JP5982389B2 - クロスアクセスログインコントローラ - Google Patents

Description

本発明は、クロスアクセスログインコントローラに関し、詳細には、コンバージドネットワークへのアクセスを管理するためのコントローラに関する。

最近の一般的なネットワーク制御アーキテクチャは、サービスの提供を可能にするために、連携して動作するいくつかの主要な構成要素を含む。

図１は、基本的なネットワークアーキテクチャを示す。

図１に示すように、ユーザ装置は、バックボーン（コアとも呼ばれる）ネットワーク（７）へのユーザアクセスを管理するアクセスゲートウェイ（２）に接続される、アクセスネットワーク（８）に接続される。接続手順は、アクセスゲートウェイ（２）によって管理され、
ＤＨＣＰ（動的ホスト構成プロトコル）サーバ（３）によって支援される、ユーザ装置（１）の設定と、
ＡＡＡ（認可、認証、及びアカウンティング）サーバ（４）によって支援される、ユーザ認証及び認可と、
を含み、
ＤＨＣＰサーバ及びＡＡＡサーバは共に、その動作において、加入者プロファイルリポジトリ（６）内に格納されるユーザ詳細情報についての問い合わせを行うことができる。

ユーザ装置（すなわち、クライアント）のパラメータは、通常、明確なユーザ識別を可能にする認証情報を生成するために利用される。ユーザ装置は、携帯電話デバイス、ＰＤＡ，パーソナルコンピュータ若しくはポータブルコンピュータ、又は他のデバイスとの通信を実行することができ、そのように構成される他の任意の電子デバイスとすることができる。ユーザ装置のパラメータは、例えば、電話番号、ＭＡＣアドレス、物理ポート、仮想的なプライベートネットワークＩＤ等とすることができる。

ユーザは、ネットワークへアクセスする前に、加入者プロファイルリポジトリにおいて登録する必要がある。登録は、１つのタイプの接続に関して実行されるので、１つのタイプの接続にアクセスすることができる。ユーザ情報は、顧客関係管理（ＣＲＭ）システムを用いて入力することができ、専用のデータベース（いわゆるＳＰＲ加入者プロファイルリポジトリ）に格納することができる。アクセスゲートウェイ（２）がユーザログイン中にクライアントから送信されるアクセスリクエストを受信する際に、ユーザの認証情報（加入者認証情報とも呼ばれる）は、アクセスリクエストから抽出され、ＳＰＲ内に格納されているものと比較される。認証情報が同一の場合、認証情報に対応する接続のタイプを経由してネットワークにアクセスすることができる。いくつかのネットワークにおいて（一般に、Ｗｉ−Ｆｉのような、プロミスキャスアクセスを有するネットワークに関する）、ユーザポータル（５）は、アクセス認証情報を対話型で入力するために使用できる。その他の場合（ＤＳＬ、又はセルラのような、固定接続）においては、ユーザ認証情報は、アクセス側の装置（例えば、ＤＳＬモデム、デジタルシリアルラインマルチプレクサ等）からのリクエストに組み込まれる接続詳細情報（ＭＡＣアドレスのようなユーザ装置の永続的な固有の設定、ポート）から抽出することができる。

ＡＡＡ（認可、認証、アカウンティング）サーバ等を経由する（ＧＧＳＮ（ゲートウェイＧＰＲＳ（汎用パケット無線サービス）サポートノード）のような）（アクセスコントローラとも呼ばれる）ネットワークアクセスゲートウェイ（２）は、ユーザのアクセス、セッション、及びサービスを管理するためにＳＰＲに集中的にアクセスする。

ＡＡＡ、ＳＰＲ、ＤＨＣＰ、及び他のアプリケーションは、閉ざされ保護された（プロバイダ・バックオフィスとも呼ぶことがある）環境を作る。バックオフィスは、通常、適切なネットワークタイプ（セルラ、ＤＳＬ、Ｗｉ−Ｆｉ、等）に接続する。従って、サービスプロバイダが、異なるアクセスタイプのいくつかのネットワークを管理する場合、その各々は、専用のバックオフィス環境によってサービスが提供される。従って、異なるアクセスタイプのいくつかのコアネットワークにアクセスするために、ユーザは、各々が異なるアクセスタイプに対応するいくつかのバックオフィスＳＰＲに登録する必要がある。

携帯電話、ラップトップ等のような最新のユーザ装置は、いくつかのネットワークアダプタを有し、ＧＰＲＳ、Ｗｉ−Ｆｉ、Ｗｉ−Ｍａｘ等のような異なるタイプの接続をサポートすることができる。適切な場所における制限付き接続、ネットワークノード輻輳、トラヒックの高コストといった多くの場合において、ユーザは、異なるタイプの接続を使用する能力を利用して、エリア内で利用できる実行可能な代替ネットワーク（訪問先ネットワークとも呼ばれる）上でネットワークに接続すること、又は利用可能なエリア内の各ネットワーク接続との間で切り替えることを望む場合がある。各ネットワーク接続との間で切り替えることは、例えば、セルラからＷｉ−Ｆｉへ、セルラからＷｉ−Ｍａｘへ、Ｗｉ−Ｆｉからセルラへ、Ｗｉ−ＦｉからＷｉ−Ｍａｘへ等の何らかの１つとすることができる。

また、切り替えることは、異なるプロバイダによって同様に運用される、同一のタイプの各ネットワークとの間で行うこと、すなわち、Ｗｉ−Ｆｉ１からＷｉ−Ｆｉ２へ、又はセルラ１からセルラ２へ切り替えることができる。前述の全ての切り替えは、デバイスの特性、及び異なる種類のネットワーク接続におけるデバイスのサポートに依存する。

以下の説明において、「ホームネットワーク」という用語は、ユーザが登録されているネットワークを参照するために使用される。「訪問先ネットワーク」という用語は、ユーザが登録されてないネットワークを参照するために使用される。

