ＩＭＳ認証制御システム及びＩＭＳ認証制御方法
【課題】IMS‐Security方式のサポートをしていない通信端末を用いた場合であっても、IMS‐Security方式による端末認証を確実に行うことができるIMS認証制御システム及び制御方法を提供する。
【解決手段】前記通信端末１０１と前記IMS設備群５０１との間に代理認証サーバ３０１を設け、該代理認証サーバ３０１は、前記通信端末１０１から送信された認証要求２０１を受けた後、前記IMS設備群５０１へ代理認証要求４０１を送信し、前記通信端末を代理して前記IMS設備群とIMS‐Security方式による認証を行うことを特徴とする。
【解決手段】前記通信端末１０１と前記IMS設備群５０１との間に代理認証サーバ３０１を設け、該代理認証サーバ３０１は、前記通信端末１０１から送信された認証要求２０１を受けた後、前記IMS設備群５０１へ代理認証要求４０１を送信し、前記通信端末を代理して前記IMS設備群とIMS‐Security方式による認証を行うことを特徴とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、IMS（IP Multimedia Subsystem）で規定されている端末の認証方式であるIMS-security方式を実現するIMS認証制御システム及びIMS制御方法に関するものである。
【背景技術】
【０００２】
近年、固定、移動体通信を統合し、より高度なサービスを提供するための次世代ネットワーク（NGN：Next Generation Network）が注目されている。現在、NGNの中核技術であるIMS（IP Multimedia Subsystem）の標準化が3GPPによって進められている。
【０００３】
3GPPでは、IMSサービスを提供する上で、なりすましの防止等のセキュリティを担保するため、IMS-security方式が規定されている。IMS-security方式では、携帯電話に搭載されているUICC（Universal Integrated Circuit Card）等の耐タンパ性のある媒体に保存されるISIM（IMS Subscriber Identity Module）を用いたIMS-AKAによる相互認証が行われ、その結果得られる情報からIPsec（IP security protocol）を用いて高いセキュリティを実現する。しかしながら、現状は、ISIMやIMS-AKAなどのように、IMS-security方式に対応した端末は普及しておらず、今後すぐに普及するとも考え難い。
【０００４】
IMSサービスを早期に実現するために、従来より、固定端末向けの回線認証方式（例えば、非特許文献1）や、Wi-Fi端末向けの認証方式（例えば、非特許文献2、3）などが開発されているが、現在広く普及している第３世代携帯電話（以下、3G携帯）を始めとする携帯電話に対応した認証方式は3GPPによる方式（例えば、非特許文献4）に限られている。
【０００５】
上記の３GPPによる認証方式では、3G携帯で利用されているUICCに保存されるUSIM（Universal Subscriber Identity Module）の情報からISIMで用いられる情報を生成して認証を行う方式（以下、Early IMS方式）が規定されている。前記USIMには、電話番号に該当するMSISDNと、加入者識別子に該当するIMSIとが含まれる。ここで、前記MSISDNは、他のユーザに公開する情報であり、前記IMSIは携帯電話網でのアクセス認証や携帯電話サービスの課金登録などに用いられることから、一般的に公開する情報ではないとされている。上記Early IMS方式では、IMSIからISIMで用いられるIMPU（IP Multimedia Private Identity）とIMPI（IP Multimedia Public Identity）を生成する。上記IMPUはパブリックユーザIDであり、電話番号のように他のユーザへ公開してユーザを特定するために利用する識別子である。一方、上記IMPIはプライベートユーザIDであり、IMSIのような加入者情報であり、IMSがユーザを認証する際に利用される。ただし、IMSIから生成されたIMPUは本来公開すべき情報ではないため、IMS認証時に限り利用され、他のユーザへ公開する識別子として、別のIMPUが必要となる。図４に、Early IMS方式の全体構成の一例を示す。
【０００６】
Early IMS方式の基本動作は、以下の通りである（図４参照。）
（１）通信端末１０１がSGSN／GGSN（Serving GPRS Support Node／Gateway GPRS Support Node） ７０１へIPアドレス割当要求８０１を送信し、その後、SGSN／GGSN ７０１はIMS設備群５０１へユーザ情報登録要求９０１を送信し、ＩＰアドレスの割り当てを受ける。ここで、上記IPアドレス割当要求８０１は、上記通信端末１０１が備えるUSIMに保存されているMSISDN及びIMSIを運ぶ。上記SGSN／GGSN７０１はIPアドレス割当要求８０１に含まれるIMSIから正規ユーザであることを確認し、IPアドレスを割り当てる。また、ユーザ情報登録要求９０１は、SGSN／GGSN７０１が通信端末１０１に割り当てたIPアドレスと、IPアドレス割当要求８０１に含まれるMSISDN及びIMSIを運ぶ。
（２）次に、IPアドレスを割り当てられた通信端末１０１がSGSN／GGSN７０１へ認証要求２０１を送信し、SGSN／GGSN７０１は、受信した上記認証要求２０１をIMS設備群５０１へと転送する。ここで、上記SGSN／GGSN７０１は、認証要求２０１については転送のみを行うため、上記認証要求２０１は、前記ユーザ登録要求９０１で登録したIPアドレス及びIMSIから生成されるIMPUを含むREGISTER信号を運ぶ。
（３）その後、IMS設備群５０１は、認証要求２０１の情報とユーザ情報登録要求９０１にて登録した情報が一致することを確認し、通信端末１０１へと認証結果を返す。
【０００７】
また、3G携帯における通信端末及びユーザの認証方式としては、ITU-Tの公開鍵基盤の規格であるX.509の所有者フィールドに記載するID（Subject）を用いる方式（例えば、非特許文献5）も挙げられる。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】松本実、「次世代通信網における認証方式の検討」、信学技報、社団法人 電子情報通信学会、2006年3月、p53−56
【非特許文献２】北見広和 他、「IMS Early DeploymentのWiFi端末向け拡張方式の検討」、信学技報、社団法人 電子情報通信学会、2007年5月、p57-62
【非特許文献３】北見広和 他、「ノマディックIMSサービス早期実現のための認証方式」、信学技報、社団法人 電子情報通信学会、2007年11月、p7-12
【非特許文献４】“Security aspects of early IMS”、3GPP TR 33.978、 v8.0.0、2008年12月、p1-27
【非特許文献５】関野公彦 他、「電子認証局システム構築技術」、NTT DoCoMoテクニカルジャーナル、Vol.11 No.3、p12-17
