JP6889263B2 - ユーザ機器の二次認証 - Google Patents

Description

＜関連出願＞
この出願は２０１７年１月２７日に出願された米国仮特許出願第６２／４５１，６４５号への優先権を主張し、その全内容が参照により本書に組み込まれる。

＜技術分野＞
本出願は一般にワイヤレス通信ネットワークに関し、具体的に、ワイヤレス通信ネットワークで使用するように構成されたユーザ機器の二次認証に関する。

ワイヤレス通信ネットワークは、従来、ネットワーク・オペレータによって事前にプロビジョニングされ、ユーザ機器にセキュアに格納されたクレデンシャルに基づいてユーザ機器を認証する。ユーザ機器を認証するための代替的な方法をサポートすることにより、ワイヤレス通信ネットワークは、様々な可能なユースケースをサポートできる。例えば、これは、工場所有者又は企業が認証及びアクセス・ネットワーク・セキュリティのために、自身のアイデンティティ及びクレデンシャル管理システムを活用することを可能にする。

しかし、代替の認証方法をサポートすることは、技術的に困難であることが分かっている。多くの認証方法は、トランスポート・ネットワークに対して厳格な推奨及び要件を有する。さらに、代替の認証方法をサポートするためにインターネット・プロトコル（ＩＰ）接続性に頼ることは、柔軟性がなく、制御プレーンとユーザ・プレーンとの間の分離を危険にさらすことになることが分かっている。

本書の１つ以上の実施形態は、ユーザ機器の認証を提供するために、ユーザ機器と制御プレーン機能（例えば、セッション管理機能、ＳＭＦ）との間に拡張認証プロトコル（ＥＡＰ）を利用する。このような認証は例えば、ユーザ機器の一次認証に加えて（例えば、その後に）実行される二次認証であってもよい。それにもかかわらず、このようにＥＡＰを活用することは、異なるタイプの認証方法をサポートし、ＩＰ接続性又は特定のタイプのアクセス・ネットワークに依存せず、及び／又は制御プレーンとユーザ・プレーンとの間の分離を維持するように制御プレーン・ベースであるという点で有利であることが分かる。

より具体的に、本書の実施形態は、ユーザ機器の二次認証のための方法を含む。本方法は、ユーザ機器の二次認証のためのＥＡＰオーセンティケータとして機能するセッション管理機能（ＳＭＦ）からの拡張認証プロトコル（ＥＡＰ）要求をユーザ機器によって受信することを含んでもよく、二次認証は、ユーザ機器の一次認証に加えるユーザ機器の認証である。本方法はまた、ＥＡＰ要求に応答して、ユーザ機器からＳＭＦにＥＡＰ応答を送信することを備えてもよい。

また、本書の実施形態は、ユーザ機器の二次認証のための方法を含む。本方法は、セッション管理機能（ＳＭＦ）からユーザ機器に拡張認証プロトコル（ＥＡＰ）要求を送信することを含んでもよく、ＳＭＦは、ユーザ機器の二次認証のためのＥＡＰオーセンティケータとして機能し、二次認証は、ユーザ機器の一次認証に加えるユーザ機器の認証である。本方法は、ＥＡＰ要求に応答して、ユーザ機器からＥＡＰ応答をＳＭＦで受信することをさらに備えてもよい。

いくつかの実施形態で、ＳＭＦはまた、ユーザ機器の二次認証のためのＥＡＰ認証方法を実行するＥＡＰサーバとして機能する。他の実施形態で、ＳＭＦは、ユーザ機器と、ＥＡＰオーセンティケータのためのＥＡＰ認証方法を実行するＥＡＰサーバとの間で、ＥＡＰ要求及びＥＡＰ応答を転送するように構成される。

本書のさらに別の実施形態は、ユーザ機器の二次認証のための方法を含む。本方法は、セッション管理機能（ＳＭＦ）を介してＥＡＰサーバからユーザ機器に拡張認証プロトコル（ＥＡＰ）要求を送信することを備えてもよく、ＳＭＦは、ユーザ機器の二次認証のためのパススルーＥＡＰオーセンティケータとして機能し、二次認証は、ユーザ機器の一次認証に加えるユーザ機器の認証であり、ＥＡＰサーバは、ＥＡＰオーセンティケータのためのＥＡＰ認証方法を実行するように構成される。本方法は、ＥＡＰ要求に応答して、ＳＭＦを介してＥＡＰサーバでユーザ機器からＥＡＰ応答を受信することをさらに備えてもよい。

いくつかの実施形態で、ユーザ機器及びＳＭＦは、ワイヤレス通信ネットワークで使用するように構成され、ＥＡＰサーバは、ユーザ機器がユーザ・プレーン・セッションを要求する際に用いるデータ・ネットワーク内にあり、ユーザ機器の二次認証は、ユーザ・プレーン・セッションを確立するためのユーザ機器の認証であり、二次認証は、ワイヤレス通信ネットワークによってデータ・ネットワークに委譲される。

いくつかの実施形態で、ＥＡＰ要求及びＥＡＰ応答は、ＳＭＦによって選択されたユーザ・プレーン機能を介してＳＭＦとＥＡＰサーバとの間で送信される。１つの実施形態で、例えば、ユーザ・プレーン機能は、ＥＡＰサーバのためのプロキシとして機能する。別の実施形態で、ユーザ・プレーン機能は、ＥＡＰ要求及びＥＡＰ応答がユーザ・プレーン機能に透過的に送信される際に介するルータとして機能する。

これらの実施形態のいずれにおいても、ＥＡＰ要求及びＥＡＰ応答は、ＳＭＦとＵＥとの間の個別の非アクセス・ストラタム（ＮＡＳ）プロトコル・メッセージ内にカプセル化されてもよい。

いくつかの実施形態で、送信すること及び受信することは、コア・ネットワーク内のセキュリティ・アンカー機能によるユーザ機器の一次認証の後に実行される。

いくつかの実施形態で、コア・ネットワークは、それぞれ異なるサービスに専用の複数の異なるネットワーク・スライスを含み、ユーザ機器の二次認証は、コア・ネットワークの特定のネットワーク・スライスにアクセスするためのユーザ機器のスライス固有認証を含む。

いくつかの実施形態で、本方法は、ユーザ機器の二次認証の成功に基づいて、ユーザ機器とＳＭＦとの間で共有されるセキュリティ鍵を取得することをさらに備える。

いくつかの実施形態で、ユーザ機器から送信されたセッション確立要求は、ユーザ機器の二次認証を引き起こす。１つのこのような実施形態で、セッション確立要求は、二次認証に使用されるユーザ機器の二次アイデンティティを含む。代替として、又は追加として、ユーザ機器に送信されるセッション確立応答は、二次認証の成功を示すＥＡＰ成功メッセージ、又は二次認証の失敗を示すＥＡＰ失敗メッセージのいずれかを含む。

いくつかの実施形態で、本方法は、ユーザ機器の二次認証を、二次認証が実行される際に介するチャネルにバインドすることをさらに備える。

いくつかの実施形態で、本方法は、ユーザ機器の二次認証の成功に基づいて、ユーザ機器とＳＭＦとの間で共有されるセキュリティ鍵を導出することをさらに備え、導出することは、二次認証が実行される際に介するチャネルに関連するバインディング情報の関数としてセキュリティ鍵を導出することを含む。１つのこのような実施形態で、前記バインディング情報は、ユーザ機器がワイヤレス通信ネットワークにアクセスするアクセス・ネットワークのタイプを識別する情報と、ワイヤレス通信ネットワークのコア・ネットワークのタイプを識別する情報と、ユーザ機器がアクセスを要求しているコア・ネットワーク・スライスを識別する情報と、ユーザ機器がアクセスを要求しているコア・ネットワーク・スライスのタイプを識別する情報とのうちの１つ以上を含む。

いくつかの実施形態で、ＳＭＦは、５Ｇネットワークに含まれる。

実施形態はまた、対応する装置、コンピュータ・プログラム、及びキャリアを含む。

したがって、本書のいくつかの実施形態は、ユーザ機器（ＵＥ）と潜在的に外部の認証、認可及びアカウンティング（ＡＡＡ）サーバとの間の認証のためにＥＡＰ（ｒｆｃ３７４８）を使用してもよく、ＳＭＦ、すなわち５Ｇコア内のセッション管理機能は、ＥＡＰオーセンティケータの役割を承認する。ＥＡＰペイロードは、ＵＥとＳＭＦとの間の非アクセス・ストラタム（ＮＡＳ）プロトコルによって搬送されてもよい。ＮＡＳプロトコルは、制御プレーンの最高位層である。ＮＡＳプロトコルは、ＮＡＳモビリティ管理（ＮＡＳ−ＭＭ）とＮＡＳセッション管理（ＮＡＳ−ＳＭ）との間で分割されてもよく、ＮＡＳ−ＳＭメッセージは、透過的コンテナにおいてＮＡＳ−ＭＭを介して搬送される。ＳＭＦは、外部ドメインに配置されている可能性のあるバックエンドＡＡＡサーバとやり取りする。ＥＡＰパケットは、プロトコル構成オプション（ＰＣＯ）オプションの場合のように、直接通信でＳＭＦとこの外部サーバとの間でＡＡＡを介して、又は代替的にユーザ・プレーン機能（ＵＰＦ）を介して透過的に輸送されてもよい。別の可能性は、ＥＡＰサーバが使用されず、ＳＭＦ（すなわち、ＥＡＰオーセンティケータ）がＥＡＰ方法を実行することである。

