ＩＰベースの電話環境における公開鍵インフラストラクチャ（ＰＫＩ）を使用した認証およびアイデンティティ管理のための方法および装置
ＩＭＳネットワークなどのＩＰベースの電話環境における公開鍵インフラストラクチャＰＫＩを使用したユーザ認証のための方法および装置が提供される。ＩＰベースの電話ネットワークにアクセスしようと試みているユーザデバイスのユーザは、ユーザデバイスに関連する安全なメモリからユーザの１つまたは複数の秘密鍵を取得し、インテグリティ鍵および暗号鍵を生成し、セッション鍵を使用して、インテグリティ鍵および暗号鍵を暗号化し、ＩＰベースの電話ネットワークの公開鍵によってセッション鍵を暗号化し、認証のために、暗号化されたセッション鍵、暗号化されたインテグリティ鍵および暗号化された暗号鍵をＩＰベースの電話ネットワークに提供することにより認証されることが可能である。ＩＰベースの電話ネットワークにおいてユーザを認証するためのネットワークベースの方法も提供される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザ認証方式に関し、より具体的にはＩＰベースの電話ネットワークにおけるユーザ認証のための方法および装置に関する。
【背景技術】
【０００２】
ＩＰマルチメディアサブシステム（ＩＭＳ）は、インターネットプロトコル（ＩＰ）マルチメディアをモバイルユーザに配信するためのアーキテクチャのフレームワークである。ＩＭＳネットワークは、通常アクセス領域とネットワーク領域に分割され、それぞれ独自のセキュリティ仕様を有する。ユーザは、アクセスネットワークプロバイダのアクセスネットワークを介してＩＰネットワークにアクセスし、次いで、１つまたは複数のサービスネットワークプロバイダによって提供される１つまたは複数のサービスネットワークを経由して、音声、ビデオおよびストリーミングメディアなどの様々なサービスにアクセスすることができる。
【０００３】
ＩＭＳネットワークにおける認証は、通常、知られている認証および鍵合意（ＡＫＡ）機構に基づく。ＡＫＡは、通常３Ｇネットワークにおいて使用されるセキュリティプロトコルである。ＡＫＡは、共有秘密および対称暗号法を使用するチャレンジ−レスポンスベースの認証機構である。ＡＫＡの結果として、１組のセキュリティサービスがユーザに提供されることを可能にするユーザ機器とＩＭＳネットワークとの間のセキュリティアソシエーション（すなわち、１組のセキュリティデータ）が確立される。
【０００４】
公開暗号方式は、電話分野では広くは利用されてこなかった。しかし、ＩＭＳネットワークにおいてなど、電話分野では認証のための公開鍵インフラストラクチャ（ＰＫＩ）を利用する傾向が増大している。公開暗号技法はＩＭＳネットワークのセキュリティをかなり改善することができるが、ＩＭＳネットワークにおける公開暗号技法の使用をこれまで制限してきたいくつかの技術的問題点がある。具体的には、秘密鍵はユーザ機器に含まれているいわゆる「安全な」揮発性メモリから復元されることが可能であるという心配がある。したがって、端末メモリにおける秘密鍵のたとえ一時的な記憶でも可能にするであろういかなる解決策も受け入れられないと考えられる。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
したがって、ＩＭＳネットワークの中の公開鍵インフラストラクチャ（ＰＫＩ）に基づくエンドユーザツーネットワーク認証の必要が存在する。秘密鍵が安全なスマートカードまたは別の安全なメモリ上に記憶されることを保証するＩＭＳネットワークにおいてユーザを認証するための方法および装置の必要も存在する。さらに、秘密鍵が関係する全ての計算が安全なスマートカードまたは別の安全なプロセッサ上で行われることを保証するＩＭＳネットワークにおいてユーザを認証するための方法および装置の必要も存在する。
【課題を解決するための手段】
【０００６】
一般に、ＩＭＳネットワークなどのＩＰベースの電話環境における公開鍵インフラストラクチャ（ＰＫＩ）を使用したユーザ認証のための方法および装置が提供される。本発明の一態様によれば、ＩＰベースの電話ネットワークにアクセスしようと試みているユーザデバイスによって実行される認証方法が提供される。ユーザの１つまたは複数の秘密鍵は、最初、ユーザデバイスに関連する安全なメモリから取得される。安全なメモリは、例えば、データを安全に記憶し、データに関する計算を行うことができるＩＭＳ加入者アイデンティティモジュール（ＩＳＩＭ）を有するスマートカードの構成要素でよい。その後、開示される方法は、インテグリティ鍵および暗号鍵を生成し、セッション鍵を使用してインテグリティ鍵および暗号鍵を暗号化し、ＩＰベースの電話ネットワークの公開鍵によってセッション鍵を暗号化し、認証のために、暗号化されたセッション鍵、暗号化されたインテグリティ鍵および暗号化された暗号鍵をＩＰベースの電話ネットワークに提供する。
【０００７】
本発明の他の態様によれば、ＩＰベースの電話ネットワークにアクセスしようと試みているユーザデバイスを利用してユーザを認証するための方法が提供される。ユーザは、ＩＰベースの電話ネットワークの公開鍵で暗号化された、暗号化されたセッション鍵を取得すること、ユーザの１つまたは複数の秘密鍵を使用してユーザデバイスに関連する安全なデバイスによって生成された、暗号化されたインテグリティ鍵および暗号化された暗号鍵をユーザデバイスから取得すること、ＩＰベースの電話ネットワークの公開鍵を使用して、暗号化されたセッション鍵を復号すること、復号されたセッション鍵を使用して、暗号化されたインテグリティ鍵および暗号化された暗号鍵を復号すること、および公開鍵インフラストラクチャ（ＰＫＩ）計算に基づいてユーザデバイスを認証することによって認証される。
【０００８】
様々な例示的実施形態では、暗号化されたセッション鍵、暗号化されたインテグリティ鍵および暗号化された暗号鍵の１つまたは複数が、１つまたは複数の秘密鍵を使用して任意選択で暗号化されることが可能である。さらに、ユーザアイデンティティがセッション鍵を使用して暗号化されることが可能である。このようにして、ユーザアイデンティティは、セッション鍵の所有者によってのみ取得されることが可能である。ナンスがリプレイ攻撃を防ぐために利用されることが可能である。
【０００９】
本発明のより完全な理解、ならびに本発明の他の特徴および利点は、以下の詳細な説明および図面を参照することにより得られるであろう。
【図面の簡単な説明】
【００１０】
【図１】本発明が利用されることが可能な例示的ＩＭＳネットワーク環境を示す図である。
【図２】本発明の特徴を組み込んだ例示的スマートカードのブロック図である。
【図３】ＩＭＳネットワークなどのＩＰベースの電話ネットワークにおける使用のためのＰＫＩ認証プロセスの例示的実施形態を説明する流れ図である。
【図４】ＩＰベースの電話ネットワークにおけるネットワークサーバによる使用のためのサーバ認証プロセスの例示的実施形態を説明する流れ図である。
【発明を実施するための形態】
【００１１】
本発明は、ＩＭＳネットワークの中の公開鍵インフラストラクチャ（ＰＫＩ）に基づくユーザツーネットワーク認証を提供する。本発明の一態様によれば、ユーザは、例えば、ユーザ機器に関連するＩＭＳ加入者アイデンティティモジュール（ＩＳＩＭ）を有する安全なスマートカードまたはＩＰＴＶ用の安全なセットアップボックス上に記憶されている１つまたは複数の秘密鍵を使用してＩＭＳネットワークにおいて認証される。本発明の他の態様によれば、ＩＭＳネットワークにおいてユーザが認証された時に、秘密鍵が関係する全ての計算が安全なスマートカードまたは別の安全なプロセッサ上で行われる。本明細書で使用される場合は、スマートカードなどの「安全な」デバイスは、１つまたは複数の予め決められたセキュリティ規格を満たすデバイスを備えるものとする。例えば、ＩＳＩＭを有するスマートカードは、安全なスマートカードを備えるものとする。
【００１２】
一般に、開示された公開鍵暗号方式は、従来のＡＫＡ認証機構と実質的に同様の鍵合意を結果として生じさせるＩＭＳネットワークの相互エンドユーザツーネットワーク認証を実行する。さらに、開示された公開鍵暗号方式は、共有秘密を必要としない。
【００１３】
