ＩＭＳベースのマルチメディアブロードキャスト及びマルチキャストサービス（ＭＢＭＳ）におけるセキュリティキー管理
ユーザ機器ＵＥと、ＳＣＦ／ＮＡＦ等の認証ノードと、ＢＭ−ＳＣ又はＡＳ等のサービスノードとの間で共有セキュリティキーを管理するシステム、方法及びノード。ＳＣＦ／ＮＡＦは、ＳＣＦ／ＮＡＦが管理する完全修正ドメイン名（ＦＱＤＮ）空間からのＦＱＤＮ等の異なるＳＣＦ／ＮＡＦ識別子を各ＢＭ−ＳＣに割り当てる。次に、ＳＣＦ／ＮＡＦは、これらの割り当てられたＦＱＤＮを接続されたＢＭ−ＳＣ及び種々のサービスとローカルに関連付ける。ネットワークは、所望のサービスに対するサービス記述において適切なＦＱＤＮをＵＥに送出し、ＵＥは、ＦＱＤＮを使用してセキュリティキーを導出できる。ＵＥが所望のサービスを要求する場合、ＳＣＦ／ＮＡＦはサービス識別子を適切なＦＱＤＮ及び関連付けられたＢＭ−ＳＣと関連付けることができる。ＳＣＦ／ＮＡＦは、ブートストラッピングサーバからセキュリティキーを取得するためにＦＱＤＮを使用し、それを関連付けられたＢＭ−ＳＣに送出する。その結果、ＵＥ及び関連付けられたＢＭ−ＳＣは特定のセキュリティキーを共有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークに関し、特にＩＰマルチメディアサブシステム（ＩＭＳ）ベースのマルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスにおいて共有セキュリティキーを管理するシステム、方法及びネットワークノードに関する。
【背景技術】
【０００２】
本発明に関連する既存の手順は、いくつかの第３世代パートナーシッププロジェクト（３ＧＰＰ）技術仕様書において説明される。それらは以下のものを含む。
【０００３】
・３ＧＰＰ ＴＳ ３３．２２０ ｖ８．５．０ Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ；汎用認証アーキテクチャ（ＧＡＡ）；汎用ブートストラッピングアーキテクチャ（リリース８）、
・３ＧＰＰ ＴＳ ３３．２２２ ｖ８．０．０ Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ；汎用認証アーキテクチャ（ＧＡＡ）；トランスポート層セキュリティを介するハイパーテキスト転送プロトコル（ＨＴＴＰＳ）を使用したネットワークアプリケーション機能へのアクセス（リリース８）、
・３ＧＰＰ ＴＳ ３３．２４６ ｖ８．２．０ Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ；３Ｇセキュリティ；マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）のセキュリティ（リリース８）及び
・３ＧＰＰ ＴＳ ２６．２３７ ｖ８．０．０ Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ；ＩＰマルチメディアサブシステム（ＩＭＳ）ベースのパケット交換ストリーミング（ＰＳＳ）及びマルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービス；プロトコル（リリース８）。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
図１は、ブートストラッピングサービスを使用してネットワークアプリケーション機能（ＮＡＦ）を示すＴＳ ３３．２２２の高水準参照モデルである。ネットワークエンティティは、汎用ブートストラッピングアーキテクチャ（ＧＢＡ）を特定する３ＧＰＰ ＴＳ ３３．２２０において規定される。ＧＢＡにおいて、ユーザ機器（ＵＥ）１１等の移動通信装置及びブートストラッピングサーバ機能（ＢＳＦ）１２は、Ｕｂ参照点を介してＨＴＴＰ ｄｉｇｅｓｔ ＡＫＡを実行することにより、共有キーＫｓを確立する。共有キーＫｓは、Ｕａ参照点を介したＵＥとＮＡＦ１３との間の通信のセキュリティを保護するように、ＮＡＦ専用キー（Ｋｓ＿ＮＡＦキーと呼ばれる）を導出するために後で使用される。ＮＡＦは、Ｚｎ参照点を介してＮＡＦ専用キーを取り出す。
【０００５】
３ＧＰＰ ＴＳ ３３．２２２の６節は、ＮＡＦ１３において認証プロキシ（ＡＰ）を使用することを特定する。ＡＰは、ＴＳ ３３．２２０において特定されたＧＢＡアーキテクチャに準拠する。ＡＰは、このアーキテクチャにおいて使用される場合、ＮＡＦの役割をすることにより、セキュリティタスクのアプリケーションサーバ（ＡＳ）を解放する。
【０００６】
図２は、認証プロキシ（ＡＰ）１５の環境及び参照点を示すＴＳ ３３．２２２の高水準参照モデルである。ＴＳ ３３．２２２は、ＮＡＦ１３においてＵＥ１１とＡＰ１５との間でトランスポート層セキュリティ（ＴＬＳ）が使用されると仮定する。ＨＴＴＰＳ要求がＡＰの背後のアプリケーションサーバ（ＡＳ）１６ａ〜１６ｎに向けられる場合、ＡＰは、ＴＬＳトンネル１７（TLS Tunnel）を終了し、ＢＳＦ１２からＮＡＦキー（Ｋｓ＿ＮＡＦ）を取出し、ＵＥ認証を実行する。ＡＰは、ＵＥから受信したＨＴＴＰ要求を１つ又は複数のＡＳに対してプロキシする。ＡＰは、ＵＥからの要求をＡＳに転送する場合、ＡＳが使用するための加入者のアイデンティティの表明を追加してもよい。
【０００７】
ＮＡＦキーを使用するためのＴＳ ３３．２２２において規定された手順に関する問題は、共有キー材料が必要とされる場合があってもＵＥ１１及びＡＳ１６ａ〜１６ｎがそのようなキー材料を全く共有しないことである。ＡＰ１５は、ＴＳ ３３．２２２においてＮＡＦ１３の役割を担う。従って、ＮＡＦキー（Ｋｓ＿ＮＡＦ）は、ＴＳ ３３．２２０において特定されたキー導出規則に従ってＡＰ専用のキーであり、ＵＥにより認識されない。
【０００８】
図３は、キーを共有することに対する現在の解決方法を示すＴＳ ２６．２３７の高水準参照モデルである。ＡＳと共にＮＡＦを使用することに対して上記で規定されたこの問題は、ＴＳ ２６．２３７において規定されたネットワークエンティティに更に当てはまる。この場合、サービス制御機能（ＳＣＦ）２１は、ＮＡＦ／ＡＰの修正された変形例の役割を担い（従って、ＳＣＦ／ＮＡＦとラベル付けされる）、ＭＢＭＳブロードキャスト／マルチキャストサービスセンター（ＭＢ−ＳＣ）２２は、ＡＳの役割を担う（従って、ＢＭ−ＳＣ／ＡＳとラベル付けされる）。図２のＡＳのように、ＢＭ−ＳＣ／ＡＳは、保護されたＭＩＫＥＹキー管理メッセージをユニキャストチャネル又はブロードキャストチャネルを介してＢＭ−ＳＣ／ＡＳからＵＥに直接送出できるように、ＵＥ１１との共有キーを必要とする。
【０００９】
尚、ＴＳ ２６．２３７は、このようにＴＳ ３３．２２２のＡＰ１５及びＡＳ１６との類似性について言及していない。ＴＳ ２６．２３７における設定は、ＴＳ ３３．２２２における設定と厳密に同一ではなく、例えばＵＥ１１とＳＣＦ２１との間のＴＬＳトンネルは必ずしも使用されない。しかし、同様の問題は依然として存在する。
【００１０】
ＴＳ ２６．２３７において、ＳＣＦ２１が自身のＮＡＦキー（Ｋｓ＿ＮＡＦ）をＢＭ−ＳＣ２２に送出する解決方法が紹介されている。ＢＭ−ＳＣは、ＢＭ−ＳＣからＵＥ１１へのＭＩＫＥＹキー管理メッセージを保護するために使用されるＭＵＫ（ＭＢＭＳユーザキー）としてＫｓ＿ＮＡＦを使用する。図３のステップ１〜６は現在のＧＢＡ手順に従い、ステップ７は、Ｋｓ＿ＮＡＦ及び加入者の表明されたアイデンティティをＢＭ−ＳＣに送出することを説明する。
【００１１】
１つのＢＭ−ＳＣ２２のみがＳＣＦ２１に接続される限り（及びＢＭ−ＳＣはＳＣＦ専用ＮＡＦキーを乱用しないため、ＳＣＦがＢＭ−ＳＣに対して十分な信頼を置く限り）、ＴＳ ２６．２３７における現在の解決方法は適切に機能する。２つ以上のＢＭ−ＳＣがＳＣＦに装着される場合に問題が発生する。これは、現在の解決方法によると、ＳＣＦが、自身のＫｓ＿ＮＡＦをＢＭ−ＳＣに送出するため、同一のＫｓ＿ＮＡＦを接続された全てのＢＭ−ＳＣに送出することになるためである。同一のキーを複数のノードに与えるのは適切なセキュリティの習慣ではない。これにより、同一のＫｓ＿ＮＡＦがＵＥ１１と関連した全てのＢＭ−ＳＣとの間で使用される状況になる。これにより、ＵＥに対して互いに詐称するＢＭ−ＳＣ等の脅威をもたらすことになる。
【００１２】
図４は、既存のＩＭＳベースのＭＢＭＳ登録手順中に種々のネットワークエンティティ間で送出されたメッセージを示すメッセージフローチャートである。図４は、ＵＥ１１が３ＧＰＰ ＴＳ ３３．２０３に従ってＩＭＳに登録され且つ認証されており、ＵＥが３ＧＰＰ ＴＳ ２６．２３７において規定されたようにサービススケジュール機能（ＳＳＦ）（不図示）と通信し且つ使用可能なサービスのリストを受信しており、ＵＥが３ＧＰＰ ＴＳ ３３．２２０において規定されたようにＢＳＦ１２とのＧＢＡブートストラッピングを実行しており、且つネットワークインタフェースが３ＧＰＰ ＴＳ ３３．２１０において規定されたようにネットワークドメインセキュリティ（ＮＤＳ／ＩＰ）で保護されるという前提条件に基づく。
【００１３】
手順は以下の通りであり、セキュリティ手順に関する関連情報のみが示される。ＵＥ１１は、ＩＰマルチメディアコアネットワーク（ＩＭ ＣＮ）サブシステム３２を介してＳＩＰ ＩＮＶＩＴＥメッセージ３１をＳＣＦ２１に送出する。ＩＮＶＩＴＥメッセージはＲｅｑｕｅｓｔ−ＵＲＩにおいて「ＳＣＦ」を示し、メッセージは、ＳＩＰメッセージ本体（Msg body）におけるＸＭＬ文書において、ＵＥが登録したい要求されたＭＢＭＳユーザサービス（ｕｓｅｒＳｅｒｖｉｃｅＩｄｓ）のアイデンティティを含む。ＸＭＬ文書は、ＴＳ ３３．２４６においてＭＢＭＳ登録に対して使用されたものと同一であり、ＴＳ ２６．３４６において特定される。更に、ブートストラッピングトランザクション識別子（Ｂ−ＴＩＤ）を搬送するＸＭＬ文書がある。Ｂ−ＴＩＤを搬送するＸＭＬ文書は、３ＧＰＰ ＴＳ２６．２３７のＡｎｎｅｘ Ｉにおいて規定される。
【００１４】
ＳＣＦ２１は、ＳＩＰ ＩＮＶＩＴＥメッセージ３１のヘッダからＵＥ１１のＩＰアドレス及びＵＥの表明された１つ又は複数のアイデンティティを受信する。ＳＣＦは、格納された加入情報に基づいて調査し、ＵＥが要求されたＭＢＭＳユーザサービスにアクセスする許可を受けているかを判定する。ＵＥが許可を受けている場合には手順は継続し、許可を受けていない場合には手順は終了する。ＵＥに対して格納されたＢ−ＴＩＤがない場合又は受信したＢ−ＴＩＤがＵＥに対して格納されたものと異なる場合、ＳＣＦ２１は、ＴＳ ３３．２２０において規定されたように、３３及び３４においてＺｎ参照点を介してＢＳＦ１２を用いてＧＢＡ使用手順を実行し、ＵＥに対応するＮＡＦキーを取り出す。ＳＣＦは、ＴＳ ３３．２４６において規定されたように、ＮＡＦキーからＭＢＭＳユーザキー（ＭＵＫ）を導出する。
【００１５】
ＳＣＦ２１は、ＨＴＴＰ ＰＯＳＴメッセージ３５をＢＭ−ＳＣ２２に送出する。ＳＣＦは、ＨＴＴＰ ＰＯＳＴメッセージを以下の通りポピュレートする。
−ＨＴＴＰバージョンは１．１であり、ＲＦＣ２６１６において特定される。
−Ｒｅｑｕｅｓｔ−ＵＲＩのベースは、完全なＢＭ−ＳＣキー管理ＵＲＩ（例えば、ｈｔｔｐ：／／ｂｍｓｃ．ｈｏｍｅ１．ｎｅｔ：１２３４）を含む。
−Ｒｅｑｕｅｓｔ−ＵＲＩは、「ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ」に設定されるＵＲＩパラメータ「ｒｅｑｕｅｓｔｔｙｐｅ」を含む。すなわち、Ｒｅｑｕｅｓｔ−ＵＲＩは、「／ｋｅｙｍａｎａｇｅｍｅｎｔ？ｒｅｑｕｅｓｔｔｙｐｅ＝ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ」の形態を取る。
−ＳＣＦは、更なるＵＲＩパラメータをＲｅｑｕｅｓｔ−ＵＲＩに追加してもよい。
−ＵＥのアイデンティティを含むＸ−３ＧＰＰ−Ａｓｓｅｒｔｅｄ−Ｉｄｅｎｔｉｔｙヘッダ。
−ＨＴＴＰヘッダコンテンツタイプは、ペイロードのＭＩＭＥタイプ、すなわち「ａｐｐｌｉｃａｔｉｏｎ／ｍｂｍｓ−ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ＋ｘｍｌ」である。
−ＨＴＴＰペイロードは、ＵＥが登録したいＭＢＭＳユーザサービスの１つ以上のｕｓｅｒＳｅｒｖｉｃｅＩｄｓ、ＵＥのＩＰアドレス、ＭＢＭＳユーザキー（ＭＵＫ）及びＭＵＫの有効期限のリストを含むＸＭＬ文書を含む。ペイロードのＸＭＬスキーマは、３ＧＰＰ ＴＳ ２６．２３７のＡｎｎｅｘ Ｉにおいて特定される
−ＳＣＦは、更なるＨＴＴＰヘッダをＨＴＴＰ ＰＯＳＴ要求に追加してもよい。
【００１６】
ＢＭ−ＳＣ２２は、ＨＴＴＰ ＰＯＳＴメッセージ３５を受信し、ＨＴＴＰ ＰＯＳＴが有効であることを検証し、更なる処理に対する要求を抽出する。ＨＴＴＰ ＰＯＳＴメッセージが表明されたアイデンティティと共にＳＣＦ２１から送出されたものであるため、ＵＥ１１がＩＭＳにより認証されているので、ＢＭ−ＳＣはＵＥを認証する必要はない。また、ＨＴＴＰ ＰＯＳＴメッセージは、ＳＣＦにより、ＵＥが示されたＭＢＭＳユーザサービスに登録するのを許可されたことをＢＭ−ＳＣに対して更に示す。
【００１７】
ＢＭ−ＳＣは、受信した情報を格納し、ＨＴＴＰ ２００ ＯＫメッセージ３６をＳＣＦ２１に返送する。ＢＭ−ＳＣは、ＨＴＴＰ ２００ ＯＫメッセージを以下の通りポピュレートする。
−ＨＴＴＰステータス行におけるＨＴＴＰステータスコードは２００である。
−ＨＴＴＰヘッダコンテンツタイプは、ペイロードのＭＩＭＥタイプ、すなわち「ａｐｐｌｉｃａｔｉｏｎ／ｍｂｍｓ−ｒｅｇｉｓｔｅｒ−ｒｅｓｐｏｎｓｅ＋ｘｍｌ」である。
−ＨＴＴＰペイロードは、ＭＢＭＳユーザサービス毎に１つのステータスコードを含むリストを含むＸＭＬ文書を含む。ペイロードのＸＭＬスキーマは、ＴＳ ３３．２４６においてＭＢＭＳ登録に対して使用されるものと同一であり、ＴＳ２６．３４６において特定される。
【００１８】
ＳＣＦ２１は、ＨＴＴＰ ２００ ＯＫメッセージ３６を受信し、ＨＴＴＰ ２００ ＯＫメッセージからのＸＭＬ本体をＳＩＰ ２００ ＯＫメッセージ３７に含み、ＩＭ ＣＮサブシステム３２を介してＳＩＰ ２００ ＯＫメッセージをＵＥ１１に送出する。次に、ＢＭ−ＳＣ２２は、ＴＳ ３３．２４６において特定された手順に従って、指示されたＭＢＭＳユーザサービスに対してＭＩＫＥＹ ＭＳＫメッセージ（ＭＵＫで保護された）３８、ＭＴＫメッセージ（ＭＳＫで保護された）３９及びＭＢＭＳデータ（ＭＴＫで保護された）４０をＵＥに送出し始める。
【００１９】
この手順に関する問題は、図３に関連して上述したものと同一である。すなわち、２つ以上のＢＭ−ＳＣがＳＣＦに接続される場合、ＢＭ−ＳＣ専用ＮＡＦキーを提供する方法はない。ＳＣＦ２１が接続された全てのＢＭ−ＳＣに同一のＫｓ＿ＮＡＦを送出する場合、同一のＫｓ＿ＮＡＦキーはＵＥ１１と関連した全てのＢＭ−ＳＣとの間で使用されることになる。これにより、ＵＥに対して互いに詐称するＢＭ−ＳＣ等の脅威をもたらすことになる。
【００２０】
また、ＭＩＫＥＹ ＭＳＫメッセージ３８には、ＭＩＫＥＹ ＭＳＫメッセージを保護するために使用されたＭＵＫ（すなわち、ＮＡＦキー）をＵＥ１１に対して示す十分な情報がない。ＭＢＭＳ ＴＳ ３３．２４６において、ＮＡＦ−Ｉｄ及びＢ−ＴＩＤはこれを示すために使用されるが、ＴＳ ２６．２３７において、ＢＭ−ＳＣ２２は、ＮＡＦとして動作しないため、この情報を有さない。
【課題を解決するための手段】
【００２１】
本発明の一実施形態において、ＳＣＦ／ＮＡＦ２１は、ＧＢＡにおいて通常通りＢＳＦ１２からＫｓ＿ＮＡＦを取り出す。ＳＣＦ／ＮＡＦは、自身のＫｓ＿ＮＡＦキーを（１つ以上の）ＢＭ−ＳＣ／ＡＳに送出する代わりに、更なるキー導出を行ない、ＳＣＦ専用Ｋｓ＿ＮＡＦからＢＭ−ＳＣ／ＡＳ専用キーＫｓ＿ＡＳを生成する。例えば、Ｋｓ＿ＡＳ＝ＫＤＦ（Ｋｓ＿ＮＡＦ、ノンス）である。ここで、ノンスは、ＳＣＦ／ＮＡＦにより規定され且つ関連したＢＭ−ＳＣ／ＡＣ専用の値である。ＳＣＦ／ＮＡＦは、ＵＥ１１に対してノンスを示し、結果、ＵＥは同一のＫｓ＿ＡＳを導出することができる。ＵＥが導出したＫｓ＿ＡＳキーを適切なＢＭ−ＳＣ／ＡＳに関連付けられるように、ＳＣＦ／ＮＡＦは、ＢＭ−ＳＣ／ＡＳのアイデンティティをＵＥに対して更に示す。その結果、ＵＥ及びＢＭ−ＳＣ／ＡＳは、ＢＭ−ＳＣ／ＡＳ専用キーを共有する。
【００２２】
一実施形態において、本発明は、通信ネットワークにおいて、通信装置と、認証ノードと、要求されたサービスを通信装置に提供する選択されたサービスノードとの間で共有セキュリティキーを管理する方法に関する。方法は、認証ノードが、認証ノードを識別する複数の認証ノード識別子を複数のサービスと関連付けるステップと、ネットワークにより所望のサービスに対するサービス記述を通信装置に対して使用可能にするステップとを含む。ここで、サービス記述は、所望のサービスと関連付けられる複数の認証ノード識別子のうちの１つを含み、その認証ノード識別子により通信装置はセキュリティキーを導出できるようになる。また、方法は、認証ノードにより、ネットワークにおいて複数の認証ノード識別子のうちの異なる１つを各サービスノードに割り当てることと、認証ノードが、割り当てられた認証ノード識別子を接続されたサービスノードと関連付けることとを更に含む。通信装置から所望のサービスに対する要求を受信すると、認証ノードは、割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対するセキュリティキーを取得するために、所望のサービスと関連付けられた認証ノード識別子を利用し、セキュリティキーを認証ノードから関連付けられたサービスノードに送出する。その結果、関連付けられたサービスノードがセキュリティキーで保護されたキー管理メッセージを通信装置に送出する場合、通信装置は、セキュリティキーを使用してメッセージを復号化し且つ検証する。
【００２３】
別の実施形態において、本発明は、通信ネットワークにおいて、通信装置と、認証ノードと、要求されたサービスを通信装置に提供する選択されたサービスノードとの間で共有セキュリティキーを管理する方法に関する。方法は、サービス記述が認証ノードに対して少なくとも１つの識別子を含み、各認証ノード識別子が、異なるサービス及び異なるサービスノードと関連付けられており、ネットワークにより少なくとも１つのサービスに対するサービス記述を通信装置に対して使用可能にするステップと、既知の情報及びサービス記述において受信された認証ノード識別子の中から選択された１つの認証ノード識別子に基づいて通信装置によりセキュリティキーを導出するステップと、ここで選択された認証ノード識別子が所望のサービスと関連付けられ、所望のサービスに対する要求であって、所望のサービスに対するトランザクション識別子及びサービス識別子を含む要求を、通信装置から認証ノードに送出するステップと、を含む。方法は、認証ノードにおいてサービス識別子を認証ノード識別子と関連付けることと、セキュリティキーを取得するために認証ノードにより認証ノード識別子及びトランザクション識別子を利用することと、認証ノード識別子と関連付けられたサービスノードを識別することと、所望のサービスに対する要求メッセージを認証ノードから識別されたサービスノードに送出することとを更に含む。ここで、要求メッセージは、サービス識別子、トランザクション識別子、セキュリティキー及び通信装置に対するアドレスを含む。その結果、識別されたサービスノードがセキュリティキーで保護されたキー管理メッセージを通信装置に送出する場合、通信装置は、セキュリティキーを使用してメッセージを復号化し且つ検証する。
