JP2005516471A - 移動ネットワーク環境におけるデータトラフィックの保護方法 - Google Patents

Abstract

外部ネットワーク（ＶＮ）と、ホームネットワーク（ＨＮ）において秘密のホーム鍵ペアにより認証可能な移動体ユーザが所有しこの外部ネットワーク（ＶＮ）とつなげられる端末装置（ＥＧ）との間のデータトラフィックを保護するために、端末装置（ＥＧ）と外部ネットワーク（ＶＮ）のデータ保護装置が、部分鍵（ＴＸ，ＴＹ）の交換により秘密の外部鍵ペア（ＦＳ）を生成する。本発明によれば、部分鍵（ＴＸ，ＴＹ）のうち少なくとも１つに基づく鍵情報（Ｗ）と、端末装置（ＥＧ）によりホーム鍵ペアの第１のホーム鍵（ＨＳ）により証明されたメッセージ（ＲＲＱ）が、データ保護装置（ＶＧＫ）によりホームネットワーク（ＨＮ）へ伝達される。それに基づきホームネットワーク（ＨＮ）において、ホーム鍵ペアの第２のホーム鍵（ＨＳ）を用いてメッセージ（ＲＲＱ）の証明を検査し、鍵情報に対する証明書（ＨＭＡＣＨＳ（Ｗ））を作成する。作成された証明書はデータ保護装置（ＶＧＫ）へ伝送され、伝送された証明書（ＨＭＡＣＨＳ（Ｗ））の検査に依存して、データトラフィックを保護するための秘密の外部鍵ペア（ＦＳ）を承認する。

Description

本発明は、移動ネットワーク環境において外部ネットワークと、この外部ネットワークとつながっておりホームネットワークに登録されている移動体ユーザの端末装置との間のデータトラフィックを保護する方法に関する。ここでホームネットワークと外部ネットワークという用語は、本明細書のコンテキストにおいては様々なネットワークあるいは様々な論理的または物理的な領域、ドメインまたは１つのネットワークのサブネットワークに係わるものとすることができる。

現在の移動ネットワーク環境によれば空間的に移動するユーザが、分散された端末装置を介して外部ネットワークに入ることができ、そのようなアクセスを介してユーザの権限に従い自身のホームネットワークにおいて通信サービスやアプリケーションサービスを受けることができる。この場合、個々の端末装置を、ユーザにより一時的に利用される該当する外部ネットワークの構成要素としてもよいし、あるいは外部ネットワークとつながったユーザ所有の移動体端末装置としてもよい。

このような状況において生じる重要な問題点とは、外部ネットワークに対する移動体ユーザおよび／または移動体端末の認証および権限付与および／またはその逆に関して殊に、情報セキュリティを保証することである。通常、移動体ユーザおよび／またはこの移動体ユーザが利用する移動体端末装置は、最初は自身のホームネットワークのみに登録されており、外部ネットワークには登録されていない。ユーザの認証および／または権限付与のために、外部ネットワークにおいてホームネットワークに対する認証問い合わせもしくは権限付与問い合わせを指示することができ、その応答に従ってアクセス許可を与えることができる。問い合わせおよび応答にあたり考慮しなければならないのは、殊にインターネットベースのネットワークシナリオの場合には、外部ネットワークとホームネットワークとの間の個々の通信経路が多数の通過ネットワークと通過コンポーネントを経由している可能性のあることである。ところがそれら通過ネットワークや通過コンポーネントは、場合によっては安全とはいえず信頼に足るものではない。このため問い合わせにおいても応答においても配慮しなければならいのは、このような状況において外部ネットワークとホームネットワークとの間で伝達すべきメッセージが許可なく盗聴されたり偽造されたり妨害されたりすることによって、問い合わせ結果が損なわれないようにすることである。

移動ネットワーク環境においてデータトラフィックを保護するためのそのような方法はたとえば、インターネットアドレス "ftp://140.242.1.131/avc-site/0110＿Dub/AVD-2112a.zip" (23.1.2002) において公開されているITU-T勧告H.235-Annex Gからすでに知られている。

この方法によれば、端末装置と外部ネットワークとの間のデータ交換に使われるべき鍵情報がユーザのホームネットワークにおいて外部ネットワークから要求される。要求された鍵情報はホームネットワークから場合によっては安全とはいえないすべての通過ネットワークを介して順次、外部ネットワークへと伝送される。この伝送はセクションごとに暗号化されて実施されるが、その際に想定しているのは、隣り合うネットワーク間でペアを成す信頼関係によって保護された暗号化伝送がそのつど保証されているということである。ただしこのようにペアを成す信頼関係だけであると、ネットワークを移行するたびに鍵情報を復号して再び暗号化することになってしまう。このことで鍵情報はすべてのネットワーク境界において平文で得ることができてしまい、このことは少なからぬセキュリティリスクを意味する。したがって鍵情報により保護すべき外部ネットワークと端末装置との間のデータ交換に対し許可なく割り込むことを排除できない。

