JP2012034381A - Ｇａａのための汎用鍵の決定メカニズム - Google Patents

Abstract

【課題】ネットワーク・アプリケーション・サーバのための汎用メカニズムを提供する方法及び装置に関する。
【解決手段】受信機は、ネットワーク・アプリケーション機能に認証情報を提供するようにユーザ機器からの要求を受信する。決定ユニットは、ユーザ・セキュリティ設定のための既存の標準規格を拡張することにより、追加のネットワーク・アプリケーション・サーバを統合するために汎用認証アーキテクチャの鍵を決定する。提供ユニットは、ネットワーク・アプリケーション機能に認証情報を提供する。
【選択図】図１Ｂ

Description

本出願は、2005年4月11日に出願された出願番号60/669,873の米国仮特許出願に基づいて優先権を主張する。この先の出願の内容は、参照により本願に組み込まれる。

本発明は、ユーザ・セキュリティ設定（USS）の既存の標準規格を拡張することにより、追加のアプリケーション・サーバの容易な統合を実現する汎用認証アーキテクチャ（GAA）の鍵を決定するアプリケーション・サーバのための汎用メカニズムに関する。

第3世代パートナーシップ・プロジェクト（3GPP）汎用認証アーキテクチャ（GAA）の初期の認証（即ち、ブートストラップ）は、AKA（認証及び鍵共有プロトコル）に基づいている。携帯電話などの移動端末であるか、ユニバーサル・モバイル・テレコミュニケーション・システム（UMTS）集積回路カード（UICC）であるか、あるいはその移動端末に挿入された加入者識別モジュールであるかによって、3GPP汎用認証アーキテクチャ（GAA）は以下の鍵、即ち、Ks_int_NAF、Ks_ext_NAF及びKs_NAFを持つことができる。今日、GAAを利用するサービスの数はかなり少なく、特定のスマートカードまたは加入者識別モジュールが利用すべき鍵の定義は、ユーザにサービスを提供するネットワーク・アプリケーション機能のサーバに直接組み入れられている。しかしながら、そのようなサーバへの組み入れは、新規の利用の場合や、既存のサービスの変更または更新や、あるいはユーザが新規のスマートカードを入手するような変更があった場合、拡張性や管理の容易性が決してよいとは言えない。もしNAFがユーザあるいは加入者のホーム・ネットワークではなく、第三者ネットワークに存在するならば、NAFに対する変更または更新は手動設定を要し、これは極めて困難である。

鍵Ks_int_NAFは、スマートカードあるいは加入者識別モジュールとアプリケーション・サーバのNAFとの間のハイパーテキスト・トランスポート・プロトコル（HTTPS）を保護するために用いられる。そのアプリケーションは、スマートカードあるいは加入者識別モジュールに存在し、その移動端末はモデムとしてのみ機能する。このメカニズムは、新たな更新あるいは他のSATアプリケーションをダウンロードするために、現在のOTA SMS設定メッセージの代わりに用いることができる。

今日定義される鍵Ks_int_NAFの唯一の使用事例は、マルチメディア放送／マルチキャスト・サービス（MBMS）にある。MBMSにおいて、NAFは付属書類Ａとして添付され、その内容が参照により本願に組み込まれるTS33.246 3GPP仕様書における定義に従って設定されている。MBMSにおいて、使用すべき鍵の選択は、仕様書TS33.246における特定の鍵に関する記述によって定義されている。従って、この使用事例の場合、鍵選択メカニズムは要求されない。なぜならば、その鍵はユーザにMBMSサービスを提供しているNAFに直接組み入れられているからである。

TS33.246 3GPP仕様書

本発明の実施形態によれば、ネットワーク・アプリケーション・サーバのための汎用メカニズムを提供する方法が得られる。本方法は、ネットワーク・アプリケーション機能に認証情報を提供するためにユーザ機器からの要求を受信する工程を含む。本方法は、ユーザ・セキュリティ設定のための既存の規格を拡張することにより追加のネットワーク・アプリケーション・サーバを統合するために、汎用認証アーキテクチャの鍵を決定する工程を含む。本方法は、ネットワーク・アプリケーション機能に認証情報を提供する工程をさらに含む。

本発明の実施形態によれば、ネットワーク・アプリケーション・サーバのための汎用メカニズムを提供する装置が得られる。受信手段は、ネットワーク・アプリケーション機能に認証情報を提供するために、ユーザ機器からの要求を受信する。決定手段は、ユーザ・セキュリティ設定のための既存の標準規格を拡張することにより、追加のネットワーク・アプリケーション・サーバを統合するために、汎用認証アーキテクチャの鍵を決定する。第１提供手段は、ネットワーク・アプリケーション機能に認証情報を提供する。