【００２４】
別の実施形態において、本発明は、通信ネットワークにおいて、サービスを通信装置に提供するサービスノードと通信装置との間で共有セキュリティキーを管理する認証ノードに関する。認証ノードは、メモリに格納されたコンピュータプログラム命令を実行するプロセッサを含み、プロセッサは認証ノードの以下の構成要素を制御する。すなわち、プロセッサは、認証ノードを識別する複数の認証ノード識別子を複数のサービスと関連付ける手段と、ネットワークにおいて複数の認証ノード識別子のうちの異なる１つを各サービスノードに割り当てる手段と、割り当てられた認証ノード識別子を接続されたサービスノードと関連付けるテーブルと、通信装置から所望のサービスに対する要求を受信することに応答して、割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対するセキュリティキーを取得するために、所望のサービスと関連付けられた割り当てられた認証ノード識別子を利用する手段と、セキュリティキーを認証ノードから関連付けられたサービスノードに送出する通信手段とを制御する。ネットワークは、所望のサービスに対するサービス記述を通信装置に対して使用可能にする。サービス記述は、所望のサービスと関連付けられる複数の認証ノード識別子のうちの１つを含み、通信装置は、セキュリティキーを導出するために認証ノード識別子を利用する。その結果、関連付けられたサービスノードがセキュリティキーで保護されたキー管理メッセージを通信装置に送出する場合、通信装置は、セキュリティキーを使用してメッセージを復号化し且つ検証する。
【００２５】
別の実施形態において、本発明は、通信ネットワークにおいて、共有セキュリティキーを利用してユーザサービスを通信装置に提供するサービスノードに関する。サービスノードは、メモリに格納されたコンピュータプログラム命令を実行するプロセッサを備える。プロセッサは、サービスノードの以下の構成要素を制御する。すなわち、プロセッサは、認証ノード識別子、通信装置のＩＰアドレス、通信装置がサービスノードにより提供されたユーザサービスを要求したトランザクションを識別するトランザクション識別子及び共有セキュリティキーを認証ノードから取得する通信手段と、共有セキュリティキーで保護されたキー管理メッセージを通信装置に送出する通信手段であり、キー管理メッセージが認証ノード識別子及びトランザクション識別子を含む通信手段と、を制御する。通信装置は、サービスノードからキー管理メッセージを受信する場合、認証ノード識別子及びトランザクション識別子からの共有セキュリティキーを識別する。認証ノードが認証ノード識別子を通信装置に提供する場合又は通信装置がサービス記述において認証ノード識別子を受信する場合、通信装置は、認証ノード識別子を利用して共有セキュリティキーを導出し、共有セキュリティキーを使用してキー管理メッセージを復号化し且つ検証する。
【００２６】
別の実施形態において、本発明は、通信ネットワークにおいて共有セキュリティキーを管理するシステムに関する。システムは、通信装置と、通信装置と通信している認証ノードと；認証ノード及び通信装置と通信しているサービスノードと、を備える。認証ノードは、認証ノードを識別する複数の認証ノード識別子を複数のサービスと関連付ける手段と、複数の認証ノード識別子の中から選択された１つの認証ノード識別子をサービスノードに割り当てる手段と、割り当てられた認証ノード識別子を接続されたサービスノードと関連付けるテーブルと、通信装置から所望のサービスに対する要求を受信することに応答して、割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対するセキュリティキーを取得するために、所望のサービスと関連付けられた割り当てられた認証ノード識別子を利用する手段と、認証ノード識別子、通信装置のＩＰアドレス、通信装置がサービスノードにより提供されたユーザサービスを要求したトランザクションを識別するトランザクション識別子及び共有セキュリティキーをサービスノードに送出する通信手段と、を備える。サービスノードは、共有セキュリティキーで保護されたキー管理メッセージを通信装置に送出する手段を備え、キー管理メッセージが認証ノード識別子及びトランザクション識別子を備える。移動通信装置は、認証ノード識別子及びトランザクション識別子からの共有セキュリティキーを識別する手段と、ネットワークから取得したサービス記述又は認証ノードから認証ノード識別子を受信する通信手段と、認証ノード識別子を利用して共有セキュリティキーを導出する手段と、共有セキュリティキーを使用してキー管理メッセージを復号化し且つ検証する手段と、を備える。
【００２７】
ＩＭＳベースのＭＢＭＳ及びＰＳＳユーザサービスにおけるキー配信に対する特定の例示的な一実施形態において、本発明は、ＵＥが同一のキーを当該全てのＢＭ−ＳＣと共有するのではなく異なる（特定の）キーを複数のＢＭ−ＳＣの各々と共有するセキュリティ上より安全なシステムを提供するのが有利である。認証プロキシ（ＡＰ）の例場合にＡＳ専用キーを取得する関連した一実施形態において、本発明は、ＵＥとアプリケーションサーバ（ＡＳ）との間で共有された秘密を実現する方法を提供するのが有利である。これにより、ＡＰを用いた例の場合に開発される新しい種類のアプリケーションが可能となる。本発明は、ＵＥが同一のキーを当該全てのＡＳと共有するのではなく異なる（特定の）キーを各ＡＳと共有するセキュリティ上より安全なシステムを提供する。
【図面の簡単な説明】
【００２８】
【図１】ブートストラッピングサービスを使用してネットワークアプリケーション機能（ＮＡＦ）を示すＴＳ ３３．２２２の高水準参照モデルを示す図である。
【図２】認証プロキシ（ＡＰ）の環境及び参照点を示すＴＳ ３３．２２２の高水準参照モデルを示す図である。
【図３】キーを共有することに対する現在の解決方法を示すＴＳ ２６．２３７の高水準参照モデルを示す図である。
【図４】既存のＩＭＳベースのＭＢＭＳ登録手順中に種々のネットワークエンティティ間で送出されたメッセージを示すメッセージフローチャートである。
【図５Ａ】、
【図５Ｂ】ＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）がサービス記述においてＵＥに対して示される場合、本発明のＩＭＳベースのＭＢＭＳ登録手順の第１の実施形態中に種々のネットワークエンティティ間で送出されたメッセージを示すメッセージフローチャートの一部を示す図である。
【図６Ａ】、
【図６Ｂ】ＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）がＳＩＰ ２００ ＯＫメッセージにおいてＵＥに対して示される場合、本発明のＩＭＳベースのＭＢＭＳ登録手順の第２の実施形態中に種々のネットワークエンティティ間で送出されたメッセージを示すメッセージフローチャートの一部を示す図である。
【図７】本発明のシステムの一実施形態、並びにＩＭＳベースのＭＢＭＳユーザサービス及びＰＳＳユーザサービスにおけるキー配信の方法を示す高水準参照モデルを示す図である。
【図８】本発明のシステムの一実施形態及び認証プロキシ（ＡＰ）の例の場合にＡＳ専用キーを取得する方法を示す高水準参照モデルを示す図である。
【図９】本発明のシステムの例示的な一実施形態を示す概略ブロック図である。
【発明を実施するための形態】
【００２９】
キー導出において使用されるＮＡＦ−ＩｄをＵＥに対して示すための方法は２つある。
Ａ）ＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）を、サービス記述においてＵＥに対して示す。ＵＥが選択するサービスに基づいて、ＵＥは対応するＮＡＦ−Ｉｄを使用する。これはＭＢＭＳ ＴＳ ３３．２４６における現在の手順に類似するが、そこではＢＭ−ＳＣ ＦＱＤＮが示される。
Ｂ）ＳＩＰ ＩＮＶＩＴＥ手順が終了する前にＵＥがＮＡＦ−Ｉｄを使用する必要はない。そこで、ＳＣＦが、ＳＩＰ ＩＮＶＩＴＥ手順内でＵＥに対してＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）を示すことができる。この別の方法は、サービス要求を受信する際にＳＣＦがＢＭ−ＳＣをユーザに動的に割り当てられるという利点を有する。これは、例えば負荷分散において有益である。
【００３０】
図５Ａ及び図５Ｂは、ＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）がサービス記述においてＵＥ１１に対して示される場合（すなわち、上記の選択肢Ａ）の、本発明のＩＭＳベースのＭＢＭＳ登録手順において種々のネットワークエンティティ間で送出されるメッセージを示す、メッセージフローチャートの一部である。図５Ａ及び図５Ｂは、ＵＥが３ＧＰＰ ＴＳ ３３．２０３に従ってＩＭＳに登録され且つ認証されており、ＳＩＰ手順が３ＧＰＰ ＴＳ ３３．２０３において規定されているようにＩＭＳセキュリティにより保護され、ＵＥが３ＧＰＰ ＴＳ ３３．２２０において規定されているようにＢＳＦ１２とのＧＢＡブートストラッピングを実行しており、且つネットワークインタフェースが３ＧＰＰ ＴＳ ３３．２１０において規定されているようにネットワークドメインセキュリティ（ＮＤＳ／ＩＰ）で保護されるという前提条件に基づく。
【００３１】
また、ＳＣＦ２１は、実際のＭＢＭＳユーザサービスをＵＥに提供する１つ以上のＢＭ−ＳＣ２２ａ、２２ｂに接続している。ＢＭ−ＳＣがＮＡＦとして動作するＴＳ ３３．２４６において規定されたＭＢＭＳセキュリティとは異なり、ＳＣＦは、ＢＭ−ＳＣの代わりにＮＡＦとして動作する。ＢＳＦ１２は、ＮＡＦキー導出への入力としてＮＡＦ−Ｉｄ（ＮＡＦ及びＵａセキュリティプロトコル識別子のＦＱＤＮを含む）を使用する。ＢＳＦからＢＭ−ＳＣ専用ＮＡＦキーを取得するために、ＳＣＦは、ＢＭ−ＳＣ毎に別個のＦＱＤＮを割り当てる（ＳＣＦが管理するＦＱＤＮ空間から）。ＳＣＦは、例えばテーブルにおいて、これらの割り当てられたＦＱＤＮを接続したＢＭ−ＳＣに関連付ける。
【００３２】
これらの割り当てられた別個のＦＱＤＮは、２つの理由から必要である。第１に、２つのＢＭ−ＳＣが同一のＮＡＦキーを取得することによりシステムのセキュリティを脅かすため、ＳＣＦ２１は、同一の（例えば、自身の）ＦＱＤＮを使用できない。第２に、自身が与えているＮＡＦ−Ｉｄを使用する権利がＮＡＦに与えられているかを判定することをＢＳＦ１２が調査するため、ＳＣＦはＢＭ−ＳＣのＦＱＤＮを使用できない。一例として、ＳＣＦは、ＢＭ−ＳＣ＿１ ２２ａ及びＢＭ−ＳＣ＿２ ２２ｂに対してＮＡＦ−Ｉｄを以下の通り割り当てる。 ＮＡＦ−Ｉｄ＿１（ＦＱＤＮ）＜＝＞ＢＭ−ＳＣ１（ＦＱＤＮ）
ＮＡＦ−Ｉｄ＿２（ＦＱＤＮ）＜＝＞ＢＭ−ＳＣ２（ＦＱＤＮ）
ここで、例えば、ＮＡＦ−Ｉｄ＿１は、ｓｅｒｖｅｒ１．ｓｃｆ．ｏｐｅｒａｔｏｒＡ．ｃｏｍであり、ＢＭ−ＳＣ＿１は、ｂｍｓｃ１２３．ｏｐｅｒａｔｏｒＢ．ｃｏｍである。
【００３３】
図５Ａを参照すると、次に、ＧＢＡブートストラップ手順４２、サービス記述検索手順４３が実行される。ＵＥ１１は、ＳＳＦ４１と通信し、サービス記述４４、すなわちサービス保護記述等の使用可能なサービス及びそのパラメータのリストを検索する。ＢＭ−ＳＣ ＦＱＤＮではなくＳＣＦを割り当てられたＦＱＤＮが含まれることを除いて、サービス保護記述はＴＳ ３３．２４６において規定されたものに類似する。ＵＥがＳＩＰ ＩＮＶＩＴＥメッセージ４７を送出すべき場所を認識するように、ＳＣＦ２１のＦＱＤＮがここでも更に必要であると仮定される。
【００３４】
４５において、ユーザは、サービス記述からサービスを選択し、サービス記述における選択されたサービスに関して示されているＮＡＦ−Ｉｄに対応するＮＡＦキーを導出する。あるいは、ＮＡＦキーは、ＳＩＰ ＩＮＶＩＴＥ手順４６の後に導出されてもよい。
【００３５】
ＵＥ１１は、ＩＭ ＣＮサブシステム３２を介してＳＩＰ ＩＮＶＩＴＥメッセージ４７をＳＣＦ２１に送出する。ＩＮＶＩＴＥメッセージは、Ｒｅｑｕｅｓｔ−ＵＲＩにおいてＳＣＦを示し、メッセージは、ＵＥが登録したい要求されたＭＢＭＳユーザサービスのアイデンティティ（ｕｓｅｒＳｅｒｖｉｃｅＩｄｓ）をＳＩＰメッセージ本文のＸＭＬ文書に含む。ＸＭＬ文書は、ＴＳ ３３．２４６においてＭＢＭＳ登録に対して利用されたものと同一であり、ＴＳ ２６．３４６において特定される。更に、ブートストラッピングトランザクション識別子（Ｂ−ＴＩＤ）を搬送するＸＭＬ文書がある。Ｂ−ＴＩＤを搬送するＸＭＬ文書は、３ＧＰＰ ＴＳ ２６．２３７のＡｎｎｅｘ Ｉにおいて規定される。
【００３６】
ＳＣＦ２１は、ＳＩＰ ＩＮＶＩＴＥメッセージ４７のヘッダからＵＥ１１のＩＰアドレス及びＵＥの表明された１つ又は複数のアイデンティティを受信する。ＳＣＦは、格納された加入情報に基づいて調査し、ＵＥが要求されたＭＢＭＳユーザサービスにアクセスする許可を受けているかを判定する。手順は、ＵＥが許可を受けている場合は継続し、許可を受けていない場合は終了する。
【００３７】
図５Ｂを参照すると、ＵＥに対して格納されたＢ−ＴＩＤがない場合又は受信したＢ−ＴＩＤがＵＥに対して格納されたものと異なる場合、ＳＣＦは、ＴＳ ３３．２２０において規定されているように、Ｚｎ参照点を介してＢＳＦ１２を用いてＧＢＡ使用手順４８を実行し、ＵＥに対応するＮＡＦキーを取り出す。ＳＣＦは、許可要求メッセージ４９をＢＳＦに送出し、サービス記述にこのサービスに対して示されるＮＡＦ−Ｉｄを含める。ＢＳＦは、５０においてＮＡＦキーを導出するためにＮＡＦ−Ｉｄを使用し、次に許可応答メッセージ５１においてＮＡＦキーを返送する。その後ＳＣＦは、ＴＳ ３３．２４６において規定されているようにＮＡＦキーからＭＵＫを導出する。尚、新しいＵａセキュリティプロトコルは、このために３ＧＰＰ ＴＳ ３３．２２０において登録される必要がある。
【００３８】
次に、ＨＴＴＰ登録手順５２において、ＳＣＦ２１は、ＨＴＴＰ ＰＯＳＴメッセージ５３をＢＭ−ＳＣ（示された例の場合、ＢＭ−ＳＣ＿１ ２２ａ）に送出する。ＳＣＦは、ＨＴＴＰ ＰＯＳＴメッセージを以下の通りポピュレートする。
−ＨＴＴＰバージョンは１．１であり、ＲＦＣ２６１６において特定される。
−Ｒｅｑｕｅｓｔ−ＵＲＩのベースは、完全なＢＭ−ＳＣキー管理ＵＲＩ（例えば、ｈｔｔｐ：／／ｂｍｓｃ．ｈｏｍｅ１．ｎｅｔ：１２３４）を含む。
−Ｒｅｑｕｅｓｔ−ＵＲＩは、「ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ」に設定されるＵＲＩパラメータ「ｒｅｑｕｅｓｔｔｙｐｅ」を含む。すなわち、Ｒｅｑｕｅｓｔ−ＵＲＩは、「／ｋｅｙｍａｎａｇｅｍｅｎｔ？ｒｅｑｕｅｓｔｔｙｐｅ＝ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ」の形態を取る。
−ＳＣＦは、更なるＵＲＩパラメータをＲｅｑｕｅｓｔ−ＵＲＩに追加してもよい。
−ＵＥのアイデンティティを含むＸ−３ＧＰＰ−Ａｓｓｅｒｔｅｄ−Ｉｄｅｎｔｉｔｙヘッダ。
−ＨＴＴＰヘッダコンテンツタイプは、ペイロードのＭＩＭＥタイプ、すなわち「ａｐｐｌｉｃａｔｉｏｎ／ｍｂｍｓ−ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ＋ｘｍｌ」である。
−ＨＴＴＰペイロードは、ＵＥが登録したいＭＢＭＳユーザサービスの１つ以上のｕｓｅｒＳｅｒｖｉｃｅＩｄｓ、ＵＥのＩＰアドレス、ＭＢＭＳユーザキー（ＭＵＫ）、ＭＵＫの有効期限、ＮＡＦ−Ｉｄ及びＢ−ＴＩＤのリストを含むＸＭＬ文書を含む。ＮＡＦ−Ｉｄ及びＢ−ＴＩＤは、使用されたＭＵＫ（すなわち、ＮＡＦキー）を識別するためにＢＭ−ＳＣからＵＥへのＭＩＫＥＹメッセージに更に含まれるので、これらＮＡＦ−Ｉｄ及びＢ−ＴＩＤが含まれる。ペイロードのＸＭＬスキーマは、３ＧＰＰ ＴＳ ２６．２３７のＡｎｎｅｘ Ｉにおいて特定される。
−ＳＣＦは、更なるＨＴＴＰヘッダをＨＴＴＰ ＰＯＳＴ要求メッセージに追加してもよい。
【００３９】
ＢＭ−ＳＣ＿１ ２２ａは、ＨＴＴＰ ＰＯＳＴメッセージ５３を受信し、ＨＴＴＰ ＰＯＳＴメッセージが有効であることを検証し、更なる処理に対する要求を抽出する。ＨＴＴＰ ＰＯＳＴメッセージが表明されたアイデンティティと共にＳＣＦ２１から送出されるため、ＵＥ１１はＩＭＳによりすでに認証されており、したがってＢＭ−ＳＣ＿１はＵＥを認証する必要はない。また、ＨＴＴＰ ＰＯＳＴメッセージは、ＵＥが示されたＭＢＭＳユーザサービスに登録するのをＳＣＦが許可したことをＢＭ−ＳＣ＿１に対して更に示す。
【００４０】
ＢＭ−ＳＣ＿１は、受信した情報を格納し、ＨＴＴＰ ２００ ＯＫメッセージ５４をＳＣＦ２１に返送する。ＢＭ−ＳＣ＿１は、ＨＴＴＰ ２００ ＯＫメッセージを以下の通りポピュレートする。
−ＨＴＴＰステータス行におけるＨＴＴＰステータスコードは２００である。
−ＨＴＴＰヘッダコンテンツタイプは、ペイロードのＭＩＭＥタイプ、すなわち「ａｐｐｌｉｃａｔｉｏｎ／ｍｂｍｓ−ｒｅｇｉｓｔｅｒ−ｒｅｓｐｏｎｓｅ＋ｘｍｌ」である。
−ＨＴＴＰペイロードは、ＭＢＭＳユーザサービス毎に１つのステータスコードを含むリストを含むＸＭＬ文書を含む。ペイロードのＸＭＬスキーマは、ＴＳ ３３．２４６においてＭＢＭＳ登録に対して使用されるものと同一であり、ＴＳ２６．３４６において特定される。
【００４１】
ＳＣＦ２１は、ＨＴＴＰ ２００ ＯＫメッセージ５４を受信し、ＨＴＴＰ ２００ ＯＫメッセージからのＸＭＬ本体をＳＩＰ ２００ ＯＫメッセージ５５に含ませ、そのＳＩＰ ２００ ＯＫメッセージをＩＭ ＣＮサブシステム３２を介してＵＥ１１に送出する。ＭＩＫＥＹ ＭＳＫ手順５６において、次に、ＢＭ−ＳＣ＿１ ２２ａは、ＴＳ ３３．２４６において特定された手順に従って、示されたＭＢＭＳユーザサービスに対してＭＩＫＥＹ ＭＳＫメッセージ（ＭＵＫで保護された）５７、ＭＴＫメッセージ（ＭＳＫで保護された）５８及びＭＢＭＳデータ（ＭＴＫで保護された）５９をＵＥに送出し始める。ＭＩＫＥＹ ＭＳＫメッセージ５７において、ＢＭ−ＳＣは、ＨＴＴＰ ＰＯＳＴメッセージ５３においてＳＣＦ２１から受信したＮＡＦ−Ｉｄ（ＦＱＤＮ）及びＢ−ＴＩＤを使用する。
【００４２】
