JP5931802B2 - ネットワークにおける端末認証方法及びシステム - Google Patents

Description

本発明は、通信事業者が運営する複数の通信網において各網が連携して端末の認証処理を行う認証技術に関する。

ネットワーク技術においてはユーザ端末の正当性を確認するための認証処理が重要な技術の１つである。該認証技術はネットワーク形態等に合わせて種々のものが存在している。例えば、非特許文献１に記載のものは最も単純な認証技術の１つであり、端末あるいは端末ユーザと認証機能が管理しているＩＤとパスワードの組を、端末と認証機能との間で送受する事で端末が正当であることを確認する。また、非特許文献２乃至４に記載のものは、次世代網（ＮＧＮ：Next Generation Network）における認証技術であって、ある回線に接続し登録要求（SIP Register）を送信する端末の正当性を確認するために、端末ＩＤと回線情報が一致するかをチェックする。

ところで近年では、通信事業が運営する通信網同士が相互に接続され、一方の通信網における認証技術を利用して他方の通信網への接続認証を行うケースが検討されている。典型的な例としては、非特許文献５に記載のものが知られている。非特許文献５に記載のものは、固定網の一部を構成する無線ＬＡＮ（Local Area Network）に接続する端末の認証方法であるＥＡＰ（Extensible Authentication Protocol）において、移動網における認証情報が格納されたＳＩＭ（Subscriber Identity Module）カードを用いている。これにより、移動網の認証情報を用いて端末を固定網に接続することができるとともに、無線ＬＡＮへの接続にあたってユーザによる端末操作を不要としている。

日経ＮＥＴＷＯＲＫ編、「暗号と認証」、日経ＢＰ社、pp.84-88 "Telecommunications and Internet converged Services and Protocols for Advanced Networking (TISPAN); NGN Security; Security Architecture", ETSI ES 187 003 v2.3.2, [online], [平成25年5月23日検索], インターネット<URL:http://www.etsi.org/deliver/etsi#ts/187000#187099/187003/02.03.02#60/ts#187003v020302p.pdf> "3rd Generation Partnership Project; Technical Specification Group Core Network and Terminals; IP Multimedia (IM) Subsystem Cx and Dx interfaces; Signalling flows and message contents", 3GPP TS 29.228 v11.7.0, [online], [平成25年5月23日検索], インターネット<URL:http://www.3gpp.org/ftp/Specs/html-info/29228.htm> 高橋 健太郎、「いよいよサービスがスタート NGN大解剖 第三回 回線認証：アドレス配布時に発信者IDを送信」、 [online]、２００８年４月２日、Ｉｔｐｒｏ、 [平成25年5月14日検索]、インターネット<URL:http://itpro.nikkeibp.co.jp/article/COLUMN/20080324/296895/> H. Haverinen, J. Salowey, "Extensible Authentication Protocol Method for Global System for Mobile Communications (GSM) Subscriber Identity Modules (EAP-SIM)", RFC4186, Internet Engineering Task Force, January 2006

しかし、非特許文献５に記載のものは、ＳＩＭカードを備えていない端末、例えばＷｉ−Ｆｉ専用タブレット、テレビ、冷蔵庫などの家電製品などについては適用できないという問題があった。一方、非特許文献１に記載のものは、複数の通信網が連携したネットワーク体系においても適用できるものの、ＩＤ及びパスワードの入力にユーザの手間がかかるのでユーザビリティが低いという問題があった。また、非特許文献２乃至４に記載されたものは、そもそも複数の通信網が連携したネットワーク体系を前提としていないため、非特許文献５に記載したようなネットワーク体系での運用が困難であるという問題があった。例えば、非特許文献２においては、一般的にユーザ情報（回線単位）と回線情報の組を管理しているのは固定網の事業者であり、移動網の事業者は回線情報を利用することが出来ないという問題がある。また、仮に回線情報を固定網の事業者から移動網の事業者に通知したとしても、移動網の事業者の管理しているユーザ情報（端末単位）と固定事業者から通知された回線情報を結びつける事が出来ないという問題がある。

本発明は上記事情に鑑みてなされたものであり、複数の通信事業者の通信網を連携させた認証システムにおいて通信網用の認証情報を持たない端末であっても認証処理を行うことができる認証方法及びシステムを提供することにある。

上記目的を達成するために、本願発明に係る端末認証方法は、第１通信事業者が提供する第１通信網と、該第１通信網と通信可能に接続され第２通信事業が提供する第２通信網と、ユーザ宅のＬＡＮを第２通信網に接続するための加入者宅内装置と、第２通信網に配置され加入者宅内装置を収容するユーザ収容装置と、第１通信網に配置されユーザ端末の第１通信網での正当性を第１通信網用の認証情報を用いて認証する第１認証サーバとを備えたネットワークにおいて、第１ユーザ端末が第１通信網用の認証情報を含む第１認証要求を加入者宅内装置を介してユーザ収容装置に送信するステップと、ユーザ収容装置が第１認証要求の送信元の加入者宅内装置が収容された回線の回線識別情報を第１認証要求に付加して第１認証サーバに向けて送出するステップと、第１認証サーバが第１認証要求に含まれる認証情報を用いて認証処理を行い第１認証結果を第１ユーザ端末に送出するステップと、第１認証サーバが第１認証要求に含まれる認証情報及び回線識別情報を関連づけて所定の記憶手段に保存するステップと、第２ユーザ端末が第１通信用の認証情報を含まない第２認証要求を加入者宅内装置を介してユーザ収容装置に送信するステップと、ユーザ収容装置が第２認証要求の送信元の加入者宅内装置が収容された回線の回線識別情報を第２認証要求に付与して第１認証サーバに向けて送出するステップと、第１認証サーバが第２認証要求に含まれる回線識別情報に基づき該回線識別情報に関連づけられた認証情報を前記記憶手段から取得し、該認証情報を用いて認証処理を行い第２認証結果を第２ユーザ端末へ送出するステップとを備えたことを特徴とする。