したがって、いくつかの実施形態は、ＥＡＰトランスポート層セキュリティ（ＥＡＰ−ＴＬＳ）、ＥＡＰ認証及び鍵合意（ＥＡＰ−ＡＫＡ）、ＥＡＰトンネルＴＬＳ（ＥＡＰ−ＴＴＬＳ）、及びＥＡＰ保護ＥＡＰ（ＥＡＰ−ＰＥＡＰ）のような多くの認証方法をサポートするＥＡＰを活用する。１つ以上の実施形態は、ＮＡＳプロトコルにおけるＥＡＰメッセージのカプセル化に基づき、したがって、アクセス・ネットワーク（ＡＮ）のタイプに依存しない。いくつかの実施形態は制御プレーン・ベースであり、したがって、ＰＤＵセッションのタイプ、すなわち、インターネット・プロトコル（ＩＰ）、非ＩＰなどに依存しない。ＥＡＰを使用することによって、いくつかの実施形態は、異なるタイプのクレデンシャル及び認証方法をサポートする。ＥＡＰ交換は、ＮＡＳプロトコルによって提供される無線インタフェースの保護から利益を得る。さらに、ＥＡＰ交換は例えば、確立されたデータ・ネットワークに対するユーザ・プレーンの保護のために使用されるセキュリティ鍵の確立をもたらしてもよい。

１つ以上の実施形態によるワイヤレス通信ネットワークのブロック図である。 いくつかの実施形態による５Ｇネットワークのブロック図である。 いくつかの実施形態によるＵＥの二次認証のためのコール・フロー図である。 いくつかの実施形態によるＵＥとＡＡＡサーバとの間でＥＡＰメッセージを交換するためのプロトコル・スタックのブロック図である。 いくつかの実施形態によるＳＭＦとＡＡＡサーバとの間でＥＡＰメッセージを交換するためのプロトコル・スタックのブロック図である。 いくつかの実施形態によるユーザ機器によって実行される方法の論理フロー図である。 いくつかの実施形態による制御プレーン機能（例えば、ＳＭＦ）によって実行される方法の論理フロー図である。 いくつかの実施形態によるＥＡＰサーバによって実行される方法の論理フロー図である。 いくつかの実施形態によるユーザ機器のブロック図である。 他の実施形態によるユーザ機器のブロック図である。 いくつかの実施形態による制御プレーン機器のブロック図である。 他の実施形態による制御プレーン装置のブロック図である。 いくつかの実施形態によるＥＡＰサーバのブロック図である。 他の実施形態によるＥＡＰサーバのブロック図である。

図１は、１つ以上の実施形態によるワイヤレス通信ネットワーク（たとえば、５Ｇネットワーク）を示す。ネットワークは、アクセス・ネットワーク１２及びコア・ネットワークを含む。コア・ネットワークは１つ以上の制御プレーン機能を含み、そのうちの１つが制御プレーン機能１４として示されている。コア・ネットワークは例えば、セッション管理を担当するセッション管理機能（ＳＭＦ）の形態の１つの制御プレーン機能と、モビリティ管理を担当するアクセス及びモビリティ管理機能（ＡＭＦ）の形態の別個の制御プレーン機能とを含んでもよい。いずれにせよ、コア・ネットワークは、ユーザ・プレーン機能１６も含む。

図１に示すように、ユーザ機器１８は、（例えば、ネットワーク・オペレータ・サービス、インターネット・アクセス、又は第三者サービスを提供する）データ・ネットワーク２２とのセッション２０（例えば、ユーザ・プレーン・セッション又はパケット・データ・ユニット、ＰＤＵ、セッション）を要求してもよい。データ・ネットワーク２２は、ワイヤレス通信ネットワークの内部にあってもよいし、外部にあってもよい。それにもかかわらず、ユーザ・プレーン機能１６は、このセッションのためのユーザ・プレーン・トラフィックを転送するように構成され、一方、制御プレーン機能は、（例えば、そのセッションのための制御シグナリングを介して）そのセッションを制御するように構成される。

１つ以上の実施形態は、ユーザ機器１８の認証、例えば、データ・ネットワーク２２とのセッション２０を確立するためのユーザ機器１８の認証に関する。認証は、ユーザ機器の他のいわゆる一次認証（これは、例えば、事前にプロビジョニングされたクレデンシャルを使用し、及び／又はセキュリティ・アンカー機能によって実行されてもよい）に加えて発生する認証であるという意味で、本質的に二次的であってもよい。いくつかの実施形態で、例えば、データ・ネットワーク２２とのセッション２０を要求するユーザ機器１２は例えば、一次認証の後に、このような二次認証を引き起こす。この二次認証は、そのデータ・ネットワーク１６によって実行され、制御され、及び／又はそのデータ・ネットワーク１６に委譲されてもよい。

本書の１つ以上の実施形態は、ユーザ機器の二次認証を提供するために、ユーザ機器１８とコア・ネットワーク内の制御プレーン機能１４（例えば、セッション管理機能、ＳＭＦ）との間に拡張認証プロトコル（ＥＡＰ）を利用する。この点に関して、制御プレーン機能１４は、二次認証のためのＥＡＰオーセンティケータ２４として機能してもよい。次いで、ユーザ機器１８は、ＥＡＰ認証のためのピアとして機能してもよい。

いくつかの実施形態で、制御プレーン機能１４はまた、二次認証のためのＥＡＰ認証方法を実際に実行するＥＡＰサーバとして機能する。他の実施形態で、（ＥＡＰオーセンティケータとしての）制御プレーン機能１４とは別個のＥＡＰサーバ２６がＥＡＰオーセンティケータのためのＥＡＰ認証方法を実行する。ＥＡＰサーバ２６は例えば、図１に示すように、データ・ネットワーク２２内に配置されてもよい。ＥＡＰオーセンティケータとは別個のＥＡＰサーバ２６は、バックエンド認証サーバ又は単に認証サーバと呼ばれてもよい。ＥＡＰサーバを制御プレーン機能１４から分離することは、ユーザ機器１８によって提供される各認証方法を制御プレーン機能１４がサポートすることを要求するのではなく、例えば、ＥＡＰサーバ２６によってサポートされる一部又はすべての認証方法のためのパススルーとして制御プレーン機能１４が動作することをＥＡＰが柔軟に可能にすることを意味する。次いで、いくつかの実施形態で、二次認証をデータ・ネットワーク２２に委譲することが可能になる。したがって、ユーザ機器１８は、制御プレーン機能１４を介して、又は制御プレーン機能１４によって提供されるように、ＥＡＰサーバ２６と認証方法又は認証手順を実行してもよい。このようなＥＡＰベースのアプローチは、異なるタイプの認証方法をサポートし、ＩＰ接続性又は特定のタイプのアクセス・ネットワークに依存せず、及び／又は制御プレーンとユーザ・プレーンとの間の分離を維持するように制御プレーン・ベースであるという点で有利であることが分かる。

ユーザ機器１８の二次認証のためのＥＡＰオーセンティケータ２４として機能する制御プレーン機能１４を用いて、ユーザ機器１８及び制御プレーン機能１４は、ＥＡＰ認証交換に関与してもよい。図１に示すように、この交換は、制御プレーン機能１４がユーザ機器１８にＥＡＰ要求２８を送信することと、次いでユーザ機器１８が制御プレーン機能１４からＥＡＰ要求２８を受信することとを含んでもよい。このＥＡＰ要求２８は、ユーザ機器１８から複数の異なる可能なタイプの要求可能な情報（例えば、アイデンティティ、ＭＤ５チャレンジなど）のうちの任意の１つを要求してもよい。要求されたタイプの情報は、要求２８内のタイプ・フィールドによって示されてもよい。いずれにしても、ＥＡＰ要求２８は、ユーザ機器１８の二次認証にどの認証方法を使用すべきかのネゴシエーションの一部として情報を要求してもよい。

ＥＡＰ要求２８に応答して、（ＥＡＰピアとしての）ユーザ機器１８は、（ＥＡＰオーセンティケータ２４としての）制御プレーン機能１４にＥＡＰ応答３０を送信してもよい。ＥＡＰ応答３０は例えば、ＥＡＰ要求２８内のタイプ・フィールドによって示される情報のタイプを含んでもよい。

要求及び応答の１つ以上の追加のシーケンスが、同様の方法で続いてもよい。これは、ＥＡＰオーセンティケータとしての制御プレーン機能１４が（例えば、１つ以上のＥＡＰ要求に対する容認できないＥＡＰ応答のために）ユーザ機器１８を認証できなくなるまで、又はＥＡＰオーセンティケータとしての制御プレーン機能１４が、認証の成功が生じたと判定するまで、続いてもよい。

いくつかの実施形態で例えば、セッション２０の確立のための要求のユーザ機器による送信は、ユーザ機器１８の二次認証を引き起こす。この場合に、セッション確立応答は、次いで、ユーザ機器に送信されてもよく、二次認証の成功を示すＥＡＰ成功メッセージ、又は二次認証の失敗を示すＥＡＰ失敗メッセージのいずれかを含む。

これら及び他の実施形態で、ＥＡＰ要求２８及びＥＡＰ応答３０は、個別の非アクセス・ストラタム（ＮＡＳ）プロトコル・メッセージ内にカプセル化されてもよい。この点に関して、ＮＡＳは、制御プレーンの最上位層であってもよい。このようにカプセル化されて、ＥＡＰ要求２８及びＥＡＰ応答３０は、アクセス・ネットワーク１２のタイプにかかわらず、ユーザ機器１８と制御プレーン機能１４との間で通信されてもよい。

（例えば、図１に示すようなデータ・ネットワーク２２内にある）二次認証のためのＥＡＰサーバ２６を含む実施形態で、制御プレーン機能１４は、ユーザ機器１８とＥＡＰサーバ２６との間でＥＡＰ要求２８及びＥＡＰ応答３０を転送してもよい。制御プレーン機能１４は例えば、送信又は受信されたＥＡＰメッセージを検査して、それらのメッセージを転送するかどうか、又はどこに転送するかを決定してもよい。いずれにしても、ＥＡＰサーバ２６は、ＥＡＰオーセンティケータとしての制御プレーン機能１４を介してユーザ機器１８にＥＡＰ要求２８を送信してもよく、ＥＡＰ要求に応答して、制御プレーン機能１４を介してユーザ機器１８からＥＡＰ応答３０を受信してもよい。

いくつかの実施形態で、ＥＡＰ要求２８及びＥＡＰ応答３０は例えば、例えば制御プレーン機能１４によって選択されてもよいユーザ・プレーン機能１６を介して、制御プレーン機能１４とＥＡＰサーバ２６との間で送信される。いくつかの実施形態で、ユーザ・プレーン機能１６は、ＥＡＰサーバ２６のプロキシとして機能してもよい。他の実施形態で、ユーザ・プレーン機能１６は、ＥＡＰ要求２８及びＥＡＰ応答３０がユーザ・プレーン機能１６に透過的に送信される際に介するルータとして機能する。

