JPH07307982A

JPH07307982A - 移動通信認証方法

Info

Publication number: JPH07307982A
Application number: JP6329214A
Authority: JP
Inventors: Masayoshi Ohashi; 正良大橋; Yoshio Takeuchi; 良男武内; Toshinori Suzuki; 利則鈴木; Akira Yamaguchi; 明山口; Seiichiro Sakai; 清一郎酒井; Toshio Mizuno; 俊夫水野
Original assignee: Kokusai Denshin Denwa KK
Current assignee: KDDI Corp
Priority date: 1994-03-17
Filing date: 1994-12-05
Publication date: 1995-11-21
Anticipated expiration: 2015-12-11
Also published as: JP3116757B2

Abstract

(57)【要約】【目的】本発明は乱数伝達ビット長が網間で異なるシ
ステム間のローミングが可能となる移動通信認証方法を
提供することを目的とする。【構成】この目的を達成するために、独自に実装され
た複数の移動通信網が存在する条件下において、移動機
がローミング先網にアクセスして通信を行うために、ロ
ーミング先網においてローミング先網−移動機間で、ホ
ーム網−移動機間と同一のアルゴリズムに従った移動機
の正当性を示す認証シーケンスの場合であって、ローミ
ング先網における乱数伝達ビット長がホーム網で用いら
れるホーム網の乱数伝達ビット長よりも短い場合には、
当該ローミング先網における乱数伝達ビット長をホーム
網における乱数伝達ビット長に拡大する拡大関数によ
り、ローミング先網が少なくとも拡大前の乱数および演
算結果を得る。これにより、認証用の乱数、演算結果の
長さが異なる複数の移動通信網間での認証を行う。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は移動通信認証方法に関
し、特に複数の方式が異なって存在する自動車電話等の
移動通信網において、移動機が他移動網にアクセス（ロ
ーミング）して通信を行おうとする場合、その移動機が
自分の本来属する移動網の正当な移動機であることを移
動先の移動網が確認するための、移動通信認証方法に関
する。

【０００２】

【従来の技術】移動通信網を介する通信では固定系の通
信形態とは異なり、無線を介して相手移動機と接続され
るため、接続される移動機が確かに所望の移動機である
かどうかが移動通信網からは明確に判明できない。

【０００３】そのため何らかの手法を用いて、移動通信
網は接続移動機の正当性を確認する必要がある。この正
当性確認は認証と呼ばれている。認証に当たっては、無
線が傍受されやすい性質を持っている。そのために、仮
に盗聴を受けたとしても、移動通信網は、後に盗聴者が
不正な移動機を用い、正当な移動機のふりをして移動通
信網にアクセスされない工夫が必要になる。

【０００４】このため現在のディジタル移動通信網では
秘密鍵暗号方式に基づくチャレンジーレスポンス認証方
式（以下ＣＲ認証方式と呼ぶ）が幅広く用いられてい
る。

【０００５】以下、図７を用いてＣＲ認証方式を説明す
る。なお、ＣＲ認証方式では移動網と移動機は共通の秘
密鍵暗号関数ｆを所持する。ｆは２つの変数を持ち、一
つは秘密鍵Ki、一つは乱数 RNDである。秘密鍵Kiはパラ
メータとなるので、この関数出力をf_Ki(RND)と記し、そ
の結果の値をSRESと呼ぶ。

【０００６】移動網は自網に所属する全ての正当な移動
機の秘密鍵{Ki}を有する（Ｓ７０１）。秘密鍵は移動機
すべてに異なった値が割り当てられる。正当な移動機は
それぞれ自らの秘密鍵Kiを有する（Ｓ７０２）。当該秘
密鍵Kiは外部からの読み出しの攻撃に対し物理的に安全
に保持されている。ＣＲ認証に際して、図示していない
が移動機はまず自らの移動機番号を移動網に伝える。移
動網はデータベース検索によって、対象移動機の秘密鍵
Kiを得る。移動網は乱数（チャレンジ）RND を発生し
（Ｓ７０３）、移動機に送出する。移動機は受け取った
乱数RND と自分の秘密鍵より関数ｆを用いて暗号演算を
行い（Ｓ７０４）、その演算結果（レスポンス）をSRES
として移動網に送り返す。移動網もKi, ｆを有するの
で、同じ演算を行う。その結果が移動機より送り返され
てきたSRESと一致すれば、認証成功、さもなくば失敗と
なる（Ｓ７０５）。