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、上述したIMS-security方式及びEarly IMS方式には、以下の問題点がある。
（Ａ）暗号化及び復号化の際の負荷が高いIMS-AKAやIPsecの使用を前提としているため、通信端末の能力に対する要求が高い。
（Ｂ）また、IMSサービスの一部の信号に限られる（具体的には、REGISTER信号）のみとはいえ、公開すべきではないIMSI由来のIMPUを使用しており、さらにはその後の信号（INVITE等）で用いるIMPUを定める規則がない。
（Ｃ）さらに、独自の認証方式（IMS-security方式、Early IMS方式）を現在普及している端末上に実装しなければならない。
【００１０】
そこで、本発明の目的は、所定の認証代理サーバを設けることによって、IMS-Security方式のサポートをしていない通信端末を用いた場合であっても、IMS-Security方式による端末認証を確実に行うことができるIMS認証制御システム及びIMS制御方法を提供することにある。
【課題を解決するための手段】
【００１１】
本発明は、通信端末とIMS設備群との間に代理認証サーバを設け、該代理認証サーバが、前記通信端末から送信された認証要求を受けた後、前記IMS設備群へ代理認証要求を送信し、前記通信端末を代理して前記IMS設備群とIMS‐Security方式による認証を行うことによって、上述した負荷が高い認証処理の問題を解決することができる。
【００１２】
また、本発明の要旨は以下の通りである。
（１）通信端末とIMS（IP Multimedia Subsystem）網のIMS設備群とを接続するにあたって、IMS-Security方式を用いて通信端末及びユーザの認証を行うIMS認証制御システムであって、前記通信端末と前記IMS設備群との間に代理認証サーバが設けられ、該代理認証サーバは、前記通信端末から送信された認証要求を受けた後、前記IMS設備群へ代理認証要求を送信し、前記通信端末を代理して前記IMS設備群とIMS-Security方式による認証を行う手段を有することを特徴とするIMS認証制御システム。
【００１３】
（２）前記代理認証サーバは、前記通信端末ごとのIMPU（IP Multimedia Public Identity）、IMPI（IP Multimedia Private Identity）及びRealmの情報を保持するデータベースを備え、前記通信端末からの前記認証要求によって運ばれた公開鍵証明書に基づいて前記通信端末を認証し、前記認証要求によって運ばれた情報に基づいて前記データベースを検索し、前記IMPU及び前記IMPIを参照し、認証を行う手段を有することを特徴とする上記IMS認証制御システム。
【００１４】
（３）前記IMPUは、MSISDN（Mobile Subscriber Integrated Services Digital Network Number）由来のIMPUであることを特徴とする上記IMS認証制御システム。
【００１５】
（４）前記通信端末と前記代理認証サーバとの間の認証処理は、SSLを用いて行われることを特徴とする上記IMS認証制御システム。
【００１６】
（５）通信端末とIMS（IP Multimedia Subsystem）網のIMS設備群とを接続するにあたって、IMS-Security方式を用いて通信端末及びユーザの認証を行うIMS認証制御方法であって、前記通信端末と前記IMS設備群との間に代理認証サーバが設けられ、該代理認証サーバの処理手順は、前記通信端末から送信された認証要求を受けるステップと、前記IMS設備群へ代理認証要求を送信し、前記通信端末を代理して前記IMS設備群とIMS-Security方式による認証を行うステップとを含むことを特徴とするIMS認証制御方法。
【００１７】
（６）前記代理認証サーバは、前記通信端末ごとのIMPU（IP Multimedia Public Identity）、IMPI（IP Multimedia Private Identity）及びRealmの情報を保持するデータベースを備え、前記代理認証サーバによる処理手順は、前記通信端末からの前記認証要求によって運ばれた公開鍵証明書に基づいて前記通信端末を認証し、前記認証要求によって運ばれた情報に基づいて前記データベースを検索し、前記IMPU及び前記IMPIを参照し、認証を行うステップを含むことを特徴とする上記IMS認証制御方法。
【００１８】
（７）前記IMPUは、MSISDN（Mobile Subscriber Integrated Services Digital Network Number）由来のIMPUであることを特徴とする上記IMS認証制御方法。
【００１９】
（８）前記通信端末と前記代理認証サーバとの間の認証データのやりとりは、SSLを用いて行われることを特徴とする上記IMS認証制御方法。
【発明の効果】
【００２０】
本発明によれば、IMS-Security方式のサポートをしていない通信端末を用いた場合であっても、IMS-Security方式による端末認証を、通信端末に負荷をかけることなく確実に行うことができる。加えて、IMSI由来のIMPUの使用をすることなく、通信端末の認証処理では一般的な認証方式を用いることが可能となる。
【図面の簡単な説明】
【００２１】
【図１】本発明によるIMS認証制御システムの一実施例についての概略図である。
【図２】本発明によるIMS認証制御システムの一実施例についての動作フローを示す図である。
【図３】本発明によるIMS認証制御システムにおける代理認証サーバの構成を示す図である。
【図４】従来のEarly IMS方式による端末認証制御システムについての概略図である。
【発明を実施するための形態】
【００２２】
以下、本発明の構成と限定理由について、図面を用いて説明する。
【００２３】
図１は、本発明によるIMS認証制御システムの一実施例についての概略を示したものである。図１に示すように、本発明にかかる認証制御システムは、通信端末１０１とIMS（IP Multimedia Subsystem）網５０のIMS設備群５０１とを接続するにあたって、IMS‐Security方式を用いて通信端末１０１及びユーザの認証を行うIMS認証制御システムである。
【００２４】
そして、本発明にかかる認証制御システムは、図１に示すように、前記通信端末１０１と前記IMS設備群５０１との間に代理認証サーバ３０１を設け、この代理認証サーバ３０１は、前記通信端末１０１から送信された認証要求２０１を受けた後、前記IMS設備群５０１へ代理認証要求４０１を送信し、前記通信端末を代理して前記IMS設備群とIMS-Security方式による認証を行う手段を有する。上記構成を備えることによって、IMS-Security方式のサポートをしていない通信端末１０１を用いた場合であっても、IMS-Security方式による端末認証を行うことが可能となる。
【００２５】