本発明の実施形態によれば、ネットワーク・アプリケーション・サーバのための汎用メカニズムを提供する装置が得られる。受信機は、ネットワーク・アプリケーション機能に認証情報を提供するために、ユーザ機器からの要求を受信する。決定ユニットは、ユーザ・セキュリティ設定のための既存の規格を拡張することにより、追加のネットワーク・アプリケーション・サーバを統合するために、汎用認証アーキテクチャの鍵を決定する。提供ユニットは、ネットワーク・アプリケーション機能に認証情報を提供する。

添付図面は、本発明のさらなる理解をもたらすために記載され、本明細書に組み込まれ、その一部を構成し、明細書と共に本発明の原理を説明するために発明の実施形態について説明する。
［略語表］
3GPP・・・第３世代パートナーシップ・プロジェクト
3GPP2・・・第３世代パートナーシップ・プロジェクト２
ACM・・・アドレス完了メッセージ
AKA・・・認証／暗号鍵配送方式
Auth・・・認証
AUTHR・・・認証レスポンス
AVP・・・属性値ペア
BS・・・基地局
BSC・・・基地局コントローラ
BSF・・・ブートストラッピング・サーバ機能
BTS・・・基地局トランシーバ・サブシステム
CK・・・秘密鍵
CM・・・携帯電話のメッセージ
GAA・・・汎用認証アーキテクチャ
GBA・・・汎用ブートストラッピング・アーキテクチャ
GBA_U・・・UICCを基礎として増強したGBA
GUSS・・・GBAユーザ・セキュリティ設定
HSS・・・ホーム加入者サーバ
HTTP・・・ハイパーテキスト転送プロトコル
HTTPS・・・保護されたハイパーテキスト転送プロトコル
IK・・・インテグリティ鍵
IMS・・・IPマルチメディア・サブシステム
IMSI・・・国際移動電話加入者識別番号
IP・・・インターネット・プロトコル
ISIM・・・IMS SIMカード
Kc・・・暗号化鍵
Ki・・・個別加入者認証鍵
Ks・・・鍵材料
Ks_int_NAF・・・UICC上に残っているGBA_Uに生成された鍵
Ks_ext_NAF・・・GBA_Uに生成された鍵
Ks_NAF・・・GBA_MEに生成された鍵
MAP・・・移動体アプリケーション・パート
MBMS・・・マルチメディア放送／マルチキャスト・サービス
ME・・・移動体機器
MIN・・・移動体識別番号
MNO・・・ホーム・モバイル・ネットワーク・オペレータ
MO・・・モバイルから発信
NAF・・・ネットワーク・アプリケーション機能
NE・・・ネットワーク要素
OTA・・・放送で
PDSN・・・パケット・データ・サービス・ノード
PLC・・・暗証ロング・コード
PLCM・・・PLCマスク
PSTN・・・公衆交換電話網
RAN・・・無線アクセス・ネットワーク
RAND・・・ランダム・チャレンジ・データ
SAT・・・SIMアプリケーション・ツールキット
SIM・・・加入者識別モジュール
SMS・・・ショート・メッセージ・サービス
UE・・・ユーザ機器
UICC・・・UMTS集積回路カード
UMTS・・・ユニバーサル・モバイル・テレコミュニケーション・システム
USIM・・・ユニバーサルSIMカード
USS・・・ユーザ・セキュリティ設定
Ub・・・（UEからBSFへの）ブートストラッピング・エア・インターフェース
Zh・・・BSFからのHSSインターフェース

本発明の実施形態に従って、ネットワーク・アプリケーション・サーバに汎用メカニズムを提供する装置を示す。 本発明の実施形態に従って、ネットワーク・アプリケーション機能が移動先ネットワークに存在する典型的ネットワーク・アーキテクチャを示す。 発明の実施形態に従って、ネットワーク・アプリケーション・サーバに汎用メカニズムを提供する装置を示す。 発明の実施形態に従って、ネットワーク・アプリケーション・サーバに汎用メカニズムを提供する方法を示す。 発明の実施形態に従って、ネットワーク・アプリケーション・サーバに汎用メカニズムを提供する方法を示す。

3GPPは、認証基盤案（3GPP TS 33.220、ここに付属書類Bとして添付され、その内容は参照により本願に組み込まれる）である。この基盤は、ネットワーク側とユーザ側とが他の方法では通信できない状況において、ネットワーク側とユーザ側におけるアプリケーション機能との間で通信を可能とするのに利用することができる。この機能は、”アプリケーション・セキュリティのブートストラッピング”あるいはより一般的には単に”ブートストラッピング”と呼ばれる。

ブートストラッピングの一般原理は、汎用ブートストラッピング・サーバ機能（BSF）はユーザ機器（UE）が認証を行ない、セッション・キーについて一致することを可能とするというものである。そのような認証は、認証および鍵共有（AKA）に基づいてもよい。AKAの実行により、移動端末とネットワークは、相互に互いを認証し、鍵、特に機密鍵（CK）及び完全鍵（IK）を共有する。この認証の後、UEと、サービス・プロバイダとも称されるネットワーク・アプリケーション機能（NAF）は、メッセージの認証がUEとBSFとの間で共有するセッション鍵に基づく、あるアプリケーション固有プロトコルを実行することができる。