【０００７】このように、ＣＲ認証方式は、移動機が正
当な秘密鍵Kiを有していることを、無線区間上で直接移
動網に提示することなく、RND とSRESの受け渡しのみで
移動網に示すことができるため、盗聴によってもKiを知
られることのない有効な方式である。

【０００８】さらに、RND は移動網によって任意に選
べ、その値に応じて移動機が返す正しいSRESの値は異な
るため、複数回不正な移動機が傍受を行っても、自らが
正当な移動機になりすますことはできない。従って、Ｃ
Ｒ認証方式は移動通信システムのセキュリティを確保す
る観点から非常に優れた方式の一つであるといえる。以
下の説明ではすべてＣＲ認証方式を用いると仮定する。

【０００９】次に、ローミングについて説明を行う。こ
こで、ローミングとは移動機が自網以外の網にアクセス
して通信を行う機能をいう。このとき移動機が本来属し
ている網をホーム網、現在アクセスしている網をローミ
ング先網と呼ぶ。ローミング時にはローミング先網は通
信に先立ち、アクセスしてきた移動機がホーム網に正当
に登録された移動機であるかどうかを認証する必要があ
る。

【００１０】しかしながら、ローミング先網は、ローミ
ングしてきた移動機の秘密鍵を持たず、また必ずしもホ
ーム網と同一の暗号関数f を採用しているわけではない
ので、自網で認証を行う時とは以下に示す場合に応じて
各々異なった手順をとる必要がある。

【００１１】(1) ローミング先網がホーム網と同一の暗
号関数f を有している場合この場合には、次の二通りの方法がある。 (a) ホーム網が、対象となる移動機の秘密鍵Kiをローミ
ング先網に渡す。 (b) ホーム網が、対象となる移動機の秘密鍵Kiを用いて
認証に必要なチャレンジーレスポンスの組（以下ＣＲ組
と呼ぶ）{RND, SRES} を生成し、ローミング先網に渡
す。

【００１２】この動作を図８に示す。同図(a) はホーム
網が秘密鍵をローミング先網に渡す場合である。移動機
とホーム網は暗号関数ｆと秘密鍵Kiを所持し（Ｓ８０
１，Ｓ８０３）、ローミング先網は暗号関数ｆを所持し
ている（Ｓ８０２）。移動機がローミング先網にアクセ
スするとローミング先網はホーム網に移動機番号を提示
し、ホーム網では提示された当該移動機番号に基づいて
データベース検索を行い該当する移動機の所持する秘密
鍵Kiがローミング先網へ送り返される（Ｓ８０５）。こ
のように(a) の場合は簡便であるが、ホーム網のセキュ
リティの要である秘密鍵Kiをローミング網に渡すため、
システムの安全性に問題がある。

【００１３】同図(b) はホーム網が対象となる移動機の
秘密鍵Kiを用いて認証に必要なＣＲ組{RND, SRES} を生
成してローミング先網に渡す場合である。この場合にお
いて、移動機とホーム網のみが暗号関数f と秘密鍵Kiを
所持している（Ｓ８１１，Ｓ８１２）。移動機がローミ
ング先網にアクセスするとローミング先網はホーム網に
移動機番号を提示し、ホーム網では提示された当該移動
機番号に基づいてデータベース検索を行う（Ｓ８１
３）。そして、ホーム網では乱数{RND₁,・・・,RND_N}を発
生し（Ｓ８１４）、当該乱数と自網で所持していた秘密
鍵Kiより暗号関数fを用いて暗号演算を行い、その演算
結果{SRES₁,・・・,SRES_n} と乱数{RND₁,・・・,RND_N} をロー
ミング先網へ送り返す（Ｓ８１５，Ｓ８１６）。このよ
うに(b) の場合は認証に必要な回数だけのＣＲ組をホー
ム網からローミング先網に転送せねばならないため転送
情報量が増大する問題は存在するが、Kiが網間上の信号
で直接露呈しないため、セキュリティ上安全な方式であ
る。通常は初めてローミングを行う際に、ローミング先
網はホーム網に複数のＣＲ組を要求して取得し、その後
は認証ごとにホーム網に問い合わせることなく、取得セ
ットからＣＲ組を順次使用する。ＣＲ組を全部使いきっ
た時点でローミング先網は、再度ホーム網に新たにＣＲ
組を要求して取得する。

