JP2010523051A - Ｉｐモビリティシステムのための動的な外部エージェント−ホーム・エージェント・セキュリティ・アソシエーション割当て - Google Patents

Abstract

本発明は、外部エージェントとホーム・エージェントの間のセキュリティ・アソシエーションを確立するのに必要なさまざまなパラメータを動的に割り当てるためにＡＡＡ基盤を使用する。本発明は、外部エージェントからの要求に基づいて外部エージェントとホーム・エージェントのセキュリティ・アソシエーションをサポートするのに必要な選ばれたセキュリティ・アソシエーション・パラメータを動的に生成して配布するための中央エンティティとして、ＡＡＡサーバを使用する。ＡＡＡサーバは、外部エージェント−ホーム・エージェント対に一意のＳＰＩ値を動的に割り当てることもできる。本発明で割り当てることができるさまざまなパラメータは、ＦＡ−ＨＡ共有秘密鍵または公開／秘密鍵対、認証アルゴリズムおよびモード、ＦＡ−ＨＡ秘密鍵有効期間、ならびにセキュリティ・パラメータ・インデックスまたはセキュリティ・インデックス値を含む。本発明はまた、外部エージェントとホーム・エージェントがセキュリティ・アソシエーションに関して同期されたままであることを確認する際に役立つことができる。

Description

関連出願データ
本出願は、２００７年３月２８日に出願された仮特許出願第６０／９０８，４７２号、および２００７年５月９日に出願された第６０／９１６，８６６号に関し、米国特許法第１１９条（ｅ）の下でのこれらの先行出願の優先権を主張する。またこれらの仮特許出願は、参照により、この実用特許出願に組み込まれる。

ホーム・ネットワークと、外部ネットワークと、移動ノードとを有するＩＰベースの移動通信システムを含む、任意のＩＰベースシステムのためのシステムおよび方法。

ＩＰベースの移動システムは、無線通信システム内に少なくとも１つの移動ノードを含む。用語「移動ノード」には、移動通信装置が含まれ、通信システムは、移動ノードに加えて、ホーム・ネットワークと外部ネットワークとを有する。移動ノードは、これらの他のネットワークを介してインターネットへのその接続点を変更し得るが、移動ノードは、ＩＰアドレッシングのために、単一のホーム・ネットワークに常に関連付けられる。ホーム・ネットワークは、ホーム・エージェントを有し、外部ネットワークは、外部エージェントを有し、これらのエージェントの両方が、そのネットワークに入り、またそこから出て行く情報パケットのルーティングを制御する。

移動ノード、ホーム・エージェントおよび外部エージェントは、任意の特定のネットワーク構成または通信システムで使用される用語法に依存する他の名前で呼ばれることがある。たとえば、「移動ノード」は、インターネット・アクセス、電子メール、メッセージング・サービスなどのさまざまな特徴および機能性を有するさまざまな型およびモデルの移動端末（「携帯電話」）が体験し得るように、無線ネットワークへのケーブル型（たとえば電話線（「ツイスト・ペア」）、イーサネット・ケーブル、光ケーブルなど）の接続性、ならびに直接にセルラ・ネットワークへの無線接続性を有するＰＣを包含する。また、ホーム・エージェントは、ホーム・エージェント、ホーム・モビリティ・マネージャ、ホーム・ロケーション・レジスタと呼ばれることがあり、外部エージェントは、外部エージェント、サービング・モビリティ・マネージャ（Ｓｅｒｖｉｎｇ Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｒ）、在圏ロケーション・レジスタ（Ｖｉｓｉｔｅｄ Ｌｏｃａｔｉｏｎ Ｒｅｇｉｓｔｅｒ）および在圏サービング・エンティティ（Ｖｉｓｉｔｉｎｇ Ｓｅｒｖｉｎｇ Ｅｎｔｉｔｙ）と呼ばれることがある。移動ノード、ホーム・エージェントおよび外部エージェントという用語は、限定的に定義されるものではないが、ホームまたは外部ネットワークに位置する他の移動通信装置または監視ルーティング装置を含み得る。

移動ノードは、「気付アドレス」をホーム・エージェントに登録することによって、ホーム・エージェントにその現在位置に関して通知し続ける。本質的に、気付アドレスは、移動ノードが位置する現在の外部ネットワークを表す。ホーム・エージェントは、移動ノードが外部ネットワークに位置する間に移動ノードに宛てられた情報パケットを受け取る場合、適用可能な気付アドレスを使用して外部ネットワーク上の移動ノードの現在位置に情報パケットを送信する。

外部エージェントは、ホーム・エージェントに移動ノードの現在の気付アドレスを通知することに関与する。外部エージェントは、情報パケットがホーム・エージェントによって転送された後にも、移動ノードのための情報パケットを受け取る。さらに、外部エージェントは、外部ネットワークに接続される間に移動ノードによって生成された、出て行く情報パケットのデフォルト・ルータの働きをする。

外部エージェントおよびホーム・エージェントは、そのエージェントに関連するローカル・ネットワーク上のすべてのノードにエージェント広告を周期的にブロードキャストする。エージェント広告は、モバイルＩＰプロトコル（ＲＦＣ ２００２）または他の任意のタイプの通信プロトコルに基づいて出され得る、ネットワーク上のエージェントからのメッセージである。この広告は、移動ノードに対してモビリティ・エージェント（たとえばホーム・エージェント、外部エージェントなど）を一意に識別するのに必要な情報を含むべきである。移動ノードは、エージェント広告を検査して、移動ノードがホーム・ネットワークまたは外部ネットワークに接続されるかどうか判断する。

移動ノードがそのホーム・ネットワークに位置する場合、情報パケットは、標準のアドレッシングおよびルーティング方式に従って移動ノードにルーティングされる。しかし、移動ノードは、外部ネットワークに在圏している場合、エージェント広告から適切な情報を取得し、外部エージェントを介してそのホーム・エージェントに登録要求メッセージを送信する。登録要求メッセージは、移動ノードの気付アドレスを含む。