ブートストラッピング機能は、特定の如何なるネットワーク・アプリケーション機能にも依存することを目的としていない。ブートストラッピング機能を実行するサーバは、認証ベクターを処理するために、家庭のオペレータに信頼されなければならない。ネットワーク・アプリケーション機能は、オペレータのホーム・ネットワーク、移動先ネットワークあるいは第三者ネットワークにおいてサポートされてもよい。

図１Ａは、本発明の実施形態に従ったネットワーク・アーキテクチャの実施例を示す。ネットワーク・アーキテクチャは、ユーザ機器（UE）１００、少なくとも１つのネートワーク・アプリケーション機能（NAP）１０２、ブートストラッピング・サーバ機能（BSF）１０４、及び家庭用加入者システム（HSS）１０６を有する。BSF１０４及びHSS１０６は、家庭用移動体通信事業者（MNO）を形成する。UE１００は、既知の移動体通信技術によってMNO１０８と接続する。

NAF１０２は、例えばMNO１０８の制御下で、ネットワーク要素においてホストされ、BSFもまたMNO１０８の制御下で、ネットワーク要素においてホストされてもよい。従って、事実上、NAF１０２及びBSF１０４の各々は、ネットワーク要素であると考えてもよい。

図１Ａに示すように、UE１００は、Uaインターフェース１１０を通してNAF１０２と通信している。UE１００はUbインターフェース１１２を通してBSF１０４と通信している。NAF１０２はZnインターフェース１１４を通してBSF１０４と通信している。BSF１０４はZhインターフェース１１６通してHSS１０６と通信している。

NAF１０２は、さらに分離したネットワークに備えられていてもよい。例えば、図１Ｂに示すように、NAF１０２が移動先ネットワークに存在する典型的なネットワーク・アーキテクチャが提供されている。UE１００が、ホーム・ネットワーク以外のネットワークで動作するNAF１０２と接触した場合、この移動先のNAF１０２は、加入者のBSF（即ち、ホームBSF）１０４と通信するために、NAFネットワークのダイアメータ・プロキシ（D-プロキシ）１１８を利用しなければならない。NAF１０２は、Znインターフェース１１４を通してD-プロキシ１１８と、Zn’インターフェース１２０を通してBSF１０４と通信する。D-プロキシ１１８の機能は、分離したネットワーク要素として実行されるか、またはダイアメータ・プロキシ機能を実行する移動先ネットワークにおいて、任意のネットワーク要素（NE）の一部となってもよい（そのようなNEの例は、移動先NAF１０２が属するネットワークのBSFや、AAAサーバである）。

図１Ａ及び１Ｂから、ブートストラッピングの原理は、例えば、AKAプロトコルを用いて、UE１００及びブートストラッピング機能が互いに双方を認証し合い、マスター共有秘密鍵が一致するというものである。その後、UE１００と問題となっている特定のネットワーク・アプリケーション機能（NAF）との間で適用される、１つ以上のネットワーク・アプリケーション機能に固有の共有秘密鍵を導くために、マスター共有秘密鍵が用いられる。NAF固有の共有秘密鍵の構成要素は、各ネットワーク・アプリケーション機能に関して別々に特別に生成される。ブートストラッピング動作が完了した後、UE１００とネットワーク・アプリケーション機能は、メッセージの保護がUE１００とブートストラッピング・サーバ機能との間で相互に認証している間に生成されるこれらの鍵に基づいている、ある特定のプロトコルを実行する。そのため、その鍵は、認証と完全性保護のため、及び機密性保護のために用いることができる。それからネットワーク・アプリケーション機能は、ユーザ機器とブートストラッピング・サーバ機能との間で定められたマスター共有秘密鍵から導かれた、NAF固有の共有秘密鍵を取得することができる。

通信Ubインターフェース１１２は、UE１００とBSF１０４との間の相互認証及び鍵の一致をもたらすために、ブートストラッピング認証及び鍵一致プロトコルをサポートする。このプロトコルは、例えば3GPP AKAプロトコルに基づいていてもよい。

Zhインターフェース１１６は、BSF１０４に、どの所要の認証情報及び加入者プロファイル情報をもHSS１０６から取得することを許可する。Uaインターフェース１１０は、Ubインターフェース１１２によってサポートされたプロトコルに基づいて、UE１００とBSF１０４との間で一致したマスター共有秘密鍵から得られた、NAF固有の共有秘密鍵を用いて保護されている、どのアプリケーション固有プロトコルをもサポートする。Znインターフェース１１４は、BSF１０４からのUbインターフェース１１２上でサポートされたプロトコルにおいて一致するマスター共有秘密鍵から得られた、NAF固有の共有秘密鍵を取得するために、NAF１０２により利用される。Znインターフェース１１４は、また、BSF１０４から加入者プロファイル情報を取得するために用いることもできる。