【００１４】(2) ローミング網がホーム網と同一の暗号
関数f を有していない場合この場合には、上記(a) は適用できず上記(b) を適用せ
ざるを得ない。但し、両網の認証方式において乱数と演
算結果のビット長は一致している必要がある。ヨーロッ
パにおける標準のディジタル移動通信方式GSM (Global
System for Mo-bile communication) では本方式が採用
されている。

【００１５】

【発明が解決しようとする課題】従来の方式における上
記のように(b) のチャレンジーレスポンスの組を渡す方
式では、各網の暗号関数f の一致を必要としない優れた
方式である。しかしながら、このような従来の方式で
は、一般に暗号関数の異なる移動網間で乱数と演算結果
のビット長も互いに異なっている。従って、認証プロト
コルが可変長の乱数や演算結果の伝達をサポートしてい
ない限り、上記(b) を用いても無線区間で十分な情報量
を送ることができずうまくＣＲ認証が行えない場合が生
じる。以下場合を分けて説明する。

【００１６】(1.1) ローミング先網の無線区間での乱数
ビット長＞ホーム網の乱数ビット長この場合はホーム網から送られてくる乱数が短い場合で
あり、ローミング先網の無線区間では余裕を持って対象
乱数を移動機に伝達できる。余ったビットは使用しな
い。

【００１７】(1.2) ローミング先網の無線区間での乱数
ビット長＜ホーム網の乱数ビット長この場合はホーム網から送られてくる乱数が長い場合で
あり、ローミング先網の無線区間では対象乱数を移動機
に伝達できない。故に移動機は不完全な乱数しか入手で
きず、正しい演算結果を生成できない。

【００１８】(2.1) ローミング先網の無線区間での演算
結果ビット長＞ホーム網の演算結果ビット長この場合は移動機が演算を行った結果が短い場合であ
り、ローミング先網の無線区間では余裕を持って対象演
算結果をローミング先網に伝達できる。余ったビットは
使用しない。

【００１９】(2.2) ローミング先網の無線区間での演算
結果ビット長＜ホーム網の演算結果ビット長この場合は移動機が演算を行った結果が長い場合であ
り、ローミング先網の無線区間では対象演算結果をロー
ミング先網に伝達できない。しかしローミング網は少な
くとも演算結果の一部は移動機より得られるため、この
情報とホーム網からの演算結果情報より若干の認証安全
性の劣化は伴うものの、実質的な認証は可能である。

【００２０】以上示したように、乱数伝達(1.2) で問題
が生じる。ローミングは、基本的に網間で相互に行われ
るのが普通なので、乱数伝達ビット長が網間で異なれ
ば、(1.2) の問題はいずれかの網から網へのローミング
で必ず生じる。

【００２１】本発明はこれらの問題点を解決するための
もので、乱数伝達ビット長が網間で異なるシステム間の
ローミングが可能となる移動通信認証方法を提供するこ
とを目的とする。

