JP6793735B2 - 完全性保護 - Google Patents

Description

本発明は、セルラー通信ネットワークにおける端末デバイスおよびネットワークノードの動作方法に関する。

セルラーインターネットオブシングズ （ＣＩｏＴ）は、厳しい環境、たとえば、地階に、拡張されたカバレッジを提供することが可能である新しい無線技術であり、ごく限られた帯域幅（たとえば、１６０ｂｐｓ）を使用して大量の数のＵＥ（基地局ごとに５０，０００個超）をサーブするように設計される。

３ＧＰＰ規格化における現在の仮定は、ＧＳＭ ＥＤＧＥ無線アクセスネットワーク（ＧＥＲＡＮ）上でのＣＩｏＴのためのセキュリティ機構が、ＣＩｏＴユーザ機器とサービングＧＰＲＳサポートノード（ＳＧＳＮ）との間のＧｂモードでの制御プレーンのための完全性保護を導入するとき、汎用パケット無線サービス（ＧＰＲＳ）セキュリティの拡張に基づくであろうということである。

ＣＩｏＴのための仮定は、Ｕｎｉｖｅｒｓａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｙｓｔｅｍ（ＵＭＴＳ）認証および鍵一致（ＡＫＡ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ）が、キーイング材料を作成するＧＰＲＳモビリティ管理およびセッション管理（ＧＭＭ／ＳＭ）レイヤにおいて起動され、完全性保護が、ＵＭＴＳ ＡＫＡセッション鍵から鍵導出関数を用いて作成された完全性鍵（Ｋｔｉ１２８）を使用して論理リンク制御（ＬＬＣ）レイヤにおいてなされるということである。

本発明によれば、通信ネットワーク上で送信および受信されるメッセージのためのメッセージ認証コードを形成する方法が提供される。本方法は、メッセージに作用する完全性アルゴリズムに入力を適用することを備える。入力は、完全性鍵と、転送方向を指示する値と、フレーム依存完全性入力とを備え、フレーム依存完全性入力は、ランダム値とフレーム固有シーケンス番号とにも依存するフレーム依存モジュロカウント値である。

本発明によれば、通信ネットワーク上で送信および受信されるメッセージに保護を提供する方法が提供される。本方法は、メッセージに暗号化アルゴリズムの出力を適用することであって、暗号化アルゴリズムが、入力生成アルゴリズムによって第１のランダム値から取得された暗号化入力値を使用する、適用することと、メッセージのためのメッセージ認証コードを形成するために、メッセージに完全性アルゴリズムを適用することによって完全性保護を提供することであって、完全性アルゴリズムが、入力生成アルゴリズムによって第２のランダム値から取得された完全性入力値を使用する、提供することとを備える。

本発明によれば、通信ネットワークにおいて使用するためのデバイスまたはノードであって、デバイスまたはノードが、前の方法のいずれかによってメッセージ認証コードを形成するために設定された、デバイスまたはノードが提供される。

本発明によれば、通信ネットワークにおいて使用するためのデバイスまたはノードであって、デバイスまたはノード端末デバイスが、プロセッサとメモリとを備え、メモリは、端末デバイスが、前の方法のいずれかを行うように動作可能であるように、プロセッサによって実行可能な命令を含んでいる、デバイスまたはノードが提供される。

本発明によれば、コンピュータ上で起動されたとき、前の方法のいずれかを行うように設定されたコンピュータプログラムが提供される。本発明によれば、コンピュータ可読媒体と、そのようなコンピュータプログラムとを備えるコンピュータプログラム製品が提供される。

こうして、本発明の実施形態は、制御メッセージの完全性保護を可能にする。

セルラー通信ネットワークの一部を例示する図である。 図１のネットワークにおける端末デバイスを例示する図である。 図１のネットワークにおけるネットワークノードを例示する図である。 図１のネットワークにおいて使用中のプロトコルを例示する図である。 図１のネットワークにおいて使用中のプロトコルを例示する図である。 図１のネットワークにおける暗号化および解読の使用を例示する図である。 図１のネットワークにおける完全性保護の使用を例示する図である。 図１のネットワークにおける完全性保護の使用を例示する図である。 図７および図８中の完全性保護の一部を例示する図である。 方法を例示するフローチャートである。 図１のネットワークにおけるデバイスまたはノードを例示する図である。 図１のネットワークにおけるデバイスまたはノードを例示する図である。 図１のネットワークにおけるデバイスまたはノードを例示する図である。 図１のネットワークにおけるデバイスまたはノードを例示する図である。 方法を例示するフローチャートである。

以下は、限定ではなく説明の目的で、特定の実施形態など、具体的な詳細を記載する。しかし、他の実施形態が、これらの具体的な詳細から離れて採用され得ることが当業者によって諒解されよう。いくつかの事例では、よく知られている方法、ノード、インターフェース、回路、およびデバイスの詳細な説明が、不要な詳細で説明を不明瞭にしないように省略される。説明される機能が、ハードウェア回路（たとえば、特殊な機能を実装するために相互接続されたアナログおよび／または個別論理ゲート、ＡＳＩＣ、ＰＬＡなど）を使用して、および／またはそのようなプログラムの実行に基づいて、本明細書で開示される処理を行うように特別に適応された１つまたは複数のデジタルマイクロプロセッサまたは汎用コンピュータとともにソフトウェアプログラムおよびデータを使用して、１つまたは複数のノードにおいて実装され得ることを、当業者は諒解されよう。また、エアインターフェースを使用して通信するノードは、好適な無線通信回路を有する。しかも、本技術は、加えて、本明細書で説明される技法をプロセッサに行わせることになるコンピュータ命令の適切なセットを含んでいる、固体メモリ、磁気ディスク、または光ディスクなど、任意の形態のコンピュータ可読メモリ内で完全に具現されると見なされ得る。