公知の方法のさらに別の欠点は、鍵情報の暗号化伝送に使用される暗号化方式は場合によっては国の輸出入制限を侵すおそれがあることである。これが殊に重要な意味をもつことになるのは、暗号化されて伝送される鍵情報自体が暗号化のためではなくたとえば認証または権限付与のためだけに利用される場合であって、このことは一般に法的な制約を受けない。

したがって本発明の課題は、外部ネットワークとこの外部ネットワークとつながった移動体ユーザの端末装置との間のデータトラフィックを保護するための簡単かつ効率的な方法を提供し、それによって上述の欠点を解消することにある。

この課題は請求項１の特徴を備えた方法により解決される。

外部ネットワークと、ホームネットワークにおいて秘密のホーム鍵ペアにより認証可能な移動体ユーザが所有しこの外部のネットワークにつなげられる端末装置との間のデータトラフィックを保護するために、端末装置と外部ネットワークのデータ保護装置が（有利には公開の）部分鍵を交換することで秘密の外部鍵ペアを生成する。この場合、データ保護装置をたとえば外部ネットワークのサーバ、クライアントあるいはたとえばいわゆるゲートキーパの形態のコネクションコントロール装置などによって実現することができる。本発明によれば、部分鍵のうちの少なくとも１つをベースとする（有利には公開の）鍵情報ならびに端末装置によりホーム鍵ペアの第１のホーム鍵を用いて証明されたメッセージが、データ保護装置によりホームネットワークへ伝達される。この場合、以下では用語「証明されたメッセージ」とは、たとえばチェックサムにより保護されたメッセージのことである。これに応じてホームネットワークにおいて、ホーム鍵ペアの第２のホーム鍵を用いてメッセージの証明が検査され、鍵情報に対する証明書が作成される。作成された証明書はデータ保護装置へ伝送され、伝送された証明書の検査に依存してデータトラフィック保護のための秘密の外部鍵ペアが承認される。

この場合、秘密のホーム鍵ペアと秘密の外部鍵ペアを、それぞれ対称的な鍵ペアによって実現してもよいし非対称の鍵ペアとして実現してもよい。対称的な鍵ペアの場合には個々の鍵所有者が合致した秘密の鍵要素をもつことになる。これに対し非対称な鍵ペアの場合、鍵所有者の秘密の鍵要素はその鍵関数に関して互いに関連づけられている。

端末装置により証明されたメッセージならびにホームネットワークにより作成された鍵情報に対する証明書の検査によって、データ保護装置に対する端末装置の身元ならびに１つまたは複数の部分鍵の真正を保証することができる。該当する部分鍵の認証によって、生成された秘密の外部鍵を他のネットワーク機構に通知する必要なく、真正であると確認することができる。このようにして確認された外部キーをたとえば保護された認証、権限付与および／またはデータ完全性の保証のために、端末装置と外部ネットワークとの間のいかなる後続のデータトラフィックにおいても利用することができる。

本発明の重要な利点は、秘密の外部鍵も秘密のホーム鍵も外部ネットワークとホームネットワークとの間で伝送する必要のないことである。その結果、外部ネットワークとホームネットワークとの間に潜在的に危険な通過ネットワークが存在するようなケースにおいて、従来技術よりも情報セキュリティが著しく高められる。

本発明のさらに別の利点は、本発明による方法を実装するために既存の通信システムたとえばITU-T勧告H.323に準拠した通信システムに対しごく僅かな変更しか施さなくてよいことである。さらに外部ネットワークとホームネットワークあるいは場合によっては通過ネットワークの間の付加的なセキュリティ関係を設ける必要はない。これはたとえばインターネットなど外部で管理される通過ネットワークの場合に殊に非常に有利である。

従属請求項には本発明の有利な実施形態が示されている。

本発明の有利な実施形態によれば、証明書をデータ保護装置から端末装置へ伝送し、そこにおいて検査することができる。このようにすることで端末装置によって、データ保護装置から受け取った部分鍵の真正および／またはデータ保護装置の真正を確かめることができる。

また、端末装置および端末装置から伝達された部分鍵の真正をベリファイする目的で、証明書をデータ保護装置によって検査することもできる。

さらにメッセージの証明書の検査が否定的な結果であったならば、ホームネットワークからデータ保護装置へ否定的な認証メッセージを伝達することができる。

本発明による方法の格別有利な実施形態によれば、秘密の外部鍵ペアをいわゆるディフィ・ヘルマン方式を用いて生成することができる。このような方式を用いれば２つまたはそれよりも多くの装置が、公開部分鍵の交換によりそれらの装置すべてに共通する秘密の部分鍵を計算することができる。この場合、鍵の長さが十分長いことを前提としており、公開部分鍵から共通の秘密鍵を導き出すことは実質的に不可能である。

本発明の別の有利な実施形態によれば、メッセージと鍵情報を認証問い合わせのときにホームネットワークへ伝達することができる。さらに鍵情報をメッセージ内でホームネットワークへ伝達することができる。このようにすれば、別々に伝達したりシグナリングしたりすることを回避できる。