登録された気付アドレスは、移動ノードが位置する外部ネットワークを識別し、ホーム・エージェントは、移動ノードへの後の転送のために、この登録済み気付アドレスを使用して外部ネットワークに情報パケットを転送する。登録プロセスがうまく完了したことを確認するために、登録応答メッセージが、ホーム・エージェントによって移動ノードに送信されてもよい。

新しいネットワークに移ると、移動ノードは、新しいルータからルータ広告メッセージを受け取ること、あるいはリンクされたルータから予期されたルータ広告メッセージを受け取る時間間隔が超過することによって、移動ノードの移動を検出する。移動ノードは、外部ネットワーク上のルータによって受け取られるルータ要請メッセージを周期的に送信し、移動ノードによって受け取られたルータ広告メッセージの送信を開始することもできる。

ルータ広告メッセージは、ホーム・ネットワークから外部ネットワーク上の移動ノードに情報パケットをルーティングするための気付アドレスを形成するために使用されるネットワーク・プレフィックス情報を含む。登録要求またはバインディング更新メッセージ（ＢＵ：Ｂｉｎｄｉｎｇ Ｕｐｄａｔｅ ｍｅｓｓａｇｅ）が、ホーム・エージェント、および移動ノードと通信する任意のアクティブな対応ノードに気付アドレスを登録するために使用される。新しい登録要求は、気付アドレスと、ホームアドレスと、バインディングの有効期間とを含む。認証ステップとしてバインディング更新を受け入れまたは拒否するために、登録応答またはバインディング肯定応答メッセージ（ＢＡ：Ｂｉｎｄｉｎｇ Ａｃｋｎｏｗｌｅｄｇｍｅｎｔ ｍｅｓｓａｇｅ）が、要求またはバインディング更新メッセージに応答して送られる。ネットワーク上のルータは、データ・テーブル上に移動ノードの気付アドレスとホームＩＰアドレスの関連付けを維持して、外部ネットワークに接続された移動ノードに情報パケットがルーティングされ得ることを保証する。

ＩＰベースの移動通信システムでは、移動ノードは、ネットワーク接続性を維持しながら、ネットワークへのその接続点を変更する。モバイルＩＰプロトコル（ＲＦＣ ２００２）は、移動ノードとのモバイルＩＰ通信が、１つの管理者によって制御された単一の管理ドメインまたは単一のネットワーク上で実施されると仮定する。しかし、移動ノードがそのホーム管理ドメイン外に移動する場合、移動ノードは、そのホーム・ネットワークとのネットワーク接続性を維持するために、複数の外部ネットワークを介して通信する必要があり得る。別の管理ドメインによって制御された外部ネットワークに接続される間、ネットワーク・サーバは、移動ノードに与えられるサービスのアカウンティング情報を認証し、許可し、収集しなければならない。これらの認証、許可およびアカウンティング活動は、「ＡＡＡ」活動と呼ばれる。

認証は、主張された誰かの身元を証明するプロセスであり、モバイルＩＰネットワーク上のセキュリティ・システムは、要求された活動を許可する前にシステム・ユーザの身元の認証をしばしば必要とする。ネットワーク上のＡＡＡサーバは、許可されたユーザの身元を認証し、移動ノードの要求された活動を許可する。さらに、ＡＡＡサーバは、管理ドメイン間の伝送リンクの使用のための使用法および使用料を追跡することを含めて、アカウンティング機能をもサポートする。

リモート認証ダイアル・イン・ユーザ・サービス（ＲＡＤＩＵＳ：Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）は、ＡＡＡのための広く使用されている１つのプロトコルである。ＲＡＤＩＵＳプロトコルは、事実上どんなパケットベース通信システム上でも使用され得るＡＡＡに必要なメッセージ形式およびデータを定義する。機能的には、ＲＡＤＩＵＳは、ＵＤＰ伝送プロトコルによる標準情報符号化を使用してクライアント・サーバ操作、ネットワーク・セキュリティ、認証、およびアカウンティングを実施することができる。ＲＡＤＩＵＳ ＡＡＡサーバ・コンピュータは、ＡＡＡ機能を実施するためにＲＡＤＩＵＳプロトコルを使用して無線ネットワーク上に広く配置される。

ＡＡＡサーバのための別の機能は、セキュリティ・アソシエーションを格納し割り当てることによって、セキュリティ保護された情報パケット伝送をサポートすることである。セキュリティ・アソシエーションは、２つのノード間の情報パケット送信を安全な形式で暗号化することを指定しサポートするのに必要な暗号化プロトコル、ノンス、および鍵を指す。セキュリティ・アソシエーションは、ノード間で交換された情報パケットに適用され得る、ノード間に存在するセキュリティ・コンテキストの集まりである。それぞれのコンテキストは、認証アルゴリズムおよびモード、共有鍵または適切な公開／秘密鍵対、および再生保護のスタイルを示す。

拡張がＩＰプロトコルに定義されており、拡張は、情報パケット内の可変量のデータの伝送をサポートするために類似のプロトコルで使用され得る。これは、移動ノード、ルータおよびネットワークのアドレス情報を含む。ＩＰの拡張機構は、発見、通知、制御およびルーティング情報パケット形式など、専用メッセージ・タイプへの制約なしに、適切なアドレッシングおよびルーティング情報が任意の情報パケットによって運ばれることを可能にする。

一般的な拡張形式は、タイプ−長さ−値（Ｔｙｐｅ−Ｌｅｎｇｔｈ−Ｖａｌｕｅ）形式を含む。タイプ・データ・フィールド（Ｔ）１は、一般的な拡張の最初の８ビット（１オクテット）を占める。このデータ・フィールドの値は、拡張のタイプを指定する。長さデータ・フィールド（Ｌ）２は、拡張の次の８ビットを占め、割り当てられる値は、オクテット内の値フィールド（Ｖ）３の長さである。値データ・フィールド３は、タイプ１および長さ２データ値によって指定されるような一般的な拡張の残りのビットを占める。