ハードウェア実装形態は、限定はしないが、デジタル信号プロセッサ（ＤＳＰ）ハードウェアと、縮小命令セットプロセッサと、限定はしないが、（１つまたは複数の）特定用途向け集積回路（ＡＳＩＣ）および／または（１つまたは複数の）フィールドプログラマブルゲートアレイ（ＦＰＧＡ）を含むハードウェア（たとえば、デジタルまたはアナログ）回路と、（適切な場合）そのような機能を実装することが可能な状態機械とを含むかまたは包含し得る。

コンピュータ実装形態に関して、コンピュータは、概して、１つまたは複数のプロセッサ、１つまたは複数の処理モジュールまたは１つまたは複数のコントローラを備えると理解され、コンピュータ、プロセッサ、処理モジュールおよびコントローラという用語は、互換的に採用され得る。コンピュータ、プロセッサ、またはコントローラによって提供されるとき、機能は、単一の専用コンピュータまたはプロセッサまたはコントローラによって、単一の共有コンピュータまたはプロセッサまたはコントローラによって、あるいはそのうちのいくつかが共有または分散され得る、複数の個々のコンピュータまたはプロセッサまたはコントローラによって提供され得る。しかも、「プロセッサ」または「コントローラ」という用語は、上記で具陳された例示的なハードウェアなど、そのような機能を実装することおよび／またはソフトウェアを実行することが可能な他のハードウェアをも指す。

説明はユーザ機器（ＵＥ）について与えられるが、「ＵＥ」は、アップリンク（ＵＬ）において信号を送信することと、ダウンリンク（ＤＬ）において信号を受信および／または測定することとのうちの少なくとも１つを可能にする無線インターフェースを装備した、任意のモバイルまたはワイヤレスデバイスまたはノードを備える非限定的な用語であることが当業者によって理解されるべきである。本明細書でのＵＥは、（ＵＥの一般的な意味で）１つまたは複数の周波数、キャリア周波数、コンポーネントキャリアまたは周波数帯域において動作するかまたは少なくとも測定を実行することが可能なＵＥを備え得る。ＵＥは、シングルまたはマルチ無線アクセス技術（ＲＡＴ）あるいはマルチスタンダードモードで動作する「ＵＥ」であり得る。「ＵＥ」と同様に、「移動局」（「ＭＳ」）、「モバイルデバイス」および「端末デバイス」という用語は、以下の説明では互換的に使用され得、そのようなデバイスは、デバイスがユーザによって搬送されるという意味で必ずしも「モバイル」でなければならないとは限らないことが諒解されよう。代わりに、「モバイルデバイス」という用語は、モバイル通信用グローバルシステム、ＧＳＭ、ＵＭＴＳ、ロングタームエボリューション、ＬＴＥ、ＩＥＥＥ ８０２．１１または８０２．１６など、１つまたは複数のモバイル通信規格に従って動作する通信ネットワークと通信することが可能である任意のデバイスを包含する。

セルは基地局に関連付けられ、ここで、基地局は、一般的な意味で、ダウンリンク（ＤＬ）において無線信号を送信し、および／またはアップリンク（ＵＬ）において無線信号を受信する任意のネットワークノードを備える。いくつかの例示的な基地局、または基地局を説明するために使用される用語は、ｅノードＢ、ｅＮＢ、ノードＢ、マクロ／マイクロ／ピコ／フェムト無線基地局、（フェムト基地局としても知られる）ホームｅノードＢ、リレー、リピータ、センサー、送信専用無線ノードまたは受信専用無線ノード、あるいはＷＬＡＮアクセスポイント（ＡＰ）である。基地局は、１つまたは複数の周波数、キャリア周波数または周波数帯域において動作するかまたは少なくとも測定を実行し得、キャリアアグリゲーションが可能であり得る。基地局はまた、たとえば、異なるＲＡＴのための同じまたは異なるベースバンドモジュールを使用する、シングル無線アクセス技術（ＲＡＴ）、マルチＲＡＴ、またはマルチスタンダードノードであり得る。

図１は、ネットワーク１０の一部を例示する。ネットワーク１０は、セルラーインターネットオブシングズ （ＣＩｏＴ）端末デバイス（ＵＥ）２０とネットワークノードに接続された基地局１２とを備える。例示された実施形態では、ネットワークノードは、サービングＧＰＲＳサポートノード（ＳＧＳＮ）３０である。もちろん、ネットワークは、一般に、多くの基地局と、極めて多数の端末デバイスとを含むことになるが、本図１は、本発明の理解のために十分である。端末デバイスは、ユーザ機器デバイスであり得るか、または必要に応じてネットワークに自動的に接続するデバイスであり得、固定またはポータブルであり得る。ユーザ機器（ＵＥ）および移動局（ＭＳ）という用語は、両方とも、本明細書では端末デバイスを指すために使用される。

図２は、説明される非限定的な例示的な実施形態のうちの１つまたは複数に従って動作するように適応または設定され得る端末デバイス（ＵＥ）２０を示す。ＵＥ２０は、ＵＥ２０の動作を制御するプロセッサまたは処理ユニット２２を備える。処理ユニット２２は、ネットワーク１０において基地局１２に信号を送信し、基地局１２から信号を受信するために使用される（１つまたは複数の）関連付けられたアンテナ２６をもつ（受信機と送信機とを備える）トランシーバユニット２４に接続される。ＵＥ２０は、処理ユニット２２に接続され、処理ユニット２２によって実行可能な命令またはコンピュータコードと、本明細書で説明される方法によるＵＥ２０の動作のために必要とされる他の情報またはデータとを含んでいる、メモリまたはメモリユニット２８をも備える。端末デバイスは、本明細書では移動局（ＭＳ）とも呼ばれる。

