JP5123209B2 - モバイルネットワークに基づくエンドツーエンド通信での認証の方法、システム、および認証センタ - Google Patents

モバイルネットワークに基づくエンドツーエンド通信での認証の方法、システム、および認証センタ Download PDF

Info

Publication number
JP5123209B2
JP5123209B2 JP2008551629A JP2008551629A JP5123209B2 JP 5123209 B2 JP5123209 B2 JP 5123209B2 JP 2008551629 A JP2008551629 A JP 2008551629A JP 2008551629 A JP2008551629 A JP 2008551629A JP 5123209 B2 JP5123209 B2 JP 5123209B2
Authority
JP
Japan
Prior art keywords
service entity
authentication
service
eac
entity
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2008551629A
Other languages
English (en)
Other versions
JP2009524369A (ja
Inventor
継▲偉▼ 位
絮妍 范
超 李
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from CNA2006100333772A external-priority patent/CN101009919A/zh
Priority claimed from CN200610074902A external-priority patent/CN101052032B/zh
Priority claimed from CN200610079252A external-priority patent/CN101060406B/zh
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Publication of JP2009524369A publication Critical patent/JP2009524369A/ja
Application granted granted Critical
Publication of JP5123209B2 publication Critical patent/JP5123209B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Description

本発明は、ネットワーク通信サービス技法に関し、具体的には、モバイルネットワークに基づくエンドツーエンド通信での認証の方法、システム、および認証センタに関する。
現在、サービスをモバイル加入者に提供する時に、アプリケーションサーバの大多数は、まず、モバイル加入者と認証プロキシとの間、モバイル加入者と公開鍵基盤(PKI)証明機関との間、モバイル加入者とコンテンツ提供サーバとの間など、相互信頼関係をモバイル加入者と共に確立する。一般に、そのような信頼関係は、モバイル加入者とアプリケーションサーバとの間の双方向認証手順中に確立される。
3G無線通信標準規格では、GAA(Generic Authentication Architecture)が、加入者識別情報を検証するためにさまざまなアプリケーションサービスエンティティによって使用される一般的アーキテクチャであり、アプリケーションサービス加入者をチェックし、加入者識別情報を検証することができる。上記アプリケーションサービスは、マルチキャスト/ブロードキャストサービス、ユーザ証明書サービス、瞬時情報を提供するサービス、またはプロキシサービスとすることができる。
図1は、GAAのアーキテクチャを示す概略図であり、このGAAは、一般に、加入者101、加入者識別情報の初期チェックおよび検証を実行するBSF(Bootstrapping Server Function) 102、HSS(Home Subscriber Server) 103、およびNAF(Network Application Function) 104を含む。BSF 102は、加入者101との相互識別情報検証を実行し、BSF 102および加入者101の共有鍵を生成するように働く。HSS 103は、加入者情報を記述するプロファイルを格納し、認証情報を生成する機能を有する。
サービスを使用することを望む時に、加入者は、サービスがBSFを用いる相互認証手順を必要とする場合に、相互認証のために直接にBSFと通信する。そうでない場合には、加入者は、まずサービスに対応するNAFに連絡し、NAFがGAAを使用するがサービスを要求する加入者が相互認証手順のためにBSFと通信してはいない場合には、NAFは、サービスを要求する加入者に、BSFとの識別情報検証を実行するように通知する。
相互認証が成功した時に、加入者およびBSFは、互いの識別情報を認証し、共有鍵Ksを生成する。さらに、BSFは、Ksの更新を容易にするために、Ksの寿命を定義する。後に、BSFは、加入者のB-TID(Bootstrapping Transaction Identifier)を割り振り、そのB-TIDをKsの寿命と共にユーザ機器(UE)に転送し、ここで、B-TIDが、Ksに関連付けられる。共有鍵Ksは、ルート鍵として使用されるが、加入者のUEおよびBSFから出ない。加入者がNAFと通信する時には、Ksから導出された鍵Ks_NAFが、通信を保護するのに使用される。
GAAの不利益は、1. 1つの認証機構(すなわちAKA認証機構)だけが、加入者とBSFとの間の認証でサポートされることと、2. 認証機構が、BSFとNAFとの間の認証を提供せず、これが、NAFを偽る攻撃者による加入者の秘密情報の窃取をもたらす可能性があることである。
3GPP2にもGAAがあり、図2を参照されたい。図2は、既存の3GPP2でのGAAを示す図である。3GPP2のGAAは、MN(Mobile Node) 201、NAF(Network Application Function) 202、加入者識別情報の初期チェックおよび検証を実行するBSF 203、HSS 204、HLR/AC(Home Location Register/Authentication Centre)、およびAAA(Authentication Authorization Accounting)サーバがある。
NAFによって提供されるサービスを使用することを望む場合に、MNは、まず、BSFとの相互認証を実行しなければならない。MNおよびネットワークのサポート条件ならびにオペレータのローカルポリシに従って自由に選択できる3タイプの相互認証機構(AKA認証機構、CAVEベース認証機構、およびAAAベース認証機構を含む)がある。
しかし、3GPP2のGAAは、3つの認証機構だけをサポートし、これは、あるサービスエンティティとさまざまなネットワークとの間の相互認証に適用可能ではない。さらに、認証機構は、BSFとNAFとの間の認証を提供せず、これは、NAFを偽る攻撃者による加入者の秘密情報の窃取をもたらす可能性がある。
要約すると、既存のGAAは、それが属する標準規格の中でのみ適用可能であり、ネットワークおよびサービスエンティティによって制限され、したがって、いくつかの制限を有する。
本発明による実施形態は、さまざまなエンティティの間で相互信頼関係を確立するために異なるモバイルネットワーク標準規格について適用可能である包括的認証アーキテクチャを提供する。
本発明の実施形態による技術的解決策は、次の通りである。
本発明の実施形態は、サービスを要求する第1サービスエンティティと、サービスを提供する第2サービスエンティティと、エンティティ認証センタすなわちEACとを具備するシステムに適用される、モバイルネットワークに基づくエンドツーエンド通信において認証する方法であって、第1サービスエンティティとEACとの間で認証モードをネゴシエートする段階であって、ネゴシエートされた認証モードは、第1サービスエンティティとEACとの間の認証機構と、第2サービスエンティティとEACとの間の認証機構と、認証問合せの機構と、派生鍵を導出する機構と、第1サービスエンティティと第2サービスエンティティとの間の認証機構とを含む、段階と、ネゴシエートされた認証モードに含まれる第1サービスエンティティとEACとの間の認証機構に従ってEACと第1サービスエンティティとの間で相互認証を実行し、ネゴシエートされた認証モードに含まれる第2サービスエンティティとEACとの間の認証機構に従ってEACと第2サービスエンティティとの間で相互認証を実行する段階と、第1サービスエンティティが、サービスを提供するように第2サービスエンティティに要求する場合に、EACが、ネゴシエートされた認証モードに含まれる認証問合せの機構に従って第1サービスエンティティおよび第2サービスエンティティに関する認証問合せを提供し、ネゴシエートされた認証モードに含まれる派生鍵を生成する機構に従って第1サービスエンティティと第2サービスエンティティとの間の通信を保護する共有される派生鍵を生成する段階と、第1サービスエンティティおよび第2サービスエンティティが、共有される派生鍵、およびネゴシエートされた認証モードに含まれる第1サービスエンティティと第2サービスエンティティとの間の認証機構に従って互いを認証し、サービスを保護するセッション鍵を生成する段階とを有し、第1サービスエンティティによって、EACと認証モードをネゴシエートする段階は、第1サービスエンティティによって、認証要求をEACに送信する段階であって、認証要求は、第1サービスエンティティの識別情報および現在要求されているサービスのタイプを伝える、段階と、EACが、現在要求されているサービスのタイプに従ってサービスを提供する第2サービスエンティティを判定し、第1サービスエンティティおよび第2サービスエンティティの認証機能を獲得し、第1サービスエンティティおよび第2サービスエンティティの認証機能に従って認証モードを選択する段階とを有することを特徴とする方法を開示する。
本発明の実施形態は、サービスを要求する第1サービスエンティティと、サービスを提供する第2サービスエンティティと、EACと、サービスエンティティのサブスクリプションデータを格納するデータベースとを具備するモバイルネットワークに基づくエンドツーエンド通信において認証するシステムであって、第1サービスエンティティは、認証に関係する少なくとも1つの機構を含む認証モードをEACとネゴシエートし、ネゴシエートされた認証モードに従って第1サービスエンティティとEACとの間で相互認証を実行し、第2サービスエンティティにサービスを要求し、ネゴシエートされた認証モードに従って、第1サービスエンティティと第2サービスエンティティとの間の通信を保護する共有される派生鍵に従って第1サービスエンティティと第2サービスエンティティとの間で相互認証を実行し、サービスを保護するセッション鍵を生成するように構成され、第2サービスエンティティは、ネゴシエートされた認証モードに従ってEACを認証し、第1サービスエンティティがサービスを要求する場合にネゴシエートされた認証モードに従って第1サービスエンティティと第2サービスエンティティとの間の通信を保護する共有される派生鍵に従って第2サービスエンティティと第1サービスエンティティとの間で相互認証を実行し、サービスを保護するセッション鍵を生成するように構成され、EACは、ネゴシエートされた認証モードに従って、EACと第1サービスエンティティとの間の相互認証と、EACと第2サービスエンティティとの間の相互認証とをそれぞれ実行し、第1サービスエンティティがサービスを要求する時に、ネゴシエートされた認証モードに従って第1サービスエンティティおよび第2サービスエンティティに関する認証問合せを提供し、第1サービスエンティティと第2サービスエンティティとの間の通信を保護する共有される派生鍵を生成するように構成され、EACは、認証モードをネゴシエートする場合に、第1サービスエンティティによって現在要求されているサービスのタイプに従ってサービスを提供する第2サービスエンティティを判定し、第1サービスエンティティおよび第2サービスエンティティの認証機能を獲得するために第1サービスエンティティおよび第2サービスエンティティの識別情報に従ってデータベースに問い合わせ、第1サービスエンティティおよび第2サービスエンティティの獲得された認証機能に従って認証モードを選択するようにさらに構成されることを特徴とするシステムを開示する。
本発明の実施形態による技術的解決策によってもたらされる有益な効果は、真の包括的認証アーキテクチャが提供されることであり、ここで、GAAによって提供される認証機構は、複数の認証機構および認証モジュールに関するネゴシエーションおよび選択を実行することができ、これは、認証機構の柔軟性および一般性を高める。本発明の実施形態によるフレームワークでは、サービスプロバイダを、モバイルネットワーク内のアプリケーションサーバ、オープンネットワーク内のアプリケーションサーバ、または高度な機能を有するモバイル端末とすることができ、これは、サービス加入者がより豊富なサービスリソースを使用することを可能にする。この認証解決策は、モバイル端末が、サービスプロバイダになるためにアップグレードされる状況をサポートし、これは、高度な機能を有するモバイル端末がサービスを提供することを望むという需要を満足する。
本発明の目的、技術的解決策、および利益をより明白にするために、本発明を、添付の図面および実施形態を参照して、以下でさらに詳細に説明する。
図3に、本発明の実施形態によるモバイルネットワークに基づくエンドツーエンド通信認証のアーキテクチャを示す。このアーキテクチャは、異なるモバイルネットワーク標準規格に適用可能であり、異なるタイプのサービスエンティティの間で相互信頼関係を確立するように働くという点で、実際に包括的認証アーキテクチャと呼ぶことができる。2つのサービスエンティティすなわちサービス加入者(SS)301およびサービスプロバイダ(SP)302のほかに、この包括的認証アーキテクチャに用いられるネットワーク要素は、さらに、オペレータのネットワーク内のエンティティ認証センタ(EAC)303およびエンティティサブスクリプションデータベース(ESD)304を含む。このアーキテクチャでは、SSおよびSPは、互いに通信することができ、SSおよびSPは、それぞれ、それ自体の認証を実行するためにEACと通信することができ、EACは、ESDに接続することができ、そこから認証に必要な情報を獲得することができる。本発明の実施形態では、サービスエンティティは、サービス加入者(SS)またはサービスプロバイダ(SP)とすることができる。SSは、3GPP GAAの加入者または3GPP2 GAAのMNと同等とすることができ、SPは、3GPP GAAまたは3GPP2 GAAのNAFとして振る舞うことができ、EACは、3GPP GAAまたは3GPP2 GAAのBSFと同等とすることができる。
サービスをモバイル加入者に提供する時に、アプリケーションサーバの大多数は、まず、相互信頼関係をモバイル加入者と確立する(たとえば、モバイル加入者と認証プロキシとの間、モバイル加入者とPKI証明機関との間、モバイル加入者とコンテンツ提供サーバとの間など)。一般に、そのような信頼関係は、モバイル加入者とアプリケーションサーバとの間の双方向認証手順中に確立される。モバイルネットワークの開発と共に、サービスのタイプが、ますます多様化する。その一方で、SPは、純オペレータネットワークに制限されるのではなく、オペレータネットワーク以外のサードパーティSPまたはモバイル加入者とすることすらできる。すなわち、一部のモバイル加入者は、ネットワークによって提供されるアプリケーションサービスを使用できるだけではなく、あるサービスをネットワーク内の他の加入者に提供することもできる。本発明の実施形態には、オペレータネットワークのAS、サードパーティAS、およびモバイル加入者を含む3タイプのSPがある。また、一般的なモバイル加入者またはサードパーティASを含む2タイプのSSがある。したがって、モバイル加入者は、SSならびにSPであることができ、サードパーティASは、SPおよびSSであることができる。したがって、加入者およびSPへのサービスエンティティの分類と比較して、本発明の実施形態でのサービスエンティティは、3つのタイプすなわち、1. SSすなわちサービスを求めることだけができる単純なサービス加入者(一般に、一般のモバイル加入者)、2. SPすなわち単純なサービスプロバイダ(オペレータネットワークのASまたは外部ネットワークのSP)、3. サービス加入者であるだけではなくサービスプロバイダでもあるサービス加入者兼プロバイダ(SSPとも称する)(一般のモバイル加入者またはサードパーティASとすることができる)に分類される。