BSF１０４からNAF１０２に送信されるメッセージには、ブートストラッピング情報が含まれる。ブートストラッピング情報は、トランザクション識別子、NAF固有の共有秘密鍵及び任意的な加入者プロファイル情報（”prof_naf”または”いかなるNAF固有USS”）を含んでいてもよい。Ks_NAFで表されるNAF固有の共有秘密鍵は、UE１００とBSF１０４との間で定められ、UE１００と固有のNAFとの間の通信用の特定の用途のために修正することができる。Ks_NAFは、3GPP TS 33.220の付録B（付属書類A）で特定されたパラメータを用いて、Ksから導かれる。Ksはマスター共有秘密鍵であり、Ks_NAFはNAF固有の共有秘密鍵である。そのため、NAFに対して固有な共有秘密鍵Ks_NAFと符合して、各NAFに送信されたブートストラッピング情報はNAFに固有である。

一連の全ユーザ・セキュリティ設定（GUSS）は、BSF固有情報要素及び一連の全アプリケーション固有USSを含む。一連の全ユーザ・セキュリティ設定（USS）、即ちGUSSは、HSSに格納される。加入者が、複数の署名、即ち、UICC上の複数のISIMまたはUSIMアプリケーションを有している場合、１つ以上の識別番号、例えば、（IPマルチメディア個人識別番号）IMIP及び（国際移動電話加入者識別番号）IMSIにマップされることが可能な、１つ以上のGUSSをHSSは含まなければならない。

GBA_Uにおける２つのNAF固有共有秘密鍵に対する新たな使用例の展開において、一方はUICC上で使用され（Ks_int_NAF）、他方は移動体装置で使用される（Ks_ext_NAF）。この使用例は、どの鍵、即ち、Ks_int_NAFまたはKs_ext_NAFを用いるかについてのある”決定論理”を必要とする。この’論理’に新たなサービスを追加することは、携帯端末に新たにスマートカードを設置しなくても可能でなければならない。NAFが１つ以上のタイプの鍵をサポートする場合、攻撃に対するセキュリティ・レベルを軽視することは一切避けなければならない。この攻撃の軽視は、NAFが、Ks_int_NAFの使用を要求する代わりに、だまされて低いレベルのセキュリティ鍵を使用することになる。

本発明の実施形態によれば、ユーザ・セキュリティ設定（USS）の既存の標準規格を拡張することにより、汎用認証アーキテクチャ（GAA）のどの鍵が、追加のアプリケーション・サーバの容易な統合を実現するかということに関する知識を得るために、アプリケーション・サーバに対する汎用メカニズムが得られる。AVP属性値ペア（AVP）は、付属書類Cとして添付された、3GPP TS 29.109 GAA Znインターフェース・ブートストラッピング情報要求／応答メッセージに定義されており、その内容は参照により本願に組み込まれ、追加の新しいダイアメータAVPは、付属書類Dとして添付された3GPP TS 29.229に定義され、参照により本願に組み込まれる。

NAF設定の間にあらゆるNAFにおけるソフトウェアに直接、鍵の使用法をハード・コードまたは局所的に設定することにより（NAFに局所的）、BSFに鍵の使用法をハード・コードすることにより（BSFはNAFに関連する鍵を配信することによってのみ指示する）、BSFに転送されたホーム加入者サーバ（HSS）に格納されたユーザ・セキュリティ設定（USS）にフィールドを追加することにより、及び／又は鍵の使用法を示す、BSFに格納されたAVPを使用することにより、汎用メカニズムが実施可能である。もしBSFがNAFに関連する鍵を配信するだけである場合は、NAFは提供されたセキュリティの品質及び使用している鍵のタイプを認識しないであろう。

標準化された3GPP及び既存のユーザ・セキュリティ設定（USS）は拡張が可能であり、どの鍵を使用すべきかを示すために利用することができる。このことは、サービスが第三者NAFによって提供され、サービスの請求が家庭内オペレータによってなされている場合には特に、ユーザの家庭内オペレータに完全かつフレキシブルな制御を提供する。

本発明の実施形態によれば、少なくとも２つの実施形態を実施することができる。第１の実施形態においては、USSは、ユーザが、どのタイプのスマートカードあるいはセキュリティ環境を有しているかを示すことができる。さらに、第１の実施形態は、モバイル加入者のユニバーサルSIM（USIM）、IMS SIMカード（ISIM）をGBA_Uが実施可能か否かを規定する。第１の実施形態においては、カード又はセキュリティ環境がGBA_Uを実施可能であるか否かを示す、フラグ・フィールドがあってもよい。