図４は、上述したように従来のEarly IMS方式による認証制御システムの概略を示したものである。本発明にかかる認証制御システム（図１）と、従来のEarly IMS方式による認証制御システム（図４）とを比較すると、本発明にかかる認証制御システムでは、通信端末１０１は認証要求２０１を送信するだけで、代理認証サーバ３０１との間のSSLによる相互認証や暗号化通信を利用して、代理認証サーバ３０１はIMS設備群５０１との間のIMS-security方式による相互認証や暗号化通信を利用するため、Early IMS方式による認証制御システムに比べて、強固なセキュリティを提供することがわかる。また、本発明にかかる認証制御システムと、従来のIMS-security方式による認証制御システムとを比較すると、本発明にかかる認証制御システムでは、通信端末１０１は認証要求２０１を送信するだけで、IMS設備群５０１との間のIMS‐Security方式による認証については代理認証サーバ３０１によって全て行われることから、IMS-security方式による認証制御システムに比べて、通信端末１０１にかかる負荷が軽減されることがわかる。
【００２６】
（システム構成）
以下に、本発明にかかる認証制御システムの各構成要素について説明する。
本発明に用いられる通信端末１０１とは、携帯網を利用してデータ通信を行う端末のことであり、例えば、携帯電話や、携帯情報端末（PDA）等が挙げられる。
上記通信端末１０１は、図１に示すように、USIM（Universal Subscriber Identity Module）を有し、該USIMは、公開鍵証明書の識別子であるSubject、携帯電話ユーザに割り当てられている一意な識別番号であるIMSI、携帯電話番号に該当するMSISDN等の情報を保持している。
【００２７】
また、前記通信端末１０１から送信される認証要求２０１とは、IMS網へ接続するために、図１に示すように前記通信端末１０１から前記代理認証サーバ３０１へと送信される情報のことをいう。該代理認証要求２０１は、前記USIMに保存されている公開鍵証明書を有する。この公開鍵証明書の種類としては、例えばX.509などが挙げられる。
【００２８】
また、本発明に用いられる代理認証サーバ３０１とは、その名の通り、前記通信端末１０１に代わって、前記IMS設備群５０１とのIMS-Security方式による認証を行うためのサーバのことである。ここで、図３は、代理認証サーバの一例についての概略を示したものである。
【００２９】
前記代理認証サーバ３０１は、図３に示すように、インタフェース部３１１と、制御部３１２と、記憶部３２３と、予め種々の情報が格納されたデータベース３１４とを備える。前記代理認証サーバ３０１は、通信端末１０１から送信された認証要求２０１を、インタフェース部３１１を通じて受信する。その後、制御部３１２の端末認証部３１２ａでは、得られた認証要求２０１に含まれる情報（例えばSubject）に基づいて各Key情報データベース３１４ａ、IMPU情報データベース３１４ｃ及びIMPI情報データベース３１４ｄを検索し、前記通信端末１０１のIMPU及びIMPIを参照する。なお、IMPUはMSISDN及びRealmから生成され、前記MIPIは、IMSI及びRealmから生成され、通信端末１０１からの認証要求２０１を受ける事前に各データベース３１４ｃ、ｄに格納されている。また、Realmとは、IMSサービスのREGISTER信号のAuthorizationヘッダに記述されるRealmに対応し、SIP URI形式のIMPU及びNAI形式のIMPIの双方のドメイン名として用いられる情報のことである。さらに、IMPUについては、メールアドレスのようにユーザ定義の文字列とRealmから生成したものを前記代理認証サーバ３０１や前記IMS設備群５０１へIMPIと関連付けて登録することで、複数のIPMUを利用することも可能である。その後、前記制御部３１２では、前記端末認証部３１２ａから情報を得て、代理認証部３１２ｂによって、代理認証要求４０１が行われる。
【００３０】
なお、通信端末１０１と代理認証サーバ３０１との間で行われる認証処理のプロトコルについては、SSLを用いることが好ましい。一般的な認証方式であり、導入することが容易であるためである。
【００３１】
また、図１に示すように、通信端末１０２が通信端末１０１へセッション確立要求６０２（例えばINVITE等）を送信するときは、連絡先の交換などで事前に知っていた通信端末１０１のIMPUを宛先として信号を送信する。
【００３２】
代理認証サーバ３０１から送信される前記代理認証要求４０１とは、通信端末１０１に代理して、代理認証サーバ３０１からIMS設備群５０１へと送信された認証要求のことであり、IMS-Security方式に準拠している。
【００３３】
なお、代理認証サーバ３０１とIMS設備群５０１との間のセキュリティの確保については、代理認証サーバ３０１をIMS網の事業者が管理する場合には、当該事業者の統一的な管理によって確保することが可能である。一方、代理認証サーバ３０１を第三者が管理する場合には、IPSec等によって暗号化通信及び相互認証を行うことによってセキュリティを確保する必要がある。
【００３４】
また、本発明によるIMS設備群５０１とは、IMS網５０の実体をサポートするための設備群のことである。具体的には、図１に示すように、SIP（Session Initiation Protocol）プロキシであり最初に接触するP-CSCF（Proxy-CSCF）５０１ａ、管理ドメインの端に位置するSIP機能の１つであるI-CSCF（Interrogating-CSCF）５０１ｂ及び信号層の中心的ノードでSIPサーバであり、セッション制御を実行するS-CSCF（Serving-CSCF）５０１ｃの各機能（Call Session Control Function）を有し、加入者関連情報（プロフィール）が格納され、ユーザの認証及び認可を実施し、加入者の位置情報及びIP情報を提供するHSS（Home Subscriber Server）５０１ｄを備える。
【００３５】
前記代理認証サーバ３０１は、IMPIやIMSドメインを示すURIを含む「SIP Registerメッセージ」を前記P-CSCF５０１ａに送信する。「SIP Registerメッセージ」を受け取ったP-CSCF５０１ａは、ホームIMSドメインのI-CSCF５０１ｂに「Registerメッセージ」を送信する。I-CSCF５０１ｂはHSS５０１ｄにアクセスし、HSS５０１ｄから返信されるS-CSCF５０１ｃ候補の情報をもとに通信端末１０１に適するS-CSCF５０１ｃを選択し、I-CSCF５０１ｂは「Registerメッセージ」をS-CSCF５０１ｃに送信する。
【００３６】
S-CSCF５０１ｃは、HSS５０１ｄに端末１０１のIMPI、IMPU、自己のS-CSCF５０１ｂの名前などを通知し、HSS５０１ｄに認証ベクトルの計算と通知を依頼する。HSS５０１ｄは認証ベクトル（RAND、AUTN、Ck、Ik）を計算し、S-CSCF５０１ｃに転送する。ここでS-CSCF５０１ｃは、認証ベクトルの中のXRES（Expected Response、想定される認証応答）を保持している。
【００３７】
S-CSCF５０１ｃからの「401Unauthorizedメッセージ」は、I-CSCF５０１ｂ、P-CSCF５０１ａへと送信され、P-CSCF５０１ａではCk、Ikを端末UEとの間に設定するIPsecのための共有キーとして保持する。代理認証サーバ３０１にはRANDとAUTNの値が伝えられ、代理認証サーバ３０１はAUTNを用いてネットワークを認証するとともに、RES（Response、認証応答）、Ck、Ikを計算する。
【００３８】