図3に示されたアーキテクチャでは、EACが、認証方法のネゴシエーションおよびサービスエンティティの認証と、エンドツーエンド通信エンティティの識別情報およびサービスを要求するか提供するエンティティの妥当性の検証と、派生鍵(derived key)の生成などに使用される。ESDは、エンティティによってサブスクライブされかつ/または提供されるサービスのタイプ、エンティティによってサポートされる認証機構、および認証情報などを含む、エンティティのサブスクリプション情報を格納する。エンティティのサブスクリプション情報は、そのエンティティのプライベートIDと一緒に格納される。SPが他のエンティティにサービスを提供するか、SSが他のエンティティのサービスを要求する前に、SPとネットワークとの間またはSSとネットワークとの間のサブスクリプション関係が、存在しなければならず、ESDに格納されなければならない。
本発明の実施形態によって提供される認証手順は、次のステージを含む。
第1ステージ(エンティティ認証プロセスと称する):サービスエンティティは、ネットワーク内の各SSがSPと通信する前に、まず、EACに行って、認証機構をネゴシエートし、サービスエンティティの識別情報を認証しなければならない。
認証機構をネゴシエートするプロセスは、サービスエンティティによって開始され、サービスエンティティの識別情報およびサービスのセキュリティ度合要件が、ネゴシエーションを開始するために要求メッセージ内で伝えられる。EACは、セキュリティ度合、ネットワークサポート条件(たとえば、ネットワークがサポートした認証モード)、およびエンティティサブスクリプション情報に従って認証機構を選択し、認証リクエスタとして振る舞うサービスエンティティに対応する情報を返す。サービスの異なるセキュリティ度合は、異なる認証モードが選択されることにつながる。認証リクエスタは、ネゴシエーション手順の終りを示すために確認メッセージを発行する。
サービスエンティティおよびEACは、ネゴシエートされた機構に従って、それらの間で相互認証を実行する。この認証は、双方向である。認証の後に、認証リクエスタ(すなわち、認証を要求するサービスエンティティ)およびEACは、共有鍵材料を生成し、EACは、認証リクエスタに、そのサブスクリプション情報に従って一時IDおよび対応する寿命を割り振る。認証リクエスタがSSである場合には、EACは、ISR-ID(Interim Service Request Identifier)を認証リクエスタに割り振り、認証リクエスタがSPである場合には、EACは、IAC-ID(Interim Authentication Check Identifier)を認証リクエスタに割り振る。EACは、サービスエンティティの一時IDおよび寿命を、認証を要求するサービスエンティティに転送する。この後に、認証を要求するサービスエンティティとEACとの間の通信を、そのサービスエンティティとEACとの間の認証手順で生成された共有鍵材料を使用することによって保護することができる。
第2ステージ(認証問合せプロセスと称する):EACとの認証を実行した後に、SSは、SPにサービスを要求することができる。
サービス要求を受信した時に、SPまたはSSPがEACとの認証を実行し、有効なIAC-IDを獲得済みであるならば、SPまたはSSPは、SSの認証条件についてEACに問い合わせることができる。そうでない場合には、SPまたはSSPは、まずEACと通信して認証および鍵ネゴシエーションを実行しなければならず、その後、SSのISR-IDおよびSPまたはSSPのIAC-IDを伝える問合せ要求を送信することによって、SSの認証条件についてEACに問い合わせなければならない。問合せ要求を受信した時に、EACは、まず、SSおよびSPがSSのIDおよびSPのIDに従って権限を有するかどうかを問い合わせ、次に、SSおよびSPの一時IDとSS/SPによってEACとネゴシエートされたKsとを使用することによってSSとSPとの間のサービス通信を保護する派生鍵を計算し、その派生鍵をSPに転送する。その間に、SSは、同一のパラメータおよびアルゴリズムに従って派生鍵を計算する。サービスエンティティとEACとの間で確立される信頼関係は、寿命を有する。この寿命が、満了しようとしているかまたは満了済みである場合には、サービスエンティティは、新しい信頼関係を確立するために、EACとの再認証手順を必要とする。
第3ステージ(サービスエンティティ間の相互認証プロセスと称する):共有される派生鍵を獲得した後に、SSおよびSPは、その派生鍵を使用して、各サービス通信の前にこの2つの当事者間で相互認証を実行し、通信のセキュリティを保護するためのセッション鍵Kr-SS-SPをさらに生成し、その後、そのセッション鍵を使用してサービス通信を保護することができる。
本発明の実施形態によって提供される認証手順の各ステージを、これより、添付の図面を参照して詳細に説明する。
図4は、本発明による実施形態での、サービスエンティティとEACとの間で認証機構をネゴシエートし、相互認証を実行するプロセスを示す流れ図である。この実施形態では、サービスエンティティとEACとの間で認証機構をネゴシエートし、相互認証を実行するプロセスは、図4に示されているようにサービスエンティティによって開始され、次のステップを含む。
ブロック401:サービスエンティティは、要求されたサービスまたは提供されるサービス(たとえば、ビデオ会議サービス)に対応する認証機構のセキュリティ度合要件(たとえば、高セキュリティ度合)を自動的に選択する。
ブロック402:サービスエンティティが、サービスエンティティのID、サービスエンティティによって選択された認証機構のセキュリティ度合などの関連情報を伝える認証要求をEACに転送する。
ブロック403:認証要求を受信した時に、EACは、ローカルに格納されたセキュリティ度合リストを検索して、ネットワークによって現在サポートされ、認証プロトコルおよび暗号化アルゴリズムを含むセキュリティ度合要件を満足する少なくとも1つの認証機構を見つける。たとえば、Http AKAは、ネットワークと無線ネットワーク内の端末との間の相互認証プロトコルである。このプロトコルを実行することによって、2つの通信当事者は、互いの識別情報を認証し、同一の鍵をそれぞれ生成することができる。
ブロック404:サービスエンティティの識別情報に従って、EACは、ESDに格納されたサブスクリプション情報を問い合わせ、サービスエンティティの認証情報、たとえば、認証プロトコル、暗号化アルゴリズム、および他の関連パラメータを含む、サービスエンティティによってサポートされる認証機構を得る。
ブロック405:ESDは、サービスエンティティの認証機能情報(たとえば、サポートされる認証プロトコル、暗号化アルゴリズムなど)および他の関連パラメータをEACに返す。
ブロック406:EACは、ローカルポリシに従って、サービスエンティティおよびネットワークによってサポートされる認証プロトコルおよび暗号化アルゴリズムを照合し、やはりセキュリティ度合要件に従って、両方の側によってサポートされる認証プロトコルおよび暗号化アルゴリズム(すなわち、認証機構)を判定する。セキュリティ度合要件にも従う、両方の側によってサポートされる認証プロトコルおよび暗号化アルゴリズムがない場合には、EACは、エラー表示をサービスエンティティに返し、現在の手順を打ち切る。
ブロック407:EACは、認証プロトコルおよび暗号化アルゴリズムを含む選択された認証機構をサービスエンティティに返す。
ブロック408:EACによって返された情報を受信した時に、サービスエンティティは、認証機構を判断し、確認応答をEACに返す。
ブロック409:サービスエンティティおよびEACは、選択された認証プロトコルおよび暗号化アルゴリズムを使用して、相互認証を実行する。成功の認証の後に、両方の当事者は、共有鍵材料(共有される秘密情報とも称する)を獲得する。
サービスエンティティがモバイル端末である場合には、共有鍵材料を、共有鍵(Ks)とすることができる。サービスエンティティがモバイルコアネットワークドメイン内のアプリケーションサーバ(AS)である場合には、サービスエンティティとEACとの間の相互認証手順でネゴシエートされる共有鍵材料を、SA(Security Association)すなわち、インターネットプロトコルセキュリティ(IPSec)に従ってネゴシエートされるセキュリティ通信の鍵および鍵アルゴリズム情報とすることができる。
ブロック410:EACは、認証成功応答をサービスエンティティに返し、サービスエンティティの一時IDおよび対応する寿命を割り振るが、これには、次の状況が含まれる:1) 認証要求をEACに発行するサービスエンティティがサービス加入者(SS/SSP)である場合に、EACは、SS/SSPが他のエンティティにサービスを要求する場合に使用されるISR-IDをSS/SSPに割り振り、2) 認証要求をEACに発行するサービスエンティティがサービスプロバイダ(SP/SSP)である場合に、EACは、SS/SSPがSSの認証条件についてEACに問い合わせる必要がある場合に使用されるIAC-IDをSS/SSPに割り振る。
ブロック411:EACおよびサービスエンティティは、それぞれ、対応するセキュリティ度合に関連する共有鍵材料を格納するが、これは、ISR-ID/IAC-ID、鍵材料、認証機構、およびセキュリティ度合を関連付け、かつ格納することを含む。
図5は、本発明による実施形態での、サービスエンティティとEACとの間での認証問合せ手順を示す流れ図である。この実施形態では、相互認証を実行した後に、サービスエンティティおよびEACは、認証問合せ手順を実行するが、その詳細な説明が、図5に示されている。
ブロック501:SS(またはSSP)が、EACとの認証でSSによって獲得されたISR-IDおよび他のサービスエンティティと連絡するためのIDであるSPのパブリック識別情報(UID)を含むサービス要求を、サービスを提供できるSP(または別のSSP)に発行する。
同一のサービスエンティティによって提供される異なるサービスは、異なるUIDに対応し、したがって、異なるサービスを、それら自体のUIDによって区別することができる。
ブロック502:サービス要求を受信した時に、SPは、SSを識別するために、ローカルに格納されたSSのISR-IDがあるかどうかを検索する。ISR-ID、それに関連する有効な派生鍵、サービスエンティティの実際の識別情報などが格納されている場合には、SSおよびSPは、その派生鍵を使用して、それらの間でサービスを保護する。派生鍵またはISR-ID情報がハイポオペレーション(hypo-operation)状態であるか、撤回されたか破壊されていることがわかった場合には、SPは、再認証要求を開始しなければならないことをSSに通知し、現在の手順は打ち切られ、再認証を開始する詳細な手順には、後続のテキストで言及する。ISR-IDが格納されていない場合には、SPは、認証問合せ要求をEACに送信し、SSのISR-IDならびにSPのIAC-IDおよびUIDをその認証問合せ要求で伝え、ブロック503を実行する。
ブロック503:認証問合せ要求を受信した時に、EACは、まず、その認証問合せ要求で伝えられるIAC-IDが有効であるかどうか、およびSPがサービスを提供する資格を与えられているかどうかを問い合わせ、判断し、その認証問合せ要求で伝えられるISR-IDが有効であるかどうか、およびSSがサービスを要求する資格を与えられているかどうかを問い合わせ、判断する。ISR-IDが有効であり、SSがサービスを要求する資格を与えられていることのほかに、IAC-IDが有効であり、SPがサービスを提供する資格を与えられていると判断される(すなわち、認証に合格する)場合に、EACは、SSおよびSPの派生鍵を生成する。
ブロック504:EACは、ブロック503で生成された派生鍵およびその鍵の寿命を伝える認証問合せ応答をSPに返す。ブロック503の認証問合せが成功である(すなわち、問合せおよび判断の結果が肯定である)場合には、SPおよびEACの共有鍵材料を暗号化することによって獲得される新しい派生鍵が、返される認証問合せ応答で伝えられる。そうでない場合には、EACは、エラーメッセージを返し、対応するサービスエンティティにEACでの再認証について通知し(この再認証の詳細は後続テキストで言及する)、現在の手順を打ち切る。
ブロック505:SPは、暗号化解除することによって認証問合せ応答から新たに生成された派生鍵を獲得し、派生鍵、寿命、SSのISR-ID、およびSPのUIDを関連付け、これらをローカルに格納する。
ブロック506:SPは、サービス要求応答をSSに返す。
ブロック507:SSは、同一のパラメータおよび鍵アルゴリズムを使用することによって同一の派生鍵を計算し、この鍵アルゴリズムは、DES(Data Encryption Standard)、3-DES(ternary DES)、AES(Advanced Enciphering Standard) 256、AES 1024(256と1024との両方が鍵長を表す)などを採用することができる。
ブロック508:SSおよびSPは、派生鍵を使用して、それらの間でサービスを保護する。
認証によってサービスエンティティとEACとの間で確立された信頼関係は、寿命(共有鍵材料、派生鍵、および一時IDの寿命など)を有するので、寿命が満了しようとしているか満了済みである場合には、サービスエンティティは、新しい信頼関係を確立するために、EACとの間での再認証のためにEACに接続する必要がある。
さらに、共有鍵材料または一時IDの異なる条件に従って、サービスエンティティは、次の状態を有する場合がある:1. ハイポオペレーション状態:共有鍵材料、派生鍵の寿命、または一時IDが、満了しようとしており、したがって、共有鍵材料を、暗号化計算に使用することはできないが、エンティティIDの暗号化解除および認証に使用することはできる。2. 撤回状態:共有鍵材料、派生鍵の寿命、または一時IDが、満了しており、共有鍵材料とエンティティの実際のIDとの間の対応する関係または一時IDとエンティティの実際のIDとの間の対応する関係が、除去されている。3. 破壊状態:共有鍵材料、派生鍵、または一時IDの関連レコードが削除されている。したがって、次の状況のうちの少なくとも1つが発生する場合に、再認証手順を開始する必要がある。
1. ローカルポリシに従って、サービスエンティティおよびEACの共有鍵材料またはサービスエンティティの一時IDがハイポオペレーション状態であることを見つけた場合に、EACは、再認証要求を開始しなければならないことをサービスエンティティに通知する。
2. ローカルポリシに従って、共有鍵または一時IDが撤回状態または破壊状態であることを見つけた場合に、EACは、再認証要求を開始しなければならないことをサービスエンティティに通知する。
3. EACが、一時IDに従って関連する識別情報および鍵情報を見つけることができない(すなわち、破壊状態である)場合に、EACは、再認証要求を開始しなければならないことをサービスエンティティに通知する。
4. ローカルポリシに従って、派生鍵がハイポオペレーション状態であることを見つけた場合に、SPは、再認証要求を開始しなければならないことをSSに通知する。
5. ローカルポリシに従って、派生鍵が撤回状態または破壊状態であることを見つけた場合に、SPは、再認証要求を開始しなければならないことをSSに通知する。