図６Ａ及び図６Ｂは、ＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）がＳＩＰ ２００ ＯＫメッセージにおいてＵＥ１１に対して示される場合（すなわち、上記選択Ｂ）の、本発明によるＩＭＳベースのＭＢＭＳ登録手順の一実施形態において種々のネットワークエンティティ間で送出されるメッセージを示すメッセージフローチャートの一部である。上記の図５Ａ及び図５Ｂに対して説明されたように、同一の前提条件を適用する。
【００４３】
図６Ａを参照すると、ＧＢＡブートストラップ手順４２に続いて、サービス記述検索手順６１が実行される。ＵＥ１１は、ＳＳＦ４１と通信し、サービス記述６２、すなわちサービス保護記述等の使用可能なサービス及びそのパラメータのリストを検索する。サービス保護記述は、含まれているＦＱＤＮがＢＭ−ＳＣ ＦＱＤＮではなくＳＣＦを指し示すことを除いては、ＴＳ ３３．２４６において規定されているものに類似する。ＵＥがＳＩＰ ＩＮＶＩＴＥメッセージ４７を送出すべき場所を認識するように、ＳＣＦ２１のＦＱＤＮがここでも更に必要であると仮定される。
【００４４】
ＳＩＰ ＩＮＶＩＴＥ手順６３において、 ＵＥ１１は、ＩＭ ＣＮサブシステム３２を介してＳＩＰ ＩＮＶＩＴＥメッセージ６４をＳＣＦ２１に送出する。ＩＮＶＩＴＥメッセージはＲｅｑｕｅｓｔ−ＵＲＩにおいてＳＣＦを示し、メッセージは、ＳＩＰメッセージ本体におけるＸＭＬ文書、ＵＥが登録したい要求されたＭＢＭＳユーザサービスのアイデンティティ（ｕｓｅｒＳｅｒｖｉｃｅＩｄｓ）を含む。ＸＭＬ文書は、ＴＳ ３３．２４６においてＭＢＭＳ登録に対して利用されたものと同一であり、ＴＳ ２６．３４６において特定される。更に、ブートストラッピングトランザクション識別子（Ｂ−ＴＩＤ）を搬送するＸＭＬ文書がある。Ｂ−ＴＩＤを搬送するＸＭＬ文書は、３ＧＰＰ ＴＳ ２６．２３７のＡｎｎｅｘ Ｉにおいて規定される。
【００４５】
ＳＣＦ２１は、ＳＩＰ ＩＮＶＩＴＥメッセージ６４のヘッダからＵＥ１１のＩＰアドレス及びＵＥのアサートされた１つ又は複数のアイデンティティを受信する。ＳＣＦは、格納された加入情報に基づいて調査し、ＵＥが要求されたＭＢＭＳユーザサービスにアクセスする許可を受けているかを判定する。手順は、ＵＥが許可を受けている場合は継続し、許可を受けていない場合は終了する。
【００４６】
図６Ｂを参照すると、ＵＥに対して格納されたＢ−ＴＩＤがない場合又は受信したＢ−ＴＩＤがＵＥに対して格納されたものと異なる場合、ＳＣＦは、ＴＳ ３３．２２０において規定されているように、Ｚｎ参照点を介してＢＳＦ１２を用いてＧＢＡ使用手順６５を実行し、ＵＥに対応するＮＡＦキーを取り出す。ＳＣＦは、許可要求メッセージ６６をＢＳＦに送出し、このサービスに対してＳＣＦが割り当てたＮＡＦ−Ｉｄを含める。ＢＳＦは、６７においてＮＡＦキーを導出するためにＮＡＦ−Ｉｄを使用し、次に許可応答メッセージ６８においてＮＡＦキーを返送する。その後ＳＣＦは、ＴＳ ３３．２４６において規定されているようにＮＡＦキーからＭＵＫを導出する。尚、新しいＵａセキュリティプロトコルは、このために３ＧＰＰ ＴＳ ３３．２２０において登録される必要がある。
【００４７】
次に、ＨＴＴＰ登録手順６９において、ＳＣＦ２１は、ＨＴＴＰ ＰＯＳＴメッセージ７０をＢＭ−ＳＣ（示された例の場合、ＢＭ−ＳＣ＿１ ２２ａ）に送出する。ＳＣＦは、ＨＴＴＰ ＰＯＳＴメッセージを以下の通りポピュレートする。
−ＨＴＴＰバージョンは１．１であり、ＲＦＣ２６１６において特定される。
−Ｒｅｑｕｅｓｔ−ＵＲＩのベースは、完全なＢＭ−ＳＣキー管理ＵＲＩ（例えば、ｈｔｔｐ：／／ｂｍｓｃ．ｈｏｍｅ１．ｎｅｔ：１２３４）を含む。
−Ｒｅｑｕｅｓｔ−ＵＲＩは、「ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ」に設定されるＵＲＩパラメータ「ｒｅｑｕｅｓｔｔｙｐｅ」を含む。すなわち、Ｒｅｑｕｅｓｔ−ＵＲＩは、「／ｋｅｙｍａｎａｇｅｍｅｎｔ？ｒｅｑｕｅｓｔｔｙｐｅ＝ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ」の形態を取る。
−ＳＣＦは、更なるＵＲＩパラメータをＲｅｑｕｅｓｔ−ＵＲＩに追加してもよい。
−ＵＥのアイデンティティを含むＸ−３ＧＰＰ−Ａｓｓｅｒｔｅｄ−Ｉｄｅｎｔｉｔｙヘッダ。
−ＨＴＴＰヘッダコンテンツタイプは、ペイロードのＭＩＭＥタイプ、すなわち「ａｐｐｌｉｃａｔｉｏｎ／ｍｂｍｓ−ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ＋ｘｍｌ」である。
−ＨＴＴＰペイロードは、ＵＥが登録したいＭＢＭＳユーザサービスの１つ以上のｕｓｅｒＳｅｒｖｉｃｅＩｄｓ、ＵＥのＩＰアドレス、ＭＢＭＳユーザキー（ＭＵＫ）、ＭＵＫの有効期限、ＮＡＦ−Ｉｄ及びＢ−ＴＩＤのリストを含むＸＭＬ文書を含む。ＮＡＦ−Ｉｄ及びＢ−ＴＩＤは、使用されたＭＵＫ（すなわち、ＮＡＦキー）を識別するためにＢＭ−ＳＣからＵＥへのＭＩＫＥＹメッセージに更に含まれるので、これらＮＡＦ−Ｉｄ及びＢ−ＴＩＤが含まれる。ペイロードのＸＭＬスキーマは、３ＧＰＰ ＴＳ ２６．２３７のＡｎｎｅｘ Ｉにおいて特定される。
−ＳＣＦは、更なるＨＴＴＰヘッダをＨＴＴＰ ＰＯＳＴ要求メッセージに追加してもよい。
【００４８】
ＢＭ−ＳＣ＿１ ２２ａは、ＨＴＴＰ ＰＯＳＴメッセージ７０を受信し、ＨＴＴＰ ＰＯＳＴメッセージが有効であることを検証し、更なる処理に対する要求を抽出する。ＨＴＴＰ ＰＯＳＴメッセージがアサートされたアイデンティティと共にＳＣＦ２１から送出されたため、ＵＥ１１はＩＭＳによりすでに認証されており、ＢＭ−ＳＣ＿１はＵＥを認証する必要はない。また、ＨＴＴＰ ＰＯＳＴメッセージは、ＵＥが示されたＭＢＭＳユーザサービスに登録するのをＳＣＦが許可したことをＢＭ−ＳＣ＿１に対して更に示す。
【００４９】
ＢＭ−ＳＣ＿１は、受信した情報を格納し、ＨＴＴＰ ２００ ＯＫメッセージ７１をＳＣＦ２１に返送する。ＢＭ−ＳＣ＿１は、ＨＴＴＰ ２００ ＯＫメッセージを以下の通りポピュレートする。
−ＨＴＴＰステータス行におけるＨＴＴＰステータスコードは２００である。
−ＨＴＴＰヘッダコンテンツタイプは、ペイロードのＭＩＭＥタイプ、すなわち「ａｐｐｌｉｃａｔｉｏｎ／ｍｂｍｓ−ｒｅｇｉｓｔｅｒ−ｒｅｓｐｏｎｓｅ＋ｘｍｌ」である。
−ＨＴＴＰペイロードは、ＭＢＭＳユーザサービス毎に１つのステータスコードを含むリストを含むＸＭＬ文書を含む。ペイロードのＸＭＬスキーマは、ＴＳ ３３．２４６においてＭＢＭＳ登録に対して使用されるものと同一であり、ＴＳ２６．３４６において特定される。
【００５０】
ＳＣＦ２１は、ＨＴＴＰ ２００ ＯＫメッセージ７１を受信し、ＨＴＴＰ ２００ ＯＫメッセージからのＸＭＬ本体及び使用されたＮＡＦ−ＩｄをＳＩＰ ２００ ＯＫメッセージ７２に含ませて、このＳＩＰ ２００ ＯＫメッセージをＩＭ ＣＮサブシステム３２を介してＵＥ１１に送出する。ＵＥは、ＳＩＰ ２００ ＯＫメッセージを受信すると、ＴＳ ３３．２４６において規定されているように、サービスに対応するＮＡＦキーを導出するために７３において受信したＮＡＦ−Ｉｄを使用し、ＭＵＫを導出する。
【００５１】
ＭＩＫＥＹ ＭＳＫ手順７４において、ＢＭ−ＳＣ＿１ ２２ａは、ＴＳ ３３．２４６において特定された手順に従って、示されたＭＢＭＳユーザサービスに対しての、ＭＩＫＥＹ ＭＳＫメッセージ（ＭＵＫで保護された）７５、ＭＴＫメッセージ（ＭＳＫで保護された）７６及びＭＢＭＳデータ（ＭＴＫで保護された）７７をＵＥに送出し始めることができる。ＭＩＫＥＹ ＭＳＫメッセージ７５において、ＢＭ−ＳＣは、ＨＴＴＰ ＰＯＳＴメッセージ７０においてＳＣＦ２１から受信したＮＡＦ−Ｉｄ（ＦＱＤＮ）及びＢ−ＴＩＤを使用する。
【００５２】
図７は、本発明のシステムの一実施形態、並びにＩＭＳベースのＭＢＭＳユーザサービス及びＰＳＳユーザサービスにおけるキー配信の方法を示す高水準参照モデルを示す。ステップ１において、ＵＥ１１及びＢＳＦ１２は、ＴＳ ３３．２２０において規定されているようにＧＢＡブートストラッピング手順を実行する。その結果、キーＫｓ及びＢ−ＴＩＤが得られる。ステップ２において、ＵＥは、ＴＳ ３３．２２０において規定されているようにＮＡＦ専用キーマテリアル（Ｋｓ＿ＮＡＦ）を導出する。ステップ３において、ＵＥは、ＳＩＰ ＩＮＶＩＴＥメッセージ（Ｂ−ＴＩＤが含まれた）をＳＣＦ２１（ＮＡＦとして動作する）に送出することにより、セッション開始プロトコル（ＳＩＰ）セッションを開始する。ステップ４において、ＳＣＦは、Ｂ−ＴＩＤを使用してＢＳＦからＫｓ＿ＮＡＦを要求する。ステップ５において、ＢＳＦは、ＴＳ ３３．２２０において規定されているようにＮＡＦ専用キーマテリアル（Ｋｓ＿ＮＡＦ）を導出する。ステップ６において、ＢＳＦはＫｓ＿ＮＡＦをＳＣＦに送出する。
【００５３】
新たなステップ６ｂにおいて、ＳＣＦ２１は、要求を受信すべきＢＭ−ＳＣを判定する。この情報はＵＥの要求から入手可能であってもよいし、あるいはＳＣＦがローカルなポリシーに基づいてローカルに決定してもよい。ＳＣＦは、Ｋｓ＿ＡＳ＝ＫＤＦ（Ｋｓ＿ＮＡＦ、ノンス（nonce））等のキー導出機能を使用してＫｓ＿ＮＡＦからのＢＭ−ＳＣ専用キーＫｓ＿ＡＳ及びノンスを導出する。ノンスは、例えば完全修飾ドメイン名（ＦＱＤＮ）等のＢＭ−ＳＣのアイデンティティ、ＳＣＦにより選択された（擬似）ランダム値又はノンスとして使用可能な他の何らかの値とすることができる。
【００５４】
ステップ７において、ＳＣＦ２１は、ＨＴＴＰ要求におけるＫｓ＿ＡＳ及びＢＭ−ＳＣのアイデンティティ（例えば、ＦＱＤＮ）を識別されたＢＭ−ＳＣ２２ａに送出する。ＣＲ Ｓ４−０９０１４８において特定された他の情報は、要求において更に送出される（Ｋｓ＿ＮＡＦがＫｓ＿ＡＳにより置換されることを除いて）。尚、ＢＭ−ＳＣがＭＩＫＥＹメッセージのＩＤペイロードにおけるＢＭ−ＳＣ２２ａのＢ−ＴＩＤ及びＦＱＤＮをＵＥ１１に対して含むように、それらはＢＭ−ＳＣに送出される。ＵＥは、適切なＭＵＫ、すなわちＫｓ＿ＡＳを識別するためにこれらを使用する。ＦＱＤＮをＳＣＦからＢＭ−ＳＣに送出することにより、ＢＭ−ＳＣが種々のＦＱＤＮと共にＵＥ及びＳＣＦに対して認識されるようになる。従って、ＢＭ−ＳＣは、ＢＭ−ＳＣがＳＣＦから受信したＵＥに同一のＦＱＤＮを送出することが保証される必要がある。
【００５５】
ステップ８において、ＢＭ−ＳＣ２２ａは、情報を格納し、ＳＩＰ ２００ ＯＫメッセージを含むＨＴＴＰ要求をＳＣＦ２１に対して確認応答する。ステップ９において、ＳＣＦは、ＳＩＰ ２００ ＯＫメッセージをＵＥ１１に送出する。２００ ＯＫメッセージは、ノンス及びＢＭ−ＳＣのアイデンティティを含む。ＦＱＤＮがノンスとして使用される場合、これら２つは同一の値であってもよい。ステップ９ｂにおいて、ＵＥは、Ｋｓ＿ＡＳ＝ＫＤＦ（Ｋｓ＿ＮＡＦ、ノンス）等のキー導出機能を使用してＫｓ＿ＮＡＦからのＢＭ−ＳＣ専用キーＫｓ＿ＡＳ及びノンスを導出する。ＵＥは、ＢＭ−ＳＣのアイデンティティを含むキーＫｓ＿ＡＳを格納する。最後にステップ１０において、ＢＭ−ＳＣ２２ａは、ＭＵＫであるＫｓ＿ＡＳで保護されたＭＩＫＥＹキー管理メッセージをＵＥに送出する（ＴＳ ３３．２４６を参照）。ＢＭ−ＳＣは、ＭＩＫＥＹメッセージのＩＤペイロードにおいてＳＣＦ２１から受信したＢＭ−ＳＣ ＦＱＤＮ及びＢ−ＴＩＤを含む。その結果、ＵＥ１１は、Ｋｓ＿ＡＳを使用してメッセージを復号化し且つ検証できる。ＵＥは、適切なＭＵＫ（すなわち、Ｋｓ＿ＡＳ）を識別するためにＭＩＫＥＹメッセージのＩＤペイロードを使用する。
【００５６】
図８は、本発明のシステムの第２の実施形態を示し、認証プロキシ（ＡＰ）のシナリオにおいてＡＳ専用キーを取得する方法を示す高水準参照モデルを表す。本実施形態は、いくつかのＡＳ１６ａ及び１６ｂがＡＰ１５の背後に常駐してもよい一般的なＡＰ−ＡＳの例を意図する。ＴＬＳトンネルは、ＵＥ１１とＡＰ１５との間に設定されてもよいが、トンネルは本発明に関連しない。
【００５７】
ステップ１において、ＵＥ１１及びＢＳＦ１２は、ＴＳ ３３．２２０において規定されたようにＧＢＡブートストラッピング手順を実行する。その結果、キーＫｓ及びＢ−ＴＩＤが得られる。ステップ２において、ＵＥは、ＴＳ ３３．２２０において規定されたようにＮＡＦ専用キーマテリアル（Ｋｓ＿ＮＡＦ）を導出する。ステップ３において、ＵＥは、ＨＴＴＰ要求（Ｂ−ＴＩＤが含まれた）をＡＰ（ＮＡＦとして動作する）に送出する。ステップ４において、ＡＰは、Ｂ−ＴＩＤを使用してＢＳＦからＫｓ＿ＮＡＦを要求する。ステップ５において、ＢＳＦは、ＴＳ ３３．２２０において規定されているようにＮＡＦ専用キー材料（Ｋｓ＿ＮＡＦ）を導出する。ステップ６において、ＢＳＦはＫｓ＿ＮＡＦをＡＰに送出する。
【００５８】
新たなステップ６ｂにおいて、ＡＰ１５は、要求を受信すべきＡＳを判定する。この情報はＵＥの要求から入手可能であってもよいし、あるいはＡＰがローカルなポリシーに基づいてローカルに決定してもよい。ＡＰは、Ｋｓ＿ＡＳ＝ＫＤＦ（Ｋｓ＿ＮＡＦ、ノンス）等のキー導出機能を使用してＫｓ＿ＮＡＦからのＡＰ専用キーＫｓ＿ＡＳ及びノンスを導出する。ノンスは、例えばＦＱＤＮ等のＡＳのアイデンティティ、ＡＰにより選択された（擬似）ランダム値又はノンスとして使用可能な他の何らかの値であってもよい。
【００５９】
ステップ７において、ＡＰ１５は、ＨＴＴＰ要求におけるＫｓ＿ＡＳ及びＡＳのアイデンティティ（例えば、ＦＱＤＮ）を識別されたＡＳ１６ａに送出する。尚、ＡＳが種々のＦＱＤＮによりＵＥ１１及びＡＰ１５に対して認識され得るので、ＡＰは、ＡＳのＦＱＤＮをＡＳに送出する必要がある。ＵＥは、適切なＫｓ＿ＡＳを識別するためにＦＱＤＮを使用してもよい。従って、同一のＦＱＤＮは、ＡＰからＡＳに送出され且つＡＳからＵＥに送出されることが保証される必要がある。
【００６０】
ステップ８において、ＡＳ１６ａは、情報を格納し、ＳＩＰ ２００ ＯＫメッセージを含むＨＴＴＰ要求をＡＰ１５に対して確認応答する。ステップ９において、ＡＰは、ＳＩＰ ２００ ＯＫメッセージをＵＥ１１に送出する。２００ ＯＫメッセージは、ノンス及びＢＭ−ＳＣのアイデンティティを含む。ＦＱＤＮがノンスとして使用される場合、これら２つは同一の値であってもよい。ステップ９ｂにおいて、ＵＥは、Ｋｓ＿ＡＳ＝ＫＤＦ（Ｋｓ＿ＮＡＦ、ノンス）等のキー導出機能を使用してＫｓ＿ＮＡＦからのＡＳ専用キーＫｓ＿ＡＳ及びノンスを導出する。ＵＥは、ＡＳのアイデンティティを含むキーＫｓ＿ＡＳを格納する。最後にステップ１０において、ＡＳ１６ａは、Ｋｓ＿ＡＳで保護されたメッセージをＵＥに送出する。その結果、ＵＥ１１は、Ｋｓ＿ＡＳを使用してメッセージを復号化し且つ検証できる。ＵＥは、適切なＫｓ＿ＡＳを識別するためにＡＳのアイデンティティを使用する。
【００６１】
図９は、本発明のシステムの例示的な一実施形態を示す概略ブロック図である。システムは、ＵＥ１１と、ＳＣＦ２１と、ＢＳＦ１２と、ＢＭ−ＳＣ＿１ ２２ａとを含む。これらのユニットの各々の動作は、例えばメモリに格納されたコンピュータプログラム命令を実行するプロセッサにより制御され得る。図９に示された例示的な実施形態において、ＵＥはプロセッサ８１とメモリ８２とを含み、ＳＣＦはプロセッサ８３とメモリ８４とを含み、ＢＳＦはプロセッサ８５とメモリ８６とを含み、ＢＭ−ＳＣ＿１はプロセッサ８７とメモリ８８とを含む。
【００６２】
Ｋｓ＿ＮＡＦ導出ユニット９１を含むＵＥ１１が更に示される。図６に示された実施形態において、ＵＥは、ＳＳＦ４１からのサービス記述においてＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）を受信し、ＳＩＰ ＩＮＶＩＴＥ手順４６を開始する前にＫｓ＿ＮＡＦを導出する。図７に示された実施形態において、ＵＥは、ＳＩＰ ２００ ＯＫメッセージ７２においてＮＡＦ−Ｉｄを受信し、Ｋｓ＿ＮＡＦを導出する。
【００６３】
ＵＥ１１は、ＩＭ ＣＮ３２を介してＳＩＰ ＩＮＶＩＴＥメッセージをＳＣＦ２１に送出する。メッセージは、ＳＩＰ ＩＮＶＩＴＥ通信ユニット９２において受信される。ＳＩＰ ＩＮＶＩＴＥ通信ユニットは、ＩＮＶＩＴＥメッセージからのｕｓｅｒＳｅｒｖｉｃｅＩｄ及びＢ−ＴＩＤをサービス／ＮＡＦ−Ｉｄマッピングユニット９３に転送する。サービス／ＮＡＦ−Ｉｄマッピングユニット９３は、ｕｓｅｒＳｅｒｖｉｃｅＩｄをＮＡＦ−Ｉｄ＿１にマッピングする。ＮＡＦ−Ｉｄ＿１及びＢ−ＴＩＤは、ＧＢＡ使用通信ユニット９４に転送される。ＧＢＡ使用通信ユニット９４は、これらのパラメータをＢＳＦ１２に転送する。ＢＳＦにおけるＧＢＡ使用通信ユニット９５は、パラメータを受信し、Ｋｓ＿ＮＡＦを導出するＫｓ＿ＮＡＦ導出ユニット９６に、それら受信したパラメータを転送する。その後Ｋｓ＿ＮＡＦは、それらがＨＴＴＰ登録通信ユニット９７に転送されるＳＣＦに返送される。
【００６４】
ＨＴＴＰ登録通信ユニット９７は、ＨＴＴＰ ＰＯＳＴメッセージを、ＨＴＴＰ登録通信ユニット９８においてＨＴＴＰ ＰＯＳＴメッセージを受信するＢＭ−ＳＣ＿１ ２２ａに、送出する。ＨＴＴＰ ＰＯＳＴメッセージは、ｕｓｅｒＳｅｒｖｉｃｅＩｄと、ＮＡＦ−Ｉｄ＿１と、ＵＥ ＩＰアドレスと、Ｂ−ＴＩＤと、ＭＵＫ（＝Ｋｓ＿ＮＡＦ）と、ＭＵＫ有効期限とを含む。ＢＭ−ＳＣ＿１は、サービスステータスユニット９９から各ＭＢＭＳユーザサービスのステータスを取得し、ｕｓｅｒＳｅｒｖｉｃｅＩｄと共にＨＴＴＰ ２００ ＯＫメッセージにおいてＭＢＭＳユーザサービスコード毎に１つのステータスコードを含むリストをＳＣＦ２１に送出する。ＳＣＦは、この情報をＵＥ１１に転送する。ＨＴＴＰ登録通信ユニット９８は、情報をＭＩＫＥＹ ＭＳＫユニット１０１に更に送出する。情報は、ＭＳＫ−ＩＤ＿１と、ＮＡＦ−Ｉｄ＿１と、Ｂ−ＴＩＤと、ＭＵＫ（＝Ｋｓ＿ＮＡＦ）とを含む。
【００６５】
この情報を使用することにより、ＭＩＫＥＹ ＭＳＫユニット１０１は、ＭＩＫＥＹ ＭＳＫメッセージ（ＭＵＫで保護された）、ＭＴＫメッセージ（ＭＳＫで保護された）及びＭＢＭＳデータ（ＭＴＫで保護された）をＫｓ＿ＮＡＦ導出ユニット９１でＭＵＫ（＝Ｋｓ＿ＮＡＦ）を導出したＵＥ１１に送出できるようになる。
【００６６】
従って、本発明は、２つ以上のＢＭ−ＳＣ２２がＳＣＦ２１に接続される場合にＢＭ−ＳＣ専用ＮＡＦキーを提供する問題を解決する。更に本発明は、ＭＩＫＥＹ ＭＳＫメッセージを保護するためにどのＭＵＫ（すなわち、ＮＡＦキー）が使用されたかをＵＥ１１に対して示す十分な情報がＭＩＫＥＹメッセージにないという問題を解決する。ＳＣＦ２１は、Ｂ−ＴＩＤ及び選択されたＮＡＦ−ＩｄをＢＭ−ＳＣ２２に送出する。ＢＭ−ＳＣ２２は、どのＮＡＦキーが使用されたかをＵＥに対して示すために、ＭＩＫＥＹメッセージ内でそれらＢ−ＴＩＤ及び選択されたＮＡＦ−Ｉｄを更に使用する。
【００６７】