図３は、説明される非限定的な例示的な実施形態のうちの１つまたは複数に従って動作するように適応または設定され得るサービングＧＰＲＳサポートノード（ＳＧＳＮ）３０を示す。ＳＧＳＮ３０は、ＳＧＳＮ３０の動作を制御するプロセッサまたは処理ユニット３２を備える。処理ユニット３２は、ネットワーク１０において基地局１２を介して、（１つまたは複数の）端末デバイス２０に信号を送信し、端末デバイス２０から信号を受信するために使用される（１つまたは複数の）関連付けられたアンテナ３６をもつ（受信機と送信機とを備える）トランシーバユニット３４に接続される。ＳＧＳＮ３０は、処理ユニット３２に接続され、処理ユニット３２によって実行可能な命令またはコンピュータコードと、本明細書で説明される方法によるＳＧＳＮ３０の動作のために必要とされる他の情報またはデータとを含んでいる、メモリまたはメモリユニット３８をも備える。

制御シグナリングおよびユーザプレーンデータの（暗号化としても知られる）エンクリプションは、２Ｇ汎用パケット無線サービス（ＧＰＲＳ）において随意である。また、完全性保護が提供されない。これは、通常ＧＳＭ／ＧＰＲＳコンテキストにおいてよりもセルラーインターネットオブシングズ （ＣＩｏＴ）のコンテキストにおいてより問題になる数個の潜在的セキュリティイシューを生じる。たとえば、攻撃者がエンクリプションをオフにすることを潜在的に可能にすることができる「競り下げ（ｂｉｄｄｉｎｇ ｄｏｗｎ）」攻撃の問題がある。これは、機密性の喪失の問題につながるが、攻撃者が、ネットワークからＣＩｏＴ ＵＥをデタッチし、このようにして、ＣＩｏＴ ＵＥをネットワーク接続なしのままにすることを可能にすることなど、より深刻な問題にもつながり得る。ＣＩｏＴ ＵＥは、人間の支援なしにそのような状況から回復する必要があるであろう。ＣＩｏＴ ＵＥは、セキュリティ拡張が指定されない場合、ネットワークに向かってサービス拒否攻撃を実施するようにだまされ得るという危険もある。その上、攻撃者は、ＣＩｏＴ ＵＥおよびネットワークに、必要以上に頻繁に認証を起動し、このようにして、ＣＩｏＴ ＵＥのバッテリーを消費することを潜在的に強制することができる。

したがって、これらの問題に対する１つのソリューションは、完全性保護を導入することである。完全性保護は、たとえば、ＧＭＭメッセージ、ＳＭメッセージ、ショートメッセージサービス（ＳＭＳ）、およびユーザプレーンデータなど、レイヤ３制御シグナリングメッセージを完全性保護することが可能であるために、ＬＬＣレイヤによってサポートされ得る。

完全性保護を提供するために、ＣＩｏＴ ＵＥおよびＳＧＳＮは、ＣＩｏＴ ＵＥが、３ＧＰＰネットワークに登録するために、ＧＭＭアタッチプロシージャを開始するとき、どの完全性アルゴリズムおよびエンクリプションアルゴリズムをレイヤ３シグナリング情報およびユーザプレーンデータのセキュリティ保護のために使用すべきかをネゴシエートし得る。したがって、ＣＩｏＴ ＵＥは、ＣＩｏＴ ＵＥが、ネットワークにアタッチし、ＧＭＭアタッチ要求メッセージを開始するとき、ＣＩｏＴ ＵＥのセキュリティ能力指示（ＣＩｏＴ ＵＥのセキュリティ能力）においてＳＧＳＮに、サポートされるエンクリプションアルゴリズムとともに、サポートされる完全性保護アルゴリズムの識別子を送り得る。ＣＩｏＴ ＵＥのセキュリティ能力は、たとえば、「ＭＳネットワーク能力」において、または新しいＵＥ能力指示において指示され得る。

ＧＭＭアタッチ要求メッセージが、ＣＩｏＴ ＵＥとＳＧＳＮとの間で保護され得るために、競り下げ攻撃が起こらなかったと結論付けるために、受信されたＣＩｏＴ ＵＥのセキュリティ能力が、ＣＩｏＴ ＵＥがＳＧＳＮにＧＭＭアタッチ要求メッセージ中で送ったＣＩｏＴ ＵＥのセキュリティ能力とマッチするかどうかをＣＩｏＴ ＵＥが検査することが可能であるように、ＳＧＳＮが、完全性保護されたＧＭＭメッセージ（たとえば、ＧＭＭ認証および暗号化要求メッセージまたは任意の新しいＧＭＭメッセージ）中でＣＩｏＴ ＵＥに、ＧＭＭアタッチ要求メッセージ中で受信されたＣＩｏＴ ＵＥのセキュリティ能力をエコーすべきであることが提案される。これは、３Ｇ／ＵＭＴＳおよびＬＴＥのための既存のプロトコルにおいてなされることと同様である。

ＳＧＳＮはまた、ＧＭＭアタッチ要求メッセージ中のＣＩｏＴ ＵＥからのＣＩｏＴ ＵＥのセキュリティ能力において指示されるサポートアルゴリズムに基づいて、共通エンクリプションアルゴリズムおよび共通完全性保護アルゴリズムを選択する。したがって、ＳＧＳＮは、ＣＩｏＴ ＵＥに対して、完全性保護されたＧＭＭメッセージ（たとえば、ＧＭＭ認証および暗号化要求メッセージまたは任意の新しいＧＭＭメッセージ）中で、選択されたアルゴリズムを指示することができる。

図４は、Ｇｂモードにある、すなわち、Ｇｂインターフェース上のプロトコルレイヤ制御プレーンを例示する。

この図からわかるように、Ｕｎｉｖｅｒｓａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｙｓｔｅｍ（ＵＭＴＳ）認証および鍵一致（ＡＫＡ）が、キーイング材料（ＣＫ、ＩＫ）を作成するＧＰＲＳモビリティ管理およびセッション管理（ＧＭＭ／ＳＭ）レイヤにおいて起動される。完全性保護は、ＵＭＴＳ ＡＫＡセッション鍵から鍵導出関数を用いて作成される完全性鍵を使用して論理リンク制御（ＬＬＣ）レイヤにおいてなされる。

