WO2018012611A1 - 通信システム、加入者情報管理装置、情報取得方法、非一時的なコンピュータ可読媒体、及び通信端末 - Google Patents

通信システム、加入者情報管理装置、情報取得方法、非一時的なコンピュータ可読媒体、及び通信端末 Download PDF

Info

Publication number
WO2018012611A1
WO2018012611A1 PCT/JP2017/025680 JP2017025680W WO2018012611A1 WO 2018012611 A1 WO2018012611 A1 WO 2018012611A1 JP 2017025680 W JP2017025680 W JP 2017025680W WO 2018012611 A1 WO2018012611 A1 WO 2018012611A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication terminal
security
network slice
information
identification information
Prior art date
Application number
PCT/JP2017/025680
Other languages
English (en)
French (fr)
Inventor
伊藤　博紀
アナンド ラガワ プラサド
アンドレアス クンツ
直明 鈴木
田村　利之
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to KR1020197004154A priority Critical patent/KR102140521B1/ko
Priority to EP17827734.9A priority patent/EP3487198A4/en
Priority to JP2018527677A priority patent/JP6773116B2/ja
Priority to EP20194811.4A priority patent/EP3767983A1/en
Priority to KR1020207021917A priority patent/KR102193511B1/ko
Priority to CN201780044013.0A priority patent/CN109479193B/zh
Priority to US16/311,463 priority patent/US20190246270A1/en
Publication of WO2018012611A1 publication Critical patent/WO2018012611A1/ja
Priority to US16/853,403 priority patent/US11153751B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/18—Processing of user or subscriber data, e.g. subscribed services, user preferences or user profiles; Transfer of user or subscriber data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/22—Processing or transfer of terminal data, e.g. status or physical capabilities
    • H04W8/24—Transfer of terminal data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/12—Access point controller devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W92/00—Interfaces specially adapted for wireless communication networks
    • H04W92/16—Interfaces between hierarchically similar devices
    • H04W92/24—Interfaces between hierarchically similar devices between backbone network devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/14—Backbone network devices

