JP6737789B2 - コンテキストベースのプロトコルスタックプライバシー - Google Patents

Description

関連出願の相互参照
本出願は、参照により内容を本明細書において援用する、2014年12月31日に出願した米国特許仮出願第62/098,614号明細書、および2015年6月2日に出願した米国特許仮出願第62/169,850号明細書の利益を主張するものである。

プライバシーは、ますます多くの無線送受信ユニット（ＷＴＲＵ）が直接または間接的にインターネットに接続されるようになり、大きな業界の懸念事項となりつつある。ユビキタスな接続は、手薄なセキュリティのプロトコルスタックおよび多くのユーザのプライバシー教育の不足と相まって、ユーザの位置を追跡／監視すること、および／またはユーザのアクティビティを傍受することを容易にしている。ユーザがインターネット上に残す膨大なデジタルフットプリント（例えば、ソーシャルネットワーク上の情報の共有、より快適なナビゲーション体感をもたらすためにブラウザおよびサーバに使用されるクッキー、ユーザのレイヤ２（Ｌ２）またはレイヤ３（Ｌ３）アドレスの追跡を可能にする接続ログなど）、および／または通信を保護するために使用される弱い（若しくは場合によっては効果のない）認証および暗号化メカニズムのような、多くの要因がこの現象に寄与している。

インターネットプライバシーはまた、広範囲にわたり蔓延するインターネット監視という近年の複数の事件が露呈された後、重要な話題となっている。ユーザは、自分達の通信、習慣および日課が、自分達の承諾を得ることなく、様々な営利団体、犯罪組織および政府機関によって追跡され得るという事実に気付くようになった。この問題は、インターネットの不信を生み出し、インターネット技術の受け入れに影響を及ぼすこともある。

例えば、デバイス、およびその関連する所有者は、デバイスのレイヤ２（Ｌ２）および／またはレイヤ３（Ｌ３）アドレス通信を観察することによって追跡されることがある。Ｌ２アドレスは、サードパーティによって観察されることがある。サードパーティは、アクセスインフラストラクチャのオペレータ、同じネットワークの通信をリッスンしているパッシブデバイス、例えば８０２．１１ＷｉＦｉデバイスによって実行される無線送信などであってもよい。８０２．１１ネットワークにおいて、ステーション（ＳＴＡ）は、そのＬ２アドレスを様々な状況において公開することがある。例えば、ＳＴＡがアクセスポイント（ＡＰ）に関連付けられている場合、Ｌ２アドレスは、８０２．１１フレームのアドレスフィールドで使用されるアドレスの１つとして、フレーム送信および受信に使用される。別の例において、ＳＴＡが使用可能なネットワークをアクティブにスキャンする場合、Ｌ２アドレスは、ＳＴＡによって送信されるプローブ要求フレームで使用される。

インターネットプロトコルバージョン６（ＩＰｖ６）ステートレス自動設定技法（ＳＬＡＡＣ）などの、従来のＬ３アドレス割り当て技法は、アドレスのインターフェイス識別子（ＩＩＤ）をそのＬ２アドレスから（６４ビット拡張固有識別子（ＥＵＩ−６４）を介して）生成するが、これは次いでアクティブなＩＰ通信により全てのピアに可視になってしまう。この可視のＩＩＤは、Ｌ３におけるデバイスの追跡を許してしまう。アドレスのプレフィックス部分もまた、一般に、デバイスの物理位置を提供することがあり、これはＬ２アドレスベースのＩＩＤと相まって、グローバルなデバイスの追跡を許してしまう。

他のレイヤのオープンフックがユーザのプライバシー全体に影響を及ぼすことがあるので、プライバシーは、分離して単一の通信レイヤによって完全に提供され得るものではない。一時アドレスの使用、不透明ＩＩＤ、または（一部のオペレーティングシステムがアクティブスキャンを実行する際に行うような）ランダムＬ２アドレスの使用であっても、プライバシーの脅威を部分的には軽減し得るが、こうした技法はあらゆるプライバシーの問題に完全に対処するものではない。

プライバシーの懸念事項は、特にブラウジングするかまたはソーシャルネットワークに関わる場合（例えば、特定のＷｅｂページまたはＷｅｂサイトにアクセスするユーザの識別を見出すためにクッキーが使用されることがある）、ネットワークへの実際のアクセスに関与する下位レイヤ（例えば、Ｌ２／Ｌ３アドレスはユーザの位置を取得するために使用され得る）から、アプリケーションレイヤに至る、プロトコルスタックの全てのレイヤに影響を及ぼす。

無線送受信ユニット（ＷＴＲＵ）のプライベートアドレスを含む、プライバシープロトコルスタックプロファイルを構成するためにＷＴＲＵにおいて使用する方法が、本明細書において説明される。ＷＴＲＵは、これが不明または信頼できない位置にあるかどうかを決定することができ、ＷＴＲＵのプロファイルをパブリックネットワークに設定することができ、ＭＡＣおよびＩＰアドレス並びにその他のプロトコル識別子をランダム、不透明、および非永続に設定することができる。あるいは、ＷＴＲＵは、これが既知および信頼できる位置にあると決定することができ、ＷＴＲＵのプロファイルをホームまたはオフィスに設定することができる。ＷＴＲＵは、ＭＡＣおよびＩＰアドレス並びにその他のプロトコル識別子を永続および周知の値に設定することができる。あるいは、ＷＴＲＵは、これが信頼できないが、永続識別子が必要とされる既知のネットワークであると決定することができる。ＷＴＲＵは、ＷＴＲＵのプロファイルを認証済みホットスポットに設定することができ、ＭＡＣおよびＩＰアドレス並びにその他のプロトコル識別子をランダム、不透明、ただし永続に設定することができる。

方法はまた、プライバシーマネージャによって隣接するネットワークに関する情報を受信するステップを含む。プライバシーマネージャは、隣接するネットワーク、位置などのコンテキストに基づいてプライバシープロファイルオプションを決定することができる。プライバシーマネージャは、決定に基づいて、使用可能なプライバシープロファイルオプションを表示することができる。プライバシーマネージャは、プロファイルの選択を受信することができ、これはユーザ入力またはネットワークポリシーを介して送信されてもよい。プライバシーマネージャは、選択されたプライバシープロファイルに基づいてプライバシーおよびセキュリティ設定をプロトコルスタックの各レイヤに指示することができる。あるいは、プライバシーマネージャは、ポリシーに基づいて、プライバシープロファイルを選択することができる。

さらに詳細な理解は、添付図面と併せて一例として示した以下の説明から得られ得る。
１または複数の開示される実施形態が実施され得る例示の通信システムを示すシステム図である。 図１Ａに示される通信システム内で使用され得る例示の無線送受信ユニット（ＷＴＲＵ）を示すシステム図である。 図１Ａに示される通信システム内で使用され得る例示の無線アクセスネットワークおよび例示のコアネットワークを示すシステム図である。 １つの実施形態によるプライバシー保護を可能にする例示のコンテキスト認識型プライバシープロトコルスタックアーキテクチャおよびアプリケーションプログラミングインターフェイス（ＡＰＩ）を示す図である。 アドレス並びにその他のプロトコル識別子およびパラメータのコンテキストベースプライバシー構成を可能にする例示のプライバシーコンテキストベースプロトコルスタックを示す図である。 コンテキストベースプロトコルスタックを使用する例示の操作を示すシグナリング図である。 プライバシーマネージャにおいて使用する例示の手順４００を示す流れ図である。

図１Ａは、１または複数の開示される実施形態が実施され得る例示の通信システム１００を示す図である。通信システム１００は、音声、データ、ビデオ、メッセージング、ブロードキャストなどのコンテンツを、複数の無線ユーザに提供する多重アクセスシステムであってもよい。通信システム１００は、複数の無線ユーザが、無線帯域幅を含むシステムリソースの共用を通じて、そのようなコンテンツにアクセスできるようにすることができる。例えば、通信システム１００は、符号分割多元接続（ＣＤＭＡ）、時分割多元接続（ＴＤＭＡ）、周波数分割多元接続（ＦＤＭＡ）、直交ＦＤＭＡ（ＯＦＤＭＡ）、シングルキャリアＦＤＭＡ（ＳＣ−ＦＤＭＡ）などの、１または複数のチャネルアクセス方法を採用することができる。

図１Ａに示されるように、通信システム１００は、無線送受信ユニット（ＷＴＲＵ）１０２ａ、１０２ｂ、１０２ｃ、１０２ｄ、無線アクセスネットワーク（ＲＡＮ）１０４、コアネットワーク１０６、公衆交換電話網（ＰＳＴＮ）１０８、インターネット１１０、および他のネットワーク１１２を含むことができるが、開示される実施形態は、任意の数のＷＴＲＵ、基地局、ネットワーク、および／またはネットワーク要素を考慮することが理解されるであろう。ＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃ、１０２ｄは各々、無線環境において動作および／または通信するように構成された任意のタイプのデバイスであってもよい。例えば、ＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃ、１０２ｄは、無線信号を送信および／または受信するように構成されてもよく、ユーザ機器（ＵＥ）、移動局、固定または移動加入者ユニット、ページャ、携帯電話、携帯情報端末（ＰＤＡ）、スマートフォン、ラップトップ、ネットブック、パーソナルコンピュータ（ＰＣ）、無線センサ、家庭用電化製品などを含むことができる。

通信システム１００はまた、基地局１１４ａおよび基地局１１４ｂを含むこともできる。基地局１１４ａ、１１４ｂは各々、コアネットワーク１０６、インターネット１１０および／または他のネットワーク１１２のような１または複数の通信ネットワークへのアクセスを容易にするため、ＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃ、１０２ｄのうちの少なくとも１つと無線でインターフェイスをとるように構成された任意のタイプのデバイスであってもよい。例えば、基地局１１４ａ、１１４ｂは、無線基地局（ＢＴＳ）、Ｎｏｄｅ−Ｂ、ｅＮｏｄｅ Ｂ、Ｈｏｍｅ Ｎｏｄｅ Ｂ、Ｈｏｍｅ ｅＮｏｄｅ Ｂ、サイトコントローラ、アクセスポイント（ＡＰ）、無線ルータなどであってもよい。基地局１１４ａ、１１４ｂは各々単一の要素として示されるが、基地局１１４ａ、１１４ｂは、任意の数の相互接続された基地局および／またはネットワーク要素を含むことができることが理解されよう。

