JP5670933B2 - 認証情報変換装置及び認証情報変換方法 - Google Patents

Description

本発明は、認証情報変換装置及び認証情報変換方法に関する。

固定通信に関する国際標準仕様を策定するITU-T（International Telecommunication Union-Telecommunication sector）では、次世代ネットワーク（NGN：Next Generation Network）としてパケットベースのネットワークを経てサービスが提供されるネットワークアーキテクチャを規定している。NGNでは、パケットベースの広帯域ネットワーク上で品質を保証し、電話・IPTV（Internet Protocol TeleVision）・インターネット等の複数サービスを一つのネットワーク上で提供することを規定している。

また、移動通信に関する国際標準仕様を策定する3GPP（3rd Generation Partnership Project）でも、ネットワークをすべてIP（Internet Protocol）で構築することを前提としたEPS（Evolved Packet System）を規定している。EPSは、3.9世代の無線インタフェースであるLTE（Long Term Evolution）ですべての信号、ユーザ情報をIP転送することを前提とし、コアネットワークにはLTEに対応したIPパケットコアであるEPC（Evolved Packet Core）を規定している（非特許文献１参照）。

LTEは、無線アクセスネットワークとしてE-UTRAN（Evolved Universal Terrestrial Radio Access Network）を規定し、下り最大100Mbps、上り最大50Mbps程度以上をシステム設計の条件として想定しており、小さい遅延（往復パケット転送遅延は10ms）、異なるサービス品質（QoS：Quality of Service）を提供することができる。一方のコアネットワークであるEPCでは、IP上で移動管理、パケット通信セッションの設定・解放、ハンドオーバ、パケットのルーティングを行う。

NGNやEPSでは、VoIP（Voice over Internet Protocol）による電話サービスを提供するため、IMS（IP Multimedia Subsystem）によるサービス制御を行う。IMSは、3GPPで策定され、音声・映像等の通信サービスをSIP（Session Initiation Protocol）で制御するため（非特許文献２参照）、アプリケーションレベルでのユーザ認証、セッション制御、QoS制御のためのポリシ制御機能との連携、課金などの機能を持つ。また、移動通信ネットワーク、固定通信ネットワークに共通的なIMS仕様（Common IMS）の策定が進められている（非特許文献３参照）。

現在、ネットワークサービスの利用には当該のネットワーク事業者との契約が必要とされる。移動ネットワーク、固定ネットワークでは、各ネットワークのサービスを利用する端末はネットワーク事業者との契約で決められたものに限られる。

図１にIMS等の制御プラットホームのサーバやゲートウェイ（エッジルータ）を使ったユーザ認証方式の概要を示す。

図１（Ａ）に示すように、移動端末は、移動ネットワークの認証装置に対して認証を実施する。認証装置は、移動端末上に保存されたユーザ識別情報（ユーザID）及び秘密鍵と、加入者情報サーバ（HSS：Home Subscriber Server）上に保存されたユーザ識別情報及び秘密鍵とを用いて、AKA（Authentication and Key Agreement）認証を実施する。認証が完了した場合、移動端末は、移動ネットワーク事業者が提供する移動向けサービスを利用することができる。

また、図１（Ｂ）に示すように、固定端末は、固定ネットワークの認証装置に対して認証を実施する。認証装置は、固定端末のユーザ識別情報（ユーザID）及びゲートウェイ（HGW：home gateway）からの回線位置と、加入者情報サーバ（HSS）上に保存されたユーザ識別情報及び回線位置とを突き合わせることにより、認証を実施する。認証が完了した場合、固定端末は、固定ネットワーク事業者が提供する固定向けサービスを利用することができる。

図２に、移動ネットワークにおけるネットワークアクセス時の認証及びサービス制御プラットホームの認証を示す。

移動ネットワークでは、移動端末の通信サービス開始時に通信路を設定する。通信サービス開始時に、移動端末は、移動コアネットワークの認証装置であるゲートウェイ（MME：Mobility Management Entity）に対して、移動端末上に保存されたSIM（Subscriber Identity Module）カードのユーザIDを通知する（Ｓ１１）。これに対して、ゲートウェイはHSSに対して認証データを要求し（Ｓ１２）、乱数と、認証トークン及び期待するレスポンス値を含む認証ベクトルを受信する（Ｓ１３）。ゲートウェイは、この認証ベクトルから、認証トークンを取り出して移動端末に通知する（Ｓ１４）。移動端末は認証トークンの情報を移動端末上の秘密鍵を用いて解析し、ゲートウェイに対して認証トークンに対するレスポンスを生成する（Ｓ１５、Ｓ１６）。移動端末から送られたレスポンス値と認証ベクトルの期待するレスポンス値との比較により、ゲートウェイはレスポンスが正しいものかどうかを検証する。以上の手順により、移動コアネットワークはネットワークアクセスが正規のユーザによるものであると認証して、通信路の設定を行う。