図６及び図７に示された実施形態において、本発明は、ＮＡＦキーを更に導出する必要がないという更なる利点を有する。ＮＡＦキーを更に導出することにより、ＧＳＭネットワーク及びＵＭＴＳネットワークにおける移動端末において使用された汎用集積回路カード（ＵＩＣＣ）スマートカードを変更する必要が生じる。ＵＩＣＣベースのキー管理が使用されている場合、ＮＡＦキーはＵＩＣＣ内で処理される。一般にＵＩＣＣの影響が標準化において望ましくないため、これは場合によっては問題となり得る。本発明のこれらの実施形態は、このような潜在的な問題を回避する。
【００６８】
当然、本発明は、本発明の必須の特徴から逸脱することなく本明細書において上述された以外の他の特定の方法で実行されてもよい。従って、本発明の実施形態は、限定するものではなく例示するものとして全ての点において考慮されるべきであり、添付の請求の範囲の意味及び同等の範囲内の全ての変更は、本発明に取り入れられることを意図する。
【技術分野】
【０００１】
本発明は、通信ネットワークに関し、特にＩＰマルチメディアサブシステム（ＩＭＳ）ベースのマルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスにおいて共有セキュリティキーを管理するシステム、方法及びネットワークノードに関する。
【背景技術】
【０００２】
本発明に関連する既存の手順は、いくつかの第３世代パートナーシッププロジェクト（３ＧＰＰ）技術仕様書において説明される。それらは以下のものを含む。
【０００３】
・３ＧＰＰ ＴＳ ３３．２２０ ｖ８．５．０ Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ；汎用認証アーキテクチャ（ＧＡＡ）；汎用ブートストラッピングアーキテクチャ（リリース８）、
・３ＧＰＰ ＴＳ ３３．２２２ ｖ８．０．０ Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ；汎用認証アーキテクチャ（ＧＡＡ）；トランスポート層セキュリティを介するハイパーテキスト転送プロトコル（ＨＴＴＰＳ）を使用したネットワークアプリケーション機能へのアクセス（リリース８）、
・３ＧＰＰ ＴＳ ３３．２４６ ｖ８．２．０ Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ；３Ｇセキュリティ；マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）のセキュリティ（リリース８）及び
・３ＧＰＰ ＴＳ ２６．２３７ ｖ８．０．０ Ｔｅｃｈｎｉｃａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｇｒｏｕｐ Ｓｅｒｖｉｃｅｓ ａｎｄ Ｓｙｓｔｅｍ Ａｓｐｅｃｔｓ；ＩＰマルチメディアサブシステム（ＩＭＳ）ベースのパケット交換ストリーミング（ＰＳＳ）及びマルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービス；プロトコル（リリース８）。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
図１は、ブートストラッピングサービスを使用してネットワークアプリケーション機能（ＮＡＦ）を示すＴＳ ３３．２２２の高水準参照モデルである。ネットワークエンティティは、汎用ブートストラッピングアーキテクチャ（ＧＢＡ）を特定する３ＧＰＰ ＴＳ ３３．２２０において規定される。ＧＢＡにおいて、ユーザ機器（ＵＥ）１１等の移動通信装置及びブートストラッピングサーバ機能（ＢＳＦ）１２は、Ｕｂ参照点を介してＨＴＴＰ ｄｉｇｅｓｔ ＡＫＡを実行することにより、共有キーＫｓを確立する。共有キーＫｓは、Ｕａ参照点を介したＵＥとＮＡＦ１３との間の通信のセキュリティを保護するように、ＮＡＦ専用キー（Ｋｓ＿ＮＡＦキーと呼ばれる）を導出するために後で使用される。ＮＡＦは、Ｚｎ参照点を介してＮＡＦ専用キーを取り出す。
【０００５】
３ＧＰＰ ＴＳ ３３．２２２の６節は、ＮＡＦ１３において認証プロキシ（ＡＰ）を使用することを特定する。ＡＰは、ＴＳ ３３．２２０において特定されたＧＢＡアーキテクチャに準拠する。ＡＰは、このアーキテクチャにおいて使用される場合、ＮＡＦの役割をすることにより、セキュリティタスクのアプリケーションサーバ（ＡＳ）を解放する。
【０００６】
図２は、認証プロキシ（ＡＰ）１５の環境及び参照点を示すＴＳ ３３．２２２の高水準参照モデルである。ＴＳ ３３．２２２は、ＮＡＦ１３においてＵＥ１１とＡＰ１５との間でトランスポート層セキュリティ（ＴＬＳ）が使用されると仮定する。ＨＴＴＰＳ要求がＡＰの背後のアプリケーションサーバ（ＡＳ）１６ａ〜１６ｎに向けられる場合、ＡＰは、ＴＬＳトンネル１７（TLS Tunnel）を終了し、ＢＳＦ１２からＮＡＦキー（Ｋｓ＿ＮＡＦ）を取出し、ＵＥ認証を実行する。ＡＰは、ＵＥから受信したＨＴＴＰ要求を１つ又は複数のＡＳに対してプロキシする。ＡＰは、ＵＥからの要求をＡＳに転送する場合、ＡＳが使用するための加入者のアイデンティティの表明を追加してもよい。
【０００７】
ＮＡＦキーを使用するためのＴＳ ３３．２２２において規定された手順に関する問題は、共有キー材料が必要とされる場合があってもＵＥ１１及びＡＳ１６ａ〜１６ｎがそのようなキー材料を全く共有しないことである。ＡＰ１５は、ＴＳ ３３．２２２においてＮＡＦ１３の役割を担う。従って、ＮＡＦキー（Ｋｓ＿ＮＡＦ）は、ＴＳ ３３．２２０において特定されたキー導出規則に従ってＡＰ専用のキーであり、ＵＥにより認識されない。
【０００８】
図３は、キーを共有することに対する現在の解決方法を示すＴＳ ２６．２３７の高水準参照モデルである。ＡＳと共にＮＡＦを使用することに対して上記で規定されたこの問題は、ＴＳ ２６．２３７において規定されたネットワークエンティティに更に当てはまる。この場合、サービス制御機能（ＳＣＦ）２１は、ＮＡＦ／ＡＰの修正された変形例の役割を担い（従って、ＳＣＦ／ＮＡＦとラベル付けされる）、ＭＢＭＳブロードキャスト／マルチキャストサービスセンター（ＭＢ−ＳＣ）２２は、ＡＳの役割を担う（従って、ＢＭ−ＳＣ／ＡＳとラベル付けされる）。図２のＡＳのように、ＢＭ−ＳＣ／ＡＳは、保護されたＭＩＫＥＹキー管理メッセージをユニキャストチャネル又はブロードキャストチャネルを介してＢＭ−ＳＣ／ＡＳからＵＥに直接送出できるように、ＵＥ１１との共有キーを必要とする。
【０００９】
尚、ＴＳ ２６．２３７は、このようにＴＳ ３３．２２２のＡＰ１５及びＡＳ１６との類似性について言及していない。ＴＳ ２６．２３７における設定は、ＴＳ ３３．２２２における設定と厳密に同一ではなく、例えばＵＥ１１とＳＣＦ２１との間のＴＬＳトンネルは必ずしも使用されない。しかし、同様の問題は依然として存在する。
【００１０】
ＴＳ ２６．２３７において、ＳＣＦ２１が自身のＮＡＦキー（Ｋｓ＿ＮＡＦ）をＢＭ−ＳＣ２２に送出する解決方法が紹介されている。ＢＭ−ＳＣは、ＢＭ−ＳＣからＵＥ１１へのＭＩＫＥＹキー管理メッセージを保護するために使用されるＭＵＫ（ＭＢＭＳユーザキー）としてＫｓ＿ＮＡＦを使用する。図３のステップ１〜６は現在のＧＢＡ手順に従い、ステップ７は、Ｋｓ＿ＮＡＦ及び加入者の表明されたアイデンティティをＢＭ−ＳＣに送出することを説明する。
【００１１】
１つのＢＭ−ＳＣ２２のみがＳＣＦ２１に接続される限り（及びＢＭ−ＳＣはＳＣＦ専用ＮＡＦキーを乱用しないため、ＳＣＦがＢＭ−ＳＣに対して十分な信頼を置く限り）、ＴＳ ２６．２３７における現在の解決方法は適切に機能する。２つ以上のＢＭ−ＳＣがＳＣＦに装着される場合に問題が発生する。これは、現在の解決方法によると、ＳＣＦが、自身のＫｓ＿ＮＡＦをＢＭ−ＳＣに送出するため、同一のＫｓ＿ＮＡＦを接続された全てのＢＭ−ＳＣに送出することになるためである。同一のキーを複数のノードに与えるのは適切なセキュリティの習慣ではない。これにより、同一のＫｓ＿ＮＡＦがＵＥ１１と関連した全てのＢＭ−ＳＣとの間で使用される状況になる。これにより、ＵＥに対して互いに詐称するＢＭ−ＳＣ等の脅威をもたらすことになる。
【００１２】
図４は、既存のＩＭＳベースのＭＢＭＳ登録手順中に種々のネットワークエンティティ間で送出されたメッセージを示すメッセージフローチャートである。図４は、ＵＥ１１が３ＧＰＰ ＴＳ ３３．２０３に従ってＩＭＳに登録され且つ認証されており、ＵＥが３ＧＰＰ ＴＳ ２６．２３７において規定されたようにサービススケジュール機能（ＳＳＦ）（不図示）と通信し且つ使用可能なサービスのリストを受信しており、ＵＥが３ＧＰＰ ＴＳ ３３．２２０において規定されたようにＢＳＦ１２とのＧＢＡブートストラッピングを実行しており、且つネットワークインタフェースが３ＧＰＰ ＴＳ ３３．２１０において規定されたようにネットワークドメインセキュリティ（ＮＤＳ／ＩＰ）で保護されるという前提条件に基づく。
【００１３】
手順は以下の通りであり、セキュリティ手順に関する関連情報のみが示される。ＵＥ１１は、ＩＰマルチメディアコアネットワーク（ＩＭ ＣＮ）サブシステム３２を介してＳＩＰ ＩＮＶＩＴＥメッセージ３１をＳＣＦ２１に送出する。ＩＮＶＩＴＥメッセージはＲｅｑｕｅｓｔ−ＵＲＩにおいて「ＳＣＦ」を示し、メッセージは、ＳＩＰメッセージ本体（Msg body）におけるＸＭＬ文書において、ＵＥが登録したい要求されたＭＢＭＳユーザサービス（ｕｓｅｒＳｅｒｖｉｃｅＩｄｓ）のアイデンティティを含む。ＸＭＬ文書は、ＴＳ ３３．２４６においてＭＢＭＳ登録に対して使用されたものと同一であり、ＴＳ ２６．３４６において特定される。更に、ブートストラッピングトランザクション識別子（Ｂ−ＴＩＤ）を搬送するＸＭＬ文書がある。Ｂ−ＴＩＤを搬送するＸＭＬ文書は、３ＧＰＰ ＴＳ２６．２３７のＡｎｎｅｘ Ｉにおいて規定される。
【００１４】
ＳＣＦ２１は、ＳＩＰ ＩＮＶＩＴＥメッセージ３１のヘッダからＵＥ１１のＩＰアドレス及びＵＥの表明された１つ又は複数のアイデンティティを受信する。ＳＣＦは、格納された加入情報に基づいて調査し、ＵＥが要求されたＭＢＭＳユーザサービスにアクセスする許可を受けているかを判定する。ＵＥが許可を受けている場合には手順は継続し、許可を受けていない場合には手順は終了する。ＵＥに対して格納されたＢ−ＴＩＤがない場合又は受信したＢ−ＴＩＤがＵＥに対して格納されたものと異なる場合、ＳＣＦ２１は、ＴＳ ３３．２２０において規定されたように、３３及び３４においてＺｎ参照点を介してＢＳＦ１２を用いてＧＢＡ使用手順を実行し、ＵＥに対応するＮＡＦキーを取り出す。ＳＣＦは、ＴＳ ３３．２４６において規定されたように、ＮＡＦキーからＭＢＭＳユーザキー（ＭＵＫ）を導出する。
【００１５】
ＳＣＦ２１は、ＨＴＴＰ ＰＯＳＴメッセージ３５をＢＭ−ＳＣ２２に送出する。ＳＣＦは、ＨＴＴＰ ＰＯＳＴメッセージを以下の通りポピュレートする。
−ＨＴＴＰバージョンは１．１であり、ＲＦＣ２６１６において特定される。
−Ｒｅｑｕｅｓｔ−ＵＲＩのベースは、完全なＢＭ−ＳＣキー管理ＵＲＩ（例えば、ｈｔｔｐ：／／ｂｍｓｃ．ｈｏｍｅ１．ｎｅｔ：１２３４）を含む。
−Ｒｅｑｕｅｓｔ−ＵＲＩは、「ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ」に設定されるＵＲＩパラメータ「ｒｅｑｕｅｓｔｔｙｐｅ」を含む。すなわち、Ｒｅｑｕｅｓｔ−ＵＲＩは、「／ｋｅｙｍａｎａｇｅｍｅｎｔ？ｒｅｑｕｅｓｔｔｙｐｅ＝ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ」の形態を取る。
−ＳＣＦは、更なるＵＲＩパラメータをＲｅｑｕｅｓｔ−ＵＲＩに追加してもよい。
−ＵＥのアイデンティティを含むＸ−３ＧＰＰ−Ａｓｓｅｒｔｅｄ−Ｉｄｅｎｔｉｔｙヘッダ。
−ＨＴＴＰヘッダコンテンツタイプは、ペイロードのＭＩＭＥタイプ、すなわち「ａｐｐｌｉｃａｔｉｏｎ／ｍｂｍｓ−ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ＋ｘｍｌ」である。
−ＨＴＴＰペイロードは、ＵＥが登録したいＭＢＭＳユーザサービスの１つ以上のｕｓｅｒＳｅｒｖｉｃｅＩｄｓ、ＵＥのＩＰアドレス、ＭＢＭＳユーザキー（ＭＵＫ）及びＭＵＫの有効期限のリストを含むＸＭＬ文書を含む。ペイロードのＸＭＬスキーマは、３ＧＰＰ ＴＳ ２６．２３７のＡｎｎｅｘ Ｉにおいて特定される
−ＳＣＦは、更なるＨＴＴＰヘッダをＨＴＴＰ ＰＯＳＴ要求に追加してもよい。
【００１６】
ＢＭ−ＳＣ２２は、ＨＴＴＰ ＰＯＳＴメッセージ３５を受信し、ＨＴＴＰ ＰＯＳＴが有効であることを検証し、更なる処理に対する要求を抽出する。ＨＴＴＰ ＰＯＳＴメッセージが表明されたアイデンティティと共にＳＣＦ２１から送出されたものであるため、ＵＥ１１がＩＭＳにより認証されているので、ＢＭ−ＳＣはＵＥを認証する必要はない。また、ＨＴＴＰ ＰＯＳＴメッセージは、ＳＣＦにより、ＵＥが示されたＭＢＭＳユーザサービスに登録するのを許可されたことをＢＭ−ＳＣに対して更に示す。
【００１７】
ＢＭ−ＳＣは、受信した情報を格納し、ＨＴＴＰ ２００ ＯＫメッセージ３６をＳＣＦ２１に返送する。ＢＭ−ＳＣは、ＨＴＴＰ ２００ ＯＫメッセージを以下の通りポピュレートする。
−ＨＴＴＰステータス行におけるＨＴＴＰステータスコードは２００である。
−ＨＴＴＰヘッダコンテンツタイプは、ペイロードのＭＩＭＥタイプ、すなわち「ａｐｐｌｉｃａｔｉｏｎ／ｍｂｍｓ−ｒｅｇｉｓｔｅｒ−ｒｅｓｐｏｎｓｅ＋ｘｍｌ」である。
−ＨＴＴＰペイロードは、ＭＢＭＳユーザサービス毎に１つのステータスコードを含むリストを含むＸＭＬ文書を含む。ペイロードのＸＭＬスキーマは、ＴＳ ３３．２４６においてＭＢＭＳ登録に対して使用されるものと同一であり、ＴＳ２６．３４６において特定される。
【００１８】
ＳＣＦ２１は、ＨＴＴＰ ２００ ＯＫメッセージ３６を受信し、ＨＴＴＰ ２００ ＯＫメッセージからのＸＭＬ本体をＳＩＰ ２００ ＯＫメッセージ３７に含み、ＩＭ ＣＮサブシステム３２を介してＳＩＰ ２００ ＯＫメッセージをＵＥ１１に送出する。次に、ＢＭ−ＳＣ２２は、ＴＳ ３３．２４６において特定された手順に従って、指示されたＭＢＭＳユーザサービスに対してＭＩＫＥＹ ＭＳＫメッセージ（ＭＵＫで保護された）３８、ＭＴＫメッセージ（ＭＳＫで保護された）３９及びＭＢＭＳデータ（ＭＴＫで保護された）４０をＵＥに送出し始める。
【００１９】
この手順に関する問題は、図３に関連して上述したものと同一である。すなわち、２つ以上のＢＭ−ＳＣがＳＣＦに接続される場合、ＢＭ−ＳＣ専用ＮＡＦキーを提供する方法はない。ＳＣＦ２１が接続された全てのＢＭ−ＳＣに同一のＫｓ＿ＮＡＦを送出する場合、同一のＫｓ＿ＮＡＦキーはＵＥ１１と関連した全てのＢＭ−ＳＣとの間で使用されることになる。これにより、ＵＥに対して互いに詐称するＢＭ−ＳＣ等の脅威をもたらすことになる。
【００２０】
また、ＭＩＫＥＹ ＭＳＫメッセージ３８には、ＭＩＫＥＹ ＭＳＫメッセージを保護するために使用されたＭＵＫ（すなわち、ＮＡＦキー）をＵＥ１１に対して示す十分な情報がない。ＭＢＭＳ ＴＳ ３３．２４６において、ＮＡＦ−Ｉｄ及びＢ−ＴＩＤはこれを示すために使用されるが、ＴＳ ２６．２３７において、ＢＭ−ＳＣ２２は、ＮＡＦとして動作しないため、この情報を有さない。
【課題を解決するための手段】
【００２１】
本発明の一実施形態において、ＳＣＦ／ＮＡＦ２１は、ＧＢＡにおいて通常通りＢＳＦ１２からＫｓ＿ＮＡＦを取り出す。ＳＣＦ／ＮＡＦは、自身のＫｓ＿ＮＡＦキーを（１つ以上の）ＢＭ−ＳＣ／ＡＳに送出する代わりに、更なるキー導出を行ない、ＳＣＦ専用Ｋｓ＿ＮＡＦからＢＭ−ＳＣ／ＡＳ専用キーＫｓ＿ＡＳを生成する。例えば、Ｋｓ＿ＡＳ＝ＫＤＦ（Ｋｓ＿ＮＡＦ、ノンス）である。ここで、ノンスは、ＳＣＦ／ＮＡＦにより規定され且つ関連したＢＭ−ＳＣ／ＡＣ専用の値である。ＳＣＦ／ＮＡＦは、ＵＥ１１に対してノンスを示し、結果、ＵＥは同一のＫｓ＿ＡＳを導出することができる。ＵＥが導出したＫｓ＿ＡＳキーを適切なＢＭ−ＳＣ／ＡＳに関連付けられるように、ＳＣＦ／ＮＡＦは、ＢＭ−ＳＣ／ＡＳのアイデンティティをＵＥに対して更に示す。その結果、ＵＥ及びＢＭ−ＳＣ／ＡＳは、ＢＭ−ＳＣ／ＡＳ専用キーを共有する。
【００２２】
一実施形態において、本発明は、通信ネットワークにおいて、通信装置と、認証ノードと、要求されたサービスを通信装置に提供する選択されたサービスノードとの間で共有セキュリティキーを管理する方法に関する。方法は、認証ノードが、認証ノードを識別する複数の認証ノード識別子を複数のサービスと関連付けるステップと、ネットワークにより所望のサービスに対するサービス記述を通信装置に対して使用可能にするステップとを含む。ここで、サービス記述は、所望のサービスと関連付けられる複数の認証ノード識別子のうちの１つを含み、その認証ノード識別子により通信装置はセキュリティキーを導出できるようになる。また、方法は、認証ノードにより、ネットワークにおいて複数の認証ノード識別子のうちの異なる１つを各サービスノードに割り当てることと、認証ノードが、割り当てられた認証ノード識別子を接続されたサービスノードと関連付けることとを更に含む。通信装置から所望のサービスに対する要求を受信すると、認証ノードは、割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対するセキュリティキーを取得するために、所望のサービスと関連付けられた認証ノード識別子を利用し、セキュリティキーを認証ノードから関連付けられたサービスノードに送出する。その結果、関連付けられたサービスノードがセキュリティキーで保護されたキー管理メッセージを通信装置に送出する場合、通信装置は、セキュリティキーを使用してメッセージを復号化し且つ検証する。
【００２３】
別の実施形態において、本発明は、通信ネットワークにおいて、通信装置と、認証ノードと、要求されたサービスを通信装置に提供する選択されたサービスノードとの間で共有セキュリティキーを管理する方法に関する。方法は、サービス記述が認証ノードに対して少なくとも１つの識別子を含み、各認証ノード識別子が、異なるサービス及び異なるサービスノードと関連付けられており、ネットワークにより少なくとも１つのサービスに対するサービス記述を通信装置に対して使用可能にするステップと、既知の情報及びサービス記述において受信された認証ノード識別子の中から選択された１つの認証ノード識別子に基づいて通信装置によりセキュリティキーを導出するステップと、ここで選択された認証ノード識別子が所望のサービスと関連付けられ、所望のサービスに対する要求であって、所望のサービスに対するトランザクション識別子及びサービス識別子を含む要求を、通信装置から認証ノードに送出するステップと、を含む。方法は、認証ノードにおいてサービス識別子を認証ノード識別子と関連付けることと、セキュリティキーを取得するために認証ノードにより認証ノード識別子及びトランザクション識別子を利用することと、認証ノード識別子と関連付けられたサービスノードを識別することと、所望のサービスに対する要求メッセージを認証ノードから識別されたサービスノードに送出することとを更に含む。ここで、要求メッセージは、サービス識別子、トランザクション識別子、セキュリティキー及び通信装置に対するアドレスを含む。その結果、識別されたサービスノードがセキュリティキーで保護されたキー管理メッセージを通信装置に送出する場合、通信装置は、セキュリティキーを使用してメッセージを復号化し且つ検証する。