図５は、ＬＬＣプロトコルが、ＭＳとＳＧＳＮとの間で送られるメッセージをどのように識別するかを例示する。ＳＡＰＩ（サービスアクセスポイント識別子）と呼ばれる４ビット長静的識別子を有する数個の論理リンクエンティティ（ＬＬＥ）が、ＬＬＣレイヤの上方にある。たとえば、ＧＭＭプロトコルのためのＳＡＰＩは、０ｂ０００１である。ＭＳは、下位レイヤにおいてトランスポートされるＴＬＬＩ（一時的論理リンク識別子）によって識別されるが、ＧＭＭプロトコルによって制御される。ＴＬＬＩはＰ−ＴＭＳＩから導出されるが、ＴＬＬＩはまた、（たとえば、ＭＳがまだ認証されていないとき）いくつかのシナリオでは乱数であり得る。ＳＡＰＩとＴＬＬＩとはともに、データ接続の識別子、すなわち、ＤＬＣＩ（データリンク接続識別子）を形成する。

ＤＬＣＩ内で送られる各メッセージは、ＬＦＮ（ＬＬＣフレーム番号）と呼ばれる増分９ビット長数を有する。ＬＦＮがオーバーフローしたとき、関係する３２ビット長オーバーフローカウンタ（ＯＣ）は１だけ増分される。ＯＣ値は、メッセージ内で送られないが、ＭＳとＳＧＳＮの両方において維持される。各ＤＬＣＩに関連付けられた４つのＯＣカウンタ、すなわち、非確認応答情報転送のための２つ（送信の各方向のための１つ）と、確認応答情報転送のための２つ（送信の各方向のための１つ）とがある。

図６は、ＧＰＲＳエンクリプションアルゴリズムが、エンクリプションおよびデクリプションプロセスにおいてこれらのパラメータをどのように使用するかを例示する。

詳細には、送信側６２において、図６は、出力鍵ストリームを生じるために、暗号化鍵（ＣＫ）と、送信方向を指示するパラメータと、入力値とが、暗号化アルゴリズムに適用されることを示す。次いで、鍵ストリームは、ネットワークを介した送信のための暗号化されたフレームを生じるために、非暗号化フレームに適用される。

受信側６４において、図６は、出力鍵ストリームを生じるために、暗号化鍵（ＣＫ）と、送信方向を指示するパラメータと、入力値とが、暗号化アルゴリズムに適用されることを示す。次いで、鍵ストリームは、解読されたフレームを生じるために、ネットワークを介して受信された、暗号化されたフレームに適用される。

暗号化アルゴリズムによって使用される入力値は、図５を参照しながら述べられたパラメータを使用して形成される。

より詳細には、入力パラメータは、非確認応答情報転送（ＵＩ）フレームおよび確認応答情報転送（Ｉ）フレームについて別様に生成されるモジュロカウンタである。

フレームがＵＩフレームである場合、

および、フレームがＩフレームである場合、
入力＝（ＩＯＶ−Ｉ＋ＬＦＮ＋ＯＣ）モジュロ２^３２、
ここで、各場合において、
・ ＩＯＶ−ＵＩは、ＳＧＳＮによって生成された３２ビットランダム値である。
・ ＩＯＶ−Ｉは、ＳＧＳＮによって生成された３２ビットランダム値である。
・ ＬＦＮは、ＬＬＣフレームヘッダ中のＬＬＣフレーム番号である。ＬＦＮは、９ビットの長さをもつ２進値である。Ｉフレームの場合、Ｎ（Ｓ）がＬＦＮとして使用されるものとする。ＵＩフレームの場合、Ｎ（Ｕ）がＬＦＮとして使用されるものとする。
・ ＯＣは、送信側および受信側において独立して計算および維持されるバイナリオーバーフローカウンタである。ＯＣの長さは３２ビットである。各ＤＬＣＩに関連付けられた４つのＯＣカウンタ、すなわち、非確認応答情報転送のための２つ（送信の各方向のための１つ）と、確認応答情報転送のための２つ（送信の各方向のための１つ）とがある。確認応答動作のためのＯＣは、ＡＢＭ動作が、対応するＤＬＣＩのために（再）確立されるときはいつでも、０にセットされるものとする。ＯＣは、対応するＬＦＮがロールオーバするたびに、すなわち、ＬＦＮがＬＦＮのモジュロを使い果たし、０から計数を再開するたびに、５１２だけ増分されるものとし、そのため、ＯＣおよびＬＦＮが、合計されたとき、実際、３２ビットモジュロ２^３２カウンタになる。
・ ＳＸは、以下のように計算された３２ビットＳＡＰＩ ＸＯＲマスクである：ＳＸ＝２^２７×ＳＡＰＩ＋２^３１。
・ ＋はバイナリ加算演算である。

は、ビット単位ＸＯＲ演算（このコンテキストでは、事実上モジュロ２^３２整数加算）である。

以下でより詳細に説明されるように、暗号化のためにすでに使用された識別子およびカウンタは、完全性保護のために再利用される。受信側において独立して維持される、メッセージごとの一意のメッセージカウンタも、場合によっては、完全性保護がリプレイアタックの影響を受けやすくなるので、再利用される。しかしながら、こうして、追加のカウンタ値を指定する必要がない。いくらかの実施形態では、これは、完全性保護が追加されるときのＬＬＣプロトコルへの変更が最小限に抑えられるという利点、ＬＬＣメッセージ中で別個の暗号化フレーム番号および別個の完全性保護カウント数を搬送する必要がないという利点、または完全性保護カウンタのネゴシエーションまたはリセットのための新しいプロシージャを指定する必要がないという利点のうちのいくつかを有し得る。