モバイルＩＰｖ４のいくつかの機能性は、外部エージェントが、ホーム・エージェントへの登録要求ＲＲＱの転送前に、移動ノードから受け取られたその登録要求ＲＲＱに特定情報を追加することを必要とする。この追加情報は、公開開示されないように保護すべきであり、それは、ホーム・エージェントへのＲＲＱの送信前に外部エージェントがホーム・エージェントとセキュリティ・アソシエーションを確立することを必要とする。

外部エージェント−ホーム・エージェント認証拡張（ＡＥ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｅｘｔｅｎｓｉｏｎ）は、外部ネットワークとホーム・ネットワークの間の安全な通信をサポートするために使用され得るオプションの拡張である。ＦＡ−ＨＡ認証拡張（ＡＥ）を使用するには、外部エージェントＦＡとホーム・エージェントＨＡの間にセキュリティ・アソシエーションが存在することが必要である。ＦＡ−ＨＡ認証拡張（ＡＥ）をサポートするのに外部エージェントとホーム・エージェントの間のセキュリティ・アソシエーションを確立するために、外部エージェントは、外部エージェントとホーム・エージェントの間のセキュリティ・アソシエーションを確立するＦＡ−ＨＡアクセス要求メッセージで、セキュリティ・アソシエーション・パラメータ（たとえばＦＡ−ＨＡ秘密鍵、ハッシュ関数、ハッシュ関数モードなど）を動的に割り当てることができなければならない。

また外部エージェントおよびホーム・エージェントは、セキュリティ・パラメータ・インデックス（ＳＰＩ：Ｓｅｃｕｒｉｔｙ Ｐａｒａｍｅｔｅｒ Ｉｎｄｅｘ）を使用してセキュリティ・アソシエーションにインデックスを付け、また外部エージェントおよびホーム・エージェントは、外部エージェントとホーム・エージェントの間のセキュリティ・アソシエーションのインデックスとして移動ノードのＩＰアドレスを送信する。このＦＡ−ＨＡセキュリティ・アソシエーションの割当ては、ＲＦＣ ２００２（３３４４）の範囲外であり、現在、ＦＡ−ＨＡセキュリティ・アソシエーションに必要なサポート情報を割り当てる能力はない。それは、本発明の１つの目的である。別の目的は、以前に静的に事前構成されたパラメータの可変の組合せおよび拡張と共に、ＦＡ−ＨＡセキュリティ・アソシエーションで使用されるパラメータの動的割当てをサポートすることである。ＡＡＡサーバを使用して単一の秘密鍵値を動的に割り当てるために３ＧＰＰ２規格で提案された方法があるが、この提案は、外部エージェントとホーム・エージェントの間の同時性を維持せず、他の必要なパラメータまたはセキュリティ・パラメータ・インデックス値の動的な割当てを可能にしていない。

本発明は、外部エージェントとホーム・エージェントの間のセキュリティ・アソシエーションを確立するのに必要なさまざまなパラメータを動的に割り当てるためにＡＡＡ基盤を使用する。本発明で割り当てることができるさまざまなパラメータは、ＦＡ−ＨＡ共有秘密鍵または公開／秘密鍵対、認証アルゴリズムおよびモード、ＦＡ−ＨＡ秘密鍵有効期間、ならびにセキュリティ・パラメータ・インデックスまたはセキュリティ・インデックス値を含む。本発明はまた、外部エージェントとホーム・エージェントがセキュリティ・アソシエーションに関して同期されたままであることを保証する際に役立つことができる。

本発明は、外部エージェントからの要求に基づいて外部エージェントとホーム・エージェントのセキュリティ・アソシエーションをサポートするのに必要な選ばれたセキュリティ・アソシエーション・パラメータを動的に生成して配布する中央エンティティとして、ＡＡＡサーバを使用する。ＡＡＡサーバは、外部エージェントとホーム・エージェントの対に一意のＳＰＩ値を動的に割り当てることもできる。必要なパラメータを動的に割り当て、ＦＡ−ＨＡセキュリティ・アソシエーションを確立した後、外部エージェントは、移動ノードからホーム・ネットワーク上のホーム・エージェントに初期登録要求を転送することができる。

本発明の目的および特徴は、添付の図面と併せ読めば、以下の詳細な説明および添付の特許請求の範囲からより容易に理解されよう。図面では、同じ番号は、同様の要素を表す。

モバイルＩＰベースの通信システムを示す図である。 本発明で使用されるメッセージ・シーケンスの図である。

図１に、ＩＰベース移動システムの全体的なアーキテクチャが、移動ノード６４、ホーム・ネットワーク１０および外部ネットワーク４０を伴って示されている。図１に示されるように、ホーム・ネットワーク１０および外部ネットワーク４０は、雲３５によって表されたインターネットに結合される。ホーム・ネットワーク１０は、通信リンク２４を介してホーム・エージェント２８に結合された中央バス線２０を有する。バス線２０は、通信リンク２２を介してＡＡＡサーバ１７に結合される。ホーム・ネットワーク１０は、通信リンク３０を介してインターネット３５に結合される。通信リンクは、ネットワーク上の２つ以上のノード、あるいはネットワークまたは管理ドメイン内のユーザ間の任意の接続である。

