JP5184377B2 - 暗号同期化の方法 - Google Patents

Description

本発明は一般に、通信システムに関し、より詳細には無線通信システムに関する。

無線通信システムのサービス・エリアは通常、多くの場合セルと呼ばれる多数の地理的区域に分割されている。各セル内にあるモバイル装置は、多くの場合エアー・インターフェースと呼ばれる無線通信リンクを、セルに関連付けられている基地局との間に確立することにより、無線通信システムにアクセスすることができる。モバイル装置は、携帯電話、携帯情報端末、スマートフォン、全地球測位システム装置、無線ネットワーク・インターフェース・カード、デスクトップまたはラップトップ・コンピュータなどの装置を含むことができる。モバイル装置と基地局との間の通信は、１つまたは複数の認証プロトコルを使用して認証および／またはセキュリティ保護することができる。

第１の基地局との間に確立されたセキュリティ・アソシエーションを有するモバイル装置は、第２の基地局のサービスを受ける別のセルに移動することができる。したがって、第２の基地局および移動するモバイル装置は、セキュアな伝送を開始する前に、相互に認証および／または互いを確認して、第２の基地局およびモバイル装置の正統性を検証することができる。例えば、ＩＥＥＥ８０２．１６ｅ標準によって規定されているようなＷｉＭＡＸ無線通信システムにおいて、モバイル装置は、第２の基地局によって生成され、モバイル装置に供給されるダウンリンク・メッセージに添付されるメッセージ認証コード（例えば、暗号ベースのメッセージ認証コードであるＣＭＡＣ、および／またはハッシュ関数によるメッセージ認証コードであるＨＭＡＣ）を確認することができる。基地局はまた、アップリンク・メッセージでモバイル装置によって供給されるメッセージ認証コードを確認することもできる。メッセージ認証コードは、秘密鍵ＡＫから導出される秘密鍵を使用して生成される。

基地局に移動するモバイル装置を確認するためにメッセージ認証コードを使用する認証方式は、リプレイ（またはリピート）攻撃を受けやすい場合もある。リプレイ攻撃において、不法なモバイル装置または基地局は、正規のモバイル装置または基地局からのアップリンクまたはダウンリンク・メッセージ内の有効なメッセージ認証コードを傍受する。次いで、不法なモバイル装置または基地局は、基地局またはモバイル装置に有効なメッセージ認証コードのコピーを伝送するが、これは有効なメッセージ認証コードのリプレイされたコピーに基づいて不法なモバイル装置または基地局とのセキュアな通信を開始することができる。

リプレイ攻撃は、メッセージ認証コードの計算にカウンタ（またはｃｒｙｐｔｏ−ｓｙｎｃ）を含めることによって阻止することができる。例えば、ＩＥＥＥ８０２．１６ｅ標準では、２つのＣＭＡＣパケット番号カウンタ（Ｐａｃｋｅｔ Ｎｕｍｂｅｒ Ｃｏｕｎｔｅｒ）を定義しているが、これらは、モバイル装置によりアップリンク・メッセージのコンテキストにおいて、また基地局によりダウンリンク・メッセージのコンテキストにおいて、増分されうる４バイトの順次カウンタである。ダウンリンク・カウンタＣＭＡＣ＿ＰＮ＿Ｄは、基地局によって保持され、モバイル装置に伝送されるすべてのダウンリンク・メッセージに対して増分される。アップリンク・カウンタＣＭＡＣ＿ＰＮ＿Ｕは、モバイル装置によって保持され、基地局に伝送されるすべてのアップリンク・メッセージに対して増分される。次いで、受信側は、受信したカウンタの値が反復されていないことを検証することができる。例えば、受信側は、受信したカウンタが、送信側から受信したカウンタの以前の値よりも大きいことを保証することができる。

ＩＥＥＥ８０２．１６ｅ標準によって規定されているＷｉＭＡＸ無線通信システムのような従来の認証方式は、アップリンクおよびダウンリンクのカウンタを秘密鍵ＡＫに関連付ける。秘密鍵ＡＫは、基地局とモバイル装置との間の各セキュリティ・アソシエーションに一意であるため、無線通信システム内の基地局およびモバイル装置は、秘密鍵のレコード、アップリンク・カウンタの現行値、ダウンリンク・カウンタの現行値、および他のＡＫ関連パラメータを保持する必要がある。この組合せは通常、ＡＫコンテキストと呼ばれる。リプレイ攻撃を阻止するため、各基地局は、その基地局とのセキュリティ・アソシエーションをもったことのあるモバイル装置ごとにＡＫコンテキストのレコードを保持する必要があり、各モバイル装置は、セキュリティ・アソシエーションをもったことのあるすべての基地局のＡＫコンテキストのレコードを保持する必要がある。

すべてのモバイル装置および基地局においてＡＫコンテキストをキャッシュすることは非効率的であり、大量のストレージを消費する。すべてのモバイル装置および基地局においてＡＫコンテキストをキャッシュすることはさらに、セキュリティの脆弱性をもたらすことにもなる。例えば、キャッシュ記憶素子のサイズを超えてしまった場合、新しいＡＫコンテキストにスペースを空けるために最も古いＡＫコンテキストが消去されることもある。古いＡＫコンテキストが失われてしまうと、受信側は、受信したカウンタの新しさを確認することができず、リピートまたはリプレイ攻撃が可能になる場合がある。

本発明は、前述の問題の１つまたは複数の影響に対処することを目的としている。以下では、本発明の一部の態様の基本的な理解をもたらすために、本発明の簡略化した概要を示す。この概要は、本発明の包括的な概要ではない。本発明の主要もしくは重要な要素を特定すること、または本発明の範囲を厳密に描くことを意図してはいない。この概要の唯一の目的は、その後述べられるさらに詳細な説明の前置きとして、簡略化した形で一部の概念を示すことである。

本発明の１つの実施形態において、暗号同期化の方法が提供される。方法は、複数の基地局のうちの第１の基地局に第１のカウンタを示す情報を提供するステップを含むことができる。第１のカウンタは、各メッセージが複数の基地局の各々に伝送される前に増分される。方法はまた、第１のカウンタを示す情報を提供するステップに応答して、複数の基地局のうちの第１の基地局から受信した少なくとも１つの第１のメッセージを認証するステップを含むことができる。