図７は、端末デバイスまたはネットワークノードのいずれかであり得る、送信機におけるメッセージ認証コード（ＭＡＣ）の生成を備える方法を例示する。

詳細には、図７は、５つの入力パラメータを受信するＧＰＲＳ完全性アルゴリズム（ＧＩＡ）を示す。一例では、

完全性アルゴリズムの第１の入力パラメータは、３ＧＰＰ技術報告３ＧＰＰ ＴＲ ３３．８６０ Ｖ０．４．０に記載されているように、Ｕｎｉｖｅｒｓａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｙｓｔｅｍ（ＵＭＴＳ）認証および鍵一致（ＡＫＡ）を起動することによって、端末デバイスにおいて、またはネットワークノードにおいてのいずれかで、エンクリプション鍵および認証鍵から導出され得る、完全性鍵（Ｋｔｉ１２８）である。いくつかの実施形態では、異なるフレームタイプのために異なる完全性鍵が使用され、たとえば、Ｉフレームのために第１の完全性鍵（ＩＫ−Ｉ）が使用され、ＵＩフレームのために第２の完全性鍵（ＩＫ−ＵＩ）が使用され得る。

第２の入力パラメータは、以下で説明されるように導出されるフレーム依存完全性入力（入力−Ｉ）である。

送信されるべきメッセージの関連するフレームも、第３の入力として完全性アルゴリズム（ＧＩＡ）に適用される。

第４の入力パラメータは転送方向（方向）を指示する。

第５の入力パラメータは一定値（定数）である。

送信機において、完全性アルゴリズムは、出力パラメータとしてメッセージ認証コード（ＭＡＣ）を生じる。次いで、ＭＡＣは、メッセージを用いて送信され得る。

図８は、この場合も端末デバイスまたはネットワークノードのいずれかであり得る、送信機におけるメッセージ認証コード（ＸＭＡＣ）の生成を備える方法を例示する。

同じく、図８は、５つの入力パラメータを受信するＧＰＲＳ完全性アルゴリズム（ＧＩＡ）を示す。

図７の場合のように、完全性アルゴリズムの第１の入力パラメータは、３ＧＰＰ技術報告３ＧＰＰ ＴＲ ３３．８６０ Ｖ０．４．０に記載されているように、Ｕｎｉｖｅｒｓａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｙｓｔｅｍ（ＵＭＴＳ）認証および鍵一致（ＡＫＡ）を起動することによって、端末デバイスにおいて、またはネットワークノードにおいてのいずれかで、エンクリプション鍵および認証鍵から導出され得る、完全性鍵（Ｋｔｉ１２８）である。いくつかの実施形態では、異なるフレームタイプのために異なる完全性鍵が使用され、たとえば、Ｉフレームのために第１の完全性鍵（ＩＫ−Ｉ）が使用され、ＵＩフレームのために第２の完全性鍵（ＩＫ−ＵＩ）が使用され得る。

第２の入力パラメータは、以下で説明されるように導出されるフレーム依存完全性入力（入力−Ｉ）である。

受信されたメッセージの関連するフレームも、第３の入力として完全性アルゴリズム（ＧＩＡ）に適用される。

第４の入力パラメータは転送方向（方向）を指示する。

第５の入力パラメータは一定値（定数）である。

受信機において、完全性アルゴリズムは、出力パラメータとしてメッセージ認証コード（ＸＭＡＣ）を生じる。これは、次いで、受信されたメッセージを用いて受信されたＭＡＣと比較され得る。計算されたＸＭＡＣが、受信されたＭＡＣと同じである場合、メッセージの完全性が仮定され得る。

図７と図８の両方中にある送信機と受信機の両方において、フレーム依存完全性入力（入力−Ｉ）は、以下のアルゴリズムに従って生成され得る。

フレームがＵＩフレームである場合、

フレームがＩフレームである場合、
入力−Ｉ＝（完全性−ＩＯＶ−Ｉ＋ＬＦＮ＋ＯＣ）モジュロ２^３２。

完全性−ＩＯＶ−ＵＩおよび完全性−ＩＯＶ−Ｉが、事実上ランダム値である３２ビット値である場合、および各場合において、
・ ＬＦＮは、ＬＬＣフレームヘッダ中のＬＬＣフレーム番号である。ＬＦＮは、９ビットの長さをもつ２進値である。Ｉフレームの場合、Ｎ（Ｓ）がＬＦＮとして使用されるものとする。ＵＩフレームの場合、Ｎ（Ｕ）がＬＦＮとして使用されるものとする。
・ ＯＣは、送信側および受信側において独立して計算および維持されるバイナリオーバーフローカウンタである。ＯＣの長さは３２ビットである。各ＤＬＣＩに関連付けられた４つのＯＣカウンタ、すなわち、非確認応答情報転送のための２つ（送信の各方向のための１つ）と、確認応答情報転送のための２つ（送信の各方向のための１つ）とがある。確認応答動作のためのＯＣは、ＡＢＭ動作が、対応するＤＬＣＩのために（再）確立されるときはいつでも、０にセットされるものとする。ＯＣは、対応するＬＦＮがロールオーバするたびに、すなわち、ＬＦＮがＬＦＮのモジュロを使い果たし、０から計数を再開するたびに、５１２だけ増分されるものとし、そのため、ＯＣおよびＬＦＮが、合計されたとき、実際、３２ビットモジュロ２^３２カウンタになる。
・ ＳＸは、以下のように計算された３２ビットＳＡＰＩ ＸＯＲマスクである：ＳＸ＝２^２７×ＳＡＰＩ＋２^３１。
・ ＋はバイナリ加算演算である。

はビット単位ＸＯＲ演算である。

いくつかの実施形態では、完全性−ＩＯＶ−ＵＩおよび完全性−ＩＯＶ−Ｉは、３２ビットランダム値である。

たとえば、完全性保護が使用されるべきであると決定された場合、ＳＧＳＮは、乱数を生成し、パラメータ完全性−ＩＯＶ−ＵＩおよびパラメータ完全性−ＩＯＶ−Ｉに乱数を割り当て得る。ＳＧＳＮは、ＳＧＳＮが完全性アルゴリズムを適用しているとき、これらのパラメータ値を使用する。追加として、ＳＧＳＮは、ＳＧＳＮが完全性アルゴリズムを適用しているときにＭＳが使用するために、パラメータ完全性−ＩＯＶ−ＵＩおよびパラメータ完全性−ＩＯＶ−Ｉの値をＭＳに送る。