Definitions

  • the present disclosure relates to a communication system, a subscriber information management device, an information acquisition method, and a program.
  • the present disclosure relates to a communication system, a subscriber information management device, an information acquisition method, and a program that execute security processing.
  • IoT terminals Many terminals (hereinafter referred to as IoT terminals) that perform communication autonomously without requiring user operation are used for the IoT service. Therefore, in order for a service provider to provide an IoT service using many IoT terminals, it is desired to efficiently accommodate many IoT terminals in a network managed by a communication provider or the like.
  • Non-Patent Document 1 describes the configuration of a core network to which network slicing is applied in Annex IV B.
  • Network slicing is a technique for dividing a core network for each service to be provided in order to efficiently accommodate many IoT terminals.
  • Section 5.1 describes that each divided network (network slice system) needs to be customized and optimized.
  • Section 6.2 of Non-Patent Document 2 describes the configuration of keys used in security processing of EPS (Evolved Packet System).
  • EPS Evolved Packet System
  • USIM Universal Subscriber Identity Module
  • AuC Authentication Center
  • CK Consfidentiality Key
  • IK Integrity Key
  • UE User Equipment
  • HSS Home Subscriber Server
  • K ASME Key Integrity Management Entity
  • security processing such as message encryption and message falsification prevention (message integrity guarantee) is executed using the key generated in this manner.
  • Non-Patent Document 1 When the network slicing disclosed in Non-Patent Document 1 is applied, it is assumed that a different key is used for each network slice system in order to increase the independence of each network slice system and improve security. .
  • the key configuration disclosed in Non-Patent Document 2 indicates that the UE uses one key K ASME in the core network. Therefore, even if the key configuration disclosed in Non-Patent Document 2 is used for a core network to which network slicing is applied, a different key cannot be generated for each network slice system. Therefore, there is a problem that the independence of each network slice system cannot be improved and the security cannot be improved.
  • An object of the present disclosure is to provide a communication system, a subscriber information management device, and information acquisition that can maintain a high security level in each divided network (network slice system) when network slicing is applied to a core network. It is to provide a method and a program.
  • a communication system is used in a subscriber information management apparatus that manages subscriber information of a communication terminal, the communication terminal, and at least one network slice system that can be used by the communication terminal.
  • a security device that associates and manages security information, and the subscriber information management device uses the identification information of the communication terminal and the identification information of the network slice system used by the communication terminal from the security device. The security information used in the network slice system used by the communication terminal is acquired.
  • a subscriber information management device communicates with a security device that associates and manages a communication terminal and security information used in at least one network slice system that can be used by the communication terminal.
  • Security information used in a network slice system used by the communication terminal is acquired from the security device using identification information.
  • An information acquisition method includes a security device that associates and manages a communication terminal and security information that is used in at least one network slice system that can be used by the communication terminal; and the security device Network slice system used by the communication terminal from the security device using the identification information of the communication terminal and the identification information of the network slice system used by the communication terminal The security information used in is acquired.
  • a program includes a security device that associates and manages a communication terminal and security information that is used in at least one network slice system that can be used by the communication terminal, and associates the security device with the security device Used in the network slice system used by the communication terminal from the security device using the identification information of the communication terminal and the identification information of the network slice system used by the communication terminal. To obtain security information to be executed.
  • a high security level can be maintained in each divided network (network slice system), a subscriber information management device, an information acquisition method, And a program can be provided.
  • FIG. 1 is a configuration diagram of a communication system according to a first exemplary embodiment
  • FIG. 3 is a configuration diagram of a communication system according to a second exemplary embodiment.
  • 3 is a configuration diagram of AuC according to a second embodiment.
  • FIG. It is a figure which shows the information which AuC concerning Embodiment 2 manages. It is a block diagram of HSS concerning Embodiment 2.
  • FIG. It is a figure which shows the information which HSS concerning Embodiment 2 manages.
  • It is a block diagram of UE concerning Embodiment 2.
  • FIG. It is a figure which shows the flow of Attach processing concerning Embodiment 2.
  • FIG. It is a figure which shows the flow of the AKA process concerning Embodiment 2.
  • FIG. 6 is a configuration diagram of a communication system according to a third exemplary embodiment. It is a block diagram of UE concerning each embodiment. It is a block diagram of AuC and HSS concerning each embodiment.
  • the communication system of FIG. 1 includes a subscriber information management device 10 and a security device 20.
  • the subscriber information management device 10 and the security device 20 may be computer devices that operate when a processor executes a program stored in a memory.
  • the subscriber information management device 10 manages subscriber information of at least one communication terminal.
  • the communication terminal may be, for example, a mobile phone terminal, a smartphone terminal, a computer device having a communication function, or the like.
  • the communication terminal may be an IoT terminal, an M2M (Machine to Machine) terminal, an MTC (Machine Type to Communication) terminal, or the like.
  • the subscriber information may be, for example, contract information regarding a user who uses the communication terminal, position information of the communication terminal, or information for identifying the communication terminal.
  • the security device 20 manages information that identifies a communication terminal (communication terminal identification information) and security information that is used in at least one network slice system that can be used by the communication terminal.
  • the security information is information unique to each network slice system.
  • the security information may be key information used when authenticating the communication terminal.
  • the security information may be key information used when data encryption or integrity guarantee processing is executed.
  • the security information may be a master key used to generate key information used for authentication or encryption.
  • the security information may be a security algorithm or the like used when executing security processing.
  • the subscriber information management device 10 acquires security information used in the network slice system used by the communication terminal from the security device 20 using the identification information of the communication terminal and the identification information of the network slice system used by the communication terminal. .
  • the subscriber information management apparatus 10 can acquire security information used in the network slice system used by the communication terminal. Therefore, the subscriber information management apparatus 10 can use different security information for each network slice system used by the communication terminal. As a result, the independence of the network slice system can be improved and the security of the entire core network can be improved.
  • FIG. 2 A configuration example of the communication system according to the second embodiment of the present disclosure will be described with reference to FIG. 2 includes a core network 100, a 5G RAN (Radio Access Network) 80, and a UE (User Equipment) 90.
  • the core network 100 may be a network defined in 3GPP (3rd Generation Partnership Project).
  • UE is used as a general term for communication terminals in 3GPP. Although only one UE 90 is shown in FIG. 2, the communication system in FIG. 2 may include a plurality of UEs 90.
  • the 5G RAN80 is a network that provides a radio line to UE90.
  • the 5G5RAN 80 may include a base station, for example, and may further include a base station control device that controls the base station.
  • the 5G RAN 80 is a next-generation RAN that realizes, for example, a low delay and a wideband radio frequency.
  • the RAN used for the next generation is referred to as 5G RAN, but the name of the RAN used for the next generation is not limited to 5G RAN.
  • the core network 100 includes an HSS (Home Subscriber Server) 30, an AuC (Authentication Center) 40, an AuC 50, an AuC 60, a CPF (Control Plane Function) entity 70 (hereinafter referred to as CPF 70), an NS (Nework Slice) system 110, and an NS system. 120 and NS system 130.
  • HSS Home Subscriber Server
  • AuC Authentication Center
  • AuC 50 an AuC
  • AuC 60 a CPF (Control Plane Function) entity 70
  • CPF 70 Control Plane Function
  • NS Network Slice
  • NS system Network Slice
  • the HSS 30 corresponds to the subscriber information management apparatus 10 in FIG.
  • the HSS 30 manages subscriber information regarding the UE 90.
  • the HSS 30 may be replaced with an HLR (Home (Location Register).
  • the HSS 30 has a key management function.
  • the HSS 30 transmits key information to each NS system.
  • the key management function is a function for managing to which node device or NS system the key information related to the UE is transmitted.
  • the key management function is a function for managing the type of key information transmitted to the node device or NS system.
  • the HSS 30 may have a part of the key management function, and other devices may have other functions. Alternatively, a device different from the HSS 30 may have all the functions related to the key management function.
  • AuC40, AuC50, and AuC60 each correspond to the security device 20 of FIG. AuC40 etc. manage the key information used for the security process regarding UE90. Further, the AuC 40 or the like manages parameters related to security processing related to the UE 90.
  • the parameter relating to the security processing may be, for example, a parameter used for NAS (Non Access Stratum) integrity guarantee processing, confidentiality processing, and encryption processing.
  • the NAS is a layer used for communication between the UE 90 or the like and the core network 100.
  • the parameter relating to the security processing may be a parameter used for AS (Access ⁇ Stratum) integrity guarantee processing, confidentiality processing, and encryption processing.
  • AS is a layer used for communication between 5G RAN80 and UE90.
  • the parameter related to security processing may be a parameter that defines the key length.
  • the length of the key is indicated by the number of bits, for example.
  • the parameter relating to the security processing may be a parameter indicating an encryption algorithm, a key generation algorithm, an authentication algorithm, or the like.
  • the CPF 70 is a device that processes C-Plane data related to the UE 90 in the core network 100.
  • the C-Plane data may be referred to as control data. Since the CPF 70 is a device that processes control data, it may be referred to as a control device. Further, the CPF 70 may have a function corresponding to MME (Mobility Management Entity) defined in 3GPP.
  • MME Mobility Management Entity
  • NS system 110 is a communication system used to provide services different from NS system 120 and NS system 130.
  • the NS system 120 is a communication system used for providing a service different from the NS system 130.
  • the service provided by each NS system may be, for example, an automatic driving service, a service related to a smart meter, or a management service for a vending machine. Services provided by the NS system are not limited to these services, and there are various services.
  • the CPF 70 is arranged in the core network 100 and does not belong to any of the NS system 110, the NS system 120, and the NS system 130.
  • the CPF 70 may belong to any of the NS system 110, the NS system 120, and the NS system 130, or each of the NS system 110, the NS system 120, and the NS system 130 may have the CPF 70. Good.
  • the AuC 40 includes a communication unit 41, a security information management unit 42, and an NS key generation unit 43.
  • the communication unit 41 may be a transmission unit (transmitter) and a reception unit (receiver).
  • the communication unit 41, the security information management unit 42, and the NS key generation unit 43 may be software or modules that are processed by a processor executing a program stored in a memory.
  • the communication unit 41, the security information management unit 42, and the NS key generation unit 43 may be hardware such as a circuit or a chip.
  • the communication unit 41 mainly transmits data to and from the HSS 30.
  • the security information management unit 42 manages security information associated with each UE 90.
  • information managed by the security information management unit 42 will be described with reference to FIG.
  • the security information management unit 42 manages an IMSI (International Mobile Subscriber Identity), an NSID (Network Slice Identity), and a master key K in association with each other.
  • IMSI International Mobile Subscriber Identity
  • NSID Network Slice Identity
  • master key K a master key K in association with each other.
  • IMSI International Mobile Subscriber Identity
  • NSID Network Slice Identity
  • FIG. 4 shows that a UE whose IMSI is 001 can use the NS system 110 and the NS system 120. Furthermore, FIG. 4 shows that a master key Ka_001 used for security processing in the NS system 110 is assigned to a UE whose IMSI is 001, and a master key Kb_001 used for security processing in the NS system 120 is assigned. Is shown. Also for a UE whose IMSI is 002, an available NS system and a master key K used for security processing in the NS system are associated with each other.
  • FIG. 4 shows that the security information management unit 42 manages master keys related to a plurality of NS systems, but the security information management unit 42 may manage only the master keys related to one NS system.
  • the AuC 40 may be used as a device that manages the master key K related to the NS system 110.
  • the security information management unit 42 may manage the IMSI and the master key K in association with each other without managing the information regarding the NSID.
  • the NS key generation unit 43 uses the master key K to generate a service key Ksv used in each NS system.
  • the NS key generation unit 43 uses the master key Ka_001 to generate a service key Ksv-A used by the UE whose IMSI is 001 in the NS system 110.
  • the NS key generation unit 43 uses the master key Kb_001 to generate a service key Ksv-B used by the UE having the IMSI of 001 in the NS system 120.
  • a service key Ksv is generated for a UE whose IMSI is 002.
  • the HSS 30 includes a communication unit 31 and an information management unit 32.
  • the communication unit 31 and the information management unit 32 may be software or modules that execute processing when the processor executes a program stored in a memory.
  • the communication unit 31 and the information management unit 32 may be hardware such as a circuit or a chip.
  • the communication unit 31 may be a transmission unit (transmitter) and a reception unit (receiver).
  • the communication unit 31 transmits data to / from the AuC 40, the AuC 50, and the AuC 60. Further, the communication unit 31 transmits data to and from the node device configuring the NS system 110, the node device configuring the NS system 120, and the node device configuring the NS system 130.
  • the information management unit 32 manages information in which the AuC 40 and the like are associated with the NS system.
  • information managed by the information management unit 32 will be described with reference to FIG. FIG. 6 shows that the AuC 40 is associated with the NS system 110 to the NS system 130, and further, the AuC 50 and the NS system 140 to the NS system 160 are associated with each other.
  • the fact that the AuC 40 is associated with the NS system 110 to NS system 130 means that the AuC 40 manages the master key K used for security processing in the NS system 110 to NS system 130 for each UE.
  • the UE 90 includes a communication unit 91 and an NS key generation unit 92.
  • the communication unit 91 and the NS key generation unit 92 may be software or a module that performs processing when the processor executes a program stored in a memory.
  • the communication unit 91 and the NS key generation unit 92 may be hardware such as a circuit or a chip.
  • the communication unit 91 may be a transmission unit (transmitter) and a reception unit (receiver).
  • the communication unit 91 mainly performs data transmission with a base station or the like constituting the 5G RAN 80.
  • the NS key generation unit 92 uses the master key K to generate a service key Ksv used in each NS system. For example, it is assumed that the NS key generation unit 92 can use the NS system 110 and the NS system 120. In this case, the NS key generation unit 92 generates a service key Ksv-A used in the NS system 110 using the master key Ka_001, and generates a service key Ksv-B used in the NS system 120 using the master key Kb_001. To do.
  • the communication unit 91 may have a plurality of SIMs and manage a different master key K for each SIM.
  • Each SIM may be associated with any NS system.
  • the UE 90 starts a connection process with the 5G RAN 80 (S11). For example, the UE 90 connects to the base station via a wireless communication line in order to communicate with the base station arranged in the 5G RAN 80.
  • the UE 90 transmits an Attach request message to the CPF 70 via the 5G RAN 80 (S12).
  • the UE 90 uses a service provided in the NS system 110.
  • the UE 90 transmits an Attach request message in which the IMSI of the UE 90 and the NSID indicating the NS system 110 are set to the CPF 70.
  • the UE 90 may set a plurality of NSIDs.
  • AKA Authentication and Key Agreement
  • the UE 90 sets a plurality of NSIDs in the Attach request message
  • a service key Ksv is generated for each NS system.
  • the AKA process of step S13 it is confirmed whether the service key Ksv generated for each NS system in the UE 90 matches the service key Ksv generated for each NS system in the AuC 40.
  • the service key Ksv may be authenticated by executing a process other than AKA between the UE 90, the CPF 70, the HSS 30, and the AuC 40.
  • the UE 90 can use the service provided in the NS system 110 by using the service key Ksv-A after the AKA process in step S13 is executed. For example, when the UE 90 accesses a device included in the NS system 110, the UE 90 may transmit password information or the like input from a user who operates the UE 90 to the device included in the NS system 110. The device included in the NS system 110 may provide a service to the UE 90 when the validity of the transmitted password can be confirmed.
