JP5178843B2 - 継続した認証方法の選定 - Google Patents

Description

本発明は、一般に、ＩＰマルチメディア・サブシステム（ＩＰ Ｍｕｌｔｉｍｅｄｉａ Ｓｕｂｓｙｓｔｅｍ）において適用される認証（ａｕｔｈｅｎｔｉｃａｔｉｏｎ）方法を含む、種々の異なる世代の固定および移動ネットワークの中で適用される種々の異なる認証方法に関する。さらに詳細には、本発明は、これらのネットワークにおいて、既に適用されており、また種々の異なる発生イベントおよびポリシーに基づく認証方法と比較して、より強力なまたはより適切な認証方法を動的に選定する方法に関する。

ＩＰマルチメディイア・サブシステム（以後はＩＭＳと記す）によって、公衆陸上移動ネットワーク（Ｐｕｂｌｉｃ Ｌａｎｄ Ｍｏｂｉｌｅ Ｎｅｔｗｏｒｋ、以後はＰＬＭＮと記す）の事業者は自分の加入者に対して、インターネットのアプリケーション、サービスおよびプロトコルに基づいた、および、それらの上に構成された、マルチメディアサービスを提供することができる。これらのマルチメディアサービスは、特にＩＭＳアプリケーションを介してアクセスすることができる。

第３世代パートナーシップ・プロジェクト（３^rd Ｇｅｎｅｒａｔｉｏｎ Ｐａｒｔｎｅｒｓｈｉｐ Ｐｒｏｊｅｃｔ）（以後は３ＧＰＰと記す）のＩＭＳに関連する技術仕様によれば、ＩＭＳアプリケーションの支持に対する完全な解決策は、ＩＭＳの加入者またはユーザに対する端末、１つ以上のＩＰ接続アクセスネットワーク（ＩＰ−Ｃｏｎｎｅｃｔｉｖｉｔｙ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ、以後はＩＰ−ＣＡＮと記す）、および、ＩＭＳの特定の機能要素を含む。これは非特許文献１に記載されている。典型的なＩＰ−ＣＡＮは、ＧＥＲＡＮ無線アクセスネットワークおよび／またはＵＴＲＡＮ無線アクセスネットワークを持つＧＰＲＳコアネットワークであってよい。３ＧＰＰＴＳ２３．４０１に従えば、現在進められている３ＧＰＰリリース８はまた、Ｓｙｓｔｅｍ Ａｒｃｈｉｔｅｃｔｕｒｅ Ｅｖｏｌｕｔｉｏｎ（以後はＳＡＥと記す）ネットワークと呼ばれるネットワークを、新しい型のＩＰ−ＣＡＮとして包含している。

種々の異なるサービスとアップリケーションは、ＩＭＳの上部で提供することができる。ＩＭＳによって、Ｍｕｌｔｉｍｅｄｉａ Ｔｅｌｅｐｈｏｎｙ、Ｐｕｓｈ−ｔｏ−Ｔａｌｋ ｏｖｅｒ Ｃｅｌｌｕｌａｒ、実時間ビデオ共有等のピアツーピアアプリケーションを展開することができる。これらのためには、２つのエンドポイント（終端点）の間でのプロトコル交換を行うことにより転送接続が動的にネゴシエートされる。このようなプロトコル交換は、従来から、結合プロトコル（ｃｏｕｐｌｅｄ ｐｒｏｔｏｃｏｌ）によって実行されており、この結合プロトコルは、セッション開始プロトコル（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ、以後はＳＩＰと記す）およびセッション記述プロトコル（Ｓｅｓｓｉｏｎ Ｄｅｓｃｒｉｐｔｉｏｎ Ｐｒｏｔｏｃｏｌ、以後はＳＤＰと記す）等であってよく、すなわち、ＳＩＰ／ＳＤＰプロトコル交換である。ＩＭＳにおける加入者の認証について、欧州特許公開第１８５３０３２Ａ１は、ユーザ毎に正当な認証メカニズムを以下に判定するかを開示している。

満足でかつ信頼度の高いサービス体験を提供するために、事業者は、サービスおよびＩＭＳアプリケーションを使用する上での品質、効果的な課金、および、偽装の可能性に特別の配慮を払う必要がある。この目的のために、ポリシーおよび課金制御（Ｐｏｌｉｃｙ ａｎｄ Ｃｈａｒｇｉｎｇ Ｃｏｎｔｒｏｌ、以後はＰＣＣと記す）アーキテクチャが提供され、上記の課題の制御に関して事業者を支援する。これは３ＧＰＰＴＳ２３．２０３で開示されている。従ってＰＣＣアーキテクチャは、ＩＭＳばかりでなく、固定または移動のアクセスネットワークである任意のアクセスネットワークと共同して働き、サービス品質（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ、以後はＱｏＳと記す）、ファイアウォール、多重化等のＩＰフローの選択的制御とともに、ネゴシエートされたＩＰフローの選択的取り扱いを提供する。

このＰＣＣアーキテクチャは一般的に、アプリケーション機能（Ａｐｐｌｉｃａｔｉｏｎ Ｆｕｎｃｔｉｏｎ、以後はＡＦと記す）と、ポリシーおよび課金施行機能（Ｐｏｌｉｃｙ ａｎｄ Ｃｈａｒｇｉｎｇ Ｅｎｆｏｒｃｅｍｅｎｔ Ｆｕｎｃｔｉｏｎ、以後はＰＣＥＦと記す）と、ポリシーおよび課金ルール機能（Ｐｏｌｉｃｙ ａｎｄ Ｃｈａｒｇｉｎｇ Ｒｕｌｅｓ Ｆｕｎｃｔｉｏｎ、以後はＰＣＲＦと記す）とを含む。ＡＦは、ベアラ面においてリソースのポリシーと課金制御とを必要とするアプリケーションを提供し、シグナリング面においてサービス特性がネゴシエートされる。ＰＣＥＦは、ベアラ面におけるトラフィックの上でサービスデータフローの検出、課金、およびポリシーの施行を提供し、そこを通してサービスが実際に提供される。また、ＰＣＲＦは、ＰＣＥＦに制御機能を提供しルールをインストールして、正しいベアラを通して認可されたメディアフローだけが許可され、正しいＱｏＳが適用されることを保証する。

一方、異なるネットワークで適用することができる認証方法および共有鍵の確立は、「認証および鍵合意（ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ ｋｅｙ ａｇｒｅｅｍｅｎｔ）」（以後はＡＫＡと記す）としても知られ、現在は区別可能な種々のファミリが共存している。この点に関して、第２世代および第３世代のネットワーク（第２世代および第３世代という表現は一般的に知られており、以後はこれらをそれぞれ、２Ｇおよび３Ｇネットワークと略称する）、また、ＩＭＳネットワークにおいて現在使用されている認証および鍵合意のメカニズムは、３ＧＰＰＴＳ３３．１０２に記載されているＡＫＡフレームワークに基づいている。一方で、拡張認証プロトコル（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ、以後はＥＡＰと記す）と呼ばれるプロトコルは、ＩＥＴＦの下で仕様化され、非３ＧＰＰアクセスシステムから３ＧＰＰシステムへのＡＫＡメカニズムを規定するものである。例えば、ＵＭＴＳ−ＡＫＡは、３Ｇネットワークにおいて使用される認証および鍵合意のメカニズムであり、ＥＡＰ−ＡＫＡは、ＩＷＬＡＮ（通信コミュニティでは、「Ｉｎｔｅｒ−ｗｏｒｋｉｎｇ Ｗｉｒｅｌｅｓｓ Ｌａｎｄ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ」、「Ｉｎｄｕｓｔｒｉａｌ Ｗｉｒｅｌｅｓｓ Ｌａｎｄ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ」、または「Ｉｎｔｅｌｌｉｇｅｎｔ Ｗｉｒｅｌｅｓｓ Ｌａｎｄ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ」としても知られる）において使用される認証および鍵合意のメカニズムであり、ＩＭＳ−ＡＫＡは、ＩＭＳネットワークのアプリケーション層において使用される認証および鍵合意のメカニズムである。

種々の異なる事業者が存在してネットワークが固定−移動の融合したネットワークに向かって進化する、新しいシナリオが現れてくると、セキュリティに対する要求が、関連するネットワーク、ユーザ、サービス、およびアプリケーションの種類に依存して変化してくることが予想される。簡単にするために、ユーザおよびユーザ装置を、以後はＵＥと略記号を使用することにする。

Ｅｖｏｌｖｅｄ Ｐａｃｋｅｔ Ｃｏｒｅ（Ｓｙｓｔｅｍ Ａｒｃｈｉｔｅｃｔｕｒｅ Ｅｖｏｌｕｔｉｏｎ（以後はＳＡＥと記す）としても知られる）ネットワークによれば、ユーザは、所定のサービスを受けながら、異なるパケット交換（Ｐａｃｋｅｔ Ｓｗｉｔｃｈｉｎｇ、以後はＰＳと記す）アクセスネットワークの間を移動してローミングを行うことが可能になるであろうということを考慮すれば、上記の件は明らかである。従って、現在開発されているＳＡＥ通信ネットワークは、３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のローミング等の、異種のアクセス技術の間をＵＥがシームレスに移動できる手段を提供する。しかしながら、前記アクセス技術は、データの接続性を維持したままで、多くの種々の異なるネットワークへのアクセスを意図してはいるが、異なるセキュリティの強さと異なる認証技術を持つネットワークの相互接続を可能とするためのセキュリティに関わる課題に関しては、まだ考慮してはいない。この点に関して、例えば、２Ｇ／３Ｇ／ＩＭＳネットワークにおいて使用されている認証方法は、静的な様式で決定されているのであって、実時間で取得可能ないずれの動的な情報にも基づいているものではない。