上記のCk及びIkはIPsec用のキーとされ、RESは認証要求に対する応答値として、2回目の「SIP Registerメッセージ」でS-CSCF５０１ｃまで送信される。S-CSCF５０１ｃでは、XRESとRESを比較することで、正当な加入ユーザであることを認証する。S-CSCF５０１ｃでのユーザ認証が成功すると、HSS５０１ｄにユーザが登録されたことを通知し、当該ユーザのユーザー・プロファイル（加入ユーザに割り当てられているすべてのIMPU、登録されたIMPU、IFC（Initial Filter Criteria〕等）のダウンロードを要求する。
【００３９】
HSS５０１ｄは、ユーザー・プロファイルをS-CSCF５０１ｃに転送し、S-CSCF５０１ｃは「200 OKメッセージ」を代理認証サーバ３０１へ送信して、IMS登録が完了する。
【００４０】
（認証制御方法）
次に、本発明にかかる認証制御方法について、図面を用いて説明する。図２は、本発明によるIMS認証制御システムの一実施例についての動作フローを示したものである。
【００４１】
本発明にかかる認証制御方法は、図２に示すような形で行われる。
（１）まず、通信端末１０１から、代理認証サーバ３０１へ認証要求２０１が送信される（Ｓ１）。代理認証要求２０１は、USIMに保存されている公開鍵証明書（図示せず）を有し、公開鍵証明書を用いた相互認証のプロトコルとしてはSSLを用いることが好ましい。
【００４２】
（２）その後、代理認証サーバ３０１では、通信端末１０１の認証作業が行われる（Ｓ２）。具体的には、送信された認証要求２０１に含まれる情報（例えばSubject）に基づいて各Key情報データベース３１４ａ、IMPU情報データベース３１４ｃ及びIMPI情報データベース３１４ｄ（図３を参照。）を検索し、通信端末１０１のIMPU及びIMPIを参照する。
【００４３】
（３）続いて、代理認証サーバ３０１は、IMS設備群５０１へと、代理認証要求４０１を送信する（Ｓ３）。なお、代理認証サーバ３０１とIMS設備群５０１との間のセキュリティの確保については、代理認証サーバ３０１をIMS網の事業者が管理する場合には、当該事業者の統一的な管理によって確保することが可能である。
【００４４】
（４）その後、IMS設備群５０１にて、IMS-Security方式による通信端末１０１の認証が行われる（Ｓ４）。
【００４５】
（５）そして、IMS設備群５０１は代理認証サーバ３０１へと認証結果を送信し（Ｓ５）、代理認証サーバ３０１は通信端末１０１へ認証結果を送信する（Ｓ６）。
【００４６】
上記の認証制御方法を用いることで、従来のEarly IMS方式による認証制御システム（図４）とを比較すると、本発明にかかる認証制御システムでは、通信端末は認証要求２０１を送信するだけで、IMS設備群５０１との間のIMS‐Security方式による認証については代理認証サーバ３０１によって行われる（Ｓ３〜Ｓ５）ことから、従来のEarly IMS方式による認証制御方法に比べて、通信端末１０１の負荷軽減が可能となる。
【００４７】
上述したところは、この発明の実施形態の一例を示したにすぎず、請求の範囲において種々の変更を加えることができる。
【産業上の利用可能性】
【００４８】
本発明によれば、IMS-Security方式のサポートをしていない通信端末を用いた場合であっても、IMS‐Security方式による端末認証を確実に行うことができるため、携帯網を利用する用途に有効である。
【符号の説明】
【００４９】
１０ 携帯網
５０ IMS網
１０１ 通信端末
１０２ 通信端末
２０１ 認証要求
３０１ 代理認証サーバ
３１１ インタフェース部
３１２ 制御部
３１２ａ 端末認証機能
３１２ｂ 代理認証機能
３１３ 記憶部
３１４ データベース
５０１ IMS設備群
５０１ａ P-CSCF
５０１ｂ I-CSCF
５０１ｃ S-CSCF
５０１ｄ HSS
６０２ セッション確立要求
７０１ SGSN／GGSN
８０１ ＩＰアドレス割当要求
９０１ ユーザ情報登録
【技術分野】
【０００１】
本発明は、IMS（IP Multimedia Subsystem）で規定されている端末の認証方式であるIMS-security方式を実現するIMS認証制御システム及びIMS制御方法に関するものである。
【背景技術】
【０００２】
近年、固定、移動体通信を統合し、より高度なサービスを提供するための次世代ネットワーク（NGN：Next Generation Network）が注目されている。現在、NGNの中核技術であるIMS（IP Multimedia Subsystem）の標準化が3GPPによって進められている。
【０００３】
3GPPでは、IMSサービスを提供する上で、なりすましの防止等のセキュリティを担保するため、IMS-security方式が規定されている。IMS-security方式では、携帯電話に搭載されているUICC（Universal Integrated Circuit Card）等の耐タンパ性のある媒体に保存されるISIM（IMS Subscriber Identity Module）を用いたIMS-AKAによる相互認証が行われ、その結果得られる情報からIPsec（IP security protocol）を用いて高いセキュリティを実現する。しかしながら、現状は、ISIMやIMS-AKAなどのように、IMS-security方式に対応した端末は普及しておらず、今後すぐに普及するとも考え難い。
【０００４】
IMSサービスを早期に実現するために、従来より、固定端末向けの回線認証方式（例えば、非特許文献1）や、Wi-Fi端末向けの認証方式（例えば、非特許文献2、3）などが開発されているが、現在広く普及している第３世代携帯電話（以下、3G携帯）を始めとする携帯電話に対応した認証方式は3GPPによる方式（例えば、非特許文献4）に限られている。
【０００５】
上記の３GPPによる認証方式では、3G携帯で利用されているUICCに保存されるUSIM（Universal Subscriber Identity Module）の情報からISIMで用いられる情報を生成して認証を行う方式（以下、Early IMS方式）が規定されている。前記USIMには、電話番号に該当するMSISDNと、加入者識別子に該当するIMSIとが含まれる。ここで、前記MSISDNは、他のユーザに公開する情報であり、前記IMSIは携帯電話網でのアクセス認証や携帯電話サービスの課金登録などに用いられることから、一般的に公開する情報ではないとされている。上記Early IMS方式では、IMSIからISIMで用いられるIMPU（IP Multimedia Private Identity）とIMPI（IP Multimedia Public Identity）を生成する。上記IMPUはパブリックユーザIDであり、電話番号のように他のユーザへ公開してユーザを特定するために利用する識別子である。一方、上記IMPIはプライベートユーザIDであり、IMSIのような加入者情報であり、IMSがユーザを認証する際に利用される。ただし、IMSIから生成されたIMPUは本来公開すべき情報ではないため、IMS認証時に限り利用され、他のユーザへ公開する識別子として、別のIMPUが必要となる。図４に、Early IMS方式の全体構成の一例を示す。
【０００６】
Early IMS方式の基本動作は、以下の通りである（図４参照。）
