JP5843616B2 - 通信システムにおける認証方法及びそのシステム - Google Patents

Description

本発明は、通信システムにおける端末を認証するための方法及びそのシステムに関し、特に通信システムにおいて端末の再認証（ｒｅａｕｔｈｅｎｔｉｃａｔｉｏｎ）手順なしに前記端末の認証サーバー（Ａｕｔｈｅｎｔｉｃａｔｏｒ）を変更（ｒｅｌｏｃａｔｉｏｎ）するための方法及びそのシステムに関する。

通信システムにおけるサービス事業者は、ネットワークサービスを使用しようとするユーザに対する加入及びサービス提供の有無を判断するためにユーザに対する認証手順を行う。例えば、拡張認証プロトコル（ＥＡＰ：Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を採用する場合、端末とＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ、Ａｕｔｈｏｒｉｚａｔｉｏｎ、Ａｃｃｏｕｎｔｉｎｇ）サーバーとは、前記端末のサービングネットワークを介して認証手順を行う。前記認証手順は、下記の図１に示すように行われる。ここで、ＥＡＰとはＭＤ５（Ｍｅｓｓａｇｅ Ｄｉｇｅｓｔ ｎｕｍｂｅｒ ５）、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）、ＳＲＰ（Ｓｅｃｕｒｅ Ｒｅｍｏｔｅ Ｐａｓｓｗｏｒｄ）などの認証のための情報をカプセル化して送信するプロトコルを示す。

図１は、従来技術に係る無線通信システムにおける端末の認証手順を示している。

前記図１を参照すると、端末（ＭＴ：Ｍｏｂｉｌｅ Ｔｅｒｍｉｎａｌ）１００と認証サーバー（Ａｕｔｈｅｎｔｉｃａｔｏｒ）１１０の物理階層接続（ｐｈｙｓｉｃａｌ ｌａｙｅｒ ａｔｔａｃｈｍｅｎｔ）が完了した場合（ステップ１３１）、前記端末１００と前記認証サーバー１１０は前記端末１００のリンク階層進入手順を開始する。この場合、前記認証サーバー１１０は、前記端末１００の識別情報を要請するＥＡＰ要請メッセージ（ＥＡＰ Ｒｅｑｕｅｓｔ／Ｌｉｎｋ−ｌａｙｅｒ）を前記端末１００に送信する（ステップ１３３）。この際、前記端末１００と前記認証サーバー１１０は、前記端末１００と認証サーバー１１０の間に位置する基地局を介して信号を交換する。例えば、前記ＥＡＰ要請メッセージは、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ Ｅｎｇｉｎｅｅｒｓ）８０２．１６標準ではＰＫＭｖ２ ＰＫＭ−ＲＥＱ／ＥＡＰ−Ｔｒａｎｓｆｅｒと定義されている。

前記端末１００は、前記ＥＡＰ要請メッセージに対する応答としてそのものの識別情報を含むＥＡＰ応答メッセージ（ＥＡＰ Ｒｅｓｐｏｎｓｅ／Ｌｉｎｋ−ｌａｙｅｒ）を前記認証サーバー１１０に送信する（ステップ１３５）。例えば、前記ＥＡＰ要請メッセージは、ＩＥＥＥ８０２．１６標準ではＰＫＭ−ＲＳＰ／ＥＡＰ−Ｔｒａｎｓｆｅｒと定義されている。

前記認証サーバー１１０は、前記ＥＡＰ応答メッセージに含まれた情報をＡＡＡ要請メッセージ（ＥＡＰ Ｒｅｓｐｏｎｓｅ／ＡＡＡ Ｒｅｑｕｅｓｔ）に含ませてＡＡＡサーバー１２０に送信する（ステップ１３７）。

前記ＡＡＡサーバー１２０は、前記ＡＡＡ要請メッセージを介して確認した前記端末１００の識別情報を用いてＥＡＰ認証方式（ｍｅｔｈｏｄ）を決定する。以後、前記ＡＡＡサーバー１２０は、前記決定したＥＡＰ認証方式情報を前記認証サーバー１１０を介して前記端末１００に送信する（ステップ１３９、ステップ１４１）。この際、前記認証サーバー１１０は、ＥＡＰ要請メッセージを用いて前記ＡＡＡサーバー１２０で決定したＥＡＰ認証情報を前記端末１００に送信する（ステップ１４１）。

前記端末１００は、前記認証サーバー１１０から提供される前記ＥＡＰ要請メッセージを介して前記ＡＡＡサーバー１２０が決定したＥＡＰ認証方式を確認する。以後、前記端末１００は、前記ＥＡＰ認証方式に要する情報を前記認証サーバー１１０を介して前記ＡＡＡサーバー１２０に送信する（ステップ１４３、ステップ１４５）。この際、前記ＡＡＡサーバー１２０と認証サーバー１１０及び端末１００は、パケットロスに備えて前記ＥＡＰ認証方式情報及び前記ＥＡＰ認証方式に要する情報の送受信手順（ステップ１３９〜ステップ１４５）を何回か繰り返す。

前記ＡＡＡサーバー１２０は、前記認証サーバー１１０から提供されるＡＡＡ要請メッセージからＥＡＰ認証方式に要する前記端末１００の情報を確認する。以後、前記ＡＡＡサーバー１２０は、前記端末１００の情報を用いて前記端末１００を認証可能であるのか判断する。

もし、前記端末１００を認証することができる場合、前記ＡＡＡサーバー１２０は認証成功のメッセージを前記認証サーバー１１０を介して前記端末１００に送信する（ステップ１４７、ステップ１４９）。

前記端末１００は、前記認証成功のメッセージに応じて前記認証サーバー１１０とのリンク階層進入を完了する（ステップ１５１）。

前記ＡＡＡサーバー１２０は、前記端末１００と前記認証サーバー１１０とのリンク階層進入が完了された場合、前記認証サーバー１１０に対する課金を開始する（ＡＡＡ Ａｃｃｏｕｎｔｉｎｇ Ｓｔａｒｔ）（ステップ１５３）。

