JP5992554B2 - 第１のクライアントステーションのクレデンシャルを使用して第２のクライアントステーションを認証するシステム及び方法 - Google Patents

Description

本願は、２０１４年２月７日に出願された米国仮特許出願第６１／９３７，１９４号「Ｓｙｓｔｅｍ ａｎｄ Ｍｅｔｈｏｄ ｆｏｒ Ｕｓｉｎｇ Ｃｒｅｄｅｎｔｉａｌｓ ｏｆ ａ Ｆｉｒｓｔ Ｓｔａｔｉｏｎ ｔｏ Ａｕｔｈｅｎｔｉｃａｔｅ ａ Ｓｅｃｏｎｄ Ｓｔａｔｉｏｎ」、及び２０１４年５月３０日に出願された米国仮特許出願第６２／００５，９３３号「Ｓｙｓｔｅｍ ａｎｄ Ｍｅｔｈｏｄ ｆｏｒ Ｕｓｉｎｇ Ｃｒｅｄｅｎｔｉａｌｓ ｏｆ ａ Ｆｉｒｓｔ Ｓｔａｔｉｏｎ ｔｏ Ａｕｔｈｅｎｔｉｃａｔｅ ａ Ｓｅｃｏｎｄ Ｓｔａｔｉｏｎ」に対する優先権を主張する。これらの両方は、その全体が参照により本明細書に組み込まれている。

クライアントは、クライアントのハードウェア及びソフトウェア構成に基づいて様々な異なるネットワークに接続するように設定され得る。例えば、クライアントステーションが移動体通信ネットワークの周波数帯域で動作するように構成された送受信機を備えている場合、クライアントは移動体通信ネットワークに接続し得る。別の例において、クライアントステーションが、ＷｉＦｉ（登録商標）ネットワークの周波数帯域で動作するように更に構成されている同一の送受信機、又は、ＷｉＦｉネットワークの周波数帯域で動作するように構成された別の送受信機を備えている場合、クライアントステーションは、ＷｉＦｉネットワークに接続し得る。ＷｉＦｉネットワークは、セルラーサービスのプロバイダが提供することが多い「ホットスポット」であってもよい。

「ホットスポット」は、クライアントステーションが「ホットスポット」に接続するための認証手続きを必要とすることがある。例えば、クライアントステーションのユーザは、事前登録したログイン及びパスワードを認証の一部として送信し得る。「ホットスポット」のサーバも、そのクレデンシャルを用いてクライアントステーションを認証し得る。具体的には、クライアントに対する一意の情報である、クライアントステーションの加入者識別モジュール（ＳＩＭ）に対応する情報が使用され得る。

一例示的実施形態において、ステーションは、方法を実行する。本方法は、アソシエーション要求をネットワークに送信するステップと、識別要求をネットワークから受信するステップと、クレデンシャル情報を含む別のクライアントステーションであって、クライアントステーションがクレデンシャル情報を使用することが許可されるように、クライアントステーションと別のクライアントステーションが互いに関連付けられている、別のクライアントステーションに識別要求を送信するステップと、別のクライアントステーションのクレデンシャル情報の関数として生成される識別応答を別のクライアントから受信するステップと、識別情報をネットワークに送信するステップと、別のクライアントステーションのクレデンシャル情報を用いてクライアントステーションとネットワークとの間の接続を確立するステップとを含む。

別の例示的実施形態において、クライアントステーションは送受信機とプロセッサとを備える。送受信機は、アソシエーション要求をネットワークに送信し、識別要求をネットワークから受信し、クレデンシャル情報を含む別のクライアントステーションであって、クライアントステーションがクレデンシャル情報を使用することが許可されるように、クライアントステーションと別のクライアントステーションが互いに関連付けられている、別のクライアントステーションに識別要求を送信し、別のクライアントステーションのクレデンシャル情報の関数として生成される識別応答を別のクライアントから受信し、識別情報をネットワークに送信し、別のクライアントステーションのクレデンシャル情報を用いてクライアントステーションとネットワークとの間の接続を確立することによってネットワークとの接続を確立するように構成されている。

更に別の例示的実施形態において、クライアントステーションは、更なる別の方法を実行する。本方法は、識別要求がネットワークによって生成され、クライアントステーションと別のクライアントステーションは、クライアントステーションに一意的であるクレデンシャル情報が、別のクライアントステーションによってネットワークに接続するために使用されることが許可されるように、互いに関連付けられていて、ネットワークに接続するための識別要求を別のクライアントステーションから受信するステップと、識別要求に対して、クレデンシャル情報の関数である識別応答を生成するステップと、別のクライアントステーションによってネットワークに送られた識別応答を別のクライアントステーションに送信するステップと、を含む。

別の例示的実施形態において、方法は、第１のクライアントステーションと、第２のクライアントステーションと、上記クライアントステーションが接続し得るネットワークとによって実行される。本方法は、第１のクライアントステーションに固有のクレデンシャル情報を含む第１のクライアントステーションを第２のクライアントステーションに関連付け、第２のクライアントステーションに対してクレデンシャル情報を使用する権限を付与するステップと、ネットワークへのアソシエーション要求を、接続の権限を付与するクレデンシャル情報を利用するネットワークに、ネットワークから受信した要求を第１のクライアントステーションに転送し、第１のクライアントステーションから受信した応答をネットワークに転送する、代理機能を実行するように構成された第２のクライアントステーションによって送信するステップと、第２のクライアントステーションから受信されたクレデンシャル情報が認証されているかネットワークによって判定するステップと、第１のクライアントステーションのクレデンシャル情報を使用して第２のクライアントステーションとネットワークとの間の接続を確立するステップとを含む。

例示的ネットワーク構成を示す図である。 第１のクライアントステーションのクレデンシャルを使用して、第２のクライアントステーションのネットワークへの接続を認証する例示的ネットワーク構成を示す図である。 別のクライアントステーションのクレデンシャルを使用してネットワークに接続するように構成された例示的クライアントステーションを示す図である。 第１のクライアントステーションのクレデンシャルを使用して、第２のクライアントステーションのネットワークへの接続を認証する第１の例示的シグナリング図である。 第１のクライアントステーションのクレデンシャルを使用して、第２のクライアントステーションのネットワークへの接続を認証する第２の例示的シグナリング図である。

例示的実施形態は、以下の説明と関連する添付図面を参照して更に理解し得ることができ、同様の要素には、同一の参照符号が付されている。例示的な実施形態は、第１のクライアントステーションのクレデンシャルを使用して、第２のクライアントステーションによるネットワークへの接続を確立するシステムと方法に関する。具体的には、第１のクライアントステーションは、第１のクライアントステーションがネットワークに接続することを有効にする一意のクレデンシャル情報を含むＳＩＭカードを有し得る。例示的な実施形態は、第２のクライアントステーションが、第１のクライアントステーションとネットワークとの間で要求及び応答を転送するプロキシ機器として機能し、最終的には、ネットワークと第２のクライアントステーションとの間の接続を確立するメカニズムを提供する。

図１は、例示的ネットワーク構成１００を示す。例示的ネットワーク構成１００は、クライアントステーション１１０〜１１４を備える。本実施例において、クライアントステーション１００〜１１４は、単一のユーザに関連付けられているものとする。例えば、クライアントステーション１１０は、携帯電話であり、クライアントステーション１１２は、ユーザのタブレットコンピュータであり、クライアントステーション１１４は、ユーザのデスクトップコンピュータであり得る。当業者には、上記の例に加えて、クライアントステーションが、ネットワークを介して通信するように構成された任意のタイプの電子部品、例えば、スマートフォン、ファブレット、組み込み機器等であり得ることが理解されよう。また、実際のネットワーク構成は、任意の数のユーザに関連付けられた任意の数のクライアントステーションを備え得て、ユーザは、多かれ少なかれ複数のクライアントステーションに関連付け得ることが理解されよう。１つのユーザに関連付けられた３つのクライアントステーションの実施例が、例示的な目的で提供されている。