前述のように、ユーザは、１つ又はそれ以上のタイプのネットワーク接続に関して、ネットワークにアクセスする前に、適切なホームネットワークのＳＰＲ（６）に登録する必要がある。

ユーザが、未登録の訪問先ネットワークを経由してネットワークにアクセスしようと試みる場合、訪問先ネットワークの制御エンジンは、一時的な認証情報に関してホームネットワークのコントローラに問い合わせを行う。一時的な認証情報は、１セッションのみに関するユーザ認証に関して使用され、接続が終了すると、一時的な認証情報は、訪問先ネットワークにおいて破棄される。同じ未登録のユーザが行う訪問先ネットワークへアクセスしようとする何らかの更なる試みは、ユーザが、一時的な認証情報を使用する同じ手続きを踏むことを必要とする。

図２に示すように、
・ユーザは、ユーザ装置を使用して、（ユーザが登録されていない）訪問先ネットワークに接続することを試行する。この例において、訪問先ネットワークは、ＷｉＦｉネットワークである。
・アクセスコントローラ２．２は、ローカルのＳＰＲ２．６．２を調べて、クエリ内に提供される、電話番号、ＭＡＣアドレス、ＩＤ等のようなユーザ認証情報が、ローカルのＳＰＲ２．６．２で見つからない場合には、ホームネットワークのコントローラ２．１が適切な認証情報に関する問い合わせに応じる。
・ホームネットワークから受け取った認証情報は、ユーザ認証及び認可で使用される。例えば、ユーザは、ＷＥＢページで指示され、ユーザＩＤ及びパスワードの入力を求められる（ホームネットワークと同じ又は専用の一時的なＩＤ、及び訪問先ネットワークにおいてログインに関して割り当てられるパスワード）。
・認証手続きが完了すると、次回、ネットワークコントローラ及びユーザが、同じ手続き、すなわち、認証情報に関してホームネットワークに尋ねることを再度行う必要があるようにするために、ユーザ認証情報は訪問先ネットワークにおいて破棄される。

前記に照らして、訪問先ネットワーク上で接続するために、ユーザは、訪問先ネットワークにログインする間にユーザが認証情報を入力すること（例えば、ユーザＩＤ、パスワード、及び秘密コードを入力すること）を含む、再発する厄介でエラーが発生しやすいログイン手続きを踏む必要がある。

この手続きをサポートするために、認証情報は、生成／抽出され、両者の間で安全で信頼性がある通信チャネルを必要とする、ホームネットワークと訪問先ネットワークとの間で転送する必要がある。この手続きは、ユーザが訪問先ネットワークに以前に接続したことがある場合でも、訪問先ネットワークへの接続毎に行われる。

ユーザ又は訪問先ネットワークが上記の手続きを実行することを必要とすることなく、ユーザが、１つ又はそれ以上の代替ネットワークへのシームレスでトランスペアレントなログイン、すなわち訪問先ネットワークへの直接のログインを実行することができるようにすることにより、運用担当者は、ユーザエクスペリエンスを改善し、伝送及びネットワーク制御インフラにおける投資を最小限に抑えることができ、一方で、ユーザは、毎回積極的に認証されることを必要とせずに、利用可能なネットワークの各々に直接接続することができる。

自動化されたトランスペアレントなログインは、Ｗｉ−Ｆｉ、Ｗｉ−Ｍａｘ、セルラ、ＤＳＬ等のような様々なアクセス技術に基づく、異なるネットワークの間でのより容易な統合に関するインフラを生成する。これは、トラヒックオフロード、ネットワーク輻輳管理のような最も発展したネットワークシナリオに関する技術を可能にすることに役立つ。トラヒックオフロードは、ユーザが、安価な料金、高いサービス品質、信頼性等のようないくつかの基準により、エリアにおいて利用可能な代替ネットワークに切り替えることができるシナリオに関する。例えば、ビデオサービスを受けるために、セルラビデオ伝送があまりに高価で高品質のビデオをサポートしないので、ユーザは、Ｗｉ−Ｆｉネットワークを経由する必要がある。

輻輳管理は、特定の場所又はデバイスにおけるネットワークの過負荷の場合に適用されるトラヒックオフローディングのようなものである。例えば、セルラネットワークが過負荷である場合、ユーザは、エリア内で利用可能なＷｉ−Ｆｉネットワークに自動的に切り替えることができる。

また、輻輳管理は、費用の高いネットワークでの負荷を低減し、従ってネットワーク拡張を遅らせるか又は縮小されるように、サービスプロバイダが、あまり拡張性がないネットワークインフラを使用することをユーザに促すための手段を提供する意図がある。

トラヒック及びビジネスチャレンジ（ネットワーク輻輳、費用の高いトラヒック）に対応するために、運用担当者（すなわち、サービスプロバイダ）は、同じ地理上の場所においてサポートされるいくつかのアクセス技術をユーザに提供し、それらをユーザが同時に利用できるようにすることができる。サービスプロバイダは、各々の地理上のエリアにおいて様々な技術をサポートすることができるか、又は他のサービスプロバイダのネットワークを再利用することができる。

ユーザがどのネットワークに接続するにしても、運用担当者は、ログイン認証及び認可、サービス制御等のような、一般的なユーザ操作フローを処理する一貫性のあるユーザエクスペリエンスを保証する必要がある。例えば、携帯電話等を使用してセルラネットワーク上でポータルに接続する際に、接続は携帯電話の一意的なＭＳＩＳＤＮ番号に基づいているので、ユーザからの何らかの認証及び認可は必要ない。同じ携帯電話を使用してＷｉ−Ｆｉ上でインターネットに接続する間に、ユーザに同じエクスペリエンスを提供するためには、運用担当者は、デバイス上のモバイルインタフェースに関してはＭＳＩＳＤＮのみが利用可能であり、一方でＷｉＦｉ接続に関しては、十分に安全ではなくモバイルアカウントに対して何らかの相関性を提供しないＭＡＣアドレスのみが利用可能であるという、ユーザの識別に関する問題を解決する必要がある。