また、本願に係る端末認証システムは、第１通信事業者が提供する第１通信網と、該第１通信網と通信可能に接続され第２通信事業が提供する第２通信網と、ユーザ宅のＬＡＮを第２通信網に接続するための加入者宅内装置と、第２通信網に配置され加入者宅内装置を収容するユーザ収容装置と、第１通信網に配置され第１通信網用の認証情報を用いてユーザ端末の第１通信網への接続を認証する第１認証サーバとを備えたネットワークにおいて、ユーザ収容装置はユーザ端末から受信した認証要求に対して該認証要求に加入者宅内装置が収容された回線の回線識別情報を第１認証要求に付加して第１認証サーバに向けて送出する回線情報付加手段を備え、第１認証サーバは、ユーザ収容装置から受信した認証要求が第１通信網用の認証情報を有する第１ユーザ端末に係るものの場合には該認証情報を用いて認証処理を行い認証結果を第１ユーザ端末へ送出するとともに該認証要求に含まれている認証情報と回線識別情報とを関連づけて所定の記憶手段に保存するとともに、ユーザ収容装置から受信した認証要求が第１通信網用の認証情報を有さない第２ユーザ端末に係るものの場合には該認証要求に含まれる回線識別情報に基づき該回線識別情報に関連づけられた第１通信網用の認証情報を前記記憶手段から取得し該認証情報を用いて認証処理を行い認証結果を第２ユーザ端末へ送出することを特徴とする。

本発明の好適な態様の一例としては、第１認証サーバは、予め第１ユーザ端末の認証情報と関連づけたユーザプロファイルを所定の記憶手段に記憶しておき、第１認証サーバは、第２認証要求に含まれる回線識別情報に基づき該回線識別情報に関連づけられた認証情報を前記記憶手段から取得する際に該認証情報に関連づけられたユーザプロファイルを取得し、第２認証結果とともにユーザプロファイルを第２ユーザ端末へ送出することを特徴とする。

また本発明の他の好適な態様の一例としては、第１ユーザ端末は、第１ユーザ端末を識別可能な端末識別情報を第１認証要求に含ませ、第１認証サーバは、第１認証要求に含まれる認証情報及び回線識別情報並びに端末識別情報を関連づけて所定の記憶手段に保存し、第２ユーザ端末は、第２認証要求の送信に先立ち第１ユーザ端末から該第１ユーザ端末の端末識別情報を取得し、該端末識別情報を第２認証要求に含ませ、第１認証サーバは、第２認証要求に含まれる回線識別情報及び端末識別情報に基づき該回線識別情報及び端末識別情報に関連づけられた認証情報を前記記憶手段から取得することを特徴とする。

本発明によれば、第１ユーザ端末が第１通信網用の認証情報を用いて第１認証サーバでの認証処理を行うことにより、同一の加入者宅内装置を介すれば第１通信網用の認証情報を有さない第２ユーザ端末であっても第１ユーザ端末の認証情報を用いて第１認証サーバで認証処理を行うことができる。

本発明の実施形態に係る認証システムの構成図 第１の実施形態に係るユーザプロファイルの一例 第１の実施形態に係る認証シーケンス 第１の実施形態に係る認証シーケンス 第２の実施形態に係るユーザプロファイルの一例 第２の実施形態に係る認証シーケンス 第２の実施形態に係る認証シーケンス

（第１の実施の形態）
本発明の第１の実施の形態に係る認証方法及びシステムについて図面を参照して説明する。図１は本発明の概要を説明するシステム構成図である。本実施の形態では、第１通信網として移動網、第２通信網として固定網である場合について例示する。ここで移動網とは、３Ｇ／ＬＴＥなどの無線により移動体端末に通信サービス（例えばインターネット接続等）を提供するために通信事業者が配備するネットワークを意味する。また固定網とは、ユーザ宅のネットワークと接続して通信サービス（例えばインターネット接続等）を提供するために通信事業者が配備するネットワークを意味する。なお固定網において、ユーザ宅のネットワークにおいて端末の接続形態は有線（例えばイーサネット（登録商標））又は無線（例えばＷｉ−Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、フェムトセルなど）の何れでもよい。また、ユーザ宅と固定網の事業者の設備とを接続する物理媒体（アクセス回線）についても有線又は無線或いはその組合せの何れであってもよい。