基地局１１４ａはＲＡＮ１０４の一部であってもよく、ＲＡＮ１０４はまた、基地局コントローラ（ＢＳＣ）、無線ネットワークコントローラ（ＲＮＣ）、リレーノードなどのような、他の基地局および／またはネットワーク要素（図示せず）を含むこともできる。基地局１１４ａおよび／または基地局１１４ｂは、セル（図示せず）と称されることもある特定の地理的領域内の無線信号を送信および／または受信するように構成されてもよい。セルは、セルセクタにさらに分割されてもよい。例えば、基地局１１４ａに関連付けられているセルは、３つのセクタに分割されてもよい。従って、１つの実施形態において、基地局１１４ａは、３つの送受信機、すなわちセルのセクタごとに１つの送受信機を含むことができる。別の実施形態において、基地局１１４ａは、多入力多出力（ＭＩＭＯ）技術を採用できるので、セルの各セクタに対して複数の送受信機を使用することができる。

基地局１１４ａ、１１４ｂは、エアインターフェイス１１６を介して、ＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃ、１０２ｄのうちの１または複数と通信することができ、エアインターフェイス１１６は（例えば、無線周波数（ＲＦ）、マイクロ波、赤外線（ＩＲ）、紫外線（ＵＶ）、可視光線など）任意の適切な無線通信リンクであってもよい。エアインターフェイス１１６は、任意の適切な無線アクセス技術（ＲＡＴ）を使用して確立されてもよい。

さらに具体的には、前述のように、通信システム１００は、多元接続システムであってもよく、ＣＤＭＡ、ＴＤＭＡ、ＦＤＭＡ、ＯＦＤＭＡ、ＳＣ−ＦＤＭＡなどの、１または複数のチャネルアクセス方式を採用することができる。例えば、ＲＡＮ１０４内の基地局１１４ａおよびＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃは、広帯域ＣＤＭＡ（ＷＣＤＭＡ（登録商標））を使用してエアインターフェイス１１６を確立することができるユニバーサル移動体通信システム（ＵＭＴＳ：Universal Mobile Telecommunications System）地上波無線アクセス（ＵＴＲＡ：Terrestrial Radio Access）のような無線技術を実施することができる。ＷＣＤＭＡは、高速パケットアクセス（ＨＳＰＡ）および／またはＥｖｏｌｖｅｄ ＨＳＰＡ（ＨＳＰＡ＋）のような通信プロトコルを含むことができる。ＨＳＰＡは、高速ダウンリンクパケットアクセス（ＨＳＤＰＡ）および／または高速アップリンクパケットアクセス（ＨＳＵＰＡ）を含むことができる。

別の実施形態において、基地局１１４ａおよびＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃは、ＬＴＥ（Long Term Evolution）および／またはＬＴＥ−Ａｄｖａｎｄｅｄ（ＬＴＥ−Ａ）を使用してエアインターフェイス１１６を確立することができるＥ−ＵＴＲＡ（Evolved UMTS Terrestrial Radio Access）のような無線技術を実施することができる。

その他の実施形態において、基地局１１４ａおよびＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃは、ＩＥＥＥ８０２．１６（すなわち、ＷｉＭＡＸ（Worldwide Interoperability for Microwave Access））、ＣＤＭＡ２０００、ＣＤＭＡ２０００ １Ｘ、ＣＤＭＡ２０００ ＥＶ−ＤＯ、ＩＳ−２０００（Interim Standard 2000）、ＩＳ−９５（Interim Standard 95）、ＩＳ−８５６（Interim Standard 856）、ＧＳＭ（登録商標）（Global System for Mobile communications）、ＥＤＧＥ（Enhanced Data rates for GSM Evolution）、ＧＳＭ ＥＤＧＥ（ＧＥＲＡＮ）などの無線技術を実施することができる。

図１Ａの基地局１１４ａは、例えば、無線ルータ、Ｈｏｍｅ Ｎｏｄｅ Ｂ、Ｈｏｍｅ ｅＮｏｄｅ Ｂまたはアクセスポイントであってもよく、事業所、家庭、車両、キャンパスなどの、局在的な領域において無線接続を容易にするために任意の適切なＲＡＴを使用することができる。１つの実施形態において、基地局１１４ｂおよびＷＴＲＵ１０２ｃ、１０２ｄは、無線ローカルエリアネットワーク（ＷＬＡＮ）を確立するためにＩＥＥＥ８０２．１１のような無線技術を実施することができる。別の実施形態において、基地局１１４ｂおよびＷＴＲＵ１０２ｃ、１０２ｄは、無線パーソナルエリアネットワーク（ＷＰＡＮ）を確立するためにＩＥＥＥ８０２．１５のような無線技術を実施することができる。さらに別の実施形態において、基地局１１４ｂおよびＷＴＲＵ１０２ｃ、１０２ｄは、セルラーベースのＲＡＴ（例えば、ＷＣＤＭＡ、ＣＤＭＡ２０００、ＧＳＭ、ＬＴＥ、ＬＴＥ−Ａなど）を使用して、ピコセルまたはフェムトセルを確立することができる。図１Ａにおいて示されるように、基地局１１４ｂは、インターネット１１０への直接接続を有することができる。従って、基地局１１４ｂが、コアネットワーク１０６を介してインターネット１１０にアクセスする必要はなくてもよい。

ＲＡＮ１０４は、コアネットワーク１０６と通信することができ、コアネットワーク１０６は音声、データ、アプリケーション、および／またはＶｏＩＰ（voice over internet protocol）サービスをＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃ、１０２ｄのうちの１または複数に提供するように構成された任意のタイプのネットワークであってもよい。例えば、コアネットワーク１０６は、呼制御、課金サービス、モバイル位置情報サービス、プリペイドコール、インターネット接続、ビデオ配信などを提供すること、および／またはユーザ認証のような高水準のセキュリティ機能を実行することができる。図１Ａにおいて示されていないが、ＲＡＮ１０４および／またはコアネットワーク１０６が、ＲＡＮ１０４と同じＲＡＴまたは異なるＲＡＴを採用するその他のＲＡＮと直接または間接的に通信できることが理解されるであろう。例えば、Ｅ−ＵＴＲＡ無線技術を使用している場合があるＲＡＮ１０４に接続されていることに加えて、コアネットワーク１０６はまた、ＧＳＭ無線技術を採用する別のＲＡＮ（図示せず）と通信することもできる。

コアネットワーク１０６はまた、ＰＳＴＮ１０８、インターネット１１０および／または他のネットワーク１１２にアクセスするためのＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃ、１０２ｄのゲートウェイとしての役割を果たすこともできる。ＰＳＴＮ１０８は、従来のアナログ電話回線サービス（ＰＯＴＳ）を提供する回線交換電話網を含むことができる。インターネット１１０は、ＴＣＰ／ＩＰインターネットプロトコルスイートのＴＣＰ、ＵＤＰおよびＩＰなどの、共通の通信プロトコルを使用する相互接続されたコンピュータネットワークおよびデバイスのグローバルシステムを含むことができる。ネットワーク１１２は、その他のサービスプロバイダによって所有および／または運用される有線または無線の通信ネットワークを含むことができる。例えば、ネットワーク１１２は、ＲＡＮ１０４と同じＲＡＴまたは異なるＲＡＴを採用することができる１または複数のＲＡＮに接続された別のコアネットワークを含むこともできる。

通信システム１００内のＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃ、１０２ｄの一部または全部は、マルチモード機能を含むことができる、すなわち、ＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃ、１０２ｄは様々な無線リンクを介して様々な無線ネットワークと通信するための複数の送受信機を含むことができる。例えば、図１Ａに示されるＷＴＲＵ１０２ｃは、セルラーベースの無線技術を採用することができる基地局１１４ａ、およびＩＥＥＥ８０２無線技術を採用することができる基地局１１４ｂと通信するように構成されてもよい。

図１Ｂは、例示のＷＴＲＵ１０２を示すシステム図である。図１Ｂにおいて示されるように、ＷＴＲＵ１０２は、プロセッサ１１８、送受信機１２０、送受信要素１２２、スピーカ／マイクロフォン１２４、キーパッド１２６、ディスプレイ／タッチパッド１２８、非リムーバブルメモリ１３０、リムーバブルメモリ１３２、電源１３４、ＧＰＳチップセット１３６および他の周辺機器１３８を含むことができる。ＷＴＲＵ１０２が、前述の要素の任意の部分的組み合わせを含むことができ、引き続き実施形態に整合することが理解されるであろう。

プロセッサ１１８は、汎用プロセッサ、特殊用途プロセッサ、標準的なプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、複数のマイクロプロセッサ、ＤＳＰコアと関連する１または複数のマイクロプロセッサ、コントローラ、マイクロコントローラ、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路、任意の他のタイプの集積回路（ＩＣ）、状態機械などであってもよい。プロセッサ１１８は、信号符号化、データ処理、電力制御、入出力処理、および／またはＷＴＲＵ１０２が無線環境で動作できるようにする任意の他の機能を実行することができる。プロセッサ１１８は、送受信要素１２２に結合され得る送受信機１２０に結合されてもよい。図１Ｂはプロセッサ１１８および送受信機１２０を別個のコンポーネントとして示すが、プロセッサ１１８および送受信機１２０が電子パッケージまたはチップに統合されてもよいことが理解されよう。

送受信要素１２２は、エアインターフェイス１１６を介して基地局（例えば、基地局１１４ａ）に信号を送信するか、または基地局から信号を受信するように構成されてもよい。例えば、１つの実施形態において、送受信要素１２２は、ＲＦ信号を送信および／または受信するように構成されたアンテナであってもよい。別の実施形態において、送受信要素１２２は、例えば、ＩＲ、ＵＶ、または可視光信号を送信および／または受信するように構成されたエミッタ／検出器であってもよい。さらに別の実施形態において、送受信要素１２２は、ＲＦ信号および光信号の両方を送信および受信するように構成されてもよい。送受信要素１２２は、無線信号の任意の組み合わせを送信および／または受信するように構成されてもよいことが理解されよう。

加えて、図１Ｂにおいて、送受信要素１２２は単一の要素として示されるが、ＷＴＲＵ１０２は任意の数の送受信要素１２２を含むことができる。さらに具体的には、ＷＴＲＵ１０２は、ＭＩＭＯ技術を採用することができる。従って、１つの実施形態において、ＷＴＲＵ１０２は、エアインターフェイス１１６を介して無線信号を送信および受信するために２つ以上の送受信要素１２２（例えば、複数のアンテナ）を含むことができる。

送受信機１２０は、送受信要素１２２によって送信されるべき信号を変調し、送受信要素１２２によって受信される信号を復調するように構成されてもよい。前述のように、ＷＴＲＵ１０２は、マルチモード機能を有することができる。従って、送受信機１２０は、ＷＴＲＵ１０２が、例えばＵＴＲＡおよびＩＥＥＥ８０２．１１のような複数のＲＡＴを介して通信できるようにするための複数の送受信機を含むことができる。