図１は、本発明が利用されることが可能な例示的ＩＭＳネットワーク環境１００を示す。本発明は、本明細書では例示的ネットワーク環境１００のコンテキストで説明されるが、本発明はまた、当業者には明らかであろうように、ＳＩＰおよびケーブルテレビジョンネットワークなど他のＩＰベースの電話ネットワークに利用されることが可能である。図１に示されているように、例示的ＩＭＳネットワーク環境１００は、ユーザ機器（ＵＥ）デバイス１１０、およびＩＭＳコアネットワークシステム１２０を備える。ユーザ機器デバイス１１０は、ユーザ端末（無線電話またはセットアップボックスなど）を表し、例えばＩＳＩＭアプリケーションを有する関連するスマートカード１１４を備える。本明細書で使用される場合は、スマートカード１１４は、秘密データを安全に記憶し、そのデータに関する計算を行うこともできるいかなるエンティティをも表す。ＩＭＳコアネットワークシステム１２０は、ホームネットワーク１３０および訪問先ネットワーク１４０を備える。
【００１４】
ホームネットワーク１３０は、ホーム加入者サーバ（ＨＳＳ）１３２、問合せコールセッション制御機能（Ｉ−ＣＳＣＦ）１３４、およびサービングコールセッション制御機能（Ｓ−ＣＳＣＦ）１３６を備える。Ｓ−ＣＳＣＦ１３６は、代替として、ユーザ認証の役割を担ういかなるネットワークサーバとしてでも実施されることが可能である。訪問先ネットワーク１４０は、プロキシコールセッション制御機能（Ｐ−ＣＳＣＦ）１４４を備える。一般に、ＩＭＳネットワークにおいて定義されたコールセッション制御機能（ＣＳＣＦ）エンティティは、コールまたはセッション中の制御およびルーティングなどの機能を遂行するように適応される。
【００１５】
プロキシＣＳＣＦ、問合せＣＳＣＦ、およびサービングＣＳＣＦは、それらの対応する機能に基づいて区別される。Ｐ−ＣＳＣＦ１４４はユーザ機器１１０のアクセスに適応され、いかなるユーザ機器１１０もＰ−ＣＳＣＦ１４４を経由してＩＭＳネットワーク１００へのアクセスを得るものとする。Ｓ−ＣＳＣＦ１３６は、セッション制御およびルーティングなどのコア機能を提供する。Ｉ−ＣＳＣＦ１３４は、Ｓ−ＣＳＣＦ１３６の選択、および異なるサービスプロバイダまたは異なるエリアネットワークの間の相互通信に適応される。ＨＳＳ１３２は、加入者のサブスクリプションデータおよび構成データ（例えば、ユーザの証明書）を記憶し、加入者に関する認証および認可（ＡＡＡ）の機能をサポートするように適応される。
【００１６】
図１に示されているように、各ユーザ機器デバイス１１０は、第１のインターフェース１０５および第２のインターフェース１５０を含む。インターフェース１０５は、ユーザ機器デバイス１１０とＩＭＳネットワーク１００との間の双方向認証インターフェースである。インターフェース１０５は、加入者認証機能をイネーブルにするように適応される。インターフェース１５０は、ユーザ機器デバイス１１０とＰ−ＣＳＣＦ１４４との間の通信セキュリティを提供するように適応される。
【００１７】
前述のように、インターフェース１０５および１５０は、通常、ユーザ機器の登録プロセス中にＩＭＳ ＡＫＡ機構の適用によって３ＧＰＰで実装される。しかし、本発明は、ＩＭＳネットワークの中の公開鍵インフラストラクチャ（ＰＫＩ）に基づくエンドユーザツーネットワーク認証を提供する。
【００１８】
以下でさらに詳細に説明されるように、本発明の一態様は、ユーザの秘密鍵、ネットワーク証明書、秘密鍵に基づいてインテグリティ鍵（ＩＫ）および暗号鍵（ＣＫ）を生成するための（任意選択の）機能、ならびにネットワークプロバイダによって選択されるべき少なくとも１つの既存のＰＫＩアルゴリズム（ＲＳＡ、楕円曲線、またはエルガマルなど）によって暗号化を実行するためのＩＳＩＭアプリケーションの機能を備えたユーザ機器デバイス１１０に関連するＩＳＩＭアプリケーションまたは別の安全な記憶デバイスを有する既存のスマートカードを加える。本発明の他の態様は、エンドユーザ端末、ＩＳＩＭ、およびサービングコールセッション制御機能（Ｓ−ＣＳＣＦ）の間の新しいプロトコル交換によるＩＭＳ認証を加える。
【００１９】
図２は、本発明の特徴を組み込んだＩＳＩＭなどの例示的スマートカード２００のブロック図である。図２に示されているように、例示的スマートカード２００は以下のものを備える：
１）ここでは簡単にするために１つ、つまりＵｐｒしか使用されていない、（署名および暗号化のための）１つまたは複数のユーザの秘密鍵２１０。
２）インテグリティ鍵ＩＫ、および暗号鍵ＣＫを計算するための（通常、ＩＳＩＭカード内にすでに存在する）機能２２０。機能２２０は、以下で説明されるように、入力、秘密鍵、またはＩＳＩＭ共有秘密の代わりに何らかの他のキー材料として使用するために強化される必要がある可能性がある。
３）（任意選択で）、以下で説明されるようなその他の鍵を暗号化するために使用され、ネットワークツーユーザ認証のためのチャレンジとしても役立つワンタイムセッション鍵Ｋｓをランダムに計算するための機能２３０。この鍵の長さは、一般に、ＩＫ鍵およびＣＫ鍵の結合された長さに等しい。および
４）ユーザの公開アイデンティティおよび秘密アイデンティティ２４０（ＩＭＳにおけるＩＭＳ秘密ユーザアイデンティティ（ＩＭＰＩ）およびＩＭＳにおけるＩＭＳ公開ユーザアイデンティティ（ＩＭＰＵ）など）。これらは、例示のために１つの文字列、Ｉｄにまとめられている。
【００２０】
図３は、ＩＭＳネットワークにおける使用のためのＰＫＩ認証プロセス３００の例示的実施形態を説明する流れ図である。一般に、セッションは、ＵＥ３１０がネットワーク１００に登録しようと試みる時に開始する。登録するためには、ＵＥ３１０は、ネットワークに対して認証し、サーバをネットワークに属するものとして認証する必要がある。本発明のＰＫＩ認証では、これは証明書の使用によって遂行される（例えば、ＩＴＵ−Ｔ Ｒｅｃ． Ｘ．５０９参照）。この場合、ネットワークが証明機関として動作可能であり、したがって、ネットワークの公開鍵を備えたネットワーク証明書がスマートカード２００内にあると想定される（この想定は不可欠ではないが）。
【００２１】
登録を開始するために、ＵＥ３１０は、ステップ３２５の間に、スマートカード３０５が認証子、Ａｕｔｎを提供するように要求する。スマートカード３０５は、認証子、Ａｕｔｎを（場合によっては、以下で説明されるように、ＵＥ３１０と協力して）計算し、以下で、「認証子、Ａｕｔｎの計算」という表題のセクションにおいてさらに詳細に説明されるように、ステップ３３０の間に、認証子、ＡｕｔｎをＵＥ３１０に配信する。
【００２２】
Ａｕｔｎパラメータが計算された後は、Ａｕｔｎパラメータは、ステップ３３５の間に、例えば登録メッセージ（ＳＩＰ登録方法など）の一部分としてネットワークサーバ３１５に渡される。この認証手順が登録中に実行されることは不可欠ではない。技術的に、認証手順は、当業者には明らかであろうように、認証が必要な時はいつ行われてもよく、いかなるプロトコルの一部分でもよい。
【００２３】
必ずしも必要ではない（および、場合によっては、帯域幅および実行時間の浪費である）が、ユーザがユーザの証明書にＡｕｔｎパラメータを含めることは可能である。この場合、もちろん、以下で説明されるように、ネットワークサーバ３１５による証明書の取出しの手順は、そのチェーンにおける証明書を検証する手順で置き換えられる。
【００２４】
Ａｕｔｎパラメータの受信後に、ネットワークサーバ３１５は、図４に関連して以下でさらに詳細に説明されるサーバ認証プロセス４００を実行する。一般に、認証プロセス４００は、受信されたＡｕｔｎパラメータに基づいてユーザを認証し、ネットワークサーバ３１５がユーザに対してそれ自体を認証するために使用するＡｕｔｎ’パラメータを計算する。Ａｕｔｎ’パラメータは、ステップ３６０の間にＵＥ３１０に伝送される。
【００２５】
ＵＥ３１０がＡｕｔｎ’パラメータメッセージを受信した時に、ＵＥ３１０はネットワーク署名をチェックし、秘密鍵ベースの復号のために、ステップ３６５の間に、暗号化されたナンスに対応する部分をスマートカード３０５に分配する。メッセージのインテグリティチェックができないか、または復号された値がｆｒｅｓｈｎｅｓｓ＋１に等しくない場合は、ＵＥ３１０はこの特定の場合のためのネットワークポリシに従って進む。両方のチェックが終われば、手順は完了する。
【００２６】
認証子、Ａｕｔｎの計算
図３に関連して上記で説明されたように、スマートカード３０５は、ステップ３３０の間に、認証子、Ａｕｔｎを計算する。認証子、Ａｕｔｎは、以下のように表されることが可能である：
