JP4615892B2 - 通信システム内での認証の実行 - Google Patents

Description

本発明は、一般に通信システムに関し、特に無線通信システム内での認証の実行に関する。

成り済ましと盗聴は無線通信の安全に対する潜在的な脅威である。無線リンクを介した通信を適切に保護するには、まず通信機器を認証し、次いで通信内容を暗号化することが望ましい。近年、リモート当事者の識別を認証するためのいくつかの周知のプロトコルがさまざまな標準化機関によって提案されている。最近検討されているそのようなプロトコルの１つが、Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ（ＧＳＭ）加入者識別モジュール（ＳＩＭ）を用いて認証およびセッション鍵の配布を実行する拡張認証プロトコルである。以下、このプロトコルをＥＡＰ−ＳＩＭプロトコルと呼ぶ。

ＥＡＰ−ＳＩＭプロトコルは、既存のＧｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅの通信認証手順の拡張提案に基づく。ＥＡＰ−ＳＩＭプロトコルは、ＧＳＭシステムの識別モジュールを用いた相互認証およびセッション鍵のための機構を指定する。相互認証のためには、アプリケーション機能を実行する前に、クライアントとサーバはそれぞれの同一性を互いに証明しなければならない。相互認証の基本原則はいずれの当事者も同一性が証明されるまで相手を「信用」してはならないということである。

ＧＳＭネットワークは呼び掛け−応答の機構に基づく。ＧＳＭネットワークは移動局に１２８ビットのランダムな数字（ＲＡＮＤ）呼び掛けを送信する。移動局は個別の加入者認証鍵（Ｋ_ｉ）を用いたランダムな数字（ＲＡＮＤ）に基づいて３２ビットの署名付き応答（ＳＲＥＳ）と６４ビット暗号鍵Ｋ_ｃとを計算する。次いで移動局は当該ＳＲＥＳをＧＳＭネットワークに送出する。移動局からＳＲＥＳを受信すると、ＧＳＭネットワークは計算を繰り返して移動局の識別を確認する。ただし、個別の加入者認証鍵（Ｋ_ｉ）は無線チャネル上で送信されない。個別の加入者認証鍵（Ｋ_ｉ）は移動局とサービス網のデータベース内に存在する。受信したＳＲＥＳが計算値と一致すれば、移動局は成功裏に認証され、通信を続行できる。値が一致しないと、接続は終了し、認証の失敗が移動局に通知される。
「インターネット・プロトコル」と題するコメント要求（ＲＦＣ）７９１、１９８１年９月 「インターネット・プロトコル、バージョン６（ＩＰｖ６）仕様」と題するＲＦＣ２４６０、１９９８年１２月 Ｈ．Ｋｒａｗｃｚｙｋ、Ｍ．Ｂｅｌｌａｒｅ、Ｒ．Ｃａｎｅｔｔｉ、「Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ ｆｏｒ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ」、ＲＦＣ２１０４、１９９７年２月 「Ｓｅｃｕｒｅ Ｈａｓｈ Ｓｔａｎｄａｒｄ」と題する連邦情報処理標準（ＦＩＰＳ）出版物１８０−１、Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ、１９９５年４月１７日

上記のように、ＧＳＭネットワークは１回のＲＡＮＤ呼び掛けを用いて移動局の識別を認証する。ＥＡＰ−ＳＩＭプロトコルは、ＧＳＭプロトコルの認証手順に基づいて、６４ビット暗号鍵Ｋ_ｃを用いた相互認証の機構を規定する。ただし、６４ビット鍵に基づいて相互認証を実行することでは、例えば、９６ビットまたは１２８ビット鍵を使用した場合には得られるはずの所望の機密保護レベルが提供されないことがある。より安全な認証の機構を提供するため、ＥＡＰ−ＳＩＭプロトコルは最大３回のＲＡＮＤ呼び掛けを規定し、その結果、認証手順に最大３つの６４ビット鍵Ｋ_ｃを使用できる。この３つの６４ビット鍵を組み合わせると、１９２ビット鍵になり、機密保護が強化されると思われる。ただし、複数の暗号鍵を組み合わせるだけでは必ずしも機密保護は強化されない。これは成り済ました者（すなわち非良心的な当事者）は６４ビット鍵の値を正しく推測することに基づいて移動局の認証に成功する場合があるからである。これはＥＡＰ−ＳＩＭプロトコルでは３回のセットのうち１回ごとのＲＡＮＤ呼び掛けが一意である（各Ｋ_ｃ鍵も一意である）ことは要求されないからである。成り済ました者はこうして無権限のセッションを確立し、それによってまず単一の６４ビット鍵を正しく推測し、次いでその鍵の複数の複製を用いて移動局に対して自己を認証することで移動局との完全通話を続行することができる。
本発明は上記の１つまたは複数の問題の影響を克服するかまたは少なくとも軽減することを目的とする。

