JP5636050B2 - 移動局において暗号鍵を処理する方法 - Google Patents

Description

［関連出願］
本願は、２００９年８月１７日に出願され「Introduction of 128-bit ciphering key for A5/4 and GEA/4」というタイトルを持つ合衆国仮特許出願第６１／２３４４８９号、及び、２０１０年５月４日に出願され「Improvements to 3GPP Technical Specification 24.008」というタイトルを持つ合衆国仮特許出願第６１／３３１００３号の優先権を主張する。

［技術分野］
本発明は、概して、無線通信システムにおける暗号化に関し、より詳細には、ＵＭＴＳ移動局において暗号鍵を処理するための技法に関する。

第３世代パートナーシップ・プロジェクト（３ＧＰＰ）のメンバーは、現在、ＵＭＴＳ(Universal Mobile Telecommunications System)標準のファミリーに対するリリース９の改良を開発中である。この作業の一部として、新しい暗号化アルゴリズムが導入された。これには、ＧＳＭ回線交換サービスのためのＡ５／４アルゴリズム、及び、ＧＳＭ ＧＰＲＳ（パケット交換）サービスのためのＧＥＡ４が含まれる。これらのアルゴリズムは、３ＧＰＰ文書である３ＧＰＰ ＴＳ５５．２２６「3G Security; Specification of the A5/4 Encryption Algorithms for GSM and ECSD, and the GEA4 Encryption Algorithm for GPRS」に規定されている。この文書に規定されているように、新しい暗号化アルゴリズムであるＡ５／４及びＧＥＡ４の各々は、１２８ビットフルの暗号鍵を必要とする。

移動装置の中及びネットワークの中で１２８ビットの暗号鍵（Ｋｃ−１２８）を導出する鍵導出機能が、３ＧＰＰ文書である３ＧＰＰ ＴＳ３３．１０２「3G security; Security architecture」リリース９に規定されている。Ｋｃ−１２８は、ＵＭＴＳのセキュリティ鍵（即ち、暗号鍵ＣＫ、及び完全鍵Ｋ）から導出される。これらは、現在のセッティングにおいては対応する６４ビットＧＳＭ暗号鍵に関連付けられている。それゆえ、ＵＭＴＳのセキュリティ鍵は１２８ビット鍵を導出するために必要とされるので、ＧＳＭサービス及びＧＳＭ ＧＰＲＳサービスのために暗号化アルゴリズムＡ５／４及びＧＥＡを使用可能にするためには、ユーザはユーザ装置（ＵＥ）の中で使用するＵＳＩＭ(Universal Subscriber Identity Module)を持たなければならず、ネットワークはＵＥに対するＵＭＴＳ ＡＫＡ（認証）手順を開始する必要がある。

３ＧＰＰ ＴＳ３３．１０２はまた、Ｋｃ−１２８は移動装置（ＭＥ）の中にのみ格納され、ＵＳＩＭの中には格納されず、ＭＥが電源オフされたりＵＳＩＭがＵＥから取り外されたりした場合にはこの暗号鍵は削除されるとも規定している。

図７は、３ＧＰＰ ＴＳ３３．１０２から持ってきたものであり、ＭＥ及びネットワークによってＫｃ−１２８がＣＫ及びＩＫから導出されるシナリオを示している。３ＧＰＰ仕様はＫｃ−１２８の基礎的用途のシナリオを概説してはいるが、本発明の開発の前には、ＭＥによってＫｃ−１２８を処理することに関する完全な分析及び記述は行われていなかった。

移動装置（ＭＥ）及びユニバーサル加入者ＩＤモジュール（ＵＳＩＭ）を含む移動局において暗号鍵を処理する技法が開示される。例示的方法は、ＵＭＴＳの暗号鍵（ＣＫ）、完全鍵（ＩＫ）、及び暗号鍵シーケンス番号（ＣＫＳＮ）を前記ＵＳＩＭから取得するステップと、前記ＣＫ及び前記ＩＫから１２８ビット暗号鍵（Ｋｃ−１２８）を導出するステップと、前記Ｋｃ−１２８及び前記ＣＫＳＮを、前記ＵＳＩＭから離れて前記移動装置内に格納するステップと、を備える。最新のＵＭＴＳセキュリティコンテキストに対する前記Ｋｃ−１２８の対応を追跡できるようにするために、前記格納されるＣＫＳＮは、前記格納されるＫｃ−１２８に関連付けられる。この例示的方法は、パケット交換ドメイン又は回線交換ドメインのいずれかについて、１２８ビット暗号鍵の生成及び格納に適用される。

幾つかの実施形態では、上述の取得するステップ、導出するステップ、及び格納するステップは、１２８ビット暗号鍵を必要とする暗号化アルゴリズムが使用されるようになるという判定に応えて実行される。別の実施形態では、これらのステップは、新たなＵＭＴＳセキュリティコンテキストが確立されたという判定に応えて実行される。更に別の実施形態では、これらのステップは、６４ビット暗号鍵が生成されたという判定と同時に、又はこの判定に応えて、実行される。

様々な実施形態において、１２８ビット暗号化アルゴリズムが使用されるようになるという判定に応えて、前記格納されたＫｃ−１２８が前記１２８ビット暗号化アルゴリズムに適用される。こられの実施形態に幾つかにおいては、前記ＵＳＩＭから直近のＣＫＳＮを取得し、前記格納されたＫｃ−１２８を前記暗号化アルゴリズムに適用する前に前記直近のＣＫＳＮを前記格納されたＣＫＳＮと比較して一致するかを検証することにより、前記格納されたＫｃ−１２８の有効性が検証される。こられの実施形態に幾つかにおいては、前記直近のＣＫＳＮが前記格納されたＣＫＳＮに一致しない場合、前記ＭＥは、ＵＭＴＳの新たな暗号鍵（ＣＫ）、新たな完全鍵（ＩＫ）、及び新たな暗号鍵シーケンス番号（ＣＫＳＮ）を前記ＵＳＩＭから取得し、前記新たなＣＫ及び前記新たなＩＫから新たなＫｃ−１２８を導出し、前記新たなＫｃ−１２８及び前記新たなＣＫＳＮを前記移動装置に格納する。