Ａｕｔｎ＝Ｕｐｒ｛Ｎｐｕ［Ｋｓ］｜Ｋｓ［Ｉｄ，ｆｒｅｓｈｎｅｓｓ，ＩＫ｜ＣＫ］｝、
ここで：
１）ｆｒｅｓｈｎｅｓｓは、リプレイ攻撃から通信を保護するナンス（タイマ値、またはＩＭＳ ＳＥＱパラメータ、あるいは他の任意のナンスなど）であり、一般に、その長さはＩＫ鍵およびＣＫ鍵の結合された長さに等しい。
２）「｜」は、文字列連結演算を示す。
３）Ｋｓ［．．．］は、鍵Ｋｓで行われる対称鍵暗号化演算（ＤＥＳ、トリプルＤＥＳ、ＡＥＳ、またはワンタイムパッド）を示す。
４）Ｎｐｕ［．．．］は、ネットワーク証明書から利用可能なネットワーク公開鍵Ｎｐｕによる暗号化を示す。
５）Ｕｐｒ｛．．．｝は、ユーザの秘密署名鍵による署名の演算を示す。例えば、最初に、引数のハッシュ（ＳＨＡ２ハッシュなど）が計算され、次に、その結果がその鍵によって暗号化され、最後に、この結果が引数と連結される。署名の存在は、２つの問題を解決する：第１に、メッセージのインテグリティを保護し、第２に、通常セッションがユーザによって開始されたという証明を構成するので、オペレータにとって不可欠な非否認特徴を（ｆｒｅｓｈｎｅｓｓパラメータと併せて）提供する。
【００２７】
したがって、結果としてのＡｕｔｎ文字列は、３つの連結された成分からなる：
Ａｕｔｎ＝Ａ｜Ｂ｜Ｃ、ここで、
Ａ＝Ｎｐｕ［Ｋｓ］は、ネットワークによってのみ復号されることが可能であり、
Ｂ＝Ｋｓ［Ｉｄ，ｆｒｅｓｈｎｅｓｓ，ＩＫ｜ＣＫ］は、鍵Ｋｓの所有者に対してのみＩｄおよび鍵の復元を許可し、これは、やはり、Ａからネットワークによってのみ得られることが可能であり、
Ｃ＝Ｕｐｒ［Ｈａｓｈ（Ａ｜Ｂ）］は、前の２つの成分のインテグリティのチェックを可能にし、ならびにメッセージがユーザによって出されたことを受信者に証明する。
【００２８】
（Ｂに含まれている）ユーザのアイデンティティは十分に保護されていることが分かる。
【００２９】
Ｂを別個に計算するステップは不可欠ではないことがさらに分かる。実際には、高価な秘密鍵の計算を最小化するために使用される。代替実施形態は、Ａ＝Ｎｐｕ［Ｉｄ，ｆｒｅｓｈｎｅｓｓ，ＩＫ｜ＣＫ］を計算し、Ｂを全て省略し、この場合、Ｋｓを得る必要はない可能性がある。
【００３０】
演算を最適化するために、上記の計算のいくつかの部分（すなわち、ユーザ秘密鍵演算を必要としないもの）は、実際にはＵＥ３１０において行われることが可能であり、この場合、そのような計算の結果を伝送する１つまたは複数のメッセージは、ＵＥ３１０とスマートカード３０５との間で交換される必要があり得る。
【００３１】
本発明の例示的実施形態において一般にカード３０５上で常に行われる唯一の演算は、秘密鍵による署名である。最後に、この演算は、残余の計算と比較して、必要とされる唯一の潜在的に集約的な計算である。
【００３２】
サーバ認証プロセス４００
図３に関連して上記で説明されたように、ネットワークサーバ３１５は、受信されたＡｕｔｎパラメータに基づいてユーザを認証し、ネットワークサーバ３１５がユーザに対してそれ自体を認証するために使用するＡｕｔｎ’パラメータを計算するためにサーバ認証プロセス４００を実行する。
【００３３】
図４は、ＩＭＳネットワークにおけるネットワークサーバ３１５による使用のためのサーバ認証プロセス４００の例示的実施形態を説明する流れ図である。図４に示されているように、ネットワークサーバ３１５は、最初、ステップ４１０の間に、その秘密鍵を使用して、Ａを復号し、他のパラメータを復元する手段としての受信されたＡｕｔｎパラメータから鍵Ｋｓを復元する。
【００３４】
サーバ認証プロセス４００は、次いで、ステップ４２０の間に、鍵ＫｓによってＢを復号し、ユーザのアイデンティティ、Ｉｄを復元する。アイデンティティが取得された後は、ネットワークサーバ３１５は、このアイデンティティによって索引をつけられた正規のユーザのサブスクリプションディレクトリに記録があるかどうかをチェックし、記録がある場合は、このパラメータがその中で伝送された特定のプロトコルメッセージによって指定された何か他のサービスを登録または受信するのをユーザが認可されているかどうかをチェックする。ネットワークサーバ３１５はまた、（前述のように証明書がユーザによって送信される必要がなければ）ユーザの証明書を取り出す。表に入力がない場合は、処理は停止し、ネットワークセキュリティポリシに応じて、イベントはログされるか、または、サーバ過負荷の場合は、サービス拒否攻撃として報告されることが可能である。
【００３５】
ネットワークサーバ３１５は、次いで、ステップ４３０の間に、ナンス、ｆｒｅｓｈｎｅｓｓを復元し、リプレイの可能性があるかどうかを判定する。例えば、タイムスタンプが使用される場合、ネットワークサーバ３１５は、タイムスタンプが許容可能なタイムウィンドウ内にあるかどうかをチェックする。同様に、シーケンス番号（ＡＫＡアルゴリズムにおけるシーケンスなど）が使用される場合は、再度、ネットワークサーバ３１５は、その値が許容可能な範囲内にあるかどうかをチェックすることになる（範囲内にない場合は、ＵＥ３１０によって再シーケンシング手順を開始することが可能である）。検査ができない場合は、処理は停止し、ネットワークセキュリティポリシに応じて、イベントはログされるか、または、サーバ過負荷の場合は、特にリプレイの明らかな表示がある場合は、サービス拒否攻撃として報告されることが可能である。
【００３６】
ステップ４４０の間に、ネットワークサーバ３１５は、ａ）（ユーザの証明書から取得された）ユーザの公開鍵によってＣを復号し、ｂ）Ａ｜Ｂのハッシュを計算し、ｃ）ａ）およびｂ）において取得された量を比較する。これらの量が異なる場合は、メッセージは改ざんされたとみなされ、イベントは、ログされるか、または、サーバ過負荷の場合は、サービス拒否攻撃として報告されることが可能である（このステップは、ステップ３の前に実行されてもよい）。
【００３７】
ネットワークサーバ３１５は、次いで、ステップ４５０の間に、ＩＫおよびＣＫを復元する。この時点で、ネットワークに対するユーザ３１０の認証が完了し、ネットワークは、ＡＫＡ認証方式の場合なら有したであろうものと同じ情報を有する。
【００３８】
ネットワークサーバ３１５は、ユーザに対してそれ自体を認証するために（およびユーザの認証の成功を効果的に確認応答するために）、ステップ４６０の間に、Ａｕｔｎ’パラメータを以下のように計算する：
Ａｕｔｎ’＝Ｎｐｒ｛Ｕｐｕ［ｆｒｅｓｈｎｅｓｓ＋ｌ］｝、
ここで、
１）Ｕｐｕ［．．．］は、ユーザの証明書から利用可能なユーザの公開鍵Ｕｐｕによる暗号化を示し、
２）Ｎｐｒ｛．．．｝は、ネットワーク秘密署名鍵による署名の演算を示す：最初に、引数のハッシュ（ＳＨＡ２ハッシュなど）が計算され、次に、その結果がその鍵によって暗号化され、最後に、この結果が引数と連結される。署名の存在は、２つの問題を解決する：第１に、メッセージのインテグリティを保護し、第２に、かつ最も重要なことに、メッセージがネットワークから来たという証明を提供する。
【００３９】
結論
他の様々な利点がある中で特に、本発明は、セッションの秘密性が既存のＩＭＳ認証機構（ＡＫＡ）に依存するものと同じまたはそれ以上に安全なので、ＩＭＳセッションの実質的にパーフェクトフォワードシークレシを保証する。本発明はまた、ネットワークオペレータによって所望された場合は、ＡＫＡに存在する他の要因の認証機構（シーケンス番号、ＳＱＮなど）も使用されることが可能であることを保証する。本発明はまた、ユーザアイデンティティがクリアに伝送される必要がないので、ユーザプライバシを保証することができる。最後に、本発明は、そのような計算の非効率性を認識して、スマートカード上で絶対に必要な計算だけが行われることを任意選択で保証することができる。
【００４０】
図３および４は、諸ステップの例示的シーケンスを示すが、シーケンスが変更されてよいことも本発明の一実施形態である。アルゴリズムの様々な並べ替えが、本発明の代替実施形態として想到される。
【００４１】