6. SPが、一時IDに従って、対応する識別情報および鍵情報を見つけることができない(すなわち、破壊状態である)場合に、SPは、再認証要求を開始しなければならないことをSSに通知する。
EACが、再認証要求を開始しなければならないことをサービスエンティティに通知する時に、その再認証の理由は、通知内で識別される。再認証の理由が、共有鍵材料または一時IDがハイポオペレーション状態であることである場合には、サービスエンティティは、開始される再認証要求でそれ自体を識別するのに、一時IDを使用する。その再認証要求を受信した時に、EACは、一時IDに従って、認証機構をネゴシエートする必要がないと判断し、したがって、相互認証を実行するのに、最初に使用された認証機構を採用する。再認証の理由が、共有鍵材料または一時IDが撤回状態または破壊状態であることである場合、または鍵材料を必要な時に一時IDに従って見つけることができないことである場合には、サービスエンティティは、開始される再認証要求でそれ自体を識別するのに、プライベートIDを使用する。その再認証要求を受信した時に、EACは、プライベートIDに従って、認証機構をネゴシエートする必要があると判断し、ここで、認証機構を再ネゴシエートする手順は、図4に示された最初の認証手順と同一である。
同様に、SPが、再認証要求を開始しなければならないことをSSに通知する時に、再認証の理由が、やはり通知内で識別されなければならない。再認証の理由が、一時IDがハイポオペレーション状態であることである場合には、SSは、開始される再認証要求でそれ自体を識別するのに、一時IDを使用する。この再認証要求を受信した時に、EACは、一時IDに従って、認証機構をネゴシエートする必要がないと判断し、したがって、相互認証を実行するのに、最初に使用された認証機構を採用する。再認証の理由が、一時IDが撤回状態または破壊状態であることである場合には、SSは、開始される再認証要求でそれ自体を識別するのに、プライベートIDを使用する。その再認証要求を受信した時に、EACは、プライベートIDに従って、認証機構をネゴシエートする必要があると判断し、ここで、認証機構を再ネゴシエートする手順は、図4に示された最初の認証手順と同一である。
一時ID(すなわち、ISR-ID/IAC-ID)またはそれに関連する共有鍵材料(すなわち、Ks/Kp)を使用する場合に、サービスエンティティ(SSまたはSP)またはEACは、一時IDまたは共有鍵材料がハイポオペレーション状態、撤回状態、または破壊状態であるかどうかを検証しなければならない。一時IDまたは共有鍵材料がハイポオペレーション状態、撤回状態、または破壊状態である場合には、サービスエンティティまたはEACは、対応するサービスエンティティとEACとの間で再認証手順を開始しなければならない。認証手順で、障害の理由を示すメッセージを受信する場合に、サービスエンティティまたはEACは、再認証手順を開始することもできる。さらに、SPが、SSと共有される派生鍵がハイポオペレーション状態、撤回状態、または破壊状態であることを見つけた場合に、SPは、SSに再認証要求を送信し、その要求内で再認証理由を示す。また、SSおよびSPの一時IDが正常状態である間に、共有される派生鍵だけがハイポオペレーション状態、撤回状態、または破壊状態である場合には、SSおよびSPは、EACとの最初のエンティティ認証を実行する必要はなく、SSは、EACがSP用の新しい共有される派生鍵を生成するようにするために、EACへの認証問合せ手順を開始しなければならず、SSは、同一の共有される派生鍵をそれ自体で生成する。
ここに、寿命およびハイポオペレーション状態の例がある。共有鍵材料の寿命を例にとり、共有鍵材料の寿命が48時間であり、44時間から48時間までの期間内に、共有鍵材料がハイポオペレーション状態であると仮定すると、共有鍵材料が45時間にわたって生存した場合に、この共有鍵材料がそのライフサイクルのハイポオペレーション状態にあると判断することができる。
エンティティ認証センタ(EAC)が、Kerberosサーバの機能を有する場合には、Kerberosモデルと組み合わされた認証問合せの機構を使用することができる。図6は、Kerberosモデルと組み合わされたエンドツーエンド認証モデルを示す概略図である。図6に示されているように、SSは、サービス許可チケットSGT(service granted ticket)をEACに要求し、SSのISR-IDおよびUIDをEACに供給する。EACは、ISR-IDおよびIAC-IDの妥当性をチェックし、サービス許可チケットを生成し、このサービス許可チケットをSSに返す。サービス要求をSPに発行する時に、SSは、要求内でサービス許可チケットを伝える。SPは、サービス許可チケットに従って派生鍵を生成し、その後、SSにサービス応答を返す。
図7は、図6に示された、Kerberosモデルと組み合わされた認証問合せのプロセスを示す概略図である。図7に示されているように、詳細なステップは、次の通りである。
ブロック701:あるサービスを獲得することを望む時に、SSは、まず、そのサービスに対応するサービス許可チケットがローカルに格納されているかどうかを検索する。格納されている場合には、ブロック705に進む。格納されていない場合には、SSは、SSのISR-IDおよびそのサービスを提供するSPのUIDを伝えるサービス許可チケット要求をEACに転送する。
ブロック702:サービス許可チケット要求を受信した時に、EACは、識別情報の妥当性および権限をチェックする。まず、EACは、要求内で伝えられたISR-IDが有効であるかどうかを問い合わせることによって、SSがそのサービスを使用する資格を与えられているかどうかを判断し、次に、要求内で伝えられたSPのUIDに従ってSPのIAC-IDを獲得し、IAC-IDが有効であるかどうかを判断することによって、SPがそのサービスを提供する資格を与えられているかどうかを判断する。
上記の判断が、SPがそのサービスを提供する資格を与えられている(すなわち、SPが正当である)ことを示す場合には、EACは、SSおよびSPの識別情報とSSおよびEACの共有鍵材料とに従って、SSとSPとの間のサービス通信を保護するための派生鍵K-SSP/SPを計算する。EACは、さらに、その派生鍵とSSおよびSPの識別情報とを含むサービス許可チケットを生成し、それ自体およびSPの共有鍵材料を使用して、そのSGTを暗号化する。
上記の判断が、SPがそのサービスを提供する資格を与えられていない(すなわち、SPが不正である)ことを示す場合には、EACは、エラーメッセージを転送し、EACでその識別情報を認証することについて、対応するエンティティに通知し、現在の手順を打ち切る。
ブロック703:EACは、上記で暗号化されたSGTをSSに転送する。
ブロック704:SGTを受信した時に、SSは、EACによって使用されたものと同一のパラメータおよびアルゴリズムを採用することによって、EACが生成したものと同一の派生鍵をローカルに生成する。
ブロック705:SSは、SGTを伝えるサービス要求をSPに転送する。
ブロック706:SPは、SGTを暗号化解除して、派生鍵を獲得する。
ブロック707:SPは、成功を識別するサービス要求応答をSSに返す。
ブロック708:SSおよびSPは、派生鍵を使用して、それらの間でサービスを保護する。
上記のブロック以外に、EACは、それ自体およびSSの共有鍵材料を使用して、派生鍵を暗号化し、暗号化された派生鍵をSSに転送することができる。したがって、SSは、ローカルに再計算するのではなく暗号化解除によって派生鍵を獲得することができる。
同様に、共有される派生鍵を獲得した後に、SSおよびSPは、その派生鍵を使用して、各サービス通信が始まる前にこの2つの当事者の間で相互認証を実行することができ、さらに、その通信のセキュリティを保護するセッション鍵Kr-SS-SPを生成し、その後、このセッション鍵を使用してサービス通信を保護することができる。
EACが、仲裁者として働くTTP(Trusted Third Party)の機能を有する場合には、Mediationモデルと組み合わされた認証問合せの機構を採用することもできる。図8は、Mediationモデルと組み合わされたエンドツーエンド認証モデルを示す概略図である。図8に示されているように、SSは、SPによって提供されるサービスを要求するために、サービス要求をEACに発行する。EACは、SSが正当であると判断した後に、このサービス要求をSPに転送する。SPは、それ自体のIAC-IDを伝えるサービス要求応答をEACに返す。EACは、IAC-IDに従ってSPの妥当性を判断する。SPが正当である場合には、EACは、SSとSPとの間の派生鍵を計算し、その派生鍵をSPに転送し、それと同時にサービス要求応答をSSに返す。SSは、この応答を受信した時に同一の派生鍵を計算する。
図9は、Mediationモデルと組み合わされた認証問合せのプロセスを示す流れ図である。図9に示されているように、詳細なブロックは、次の通りである。
ブロック901:SPによって提供されるサービスを使用することを望む場合に、SSは、まず、SSのISR-IDおよびSPのUIDを伝えるサービス要求をEACに発行する。
ブロック902:EACは、SSのISR-IDおよびSSのサブスクリプション情報の妥当性を判断して、SSがサービスを要求する資格を与えられているかどうかを判断する。
ブロック903:SSが正当である場合には、EACは、サービス要求をSPに転送し、ブロック904を実行する。SSが不正である場合には、EACは、エラーメッセージをSSに転送して、SSに、EACでのその識別情報の認証について通知し、現在の手順を打ち切る。
ブロック904:SPは、それ自体のIAC-IDを伝えるサービス要求応答を返す。
ブロック905:EACは、IAC-IDおよびSPのサブスクリプション情報の妥当性を検証して、SPがサービスを提供する資格を与えられているかどうかを判断する。SPが正当である場合には、EACは、SSおよびSPの識別情報ならびにSSおよびEACの共有鍵材料に従ってSSとSPとの間のサービス通信を保護する派生鍵を計算し、ブロック906を実行する。SPが不正である場合には、EACは、エラーメッセージをSPに転送して、SPに、EACでのそのIDの認証について通知し、現在の手順を打ち切る。
ブロック906:EACは、サービス要求成功応答をSSに転送し、EACおよびSPの共有鍵材料によって暗号化された派生鍵をSPに転送する。
ブロック907:EACによって転送されたサービス要求成功応答を受信した時に、SSは、EACによって使用されたものと同一のパラメータおよびアルゴリズムを採用して、派生鍵を獲得する。
ブロック908:SSおよびSPは、派生鍵を使用して、それらの間でサービスを保護する。
同様に、共有される派生鍵を獲得した後に、SSおよびSPは、各サービス通信が始まる前に、その派生鍵を使用して、この2つの当事者の間で相互認証を実行することができ、さらに、その通信のセキュリティを保護するセッション鍵Kr-SS-SPを生成し、その後、このセッション鍵を使用してサービス通信を保護することができる。
先の記載は、本発明の実施形態を例示するに過ぎない。サービスエンティティとして働くSSPなど、他の類似する状況で、SSPの形を変更することができる。SSPがサービスを要求する場合には、その処理の形は、上記のSSの処理の形と同一であるが、SSPがサービスを提供する場合には、その処理の形は、SPの処理の形と同一である。したがって、本発明の実施形態の範囲内で考えられ、当業者によって作られる一般的な変形形態および置換は、本発明の保護の範囲に含まれなければならない。
本発明による実施形態の認証方法の第1ステージおよび第2ステージの認証手順の実施形態を、以下で説明する。
図10は、本発明による実施形態でのサービスエンティティを認証する方法を示す流れ図である。図10を参照すると、本発明による認証方法の説明は、次の通りである。
ブロック1001:サービスエンティティは、そのサービスエンティティの識別情報、セキュリティ度合情報、そのサービスエンティティによよってサポートされる少なくとも1つの認証機構の情報(サービスエンティティによってサポートされる少なくとも1つの認証機構の情報が、ネットワークのサブスクリプション情報内に格納される場合には、認証機構の情報を伝えないものとすることができる)などを伝える認証要求をEACに転送する。
識別情報には、プライベートID(PID)またはUIDを含めることができる。セキュリティ度合の選択に関して、次の状況を考慮することができる。1) サービスエンティティは、ローカルに格納されたサービスセキュリティ度合リストを検索することによって、所望のサービスに対応するセキュリティ度合を選択することができる。2) サービスエンティティが、セキュリティ度合リストをローカルに格納しない場合には、セキュリティ度合を、ヒューマン-コンピュータインターフェースを介して加入者が手動で選択することができる。3) サービスエンティティは、セキュリティ度合を選択せずに、対応するサービスを提供するSPのUIDだけをEACに供給することができ、ここで、そのUIDが、SPによって提供されるサービスのタイプを識別することができる。次に、EACは、サービスのタイプに従ってセキュリティ度合リストを検索し、これによって、対応するセキュリティ度合を選択することができる。
ブロック1002:認証要求を受信した時に、EACは、要求内のIDに従ってESDに格納されたサブスクリプション情報を検索し、サービスエンティティおよびネットワークによってサポートされる認証機構とセキュリティ度合とを考慮して、ローカルポリシに従って認証機構を選択する。この実施形態で選択される認証機構を、認証機構bとして識別する。サポートされる認証機構には、AKA、SIM、CAVE、MN-AAA key、TLS-PSKまたはTLS-Cert、DHなどを含めることができる。
ネットワークおよびサービスエンティティが、1つの認証機構だけをサポートするときには、2つの当事者は、ネゴシエーションなしで、相互認証を実行するためにその認証機構を採用することができる。セキュリティ度合を選択する時に、EACは、サービスのセキュリティ度合要件を考慮してもしなくてもよい、すなわち、条件としてのセキュリティ度合は、認証ネゴシエーション手順について任意選択である。
ブロック1003:EACは、ブロック1002で選択された認証機構の識別子、セキュリティ度合(セキュリティ度合がブロック1002のネゴシエーション手順で考慮される場合には、セキュリティ度合は、サービスエンティティによって選択されたセキュリティ度合未満であってはならない)などを伝える認証初期化メッセージをサービスエンティティに転送する。
フォローアップ認証対話手順がEACによって開始される場合に、認証初期化メッセージは、認証機構上で命じられる、この手順の最初の認証メッセージによって伝えられる情報を含まなければならない。第1認証メッセージの内容は、AKA認証に関して、認証ベクトルであり、TSL認証の形に関して、その内容は、Hello Requestである。
ブロック1004:サービスエンティティは、認証機構を入手する。フォローアップ認証がサービスエンティティによって開始される場合には、サービスエンティティは、認証情報を計算するが、フォローアップ認証がEACによって開始される場合には、サービスエンティティは、関連する認証情報を受信した後に応答値を計算する。
ブロック1005:選択された認証機構に基づく認証対話手順が、サービスエンティティとEACとの間で実行される。
ブロック1006:認証の後に、サービスエンティティとEACとの両方が、共有鍵材料を入手し、EACは、サービスエンティティにISR-IDまたはIAC-IDを割り振り、このISR-IDまたはIAC-IDは、共有鍵材料に関連して格納され、共有鍵材料またはセキュリティ接続のSession IDを検索するためのインデックスとして働くことができる。
図11は、本発明による実施形態で3GPP無線ネットワークのサービスエンティティを認証する方法を示す流れ図である。図11を参照すると、この実施形態では、サービスエンティティがSSである。SSが3GPPネットワーク内のモバイル端末すなわち図11のUEであり、AKA認証だけをサポートする場合に、認証手順は、次の通りである。