さらにホームネットワークにおいて、メッセージと鍵情報とに共通する証明書を作成してデータ保護装置へ伝送することができる。このような共通の証明書によって、メッセージや鍵情報自体のほかにこのメッセージとこの鍵情報の組み合わせも証明される。つまり証明書に基づいて、そのメッセージがきちんとその鍵情報に対応づけられていることを照合ないしはベリファイすることができる。したがってメッセージを別の鍵情報といっしょにして悪用することを、実質的に不可能とすることができる。

これに対する代案として、メッセージと鍵情報に対し別々の証明書を作成してデータ保護装置へ伝送することができる。

本発明の別の有利な実施形態によれば、端末装置および／またはデータ保護装置を同定する識別子を証明のためホームネットワークへ伝達することができる。有利であるのは、この識別子とメッセージに対して、および／または鍵情報に対して共通の証明書を作成し、データ保護装置へ伝送できることである。このような証明書に基づいて、この識別子がこのメッセージおよび／またはこの鍵情報にきちんと対応づけられていることを照合することができる。したがって識別子を他のメッセージおよび／または鍵情報といっしょにして悪用することを、実質的に不可能とすることができる。

本発明による方法の別の実施形態によれば、複数の部分鍵の算術的結合および／または論理結合によって鍵情報を生成することができ、たとえば加算、乗算またはＸＯＲ結合によって生成することができる。また、少なくとも１つの部分鍵を端末装置によって付加的に生成された保護情報と算術的結合および／または論理結合することによって、鍵情報を生成することができる。このような保護情報を乱数またはタイムスタンプとすることができる。さらに鍵情報に１つまたは複数の不変の部分鍵を含めることができる。

さらに端末装置とデータ保護装置との間の部分鍵の交換を、ホームネットワークとのデータ交換に必要とされる端末装置とデータ保護装置との間のデータ伝達のときに実行することができる。たとえば部分鍵の交換を外部ネットワークとホームネットワークとの間の認証トラフィックと同期させてもよいし、あるいはそこに組み込んでもよい。そのようにすることで、全体として交換すべきメッセージの個数を最適化することができる。

本発明のさらに別の有利な実施形態によれば、データ保護装置とホームネットワークとの間のデータ交換を、ITU-T勧告H.235に準拠したシグナリングメッセージを用いて行うことができる。本発明の方法によれば、必要なデータ交換を実行するために従来技術とは異なりH.235シグナリングメッセージのいかなる拡張も行わなくてよい。

たとえば本発明を簡単なやり方で、ITU勧告H.323に準拠した通信システムに実装することができるし、あるいはその代案としていわゆるSIP標準（SIP: Session Initiation Protocol）に準拠した通信システムに実装することができる。

本発明の１つの有利な実施形態によれば、データ保護装置によりホームネットワークへ伝達される鍵情報の少なくとも一部分を、ホームネットワークからデータ保護装置へ伝送することができ、そのようにすることで鍵情報の伝送された部分の検査に依存してデータトラフィック保護のための秘密の外部鍵ペアを承認することができる。ホームネットワークからデータ保護装置へ伝送される鍵情報の一部分を検査することにより、ネットワーク環境への攻撃が防止され、そのような攻撃にあたって攻撃者は最初にホームネットワークからデータ保護装置へ伝送された証明書を盗聴し、ついで盗聴されたその証明書を用いることで認証されていない端末装置を認証させてしまう。このような攻撃は殊に次のようにして回避される。すなわち鍵情報をデータ保護装置へ伝達することにより、もともとデータ保護装置によりホームネットワークへ伝達された鍵情報が伝送された鍵情報と一致しているか否かについて検査できるようにするのである。一致がみられなければ、データ保護装置へ伝送された証明書は実際にホームネットワークにおいて生成されていなかったことになる。データ保護装置に証明書だけしか伝送されないと、それをデータ保護装置によって分析することはできない。なぜならば証明書はホーム鍵によって生成されたものであり、データ保護装置にとってそれは既知ではないからである。その場合には、ネットワーク環境への上述の攻撃が可能となってしまう。

本発明の１つの有利な実施形態によれば、ホームネットワークからデータ保護装置へ伝送された鍵情報の一部分がデータ保護装置において検査され、それによってネットワーク環境に対してなされるおそれのある攻撃がすでに早期に検出される。さらに有利には、ホームネットワークへ伝達されるすべての鍵情報がデータ保護装置へ伝送されて検査される。ホームネットワークから伝送された鍵情報の一部分を検査するために有利であるのは、ホームネットワークから伝送された鍵情報の一部分がデータ保護装置によりホームネットワークへ伝達された鍵情報の一部分であるか否かを求めることである。この検査の結果が否定であれば、データ保護装置へ伝送された証明書が実際にホームネットワークにおいて作成されたものではなく、この方法は中止される。

次に、図面を参照しながら本発明の有利な実施例について詳しく説明する。

図１は、複数の通信ネットワークを含む通信システムを示す図であり、図２および図３は、データトラフィック保護のためのシグナリングシーケンスを示したフローチャートである。