特に、ＥＡＰ認証方法は、ＵＥに支持されると仮定する認証方法に基づいて、特定な認証要求を発出する機能を有する。この仮定は、受信したＥＡＰアイデンティティに基づく必要があり、認証サーバは、これによってＥＡＰＡＫＡ要求、または、例えばＥＡＰＭＤ５と呼ばれる別の方法に進むことを選択することができるであろう。しかしながら、ＥＡＰは、利用するサービス、要求するパケットデータネットワーク（Ｐａｃｋｅｔ Ｄａｔａ Ｎｅｔｗｏｒｋ、以後はＰＤＮと記す）、利用可能なＱｏＳ等のユーザの状態データを考慮してはいない。一般的に言って、現在では、動的なデータは、ユーザに適用する認証方法に対して影響を与えるものではない。

しかし、進化しているネットワークのセキュリティに対しては、多くの数の動的なデータが影響を及ぼす可能性があり、これに対しては多くの理由が存在する。

例えば、ユーザがあるサービスに対して極めて長い時間の間アクセスしている場合には疑わしいと判断される場合がある。この状況では、事業者がサービスの利用ごとに最長時間閾値「Ｔ−ｍａｘ」を設定しておいて、ユーザがサービスに時間「Ｔ−ｕｓａｇｅ」の間アクセスをしており、もし、Ｔ−ｕｓａｇｅ＞Ｔ−ｍａｘである場合には、もとのユーザは、例えば、Ｍａｎ−Ｉｎ−ｔｈｅ−Ｍｉｄｄｌｅ（以後はＭＩＭと記す）攻撃、端末ハイジャック等によって偽装（ｉｍｐｅｒｓｏｎａｔｅ）されていると疑うことができる。現在では、事業者は、標準化された認証手順を再発行することができるだけであり、それが同じ元のユーザであるか偽装しているユーザであるかを判定できない。

また例えば、ユーザは多くのＩＰ−ＣＡＮセッションへのアクセスを試みている場合には疑わしいと判断される場合がある。この状況では、事業者がユーザによって確立されるＩＰ−ＣＡＮセッションの数の最大値、すなわち、割り当てるホームＩＰアドレスの数の最大値を決めておき、ユーザのアクセスがこの最大値に至る、またはこの最大値を超えて試みている場合には疑わしいと判定することができる。この状況では、事業者は、ユーザが盗聴、ユーザクレデンシャルの不正共有等の、いずれかの型の攻撃を実行しているか否かの検証はできないであろう。従って、１つの加入を介して複数のユーザがデータサービスにアクセスすることになる。

ネットワークセキュリティを危うくする疑いのある他の状況は、以下の場合の、単独または組み合わせによって生ずる可能性がある。これらは、ユーザが同一のＩＰ−ＣＡＮセッションの中で、あまりにも多くのサービスにアクセスしている場合、ユーザが自分の加入の部分としてユーザに許容される最大帯域幅を使用している場合、ユーザが許容される以上のベアラを開始しようとしている場合、または、ユーザが、３ＧＰＰアクセスおよびＷｏｒｌｄｗｉｄｅ Ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ ｆｏｒ Ｍｉｃｒｏｗａｖｅ Ａｃｃｅｓｓ（以後はＷｉｍａｘと記す）等のアクセス技術の間を非常に高い頻度でローミングを行っている場合である。

この状況に対して現状では事業者は手段を有せず、エンドユーザによるこれらの行動がセキュリティに対する脅威であるか否か、またこれらの行動が実際に認可されて、セキュリティまたは収益に対する危険性なく続行することができるか否かを検証することができない。

３ＧＰＰＴＳ２３．２２８：「ＩＰ Ｍｕｌｔｉｍｅｄｉａ Ｓｕｂｓｙｓｔｅｍ；Ｓｔａｇｅ ２」

本発明の目的は、上記したいくつかの欠点を軽減し、そのための方法、デバイス、およびサーバを提供することである。これにより、ホームネットワークの加入者であるユーザは、現在アクセスしている第１のネットワークにおいては第１の認証方法によって以前に認証されているとして、さらに、第２のネットワークにおいてサービスにアクセスするために第２の認証方法によって認証を受けることができる。一般的に言って、本発明のさらなる目的は、新しい認証が必要であるか否かを検査することにより、アクセスを許可する前にセキュリティを強化することである。さらに、他の種類のセキュリティ強化も起動することができ、例えば、ＰＣＣアーキテクチャは、ＵＥがサービスを使用する場合に、暗号化および／またはメッセージ完全性保護をスイッチオンする必要があるとの決定を下すことができる。

特に、前記第１および第２のネットワークは、実際は同一およびユニークなネットワークであってもよいし、異なるネットワークであってもよい。どちらの場合でも、特に、典型的な２Ｇネットワーク、３Ｇネットワーク、ＩＭＳネットワーク、ＩＷＬＡＮネットワーク、またはＷｉｍａｘネットワークの中から選定することができる。さらに一般的に言うならば、前記の同一または異なる第１のネットワークおよび第２のネットワークは、３ＧＰＰまたは非３ＧＰＰ標準規格に従って動作するアクセスネットワークまたはサービスネットワークであってよい。

一方、ホームネットワークは、３ＧＰＰ標準規格に従って動作しているネットワークでルことが望ましく、また、ユーザがアクセスしているアクセスネットワークとは独立なネットワークであることが望ましい。または、ユーザが加入していて、上記で特にまたは一般的に選定した上記の同一または異なる第１のネットワークおよび第２のネットワークと互換性のあるネットワークであるならば任意の種類のネットワークであってもよい。

従って、本発明の第１の視点に従えば、第２のネットワークにおいてサービスにアクセスするユーザを認証する方法が提供される。ここで、ユーザは、ホームネットワークの加入者であり、ユーザがアクセスする第１のネットワークにおいては以前に認証されていたとする。

本方法は以下のステップを備える。すなわち、ユーザに対するアクセス情報および加入情報に従って、ホームネットワークの認証サーバにおいて選定した第１の認証方法によって、第１のネットワークにおいてユーザを認証するステップと、ユーザが第２のネットワークにおけるサービスにアクセスする場合に、リソースの取り扱いに責任を持つルール施行デバイス（ｒｕｌｅｓ ｅｎｆｏｒｃｅｍｅｎｔ ｄｅｖｉｃｅ）に向けてサービスに対するリソースをリザーブ（予約）するステップと、リソースに対する制御ルールを、ルール施行デバイスから、制御ルールのインストールに責任を持つ制御ルールサーバに向けて要求するステップと、ユーザに適用した第１の認証方法に関する情報を、制御ルールサーバに向けて送信するステップと、制御ルールサーバにおいて、第２の認証方法によってユーザのさらなる認証が必要であるか否かを判定するステップと、制御ルールサーバから認証サーバに向けて第２の認証方法によってさらなる認証を行うよう命令するステップとである。

この方法においては、第２の認証方法によるユーザのさらなる認証は、前記さらなる認証を実行することが、以前にユーザを認証したネットワークによって要求されるか、またはユーザが現在サービスにアクセスするネットワークによって要求されるかによって、第１のネットワークにおいて、または第２のネットワークにおいて、特に実行することができる。

制御ルールサーバにおいて第２の認証方法によってユーザのさらなる認証が必要であるか否かを判定するステップを有利に実行するために、このステップは、認証ポリシーを適用するステップを含むことができる。特に、前記認証ポリシーは、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した要素を含むことができる。これらの認証メカニズム、暗号の強さ、およびこれらの組み合わせは、１つの実施形態では認証サーバから受信し、別の実施形態ではルール施行デバイスから受信する。また特に、そして必要であれば、これらの２つの実施形態に互換性のある実施形態では、前記認証ポリシーは、ルール施行デバイスから受信した、最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるＰＤＮ、およびこれらの組み合わせの内から選定した要素を含むことができる。さらに、前記認証ポリシーは、制御ルールサーバにおいて導出可能な、サービス識別子、利用可能なＱｏＳ、およびこれらの組み合わせの内から選定した要素を特に含むことができる。さらに、本方法はまた、制御ルールサーバにおいて制御ポリシーを構成するステップを備えることができる。そして、前記認証ポリシーは、アクセス情報、加入データ、サービスデータ、およびこれらの組み合わせの内から選定した要素によってさらに更新することができる。または、この要素と組み合わせて適用することができる。

本方法の１つの実施形態においては、ユーザに適用する第１の認証方法に関する情報を制御ルールサーバに向けて送信するステップは、この情報を、制御ルールサーバにおいて認証サーバから受信するステップを含むことができる。一方、別の実施形態においては、本方法は、ユーザに適用する第１の認証方法に関する情報を認証サーバからルール施行デバイスに向けて送信するステップをさらに含むことができる。この別の実施形態においては、ユーザに適用する第１の認証方法に関する情報を制御ルールサーバに向けて送信するステップは、この情報を、制御ルールサーバにおいてルール施行デバイスから受信するステップを含むことができる。さらに、この別の実施形態においては、第１の認証方法に関する情報をルール施行デバイスから受信するステップは、ルール施行デバイスから制御ルールサーバに向けて制御ルールを要求するステップと同時に実行することができる。

特に、上記の方法のいくつかのステップは、認証サーバがユーザに関する加入を保持するホーム加入者サーバ（ＨＳＳ：Ｈｏｍｅ Ｓｕｂｓｃｒｉｂｅｒ Ｓｅｒｖｅｒ）である場合に有利に実行することができる。また特に、そして、ＩＰフローの選択的制御に対してＰＣＣアーキテクチャが提供される場合には、ルール施行デバイスがサービスデータフローの検出機能を提供するＰＣＥＦである場合、および、制御ルールサーバが制御機能を提供し対応する制御ルールをインストールするＰＣＲＦである場合に、上記の方法のいくつかのステップは有利に実行することができる。