上述の認証手順を介してＡＡＡサーバーから認証されリンク階層進入成功した端末は、ネットワークサービスが提供される。

しかし、上述のように認証手順を行う場合、認証サーバーとＡＡＡサーバーとの間のメッセージ送受信に従う遅延によって端末のネットワーク進入が失敗する問題が生じる恐れがある。例えば、ＡＡＡサーバーから認証された端末が他のネットワークのサービス領域に移動するか、または認証サーバーが変更される場合、前記端末は前記図１に示すような認証手順を再び行わなければならない。しかし、前記認証サーバーと前記ＡＡＡサーバーとの間のメッセージ送受信に従う遅延によって前記端末のネットワーク進入が失敗する問題が生じる恐れがある。

本発明は、部分または全体が先行技術と係る問題と短所のうち少なくとも一つを解決または軽減または事前に除去する発明の例示を提供することを目的とする。特定例示は以下で説明する長所のうち少なくとも一つを提供することを目的とする。

本発明の目的は、通信システムにおける端末の認証に伴う時間遅延を減らすための方法及びそのシステムを提供することにある。

本発明の他の目的は、通信システムにおける端末の認証サーバー（Ａｕｔｈｅｎｔｉｃａｔｏｒ）が変更（ｒｅｌｏｃａｔｉｏｎ）される場合、前記端末の認証に従う時間遅延を減らすための方法及びそのシステムを提供することにある。

本発明のさらに他の目的は、通信システムの認証サーバーにおいて他の認証サーバーが端末の認証に用いた認証変数（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｐａｒａｍｅｔｅｒ）を用いて前記端末を認証するための方法及びそのシステムを提供することにある。

本発明の目的を達成するための本発明の第１見地によれば、通信システムにおける端末を認証するための方法は、第１認証サーバー（Ａｕｔｈｅｎｔｉｃａｔｏｒ）（例：新規認証サーバー）は物理階層に接続した端末のリンク階層進入のために第２認証サーバー（例：前回認証サーバー）に認証サーバー変更を要請する過程と、前記第２認証サーバーは前記端末の認証変数（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐａｒａｍｅｔｅｒ）（例：第１認証変数）を含めている場合、前記第１認証サーバーの認証サーバー変更の要請に応じて前記端末の認証変数に対するハッシュ値、第１ランダム変数及び第２ランダム変数を前記第１認証サーバーに送信する過程と、前記第１認証サーバーは前記第２認証サーバーから提供された認証変数に対するハッシュ値及び前記第１ランダム変数をＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ、Ａｕｔｈｏｒｉｚａｔｉｏｎ、Ａｃｃｏｕｎｔｉｎｇ）サーバーに送信する過程と、前記ＡＡＡサーバーは前記第１認証サーバーから提供される前記認証変数に対するハッシュ値の有効性を判断する過程と、前記認証変数に対するハッシュ値が有効であると判断される場合、前記ＡＡＡサーバーは前記端末を認証する際に用いた認証変数（例：第２認証変数）を前記第１認証サーバーに送信する過程を含み、前記第１ランダム変数は前記第１認証サーバーと前記ＡＡＡサーバーの認証のための変数を示して、前記第２ランダム変数は前記第１認証サーバーと前記第２認証サーバーの認証のための変数を示すことを特徴とする。

本発明の第２見地によれば、端末を認証するための通信システムは、物理階層に接続した端末のリンク階層進入のために第２認証サーバーに認証サーバー変更を要請して、前記第２認証サーバーから提供される端末の認証変数に対するハッシュ値及び第１ランダム変数をＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ、Ａｕｔｈｏｒｉｚａｔｉｏｎ、Ａｃｃｏｕｎｔｉｎｇ）サーバーに送信する第１認証サーバー（Ａｕｔｈｅｎｔｉｃａｔｏｒ）と、前記端末の認証変数（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐａｒａｍｅｔｅｒ）を含めている場合、前記第１認証サーバーの認証サーバー変更の要請に応じて前記端末の認証変数に対するハッシュ値、第１ランダム変数及び第２ランダム変数を前記第１認証サーバーに送信する第２認証サーバーと、前記第１認証サーバーから提供される前記端末の認証変数に対するハッシュ値が有効であると判断される場合、前記端末を認証する際に用いた認証変数を前記第１認証サーバーに送信する前記ＡＡＡサーバーを含めて構成され、前記第１ランダム変数は前記第１認証サーバーと前記ＡＡＡサーバーの認証のための変数を示すことを特徴とする。

本発明の他の目的は、上述の説明のうち何れか一つによる方法とその装置のうち少なくとも一つを構成することができるコンピュータープログラムを提供することにある。追加的に、プログラムを貯蔵する機械読取り装置（ｍａｃｈｉｎｅ−ｒｅａｄａｂｌｅ ｓｔｏｒａｇｅ）を提供することにある。

本発明の他の見地、利益、主たる特徴らは、以下の添付の本発明の実施形態及び図面らとともに説明される詳しい説明から当業者へ明らかに認識されるはずである。

従来技術に係る無線通信システムにおける端末の認証手順を示す図である。 本発明に係る無線通信システムの構成を示す図である。 本発明の実施形態に係る認証サーバーにおいて端末を認証するための手順を示す図である。 本発明の実施形態に係るＡＡＡサーバーにおいて端末の認証サーバーを変更するための手順を示す図である。 本発明の実施形態に係る無線通信システムにおける端末の認証サーバーを変更するための手順を示す図である。

以下、図面らを参考した説明は、請求範囲及びこれと同等なものにより定義される本発明の実施形態の包括的な理解を助けるために提供される。以下の説明は、理解を助けるために多様な具体的な細部事項らを含むが、但し例示に過ぎない。よって、本発明の思想や範囲を外さない限度内で実施形態の多様な変更及び修正が可能であることは勿論である。また、公知の機能及び構造の説明は明確性のために省略される。

「ａ」、「ａｎ」及び「ｔｈｅ」のような単数形式は文脈で明確に技術しない限り複数の指示対象を含む。例えば、「ａ ｃｏｍｐｏｎｅｎｔ ｓｕｒｆａｃｅ」は少なくとも一つの意味を含む。

以下、本発明は通信システムにおける端末の認証サーバー（Ａｕｔｈｅｎｔｉｃａｔｏｒ）が変更（ｒｅｌｏｃａｔｉｏｎ）される際、拡張認証プロトコル（ＥＡＰ：Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）認証に従う遅延を減らすための技術に対して説明する。