図１に略示されている通信システムには、移動体ユーザのホームネットワークＨＮと、この移動体ユーザが端末装置ＥＧを介して入ろうとしている外部ネットワークＶＮが含まれている。このような外部ネットワークＶＮのことを専門用語では「訪問先ネットワーク」"visited network"と呼ぶことも多い。ホームネットワークＨＮと外部ネットワークＶＮは、場合によっては１つまたは複数の通過ネットワーク（図示せず）を介して互いに結合されている。ホームネットワークＨＮと外部ネットワークＶＮが、たとえばオーディオデータ、ビデオデータおよび／またはマルチメディアデータなどの通信データをリアルタイム伝送するパケット型ネットワークとして構成されていると有利である。さらに有利であるのは、ITU-T勧告H.323またはSIP標準（Session Initiation Protocol）に従って通信環境を用意することである。端末装置ＥＧを、ユーザにより一時的に利用される外部ネットワークＶＮの構成要素たとえば固定電話回線網の電話機あるいはデスクトップコンピュータとすることができるし、あるいは外部ネットワークＶＮと一時的につなげられた端末装置たとえば移動体端末装置あるいはポータブルコンピュータとすることができる。

移動体ユーザつまりは移動体ユーザにより利用される端末装置ＥＧは、この実施例では最初はホームネットワークＨＮだけに登録されており、このホームネットワークＨＮと秘密ホーム鍵ＨＳを分け合っている。ホーム鍵ＨＳは端末装置ＥＧにも格納されているし、ホームネットワークＨＮの認証装置ＡＵＦにも格納されている。「認証ファンクション（"Authentication Function, AuF）」と呼ばれることも多い認証装置ＡＵＦは、ホームネットワークＨＮ内のユーザまたは端末装置の認証および権限付与のために用いられる。

外部ネットワークＶＮおよび場合によっては存在する通過ネットワークにおいては、ホーム鍵ＨＳは既知ではない。この実施例では、認証装置ＡＵＦに格納されているホーム鍵と端末装置ＥＧに格納されているホーム鍵とによって、対称なホーム鍵ペアが形成される。図１では、端末装置ＥＧと認証装置ＡＵＦとの間において共通のホーム鍵ＨＳにより確立されているセキュリティ関係が中括弧で表されている。

端末装置ＥＧは外部ネットワークＶＮのいわゆるゲートキーパＶＧＫ（訪問先ゲートキーパ visited Gatekeeper）とつながっており、これはたとえばデータセキュリティ装置および外部ネットワークＶＮのためのコネクションコントロールの役割を果たす。ゲートキーパＶＧＫは、外部ネットワークＶＮのユーザ管理装置ＶＬＦ（ビジターロケーションファンクション visitor location function）、外部ネットワークＶＮのネットワーク境界装置ＶＢＥ（訪問先ボーダーエレメント visited border element）、ホームネットワークＨＮのネットワーク境界装置ＨＢＥ（home border element）、ホームネットワークＨＮのユーザ管理装置ＨＬＦ（ホームロケーションファンクション home location function）を介して、認証装置ＡＵＦとつながっている。

隣り合うネットワーク装置ＶＧＫ，ＶＬＦ，ＶＢＥ，ＨＢＥ，ＨＬＦないしはＡＵＦの間においてペアを成すセキュリティ関係が確立されており、これらはそれぞれ秘密中間鍵ペアＺＳ１，ＺＳ２，ＺＳ３，ＺＳ４，ＺＳ５によって保護されている。この実施例では、ゲートキーパＶＧＫとユーザ管理装置ＶＬＦは共通の中間鍵ペアＺＳ１を利用することができ、ユーザ管理装置ＶＬＦとネット境界装置ＶＢＥは共通の中間鍵ペアＺＳ２を、ネットワーク境界装置ＶＢＥとネットワーク境界装置ＨＢＥは共通の中間鍵ペアＺＳ３を、ネット境界装置ＨＢＥとユーザ管理装置ＨＬＦは共通の中間鍵ペアＺＳ４を、さらにユーザ管理装置ＨＬＦと認証装置ＡＵＦは共通の中間鍵ペアＺＳ５を利用できる。このようにゲートキーパＶＧＫと認証装置ＡＵＦとの間の伝送区間はセクションごとに保護されている。図１の場合、ペアを成すセキュリティ関係はそれぞれ１つの中括弧で表されている。ここで留意しておく点は、ネットワーク装置ＶＧＫ，ＶＬＦ，ＶＢＥ，ＨＢＥ，ＨＬＦ，ＡＵＦの間における上述のセキュリティ関係のうちの１つまたは複数を省いてもよいことであり、あるいはゲートキーパＶＧＫと認証装置ＡＵＦとの間に類似のセキュリティ関係をもつさらに別の中間の実体を配置させることもできることであり、このことによっても本発明による方法が損なわれるものではない。

本発明によれば、ユーザもしくは端末装置ＥＧが外部ネットワークＶＮに入るという状況において、端末装置ＥＧとゲートキーパＶＧＫとの間で公開部分鍵ＴＸとＴＹの交換により秘密外部鍵ペアＦＳがダイナミックに取り決められる。そのためこの実施例ではいわゆるディフィ・ヘルマン方式が使用され、この場合、取り決められた外部鍵ペアＦＳの両方の秘密鍵が一致している。つまり端末装置ＥＧとゲートキーパＶＧＫにおいて、同じ外部鍵が生成されて格納される。外部鍵ペアＦＳにおける一致した外部鍵も以下では参照符号ＦＳで表す。図１によれば、共通の外部鍵ペアＦＳによって確立されている端末装置ＥＧとゲートキーパＶＧＫとの間のセキュリティ関係が中括弧で表されている。