【００２４】
別の実施形態において、本発明は、通信ネットワークにおいて、サービスを通信装置に提供するサービスノードと通信装置との間で共有セキュリティキーを管理する認証ノードに関する。認証ノードは、メモリに格納されたコンピュータプログラム命令を実行するプロセッサを含み、プロセッサは認証ノードの以下の構成要素を制御する。すなわち、プロセッサは、認証ノードを識別する複数の認証ノード識別子を複数のサービスと関連付ける手段と、ネットワークにおいて複数の認証ノード識別子のうちの異なる１つを各サービスノードに割り当てる手段と、割り当てられた認証ノード識別子を接続されたサービスノードと関連付けるテーブルと、通信装置から所望のサービスに対する要求を受信することに応答して、割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対するセキュリティキーを取得するために、所望のサービスと関連付けられた割り当てられた認証ノード識別子を利用する手段と、セキュリティキーを認証ノードから関連付けられたサービスノードに送出する通信手段とを制御する。ネットワークは、所望のサービスに対するサービス記述を通信装置に対して使用可能にする。サービス記述は、所望のサービスと関連付けられる複数の認証ノード識別子のうちの１つを含み、通信装置は、セキュリティキーを導出するために認証ノード識別子を利用する。その結果、関連付けられたサービスノードがセキュリティキーで保護されたキー管理メッセージを通信装置に送出する場合、通信装置は、セキュリティキーを使用してメッセージを復号化し且つ検証する。
【００２５】
別の実施形態において、本発明は、通信ネットワークにおいて、共有セキュリティキーを利用してユーザサービスを通信装置に提供するサービスノードに関する。サービスノードは、メモリに格納されたコンピュータプログラム命令を実行するプロセッサを備える。プロセッサは、サービスノードの以下の構成要素を制御する。すなわち、プロセッサは、認証ノード識別子、通信装置のＩＰアドレス、通信装置がサービスノードにより提供されたユーザサービスを要求したトランザクションを識別するトランザクション識別子及び共有セキュリティキーを認証ノードから取得する通信手段と、共有セキュリティキーで保護されたキー管理メッセージを通信装置に送出する通信手段であり、キー管理メッセージが認証ノード識別子及びトランザクション識別子を含む通信手段と、を制御する。通信装置は、サービスノードからキー管理メッセージを受信する場合、認証ノード識別子及びトランザクション識別子からの共有セキュリティキーを識別する。認証ノードが認証ノード識別子を通信装置に提供する場合又は通信装置がサービス記述において認証ノード識別子を受信する場合、通信装置は、認証ノード識別子を利用して共有セキュリティキーを導出し、共有セキュリティキーを使用してキー管理メッセージを復号化し且つ検証する。
【００２６】
別の実施形態において、本発明は、通信ネットワークにおいて共有セキュリティキーを管理するシステムに関する。システムは、通信装置と、通信装置と通信している認証ノードと；認証ノード及び通信装置と通信しているサービスノードと、を備える。認証ノードは、認証ノードを識別する複数の認証ノード識別子を複数のサービスと関連付ける手段と、複数の認証ノード識別子の中から選択された１つの認証ノード識別子をサービスノードに割り当てる手段と、割り当てられた認証ノード識別子を接続されたサービスノードと関連付けるテーブルと、通信装置から所望のサービスに対する要求を受信することに応答して、割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対するセキュリティキーを取得するために、所望のサービスと関連付けられた割り当てられた認証ノード識別子を利用する手段と、認証ノード識別子、通信装置のＩＰアドレス、通信装置がサービスノードにより提供されたユーザサービスを要求したトランザクションを識別するトランザクション識別子及び共有セキュリティキーをサービスノードに送出する通信手段と、を備える。サービスノードは、共有セキュリティキーで保護されたキー管理メッセージを通信装置に送出する手段を備え、キー管理メッセージが認証ノード識別子及びトランザクション識別子を備える。移動通信装置は、認証ノード識別子及びトランザクション識別子からの共有セキュリティキーを識別する手段と、ネットワークから取得したサービス記述又は認証ノードから認証ノード識別子を受信する通信手段と、認証ノード識別子を利用して共有セキュリティキーを導出する手段と、共有セキュリティキーを使用してキー管理メッセージを復号化し且つ検証する手段と、を備える。
【００２７】
ＩＭＳベースのＭＢＭＳ及びＰＳＳユーザサービスにおけるキー配信に対する特定の例示的な一実施形態において、本発明は、ＵＥが同一のキーを当該全てのＢＭ−ＳＣと共有するのではなく異なる（特定の）キーを複数のＢＭ−ＳＣの各々と共有するセキュリティ上より安全なシステムを提供するのが有利である。認証プロキシ（ＡＰ）の例場合にＡＳ専用キーを取得する関連した一実施形態において、本発明は、ＵＥとアプリケーションサーバ（ＡＳ）との間で共有された秘密を実現する方法を提供するのが有利である。これにより、ＡＰを用いた例の場合に開発される新しい種類のアプリケーションが可能となる。本発明は、ＵＥが同一のキーを当該全てのＡＳと共有するのではなく異なる（特定の）キーを各ＡＳと共有するセキュリティ上より安全なシステムを提供する。
【図面の簡単な説明】
【００２８】
【図１】ブートストラッピングサービスを使用してネットワークアプリケーション機能（ＮＡＦ）を示すＴＳ ３３．２２２の高水準参照モデルを示す図である。
【図２】認証プロキシ（ＡＰ）の環境及び参照点を示すＴＳ ３３．２２２の高水準参照モデルを示す図である。
【図３】キーを共有することに対する現在の解決方法を示すＴＳ ２６．２３７の高水準参照モデルを示す図である。
【図４】既存のＩＭＳベースのＭＢＭＳ登録手順中に種々のネットワークエンティティ間で送出されたメッセージを示すメッセージフローチャートである。
【図５Ａ】、
【図５Ｂ】ＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）がサービス記述においてＵＥに対して示される場合、本発明のＩＭＳベースのＭＢＭＳ登録手順の第１の実施形態中に種々のネットワークエンティティ間で送出されたメッセージを示すメッセージフローチャートの一部を示す図である。
【図６Ａ】、
【図６Ｂ】ＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）がＳＩＰ ２００ ＯＫメッセージにおいてＵＥに対して示される場合、本発明のＩＭＳベースのＭＢＭＳ登録手順の第２の実施形態中に種々のネットワークエンティティ間で送出されたメッセージを示すメッセージフローチャートの一部を示す図である。
【図７】本発明のシステムの一実施形態、並びにＩＭＳベースのＭＢＭＳユーザサービス及びＰＳＳユーザサービスにおけるキー配信の方法を示す高水準参照モデルを示す図である。
【図８】本発明のシステムの一実施形態及び認証プロキシ（ＡＰ）の例の場合にＡＳ専用キーを取得する方法を示す高水準参照モデルを示す図である。
【図９】本発明のシステムの例示的な一実施形態を示す概略ブロック図である。
【発明を実施するための形態】
【００２９】
キー導出において使用されるＮＡＦ−ＩｄをＵＥに対して示すための方法は２つある。
Ａ）ＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）を、サービス記述においてＵＥに対して示す。ＵＥが選択するサービスに基づいて、ＵＥは対応するＮＡＦ−Ｉｄを使用する。これはＭＢＭＳ ＴＳ ３３．２４６における現在の手順に類似するが、そこではＢＭ−ＳＣ ＦＱＤＮが示される。
Ｂ）ＳＩＰ ＩＮＶＩＴＥ手順が終了する前にＵＥがＮＡＦ−Ｉｄを使用する必要はない。そこで、ＳＣＦが、ＳＩＰ ＩＮＶＩＴＥ手順内でＵＥに対してＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）を示すことができる。この別の方法は、サービス要求を受信する際にＳＣＦがＢＭ−ＳＣをユーザに動的に割り当てられるという利点を有する。これは、例えば負荷分散において有益である。
【００３０】
図５Ａ及び図５Ｂは、ＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）がサービス記述においてＵＥ１１に対して示される場合（すなわち、上記の選択肢Ａ）の、本発明のＩＭＳベースのＭＢＭＳ登録手順において種々のネットワークエンティティ間で送出されるメッセージを示す、メッセージフローチャートの一部である。図５Ａ及び図５Ｂは、ＵＥが３ＧＰＰ ＴＳ ３３．２０３に従ってＩＭＳに登録され且つ認証されており、ＳＩＰ手順が３ＧＰＰ ＴＳ ３３．２０３において規定されているようにＩＭＳセキュリティにより保護され、ＵＥが３ＧＰＰ ＴＳ ３３．２２０において規定されているようにＢＳＦ１２とのＧＢＡブートストラッピングを実行しており、且つネットワークインタフェースが３ＧＰＰ ＴＳ ３３．２１０において規定されているようにネットワークドメインセキュリティ（ＮＤＳ／ＩＰ）で保護されるという前提条件に基づく。
【００３１】
また、ＳＣＦ２１は、実際のＭＢＭＳユーザサービスをＵＥに提供する１つ以上のＢＭ−ＳＣ２２ａ、２２ｂに接続している。ＢＭ−ＳＣがＮＡＦとして動作するＴＳ ３３．２４６において規定されたＭＢＭＳセキュリティとは異なり、ＳＣＦは、ＢＭ−ＳＣの代わりにＮＡＦとして動作する。ＢＳＦ１２は、ＮＡＦキー導出への入力としてＮＡＦ−Ｉｄ（ＮＡＦ及びＵａセキュリティプロトコル識別子のＦＱＤＮを含む）を使用する。ＢＳＦからＢＭ−ＳＣ専用ＮＡＦキーを取得するために、ＳＣＦは、ＢＭ−ＳＣ毎に別個のＦＱＤＮを割り当てる（ＳＣＦが管理するＦＱＤＮ空間から）。ＳＣＦは、例えばテーブルにおいて、これらの割り当てられたＦＱＤＮを接続したＢＭ−ＳＣに関連付ける。
【００３２】
これらの割り当てられた別個のＦＱＤＮは、２つの理由から必要である。第１に、２つのＢＭ−ＳＣが同一のＮＡＦキーを取得することによりシステムのセキュリティを脅かすため、ＳＣＦ２１は、同一の（例えば、自身の）ＦＱＤＮを使用できない。第２に、自身が与えているＮＡＦ−Ｉｄを使用する権利がＮＡＦに与えられているかを判定することをＢＳＦ１２が調査するため、ＳＣＦはＢＭ−ＳＣのＦＱＤＮを使用できない。一例として、ＳＣＦは、ＢＭ−ＳＣ＿１ ２２ａ及びＢＭ−ＳＣ＿２ ２２ｂに対してＮＡＦ−Ｉｄを以下の通り割り当てる。 ＮＡＦ−Ｉｄ＿１（ＦＱＤＮ）＜＝＞ＢＭ−ＳＣ１（ＦＱＤＮ）
ＮＡＦ−Ｉｄ＿２（ＦＱＤＮ）＜＝＞ＢＭ−ＳＣ２（ＦＱＤＮ）
ここで、例えば、ＮＡＦ−Ｉｄ＿１は、ｓｅｒｖｅｒ１．ｓｃｆ．ｏｐｅｒａｔｏｒＡ．ｃｏｍであり、ＢＭ−ＳＣ＿１は、ｂｍｓｃ１２３．ｏｐｅｒａｔｏｒＢ．ｃｏｍである。
【００３３】
図５Ａを参照すると、次に、ＧＢＡブートストラップ手順４２、サービス記述検索手順４３が実行される。ＵＥ１１は、ＳＳＦ４１と通信し、サービス記述４４、すなわちサービス保護記述等の使用可能なサービス及びそのパラメータのリストを検索する。ＢＭ−ＳＣ ＦＱＤＮではなくＳＣＦを割り当てられたＦＱＤＮが含まれることを除いて、サービス保護記述はＴＳ ３３．２４６において規定されたものに類似する。ＵＥがＳＩＰ ＩＮＶＩＴＥメッセージ４７を送出すべき場所を認識するように、ＳＣＦ２１のＦＱＤＮがここでも更に必要であると仮定される。
【００３４】
４５において、ユーザは、サービス記述からサービスを選択し、サービス記述における選択されたサービスに関して示されているＮＡＦ−Ｉｄに対応するＮＡＦキーを導出する。あるいは、ＮＡＦキーは、ＳＩＰ ＩＮＶＩＴＥ手順４６の後に導出されてもよい。
【００３５】
ＵＥ１１は、ＩＭ ＣＮサブシステム３２を介してＳＩＰ ＩＮＶＩＴＥメッセージ４７をＳＣＦ２１に送出する。ＩＮＶＩＴＥメッセージは、Ｒｅｑｕｅｓｔ−ＵＲＩにおいてＳＣＦを示し、メッセージは、ＵＥが登録したい要求されたＭＢＭＳユーザサービスのアイデンティティ（ｕｓｅｒＳｅｒｖｉｃｅＩｄｓ）をＳＩＰメッセージ本文のＸＭＬ文書に含む。ＸＭＬ文書は、ＴＳ ３３．２４６においてＭＢＭＳ登録に対して利用されたものと同一であり、ＴＳ ２６．３４６において特定される。更に、ブートストラッピングトランザクション識別子（Ｂ−ＴＩＤ）を搬送するＸＭＬ文書がある。Ｂ−ＴＩＤを搬送するＸＭＬ文書は、３ＧＰＰ ＴＳ ２６．２３７のＡｎｎｅｘ Ｉにおいて規定される。
【００３６】
ＳＣＦ２１は、ＳＩＰ ＩＮＶＩＴＥメッセージ４７のヘッダからＵＥ１１のＩＰアドレス及びＵＥの表明された１つ又は複数のアイデンティティを受信する。ＳＣＦは、格納された加入情報に基づいて調査し、ＵＥが要求されたＭＢＭＳユーザサービスにアクセスする許可を受けているかを判定する。手順は、ＵＥが許可を受けている場合は継続し、許可を受けていない場合は終了する。
【００３７】
図５Ｂを参照すると、ＵＥに対して格納されたＢ−ＴＩＤがない場合又は受信したＢ−ＴＩＤがＵＥに対して格納されたものと異なる場合、ＳＣＦは、ＴＳ ３３．２２０において規定されているように、Ｚｎ参照点を介してＢＳＦ１２を用いてＧＢＡ使用手順４８を実行し、ＵＥに対応するＮＡＦキーを取り出す。ＳＣＦは、許可要求メッセージ４９をＢＳＦに送出し、サービス記述にこのサービスに対して示されるＮＡＦ−Ｉｄを含める。ＢＳＦは、５０においてＮＡＦキーを導出するためにＮＡＦ−Ｉｄを使用し、次に許可応答メッセージ５１においてＮＡＦキーを返送する。その後ＳＣＦは、ＴＳ ３３．２４６において規定されているようにＮＡＦキーからＭＵＫを導出する。尚、新しいＵａセキュリティプロトコルは、このために３ＧＰＰ ＴＳ ３３．２２０において登録される必要がある。
【００３８】
次に、ＨＴＴＰ登録手順５２において、ＳＣＦ２１は、ＨＴＴＰ ＰＯＳＴメッセージ５３をＢＭ−ＳＣ（示された例の場合、ＢＭ−ＳＣ＿１ ２２ａ）に送出する。ＳＣＦは、ＨＴＴＰ ＰＯＳＴメッセージを以下の通りポピュレートする。
−ＨＴＴＰバージョンは１．１であり、ＲＦＣ２６１６において特定される。
−Ｒｅｑｕｅｓｔ−ＵＲＩのベースは、完全なＢＭ−ＳＣキー管理ＵＲＩ（例えば、ｈｔｔｐ：／／ｂｍｓｃ．ｈｏｍｅ１．ｎｅｔ：１２３４）を含む。
−Ｒｅｑｕｅｓｔ−ＵＲＩは、「ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ」に設定されるＵＲＩパラメータ「ｒｅｑｕｅｓｔｔｙｐｅ」を含む。すなわち、Ｒｅｑｕｅｓｔ−ＵＲＩは、「／ｋｅｙｍａｎａｇｅｍｅｎｔ？ｒｅｑｕｅｓｔｔｙｐｅ＝ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ」の形態を取る。
−ＳＣＦは、更なるＵＲＩパラメータをＲｅｑｕｅｓｔ−ＵＲＩに追加してもよい。
−ＵＥのアイデンティティを含むＸ−３ＧＰＰ−Ａｓｓｅｒｔｅｄ−Ｉｄｅｎｔｉｔｙヘッダ。
−ＨＴＴＰヘッダコンテンツタイプは、ペイロードのＭＩＭＥタイプ、すなわち「ａｐｐｌｉｃａｔｉｏｎ／ｍｂｍｓ−ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ＋ｘｍｌ」である。
−ＨＴＴＰペイロードは、ＵＥが登録したいＭＢＭＳユーザサービスの１つ以上のｕｓｅｒＳｅｒｖｉｃｅＩｄｓ、ＵＥのＩＰアドレス、ＭＢＭＳユーザキー（ＭＵＫ）、ＭＵＫの有効期限、ＮＡＦ−Ｉｄ及びＢ−ＴＩＤのリストを含むＸＭＬ文書を含む。ＮＡＦ−Ｉｄ及びＢ−ＴＩＤは、使用されたＭＵＫ（すなわち、ＮＡＦキー）を識別するためにＢＭ−ＳＣからＵＥへのＭＩＫＥＹメッセージに更に含まれるので、これらＮＡＦ−Ｉｄ及びＢ−ＴＩＤが含まれる。ペイロードのＸＭＬスキーマは、３ＧＰＰ ＴＳ ２６．２３７のＡｎｎｅｘ Ｉにおいて特定される。
−ＳＣＦは、更なるＨＴＴＰヘッダをＨＴＴＰ ＰＯＳＴ要求メッセージに追加してもよい。
【００３９】
ＢＭ−ＳＣ＿１ ２２ａは、ＨＴＴＰ ＰＯＳＴメッセージ５３を受信し、ＨＴＴＰ ＰＯＳＴメッセージが有効であることを検証し、更なる処理に対する要求を抽出する。ＨＴＴＰ ＰＯＳＴメッセージが表明されたアイデンティティと共にＳＣＦ２１から送出されるため、ＵＥ１１はＩＭＳによりすでに認証されており、したがってＢＭ−ＳＣ＿１はＵＥを認証する必要はない。また、ＨＴＴＰ ＰＯＳＴメッセージは、ＵＥが示されたＭＢＭＳユーザサービスに登録するのをＳＣＦが許可したことをＢＭ−ＳＣ＿１に対して更に示す。
【００４０】
ＢＭ−ＳＣ＿１は、受信した情報を格納し、ＨＴＴＰ ２００ ＯＫメッセージ５４をＳＣＦ２１に返送する。ＢＭ−ＳＣ＿１は、ＨＴＴＰ ２００ ＯＫメッセージを以下の通りポピュレートする。
−ＨＴＴＰステータス行におけるＨＴＴＰステータスコードは２００である。
−ＨＴＴＰヘッダコンテンツタイプは、ペイロードのＭＩＭＥタイプ、すなわち「ａｐｐｌｉｃａｔｉｏｎ／ｍｂｍｓ−ｒｅｇｉｓｔｅｒ−ｒｅｓｐｏｎｓｅ＋ｘｍｌ」である。
−ＨＴＴＰペイロードは、ＭＢＭＳユーザサービス毎に１つのステータスコードを含むリストを含むＸＭＬ文書を含む。ペイロードのＸＭＬスキーマは、ＴＳ ３３．２４６においてＭＢＭＳ登録に対して使用されるものと同一であり、ＴＳ２６．３４６において特定される。
【００４１】
ＳＣＦ２１は、ＨＴＴＰ ２００ ＯＫメッセージ５４を受信し、ＨＴＴＰ ２００ ＯＫメッセージからのＸＭＬ本体をＳＩＰ ２００ ＯＫメッセージ５５に含ませ、そのＳＩＰ ２００ ＯＫメッセージをＩＭ ＣＮサブシステム３２を介してＵＥ１１に送出する。ＭＩＫＥＹ ＭＳＫ手順５６において、次に、ＢＭ−ＳＣ＿１ ２２ａは、ＴＳ ３３．２４６において特定された手順に従って、示されたＭＢＭＳユーザサービスに対してＭＩＫＥＹ ＭＳＫメッセージ（ＭＵＫで保護された）５７、ＭＴＫメッセージ（ＭＳＫで保護された）５８及びＭＢＭＳデータ（ＭＴＫで保護された）５９をＵＥに送出し始める。ＭＩＫＥＹ ＭＳＫメッセージ５７において、ＢＭ−ＳＣは、ＨＴＴＰ ＰＯＳＴメッセージ５３においてＳＣＦ２１から受信したＮＡＦ−Ｉｄ（ＦＱＤＮ）及びＢ−ＴＩＤを使用する。
【００４２】
図６Ａ及び図６Ｂは、ＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）がＳＩＰ ２００ ＯＫメッセージにおいてＵＥ１１に対して示される場合（すなわち、上記選択Ｂ）の、本発明によるＩＭＳベースのＭＢＭＳ登録手順の一実施形態において種々のネットワークエンティティ間で送出されるメッセージを示すメッセージフローチャートの一部である。上記の図５Ａ及び図５Ｂに対して説明されたように、同一の前提条件を適用する。