また、通信路設定後にIMS等の制御プラットホームに接続する際には、通信路の設定後に、移動端末は、IMS内のサービス認証サーバに対してREGISTER信号を送信する際に、通信路の設定手順と同様にユーザIDを通知する（Ｓ２１）。これに対してIMS内のサービス認証サーバ（S-CSCF：Serving Call Session Control Function）がHSSに対して認証データを要求し（Ｓ２２）、乱数と、認証トークン及び期待するレスポンス値を含む認証ベクトルを受信する（Ｓ２３）。サービス認証サーバは、この認証ベクトルから、認証トークンを取り出して移動端末に通知する（Ｓ２４）。移動端末は、このベクトルに対する正しい応答を秘密鍵を用いて解析し、サービス認証サーバに対して認証トークンに対するレスポンスを生成する（Ｓ２５、Ｓ２６）。移動端末から送られたレスポンス値と認証ベクトルの期待するレスポンス値との比較により、サービス認証サーバはレスポンスが正しいものかどうかを検証する。以上の手順により、IMSでの認証が行われる。

図３に、固定ネットワークにおけるIPアドレス払い出し時の認証及びサービス制御プラットホームの認証を示す。

固定ネットワークでは移動ネットワークの認証とは異なる認証方式を採用している。固定ネットワークの認証の流れを以下に示す。まず固定端末の固定ネットワークへの接続時に端末からアドレスの払い出し要求が行われる（Ｓ３１）。これを固定ネットワーク内のゲートウェイ（エッジルータ）が受信すると、ゲートウェイの物理的に配線された回線の収容位置情報（アクセスライン情報、物理ポート番号、VLAN ID等）を用いてネットワーク内の加入者情報サーバ（HSS）にアドレスの払い出しを要求する（Ｓ３２、Ｓ３３）。これにより物理的に配線されたゲートウェイの回線収容位置をユーザの特定に用いることで、正規のユーザによるネットワークへの接続要求であることを確認し、ネットワーク内で利用可能なアドレスの払い出しを行う（Ｓ３４、Ｓ３５、Ｓ３６）（非特許文献３参照）。

また、固定ネットワークでは、明示的にユーザIDを示すことによる認証も可能である。固定ネットワークへの接続時に端末からアドレスの払い出し要求が行われる（Ｓ３１）。このとき、ユーザIDが合わせて送られ、これを固定ネットワーク内のゲートウェイ（エッジルータ）が受信すると、ゲートウェイの物理的に配線された回線の収容位置情報（アクセスライン情報、物理ポート番号、VLAN ID等）を用いてネットワーク内の加入者情報サーバ（HSS）にアドレスの払い出しを要求する（Ｓ３２、Ｓ３３）。これにより物理的に配線されたゲートウェイの回線収容位置をユーザの特定に用いることで、正規のユーザによるネットワークへの接続要求であることを確認し、ネットワーク内で利用可能なアドレスの払い出しを行う（Ｓ３４、Ｓ３５、Ｓ３６）（非特許文献３参照）。

さらに、固定ネットワークでIMSを使ったサービスを利用する場合には、固定端末は、REGISTER信号の送信時にIMS内のサービス認証サーバにユーザIDを通知する（Ｓ４１）。これに対して、サービス認証サーバは、HSSに認証データ（ユーザID及びIPアドレス）を要求し（Ｓ４２、Ｓ４３）、ユーザIDと認証信号の送信元のIPアドレスの組み合わせの一致により正規のユーザによる信号か否かを判定する。なお、HSSはユーザIDとIPアドレスとの対応を保持している。以上の手順により、IMSでの認証が行われる。

サービスプロバイダ側でも端末利用ユーザの認証をすることで、サービスへの契約の有無によるサービス利用可否の認証を行う。この時、ネットワーク側の回線レベルの認証と合わせて認証を行うことで、ユーザによるユーザ名・パスワードの入力が不要になり、手間を削減しながら、強固な認証を行うことができる。この時の認証情報は、HSSに格納された情報を用いる。すなわち、移動ネットワークであればユーザIDと秘密鍵とを基におこない、固定ネットワークであればユーザIDと回線情報との関係を基に行う。

一方、外国等でも携帯電話で通信を利用できるように、移動体通信事業者間の提携により、利用者が契約しているサービス事業者のサービスエリア外であっても、提携先の事業者のエリア内にあれば、元の事業者と同様のサービスを利用可能とするローミング機能がある。在圏ネットワークとホームネットワークとの間で移動管理、セキュリティ制御、加入者認証を連携して実施することにより、ローミング機能が実現できる。

図４に、3GPP標準によるローミング時の接続アーキテクチャを示す。移動端末がホームIPネットワークから別のIPネットワーク（在圏IPネットワーク）に移動した場合、ホームIPネットワークのHSSと在圏IPネットワークのMMEとが移動管理やセキュリティ制御を実施する。IPパケットの伝達経路は、ホームIPネットワークのP-GW（PDN Gateway）と在圏IPネットワークのS-GW（Serving Gateway）との間で設定する。このようにして、在圏IPネットワークからホームIPネットワークのサービスを利用できる。

このようなローミングはLTEやHSPA（High Speed Packet Access）などの3GPP標準で規定されたネットワークに限定されず、固定系ネットワークも含めた非3GPP標準で規定されたネットワークでのローミングの規定も行われている（非特許文献４参照）。