ブロック1101:UEが、それ自体のIDを伝えるHTTPダイジェスト認証要求をEACに発行する。
ブロック1102:3GPPネットワークおよびUEは、AKA機構だけをサポートするので、この2つの当事者は、認証機構をネゴシエートせずに、認証にAKA機構を直接に採用する。EACは、ESDから、UE加入者の認証ベクトル(RAND、AUTN、RES、CK、IK)を入手する。
ブロック1103:EACは、認証ベクトル内でRANDおよびAUTNを伝えるHTTP 401メッセージ(ダイジェストAKAチャレンジを含む)をUEに転送する。
ブロック1104:UEは、AUTNを計算し、AUTNの妥当性を検証して、ダイジェストAKAチャレンジを含むメッセージが許可されたネットワークから来たものであるかどうかを確認し、CK、IK、およびRESを計算する。
ブロック1105:UEは、ダイジェストAKA応答および計算されたRESによって計算されたアブストラクト値を含むHTTP要求メッセージをEACに転送する。
ブロック1106:EACは、計算されたアブストラクト値の正確さを検証して、UEの妥当性を認証する。
ブロック1107:EACは、鍵材料Ks=CK‖IKおよびISR-IDを生成するが、その生成方法およびフォーマットは、3GPP包括的認証アーキテクチャのB-TIDの生成方法およびフォーマットと同一である。
ブロック1108:EACは、200 OKメッセージをUEに転送して、認証の成功の終了を識別し、このメッセージは、Ksによって暗号化されるが、鍵材料の寿命およびISR-IDを含む。
ブロック1109:UEも、同一の鍵材料Ks=CK‖IKを生成し、暗号化解除によってISR-IDおよび鍵材料の寿命を獲得し、ISR-IDおよび鍵材料の寿命をローカルに格納し、これらを認証機構に関連付ける。
図12は、本発明による実施形態での3GPP2無線ネットワークでサービスエンティティを認証する方法を示す流れ図である。この実施形態では、サービスエンティティがSSである。SSが、UEであり、AKA認証、証明書認証などの認証方法をサポートするが、3GPP2ネットワークが、AKA認証、CAVEベースの認証機構、およびMN-AAAベースの認証機構をサポートする場合には、認証手順は、図12を参照すると、次の通りである。
ブロック1201:UEは、UEの識別情報と、AKA認証および証明書認証など、UEがサポートする認証モードとを伝えるHTTP認証要求をEACに発行する。
ブロック1202:EACは、ESD内で、UEの識別情報に従ってUEのサブスクリプション情報を検索し、AKA認証、CAVEベースの認証機構、MN-AAAベースの認証機構など、自己がサポートする認証機構タイプに従ってローカルポリシを採用することによって、2つの当事者が認証を実行するためにAKA機構を使用すると判断する。EACは、ESDからUE加入者の認証ベクトル(RAND、AUTN、RES、CK、IK)を獲得する。
ブロック1203:EACは、RANDおよびAUTNを伝えるHTTP 401メッセージ(ダイジェストAKAチャレンジを含む)をUEに転送し、このメッセージのペイロード情報内に認証機構識別子を置く。
ブロック1204:UEは、AUTNを計算し、AUTNの正確さを検証して、チャレンジを含むメッセージが許可されたネットワークから来たものであるかどうかを確認し、CK、IK、およびRESを計算する。
ブロック1205:UEは、ダイジェストAKA応答およびRESによって計算されたアブストラクト値を含むHTTP要求メッセージをEACに送信する。
ブロック1206:EACは、アブストラクト値の正確さを検証して、UEの妥当性を認証する。
ブロック1207:EACは、鍵材料Ks=CK‖IKおよびISR-IDを生成するが、その生成方法およびフォーマットは、3GPP2包括的認証アーキテクチャのB-TIDの生成方法およびフォーマットと同一である。
ブロック1208:EACは、200 OKメッセージをUEに送信して、認証の成功の終了を識別し、このメッセージは、Ksによって暗号化され、ISR-IDおよび鍵材料の寿命を含む。
ブロック1209:UEも、同一のKs=CK‖IKを生成し、暗号化解除によってISR-IDおよび鍵材料の寿命を獲得し、ISR-IDおよび鍵材料の寿命を認証機構に関連付け、これらをローカルに格納する。
認証要求を受信した後に、UEがCAVEベースの認証機構をもサポートする場合には、EACは、それ自体の識別情報に従ってサブスクリプション情報を検索し、最終的に、それがサポートする認証モードのタイプを考慮してローカルポリシを採用することによって、CAVEベースの認証機構を使用しなければならないと判断し、フォローアップ認証手順は、3GPP2包括的認証アーキテクチャのCAVEベースの認証手順と同一である。AAA認証機構を使用しなければならないと判断される場合には、本発明の実施形態の包括的認証アーキテクチャを、同一の原理に従って使用することもできる。
図13は、本発明による実施形態において、SPが銀行である場合の、SPとエンティティ認証センタとの間で相互に認証する方法を示す流れ図である。この実施形態では、サービスエンティティは、銀行SPである。銀行SPが、UEに携帯電話銀行サービスを提供することを望むときに、銀行SPは、まず、共有鍵材料を生成し、セキュリティ接続を確立するために、EACとの相互認証を実行する必要があり、認証手順は、図13を参照すると、次の通りである。
ブロック1301:SPが、それ自体のUIDを伝える認証要求をEACに転送する。
ブロック1302:EACは、UIDに従ってSPのサブスクリプション情報を検索し、SPがサービスを提供する資格を与えられていると判断した後に、SPの認証能力の情報すなわち、証明書、証明書TLS認証、事前に供給される鍵ベースのTLS認証など、SPによってサポートされる認証モードを獲得する。
次に、EACは、サービスセキュリティ度合リストを検索し、携帯電話銀行サービスが高セキュリティ度合サービスに属すると判断し、認証セキュリティ度合リストを検索することによって、高セキュリティ度合を有するネットワークによってサポートされる認証モードが、HTTPダイジェストAKA、証明書TLS認証などを含むことを見つける。また、EACは、最終的に、SPによってサポートされる認証機構を照合し、相互認証で使用される認証機構を決定する。この実施形態では、証明書TLSを使用すると判断される。
ブロック1303:EACは、認証機構識別子(この実施形態では、証明書TLS認証の識別子である)およびセキュリティ度合識別子を伝えるHello RequestメッセージをSPに向けて開始する。
ブロック1304:SPは、認証機構が証明書TLSであることを知り、ローカルにSession IDすなわちIAC-IDがあるかどうかを検索する。TLSセキュリティチャネルが、EACの証明書TLS認証を介して確立済みであり、そのチャネルがまだ有効である場合には、Session IDを、TLSセキュリティチャネルのインデックスとすることができる。
ブロック1305:SPは、Client HelloメッセージをEACに転送する。SPが有効なSession IDを格納していない場合には、このメッセージのSession IDフィールドはヌルであり、SPが有効なSession IDすなわちIAC-IDを格納している場合には、このメッセージのSession IDフィールドはIAC-IDである。
ブロック1306:Client Helloメッセージを受信した時に、EACは、Session IDフィールドがヌルであるかどうかを検証する。Session IDフィールドがヌルではなく、関連するセキュリティ接続情報を、Session IDフィールド内で伝えられた情報と照合できる場合には、EACは、FinishedメッセージをSPに直接に転送して、セキュリティ接続の認証結果および共有鍵材料が使用可能であるかどうかを検証する。Finishedメッセージ内のパラメータが正しいことを検証した後に、SPは、もう1つのFinishedメッセージをEACに返す。EACが、Finishedメッセージ内のパラメータが正しいことを検証する場合に、この2つの当事者は、そのセキュリティ接続を再利用する。
Session IDフィールドがヌルであるか、上記のFinishedメッセージがエラーを有する場合には、EACは、ローカルポリシ構成メッセージ内のパラメータに従って、Server certificateメッセージ、ServerKeyExchangeメッセージ(任意選択)、およびCertificateRequestメッセージを返す。最終的に、EACは、ServerHelloDoneメッセージを返して、ServerHelloメッセージおよび関連メッセージが転送され終えたことを示す。
ブロック1307:ServerHelloDoneメッセージを受信した時に、SPは、Certificateメッセージを返し、その後、ClientKeyExchangeメッセージを転送し、このClientKeyExchangeメッセージを介して、2つの当事者は、共有される秘密パラメータを獲得する。その後、SPは、CertifiicateVerifyメッセージをEACに転送して、SPの証明書を明瞭に検証することにおいてEACを容易にする。最後に、ChangeCipherSpecメッセージを転送した後に、SPは、即座にFinishedメッセージをEACに転送して、鍵交換および認証手順が成功であることを識別する。
ブロック1308:EACは、SPのFinishedメッセージ内の情報が正しいかどうかを検証する。この情報が正しくない場合には、現在のハンドシェーク手順を打ち切り、この情報が正しい場合には、もう1つのFinishedメッセージをSPに返す。SPが、Finishedメッセージ内の情報が正しいことを検証する場合に、これは、2つの当事者間の認証および鍵交換手順が成功であることを意味する。
この実施形態は、3GPP/3GPP2ネットワーク内のNAFを認証する均一な手順を提供し、この手順は、本発明による包括的認証アーキテクチャについても適用可能である。
本発明の上記の実施形態に基づいて、エンティティ認証の装置も提供される。図14は、本発明の実施形態での認証の装置の実施形態を示す構造図である。図14を参照すると、エンティティ認証の装置は、認証要求を転送するモジュール、ネゴシエーションのモジュール、および認証対話のモジュールを含む。
認証要求を転送するモジュールは、サービスエンティティの認証要求をEACに転送するのに使用され、この認証要求の内容は、サービスエンティティの識別情報を含む。ネゴシエーションのモジュールは、認証要求を受信した後に、EACのローカルポリシに従って認証機構を選択するように構成される。認証対話のモジュールは、サービスエンティティとEACとの間で、選択された認証機構に基づいて認証対話を実行するのに使用される。諸機能の実行に関するこれらのモジュールの原理は、上記の手順で説明済みであり、本明細書では説明しない。
上記の認証解決策を基礎として、サービスエンティティとEACとの間の認証機構、認証問合せの機構および派生鍵を生成する機構、サービスエンティティの間の認証機構、ならびにセッション鍵を生成する機構などを含む、サービスエンティティ認証、認証問合せ手順、およびサービスエンティティの間の相互認証を全体として定義する認証モードをまず定義することを含む、機能強化された解決策が、本発明の実施形態によって提供される。この解決策は、短く次のように説明される。
1. 認証モードの定義
主にSSおよびEACの認証機構によって決定され、時々SSおよびSPの認証機構によって決定される、E2E認証モードを定義することができる。その認証モードでは、SSおよびEACの認証機構、SPおよびEACの認証機構、SSとSPとの間の認証機構、認証問合せの機構、派生鍵を生成する機構、セッション鍵を生成する機構などを含む複数の認証関連モードが定義され、実用的な応用例では、上記の認証関連モードの一部だけを、いくつかの場合に関して認証モード内で定義することができる。たとえば、SSおよびSPが、認証機構をネゴシエートせずに直接に認証でき、セキュリティ接続を確立できる場合に、SSとEACとの間の認証およびSPとEACとの間の認証は、不要である。したがって、この場合の認証関連モードでは、SSとSPとの間の認証機構およびセッション鍵を生成する方法だけを定義すればよい。
この認証モードでは、認証機構が任意選択であるか否かおよび認証方法をネゴシエートしなければならないか否かを含めて、各認証機構の選択するポリシをさらに定義することができる。
次のように、本発明の実施形態によって採用できる複数のタイプのエンドツーエンド(E2E)認証モードがある。
E2E_3GPP_AKA、E2E_3GPP2_AKA、E2E_3GPP2_CAVE、E2E_WLAN、E2E_3GPP2_MNAAA、E2E_3GPP_WLAN、E2E_Kerberos、E2E_Mediation、E2E_TLS(しかし、認証モードの定義は、これらのタイプに限定はされず、新しいタイプを必要に応じて定義することもできる)。これらのタイプの認証モードの実施形態は、次の通りである。
1. E2E_3GPP_AKAの定義は、次の通りである。
E2E_3GPP_AKA ::= struct {
SS<->EAC認証機構 AKA
ベアラプロトコル HTTPダイジェスト
SP<->EAC認証機構 TLS機構(またはIPSecチャネル機構など)
SS<->SP認証機構 基本的な問合せ機構
ベアラプロトコル TLS(または他のプロトコル)
セッション鍵を生成する機構 自己定義(または他の任意選択の機構)
}
2. E2E_3GPP2_CAVEの定義は、次の通りである。
E2E_3GPP2_CAVE ::= struct {
SS<->EAC認証機構 CAVEに基づく認証
ベアラプロトコル HTTPダイジェスト
SP<->EAC認証機構 TLS機構(またはIPSecチャネル機構など)
SS<->SP認証機構 基本的な問合せ機構
ベアラプロトコル TLS(または他のプロトコル)
セッション鍵を生成する機構 自己定義(または他の任意選択の機構)
}
3. E2E_WLAN ::= struct {
SS<->EAC認証機構 AKA (またはSIM)
ベアラプロトコル EAP (Extensible Authentication Protocol)
SP<->EAC認証機構 TLS機構(またはIPSecチャネル機構など)
SS<->SP認証機構 基本的な問合せ機構
ベアラプロトコル TLS(または他のプロトコル)
セッション鍵を生成する機構 自己定義(または他の任意選択の機構)
}
4. E2E_Kerberosの定義は、次の通りである。
SS<->EAC認証機構(ネゴシエーション可能、たとえば、AKA、CABEベースの認証、証明書ベースの認証)
SP<->EAC認証機構 IPSecチャネル(または他の任意選択の機構)
SS<->SP認証機構 Kerberos(強制的、Kerberos解決策および変更されたKerberos解決策のうちのどれを使用しなければならないかをネゴシエートすることができる)
ベアラプロトコル TCP (または他のプロトコル)
セッション鍵を生成する機構 TLS-Krb5 (または他の任意選択の機構)
}
5. E2E_TLSの定義は、次の通りである。
E2E_TLS ::= struct {
SS<->EAC認証機構 なし
SP<->EAC認証機構 なし
SS<->SP認証機構 TLS
セッション鍵を生成する機構 TLS-PSK5 (または他の任意選択の機構)
}
6. E2E_3G_GAAの定義は、次の通りである。
SSとEACとの間の認証機構は、SIM、AKA、CAVE、MN-AAA Key、TLS-PSK、TLS-Certなどのうちのいずれかとすることができる;
SPとEACとの間の認証機構は、TLS、IKEとすることができる;
認証問合せの機構および派生鍵を生成する機構は、GBAである;
SSとSPとの間の認証機構は、TLS-PSK、TLS-Certとすることができる。