【００４３】
図６Ａを参照すると、ＧＢＡブートストラップ手順４２に続いて、サービス記述検索手順６１が実行される。ＵＥ１１は、ＳＳＦ４１と通信し、サービス記述６２、すなわちサービス保護記述等の使用可能なサービス及びそのパラメータのリストを検索する。サービス保護記述は、含まれているＦＱＤＮがＢＭ−ＳＣ ＦＱＤＮではなくＳＣＦを指し示すことを除いては、ＴＳ ３３．２４６において規定されているものに類似する。ＵＥがＳＩＰ ＩＮＶＩＴＥメッセージ４７を送出すべき場所を認識するように、ＳＣＦ２１のＦＱＤＮがここでも更に必要であると仮定される。
【００４４】
ＳＩＰ ＩＮＶＩＴＥ手順６３において、 ＵＥ１１は、ＩＭ ＣＮサブシステム３２を介してＳＩＰ ＩＮＶＩＴＥメッセージ６４をＳＣＦ２１に送出する。ＩＮＶＩＴＥメッセージはＲｅｑｕｅｓｔ−ＵＲＩにおいてＳＣＦを示し、メッセージは、ＳＩＰメッセージ本体におけるＸＭＬ文書、ＵＥが登録したい要求されたＭＢＭＳユーザサービスのアイデンティティ（ｕｓｅｒＳｅｒｖｉｃｅＩｄｓ）を含む。ＸＭＬ文書は、ＴＳ ３３．２４６においてＭＢＭＳ登録に対して利用されたものと同一であり、ＴＳ ２６．３４６において特定される。更に、ブートストラッピングトランザクション識別子（Ｂ−ＴＩＤ）を搬送するＸＭＬ文書がある。Ｂ−ＴＩＤを搬送するＸＭＬ文書は、３ＧＰＰ ＴＳ ２６．２３７のＡｎｎｅｘ Ｉにおいて規定される。
【００４５】
ＳＣＦ２１は、ＳＩＰ ＩＮＶＩＴＥメッセージ６４のヘッダからＵＥ１１のＩＰアドレス及びＵＥのアサートされた１つ又は複数のアイデンティティを受信する。ＳＣＦは、格納された加入情報に基づいて調査し、ＵＥが要求されたＭＢＭＳユーザサービスにアクセスする許可を受けているかを判定する。手順は、ＵＥが許可を受けている場合は継続し、許可を受けていない場合は終了する。
【００４６】
図６Ｂを参照すると、ＵＥに対して格納されたＢ−ＴＩＤがない場合又は受信したＢ−ＴＩＤがＵＥに対して格納されたものと異なる場合、ＳＣＦは、ＴＳ ３３．２２０において規定されているように、Ｚｎ参照点を介してＢＳＦ１２を用いてＧＢＡ使用手順６５を実行し、ＵＥに対応するＮＡＦキーを取り出す。ＳＣＦは、許可要求メッセージ６６をＢＳＦに送出し、このサービスに対してＳＣＦが割り当てたＮＡＦ−Ｉｄを含める。ＢＳＦは、６７においてＮＡＦキーを導出するためにＮＡＦ−Ｉｄを使用し、次に許可応答メッセージ６８においてＮＡＦキーを返送する。その後ＳＣＦは、ＴＳ ３３．２４６において規定されているようにＮＡＦキーからＭＵＫを導出する。尚、新しいＵａセキュリティプロトコルは、このために３ＧＰＰ ＴＳ ３３．２２０において登録される必要がある。
【００４７】
次に、ＨＴＴＰ登録手順６９において、ＳＣＦ２１は、ＨＴＴＰ ＰＯＳＴメッセージ７０をＢＭ−ＳＣ（示された例の場合、ＢＭ−ＳＣ＿１ ２２ａ）に送出する。ＳＣＦは、ＨＴＴＰ ＰＯＳＴメッセージを以下の通りポピュレートする。
−ＨＴＴＰバージョンは１．１であり、ＲＦＣ２６１６において特定される。
−Ｒｅｑｕｅｓｔ−ＵＲＩのベースは、完全なＢＭ−ＳＣキー管理ＵＲＩ（例えば、ｈｔｔｐ：／／ｂｍｓｃ．ｈｏｍｅ１．ｎｅｔ：１２３４）を含む。
−Ｒｅｑｕｅｓｔ−ＵＲＩは、「ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ」に設定されるＵＲＩパラメータ「ｒｅｑｕｅｓｔｔｙｐｅ」を含む。すなわち、Ｒｅｑｕｅｓｔ−ＵＲＩは、「／ｋｅｙｍａｎａｇｅｍｅｎｔ？ｒｅｑｕｅｓｔｔｙｐｅ＝ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ」の形態を取る。
−ＳＣＦは、更なるＵＲＩパラメータをＲｅｑｕｅｓｔ−ＵＲＩに追加してもよい。
−ＵＥのアイデンティティを含むＸ−３ＧＰＰ−Ａｓｓｅｒｔｅｄ−Ｉｄｅｎｔｉｔｙヘッダ。
−ＨＴＴＰヘッダコンテンツタイプは、ペイロードのＭＩＭＥタイプ、すなわち「ａｐｐｌｉｃａｔｉｏｎ／ｍｂｍｓ−ａｕｔｈｏｒｉｚｅｄ−ｒｅｇｉｓｔｅｒ＋ｘｍｌ」である。
−ＨＴＴＰペイロードは、ＵＥが登録したいＭＢＭＳユーザサービスの１つ以上のｕｓｅｒＳｅｒｖｉｃｅＩｄｓ、ＵＥのＩＰアドレス、ＭＢＭＳユーザキー（ＭＵＫ）、ＭＵＫの有効期限、ＮＡＦ−Ｉｄ及びＢ−ＴＩＤのリストを含むＸＭＬ文書を含む。ＮＡＦ−Ｉｄ及びＢ−ＴＩＤは、使用されたＭＵＫ（すなわち、ＮＡＦキー）を識別するためにＢＭ−ＳＣからＵＥへのＭＩＫＥＹメッセージに更に含まれるので、これらＮＡＦ−Ｉｄ及びＢ−ＴＩＤが含まれる。ペイロードのＸＭＬスキーマは、３ＧＰＰ ＴＳ ２６．２３７のＡｎｎｅｘ Ｉにおいて特定される。
−ＳＣＦは、更なるＨＴＴＰヘッダをＨＴＴＰ ＰＯＳＴ要求メッセージに追加してもよい。
【００４８】
ＢＭ−ＳＣ＿１ ２２ａは、ＨＴＴＰ ＰＯＳＴメッセージ７０を受信し、ＨＴＴＰ ＰＯＳＴメッセージが有効であることを検証し、更なる処理に対する要求を抽出する。ＨＴＴＰ ＰＯＳＴメッセージがアサートされたアイデンティティと共にＳＣＦ２１から送出されたため、ＵＥ１１はＩＭＳによりすでに認証されており、ＢＭ−ＳＣ＿１はＵＥを認証する必要はない。また、ＨＴＴＰ ＰＯＳＴメッセージは、ＵＥが示されたＭＢＭＳユーザサービスに登録するのをＳＣＦが許可したことをＢＭ−ＳＣ＿１に対して更に示す。
【００４９】
ＢＭ−ＳＣ＿１は、受信した情報を格納し、ＨＴＴＰ ２００ ＯＫメッセージ７１をＳＣＦ２１に返送する。ＢＭ−ＳＣ＿１は、ＨＴＴＰ ２００ ＯＫメッセージを以下の通りポピュレートする。
−ＨＴＴＰステータス行におけるＨＴＴＰステータスコードは２００である。
−ＨＴＴＰヘッダコンテンツタイプは、ペイロードのＭＩＭＥタイプ、すなわち「ａｐｐｌｉｃａｔｉｏｎ／ｍｂｍｓ−ｒｅｇｉｓｔｅｒ−ｒｅｓｐｏｎｓｅ＋ｘｍｌ」である。
−ＨＴＴＰペイロードは、ＭＢＭＳユーザサービス毎に１つのステータスコードを含むリストを含むＸＭＬ文書を含む。ペイロードのＸＭＬスキーマは、ＴＳ ３３．２４６においてＭＢＭＳ登録に対して使用されるものと同一であり、ＴＳ２６．３４６において特定される。
【００５０】
ＳＣＦ２１は、ＨＴＴＰ ２００ ＯＫメッセージ７１を受信し、ＨＴＴＰ ２００ ＯＫメッセージからのＸＭＬ本体及び使用されたＮＡＦ−ＩｄをＳＩＰ ２００ ＯＫメッセージ７２に含ませて、このＳＩＰ ２００ ＯＫメッセージをＩＭ ＣＮサブシステム３２を介してＵＥ１１に送出する。ＵＥは、ＳＩＰ ２００ ＯＫメッセージを受信すると、ＴＳ ３３．２４６において規定されているように、サービスに対応するＮＡＦキーを導出するために７３において受信したＮＡＦ−Ｉｄを使用し、ＭＵＫを導出する。
【００５１】
ＭＩＫＥＹ ＭＳＫ手順７４において、ＢＭ−ＳＣ＿１ ２２ａは、ＴＳ ３３．２４６において特定された手順に従って、示されたＭＢＭＳユーザサービスに対しての、ＭＩＫＥＹ ＭＳＫメッセージ（ＭＵＫで保護された）７５、ＭＴＫメッセージ（ＭＳＫで保護された）７６及びＭＢＭＳデータ（ＭＴＫで保護された）７７をＵＥに送出し始めることができる。ＭＩＫＥＹ ＭＳＫメッセージ７５において、ＢＭ−ＳＣは、ＨＴＴＰ ＰＯＳＴメッセージ７０においてＳＣＦ２１から受信したＮＡＦ−Ｉｄ（ＦＱＤＮ）及びＢ−ＴＩＤを使用する。
【００５２】
図７は、本発明のシステムの一実施形態、並びにＩＭＳベースのＭＢＭＳユーザサービス及びＰＳＳユーザサービスにおけるキー配信の方法を示す高水準参照モデルを示す。ステップ１において、ＵＥ１１及びＢＳＦ１２は、ＴＳ ３３．２２０において規定されているようにＧＢＡブートストラッピング手順を実行する。その結果、キーＫｓ及びＢ−ＴＩＤが得られる。ステップ２において、ＵＥは、ＴＳ ３３．２２０において規定されているようにＮＡＦ専用キーマテリアル（Ｋｓ＿ＮＡＦ）を導出する。ステップ３において、ＵＥは、ＳＩＰ ＩＮＶＩＴＥメッセージ（Ｂ−ＴＩＤが含まれた）をＳＣＦ２１（ＮＡＦとして動作する）に送出することにより、セッション開始プロトコル（ＳＩＰ）セッションを開始する。ステップ４において、ＳＣＦは、Ｂ−ＴＩＤを使用してＢＳＦからＫｓ＿ＮＡＦを要求する。ステップ５において、ＢＳＦは、ＴＳ ３３．２２０において規定されているようにＮＡＦ専用キーマテリアル（Ｋｓ＿ＮＡＦ）を導出する。ステップ６において、ＢＳＦはＫｓ＿ＮＡＦをＳＣＦに送出する。
【００５３】
新たなステップ６ｂにおいて、ＳＣＦ２１は、要求を受信すべきＢＭ−ＳＣを判定する。この情報はＵＥの要求から入手可能であってもよいし、あるいはＳＣＦがローカルなポリシーに基づいてローカルに決定してもよい。ＳＣＦは、Ｋｓ＿ＡＳ＝ＫＤＦ（Ｋｓ＿ＮＡＦ、ノンス（nonce））等のキー導出機能を使用してＫｓ＿ＮＡＦからのＢＭ−ＳＣ専用キーＫｓ＿ＡＳ及びノンスを導出する。ノンスは、例えば完全修飾ドメイン名（ＦＱＤＮ）等のＢＭ−ＳＣのアイデンティティ、ＳＣＦにより選択された（擬似）ランダム値又はノンスとして使用可能な他の何らかの値とすることができる。
【００５４】
ステップ７において、ＳＣＦ２１は、ＨＴＴＰ要求におけるＫｓ＿ＡＳ及びＢＭ−ＳＣのアイデンティティ（例えば、ＦＱＤＮ）を識別されたＢＭ−ＳＣ２２ａに送出する。ＣＲ Ｓ４−０９０１４８において特定された他の情報は、要求において更に送出される（Ｋｓ＿ＮＡＦがＫｓ＿ＡＳにより置換されることを除いて）。尚、ＢＭ−ＳＣがＭＩＫＥＹメッセージのＩＤペイロードにおけるＢＭ−ＳＣ２２ａのＢ−ＴＩＤ及びＦＱＤＮをＵＥ１１に対して含むように、それらはＢＭ−ＳＣに送出される。ＵＥは、適切なＭＵＫ、すなわちＫｓ＿ＡＳを識別するためにこれらを使用する。ＦＱＤＮをＳＣＦからＢＭ−ＳＣに送出することにより、ＢＭ−ＳＣが種々のＦＱＤＮと共にＵＥ及びＳＣＦに対して認識されるようになる。従って、ＢＭ−ＳＣは、ＢＭ−ＳＣがＳＣＦから受信したＵＥに同一のＦＱＤＮを送出することが保証される必要がある。
【００５５】
ステップ８において、ＢＭ−ＳＣ２２ａは、情報を格納し、ＳＩＰ ２００ ＯＫメッセージを含むＨＴＴＰ要求をＳＣＦ２１に対して確認応答する。ステップ９において、ＳＣＦは、ＳＩＰ ２００ ＯＫメッセージをＵＥ１１に送出する。２００ ＯＫメッセージは、ノンス及びＢＭ−ＳＣのアイデンティティを含む。ＦＱＤＮがノンスとして使用される場合、これら２つは同一の値であってもよい。ステップ９ｂにおいて、ＵＥは、Ｋｓ＿ＡＳ＝ＫＤＦ（Ｋｓ＿ＮＡＦ、ノンス）等のキー導出機能を使用してＫｓ＿ＮＡＦからのＢＭ−ＳＣ専用キーＫｓ＿ＡＳ及びノンスを導出する。ＵＥは、ＢＭ−ＳＣのアイデンティティを含むキーＫｓ＿ＡＳを格納する。最後にステップ１０において、ＢＭ−ＳＣ２２ａは、ＭＵＫであるＫｓ＿ＡＳで保護されたＭＩＫＥＹキー管理メッセージをＵＥに送出する（ＴＳ ３３．２４６を参照）。ＢＭ−ＳＣは、ＭＩＫＥＹメッセージのＩＤペイロードにおいてＳＣＦ２１から受信したＢＭ−ＳＣ ＦＱＤＮ及びＢ−ＴＩＤを含む。その結果、ＵＥ１１は、Ｋｓ＿ＡＳを使用してメッセージを復号化し且つ検証できる。ＵＥは、適切なＭＵＫ（すなわち、Ｋｓ＿ＡＳ）を識別するためにＭＩＫＥＹメッセージのＩＤペイロードを使用する。
【００５６】
図８は、本発明のシステムの第２の実施形態を示し、認証プロキシ（ＡＰ）のシナリオにおいてＡＳ専用キーを取得する方法を示す高水準参照モデルを表す。本実施形態は、いくつかのＡＳ１６ａ及び１６ｂがＡＰ１５の背後に常駐してもよい一般的なＡＰ−ＡＳの例を意図する。ＴＬＳトンネルは、ＵＥ１１とＡＰ１５との間に設定されてもよいが、トンネルは本発明に関連しない。
【００５７】
ステップ１において、ＵＥ１１及びＢＳＦ１２は、ＴＳ ３３．２２０において規定されたようにＧＢＡブートストラッピング手順を実行する。その結果、キーＫｓ及びＢ−ＴＩＤが得られる。ステップ２において、ＵＥは、ＴＳ ３３．２２０において規定されたようにＮＡＦ専用キーマテリアル（Ｋｓ＿ＮＡＦ）を導出する。ステップ３において、ＵＥは、ＨＴＴＰ要求（Ｂ−ＴＩＤが含まれた）をＡＰ（ＮＡＦとして動作する）に送出する。ステップ４において、ＡＰは、Ｂ−ＴＩＤを使用してＢＳＦからＫｓ＿ＮＡＦを要求する。ステップ５において、ＢＳＦは、ＴＳ ３３．２２０において規定されているようにＮＡＦ専用キー材料（Ｋｓ＿ＮＡＦ）を導出する。ステップ６において、ＢＳＦはＫｓ＿ＮＡＦをＡＰに送出する。
【００５８】
新たなステップ６ｂにおいて、ＡＰ１５は、要求を受信すべきＡＳを判定する。この情報はＵＥの要求から入手可能であってもよいし、あるいはＡＰがローカルなポリシーに基づいてローカルに決定してもよい。ＡＰは、Ｋｓ＿ＡＳ＝ＫＤＦ（Ｋｓ＿ＮＡＦ、ノンス）等のキー導出機能を使用してＫｓ＿ＮＡＦからのＡＰ専用キーＫｓ＿ＡＳ及びノンスを導出する。ノンスは、例えばＦＱＤＮ等のＡＳのアイデンティティ、ＡＰにより選択された（擬似）ランダム値又はノンスとして使用可能な他の何らかの値であってもよい。
【００５９】
ステップ７において、ＡＰ１５は、ＨＴＴＰ要求におけるＫｓ＿ＡＳ及びＡＳのアイデンティティ（例えば、ＦＱＤＮ）を識別されたＡＳ１６ａに送出する。尚、ＡＳが種々のＦＱＤＮによりＵＥ１１及びＡＰ１５に対して認識され得るので、ＡＰは、ＡＳのＦＱＤＮをＡＳに送出する必要がある。ＵＥは、適切なＫｓ＿ＡＳを識別するためにＦＱＤＮを使用してもよい。従って、同一のＦＱＤＮは、ＡＰからＡＳに送出され且つＡＳからＵＥに送出されることが保証される必要がある。
【００６０】
ステップ８において、ＡＳ１６ａは、情報を格納し、ＳＩＰ ２００ ＯＫメッセージを含むＨＴＴＰ要求をＡＰ１５に対して確認応答する。ステップ９において、ＡＰは、ＳＩＰ ２００ ＯＫメッセージをＵＥ１１に送出する。２００ ＯＫメッセージは、ノンス及びＢＭ−ＳＣのアイデンティティを含む。ＦＱＤＮがノンスとして使用される場合、これら２つは同一の値であってもよい。ステップ９ｂにおいて、ＵＥは、Ｋｓ＿ＡＳ＝ＫＤＦ（Ｋｓ＿ＮＡＦ、ノンス）等のキー導出機能を使用してＫｓ＿ＮＡＦからのＡＳ専用キーＫｓ＿ＡＳ及びノンスを導出する。ＵＥは、ＡＳのアイデンティティを含むキーＫｓ＿ＡＳを格納する。最後にステップ１０において、ＡＳ１６ａは、Ｋｓ＿ＡＳで保護されたメッセージをＵＥに送出する。その結果、ＵＥ１１は、Ｋｓ＿ＡＳを使用してメッセージを復号化し且つ検証できる。ＵＥは、適切なＫｓ＿ＡＳを識別するためにＡＳのアイデンティティを使用する。
【００６１】
図９は、本発明のシステムの例示的な一実施形態を示す概略ブロック図である。システムは、ＵＥ１１と、ＳＣＦ２１と、ＢＳＦ１２と、ＢＭ−ＳＣ＿１ ２２ａとを含む。これらのユニットの各々の動作は、例えばメモリに格納されたコンピュータプログラム命令を実行するプロセッサにより制御され得る。図９に示された例示的な実施形態において、ＵＥはプロセッサ８１とメモリ８２とを含み、ＳＣＦはプロセッサ８３とメモリ８４とを含み、ＢＳＦはプロセッサ８５とメモリ８６とを含み、ＢＭ−ＳＣ＿１はプロセッサ８７とメモリ８８とを含む。
【００６２】
Ｋｓ＿ＮＡＦ導出ユニット９１を含むＵＥ１１が更に示される。図６に示された実施形態において、ＵＥは、ＳＳＦ４１からのサービス記述においてＮＡＦ−Ｉｄ（ＳＣＦが割り当てたＦＱＤＮ）を受信し、ＳＩＰ ＩＮＶＩＴＥ手順４６を開始する前にＫｓ＿ＮＡＦを導出する。図７に示された実施形態において、ＵＥは、ＳＩＰ ２００ ＯＫメッセージ７２においてＮＡＦ−Ｉｄを受信し、Ｋｓ＿ＮＡＦを導出する。
【００６３】
ＵＥ１１は、ＩＭ ＣＮ３２を介してＳＩＰ ＩＮＶＩＴＥメッセージをＳＣＦ２１に送出する。メッセージは、ＳＩＰ ＩＮＶＩＴＥ通信ユニット９２において受信される。ＳＩＰ ＩＮＶＩＴＥ通信ユニットは、ＩＮＶＩＴＥメッセージからのｕｓｅｒＳｅｒｖｉｃｅＩｄ及びＢ−ＴＩＤをサービス／ＮＡＦ−Ｉｄマッピングユニット９３に転送する。サービス／ＮＡＦ−Ｉｄマッピングユニット９３は、ｕｓｅｒＳｅｒｖｉｃｅＩｄをＮＡＦ−Ｉｄ＿１にマッピングする。ＮＡＦ−Ｉｄ＿１及びＢ−ＴＩＤは、ＧＢＡ使用通信ユニット９４に転送される。ＧＢＡ使用通信ユニット９４は、これらのパラメータをＢＳＦ１２に転送する。ＢＳＦにおけるＧＢＡ使用通信ユニット９５は、パラメータを受信し、Ｋｓ＿ＮＡＦを導出するＫｓ＿ＮＡＦ導出ユニット９６に、それら受信したパラメータを転送する。その後Ｋｓ＿ＮＡＦは、それらがＨＴＴＰ登録通信ユニット９７に転送されるＳＣＦに返送される。
【００６４】
ＨＴＴＰ登録通信ユニット９７は、ＨＴＴＰ ＰＯＳＴメッセージを、ＨＴＴＰ登録通信ユニット９８においてＨＴＴＰ ＰＯＳＴメッセージを受信するＢＭ−ＳＣ＿１ ２２ａに、送出する。ＨＴＴＰ ＰＯＳＴメッセージは、ｕｓｅｒＳｅｒｖｉｃｅＩｄと、ＮＡＦ−Ｉｄ＿１と、ＵＥ ＩＰアドレスと、Ｂ−ＴＩＤと、ＭＵＫ（＝Ｋｓ＿ＮＡＦ）と、ＭＵＫ有効期限とを含む。ＢＭ−ＳＣ＿１は、サービスステータスユニット９９から各ＭＢＭＳユーザサービスのステータスを取得し、ｕｓｅｒＳｅｒｖｉｃｅＩｄと共にＨＴＴＰ ２００ ＯＫメッセージにおいてＭＢＭＳユーザサービスコード毎に１つのステータスコードを含むリストをＳＣＦ２１に送出する。ＳＣＦは、この情報をＵＥ１１に転送する。ＨＴＴＰ登録通信ユニット９８は、情報をＭＩＫＥＹ ＭＳＫユニット１０１に更に送出する。情報は、ＭＳＫ−ＩＤ＿１と、ＮＡＦ−Ｉｄ＿１と、Ｂ−ＴＩＤと、ＭＵＫ（＝Ｋｓ＿ＮＡＦ）とを含む。
【００６５】
この情報を使用することにより、ＭＩＫＥＹ ＭＳＫユニット１０１は、ＭＩＫＥＹ ＭＳＫメッセージ（ＭＵＫで保護された）、ＭＴＫメッセージ（ＭＳＫで保護された）及びＭＢＭＳデータ（ＭＴＫで保護された）をＫｓ＿ＮＡＦ導出ユニット９１でＭＵＫ（＝Ｋｓ＿ＮＡＦ）を導出したＵＥ１１に送出できるようになる。
【００６６】
従って、本発明は、２つ以上のＢＭ−ＳＣ２２がＳＣＦ２１に接続される場合にＢＭ−ＳＣ専用ＮＡＦキーを提供する問題を解決する。更に本発明は、ＭＩＫＥＹ ＭＳＫメッセージを保護するためにどのＭＵＫ（すなわち、ＮＡＦキー）が使用されたかをＵＥ１１に対して示す十分な情報がＭＩＫＥＹメッセージにないという問題を解決する。ＳＣＦ２１は、Ｂ−ＴＩＤ及び選択されたＮＡＦ−ＩｄをＢＭ−ＳＣ２２に送出する。ＢＭ−ＳＣ２２は、どのＮＡＦキーが使用されたかをＵＥに対して示すために、ＭＩＫＥＹメッセージ内でそれらＢ−ＴＩＤ及び選択されたＮＡＦ−Ｉｄを更に使用する。
【００６７】
図６及び図７に示された実施形態において、本発明は、ＮＡＦキーを更に導出する必要がないという更なる利点を有する。ＮＡＦキーを更に導出することにより、ＧＳＭネットワーク及びＵＭＴＳネットワークにおける移動端末において使用された汎用集積回路カード（ＵＩＣＣ）スマートカードを変更する必要が生じる。ＵＩＣＣベースのキー管理が使用されている場合、ＮＡＦキーはＵＩＣＣ内で処理される。一般にＵＩＣＣの影響が標準化において望ましくないため、これは場合によっては問題となり得る。本発明のこれらの実施形態は、このような潜在的な問題を回避する。
【００６８】