Ｗｉ−Ｆｉ上でインターネットに接続している間に、ユーザに同様のエクスペリエンスを提供するために、運用担当者は、ＭＳＩＳＤＮを有しないが、代わりにＭＡＣアドレスを有するユーザの識別に関する問題を解決する必要がある。

従って、自動化された登録及び訪問先ネットワークへのユーザのシームレスなログインのためのシステムの解決策及び手順が必要とされる。

本発明は、同一のアクセスタイプを有する異なるネットワーク、又は同一若しくは異なるサービスプロバイダに属する（Ｗｉ−Ｆｉ、セルラ、ＤＳＬ、Ｗｉ−ＭＡＸ等のような）異なるアクセスタイプを有する異なるネットワークに適用することができる。

本発明の１つの態様によれば、ネットワークへのアクセスを制御する方法が提供され、本方法は、
データリポジトリに、第２のタイプの接続に関する第１の識別詳細情報を格納して、該詳細情報を第１のタイプの接続に関するそれぞれのベース認証情報と関連付ける段階と、
第２の識別詳細情報と第１の識別詳細情報との間で相関が見つかった場合に、第２の識別詳細情報を含み、第２のタイプの接続を経由してネットワークにアクセスするリクエストを認可する段階と、
を含む。

特定の実施形態によれば、更に、本発明は、ネットワークへのアクセスを制御するためのシステムを提供し、本システムは、コントローラと関連するデータリポジトリを備え、
データリポジトリは、第２のタイプの接続に関する第１の識別詳細情報を格納して、該詳細情報を第１のタイプの接続に関するそれぞれのベース認証情報と関連付けるように構成され、
コントローラは、第２の識別詳細情報を含むリクエストに応じて、第２の識別詳細情報と第１の識別詳細情報との間の相関が見つかった場合に、第２のタイプの接続を経由してネットワークにアクセスすることを認可するように構成される。

特定の実施形態により、更に、本発明は、ネットワークへのアクセスを制御する方法を実行するマシンによって実行することができるプログラム命令を有形的に実装する、マシン可読プログラム格納デバイスであって、本方法は、
データリポジトリに、第２のタイプの接続に関する第１の識別詳細情報を格納して、該詳細情報を第１のタイプの接続に関するそれぞれのベース認証情報と関連付ける段階と、
第２の識別詳細情報と第１の識別詳細情報との間で相関が見つかった場合に、第２の識別詳細情報を含み、第２のタイプの接続を経由してネットワークにアクセスするリクエストを認可する段階と、
を含む。

本発明を理解すると共に実際に実行することができる方法を理解するために、以下に例示的に添付図面を参照して実施形態を説明する。

従来公知の一般的なネットワーク制御アーキテクチャを示す。 従来公知の訪問先ネットワークにおいてログインをサポートするための、ホームネットワークと訪問先ネットワークとの間での通信を示す。 本発明により変更されたＡＡＡコントローラ（４）及び拡張型加入者リポジトリ（６）に焦点を絞った、提案される最新のコンバージドネットワークアーキテクチャを示す。 同一のユーザに関する複数の認証情報を連鎖することが可能な、拡張型ＳＰＲのスキーマを示す。 登録されたユーザに関するアクセスリクエスト処理についての基本的なアルゴリズムを示す。 訪問先ネットワークにおけるユーザの最初の登録についてのフローを示す。 秘密コード検証で強化された、訪問先ネットワークにおける最初の登録についてのアルゴリズムを示す。 秘密コード検証で強化された、訪問先ネットワークにおけるユーザの最初の登録についてのフローを示す。 位置近接性検証で強化された、訪問先ネットワークにおけるユーザの最初の登録についてのアルゴリズムを示す。 位置近接性検証で強化された、訪問先ネットワークにおけるユーザの最初の登録についてのフローを示す。

図面及び明細書の説明において、同一の参照数字は、異なる実施形態又は構成に共通である構成要素を示す。

具体的な説明がない限り、以下の説明から明らかなように、本明細書全体にわたって、「処理する」、「制御する」、「構成する」、「受信する」、「可能にする」、「行う」、「実行する」、「決定する」といった用語を利用する説明は、データを別のデータに操作及び／又は変換するコンピュータの動作及び／又は処理を含み、データは、例えば電気量のような物理量として表されること、及び／又は、データは、物理的対象を表すことを理解されたい。「コンピュータ」という用語は、例示的にパーソナルコンピュータ、サーバ、コンピューティングシステム、通信デバイス、プロセッサ（例えば、デジタル信号プロセッサ（ＤＳＰ）、マイクロコントローラ、現場プログラム可能ゲートアレイ（ＦＰＧＡ）、特定用途集積回路（ＡＳＩＣ）等）、任意の他の電子コンピューティングデバイス、及び／又はそれらの任意の組み合わせを含み、データ処理能力を有する任意の種類の電子デバイスを包含すると包括的に解釈すべきである。

本明細書の教示による動作は、所望の目的のために専用に構築されたコンピュータによって、又はコンピュータ可読記憶媒体に記憶されるコンピュータプログラムによって所望の目的のために専用に構成される汎用コンピュータによって実行することができる。

本明細書において使用する場合、「例えば」、「のような」、「例として」、及びそれらの変形形態の語句は本発明の非限定的な実施形態を表す。本明細書において、「１つの実施構成」、「いくつかの実施構成」、「特定の実施構成」、「他の実施構成」、「別の実施構成」、「１つの実施形態」、「ある実施形態」、「いくつかの実施形態」、「別の実施形態」、「他の実施形態」、「特定の実施形態」、「１つの事例」、「いくつかの事例」、「ある場合」「いくつかの場合」、「他の場合」、又はそれらの変形形態の語句は、その実施形態に関連して説明される特定の機能、構造、又は特性が、本発明の実施形態の少なくとも１つに含まれることを意味する。従って、「１つの実施構成」、「ある実施形態」、「いくつかの実施構成」、「別の実施構成」、「特定の実施構成」、「他の実施構成」、「１つの事例」、「いくつかの事例」、「１つの場合」、「いくつかの場合」、「他の場合」、又はそれらの変形形態の語句は、必ずしも同じ実施形態を参照するとは限らない。