本発明の第２の視点に従えば、制御機能を提供し対応する制御ルールをインストールすることに責任を持つ制御ルールサーバが提供される。制御ルールサーバは、リソースを取り扱うための制御ルールに対する要求を受信するための受信機と、リソースを取り扱うためにインストールするべき制御ルールを決定するための制御ユニットと、前記制御ルールをルール施行デバイスに向けてインストールするための送信機とを備える。

上記の方法のいくつかのステップを完遂するために、本制御ルールサーバは、受信機と制御ユニットと送信機とを備え、受信機は、ユーザに適用する第１の認証方法に関する情報を受信するよう構成され、制御ユニットは、第２の認証方法によってユーザのさらなる認証が必要であるか否かを判定するよう構成され、送信機は、ユーザの認証を行うために認証方法の選定に責任を持つ認証サーバに、第２の認証方法によってユーザのさらなる認証を行うように命令するよう構成される。

上記の方法に関連して対応した有利さとしては、本制御ルールサーバの制御ユニットは、認証ポリシーを適用して、第２の認証方法によってユーザのさらなる認証が必要であるか否かの判定を行うよう構成することができる点である。この目的のために、本制御ルールサーバの受信機は、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した要素を受信するよう構成することができる。これらの認証メカニズム、暗号の強さ、およびこれらの組み合わせは、本発明の１つの実施形態では認証サーバから得られ、また本発明の別の実施形態ではルール施行デバイスから得られる。また、本制御ルールサーバの制御ユニットは、前記要素を含む認証ポリシーを双方の実施形態に適用するよう構成することができる。また、上記の方法の有利なステップに合わせて考えると、本制御ルールサーバの受信機は、ルール施行デバイスから得られる、最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるＰＤＮ、およびこれらの組み合わせの内から選定した要素を受信するよう構成することができる。そして、本制御ルールサーバの制御ユニットは、前記要素を含む認証ポリシーを適用するよう構成することができる。さらに、本制御ルールサーバの制御ユニットは、制御ルールサーバにおいて導出可能な、サービス識別子、利用可能なＱｏＳ、およびこれらの組み合わせの内から選定した要素を含む認証ポリシーを適用するよう構成することができる。さらに、本制御ルールサーバは、認証ポリシーを構成するための構成手段をさらに備えることができる。認証ポリシーは、アクセス情報、加入データ、サービスデータ、およびこれらの組み合わせの内から選定した要素によってさらに更新することができる。または、この要素と組み合わせて適用することができる。

上記方法の代替的実施形態に従えば、本制御ルールサーバの受信機は、ユーザに適用する第１の認証方法に関する情報を、１つの実施形態においては認証サーバから、別の実施形態においてはルール施行デバイスから受信するよう構成することができる。後者の実施形態を適用する場合には、本制御ルールサーバの受信機は、ユーザに適用する第１の認証方法に関する情報を、リソースを取り扱うための制御ルールに対する要求と共にルール施行デバイスから受信するようさらに構成することができる。

ＩＰフローまたは他の機能の選択的制御のためにＰＣＣアーキテクチャが特に提供される場合には、本制御ルールサーバはＰＣＲＦであってよい。

本発明の第３の視点に従えば、ユーザにサービスを提供するためのリソースに対する制御ルールの施行に責任を持つルール施行デバイスが提供され、ルール施行デバイスは、リソースを取り扱うための制御ルールに対する要求を送信するための送信機と、リソースに対してインストールされるべき制御ルールを受信するための受信機と、リソースに制御ルールを適用するための制御ユニットとを備える。

上記の方法のいくつかのステップを完遂するために、本ルール施行デバイスは受信機を備え、受信機はユーザを認証するために選定された認証方法に関する情報を受信するよう構成される。この情報は、ユーザが加入を保持するホームネットワークの認証サーバから送信されたものである。

本ルール施行デバイスにおいては、受信機で受信される認証方法に関する情報は、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した要素を含むことができる。また本ルール施行デバイスの送信機は、前記情報を、制御機能を提供し制御ルールをインストールすることに責任を持つ制御ルールサーバに向けて送信するよう構成することができる。

特に、および上記の方法と制御ルールサーバに従えば、本ルール施行デバイスの制御ユニットは、第１の認証方法に関する情報とともに、アクセス情報とサービスデータとを同封するよう構成することができる。そして、本ルール施行デバイスの送信機は、前記情報とデータとを、制御ルールサーバに向けて送信するようさらに構成することができる。この点に関しては、送信機によって送信されるアクセス情報とサービスデータとは、最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるＰＤＮ、およびこれらの組み合わせの内から選定した要素を含むことができる
制御ルールサーバに関して上記で述べたように、ＩＰフローまたは他の機能の選択的制御のためにＰＣＣアーキテクチャが特に提供された場合には、本ルール施行デバイスはＰＣＥＦであってよい。さらに、本ルール施行デバイスは、ＧＧＳＮ（Ｇａｔｅｗａｙ ＧＰＲＳ Ｓｕｐｐｏｒｔ Ｎｏｄｅ）または、ＰＤＮ−ＧＷ（Ｐａｃｋｅｔ Ｄａｔａ Ｎｅｔｗｏｒｋ Ｇａｔｅｗａｙ）、または、ユーザがアクセスしているアクセスネットワークに対応した別のネットワークノードの中に組み込むことができる。

本発明の第４の視点に従えば、認証サーバが提供される。本認証サーバは、ユーザがアクセスしているネットワークにおけるホームネットワークのユーザを認証するための認証方法を選定し、認証データをユーザに提供する。本認証サーバは、一般に、ユーザの認証に対する要求を受信するための受信機と、ユーザに適用すべき第１の認証方法を選定するための制御ユニットと、ユーザに対して選定された認証方法に従って認証データを送信するための送信機とを備える。

上記の方法のいくつかのステップを完遂するために、本認証サーバは、送信機と受信機とを備える。送信機は、ユーザに適用する第１の認証方法に関する情報を送信するよう構成され、受信機は、制御機能の提供と制御ルールのインストールに対して責任を持つ制御ルールサーバから、第２の認証方法によってユーザのさらなる認証を行うよう命令を受信するよう構成される。

さらに、本認証サーバの送信機は、ユーザに対して選定された第２の認証方法に従って認証データを送信することにより、ユーザのさらなる認証を起動するようさらに構成することができる。

特に、本認証サーバの送信機は、ユーザに適用する第１の認証方法に関する情報を送信するよう構成することができる。本発明の１つの実施形態に従った場合には、サービスを提供するリソースに対する制御ルールを施行するためのルール施行デバイスに向けて送信し、本発明の別の実施形態に従った場合には、制御ルールサーバに向けて送信する。さらに具体的には、本認証サーバの送信機によって送信される第１の認証方法に関する情報は、これらの実施形態のいずれの場合も、認証メカニズム、暗号の強さ、およびこれらの組み合わせの中から選定した要素を含むことができる。

上記の方法の対応する利点に合わせて考えると、本認証サーバは、ホームネットワークの加入者に対する加入データを保持するＨＳＳであってよい。

本発明は、１つ以上のコンピュータプログラムによって実行することができる。このコンピュータプログラムは、複数のコンピュータの内部メモリの中に搭載することができ、それぞれのコンピュータは入力ユニットと出力ユニットと同時に、処理ユニットを備える。コンピュータプログラムは、コンピュータの中で動作させるときに、上記の方法に従った方法のステップを実行するよう適合された、実行可能なコードを備える。１つ以上のコンピュータプログラムの実行可能なコードは、コンピュータの中の読み出し可能なキャリア（担体）の中に記録することができる。

本発明の特徴、目的、および利点は、添付の図面とともに本明細書の記述を読むことにより明確になるであろう。

ユーザがＧＰＲＳアクセスネットワークを通してＩＭＳにアクセスしている場合に使用可能なＰＣＣアーキテクチャの典型的なシナリオを示す図である。 ユーザがＳＡＥアクセスネットワークを通してＩＭＳにアクセスしている場合に使用可能なＰＣＣアーキテクチャの典型的な別のシナリオを示す図である。 ユーザがアクセスしているＧＰＲＳアクセスネットワークにおいて、ユーザが最初に認証を受ける場合に実行するべき行動のシーケンスの典型的な実施形態を示す図である。 ユーザが図２に示すように既にアクセスしていて、ユーザが現在サービスにアクセスしつつあるＧＰＲＳアクセスネットワークにおいて、ユーザがさらに認証を受ける場合に実行するべき行動のシーケンスの典型的な実施形態を示す図である。 ユーザは、図２に典型的に示す別のアクセスネットワークにおいて、またはユーザが登録しているＩＭＳネットワークにおいて、またはその両方において、以前に認証されており、その後に、現在サービスにアクセスしつつあるＩＭＳネットワークにおいて、ユーザがさらに認証を受ける場合に実行するべき行動のシーケンスの典型的な実施形態を示す図である。 ユーザは、図２に典型的に示す別のアクセスネットワークにおいて、または図３に典型的に示すＩＭＳネットワークにおいて、またはその両方において、以前に認証されており、その後に、現在サービスにアクセスしつつあるＧＰＲＳアクセスネットワークにおいて、ユーザがさらに認証を受ける場合に実行するべき行動のシーケンスの典型的な実施形態を示す図である。 本発明の実施形態に従って制御ルールサーバとして動作するＰＣＲＦサーバに含まれる構成要素、および他のアーキテクチャノードへの接続を示す図である。 本発明の実施形態に従ってルール施行デバイスとして動作するＰＣＥＦデバイスに含まれる構成要素、および他のアーキテクチャノードへの接続を示す図である。 本発明の実施形態に従って認証サーバとして動作するＨＳＳに含まれる構成要素、および他のアーキテクチャノードへの接続を示す図である。