また、公衆無線LAN（Local Area Network）サービスを使ったインターネットアクセスにおいても、公衆無線LAN事業者間の提携によって、利用者が契約しているサービス事業者のサービス提供エリア外であっても、提携事業者のエリア内であれば提携先事業者のネットワークを介してインターネットにアクセスすることができる。これを実現するため、Wireless Broadband Allianceでは、WRIX（Wireless Roaming Intermediary Exchange）仕様により、公衆無線LANサービスの事業者間の接続インタフェースを規定している。WRIXでは、無線LANサービスを利用しようとしている加入者のアクセス制御、課金情報の交換するため、RADIUS（Remote Authentication Dial In User Service）を用いている。

3GPP TS 23.401, "General Packet Radio Service (GPRS) enhancements for Evolved Universal Terrestrial Radio Access Network (E-UTRAN) access", V10.4.0, 2011-06 3GPP TS 23.228, "IP Multimedia Subsystem (IMS); Stage 2 (Release 11)", V11.0.0, 2011-03 ETSI ES 282 004, "Network Attachment Sub-System (NASS)", V1.1.1, 2006-06 3GPP TS 23.402, "Architecture enhancements for non-3GPP accesses (Release 10)", V10.3.0, 2011-03

既存ネットワークサービスでは、契約している通信事業者の提供サービス（電話、インターネットアクセス等）を利用することを前提としてネットワークが構築されており、ローミングにより他の事業者ネットワークを介してサービスを利用する場合にもホームネットワークで提供するサービスが提供される。

図５に、現状の事業者間でのサービスの接続可否を示す。

既存ネットワークサービスでは、事業者Aの契約ユーザは、事業者Aの提供するサービスを利用することができる。事業者Aの契約ユーザが事業者Bのネットワークにローミングした場合でも、事業者Aの契約ユーザは、事業者Aの提供するサービスを利用することができる。しかし、事業者Aの契約ユーザは、事業者Bの提供するサービスを利用することはできない。また、事業者Aの契約ユーザが事業者Bのネットワークにローミングした場合でも、事業者Aの契約では、事業者Bの提供するサービスを利用することはできない。

このため、各通信事業者は同種のアプリケーションサービスを個別に設備構築することになり、結果として、事業者全体での設備構築費用の増加につながる。

本発明は、ネットワーク事業者間の認証機能を連携して、異なる事業者間で端末とサービスとを相互に接続可能にすることを目的とする。

本発明の認証情報変換装置は、
移動ネットワークである第１のネットワークの認証情報と固定ネットワークである第２のネットワークの認証情報とを格納する認証情報格納部と、
第１のネットワークの認証装置での認証が完了した場合、第１のネットワークの認証装置からユーザ識別情報を取得し、
第１のネットワークの加入者情報サーバから、取得したユーザ識別情報に対応する認証トークン及び期待するレスポンス値を含む認証データを取得し、
取得した認証トークンを用いて第１のネットワークの認証装置に認証を要求し、
取得した認証トークンを用いて第１のネットワークの認証装置に認証を要求することで第１のネットワークの認証装置から送られたレスポンス値と第１のネットワークの加入者サーバから取得した期待するレスポンス値との比較により認証を実施し、認証が完了した場合、前記認証情報格納部から、認証が完了した第１のネットワークの認証情報に基づいて第２のネットワークの認証情報を取得する認証情報取得部と、
取得した第２のネットワークの認証情報を用いて第２のネットワークの認証装置に対して認証を要求する認証要求部と、
を有することを特徴とする。
また、本発明の認証情報変換装置は、
固定ネットワークである第１のネットワークの認証情報と移動ネットワークである第２のネットワークの認証情報とを格納する認証情報格納部と、
第１のネットワークの認証装置での認証が完了した場合、第１のネットワークの認証装置からユーザ識別情報を取得し、
第１のネットワークの加入者情報サーバから、取得したユーザ識別情報に対応する回線情報を取得し、
取得したユーザ識別情報及び回線情報と前記認証情報格納部の第１のネットワークの認証情報との比較により認証を実施し、認証が完了した場合、前記認証情報格納部から、認証が完了した第１のネットワークの認証情報に基づいて第２のネットワークの認証情報を取得する認証情報取得部と、
取得した第２のネットワークの認証情報を用いて第２のネットワークの認証装置に対して認証を要求する認証要求部と、
を有することを特徴とする。