したがって、これら及び他の実施形態は、ワイヤレス通信ネットワークが（例えば、ユーザ機器によるデータ・ネットワーク２２とのセッション２０の確立を認証するために）ユーザ機器１８の二次認証をデータ・ネットワーク２２に委譲することを可能にしてもよい。特に、データ・ネットワーク２２がこのような認証に使用される認証方法を実際に実行するＥＡＰサーバ２６を実装する場合に、これは、ワイヤレス通信ネットワークが異なる認証方法を一般的かつ柔軟にサポートすることを意味してもよい。

代替として、又は追加として、いくつかの実施形態で、コア・ネットワークは、それぞれ異なるサービス専用の複数の異なるネットワーク・スライスを備えてもよい。この場合に、ユーザ機器１８の二次認証は、コア・ネットワークの特定のネットワーク・スライスにアクセスするためのユーザ機器１８のスライス固有認証を備えてもよい。同様に、ワイヤレス通信ネットワークは、（例えば、異なるネットワーク・スライスに対して異なってもよい）異なる認証方法を一般的かつ柔軟にサポートしてもよい。

ここで、３ＧＰＰによって開発されている５Ｇ（別名、ネクスト・ジェネレーション、ＮＧ）の文脈で１つ以上の実施形態を説明する。５Ｇは、（とりわけ）制御プレーンをユーザ・プレーンから分離することを目的とする。制御プレーンはシグナリング情報の制御及び送信を担当し、ユーザ・プレーンはユーザ・トラフィックの転送を担当する。制御プレーンを分離することは、より単純なユーザ・プレーン・ノードを残すようにゲートウェイから制御プレーン機能を抽出することを含む。したがって、ゲートウェイは、独立してスケーリングできるＳ／ＰＧＷ−Ｕコンポーネント及びＳ／ＰＧＷ−Ｃコンポーネントに「分割」され、ＳＧＷ−Ｕはユーザ・プレーン機能を扱うサービング・ゲートウェイ（ＳＧＷ）のコンポーネントであり、ＰＧＷ−Ｕはユーザ・プレーン機能を扱うパケット・ゲートウェイ（ＰＧＷ）のコンポーネントであり、ＳＧＷ−Ｃは制御プレーン機能を扱うＳＧＷのコンポーネントであり、ＰＧＷ−Ｃは制御プレーン機能を扱うＰＧＷのコンポーネントである。このようにして、制御プレーン、及びすべての関連する複雑なやり取りを集中化することができ、一方、ユーザ・プレーンは、ＩＰサービス・ファブリックにわたって分散され、トラフィック負荷によって要求されるようにスケーリングされる。

さらに、５Ｇは、ネットワーク機能仮想化及びソフトウェア定義ネットワーキングを可能にする。５Ｇシステム・アーキテクチャは、識別された場合に、制御プレーン（ＣＰ）ネットワーク機能間のサービス・ベースのやり取りを活用する。

さらに、５Ｇは例えば、柔軟で効率的なネットワーク・スライシングを可能にするために、機能設計をモジュール化することを目標とする。さらに、適用可能な場合はいつでも、手続き（すなわち、ネットワーク機能間のやり取りの集合）はそれらの再使用が可能なように、サービスとして定義される。

これに関して、図２は、ＮＧのためのベースライン・アーキテクチャを示す。アーキテクチャは、様々なネットワーク機能を含む。制御プレーン機能は、セッション管理機能（ＳＭＦ）と、アクセス及びモビリティ管理機能（ＡＭＦ）と、ポリシー制御機能（ＰＣＦ）と、認証サーバ機能（ＡＵＳＦ）と、統合データ管理（ＵＤＭ）と、を含む。

ＳＭＦは、以下の機能の一部又は全部を含んでもよい。ＳＭＦ機能の一部又は全部は、ＳＭＦの単一のインスタンスでサポートされてもよい。ＳＭＦ機能は、セッション管理（例えば、ＵＰＦとアクセス・ネットワーク・ノードとの間のトンネル維持を含む、セッション確立、変更及び解放）と、ＵＥ ＩＰアドレス割り当て及び管理（オプションの認可を含む）と、ＵＰ機能の選択及び制御と、適切な宛先へトラフィックをルーティングするためのＵＰＦでのトラフィック・ステアリングの構成と、ポリシー制御機能へのインタフェースの終了と、ポリシー行使及びサービス品質（ＱｏＳ）の一部の制御と、（ＳＭイベント及び合法的傍受システムへのインタフェースのための）合法的傍受と、ＮＡＳメッセージのＳＭ部分の終了と、ダウンリンク・データ通知と、ＡＭＦを介してＮ２からＡＮに送信されるＡＮ固有ＳＭ情報の開始と、（ＩＰタイプＰＤＵセッションのための）セッションのサービス及びセッション継続性（ＳＳＣ）モードの決定と、ローミング機能と、ＱｏＳサービス・レベル・アグリーメント（ＳＬＡ）を適用するためのローカル行使（ビジテッド・パブリック・ランド・モバイル・ネットワーク、ＶＰＬＭＮ）の処理と、課金データ収集及び課金インタフェース（ＶＰＬＭＮ）と、（ＳＭイベント及びＬＩシステムへのインタフェースのためのＶＰＬＭＮ内の）合法的傍受と、外部ＤＮによるＰＤＵセッション認可／認証のためのシグナリングの輸送のための外部ＤＮとのやり取りのサポートと、を含む。

対照的に、アクセス及びモビリティ管理機能（ＡＭＦ）は、以下の機能の一部又は全部を含んでもよい。ＡＭＦ機能の一部又は全部は、ＡＭＦの単一のインスタンスにおいてサポートされてもよい：無線アクセス・ネットワーク（ＲＡＮ）ＣＰインタフェース（Ｎ２）の終了、ＮＡＳ（Ｎ１）の終了、ＮＡＳ暗号化及び完全性保護、登録管理、接続管理、到達可能性管理、モビリティ管理、（ＡＭＦイベント及びＬＩシステムへのインタフェースのための）合法的傍受、ＳＭメッセージをルーティングするための透過的プロキシ、アクセス認証、アクセス認可、セキュリティ・アンカー機能（ＳＥＡ又はＳＥＡＦ）、及びアクセス・ネットワーク固有鍵を導出するために使用するＳＥＡから鍵を受信するセキュリティ・コンテキスト管理（ＳＣＭ）。特にＳＥＡに関して、これは認証サーバ機能（ＡＵＳＦ）及びＵＥとやり取りし、ＵＥ認証プロセスの結果として確立された中間鍵を受信する。ＵＳＩＭベースの認証の場合に、ＡＭＦは、ＡＵＳＦからセキュリティ材料を読み出す。

ユーザ・プレーン機能（ＵＰＦ）は、以下の機能の一部又は全部を含んでもよい。ＵＰＦ機能の一部又は全部は、ＵＰＦの単一のインスタンスにおいてサポートされてもよい：（適用可能な場合に）イントラ／インター無線アクセス技術（ＲＡＴ）モビリティのためのアンカー・ポイント、データ・ネットワークへの相互接続の外部ＰＤＵセッション・ポイント、パケット・ルーティング及び転送、ポリシー・ルール行使のパケット検査及びユーザ・プレーン部分、合法的傍受（ＵＰ収集）、トラフィック使用報告、データ・ネットワークへのトラフィック・フローのルーティングをサポートするためのアップリンク・クラシファイア、マルチホームＰＤＵセッションをサポートするための分岐ポイント、ユーザ・プレーンのためのＱｏＳ処理、例えばパケット・フィルタ、ゲーティング、アップリンク／ダウンリンク・レート行使、アップリンク・トラフィック検証（ＳＤＦからＱｏＳへのフロー・マッピング）、アップリンク及びダウンリンクにおけるトランスポート・レベル・パケット・マーキング、ならびにダウンリンク・パケット・バッファリング及びダウンリンク・データ通知トリガリング。

これらのネットワーク機能のいずれも、専用ハードウェア上のネットワーク要素として、又は専用ハードウェア上で実行されるソフトウェア・インスタンスとして、又は適切なプラットフォーム上で、例えばクラウド・インフラストラクチャ上でインスタンス化された仮想機能として実装されてもよい。

ＮＧシステムにおける新しい特徴の中には、ネットワーク・スライシングの概念がある。ネットワーク・スライス（ＮＳ）は基本的に、特定のサービスを提供するために専用のコア・ネットワークのインスタンスである。これにより、オペレータは、サービス品質（ＱｏＳ）に関してそれぞれ異なるサービス要件を有するこの多種多様な新しいユースケースを処理できる。例えば、オペレータは、通常のモバイル・ブロードバンド（ＭＢＢ）サービスのためのスライスを、非常に短いレイテンシを要求する公衆安全サービス（ミッション・クリティカル・プッシュ・ツー・トーク、ＭＣＰＴＴ）のためのミッション・クリティカル・スライスと並行して、及び非常に低い帯域幅を有する電気メータのためのモノのインターネット（ＩｏＴ）スライスと並行して実行してもよい。

多様なサービス・タイプをサポートするために、オペレータは、共通のＩＰサービス・インフラストラクチャ上に「ネットワーク・スライス」として配備された複数のコア・ネットワークを使用する。図２に示すアイデアは、異なるサービスに専用の仮想コア・ネットワーク・インスタンス（又は「スライス」）を作成することである。各スライスは、トラフィック・プロファイル及び関連するサービスの商業的コンテキスト、例えば、ＩｏＴ、公共安全、モバイル仮想ネットワーク・オペレータ（ＭＶＮＯ）、コネクテッド自動車、ボイス・オーバＷｉＦｉ又はエンタープライズ・サービスのために最適化されてもよい。ネットワーク・スライスは、サービス固有及び顧客固有の両方でありうるという意味で、２次元でありうる。