第２の実施形態においては、付属書類Dとして添付され、その内容が参照により本願に組み込まれる、既存の仕様書3GPP TS 29.109のUSSに搬送された１つまたは２つの認証フラグ・フィールドをUSSは備えている。第１のフラグ・フィールドにおいては、もしこのフィールドが存在する場合には、UICCを基礎とした共有秘密鍵（Ks_int_NAF）の使用は必須であることを示す。第２のフラグ・フィールドは付加的なフィールドであり、もし第２のフラグ・フィールドが存在する場合は、MEを基礎とした共有秘密鍵（Ks_ext_NAFまたはKs_NAF）の使用であることを示す。もし家庭内オペレータによってモバイル加入者に新しい加入者識別モジュールが提供された場合、USSは、今後は、より安全な鍵Ks_int_NAFが使用されることを要求するように要に更新されることが可能である。両代替案は、セキュリティの軽視による攻撃を避ける、即ち、鍵Ks_ext_NAFが、より安全な鍵Ks_int_NAFの代わりに使用される。

図２は、本発明の実施形態に従って、ネットワーク・アプリケーション・サーバのための汎用メカニズムを提供する装置１５０を示す。装置１５０は、ネットワーク・アプリケーション機能に認証情報を提供するようにユーザ機器から要求を受信する受信ユニット１５２を備えている。装置１５０は、ユーザ・セキュリティ設定のための既存の標準規格を拡張することにより追加的なネットワーク・アプリケーション・サーバを統合するために、汎用認証アーキテクチャの鍵を決定する決定ユニット１５４をさらに備えている。装置１５０は、また、ネットワーク・アプリケーション機能に認証情報を提供するための第１提供ユニット１５６を備えている。

図３は、本発明の実施形態に従って、ネットワーク・アプリケーション・サーバに汎用メカニズムを提供する方法を示す。工程２００において、本方法では、ネットワーク・アプリケーション機能に認証情報を提供するようユーザ機器から要求を受信する。工程２１０において、本方法では、ユーザ・セキュリティ設定のための既存の標準規格を拡張することにより追加のネットワーク・アプリケーション・サーバを統合するために、汎用認証アーキテクチャの鍵を決定する。工程２２０において、ネットワーク・アプリケーション機能に認証情報を提供する。本発明の実施形態に従えば、USSは、ユーザがどのタイプのスマートカードを有しているか、あるいは、どのタイプ（即ち、Ks_ext_NAFまたはKs_int_NAF）の共有秘密鍵が使用されなければならないかを示すことができる。工程２３０において、本方法は、モバイル加入者のユニバーサルSIM（USIM）、ISM SIMカード（ISIM）あるいは他の安全な環境をGBA_Uが実施可能か否かを決定する。第１の実施形態においては、カードまたは安全な環境をGBA_Uが実施可能かどうかを示すフラグ・フィールドが存在する場合がある。

図４は、本発明の他の実施形態に従って、ネットワーク・アプリケーション・サーバに汎用メカニズムを提供する方法を示す。工程３００において、本方法では、ネットワーク・アプリケーション機能に認証情報を提供するようユーザ機器から要求を受信する。工程３１０において、本方法では、ユーザ・セキュリティ設定のための既存の標準規格を拡張することにより追加的なネットワーク・アプリケーション・サーバを統合するために、汎用認証アーキテクチャの鍵を決定する。工程３２０において、ネットワーク・アプリケーション機能に認証情報を提供する。本発明の実施形態によれば、USSは、ユーザがどのタイプのスマートカードを有しているか、あるいは、どのタイプの共有秘密鍵が使用されなければならないかを示すことができる。工程３３０において、本方法では、付属書類Cとして添付された、既存の仕様書3GPP TS 29.109の認証ヘッダに送られる、１つまたは２つのフラグ・フィールドをUSSが有しているかどうかを決定する。第１のフラグ・フィールドにおいては、もしこのフィールドが存在する場合には、UICCを基礎とした共有秘密鍵（Ks_int_NAF）の使用は必須であることを示す。第２のフラグ・フィールドは付加的なフィールドであり、もし第２のフラグ・フィールドが存在する場合は、MEを基礎とした共有秘密鍵（Ks_ext_NAFまたはKs_NAF）の使用であることを示す。

もし、新しいアプリケーション・サーバが事業者ネットワークに設定されても、どのユーザのためにどの鍵を使用すべきか、あるいは、近い将来、ユーザに新たなSIMカードが提供されるかどうかを知る必要は無い。NAFは必要な鍵の選択に関する情報をBSFから得ることとなる。

本発明の実施形態によれば、新たなAVPは、使用される生成された鍵のタイプを示すのに用いることができる。例えば、新たなAVPは、生成された鍵がKs_int_NAFであるか、あるいは他のタイプの鍵であるかを示すことができる。新たなAVPは、カードまたは安全な環境をGBA_Uが実施可能であるか、あるいは、その代わりにどの鍵を使用すべきかのいずれかを示すこととなる。フラグに従って、指示された場合には、NAFは、UICCを基礎とした共有秘密鍵（Ks_int_NAF）を使用することができる。即ち、AVPは、カードまたは安全な環境をGBA_Uが実施可能であることを示すか、あるいは、AVPはKs_int_NAFの使用を明確に示す。それからNAFはこの鍵が使用され、セキュリティ・レベルが低い他の鍵が使用されないように要求することとなる。