いくつかの実施形態では、完全性−ＩＯＶ−ＵＩは、暗号化アルゴリズムにおいて使用するためにＳＧＳＮによって生成されたランダム値ＩＯＶ−ＵＩから計算された３２ビット値であり、完全性−ＩＯＶ−Ｉは、暗号化アルゴリズムにおいて使用するためにＳＧＳＮによって生成されたランダム値ＩＯＶ−Ｉ値から計算された３２ビット値である。

これの一例として、完全性−ＩＯＶ−ＵＩおよび完全性−ＩＯＶ−Ｉのための値は、暗号関数、たとえば、鍵導出関数（ＫＤＦ）（ＬＴＥの場合のＨＭＡＣ−ＳＨＡ２５６など、ただし、ストリーム暗号または他の鍵付きメッセージ認証コードなど、他のタイプのＫＤＦも可能である）、および静的ストリングを使用することによって、ＳＧＳＮおよびＭＳによって計算される。次いで、値は、任意の好適な所定の長さにトランケートされ、たとえば、所産からの３２最上位ビットまたは３２最下位ビットのみが結果として取られ得るか、またはトランケーションなしに使用され得る。こうして、一例では、
完全性−ＩＯＶ−ＵＩ＝ＫＤＦ（ＩＯＶ−ＵＩ，ｓｔａｔｉｃ＿ｓｔｒｉｎｇ＿１）、ここで、ｓｔａｔｉｃ＿ｓｔｒｉｎｇ＿１は「完全性」であり得、
完全性−ＩＯＶ−Ｉ＝ＫＤＦ（ＩＯＶ−Ｉ，ｓｔａｔｉｃ＿ｓｔｒｉｎｇ）、ここで、ｓｔａｔｉｃ＿ｓｔｒｉｎｇは「完全性」であり得る。

別の例として、完全性−ＩＯＶ−ＵＩおよび完全性−ＩＯＶ−Ｉのための値は、ビット単位ＸＯＲ演算およびビットマスクを使用することによって、ＳＧＳＮおよびＭＳによって計算される。こうして、

ここで、ビットマスクは、バイナリシフト演算（１＜＜３１）によって生成され得、

ここで、ビットマスクは、バイナリシフト演算（１＜＜３１）によって生成され得る。

こうして、これらの例では、ＳＧＳＮおよびＭＳは、暗号化アルゴリズムにおいて使用するためのＩＯＶ−ＵＩおよびＩＯＶ−Ｉの値をすでに知っており、したがって、ＳＧＳＮおよびＭＳは、完全性−ＩＯＶ−ＵＩおよび完全性−ＩＯＶ−Ｉのための値を導出することが可能である。ＩＯＶ−ＵＩおよびＩＯＶ−Ｉはランダム値であるので、完全性−ＩＯＶ−ＵＩおよび完全性−ＩＯＶ−Ｉも、事実上ランダム値である。

入力−Ｉの計算におけるフレーム固有シーケンス番号ＬＦＮの包含は、完全性入力の値がフレーム依存であることを意味する。フレーム依存値は、メッセージをトランスポートするプロトコルフレームに関連付けられる。

こうして、暗号化アルゴリズムのための入力値を計算するための既存のプロシージャが完全性保護のために再利用されるが、ＵＥとＳＧＳＮとの間で乱数が作成および共有されるやり方の間に差がある。

図７と図８の両方中にある送信機と受信機の両方において、一定値（定数）定数は、フレームタイプ固有であり得、たとえば、
フレームがＵＩフレームである場合、定数＝「ＵＩフレーム」であるか、または
フレームがＩフレームである場合、定数＝「Ｉフレーム」である。

代替的に、定数は、完全性アルゴリズム固有とフレームタイプ固有の両方であり得、たとえば、
アルゴリズムがＸであり、フレームがＵＩフレームである場合、定数＝「アルゴリズム−Ｘ−ＵＩフレーム」であるか、
アルゴリズムがＸであり、フレームがＩフレームである場合、定数＝「アルゴリズム−Ｘ−Ｉフレーム」であるか、
アルゴリズムがＹであり、フレームがＵＩフレームである場合、定数＝「アルゴリズム−Ｙ−ＵＩフレーム」であるか、または
アルゴリズムがＹであり、フレームがＩフレームである場合、定数＝「アルゴリズム−Ｙ−Ｉフレーム」である。

図９は、図７および図８に示されている完全性アルゴリズム（ＧＩＡ）の１つの可能な形式を例示する。詳細には、図９は、完全性アルゴリズムがＫａｓｕｍｉ１２８ブロック暗号に基づく例を例示する。他の例では、ＳＮＯＷ ３Ｇ、ＡＥＳまたはＺＵＣ暗号アルゴリズムが使用され得る。

図１０は、実施形態による、通信ネットワーク上で送信および受信されるメッセージに保護を提供するための、セルラー通信ネットワークにおける送信デバイスまたはノードの動作方法を示すフローチャートである。こうして、ステップ９２において、送信ノードは、入力生成アルゴリズムによって第１のランダム値から暗号化入力値を取得する。ステップ９４において、送信デバイスまたはノードは、送信されるべきメッセージに、暗号化アルゴリズムの出力を適用する。

ステップ９６において、送信デバイスまたはノードは、同じ入力生成アルゴリズムを使用するが、第２のランダム値を使用して、完全性入力値を取得する。いくつかの実施形態では、第２のランダム値は、鍵導出関数を使用して第１のランダム値から計算される。いくつかの他の実施形態では、第２のランダム値は、ビットマスクおよびビット単位ＸＯＲ演算を使用して第１のランダム値から計算される。

完全性入力は、フレーム依存完全性入力であり、第２のランダム値にも依存するフレーム依存モジュロカウント値を備え得る。

ステップ９８において、送信デバイスまたはノードは、メッセージのためのメッセージ認証コードを形成するために、送信されるべきメッセージに、完全性アルゴリズムを適用する。次いで、メッセージ認証コードは、完全性保護を提供するために、メッセージを用いて送信され得る。