５Ｇは、多くの新しいシナリオ及びユースケースをサポートし、ＩｏＴのイネーブラとなることが期待される。ＮＧシステムは、センサ、スマート・ウェアラブル、車両、機械等のような広範囲の新しいデバイスへの接続性を提供することが期待される。そして、柔軟性は、ＮＧシステムにおける重要な特性である。これは、オペレータによって事前にプロビジョニングされ、ユニバーサル集積回路カード（ＵＩＣＣ）にセキュアに格納された通常のＡＫＡクレデンシャルとは異なるタイプのクレデンシャル及び代替の認証方法のサポートを義務付けるネットワーク・アクセスのためのセキュリティ要件に反映される。これは、工場所有者又は企業が認証及びアクセス・ネットワーク・セキュリティのために、自身のアイデンティティ及びクレデンシャル管理システムを活用することを可能にする。

５Ｇは、異なるネットワーク・スライス（ＮＳ）にアクセスするための認証及び認可手続きを切り離してもよい。１つの可能なシナリオは、以下の通りである。ＮＧ−ＵＥが特定のＮＳにアクセスするために、オペレータは最初に、ＡＭＦを介したＡＵＳＦ／ＵＤＭへの初期ネットワーク・アクセスのための一次（通常）認証を実行し、続いて、おそらく第三者の制御下で、二次ＮＳ固有認証を実行してもよい。これは、第三者サービス・プロバイダと、例えば専用ネットワーク・スライス・インスタンスにおいてこの第三者にアクセス及びトランスポート・サービスを提供しているモバイル・ネットワーク・オペレータ（ＭＮＯ）との間の信頼を仮定している。

いわゆる暗号化オプション要求及びプロトコル構成オプション（ＰＣＯ）と呼ばれる情報要素の使用は、上述のシナリオに関連しうる。ＰＣＯは、パスワード認証プロトコル（ＰＡＰ）／チャレンジ・ハンドシェイク認証プロトコル（ＣＨＡＰ）のユーザ名及びパスワードをパケット・データ・ネットワーク・ゲートウェイ（ＰＤＮ−ＧＷ）へ転送でき、これは、アクセス認可のために（場合によっては外部ドメインに位置する）ＡＡＡサーバを介してそれらを実行する。この情報はセンシティブであり、保護される必要があるので、ＵＥが暗号化を必要とするＰＣＯ（例えば、ＰＡＰ／ＣＨＡＰのユーザ名及びパスワード）を送信しようとするならば、ＵＥはＡｔｔａｃｈ Ｒｅｑｕｅｓｔメッセージ内に暗号化オプション転送フラグを設定し、認証及びＮＡＳセキュリティ・セットアップが完了した後にのみＰＣＯを送信する。

ＮＧシステムにおける使用又は拡張のためのこのメカニズムの限界の中には、以下のものがある。

第１に、このメカニズムは、可能な認証方法に関して非常に限定されている。現在、ＰＡＰ及びＣＨＡＰのサポートのみが存在する。しかし、ＰＡＰは、セキュリティの観点から時代遅れなので、我々にはＣＨＡＰのみが残っている。

第２に、他の方法をサポートし、認証情報の輸送にＰＣＯ情報要素を使用するために、この目的専用に、ＭＭＥとＳ−ＧＷとの間及びＳ−ＧＷとＰＤＮ−ＧＷとの間の特別なメッセージを指定する必要がある。これは、たった１回の往復よりも多くを必要とする認証方式を扱うためである。

さらに、さらに分解される次世代アーキテクチャにこのメカニズムがどのように適合するかを予見することは困難である。実際、新しいアーキテクチャの特徴（ＴＲ２３．７９９）を考慮すると、我々は、例えば、ＭＭＥをＡＭ機能とＳＭ機能とに分割する進行中の作業（ＴＲ２３．７９９）と、制御プレーンとユーザ・プレーンとの分割のための制御プレーンとユーザ・プレーンとの分離（ＣＵＰＳ）作業（ＴＲ ２３．７１４）に関連して、ＵＥとＰＤＮ−ＧＷとの間のパスには、おそらくより多くのホップがあるだろうと述べることができる。これは、ＣＮにおけるより多くの過負荷及びシグナリングを意味する。

最後に、このメカニズムは、ＵＥとＰＤＮ−ＧＷの間に直接的なプロトコルがないため、回避策である。他の認証方法をサポートするのに十分な汎用性を有するようにすることは、特に、多くの方法が輸送に関する厳格な推奨及び要件を有するので、技術的に困難である。

１つ以上の実施形態は、ＥＡＰの使用を介した二次認証のためのこれらの課題及び／又は他の課題のいくつかに対処する。ＥＡＰは、ＩＥＴＦ ＲＦＣ ３７４８に規定されている。ＥＡＰは、複数の認証方法をサポートする認証フレームワークである。

ＥＡＰアーキテクチャの利点の１つは、その柔軟性である。ＥＡＰは、典型的には、使用されるべき特定の認証方法を決定するためにオーセンティケータがより多くの情報を要求した後に、特定の認証メカニズムを選択するために使用される。新しい各認証方法をサポートするためにオーセンティケータが更新されることを要求するのではなく、ＥＡＰは一部又は全部の認証方法を実施してもよいバックエンド認証サーバの使用を可能にし、オーセンティケータは、一部又は全部の方法及びピアのためのパススルーとして機能する。ＥＡＰプロトコルは、特定のものを事前にネゴシエートする必要なく、複数の認証メカニズムをサポートできる。

ＥＡＰ命名法で、ＥＡＰオーセンティケータは、ＥＡＰ認証を開始するリンクの末端である。ピアは、オーセンティケータに応答するリンクの末端である。バックエンド認証サーバは、認証サービスをオーセンティケータに提供するエンティティである。使用される場合に、このサーバは、典型的に、オーセンティケータのためのＥＡＰ方法を実行する。ＥＡＰサーバは、ＥＡＰ認証方法をピアで終了するエンティティである。バックエンド認証サーバが使用されない場合に、ＥＡＰサーバはオーセンティケータの一部である。オーセンティケータがパススルー・モードで動作する場合に、ＥＡＰサーバはバックエンド認証サーバ上に配置される。認証の成功はＥＡＰメッセージの交換であり、その結果、認証はピアによるアクセスを認可することを決定し、ピアは、このアクセスを使用することを決定する。オーセンティケータの決定は、典型的に、認証及び認可の両方の側面を含み、ピアは、オーセンティケータへ首尾よく認証してもよいが、ポリシーの理由のために、オーセンティケータによってアクセスが拒否されてもよい。

ＥＡＰ認証交換は、以下のように進行する。オーセンティケータは、ピアを認証するための要求を送信する。要求は、何が要求されているかを示すタイプ・フィールドを有する。要求タイプの例は、アイデンティティ、ＭＤ５チャレンジなどを含む。典型的に、オーセンティケータは、初期アイデンティティ要求を送信するが、初期アイデンティティ要求が要求されず、バイパスされてもよい。

ピアは、有効な要求への返信で、応答パケットを送信する。要求パケットと同様に、応答パケットは、要求のタイプ・フィールドに対応するタイプ・フィールドを含む。

オーセンティケータは追加の要求パケットを送信し、ピアは応答で返信する。

要求及び応答のシーケンスは、必要な限り継続する。会話はオーセンティケータがピアを認証できなくなる（１つ以上の要求に対する受け入れられない応答）まで継続し、その場合、オーセンティケータ実装は、ＥＡＰ失敗を送信しなければならない（コード４）。これに代えて、認証が成功したとオーセンティケータが判定するまで認証会話が継続でき、その場合、認証者はＥＡＰ成功（コード３）を送信しなければならない。

「パススルー・オーセンティケータ」として動作する場合に、オーセンティケータは、コード、識別子、及び長さフィールドのチェックを実行する。それは、ピアから受信されそのオーセンティケータ層に宛てられたＥＡＰパケットをバックエンド認証サーバに転送し、ピアに宛てられたバックエンド認証サーバから受信されたパケットはそれに転送される。

図３は、いくつかの実施形態による、ＥＡＰを使用する、一次認証及び二次認証の両方を含むメッセージの流れを示す。

ステップ１：ＵＥが登録要求を送信する。

ステップ２：ＵＥとＳＥＡＦとの間で一次認証手続きが実行される。認証が成功すると、一次アイデンティティ（例えば、国際移動体加入者識別子、ＩＭＳＩ）が検証され、次のステップが実行される。

ステップ３：ＮＡＳセキュリティ、すなわちＣＰセキュリティがセットアップされる。以降、すべてのＮＡＳメッセージは、機密性及び完全性について保護される。

ステップ４：ＰＤＵセッション確立要求の処理が、２つのステップで行われる。ステップ４ａにおいて、ＵＥは、ＰＤＵセッション確立要求をＡＭＦに送信する。このメッセージは一次アイデンティティを含み、オプションとして、ＥＡＰの二次認証で後に使用される二次アイデンティティを搬送してもよい。要求は完全性であり、オプションとして、ＵＥとＡＭＦとの間で機密性について保護される。ＡＭＦは、メッセージがステップ２で認証されたＵＥから生じることを検証し、検証されたアイデンティティ情報を含むメッセージを転送する。ステップ４ｂにおいて、ＳＭＦは、ＡＭＦからＰＤＵセッション確立要求を受信する。ＳＭＦが一次アイデンティティについて二次認証を実行しておらず、ＵＥを認証するためのローカル・ポリシーを有するならば、ＳＭＦは二次認証手続きを開始しなければならない。ＳＭＦはまた、再認証ポリシーを維持し、受信された一次アイデンティティが非常に長い時間前にＳＭＦによって認証された場合、再認証を開始する必要があってもよい。

ステップ５：ＳＭＦを介してＵＥと外部ＡＡＡとの間で二次認証手続きが実行される。そして、この場合に、ＳＭＦはＥＡＰオーセンティケータとして機能し、外部ＡＡＡはＥＡＰサーバとして機能する。ＥＡＰメッセージはＮＡＳ−ＳＭプロトコルを介してＡＭＦに透過的に輸送される。これは、ＳＭ−ＥＡＰパケット、例えばＳＭ認証要求及びＳＭ認証応答を搬送してもよい新しいＮＡＳ−ＳＭメッセージの仕様を必要とするかもしれない。ＰＤＵセッション確立要求がＵＥの二次アイデンティティを搬送したならば、ＳＭＦはＥＡＰアイデンティティ要求をスキップでき、ＡＡＡサーバと直接にＥＡＰ認証を開始できる。エア・インタフェースを介したＥＡＰ交換は、ＮＡＳ層における保護から利益を得る。