端末装置ＥＧとゲートキーパＶＧＫとの間で取り決められた秘密外部鍵ペアＦＳを、すでに両方のネゴシエーションパートナーＥＧとＶＧＫとの間のデータトラフィックの基礎としてもよいが、このデータトラフィックが安全であるとみなせるのは、取り決められた部分鍵ＴＸとＴＹがその送信側に関して認証されている場合のみである。それゆえ本発明によれば、部分鍵ＴＸ、ＴＹの送信側の認証を確実なものとするため、ゲートキーパＶＧＫによりホームネットワークＨＮに対し認証問い合わせの伝達が指示される。

図２には、端末装置ＥＧと外部ネットワークＶＮとの間のデータトラフィックを保護するためのシグナリング経過を表すフローチャートが示されている。

ユーザつまりはユーザに使用される端末装置ＥＧが外部ネットワークに入るという状況において最初に、外部ネットワークＶＮに対する問い合わせのため端末装置ＥＧからメッセージＧＲＱ（H.225.0勧告に準拠した'Gatekeeper Discovery Request'）が伝達される。メッセージＧＲＱには、端末装置ＥＧを同定する識別子ＥＧＩＤが含まれている。メッセージＧＲＱによりゲートキーパＶＧＫは、メッセージＧＲＱに対する確認メッセージＧＣＦ（H.225.0勧告に準拠した'Gatekeeper Discovery Confirm'）を識別子ＥＧＩＤにより同定された端末装置ＥＧへ伝達するよう指示する。確認メッセージＧＣＦには、所轄のゲートキーパＶＧＫを同定する識別子ＧＫＩＤが含まれている。

ついで端末装置ＥＧにより、ディフィ・ヘルマン方式において計算規則ＴＸ＝ｇ^ｘ ｍｏｄ ｐに従い部分鍵ＴＸが計算される。ここでｐは複数桁の素数であり、ｇはｐよりも小さい基数、ｍｏｄは数学のモジュロ、ｘは端末装置ＥＧにより生成されるｐ−１よりも小さい秘密の乱数である。

図２において後続の伝達ステップには、それらの時間的な順序に従い数字１〜１５という連続番号が付されている。

伝達ステップ１において端末装置ＥＧからゲートキーパＶＧＫへ、端末装置登録メッセージＲＲＱ（H.225.0勧告に準拠した'Registration Request'）が伝達される。メッセージＲＲＱには、識別子ＥＧＩＤとＧＫＩＤならびに計算された部分鍵ＴＸが含まれている。さらにメッセージＲＲＱとともに証明書ＨＭＡＣ_ＨＳ（ＲＲＱ）が伝達される。これは端末装置ＥＧがこのメッセージＲＲＱのためにホーム鍵ＨＳを用いて作成したものである。ここではそしてこれ以降の説明でも汎用的な表現ＨＭＡＣ_Ｋ（Ｍ）は、情報Ｍに対し秘密鍵Ｋを用いて作成された証明書のことを表す。この種の証明書をいわゆる「キーハッシュドメッセージ認証コード」'keyed hashed message authentication code'あるいはディジタル署名によって実現できると有利である。

メッセージＲＲＱの受信によりゲートキーパＶＧＫは、自身の側で部分鍵ＴＹを計算規則ＴＹ＝ｇ^ｙ ｍｏｄ ｐに従って計算するよう指示される。ここでｙは、ゲートキーパＶＧＫにより生成されたｐ−１よりも小さい秘密の乱数を表す。ついで計算された部分鍵ＴＹが端末装置ＥＧにより受信された部分鍵ＴＸと結合されて、鍵情報Ｗ＝ＴＸ xor ＴＹが形成される。ここで'xor'は排他的論理和結合を表す。

さらにゲートキーパＶＧＫによりディフィ・ヘルマン方式に従って、部分鍵ＴＸとＴＹから秘密外部鍵ＦＳが計算規則ＦＳ＝ＴＸ^ｙ ｍｏｄ ｐ＝ｇ^ｘ＋ｙ ｍｏｄ ｐに従い計算される。ディフィ・ヘルマン方式の格別な利点は、秘密の乱数ｙもしくはｘが既知となっても、先行して生成された秘密鍵を導出するのは実質的に不可能なことである。このような特性をしばしば「完全一方向性機密」"perfect forward secrecy"と称する。この特性により方法のセキュリティが格段に高められる。ディフィ・ヘルマン方式のさらに別の利点は、鍵生成に関与するパートナーが対称的なかたちで共通の鍵に寄与している点にある。このようにすることで、一方の側が支配的であり場合によっては弱くなるような鍵の生成を回避することができる。