【００２２】

【課題を解決するための手段】本発明は上記問題点を解
決するために、予め同一の秘密鍵が移動機と移動機の本
来属するホーム網のデータベース内に設定、記憶される
と共に同一の暗号関数が移動機とホーム網に備わってお
り、移動機が正当な秘密鍵を有していることを、網側か
ら乱数を移動機に送出して移動機ではその乱数と移動機
の正当な秘密鍵を暗号関数の入力として演算を行った結
果を移動通信網に返すことで証明することにより、移動
機の正当性を確認する移動通信認証方法において、複数
の移動通信網が存在する条件下で、移動機がホーム移動
通信網以外の移動通信網であるローミング先網にアクセ
スして通信を行うために、ローミング先網においてロー
ミング先網−移動機間で、ホーム網−移動機間と同一の
アルゴリズムに従った移動機の正当性を示す認証シーケ
ンスの場合であって、ローミング先網における乱数伝達
ビット長がホーム網で用いられるホーム網の乱数伝達ビ
ット長よりも短い場合に、予め移動機側とローミング先
網側に具備し、かつ当該ローミング先網における乱数伝
達ビット長をホーム網における乱数伝達ビット長に拡大
する拡大関数により、ローミング先網における乱数伝達
ビット長をホーム網における乱数伝達ビット長に拡大し
てホーム網に送って演算を行い、当該演算結果をローミ
ング先網に返すことにより、ローミング先網が少なくと
も拡大前の乱数および演算結果を得、認証用の乱数、演
算結果の長さが異なる複数の移動通信網間での認証を行
うことに特徴がある。

【００２３】

【作用】以上のような本発明によれば、乱数と演算結果
のビット長が異なる移動網間でローミングを行う際、特
にローミング先網における乱数伝達ビット長がホーム網
で用いられるホーム網の乱数伝達ビット長よりも短い場
合に、ローミング網は、自網のＣＲ認証で使用する乱数
と同じビット長を有する拡大前の乱数を移動機に送出
し、移動機では、受信した拡大前の乱数に対し、実装さ
れたビット拡大関数を作用させることにより、ホーム網
と同じビット長の乱数を得る。その後ホーム網と同じ暗
号関数を用いて演算結果をローミング先網に返送するこ
とにより、ローミング先でのＣＲ認証を行おうとするも
のである。

【００２４】したがって、本発明は前記問題点を解決で
き、乱数伝達ビット長が網間で異なるシステム間のロー
ミングが可能となる移動通信認証方法を提供できる。

【００２５】

【実施例】以下、本発明の一実施例を図面に基づいて説
明する。図１は本発明の第１の実施例の動作を示すフロ
ーチャートである。本実施例は移動網間のプロトコルに
おいてローミング先網が乱数を発生する事が許される場
合の実施例である。なお、本実施例では、ホーム網およ
び移動機は暗号関数faを有するものとし、その共通の秘
密鍵をKiとする。乱数ビット長は128 ビット、演算結果
ビット長は32ビットとする。一方ローミング先網は、別
の暗号関数fbを有するものとし、乱数ビット長は64ビッ
ト、演算結果ビット長は簡単のために同じく32ビットと
する。（Ｓ１０１〜Ｓ１０３）

【００２６】はじめに、移動機がローミング先網におい
てローミング要求を発すると、ローミング先網は移動機
番号を得てホーム網に通知する。ホーム網はそのデータ
ベース中より対応する移動機の秘密鍵Kiを取り出す（Ｓ
１０４）。次いでローミング先網は、64ビットの長さを
持つ乱数のセット{RND₁,・・・,RND_n} を発生する（Ｓ１０
５）とともに、これら乱数に64ビットから128 ビットへ
の拡大関数E( )を作用させた（Ｓ１０６）結果の128 ビ
ットの拡大乱数{RND'₁,・・・,RND'_n} を作成する。拡大関
数を作用させた後の結果{RND'₁,・・・,RND'_n} は、ホーム
網に送られ、暗号関数ｆによって32ビットの演算結果{S
RES₁,・・・,SRES_n} が作成される。{SRES₁,・・・,SRES_n} は
ローミング先網に返されて保持される（Ｓ１０７）。

【００２７】移動機の認証を行うときには、ローミング
先網は保持している拡大前乱数、拡大後乱数、演算結果
の中からまだ未使用のセット{RND_j,RND'_j,SRES_j}を取り
出し、64ビットのRND_jを無線区間を通して移動機に送
る。移動機では、RND_jに拡大関数を作用させることで、
128 ビットの乱数RND_j' を得る（Ｓ１０８）。これに自
らの秘密鍵Ki, 暗号関数faによって演算結果SRES_j を得
る（Ｓ１０９）。これをローミング先網に返し、その値
がローミング先網で保持しているSRES_j と一致すれば認
証成功、さもなくば失敗となる（Ｓ１１０）。