幾つかの実施形態では、１以上のＫｃ-１２８をＭＥに格納することができる。それゆえ、幾つかの実施形態は、新たなＣＫ、新たなＩＫ、及び新たなＣＫＳＮを前記ＵＳＩＭから取得するステップと、前記新たなＣＫ及び前記新たなＩＫから新たなＫｃ−１２８を導出するステップと、以前に格納したＫｃ−１２８及びＣＫＳＮに加えて、前記新たなＫｃ−１２８及び前記新たなＣＫＳＮを前記移動装置に格納するステップと、を含む。これらの実施形態では、前記ＭＥは、直近の成功したＵＭＴＳ認証及び鍵合意プロセスに対応するＫｃ−１２８を追跡するように構成される。１２８ビット暗号鍵を必要とする暗号化アルゴリズムがアクティブ化されると判定されると、これらの実施形態のうちの幾つかは、前記以前に格納したＫｃ−１２８及びＣＫＳＮを前記新たなＫｃ−１２８及び前記新たなＣＫＳＮで上書きするように構成される。

前記格納されたＣＫＳＮは、多数の状況において無効になる場合がある。前記ＣＫＳＮが無効であるという判定に応えて、様々な実施形態が、前記格納されたＣＫＳＮを削除するように構成される。前記格納されたＣＫＳＮが無効であるという判定は、前記ＵＳＩＭにおける対応するＣＫＳＮが削除された又は削除されることを検出するステップ、前記ＵＳＩＭにおける回線交換サービスのための更新ステータスが"U2 NOT UPDATED"、"U3 ROAMING NOT ALLOWED"、又は"U4 UPDATING DISABLED"に変化したことを検出するステップ、前記ＵＳＩＭにおけるパケット交換サービスのための更新ステータスが"GU2 NOT UPDATED"又はGU3 ROAMING NOT ALLOWED"に変化したことを検出するステップ、又は前記ＵＳＩＭが無効化されたことを検出するステップに起因してもよい。

上で要約した方法に概ね対応する移動局装置も開示され、本明細書で説明する鍵処理アルゴリズムの１つ以上を実行するように構成された処理回路を有する。もちろん、当業者であれば、本発明は上述の特徴、利点、文脈、或いは例に限定されないということを理解するであろうし、以下の詳細な説明を読んで添付の図面を見れば追加的な特徴及び利点を認識するであろう。

図１は、本発明の幾つかの実施形態に係る、移動装置（ＭＥ）及びＵＳＩＭ(Universal Subscriber Identity Module)を含むユーザ装置を示す。 図２は、回線交換ドメイン及びパケット交換ドメインの各々についてＵＭＴＳ(Universal Mobile Telecommunications System)のセキュリティコンテキストをＵＳＩＭの中に格納することを示す。 図３は、移動装置及びＵＳＩＭを含む移動局において暗号鍵を処理する方法を示す処理フロー図である。 図４は、暗号鍵を処理する方法を示す別の処理フロー図であり、ここでは、１２８ビットの暗号化アルゴリズムを使用するという判断に応えてＫｃ−１２８が導出される。 図５は、暗号鍵を処理する方法を示す別の処理フロー図であり、ここでは、新たなＵＭＴＳセキュリティコンテキストが確立されたという判断に応えてＫｃ−１２８が導出される。 図６は、暗号鍵を処理する別の方法を示す別の処理フロー図である。 図７は、ＵＭＴＳネットワーク及びＧＳＭネットワークにおける鍵合意のシナリオを示す。

図面を参照して本発明の様々な実施形態を説明する。図面において、同一の参照番号は、全図を通して同一のエレメントを参照するために使用される。以下の説明において、数々の具体的な詳細は、１以上の実施形態に関する完全な理解を提供するために、説明を目的として記述される。しかしながら、当業者にとっては明らかであろうが、本発明の１以上の実施形態は、これらの具体的な詳細の１つ以上が存在しないとしても、実装又は実施が可能である。他の例においては、１以上の実施形態の説明を促進するために、よく知られた構造及びデバイスがブロック図の形式で示される。

本明細書において記述される技法及びソリューションは、概ね、Ａ５／４及びＧＥＡ４の暗号化アルゴリズムの応用の文脈において記述されるが、当業者であれば理解するであろうが、将来、ＵＭＴＳネットワーク及び／又はＧＳＭネットワークにおいて追加的な新しい暗号化アルゴリズムをサポートすることができる。本明細書において記述される技法は、これらの新しい暗号化アルゴリズムをサポートすることを意図しており、本発明はそれゆえ、これらの既に規定されているアルゴリズムの使用に限定されはしない。

無線ネットワーク中の固定基地局と無線通信する無線アクセス端末に関連して、本明細書において幾つかの実施形態を説明する。無線アクセス端末はまた、システム、加入者ユニット、加入者局、移動局、移動体、リモート局、リモート端末、移動デバイス、ユーザ端末、端末、無線通信デバイス、ユーザエージェント、或いはユーザデバイスと呼ばれる場合もあり、３ＧＰＰ仕様においては共通してユーザ装置（ＵＥ）と呼ばれる。アクセス端末は、セルラ電話、コードレス電話、セッション開始プロトコル（ＳＩＰ）電話、無線ローカルループ（ＷＬＬ）局、携帯情報端末（ＰＤＡ）、無線接続機能を持つハンドヘルドデバイス、コンピューティングデバイス、或いは、無線モデムに接続された他の処理デバイスであってもよい。ＵＭＴＳ対応端末の文脈では、完全なＵＥは、ＵＳＩＭ(Universal Subscriber Identity Module)に結合された移動装置（ＭＥ）を含む。