図１に示すように、移動網１００と固定網２００はそれぞれコア網１０１，２０１を備えている。移動網１００のコア網１０１と固定網２００のコア網２０１は、各コア網１０１，２０１の縁部に配備されたゲートウェイ１０２，２０２により相互に通信可能に接続されている。また移動網１００のコア網１０１及び固定網２００のコア網２０１は、それぞれ外部ゲートウェイ１０３，２０３を介して例えばインターネットなどの外部ネットワーク９００に接続している。

移動網１００は、端末に対してサービスを提供するための各種アプリケーション１９１及びサービス基盤１９２と、コア網１０１内でパケットを転送するためのルータ１１０と、ユーザプロファイルを含む加入者情報１２５を管理するとともに、ユーザの認証（Authentication）・認可（authorization）・課金（Accounting）を行うＡＡＡサーバ１２０とを備えている。ＡＡＡサーバ１２０の一例としては、ＨＬＲ（Home Location Register）やＨＳＳ（Home Subscriber Serve）などが挙げられる。ＡＡＡサーバ１２０は、ＳＩＭ（Subscriber Identity Module）カードを搭載した端末（以下「ＳＩＭ端末」と言う。）１０をＳＩＭカード内の認証情報（以下「ＳＩＭ情報」と言う。）を用いて認証する。ＡＡＡサーバ１２０が管理する加入者情報１２５に含まれるユーザプロファイルの一例を図２に示す。ユーザプロファイルはＳＩＭ情報と関連づけられており、図２の例では、ＩＭＳＩ（International Mobile Subscriber Identity）をキーとしてユーザプロファイルとＳＩＭ情報とユーザプロファイルが関連づけられている。ＡＡＡサーバ１２０における認証動作の詳細については後述する。

固定網２００は、図１に示すように、コア網２０１内でパケットを転送するためのルータ２１０と、ユーザ宅に設置された加入者宅内装置としてのＷｉ−Ｆｉアクセスポイント２２０と、加入者宅側の網端に設置され加入者宅内装置であるＷｉ−Ｆｉアクセスポイント２２０を収容するユーザ収容装置としてのエッジ機能部２３０と、ＡＡＡサーバ１２０を用いた認証処理に係るメッセージを中継するＡＡＡプロキシ２４０とを備えている。Ｗｉ−Ｆｉアクセスポイント２２０は、ユーザ宅のＬＡＮ３００を構成するとともにＷｉ−Ｆｉ端末のアクセスポイントとして機能する。エッジ機能部２３０の構成・動作の詳細については後述する。なお一般的に、Ｗｉ−Ｆｉアクセスポイント２２０が加入者宅内装置としてエッジ機能部２３０に接続するためには所定の認証処理が必要であるが、ここでは該認証処理の内容及び該認証処理に必要な構成等についての説明は省略し、Ｗｉ−Ｆｉアクセスポイント２２０がエッジ機能部２３０に既に接続されていることを前提としている点に留意されたい。

本発明は、ＳＩＭカードが搭載されていない端末、すなわちＡＡＡサーバ１２０用の認証情報であるＳＩＭ情報を有していない端末（以下「非ＳＩＭ端末」と言う。）２０であっても、ＡＡＡサーバ１２０による認証処理を行うことを目的としている。このため本発明では、非ＳＩＭ端末２０の認証を行うにあたり、同一の加入者宅内装置（本実施の形態ではＷｉ−Ｆｉアクセスポイント２２０）を介してＡＡＡサーバ１２０で認証処理が行われたＳＩＭ端末１０のＳＩＭ情報を用いる。以下、本発明の特徴点について詳述する。

本発明に係るエッジ機能部２３０は、Ｗｉ−Ｆｉアクセスポイント２２０を介してＬＡＮ３００内の端末からＡＡＡサーバ１２０に対して送られる認証要求に対して、該Ｗｉ−Ｆｉアクセスポイント２２０を加入者宅内装置として一意に識別可能な情報である回線識別情報を取得し、認証要求に回線識別情報を付加する回線識別情報付加機能部２３５を有する。回線識別情報としては例えばＶＬＡＮ−ＩＤや回線加入者ＩＤなどを用いることができる。回線識別情報の取得方法としては、例えばエッジ機能部２３０を識別する識別子と、Ｗｉ−Ｆｉアクセスポイント２２０への回線が接続されたエッジ機能部２３０の物理的あるいは論理的なポート番号等に基づき、固定網２００内の認証サーバ（図示省略）に対して問い合わせる、などの方法が挙げられる。

ＡＡＡサーバ１２０は、エッジ機能部２３０・ＡＡＡプロキシ２４０を介して受信した認証要求に対して、該認証要求がＳＩＭ端末１０に係るものであり該認証要求にＳＩＭ情報が含まれている場合には、該ＳＩＭ情報を用いて認証処理を行う。そしてＡＡＡサーバ１２０は、認証結果を送信元のＳＩＭ端末１０に返す。さらにＡＡＡサーバ１２０は、エッジ機能部２３０により付加された回線識別情報を認証要求から取得し、該回線識別情報をＳＩＭ情報と関連づけて所定の記憶手段（図示省略）に記憶する。