各クライアントステーション１１０〜１１４は、１つ以上のネットワークと直接通信するように構成され得る。本実施例において、クライアントステーション１１０〜１１４が通信し得るネットワークは、レガシーの無線アクセスネットワーク（ＲＡＮ）１２０と、ロングタームエボリューション無線アクセスネットワーク（ＬＴＥ−ＲＡＮ）ネットワーク１２２と、無線ローカルエリアネットワーク（ＷＬＡＮ）１２４である。本実施例において、各ネットワーク１２０〜１２４は、クライアントステーション１１０〜１１４が無線で通信できる無線ネットワークである。しかし、クライアントステーション１１０〜１１４は、有線接続を使用して、他のタイプのネットワークとも通信し得ることを理解されたい。また、クライアントステーション１１０〜１１４の全てが、必ずしも、ネットワーク１２０〜１２４のそれぞれと直接に通信できないことも理解されたい。例えば、クライアントステーション１１４は、ＬＴＥチップセットを有さない場合があり、したがって、ＬＴＥ−ＲＡＮ １２２と通信できる機能を有さない場合がある。繰り返すが、３つのネットワークを使用することは例示に過ぎず、クライアントステーション１１０〜１１４は、任意の数のネットワークと通信し得る。

レガシーＲＡＮ １２０とＬＴＥ−ＲＡＮ １２２は、セルラープロバイダ（例えば、Ｖｅｒｉｚｏｎ（登録商標）、ＡＴ＆Ｔ（登録商標）、Ｓｐｒｉｎｔ（登録商標）、Ｔ−Ｍｏｂｉｌｅ（登録商標）等）によって配備され得るセルラーネットワークの一部である。これらのネットワーク１２０と１２２は、例えば、適切なセルラーチップセットを備えたクライアントステーションとトラフィックを送受信するように構成された基地局（Ｎｏｄｅ Ｂ、ｅＮｏｄｅＢ、ＨｅＮＢ等）を含み得る。レガシーＲＡＮの例には、一般的に２Ｇ及び／又は３Ｇネットワークと標識化され、回路交換音声通話とパケットスイッチデータ操作を含み得るネットワークが挙げられる。当業者は、セルラープロバイダは、そのセルラーネットワーク内に、更に進化したセルラー標準を含む他のタイプのネットワークも配備し得ることを理解されよう。ＷＬＡＮ １２４は、任意のタイプの無線ローカルエリアネットワーク（ＷｉＦｉ、ホットスポット、ＩＥＥＥ ８０２．１１ｘネットワーク等）を含み得る。当業者は、アメリカ合衆国だけで、何千、何十万台、又はそれ以上の異なるＷＬＡＮが配備されている可能性があることを理解されよう。例えば、ＷＬＡＮ １２４は、ユーザの家庭内ネットワーク、ユーザの職場内ネットワーク、公衆ネットワーク（例えば、シティーパーク、コーヒーショップ等における）であり得る。一般的に、ＷＬＡＮ １２４は、クライアントステーション１１０〜１１４がＷＬＡＮ １２４と通信することを可能にする１つ以上のアクセスポイントを有する。

ネットワーク１２０〜１２４に加えて、ネットワーク構成は、セルラーコアネットワーク１３０と、インターネット１４０も備える。セルラーコアネットワーク１３０、レガシーＲＡＮ １２０、ＬＴＥ−ＲＡＮ １２２は、特定のセルラープロバイダ（例えば、Ｖｅｒｉｚｏｎ、ＡＴ＆Ｔ、Ｓｐｒｉｎｇ、Ｔ−Ｍｏｂｉｌｅ等）と関連付けられたセルラーネットワークと考察し得る。セルラーコアネットワーク１３０は、セルラーネットワークの動作とトラフィックを管理する相互接続された構成要素のセットと考察し得る。セルラーコアネットワーク１３０の相互接続された構成要素は、任意の数の、サーバ、スイッチ、ルータなどの構成要素を含み得る。また、セルラーコアネットワーク１３０は、セルラーネットワークとインターネット１４０との間を流れるトラフィックを管理する。

ネットワーク構成１００は、ＩＰマルチメディアサブシステム（ＩＭＳ）１５０も備える。ＩＭＳ １５０は、全体として、ＩＰプロトコルを用いてマルチメディアサービスをクライアントステーション１１０〜１１４に配信するアーキテクチャーとして描写し得る。ＩＭＳ １５０は、このタスクを達成するための様々な構成要素を備え得る。例えば、典型的なＩＭＳ １５０は、クライアントステーション１１０〜１１４のユーザについての加入情報を格納するホーム加入者（ＨＳ）サーバを備える。この加入情報は、正しいマルチメディアサービスをユーザに提供するために用いられる。ＩＭＳ １５０の他の例示的構成要素は、必要に応じて、以下で説明されている。ＩＭＳ １５０は、セルラーコアネットワーク１３０及びインターネット１４０と通信して、マルチメディアサービスをクライアントステーション１１０〜１１４に提供し得る。ＩＭＳ １５０は、セルラープロバイダが、典型的には、ＩＭＳ １５０の機能を実行するため、セルラーコアネットワーク１３０とごく接近して示される。しかし、これが、必ずしも、そうであるとは限らない。ＩＭＳ １５０は、別の構成要素によって提供され得る。

このように、ネットワーク構成１００は、クライアントステーション１１０〜１１４が、コンピュータ及びセルラーネットワークと全体的に関連付けられた機能を実行することを可能にする。例えば、クライアントステーション１１０〜１１４は、他の構成要素に対する音声通話を実行し得て、情報を検索するためにインターネット１４０をブラウザし得て、マルチメディアデータをクライアント機器等に流し得る。

しかし、上述のように、必ずしも全てのクライアントステーション１１０〜１１４が、ネットワーク１２０、１２２、１２４、１３０、１４０に対して同じ通信機能を有するとは限らない。これらのネットワークのうちの１つ以上との通信の欠如は、クライアント機器１１０〜１１４の機能による、例えば、クライアント機器がセルラーチップを備えていないことに起因する場合と、ネットワークの限界による、例えば、セルラーネットワークが、クライアントステーションの範囲内に基地局を有さないことに起因する場合がある。この１つ以上のネットワークとの通信が欠如すると、その結果、クライアントステーションが、ネットワークのうちの１つ以上を介して利用できる機能を利用できないことがあり得る。

上記の要素に加えて、ネットワーク構成１００は、インターネット１４０及びセルラーコアネットワーク１３０と直接的又は間接的に通信するネットワークサービスバックボーン１６０も備える。ネットワークサービスバックボーン１６０は、全体的に、様々なネットワークと通信するクライアントステーション１１０〜１１４の機能を拡張するために使用し得る、一式のサービスを実装する一組の構成要素（例えば、サーバ、ネットワークストレージ構成等）として描写し得る。これらの拡張部は、いくつかの例が上述されている機器及び／又はネットワークの制限のためクライアント機器１１０〜１１４がアクセスできない機能を含み得る。ネットワークサービスバックボーン１６０は、クライアント機器１１０〜１１４及び又はネットワーク１２０、１２２、１２４、１３０、１４０と対話して、これらの拡張機能を提供する。

ネットワークサービスバックボーン１６０は、任意のエンティティ、又は一組のエンティティによって提供され得る。一実施例において、ネットワークサービスバックボーン１６０は、クライアントステーション１１０〜１１４のうちの１つ以上の供給者によって提供される。別の実施例において、ネットワークサービスバックボーン１６０は、セルラーネットワークプロバイダによって提供される。更に別の実施例において、ネットワークサービスバックボーン１６０は、セルラーネットワークプロバイダ又はクライアントステーション１１０〜１１４の供給者とは関係がない第三者によって提供される。

本明細書に記述されている例示的実施形態は、クライアントステーション１１０〜１１４に拡張し得る異なるタイプの機能の一例を提供するとともに、ネットワークサービスバックボーン１６０に含め得る構成要素とサービスの一例を提供する。この実施例において、ネットワークサービスバックボーン１６０は、クライアントステーション１１０〜１１４のうちの第２のクライアントステーションが、ネットワークにアクセスするためのクレデンシャルを、クライアントステーション１１０〜１１４のうちの第１のクライアントステーションから提供するために使用される。しかし、ネットワークサービスバックボーン１６０は、クライアントステーション１１０〜１１４とネットワークの動作を高めるために使用し得る、多くの他の構成要素とサービスを含み得ることを理解されたい。

ネットワークサービスバックボーン１６０が提供するサービスの１つは、異なるクライアントステーション１１０〜１１４の間の関連付けの格納及び更新であり得る。上記の通り、本実施例において、これらのクライアントステーション１１０〜１１４のそれぞれは、同じユーザに関連付けられている。このように、ネットワークサービスバックボーン１６０は、このユーザと各クライアントステーション１１０〜１１４との関連付けを指示する情報を格納し、更に、このユーザとの関連付けに基づくクライアントステーション１１０〜１１４の互いの関係を格納（又はリンク）し得る。クライアントステーション１１０〜１１４間のこの関連付けは、ネットワークサービスバックボーン１６０がクライアントステーション１１０〜１１４の拡張動作を提供する基部の１つとして使用し得る。