以下では、第２のネットワークにおいてサービスにアクセスしているユーザを認証する方法に対するいくつかの好適な実施形態を記述する。ここで、ユーザはホームネットワークの加入者であり、以前にアクセスしていた第１のネットワークにおいて以前に認証されていた。以下ではまた、本方法を実行するためのデバイスおよびサーバについても記述する。

図１ａおよび図１ｂは、それぞれ、ユーザがＧＰＲＳアクセスネットワークを通してＩＭＳにアクセスしている場合と、ＳＡＥアクセスネットワークを通してＩＭＳにアクセスしている場合に使用することができる、ＰＣＣアーキテクチャの典型的なシナリオを示す。本明細書において、多くの実施形態は図１ａにおけるシナリオとそこに示された参照番号に従って典型的に記述されている。これらの実施形態はまた、図１ｂにおけるシナリオおよびそこに示された参照番号にも均等的に適用される。さらに、機能的に均等なネットワークノードを有する他のシナリオにも適用される。

例えば、特に断らない限り、図１ａのシナリオに適用される所定の実施形態における第１のユーザ装置４ａ（以後はＵＥ−１と記す）に対する今後の記述に関しては、すべて、図１ｂのシナリオに適用される均等な実施形態における第２のユーザ装置４ｂ（以後はＵＥ−２と記す）に対しても同じ記述が当てはまる。同様に、特に断らない限り、図１ａのシナリオに適用される所定の実施形態における第１のＰｒｏｘｙ Ｃａｌｌ Ｓｅｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｆｕｎｃｔｉｏｎ５ａ（以後はＰ−ＣＳＣＦ−１と記す）に対する今後の記述に関しては、すべて、図１ｂのシナリオに適用される均等な実施形態における第２のＰｒｏｘｙ Ｃａｌｌ Ｓｅｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｆｕｎｃｔｉｏｎ５ｂ（以後はＰ−ＣＳＣＦ−２と記す）に対しても同じ記述が当てはまる。

一方、本発明の上記の第２の視点に従えば、制御機能を提供し制御ルールをインストールすることに責任を持つ制御ルールサーバは、ＰＣＣアーキテクチャのＰＣＲＦとして典型的に実施することができる。従って、特に断らない限り、図１ａのシナリオに適用される所定の実施形態における第１のＰＣＲＦ１ａ（以後はＰＣＲＦ−１と記す）に対する今後の記述に関しては、すべて、図１ｂのシナリオに適用される均等な実施形態における第２のＰＣＲＦ１ｂ（以後はＰＣＲＦ−２と記す）に対しても同じ記述が当てはまる。

この制御ルールサーバは、典型的にはＰＣＲＦ−１ １ａおよびＰＣＲＦ−２ １ｂであり、リソースを取り扱うための制御ルールに対する要求を受信するための受信機１２と、そのリソースを取り扱うためにインストールするべき制御ルールを決定するための制御ユニット１０と、前記制御ルールをルール施行デバイスに向けてインストールするための送信機１１とを備える。

同様に、本発明の上記の第３の視点に従えば、ユーザに対するサービスを提供するリソースに対する制御ルールを施行することに責任を持つルール施行デバイスは、ＰＣＣアーキテクチャのＰＣＥＦとして典型的に実施することができる。またこの点に関して、特に断らない限り、図１ａのシナリオに適用する所定の実施形態における第１のＰＣＥＦ２ａ（以後はＰＣＥＦ−１と記す）に対する今後の記述に関しては、すべて、図１ｂのシナリオに適用する均等な実施形態における第２のＰＣＥＦ２ｂ（以後はＰＣＥＦ−２と記す）に対しても同じ記述が当てはまる。

このルール施行デバイスは、典型的にはＰＣＥＦ−１ ２ａおよびＰＣＥＦ−２ ２ｂであり、リソースを取り扱うための制御ルールに対する要求を送信するための送信機２１と、そのリソースに対してインストールするべき制御ルールを受信するための受信機２２と、この制御ルールをリソースに適用するための制御ユニット２０とを備える。

本発明の第４の視点に従った認証サーバは、ユーザがアクセスするネットワークにおけるホームネットワークのユーザを認証するための認証方法を選定し、ユーザに認証データを提供することに責任を持つ。このような認証サーバは、図１ａまたは図１ｂには示されていないが、ホームネットワークの加入者に対する加入データを保持するＨＳＳとして典型的に実施することができる。この点に関して、特に断らない限り、図１ａのシナリオに適用する所定の実施形態におけるＨＳＳ６に対する今後の記述に関しては、すべて、図１ｂのシナリオに適用する均等な実施形態における同じＨＳＳ６に対しても同じ記述が当てはまる。

本認証サーバは、典型的にはＨＳＳ６であり、ユーザの認証に対する要求を受信するための受信機６２と、ユーザに対するアクセス情報と加入情報とに従ってユーザに適用すべき第１の認証方法を選定するための制御ユニット６０と、ユーザに対して選定された認証方法に従って認証データを送信するための送信機６１とを備える。

図２は１つの実施形態を示し、ここでは、ユーザ、すなわちＵＥ−１は、ＧＰＲＳアクセスネットワークを通してアクセスしており、そこで最初に認証される。行動のシーケンス（系列）は、ステップＳ−０１０で開始され、ここでは、ＵＥ−１ ４ａは、従来のＧＰＲＳ登録手順に従って、登録に対する要求をＳｅｒｖｉｎｇ ＧＰＲＳ Ｓｕｐｐｏｒｔ Ｎｏｄｅ（以後はＳＧＳＮと記す）８ａに向けて送信する。ＳＧＳＮは、この要求を受信すると、ステップＳ−０１５において、ホームネットワークのそれぞれのユーザの認証を行うための認証方法を選定することに対して責任を持つＨＳＳに認証情報を要求する。その後、ＨＳＳは、ステップＳ−０２０において、ユーザ４ａに対して適用可能な認証方法を選定する。そして、ステップＳ−０３０において、対応する認証情報を含めてＳＧＳＮ８ａに向けて応答を返送する。

選定した認証方法に関しては、ＨＳＳはステップＳ−０２５において、選定した認証方法をＰＣＲＦ−１ １ａまたはＰＣＥＦ−１ ２ａにむけて通知することができる。ＰＣＲＦ−１１ａに対しては、この図２に示した本発明の第１の実施形態に従って、ＳＧＳＮに向けて認証情報を返送する以前に、または返送と同時に、または返送した後に、選定した認証方法をＰＣＲＦ−１ １ａに向けて通知することができる。またＰＣＥＦ−１ ２ａに対しては、本発明の第２の実施形態に従って、直接的にまたは他のネットワークノードを通して間接的にＰＣＥＦ−１ ２ａに向けて通知することができる。本発明の第２の実施形態の場合は、いずれの図面にも示されていない。

この目的のために、ＨＳＳ６の送信機６１は、ユーザに適用する第１の認証方法に関する情報を送信するよう構成され、ＰＣＲＦ−１ １ａ、またはＰＣＥＦ−１ ２ａ、または両方に、この情報を送信するよう構成することができる。さらに、送信機６１は、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した要素を、この情報を含めて送信するよう構成することができる。この特徴に合わせて考えると、ＰＣＲＦ−１の受信機１２、ＰＣＥＦ−１の受信機２２、またはこれらの両方は、ユーザを認証するために選定された認証方法に関する情報を受信するよう構成することができる。

ＳＧＳＮ８ａにおいて受信するこの応答は、ユーザの認証を実行するために必要な認証データを含むことができる。特に、応答は、ステップＳ−０３５においてＵＥ−１ ４ａに向けて送信されるべき認証チャレンジを典型的に含むことができる。このチャレンジを受信するＵＥ−１はＳ−０４０において、対応する認証応答を処理して、前記認証応答をＳＧＳＮ向けて返送する。その後、ＳＧＳＮは、ステップＳ−０４５において認証検査を実行し、ＵＥ−１によって送信された認証応答が、ＳＧＳＮにおいて取り扱う、予想される応答に整合しているか否かを検証する。整合している場合には、認証が成功裏に行われたと判断され、従って従来の手順に従って関連するエンティティに対して通知される。

認証が成功した後には、ＵＥ−１は、ステップＳ−０５０において、ＳＧＳＮ８ａに向けたＩＰ−ＣＡＮセッションを確立することができる。これは、ＧＰＲＳアクセスネットワークの場合には「ＰＤＰコンテキスト」と呼ばれるコンテキストの生成に対応している。ＩＰ−ＣＡＮセッションのこの確立は、ＳＧＳＮからＰＣＥＦ−１ ２ａに向けて転送される。ＰＣＥＦ−１ ２ａは、図１ａの実施形態の構成では、ＧＰＲＳアクセスネットワークのＧＧＳＮ７ａの中に含まれている。選定された認証方法を通知する実施形態で、上記の第１の実施形態か第２の実施形態であるかに拘わらず、ＳＧＳＮは、ＰＣＥＦ−１に向けた認証手順に関するさらなる情報を含むことができる。これらの情報は、最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるＰＤＮ、およびこれらの組み合わせ等である。さらに、上記の第２の実施形態に続いて、選定された認証方法をＨＳＳからＳＧＳＮに向けて通知する場合には、ＳＧＳＮは、ＵＥ−１ ４ａの認証を実行する認証手順に関して、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した情報要素を含めることができる。