二次ＥＡＰ認証はオプションとして、それが実行されたチャネルにバインドされる必要があってもよく、そうでなければ、（例えば、同じＥＡＰ方法及びクレデンシャルが様々なチャネル上で使用されるならば）中間者がチャネル間でＥＡＰパケットをトンネルする危険性がある。チャネル関連情報（例えば、アクセス・タイプ又はコア・ネットワーク・タイプに関連する情報又はネットワーク・スライス関連情報を含んでもよいと仮定して、ステップ２で使用される一次アイデンティティ）を取ることによってチャネル・バインディングが行われてもよい。チャネル関連情報は二次ＥＡＰ認証内の暗号化動作において直接に使用されるか、又は後に、何らかの目的のために二次認証から作成されたマスタ鍵（すなわち、マスタ・セッション鍵、ＭＳＫ、又は拡張ＭＳＫ、ＥＭＳＫ）を使用するときに使用される。チャネル情報は、アクセス・ネットワーク・タイプ（例えば、５Ｇ無線、ワイヤレス・ローカル・アクセス・ネットワークＷＬＡＮ）、コア・ネットワーク・タイプ（例えば、５Ｇコア・ネットワーク）、又はネットワーク・スライス・タイプ又は識別子（例えば、ネットワーク・スライス選択支援情報ＮＳＳＡＩ、ＳＭ−ＮＳＳＡＩ、又はデータ・ネットワーク名ＤＮＮ）のうちの１つであてもよい。

特に、ほとんどのＥＡＰ認証方法は、認証の結果としてマスタ鍵（ＭＳＫ及びＥＭＳＫ）を生成する。この鍵はセッション鍵、例えば、完全性保護鍵又は暗号化鍵を生成するために使用される。チャネル・バインディングは２つの場所で行うことができる：ａ）ＭＳＫ／ＥＭＳＫを作成するときのＥＡＰ方法内で、この場合に、バインディング・パラメータは鍵導出への入力値である：ＭＳＫ＝ＫＤＦ（バインディング・パラメータ、他のパラメータ）及び／又はＥＭＳＫ＝ＫＤＦ（バインディング・パラメータ、他のパラメータ）；又はｂ）ＭＳＫ／ＥＭＳＫが何らかの他の（マスタ）鍵を作成するときに作成された後である：Ｋｅｙ＝ＫＤＦ（バインディング・パラメータ、ＭＳＫ）及び／又はＫｅｙ＝ＫＤＦ（バインディング・パラメータ、ＥＭＳＫ）。

ステップ６：ＡＡＡ交換の一部として、外部ＡＡＡサーバは、再認証ポリシーをＳＭＦに示してもよい。これは、例えば、その後に新しい認証が必要とされる最大時間でありうる。

認証が成功した後、ＡＡＡ交換は、ＳＭＦへのサービス／セッション認可情報の交換も含んでもよい。この場合に、ＡＡＡはＳＭＦにサービス認可プロファイル（又はサービス認可プロファイル識別子／トークン）を提供することができ、そこから、ＳＭＦは、要求されたサービスがユーザのために認可されているかどうか、及び認可されているならば、例えば、サービス品質、経験品質、課金等に関してサービスが提供されるべき方法を判定できる。

ステップ７：ＳＭＦはオプションで、一次アイデンティティと二次アイデンティティとの間のバインディングを行い、それをローカルに保存する。ＳＭＦは、一次アイデンティティを搬送するＡＭＦからの新しい要求を見ると、二次アイデンティティを有する同じＵＥからメッセージが由来することを信頼してもよい。

ステップ８：認証及び認可が成功した後、ＳＭＦは、要求されているサービスに関連するユーザ・プレーンのためのユーザ・プレーン機能ＵＰＦを選択する。

ステップ９：ＳＭＦは、二次認証の結果に依存してＰＤＵセッション確立応答を返信する。このメッセージは最終ＥＡＰメッセージを搬送してもよく、すなわち、ＰＤＵセッション確立受諾はＥＡＰ成功を搬送してもよく、又はＰＤＵセッション確立失敗は、ＥＡＰ失敗を搬送してもよい。

ステップ５において、ＳＭＦはＥＡＰオーセンティケータの役割を承認し、場合によっては、例えば第三者によって制御される別のセキュリティ・ドメインにおいて、データ・ネットワーク内のバックエンドＡＡＡサーバに依拠してもよい。そして、ＳＭＦとＡＡＡサーバとの間でＡＡＡメッセージがどのように輸送されるかが未解決のままである。様々な可能性が存在する。第１実施形態で、ＥＰＣ ＰＣＯソリューションと同様に、ＳＭＦとＡＡＡとの間の直接インタフェースを介してＡＡＡメッセージが輸送される。このインタフェースはＡＡＡが第三者によって制御される場合に、ビジネス契約に基づいて確立される。図４は、ＳＭＦとＡＡＡサーバとの間の直接インタフェース（ＸＸと呼ばれる）を有するＥＡＰベースの二次認証をサポートするためのプロトコル・アーキテクチャを示す。ＵＥからＳＭＦ側で、ＥＡＰメッセージがＮＡＳプロトコルを介してどのように搬送されるかについての可能性を示す。

第２実施形態で、ＵＰＦを介してＮＧ４−ＮＧ６インタフェースを介して透過的にＡＡＡメッセージが転送される。ＵＰＦは、ＡＡＡプロキシ又はより単純なＩＰルータの役割を承認してもよい。この場合に、ＳＭＦは、図３のステップ５におけるＡＡＡ交換の前にステップ８を実行するので、選択されたＵＰＦを介してＡＡＡ交換を処理できる。図５は、ＥＡＰメッセージがＮＧ４−ＮＧ６インタフェースを介してＵＰＦを通じて輸送されるＥＡＰベースの二次認証のサポートを示す。すなわち、ＮＧ４−ＮＧ６インタフェースは、ＳＭＦとＡＡＡサーバとの間でＡＡＡメッセージを搬送するために透過的に使用される。この特定の場合（図５）に、ＵＰＦはＳＭＦとＡＡＡサーバとの間のＡＡＡ交換がＵＰＦに対して透過的であるように、ＩＰルータとして機能してもよい。

第３実施形態で、ＵＰＦは、実際にはＡＡＡプロキシとして機能してもよい。

第４実施形態で、ＳＭＦはＥＡＰサーバとして機能してもよく、このような場合に、外部ＡＡＡサーバとのやり取りは全く必要ない。

第５実施形態で、一次アイデンティティ及び二次アイデンティティが同じであるか、又は互いに関連しており、例えば、一次アイデンティティ（の一部）は二次アイデンティティに符号化される。認証に使用されるクレデンシャルは、依然として異なっていてもよい。

ＰＣＯベースのメカニズムと同様に、二次認証は、特定の又は追加のＰＤＵセッションの確立に対するＵＥの要求に応じて、外部当事者によって制御される追加の認可のために使用されてもよい。ＵＰ保護及びスライシングに関連する他のユースケースについて、以下の節で説明する。

ユーザ・プレーン保護：第１に、ＵＰトラフィックの保護がＵＰＦで終了されるならば、以下の仮定が行われる。ＵＥとＵＰＦとの間のユーザ・プレーン保護は、ＵＥとアクセス・ネットワークとの間のＮＧＵインタフェース上の保護とは独立して、追加のプロトコル層を介して実施される。

このような場合に、必要な鍵を確立するために二次認証を使用してもよい。実際、認証が成功した後、ＳＭＦ（ＥＡＰオーセンティケータ）とＵＥ（ピア）との間で共有される結果として得られるＭＳＫ鍵は、この特定の目的のために使用されうる。

そして、保護キーの配布、アルゴリズムのネゴシエーション、及びセキュリティ・モードのアクティブ化のためのメカニズムは、汎用的であり、認証方法には不可知である。これらの動作はすべて、ＰＤＵセッション確立（図３のステップ９）に関連して実行されてもよい。

ネットワーク・スライシングのサポート：二次認証は、ネットワーク・スライス固有の認可のために使用してもよい。実際、あるＡＭＦを介した一次認証が成功すると、ＵＥは、場合によっては、その特定のＡＭＦによってサービス提供されるすべてのネットワーク・スライスを介してサービスを提供されうる。ＵＥが、加入者情報に基づいて、スライスの全部又は一部にアクセスすることを自動的に認可される場合がありうる。これに代えて、特定のスライスのためのＰＤＵセッションの作成中に、二次認証を使用して、スライス固有ベースで認可が行使されてもよい。

ＵＥと特定のスライスとの間のＵＰトラフィックの保護のために、前の節で説明したメカニズムを使用してもよい。しかしながら、どのネットワーク機能を誰が管理又は所有するかという意味でのスライスの構成が関連するようになる。信頼モデルの観点から、これはＵＰＦ及びＳＭＦがスライス固有であることを必要とし、そうでない場合に、保護はいかなる目的にも役立たない。

上記の変形及び修正に鑑みて、図６はいくつかの実施形態による、例えば、アクセス・ネットワーク１２及びコア・ネットワークを備える、ワイヤレス通信ネットワークで使用されるように構成されたユーザ機器１８の二次認証のための方法を示す。方法は、ユーザ機器１８によって実行される。方法は、ユーザ機器１８によって、コア・ネットワーク（例えば、ＳＭＦ）内にありユーザ機器１８の二次認証のためのＥＡＰオーセンティケータ２４として機能する制御プレーン機能１４から、拡張認証プロトコル（ＥＡＰ）要求２８を受信することを含んでもよい（ブロック１００）。二次認証は、ユーザ機器１８の一次認証に加えて、ユーザ機器１８の認証であってもよい。方法はまた、ＥＡＰ要求２８に応答して、ユーザ機器１８から制御プレーン機能１４（例えば、ＳＭＦ）にＥＡＰ応答３０を送信することを含んでもよい（ブロック１１０）。

