JP5159878B2 - インターネットプロトコル認証とモビリティシグナリングとを結合するための方法と装置 - Google Patents

Description

本発明は、無線ネットワークに関する。さらに詳細に、本発明は、インターネットプロトコル層の認証と無線ネットワークにおけるモビリティシグナリングのセキュリティとの最適化に関する。

第３世代（３Ｇ）の進化は、現在、第３世代パートナーシッププロジェクト（３ＧＰＰ）の中で仕様化が進められている。信頼できる非３ＧＰＰ（ｎｏｎ−３ＧＰＰ）アクセスの考え方は、リンク層加入者認証（ｌｉｎｋ ｌａｙｅｒ ｓｕｂｓｃｒｉｂｅｒ ａｕｔｈｅｎｔｉｃａｔｉｏｎ）をホームＡＡＡサーバに実行させることにあるであろう。（非３ＧＰＰアクセスは、ＧＥＲＡＮ／ＵＴＲＡＮ／ＥＵＴＲＡＮ以外の任意のアクセスとして定義される。）非３ＧＰＰアクセスに対する認証は、リンク層の上での最初の認証によって行われる。これは例えば、数回の往復（ｒｏｕｎｄ ｔｒｉｐ）を必要とするＵＭＴＳＡＫＡ（ＵＭＴＳ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ）に対してＥＡＰの方法（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ Ｍｅｔｈｏｄ）（ＥＡＰ／ＡＫＡ）を適用することである。信頼できるアクセスネットワークにおけるアクセスルータ（ＡＲ）は、典型的に、ＥＡＰ／ＡＫＡの動作における認証装置を通るパスである。これに引き続いて、ＩＰ層の上で、モバイルノード（ＭＮ）とパケットデータネットワークゲートウェイ（ＰＤＮＧＷ）の中に位置するモバイルＩＰホームエージェント（ＨＡ）との間で別の認証が行われる。ＰＤＮＧＷはまた、３ＧＰＰアクセスに対するアンカーポイントである。ＩＰ層認証はまた、モビリティシグナリングのセキュリティを保証するのに必要なセキュリティパラメータと鍵（キー）とに帰着する。結果として、ＩＰ層認証によりリンク層認証にレイテンシが付け加えられるであろう。

特に、ハンドオーバの状況下は、実時間アプリケーションに対しては遅延が決定的要因であり、２つの認証を動作させることは無駄である。非３ＧＰＰアクセスにおける認証処理は明らかに非効率的であり、複数の認証プロトコルを動作させることになる。

プロキシモバイルＩＰｖ６（ＰＭＩＰｖ６）プロトコルは、システムアーキテクチャエボリューション−長期エボリューション（ＳＡＥ／ＬＴＥ）においてネットワークが主導して行うモビリティプロトコルとして使用するよう提案されている。この提案は、このプロトコルをＳ５インタフェース（ＰＤＮＧＷとＳ−ＧＷとの間）参照点およびＳ８ｂインタフェース（ＰＤＮＧＷと移動先Ｓ−ＧＷとの間）参照点の上で動作させるとしている（３ＧＰＰ ＴＳ２３．４０１参照）。

ＰＭＩＰｖ６は、モバイルアクセスゲートウェイ（ＭＡＧ）に、６４ビットのホームプリフィックスを、モバイルノード（ＭＮ）に対して広告させて、ＭＮがまだホームネットワークに接続されているとＭＮが信じ、その結果ＭＮが自分のホームアドレスを保持するようにさせることに基づいている。ＭＡＧはアクセスルータ（ＡＲ）の中に位置している。それと並行して、ＭＡＧはＰＢＵ（Ｐｒｏｘｙ Ｂｉｎｄｉｎｇ Ｕｐｄａｔｅ）をＭＮのＨＡに送信し、ＭＮのホームアドレス（ＨｏＡ）とＭＡＧの出口インタフェースアドレスとの間の結合を要求する（すなわち、ＭＡＧの出口インタフェースは気付けアドレス（ＣｏＡ：Ｃａｒｅ ｏｆ Ａｄｄｅｓｓ）の役目を演ずるであろう）。

ＭＡＧは、リンク層認証が成功裏に進行中にまたは成功裡に終了してから、ＭＮのＨＡのアドレスとＭＮのホームプリフィックスと、またさらに、アドレス構成の型とを取得する。

標準のモバイルＩＰと比較して、これは、ＭＮがモビリティイベントを知らない状態にＭＮを保持するという利点を有し、ＭＮとそのＨＡとの間に明確なセキュリティの接続を必要としない（これは、現在はＭＡＧによって管理され、ＨＡとＭＡＧとの間のリンクは安全（セキュア）であることが保証されていると仮定している）。

ＰＭＩＰｖ６に関する更なる情報は、www.ietf.org/internet-drafts/draft-ietf-netlmm-proxy-mobileipv6-17.txtを参照されたい。

例えば、ＷＬＡＮにおけるように、複数の端末が同一のアクセスリンクを共有する場合には、そのリンクの上にある全ての端末は互いのパケットを見る。そして、それらのパケットは、ある意味では、端末の間で直接に伝送される。このことは、セキュリティに対していくつかの意味を持つ。以下では我々はＩＰｖ６を仮定する。

端末がリンクの上に最初に出現したときには、その端末はルータ要請メッセージ（ＲｔＳｏｌ）送信するであろう。そして、アクセスルータ（ＡＲ）からのルータ広告（ＲｔＡｄｖ）の応答を期待するであろう。ＲｔＡｄｖは、端末が自分のＩＰアドレスを設定するのに使用すべきアドレスプリフィックスを含む。リンクの上に存在する攻撃者は、ルータ要請メッセージへ応答するルータ広告を悪用することができる。