本発明のもう１つの実施形態において、暗号同期化の方法が提供される。方法は、モバイル装置から第１のカウンタを示す情報を受信するステップを含むことができる。第１のカウンタは、各メッセージがモバイル装置によって伝送される前に増分される。方法はまた、第１のカウンタを示す情報および第１のレジスタの値に基づいてモバイル装置を認証するステップと、モバイル装置を認証するステップに応答して、第１のメッセージをモバイル装置に供給するステップをとを含むことができる。

本発明は、類似した参照番号が類似した要素を識別する、添付の図面と併せて以下の説明を参照することにより理解されるであろう。

本発明は、様々な変更および代替の形態が可能であるが、その特定の実施形態は、図面において例として示されており、本明細書において詳細に説明される。しかし、特定の実施形態の本明細書における説明は、本発明を開示される特定の形態に限定することを意図しているわけではなく、逆に、本発明は、添付の特許請求の範囲によって定義されるように本発明の精神および範囲内に含まれるすべての変更、等価物、および代替を対象とすべきであることを理解されたい。

これ以降、本発明の例示的な実施形態について説明する。明瞭にするため、本明細書において、実際の実施態様の特徴がすべて説明されるわけではない。そのような実際の実施形態の開発において、実施態様ごとに異なるシステム関連およびビジネス関連の制約に準拠することなど、開発者の特定の目標を達成するために、数多くの実施態様に特有の意思決定が行われるべきであることは、当然理解されるであろう。さらに、そのような開発の取り組みは複雑であり、多大な時間を要する場合もあるが、それでもなお、本開示を利用することができる当業者にとっては日常の業務となるであろうことが理解されるであろう。

本発明の一部および対応する詳細な説明は、ソフトウェア、つまりアルゴリズムとコンピュータメモリ内のデータビットへの操作の記号表記に関して提示される。これらの説明および表記は、当業者がその作業の要旨を他の当業者に効果的に伝達するものである。本明細書において使用されている用語アルゴリズムとは、一般に使用されているように、所望の結果を導く首尾一貫した一連のステップであると考えられる。ステップとは、物理量の物理的操作を必要とするものである。通常（必ずしもではないが）、これらの量は、格納、転送、結合、比較、あるいは操作が可能な光信号、電気信号、または磁気信号の形態をとる。場合によっては、主に共通の使用の理由で、これらの信号をビット、値、要素、記号、特徴、条件、数などと呼ぶことが便利であることが実証されている。

しかし、これらのすべての類似した用語は、適切な物理量に関連付けられるべきであり、それらの量に適用される便利なラベルにすぎないことを念頭に置く必要がある。特に具体的な記載がない限り、あるいは説明から明らかなように、「処理（ｐｒｏｃｅｓｓｉｎｇ）」、または「計算（ｃｏｍｐｕｔｉｎｇ）」、または「計算（ｃａｌｃｕｌａｔｉｎｇ）」、または「決定（ｄｅｔｅｒｍｉｎｉｎｇ）」、または「表示（ｄｉｓｐｌａｙｉｎｇ）」などの用語は、コンピュータシステムのレジスタおよびメモリ内の物理、電子量として表されるデータを、同様にコンピュータシステムメモリまたはレジスタ、あるいはそのような情報ストレージ、伝送または表示装置内の物理量として表される他のデータへと操作および変換するコンピュータシステムまたは類似した電子コンピューティング装置のアクションおよびプロセスを示す。

さらに、本発明のソフトウェア実装の態様は通常、何らかの形態のプログラムストレージ媒体上で符号化されるか、または何らかのタイプの伝送媒体を介して実施されることに留意されたい。プログラムストレージ媒体は、磁気（例えば、フロッピー（登録商標）ディスクまたはハードドライブ）、あるいは光（例えば、コンパクトディスク読み取り専用メモリ、つまり「ＣＤ−ＲＯＭ」）であってもよく、読み取り専用またはランダムアクセスであってもよい。同様に、伝送媒体は、ツイストペア線、同軸ケーブル、光ファイバ、または当技術分野に知られている他の適切な伝送媒体であってもよい。本発明は、いかなる所定の実施態様のそれらの態様によっても限定されることはない。

これ以降、本発明は、添付の図面を参照して説明される。説明のみを目的として、当業者には周知の詳細で本発明を不明瞭にすることのないよう、様々な構造、システム、および装置が、図面において概略的に示される。しかし、添付の図面は、本発明の実施例を記載し説明するために含まれている。本明細書において使用される語および語句は、当業者による語および語句の理解と整合性のある意味を備えるように理解および解釈されるべきである。いかなる用語または語句の特殊な定義、つまり当業者によって理解されている通常の慣習的な意味とは異なる定義も、本明細書における用語または語句の一貫性のある用法によって含意されることを意図してはいない。用語または語句が特殊な意味、つまり当業者によって理解されている意味以外の意味を有することを意図される場合に限り、そのような特殊な定義は、用語または語句の特殊な定義を直接かつ明確に提供する定義づけたやり方で本明細書に明示的に示されるであろう。

図１は、無線通信システム１００の１つの例示的な実施形態を概念的に示す。例示的な実施形態において、無線通信システム１００は、ＷｉＭＡＸ Ｆｏｒｕｍによって規定されているネットワーク手順によりサポートされるＩＥＥＥ８０２．１６ブロードバンド無線システムに記載されているような、第３世代無線通信プロトコルに従って無線接続を提供することができる。しかし、本発明がＩＥＥＥ８０２．１６のシステムに従って動作する無線通信システム１００に限定されないことを、当業者であれば理解すべきである。代替実施形態において、無線接続を提供するために、任意の無線通信プロトコルが使用されてもよい。さらに、一部の実施形態において、無線通信システム１００は、１つまたは複数の有線通信システムを含むか、またはこれに接続されてもよい。