そのようなものの１つであるＵＥ１００を図１に示す。ＵＥ１００は、ＭＥ１０５及びＵＳＩＭ１５０を含む。ＭＥ１０５は、１以上の無線送受信機１１０を備え、無線送受信機の各々は、例えばＧＳＭ、ＧＰＲＳ、ＥＤＧＥ、Ｗ−ＣＤＭＡ、ＨＳＰＡなどのような１以上の特定の無線標準に従い、１以上の周波数帯で動作するように構成されている。ＭＥ１０５は、処理回路１２０を更に備え、処理回路１２０は、１つ又は幾つかのマイクロプロセッサ、マイクロコントローラ、デジタル信号プロセッサ、などを含むことができ、これらは適当なファームウェア及び／又はソフトウェアによって設定されている。図１に示すように、これらの処理回路１２０は、１以上の端末アプリケーションのために設定されており、１以上の端末アプリケーションには、例えば、ユーザがデバイスを操作できるようにするためのユーザインタフェース関係のプログラム、個人情報管理プログラム、マルチメディアアプリケーション、などが含まれ得る。処理回路はまた、１以上の無線プロトコル１２４を実行するように構成されており、１以上の無線プロトコル１２４は、１以上の無線通信標準に従い、ＵＥによる基地局との通信を制御する。最後に、ＭＥ１０５はＫｃ−１２８処理アプリケーション１２６を含むが、その詳細は以下でより十分に説明する。

ＵＳＩＭ１５０は、とりわけ、ＵＭＴＳ鍵導出及び格納機能１５５を有する。ＵＭＴＳの認証及び鍵合意（ＡＫＡ）プロセスの間に、ＵＳＩＭ及びネットワークは、ＣＫとして知られる１２８ビット暗号鍵、及び、ＩＫとして知られる１２８ビット完全鍵について合意する。これらの鍵は、暗号鍵シーケンス番号（ＣＫＳＮ）と共に、ＵＭＴＳセキュリティコンテキストを構成する。（なお、ＵＭＴＳの文脈では、ＣＫＳＮは鍵設定識別子（ＫＳＩ）と呼ばれる場合もある。本明細書ではＣＫＳＮという用語を用いる。）回線交換（ＣＳ）ドメイン及びパケット交換（ＰＳ）ドメインの各々について、別個のＵＭＴＳセキュリティコンテキストを得ることができる。それゆえ、図２に示すように、ＵＭＴＳ鍵導出及び格納機能１５５は、回線交換ドメイン暗号鍵（ＣＳ−ＣＫ）２１０、回線交換ドメイン完全鍵（ＣＳ−ＩＫ）２２０、回線交換ドメインＣＫＳＮ（ＣＳ−ＣＫＳＮ）２３０、パケット交換ドメイン暗号鍵（ＰＳ−ＣＫ）２４０、パケット交換ドメイン完全鍵（ＰＳ−ＩＫ）２５０、及びパケット交換ドメインＣＫＳＮ（ＣＳ−ＣＫＳＮ）２６０を含むことができる。様々なタイミングにおいて、ＵＥ１００が従事している活動に応じて、また、サポートしているネットワークの構成に応じて、これらのＵＭＴＳセキュリティコンテキストの一方又は両方がＵＳＩＭ１５０の中に存在したり、どちらも存在しなかったりする。

上述のように、ＭＥ内及びネットワーク内で１２８ビット暗号鍵（Ｋｃ−１２８）を導出する鍵導出機能は、リリース９の３ＧＰＰ ＴＳ３３．１０２に規定されている。Ｋｃ−１２８は、ＵＭＴＳセキュリティ鍵ＣＫ及びＩＫから導出される。１２８ビット暗号化アルゴリズムを標準に追加する以前に、６４ビットＧＳＭ暗号鍵を生成するためにＣＫ及びＩＫを使用することは、既に標準化されていた。ＵＭＴＳセキュリティ鍵は１２８ビット暗号鍵Ｋｃ−１２８を生成するために必要とされるので、ネットワーク内で暗号化アルゴリズムＡ５／４及びＧＥＡ４のいずれかの使用を開始するためには、明らかに、ＵＥはアクティブなＵＭＴＳセキュリティコンテキストを伴うＵＳＩＭに結合される必要がある。

図７は、３ＧＰＰ ＴＳ３３．１０２から持ってきたものであり、ＭＥ及びネットワークによってＫｃ−１２８がＣＫ及びＩＫから導出されるシナリオを示す。３ＧＰＰ仕様はＫｃ−１２８の基礎的用途のシナリオを概説してはいるが、本発明の開発の前には、ＭＥによってＫｃ−１２８を処理することに関する完全な分析及び記述は行われていなかった。

これまで、３ＧＰＰ ＴＳ３３．１０２は、Ｋｃ−１２８は移動装置（ＭＥ）の中にのみ格納され、ＵＳＩＭの中には格納されないと規定してきた。特定のＫｃ−１２８が依然として有効であるか否かをＭＥが判定できるようにするためには、格納されたＫｃ−１２８はＣＫＳＮに関連付けられなければならず、ＣＫＳＮもＭＥの中に格納される。それゆえ、回線交換ドメイン及びパケット交換ドメインの両方において、ＵＭＴＳ ＡＫＡ手順の間にネットワークによってＭＥに提供されるＣＫＳＮは、何らかの導出されたＫｃ−１２８ビット暗号鍵にリンクされ、何らかの対応する６４ビット暗号鍵にもリンクされる。その結果、任意の所定のタイミングにおいて、ＭＥは、回線交換ドメインのためのＫｃ−１２８及び関連するＣＫＳＮ（及びＫｃ−６４）を格納している場合もあるし、パケット交換ドメインのためのＫｃ−１２８及び関連するＣＫＳＮ（及びＫｃ−６４）を格納している場合もあるし、その両方を格納している場合もあるし、いずれも格納していない場合もある。