一方、ＡＡＡサーバ１２０は、エッジ機能部２３０・ＡＡＡプロキシ２４０を介して受信した認証要求に対して、該認証要求が非ＳＩＭ端末２０に係るものであり該認証要求にＳＩＭ情報が含まれていない場合には、エッジ機能部２３０により付加された回線識別情報を認証要求から取得し、該回線識別情報に関連づけられたＳＩＭ情報を前記記憶手段から取得する。そしてＡＡＡサーバ１２０は、該ＳＩＭ情報を用いて認証処理を行い、認証結果を送信元の非ＳＩＭ端末２０に返すとともに該ＳＩＭ情報と関連づけられているユーザプロファイルを非ＳＩＭ端末２０に送信する。なお、認証結果とユーザプロファイルの送信タイミングは同時であってもそれぞれ独立していてもよい。

次に、本実施の形態に係る端末認証方法について図３及び図４のシーケンスチャートを参照して説明する。ここではＳＩＭ端末１０の認証手順としてＥＡＰ−ＳＩＭ（Extensible Authentication Protocol-Subscriber Identity Module）に本発明を適用する例について例示する。なお、他の認証手順、例えばＩＤ・パスワードによる認証手順や、チャレンジレスポンス認証手順などにおいても本発明を適用できる点に留意されたい。また、ＳＩＭ端末１０で利用する認証手順と非ＳＩＭ端末２０で利用する認証手順・プロトコルは必ずしも同じである必要がない点に留意されたい。さらに、図３においては、説明の簡単のためＥＡＰ−ＳＩＭによる認証シーケンスを簡略化している。ＥＡＰ−ＳＩＭの詳細については非特許文献５を参照されたい。

非ＳＩＭ端末２０の認証処理に先立ち、まずＳＩＭ端末１０の認証処理を行う。図３に示すように、ＳＩＭ端末１０は、Ｗｉ−Ｆｉアクセスポイント２２０へ接続し、ＳＩＭ情報を含む認証要求メッセージをＷｉ−Ｆｉアクセスポイント２２０を経由してエッジ機能部２３０に送出する（ステップＳ１）。次に、エッジ機能部２３０は、受信した認証要求メッセージに回線識別情報を付加し（ステップＳ２）、該認証要求メッセージをルータ２１０を経由してＡＡＡプロキシ２４０に転送する（ステップＳ３）。ＡＡＡプロキシ２４０は、受信した認証要求メッセージをゲートウェイ２０２，１０２を経由してＡＡＡサーバ１２０に転送する（ステップＳ４）。なお、このときＡＡＡプロキシ２４０は、認証要求メッセージに含まれるＳＩＭ情報を参照して接続先の移動網を複数のうちから選択してもよい。

次にＡＡＡサーバ１２０は、受信した認証要求メッセージに含まれるＳＩＭ情報とＡＡＡサーバ１２０が管理する加入者情報１２５を照らし合わせてＳＩＭ端末１０を認証するとともに（ステップＳ５）、認証要求メッセージに含まれるＳＩＭ情報と回線識別情報とを関連づけて所定の記憶手段に保存する（ステップＳ６）。そしてＡＡＡサーバ１２０は、認証結果をゲートウェイ１０２，２０２、ＡＡＡプロキシ２４０、ルータ２１０、エッジ機能部２３０を経由してＷｉ−Ｆｉアクセスポイント２２０に通知する（ステップＳ７）。Ｗｉ−Ｆｉアクセスポイント２２０は認証結果をＳＩＭ端末１０に通知するとともに（ステップＳ８）、ＩＰアドレスをＳＩＭ端末１０に払い出す（ステップＳ９）。

次に、図４に示すように、非ＳＩＭ端末２０は、Ｗｉ−Ｆｉアクセスポイント２２０へ接続し、自端末内に記録された移動網１００のＡＡＡサーバ１２０のアドレスを宛先とした認証要求メッセージをＷｉ−Ｆｉアクセスポイント２２０を経由してエッジ機能部２３０に送出する（ステップＳ１１）。次に、エッジ機能部２３０は、受信した認証要求メッセージに回線識別情報を付加し（ステップＳ１２）、該認証要求メッセージをルータ２１０を経由してＡＡＡプロキシ２４０に転送する（ステップＳ１３）。ＡＡＡプロキシ２４０は、受信した認証要求メッセージをゲートウェイ２０２，１０２を経由してＡＡＡサーバ１２０に転送する（ステップＳ１４）。なお、このときＡＡＡプロキシ２４０は、ＤＮＳサーバ（図示省略）などのアドレス解決手段（移動網１００，固定網２００或いは外部ネットワーク９００に具備されることが考えられるがこれに限定されない）により接続先の移動網を複数のうちから選択しても良い。

次にＡＡＡサーバ１２０は、受信した認証要求メッセージに含まれる回線識別情報をキーとして所定の記憶手段から該回線識別情報に対応するＳＩＭ情報を抽出し（ステップＳ１５）、該ＳＩＭ情報により非ＳＩＭ端末２０を認証する（ステップＳ１６）。そしてＡＡＡサーバ１２０は、ＳＩＭ情報に対応するユーザプロファイルを加入者情報１２５から抽出し（ステップＳ１７）、認証結果及びユーザプロファイルをゲートウェイ１０２，２０２、ＡＡＡプロキシ２４０、ルータ２１０、エッジ機能部２３０を経由してＷｉ−Ｆｉアクセスポイント２２０に通知する（ステップＳ１８）。Ｗｉ−Ｆｉアクセスポイント２２０は認証結果及びユーザプロファイルを非ＳＩＭ端末２０に通知するとともに（ステップＳ１９）、ＩＰアドレスを非ＳＩＭ端末２０に払い出す（ステップＳ２０）。