図７は、制御プレーン機能１４（Ｓ．ｆ．、ＳＭＦ）によって実行される対応する方法を示す。方法は、制御プレーン機能１４（例えば、ＳＭＦ）からユーザ機器１８へ拡張認証プロトコル（ＥＡＰ）要求２８を送信することを含んでもよく、制御プレーン機能１４はコア・ネットワーク内にあり、ユーザ機器１８の二次認証のためのＥＡＰオーセンティケータ２４として機能する（ブロック２００）。やはり、二次認証は、ユーザ機器１８の一次認証に加えて、ユーザ機器１８の認証であってもよい。方法は、ＥＡＰ要求２８に応答して、ユーザ機器１８からＥＡＰ応答３０を制御プレーン機能１４で受信することも含んでもよい（ブロック２１０）。

いくつかの実施形態で、制御プレーン機能１４は、ユーザ機器１８の二次認証のためのＥＡＰ認証方法を実行するＥＡＰサーバとして機能している。これに代えて、制御プレーン機能１４は、ＥＡＰ要求２８及びＥＡＰ応答３０を、ユーザ機器１８と、ＥＡＰオーセンティケータのためのＥＡＰ認証方法を実行するＥＡＰサーバ２６（ＥＡＰオーセンティケータとは別個である）との間で転送するパススルー・オーセンティケータとして機能してもよい。

これに関して、図８は、ユーザ機器１８の二次認証のためにＥＡＰサーバ２６によって実行される方法を示す。方法は、拡張認証プロトコル（ＥＡＰ）要求２８を、制御プレーン機能１４（例えば、ＳＭＦ）を介してＥＡＰサーバ２６からユーザ機器１８へ送信することを含んでもよい（ブロック３００）。この点に関して、制御プレーン機能はコア・ネットワーク内にあり、ユーザ機器１８の二次認証のためのパススルーＥＡＰオーセンティケータとして機能する。二次認証は、ユーザ機器１８の一次認証に加えて、ユーザ機器１８の認証であってもよい。ＥＡＰサーバ２６は、ＥＡＰオーセンティケータ２４のためのＥＡＰ認証方法を実行するように構成されてもよい。方法は、ＥＡＰ要求２８に応答して、ユーザ機器１８からＥＡＰ応答３０を制御プレーン機能１４を介してＥＡＰサーバ２６で受信することをさらに含んでもよい（ブロック３１０）。

いくつかの実施形態で、ＥＡＰサーバ２６は、ユーザ機器１８がユーザ・プレーン・セッションを要求する際に用いるデータ・ネットワーク２２内にある。ユーザ機器１８の二次認証は、ユーザ・プレーン・セッション２０を確立するためのユーザ機器１８の認証であってもよい。いくつかの実施形態で、二次認証は、ワイヤレス通信ネットワークによってデータ・ネットワーク２２に委譲される。

ここで、ネットワーク・ノードはＡＮ１４（例えば、基地局）又はコア・ネットワーク内の任意のタイプのノードであることに留意されたい。ネットワーク・ノードがＡＮ内の無線ネットワーク・ノードである場合に、ノードは、無線信号を介して別のノードと通信できてもよい。ワイヤレス・デバイスは、無線信号を介して無線ネットワーク・ノードと通信できる任意のタイプのデバイスである。したがって、ワイヤレス・デバイスは、マシン・ツー・マシン（Ｍ２Ｍ）デバイス、マシン・タイプ通信（ＭＴＣ）デバイス、ＮＢ−ＩｏＴデバイスなどを指してもよい。ワイヤレス・デバイスはＵＥであってもよいが、ＵＥは、デバイスを所有及び／又は操作する個人の意味の「ユーザ」を必ずしも有するわけではないことに留意されたい。ワイヤレス・デバイスはまた、無線デバイス、無線通信デバイス、ワイヤレス端末、又は単に端末と呼ばれてもよく、文脈でそうでないと示さない限り、これらの用語のいずれかの使用は、デバイス・ツー・デバイスＵＥ又はデバイス、マシン・タイプ・デバイス、又はマシン・ツー・マシン通信が可能なデバイス、ワイヤレス・デバイスを具備したセンサ、ワイヤレス対応テーブル・コンピュータ、モバイル端末、スマートフォン、ラップトップ埋め込み型（ＬＥＥ）、ラップトップ搭載機器（ＬＭＥ）、ＵＳＢドングル、ワイヤレス顧客構内機器（ＣＰＥ）などを含むことが意図される。本書の説明では、マシン・ツー・マシン（Ｍ２Ｍ）デバイス、マシン・タイプ通信（ＭＴＣ）デバイス、ワイヤレス・センサ、及びセンサという用語も使用されてもよい。これらのデバイスはＵＥであってもよいが、一般に、直接的な人間のやり取りなしにデータを送信及び／又は受信するように構成されることを理解されたい。

ＩＯＴシナリオで、本書で説明するワイヤレス通信装置は、監視又は測定を実行し、このような監視測定の結果を別のデバイス又はネットワークに送信する機械又はデバイスであってもよく、又はその中に含まれてもよい。このような機械の特定の例は、電力計、産業機械、又は家庭用若しくは個人用機器、例えば、冷蔵庫、テレビ、時計等の個人用ウェアラブルである。他のシナリオで、本書で説明するワイヤレス通信デバイスが車両に含まれてもよく、車両の動作状態又は車両に関連する他の機能の監視及び／又は報告を実行してもよい。

本書のユーザ機器１８は、任意の機能手段又はユニットを実装することによって、本書のプロセスを実行してもよい。１つの実施形態で例えば、ユーザ機器１８は図６に示されるステップを実行するように構成された個別の回路を備える。この点に関する回路は特定の機能処理を実行するために専用の回路、及び／又はメモリに関連する１つ以上のマイクロプロセッサを備えてもよい。読み出し専用メモリ（ＲＯＭ）、ランダム・アクセス・メモリ、キャッシュ・メモリ、フラッシュ・メモリ・デバイス、光記憶デバイスなどの１つ以上のタイプのメモリを備えてもよいメモリを使用する実施形態で、メモリは、１つ以上のマイクロプロセッサによって実行される場合に、本書で説明される技術を実行するプログラム・コードを記憶する。すなわち、いくつかの実施形態で、ユーザ機器１８のメモリは、処理回路によって実行可能な命令を含み、それによって、ユーザ機器１８は本書の処理を実行するように構成される。

図９Ａは、１つ以上の実施形態によるユーザ機器１８の追加の詳細を示す。示されるように、ユーザ機器１８は、処理回路４１０及び通信回路４２０（例えば、１つ以上の無線回路）を含む。通信回路４２０は、ユーザ機器１８の内部及び／又は外部にあってもよい１つ以上のアンテナを介して送信するように構成されてもよい。処理回路４１０は例えば、メモリ４３０に記憶された命令を実行することなどによって、例えば図６において上述された処理を実行するように構成される。この点に関して、処理回路４１０は、特定の機能手段又はユニットを実装してもよい。

この点に関して、図９Ｂは、１つ以上の他の実施形態によるユーザ機器１８の追加の詳細を示す。示されるように、ユーザ機器１８は、ＥＡＰ要求２８を受信するための受信ユニット又はモジュール４４０と、ＥＡＰ応答３０を送信するための送信ユニット又はモジュール４５０とを含んでもよい。これらのユニット又はモジュールは、図９Ａの処理回路４１０によって実装されてもよい。

同様に、制御プレーン機能１４（例えば、ＳＭＦ）は、制御プレーン内の制御プレーン機器によって提供又は実装されてもよい。この点に関して、制御プレーン機器は、１つ以上の制御プレーン・ノードを含んでもよい。複数の分散制御プレーン・ノードは例えば、分散方式で制御プレーン機能１４をホスト又は実装してもよい。これに代えて、単一の制御プレーン・ノードは、集中方式で制御プレーン機能１４をホスト又は実装してもよい。

本書の制御プレーン機器は、任意の機能手段又はユニットを実装することによって、本書の制御プレーン機能１４のプロセスを実行してもよい。１つの実施形態で例えば、制御プレーン機器は図７に示されるステップを実行するように構成された個別の回路を備える。この点に関する回路は特定の機能処理を実行するために専用の回路、及び／又はメモリに関連する１つ以上のマイクロプロセッサを備えてもよい。読み出し専用メモリ（ＲＯＭ）、ランダム・アクセス・メモリ、キャッシュ・メモリ、フラッシュ・メモリ・デバイス、光記憶デバイスなどの１つ以上のタイプのメモリを備えてもよいメモリを使用する実施形態で、メモリは、１つ以上のマイクロプロセッサによって実行される場合に、本書で説明される技術を実行するプログラム・コードを記憶する。すなわち、いくつかの実施形態で、制御プレーン機器のメモリは、処理回路によって実行可能な命令を含み、それによって、制御プレーン機器は本書の処理を実行するように構成される。

図１０Ａは、１つ以上の実施形態による制御プレーン機器５００の追加の詳細を示す。示されるように、制御プレーン装置５００は、処理回路５１０及び通信回路５２０を含む。通信回路５２０は例えば、１つ以上の定義されたインタフェースを介して、ユーザ機器１８と通信するように構成されてもよい。処理回路５１０は例えば、メモリ５３０に記憶された命令を実行することなどによって、例えば図７において上述された処理を実行するように構成される。この点に関して、処理回路５１０は、特定の機能手段又はユニットを実装してもよい。

この点に関して、図１０Ｂは、１つ以上の他の実施形態による制御プレーン機器５００の追加の詳細を示す。示されるように、制御プレーン機器５００は、ＥＡＰ応答２８を受信するための受信ユニット又はモジュール５４０と、ＥＡＰ要求３０を送信するための送信ユニット又はモジュール５とを含んでもよい。これらのユニット又はモジュールは、図１０Ａの処理回路５１０によって実装されてもよい。