完全性アルゴリズムは、完全性鍵と、転送方向を指示する値とをさらに使用し得る。

完全性アルゴリズムは一定値をさらに使用し得る。その場合、一定値はフレームタイプに固有であり得る。一定値は、フレームタイプに、および使用される完全性アルゴリズムに固有であり得る。一定値は、フレームが、非確認応答情報転送タイプフレームであるのか、確認応答情報転送タイプフレームであるのかを指示し得る。

図１１および図１２は、たとえば、コンピュータプログラムから受信されたコンピュータ可読命令に従って、本明細書で説明される方法のいずれかを実行し得る、デバイスまたはノード１１００および１２００の他の実施形態における機能ユニットを例示する。図１１および図１２に例示されているモジュールは、ソフトウェア実装機能ユニットであり、ソフトウェアモジュールの任意の適切な組合せにおいて実現され得ることを理解されよう。

図１１を参照すると、デバイスまたはノード１１００は、フレーム依存完全性入力を形成するための完全性入力形成モジュール１１０１を備え、フレーム依存完全性入力は、ランダム値とフレーム固有シーケンス番号とにも依存するフレーム依存モジュロカウント値である。デバイスまたはノード１１００は、通信ネットワーク上で送信および受信されるメッセージに作用する完全性アルゴリズムに入力を適用することによって、メッセージのためのメッセージ認証コード（ＭＡＣ）を形成するためのメッセージ認証コード形成モジュール１１０２をも備え、入力は、完全性鍵と、転送方向を指示する値と、フレーム依存完全性入力とを備える。

図１２を参照すると、デバイスまたはノード１２００は、メッセージに暗号化アルゴリズムの出力を適用するための暗号化モジュール１２０１を備え、暗号化アルゴリズムは、入力生成アルゴリズムによって第１のランダム値から取得された暗号化入力値を使用する。デバイスまたはノード１２００は、メッセージのためのメッセージ認証コードを形成するために、メッセージに完全性アルゴリズムを適用することによって完全性保護を提供するための完全性保護モジュール１２０２をも備え、完全性アルゴリズムは、前記入力生成アルゴリズムによって第２のランダム値から取得された完全性入力値を使用する。

図１３および図１４は、たとえば、コンピュータプログラムから受信されたコンピュータ可読命令に従って、本明細書で説明される方法のいずれかを実行し得る、デバイスまたはノード１３００、１４００、１９００、２０００の他の実施形態における機能ユニットを例示する。図１３および図１４に例示されているユニットは、ハードウェア実装機能ユニットであり、ハードウェアユニットの任意の適切な組合せにおいて実現され得ることを理解されよう。

図１３を参照すると、デバイスまたはノード１３００は、フレーム依存完全性入力を形成するための完全性入力形成ユニット１３０１を備え、フレーム依存完全性入力は、ランダム値とフレーム固有シーケンス番号とにも依存するフレーム依存モジュロカウント値である。デバイスまたはノード１３００は、通信ネットワーク上で送信および受信されるメッセージに作用する完全性アルゴリズムに入力を適用することによって、メッセージのためのメッセージ認証コード（ＭＡＣ）を形成するためのメッセージ認証コード形成ユニット１３０２をも備え、入力は、完全性鍵と、転送方向を指示する値と、フレーム依存完全性入力とを備える。

図１４を参照すると、デバイスまたはノード１４００は、メッセージに暗号化アルゴリズムの出力を適用するための暗号化ユニット１４０１を備え、暗号化アルゴリズムは、入力生成アルゴリズムによって第１のランダム値から取得された暗号化入力値を使用する。デバイスまたはノード１４００は、メッセージのためのメッセージ認証コードを形成するために、メッセージに完全性アルゴリズムを適用することによって完全性保護を提供するための完全性保護モジュール１４０２をも備え、完全性アルゴリズムは、前記入力生成アルゴリズムによって第２のランダム値から取得された完全性入力値を使用する。

図１５は、通信ネットワーク上で送信および受信されるメッセージのためのメッセージ認証コードを形成する方法を例示するフローチャートである。ステップ１５０２において、フレーム依存完全性入力が形成され、フレーム依存完全性入力は、ランダム値とフレーム固有シーケンス番号とにも依存するフレーム依存モジュロカウント値である。

フレーム依存値は、メッセージをトランスポートするプロトコルフレームに関連付けられ得る。

本方法はまた、暗号関数、たとえば、鍵導出関数を使用して第２のランダム値からランダム値を計算することを備え得る。本方法は、ビットマスクおよびビット単位ＸＯＲ演算を使用して第２のランダム値からランダム値を計算することを備え得る。いずれの場合も、第２のランダム値は、暗号化アルゴリズムへの入力を生成するために使用されるランダム値であり得る。

本方法がＵＥにおいて実行されるとき、ランダム値は、通信ネットワークのノード、たとえば、ＳＧＳＮから受信され得る。

本方法が、通信ネットワークのノード、たとえば、ＳＧＳＮにおいて実行されるとき、本方法は、ランダム値を生成することと、ランダム値をＵＥに送信することとを備え得る。

フレーム固有シーケンス番号は、暗号化アルゴリズムへの入力を生成するために使用されるシーケンス番号であり得る。

ステップ１５０４において、入力が、メッセージに作用する完全性アルゴリズムに適用され、入力は、完全性鍵と、転送方向を指示する値と、フレーム依存完全性入力とを備える。

完全性アルゴリズムへの入力は、一定値をさらに備え得る。その場合、一定値はフレームタイプに固有である。一定値は、フレームタイプに、および使用される完全性アルゴリズムに固有であり得る。一定値は、フレームが、非確認応答情報転送タイプフレームであるのか、確認応答情報転送タイプフレームであるのかを指示し得る。

