎｔｅｇｒｉｔｙキー ＩＫ、Ｃｉｐｈｅｒキー ＣＫ、認証トークンＡＵＴＮから成る。

一方、ユーザ端末１は、受信したＲＡＮＤ、ＡＵＴＮを基に、ＵＳＩＭカード中でレスポンス値ＲＥＳ、ネットワーク側から受信するＭＡＣの期待値ＸＭＡＣ、ＥＡＰ／ＡＫＡヘッダ作成時のチェックサム計算に使うＩｎｔｅｇｒｉｔｙキー ＩＫ、Ｃｉｐｈｅｒキー ＣＫを算出し、ネットワークの正当性を確認した上でネットワークにＲＥＳを送信する。

＜２＞ＷＬＡＮサービスを利用した後で３ＧＰＰサービスを利用する場合

ユーザ端末がＷＬＡＮアクセス網経由でサービスを利用するとき、３ＧＰＰ ＴＳ ３３．２３４の標準シーケンスに沿ってネットワーク−ユーザ端末間のＡＫＡ相互認証が開始される。

ＨＳＳ９より３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ７に対し１ユーザ用のＡＶ２１が複数個をセットにして発行される。次に、３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ７はＷＡＧ６の認証ベクトル仲介部１６と通信し、コピーしたＡＶセットを送信してＷＡＧ６の認証ベクトル保持部１８に持たせる。

さらに、認証ベクトル仲介部１６は、ＳＧＳＮ５の認証ベクトル仲介部１４と通信し、コピーしたＡＶセットを送信してＳＧＳＮ５の認証ベクトル保持部１５に持たせる。

ＷＬＡＮアクセス網経由のＡＫＡ相互認証をユーザ端末１のＵＳＩＭカードとＷＡＧ６のＡＡＡ代行部１７との間で３ＧＰＰ標準通りに完了させる。

一方、しばらくして、ユーザ端末が、３ＧＰＰサービスを使い始め、３ＧＰＰ網経由のＡＫＡ相互認証を開始する。そして、ユーザ端末はＳＧＳＮ５の認証部１３との間でＡＫＡ認証を行う。その際、ネットワーク側のＡＫＡ認証キーとして、ＳＧＳＮ５の認証ベクトル保持部１５が持っているＡＶセット１９の内の次のシーケンスナンバーが使われる。

次に実施例２について図８を使って説明する。

図８は、本発明の手段２のシステム構成図である。実施例１と同様の構成であるが、３ＧＰＰ ＲＡＮ４６は３ＧＰＰ網サービスの無線アクセスネットワークであり、複数台のＲＮＣ２８から構成される。

ＲＮＣ２８は複数台のＷＣＤＭＡ基地局Ｎｏｄｅ−Ｂ２６を有する。

ＷＬＡＮ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ４７は、ＷＬＡＮ網サービスの無線アクセスネットワークであり、複数台のＡＰ２７を有する。

３ＧＰＰ ＣＮ４８は、３ＧＰＰ網サービスのコアネットワークであり、３ＧＰＰ、ＷＬＡＮの両無線サービスを収容している。

３ＧＰＰ無線は、ＳＧＳＮ２９およびＧＧＳＮ３４、加入者データベースであるＨＬＲ３２から構成される。

ＷＬＡＮ無線は、ＷＡＧ３０、ＰＤＧ３５、加入者データベース拡張版であるＨＳＳ３３、認証サーバである３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ３１から構成される。

ユーザ端末２５は３ＧＰＰとＷＬＡＮの両無線カードを搭載している。

３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ３１中にはＡＶ４５が保持されている。

ＧＧＳＮ３４およびＰＤＧ３５はＩｎｔｅｒｎｅｔ３６への接続ゲートウェイとなっている。

ＳＧＳＮ２９中には３ＧＰＰ標準通りの機能として認証部３７、ＡＶ４３を保持している認証ベクトル保持部３９があり、さらに本発明用に追加した認証ベクトル仲介部３８がある。