本書で、ＥＡＰサーバ２６（バックエンド認証サーバ又は認証サーバとも呼ばれる）は、任意の機能手段又はユニットを実装することによって、本書のプロセスを実行してもよい。１つの実施形態で例えば、ＥＡＰサーバ２６は図８に示されるステップを実行するように構成された個別の回路を備える。この点に関する回路は特定の機能処理を実行するために専用の回路、及び／又はメモリに関連する１つ以上のマイクロプロセッサを備えてもよい。読み出し専用メモリ（ＲＯＭ）、ランダム・アクセス・メモリ、キャッシュ・メモリ、フラッシュ・メモリ・デバイス、光記憶デバイスなどの１つ以上のタイプのメモリを備えてもよいメモリを使用する実施形態で、メモリは、１つ以上のマイクロプロセッサによって実行される場合に、本書で説明される技術を実行するプログラム・コードを記憶する。すなわち、いくつかの実施形態で、ＥＡＰサーバ２６のメモリは、処理回路によって実行可能な命令を含み、それによって、認証サーバ２６は本書の処理を実行するように構成される。

図１１Ａは、１つ以上の実施形態によるＥＡＰサーバ２６の追加の詳細を示す。示されるように、ＥＡＰサーバ２６は、処理回路６１０及び通信回路６２０を含む。通信回路６２０は例えば、１つ以上の定義されたインタフェースを介して、ユーザ機器１８及び／又は制御プレーン機能１４と通信するように構成されてもよい。処理回路６１０は例えば、メモリ６３０に記憶された命令を実行することなどによって、例えば図８において上述された処理を実行するように構成される。この点に関して、処理回路６１０は、特定の機能手段又はユニットを実装してもよい。

この点に関して、図１１Ｂは、１つ以上の他の実施形態によるＥＡＰサーバ２６の追加の詳細を示す。示されるように、ＥＡＰサーバ２６は、ＥＡＰ応答３０を受信するための受信ユニット又はモジュール６４０と、ＥＡＰ要求２８を送信するための送信ユニット又はモジュール６５０とを含んでもよい。これらのユニット又はモジュールは、図１１Ａの処理回路６１０によって実装されてもよい。

当業者はまた、本書の実施形態が、対応するコンピュータ・プログラムをさらに含むことを理解するだろう。

コンピュータ・プログラムは、（例えば、ユーザ機器１８、制御プレーン機器５００、又はＥＡＰサーバ２６の）少なくとも１つのプロセッサ上で実行されると、プロセッサに上述の個別の処理のいずれかを実行させる命令を含む。この点に関して、コンピュータ・プログラムは、上述の手段又はユニットに対応する１つ以上のコード・モジュールを含んでもよい。

実施形態は、このようなコンピュータ・プログラムを含むキャリアをさらに含む。このキャリアは、電子信号、光信号、無線信号、又はコンピュータ可読記憶媒体のうちの１つを含んでもよい。

Claims (38)