図１に示される無線通信システム１００は、１つまたは複数の基地局１０５（１−２）を含むことができる。明確にするために、これ以降、基地局１０５が集合的に示されるときに、添え字（１−２）は省略される。しかし、添え字（１−２）は、基地局１０５を個別に参照するとき、または基地局１０５のサブセットを参照するときには使用される。識別番号を共有するコンポーネントを区別するその他の添え字に関して、同様の表記法が使用される。図１において２つの基地局１０５が示されているが、当業者であれば、本発明が２つの基地局１０５のみを含む無線通信システムに限定されないことを理解すべきである。代替実施形態において、任意の数の基地局１０５が、無線通信システム１００に配置されてもよい。説明されている実施形態において、基地局１０５は、直交周波数分割多重（ＯＦＤＭ／ＯＦＤＭＡ）技法を使用する無線接続を提供することができる。しかし、本発明が直交周波数分割多重技法の使用に限定されないことを、当業者であれば理解すべきである。

基地局１０５は、モバイル装置１１０に無線接続を提供することができる。明確にするために、図１において単一のモバイル装置１１０が示されている。しかし、本発明が単一のモバイル装置１１０に限定されないこと、および代替実施形態において任意の数のモバイル装置１１０が無線通信システム１００に配置されうることを、本開示を利用することができる当業者であれば理解すべきである。モバイル装置１１０は、携帯電話、携帯情報端末、およびラップトップ・コンピュータを含む任意のタイプのモバイル装置であってもよいが、それらに限定されることはない。しかし、本発明がこれらの特定のモバイル装置１１０の例に限定されないこと、および代替実施形態において他のタイプのモバイル装置１１０も使用されうることを、本開示を利用することができる当業者であれば理解すべきである。当業者はさらに、モバイル装置１１０が、モバイル・シェル、ユーザ機器、ユーザ端末、アクセス端末、加入者設備、加入者端末など、その他の用語を使用して参照されてもよいことも理解すべきである。

説明されている実施形態において、モバイル装置１１０は、エアー・インターフェース１１５（１）を介してセキュアな伝送を可能にする基地局１０５（１）との確立されたセキュリティ・アソシエーションを有する。例えば、セキュリティ・アソシエーションは、拡張認証プロトコル（ＥＡＰ；Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）に従って形成されてもよいが、これはクライアントが中央認証サーバで認証できるようにするインフラストラクチャを提供する認証プロトコルである。初期認証中に、ＥＡＰ認証は、モバイル装置１１０、アクセス・サービング・ネットワーク・ゲートウェイ（ＡＳＮＧＷ；Ａｃｃｅｓｓ Ｓｅｒｖｉｎｇ Ｎｅｔｗｏｒｋ Ｇａｔｅｗａｙ）１２５で実施される鍵ディストリビュータ１２０、および無線通信の認証と許可、および無線通信に関連する課金サービスの提供に関連付けられた様々な機能を処理する認証、許可、およびアカウンティング・サーバ１３０（ＡＡＡ；Ａｕｔｈｅｎｔｉｃａｔｉｏｎ、Ａｕｔｈｏｒｉｚａｔｉｏｎ、ａｎｄ Ａｃｃｏｕｎｔｉｎｇ ｓｅｒｖｅｒ）の間で実行することができる。初期ＥＡＰ認証を実行する技法は、当技術分野では知られており、明確にするために本明細書においては説明されない。

初期ＥＡＰ認証に成功した場合、マスター・セッション・キー（ＭＳＫ；Ｍａｓｔｅｒ Ｓｅｓｓｉｏｎ Ｋｅｙ）がＡＡＡ１３０およびモバイル装置１１０によって導出される。ＭＳＫは、ＡＡＡ１３０によって鍵ディストリビュータ１２０に送信される。次いで、モバイル装置１１０および鍵ディストリビュータ１２０は、ＭＳＫを使用してペアワイズ・マスター鍵（ＰＭＫ；Ｐａｉｒｗｉｓｅ Ｍａｓｔｅｒ Ｋｅｙ）を導出することができる。ＰＭＫは、モバイル装置１１０とアクセス・サービング・ネットワーク・ゲートウェイ１２５および／または鍵ディストリビュータ１２０との間のセキュリティ・アソシエーションを知らせる。次いで、鍵ディストリビュータ１２０およびモバイル装置１１０は、ＰＭＫから基地局１０５ごとに許可鍵（ＡＫ；Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｋｅｙ）を導出することができる。次いで、ＡＫは、鍵ディストリビュータ１２０によって対応する基地局１０５に送信することができる。

エアー・インターフェース１１５（１）を介して伝送されたメッセージは、ＣＭＡＣおよび／またはＨＭＡＣなどのメッセージ認証コードを含むか、またはこれらを使用して形成されてもよい。鍵ディストリビュータ１２０およびモバイル装置１１０によって生成されたＡＫは、ＣＭＡＣおよび／またはＨＭＡＣを生成するための秘密性の供給元であってもよい。メッセージは認証することができ、メッセージの保全性はＣＭＡＣ／ＨＭＡＣを確認することによってチェックすることができる。１つの実施形態において、モバイル装置１１０は、エアー・インターフェース１１５（１）を介して各メッセージを伝送する直前に増分されうるカウンタ（またはｃｒｙｐｔｏ−ｓｙｎｃ）を保持する。例えば、ＩＥＥＥ８０２．１６ｅ標準では、アップリンクのＣＭＡＣパケット番号カウンタであるＣＭＡＣ＿ＰＮ＿Ｕを定義しているが、これは、モバイル装置１１０によりアップリンク・メッセージのコンテキストで増分されうる４バイトの順次カウンタである。モバイル装置１１０は、メッセージ認証コードの計算にカウンタを使用する。基地局１０５（１）は、最後に受信して認証されたカウンタの値を格納するレジスタを含むことができる。したがって、基地局１０５（１）がモバイル装置１１０からメッセージを受信するとき、例えば、基地局１０５（１）が受信したカウンタの値がレジスタに格納されている値よりも大きいことを検証できるといったように、基地局１０５（１）は受信したカウンタの値が繰り返されていないことを検証することができる。

