アクセスシステム間のハンドオーバー時の認証手順を最適化するシステム及び方法
本発明は新たなシステムにアクセスするための新たなキーを派生させる方法及びシステムを提供する。本発明は、既存のシステムから新たなシステムにハンドオーバー時に既存のシステムアクセスキーを用いて最適化した認証手順を可能にする。ユーザー端末が速い再認証を遂行できるようにするハンドオーバー準備時に、新たなシステムにアクセスするユーザー端末は臨時ＩＤを受信する。上記方法は、新たなネットワークのためのシステムアクセスキーを生成するために既存のシステムアクセスキーを使用する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は異種システム(heterogeneous systems)、アクセスシステム間のハンドオーバー時の認証手順の最適化、及び進化した(evolved)システムのためのキーの派生(derivation)方法に関するもので、特に、以前のアクセスシステムのキーを用いてハンドオーバー以後に新たなアクセスシステムとの通信を確保するための新たなキーを生成する方法に関する。
【背景技術】
【０００２】
３ＧＰＰ(3rd Generation Partnership Project)の無線アクセスネットワーク(Radio Access Network：ＲＡＮ)、システム構造(System Architecture：ＳＡ)、及びコアターミナル(Core Terminal：ＣＴ)作業グループは、次世代無線システムの向上した(Enhanced)ＵＴＲＡＮ(Ｅ-ＵＴＲＡＮ)構造を開発することを目標としている。Ｅ−ＵＴＲＡＮシステムは、現在第２世代(２Ｇ)及び第３世代(３Ｇ)無線システムと共存することが要求され、特に既存のシステムと３ＧＰＰ ＴＲ ２３．８８２、３ＧＰＰ ＴＳ ２３．４０１、及び３ＧＰＰ ＴＳ ２３．４０２規格に明示されたように新たに進化した(evolved)Ｅ−ＵＴＲＡＮシステムとの間のハンドオーバーを支援することが要求される。
【０００３】
Ｅ-ＵＴＲＡＮシステムは、３ＧＰＰ ＵＴＲＡＮシステムの進化したシステムであり、主要エンティティは、図１に示すようにＵＥ(User Equipment)、ＥＮＢ(Enhanced Node B)、ＭＭＥ(Mobility Management Entity)、ＵＰＥ(User Plane Entity)、及びＩＡＳＡ(Inter Access System Anchor)である。Ｅ-ＵＴＲＡＮシステムのＥＮＢは、Ｎｏｄｅ Ｂと古い(legacy)ＵＴＲＡＮシステムの無線ネットワーク制御器(Radio Network Controller：ＲＮＣ）の特性を有しなければならない。システム構造進化(System Architecture Evolution：ＳＡＥ）のＭＭＥは、ＵＥコンテキスト(アイドル状態の場合、ＵＥ/ユーザー識別(Identity)、ＵＥ移動状態、ユーザーセキュリティパラメータ)を管理及び格納する。また、ＭＭＥは、ＵＥに割り当てる臨時識別(temporary identities)を生成し、ＵＥがＴＡ又はＰＬＭＮ(Public Land Mobile Network)に留まっているかどうかについて認証を確認し、ユーザーの認証を遂行する。ＳＡＥのＵＰＥは、アイドル状態のＵＥに対してダウンリンクデータ経路を終了し、ダウンリンクデータがＵＥに到着したときに呼び出し(paging）をトリガー及び開始(trigger/initiate)する。また、ＵＰＥは、ＵＥコンテキスト、例えば、ＩＰ(Internet Protocol)ベアラサービス又はネットワーク内部ルーティング情報を管理及び格納し、インターセプション(interception)の場合にユーザートラフィックのレプリケーション(replication)を遂行する。ＩＡＳＡは、相互に異なるアクセスシステム間の移動性のためのユーザープレーンアンカー(user plane anchor)である。このＩＡＳＡは、相互に異なるアクセスシステム間のハンドオーバーを遂行または支援する。
【０００４】
ＧＥＲＡＮ(GSM(Global System for Mobile Communication)/EDGE(Enhanced Data rates for Global Evolution) Radio Access Network)は、送受信基地局(Base Transceiver Station:ＢＴＳ）と基地局制御器(Base Station Controller:ＢＳＣ）で構成される。ＵＴＲＡＮは、Ｎｏｄｅ Ｂと無線ネットワーク制御器(Radio Network Controller：ＲＮＣ)で構成される。ＧＰＲＳ(General Packet Radio Service)コアネットワークは、図１に示すようにサービングＧＰＲＳ支援ノード(Serving GPRS Support Node：ＳＧＳＮ)とゲートウェイＧＰＲＳ支援ノード(Gateway GPRS Support Node：ＧＧＳＮ)で構成される。
【０００５】
３ＧＰＰ ＴＳ ２３．２３４規格に明示されたＩ-ＷＬＡＮ(Integrated Wireless Local Area Network)システムは、図２に示すように、古いＵＴＲＡＮシステムをＷＬＡＮシステムと統合するシステム及び方法を提供する。Ｉ-ＷＬＡＮシステムは、ＷＬＡＮユーザーが３ＧＰＰパケット交換サービスをアクセスできるようにする。
【０００６】
しかしながら、現在、異種アクセスシステム間のハンドオーバー時に認証手順を提供する効率的なメカニズムが提示されていない。さらに、進化したシステムのキーを生成するための方法も提示されていない。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
したがって、本発明は、少なくとも上記した従来技術の問題点及び短所を解消し、下記のような長所を提供する。したがって、本発明の目的は、異種ネットワークでアクセスシステム間のハンドオーバー時に認証手順を最適化する方法を提供する。
本発明の他の目的は、異種ネットワークでアクセスシステム間のハンドオーバー時に認証手順を最適化するシステムを提供する。
また、本発明は、ＳＡＥシステム固有のキーを生成させるためのメカニズムを提供する。
【課題を解決するための手段】
【０００８】
上記のような目的を達成するために、本発明は、異種ネットワークにおけるアクセスシステム間のハンドオーバー時に認証手順を最適化する方法であって、新たなシステムにアクセスするための新たなキーを派生するステップと、既存システムから新たなシステムへのハンドオーバー時に既存システムアクセスキーを用いて認証手順を最適化するステップと、ハンドオーバー準備時に新たなシステムにアクセスし、ＵＥが新たなシステムで速い再認証を遂行可能にするための臨時ＩＤ(Identification)をＵＥによって受信するステップとを有することを特徴とする。
【０００９】
また、本発明は、異種ネットワークにおけるアクセスシステム間のハンドオーバー時に認証手順を最適化するシステムであって、新たなシステムにアクセスするための新たなキーを派生する手段と、既存システムから新たなシステムへのハンドオーバー時に、既存システムと共に使用される既存システムアクセスキーを用いて認証手順を最適化する手段と、ユーザー端末が速い再認証を遂行可能にするハンドオーバー準備時に新たなシステムにアクセスするユーザー端末によって臨時ＩＤを受信する手段とを含むことを特徴とする。
【００１０】
本発明は、第２のアクセスシステムで使用されるアクティブ認証キーを第１のアクセスシステムで利用することによって、ハンドオーバー時に最適化した認証手順を提供するメカニズムを含む。また、本発明は、ハンドオーバー手順中に速く再認証を遂行するためのメカニズムを含む。
本発明は、ＵＥとネットワークエンティティとの間の通信を確保するために進化したシステムに対するキーを生成するためのメカニズムを含む。
【００１１】
さらに、本発明の他の態様によれば、次のようである。
異種ネットワーク環境でハンドオーバー時にネットワークアクセス認証手順の最適化すること。
アクセスシステムの従属認証手順を遂行せずに、その代わりに、以前のアクセスシステムで生成された最新のアクティブキーを用いて、新たなアクセスシステムのための新たなキーを生成するメカニズムを提供すること。
順方向ハンドオーバーと逆方向ハンドオーバー共に対する新たなキーを派生するメカニズムを提供すること。
ＳＡＥシステム又はＩ-ＷＬＡＮインターワーキングシステムのネットワークエンティティ又はＳＡＥシステム又はＩ-ＷＬＡＮインターワーキングシステムの別途のエンティティと同時に配置された論理インターワーキングユニットを通じてキー、セキュリティコンテキスト、及びその他のメッセージを交換するためのＭＭＥ/ＵＰＥ及びＡＡＡ(Authentication Authorization and Accounting)サーバ間のシグナリングインターフェースを提供すること。
Ｉ-ＷＬＡＮアクセス及び保安(secure)通信のために、ＵＥ及びＡＡＡサーバによってアクティブＥＵＴＲＡＮネットワークアクセスキーを用いるキーを生成すること。
【００１２】
ハンドオーバー準備段階で、最新ＣＫ(Cypher Key)及びＩＫ(Integrity Key)を用いてＳＡＥシステム又はＵＭＴＳシステムからＩ-ＷＬＡＮシステムにキー(ＥＡＰ関連キー、すなわちＴＥＫ、ＭＳＫ及びＥＭＳＫ)を生成すること。このＵＥは、測定レポートを通じてＩ-ＷＬＡＮ ＩＤ及びＮＡＩをＳＡＥシステムに伝送する。ＳＡＥシステムのネットワークエンティティはＩ-ＷＬＡＮインターワーキングシステムに転送されたハンドオーバー(HandOver：以下、“ＨＯ”と称する)準備要求内に他のパラメータと共に最新ＣＫ及びＩＫを含む。ＵＥとネットワークはハンドオーバー準備段階でキーを生成することができる。
【００１３】
Ｉ-ＷＬＡＮ接続(attach)手順の間に、ＵＥがＳＡＥシステムからＩ-ＷＬＡＮシステムへ移動するとき、ＵＥとＡＡＡサーバがハンドオーバー準備段階でキーを生成すると、ＷＬＡＮ-ＡＮがＡＡＡサーバにＵＥの認証を要求する場合に、Ｉ-ＷＬＡＮネットワークエンティティ(ＡＡＡサーバ）はＥＡＰ認証手順なしにＷＬＡＮ-ＡＮにＭＳＫを伝送することを提供する。このように、ＵＥとＩ-ＷＬＡＮ ＡＳは、ＩＥＥＥ(Institute of Electrical and Electronic Engineers)８０２．１１の特定ハンドシェイク(handshake)メカニズムを直接遂行してＬ２(Layer2)保護(protections)を開始することができる。
【００１４】
ハンドオーバー準備段階で、ＡＡＡサーバによって(ＨＯ承認(accept)メッセージ/ＨＯ命令メッセージ内の)Ｉ-ＷＬＡＮ固有の臨時ＩＤ、匿名(pseudonym)及び/又は速い再認証ＩＤをＵＥに伝送すること。(ネットワークが速い再認証ＩＤを伝送し、ＵＥにキーの認証及びリフレッシュ(refresh)を要求すると)ＵＥは、ＳＡＥ ＡＳからＩ-ＷＬＡＮ ＡＳに初期にハンドオーバー時に速い再認証手順を遂行することができる。本発明によると、ＵＥは、最後に成功的に受信されたパケットのシーケンス番号をＩ-ＷＬＡＮ ＡＳに伝送できる。Ｉ-ＷＬＡＮ ＡＳは、パケットをコアネットワークに伝達し、コアネットワークは最後に成功的に受信されたシーケンス番号以後のパケットをＵＥに伝送し始めることができる。
【００１５】
本発明によると、ネットワークは、ＳＡＥシステム又はＵＭＴＳシステムからＩ-ＷＬＡＮシステムにハンドオーバーしつつ、ＨＯ命令の間にＵＥがシナリオ(scenario)２及びシナリオ３認証手順と支援される最適化手順のリストを共に遂行するように指示できる。このように、ＵＥは、施行錯誤方法なしに、直接ネットワークによって支援される最適化手順の中で一つを選択して開始することができる。
【００１６】
本発明によると、ＭＭＥは、ＨＯ準備段階でＨＳＳにソフト登録(soft registration)を遂行し、ハンドオーバー後に、ＵＥは、上記ＭＭＥに接続する。ＳＧＳＮは、ＨＯ準備段階でＨＳＳにソフト登録を遂行し、ハンドオーバー後に、ＵＥは上記ＳＧＳＮに接続する。
【００１７】
本発明によると、ＡＡＡサーバはＨＯ準備段階でＨＳＳにソフト登録を遂行して、ハンドオーバー後に、ＵＥはＡＡＡサーバに接続される。保安モード命令手順は、ＳＡＥシステム又はＵＭＴＳシステムへのハンドオーバーの間にＨＯ準備段階で遂行される。
【００１８】
本発明によると、ＵＥは、ネットワークによってブロードキャスティングされるネットワーク支援アルゴリズムのリストから選択されたアルゴリズムを測定レポートを通じてＳＡＥシステムに伝送する。ＨＯ命令で、ＳＡＥシステムは、ＵＥ選択アルゴリズムを同意/交渉(agree/negotiate)して、ＵＥがハンドオーバー時に初期メッセージの保護を開始することができる。
【００１９】
本発明によると、ＳＧＳＮは、最新ＣＫ及びＩＫをＳＡＥシステムのＭＭＥ又は認証及びキー管理エンティティに伝達し、ＭＭＥ又はＳＡＥシステムの認証及びキー管理エンティティは、ＳＡＥ固有のキーを派生してハンドオーバー以前又はハンドオーバー時にＳＡＥシステムエンティティに分配する。
【００２０】
本発明によると、ＭＭＥは、他のＡＳからのＨＯ要求又は他のＡＳへのＨＯ要求時に、ＬＴＥ(Lon Term Evolution)関連パラメータをＵＭＴＳ固有のパラメータに変換する。ＭＭＥは、最新ＣＫ及びＩＫをＳＧＳＮに伝達し、このＳＧＳＮはこのキーをＳＡＥシステムからのハンドオーバー準備要求時にＲＮＣ(Radio Network Controller)に分配する。
【００２１】
本発明によると、ＵＭＴＳ ＡＳのための順方向ハンドオーバー認証手順中に、ＵＥはＲＡＵ手順又は初期ＮＡＳメッセージを通じて以前アクセスシステムの詳細を伝送し、コアネットワークは、以前アクセスシステムからセキュリティコンテキスト(例えば、ＣＫ及びＩＫ)とバッファリングされたパケットを検索する(retrieve)ことができる。Ｉ-ＷＬＡＮ ＡＳへの順方向ハンドオーバー認証手順中に、ＵＥは、以前アクセスシステムの詳細を伝送し、コアネットワークは、以前アクセスシステムからセキュリティコンテキスト及びバッファリングされたパケットを検索することができる。この以前アクセスシステムの詳細は、ＥＡＰＯＬ ＩＤ応答メッセージを通じて伝送される。
【００２２】
本発明によると、ＵＥは、最後に成功的に受信されたパケットのシーケンス番号をアクセスシステムに伝送し、アクセスシステムはこれを以前コアネットワークに伝達して、ＵＥによって最後に成功的に受信されたシーケンス番号以後のパケットを伝送し始めることができる。
【００２３】
本発明によると、Ｉ-ＷＬＡＮ ＡＳでシナリオ２認証手順中に、ＵＥとネットワークがＵＭＴＳ ＣＫ及びＩＫを用いてキーを生成すると、コアネットワークは臨時ＩＤを生成し、これをＵＥに伝達する。ＵＥは、シナリオ３アクセスのための速い再認証手順を始める。
【００２４】
ＳＡＥ ＡＳに対する順方向ハンドオーバー認証手順中に、ＵＥは、以前アクセスシステムの詳細をＴＡＵ手順又は初期ＮＡＳメッセージを通じて伝送し、コアネットワークは以前のアクセスシステムからセキュリティコンテキスト(例えば、ＣＫ及びＩＫ)とバッファリングされたパケットを検索する。
【発明を実施するための最良の形態】
【００２５】
以下、本発明の望ましい実施形態を添付の図面を参照して詳細に説明する。
下記に、本発明の実施形態において、本発明の範囲及び精神を逸脱することなく、多様な変形が可能であることは、当該技術分野における通常の知識を有する者には明らかである。また、本発明に関連した公知の機能または構成に関する具体的な説明が本発明の要旨を不明にすると判断された場合に、その詳細な説明を省略する。
【００２６】
本発明は、異種ネットワーク間のハンドオーバー時に最適化した認証手順を提供するためのシステム及びその方法を提供し、ＳＡＥシステム固有のキーを生成させるメカニズムも提供する。
この方法は、アクセスシステム固有の認証手順を遂行することなく、以前のアクセスシステムキーを用いて新たなアクセスシステム固有のキーを生成するためのメカニズムを含む。
【００２７】
図３は、本発明によるＳＡＥからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２アクセス)を示す。
図３を参照すると、ＵＥは、ステップ１で、周期的又はイベントベースの測定値(measurements）をＥＵＴＲＡＮネットワークに伝送する。ＥＮＢ(Evolving Node B)/ＭＭＥ(Mobility Management Entity)は、ＵＥ測定値がしきい値以下であることが分かり、あるいはＭＭＥが如何なる方式でもＥＵＴＲＡＮを持続できないと判断すると、ステップ２ａで、他のＲＡＴ(Radio Access Technology)をスキャニングし始めるようにＵＥに要求するか、隣接ＲＡＴ又はそのサービス領域(coverage area)内で利用可能な特定のＲＡＴをスキャンするようにＵＥに要求することができる。また、レイヤ２（Ｌ２）又はその他の手段によって、ＵＥは、ＥＵＴＲＡＮが持続できないと判断し、他のＲＡＴのスキャニングを開始する。
【００２８】
ＵＥは、ステップ３で、他のパラメータと共にＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＡＥシステムに伝送する。すると、ＥＮＢ/ＭＭＥは、論理的なインターワーキングユニットによって、それ自体又は選択的にＩ-ＷＬＡＮネットワークにＵＥをハンドオーバーするように決定する。
【００２９】
ＮＡＩ(Network Address Identifier)を用いて、ＭＭＥは、ステップ４で、Ｉ-ＷＬＡＮ ＡＡＡサーバＩＰアドレスを分析し、論理的なインターワーキングユニットを通じてＡＡＡサーバに接続する。この論理的なインターワーキングユニットは、ＭＭＥ又はＡＡＡサーバ内に配置されるか、ＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置されることができる。インターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮとＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換するものである。
【００３０】
ＭＭＥは、ステップ５で、インターワーキングユニットを通じてＨＯ要求をＡＡＡサーバに伝送する。ＨＯ要求は、ＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用(unused)ＡＶ(Authentication Vector)、最新(latest)ＣＫ及びＩＫとその他のパラメータを含む。
【００３１】
ＡＡＡは、他のＡＡＡがＨＳＳ(Home Subscription Service)に登録されたか否かについてＨＳＳを確認し、そうでない場合には、ステップ６でソフト登録(soft registration)を遂行する。ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成/派生する(generate/derive)。また、ＡＡＡサーバは、Ｔｅｍｐ ＩＤ(匿名(pseudonym)ＩＤ及び速い再認証ＩＤ）を生成し、この生成されたＴＥＫを用いてＴｅｍｐ ＩＤを保護(暗号化)してＵＥに伝送する。
【００３２】
ステップ７で、ＡＡＡサーバは、インターワーキングユニットを通じてＨＯ承認をＭＭＥに伝送する。ＨＯ承認メッセージは保護されたＴｅｍｐ ＩＤ及びシナリオ２及びシナリオ３認証が要求されたか否かの表示を含む。
ＭＭＥは、ステップ８で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージとしてＵＥに伝送する。
【００３３】
Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＳＡＥシステムからＨＯ命令を受信した後に、ＵＥは、ステップ９で、最新ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成し、保護されたＴｅｍｐ ＩＤを解読する。ステップ１０で、ＵＥは、Ｉ-ＷＬＡＮ ＡＳとＬ２接続(L2 attachment)を始める。
【００３４】
Ｉ-ＷＬＡＮシステムが認証を要求すると、ＷＬＡＮ-ＡＮは、ステップ１１ａ．１で認証手順を開始する。
すると、ＵＥは、ステップ１１ａ．２で、ＨＯ命令を通じてＴｅｍｐ ＩＤが受信された場合にＴｅｍｐ ＩＤ(速い再認証ＩＤ)を伝送する。ＵＥは、Ｉ-ＷＬＡＮ ＡＮを通じて、Ｔｅｍｐ ＩＤ(匿名ＩＤ又は速い再認証ＩＤ)及び選択的にＥＡＰ応答識別メッセージのインテグリティ(integrity)の保護を含むＥＡＰ応答識別をＡＡＡサーバに伝送する。
【００３５】
ＡＡＡサーバがＴｅｍｐ ＩＤと共にＥＡＰ応答識別メッセージを受信すると、ＡＡＡは、ＵＥがＨＯ準備を遂行したことを知るようになる。ＡＡＡサーバは、ステップ１１ａ．３で、インテグリティ(integrity)の保護及びＴｅｍｐ ＩＤを検証(verify)する。したがって、ＡＡＡは、ＵＥを認証する。選択的に、ＡＡＡサーバが保護された成功的結果表示を使用するように以前に要求された場合、ＥＡＰ成功メッセージより以前に、ＭＡＣ(Medium Access Control)保護されたメッセージＥＡＰ要求/ＡＫＡ通知(Notification)を伝送することができる。ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ要求/ＡＫＡ通知メッセージと一緒にＵＥに伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達し、ＵＥはＥＡＰ応答/ＡＫＡ通知を送信する。ＷＬＡＮ ＡＮは、ＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝送し、ＡＡＡサーバはこれらメッセージの内容を無視する。
【００３６】
ＡＡＡサーバは、ステップ１１ａ．４で、ＥＡＰ成功メッセージをＷＬＡＮ ＡＮに伝送する。一部エキストラキーイング要素(extra keying material)がＷＬＡＮ技術固有の機密性及び/又はインテグリティの保護のために生成されると、ＡＡＡサーバは、このキーイング要素を基本(underlying)ＡＡＡプロトコルメッセージ(すなわち、ＥＡＰレベルでない)に含める。Ｉ-ＷＬＡＮ ＡＮは、認証されたＷＬＡＮ-ＵＥとの通信に使用されるキーイング要素を格納する。ＡＡＡサーバが保護された成功的な結果表示を使用していないと、ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送する。
【００３７】
Ｉ-ＷＬＡＮ ＡＮは、ステップ１１ａ．５で、成功的な認証に関してＥＡＰ成功メッセージを通じてＷＬＡＮ-ＵＥに知らせる。このとき、ＥＡＰ ＡＫＡ交換が成功的に完了し、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮ ＡＮはこの交換中に生成されたキーイング要素を共有する。
または、ステップ１１ｂで、ＵＥは、Ｉ-ＷＬＡＮネットワークと共に速い再認証手順を開始する。ＵＥが速い再認証ＩＤを受信しないと、ＵＥは、全体認証手順を開始するために匿名ＩＤを伝送する。
【００３８】
図４は、本発明によるＳＡＥからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２及びシナリオ３アクセス)を示す。
図４を参照すると、ＵＥは、ステップ１で、周期的又はイベントベースの測定値をＥＵＴＲＡＮネットワークに伝送する。
【００３９】
ＥＮＢ/ＭＭＥは、ＵＥ測定値がしきい値以下であることが分かり、あるいはＭＭＥが如何なる方式でもＥＵＴＲＡＮを持続できないと判断すると、ステップ２ａで、他のＲＡＴをスキャニングし始めるようにＵＥに要求するか、隣接ＲＡＴ又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするようにＵＥに要求することができる。また、Ｌ２又はその他の手段によって、ＵＥは、ＥＵＴＲＡＮが持続できないと判断し、他のＲＡＴのスキャニングを開始する。
【００４０】
ＵＥは、ステップ３で、他のパラメータと共にＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＡＥシステムに伝送する。すると、ＥＮＢ/ＭＭＥは、Ｉ-ＷＬＡＮネットワークにＵＥをハンドオーバーするように決定する。
【００４１】
ＮＡＩを用いて、ＭＭＥは、ステップ４で、Ｉ-ＷＬＡＮ ＡＡＡサーバＩＰアドレスを分析して論理的なインターワーキングユニットを通じてＡＡＡサーバに接続する。この論理的なインターワーキングユニットは、ＭＭＥ又はＡＡＡサーバ内に配置されるか、ＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置されることができる。インターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮとＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換するものである。
【００４２】
ＭＭＥは、ステップ５で、インターワーキングユニットを通じてＨＯ要求をＡＡＡサーバに伝送する。ＨＯ要求は、ＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他のパラメータを含む。
【００４３】
ＡＡＡは、ステップ６で、他のＡＡＡがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合には、ＡＡＡがソフト登録を遂行する。ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成する。また、ＡＡＡサーバは、Ｔｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ）を生成し、この生成されたＴＥＫを用いてＴｅｍｐ ＩＤを保護(暗号化)してＵＥに伝送する。
【００４４】
ＡＡＡサーバは、ステップ７で、インターワーキングユニットを通じてＨＯ承認をＭＭＥに伝送する。ＨＯ承認メッセージは、保護されたＴｅｍｐ ＩＤ及びシナリオ２及びシナリオ３認証が要求されたか否かの表示を含む。また、ＡＡＡサーバは、シナリオ２とシナリオ３を連続して遂行するＵＥに対して支援される最適化手順をＨＯ承認内に含む。
【００４５】
ＭＭＥは、ステップ８で、受信されたパラメータをＨＯ命令メッセージとしてＨＯ承認メッセージを通じてＵＥに伝送する。
Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＳＡＥシステムからＨＯ命令を受信した後、ＵＥは、ステップ９で、最新ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成し、保護されたＴｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ)を解読する。ステップ１０で、ＵＥは、Ｉ-ＷＬＡＮ ＡＳとＬ２接続を始める。
【００４６】
Ｉ-ＷＬＡＮシステムが認証を要求すると、ＷＬＡＮ-ＡＮは、ステップ１１ａ．１で認証手順を開始する。すると、ＵＥは、ステップ１１ａ．２で、ＨＯ命令を通じて受信される場合にＴｅｍｐ ＩＤ(速い再認証ＩＤ)を伝送する。ＵＥは、Ｉ-ＷＬＡＮ ＡＮを通じて、Ｔｅｍｐ ＩＤ(匿名ＩＤ又は速い再認証ＩＤ)及び選択的にＥＡＰ応答識別メッセージのインテグリティの保護を含むＥＡＰ応答識別をＡＡＡサーバに伝送する。
【００４７】
ＡＡＡサーバがＴｅｍｐ ＩＤと共にＥＡＰ応答識別メッセージを受信すると、ＡＡＡは、ＵＥがＨＯ準備を遂行したことを知るようになる。ＡＡＡサーバは、ステップ１１ａ．３で、インテグリティの保護及びＴｅｍｐ ＩＤを検証する。したがって、ＡＡＡは、ＵＥを認証する。選択的に、ＡＡＡサーバが保護された成功的結果表示を使用するように事前に要求された場合、ＥＡＰ成功メッセージより以前に、ＭＡＣ保護されたメッセージＥＡＰ要求/ＡＫＡ通知を送信することができる。ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ要求/ＡＫＡ通知メッセージと一緒にＵＥに伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達し、ＵＥはＥＡＰ応答/ＡＫＡ通知を伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝送し、ＡＡＡサーバはこれらメッセージの内容を無視する。
【００４８】
ＡＡＡサーバは、ステップ１１ａ．４で、ＥＡＰ成功メッセージをＷＬＡＮ ＡＮに伝送する。一部エキストラキーイング要素がＷＬＡＮ技術固有の機密性及び/又はインテグリティの保護のために生成されると、ＡＡＡサーバは、このキーイング要素を基本ＡＡＡプロトコルメッセージ(すなわち、ＥＡＰレベルでない)に含める。Ｉ-ＷＬＡＮ ＡＮは、認証されたＷＬＡＮ-ＵＥとの通信に使用されるキーイング要素を格納する。ＡＡＡサーバが保護された成功的な結果表示を使用していないと、ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送する。
【００４９】
Ｉ-ＷＬＡＮ ＡＮは、ステップ１１ａ．５で、成功的な認証に関してＥＡＰ成功メッセージでＷＬＡＮ-ＵＥに知らせる。このとき、ＥＡＰ ＡＫＡ交換が成功的に完了し、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮ ＡＮはこの交換中に生成されたキーイング要素を共有する。
【００５０】
または、ＵＥは、ステップ１１ｂで、Ｉ-ＷＬＡＮネットワークと共に速い再認証手順を開始する。ＵＥが速い再認証ＩＤを受信しないと、ＵＥは、全体認証手順を開始するために匿名ＩＤを伝送する。
【００５１】
成功的なシナリオ２認証手順後に、ＵＥは、ステップ１２ａで、ＨＯ命令にＡＡＡサーバによってリストされたシナリオ３に対する最適化した認証手順を開始する。ＵＥは、ＥＭＳＫ基盤の最適化手順を用いてシナリオ３認証手順を開始することができる。
また、ＵＥは、ステップ１２ｂで、シナリオ３認証手順に対する速い再認証手順を開始することができる。
【００５２】
図５は、本発明によるＳＡＥからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(直接的なシナリオ３アクセス)を示す。
図５を参照すると、ＵＥは、ステップ１で、周期的又はイベントベースの測定値をＥＵＴＲＡＮネットワークに伝送する。
【００５３】
ＥＮＢ/ＭＭＥは、ＵＥ測定値がしきい値以下であることが分かり、あるいはＭＭＥが如何なる方式でもＥＵＴＲＡＮを持続できないと判断すると、ステップ２で、他のＲＡＴをスキャニングし始めるようにＵＥに要求するか、隣接ＲＡＴ又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするようにＵＥに要求することができる。また、Ｌ２又はその他の手段によって、ＵＥは、ＥＵＴＲＡＮが持続できないと判断し、他のＲＡＴのスキャニングを開始する。
【００５４】
ＵＥは、ステップ３で、他のパラメータと共にＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＡＥシステムに伝送する。すると、ＥＮＢ/ＭＭＥは、Ｉ-ＷＬＡＮネットワークにＵＥをハンドオーバーするように決定する。
【００５５】
ＮＡＩを用いて、ＭＭＥは、ステップ４で、Ｉ-ＷＬＡＮＡＡＡサーバＩＰアドレスを分析して論理的なインターワーキングユニットを通じてＡＡＡサーバに接続する。この論理的なインターワーキングユニットは、ＭＭＥ又はＡＡＡサーバ内に配置されるか、ＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置されることができる。インターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮとＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換するものである。