【００２８】ここで拡大関数には、数多くのものが考え
られる。図２に拡大関数の簡単な例を挙げる。もっとも
自明なものは、図２(a),(b) に示す入力の64ビットを出
力の128 ビットに右詰めまたは左詰めに挿入し、残りの
64ビットに０または既知のパターンを詰め込む方式であ
る。しかし、この方式では受信者側で容易に拡大関数作
用後の結果であることが認知できるために好ましくな
い。

【００２９】拡大関数では、 (1) 出力の128 ビットから容易には, 入力の64ビットを
推定できないこと (2) 複数の拡大関数作用後の出力128 ビットから容易に
は真の128 ビット乱数と区別がつかないことが必要である。

【００３０】この点を勘案して(1),(2) の条件を満足す
る拡大関数の例として、CBC モードのブロック暗号系の
使用（図２(c））が一候補としてあげられる。

【００３１】このように適切な拡大関数さえ選べば、無
線区間には64ビットのみしか通さないにもかかわらず、
移動機側では128 ビットのホーム網と見かけ上全く同一
の認証演算が可能となる。

【００３２】図３は本発明の第２の実施例の動作を示す
フロチャートである。本実施例はホーム網において64ビ
ットの乱数が発生できる例である。以下第１の実施例と
異なる点を説明するものとする。

【００３３】移動機からのローミング要求を受けるとホ
ーム網が64ビットの乱数{RND₁,・・・,RND_n} を発生する
（Ｓ３０１）とともに、拡大関数E( )を作用させた結果
{RND'₁,・・・,RND'_n} を生成する（Ｓ３０２）。続いてホ
ーム網は、暗号演算を行い、32ビットの演算結果{SRE
S₁,・・・SRES_n}を得、{RND₁,・・・,RND_n} とともにローミン
グ先網に送出する。以後ローミング先網と移動機間の認
証プロトコルは第１の実施例１と同一である。本実施例
ではホーム網がローミング先網のために拡大関数を具備
したり、64ビットの乱数をホーム網からローミング先網
へ送っていることが特徴である。

【００３４】次に、移動網間のプロトコル上においてロ
ーミング先網が乱数を発生する事が許されない場合の認
証方法を図４及び図５に示す。

【００３５】本実施例の認証過程は、(a) 一括予備認証
過程と、(b) 本認証過程の２ステージに分割される。本
実施例では、移動機を一たる主体とはせず、暗号関数、
秘密鍵を安全に所持するICカードと、それ以外の無線通
信手段提供をもっぱらとする移動機との機能分割が図ら
れた形態を想定している。また、本実施例では簡単のた
めにICカードに識別番号が付加されているものとする。
移動機に識別子が付加された場合および移動機、ICカー
ド両者に付加された場合への拡張は容易である。

【００３６】(a) 一括予備認証過程においてはICカード
は直接、たとえば別途有線系の通信路のような、外部か
らの盗聴に対して安全と考えられる通信路を介してロー
ミング先網と通信を行うと仮定する。ICカードとホーム
網は、カードの正当性を確認するための暗号関数ｆおよ
びカードの秘密鍵Kiを所持する。暗号関数ｆは乱数64ビ
ット、演算結果32ビット長とする。（Ｓ４０１）