端末がルータ広告を受信してそのＩＰアドレスを設定したとすれば、端末はそのＩＰアドレスを含むアドレス複製検出メッセージ（ａｄｄｒｅｓｓ ｄｕｐｌｉｃａｔｉｏｎ ｄｅｔｅｃｔｉｏｎ ｍｅｓｓａｇｅ）をリンクの上に送信すると考えられる。もしこのアドレスがリンクの上の他の誰かによって既に使用されているならば、端末は新しいアドレスを生成し、再びアドレス複製検出手順を実行しなければならない。再び、同じリンクの上の攻撃者は、リンクの上に送信される全てのアドレス複製検出メッセージに応答することができ、効率的に、他の全ての端末に対するサービスを拒否することができる。

同じリンクの上でパケットを別の端末に送信することを希望する端末は、そのＩＰアドレスを解決してリンク層アドレスにする必要がある。これは、端末が、ある特定のＩＰアドレスに属するリンク層アドレスをリンクの上で問うことによって行われる。使用されるプロトコルは、ＩＰアドレスの真の所有者だけが応答するであろうことを意図している。しかし、明らかに、いずれの攻撃者もこの照会に応答することができる。

これらのメッセージは近隣探索プロトコルの一部分である（ＲＦＣ２４６１およびＲＦＣ２４６２参照）。上記で述べた攻撃に対処するために、ＩＥＴＦは、セキュア近隣探索（ＳＥＮＤ）プロトコルを仕様化した。このプロトコルは公開鍵暗号化に基づいており、ここでは、アドレス（ＣＧＡ：Ｃｒｉｐｔｏｇｒａｐｈｉｃａｌｌｙ Ｇｅｎｅｒａｔｅｄ Ａｄｄｒｅｓｓ）は、秘密鍵／公開鍵ペアに結びつけられ、アドレス管理に関わる全てのメッセージに対してディジタル署名が行われる。

ＣＧＡの生成は多少負荷が大きい。全てのアドレス管理メッセージに署名をすることは、端末とアクセスルータの双方に相当多くの処理負荷を課することになる。署名と証明書が追加される必要がある場合には、メッセージサイズは大幅に増大する。失効した証明書の検証は更なる往復を必要とし、端末とアクセスルータの双方に負荷を与える。

インターネットプロトコル認証とモビリティシグナリングとを結合するためのシステムと方法とが得られれば有利なことであろう。本発明は、これらのシステムと方法とを提供するものである。

パケットデータネットワークゲートウェイを使用してインターネットプロトコル層認証およびモビリティシグナリングを結合するための方法と装置とが記述される。１つの実施形態においては、マスタ鍵と第１のインタフェース識別子とが受信される。ルータ要請と第２のインタフェース識別子とが受信される。ここで、第１のインタフェース識別子と第２のインタフェース識別子とは同一である。ルータ要請の完全性は、マスタ鍵、第１のインタフェース識別子、および第２のインタフェース識別子によって確認される。

パケットデータネットワークゲートウェイを使用してインターネットプロトコル層認証およびモビリティシグナリングを結合するための方法と装置とが記述される。第１のインタフェース識別子を使用して、記憶されたマスタ鍵が検索される。新しいインタフェース識別子が生成される。マスタ鍵からローミング鍵が生成される。ローミング鍵およびルータ広告は転送される。

アクセスルータを使用してインターネットプロトコル層認証およびモビリティシグナリングを結合するための方法と装置とが記述される。ローミング鍵とルータ広告とを備えるメッセージが受信される。ルータ広告は第１の鍵を使用して完全性保護が施される。ローミング鍵はメッセージから抽出される。メッセージは転送される。

アクセスルータを使用してインターネットプロトコル層認証およびモビリティシグナリングを結合するための方法と装置とが記述される。完全性保護が施されたルータ要請メッセージが受信される。パケットの中に検証不可能な認証オプションが検出された場合には、ルータ要請メッセージはパケットデータネットワークゲートウェイにトンネリングされる。

モバイルノードを使用してインターネットプロトコル層認証およびモビリティシグナリングを結合するための方法と装置とが記述される。マスタ鍵が確立される。モバイルノードは第１のアクセスネットワークから第２のアクセスネットワークに移動する。第１の鍵がマスタ鍵から導出される。ルータ要請メッセージは、第１の鍵を使用して完全性保護が施される。ルータ要請メッセージは、インタフェース識別子とともにトンネリングされる。

モバイルノードを使用してインターネットプロトコル層認証およびモビリティシグナリングを結合するための方法と装置とが記述される。第１の鍵を使用して完全性保護が施されたルータ広告が受信される。ルータ広告の完全性は第１の鍵を使用して判定される。引き続くルータ広告メッセージが受信される。引き続くそれぞれのルータ広告メッセージは、ローミング鍵を使用して完全性保護が施される。

本発明の目的はハンドオーバにおけるレイテンシを低減することである。特に、一つの目的は往復の内のいずれかの片道においてＩＰ層認証とモビリティシグナリングとを結合することである。

別の目的は、モバイルノードによっても導出することができる鍵をパケットデータネットワークゲートウェイとモバイルアクセスゲートウェイとの間で転送するための方法を提供することである。

さらに別の目的は、ＣＧＡ（Ｃｒｉｐｔｏｇｒａｐｈｉｃａｌｌｙ Ｇｅｎｅｒａｔｅｄ Ａｄｄｒｅｓｓ）および一般的な公開鍵の操作を行わずして、ルータ広告と近隣探索プロトコルメッセージとを保護をすることである。これは、すなわち共有リンクの上にＳｅＮＤ（セキュア近隣探索）プロトコルの利点を提供することである。