当然、本発明は、本発明の必須の特徴から逸脱することなく本明細書において上述された以外の他の特定の方法で実行されてもよい。従って、本発明の実施形態は、限定するものではなく例示するものとして全ての点において考慮されるべきであり、添付の請求の範囲の意味及び同等の範囲内の全ての変更は、本発明に取り入れられることを意図する。
【特許請求の範囲】
【請求項１】
通信ネットワークにおいて、通信装置と、認証ノードと、要求されたサービスを前記通信装置に提供する選択されたサービスノードとの間で共有セキュリティキーを管理する方法であって、
前記認証ノードを識別するための、各々が異なる複数の認証ノード識別子を、前記認証ノードにより複数のサービスと関連付けるステップと、
前記複数の認証ノード識別子のうちの１つを前記ネットワークにより前記通信装置に対して使用可能にするステップと、前記認証ノード識別子は、所望のサービスと関連付けられ且つ前記通信装置がセキュリティキーを導出できるようにし、
前記認証ノードが、前記複数の認証ノード識別子のうちの異なる１つを前記ネットワーク内の各サービスノードに割り当てるステップと、
前記認証ノードが、前記割り当てられた認証ノード識別子を接続されたサービスノードと関連付けるステップと、
前記認証ノードが、前記通信装置から前記所望のサービスに対する要求を受信すると、前記割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対する前記セキュリティキーを取得するために、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を利用するステップと、
前記認証ノードから、前記セキュリティキーを前記関連付けられたサービスノードに送出するステップと、を有することを特徴とする方法。
【請求項２】
前記認証ノード識別子のうちの１つを前記通信装置に対して使用可能にする前記ステップは、前記ネットワークにより前記所望のサービスに対するサービス記述を前記通信装置に対して使用可能にすることを含み、前記サービス記述が前記所望のサービスと関連付けられた前記認証ノード識別子を含む、ことを特徴とする請求項１に記載の方法。
【請求項３】
前記関連付けられたサービスノードが前記セキュリティキーで保護されたキー管理メッセージを送出する場合、前記通信装置は、前記セキュリティキーを使用して前記メッセージを復号化し且つ検証する、ことを特徴とする請求項１に記載の方法。
【請求項４】
前記通信装置は移動ユーザ機器ＵＥであることを特徴とする請求項１に記載の方法。
【請求項５】
前記認証ノードにより前記セキュリティキーを取得するために、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を利用する前記ステップは、
前記割り当てられた認証ノード識別子をブートストラッピングサーバ機能（ＢＳＦ）に送出するステップと、
前記ＢＳＦが前記セキュリティキーを導出し且つ返送することを要求するステップと、を含むことを特徴とする請求項１に記載の方法。
【請求項６】
前記認証ノードにより前記セキュリティキーを取得するために、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を利用する前記ステップは、前記割り当てられた認証ノード識別子を利用して前記認証ノードにより前記セキュリティキーを導出することを含む、ことを特徴とする請求項１に記載の方法。
【請求項７】
通信ネットワークにおいて、通信装置と、認証ノードと、要求されたサービスを前記通信装置に提供する選択されたサービスノードと、の間で共有セキュリティキーを管理する方法であって、
前記ネットワークにより少なくとも１つのサービスに対するサービス記述を前記通信装置に対して使用可能にするステップと、前記サービス記述は前記認証ノードに対して少なくとも１つの識別子を含み、
既知の情報及び前記サービス記述において受信された前記認証ノード識別子の中から選択された１つの認証ノード識別子に基づいて前記通信装置によりセキュリティキーを導出するステップと、前記選択された認証ノード識別子は所望のサービスと関連付けられ、
前記所望のサービスに対する要求を前記通信装置から前記認証ノードに送出するステップと、前記要求は前記所望のサービスに対するトランザクション識別子及びサービス識別子を含み、各認証ノード識別子は異なるサービス及び異なるサービスノードと関連付けられ、
前記認証ノードにおいて、前記サービス識別子を認証ノード識別子と関連付けるステップと、
前記セキュリティキーを取得するために、前記認証ノードにより前記認証ノード識別子及び前記トランザクション識別子を利用するステップと、
前記認証ノード識別子と関連付けられた前記サービスノードを識別するステップと、
前記サービス識別子、前記トランザクション識別子、前記セキュリティキー及び前記通信装置に対するアドレスを含む前記所望のサービスに対する要求メッセージを、前記認証ノードから前記識別されたサービスノードに送出するステップと、を有することを特徴とする方法。
【請求項８】
前記識別されたサービスノードが、前記セキュリティキーで保護されたキー管理メッセージを前記通信装置に送出する場合、前記通信装置は、前記セキュリティキーを使用して前記メッセージを復号化し且つ検証する、ことを特徴とする請求項７に記載の方法。
【請求項９】
前記選択されたサービスノードは、複数のサービスノード識別子を有し、前記キー管理メッセージを前記移動通信装置に送出する場合、前記サービスノード識別子を前記メッセージに含める、ことを特徴とする請求項７に記載の方法。
【請求項１０】
通信ネットワークにおいて、サービスを前記通信装置に提供するサービスノードと通信装置との間で共有セキュリティキーを管理する認証ノードであって、
メモリに格納されたコンピュータプログラム命令を実行するプロセッサであって、前記認証ノードにおける、
前記認証ノードを識別する複数の認証ノード識別子を複数のサービスと関連付ける手段と、
前記ネットワークにおいて前記複数の認証ノード識別子のうちの異なる１つを各サービスノードに割り当てる手段と、
前記割り当てられた認証ノード識別子を接続されたサービスノードと関連付けるテーブルと、
前記通信装置から所望のサービスに対する要求を受信することに応答して、前記割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対するセキュリティキーを取得するために、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を利用する手段と、
前記セキュリティキーを前記認証ノードから前記関連付けられたサービスノードに送出する通信手段と、を制御するプロセッサを備え、
前記ネットワークが前記認証ノード識別子のうちの１つを前記通信装置に対して使用可能にし、前記認証ノード識別子が、所望のサービスと関連付けられ且つ前記通信装置が前記セキュリティキーを導出できるようにする、ことを特徴とする認証ノード。
【請求項１１】
前記通信ネットワークは、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）ベースのネットワークであり、
前記通信装置はユーザ機器ＵＥであり、
前記認証ノードは、認証プロキシＡＰを有するネットワークアプリケーション機能ＮＡＦであり、
前記サービスノードはアプリケーションサーバＡＳであり、
前記要求されたサービスは、マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスである、ことを特徴とする請求項１０に記載の認証ノード。
【請求項１２】
前記通信ネットワークは、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）ベースのネットワークであり、
前記通信装置はユーザ機器ＵＥであり、
前記認証ノードはサービス制御機能ＳＣＦであり、
前記サービスノードは、ブロードキャスト／マルチキャストサービスセンターＢＭ−ＳＣであり、
前記要求されたサービスは、マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスである、ことを特徴とする請求項１０に記載の認証ノード。
【請求項１３】
通信ネットワークにおいて、サービスを前記通信装置に提供するサービスノードと通信装置との間で共有セキュリティキーを管理する認証ノードであって、
メモリに格納されたコンピュータプログラム命令を実行するプロセッサであって、前記認証ノードにおける、
前記認証ノードを識別する複数の認証ノード識別子を複数のサービスと関連付ける手段と、
前記ネットワークにおいて前記複数の認証ノード識別子のうちの異なる１つを各サービスノードに割り当てる手段と、
前記割り当てられた認証ノード識別子を接続されたサービスノードと関連付けるテーブルと、
前記通信装置から所望のサービスに対する要求を受信することに応答して、前記割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対するセキュリティキーを取得するために、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を利用する手段と、
前記セキュリティキーを前記認証ノードから前記関連付けられたサービスノードに送出する通信手段と、
前記セキュリティキーを導出するために前記割り当てられた認証ノードを利用する前記通信装置に、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を送出する通信手段と、を制御するプロセッサを備える認証ノード。
【請求項１４】
前記割り当てられた認証ノード識別子を前記通信装置に送出する前記通信手段は、ＳＩＰ ２００ ＯＫメッセージにおいて前記割り当てられた認証ノード識別子を前記移動通信装置に送出するＳＩＰ通信ユニットを備え、
前記セキュリティキーを前記サービスノードに送出する前記通信手段は、前記認証ノードからの第２のセキュリティキー及びトランザクション識別子を、ＨＴＴＰ ＰＯＳＴメッセージにおいて前記サービスノードに送出するＨＴＴＰ通信ユニットを備える、ことを特徴とする請求項１３に記載の認証ノード。
【請求項１５】
通信ネットワークにおいて、共有セキュリティキーを利用してユーザサービスを通信装置に提供するサービスノードであって、
メモリに格納されたコンピュータプログラム命令を実行するプロセッサであって、前記サービスノードにおける、
認証ノード識別子、前記通信装置のＩＰアドレス、前記通信装置が前記サービスノードにより提供されるユーザサービスを要求したトランザクションを識別するトランザクション識別子及び前記共有セキュリティキーを認証ノードから取得する通信手段と、
前記通信装置に前記共有セキュリティキーで保護されたキー管理メッセージを送出する通信手段と、を制御するプロセッサを備え、前記キー管理メッセージは前記認証ノード識別子及び前記トランザクション識別子を含み、
前記通信装置は、前記サービスノードから前記キー管理メッセージを受信する場合、前記認証ノード識別子及び前記トランザクション識別子からの前記共有セキュリティキーを識別し、
前記認証ノードが前記認証ノード識別子を前記通信装置に提供する場合又は前記通信装置が前記サービス記述において前記認証ノード識別子を受信する場合、前記通信装置は、前記認証ノード識別子を利用して前記共有セキュリティキーを導出し、前記共有セキュリティキーを使用して前記キー管理メッセージを復号化し且つ検証する、ことを特徴とするサービスノード。
【請求項１６】
前記通信ネットワークは、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）ベースのネットワークであり、
前記移動通信装置はユーザ機器ＵＥであり、
前記認証ノードは、認証プロキシＡＰを有するネットワークアプリケーション機能ＮＡＦであり、
前記サービスノードはアプリケーションサーバＡＳであり、
前記要求されたサービスは、マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスである、ことを特徴とする請求項１５に記載のサービスノード。
【請求項１７】
前記通信ネットワークは、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）ベースのネットワークであり、
前記移動通信装置はユーザ機器ＵＥであり、
前記認証ノードはサービス制御機能ＳＣＦであり、
前記サービスノードは、ブロードキャスト／マルチキャストサービスセンターＢＭ−ＳＣであり、
前記要求されたサービスは、マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスである、ことを特徴とする請求項１５に記載のサービスノード。
【請求項１８】
通信ネットワークにおいて共有セキュリティキーを管理するシステムであって、
通信装置と、
前記通信装置と通信している認証ノードと、
前記認証ノード及び前記通信装置と通信しているサービスノードとを備え、
前記認証ノードは、
前記認証ノードを識別する複数の認証ノード識別子を複数のサービスと関連付ける手段と、
前記複数の認証ノードの中から選択された１つの認証ノード識別子を前記サービスノードに割り当てる手段と、
前記割り当てられた認証ノード識別子を接続されたサービスノードと関連付けるテーブルと、
前記通信装置から所望のサービスに対する要求を受信することに応答して、前記割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対するセキュリティキーを取得するために、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を利用する手段と、
前記認証ノード識別子、前記通信装置のＩＰアドレス、前記通信装置が前記サービスノードにより提供されたユーザサービスを要求したトランザクションを識別するトランザクション識別子及び前記共有セキュリティキーを前記サービスノードに送出する通信手段とを備え、
前記サービスノードは、
前記セキュリティキーで保護され且つ前記認証ノード識別子及び前記トランザクション識別子を含むキー管理メッセージを前記通信装置に送出する通信手段を備え、
前記移動通信装置は、
前記認証ノード識別子及び前記トランザクション識別子からの前記共有セキュリティキーを識別する手段と、
前記ネットワークから取得したサービス記述又は前記認証ノードのいずれかから前記認証ノード識別子を受信する通信手段と、
前記認証ノード識別子を利用して前記共有セキュリティキーを導出する手段と、
前記共有セキュリティキーを使用して前記キー管理メッセージを復号化し且つ検証する手段と、を備えることを特徴とするシステム。
【請求項１９】
前記通信ネットワークは、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）ベースのネットワークであり、
前記移動通信装置はユーザ機器ＵＥであり、
前記認証ノードは、認証プロキシＡＰを有するネットワークアプリケーション機能ＮＡＦであり、
前記サービスノードはアプリケーションサーバＡＳであり、
前記要求されたサービスは、マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスである、ことを特徴とする請求項１８に記載のシステム。
【請求項２０】
前記通信ネットワークは、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）ベースのネットワークであり、
前記移動通信装置はユーザ機器ＵＥであり、
前記認証ノードはサービス制御機能ＳＣＦであり、
前記サービスノードは、ブロードキャスト／マルチキャストサービスセンターＢＭ−ＳＣであり、
前記要求されたサービスは、マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスである、ことを特徴とする請求項１８に記載のシステム。
【請求項２１】
通信ネットワークにおいて、移動通信装置と、前記移動通信装置を認証する認証ノードと、サービスを前記移動通信装置に提供するサービスノードとの間で共有セキュリティキーを管理する方法であって、
前記認証ノードにおいて、前記サービスノードにより提供されたサービスを利用するための要求を前記移動通信装置から受信するステップと、前記要求はトランザクション識別子を含み、
前記認証ノードに対する認証ノードセキュリティキーを導出する前記移動通信装置を前記認証ノードが認証するステップと、
前記認証ノードセキュリティキー及びノンスを利用して導出される前記サービスノードに対するサービスノードセキュリティキーを前記認証ノードが導出するステップと、
前記サービスノードセキュリティキー及び前記トランザクション識別子を前記認証ノードから前記サービスノードに送出するステップと、
前記ノンス及び前記サービスノードの識別子を前記認証ノードから前記移動通信装置に送出し、それにより前記移動通信装置が前記認証ノードセキュリティキー及び前記ノンスから前記サービスノードセキュリティキーを導出できるようにするステップと、を有することを特徴とする方法。
【請求項２２】
前記サービスノードが、前記サービスノードセキュリティキーで保護されたキー管理メッセージを前記移動通信装置に送出し、前記メッセージが前記サービスノード識別子及び前記トランザクション識別子を含む場合、前記移動通信装置は、前記サービスノードセキュリティキーを使用して前記メッセージを復号化し且つ検証する、ことを特徴とする請求項２１に記載の方法。
【請求項２３】
複数のサービスノードがあり、前記方法は、前記要求されたサービスを提供する前記複数のサービスノードのうちの１つを前記認証ノードにより選択するステップを更に含み、
前記認証ノードは、前記選択されたサービスノードに対するサービスノードセキュリティキーを導出し、前記サービスノードセキュリティキー、前記トランザクション識別子及び前記選択されたサービスノードに対するサービスノード識別子を前記選択されたサービスノードに送出する、ことを特徴とする請求項２１に記載の方法。
【請求項２４】
前記選択されたサービスノードは、複数のサービスノード識別子を有し、前記キー管理メッセージを前記移動通信装置に送出する場合に、前記認証ノードから受信した前記サービスノード識別子を前記メッセージに含める、ことを特徴とする請求項２３に記載の方法。
【請求項１】
通信ネットワークにおいて、通信装置と、認証ノードと、要求されたサービスを前記通信装置に提供する選択されたサービスノードとの間で共有セキュリティキーを管理する方法であって、
前記認証ノードを識別するための、各々が異なる複数の認証ノード識別子を、前記認証ノードにより複数のサービスと関連付けるステップと、
前記複数の認証ノード識別子のうちの１つを前記ネットワークにより前記通信装置に対して使用可能にするステップと、前記認証ノード識別子は、所望のサービスと関連付けられ且つ前記通信装置がセキュリティキーを導出できるようにし、