基地局１０５（１）はまた、エアー・インターフェース１１５（１）を介して各メッセージを伝送する直前に増分され、メッセージ認証コードの計算に使用されうるカウンタ（またはｃｒｙｐｔｏ−ｓｙｎｃ）も保持することができる。例えば、ＩＥＥＥ８０２．１６ｅ標準では、ダウンリンクのＣＭＡＣパケット番号カウンタであるＣＭＡＣ＿ＰＮ＿Ｄを定義しているが、これは、基地局１０５（１）によりダウンリンク・メッセージのコンテキストで増分されうる４バイトの順次カウンタである。モバイル装置１１０は、最後に受信して認証されたカウンタの値を格納するレジスタを含むことができる。したがって、モバイル装置１１０が基地局１０５（１）からメッセージを受信するとき、例えば、モバイル装置１１０が受信したカウンタの値がレジスタに格納されている値よりも大きいことを検証できるといったように、モバイル装置１１０は受信したカウンタの値が繰り返されていないことを検証することができる。

モバイル装置１１０は、矢印１３０によって示されるように、その現在の地理的区域、つまりセルから、基地局１０５（２）のサービスを受ける別のセルへと移動することができる。モバイル装置１１０がターゲット基地局１０５（２）にハンドオフされると、鍵ディストリビュータ１２０は、エアー・インターフェース１１５（２）を介して通信を認証するために新しい許可鍵を供給することができる。しかし、説明されている実施形態において、モバイル装置１１０は、新しいインターフェース１１５（２）を介して各メッセージが新しい（ターゲット）基地局１０５（２）に伝送される直前に同じアップリンク・カウンタを引き続き増分する。基地局１０５（２）もまた、新しいインターフェース１１５（２）を介して各メッセージがモバイル装置１１０に伝送される直前に同じダウンリンク・カウンタを引き続き増分する。したがって、アップリンクおよび／またはダウンリンク・カウンタの値は、許可鍵の値から解離される。

１つの実施形態において、モバイル装置１１０は、アップリンク・カウンタの現行値、および最後に受信して認証されたダウンリンク・カウンタの値を示す情報を格納するレジスタの値を示す情報を含むタプルを保持することができる。次いで、基地局１０５は、例えば復路の通信を使用して、他の基地局１０５のうちの１つからタプルの値を受信することができる。代替として、基地局１０５は、モバイル装置１１０によって基地局１０５に伝送されたタプルを確認することができる。次いで、モバイル装置１１０および基地局１０５の通信は、以下で詳細に説明されるように、タプルの値を使用して相互に認証されてもよい。

アップリンクおよび／またはダウンリンク・カウンタの値は、許可鍵の値には関係なく連続的に増分されるので、基地局１０５は、基地局１０５とのセキュリティ・アソシエーションをもったことのある各モバイル装置１１０のＡＫコンテキストのレコードを保持（またはキャッシュ）する必要はない。モバイル装置１１０もまた、セキュリティ・アソシエーションをもったことのあるすべての基地局１０５のＡＫコンテキストのレコードを保持（またはキャッシュ）する必要はない。その代わり、基地局１０５および／またはモバイル装置１１０は、アップリンクおよびダウンリンク・カウンタを示す情報を含む単一のタプルを単に格納および／または取り出すことができる。アップリンクおよび／またはダウンリンク・カウンタ、ならびにアップリンクおよび／またはダウンリンクレジスタを格納するためのメモリ所要量は最小限であり、そのためタプルの値が消去によって失われる可能性は低い。

図２は、暗号同期化の方法２００の第１の例示的な実施形態を概念的に示す。説明されている実施形態において、モバイル装置（ＭＵ）は、矢印２０５によって示されるように、モバイル装置がソース基地局からターゲット基地局へと移動することを示すアクセスメッセージを供給することにより、ソース基地局（Ｓ−ＢＳ）からターゲット基地局（Ｔ−ＢＳ）へのハンドオフを開始する。１つの実施形態において、アクセスメッセージは、ＩＥＥＥ８０２．１６標準によって規定されているＨａｎｄｏｆｆ Ｉｎｄｉｃａｔｉｏｎ（ＭＯＢ＿ＨＯ＿ＩＮＤ）メッセージであってもよい。アクセスメッセージは、アップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタと、最後に受信して認証されたダウンリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値とを含むレジスタの値を示す情報を含む。例えば、アクセスメッセージは、ＣＭＡＣ＿ＰＮ＿ＵカウンタおよびＣＭＡＣ＿ＲＥＧ＿Ｄレジスタ値を示す情報を含むことができる。

アクセスメッセージはまた、アクセスメッセージの内容の一部または全部およびソース基地局に関連付けられている許可鍵を使用して計算されうる、ＣＭＡＣおよび／またはＨＭＡＣのような、メッセージ認証コードを含む。しかし、カウンタおよびレジスタは、ＣＭＡＣメッセージ認証コードのみに制限されているわけではない。例えば、８０２．１６ｅで規定されているＨＭＡＣ＿ＰＮ＿Ｕカウンタは、Ｓｈｏｒｔ−ＨＭＡＣと呼ばれる特定の形式のＨＭＡＣに関連付けられている。ＩＥＥＥ８０２．１６ｅによれば、許可鍵は、モバイル装置とアクセス・サービング・ネットワーク・ゲートウェイ（ＡＳＮ−ＧＷ、図示せず）との間の確立されたセキュリティ・アソシエーションを使用してソース基地局に対してモバイル装置によって事前に計算されてもよい。１つの実施形態において、メッセージ認証コードはまた、アップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタを使用して計算されてもよい。

次いで、ソース基地局は、矢印２１０によって示されるように、モバイル装置がソース基地局からターゲット基地局へとハンドオフされるべきであることを示すハンドオフ要求メッセージを鍵ディストリビュータ（ＫＤ）に供給することができる。説明されている実施形態において、鍵ディストリビュータは、ＡＳＮ−ＧＷと同一場所に配置されている。ハンドオフ要求メッセージの受信に応じて、ＡＳＮ−ＧＷ／ＫＤおよびターゲット基地局は、矢印２２０によって示されるように、ハンドオフの準備をするために使用されうる情報を交換する。（２２０における）情報の交換は、ハンドオフ準備フェーズと呼ぶこともできる。次いで、ＡＳＮ−ＧＷ／ＫＤは、矢印２２５によって示されるように、ターゲット基地局がソース基地局からのモバイル装置のハンドオフを受け入れる準備が整っていることを示す確認メッセージをソース基地局に供給することができる。