  • the device included in the NS system 110 may hold a service key Ksv-A related to the UE 90 in advance.
  • an apparatus included in the NS system 110 may acquire the service key Ksv-A from the HSS 30 or the AuC 40.
  • the device included in the NS system 110 executes AKA processing, and provides a service to the UE 90 when the service key Ksv-A held by the own device matches the service key Ksv-A held by the UE 90. May be.
  • FIG. 8 shows that, in step S12, the UE 90 transmits an Attach request message in which the IMSI of the UE 90 and the NSID indicating the NS system 110 are set to the CPF 70.
  • the UE 90 is configured to attach only the IMSI.
  • a request message may be transmitted to the CPF 70.
  • the UE 90 transmits an Attach request message in which IMSI and identification information of the NS system to be used are set to the CPF 70.
  • the CPF 70 transmits an Authentication data request message to the HSS 30 (S21).
  • the authentication data request message includes the IMSI (International Mobile Subscriber Identity) of the UE 90 and the NSID indicating the NS system that the UE 90 desires to use.
  • the NSID is identification information indicating the NS system 110, for example.
  • the HSS 30 transmits an Auth data request message to the AuC 40 (S22).
  • the Auth data create request message includes the IMSI of the UE 90 and the NSID indicating the NS system that the UE 90 desires to use.
  • the NSID is identification information indicating the NS system 110.
  • the HSS 30 can specify the AuC associated with the NSID specified by the UE 90 using the information shown in FIG.
  • the HSS 30 has received an NSID indicating the NS system 110. Therefore, the HSS 30 can specify the destination of the Auth data create request message as AuC 40 using the information shown in FIG.
  • the HSS 30 specifies an AuC that is associated with a predetermined default NS system.
  • the default NS system may be predetermined for each UE, or may be determined according to the priority managed in the HSS 30. The priority may be determined for each UE.
  • the HSS 30 manages information associating the IMSI of the UE 90 with the NS system that can be used by the UE 90 as subscriber information.
  • the HSS 30 can specify an NS system that can be used by the UE 90 by using the IMSI transmitted from the CPF 70.
  • the HSS 30 may manage a plurality of NSIDs to which the UE 90 can be connected as subscriber data. In this case, the HSS 30 may repeatedly transmit the Auth data create request message to the AuC 40 corresponding to all the NSIDs indicated by the subscriber data.
  • the AuC 40 derives a service key Ksv-A using KDF (Key Deriviation Function) (S23).
  • KDF Key Deriviation Function
  • FIG. 10 shows that as a result of master key K, NSID, RAND (Random number), and SQN (Sequence Number) being input to KDF, XRES (Expected Response), AUTN (Authentication token), and service key Ksv are Indicates that it will be output.
  • KDF for example, a derivation function such as HMAC-SHA-256 is used.
  • the master key K input to the KDF is assumed to be a service key Ka associated with the NS system 110.
  • the service key Ksv output from the KDF is assumed to be a service key Ksv-A used in the NS system 110.
  • the AuC 40 transmits an Auth data create response message to the HSS 30 (S24).
  • the Auth data create response message includes RAND, XRES, Ksv-A, Ksv-A_ID, and AUTN.
  • the RAND included in the Authentication data response message is the same as the RAND used as an input parameter when generating Ksv-A or the like in step S23.
  • XRES, Ksv-A, and AUTN are the same as XRES, Ksv-A, and AUTN generated in step S23.
  • Ksv-A_ID is identification information for identifying Ksv-A.
  • HSS30 When HSS30 repeatedly sends Auth data create request message to multiple AuCs, it confirms that the corresponding Auth data create ⁇ ⁇ response message is returned from all AuCs, and then included in each Auth data create response message RAND, XRES, Ksv-A, Ksv-A_ID, and AUTN are set in the Authentication data response message for each corresponding NSID.
  • the HSS 30 transmits an Authentication data response message to the CPF 70 (S25).
  • the Authentication data response message includes RAND, XRES, Ksv-A, Ksv-A_ID, and AUTN included in the Auth data create response message transmitted in step S24.
  • RAND, XRES, Ksv-A, Ksv-A_ID, and AUTN may be set for each NSID.
  • the CPF 70 transmits an Authentication request message to the UE 90 via the 5G RAN 42 (S26).
  • the Authentication request message includes RAND, AUTN, and Ksv-A_ID.
  • RAND, AUTN, and Ksv-A_ID are the RAND, AUTN, and Ksv-A_ID received from the HSS 30 in step S25.
  • the UE 90 sets a plurality of NSIDs in the Attach request message (S12), RAND, AUTN, and Ksv-A_ID for each NSID are set.
  • the UE 90 derives a service key Ksv-A using KDF (S27).
  • KDF KDF
  • the service key Ksv derivation process using KDF in the NS key generation unit 92 of the UE 90 will be described with reference to FIG.
  • FIG. 11 shows that RES (Response), SQN, and service key Ksv are output as a result of inputting master key K, NSID, RAND, and AUTN to KDF.
  • KDF for example, a derivation function such as HMAC-SHA-256 is used.
  • the service key Ka associated with the NS system 110 is used as the master key K input to the KDF.
  • the service key Ksv output from the KDF is assumed to be a service key Ksv-A used in the NS system 110.
  • the UE 90 has an NS system that can be accessed in advance and holds the NSID of the NS system in advance.
  • the UE 90 transmits an Authentication response message to the CPF 70 via the 5G RAN 80 (S28).
  • the Authentication response message includes RES.
  • the RES included in the Authentication response message is the same as the RES generated in step S27.
  • a RES for each NSID is set.
  • the CPF 70 compares the XRES contained in the Authentication data response message received in step S25 with the RES contained in the Authentication response message received in step S28 (S29). In step S29, when the RES and the XRES match, the CPF 70 can determine that the Ksv-A generated in the AuC 40 matches the Ksv-A generated in the UE 90. When a plurality of NSIDs are handled, the CPF 70 performs a comparison between RES and XRES for each NSID. When the RES and the XRES match, the CPF 70 notifies the HSS 30 that the RES and the XRES match or that the authentication related to Ksv-A is successful. Further, the HSS 30 transmits Ksv-A_ID and Ksv-A to the NS system 110.
  • the AuC 40 includes the cause value “No subscription to Network slice” as a response message to the Auth data create request message.
  • the HSS 30 transmits an Authentication data-reject message including the cause value “No” subscription “to” Network “slice” to the CPF 70.
  • the CPF 70 transmits an Authentication failure message including a cause value “Access to Network slice not allowed” to the UE 90.
  • the UE 90 stores that the NSID set in the Attach request message (S12) is not provided on the operator network.
  • the UE 90 may set another NSID and perform the ATTACH procedure toward the same operator network.
  • the CPF 70 transmits an Authentication failure message including a cause value “Network Slice Authentication failed” to the UE 90.
  • the UE 90 stores that the NSID set in the Attach request message (S12) is not provided on the operator network.
  • the UE 90 may set another NSID and perform the ATTACH procedure toward the same operator network.
  • the CPF 70 considers that the authentication has failed, notifies the UE 90 to that effect, and prompts re-ATTACH, or allows the connection only to the authenticated NSID. The following is the operation in each case.
  • the CPF 70 transmits an Authentication failure message including the cause value “Network Slice Authentication failed” to the UE 90.
  • the CPF 70 may set “Authentication status list” indicating the authentication result status of each NSID in the Authentication failure message.
  • the UE 90 may set only the NSID that has been partially successfully authenticated and perform the ATTACH procedure toward the same operator network.
  • the CPF 70 may transmit an Authentication response message including a cause value “Network Slice Authentication partially failed” to the UE 90, assuming that the authentication is partially successful.
  • the CPF 70 may set “Authentication status list” indicating the authentication result status of each NSID in the Authentication response message.
  • the UE 90 recognizes that the authentication has succeeded only for the NSID that has been partially successfully authenticated.
  • the UE 90 may receive only the service provided by the Network Slice that has been partially successfully authenticated.
  • the CPF 70 may notify the authenticated service key Ksv to the Network Slice system shown in FIG. Furthermore, the Network Slice system may further generate a necessary service key using the service key Ksv. Further, the Network Slice system shown in FIG. 2 may perform further authentication operation in conjunction with the HSS 30.
  • the HSS 30 may manage the IMSI of the UE 90 and the NSID that can be used by the UE 90 in association with each other.
  • the HSS 30 receives the Authentication30data request message.
  • the HSS 30 transmits an error message as a response message to the Authentication data request message.
  • the HSS 30 can request association data from each AuC.
  • Each AuC can transmit the updated data to the HSS 30 when the association data is updated.
  • each AuC may manage the IMSI, NSID, and access right in association with each other as shown in FIG. As shown in FIG.
  • the association data is data that associates IMSI, NSID, and access right, for example.
  • FIG. 12 shows that a UE whose IMSI is 003 can access the NS system 110, but cannot access the NS system 120 and the NS system 130. Furthermore, it is indicated that the UE whose IMSI is 004 can access the NS system 140 and the NS system 150 but cannot access the NS system 160.
  • Each AuC transmits the updated data to the HSS 30 when the data shown in FIG.
  • FIG. 13 shows that the UE 95 has moved from an HPLMN (Home Public Land Mobile Network) 101, which is a home network, to a VPLMN (Visited Public Land Mobile Network) 102.
  • HPLMN Home Public Land Mobile Network
  • VPLMN Vehicle Public Land Mobile Network
  • the HPLMN 101 includes an HSS 35, AuC 51, AuC 52, CPF 71, DEA (Diameter Edge Agent) 72, NS system 111, and NS system 112.
  • the UE 95 communicates with the HPLMN 101 via the 5G RAN81.
  • the VPLMN 102 includes an HSS 36, AuC 61, AuC 62, CPF 73, DEA 74, NS system 121, and NS system 122.
  • the UE 95 communicates with the VPLMN 102 via the 5G RAN 82.
  • the DEA 72 and the DEA 74 are devices that relay a Diameter signal.
  • the configuration other than the DEA 72 and the DEA 74 is the same as that of the communication network shown in FIG.
  • the VPLMN 102 executes an Attach process.
  • the UE 95 connects to the CPF 73 via the 5G RAN 82, similarly to the Attach process described in Steps S11 and S12 of FIG.
  • the CPF 73 determines that the UE 95 is a roaming terminal having the HPLMN 101 as a home network as a result of making an inquiry to the HSS 36 in step S13 of FIG. Therefore, the CPF 73 is connected to the CPF 71 via the DEA 74 and the DEA 72.
  • the UE 95 executes AKA processing with the CPF 71 via the CPF 73, the DEA 74, and the DEA 72.
  • the UE 95 desires to use a service provided by the NS system 111 in the HPLMN 101.
  • the UE 95 may perform AKA processing with the CPF 71 and, when the authentication is completed, may communicate with the NS system 111 via the NS system 121, for example.
  • the VPLMN 102 may define an NS system 121 in advance as an NS system that can be used by a roaming terminal.
  • the NS system of the VPLMN 102 corresponding to the NS system 111 of the HPLMN 101 and the NS system of the VPLMN 102 corresponding to the NS system 112 of the HPLMN 101 may be determined in advance.
  • the NS system 111 of the HPLMN 101 and the NS system 121 of the VPLMN 102 may be associated with each other, and the NS system 112 of the HPLMN 101 and the NS system 122 of the VPLMN 102 may be associated with each other.
  • the UE 95 can access the NS system in the HPLMN 101 via the VPLMN 102 even when roaming from the HPLMN 101 to the VPLMN 102.
  • FIG. 14 is a block diagram illustrating a configuration example of the UE 90 and the UE 95.
  • Radio Frequency (RF) transceiver 1101 performs analog RF signal processing to communicate with 5G RANs 80, 81 and 82. Analog RF signal processing performed by the RF transceiver 1101 includes frequency up-conversion, frequency down-conversion, and amplification.
  • RF transceiver 1101 is coupled with antenna 1102 and baseband processor 1103. That is, the RF transceiver 1101 receives modulation symbol data (or OFDM symbol data) from the baseband processor 1103, generates a transmission RF signal, and supplies the transmission RF signal to the antenna 1102. Further, the RF transceiver 1101 generates a baseband received signal based on the received RF signal received by the antenna 1102 and supplies this to the baseband processor 1103.
  • modulation symbol data or OFDM symbol data
  • the baseband processor 1103 performs digital baseband signal processing (data plane processing) and control plane processing for wireless communication.
  • Digital baseband signal processing consists of (a) data compression / decompression, (b) data segmentation / concatenation, (c) ⁇ transmission format (transmission frame) generation / decomposition, and (d) transmission path encoding / decoding.
  • E modulation (symbol mapping) / demodulation
  • IFFT Inverse Fast Fourier Transform
  • control plane processing includes layer 1 (eg, transmission power control), layer 2 (eg, radio resource management, hybrid automatic repeat request (HARQ) processing), and layer 3 (eg, attach, mobility, and call management). Communication management).
  • the digital baseband signal processing by the baseband processor 1103 includes signal processing of Packet Data Convergence Protocol (PDCP) layer, Radio Link Control (RLC) layer, MAC layer, and PHY layer. But you can. Further, the control plane processing by the baseband processor 1103 may include Non-Access Stratum (NAS) protocol, RRC protocol, and MAC ⁇ CE processing.
  • PDCP Packet Data Convergence Protocol
  • RLC Radio Link Control
  • MAC Medium Access Stratum
  • PHY Packet Data Convergence Protocol
  • the control plane processing by the baseband processor 1103 may include Non-Access Stratum (NAS) protocol, RRC protocol, and MAC ⁇ CE processing.
  • NAS Non-Access Stratum
  • the baseband processor 1103 includes a modem processor (eg, Digital Signal Processor (DSP)) that performs digital baseband signal processing and a protocol stack processor (eg, Central Processing Unit (CPU) that performs control plane processing, or Micro Processing Unit. (MPU)).
  • DSP Digital Signal Processor
  • protocol stack processor eg, Central Processing Unit (CPU) that performs control plane processing, or Micro Processing Unit. (MPU)
  • CPU Central Processing Unit
  • MPU Micro Processing Unit.
  • a protocol stack processor that performs control plane processing may be shared with an application processor 1104 described later.
  • the application processor 1104 is also called a CPU, MPU, microprocessor, or processor core.
  • the application processor 1104 may include a plurality of processors (a plurality of processor cores).
  • the application processor 1104 is a system software program (Operating System (OS)) read from the memory 1106 or a memory (not shown) and various application programs (for example, a call application, a web browser, a mailer, a camera operation application, music playback)
  • OS Operating System
  • the baseband processor 1103 and the application processor 1104 may be integrated on a single chip, as shown by the dashed line (1105) in FIG.
  • the baseband processor 1103 and the application processor 1104 may be implemented as one System on Chip (SoC) device 1105.
  • SoC System on Chip
  • An SoC device is sometimes called a system Large Scale Integration (LSI) or chipset.
  • the memory 1106 is a volatile memory, a nonvolatile memory, or a combination thereof.
  • the memory 1106 may include a plurality of physically independent memory devices.
  • the volatile memory is, for example, Static Random Access Memory (SRAM), Dynamic RAM (DRAM), or a combination thereof.
  • the non-volatile memory is a mask Read Only Memory (MROM), Electrically Erasable Programmable ROM (EEPROM), flash memory, hard disk drive, or any combination thereof.
  • the memory 1106 may include an external memory device accessible from the baseband processor 1103, the application processor 1104, and the SoC 1105.
  • Memory 1106 may include an embedded memory device integrated within baseband processor 1103, application processor 1104, or SoC 1105.
  • the memory 1106 may include a memory in a Universal Integrated Circuit Card (UICC).
  • UICC Universal Integrated Circuit Card
  • the memory 1106 may store a software module (computer program) including an instruction group and data for performing processing by the UE 90 and the UE 95 described in the plurality of embodiments.
  • the baseband processor 1103 or application processor 1104 may be configured to read and execute the software module from the memory 1106 to perform the processing of the UE 90 and UE 95 described in the above embodiments. Good.
  • FIG. 15 is a block diagram showing a configuration example of AuC40, AuC50, AuC51, AuC52, AuC60, AuC61, AuC62, HSS30, HSS35, and HSS36 (hereinafter referred to as AuC40 or the like).
  • the AuC 40 or the like includes a network interface 1201, a processor 1202, and a memory 1203.
  • the network interface 1201 is used to communicate with a network node (e.g., eNodeB 130, MME, P-GW).
  • the network interface 1201 may include, for example, a network interface card (NIC) compliant with IEEE 802.3 series.
  • NIC network interface card
  • the processor 1202 reads out and executes software (computer program) from the memory 1203, thereby performing processing such as AuC 40 described using the sequence diagram and the flowchart in the above-described embodiment.
  • the processor 1202 may be, for example, a microprocessor, MPU, or CPU.
  • the processor 1202 may include a plurality of processors.
  • the memory 1203 is configured by a combination of a volatile memory and a nonvolatile memory.
  • Memory 1203 may include storage located remotely from processor 1202. In this case, the processor 1202 may access the memory 1203 via an I / O interface not shown.
  • the memory 1203 is used for storing software module groups.
  • the processor 1202 can perform processing such as the AuC 40 described in the above-described embodiment by reading these software module groups from the memory 1203 and executing them.
  • each of the processors included in the UE 90 and UE 95, AuC 40, AuC 50, AuC 51, AuC 52, 60, AuC 61, AuC 62, HSS 30, HSS 35, and HSS 36 in the above-described embodiment is as follows.
  • One or more programs including a group of instructions for causing a computer to execute the algorithm described with reference to the drawings are executed.
  • the program can be stored and supplied to a computer using various types of non-transitory computer readable media.
  • Non-transitory computer readable media include various types of tangible storage media (tangible storage medium).
  • non-transitory computer-readable media are magnetic recording media (eg flexible disks, magnetic tapes, hard disk drives), magneto-optical recording media (eg magneto-optical discs), Compact Disc Read Only Memory (CD-ROM), CD-ROM R, CD-R / W, semiconductor memory (for example, mask ROM, Programmable ROM (PROM), Erasable PROM (EPROM), flash ROM, Random Access Memory (RAM)).
  • the program may also be supplied to the computer by various types of temporary computer-readable media. Examples of transitory computer readable media include electrical signals, optical signals, and electromagnetic waves.
  • the temporary computer-readable medium can supply the program to the computer via a wired communication path such as an electric wire and an optical fiber, or a wireless communication path.