（１）通信端末１０１がSGSN／GGSN（Serving GPRS Support Node／Gateway GPRS Support Node） ７０１へIPアドレス割当要求８０１を送信し、その後、SGSN／GGSN ７０１はIMS設備群５０１へユーザ情報登録要求９０１を送信し、ＩＰアドレスの割り当てを受ける。ここで、上記IPアドレス割当要求８０１は、上記通信端末１０１が備えるUSIMに保存されているMSISDN及びIMSIを運ぶ。上記SGSN／GGSN７０１はIPアドレス割当要求８０１に含まれるIMSIから正規ユーザであることを確認し、IPアドレスを割り当てる。また、ユーザ情報登録要求９０１は、SGSN／GGSN７０１が通信端末１０１に割り当てたIPアドレスと、IPアドレス割当要求８０１に含まれるMSISDN及びIMSIを運ぶ。
（２）次に、IPアドレスを割り当てられた通信端末１０１がSGSN／GGSN７０１へ認証要求２０１を送信し、SGSN／GGSN７０１は、受信した上記認証要求２０１をIMS設備群５０１へと転送する。ここで、上記SGSN／GGSN７０１は、認証要求２０１については転送のみを行うため、上記認証要求２０１は、前記ユーザ登録要求９０１で登録したIPアドレス及びIMSIから生成されるIMPUを含むREGISTER信号を運ぶ。
（３）その後、IMS設備群５０１は、認証要求２０１の情報とユーザ情報登録要求９０１にて登録した情報が一致することを確認し、通信端末１０１へと認証結果を返す。
【０００７】
また、3G携帯における通信端末及びユーザの認証方式としては、ITU-Tの公開鍵基盤の規格であるX.509の所有者フィールドに記載するID（Subject）を用いる方式（例えば、非特許文献5）も挙げられる。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】松本実、「次世代通信網における認証方式の検討」、信学技報、社団法人 電子情報通信学会、2006年3月、p53−56
【非特許文献２】北見広和 他、「IMS Early DeploymentのWiFi端末向け拡張方式の検討」、信学技報、社団法人 電子情報通信学会、2007年5月、p57-62
【非特許文献３】北見広和 他、「ノマディックIMSサービス早期実現のための認証方式」、信学技報、社団法人 電子情報通信学会、2007年11月、p7-12
【非特許文献４】“Security aspects of early IMS”、3GPP TR 33.978、 v8.0.0、2008年12月、p1-27
【非特許文献５】関野公彦 他、「電子認証局システム構築技術」、NTT DoCoMoテクニカルジャーナル、Vol.11 No.3、p12-17
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、上述したIMS-security方式及びEarly IMS方式には、以下の問題点がある。
（Ａ）暗号化及び復号化の際の負荷が高いIMS-AKAやIPsecの使用を前提としているため、通信端末の能力に対する要求が高い。
（Ｂ）また、IMSサービスの一部の信号に限られる（具体的には、REGISTER信号）のみとはいえ、公開すべきではないIMSI由来のIMPUを使用しており、さらにはその後の信号（INVITE等）で用いるIMPUを定める規則がない。
（Ｃ）さらに、独自の認証方式（IMS-security方式、Early IMS方式）を現在普及している端末上に実装しなければならない。
【００１０】
そこで、本発明の目的は、所定の認証代理サーバを設けることによって、IMS-Security方式のサポートをしていない通信端末を用いた場合であっても、IMS-Security方式による端末認証を確実に行うことができるIMS認証制御システム及びIMS制御方法を提供することにある。
【課題を解決するための手段】
【００１１】
本発明は、通信端末とIMS設備群との間に代理認証サーバを設け、該代理認証サーバが、前記通信端末から送信された認証要求を受けた後、前記IMS設備群へ代理認証要求を送信し、前記通信端末を代理して前記IMS設備群とIMS‐Security方式による認証を行うことによって、上述した負荷が高い認証処理の問題を解決することができる。
【００１２】
また、本発明の要旨は以下の通りである。
（１）通信端末とIMS（IP Multimedia Subsystem）網のIMS設備群とを接続するにあたって、IMS-Security方式を用いて通信端末及びユーザの認証を行うIMS認証制御システムであって、前記通信端末と前記IMS設備群との間に代理認証サーバが設けられ、該代理認証サーバは、前記通信端末から送信された認証要求を受けた後、前記IMS設備群へ代理認証要求を送信し、前記通信端末を代理して前記IMS設備群とIMS-Security方式による認証を行う手段を有することを特徴とするIMS認証制御システム。
【００１３】
（２）前記代理認証サーバは、前記通信端末ごとのIMPU（IP Multimedia Public Identity）、IMPI（IP Multimedia Private Identity）及びRealmの情報を保持するデータベースを備え、前記通信端末からの前記認証要求によって運ばれた公開鍵証明書に基づいて前記通信端末を認証し、前記認証要求によって運ばれた情報に基づいて前記データベースを検索し、前記IMPU及び前記IMPIを参照し、認証を行う手段を有することを特徴とする上記IMS認証制御システム。
【００１４】
（３）前記IMPUは、MSISDN（Mobile Subscriber Integrated Services Digital Network Number）由来のIMPUであることを特徴とする上記IMS認証制御システム。
【００１５】
（４）前記通信端末と前記代理認証サーバとの間の認証処理は、SSLを用いて行われることを特徴とする上記IMS認証制御システム。
【００１６】
（５）通信端末とIMS（IP Multimedia Subsystem）網のIMS設備群とを接続するにあたって、IMS-Security方式を用いて通信端末及びユーザの認証を行うIMS認証制御方法であって、前記通信端末と前記IMS設備群との間に代理認証サーバが設けられ、該代理認証サーバの処理手順は、前記通信端末から送信された認証要求を受けるステップと、前記IMS設備群へ代理認証要求を送信し、前記通信端末を代理して前記IMS設備群とIMS-Security方式による認証を行うステップとを含むことを特徴とするIMS認証制御方法。
【００１７】
（６）前記代理認証サーバは、前記通信端末ごとのIMPU（IP Multimedia Public Identity）、IMPI（IP Multimedia Private Identity）及びRealmの情報を保持するデータベースを備え、前記代理認証サーバによる処理手順は、前記通信端末からの前記認証要求によって運ばれた公開鍵証明書に基づいて前記通信端末を認証し、前記認証要求によって運ばれた情報に基づいて前記データベースを検索し、前記IMPU及び前記IMPIを参照し、認証を行うステップを含むことを特徴とする上記IMS認証制御方法。
【００１８】