ＷＴＲＵ１０２のプロセッサ１１８は、スピーカ／マイクロフォン１２４、キーパッド１２６および／またはディスプレイ／タッチパッド１２８（例えば、液晶ディスプレイ（ＬＣＤ）表示ユニット、または有機発光ダイオード（ＯＬＥＤ）表示ユニット）に結合されてもよく、これらの機器からユーザ入力データを受信することができる。プロセッサ１１８はまた、スピーカ／マイクロフォン１２４、キーパッド１２６および／またはディスプレイ／タッチパッド１２８にユーザデータを出力することもできる。また、プロセッサ１１８は、非リムーバブルメモリ１３０および／またはリムーバブルメモリ１３２のような、任意のタイプの適切なメモリの情報にアクセスし、適切なメモリにデータを格納することができる。非リムーバブルメモリ１３０は、ＲＡＭ、ＲＯＭ、ハードディスクまたは任意の他のタイプのメモリストレージデバイスを含むことができる。リムーバブルメモリ１３２は、加入者識別モジュール（ＳＩＭ）カード、メモリスティック、セキュアデジタル（ＳＤ）メモリカードなどを含むことができる。その他の実施形態において、プロセッサ１１８は、サーバ上、またはホームコンピュータ（図示せず）上のような、ＷＴＲＵ１０２に物理的に位置していないメモリから情報にアクセスし、そのようなメモリにデータを格納することができる。

プロセッサ１１８は、電源１３４から電力を受けることができ、ＷＴＲＵ１０２内の他のコンポーネントへの電力の配電および／または制御を行うように構成されてもよい。電源１３４は、ＷＴＲＵ１０２に電力を供給するための任意の適切なデバイスであってもよい。例えば、電源１３４は、１または複数の乾電池（例えば、ニッケルカドミウム（ＮｉＣｄ）、ニッケル亜鉛（ＮｉＺｎ）、ニッケル水素（ＮｉＭＨ）、リチウムイオン（Ｌｉ−ｉｏｎ）など）、太陽電池、燃料電池などを含むことができる。

プロセッサ１１８はまた、ＧＰＳチップセット１３６に結合されてもよく、ＧＰＳチップセット１３６は、ＷＴＲＵ１０２の現在の位置に関する位置情報（例えば、緯度および経度）を提供するように構成されてもよい。ＧＰＳチップセット１３６からの情報に加えて、またはその情報の代わりに、ＷＴＲＵ１０２は、基地局（例えば、基地局１１４ａ、１１４ｂ）からエアインターフェイス１１６を介して位置情報を受信すること、および／または２つ以上の近隣の基地局から受信されている信号のタイミングに基づいてその位置を決定することができる。ＷＴＲＵ１０２が、任意の適切な位置決定の方法を用いて位置情報を取得することができ、引き続き実施形態に整合することが理解されよう。

プロセッサ１１８は、他の周辺機器１３８にさらに結合されてもよく、周辺機器１３８は、追加の特徴、機能および／または有線若しくは無線接続を提供する１または複数のソフトウェアおよび／またはハードウェアモジュールを含むことができる。例えば、周辺機器１３８は、加速度計、電子コンパス、衛星送受信機、デジタルカメラ（写真またはビデオ用）、ＵＳＢポート、振動装置、テレビ送受信機、ハンドフリーヘッドセット、Ｂｌｕｅｔｏｏｔｈ（登録商標）モジュール、周波数変調（ＦＭ）無線装置、デジタル音楽プレイヤー、メディアプレイヤー、テレビゲームプレイヤーモジュール、インターネットブラウザなどを含むことができる。

図１Ｃは、１つの実施形態によるＲＡＮ１０４およびコアネットワーク１０６を示すシステム図である。前述のように、ＲＡＮ１０４は、Ｅ−ＵＴＲＡ無線技術を採用して、エアインターフェイス１１６を介してＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃと通信することができる。ＲＡＮ１０４はまた、コアネットワーク１０６と通信することもできる。

ＲＡＮ１０４はｅＮｏｄｅ−Ｂ１４０ａ、１４０ｂ、１４０ｃを含むことができるが、引き続き実施形態に整合しながら、ＲＡＮ１０４は任意の数のｅＮｏｄｅ−Ｂを含むことができることが理解されよう。ｅＮｏｄｅ−Ｂ１４０ａ、１４０ｂ、１４０ｃは各々、エアインターフェイス１１６を介してＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃと通信するための１または複数の送受信機を含むことができる。１つの実施形態において、ｅＮｏｄｅ−Ｂ１４０ａ、１４０ｂ、１４０ｃはＭＩＭＯ技術を実施することができる。従って、例えば、ｅＮｏｄｅ−Ｂ１４０ａは、複数のアンテナを使用して、ＷＴＲＵ１０２ａに無線信号を送信し、ＷＴＲＵ１０２ａから無線信号を受信することができる。

ｅＮｏｄｅ−Ｂ１４０ａ、１４０ｂ、１４０ｃは各々、特定のセル（図示せず）に関連付けられてもよく、無線リソース管理の決定、ハンドオーバの決定、アップリンクおよび／またはダウンリンクにおけるユーザのスケジューリングなどを処理するように構成されてもよい。図１Ｃに示されるように、ｅＮｏｄｅ−Ｂ１４０ａ、１４０ｂ、１４０ｃは、Ｘ２インターフェイスを介して相互に通信することができる。

図１Ｃに示されるコアネットワーク１０６は、モビリティ管理エンティティゲートウェイ（ＭＭＥ）１４２、サービングゲートウェイ１４４、およびパケットデータネットワーク（ＰＤＮ）ゲートウェイ１４６を含むことができる。前述の要素は各々、コアネットワーク１０６の一部として示されているが、それらの要素のうちのいずれかがコアネットワークオペレータ以外のエンティティによって所有および／または運用されてもよいことが理解されよう。

ＭＭＥ１４２は、Ｓ１インターフェイスを介してＲＡＮ１０４内のｅＮｏｄｅ−Ｂ１４０ａ、１４０ｂ、１４０ｃの各々に接続されてもよく、制御ノードとしての役割を果たすことができる。例えば、ＭＭＥ１４２は、ＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃのユーザを認証すること、ベアラのアクティブ化／非アクティブ化、ＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃの初期接続中に特定のサービス提供ゲートウェイを選択することなどに責任を負うことができる。ＭＭＥ１４２はまた、ＲＡＮ１０４と、ＧＳＭまたはＷＣＤＭＡのような他の無線技術を採用するその他のＲＡＮ（図示せず）とを切り替えるための制御プレーン機能を提供することもできる。

サービングゲートウェイ１４４は、Ｓ１インターフェイスを介してＲＡＮ１０４内のｅＮｏｄｅ−Ｂ１４０ａ、１４０ｂ、１４０ｃの各々に接続されてもよい。サービングゲートウェイ１４４は一般に、ユーザデータパケットを、ＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃとの間でルーティングおよび転送することができる。サービングゲートウェイ１４４はまた、ｅＮｏｄｅ Ｂ間ハンドオーバ中にユーザプレーンを固定すること、ダウンリンクデータがＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃに使用可能な場合にページングをトリガーすること、ＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃのコンテキストを管理して格納することなどの、その他の機能を実行することもできる。

サービングゲートウェイ１４４はまた、ＰＤＮゲートウェイ１４６に接続されてもよく、ＰＤＮゲートウェイ１４６は、インターネット１１０などのパケット交換ネットワークへのアクセスをＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃに提供して、ＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃとＩＰ対応のデバイスとの間の通信を容易にすることができる。

コアネットワーク１０６は、他のネットワークとの通信を容易にすることができる。例えば、コアネットワーク１０６は、ＰＳＴＮ１０８などの回線交換ネットワークへのアクセスをＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃに提供し、ＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃと従来の地上通信線通信デバイスとの間の通信を容易にすることができる。例えば、コアネットワーク１０６は、コアネットワーク１０６とＰＳＴＮ１０８との間のインターフェイスとしての役割を果たすＩＰゲートウェイ（例えば、ＩＰマルチメディアサブシステム（ＩＭＳ）サーバ）を含むことができ、またはＩＰゲートウェイと通信することができる。また、コアネットワーク１０６は、他のサービスプロバイダによって所有および／または運用される他の有線または無線ネットワークを含むことができるネットワーク１１２へのアクセスをＷＴＲＵ１０２ａ、１０２ｂ、１０２ｃに提供することができる。

他のネットワーク１１２は、ＩＥＥＥ８０２．１１ベースの無線ローカルエリアネットワーク（ＷＬＡＮ）１６０にさらに接続されてもよい。ＷＬＡＮ１６０は、アクセスルータ１６５を含むことができる。アクセスルータは、ゲートウェイ機能を含むことができる。アクセスルータ１６５は、複数のアクセスポイント（ＡＰ）１７０ａ、１７０ｂと通信することができる。アクセスルータ１６５とＡＰ１７０ａ、１７０ｂの間の通信は、有線イーサネット（ＩＥＥＥ８０２．３標準）、または任意のタイプの無線通信プロトコルを介してもよい。ＡＰ１７０ａは、ＷＴＲＵ１０２ｄとエアインターフェイスを介して無線通信する。

これ以降説明される方法および装置は、上記で説明されるネットワーク、または当業者に知られている任意の他のネットワークにおいて配備されてもよい。これ以降説明される実施形態において使用されるように、ＷＴＲＵは、ＳＴＡ、ＡＰ、ラップトップＰＣ、スマートフォン、サーバ、またはネットワークにおいて動作することができるその他の通信デバイスを含むことができるが、これらに限定されることはない。

ＲＦＣ４１９１およびＲＦＣ７２１７に示されているようなプライバシー技法は、非協調的な方式で機能するが、そのためこうしたプライバシー技術の有効性を制限する。一般に、プライバシーは、プライバシー情報の漏洩を回避するために全てのレイヤにおいて取り組まれるべきである。プライバシー技術はまた、自動的、疑似自動的または手動のプライバシー保護アクティブ化を可能にする、柔軟なものでなければならない。場合によっては、例えば運用上の操作により、パーマネントアドレスが要求されることがある（例えば、アドレスベースの認証、アクセス制御リストなど）。従って、プライバシー技術は、デバイスの位置、またはデバイスが接続するネットワークの特性のような、コンテキストに応じて、プライバシーメカニズムの使用を可能および不可にできるようにすべきである。

Ｐｒｉｖａｃｙ Ｅｘｔｅｎｓｉｏｎｓ ｆｏｒ Ｓｔａｔｅｌｅｓｓ Ａｄｄｒｅｓｓ Ａｕｔｏ−ｃｏｎｆｉｇｕｒａｔｉｏｎ ｉｎ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ｖｅｒｓｉｏｎ ６（ＩＰｖ６）と題するＲＦＣ４１９１は、（ＩＩＤの一部としての）ＩＰｖ６アドレスへのＬ２安定的アドレッシング情報の組み込みに関連付けられているプライバシー問題を識別し説明している。ＲＦＣ４１９１はまた、関連する問題を軽減するための一部のメカニズムについても説明する。ＲＦＣ４１９１は、Ｌ２アドレスに基づいてＩＰｖ６アドレスを自動構成するＩＰｖ６ノードに向けられている（ＥＵＩ−６４メカニズム）。