【００３７】まず、移動機がローミング先網へICカード
番号とともに予備認証の要求を行うと、ローミング先網
は、ホーム網にＣＲ組の要求を行う。ホーム網はデータ
ベース検索を行い、当該ICカードの秘密鍵Kiを検索する
（Ｓ４０２）。次いでホーム網は、ｎ個の128 ビットの
乱数{RNDa₁,・・・,RNDa_n} を発生し（Ｓ４０３）、これに
対し、秘密鍵Kiをパラメータとして、暗号演算fa_Ki(RND
a_j) を行い（Ｓ４０４）、同じくｎ個の32ビットの演算
結果{SRESa₁,・・・,SRESa_n} を生成し、ローミング先網に
送出する。ホーム網よりＣＲ組を受領したローミング先
網は、別途ｍ個の64ビット乱数{RNDb₁,・・・,RNDb_m} を発
生する（Ｓ４０５）。これをローミング先網で拡大関数
E( )を作用させる（Ｓ４０６）ことにより、128 ビット
の乱数{RND'b₁,・・・,RND'b_m} を得る。これを前述の{RND
a₁,・・・,RNDa_n} と結合し、送出順序をランダム化した
後、チャレンジとしてICカードにシリアルまたはパラレ
ルに送出する（図４ではパラレルに送出）。

【００３８】ICカードは、ローミング先網より送られた
ｍ＋ｎ個の乱数に対して自己の有する暗号関数ならびに
秘密鍵Kiを用いて、演算結果{SRES}を求め（Ｓ４０７）
ローミング先網に返送する。ローミング先網は、先の送
信順序に応じて受信演算結果を並べ替えることにより、
{SRESa₁,・・・,SRESa_n},{SRESb₁,・・・,SRESb_m} を得る。こ
のうちホーム網から予め演算結果を得ている{SRESa₁,・・
・,SRESa_n} の照合を行い（Ｓ４０８）、照合が全てOKで
あればこのＣＲ組を生成したICカードは正当であるとみ
なし、{RNDb₁,・・・,RNDb_m},{SRESb₁,・・・,SRESb_m} をKiの
正当な認証用ＣＲ組として後のローミング用認証に用い
る（Ｓ４０９）。照合が一つでも失敗すれば、予備認証
失敗とみなし、{SRESb₁,・・・,SRESb_m} を棄却する。

【００３９】ICカード側では、ローミング先網から送出
される乱数について、どれがRNDa_j(j=1,・・・,n)でどれが
RNDb_j(j=1,・・・,m)であるか判別不能であるため、仮に正
当なICカードがRNDa_j にのみ正しい演算結果を渡し、RN
Db_j に間違った演算結果をわざと渡そうと試みても、予
備認証完了が極めて困難である。また不正なICカードな
らば、RNDa_j に対して正しい結果を返せない。従って正
当なICカードから予備認証完了時に得られるＣＲ組は、
高い確率で正当である。

【００４０】次に、図５に示すように、実際の移動機を
通じてローミング網を介した通信を要求する(b) 本認証
過程では、すでにローミング先網に予備認証の結果が蓄
えられている（Ｓ５０１）ので、ICカードから移動機を
介したローミング要求に対して、ローミング先網は64ビ
ットの任意の乱数RNDb_j を移動機に送出する。移動機は
拡大関数E( )を作用させて（Ｓ５０２）64ビットのRNDb
_j を128 ビット乱数RND'b_jに拡大し、ICカードに渡す。
ICカードは自らが有する暗号関数faならびに秘密鍵Kiを
用いて演算を行い（Ｓ５０３）、その結果の32ビットを
SRES_j として移動機を介して、ローミング先網に返す。
ローミング先網でSRES_j の照合を行い、OKならば認証完
了、さもなくば認証失敗となる（Ｓ５０４）。

【００４１】次に、移動網間のプロトコル上においてロ
ーミング先網が移動機とICカードを別々に管理する場合
で、ローミング先網の無線区間で例えば64ビットの乱数
のみの伝達が許されている認証方法を図６に示す。

【００４２】ここでの認証は移動機のための認証（移動
機認証）とICカードのための認証（加入者認証）の２度
の認証が行われる方法である。移動機はローミング先網
に属する機器を利用するものとし、その認証はローミン
グ先網の機器認証方式に従う。すなわち、移動機ｉとロ
ーミング先網（移動機にとってはホーム網である）は暗
号関数ｇならびに秘密鍵Kiを共有し、64ビットの乱数が
網側から移動機に送られると、移動機は暗号演算を行
い、その結果をTRESとして網に返す。