Abstract

ネットワークスライシングがコアネットワークに適用された場合に、分割されたそれぞれのネットワークにおいて高いセキュリティレベルを維持することができる通信システムを提供することを目的とする。本開示にかかる通信システムは、通信端末の加入者情報を管理する加入者情報管理装置（１０）と、通信端末の識別情報と、通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報とを関連付けて管理するセキュリティ装置（２０）と、を備える。加入者情報管理装置（１０）は、通信端末の識別情報及び通信端末が利用するネットワークスライスシステムの識別情報を用いてセキュリティ装置（２０）から通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得する。

Description

通信システム、加入者情報管理装置、情報取得方法、非一時的なコンピュータ可読媒体、及び通信端末
　本開示は通信システム、加入者情報管理装置、情報取得方法、及び、プログラムに関し、例えばセキュリティ処理を実行する通信システム、加入者情報管理装置、情報取得方法、及び、プログラムに関する。
　近年、ＩｏＴ（Internet of Things）サービスに関する検討が進められている。ＩｏＴサービスには、ユーザの操作を必要とせず、自律的に通信を実行する端末（以下、ＩｏＴ端末とする）が数多く用いられる。そこで、サービス事業者が多くのＩｏＴ端末を用いてＩｏＴサービスを提供するために、通信事業者等が管理するネットワークにおいて、多くのＩｏＴ端末を効率的に収容することが望まれている。
　非特許文献１には、Annex Bにおいて、ネットワークスライシングを適用したコアネットワークの構成が記載されている。ネットワークスライシングは、多くのＩｏＴ端末を効率的に収容するために、提供するサービス毎にコアネットワークを分割する技術である。また、5.1節において、分割されたそれぞれのネットワーク（ネットワークスライスシステム）には、カスタマイズや最適化が必要になることが記載されている。
　一方、非特許文献２の6.2節には、ＥＰＳ（Evolved Packet System）のセキュリティ処理において用いられる鍵の構成が記載されている。具体的には、ＵＳＩＭ（Universal Subscriber Identity Module）及びＡｕＣ（Authentication Center）が、マスター鍵Ｋを有している。ＵＳＩＭ及びＡｕＣは、マスター鍵Ｋを用いて、ＣＫ（Confidentiality Key）及びＩＫ（Integrity Key）を生成する。
　次に、ＵＥ（User Equipment）及びＨＳＳ（Home Subscriber Server）は、ＣＫ、ＩＫ、及び、ＳＮＩＤ（Serving Network Identity）を用いて、鍵ＫＡＳＭＥを生成する。ＳＮＩＤは、通信事業者を識別するＩＤである。次に、ＵＥ及びＭＭＥ（Mobility Management Entity）は、鍵ＫＡＳＭＥを用いて、コアネットワーク及び無線アクセスネットワークのセキュリティ処理に用いられる鍵を生成する。
　ＥＰＳにおいては、このようにして生成された鍵を用いて、メッセージの暗号化及びメッセージの改ざん防止（メッセージの完全性保証）等のセキュリティ処理が実行される。
3GPP TR23.799 V0.2.0 (2016-2) Annex B, 5.1 Key issue 1: Support of network slicing 3GPP TS 33.401 V13.2.0 (2016-03) 6.2 EPS key hierarchy
　非特許文献１に開示されているネットワークスライシングが適用された場合、それぞれのネットワークスライスシステムの独立性を高め、セキュリティを向上させるために、ネットワークスライスシステム毎に異なる鍵を使用することが想定される。しかし、非特許文献２に開示されている鍵の構成は、ＵＥが、コアネットワーク内においては、１つの鍵ＫＡＳＭＥを使用することを示している。そのため、非特許文献２に開示されている鍵の構成を、ネットワークスライシングが適用されたコアネットワークに用いても、ネットワークスライスシステム毎に異なる鍵を生成することができない。そのため、それぞれのネットワークスライスシステムの独立性を高め、セキュリティを向上させることができないという問題がある。
　本開示の目的は、ネットワークスライシングがコアネットワークに適用された場合に、分割されたそれぞれのネットワーク（ネットワークスライスシステム）において高いセキュリティレベルを維持することができる通信システム、加入者情報管理装置、情報取得方法、及び、プログラムを提供することにある。
　本開示の第１の態様にかかる通信システムは、通信端末の加入者情報を管理する加入者情報管理装置と、前記通信端末と、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報とを関連付けて管理するセキュリティ装置と、を備え、前記加入者情報管理装置は、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得するものである。
　本開示の第２の態様にかかる加入者情報管理装置は、通信端末、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と通信する通信部と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理する管理部と、を備え、前記通信部は、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得するものである。
　本開示の第３の態様にかかる情報取得方法は、通信端末、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理し、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得するものである。
　本開示の第４の態様にかかるプログラムは、通信端末、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理し、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得することをコンピュータに実行させるものである。
　本開示により、ネットワークスライシングがコアネットワークに適用された場合に、分割されたそれぞれのネットワーク（ネットワークスライスシステム）において高いセキュリティレベルを維持することができる通信システム、加入者情報管理装置、情報取得方法、及び、プログラムを提供することができる。
実施の形態１にかかる通信システムの構成図である。 実施の形態２にかかる通信システムの構成図である。 実施の形態２にかかるＡｕＣの構成図である。 実施の形態２にかかるＡｕＣが管理する情報を示す図である。 実施の形態２にかかるＨＳＳの構成図である。 実施の形態２にかかるＨＳＳが管理する情報を示す図である。 実施の形態２にかかるＵＥの構成図である。 実施の形態２にかかるＡｔｔａｃｈ処理の流れを示す図である。 実施の形態２にかかるＡＫＡ処理の流れを示す図である。 実施の形態２にかかるＡｕＣにおけるサービス鍵の導出を説明する図である。 実施の形態２にかかるＵＥにおけるサービス鍵の導出を説明する図である。 実施の形態２にかかるＡｕＣが管理する情報を示す図である。 実施の形態３にかかる通信システムの構成図である。 それぞれの実施の形態にかかるＵＥの構成図である。 それぞれの実施の形態にかかるＡｕＣ及びＨＳＳの構成図である。
　（実施の形態１）
　以下、図面を参照して本開示の実施の形態について説明する。図１の通信システムは、加入者情報管理装置１０及びセキュリティ装置２０を有している。加入者情報管理装置１０及びセキュリティ装置２０は、プロセッサがメモリに格納されたプログラムを実行することによって動作するコンピュータ装置であってもよい。
　加入者情報管理装置１０は、少なくとも１つの通信端末の加入者情報を管理する。通信端末は、例えば、携帯電話端末、スマートフォン端末、通信機能を有するコンピュータ装置等であってもよい。通信端末は、ＩｏＴ端末、Ｍ２Ｍ（Machine to Machine）端末、もしくは、ＭＴＣ（Machine Type Communication）端末等であってもよい。
　加入者情報は、例えば、通信端末を利用するユーザに関する契約情報、通信端末の位置情報、もしくは、通信端末を識別する情報等であってもよい。
　セキュリティ装置２０は、通信端末を識別する情報（通信端末の識別情報）と、通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報とを関連付けて管理する。セキュリティ情報は、ネットワークスライスシステムごとに固有の情報である。セキュリティ情報は、通信端末を認証する際に用いられる鍵情報であってもよい。セキュリティ情報は、データの暗号化もしくは完全性保証処理を実行する際に用いられる鍵情報等であってもよい。セキュリティ情報は、認証もしくは暗号化等に用いられる鍵情報を生成するために用いるマスター鍵であってもよい。セキュリティ情報は、セキュリティ処理を実行する際に用いられるセキュリティアルゴリズム等であってもよい。
　加入者情報管理装置１０は、通信端末の識別情報及び通信端末が利用するネットワークスライスシステムの識別情報を用いて、セキュリティ装置２０から、通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得する。
　以上説明したように、図１の通信システムを用いることによって、加入者情報管理装置１０は、通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得することができる。そのため、加入者情報管理装置１０は、通信端末が利用するネットワークスライスシステム毎に異なるセキュリティ情報を用いることができる。その結果、ネットワークスライスシステムの独立性を高め、コアネットワーク全体のセキュリティを向上させることができる。
　（実施の形態２）
　図２を用いて本開示の実施の形態２にかかる通信システムの構成例について説明する。図２の通信システムは、コアネットワーク１００、５Ｇ ＲＡＮ（Radio Access Network）８０、及び、ＵＥ（User Equipment）９０を有している。コアネットワーク１００は、例えば、３ＧＰＰ（3rd Generation Partnership Project）において規定されているネットワークであってもよい。
　ＵＥは、３ＧＰＰにおいて通信端末の総称として用いられる。ＵＥ９０は図２において１つのみ示されているが、図２の通信システムは複数のＵＥ９０を備えていてもよい。
　５Ｇ ＲＡＮ８０は、ＵＥ９０へ無線回線を提供するネットワークである。５Ｇ ＲＡＮ８０は、例えば、基地局を有してもよく、さらに、基地局を制御する基地局制御装置等を有してもよい。５Ｇ ＲＡＮ８０は、例えば、低遅延及び広帯域な無線周波数等を実現する次世代のＲＡＮである。次世代に用いられるＲＡＮとして、５Ｇ ＲＡＮと称しているが、次世代に用いられるＲＡＮの名称は、５Ｇ ＲＡＮに限定されない。
　コアネットワーク１００の構成例について説明する。コアネットワーク１００は、ＨＳＳ（Home Subscriber Server）３０、ＡｕＣ（Authentication Center）４０、ＡｕＣ５０、ＡｕＣ６０、ＣＰＦ（Control Plane Function）エンティティ７０（以下、ＣＰＦ７０とする）、ＮＳ（Nework Slice）システム１１０、ＮＳシステム１２０、及び、ＮＳシステム１３０を有している。各ＡｕＣは、ＨＳＳ３０と同じ装置内にあっても良く、ＡｕＣの一部の機能が、ＨＳＳ３０に実装されてもよい。また、各ＡｕＣは、各ＮＳシステム内に合っても良い。
　ＨＳＳ３０は、図１の加入者情報管理装置１０に相当する。ＨＳＳ３０は、ＵＥ９０に関する加入者情報を管理する。また、ＨＳＳ３０は、ＨＬＲ（Home Location Register）に置き換えられてもよい。ＨＳＳ３０は、鍵管理機能を有する。また、ＨＳＳ３０は、それぞれのＮＳシステムに、鍵情報を送信する。鍵管理機能とは、ＵＥに関する鍵情報をどのノード装置もしくはどのＮＳシステムへ送信したかを管理する機能である。さらに、鍵管理機能は、ノード装置もしくはＮＳシステムへ送信した鍵情報の種類等についても管理する機能である。また、ＨＳＳ３０は、鍵管理機能の一部の機能を有し、その他の機能をＨＳＳ３０と異なる装置が有してもよい。もしくは、鍵管理機能に関する全ての機能を、ＨＳＳ３０と異なる装置が有してもよい。
　ＡｕＣ４０、ＡｕＣ５０、及びＡｕＣ６０（以下、ＡｕＣ４０等とする）各々は、図１のセキュリティ装置２０に相当する。ＡｕＣ４０等は、ＵＥ９０に関するセキュリティ処理に用いる鍵情報を管理する。さらに、ＡｕＣ４０等は、ＵＥ９０に関するセキュリティ処理に関するパラメータを管理する。セキュリティ処理に関するパラメータは、例えば、ＮＡＳ（Non Access Stratum）の完全性保証処理、機密性処理、及び暗号化処理に用いられるパラメータであってもよい。ＮＡＳは、ＵＥ９０等とコアネットワーク１００との間の通信に用いられるレイヤである。セキュリティ処理に関するパラメータは、ＡＳ（Access Stratum）の完全性保証処理、機密性処理、及び暗号化処理に用いられるパラメータであってもよい。ＡＳは、５Ｇ　ＲＡＮ８０と、ＵＥ９０との間の通信に用いられるレイヤである。
　セキュリティ処理に関するパラメータは、鍵の長さを規定するパラメータであってもよい。鍵の長さは、例えば、ビット数によって示される。セキュリティ処理に関するパラメータは、暗号化アルゴリズム、鍵生成アルゴリズム、もしくは、認証アルゴリズム等を示すパラメータであってもよい。
　ＣＰＦ７０は、コアネットワーク１００内において、ＵＥ９０に関するＣ－Ｐｌａｎｅデータを処理する装置である。Ｃ－Ｐｌａｎｅデータは、制御データと称されてもよい。ＣＰＦ７０は、制御データを処理する装置であるため制御装置と称されてもよい。さらに、ＣＰＦ７０は、３ＧＰＰにおいて規定されているＭＭＥ（Mobility Management Entity）に相当する機能を有してもよい。
　ＮＳシステム１１０は、ＮＳシステム１２０及びＮＳシステム１３０と異なるサービスを提供するために用いられる通信システムである。また、ＮＳシステム１２０は、ＮＳシステム１３０と異なるサービスを提供するために用いられる通信システムである。それぞれのＮＳシステムが提供するサービスは、例えば、自動運転サービス、スマートメータに関するサービス、もしくは、自動販売機の管理サービス等であってもよい。ＮＳシステムが提供するサービスは、これらのサービスに限定されず、様々なサービスが存在する。
　図２においては、ＣＰＦ７０は、コアネットワーク１００内に配置され、ＮＳシステム１１０、ＮＳシステム１２０、及びＮＳシステム１３０のいずれにも属していないことを示している。しかし、ＣＰＦ７０は、ＮＳシステム１１０、ＮＳシステム１２０、及びＮＳシステム１３０のいずれかに属してもよく、もしくは、ＮＳシステム１１０、ＮＳシステム１２０、及びＮＳシステム１３０のそれぞれが、ＣＰＦ７０を有してもよい。
　続いて、図３を用いて本開示の実施の形態２にかかるＡｕＣ４０の構成例について説明する。ＡｕＣ５０及びＡｕＣ６０は、ＡｕＣ４０と同様の構成を有している。ＡｕＣ４０は、通信部４１、セキュリティ情報管理部４２、及び、ＮＳ鍵生成部４３を有している。通信部４１は、送信部（transmitter）及び受信部(receiver)であってもよい。
　通信部４１、セキュリティ情報管理部４２、及びＮＳ鍵生成部４３は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。通信部４１、セキュリティ情報管理部４２、及びＮＳ鍵生成部４３は、回路もしくはチップ等のハードウェアであってもよい。
　通信部４１は、主に、ＨＳＳ３０との間においてデータを伝送する。
　セキュリティ情報管理部４２は、ＵＥ９０毎に関連付けられたセキュリティ情報を管理する。ここで、図４を用いて、セキュリティ情報管理部４２が管理する情報について説明する。セキュリティ情報管理部４２は、ＩＭＳＩ（International Mobile Subscriber Identity）と、ＮＳＩＤ（Network Slice Identity）及びマスター鍵Ｋとを関連付けて管理している。ＩＭＳＩは、ＵＥ９０を識別するために用いられる識別情報である。ＮＳＩＤは、ＮＳシステムを識別するために用いられる識別情報である。
　図４は、ＩＭＳＩが００１であるＵＥが、ＮＳシステム１１０及びＮＳシステム１２０を利用することができることを示している。さらに、図４は、ＩＭＳＩが００１であるＵＥに対して、ＮＳシステム１１０におけるセキュリティ処理に用いられるマスター鍵Ｋａ＿００１が割り当てられ、ＮＳシステム１２０におけるセキュリティ処理に用いられるマスター鍵Ｋｂ＿００１が割り当てられていることを示している。ＩＭＳＩが００２であるＵＥに関しても、利用可能なＮＳシステムと、そのＮＳシステムにおけるセキュリティ処理に用いられるマスター鍵Ｋとが関連付けられている。