この目的のために、ＰＣＥＦ−１の受信機２２は、最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるＰＤＮ、およびこれらの組み合わせの内から選定した情報要素を受信するよう構成することができる。また、ＰＣＥＦ−１の受信機２２は、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した情報要素を受信するよう構成することができる。

ＰＣＥＦ−１ ２ａは、ＩＰ−ＣＡＮセッションを確立する要求を受信すると、ステップＳ−０６０において制御ルールに対する要求をＰＣＲＦ−１ １ａにむけて送信する。ここで、ＰＣＲＦ−１ １ａは、図１ａに示す構成の実施形態においては制御ルールの提供とインストールに責任を持つ。ＰＣＲＦ−１ １ａにむけての制御ルールに対するこの要求は、特に、最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるＰＤＮ、およびこれらの組み合わせ等の、認証手順に関するさらなる情報を含むことができる。

この目的のために、ＰＣＥＦ−１の送信機２１は、第１の認証方法、アクセス情報、およびサービスデータに関する情報をＰＣＲＦ−１ １ａにむけて送信するよう構成することができ、前記アクセス情報およびサービスデータは、最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるＰＤＮ、およびこれらの組み合わせの内から選定した要素を含む。また、ＰＣＲＦ−１の受信機１２は、ＰＣＥＦ−１ ２ａから得られる、最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるＰＤＮ、およびこれらの組み合わせの内から選定した前記要素を受信するよう構成することができる。

また特に、そして、上記の第２の実施形態に引き続いて、選定された認証方法を直接的にまたは他のネットワークノードを通して間接的にＨＳＳからＳＧＳＮに向けて通知する場合に、ＰＣＥＦ−１ ２ａからＰＣＲＦ−１ １ａに向けての制御ルールに対する要求は、ＵＥ−１ ４ａの認証を実行する認証手順に関して、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した情報要素を含むことができる。しかしながら、上記の第１の実施形態に引き続いて、選定された認証方法をＨＳＳ６から直接にＰＣＲＦ−１ １ａに通知する場合には、ＵＥ−１ ４ａの認証を実行する認証手順に関して、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定したこれらの情報要素は、前記さらなる情報の有無に拘わらず、ＰＣＥＦ−１ ２ａから制御ルールに対する要求を受信したときに既に、ＰＣＲＦ−１ １ａにおいて利用可能となっている。

この目的のために、ＰＣＥＦ−１ ２ａの送信機２１とＨＳＳ６の送信機６１とは、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した情報要素をＰＣＲＦ−１ １ａに向けて送信するよう構成することができる。また、ＰＣＲＦ−１ １ａの受信機１２は、ＨＳＳ６から、またはＰＣＥＦ−１ ２ａから、またはそれら両方から前記情報要素を受信するよう構成することができる。

認証ポリシーを使用することによりＰＣＲＦ−１ １ａを有利に構成することができ、これにより、いずれの時にも、特にユーザがサービスにアクセスするときに、または第２のネットワークを通してこれを行うときに、第２の認証方法によってユーザの更なる認証が必要であるか否かの判定を行うことができる。これらの認証ポリシーは、ＨＳＳ６からまたはＰＣＥＦ−１ ２ａから受信した、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した要素と、ＰＣＥＦ−１ ２ａから受信した、最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるＰＤＮ、およびこれらの組み合わせの内から選定した要素と、ＰＣＲＦ−１ １ａにおいて導出可能な、サービス識別子、利用可能なＱｏＳ、およびこれらの組み合わせの内から選定した要素とを含むことができる。

この目的のために、ＰＣＲＦ−１ １ａの制御ユニット１０は、さらなる認証方法によってユーザのさらなる認証が必要であるか否かを判定するよう構成される。また特に、本制御ユニット１０は、上記の要素を含めて認証ポリシーを適用し、さらなる認証方法によってユーザのさらなる認証が必要であるか否かの判定を行うよう構成することができる。さらに、ＰＣＲＦ−１ １ａは、認証ポリシーを構成するための構成手段１３をさらに備えることができる。この認証ポリシーは、上記で参照した、アクセス情報、加入データ、サービスデータ、およびこれらの組み合わせの内から選定した要素によって、さらに更新することができる。または、この要素とともに適用することができる。特に、この構成手段１３は、認証ポリシーを記憶するよう構成された内部データベース１３１とメモリハンドラ１３０とを含むことができる。メモリハンドラ１３０は、加入データおよび可能性として他の設定可能なデータを取得できる外部データベース１３２が提供されている場合には、その外部データベース１３２にアクセスするためのものである。

従って、ＰＣＲＦ−１ １ａにおいて制御ルールに対する要求を受信すると、または、認証ポリシーの中に含まれるこれらの要素が利用可能になった時にはいつでも、ＰＣＲＦ−１は、適切な現在の値を使用して認証ポリシーを更新し、ステップＳ−０６５において実行する認証ポリシー手順の中にそれらを適用することができる。

図２に示された行動のこの典型的なシーケンスにおいては、このステップＳ−０６５において認証ポリシーを適用している結果、ユーザ４ａのさらなる認証は決定されない。そして、ＰＣＲＦ−１ １ａは、ステップＳ−０７０において、インストールするべき制御ルールをＰＣＥＦ−１ ２ａに向けて送信する。ＰＣＥＦ−１は、受信した制御ルールがＩＰ−ＣＡＮセッションのためにインストールされると、ステップＳ−０７５において、ＩＰ−ＣＡＮセッションの確立が成功したという応答をＳＧＳＮ８ａに向けて返送する。そしてＳＧＳＮ８ａは、ステップＳ−０８０において、この成功したという応答をＵＥ−１ ４ａに向けて転送する。

ユーザは、後の段階で、同一のアクセスネットワークを通して、ある特定なサービスに対する要求を決めることができる。このアクセスネットワークは、この型的な実施形態においては、図１ａに示されたシナリオにおけるＧＰＲＳネットワークである。要求するこの特定なサービスには、アクセスネットワークから、追加のまたは代替のリソースがＰＣＥＦ−１ ２ａに通知されてＰＣＥＦ−１ ２ａにリザーブされる必要がある場合がある。この場合、また上記した概念を明確にするために、ユーザが最初に認証された第１のアクセスネットワークと、ユーザがサービスにアクセスする第２のアクセスネットワークとは同一であるとする。

この目的のために、図３に示すように、また従来のＧＰＲＳ手順に従って、ＵＥ−１は、ステップＳ−０９０において、ＧＰＲＳアクセスネットワークの中でユーザにサービスを提供しているＳＧＳＮ８ａに向けて、以前に確立したＩＰ−ＣＡＮセッションの更新を送信する。これはすなわち、「ＰＤＰコンテキスト」と呼ばれるコンテキストの更新である。

この更新は、ステップＳ−０９５において、ＳＧＳＮからＰＣＥＦ−１ ２ａに向けて転送される。ＰＣＥＦ−１ ２ａは、更新を受信すると、ステップＳ−１００において、要求されるリソースに対する新しいまたは更新した制御ルールに対する要求をＰＣＲＦ−１ １ａに向けて転送する。

ＩＰ−ＣＡＮセッションの確立のときと同様な様式によって、ＰＣＥＦ−１は、最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるＰＤＮ、およびこれらの組み合わせ等の認証手順に関する追加の情報を、新しいまたは更新した制御ルールに対するこの要求に含めて、または分離して送信することができる。さらに具体的には、ＰＣＥＦ−１は、以前に送信しなかった要素、または、要求した特定のサービスに従って変更した要素だけを含むことができる。

そして、ＰＣＲＦ−１ １ａは、適切な現在の値を使用して認証ポリシーを更新し、図３に示すステップＳ−１０５において実行される認証ポリシー手順にそれらを適用することができる。この特定な場合には、ＰＣＲＦ−１は、認証ポリシーを適用した結果、第２の認証方法によってＵＥ−１ ４ａのさらなる認証が必要であると判定することができる。第２の認証方法は、恐らくは、より高い暗号の強さを持つであろう。この目的のために、ＰＣＲＦ−１は、ステップＳ−１１０において、ＰＣＲＦ−１において決定された第２の認証方法によってＵＥ−１のさらなる認証を起動する要求をＨＳＳ６に向けて送信する。あるいは、ＰＣＲＦ−１は、単に、要求された暗号の強さを指示するだけでよく、ＨＳＳ６は、中に含まれる認証データの助けを借りて、要求された暗号の強さを持つ、ＵＥ−１ ４ａのさらなる認証に対する適切な第２の認証方法を選定することができる。

この目的のために、ＰＣＲＦ−１ １ａの制御ユニット１０は、さらなる認証方法によってユーザのさらなる認証が必要であるか否かの判定を行うよう構成される。ＰＣＲＦ−１の送信機１１は、さらなる認証方法によってユーザのさらなる認証を行うことをＨＳＳ６に命令するよう構成される。そして、ＨＳＳ６の受信機６２は、さらなる認証方法によってＵＥ−１ ４ａのさらなる認証を行う命令をＰＣＲＦ−１ １ａから受信するよう構成される。

その後、ＨＳＳは、ステップＳ−１１５において、ＰＣＲＦ−１によって選定された、または、ＰＣＲＦ−１から受信した暗号の強さの指示を考慮に入れてＨＳＳによって選定された、第２の認証方法によってネットワークが開始するＵＥ−１のさらなる認証をＳＧＳＮ８ａに対して起動する。特に、第２の認証方法は第１の認証方法と同じであってもよい。このようなネットワークが開始する認証は、ステップＳ−１２０において、ＵＥ−１ ４ａとＳＧＳＮ８ａとの間で実行され、その中で、ＳＧＳＮ８ａは認証チャレンジをＵＥ−１ ４ａに提供することができ、その結果ＵＥ−１ ４ａから提供される応答を検証することができる。