以下の説明で端末からリンク階層進入の要請された認証サーバーは他の認証サーバーが前記端末の認証に用いた認証変数（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐａｒａｍｅｔｅｒ）を用いて前記端末とのデータリンク進入手順を行う。この際、前記他の認証サーバーは前記端末の認証変数を用いることにする。ここで、前記認証変数はＭＳＫ（Ｍａｓｔｅｒ Ｓｅｓｓｉｏｎ Ｋｅｙ）とＭＳＫの有効時間（ｌｉｆｅｔｉｍｅ）を含む。

以下の説明で端末の認証に用いた認証変数を用いる前記他の認証サーバーを以前認証サーバー（Ｐｒｅｖｉｏｕｓ Ａｕｔｈｅｎｔｉｃａｔｏｒ：以下、ＰＡとする）と称する。すなわち、端末とＡＡＡサーバーは、以前時間の間に前記ＰＡを経由して認証手順を行っており、前記ＰＡは前記端末の認証変数を含む。

ＡＡＡサーバーと認証サーバー及び端末との間の認証を行う場合、無線通信システムは下記の図２に示すように構成される。

図２は、本発明に係る無線通信システムの構成を示している。

前記図２に示すように、無線通信システムはＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ、Ａｕｔｈｏｒｉｚａｔｉｏｎ、Ａｃｃｏｕｎｔｉｎｇ）サーバー２００、接続ゲートウエー（Ａｃｃｅｓｓ Ｇａｔｅｗａｙ）２１０、２２０、基地局２１２、２２２及び端末２３０を含めて構成される。ここで、前記接続ゲートウエーは各々認証サーバーを含む。

前記端末２３０が第１基地局２１２に接続される場合、前記端末２３０は第１接続ゲートウエー２１０を介して前記ＡＡＡサーバー２００との認証手順を行う。すなわち、前記端末２３０と前記ＡＡＡサーバー２００は第１接続ゲートウエー２１０に含む第１認証サーバーを介して認証手順を行う。例えば、前記端末２３０が初期接続する場合、前記端末２３０と前記ＡＡＡサーバー２００は、前記第１認証サーバーを介して前記図１に示すようにＥＡＰ認証を行なうことができる。

前記ＡＡＡサーバー２００から認証された前記端末２３０が第２基地局２２２のサービス領域に移動する場合、前記端末２３０へサービスを提供する接続ゲートウエーが第２ゲートウエー２２０に変更される。これによって、前記第２ゲートウエー２２０に含まれる第２認証サーバーは、前記第１認証サーバーから獲得した端末２３０の認証変数を用いて前記端末２３０の認証に対する認証手順を行う。例えば、前記第２認証サーバーは下記の図３に示すように前記端末２３０に対する認証手順を行う。すなわち、前記第２認証サーバーは、前記第１認証サーバーから提供される前記端末２３０の認証変数に対するハッシュ値（Ｈａｓｈ ｖｌａｕｅ）を用いて前記端末２３０に対する認証手順を行う。

図３は、本発明の実施形態に係る認証サーバーにおいて端末を認証するための手順を示している。

前記図３を参照すると、認証サーバーはステップ３０１で端末のリンク階層進入手順を行うのか判断する。例えば、前記認証サーバーは物理階層接続（ｐｈｙｓｉｃａｌ ｌａｙｅｒ ａｔｔａｃｈｍｅｎｔ）が完了された端末からリンク階層進入要請の信号が受信されるのか確認する。

端末のリンク階層進入手順を行う場合、前記認証サーバーは、ステップ３０３に進め前記端末のＰＡを確認する。例えば、前記認証サーバーは前記端末から提供されたリンク階層進入要請の信号またはハンドオーバー要請の信号を介してＰＡを確認してもよい。他の例としては、前記認証サーバーは前記端末から提供された位置更新要請の信号を介してＰＡを確認してもよい。さらに他の例としては、前記認証サーバーは、前記端末が新しく接続した基地局から前記端末のＰＡ情報を提供されてもよい。

ＰＡを確認した後、前記認証サーバーはステップ３０５に進め前記ＰＡに前記端末の認証サーバー変更を要請する。例えば、前記認証サーバーは、リンク階層進入を試みる前記端末のＭＡＣ階層のアドレスとそのものの識別子情報を含む認証サーバー変更要請の信号を前記ＰＡに送信する。

以後、前記認証サーバーは、ステップ３０７に進め前記ＰＡから認証サーバー変更応答の信号が受信されるのか確認する。

前記ＰＡから認証サーバー変更応答の信号が受信される場合、前記認証サーバーは、ステップ３０９に進め前記認証サーバー変更応答の信号から前記端末に対する認証情報を確認する。ここで、前記端末に対する認証情報は、前記認証サーバーとＡＡＡサーバーの認証のための第１ランダム変数（ＰＡ＿Ｎｏｎｃｅ）、前記認証サーバーとＰＡとの認証のための第２ランダム変数（ＮＡ＿Ｎｏｎｃｅ）、端末の認証変数に対するハッシュ値（ＰＡ＿ＶＣ）、端末の識別子情報などを含む。例えば、前記第１ランダム変数は、ＣＭＡＣ＿ＫＥＹ＿ＣＯＵＮＴＥＲで示される。

前記端末に対する認証情報を確認した後、前記認証サーバーは、ステップ３１１に進め前記ＰＡから提供された前記端末の認証変数に対するハッシュ値を前記ＡＡＡサーバーに送信する。例えば、前記認証サーバーは、端末の認証変数に対するハッシュ値、第１ランダム変数、端末の識別子情報及びそのものの識別子情報などを含む認証要請の信号を前記ＡＡＡサーバーに送信する。

以後、前記認証サーバーは、ステップ３１３に進め前記ＡＡＡサーバーから提供されたＡＡＡ応答信号を介して前記ＡＡＡサーバーがそのものの認証要請を受諾したのか確認する。

前記ＡＡＡサーバーが認証要請を受諾しない場合、前記認証サーバーは、前記端末に対する認証が失敗されたことと認識する。これによって、前記認証サーバーは本アルゴリズムを終了する。この場合、前記認証サーバーは前記図１に示すように前記端末に対するＥＡＰ認証を行なうことができる。