次節では、図に示された典型的な実施形態を参照して本発明が記述される。

本発明の１つの実施形態に従ったシステムを示す図である。 本発明の１つの実施形態に従ったシステムを示す図である。 本発明の１つの実施形態に従って、パケットデータネットワークゲートウェイを使用してインターネットプロトコル層認証とモビリティシグナリングとを合成するための方法を示す図である。 本発明の１つの実施形態に従って、パケットデータネットワークゲートウェイを使用してインターネットプロトコル層認証とモビリティシグナリングとを合成するための方法を示す図である。 本発明の１つの実施形態に従って、アクセスルータを使用してインターネットプロトコル層認証とモビリティシグナリングとを合成するための方法を示す図である。 本発明の１つの実施形態に従って、アクセスルータを使用してインターネットプロトコル層認証とモビリティシグナリングとを合成するための方法を示す図である。 本発明の１つの実施形態に従って、移動ノードを使用してインターネットプロトコル層認証とモビリティシグナリングとを合成するための方法を示す図である。 本発明の１つの実施形態に従って、移動ノードを使用してインターネットプロトコル層認証とモビリティシグナリングとを合成するための方法８００を示す図である。

本発明は、ＩＰ層認証とモビリティシグナリングのセキュリティとの最適化を目指す。本発明はまた、結合された手法を適用し、これにより、ネットワークに基づいたモビリティと、強化したセキュア近隣探索（ＳｅＮＤ）と、高速なインターネットプロトコル（ＩＰ）層認証とを提供する。これらの３つの特徴は、３ＧＰＰアクセスネットワークと非３ＧＰＰアクセスネットワークとの首尾良い配備を可能とするために決定的に重要であり、そこでは異なるタイプのネットワークアクセス技術の間での安全の必要性や高速なローミングは高い価値を持つ。本発明は、アクセスネットワークの中のノードの間での信頼（ｔｒｕｓｔ）を利用して、マスタ鍵（Ｋａ）を生成し、その後にそのマスタ鍵を使用して１つまたは複数の異なるローミング鍵を生成し、それらのローミング鍵を、対応するノードに対してセキュリティを保証して送信するものである。しかしながら、マスタ鍵は直接には使用されるものではなく、他の鍵がこのマスタ鍵から導出される。１つの鍵はネットワーク接続、認証、およびネットワークモビリティのために使用されるが、ローミング鍵と呼ばれる他の鍵は、セキュア近隣探索と同様な目的、および、可能性として、ネットワークを基本としたＭＩＰｖ６ルート最適化（ＲＯ）モードを可能にするために使用される。

図１は、第１のアクセスネットワーク（例えば、ＳＡＥ／ＬＴＥに基づいた３ＧＰＰアクセス）と第２のアクセスネットワーク（例えば、非３ＧＰＰアクセス）とを備えるシステム１００を示す。この実施形態においては、モバイルノード１２０は、アクセスネットワーク＃１（例えば、ＥＵＴＲＡ）からアクセスネットワーク＃２（例えば、非３ＧＰＰアクセス）に移動する。ＥＵＴＲＡは、複数のｅＮＢ１１５を備える。複数のｅＮＢ１１５は移動管理エンティティ（ＭＭＥ）１１０に接続される。ＭＭＥ１１０はパケットデータネットワークゲートウェイ（ＰＤＮＧ）１０５に接続される。非３ＧＰＰアクセスは複数のアクセスポイント（ＡＰ）１３０を備える。ＡＰ１３０はＡＲ／ＭＡＧ１２５に接続される。ＡＲ／ＭＡＧ１２５もまた、ＰＤＮＧＷ１０５に接続される。

以下の記述では、ＰＤＮＧＷ１０５はまた、ＭＮ１２０のホームエージェント（ＨＡ）であると仮定している。以下の記述では、通常、ＭＮ１２０は最初にＥＵＴＲＡＮに接続して、その後に非３ＧＰＰアクセスへのＲＡＴ間ハンドオーバを実行すると仮定している。しかし、最初の接続において使用されるアクセスは、認証処理の一部として鍵材料を生成するいずれのアクセスであってもよいと理解されるべきである。

図２は、ＳＡＥ（システムアーキテクチャエボリューション）の中における非３ＧＰＰアクセスに対する、ローミングでないアーキテクチャを示す。このアーキテクチャは、サービス提供ＧＰＲＳ（Ｇｅｎｅｒａｌ Ｐａｃｋｅｔ Ｒａｄｉｏ Ｓｅｒｖｉｃｅ）サポートノード（ＳＧＳＮ：Ｓｅｒｖｉｎｇ ＧＰＲＳ Ｓｕｐｐｏｒｔ Ｎｏｄｅ）２０５、ＭＭＥ２１０、ＥＵＴＲＡＮ２１５、ホーム加入者サーバ（ＨＳＳ）２２０、サービス提供ＳＡＥゲートウェイ２２５、ＰＤＮ ＳＡＥゲートウェイ２３０、ポリシ変更規則機能部（ＰＣＲＦ）２３５、オペレータＩＰサービス２４０、３ＧＰＰ ＡＡＡサーバ２４５、進化版パケットデータゲートウェイ（ｅＰＤＧ：ｅｖｏｌｖｅｄ Ｐａｃｋｅｔ Ｄａｔａ Ｇａｔｅｗａｙ）２５０、ユーザエンティティ（ＵＥ）２５５、信頼できる（Ｔｒｕｓｔｅｄ）または信頼できない（Ｕｎｔｒｕｓｔｅｄ）非３ＧＰＰＩＰアクセスまたは３ＧＰＰアクセス２６０、信頼できる非３ＧＰＰＩＰアクセス２６５、および信頼できない非３ＧＰＰＩＰアクセス２７０を備える。

ＳＧＳＮは、Ｓ３インタフェースを介してＭＭＥ２１０に接続され、Ｓ４インタフェースを介してサービス提供ＳＡＥゲートウェイ２２５に接続される。ＥＵＴＲＡＮ２１５は、Ｓ１−ＭＭＥインタフェースを介してＭＭＥ２１０に接続され、Ｓ１−Ｕインタフェースを介してサービス提供ＳＡＥゲートウェイに接続される。ＭＭＥ２１０は、Ｓ６ａインタフェースを介してＨＳＳ２２０に接続され、さらに、Ｓ１０インタフェースを介した通信を提供する。