伝達ステップ２においてメッセージＲＲＱの受信に対する応答として、処理メッセージＲＩＰ（H.225勧告に準拠した'Request in Progress'）がゲートキーパＶＧＫから端末装置ＥＧへ伝送される。さらにゲートキーパＶＧＫにより認証問い合わせメッセージAuthenticationRequestが形成され、これらは伝達ステップ３，４，５，６，７においてユーザ管理装置ＶＬＦ、ネットワーク境界装置ＶＢＥ、ネットワーク境界装置ＨＢＥ、ユーザ管理装置ＨＬＦを介して、ホームネットワークＨＮの認証装置ＡＵＦへ伝達される。認証問い合わせメッセージAuthenticaionRequestには、端末装置ＥＧにより証明されたメッセージＲＲＱ、鍵情報ＷならびにゲートキーパＶＧＫの識別子ＧＫＩＤが含まれている。さらに認証問い合わせメッセージAuthenticaionRequestに、それぞれ隣り合うネットワーク装置間で伝達される証明書（図示せず）を含めることができ、それらは中間鍵ペアＺＳ１，ＺＳ２，ＺＳ３，ＺＳ４もしくはＺＳ５によって生成されたものである。

認証問い合わせメッセージの受信後、認証装置ＡＵＦによって、端末装置がホーム鍵ＨＳを用いて証明したメッセージＲＲＱが検査され、端末装置の真正が確認される。さらに認証装置ＡＵＦによって、鍵情報Ｗに対する証明書ＨＭＡＣ_ＨＳ（Ｗ）と識別子ＧＫＩＤに対する証明書ＨＭＡＣ_ＨＳ（ＧＫＩＤ）がそれぞれホーム鍵ＨＳを用いて作成される。端末装置ＥＧとゲートキーパＶＧＫが認証されていると判定されているかぎり、認証装置ＡＵＦは認証確認メッセージAuthenticationConfirmを形成し、このメッセージには証明書ＨＭＡＣ_ＨＳ（Ｗ）とＨＭＡＣ_ＨＳ（ＧＫＩＤ）が含まれている。

形成された認証確認メッセージAuthenticationConfirmは次に伝達ステップ８，９，１０，１１，１２においてユーザ管理装置ＨＬＦ、ネットワーク境界装置ＨＢＥ、ネットワーク境界装置ＶＢＥ、ユーザ管理装置ＶＬＦを介してゲートキーパＶＧＫへ伝送される。認証確認メッセージAuthenticationConfirmにそれぞれ隣り合うネットワーク装置間で伝達される証明書（図示せず）を含めることができ、それらは中間鍵ペアＺＳ１，ＺＳ２，ＺＳ３，ＺＳ４もしくはＺＳ５によって作成されたものである。端末装置ＥＧが認証されていないと判明した場合、認証確認メッセージAuthenticationConfirmの代わりに否定の認証メッセージAuthenticationReject（図示せず）が認証装置ＡＵＦからゲートキーパＶＧＫへ伝送される。

認証確認メッセージAuthenticationConfirmに基づきゲートキーパＶＧＫは、端末装置ＥＧの認証および権限付与ならびにシグナリング情報Ｗつまりは部分鍵ＴＸの認証をベリファイないしは検証することができる。ベリファイ結果が肯定的であれば、外部鍵ＦＳが安全であるとゲートキーパＶＧＫにより承認される。さらにゲートキーパＶＧＫは認証確認メッセージの受信によって、メッセージＲＲＱに対する確認メッセージＲＣＦ（H.225.0勧告に準拠したRegistration Confirm'）を伝達ステップ１３において端末装置ＥＧへ伝送するよう指示される。確認メッセージＲＣＦには、識別子ＧＫＩＤおよびＥＧＩＤ、部分鍵ＴＹならびに証明書ＨＭＡＣ_ＨＳ（Ｗ）およびＨＭＡＣ_ＨＳ（ＧＫＩＤ）が含まれている。さらに確認メッセージＲＣＦとともに証明書ＨＭＡＣ_ＦＳ（ＲＣＦ）も伝達され、これはゲートキーパＶＧＫによってこの確認メッセージＲＣＦに対し新たに作成された外部鍵ＦＳを用いて作成されたものである。

確認メッセージＲＣＦに含まれている部分鍵ＴＹに基づき、端末装置ＥＧ自身は秘密外部鍵ＦＳを計算規則ＦＳ＝ＴＹ^ｘ ｍｏｄ ｐ＝ｇ^ｙ＋ｘ ｍｏｄ ｐに従い計算し、さらに鍵情報Ｗ＝ＴＸ ｘｏｒ ＴＹを計算する。そして外部鍵ＦＳとホーム鍵ＨＳと鍵情報Ｗとに基づき端末装置ＥＧは、受信した証明書ＨＭＡＣ_ＨＳ（Ｗ）、ＨＭＡＣ_ＨＳ（ＧＫＩＤ）およびＨＭＡＣ_ＦＳ（ＲＣＦ）をベリファイすることができ、ひいてはゲートキーパＶＧＫならびに部分鍵ＴＹの認証をベリファイすることができる。ベリファイ結果が肯定的であれば、外部鍵ＦＳが端末装置ＥＧにより安全であると承認される。