また、明瞭化のために別個の実施形態に関連して説明される本発明の特定の機能は、１つの実施形態に組み合わせた状態で提供できることを理解されたい。対照的に、簡略化のために、１つの実施形態に関連して説明される本発明の種々の機能は、別個に又は何らかの適切な部分的組み合わせの状態で提供することができる。

本発明の実施形態において、図示の段階に対して、少ない、多い、及び／又は異なる段階を実行することができる。本発明の実施形態において、図示の段階の１つ又はそれ以上は、異なる順番で実行することができ、及び／又は段階の１つ又はそれ以上のグループは、同時に実行することができる。

本発明の特定の実施形態は、図３を参照して説明するコンピュータシステムのアーキテクチャに適用することができる。しかしながら、本発明は、特定のアーキテクチャに拘束されるものではなく、等価な機能及び／又は変更された機能は、別の方法で統合又は分割することができ、ソフトウェア、ファームウェア、及びハードウェアの何らかの適切な組み合わせで実行することができる。同様に当業者であれば、本発明は、任意のコンピュータシステム、及び仮想化ストレージシステムを実行する任意のストレージアーキテクチャに適用できることを容易に理解できるはずである。本発明の異なる実施形態において、機能ブロック及び／又はその一部は、単一の又は複数の地理上の場所に配置することができ（高可用性のための二重化を含む）、各ブロックの間の及び／又は各ブロック内の有効な接続は、リモート接続を含み、直接的に（例えば、バスを経由して）又は間接的に実行することができる。リモート接続は、ワイヤライン、ワイヤレス、ケーブル、インターネット、イントラネット、パワー、衛星、又は他のネットワークを経由して、及び／又は任意の適切な通信規格、システム、及び／又はプロトコル、及びそれらを変更したもの、若しくは、それらを発展させたもの（例示的に、イーサネット（登録商標）、ｉＳＣＳＩ、ファイバチャネル等）を使用して提供することができる。

本発明の詳細な説明では、アクセスタイプ（セルラ、Ｗｉ−Ｆｉ、ＤＳＬ等）ごとに、ユーザ認証に使用される、異なる一意的な技術的パラメータ（ユーザ認証情報としても知られる）が提供される。例えば、ＭＳＩＳＤＮは、セルラネットワークのユーザを識別するために使用することができるが、ＭＡＣアドレスは、ＷｉＦｉネットワークにおいてユーザＩＤの役割を果たすことができる。

基本的な概念は、全ての可能性のあるユーザ認証情報（ネットワークにアクセスしているユーザについての識別詳細情報）を関連付けして、異なるアクセスネットワーク上で接続するユーザの識別、認証、及び認可の自動化を可能にする方法で、（１つ又はそれ以上の）認証情報リポジトリにユーザ認証情報をまとめることである。

統合された加入者リポジトリを運用することにより、ユーザ識別を有する異なるネットワークに関して有効な様々な認証情報を関連付けることができ、アクセスネットワークのタイプに依存せずにユーザを識別できるようになる。すなわち、第２のタイプのネットワークアクセスリクエストが認可されると、本発明の特定の実施形態によれば、コントローラは、ネットワークにアクセスするユーザを、ベース認証情報と関連付けさるたデータと関連付けることができる。このようなデータは、例えば、ネットワークにアクセスするユーザにユーザプロファイルを提供することができる。

認証情報リポジトリは、プライマリ認証情報を格納するために最初に使用される。以下の説明において、「プライマリ認証情報」という用語は、サービスプロバイダにおいて登録されているユーザと関連する認証情報に関して使用する。通常、これは、顧客関係管理（ＣＲＭ）ソフトウェアを用いて生成されるか、又はユーザ自身によって生成され、ホームネットワークの加入者プロファイルリポジトリに格納される。

プライマリ認証情報は、ユーザが何らかの代替のネットワーク上でログインを実行すると、代替の（訪問先の）認証情報によって補完される。ユーザが、代替のネットワークにおいて正当性が証明された後に、訪問先ネットワークにアクセスするために有効なユーザ認証情報が得られ、加入者リポジトリに格納されて、更に、訪問先ネットワークの認証及び認可において再利用される。

特定のネットワークに関する認証情報が認証情報リポジトリに追加された後、ユーザは、適切なネットワークにシームレスに切り替えることができる。

最初のネットワーク接続に基づく付加的な正当性証明機構、及び位置相関技術は、代替の認証情報についての信頼性のある安全な登録を保証するために追加することができる。

本発明の特定の実施形態によれば、図３に示すように、一般的なネットワーク構成要素、及び運用担当者バックオフィスサブシステム（例えば、ＡＡＡフロー制御、加入者リポジトリ）を含む、既存のネットワーク基盤に関する補完が可能になる。

図３は図２を補うものであり、先行技術のバックオフィスシステムに実装される変更点が強調されている。シームレスでトランスペアレントなログインを処理することを含む主要なバックオフィスモジュールを具体的に示す。モジュールの機能及び協調については、以下に具体的に示す。

図３に示すように、モジュールＡＡＡフローコントローラ及び加入者プロファイルリポジトリは、トランスペアレントなログインをサポートするために変更する必要がある。この変更は、他のバックオフィス環境に影響せず、変更についての取り組みを最小限に抑える。ＡＡＡフローコントローラは、アクセス制御アルゴリズムを実行する進化型認証認可フローコントローラである（以下に示す）。これは、ネットワークアクセスリクエストからユーザ認証情報を抽出し、更に認証制御フローを処理することを担う。ＡＡＡフローコントローラは、異なるアクセスネットワークからのアクセスリクエストを処理する一方で適切なネットワークを照合して、ユーザ認証情報を見つけ、正当性を証明するために、拡張型加入者プロファイルリポジトリと通信する。