一方、前記ＡＡＡサーバーが認証要請を受諾した場合、前記認証サーバーは、ステップ３１５に進め前記ＡＡＡ応答信号に含まれた認証変数に対するハッシュ値を生成する。例えば、前記認証サーバーは前記ステップ３０９で前記ＰＡから提供された第２ランダム変数を考慮したハッシュ関数を用いて前記ＡＡＡ応答信号に含まれた認証変数に対するハッシュ値を生成する。他の例としては、前記認証サーバーは前記ＡＡＡ応答信号に含まれる認証変数を用いてハッシュ値を生成するためのキーを生成する。以後、前記認証サーバーは、前記第２ランダム変数を考慮したハッシュ関数を用いて前記キーに対するハッシュ値を生成してもよい。

前記認証変数に対するハッシュ値を生成した後、前記認証サーバーはステップ３１７に進め前記ステップ３１５で生成したハッシュ値を前記ＰＡに送信する。例えば、前記認証サーバーは、前記ステップ３１５で生成したハッシュ値を含む認証サーバー変更要請の信号を前記ＰＡに送信する。

以後、前記認証サーバーはステップ３１９に進め前記ＰＡから認証サーバー変更確認応答の信号が受信されるのか確認する。

一定時間の間に前記ＰＡから認証サーバー変更確認応答の信号が受信されないか、または認証サーバー変更確認失敗の信号が受信される場合、前記認証サーバーは、前記端末に対する認証サーバー変更が失敗されたことと認識する。これによって、前記認証サーバーは本アルゴリズムを終了する。この場合、前記認証サーバーは前記図１に示すように前記端末に対するＥＡＰ認証を行なうことができる。

一方、前記ＰＡから認証サーバー変更確認応答の信号が受信される場合、前記認証サーバーは前記端末のデータリンク進入が成功したことと認識する。

以後、前記認証サーバーは本アルゴリズムを終了する。

上述のように認証サーバーは、ＰＡから提供される端末の認証変数を用いて前記端末を認証することができる。この際、ＡＡＡサーバーは、前記図４に示すように動作することができる。

図４は、本発明の実施形態に係るＡＡＡサーバーにおいて端末の認証サーバーを変更するための手順を示している。

前記図４を参照するとＡＡＡサーバーは、ステップ４０１で認証サーバーから認証要請の信号が受信したか確認する。

認証サーバーから認証要請の信号が受信される場合、前記ＡＡＡサーバーはステップ４０３に進め前記認証要請の信号に含まれる端末に対する認証情報を確認する。ここで、前記端末に対する認証情報は、端末の認証変数に対するハッシュ値、第１ランダム変数、端末の識別子情報及び認証要請の信号を送信した認証サーバーの識別子情報などを含む。例えば、前記第１ランダム変数は、ＣＭＡＣ＿ＫＥＹ＿ＣＯＵＮＴＥＲで示される。

以後、前記ＡＡＡサーバーは、ステップ４０５に進め前記端末の認証変数に対するハッシュ値を用いて前記認証サーバーの認証要請を受諾するのか決定する。例えば、前記ＡＡＡサーバーは、前記端末の識別子情報を介して前記端末を認証する際に使用した認証変数を確認する。以後、前記ＡＡＡサーバーは、前記第１ランダム変数を用いて前記端末を認証する際に用いた認証変数に対するハッシュ値を生成する。前記ＡＡＡサーバーは、前記認証サーバーから提供されたハッシュ値と前記生成したハッシュ値を比較して前記認証サーバーに対する認証要請を受諾するのか決定する。

前記認証サーバーから提供されたハッシュ値と前記生成したハッシュ値が同一でない場合、前記ＡＡＡサーバーは前記認証サーバーから提供されたハッシュ値が有効でないと判断する。すなわち、前記ＡＡＡサーバーは、前記認証サーバーの認証要請を受諾できないと判断する。これによって、前記ＡＡＡサーバーは、ステップ４１３に進め前記認証サーバーに認証失敗情報を送信する。

一方、前記認証サーバーから提供されたハッシュ値と前記生成したハッシュ値が同一である場合、前記ＡＡＡサーバーは前記認証サーバーから提供されたハッシュ値が有効であると判断する。すなわち、前記ＡＡＡサーバーは前記認証サーバーの認証要請を受諾することと判断する。これによって、前記ＡＡＡサーバーは、ステップ４０７に進め前記認証サーバーに認証成功情報を送信する。この際、前記認証成功情報は、前記端末を以前に認証する際に用いた認証変数と前記ＡＡＡサーバーのアドレス情報を含む。

前記認証成功情報を送信した後、前記ＡＡＡサーバーは、ステップ４０９に進み前記端末のＰＡに対する課金を終了する。

また、前記端末と前記認証サーバーのリンク階層進入が完了される場合、前記ＡＡＡサーバーは、ステップ４１１に進めステップ４０１で認証を要請した認証サーバーに対する課金を開始する。

以後、前記ＡＡＡサーバーは本アルゴリズムを終了する。

上述の実施形態においてＡＡＡサーバーは、第１ランダム変数を用いて端末を認証する際に用いた認証変数に対するハッシュ値を生成した。

他の実施形態においてＡＡＡサーバーは、端末を認証する際に用いた認証変数を用いたハッシュ値を生成するためのキーを生成する。以後、前記ＡＡＡサーバーは第１ランダム変数を用いて前記キーに対するハッシュ値を生成する。前記ＡＡＡサーバーは、前記認証サーバーから提供されたハッシュ値と前記生成したハッシュ値を比較して前記認証サーバーに対する認証要請を受諾するのか決定してもよい。

上述の実施形態において前記ＡＡＡサーバーは、認証サーバーの認証要請を受諾した場合、認証成功情報を送信した後、ＰＡに対する課金を終了する。

他の実施形態において、前記認証サーバーの認証要請を受諾した場合、前記ＡＡＡサーバーは前記認証成功情報の送信手順と前記端末のＰＡに対する課金の終了手順を並列的に行ってもよい。さらに他の実施形態において、前記認証サーバーの認証要請を受諾した場合、前記ＡＡＡサーバーは、前記端末のＰＡに対する課金を終了した後、前記認証成功の情報を送信してもよい。

以下の説明は、無線通信システムにおける端末の認証サーバーを変更（ｒｅｌｏｃａｔｉｏｎ）するための手順に対して説明する。

図５は、本発明の実施形態に係る無線通信システムにおける端末の認証サーバーを変更するための手順を示している。図示されてないが、端末５００と認証サーバー５１０、５２０との間には、各々の基地局が位置する。ここで、第２認証サーバー５２０はＮＡを示す。