本発明の例示的実施形態は、ソフトウェアプログラムにおける処理ステップに関して説明されてきたが、当業者には明らかであろうように、様々な機能が、ソフトウェアプログラム、回路素子またはステートマシンによるハードウェア、あるいはソフトウェアおよびハードウェア両方の組合せにおける処理ステップとしてデジタル分野で実施されることが可能である。そのようなソフトウェアは、例えば、デジタル信号プロセッサ、マイクロコントローラ、または汎用コンピュータにおいて利用されることが可能である。そのようなハードウェアおよびソフトウェアは、集積回路の中に実装された回路の中で実施されることが可能である。
【００４２】
したがって、本発明の機能は、それらの方法を実施するための方法および装置の形態で実施されることが可能である。本発明の１つまたは複数の態様は、例えば、記憶媒体に記憶される、マシンにロードされるおよび／またはそれによって実行される、あるいは何らかの伝送媒体を介して伝送されるプログラムコードの形態で実施されることが可能であり、プログラムコードがコンピュータなどのマシンにロードされ、それによって実行される場合は、そのマシンは本発明を実施するための装置になる。汎用プロセッサ上に実装される場合は、プログラムコードセグメントはプロセッサと結合されて、特定の論理回路に類似した動作をするデバイスを提供する。本発明はまた、集積回路、デジタル信号プロセッサ、マイクロプロセッサ、およびマイクロコントローラの１つまたは複数において実装されることが可能である。
【００４３】
システムおよび製品の詳細
当技術分野で知られているように、本明細書で説明された方法および装置は、コンピュータ可読コード手段が組み込まれているコンピュータ可読媒体をそれ自体が備える製品として販売されることが可能である。コンピュータ可読プログラムコード手段は、コンピュータシステムと連携して、本明細書で説明された方法を実施するステップまたは本明細書で説明された装置を作成するステップの全てまたはいくつかを実行するように動作可能である。コンピュータ可読媒体は、記録可能な媒体（例えば、フロッピー（登録商標）ディスク、ハードドライブ、コンパクトディスク、メモリカード、半導体デバイス、チップ、特定用途向け集積回路（ＡＳＩＣ））でもよく、あるいは、伝送媒体（例えば、光ファイバを備えたネットワーク、ワールドワイドウェブ、ケーブル、もしくは時分割多元接続、符号分割多元接続を使用する無線チャネル、または他の無線周波数チャネル）でもよい。コンピュータシステムによる使用に適した情報を記憶することができる知られているまたは開発されたいかなる媒体も使用されることが可能である。コンピュータ可読コード手段は、コンピュータが磁気媒体上の磁気変化、またはコンパクトディスクの表面上の高さの変化などの命令およびデータを読み出すことができるようにする任意の機構である。
【００４４】
本明細書で説明されたコンピュータシステムおよびサーバはそれぞれ、関連するプロセッサを本明細書で説明された方法、ステップ、および機能を実施するように構成するメモリを含む。メモリは分散されていてもローカルであってもよく、プロセッサは分散されていても単一であってもよい。メモリは、電気、磁気、または光学メモリ、あるいはこれらまたは他のタイプのストレージデバイスの任意の組合せとして実装されてもよい。さらに、用語「メモリ」は、関連するプロセッサによってアクセスされるアドレス可能な空間内のアドレスから読み出されるまたはそれに書き込まれることが可能ないかなる情報をも包含するように十分に広く解釈されるべきである。この定義では、ネットワーク上の情報は、関連するプロセッサがその情報をそのネットワークから取り出すことができるので、やはりメモリの中にある。
【００４５】
本明細書で示され説明された諸実施形態および変形形態は本発明の原理を単に例示するものであり、様々な変更形態が本発明の範囲および趣旨から逸脱することなく当業者によって実施されることが可能であることが理解されるべきである。
【技術分野】
【０００１】
本発明は、ユーザ認証方式に関し、より具体的にはＩＰベースの電話ネットワークにおけるユーザ認証のための方法および装置に関する。
【背景技術】
【０００２】
ＩＰマルチメディアサブシステム（ＩＭＳ）は、インターネットプロトコル（ＩＰ）マルチメディアをモバイルユーザに配信するためのアーキテクチャのフレームワークである。ＩＭＳネットワークは、通常アクセス領域とネットワーク領域に分割され、それぞれ独自のセキュリティ仕様を有する。ユーザは、アクセスネットワークプロバイダのアクセスネットワークを介してＩＰネットワークにアクセスし、次いで、１つまたは複数のサービスネットワークプロバイダによって提供される１つまたは複数のサービスネットワークを経由して、音声、ビデオおよびストリーミングメディアなどの様々なサービスにアクセスすることができる。
【０００３】
ＩＭＳネットワークにおける認証は、通常、知られている認証および鍵合意（ＡＫＡ）機構に基づく。ＡＫＡは、通常３Ｇネットワークにおいて使用されるセキュリティプロトコルである。ＡＫＡは、共有秘密および対称暗号法を使用するチャレンジ−レスポンスベースの認証機構である。ＡＫＡの結果として、１組のセキュリティサービスがユーザに提供されることを可能にするユーザ機器とＩＭＳネットワークとの間のセキュリティアソシエーション（すなわち、１組のセキュリティデータ）が確立される。
【０００４】
公開暗号方式は、電話分野では広くは利用されてこなかった。しかし、ＩＭＳネットワークにおいてなど、電話分野では認証のための公開鍵インフラストラクチャ（ＰＫＩ）を利用する傾向が増大している。公開暗号技法はＩＭＳネットワークのセキュリティをかなり改善することができるが、ＩＭＳネットワークにおける公開暗号技法の使用をこれまで制限してきたいくつかの技術的問題点がある。具体的には、秘密鍵はユーザ機器に含まれているいわゆる「安全な」揮発性メモリから復元されることが可能であるという心配がある。したがって、端末メモリにおける秘密鍵のたとえ一時的な記憶でも可能にするであろういかなる解決策も受け入れられないと考えられる。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
したがって、ＩＭＳネットワークの中の公開鍵インフラストラクチャ（ＰＫＩ）に基づくエンドユーザツーネットワーク認証の必要が存在する。秘密鍵が安全なスマートカードまたは別の安全なメモリ上に記憶されることを保証するＩＭＳネットワークにおいてユーザを認証するための方法および装置の必要も存在する。さらに、秘密鍵が関係する全ての計算が安全なスマートカードまたは別の安全なプロセッサ上で行われることを保証するＩＭＳネットワークにおいてユーザを認証するための方法および装置の必要も存在する。
【課題を解決するための手段】
【０００６】
一般に、ＩＭＳネットワークなどのＩＰベースの電話環境における公開鍵インフラストラクチャ（ＰＫＩ）を使用したユーザ認証のための方法および装置が提供される。本発明の一態様によれば、ＩＰベースの電話ネットワークにアクセスしようと試みているユーザデバイスによって実行される認証方法が提供される。ユーザの１つまたは複数の秘密鍵は、最初、ユーザデバイスに関連する安全なメモリから取得される。安全なメモリは、例えば、データを安全に記憶し、データに関する計算を行うことができるＩＭＳ加入者アイデンティティモジュール（ＩＳＩＭ）を有するスマートカードの構成要素でよい。その後、開示される方法は、インテグリティ鍵および暗号鍵を生成し、セッション鍵を使用してインテグリティ鍵および暗号鍵を暗号化し、ＩＰベースの電話ネットワークの公開鍵によってセッション鍵を暗号化し、認証のために、暗号化されたセッション鍵、暗号化されたインテグリティ鍵および暗号化された暗号鍵をＩＰベースの電話ネットワークに提供する。
【０００７】
本発明の他の態様によれば、ＩＰベースの電話ネットワークにアクセスしようと試みているユーザデバイスを利用してユーザを認証するための方法が提供される。ユーザは、ＩＰベースの電話ネットワークの公開鍵で暗号化された、暗号化されたセッション鍵を取得すること、ユーザの１つまたは複数の秘密鍵を使用してユーザデバイスに関連する安全なデバイスによって生成された、暗号化されたインテグリティ鍵および暗号化された暗号鍵をユーザデバイスから取得すること、ＩＰベースの電話ネットワークの公開鍵を使用して、暗号化されたセッション鍵を復号すること、復号されたセッション鍵を使用して、暗号化されたインテグリティ鍵および暗号化された暗号鍵を復号すること、および公開鍵インフラストラクチャ（ＰＫＩ）計算に基づいてユーザデバイスを認証することによって認証される。