例えばスマートカードといった安全な環境におけるウェブ・サーバに対して、クライアントはユニバーサル・モバイル・テレコミュニケーション・システム（UMTS）集積回路カード（UICC）に存在し、アプリケーションもまた安全な環境に存在する。これは、典型的には、ジャバ・アプリケーション、XMLアプリケーション、C++アプリケーション、パール・アプリケーション、あるいはビジュアル・ベーシック・アプリケーション、あるいは他の類似したタイプのアプリケーションである。それから、事業体の１つが、例えば電話の第２の安全なエリアといった他の信頼できるドメインに存在するような、他の事業体に向けてウェブ・サービスを提供するアプリケーション・サーバとしての役割をUICCは果たし、ウェブ・サービス事業体の間の通信を保護するためにKs_int_NAFが使用される。UICCを基礎としたNAFは、リバティ・アライアンス・ウェブ・サービス・フレームワーク仕様書（ID-WSF）http://www.projectliberty.org/resources/specifications.phpでうたわれているようにWSP（ウェブ・サービス・プロバイダ）の役割を果たすこととなる。UICCは、要求する事業体（例えば、ウェブ・サービスの消費者）に、Ks_int_NAFを介して認証／保護された機密情報を提供する、リバティ・アライアンス・コンフォーマント・ウェブ・サービス・プロバイダとしての役割を果たすこともできる。他のGAAを基礎とした鍵は、識別及びメッセージ保護のためにウェブ・サービス・フレームワークにおいてさらに利用され得る。さらに、TS24.109 3GPPは、ブートストラッピング・インタフェース（Ub）及びネットワーク・アプリケーション機能インターフェース（Ua）の仕様を定め、これは付属書類Eとして添付され、参照により本願に組み込まれる。TS29.109 3GPPは、ダイアメータ・プロトコルを基礎としたZh及びZnインターフェースの仕様を定め、これは付属書類Fとして添付され、参照により本願に組み込まれる。

本発明は、加入者の家庭内オペレータが、使用されたセキュリティ・レベルを完全に制御することを可能とする。ユーザが新たなUICCを有している場合には、ユーザ・セキュリティ設定の更新は、主にホーム・サービス・サーバ（HSS）で行なわれ、全てのNAFを個別に更新することは要求されない。オペレータによって制御されたHSSまたはBSFに決定論理が存在してもよい。さらに、セキュリティを軽視した攻撃も、新たなアプリケーションに対しては、もはや不可能となる。

上記の説明は、本願発明の特定の実施形態を対象としている。しかしながら、その効果のいくらかまたは全てを達成しながら、上記の実施形態に対する他の変形や変更が可能であることは明らかである。それゆえ、添付の特許請求の範囲の目的は、本発明の真の精神及び範囲を超えずに、そのような全ての変形及び変更に及ぶ。

Claims (27)