以上詳述したように、本実施の形態に係る端末認証システムによれば、ＳＩＭ端末１０がＳＩＭ情報をＡＡＡサーバ１２０での認証処理を行うことにより、同一のＷｉ−Ｆｉアクセスポイント２２０を介すればＳＩＭ情報を有さない非ＳＩＭ端末２０であってもＳＩＭ端末１０のＳＩＭ情報を用いてＡＡＡサーバ１２０で認証処理を行うことができるとともに、ＳＩＭ端末１０と関連づけられたユーザプロファイルを取得することができる。

（第２の実施の形態）
本発明の第２の実施の形態に係る認証方法及びシステムについて図面を参照して説明する。本実施の形態が第１の実施の形態と異なる点は、ＡＡＡサーバ１２０が非ＳＩＭ端末２０からの認証要求に対してＳＩＭ端末１０のＳＩＭ情報を取得するための情報として、回線識別情報だけでなく、該ＳＩＭ情報が格納されたＳＩＭ端末１０を識別可能な端末識別情報をも利用する点にある。本実施の形態のシステム構成については第１の実施の形態と同様である。ここでは相違点について詳述する。

本実施の形態では、ＳＩＭ端末１０はＡＡＡサーバ１２０に対する認証要求に対してＳＩＭ情報だけでなく、該ＳＩＭ端末１０を識別可能な端末識別情報を含ませる。端末識別情報としては種々のものが利用できる。例えば、ＳＩＭ端末１０がＢｌｕｅｔｏｏｔｈ機能を有している場合にはＢｌｕｅｔｏｏｔｈＩＤを用いることが考えられる。他の例としては、ＳＩＭ端末１０のＭＡＣ（Media Access Control）アドレス、電話番号、氏名、ＳＩＭ情報そのもの、ＳＩＭ情報の一部（例えばＳＩＭ情報に含まれるＩＣＣＩＤやＩＭＳＩの下位４桁などが考えられるがこれらに限定されない）、ソフトウェア上で登録されるＩＤ・パスワード（ＯｐｅｎＩＤ等のシングルサインオン用のＩＤを含む）を用いる方法等が考えられる。

またＳＩＭ端末１０は、非ＳＩＭ端末２０とピアリングして端末識別情報を非ＳＩＭ端末２０に送信可能となっている。該端末識別情報の送信は、ＳＩＭ端末１０からのプッシュ形式であってもよいし、非ＳＩＭ端末２０からの要求に応じる形式であってもよい。ピアリングの形態としては、例えばＢｌｕｅｔｏｏｔｈ、ＲＦＩＤ（Radio Frequency IDentification）、無線ＬＡＮ、物理的接触等が考えられるが、これらに限定されない。そして非ＳＩＭ端末２０は、ＡＡＡサーバ１２０に対する認証要求に対して、ＳＩＭ端末１０から取得した端末識別情報を含ませる。

ＡＡＡサーバ１２０は、エッジ機能部２３０・ＡＡＡプロキシ２４０を介して受信した認証要求に対して、該認証要求がＳＩＭ端末１０に係るものであり該認証要求にＳＩＭ情報が含まれている場合には、該ＳＩＭ情報を用いて認証処理を行う。そしてＡＡＡサーバ１２０は、認証結果を送信元のＳＩＭ端末１０に返す。さらにＡＡＡサーバ１２０は、端末識別情報とエッジ機能部２３０により付加された回線識別情報とを認証要求から取得し、該回線識別情報及び端末識別情報をＳＩＭ情報と関連づけて所定の記憶手段（図示省略）に記憶する。

一方、ＡＡＡサーバ１２０は、エッジ機能部２３０・ＡＡＡプロキシ２４０を介して受信した認証要求に対して、該認証要求が非ＳＩＭ端末２０に係るものであり該認証要求にＳＩＭ情報が含まれていない場合には、端末識別情報とエッジ機能部２３０により付加された回線識別情報とを認証要求から取得し、該回線識別情報及び端末識別情報に関連づけられたＳＩＭ情報を前記記憶手段から取得する。そしてＡＡＡサーバ１２０は、該ＳＩＭ情報を用いて認証処理を行い、認証結果を送信元の非ＳＩＭ端末２０に返すとともに該ＳＩＭ情報と関連づけられているユーザプロファイルを非ＳＩＭ端末２０に送信する。なお、認証結果とユーザプロファイルの送信タイミングは同時であってもそれぞれ独立していてもよい。

ＡＡＡサーバ１２０において加入者情報１２５として予め記憶されているユーザプロファイルの一例を図５に示す。図５に示すように、ユーザプロファイルはＳＩＭ情報と関連づけられており、図５の例では、ＩＭＳＩ（International Mobile Subscriber Identity）をキーとしてユーザプロファイルとＳＩＭ情報とユーザプロファイルが関連づけられている。また、ユーザプロファイルにはＳＩＭ端末１０の端末識別情報が含まれる。