セキュリティの理由から、ＭＥが電源オフされた場合やＵＳＩＭがＵＥから取り外された場合には、Ｋｃ−１２８（該当するのであれば片方又は両方のドメインについて）は削除される。しかしながら、Ｋｃ−１２８を削除しなければならないシナリオは、これらに限られない。回線交換ドメイン及びパケット交換ドメインの両方において、対応するＵＭＴＳセキュリティコンテキストのＣＫＳＮが削除された場合は必ず、リンクされたＫｃ−１２８ビット暗号鍵は、もし存在するなら、やはりＭＥから削除される。これに加えて、ＵＳＩＭがデバイスから取り外された場合やＵＳＩＭの動作が無効化された（例えば、ユーザコマンドにより）場合には、ＣＫＳＮ及び関連するＫｃ−１２８（該当するのであれば片方又は両方のドメインについて）は、削除されなければならない。

更に、何らかの状況においてＵＭＴＳセキュリティコンテキストが無効化される場合もある。従って、回線交換ドメインにおいては、Location Area Update手順、Authentication Failure、CMサービス拒否などのようなＮＡＳ(Non-Access Stratum)シグナリング手順の結果として回線交換サービスに関するＵＳＩＭの更新ステータスが"U2 NOT UPDATED"、"U3 ROAMING NOT ALLOWED"、又は"U4 UPDATING DISABLED"に変化した場合、ＭＥは、ＭＥ中に格納された、回線交換サービスのためのＫｃ−１２８暗号鍵を削除することになる。同様に、パケット交換ドメインにおいては、ＧＰＲＳアタッチ、ＮＷ主導型デタッチ、認証手順、Routing Area Update手順などのようなＮＡＳシグナリング手順の結果としてＧＰＲＳサービスに関するＵＳＩＭの更新ステータスが"GU2 NOT UPDATED"又は"GU3 ROAMING NOT ALLOWED"に変化した場合、ＭＥは、Ｋｃ−１２８ビット暗号鍵を削除することになる。

Ａ／Ｇｂモードにおいて、１２８ビット暗号鍵を必要とするＡ５暗号化アルゴリズム（又は他のアルゴリズム）が使用されるようになると、使用中のＵＳＩＭを持つＭＥは、Ｋｃ−１２８ビット暗号鍵を回線交換サービスに適用することになる。同様に、Ａ／Ｇｂモードにおいて、１２８ビット暗号鍵を必要とするＧＥＡ暗号化アルゴリズム（又は他のアルゴリズム）が使用されるようになると、使用中のＵＳＩＭを持つＭＥは、Ｋｃ−１２８ビット暗号鍵をＧＰＲＳに適用することになる。いずれの場合も、１２８ビット暗号化アルゴリズムの使用開始時に適用されるＫｃ−１２８は、常に、直近に成功したＵＭＴＳ認証手順に基づいていなければならない。しかしながら、ＣＫ及びＩＫからのＫｃ−１２８（ＣＳドメイン又はＰＳドメインのいずれについても）の実際の生成は、幾つかのタイミングのうちのいずれかのタイミングでよい。

例えば、回線交換ドメイン又はパケット交換ドメインのためのＫｃ−１２８は、以下のタイミングで生成可能である。

・鍵の使用が実際に必要になった最初のタイミング（例えば、回線交換ドメイン又はパケット交換ドメインの特定のＵＭＴＳセキュリティコンテキストのための１２８ビット暗号化がアクティブ化された最初のタイミング）、
・鍵の使用が実際に必要になる度（即ち、回線交換ドメイン又はパケット交換ドメインのための１２８ビット暗号化がアクティブ化される度）、
・所与のドメインのためのＫｃ−６４ビット暗号鍵が、ＵＳＩＭによって導出されるか、ＵＳＩＭによってＭＥに提供されたとき、
・所与のドメインのためのＫｃ−６４ビット暗号鍵が最初に使用されるようになったとき（即ち、回線交換ドメイン又はパケット交換ドメインの特定のＵＭＴＳセキュリティコンテキストのための６４ビット暗号化がアクティブ化された最初のタイミング）、又は
・所与のドメインのためのＵＭＴＳセキュリティコンテキストが確立されるとすぐに（即ち、ＵＭＴＳ ＡＫＡの認証手順が完了すると）。

いずれかのドメインのための新たなＫｃ−１２８が導出されると、ＭＥは一般的に、そのドメインのための既存のＫｃ−１２８ビット暗号鍵を、新たに導出されたＫｃ−１２８ビット暗号鍵によって上書きしなければならない。しかしながら、以下で更に詳細に論じるように、ＭＥの実装によっては、各ドメインのために２つのＫｃ−１２８暗号鍵のストレージを備える場合がある（１つ目は現在アクティブに使用されている鍵に対応し、２つ目は直近に完了した認証及び鍵合意手順に対応する）。そのような実装においては、１２８ビット暗号化アルゴリズムの開始に応じて適切な鍵が使用状態になること、及び、格納されているＫｃ−１２８暗号鍵がもはや有効でない場合にそれが上書き又はマークされること、を確実にするように、配慮されなければならない。

図３は、ＭＥ及びＵＳＩＭを含む移動局において暗号鍵を処理する一般的な方法を示す処理フロー図である。ブロック３１０で示すように、この方法は、回線交換コンテキスト又はパケット交換コンテキストのための現在のＵＭＴＳセキュリティコンテキストをＵＳＩＭから取得することから開始する。これは、暗号鍵ＣＫ、完全鍵ＩＫ、及び暗号鍵シーケンス番号ＣＫＳＮを含む。ブロック３２０で示すように、リリース９の３ＧＰＰ ＴＳ３３．１２に規定される鍵導出機能を用いて、所与のドメインのためのＫｃ−１２８がＣＫ及びＩＫから導出される。ブロック３３０で示されるように、導出されたＫｃ−１２８は、次に、ＣＫＳＮと関連付けて（ＵＳＩＭの中ではなく）ＭＥに格納される。