1. ネットワーク・アプリケーション・サーバのための汎用メカニズムを提供する方法であって、
   ネットワーク・アプリケーション機能に認証情報を提供するようにユーザ機器からの要求を受信し、
   ユーザ・セキュリティ設定のための既存の標準規格を拡張することにより、追加のネットワーク・アプリケーション・サーバを統合するために汎用認証アーキテクチャの鍵を決定し、
   ネットワーク・アプリケーション機能に認証情報を提供する方法。
2. 請求項１に記載の方法であって、
   ユーザ・セキュリティ設定においてユーザ機器のスマートカードまたは安全な環境のタイプに関連するデータを提供し、
   集積回路を基礎として強化（GBA_U）された汎用ブートストラッピング・アーキテクチャが、汎用加入者識別モジュール、加入者識別モジュール、IMS SIMカードあるいは他の安全な環境を実施可能であるか否かを示すフラグ・フィールドをさらに提供する方法。
3. 請求項１に記載された方法であって、仕様書の認証ヘッダに送られるユーザ・セキュリティ設定における第１及び第２フラグ・フィールドをさらに提供し、
   前記第１フラグ・フィールドにおいては、集積回路を基礎として強化（GBA_U）された第１生成鍵（Ks_int_NAF）が使用され、
   前記第２フラグ・フィールドにおいては、第２生成鍵（Ks_ext_NAF）または第３生成鍵（Ks_NAF）が使用される方法。
4. 請求項１に記載の方法であって、前記決定ステップは、ネットワーク・アプリケーション機能の設定の間に、そのネットワーク・アプリケーション機能に直接、局所的に鍵の使用法を設定することと、ブートストラッピング・サーバ機能に直接、局所的に鍵の使用法を設定することの、少なくとも一方を決定し、
   ブートストラッピング・サーバ機能に送られるホーム加入者サーバに格納されたユーザ・セキュリティ設定に追加のフィールドを提供し、
   鍵の使用法を示すブートストラッピング・サーバ機能に格納された属性値ペアを用いる方法。
5. 請求項４に記載の方法であって、使用される派生鍵のタイプ、あるいは、スマートカードまたは実現可能な安全な環境のタイプを示す属性値をさらに使用し、
   前記派生鍵のタイプは、Ks_int_NAF、Ks_ext_NAFまたはKs_NAFを含み、前記スマートカードまたは安全な環境はGBA_Uを含む方法。
6. 請求項５に記載の方法であって、属性値ペアがKs_int_NAFの使用を示す場合は、セキュリティ・レベルがより低い鍵の代わりに、ネットワーク・アプリケーション機能によるKs_int_NAFの使用をさらに要求する方法。
7. 請求項２に記載の方法であって、ウェブ・サーバが安全な環境にある場合は、ネットワーク・アプリケーションをユニバーサル・モバイル・テレコミュニケーション・システム（UMTS）集積回路カード（UICC）にさらに配置し、
   前記UICCはネットワーク・アプリケーション機能であり、生成された鍵（Ks_int_NAF）は、ウェブ・サービス事業体間の通信の保護のために使用される方法。
8. 請求項７に記載の方法であって、ネットワーク・アプリケーションを配置する前記配置ステップは、ジャバ・アプリケーション、XMLアプリケーション、C++アプリケーション、パール・アプリケーション、またはビジュアル・ベーシック・アプリケーションを有する方法。
9. 請求項１に記載の方法であって、ホーム加入者サーバ（HSS）に格納されたユーザ・セキュリティ設定に追加のフィールドを提供することにより、ブートストラッピング・サーバ機能（BSF）に局所的に鍵の使用法をさらに設定する方法。
10. ネットワーク・アプリケーション・サーバのための汎用メカニズムを提供する装置であって、
    ネットワーク・アプリケーション機能に認証情報を提供するようにユーザ機器からの要求を受信する受信手段と、
    ユーザ・セキュリティ設定のための既存の標準規格を拡張することにより、追加のネットワーク・アプリケーション・サーバを統合するために汎用認証アーキテクチャの鍵を決定する決定手段と、
    ネットワーク・アプリケーション機能に認証情報を提供する第１提供手段とを有する装置。
11. 請求項１０に記載の装置であって、ユーザ・セキュリティ設定においてユーザ機器の安全な環境のタイプを提供する第２提供手段と、
    集積回路を基礎として強化（GBA_U）された汎用ブートストラッピング・アーキテクチャが、汎用加入者識別モジュール、加入者識別モジュール、安全な環境あるいはIMS SIMカードを実施可能であるか否かを示すフラグ・フィールドを提供する第３提供手段とをさらに有する装置。
12. 請求項１０に記載された装置であって、仕様書の認証ヘッダに送られるユーザ・セキュリティ設定内の第１及び第２フラグ・フィールドを提供する第２提供手段をさらに有し、
    前記第１フラグ・フィールドにおいては、集積回路を基礎として強化（GBA_U）された第１生成鍵（Ks_int_NAF）が使用され、
    前記第２フラグ・フィールドにおいては、第２生成鍵（Ks_ext_NAF）または第３生成鍵（Ks_NAF）が使用される装置。
13. 請求項１０に記載の装置であって、前記汎用メカニズムは、ネットワーク・アプリケーション機能の設定の間に、そのネットワーク・アプリケーション機能に直接、局所的に鍵の使用法を設定する第１ハード・コード手段、または、ブートストラッピング・サーバ機能に直接、局所的に鍵の使用法を設定する第２ハード・コード手段の少なくとも一方と、
    ブートストラッピング・サーバ機能に送られるホーム加入者サーバに格納されたユーザ・セキュリティ設定に追加のフィールドを提供する第２提供手段と、
    鍵の使用法を示すブートストラッピング・サーバ機能に格納された属性値ペアを用いる第１使用手段とを有する装置。
14. 請求項１３に記載の装置であって、使用される派生鍵のタイプ、あるいは、スマートカードまたは実現可能な安全な環境のタイプを示す属性値を使用する第２使用手段をさらに有し、