クライアントステーション（例えば、クライアントステーション１１０〜１１４）は、ＷｉＦｉネットワーク（例えば、ＩＥＥＥ ８０２．１１ａ／ｂ／ｇ／ａｃによって定義されている）に接続するように構成された送受信機を備え得る。つまり、送受信機は、ＷｉＦｉネットワークの周波数範囲で動作し得る。上記の通り、ＷｉＦｉネットワークは、ＷＬＡＮ １２４の一タイプであり得る。したがって、本明細書の全体を通じて、用語ＷｉＦｉは、任意のタイプのＷＬＡＮを含むものと理解されたい。しかし、クライアントステーションは、ＷｉＦｉネットワークとの接続を確立するために、認証手続きを実行することが要求され得る。したがって、クライアントステーションは、ＷｉＦｉネットワークのサーバがアソシエーション要求を認証するためのクレデンシャル情報、ユーザ固有認証情報（例えば、ログイン名及び／又はパスワード）、それらの組み合わせ等を送信し得る。

ＷｉＦｉネットワークが、プライベートローカルエリアネットワーク（ＬＡＮ）である第１の実施例において、認証手続きは（特に、隠されている場合）ＷｉＦｉネットワークの選択を伴い、任意選択で、パスワードの提供を伴い得る。クレデンシャル情報が送信され、プライベートＬＡＮのサーバによって認証されると、クライアントステーションがプライベートＬＡＮとの接続を確立するためのアソシエーション手続きが実行され得る。

第２の実施例において、及び例示的な実施形態によると、ＷｉＦｉネットワークが「ホットスポット」である場合、認証手続きは、ログイン及び／又はパスワードを提供するステップを伴い得るが、更に、クライアントステーションに一意のクレデンシャルの提供を含むことがあり得る。具体的には、クライアントステーションのＳＩＭカードに対応する情報が使用され得る。「ホットスポット」は、セルラーサービスプロバイダによって提供され得る。つまり、セルラーサービスプロバイダは、これらのＷｉＦｉネットワークにアクセスするためにセルラーサービスプロバイダに登録済みのユーザに対して様々な「ホットスポット」ロケーションを提供し得る。したがって、クライアントステーションは、セルラーサービスプロバイダによって提供されるセルラーネットワークとＷｉＦｉネットワークに接続し得る。セルラーサービスプロバイダに登録されているユーザが、セルラーサービスプロバイダが提供する「ホットスポット」にも接続を試みていることを確認する１つの方法は、ＳＩＭカードの情報を利用することである。しかし、クライアントステーションを一意に識別するいくつかの他の方法を使用することも可能である。例えば、一意的な識別が、ＳＩＭカードの情報でなければならないということは要求されない。

クライアントステーションの「ホットスポット」への参加を認証する方法の観点から、第１のクライアントステーションの使用について適正に登録されたユーザが、第２のクライアントステーションの「ホットスポット」への参加を試みる場合、特に、第２のクライアントステーションが、ＳＩＭカード、又は認証を確認するためにセルラーサービスプロバイダが使用し得る他の一意的な識別構成要素を有さない場合に、問題が生じる。例えば、ユーザは、セルラー機能を有し、第１のクライアントステーションに対応するＳＩＭカードを介してセルラーサービスプロバイダに登録された、第１のクライアントステーションを所有し得る。セルラーサービスプロバイダは、「ホットスポット」などのＷｉＦｉネットワークもユーザに提供し得る。ユーザは、更に、セルラー機能は有さないが、ＷｉＦｉ機能を有する第２のクライアントステーションを所有し得る。したがって、第２のクライアントステーションは、任意のセルラーサービスプロバイダ、特に、第１のモバイルクライアントステーションのセルラーサービスプロバイダに登録しなくてもよい。しかし、第２のクライアントステーションはＷｉＦｉ機能を有するため、ＷｉＦｉ技術を利用する「ホットスポット」に接続できる可能性を有する。

このようなシナリオが存在する時、ユーザは「ホットスポット」に接続して第２のクライアントステーションを利用することを希望し得る。しかし、ＳＩＭカードに対応するクレデンシャル情報が利用できないため、第１のクライアントステーションが適正なクレデンシャル情報を有し、両方のクライアントステーションが同じユーザに属しているにもかかわらず、第２のクライアントステーションは「ホットスポット」に接続できないことがあり得る。したがって、第１のクライアントステーションと第２のクライアントステーションの両方を所有するユーザは、第１のクライアントステーションを使用して「ホットスポット」に接続することしか許されない。

例示的な実施形態は、共通のユーザの２つ以上のクライアントステーションを対にして、ＳＩＭカードクレデンシャルがアソシエーション要求の認証基準として使用されるセルラーサービスプロバイダによって提供されるＷｉＦｉネットワークに自動的に接続するメカニズムを提供する。具体的には、ＳＩＭカードを有する第１のクライアントステーションが、ＳＩＭカードを有さない第２のクライアントステーションに安全な方法でＳＩＭクレデンシャル（又は、第１のクライアントステーションのＳＩＭカードのクレデンシャル情報を含む任意の他の構成要素）提供し得る。第２のクライアントステーションは、対である第１のクライアントステーションに対して、ＳＩＭカードクレデンシャル情報を取り込むように問い合わせ、及び、更に、第１のクライアントステーションに対して、ＷｉＦｉネットワークへの接続の認証手続きを完了する（例えば、試みる）ように問い合わせできる。

以下で詳細に記述されているように、第１のクライアントステーションと第２のクライアントステーションの対の組み合わせは、第２のクライアントステーションの代理機能を含み得る。当業者は、ネットワーク環境において、プロキシが、別の構成要素間でデータを授受するように構成された中間構成要素であり得ることを理解されよう。例えば、クライアントステーションからのデータは、そのデータが最初にプロキシサーバに送信され、その後でネットワークサーバに転送されるように、プロキシサーバを使ってネットワークサーバに送信し得る。第２のクライアントステーションもこの代理機能を備え得て、また、交換されたデータを利用して独自にＷｉＦｉネットワークへの接続を確立し得る。具体的には、クレデンシャル情報が、アソシエーション要求について第１のクライアントステーションとネットワークサーバとの間で使用される他のデータと共に第１のクライアントステーションからネットワークサーバに渡され得る。しかし、第２のクライアントステーションは、最終的に、渡されたこのクレデンシャル情報を使用してＷｉＦｉネットワークに接続し得る。

本明細書において用いられている用語「対」は、第１のクライアントステーションと第２のクライアントステーションとの間の任意の許可された関連付けに関することを留意願いたい。例えば、第１及び第２のクライアントステーションは共通の所有者によって所有され得る。共通の所有権を指示する１つの方法は、クラウドサーバがこれらの機器を一緒に「対として組み合わせる」ように共通のログイン名とパスワードを使ったクラウドネットワークへの接続である。上記のように、この対の組み合わせ機能は、ネットワークサービスバックボーン１６０によって実行され得る。このように、クラウドサーバはネットワークサービスバックボーン１６０内に含まれ得る。第１及び第２のクライアントステーションの使用は、用語「対」がこれらの機器に対応する実施例における例示に過ぎないことを留意願いたい。しかし、当業者は、例示的な実施形態が、許可された関連付けを有する２つ以上のクライアントステーションに関することを理解されよう。

図２は、図１のネットワーク構成１００よりも更に詳細な例示的ネットワーク構成２００を示す。ネットワーク構成２００は、プロキシクライアントステーション２３５のＷｉＦｉネットワーク２０５への接続を認証するためのＳＩＭクライアントステーション２３０のクレデンシャルの使用について説明するために使用される。図１を参照すると、ＳＩＭクライアントステーション２３０とプロキシクライアントステーション２３５は、クライアントステーション１１０〜１１４のうちの任意のクライアントステーションであり得る。ＷｉＦｉネットワーク２０５は、ＷＬＡＮ １２４であり得る。例示的な実施形態は、ＷｉＦｉネットワーク２０５への接続の認証手続きに関する。したがって、ネットワーク構成２００は、認証、許可、アカウンティング（ＡＡＡ）サーバ２１５、ホーム加入者（ＨＳ）サーバ２２０、ホームロケーションレジスタ（ＨＬＲ）認証センター（ＡｕＣ）２２５などのセルラーコアネットワーク２１２に関連付けられた様々な異なる認証ネットワーク構成要素を含み得る。