また、本発明の認証情報変換方法は、
認証情報変換装置における認証情報変換方法であって、
移動ネットワークである第１のネットワークの認証装置での認証が完了した場合、第１のネットワークの認証装置からユーザ識別情報を取得するステップと、
第１のネットワークの加入者情報サーバから、取得したユーザ識別情報に対応する認証トークン及び期待するレスポンス値を含む認証データを取得するステップと、
取得した認証トークンを用いて第１のネットワークの認証装置に認証を要求するステップと、
取得した認証トークンを用いて第１のネットワークの認証装置に認証を要求することで第１のネットワークの認証装置から送られたレスポンス値と第１のネットワークの加入者サーバから取得した期待するレスポンス値との比較により認証を実施し、認証が完了した場合、第１のネットワークの認証情報と固定ネットワークである第２のネットワークの認証情報とを格納する前記認証情報変換装置の認証情報格納部から、認証が完了した第１のネットワークの認証情報に基づいて第２のネットワークの認証情報を取得するステップと、
取得した第２のネットワークの認証情報を用いて第２のネットワークの認証装置に対して認証を要求するステップと、
を有することを特徴とする。
また、本発明の認証情報変換方法は、
認証情報変換装置における認証情報変換方法であって、
固定ネットワークである第１のネットワークの認証装置での認証が完了した場合、第１のネットワークの認証装置からユーザ識別情報を取得するステップと、
第１のネットワークの加入者情報サーバから、取得したユーザ識別情報に対応する回線情報を取得するステップと、
取得したユーザ識別情報及び回線情報と、第１のネットワークの認証情報と移動ネットワークである第２のネットワークの認証情報とを格納する前記認証情報変換装置の認証情報格納部に格納された第１のネットワークの認証情報との比較により認証を実施し、認証が完了した場合、前記認証情報変換装置の認証情報格納部から、認証が完了した第１のネットワークの認証情報に基づいて第２のネットワークの認証情報を取得するステップと、
取得した第２のネットワークの認証情報を用いて第２のネットワークの認証装置に対して認証を要求するステップと、
を有することを特徴とする。

本発明によれば、異なる事業者間で端末とサービスとを相互に接続することが可能になる。

移動ネットワーク及び固定ネットワークの認証方式の概要を示す図 移動ネットワークにおけるネットワークアクセス時の認証及びサービス制御プラットホームの認証を示すシーケンス図 固定ネットワークにおけるIPアドレス払い出し時の認証及びサービス制御プラットホームの認証を示すシーケンス図 3GPP標準によるローミング時の接続アーキテクチャを示す図 現状の事業者間でのサービスの接続可否を示す図 本発明の実施例を適用した場合のサービスの接続可否を示す図 本発明の実施例に係る通信システムの概略図 既存の移動ネットワーク及び固定ネットワークの認証方式を示す図 本発明の実施例に係る認証情報変換装置の構成図 本発明の実施例に係る認証情報変換装置に格納される変換テーブルの図 本発明の実施例に係る認証情報変換装置を移動ネットワーク及び固定ネットワークに適用したときの概略図 本発明の実施例に従って移動端末から固定ネットワークに接続する際の認証情報変換方法のシーケンス図 本発明の実施例に従って固定端末から移動ネットワークに接続する際の認証情報変換方法のシーケンス図

以下、本発明の実施例について詳細に説明する。

図６に、本発明の実施例を適用した場合のサービスの接続可否を示す。

本発明の実施例では、図６に示すように端末が異なる事業者のネットワーク上のサービスを利用できるようにする。図５を参照して説明した通り、既存ネットワークサービスでは、事業者Aの契約ユーザは、事業者Bの提供するサービスを利用することはできない。また、事業者Aの契約ユーザが事業者Bのネットワークにローミングした場合でも、事業者Aの契約ユーザは、事業者Bの提供するサービスを利用することはできない。この理由は、各ネットワークへの接続認証はネットワーク毎に異なる方式が用いられているためである。

これに対して、本発明の実施例では、事業者Aの契約ユーザが事業者Bの提供するサービスを利用できるようにする。また、事業者Aの契約ユーザが事業者Bのネットワークにローミングした場合でも、事業者Aの契約ユーザが事業者Bの提供するサービスを利用できるようにする。

このようにすることにより、通信事業者が全てのサービス提供設備を構築せずに他事業者のサービス提供設備を利用してサービス提供できるため、設備構築費用が抑えられ、結果としてサービスバリエーションを拡大できる可能性がある。

図７に、本発明の実施例に係る通信システムの概略図を示す。

本発明の実施例では、異なる通信事業者A及びBのネットワーク上で端末とサービスとを相互に接続可能とするために、事業者Aの認証装置と事業者Bの認証装置との間に認証情報変換装置１０を設ける。認証情報変換装置１０は、事業者A及びBの認証機能を連携して、一方のネットワークに接続した端末から他方のネットワークに接続したサービスへユーザの正当性が確認できるように認証情報・加入者情報を共用・変換する。

具体的には、事業者Bの契約ユーザが事業者Bの認証装置で認証が完了した場合、認証情報変換装置１０は、事業者Bの認証情報を事業者Aの認証情報に変換し、事業者Aの認証装置で認証を実施する。事業者Aの認証装置で認証が完了した場合、認証情報変換装置１０は、事業者Bの契約ユーザが事業者Aの提供するサービスに接続できるようにする。同様に、認証情報変換装置１０は、事業者Aの契約ユーザが事業者Bの提供するサービスに接続できるようにする。

図８に、既存の移動ネットワーク及び固定ネットワークの認証方式を示す。

移動ネットワークではユーザIDにIMSI（International Mobile Subscriber Identity）を用い、端末と認証装置との間で同一の秘密鍵を有することを確認することで、認証を行う。移動ネットワークでの認証方式の例については、図２を参照して説明した通りである。