サービス提供ＳＡＥゲートウェイ２２５は、Ｓ５インタフェースを介してＰＤＮＳＡＥゲートウェイ２３０と通信を行う。ＰＤＮＳＡＥゲートウェイ２３０は、Ｓ７インタフェースを介してＰＣＲＦ２３５と通信を行う。オペレータＩＰサービス２４０は、ＳＧｉインタフェースを介してＰＤＮＳＡＥゲートウェイ２３５と通信を行い、Ｒｘ＋インタフェースを介してＰＣＲＦ２３５と通信を行う。

アクセス２６０、２６５、および２７０は、それぞれ、インタフェースＳ２ｃ、Ｓ２ａ、およびＳ２ｂを介してＰＤＮＳＡＥゲートウェイ２３０に提供される。さらに、信頼できない非３ＧＰＰＩＰアクセス２７０を介してのＰＤＮＳＡＥゲートウェイ２３０へのアクセスは、Ｗｎ*インタフェースおよびＳ２ｂインタフェースを使用してｅＰＤＧを介して通信を行う必要がある。

３ＧＰＰＡＡＡサーバ２４５は、インタフェースＴａ*、Ｗａ*、Ｗｍ*、Ｓ６ｃ、およびＷｘ*を介して、それぞれ、アクセス２６５、アクセス２７０、ｅＰＤＧ２５０、ＰＤＮＳＡＥゲートウェイ２３０、およびＨＳＳ２２０と通信を行う。

本発明によって開示するプロトコルは、以下の６つのステップを使用して適用される。

１．ＭＮ１２０とＰＤＮＧＷ１０５との間のマスタ鍵Ｋａを確立する。これは、例えば、初期認証の間に導出される鍵材料（keying material）から導出することにより行うことができる。ＳＡＥおよびＥＵＴＲＡＮの設定において、第１のＡＫＡがＭＮ１２０とＭＭＥ１１０との間で操作される。これにより、Ｋ＿ＡＳＭＥ（３ＧＰＰＴＲ３３．８２１参照）と呼ばれる鍵が確立される。この鍵からマスタ鍵Ｋａが導出される。そしてＫａはＭＭＥ１１０からＰＤＮＧＷ１０５に転送される（または、可能性として、ネットワークのいずれか他のノードを介して）。ＫａがＰＤＮＧＷ１０５に転送されると同時に、インタフェース識別子（ＩＩＤ）がそれとともに転送される。このＩＩＤはＩＰｖ６アドレスの最右端の６４ビットの部分であり、リンクの上で一意（ユニーク）でなければならない。Ｋａは、この６４ビットプリフィックスとともにＩＰｖ６アドレスを構成する。このペア（Ｋａ，ＩＩＤ）はＰＤＮＧＷの中に記憶される。ＩＩＤに関しては以下でさらに記述する。

上記の実施形態は３ＧＰＰアクセスの設定におけるマスタ鍵の導出について示したが、この操作はまた、例えばＵＥ２５５等のＭＮが非３ＧＰＰアクセスを使用してＰＤＮＳＡＥゲートウェイ２３０に接続するときにも実行することができる。この場合には、ＭＮは、典型的には、ＥＡＰ−ＡＫＡを使用してＰＤＮＳＡＥゲートウェイ２３０への認証を行うであろう。その結果、ＣＫとＩＫとの鍵のペアが得られる。これらの鍵はＫａを導出するための基盤とすることができる。ＥＡＰ−ＡＫＡを操作した後には、ＭＮとＰＤＮＳＡＥゲートウェイ２３０との間に、鍵Ｋａを確立する手段を備える別個のプロトコルを動作させることも可能である（これは、非３ＧＰＰアクセスに対する従来型の認証プロトコルが既に動作していて、その時点で本発明を組み入れる場合に望ましいであろう）。

２．ＭＮ１２０および２５５は、ＥＵＴＲＡＮから非３ＧＰＰアクセスに移動する。背景技術のところで記述した全ての認証プロトコルの操作を実行する代わりに、ＭＮ１２０はいずれかの適切な鍵導出機能（ＫＤＦ）を使用して鍵ＨＫａをＫａから導出する。そして、少なくともＨＫａから導出した鍵材料を使用してＡＲ１２５に送信されるＲｔＳｏｌメッセージに完全性保護を施す。ＲｔＳｏｌはまた、ＩＩＤ（ステップ１で生成される）を含む。ＡＲ１２５は、パケットの中にＡＲ１２５が検証できない認証オプションを発見すると。ルータ要請をＭＮ１２０のホームＰＤＮＧＷ１０５にトンネリングさせるであろう。ＡＲはＭＡＧであるので、リンク層認証の間またはその後に、ホームＡＡＡサーバ２４５からＰＤＮＧＷ１０５のアドレスを受信している（ＭＮホームプレフィックスも同様に）。ＰＤＮＧＷ１０５、２３０は、同じ鍵ＨＫａを導出し、ルータ要請の認証可能性を検証する。もし検証が成功すれば、これは、ＭＮによってルータ要請の中に使用されているＩＩＤ、さらには認証オプションが正しいことを意味し、ＭＮ１２０および２５５は新しいアクセスの中で認証されたと考えられる。ＩＩＤはルータ要請メッセージの中でソースアドレスとして使用することができる、または、時間スタンプオプションの中で運ぶことができるという点に注意を要する（ＲＦＣ３９７１の中で既に規定されている）。

ＡＲ１２５がルータ要請メッセージの中に「未知の」（すなわち正当性を確認できない）認証オプションの存在を検出すると、ＡＲ１２５はそのメッセージをＭＮ１２０のホームＰＤＮＧＷ１０５にトンネルさせる。これは、ＡＲ１２５は、ソースアドレスとしてＡＲの出口インタフェースアドレスを持つアウターヘッダを追加するであろうことを意味する。