上記のように、ネットワーク構成２００におけるＷｉＦｉネットワーク２０５は、クライアントステーション固有のクレデンシャルを利用してアソシエーション要求を認証する「ホットスポット」を表し得る。しかし、本明細書における「ホットスポット」の使用は例示に過ぎず、また、ＷｉＦｉ技術を利用するＷｉＦｉネットワーク２０５は例示に過ぎないことを留意願いたい。当業者は、任意のネットワーク技術を利用する任意のネットワークタイプは、クライアントステーション固有の情報を利用する一認証方法を含み得ることを理解されよう。また、上記のように、クライアントステーション固有のクレデンシャルは、クライアントステーションのＳＩＭカードに対応する情報であり得る。しかし、ＳＩＭカードの使用は、例示的に過ぎず、クライアントステーション及び／又はクライアントステーションのユーザに一意的な情報を含む任意の構成要素を表すことを留意願いたい。

ＷｉＦｉネットワーク２０５は、アソシエーション要求を提供するクライアントステーションに対してＷｉＦｉネットワークへの接続を認証するために、様々な異なる認証フレームワークを利用し得る。例えば、ＷｉＦｉネットワーク２０５は、拡張認証プロトコル（ＥＡＰ）を利用し得る。ＥＡＰは、無線ネットワーク及び二地点同接続で使用される認証フレームワークであり得る。ＥＡＰは、使用されている通信プロトコルのタイプのメッセージフォーマットを定義するために使用し得る認証フレームワークを提供する。このようにして、機器は、ＥＡＰを使用して、所望のタイプのプロトコルを使用した通信におけるＥＡＰメッセージのカプセル化方法を定義し得る。ＥＡＰは、例えば、ＷｉＦｉネットワーク２０５を定義するＩＥＥＥ ８０２．１１で使用し得る。具体的な例として、ＷｉＦｉ Ｐｒｏｔｅｃｔｅｄ Ａｃｃｅｓｓ（ＷＰＡ）及びＷｉＦｉ Ｐｒｏｔｅｃｔｅｄ Ａｃｃｅｓｓ ＩＩ（ＷＰＡ２）規格は、公式の認証メカニズムとして５つのＥＡＰタイプを有するＩＥＥＥ ８０２．１Ｘを採用している。

ＡＡＡサーバ２１５は、コンピュータセキュリティのために使用されるネットワーク構成要素であり得、ＡＡＡ機能を実行する。ＡＡＡ機能は、ユーザのＷｉＦｉネットワーク２０５との接続などのサービスへのアクセスを制御するために使用され得る。ＡＡＡサーバ２１５は、ユーザがアクセスしたリソースを記録することもできる。ＡＡＡサーバ２１５は、クライアントステーションのアイデンティティを認証する認証機能を提供し得る。例えば、クライアントステーションは、識別子及び対応するクレデンシャルなどの特定のデジタルアイデンティティ（例えば、パスワード、ワンタイムトークン、デジタル証明書、デジタル署名、電話番号（発呼、被呼）等）に対応する情報を提供し得る。ＡＡＡサーバ２１５は、クライアントステーションが所与のアクティビティを実行することを許可する許可機能を提供し得る。許可は、例えば、アプリケーション又はサービスにログインする時に、許可機能から引き継がれ得る。許可機能の他の実施例は、異なる制限（例えば、日時限定の制限、物理的位置の制限、同一エンティティ又はユーザによる複数アクセスの制限等）に基づくことがあり得る。ＡＡＡサーバ２１５は、容量及び傾向分析、コスト割り当て、課金等の目的のためにネットワークの使用を追跡するアカウンティング機能も提供し得る。また、アカウンティング機能は、認証及び許可の試み／失敗を記録し、手続きがアカウンティングデータに基づいて正しく行われたことを確認し得る。

ＨＳサーバ２２０は、ＩＭＳ １５０が使用する加入関連情報（例えば、加入者プロファイル）を格納し得る。また、ＨＳサーバ２２０は、ユーザ／クライアントステーションを認証及び許可し、ユーザ（つまり、プロキシクライアントステーション２３５のユーザ）についてのロケーション及びＩＰ情報を提供し得る。ＨＳサーバ２２０は、移動通信用のグローバルシステム（ＧＳＭ）ネットワークのＨＬＲ／Ａｕｃ ２２５と実質的に類似し得る。ＨＳサーバ２２０の認証及び許可機能に関する動作は下記で説明されている。

ＨＬＲ／ＡｕＣ ２２５は、ＨＬＲ部とＡｕＣ部を備え得る。ＡｕＣは、ＨＬＲの一構成要素と考えられ得る。具体的には、ＡｕＣは、ＷｉＦｉネットワーク２０５への接続を試みるＳＩＭカードを検証する構成要素である。ＡｕＣによるセキュリティは、ネットワーク加入者に提供される「ホットスポット」アクセスなどのネットワーク加入者サービスへの第三者のアクセスを防止し得る。ＨＬＲは、ＧＳＭネットワークの使用を許可された各加入者に関連付けられた情報を含む。この情報は、セルラーサービスプロバイダが発行する各ＳＩＭカードの一意の識別子を含み得る。一旦、ＡｕＣによって認証の成功が判定されると、ＨＬＲは提供されるＳＩＭとサービスを管理する。ＨＬＲは、後にクライアントステーションとＧＳＭネットワークとの間の全ての無線通信（例えば、音声、ＳＭＳ等）を暗号化するために使用される暗号化キーも生成し得る。認証に失敗すると、クライアントステーションはサービスを利用できない。

ＡｕＣは、認証プロセスには直接関わらないが、手続き時に使用する移動交換センター（ＭＳＣ）のトリプレットとして定義されるデータを生成する。ＡｕＣとＳＩＭは、製造時にＳＩＭに安全に焼き付けられ、ＡｕＣに安全に複製されるＫ_ｉと呼ぶ共有シークレットキーを有する。このＫ_ｉはＩＭＳＩと結合され、識別用のチャレンジ／応答と、通信時に使用するＫ_ｃと呼ぶ暗証化キーを生成する。この特別な実施形態は、以下で更に詳細に説明されている。当業者は、ＨＳサーバ１２０が提供する実質的に類似の機能が、異なるシグナリング構成要素を利用し得ることを理解されよう。具体的には、ＨＳサーバ２２０は、クインティプレットを利用し得る。

上記のように、例示的実施形態は、第１のクライアントステーションを、ＷｉＦｉネットワーク２０５も提供するセルラーサービスプロバイダに登録し、第２のクライアントステーションをＷｉＦｉネットワーク２０５に接続することを希望するユーザに関する。このように、ＳＩＭクライアントステーション２３０とプロキシクライアントステーション２３５は、両方とも共通のユーザに関連付けられ得る。通信メカニズムは具体的に示されていないが、ＳＩＭクライアントステーション２３０とプロキシクライアントステーション２３５は、両方の間でデータが授受されるように互いに通信するように構成され得る。以下で更に詳細に説明されているように、プロキシクライアントステーション２３５は、ＷｉＦｉネットワーク２０５へのアソシエーション要求を開始し得る。プロキシクライアントステーション２３５は、ＷｉＦｉネットワーク２０５からの信号の受信点として機能し得る。また、プロキシクライアントステーション２３５は、この信号をＳＩＭクライアントステーション２３０に転送し、ＷｉＦｉネットワーク２０５に転送するデータをＳＩＭクライアントステーション２３０から受信し得る。

図３は、ＳＩＭクライアントステーション２３０のクレデンシャルを使用してＷｉＦｉネットワーク２０５に接続するように構成されたプロキシクライアントステーション２３５を示す。図２は、プロキシクライアントステーション２３５に関するが、ＳＩＭクライアントステーション２３０も、本明細書で記述されている実質的に類似の構成要素を備え得る。具体的には、ＳＩＭクライアントステーション２３０は、プロキシクライアントステーション２３５によって実行される代理機能を有効にするように実行される実質的に類似のアプリケーションを含み得る。プロキシクライアントステーション２３５は、ポータブル装置（例えば、セルラー電話、スマートフォン、タブレット、ファブレット、ラップトップ等）又は据付装置（例えば、デスクトップ端末、ＶｏｌＰ電話等）などのＷｉＦｉネットワーク２０５に接続するように構成された任意の電子機器であり得る。クライアントステーション２３５は、プロセッサ３０５、メモリ配置３１０、ディスプレイデバイス３１５、入／出力（Ｉ／Ｏ）機器３２０、送受信機３２５、及び他の構成要素３３０を備え得る。