上述のように、所与のドメインのためのＫｃ−１２８の生成は、任意の幾つかのタイミングにおいて実行可能である。アプローチの１つを図４に示す。このアプローチでは、所与のドメインのためのＫｃ−１２８の導出は、１２８ビット暗号鍵を必要とするアルゴリズムが使用されるようになるという指示によって引き起こされる。それゆえ、ブロック４１０で示すように、ＭＥは、Ｋｃ−１２８を必要とするＧＳＭ暗号化アルゴリズム又はＧＰＲＳ暗号化アルゴリズムが使用状態になることを判定する。そうであれば、ブロック４２０で示すように、ＵＳＩＭに格納された直近のＵＭＴＳセキュリティコンテキストからＫｃ−１２８が生成される。（この生成は、図３に示すようなものである。）その後、ブロック４３０で示すように、新たに導出されたＫｃ−１２８が、指示された暗号化アルゴリズムに適用される。

図５は、異なるアプローチを示す。この例では、所与のドメインのためのＫｃ−１２８の生成は、そのドメインのためのＵＭＴＳ ＡＫＡ手順が成功裏に完了したことによって引き起こされる。やはり、図示されるアプローチは、回線交換ドメイン及びパケット交換ドメインの一方又は両方に対して適用可能である。そして、ブロック５１０で示すように、この手順は、新たなＵＭＴＳセキュリティコンテキストが存在するという判定から開始する。そうであれば、ブロック５２０で示すように、ＵＳＩＭ上の直近のＵＭＴＳセキュリティコンテキストからＫｃ−１２８が生成される。このＫｃ−１２８は、暗号化動作におけるその後の使用のために、対応するＣＫＳＮに関連付けてＭＥに格納される。

図５のアプローチを使用するＭＥは、一般的に、ＭＥに格納されたＫｃ−１２８を有するであろう。１２８ビット暗号化アルゴリズムがアクティブ化されると、ＭＥは、Ｋｃ−１２８が最新であることが確実なように注意しなければならない。図６は、格納されたＫｃ−１２８の有効性を検証するための１つの可能な方法を示す。ブロック６１０で示すように、この手順は、１２８ビットアルゴリズムが使用状態であるという判定から開始する。そうであれば、適切なドメインのための格納されたＣＫＳＮが、ＵＳＩＭから取得される直近のＣＫＳＮと比較される。これはブロック６２０で示されている。これらの値が一致する場合、格納されているＫｃ−１２８は有効であり、ブロック６３０で示すように、指示された暗号化アルゴリズムに対して適用可能である。そうでない場合、ブロック６４０で示されるように、ＵＳＩＭ上に存在する最新のＵＭＴＳセキュリティコンテキストから新たなＫｃ−１２８を生成しなければならない。

Ａ／Ｇｂモードに対するシステム間ハンドオーバー後にＭＥが適当な鍵を使用していることを確実にするために、特別な配慮がなされなければならない。考慮されなければならない可能性のある幾つかのハンドオーバーが存在する。例えば、回線交換ドメインにおいて、ＩｕモードからＡ／Ｇｂモードへのシステム間変更の後に、１２８ビット暗号鍵を必要とするＡ５／４アルゴリズムが使用されるようになると、ＭＥは、最新の成功した認証手順からのＵＭＴＳセキュリティ鍵からＭＥによって導出されるＫｃ−１２８ビット暗号鍵（回線交換ドメインのためのもの）を適用することになる。同様に、パケット交換ドメインにおいて、ＩｕモードからＡ／Ｇｂモードへのシステム間変更の後に、１２８ビット暗号鍵を必要とするＧＥＡアルゴリズムが使用されるようになると、ＭＥはやはり、最新の成功した認証手順からのＵＭＴＳセキュリティ鍵からＭＥによって導出されるＫｃ−１２８ビット暗号鍵（ＧＰＲＳのためのもの）を適用するように注意しなければならない。いずれの場合も、このことは、幾つかのやり方で実行可能であり、例えば、（例えば図４に示すように）１２８ビット暗号化アルゴリズムがアクティブ化されると新たなＫｃ−１２８を生成することによって、又は、（例えば図６に示すように）格納されているＫｃ−１２８が最新の成功したＵＭＴＳ ＡＫＡ手順に対応することを検証することによってである。

回線交換ドメインでは、ＩｕモードからＡ／ＧｂモードへのＳＲ−ＶＣＣ(Single Radio Voice Call Continuity)ハンドオーバーも考慮しなければならない。当業者であれば認識するであろうが、このハンドオーバーはパケット交換の音声呼から回線交換の音声呼への遷移を表すので、これは幾分特殊な事例である。そのようなハンドオーバーの後に、１２８ビット暗号鍵を必要とするＡ５アルゴリズムが使用されるようになる場合、ＭＥは、ＣＳドメインのためのＫｃ−１２８ビット暗号鍵を導出するために、（ハンドオーバー時にパケット交換ドメインにおいて使用されていたＣＫ及びＩＫから導出される）回線交換ドメインのために導出されるＵＭＴＳセキュリティ鍵ＣＫ’及びＩＫ’を使用することになる。回線交換ドメインのためのセキュリティ鍵ＣＫ’及びＩＫ’は、ＳＲ−ＶＣＣハンドオーバー後にＫｃ−６４を生成するための現在規定されているものと同じやり方で導出される。導出されるＣＫ’及びＩＫ’は、３ＧＰＰ ＴＳ３３．１０２に規定される鍵導出機能を使用して回線交換のＫｃ−１２８を生成するために使用される。その後、ＭＥは、新たに導出されたＫｃ−１２８ビット暗号鍵をＣＳドメインに適用することになる。

パケット交換ドメインにおいては、Ｓ１モードからＡ／Ｇｂモードへのシステム間変更の場合も考慮しなければならない。このシナリオでは、ＭＥの振る舞いは、システム間変更が接続モードにおいて発生したかアイドルモードにおいて発生したかに依存し、アイドルモードの場合、ＴＩＮ変数が"GUTI"又は"RAT-related TMSI"のいずれを示すかに依存する。