【００５６】
ＭＭＥは、ステップ５で、インターワーキングユニットを通じてＨＯ要求をＡＡＡサーバに伝送する。ＨＯ要求は、ＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他のパラメータを含む。
【００５７】
ＡＡＡは、他のＡＡＡがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合には、ＡＡＡがソフト登録を遂行する。ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成する。また、ＡＡＡサーバは、Ｔｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ）を生成し、この生成されたＴＥＫを用いてＴｅｍｐ ＩＤを保護(暗号化)する。すると、ＡＡＡは、ＵＥに上記Ｔｅｍｐ ＩＤを伝送する。
【００５８】
ＡＡＡサーバは、ステップ７で、インターワーキングユニットを通じてＨＯ承認をＭＭＥに伝送する。ＨＯ承認メッセージは、保護されたＴｅｍｐ ＩＤ及びシナリオ２及びシナリオ３認証が要求されたか否かの表示を含む。また、ＡＡＡサーバは、シナリオ２及びシナリオ３を連続して遂行するＵＥに対して支援される最適化手順をＨＯ承認内に含む。
【００５９】
ＭＭＥは、ステップ８で、受信されたパラメータをＨＯ命令メッセージとしてＨＯ承認メッセージを通じてＵＥに伝送する。
Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＳＡＥシステムからＨＯ命令を受信した後、ＵＥは、ステップ９で、最新ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成し、保護されたＴｅｍｐ ＩＤを解読する。
ステップ１０で、ＵＥは、Ｉ-ＷＬＡＮ ＡＳとＬ２接続を始める。
【００６０】
Ｉ-ＷＬＡＮ ＡＮとの成功的な接続後に、ＵＥは、ステップ１１ａで、ＨＯ命令にＡＡＡサーバによってリストされたシナリオ３に対する最適化した認証手順を開始する。ＵＥは、ＥＭＳＫ基盤の最適化手順を用いてシナリオ３認証手順を開始することができる。
ＵＥは、ステップ１１ｂで、選択的にシナリオ３認証手順に対する速い再認証手順を開始することができる。
【００６１】
ＳＡＥからＩ-ＷＬＡＮ ＡＳへの順方向ハンドオーバー：
認証手順中に、ＵＥは、以前アクセスシステムの詳細を伝送し、それによってコアネットワークがセキュリティコンテキストとバッファリングされたパケットを以前のアクセスシステムから検索することができる。最近のアクセスシステムの詳細は、ＥＡＰＯＬ ＩＤ応答メッセージ内で伝送されることができる。
【００６２】
シナリオ２認証手順中に、ＵＥとネットワークがＣＫ及びＩＫを用いてキーを生成すると、コアネットワークは、Ｔｅｍｐ ＩＤを生成してＵＥに伝達する。ＵＥは、シナリオ３アクセスのための速い再認証手順を始めることができる。
【００６３】
ＵＥは、最後に成功的に受信されたパケットのシーケンス番号をＩ-ＷＬＡＮネットワークに伝送し、Ｉ-ＷＬＡＮネットワークはこのシーケンス番号をコアネットワークに伝達することができる。すると、コアネットワークは、ＵＥによって最後に成功的に受信されたシーケンス番号以後のパケットを伝達し始める。
【００６４】
図６は、本発明によるＩ-ＷＬＡＮからＳＡＥシステムへの逆方向ハンドオーバー(代案１）を示す。
図６を参照すると、ＵＥは、ステップ１で、論理的な決定(decision)及びインターワーキングユニットに周期的またはイベントベースの測定値を伝送する。この論理的な決定及びインターワーキングユニットは、ＭＭＥ又はＡＡＡサーバ内に配置され、あるいは別途のエンティティとして配置され、もしくはＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置することができる。決定及びインターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮ及びＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換し、上記測定値に基づいてＨＯを遂行するかを決定する。
【００６５】
論理的な決定及びインターワーキングユニットは、ＵＥ測定値がしきい値以下であることがわかり、その他の手段によってＩ-ＷＬＡＮが持続できないと判断すると、論理的な決定及びインターワーキングユニットは、ステップ２で、ＵＥに他のＲＡＴのスキャニングを始めるように要求し、あるいはＥＮＢ/ＭＭＥはＵＥに隣接ＲＡＴ、又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするように要求することができる。また、Ｌ２又は一部の他の手段によって、ＵＥは、Ｉ-ＷＬＡＮが持続できないと決定し、他のＲＡＴをスキャニングし始める。
【００６６】
ＵＥは、ステップ３で、ＴＡＩ、選択されたＵＩＡ及びＵＥＡ、ＥＮＢ-ＩＤ及び選択的にＳＴＡＲＴ値を含むＳＡＥ測定レポートをＡＡＡサーバを通じて論理的決定及びインターワーキングユニットに伝送する。
すると、ステップ４で、論理的決定及びインターワーキングユニットは、ＵＥをＳＡＥネットワークにハンドオーバーするように決定し、これをＡＡＡサーバに知らせる。
ＴＡＩを用いて、ＡＡＡサーバは、ＨＳＳに接続することによってＭＭＥアドレスを知るようになる。
【００６７】
ステップ６で、ＡＡＡサーバは、ＨＯ要求メッセージをＭＭＥ/ＵＰＥに伝送する。ＨＯ要求メッセージは、以前のＲＡＴタイプ、非使用ＡＶ、最新ＣＫ及びＩＫ、選択的にＥＮＢ-ＩＤ及びその他のパラメータを含む。
ＭＭＥは、他のＭＭＥがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合、ステップ７でソフト登録を遂行する。また、ＭＭＥは、キーを生成する。
【００６８】
ＭＭＥは、ステップ８で、インターワーキングユニットを通じてＨＯ承認をＡＡＡサーバに伝送する。このＨＯ承認メッセージは、選択されたＵＥＡ及びＵＩＡ、選択的にＦＲＥＳＨ及びＲＡＮ保護を始めるかに関する情報とその他のパラメータを含む。
ＡＡＡサーバは、ステップ９でＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージを通じてＵＥに伝送する。
【００６９】
ＳＡＥネットワークへのハンドオーバーのためにＡＡＡサーバからＨＯ命令を受信した後に、ＵＥは、ステップ１０で、最新ＣＫ及びＩＫを用いてＳＡＥシステムに固有のキーを生成させる。
ＵＥは、ステップ１１で、何らの保護なしにＥＮＢとＬ２接続を始める。
【００７０】
ＵＥは、ステップ１２で、初期レイヤ３（Ｌ３）メッセージをＭＭＥ/ＵＰＥに伝送する。初期Ｌ３メッセージは、ユーザー識別、ＳＴＡＲＴ値及びＭＡＣ-ＩＮＡＳを含む。このＭＡＣ-ＩＮＡＳは、生成されたＳＡＥ固有のキー、及び選択的にＦＲＥＳＨ及びＳＴＡＲＴ値を用いて計算される。
【００７１】
ＭＭＥ/ＵＰＥは、ステップ１３で、生成したキー、受信されたＳＴＡＲＴ、及び選択的にＦＲＥＳＨ値を用いてＭＡＣ-Ｉを検証する。
ＭＭＥ/ＵＰＥは、ＥＮＢ、ＳＴＡＲＴ、選択的にＦＲＥＳＨ及び合意されたＵＥＡ及びＵＩＡに対するキーを含む初期Ｌ３メッセージ応答を伝送する。ＭＭＥは、ＥＮＢ、ＳＴＡＲＴ、選択的にＦＲＥＳＨ及び合意されたＵＥＡ及びＵＩＡに対してキーを除いた初期Ｌ３メッセージ応答を通じてＭＡＣ-ＩＮＡＳを計算する。
【００７２】
ＥＮＢは、初期Ｌ３メッセージ応答を受信し、ＳＴＡＲＴ、選択的にＦＲＥＳＨ及び合意されたＵＥＡ及びＵＩＡに対するキーを格納する。
ＥＮＢは、初期Ｌ３メッセージ応答をＵＥに伝達する。選択的に、ＥＮＢはＲＡＮセキュリティ(ＭＡＣ-ＩＲＡＮ)を始めることができる。
ＵＥは、ＭＡＣ-ＩＮＡＳとＭＡＣ-ＩＲＡＮを検証する。
【００７３】
図７は、本発明によるＩ-ＷＬＡＮからＳＡＥシステムへの逆方向ハンドオーバー(代案２)を示す。
図７を参照すると、ＵＥは、ステップ１で、論理的な決定及びインターワーキングユニットに周期的またはイベントベースの測定値を伝送する。この論理的な決定及びインターワーキングユニットは、ＭＭＥ又はＡＡＡサーバ内に配置され、あるいは別途のエンティティとして配置され、もしくはＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置することができる。決定及びインターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮ及びＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換し、上記測定値に基づいてＨＯを遂行するかを決定する。
【００７４】
論理的な決定及びインターワーキングユニットは、ＵＥ測定値がしきい値以下であることがわかり、その他の手段によってＩ-ＷＬＡＮが持続できないと判断すると、論理的な決定及びインターワーキングユニットは、ステップ２で、ＵＥに他のＲＡＴのスキャニングを始めるように要求し、あるいはＥＮＢ/ＭＭＥはＵＥに隣接ＲＡＴ、又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするように要求することができる。また、Ｌ２又は一部他の手段によって、ＵＥは、Ｉ-ＷＬＡＮが持続できないと決定し、他のＲＡＴをスキャニングし始める。
【００７５】
ＵＥは、ステップ３で、ＴＡＩ、選択されたＵＩＡ及びＵＥＡ、ＥＮＢ-ＩＤ及び選択的にＳＴＡＲＴ値を含むＳＡＥ測定レポートをＡＡＡサーバを通じて論理的決定及びインターワーキングユニットに伝送する。
すると、論理的決定及びインターワーキングユニットは、ＵＥをＳＡＥネットワークにハンドオーバーするように決定し、これをＡＡＡサーバに知らせる。
ＴＡＩを用いて、ＡＡＡサーバは、ステップ５で、ＨＳＳに接続することによってＭＭＥアドレスを知るようになる。
【００７６】
ステップ６で、ＡＡＡサーバは、ＨＯ要求メッセージをＭＭＥ/ＵＰＥに伝送する。ＨＯ要求メッセージは、以前のＲＡＴタイプ、非使用ＡＶ、最新ＣＫ及びＩＫ、選択的にＥＮＢ-ＩＤ及びその他のパラメータを含む。
ＭＭＥは、ステップ７で、他のＭＭＥがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合、ソフト登録を遂行する。また、ＭＭＥは、ＡＡＡサーバによってＣＫ及びＩＫを用いてキーを生成する。
【００７７】
ＭＭＥは、ステップ８で、ＥＮＢ-ＩＤを用いてＦＲＥＳＨを生成し、ＥＮＢにセキュリティコンテキストを分配する。
ＭＭＥは、ステップ９で、インターワーキングユニットを通じてＨＯ承認をＡＡＡサーバに伝送する。ＨＯ承認メッセージは、選択されたＵＥＡ及びＵＩＡ，及び選択的にＦＲＥＳＨ及びＲＡＮ保護を始めるかに関する情報とその他のパラメータを含む。
【００７８】
ＡＡＡサーバは、ステップ１０で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージを通じてＵＥに伝送する。
ＳＡＥネットワークへのハンドオーバーのためにＡＡＡサーバからＨＯ命令を受信した後に、ＵＥは、ステップ１１で、最新ＣＫ及びＩＫを用いてＳＡＥシステムに固有のキーを生成し、ＲＡＮ保護を始める。
【００７９】
ＵＥは、ステップ１２で、ＥＮＢとＬ２接続を始める。ＵＥは、ＲＲＣメッセージの保護を始める。ＥＮＢへの初期メッセージの間に、ＵＥは、ＳＴＡＲＴ値を伝達し、生成されたＳＡＥ固有のキー、選択的にＦＲＥＳＨ及びＳＴＡＲＴ値を用いてＭＡＣ-ＩＲＡＮを計算する。すると、ＥＮＢは、ＳＴＡＲＴ値と共にステップ８で受信されたセキュリティコンテキストを用いてＭＡＣ-ＩＲＡＮを検証する。
【００８０】
ＵＥは、ステップ１３で、初期Ｌ３メッセージをＭＭＥ/ＵＰＥに伝送する。初期Ｌ３メッセージは、ユーザー識別、ＳＴＡＲＴ値及びＭＡＣ-ＩＮＡＳを含む。このＭＡＣ-ＩＮＡＳは、生成されたＳＡＥ固有のキー、及び選択的にＦＲＥＳＨ及びＳＴＡＲＴ値を用いて計算される。
【００８１】
ＭＭＥ/ＵＰＥは、ステップ１４で、生成されたキー、受信されたＳＴＡＲＴ、及び選択的にＦＲＥＳＨ値を用いてＭＡＣ-ＩＮＡＳを検証する。
ＭＭＥ/ＵＰＥは、初期Ｌ３メッセージ応答を伝送する。ＭＭＥは、初期Ｌ３メッセージ応答を通じてＭＡＣ-ＩＮＡＳを計算する。
【００８２】
Ｉ-ＷＬＡＮからＳＡＥシステムへの順方向ハンドオーバー：
ＴＡＵ手順又は初期ＮＡＳメッセージの間に、ＵＥは、ＴＡＵ手順内に以前アクセスシステムの詳細を伝送し、コアネットワークは以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索することができる。
【００８３】
図８は、本発明によるＵＭＴＳからＳＡＥシステムへの逆方向ハンドオーバーを示す。
図８を参照すると、ＵＥは、ステップ１で、ＳＧＳＮに周期的又はイベントベースの測定値を伝送する。
測定レポートに基づいて、ＳＧＳＮは、ステップ２で、ＵＥに他のＲＡＴのスキャニングを始めるように要求し、あるいはＥＮＢ/ＭＭＥが隣接ＲＡＴまたはそのサービス領域で利用可能な特定ＲＡＴをスキャンするようにＵＥに要求することができる。または、Ｌ２又はその他の手段によって、ＵＥは、ＵＭＴＳが持続できないと決定し、他のＲＡＴのスキャニングを始める。
【００８４】
ＵＥは、ステップ３で、ＴＡＩ、選択されたＵＩＡ及びＵＥＡ、選択的にＳＴＡＲＴ値及び/又はＥＮＢ ＩＤを含むＳＡＥ測定レポートをＳＧＳＮに伝送する。
すると、ＳＧＳＮは、ＵＥをＳＡＥネットワークにハンドオーバーすることを決定する。ＴＡＩを用いて、ＳＧＳＮは、ステップ４で、ＭＭＥアドレスを知るようになり、Ｓ３又はＳ４インターフェースを利用し、あるいはＨＳＳに接続し、もしくはその他の方式を通じてＭＭＥに接続する。
【００８５】
ＳＧＳＮは、ステップ５で、ＭＭＥ/ＵＰＥにＨＯ要求メッセージを伝送する。ＨＯ要求メッセージは、セキュリティコンテキスト、以前ＲＡＴタイプ、非使用ＡＶ、最新ＣＫ及びＩＫ、及び選択的にＥＮＢ-ＩＤ、ＳＴＡＲＴ値、ＫＳＩ及びその他のパラメータを含む。
【００８６】
ステップ６で、ＭＭＥは、ＭＭＥがＨＳＳに登録された否かについてＨＳＳを確認し、そうでないと、ＭＭＥは、ソフト登録をする。ＭＭＥは、ＳＧＳＮによって伝送されたＣＫ及びＩＫを用いてキーを生成させる。ＭＭＥは、ＭＭＥ又はＡＡＡサーバ内に配置され、又はＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置することができる論理的なインターワーキングユニットを用いてＵＭＴＳパラメータをＳＡＥ固有のパラメータに変換する。インターワーキングユニットの機能は、一つのアクセスシステムのＲＡＮ及びＣＮコンテナ/プロトコル/パラメータを他のものに変換する。
【００８７】
ステップ７で、ＭＭＥは、ＦＲＥＳＨを生成し、ＲＡＮ保護のためのＥＮＢキー、選択されたＵＩＡ及びＵＥＡ、ＦＲＥＳＨ、ＳＴＡＲＴ、ＫＳＩ、及びその他のパラメータを含むセキュリティコンテキストをＥＮＢ-ＩＤを用いてＥＮＢに分配する。
【００８８】
ステップ８で、ＭＭＥは、ＨＯ承認をＳＧＳＮに伝送する。ＨＯ承認メッセージは、選択されたＵＥＡ及びＵＩＡ、選択的にＦＲＥＳＨを含む。
ＳＧＳＮは、ステップ９で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージを通じてＵＥに伝送する。
ＳＡＥネットワークへのハンドオーバーのためにＳＧＳＮからＨＯ命令を受信した後に、ＵＥは、ステップ１０で、最新ＣＫ及びＩＫを用いてＳＡＥシステムに固有のキーを生成し、ＲＡＮ保護を始める。
【００８９】
ＵＥは、ステップ１１で、ＥＮＢとＬ２接続を始める。ＵＥは、選択的にＲＲＣメッセージの保護を始める。ＥＮＢへの初期メッセージの間に、ＵＥは、ＳＴＡＲＴ値を伝達し、生成されたＳＡＥ固有のキー、選択的にＦＲＥＳＨ及びＳＴＡＲＴ値を用いてＭＡＣ-ＩＲＡＮを計算する。すると、ＥＮＢは、ＳＴＡＲＴ値と共にステップ８で受信されたセキュリティコンテキストを用いてＭＡＣ-ＩＲＡＮを検証する。
【００９０】
ＵＥは、ステップ１２で、初期Ｌ３メッセージをＭＭＥ/ＵＰＥに伝送する。初期Ｌ３メッセージは、ユーザー識別、ＳＴＡＲＴ値及びＭＡＣ-ＩＮＡＳを含む。このＭＡＣ-ＩＮＡＳは、生成されたＳＡＥ固有のキー、及び選択的にＦＲＥＳＨ及びＳＴＡＲＴ値を用いて計算される。
【００９１】
ＭＭＥ/ＵＰＥは、ステップ１３で、生成されたキー、受信されたＳＴＡＲＴ、及び選択的にＦＲＥＳＨ値を用いてＭＡＣ-Ｉを検証する。
ＭＭＥ/ＵＰＥは、ステップ１４で、初期Ｌ３メッセージ応答を伝送する。ＭＭＥは、初期Ｌ３メッセージ応答を通じてＭＡＣ-ＩＮＡＳを計算する。
【００９２】
ＵＭＴＳからＳＡＥシステムへの順方向ハンドオーバー：
ＴＡＵ手順又は初期ＮＡＳメッセージの間に、ＵＥは、以前アクセスシステムの詳細を伝送し、コアネットワークは以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索することができる。
【００９３】
図９は、本発明によるＳＡＥからＵＭＴＳシステムへの逆方向ハンドオーバーを示す。
図９を参照すると、ＵＥは、ステップ１で、ＥＮＢ/ＭＭＥに周期的又はイベントベースの測定値を伝送する。
【００９４】
測定レポートに基づいて、ＥＮＢ/ＭＭＥは、ステップ２で、ＵＥに他のＲＡＴのスキャニングを始めるように要求し、あるいはＥＮＢ/ＭＭＥが隣接ＲＡＴまたはそのサービス領域に利用可能な特定ＲＡＴをスキャンするようにＵＥに要求することができる。または、Ｌ２又はその他の手段によって、ＵＥは、ＥＵＴＲＡＮが持続できないと決定し、他のＲＡＴのスキャニングを始める。
【００９５】
ＵＥは、ステップ３で、ＲＡＩ、支援されるＵＩＡ及びＵＥＡ、ＫＳＩ及びＳＴＡＲＴ値及びセルＩＤを含むＵＭＴＳ測定レポートをＥＮＢ/ＭＭＥに伝送する。
すると、ＳＧＳＮは、ステップ４で、ＵＥをＵＭＴＳネットワークにハンドオーバーすることを決定する。ＲＡＩを用いて、ＭＭＥは、ＳＧＳＮアドレスを知るようになり、Ｓ３又はＳ４インターフェースを利用し、あるいはＨＳＳに接続し、もしくは公知の方式を通じてＳＧＳＭに接続する。
【００９６】
ＭＭＥは、ステップ５で、ＳＧＳＮにＨＯ要求メッセージを伝送する。ＨＯ要求メッセージは、セキュリティコンテキスト、以前ＲＡＴタイプ、非使用ＡＶ、最新ＣＫ及びＩＫ、及び選択的にセルＩＤ、ＳＴＡＲＴ値、ＫＳＩ及びその他のパラメータを含む。ＭＭＥは、ＭＭＥ又はＳＧＳＮ内に配置され、あるいは別途のネットワークエンティティとして配置され、又はＳＡＥ又はＵＭＴＳシステムのネットワークエンティティ内に同時に配置されることができる論理的なインターワーキングユニットを用いてＳＡＥパラメータをＵＭＴＳ固有のパラメータに変換する。インターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮ及びＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換する。
【００９７】
このＳＧＳＮは、ステップ６で、ＳＧＳＮがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでないと、ソフト登録を遂行する。
【００９８】
ステップ７で、ＳＧＳＮは、ＦＲＥＳＨを生成し、セルＩＤを用いて、保護のためのキー、選択されたＵＩＡ及びＵＥＡ、ＦＲＥＳＨ、ＳＴＡＲＴ、ＫＳＩ及びその他のパラメータを含むセキュリティコンテキストをＲＮＣに伝送する。ＲＮＣは、受信されたパラメータを格納する。
【００９９】
ＳＧＳＮは、ステップ８で、ＨＯ承認をＭＭＥに伝送する。ＨＯ承認メッセージは、選択されたＵＥＡ及びＵＩＡ、及び選択的にＦＲＥＳＨを含む。
ＭＭＥは、ステップ９で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージを通じてＵＥに伝達する。
【０１００】
ＵＭＴＳネットワークへのハンドオーバーのためにＭＭＥからＨＯ命令を受信した後に、ＵＥは、ステップ１０で、ＵＭＴＳネットワークに対する最新ＣＫ及びＩＫを利用して選択的にＲＡＮ保護を始める。
ＵＥは、ステップ１１で、ＲＮＣとＬ２接続を始める。ＵＥは選択的にＲＲＣメッセージを保護し始める。ＲＮＣへの初期メッセージの間に、ＵＥは、ＳＴＡＲＴ値を伝送する。
【０１０１】
ステップ１２で、ＵＥは、初期Ｌ３メッセージをＳＧＳＮに伝送する。初期Ｌ３メッセージは、ユーザー識別、ＳＴＡＲＴ値、ＫＳＩ及びＭＡＣ-Ｉを含む。
ＲＮＣは、ステップ１３で、ＭＡＣ-Ｉを検証し、ステップ１４でＳＧＳＮへ伝送する。
【０１０２】
ＳＡＥからＵＭＴＳシステムへの順方向ハンドオーバー：
ＲＡＵ手順又は最初のＮＡＳメッセージの間に、ＵＥは、最後/以前アクセスシステムの詳細を伝送し、コアネットワークが以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索することができる。
【０１０３】
図１０は、本発明によるＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２アクセス)を示す。
図１０を参照すると、ＵＥは、ステップ１で、周期的又はイベントベースの測定値をＵＴＲＡＮネットワークに伝送する。
【０１０４】
ＲＮＣ/ＳＧＳＮは、ＵＥ測定値がしきい値以下であることが分かり、あるいはＳＧＳＮが如何なる方式でもＥＵＴＲＡＮを持続できないと判断すると、ステップ２で、他のＲＡＴをスキャニングし始めるようにＵＥに要求するか、隣接ＲＡＴ又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするようにＵＥに要求することができる。また、Ｌ２又はその他の手段によって、ＵＥは、ＵＴＲＡＮが持続できないと判断し、他のＲＡＴのスキャニングを開始する。
【０１０５】
ＵＥは、ステップ３で、他のパラメータと共にＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＧＳＮに伝送する。すると、ＳＧＳＮは、Ｉ-ＷＬＡＮネットワークにＵＥをハンドオーバーするように決定する。
【０１０６】
ＮＡＩを用いて、ＳＧＳＮは、ステップ４で、Ｉ-ＷＬＡＮ ＡＡＡサーバＩＰアドレスを分析して論理的なインターワーキングユニットを通じてＡＡＡサーバに接続する。この論理的なインターワーキングユニットは、ＳＧＳＮ又はＡＡＡサーバ内に配置するか、別途のネットワークエンティティとして配置する。あるいは、ＵＭＴＳシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置することができる。インターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮとＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換するものである。
【０１０７】
ＳＧＳＮは、ステップ５で、インターワーキングユニットを通じてＨＯ要求をＡＡＡサーバに伝送する。ＨＯ要求は、ＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他パラメータを含む。
【０１０８】
ＡＡＡは、他のＡＡＡがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合には、ＡＡＡがステップ６でソフト登録を遂行する。ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）及びＴｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ）を生成する。ＡＡＡサーバは、生成されたＴＥＫを用いてＴｅｍｐ ＩＤを保護(暗号化)してＵＥに伝送する。
【０１０９】
ステップ７で、ＡＡＡサーバは、インターワーキングユニットを通じてＨＯ承認をＳＧＳＮに伝送する。ＨＯ承認メッセージは、保護されたＴｅｍｐ ＩＤ及びシナリオ２及びシナリオ３認証が要求されたか否かの表示を含む。
ＳＧＳＮは、ステップ８で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージとしてＵＥに伝送する。
【０１１０】
Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＵＭＴＳシステムからＨＯ命令を受信した後に、ＵＥは、ステップ９で、最新ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成し、保護されたＴｅｍｐ ＩＤ(匿名ＩＤ又は速い再認証ＩＤ)を解読する。
【０１１１】
ＵＥは、ステップ１０で、Ｉ-ＷＬＡＮ ＡＳとＬ２接続を始める。
Ｉ-ＷＬＡＮシステムが認証を要求すると、ＷＬＡＮ-ＡＮは、ステップ１１ａ．１で認証手順を開始する。
【０１１２】
すると、ＵＥは、ステップ１１ａ．２で、ＨＯ命令を通じて受信された場合にＴｅｍｐ ＩＤ(速い再認証ＩＤ)を伝送する。ＵＥは、Ｉ-ＷＬＡＮ ＡＮを通じて、Ｔｅｍｐ ＩＤ(匿名ＩＤ又は速い再認証ＩＤ)及びＥＡＰ応答識別メッセージのインテグリティの保護を含むＥＡＰ応答識別をＡＡＡサーバに伝送する。
【０１１３】
ＡＡＡサーバがＴｅｍｐ ＩＤと共にＥＡＰ応答識別メッセージを受信すると、ＡＡＡは、ＵＥがＨＯ準備を遂行したことを知るようになる。ＡＡＡサーバは、ステップ１１ａ．３で、インテグリティの保護及びＴｅｍｐ ＩＤを検証する。したがって、ＡＡＡは、ＵＥを認証する。ＡＡＡサーバは、選択的に、ＡＡＡサーバが保護された成功的結果表示を使用するように以前に要求された場合、ＥＡＰ成功メッセージより以前に、ＭＡＣ保護されたメッセージＥＡＰ要求/ＡＫＡ通知を送信することができる。ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ要求/ＡＫＡ通知メッセージと一緒にＵＥに伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達する。ＵＥは、ＥＡＰ応答/ＡＫＡ通知を伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝送し、ＡＡＡサーバはこれらメッセージの内容を無視する。
【０１１４】
ＡＡＡサーバは、ステップ１１ａ．４で、ＥＡＰ成功メッセージをＷＬＡＮ ＡＮに伝送する。一部エキストラキーイング要素がＷＬＡＮ技術固有の機密性及び/又はインテグリティの保護のために生成されると、ＡＡＡサーバは、このキーイング要素を基本ＡＡＡプロトコルメッセージ(すなわち、ＥＡＰレベルでない)に含める。Ｉ-ＷＬＡＮ ＡＮは、認証されたＷＬＡＮ-ＵＥとの通信に使用されるキーイング要素を格納する。ＡＡＡサーバが保護された成功的な結果表示を使用していないと、ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送する。
【０１１５】
Ｉ-ＷＬＡＮ ＡＮは、ステップ１１ａ．５で、成功的な認証に関してＥＡＰ成功メッセージでＷＬＡＮ-ＵＥに知らせる。このとき、ＥＡＰ ＡＫＡ交換が成功的に完了し、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮ ＡＮはこの交換中に生成されたキーイング要素を共有する。
【０１１６】
または、ステップ１１ｂで、ＵＥは、Ｉ-ＷＬＡＮネットワークと共に速い再認証手順を開始する。ＵＥが速い再認証ＩＤを受信しないと、ＵＥは、全体認証手順を開始するために匿名ＩＤを伝送する。
【０１１７】
図１１は、本発明によるＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２及びシナリオ３アクセス)を示す。
図１１を参照すると、ＵＥは、ステップ１で、周期的又はイベントベースの測定値をＥＵＴＲＡＮネットワークに伝送する。
【０１１８】
ＲＮＣ/ＳＧＳＮは、ＵＥ測定値がしきい値以下であることが分かり、あるいはＳＧＳＮが如何なる方式でもＥＵＴＲＡＮを持続できないと判断すると、他のＲＡＴをスキャニングし始めるようにＵＥに要求するか、隣接ＲＡＴ又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするようにＵＥに要求することができる。また、Ｌ２又はその他の手段によって、ＵＥは、ＵＴＲＡＮが持続できないと判断し、他のＲＡＴのスキャニングを開始する。
【０１１９】
ＵＥは、ステップ３で、他のパラメータと共にＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＧＳＮに伝送する。すると、ＳＧＳＮは、Ｉ-ＷＬＡＮネットワークにＵＥをハンドオーバーするように決定する。
【０１２０】
ＮＡＩを用いて、ＳＧＳＮは、ステップ４で、Ｉ-ＷＬＡＮ ＡＡＡサーバＩＰアドレスを分析して論理的なインターワーキングユニットを通じてＡＡＡサーバに接続する。この論理的なインターワーキングユニットは、ＳＧＳＮ又はＡＡＡサーバ内に配置するか、別途のネットワークエンティティに配置するか、ＵＭＴＳシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置することができる。インターワーキングユニットの機能は、一つのアクセスシステムのＲＡＮとＣＮコンテナ/プロトコル/パラメータを他のアクセスシステムに変換するものである。
【０１２１】
ＳＧＳＮは、ステップ５で、インターワーキングユニットを通じてＨＯ要求をＡＡＡサーバに伝送する。ＨＯ要求は、ＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他パラメータを含む。
【０１２２】
ＡＡＡは、他のＡＡＡがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合には、ＡＡＡがソフト登録を遂行する。ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成する。また、ＡＡＡサーバは、Ｔｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ）を生成し、この生成されたＴＥＫを用いてＴｅｍｐ ＩＤを保護(暗号化)してＵＥに伝送する。
【０１２３】
ＡＡＡサーバは、ステップ７で、インターワーキングユニットを通じてＨＯ承認をＳＧＳＮに伝送する。ＨＯ承認メッセージは、保護されたＴｅｍｐ ＩＤ及びシナリオ２及びシナリオ３認証が要求されたか否かの表示を含む。また、ＡＡＡサーバは、シナリオ２及びシナリオ３を連続して遂行するＵＥに対して支援される最適化手順をＨＯ承認内に含む。
【０１２４】
ＳＧＳＮは、ステップ８で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージとしてＵＥに伝送する。
Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＵＭＴＳシステムからＨＯ命令を受信した後、ＵＥは、ステップ９で、最新ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成し、保護されたＴｅｍｐ ＩＤを解読する。
【０１２５】
ＵＥは、ステップ１０で、Ｉ-ＷＬＡＮ ＡＳとＬ２接続を始める。
Ｉ-ＷＬＡＮシステムが認証を要求すると、ＷＬＡＮ-ＡＮは、ステップ１１ａ．１で認証手順を開始する。
【０１２６】
すると、ＵＥは、ステップ１１ａ．２で、ＨＯ命令を通じて受信される場合にＴｅｍｐ ＩＤ(速い再認証ＩＤ)を伝送する。ＵＥは、Ｉ-ＷＬＡＮ ＡＮを通じて、Ｔｅｍｐ ＩＤ(匿名ＩＤ又は速い再認証ＩＤ)及びＥＡＰ応答識別メッセージのインテグリティの保護を含むＥＡＰ応答識別をＡＡＡサーバに伝送する。
【０１２７】