プロセッサ３０５は、クライアントステーション２３５の複数のアプリケーションを実行するように構成され得る。例えば、アプリケーションは、ＷｉＦｉネットワーク３０５に接続された時、インターネットなどの公衆網とデータをやり取りするウェブブラウザアプリケーションを含み得る。別の実施例において、アプリケーションは、ＳＩＭクライアントステーション２３０のクレデンシャル情報が、以下で更に詳細に説明されている、プロキシクライアントステーション２３５のＷｉＦｉネットワーク２０５への接続を認証するために使用される、代理認証機能を実行する代理認証アプリケーション３３５を含み得る。プロセッサ３０５によって実行されるプログラムであるこれらのアプリケーションは例示的に過ぎないことを留意願いたい。これらのアプリケーションは、プロキシクライアントステーション２３５の別体の組み込まれた構成要素として表すことができ、又はプロキシクライアントステーション２３５に連結されたモジュール構成要素であり得る。

代理認証アプリケーション３３５は、ＳＩＭクライアントステーション２３０にも含まれ得る。具体的には、ＳＩＭクライアントステーション２３０上で実行された時、代理認証アプリケーション３３５は、転送された要求に対して、プロキシクライアントステーション２３５に確実に送信する応答をパッケージし得る。このように、プロキシクライアントステーション２３５は、要求をＳＩＭクライアントステーション２３０に転送するが、その要求が、例示的実施形態に係る認証手続きのためであって、ＳＩＭクライアントステーション２３０のＷｉＦｉネットワーク２０５への接続の認証手続きのためではないことを認識し得る。

メモリ配置３１０は、クライアントステーション２３５が実行する動作に関するデータを格納するように構成されたハードウェア構成要素であり得る。例えば、メモリ配置３１０は、ＳＩＭクライアントステーション２３０とプロキシクライアントステーション２３５の両方が関連付けられているクラウドネットワークに対応するクラウドデータを格納し得る。別の実施例において、メモリ配置３１０は、また、その代理的役割における転送機能を実行するために、ＷｉＦｉネットワーク２０５とＳＩＭクライアントステーション２３０とから受信されたデータを（一時的に）格納し得る。ディスプレイデバイス３１５は、データをユーザに対して示すように構成されたハードウェア構成要素であり得、Ｉ／Ｏ機器３２０は、ユーザから入力情報を受信し、対応するデータを出力するように構成されたハードウェア構成要素であり得る。他の構成要素３３０は、携帯電源（例えば、バッテリ）、データ取得装置、クライアントステーション２３５を他の電子機器に電気的に接続するポート、オーディオＩ／Ｏ機器等を含み得る。具体的には、他の構成要素３３０は、ＳＩＭカードを含み得る。

ＳＩＭは、国際移動体加入者識別番号（ＩＭＳＩ）と、モバイル電話機器上で加入者を識別及び認証するために使用する関連キーを安全に格納する集積回路であり得る。ＳＩＭ回路は、「ＳＩＭカード」を作成するために着脱可能なプラスチックカードに埋め込まれており、異なるモバイル機器間で移動し得る。ＳＩＭカードには、その一意のシリアル番号（ＩＣＣＩＤ）、ＩＭＳＩ、セキュリティ認証及び暗号化情報、ローカルネットワークに関する一時情報、ユーザがアクセスするサービスのリスト、通常使用する個人識別番号（ＰＩＮ）及びＰＩＮロック解除ための個人ブロック解除コード（ＰＵＫ）が入っている。このようにして、ＳＩＭカードは、ＷｉＦｉネットワーク２０５がアソシエーション要求における認証目的で使用し得る様々なユーザ固有の及び／又はクライアントステーション固有のクレデンシャル情報を含み得る。

送受信機３２５は、ＷｉＦｉネットワーク２０５とデータを送信及び／又は受信するように構成されたハードウェア構成要素であり得る。また、送受信機３２５は、ＳＩＭクライアントステーション２３０との通信を可能にし得る。プロキシクライアントステーション２３５とＳＩＭクライアントステーション２３０との間の通信は、通信技術を使用して行われ得る。例えば、クラウドネットワークは、クラウドネットワークが、プロキシクライアントステーション２３５とＳＩＭクライアントステーション２３０との間で共有されるデータの中間記憶構成要素として機能する環境において使用され得る。したがって、送受信機３２５を利用して、その動作周波数でクラウドネットワークと通信し得る。別の実施例において、プロキシクライアントステーション２３５とＳＩＭクライアントステーション２３０は、有線（例えば、ユニバーサルシリアルバス（ＵＳＢ）ケーブル）又は無線（例えば、Ｂｌｕｅｔｏｏｔｈ、赤外線（ＩＲ）等）を使用して互いの間で直接的な接続を確立し得る。したがって、送受信機３２５は、それぞれの方法を使用した通信を可能にするハードウェア構成要素を備えた送受信機構成を表し得る。

例示的実施形態によると、プロキシクライアントステーション２３５は、ＷｉＦｉネットワーク２０５を検出すると、ＷｉＦｉネットワーク２０５に接続するためのアソシエーション手続きを開始し得る。繰り返すが、プロキシクライアントステーション２３５は、ＳＩＭクライアントステーション２３０をＷｉＦｉネットワーク２０５に接続するために使用されるクレデンシャル情報を備えていないことがあり得る。具体的には、プロキシクライアントステーション２３５は、ＳＩＭクライアントステーション２３０と同じＳＩＭカードを備えていないことがあり得る。したがって、プロキシクライアントステーション２３５（及びＳＩＭクライアントステーション２３０）のユーザが、プロキシクライアントステーション２３５をＷｉＦｉネットワーク２０５に接続することを希望する時、本実施形態は、プロキシクライアントステーション２３５を認証するために、プロキシクライアントステーション２３５がＳＩＭクライアントステーション２３０のクレデンシャル情報（例えば、ＳＩＭカード）を使用するメカニズムを提供する。具体的には、アソシエーション手続きが開始された後、プロキシクライアントステーション２３５は、プロキシクライアントステーション２３５が認証され、ＷｉＦｉネットワーク２０５に接続されるまで、信号を転送する代理機能を提供する。本例示的実施形態によると、プロキシクライアントステーション２３５は、ＷｉＦｉネットワーク２０５から識別情報についての第１の要求を受け取り、この要求をＳＩＭクライアントステーション２３０に転送して、ＷｉＦｉネットワーク１０５に送信するアイデンティティ応答を受信し得る。また、プロキシクライアントステーション２３５は、ＳＩＭクライアントステーション２３０のみが正しく応答するように構成され得るというチャレンジである第２の要求をＷｉＦｉネットワーク２０５から受け取り、この要求をＳＩＭクライアントステーション２３０に転送して、ＷｉＦｉネットワーク２０５に送信するチャレンジアンサー応答を受け取り得る。接続の成功を指示する後続の確認応答信号も交換され得る。

図４は、ＳＩＭクライアントステーション２３０のクレデンシャルを使用してプロキシクライアントステーション２３５のＷｉＦｉネットワーク２０５への接続を認証する第１の例示的シグナリング図４００を示す。具体的には、シグナリング図４００は、ＷｉＦｉネットワーク２０５が、ＡＡＡサーバ２１５とＨＳサーバ２２０を利用して認証手続きを実行する手順に関する。上記のように、これには、クインティプレットの使用を伴い得る。また、以下で説明されているように、これには、認証及びキー合意（ＡＫＡ）チャレンジの使用を伴い得る。

シグナリング図４００は、本例示的実施形態に係る認証手続きに関係する様々な異なる構成要素を示す。図示されるように、この認証手続きには、ＳＩＭクライアントステーション２３０、プロキシクライアントステーション２３５、ＷｉＦｉ基地局２１０、ＡＡＡサーバ２１５、ＨＳサーバ２２０が関わり得る。当業者であれば理解されるように、ＳＩＭクライアントステーション２３０とプロキシクライアントステーション２３５は、ＷｉＦｉ基地局２１０、ＡＡＡサーバ２１５、ＨＳサーバ２２０によって実行される動作とは異なるエンティティによって実行される動作を含み得る。例えば、ＳＩＭクライアントステーション２３０がＡｐｐｌｅ Ｉｎｃ．（登録商標）から供給されるｉＰｈｏｎｅ（登録商標）であり、プロキシクライアントステーション２３５がＡｐｐｌｅ Ｉｎｃ．から供給されるｉＰｏｄ（登録商標）であることが考えられ得る。このような実施例において、両方のクライアントステーション間の様々な動作を実行するエンティティは、Ａｐｐｌｅ（登録商標）Ｉｎｃ．によって管理されるネットワークサービスバックボーン１６０構成要素であり得る。更に、ＷｉＦｉ基地局２１０、ＡＡＡサーバ２１５、ＨＳサーバ２２０は、ＡＴ＆Ｔ、Ｖｅｒｉｚｏｎ等などのセルラーサービスプロバイダによって管理されるネットワーク構成要素であり得る。