【０００８】
様々な例示的実施形態では、暗号化されたセッション鍵、暗号化されたインテグリティ鍵および暗号化された暗号鍵の１つまたは複数が、１つまたは複数の秘密鍵を使用して任意選択で暗号化されることが可能である。さらに、ユーザアイデンティティがセッション鍵を使用して暗号化されることが可能である。このようにして、ユーザアイデンティティは、セッション鍵の所有者によってのみ取得されることが可能である。ナンスがリプレイ攻撃を防ぐために利用されることが可能である。
【０００９】
本発明のより完全な理解、ならびに本発明の他の特徴および利点は、以下の詳細な説明および図面を参照することにより得られるであろう。
【図面の簡単な説明】
【００１０】
【図１】本発明が利用されることが可能な例示的ＩＭＳネットワーク環境を示す図である。
【図２】本発明の特徴を組み込んだ例示的スマートカードのブロック図である。
【図３】ＩＭＳネットワークなどのＩＰベースの電話ネットワークにおける使用のためのＰＫＩ認証プロセスの例示的実施形態を説明する流れ図である。
【図４】ＩＰベースの電話ネットワークにおけるネットワークサーバによる使用のためのサーバ認証プロセスの例示的実施形態を説明する流れ図である。
【発明を実施するための形態】
【００１１】
本発明は、ＩＭＳネットワークの中の公開鍵インフラストラクチャ（ＰＫＩ）に基づくユーザツーネットワーク認証を提供する。本発明の一態様によれば、ユーザは、例えば、ユーザ機器に関連するＩＭＳ加入者アイデンティティモジュール（ＩＳＩＭ）を有する安全なスマートカードまたはＩＰＴＶ用の安全なセットアップボックス上に記憶されている１つまたは複数の秘密鍵を使用してＩＭＳネットワークにおいて認証される。本発明の他の態様によれば、ＩＭＳネットワークにおいてユーザが認証された時に、秘密鍵が関係する全ての計算が安全なスマートカードまたは別の安全なプロセッサ上で行われる。本明細書で使用される場合は、スマートカードなどの「安全な」デバイスは、１つまたは複数の予め決められたセキュリティ規格を満たすデバイスを備えるものとする。例えば、ＩＳＩＭを有するスマートカードは、安全なスマートカードを備えるものとする。
【００１２】
一般に、開示された公開鍵暗号方式は、従来のＡＫＡ認証機構と実質的に同様の鍵合意を結果として生じさせるＩＭＳネットワークの相互エンドユーザツーネットワーク認証を実行する。さらに、開示された公開鍵暗号方式は、共有秘密を必要としない。
【００１３】
図１は、本発明が利用されることが可能な例示的ＩＭＳネットワーク環境１００を示す。本発明は、本明細書では例示的ネットワーク環境１００のコンテキストで説明されるが、本発明はまた、当業者には明らかであろうように、ＳＩＰおよびケーブルテレビジョンネットワークなど他のＩＰベースの電話ネットワークに利用されることが可能である。図１に示されているように、例示的ＩＭＳネットワーク環境１００は、ユーザ機器（ＵＥ）デバイス１１０、およびＩＭＳコアネットワークシステム１２０を備える。ユーザ機器デバイス１１０は、ユーザ端末（無線電話またはセットアップボックスなど）を表し、例えばＩＳＩＭアプリケーションを有する関連するスマートカード１１４を備える。本明細書で使用される場合は、スマートカード１１４は、秘密データを安全に記憶し、そのデータに関する計算を行うこともできるいかなるエンティティをも表す。ＩＭＳコアネットワークシステム１２０は、ホームネットワーク１３０および訪問先ネットワーク１４０を備える。
【００１４】
ホームネットワーク１３０は、ホーム加入者サーバ（ＨＳＳ）１３２、問合せコールセッション制御機能（Ｉ−ＣＳＣＦ）１３４、およびサービングコールセッション制御機能（Ｓ−ＣＳＣＦ）１３６を備える。Ｓ−ＣＳＣＦ１３６は、代替として、ユーザ認証の役割を担ういかなるネットワークサーバとしてでも実施されることが可能である。訪問先ネットワーク１４０は、プロキシコールセッション制御機能（Ｐ−ＣＳＣＦ）１４４を備える。一般に、ＩＭＳネットワークにおいて定義されたコールセッション制御機能（ＣＳＣＦ）エンティティは、コールまたはセッション中の制御およびルーティングなどの機能を遂行するように適応される。
【００１５】
プロキシＣＳＣＦ、問合せＣＳＣＦ、およびサービングＣＳＣＦは、それらの対応する機能に基づいて区別される。Ｐ−ＣＳＣＦ１４４はユーザ機器１１０のアクセスに適応され、いかなるユーザ機器１１０もＰ−ＣＳＣＦ１４４を経由してＩＭＳネットワーク１００へのアクセスを得るものとする。Ｓ−ＣＳＣＦ１３６は、セッション制御およびルーティングなどのコア機能を提供する。Ｉ−ＣＳＣＦ１３４は、Ｓ−ＣＳＣＦ１３６の選択、および異なるサービスプロバイダまたは異なるエリアネットワークの間の相互通信に適応される。ＨＳＳ１３２は、加入者のサブスクリプションデータおよび構成データ（例えば、ユーザの証明書）を記憶し、加入者に関する認証および認可（ＡＡＡ）の機能をサポートするように適応される。
【００１６】
図１に示されているように、各ユーザ機器デバイス１１０は、第１のインターフェース１０５および第２のインターフェース１５０を含む。インターフェース１０５は、ユーザ機器デバイス１１０とＩＭＳネットワーク１００との間の双方向認証インターフェースである。インターフェース１０５は、加入者認証機能をイネーブルにするように適応される。インターフェース１５０は、ユーザ機器デバイス１１０とＰ−ＣＳＣＦ１４４との間の通信セキュリティを提供するように適応される。
【００１７】
前述のように、インターフェース１０５および１５０は、通常、ユーザ機器の登録プロセス中にＩＭＳ ＡＫＡ機構の適用によって３ＧＰＰで実装される。しかし、本発明は、ＩＭＳネットワークの中の公開鍵インフラストラクチャ（ＰＫＩ）に基づくエンドユーザツーネットワーク認証を提供する。
【００１８】
以下でさらに詳細に説明されるように、本発明の一態様は、ユーザの秘密鍵、ネットワーク証明書、秘密鍵に基づいてインテグリティ鍵（ＩＫ）および暗号鍵（ＣＫ）を生成するための（任意選択の）機能、ならびにネットワークプロバイダによって選択されるべき少なくとも１つの既存のＰＫＩアルゴリズム（ＲＳＡ、楕円曲線、またはエルガマルなど）によって暗号化を実行するためのＩＳＩＭアプリケーションの機能を備えたユーザ機器デバイス１１０に関連するＩＳＩＭアプリケーションまたは別の安全な記憶デバイスを有する既存のスマートカードを加える。本発明の他の態様は、エンドユーザ端末、ＩＳＩＭ、およびサービングコールセッション制御機能（Ｓ−ＣＳＣＦ）の間の新しいプロトコル交換によるＩＭＳ認証を加える。
【００１９】
図２は、本発明の特徴を組み込んだＩＳＩＭなどの例示的スマートカード２００のブロック図である。図２に示されているように、例示的スマートカード２００は以下のものを備える：
１）ここでは簡単にするために１つ、つまりＵｐｒしか使用されていない、（署名および暗号化のための）１つまたは複数のユーザの秘密鍵２１０。
２）インテグリティ鍵ＩＫ、および暗号鍵ＣＫを計算するための（通常、ＩＳＩＭカード内にすでに存在する）機能２２０。機能２２０は、以下で説明されるように、入力、秘密鍵、またはＩＳＩＭ共有秘密の代わりに何らかの他のキー材料として使用するために強化される必要がある可能性がある。
３）（任意選択で）、以下で説明されるようなその他の鍵を暗号化するために使用され、ネットワークツーユーザ認証のためのチャレンジとしても役立つワンタイムセッション鍵Ｋｓをランダムに計算するための機能２３０。この鍵の長さは、一般に、ＩＫ鍵およびＣＫ鍵の結合された長さに等しい。および
４）ユーザの公開アイデンティティおよび秘密アイデンティティ２４０（ＩＭＳにおけるＩＭＳ秘密ユーザアイデンティティ（ＩＭＰＩ）およびＩＭＳにおけるＩＭＳ公開ユーザアイデンティティ（ＩＭＰＵ）など）。これらは、例示のために１つの文字列、Ｉｄにまとめられている。
【００２０】
図３は、ＩＭＳネットワークにおける使用のためのＰＫＩ認証プロセス３００の例示的実施形態を説明する流れ図である。一般に、セッションは、ＵＥ３１０がネットワーク１００に登録しようと試みる時に開始する。登録するためには、ＵＥ３１０は、ネットワークに対して認証し、サーバをネットワークに属するものとして認証する必要がある。本発明のＰＫＩ認証では、これは証明書の使用によって遂行される（例えば、ＩＴＵ−Ｔ Ｒｅｃ． Ｘ．５０９参照）。この場合、ネットワークが証明機関として動作可能であり、したがって、ネットワークの公開鍵を備えたネットワーク証明書がスマートカード２００内にあると想定される（この想定は不可欠ではないが）。