ＡＡＡサーバがＴｅｍｐ ＩＤと共にＥＡＰ応答識別メッセージを受信すると、ＡＡＡは、ＵＥがＨＯ準備を遂行したことを知るようになる。ＡＡＡサーバは、ステップ１１ａ．３で、インテグリティの保護及びＴｅｍｐ ＩＤを検証する。したがって、ＡＡＡは、ＵＥを認証する。選択的に、ＡＡＡサーバが保護された成功的結果表示を使用するように以前に要求された場合、ＥＡＰ成功メッセージより以前に、ＭＡＣ保護されたメッセージＥＡＰ要求/ＡＫＡ通知を送信することができる。ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ要求/ＡＫＡ通知メッセージと一緒にＵＥに伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達する。ＵＥは、ＥＡＰ応答/ＡＫＡ通知を伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝送し、ＡＡＡサーバはこれらメッセージの内容を無視する。
【０１２８】
ＡＡＡサーバは、ステップ１１ａ．４で、ＥＡＰ成功メッセージをＷＬＡＮ ＡＮに伝送する。一部エキストラキーイング要素がＷＬＡＮ技術固有の機密性及び/又はインテグリティの保護のために生成されると、ＡＡＡサーバは、このキーイング要素を基本ＡＡＡプロトコルメッセージ(すなわち、ＥＡＰレベルでない)に含める。Ｉ-ＷＬＡＮ ＡＮは、認証されたＷＬＡＮ-ＵＥとの通信に使用されるキーイング要素を格納する。ＡＡＡサーバが保護された成功的な結果表示を使用していないと、ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送する。
【０１２９】
Ｉ-ＷＬＡＮ ＡＮは、ステップ１１ａ．５で、成功的な認証に関してＥＡＰ成功メッセージでＷＬＡＮ-ＵＥに知らせる。このとき、ＥＡＰ ＡＫＡ交換が成功的に完了し、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮ ＡＮはこの交換中に生成されたキーイング要素を共有する。
【０１３０】
また、ステップ１１ｂで、ＵＥは、Ｉ-ＷＬＡＮネットワークと共に速い再認証手順を開始する。ＵＥが速い再認証ＩＤを受信しないと、ＵＥは、全体認証手順を開始するために匿名ＩＤを伝送する。
【０１３１】
成功的なシナリオ２認証手順後に、ＵＥは、ステップ１２ａで、ＨＯ命令にＡＡＡサーバによってリストされたシナリオ３に対する最適化した認証手順を開始する。ＵＥは、ＥＭＳＫ基盤の最適化手順を用いてシナリオ３認証手順を開始することができる。
また、ＵＥは、ステップ１２ｂで、シナリオ３認証手順に対する速い再認証手順を開始することができる。
【０１３２】
図１２は、本発明によるＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ３アクセス)を示す。
図１２を参照すると、ＵＥは、ステップ１で、周期的又はイベントベースの測定値をＵＴＲＡＮネットワークに伝送する。
【０１３３】
ＲＮＣ/ＳＧＳＮは、ＵＥ測定値がしきい値以下であることが分かり、あるいはＳＧＳＮが如何なる方式でもＥＵＴＲＡＮを持続できないと判断すると、ステップ２で、他のＲＡＴをスキャニングし始めるようにＵＥに要求するか、隣接ＲＡＴ又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするようにＵＥに要求することができる。また、Ｌ２又はその他の手段によって、ＵＥは、ＵＴＲＡＮが持続できないと判断し、他のＲＡＴのスキャニングを開始する。
【０１３４】
ＵＥは、ステップ３で、他のパラメータと共にＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＧＳＮに伝送する。すると、ＳＧＳＮは、Ｉ-ＷＬＡＮネットワークにＵＥをハンドオーバーするように決定する。
【０１３５】
ＮＡＩを用いて、ＳＧＳＮは、ステップ４で、Ｉ-ＷＬＡＮ ＡＡＡサーバＩＰアドレスを分析して論理的なインターワーキングユニットを通じてＡＡＡサーバに接続する。この論理的なインターワーキングユニットは、ＳＧＳＮ又はＡＡＡサーバ内に配置されるか、別途のネットワークエンティティに配置されるか、ＵＭＴＳシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置されることができる。インターワーキングユニットの機能は、一つのアクセスシステムのＲＡＮとＣＮコンテナ/プロトコル/パラメータを他のアクセスシステムに変換するものである。
【０１３６】
ＳＧＳＮは、ステップ５で、インターワーキングユニットを通じてＨＯ要求をＡＡＡサーバに伝送する。ＨＯ要求は、ＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他のパラメータを含む。
【０１３７】
ＡＡＡは、ステップ６で、他のＡＡＡがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合、ソフト登録を遂行する。ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成する(generate/derive)。また、ＡＡＡサーバは、Ｔｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ）を生成し、この生成されたＴＥＫを用いてＴｅｍｐ ＩＤを保護(暗号化)してＵＥに伝送する。
【０１３８】
ＡＡＡサーバは、ステップ７で、インターワーキングユニットを通じてＨＯ承認をＳＧＳＮに伝送する。ＨＯ承認メッセージは、保護されたＴｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ）及びシナリオ２及びシナリオ３認証が要求されたか否かの表示を含む。また、ＡＡＡサーバは、シナリオ２及びシナリオ３を連続して遂行するＵＥに対して支援される最適化手順をＨＯ承認内に含む。
【０１３９】
ＳＧＳＮは、ステップ８で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージとしてＵＥに伝送する。
Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＵＭＴＳシステムからＨＯ命令を受信した後、ＵＥは、ステップ９で、最新ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成し、保護されたＴｅｍｐ(匿名ＩＤ及び速い再認証ＩＤ)ＩＤを解読する。
【０１４０】
ＵＥは、ステップ１０で、Ｉ-ＷＬＡＮ ＡＳとＬ２接続を始める。
Ｉ-ＷＬＡＮ ＡＮとの成功的な接続後に、ＵＥは、ステップ１１ａで、ＨＯ命令にＡＡＡサーバによってリストされたシナリオ３に対する最適化した認証手順を開始する。ＵＥは、ＥＭＳＫ基盤の最適化手順を用いてシナリオ３認証手順を開始することができる。
ＵＥは、ステップ１１ｂで、選択的にシナリオ３認証手順に対する速い再認証手順を開始することができる。
【０１４１】
ＳＡＥシステムからＩ-ＷＬＡＮ ＡＳへの順方向ハンドオーバー：
認証手順中に、ＵＥは、以前アクセスシステムの詳細を伝送し、それによってコアネットワークがセキュリティコンテキストとバッファリングされたパケットを以前のアクセスシステムから検索することができる。最近のアクセスシステムの詳細は、ＥＡＰＯＬ ＩＤ応答メッセージ内に伝送されることができる。
【０１４２】
シナリオ２認証手順中に、ＵＥとネットワークがＣＫ及びＩＫを用いてキーを生成すると、コアネットワークは、Ｔｅｍｐ ＩＤを生成してＵＥに伝達する。ＵＥは、シナリオ３アクセスのための速い再認証手順を始めることができる。
【０１４３】
ＵＥは、最後に成功的に受信されたパケットのシーケンス番号をＩ-ＷＬＡＮネットワークに伝送する。Ｉ-ＷＬＡＮネットワークは、このシーケンス番号をコアネットワークに伝達することができる。すると、コアネットワークは、ＵＥによって最後に成功的に受信されたシーケンス番号以後のパケットを伝達し始める。
【０１４４】
I-ＷＬＡＮからＵＭＴＳアクセスシステムへの逆方向ハンドオーバー：
ＵＥ及びネットワークは、最新ＣＫ及びＩＫを選択的に使用することができる。このＵＥは、ＡＫＡ認証なしにＲＲＣ接続手順とＳＭＣ手順を始める。
また、ＳＭＣ手順は、ＨＯ準備段階で遂行されることができる。
ＨＯ命令で、ネットワークは、支援されるアルゴリズムを伝送し、ＵＥはアルゴリズムを選択して初期メッセージ保護を始める。
【０１４５】
Ｉ-ＷＬＡＮからＵＭＴＳアクセスシステムへの順方向ハンドオーバー：
ＲＡＵ手順中に、ＵＥは、ＲＡＵメッセージを通じて以前アクセスシステムの詳細を伝送し、コアネットワークは以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索することができる。
【０１４６】
ＳＡＥシステムのためのキー生成−図１３に示すような代案１：
図１３に示すように、９ＡＶは、ＵＥとＨＳＳで生成される。関数ｆ６，ｆ７，ｆ８，ｆ９は、ＬＴＥ/ＳＡＥシステムのための新たなキー派生関数である。ＨＳＳは、ＭＭＥがｎ個の９ＡＶを要求すると、ＬＴＥ/ＳＡＥ可能なＵＥの通信を認証して確保するために上記ＡＶをＭＭＥに伝送する。
【０１４７】
ＬＴＥ/ＳＡＥから他のＲＡＴへのセキュリティコンテキスト伝送は、次の＜数式１＞又は＜数式２＞のように示される。
【０１４８】
【数１】
【０１４９】
又は、
【０１５０】
【数２】
【０１５１】
ここで、ＣＫは暗号キー(Cypher Key)を表し、ＩＫはインテグリティキー(Integrity Key)又はＨＳＳからのＡＶのキーを表す。
他のＲＡＴらからＬＴＥ/ＳＡＥへのセキュリティコンテキスト伝送は、＜数式３＞のように示される。
【０１５２】
【数３】
【０１５３】
ここで、ＣＫは暗号キーを表し、ＩＫはインテグリティキーを表す。
上記のキーは、ＵＥとＭＭＥで派生される。
ＭＭＥとＵＰＥが結合されると、関数Ｆ８とＦ９は提供されず、ＣＫＮＡＳとＩＫＮＡＳは、ＮＡＳ信号保護及びユーザープレーン(plane)保護のために利用される。
ＬＴＥ/ＳＡＥから他のＲＡＴへのセキュリティコンテキスト伝送は、＜数式４＞のように示される。
【０１５４】
【数４】
【０１５５】
ここで、ＣＫとＩＫは事前に識別されている。
他のＲＡＴからＬＴＥ/ＳＡＥへのセキュリティコンテキスト伝送は、次の＜数式５＞のようである。
【０１５６】
【数５】
【０１５７】
ここで、ｐｒｆは疑似ランダム関数(pseudo random function）を表し、ＣＫ、ＩＫ、及びＵＥは事前に識別されている。
【０１５８】
ＳＡＥシステムのためのキー派生−代案２：
この代案において、ＬＴＥ/ＳＡＥシステムは、図１４に示すようにＵＭＴＳ ＡＶを利用し、次に示される＜数式６＞のように他のキーを派生する。
【０１５９】
【数６】
【０１６０】
すべてのＭＭＥに対して共通のＣＫＮＡＳとＩＫＮＡＳが、すべてのＵＰＥ(User Plane Entity）に対して共通のＣＫＵＰとＩＫＵＰが、及びすべてのＥＮＢに対して共通のＣＫＲＡＮとＩＫＲＡＮがある。
ＭＭＥとＵＰＥが結合された場合、関数Ｆ８とＦ９は提供されていないし、ＣＫＮＡＳとＩＫＮＡＳはＮＡＳ信号保護及びユーザープレーン保護のために利用される。
【０１６１】
【数７】
【０１６２】
ここで、これらパラメータの各々は、事前に識別されている。
ＵＥの識別は、ＥＡＰ-ＡＫＡが利用される場合にはＮＡＩフォーマットであり、ＵＭＴＳ-ＡＫＡ基盤認証が遂行される場合にはＩＭＳＩ又はＴＭＳＩである。
また、ＵＥの識別は、サービングノード識別と関連されることができる。
同一のオペレータドメイン内のすべてのＭＭＥに対して共通のＣＫＮＡＳとＩＫＮＡＳとすべてのＥＮＢに対して共通のＣＫＲＡＮとＩＫＲＡＮがある。
【０１６３】
ＳＡＥシステムのためのキー派生 −代案３
この代案で、ＬＴＥ/ＳＡＥシステムは、図１４に示すようにＵＭＴＳ ＡＶを利用し、数式８〜１３に示すように他のキーを派生する。
【０１６４】
【数８】
【０１６５】
【数９】
【０１６６】
【数１０】
【０１６７】
【数１１】
【０１６８】
【数１２】
【０１６９】
【数１３】
【０１７０】
上記の数式において、ｐｒｆは疑似ランダム関数を、ＵＥはユーザー端末(User Equipment)を、ＩＤは識別子(Identifier)を、ＭＭＥは移動管理エンティティ(Mobility Management Entity)を、それぞれ表す。
固有キーは、ネットワークエンティティに対して派生される。
【０１７１】
その他の制御方法及び装置が、上記の説明及び添付の図面に示すような本発明の多様な方法及び装置の組み合わせから派生されることができ、これらが本発明の範囲内にあることは当業者には自明なことである。アプリケーションを格納するためのホストは、マイクロチップ、マイクロプロセッサー、携帯用通信装置(handheld communication device)、コンピュータ、レンダリング(rendering)装置又は多機能装置を含むが、これに限定されないことに留意すべきである。
【０１７２】
以上、本発明の詳細な説明においては具体的な実施形態に関して説明したが、特許請求の範囲を逸脱することなく、様々な変更が可能であることは、当該技術分野における通常の知識を持つ者には明らかである。したがって、本発明の範囲は、前述の実施形態に限定されるものではなく、特許請求の範囲の記載及びこれと均等なものに基づいて定められるべきである。
【図面の簡単な説明】
【０１７３】
【図１】進化したシステムに対する従来の論理的上位階層構造を示す図である。
【図２】従来のＩ-ＷＬＡＮシステム構成及びネットワーク要素を示す図である。
【図３】本発明によるＳＡＥからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２アクセス)のためのメッセージフローを示す図である。
【図４】本発明によるＳＡＥからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ2及びシナリオ3アクセス)のためのメッセージフローを示す図である。
【図５】本発明によるＳＡＥからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ３アクセス)のためのメッセージフローを示す図である。
【図６】本発明によるＩ-ＷＬＡＮからＬＴＥへの逆方向ハンドオーバー(代案１)のためのメッセージフローを示す図である。
【図７】本発明によるＩ-ＷＬＡＮからＬＴＥへの逆方向ハンドオーバー(代案２)のためのメッセージフローを示す図である。
【図８】本発明によるＵＭＴＳシステムからＬＴＥシステムへの逆方向ハンドオーバーのためのメッセージフローを示す図である。
【図９】本発明によるＬＴＥシステムからＵＭＴＳシステムへの逆方向ハンドオーバーのためのメッセージフローを示す図である。
【図１０】本発明によるＵＭＴＳシステムからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２アクセス)のためのメッセージフローを示す図である。
【図１１】本発明によるＵＭＴＳシステムからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２及びシナリオ３アクセス)のためのメッセージフローを示す図である。
【図１２】本発明によるＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ３アクセス)のためのメッセージフローを示す図である。
【図１３】本発明による進化したシステムのためのキー派生(代案１）を示す図である。
【図１４】本発明による進化したシステムのためのキー派生(代案１）を示す図である。
【符号の説明】
【０１７４】
1，2a，2b，3，4，5，6，7，8，9，10，11，11a.1，11a.2，11a.3，11a.4，11a.5，11b，12，12a，12b，13，14，15，16，17；ステップ
【技術分野】
【０００１】
本発明は異種システム(heterogeneous systems)、アクセスシステム間のハンドオーバー時の認証手順の最適化、及び進化した(evolved)システムのためのキーの派生(derivation)方法に関するもので、特に、以前のアクセスシステムのキーを用いてハンドオーバー以後に新たなアクセスシステムとの通信を確保するための新たなキーを生成する方法に関する。
【背景技術】
【０００２】
３ＧＰＰ(3rd Generation Partnership Project)の無線アクセスネットワーク(Radio Access Network：ＲＡＮ)、システム構造(System Architecture：ＳＡ)、及びコアターミナル(Core Terminal：ＣＴ)作業グループは、次世代無線システムの向上した(Enhanced)ＵＴＲＡＮ(Ｅ-ＵＴＲＡＮ)構造を開発することを目標としている。Ｅ−ＵＴＲＡＮシステムは、現在第２世代(２Ｇ)及び第３世代(３Ｇ)無線システムと共存することが要求され、特に既存のシステムと３ＧＰＰ ＴＲ ２３．８８２、３ＧＰＰ ＴＳ ２３．４０１、及び３ＧＰＰ ＴＳ ２３．４０２規格に明示されたように新たに進化した(evolved)Ｅ−ＵＴＲＡＮシステムとの間のハンドオーバーを支援することが要求される。
【０００３】
Ｅ-ＵＴＲＡＮシステムは、３ＧＰＰ ＵＴＲＡＮシステムの進化したシステムであり、主要エンティティは、図１に示すようにＵＥ(User Equipment)、ＥＮＢ(Enhanced Node B)、ＭＭＥ(Mobility Management Entity)、ＵＰＥ(User Plane Entity)、及びＩＡＳＡ(Inter Access System Anchor)である。Ｅ-ＵＴＲＡＮシステムのＥＮＢは、Ｎｏｄｅ Ｂと古い(legacy)ＵＴＲＡＮシステムの無線ネットワーク制御器(Radio Network Controller：ＲＮＣ）の特性を有しなければならない。システム構造進化(System Architecture Evolution：ＳＡＥ）のＭＭＥは、ＵＥコンテキスト(アイドル状態の場合、ＵＥ/ユーザー識別(Identity)、ＵＥ移動状態、ユーザーセキュリティパラメータ)を管理及び格納する。また、ＭＭＥは、ＵＥに割り当てる臨時識別(temporary identities)を生成し、ＵＥがＴＡ又はＰＬＭＮ(Public Land Mobile Network)に留まっているかどうかについて認証を確認し、ユーザーの認証を遂行する。ＳＡＥのＵＰＥは、アイドル状態のＵＥに対してダウンリンクデータ経路を終了し、ダウンリンクデータがＵＥに到着したときに呼び出し(paging）をトリガー及び開始(trigger/initiate)する。また、ＵＰＥは、ＵＥコンテキスト、例えば、ＩＰ(Internet Protocol)ベアラサービス又はネットワーク内部ルーティング情報を管理及び格納し、インターセプション(interception)の場合にユーザートラフィックのレプリケーション(replication)を遂行する。ＩＡＳＡは、相互に異なるアクセスシステム間の移動性のためのユーザープレーンアンカー(user plane anchor)である。このＩＡＳＡは、相互に異なるアクセスシステム間のハンドオーバーを遂行または支援する。
【０００４】
ＧＥＲＡＮ(GSM(Global System for Mobile Communication)/EDGE(Enhanced Data rates for Global Evolution) Radio Access Network)は、送受信基地局(Base Transceiver Station:ＢＴＳ）と基地局制御器(Base Station Controller:ＢＳＣ）で構成される。ＵＴＲＡＮは、Ｎｏｄｅ Ｂと無線ネットワーク制御器(Radio Network Controller：ＲＮＣ)で構成される。ＧＰＲＳ(General Packet Radio Service)コアネットワークは、図１に示すようにサービングＧＰＲＳ支援ノード(Serving GPRS Support Node：ＳＧＳＮ)とゲートウェイＧＰＲＳ支援ノード(Gateway GPRS Support Node：ＧＧＳＮ)で構成される。
【０００５】
３ＧＰＰ ＴＳ ２３．２３４規格に明示されたＩ-ＷＬＡＮ(Integrated Wireless Local Area Network)システムは、図２に示すように、古いＵＴＲＡＮシステムをＷＬＡＮシステムと統合するシステム及び方法を提供する。Ｉ-ＷＬＡＮシステムは、ＷＬＡＮユーザーが３ＧＰＰパケット交換サービスをアクセスできるようにする。
【０００６】
しかしながら、現在、異種アクセスシステム間のハンドオーバー時に認証手順を提供する効率的なメカニズムが提示されていない。さらに、進化したシステムのキーを生成するための方法も提示されていない。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
したがって、本発明は、少なくとも上記した従来技術の問題点及び短所を解消し、下記のような長所を提供する。したがって、本発明の目的は、異種ネットワークでアクセスシステム間のハンドオーバー時に認証手順を最適化する方法を提供する。
本発明の他の目的は、異種ネットワークでアクセスシステム間のハンドオーバー時に認証手順を最適化するシステムを提供する。
また、本発明は、ＳＡＥシステム固有のキーを生成させるためのメカニズムを提供する。
【課題を解決するための手段】
【０００８】
上記のような目的を達成するために、本発明は、異種ネットワークにおけるアクセスシステム間のハンドオーバー時に認証手順を最適化する方法であって、新たなシステムにアクセスするための新たなキーを派生するステップと、既存システムから新たなシステムへのハンドオーバー時に既存システムアクセスキーを用いて認証手順を最適化するステップと、ハンドオーバー準備時に新たなシステムにアクセスし、ＵＥが新たなシステムで速い再認証を遂行可能にするための臨時ＩＤ(Identification)をＵＥによって受信するステップとを有することを特徴とする。
【０００９】
また、本発明は、異種ネットワークにおけるアクセスシステム間のハンドオーバー時に認証手順を最適化するシステムであって、新たなシステムにアクセスするための新たなキーを派生する手段と、既存システムから新たなシステムへのハンドオーバー時に、既存システムと共に使用される既存システムアクセスキーを用いて認証手順を最適化する手段と、ユーザー端末が速い再認証を遂行可能にするハンドオーバー準備時に新たなシステムにアクセスするユーザー端末によって臨時ＩＤを受信する手段とを含むことを特徴とする。
【００１０】
本発明は、第２のアクセスシステムで使用されるアクティブ認証キーを第１のアクセスシステムで利用することによって、ハンドオーバー時に最適化した認証手順を提供するメカニズムを含む。また、本発明は、ハンドオーバー手順中に速く再認証を遂行するためのメカニズムを含む。
本発明は、ＵＥとネットワークエンティティとの間の通信を確保するために進化したシステムに対するキーを生成するためのメカニズムを含む。
【００１１】
さらに、本発明の他の態様によれば、次のようである。
異種ネットワーク環境でハンドオーバー時にネットワークアクセス認証手順の最適化すること。
アクセスシステムの従属認証手順を遂行せずに、その代わりに、以前のアクセスシステムで生成された最新のアクティブキーを用いて、新たなアクセスシステムのための新たなキーを生成するメカニズムを提供すること。
順方向ハンドオーバーと逆方向ハンドオーバー共に対する新たなキーを派生するメカニズムを提供すること。
ＳＡＥシステム又はＩ-ＷＬＡＮインターワーキングシステムのネットワークエンティティ又はＳＡＥシステム又はＩ-ＷＬＡＮインターワーキングシステムの別途のエンティティと同時に配置された論理インターワーキングユニットを通じてキー、セキュリティコンテキスト、及びその他のメッセージを交換するためのＭＭＥ/ＵＰＥ及びＡＡＡ(Authentication Authorization and Accounting)サーバ間のシグナリングインターフェースを提供すること。
Ｉ-ＷＬＡＮアクセス及び保安(secure)通信のために、ＵＥ及びＡＡＡサーバによってアクティブＥＵＴＲＡＮネットワークアクセスキーを用いるキーを生成すること。
【００１２】
ハンドオーバー準備段階で、最新ＣＫ(Cypher Key)及びＩＫ(Integrity Key)を用いてＳＡＥシステム又はＵＭＴＳシステムからＩ-ＷＬＡＮシステムにキー(ＥＡＰ関連キー、すなわちＴＥＫ、ＭＳＫ及びＥＭＳＫ)を生成すること。このＵＥは、測定レポートを通じてＩ-ＷＬＡＮ ＩＤ及びＮＡＩをＳＡＥシステムに伝送する。ＳＡＥシステムのネットワークエンティティはＩ-ＷＬＡＮインターワーキングシステムに転送されたハンドオーバー(HandOver：以下、“ＨＯ”と称する)準備要求内に他のパラメータと共に最新ＣＫ及びＩＫを含む。ＵＥとネットワークはハンドオーバー準備段階でキーを生成することができる。
【００１３】
Ｉ-ＷＬＡＮ接続(attach)手順の間に、ＵＥがＳＡＥシステムからＩ-ＷＬＡＮシステムへ移動するとき、ＵＥとＡＡＡサーバがハンドオーバー準備段階でキーを生成すると、ＷＬＡＮ-ＡＮがＡＡＡサーバにＵＥの認証を要求する場合に、Ｉ-ＷＬＡＮネットワークエンティティ(ＡＡＡサーバ）はＥＡＰ認証手順なしにＷＬＡＮ-ＡＮにＭＳＫを伝送することを提供する。このように、ＵＥとＩ-ＷＬＡＮ ＡＳは、ＩＥＥＥ(Institute of Electrical and Electronic Engineers)８０２．１１の特定ハンドシェイク(handshake)メカニズムを直接遂行してＬ２(Layer2)保護(protections)を開始することができる。
【００１４】
ハンドオーバー準備段階で、ＡＡＡサーバによって(ＨＯ承認(accept)メッセージ/ＨＯ命令メッセージ内の)Ｉ-ＷＬＡＮ固有の臨時ＩＤ、匿名(pseudonym)及び/又は速い再認証ＩＤをＵＥに伝送すること。(ネットワークが速い再認証ＩＤを伝送し、ＵＥにキーの認証及びリフレッシュ(refresh)を要求すると)ＵＥは、ＳＡＥ ＡＳからＩ-ＷＬＡＮ ＡＳに初期にハンドオーバー時に速い再認証手順を遂行することができる。本発明によると、ＵＥは、最後に成功的に受信されたパケットのシーケンス番号をＩ-ＷＬＡＮ ＡＳに伝送できる。Ｉ-ＷＬＡＮ ＡＳは、パケットをコアネットワークに伝達し、コアネットワークは最後に成功的に受信されたシーケンス番号以後のパケットをＵＥに伝送し始めることができる。
【００１５】
本発明によると、ネットワークは、ＳＡＥシステム又はＵＭＴＳシステムからＩ-ＷＬＡＮシステムにハンドオーバーしつつ、ＨＯ命令の間にＵＥがシナリオ(scenario)２及びシナリオ３認証手順と支援される最適化手順のリストを共に遂行するように指示できる。このように、ＵＥは、施行錯誤方法なしに、直接ネットワークによって支援される最適化手順の中で一つを選択して開始することができる。
【００１６】
本発明によると、ＭＭＥは、ＨＯ準備段階でＨＳＳにソフト登録(soft registration)を遂行し、ハンドオーバー後に、ＵＥは、上記ＭＭＥに接続する。ＳＧＳＮは、ＨＯ準備段階でＨＳＳにソフト登録を遂行し、ハンドオーバー後に、ＵＥは上記ＳＧＳＮに接続する。
【００１７】
本発明によると、ＡＡＡサーバはＨＯ準備段階でＨＳＳにソフト登録を遂行して、ハンドオーバー後に、ＵＥはＡＡＡサーバに接続される。保安モード命令手順は、ＳＡＥシステム又はＵＭＴＳシステムへのハンドオーバーの間にＨＯ準備段階で遂行される。
【００１８】
本発明によると、ＵＥは、ネットワークによってブロードキャスティングされるネットワーク支援アルゴリズムのリストから選択されたアルゴリズムを測定レポートを通じてＳＡＥシステムに伝送する。ＨＯ命令で、ＳＡＥシステムは、ＵＥ選択アルゴリズムを同意/交渉(agree/negotiate)して、ＵＥがハンドオーバー時に初期メッセージの保護を開始することができる。
【００１９】
本発明によると、ＳＧＳＮは、最新ＣＫ及びＩＫをＳＡＥシステムのＭＭＥ又は認証及びキー管理エンティティに伝達し、ＭＭＥ又はＳＡＥシステムの認証及びキー管理エンティティは、ＳＡＥ固有のキーを派生してハンドオーバー以前又はハンドオーバー時にＳＡＥシステムエンティティに分配する。
【００２０】
本発明によると、ＭＭＥは、他のＡＳからのＨＯ要求又は他のＡＳへのＨＯ要求時に、ＬＴＥ(Lon Term Evolution)関連パラメータをＵＭＴＳ固有のパラメータに変換する。ＭＭＥは、最新ＣＫ及びＩＫをＳＧＳＮに伝達し、このＳＧＳＮはこのキーをＳＡＥシステムからのハンドオーバー準備要求時にＲＮＣ(Radio Network Controller)に分配する。
【００２１】
本発明によると、ＵＭＴＳ ＡＳのための順方向ハンドオーバー認証手順中に、ＵＥはＲＡＵ手順又は初期ＮＡＳメッセージを通じて以前アクセスシステムの詳細を伝送し、コアネットワークは、以前アクセスシステムからセキュリティコンテキスト(例えば、ＣＫ及びＩＫ)とバッファリングされたパケットを検索する(retrieve)ことができる。Ｉ-ＷＬＡＮ ＡＳへの順方向ハンドオーバー認証手順中に、ＵＥは、以前アクセスシステムの詳細を伝送し、コアネットワークは、以前アクセスシステムからセキュリティコンテキスト及びバッファリングされたパケットを検索することができる。この以前アクセスシステムの詳細は、ＥＡＰＯＬ ＩＤ応答メッセージを通じて伝送される。
【００２２】
本発明によると、ＵＥは、最後に成功的に受信されたパケットのシーケンス番号をアクセスシステムに伝送し、アクセスシステムはこれを以前コアネットワークに伝達して、ＵＥによって最後に成功的に受信されたシーケンス番号以後のパケットを伝送し始めることができる。
【００２３】
本発明によると、Ｉ-ＷＬＡＮ ＡＳでシナリオ２認証手順中に、ＵＥとネットワークがＵＭＴＳ ＣＫ及びＩＫを用いてキーを生成すると、コアネットワークは臨時ＩＤを生成し、これをＵＥに伝達する。ＵＥは、シナリオ３アクセスのための速い再認証手順を始める。
【００２４】
ＳＡＥ ＡＳに対する順方向ハンドオーバー認証手順中に、ＵＥは、以前アクセスシステムの詳細をＴＡＵ手順又は初期ＮＡＳメッセージを通じて伝送し、コアネットワークは以前のアクセスシステムからセキュリティコンテキスト(例えば、ＣＫ及びＩＫ)とバッファリングされたパケットを検索する。
【発明を実施するための最良の形態】
【００２５】
以下、本発明の望ましい実施形態を添付の図面を参照して詳細に説明する。
下記に、本発明の実施形態において、本発明の範囲及び精神を逸脱することなく、多様な変形が可能であることは、当該技術分野における通常の知識を有する者には明らかである。また、本発明に関連した公知の機能または構成に関する具体的な説明が本発明の要旨を不明にすると判断された場合に、その詳細な説明を省略する。
【００２６】
本発明は、異種ネットワーク間のハンドオーバー時に最適化した認証手順を提供するためのシステム及びその方法を提供し、ＳＡＥシステム固有のキーを生成させるメカニズムも提供する。
この方法は、アクセスシステム固有の認証手順を遂行することなく、以前のアクセスシステムキーを用いて新たなアクセスシステム固有のキーを生成するためのメカニズムを含む。
【００２７】
図３は、本発明によるＳＡＥからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２アクセス)を示す。
図３を参照すると、ＵＥは、ステップ１で、周期的又はイベントベースの測定値(measurements）をＥＵＴＲＡＮネットワークに伝送する。ＥＮＢ(Evolving Node B)/ＭＭＥ(Mobility Management Entity)は、ＵＥ測定値がしきい値以下であることが分かり、あるいはＭＭＥが如何なる方式でもＥＵＴＲＡＮを持続できないと判断すると、ステップ２ａで、他のＲＡＴ(Radio Access Technology)をスキャニングし始めるようにＵＥに要求するか、隣接ＲＡＴ又はそのサービス領域(coverage area)内で利用可能な特定のＲＡＴをスキャンするようにＵＥに要求することができる。また、レイヤ２（Ｌ２）又はその他の手段によって、ＵＥは、ＥＵＴＲＡＮが持続できないと判断し、他のＲＡＴのスキャニングを開始する。