接続モードにおいて、又は、ＴＩＮ変数が"GUTI"を示す場合のアイドルモードにおいて、１２８ビット暗号鍵を必要とするＧＥＡアルゴリズムが使用されるようになる場合、ＭＥは、新たに導出されたＵＭＴＳセキュリティ鍵からＭＥが導出したＧＰＲＳのためのＫｃ−１２８ビット暗号鍵を適用することになる。なお、接続モード、又は、ＴＩＮ変数が"GUTI"を示す場合のアイドルモードにおけるＳ１モードからＡ／Ｇｂモードへのシステム間変更の際に、ＭＥは常に、ＧＰＲＳのための新たなＵＭＴＳセキュリティ鍵をＥＰＳセキュリティコンテキストから導出する。（３ＧＰＰ ＴＳ３３．４０１を参照のこと。）

アイドルモードにおいて、ＴＩＮ変数が"RAT-related TMSI"を示す場合、１２８ビット暗号鍵を必要とするＧＥＡアルゴリズムが使用されるようになると、ＭＥは、最新の成功した認証手順からのＵＭＴＳセキュリティ鍵からＭＥが導出したＧＰＲＳのためのＫｃ−１２８ビット暗号鍵を適用することになる。

パケット交換ドメインにおいては、新たな認証及び鍵合意（ＡＫＡ）無しに暗号化（秘匿化）を可能にするためにＡ／Ｇｂモードにおいて認証及び暗号化手順がネットワークによって使用される場合があるという事実により、別の注意事項が生じる。それゆえ、ＧＰＲＳのためのＫｃ−１２８ビット暗号鍵の文脈においては、次のようになる。

・６４ビット暗号化アルゴリズムが使用されていて１２８ビットアルゴリズムへの切り替えが指示された場合、このことは、ＵＥがＧＰＲＳのための最新のＵＭＴＳセキュリティコンテキストを使用しているということを意味し、適用すべきＧＰＲＳのためのＫｃ−１２８ビット暗号鍵は、現在使用中のＧＰＲＳのためのＵＭＴＳセキュリティコンテキストと同じものから導出される。それゆえ、現在格納されているＫｃ−１２８を使用可能である。というのも、これは、現在使用されているＧＰＲＳのためのＫｃ−６４鍵の導出元と同じコンテキストから導出されるからである。

・認証（ＵＭＴＳ ＡＫＡ）が実行されて（ＵＳＩＭの中に新たなＵＭＴＳセキュリティコンテキストが生成され）暗号化が無効化され、その後、新たな認証が実行されることなく認証及び暗号化手順を用いて暗号化が有効化された場合、ＭＥは、ＵＳＩＭに格納されているＧＰＲＳのためのＵＭＴＳセキュリティコンテキストからＧＰＲＳのためのＫｃ−１２８ビット暗号鍵を導出しなければならない。

前述の注意事項に鑑み、ＭＥによっては、Ａ／ＧｂモードにおいてどのＫｃ−１２８を使用すべきかを判定するための以下の手順を実行するように構成される。Ａ／Ｇｂモードでは、ＧＰＲＳのための確立されたＵＭＴＳセキュリティコンテキストが存在する際に、ネットワークがAUTHENTICATION AND CIPHERING REQUESTメッセージの中でＭＥに対して１２８ビット暗号鍵を必要とするＧＥＡ暗号化アルゴリズムが使用されるようになるということを示すと、ＭＥは以下の行動を取ることになる。

・認証が要求されておらず、６４ビット暗号鍵を必要とするＧＥＡ暗号化アルゴリズムが使用されている場合、ＭＥは、AUTHENTICATION AND CIPHERING RESPONSEメッセージが送信される前に使用されていた確立されていたＵＭＴＳセキュリティコンテキストのＧＰＲＳ ＵＭＴＳ暗号鍵及びＧＰＲＳ ＵＭＴＳ完全鍵からＭＥが導出したＧＰＲＳのためのＫｃ−１２８ビット暗号鍵を使用することになる。

・認証が要求されておらず、１２８ビット暗号鍵を必要とするＧＥＡ暗号化アルゴリズムが使用されている場合、使用されている確立されているＵＭＴＳセキュリティコンテキストのＧＰＲＳのためのＫｃ−１２８ビット暗号鍵が依然として適用される。

・そうでない場合、ＭＥは、AUTHENTICATION AND CIPHERING RESPONSEメッセージが送信される前の最新の成功した認証手順の間にＵＳＩＭによって提供されたＣＫ及びＩＫからＭＥが導出したＧＰＲＳのためのＫｃ−１２８ビット暗号鍵を使用することになる。

最後に、Ａ／Ｇｂモードに対して１２８ビット暗号化機能を追加するには、ＭＥ内の論理リンク制御(Logical Link Control)レイヤに対する修正が必要である。特に、少なくとも３つの修正が必要である。第１に、ＭＥ内のＧＭＭエンティティは、どの暗号鍵を使用するか（Ｋｃ−６４暗号鍵であるかＫｃ−１２８暗号鍵であるか）をＬＬＣに対して示すか、又は、適当な暗号鍵をＬＬＣに直接提供するように修正されなければならない。それゆえ、LLGMM-ASSIGN及びLLGMM-PSHOというプリミティブは、Ｋｃ−６４ビット又はＫｃ−１２８ビットの暗号鍵を示せるように、或いは、Ｋｃ−６４ビット又はＫｃ−１２８ビットの暗号鍵を搬送できるように、修正されなければならない。現在は、Ｋｃ−６４ビットのみが考慮されている。第２に、暗号化のために使用されるＬＬＣレイヤのパラメータであるＩＯＶ(Input Offset Value)は、デフォルトのＩＯＶ値に適用するルールがＫｃ−１２８暗号鍵の場合も考慮するように修正されることになる。ここでも、現在は、Ｋｃ−６４のみが考慮されている。最後に、暗号化アルゴリズムは、入力パラメータがＫｃ−６４暗号鍵だけでなくＫｃ−１２８暗号鍵であってもよいように修正されなければならない。