ターゲット基地局は、矢印２３０に示されるように、許可鍵およびｃｒｙｐｔｏ−ｓｙｎｃタプルの要求を供給することができる。次いで、鍵ディストリビュータは、（２３５において）許可鍵（ＡＫ２）を生成して、次いで、矢印２４０に示されるように、許可鍵およびｃｒｙｐｔｏ−ｓｙｎｃタプルをターゲット基地局に供給することができる。説明されている実施形態において、ｃｒｙｐｔｏ−ｓｙｎｃタプルは、例えばタプル｛ＣＭＡＣ＿ＰＮ＿Ｄ，ＣＭＡＣ＿ＲＥＧ＿Ｕ｝のように、ダウンリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタと、最後に受信して認証されたアップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値を示すレジスタの値とを示す情報を含む。ターゲット基地局は、（２４０において）許可鍵およびｃｒｙｐｔｏ−ｓｙｎｃタプルの受信後は、モバイル装置とのセキュアな通信を開始する準備が整っている。

モバイル装置およびターゲット基地局は、矢印２５０によって示されるように、通信を開始することができる。次いで、モバイル装置およびターゲット基地局は、アップリンクおよびダウンリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタを使用して形成されたメッセージ認証コードを含むメッセージを供給することによって、相互に認証することができる。１つの実施形態において、ターゲット基地局は、モバイル装置から受信したアップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタＣＭＡＣ＿ＰＮ＿Ｕの値が、レジスタＣＭＡＣ＿ＲＥＧ＿Ｕに格納されている最後に受信して認証されたアップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値よりも大きいことを検証する。説明されている実施形態において、最後に受信して認証されたレジスタＣＭＡＣ＿ＲＥＧ＿Ｕが、ＨＯ準備フェーズ中に復路から受信される。

ターゲット基地局は、ダウンリンクを介して各メッセージがモバイル装置に伝送される前に、ダウンリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタＣＭＡＣ＿ＰＮ＿Ｄの値を引き続き増分することができる。次いで、モバイル装置は、ＣＭＡＣ＿ＰＮ＿Ｄの値が、レジスタＣＭＡＣ＿ＲＥＧ＿Ｄに格納されている最後に受信して認証されたダウンリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値の現行値よりも大きいことを検証することができる。これらの検証／確認のいずれかが失敗した場合に、リピートおよび／またはリプレイ攻撃が疑われうる。１つの実施形態において、以下に説明されるように、追加のｃｒｙｐｔｏ−ｓｙｎｃの検証を試行することができるか、あるいはリピートおよび／またはリプレイ攻撃が疑われる場合、（ＩＥＥＥ８０８２．１６に定義されるように）新しいＥＡＰ再入力シーケンスが開始されてもよい。

図３は、暗号同期化の方法３００の第２の例示的な実施形態を概念的に示す。説明されている実施形態において、モバイル装置（ＭＵ）は、非アクティブまたはアイドル・モードからウェークアップして、矢印３０５によって示されるように、モバイル装置が基地局（ＢＳ）との通信を開始しようとしていることを示すメッセージを供給する。１つの実施形態において、（３０５において）供給されるメッセージは、アップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタ３１０の増分された値（Ｘ＋１）を示す情報を含む。例えば、モバイル装置は、（３０５において）ＣＭＡＣおよびＣＭＡＣ＿ＰＮ＿Ｕを含むＲＮＧ＿ＲＥＱメッセージを基地局に伝送することができる。このＣＭＡＣは、８０２．１６ｅによりオプションであるが、これを含めることでセキュリティを強化することができる。後のメッセージの認証をさらに強化することのできるもう１つの実施形態において、含まれる情報は、アップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの増分された値（Ｘ＋１）の最大値３１０、およびレジスタＣＭＡＣ＿ＲＥＧ＿Ｄに格納されている最後に受信して認証されたダウンリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの増分された値（Ｙ＋１）を示すことができる。モバイル装置は、ＲＮＧ＿ＲＥＱメッセージを基地局に伝送する直前にＣＭＡＣ＿ＰＮ＿Ｕカウンタを増分することができる。

基地局は、アップリンクおよび／またはダウンリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの正しい値が供給されていると仮定することができない場合もある。例えば、基地局が完全なＡＫコンテキストを保有できないために、基地局はＲＮＧ＿ＲＥＱメッセージを認証することができない場合もある。そのため、基地局は、供給されたアップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値を一時レジスタ３２０に格納することができる。基地局は、（３２５において）例えば、関連するＣＭＡＣの値が予想できない６４ビットの乱数またはグローバルカウンタのような予測不能な数などの、ｎｏｎｃｅを生成する。１つの実施形態において、メッセージは、ｎｏｎｃｅと、一時レジスタ３２０に格納されているアップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値を使用して形成されてもよい。

メッセージを形成するとき、エスケープ・コードも使用することができる。エスケープ・コードは、このメッセージを、異なるアプリケーションに必要とされる同タイプの他のメッセージと区別するために使用することのできるビットのシーケンスである。このエスケープ・コードは、アップリンクまたはダウンリンク・カウンタパラメータをコードと置き換えて、その他のパラメータ・スペースの一部を移動されたカウンタパラメータ値と置き換えることにより、標準８０２．１６ｅのメッセージの意味を再定義するために使用することができるラージクラスのエスケープ・コードのうちの１つであってもよい。例えば、ＲＮＧ−ＲＳＰメッセージの単一のエスケープ・シーケンスを有するのではなく、任意のＣＭＡＣによるメッセージによって使用するためにシーケンスのクラスが定義されてもよい。０ｘＦＦ ００ ００ ００を含む上位のＰＮ＿ＵおよびＰＮ＿Ｄアドレス・スペースの一部は、エスケープ・シーケンスのために予約されてもよいが、これは縮小させるｃｒｙｐｔｏ−ｓｙｎｃスペースが１％に未たない上に、２＊＊２４のサイズのエスケープ・シーケンス・スペースを許容することができる。例えば、２４ビットのフィールドは、エスケープ・タイプでは８ビットに区分され、エスケープ・データでは１６ビットに区分される。