本発明の一実施形態では、通信システム内で認証を実行する方法が提供される。前記方法はサーバからの第１および第２のランダムな呼び掛けを含む認証要求を受信する工程と、前記第１のランダムな呼び掛けと前記第２のランダムな呼び掛けとを比較する工程とを含む。前記方法は、前記第１のランダムな呼び掛けが実質的に前記第２のランダムな呼び掛けと同一であると決定したことに応答して前記認証要求を拒否する工程と、前記第１のランダムな呼び掛けが前記第２のランダムな呼び掛けと異なると決定したことに応答して前記サーバに符号化された値を送信する工程であって、前記符号化された値は前記第１および前記第２のランダムな呼び掛けと前記サーバと共有されない鍵とに基づいて生成される工程とをさらに含む。

本発明の一実施形態では、通信システム内で認証を実行する装置が提供される。前記装置はサーバからの第１および第２のランダムな呼び掛けを含む認証要求を受信するように構成された受信機を含む。前記装置は前記受信機に通信可能に接続された制御装置を含む。前記制御装置は、前記第１のランダムな呼び掛けと前記第２のランダムな呼び掛けとを比較し、前記第１のランダムな呼び掛けが実質的に前記第２のランダムな呼び掛けと同一であると決定したことに応答して前記認証要求を拒否するように構成されている。前記制御装置はさらに、前記第１のランダムな呼び掛けが前記第２のランダムな呼び掛けと異なると決定したことに応答して前記サーバに符号化された値を送信するように構成され、前記符号化された値は前記第１および前記第２のランダムな呼び掛けと前記サーバと共有されない鍵とに基づいて生成される。

本発明の一実施形態では、認証を実行するシステムが提供される。前記システムは複数の呼び掛けと、前記複数の呼び掛けのうち少なくとも第１および第２の呼び掛けを含む認証要求を送信するように構成されたサーバからはアクセスできない鍵に基づいて生成された複数の対応する値とにアクセスする。前記システムは、前記第１のランダムな呼び掛けと前記第２のランダムな呼び掛けとを比較し、前記第１のランダムな呼び掛けが実質的に前記第２のランダムな呼び掛けと同一であると決定したことに応答して前記認証要求を拒否する装置を含む。前記装置は前記第１のランダムな呼び掛けが前記第２のランダムな呼び掛けと異なると決定したことに応答して前記サーバに符号化された値を送信するように構成され、前記符号化された値は前記第１および前記第２のランダムな呼び掛けと前記秘密鍵とに対応する値の少なくとも一部に基づく。

本発明の一実施形態では、通信システム内で認証を実行する方法が提供される。前記方法はアクセス端末に送信する１つまたは複数の呼び掛けを決定する工程と、前記１つまたは複数の呼び掛けについてのメッセージ識別認証コード値を決定する工程とを含む。前記少なくとも１つまたは複数の呼び掛けについての前記メッセージ認証コード値は前記１つまたは複数の呼び掛けの各々に対応する暗号鍵を決定する工程と、前記１つまたは複数の呼び掛けの各々に対応する署名付き応答を決定する工程と、前記暗号鍵の１つまたは複数と前記署名付き応答とに基づいてマスタ鍵を決定し、メッセージ認証コードを決定する工程とを含む。前記少なくとも１つまたは複数の呼び掛けについての前記メッセージ認証コード値はさらに、前記１つまたは複数の呼び掛けと前記認証コードとを前記アクセス端末に送信する工程を含む。

本発明は添付図面と共に以下の説明を参照することで理解できよう。前記図面では同一の要素には同一の参照番号が付与されている。
本発明についてさまざまな変更を加えることができ、別の実施形態も可能であるが、本発明の特定の実施形態を図面に例示し以下に詳述する。ただし、前記特定の実施形態についての本明細書の説明は本発明を開示された特定の実施形態を限定するものではなく、逆に、添付の特許請求の範囲に記載する本発明の精神と範囲を逸脱しない限り、本発明はすべての変更、等価形態、および代替形態を含むものである。