最初に、ＳＩＭクライアントステーション２３０とプロキシクライアントステーション２３５のユーザは、共通のアカウントにログイン４０５し得る。例えば、ＳＩＭクライアントステーション２３０及びプロキシクライアントステーション２３５上でＡｐｐｌｅ Ｉｎｃ．によって提供されるプラットフォームを実行している時に、ｉＣｌｏｕｄ（登録商標）又はｉＴｕｎｅｓ（登録商標）などのクラウドネットワークにアクセスし得る。クラウドネットワークに接続すると、同期機能４１０が実行され得る。具体的には、ＳＩＭクライアントステーション２３０及び／又はプロキシクライアントステーション２３５が初めてクラウドネットワークに接続した時、これらのクライアントステーションは対に組まれ、同一のユーザに関連付けられ得る。シグナリング図の手順は、アソシエーション要求がプロキシクライアントステーション２３５から送信される前の任意の時間に実行し得ることを留意願いたい。繰り返すが、この同期機能は、ネットワークサービスバックボーン１６０で実行され得る。

同期機能は、サービスセット識別（ＳＳＩＤ）に関係する共有データも含み得る。例えば、ＳＩＭクライアントステーション２３０は、ＳＩＭクレデンシャル情報が認証用に使用されているＷｉＦｉネットワーク２０５を含む様々なＷｉＦｉネットワークに接続されている場合がある。ＳＩＭクライアントステーション２３０は、ＳＳＩＤ情報をクラウドネットワークにアップリンクし得る。この後、このＳＳＩＤ情報は、プロキシクライアントステーション２３５に転送され、メモリ配置３１０に格納され得る。したがって、プロキシクライアントステーション２３５は、ＳＩＭクレデンシャル情報が使用されるＷｉＦｉネットワークを認識し得る。このように、プロキシクライアントステーション２３５が、ＷｉＦｉネットワークを検出し、ＳＳＩＤが、ＳＩＭクレデンシャル情報の使用を指示しているＳＳＩＤのうちの１つと一致すると、プロキシクライアントステーション２３５は、本実施形態に係る認証手続きが使用できることを認識し得る。

プロキシクライアントステーション２３５は、検出手続きを実施して利用可能なネットワークを判定し得る。具体的には、プロキシクライアントステーション２３５は、利用可能なネットワークのビーコンの周波数範囲でスキャンを実行し得る。周波数範囲は、送受信機３２５が動作するように構成された周波数範囲を含み得る。プロキシクライアントステーション２３５は、動作４１５において、クラウドネットワークを介して同期されたリストに基づいて、検出されたネットワークのうちの１つのＳＳＩＤが、ＳＩＭクライアントステーション２３０が以前に接続されたネットワーク（例えば、ＷｉＦｉネットワーク２０５）のＳＳＩＤと一致するか判定する。

ＷｉＦｉネットワーク１０５を検出すると、プロキシクライアントステーション１３５は、ＷｉＦｉ基地局２１０に対してオープンなアソシエーション要求４２０を生成し得る。ＷｉＦｉ基地局２１０は、オープンなアソシエーション要求４２０を送信したクライアントステーションのアイデンティティについての要求４２５で応答し得る。例えば、このアイデンティティ要求は、ＥＡＰを使用して定義し得る。プロキシクライアントステーション２３５は、ＳＩＭクレデンシャル情報がＷｉＦｉネットワーク２０５における認証で使用されていることを認識しているので、プロキシクライアントステーション２３５の代理認証アプリケーション３３５が、アイデンティティ要求４３０をＳＩＭクライアントステーション２３０に転送し得る。本明細書における記述全体を通じて、用語「転送」は、プロキシクライアントステーション２３５の動作を説明するために用いられている。この用語は、プロキシクライアントステーション２３５が、説明されている通信（例えば、アイデンティティ要求４３０）をそれがプロキシクライアントステーション２３５によって受け取られた時の形態と実質的に同じ形態で送信することを意味すると理解されたい。しかし、プロキシクライアントステーション２３５は、受信側機器／エンティティに正しく送信されるように通信をフォーマットし得る（例えば、通信がＴＣＰ／ＩＰプロトコルを介して送信されている場合、プロキシクライアントステーションは、必要に応じてヘッダ及びルーティング情報を追加し得る）ことを理解されたい。アイデンティティ要求のプロキシクライアントステーション２３５からＳＩＭクライアントステーションへの転送は、上記のように、両クライアントステーション間の既知の通信方法を介して達成し得る。

ＳＩＭクライアントステーション２３０は、アイデンティティ要求４３０を受信し、アイデンティティ応答を生成し得る。具体的には、アイデンティティ応答は、ＳＩＭカードに含まれる情報に対応し得る。例えば、アイデンティティ応答は、ＥＡＰによって定義され得て、ＩＭＳＩを含み得る。アイデンティティ応答４３５は、プロキシクライアントステーション２３５に送信され、プロキシクライアントステーション２３５は、アイデンティティ応答４４０をＷｉＦｉネットワーク基地局１１０とＷｉＦｉネットワーク１０５を介してセルラーコアネットワーク２１２のＡＡＡサーバ２１５に転送する。

ＡＡＡサーバ２１５が、ＥＡＰに基づく、ＩＭＳＩを含むアイデンティティ応答４４０を受信すると、ＡＡＡサーバ２１５は、ＨＳサーバ２２０からのＩＭＳＩに対応する認証ベクトル４４５を要求し得る。ＨＳサーバ２２０は、認証ベクトル４５０を生成し得る。上記の通り、ＡＡＡサーバ２１５は、後に使用する認証ベクトルに対応するクインティプレットも受信し得る。例えば、このクインティプレットは、ＡＴ＿ＲＡＮＤ、ＡＴ＿ＡＵＴＮ、ＡＴ＿ＭＡＣ、Ｓ−ＲＥＳ、Ｋ_ｃを含み得る。

クインティプレット４５５を受信すると、ＡＡＡサーバ２１５は、クインティプレットに基づくＡＫＡチャレンジを含む要求４６０を生成し得る。例えば、要求／ＡＫＡチャレンジ４６０は、ＥＡＰに基づいて定義され得る。要求／ＡＫＡチャレンジ４６０は、ＳＩＭクライアントステーション２３０のＳＩＭカードのＩＭＳＩから形成されたクインティプレットに基づいて生成されるので、正しい応答は、ＳＩＭクライアントステーション２３０によってのみ生成され得る。要求／ＡＫＡチャレンジ４６０を生成すると、ＡＡＡサーバ２１５は、それをプロキシクライアントステーション２３０に送信し得る。プロキシクライアントステーション１３５は、この要求／ＡＫＡチャレンジ４６５をＳＩＭクライアントステーション２３０に転送し得る。

ＳＩＭクライアントステーション２３０は、ＡＫＡアルゴリズム４７０を実行して、それに対する応答を生成し得る。例えば、ＡＫＡアルゴリズム４７０は、ＡＵＴＮとＭＡＣを検証し、ＲＥＳとＫ_ｓを引き出し得る。これは、ＡＴ＿ＲＥＳとＡＴ＿ＭＡＣを含む応答／ＡＫＡチャレンジ４７５に含まれ得る。この応答は、ＥＡＰに基づいても定義され得る。応答／ＡＫＡチャレンジ４７５は、応答／ＡＫＡチャレンジ４８０をＡＡＡサーバ２１５に転送するプロキシクライアントステーション２３５に送信され得る。ＡＡＡサーバ２１５は、応答を検証４８５し、認証手続きを完了し得る。具体的には、ＡＡＡサーバ２１５は、認証手続きが成功した確認応答４９０を送信し得る。この時点で、プロキシクライアントステーション２３５が、ＷｉＦｉネットワーク２０５に接続され、通信４９５が、プロキシクライアントステーション２３５とＷｉＦｉネットワーク２０５との間で行われ得る。完了のため、及びＳＩＭクライアントステーション２３０に通知するために、プロキシクライアントステーション２３５は、成功の確認応答４９７をＳＩＭクライアントステーション２３０に転送し得る。