【００２８】
ＵＥは、ステップ３で、他のパラメータと共にＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＡＥシステムに伝送する。すると、ＥＮＢ/ＭＭＥは、論理的なインターワーキングユニットによって、それ自体又は選択的にＩ-ＷＬＡＮネットワークにＵＥをハンドオーバーするように決定する。
【００２９】
ＮＡＩ(Network Address Identifier)を用いて、ＭＭＥは、ステップ４で、Ｉ-ＷＬＡＮ ＡＡＡサーバＩＰアドレスを分析し、論理的なインターワーキングユニットを通じてＡＡＡサーバに接続する。この論理的なインターワーキングユニットは、ＭＭＥ又はＡＡＡサーバ内に配置されるか、ＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置されることができる。インターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮとＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換するものである。
【００３０】
ＭＭＥは、ステップ５で、インターワーキングユニットを通じてＨＯ要求をＡＡＡサーバに伝送する。ＨＯ要求は、ＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用(unused)ＡＶ(Authentication Vector)、最新(latest)ＣＫ及びＩＫとその他のパラメータを含む。
【００３１】
ＡＡＡは、他のＡＡＡがＨＳＳ(Home Subscription Service)に登録されたか否かについてＨＳＳを確認し、そうでない場合には、ステップ６でソフト登録(soft registration)を遂行する。ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成/派生する(generate/derive)。また、ＡＡＡサーバは、Ｔｅｍｐ ＩＤ(匿名(pseudonym)ＩＤ及び速い再認証ＩＤ）を生成し、この生成されたＴＥＫを用いてＴｅｍｐ ＩＤを保護(暗号化)してＵＥに伝送する。
【００３２】
ステップ７で、ＡＡＡサーバは、インターワーキングユニットを通じてＨＯ承認をＭＭＥに伝送する。ＨＯ承認メッセージは保護されたＴｅｍｐ ＩＤ及びシナリオ２及びシナリオ３認証が要求されたか否かの表示を含む。
ＭＭＥは、ステップ８で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージとしてＵＥに伝送する。
【００３３】
Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＳＡＥシステムからＨＯ命令を受信した後に、ＵＥは、ステップ９で、最新ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成し、保護されたＴｅｍｐ ＩＤを解読する。ステップ１０で、ＵＥは、Ｉ-ＷＬＡＮ ＡＳとＬ２接続(L2 attachment)を始める。
【００３４】
Ｉ-ＷＬＡＮシステムが認証を要求すると、ＷＬＡＮ-ＡＮは、ステップ１１ａ．１で認証手順を開始する。
すると、ＵＥは、ステップ１１ａ．２で、ＨＯ命令を通じてＴｅｍｐ ＩＤが受信された場合にＴｅｍｐ ＩＤ(速い再認証ＩＤ)を伝送する。ＵＥは、Ｉ-ＷＬＡＮ ＡＮを通じて、Ｔｅｍｐ ＩＤ(匿名ＩＤ又は速い再認証ＩＤ)及び選択的にＥＡＰ応答識別メッセージのインテグリティ(integrity)の保護を含むＥＡＰ応答識別をＡＡＡサーバに伝送する。
【００３５】
ＡＡＡサーバがＴｅｍｐ ＩＤと共にＥＡＰ応答識別メッセージを受信すると、ＡＡＡは、ＵＥがＨＯ準備を遂行したことを知るようになる。ＡＡＡサーバは、ステップ１１ａ．３で、インテグリティ(integrity)の保護及びＴｅｍｐ ＩＤを検証(verify)する。したがって、ＡＡＡは、ＵＥを認証する。選択的に、ＡＡＡサーバが保護された成功的結果表示を使用するように以前に要求された場合、ＥＡＰ成功メッセージより以前に、ＭＡＣ(Medium Access Control)保護されたメッセージＥＡＰ要求/ＡＫＡ通知(Notification)を伝送することができる。ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ要求/ＡＫＡ通知メッセージと一緒にＵＥに伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達し、ＵＥはＥＡＰ応答/ＡＫＡ通知を送信する。ＷＬＡＮ ＡＮは、ＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝送し、ＡＡＡサーバはこれらメッセージの内容を無視する。
【００３６】
ＡＡＡサーバは、ステップ１１ａ．４で、ＥＡＰ成功メッセージをＷＬＡＮ ＡＮに伝送する。一部エキストラキーイング要素(extra keying material)がＷＬＡＮ技術固有の機密性及び/又はインテグリティの保護のために生成されると、ＡＡＡサーバは、このキーイング要素を基本(underlying)ＡＡＡプロトコルメッセージ(すなわち、ＥＡＰレベルでない)に含める。Ｉ-ＷＬＡＮ ＡＮは、認証されたＷＬＡＮ-ＵＥとの通信に使用されるキーイング要素を格納する。ＡＡＡサーバが保護された成功的な結果表示を使用していないと、ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送する。
【００３７】
Ｉ-ＷＬＡＮ ＡＮは、ステップ１１ａ．５で、成功的な認証に関してＥＡＰ成功メッセージを通じてＷＬＡＮ-ＵＥに知らせる。このとき、ＥＡＰ ＡＫＡ交換が成功的に完了し、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮ ＡＮはこの交換中に生成されたキーイング要素を共有する。
または、ステップ１１ｂで、ＵＥは、Ｉ-ＷＬＡＮネットワークと共に速い再認証手順を開始する。ＵＥが速い再認証ＩＤを受信しないと、ＵＥは、全体認証手順を開始するために匿名ＩＤを伝送する。
【００３８】
図４は、本発明によるＳＡＥからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２及びシナリオ３アクセス)を示す。
図４を参照すると、ＵＥは、ステップ１で、周期的又はイベントベースの測定値をＥＵＴＲＡＮネットワークに伝送する。
【００３９】
ＥＮＢ/ＭＭＥは、ＵＥ測定値がしきい値以下であることが分かり、あるいはＭＭＥが如何なる方式でもＥＵＴＲＡＮを持続できないと判断すると、ステップ２ａで、他のＲＡＴをスキャニングし始めるようにＵＥに要求するか、隣接ＲＡＴ又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするようにＵＥに要求することができる。また、Ｌ２又はその他の手段によって、ＵＥは、ＥＵＴＲＡＮが持続できないと判断し、他のＲＡＴのスキャニングを開始する。
【００４０】
ＵＥは、ステップ３で、他のパラメータと共にＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＡＥシステムに伝送する。すると、ＥＮＢ/ＭＭＥは、Ｉ-ＷＬＡＮネットワークにＵＥをハンドオーバーするように決定する。
【００４１】
ＮＡＩを用いて、ＭＭＥは、ステップ４で、Ｉ-ＷＬＡＮ ＡＡＡサーバＩＰアドレスを分析して論理的なインターワーキングユニットを通じてＡＡＡサーバに接続する。この論理的なインターワーキングユニットは、ＭＭＥ又はＡＡＡサーバ内に配置されるか、ＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置されることができる。インターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮとＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換するものである。
【００４２】
ＭＭＥは、ステップ５で、インターワーキングユニットを通じてＨＯ要求をＡＡＡサーバに伝送する。ＨＯ要求は、ＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他のパラメータを含む。
【００４３】
ＡＡＡは、ステップ６で、他のＡＡＡがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合には、ＡＡＡがソフト登録を遂行する。ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成する。また、ＡＡＡサーバは、Ｔｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ）を生成し、この生成されたＴＥＫを用いてＴｅｍｐ ＩＤを保護(暗号化)してＵＥに伝送する。
【００４４】
ＡＡＡサーバは、ステップ７で、インターワーキングユニットを通じてＨＯ承認をＭＭＥに伝送する。ＨＯ承認メッセージは、保護されたＴｅｍｐ ＩＤ及びシナリオ２及びシナリオ３認証が要求されたか否かの表示を含む。また、ＡＡＡサーバは、シナリオ２とシナリオ３を連続して遂行するＵＥに対して支援される最適化手順をＨＯ承認内に含む。
【００４５】
ＭＭＥは、ステップ８で、受信されたパラメータをＨＯ命令メッセージとしてＨＯ承認メッセージを通じてＵＥに伝送する。
Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＳＡＥシステムからＨＯ命令を受信した後、ＵＥは、ステップ９で、最新ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成し、保護されたＴｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ)を解読する。ステップ１０で、ＵＥは、Ｉ-ＷＬＡＮ ＡＳとＬ２接続を始める。
【００４６】
Ｉ-ＷＬＡＮシステムが認証を要求すると、ＷＬＡＮ-ＡＮは、ステップ１１ａ．１で認証手順を開始する。すると、ＵＥは、ステップ１１ａ．２で、ＨＯ命令を通じて受信される場合にＴｅｍｐ ＩＤ(速い再認証ＩＤ)を伝送する。ＵＥは、Ｉ-ＷＬＡＮ ＡＮを通じて、Ｔｅｍｐ ＩＤ(匿名ＩＤ又は速い再認証ＩＤ)及び選択的にＥＡＰ応答識別メッセージのインテグリティの保護を含むＥＡＰ応答識別をＡＡＡサーバに伝送する。
【００４７】
ＡＡＡサーバがＴｅｍｐ ＩＤと共にＥＡＰ応答識別メッセージを受信すると、ＡＡＡは、ＵＥがＨＯ準備を遂行したことを知るようになる。ＡＡＡサーバは、ステップ１１ａ．３で、インテグリティの保護及びＴｅｍｐ ＩＤを検証する。したがって、ＡＡＡは、ＵＥを認証する。選択的に、ＡＡＡサーバが保護された成功的結果表示を使用するように事前に要求された場合、ＥＡＰ成功メッセージより以前に、ＭＡＣ保護されたメッセージＥＡＰ要求/ＡＫＡ通知を送信することができる。ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ要求/ＡＫＡ通知メッセージと一緒にＵＥに伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達し、ＵＥはＥＡＰ応答/ＡＫＡ通知を伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝送し、ＡＡＡサーバはこれらメッセージの内容を無視する。
【００４８】
ＡＡＡサーバは、ステップ１１ａ．４で、ＥＡＰ成功メッセージをＷＬＡＮ ＡＮに伝送する。一部エキストラキーイング要素がＷＬＡＮ技術固有の機密性及び/又はインテグリティの保護のために生成されると、ＡＡＡサーバは、このキーイング要素を基本ＡＡＡプロトコルメッセージ(すなわち、ＥＡＰレベルでない)に含める。Ｉ-ＷＬＡＮ ＡＮは、認証されたＷＬＡＮ-ＵＥとの通信に使用されるキーイング要素を格納する。ＡＡＡサーバが保護された成功的な結果表示を使用していないと、ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送する。
【００４９】
Ｉ-ＷＬＡＮ ＡＮは、ステップ１１ａ．５で、成功的な認証に関してＥＡＰ成功メッセージでＷＬＡＮ-ＵＥに知らせる。このとき、ＥＡＰ ＡＫＡ交換が成功的に完了し、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮ ＡＮはこの交換中に生成されたキーイング要素を共有する。
【００５０】
または、ＵＥは、ステップ１１ｂで、Ｉ-ＷＬＡＮネットワークと共に速い再認証手順を開始する。ＵＥが速い再認証ＩＤを受信しないと、ＵＥは、全体認証手順を開始するために匿名ＩＤを伝送する。
【００５１】
成功的なシナリオ２認証手順後に、ＵＥは、ステップ１２ａで、ＨＯ命令にＡＡＡサーバによってリストされたシナリオ３に対する最適化した認証手順を開始する。ＵＥは、ＥＭＳＫ基盤の最適化手順を用いてシナリオ３認証手順を開始することができる。
また、ＵＥは、ステップ１２ｂで、シナリオ３認証手順に対する速い再認証手順を開始することができる。
【００５２】
図５は、本発明によるＳＡＥからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(直接的なシナリオ３アクセス)を示す。
図５を参照すると、ＵＥは、ステップ１で、周期的又はイベントベースの測定値をＥＵＴＲＡＮネットワークに伝送する。
【００５３】
ＥＮＢ/ＭＭＥは、ＵＥ測定値がしきい値以下であることが分かり、あるいはＭＭＥが如何なる方式でもＥＵＴＲＡＮを持続できないと判断すると、ステップ２で、他のＲＡＴをスキャニングし始めるようにＵＥに要求するか、隣接ＲＡＴ又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするようにＵＥに要求することができる。また、Ｌ２又はその他の手段によって、ＵＥは、ＥＵＴＲＡＮが持続できないと判断し、他のＲＡＴのスキャニングを開始する。
【００５４】
ＵＥは、ステップ３で、他のパラメータと共にＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＡＥシステムに伝送する。すると、ＥＮＢ/ＭＭＥは、Ｉ-ＷＬＡＮネットワークにＵＥをハンドオーバーするように決定する。
【００５５】
ＮＡＩを用いて、ＭＭＥは、ステップ４で、Ｉ-ＷＬＡＮＡＡＡサーバＩＰアドレスを分析して論理的なインターワーキングユニットを通じてＡＡＡサーバに接続する。この論理的なインターワーキングユニットは、ＭＭＥ又はＡＡＡサーバ内に配置されるか、ＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置されることができる。インターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮとＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換するものである。
【００５６】
ＭＭＥは、ステップ５で、インターワーキングユニットを通じてＨＯ要求をＡＡＡサーバに伝送する。ＨＯ要求は、ＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他のパラメータを含む。
【００５７】
ＡＡＡは、他のＡＡＡがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合には、ＡＡＡがソフト登録を遂行する。ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成する。また、ＡＡＡサーバは、Ｔｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ）を生成し、この生成されたＴＥＫを用いてＴｅｍｐ ＩＤを保護(暗号化)する。すると、ＡＡＡは、ＵＥに上記Ｔｅｍｐ ＩＤを伝送する。
【００５８】
ＡＡＡサーバは、ステップ７で、インターワーキングユニットを通じてＨＯ承認をＭＭＥに伝送する。ＨＯ承認メッセージは、保護されたＴｅｍｐ ＩＤ及びシナリオ２及びシナリオ３認証が要求されたか否かの表示を含む。また、ＡＡＡサーバは、シナリオ２及びシナリオ３を連続して遂行するＵＥに対して支援される最適化手順をＨＯ承認内に含む。
【００５９】
ＭＭＥは、ステップ８で、受信されたパラメータをＨＯ命令メッセージとしてＨＯ承認メッセージを通じてＵＥに伝送する。
Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＳＡＥシステムからＨＯ命令を受信した後、ＵＥは、ステップ９で、最新ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成し、保護されたＴｅｍｐ ＩＤを解読する。
ステップ１０で、ＵＥは、Ｉ-ＷＬＡＮ ＡＳとＬ２接続を始める。
【００６０】
Ｉ-ＷＬＡＮ ＡＮとの成功的な接続後に、ＵＥは、ステップ１１ａで、ＨＯ命令にＡＡＡサーバによってリストされたシナリオ３に対する最適化した認証手順を開始する。ＵＥは、ＥＭＳＫ基盤の最適化手順を用いてシナリオ３認証手順を開始することができる。
ＵＥは、ステップ１１ｂで、選択的にシナリオ３認証手順に対する速い再認証手順を開始することができる。
【００６１】
ＳＡＥからＩ-ＷＬＡＮ ＡＳへの順方向ハンドオーバー：
認証手順中に、ＵＥは、以前アクセスシステムの詳細を伝送し、それによってコアネットワークがセキュリティコンテキストとバッファリングされたパケットを以前のアクセスシステムから検索することができる。最近のアクセスシステムの詳細は、ＥＡＰＯＬ ＩＤ応答メッセージ内で伝送されることができる。
【００６２】
シナリオ２認証手順中に、ＵＥとネットワークがＣＫ及びＩＫを用いてキーを生成すると、コアネットワークは、Ｔｅｍｐ ＩＤを生成してＵＥに伝達する。ＵＥは、シナリオ３アクセスのための速い再認証手順を始めることができる。
【００６３】
ＵＥは、最後に成功的に受信されたパケットのシーケンス番号をＩ-ＷＬＡＮネットワークに伝送し、Ｉ-ＷＬＡＮネットワークはこのシーケンス番号をコアネットワークに伝達することができる。すると、コアネットワークは、ＵＥによって最後に成功的に受信されたシーケンス番号以後のパケットを伝達し始める。
【００６４】
図６は、本発明によるＩ-ＷＬＡＮからＳＡＥシステムへの逆方向ハンドオーバー(代案１）を示す。
図６を参照すると、ＵＥは、ステップ１で、論理的な決定(decision)及びインターワーキングユニットに周期的またはイベントベースの測定値を伝送する。この論理的な決定及びインターワーキングユニットは、ＭＭＥ又はＡＡＡサーバ内に配置され、あるいは別途のエンティティとして配置され、もしくはＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置することができる。決定及びインターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮ及びＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換し、上記測定値に基づいてＨＯを遂行するかを決定する。
【００６５】
論理的な決定及びインターワーキングユニットは、ＵＥ測定値がしきい値以下であることがわかり、その他の手段によってＩ-ＷＬＡＮが持続できないと判断すると、論理的な決定及びインターワーキングユニットは、ステップ２で、ＵＥに他のＲＡＴのスキャニングを始めるように要求し、あるいはＥＮＢ/ＭＭＥはＵＥに隣接ＲＡＴ、又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするように要求することができる。また、Ｌ２又は一部の他の手段によって、ＵＥは、Ｉ-ＷＬＡＮが持続できないと決定し、他のＲＡＴをスキャニングし始める。
【００６６】
ＵＥは、ステップ３で、ＴＡＩ、選択されたＵＩＡ及びＵＥＡ、ＥＮＢ-ＩＤ及び選択的にＳＴＡＲＴ値を含むＳＡＥ測定レポートをＡＡＡサーバを通じて論理的決定及びインターワーキングユニットに伝送する。
すると、ステップ４で、論理的決定及びインターワーキングユニットは、ＵＥをＳＡＥネットワークにハンドオーバーするように決定し、これをＡＡＡサーバに知らせる。
ＴＡＩを用いて、ＡＡＡサーバは、ＨＳＳに接続することによってＭＭＥアドレスを知るようになる。
【００６７】
ステップ６で、ＡＡＡサーバは、ＨＯ要求メッセージをＭＭＥ/ＵＰＥに伝送する。ＨＯ要求メッセージは、以前のＲＡＴタイプ、非使用ＡＶ、最新ＣＫ及びＩＫ、選択的にＥＮＢ-ＩＤ及びその他のパラメータを含む。
ＭＭＥは、他のＭＭＥがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合、ステップ７でソフト登録を遂行する。また、ＭＭＥは、キーを生成する。
【００６８】
ＭＭＥは、ステップ８で、インターワーキングユニットを通じてＨＯ承認をＡＡＡサーバに伝送する。このＨＯ承認メッセージは、選択されたＵＥＡ及びＵＩＡ、選択的にＦＲＥＳＨ及びＲＡＮ保護を始めるかに関する情報とその他のパラメータを含む。
ＡＡＡサーバは、ステップ９でＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージを通じてＵＥに伝送する。
【００６９】
ＳＡＥネットワークへのハンドオーバーのためにＡＡＡサーバからＨＯ命令を受信した後に、ＵＥは、ステップ１０で、最新ＣＫ及びＩＫを用いてＳＡＥシステムに固有のキーを生成させる。
ＵＥは、ステップ１１で、何らの保護なしにＥＮＢとＬ２接続を始める。
【００７０】
ＵＥは、ステップ１２で、初期レイヤ３（Ｌ３）メッセージをＭＭＥ/ＵＰＥに伝送する。初期Ｌ３メッセージは、ユーザー識別、ＳＴＡＲＴ値及びＭＡＣ-ＩＮＡＳを含む。このＭＡＣ-ＩＮＡＳは、生成されたＳＡＥ固有のキー、及び選択的にＦＲＥＳＨ及びＳＴＡＲＴ値を用いて計算される。
【００７１】
ＭＭＥ/ＵＰＥは、ステップ１３で、生成したキー、受信されたＳＴＡＲＴ、及び選択的にＦＲＥＳＨ値を用いてＭＡＣ-Ｉを検証する。
ＭＭＥ/ＵＰＥは、ＥＮＢ、ＳＴＡＲＴ、選択的にＦＲＥＳＨ及び合意されたＵＥＡ及びＵＩＡに対するキーを含む初期Ｌ３メッセージ応答を伝送する。ＭＭＥは、ＥＮＢ、ＳＴＡＲＴ、選択的にＦＲＥＳＨ及び合意されたＵＥＡ及びＵＩＡに対してキーを除いた初期Ｌ３メッセージ応答を通じてＭＡＣ-ＩＮＡＳを計算する。
【００７２】
ＥＮＢは、初期Ｌ３メッセージ応答を受信し、ＳＴＡＲＴ、選択的にＦＲＥＳＨ及び合意されたＵＥＡ及びＵＩＡに対するキーを格納する。
ＥＮＢは、初期Ｌ３メッセージ応答をＵＥに伝達する。選択的に、ＥＮＢはＲＡＮセキュリティ(ＭＡＣ-ＩＲＡＮ)を始めることができる。
ＵＥは、ＭＡＣ-ＩＮＡＳとＭＡＣ-ＩＲＡＮを検証する。
【００７３】
図７は、本発明によるＩ-ＷＬＡＮからＳＡＥシステムへの逆方向ハンドオーバー(代案２)を示す。
図７を参照すると、ＵＥは、ステップ１で、論理的な決定及びインターワーキングユニットに周期的またはイベントベースの測定値を伝送する。この論理的な決定及びインターワーキングユニットは、ＭＭＥ又はＡＡＡサーバ内に配置され、あるいは別途のエンティティとして配置され、もしくはＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置することができる。決定及びインターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮ及びＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換し、上記測定値に基づいてＨＯを遂行するかを決定する。
【００７４】
論理的な決定及びインターワーキングユニットは、ＵＥ測定値がしきい値以下であることがわかり、その他の手段によってＩ-ＷＬＡＮが持続できないと判断すると、論理的な決定及びインターワーキングユニットは、ステップ２で、ＵＥに他のＲＡＴのスキャニングを始めるように要求し、あるいはＥＮＢ/ＭＭＥはＵＥに隣接ＲＡＴ、又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするように要求することができる。また、Ｌ２又は一部他の手段によって、ＵＥは、Ｉ-ＷＬＡＮが持続できないと決定し、他のＲＡＴをスキャニングし始める。
【００７５】
ＵＥは、ステップ３で、ＴＡＩ、選択されたＵＩＡ及びＵＥＡ、ＥＮＢ-ＩＤ及び選択的にＳＴＡＲＴ値を含むＳＡＥ測定レポートをＡＡＡサーバを通じて論理的決定及びインターワーキングユニットに伝送する。
すると、論理的決定及びインターワーキングユニットは、ＵＥをＳＡＥネットワークにハンドオーバーするように決定し、これをＡＡＡサーバに知らせる。
ＴＡＩを用いて、ＡＡＡサーバは、ステップ５で、ＨＳＳに接続することによってＭＭＥアドレスを知るようになる。
【００７６】
ステップ６で、ＡＡＡサーバは、ＨＯ要求メッセージをＭＭＥ/ＵＰＥに伝送する。ＨＯ要求メッセージは、以前のＲＡＴタイプ、非使用ＡＶ、最新ＣＫ及びＩＫ、選択的にＥＮＢ-ＩＤ及びその他のパラメータを含む。
ＭＭＥは、ステップ７で、他のＭＭＥがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合、ソフト登録を遂行する。また、ＭＭＥは、ＡＡＡサーバによってＣＫ及びＩＫを用いてキーを生成する。
【００７７】
ＭＭＥは、ステップ８で、ＥＮＢ-ＩＤを用いてＦＲＥＳＨを生成し、ＥＮＢにセキュリティコンテキストを分配する。
ＭＭＥは、ステップ９で、インターワーキングユニットを通じてＨＯ承認をＡＡＡサーバに伝送する。ＨＯ承認メッセージは、選択されたＵＥＡ及びＵＩＡ，及び選択的にＦＲＥＳＨ及びＲＡＮ保護を始めるかに関する情報とその他のパラメータを含む。
【００７８】
ＡＡＡサーバは、ステップ１０で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージを通じてＵＥに伝送する。
ＳＡＥネットワークへのハンドオーバーのためにＡＡＡサーバからＨＯ命令を受信した後に、ＵＥは、ステップ１１で、最新ＣＫ及びＩＫを用いてＳＡＥシステムに固有のキーを生成し、ＲＡＮ保護を始める。
【００７９】
ＵＥは、ステップ１２で、ＥＮＢとＬ２接続を始める。ＵＥは、ＲＲＣメッセージの保護を始める。ＥＮＢへの初期メッセージの間に、ＵＥは、ＳＴＡＲＴ値を伝達し、生成されたＳＡＥ固有のキー、選択的にＦＲＥＳＨ及びＳＴＡＲＴ値を用いてＭＡＣ-ＩＲＡＮを計算する。すると、ＥＮＢは、ＳＴＡＲＴ値と共にステップ８で受信されたセキュリティコンテキストを用いてＭＡＣ-ＩＲＡＮを検証する。
【００８０】
ＵＥは、ステップ１３で、初期Ｌ３メッセージをＭＭＥ/ＵＰＥに伝送する。初期Ｌ３メッセージは、ユーザー識別、ＳＴＡＲＴ値及びＭＡＣ-ＩＮＡＳを含む。このＭＡＣ-ＩＮＡＳは、生成されたＳＡＥ固有のキー、及び選択的にＦＲＥＳＨ及びＳＴＡＲＴ値を用いて計算される。
【００８１】
ＭＭＥ/ＵＰＥは、ステップ１４で、生成されたキー、受信されたＳＴＡＲＴ、及び選択的にＦＲＥＳＨ値を用いてＭＡＣ-ＩＮＡＳを検証する。
ＭＭＥ/ＵＰＥは、初期Ｌ３メッセージ応答を伝送する。ＭＭＥは、初期Ｌ３メッセージ応答を通じてＭＡＣ-ＩＮＡＳを計算する。
【００８２】
Ｉ-ＷＬＡＮからＳＡＥシステムへの順方向ハンドオーバー：
ＴＡＵ手順又は初期ＮＡＳメッセージの間に、ＵＥは、ＴＡＵ手順内に以前アクセスシステムの詳細を伝送し、コアネットワークは以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索することができる。
【００８３】
図８は、本発明によるＵＭＴＳからＳＡＥシステムへの逆方向ハンドオーバーを示す。
図８を参照すると、ＵＥは、ステップ１で、ＳＧＳＮに周期的又はイベントベースの測定値を伝送する。
測定レポートに基づいて、ＳＧＳＮは、ステップ２で、ＵＥに他のＲＡＴのスキャニングを始めるように要求し、あるいはＥＮＢ/ＭＭＥが隣接ＲＡＴまたはそのサービス領域で利用可能な特定ＲＡＴをスキャンするようにＵＥに要求することができる。または、Ｌ２又はその他の手段によって、ＵＥは、ＵＭＴＳが持続できないと決定し、他のＲＡＴのスキャニングを始める。
【００８４】
ＵＥは、ステップ３で、ＴＡＩ、選択されたＵＩＡ及びＵＥＡ、選択的にＳＴＡＲＴ値及び/又はＥＮＢ ＩＤを含むＳＡＥ測定レポートをＳＧＳＮに伝送する。
すると、ＳＧＳＮは、ＵＥをＳＡＥネットワークにハンドオーバーすることを決定する。ＴＡＩを用いて、ＳＧＳＮは、ステップ４で、ＭＭＥアドレスを知るようになり、Ｓ３又はＳ４インターフェースを利用し、あるいはＨＳＳに接続し、もしくはその他の方式を通じてＭＭＥに接続する。
【００８５】
ＳＧＳＮは、ステップ５で、ＭＭＥ/ＵＰＥにＨＯ要求メッセージを伝送する。ＨＯ要求メッセージは、セキュリティコンテキスト、以前ＲＡＴタイプ、非使用ＡＶ、最新ＣＫ及びＩＫ、及び選択的にＥＮＢ-ＩＤ、ＳＴＡＲＴ値、ＫＳＩ及びその他のパラメータを含む。
【００８６】
ステップ６で、ＭＭＥは、ＭＭＥがＨＳＳに登録された否かについてＨＳＳを確認し、そうでないと、ＭＭＥは、ソフト登録をする。ＭＭＥは、ＳＧＳＮによって伝送されたＣＫ及びＩＫを用いてキーを生成させる。ＭＭＥは、ＭＭＥ又はＡＡＡサーバ内に配置され、又はＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置することができる論理的なインターワーキングユニットを用いてＵＭＴＳパラメータをＳＡＥ固有のパラメータに変換する。インターワーキングユニットの機能は、一つのアクセスシステムのＲＡＮ及びＣＮコンテナ/プロトコル/パラメータを他のものに変換する。
【００８７】
ステップ７で、ＭＭＥは、ＦＲＥＳＨを生成し、ＲＡＮ保護のためのＥＮＢキー、選択されたＵＩＡ及びＵＥＡ、ＦＲＥＳＨ、ＳＴＡＲＴ、ＫＳＩ、及びその他のパラメータを含むセキュリティコンテキストをＥＮＢ-ＩＤを用いてＥＮＢに分配する。
【００８８】
ステップ８で、ＭＭＥは、ＨＯ承認をＳＧＳＮに伝送する。ＨＯ承認メッセージは、選択されたＵＥＡ及びＵＩＡ、選択的にＦＲＥＳＨを含む。
ＳＧＳＮは、ステップ９で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージを通じてＵＥに伝送する。
ＳＡＥネットワークへのハンドオーバーのためにＳＧＳＮからＨＯ命令を受信した後に、ＵＥは、ステップ１０で、最新ＣＫ及びＩＫを用いてＳＡＥシステムに固有のキーを生成し、ＲＡＮ保護を始める。
【００８９】
ＵＥは、ステップ１１で、ＥＮＢとＬ２接続を始める。ＵＥは、選択的にＲＲＣメッセージの保護を始める。ＥＮＢへの初期メッセージの間に、ＵＥは、ＳＴＡＲＴ値を伝達し、生成されたＳＡＥ固有のキー、選択的にＦＲＥＳＨ及びＳＴＡＲＴ値を用いてＭＡＣ-ＩＲＡＮを計算する。すると、ＥＮＢは、ＳＴＡＲＴ値と共にステップ８で受信されたセキュリティコンテキストを用いてＭＡＣ-ＩＲＡＮを検証する。
【００９０】
ＵＥは、ステップ１２で、初期Ｌ３メッセージをＭＭＥ/ＵＰＥに伝送する。初期Ｌ３メッセージは、ユーザー識別、ＳＴＡＲＴ値及びＭＡＣ-ＩＮＡＳを含む。このＭＡＣ-ＩＮＡＳは、生成されたＳＡＥ固有のキー、及び選択的にＦＲＥＳＨ及びＳＴＡＲＴ値を用いて計算される。
【００９１】
ＭＭＥ/ＵＰＥは、ステップ１３で、生成されたキー、受信されたＳＴＡＲＴ、及び選択的にＦＲＥＳＨ値を用いてＭＡＣ-Ｉを検証する。
ＭＭＥ/ＵＰＥは、ステップ１４で、初期Ｌ３メッセージ応答を伝送する。ＭＭＥは、初期Ｌ３メッセージ応答を通じてＭＡＣ-ＩＮＡＳを計算する。
【００９２】
ＵＭＴＳからＳＡＥシステムへの順方向ハンドオーバー：