　図４は、セキュリティ情報管理部４２が複数のＮＳシステムに関するマスター鍵を管理することを示しているが、セキュリティ情報管理部４２は、一つのＮＳシステムに関するマスター鍵のみを管理してもよい。例えば、ＡｕＣ４０は、ＮＳシステム１１０に関するマスター鍵Ｋを管理する装置として用いられてもよい。この場合、セキュリティ情報管理部４２は、ＮＳＩＤに関する情報を管理せず、ＩＭＳＩとマスター鍵Ｋとを関連付けて管理してもよい。
　図３に戻り、ＮＳ鍵生成部４３は、マスター鍵Ｋを用いて、それぞれのＮＳシステムにおいて用いられるサービス鍵Ｋｓｖを生成する。例えば、ＮＳ鍵生成部４３は、マスター鍵Ｋａ＿００１を用いて、ＩＭＳＩが００１であるＵＥが、ＮＳシステム１１０において用いられるサービス鍵Ｋｓｖ－Ａを生成する。さらに、ＮＳ鍵生成部４３は、マスター鍵Ｋｂ＿００１を用いて、ＩＭＳＩが００１であるＵＥが、ＮＳシステム１２０において用いられるサービス鍵Ｋｓｖ－Ｂを生成する。ＩＭＳＩが００２であるＵＥに対しても同様に、サービス鍵Ｋｓｖを生成する。
　図５を用いて本開示の実施の形態２にかかるＨＳＳ３０の構成例について説明する。ＨＳＳ３０は、通信部３１及び情報管理部３２を有している。通信部３１及び情報管理部３２は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。もしくは、通信部３１及び情報管理部３２は、回路もしくはチップ等のハードウェアであってもよい。通信部３１は、送信部（transmitter）及び受信部(receiver)であってもよい。
　通信部３１は、ＡｕＣ４０、ＡｕＣ５０、及びＡｕＣ６０との間においてデータを伝送する。さらに、通信部３１は、ＮＳシステム１１０を構成するノード装置、ＮＳシステム１２０を構成するノード装置、及び、ＮＳシステム１３０を構成するノード装置との間においてデータを伝送する。
　情報管理部３２は、ＡｕＣ４０等とＮＳシステムとを関連付けた情報を管理している。ここで、図６を用いて、情報管理部３２が管理する情報について説明する。図６は、ＡｕＣ４０と、ＮＳシステム１１０～ＮＳシステム１３０とが関連付けられており、さらに、ＡｕＣ５０とＮＳシステム１４０～ＮＳシステム１６０とが関連付けられていることを示している。ＡｕＣ４０とＮＳシステム１１０～ＮＳシステム１３０とが関連付けられているとは、ＡｕＣ４０が、ＵＥ毎に、ＮＳシステム１１０～ＮＳシステム１３０においてセキュリティ処理に用いられるマスター鍵Ｋを管理していることである。
　図７を用いて本開示の実施の形態２にかかるＵＥ９０の構成例について説明する。ＵＥ９０は、通信部９１及びＮＳ鍵生成部９２を有している。通信部９１及びＮＳ鍵生成部９２は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。もしくは、通信部９１及びＮＳ鍵生成部９２は、回路もしくはチップ等のハードウェアであってもよい。通信部９１は、送信部（transmitter）及び受信部(receiver)であってもよい。
　通信部９１は、主に、５Ｇ ＲＡＮ８０を構成する基地局等との間においてデータ伝送を行う。
　ＮＳ鍵生成部９２は、マスター鍵Ｋを用いて、それぞれのＮＳシステムにおいて用いられるサービス鍵Ｋｓｖを生成する。例えば、ＮＳ鍵生成部９２は、ＮＳシステム１１０及びＮＳシステム１２０を利用することができるとする。この場合、ＮＳ鍵生成部９２は、マスター鍵Ｋａ＿００１を用いて、ＮＳシステム１１０において用いるサービス鍵Ｋｓｖ－Ａを生成し、マスター鍵Ｋｂ＿００１を用いて、ＮＳシステム１２０において用いるサービス鍵Ｋｓｖ－Ｂを生成する。
　例えば、通信部９１は、複数のＳＩＭを有し、ＳＩＭ毎に異なるマスター鍵Ｋを管理してもよい。また、それぞれのＳＩＭは、いずれかのＮＳシステムと対応付けられていてもよい。
　図８を用いて本開示の実施の形態２にかかるＵＥ９０に関するＡｔｔａｃｈ処理の流れについて説明する。
　はじめに、ＵＥ９０は、５Ｇ ＲＡＮ８０との間において接続処理を開始する（Ｓ１１）。例えば、ＵＥ９０は、５Ｇ　ＲＡＮ８０に配置されている基地局と通信を行うために、無線通信回線を介して基地局と接続する。
　次に、ＵＥ９０は、５Ｇ　ＲＡＮ８０を介してＣＰＦ７０へAttach requestメッセージを送信する（Ｓ１２）。ＵＥ９０は、例えば、ＮＳシステム１１０において提供されているサービスを利用する。この場合、ＵＥ９０は、ＵＥ９０のＩＭＳＩ及びＮＳシステム１１０を示すＮＳＩＤ、を設定したAttach requestメッセージをＣＰＦ７０に送信する。ＵＥ９０は、複数のＮＳＩＤを設定しても構わない。
　次に、ＵＥ９０、ＣＰＦ７０、ＨＳＳ３０、及び、ＡｕＣ４０の間においてＡＫＡ（Authentication and Key Agreement）処理を実行する（Ｓ１３）。ステップＳ１３におけるＡＫＡ処理を実行することによって、ＵＥ９０において生成されたサービス鍵Ｋｓｖ－Ａと、ＡｕＣ４０において生成されたサービス鍵Ｋｓｖ－Ａとが一致することを、ＵＥ９０及びＨＳＳ３０において確認することができる。ＵＥ９０がAttach requestメッセージに複数のＮＳＩＤを設定した場合、ＮＳシステム毎に、サービス鍵Ｋｓｖが生成される。この場合、ステップＳ１３のＡＫＡ処理において、ＵＥ９０においてＮＳシステム毎に生成されたサービス鍵Ｋｓｖと、ＡｕＣ４０においてＮＳシステム毎に生成されたサービス鍵Ｋｓｖとが一致するかを確認する。ＵＥ９０、ＣＰＦ７０、ＨＳＳ３０、及び、ＡｕＣ４０の間において、ＡＫＡ以外の処理が実行されることによって、サービス鍵Ｋｓｖの認証が行われててもよい。
　ＵＥ９０は、ステップＳ１３におけるＡＫＡ処理が実行された後に、サービス鍵Ｋｓｖ－Ａを用いて、ＮＳシステム１１０において提供されているサービスを利用することができる。例えば、ＵＥ９０が、ＮＳシステム１１０が有する装置に対してアクセスする際に、ＵＥ９０は、ＵＥ９０を操作するユーザから入力されたパスワード情報等を、ＮＳシステム１１０が有する装置へ送信してもよい。ＮＳシステム１１０が有する装置は、送信されたパスワードの正当性を確認できた場合に、ＵＥ９０に対してサービスを提供してもよい。
　もしくは、ＮＳシステム１１０が有する装置は、ＵＥ９０に関するサービス鍵Ｋｓｖ－Ａを予め保持していてもよい。例えば、ＮＳシステム１１０が有する装置は、ＨＳＳ３０もしくはＡｕＣ４０からサービス鍵Ｋｓｖ－Ａを取得してもよい。ＮＳシステム１１０が有する装置は、ＡＫＡ処理を実行し、自装置が保持するサービス鍵Ｋｓｖ－Ａと、ＵＥ９０が保持するサービス鍵Ｋｓｖ－Ａとが一致する場合に、ＵＥ９０に対してサービスを提供してもよい。
　図８においては、ステップＳ１２において、ＵＥ９０が、ＵＥ９０のＩＭＳＩ及びＮＳシステム１１０を示すＮＳＩＤを設定したAttach requestメッセージをＣＰＦ７０へ送信することを示している。一方、ＵＥ９０が利用することができるＮＳシステムが一つだけであり、ＨＳＳ３０において、ＵＥ９０が利用することができるＮＳシステムが加入者情報として管理されている場合、ＵＥ９０は、ＩＭＳＩのみを設定したAttach requestメッセージをＣＰＦ７０へ送信してもよい。ＵＥ９０が利用することができるＮＳシステムが複数ある場合、ＵＥ９０は、ＩＭＳＩ及び利用するＮＳシステムの識別情報を設定したAttach requestメッセージをＣＰＦ７０へ送信する。
　図９を用いて、図８のステップＳ１３におけるＡＫＡ処理の詳細について説明する。はじめに、ＣＰＦ７０は、ＨＳＳ３０へAuthentication data requestメッセージを送信する（Ｓ２１）。Authentication data requestメッセージには、ＵＥ９０のＩＭＳＩ（International Mobile Subscriber Identity）、及び、ＵＥ９０が利用を希望するＮＳシステムを示すＮＳＩＤが含まれる。ＮＳＩＤは、例えば、ＮＳシステム１１０を示す識別情報である。
　次に、ＨＳＳ３０は、ＡｕＣ４０へAuth data create requestメッセージを送信する（Ｓ２２）。Auth data create requestメッセージには、ＵＥ９０のＩＭＳＩ、及び、ＵＥ９０が利用を希望するＮＳシステムを示すＮＳＩＤが含まれる。図９においては、ＮＳＩＤは、ＮＳシステム１１０を示す識別情報であるとする。ＨＳＳ３０は、図６に示す情報を用いて、ＵＥ９０が指定するＮＳＩＤと関連付けられているＡｕＣを特定することができる。ここでは、ＨＳＳ３０は、ＮＳシステム１１０を示すＮＳＩＤを受信している。そのため、ＨＳＳ３０は、Auth data create requestメッセージの送信先を、図６に示す情報を用いて、ＡｕＣ４０と特定することができる。ＵＥ９０が、ＮＳＩＤを指定しなかった場合、ＨＳＳ３０は、予め定められたデフォルトＮＳシステムと関連付けられているＡｕＣを特定する。デフォルトＮＳシステムは、ＵＥ毎に予め定められていてもよく、ＨＳＳ３０において管理されている優先度に従って定められてもよい。優先度は、ＵＥ毎に定められてもよい。
　ＵＥ９０が利用可能なＮＳシステムが１つのみであり、ＨＳＳ３０が、ＵＥ９０のＩＭＳＩと、ＵＥ９０が利用可能なＮＳシステムとを関連付ける情報を加入者情報として管理しているとする。この場合、ＨＳＳ３０は、ＣＰＦ７０から送信されるＩＭＳＩを用いて、ＵＥ９０が利用可能なＮＳシステムを特定することができる。ＨＳＳ３０は、ＵＥ９０が接続可能な複数のＮＳＩＤを加入者データとして管理している場合がある。この場合、ＨＳＳ３０は加入者データが示すすべてのＮＳＩＤに対応するＡｕＣ４０等へAuth data create requestメッセージを繰り返し送信してもかまわない。
　次に、ＡｕＣ４０は、ＫＤＦ（Key Deriviation Function）を用いて、サービス鍵Ｋｓｖ－Ａを導出する（Ｓ２３）。ここで、図１０を用いて、ＡｕＣ４０のＮＳ鍵生成部４３における、ＫＤＦを用いたサービス鍵Ｋｓｖの導出処理について説明する。
　図１０は、ＫＤＦへ、マスター鍵Ｋ、ＮＳＩＤ、ＲＡＮＤ（Random number）、及び、ＳＱＮ（Sequence Number）が入力された結果、ＸＲＥＳ（Expected Response）、ＡＵＴＮ（Authentication token）、及び、サービス鍵Ｋｓｖが出力されることを示している。ＫＤＦは、例えば、HMAC-SHA-256等の導出関数が用いられる。ここで、ＫＤＦへ入力されるマスター鍵Ｋは、ＮＳシステム１１０に関連付けられているサービス鍵Ｋａとする。さらに、ＫＤＦから出力されるサービス鍵Ｋｓｖは、ＮＳシステム１１０において用いられるサービス鍵Ｋｓｖ－Ａとする。
　図９に戻り、ＡｕＣ４０は、ＨＳＳ３０へAuth data create responseメッセージを送信する（Ｓ２４）。Auth data create responseメッセージには、ＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ－Ａ、Ｋｓｖ－Ａ＿ＩＤ、及び、ＡＵＴＮが含まれる。Authentication data responseメッセージに含まれるＲＡＮＤは、ステップＳ２３において、Ｋｓｖ－Ａ等を生成する際に入力パラメータとして用いられたＲＡＮＤと同様である。ＸＲＥＳ、Ｋｓｖ－Ａ、及び、ＡＵＴＮは、ステップＳ２３において生成されたＸＲＥＳ、Ｋｓｖ－Ａ、及び、ＡＵＴＮと同様である。Ｋｓｖ－Ａ＿ＩＤは、Ｋｓｖ－Ａを識別する識別情報である。ＨＳＳ３０が、複数のＡｕＣにAuth data create requestメッセージを繰り返し送信した場合は、すべてのＡｕＣから対応するAuth data create responseメッセージが返送される事を確認し、その後、各Auth data create responseメッセージに含まれるＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ－Ａ、Ｋｓｖ－Ａ＿ＩＤ、及び、ＡＵＴＮを、対応するＮＳＩＤ毎にAuthentication data responseメッセージに設定する。
　次に、ＨＳＳ３０は、ＣＰＦ７０へAuthentication data responseメッセージを送信する（Ｓ２５）。Authentication data responseメッセージには、ステップＳ２４において送信されたAuth data create responseメッセージに含まれていたＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ－Ａ、Ｋｓｖ－Ａ＿ＩＤ、及び、ＡＵＴＮが含まれる。ＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ－Ａ、Ｋｓｖ－Ａ＿ＩＤ、及び、ＡＵＴＮは、ＮＳＩＤ毎に設定される場合もある。
　次に、ＣＰＦ７０は、５Ｇ　ＲＡＮ４２を介してＵＥ９０へAuthentication requestメッセージを送信する（Ｓ２６）。Authentication requestメッセージには、ＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ－Ａ＿ＩＤが含まれる。ＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ－Ａ＿ＩＤは、ステップＳ２５においてＨＳＳ３０から受信したＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ－Ａ＿ＩＤである。ＵＥ９０が、Attach requestメッセージ（Ｓ１２）で複数のＮＳＩＤを設定した場合は、ＮＳＩＤ毎のＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ－Ａ＿ＩＤが設定される。
　次に、ＵＥ９０は、ＫＤＦを用いて、サービス鍵Ｋｓｖ－Ａを導出する（Ｓ２７）。ここで、図１１を用いて、ＵＥ９０のＮＳ鍵生成部９２における、ＫＤＦを用いたサービス鍵Ｋｓｖの導出処理について説明する。
　図１１は、ＫＤＦへ、マスター鍵Ｋ、ＮＳＩＤ、ＲＡＮＤ、及び、ＡＵＴＮが入力された結果、ＲＥＳ（Response）、ＳＱＮ、及び、サービス鍵Ｋｓｖが出力されることを示している。ＫＤＦは、例えば、HMAC-SHA-256等の導出関数が用いられる。ここで、ＫＤＦへ入力されるマスター鍵Ｋは、ＮＳシステム１１０に関連付けられているサービス鍵Ｋａが用いられるとする。さらに、ＫＤＦから出力されるサービス鍵Ｋｓｖは、ＮＳシステム１１０において用いられるサービス鍵Ｋｓｖ－Ａとする。なお、ここでは、ＵＥ９０は、アクセスできるＮＳシステムが事前に決められており、そのＮＳシステムのＮＳＩＤをあらかじめ保持していることを前提としている。
　図９に戻り、ＵＥ９０は、５Ｇ ＲＡＮ８０を介してＣＰＦ７０へAuthentication responseメッセージを送信する（Ｓ２８）。Authentication responseメッセージには、ＲＥＳが含まれる。Authentication responseメッセージに含まれるＲＥＳは、ステップＳ２７において生成されたＲＥＳと同様である。Authentication requestメッセージ（Ｓ２６）に複数のＮＳＩＤが設定された場合は、ＮＳＩＤ毎のＲＥＳが設定される。
　次に、ＣＰＦ７０は、ステップＳ２５において受信したAuthentication data responseメッセージに含まれるＸＲＥＳと、ステップＳ２８において受信したAuthentication responseメッセージに含まれるＲＥＳとを比較する（Ｓ２９）。ステップＳ２９において、ＣＰＦ７０は、ＲＥＳとＸＲＥＳとが一致する場合、ＡｕＣ４０において生成されたＫｓｖ－Ａと、ＵＥ９０において生成されたＫｓｖ－Ａとが一致すると判定することができる。複数のＮＳＩＤが扱われる場合は、ＣＰＦ７０は、ＲＥＳとＸＲＥＳとの比較をＮＳＩＤ毎に実行される。ＣＰＦ７０は、ＲＥＳとＸＲＥＳとが一致した場合、ＲＥＳとＸＲＥＳとが一致したこと、もしくは、Ｋｓｖ－Ａに関する認証が成功したことをＨＳＳ３０へ通知する。さらに、ＨＳＳ３０は、Ｋｓｖ－Ａ＿ＩＤとＫｓｖ－ＡとをＮＳシステム１１０へ送信する。
　次に、ＵＥ９０に関するＡＫＡ処理がエラーとなる場合について説明する。例えば、ＡｕＣ４０は、Auth data create requestに設定されたＮＳＩＤを、ＵＥ９０が利用可能でない場合、Auth data create requestメッセージに対する応答メッセージとしてＡｕＣ４０は、cause値”No subscription to Network slice”を含むAuth data create errorメッセージをＨＳＳ３０に送信する。更に、ＨＳＳ３０は、cause値”No subscription to Network slice”を含むAuthentication data rejectメッセージをＣＰＦ７０に送信する。更に、ＣＰＦ７０は、cause値”Access to Network slice not allowed”を含むAuthentication failureメッセージをＵＥ９０に送信する。この場合、ＵＥ９０はAttach requestメッセージ（Ｓ１２）で設定したＮＳＩＤがオペレータネットワークで提供されない事を記憶する。また、この場合、ＵＥ９０は別のＮＳＩＤを設定し同一オペレータネットワークに向けてＡＴＴＡＣＨ手順を行ってもかまわない。