ついで伝達ステップ１４において端末装置ＥＧからゲートキーパＶＧＫへ、識別子ＥＧＩＤおよびＧＫＩＤを含むアクセス要求メッセージＡＣＦ（H.255.0に準拠した'Admission Request'）が伝送される。アクセス要求メッセージＡＣＦによって、承認された外部キーＦＳをベースとする証明書ＨＭＡＣ_ＦＳ（ＡＲＱ）が伝達される。次に伝達ステップ１５においてアクセス要求メッセージＡＣＦはゲートキーパＶＧＫにより、やはり外部キーＦＳを用いて証明されたアクセス確認メッセージＡＣＦ（H.225.0勧告に準拠した'Admission Confirm'）を通して確認され、これによって端末装置ＥＧがいっそう安全に外部ネットワークＶＮに組み込まれる。

部分鍵ＴＸ，ＴＹおよびその送信側を端末装置ＥＧとゲートキーパＶＧＫにより場合によっては遡及的にベリファイすることにより外部鍵ＦＳは、端末装置ＥＧと外部ネットワークＶＮとの間のデータトラフィックを保護するためのいっそう安全な基礎を成す。外部鍵ＦＳの生成にはもっぱら端末装置ＥＧとゲートキーパＶＧＫだけが関与しており、生成された外部鍵ＦＳは伝送されないので、この実施例による方法によって非常に高度な情報セキュリティが保証される。さらに外部鍵ＦＳはユーザつまりは端末装置ＥＧが外部ネットワークＶＮに入るときに新たに生成されるので、ある外部ネットワークが以前に生成された外部キーによって外部からマスクないしは遮蔽されてしまい、そのようにして他の外部ネットワークへの不正アクセスが確立されてしまうようなことが排除される。さらにここで述べておくと、鍵情報Ｗからも秘密の乱数ｘ，ｙあるいは秘密の外部鍵ＦＳを逆に推定することは不可能である。

図３のフローチャートには本発明の変形実施形態が示されている。この変形実施例と図２に示した実施形態との相違点は、認証確認メッセージAuthenticationConfirmにおいて鍵情報Ｗが付加的に伝達されることである。認証確認メッセージAuthenticationConfirmにおいて伝達される鍵情報Ｗに基づきゲートキーパＶＧＫはこの確認メッセージの真正を検査することができ、その際にゲートキーパＶＧＫはそこに含まれている鍵情報ＷをもともとゲートキーパＶＧＫ内で生成した鍵情報と比較する。このようにすることでネットワーク環境への攻撃が回避され、そのような攻撃にあたって攻撃者は最初に伝送プロトコルを盗聴し、ついで盗聴した認証確認メッセージをゲートキーパへ伝達することで認証されていない端末装置を認証させてしまう。

本発明による方法の重要な利点は、認証問い合わせを非常に効率的かつ迅速に実行できることである。通例、認証問い合わせを外部ネットワークＶＮとホームネットワークＨＮとの間においてごく僅かな伝達プロセスにまとめることができ、この実施例ではただ２回の伝達プロセスにまとめることができる。端末装置ＥＧとゲートキーパＶＧＫとの間における部分鍵ＴＸ，ＴＹの伝達を、有利には認証問い合わせの伝達プロセスと同期させることができ、あるいはそのプロセスに組み込むことができる。有利には認証問い合わせは接続プロセスごとに１回しか実行されない。この場合、端末装置ＥＧと外部ネットワークＶＮとの間のいかなる後続のデータトラフィックもローカルな外部鍵ＦＳによって保護することができ、その際にホームネットワークＨＮに対し時間を遅延させる余分な問い合わせを行う必要がない。

本発明のさらに別の利点は、外部ネットワークＶＮとホームネットワークＨＮとの間の伝達プロセスのために、場合によっては輸出制限に抵触する可能性のあるデータ暗号化方式を用いる必要がないことである。

複数の通信ネットワークを含む通信システムを示す図である。 データ保護のためのシグナリングシーケンスを示すフローチャートである。 データ保護のための別のシグナリングシーケンスを示すフローチャートである。

Claims (18)