次に、本実施の形態に係る端末認証方法について図６及び図７のシーケンスチャートを参照して説明する。ここではＳＩＭ端末１０の認証手順としてＥＡＰ−ＳＩＭ（Extensible Authentication Protocol-Subscriber Identity Module）に本発明を適用する例について例示する。なお、他の認証手順、例えばＩＤ・パスワードによる認証手順や、チャレンジレスポンス認証手順などにおいても本発明を適用できる点に留意されたい。また、ＳＩＭ端末１０で利用する認証手順と非ＳＩＭ端末２０で利用する認証手順・プロトコルは必ずしも同じである必要がない点に留意されたい。また、図６においては、説明の簡単のためＥＡＰ−ＳＩＭによる認証シーケンスを簡略化している。ＥＡＰ−ＳＩＭの詳細については非特許文献５を参照されたい。

非ＳＩＭ端末２０の認証処理に先立ち、まずＳＩＭ端末１０の認証処理を行う。図６に示すように、ＳＩＭ端末１０は、Ｗｉ−Ｆｉアクセスポイント２２０へ接続し、ＳＩＭ情報を含む認証要求メッセージをＷｉ−Ｆｉアクセスポイント２２０を経由してエッジ機能部２３０に送出する（ステップＳ３１）。ここで本実施の形態が前記第１の実施の形態と異なる点は、認証要求メッセージにＳＩＭ端末１０の端末識別情報を含ませている点にある。次に、エッジ機能部２３０は、受信した認証要求メッセージに回線識別情報を付加し（ステップＳ３２）、該認証要求メッセージをルータ２１０を経由してＡＡＡプロキシ２４０に転送する（ステップＳ３３）。ＡＡＡプロキシ２４０は、受信した認証要求メッセージをゲートウェイ２０２，１０２を経由してＡＡＡサーバ１２０に転送する（ステップＳ３４）。なお、このときＡＡＡプロキシ２４０は、認証要求メッセージに含まれるＳＩＭ情報を参照して接続先の移動網を複数のうちから選択しても良い。

次にＡＡＡサーバ１２０は、受信した認証要求メッセージに含まれるＳＩＭ情報とＡＡＡサーバ１２０が管理する加入者情報１２５を照らし合わせてＳＩＭ端末１０を認証するとともに（ステップＳ３５）、認証要求メッセージに含まれるＳＩＭ情報と回線識別情報及び端末識別情報とを関連づけて所定の記憶手段に保存する（ステップＳ３６）。そしてＡＡＡサーバ１２０は、認証結果をゲートウェイ１０２，２０２、ＡＡＡプロキシ２４０、ルータ２１０、エッジ機能部２３０を経由してＷｉ−Ｆｉアクセスポイント２２０に通知する（ステップＳ３７）。Ｗｉ−Ｆｉアクセスポイント２２０は認証結果をＳＩＭ端末１０に通知するとともに（ステップＳ３８）、ＩＰアドレスをＳＩＭ端末１０に払い出す（ステップＳ３９）。

次に、図７に示すように、非ＳＩＭ端末２０は、ＳＩＭ端末１０とピアリングしてＳＩＭ端末１０の端末識別情報を取得する（ステップＳ４１）。そして非ＳＩＭ端末２０は、Ｗｉ−Ｆｉアクセスポイント２２０へ接続し、自端末内に記録された移動網１００のＡＡＡサーバ１２０のアドレスを宛先とした認証要求メッセージをＷｉ−Ｆｉアクセスポイント２２０を経由してエッジ機能部２３０に送出する（ステップＳ４２）。ここで本実施の形態が前記第１の実施の形態と異なる点は、認証要求メッセージにＳＩＭ端末１０の端末識別情報を含ませている点にある。次に、エッジ機能部２３０は、受信した認証要求メッセージに回線識別情報を付加し（ステップＳ４３）、該認証要求メッセージをルータ２１０を経由してＡＡＡプロキシ２４０に転送する（ステップＳ４４）。ＡＡＡプロキシ２４０は、受信した認証要求メッセージをゲートウェイ２０２，１０２を経由してＡＡＡサーバ１２０に転送する（ステップＳ４５）。なお、このときＡＡＡプロキシ２４０は、ＤＮＳサーバ（図示省略）などのアドレス解決手段（移動網１００，固定網２００或いは外部ネットワーク９００に具備されることが考えられるがこれに限定されない）により接続先の移動網を複数のうちから選択してもよい。

次にＡＡＡサーバ１２０は、受信した認証要求メッセージに含まれる回線識別情報及び端末識別情報をキーとして所定の記憶手段から該回線識別情報及び端末識別情報に対応するＳＩＭ情報を抽出し（ステップＳ４６）、該ＳＩＭ情報により非ＳＩＭ端末２０を認証する（ステップＳ４７）。そしてＡＡＡサーバ１２０は、ＳＩＭ情報に対応するユーザプロファイルを加入者情報１２５から抽出し（ステップＳ４８）、認証結果及びユーザプロファイルをゲートウェイ１０２，２０２、ＡＡＡプロキシ２４０、ルータ２１０、エッジ機能部２３０を経由してＷｉ−Ｆｉアクセスポイント２２０に通知する（ステップＳ４９）。Ｗｉ−Ｆｉアクセスポイント２２０は認証結果及びユーザプロファイルを非ＳＩＭ端末２０に通知するとともに（ステップＳ５０）、ＩＰアドレスを非ＳＩＭ端末２０に払い出す（ステップＳ５１）。