【００２１】
登録を開始するために、ＵＥ３１０は、ステップ３２５の間に、スマートカード３０５が認証子、Ａｕｔｎを提供するように要求する。スマートカード３０５は、認証子、Ａｕｔｎを（場合によっては、以下で説明されるように、ＵＥ３１０と協力して）計算し、以下で、「認証子、Ａｕｔｎの計算」という表題のセクションにおいてさらに詳細に説明されるように、ステップ３３０の間に、認証子、ＡｕｔｎをＵＥ３１０に配信する。
【００２２】
Ａｕｔｎパラメータが計算された後は、Ａｕｔｎパラメータは、ステップ３３５の間に、例えば登録メッセージ（ＳＩＰ登録方法など）の一部分としてネットワークサーバ３１５に渡される。この認証手順が登録中に実行されることは不可欠ではない。技術的に、認証手順は、当業者には明らかであろうように、認証が必要な時はいつ行われてもよく、いかなるプロトコルの一部分でもよい。
【００２３】
必ずしも必要ではない（および、場合によっては、帯域幅および実行時間の浪費である）が、ユーザがユーザの証明書にＡｕｔｎパラメータを含めることは可能である。この場合、もちろん、以下で説明されるように、ネットワークサーバ３１５による証明書の取出しの手順は、そのチェーンにおける証明書を検証する手順で置き換えられる。
【００２４】
Ａｕｔｎパラメータの受信後に、ネットワークサーバ３１５は、図４に関連して以下でさらに詳細に説明されるサーバ認証プロセス４００を実行する。一般に、認証プロセス４００は、受信されたＡｕｔｎパラメータに基づいてユーザを認証し、ネットワークサーバ３１５がユーザに対してそれ自体を認証するために使用するＡｕｔｎ’パラメータを計算する。Ａｕｔｎ’パラメータは、ステップ３６０の間にＵＥ３１０に伝送される。
【００２５】
ＵＥ３１０がＡｕｔｎ’パラメータメッセージを受信した時に、ＵＥ３１０はネットワーク署名をチェックし、秘密鍵ベースの復号のために、ステップ３６５の間に、暗号化されたナンスに対応する部分をスマートカード３０５に分配する。メッセージのインテグリティチェックができないか、または復号された値がｆｒｅｓｈｎｅｓｓ＋１に等しくない場合は、ＵＥ３１０はこの特定の場合のためのネットワークポリシに従って進む。両方のチェックが終われば、手順は完了する。
【００２６】
認証子、Ａｕｔｎの計算
図３に関連して上記で説明されたように、スマートカード３０５は、ステップ３３０の間に、認証子、Ａｕｔｎを計算する。認証子、Ａｕｔｎは、以下のように表されることが可能である：
Ａｕｔｎ＝Ｕｐｒ｛Ｎｐｕ［Ｋｓ］｜Ｋｓ［Ｉｄ，ｆｒｅｓｈｎｅｓｓ，ＩＫ｜ＣＫ］｝、
ここで：
１）ｆｒｅｓｈｎｅｓｓは、リプレイ攻撃から通信を保護するナンス（タイマ値、またはＩＭＳ ＳＥＱパラメータ、あるいは他の任意のナンスなど）であり、一般に、その長さはＩＫ鍵およびＣＫ鍵の結合された長さに等しい。
２）「｜」は、文字列連結演算を示す。
３）Ｋｓ［．．．］は、鍵Ｋｓで行われる対称鍵暗号化演算（ＤＥＳ、トリプルＤＥＳ、ＡＥＳ、またはワンタイムパッド）を示す。
４）Ｎｐｕ［．．．］は、ネットワーク証明書から利用可能なネットワーク公開鍵Ｎｐｕによる暗号化を示す。
５）Ｕｐｒ｛．．．｝は、ユーザの秘密署名鍵による署名の演算を示す。例えば、最初に、引数のハッシュ（ＳＨＡ２ハッシュなど）が計算され、次に、その結果がその鍵によって暗号化され、最後に、この結果が引数と連結される。署名の存在は、２つの問題を解決する：第１に、メッセージのインテグリティを保護し、第２に、通常セッションがユーザによって開始されたという証明を構成するので、オペレータにとって不可欠な非否認特徴を（ｆｒｅｓｈｎｅｓｓパラメータと併せて）提供する。
【００２７】
したがって、結果としてのＡｕｔｎ文字列は、３つの連結された成分からなる：
Ａｕｔｎ＝Ａ｜Ｂ｜Ｃ、ここで、
Ａ＝Ｎｐｕ［Ｋｓ］は、ネットワークによってのみ復号されることが可能であり、
Ｂ＝Ｋｓ［Ｉｄ，ｆｒｅｓｈｎｅｓｓ，ＩＫ｜ＣＫ］は、鍵Ｋｓの所有者に対してのみＩｄおよび鍵の復元を許可し、これは、やはり、Ａからネットワークによってのみ得られることが可能であり、
Ｃ＝Ｕｐｒ［Ｈａｓｈ（Ａ｜Ｂ）］は、前の２つの成分のインテグリティのチェックを可能にし、ならびにメッセージがユーザによって出されたことを受信者に証明する。
【００２８】
（Ｂに含まれている）ユーザのアイデンティティは十分に保護されていることが分かる。
【００２９】
Ｂを別個に計算するステップは不可欠ではないことがさらに分かる。実際には、高価な秘密鍵の計算を最小化するために使用される。代替実施形態は、Ａ＝Ｎｐｕ［Ｉｄ，ｆｒｅｓｈｎｅｓｓ，ＩＫ｜ＣＫ］を計算し、Ｂを全て省略し、この場合、Ｋｓを得る必要はない可能性がある。
【００３０】
演算を最適化するために、上記の計算のいくつかの部分（すなわち、ユーザ秘密鍵演算を必要としないもの）は、実際にはＵＥ３１０において行われることが可能であり、この場合、そのような計算の結果を伝送する１つまたは複数のメッセージは、ＵＥ３１０とスマートカード３０５との間で交換される必要があり得る。
【００３１】
本発明の例示的実施形態において一般にカード３０５上で常に行われる唯一の演算は、秘密鍵による署名である。最後に、この演算は、残余の計算と比較して、必要とされる唯一の潜在的に集約的な計算である。
【００３２】
サーバ認証プロセス４００
図３に関連して上記で説明されたように、ネットワークサーバ３１５は、受信されたＡｕｔｎパラメータに基づいてユーザを認証し、ネットワークサーバ３１５がユーザに対してそれ自体を認証するために使用するＡｕｔｎ’パラメータを計算するためにサーバ認証プロセス４００を実行する。
【００３３】
図４は、ＩＭＳネットワークにおけるネットワークサーバ３１５による使用のためのサーバ認証プロセス４００の例示的実施形態を説明する流れ図である。図４に示されているように、ネットワークサーバ３１５は、最初、ステップ４１０の間に、その秘密鍵を使用して、Ａを復号し、他のパラメータを復元する手段としての受信されたＡｕｔｎパラメータから鍵Ｋｓを復元する。
【００３４】
サーバ認証プロセス４００は、次いで、ステップ４２０の間に、鍵ＫｓによってＢを復号し、ユーザのアイデンティティ、Ｉｄを復元する。アイデンティティが取得された後は、ネットワークサーバ３１５は、このアイデンティティによって索引をつけられた正規のユーザのサブスクリプションディレクトリに記録があるかどうかをチェックし、記録がある場合は、このパラメータがその中で伝送された特定のプロトコルメッセージによって指定された何か他のサービスを登録または受信するのをユーザが認可されているかどうかをチェックする。ネットワークサーバ３１５はまた、（前述のように証明書がユーザによって送信される必要がなければ）ユーザの証明書を取り出す。表に入力がない場合は、処理は停止し、ネットワークセキュリティポリシに応じて、イベントはログされるか、または、サーバ過負荷の場合は、サービス拒否攻撃として報告されることが可能である。
【００３５】
ネットワークサーバ３１５は、次いで、ステップ４３０の間に、ナンス、ｆｒｅｓｈｎｅｓｓを復元し、リプレイの可能性があるかどうかを判定する。例えば、タイムスタンプが使用される場合、ネットワークサーバ３１５は、タイムスタンプが許容可能なタイムウィンドウ内にあるかどうかをチェックする。同様に、シーケンス番号（ＡＫＡアルゴリズムにおけるシーケンスなど）が使用される場合は、再度、ネットワークサーバ３１５は、その値が許容可能な範囲内にあるかどうかをチェックすることになる（範囲内にない場合は、ＵＥ３１０によって再シーケンシング手順を開始することが可能である）。検査ができない場合は、処理は停止し、ネットワークセキュリティポリシに応じて、イベントはログされるか、または、サーバ過負荷の場合は、特にリプレイの明らかな表示がある場合は、サービス拒否攻撃として報告されることが可能である。
【００３６】
ステップ４４０の間に、ネットワークサーバ３１５は、ａ）（ユーザの証明書から取得された）ユーザの公開鍵によってＣを復号し、ｂ）Ａ｜Ｂのハッシュを計算し、ｃ）ａ）およびｂ）において取得された量を比較する。これらの量が異なる場合は、メッセージは改ざんされたとみなされ、イベントは、ログされるか、または、サーバ過負荷の場合は、サービス拒否攻撃として報告されることが可能である（このステップは、ステップ３の前に実行されてもよい）。