外部ネットワーク４０は、通信リンク５４を介して外部エージェント５８に結合された中央バス線５０を有する。バス線５０は、通信リンク５２を介してＡＡＡ外部ネットワーク・サーバ４７に結合される。外部ネットワーク４０は、通信リンク３７を介してインターネット３５に結合される。移動ノード６４は、トランシーバ６０の無線通信リンク６６を介して外部ネットワーク４０に電子的に結合されて示されている。トランシーバ６０は、通信リンク６２を介して外部ネットワーク４０に結合される。移動ノード６４は、外部ネットワーク４０に結合された任意のトランシーバまたはアクセス・ネットワークと通信することができる。

ホーム・エージェントおよび外部エージェントという用語は、モバイルＩＰプロトコル（ＲＦＣ ２００２）に定義されたとおりであり得るが、これらのエージェントは、単一のプロトコルまたはシステムに限定されない。実際、本出願では用語ホーム・エージェントは、ホーム・モビリティ・マネージャ、ホーム・ロケーション・レジスタ、ホーム・サービング・エンティティ、または移動ノード６４のモビリティ関連機能を管理する責任を担うホーム・ネットワーク１０上の他の任意のエージェントを指し得る。同様に、本出願では用語外部エージェントは、サービング・モビリティ・マネージャ、在圏ロケーション・レジスタ、在圏サービス・エンティティ、または移動ノード６４のモビリティ関連機能を管理する責任を担う外部ネットワーク４０上の他の任意のエージェントを指し得る。

図１に示されたモバイルＩＰ通信システムでは、移動ノード６４は、永続ＩＰアドレスによって識別される。移動ノード６４がそのホーム・ネットワーク１０に結合されている間、移動ノード６４は、ホーム・ネットワーク１０上の他の任意の固定ノードと同様に情報パケットを受け取る。移動しているとき、移動ノード６４は、外部ネットワーク４０内にそれ自体位置することもできる。外部ネットワーク４０内に位置するとき、ホーム・ネットワーク１０は、外部ネットワーク４０に通信を「トンネリングする」ことによって移動ノード６４にデータ通信を送る。

移動ノード６４は、ホーム・エージェント２８に気付アドレスを登録することによって、その現在の位置または外部ネットワーク・アソシエーションをホーム・エージェント２８に通知し続ける。本質的に、気付アドレスは、移動ノード６４が現在位置している外部ネットワーク４０を表す。ホーム・エージェント２８は、移動ノード６４が外部ネットワーク４０内に位置する間に移動ノード６４に宛てられた情報パケットを受け取る場合、移動ノード６４への後の送信のために情報パケットを外部ネットワーク４０に「トンネリングする」。

外部エージェント５８は、移動ノード６４の現在の気付アドレスをホーム・エージェント２８に通知することに関与する。外部エージェント５８は、情報パケットがホーム・エージェント２８によって外部エージェント５８に転送された後も、移動ノード６４のための情報パケットを受け取る。さらに、外部エージェント５８は、外部ネットワーク４０に接続される間に移動ノード６４によって生成された、出て行く情報パケットのためのデフォルト・ルータとして働く。

移動ノード６４は、現在の気付アドレスをホーム・エージェント２８に通知することに関与する。移動ノード６４が外部ネットワーク４０に在圏しているとき、移動ノード６４は、エージェント広告から、外部ネットワーク４０および／または外部エージェント５８のアドレスに関する適切な情報を取得する。この情報を取得した後、移動ノード６４は、外部エージェント５８に登録要求を送信し、この外部エージェント５８は、ホーム・エージェント２８への転送に備えて登録要求メッセージを準備する。

モバイルＩＰプロトコルは、新しい外部ネットワーク４０への移動後に移動ノードがホーム・ネットワーク１０上のホーム・エージェント２８に気付アドレスを登録することを必要とする。登録プロセスの一環として、移動ノード６４は、外部ネットワーク４０上の起動またはエージェント広告の受信に応答して登録要求を出す。登録要求は、ホーム・ネットワーク４０上のホーム・エージェント２８に送られるが、外部エージェント５８とホーム・エージェント２８の間にセキュリティ・アソシエーションが確立された後にしか行われない。

セキュリティ・アソシエーションが確立された後、移動ノード６４の気付アドレスを含む登録要求メッセージが、ホーム・エージェント２８に送られ得る。登録要求を受け取ったことを通知し、移動ノード６４の気付アドレスの受信を確認し、登録プロセスの完了を示すために、登録応答が、ホーム・エージェント２８によって出される。気付アドレスは、移動ノード６４が位置する外部ネットワーク４０を識別し、ホーム・エージェント２８は、この気付アドレスを使用して、移動ノード６４への後の転送のために情報パケットを外部ネットワーク４０にトンネリングする。

移動ノード６４に宛てられたすべての通信は、通常のＩＰプロトコルに従って移動ノードのホーム・ネットワーク１０にルーティングされる。登録が完了した後、ホーム・エージェント２８は、この通信を受け取り、外部ネットワーク４０上の移動ノード６４にメッセージを「トンネリングする」。外部エージェント５８は、向きが変えられた（ｒｅ−ｄｉｒｅｃｔｅｄ）通信を受け入れ、トランシーバ６０を介して移動ノード６４に情報パケットを送り届ける。このようにして、ホーム・ネットワーク１０上のその通常のアドレスで移動ノード６４に宛てられた情報パケットは、外部ネットワーク４０上の移動ノード６４へと向きが変えられ、すなわち転送される。

セキュリティ・アソシエーションなしでは、上記の情報は、パブリック・ドメインで送られることになろう。しかし、こうした情報をセキュリティ・アソシエーションなしにパブリック・ドメインで送信すると、許可されたユーザが、以下の形の攻撃を受けることになり得る：（１）敵意のあるノードが情報パケットの向きを変えることによって移動ノードからネットワーク・セッションをハイジャックするセキュリティ窃盗、（２）許可されたユーザの識別が、ネットワークへのアクセスを得るために無許可のやり方で使用されるスプーフィング、および（３）許可されたユーザとのセッションの間、情報を傍受し盗むこと。本発明は、外部エージェント５８からホーム・エージェント２８に情報を送信する前に、セキュリティ・アソシエーション・パラメータを動的に確立することによってそれが生じないようにする。