ＭＮは、非３ＧＰＰアクセス（例えば、Ｗｉｍａｘ、ＣＤＭＡ２００、およびＷＬＡＮ）に移動するときに、その６４ビットのＩＩＤを使用してＭＮのリンクローカルアドレスを設定し、ルータ要請メッセージをＭＮの現在の新しいアクセスルータ（ＡＲ）（これはまたＰＤＮＧＷにも知られている）に送信する。メッセージには鍵ＨＫａを使用して完全性保護を施す。ＨＫａは、Ｋａ、ＩＩＤ，または可能性として他のパラメータを入力とする、いずれかの鍵導出関数（ＫＤＦ）を使用してＫａから導出される。全てのパラメータはＭＮおよびＰＤＮＧＷの双方の中に存在しなければならない。他のパラメータは、鍵の機能範囲を結びけるための、カウンタ、ノンス（ｎｏｎｃｅ）または他の同期情報（これはまたルータ要請の中で送信することができるもの）、および特定のノードまたはアクセスの型に対する識別子、等のものを含むことができるであろう。

３．ＰＤＮＧＷ／ＨＡ１０５がルータ要請を受信すると、ＰＤＮＧＷ／ＨＡ１０５は、ルータ要請の中で運ばれたＩＩＤと、自分のバインディングキャッシュメモリの中に記憶されているＩＩＤに基づいて、Ｋａの検索を行う。Ｋａが見出されると、ルータ要請の完全性を確認することができる。ＰＤＮＧＷによって、新しいＩＩＤが生成され、ローミング鍵Ｋｒがマスタ鍵Ｋａから導出される。新しいＩＩＤによってＰＤＮＧＷのキャッシュの中の古いＩＩＤを置換する。鍵Ｋｒはルータ広告とともにＡＲに送信される。ルータ広告はＨＫａを使用して完全性保護が施される。ＰＤＮＧＷ１０５はまた、ＭＮのＨｏＡおよびＭＡＧアドレス（パケットのソースアドレス）を使用して、自分のバインディングキャッシュメモリを更新する。従って、ルータ要請機能は、暗黙に、ＭＡＧによって送信されると想定されるプロキシバインディング更新（ＰＢＵ）メッセージとして動作する。

ＩＩＤは、それぞれの正当なルータ要請の上で再生成されるので、再生保護（ｒｅｐｌａｙ ｐｒｏｔｅｃｔｉｏｎ）としての役割を果たす。

４．ＡＲ１２５がルータ広告を受信すると、ＡＲ１２５はメッセージからＫｒを抽出し、そして、そのルータ広告をＭＮ１２０に転送する。ＰＤＮＧＷ１０５とＡＲ１２５との間のリンクが信頼できないときには、リンクには暗号化保護が施されなければならない。もしそうでなければ、攻撃者がリンクを盗聴する可能性がある。

５．ＭＮ１２０は鍵ＨＫａを使用してルータ広告の完全性保護を検査する。そして、ステップ３でＰＤＮＧＷが行ったのと丁度同じように、次のＩＩＤを生成する。

６．その後に引き続きＭＡＧ１２５によって周期的にＭＮ１２０に送信される全てのユニキャストルータ広告は、近隣探索プロトコルメッセージと同様に、Ｋｒ（これもＭＮによって導出される）によって完全性保護が施される（ＲＦＣ２４６１参照）。そして、これらのメッセージはＡＲを介して交換されなければならない（メッセージはこのようにしてそれぞれのＭＮのＫｒによって保護される）。

以下の議論では、インタフェース識別子とローミング鍵との導出および使用に関し、より詳細な説明を行う。ホームＰＤＮＧＷ１０５は、ＲｔＳｏｌメッセージを受信すると、そのキャッシュメモリを検査してリンクローカルＩＩＤを探す。もし見出されれば、ＰＤＮＧＷ１０５は対応するＫａを取り出してメッセージの正当性を確認するステップに進む。その後に、ＰＤＮＧＷ１０５は、ローミング鍵（Ｋｒと呼ばれる）を生成し、それを使用してルータ広告メッセージの認証を行う。そしてそのルータ広告メッセージは最初にＭＮのＡＲ１２５にトンネリングされる。さらに、ＰＤＮ１０５は、ＲｔＡｄｖメッセージの中（例えば、アウターヘッダの中の宛先オプションフィールド）にＫｒを挿入し、それをＰＤＮＧＷとＡＲとの間の共有鍵を使用して暗号化する（または、このリンクがある条件下でセキュリティが保証されていると仮定することができれば、それによる）。ＰＤＮＧＷはまた、新しいＩＩＤ（ｎＩＩＤ）を算出しなければならない。そしてその新しいＩＩＤを以前のＩＩＤとともに記憶する。ＩＩＤの更新は再生攻撃（ｒｅｐｌａｙ ａｔｔａｃｋ）を回避し、危険にさらされているＡＲに対して保護するために必要である。この目的のために、ＰＤＮＧＷとＭＮとは、以下の式で示すようにＩＩＤとＫｒとを算出することができる。

ＩＩＤｉ＋１＝Ｆｉｒｓｔ［６４，ＳＨＡ１（“ＩＩＤ”｜ＩＩＤｉ｜Ｋａ）］
上式は、新しいＩＩＤが、静的識別子ストリング（“ＩＩＤ”と、古いＩＩＤと、それに連結したＫａ）のＳＨＡ１ハッシュの最初の６４ビットであることを意味する。新しいＩＩＤは、以前のＩＩＤとＫａとの、セキュリティが保証された任意の一方向性関数を使用して古いＩＩＤから算出することができることに注意を要する。このことによってＩＩＤは鎖状にリンクされる。この手法に関して同期の問題が心配になる場合（例えば、メッセージが失われた場合）には、ＩＩＤは次式から導出することができる。