前記図５を参照すると、端末（ＭＴ：Ｍｏｂｉｌｅ Ｔｅｒｍｉｎａｌ５００とＡＡＡサーバー５３０は、第１認証サーバー５１０を介して前記端末５００に対する認証手順を行う。この際、前記端末５００は、前記ＡＡＡサーバー５３０との認証手続きを成功したことにする（ステップ５４１）。

もし、前記ＡＡＡサーバー５３０から認証された前記端末５００が移動して第２認証サーバー５２０との物理階層接続を行った場合（ステップ５４３）、前記第２認証サーバー５２０は、前記第１認証サーバー５１０に認証サーバー変更要請のメッセージ（Ｒｅｌｏｃａｔｉｏｎ＿Ｎｏｔｉｆｙ）を送信する（ステップ５４５）。ここで、前記認証サーバー変更要請のメッセージは、前記端末５００のＭＡＣ階層アドレスとそのものの識別子情報を含む。例えば、前記第２認証サーバー５２０は、前記端末５００から提供されたリンク階層進入要請の信号またはハンドオーバー要請の信号を介して前記第１認証サーバー５１０を確認してもよい。他の例としては、前記第２認証サーバー５２０は、前記端末５００から提供された位置更新要請の信号を介して第１認証サーバー５１０を確認してもよい。さらに他の例としては、前記第２認証サーバー５２０は、前記端末５００が新しく接続した基地局から前記第１認証サーバー５１０の情報を提供されてもよい。ここで、第２認証サーバー５２０は、前記第１認証サーバー５１０をＰＡと認識する。

前記第１認証サーバー５１０は、前記認証サーバー変更要請のメッセージが受信されると（ステップ５４５）、前記端末５００の認証変数に対するハッシュ値を生成する。例えば、前記第１認証サーバー５１０は、第１ランダム変数を考慮したハッシュ関数を用いて前記端末５００の認証変数に対するハッシュ値を生成する。他の例としては、前記第１認証サーバー５１０は、前記端末５００の認証変数を用いてハッシュ値を生成するためのキーを生成する。以後、前記第１認証サーバー５１０は、第１ランダム変数を考慮したハッシュ関数を用いて前記キーに対するハッシュ値を生成してもよい。ここで、前記端末の５００の認証変数は、前記第１認証サーバー５１０が前記端末５００を認証する際に用いた認証変数を示す。また、前記第１ランダム変数は、ＣＭＡＣ＿ＫＥＹ＿ＣＯＵＮＴＥＲで示してもよい。

前記第１認証サーバー５１０は、ハッシュ値を生成した後、前記生成したハッシュ値を含む認証サーバー変更応答のメッセージ（Ｒｅｌｏｃａｔｉｏｎ＿Ｎｏｔｉｆｙ＿Ｒｓｐ）を前記第２認証サーバー５２０に送信する（ステップ５４７）。例えば、前記認証サーバー変更応答のメッセージは、前記第２認証サーバー５２０と前記ＡＡＡサーバー５３０の認証のための第１ランダム変数、前記第１認証サーバー５１０と第２認証サーバー５２０の認証のための第２ランダム変数、端末５００の認証変数に対するハッシュ値及び端末の識別子情報などの前記端末５００に対する認証情報を含む。

前記第２認証サーバー５２０は、前記認証サーバー変更応答のメッセージから前記端末５００に対する認証情報を確認する。ここで、前記端末５００に対する認証情報は、前記認証サーバー変更応答のメッセージに含まれた前記第１ランダム変数、前記第２ランダム変数、端末５００の認証変数に対するハッシュ値及び端末の識別子情報などを含む。

以後、前記第２認証サーバー５２０は、前記端末５００の認証変数に対するハッシュ値を含むＡＡＡ要請メッセージ（ＲＡＤＩＵＳ Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔ ｏｒ Ｄｉａｍｅｔｅｒ ＷＤＥＲ）を前記ＡＡＡサーバー５３０に送信する（ステップ５４９）。この際、前記ＡＡＡ要請メッセージは、端末５００の認証変数に対するハッシュ値、前記第１ランダム変数、端末５００の識別子情報、第２認証サーバー５２０の識別子情報を含む。

前記ＡＡＡサーバー５３０は、前記第２認証サーバー５２０から提供される前記端末５００の認証変数に対するハッシュ値が有効であるのか判断する。例えば、前記ＡＡＡサーバー５３０は、前記ＡＡＡ要請メッセージに含まれた端末５００の識別子情報を介して前記端末５００を認証する際に用いた認証変数を確認する。以後、前記ＡＡＡサーバー５３０は、前記ＡＡＡ要請メッセージに含まれた第１ランダム変数を用いて前記端末５００を認証する際に用いた認証変数に対するハッシュ値を生成する。前記ＡＡＡサーバー５３０は、前記第２認証サーバー５２０から提供されるハッシュ値と前記生成したハッシュ値を比較して前記第２認証サーバー５２０から提供されたハッシュ値が有効であるのか判断する。

もし、前記第２認証サーバー５２０から提供されたハッシュ値と前記生成したハッシュ値が同一である場合、前記ＡＡＡサーバー５３０は、前記第２認証サーバー５２０から提供されたハッシュ値が有効であると判断する。すなわち、前記ＡＡＡサーバー５３０は、前記第２認証サーバー５２０の認証要請を受諾することと判断する。

これによって、前記ＡＡＡサーバー５３０は、前記端末５００の認証変数を含むＡＡＡ応答メッセージ（ＲＡＤＩＵＳ Ａｃｃｅｓｓ−Ａｃｃｅｐｔ ｏｒ Ｄｉａｍｅｔｅｒ ＷＤＥＡ）を前記第２認証サーバー５２０に送信する（ステップ５５１）。ここで、前記ＡＡＡ応答メッセージは、前記端末５００の認証変数と前記ＡＡＡサーバー５３０のアドレス情報を含む。

一方、前記第２認証サーバー５２０から提供されたハッシュ値と前記生成したハッシュ値が同一でない場合、前記ＡＡＡサーバー５３０は、前記第２認証サーバー５２０から提供されたハッシュ値が有効でないと判断する。すなわち、前記ＡＡＡサーバー５３０は、前記第２認証サーバーの認証要請を受諾できないことと判断する。