新たに定義されたダウンリンク・メッセージを実施するため、このエスケープ・シーケンスは、ＳＡ−ＴＥＫ ＣｈａｌｌｅｎｇｅメッセージのＰＮ＿Ｄパラメータに配置することができ、実際のｃｒｙｐｔｏ−ｓｙｎｃはＣｈａｌｌｅｎｇｅメッセージの６４ビットＢＳ＿Ｒａｎｄｏｍパラメータの下位３２ビットに配置することができる。このパラメータの残りの３２ビットは、さらに多くのデータに使用することができる。新たに定義されたアップリンク・メッセージを実施するため、エスケープ・シーケンスは、ＳＡ−ＴＥＫ ＲｅｑｕｅｓｔメッセージのＰＮ＿Ｕパラメータに配置することができ、実際のｃｒｙｐｔｏ−ｓｙｎｃはＲｅｑｕｅｓｔメッセージの６４ビットＢＳ＿Ｒａｎｄｏｍパラメータの下位３２ビットに配置することができる。このパラメータの残りの３２ビットと、ＭＳ＿Ｒａｎｄｏｍパラメータの６４ビットは、さらに多くのデータに使用することができる。その他のメッセージもまた、この目的で使用されてもよい。

したがって、基地局は、そのＢＳ＿Ｒａｎｄｏｍパラメータのｎｏｎｃｅ、および一時レジスタ３２０に格納されているアップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値、および／またはそのダウンリンクｃｒｙｐｔｏ−ｓｙｎｃパラメータのエスケープ・コードを使用して、ＳＡ−ＴＥＫ−Ｃｈａｌｌｅｎｇｅメッセージを形成することができる。ＳＡ−ＴＥＫ−Ｃｈａｌｌｅｎｇｅメッセージは、セキュリティ・アソシエーションに使用されるべきＡＫチャレンジを識別することができ、前述のｎｏｎｃｅを、その後モバイル装置によりＳＡ−ＴＥＫ−Ｒｅｑｕｅｓｔメッセージに含められるＢＳ＿Ｒａｎｄｏｍと呼ばれるそのパラメータの１つとして受け入れることができる。もう１つの例をあげると、基地局は、一時レジスタ３２０に格納されているアップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値のｎｏｎｃｅを使用して、ＲＮＧ−ＲＳＰメッセージを形成することができる。次いで、メッセージは、矢印３３０によって示されるように、モバイル装置に供給することができる。

モバイル装置は、（３３５において）供給されたカウンタ値をチェックしないことによって受信したメッセージ（例えば、ＣＭＡＣを含むメッセージ）を検証することができ、次いで、矢印３４０によって示されているように、アップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの増分された値と、最後に受信して認証されたダウンリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値と、供給されたｎｏｎｃｅとを使用して、形成されたメッセージを伝送することができる。アップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値は、所定の、選択された、および／または期待されるオフセット値によって増分されてもよい。例えば、アップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値は、メッセージが伝送されるごとに１ずつ増分されてもよい。１つの実施形態において、伝送されたメッセージは、適切に作成されたＳＡ−ＴＥＫ−Ｒｅｑｕｅｓｔメッセージであってもよいが、これはＭＳ＿Ｒａｎｄｏｍパラメータとして｛ＣＭＡＣ＿ＰＮ＿Ｕ，ＣＭＡＣ＿ＲＥＧ＿Ｄ｝タプルを含み、ＢＳ＿Ｒａｎｄｏｍパラメータとして前述のｎｏｎｃｅを含むことができ、ここでＣＭＡＣ＿ＰＮ＿Ｕの値は適切に増分されている。

次いで、基地局は（３４５において）、供給されたカウンタ値をチェックしないことにより、受信したメッセージ（例えば、ＣＭＡＣを含むメッセージ）を検証することができる。基地局はまた（３５０において）、ｎｏｎｃｅの正しい値がメッセージに含まれていることもチェックすることができる。付加されたＣＭＡＣの（３４５における）適正な確認は、モバイル装置の正統性、そのＡＫの保有、および提示されたタプルの妥当性を証明する。ダウンリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタ３５５は、値（Ｙ）に設定または初期化することができ、（３４０において）モバイル装置によって供給されたアップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値（Ｘ＋２）はレジスタ３６０に格納することができる。様々な代替実施形態において、アップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの増分された期待値の値（Ｘ＋２）は、ＣＭＡＣに含まれるアップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの現行値またはＭＳ＿Ｒａｎｄｏｍパラメータから取り出されてもよい。１つの実施形態において、基地局はこれで完全に認証されたＡＫコンテキストを有することができる。

次いで、基地局は（３６５において）、（３４０において）供給されたアップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値が、固定オフセットによりモバイル装置によって（３０５において）最初に供給されたアップリンクｃｒｙｐｔｏ−ｓｙｎｃカウンタの値と異なることを検証することができる。１つの実施形態において、基地局は（３６５において）、（３４０において）供給されたアップリンクｃｒｙｐｔｏ−ｓｙｎｃの値が、モバイル装置によって（３０５において）最初に供給されたアップリンクｃｒｙｐｔｏ−ｓｙｎｃの値よりも１だけ大きい、つまりアップリンクｃｒｙｐｔｏ−ｓｙｎｃの値（Ｘ＋２）が初期アップリンクｃｒｙｐｔｏ−ｓｙｎｃの値（Ｘ＋１）よりも１だけ大きいことを検証することができる。例えば、基地局は（３６５において）、ＲＮＧ−ＲＥＱメッセージに関連付けられているＣＭＡＣカウントの値がＳＡ−ＴＥＫ−Ｒｅｑｕｅｓｔメッセージに関連付けられているカウントよりも１だけ少ないことを確認することによって、（３０５において）供給されたＲＮＧ−ＲＥＱメッセージに関連付けられているＣＭＡＣカウントが正しかったことを検証することができる。１つの実施形態において、基地局は、次いで、ＲＮＧ＿ＲＥＱメッセージのＣＭＡＣを計算し、それを検証して、次いで、このメッセージに関連付けられているシステムオペレーションを実行することができる。もう１つの実施形態では、供給されたカウンタ値をチェックしないことにより、メッセージを受信した時点においてＲＮＧ−ＲＥＱ ＣＭＡＣを検証していてもよい。次いで、カウンタ値自体は、認証を完了するために後で（３６５において）チェックされてもよい。