ＡＡＡフローコントローラは、適切なネットワークタイプの仕様に対応して動作フローを調整する設定可能エンジンを組み込んでいる。例えば、Ｗｉ−Ｆｉネットワークにおいては、ユーザＩＤを抽出することは（ユーザがＭＡＣアドレスによって識別されて）、ＤＨＣＰサーバに問い合わせを行うことにつながるが、セルラネットワークＩＤ（ＭＳＩＳＤＮ）がリクエストに含まれる場合には別のシステムに問い合わせを行う必要はない。

拡張型加入者リポジトリは、ユーザの詳細情報及び認証情報を含むユーザプロファイルを保持するリポジトリである。拡張型リポジトリは、モデルを実装する必要があり、ここでは、特定のネットワークに対して適切な複数の認証情報は、単一のユーザ識別に関連付けされる。従って、異なるネットワークに一致する同じユーザの様々な認証情報は、リクエストに応じて提供することができる。加入者リポジトリは、集中型サービスであり、単一のＤＢ並びに分散型ＤＢで実行することができる。分散型ＤＢの場合には、集中型インタフェースはミドルウェアによって実装される。

ＤＨＣＰは、ＩＰのようなアクセスネットワーク特有のパラメータを割り当てること、並びに、アクセスリクエスト及び以下の認証手続きにおいて含まれるＭＡＣアドレス等のようなユーザ装置特有のパラメータを記録することを担う、動的ホスト構成プロトコルサーバである。ＤＨＣＰサーバは、ＭＡＣアドレス、デバイスタイプ等のようなユーザ装置のパラメータとＩＰアドレスとの関連を記録するために使用される専用のＤＢを有する。

単独で運用する一方で、ＤＨＣＰサーバは、ユーザに関連する具体的なパラメータについての詳細な情報を（ＡＡＡフロー制御コントローラのような）外部のシステムにリクエストに応じて提供することができる。

ユーザポータルは、ユーザログインをサポートし、アクセスサーバ、ＳＰＲ等のようなバックオフィスサブシステムと相互作用する、ウェブページ管理である。このポータルは、ログイン中にユーザによって入力される認証情報を得るために使用される。（公知のシステムにおいて、ユーザポータルは、ユーザが訪問先ネットワークに接続する度に作動し、一方で、本発明の特定の実施形態によれば、ユーザポータルは、訪問先ネットワークにおける最初の登録においてのみ作動し、その後、ユーザ認証情報は、拡張型加入者リポジトリに格納され）ユーザポータルは、加入者詳細情報を再検証／更新するために、適宜使用することができる。

ユーザコミュニケータ（図３（１０））は、ＳＭＳ（ＳＭＳコントローラ）、電子メール（メールサーバ）、ＭＭＳ、音声、等を用いてユーザと通信するために使用されるサーバである。

統合型ロケーションマネージャは、ネットワークアクセス構成要素及びその位置（例えば、ＲＡＮアンテナ、セル、Ｗｉ−Ｆｉホットスポット等）に関する情報を含むネットワーク情報リポジトリである。アクセス構成要素ＩＤは、アクセスリクエストの一部であり、ロケーションマネージャに問い合わせを行い、ユーザの位置を確定するために使用することができる。本発明の特定の実施形態によれば、ロケーションマネージャは、最初の登録の間に、又は第２のタイプの接続を経由するユーザのアクセスの間に、位置の近接性照合に使用することができる。
ロケーションマネージャは、ユーザが、全てのネットワークにおいて同じ位置又はかなり近い位置に現れると報告される必要があると仮定して、１つのネットワークで見つかったユーザの位置に対する別のネットワークで見つかった位置を照合する。識別された各位置の間でのわずかな隔たりは、技術的制限、及び既存の技術の合理的な偏差により許容される。位置があまりに離れている場合には（隔たりの閾値は、ＡＡＡコントローラにおいて設定可能である）、システムは、認証手続きを無効にすることができる。

位置相関手続きについて以下に説明する。
ＧＧＳＮは、ゲートウェイＧＰＲＳサポートノードである。ＧＧＳＮは、３Ｇネットワーク（図３（８））と、Ｗｉ−Ｆｉ（図３（１１））で示されるＩＰネットワークのような外部のパケット交換ネットワークとの間での相互作用を担う。
いくつかの場合には、ＧＧＳＮは、ＩＰアドレスの割当を担い、接続されるユーザ装置（ＵＥ）のデフォルトルータとして動作する。更に、認証及び課金機能を担当することができる。
注：ＷｉＦｉ、ＤＳＬ、Ｗｉ−Ｍａｘ、３Ｇ等の任意の１つとすることができる接続タイプにより、ＧＧＳＮは、同様の（ネットワークアクセス制御）機能を実行する任意のデバイスによって代用することができる。

ＩＰ ＧＷは、ＩＰネットワークへの入口として作動するネットワーク構成要素であり、Ｗｉ−Ｆｉアクセスセグメント上で接続するユーザのアクセスを管理する。ＧＧＳＮと同様であるが、Ｗｉ−Ｆｉが可能なネットワークにおいて使用される。
注：ＷｉＦｉ、ＤＳＬ、Ｗｉ−Ｍａｘ、３Ｇ等の任意の１つとすることができる接続タイプにより、ＩＰ ＧＷは、同様の（ネットワークアクセス制御）機能を実行する任意のデバイスによって代用することができる。

認証及び認可フローコントローラ、加入者プロファイルリポジトリ、位置リポジトリのようないくつかのサブシステムは、以下に説明する高度なフローに適合させるために変更を必要とする場合がある。