一方で、固定ネットワークでは固定回線が収容されたゲートウェイ上の回線情報（回線収容位置）と端末が送信するユーザID（NASS User ID）とを用いて、認証装置が加入者情報としてHSSに登録された内容の合致を確認することで認証が行われる。固定ネットワークでの認証方式の例については、図３を参照して説明した通りである。なお、回線情報は、固定回線が収容されたポートでもよく、ポート情報を基に払い出されるネットワークアドレス（IPアドレス）でもよい。

本発明では、異なる事業者間で認証情報を変換、連携することにより端末が本来の契約事業者と異なるネットワーク事業者のサービスに接続できるようにするものである。

＜認証情報変換装置の構成＞
図９に、本発明の実施例に係る認証情報変換装置１０の構成図を示す。また、図１０に、本発明の実施例に係る認証情報変換装置１０に格納される変換テーブルを示す。

認証情報変換装置１０は、認証情報格納部１０１と、認証情報取得部１０３と、認証要求部１０５とを有する。認証情報変換装置１０は、ネットワークAの認証装置とネットワークBの認証装置とに接続されている。以下の説明では、ネットワークAの契約ユーザがネットワークBの提供するサービスに接続する場合について説明する。

認証情報格納部１０１は、ネットワークAの認証情報とネットワークBの認証情報とを格納する。図１０（Ａ）に示すように、認証情報格納部１０１は、ユーザ毎に、ネットワークAの認証情報とネットワークBの認証情報とを対応付けて格納してもよい。例えば、認証情報格納部１０１は、ユーザAがネットワークAに接続するためのユーザID及び秘密鍵（440109012345678,K1）と、ユーザAがネットワークBに接続するためのユーザID及び回線位置（0312345678,ポート1）とを対応付けて格納してもよく、ユーザBがネットワークAに接続するためのユーザID及び秘密鍵（440109087654321,K2）と、ユーザBがネットワークBに接続するためのユーザID及び回線位置（0387654321,ポート2）とを対応付けて格納してもよい。或いは、図１０（Ｂ）に示すように、認証情報格納部１０１は、ユーザA及びBがネットワークAに接続するためのユーザID及び秘密鍵（440109012345678,K1）,（440109087654321,K2）を格納し、また、ネットワークAでの認証が完了したユーザに対して自動的にネットワークBでの接続を許可するためのネットワークA及びBの間で合意された認証情報（03011112222,ポート10）,（03011113333,ポート20）を格納してもよい。なお、図１０では、固定ネットワークの回線情報として、固定回線が収容されたポートが示されているが、固定ネットワークの回線情報は、ポート情報を基に払い出されるネットワークアドレス（IPアドレス）でもよい。また、図１０において認証情報格納部１０１はユーザ毎に認証情報を格納しているが、認証情報格納部１０１は、事業者毎に認証情報を格納してもよい。この場合、ユーザ毎の管理は不要である。事業者毎に認証情報が管理される場合、ユーザIDの代わりに事業者ID（事業者名、ドメイン名等）が使用される。事業者IDは、端末からのネットワークアクセス時に使用されるユーザID等から判別可能である。

認証情報取得部１０３は、ネットワークAの認証装置での認証が完了した場合、認証情報格納部１０１から、ネットワークAの認証情報に基づいてネットワークBの認証情報を取得する。例えば、図１０（Ａ）に示すように、ユーザAがネットワークAに接続するための認証情報と、ユーザAがネットワークBに接続するための認証情報とが認証情報格納部１０１において対応付けられている場合、認証情報取得部１０３は、ユーザAのネットワークAでの認証情報に対応するユーザAのネットワークBでの認証情報を取得する。例えば、図１０（Ｂ）に示すように、ネットワークAでの認証が完了したユーザに対して自動的にネットワークBでの接続を許可するためのネットワークA及びBの間で合意された認証情報が認証情報格納部１０１において格納されている場合、認証情報取得部１０３は、ユーザAのネットワークAでの認証情報により正当なユーザであることが確認できた場合、ネットワークA及びBの間で合意された認証情報のうち１つを取得する。この際、認証情報格納部１０１において認証情報が使用されているか未使用であるかを管理しておき、認証情報取得部１０３は、未使用の認証情報を取得してもよい。

認証要求部１０５は、認証情報格納部１０３で取得した認証情報を用いてネットワークBの認証装置に対して認証を要求する。認証要求部１０５がネットワークBの認証装置で認証が完了すると、ユーザAは、ネットワークAに対してネットワークAの認証情報を用いて通信可能になり、ネットワークBに対してネットワークBの認証情報を用いて通信可能になる。

図９及び図１０では、ネットワークAの契約ユーザがネットワークBの提供するサービスに接続する場合について説明したが、ネットワークBの契約ユーザがネットワークAの提供するサービスに接続する場合も同様である。また、認証情報格納部１０１において２つ以上のネットワーク（ネットワークA,B,C,...）の認証情報を格納することにより、ネットワークAの契約ユーザが２つ以上のネットワーク（ネットワークB,C,...）の提供するサービスに接続することが可能になる。