7. E2E_KERBEROSの定義は、次の通りである。
SSとEACとの間の認証機構は、E2E_3G_GAAで定義されたものとすることができ、EACは、認証の後にSGTを生成し、サービスエンティティに送信する;
SPとEACとの間の認証機構は、NULL、TLS、IKEとすることができる;
認証問合せの機構および派生鍵を生成する機構は、Kerberosである;
SSとSPとの間の認証機構は、NULL、TLS-KBR5とすることができる。
8. E2E_Mediationの定義は、次の通りである。
SSとEACとの間の認証機構は、E2E_3G_GAAで定義されたもののほかに、IKEとすることができる;
SPとEACとの間の認証機構は、E2E_3G_GAAで定義されたものとすることができる;
認証問合せの機構および派生鍵を生成する機構は、Mediationである;
SSとSPとの間の認証機構は、TLS-PSKである。
9. E2E_TLSの定義は、次の通りである。
SSとEACとの間の認証機構は、NULLである;
SPとEACとの間の認証機構は、NULLである;
認証問合せの機構および派生鍵を生成する機構は、NULLである;
SSとSPとの間の認証機構は、TLS-Cert、TLS-PSKとすることができる。
上記のモードでは、新しい認証モードを、サービス要件に従って定義することができる。本発明の実施形態は、認証機構、選択ポリシ、および鍵を生成する機構など、認証モードで定義された特定の認証関連モードに限定されない。
図15は、本発明の実施形態でのサービス加入者とEACとの間の認証手順を示す流れ図である。図15を参照すると、この実施形態では、3GPPネットワーク内のモバイル加入者のUEが、インターネット内のアプリケーションサーバによって提供されるサービスを使用する(このサーバは、Kerberos認証プロトコルをサポートする)。詳細な手順は、次の通りである。
ブロック1501:SS(すなわち、UE)は、UEのID、認証機能識別子、サービスタイプを伝えるサービス要求をEACに転送し、このサービス要求は、EACがUIDを介してエンティティサブスクリプションデータベース(ESD)から対応するサービスタイプを検索することを可能にするために、サービスタイプではなく、SPのUIDを伝える場合がある。
ブロック1502:EACは、サービス要求内のIDと、SSおよびSPの認証機能の情報とに従ってローカルポリシを採用することによって、認証モードおよび対応する認証機構を選択する。この実施形態では、選択される認証モードが、E2E_Kerberosモードであると仮定する。
EACは、ローカルポリシおよび認証モード内の選択するポリシに従って各認証機構を判断することができる。ローカルポリシは、SSおよびSPが、この2つの当事者の認証機能およびサービスタイプに従って相互認証機構およびセッション鍵を生成する機構を選択することとすることができ、SPとEACとの間で相互認証を実行するかどうかは、SSおよびSPの相互認証機構によって判断することができる。相互認証を実行する必要がある場合には、認証機構は、SPおよびEACの認証機能ならびにサービスタイプなどに従って選択される。
ブロック1503:E2E_Kerberosモードの定義に従って、SSおよびEACの認証機構は、ネゴシエーション可能であり、したがって、認証機構を、ローカルポリシ(すなわち、2つの当事者の認証機能、2つの当事者によって使用されるサービスのタイプなど)に従って選択することができる。この実施形態では、SSおよびEACの認証機構は、AKA認証機構と仮定される。SSおよびEACの認証機構は、IPSecチャネルまたは他の機構とすることができ、任意選択である。この実施形態では、SSおよびEACの認証機構が、ヌルとして構成される、すなわち、SPとEACとの間の認証が実行されないと仮定する。SSおよびSPの認証機構は、Kerberosとしてセットされ、したがって、SSおよびSPの認証機構は、Kerberosまたは変更されたKerberos解決策のどちらを使用するかを判断することによってネゴシエートすることができ、ベアラプロトコルは、ネゴシエーションによってTCPまたは他のプロトコルとすることができる。この実施形態では、2つの当事者の認証機能、サービスタイプなどに従って、ネゴシエーションを介して、Kerberosが、SSおよびSPの認証機構として選択され、TLS-Krb5が、ベアラプロトコルとして選択される。セッション鍵を生成する機構は、TLS-Krb5または他の機構としてセットされ、任意選択であり、この実施形態では、TLS-Krb5が、セッション鍵を生成する機構として選択される。
上記で選択されたさまざまな認証モードに従って、SSとEACとの間の認証を開始することができる。SSおよびEACが、AKA相互認証を実行済みであり、生成された共有鍵およびISR-IDが、まだ寿命のうちである場合には、AKA相互認証を実行する必要はなく、ブロック1509を直接に実行して、SGTを生成することになる。
ブロック1504:EACは、加入者の認証ベクトル(RAND、AUTN、RES、CK、IK)をESDから獲得する。
ブロック1505:EACは、RANDおよびAUTNを伝えるHTTP 401メッセージ(ダイジェストAKAチャレンジを含む)をUEに転送し、メッセージのペイロード情報内で認証機構識別子aを伝える。
ブロック1506:UEは、AUTNを計算し、受信したAUTNの妥当性を検証して、チャレンジが許可されたネットワークから来たかどうかを確認し、CK、IK、およびRESを計算する。
ブロック1507:UEは、ダイジェストAKA応答およびRESを使用することによって計算されたアブストラクト値を含むHTTPメッセージをEACに転送する。
ブロック1508:EACは、計算されたアブストラクト値の正確さを検証して、UEの妥当性を認証する。
ブロック1509:EACは、共有鍵Ks=CK‖IKおよびISR-IDを生成し、次に、共有鍵Ks、SSのID、およびSPのUIDを使用して派生鍵Kspを生成し、生成された派生鍵をSGT内で伝え、このSGTの内容は、Ksp、SSのISR-ID、SPのUID、寿命、反射攻撃を防ぐためのパラメータなどを含み、SGTは、EACおよびSPの共有鍵によって暗号化される。
ブロック1510:EACは、共有鍵の寿命、ISR-ID、およびKsを使用することによって暗号化されたSGTを含む200 OKメッセージをUEに転送して、認証の成功の終了を識別する。
ブロック1511:UEは、共有鍵Ks=CK‖IKおよび派生鍵Kspをも生成し、その後、暗号化解除によって200 OKメッセージ内のISR-IDを獲得し、暗号化解除によって獲得した上記情報を認証モード情報に関連付け、関連付けられた情報をローカルに格納する。
図16は、本発明による実施形態での、SSとSPとの間の相互認証のプロセスを示す流れ図である。図16を参照すると、SSとSPとの間の相互認証の詳細な手順は、次の通りである。
ブロック1601:SSは、SPのUID、SSによってサポートされるTLS-KRB5暗号化スイート、およびE2E_Kerberosの認証モードの関連情報を伝えるClientHelloメッセージをSPに転送する。
E2E_Kerberosの認証モードの関連情報は、SSとSPとの間の認証機構およびセッション鍵を生成する機構を含む、定義されたモードを指す。
ブロック1602:Client Helloメッセージを受信した時に、SPは、Session IDフィールドがヌルであることを見つけ、その後、2つの当事者によってサポートされるTLS-KRB5暗号化スイートを選択し、ServerRequestメッセージ、ServerHello、およびServerHelloDoneメッセージをSSに転送する。
ブロック1603:ServiceHelloDoneメッセージを受信した時に、SSは、ClientKeyExchangeメッセージをSPに転送し、これによって、この2つの当事者は、事前に共有された秘密パラメータ(PreMasterSecret)を獲得する。SSは、PreMasterSecretおよび乱数を使用して、セッション鍵(MasterSecret)を生成する。その後、SSは、ChangeCipherSpecメッセージをSPに転送し、その後、正式の鍵交換および妥当性検査のためにFinishedメッセージをSPに転送する。
ブロック1604:SPは、SGTを暗号化解除し、SGTの妥当性をチェックし、共有される派生鍵Kspを獲得し、共有される派生鍵Kspを使用してPreMasterSecretを暗号化解除し、PreMasterSecretおよび乱数に従ってSSおよびSPのセッション鍵MasterSecretを生成する。その後、SPは、SSからのFinishedメッセージ内の情報が正しいかどうかを検証する。この情報が正しくない場合には、SPは、現在の手順を打ち切り、そうでない場合には、ブロック1605を実行する。
ブロック1605:SPは、ChangeCipherSpecメッセージをSSに転送し、その後、FinishedメッセージをSSに転送する。
ブロック1606:SSは、SPからのFinishedメッセージ内の情報が正しいかどうかを検証する。SSが、SPからのFinishedメッセージ内の情報が正しいと判断する場合には、これは、この2つの当事者の間の認証および鍵交換手順が成功して終了したことを意味する。
ブロック1607:SSおよびSPは、サービス通信データの転送を始める。
上記の手順で確立されたセッションが期限を過ぎてはいないときに、SSがもう一度サービス要求をSPに転送する場合に、最後のセッションで生成されたPreMasterSecretを再利用して、このサービス通信のための新しいセッション鍵(MasterSecret)を生成することができる。
図17は、本発明による実施形態での、セッション鍵を生成するためにSSおよびSPが認証結果を再利用するプロセスを示す流れ図である。図17を参照すると、詳細な手順は、次の通りである。
ブロック1701:SSは、最後に発生した最後のセッションのSession IDを伝えるClient HelloメッセージをSPに転送する。
ブロック1702:Client Helloメッセージを受信した時に、SPは、メッセージ内のSession IDがヌルとしてセットされてはいないことを見つけ、そのSession IDに関連するセキュリティ接続情報を照合することができ、したがって、そのSession IDは、このセッションを識別するために再利用される。さらに、SPは、Session IDを伝えるServerHelloメッセージをSSに転送し、その後、ServerHelloDoneメッセージをSSに転送する。
ブロック1703:SSは、SPと共有されたPreMasterSecretを使用してセッション鍵(MasterSecret)を生成する。
ブロック1704:SSは、ChangeCipherSpecメッセージをSPに転送し、その後、FinishedメッセージをSPに転送する。
ブロック1705:受信したFinishedメッセージが正しいと判断した後に、SPは、同一のPreMasterSecretを使用して、セッション鍵(MasterSecret)を生成する。
ブロック1706:SPは、ChangeCipherSpecメッセージをSSに転送し、その後、FinishedメッセージをSSに転送する。
ブロック1707:SSによって受信されたFinishedメッセージが正しいと判断される場合に、この2つの当事者の間の相互認証が打ち切られ、サービス通信データが転送され始める。
認証モードに基づく機能強化されたエンティティ認証解決策に従って、エンティティ認証のもう1つの装置が、本発明による実施形態によって提供される。この装置は、図14に示された装置に類似する。図18は、本発明によるエンドツーエンド通信認証装置の実施形態を示す概略図である。図18を参照すると、エンティティ認証の装置は、認証要求をEACに転送するように構成された転送するモジュール(図14に示された認証要求を転送するモジュールに類似する)と、転送するモジュールによって転送された認証要求に従って認証モードを選択し、サービスエンティティに知らせるように構成された選択するモジュール(図14のネゴシエーションのモジュールに類似する)と、選択するモジュールによって選択された認証機構に従って、サービスエンティティとEACとの間またはサービスエンティティの間で認証を実行するように構成された認証のモジュールとを含む。これらのモジュールの特定の機能を実施するための原理は、上記の手順で説明済みであり、したがって、さらなる説明は、本明細書では提供しない。
もちろん、上記の2つの装置の機能を実現できる、エンティティ認証の別の装置を、本発明による実施形態によって提供することができる。この装置は、上記の転送するモジュールおよび認証要求を転送するモジュールの機能を実行するのに使用される第1モジュールと、選択するモジュールおよびネゴシエーションのモジュールの機能を実行するのに使用される第2モジュールと、認証のモジュールおよび認証対話のモジュールの機能を実行するのに使用される第3モジュールとを含むことができる。この装置に関するさらなる説明は、本明細書では提供しない。
以上の記載は、本発明の実施形態に過ぎず、本発明の保護の範囲を限定するのに使用するためのものではない。本発明の趣旨および原理の範囲内のすべての変更、同等の置換、または改善は、添付の特許請求の範囲の保護範囲に含まれなければならない。
GAA(Generic Authentication Architecture)のアーキテクチャを示す概略図である。 従来技術の3GPP2でのGAAのアーキテクチャを示す図である。 本発明の実施形態によるモバイルネットワークに基づくエンドツーエンド通信認証のアーキテクチャを示す概略図である。 本発明による実施形態での、サービスエンティティとエンティティ認証センタとの間で認証機構をネゴシエートし、相互認証を実行するプロセスを示す流れ図である。 本発明による実施形態での、サービスエンティティとエンティティ認証センタとの間での認証問合せのプロセスを示す流れ図である。 Kerberosモデルと組み合わされたエンドツーエンド認証モデルを示す概略図である。 Kerberosモデルと組み合わされた認証問合せのプロセスを示すブロック図である。 Mediationモデルと組み合わされたエンドツーエンド認証モデルを示す概略図である。 Mediationモデルと組み合わされた認証問合せのプロセスを示すブロック図である。 本発明による実施形態でのサービスエンティティを認証する方法を示す流れ図である。 本発明による実施形態による3GPP無線ネットワークでサービスエンティティを認証する方法を示す流れ図である。 本発明による実施形態での3GPP2無線ネットワークでサービスエンティティを認証する方法を示す流れ図である。 本発明による実施形態での、SPが銀行である場合の、SPとエンティティ認証センタとの間で相互に認証する方法を示す流れ図である。 本発明の実施形態による、認証装置の実施形態の構造を示す概略図である。 本発明による実施形態での、サービス加入者とエンティティ認証センタとの間の認証のプロセスを示す流れ図である。 本発明による実施形態での、サービス加入者とサービスプロバイダとの間の相互認証のプロセスを示す流れ図である。 本発明による実施形態での、セッション鍵を生成するためにサービス加入者およびサービスプロバイダが認証結果を再利用するプロセスを示す流れ図である。 本発明によるエンドツーエンド通信認証装置の実施形態の構造を示す概略図である。
符号の説明
101 加入者
102 BSF(Bootstrapping Server Function)
103 HSS(Home Subscriber Server)
104 NAF(Network Application Function)
201 MN(Mobile Node)
202 NAF(Network Application Function)
203 BSF
204 HSS
301 サービス加入者(SS)
302 サービスプロバイダ(SP)
303 エンティティ認証センタ(EAC)
304 エンティティサブスクリプションデータベース(ESD)