ＡＰは、（Ｗｉ−Ｆｉ、Ｗｉ−Ｍａｘ等の）無線アクセスポイントである。これは、Ｗｉ−Ｆｉ、ブルートゥース、又は関連する規格を使用して、無線通信デバイスを有線ネットワークに接続することができるデバイスである。無線ＡＰは、通常、ルータ（ＩＰ ＧＷ）に接続し、（コンピュータ、又はプリンタのような）無線デバイスと、ネットワーク上で無線接続したデバイスとの間でデータを中継することができる。

運用担当者は、同一のユーザに関する複数の認証情報をサポートするために、加入者リポジトリを変更する必要がある。

ユーザ認証情報の構成は、同じタイプの異なるネットワーク上でのシームレスなログインを可能にするために、異なるアクセスネットワーク及びネットワークＩＤからのログインリクエストを識別するためのアクセスタイプを含む必要がある。

図４は、加入者プロファイルリポジトリのスキーマ構成を示す。ユーザログインにおいて、ネットワークアクセスコントローラ（図３（２））は、ユーザ認証及び認可に関してＡＡＡフローコントローラに問い合わせを行い、同時に、ユーザ照合、認証、及び認可において使用される、ＭＡＣアドレス、ＩＰ、ポート番号、ＭＳＩＳＤＮ等のようなネットワーク特有のパラメータを提供する。

ＡＡＡフローコントローラは、更なる正当性証明に関してＳＰＲから適切なアクセスタイプの一致する認証情報を検索するために、アクセスクエリからの認証情報を検索する。

認証情報が利用可能であり、照合が成功した場合、ユーザは、ネットワークに接続し、ユーザ設定において特定される適切なサービスが提供される。

このネットワークタイプに一致する認証情報がない場合、ユーザは、初回のアクセス登録手続きを案内され、この手続きの間に、ユーザは、生成された秘密コードを入力することを要求され、これは安全な登録を保証するために、利用可能な認証された接続上で送信される。

位置相関のような、本技術を強化する補完的な正当性証明は、適切なネットワークタイプ毎に適用することができる（以下に説明するように）。

図４は、拡張型加入者プロファイルリポジトリのスキーマを具体化しており、ユーザは、１つ又はそれ以上の認証情報と関連付けられている。図示のように、ユーザは、ホームネットワークでの最初の登録の間に提供される、ベースと呼ばれるプライマリ認証情報を有する必要がある。追加の認証情報は、追加するネットワークでユーザを登録する間に追加される。このことにより、ネットワークにおける反復性ログインの間に、ＡＡＡフローコントローラは、登録されているベース認証情報及び代替認証情報のいずれかを使用してユーザを識別することができる。

図５は、本発明の実施形態による、例えばＷｉ−Ｆｉを使用してネットワークにアクセスする動作を示すフローチャートである。

図について以下に説明する。
１．ユーザは、ユーザデバイス（例えば、スマートフォン）のＷｉ−Ｆｉアダプタを作動させる。これにより、ＤＨＣＰリクエストがネットワーク上で送信される。
２．ＤＨＣＰサーバは、ユーザデバイスにＩＰアドレスを割り当て（ユーザのＭＡＣアドレス毎のＩＰリースとしても知られる）、ＩＰアドレスをユーザ装置に送信する。ユーザのＭＡＣアドレスは、ＤＨＣＰ ＤＢにおいて、ＩＰと共に格納され、必要に応じて他のシステムから検索することができる。
３．ＤＨＣＰフローが完了した後、ユーザトラヒックは、ＩＰ−ＧＷからのリクエストを開始させ、そのリクエストは、ＡＡＡコントローラに転送され、適切なユーザ認証情報（例えば、ＭＡＣ）が既に登録されているか否かを判断するためにＳＰＲに問い合わせを行う。
４．ユーザ認証情報がまだ登録されていない場合、ユーザは、ログインポータルに進むことになる。
５．ポータルは、認証の詳細情報を受け取って、ユーザ登録を管理する。
６．詳細情報は、ＡＡＡコントローラによって検証される。
７．詳細情報は、更に再利用するためにＳＰＲに入力される。
８．認証情報が既にＤＢに登録されている場合、ユーザプロファイルは、更にデバイに対処するために検索され、ユーザはネットワークに接続される。

ユーザは、ユーザがセルラネットワーク上でネットワークに接続することを可能にする、加入者プロファイルリポジトリに格納されるベース認証情報を有すると仮定している。
注：ここでは、更にセルラトラヒックをオフロードするＷｉ−Ｆｉが一例として使用される。

ユーザが、最初にＷｉ−Ｆｉ上でネットワークに接続することを試行する場合、図６において更に詳細に説明するように、ＡＡＡコントローラは、試行を検出してユーザを初回のアクセス登録手続きに案内する。

初回のアクセス登録に関する対応するメッセージシーケンスに続いて、代替の接続上でのログインが行われる。

安全性を保証するために、登録フロー手続きは、ユーザによる追加の認証プロセスを伴う。追加の認証プロセスは、例えば、ＳＭＳ上でユーザに伝えられるパスワードを検証すること、ユーザの支払手段のような課金情報を検証すること、又は加入者を一意に識別すると見なされる他の手段とすることができる。

以下のフローは、ＳＭＳによって支援される安全な登録を説明する。
図７は、安全な登録のために、例えば、ＳＭＳによって支援されてセルラネットワークにアクセスする動作の例を示すフローチャートである。

図７に示すように、ＳＭＳによって支援される登録は、ユーザがセルラネットワーク上で接続されているという事実を利用する。従って、ユーザは、ＳＭＳ上で配信される追加の秘密コードを、ポータルを経由して入力することを要求される。秘密コードは、他のユーザに反復的に再利用されないように、サーバによって単一のトランザクションに関して生成される、文字の一意的な組合せである。ＳＭＳによって伝えられる秘密キーは、ＭＭＳ、音声、電子メール通知等のようなメッセージ通信の他の様々なタイプを経由してユーザに配信することができる。