（７）前記IMPUは、MSISDN（Mobile Subscriber Integrated Services Digital Network Number）由来のIMPUであることを特徴とする上記IMS認証制御方法。
【００１９】
（８）前記通信端末と前記代理認証サーバとの間の認証データのやりとりは、SSLを用いて行われることを特徴とする上記IMS認証制御方法。
【発明の効果】
【００２０】
本発明によれば、IMS-Security方式のサポートをしていない通信端末を用いた場合であっても、IMS-Security方式による端末認証を、通信端末に負荷をかけることなく確実に行うことができる。加えて、IMSI由来のIMPUの使用をすることなく、通信端末の認証処理では一般的な認証方式を用いることが可能となる。
【図面の簡単な説明】
【００２１】
【図１】本発明によるIMS認証制御システムの一実施例についての概略図である。
【図２】本発明によるIMS認証制御システムの一実施例についての動作フローを示す図である。
【図３】本発明によるIMS認証制御システムにおける代理認証サーバの構成を示す図である。
【図４】従来のEarly IMS方式による端末認証制御システムについての概略図である。
【発明を実施するための形態】
【００２２】
以下、本発明の構成と限定理由について、図面を用いて説明する。
【００２３】
図１は、本発明によるIMS認証制御システムの一実施例についての概略を示したものである。図１に示すように、本発明にかかる認証制御システムは、通信端末１０１とIMS（IP Multimedia Subsystem）網５０のIMS設備群５０１とを接続するにあたって、IMS‐Security方式を用いて通信端末１０１及びユーザの認証を行うIMS認証制御システムである。
【００２４】
そして、本発明にかかる認証制御システムは、図１に示すように、前記通信端末１０１と前記IMS設備群５０１との間に代理認証サーバ３０１を設け、この代理認証サーバ３０１は、前記通信端末１０１から送信された認証要求２０１を受けた後、前記IMS設備群５０１へ代理認証要求４０１を送信し、前記通信端末を代理して前記IMS設備群とIMS-Security方式による認証を行う手段を有する。上記構成を備えることによって、IMS-Security方式のサポートをしていない通信端末１０１を用いた場合であっても、IMS-Security方式による端末認証を行うことが可能となる。
【００２５】
図４は、上述したように従来のEarly IMS方式による認証制御システムの概略を示したものである。本発明にかかる認証制御システム（図１）と、従来のEarly IMS方式による認証制御システム（図４）とを比較すると、本発明にかかる認証制御システムでは、通信端末１０１は認証要求２０１を送信するだけで、代理認証サーバ３０１との間のSSLによる相互認証や暗号化通信を利用して、代理認証サーバ３０１はIMS設備群５０１との間のIMS-security方式による相互認証や暗号化通信を利用するため、Early IMS方式による認証制御システムに比べて、強固なセキュリティを提供することがわかる。また、本発明にかかる認証制御システムと、従来のIMS-security方式による認証制御システムとを比較すると、本発明にかかる認証制御システムでは、通信端末１０１は認証要求２０１を送信するだけで、IMS設備群５０１との間のIMS‐Security方式による認証については代理認証サーバ３０１によって全て行われることから、IMS-security方式による認証制御システムに比べて、通信端末１０１にかかる負荷が軽減されることがわかる。
【００２６】
（システム構成）
以下に、本発明にかかる認証制御システムの各構成要素について説明する。
本発明に用いられる通信端末１０１とは、携帯網を利用してデータ通信を行う端末のことであり、例えば、携帯電話や、携帯情報端末（PDA）等が挙げられる。
上記通信端末１０１は、図１に示すように、USIM（Universal Subscriber Identity Module）を有し、該USIMは、公開鍵証明書の識別子であるSubject、携帯電話ユーザに割り当てられている一意な識別番号であるIMSI、携帯電話番号に該当するMSISDN等の情報を保持している。
【００２７】
また、前記通信端末１０１から送信される認証要求２０１とは、IMS網へ接続するために、図１に示すように前記通信端末１０１から前記代理認証サーバ３０１へと送信される情報のことをいう。該代理認証要求２０１は、前記USIMに保存されている公開鍵証明書を有する。この公開鍵証明書の種類としては、例えばX.509などが挙げられる。
【００２８】
また、本発明に用いられる代理認証サーバ３０１とは、その名の通り、前記通信端末１０１に代わって、前記IMS設備群５０１とのIMS-Security方式による認証を行うためのサーバのことである。ここで、図３は、代理認証サーバの一例についての概略を示したものである。
【００２９】
前記代理認証サーバ３０１は、図３に示すように、インタフェース部３１１と、制御部３１２と、記憶部３２３と、予め種々の情報が格納されたデータベース３１４とを備える。前記代理認証サーバ３０１は、通信端末１０１から送信された認証要求２０１を、インタフェース部３１１を通じて受信する。その後、制御部３１２の端末認証部３１２ａでは、得られた認証要求２０１に含まれる情報（例えばSubject）に基づいて各Key情報データベース３１４ａ、IMPU情報データベース３１４ｃ及びIMPI情報データベース３１４ｄを検索し、前記通信端末１０１のIMPU及びIMPIを参照する。なお、IMPUはMSISDN及びRealmから生成され、前記MIPIは、IMSI及びRealmから生成され、通信端末１０１からの認証要求２０１を受ける事前に各データベース３１４ｃ、ｄに格納されている。また、Realmとは、IMSサービスのREGISTER信号のAuthorizationヘッダに記述されるRealmに対応し、SIP URI形式のIMPU及びNAI形式のIMPIの双方のドメイン名として用いられる情報のことである。さらに、IMPUについては、メールアドレスのようにユーザ定義の文字列とRealmから生成したものを前記代理認証サーバ３０１や前記IMS設備群５０１へIMPIと関連付けて登録することで、複数のIPMUを利用することも可能である。その後、前記制御部３１２では、前記端末認証部３１２ａから情報を得て、代理認証部３１２ｂによって、代理認証要求４０１が行われる。
【００３０】
なお、通信端末１０１と代理認証サーバ３０１との間で行われる認証処理のプロトコルについては、SSLを用いることが好ましい。一般的な認証方式であり、導入することが容易であるためである。
【００３１】
また、図１に示すように、通信端末１０２が通信端末１０１へセッション確立要求６０２（例えばINVITE等）を送信するときは、連絡先の交換などで事前に知っていた通信端末１０１のIMPUを宛先として信号を送信する。
【００３２】
代理認証サーバ３０１から送信される前記代理認証要求４０１とは、通信端末１０１に代理して、代理認証サーバ３０１からIMS設備群５０１へと送信された認証要求のことであり、IMS-Security方式に準拠している。
【００３３】