ＩＩＤｉ＝ＰＲＦ（“ＩＩＤ”，Ｋａ，ｉ，ｏｔｈｒ）
上式において、ＰＲＦはいずれかの暗号化疑似ランダム関数（ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｐｓｅｕｄｏ Ｒａｎｄｏｍ Ｆｕｎｃｔｉｏｎ）であり、ｉはノンスまたはカウンタであり、ｏｔｈｒは他のいずれかの情報（例えば、アクセスネットワークＩＤ、ＰＤＮＧＷ ＩＤ、ＭＮ ＩＤ、アクセスネットワークの型、またはいずれかこれらの組み合わせ）である。静的識別子ストリングの目的は、同じ導出関数が使用される場合に、ＩＩＤはＫｒ（下記参照）とは異なるものになるであろうということを保証することである。ＩＩＤはＭＮおよびＰＤＮＧＷにおけると同じ様式で導出される。

さらに、ＰＤＮＧＷは、ＭＮが訪問するそれぞれのＡＲに対して同じＫｒを送信してはならない（これは、以前にＭＮによって使用されたＡＲが誤ったルータ広告を送信することにより、ＭＮが攻撃されるのを防止するためである）。この目的のために、ＰＤＮＧＷおよびＭＮも、新しいＩＩＤが生成されるたびにＫｒを更新しなければならない。ＰＤＮＧＷとＭＮとは、次式によってＫｒを算出することができる。

Ｋｒｉ＝ＰＲＦ（”Ｋｒ”，Ｋａ，ｉ，ｏｔｈｒ）
上式において、Ｋｒは、上記でＩＩＤを導出したのと同様に鎖状に連結して導出可能であることに注意を要する。

ＡＲ１２５は、トンネリングされたルータ広告メッセージを受信した後に、アウターヘッダを除去し、ＫｒとＭＮのＭＡＣアドレスとを記憶して、そのインナーパケットをＭＮ１２０に転送する。

それに引き続く全てのルータ広告メッセージは、ＡＲ１２５によって送信され、Ｋｒ（または、Ｋｒと、ＭＮに知られている他のいずれかの情報（例えばネットワークＩＤ）とから導出された鍵）を使用して認証されなければならない。さらに、ＭＮによって送信／受信された近隣探索メッセージはＡＲを介して交換され、Ｋｒ（またはＫｒから導出された鍵）を使用して認証されなければならない。これにより、共有リンク（例えばＷＬＡＮ）の場合には、ＣＧＡ技術を必要とせずに、ＳｅＮＤの利点を提供することができる。

モバイルＩＰｖ６（ＭＩＰｖ６）が使用される場合には、ＭＮはなおもＫａを使用して、ＰＤＮＧＷ１０５に送信されるバインディング更新を認証することができる。すなわち、Ｋａは、ＭＮのＰＤＮＧＷ（すなわちＨＡ）と確立された双方向セキュリティアソシエーション（ｂｉｄｉｒｅｃｔｉｏｎａｌ ｓｅｃｕｒｉｔｙ ａｓｓｏｃｉａｔｉｏｎ）である。ＭＮ１２０はまた、ＩＩＤを使用して自分のＣｏＡを設定しなければならない。この場合、以下の点を仮定していることに注意を要する。すなわち、ＭＮのＰＤＮＧＷは、ＭＩＰｖ６／ＰＭＩＰｖ６に依存した、ＭＮの能力をよく知っているので、ＰＭＩＰｖ６の場合には、ＣｏＡとしてアウターヘッダの中に持っているＡＲのソースアドレスを、またＭＩＰｖ６の場合には、ＣｏＡとしてＭＮのＩＩＤと合成されたプリフィックスだけを、常に使用することができるという点である。

図３は、パケットデータネットワークゲートウェイを使用してインターネットプロトコル層認証とモビリティシグナリングとの合成をするための方法３００を示す。方法３００はステップ３０５から開始される。ステップ３０５において、マスタ鍵と第１のインタフェース識別子が受信される。マスタ鍵ＫａはＭＮ１２０とＰＤＮＧＷ１０５との間で確立される。これは、例えば、初期認証の間に導出された鍵材料からＫａを導出することにより行われる。ＳＡＥおよびＥＵＴＲＡＮの設定においては、最初のＡＫＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ：認証と鍵一致）はＭＮ１２０とＭＭＥ１１０との間で実行される。これにより、Ｋ＿ＡＳＭＥと呼ばれる鍵が確立される（３ＧＰＰＴＲ３３．４０１参照）。この鍵からマスタ鍵Ｋａが導出される。その後にＫａはＭＭＥ１１０からＰＤＮＧＷ１０５に（または、可能性として、ネットワークの中の他のいずれかのノードを介して）転送される。ＫａがＰＤＮＧＷ１０５に転送されると同時に、インタフェース識別子（ＩＩＤ）が鍵Ｋａとともに転送される。ＩＩＤはＩＰｖ６アドレスの右端の６４ビットの部分であり、リンクの上で一意でなければならない。Ｋａは、６４ビットのプリフィックスとともにＩＰｖ６アドレスを構成する。ペア（Ｋａ，ＩＩＤ）はＰＤＮＧＷ１０５の中に記憶される。ＩＩＤについて以下で更なる説明を行う。

ステップ３１０において、ルータ要請とインタフェース識別子とが、例えば、ＡＲ１２５から受信される。１つの実施形態においては、記憶されているインタフェース識別子とＡＲ１２５から受信されるインタフェース識別子とは同一である。ステップ３１５において、マスタ鍵と記憶されているインタフェース識別子とＡＲ１２５から受信されたインタフェース識別子とを使用して、ルータ要請の完全性が確認される。ＰＤＮＧＷ／ＨＡ１０５がルータ要請を受信すると、ＰＤＮＧＷ１０５は、ルータ要請の中で運ばれるＩＩＤとＰＤＮＧＷ１０５のキャッシュメモリに記憶されているＩＩＤとに基づいて、記憶されているＫａの検索を行う。Ｋａが見出された場合には、ルータ要請の完全性を確認することができる。