上で提案したように、本発明に係るＭＥの中には、回線交換ドメイン又はパケット交換ドメイン或いはその両方のための２つのＫｃ−１２８を格納するように構成されるものがあってもよい。例えば、１つの格納されている回線交換のためのＫｃ−１２８暗号鍵は、暗号化のために現在使用するためのものであり、もう１つは最新のＵＭＴＳ ＡＫＡ手順に対応するが、アクティブ化されていないか、又は、まだ使用されていない。同じことは、ＧＰＲＳ Ｋｃ−１２８にも当てはまるだろう。これらの実施形態において、ＭＥは、適切な動作のために、格納されているＫｃ−１２８のどれが最新の成功した認証手順から導出されたものであるかを追跡する必要がある。Ｋｃ−１２８が新たなＵＭＴＳセキュリティコンテキストから導出される際に、格納されていて最新のＵＭＴＳセキュリティコンテキストに対応すると指定されている古い鍵は、新たに導出された鍵によって上書きされなければならない。同様に、１２８ビット暗号化アルゴリズムのためにＫｃ−１２８が最初に使用されるようになる際に、アクティブなＫｃ−１２８に対応すると指定されている格納されているＫｃ−１２８は、ちょうど使用されるようになった鍵によって上書きされなければならない。

本明細書で説明した技法は、一般的に、ＭＥ内の１以上の処理回路（例えば、図１のＭＥ１０５の中に図示されている処理回路１２０など）に実装される。幾つかの実施形態では、処理回路１２０は、１つ又は幾つかのマイクロプロセッサ、デジタル信号プロセッサ、などを含むと共に、その他のデジタルハードウェア及びデジタルメモリを含む。メモリは、１つ又は幾つかの種類のメモリ（例えば、リードオンリーメモリ（ＲＯＭ）、ランダムアクセスメモリ、キャッシュメモリ、フラッシュメモリデバイス、光学式記憶デバイス、など）を含むことができ、１以上の遠距離通信プロトコル及び／又は通信プロトコルを実行すると共に本明細書で説明した１以上の鍵処理技法を実行するためのプログラムコードを格納するように構成される。メモリは更に、プログラムデータと、無線基地局から受信したり基地局へと送信したりするユーザデータとを格納し、また更に、様々なパラメータ、事前規定された閾値、及び／又は移動局の動作を制御するためのその他のプログラムデータを含むことができる。移動装置１０５は、明らかに、図示されていないその他の多様な機能（例えば、ユーザインタフェース回路、位置決定回路、など）を含む。しかしながら、これらの機能は当業者によく知られており、それゆえ、説明しない。

ここまで、本発明の幾つかの実施形態の例を、具体的な実施形態に関する添付の図示を参照して説明してきた。もちろん、コンポーネント又は技法についての考えられる全ての組み合わせを説明することは不可能なので、当業者であれば理解するであろうが、本発明は、本発明の本質的な特徴から逸脱することなしに、本明細書で具体的に説明したもの以外のやり方で実装することができる。本実施形態は、それゆえ、あらゆる点において説明用なのであって限定を加えるものではないと理解すべきであり、添付の請求項の範囲に含まれる全ての修正物及び変形物が、本明細書に包含されるものとして意図されている。

Claims (12)