図８は、ＳＭＳによって支援される安全な登録に関する対応するメッセージシーケンスチャートを示す。

位置相関技術は、セルラ及びＷｉ−Ｆｉの両方の接続が同じデバイスによって確立され、異なる無線ネットワークによって別々に認識されるという事実を利用する。

ネットワーク基盤が、位置管理設備（ユーザ位置の検出が可能なシステム）を含む場合、両方の位置は（ユーザがＷｉ−Ｆｉ及びセルラネットワークに接続されている場合、ユーザの位置は、Ｗｉ−Ｆｉネットワークトポロジ、並びにセルラネットワークトポロジを使用して検出することができる。ユーザは、異なるが近い位置に現れる場合がある。）、更なる近接性相関に関する登録時にＡＡＡコントローラによって抽出することができる。これは、任意選択的に適用することができる技術を強化する付加的な正当性証明である。

ＣＰＥ（ユーザ装置）は、安全性検証をパスするために同じ位置に現れる必要がある。

ＲＡＮセル及びＷｉ−Ｆｉアクセスポイントのような接続位置は、変わることがあることを考慮すると、接続の識別位置が同一でない場合、適切なロケーションサーバからの位置情報を比較する際に、運用担当者は、設定可能な許容範囲のようなものを実装することができる。

図９は、例えば、安全な登録のために位置相関によって支援されてネットワークにアクセスする動作の実施例を示す。

位置相関手続きは、登録アルゴリズムにおいて使用されるネットワークの全てに関して利用可能な位置情報を必要とする。図９に示す実施例は、Ｗｉ−Ｆｉアクセスポイントの位置がＤＨＣＰサーバによって保持され、登録される携帯電話のＲＡＮセル位置が専用のロケーションサーバによって提供される事例を示す。携帯電話の位置は、確立している呼において更新される。Ｗｉ−Ｆｉ ＡＰ及びＣＰＥ相関の技術の１つは、一意的なＡＰラベルで伝送トラヒックを示すためのＡＰ能力に基づいており、このラベルは、後でトラヒックから抽出され、いずれかの時点でＡＰを識別するために使用することができる。

図１０は、位置相関によって支援された登録に関する対応するメッセージシーケンスチャートを示す。

ＳＭＳ及び位置相関によって支援された手続きは、別々に使用すること及び組み合わせて使用することができる。

本発明の特定の実施形態によれば、ＳＰＲは、識別情報が盗用される可能性を低減するために、時々、期間毎に（例えば、毎週）異なる認証情報の間での相関を再検証することを加入者に要求することができる。例示的に、この手続きは、例えば、ＳＰＲにおける認証情報についての標準のエージングタイマ管理によって動作することができる。

更に、本開示の主題によるシステムは、適切にプログラムされたコンピュータとすることができることを理解されたい。同様に、本開示の主題は、本開示の主題の方法を実行するための、コンピュータ可読コンピュータプログラムを意図している。更に、本開示の主題は、本開示の主題の方法を実行するための、マシンによって実行可能なプログラム命令を有形的に実装する、マシン可読メモリを意図している。

当業者であれば、本発明の請求項に定義される範囲から逸脱することなく、本明細書で説明した本発明の実施形態に対して様々な変更例及び変形例を適用できることを容易に理解できるはずである。

１ ユーザ装置
３ ＤＨＣＰ
４ ＡＡＡフローコントローラ
５ ユーザポータル
６ 加入者プロファイルリポジトリ
９ ユニファイドロケーションマネージャ
１０ ユーザコミュニケータ

Claims (21)