図４は、パケットデータネットワークゲートウェイを使用してインターネットプロトコル層認証とモビリティシグナリングとを合成するための方法４００を示す。ステップ４０５において、ステップ３１０においてＡＲ１２５から受信されたインタフェース識別子を使用して、記憶されているマスタ鍵が検索される。

ステップ４１０において、新しいインタフェース識別子が生成される。ステップ４１５において、マスタ鍵Ｋａからローミング鍵が生成される。ＰＤＮＧＷ１０５によって、新しいＩＩＤが生成され、ローミング鍵Ｋｒがマスタ鍵Ｋａから導出される。ＰＤＮＧＷ１０５のキャッシュの中の古いＩＩＤをこの新しいＩＩＤで置換する。

ステップ４２０において、ローミング鍵Ｋｒとルータ広告ＲｔＡｄｖが転送される。鍵Ｋｒはルータ広告とともにＡＲ１２５へ送信される。ルータ広告はＨＫａを使用して完全性保護が施される。ＰＤＮＧＷ１０５はまた、ＭＮ１２０のＨｏＡとＭＡＧアドレス（パケットのソースアドレス）とを使用して、ＰＤＮＧＷ１０５のバインディングキャッシュメモリを更新する。従って、ルータ要請機能は、暗黙に、ＭＡＧ１２５によって送信されると想定されるプロキシバインディング更新（ＰＢＵ）メッセージとして動作する。ＩＩＤはそれぞれの正当なルータ要請の上に再生成されるので、再生保護が達成される。

図５は、アクセスルータを使用してインターネットプロトコル層認証とモビリティシグナリングとを合成するための方法５００を示す。方法５００はステップ５０５から開始される。ステップ５０５において、ローミング鍵とルータ広告とを備えるメッセージが受信される。ルータ広告は鍵ＨＫａを使用して完全性保護が施される。ステップ５１０において、ローミング鍵がそのメッセージから抽出される。ステップ５１５において、ルータ広告は、例えば、ＭＮ１２０に転送される。ＡＲ１２５はメッセージを受信すると、そのメッセージからＫｒを抽出し、ルータ広告をＭＮ１２０に転送する。ＰＤＮＧＷ１０５とＡＲ１２５との間のリンクが信頼できない場合には、リンクは暗号化によって保護が施される。

図６は、アクセスルータを使用してインターネットプロトコル層認証とモビリティシグナリングとを合成するための方法６００を示す。方法６００はステップ６０５から開始される。ステップ６０５において、完全性保護が施されたルータ要請メッセージが受信される。ステップ６１０において、パケットの中に検証不可能な認証オプションが検出された場合には、ルータ要請メッセージは、パケットデータネットワークゲートウェイにトンネリングされる。

図７は、移動ノードを使用してインターネットプロトコル層認証とモビリティシグナリングとを合成するための方法７００を示す。方法７００はステップ７０５から開始される。ステップ７０５において、マスタ鍵が確立される。ステップ７１０において、ＭＮ１２０は第１のアクセスネットワークから第２のアクセスネットワークに移動する。ステップ７１５において、第１の鍵、すなわち鍵ＨＫａがマスタ鍵から導出される。ステップ７２０において、ルータ要請メッセージは鍵ＨＫａを使用して完全性保護が施される。ステップ７２５において、ルータ要請メッセージは、例えば、ＡＰ１３０を通してＡＲ１２５に転送される。

図８は、移動ノードを使用してインターネットプロトコル層認証とモビリティシグナリングとを合成するための方法８００を示す。方法８００はステップ８０５から開始される。ステップ８０５において、第１の鍵、すなわち鍵ＨＫａを使用して完全性保護が施されたルータ広告が受信される。ステップ８１０において、第１の鍵を使用して、ルータ広告の完全性が判定される。ステップ８１５において、引き続くルータメッセージが受信される。引き続くそれぞれのルータ広告メッセージはローミング鍵を使用して完全性保護が施される。

代替的実施形態においては、最適化を達成することができる。この実施形態は、ＰＤＮＧＷ１０５、２３０とＨＳＳ２２０との間のＳＣＥ（ｓｅｃｕｒｉｔｙ ｃｒｅｄｅｎｔｉａｌ ｅｘｃｈａｎｇｅ：セキュリティ証明の交換）を双方向通信に拡張するステップを備える。これは、ＰＤＮＧＷ１０５、２３０は、ＭＭＥ１１０、２１０（または、ＭＮ１２０、２５５が最初の接続を行ったアクセスネットワークにおけるその均等物）から［Ｋａ，ＩＩＤ］の一組（ｔｕｐｌｅ）を受信するときに、ＩＩＤをＨＳＳ２２０に送信するであろうことを意味する。この場合では、ハンドオーバの後のＥＡＰリンク層認証を行う間に、ＭＮ１２０、２５５は、ＭＮのＩＩＤをＥＡＰ応答メッセージの中に挿入する。ＡＲ１２５が、ホームＡＡＡ２４５から認証データを要求するときには、それは、ＩＩＤを含む。ホームＡＡＡ２４５は、ＭＮ１２０、２５５に対するＣｏＡを、このメッセージのソースアドレス、すなわちＡＲ（ＭＡＧ）の出口インタフェースから得る。そして、ホームＡＡＡ２４５は、ＭＮ１２０、２５５の新しいＣｏＡを、ＰＤＮＧＷ／ＨＡ１０５、２３０に通知する。これはプロキシバインディング更新として動作する。ＰＤＮＧＷ１０５、２３０は、この情報を得ると、ＫｒをＡＲ（ＰＤＮ）１２５に送信する。ＡＲ１２５はそれを得て、リンク層認証が完了した後に、Ｋｒを使用してルータ広告に完全性保護を施すことができる。ＩＩＤには、Ｋａから導出された鍵、例えばＨＫａによって完全性保護を施すことができる。これにより、ＩＰ層の上でのユーザの認証が提供される。