図１１に、本発明の実施例に係る認証情報変換装置１０を移動ネットワーク及び固定ネットワークに適用したときの概略図を示す。

図８に示す通り、一般的に、ユーザの通信を管理するために用いるユーザIDとユーザを認証するために用いる情報とは、ネットワーク毎に異なる。移動ネットワークでは、移動ネットワークが用いるユーザID（IMSI）と鍵情報とが用いられ、固定ネットワークでは、固定ネットワークが用いるユーザID（NASS User ID）と回線情報（回線位置）とが用いられる。

図９及び図１０を参照して説明した通り、認証情報変換装置１０において、ユーザ毎又は事業者毎に変換対象となるユーザIDとユーザを認証するために用いる情報との対応を定義したテーブルを生成する。認証フェーズにおいては、ネットワークに適したユーザID及び認証するために用いる情報により認証を行う。端末が移動ネットワークからアクセスする場合、IMSI及び秘密鍵により端末の認証を行い、固定ネットワークに接続するために、固定ネットワークのNASS User ID及び回線情報を割り当てる。一方、端末が固定ネットワークからアクセスする場合、NASS User ID及び回線情報により端末の認証を行い、移動ネットワークに接続するために、移動ネットワークのIMSI及び秘密鍵を割り当てる。

認証が完了した後の通信中は、ユーザの通信を識別する情報（秘密鍵又は回線情報）によりユーザを識別する。移動ネットワークでは、IMSIと秘密鍵との組み合わせの整合によりユーザを識別し、固定ネットワークでは、NASS User IDと回線情報との整合によりユーザを識別する。通信中は、識別したユーザのユーザID及びユーザを認証するために用いる情報（回線情報又は秘密鍵）を、接続先のネットワークに適したユーザID及び情報に変換して通信を行う。このように、認証情報変換装置１０は、ユーザID及びユーザを認証するために用いる情報を双方向に変換する。

＜認証情報変換方法の流れ＞
以下に、移動・固定業者間で連携して認証処理を実施する流れを示す。なお、以下の説明では認証方式の異なる固定・移動ネットワーク間で認証情報を変換する方法について説明するが、同種の認証方法を使った事業者間でも互いに認証情報を保有することにより、以下に説明する方法と同様にして対応可能である。

図１２に、本発明の実施例に従って移動端末から固定ネットワークに接続する際の認証情報変換方法のシーケンス図を示す。

移動端末と移動ネットワークの認証は、例えば図２を参照して説明した通りに行われる。ネットワークアクセス時に、移動端末は、移動ネットワークの認証装置に対して、ユーザID（IMSI）を通知する（Ｓ１０１）。これに対して、認証装置は移動ネットワークのHSSに対して認証データを要求し（Ｓ１０２）、秘密鍵から生成された認証ベクトル（乱数、認証トークン及び期待するレスポンス値）を受信する（Ｓ１０３）。認証装置は、この乱数及び認証トークンを移動端末に通知する（Ｓ１０４）。移動端末は認証トークンの情報を移動端末上の秘密鍵を用いて解析し、認証装置に対して認証トークンに対するレスポンスを生成し、認証装置に通知する（Ｓ１０５）。移動端末から送られたレスポンス値と認証ベクトルの期待するレスポンス値との比較により、認証装置はレスポンスが正しいものかどうかを検証し、認証結果を移動端末に通知する（Ｓ１０６）。

このように移動端末と移動ネットワークとの認証が完了すると、移動ネットワークの認証装置は、移動端末と固定ネットワークとの通信のために、認証情報変換装置に対して移動端末のIMSIで示されるユーザとしてアクセスする（Ｓ１０７）。認証情報変換装置は、アクセス元のIMSIを移動ネットワークのHSSに通知することにより（Ｓ１０８）、HSSから認証データ（乱数、認証トークン及び期待するレスポンス値）を取得し（Ｓ１０９）、移動ネットワークの認証装置に対して認証を要求する（Ｓ１１０）。認証装置は認証トークンの情報を認証装置上の秘密鍵を用いて解析し、認証情報変換装置に対して認証トークンに対するレスポンスを生成し、認証情報変換装置に通知する（Ｓ１１１）。認証装置から送られたレスポンス値と期待するレスポンス値との比較により、認証情報変換装置はレスポンスが正しいものかどうかを検証し、認証結果を認証装置に通知する（Ｓ１１２）。

図１０に示すように、認証情報変換装置は、移動ネットワークのIMSI及び鍵情報と、固定ネットワークのユーザID（NASS User ID）及び回線位置とを記憶している。移動ネットワークの認証装置から正しい応答が得られたことを確認すると、認証情報変換装置は、固定ネットワークの認証装置に対して予めIMSIで示されるユーザに関連付けられた固定ネットワークのユーザID（NASS User ID）の回線IDによりアクセスする（Ｓ１１３）。固定ネットワークの認証装置は、固定ネットワークのHSSに対して認証データを要求し（Ｓ１１４）、固定ネットワークのユーザID（NASS User ID）と、固定ユーザの回線情報（回線位置）を取得する（Ｓ１１５）。この情報を基に、認証装置は認証情報変換装置が正しいユーザIDと回線情報を用いてアクセスしていることを確認し、通信の正当性を確認する。そして、認証装置は認証結果を認証情報変換装置に通知する（Ｓ１１６）。