1. 外部ネットワーク（ＶＮ）と、ホームネットワーク（ＨＮ）内で秘密のホーム鍵ペアにより認証可能な移動体ユーザが所有し前記外部ネットワーク（ＶＮ）につなげられる端末装置（ＥＧ）との間におけるデータトラフィックを保護する移動ネットワーク環境のための方法において、
   ａ）端末装置（ＥＧ）と外部ネットワーク（ＶＮ）のデータ保護装置（ＶＧＫ）により、部分鍵（ＴＸ，ＴＹ）の交換を介して秘密の外部鍵ペア（ＦＳ）を生成し、
   ｂ）前記部分鍵（ＴＸ，ＴＹ）の少なくとも１つに基づく鍵情報（Ｗ）と、前記ホーム鍵ペアの第１のホーム鍵（ＨＳ）を用いて前記端末装置（ＥＧ）により証明されたメッセージ（ＲＲＱ）を、データ保護装置（ＶＧＫ）によってホームネットワーク（ＨＮ）へ伝達し、
   ｃ）該ホームネットワーク（ＨＮ）内で、前記ホーム鍵ペアの第２のホーム鍵（ＨＳ）を用いて前記メッセージ（ＲＲＱ）の証明を検査し、前記鍵情報（Ｗ）のための証明書（ＨＭＡＣ_ＨＳ（Ｗ））を作成し、
   ｄ）該証明書（ＨＭＡＣ_ＨＳ（Ｗ））を前記データ保護装置（ＶＧＫ）へ伝送し、
   ｅ）前記ホームネットワーク（ＨＮ）により伝送された証明書（ＨＭＡＣ_ＨＳ（Ｗ））の検査に依存して、データトラフィック保護のための秘密の外部鍵ペア（ＦＳ）を承認することを特徴とする、
   移動ネットワーク環境のための方法。
2. 前記証明書（ＨＭＡＣ_ＨＳ（Ｗ））をデータ保護装置（ＶＧＫ）から端末装置（ＥＧ）へ伝送し、そこにおいて検査する、請求項１記載の方法。
3. 前記証明書（ＨＭＡＣ_ＨＳ（Ｗ））をデータ保護装置（ＶＧＫ）により検査する、請求項１または２記載の方法。
4. 前記メッセージ（ＲＲＱ）の証明検査の結果が否定となったならば、否定の認証メッセージをホームネットワーク（ＨＮ）からデータ保護装置（ＶＧＫ）へ伝達する、請求項１から３のいずれか１項記載の方法。
5. 秘密の外部鍵ペア（ＦＳ）をいわゆるディフィ・ヘルマン方式により生成する、請求項１から４のいずれか１項記載の方法。
6. 前記メッセージ（ＲＲＱ）と前記鍵情報（Ｗ）を認証問い合わせ（AuthenticationRequest）においてホームネットワーク（ＨＮ）へ伝達する、請求項１から５のいずれか１項記載の方法。
7. 前記鍵情報（Ｗ）を前記メッセージ（ＲＲＱ）内でホームネットワーク（ＨＮ）へ伝達する、請求項１から６のいずれか１項記載の方法。
8. 前記メッセージ（ＲＲＱ）と前記鍵情報（Ｗ）とに共通する１つの証明書を作成してデータ保護装置（ＶＧＫ）へ伝送する、請求項１から７のいずれか１項記載の方法。
9. 前記端末装置（ＥＧ）および／または前記データ保護装置（ＶＧＫ）を同定する識別子（ＥＧＩＤ，ＧＫＩＤ）を、認証のためホームネットワーク（ＨＮ）へ伝達する、請求項１から８のいずれか１項記載の方法。
10. 前記識別子（ＥＧＩＤ，ＧＫＩＤ）および前記メッセージおよび／または前記鍵情報（Ｗ）に共通する１つの証明書を作成してデータ保護装置（ＶＧＫ）へ伝送する、請求項９記載の方法。
11. 前記鍵情報（Ｗ）を、複数の部分鍵（ＴＸ，ＴＹ）を算術的および／または論理的に結合することにより生成する、請求項１から１０のいずれか１項記載の方法。
12. 前記鍵情報（Ｗ）を、端末装置（ＥＧ）により付加的に生成された保護情報と算術的および／または論理的に結合することにより生成する、請求項１から１１のいずれか１項記載の方法。
13. 端末装置（ＥＧ）とデータ保護装置（ＶＧＫ）との間における部分鍵（ＴＸ，ＴＹ）の交換を、ホームネットワーク（ＨＮ）とのデータ交換に必要とされる端末装置（ＥＧ）とデータ保護装置（ＶＧＫ）との間のデータ伝達において行う、請求項１から１２のいずれか１項記載の方法。
14. データ保護装置（ＶＧＫ）とホームネットワーク（ＨＮ）との間のデータ交換を、ITU-T勧告H.235に準拠したシグナリングメッセージによって行う、請求項１から１３のいずれか１項記載の方法。
15. データ保護装置（ＶＧＫ）を介してホームネットワーク（ＨＮ）へ伝達される鍵情報（Ｗ）の少なくとも一部分を、ホームネットワーク（ＨＮ）からデータ保護装置（ＶＧＫ）へ伝送し、伝送された鍵情報（Ｗ）の一部分に依存して、データトラフィック保護のための秘密の外部鍵ペア（ＦＳ）を承認する、請求項１から１４のいずれか１項記載の方法。
16. 前記伝送された鍵情報（Ｗ）の一部分をデータ保護装置（ＶＧＫ）において検査する、請求項１５記載の方法。
17. データ保護装置（ＶＧＫ）によりホームネットワーク（ＨＮ）へ伝達されたすべての鍵情報（Ｗ）を、ホームネットワーク（ＨＮ）からデータ保護装置（ＶＧＫ）へ伝送して検査する、請求項１５または１６記載の方法。
18. ホームネットワーク（ＨＮ）から伝送された前記鍵情報（Ｗ）の一部分を検査するために、ホームネットワーク（ＨＮ）から伝送された該鍵情報（Ｗ）の一部分が、データ保護装置（ＶＧＫ）によりホームネットワーク（ＨＮ）へ伝達された鍵情報（Ｗ）の一部分であるか否かを判定する、請求項１５から１７のいずれか１項記載の方法。

Images