1. ネットワークへのアクセスを制御する方法であって、該方法は、
   前記ネットワークに対する第１のタイプの接続に関するデータリポジトリ、ネットワーク及び第１のアクセスシステム、並びに、前記ネットワークに対する第２のタイプの接続に関する第２のアクセスシステムと通信するフロー制御サーバを経由して、
   前記データリポジトリにおいて、前記第２のタイプの接続に関する第１の識別詳細情報の格納をさせる段階と、
   前記第１の識別詳細情報を前記第１のタイプの接続に関するベース認証情報と関連付ける段階と、
   第２の識別詳細情報を含み、第２のタイプの接続に関する前記第２のアクセスシステムを経由して前記ネットワークにアクセスする第１のリクエストを受信する段階と、
   データリポジトリに前記第２の識別詳細情報の格納をさせる段階と、
   前記第２の識別詳細情報と前記第１の識別詳細情報との間で相関が見つかった場合に、前記第２の識別詳細情報をベース認証情報と関連付ける段階と、
   第３の識別詳細情報を含み、前記第１のタイプの接続に関する前記第１のアクセスシステムを経由して前記ネットワークにアクセスする第２のリクエストを受信する段階と、
   前記データリポジトリにおいて、前記第３の識別詳細情報の格納をさせる段階と、
   前記第３の識別詳細情報と前記第１の識別詳細情報との間で相関が見つかった場合に、前記第３の識別詳細情報を前記ベース認証情報と関連付ける段階と、
   を含む方法。
2. 前記第２の識別詳細情報が前記第１の識別詳細情報と相関していない場合に、前記第１のタイプの接続を経由して第１のデータを送信する段階と、
   第２のデータを受信する段階と、
   前記第２のデータの正当性が証明される場合に、前記第２の識別詳細情報の格納を実行する段階と、
   を更に含む、請求項１に記載の方法。
3. 前記第２のデータは、加入者を一意に識別すると見なされるパスワード及び課金情報の少なくとも１つを含む、請求項２に記載の方法。
4. 前記ベース認証情報と関連するユーザプロファイルを提供する段階を更に含む、請求項１に記載の方法。
5. 前記相関は、前記第２の識別詳細情報によって認識されるユーザの位置と前記ベース認証情報によって認識されるユーザ位置との間の相関を含むことができる、請求項１に記載の方法。
6. 前記第２の識別詳細情報の正当性を証明する段階を更に含む、請求項１から５のいずれかに記載の方法。
7. 前記第２の識別詳細情報を含む前記リクエストを受信する段階に応答して、前記第２の識別詳細情報が前記第１の識別詳細情報と相関していないか否かを判定するために、前記第２の識別詳細情報に関する更なるデータを取得する段階を更に含む、請求項２に記載の方法。
8. ネットワークへのアクセスを制御するためのシステムであって、該システムは、
   コントローラ、ネットワークプロセッサ、前記ネットワークに対する第１のタイプの接続に関する第１のアクセスシステム及び前記ネットワークに対する第２のタイプの接続に関する第２のアクセスシステムと通信するデータリポジトリを備え、
   前記データリポジトリは、前記第２のタイプの接続に関する第１の識別詳細情報を格納するように構成され、
   前記プロセッサは、
   前記第１の識別詳細情報を第１のタイプの接続に関するベース認証情報と関連付け、
   第２の識別詳細情報を含み、前記第２のタイプの接続上で、前記第２のアクセスシステムを介して前記ネットワークにアクセスする第１のリクエストを受信し、
   前記データリポジトリにおいて、前記第２の識別詳細情報の格納をさせ、
   前記第２の識別詳細情報と前記第１の識別詳細情報との間で相関が見つかった場合に、前記第２の識別詳細情報をベース認証情報と関連付けるように構成され、
   前記コントローラは、
   前記第２の識別詳細情報と前記第１の識別詳細情報との間で相関が見つかった場合に、前記第１のリクエストに応じて前記ネットワークへのアクセスを認可し、
   第３の識別詳細情報を含み、前記第１のタイプの接続上で、前記第１のアクセスシステムを介して前記ネットワークにアクセスする第２のリクエストを受信し、
   前記データリポジトリにおいて、前記第３の識別詳細情報の格納をさせ、
   前記第３の識別詳細情報と前記第１の識別詳細情報との間で相関が見つかった場合に、前記第３の識別詳細情報を前記ベース認証情報と関連付けるように構成され、
   前記第３の識別詳細情報と前記第１の識別詳細情報との間で相関が見つかった場合に、前記コントローラは、前記第２のリクエストに応じて前記ネットワークへのアクセスを認可するように構成される、
   システム。
9. 前記コントローラは、更に、前記リクエストに応じて、前記第２の識別詳細情報が前記第１の識別詳細情報と相関していない場合に、前記第１のタイプの接続を経由して第１のデータを送信し、第２のデータを受信し、前記第２のデータの正当性を証明して、前記第２の識別詳細情報の格納を実行するように構成される、請求項８に記載のシステム。
10. 前記第２のデータは、加入者を一意に識別すると見なされるパスワード及び、課金情報の少なくとも１つを含む、請求項９に記載のシステム。
11. 前記コントローラは、更に、前記ベース認証情報と関連するユーザプロファイルを提供するように構成される、請求項８に記載のシステム。
12. 前記相関は、前記第２の識別詳細情報によって認識されるユーザの位置と前記ベース認証情報によって認識されるユーザ位置との間の相関を含む、請求項８に記載のシステム。
13. 前記コントローラは、更に、前記第２の識別詳細情報の正当性を証明するように構成される、請求項８に記載のシステム。
14. 前記第２の識別詳細情報を含む前記リクエストを受信することに応じて、前記コントローラは、更に、前記第２の識別詳細情報が前記第１の識別詳細情報と相関していないか否かを判定するために、前記第２の識別詳細情報に関する更なるデータを取得するように構成される、請求項９に記載のシステム。
15. ネットワークへのアクセスを制御する方法を実行するマシンによって実行することができるプログラム命令を有形的に実装する、マシン可読プログラム格納デバイスであって、該方法は、
    前記ネットワークに対する第１のタイプの接続に関するデータリポジトリ、ネットワーク及び第１のアクセスシステム、並びに、前記ネットワークに対する第２のタイプの接続に関する第２のアクセスシステムと通信するフロー制御サーバを経由して、
    前記データリポジトリにおいて、前記第２のタイプの接続に関する第１の識別詳細情報の格納をさせる段階と、
    前記第１の識別詳細情報を前記第１のタイプの接続に関するベース認証情報と関連付ける段階と、
    第２の識別詳細情報を含み、前記第２のタイプの接続に関する前記第２のアクセスシステムを経由してネットワークにアクセスするリクエストを受信する段階と、
    データリポジトリに前記第２の識別詳細情報の格納をさせる段階と、
    前記第２の識別詳細情報と前記第１の識別詳細情報との間で相関が見つかった場合に、前記第２の識別詳細情報をベース認証情報と関連付ける段階と、
    第３の識別詳細情報を含み、前記第１のタイプの接続に関する前記第１のアクセスシステムを経由して前記ネットワークにアクセスする第２のリクエストを受信する段階と、
    前記データリポジトリにおいて、前記第３の識別詳細情報の格納をさせる段階と、
    前記第３の識別詳細情報と前記第１の識別詳細情報との間で相関が見つかった場合に、前記第３の識別詳細情報を前記ベース認証情報と関連付ける段階と、
    を含む、プログラム格納デバイス。
16. 前記第１のタイプの接続は、ＷｉＦｉであり、前記第２のタイプの接続は、携帯電話である、ことを特徴とする請求項１に記載の方法。
17. 前記第１のタイプの接続は、ＷｉＦｉであり、前記第２のタイプの接続は、携帯電話である、ことを特徴とする請求項８に記載のシステム。
18. 前記第１のタイプの接続は、ＷｉＦｉであり、前記第２のタイプの接続は、携帯電話である、ことを特徴とする請求項１５に記載の方法。
19. 前記第１のタイプの接続は、携帯電話であり、前記第２のタイプの接続は、ＷｉＦｉである、ことを特徴とする請求項１に記載の方法。
20. 前記第１のタイプの接続は、携帯電話であり、前記第２のタイプの接続は、ＷｉＦｉである、ことを特徴とする請求項８に記載のシステム。
21. 前記第１のタイプの接続は、携帯電話であり、前記第２のタイプの接続は、ＷｉＦｉである、ことを特徴とする請求項１５に記載の方法。