前記認証ノードが、前記複数の認証ノード識別子のうちの異なる１つを前記ネットワーク内の各サービスノードに割り当てるステップと、
前記認証ノードが、前記割り当てられた認証ノード識別子を接続されたサービスノードと関連付けるステップと、
前記認証ノードが、前記通信装置から前記所望のサービスに対する要求を受信すると、前記割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対する前記セキュリティキーを取得するために、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を利用するステップと、
前記認証ノードから、前記セキュリティキーを前記関連付けられたサービスノードに送出するステップと、を有することを特徴とする方法。
【請求項２】
前記認証ノード識別子のうちの１つを前記通信装置に対して使用可能にする前記ステップは、前記ネットワークにより前記所望のサービスに対するサービス記述を前記通信装置に対して使用可能にすることを含み、前記サービス記述が前記所望のサービスと関連付けられた前記認証ノード識別子を含む、ことを特徴とする請求項１に記載の方法。
【請求項３】
前記関連付けられたサービスノードが前記セキュリティキーで保護されたキー管理メッセージを送出する場合、前記通信装置は、前記セキュリティキーを使用して前記メッセージを復号化し且つ検証する、ことを特徴とする請求項１に記載の方法。
【請求項４】
前記通信装置は移動ユーザ機器ＵＥであることを特徴とする請求項１に記載の方法。
【請求項５】
前記認証ノードにより前記セキュリティキーを取得するために、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を利用する前記ステップは、
前記割り当てられた認証ノード識別子をブートストラッピングサーバ機能（ＢＳＦ）に送出するステップと、
前記ＢＳＦが前記セキュリティキーを導出し且つ返送することを要求するステップと、を含むことを特徴とする請求項１に記載の方法。
【請求項６】
前記認証ノードにより前記セキュリティキーを取得するために、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を利用する前記ステップは、前記割り当てられた認証ノード識別子を利用して前記認証ノードにより前記セキュリティキーを導出することを含む、ことを特徴とする請求項１に記載の方法。
【請求項７】
通信ネットワークにおいて、通信装置と、認証ノードと、要求されたサービスを前記通信装置に提供する選択されたサービスノードと、の間で共有セキュリティキーを管理する方法であって、
前記ネットワークにより少なくとも１つのサービスに対するサービス記述を前記通信装置に対して使用可能にするステップと、前記サービス記述は前記認証ノードに対して少なくとも１つの識別子を含み、
既知の情報及び前記サービス記述において受信された前記認証ノード識別子の中から選択された１つの認証ノード識別子に基づいて前記通信装置によりセキュリティキーを導出するステップと、前記選択された認証ノード識別子は所望のサービスと関連付けられ、
前記所望のサービスに対する要求を前記通信装置から前記認証ノードに送出するステップと、前記要求は前記所望のサービスに対するトランザクション識別子及びサービス識別子を含み、各認証ノード識別子は異なるサービス及び異なるサービスノードと関連付けられ、
前記認証ノードにおいて、前記サービス識別子を認証ノード識別子と関連付けるステップと、
前記セキュリティキーを取得するために、前記認証ノードにより前記認証ノード識別子及び前記トランザクション識別子を利用するステップと、
前記認証ノード識別子と関連付けられた前記サービスノードを識別するステップと、
前記サービス識別子、前記トランザクション識別子、前記セキュリティキー及び前記通信装置に対するアドレスを含む前記所望のサービスに対する要求メッセージを、前記認証ノードから前記識別されたサービスノードに送出するステップと、を有することを特徴とする方法。
【請求項８】
前記識別されたサービスノードが、前記セキュリティキーで保護されたキー管理メッセージを前記通信装置に送出する場合、前記通信装置は、前記セキュリティキーを使用して前記メッセージを復号化し且つ検証する、ことを特徴とする請求項７に記載の方法。
【請求項９】
前記選択されたサービスノードは、複数のサービスノード識別子を有し、前記キー管理メッセージを前記移動通信装置に送出する場合、前記サービスノード識別子を前記メッセージに含める、ことを特徴とする請求項７に記載の方法。
【請求項１０】
通信ネットワークにおいて、サービスを前記通信装置に提供するサービスノードと通信装置との間で共有セキュリティキーを管理する認証ノードであって、
メモリに格納されたコンピュータプログラム命令を実行するプロセッサであって、前記認証ノードにおける、
前記認証ノードを識別する複数の認証ノード識別子を複数のサービスと関連付ける手段と、
前記ネットワークにおいて前記複数の認証ノード識別子のうちの異なる１つを各サービスノードに割り当てる手段と、
前記割り当てられた認証ノード識別子を接続されたサービスノードと関連付けるテーブルと、
前記通信装置から所望のサービスに対する要求を受信することに応答して、前記割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対するセキュリティキーを取得するために、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を利用する手段と、
前記セキュリティキーを前記認証ノードから前記関連付けられたサービスノードに送出する通信手段と、を制御するプロセッサを備え、
前記ネットワークが前記認証ノード識別子のうちの１つを前記通信装置に対して使用可能にし、前記認証ノード識別子が、所望のサービスと関連付けられ且つ前記通信装置が前記セキュリティキーを導出できるようにする、ことを特徴とする認証ノード。
【請求項１１】
前記通信ネットワークは、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）ベースのネットワークであり、
前記通信装置はユーザ機器ＵＥであり、
前記認証ノードは、認証プロキシＡＰを有するネットワークアプリケーション機能ＮＡＦであり、
前記サービスノードはアプリケーションサーバＡＳであり、
前記要求されたサービスは、マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスである、ことを特徴とする請求項１０に記載の認証ノード。
【請求項１２】
前記通信ネットワークは、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）ベースのネットワークであり、
前記通信装置はユーザ機器ＵＥであり、
前記認証ノードはサービス制御機能ＳＣＦであり、
前記サービスノードは、ブロードキャスト／マルチキャストサービスセンターＢＭ−ＳＣであり、
前記要求されたサービスは、マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスである、ことを特徴とする請求項１０に記載の認証ノード。
【請求項１３】
通信ネットワークにおいて、サービスを前記通信装置に提供するサービスノードと通信装置との間で共有セキュリティキーを管理する認証ノードであって、
メモリに格納されたコンピュータプログラム命令を実行するプロセッサであって、前記認証ノードにおける、
前記認証ノードを識別する複数の認証ノード識別子を複数のサービスと関連付ける手段と、
前記ネットワークにおいて前記複数の認証ノード識別子のうちの異なる１つを各サービスノードに割り当てる手段と、
前記割り当てられた認証ノード識別子を接続されたサービスノードと関連付けるテーブルと、
前記通信装置から所望のサービスに対する要求を受信することに応答して、前記割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対するセキュリティキーを取得するために、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を利用する手段と、
前記セキュリティキーを前記認証ノードから前記関連付けられたサービスノードに送出する通信手段と、
前記セキュリティキーを導出するために前記割り当てられた認証ノードを利用する前記通信装置に、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を送出する通信手段と、を制御するプロセッサを備える認証ノード。
【請求項１４】
前記割り当てられた認証ノード識別子を前記通信装置に送出する前記通信手段は、ＳＩＰ ２００ ＯＫメッセージにおいて前記割り当てられた認証ノード識別子を前記移動通信装置に送出するＳＩＰ通信ユニットを備え、
前記セキュリティキーを前記サービスノードに送出する前記通信手段は、前記認証ノードからの第２のセキュリティキー及びトランザクション識別子を、ＨＴＴＰ ＰＯＳＴメッセージにおいて前記サービスノードに送出するＨＴＴＰ通信ユニットを備える、ことを特徴とする請求項１３に記載の認証ノード。
【請求項１５】
通信ネットワークにおいて、共有セキュリティキーを利用してユーザサービスを通信装置に提供するサービスノードであって、
メモリに格納されたコンピュータプログラム命令を実行するプロセッサであって、前記サービスノードにおける、
認証ノード識別子、前記通信装置のＩＰアドレス、前記通信装置が前記サービスノードにより提供されるユーザサービスを要求したトランザクションを識別するトランザクション識別子及び前記共有セキュリティキーを認証ノードから取得する通信手段と、
前記通信装置に前記共有セキュリティキーで保護されたキー管理メッセージを送出する通信手段と、を制御するプロセッサを備え、前記キー管理メッセージは前記認証ノード識別子及び前記トランザクション識別子を含み、
前記通信装置は、前記サービスノードから前記キー管理メッセージを受信する場合、前記認証ノード識別子及び前記トランザクション識別子からの前記共有セキュリティキーを識別し、
前記認証ノードが前記認証ノード識別子を前記通信装置に提供する場合又は前記通信装置が前記サービス記述において前記認証ノード識別子を受信する場合、前記通信装置は、前記認証ノード識別子を利用して前記共有セキュリティキーを導出し、前記共有セキュリティキーを使用して前記キー管理メッセージを復号化し且つ検証する、ことを特徴とするサービスノード。
【請求項１６】
前記通信ネットワークは、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）ベースのネットワークであり、
前記移動通信装置はユーザ機器ＵＥであり、
前記認証ノードは、認証プロキシＡＰを有するネットワークアプリケーション機能ＮＡＦであり、
前記サービスノードはアプリケーションサーバＡＳであり、
前記要求されたサービスは、マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスである、ことを特徴とする請求項１５に記載のサービスノード。
【請求項１７】
前記通信ネットワークは、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）ベースのネットワークであり、
前記移動通信装置はユーザ機器ＵＥであり、
前記認証ノードはサービス制御機能ＳＣＦであり、
前記サービスノードは、ブロードキャスト／マルチキャストサービスセンターＢＭ−ＳＣであり、
前記要求されたサービスは、マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスである、ことを特徴とする請求項１５に記載のサービスノード。
【請求項１８】
通信ネットワークにおいて共有セキュリティキーを管理するシステムであって、
通信装置と、
前記通信装置と通信している認証ノードと、
前記認証ノード及び前記通信装置と通信しているサービスノードとを備え、
前記認証ノードは、
前記認証ノードを識別する複数の認証ノード識別子を複数のサービスと関連付ける手段と、
前記複数の認証ノードの中から選択された１つの認証ノード識別子を前記サービスノードに割り当てる手段と、
前記割り当てられた認証ノード識別子を接続されたサービスノードと関連付けるテーブルと、
前記通信装置から所望のサービスに対する要求を受信することに応答して、前記割り当てられた認証ノード識別子と関連付けられた接続されたサービスノードに対するセキュリティキーを取得するために、前記所望のサービスと関連付けられた前記割り当てられた認証ノード識別子を利用する手段と、
前記認証ノード識別子、前記通信装置のＩＰアドレス、前記通信装置が前記サービスノードにより提供されたユーザサービスを要求したトランザクションを識別するトランザクション識別子及び前記共有セキュリティキーを前記サービスノードに送出する通信手段とを備え、
前記サービスノードは、
前記セキュリティキーで保護され且つ前記認証ノード識別子及び前記トランザクション識別子を含むキー管理メッセージを前記通信装置に送出する通信手段を備え、
前記移動通信装置は、
前記認証ノード識別子及び前記トランザクション識別子からの前記共有セキュリティキーを識別する手段と、
前記ネットワークから取得したサービス記述又は前記認証ノードのいずれかから前記認証ノード識別子を受信する通信手段と、
前記認証ノード識別子を利用して前記共有セキュリティキーを導出する手段と、
前記共有セキュリティキーを使用して前記キー管理メッセージを復号化し且つ検証する手段と、を備えることを特徴とするシステム。
【請求項１９】
前記通信ネットワークは、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）ベースのネットワークであり、
前記移動通信装置はユーザ機器ＵＥであり、
前記認証ノードは、認証プロキシＡＰを有するネットワークアプリケーション機能ＮＡＦであり、
前記サービスノードはアプリケーションサーバＡＳであり、
前記要求されたサービスは、マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスである、ことを特徴とする請求項１８に記載のシステム。
【請求項２０】
前記通信ネットワークは、インターネットプロトコルマルチメディアサブシステム（ＩＭＳ）ベースのネットワークであり、
前記移動通信装置はユーザ機器ＵＥであり、
前記認証ノードはサービス制御機能ＳＣＦであり、
前記サービスノードは、ブロードキャスト／マルチキャストサービスセンターＢＭ−ＳＣであり、
前記要求されたサービスは、マルチメディアブロードキャスト／マルチキャストサービス（ＭＢＭＳ）ユーザサービスである、ことを特徴とする請求項１８に記載のシステム。
【請求項２１】
通信ネットワークにおいて、移動通信装置と、前記移動通信装置を認証する認証ノードと、サービスを前記移動通信装置に提供するサービスノードとの間で共有セキュリティキーを管理する方法であって、
前記認証ノードにおいて、前記サービスノードにより提供されたサービスを利用するための要求を前記移動通信装置から受信するステップと、前記要求はトランザクション識別子を含み、
前記認証ノードに対する認証ノードセキュリティキーを導出する前記移動通信装置を前記認証ノードが認証するステップと、
前記認証ノードセキュリティキー及びノンスを利用して導出される前記サービスノードに対するサービスノードセキュリティキーを前記認証ノードが導出するステップと、
前記サービスノードセキュリティキー及び前記トランザクション識別子を前記認証ノードから前記サービスノードに送出するステップと、
前記ノンス及び前記サービスノードの識別子を前記認証ノードから前記移動通信装置に送出し、それにより前記移動通信装置が前記認証ノードセキュリティキー及び前記ノンスから前記サービスノードセキュリティキーを導出できるようにするステップと、を有することを特徴とする方法。
【請求項２２】
前記サービスノードが、前記サービスノードセキュリティキーで保護されたキー管理メッセージを前記移動通信装置に送出し、前記メッセージが前記サービスノード識別子及び前記トランザクション識別子を含む場合、前記移動通信装置は、前記サービスノードセキュリティキーを使用して前記メッセージを復号化し且つ検証する、ことを特徴とする請求項２１に記載の方法。
【請求項２３】
複数のサービスノードがあり、前記方法は、前記要求されたサービスを提供する前記複数のサービスノードのうちの１つを前記認証ノードにより選択するステップを更に含み、
前記認証ノードは、前記選択されたサービスノードに対するサービスノードセキュリティキーを導出し、前記サービスノードセキュリティキー、前記トランザクション識別子及び前記選択されたサービスノードに対するサービスノード識別子を前記選択されたサービスノードに送出する、ことを特徴とする請求項２１に記載の方法。
【請求項２４】
前記選択されたサービスノードは、複数のサービスノード識別子を有し、前記キー管理メッセージを前記移動通信装置に送出する場合に、前記認証ノードから受信した前記サービスノード識別子を前記メッセージに含める、ことを特徴とする請求項２３に記載の方法。
【図１】
【図２】
【図３】
【図４】
【図５Ａ】
【図５Ｂ】
【図６Ａ】
【図６Ｂ】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５Ａ】
【図５Ｂ】
【図６Ａ】
【図６Ｂ】
【図７】
【図８】
【図９】
【公表番号】特表２０１２−５２３１５８（Ｐ２０１２−５２３１５８Ａ）
【公表日】平成２４年９月２７日（２０１２．９．２７）
【国際特許分類】
【出願番号】特願２０１２−５０３３７４（Ｐ２０１２−５０３３７４）
【出願日】平成２２年３月３１日（２０１０．３．３１）
【国際出願番号】ＰＣＴ／ＳＥ２０１０／０５０３６６
【国際公開番号】ＷＯ２０１０／１１４４７５
【国際公開日】平成２２年１０月７日（２０１０．１０．７）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＧＳＭ
【出願人】（５９８０３６３００）テレフオンアクチーボラゲット エル エム エリクソン（パブル） (2,266)
【Ｆターム（参考）】
【公表日】平成２４年９月２７日（２０１２．９．２７）
【国際特許分類】
【出願日】平成２２年３月３１日（２０１０．３．３１）
【国際出願番号】ＰＣＴ／ＳＥ２０１０／０５０３６６
【国際公開番号】ＷＯ２０１０／１１４４７５
【国際公開日】平成２２年１０月７日（２０１０．１０．７）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＧＳＭ
【出願人】（５９８０３６３００）テレフオンアクチーボラゲット エル エム エリクソン（パブル） (2,266)
【Ｆターム（参考）】
[ Back to top ]