ＴＡＵ手順又は初期ＮＡＳメッセージの間に、ＵＥは、以前アクセスシステムの詳細を伝送し、コアネットワークは以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索することができる。
【００９３】
図９は、本発明によるＳＡＥからＵＭＴＳシステムへの逆方向ハンドオーバーを示す。
図９を参照すると、ＵＥは、ステップ１で、ＥＮＢ/ＭＭＥに周期的又はイベントベースの測定値を伝送する。
【００９４】
測定レポートに基づいて、ＥＮＢ/ＭＭＥは、ステップ２で、ＵＥに他のＲＡＴのスキャニングを始めるように要求し、あるいはＥＮＢ/ＭＭＥが隣接ＲＡＴまたはそのサービス領域に利用可能な特定ＲＡＴをスキャンするようにＵＥに要求することができる。または、Ｌ２又はその他の手段によって、ＵＥは、ＥＵＴＲＡＮが持続できないと決定し、他のＲＡＴのスキャニングを始める。
【００９５】
ＵＥは、ステップ３で、ＲＡＩ、支援されるＵＩＡ及びＵＥＡ、ＫＳＩ及びＳＴＡＲＴ値及びセルＩＤを含むＵＭＴＳ測定レポートをＥＮＢ/ＭＭＥに伝送する。
すると、ＳＧＳＮは、ステップ４で、ＵＥをＵＭＴＳネットワークにハンドオーバーすることを決定する。ＲＡＩを用いて、ＭＭＥは、ＳＧＳＮアドレスを知るようになり、Ｓ３又はＳ４インターフェースを利用し、あるいはＨＳＳに接続し、もしくは公知の方式を通じてＳＧＳＭに接続する。
【００９６】
ＭＭＥは、ステップ５で、ＳＧＳＮにＨＯ要求メッセージを伝送する。ＨＯ要求メッセージは、セキュリティコンテキスト、以前ＲＡＴタイプ、非使用ＡＶ、最新ＣＫ及びＩＫ、及び選択的にセルＩＤ、ＳＴＡＲＴ値、ＫＳＩ及びその他のパラメータを含む。ＭＭＥは、ＭＭＥ又はＳＧＳＮ内に配置され、あるいは別途のネットワークエンティティとして配置され、又はＳＡＥ又はＵＭＴＳシステムのネットワークエンティティ内に同時に配置されることができる論理的なインターワーキングユニットを用いてＳＡＥパラメータをＵＭＴＳ固有のパラメータに変換する。インターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮ及びＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換する。
【００９７】
このＳＧＳＮは、ステップ６で、ＳＧＳＮがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでないと、ソフト登録を遂行する。
【００９８】
ステップ７で、ＳＧＳＮは、ＦＲＥＳＨを生成し、セルＩＤを用いて、保護のためのキー、選択されたＵＩＡ及びＵＥＡ、ＦＲＥＳＨ、ＳＴＡＲＴ、ＫＳＩ及びその他のパラメータを含むセキュリティコンテキストをＲＮＣに伝送する。ＲＮＣは、受信されたパラメータを格納する。
【００９９】
ＳＧＳＮは、ステップ８で、ＨＯ承認をＭＭＥに伝送する。ＨＯ承認メッセージは、選択されたＵＥＡ及びＵＩＡ、及び選択的にＦＲＥＳＨを含む。
ＭＭＥは、ステップ９で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージを通じてＵＥに伝達する。
【０１００】
ＵＭＴＳネットワークへのハンドオーバーのためにＭＭＥからＨＯ命令を受信した後に、ＵＥは、ステップ１０で、ＵＭＴＳネットワークに対する最新ＣＫ及びＩＫを利用して選択的にＲＡＮ保護を始める。
ＵＥは、ステップ１１で、ＲＮＣとＬ２接続を始める。ＵＥは選択的にＲＲＣメッセージを保護し始める。ＲＮＣへの初期メッセージの間に、ＵＥは、ＳＴＡＲＴ値を伝送する。
【０１０１】
ステップ１２で、ＵＥは、初期Ｌ３メッセージをＳＧＳＮに伝送する。初期Ｌ３メッセージは、ユーザー識別、ＳＴＡＲＴ値、ＫＳＩ及びＭＡＣ-Ｉを含む。
ＲＮＣは、ステップ１３で、ＭＡＣ-Ｉを検証し、ステップ１４でＳＧＳＮへ伝送する。
【０１０２】
ＳＡＥからＵＭＴＳシステムへの順方向ハンドオーバー：
ＲＡＵ手順又は最初のＮＡＳメッセージの間に、ＵＥは、最後/以前アクセスシステムの詳細を伝送し、コアネットワークが以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索することができる。
【０１０３】
図１０は、本発明によるＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２アクセス)を示す。
図１０を参照すると、ＵＥは、ステップ１で、周期的又はイベントベースの測定値をＵＴＲＡＮネットワークに伝送する。
【０１０４】
ＲＮＣ/ＳＧＳＮは、ＵＥ測定値がしきい値以下であることが分かり、あるいはＳＧＳＮが如何なる方式でもＥＵＴＲＡＮを持続できないと判断すると、ステップ２で、他のＲＡＴをスキャニングし始めるようにＵＥに要求するか、隣接ＲＡＴ又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするようにＵＥに要求することができる。また、Ｌ２又はその他の手段によって、ＵＥは、ＵＴＲＡＮが持続できないと判断し、他のＲＡＴのスキャニングを開始する。
【０１０５】
ＵＥは、ステップ３で、他のパラメータと共にＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＧＳＮに伝送する。すると、ＳＧＳＮは、Ｉ-ＷＬＡＮネットワークにＵＥをハンドオーバーするように決定する。
【０１０６】
ＮＡＩを用いて、ＳＧＳＮは、ステップ４で、Ｉ-ＷＬＡＮ ＡＡＡサーバＩＰアドレスを分析して論理的なインターワーキングユニットを通じてＡＡＡサーバに接続する。この論理的なインターワーキングユニットは、ＳＧＳＮ又はＡＡＡサーバ内に配置するか、別途のネットワークエンティティとして配置する。あるいは、ＵＭＴＳシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置することができる。インターワーキングユニットの機能は、第１のアクセスシステムのＲＡＮとＣＮコンテナ/プロトコル/パラメータを第２のアクセスシステムに変換するものである。
【０１０７】
ＳＧＳＮは、ステップ５で、インターワーキングユニットを通じてＨＯ要求をＡＡＡサーバに伝送する。ＨＯ要求は、ＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他パラメータを含む。
【０１０８】
ＡＡＡは、他のＡＡＡがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合には、ＡＡＡがステップ６でソフト登録を遂行する。ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）及びＴｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ）を生成する。ＡＡＡサーバは、生成されたＴＥＫを用いてＴｅｍｐ ＩＤを保護(暗号化)してＵＥに伝送する。
【０１０９】
ステップ７で、ＡＡＡサーバは、インターワーキングユニットを通じてＨＯ承認をＳＧＳＮに伝送する。ＨＯ承認メッセージは、保護されたＴｅｍｐ ＩＤ及びシナリオ２及びシナリオ３認証が要求されたか否かの表示を含む。
ＳＧＳＮは、ステップ８で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージとしてＵＥに伝送する。
【０１１０】
Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＵＭＴＳシステムからＨＯ命令を受信した後に、ＵＥは、ステップ９で、最新ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成し、保護されたＴｅｍｐ ＩＤ(匿名ＩＤ又は速い再認証ＩＤ)を解読する。
【０１１１】
ＵＥは、ステップ１０で、Ｉ-ＷＬＡＮ ＡＳとＬ２接続を始める。
Ｉ-ＷＬＡＮシステムが認証を要求すると、ＷＬＡＮ-ＡＮは、ステップ１１ａ．１で認証手順を開始する。
【０１１２】
すると、ＵＥは、ステップ１１ａ．２で、ＨＯ命令を通じて受信された場合にＴｅｍｐ ＩＤ(速い再認証ＩＤ)を伝送する。ＵＥは、Ｉ-ＷＬＡＮ ＡＮを通じて、Ｔｅｍｐ ＩＤ(匿名ＩＤ又は速い再認証ＩＤ)及びＥＡＰ応答識別メッセージのインテグリティの保護を含むＥＡＰ応答識別をＡＡＡサーバに伝送する。
【０１１３】
ＡＡＡサーバがＴｅｍｐ ＩＤと共にＥＡＰ応答識別メッセージを受信すると、ＡＡＡは、ＵＥがＨＯ準備を遂行したことを知るようになる。ＡＡＡサーバは、ステップ１１ａ．３で、インテグリティの保護及びＴｅｍｐ ＩＤを検証する。したがって、ＡＡＡは、ＵＥを認証する。ＡＡＡサーバは、選択的に、ＡＡＡサーバが保護された成功的結果表示を使用するように以前に要求された場合、ＥＡＰ成功メッセージより以前に、ＭＡＣ保護されたメッセージＥＡＰ要求/ＡＫＡ通知を送信することができる。ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ要求/ＡＫＡ通知メッセージと一緒にＵＥに伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達する。ＵＥは、ＥＡＰ応答/ＡＫＡ通知を伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝送し、ＡＡＡサーバはこれらメッセージの内容を無視する。
【０１１４】
ＡＡＡサーバは、ステップ１１ａ．４で、ＥＡＰ成功メッセージをＷＬＡＮ ＡＮに伝送する。一部エキストラキーイング要素がＷＬＡＮ技術固有の機密性及び/又はインテグリティの保護のために生成されると、ＡＡＡサーバは、このキーイング要素を基本ＡＡＡプロトコルメッセージ(すなわち、ＥＡＰレベルでない)に含める。Ｉ-ＷＬＡＮ ＡＮは、認証されたＷＬＡＮ-ＵＥとの通信に使用されるキーイング要素を格納する。ＡＡＡサーバが保護された成功的な結果表示を使用していないと、ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送する。
【０１１５】
Ｉ-ＷＬＡＮ ＡＮは、ステップ１１ａ．５で、成功的な認証に関してＥＡＰ成功メッセージでＷＬＡＮ-ＵＥに知らせる。このとき、ＥＡＰ ＡＫＡ交換が成功的に完了し、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮ ＡＮはこの交換中に生成されたキーイング要素を共有する。
【０１１６】
または、ステップ１１ｂで、ＵＥは、Ｉ-ＷＬＡＮネットワークと共に速い再認証手順を開始する。ＵＥが速い再認証ＩＤを受信しないと、ＵＥは、全体認証手順を開始するために匿名ＩＤを伝送する。
【０１１７】
図１１は、本発明によるＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２及びシナリオ３アクセス)を示す。
図１１を参照すると、ＵＥは、ステップ１で、周期的又はイベントベースの測定値をＥＵＴＲＡＮネットワークに伝送する。
【０１１８】
ＲＮＣ/ＳＧＳＮは、ＵＥ測定値がしきい値以下であることが分かり、あるいはＳＧＳＮが如何なる方式でもＥＵＴＲＡＮを持続できないと判断すると、他のＲＡＴをスキャニングし始めるようにＵＥに要求するか、隣接ＲＡＴ又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするようにＵＥに要求することができる。また、Ｌ２又はその他の手段によって、ＵＥは、ＵＴＲＡＮが持続できないと判断し、他のＲＡＴのスキャニングを開始する。
【０１１９】
ＵＥは、ステップ３で、他のパラメータと共にＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＧＳＮに伝送する。すると、ＳＧＳＮは、Ｉ-ＷＬＡＮネットワークにＵＥをハンドオーバーするように決定する。
【０１２０】
ＮＡＩを用いて、ＳＧＳＮは、ステップ４で、Ｉ-ＷＬＡＮ ＡＡＡサーバＩＰアドレスを分析して論理的なインターワーキングユニットを通じてＡＡＡサーバに接続する。この論理的なインターワーキングユニットは、ＳＧＳＮ又はＡＡＡサーバ内に配置するか、別途のネットワークエンティティに配置するか、ＵＭＴＳシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置することができる。インターワーキングユニットの機能は、一つのアクセスシステムのＲＡＮとＣＮコンテナ/プロトコル/パラメータを他のアクセスシステムに変換するものである。
【０１２１】
ＳＧＳＮは、ステップ５で、インターワーキングユニットを通じてＨＯ要求をＡＡＡサーバに伝送する。ＨＯ要求は、ＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他パラメータを含む。
【０１２２】
ＡＡＡは、他のＡＡＡがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合には、ＡＡＡがソフト登録を遂行する。ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成する。また、ＡＡＡサーバは、Ｔｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ）を生成し、この生成されたＴＥＫを用いてＴｅｍｐ ＩＤを保護(暗号化)してＵＥに伝送する。
【０１２３】
ＡＡＡサーバは、ステップ７で、インターワーキングユニットを通じてＨＯ承認をＳＧＳＮに伝送する。ＨＯ承認メッセージは、保護されたＴｅｍｐ ＩＤ及びシナリオ２及びシナリオ３認証が要求されたか否かの表示を含む。また、ＡＡＡサーバは、シナリオ２及びシナリオ３を連続して遂行するＵＥに対して支援される最適化手順をＨＯ承認内に含む。
【０１２４】
ＳＧＳＮは、ステップ８で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージとしてＵＥに伝送する。
Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＵＭＴＳシステムからＨＯ命令を受信した後、ＵＥは、ステップ９で、最新ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成し、保護されたＴｅｍｐ ＩＤを解読する。
【０１２５】
ＵＥは、ステップ１０で、Ｉ-ＷＬＡＮ ＡＳとＬ２接続を始める。
Ｉ-ＷＬＡＮシステムが認証を要求すると、ＷＬＡＮ-ＡＮは、ステップ１１ａ．１で認証手順を開始する。
【０１２６】
すると、ＵＥは、ステップ１１ａ．２で、ＨＯ命令を通じて受信される場合にＴｅｍｐ ＩＤ(速い再認証ＩＤ)を伝送する。ＵＥは、Ｉ-ＷＬＡＮ ＡＮを通じて、Ｔｅｍｐ ＩＤ(匿名ＩＤ又は速い再認証ＩＤ)及びＥＡＰ応答識別メッセージのインテグリティの保護を含むＥＡＰ応答識別をＡＡＡサーバに伝送する。
【０１２７】
ＡＡＡサーバがＴｅｍｐ ＩＤと共にＥＡＰ応答識別メッセージを受信すると、ＡＡＡは、ＵＥがＨＯ準備を遂行したことを知るようになる。ＡＡＡサーバは、ステップ１１ａ．３で、インテグリティの保護及びＴｅｍｐ ＩＤを検証する。したがって、ＡＡＡは、ＵＥを認証する。選択的に、ＡＡＡサーバが保護された成功的結果表示を使用するように以前に要求された場合、ＥＡＰ成功メッセージより以前に、ＭＡＣ保護されたメッセージＥＡＰ要求/ＡＫＡ通知を送信することができる。ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ要求/ＡＫＡ通知メッセージと一緒にＵＥに伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達する。ＵＥは、ＥＡＰ応答/ＡＫＡ通知を伝送する。ＷＬＡＮ ＡＮは、ＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝送し、ＡＡＡサーバはこれらメッセージの内容を無視する。
【０１２８】
ＡＡＡサーバは、ステップ１１ａ．４で、ＥＡＰ成功メッセージをＷＬＡＮ ＡＮに伝送する。一部エキストラキーイング要素がＷＬＡＮ技術固有の機密性及び/又はインテグリティの保護のために生成されると、ＡＡＡサーバは、このキーイング要素を基本ＡＡＡプロトコルメッセージ(すなわち、ＥＡＰレベルでない)に含める。Ｉ-ＷＬＡＮ ＡＮは、認証されたＷＬＡＮ-ＵＥとの通信に使用されるキーイング要素を格納する。ＡＡＡサーバが保護された成功的な結果表示を使用していないと、ＡＡＡサーバは、新たなＴｅｍｐ ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送する。
【０１２９】
Ｉ-ＷＬＡＮ ＡＮは、ステップ１１ａ．５で、成功的な認証に関してＥＡＰ成功メッセージでＷＬＡＮ-ＵＥに知らせる。このとき、ＥＡＰ ＡＫＡ交換が成功的に完了し、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮ ＡＮはこの交換中に生成されたキーイング要素を共有する。
【０１３０】
また、ステップ１１ｂで、ＵＥは、Ｉ-ＷＬＡＮネットワークと共に速い再認証手順を開始する。ＵＥが速い再認証ＩＤを受信しないと、ＵＥは、全体認証手順を開始するために匿名ＩＤを伝送する。
【０１３１】
成功的なシナリオ２認証手順後に、ＵＥは、ステップ１２ａで、ＨＯ命令にＡＡＡサーバによってリストされたシナリオ３に対する最適化した認証手順を開始する。ＵＥは、ＥＭＳＫ基盤の最適化手順を用いてシナリオ３認証手順を開始することができる。
また、ＵＥは、ステップ１２ｂで、シナリオ３認証手順に対する速い再認証手順を開始することができる。
【０１３２】
図１２は、本発明によるＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ３アクセス)を示す。
図１２を参照すると、ＵＥは、ステップ１で、周期的又はイベントベースの測定値をＵＴＲＡＮネットワークに伝送する。
【０１３３】
ＲＮＣ/ＳＧＳＮは、ＵＥ測定値がしきい値以下であることが分かり、あるいはＳＧＳＮが如何なる方式でもＥＵＴＲＡＮを持続できないと判断すると、ステップ２で、他のＲＡＴをスキャニングし始めるようにＵＥに要求するか、隣接ＲＡＴ又はそのサービス領域内で利用可能な特定のＲＡＴをスキャンするようにＵＥに要求することができる。また、Ｌ２又はその他の手段によって、ＵＥは、ＵＴＲＡＮが持続できないと判断し、他のＲＡＴのスキャニングを開始する。
【０１３４】
ＵＥは、ステップ３で、他のパラメータと共にＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＧＳＮに伝送する。すると、ＳＧＳＮは、Ｉ-ＷＬＡＮネットワークにＵＥをハンドオーバーするように決定する。
【０１３５】
ＮＡＩを用いて、ＳＧＳＮは、ステップ４で、Ｉ-ＷＬＡＮ ＡＡＡサーバＩＰアドレスを分析して論理的なインターワーキングユニットを通じてＡＡＡサーバに接続する。この論理的なインターワーキングユニットは、ＳＧＳＮ又はＡＡＡサーバ内に配置されるか、別途のネットワークエンティティに配置されるか、ＵＭＴＳシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティ内に同時に配置されることができる。インターワーキングユニットの機能は、一つのアクセスシステムのＲＡＮとＣＮコンテナ/プロトコル/パラメータを他のアクセスシステムに変換するものである。
【０１３６】
ＳＧＳＮは、ステップ５で、インターワーキングユニットを通じてＨＯ要求をＡＡＡサーバに伝送する。ＨＯ要求は、ＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他のパラメータを含む。
【０１３７】
ＡＡＡは、ステップ６で、他のＡＡＡがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合、ソフト登録を遂行する。ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成する(generate/derive)。また、ＡＡＡサーバは、Ｔｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ）を生成し、この生成されたＴＥＫを用いてＴｅｍｐ ＩＤを保護(暗号化)してＵＥに伝送する。
【０１３８】
ＡＡＡサーバは、ステップ７で、インターワーキングユニットを通じてＨＯ承認をＳＧＳＮに伝送する。ＨＯ承認メッセージは、保護されたＴｅｍｐ ＩＤ(匿名ＩＤ及び速い再認証ＩＤ）及びシナリオ２及びシナリオ３認証が要求されたか否かの表示を含む。また、ＡＡＡサーバは、シナリオ２及びシナリオ３を連続して遂行するＵＥに対して支援される最適化手順をＨＯ承認内に含む。
【０１３９】
ＳＧＳＮは、ステップ８で、ＨＯ承認メッセージを通じて受信されたパラメータをＨＯ命令メッセージとしてＵＥに伝送する。
Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＵＭＴＳシステムからＨＯ命令を受信した後、ＵＥは、ステップ９で、最新ＣＫ及びＩＫを用いてキー(ＭＳＫ、ＴＥＫ及びＥＭＳＫ）を生成し、保護されたＴｅｍｐ(匿名ＩＤ及び速い再認証ＩＤ)ＩＤを解読する。
【０１４０】
ＵＥは、ステップ１０で、Ｉ-ＷＬＡＮ ＡＳとＬ２接続を始める。
Ｉ-ＷＬＡＮ ＡＮとの成功的な接続後に、ＵＥは、ステップ１１ａで、ＨＯ命令にＡＡＡサーバによってリストされたシナリオ３に対する最適化した認証手順を開始する。ＵＥは、ＥＭＳＫ基盤の最適化手順を用いてシナリオ３認証手順を開始することができる。
ＵＥは、ステップ１１ｂで、選択的にシナリオ３認証手順に対する速い再認証手順を開始することができる。
【０１４１】
ＳＡＥシステムからＩ-ＷＬＡＮ ＡＳへの順方向ハンドオーバー：
認証手順中に、ＵＥは、以前アクセスシステムの詳細を伝送し、それによってコアネットワークがセキュリティコンテキストとバッファリングされたパケットを以前のアクセスシステムから検索することができる。最近のアクセスシステムの詳細は、ＥＡＰＯＬ ＩＤ応答メッセージ内に伝送されることができる。
【０１４２】
シナリオ２認証手順中に、ＵＥとネットワークがＣＫ及びＩＫを用いてキーを生成すると、コアネットワークは、Ｔｅｍｐ ＩＤを生成してＵＥに伝達する。ＵＥは、シナリオ３アクセスのための速い再認証手順を始めることができる。
【０１４３】
ＵＥは、最後に成功的に受信されたパケットのシーケンス番号をＩ-ＷＬＡＮネットワークに伝送する。Ｉ-ＷＬＡＮネットワークは、このシーケンス番号をコアネットワークに伝達することができる。すると、コアネットワークは、ＵＥによって最後に成功的に受信されたシーケンス番号以後のパケットを伝達し始める。
【０１４４】
I-ＷＬＡＮからＵＭＴＳアクセスシステムへの逆方向ハンドオーバー：
ＵＥ及びネットワークは、最新ＣＫ及びＩＫを選択的に使用することができる。このＵＥは、ＡＫＡ認証なしにＲＲＣ接続手順とＳＭＣ手順を始める。
また、ＳＭＣ手順は、ＨＯ準備段階で遂行されることができる。
ＨＯ命令で、ネットワークは、支援されるアルゴリズムを伝送し、ＵＥはアルゴリズムを選択して初期メッセージ保護を始める。
【０１４５】
Ｉ-ＷＬＡＮからＵＭＴＳアクセスシステムへの順方向ハンドオーバー：
ＲＡＵ手順中に、ＵＥは、ＲＡＵメッセージを通じて以前アクセスシステムの詳細を伝送し、コアネットワークは以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索することができる。
【０１４６】
ＳＡＥシステムのためのキー生成−図１３に示すような代案１：
図１３に示すように、９ＡＶは、ＵＥとＨＳＳで生成される。関数ｆ６，ｆ７，ｆ８，ｆ９は、ＬＴＥ/ＳＡＥシステムのための新たなキー派生関数である。ＨＳＳは、ＭＭＥがｎ個の９ＡＶを要求すると、ＬＴＥ/ＳＡＥ可能なＵＥの通信を認証して確保するために上記ＡＶをＭＭＥに伝送する。
【０１４７】
ＬＴＥ/ＳＡＥから他のＲＡＴへのセキュリティコンテキスト伝送は、次の＜数式１＞又は＜数式２＞のように示される。
【０１４８】
【数１】
【０１４９】
又は、
【０１５０】
【数２】
【０１５１】
ここで、ＣＫは暗号キー(Cypher Key)を表し、ＩＫはインテグリティキー(Integrity Key)又はＨＳＳからのＡＶのキーを表す。
他のＲＡＴらからＬＴＥ/ＳＡＥへのセキュリティコンテキスト伝送は、＜数式３＞のように示される。
【０１５２】
【数３】
【０１５３】
ここで、ＣＫは暗号キーを表し、ＩＫはインテグリティキーを表す。
上記のキーは、ＵＥとＭＭＥで派生される。
ＭＭＥとＵＰＥが結合されると、関数Ｆ８とＦ９は提供されず、ＣＫＮＡＳとＩＫＮＡＳは、ＮＡＳ信号保護及びユーザープレーン(plane)保護のために利用される。
ＬＴＥ/ＳＡＥから他のＲＡＴへのセキュリティコンテキスト伝送は、＜数式４＞のように示される。
【０１５４】
【数４】
【０１５５】
ここで、ＣＫとＩＫは事前に識別されている。
他のＲＡＴからＬＴＥ/ＳＡＥへのセキュリティコンテキスト伝送は、次の＜数式５＞のようである。
【０１５６】
【数５】
【０１５７】
ここで、ｐｒｆは疑似ランダム関数(pseudo random function）を表し、ＣＫ、ＩＫ、及びＵＥは事前に識別されている。
【０１５８】
ＳＡＥシステムのためのキー派生−代案２：
この代案において、ＬＴＥ/ＳＡＥシステムは、図１４に示すようにＵＭＴＳ ＡＶを利用し、次に示される＜数式６＞のように他のキーを派生する。
【０１５９】
【数６】
【０１６０】
すべてのＭＭＥに対して共通のＣＫＮＡＳとＩＫＮＡＳが、すべてのＵＰＥ(User Plane Entity）に対して共通のＣＫＵＰとＩＫＵＰが、及びすべてのＥＮＢに対して共通のＣＫＲＡＮとＩＫＲＡＮがある。
ＭＭＥとＵＰＥが結合された場合、関数Ｆ８とＦ９は提供されていないし、ＣＫＮＡＳとＩＫＮＡＳはＮＡＳ信号保護及びユーザープレーン保護のために利用される。
【０１６１】
【数７】
【０１６２】
ここで、これらパラメータの各々は、事前に識別されている。
ＵＥの識別は、ＥＡＰ-ＡＫＡが利用される場合にはＮＡＩフォーマットであり、ＵＭＴＳ-ＡＫＡ基盤認証が遂行される場合にはＩＭＳＩ又はＴＭＳＩである。
また、ＵＥの識別は、サービングノード識別と関連されることができる。
同一のオペレータドメイン内のすべてのＭＭＥに対して共通のＣＫＮＡＳとＩＫＮＡＳとすべてのＥＮＢに対して共通のＣＫＲＡＮとＩＫＲＡＮがある。
【０１６３】
ＳＡＥシステムのためのキー派生 −代案３
この代案で、ＬＴＥ/ＳＡＥシステムは、図１４に示すようにＵＭＴＳ ＡＶを利用し、数式８〜１３に示すように他のキーを派生する。
【０１６４】
【数８】
【０１６５】
【数９】
【０１６６】
【数１０】
【０１６７】
【数１１】
【０１６８】
【数１２】
【０１６９】
【数１３】
【０１７０】
上記の数式において、ｐｒｆは疑似ランダム関数を、ＵＥはユーザー端末(User Equipment)を、ＩＤは識別子(Identifier)を、ＭＭＥは移動管理エンティティ(Mobility Management Entity)を、それぞれ表す。
固有キーは、ネットワークエンティティに対して派生される。
【０１７１】
その他の制御方法及び装置が、上記の説明及び添付の図面に示すような本発明の多様な方法及び装置の組み合わせから派生されることができ、これらが本発明の範囲内にあることは当業者には自明なことである。アプリケーションを格納するためのホストは、マイクロチップ、マイクロプロセッサー、携帯用通信装置(handheld communication device)、コンピュータ、レンダリング(rendering)装置又は多機能装置を含むが、これに限定されないことに留意すべきである。
【０１７２】
以上、本発明の詳細な説明においては具体的な実施形態に関して説明したが、特許請求の範囲を逸脱することなく、様々な変更が可能であることは、当該技術分野における通常の知識を持つ者には明らかである。したがって、本発明の範囲は、前述の実施形態に限定されるものではなく、特許請求の範囲の記載及びこれと均等なものに基づいて定められるべきである。
【図面の簡単な説明】
【０１７３】
【図１】進化したシステムに対する従来の論理的上位階層構造を示す図である。
【図２】従来のＩ-ＷＬＡＮシステム構成及びネットワーク要素を示す図である。
【図３】本発明によるＳＡＥからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２アクセス)のためのメッセージフローを示す図である。
【図４】本発明によるＳＡＥからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ2及びシナリオ3アクセス)のためのメッセージフローを示す図である。
【図５】本発明によるＳＡＥからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ３アクセス)のためのメッセージフローを示す図である。
【図６】本発明によるＩ-ＷＬＡＮからＬＴＥへの逆方向ハンドオーバー(代案１)のためのメッセージフローを示す図である。
【図７】本発明によるＩ-ＷＬＡＮからＬＴＥへの逆方向ハンドオーバー(代案２)のためのメッセージフローを示す図である。
【図８】本発明によるＵＭＴＳシステムからＬＴＥシステムへの逆方向ハンドオーバーのためのメッセージフローを示す図である。
【図９】本発明によるＬＴＥシステムからＵＭＴＳシステムへの逆方向ハンドオーバーのためのメッセージフローを示す図である。
【図１０】本発明によるＵＭＴＳシステムからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２アクセス)のためのメッセージフローを示す図である。
【図１１】本発明によるＵＭＴＳシステムからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ２及びシナリオ３アクセス)のためのメッセージフローを示す図である。
【図１２】本発明によるＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの逆方向ハンドオーバー(シナリオ３アクセス)のためのメッセージフローを示す図である。
【図１３】本発明による進化したシステムのためのキー派生(代案１）を示す図である。
【図１４】本発明による進化したシステムのためのキー派生(代案１）を示す図である。
【符号の説明】
【０１７４】
1，2a，2b，3，4，5，6，7，8，9，10，11，11a.1，11a.2，11a.3，11a.4，11a.5，11b，12，12a，12b，13，14，15，16，17；ステップ
【特許請求の範囲】
【請求項１】
異種ネットワークにおけるアクセスシステム間のハンドオーバー時に認証手順を最適化する方法であって、
新たなシステムにアクセスするための新たなキーを派生するステップと、
既存システムから新たなシステムへのハンドオーバー時に既存システムアクセスキーを用いて認証手順を最適化するステップと、
ハンドオーバー準備時に新たなシステムにアクセスし、ＵＥが前記新たなシステムで速い再認証を遂行可能にするための臨時ＩＤ(Identification)を前記ＵＥによって受信するステップと、
を有することを特徴とする方法。
【請求項２】
認証手順の最適化は、
Ｉ-ＷＬＡＮ(Integrated Wireless Local Area Network access system)からＳＡＥ(System Architecture Evolution access system)への順方向ハンドオーバー及びＳＡＥからＩ-ＷＬＡＮへの逆方向ハンドオーバーと、
ＵＭＴＳ(Universal Mobile Telecommunication System)からＳＡＥへの順方向ハンドオーバー及びＳＡＥからＵＭＴＳへの逆方向ハンドオーバーと、
Ｉ-ＷＬＡＮからＵＭＴＳへの順方向ハンドオーバー及びＵＭＴＳからＩ-ＷＬＡＮへの逆方向ハンドオーバーのうち、少なくとも一つからのＵＥハンドオーバーに関連していることを特徴とする請求項１に記載の方法。