Claims (7)

  1. サービスを要求する第1サービスエンティティと、前記サービスを提供する第2サービスエンティティと、エンティティ認証センタすなわちEACとを具備するシステムに適用される、モバイルネットワークに基づくエンドツーエンド通信において認証を行う方法であって、
    前記第1サービスエンティティと前記EACとの間で認証モードをネゴシエートする段階であって、前記ネゴシエートされた認証モードは、前記第1サービスエンティティと前記EACとの間の認証機構と、前記第2サービスエンティティと前記EACとの間の認証機構と、認証問合せの機構と、派生鍵を生成する機構と、前記第1サービスエンティティと前記第2サービスエンティティとの間の認証機構とを含む、段階と、
    前記ネゴシエートされた認証モードに含まれる前記第1サービスエンティティと前記EACとの間の前記認証機構に従って前記EACと前記第1サービスエンティティとの間で相互認証を実行し、前記ネゴシエートされた認証モードに含まれる前記第2サービスエンティティと前記EACとの間の前記認証機構に従って前記EACと前記第2サービスエンティティとの間で相互認証を実行する段階と、
    前記第1サービスエンティティが、前記サービスを提供するように前記第2サービスエンティティに要求する場合に、前記EACが、前記ネゴシエートされた認証モードに含まれる認証問合せの前記機構に従って前記第1サービスエンティティおよび前記第2サービスエンティティに関する認証問合せを提供し、前記ネゴシエートされた認証モードに含まれる派生鍵を生成する前記機構に従って前記第1サービスエンティティと前記第2サービスエンティティとの間の通信を保護する共有される派生鍵を生成する段階と、
    前記第1サービスエンティティおよび前記第2サービスエンティティが、前記共有される派生鍵、および前記ネゴシエートされた認証モードに含まれる前記第1サービスエンティティと前記第2サービスエンティティとの間の前記認証機構に従って互いを認証し、前記サービスを保護するセッション鍵を生成する段階と
    を有し、
    前記第1サービスエンティティによって、前記EACと認証モードをネゴシエートする段階は、
    前記第1サービスエンティティによって、認証要求を前記EACに送信する段階であって、前記認証要求は、前記第1サービスエンティティの識別情報および現在要求されているサービスのタイプを伝える、段階と、
    前記EACが、現在要求されている前記サービスの前記タイプに従って前記サービスを提供する前記第2サービスエンティティを判定し、前記第1サービスエンティティおよび前記第2サービスエンティティの認証機能を獲得し、前記第1サービスエンティティおよび前記第2サービスエンティティの前記認証機能に従って前記認証モードを選択する段階と
    を有することを特徴とする方法。
  2. 前記認証モードは、前記第1サービスエンティティと前記第2サービスエンティティとの間のセッション鍵を生成する機構をさらに含み、
    前記サービスを保護する前記セッション鍵を生成する段階は、前記ネゴシエートされた認証モードに含まれる前記第1サービスエンティティと前記第2サービスエンティティとの間の前記セッション鍵を生成する前記機構に従って前記セッション鍵を生成する段階を有することを特徴とする請求項1に記載の方法。
  3. 前記EACと前記第1サービスエンティティとの間で前記相互認証を実行する段階は、
    前記EACおよび前記第1サービスエンティティによって互いを認証する段階と、
    前記EACによって前記第1サービスエンティティの一時識別情報を割り振る段階と、
    前記EACおよび前記第1サービスエンティティが、それぞれ、それらの間での通信を保護する共有鍵材料を獲得し、前記獲得された共有鍵材料と共に前記割り振られた一時識別情報を格納する段階と
    を有し、
    前記EACと前記第2サービスエンティティとの間で前記相互認証を実行する段階は、
    前記EACおよび前記第2サービスエンティティによって互いを認証する段階と、
    前記EACによって前記第2サービスエンティティの一時識別情報を割り振る段階と、
    前記EACおよび前記第2サービスエンティティが、それぞれ、それらの間での通信を保護する共有鍵材料を獲得し、前記獲得された共有鍵材料と共に前記割り振られた一時識別情報を格納する段階と
    を有し、
    前記EACが、前記第1サービスエンティティおよび前記第2サービスエンティティに関する認証問合せを提供し、前記第1サービスエンティティと前記第2サービスエンティティとの間の通信を保護する共有される派生鍵を生成する段階は、
    前記EACが、前記第1サービスエンティティおよび前記第2サービスエンティティの前記一時識別情報に従って前記第1サービスエンティティおよび前記第2サービスエンティティの権限を認証する段階と、
    前記EACが、前記EACと前記第1サービスエンティティとの間の前記通信を保護する前記共有鍵材料、および前記第1サービスエンティティおよび前記第2サービスエンティティの前記一時識別情報に従って、前記第1サービスエンティティと前記第2サービスエンティティとの間の前記通信を保護する前記共有される派生鍵を計算する段階と、
    前記EACが、前記共有される派生鍵を前記第2サービスエンティティに転送する段階と、
    前記第2サービスエンティティが、前記第1サービスエンティティの前記一時識別情報、前記共有される派生鍵、および現在要求されている前記サービスの前記タイプを関連付ける段階と、
    前記第2サービスエンティティが、前記関連付けられた前記第1サービスエンティティの前記一時識別情報、前記共有される派生鍵、および現在要求されている前記サービスの前記タイプを格納する段階と、
    前記第1サービスエンティティが、前記EACとの前記通信を保護する前記共有鍵材料、および前記第1サービスエンティティおよび前記第2サービスエンティティの前記一時識別情報に従って、前記共有される派生鍵を計算する段階と
    を有することを特徴とする請求項1に記載の方法。
  4. 前記共有される派生鍵、前記共有鍵材料、および前記一時識別情報のそれぞれは、寿命を有し、
    前記方法は、
    前記EACによって、その前記寿命が満了しようとしているかまたは満了した前記共有鍵材料または前記一時識別情報に対応する前記第1サービスエンティティおよび/または前記第2サービスエンティティに、再認証手順を開始しなければならないことを通知する段階、
    その前記寿命が満了しようとしているかまたは満了した前記共有鍵材料または前記一時識別情報に対応する前記第1サービスエンティティおよび/または前記第2サービスエンティティによって、前記EACに対する前記再認証手順を開始する段階、
    前記EACによって、その前記寿命が満了しようとしているかまたは満了した前記共有される派生鍵に対応する前記第1サービスエンティティに、前記再認証手順を開始しなければならないことを通知する段階、
    および/または、
    前記第2サービスエンティティによって、前記第1サービスエンティティと前記第2サービスエンティティとの間の前記通信を保護する前記共有される派生鍵の前記寿命または前記第1サービスエンティティの前記一時識別情報の前記寿命が満了しようとしているかまたは満了した場合に、前記再認証手順を開始しなければならないことを前記第1サービスエンティティに通知する段階
    をさらに有することを特徴とする請求項3に記載の方法。
  5. 前記第1サービスエンティティおよび前記第2サービスエンティティの認証機能を獲得する前記段階は、
    前記EACが、前記認証要求から前記第1サービスエンティティの前記認証機能を獲得し、前記第2サービスエンティティを判定した後に、前記第2サービスエンティティのサブスクリプションデータを問い合わせることによって、前記第2サービスエンティティの前記識別情報に従って前記第2サービスエンティティの前記認証機能を獲得する段階、
    または、
    前記EACが、前記第1サービスエンティティのサブスクリプションデータを問い合わせることによって、前記第1サービスエンティティの前記識別情報に従って前記第1サービスエンティティの前記認証機能を獲得し、前記第2サービスエンティティを判定した後に、前記第2サービスエンティティの前記サブスクリプションデータを問い合わせることによって前記第2サービスエンティティの前記認証機能を獲得する段階
    を有することを特徴とする請求項1に記載の方法。
  6. モバイルネットワークに基づくエンドツーエンド通信において認証を行うシステムであって、
    サービスを要求する第1サービスエンティティと、
    サービスを提供する第2サービスエンティティと、
    エンティティ認証センタすなわちEACと、
    サービスエンティティのサブスクリプションデータを格納するデータベースと
    を具備し、
    前記第1サービスエンティティは、認証に関係する少なくとも1つの機構を含む認証モードを前記EACとネゴシエートし、前記ネゴシエートされた認証モードに従って前記第1サービスエンティティと前記EACとの間で相互認証を実行し、前記第2サービスエンティティにサービスを要求し、前記ネゴシエートされた認証モードに従って、前記第1サービスエンティティと前記第2サービスエンティティとの間の通信を保護する共有される派生鍵に従って前記第1サービスエンティティと前記第2サービスエンティティとの間で相互認証を実行し、前記サービスを保護するセッション鍵を生成するように構成され、
    前記第2サービスエンティティは、前記ネゴシエートされた認証モードに従って前記EACを認証し、前記第1サービスエンティティが前記サービスを要求する場合に前記ネゴシエートされた認証モードに従って前記第1サービスエンティティと前記第2サービスエンティティとの間の前記通信を保護する前記共有される派生鍵に従って前記第1サービスエンティティと前記第2サービスエンティティとの間で前記相互認証を実行し、前記サービスを保護するセッション鍵を生成するように構成され、
    前記EACは、前記ネゴシエートされた認証モードに従って、前記EACと前記第1サービスエンティティとの間の前記相互認証と、前記EACと前記第2サービスエンティティとの間の相互認証とをそれぞれ実行し、前記第1サービスエンティティが前記サービスを要求する時に、前記ネゴシエートされた認証モードに従って前記第1サービスエンティティおよび前記第2サービスエンティティに関する認証問合せを提供し、前記第1サービスエンティティと前記第2サービスエンティティとの間の前記通信を保護する前記共有される派生鍵を生成するように構成され、
    前記EACは、前記認証モードをネゴシエートする場合に、前記第1サービスエンティティによって現在要求されているサービスのタイプに従って前記サービスを提供する前記第2サービスエンティティを判定し、前記第1サービスエンティティおよび前記第2サービスエンティティの認証機能を獲得するために前記第1サービスエンティティおよび前記第2サービスエンティティの識別情報に従って前記データベースに問い合わせ、前記第1サービスエンティティおよび前記第2サービスエンティティの前記獲得された認証機能に従って前記認証モードを選択するようにさらに構成されることを特徴とするシステム。
  7. 前記EACは、前記EACと前記第1サービスエンティティとの間の前記相互認証と、前記EACと前記第2サービスエンティティとの間の前記相互認証とをそれぞれ実行する時に、それぞれ、前記第1サービスエンティティおよび前記第2サービスエンティティの一時識別情報を割り振り、前記第1サービスエンティティおよび前記第2サービスエンティティとの通信を保護する共有鍵材料を獲得し、前記第1サービスエンティティおよび前記第2サービスエンティティに関する前記認証問合せを提供する時に、前記ネゴシエートされた認証モードに従って、前記第1サービスエンティティおよび前記第2サービスエンティティの前記一時識別情報、および前記第1サービスエンティティとの前記通信を保護する前記共有鍵材料に従って、前記第1サービスエンティティと前記第2サービスエンティティとの間の前記通信を保護する前記共有される派生鍵を計算し、前記共有される派生鍵を前記第2サービスエンティティに転送するように構成され、
    前記第1サービスエンティティは、前記サービスを要求する時に、前記ネゴシエートされた認証モードに従って、前記第1サービスエンティティおよび前記第2サービスエンティティの前記一時識別情報、および前記EACとの前記通信を保護する前記共有鍵材料に従って、前記共有される派生鍵を計算するように構成され、
    前記第2サービスエンティティは、前記EACによって返された前記共有される派生鍵および前記第1サービスエンティティによって要求された前記サービスの前記タイプと共に前記第1サービスエンティティの前記一時識別情報を格納するようにさらに構成されることを特徴とする請求項6に記載のシステム。
JP2008551629A 2006-01-24 2006-12-26 モバイルネットワークに基づくエンドツーエンド通信での認証の方法、システム、および認証センタ Active JP5123209B2 (ja)