以上詳述したように、本実施の形態に係る端末認証システムによれば、第１の実施の形態と同様に、ＳＩＭ端末１０がＳＩＭ情報をＡＡＡサーバ１２０での認証処理を行うことにより、同一のＷｉ−Ｆｉアクセスポイント２２０を介すればＳＩＭ情報を有さない非ＳＩＭ端末２０であってもＳＩＭ端末１０のＳＩＭ情報を用いてＡＡＡサーバ１２０で認証処理を行うことができるとともに、ＳＩＭ端末１０と関連づけられたユーザプロファイルを取得することができる。

ここで、本実施の形態が第１の実施の形態と異なる点は、非ＳＩＭ端末２０の認証処理にあたってＳＩＭ端末１０のＳＩＭ情報を取得する際に、回線識別情報だけでなくＳＩＭ端末１０の識別情報をも用いている点にある。本発明では、同一のＷｉ−Ｆｉアクセスポイント２２０を用いて複数のＳＩＭ端末１０がＡＡＡサーバ１２０で認証処理を行った場合、ＡＡＡサーバ１２０には回線識別情報に関連づけられたＳＩＭ情報が複数存在することになる。このため、非ＳＩＭ端末２０の認証処理にあたって、どのＳＩＭ端末１０のＳＩＭ情報を取得するかを何らかのロジックにより選択する必要がある。そこで本実施の形態では、ＡＡＡサーバ１２０において回線識別情報及び端末識別情報に関連づけてＳＩＭ情報を記憶する。そして非ＳＩＭ端末２０は、認証処理の開始に先立ってＳＩＭ端末１０から端末識別情報を取得して認証要求に該端末識別情報を含ませる。これにより、複数のＳＩＭ端末１０から１つのＳＩＭ端末１０を特定し、該ＳＩＭ端末１０のＳＩＭ情報を用いた認証処理を行うことができるとともに、該ＳＩＭ端末１０と関連づけられたユーザプロファイルを取得することができる。

以上、本発明の実施の形態について詳述したが本発明はこれに限定されるものではない。例えば、上記各実施の形態では、Ｗｉ−Ｆｉアクセスポイント２２０がＳＩＭ端末１０又は非ＳＩＭ端末２０に認証結果を通知した後にＩＰアドレスを払い出しているが、認証処理に先立ってＩＰアドレスを払い出すようにしてもよい。また上記各実施の形態では、Ｗｉ−Ｆｉアクセスポイント２２０がＳＩＭ端末１０又は非ＳＩＭ端末２０にＩＰアドレスを払い出しているが、他の装置によって払い出しを行うようにしてもよい。例えば、移動網１００内の装置がＩＰアドレスを払い出すようにしてもよい。

また、上記各実施の形態では、非ＳＩＭ端末２０に対して認証結果を送信する際に、該認証結果とともに認証処理で用いたＳＩＭ１０端末のＳＩＭ情報に対応するユーザプロファイルを送信していたが、ユーザプロファイルの送信は必ずしも必要ではない。

また、上記各実施の形態では、加入者宅内装置としての機能とユーザ宅に無線ＬＡＮを構築するためのアクセスポイントとしての機能をＷｉ−Ｆｉアクセスポイント２２０に集約させているが、両機能はそれぞれ別装置として実装するようにしてもよい。また、ユーザ宅のＬＡＮ３００には、加入者宅内装置に集約されているか否かに拘わらず複数のアクセスポイントを設けてもよい。さらに、移動網１００及び固定網２００内の各装置の実装形態は不問であり、複数の装置に分散させたり１つの装置に集約させたり種々の実装形態をとることができる。例えば、移動網１００における加入者情報１２５を管理するための実装形態や、回線識別情報（及び端末識別情報）とＳＩＭ情報とを関連づけて記憶・管理するための実装形態は種々のものを採用することができる。

また、上記各実施の形態では、ＳＩＭ情報を有さない非ＳＩＭ端末２０が図４又は図７のシーケンスにしたがった認証手順を行うことによりＳＩＭ端末１０のＳＩＭ情報を用いた認証処理を行っていたが、ＳＩＭ情報を有するＳＩＭ端末が該認証手順を行ってもよい。すなわちこの場合には、ＳＩＭ端末は自身のＳＩＭ情報ではなく他のＳＩＭ端末に係るＳＩＭ情報を用いて認証処理を行うことになる。

また、上記各実施の形態では、第１通信網が移動網１００である場合について例示したため、移動網１００における認証情報としてＳＩＭカードに格納されたＳＩＭ情報を用いた例について説明したが、端末の認証が可能であるならば他の認証情報を用いてもよい。また、上記実施の形態では、第１通信網が移動網である場合について説明したが、他の通信網であっても本発明を適用できる。例えば、第１通信網としてネットワーク上でユーザに各種サービスを提供するサービスプロバイダの通信網であってもよい。例えば、インターネットは複数の通信網を相互に接続して構成されているが、その構成網の１つの通信網においてユーザに対してサービス（例えば検索サービス）を提供しており、しかも該サービス提供においてユーザ認証を行っている場合、該サービス提供に係る通信網を第１通信網として本発明を適用することができる。すなわち第１通信網としてはユーザ端末からの直接のアクセス手段は必ずしも必要ない点に留意されたい。一方、第２通信網としては回線識別情報が必要となるので加入者宅内装置及びアクセス回線を具備した固定網である必要がある点に留意されたい。また、上記実施の形態では、第１通信網が１つの場合について例示したが第１通信網が複数の場合であってもよい。