【請求項３】
ＳＡＥアクセスシステムからＩ-ＷＬＡＮへの前記逆方向ハンドオーバーは、
前記ＵＥによって、周期的又はイベントベースの測定値をＥＵＴＲＡＮ(Enhanced UMTS Terrestrial Radio Access Network）に伝送するステップと、
ＥＮＢ(Evolving Node B)/ＭＭＥ(Mobility Management Entity)によって、伝送されたＵＥ測定値がしきい値以下であると判断し、あるいはＭＭＥによってＥＵＴＲＡＮが持続できないと判断するステップと、
前記ＥＮＢ/ＭＭＥによって、他のＲＡＴ(Radio Access Technology)又はＵＥのサービス領域内で利用可能なＲＡＴをスキャンするようにＵＥに要求し、あるいはＵＥによってＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮ ＩＤとＮＡＩ(Network Access Identifier)を含むＩ-ＷＬＡＮ測定レポートを他のパラメータと共にＳＡＥシステムに伝送し、ＥＮＢ/ＭＭＥ又はＥＮＢ/ＭＭＥと論理インターワーキングユニットによって、ＵＥをＩ-ＷＬＡＮネットワークにハンドオーバーするように決定するステップと、
前記ＭＭＥによって、Ｉ-ＷＬＡＮのＡＡＡ(Authentication，Authorization，and Accounting)サーバＩＰアドレスを分析するためにＮＡＩを利用し、論理インターワーキングユニットを通じてＡＡＡサーバに接続し、前記論理インターワーキングユニットはＭＭＥ、ＡＡＡサーバ、又はＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されたステップと、
前記ＭＭＥによって、前記インターワーキングユニットを通じてハンドオーバー要求をＡＡＡサーバに伝送し、前記ハンドオーバー要求はＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ(Authentication Vector)、最新ＣＫ(Cypher Key)及びＩＫ(Integrity Key)とその他パラメータを含むステップと、
前記ＡＡＡサーバによって、他のＡＡＡが登録されたか否かを判定するようにＨＳＳ(Home Subscription Server)を確認し、そうでない場合には、ＡＡＡサーバによってソフト登録を遂行し、ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ、及びＥＭＳＫキーを生成し、匿名(pseudonym)ＩＤ及び速い再認証ＩＤを含む臨時ＩＤを生成し、前記ＴＥＫを用いて臨時ＩＤを保護してＵＥに伝送するステップと、
前記ＡＡＡサーバによって、インターワーキングユニットを通じてハンドオーバー承認メッセージをＭＭＥに伝送し、前記ハンドオーバー承認メッセージは保護された臨時ＩＤと認証が要求されるか否かを示す表示を含むステップと、
前記ＭＭＥによって、前記受信されたパラメータを含むハンドオーバー命令メッセージをハンドオーバー承認メッセージを通じてＵＥに伝送するステップと、
ＵＥによって、Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＳＡＥシステムからハンドオーバー命令を受信した後に、前記ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ及びＥＭＳＫキーを生成し、保護された臨時ＩＤを解読するステップと、
ＵＥによって、Ｉ-ＷＬＡＮとのＬ２(Layer2)接続(attachment)を開始するステップと、
を有することを特徴とする請求項２に記載の方法。
【請求項４】
Ｉ-ＷＬＡＮシステムが認証を要求すると、Ｉ-ＷＬＡＮによって認証手順を開始するステップと、
ＵＥがハンドオーバー命令を受信すると、前記ＵＥによって速い再認証臨時ＩＤを伝送するステップと、
前記ＵＥによって、臨時匿名ＩＤ、臨時速い再認証ＩＤ、及びＥＡＰ(Extensible Authentication Protocol)応答識別メッセージのインテグリティの保護のうちの一つと共にＥＡＰ応答識別メッセージをＩ-ＷＬＡＮを通じてＡＡＡサーバに伝送するステップと、
ＡＡＡサーバによって、臨時ＩＤと一緒にＥＡＰ応答識別メッセージを受信し、インテグリティの保護及び臨時ＩＤを検証することによって、ＡＡＡがＵＥを認証するステップと、
前記ＡＡＡサーバによって、保護された成功的な結果表示を利用することを以前に要求した場合、ＥＡＰ成功メッセージを伝送する前にＥＡＰ要求/ＡＫＡ通知メッセージを伝送し、前記ＥＡＰ要求/ＡＫＡ通知メッセージはＭＡＣ(Medium Access Control)保護され、前記ＡＡＡサーバは新たな臨時ＩＤと前記ＥＡＰ要求/ＡＫＡ通知メッセージを生成してＵＥに伝送するステップと、
Ｉ-ＷＬＡＮによって、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達し、ＵＥはＥＡＰ応答/ＡＫＡ通知を伝送してＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝達し、ＡＡＡサーバは前記メッセージの内容を考慮しないステップと、
ＡＡＡサーバによって、ＥＡＰ成功メッセージをＩ-ＷＬＡＮに伝送し、Ｉ-ＷＬＡＮに対して付加キーイング要素が生成された場合、Ｉ-ＷＬＡＮは認証されたＷＬＡＮ-ＵＥとの通信に利用されるキーイング要素を格納するステップと、
ＡＡＡサーバが保護された成功的な結果表示を利用しないと、新たな臨時ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送するステップと、
Ｉ-ＷＬＡＮによって、ＥＡＰ成功メッセージを通じてＷＬＡＮ-ＵＥに成功的な認証について知らせ、ＥＡＰ ＡＫＡ交換が成功的に完了され、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮはＥＡＰ ＡＫＡ交換中に派生されたキーイング要素を共有するステップと、
ＵＥによって、Ｉ-ＷＬＡＮネットワークと一緒に速い再認証手順を開始し、ＵＥが速い再認証ＩＤを受信しないと、ＵＥが全体認証手順を開始するために匿名ＩＤを伝送するステップと、
をさらに有することを特徴とする請求項３に記載の方法。
【請求項５】
ＳＡＥアクセスシステムからＩ-ＷＬＡＮへの前記逆方向ハンドオーバーは、
前記ＵＥによって、周期的又はイベントベースの測定値をＥＵＴＲＡＮに伝送するステップと、
前記ＥＮＢ/ＭＭＥによって、伝送されたＵＥ測定値がしきい値以下であると判断し、あるいはＭＭＥによってＥＵＴＲＡＮが持続できないと判断するステップと、
前記ＥＮＢ/ＭＭＥによって、他のＲＡＴ又はＵＥのサービス領域内で利用可能なＲＡＴをスキャンするようにＵＥに要求し、あるいはＵＥによってＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、少なくともＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＡＥシステムに伝送し、前記ＥＮＢ/ＭＭＥによってＵＥをＩ-ＷＬＡＮネットワークにハンドオーバーするように決定するステップと、
前記ＭＭＥによって、Ｉ-ＷＬＡＮのＡＡＡサーバＩＰアドレスを分析するためにＮＡＩを利用し、論理インターワーキングユニットを通じてＡＡＡサーバに接続し、前記論理インターワーキングユニットはＭＭＥ、ＡＡＡサーバ、又はＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されたステップと、
前記ＭＭＥによって、インターワーキングユニットを通じてハンドオーバー要求をＡＡＡサーバに伝送し、前記ハンドオーバー要求はＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他パラメータを含むステップと、
前記ＡＡＡサーバによって、他のＡＡＡが登録されたか否かを判定するようにＨＳＳを確認し、そうでない場合には、ＡＡＡサーバによってソフト登録を遂行し、ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ、及びＥＭＳＫキーを生成し、匿名ＩＤ及び速い再認証ＩＤを含む臨時ＩＤを生成し、前記ＴＥＫを用いて臨時ＩＤを保護してＵＥに伝送するステップと、
前記ＡＡＡサーバによって、インターワーキングユニットを通じてハンドオーバー承認メッセージをＭＭＥに伝送し、前記ハンドオーバー承認メッセージは保護された臨時ＩＤと認証が要求されるか否かを示す表示を含むステップと、
前記ＭＭＥによって、前記受信されたパラメータを含むハンドオーバー命令メッセージをハンドオーバー承認メッセージを通じてＵＥに伝送するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＳＡＥシステムからハンドオーバー命令を受信した後に、前記ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ及びＥＭＳＫキーを生成し、保護された臨時ＩＤを解読するステップと、
前記ＵＥによってＩ-ＷＬＡＮとのＬ２接続を開始するステップと、
を有することを特徴とする請求項１に記載の方法。
【請求項６】
Ｉ-ＷＬＡＮシステムが認証を要求すると、Ｉ-ＷＬＡＮによって認証手順を開始するステップと、
前記ＵＥがハンドオーバー命令を受信すると、前記ＵＥによって速い再認証臨時ＩＤを伝送するステップと、
前記ＵＥによって、臨時匿名ＩＤ、臨時速い再認証ＩＤ、及びＥＡＰ(Extensible Authentication Protocol)応答識別メッセージのインテグリティの保護のうちの一つと共にＥＡＰ応答識別メッセージを前記Ｉ-ＷＬＡＮを通じてＡＡＡサーバに伝送するステップと、
前記ＡＡＡサーバによって、臨時ＩＤと一緒にＥＡＰ応答識別メッセージを受信し、インテグリティの保護及び臨時ＩＤを検証することによって、前記ＡＡＡがＵＥを認証するステップと、
前記ＡＡＡサーバによって、保護された成功的な結果表示を利用することを事前に要求した場合、ＥＡＰ成功メッセージを伝送する前にメッセージＥＡＰ要求/ＡＫＡ通知メッセージを伝送し、前記ＥＡＰ要求/ＡＫＡ通知メッセージはＭＡＣ保護され、前記ＡＡＡサーバは新たな臨時ＩＤと前記ＥＡＰ要求/ＡＫＡ通知メッセージを生成してＵＥに伝送するステップと、
前記Ｉ-ＷＬＡＮによって、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達し、ＵＥはＥＡＰ応答/ＡＫＡ通知を伝送してＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝達し、ＡＡＡサーバは前記メッセージの内容を考慮しないステップと、
前記ＡＡＡサーバによって、ＥＡＰ成功メッセージをＩ-ＷＬＡＮに伝送し、Ｉ-ＷＬＡＮに対して付加キーイング要素が生成された場合、Ｉ-ＷＬＡＮは認証されたＷＬＡＮ-ＵＥとの通信に利用されるキーイング要素を格納するステップと、
前記ＡＡＡサーバが保護された成功的な結果表示を利用しないと、前記ＡＡＡサーバによって新たな臨時ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送するステップと、
前記Ｉ-ＷＬＡＮによって、ＥＡＰ成功メッセージを通じてＷＬＡＮ-ＵＥに成功的な認証について知らせ、ＥＡＰ ＡＫＡ交換が成功的に完了され、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮはＥＡＰ ＡＫＡ交換中に派生されたキーイング要素を共有するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークと一緒に速い再認証手順を開始し、ＵＥが速い再認証ＩＤを受信しないと、ＵＥが全体認証手順を開始するために匿名ＩＤを伝送するステップと、
前記ＵＥによって、成功的な認証手順以後にＨＯ命令にＡＡＡサーバによってリストされた最適化した認証手順を開始し、ＵＥはＥＭＳＫ(Extended Master Session Key)基盤の最適化手順を用いて前記最適化した認証手順を開始するステップと、をさらに有し、
前記ＵＥは、前記最適化した認証手順のための速い再認証手順を選択的に(alternatively)開始することを特徴とする請求項５に記載の方法。
【請求項７】
Ｉ-ＷＬＡＮとの成功的な接続後に、前記ＵＥによって、ＨＯ命令にＡＡＡサーバによってリストされた最適化認証手順を開始し、前記ＵＥは、ＥＭＳＫ(Extended Master Session Key)基盤の最適化手順を用いて前記最適化した認証手順を開始するするステップをさらに有し、
前記ＵＥは、前記最適化した認証手順のための速い再認証手順を選択的に開始することを特徴とする請求項５に記載の方法。
【請求項８】
ＳＡＥからＩ-ＷＬＡＮ ＡＳへの順方向ハンドオーバーは、
認証手順の間に、前記ＵＥが現在以前のアクセスシステムである既存のアクセスシステムの詳細を伝送し、コアネットワークによってセキュリティコンテキストとバッファリングされたコンテキストを以前アクセスシステムから検索し、以前アクセスシステムの詳細はＥＡＰＯＬ ＩＤ応答メッセージ内で伝送されるステップと、
認証手順の間に、前記ＵＥとネットワークによってＣＫとＩＫを用いて複数のキーを派生させ、コアネットワークは臨時ＩＤを生成して前記ＵＥに伝送し、ＵＥは速い再認証手順を始めるステップと、
前記ＵＥによって、最も最近に成功的に受信されたパケットシーケンス番号をＩ-ＷＬＡＮネットワークに伝送し、Ｉ-ＷＬＡＮネットワークは前記パケットをコアネットワークに伝送し、コアネットワークは前記ＵＥによって最後に成功的に受信されたシーケンス番号以後のパケットを伝送し始めるステップと、
を有することを特徴とする請求項２に記載の方法。
【請求項９】
Ｉ-ＷＬＡＮからＳＡＥシステムへの逆方向ハンドオーバーは、
前記ＵＥによって、ＭＭＥ、ＡＡＡサーバ、及びＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されるか、または個別に配置された論理的な決定及びインターワーキングユニットに周期的或いはイベントベースの測定値を伝送するステップと、
前記論理的な決定及びインターワーキングユニットはＵＥ測定値がしきい値以下であり、あるいはＩ-ＷＬＡＮが持続できないことを知るようになると、前記論理的な決定及びインターワーキングユニットによって、他のＲＡＴをスキャニングし始めることをＵＥに要求し、あるいはＥＮＢ/ＭＭＥによって、ＵＥにそれのサービス領域内で利用可能な特定ＲＡＴをスキャンすることを要求し、またはＵＥによってＩ-ＷＬＡＮが持続できないと判断して他のＲＡＴのスキャニングを始めるステップと、
前記ＵＥによって、ＴＡＩ、選択されたＵＩＡ及びＵＥＡ、ＥＮＢ-ＩＤ及びＳＴＡＲＴ値を含むＳＡＥ測定レポートをＡＡＡサーバを通じて論理的な決定及びインターワーキングユニットに伝送するステップと、
前記論理的な決定及びインターワーキングユニットは、ＵＥをＳＡＥネットワークにハンドオーバーするように決定し、前記決定をＡＡＡサーバに知らせるステップと、
前記ＴＡＩを用いて、ＡＡＡサーバがＨＳＳに接続してＭＭＥアドレスを知るようになるステップと、
前記ＡＡＡサーバによって、ハンドオーバー要求メッセージをＭＭＥ/ＵＰＥ(User Plane Entity）に伝送し、前記ハンドオーバー要求メッセージは少なくとも以前ＲＡＴタイプ、非使用ＡＶ、最も最新のＣＫ及びＩＫ、及びＥＮＢ-ＩＤを含むステップと、
前記ＭＭＥによって、他のＡＡＡが登録されたか否かについてＨＳＳを確認し、そうでない場合には、ソフト登録を遂行してキーを生成するステップと、
前記ＭＭＥによって、インタワーキングユニットを通じてＡＡＡサーバにハンドオーバー承認メッセージを伝送し、前記ＭＭＥは選択されたＵＥＡ及びＵＩＡ、ＦＲＥＳＨを含み、最後のＲＡＮ保護を開始するかを決定するステップと、
前記ＡＡＡサーバによって、ハンドオーバー承認メッセージを通じて受信されたパラメータをハンドオーバー命令メッセージを通じてＵＥに伝送するステップと、
前記ＳＡＥネットワークへのハンドオーバーのためにＡＡＡサーバからハンドオーバー命令を受信した後に、ＵＥによって、最も最新のＣＫ及びＩＫを用いてＳＡＥシステムに固有のキーを派生するステップと、
前記ＵＥが何らの保護なしにＥＮＢとのＬ２接続を始めるステップと、
前記ＵＥによって、初期Ｌ３メッセージをＭＭＥ/ＵＰＥに伝送し、前記初期Ｌ３メッセージはユーザー識別、ＳＴＡＲＴ値及びＭＡＣ-ＩＮＡＳを含んでＭＡＣ-ＩＮＡＳは派生したＳＡＥ固有のキー、及びＦＲＥＳＨ及びＳＴＡＲＴ値を用いて計算されるステップと、
前記ＭＭＥ/ＵＰＥによって派生されたキー、受信されたＳＴＡＲＴ及びＦＲＥＳＨ値を用いてＭＡＣ-Ｉを検証するステップと、
前記ＭＭＥ/ＵＰＥによってＥＮＢ、ＳＴＡＲＴ、ＦＲＥＳＨ及びＵＥＡ及びＵＩＡに対するキーを含む初期Ｌ３メッセージ応答を伝送し、ＭＭＥがＥＮＢ、ＳＴＡＲＴ、選択的にはＦＲＥＳＨ及びＵＥＡ及びＵＩＡに対するキーを除いた初期Ｌ３メッセージが応答を通じてＭＡＣ-ＩＮＡＳを計算するステップと、
前記ＭＭＥによって、初期Ｌ３メッセージが応答を受信してＳＴＡＲＴ、ＦＲＥＳＨ及びＵＥＡ及びＵＩＡに対するキーを格納するステップと、
前記ＥＮＢによって、初期Ｌ３メッセージが応答をＵＥに伝送し、ＲＡＮセキュリティ(ＭＡＣ-ＩＲＡＮ)を始めるステップと、
前記ＵＥによって、ＭＡＣ-ＩＮＡＳとＭＡＣ-ＩＲＡＮを検証するステップと、
を有することを特徴とする請求項２に記載の方法。
【請求項１０】
Ｉ-ＷＬＡＮからＳＡＥシステムへの逆方向ハンドオーバー(代案２)は、
前記ＵＥによって、ＭＭＥ、ＡＡＡサーバ、及びＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されるか、または個別に配置された論理的な決定及びインターワーキングユニットに周期的或いはイベントベースの測定値を伝送するステップと、
前記論理的な決定及びインターワーキングユニットはＵＥ測定値がしきい値以下であるか、あるいはＩ-ＷＬＡＮが持続できないことを知るようになると、前記論理的な決定及びインターワーキングユニットによって、ＵＥに他のＲＡＴをスキャニングし始めることを要求し、あるいはＥＮＢ/ＭＭＥによって、ＵＥにそれのサービス領域内で利用可能な特定ＲＡＴをスキャンすることを要求し、またはＵＥがＩ-ＷＬＡＮが持続できないと判断して他のＲＡＴのスキャニングを始めるステップと、
前記ＵＥによって、ＴＡＩ、選択されたＵＩＡ及びＵＥＡ、ＥＮＢ-ＩＤ及びＳＴＡＲＴ値を含むＳＡＥ測定レポートをＡＡＡサーバを通じて論理的な決定及びインターワーキングユニットに伝送するステップと、
前記論理的な決定及びインターワーキングユニットは、ＵＥをＳＡＥネットワークにハンドオーバーするように決定し、前記決定をＡＡＡサーバに知らせるステップと、
前記ＴＡＩを用いて、ＡＡＡサーバがＨＳＳに接続してＭＭＥアドレスを知るようになるステップと、
前記ＡＡＡサーバによって、ハンドオーバー要求メッセージをＭＭＥ/ＵＰＥに伝送し、前記ハンドオーバー要求メッセージは少なくとも以前ＲＡＴタイプ、非使用ＡＶ、最も最新のＣＫ及びＩＫ、及びＥＮＢ-ＩＤを含むステップと、
前記ＭＭＥによって、他のＡＡＡが登録されたか否かについてＨＳＳを確認し、そうでない場合には、ソフト登録を遂行し、ＡＡＡサーバによって伝送されたＣＫとＩＫを用いてキーを生成するステップと、
前記ＭＭＥによって、ＦＲＥＳＨを生成し、ＥＮＢ-ＩＤを用いてＥＮＢにセキュリティコンテキストを分配するステップと、
前記ＭＭＥによって、インタワーキングユニットを通じてＡＡＡサーバにハンドオーバー承認メッセージを伝送し、前記ハンドオーバー承認メッセージは、前記選択されたＵＥＡ及びＵＩＡ、ＦＲＥＳＨとＲＡＮ保護の開始のための表示を含むステップと、
前記ＡＡＡサーバがハンドオーバー承認メッセージを通じて受信された前記パラメータをハンドオーバー命令メッセージを通じてＵＥに伝送するステップと、
前記ＵＥによって、最も最新のＣＫ及びＩＫを用いてＳＡＥシステムに固有のキーを決定し、ＵＥをＳＡＥネットワークにハンドオーバーするようにＡＡＡサーバからハンドオーバー命令を受信した後、ＲＡＮ保護を始めるステップと、
前記ＵＥによって、ＥＮＢとのＬ２接続を始め、ＲＲＣメッセージを保護し、ＥＮＢへの初期メッセージで、ＵＥはＳＴＡＲＴ値を伝送し、派生されたＳＡＥ固有のキー、ＦＲＥＳＨ及びＳＴＡＲＴ値を用いてＭＡＣ-ＩＲＡＮを計算し、ＥＮＢがＭＡＣ-ＩＲＡＮを検証するステップ、
前記ＵＥが初期Ｌ３メッセージをＭＭＥ/ＵＰＥに伝送し、前記初期Ｌ３メッセージはユーザー識別、ＳＴＡＲＴ値及びＭＡＣ-ＩＮＡＳを含み、ＭＡＣ-ＩＮＡＳは派生したＳＡＥ固有のキー、及びＦＲＥＳＨ及びＳＴＡＲＴ値を用いて計算されるステップと、
前記ＭＭＥ/ＵＰＥによって、派生されたキー、受信されたＳＴＡＲＴ及びＦＲＥＳＨ値を用いてＭＡＣ-Ｉを検証するステップと、
前記ＭＭＥ/ＵＰＥによって、初期Ｌ３メッセージ応答を伝送し、ＭＭＥは、前記初期Ｌ３メッセージ応答を通じてＭＡＣ-ＩＮＡＳを計算するステップと、
をさらに有することを特徴とする請求項２に記載の方法。
【請求項１１】
Ｉ-ＷＬＡＮからＳＡＥシステムへの順方向ハンドオーバーは、
前記ＵＥが現在以前のアクセスシステムである既存のアクセスシステムの詳細をＴＡＵ手順内に伝送し、コアネットワークによってＴＡＵ手順又は初期ＮＡＳメッセージで以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索するステップをさらに有することを特徴とする請求項２に記載の方法。
【請求項１２】
ＵＭＴＳからＳＡＥシステムへの逆方向ハンドオーバーは、
前記ＵＥがＳＧＳＮ(Serving GPRS Support Node)にレポートを通じて周期的またはイベントベースの測定値を伝送するステップと、
前記測定レポートに基づいて、ＳＧＳＮがＵＥに他のＲＡＴをスキャニングし始めることを要求し、ＥＮＢ/ＭＭＥがＵＥに他のＲＡＴ、またはＵＥのサービス領域内で利用可能なＲＡＴをスキャンすることを要求し、あるいはＵＥによってＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、ＴＡＩ、選択されたＵＩＡ及びＵＥＡ、ＳＴＡＲＴ値及びＥＮＢ-ＩＤを含む前記ＳＡＥ測定レポートをＳＧＳＮに伝送するステップと、
前記ＳＧＳＮによって、ＵＥをＳＡＥネットワークにハンドオーバーするように決定し、ＳＧＳＮはＭＭＥアドレスを決定するためにＴＡＩを利用してＳ３又はＳ４インターフェースのうちの少なくとも一つを用いてＭＭＥに接続し、ＨＳＳに接続するステップと、
前記ＳＧＳＮによってＭＭＥ/ＵＰＥにハンドオーバー要求メッセージを伝送し、前記ハンドオーバー要求メッセージは少なくとも、セキュリティコンテキスト、以前ＲＡＴタイプ、非使用ＡＶ、最も最新のＣＫ及びＩＫ、ＥＮＢ-ＩＤ、ＳＴＡＲＴ値及びＫＳＩを含むステップと、
前記ＭＭＥによって、他のＭＭＥがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合に、ＭＭＥはソフト登録を遂行してＳＧＳＮにより伝送されたＣＫ及びＩＫを用いてキーを生成し、ＭＭＥがＵＭＴＳパラメータをＭＭＥ、ＡＡＡサーバ、又はＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティの中の一つに配置された論理インターワーキングユニットを用いてＳＡＥ固有のパラメータに変換するステップと、
前記ＭＭＥによって、少なくてもＲＡＮ保護、選択されたＵＩＡ及びＵＥＡ、ＦＲＥＳＨ、ＳＴＡＲＴ及びＫＳＩに対するＥＮＢキーを含むセキュリティコンテキストをＥＮＢに分配するためにＥＮＢ-ＩＤを用いてＦＲＥＳＨを生成するステップと、
前記ＭＭＥによって、ＳＧＳＮにハンドオーバー承認メッセージを伝送し、前記ハンドオーバー承認メッセージはＵＥＡ、ＵＩＡ及びＦＲＥＳＨを含むステップと、
前記ＳＧＳＮによって、ＨＯ承認メッセージを通じて受信されたパラメータをＵＥにハンドオーバー命令メッセージを通じて伝送するステップと、
ＵＥによって、最も最新のＣＫ及びＩＫを用いてＳＡＥシステムに固有のキーを決定し、ＵＥをＳＡＥネットワークにハンドオーバーするためにＳＧＳＮからハンドオーバー命令を受信した後、ＲＡＮ保護を始めるステップと、
前記ＵＥによって、ＥＮＢとのＬ２接続を始め、ＲＲＣメッセージを保護し、ＥＮＢへの初期メッセージで、ＵＥはＳＴＡＲＴ値を伝送し、派生されたＳＡＥ固有のキー、ＦＲＥＳＨ及びＳＴＡＲＴ値を用いてＭＡＣ-ＩＲＡＮを計算し、ＥＮＢがＳＴＡＲＴ値と共に受信されたセキュリティテキストを用いてＭＡＣ-ＩＲＡＮを検証するステップと、
前記ＵＥによって、初期Ｌ３メッセージをＭＭＥ/ＵＰＥに伝送し、前記初期Ｌ３メッセージはユーザー識別、ＳＴＡＲＴ値、ＫＳＩ及びＭＡＣ-ＩＮＡＳを含み、ＭＡＣ-ＩＮＡＳは派生したＳＡＥ固有のキー、及びＦＲＥＳＨ及びＳＴＡＲＴ値を用いて計算されるステップと、
前記ＭＭＥ/ＵＰＥによって、派生されたキー、受信されたＳＴＡＲＴ及びＦＲＥＳＨ値を用いてＭＡＣ-ＩＮＡＳを検証するステップと、
前記ＭＭＥ/ＵＰＥによって、初期Ｌ３メッセージ応答を伝送し、ＭＭＥは、前記初期Ｌ３メッセージ応答を通じてＭＡＣ-ＩＮＡＳを計算するステップと、
をさらに有することを特徴とする請求項２に記載の方法。
【請求項１３】
ＵＭＴＳからＳＡＥシステムへの順方向ハンドオーバーは、
ＴＡＵ手順又は初期ＮＡＳメッセージの間、ＵＥが現在以前のアクセスシステムである既存のアクセスシステムの詳細を伝送し、コアネットワークは以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索するステップをさらに有することを特徴とする請求項２に記載の方法。
【請求項１４】
ＳＡＥからＵＭＴＳシステムへの逆方向ハンドオーバーは、
前記ＵＥによって、ＥＮＢ/ＭＭＥにレポートを通じて周期的またはイベントベースの測定値を伝送するステップと、
前記ＥＮＢ/ＭＭＥによって、ＵＥに他のＲＡＴ又はＵＥのサービス領域内に利用可能なＲＡＴをスキャニングし始めることを要求するために前記レポートを利用し、あるいは前記ＵＥによって、ＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、ＲＡＩ、支援されるＵＩＡ及びＵＥＡ、ＫＳＩ及びＳＴＡＲＴ値、及びセルＩＤを含むＵＭＴＳ測定レポートをＥＮＢ/ＭＭＥに伝送するステップと、
前記ＳＧＳＮによって、ＵＥをＵＭＴＳネットワークにハンドオーバーするように決定し、ＭＭＥはＲＡＩを用いてＳＧＳＮのアドレスを把握し、Ｓ３又はＳ４インターフェースのうちの一つを利用し、あるいはＨＳＳに接続することによってＳＧＳＮに接続するステップと、
前記ＭＭＥによって、ＳＧＳＮにハンドオーバー要求メッセージを伝送し、前記ハンドオーバー要求メッセージはセキュリティコンテキスト、以前ＲＡＴタイプ、非使用ＡＶ、最も最新のＣＫ及びＩＫ、セルＩＤ、ＳＴＡＲＴ値、ＫＳＩ及び他のパラメータを含み、ＭＭＥはＭＭＥ、ＳＧＳＮ、又はＳＡＥシステム又はＵＭＴＳシステムのネットワークエンティティのうちの一つに配置された、または個別に配置された論理インターワーキングユニットを用いてＳＡＥパラメータをＵＭＴＳ固有のパラメータに変換するステップと、
前記ＳＧＳＮによって、他のＳＧＳＮがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合に、ＳＧＳＮはソフト登録を遂行するステップと、
前記ＳＧＳＮは、ＦＲＥＳＨを生成し、少なくとも保護、選択されたＵＩＡ及びＵＥＡ、ＦＲＥＳＨ、ＳＴＡＲＴ及びＫＳＩに対したキーを含むセキュリティコンテキストをセルＩＤを用いてＲＮＣに分配し、前記ＲＮＣは受信されたパラメータを格納するステップと、
前記ＳＧＳＮによって、ハンドオーバー承認メッセージをＭＭＥに伝送し、前記ハンドオーバー承認メッセージはＵＥＡ、ＵＩＡ及びＦＲＥＳＨを含むステップと、
前記ＭＭＥによって、ハンドオーバー承認メッセージを通じて受信されたパラメータをＵＥにハンドオーバー命令メッセージを通じて伝送するステップと、
ＵＭＴＳネットワークにハンドオーバーするために、ＭＭＥからハンドオーバー命令を受信した後に、ＵＥによってＵＭＴＳネットワークに対して最も最新のＣＫ及びＩＫを利用してＲＡＮ保護を始めるステップと、
前記ＵＥによって、ＲＮＣとのＬ２接続を開始し、ＵＥはＲＲＣメッセージを保護し始め、初期メッセージの間にＳＴＡＲＴ値をＲＮＣに伝達するステップと、
ＵＥによって、ユーザー識別、ＳＴＡＲＴ値、ＫＳＩ及びＭＡＣ-Ｉを含む初期Ｌ３メッセージをＳＧＳＮに伝送するステップと、
ＲＮＣによって、ＭＡＣ-Ｉを検証してＳＧＳＮに伝送するステップと、
をさらに有することを特徴とする請求項２に記載の方法。
【請求項１５】
ＳＡＥからＵＭＴＳシステムへの順方向ハンドオーバーは、
ＲＡＵ手順または1番目のＮＡＳメッセージ中に、ＵＥが現在以前のアクセスシステムである既存のアクセスシステムの詳細を伝送し、現在ネットワークが以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索するステップをさらに有することを特徴とする請求項２に記載の方法。
【請求項１６】
ＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの前記逆方向ハンドオーバーは、
前記ＵＥによって、周期的又はイベントベースの測定値をＥＵＴＲＡＮに伝送するステップと、
前記ＲＮＣ/ＳＧＳＮによって、伝送されたＵＥ測定値がしきい値以下であると判断し、あるいはＳＧＳＮによってＥＵＴＲＡＮが持続できないと判断するステップと、
前記ＥＮＢ/ＭＭＥによって、他のＲＡＴ又はＵＥのサービス領域内で利用可能なＲＡＴをスキャンするようにＵＥに要求し、あるいはＵＥによってＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートを他のパラメータと共にＳＧＳＮシステムに伝送し、ＳＧＳＮによって、ＵＥをＩ-ＷＬＡＮネットワークにハンドオーバーするように決定するステップと、
前記ＳＧＳＮによって、Ｉ-ＷＬＡＮのＡＡＡサーバＩＰアドレスを分析するためにＮＡＩを利用し、論理インターワーキングユニットを通じてＡＡＡサーバに接続し、前記論理インターワーキングユニットはＳＧＳＮ、ＡＡＡサーバ、又はＵＭＴＳシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されたステップと、
前記ＳＧＳＮによって、インターワーキングユニットを通じてハンドオーバー要求をＡＡＡサーバに伝送し、前記ハンドオーバー要求はＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他パラメータを含むステップと、
前記ＡＡＡサーバによって、他のＡＡＡが登録されたか否かを判定するようにＨＳＳを確認し、そうでない場合には、ＡＡＡサーバによってソフト登録を遂行し、ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ、及びＥＭＳＫキーを生成し、匿名ＩＤ及び速い再認証ＩＤを含む臨時ＩＤを生成し、前記ＴＥＫを用いて臨時ＩＤを保護してＵＥに伝送するステップと、
前記ＡＡＡサーバによって、インターワーキングユニットを通じてハンドオーバー承認メッセージをＳＧＳＮに伝送し、前記ハンドオーバー承認メッセージは保護された臨時ＩＤと認証が要求されるか否かを示す表示を含むステップと、
前記ＳＧＳＮによって前記受信されたパラメータを含むハンドオーバー命令メッセージをハンドオーバー承認メッセージを通じてＵＥに伝送するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＵＭＴＳシステムからハンドオーバー命令を受信した後に、前記ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ及びＥＭＳＫキーを生成し、保護された臨時ＩＤを解読するステップと、