Applications Claiming Priority (7)

Application Number Priority Date Filing Date Title
CN200610033377.2 2006-01-24
CNA2006100333772A CN101009919A (zh) 2006-01-24 2006-01-24 一种基于移动网络端到端通信的认证方法
CN200610074902A CN101052032B (zh) 2006-04-04 2006-04-04 一种业务实体认证方法及装置
CN200610074902.5 2006-04-04
CN200610079252A CN101060406B (zh) 2006-04-20 2006-04-20 一种端到端通信认证的方法及装置
CN200610079252.3 2006-04-20
PCT/CN2006/003601 WO2007085175A1 (en) 2006-01-24 2006-12-26 Authentication method, system and authentication center based on end to end communication in the mobile network

Related Child Applications (1)

Application Number Title Priority Date Filing Date
JP2012198258A Division JP2012253817A (ja) 2006-01-24 2012-09-10 モバイルネットワークに基づくエンドツーエンド通信での認証の方法、システム、および認証センタ

Publications (2)

Publication Number Publication Date
JP2009524369A JP2009524369A (ja) 2009-06-25
JP5123209B2 true JP5123209B2 (ja) 2013-01-23

Family

ID=38068497

Family Applications (2)

Application Number Title Priority Date Filing Date
JP2008551629A Active JP5123209B2 (ja) 2006-01-24 2006-12-26 モバイルネットワークに基づくエンドツーエンド通信での認証の方法、システム、および認証センタ
JP2012198258A Pending JP2012253817A (ja) 2006-01-24 2012-09-10 モバイルネットワークに基づくエンドツーエンド通信での認証の方法、システム、および認証センタ

Family Applications After (1)

Application Number Title Priority Date Filing Date
JP2012198258A Pending JP2012253817A (ja) 2006-01-24 2012-09-10 モバイルネットワークに基づくエンドツーエンド通信での認証の方法、システム、および認証センタ

Country Status (7)

Country Link
US (2) US7984298B2 (ja)
EP (1) EP1811744B1 (ja)
JP (2) JP5123209B2 (ja)
KR (1) KR101009330B1 (ja)
AT (1) ATE442730T1 (ja)
DE (1) DE602007002308D1 (ja)
WO (1) WO2007085175A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012253817A (ja) * 2006-01-24 2012-12-20 ▲ホア▼▲ウェイ▼技術有限公司 モバイルネットワークに基づくエンドツーエンド通信での認証の方法、システム、および認証センタ

Families Citing this family (59)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU2005318933B2 (en) * 2004-12-21 2011-04-14 Emue Holdings Pty Ltd Authentication device and/or method
CN103067399B (zh) * 2006-08-22 2016-03-09 交互数字技术公司 无线发射/接收单元
GB0621772D0 (en) * 2006-11-01 2006-12-13 Nokia Corp Accessing services
US20090109080A1 (en) * 2007-10-30 2009-04-30 Everspring Industry Co., Ltd. Remote control security supervisory control method
FI122163B (fi) * 2007-11-27 2011-09-15 Teliasonera Ab Verkkopääsyautentikointi
JP5496907B2 (ja) * 2007-11-30 2014-05-21 テレフオンアクチーボラゲット エル エム エリクソン（パブル） セキュアな通信のための鍵管理
US9692602B2 (en) * 2007-12-18 2017-06-27 The Directv Group, Inc. Method and apparatus for mutually authenticating a user device of a primary service provider
US8782759B2 (en) * 2008-02-11 2014-07-15 International Business Machines Corporation Identification and access control of users in a disconnected mode environment
US20090259849A1 (en) * 2008-04-10 2009-10-15 Igor Faynberg Methods and Apparatus for Authenticated User-Access to Kerberos-Enabled Applications Based on an Authentication and Key Agreement (AKA) Mechanism
JP5513482B2 (ja) * 2008-04-14 2014-06-04 コーニンクレッカ フィリップス エヌ ヴェ ネットワーク内のステーション分散識別方法
US9668139B2 (en) * 2008-09-05 2017-05-30 Telefonaktiebolaget Lm Ericsson (Publ) Secure negotiation of authentication capabilities
KR101089889B1 (ko) * 2008-11-21 2011-12-05 한국전자통신연구원 다운로더블 제한수신시스템 및 상기 다운로더블 제한수신시스템에서 인증 서버와 단말 간 암호화된 양방향 통신을 위한 세션 제어 방법
US8375432B2 (en) 2009-08-31 2013-02-12 At&T Mobility Ii Llc Methods, apparatus, and computer program products for subscriber authentication and temporary code generation
CN102550001B (zh) * 2009-10-19 2015-07-08 诺基亚公司 用于允许自举架构和共享身份服务相互作用的用户身份管理
US20120291109A1 (en) * 2009-12-28 2012-11-15 Nec Corporation User information utilization system, device, method, and program
US8296836B2 (en) * 2010-01-06 2012-10-23 Alcatel Lucent Secure multi-user identity module key exchange
CN102143491B (zh) 2010-01-29 2013-10-09 华为技术有限公司 对mtc设备的认证方法、mtc网关及相关设备
US9183374B2 (en) * 2010-07-15 2015-11-10 Novell, Inc. Techniques for identity-enabled interface deployment
JP5652036B2 (ja) 2010-07-29 2015-01-14 ソニー株式会社 通信システム、通信装置及び通信方法、並びにコンピューター・プログラム
EP2604017B1 (en) * 2010-08-10 2017-10-04 Google Technology Holdings LLC System and method for cognizant transport layer security
EP2637351A4 (en) * 2010-11-04 2016-09-07 Zte Corp METHOD AND SYSTEM FOR OPENING SINGLE SESSION
EP2461613A1 (en) * 2010-12-06 2012-06-06 Gemalto SA Methods and system for handling UICC data
US10103887B2 (en) * 2010-12-21 2018-10-16 Koninklijke Kpn N.V. Operator-assisted key establishment
US8914636B2 (en) * 2011-06-28 2014-12-16 Interdigital Patent Holdings, Inc. Automated negotiation and selection of authentication protocols
WO2014074885A2 (en) * 2012-11-09 2014-05-15 Interdigital Patent Holdings, Inc. Identity management with generic bootstrapping architecture
JP5746774B2 (ja) * 2014-01-06 2015-07-08 テレフオンアクチーボラゲット エル エム エリクソン（パブル） セキュアな通信のための鍵管理
US10389714B2 (en) * 2014-03-31 2019-08-20 Idaax Technologies Private Limited Increased communication security
US9426136B2 (en) 2014-03-31 2016-08-23 EXILANT Technologies Private Limited Increased communication security
US9419949B2 (en) 2014-03-31 2016-08-16 EXILANT Technologies Private Limited Increased communication security
US10430779B2 (en) * 2014-04-08 2019-10-01 Capital One Services Llc Systems and methods for transacting at an ATM using a mobile device
CN105306406A (zh) * 2014-05-26 2016-02-03 中国移动通信集团公司 认证和密钥协商算法的协商方法、网络侧设备和用户设备
US10250698B2 (en) 2014-08-25 2019-04-02 Futurewei Technologies, Inc. System and method for securing pre-association service discovery
US9432379B1 (en) * 2014-10-09 2016-08-30 Emc Corporation Dynamic authorization in a multi-tenancy environment via tenant policy profiles
CN107005569B (zh) 2014-10-31 2021-09-07 康维达无线有限责任公司 端对端服务层认证
KR102001753B1 (ko) 2015-03-16 2019-10-01 콘비다 와이어리스, 엘엘씨 공개 키잉 메커니즘들을 사용한 서비스 계층에서의 종단간 인증
JP6331031B2 (ja) * 2015-03-26 2018-05-30 パナソニックＩｐマネジメント株式会社 認証方法、認証システム及び通信機器
US9801055B2 (en) * 2015-03-30 2017-10-24 Qualcomm Incorporated Authentication and key agreement with perfect forward secrecy
US10050789B2 (en) 2015-04-24 2018-08-14 Red Hat, Inc. Kerberos preauthentication with J-PAKE
US10291607B1 (en) * 2016-02-02 2019-05-14 Wickr Inc. Providing real-time events to applications
US20190020643A1 (en) * 2016-02-12 2019-01-17 Telefonaktiebolaget Lm Ericsson (Publ) Securing an interface and a process for establishing a secure communication link
KR20170104180A (ko) * 2016-03-07 2017-09-15 한국전자통신연구원 전자 장치 및 전자 장치 간의 인증 수행 방법
US10462109B2 (en) * 2016-06-12 2019-10-29 Apple Inc. Secure transfer of a data object between user devices
CN107623668A (zh) * 2016-07-16 2018-01-23 华为技术有限公司 一种网络认证方法、相关设备及系统
EP3485668B1 (en) 2016-07-18 2021-07-07 Telefonaktiebolaget LM Ericsson (PUBL) Network nodes and methods performed by network node for selecting authentication mechanism
US10904743B2 (en) * 2017-04-12 2021-01-26 Telefonaktiebolaget Lm Ericsson (Publ) Methods for automatic bootstrapping of a device
US20200153807A1 (en) * 2017-07-18 2020-05-14 Hewlett-Packard Development Company, L.P. Rendering apparatus identities
FR3077175A1 (fr) * 2018-01-19 2019-07-26 Orange Technique de determination d'une cle destinee a securiser une communication entre un equipement utilisateur et un serveur applicatif
US11088829B2 (en) 2018-09-04 2021-08-10 International Business Machines Corporation Securing a path at a node
US11038698B2 (en) 2018-09-04 2021-06-15 International Business Machines Corporation Securing a path at a selected node
US11991273B2 (en) 2018-09-04 2024-05-21 International Business Machines Corporation Storage device key management for encrypted host data
US11025413B2 (en) 2018-09-04 2021-06-01 International Business Machines Corporation Securing a storage network using key server authentication
US11038671B2 (en) 2018-09-04 2021-06-15 International Business Machines Corporation Shared key processing by a storage device to secure links
US10833856B2 (en) * 2018-09-04 2020-11-10 International Business Machines Corporation Automatic re-authentication of links using a key server
US11822637B2 (en) * 2018-10-18 2023-11-21 Oracle International Corporation Adaptive authentication in spreadsheet interface integrated with web service
CN112688782B (zh) 2019-10-17 2023-09-08 华为技术有限公司 一种组合式设备的远程证明方法及设备
CN113163399B (zh) * 2020-01-07 2024-06-11 阿里巴巴集团控股有限公司 一种终端与服务器的通信方法和装置
US12069165B2 (en) * 2021-01-20 2024-08-20 Cisco Technology, Inc. Intelligent and secure packet captures for cloud solutions
MX2024007817A (es) * 2021-12-31 2024-07-04 China Mobile Comm Co Ltd Res Inst Metodo de autenticacion y/o gestion de claves, primer dispositivo, terminal y dispositivo de comunicacion.
WO2023230929A1 (zh) * 2022-05-31 2023-12-07 华为技术有限公司 通信方法及相关装置