なお、代理認証サーバ３０１とIMS設備群５０１との間のセキュリティの確保については、代理認証サーバ３０１をIMS網の事業者が管理する場合には、当該事業者の統一的な管理によって確保することが可能である。一方、代理認証サーバ３０１を第三者が管理する場合には、IPSec等によって暗号化通信及び相互認証を行うことによってセキュリティを確保する必要がある。
【００３４】
また、本発明によるIMS設備群５０１とは、IMS網５０の実体をサポートするための設備群のことである。具体的には、図１に示すように、SIP（Session Initiation Protocol）プロキシであり最初に接触するP-CSCF（Proxy-CSCF）５０１ａ、管理ドメインの端に位置するSIP機能の１つであるI-CSCF（Interrogating-CSCF）５０１ｂ及び信号層の中心的ノードでSIPサーバであり、セッション制御を実行するS-CSCF（Serving-CSCF）５０１ｃの各機能（Call Session Control Function）を有し、加入者関連情報（プロフィール）が格納され、ユーザの認証及び認可を実施し、加入者の位置情報及びIP情報を提供するHSS（Home Subscriber Server）５０１ｄを備える。
【００３５】
前記代理認証サーバ３０１は、IMPIやIMSドメインを示すURIを含む「SIP Registerメッセージ」を前記P-CSCF５０１ａに送信する。「SIP Registerメッセージ」を受け取ったP-CSCF５０１ａは、ホームIMSドメインのI-CSCF５０１ｂに「Registerメッセージ」を送信する。I-CSCF５０１ｂはHSS５０１ｄにアクセスし、HSS５０１ｄから返信されるS-CSCF５０１ｃ候補の情報をもとに通信端末１０１に適するS-CSCF５０１ｃを選択し、I-CSCF５０１ｂは「Registerメッセージ」をS-CSCF５０１ｃに送信する。
【００３６】
S-CSCF５０１ｃは、HSS５０１ｄに端末１０１のIMPI、IMPU、自己のS-CSCF５０１ｂの名前などを通知し、HSS５０１ｄに認証ベクトルの計算と通知を依頼する。HSS５０１ｄは認証ベクトル（RAND、AUTN、Ck、Ik）を計算し、S-CSCF５０１ｃに転送する。ここでS-CSCF５０１ｃは、認証ベクトルの中のXRES（Expected Response、想定される認証応答）を保持している。
【００３７】
S-CSCF５０１ｃからの「401Unauthorizedメッセージ」は、I-CSCF５０１ｂ、P-CSCF５０１ａへと送信され、P-CSCF５０１ａではCk、Ikを端末UEとの間に設定するIPsecのための共有キーとして保持する。代理認証サーバ３０１にはRANDとAUTNの値が伝えられ、代理認証サーバ３０１はAUTNを用いてネットワークを認証するとともに、RES（Response、認証応答）、Ck、Ikを計算する。
【００３８】
上記のCk及びIkはIPsec用のキーとされ、RESは認証要求に対する応答値として、2回目の「SIP Registerメッセージ」でS-CSCF５０１ｃまで送信される。S-CSCF５０１ｃでは、XRESとRESを比較することで、正当な加入ユーザであることを認証する。S-CSCF５０１ｃでのユーザ認証が成功すると、HSS５０１ｄにユーザが登録されたことを通知し、当該ユーザのユーザー・プロファイル（加入ユーザに割り当てられているすべてのIMPU、登録されたIMPU、IFC（Initial Filter Criteria〕等）のダウンロードを要求する。
【００３９】
HSS５０１ｄは、ユーザー・プロファイルをS-CSCF５０１ｃに転送し、S-CSCF５０１ｃは「200 OKメッセージ」を代理認証サーバ３０１へ送信して、IMS登録が完了する。
【００４０】
（認証制御方法）
次に、本発明にかかる認証制御方法について、図面を用いて説明する。図２は、本発明によるIMS認証制御システムの一実施例についての動作フローを示したものである。
【００４１】
本発明にかかる認証制御方法は、図２に示すような形で行われる。
（１）まず、通信端末１０１から、代理認証サーバ３０１へ認証要求２０１が送信される（Ｓ１）。代理認証要求２０１は、USIMに保存されている公開鍵証明書（図示せず）を有し、公開鍵証明書を用いた相互認証のプロトコルとしてはSSLを用いることが好ましい。
【００４２】
（２）その後、代理認証サーバ３０１では、通信端末１０１の認証作業が行われる（Ｓ２）。具体的には、送信された認証要求２０１に含まれる情報（例えばSubject）に基づいて各Key情報データベース３１４ａ、IMPU情報データベース３１４ｃ及びIMPI情報データベース３１４ｄ（図３を参照。）を検索し、通信端末１０１のIMPU及びIMPIを参照する。
【００４３】
（３）続いて、代理認証サーバ３０１は、IMS設備群５０１へと、代理認証要求４０１を送信する（Ｓ３）。なお、代理認証サーバ３０１とIMS設備群５０１との間のセキュリティの確保については、代理認証サーバ３０１をIMS網の事業者が管理する場合には、当該事業者の統一的な管理によって確保することが可能である。
【００４４】
（４）その後、IMS設備群５０１にて、IMS-Security方式による通信端末１０１の認証が行われる（Ｓ４）。
【００４５】
（５）そして、IMS設備群５０１は代理認証サーバ３０１へと認証結果を送信し（Ｓ５）、代理認証サーバ３０１は通信端末１０１へ認証結果を送信する（Ｓ６）。
【００４６】
上記の認証制御方法を用いることで、従来のEarly IMS方式による認証制御システム（図４）とを比較すると、本発明にかかる認証制御システムでは、通信端末は認証要求２０１を送信するだけで、IMS設備群５０１との間のIMS‐Security方式による認証については代理認証サーバ３０１によって行われる（Ｓ３〜Ｓ５）ことから、従来のEarly IMS方式による認証制御方法に比べて、通信端末１０１の負荷軽減が可能となる。
【００４７】
上述したところは、この発明の実施形態の一例を示したにすぎず、請求の範囲において種々の変更を加えることができる。
【産業上の利用可能性】
【００４８】
本発明によれば、IMS-Security方式のサポートをしていない通信端末を用いた場合であっても、IMS‐Security方式による端末認証を確実に行うことができるため、携帯網を利用する用途に有効である。
【符号の説明】
【００４９】
１０ 携帯網
５０ IMS網
１０１ 通信端末
１０２ 通信端末
２０１ 認証要求
３０１ 代理認証サーバ
３１１ インタフェース部
３１２ 制御部
３１２ａ 端末認証機能
３１２ｂ 代理認証機能
３１３ 記憶部
３１４ データベース
５０１ IMS設備群
５０１ａ P-CSCF
５０１ｂ I-CSCF
５０１ｃ S-CSCF
５０１ｄ HSS
６０２ セッション確立要求
７０１ SGSN／GGSN
８０１ ＩＰアドレス割当要求
９０１ ユーザ情報登録
【特許請求の範囲】
【請求項１】
通信端末とIMS（IP Multimedia Subsystem）網のIMS設備群とを接続するにあたって、IMS-Security方式を用いて通信端末及びユーザの認証を行うIMS認証制御システムであって、
前記通信端末と前記IMS設備群との間に代理認証サーバが設けられ、該代理認証サーバは、前記通信端末から送信された認証要求を受けた後、前記IMS設備群へ代理認証要求を送信し、前記通信端末を代理して前記IMS設備群とIMS-Security方式による認証を行う手段を有することを特徴とするIMS認証制御システム。