基地局は、矢印３７０に示されるように、コンテキスト情報の正常な反復を示すメッセージを供給することができる。１つの実施形態において、基地局は、完全なＡＫコンテキストを基地局が正常に受信したことをモバイル装置に確実に知らせるメッセージを供給する。例えば、供給されるメッセージは、ＳＡ−ＴＥＫ Ｒｅｓｐｏｎｓｅ、ＣＭＡＣによるＲＮＧ−ＲＳＰ、または任意の他のＣＭＡＣによるメッセージであってもよい。モバイル装置でのこのメッセージの（３７５における）検証は、例えば、（３４０において）モバイル装置によって供給されたＳＡ−ＴＥＫ−Ｒｅｑｕｅｓｔメッセージに含まれる値などの、ＣＭＡＣ＿ＲＥＧ＿Ｄの適切な値を含むＳＡ−ＴＥＫ−Ｒｅｑｕｅｓｔメッセージを基地局が受信したことを証明する。このメッセージの正常な反復および確認は、タプル確認方法３００の正常な完了を構成する。

方法３００の第２の例示的な実施形態は、タプルがモバイル装置で保持されることを仮定するが、本発明はそのように限定されることはない。代替実施形態において、タプルは、基地局または任意の他の場所で保持されてもよい。例えば、非ＷｉＭＡＸシステムには、カウンタおよび／またはレジスタ値をモバイル装置ではなくネットワークに格納するほうがより好ましいといったように、異なるニーズがある場合もある。そのような場合には、上記の手順は、モバイル装置と基地局の役割を逆転させるように適切に変更した上で、基地局においてモバイル装置を相互に認証するために引き続き使用することができる。

本発明は、本明細書における教示を利用することができる当業者にとって明らかとなる、様々な同等のやり方で変更が加えられ実施されうるので、上記の開示される特定の実施形態は例示にすぎない。さらに、添付の特許請求の範囲に述べられる以外に、本明細書に示されている構造または設計の詳細を限定することは意図されていない。したがって、上記で開示される特定の実施形態は変更または修正することができ、そのようなすべての変形は本発明の範囲および精神に含まれるものと見なされることは明らかである。ゆえに、本明細書において求められる保護は、添付の特許請求の範囲に示されるとおりである。

本発明による無線通信システムの１つの例示的な実施形態を示す概念図である。 本発明による暗号同期化の方法の第１の例示的な実施形態を示す概念図である。 本発明による暗号同期化の方法の第２の例示的な実施形態を示す概念図である。

Claims (16)