本発明の実施例について以下に説明する。話を分かりやすくするために、本明細書では実際の実施形態のすべての特徴を網羅しているわけではない。当然ながら、そのような任意の実際の実施形態を開発する過程で、開発者の特定の目標を達成するために、実施形態ごとに異なるシステム関連およびビジネス関連の制約の準拠などの数多くの実施形態固有の決定をしなければならないことは理解されるであろう。さらに、そのような開発努力は複雑で時間がかかる場合があるが、それにもかかわらず本発明の恩恵を享受する当業者にとっては日常的な作業であることを理解されたい。

図面、特に図１を参照すると、本発明の一実施形態による通信システム１００が示されている。図を見やすくするために、図１の通信システム１００内の認証はＥＡＰ−ＳＩＭプロトコルに従って実行される。ただし、本発明の精神と範囲を逸脱しない限り、別の実施形態では他の認証プロトコルを使用できることを理解されたい。ＥＡＰ−ＳＩＭプロトコルのインターネット草案（２００３年２月）がインターネット技術特別調査委員会によって利用可能になっている（ｈｔｔｐ：／／ｗｗｗ．ｗａｔｅｒｓｐｒｉｎｇｓ．ｏｒｇ／ｐｕｂ／ｉｄ／ｄｒａｆｔ−ｈａｖｅｒｉｎｅｎ−ｐｐｐｅｘｔ−ｅａｐ−ｓｉｍ−１０．ｔｘｔを参照）。

図１の通信システムは１つまたは複数のアクセス端末１２０が１つまたは複数の基地局（ＢＴＳ）によってインターネットなどのデータ・ネットワーク１２９と通信できるようにする移動体サービス交換局１１０を含む。図１の移動体サービス交換局１１０は一般に複製、通信、ランタイム、およびシステム管理サービスを提供する。移動体サービス交換局１１０は通話経路の設定および終了などの呼処理機能を扱うこともできる。アクセス端末１２０は、携帯電話、パーソナル・デジタル・アシスタント（ＰＤＡ）、ラップトップ・コンピュータ、デジタル・ページャ、無線カード、およびデータ・ネットワーク１２９にアクセス可能なその他の任意の装置を含むさまざまな装置の１つを含むことができる。

図２は本発明の一実施形態によるアクセス端末１２０の例示のブロック図である。実施例では、それほど限定されていないが、アクセス端末１２０はＧＳＭ携帯電話である。アクセス端末１２０は制御装置１２２と記憶装置１２３とを含む加入者識別モジュール（ＳＩＭ）１２１を備える。図の実施形態では、ＳＩＭ１２１は以下に詳述する形で認証手順を実行する認証モジュール１２５を含む。認証モジュール１２５は、ソフトウェアで実施される場合、制御装置１２２によって実行でき、記憶装置１２３内に記憶できる。図２には示していないが、ＳＩＭ１２１は国際移動体加入者識別（ＩＭＳＩ）、個別加入者認証鍵（Ｋ_ｉ）、暗号化鍵生成アルゴリズム（Ａ８）、および個人識別番号（ＰＩＮ）を含むことができる。図示の実施形態のアクセス端末１２０は無線リンク上でデータを送受信する送受信論理１２６とアンテナ１２７とを含む。

再び図１を参照すると、通信システム１００は、認証、許可、およびアカウンティング（ＡＡＡ）サーバ１４０に接続された移動体サービス交換局１１０を含む。図の実施形態では、ＡＡＡサーバ１４０はＥＡＰサーバ１４５を含むが、別の実施形態では、ＥＡＰサーバ１４５をスタンドアロン装置内で実施できる。ＥＡＰサーバ１４５はＧＳＭネットワーク１５０とのインタフェースをとり、データ・ネットワーク１２９とＧＳＭネットワーク１５０との間のゲートウェイとして動作する。ＧＳＭネットワーク１５０は移動体サービス交換局１１０に、各々がランダムな（ＲＡＮＤ）呼び掛け（例えばランダムな数字）、署名付き応答（ＳＲＥＳ）、および暗号鍵（Ｋ_ｃ）を含む１つまたは複数のトリプレットを提供する。一実施形態では、ＲＡＮＤは１２８ビットのランダムな数字で、個別加入者認証鍵Ｋ_ｉ（最大１２８ビット長）と併用して、それぞれ６４ビット、３２ビット長の暗号鍵Ｋ_ｃとＳＲＥＳ値とを生成する。

以下に詳述するように、本発明の１つまたは複数の実施形態では、アクセス端末１２０とＥＡＰサーバ１４５との間で相互認証を実行する改良型方式が提供される。本発明の一実施形態では、通信システム１００内で実施される相互認証手順は、いくつかの既存のプロトコルに基づいて得られるものより優れたセキュリティを提供する。