ＡＡＡサーバ
ＡＡＡサーバ１７は、外部ネットワーク４０に接続されるときにホーム・ネットワーク１０上のユーザおよび移動ノード６４に認証および許可サービスを提供する。本発明は、外部エージェント５８とホーム・エージェント２８の間のセキュリティ・アソシエーションを確立するために必要なさまざまなパラメータを動的に割り当てるために、ＡＡＡサーバ１７およびその周囲の基盤を使用する。

ＡＡＡサーバ１７は、本発明の中央エンティティであり、ＡＡＡサーバ１７は、登録要求が外部エージェント５８によってホーム・エージェント２８に送信される前に外部エージェント５８とホーム・エージェント２８の間のセキュリティ・アソシエーションを確立するために必要な選ばれたパラメータを動的に生成して配布する。本発明で割り当てることができるさまざまなパラメータは、ＦＡ−ＨＡ共有秘密鍵または公開／秘密鍵の対、認証アルゴリズムおよびモード、ＦＡ−ＨＡ秘密鍵有効期間、応答保護機構（必要な場合）、セキュリティ・パラメータ・インデックス（ＳＰＩ）またはセキュリティ・インデックス値、ならびに将来定義され得る他の任意の必要なパラメータを含む。

セキュリティ・パラメータ・インデックス（ＳＰＩ）は、モビリティ・セキュリティ・アソシエーションで使用可能な１対のノード間のセキュリティ・コンテキストを識別する。指定された各セキュリティ・コンテキストは、認証アルゴリズムおよびモード、公開または非公開鍵（「秘密鍵」）、ならびに応答保護のスタイルを示す。ＳＰＩは、すべての認証拡張で見られ、移動ノードの身元を認証するために使用しなければならない。ＳＰＩは、認証値を計算するためのセキュリティ・プロトコル（アルゴリズムおよび鍵）を指定する。

本発明は、外部エージェントからの要求に基づいて外部エージェントとホーム・エージェントのセキュリティ・アソシエーションをサポートするのに必要な選ばれたセキュリティ・アソシエーション・パラメータを動的に生成して配布するための中央エンティティとして、ＡＡＡサーバを使用する。ＡＡＡサーバは、外部エージェントとホーム・エージェントの対に一意のＳＰＩ値を動的に割り当てることもできる。必要なパラメータを動的に割り当て、ＦＡ−ＨＡセキュリティ・アソシエーションを確立した後、外部エージェントは、移動ノードからホーム・ネットワーク上のそのホーム・エージェントに初期登録要求を転送する。

ＡＡＡサーバ１７は、新しく生成されたセキュリティ・アソシエーションの状態、およびＦＡ−ＨＡ対のＳＰＩ値を維持する。ＡＡＡサーバ１７は、ＲＡＤＩＵＳ ＡＡＡサーバであってもよく、このＲＡＤＩＵＳ ＡＡＡサーバは、外部エージェント５８からのＲＡＤＩＵＳアクセス要求を処理し、セキュリティ・アソシエーションの確立に必要なパラメータを動的に生成し、外部エージェント５８によるホーム・エージェント２８への登録要求の転送の前に、ＲＡＤＩＵＳアクセス許可メッセージ（Ａｃｃｅｓｓ Ａｃｃｅｐｔ ｍｅｓｓａｇｅ）で外部エージェント５８にそれらのパラメータを返送することができる。

本発明は、外部エージェントとホーム・エージェントが同期されたセキュリティ・アソシエーションを維持することを保証するのにも役立つ。本発明は、外部エージェント５８がアクセスおよび指定されたホーム・エージェント２８とのセキュリティ・アソシエーションを要求するときはいつでも、セキュリティ・アソシエーションが既に存在しており、または既存のセキュリティ・アソシエーションが終了していない場合でもＡＡＡサーバ１７が、そのセキュリティ・アソシエーションのための新しいセキュリティ・パラメータ・インデックス（ＳＰＩ）を生成することを必要とすることによって、この目的を達成する。特定のホーム・エージェント２８を指定するセキュリティ・アソシエーションを求める新しい要求が生じるたびに新しいセキュリティ・パラメータ・インデックス（ＳＰＩ）を生成させるというこの要件を使用して、新しいセキュリティ・アソシエーションが動的に確立されており、外部エージェント５８を介して移動ノード６４と通信し続けるにはホーム・エージェント２８がＡＡＡサーバ１７から新しいセキュリティ・アソシエーション・パラメータを取得しなければならないことを示すことができる。

セキュリティ・アソシエーションの確立およびこの動的な割当てを必要とするＦＡ−ＨＡ対を外部エージェント５８が指定する場合は新しいセキュリティ・パラメータ生成またはＳＰＩ値割当てを実施しなければならないという要件は、外部エージェント５８がセキュリティ・アソシエーションを要求し、そのアクセス要求内に古いＳＰＩ値を含む場合にも生じる。セキュリティ・パラメータ値を動的に割り当てる制御エンティティであるＡＡＡサーバ１７は、指定されたホーム・エージェント２８に関して外部エージェント５８によってアクセス要求メッセージでセキュリティ・アソシエーションが要求されるたびに、新しいセキュリティ・パラメータ値を割り当てなければならない。外部エージェント５８にセキュリティ・アソシエーション情報を提供した後、外部エージェントは、ホーム・エージェント２８への通信を行い、このホーム・エージェント２８は、動的に割り当てられて、外部エージェント５８に以前に送られたセキュリティ・パラメータ情報を求めてＡＡＡサーバ１７に問い合わせる。ＡＡＡサーバ１７は、（外部エージェント５８から受け取られた）特定の有効なＳＰＩ値を用いた特定のＦＡ−ＨＡセキュリティ・アソシエーションを求める要求をホーム・エージェント２８から受け取ると、指定されたＳＰＩインデックス値および指定されたＦＡ−ＨＡ対に関連するＦＡ−ＨＡ秘密鍵を含むセキュリティ・アソシエーション・パラメータをホーム・エージェント２８に返さなければならない。