ＲＦＣ４１９１はまた、発信セッションを開始する目的でランダムインターフェイス識別子に基づいて追加アドレス（一般には一時アドレスとして知られる）を作成する方法を定義する。これらのランダムまたは一時アドレスは、短期間にわたり（例えば、数分、数時間または数日）使用されるよう意図され、その後非推奨となる。非推奨のアドレスは、既に確立された接続に引き続き使用されてもよいが、新しい接続を開始するために使用されることはない。新しい一時アドレスは、満了する一時アドレスを置き換えるように定期的に生成されてもよい。そのようにするために、ノードは、外部の監視者が将来のアドレス（または識別子）を現在のものに基づいて予測することが困難であり、以前のアドレス（または識別子）を現在のものしか知らずに決定することが困難であるという意味でランダムであるかに見えるインターフェイス識別子のシーケンスから一時グローバルスコープアドレスのシーケンスを生成することができる。

一時アドレスは一般に、着信接続をリッスンするアプリケーションによって使用されるべきではない（これらのアプリケーションは一般に永続的／周知の識別子で待機するので）。ノードがネットワークを変更し、以前訪れたものに戻る場合、ノードが使用するであろう一時アドレスは異なることがあり、これは、アドレスが操作の目的で使用される（例えば、企業ネットワークでのフィルタリング若しくは認証、または一部のホテルで行われるようにアクセスが特定の時間について購入されている支払いネットワークへのアクセスなど）特定のネットワークにおいては問題となり得る。

ａ Ｍｅｔｈｏｄ ｆｏｒ Ｇｅｎｅｒａｔｉｎｇ Ｓｅｍａｎｔｉｃａｌｌｙ Ｏｐａｑｕｅ Ｉｎｔｅｒｆａｃｅ Ｉｄｅｎｔｉｆｉｅｒｓ ｗｉｔｈ ＩＰｖ６ Ｓｔａｔｅｌｅｓｓ Ａｄｄｒｅｓｓ Ａｕｔｏ−ｃｏｎｆｉｇｕｒａｔｉｏｎ（ＳＬＡＡＣ）と題されるＲＦＣ７２１７は、この方法を使用して構成されたＩＰｖ６アドレスが各サブネット内で安定しているが、対応するＩＩＤはホストが１つのネットワークから別のネットワークに移動すると変わるように、ＩＰｖ６ ＳＬＡＡＣと共に使用されるべきＩＰｖ６ ＩＩＤを生成するための方法を説明し、定義する。この方法は、安定したアドレスの利点がユーザのセキュリティおよびプライバシーを犠牲にすることなく達成され得るように、Ｌ２アドレスに基づいてインターフェイス識別子を生成するための代替策となることが意図されている。

ＩＰｖ６ ＩＩＤを生成するように定義された方法は、ハッシュ関数を計算することに基づいており、これは安定した、インターフェイスに関連する情報（例えば、Ｌ２アドレスまたはローカルインターフェイス識別子）、訪問先ネットワークに関連する安定した情報（例えば、ＩＥＥＥ８０２．１１ＳＳＩＤ）、ＩＰｖ６プレフィックス、および秘密キー、さらに一部の他の追加情報を入力として受け取る。これは一般に、（ネットワークまたはプレフィックスのような）入力フィールドのいずれかが変化する場合に、異なるＩＩＤが生成されるが、ＩＩＤは各サブネット内で同じであることを保証する。

Ｈｏｓｔ Ｉｄｅｎｔｉｔｙ Ｐｒｏｔｏｃｏｌ （ＨＩＰ） Ａｒｃｈｉｔｅｃｔｕｒｅと題されるＲＦＣ４４２３は、新しいホスト識別ネームスペース、および本質的に一部のプライバシー特徴を提供する、インターネットワーキングとトランスポートレイヤの間の、ＨＩＰである新しいプロトコルレイヤを提案する。しかし、このプロトコルは、市場採用をかなえておらず、インターネット通信に幅広く使用されるようにする潜在力はごくわずかである。

Ｌ２アドレスランダム化は、１つの例示のプライバシー機能である。ＩＥＥＥ（Institute of Electrical and Electronics Engineers）８０２アドレッシングは、ハードウェアアドレスがローカルまたはグローバルに管理されるかどうかを指定するための１ビットを含む。これは、アドレスが一意であることを保証する任意のグローバル協調メカニズムなしにローカルアドレスを生成できるようにする。この機能は、ランダムアドレスを生成するために使用されてもよく、従ってユーザデバイスがそのＬ２アドレスから追跡されることをさらに困難にすることができる。この機能は、一部のデバイスによって部分的に使用される。これらのデバイスは、アクティブなＷｉＦｉプローブスキャニング中にランダムアドレスを使用するように使用可能にされてもよい。

Ｌ２アドレスランダム化は、ユーザ追跡をさらに困難なものにするための業界標準となり得る強力なツールである。しかし、これは、選択的に使用可能／使用不可となる必要があるので、デフォルトの「常時オン」または「常時オフ」ポリシーでは十分ではないことがある。例えば、多くのネットワークは、Ｌ２アドレスアクセスフィルタリングを、それらのセキュリティポリシーの一部として使用するか、またはこれを、パブリックホットスポット内の許可されたユーザを識別するために使用する（すなわち、ユーザがキャプティブポータルで要求される資格情報を提供すると、Ｌ２アドレスは、ユーザを識別および認可するために使用されてもよい）。このシナリオにおいて、Ｌ２アドレスランダム化は、さらに慎重に実行される必要があり得る。

方法は、一部のプライバシーおよび／またはセキュリティの脅威を軽減および／または対処するために使用されてもよい。しかし、プロトコルスタックの様々なレイヤにおいて行われる様々なアクションの協調の必要性もある。これは、プライバシーがグローバルな問題であるためであり、それゆえに、異なるレイヤにおいて、それらの間の適切な協調を行うことなくローカルに取り組むことによってこの問題を解決することは困難である。例えば、動的ホスト構成プロトコル（ＤＨＣＰ）によって使用されるもののようなＬ３アドレスおよび識別子はまた、情報を公開して、攻撃者がユーザの位置および識別を特定できるようにしてしまうこともあるため、Ｌ２アドレスだけをランダム化することは十分でない場合がある。別の例は、クッキーの使用であり、これは望ましくないユーザプロファイリングを回避するために使用不可にされてもよい。

さらに、柔軟性および動的適応の必要性もある。例えば、Ｌ２／Ｌ３アドレスランダム化を伴うポリシーは、パブリックの信頼できないネットワークに接続している場合には適切であることがあるが、ユーザが企業ネットワークにアクセスしている場合は適切ではないこともある。同様に、ＨＴＴＰクッキーを使用することおよび格納することは、特定のサイト（または特定のアカウントによってログインされたブラウジングの場合）には適切であることがあるが、その他の場合については適切ではないことがある。

さらに、拡張構成可能の必要性もある。例えば、プライバシーおよびセキュリティのメカニズムは、ユーザのプリファレンス、ＷＴＲＵ管理者プリファレンス、ネットワークのコンテキスト、地理的位置などの、複数の入力を考慮して、構成可能およびカスタマイズ可能であってもよい。これらの入力は、プライバシーを提供するようにプロトコルスタックを構成する方法に関して様々なアクションを暗示することができる。例えば、ユーザは、自身の企業ラップトップを使用してあらゆるネットワークに接続する際にＬ２／Ｌ３ランダム化を使用可能にすることを望む場合があるが、企業ラップトップの管理者は、認証およびロギングの理由により、固定の周知のＬ２／Ｌ３アドレスの使用を課すポリシーを有することがある。別の例は、特定のサイトにアクセスする際にブラウザ匿名モードを使用すること、または特定のネットワークでデフォルトでトランスポートレイヤセキュリティ（ＴＬＳ）を使用することを選ぶことであろう。

プライバシープロファイルが使用されてもよい。（例えば無線）インターネットユーザに総合的なプライバシー機能をもたらすため、プロトコルスタックのコンテキスト構成が採用されてもよい。機能は、プロトコルスタックの様々な部分において使用可能（または使用不可）にされてもよい。これらの特徴は、協調されない方式で適用される場合（この場合、結果は非生産的になる可能性もある）よりも、はるかに良好な結果をもたらすことができる。ネットワークコンテキストに応じて様々なスタックプライバシー機能を使用可能／使用不可にするために適用され得る様々な接続のシナリオ（またはプロファイル）が使用されてもよい。

様々なプライバシー要件を伴うシナリオが、本明細書の実施形態において説明される。これらは、コンテキストが、全プロトコルスタックのプライバシー設定にどのように影響を及ぼすかを示す例としての役割を果たす。

接続のシナリオは、本明細書にて説明される。コンテキストの重要な部分は、ＷＴＲＵが接続されるネットワークに由来することがある。例えば、プライバシーコンテキストは、アクセスインフラストラクチャが比較的プライベートで信頼できるような企業またはホームネットワーク、およびコーヒーショップまたさらには有名なホテルにおけるパブリックホットスポットに接続する場合に異なってもよい。本明細書において説明される実施形態に関与する接続のシナリオは、以下の事項を含むが、これらに限定されることはない。

（１） 信頼できる／制御されたネットワーク：アクセスインフラストラクチャが比較的クローズでエンドユーザによって信頼されている企業またはホームネットワークにおいて、Ｌ２アドレスをランダム化することは必要とされないことがある。場合によっては、例えば、認証またはロギングの目的により、Ｌ２アドレスをランダム化しないこと、および他のプロトコル識別子（例えばＤＨＣＰ）を隠蔽しないことも、実際には要件であってもよい。１つの例は、ホームネットワークにおけるＬ２ベースのアクセスフィルタリングである。この場合、永続的および周知のＬ２アドレス（またはアドレスの周知のセットに属している）は、デフォルトで使用されてもよい。インターネットプロトコルバージョン６（ＩＰｖ６）インターフェイス識別子（ＩＩＤ）に関して、この場合、および前述の理由と同じ理由で、永続的および周知のＩＩＤが使用されてもよい。ＩＩＤは、Ｌ２アドレスにリンクされないこともある（すなわち、マッピングは、外部観察者がＩＰｖ６ ＩＩＤからＬ２アドレスを推測できないように不透明でなければならない）。