　また、ステップＳ２９の認証に失敗した場合、ＣＰＦ７０は、cause値”Network Slice Authentication failed” を含むAuthentication failureメッセージをＵＥ９０に送信する。この場合、ＵＥ９０はAttach requestメッセージ（Ｓ１２）で設定したＮＳＩＤがオペレータネットワークで提供されない事を記憶する。また、この場合、ＵＥ９０は別のＮＳＩＤを設定し同一オペレータネットワークに向けてＡＴＴＡＣＨ手順を行ってもかまわない。
　また、複数のＮＳＩＤに対して行われた認証について一部のＮＳＩＤのみに関する認証が成功した場合の動作について説明する。この場合、ＣＰＦ７０は、認証が失敗したとみなしＵＥ９０にその旨を通知し再ＡＴＴＡＣＨを促す場合と、認証されたＮＳＩＤのみに対して接続を許容する場合とがある。以下がそれぞれの場合の動作である。
　認証が失敗したとみなしＵＥ９０にその旨を通知し再ＡＴＴＡＣＨを促す場合：
ＣＰＦ７０は、cause値”Network Slice Authentication failed” を含むAuthentication failureメッセージををＵＥ９０に送信する。この場合、ＣＰＦ７０は、各ＮＳＩＤの認証結果状況を示す”Authentication status list”をAuthentication failureメッセージに設定してもかまわない。この場合、ＵＥ９０は部分的に認証が成功したＮＳＩＤのみを設定し同一オペレータネットワークに向けてＡＴＴＡＣＨ手順を行ってもかまわない。
　認証されたＮＳＩＤのみに対して接続を許容する場合：
ＣＰＦ７０は、部分的に認証が成功したとしてcause値”Network Slice Authentication partially failed” を含むAuthentication responseメッセージををＵＥ９０に送信しても良い。この場合、ＣＰＦ７０は、各ＮＳＩＤの認証結果状況を示す”Authentication status list”をAuthentication responseメッセージに設定してもかまわない。この場合、ＵＥ９０は部分的に認証が成功したＮＳＩＤのみに対して認証が成功した事を認識する。この場合、ＵＥ９０は部分的に認証が成功したNetwork Sliceで提供されるサービスのみを享受してもかまわない。
　次にＵＥ９０が、Attach requestメッセージ（Ｓ１２）に設定したＮＳＩＤに対する認証が成功した場合の動作について説明する。ＣＰＦ７０は、認証したサービス鍵Ｋｓｖを図２に示されるNetwork Sliceシステムに通知してもよい。更にNetwork Sliceシステムは、サービス鍵Ｋｓｖを利用して必要なサービス鍵を更に生成しても構わない。また、図２に示されるNetwork Sliceシステムは、ＨＳＳ３０と連動して更なる認証動作を行っても構わない。
　また、ＨＳＳ３０は、ＵＥ９０のＩＭＳＩと、ＵＥ９０が利用可能なＮＳＩＤとを関連付けて管理していてもよい。この場合、ステップＳ２１において、ＨＳＳ３０は、Authentication data requestメッセージを受信する。Authentication data requestメッセージに設定されたＮＳＩＤを、ＵＥ９０が利用可能でない場合、ＨＳＳ３０は、Authentication data requestメッセージに対する応答メッセージとしてエラーメッセージを送信する。ＨＳＳ３０は、各ＡｕＣに関連付けデータを要求することができる。また、各ＡｕＣは、関連付けデータを更新した場合に、ＨＳＳ３０に更新したデータを送信することができる。例えば、各ＡｕＣは、図１２に示すように、ＩＭＳＩ、ＮＳＩＤ、及びアクセス権とを関連付けて管理してもよい。関連付けデータは、図１２に示すように、例えば、ＩＭＳＩ、ＮＳＩＤ、及びアクセス権とを関連付けたデータである。図１２は、ＩＭＳＩが００３であるＵＥは、ＮＳシステム１１０にはアクセスすることができるが、ＮＳシステム１２０及びＮＳシステム１３０にはアクセスすることができないことを示している。さらに、ＩＭＳＩが００４であるＵＥは、ＮＳシステム１４０及びＮＳシステム１５０にはアクセスすることができるが、ＮＳシステム１６０にはアクセスすることができないことを示している。各ＡｕＣは、図１２に示すデータを更新した場合、更新したデータをＨＳＳ３０へ送信する。
　（実施の形態３）
　続いて、図１３を用いて本開示の実施の形態３にかかる通信システムの構成例について説明する。図１３は、ＵＥ９５が、ホーム網であるＨＰＬＭＮ（Home Public Land Mobile Network）１０１からＶＰＬＭＮ（Visited Public Land Mobile Network）１０２へ移動したことを示している。言い換えると、図１３は、ＵＥ９５が、ＨＰＬＭＮ１０１からＶＰＬＭＮ１０２へローミングしたことを示している。
　ＨＰＬＭＮ１０１は、ＨＳＳ３５、ＡｕＣ５１、ＡｕＣ５２、ＣＰＦ７１、ＤＥＡ（Diameter Edge Agent）７２、ＮＳシステム１１１、及び、ＮＳシステム１１２を有している。ＵＥ９５は、５Ｇ ＲＡＮ８１を介してＨＰＬＭＮ１０１と通信を行う。また、ＶＰＬＭＮ１０２は、ＨＳＳ３６、ＡｕＣ６１、ＡｕＣ６２、ＣＰＦ７３、ＤＥＡ７４、ＮＳシステム１２１、及び、ＮＳシステム１２２を有している。ＵＥ９５は、５Ｇ ＲＡＮ８２を介してＶＰＬＭＮ１０２と通信を行う。ＤＥＡ７２及びＤＥＡ７４は、Diameter信号を中継する装置である。ＤＥＡ７２及びＤＥＡ７４以外の構成については、図２に示す通信ネットワークと同様である。
　ＵＥ９５が、ＨＰＬＭＮ１０１からＶＰＬＭＮ１０２へ移動した場合、ＶＰＬＭＮ１０２においてＡｔｔａｃｈ処理を実行する。この場合、ＵＥ９５は、図８のステップＳ１１及びＳ１２において説明したＡｔｔａｃｈ処理と同様に、５Ｇ ＲＡＮ８２を介してＣＰＦ７３へ接続する。
　次に、ＣＰＦ７３は、図８のステップＳ１３において、ＨＳＳ３６へ問い合わせた結果、ＵＥ９５がＨＰＬＭＮ１０１をホーム網とするローミング端末であると決定する。そのため、ＣＰＦ７３は、ＤＥＡ７４及びＤＥＡ７２を介してＣＰＦ７１に接続する。ＵＥ９５は、ＣＰＦ７３、ＤＥＡ７４、及びＤＥＡ７２を介して、ＣＰＦ７１との間において、ＡＫＡ処理を実行する。ＵＥ９５は、例えば、ＨＰＬＭＮ１０１におけるＮＳシステム１１１が提供するサービスを利用することを要望しているとする。この場合、ＵＥ９５は、ＣＰＦ７１との間においてＡＫＡ処理を実行し、認証が完了すると、例えば、ＮＳシステム１２１を介してＮＳシステム１１１と通信を行ってもよい。
　ＶＰＬＭＮ１０２は、ローミング端末が利用可能なＮＳシステムとして、予めＮＳシステム１２１を定めていてもよい。もしくは、ＨＰＬＭＮ１０１のＮＳシステム１１１に対応するＶＰＬＭＮ１０２のＮＳシステム、および、ＨＰＬＭＮ１０１のＮＳシステム１１２に対応するＶＰＬＭＮ１０２のＮＳシステムが予め定められていてもよい。例えば、ＨＰＬＭＮ１０１のＮＳシステム１１１とＶＰＬＭＮ１０２のＮＳシステム１２１とを対応付け、ＨＰＬＭＮ１０１のＮＳシステム１１２とＶＰＬＭＮ１０２のＮＳシステム１２２とを対応付けてもよい。
　以上説明したように、ＵＥ９５は、ＨＰＬＭＮ１０１からＶＰＬＭＮ１０２へローミングした場合であっても、ＶＰＬＭＮ１０２を介してＨＰＬＭＮ１０１におけるＮＳシステムへアクセスすることができる。
　続いて以下では、上述の複数の実施形態で説明されたUE９０、AuC４０～６０、及び、ＨＳＳ３０の構成例について説明する。
　図１４は、UE９０及びＵＥ９５の構成例を示すブロック図である。Radio Frequency（RF）トランシーバ１１０１は、５Ｇ ＲＡＮ８０、８１及び８２と通信するためにアナログRF信号処理を行う。RFトランシーバ１１０１により行われるアナログRF信号処理は、周波数アップコンバージョン、周波数ダウンコンバージョン、及び増幅を含む。RFトランシーバ１１０１は、アンテナ１１０２及びベースバンドプロセッサ１１０３と結合される。すなわち、RFトランシーバ１１０１は、変調シンボルデータ（又はOFDMシンボルデータ）をベースバンドプロセッサ１１０３から受信し、送信RF信号を生成し、送信RF信号をアンテナ１１０２に供給する。また、RFトランシーバ１１０１は、アンテナ１１０２によって受信された受信ＲＦ信号に基づいてベースバンド受信信号を生成し、これをベースバンドプロセッサ１１０３に供給する。
　ベースバンドプロセッサ１１０３は、無線通信のためのデジタルベースバンド信号処理（データプレーン処理）とコントロールプレーン処理を行う。デジタルベースバンド信号処理は、(a) データ圧縮／復元、(b) データのセグメンテーション／コンカテネーション、(c) 伝送フォーマット（伝送フレーム）の生成／分解、(d) 伝送路符号化／復号化、(e) 変調（シンボルマッピング）／復調、及び(f) Inverse Fast Fourier Transform（IFFT）によるOFDMシンボルデータ（ベースバンドOFDM信号）の生成などを含む。一方、コントロールプレーン処理は、レイヤ１（e.g., 送信電力制御）、レイヤ２（e.g., 無線リソース管理、及びhybrid automatic repeat request（HARQ）処理）、及びレイヤ３（e.g., アタッチ、モビリティ、及び通話管理に関するシグナリング）の通信管理を含む。
　例えば、LTEおよびLTE-Advancedの場合、ベースバンドプロセッサ１１０３によるデジタルベースバンド信号処理は、Packet Data Convergence Protocol（PDCP）レイヤ、Radio Link Control（RLC）レイヤ、MACレイヤ、およびPHYレイヤの信号処理を含んでもよい。また、ベースバンドプロセッサ１１０３によるコントロールプレーン処理は、Non-Access Stratum（NAS）プロトコル、RRCプロトコル、及びMAC CEの処理を含んでもよい。
　ベースバンドプロセッサ１１０３は、デジタルベースバンド信号処理を行うモデム・プロセッサ（e.g., Digital Signal Processor（DSP））とコントロールプレーン処理を行うプロトコルスタック・プロセッサ（e.g., Central Processing Unit（CPU）、又はMicro Processing Unit（MPU））を含んでもよい。この場合、コントロールプレーン処理を行うプロトコルスタック・プロセッサは、後述するアプリケーションプロセッサ１１０４と共通化されてもよい。
　アプリケーションプロセッサ１１０４は、CPU、MPU、マイクロプロセッサ、又はプロセッサコアとも呼ばれる。アプリケーションプロセッサ１１０４は、複数のプロセッサ（複数のプロセッサコア）を含んでもよい。アプリケーションプロセッサ１１０４は、メモリ１１０６又は図示されていないメモリから読み出されたシステムソフトウェアプログラム（Operating System（OS））及び様々なアプリケーションプログラム（例えば、通話アプリケーション、WEBブラウザ、メーラ、カメラ操作アプリケーション、音楽再生アプリケーション）を実行することによって、ＵＥ９０及びＵＥ９５の各種機能を実現する。
　いくつかの実装において、図１４に破線（１１０５）で示されているように、ベースバンドプロセッサ１１０３及びアプリケーションプロセッサ１１０４は、１つのチップ上に集積されてもよい。言い換えると、ベースバンドプロセッサ１１０３及びアプリケーションプロセッサ１１０４は、１つのSystem on Chip（SoC）デバイス１１０５として実装されてもよい。SoCデバイスは、システムLarge Scale Integration（LSI）またはチップセットと呼ばれることもある。
　メモリ１１０６は、揮発性メモリ若しくは不揮発性メモリ又はこれらの組合せである。メモリ１１０６は、物理的に独立した複数のメモリデバイスを含んでもよい。揮発性メモリは、例えば、Static Random Access Memory（SRAM）若しくはDynamic RAM（DRAM）又はこれらの組み合わせである。不揮発性メモリは、マスクRead Only Memory（MROM）、Electrically Erasable Programmable ROM（EEPROM）、フラッシュメモリ、若しくはハードディスクドライブ、又はこれらの任意の組合せである。例えば、メモリ１１０６は、ベースバンドプロセッサ１１０３、アプリケーションプロセッサ１１０４、及びSoC１１０５からアクセス可能な外部メモリデバイスを含んでもよい。メモリ１１０６は、ベースバンドプロセッサ１１０３内、アプリケーションプロセッサ１１０４内、又はSoC１１０５内に集積された内蔵メモリデバイスを含んでもよい。さらに、メモリ１１０６は、Universal Integrated Circuit Card（UICC）内のメモリを含んでもよい。
　メモリ１１０６は、上述の複数の実施形態で説明されたＵＥ９０及びＵＥ９５による処理を行うための命令群およびデータを含むソフトウェアモジュール（コンピュータプログラム）を格納してもよい。いくつかの実装において、ベースバンドプロセッサ１１０３又はアプリケーションプロセッサ１１０４は、当該ソフトウェアモジュールをメモリ１１０６から読み出して実行することで、上述の実施形態で説明されたＵＥ９０及びＵＥ９５の処理を行うよう構成されてもよい。
　図１５は、ＡｕＣ４０、ＡｕＣ５０、ＡｕＣ５１、ＡｕＣ５２、ＡｕＣ６０、ＡｕＣ６１、ＡｕＣ６２、ＨＳＳ３０、ＨＳＳ３５、及び、ＨＳＳ３６（以下、ＡｕＣ４０等とする）の構成例を示すブロック図である。図１５を参照すると、ＡｕＣ４０等は、ネットワークインターフェース１２０１、プロセッサ１２０２、及びメモリ１２０３を含む。ネットワークインターフェース１２０１は、ネットワークノード（e.g., eNodeB１３０、MME、P-GW、）と通信するために使用される。ネットワークインターフェース１２０１は、例えば、IEEE 802.3 seriesに準拠したネットワークインタフェースカード（NIC）を含んでもよい。
　プロセッサ１２０２は、メモリ１２０３からソフトウェア（コンピュータプログラム）を読み出して実行することで、上述の実施形態においてシーケンス図及びフローチャートを用いて説明されたＡｕＣ４０等の処理を行う。プロセッサ１２０２は、例えば、マイクロプロセッサ、MPU、又はCPUであってもよい。プロセッサ１２０２は、複数のプロセッサを含んでもよい。
　メモリ１２０３は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ１２０３は、プロセッサ１２０２から離れて配置されたストレージを含んでもよい。この場合、プロセッサ１２０２は、図示されていないI/Oインタフェースを介してメモリ１２０３にアクセスしてもよい。
　図１５の例では、メモリ１２０３は、ソフトウェアモジュール群を格納するために使用される。プロセッサ１２０２は、これらのソフトウェアモジュール群をメモリ１２０３から読み出して実行することで、上述の実施形態において説明されたＡｕＣ４０等の処理を行うことができる。
　図１４及び図１５を用いて説明したように、上述の実施形態にＵＥ９０及びＵＥ９５、ＡｕＣ４０、ＡｕＣ５０、ＡｕＣ５１、ＡｕＣ５２、６０、ＡｕＣ６１、ＡｕＣ６２、ＨＳＳ３０、ＨＳＳ３５、及び、ＨＳＳ３６が有するプロセッサの各々は、図面を用いて説明されたアルゴリズムをコンピュータに行わせるための命令群を含む１又は複数のプログラムを実行する。このプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、Compact Disc Read Only Memory（CD-ROM）、CD-R、CD-R/W、半導体メモリ（例えば、マスクROM、Programmable ROM（PROM）、Erasable PROM（EPROM）、フラッシュROM、Random Access Memory（RAM））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
　なお、本開示は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。また、本開示は、それぞれの実施の形態を適宜組み合わせて実施されてもよい。
　以上、実施の形態を参照して本願開示を説明したが、本願開示は上記によって限定されるものではない。本願開示の構成や詳細には、開示のスコープ内で当業者が理解し得る様々な変更をすることができる。
　この出願は、２０１６年７月１５日に出願された日本出願特願２０１６－１４０７６０を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　１０　加入者情報管理装置
　２０　セキュリティ装置
　３０　ＨＳＳ
　３１　通信部
　３２　情報管理部
　３５　ＨＳＳ
　３６　ＨＳＳ
　４０　ＡｕＣ
　４１　通信部
　４２　セキュリティ情報管理部
　４３　ＮＳ鍵生成部
　５０　ＡｕＣ
　５１　ＡｕＣ
　５２　ＡｕＣ
　６０　ＡｕＣ
　６１　ＡｕＣ
　６２　ＡｕＣ
　７０　ＣＰＦ
　７１　ＣＰＦ
　７２　ＤＥＡ
　７３　ＣＰＦ
　７４　ＤＥＡ
　８０　５Ｇ ＲＡＮ
　８１　５Ｇ ＲＡＮ
　８２　５Ｇ ＲＡＮ
　９０　ＵＥ
　９１　通信部
　９２　ＮＳ鍵生成部
　９５　ＵＥ
　１００　コアネットワーク
　１０１　ＨＰＬＭＮ
　１０２　ＶＰＬＭＮ
　１１０　ＮＳシステム
　１１１　ＮＳシステム
　１１２　ＮＳシステム
　１２０　ＮＳシステム
　１２１　ＮＳシステム
　１２２　ＮＳシステム
　１３０　ＮＳシステム