【００４３】一方ICカードは、ホーム網のローミング中
であるので、その認証方式は基本的にホーム網の方式に
従う。すなわちICカードとホーム網は、暗号関数f と秘
密鍵Kmを所持し、128 ビットの乱数がホーム網からICカ
ードに送られるとICカード側では暗号関数を行い、その
結果をSRESとしてホーム網に返す。

【００４４】本実施例では、128 ビットの乱数を伝達す
るために、乱数を分割して転送する。すなわち、先ずホ
ーム網が128 ビットの乱数RND ならびに演算結果SRESを
発生して、ローミング先網に渡す（Ｓ６０１，Ｓ６０
２）。ローミング先網では乱数RND を64ビットの乱数R
1,R2 に分割し、R1を移動機認証用乱数として移動機に
渡す（Ｓ６０３）。移動機は通常のシーケンス通り移動
機認証用の暗号演算を乱数R1を用いて行い（Ｓ６０
４）、演算結果確認TRES' を得てローミング先網に返送
すると共に、乱数R1を移動機内に保持する（Ｓ６０
５）。

【００４５】ローミング先網は、演算結果確認TRES'
を、自網が有している暗号関数と秘密鍵から検算し認証
を行う（Ｓ６０６）。次に、ローミング先網は加入者認
証用乱数としてR2を移動機側に渡す（Ｓ６０７）。移動
機側では先に保持していた乱数R1,R2 を合成し、128 ビ
ットの乱数RND を得る（Ｓ６０８）。これを用いてICカ
ード側では暗号演算を行い（Ｓ６０９）、演算結果SRE
S' を移動機を介してローミング先網に返す（Ｓ６１
０）。ローミング先網はこの値を予めホーム網より転送
されてきた演算結果SRESと照合することにより認証を行
う（Ｓ６１１）。なお、本実施例では２度の認証を行う
例であるが、３回以上の認証を行う場合でも同様の効果
が得れらることは言うまでもない。すなわち、本実施例
はホーム網で用いられるビット長をローミング先網で用
いられるビット長単位で分割し、複数のCR認証を行い、
移動機では所望の回数乱数を受信後正しいホーム網で用
いられる乱数を再生し、演算結果をローミング先網に返
送することにより、ローミング先網でのCR認証を行おう
とするものである。

【００４６】

【発明の効果】以上説明したように、本発明によれば、
認証方式の異なる網間でもローミングが可能となる。ま
た、近年ICカードを用いて、暗号関数、秘密鍵の機能を
カード中に収納して、移動機の機能分割がはかられる趨
勢にある。このような場合には、拡大関数を適切にICカ
ード外の移動機機能に分担させることにより、仮に無線
通信方式が異なった網にアクセスする場合でも、ICカー
ドを当該無線通信方式に適した移動機に挿入するのみで
他の数多くの移動網へローミングすることが可能とな
る。また、ローミング先網で２度乱数が送られるような
場合には乱数を分割して転送することにより目的とする
認証を行うことが可能となる。

【図面の簡単な説明】

【図１】本発明の第１の実施例の動作を示すフローチャ
ートである。

【図２】本発明における拡大関数の例を示す図である。

【図３】本発明の第２の実施例の動作を示すフローチャ
ートである。

【図４】本発明の第３の実施例における一括予備認証過
程の動作を示すフローチャートである。

【図５】本発明の第３の実施例における本認証過程の動
作を示すフローチャートである。

【図６】本発明の第４の実施例の動作を示すフローチャ
ートである。

【図７】従来のＣＲ認証方式の動作を示すフローチャー
トである。

【図８】ローミング認証の原理の動作を示すフローチャ
ートである。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号庁内整理番号ＦＩ技術表示箇所Ｈ０４Ｑ 7/34 Ｈ０４Ｑ 7/04 Ｃ (72)発明者山口明東京都新宿区西新宿２丁目３番２号国際電信電話株式会社内 (72)発明者酒井清一郎東京都新宿区西新宿２丁目３番２号国際電信電話株式会社内 (72)発明者水野俊夫東京都新宿区西新宿２丁目３番２号国際電信電話株式会社内