（２） 信頼できない／パブリックネットワーク：信頼できない／パブリックネットワークは、これらに接続するユーザの制御の下にないネットワークを示すことができる。接続ユーザとネットワークの間の信頼できる信頼関係はまた、存在しない場合もある。信頼できない／パブリックネットワークはまた、ユーザが（例えば、Ｗｅｂポータルを通じて）ネットワークへのアクセスを取得する前に認証する必要があるネットワークを示すこともある。例は、ホテルまたは空港のホットスポットであってもよく、ユーザは、接続するために一部の資格情報を提供する必要がある。この場合、Ｌ２アドレスは、ランダムなものである必要があるが、認証トークンの存続時間中に永続的なものであるべきである（すなわち、ユーザは再度認証するよう求められることがあり、さもなければ新しい接続パスまたは認証トークンの購入がおそらくは必要となるので、認証の存続時間満了前に変更することができない）。ＩＰｖ６ ＩＩＤに関して、異なる手法が採用されてもよい。Ｌ２アドレスランダム化が適切に実行される場合、ＩＰｖ６ ＩＩＤは、６４ビット拡張固有識別子（ＥＵＩ−６４）ＩＩＤを使用するＬ２アドレスに基づいてもよい。場合によっては、これが十分であってもよい（これはＬ２とＬ３メカニズムの間のある種の協調を想定する）。これが保証され得ないか、または追加のプライバシーが必要とされる場合、ＩＰｖ６ ＩＩＤはランダムであってもよく、たとえユーザが同じサブネットに戻る場合であっても変更することができる（そのため、観察者は、以前訪れたネットワークに戻ってきたユーザを追跡できない）。

（３） 信頼できない／パブリックオープンネットワーク：信頼できない／パブリックオープンネットワークは、ユーザ認証がなく、ネットワークは任意のＷＴＲＵによって使用されるように完全にオープンであるネットワークとして定義されてもよい。この場合、Ｌ２アドレスは、同じ拡張サービスセット識別（ＥＳＳＩＤ）のＡＰへの各アソシエーションごとにランダム化されてもよい。「クライアントＩＤ」および「ホスト名」のようなＤＨＣＰ識別子は、匿名にされてもよい。ＩＰｖ６ ＩＩＤはまた、ランダム化されて、Ｌ２アドレスに不透明であってもよく、たとえユーザが以前訪れたものに戻る場合であっても、ユーザがネットワークを変えるごとに異なっていてもよい。

所与のサービスにアクセスするためにユーザによって使用される固有のＷＴＲＵは、重要である場合がある。例えば、多数の様々な人々によって共有されるパブリックＰＣを使用することは、企業のラップトップまたは自宅でのパーソナルＰＣを使用する場合に比べて、追加のプライバシー要件を課す場合がある。本明細書において説明される実施形態に関与するＷＴＲＵの観点からのシナリオの例は、以下の事項を含むが、これらに限定されることはない。

（１） 信頼できる／管理されたＷＴＲＵ：ユーザが、例えば企業のラップトップなど、信頼できるおよび／または管理されたＷＴＲＵを使用して所与のサービスにアクセスする場合、アプリケーションは、それらが当てはまるプラバシー設定においてさほど厳密ではないことがある。例えば、アプリケーションは、キーロガーを使用する攻撃に対する保護を必要としなくてもよい。一部の例において、ホームＷＴＲＵは類似しているが、セキュリティおよびプライバシーの技能を備えた専門家によって中央管理されておらず、家族全員によって共有されることもあるので、企業の機器に比べてセキュリティは劣る。この場合、一部のアプリケーションは、情報の特定の部分をローカルに格納しないことを選ぶか、またはデフォルトで「匿名モード」を強制することがある。

（２） 信頼できない／パブリックＷＴＲＵ：アプリケーションが、パブリックＰＣ上でこれが実行していることを認識する場合、これは保護メカニズムの使用（例えば、使い捨てパスワード若しくは２段階認証の使用、または仮想キーボードの使用）を課すことができる。

考慮されるべき別の側面は、アプリケーションのシナリオを含む。特定のアプリケーションの場合、一部の情報を開示することは重要ではないことがあるが（例えば、企業アプリケーション）、他のアプリケーションの場合、それら（例えば、ソーシャルネットワーク）を使用する場合にプライバシーを高めることが望ましいことがある。言うまでもなく、使用されるアプリケーションの重要性は、ＷＴＲＵ、およびネットワークのような、コンテキストの他の部分とリンクされる必要がある（例えば、企業アプリケーションは、企業ネットワークの外部で実行する場合にはより高いプライバシー保護を必要とすることがある）。

プロトコルスタックの各レイヤにおいて使用可能にされ得る方法は、関与する様々なアクターのコンテキストおよびプリファレンスに応じて、様々な方法で組み合わされてもよい。「コンテキスト」という用語は、所与のユーザおよびサービスについて所与の場所および時間において決定を行うために使用され得る情報を示すために使用される。以下の事項は、「コンテキスト」の例である。

（１） 可視のネットワーク、これはＷＴＲＵがその時間および場所において潜在的に接続することができるネットワークとして定義されてもよい。

（２） （地理的）位置、これは全地球測位システム（ＧＰＳ）、ＷｉＦｉネットワーク、地図などによって取得されてもよい。

（３） ネットワークによって、すなわちジェネリックアドバタイズメントサービス（ＧＡＳ）／アクセスネットワーククエリプロトコル（ＡＮＱＰ）またはジェネリック８０２．１１ビーコンに基づいて、提供される情報。

（４） ユーザによりログインするために使用されるアカウント。

（５） ソーシャルネットワークからの接続または情報。例えば、ユーザは、自分の友人が有する信頼に基づいて所与のネットワークを信頼することを決定することができる。このネットワークにアクセスするための許可（必要とされる資格情報を含む）はまた、ソーシャルネットワーキング関係に基づいてセットアップされてもよい。

（６） ネットワークによってサポートされるプロトコルおよび／またはメカニズム。これは、各レイヤにおける所与の時間においてどの可能な構成が使用され得るかを決定するためのコンテキスト情報および／または制限的局面として使用されてもよい。

上記のリストは、いかなる方法においても包括的または限定的であることは意図されておらず、例として提供されている。

「アクター」という用語は、アクションをトリガーするか、または使用されるべきプライバシーメカニズムを選択する際にアクティブな意志決定者の役割を果たすことができるエンティティを示す。以下の事項は、「アクター」の例である。

（１） ユーザ。ユーザのプリファレンスおよび実際のインジケーションは、考慮される必要がある。ユーザの特権に応じて、これらのインジケーションは、任意の他の自動決定／構成をオーバーライドすることができる。

（２） ユーザの機器／アカウントの管理者。管理者は、コンテキストに応じてプロトコルスタックをどのように構成するかに関してポリシーおよび／またはプリファレンスをセットアップすることができる。

（３） ネットワークの管理者。上記のユーザの機器／アカウントの管理者の例と同様に、デバイスによってアクセスを取得するために使用されるネットワークの管理者は、一部のプライバシーポリシーを示すことができる。

（４） アプリケーション。アプリケーションは、それらのプライバシープリファレンスに関する要件またはポリシーのセットを提供することができる。これらは、システムによって直接使用されて、これを自動的に構成するか、または実際のプライバシーセットアップを選択するために考慮すべき追加情報をユーザに提供することができる。

上記のリストは、いかなる方法においても包括的または限定的であることは意図されておらず、例として提供されている。

環境（例えば、コンテキスト）および様々なプリファレンス（例えば、ユーザの、管理者の、ネットワークの、など）に応じてプライバシー保護を柔軟に使用可能にするコンテキスト認識型プロトコルスタックを提供するプロトコルスタック拡張のための方法および装置が、本明細書において説明される。本明細書において説明される方法および装置は、静的な方式でネットワーク接続に対処するだけではなく、様々なレベルのプライバシーを提供することができる完全に構成可能な、柔軟で動的なプロトコルスタック構成を提供するフレームワークも提供する。プライバシーおよびセキュリティは、プロトコルスタックの様々なレイヤにおいて提供されてもよい。これは、全システム（例えば、ＰＨＹからＡＰＰレイヤまで）の振る舞いをプライバシー要件の所与のセットに適応させることを目的に、プロトコルスタックの様々なレイヤにおいて様々な特徴を使用可能にすることによって達成されてもよい。

サービスにアクセスする際にユーザにプライバシーおよびセキュリティを提供することは、プロトコルスタックの１つの単一レイヤの責任ではないこともある。本明細書において説明される方法および装置は、全ての状況／ユースケースが同じタイプのアクションを必要とし得るわけではないため、多くの様々な方法でプライバシーおよびセキュリティの様々な局面に対処し、柔軟性に富み、様々なユースケースに対処する。

コンテキストおよびプリファレンスを考慮することによってプライバシーを管理する方法および装置は、本明細書において説明される。図２Ａは、１つの実施形態によるプライバシー保護を可能にする例示のコンテキスト認識型プライバシープロトコルスタックアーキテクチャおよびアプリケーションプログラミングインターフェイス（ＡＰＩ）２００を示す図であり、これは本明細書において説明される実施形態のいずれかと組み合わせて使用されてもよい。図２Ａの例に関与するアクターは、アプリケーション２０１、ユーザ２０２、および管理者２０３を含む。

図２Ａの例はまた、以下の例を含むプロトコルスタックの各レイヤにおいて実行され得る構成を示すが、これらに限定されることはない。

物理レイヤ（Ｌ１／ＰＨＹ）２１１：このレイヤにおいて、暗号化のような方法が使用されてもよい。パッシブモニタリングに基づくプロファイリングはまた、各接続において変更され得るランダム化パラメータによって最小化されてもよい。ＷＴＲＵプロファイリングを実施することをさらに困難にする場合があるＬ１におけるランダム化の例は、複合的技術／帯域アクセスポイントに接続する場合に同じ技術／周波数（例えば、８０２．１１ｇに対する８０２．１１ａ）を常には使用しないかまたは使用することを選択せず、接続を確立する際にネゴシエートされた優先レートを変更することなどを含むが、これらに限定されることはない。

リンクレイヤ（Ｌ２／ＭＡＣ）２１２：このレイヤにおいて、Ｌ２（ＭＡＣ）アドレスはランダム化されてもよく、Ｌ２において暗号化が使用されてもよく（例えば、ＷＰＡ／ＷＰＡ２）、認証が使用されてもよく、信頼できないかまたは非暗号化ネットワークがブラックリストに載せられてもよく、アクティブスキャンは最小化されてもよい、などである。

ネットワークレイヤ（Ｌ３／ＮＥＴ）２１３：このレイヤにおいて、Ｌ３アドレス（ＩＰアドレス）はランダム化されてもよく、インターネットプロトコルセキュリティ（ＩＰｓｅｃ）が使用されてもよく、仮想プライベートネットワーク（ＶＰＮ）が使用されてもよく、ＤＨＣＰシグナリングに使用されるパラメータが匿名にされてもよい、などである。例えば、クライアントＩＤのホスト名のようなＤＨＣＰ識別子は、匿名にされるかまたはランダム化されてもよい。