ＷＡＧ３０中には本発明用に追加した認証ベクトル仲介部４０、手段１とは異なる追加点のＥＡＰ／ＡＫＡ代行部４１、ＡＶまたはＩＫ／ＣＫ４４を保持している認証ベクトル保持部４２がある。

続いて、本実施例の動作について説明する。

＜１＞３ＧＰＰサービスを利用した後でＷＬＡＮサービスを利用する場合

ユーザ端末２５がＷＬＡＮ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ４７経由のＡＫＡ相互認証用の専用ＥＡＰ／ＡＫＡヘッダを作成できないとき、ユーザ端末がＷＡＧ３０のＥＡＰ／ＡＫＡ代行部４１との間でＷＬＡＮ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ４７の汎用認証プロトコルにより通信を行う。このＥＡＰ／ＡＫＡヘッダは、送受信の双方でＡＶに含まれているＩＫ（Ｉｎｔｅｇｒｉｔｙ Ｋｅｙ）、ＣＫ（Ｃｉｐｈｅｒ Ｋｅｙ）を使ったチェックサム計算を行う点が特徴となっている。

３ＧＰＰ ＲＡＮ４６経由でネットワーク−ユーザ端末間のＡＫＡ相互認証が開始され、ＨＬＲ３２よりＳＧＳＮ２９の認証ベクトル保持部３９に対し１ユーザ用のＡＶ４３が複数個をセットにして発行される。

ＳＧＳＮ２９の認証ベクトル保持部３９は、認証ベクトル仲介部３８経由でＷＡＧ３０の認証ベクトル仲介部４０と通信し、コピーしたＡＶセットを送信してＷＡＧ３０の認証ベクトル保持部４２に持たせる。

ユーザ端末２５は、ＵＳＩＭカード中のＡＫＡ計算結果である認証応答値（ＲＥＳ値）をＷＬＡＮ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ４７の汎用認証プロトコルに載せて、ＷＡＧ３０のＥＡＰ／ＡＫＡ代行部４１との間でやり取りする。

一方、ＷＡＧ３０のＥＡＰ／ＡＫＡ代行部４１は、３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ３１との間で認証ベクトル保持部４２中のＩＫ、ＣＫ４４を使って計算したチェックサム値を認証プロトコルに載せてやり取りする。

こうして、ユーザ端末２５と３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ３１との間でＡＫＡ認証を完了させる。

＜２＞ＷＬＡＮサービスを利用した後で３ＧＰＰサービスを利用する場合

上記＜１＞とは逆に、先にＷＬＡＮ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ４７経由でネットワーク−ユーザ端末間のＡＫＡ相互認証が開始されると、まずＨＳＳ３３より３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ３１に対し１ユーザ用のＡＶ４５が複数個をセットにして発行される。

３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ３１はＷＡＧ３０の認証ベクトル仲介部４０と通信し、ＡＶセット４５の内ＩＫ、ＣＫのみをコピーして送信し、ＷＡＧ３０の認証ベクトル保持部４２に持たせる。

ユーザ端末２５は、ＷＡＧ３０のＥＡＰ／ＡＫＡヘッダ作成部４１との間でＵＳＩＭカード中のＡＫＡ計算結果である認証応答値（ＲＥＳ値）をＷＬＡＮ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ４７の汎用認証プロトコルに載せて、ＷＡＧ３０のＥＡＰ／ＡＫＡヘッダ作成部４１との間でやり取りする。

一方、ＷＡＧ３０のＥＡＰ／ＡＫＡヘッダ作成部４１は、３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ３１との間で認証ベクトル保持部４２中のＩＫ、ＣＫ４４を使って計算したチェックサム値を認証プロトコルに載せてやり取りする。

こうして、ユーザ端末２５と３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ３１との間でＡＫＡ認証を完了させる。