これによって、前記ＡＡＡサーバー５３０は、認証失敗情報を含むＡＡＡ応答メッセージを前記第２認証サーバー５２０に送信する。

前記第２認証サーバー５２０は、前記ＡＡＡサーバー５３０から提供されるＡＡＡ応答メッセージを介して前記ＡＡＡサーバー５３０が認証を受諾したのか確認する。

もし、前記ＡＡＡサーバー５３０が認証を受諾した場合、前記第２認証サーバー５２０は、前記ＡＡＡ応答メッセージに含まれた前記端末５００の認証変数にハッシュ値を生成する。例えば、前記第２認証サーバー５２０は、前記第１認証サーバー５１０から提供される第２ランダム変数を考慮したハッシュ関数を用いて前記ＡＡＡサーバー５３０から提供される認証変数に対するハッシュ値を生成する。他の例としては、前記第２認証サーバー５２０は、前記ＡＡＡ応答メッセージに含まれた前記端末５００の認証変数を用いてハッシュ値を生成するためのキーを生成する。以後、前記第２認証サーバー５２０は、前記第１認証サーバー５１０から提供された第２ランダム変数を考慮したハッシュ関数を用いて前記キーに対するハッシュ値を生成してもよい。

以後、前記第２認証サーバー５２０は、前記端末５００の認証変数に対するハッシュ値を含む認証サーバー変更確認要請のメッセージ（Ｒｅｌｏｃａｔｉｏｎ＿Ｃｏｍｐｌｅｔｅ＿Ｒｅｑ）を前記第１認証サーバー５１０に送信する（ステップ５５３）。

前記第１認証サーバー５１０は、前記第２認証サーバー５２０から提供される前記端末５００の認証変数に対するハッシュ値が有効であるのか判断する。例えば、前記第１認証サーバー５１０は、前記第２認証サーバー５２０に送信した第２ランダム変数を用いたハッシュ関数を用いてそのものが貯蔵している端末５００の認証変数に対するハッシュ値を生成する。以後、前記第１認証サーバー５１０は、前記第２認証サーバー５２０から提供されたハッシュ値と前記生成したハッシュ値を比較して前記第２認証サーバー５２０から提供される端末の５００の認証変数に対するハッシュ値が有効であるのか判断する。

もし、前記第２認証サーバー５２０から提供されるハッシュ値と前記生成したハッシュ値が同一である場合、前記第１認証サーバー５１０は前記第２認証サーバー５２０から提供された端末５００の認証変数に対するハッシュ値が有効であると判断する。これによって、前記第１認証サーバー５１０は、認証サーバー変更確認応答のメッセージ（Ｒｅｌｏｃａｔｉｏｎ＿Ｃｏｍｐｌｅｔｅ＿Ｒｓｐ）を前記第２認証サーバー５２０に送信する（ステップ５５５）。

前記第１認証サーバー５１０は、前記第２認証サーバー５２０から提供される前記端末５００の認証変数に対するハッシュ値が有効であると判断する場合、前記第２認証サーバー５２０が前記ＡＡＡサーバー５３０から認証されたことと認識する。これによって、前記第１認証サーバー５１０と前記ＡＡＡサーバー５３０とは、課金プロセスを終了する（ステップ５５７）。

前記第２認証サーバー５２０は、前記第１認証サーバー５１０から認証サーバー変更確認応答のメッセージを受信されると前記端末５００のデータリンク進入が成功したことと認識する（ステップ５５９）。これによって、前記第２認証サーバー５２０と前記ＡＡＡサーバー５３０とは、課金プロセスを開始する（ステップ５６１）。

上述の実施形態においてＰＡは、端末の認証変数を用いることにした。しかし、ＰＡが端末の認証変数を用いない場合、前記ＰＡは、認証サーバー変更を要請した認証サーバーに認証サーバー変更失敗の信号を送信することもある。

上述のように、通信システムにおける認証サーバーにおいて他の認証サーバーが端末の認証に用いた認証変数（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐａｒａｍｅｔｅｒ）を用いて前記端末を認証することで、ＥＡＰ認証に従う時間の遅延を減らすことができる利点がある。

本発明の実施形態らは、ハードウェア形態、ソフトウェア形態またはハードウェアとソフトウェアの結合形態に具現されることができる。ソフトウェアは、揮発性記憶媒体または不揮発性記憶媒体に格納してもよい。貯蔵媒体としては、ＲＯＭのような貯蔵（ｓｔｏｒａｇｅ）装置、ＲＡＭやメモリチップまたは集積回路のようなメモリ装置、ＣＤ、ＤＶＤ、磁気ディスクまたは磁気テープのような光学または磁気記録媒体などがある。記憶装置または記憶媒体は、本発明を具現する命令語らを含むプログラムを格納することに適している、機械読取り可能な記憶手段である。よって、実施形態らは本発明の請求項に記載された装置または方法を具現するコードを含むプログラムを提供する。また、そのプログラムは無線または有線通信ネットワークを介して配布されることができ、配布方式を介して格納され実行されることができる。

明細書の内容と請求項に技術された、「含める」という用語及びこれの変更解体である「含む」という用語は「含むものの制限されてない」の意味を有し、他の追加構成、成分または過程などを排除することではない。

明細書の内容と請求項に技術された単数は特に具体的で排除すると技術しない限り、複数を含む。特に、不定冠詞が用いた場合には、単数及び複数を含むことと理解される。

本発明の具体的な実施形態と係って説明された形態、数字、特徴及びグループなどは、両立できない場合ではないなら、他の実施形態においても使用可能である。

明細書の内容と請求項を介して、「ＹのためのＸ」と示された用語（Ｙは行為または過程を意味して、「Ｘ」はその行為または過程を行う手段を示す）はＹを行うために、しかしこれに制限されてはない、具体的に配列されるか適用されたＸを含む。

一方、本発明の実施するための形態では具体的な実施例に関して説明したが、本発明の範囲を逸脱しない範囲内で多様な変形が可能である。従って、本発明の範囲は、説明された実施例に限って決められてはならず、後述する特許請求の範囲だけでなく、この特許請求の範囲と均等なものによって定まらなければならない。