トランスポートレイヤ（Ｌ４／ＴＲＡ）２１４：このレイヤにおいて、データグラムトランスポートレイヤセキュリティ（ＤＴＬＳ）、ＴＬＳ、ＴＬＳの他の変種、ＴＣＰセキュリティ、ＵＤＰセキュリティ、セキュアソケットレイヤ（ＳＳＬ）などが使用されてもよい。

アプリケーションレイヤ（Ｌ５／ＡＰＰ）２１５：このレイヤにおいて、ドメイン名システムセキュリティ拡張（ＤＮＳｓｅｃ）が使用されてもよく、「匿名モード」（例えば、以前格納されたクッキーを使用しない、終了の際に何も格納しない、および／または閲覧履歴を格納しない）およびクッキーへのその他の制約のようなアプリケーションプライバシー方法が使用されてもよく、アプリとソーシャルネットワークの間の接続が回避されてもよく、ウェアラブルＷＴＲＵによる所与の位置におけるステータスの更新が阻止されてもよく、（トランスポートレイヤセキュリティに基づく）ハイパーテキストトランスポートプロトコルセキュア（ＨＴＴＰＳ）が使用されてもよく、有効なＷｅｂ証明書の使用が実施されてもよい、などである。

図２Ａはまた、各エンティティ間の対話を示す。プライバシーマネージャ２０４および接続マネージャ２０５は、ユーザのＷＴＲＵ上に常駐することができる。プロトコルスタックの様々なレイヤ、接続マネージャ、およびプライバシーマネージャの間の接続が適正に保護されている限り、代替の位置（例えば、専用セキュアサーバ／クラウド上）もまた可能である。プライバシーマネージャ２０４が、プロトコルスタックのプライバシー機能を調整して様々なアクターからコンテキスト情報を収集するために必要とされるインテリジェンスをホスティングするために使用される論理構成体であってもよいことに留意されたい。本明細書にて説明される方法および装置はまた、プライバシーマネージャ２０４を伴わないがやはり同種の機能を提示する他の種類の解決策にも適用することができる。

アプリケーション２０１は、アプリケーションプリファレンスをプライバシーマネージャ２０４に示すことができる。ユーザ２０２は、プライバシーマネージャ２０４および接続マネージャ２０５によりユーザプリファレンスを構成することができる。管理者２０３は、プライバシーマネージャ２０４および接続マネージャ２０５によりポリシーを構成することができる。プライバシーマネージャ２０４および接続マネージャ２０５は、ポリシーを同期することができる。プライバシーマネージャ２０４はまた、プロトコルスタックを構成することができ、プロトコルスタックは、コンテキスト情報をプライバシーマネージャ２０４に提供することができる。接続マネージャは、プロトコルスタックとの接続を管理することができる。ネットワーク２１０は、パブリックまたはプライベートネットワーク情報のようなコンテキスト情報をプロトコルスタックに提供することができる。

プライバシーマネージャ２０４は、各々がプロトコルスタックの各レイヤにおける異なるセットの構成を暗示する、様々なプライバシープロファイルをユーザ２０２に提示することができる。これらのプロファイルはコンテキストに依存する、すなわち一部のプロファイルは、特定のシナリオの下に限り使用可能である、および／またはコンテキストに基づいて異なった振る舞いをすることがある。各プロファイルは、優先（またはデフォルトの）パラメータの固有のセットを含むことができ、固有のコンテキストごとに存在するプライバシーリスクを認識しないこともある技術的に不十分なユーザの手動による介入を回避する。プライバシーマネージャは、使用されるべきデフォルトのプライバシープロファイルを自動的に選択することができ、別のものを選択する可能性もあるユーザに、使用可能なプライバシープロファイルを提示することができる。

コンテキストベースのプライバシーアドレス構成メカニズムはまた、上記で説明されるアーキテクチャにおいて使用されてもよい。本明細書において説明されるプライバシーアドレス構成メカニズムは、ユーザが、例えば使用されるべきアドレス生成のタイプを選択することによって、任意の自動決定を手動でオーバーライドできるようにし得る。細分性のレベルは、コンテキスト全体または固有のコンテキストであってもよい。

コンテキストベースのプライバシーアドレス構成は、プライバシーアドレス生成スキームのタイプの自動選択に基づいてもよい。スキームは、ユーザのプライバシーに対する懸念（すなわち、ユーザプリファレンス）により、および固有のネットワークコンテキストによって課される潜在的な操作の制約によって課される全ての要件を満たすように要求される柔軟性を提供するため、デバイスのコンテキストに適応することができる。

以下に示すのは、手動の構成／プロファイルに基づくコンテキストベースのプライバシーアドレス構成のための一部の非限定的な例示の方法である。

（１） １つの例示の方法において、ユーザは、事前定義されているユーザプロファイルに基づいて使用されるべきＬ２アドレスのタイプおよびＩＰｖ６ ＩＩＤを構成することができる。例えば、Ｌ２アドレスおよびＩＰｖ６ ＩＩＤ構成は、ＰＣデスクトップまたはポータブルＰＣラップトップまたはスマートフォンの「パブリック」、「仕事」または「ホーム」プロファイルに関連付けられている構成アクションの一部であってもよい。一般に、これは、接続マネージャ上のネットワークに関連付けられている構成アクションの一部であってもよい。コンテキストは、例えばネットワーク（この例ではＷｉＦｉ）の拡張基本サービスセットＩＤ（ＥＳＳＩＤ）または基本サービスセットＩＤ（ＢＳＳＩＤ）に、アクセスを取得するために使用される認証に、ネットワークの固有のノードの存在に（すなわち、それらの存在をプローブすることにより）、地理的位置により（例えば、ＧＰＳベースまたはＷｉＦｉネットワークマップに基づいてネットワーク支援されて）など、リンクされてもよい。

（２） 別の例示の方法において、ユーザは、アプリケーションまたはＷｅｂブラウザからの固有の入力を通じてコンテキストを手動で構成することができる。ユーザが固有のネットワークでプライベートセッションを確立しようとしていることを指定する場合、アプリケーション／ブラウザは、ユーザがプライベートセッションを実行しようと望むプロトコルスタック（および／またはネットワーク）の残りを信号伝達することができる。この場合、新しいプライベートアドレスが生成され、新しい暗号キーもこのプライベートセッション接続をサポートするために使用されてもよい。その他のオプションもまた、選択されて配備されてもよい。

コンテキストベースのプライバシーアドレス構成はまた、ネットワークの信頼できるエンティティ（例えば、ローカルエンティティまたは中央エンティティ）によって提供される情報に基づいてもよい。例えば、ジェネリックアドバタイズメントサービス（ＧＡＳ）、アクセスネットワーククエリプロトコル（ＡＮＱＰ）またはジェネリック８０２．１１ビーコンで使用可能な情報は、どのプライバシーアドレス生成スキームが使用され得るかを自動的に決定するために使用されてもよい。同様に、デバイスは、信頼できるリポジトリまたはポリシーデータベース（例えば、アクセスネットワークディスカバリおよび選択機能（ＡＮＤＳＦ））を調べて、何をすべきかを動的に学習することができ、これには適用すべきコンテキストを決定することを含むことがあるが、これらに限定されることはない。

コンテキストベースのプライバシーアドレス構成はまた、自動構成メカニズムによって提供される情報に基づいてもよく、これはＤＨＣＰ、ネイバーディスカバリ（例えば、ルータアドバタイズメントで含まれる情報に基づく）、ポイントツーポイントプロトコル（ＰＰＰ）、ドメインネームサーバ（ＤＮＳ）などを含むが、これらに限定されることはない。この場合、ネットワーク要素との一部の信頼のレベルは、これらのメカニズムを介して推奨されるポリシーを適用するために存在することがある。それ以外の場合、任意のネットワークノードは、デバイスによって使用されるプライバシーアドレススキームに悪影響を及ぼすことがある。

接続を取得する前にデバイスは使用すべき手法を認識していない、本明細書にて説明される例のいずれかにおいて、デバイスは、プライベートセッションをセットアップすることのような、ネットワークに最初に接続する場合にデフォルトの保守的な手法に従うことができる。例えば、デバイスは、ランダム化Ｌ２アドレス並びにランダムおよび不透明なＩＰｖ６ ＩＩＤを使用することができ、異なるスキームが要求される場合に再構成することができる。このデフォルトの保守的な手法はまた、構成可能であってもよく、異なる手法が一部の既存のコンテキスト情報に基づいて使用されてもよいことに留意されたい。例えば、一部のユーザ認証を完了するためにキャプティブポータルが使用されていることをデバイスが認識している場合、デバイスは、ユーザによって実行される認証の少なくとも存続時間中にランダム化Ｌ２アドレスがそのネットワークで永続的である必要があり得ることを知っていることがある。この接続の存続時間は、ネットワークによって示されるか、またはユーザによって手動で構成されてもよい。

ＷｉＦｉネットワーク（および類似する無線ローカルエリアネットワーク（ＷＬＡＮ）および無線パーソナルエリアネットワーク（ＷＰＡＮ）技術）の場合、前者の考慮事項は主として、アクセスポイント（ＡＰ）とのアソシエーションおよび認証のためのＬ２アドレス生成並びにその後のデータ送信に影響を及ぼす。

（プローブ要求の送信に基づく）アクティブスキャンの場合、コンテキストベースの手法を定義する、同様の考慮事項が適用されてもよい。

（１） アクティブスキャンのための異なるＬ２アドレスが、デバイスのアソシエーション状態に応じて使用されてもよい。例えば、デバイスは、アソシエートされる際にその現在のＡＰで使用される異なるＬ２アドレスまたは同じＬ２アドレスを使用することを決定することができる。同様に、デバイスは、いずれのＡＰにもアソシエートされずにスキャンする場合に限り、ランダムＬ２アドレスを使用することができる。これは、コンテキストに応じて個別設定されてもよい。

（２） コンテキストに応じて、デバイスは、全ての既知のネットワークに、若しくは（例えば地理的位置に基づく）現在の位置における既知のネットワークに事前にスキャンする（すなわち、プローブ要求を送信する）か、またはアクティブスキャンから固有のネットワークを除くよう決定することができる。ＢＳＳＩＤおよびＥＳＳＩＤがアクティブプローブ測定に含まれているので、あらかじめ既知のネットワークのアクティブスキャンはまた、ユーザを追跡するための情報を提供する場合があることに留意されたい。

（３） コンテキスト検出は、位置、周囲のネットワーク、時刻、使用されるアプリケーション、ネットワークインジケーションに基づくか、ユーザによって手動で構成されるか、またはその組み合わせに基づいてもよい。