1. モバイル装置（１１０）で、セキュリティ・アソシエーションに係るダウンリンク・カウンタを確立した第１の基地局（１１５（１））と前記モバイル装置との間のセキュリティ・アソシエーションに係るアップリンク・カウンタを確立するステップであって、前記アップリンク・カウンタは各メッセージが前記第１の基地局に伝送される前に増分され、前記ダウンリンク・カウンタは各メッセージが前記モバイル装置に伝送される前に増分されるステップを含む方法であって、
   前記モバイル装置で、メッセージ認証コードを第２の基地局（１１５（２））から受信するステップであって、前記メッセージ認証コードは、鍵ディストリビュータ（１２０）によって前記第２の基地局に供給されたアップリンク・カウンタとダウンリンク・カウンタとの値を用いて形成されるステップと、
   前記モバイル装置が前記第１の基地局から前記第２の基地局にハンドオフするのに応じて、前記モバイル装置に格納されたアップリンク・カウンタとダウンリンク・カウンタとの値を、前記第２の基地局に供給されたアップリンク・カウンタとダウンリンク・カウンタとの値と比較することによって、前記モバイル装置と前記第２の基地局を互いに認証するステップと、
   前記モバイル装置で、前記第２の基地局から受信したダウンリンク・カウンタの値が前記モバイル装置によって格納されたダウンリンク・カウンタの値より大きいことを判別するステップとを含む、方法。
2. 前記モバイル装置と前記第２の基地局を互いに認証するステップは、秘密鍵と、前記モバイル装置と前記第２の基地局に格納されたアップリンク・カウンタとダウンリンク・カウンタとの値の中の少なくとも一つとを使用して形成されたメッセージ認証コードを交換するステップを含む請求項１に記載の方法。
3. 前記モバイル装置と前記第２の基地局を互いに認証するステップは、前記モバイル装置で、前記第２の基地局から受信したダウンリンク・カウンタの値が前記第１の基地局から受信し前記モバイル装置によって格納されたダウンリンク・カウンタの値より大きいことを判別するステップを含む請求項１に記載の方法。
4. 第１の基地局（１１５（１））で、セキュリティ・アソシエーションに係るアップリンク・カウンタを確立したモバイル装置（１１０）と前記第１の基地局との間のセキュリティ・アソシエーションに係るウンリンク・カウンタを確立するステップであって、前記ダウンリンク・カウンタは各メッセージが前記モバイル装置に伝送される前に増分され、前記アップリンク・カウンタは各メッセージが前記第１の基地局に伝送される前に増分されるステップを含む方法であって、
   メッセージ認証コードを前記モバイル装置に伝送するステップであって、前記メッセージ認証コードは鍵ディストリビュータ（１２０）によって第２の基地局（１１５（２））に供給された、アップリンク・カウンタとダウンリンク・カウンタとの値を用いて形成されるステップと、
   前記モバイル装置が前記第１の基地局から前記第２の基地局にハンドオフするのに応じて、前記モバイル装置に格納されたアップリンク・カウンタとダウンリンク・カウンタとの値を、前記第２の基地局に供給されたアップリンク・カウンタとダウンリンク・カウンタとの値と比較することによって、前記モバイル装置と前記第２の基地局を互いに認証し、かつ、前記第２の基地局で、前記モバイル装置から受信したダウンリンク・カウンタの値が前記第２の基地局によって格納されたダウンリンク・カウンタの値より大きいことを判別するステップと、
   前記モバイル装置を認証するのに応じて、第１のメッセージを前記モバイル装置に供給するステップとを含む、方法。
5. 前記モバイル装置と前記第２の基地局を互いに認証するステップは、秘密鍵と、前記モバイル装置と前記第２の基地局に格納されたアップリンク・カウンタとダウンリンク・カウンタとの値の中の少なくとも一つとを使用して形成されたメッセージ認証コードを交換するステップを含む請求項４に記載の方法。
6. 前記モバイル装置と前記第２の基地局を互いに認証するステップは、
   前記第２の基地局で、また前記鍵ディストリビュータから、アップリンク・カウンタとダウンリンク・カウンタとの値を受信するステップと、
   前記第２の基地局で、前記モバイル装置からメッセージ認証コードを受信するステップであって、前記メッセージ認証コードは前記モバイル装置に格納されたアップリンク・カウンタとダウンリンク・カウンタとの値を使用して形成されるステップと、
   前記第２の基地局で、前記第２の基地局によって格納されかつ前記モバイル装置から受信されたアップリンク・カウンタとダウンリンク・カウンタとの値を比較するステップとを含む請求項４に記載の方法。
7. 前記モバイル装置と前記第２の基地局を互いに認証するステップは、前記第２の基地局で、前記モバイル装置から受信したダウンリンク・カウンタの値が前記第１の基地局から受信し前記モバイル装置によって格納されたダウンリンク・カウンタの値より大きいことを判別するステップを含む請求項６に記載の方法。
8. モバイル装置（１１０）からアップリンク・カウンタ（３１０）の値を伝送するステップを有する方法であって、
   前記モバイル装置は、前記モバイル装置が非アクティブ・モードからウェークアップするのに応じてアップリンク・カウンタの値を伝送し、かつ、前記モバイル装置はまたダウンリンク・カウンタ（３１５）の、前に認証された値を格納しており、
   前記モバイル装置で、また基地局（１１５）から、ｎｏｎｃｅとアップリンク・カウンタの値とを使用して形成された第１のメッセージを受信するステップであって、前記第１のメッセージは前記モバイル装置によって前記基地局に供給されたアップリンク・カウンタの値を使用して形成されるステップと、
   前記第１のメッセージを受信するのに応じて前記モバイル装置から、前記ｎｏｎｃｅと、アップリンク・カウンタの増分された値と、ダウンリンク・カウンタの値とを使用して形成された第２のメッセージを伝送するステップと、
   ダウンリンク・カウンタの値が前記基地局によって格納されたダウンリンク・カウンタの値より大きいときに、アップリンク・カウンタの増分された値とダウンリンク・カウンタの値との確認(validation)を示す第３のメッセージを、前記モバイル装置で、また基地局から、受信するステップとを含む、方法。
9. 前記第１のメッセージを受信するステップは、そのメッセージが前記ｎｏｎｃｅと前記基地局によって供給されたアップリンク・カウンタの値とを含むことを示すエスケープコードを含む第１のメッセージを受信するステップを含む請求項８に記載の方法。
10. 前記第１のメッセージにおけるアップリンク・カウンダの値をチェックすることなしに前記第１のメッセージを確認するステップを含む請求項９に記載の方法。
11. 前記第２のメッセージを伝送するステップは、前記ｎｏｎｃｅと、アップリンク・カウンタの増分された値と、ダウンリンク・カウンタの、前に認証された値とを使用して形成された第２のメッセージを伝送するステップを含む請求項１０に記載の方法。
12. 基地局（１１５）で、またモバイル装置（１１０）から、アップリンク・カウンタ（３１０）の値を受信するステップを有する方法であって、
    前記基地局は、前記モバイル装置が非アクティブ・モードからウェークアップするのに応じてアップリンク・カウンタの値を受信し、かつ、前記モバイル装置はまたダウンリンク・カウンタ（３１５）の、前に認証された値を格納しており、
    前記基地局から前記モバイル装置に、ｎｏｎｃｅと、前記モバイル装置によって前記基地局に供給されたアップリンク・カウンタの値とを使用して形成された第１のメッセージを伝送するステップと、
    前記第１のメッセージを伝送するのに応じて、前記基地局で、また前記モバイル装置から、前記ｎｏｎｃｅと、アップリンク・カウンタの増分された値と、ダウンリンク・カウンタの値とを使用して形成された第２のメッセージを受信するステップと、
    ダウンリンク・カウンタの値が前記基地局によって格納されたアップリンク・カウンタの値より大きいときに、前記基地局で、アップリンク・カウンタの増分された値とダウリンク・カウンタの値とを確認するステップとを含む、方法。
13. 前記第１のメッセージを伝送するステップは、そのメッセージが前記ｎｏｎｃｅと前記基地局によって供給されたアップリンク・カウンタの値とを含むことを示すエスケープコードを含む第１のメッセージを伝送するステップを含む請求項１２に記載の方法。
14. 前記第２のメッセージを受信するステップは、前記ｎｏｎｃｅと、アップリンク・カウンタの増分された値と、ダウンリンク・カウンタの、前に認証された値とを使用して形成された第２のメッセージを受信するステップを含む、請求項１３に記載の方法。
15. アップリンク・カウンタの増分された値とダウンリンク・カウンタの値とを確認するステップは、前記モバイル装置から、アップリンク・カウンタの増分された値とダウンリンク・カウンタの値とを示す情報を含む第３のメッセージを受信するステップを含む請求項１４に記載の方法。
16. 前記基地局から、かつ前記モバイル装置に、アップリンク・カウンタの増分された値とダウンリンク・カウンタの値との確認を示す第３のメッセージを伝送するステップを含む請求項１５に記載の方法。

Images