前記ＵＥによってＩ-ＷＬＡＮとのＬ２接続を開始するステップと、
を有することを特徴とする請求項２に記載の方法。
【請求項１７】
Ｉ-ＷＬＡＮシステムが認証を要求すると、Ｉ-ＷＬＡＮによって認証手順を開始するステップと、
ＵＥがハンドオーバー命令を受信すると、前記ＵＥによって速い再認証臨時ＩＤを伝送するステップと、
前記ＵＥによって、臨時匿名ＩＤ、臨時速い再認証ＩＤ、及びＥＡＰ応答識別メッセージのインテグリティの保護のうちの一つと共にＥＡＰ応答ＩＤメッセージをＩ-ＷＬＡＮを通じてＡＡＡサーバに伝送するステップと、
ＡＡＡサーバが臨時識別と一緒にＥＡＰ応答識別メッセージを受信すると、ＡＡＡサーバによって、インテグリティの保護及び臨時ＩＤを検証するステップと、
前記ＡＡＡサーバによってＵＥを認証するステップと、
前記ＡＡＡサーバによって、保護された成功的な結果表示を利用することを以前に要求した場合、ＥＡＰ成功メッセージを伝送する前にＥＡＰ要求/ＡＫＡ通知メッセージを伝送し、前記ＥＡＰ要求/ＡＫＡ通知メッセージはＭＡＣ保護されるステップと、
前記ＡＡＡサーバによって、新たな臨時ＩＤとＥＡＰ要求/ＡＫＡ通知メッセージを生成してＵＥに伝送するステップと、
前記Ｉ-ＷＬＡＮによって、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達し、ＵＥはＥＡＰ応答/ＡＫＡ通知を伝送してＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝達し、ＡＡＡサーバは前記メッセージの内容を考慮しないステップと、
前記ＡＡＡサーバによって、ＥＡＰ成功メッセージをＩ-ＷＬＡＮに伝送し、Ｉ-ＷＬＡＮに対して付加キーイング要素が生成された場合、ＡＡＡサーバは基本ＡＡＡプロトコルメッセージに前記キーイング要素を含み、Ｉ-ＷＬＡＮは認証されたＷＬＡＮ-ＵＥとの通信に利用されるキーイング要素を格納するステップと、
前記ＡＡＡサーバが保護された成功的な結果表示を利用しないと、新たな臨時ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送するステップと、
前記Ｉ-ＷＬＡＮによって、ＥＡＰ成功メッセージを通じてＷＬＡＮ-ＵＥに成功的な認証について知らせ、ＥＡＰ ＡＫＡ交換が成功的に完了され、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮはＥＡＰ ＡＫＡ交換中に派生されたキーイング要素を共有するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークと一緒に速い再認証手順を開始し、ＵＥが速い再認証ＩＤを受信しないと、ＵＥが全体認証手順を開始するために匿名ＩＤを伝送するステップと、
をさらに有することを特徴とする請求項１６に記載の方法。
【請求項１８】
ＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの前記逆方向ハンドオーバーは、
前記ＵＥによって、周期的又はイベントベースの測定値をＥＵＴＲＡＮに伝送するステップと、
前記ＲＮＣ/ＳＧＳＮによって、伝送されたＵＥ測定値がしきい値以下であると判断し、あるいはＳＧＳＮによってＥＵＴＲＡＮが持続できないと判断するステップと、
前記ＥＮＢ/ＭＭＥによって、他のＲＡＴ又はＵＥのサービス領域内で利用可能なＲＡＴをスキャンするようにＵＥに要求し、あるいはＵＥによってＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートを他のパラメータと共にＳＧＳＮシステムに伝送し、ＳＧＳＮによって、ＵＥをＩ-ＷＬＡＮネットワークにハンドオーバーするように決定するステップと、
前記ＳＧＳＮによって、Ｉ-ＷＬＡＮのＡＡＡサーバＩＰアドレスを分析するためにＮＡＩを利用し、論理インターワーキングユニットを通じてＡＡＡサーバに接続し、前記論理インターワーキングユニットはＳＧＳＮ、ＡＡＡサーバ、又はＵＭＴＳシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されたステップと、
前記ＳＧＳＮによって、インターワーキングユニットを通じてハンドオーバー要求をＡＡＡサーバに伝送し、前記ハンドオーバー要求はＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他パラメータを含むステップと、
前記ＡＡＡサーバによって、他のＡＡＡが登録されたか否かを判定するようにＨＳＳを確認し、そうでない場合には、ＡＡＡサーバによってソフト登録を遂行し、ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ、及びＥＭＳＫキーを生成し、匿名ＩＤ及び速い再認証ＩＤを含む臨時ＩＤを生成し、前記ＴＥＫを用いて臨時ＩＤを保護してＵＥに伝送するステップと、
前記ＡＡＡサーバによって、インターワーキングユニットを通じてハンドオーバー承認メッセージをＳＧＳＮに伝送し、前記ハンドオーバー承認メッセージは保護された臨時ＩＤと認証が要求されるか否かを示す表示を含み、ＡＡＡサーバはハンドオーバー承認メッセージ内にハンドオーバー手順を継続して遂行するＵＥに対して支援される最適化手順を含むステップと、
前記ＳＧＳＮによって前記受信されたパラメータを含むハンドオーバー命令メッセージをハンドオーバー承認メッセージを通じてＵＥに伝送するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＵＭＴＳシステムからハンドオーバー命令を受信した後に、前記ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ及びＥＭＳＫキーを生成し、保護された臨時ＩＤを解読するステップと、
前記ＵＥによってＩ-ＷＬＡＮとのＬ２接続を開始するステップと、
を有することを特徴とする請求項２に記載の方法。
【請求項１９】
Ｉ-ＷＬＡＮシステムが認証を要求すると、Ｉ-ＷＬＡＮによって認証手順を開始するステップと、
前記Ｔｅｍｐ ＩＤが前記ＵＥによってハンドオーバー命令を受信すると、前記ＵＥによって速い再認証臨時ＩＤを伝送するステップと、
前記ＵＥによって、臨時匿名ＩＤ、臨時速い再認証ＩＤ、及びＥＡＰ応答識別メッセージのインテグリティの保護のうちの一つと共にＥＡＰ応答識別メッセージをＩ-ＷＬＡＮを通じてＡＡＡサーバに伝送するステップと、
ＡＡＡサーバが臨時ＩＤと一緒にＥＡＰ応答識別メッセージを受信すると、ＡＡＡサーバによって、インテグリティの保護及び臨時ＩＤを検証することによって、前記ＡＡＡサーバによってＵＥを認証するステップと、
前記ＡＡＡサーバによって、保護された成功的な結果表示を利用することを以前に要求した場合、ＥＡＰ成功メッセージを伝送する前にメッセージＥＡＰ要求/ＡＫＡ通知メッセージを伝送し、前記ＥＡＰ要求/ＡＫＡ通知メッセージはＭＡＣ保護されるステップと、
前記ＡＡＡサーバによって、新たな臨時ＩＤとＥＡＰ要求/ＡＫＡ通知メッセージを生成してＵＥに伝送するステップと、
前記Ｉ-ＷＬＡＮによって、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達し、ＵＥはＥＡＰ応答/ＡＫＡ通知を伝送してＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝達し、ＡＡＡサーバは前記メッセージの内容を考慮しないステップと、
前記ＡＡＡサーバによって、ＥＡＰ成功メッセージをＩ-ＷＬＡＮに伝送し、Ｉ-ＷＬＡＮに対して付加キーイング要素が生成された場合、ＡＡＡサーバは基本ＡＡＡプロトコルメッセージに前記キーイング要素を含み、Ｉ-ＷＬＡＮは認証されたＷＬＡＮ-ＵＥとの通信に利用されるキーイング要素を格納するステップと、
前記ＡＡＡサーバが保護された成功的な結果表示を利用しないと、新たな臨時ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送するステップと、
前記Ｉ-ＷＬＡＮによって、ＥＡＰ成功メッセージを通じてＷＬＡＮ-ＵＥに成功的な認証について知らせ、ＥＡＰ ＡＫＡ交換が成功的に完了して、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮはＥＡＰ ＡＫＡ交換中に派生されたキーイング要素を共有するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークと一緒に速い再認証手順を開始し、ＵＥが速い再認証ＩＤを受信しないと、ＵＥが全体認証手順を開始するために匿名ＩＤを伝送するステップと、
成功的な認証手順以後に、ＵＥがハンドオーバー命令にＡＡＡサーバによってリストされた最適化した認証手順を開始し、前記ＵＥによって、ＥＭＳＫ基盤の最適化手順を用いて前記最適化した認証手順を開始するステップと、
前記ＵＥによって、前記最適化した認証手順に対する速い再認証手順を選択的に開始するステップと、
をさらに有することを特徴とする請求項１８に記載の方法。
【請求項２０】
ＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの前記逆方向ハンドオーバーは、
前記ＵＥによって、周期的又はイベントベースの測定値をＥＵＴＲＡＮに伝送するステップと、
前記ＲＮＣ/ＳＧＳＮによって、伝送されたＵＥ測定値がしきい値以下であると判断し、あるいはＳＧＳＮによってＥＵＴＲＡＮが持続できないと判断するステップと、
前記ＥＮＢ/ＭＭＥによって、他のＲＡＴ又はＵＥのサービス領域内で利用可能なＲＡＴをスキャンするようにＵＥに要求し、あるいはＵＥによってＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートを他のパラメータと共にＳＧＳＮシステムに伝送し、ＳＧＳＮによって、ＵＥをＩ-ＷＬＡＮネットワークにハンドオーバーするように決定するステップと、
前記ＳＧＳＮによって、Ｉ-ＷＬＡＮのＡＡＡサーバＩＰアドレスを分析するためにＮＡＩを利用し、論理インターワーキングユニットを通じてＡＡＡサーバに接続し、前記論理インターワーキングユニットはＳＧＳＮ、ＡＡＡサーバ、又はＵＭＴＳシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されたステップと、
前記ＳＧＳＮによって、インターワーキングユニットを通じてハンドオーバー要求をＡＡＡサーバに伝送し、前記ハンドオーバー要求はＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他パラメータを含むステップと、
前記ＡＡＡサーバによって、他のＡＡＡが登録されたか否かを判定するようにＨＳＳを確認し、そうでない場合には、ＡＡＡサーバによってソフト登録を遂行し、ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ、及びＥＭＳＫキーを生成し、匿名ＩＤ及び速い再認証ＩＤを含む臨時ＩＤを生成し、前記ＴＥＫを用いて臨時ＩＤを保護してＵＥに伝送するステップと、
前記ＡＡＡサーバによって、インターワーキングユニットを通じてハンドオーバー承認メッセージをＳＧＳＮに伝送し、前記ハンドオーバー承認メッセージは保護された臨時ＩＤと認証が要求されるか否かを示す表示を含むステップと、
前記ＳＧＳＮによって前記受信されたパラメータを含むハンドオーバー命令メッセージをハンドオーバー承認メッセージを通じてＵＥに伝送するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＵＭＴＳシステムからハンドオーバー命令を受信した後に、前記ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ及びＥＭＳＫキーを生成し、保護された臨時ＩＤを解読するステップと、
前記ＵＥによってＩ-ＷＬＡＮとのＬ２接続を開始するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮ ＡＮと成功的な接続以後に、ハンドオーバーの命令内のＡＡＡサーバによってリストされたシナリオのための最適化した認証手順を開始し、ＵＥによって、ＥＭＳＫベースの最適化手順を用いて前記最適化した認証手順を開始するステップと、
前記ＵＥによって、前記最適化した認証手順のための速い再認証手順を選択的に開始するステップと、
をさらに有することを特徴とする請求項２に記載の方法。
【請求項２１】
ＳＡＥシステムからＩ-ＷＬＡＮへの順方向ハンドオーバーは、
認証手順の間に、前記ＵＥが現在以前のアクセスシステムである既存のアクセスシステムの詳細を伝送し、コアネットワークによってセキュリティコンテキストとバッファリングされたコンテキストを以前アクセスシステムから検索し、以前アクセスシステムの詳細はＥＡＰＯＬ ＩＤ応答メッセージ内で伝送されるステップと、
前記コアネットワークによって、臨時ＩＤを生成してＵＥに伝達し、前記ＵＥは、認証手順中に最適化した認証のための速い再認証手順を開始し、ＵＥとネットワークがＣＫ及びＩＫを用いてキーを派生するステップと、
前記ＵＥによって、最も最近に成功的に受信されたパケットシーケンス番号をＩ-ＷＬＡＮネットワークに伝送し、Ｉ-ＷＬＡＮネットワークは前記パケットをコアネットワークに伝送し、コアネットワークは前記ＵＥによって最後に成功的に受信されたシーケンス番号以後のパケットを伝送し始めるステップと、
を含むことを特徴とする請求項２に記載の方法。
【請求項２２】
Ｉ-ＷＬＡＮからＵＭＴＳアクセスシステムへの逆方向ハンドオーバーは、
前記ＵＥとネットワークによって、最も最新のＣＫ及びＩＫを利用し、ＵＥはＡＫＡＡ認証無しにＲＲＣ接続手順とＳＭＣ手順を始めるステップと、
ハンドオーバー準備段階でＳＭＣ手順を選択的に遂行するステップと、
ネットワークによって、支援されるアルゴリズムを伝送し、ＵＥがアルゴリズムを選択して初期メッセージの保護を始めるステップをさらに含むことを特徴とする請求項２に記載の方法。
【請求項２３】
Ｉ-ＷＬＡＮからＵＭＴＳアクセスシステムへの順方向ハンドオーバーは、
ＲＡＵ手順中に、ＵＥがＲＡＵメッセージ内に以前アクセスシステムの詳細を伝送し、コアネットワークが既存及び現在の以前アクセスシステムからセキュリティコンテキスト及びバッファリングされたパケットを検索するステップをさらに含むことを特徴とする請求項２に記載の方法。
【請求項２４】
異種ネットワークにおけるアクセスシステム間のハンドオーバー時に認証手順を最適化するシステムであって、
新たなシステムにアクセスするための新たなキーを派生する手段と、
既存システムから新たなシステムへのハンドオーバー時に、既存システムと共に使用される既存システムアクセスキーを用いて認証手順を最適化する手段と、
ユーザー端末が速い再認証を遂行可能にするハンドオーバー準備時に新たなシステムにアクセスするユーザー端末によって臨時ＩＤを受信する手段と、
を含むことを特徴とするシステム。
【請求項１】
異種ネットワークにおけるアクセスシステム間のハンドオーバー時に認証手順を最適化する方法であって、
新たなシステムにアクセスするための新たなキーを派生するステップと、
既存システムから新たなシステムへのハンドオーバー時に既存システムアクセスキーを用いて認証手順を最適化するステップと、
ハンドオーバー準備時に新たなシステムにアクセスし、ＵＥが前記新たなシステムで速い再認証を遂行可能にするための臨時ＩＤ(Identification)を前記ＵＥによって受信するステップと、
を有することを特徴とする方法。
【請求項２】
認証手順の最適化は、
Ｉ-ＷＬＡＮ(Integrated Wireless Local Area Network access system)からＳＡＥ(System Architecture Evolution access system)への順方向ハンドオーバー及びＳＡＥからＩ-ＷＬＡＮへの逆方向ハンドオーバーと、
ＵＭＴＳ(Universal Mobile Telecommunication System)からＳＡＥへの順方向ハンドオーバー及びＳＡＥからＵＭＴＳへの逆方向ハンドオーバーと、
Ｉ-ＷＬＡＮからＵＭＴＳへの順方向ハンドオーバー及びＵＭＴＳからＩ-ＷＬＡＮへの逆方向ハンドオーバーのうち、少なくとも一つからのＵＥハンドオーバーに関連していることを特徴とする請求項１に記載の方法。
【請求項３】
ＳＡＥアクセスシステムからＩ-ＷＬＡＮへの前記逆方向ハンドオーバーは、
前記ＵＥによって、周期的又はイベントベースの測定値をＥＵＴＲＡＮ(Enhanced UMTS Terrestrial Radio Access Network）に伝送するステップと、
ＥＮＢ(Evolving Node B)/ＭＭＥ(Mobility Management Entity)によって、伝送されたＵＥ測定値がしきい値以下であると判断し、あるいはＭＭＥによってＥＵＴＲＡＮが持続できないと判断するステップと、
前記ＥＮＢ/ＭＭＥによって、他のＲＡＴ(Radio Access Technology)又はＵＥのサービス領域内で利用可能なＲＡＴをスキャンするようにＵＥに要求し、あるいはＵＥによってＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮ ＩＤとＮＡＩ(Network Access Identifier)を含むＩ-ＷＬＡＮ測定レポートを他のパラメータと共にＳＡＥシステムに伝送し、ＥＮＢ/ＭＭＥ又はＥＮＢ/ＭＭＥと論理インターワーキングユニットによって、ＵＥをＩ-ＷＬＡＮネットワークにハンドオーバーするように決定するステップと、
前記ＭＭＥによって、Ｉ-ＷＬＡＮのＡＡＡ(Authentication，Authorization，and Accounting)サーバＩＰアドレスを分析するためにＮＡＩを利用し、論理インターワーキングユニットを通じてＡＡＡサーバに接続し、前記論理インターワーキングユニットはＭＭＥ、ＡＡＡサーバ、又はＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されたステップと、
前記ＭＭＥによって、前記インターワーキングユニットを通じてハンドオーバー要求をＡＡＡサーバに伝送し、前記ハンドオーバー要求はＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ(Authentication Vector)、最新ＣＫ(Cypher Key)及びＩＫ(Integrity Key)とその他パラメータを含むステップと、
前記ＡＡＡサーバによって、他のＡＡＡが登録されたか否かを判定するようにＨＳＳ(Home Subscription Server)を確認し、そうでない場合には、ＡＡＡサーバによってソフト登録を遂行し、ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ、及びＥＭＳＫキーを生成し、匿名(pseudonym)ＩＤ及び速い再認証ＩＤを含む臨時ＩＤを生成し、前記ＴＥＫを用いて臨時ＩＤを保護してＵＥに伝送するステップと、
前記ＡＡＡサーバによって、インターワーキングユニットを通じてハンドオーバー承認メッセージをＭＭＥに伝送し、前記ハンドオーバー承認メッセージは保護された臨時ＩＤと認証が要求されるか否かを示す表示を含むステップと、
前記ＭＭＥによって、前記受信されたパラメータを含むハンドオーバー命令メッセージをハンドオーバー承認メッセージを通じてＵＥに伝送するステップと、
ＵＥによって、Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＳＡＥシステムからハンドオーバー命令を受信した後に、前記ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ及びＥＭＳＫキーを生成し、保護された臨時ＩＤを解読するステップと、
ＵＥによって、Ｉ-ＷＬＡＮとのＬ２(Layer2)接続(attachment)を開始するステップと、
を有することを特徴とする請求項２に記載の方法。
【請求項４】
Ｉ-ＷＬＡＮシステムが認証を要求すると、Ｉ-ＷＬＡＮによって認証手順を開始するステップと、
ＵＥがハンドオーバー命令を受信すると、前記ＵＥによって速い再認証臨時ＩＤを伝送するステップと、
前記ＵＥによって、臨時匿名ＩＤ、臨時速い再認証ＩＤ、及びＥＡＰ(Extensible Authentication Protocol)応答識別メッセージのインテグリティの保護のうちの一つと共にＥＡＰ応答識別メッセージをＩ-ＷＬＡＮを通じてＡＡＡサーバに伝送するステップと、
ＡＡＡサーバによって、臨時ＩＤと一緒にＥＡＰ応答識別メッセージを受信し、インテグリティの保護及び臨時ＩＤを検証することによって、ＡＡＡがＵＥを認証するステップと、
前記ＡＡＡサーバによって、保護された成功的な結果表示を利用することを以前に要求した場合、ＥＡＰ成功メッセージを伝送する前にＥＡＰ要求/ＡＫＡ通知メッセージを伝送し、前記ＥＡＰ要求/ＡＫＡ通知メッセージはＭＡＣ(Medium Access Control)保護され、前記ＡＡＡサーバは新たな臨時ＩＤと前記ＥＡＰ要求/ＡＫＡ通知メッセージを生成してＵＥに伝送するステップと、
Ｉ-ＷＬＡＮによって、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達し、ＵＥはＥＡＰ応答/ＡＫＡ通知を伝送してＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝達し、ＡＡＡサーバは前記メッセージの内容を考慮しないステップと、
ＡＡＡサーバによって、ＥＡＰ成功メッセージをＩ-ＷＬＡＮに伝送し、Ｉ-ＷＬＡＮに対して付加キーイング要素が生成された場合、Ｉ-ＷＬＡＮは認証されたＷＬＡＮ-ＵＥとの通信に利用されるキーイング要素を格納するステップと、
ＡＡＡサーバが保護された成功的な結果表示を利用しないと、新たな臨時ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送するステップと、
Ｉ-ＷＬＡＮによって、ＥＡＰ成功メッセージを通じてＷＬＡＮ-ＵＥに成功的な認証について知らせ、ＥＡＰ ＡＫＡ交換が成功的に完了され、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮはＥＡＰ ＡＫＡ交換中に派生されたキーイング要素を共有するステップと、
ＵＥによって、Ｉ-ＷＬＡＮネットワークと一緒に速い再認証手順を開始し、ＵＥが速い再認証ＩＤを受信しないと、ＵＥが全体認証手順を開始するために匿名ＩＤを伝送するステップと、
をさらに有することを特徴とする請求項３に記載の方法。
【請求項５】
ＳＡＥアクセスシステムからＩ-ＷＬＡＮへの前記逆方向ハンドオーバーは、
前記ＵＥによって、周期的又はイベントベースの測定値をＥＵＴＲＡＮに伝送するステップと、
前記ＥＮＢ/ＭＭＥによって、伝送されたＵＥ測定値がしきい値以下であると判断し、あるいはＭＭＥによってＥＵＴＲＡＮが持続できないと判断するステップと、
前記ＥＮＢ/ＭＭＥによって、他のＲＡＴ又はＵＥのサービス領域内で利用可能なＲＡＴをスキャンするようにＵＥに要求し、あるいはＵＥによってＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、少なくともＩ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートをＳＡＥシステムに伝送し、前記ＥＮＢ/ＭＭＥによってＵＥをＩ-ＷＬＡＮネットワークにハンドオーバーするように決定するステップと、
前記ＭＭＥによって、Ｉ-ＷＬＡＮのＡＡＡサーバＩＰアドレスを分析するためにＮＡＩを利用し、論理インターワーキングユニットを通じてＡＡＡサーバに接続し、前記論理インターワーキングユニットはＭＭＥ、ＡＡＡサーバ、又はＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されたステップと、
前記ＭＭＥによって、インターワーキングユニットを通じてハンドオーバー要求をＡＡＡサーバに伝送し、前記ハンドオーバー要求はＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他パラメータを含むステップと、
前記ＡＡＡサーバによって、他のＡＡＡが登録されたか否かを判定するようにＨＳＳを確認し、そうでない場合には、ＡＡＡサーバによってソフト登録を遂行し、ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ、及びＥＭＳＫキーを生成し、匿名ＩＤ及び速い再認証ＩＤを含む臨時ＩＤを生成し、前記ＴＥＫを用いて臨時ＩＤを保護してＵＥに伝送するステップと、
前記ＡＡＡサーバによって、インターワーキングユニットを通じてハンドオーバー承認メッセージをＭＭＥに伝送し、前記ハンドオーバー承認メッセージは保護された臨時ＩＤと認証が要求されるか否かを示す表示を含むステップと、
前記ＭＭＥによって、前記受信されたパラメータを含むハンドオーバー命令メッセージをハンドオーバー承認メッセージを通じてＵＥに伝送するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＳＡＥシステムからハンドオーバー命令を受信した後に、前記ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ及びＥＭＳＫキーを生成し、保護された臨時ＩＤを解読するステップと、
前記ＵＥによってＩ-ＷＬＡＮとのＬ２接続を開始するステップと、
を有することを特徴とする請求項１に記載の方法。
【請求項６】
Ｉ-ＷＬＡＮシステムが認証を要求すると、Ｉ-ＷＬＡＮによって認証手順を開始するステップと、
前記ＵＥがハンドオーバー命令を受信すると、前記ＵＥによって速い再認証臨時ＩＤを伝送するステップと、
前記ＵＥによって、臨時匿名ＩＤ、臨時速い再認証ＩＤ、及びＥＡＰ(Extensible Authentication Protocol)応答識別メッセージのインテグリティの保護のうちの一つと共にＥＡＰ応答識別メッセージを前記Ｉ-ＷＬＡＮを通じてＡＡＡサーバに伝送するステップと、
前記ＡＡＡサーバによって、臨時ＩＤと一緒にＥＡＰ応答識別メッセージを受信し、インテグリティの保護及び臨時ＩＤを検証することによって、前記ＡＡＡがＵＥを認証するステップと、
前記ＡＡＡサーバによって、保護された成功的な結果表示を利用することを事前に要求した場合、ＥＡＰ成功メッセージを伝送する前にメッセージＥＡＰ要求/ＡＫＡ通知メッセージを伝送し、前記ＥＡＰ要求/ＡＫＡ通知メッセージはＭＡＣ保護され、前記ＡＡＡサーバは新たな臨時ＩＤと前記ＥＡＰ要求/ＡＫＡ通知メッセージを生成してＵＥに伝送するステップと、
前記Ｉ-ＷＬＡＮによって、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達し、ＵＥはＥＡＰ応答/ＡＫＡ通知を伝送してＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝達し、ＡＡＡサーバは前記メッセージの内容を考慮しないステップと、
前記ＡＡＡサーバによって、ＥＡＰ成功メッセージをＩ-ＷＬＡＮに伝送し、Ｉ-ＷＬＡＮに対して付加キーイング要素が生成された場合、Ｉ-ＷＬＡＮは認証されたＷＬＡＮ-ＵＥとの通信に利用されるキーイング要素を格納するステップと、
前記ＡＡＡサーバが保護された成功的な結果表示を利用しないと、前記ＡＡＡサーバによって新たな臨時ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送するステップと、
前記Ｉ-ＷＬＡＮによって、ＥＡＰ成功メッセージを通じてＷＬＡＮ-ＵＥに成功的な認証について知らせ、ＥＡＰ ＡＫＡ交換が成功的に完了され、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮはＥＡＰ ＡＫＡ交換中に派生されたキーイング要素を共有するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークと一緒に速い再認証手順を開始し、ＵＥが速い再認証ＩＤを受信しないと、ＵＥが全体認証手順を開始するために匿名ＩＤを伝送するステップと、
前記ＵＥによって、成功的な認証手順以後にＨＯ命令にＡＡＡサーバによってリストされた最適化した認証手順を開始し、ＵＥはＥＭＳＫ(Extended Master Session Key)基盤の最適化手順を用いて前記最適化した認証手順を開始するステップと、をさらに有し、
前記ＵＥは、前記最適化した認証手順のための速い再認証手順を選択的に(alternatively)開始することを特徴とする請求項５に記載の方法。
【請求項７】
Ｉ-ＷＬＡＮとの成功的な接続後に、前記ＵＥによって、ＨＯ命令にＡＡＡサーバによってリストされた最適化認証手順を開始し、前記ＵＥは、ＥＭＳＫ(Extended Master Session Key)基盤の最適化手順を用いて前記最適化した認証手順を開始するするステップをさらに有し、
前記ＵＥは、前記最適化した認証手順のための速い再認証手順を選択的に開始することを特徴とする請求項５に記載の方法。
【請求項８】
ＳＡＥからＩ-ＷＬＡＮ ＡＳへの順方向ハンドオーバーは、
認証手順の間に、前記ＵＥが現在以前のアクセスシステムである既存のアクセスシステムの詳細を伝送し、コアネットワークによってセキュリティコンテキストとバッファリングされたコンテキストを以前アクセスシステムから検索し、以前アクセスシステムの詳細はＥＡＰＯＬ ＩＤ応答メッセージ内で伝送されるステップと、
認証手順の間に、前記ＵＥとネットワークによってＣＫとＩＫを用いて複数のキーを派生させ、コアネットワークは臨時ＩＤを生成して前記ＵＥに伝送し、ＵＥは速い再認証手順を始めるステップと、
前記ＵＥによって、最も最近に成功的に受信されたパケットシーケンス番号をＩ-ＷＬＡＮネットワークに伝送し、Ｉ-ＷＬＡＮネットワークは前記パケットをコアネットワークに伝送し、コアネットワークは前記ＵＥによって最後に成功的に受信されたシーケンス番号以後のパケットを伝送し始めるステップと、
を有することを特徴とする請求項２に記載の方法。
【請求項９】
Ｉ-ＷＬＡＮからＳＡＥシステムへの逆方向ハンドオーバーは、
前記ＵＥによって、ＭＭＥ、ＡＡＡサーバ、及びＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されるか、または個別に配置された論理的な決定及びインターワーキングユニットに周期的或いはイベントベースの測定値を伝送するステップと、
前記論理的な決定及びインターワーキングユニットはＵＥ測定値がしきい値以下であり、あるいはＩ-ＷＬＡＮが持続できないことを知るようになると、前記論理的な決定及びインターワーキングユニットによって、他のＲＡＴをスキャニングし始めることをＵＥに要求し、あるいはＥＮＢ/ＭＭＥによって、ＵＥにそれのサービス領域内で利用可能な特定ＲＡＴをスキャンすることを要求し、またはＵＥによってＩ-ＷＬＡＮが持続できないと判断して他のＲＡＴのスキャニングを始めるステップと、
前記ＵＥによって、ＴＡＩ、選択されたＵＩＡ及びＵＥＡ、ＥＮＢ-ＩＤ及びＳＴＡＲＴ値を含むＳＡＥ測定レポートをＡＡＡサーバを通じて論理的な決定及びインターワーキングユニットに伝送するステップと、
前記論理的な決定及びインターワーキングユニットは、ＵＥをＳＡＥネットワークにハンドオーバーするように決定し、前記決定をＡＡＡサーバに知らせるステップと、
前記ＴＡＩを用いて、ＡＡＡサーバがＨＳＳに接続してＭＭＥアドレスを知るようになるステップと、
前記ＡＡＡサーバによって、ハンドオーバー要求メッセージをＭＭＥ/ＵＰＥ(User Plane Entity）に伝送し、前記ハンドオーバー要求メッセージは少なくとも以前ＲＡＴタイプ、非使用ＡＶ、最も最新のＣＫ及びＩＫ、及びＥＮＢ-ＩＤを含むステップと、
前記ＭＭＥによって、他のＡＡＡが登録されたか否かについてＨＳＳを確認し、そうでない場合には、ソフト登録を遂行してキーを生成するステップと、