1. 移動装置（ＭＥ）及びユニバーサル加入者ＩＤモジュール（ＵＳＩＭ）を含む移動局において暗号鍵を処理する方法であって、
   ＵＭＴＳの暗号鍵（ＣＫ）、完全鍵（ＩＫ）、及び暗号鍵シーケンス番号（ＣＫＳＮ）を前記ＵＳＩＭから取得するステップと、
   前記ＣＫ及び前記ＩＫから１２８ビット暗号鍵（Ｋｃ−１２８）を導出するステップと、
   前記Ｋｃ−１２８及び前記ＣＫＳＮを、前記ＵＳＩＭから離れて前記移動装置内に格納するステップと、
   １２８ビット暗号鍵を必要とする暗号化アルゴリズムが使用されるようになることを判定するステップと、
   前記ＵＳＩＭから直近のＣＫＳＮを取得するステップと、
   前記直近のＣＫＳＮを前記格納されたＣＫＳＮと比較して一致するかを検証するステップと、
   前記直近のＣＫＳＮが前記格納されたＣＫＳＮに一致する場合に、前記格納されたＫｃ−１２８を前記暗号化アルゴリズムに適用するステップと、
   を備え、
   前記格納されるＣＫＳＮは、前記格納されるＫｃ−１２８に関連付けられる
   ことを特徴とする方法。
2. 前記ＣＫ及び前記ＩＫは、パケット交換（ＰＳ）ドメインにおける動作のためのものである
   ことを特徴とする請求項１に記載の方法。
3. 前記ＣＫ及び前記ＩＫは、回線交換（ＣＳ）ドメインにおける動作のためのものである
   ことを特徴とする請求項１に記載の方法。
4. 移動装置（ＭＥ）及びユニバーサル加入者ＩＤモジュール（ＵＳＩＭ）を含む移動局において暗号鍵を処理する方法であって、
   １２８ビット暗号鍵を必要とする暗号化アルゴリズムが使用されるようになることを判定するステップと、
   ＵＭＴＳの暗号鍵（ＣＫ）、完全鍵（ＩＫ）、及び暗号鍵シーケンス番号（ＣＫＳＮ）を前記ＵＳＩＭから取得するステップと、
   前記ＣＫ及び前記ＩＫから１２８ビット暗号鍵（Ｋｃ−１２８）を導出するステップと、
   前記Ｋｃ−１２８及び前記ＣＫＳＮを、前記ＵＳＩＭから離れて前記移動装置内に格納するステップと、
   前記ＵＳＩＭから直近のＣＫＳＮを取得し、前記直近のＣＫＳＮを前記格納されたＣＫＳＮと比較するステップと、
   前記直近のＣＫＳＮが前記格納されたＣＫＳＮに一致しないという判定に応えて、
   ＵＭＴＳの新たな暗号鍵（ＣＫ）、新たな完全鍵（ＩＫ）、及び新たな暗号鍵シーケンス番号（ＣＫＳＮ）を前記ＵＳＩＭから取得し、
   前記新たなＣＫ及び前記新たなＩＫから新たなＫｃ−１２８を導出し、
   前記新たなＫｃ−１２８及び前記新たなＣＫＳＮを前記移動装置に格納する
   ステップと、
   を備え、
   前記格納されるＣＫＳＮは、前記格納されるＫｃ−１２８に関連付けられる
   ことを特徴とする方法。
5. 前記格納されたＫｃ−１２８が無効であることを判定するステップと、
   前記判定に応えて、前記格納されたＫｃ−１２８を削除するステップと、
   を更に備えることを特徴とする請求項１乃至３のいずれか１項に記載の方法。
6. 前記格納されたＫｃ−１２８が無効であることを判定する前記ステップは、下記のステップから選択される１以上のステップを含むことを特徴とする請求項５に記載の方法。
   ・前記ＵＳＩＭにおける対応するＣＫＳＮが削除された又は削除されることを検出するステップ
   ・前記ＵＳＩＭにおける回線交換サービスのための更新ステータスが“U2 NOT UPDATED”、“U3 ROAMING NOT ALLOWED”、又は“U4 UPDATING DISABLED”に変化したことを検出するステップ
   ・前記ＵＳＩＭにおけるパケット交換サービスのための更新ステータスが“GU2 NOT UPDATED”又はGU3 ROAMING NOT ALLOWED”に変化したことを検出するステップ
   ・前記ＵＳＩＭが無効化されたことを検出するステップ
7. 移動局であって、
   ユニバーサル加入者ＩＤモジュール（ＵＳＩＭ）と、
   ＵＳＩＭインタフェースを介して前記ＵＳＩＭに結合された移動装置（ＭＥ）と、
   を備え、
   前記移動装置は、
   ＵＭＴＳの暗号鍵（ＣＫ）、完全鍵（ＩＫ）、及び暗号鍵シーケンス番号（ＣＫＳＮ）を前記ＵＳＩＭから取得し、
   前記ＣＫ及び前記ＩＫから１２８ビット暗号鍵（Ｋｃ−１２８）を導出し、
   前記Ｋｃ−１２８及び前記ＣＫＳＮを、前記ＵＳＩＭから離れて前記移動装置内に格納し、
   １２８ビット暗号鍵を必要とする暗号化アルゴリズムが使用されるようになることを判定し、
   前記ＵＳＩＭから直近のＣＫＳＮを取得し、
   前記直近のＣＫＳＮを前記格納されたＣＫＳＮと比較して一致するかを検証し、
   前記直近のＣＫＳＮが前記格納されたＣＫＳＮに一致する場合に、前記格納されたＫｃ−１２８を前記暗号化アルゴリズムに適用する
   ように構成された１以上の処理回路を備え、
   前記格納されるＣＫＳＮは、前記格納されるＫｃ−１２８に関連付けられる
   ことを特徴とする移動局。
8. 前記ＣＫ及び前記ＩＫは、パケット交換（ＰＳ）ドメインにおける動作のためのものである
   ことを特徴とする請求項７に記載の移動局。
9. 前記ＣＫ及び前記ＩＫは、回線交換（ＣＳ）ドメインにおける動作のためのものである
   ことを特徴とする請求項７に記載の移動局。
10. 移動局であって、
    ユニバーサル加入者ＩＤモジュール（ＵＳＩＭ）と、
    ＵＳＩＭインタフェースを介して前記ＵＳＩＭに結合された移動装置（ＭＥ）と、
    を備え、
    前記移動装置は、
    １２８ビット暗号鍵を必要とする暗号化アルゴリズムが使用されるようになることを判定し、
    ＵＭＴＳの暗号鍵（ＣＫ）、完全鍵（ＩＫ）、及び暗号鍵シーケンス番号（ＣＫＳＮ）を前記ＵＳＩＭから取得し、
    前記ＣＫ及び前記ＩＫから１２８ビット暗号鍵（Ｋｃ−１２８）を導出し、
    前記Ｋｃ−１２８及び前記ＣＫＳＮを、前記ＵＳＩＭから離れて前記移動装置内に格納し、
    前記ＵＳＩＭから直近のＣＫＳＮを取得し、前記直近のＣＫＳＮを前記格納されたＣＫＳＮと比較し、
    前記直近のＣＫＳＮが前記格納されたＣＫＳＮに一致しないという判定に応えて、
    新たなＣＫ、新たなＩＫ、及び新たなＣＫＳＮを前記ＵＳＩＭから取得し、
    前記新たなＣＫ及び前記新たなＩＫから新たなＫｃ−１２８を導出し、
    前記新たなＫｃ−１２８及び前記新たなＣＫＳＮを前記移動装置に格納する
    ように構成された１以上の処理回路を備え、
    前記格納されるＣＫＳＮは、前記格納されるＫｃ−１２８に関連付けられる
    ことを特徴とする移動局。
11. 前記１以上の処理回路は、
    前記格納されたＫｃ−１２８が無効であることを判定し、
    前記判定に応えて、前記格納されたＫｃ−１２８を削除する
    ように更に構成される
    ことを特徴とする請求項７乃至９のいずれか１項に記載の移動局。
12. 前記１以上の処理回路は、下記のステップから選択されるステップを実行することにより、前記格納されたＫｃ−１２８が無効であることを判定するように構成される
    ことを特徴とする請求項１１に記載の移動局。
    ・前記ＵＳＩＭにおける対応するＣＫＳＮが削除された又は削除されることを検出するステップ
    ・前記ＵＳＩＭにおける回線交換サービスのための更新ステータスが“U2 NOT UPDATED”、“U3 ROAMING NOT ALLOWED”、又は“U4 UPDATING DISABLED”に変化したことを検出するステップ
    ・前記ＵＳＩＭにおけるパケット交換サービスのための更新ステータスが“GU2 NOT UPDATED”又はGU3 ROAMING NOT ALLOWED”に変化したことを検出するステップ
    ・前記ＵＳＩＭが無効化されたことを検出するステップ

Images