ＡＡＡサーバ１７は、無効のＳＰＩ値を使用したセキュリティ・アソシエーションを求める要求をホーム・エージェント２８から受け取る場合、拒否メッセージまたは無効ＳＰＩの表示をホーム・エージェント２８に返送しなければならない。失敗したまたは拒否された応答メッセージには、動的に割り当てられたセキュリティ・アソシエーション・パラメータは割り当てられず、または通信され得ない。新しいセキュリティ・アソシエーション・パラメータがＡＡＡサーバ１７によって動的に割り当てられると、古いＳＰＩおよびセキュリティ・アソシエーション・パラメータは無視しなければならないが、ＡＡＡサーバ１７は、古いセキュリティ・アソシエーション・パラメータと新しいセキュリティ・アソシエーション・パラメータの競合をチェックするために古いセキュリティ・アソシエーション・パラメータを格納する能力を有することができる。古いセキュリティ・パラメータおよびインデックス値は、ＡＡＡサーバ１７から新しいセキュリティ・パラメータおよびインデックス値を取得することにも有用であり得る。最も新しく生成されたセキュリティ・パラメータおよびＳＰＩインデックス値は、格納されるとき、外部エージェント５８とホーム・エージェント２８の間のセキュリティ・アソシエーションをサポートする。

新しいセキュリティ・パラメータおよび新しいＳＰＩインデックス値を動的に割り当てる要件の唯一の例外は、外部エージェント５８から送られたアクセス要求メッセージでホーム・エージェント２８が（指定されず）動的に割り当てられる場合である。この状況は、移動ノード６４がホーム・エージェント２８のアドレスを識別せずに登録要求メッセージを外部エージェント５８に送る場合に生じる。この場合、外部エージェント５８は、ホーム・ネットワークＡＡＡサーバ１７にそのアクセス要求を行うときにホーム・エージェント２８の身元またはアドレスを知っていないことがある。その場合、外部エージェント５８は、ＡＡＡサーバ１７にホーム・エージェント２８に関して尋ね、外部エージェント−ホーム・エージェント対のセキュリティ・コンテキストを求めることができる。その情報要求に応答して、ＡＡＡサーバ１７は、前の割当てがなかった場合はセキュリティ・アソシエーション・パラメータの新しい割当て、および新しいＳＰＩインデックス値を外部エージェント５８に送る。ＨＡとＳＡのセキュリティ・アソシエーションのための前の割当てがあった場合は、以前に割り当てられたＳＰＩインデックス値が、ＦＡに返される。

本発明のメッセージ順序付け
図２は、本発明によるメッセージ・フローチャートである。リンク層設定メッセージ（ＳＵ：Ｓｅｔ Ｕｐ ｍｅｓｓａｇｅ）シーケンス３０５が、移動ノード６４と外部エージェント（ＦＡ）５８の間で通信される。移動ノード６４は、メッセージング３０５で外部エージェント５８と通信した後、メッセージ３１５で、外部エージェント５８に登録要求メッセージ（ＲＲＱ：Ｒｅｇｉｓｔｒａｔｉｏｎ Ｒｅｑｕｅｓｔ Ｍｅｓｓａｇｅ）を送る。この登録要求は、ホーム・エージェント２８が移動ノード６４に情報パケットを転送するのに必要な気付アドレスを有する。

ホーム・エージェント２８上に登録要求メッセージを送る前に、外部エージェントは、メッセージ３２０でホーム・ネットワーク１０上のＨ−ＡＡＡサーバ１７と通信する。Ｈ−ＡＡＡサーバ１７への通信３２０は、外部エージェント５８とホーム・エージェント２８の間のセキュリティ・アソシエーションの確立を求めるアクセス要求（ＲＳＡ_１）である。アクセス要求（ＲＳＡ_１）３２０は、外部エージェント５８とホーム・エージェント２８の間の特定のセキュリティ・アソシエーションの確立を求める要求を含み、Ｈ−ＡＡＡサーバ１７が、要求されたセキュリティ・アソシエーションの確立に必要な特定のセキュリティ・パラメータを動的に割り当てるように要求される。要求されたこれらのパラメータは、ＦＡ−ＨＡ共有秘密鍵または公開／秘密鍵対、認証アルゴリズムおよびモード、ＦＡ−ＨＡ秘密鍵有効期間、応答保護機構（必要な場合）、セキュリティ・パラメータ・インデックス（ＳＰＩ）またはセキュリティ・インデックス値、ならびに将来定義され得る他の任意の必要なパラメータを含み得る。

Ｈ−ＡＡＡサーバ１７は、要求が無効であり、または要求の他の何らかの部分が不適当である場合、アクセス拒否メッセージで応答してもよい。セキュリティ・アソシエーションの要求が適切であるとみなして、Ｈ−ＡＡＡサーバ１７は、メッセージ３２５で、アクセス要求メッセージ（ＲＳＡ_１）３２０にアクセス許可メッセージ（ＲＳＡＲ_１）で応答する。メッセージ３２５のこのアクセス許可メッセージ（ＲＳＡＲ_１）は、ＳＰＩ＝ＳＰＩ１のセキュリティ・パラメータ・インデックス値（ＳＰＩ）を含む、要求されたセキュリティ・アソシエーション・パラメータを含む。秘密鍵情報が、メッセージ３２５に含まれ得る。