Family Cites Families (63)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2788914B1 (fr) * 1999-01-22 2001-03-23 Sfr Sa Procede d'authentification, avec etablissement d'un canal securise, entre un abonne et un fournisseur de services accessible via un operateur de telecommunication
FI19991733A7 (fi) 1999-08-16 2001-02-17 Nokia Networks Oy Autentikointi matkaviestinjärjestelmässä
US6957199B1 (en) * 2000-08-30 2005-10-18 Douglas Fisher Method, system and service for conducting authenticated business transactions
AU2001221632A1 (en) * 2000-11-28 2002-06-11 Nokia Corporation System and method for authentication of a roaming subscriber
US20020147820A1 (en) 2001-04-06 2002-10-10 Docomo Communications Laboratories Usa, Inc. Method for implementing IP security in mobile IP networks
EP1288765B1 (en) * 2001-09-04 2007-11-21 Telefonaktiebolaget LM Ericsson (publ) Universal authentication mechanism
US6993652B2 (en) * 2001-10-05 2006-01-31 General Instrument Corporation Method and system for providing client privacy when requesting content from a public server
US7313816B2 (en) * 2001-12-17 2007-12-25 One Touch Systems, Inc. Method and system for authenticating a user in a web-based environment
US7818792B2 (en) * 2002-02-04 2010-10-19 General Instrument Corporation Method and system for providing third party authentication of authorization
EP1343342B1 (en) * 2002-03-08 2006-11-29 Sony Ericsson Mobile Communications AB Security protection for data communication
US8130953B2 (en) * 2002-03-08 2012-03-06 Sony Ericsson Mobile Communications Ab Security protection for data communication
JP4668610B2 (ja) * 2002-05-24 2011-04-13 テレフオンアクチーボラゲット エル エム エリクソン（パブル） サービスプロバイダのサービスに対するユーザ認証の方法
US7373508B1 (en) * 2002-06-04 2008-05-13 Cisco Technology, Inc. Wireless security system and method
DE60323182D1 (de) * 2002-06-11 2008-10-09 Matsushita Electric Industrial Co Ltd Authentifizierungssystem
EP1526677A4 (en) * 2002-06-19 2006-12-20 Secured Communications Inc METHOD AND DEVICE FOR INTER AUTHENTICATION
US7720910B2 (en) * 2002-07-26 2010-05-18 International Business Machines Corporation Interactive filtering electronic messages received from a publication/subscription service
US7386878B2 (en) * 2002-08-14 2008-06-10 Microsoft Corporation Authenticating peer-to-peer connections
KR20040075380A (ko) 2003-02-20 2004-08-30 삼성전자주식회사 억세스 가상 사설망의 데이터 암호화 방법
JP4240297B2 (ja) * 2003-04-21 2009-03-18 ソニー株式会社 端末機器、認証端末プログラム、機器認証サーバ、機器認証プログラム
JP4476025B2 (ja) * 2003-06-06 2010-06-09 株式会社リコー 画像形成装置
US7526640B2 (en) * 2003-06-30 2009-04-28 Microsoft Corporation System and method for automatic negotiation of a security protocol
US7428637B1 (en) * 2003-07-30 2008-09-23 Billman Richard E Dynamic authentication and initialization method
FR2858732B1 (fr) * 2003-08-05 2005-09-16 France Telecom Systeme de selection automatique d'authentification
JP4617763B2 (ja) * 2003-09-03 2011-01-26 ソニー株式会社 機器認証システム、機器認証サーバ、端末機器、機器認証方法、および機器認証プログラム
US8140054B2 (en) * 2003-10-31 2012-03-20 Electronics And Telecommunications Research Institute Method for authenticating subscriber station, method for configuring protocol thereof, and apparatus thereof in wireless portable internet system
CN1315268C (zh) 2003-11-07 2007-05-09 华为技术有限公司 一种验证用户合法性的方法
CN1265607C (zh) * 2003-12-08 2006-07-19 华为技术有限公司 无线局域网中业务隧道建立的方法
US8422672B2 (en) 2003-12-26 2013-04-16 Mitsubishi Electric Corporation Authenticated device, authenticating device and authenticating method
US7549048B2 (en) * 2004-03-19 2009-06-16 Microsoft Corporation Efficient and secure authentication of computing systems
JP3944182B2 (ja) 2004-03-31 2007-07-11 キヤノン株式会社 セキュリティ通信方法
GB2414144B (en) * 2004-04-19 2006-07-26 Matsushita Electric Industrial Co Ltd Fast and secure connectivity for a mobile node
DE602005013776D1 (de) * 2004-06-17 2009-05-20 Ericsson Telefon Ab L M Sicherheit in mobilen Kommunikationssystemen
WO2006012058A1 (en) * 2004-06-28 2006-02-02 Japan Communications, Inc. Systems and methods for mutual authentication of network
US20060021018A1 (en) * 2004-07-21 2006-01-26 International Business Machines Corporation Method and system for enabling trust infrastructure support for federated user lifecycle management
US20060021017A1 (en) * 2004-07-21 2006-01-26 International Business Machines Corporation Method and system for establishing federation relationships through imported configuration files
WO2006022469A1 (en) * 2004-08-25 2006-03-02 Electronics And Telecommunications Research Institute Method for security association negociation with extensible authentication protocol in wireless portable internet system
US20060059344A1 (en) * 2004-09-10 2006-03-16 Nokia Corporation Service authentication
GB0428084D0 (en) * 2004-12-22 2005-01-26 Nokia Corp Method for producing authentication information
JP4605594B2 (ja) 2005-01-26 2011-01-05 古野電気株式会社 超音波送受波器および水中探知装置
KR100995423B1 (ko) * 2005-01-28 2010-11-18 텔레폰악티에볼라겟엘엠에릭슨(펍) 통신 시스템에서 사용자 인증 및 권한 부여
US20060218628A1 (en) * 2005-03-22 2006-09-28 Hinton Heather M Method and system for enhanced federated single logout
US7631346B2 (en) * 2005-04-01 2009-12-08 International Business Machines Corporation Method and system for a runtime user account creation operation within a single-sign-on process in a federated computing environment
US20090044007A1 (en) * 2005-04-07 2009-02-12 France Telecom Secure Communication Between a Data Processing Device and a Security Module
FI20050384A0 (fi) * 2005-04-14 2005-04-14 Nokia Corp Geneerisen todentamisarkkitehtuurin käyttö Internet-käytäntöavainten jakeluun matkaviestimissä
US20060248337A1 (en) * 2005-04-29 2006-11-02 Nokia Corporation Establishment of a secure communication
US20070198837A1 (en) * 2005-04-29 2007-08-23 Nokia Corporation Establishment of a secure communication
US8132006B2 (en) * 2005-05-03 2012-03-06 Ntt Docomo, Inc. Cryptographic authentication and/or establishment of shared cryptographic keys, including, but not limited to, password authenticated key exchange (PAKE)
US8645282B2 (en) * 2005-05-17 2014-02-04 Tti Inventions C Llc Method and apparatus to conduct a commercial transaction over wireless networks
FI20050562A0 (fi) * 2005-05-26 2005-05-26 Nokia Corp Menetelmä avainmateriaalin tuottamiseksi
KR100652125B1 (ko) * 2005-06-03 2006-12-01 삼성전자주식회사 서비스 제공자, 단말기 및 사용자 식별 모듈 간을총괄적으로 인증하여 관리할 수 있도록 하는 상호 인증방법 및 이를 이용한 시스템과 단말 장치
KR100749846B1 (ko) * 2005-06-22 2007-08-16 한국전자통신연구원 무선 휴대 인터넷 시스템의 ｍａｃ 계층에서 보안 기능을 구현하기 위한 장치 및 이를 이용한 인증 방법
US20070015094A1 (en) * 2005-07-13 2007-01-18 Konica Minolta Medical & Graphic, Inc. Electromagnetic wave shielding material, method for manufacturing the same and electromagnetic wave shielding material for plasma display panel
US20070042754A1 (en) * 2005-07-29 2007-02-22 Bajikar Sundeep M Security parameter provisioning in an open platform using 3G security infrastructure
DE202005021930U1 (de) * 2005-08-01 2011-08-08 Corning Cable Systems Llc Faseroptische Auskoppelkabel und vorverbundene Baugruppen mit Toning-Teilen
US7853995B2 (en) * 2005-11-18 2010-12-14 Microsoft Corporation Short-lived certificate authority service
US7787627B2 (en) * 2005-11-30 2010-08-31 Intel Corporation Methods and apparatus for providing a key management system for wireless communication networks
WO2007063420A2 (en) * 2005-12-01 2007-06-07 Nokia Corporation Authentication in communications networks
CN101001144B (zh) * 2006-01-13 2010-05-12 华为技术有限公司 一种实体认证中心实现认证的方法
WO2007085175A1 (en) 2006-01-24 2007-08-02 Huawei Technologies Co., Ltd. Authentication method, system and authentication center based on end to end communication in the mobile network
US7653813B2 (en) * 2006-02-08 2010-01-26 Motorola, Inc. Method and apparatus for address creation and validation
EP1865656A1 (en) * 2006-06-08 2007-12-12 BRITISH TELECOMMUNICATIONS public limited company Provision of secure communications connection using third party authentication
US7793103B2 (en) * 2006-08-15 2010-09-07 Motorola, Inc. Ad-hoc network key management
US7707415B2 (en) * 2006-09-07 2010-04-27 Motorola, Inc. Tunneling security association messages through a mesh network

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012253817A (ja) * 2006-01-24 2012-12-20 ▲ホア▼▲ウェイ▼技術有限公司 モバイルネットワークに基づくエンドツーエンド通信での認証の方法、システム、および認証センタ

Also Published As

Publication number Publication date
EP1811744B1 (en) 2009-09-09
KR101009330B1 (ko) 2011-01-18
JP2009524369A (ja) 2009-06-25
JP2012253817A (ja) 2012-12-20
US8468353B2 (en) 2013-06-18
US20110258447A1 (en) 2011-10-20
WO2007085175A1 (en) 2007-08-02
KR20080089500A (ko) 2008-10-06
US20080178004A1 (en) 2008-07-24
US7984298B2 (en) 2011-07-19
EP1811744A1 (en) 2007-07-25
ATE442730T1 (de) 2009-09-15
DE602007002308D1 (de) 2009-10-22

Similar Documents

Publication Publication Date Title
KR101009330B1 (ko) 모바일 네트워크를 기반으로 하는 엔드 투 엔드 통신에서의 인증을 위한 방법, 시스템 및 인증 센터
CN101156352B (zh) 基于移动网络端到端通信的认证方法、系统及认证中心
JP4649513B2 (ja) 無線携帯インターネットシステムの認証方法及び関連キー生成方法
EP1997292B1 (en) Establishing communications
CN101371550B (zh) 自动安全地向移动通信终端的用户供给在线服务的服务访问凭证的方法和系统
JP4488719B2 (ja) ネットワーク通信のためのレイヤ間の高速認証または再認証
CN101112038B (zh) 通信系统中的用户认证和授权
JP4741664B2 (ja) 認証及びプライバシーに対する方法及び装置
CN101807998A (zh) 认证
CN109075973B (zh) 一种使用基于id的密码术进行网络和服务统一认证的方法
CN116321158B (zh) 基于证书的本地ue认证
CN100370772C (zh) 一种无线局域网移动终端接入的方法
CN114386020B (zh) 基于量子安全的快速二次身份认证方法及系统
WO2007028328A1 (en) Method, system and device for negotiating about cipher key shared by ue and external equipment
US20100161958A1 (en) Device for Realizing Security Function in Mac of Portable Internet System and Authentication Method Using the Device
EP1864426A1 (en) Authentication method and key generating method in wireless portable internet system
CN102694779B (zh) 组合认证系统及认证方法
EP3820186B1 (en) Method and apparatus for transmitting router security information
KR20130046781A (ko) 무선 네트워크 접속 인증 방법 및 그 시스템
US8666073B2 (en) Safe handover method and system
CN115314278B (zh) 可信网络连接身份认证方法、电子设备及存储介质
KR20130062965A (ko) 무선 네트워크 접속 인증 방법 및 그 시스템
KR20080031731A (ko) 인증 및 프라이버시를 위한 방법 및 장치

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20110628

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20110926

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20111003

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20111027

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20111104

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20111128

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20111205

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20111227

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20120508

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20120910

A911 Transfer to examiner for re-examination before appeal (zenchi)

Free format text: JAPANESE INTERMEDIATE CODE: A911

Effective date: 20120918

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20121009

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20121025

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20151102

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

Ref document number: 5123209

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250