1. ユーザ機器（１８）の二次認証のための方法であって、
   前記ユーザ機器（１８）の二次認証のためのＥＡＰオーセンティケータとして機能するセッション管理機能、ＳＭＦ、（１４）からの拡張認証プロトコル、ＥＡＰ、要求（２８）を前記ユーザ機器（１８）によって受信すること（１００）であって、前記二次認証は、前記ユーザ機器（１８）の一次認証に加える前記ユーザ機器（１８）の認証である、ことと、
   前記ＥＡＰ要求（２８）に応答して、前記ユーザ機器（１８）から前記ＳＭＦ（１４）へＥＡＰ応答（３０）を送信すること（１１０）と、を有し、
   前記ユーザ機器（１８）から前記ＳＭＦ（１４）へ送信されたセッション確立要求が前記ユーザ機器（１８）の二次アイデンティティを含む場合に、前記ＳＭＦ（１４）は、前記ＥＡＰ要求（２８）を送信せずに前記二次認証を開始可能である、方法。
2. ユーザ機器（１８）の二次認証のための方法であって、
   セッション管理機能、ＳＭＦ、（１４）からユーザ機器（１８）へ拡張認証プロトコル、ＥＡＰ、要求（２８）を送信すること（２００）であって、前記ＳＭＦ（１４）は、前記ユーザ機器（１８）の二次認証のためのＥＡＰオーセンティケータとして機能し、前記二次認証は、前記ユーザ機器（１８）の一次認証に加える前記ユーザ機器（１８）の認証である、ことと、
   前記ＥＡＰ要求（２８）に応答して、前記ユーザ機器（１８）からのＥＡＰ応答（３０）を前記ＳＭＦ（１４）で受信すること（２１０）と、を有し、
   前記ユーザ機器（１８）から前記ＳＭＦ（１４）へ送信されたセッション確立要求が前記ユーザ機器（１８）の二次アイデンティティを含む場合に、前記ＳＭＦ（１４）は、前記ＥＡＰ要求（２８）を送信せずに前記二次認証を開始可能である、方法。
3. 請求項１又は２に記載の方法であって、前記ＳＭＦ（１４）はまた、前記ユーザ機器（１８）の前記二次認証のためのＥＡＰ認証方法を実行するＥＡＰサーバとして機能する、方法。
4. 請求項１又は２に記載の方法であって、前記ＳＭＦ（１４）は、前記ユーザ機器（１８）と、前記ＥＡＰオーセンティケータのためのＥＡＰ認証方法を実行するＥＡＰサーバ（２６）との間で、前記ＥＡＰ要求（２８）及び前記ＥＡＰ応答（３０）を転送するように構成される、方法。
5. ユーザ機器（１８）の二次認証のための方法であって、
   セッション管理機能、ＳＭＦ、（１４）を介してＥＡＰサーバ（２６）から前記ユーザ機器（１８）へ拡張認証プロトコル、ＥＡＰ、要求（２８）を送信すること（３００）であって、前記ＳＭＦ（１４）は、前記ユーザ機器（１８）の二次認証のためのＥＡＰオーセンティケータとして機能し、前記二次認証は、前記ユーザ機器（１８）の一次認証に加える前記ユーザ機器（１８）の認証であり、前記ＥＡＰサーバ（２６）は、前記ＥＡＰオーセンティケータのためのＥＡＰ認証方法を実行するように構成される、ことと、
   前記ＥＡＰ要求（２８）に応答して、前記ユーザ機器（１８）からのＥＡＰ応答（３０）を前記ＳＭＦ（１４）を介して前記ＥＡＰサーバ（２６）で受信すること（３１０）と、を有し、
   前記ユーザ機器（１８）から前記ＳＭＦ（１４）へ送信されたセッション確立要求が前記ユーザ機器（１８）の二次アイデンティティを含む場合に、前記ＳＭＦ（１４）は、前記ＥＡＰ要求（２８）を送信せずに前記二次認証を開始可能である、方法。
6. 請求項４又は５に記載の方法であって、前記ユーザ機器（１８）及び前記ＳＭＦ（１４）は、ワイヤレス通信ネットワークで使用するように構成され、前記ＥＡＰサーバは、前記ユーザ機器（１８）がユーザ・プレーン・セッションを要求する際に用いるデータ・ネットワーク内にあり、前記ユーザ機器（１８）の前記二次認証は、前記ユーザ・プレーン・セッションを確立するための前記ユーザ機器（１８）の認証であり、前記二次認証は、前記ワイヤレス通信ネットワークによって前記データ・ネットワークに委譲される、方法。
7. 請求項４乃至６の何れか１項に記載の方法であって、前記ＥＡＰ要求（２８）及び前記ＥＡＰ応答（３０）は、前記ＳＭＦ（１４）によって選択されたユーザ・プレーン機能を介して前記ＳＭＦ（１４）と前記ＥＡＰサーバとの間で送信される、方法。
8. 請求項７に記載の方法であって、前記ユーザ・プレーン機能は、前記ＥＡＰサーバのためのプロキシとして機能する、方法。
9. 請求項７に記載の方法であって、前記ユーザ・プレーン機能は、前記ＥＡＰ要求（２８）及び前記ＥＡＰ応答（３０）が前記ユーザ・プレーン機能へ透過的に送信される際に介するルータとして機能する、方法。
10. 請求項１乃至９の何れか１項に記載の方法であって、前記ＥＡＰ要求（２８）及び前記ＥＡＰ応答（３０）は、前記ＳＭＦ（１４）と前記ＵＥとの間の個別の非アクセス・ストラタム（ＮＡＳ）プロトコル・メッセージ内にカプセル化される、方法。
11. 請求項１乃至１０の何れか１項に記載の方法であって、前記送信すること及び受信することは、コア・ネットワーク内のセキュリティ・アンカー機能による前記ユーザ機器（１８）の前記一次認証の後に実行される、方法。
12. 請求項１乃至１１の何れか１項に記載の方法であって、コア・ネットワークは、それぞれ異なるサービスに専用の複数の異なるネットワーク・スライスを含み、前記ユーザ機器（１８）の前記二次認証は、前記コア・ネットワークの特定のネットワーク・スライスにアクセスするための前記ユーザ機器（１８）のスライス固有認証を含む、方法。
13. 請求項１乃至１２の何れか１項に記載の方法であって、前記ユーザ機器（１８）の二次認証の成功に基づいて、前記ユーザ機器（１８）と前記ＳＭＦ（１４）との間で共有されるセキュリティ鍵を取得することをさらに有する、方法。
14. 請求項１乃至１３の何れか１項に記載の方法であって、前記ユーザ機器（１８）から送信されたセッション確立要求は、前記ユーザ機器（１８）の前記二次認証を引き起こす、方法。
15. 請求項１４に記載の方法であって、前記セッション確立要求は、前記二次認証に使用される前記ユーザ機器（１８）の二次アイデンティティを含む、方法。
16. 請求項１４又は１５に記載の方法であって、前記ユーザ機器（１８）へ送信されるセッション確立応答は、前記二次認証の成功を示すＥＡＰ成功メッセージ、又は前記二次認証の失敗を示すＥＡＰ失敗メッセージのいずれかを含む、方法。
17. 請求項１乃至１６の何れか１項に記載の方法であって、前記ユーザ機器（１８）の前記二次認証を、前記二次認証が実行される際に介するチャネルにバインドすることをさらに有する、方法。
18. 請求項１乃至１７の何れか１項に記載の方法であって、前記ユーザ機器（１８）の二次認証の成功に基づいて、前記ユーザ機器（１８）と前記ＳＭＦ（１４）との間で共有されるセキュリティ鍵を導出することをさらに有し、前記導出することは、前記二次認証が実行される際に介するチャネルに関連するバインディング情報の関数としてセキュリティ鍵を導出することを含む、方法。
19. 請求項１８に記載の方法であって、前記バインディング情報は、
    前記ユーザ機器（１８）がワイヤレス通信ネットワークにアクセスする際に介するアクセス・ネットワークのタイプを識別する情報と、
    前記ワイヤレス通信ネットワークのコア・ネットワークのタイプを識別する情報と、
    前記ユーザ機器（１８）がアクセスを要求しているコア・ネットワーク・スライスを識別する情報と、
    前記ユーザ機器（１８）がアクセスを要求しているコア・ネットワーク・スライスのタイプを識別する情報と、のうちの１つ以上を含む、方法。
20. 請求項１乃至１９の何れか１項に記載の方法であって、前記ＳＭＦ（１４）は、５Ｇネットワークに含まれる、方法。
21. ユーザ機器（１８）であって、
    前記ユーザ機器（１８）の二次認証のためのＥＡＰオーセンティケータとして機能するセッション管理機能、ＳＭＦ、（１４）からの拡張認証プロトコル、ＥＡＰ、要求（２８）を受信することであって、前記二次認証は、前記ユーザ機器（１８）の一次認証に加える前記ユーザ機器（１８）の認証である、ことと、
    前記ＥＡＰ要求（２８）に応答して、前記ＳＭＦ（１４）へＥＡＰ応答（３０）を送信することと、を行うように構成され、
    前記ユーザ機器（１８）から前記ＳＭＦ（１４）へ送信されたセッション確立要求が前記ユーザ機器（１８）の二次アイデンティティを含む場合に、前記ＳＭＦ（１４）は、前記ＥＡＰ要求（２８）を送信せずに前記二次認証を開始可能である、ユーザ機器。
22. 請求項２１に記載のユーザ機器であって、請求項３、４及び６乃至２０の何れか１項に記載の方法を実行するように構成される、ユーザ機器。
23. セッション管理機能、ＳＭＦ、（１４）を提供するように構成されたネットワーク機器であって、前記ＳＭＦ（１４）は、
    前記ＳＭＦ（１４）からユーザ機器（１８）へ拡張認証プロトコル、ＥＡＰ、要求（２８）を送信することであって、前記ＳＭＦ（１４）は、前記ユーザ機器（１８）の二次認証のためのＥＡＰオーセンティケータとして機能し、前記二次認証は、前記ユーザ機器（１８）の一次認証に加える前記ユーザ機器（１８）の認証である、ことと、
    前記ＥＡＰ要求（２８）に応答して、前記ユーザ機器（１８）からのＥＡＰ応答（３０）を前記ＳＭＦ（１４）で受信することと、を行うように構成され、
    前記ユーザ機器（１８）から前記ＳＭＦ（１４）へ送信されたセッション確立要求が前記ユーザ機器（１８）の二次アイデンティティを含む場合に、前記ＳＭＦ（１４）は、前記ＥＡＰ要求（２８）を送信せずに前記二次認証を開始可能である、ネットワーク機器。
24. 請求項２３に記載のネットワーク機器であって、前記ネットワーク機器は、複数のネットワーク・ノードにわたって分散される、ネットワーク機器。
25. 請求項２３に記載のネットワーク機器であって、前記ネットワーク機器は、単一のネットワーク・ノードに集中化される、ネットワーク機器。
26. 請求項２３乃至２５の何れか１項に記載のネットワーク機器であって、前記ＳＭＦ（１４）は、請求項２乃至４及び６乃至２０の何れか１項に記載の方法を実行するように構成される、ネットワーク機器。
27. 拡張認証プロトコル、ＥＡＰ、サーバであって、
    前記ＥＡＰサーバからユーザ機器（１８）へ、前記ユーザ機器（１８）の二次認証のためのＥＡＰオーセンティケータとして機能するセッション管理機能、ＳＭＦ、（１４）を介してＥＡＰ要求（２８）を送信することであって、前記二次認証は、前記ユーザ機器（１８）の一次認証に加える前記ユーザ機器（１８）の認証であり、前記ＥＡＰサーバは、前記ＥＡＰオーセンティケータのためのＥＡＰ認証方法を実行するように構成される、ことと、
    前記ＥＡＰ要求（２８）に応答して、前記ユーザ機器（１８）からのＥＡＰ応答（３０）を前記ＳＭＦ（１４）を介して前記ＥＡＰサーバ（２６）で受信することと、を行うように構成され、
    前記ユーザ機器（１８）から前記ＳＭＦ（１４）へ送信されたセッション確立要求が前記ユーザ機器（１８）の二次アイデンティティを含む場合に、前記ＳＭＦ（１４）は、前記ＥＡＰ要求（２８）を送信せずに前記二次認証を開始可能である、ＥＡＰサーバ。
28. 請求項２７に記載のＥＡＰサーバであって、請求項６乃至２０の何れか１項に記載の方法を実行するように構成される、ＥＡＰサーバ。
29. 少なくとも１つのプロセッサによって実行された場合に、前記プロセッサに請求項１乃至２０の何れか１項に記載の方法を実行させる命令を含むコンピュータ・プログラム。
30. 請求項２９に記載のコンピュータ・プログラムを含むコンピュータ可読記憶媒体。
31. ユーザ機器（１８）であって、
    処理回路（４１０）及びメモリ（４３０）を備え、前記メモリ（４３０）は、前記処理回路（４１０）によって実行可能な命令を含み、それによって、前記ユーザ機器（１８）は、
    前記ユーザ機器（１８）の二次認証のためのＥＡＰオーセンティケータとして機能するセッション管理機能（ＳＭＦ）からの拡張認証プロトコル、ＥＡＰ、要求（２８）を前記ユーザ機器によって受信することであって、前記二次認証は、前記ユーザ機器（１８）の一次認証に加える前記ユーザ機器（１８）の認証である、ことと、
    前記ＥＡＰ要求（２８）に応答して、前記ユーザ機器（１８）から前記ＳＭＦ（１４）へＥＡＰ応答（３０）を送信することと、を行うように構成され、
    前記ユーザ機器（１８）から前記ＳＭＦ（１４）へ送信されたセッション確立要求が前記ユーザ機器（１８）の二次アイデンティティを含む場合に、前記ＳＭＦ（１４）は、前記ＥＡＰ要求（２８）を送信せずに前記二次認証を開始可能である、ユーザ機器。
32. 請求項３１に記載のユーザ機器であって、請求項３、４及び６乃至２０の何れか１項に記載の方法を実行するように構成される、ユーザ機器。
33. セッション管理機能、ＳＭＦ、（１４）を提供するように構成されたネットワーク機器（５００）であって、前記ネットワーク機器（５００）は処理回路（５１０）とメモリ（５３０）とを備え、前記メモリ（５３０）は前記処理回路（５１０）によって実行可能な命令を含み、それによって、前記ＳＭＦ（１４）は、
    前記ＳＭＦ（１４）からユーザ機器（１８）へ拡張認証プロトコル、ＥＡＰ、要求（２８）を送信することであって、前記ＳＭＦ（１４）は、前記ユーザ機器（１８）の二次認証のためのＥＡＰオーセンティケータとして機能し、前記二次認証は、前記ユーザ機器（１８）の一次認証に加える前記ユーザ機器（１８）の認証である、ことと、
    前記ＥＡＰ要求（２８）に応答して、前記ユーザ機器（１８）からのＥＡＰ応答（３０）を前記ＳＭＦ（１４）で受信することと、を行うように構成され、
    前記ユーザ機器（１８）から前記ＳＭＦ（１４）へ送信されたセッション確立要求が前記ユーザ機器（１８）の二次アイデンティティを含む場合に、前記ＳＭＦ（１４）は、前記ＥＡＰ要求（２８）を送信せずに前記二次認証を開始可能である、ネットワーク機器。
34. 請求項３３に記載のネットワーク機器であって、前記ネットワーク機器は、複数のネットワーク・ノードにわたって分散される、ネットワーク機器。
35. 請求項３３に記載のネットワーク機器であって、前記ネットワーク機器は、単一のネットワーク・ノードに集中化される、ネットワーク機器。
36. 請求項３３乃至３５の何れか１項に記載のネットワーク機器であって、前記ＳＭＦ（１４）は、請求項２乃至４及び６乃至２０の何れか１項に記載の方法を実行するように構成される、ネットワーク機器。
37. 拡張認証プロトコル、ＥＡＰ、サーバ（２６）であって、
    処理回路（６１０）及びメモリ（６３０）を備え、前記メモリ（６３０）は、前記処理回路（６１０）によって実行可能な命令を含み、それによって、前記ＥＡＰサーバ（２６）は、
    前記ＥＡＰサーバからユーザ機器（１８）へ、前記ユーザ機器（１８）の二次認証のためのＥＡＰオーセンティケータとして機能するセッション管理機能、ＳＭＦ、（１４）を介してＥＡＰ要求（２８）を送信することであって、前記二次認証は、前記ユーザ機器（１８）の一次認証に加える前記ユーザ機器（１８）の認証であり、前記ＥＡＰサーバは、前記ＥＡＰオーセンティケータのためのＥＡＰ認証方法を実行するように構成される、ことと、
    前記ＥＡＰ要求（２８）に応答して、前記ユーザ機器（１８）からのＥＡＰ応答（３０）を前記ＳＭＦ（１４）を介して前記ＥＡＰサーバ（２６）で受信することと、を行うように構成され、
    前記ユーザ機器（１８）から前記ＳＭＦ（１４）へ送信されたセッション確立要求が前記ユーザ機器（１８）の二次アイデンティティを含む場合に、前記ＳＭＦ（１４）は、前記ＥＡＰ要求（２８）を送信せずに前記二次認証を開始可能である、ＥＡＰサーバ。
38. 請求項３７に記載のＥＡＰサーバであって、請求項６乃至２０の何れか１項に記載の方法を実行するように構成される、ＥＡＰサーバ。

Images