Claims

【特許請求の範囲】

【請求項１】予め同一の秘密鍵が移動機と移動機の本
来属するホーム網のデータベース内に設定、記憶される
と共に同一の暗号関数が移動機とホーム網に備わってお
り、移動機が正当な秘密鍵を有していることを、網側か
ら乱数を移動機に送出して移動機ではその乱数と移動機
の正当な秘密鍵を暗号関数の入力として演算を行った結
果を移動通信網に返すことで証明することにより、移動
機の正当性を確認する移動通信認証方法において、複数の移動通信網が存在する条件下で、移動機がホーム移動通信網以外の移動通信網であるロー
ミング先網にアクセスして通信を行うために、ローミン
グ先網においてローミング先網−移動機間で、ホーム網
−移動機間と同一のアルゴリズムに従った移動機の正当
性を示す認証シーケンスの場合であって、ローミング先
網における乱数伝達ビット長がホーム網で用いられるホ
ーム網の乱数伝達ビット長よりも短い場合に、予め移動機側とローミング先網側に具備し、かつ当該ロ
ーミング先網における乱数伝達ビット長をホーム網にお
ける乱数伝達ビット長に拡大する拡大関数により、ロー
ミング先網における乱数伝達ビット長をホーム網におけ
る乱数伝達ビット長に拡大してホーム網に送って演算を
行い、当該演算結果をローミング先網に返すことによ
り、ローミング先網が少なくとも拡大前の乱数および演
算結果を得、認証用の乱数、演算結果の長さが異なる複
数の移動通信網間での認証を行うことを特徴とする移動
通信認証方法。
【請求項２】予め同一の秘密鍵が移動機と移動機の本
来属するホーム網のデータベース内に設定、記憶される
と共に同一の暗号関数が移動機とホーム網に備わってお
り、移動機が正当な秘密鍵を有していることを、網側か
ら乱数を移動機に送出して移動機ではその乱数と移動機
の正当な秘密鍵を暗号関数の入力として演算を行った結
果を移動通信網に返すことで証明することにより、移動
機の正当性を確認する移動通信認証方法において、複数の移動通信網が存在する条件下で、移動機がホーム移動通信網以外の移動通信網であるロー
ミング先網にアクセスして通信を行うために、ローミン
グ先網においてローミング先網−移動機間で、ホーム網
−移動機間と同一のアルゴリズムに従った移動機の正当
性を示す認証シーケンスの場合であって、ローミング先
網における乱数伝達ビット長がホーム網で用いられるホ
ーム網の乱数伝達ビット長よりも短い場合に、予め移動機側とホーム側に具備し、かつ当該ローミング
先網における乱数伝達ビット長をホーム網における乱数
伝達ビット長に拡大する拡大関数により、ホーム網にお
いてローミング先網から送られたローミング先網におけ
る乱数伝達ビット長をホーム網における乱数伝達ビット
長に拡大して演算を行い、当該演算結果をローミング先
網に返すことにより、ローミング先網が少なくとも拡大
前の乱数および演算結果を得、認証用の乱数、演算結果
の長さが異なる複数の移動通信網間での認証を行うこと
を特徴とする移動通信認証方法。
【請求項３】前記認証シーケンンスと別に、ホーム網
より得られた乱数の他にローミング先網で独自に発生し
た乱数を加え、順序を攪乱して複数の認証を行い、かつ
ホーム網より得られた乱数と演算結果の組を一括予備認
証用に用い、順序を攪乱して予備認証シーケンスを行
い、前記ローミング先網において移動機における暗号演算に
用いる乱数ビット長をホーム網−移動機間における乱数
伝達ビット長に拡大する拡大関数により、ローミング先
網が前記予備認証シーケンスによる、少なくとも拡大前
の乱数および演算結果を得、認証用の乱数、演算結果の
長さが異なる複数の移動通信網間での認証を行う請求項
１又は請求項２のいずれか１項に記載の移動通信認証方
法。
【請求項４】ローミング先網での認証を複数回行い、
当該各々の認証で伝達すべき乱数を分割して送付し、移
動機に適切な乱数を伝達する請求項１又は請求項２のい
ずれか１項に記載の移動通信認証方法。