本方法が送信機において実行され、メッセージが、通信ネットワーク上で送信されるべきメッセージであるとき、本方法は、通信ネットワーク上でメッセージ認証コードを送信することをさらに備え得る。

本方法が受信機において実行され、メッセージが、通信ネットワーク上で受信されるメッセージであるとき、本方法は、受信されたメッセージ認証コードを取得することと、前記メッセージ認証コードを、受信されたメッセージ認証コードと比較することとをさらに備え得る。

こうして、改善されたセキュリティを可能にする端末デバイスおよびネットワークノードの動作方法が説明された。

上述の実施形態は本発明を限定するのではなく例示するものであること、および、当業者であれば添付の特許請求の範囲から逸脱することなく、多くの代替実施形態を設計することが可能となることに留意されたい。「備える」という単語は、特許請求の範囲に列挙されている要素またはステップ以外の要素またはステップの存在を除外せず、「ａ」または「ａｎ」は複数を除外せず、単一の特徴または他のユニットが、特許請求の範囲に具陳されているいくつかのユニットの機能を果たし得る。特許請求の範囲の中のいかなる参照符号も、それらの範囲を限定するものと解釈されるべきではない。

Claims (19)

1. 通信ネットワーク内で使用するためのユーザ機器（ＵＥ）デバイスにおいて実行される、前記通信ネットワーク上で送信および受信されるメッセージのためのメッセージ認証コードを形成する方法であって、
   前記方法が、前記メッセージに作用する完全性アルゴリズムに入力を適用することによりメッセージ認証コードを形成することを備え、前記入力が、
   完全性鍵と、
   転送方向を指示する値と、
   フレーム依存完全性入力であって、ランダム値とフレーム固有シーケンス番号とにも依存するフレーム依存モジュロカウント値である、フレーム依存完全性入力と、
   一定値と
   を備え、
   前記一定値が、フレームタイプに、および使用される前記完全性アルゴリズムに固有である、方法。
2. 前記通信ネットワークのノードから前記ランダム値を受信することを備える、請求項１に記載の方法。
3. 前記通信ネットワークの前記ノードがＳＧＳＮである、請求項２に記載の方法。
4. 前記一定値は、前記フレームが、非確認応答情報転送タイプフレームであるのか、確認応答情報転送タイプフレームであるのかを指示する、請求項１から３のいずれか一項に記載の方法。
5. フレーム依存値が、前記メッセージをトランスポートするプロトコルフレームに関連付けられる、請求項１から４のいずれか一項に記載の方法。
6. 送信機としての前記ユーザ機器デバイスにおいて実行されるとき、前記メッセージが、前記通信ネットワーク上で送信されるべきメッセージであり、前記方法が、前記通信ネットワーク上で前記メッセージ認証コードを送信することをさらに備える、請求項１から５のいずれか一項に記載の方法。
7. 受信機としての前記ユーザ機器デバイスにおいて実行されるとき、前記メッセージが、前記通信ネットワーク上で受信されるメッセージであり、前記方法が、受信されたメッセージ認証コードを取得することと、前記メッセージ認証コードを前記受信されたメッセージ認証コードと比較することとをさらに備える、請求項１から５のいずれか一項に記載の方法。
8. 通信ネットワーク内で使用するためのノードにおいて実行される、前記通信ネットワーク上で送信および受信されるメッセージのためのメッセージ認証コードを形成する方法であって、
   前記方法が、前記メッセージに作用する完全性アルゴリズムに入力を適用することによりメッセージ認証コードを形成することを備え、前記入力が、
   完全性鍵と、
   転送方向を指示する値と、
   フレーム依存完全性入力であって、ランダム値とフレーム固有シーケンス番号とにも依存するフレーム依存モジュロカウント値である、フレーム依存完全性入力と、
   一定値と
   を備え、
   前記一定値が、フレームタイプに、および使用される前記完全性アルゴリズムに固有である、方法。
9. 前記ランダム値を生成することと、前記ランダム値をユーザ機器（ＵＥ）デバイスに送信することとを備える、請求項８に記載の方法。
10. 鍵導出関数を含む暗号関数を使用して第２のランダム値から前記ランダム値を計算することを備える、請求項８に記載の方法。
11. ビットマスクおよびビット単位ＸＯＲ演算を使用して第２のランダム値から前記ランダム値を計算することを備える、請求項８に記載の方法。
12. 前記通信ネットワークの前記ノードがＳＧＳＮである、請求項８から１１のいずれか一項に記載の方法。
13. 前記一定値は、前記フレームが、非確認応答情報転送タイプフレームであるのか、確認応答情報転送タイプフレームであるのかを指示する、請求項８から１２のいずれか一項に記載の方法。
14. フレーム依存値が、前記メッセージをトランスポートするプロトコルフレームに関連付けられる、請求項８から１３のいずれか一項に記載の方法。
15. 送信機としての前記ノードにおいて実行されるとき、前記メッセージが、前記通信ネットワーク上で送信されるべきメッセージであり、前記方法が、前記通信ネットワーク上で前記メッセージ認証コードを送信することをさらに備える、請求項８から１４のいずれか一項に記載の方法。
16. 受信機としての前記ノードにおいて実行されるとき、前記メッセージが、前記通信ネットワーク上で受信されるメッセージであり、前記方法が、受信されたメッセージ認証コードを取得することと、前記メッセージ認証コードを前記受信されたメッセージ認証コードと比較することとをさらに備える、請求項８から１４のいずれか一項に記載の方法。
17. 通信ネットワークにおいて使用するためのユーザ機器デバイスであって、前記ユーザ機器デバイスが、請求項１から７のいずれか一項に記載の方法を実行するように設定された、ユーザ機器デバイス。
18. 通信ネットワークにおいて使用するためのノードであって、前記ノードが、請求項８から１６のいずれか一項に記載の方法を実行するように設定された、ノード。
19. コンピュータ上で起動されたとき、請求項１から１６のいずれか一項に記載の方法を行うように設定されたコンピュータ可読コードを備えるコンピュータプログラム。

Images