１００…移動網、１２０…ＡＡＡサーバ、２００…固定網、２２０…Ｗｉ−Ｆｉアクセスポイント、２３０…エッジ機能部、２３５…回線識別情報付与機能部、２４０…ＡＡＡプロキシ

Claims (5)

1. 第１通信事業者が提供する第１通信網と、該第１通信網と通信可能に接続され第２通信事業が提供する第２通信網と、ユーザ宅のＬＡＮを第２通信網に接続するための加入者宅内装置と、第２通信網に配置され加入者宅内装置を収容するユーザ収容装置と、第１通信網に配置されユーザ端末の第１通信網での正当性を第１通信網用の認証情報を用いて認証する第１認証サーバとを備えたネットワークにおいて、
   第１ユーザ端末が第１通信網用の認証情報を含む第１認証要求を加入者宅内装置を介してユーザ収容装置に送信するステップと、
   ユーザ収容装置が第１認証要求の送信元の加入者宅内装置が収容された回線の回線識別情報を第１認証要求に付加して第１認証サーバに向けて送出するステップと、
   第１認証サーバが第１認証要求に含まれる認証情報を用いて認証処理を行い第１認証結果を第１ユーザ端末に送出するステップと、
   第１認証サーバが第１認証要求に含まれる認証情報及び回線識別情報を関連づけて所定の記憶手段に保存するステップと、
   第２ユーザ端末が第１通信用の認証情報を含まない第２認証要求を加入者宅内装置を介してユーザ収容装置に送信するステップと、
   ユーザ収容装置が第２認証要求の送信元の加入者宅内装置が収容された回線の回線識別情報を第２認証要求に付与して第１認証サーバに向けて送出するステップと、
   第１認証サーバが第２認証要求に含まれる回線識別情報に基づき該回線識別情報に関連づけられた認証情報を前記記憶手段から取得し、該認証情報を用いて認証処理を行い第２認証結果を第２ユーザ端末へ送出するステップとを備えた
   ことを特徴とするネットワークにおける端末認証方法。
2. 第１認証サーバは、予め第１ユーザ端末の認証情報と関連づけたユーザプロファイルを所定の記憶手段に記憶しておき、
   第１認証サーバは、第２認証要求に含まれる回線識別情報に基づき該回線識別情報に関連づけられた認証情報を前記記憶手段から取得する際に該認証情報に関連づけられたユーザプロファイルを取得し、第２認証結果とともにユーザプロファイルを第２ユーザ端末へ送出する
   ことを特徴とする請求項１記載のネットワークにおける端末認証方法。
3. 第１ユーザ端末は、第１ユーザ端末を識別可能な端末識別情報を第１認証要求に含ませ、
   第１認証サーバは、第１認証要求に含まれる認証情報及び回線識別情報並びに端末識別情報を関連づけて所定の記憶手段に保存し、
   第２ユーザ端末は、第２認証要求の送信に先立ち第１ユーザ端末から該第１ユーザ端末の端末識別情報を取得し、該端末識別情報を第２認証要求に含ませ、
   第１認証サーバは、第２認証要求に含まれる回線識別情報及び端末識別情報に基づき該回線識別情報及び端末識別情報に関連づけられた認証情報を前記記憶手段から取得する
   ことを特徴とする請求項１又は２記載のネットワークにおける端末認証方法。
4. 第１通信網は移動網であり、第２通信網は固定網である、
   ことを特徴とする請求項１乃至３何れか１項記載のネットワークにおける端末認証方法。
5. 第１通信事業者が提供する第１通信網と、該第１通信網と通信可能に接続され第２通信事業が提供する第２通信網と、ユーザ宅のＬＡＮを第２通信網に接続するための加入者宅内装置と、第２通信網に配置され加入者宅内装置を収容するユーザ収容装置と、第１通信網に配置され第１通信網用の認証情報を用いてユーザ端末の第１通信網への接続を認証する第１認証サーバとを備えたネットワークにおいて、
   ユーザ収容装置はユーザ端末から受信した認証要求に対して該認証要求に加入者宅内装置が収容された回線の回線識別情報を第１認証要求に付加して第１認証サーバに向けて送出する回線情報付加手段を備え、
   第１認証サーバは、ユーザ収容装置から受信した認証要求が第１通信網用の認証情報を有する第１ユーザ端末に係るものの場合には該認証情報を用いて認証処理を行い認証結果を第１ユーザ端末へ送出するとともに該認証要求に含まれている認証情報と回線識別情報とを関連づけて所定の記憶手段に保存するとともに、ユーザ収容装置から受信した認証要求が第１通信網用の認証情報を有さない第２ユーザ端末に係るものの場合には該認証要求に含まれる回線識別情報に基づき該回線識別情報に関連づけられた第１通信網用の認証情報を前記記憶手段から取得し該認証情報を用いて認証処理を行い認証結果を第２ユーザ端末へ送出する
   ことを特徴とするネットワークにおける端末認証システム。

Images