この目的のために、ＨＳＳ６の送信機６１は、ユーザに対して選定されたさらなる認証方法に従って認証データを送信することにより、ユーザのさらなる認証を起動するよう構成することができる。

ユーザの認証が成功すると、ＳＧＳＮ８ａは、ステップＳ−１２５において、対応する応答をＨＳＳ６に向けて送信する。ＨＳＳ６は、適宜な折に、ステップ１３０において、ＵＥ−１が最後に認証された認証方法を通知する通知をＰＣＲＦ−１ １ａに向けて送信する。

この点に関して言えば、第１の認証方法による、ＵＥ−１の以前の認証においては、ＨＳＳ６またはＰＣＥＦ−１ ２ａのいずれかが、この目的のために上記で説明した第１または第２の実施形態に従ってこの通知を送信できたであろうが、選定された認証方法をＨＳＳ６からＰＣＲＦ−１に通知するためには、この最近の認証に対して示した実施形態がより有効であると考えられる。これは、通知は認証が成功裏に実行された後に行われ、また、この目的のためにＰＣＥＦ−１ ２ａが関与していないからである。それでも、ＰＣＥＦ−１ ２ａが最初に通知を受けて、ＰＣＥＦ−１ ２ａがこの通知をＰＣＲＦ−１１ａに向けて転送する、以前の実施形態と均等的実施形態を提供することができる。

この通知を受信するＰＣＲＦ−１は、ＵＥ−１を認証するために実行された最近の認証方法を確認し、必要に応じて認証ポリシーを更新する。そして、ステップＳ−１３５において、新しいまたは更新した制御ルールをインストールするために、それらをＰＣＥＦ−１ ２ａに向けて送信する。

ＰＣＥＦ−１は、受信した、新しいまたは更新された制御ルールが、要求したサービスに必要なリソースに対してインストールされると、ステップＳ−１４０において、成功したという応答をＳＧＳＮ８ａに向けて返送する。そして、ＳＧＳＮ８ａはステップＳ−１４５において、この成功したという応答をＵＥ−１ ４ａに向けて転送する。

さらなるシナリオでは、ユーザ、すなわち上記で挙げたＵＥ−１またはＵＥ−２が、ＩＭＳネットワークの中でサービスを受けるために登録を行う場合を考えることができる。特に、図４に示されるＩＭＳネットワークの中でのこの登録は、図３に示される行動のシーケンスが完了した後に実行することができる。または、図２に示される行動のシーケンスが実行されて完了した直後に実行することもできる。またこれは、図３に示される元のＧＰＲＳアクセスネットワークを通してサービスを要求するためにＩＰ−ＣＡＮセッションを更新せずに実行することもできる。

図４に示す典型的な実施形態は、ＵＥ−１ ４ａが、ステップＳ−１５０にいて、ＩＭＳネットワークへの入り口のノードであるＰ−ＣＳＣＦ−１ ５ａに向けて登録を送信することで開始される。このＰ−ＣＳＣＦ−１ ５ａは、従来のＩＭＳ手順に従ってＵＥ−１にサービスを提供するために、ステップＳ−１５５において、この登録を第１のＩｎｔｅｒｒｏｇａｔｉｎｇ Ｃａｌｌ Ｓｅｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｆｕｎｃｔｉｏｎ（以後はＩ−ＣＳＣＦ−１と記す）５１ａに向けて転送する。Ｉ−ＣＳＣＦ−１ ５１ａは、第１のＳｅｒｖｉｎｇ Ｃａｌｌ Ｓｅｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｆｕｎｃｔｉｏｎ（以後はＳ−ＣＳＣＦ−１と記す）５２ａの割り当てに責任を持つ。登録要求を受信したＩ−ＣＳＣＦ−１ ５１ａは、ステップＳ−１６０において、登録クエリー（ｑｕｅｒｙ）をＨＳＳ６に向けて送信し、ＨＳＳ６は、ステップＳ−１６５において、選定可能なＳ−ＣＳＣＦに要求される能力（ケイパビリティ）、あるいは、以前に割り当てられたＳ−ＣＳＣＦがある場合にはその識別子を返送する。

そして、Ｉ−ＣＳＣＦ−１ ５１ａは、ＨＳＳ６から受信した情報に従ってＳ−ＣＳＣＦ−１ ５２ａを選定し、ステップＳ−１７０において、登録要求をこの選定したＳ−ＣＳＣＦ−１ ５２ａに向けて送信する。Ｓ−ＣＳＣＦ−１は、ステップＳ−１７５において、ＵＥ−１にサービスを行うよう割り当てられたことをＨＳＳに対して確認を行う。これはユーザデータを提供するようインプリシットな要求であると考えることができる。ＨＳＳ６は、この確認を受信すると、ステップＳ−１８０において、ユーザに適用すべき認証方法を選定し、ステップＳ−１８５において、ユーザにサービスを提供するために必要な全ての関連するデータを備えるユーザプロファイルとＩＭＳネットワークにおいてユーザを認証するための認証データとを返送する。

この段階では、ＵＥ−１のさらなる認証のために選定される認証方法をＰＣＲＦ−１ １ａに向けて通知するには種々の異なる代替が生ずる。一方では、図４に示す本発明の第１の実施形態に従えば、選定した認証方法をＳ−１９０においてＰＣＲＦ−１ １ａに向けてＨＳＳが通知するのは、ステップＳ−１８５において認証情報をＳ−ＣＳＣＦ−１に向けて返送する以前に実行することもできるし、返送する時に、または返送した後に実行することもできる。または、いずれの図面にも示されていない本発明の第２の実施形態に従えば、直接的にまたは他のネットワークを通して間接的に、ＰＣＥＦ−１ ２ａに向けて通知することもできる。

ＰＣＲＦ−１ １ａの制御ユニット１０は、アプリケーションネットワークと同様に、アクセスネットワークにおいてもそこで実行された最近の認証方法の履歴を追尾することができるように、履歴表を認証ポリシーに含めて保持するよう構成することができる。アプリケーションネットワークの例としては、本発明の目的からしてＩＭＳも当てはまると考えることができる。

この特定な実施形態においては、ＨＳＳは、異なる理由によって、シングルサインオン（Ｓｉｎｇｌｅ Ｓｉｇｎ−Ｏｎ、以後はＳＳＯと記す）認証と呼ばれる認証を選定することができる。ＳＳＯでは、ユーザのさらなる認証は必要ではない。これは、例えば、ＨＳＳが、ユーザが最近に認証されたアクセスネットワークが同一の事業者に属していることを知っている場合に生ずる。従って、Ｓ−ＣＳＣＦ−１ ５２ａは、認証データとして含まれる対応するＳＳＯ指示を受信すると、ステップＳ−２００において、ＵＥ−１がアクセスしていたＰ−ＣＳＣＦ−１ ５ａに向けて正（ポジティブ）の登録応答を送信する。そして、Ｐ−ＣＳＣＦ−１ ５ａは、ステップＳ−２０５において、この正の登録応答をＵＥ−１ ４ａに向けて転送する。

その後に、ＵＥ−１ ４ａは、ステップＳ−２１０において、Ｐ−ＣＳＣＦ−１ ５ａに向けてインビテーション（招待）を送信することにより、特定のＩＭＳサービスを要求することができる。Ｐ−ＣＳＣＦ−１は、ステップＳ−２１５において、現在ＵＥ−１にサービスを提供しているＳ−ＣＳＣＦ−１ ５２ａに向けて、このインビテーションを転送する。

それとは別に、Ｐ−ＣＳＣＦ−１ ５ａは、サービスに対して要求され、Ｐ−ＣＳＣＦ−１を通してＵＥ−１によってネゴシエートされたメディアを知ると、ステップＳ−２２０において、サービスに対して要求されるメディアの記述をＰＣＲＦ−１１ａに向けて送信することができる。ＰＣＲＦ−１は、この段階で、適切な現在の値を使用して認証ポリシーを更新することができる。そして、ステップＳ−２２５において実行される認証ポリシー手順の中にそれらを適用することができる。または、ＰＣＲＦ−１はそれらを更新するだけで、更新した認証ポリシーを適用する前に、このメディアの記述に対応する新しい制御ルールに対する要求の受信を待つこともできる。一方、ＰＣＲＦ−１は、Ｐ−ＣＳＣＦ−１に応答を返送し、いずれの図面にも示されていないが、現在の手順に従って、他の対応するタスク（仕事）を実行することができる。

その後、続いて（この図面には示されていない）、このメディアの記述に対応する新しい制御ルールに対する要求は、以前に図２または図３に示した実施形態に関するＰ−ＣＲＦ−１において受信することができる。そして、更新した認証ポリシーの適用が上記のステップＳ−２２５における認証ポリシー手順の中で完了しなかった場合には、ここで実行することができる。

最近に更新した認証ポリシーを適用した後に認証ポリシー手順を実行した結果として、ＰＣＲＦ−１ １ａは、第２の認証方法によってＵＥ−１のさらなる認証が必要であると判定することができる。この目的のために、ＰＣＲＦ−１は、ステップＳ−２３０において、ＰＣＲＦ−１において決定したこの第２の認証方法によってＵＥ−１のさらなる認証を起動する要求をＨＳＳ６に向けて送信する。あるいは、上記で説明した以前の実施形態に関しては、ＰＣＲＦ−１は、要求される暗号の強さだけを単に指示することができ、これにより、ＨＳＳ６は、中に含まれる認証データの助けを借りて、ＵＥ−１ ４ａのさらなる認証を行うために、要求された暗号の強さを持つ適切な第２の認証方法を選定することができる。