外部エージェントがメッセージ３２５でアクセス許可メッセージ（ＲＳＡＲ_１）を受け取った後、外部エージェント５８は、メッセージ３３０で、ホーム・エージェント（ＨＡ）に初期登録要求メッセージ（ＲＲＱ）を転送する。メッセージ３３０は、メッセージ３２５でＨ−ＡＡＡサーバ１７から受け取られた追加のセキュリティ・アソシエーション・パラメータおよびセキュリティ・パラメータ・インデックス（ＳＰＩ）値の一部を伴う認証拡張を含む。

ホーム・エージェント２８は、メッセージ３３０で、初期登録要求メッセージ（ＲＲＱ）を受け取り、Ｈ−ＡＡＡサーバ１７によって動的に割り当てられて、メッセージ３２５で外部エージェント５８に送られたセキュリティ・アソシエーション値およびセキュリティ・パラメータ・インデックス（ＳＰＩ）値の開示を求める要求と共に、Ｈ−ＡＡＡサーバ１７にアクセス要求メッセージ（ＲＳＡ_２）３３０を送信する。アクセス要求メッセージ（ＲＳＡ_２）３３０は、Ｈ−ＡＡＡサーバ１７がホーム・エージェント２８の身元が本物であることを認証し確認することを可能にし、Ｈ−ＡＡＡサーバ１７は、メッセージ３４５でＨ−ＡＡＡサーバ１７からホーム・エージェント２８に送られたアクセス許可メッセージ（ＲＳＡＲ_２）で、要求されたセキュリティ・アソシエーション・パラメータをホーム・エージェント２８に提供する。Ｈ−ＡＡＡサーバ１７は、メッセージ３４５でホーム・エージェント２８に送られたアクセス許可メッセージ（ＲＳＡＲ_２）内に、ホーム・エージェント２８および外部エージェント５８がそれらのエンティティ間のメッセージングを暗号化し復号することを可能にするセキュリティ・パラメータ値および秘密鍵情報など追加のセキュリティ情報を含める。

ホーム・エージェント２８は、アクセス許可メッセージ（ＲＳＡＲ_２）を受け取り、このアクセス許可メッセージは、外部エージェント５８を介して移動ノード６４から最初に受け取られた登録要求（ＲＲＱ：ｒｅｇｉｓｔｒａｔｉｏｎ ｒｅｑｕｅｓｔ）をホーム・エージェント２８が認証することを可能にする。ホーム・エージェントは、この確認および認証の後、外部エージェントに登録応答（ＲＲＱ返信）メッセージ３５０を送信する。外部エージェントは、登録応答（ＲＲＱ返信）メッセージ３５０を認証し、その確認と認証の後に登録応答返信メッセージ（ＲＲＱ返信）３５５を送信する。メッセージ３５０の受信に続いて、移動ノード６４が登録され、移動ノード６４と外部エージェント５８とホーム・エージェント２８の間に確立された安全な通信経路が存在する。セッションが登録され、移動ノード６４は、ホーム・エージェント２８と安全なやり方で通信することができる。

本発明について、好ましい実施形態に関して具体的に示され述べられているが、本発明の精神から逸脱せずに本発明の詳細の小さい変更が行われてもよいことが容易に理解されよう。

Claims (22)