前記ＭＭＥによって、インタワーキングユニットを通じてＡＡＡサーバにハンドオーバー承認メッセージを伝送し、前記ＭＭＥは選択されたＵＥＡ及びＵＩＡ、ＦＲＥＳＨを含み、最後のＲＡＮ保護を開始するかを決定するステップと、
前記ＡＡＡサーバによって、ハンドオーバー承認メッセージを通じて受信されたパラメータをハンドオーバー命令メッセージを通じてＵＥに伝送するステップと、
前記ＳＡＥネットワークへのハンドオーバーのためにＡＡＡサーバからハンドオーバー命令を受信した後に、ＵＥによって、最も最新のＣＫ及びＩＫを用いてＳＡＥシステムに固有のキーを派生するステップと、
前記ＵＥが何らの保護なしにＥＮＢとのＬ２接続を始めるステップと、
前記ＵＥによって、初期Ｌ３メッセージをＭＭＥ/ＵＰＥに伝送し、前記初期Ｌ３メッセージはユーザー識別、ＳＴＡＲＴ値及びＭＡＣ-ＩＮＡＳを含んでＭＡＣ-ＩＮＡＳは派生したＳＡＥ固有のキー、及びＦＲＥＳＨ及びＳＴＡＲＴ値を用いて計算されるステップと、
前記ＭＭＥ/ＵＰＥによって派生されたキー、受信されたＳＴＡＲＴ及びＦＲＥＳＨ値を用いてＭＡＣ-Ｉを検証するステップと、
前記ＭＭＥ/ＵＰＥによってＥＮＢ、ＳＴＡＲＴ、ＦＲＥＳＨ及びＵＥＡ及びＵＩＡに対するキーを含む初期Ｌ３メッセージ応答を伝送し、ＭＭＥがＥＮＢ、ＳＴＡＲＴ、選択的にはＦＲＥＳＨ及びＵＥＡ及びＵＩＡに対するキーを除いた初期Ｌ３メッセージが応答を通じてＭＡＣ-ＩＮＡＳを計算するステップと、
前記ＭＭＥによって、初期Ｌ３メッセージが応答を受信してＳＴＡＲＴ、ＦＲＥＳＨ及びＵＥＡ及びＵＩＡに対するキーを格納するステップと、
前記ＥＮＢによって、初期Ｌ３メッセージが応答をＵＥに伝送し、ＲＡＮセキュリティ(ＭＡＣ-ＩＲＡＮ)を始めるステップと、
前記ＵＥによって、ＭＡＣ-ＩＮＡＳとＭＡＣ-ＩＲＡＮを検証するステップと、
を有することを特徴とする請求項２に記載の方法。
【請求項１０】
Ｉ-ＷＬＡＮからＳＡＥシステムへの逆方向ハンドオーバー(代案２)は、
前記ＵＥによって、ＭＭＥ、ＡＡＡサーバ、及びＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されるか、または個別に配置された論理的な決定及びインターワーキングユニットに周期的或いはイベントベースの測定値を伝送するステップと、
前記論理的な決定及びインターワーキングユニットはＵＥ測定値がしきい値以下であるか、あるいはＩ-ＷＬＡＮが持続できないことを知るようになると、前記論理的な決定及びインターワーキングユニットによって、ＵＥに他のＲＡＴをスキャニングし始めることを要求し、あるいはＥＮＢ/ＭＭＥによって、ＵＥにそれのサービス領域内で利用可能な特定ＲＡＴをスキャンすることを要求し、またはＵＥがＩ-ＷＬＡＮが持続できないと判断して他のＲＡＴのスキャニングを始めるステップと、
前記ＵＥによって、ＴＡＩ、選択されたＵＩＡ及びＵＥＡ、ＥＮＢ-ＩＤ及びＳＴＡＲＴ値を含むＳＡＥ測定レポートをＡＡＡサーバを通じて論理的な決定及びインターワーキングユニットに伝送するステップと、
前記論理的な決定及びインターワーキングユニットは、ＵＥをＳＡＥネットワークにハンドオーバーするように決定し、前記決定をＡＡＡサーバに知らせるステップと、
前記ＴＡＩを用いて、ＡＡＡサーバがＨＳＳに接続してＭＭＥアドレスを知るようになるステップと、
前記ＡＡＡサーバによって、ハンドオーバー要求メッセージをＭＭＥ/ＵＰＥに伝送し、前記ハンドオーバー要求メッセージは少なくとも以前ＲＡＴタイプ、非使用ＡＶ、最も最新のＣＫ及びＩＫ、及びＥＮＢ-ＩＤを含むステップと、
前記ＭＭＥによって、他のＡＡＡが登録されたか否かについてＨＳＳを確認し、そうでない場合には、ソフト登録を遂行し、ＡＡＡサーバによって伝送されたＣＫとＩＫを用いてキーを生成するステップと、
前記ＭＭＥによって、ＦＲＥＳＨを生成し、ＥＮＢ-ＩＤを用いてＥＮＢにセキュリティコンテキストを分配するステップと、
前記ＭＭＥによって、インタワーキングユニットを通じてＡＡＡサーバにハンドオーバー承認メッセージを伝送し、前記ハンドオーバー承認メッセージは、前記選択されたＵＥＡ及びＵＩＡ、ＦＲＥＳＨとＲＡＮ保護の開始のための表示を含むステップと、
前記ＡＡＡサーバがハンドオーバー承認メッセージを通じて受信された前記パラメータをハンドオーバー命令メッセージを通じてＵＥに伝送するステップと、
前記ＵＥによって、最も最新のＣＫ及びＩＫを用いてＳＡＥシステムに固有のキーを決定し、ＵＥをＳＡＥネットワークにハンドオーバーするようにＡＡＡサーバからハンドオーバー命令を受信した後、ＲＡＮ保護を始めるステップと、
前記ＵＥによって、ＥＮＢとのＬ２接続を始め、ＲＲＣメッセージを保護し、ＥＮＢへの初期メッセージで、ＵＥはＳＴＡＲＴ値を伝送し、派生されたＳＡＥ固有のキー、ＦＲＥＳＨ及びＳＴＡＲＴ値を用いてＭＡＣ-ＩＲＡＮを計算し、ＥＮＢがＭＡＣ-ＩＲＡＮを検証するステップ、
前記ＵＥが初期Ｌ３メッセージをＭＭＥ/ＵＰＥに伝送し、前記初期Ｌ３メッセージはユーザー識別、ＳＴＡＲＴ値及びＭＡＣ-ＩＮＡＳを含み、ＭＡＣ-ＩＮＡＳは派生したＳＡＥ固有のキー、及びＦＲＥＳＨ及びＳＴＡＲＴ値を用いて計算されるステップと、
前記ＭＭＥ/ＵＰＥによって、派生されたキー、受信されたＳＴＡＲＴ及びＦＲＥＳＨ値を用いてＭＡＣ-Ｉを検証するステップと、
前記ＭＭＥ/ＵＰＥによって、初期Ｌ３メッセージ応答を伝送し、ＭＭＥは、前記初期Ｌ３メッセージ応答を通じてＭＡＣ-ＩＮＡＳを計算するステップと、
をさらに有することを特徴とする請求項２に記載の方法。
【請求項１１】
Ｉ-ＷＬＡＮからＳＡＥシステムへの順方向ハンドオーバーは、
前記ＵＥが現在以前のアクセスシステムである既存のアクセスシステムの詳細をＴＡＵ手順内に伝送し、コアネットワークによってＴＡＵ手順又は初期ＮＡＳメッセージで以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索するステップをさらに有することを特徴とする請求項２に記載の方法。
【請求項１２】
ＵＭＴＳからＳＡＥシステムへの逆方向ハンドオーバーは、
前記ＵＥがＳＧＳＮ(Serving GPRS Support Node)にレポートを通じて周期的またはイベントベースの測定値を伝送するステップと、
前記測定レポートに基づいて、ＳＧＳＮがＵＥに他のＲＡＴをスキャニングし始めることを要求し、ＥＮＢ/ＭＭＥがＵＥに他のＲＡＴ、またはＵＥのサービス領域内で利用可能なＲＡＴをスキャンすることを要求し、あるいはＵＥによってＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、ＴＡＩ、選択されたＵＩＡ及びＵＥＡ、ＳＴＡＲＴ値及びＥＮＢ-ＩＤを含む前記ＳＡＥ測定レポートをＳＧＳＮに伝送するステップと、
前記ＳＧＳＮによって、ＵＥをＳＡＥネットワークにハンドオーバーするように決定し、ＳＧＳＮはＭＭＥアドレスを決定するためにＴＡＩを利用してＳ３又はＳ４インターフェースのうちの少なくとも一つを用いてＭＭＥに接続し、ＨＳＳに接続するステップと、
前記ＳＧＳＮによってＭＭＥ/ＵＰＥにハンドオーバー要求メッセージを伝送し、前記ハンドオーバー要求メッセージは少なくとも、セキュリティコンテキスト、以前ＲＡＴタイプ、非使用ＡＶ、最も最新のＣＫ及びＩＫ、ＥＮＢ-ＩＤ、ＳＴＡＲＴ値及びＫＳＩを含むステップと、
前記ＭＭＥによって、他のＭＭＥがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合に、ＭＭＥはソフト登録を遂行してＳＧＳＮにより伝送されたＣＫ及びＩＫを用いてキーを生成し、ＭＭＥがＵＭＴＳパラメータをＭＭＥ、ＡＡＡサーバ、又はＳＡＥシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティの中の一つに配置された論理インターワーキングユニットを用いてＳＡＥ固有のパラメータに変換するステップと、
前記ＭＭＥによって、少なくてもＲＡＮ保護、選択されたＵＩＡ及びＵＥＡ、ＦＲＥＳＨ、ＳＴＡＲＴ及びＫＳＩに対するＥＮＢキーを含むセキュリティコンテキストをＥＮＢに分配するためにＥＮＢ-ＩＤを用いてＦＲＥＳＨを生成するステップと、
前記ＭＭＥによって、ＳＧＳＮにハンドオーバー承認メッセージを伝送し、前記ハンドオーバー承認メッセージはＵＥＡ、ＵＩＡ及びＦＲＥＳＨを含むステップと、
前記ＳＧＳＮによって、ＨＯ承認メッセージを通じて受信されたパラメータをＵＥにハンドオーバー命令メッセージを通じて伝送するステップと、
ＵＥによって、最も最新のＣＫ及びＩＫを用いてＳＡＥシステムに固有のキーを決定し、ＵＥをＳＡＥネットワークにハンドオーバーするためにＳＧＳＮからハンドオーバー命令を受信した後、ＲＡＮ保護を始めるステップと、
前記ＵＥによって、ＥＮＢとのＬ２接続を始め、ＲＲＣメッセージを保護し、ＥＮＢへの初期メッセージで、ＵＥはＳＴＡＲＴ値を伝送し、派生されたＳＡＥ固有のキー、ＦＲＥＳＨ及びＳＴＡＲＴ値を用いてＭＡＣ-ＩＲＡＮを計算し、ＥＮＢがＳＴＡＲＴ値と共に受信されたセキュリティテキストを用いてＭＡＣ-ＩＲＡＮを検証するステップと、
前記ＵＥによって、初期Ｌ３メッセージをＭＭＥ/ＵＰＥに伝送し、前記初期Ｌ３メッセージはユーザー識別、ＳＴＡＲＴ値、ＫＳＩ及びＭＡＣ-ＩＮＡＳを含み、ＭＡＣ-ＩＮＡＳは派生したＳＡＥ固有のキー、及びＦＲＥＳＨ及びＳＴＡＲＴ値を用いて計算されるステップと、
前記ＭＭＥ/ＵＰＥによって、派生されたキー、受信されたＳＴＡＲＴ及びＦＲＥＳＨ値を用いてＭＡＣ-ＩＮＡＳを検証するステップと、
前記ＭＭＥ/ＵＰＥによって、初期Ｌ３メッセージ応答を伝送し、ＭＭＥは、前記初期Ｌ３メッセージ応答を通じてＭＡＣ-ＩＮＡＳを計算するステップと、
をさらに有することを特徴とする請求項２に記載の方法。
【請求項１３】
ＵＭＴＳからＳＡＥシステムへの順方向ハンドオーバーは、
ＴＡＵ手順又は初期ＮＡＳメッセージの間、ＵＥが現在以前のアクセスシステムである既存のアクセスシステムの詳細を伝送し、コアネットワークは以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索するステップをさらに有することを特徴とする請求項２に記載の方法。
【請求項１４】
ＳＡＥからＵＭＴＳシステムへの逆方向ハンドオーバーは、
前記ＵＥによって、ＥＮＢ/ＭＭＥにレポートを通じて周期的またはイベントベースの測定値を伝送するステップと、
前記ＥＮＢ/ＭＭＥによって、ＵＥに他のＲＡＴ又はＵＥのサービス領域内に利用可能なＲＡＴをスキャニングし始めることを要求するために前記レポートを利用し、あるいは前記ＵＥによって、ＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、ＲＡＩ、支援されるＵＩＡ及びＵＥＡ、ＫＳＩ及びＳＴＡＲＴ値、及びセルＩＤを含むＵＭＴＳ測定レポートをＥＮＢ/ＭＭＥに伝送するステップと、
前記ＳＧＳＮによって、ＵＥをＵＭＴＳネットワークにハンドオーバーするように決定し、ＭＭＥはＲＡＩを用いてＳＧＳＮのアドレスを把握し、Ｓ３又はＳ４インターフェースのうちの一つを利用し、あるいはＨＳＳに接続することによってＳＧＳＮに接続するステップと、
前記ＭＭＥによって、ＳＧＳＮにハンドオーバー要求メッセージを伝送し、前記ハンドオーバー要求メッセージはセキュリティコンテキスト、以前ＲＡＴタイプ、非使用ＡＶ、最も最新のＣＫ及びＩＫ、セルＩＤ、ＳＴＡＲＴ値、ＫＳＩ及び他のパラメータを含み、ＭＭＥはＭＭＥ、ＳＧＳＮ、又はＳＡＥシステム又はＵＭＴＳシステムのネットワークエンティティのうちの一つに配置された、または個別に配置された論理インターワーキングユニットを用いてＳＡＥパラメータをＵＭＴＳ固有のパラメータに変換するステップと、
前記ＳＧＳＮによって、他のＳＧＳＮがＨＳＳに登録されたか否かについてＨＳＳを確認し、そうでない場合に、ＳＧＳＮはソフト登録を遂行するステップと、
前記ＳＧＳＮは、ＦＲＥＳＨを生成し、少なくとも保護、選択されたＵＩＡ及びＵＥＡ、ＦＲＥＳＨ、ＳＴＡＲＴ及びＫＳＩに対したキーを含むセキュリティコンテキストをセルＩＤを用いてＲＮＣに分配し、前記ＲＮＣは受信されたパラメータを格納するステップと、
前記ＳＧＳＮによって、ハンドオーバー承認メッセージをＭＭＥに伝送し、前記ハンドオーバー承認メッセージはＵＥＡ、ＵＩＡ及びＦＲＥＳＨを含むステップと、
前記ＭＭＥによって、ハンドオーバー承認メッセージを通じて受信されたパラメータをＵＥにハンドオーバー命令メッセージを通じて伝送するステップと、
ＵＭＴＳネットワークにハンドオーバーするために、ＭＭＥからハンドオーバー命令を受信した後に、ＵＥによってＵＭＴＳネットワークに対して最も最新のＣＫ及びＩＫを利用してＲＡＮ保護を始めるステップと、
前記ＵＥによって、ＲＮＣとのＬ２接続を開始し、ＵＥはＲＲＣメッセージを保護し始め、初期メッセージの間にＳＴＡＲＴ値をＲＮＣに伝達するステップと、
ＵＥによって、ユーザー識別、ＳＴＡＲＴ値、ＫＳＩ及びＭＡＣ-Ｉを含む初期Ｌ３メッセージをＳＧＳＮに伝送するステップと、
ＲＮＣによって、ＭＡＣ-Ｉを検証してＳＧＳＮに伝送するステップと、
をさらに有することを特徴とする請求項２に記載の方法。
【請求項１５】
ＳＡＥからＵＭＴＳシステムへの順方向ハンドオーバーは、
ＲＡＵ手順または1番目のＮＡＳメッセージ中に、ＵＥが現在以前のアクセスシステムである既存のアクセスシステムの詳細を伝送し、現在ネットワークが以前アクセスシステムからセキュリティコンテキスト(ＣＫ及びＩＫ)とバッファリングされたパケットを検索するステップをさらに有することを特徴とする請求項２に記載の方法。
【請求項１６】
ＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの前記逆方向ハンドオーバーは、
前記ＵＥによって、周期的又はイベントベースの測定値をＥＵＴＲＡＮに伝送するステップと、
前記ＲＮＣ/ＳＧＳＮによって、伝送されたＵＥ測定値がしきい値以下であると判断し、あるいはＳＧＳＮによってＥＵＴＲＡＮが持続できないと判断するステップと、
前記ＥＮＢ/ＭＭＥによって、他のＲＡＴ又はＵＥのサービス領域内で利用可能なＲＡＴをスキャンするようにＵＥに要求し、あるいはＵＥによってＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートを他のパラメータと共にＳＧＳＮシステムに伝送し、ＳＧＳＮによって、ＵＥをＩ-ＷＬＡＮネットワークにハンドオーバーするように決定するステップと、
前記ＳＧＳＮによって、Ｉ-ＷＬＡＮのＡＡＡサーバＩＰアドレスを分析するためにＮＡＩを利用し、論理インターワーキングユニットを通じてＡＡＡサーバに接続し、前記論理インターワーキングユニットはＳＧＳＮ、ＡＡＡサーバ、又はＵＭＴＳシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されたステップと、
前記ＳＧＳＮによって、インターワーキングユニットを通じてハンドオーバー要求をＡＡＡサーバに伝送し、前記ハンドオーバー要求はＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他パラメータを含むステップと、
前記ＡＡＡサーバによって、他のＡＡＡが登録されたか否かを判定するようにＨＳＳを確認し、そうでない場合には、ＡＡＡサーバによってソフト登録を遂行し、ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ、及びＥＭＳＫキーを生成し、匿名ＩＤ及び速い再認証ＩＤを含む臨時ＩＤを生成し、前記ＴＥＫを用いて臨時ＩＤを保護してＵＥに伝送するステップと、
前記ＡＡＡサーバによって、インターワーキングユニットを通じてハンドオーバー承認メッセージをＳＧＳＮに伝送し、前記ハンドオーバー承認メッセージは保護された臨時ＩＤと認証が要求されるか否かを示す表示を含むステップと、
前記ＳＧＳＮによって前記受信されたパラメータを含むハンドオーバー命令メッセージをハンドオーバー承認メッセージを通じてＵＥに伝送するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＵＭＴＳシステムからハンドオーバー命令を受信した後に、前記ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ及びＥＭＳＫキーを生成し、保護された臨時ＩＤを解読するステップと、
前記ＵＥによってＩ-ＷＬＡＮとのＬ２接続を開始するステップと、
を有することを特徴とする請求項２に記載の方法。
【請求項１７】
Ｉ-ＷＬＡＮシステムが認証を要求すると、Ｉ-ＷＬＡＮによって認証手順を開始するステップと、
ＵＥがハンドオーバー命令を受信すると、前記ＵＥによって速い再認証臨時ＩＤを伝送するステップと、
前記ＵＥによって、臨時匿名ＩＤ、臨時速い再認証ＩＤ、及びＥＡＰ応答識別メッセージのインテグリティの保護のうちの一つと共にＥＡＰ応答ＩＤメッセージをＩ-ＷＬＡＮを通じてＡＡＡサーバに伝送するステップと、
ＡＡＡサーバが臨時識別と一緒にＥＡＰ応答識別メッセージを受信すると、ＡＡＡサーバによって、インテグリティの保護及び臨時ＩＤを検証するステップと、
前記ＡＡＡサーバによってＵＥを認証するステップと、
前記ＡＡＡサーバによって、保護された成功的な結果表示を利用することを以前に要求した場合、ＥＡＰ成功メッセージを伝送する前にＥＡＰ要求/ＡＫＡ通知メッセージを伝送し、前記ＥＡＰ要求/ＡＫＡ通知メッセージはＭＡＣ保護されるステップと、
前記ＡＡＡサーバによって、新たな臨時ＩＤとＥＡＰ要求/ＡＫＡ通知メッセージを生成してＵＥに伝送するステップと、
前記Ｉ-ＷＬＡＮによって、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達し、ＵＥはＥＡＰ応答/ＡＫＡ通知を伝送してＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝達し、ＡＡＡサーバは前記メッセージの内容を考慮しないステップと、
前記ＡＡＡサーバによって、ＥＡＰ成功メッセージをＩ-ＷＬＡＮに伝送し、Ｉ-ＷＬＡＮに対して付加キーイング要素が生成された場合、ＡＡＡサーバは基本ＡＡＡプロトコルメッセージに前記キーイング要素を含み、Ｉ-ＷＬＡＮは認証されたＷＬＡＮ-ＵＥとの通信に利用されるキーイング要素を格納するステップと、
前記ＡＡＡサーバが保護された成功的な結果表示を利用しないと、新たな臨時ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送するステップと、
前記Ｉ-ＷＬＡＮによって、ＥＡＰ成功メッセージを通じてＷＬＡＮ-ＵＥに成功的な認証について知らせ、ＥＡＰ ＡＫＡ交換が成功的に完了され、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮはＥＡＰ ＡＫＡ交換中に派生されたキーイング要素を共有するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークと一緒に速い再認証手順を開始し、ＵＥが速い再認証ＩＤを受信しないと、ＵＥが全体認証手順を開始するために匿名ＩＤを伝送するステップと、
をさらに有することを特徴とする請求項１６に記載の方法。
【請求項１８】
ＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの前記逆方向ハンドオーバーは、
前記ＵＥによって、周期的又はイベントベースの測定値をＥＵＴＲＡＮに伝送するステップと、
前記ＲＮＣ/ＳＧＳＮによって、伝送されたＵＥ測定値がしきい値以下であると判断し、あるいはＳＧＳＮによってＥＵＴＲＡＮが持続できないと判断するステップと、
前記ＥＮＢ/ＭＭＥによって、他のＲＡＴ又はＵＥのサービス領域内で利用可能なＲＡＴをスキャンするようにＵＥに要求し、あるいはＵＥによってＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートを他のパラメータと共にＳＧＳＮシステムに伝送し、ＳＧＳＮによって、ＵＥをＩ-ＷＬＡＮネットワークにハンドオーバーするように決定するステップと、
前記ＳＧＳＮによって、Ｉ-ＷＬＡＮのＡＡＡサーバＩＰアドレスを分析するためにＮＡＩを利用し、論理インターワーキングユニットを通じてＡＡＡサーバに接続し、前記論理インターワーキングユニットはＳＧＳＮ、ＡＡＡサーバ、又はＵＭＴＳシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されたステップと、
前記ＳＧＳＮによって、インターワーキングユニットを通じてハンドオーバー要求をＡＡＡサーバに伝送し、前記ハンドオーバー要求はＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他パラメータを含むステップと、
前記ＡＡＡサーバによって、他のＡＡＡが登録されたか否かを判定するようにＨＳＳを確認し、そうでない場合には、ＡＡＡサーバによってソフト登録を遂行し、ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ、及びＥＭＳＫキーを生成し、匿名ＩＤ及び速い再認証ＩＤを含む臨時ＩＤを生成し、前記ＴＥＫを用いて臨時ＩＤを保護してＵＥに伝送するステップと、
前記ＡＡＡサーバによって、インターワーキングユニットを通じてハンドオーバー承認メッセージをＳＧＳＮに伝送し、前記ハンドオーバー承認メッセージは保護された臨時ＩＤと認証が要求されるか否かを示す表示を含み、ＡＡＡサーバはハンドオーバー承認メッセージ内にハンドオーバー手順を継続して遂行するＵＥに対して支援される最適化手順を含むステップと、
前記ＳＧＳＮによって前記受信されたパラメータを含むハンドオーバー命令メッセージをハンドオーバー承認メッセージを通じてＵＥに伝送するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＵＭＴＳシステムからハンドオーバー命令を受信した後に、前記ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ及びＥＭＳＫキーを生成し、保護された臨時ＩＤを解読するステップと、
前記ＵＥによってＩ-ＷＬＡＮとのＬ２接続を開始するステップと、
を有することを特徴とする請求項２に記載の方法。
【請求項１９】
Ｉ-ＷＬＡＮシステムが認証を要求すると、Ｉ-ＷＬＡＮによって認証手順を開始するステップと、
前記Ｔｅｍｐ ＩＤが前記ＵＥによってハンドオーバー命令を受信すると、前記ＵＥによって速い再認証臨時ＩＤを伝送するステップと、
前記ＵＥによって、臨時匿名ＩＤ、臨時速い再認証ＩＤ、及びＥＡＰ応答識別メッセージのインテグリティの保護のうちの一つと共にＥＡＰ応答識別メッセージをＩ-ＷＬＡＮを通じてＡＡＡサーバに伝送するステップと、
ＡＡＡサーバが臨時ＩＤと一緒にＥＡＰ応答識別メッセージを受信すると、ＡＡＡサーバによって、インテグリティの保護及び臨時ＩＤを検証することによって、前記ＡＡＡサーバによってＵＥを認証するステップと、
前記ＡＡＡサーバによって、保護された成功的な結果表示を利用することを以前に要求した場合、ＥＡＰ成功メッセージを伝送する前にメッセージＥＡＰ要求/ＡＫＡ通知メッセージを伝送し、前記ＥＡＰ要求/ＡＫＡ通知メッセージはＭＡＣ保護されるステップと、
前記ＡＡＡサーバによって、新たな臨時ＩＤとＥＡＰ要求/ＡＫＡ通知メッセージを生成してＵＥに伝送するステップと、
前記Ｉ-ＷＬＡＮによって、ＥＡＰ要求/ＡＫＡ通知メッセージをＵＥに伝達し、ＵＥはＥＡＰ応答/ＡＫＡ通知を伝送してＥＡＰ応答/ＡＫＡ通知メッセージをＡＡＡサーバに伝達し、ＡＡＡサーバは前記メッセージの内容を考慮しないステップと、
前記ＡＡＡサーバによって、ＥＡＰ成功メッセージをＩ-ＷＬＡＮに伝送し、Ｉ-ＷＬＡＮに対して付加キーイング要素が生成された場合、ＡＡＡサーバは基本ＡＡＡプロトコルメッセージに前記キーイング要素を含み、Ｉ-ＷＬＡＮは認証されたＷＬＡＮ-ＵＥとの通信に利用されるキーイング要素を格納するステップと、
前記ＡＡＡサーバが保護された成功的な結果表示を利用しないと、新たな臨時ＩＤを生成してＥＡＰ成功メッセージと一緒にＵＥに伝送するステップと、
前記Ｉ-ＷＬＡＮによって、ＥＡＰ成功メッセージを通じてＷＬＡＮ-ＵＥに成功的な認証について知らせ、ＥＡＰ ＡＫＡ交換が成功的に完了して、ＷＬＡＮ-ＵＥ及びＩ-ＷＬＡＮはＥＡＰ ＡＫＡ交換中に派生されたキーイング要素を共有するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークと一緒に速い再認証手順を開始し、ＵＥが速い再認証ＩＤを受信しないと、ＵＥが全体認証手順を開始するために匿名ＩＤを伝送するステップと、
成功的な認証手順以後に、ＵＥがハンドオーバー命令にＡＡＡサーバによってリストされた最適化した認証手順を開始し、前記ＵＥによって、ＥＭＳＫ基盤の最適化手順を用いて前記最適化した認証手順を開始するステップと、
前記ＵＥによって、前記最適化した認証手順に対する速い再認証手順を選択的に開始するステップと、
をさらに有することを特徴とする請求項１８に記載の方法。
【請求項２０】
ＵＭＴＳからＩ-ＷＬＡＮアクセスシステムへの前記逆方向ハンドオーバーは、
前記ＵＥによって、周期的又はイベントベースの測定値をＥＵＴＲＡＮに伝送するステップと、
前記ＲＮＣ/ＳＧＳＮによって、伝送されたＵＥ測定値がしきい値以下であると判断し、あるいはＳＧＳＮによってＥＵＴＲＡＮが持続できないと判断するステップと、
前記ＥＮＢ/ＭＭＥによって、他のＲＡＴ又はＵＥのサービス領域内で利用可能なＲＡＴをスキャンするようにＵＥに要求し、あるいはＵＥによってＥＵＴＲＡＮが持続できないと決定して他のＲＡＴをスキャニングするステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮ ＩＤとＮＡＩを含むＩ-ＷＬＡＮ測定レポートを他のパラメータと共にＳＧＳＮシステムに伝送し、ＳＧＳＮによって、ＵＥをＩ-ＷＬＡＮネットワークにハンドオーバーするように決定するステップと、
前記ＳＧＳＮによって、Ｉ-ＷＬＡＮのＡＡＡサーバＩＰアドレスを分析するためにＮＡＩを利用し、論理インターワーキングユニットを通じてＡＡＡサーバに接続し、前記論理インターワーキングユニットはＳＧＳＮ、ＡＡＡサーバ、又はＵＭＴＳシステム又はＩ-ＷＬＡＮシステムのネットワークエンティティのうちの一つに配置されたステップと、
前記ＳＧＳＮによって、インターワーキングユニットを通じてハンドオーバー要求をＡＡＡサーバに伝送し、前記ハンドオーバー要求はＮＡＩ、Ｉ-ＷＬＡＮ ＩＤ、非使用ＡＶ、最新ＣＫ及びＩＫとその他パラメータを含むステップと、
前記ＡＡＡサーバによって、他のＡＡＡが登録されたか否かを判定するようにＨＳＳを確認し、そうでない場合には、ＡＡＡサーバによってソフト登録を遂行し、ＡＡＡは、ＮＡＩ、ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ、及びＥＭＳＫキーを生成し、匿名ＩＤ及び速い再認証ＩＤを含む臨時ＩＤを生成し、前記ＴＥＫを用いて臨時ＩＤを保護してＵＥに伝送するステップと、
前記ＡＡＡサーバによって、インターワーキングユニットを通じてハンドオーバー承認メッセージをＳＧＳＮに伝送し、前記ハンドオーバー承認メッセージは保護された臨時ＩＤと認証が要求されるか否かを示す表示を含むステップと、
前記ＳＧＳＮによって前記受信されたパラメータを含むハンドオーバー命令メッセージをハンドオーバー承認メッセージを通じてＵＥに伝送するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮネットワークへのハンドオーバーのためにＵＭＴＳシステムからハンドオーバー命令を受信した後に、前記ＣＫ及びＩＫを用いてＭＳＫ、ＴＥＫ及びＥＭＳＫキーを生成し、保護された臨時ＩＤを解読するステップと、
前記ＵＥによってＩ-ＷＬＡＮとのＬ２接続を開始するステップと、
前記ＵＥによって、Ｉ-ＷＬＡＮ ＡＮと成功的な接続以後に、ハンドオーバーの命令内のＡＡＡサーバによってリストされたシナリオのための最適化した認証手順を開始し、ＵＥによって、ＥＭＳＫベースの最適化手順を用いて前記最適化した認証手順を開始するステップと、
前記ＵＥによって、前記最適化した認証手順のための速い再認証手順を選択的に開始するステップと、
をさらに有することを特徴とする請求項２に記載の方法。
【請求項２１】
ＳＡＥシステムからＩ-ＷＬＡＮへの順方向ハンドオーバーは、
認証手順の間に、前記ＵＥが現在以前のアクセスシステムである既存のアクセスシステムの詳細を伝送し、コアネットワークによってセキュリティコンテキストとバッファリングされたコンテキストを以前アクセスシステムから検索し、以前アクセスシステムの詳細はＥＡＰＯＬ ＩＤ応答メッセージ内で伝送されるステップと、
前記コアネットワークによって、臨時ＩＤを生成してＵＥに伝達し、前記ＵＥは、認証手順中に最適化した認証のための速い再認証手順を開始し、ＵＥとネットワークがＣＫ及びＩＫを用いてキーを派生するステップと、
前記ＵＥによって、最も最近に成功的に受信されたパケットシーケンス番号をＩ-ＷＬＡＮネットワークに伝送し、Ｉ-ＷＬＡＮネットワークは前記パケットをコアネットワークに伝送し、コアネットワークは前記ＵＥによって最後に成功的に受信されたシーケンス番号以後のパケットを伝送し始めるステップと、
を含むことを特徴とする請求項２に記載の方法。
【請求項２２】
Ｉ-ＷＬＡＮからＵＭＴＳアクセスシステムへの逆方向ハンドオーバーは、
前記ＵＥとネットワークによって、最も最新のＣＫ及びＩＫを利用し、ＵＥはＡＫＡＡ認証無しにＲＲＣ接続手順とＳＭＣ手順を始めるステップと、
ハンドオーバー準備段階でＳＭＣ手順を選択的に遂行するステップと、
ネットワークによって、支援されるアルゴリズムを伝送し、ＵＥがアルゴリズムを選択して初期メッセージの保護を始めるステップをさらに含むことを特徴とする請求項２に記載の方法。
【請求項２３】
Ｉ-ＷＬＡＮからＵＭＴＳアクセスシステムへの順方向ハンドオーバーは、
ＲＡＵ手順中に、ＵＥがＲＡＵメッセージ内に以前アクセスシステムの詳細を伝送し、コアネットワークが既存及び現在の以前アクセスシステムからセキュリティコンテキスト及びバッファリングされたパケットを検索するステップをさらに含むことを特徴とする請求項２に記載の方法。
【請求項２４】
異種ネットワークにおけるアクセスシステム間のハンドオーバー時に認証手順を最適化するシステムであって、
新たなシステムにアクセスするための新たなキーを派生する手段と、
既存システムから新たなシステムへのハンドオーバー時に、既存システムと共に使用される既存システムアクセスキーを用いて認証手順を最適化する手段と、
ユーザー端末が速い再認証を遂行可能にするハンドオーバー準備時に新たなシステムにアクセスするユーザー端末によって臨時ＩＤを受信する手段と、
を含むことを特徴とするシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公表番号】特表２００９−５３１９５２（Ｐ２００９−５３１９５２Ａ）
【公表日】平成２１年９月３日（２００９．９．３）
【国際特許分類】
【出願番号】特願２００９−５０２６９４（Ｐ２００９−５０２６９４）
【出願日】平成１９年４月２日（２００７．４．２）
【国際出願番号】ＰＣＴ／ＫＲ２００７／００１６０１
【国際公開番号】ＷＯ２００７／１１４６２３
【国際公開日】平成１９年１０月１１日（２００７．１０．１１）
【出願人】（５０３４４７０３６）サムスン エレクトロニクス カンパニー リミテッド (2,221)
【Ｆターム（参考）】
【公表日】平成２１年９月３日（２００９．９．３）
【国際特許分類】
【出願日】平成１９年４月２日（２００７．４．２）
【国際出願番号】ＰＣＴ／ＫＲ２００７／００１６０１
【国際公開番号】ＷＯ２００７／１１４６２３
【国際公開日】平成１９年１０月１１日（２００７．１０．１１）
【出願人】（５０３４４７０３６）サムスン エレクトロニクス カンパニー リミテッド (2,221)
【Ｆターム（参考）】
[ Back to top ]