そして、ＨＳＳ６は、ステップＳ−２３５において、ＵＥ−１のさらなる認証をＳ−ＣＳＣＦ−１ ５２ａに対して起動する。これはＰＣＲＦ−１が選定した第２の認証方法によりネットワークによって開始される。または、上記で説明した以前の実施形態では、認証の開始は、ＰＣＲＦ−１から受信した暗号の強さの指示を考慮に入れてＨＳＳによって行われる。このようなネットワークによって開始される、Ｓ−ＣＳＣＦ−１ ５２ａとＵＥ−１ ４ａとの間の認証は、従来の技術に従って実行され従ってこれ以上の記述は行わない。

さらに別のシナリオでは、ユーザ、すなわち上記で挙げたＵＥ−１またはＵＥ−２は、ＩＭＳネットワークの中のサービスを受けるためにＩＭＳネットワークによる認証を行った後に、以前のアクセスネットワークを通してではあるが、新しくＩＰ−ＣＡＮセッションの確立を行って、サービスにアクセスするという場合を考えることができる。特別な実施形態として、以前のアクセスネットワークを通してではあるが、新しくＩＰ−ＣＡＮセッションの確立を行うという、このアクセスを図５に示す。そして、このアクセスは、図４に示す行動のシーケンスが一度完了してから実行することができる。

従って、図５に示す行動のシーケンスは、ステップＳ−２４０において、ＵＥ−１４ａがＳＧＳＮ８ａに対して新しいＩＰ−ＣＡＮセッションを確立することから開始される。これは、以前のＧＰＲＳアクセスネットワークの場合には、第２の「ＰＤＰコンテキスト」と呼ばれるコンテキストの生成に対応している。このＩＰ−ＣＡＮセッションの確立は、ステップＳ−２４５において、ＳＧＳＮからＰＣＥＦ−１ ２ａにむけて転送される。ＰＣＥＦ−１２ａは、図１ａの実施形態の構成ではＧＰＲＳアクセスネットワークのＧＧＳＮ７ａに含まれる。

ＰＣＥＦ−１ ２ａは、第２のＰＤＰコンテキストの確立に対する要求を受信すると、ステップＳ−２５０において、前記第２のＰＤＰコンテキストに対する制御ルールをＰＣＲＦ−１ １ａに要求する。この場合にはまた、以前の実施形態に関しては、ＰＣＲＦ−１は、制御ルールを受信する以前に、または受信する時に、または受信した後に、ＰＣＥＦ−１ ２ａから得られる、もし現在わかっていれば最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるＰＤＮ、およびこれらの組み合わせの内から選定した要素を受信することができる。その後に、ＰＣＲＦ−１ １ａにおいて制御ルールに対する要求が受信されると、または、認証ポリシーの中に含まれるこれらの要素が利用可能になった時にはいつでも、ＰＣＲＦ−１は、適切な現在の値を使用して認証ポリシーを更新し、それらを認証ポリシー手順の中に適用することができる。これはすステップＳ−２５５において実行される。

この特別な場合には、ＰＣＲＦ−１は、認証ポリシーを適用した結果として、さらなる認証方法によってＵＥ−１ ４ａのさらなる認証が必要であると判定することができる。このさらなる認証方法は、恐らくは、より高い暗号の強さを持つものである。これは、最近行われた認証がいわゆるＳＳＯ認証であり、ＳＳＯ認証の暗号の強さはより低いと仮定することができるからである。この目的のために、ＰＣＲＦ−１は、ステップＳ−２６０において、ＰＣＲＦ−１において決定されたさらなる認証方法によってＵＥ−１のさらなる認証を起動する要求をＨＳＳ６に向けて送信する。

以前の実施形態に関しては、ＰＣＲＦ−１は、代替として、要求される暗号の強さを指示することができ、それによりＨＳＳ６は、中に含まれる認証データの助けを借りて、要求された暗号の強さを持つ、ＵＥ−１ ４ａのさらなる認証を行うための適切なさらなる認証方法を選定することができる。

そして、ＨＳＳは、ステップＳ−２６５において、ＵＥ−１のさらなる認証をＳＧＳＮ８ａに対して起動する。これはＰＣＲＦ−１またはＨＳＳが選定した認証方法によりネットワークによって開始される。このようなネットワークによって開始される認証は、ステップＳ−２７０において、ＵＥ−１ ４ａとＳＧＳＮ８ａとの間で行われ、ＳＧＳＮ８ａは認証チャレンジをＵＥ−１ ４ａに提供することができ、その結果ＵＥ−１ ４ａから提供される応答を検証することができる。

ユーザの認証が成功すると、ＳＧＳＮ８ａは、ステップＳ−２７５において、対応する応答をＨＳＳ６に向けて送信する。そして、ＨＳＳ６は、ステップＳ２８０において、ＵＥ−１が最後に認証された認証方法を通知する通知をＰＣＲＦ−１ １ａに向けて送信することができる。上記で既に説明したように、ＨＳＳ６またはＰＣＥＦ−１ ２ａは、この目的のために提供された実施形態に従って、この通知を送信できたであろう。しかし、ＨＳＳ６からＰＣＲＦ−１に向けての通知は、いくつかの実施形態においてはより有効であると考えられる。

この通知を受信するＰＣＲＦ−１は、ＵＥ−１を認証するために実行された最近の認証方法を確認し、必要に応じて、認証ポリシーを更新する。そして、ステップＳ−２８５において、新しい制御ルールをインストールするために、それらをＰＣＥＦ−１ ２ａに向けて送信する。

特に、新しい制御ルールは、ステップＳ−２５０において制御ルールに対する要求を受信した後には、いつでもＰＣＥＦ−１ ２ａにインストールすることができる。これは、この実施形態およびいくつかの以前の実施形態に当てはまるものである。しかしながら、さらなる認証に失敗がある場合には、ルールをアンインストールしてサービスリソースを解放しなければならないであろう。

ＰＣＥＦ−１は、受信した新しい制御ルールが、要求するサービスに必要なリソースに対してインストールされると、ステップＳ−２９０において、成功したという応答をＳＧＳＮ８ａに向けて返送する。そして、ＳＧＳＮ８ａは、ステップＳ−２９５において、この成功したという応答をＵＥ−１ ４ａに向けて転送する。

本発明は、３ＧＰＰネットワークに従って動作するホームネットワークのユーザを認証するための認証方法を選定する場合に特に適用することができる。また、３ＧＰＰネットワークに従って動作するネットワークを通してサービスにアクセするユーザ、または３ＧＰＰネットワーク以外の標準規格に従って動作するネットワークを通してサービスにアクセするユーザを認証するための認証方法を選定する場合にも適用される。しかしながら、上記の実施形態を見ると、他の組み合わせに対しても可能である。

実施形態の実行に関しては、本発明は、入力ユニットと出力ユニットおよび処理ユニットを含むコンピュータの内部メモリに搭載可能なコンピュータプログラムによって実現することができる。このコンピュータプログラムは、コンピュータの中で動作させるときに、上記の実施形態で記述した行動のシーケンスを実行するよう適合された実行可能なコード（符号）部分を備える。特に、コンピュータプログラムは、ＣＤ−ＲＯＭ、ＤＶＤ等の、コンピュータ読み取り可能な媒体のキャリアの中に記録することができる。

本発明は、いくつかの実施形態に関連して、例示であり、かつ限定的でない様式で上記に記述した。明らかに、上記の教示を見れば、これらの実施形態の変形、および組み合わせが可能であり、本クレームの範囲の中に入る実施形態のいずれの変更も本発明の中に含まれると意図される。

Claims (26)