プライバシーの懸念事項をもたらす別のプロトコルの対話は、ＤＨＣＰを介するＩＰ構成である。例えば、ＤＨＣＰクライアントは、ＤＨＣＰ交換に「ホスト名」または「クライアントＩＤ」を含むので、サーバはクライアントに代わってＤＮＳで更新を実行することができる。ＤＨＣＰシグナリングに「ホスト名」を含むことは、回避され得るプライバシー漏洩の例である。従って、前述のシナリオと同様に、プロトコルスタックは、プライバシーコンテキストを使用して、「ホスト名」または「クライアントＩＤ」のようなパラメータをＤＨＣＰシグナリングに含むかどうかを決定することができる。

同様に、上位のプロトコルは、プライバシーコンテキスト定義から恩恵を受けることができる。例えば、ＤＮＳ（レジストリ）でのＩＰアドレスおよびホスト名のパブリッシュ、ＨＴＴＰクッキー、および概して、特にソーシャルネットワークを使用する際の、暗号化されていないＷｅｂブラウジングは、プライベートコンテキストで動作している場合、異なる方法で行われてもよい。複数のプロトコルレイヤは、機密の情報を含むかどうかを決定するために、プライバシーコンテキストを使用することができる。

図２Ｂは、アドレス並びにその他のプロトコル識別子およびパラメータのコンテキストベースプライバシー構成を可能にする例示のコンテキストベースプロトコルスタックを示す図である。図２Ｂは、プロトコルスタックＬ１（ＰＨＹ）２１１、Ｌ２（ＭＡＣ）２１２、Ｌ３（ＮＥＴ）２１３、Ｌ４（ＴＲＡ）２１４、およびＬ５（ＡＰＰ）２１５の各レイヤにおけるＡＰＩ対話の例を示す。アドレスは、検出されるネットワークのタイプおよびネットワークについて受信した情報に基づいて、ローカルに管理され構成されてもよい。図２Ｂの例において、それがパブリックまたは不明な位置であるとデバイスが認識する場合、プロファイルは、パブリックネットワークを示すＢｏｂ＠Ａｉｒｐｏｒｔ ２２１のような、パブリックネットワークに設定されてもよい。ＭＡＣアドレスは、＠ＭＡＣ＿ｒａｎｄ＿ａｄｄｒＸ ２２２によって示されるように、ランダム、不透明、および非永続に設定されてもよい。同様に、ＩＰアドレスは、＠ＩＰ＿ａｄｄｒＹ ２２３によって示されるように、ランダム、不透明、および非永続に設定されてもよい。

別の例は、ユーザの企業ネットワークまたはユーザのホームネットワークに接続する際に使用されるプロファイルであってもよく、そこで永続および周知のＬ２／Ｌ３アドレスが（多くの場合ユーザ／ＷＴＲＵを認証するために）使用され、エンドツーエンドセキュリティがネットワークまたはトランスポートレイヤにおいてデフォルトで確立されてもよい。図２Ｂの例において、それが（例えば、地理的位置による）ホームにあるとデバイスが認識する場合、プロファイルは、ホームネットワークを示すＢｏｂ＠Ｈｏｍｅ ２３１のような、ホームに設定されてもよい。ＭＡＣは、＠ＭＡＣ＿ａｄｄｒ＿Ｂｏｂ ２３２によって示されるような、永続的および周知に設定されてもよい。ＩＰアドレスは、＠ＩＰ＿ａｄｄｒ＿Ｂｏｂ ２３３によって示されるような、永続的および周知に設定されてもよい。

別の例では、プロファイルは、ホテルにおいて配備されるもののような、信頼できないパブリックネットワークに対して存在することができる。このプロファイルは、初期接続にランダムＬ２（ランダムＭＡＣアドレス）アドレスを選択し（従ってユーザの識別のいかなるアソシエーションも、使用済みアドレスの観察に基づいて実行されないことがある）、ＩＰ構成を取得するためにＤＨＣＰを使用する際にランダム識別子を選択して、このネットワークに接続されている間全てのＤＮＳの動的更新を回避することができる。例えば、ホスト名またはクライアントＩＤのようなＤＨＣＰ識別子は、匿名にされるかまたはランダム化されてもよい。上位レイヤにおいて、プライバシーマネージャは、例えばデフォルトでプライバシーモードに入るなど、クッキーの使用に関する異なるオプションをユーザに提示することがある。図２Ｂの例において、それが永続的識別子が（例えば認証のために）必要とされ得る信頼できないネットワークにおけるものであるとデバイスが認識する場合、プロファイルは、永続的識別子が必要とされ得る信頼できないネットワークを示すＢｏｂ＠Ｈｏｔｅｌ ２４１のような、認証済みのホットスポットに設定されてもよい。ＭＡＣアドレスは、＠ＭＡＣ＿ｒａｎｄ＿ａｄｄｒＷ ２４２によって示されるように、ランダムな不透明の非永続に設定されてもよい。ＩＰアドレスは、＠ＩＰ＿ａｄｄｒＺ ２４３によって示されるように、ランダムな不透明の非永続に設定されてもよい。

図３は、コンテキストベースプロトコルスタック３００を使用する例示の操作を示すシグナリング図である。図３の例において、ユーザのＷＴＲＵ３０２は、ネットワーク３０３に接続しようとしている。あらゆる種類の接続が行われる前に、ＷＴＲＵの管理者３０１は、デフォルトのポリシー／プリファレンスのセットを構成してあり、プロトコルスタックを構成する際にこれが考慮に入れられてもよい。図３を参照すると、ユーザのＷＴＲＵ３０２、ユーザの機器の管理者３０１（ａｄｍｉｎ）（管理者３０１は、例えばホームコンピュータの場合、ユーザ自身であってもよい）、ネットワーク３０３、プライバシーマネージャ３０４、および接続マネージャ３０５のような、様々なアクターが示されている。Ｌ５／ＡＰＰ ３０６、Ｌ４／ＴＲＡ ３０７、Ｌ３／ＮＥＴ ３０８、Ｌ２／ＭＡＣ／ＲＲＭ ３０９、およびＬ１／ＰＨＹ ３１０のような、プロトコルスタックの様々なレイヤも示されている。

図３の例において、あらゆる種類の通信の前に、管理者３０１は、プライバシーマネージャ３０４でポリシーを事前構成する３２３ことができる（例えば、（１）Ｌ２／Ｌ３アドレスランダム化により企業ネットワークの外部の場合は常にＶＰＮを使用、（２）企業ネットワーク内で接続する場合は周知のＬ２／Ｌ３アドレスを使用、など）。各接続のシナリオにおいて、プロトコルスタックの様々なレイヤ、Ｌ５／ＡＰＰ ３０６、Ｌ４／ＴＲＡ ３０７、Ｌ３／ＮＥＴ ３０８、Ｌ２／ＭＡＣ／ＲＲＭ ３０９、およびＬ１／ＰＨＹ ３１０は、サポートされるプライバシーおよびセキュリティメカニズムおよび設定３１１に関する情報をプライバシーマネージャに提供することができる（例えば、Ｌ２アドレスランダム化サポート、ＩＰｓｅｃサポートなど）。接続マネージャ３０５は、隣接するネットワーク３１２に関する情報を取得することができる。接続マネージャ３０５は、隣接するネットワークに関する情報をプライバシーマネージャ３１３に提供することができる。（例えば、地理的位置のような）他のコンテキスト情報はまた、このステージにおいてプライバシーマネージャによって使用されてもよい。

コンテキスト情報により、プライバシーマネージャ３０４は、コンテキスト、管理ポリシー、ネットワーク、情報などに基づいて、使用可能なプロファイルオプションを計算し３１４、様々な関与するアクターの制限およびプリファレンスを考慮に入れることができる。プライバシーマネージャ３０４は、コンテキストの使用可能なプロファイルオプションをユーザ（ＷＴＲＵ３０２）に提供する３１５ことができる。ユーザ（ＷＴＲＵ３０２）は、ユーザ（ＷＴＲＵ３０２）が固有のプロファイルを選択しない場合に使用され得るその固有コンテンツのプロファイルまたはデフォルトのプロファイルを選択する３１６ことができる。加えて、または代替的に、プライバシーマネージャ３０４は、ユーザと対話することなくこの固有のコンテキストにおいて適用され得るプロファイルを自主的に決定することができる。プライバシーマネージャ３０４は、選択されたプロファイルによって指定されるように正しいプライバシーおよびセキュリティ設定をプロトコルスタックの各レイヤに指示する３１７ことができ、これは接続マネージャ３０５との対話を介して行われてもよい。プロファイルが、様々なレイヤにおける様々なプライバシー設定を暗示することができることに留意されたい（例えば、「匿名モードを、ｆｏｏ．ｎｅｔまたは任意の新しいサイトをブラウズするときは使用するが、ｃｏｍｐａｎｙ．ｃｏｍをブラウズするときは使用しない」）。図３に示されるように、プライバシーマネージャ３０４は、「変調ｘを使用」のような、Ｌ１／ＰＨＹ構成３１８を指示することができる。プライバシーマネージャ３０４は、「ランダムアドレスを使用」のような、Ｌ２／ＭＡＣ構成３１９を指示することができる。プライバシーマネージャ３０４は、「ランダムＤＨＣＰパラメータを使用」のような、Ｌ３／ＮＥＴ構成３２０を指示することができる。プライバシーマネージャ３０４は、「接続ＸでＴＬＳを使用」のような、Ｌ４／ＴＲＡ構成３２１を指示することができる。プライバシーマネージャ３０４は、「仮想キーボードを使用」のような、Ｌ５／ＡＰＰ構成を指示することができる３２２。

図４は、プライバシーマネージャにおいて使用するプライバシープロファイルのような、プロファイルの選択を可能にする例示の手順４００を示す流れ図であり、これはＷＴＲＵ内に位置してもよく、本明細書において説明される実施形態のいずれかにおいて使用されてもよい。ＷＴＲＵ内のプライバシーマネージャは、隣接するネットワークに関する情報を受信することができる４０１。この情報は、接続マネージャによって送信されてもよいか、または別のネットワークソースから送信されてＷＴＲＵの受信機若しくは送受信機によって受信されてもよい。ＷＴＲＵ内のプライバシーマネージャは、隣接するネットワークのコンテキストに基づいてプライバシープロファイルオプションを決定することができる４０２。この決定は、ＷＴＲＵのプロセッサによって計算されてもよい。ＷＴＲＵ内のプライバシーマネージャは、ユーザが使用可能なプライバシープロファイルオプションを見て選択できるようにするため、この決定に基づいて使用可能なプライバシープロファイルオプションを表示することができる４０３。使用可能なプライバシープロファイルオプションは、ＷＴＲＵの表示デバイス上に表示されてもよい。ＷＴＲＵ内のプライバシーマネージャは、プライバシープロファイルの選択を受信することができる４０４。選択は、ＷＴＲＵのユーザからの入力から受信されてもよい。あるいは、プライバシーマネージャは、簡単にするため、若しくはユーザの便宜のために、またはポリシーおよびポリシーのガイドラインに基づいて、プライバシープロファイル選択を決定することができる。ＷＴＲＵ内のプライバシーマネージャは、選択されたプライバシープロファイルに基づくプライバシーおよびセキュリティ設定をプロトコルスタックの各レイヤに指示することができる４０５。選択されたプライバシープロファイルは、プロトコルスタックの各レイヤごとに異なる構成を含むことができる。プライバシーおよびセキュリティ設定指示は、ＷＴＲＵの送信機若しくは送受信機を介して送信されてもよいか、またはネットワークへのインターフェイスを有するＷＴＲＵ内の別のエンティティに送信されてもよい。指示されたプライバシーおよびセキュリティ設定は、本明細書にて説明される例のいずれかに基づいてもよい。