1. ホーム・エージェントとホーム・ネットワークＡＡＡサーバとを有するホーム・ネットワークと、
   外部エージェントを有する外部ネットワークと、
   ホーム・エージェント−外部エージェント対を求める特定のセキュリティ・アソシエーション要求を前記外部エージェントから受け取った後、前記ホーム・ネットワークＡＡＡサーバからのセキュリティ・パラメータおよびＳＰＩインデックス値の動的割当てに基づいて前記ホーム・エージェントと前記外部エージェントの間に確立されるセキュリティ・アソシエーションとを備える通信システムであって、前記セキュリティ・アソシエーション要求が、前記外部エージェントによって移動ノードから登録要求が受け取られた後に開始され、前記外部エージェントによって受け取られた前記登録要求が、前記外部エージェントと前記ホーム・エージェントの間の前記セキュリティ・アソシエーションが確立された後に前記ホーム・エージェントに転送され、前記ホーム・ネットワークＡＡＡサーバが、前記外部エージェントが特定のホーム・エージェント−外部エージェント対を求めるセキュリティ・アソシエーションを要求するたびに前記セキュリティ・パラメータおよびＳＰＩインデックス値を動的に割り当てる、通信システム。
2. 前記ホーム・ネットワークＡＡＡサーバが、ホーム・エージェント−外部エージェント対の既存のセキュリティ・アソシエーションが存在している場合でも、前記外部エージェントがその特定のホーム・エージェント−外部エージェント対のセキュリティ・アソシエーションを要求するたびに前記セキュリティ・パラメータおよびＳＰＩインデックス値を動的に割り当てる、請求項１に記載の通信システム。
3. 古いＳＰＩインデックス値が、前記ホーム・ネットワークＡＡＡサーバによって発行された前記動的に割り当てられたＳＰＩインデックス値に一致しない場合は、それらの値が無効とみなされる、請求項１に記載の通信システム。
4. 動的に割り当てることができるセキュリティ・パラメータが、外部エージェント−ホーム・エージェント共有秘密鍵または公開／秘密鍵対を含む、請求項１に記載の通信システム。
5. 動的に割り当てることができるセキュリティ・パラメータが、認証アルゴリズムおよびモードを含む、請求項１に記載の通信システム。
6. 動的に割り当てることができるセキュリティ・パラメータが、外部エージェント−ホーム・エージェント秘密鍵有効期間を含む、請求項１に記載の通信システム。
7. 移動ノードと、ホーム・ネットワーク上のホーム・エージェントとの間に安全な通信経路を確立するための方法であって、
   外部ネットワーク上に位置する前記移動ノードから前記外部ネットワーク上の外部エージェントで登録要求を受け取るステップであって、前記登録要求が、前記移動ノードと、前記ホーム・ネットワーク上に位置する前記ホーム・エージェントとの間の通信経路を確立するための気付アドレッシング情報を含む、ステップと、
   特定の外部エージェント−ホーム・エージェント対を求めるセキュリティ・アソシエーション要求と共に、前記ホーム・ネットワーク上に位置するホーム・ネットワークＡＡＡサーバに前記外部エージェントからのアクセス要求を送信するステップであって、前記ホーム・ネットワークＡＡＡサーバが、前記セキュリティ・アソシエーション要求をサポートするためのセキュリティ・パラメータを動的に割り当てる、ステップと、
   前記ホーム・ネットワークＡＡＡサーバから、前記ホーム・ネットワークＡＡＡサーバによって生成された前記動的に割り当てられたセキュリティ・パラメータ情報を含むアクセス応答を前記外部エージェントで受け取るステップと、
   前記外部エージェントによって受け取られた前記セキュリティ・パラメータの選択された部分を含む前記登録要求を前記外部エージェントから前記ホーム・エージェントに送信するステップであって、前記ホーム・エージェントが、前記登録要求を受け取った後、前記動的に割り当てられたセキュリティ・パラメータ情報を別個に前記ホーム・ネットワークＡＡＡサーバから受け取る、ステップと、
   前記外部エージェント−ホーム・エージェント・セキュリティ・アソシエーション情報の確認の後、前記外部エージェントで前記ホーム・エージェントから登録応答を受け取るステップであって、前記登録応答が、前記ホーム・エージェントと前記移動ノードの間の前記通信経路を確立するために前記移動ノードに提供される、ステップとを備える方法。
8. 前記ホーム・ネットワークＡＡＡサーバが、前記外部エージェントが特定のホーム・エージェント−外部エージェント対を求めるセキュリティ・アソシエーションを要求するたびに前記セキュリティ・パラメータ情報を動的に割り当てる、請求項７に記載の方法。
9. 前記ホーム・ネットワークＡＡＡサーバが、前記外部エージェントが特定のホーム・エージェント−外部エージェント対を求めるセキュリティ・アソシエーションを要求するたびに、ＳＰＩインデックス値を含む前記セキュリティ・パラメータ情報を動的に割り当てる、請求項７に記載の方法。
10. 古いＳＰＩインデックス値が、前記ホーム・ネットワークＡＡＡサーバによって発行された前記動的に割り当てられたＳＰＩインデックス値に一致しない場合は、それらの値が無効とみなされる、請求項９に記載の方法。
11. 前記ホーム・ネットワークＡＡＡサーバが、ホーム・エージェント−外部エージェント対の既存のセキュリティ・アソシエーションが存在している場合でも、前記外部エージェントがその特定のホーム・エージェント−外部エージェント対のセキュリティ・アソシエーションを要求するたびに前記セキュリティ・パラメータを動的に割り当てる、請求項７に記載の方法。
12. 動的に割り当てることができるセキュリティ・パラメータが、外部エージェント−ホーム・エージェント共有秘密鍵または公開／秘密鍵対を含む、請求項７に記載の方法。
13. 動的に割り当てることができるセキュリティ・パラメータが、認証アルゴリズムおよびモードを含む、請求項７に記載の方法。
14. 動的に割り当てることができるセキュリティ・パラメータが、外部エージェント−ホーム・エージェント秘密鍵有効期間を含む、請求項７に記載の方法。
15. ホーム・エージェントとホーム・ネットワークＡＡＡサーバ・コンピュータとを有するホーム・ネットワークと、
    外部エージェントを有する外部ネットワークと、
    ホーム・エージェント−外部エージェント対を求める特定のセキュリティ・アソシエーション要求を前記外部エージェントから受け取った後、前記ホーム・ネットワークＡＡＡサーバ・コンピュータからのセキュリティ・パラメータおよびＳＰＩインデックス値の動的割当てに基づいて前記ホーム・エージェントと前記外部エージェントの間に確立されるセキュリティ・アソシエーションとを備える通信システムであって、前記セキュリティ・アソシエーション要求が、前記外部エージェントによって移動ノードから登録要求が受け取られた後に開始される、通信システム。
16. 前記外部エージェントによって受け取られた前記登録要求が、前記外部エージェントと前記ホーム・エージェントの間に前記セキュリティ・アソシエーションが確立された後に前記ホーム・エージェントに転送される、請求項１５に記載の通信システム。
17. 前記ホーム・ネットワークＡＡＡサーバが、前記外部エージェントが特定のホーム・エージェント−外部エージェント対を求めるセキュリティ・アソシエーションを要求するたびに前記セキュリティ・パラメータおよびＳＰＩインデックス値を動的に割り当てる、請求項１５に記載の通信システム。
18. 古いＳＰＩインデックス値が、前記ホーム・ネットワークＡＡＡサーバによって発行された前記動的に割り当てられたＳＰＩインデックス値に一致しない場合は、それらの値が無効とみなされる、請求項１７に記載の通信システム。
19. 前記ホーム・ネットワークＡＡＡサーバが、ホーム・エージェント−外部エージェント対の既存のセキュリティ・アソシエーションが存在している場合でも、前記外部エージェントがその特定のホーム・エージェント−外部エージェント対のセキュリティ・アソシエーションを要求するたびに前記セキュリティ・パラメータおよびＳＰＩインデックス値を動的に割り当てる、請求項１５に記載の通信システム。
20. 動的に割り当てることができるセキュリティ・パラメータが、外部エージェント−ホーム・エージェント共有秘密鍵または公開／秘密鍵対を含む、請求項１５に記載の通信システム。
21. 動的に割り当てることができるセキュリティ・パラメータが、認証アルゴリズムおよびモードを含む、請求項１５に記載の通信システム。
22. 動的に割り当てることができるセキュリティ・パラメータが、外部エージェント−ホーム・エージェント秘密鍵有効期間を含む、請求項１５に記載の通信システム。

Images