【請求項２】
前記代理認証サーバは、前記通信端末ごとのIMPU（IP Multimedia Public Identity）、IMPI（IP Multimedia Private Identity）及びRealmの情報を保持するデータベースを備え、前記通信端末からの前記認証要求によって運ばれた公開鍵証明書に基づいて前記通信端末を認証し、前記認証要求によって運ばれた情報に基づいて前記データベースを検索し、前記IMPU及び前記IMPIを参照し、認証を行う手段を有することを特徴とする請求項１に記載のIMS認証制御システム。
【請求項３】
前記IMPUは、MSISDN（Mobile Subscriber Integrated Services Digital Network Number）由来のIMPUであることを特徴とする請求項２に記載のIMS認証制御システム。
【請求項４】
前記通信端末と前記代理認証サーバとの間の認証処理は、SSLを用いて行われることを特徴とする請求項１に記載のIMS認証制御システム。
【請求項５】
通信端末とIMS（IP Multimedia Subsystem）網のIMS設備群とを接続するにあたって、IMS-Security方式を用いて通信端末及びユーザの認証を行うIMS認証制御方法であって、
前記通信端末と前記IMS設備群との間に代理認証サーバが設けられ、該代理認証サーバの処理手順は、前記通信端末から送信された認証要求を受けるステップと、前記IMS設備群へ代理認証要求を送信し、前記通信端末を代理して前記IMS設備群とIMS-Security方式による認証を行うステップとを含むことを特徴とするIMS認証制御方法。
【請求項６】
前記代理認証サーバは、前記通信端末ごとのIMPU（IP Multimedia Public Identity）、IMPI（IP Multimedia Private Identity）及びRealmの情報を保持するデータベースを備え、前記代理認証サーバによる処理手順は、前記通信端末からの前記認証要求によって運ばれた公開鍵証明書に基づいて前記通信端末を認証し、前記認証要求によって運ばれた情報に基づいて前記データベースを検索し、前記IMPU及び前記IMPIを参照し、認証を行うステップを含むことを特徴とする請求項５に記載のIMS認証制御方法。
【請求項７】
前記IMPUは、MSISDN（Mobile Subscriber Integrated Services Digital Network Number）由来のIMPUであることを特徴とする請求項６に記載のIMS認証制御方法。
【請求項８】
前記通信端末と前記代理認証サーバとの間の認証データのやりとりは、SSLを用いて行われることを特徴とする請求項５に記載のIMS認証制御方法。
【請求項１】
通信端末とIMS（IP Multimedia Subsystem）網のIMS設備群とを接続するにあたって、IMS-Security方式を用いて通信端末及びユーザの認証を行うIMS認証制御システムであって、
前記通信端末と前記IMS設備群との間に代理認証サーバが設けられ、該代理認証サーバは、前記通信端末から送信された認証要求を受けた後、前記IMS設備群へ代理認証要求を送信し、前記通信端末を代理して前記IMS設備群とIMS-Security方式による認証を行う手段を有することを特徴とするIMS認証制御システム。
【請求項２】
前記代理認証サーバは、前記通信端末ごとのIMPU（IP Multimedia Public Identity）、IMPI（IP Multimedia Private Identity）及びRealmの情報を保持するデータベースを備え、前記通信端末からの前記認証要求によって運ばれた公開鍵証明書に基づいて前記通信端末を認証し、前記認証要求によって運ばれた情報に基づいて前記データベースを検索し、前記IMPU及び前記IMPIを参照し、認証を行う手段を有することを特徴とする請求項１に記載のIMS認証制御システム。
【請求項３】
前記IMPUは、MSISDN（Mobile Subscriber Integrated Services Digital Network Number）由来のIMPUであることを特徴とする請求項２に記載のIMS認証制御システム。
【請求項４】
前記通信端末と前記代理認証サーバとの間の認証処理は、SSLを用いて行われることを特徴とする請求項１に記載のIMS認証制御システム。
【請求項５】
通信端末とIMS（IP Multimedia Subsystem）網のIMS設備群とを接続するにあたって、IMS-Security方式を用いて通信端末及びユーザの認証を行うIMS認証制御方法であって、
前記通信端末と前記IMS設備群との間に代理認証サーバが設けられ、該代理認証サーバの処理手順は、前記通信端末から送信された認証要求を受けるステップと、前記IMS設備群へ代理認証要求を送信し、前記通信端末を代理して前記IMS設備群とIMS-Security方式による認証を行うステップとを含むことを特徴とするIMS認証制御方法。
【請求項６】
前記代理認証サーバは、前記通信端末ごとのIMPU（IP Multimedia Public Identity）、IMPI（IP Multimedia Private Identity）及びRealmの情報を保持するデータベースを備え、前記代理認証サーバによる処理手順は、前記通信端末からの前記認証要求によって運ばれた公開鍵証明書に基づいて前記通信端末を認証し、前記認証要求によって運ばれた情報に基づいて前記データベースを検索し、前記IMPU及び前記IMPIを参照し、認証を行うステップを含むことを特徴とする請求項５に記載のIMS認証制御方法。
【請求項７】
前記IMPUは、MSISDN（Mobile Subscriber Integrated Services Digital Network Number）由来のIMPUであることを特徴とする請求項６に記載のIMS認証制御方法。
【請求項８】
前記通信端末と前記代理認証サーバとの間の認証データのやりとりは、SSLを用いて行われることを特徴とする請求項５に記載のIMS認証制御方法。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２０１２−１００５１（Ｐ２０１２−１００５１Ａ）
【公開日】平成２４年１月１２日（２０１２．１．１２）
【国際特許分類】
【出願番号】特願２０１０−１４３３７２（Ｐ２０１０−１４３３７２）
【出願日】平成２２年６月２４日（２０１０．６．２４）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【出願人】（５０８２３６２４０）公立大学法人公立はこだて未来大学 (16)
【Ｆターム（参考）】
【公開日】平成２４年１月１２日（２０１２．１．１２）
【国際特許分類】
【出願日】平成２２年６月２４日（２０１０．６．２４）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【出願人】（５０８２３６２４０）公立大学法人公立はこだて未来大学 (16)
【Ｆターム（参考）】
[ Back to top ]