Claims (13)

  1. 　通信端末の加入者情報を管理する加入者情報管理装置と、
    　前記通信端末の識別情報と、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報とを関連付けて管理するセキュリティ装置と、を備え、
    　前記加入者情報管理装置は、
    　前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得する、通信システム。
  2. 　前記セキュリティ装置が、１つの前記ネットワークスライスシステムにおいて用いられる前記セキュリティ情報を管理している場合、
    　前記加入者情報管理装置は、
    　前記通信端末の識別情報を前記セキュリティ装置へ送信し、前記セキュリティ装置から前記セキュリティ情報を取得する、請求項１に記載の通信システム。
  3. 　前記セキュリティ装置が、第１のネットワークスライスシステムにおいて用いられる第１のセキュリティ情報と、第２のネットワークスライスシステムにおいて用いられる第２のセキュリティ情報とを管理している場合、
    　前記加入者情報管理装置は、
    　前記通信端末の識別情報及び前記通信端末が利用する前記ネットワークスライスシステムの識別情報を前記セキュリティ装置へ送信し、前記セキュリティ装置から前記第１もしくは第２のセキュリティ情報を取得する、請求項１に記載の通信システム。
  4. 　前記加入者情報管理装置は、
    　前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理し、前記通信端末から前記通信端末が利用する前記ネットワークスライスシステムの識別情報が送信された場合、前記ネットワークスライスシステムに関連付けられた前記セキュリティ装置へ、前記通信端末の識別情報及び前記通信端末が利用する前記ネットワークスライスシステムの識別情報を送信する、請求項３に記載の通信システム。
  5. 　前記加入者情報管理装置は、
    　前記通信端末の識別情報と、前記通信端末が利用可能な１つのネットワークスライスシステムの識別情報とを関連付けて管理する場合、前記通信端末から送信された前記通信端末の識別情報を用いて、前記セキュリティ装置から前記セキュリティ情報を取得する、請求項４に記載の通信システム。
  6. 　前記セキュリティ装置は、
    　前記通信端末の識別情報と、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムの識別情報とを関連付けた情報に基づいて、前記加入者情報管理装置へ、セキュリティ情報を送信するか否かを決定する、請求項１乃至５のいずれか１項に記載の通信システム。
  7. 　コアネットワーク内に配置され、いずれのネットワークスライスシステムにも配置されない制御装置をさらに備え、
    　前記加入者情報管理装置は、前記制御装置を介して、前記通信端末から前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムを受信する、もしくは、前記通信端末から前記通信端末の識別情報を受信する、請求項１乃至６のいずれか１項に記載の通信システム。
  8. 　通信端末の識別情報、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と通信する通信手段と、
    　前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理する管理手段と、を備え、
    　前記通信手段は、
    　前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得する、加入者情報管理装置。
  9. 　通信端末の識別情報、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理し、
    　前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得する、情報取得方法。
  10. 　通信端末の識別情報、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理し、
    　前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得することをコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
  11. 　通信端末と、
    　コアネットワーク内で制御データを処理する制御装置と、
    　通信端末の加入者情報を格納する加入者情報管理装置と、
    　前記加入者情報管理装置と連携し、前記制御装置を介して前記通信端末との認証処理を行うセキュリティ装置と、を備え、
    　前記通信端末は、前記制御装置に利用を希望するネットワークスライスの識別情報を送信し、
    　前記通信端末は、前記認証処理が成功した後、前記利用を希望するネットワークスライスの識別情報に基づいて、利用を希望するネットワークスライスと通信する、通信システム。
  12. 　前記通信端末は、前記制御装置に通信端末の識別情報を送信し、
    　前記制御装置は、前記通信端末の識別情報に基づいて、複数のセキュリティ装置の中から前記セキュリティ装置を選択する、請求項１１に記載の通信システム。
  13. 　コアネットワーク内で制御データを処理する制御装置へ、利用を希望するネットワークスライスの識別情報を送信する第１の送信手段と、
    　前記制御装置を介して、前記コアネットワークとの認証処理に用いられる第１のセキュリティ情報を受信する受信手段と、
    　前記第１のセキュリティ情報に対応する第２のセキュリティ情報を、前記制御装置に送信する第２の送信手段と、
    　前記第２のセキュリティ情報に基づいて前記コアネットワークに認証された後、前記利用を希望するネットワークスライスの識別情報に基づいて、利用を希望するネットワークスライスと通信する通信手段と、を備える、通信端末。
PCT/JP2017/025680 2016-07-15 2017-07-14 通信システム、加入者情報管理装置、情報取得方法、非一時的なコンピュータ可読媒体、及び通信端末 WO2018012611A1 (ja)