【００３７】
ネットワークサーバ３１５は、次いで、ステップ４５０の間に、ＩＫおよびＣＫを復元する。この時点で、ネットワークに対するユーザ３１０の認証が完了し、ネットワークは、ＡＫＡ認証方式の場合なら有したであろうものと同じ情報を有する。
【００３８】
ネットワークサーバ３１５は、ユーザに対してそれ自体を認証するために（およびユーザの認証の成功を効果的に確認応答するために）、ステップ４６０の間に、Ａｕｔｎ’パラメータを以下のように計算する：
Ａｕｔｎ’＝Ｎｐｒ｛Ｕｐｕ［ｆｒｅｓｈｎｅｓｓ＋ｌ］｝、
ここで、
１）Ｕｐｕ［．．．］は、ユーザの証明書から利用可能なユーザの公開鍵Ｕｐｕによる暗号化を示し、
２）Ｎｐｒ｛．．．｝は、ネットワーク秘密署名鍵による署名の演算を示す：最初に、引数のハッシュ（ＳＨＡ２ハッシュなど）が計算され、次に、その結果がその鍵によって暗号化され、最後に、この結果が引数と連結される。署名の存在は、２つの問題を解決する：第１に、メッセージのインテグリティを保護し、第２に、かつ最も重要なことに、メッセージがネットワークから来たという証明を提供する。
【００３９】
結論
他の様々な利点がある中で特に、本発明は、セッションの秘密性が既存のＩＭＳ認証機構（ＡＫＡ）に依存するものと同じまたはそれ以上に安全なので、ＩＭＳセッションの実質的にパーフェクトフォワードシークレシを保証する。本発明はまた、ネットワークオペレータによって所望された場合は、ＡＫＡに存在する他の要因の認証機構（シーケンス番号、ＳＱＮなど）も使用されることが可能であることを保証する。本発明はまた、ユーザアイデンティティがクリアに伝送される必要がないので、ユーザプライバシを保証することができる。最後に、本発明は、そのような計算の非効率性を認識して、スマートカード上で絶対に必要な計算だけが行われることを任意選択で保証することができる。
【００４０】
図３および４は、諸ステップの例示的シーケンスを示すが、シーケンスが変更されてよいことも本発明の一実施形態である。アルゴリズムの様々な並べ替えが、本発明の代替実施形態として想到される。
【００４１】
本発明の例示的実施形態は、ソフトウェアプログラムにおける処理ステップに関して説明されてきたが、当業者には明らかであろうように、様々な機能が、ソフトウェアプログラム、回路素子またはステートマシンによるハードウェア、あるいはソフトウェアおよびハードウェア両方の組合せにおける処理ステップとしてデジタル分野で実施されることが可能である。そのようなソフトウェアは、例えば、デジタル信号プロセッサ、マイクロコントローラ、または汎用コンピュータにおいて利用されることが可能である。そのようなハードウェアおよびソフトウェアは、集積回路の中に実装された回路の中で実施されることが可能である。
【００４２】
したがって、本発明の機能は、それらの方法を実施するための方法および装置の形態で実施されることが可能である。本発明の１つまたは複数の態様は、例えば、記憶媒体に記憶される、マシンにロードされるおよび／またはそれによって実行される、あるいは何らかの伝送媒体を介して伝送されるプログラムコードの形態で実施されることが可能であり、プログラムコードがコンピュータなどのマシンにロードされ、それによって実行される場合は、そのマシンは本発明を実施するための装置になる。汎用プロセッサ上に実装される場合は、プログラムコードセグメントはプロセッサと結合されて、特定の論理回路に類似した動作をするデバイスを提供する。本発明はまた、集積回路、デジタル信号プロセッサ、マイクロプロセッサ、およびマイクロコントローラの１つまたは複数において実装されることが可能である。
【００４３】
システムおよび製品の詳細
当技術分野で知られているように、本明細書で説明された方法および装置は、コンピュータ可読コード手段が組み込まれているコンピュータ可読媒体をそれ自体が備える製品として販売されることが可能である。コンピュータ可読プログラムコード手段は、コンピュータシステムと連携して、本明細書で説明された方法を実施するステップまたは本明細書で説明された装置を作成するステップの全てまたはいくつかを実行するように動作可能である。コンピュータ可読媒体は、記録可能な媒体（例えば、フロッピー（登録商標）ディスク、ハードドライブ、コンパクトディスク、メモリカード、半導体デバイス、チップ、特定用途向け集積回路（ＡＳＩＣ））でもよく、あるいは、伝送媒体（例えば、光ファイバを備えたネットワーク、ワールドワイドウェブ、ケーブル、もしくは時分割多元接続、符号分割多元接続を使用する無線チャネル、または他の無線周波数チャネル）でもよい。コンピュータシステムによる使用に適した情報を記憶することができる知られているまたは開発されたいかなる媒体も使用されることが可能である。コンピュータ可読コード手段は、コンピュータが磁気媒体上の磁気変化、またはコンパクトディスクの表面上の高さの変化などの命令およびデータを読み出すことができるようにする任意の機構である。
【００４４】
本明細書で説明されたコンピュータシステムおよびサーバはそれぞれ、関連するプロセッサを本明細書で説明された方法、ステップ、および機能を実施するように構成するメモリを含む。メモリは分散されていてもローカルであってもよく、プロセッサは分散されていても単一であってもよい。メモリは、電気、磁気、または光学メモリ、あるいはこれらまたは他のタイプのストレージデバイスの任意の組合せとして実装されてもよい。さらに、用語「メモリ」は、関連するプロセッサによってアクセスされるアドレス可能な空間内のアドレスから読み出されるまたはそれに書き込まれることが可能ないかなる情報をも包含するように十分に広く解釈されるべきである。この定義では、ネットワーク上の情報は、関連するプロセッサがその情報をそのネットワークから取り出すことができるので、やはりメモリの中にある。
【００４５】
本明細書で示され説明された諸実施形態および変形形態は本発明の原理を単に例示するものであり、様々な変更形態が本発明の範囲および趣旨から逸脱することなく当業者によって実施されることが可能であることが理解されるべきである。
【特許請求の範囲】
【請求項１】
ＩＰベースの電話ネットワークにアクセスしようと試みているユーザデバイスによって実行される認証方法であって、
前記ユーザデバイスに関連する安全なメモリから前記ユーザの１つまたは複数の秘密鍵を取得するステップと、
インテグリティ鍵および暗号鍵を生成するステップと、
セッション鍵を使用して、前記インテグリティ鍵および前記暗号鍵を暗号化するステップと、
前記ＩＰベースの電話ネットワークの公開鍵によって前記セッション鍵を暗号化するステップと、
認証のために、前記暗号化されたセッション鍵、暗号化されたインテグリティ鍵および暗号化された暗号鍵を前記ＩＰベースの電話ネットワークに提供するステップと
を備える、認証方法。
【請求項２】
前記１つまたは複数の秘密鍵を使用して、前記暗号化されたセッション鍵、前記暗号化されたインテグリティ鍵、および前記暗号化された暗号鍵の１つまたは複数を暗号化するステップをさらに備える、請求項１に記載の方法。
【請求項３】
インテグリティ鍵および暗号鍵を生成する前記ステップが前記１つまたは複数の秘密鍵を使用して前記インテグリティ鍵および前記暗号鍵の１つまたは複数を生成するステップをさらに備える、請求項１に記載の方法。
【請求項４】
ＩＰベースの電話ネットワークにアクセスしようと試みているユーザデバイスを利用してユーザを認証するための方法であって、
前記ＩＰベースの電話ネットワークの公開鍵によって暗号化された、暗号化されたセッション鍵を取得するステップと、
前記ユーザの１つまたは複数の秘密鍵を使用して前記ユーザデバイスに関連する安全なデバイスによって生成された、暗号化されたインテグリティ鍵および暗号化された暗号鍵を前記ユーザデバイスから取得するステップと、
前記ＩＰベースの電話ネットワークの前記公開鍵を使用して、前記暗号化されたセッション鍵を復号するステップと、
前記暗号化されたセッション鍵を使用して、前記暗号化されたインテグリティ鍵および暗号化された暗号鍵を復号するステップと、
公開鍵インフラストラクチャ（ＰＫＩ）計算に基づいて前記ユーザデバイスを認証するステップと