別の例において、ユーザは、ネットワークを選択し、選択されたネットワークに基づいてプライバシープロファイルを調整することができる。この手順において、ＷＴＲＵ内のプライバシーマネージャは、隣接するネットワークに関する情報を受信することができる。この情報は、接続マネージャによって送信されてもよいか、または別のネットワークソースから送信されてＷＴＲＵの受信機若しくは送受信機によって受信されてもよい。ＷＴＲＵ内のプライバシーマネージャは、複数のネットワークからネットワークを選択することができる。この選択は、ＷＴＲＵのプロセッサによる決定に基づいてもよい。ＷＴＲＵ内のプライバシーマネージャは、選択されたネットワークのコンテキストに基づいてプライバシープロファイルを調整することができる。コンテキストは、選択されたネットワークに関連付けられている受信された情報に基づいてもよい。ＷＴＲＵ内のプライバシーマネージャは、調整されたプライバシープロファイルに基づくプライバシーおよびセキュリティ設定をプロトコルスタックの各レイヤに指示することができる。プライバシーおよびセキュリティ設定指示は、ＷＴＲＵの送信機若しくは送受信機を介して送信されてもよいか、またはネットワークへのインターフェイスを有するＷＴＲＵ内の別のエンティティに送信されてもよい。指示されたプライバシーおよびセキュリティ設定は、本明細書にて説明される例のいずれかに基づいてもよい。

上記で説明される実施形態は、様々なユースケースをサポートする。例示のユースケースにおいて、ユーザは、いずれも本明細書において説明されるプライバシーメカニズムを装備された、自身の仕事用ラップトップおよび携帯電話を使用することができる。３つの例示的な位置（異なるコンテキストを示す）が検討され得る。

（１） 第１の位置において、ユーザは、顧客サイドで作業している。ここで、ユーザの仕事用ラップトップ上のプライバシーマネージャは、デフォルトのプライバシープロファイルを自動的にセットアップし、コンテキスト情報（例えば、ホームオフィスネットワークではない）および管理者ポリシーを考慮に入れる。デフォルトのプロファイルは、Ｌ２暗号化（接続先ネットワークで使用可能である場合）、Ｌ２アドレスランダム化、およびホームオフィスへのＬ３ ＶＰＮの使用を必要とすることがある。第２のプライバシープロファイルが使用可能とされてもよく、これは全てのトラフィックに対してホームオフィスとのＬ３ ＶＰＮを使用しないが、企業アプリケーション（例えば、電子メール）に関連付けられているトラフィックおよび／または企業ネットワークのサーバに向けられたトラフィックに限っては使用する。携帯電話では、コンテキストに基づいて、プライバシーマネージャは、様々なプライバシープロファイルをユーザに提示することができ、それらのすべてが最小レベルのプライバシーを提供するが、異なるオプションを提示して、最終選択をエンドユーザに任せることができる。例えば、ユーザに対して使用可能にされた全てのプロファイルは、Ｌ２およびＬ３アドレスランダム化を暗示することができるが、ホームへ戻るＶＰＮトンネリングの使用はオプションであってもよく、さらに匿名ブラウジングの使用もオプションであってもよい。

（２） 第２の位置において、ユーザは、ホテルにいる。そこで、仕事用ラップトップ上のプライバシーマネージャは、以前の位置におけるものと同じプロファイルを提供し、加えて、ユーザが企業関連ではないアプリケーションにアクセスできるようにするがブラウザ「匿名」モードの使用を強制する追加のプロファイルを提供することができる。携帯電話において、ユーザに使用可能にされるプライバシープロファイルは、例えばホテルのネットワークにおいて行われ得るパッシブモニタリングアクティビティの影響を低減するためにアクティブスキャンアクティビティを最小化することなど、プライバシーおよびセキュリティのさらに高いレベルを提示することができる。仕事用ラップトップおよび携帯電話の両方において、ユーザがホテルに滞在する時間中（またはより正確には、少なくともホテルにおけるインターネット接続が所与のＬ２アドレスにバインドされる時間）にＬ２アドレスの変更の結果ユーザがホテルネットワークから切断されることを回避するため、Ｌ２アドレスランダム化は、ランダム化アドレスが変わり得ないような方法で実行されてもよい。

（３） 第３の位置において、ユーザは自宅にいる。この位置は、仕事用ラップトップの管理者の観点からは、ホテルの場合と類似したコンテキストに関連付けられているので（すなわち、ラップトップは企業ネットワークの外部にある）、同じプライバシープロファイルがユーザに提示される。しかし、ユーザは自分のホームを信頼して、Ｌ２／Ｌ３アドレスに基づいて適切にアクセスメカニズムを実施することができるので、携帯電話では、Ｌ２およびＬ３アドレスランダム化は使用不可にされてもよい。

上記の説明は、プロファイルがＷＴＲＵと位置（および使用可能なネットワーク）の間でどのように変化することができるかを明らかにする例である。コンテキストおよび関与するアクターに応じて、異なる状況が生じることがある。

上記で説明されるように、ユーザに提示されるプロファイルは、コンテキスト情報（例えば、現在の位置、ログインに使用されるアカウント、ネットワーク接続、プロトコルスタックレイヤの機能など）および関与するアクターによって課されるプリファレンス／制限に基づいて動的に計算されてもよい。これらのプロファイルは、例えばＬ２／Ｌ３のみに制限されないなど、各プロトコルスタックレイヤに影響を及ぼすことのあるアクションを暗示する。プライバシーマネージャは、任意の位置におけるあらゆるユーザに所定のプロファイルの同じセットを提示しないことがあるが、コンテキストおよびアクターのプリファレンスを考慮に入れて、カスタマイズされたプロファイルのセットを動的および／または自動的に生成することができる。

特徴および要素は特定の組み合わせで上記で説明されるが、各々の特徴または要素は、単独で使用されるか、または他の特徴および要素との任意の組み合わせで使用されてもよいことを、当業者であれば理解するであろう。また、本明細書において説明される方法は、コンピュータまたはプロセッサにより実行するためにコンピュータ可読媒体に組み込まれたコンピュータプログラム、ソフトウェアまたはファームウェアにおいて実施されてもよい。コンピュータ可読媒体の例は、（有線または無線接続を介して送信される）電子信号およびコンピュータ可読ストレージ媒体を含む。コンピュータ可読ストレージ媒体の例は、ＲＯＭ、ＲＡＭ、レジスタ、キャッシュメモリ、半導体メモリデバイス、内蔵ハードディスクおよびリムーバブルディスクなどの磁気媒体、磁気光学媒体、ＣＤ−ＲＯＭディスクおよびデジタル多用途ディスク（ＤＶＤ）などの光媒体を含むが、これらに限定されることはない。ソフトウェアと共同してプロセッサは、ＷＴＲＵ、ＵＥ、端末、基地局、ＲＮＣ、または任意のホストコンピュータにおいて使用する無線周波数送受信機を実施するために使用されてもよい。

Claims (8)

1. 無線送受信ユニット（ＷＴＲＵ）で用いる方法であって、
   プライバシープロファイルを選択することであって、前記プライバシープロファイルは、前記ＷＴＲＵのプロトコルスタックのそれぞれのレイヤのためのプライバシーおよびセキュリティ設定を含み、前記プライバシーおよびセキュリティ設定は、（１）ホスト名を含む匿名の動的ホスト構成プロトコル（ＤＨＣＰ）シグナリングパラメータを使用すること、（２）ランダム媒体アクセス制御（ＭＡＣ）アドレスを使用すること、または（３）ランダムインターネットプロトコル（ＩＰ）アドレスを使用すること、のうちの少なくとも１つを含む、ことと、
   前記選択されたプライバシープロファイルに基づく前記プライバシーおよびセキュリティ設定で前記ＷＴＲＵの前記プロトコルスタックのそれぞれのレイヤに指示することと
   を備える方法。
2. 前記プライバシーおよびセキュリティ設定は、ランダム動的ホスト構成プロトコル（ＤＨＣＰ）シグナリングパラメータを使用することを含む、請求項１の方法。
3. 前記ランダムＤＨＣＰシグナリングパラメータはホスト名を含む、請求項２の方法。
4. 前記選択されたプライバシープロファイルは、前記ＷＴＲＵの前記プロトコルスタックの前記それぞれのレイヤに異なる構成を含む、請求項１の方法。
5. 無線送受信ユニット（ＷＴＲＵ）であって、
   プライバシープロファイルを選択するように構成されたプロセッサであって、前記プライバシープロファイルは、前記ＷＴＲＵのプロトコルスタックのそれぞれのレイヤのためのプライバシーおよびセキュリティ設定を含み、前記プライバシーおよびセキュリティ設定は、（１）ホスト名を含む匿名の動的ホスト構成プロトコル（ＤＨＣＰ）シグナリングパラメータを使用すること、（２）ランダム媒体アクセス制御（ＭＡＣ）アドレスを使用すること、または（３）ランダムインターネットプロトコル（ＩＰ）アドレスを使用すること、のうちの少なくとも１つを含む、プロセッサと、
   前記選択されたプライバシープロファイルに基づく前記プライバシーおよびセキュリティ設定で前記ＷＴＲＵの前記プロトコルスタックのそれぞれのレイヤへ指示を送信するように構成された送信機と
   を備えたＷＴＲＵ。
6. 前記プライバシーおよびセキュリティ設定は、ランダム動的ホスト構成プロトコル（ＤＨＣＰ）シグナリングパラメータを使用することを含む、請求項５のＷＴＲＵ。
7. 前記ランダムＤＨＣＰシグナリングパラメータはホスト名を含む、請求項６のＷＴＲＵ。
8. 前記選択されたプライバシープロファイルは、前記ＷＴＲＵの前記プロトコルスタックの前記それぞれのレイヤに異なる構成を含む、請求項５のＷＴＲＵ。