    前記派生鍵のタイプは、Ks_int_NAF、Ks_ext_NAFまたはKs_NAFを含み、前記スマートカードまたは安全な環境はGBA_Uを含む装置。
15. 請求項１４に記載の装置であって、属性値ペアがKs_int_NAFの使用を示す場合は、ネットワーク・アプリケーション機能は、セキュリティ・レベルがより低い鍵ではなく、Ks_int_NAFが使用されるようにさらに要求する装置。
16. 請求項１１に記載の装置であって、ウェブ・サーバが、スマートカードまたは安全な環境にある場合は、ネットワーク・アプリケーションをユニバーサル・モバイル・テレコミュニケーション・システム（UMTS）集積回路カード（UICC）に配置する配置手段をさらに有し、
    前記UICCはネットワーク・アプリケーション機能であり、生成された鍵（Ks_int_NAF）は、ウェブ・サービス事業体間の通信の保護のために使用される装置。
17. 請求項１０に記載の装置であって、ホーム加入者サーバ（HSS）に格納されたユーザ・セキュリティ設定に追加のフィールドを提供することにより、ブートストラッピング・サーバ機能（BSF）に局所的に鍵の使用法を設定する第３ハード・コード手段をさらに有する装置。
18. ネットワーク・アプリケーション・サーバのための汎用メカニズムを提供するための装置であって、
    ネットワーク・アプリケーション機能に認証情報を提供するようにユーザ機器からの要求を受信する受信ユニットと、
    ユーザ・セキュリティ設定のための既存の標準規格を拡張することにより、追加のネットワーク・アプリケーション・サーバを統合するために汎用認証アーキテクチャの鍵を決定する決定ユニットと、
    ネットワーク・アプリケーション機能に認証情報を提供する提供ユニットとを有する装置。
19. コンピュータ読み取り可能な媒体に具体化された、ネットワーク・アプリケーション・サーバのための汎用メカニズムを提供するためのコンピュータ・プログラムであって、
    ネットワーク・アプリケーション機能に認証情報を提供するようにユーザ機器からの要求を受信する工程と、
    ユーザ・セキュリティ設定のための既存の標準規格を拡張することにより、追加のネットワーク・アプリケーション・サーバを統合するために汎用認証アーキテクチャの鍵を決定する工程と、
    ネットワーク・アプリケーション機能に認証情報を提供する工程とを実行するように構成されたコンピュータ・プログラム。
20. 請求項１９に記載のコンピュータ・プログラムであって、
    ユーザ・セキュリティ設定においてユーザ機器のスマートカードまたは安全な環境のタイプに関連するデータを提供する工程と、
    集積回路を基礎として強化（GBA_U）された汎用ブートストラッピング・アーキテクチャが、汎用加入者識別モジュール、加入者識別モジュール、安全な環境あるいはIMS SIMカードを実施可能であるか否かを示すフラグ・フィールドを提供する工程とをさらに有するコンピュータ・プログラム。
21. 請求項１９に記載のコンピュータ・プログラムであって、
    仕様書の認証ヘッダに送られるユーザ・セキュリティ設定内の第１及び第２フラグ・フィールドを提供する工程をさらに有し、
    前記第１フラグ・フィールドにおいては、集積回路を基礎として強化（GBA_U）された第１生成鍵（Ks_int_NAF）が使用され、
    前記第２フラグ・フィールドにおいては、第２生成鍵（Ks_ext_NAF）または第３生成鍵（Ks_NAF）が使用されるコンピュータ・プログラム。
22. 請求項１９に記載のコンピュータ・プログラムであって、
    前記決定ステップは、ネットワーク・アプリケーション機能の設定の間に、そのネットワーク・アプリケーション機能に直接、局所的に鍵の使用法を設定することと、ブートストラッピング・サーバ機能に直接、局所的に鍵の使用法を設定することの少なくとも一方を決定する工程と、
    ブートストラッピング・サーバ機能に送られるホーム加入者サーバに格納されたユーザ・セキュリティ設定に追加のフィールドを提供する工程と、
    鍵の使用法を示すブートストラッピング・サーバ機能に格納された属性値ペアを使用する工程とを有するコンピュータ・プログラム。
23. 請求項２２に記載のコンピュータ・プログラムであって、さらに、使用される派生鍵のタイプ、あるいは、スマートカードまたは実現可能な安全な環境のタイプを示す属性値を使用する工程を有し、前記派生鍵のタイプは、Ks_int_NAF、Ks_ext_NAFまたはKs_NAFを含み、前記スマートカードまたは安全な環境はGBA_Uを含むコンピュータ・プログラム。
24. 請求項２３に記載のコンピュータ・プログラムであって、属性値ペアがKs_int_NAFの使用を示す場合は、さらに、セキュリティ・レベルがより低い鍵の代わりに、ネットワーク・アプリケーション機能によるKs_int_NAFの使用を要求する工程を有するコンピュータ・プログラム。
25. 請求項２０に記載のコンピュータ・プログラムであって、ウェブ・サーバが安全な環境にある場合は、さらに、ネットワーク・アプリケーションをユニバーサル・モバイル・テレコミュニケーション・システム（UMTS）集積回路カード（UICC）に配置する工程を有し、前記UICCはネットワーク・アプリケーション機能であり、生成された鍵（Ks_int_NAF）は、ウェブ・サービス事業体間の通信の保護のために使用されるコンピュータ・プログラム。
26. 請求項２５に記載のコンピュータ・プログラムであって、ネットワーク・アプリケーションを配置する前記配置ステップは、ジャバ・アプリケーション、XMLアプリケーション、C++アプリケーション、パール・アプリケーション、またはビジュアル・ベーシック・アプリケーションを有するコンピュータ・プログラム。
27. 請求項１９に記載のコンピュータ・プログラムであって、ホーム加入者サーバ（HSS）に格納されたユーザ・セキュリティ設定に追加のフィールドを提供することにより、ブートストラッピング・サーバ機能（BSF）に局所的に鍵の使用法を設定する工程をさらに有するコンピュータ・プログラム。

Images