図５は、ＳＩＭクライアントステーション２３０のクレデンシャルを使用してプロキシクライアントステーション２３５のＷｉＦｉネットワーク２０５への接続を認証する第２の例示的シグナリング図５００を示す。具体的には、シグナリング図５００は、ＷｉＦｉネットワーク２０５が、ＡＡＡサーバ２１５とＨＬＲ／ＡｕＣ ２２５を利用して認証手続きを実行する手順に関する。上記のように、これは、トリプレットの使用を伴い得る。以下で説明されているように、これは、また、ノンスの使用を伴う。

最初に、シグナリング図５００は、シグナリング図４００の初期手順セット、例えば、ステップ４０５〜４３５、に実質的に類似している初期手順セットを含み得ることを留意願いたい。したがって、シグナリング図５００に関する説明は、プロキシクライアントステーション１３５からＡＡＡサーバ１１５に転送される、ＥＡＰに基づいて定義されるＩＭＳＩを含むアイデンティティ応答５０５、例えば、図４のシグナリングステップ４４０に対応するシグナリングステップから始まる。

上記のように、ＨＬＲ／ＡｕＣ ２２５が認証に使用される場合、ＨＳサーバ２２０を使用したシグナリング図４００に関して上述されているクインティプレットの代わりにトリプレットが使用され得る。したがって、ＡＡＡサーバ２１５が応答アイデンティティ５０５を受信すると、ＡＡＡサーバ２１５は、ＨＬＲ／ＡｕＣ ２２５からのＳＩＭクライアントステーション２３０のＩＭＳＩに対応するトリプレットを要求５１０し得る。ＨＬＲ／ＡｕＣ ２２５は、トリプレットを含む認証ベクトルを生成し５１５、ＡＡＡサーバ２１５にそのトリプレットを転送５２０し得る。

ＡＡＡサーバ２１５がトリプレットを受信すると、ＡＡＡサーバ２１５はプロキシクライアントステーション２３５に送信する要求／ＳＩＭ／Ｓｔａｒｔ ５２５を生成し得る。例えば、要求／ＳＩＭ／Ｓｔａｒｔ ５２５は、ＥＡＰに基づいて定義され得る。繰り返すが、プロキシクライアントステーション２３５は、ＳＩＭクライアントステーション２３０が、認証用のＳＩＭクレデンシャル情報を利用して以前にＷｉＦｉネットワーク２０５に接続されていたことを認識しているので、要求／ＳＩＭ／Ｓｔａｒｔ ５３０が、ＳＩＭクライアントステーション２３０に転送され得る。

ＳＩＭクライアントステーション２３０が要求／ＳＩＭ／Ｓｔａｒｔ ５３０を受信すると、ＳＩＭクライアントステーション２３０はノンス５３５を生成し得る。このようにして、ＳＩＭクライアントステーション２３０は、ノンスを含む要求／ＳＩＭ／Ｓｔａｒｔに対する応答５４０を生成し得る。具体的には、ＳＩＭクライアントステーション２３０は、（ノンス［Ｎ］を含む）応答／ＳＩＭ／Ｓｔａｒｔ ５４０を生成し、それを応答／ＳＩＭ／Ｓｔａｒｔ［Ｎ］５４５をＡＡＡサーバ２１５に転送するプロキシクライアントステーション２３０に送信する。ＡＡＡサーバ２１５は、応答／ＳＩＭ／Ｓｔａｒｔ［Ｎ］５４５を受信し、Ｋ_ｃとノンスを使ってＭＡＣを計算５５０し得る。ＡＡＡサーバ２１５は、ＭＡＣと（ノンスに基づく）ＲＡＮＤを含む要求／ＳＩＭ／Ｃｈａｌｌｅｎｇｅ５５５を生成し得る。この要求は、ＥＡＰに基づいても定義され得る。ＡＡＡサーバ２１５は、この要求／ＳＩＭ／Ｃｈａｌｌｅｎｇｅ ５５５を、要求／ＳＩＭ／Ｃｈａｌｌｅｎｇｅ ５６０をＳＩＭクライアントステーション２３０に転送するプロキシクライアントステーション２３５に対して生成し得る。

ＳＩＭクライアントステーション２３０はＭＡＣを検証５６５し、ＲＡＮＤのＧＳＭアルゴリズムを実行して、ＳＲＥＳとＭＡＣ２を生成し得る。繰り返すが、ＨＬＲ／ＡｕＣは、ＧＳＭネットワークと関連付け得る。検証が完了すると、ＳＩＭクライアントステーション２３０は、ＭＡＣ２を含む要求／ＳＩＭ／Ｃｈａｌｌｅｎｇｅに対する応答５７０を生成し得る。つまり、ＳＩＭクライアントステーション２３０は、ＭＡＣ２を含み、ＥＡＰに基づいて定義された応答／ＳＩＭ／Ｃｈａｌｌｅｎｇｅ ５７０を生成し得る。ＳＩＭクライアントステーション２３０は、応答／ＳＩＭ／Ｃｈａｌｌｅｎｇｅ ５７０を、５７５応答／ＳＩＭ／ＣｈａｌｌｅｎｇｅをＡＡＡサーバ２１５に転送するプロキシクライアントステーション２３５に送信し得る。

ＡＡＡサーバ２１５がＭＡＣ２を含む応答／ＳＩＭ／Ｃｈａｌｌｅｎｇｅ ５７５を受信すると、ＡＡＡサーバ２１５は、ＭＡＣ２を検証５８０し、認証手続きを完了する。具体的には、ＡＡＡサーバ２１５は、認証手続きが成功したという確認応答５８５を送信し得る。この時点で、プロキシクライアントステーション２３５が、ＷｉＦｉネットワーク２０５に接続され、通信５９０が、プロキシクライアントステーション２３５とＷｉＦｉネットワーク２０５との間で行われ得る。完了のため、及びＳＩＭクライアントステーション２３０に通知するため、プロキシクライアントステーション１３５は、成功確認応答をＳＩＭクライアントステーション２３０に転送５９５し得る。

様々なステップを含む上記のシグナリング図４００、５００は例示に過ぎないことを留意されたい。当業者は、認証手続きが任意の数のステップを含み得ることを理解されよう。例えば、認証は、ＷｉＦｉネットワーク２０５との接続のために、後続のチャレンジなしで、ＳＩＭクレデンシャル情報の提出のみを要求することがあり得る。このような実施形態において、プロキシクライアントステーション２３５は、ＳＩＭクライアントステーション２３０のＳＩＭクレデンシャル情報を予めメモリ配置３１０に格納し得る。このように、プロキシクライアントステーション２３５は、アソシエーション要求を送信し、ＳＩＭクライアントステーション２３０への問い合わせを必要とせずにＳＩＭクレデンシャル情報が転送され得る、ＷｉＦｉネットワーク２０５からアイデンティティ要求を受信し得る。

本例示的実施形態は、第１のクライアントステーションがクレデンシャル情報を使用して接続することが許可されているネットワークに第２のクライアントステーションが接続し得るように、第１のクライアントステーションのクレデンシャル情報を使用して第２のクライアントステーションを認証するシステム及び方法を提供する。第１のクライアントステーションと第２のクライアントステーションは、第２のクライアントステーションが、クレデンシャル情報を利用することを許可された機器となるように対に組み合わされ得る。第１のクライアントステーションは、クレデンシャル情報を生成するクライアントステーション固有識別情報を含み得る。第２のクライアントステーションは、このクレデンシャル情報を有さないことがあり得る。更に、第１のクライアントステーションは、チャレンジ要求に正しく応答するように構成された唯一の機器であり得る。つまり、第２のクライアントステーションは、正しく応答しないことがあり得る。

したがって、第２のクライアントステーションが、ネットワークとのアソシエーション要求を開始し得る。この手順を実行した後、第２のクライアントステーションは、認証手続きを実行するために第１のクライアントステーションとネットワークとの間でデータをやり取りするプロキシ機器として機能し得る。認証手続きが完了すると、第２のクライアントステーションは、第１のクライアントステーションのクレデンシャルを使用してネットワークとの接続に成功し得る。