以上のように、移動ネットワークの認証装置は、IMSI及び秘密鍵を記憶し、正しい組み合わせの通信のみ許可する。また、固定ネットワークの認証装置は、NASS User ID及び回線情報を記憶し、正しい組み合わせの通信のみ許可する。そして、認証情報変換装置は、移動ネットワークのユーザが固定ネットワーク内では固定ネットワークのユーザとして通信できるように、ユーザIDとそのユーザIDが通信していることを保証する情報（秘密鍵、回線位置）を変換する。

図１３に、本発明の実施例に従って固定端末から移動ネットワークに接続する際の認証情報変換方法のシーケンス図を示す。

固定端末と固定ネットワークの認証は、例えば図３を参照して説明した通りに行われる。ネットワークアクセス時に、固定端末は、固定ネットワークの認証装置に対して、ユーザID（NASS User ID）を通知する（Ｓ３０１）。これに対して、認証装置は固定ネットワークのHSSに対して認証データを要求し（Ｓ３０２）、ユーザIDに対応する回線情報（回線位置）を受信する（Ｓ３０３）。認証装置は、受信した回線情報と固定端末がアクセスする回線位置とを比較し、回線位置が正しい場合に、固定端末にIPアドレスを払い出す（Ｓ３０４）。

このように固定端末と固定ネットワークとの認証が完了すると、固定端末は、固定端末と移動ネットワークとの通信のために、認証情報変換装置に対して、固定ネットワークの認証装置を介して固定端末のNASS User IDで示されるユーザとしてアクセスする（Ｓ３０５、Ｓ３０６）。認証情報変換装置は、アクセス元のNASS User IDを固定ネットワークのHSSに通知することにより（Ｓ３０７）、HSSから認証データ（回線情報）を取得し、固定端末を認証する（Ｓ３０８）。検証結果は、認証装置を介して固定端末に通知される（Ｓ３０９、Ｓ３１０）。

図１０に示すように、認証情報変換装置は、移動ネットワークのIMSI及び鍵情報と、固定ネットワークのユーザID（NASS User ID）及び回線位置とを記憶している。認証情報変換装置において固定端末を認証すると、認証情報変換装置は、移動ネットワークの認証装置に対して予めNASS User IDで示されるユーザに関連付けられた移動ネットワークのユーザID（IMSI）によりアクセスする（Ｓ３１１）。移動ネットワークの認証装置は、移動ネットワークのHSSに対して認証データを要求し（Ｓ３１２）、秘密鍵から生成された認証ベクトル（乱数、認証トークン及び期待するレスポンス値）を取得する（Ｓ３１３）。認証装置は、この乱数及び認証トークンを認証情報変換装置に通知する（Ｓ３１４）。認証情報変換装置は認証トークンの情報を認証情報変換装置上の秘密鍵を用いて解析し、認証装置に対して認証トークンに対するレスポンスを生成し、認証装置に通知する（Ｓ３１５）。認証情報変換装置から送られたレスポンス値と認証ベクトルの期待するレスポンス値との比較により、認証装置はレスポンスが正しいものかどうかを検証し、認証結果を認証情報変換装置に通知する（Ｓ３１６）。

以上のように、固定ネットワークの認証装置は、NSSS User ID及び回線情報を記憶し、正しい組み合わせの通信のみ許可する。また、移動ネットワークの認証装置は、IMSI及び秘密鍵を記憶し、正しい組み合わせの通信のみ許可する。そして、認証情報変換装置は、固定ネットワークのユーザが移動ネットワーク内では移動ネットワークのユーザとして通信できるように、ユーザIDとそのユーザIDが通信していることを保証する情報（秘密鍵、回線位置）を変換する。

＜本発明の実施例の効果＞
本発明の実施例によれば、異なる事業者間で端末とサービスとを相互に接続することが可能になる。

また、事業者間で類似するアプリケーション設備を統合することができ、通信事業者のアプリケーション機能を利用して他事業者の契約者にサービスを提供することができる。その結果、アプリケーション設備の利用効率が向上し、事業者の収益性の向上につながる。

また、アプリケーション機能を持たない事業者にとっては、他事業者が提供済のアプリケーションを活用して自社のサービスとして提供することにより、安価・迅速に新サービスを提供可能になる。

移動・固定ネットワークのようにネットワークの種類が異なる事業者間の協業が可能になり、利用シーンの異なる端末においてもサービスを継続的に提供できる。その結果、より魅力的なネットワークサービスが提供可能となり、事業者の収益性の向上につながる。

説明の便宜上、本発明の実施例に係る装置は機能的なブロック図を用いて説明しているが、本発明の装置は、ハードウェア、ソフトウェア又はそれらの組み合わせで実現されてもよい。また、各機能部が必要に応じて組み合わせて使用されてもよい。