尚、上述した各処理部を、プログラムで動作するプロセッサや、情報が記憶されるメモリや、記憶媒体によって、上述した実施の形態と同様の機能、動作を実現させても良い。

図１は、本発明の第１の実施の形態のシステム構成図である。 図２は、本発明の第１の実施の形態の動作を説明するためのフローチャートである。 図３は、本発明の第１の実施の形態の動作を説明するためのフローチャートである。 図４は、本発明の第２の実施の形態のシステム構成図である。 図５は、本発明の第２の実施の形態の動作を説明するためのフローチャートである。 図６は、本発明の第２の実施の形態の動作を説明するためのフローチャートである。 図７は、本発明の実施例１のシステム構成図である。 図８は、本発明の実施例２のシステム構成図である。

符号の説明

１、２５、５０、７３ ユーザ端末
２、２６ Ｎｏｄｅ−Ｂ（ＷＣＤＭＡ基地局）
３、２７ ＡＰ（ＷＬＡＮアクセスポイント）
４、２８ ＲＮＣ（無線ネットワークコントローラ）
５、２９ ＳＧＳＮ（サービングＧＳＮノード）
６、３０ ＷＡＧ（ＷＬＡＮアクセスゲートウェイ）
７、３１ ３ＧＰＰ ＡＡＡ Ｓｅｒｖｅｒ（３ＧＰＰ Ａ
ＡＡサーバ）
８、３２ ＨＬＲ（加入者データベース）
９、３３ ＨＳＳ（加入者データベース拡張版）
１０、３４ ＧＧＳＮ（ゲートウェイＧＳＮノード）
１１、３５ ＰＤＧ（パケットデータゲートウェイ）
２２、４６ ３ＧＰＰ ＲＡＮ（第３世代移動網 無線アクセ
スネットワーク）
２４、４８ ３ＧＰＰ ＣＮ（第３世代移動網 コアネットワ
ーク）
２３、４７ ＷＬＡＮ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ（ＷＬ
ＡＮアクセスネットワーク）
５８、５９、８１、８２ ＧＷＡ（Ｂ）（インターネットゲートウェイ）

Claims (20)