当業者は、上記の例示的実施形態が、任意の好適なハードウェア又はソフトウェア構成又はこれらの組み合わせにおいて実行し得ることを理解するであろう。例示的な実施形態を実行するための例示的なハードウェアプラットフォームには、例えば、互換性のあるオペレーティングシステムを有するプラットフォームをベースとしたＩｎｔｅｌ（登録商標）ｘ８６、Ｍａｃプラットフォーム、ＭＡＣ ＯＳ、ｉＯＳ、Ａｎｄｒｏｉｄ（登録商標）ＯＳ等が挙げられる。別の実施例において、上記方法の例示的実施形態は、コンパイルすると、プロセッサ又はマイクロプロセッサ上で実行し得る永続的コンピュータ可読媒体に格納されるコード行を含むプログラムとして例示され得る。

本発明の趣旨又は範囲から逸脱することなく様々な変更が可能であることが当業者には明らかであろう。したがって、本発明は、特許請求項及びその同等物の範囲における本発明の修正及び変更を網羅するものと意図されている。

Claims (18)

1. クライアントステーションにおいて、
   前記クライアントステーションを別のクライアントステーションと関連付けるアカウントにログインすることであって、前記アカウントにログインすることで、前記クライアントステーションが前記別のクライアントステーションのクレデンシャル情報を使用することが許可される、前記ログインすることと、
   前記アカウントから、前記クレデンシャル情報が接続のために使用されるネットワークを示す情報を受信することと、
   アソシエーション要求を前記ネットワークに送信することと、
   前記ネットワークから識別要求を受信することと、
   前記識別要求を前記クレデンシャル情報を有する前記別のクライアントステーションに送信することと、
   前記別のクライアントステーションの前記クレデンシャル情報の関数として生成される識別応答を前記別のクライアントステーションから受信することと、
   前記クライアントステーションと前記ネットワークとの間の接続を確立するために前記識別応答を前記ネットワークに送信することと、
   を含む方法。
2. 利用可能なネットワークのビーコンを走査することと、
   前記ネットワークが、前記利用可能なネットワークに含まれるか否かを判定することと、
   を更に含む、請求項１に記載の方法。
3. 前記ネットワークが、前記利用可能なネットワークに含まれるか否かを判定することは、
   前記利用可能なネットワークの前記ビーコンに含まれるサービスセット識別子（ＳＳＩＤ）を、格納されているＳＳＩＤと照合することを含む、請求項２に記載の方法。
4. 前記アカウントが、前記ネットワークを管理するエンティティとは独立したエンティティによって管理されている、請求項１から３のいずれか１項に記載の方法。
5. ネットワークとの接続を確立するように構成された送受信機と、
   プロセッサと、
   を含むクライアントステーションであって、
   前記プロセッサと前記送受信機は、
   前記クライアントステーションを別のクライアントステーションと関連付けるアカウントにログインすることであって、前記アカウントにログインすることで、前記クライアントステーションが前記別のクライアントステーションのクレデンシャル情報を使用することが許可される、前記ログインすることと、
   前記アカウントから、前記クレデンシャル情報が接続のために使用されるネットワークを示す情報を受信することと、
   アソシエーション要求を前記ネットワークに送信することと、
   前記ネットワークから識別要求を受信することと、
   前記識別要求を前記クレデンシャル情報を有する前記別のクライアントステーションに送信することと、
   前記別のクライアントステーションの前記クレデンシャル情報の関数として生成される識別応答を前記別のクライアントステーションから受信することと、
   前記クライアントステーションと前記ネットワークとの間の接続を確立するために前記識別応答を前記ネットワークに送信することと、
   によって、前記ネットワークとの前記接続を確立するように構成されている、クライアントステーション。
6. クライアントステーションにおいて、
   前記クライアントステーションを別のクライアントステーションと関連付けるアカウントにログインすることであって、前記アカウントにログインすることで、前記別のクライアントステーションが前記クライアントステーションのクレデンシャル情報を使用することが許可され、前記クレデンシャル情報が接続のために使用されるネットワークを示す情報が、前記アカウントから前記別のクライアントステーションに送信されることになる、前記ログインすることと、
   ネットワークに接続するための識別要求を前記別のクライアントステーションから受信することであって、前記識別要求は前記ネットワークによって生成される、前記受信することと、
   前記識別要求の応答として、前記クレデンシャル情報の関数である識別応答を生成することと、
   前記識別応答を前記別のクライアントステーションに送信することであって、前記識別応答は前記別のクライアントステーションによって前記ネットワークに転送される、前記送信することと、
   を含む方法。
7. 前記ネットワークに接続するための更なる情報の要求を含む、前記ネットワークによって生成された別の要求を、前記別のクライアントステーションから受信することと、
   前記別の要求に対する応答を生成することと、
   前記別の要求に対する前記応答を前記別のクライアントステーションに送信することであって、前記応答は、前記別のクライアントステーションによって前記ネットワークに転送される、前記送信することと、
   を更に含む、請求項６に記載の方法。
8. 前記クレデンシャル情報は、前記クライアントステーションの加入者識別モジュール（ＳＩＭ）カードに関連付けられており、前記ＳＩＭカードが、前記ネットワークのプロバイダに関連付けられている、請求項６又は７に記載の方法。
9. 前記クライアントステーションが前記クレデンシャル情報を使用して接続している各ネットワークのサービスセット識別子（ＳＳＩＤ）をアソシエーションアカウントに送信することを更に含む、請求項６から８のいずれか１項に記載の方法。
10. 前記識別応答を生成することは、前記識別応答に含まれるノンスを生成することを含む、請求項６から９のいずれか１項に記載の方法。
11. 前記別の要求は、認証及びキー合意（ＡＫＡ）チャレンジを含み、前記応答を生成することは、ＡＫＡアルゴリズムを実行することを含む、請求項７に記載の方法。
12. 第１クライアントステーションを第２クライアントステーションに関連付けさせるアカウントに前記第１クライアントステーションと前記第２クライアントステーションがログインすることであって、前記アカウントにログインすることで、前記第２クライアントステーションが前記第１クライアントステーションのクレデンシャル情報を使用することが許可され、前記クレデンシャル情報が接続のために使用されるネットワークを示す情報が、前記アカウントから前記第２クライアントステーションに送信されることになる、前記ログインすることと、
    前記第２クライアントステーションがネットワークにアソシエーション要求を送信することであって、前記第２クライアントステーションは、前記ネットワークから受信した要求を前記第１クライアントステーションに転送し、前記第１クライアントステーションから受信した応答を前記ネットワークに転送する代理機能を実行するように構成された、前記送信することと、
    前記第２クライアントステーションから受信した前記クレデンシャル情報が認証されているかを、前記ネットワークが判定することと、
    前記第２クライアントステーションと前記ネットワークとの間の接続を確立することと、
    を含む方法。
13. 前記第１クライアントステーションと前記第２クライアントステーションとの間のアソシエーション情報を格納することであって、前記アソシエーション情報は、前記第１クライアントステーションが前記クレデンシャル情報を使用して接続した各ネットワークのサービスセット識別子（ＳＳＩＤ）を含む、前記格納することと、
    前記アソシエーション情報を前記第２クライアントステーションに送信することと、
    を更に含む、請求項１２に記載の方法。
14. 前記第２クライアントステーションが、利用可能なネットワークのビーコンを走査することと、
    前記利用可能なネットワークのビーコンに含まれるＳＳＩＤを前記アソシエーション情報における前記ＳＳＩＤと比較することで、前記ネットワークが、前記利用可能なネットワークに含まれているか否かを前記第２クライアントステーションが判定することを更に含む、請求項１３に記載の方法。
15. 前記アソシエーション情報は、前記ネットワークのプロバイダとは別のエンティティによって管理される、請求項１３又は１４に記載の方法。
16. 前記接続を確立することが、
    前記ネットワークへの接続のための更なる情報に対する別の要求を、前記ネットワークが生成することと、
    前記別の要求を前記第２クライアントステーションに送信することと、
    前記別の要求を前記第１クライアントステーションに転送することと、
    前記別の要求に対する応答を前記第１クライアントステーションが生成することと、
    前記別の要求に対する前記応答を前記第２クライアントステーションに送信することと、
    前記応答を前記ネットワークに転送することと、
    前記応答を前記ネットワークが認証することと、
    を含む、請求項１２から１５のいずれか１項に記載の方法。
17. 前記別の要求が前記ネットワークのホーム加入者（ＨＳ）サーバによって生成された場合、前記別の要求は、認証及びキー合意（ＡＫＡ）チャレンジである、請求項１６に記載の方法。
18. 前記別の要求が前記ネットワークのホームロケーションレジスタ（ＨＬＲ）／認証センター（ＡｕＣ）サーバによって生成された場合、前記別の要求は、ＳＩＭチャレンジである、請求項１６に記載の方法。

Images