1. ユーザがホームネットワークの加入者であり、前記ユーザがアクセスする第１のネットワークにおいて以前に認証されている中で、第２のネットワークにおいてサービスにアクセスするユーザを認証する方法であって、
   前記ユーザに対するアクセス情報と加入情報とに従って前記ホームネットワークの認証サーバ（６）において選定（Ｓ−０２０）した第１の認証方法によって、前記ユーザがアクセスする第１のネットワークにおけるユーザ（４ａ）を認証するステップ（Ｓ−０４５）と、
   前記ユーザは第２のネットワークにおいてサービスにアクセスし、サービスデータフローの検出機能を提供し、ベアラプレーンのトラフィックに対するポリシー及び課金、並びに、リソースの取り扱いを担うＰｏｌｉｃｙ ａｎｄ Ｃｈａｒｇｉｎｇ Ｅｎｆｏｒｃｅｍｅｎｔ Ｆｕｎｃｔｉｏｎデバイス（２ａ）（以降、ＰＣＥＦデバイス）に、前記サービスに対するリソースをリザーブ（予約）するステップ（Ｓ−０９５）と、
   前記リソースに対する制御ルールを、前記ＰＣＥＦデバイス（２ａ）から、制御機能を提供すると共に前記ＰＣＥＦデバイスにて制御ルールをインストールすることに責任を持つＰｏｌｉｃｙ ａｎｄ Ｃｈａｒｇｉｎｇ Ｒｕｌｅ Ｆｕｎｃｔｉｏｎ）サーバ（１ａ）（以降、ＰＣＲＦサーバ）に要求するステップ（Ｓ−１００）と、
   前記ユーザに適用された前記第１の認証方法に関する情報を、前記ＰＣＲＦサーバ（１ａ）に向けて送信するステップ（Ｓ−０２５）と、
   前記ＰＣＲＦサーバ（１ａ）において、認証ポリシーを適用することで、第２の認証方法によって前記ユーザのさらなる認証が必要であると判定するステップ（Ｓ−１０５）と、
   前記第２の認証方法によって前記ユーザ（４ａ）の前記さらなる認証を行うよう、前記ＰＣＲＦサーバ（１ａ）から前記認証サーバ（６）に命令をするステップ（Ｓ−１１０）とを有し、
   前記第２の認証方法による前記ユーザ（４ａ）の前記さらなる認証の通知を受けることで、前記ＰＣＲＦサーバは前記ＰＣＥＦデバイスに向けて制御ルールをインストールすることを特徴とする方法。
2. 前記ホームネットワークは、第３世代パートナーシップ・プロジェクト「３ＧＰＰ」（３ｒｄ Ｇｅｎｅｒａｔｉｏｎ Ｐａｒｔｎｅｒｓｈｉｐ Ｐｒｏｊｅｃｔ）ネットワークに従って動作するネットワークであることを特徴とする請求項１に記載の方法。
3. 前記第１および第２のネットワークの内の少なくとも１つは、第３世代パートナーシップ・プロジェクト「３ＧＰＰ」ネットワークに従って動作するＩＰ接続アクセスネットワーク「ＩＰ−ＣＡＮ」（ＩＰ Ｃｏｎｎｅｃｔｉｖｉｔｙ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ）であることを特徴とする請求項２に記載の方法。
4. 前記ユーザの前記さらなる認証は、前記第２のネットワーク（５ａ）において実行されることを特徴とする請求項１に記載の方法。
5. 前記ユーザの前記さらなる認証は、前記第１のネットワーク（８ａ）において実行されることを特徴とする請求項１に記載の方法。
6. 前記認証ポリシーは、前記認証サーバ（６）から受信した、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した要素を含むことを特徴とする請求項１に記載の方法。
7. 前記認証ポリシーは、前記ＰＣＥＦデバイス（２ａ）から受信した、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した要素を含むことを特徴とする請求項１に記載の方法。
8. 前記認証ポリシーは、前記ＰＣＥＦデバイス（２ａ）から受信した、最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるパケットデータネットワーク「ＰＤＮ」（Ｐａｃｋｅｔ Ｄａｔａ Ｎｅｔｗｏｒｋ）、およびこれらの組み合わせの内から選定した要素を含むことを特徴とする請求項１に記載の方法。
9. 前記認証ポリシーは、前記ＰＣＲＦサーバ（１ａ）において導出可能な、サービス識別子、利用可能なサービス品質「ＱｏＳ」（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ）、およびこれらの組み合わせの内から選定した要素を含むことを特徴とする請求項１に記載の方法。
10. 前記ＰＣＲＦサーバ（１ａ）において前記認証ポリシーを構成するステップをさらに備え、前記認証ポリシーは、アクセス情報、加入データ、サービスデータ、およびこれらの組み合わせの内から選定した要素を使用してさらに更新、または、アクセス情報、加入データ、サービスデータ、およびこれらの組み合わせの内から選定した要素と組み合わせて適用されることを特徴とする請求項１に記載の方法。
11. 前記ユーザに適用される前記第１の認証方法に関する情報を前記ＰＣＲＦサーバ（１ａ）に向けて送信する前記ステップは、この情報を、前記ＰＣＲＦサーバ（１ａ）において前記認証サーバ（６）から受信するステップを含むことを特徴とする請求項１に記載の方法。
12. 前記ユーザに適用される第１の認証方法に関する情報を、前記認証サーバ（６）から前記ＰＣＥＦデバイス（２ａ）に向けて送信するステップをさらに備えることを特徴とする請求項１に記載の方法。
13. 前記ユーザに適用される前記第１の認証方法に関する情報を前記ＰＣＲＦサーバ（１ａ）に向けて送信する前記ステップは、この情報を、前記ＰＣＲＦサーバ（１ａ）において前記ＰＣＥＦデバイス（２ａ）から受信するステップを含むことを特徴とする請求項１２に記載の方法。
14. 前記ユーザに適用される前記第１の認証方法に関する情報を前記ＰＣＥＦデバイス（２ａ）から受信する前記ステップは、制御ルールを、前記ＰＣＥＦデバイス（２ａ）から前記ＰＣＲＦサーバ（１ａ）に要求する前記ステップと同時に実行されることを特徴とする請求項１３に記載の方法。
15. 前記認証サーバ（６）は、前記ユーザが加入を保持するホーム加入者サーバ「ＨＳＳ」（Ｈｏｍｅ Ｓｕｂｓｃｒｉｂｅｒ Ｓｅｒｖｅｒ）であることを特徴とする請求項１に記載の方法。
16. 制御機能を提供し制御ルールをインストールするためのポリシー及び課金制御「ＰＣＣ（Ｐｏｌｉｃｙ ａｎｄ Ｃｈａｒｇｉｎｇ Ｃｏｎｔｒｏｌ）」に従い動作する、ポリシーおよび課金ルール機能（Ｐｏｌｉｃｙ ａｎｄ Ｃｈａｒｇｉｎｇ Ｒｕｌｅ Ｆｕｎｃｔｉｏｎ）サーバ（１ａ、１ｂ）（以降、ＰＣＲＦサーバ）であって、リソースを取り扱うための制御ルールに対する要求を受信するための受信機（１２）と、前記リソースを取り扱うためにインストールするべき前記制御ルールを決定するための制御ユニット（１０）と、前記制御ルールをポリシーおよび課金施行機能（Ｐｏｉｃｙ ａｎｄ Ｃｈａｒｇｉｎｇ Ｅｎｆｏｒｃｅｍｅｎｔ Ｆｕｎｃｔｉｏｎ）を有するデバイス（２ａ）（以降、ＰＣＥＦデバイス）にインストールするための送信機（１１）とを備え、
    前記受信機は、ユーザに適用される第１の認証方法に関する情報を受信するよう構成され、
    前記制御ユニットは、第２の認証方法によって、前記ユーザのさらなる認証が必要であることを判定するために認証ポリシーを適用するよう構成され、
    前記送信機は、前記ユーザを認証するため認証方法を選定することに責任を持つ認証サーバ（６）に、前記第２の認証方法によって前記ユーザの前記さらなる認証を行うよう命令するよう構成され、
    前記受信機は更に、前記第２の認証方法による前記ユーザの前記さらなる認証の通知を受けるように構成され、
    前記通知の受信に応じて、前記送信機は前記ＰＣＥＦデバイスに向けて制御ルールをインストールするように構成されることを特徴とするＰＣＲＦサーバ。
17. 前記受信機（１２）は、前記認証サーバ（６）から得られる、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した要素を受信するよう構成され、前記制御ユニット（１０）は、前記要素を含む認証ポリシーを適用するよう構成されることを特徴とする請求項１６に記載のＰＣＲＦサーバ。
18. 前記受信機（１２）は、前記ＰＣＥＦデバイス（２ａ）から得られる、認証メカニズム、暗号の強さ、およびこれらの組み合わせの内から選定した要素を受信するよう構成され、前記制御ユニット（１０）は、前記要素を含む認証ポリシーを適用するよう構成されることを特徴とする請求項１６に記載のＰＣＲＦサーバ。
19. 前記受信機（１２）は、前記ＰＣＥＦデバイス（２ａ）から得られる、最近に認証を行った時刻、アクセスネットワーク、ローミング状態、要求されるパケットデータネットワーク「ＰＤＮ」、およびこれらの組み合わせの内から選定した要素を受信するよう構成され、前記制御ユニット（１０）は、前記要素を含む認証ポリシーを適用するよう構成されることを特徴とする請求項１６に記載のＰＣＲＦサーバ。
20. 前記制御ユニット（１０）は、前記制御ルールサーバにおいて導出可能な、サービス識別子、利用可能な「ＱｏＳ」、およびこれらの組み合わせの内から選定した要素を含む認証ポリシーを適用するよう構成されることを特徴とする請求項１６に記載のＰＣＲＦサーバ。
21. アクセス情報、加入データ、サービスデータ、およびこれらの組み合わせの内から選定した要素を使用してさらに更新されるべき、またはアクセス情報、加入データ、サービスデータ、およびこれらの組み合わせの内から選定した要素と組み合わせて適用されるべき前記認証ポリシーを構成するための構成手段（１３）をさらに備えることを特徴とする請求項１６に記載のＰＣＲＦサーバ。
22. 前記受信機（１２）は、前記ユーザに適用される前記第１の認証方法に関する情報を前記認証サーバ（６）から受信するよう構成されることを特徴とする請求項１６に記載のＰＣＲＦサーバ。
23. 前記受信機（１２）は、前記ユーザに適用される前記第１の認証方法に関する前記情報を前記ＰＣＥＦデバイス（２ａ）から受信するよう構成されることを特徴とする請求項１６に記載のＰＣＲＦサーバ。
24. 前記受信機（１２）は、前記ユーザに適用される前記第１の認証方法に関する前記情報を、前記リソースを取り扱う制御ルールに対する前記要求と共に、前記ＰＣＥＦデバイス（２ａ）から受信するようさらに構成されることを特徴とする請求項２３に記載のＰＣＲＦサーバ。
25. コンピュータプログラムであって、入力ユニットと出力ユニットと処理ユニットとを備えるコンピュータの内部メモリの中に搭載可能であり、前記コンピュータプログラムは、前記コンピュータの中で動作するときに、請求項１ないし１５のいずれか１項に従う前記方法のステップを実行するよう適合された実行可能なコードを備えることを特徴とするコンピュータプログラム。
26. 前記実行可能なコードは、コンピュータにおいて読み取り可能なキャリアの中に記録されることを特徴とする請求項２５に記載のコンピュータプログラム。

Images