以上で説明したことは本発明による例示的に実施するための一つの実施例に過ぎないもので、本発明は上述した実施例に限定されず、以下の特許請求の範囲で請求するように本発明の要旨から逸脱することがなく当該発明の属する分野における通常の知識を有する者であれば誰でも多様な変更実施が可能な範囲まで本発明の技術的精神が及ぶと言える。

５００ 端末
５１０ 第１認証サーバー
５２０ 第２認証サーバー
５３０ ＨＯＭＥ ＡＡＡサーバー

Claims (21)

1. 通信システムにおける端末（ＭＳ：Ｍｏｂｉｌｅ Ｓｔａｔｉｏｎ）の認証サーバーを変更するための方法において、
   第２認証サーバー（Ａｕｔｈｅｎｔｉｃａｔｏｒ）から第１認証サーバーに認証サーバー変更要請の第１メッセージを送信する過程と、
   前記第１メッセージに応答して前記第１認証サーバーから前記第２認証サーバーに前記端末の認証情報を含む認証サーバー変更応答の第２メッセージを送信する過程と、
   前記第２メッセージに応答して前記第２認証サーバーからＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ、Ａｕｔｈｏｒｉｚａｔｉｏｎ、Ａｃｃｏｕｎｔｉｎｇ）サーバーに認証要請の第３メッセージを送信する過程と、
   前記ＡＡＡサーバーにおいて前記認証要請の受諾を判断する過程と、
   前記ＡＡＡサーバーにおいて第１ハッシュ値が有効であると判断され、前記認証要請の受諾を判断される場合、前記ＡＡＡサーバーから前記第２認証サーバーに認証応答の第４メッセージを送信する過程と、
   前記第４メッセージに応答して前記第２認証サーバーから前記第１認証サーバーに認証サーバー変更確認要請の第５メッセージを送信する過程と、
   前記第５メッセージに応答して前記第１認証サーバーから前記第２認証サーバーに認証サーバー変更確認応答の第６メッセージを送信する過程と、を含み
   前記第２メッセージは、第１ランダム変数、第２ランダム変数及び前記第１ランダム変数を用いたハッシュ関数に基づいて生成された前記端末の認証変数に対する前記第１ハッシュ値を含み、
   前記第３メッセージは、前記第１ハッシュ値、前記第１ランダム変数、前記第２認証サーバーの識別情報を含み、
   前記第４メッセージは、前記端末の認証変数を含み、
   前記ＡＡＡサーバーにおいて前記認証要請の受諾を判断する過程は、前記ＡＡＡサーバーにおいて前記第１ハッシュ値の有効性を判断する過程を含む方法。
2. 前記第１メッセージは、前記端末の識別子情報と前記第２認証サーバーの識別子情報を含み、
   前記第５メッセージは、前記第２ランダム変数を用いたハッシュ関数を基づいて生成された第２ハッシュ値を含み、
   前記第１認証サーバーにおいて前記第２ハッシュ値の有効性を判断する過程をさらに含み、
   前記第５メッセージに応答して前記第１認証サーバーから前記第２認証サーバーに認証サーバー変更確認応答の第６メッセージを送信する過程は、前記第２ハッシュ値が有効であると判断される場合、前記第５メッセージに対する応答として前記第１認証サーバーから前記第２認証サーバーに前記第６メッセージを送信する過程を含むことを特徴とする前記請求項１に記載の方法。
3. 前記第１ハッシュ値の有効性を判断する過程は、
   前記ＡＡＡサーバーは、前記端末に対する認証情報の存在を確認する過程と、
   前記ＡＡＡサーバーは、前記第２認証サーバーから提供される前記第１ランダム変数を用いたハッシュ関数と前記確認された認証情報を用いて第３ハッシュ値を生成する過程と、
   前記ＡＡＡサーバーは、前記第１ハッシュ値と前記第３ハッシュ値を比較し、前記比較の結果に応じて前記第１ハッシュ値の有効性を判断する過程と、を含むことを特徴とする前記請求項２に記載の方法。
4. 前記第２ハッシュ値に対する有効性を判断する過程は、
   前記第１認証サーバーは、前記第２ランダム変数を考慮したハッシュ関数を用いて第４ハッシュ値を生成する過程と、
   前記第１認証サーバーは、前記第２ハッシュ値と前記第４ハッシュ値を比較し、前記第２ハッシュ値の有効性を判断する過程と、を含むことを特徴とする前記請求項２または請求項３に記載の方法。
5. 前記第１認証サーバーは、前記端末が前記第２認証サーバーの物理階層に接続する以前に前記ＡＡＡサーバーから認証される場合、前記端末と前記ＡＡＡサーバーが認証のために経由した認証サーバーを含む前記請求項１ないし請求項３のいずれか一項に記載の方法。
6. 前記第１ランダム変数は、ＣＭＡＣ＿ＫＥＹ＿ＣＯＵＮＴＥＲを含む前記請求項２ないし請求項５のいずれか一項に記載の方法。
7. 端末（ＭＳ）の認証サーバーを変更するための通信システムにおいて、
   第１認証サーバーと、
   第２認証サーバーと、
   ＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ、Ａｕｔｈｏｒｉｚａｔｉｏｎ、Ａｃｃｏｕｎ
   ｔｉｎｇ）サーバーと、を含み、
   前記第２認証サーバーは、前記第１認証サーバーに認証サーバー変更要請の第１メッセージを送信し、
   前記第１認証サーバーは、前記第１メッセージに応答して前記第２認証サーバーに前記端末の認証情報を含む認証サーバー変更応答の第２メッセージを送信し、
   前記第２認証サーバーは、前記第２メッセージに応答して前記ＡＡＡサーバーに認証要請の第３メッセージを送信し、
   前記ＡＡＡサーバーは、前記認証要請の受諾を判断し、
   前記ＡＡＡサーバーにおいて第１ハッシュ値が有効であると判断され、前記認証要請の受諾を判断される場合、前記第２認証サーバーに認証応答の第４メッセージを送信し、
   前記第２認証サーバーは、前記第４メッセージに応答して前記第１認証サーバーに認証サーバー変更確認要請の第５メッセージを送信し、
   前記第１認証サーバーは、前記第５メッセージに応答して前記第２認証サーバーに認証サーバー変更確認応答の第６メッセージを送信し、