１つの実施形態においては、ＨＳＳ２２０がＩＩＤそのものを算出する（上記で記述した場合におけるＰＤＮＧＷの代わりに）。

本発明の利点は、以下の点を含む。しかしこれらには限定されない。
・非３ＧＰＰネットワークにハンドオーバを実行するときの再認証には、完全なＡＫＡを必要としない。
・ＰＤＮＧＷは「次の」ＩＩＤを運ぶメッセージだけを受け入れるので、ルータ要請メッセージは再生されることはない。
・認証されたルータ要請はまた、ネットワークモビリティシグナリングメッセージとして動作し、従ってＩＰハンドオフレイテンシが大幅に低減される。
・重複アドレス検出（ＤＡＤ）メッセージまたは近隣探索プロトコルメッセージに署名する必要がない。これは、これらのメッセージ（およびそれらに対する応答）は全てＡＲを介して送信され、それぞれのＭＮは、ＡＲとＭＮ自身との間の共有鍵を使用してこれらのメッセージに完全性保護を施すからである。
・６４ビットのＩＩＤはまた、時間スタンプオプションの中で転送することができる。従って、それによって、ＭＮは、ルータ要請メッセージをＡＲに送信するときに、要請されないアドレス（ｕｎｓｏｌｉｃｉｔｅｄ ａｄｄｒｅｓｓ）を使用することが可能になる。そうでない場合には、ＩＩＤはソースアドレスの一部分である。

Claims (15)

1. パケットデータネットワークゲートウェイを使用してインターネットプロトコル層認証とモビリティシグナリングとを結合するための方法であって、
   Ｋ＿ＡＳＭＥ鍵から導出されたマスタ鍵と、第１のインタフェース識別子とを受信するステップと、
   前記マスタ鍵と前記第１のインタフェース識別子とを前記パケットデータネットワークゲートウェイに記憶するステップと、
   ルータ要請と、前記第１のインタフェース識別子と同一の第２のインタフェース識別子とを受信するステップと、
   前記マスタ鍵と前記第１のインタフェース識別子と前記第２のインタフェース識別子とを使用して、前記ルータ要請の完全性を確認するステップと、
   新規のインタフェース識別子を生成するステップと、
   前記新規のインタフェース識別子を、記憶されている前記第１のインタフェース識別子と置換して、前記パケットデータネットワークゲートウエイに記憶するステップと、
   前記マスタ鍵からローミング鍵を生成するステップと、
   前記ローミング鍵とルータ広告とを転送するステップと
   を有することを特徴とする方法。
2. 前記第１のインタフェース識別子は第１のノードから受信され、前記第２のインタフェース識別子は第２のノードから受信されることを特徴とする請求項１に記載の方法。
3. 前記第１のインタフェース識別子と前記第２のインタフェース識別子とは、ＩＰｖ６アドレスの６４ビットの右端部を含むことを特徴とする請求項１に記載の方法。
4. 前記第２のインタフェース識別子は前記ルータ要請の中でソースアドレスとして使用されることを特徴とする請求項１に記載の方法。
5. 前記第２のインタフェース識別子は時間スタンプフィールドの中に持たれることを特徴とする請求項１に記載の方法。
6. 前記時間スタンプフィールドはルータ要請メッセージの中に持たれることを特徴とする請求項５に記載の方法。
7. 前記ルータ要請の受信を受けて、受信した前記第２のインタフェース識別子と記憶されている前記第１のインタフェース識別子とを使用して、記憶されている前記マスタ鍵の検索を行うステップをさらに有することを特徴とする請求項１に記載の方法。
8. 前記ルータ広告は、少なくとも前記マスタ鍵から導出される第２の鍵を使用して完全性保護が施されることを特徴とする請求項１に記載の方法。
9. 前記第２の鍵は、鍵導出機能を使用して少なくとも前記マスタ鍵から導出されることを特徴とする請求項８に記載の方法。
10. 完全性が確認されたそれぞれのルータ要請メッセージに対して新規のインタフェース識別子が生成されることを特徴とする請求項１に記載の方法。
11. アクセスルータを使用してインターネットプロトコル層認証とモビリティシグナリングとを結合するための方法であって、
    ローミング鍵と、第１の鍵を使用して完全性保護が施されたルータ広告とを含むメッセージを受信するステップと、
    前記ローミング鍵を前記メッセージから抽出するステップと、
    前記メッセージを転送するステップと
    を有することを特徴とする方法。
12. 前記ルータ広告を受信するためのリンクは暗号化によって保護が施されることを特徴とする請求項１１に記載の方法。
13. 引き続くルータ広告は前記ローミング鍵を使用して完全性保護が施されることを特徴とする請求項１１に記載の方法。
14. パケットデータネットワークゲートウェイを使用してインターネットプロトコル層認証とモビリティシグナリングとを結合するための装置であって、
    Ｋ＿ＡＳＭＥ鍵から導出されたマスタ鍵と、第１のインタフェース識別子とを受信し、前記パケットデータネットワークゲートウエイに記憶するための手段と、
    ルータ要請と、前記第１のインタフェース識別子と同一の第２のインタフェース識別子とを受信するための手段と、
    前記マスタ鍵と前記第１のインタフェース識別子と前記第２のインタフェース識別子とを使用して、前記ルータ要請の完全性を確認するための手段と、
    新規のインタフェース識別子を生成し、該新規のインタフェース識別子を、記憶されている前記第１のインタフェース識別子と置換して、前記パケットデータネットワークゲートウェイに記憶するための手段と、
    前記マスタ鍵からローミング鍵を生成するための手段と、
    前記ローミング鍵とルータ広告とを転送するための手段と
    を備えることを特徴とする装置。
15. アクセスルータを使用してインターネットプロトコル層認証とモビリティシグナリングとを結合するための装置であって、
    ローミング鍵と、第１の鍵によって完全性保護が施されたルータ広告とを含むメッセージを受信するための手段と、
    前記メッセージから前記ローミング鍵を抽出するための手段と、
    前記メッセージを転送するための手段と
    を備えることを特徴とする装置。

Images