を備える、方法。
【請求項５】
前記安全なデバイスが安全なＩＭＳ加入者アイデンティティモジュール（ＩＳＩＭ）を有するスマートカードを備える、請求項４に記載の方法。
【請求項６】
ＩＰベースの電話ネットワークにおけるユーザデバイスによる使用のための装置であって、
前記ユーザの１つまたは複数の秘密鍵を記憶するための安全なメモリと、
インテグリティ鍵および暗号鍵を生成するように動作可能である、安全なメモリに結合された少なくとも１つのプロセッサと
を備える、装置。
【請求項７】
前記安全なメモリが前記ネットワークの公開鍵を含んでいるネットワーク証明書をさらに備える、請求項６に記載の装置。
【請求項８】
前記プロセッサが１つまたは複数の秘密鍵を使用して前記インテグリティ鍵および前記暗号鍵の１つまたは複数を生成するようにさらに構成される、請求項６に記載の装置。
【請求項９】
ＩＰベースの電話ネットワークにアクセスしようと試みているユーザの１つまたは複数の秘密鍵を記憶するための安全なメモリと、
前記安全なメモリから前記ユーザの前記１つまたは複数の秘密鍵を取得し、
インテグリティ鍵および暗号鍵を生成し、
セッション鍵を使用して、前記インテグリティ鍵および前記暗号鍵を暗号化し、
前記ＩＰベースの電話ネットワークの公開鍵によって前記セッション鍵を暗号化し、
認証のために、前記暗号化されたセッション鍵、暗号化されたインテグリティ鍵および暗号化された暗号鍵を前記ＩＰベースの電話ネットワークに提供する
ように動作可能である、安全なメモリに結合された、少なくとも１つのプロセッサと
を備える、装置。
【請求項１０】
ＩＰベースの電話ネットワークにアクセスしようと試みているユーザデバイスを利用してユーザを認証するための装置であって、
メモリと、
前記ＩＰベースの電話ネットワークの公開鍵によって暗号化された、暗号化されたセッション鍵を取得し、
前記ユーザの１つまたは複数の秘密鍵を使用して前記ユーザデバイスに関連する安全なデバイスによって生成された、暗号化されたインテグリティ鍵および暗号化された暗号鍵を前記ユーザデバイスから取得し、
前記ＩＰベースの電話ネットワークの前記公開鍵を使用して、前記暗号化されたセッション鍵を復号し、
前記復号されたセッション鍵を使用して、前記暗号化されたインテグリティ鍵および暗号化された暗号鍵を復号し、
公開鍵インフラストラクチャ（ＰＫＩ）計算に基づいて前記ユーザデバイスを認証する
ように動作可能である、メモリに結合された、少なくとも１つのプロセッサと
を備える、装置。
【請求項１】
ＩＰベースの電話ネットワークにアクセスしようと試みているユーザデバイスによって実行される認証方法であって、
前記ユーザデバイスに関連する安全なメモリから前記ユーザの１つまたは複数の秘密鍵を取得するステップと、
インテグリティ鍵および暗号鍵を生成するステップと、
セッション鍵を使用して、前記インテグリティ鍵および前記暗号鍵を暗号化するステップと、
前記ＩＰベースの電話ネットワークの公開鍵によって前記セッション鍵を暗号化するステップと、
認証のために、前記暗号化されたセッション鍵、暗号化されたインテグリティ鍵および暗号化された暗号鍵を前記ＩＰベースの電話ネットワークに提供するステップと
を備える、認証方法。
【請求項２】
前記１つまたは複数の秘密鍵を使用して、前記暗号化されたセッション鍵、前記暗号化されたインテグリティ鍵、および前記暗号化された暗号鍵の１つまたは複数を暗号化するステップをさらに備える、請求項１に記載の方法。
【請求項３】
インテグリティ鍵および暗号鍵を生成する前記ステップが前記１つまたは複数の秘密鍵を使用して前記インテグリティ鍵および前記暗号鍵の１つまたは複数を生成するステップをさらに備える、請求項１に記載の方法。
【請求項４】
ＩＰベースの電話ネットワークにアクセスしようと試みているユーザデバイスを利用してユーザを認証するための方法であって、
前記ＩＰベースの電話ネットワークの公開鍵によって暗号化された、暗号化されたセッション鍵を取得するステップと、
前記ユーザの１つまたは複数の秘密鍵を使用して前記ユーザデバイスに関連する安全なデバイスによって生成された、暗号化されたインテグリティ鍵および暗号化された暗号鍵を前記ユーザデバイスから取得するステップと、
前記ＩＰベースの電話ネットワークの前記公開鍵を使用して、前記暗号化されたセッション鍵を復号するステップと、
前記暗号化されたセッション鍵を使用して、前記暗号化されたインテグリティ鍵および暗号化された暗号鍵を復号するステップと、
公開鍵インフラストラクチャ（ＰＫＩ）計算に基づいて前記ユーザデバイスを認証するステップと
を備える、方法。
【請求項５】
前記安全なデバイスが安全なＩＭＳ加入者アイデンティティモジュール（ＩＳＩＭ）を有するスマートカードを備える、請求項４に記載の方法。
【請求項６】
ＩＰベースの電話ネットワークにおけるユーザデバイスによる使用のための装置であって、
前記ユーザの１つまたは複数の秘密鍵を記憶するための安全なメモリと、
インテグリティ鍵および暗号鍵を生成するように動作可能である、安全なメモリに結合された少なくとも１つのプロセッサと
を備える、装置。
【請求項７】
前記安全なメモリが前記ネットワークの公開鍵を含んでいるネットワーク証明書をさらに備える、請求項６に記載の装置。
【請求項８】
前記プロセッサが１つまたは複数の秘密鍵を使用して前記インテグリティ鍵および前記暗号鍵の１つまたは複数を生成するようにさらに構成される、請求項６に記載の装置。
【請求項９】
ＩＰベースの電話ネットワークにアクセスしようと試みているユーザの１つまたは複数の秘密鍵を記憶するための安全なメモリと、
前記安全なメモリから前記ユーザの前記１つまたは複数の秘密鍵を取得し、
インテグリティ鍵および暗号鍵を生成し、
セッション鍵を使用して、前記インテグリティ鍵および前記暗号鍵を暗号化し、
前記ＩＰベースの電話ネットワークの公開鍵によって前記セッション鍵を暗号化し、
認証のために、前記暗号化されたセッション鍵、暗号化されたインテグリティ鍵および暗号化された暗号鍵を前記ＩＰベースの電話ネットワークに提供する
ように動作可能である、安全なメモリに結合された、少なくとも１つのプロセッサと
を備える、装置。
【請求項１０】
ＩＰベースの電話ネットワークにアクセスしようと試みているユーザデバイスを利用してユーザを認証するための装置であって、
メモリと、
前記ＩＰベースの電話ネットワークの公開鍵によって暗号化された、暗号化されたセッション鍵を取得し、
前記ユーザの１つまたは複数の秘密鍵を使用して前記ユーザデバイスに関連する安全なデバイスによって生成された、暗号化されたインテグリティ鍵および暗号化された暗号鍵を前記ユーザデバイスから取得し、
前記ＩＰベースの電話ネットワークの前記公開鍵を使用して、前記暗号化されたセッション鍵を復号し、
前記復号されたセッション鍵を使用して、前記暗号化されたインテグリティ鍵および暗号化された暗号鍵を復号し、
公開鍵インフラストラクチャ（ＰＫＩ）計算に基づいて前記ユーザデバイスを認証する
ように動作可能である、メモリに結合された、少なくとも１つのプロセッサと
を備える、装置。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公表番号】特表２０１１−５１９５１８（Ｐ２０１１−５１９５１８Ａ）
【公表日】平成２３年７月７日（２０１１．７．７）
【国際特許分類】
【出願番号】特願２０１１−５０３９６８（Ｐ２０１１−５０３９６８）
【出願日】平成２１年３月２６日（２００９．３．２６）
【国際出願番号】ＰＣＴ／ＵＳ２００９／００１９２０
【国際公開番号】ＷＯ２００９／１２６２０９
【国際公開日】平成２１年１０月１５日（２００９．１０．１５）
【出願人】（５９６０９２６９８）アルカテル−ルーセント ユーエスエー インコーポレーテッド (965)
【Ｆターム（参考）】
【公表日】平成２３年７月７日（２０１１．７．７）
【国際特許分類】
【出願日】平成２１年３月２６日（２００９．３．２６）
【国際出願番号】ＰＣＴ／ＵＳ２００９／００１９２０
【国際公開番号】ＷＯ２００９／１２６２０９
【国際公開日】平成２１年１０月１５日（２００９．１０．１５）
【出願人】（５９６０９２６９８）アルカテル−ルーセント ユーエスエー インコーポレーテッド (965)
【Ｆターム（参考）】
[ Back to top ]