   前記第２メッセージは、第１ランダム変数、第２ランダム変数及び前記第１ランダム変数を用いたハッシュ関数に基づいて生成された前記端末の認証変数に対する前記第１ハッシュ値を含み、
   前記第３メッセージは、前記第１ハッシュ値、前記第１ランダム変数、前記第２認証サーバーの識別情報を含み、
   前記第４メッセージは、前記端末の認証変数を含み、
   前記ＡＡＡサーバーにおいて前記認証要請の受諾を判断する過程は、前記ＡＡＡサーバーにおいて前記第１ハッシュ値の有効性を判断する過程を含む通信システム。
8. 前記第１メッセージは、前記端末の識別子情報と前記第２認証サーバーの識別子情報を含み、
   前記第５メッセージは、前記第２ランダム変数を用いたハッシュ関数を基づいて生成された第２ハッシュ値を含み、
   前記第１認証サーバーは、前記第２ハッシュ値の有効性を判断する動作をさらに含み、
   前記第１認証サーバーは、前記第２ハッシュ値が有効であると判断される場合、前記第５メッセージに対する応答として前記第２認証サーバーに前記第６メッセージを送信する
   請求項７に記載の通信システム。
9. 前記ＡＡＡサーバーは、前記第２認証サーバーから提供される前記第１ランダム変数を用いたハッシュ関数と前記端末に対する認証情報を用いて第３ハッシュ値を生成して、前記第１ハッシュ値と前記第３ハッシュ値を比較して、前記比較の結果に応じて前記第１ハッシュ値の有効性を判断する請求項８に記載の通信システム。
10. 前記第１認証サーバーは、前記第２ランダム変数を考慮したハッシュ関数を用いて第４ハッシュ値を生成して、前記第２ハッシュ値と前記第４ハッシュ値を比較して前記比較の結果に応じて前記第２ハッシュ値の有効性を判断する請求項８または請求項９に記載の通信システム。
11. 前記第１認証サーバーは、前記端末が前記第２認証サーバーの物理階層に接続する以前に前記ＡＡＡサーバーから認証される場合、前記端末と前記ＡＡＡサーバーが認証のために経由した認証サーバーを含む前記請求項８ないし請求項１０のいずれか一項に記載の通信システム。
12. 前記第１ランダム変数は、ＣＭＡＣ＿ＫＥＹ＿ＣＯＵＮＴＥＲを含む前記請求項８ないし請求項１１のいずれか一項に記載の通信システム。
13. 第２認証サーバー（Ａｕｔｈｅｎｔｉｃａｔｏｒ）における端末の認証サーバーを変更するための方法において、
    第１認証サーバーに認証サーバー変更要請の第１メッセージを送信する過程と、
    前記第１認証サーバーから前記端末の認証情報を含む認証サーバー変更応答の第２メッセージを受信する過程と、
    ＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ、Ａｕｔｈｏｒｉｚａｔｉｏｎ、Ａｃｃｏｕｎ
    ｔｉｎｇ）サーバーに認証要請の第３メッセージを送信する過程と、
    前記ＡＡＡサーバーにおいて第１ハッシュ値が有効であると判断され、前記ＡＡＡサーバーからの認証要請の受諾に対して認証応答の第４メッセージを受信する過程と、
    前記第１認証サーバーに認証サーバー変更確認要請の第５メッセージを送信する過程と、
    を含み、
    前記第２メッセージは、第１ランダム変数、第２ランダム変数及び前記第１ランダム変数を用いたハッシュ関数に基づいて生成された前記端末の認証変数に対する前記第１ハッシュ値を含み、
    前記第３メッセージは、前記第１ハッシュ値、前記第１ランダム変数、前記第２認証サーバーの識別情報を含み、
    前記第４メッセージは、前記端末の認証変数を含み、
    前記ＡＡＡサーバーにおいて前記認証要請の受諾を判断する過程は、前記ＡＡＡサーバーにおいて前記第１ハッシュ値の有効性を判断する過程を含む方法。
14. 前記第１メッセージは、前記端末の識別子情報と前記認証サーバーの識別子情報を含み、
    前記第５メッセージは、前記第２ランダム変数を用いるハッシュ関数を基づいて生成された第２ハッシュ値を含む請求項１３に記載の方法。
15. 前記第５メッセージを送信した後、前記第１認証サーバーから第６メッセージが提供される場合、前記端末のデータリンク進入が成功したことと認知する過程を更に含む請求項１４に記載の方法。
16. 前記第１メッセージを送信する過程以前に前記第１認証サーバーを確認する過程を更に含む請求項１４または請求項１５に記載の方法。
17. 前記第１認証サーバーは、前記端末が前記第２認証サーバーの物理階層に接続する以前に前記ＡＡＡサーバーから認証される場合、前記端末と前記ＡＡＡサーバーが認証のために経由した認証サーバーを含む請求項１４ないし請求項１５のいずれか一項に記載の方法。
18. 前記第１ランダム変数は、ＣＭＡＣ＿ＫＥＹ＿ＣＯＵＮＴＥＲを含む請求項１４ないし請求項１７のいずれか一項に記載の方法。
19. ＡＡＡサーバーにおける端末の認証サーバー変更を認証する方法において、
    第２認証サーバーから認証要請の第１メッセージを受信する過程と、
    前記認証要請の受諾を判断する過程と、
    前記認証要請の受諾を判断される場合、前記第２認証サーバーに認証応答の第２メッセージを送信する過程と、を含み、
    前記第１メッセージは、第１認証サーバーから受信した、第１ランダム変数及び前記第１ランダム変数を用いたハッシュ関数に基づいて生成された前記端末の認証変数に対する第１ハッシュ値を含み、
    前記認証要請の受諾を判断する過程は、前記第１ハッシュ値の有効性を判断する過程を含み、
    前記第２メッセージは、前記端末の認証変数を含む方法。
20. 前記第１ハッシュ値の有効性を判断する過程は、
    前記端末に対する認証情報の存在を確認する過程と、
    認証サーバーから提供される前記第１ランダム変数を用いるハッシュ関数と前記確認された認証情報を用いて第２ハッシュ値を生成する過程と、
    前記第１ハッシュ値と前記第２ハッシュ値を比較し、前記比較の結果に応じて前記第１ハッシュ値の有効性を判断する過程と、を含む請求項１９に記載の方法。
21. 前記第１ランダム変数は、ＣＭＡＣ＿ＫＥＹ＿ＣＯＵＮＴＥＲを含む請求項２０に記載の方法。

Images