1. 通信システムであって、
   認証サーバを有するネットワークに接続されているノードと認証サーバを有しないネットワークに接続されているノードとをコアネットワーク上に有し、
   加入者データベースに基づいて発行されるＡＶ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
   Ｖｅｃｔｏｒ）のコピーを前記ノード間で送受信し、前記加入者データベースに基づいて発行されるＡＶ又は前記受信したＡＶのコピーを用いて、自ノードが設けられているネットワークにアクセスしてきた端末のＡＫＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
   ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ）認証を行うように構成されている
   ことを特徴とする通信システム。
2. 前記ノードは、
   前記ＡＶのコピーを受信する受信手段と、
   前記加入者データベースに基づいて前記認証サーバに対して発行されるＡＶ又は前記受信されるＡＶのコピーを保持する認証情報保持手段と、
   前記認証情報保持手段が保持するＡＶを用いて、無線ＬＡＮのネットワークにアクセスしてきた端末の認証を行う認証手段と
   を有することを特徴とする請求項１に記載の通信システム。
3. 端末から送信される認証応答値を有するパケットに認証キーを使って計算したチェックサム値を追加して、前記認証サーバへ送信する手段を有することを特徴とする請求項２に記載の通信システム。
4. 前記認証保持手段は、前記加入者データベースに基づいて前記認証サーバに対して発行されるＡＶの一部又は前記受信されるＡＶのコピーの一部を保持する認証保持手段であることを特徴とする請求項２又は請求項３に記載の通信システム。
5. 前記ノードは、受信したＡＶのコピーを他ノードに送信する送信手段を有することを特徴とする請求項１から請求項４のいずれかに記載の通信システム。
6. 認証サーバを有するネットワークと認証サーバを有しないネットワークとを収容するコアネットワーク上のノードであって、
   加入者データベースに基づいて発行されるＡＶ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
   Ｖｅｃｔｏｒ）のコピーを、自ノードと異なる構成のネットワーク上のノードとの間で送受信する送受信手段と、
   前記加入者データベースに基づいて発行されるＡＶ又は前記受信されるＡＶのコピーを保持する認証情報保持手段と、
   前記認証情報保持手段が保持するＡＶを用いて、自ノードが設けられているネットワークにアクセスしてきた端末の認証を行う認証手段と
   を有することを特徴とするノード。
7. 前記認証情報保持手段は、加入者データベースに基づいて前記認証サーバに対して発行されるＡＶ又は前記受信されるＡＶのコピーを保持する手段であることを特徴とする請求項６に記載のノード。
8. 端末から送信される認証応答値を有するパケットに認証キーを使って計算したチェックサム値を追加して、前記認証サーバへ送信する手段を有することを特徴とする請求項６又は請求項７に記載のノード。
9. 前記認証保持手段は、前記加入者データベースに基づいて認証サーバに対して発行されるＡＶの一部又は前記受信されるＡＶのコピーの一部を保持する手段であることを特徴とする請求項８に記載のノード。
10. 受信したＡＶのコピーを他ノードに送信する送信手段を有することを特徴とする請求項６から請求項９のいずれかに記載のノード。
11. 認証サーバを有するネットワークと認証サーバを有しないネットワークとを収容するコアネットワーク上のノードのプログラムであって、
    前記プログラムは、
    前記ノードを、
    加入者データベースに基づいて発行されるＡＶ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
    Ｖｅｃｔｏｒ）のコピーを、自ノードと異なる構成のネットワーク上のノードとの間で送受信する送受信手段と、
    送信されて来るＡＶ又は前記受信されるＡＶのコピーを保持する認証情報保持手段と、
    前記認証情報保持手段が保持するＡＶを用いて、自ノードが設けられているネットワークにアクセスしてきた端末の認証を行う認証手段と
    して機能させることを特徴とするプログラム。
12. 前記プログラムは、前記認証情報保持手段を、加入者データベースに基づいて前記認証サーバに対して発行されるＡＶ又は前記受信されるＡＶのコピーを保持する手段として機能させることを特徴とする請求項１１に記載のプログラム。
13. 端末から送信される認証応答値を有するパケットに認証キーを使って計算したチェックサム値を追加して、前記認証サーバへ送信する手段として機能させることを特徴とする請求項１１又は請求項１２に記載のプログラム。
14. 前記プログラムは、前記認証保持手段を、前記加入者データベースに基づいて認証サーバに対して発行されるＡＶの一部又は前記受信されるＡＶのコピーの一部を保持する手段として機能させることを特徴とする請求項１３に記載のプログラム。
15. 前記プログラムは、前記ノードを、受信したＡＶのコピーを他ノードに送信する送信手段として機能させることを特徴とする請求項１１から請求項１４のいずれかに記載のプログラム。
16. 認証サーバを有するネットワークと認証サーバを有しないネットワークとを収容するコアネットワーク上のノードの通信方法であって、前記ノードが
    加入者データベースに基づいて発行されるＡＶ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
    Ｖｅｃｔｏｒ）のコピーを、自ノードと異なる構成のネットワーク上のノードとの間で送受信する送受信ステップと、
    送信されて来るＡＶ又は前記受信されるＡＶのコピーを保持する認証情報保持ステップと、
    前記認証情報保持ステップで保持したＡＶを用いて、自ノードが設けられているネットワークにアクセスしてきた端末の認証を行う認証ステップと
    を有することを特徴とする通信方法。
17. 前記認証情報保持ステップは、加入者データベースに基づいて前記認証サーバに対して発行されるＡＶ又は前記受信されるＡＶのコピーを保持するステップであることを特徴とする請求項１６に記載の通信方法。
18. 前記ノードが、端末から送信される認証応答値を有するパケットに認証キーを使って計算したチェックサム値を追加して、前記認証サーバへ送信するステップを有することを特徴とする請求項１６又は請求項１７に記載の通信方法。
19. 前記認証保持ステップは、前記加入者データベースに基づいて認証サーバに対して発行されるＡＶの一部又は前記受信されるＡＶのコピーの一部を保持するステップであることを特徴とする請求項１８に記載の通信方法。
20. 前記ノードが、受信したＡＶのコピーを他ノードに送信する送信ステップを有することを特徴とする請求項１６から請求項１９のいずれかに記載の通信方法。

Images