説明の便宜上、本発明の実施例に係る方法は処理の流れを示すフローチャートを用いて説明しているが、本発明の方法は、実施例に示す順序と異なる順序で実施されてもよい。

以上、本発明の実施例について説明したが、本発明は、上記の実施例に限定されることなく、特許請求の範囲内において、種々の変更・応用が可能である。

１０ 認証情報変換装置
１０１ 認証情報格納部
１０３ 認証情報取得部
１０５ 認証要求部

Claims (6)

1. 移動ネットワークである第１のネットワークの認証情報と固定ネットワークである第２のネットワークの認証情報とを格納する認証情報格納部と、
   第１のネットワークの認証装置での認証が完了した場合、第１のネットワークの認証装置からユーザ識別情報を取得し、
   第１のネットワークの加入者情報サーバから、取得したユーザ識別情報に対応する認証トークン及び期待するレスポンス値を含む認証データを取得し、
   取得した認証トークンを用いて第１のネットワークの認証装置に認証を要求し、
   取得した認証トークンを用いて第１のネットワークの認証装置に認証を要求することで第１のネットワークの認証装置から送られたレスポンス値と第１のネットワークの加入者サーバから取得した期待するレスポンス値との比較により認証を実施し、認証が完了した場合、前記認証情報格納部から、認証が完了した第１のネットワークの認証情報に基づいて第２のネットワークの認証情報を取得する認証情報取得部と、
   取得した第２のネットワークの認証情報を用いて第２のネットワークの認証装置に対して認証を要求する認証要求部と、
   を有する認証情報変換装置。
2. 固定ネットワークである第１のネットワークの認証情報と移動ネットワークである第２のネットワークの認証情報とを格納する認証情報格納部と、
   第１のネットワークの認証装置での認証が完了した場合、第１のネットワークの認証装置からユーザ識別情報を取得し、
   第１のネットワークの加入者情報サーバから、取得したユーザ識別情報に対応する回線情報を取得し、
   取得したユーザ識別情報及び回線情報と前記認証情報格納部の第１のネットワークの認証情報との比較により認証を実施し、認証が完了した場合、前記認証情報格納部から、認証が完了した第１のネットワークの認証情報に基づいて第２のネットワークの認証情報を取得する認証情報取得部と、
   取得した第２のネットワークの認証情報を用いて第２のネットワークの認証装置に対して認証を要求する認証要求部と、
   を有する認証情報変換装置。
3. 前記認証情報格納部は、予め設定された第２のネットワークの認証情報を格納し、
   前記認証情報取得部は、第１のネットワークの認証装置での認証が完了した場合、前記認証情報取得部に格納された第２のネットワークの認証情報のうち１つを取得する、請求項１又は２に記載の認証情報変換装置。
4. 前記認証情報格納部は、ユーザ毎又は事業者毎に、第１のネットワークの認証情報と第２のネットワークの認証情報とを対応付けて格納し、
   前記認証情報取得部は、第１のネットワークの認証装置での認証が完了した場合、第１のネットワークの認証情報に含まれるユーザ識別情報又は事業者識別情報に対応する第２のネットワークの認証情報を取得する、請求項１又は２に記載の認証情報変換装置。
5. 認証情報変換装置における認証情報変換方法であって、
   移動ネットワークである第１のネットワークの認証装置での認証が完了した場合、第１のネットワークの認証装置からユーザ識別情報を取得するステップと、
   第１のネットワークの加入者情報サーバから、取得したユーザ識別情報に対応する認証トークン及び期待するレスポンス値を含む認証データを取得するステップと、
   取得した認証トークンを用いて第１のネットワークの認証装置に認証を要求するステップと、
   取得した認証トークンを用いて第１のネットワークの認証装置に認証を要求することで第１のネットワークの認証装置から送られたレスポンス値と第１のネットワークの加入者サーバから取得した期待するレスポンス値との比較により認証を実施し、認証が完了した場合、第１のネットワークの認証情報と固定ネットワークである第２のネットワークの認証情報とを格納する前記認証情報変換装置の認証情報格納部から、認証が完了した第１のネットワークの認証情報に基づいて第２のネットワークの認証情報を取得するステップと、
   取得した第２のネットワークの認証情報を用いて第２のネットワークの認証装置に対して認証を要求するステップと、
   を有する認証情報変換方法。
6. 認証情報変換装置における認証情報変換方法であって、
   固定ネットワークである第１のネットワークの認証装置での認証が完了した場合、第１のネットワークの認証装置からユーザ識別情報を取得するステップと、
   第１のネットワークの加入者情報サーバから、取得したユーザ識別情報に対応する回線情報を取得するステップと、
   取得したユーザ識別情報及び回線情報と、第１のネットワークの認証情報と移動ネットワークである第２のネットワークの認証情報とを格納する前記認証情報変換装置の認証情報格納部に格納された第１のネットワークの認証情報との比較により認証を実施し、認証が完了した場合、前記認証情報変換装置の認証情報格納部から、認証が完了した第１のネットワークの認証情報に基づいて第２のネットワークの認証情報を取得するステップと、
   取得した第２のネットワークの認証情報を用いて第２のネットワークの認証装置に対して認証を要求するステップと、
   を有する認証情報変換方法。

Images