Priority Applications (8)

Application Number Priority Date Filing Date Title
KR1020197004154A KR102140521B1 (ko) 2016-07-15 2017-07-14 통신 시스템, 가입자 정보 관리 장치, 정보 취득 방법, 비일시적인 컴퓨터 가독 매체 및 통신 단말기
EP17827734.9A EP3487198A4 (en) 2016-07-15 2017-07-14 COMMUNICATION SYSTEM, PARTICIPANT INFORMATION MANAGEMENT PROCEDURE, INFORMATION ACCOUNTING PROCEDURE, TRANSITIONLESS COMPUTER READABLE MEDIA AND COMMUNICATION TERMINAL
JP2018527677A JP6773116B2 (ja) 2016-07-15 2017-07-14 通信方法
EP20194811.4A EP3767983A1 (en) 2016-07-15 2017-07-14 Network slice authentication
KR1020207021917A KR102193511B1 (ko) 2016-07-15 2017-07-14 통신 시스템, 가입자 정보 관리 장치, 정보 취득 방법, 비일시적인 컴퓨터 가독 매체 및 통신 단말기
CN201780044013.0A CN109479193B (zh) 2016-07-15 2017-07-14 通信系统、订户信息管理设备、信息获取方法、非暂时性计算机可读介质和通信终端
US16/311,463 US20190246270A1 (en) 2016-07-15 2017-07-14 Communication system, subscriber-information management apparatus, information acquisition method, non-transitory computer-readable medium, and communication terminal
US16/853,403 US11153751B2 (en) 2016-07-15 2020-04-20 Communication system, subscriber-information management apparatus, information acquisition method, non-transitory computer-readable medium, and communication terminal

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2016140760 2016-07-15
JP2016-140760 2016-07-15

Related Child Applications (2)

Application Number Title Priority Date Filing Date
US16/311,463 A-371-Of-International US20190246270A1 (en) 2016-07-15 2017-07-14 Communication system, subscriber-information management apparatus, information acquisition method, non-transitory computer-readable medium, and communication terminal
US16/853,403 Continuation US11153751B2 (en) 2016-07-15 2020-04-20 Communication system, subscriber-information management apparatus, information acquisition method, non-transitory computer-readable medium, and communication terminal

Publications (1)

Publication Number Publication Date
WO2018012611A1 true WO2018012611A1 (ja) 2018-01-18

Family

ID=60952096

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/025680 WO2018012611A1 (ja) 2016-07-15 2017-07-14 通信システム、加入者情報管理装置、情報取得方法、非一時的なコンピュータ可読媒体、及び通信端末

Country Status (6)

Country Link
US (2) US20190246270A1 (ja)
EP (2) EP3767983A1 (ja)
JP (2) JP6773116B2 (ja)
KR (2) KR102140521B1 (ja)
CN (1) CN109479193B (ja)
WO (1) WO2018012611A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020067112A1 (ja) * 2018-09-28 2020-04-02 日本電気株式会社 コアネットワーク装置、通信端末、通信システム、認証方法、及び通信方法

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108012267B (zh) * 2016-10-31 2022-05-24 华为技术有限公司 一种网络认证方法、相关设备及系统
WO2019083843A1 (en) 2017-10-23 2019-05-02 Nokia Solutions And Networks Oy CONFIGURATION OF NETWORK SLICES
US20200162919A1 (en) * 2018-11-16 2020-05-21 Lenovo (Singapore) Pte. Ltd. Accessing a denied network resource
CN111865872B (zh) * 2019-04-26 2021-08-27 大唐移动通信设备有限公司 一种网络切片内终端安全策略实现方法及设备
CN111414645B (zh) * 2020-03-19 2022-07-05 中国电子科技集团公司第三十研究所 一种实现隐私保护功能的安全hss/udm设计方法及系统

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100904215B1 (ko) * 2008-11-19 2009-06-25 넷큐브테크놀러지 주식회사 사용자 인증에 기반한 네트워크 접속 관리 시스템 및 방법
KR101504717B1 (ko) * 2010-09-16 2015-03-23 에스케이텔레콤 주식회사 단말 인증 처리 시스템 및 방법
CN103782615A (zh) * 2011-07-08 2014-05-07 诺基亚公司 用于订户向长期演进电信网络或通用移动电信系统进行验证的方法和设备
CN109041089B (zh) * 2012-08-08 2021-12-31 华为技术有限公司 信息处理方法和装置
WO2015071888A1 (en) * 2013-11-18 2015-05-21 Telefonaktiebolaget L M Ericsson (Publ) Multi-tenant isolation in a cloud environment using software defined networking
KR20150116092A (ko) * 2014-04-04 2015-10-15 한국전자통신연구원 슬라이싱을 기반으로 네트워크를 분리하는 방법 및 장치
CA2938918C (en) 2014-04-17 2018-06-12 Mitel Mobility Inc. Gsm a3/a8 authentication in an ims network
US10074178B2 (en) 2015-01-30 2018-09-11 Dental Imaging Technologies Corporation Intra-oral image acquisition alignment
US10111163B2 (en) * 2015-06-01 2018-10-23 Huawei Technologies Co., Ltd. System and method for virtualized functions in control and data planes
US9930524B2 (en) * 2015-06-22 2018-03-27 Verizon Patent And Licensing Inc. Detecting a second user device identifier based on registration of a first user device identifier
US20170164212A1 (en) * 2015-09-29 2017-06-08 Telefonaktiebolaget L M Ericsson (Publ) Network slice management
RU2725625C2 (ru) * 2016-02-16 2020-07-03 Идак Холдингз, Инк. Эксплуатация сетей с фрагментацией
WO2017161484A1 (zh) * 2016-03-21 2017-09-28 华为技术有限公司 一种消息交互的方法、设备和系统
JP2019096918A (ja) 2016-04-05 2019-06-20 シャープ株式会社 端末装置、基地局装置、ＭＭＥ（Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｅｎｔｉｔｙ）および通信制御方法

Non-Patent Citations (5)

* Cited by examiner, † Cited by third party
Title
"Network Slice Selection considering Authentication and Authorization", 3GPP TSG-SA WG2#116, 5 July 2016 (2016-07-05), pages 2 - 163395, XP051121111, Retrieved from the Internet <URL:http://www.3gpp.org/ftp/tsg_sa/WG2_Arch/TSGS2_116_Vienna/Docs/S2-163395.zip> *
NEC: "pCR to TR 33.899: Proposal of solution for key issue of network slicing security", 3GPP TSG-SA WG3#84, 29 July 2016 (2016-07-29), pages 3 - 160953, XP051121959, Retrieved from the Internet <URL:http://www.3gpp.org/ftp/tsg_sa/WG3_Security/TSGS3_84_Chennai/Docs/S3-160953.zip> *
S AMSUNG: "Updates of solution for key issue 12 on Authentication Framework -supporting multiple slices", 3GPP TSG-SA WG2#116, 5 July 2016 (2016-07-05), pages 2 - 163524, XP051121217, Retrieved from the Internet <URL:http://www.3gpp.org/ftp/tsg_sa/WG2_Arch/TSGS2_116_Vienna/Docs/S2-163524.zip> *
SAMSUNG: "NextGen Network Slice Architecture Update", 3GPP TSG-SA WG2#115, 27 May 2016 (2016-05-27), pages 2 - 162351, XP051091808, Retrieved from the Internet <URL:http://www.3gpp.org/ftp/tsg_sa/WG2_Arch/TSGS2_115_Nanjing_China/Docs/S2-162351.zip> *
See also references of EP3487198A4 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020067112A1 (ja) * 2018-09-28 2020-04-02 日本電気株式会社 コアネットワーク装置、通信端末、通信システム、認証方法、及び通信方法
JPWO2020067112A1 (ja) * 2018-09-28 2021-08-30 日本電気株式会社 コアネットワーク装置、通信端末、コアネットワーク装置の方法、プログラム、及び通信端末の方法
JP7099536B2 (ja) 2018-09-28 2022-07-12 日本電気株式会社 コアネットワーク装置、通信端末、コアネットワーク装置の方法、プログラム、及び通信端末の方法

Also Published As

Publication number Publication date
CN109479193B (zh) 2021-10-01
US11153751B2 (en) 2021-10-19
EP3767983A1 (en) 2021-01-20
CN109479193A (zh) 2019-03-15
US20190246270A1 (en) 2019-08-08
KR102193511B1 (ko) 2020-12-21
JP6773116B2 (ja) 2020-10-21
JP6962432B2 (ja) 2021-11-05
KR102140521B1 (ko) 2020-08-03
KR20200093086A (ko) 2020-08-04
EP3487198A1 (en) 2019-05-22
JP2021010174A (ja) 2021-01-28
JPWO2018012611A1 (ja) 2019-05-16
US20200252798A1 (en) 2020-08-06
EP3487198A4 (en) 2019-05-22
KR20190030714A (ko) 2019-03-22

Similar Documents

Publication Publication Date Title
JP6962432B2 (ja) 通信方法、コントロールプレーン装置、コントロールプレーン装置もしくは通信端末のための方法、及び通信端末
US11937079B2 (en) Communication terminal, core network device, core network node, network node, and key deriving method
US11265705B2 (en) Communication system, communication terminal, AMF entity, and communication method
US11722891B2 (en) User authentication in first network using subscriber identity module for second legacy network
US20200329372A1 (en) Key derivation method, communication system, communication terminal, and communication device
US11496883B2 (en) Apparatus and method for access control on eSIM
KR20170125831A (ko) 무선 네트워크들에서의 아이덴티티 프라이버시
CN112020869B (zh) 在通信系统中的统一订阅标识符管理
WO2018139572A1 (ja) 通信端末、コアネットワーク装置、通信システム、情報管理方法、及びコンピュータ可読媒体
WO2018079692A1 (ja) 通信システム、基地局、制御方法、及びコンピュータ可読媒体
JP6775683B2 (ja) 次世代システムの認証
TW202308363A (zh) 用於板載處理之使用者裝備與通訊網路間之認證技術
WO2018139588A1 (ja) 通信端末、情報管理方法、及びコンピュータ可読媒体
WO2020208295A1 (en) Establishing secure communication paths to multipath connection server with initial connection over private network
WO2018169015A1 (ja) 加入者データ管理装置、モビリティ管理装置、ポリシー管理装置、及び通信方法
US20230209343A1 (en) Network-assisted attachment for hybrid subscribers
WO2020090861A1 (ja) 通信端末、コアネットワーク装置、通信方法、及び通信システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17827734

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2018527677

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 20197004154

Country of ref document: KR

Kind code of ref document: A

ENP Entry into the national phase

Ref document number: 2017827734

Country of ref document: EP

Effective date: 20190215