図１に示すデータ・ネットワーク１２９はインターネット・プロトコル（ＩＰ）に準拠するデータ・ネットワークなどのパケット交換データ・ネットワークであってもよい。ＩＰの１つのバージョンが「インターネット・プロトコル」と題するコメント要求（ＲＦＣ）７９１、１９８１年９月に記載されている。別の実施形態では、ＩＰｖ６などのＩＰの他のバージョンまたはその他のコネクションレス方式のパケット交換標準も使用できる。ＩＰｖ６の１つのバージョンが「インターネット・プロトコル、バージョン６（ＩＰｖ６）仕様」と題するＲＦＣ２４６０、１９９８年１２月に記載されている。別の実施形態では、データ・ネットワーク１２９は他のタイプのパケットベースのデータ・ネットワークを含んでいてもよい。そのようなその他のパケットベースのデータ・ネットワークは例えば非同期転送モード（ＡＴＭ）、フレーム・リレー・ネットワークなどを含む。

本明細書で使用する「データ・ネットワーク」は、１つまたは複数の通信ネットワーク、チャネル、リンクまたは経路、およびそのようなネットワーク、チャネル、リンクまたは接続経路上でデータをルーティングするために使用されるシステムまたは装置（ルータなどの）を指すことができる。

図１の通信システム１００の構成は本質的に例示的なもので、通信システム１００のその他の実施形態で構成要素の数を増減してもよい。例えば、ＧＳＭネットワーク１５０は認証センタ（ＡｕＣ）１５２で生成されるトリプレットのセットを記憶するビジタ・ロケーション・レジスタ（図示せず）を含んでいてもよい。別の例として、一実施形態では、システム１００は運用、管理、保守、およびプロビジョニング機能を提供するネットワーク管理システム（図示せず）を含んでいてもよい。さらに、移動体サービス交換局１１０およびＡＡＡサーバ１４０は別の要素として示されているが、別の実施形態では、これらの要素の機能は単一の要素で実行してもよい。

特に述べられていない限り、または説明から明らかなように、「処理」または「演算」または「計算」または「決定」または「表示」などの用語は、コンピュータ・システムのレジスタおよびメモリ内で物理、電子量として表されるデータを操作してコンピュータ・システムのメモリまたはレジスタ、あるいはその他の情報記憶、伝送、または表示装置内で同様に物理量として表される他のデータに変換するコンピュータ・システムの動作およびプロセスを指す。

図３を参照すると、図１の通信システム１００で採用できる認証手順の一実施形態が示されている。認証手順はＥＡＰサーバ１４５が（２０５で）識別要求をアクセス端末１２０に提供する動作で開始する。アクセス端末１２０は（２１０で）アクセス端末１２０を一意に識別する識別子で応答する。例えば、アクセス端末１２０は国際移動体加入者識別（ＩＭＳＩ）または一時的識別（ペンネーム）を含む識別子を提供してもよい。

アクセス端末１２０が（２１０で）提供する応答に続けて、アクセス端末１２０は（２１５で）ＥＡＰサーバ１４５から起動要求を受信する。アクセス端末１２０は受信した起動要求に（２２０で）応答する。開始要求と開始応答によって、アクセス端末１２０とＥＡＰサーバ１４５は両当事者がサポートするプロトコルのバージョンについて打ち合わせる。特に、ＥＡＰサーバ１４５から（２１５で）提供される起動要求はＥＡＰサーバ１４５がサポートするバージョン・リストを示すＶｅｒｓｉｏｎ＿Ｌｉｓｔ属性を含む。次いで、アクセス端末１２０が（２２０で）提供する起動応答はアクセス端末１２０が選択するバージョン番号を含むバージョン属性を含む。またその起動応答に乗せて（２２０で）、アクセス端末１２０は最初の呼び掛けのＲＡＮＤ_ｃをＥＡＰサーバ１４５に送信する。

アクセス端末１２０から（２２０で）起動要求を受信すると、ＥＡＰサーバ１４５はＧＳＭネットワーク１５０の認証センタ（ＡｕＣ）１５２から１つまたは複数のＧＳＭトリプレットを取得する。場合によっては、ＧＳＭトリプレットは将来使用することを見越してＥＡＰサーバ１４５が事前取得してもよい。ＥＡＰ−ＳＩＭプロトコルでは認証実行時に最大３つのトリプレットの使用をサポートしている。上記のように、各トリプレットはランダムな（ＲＡＮＤ）呼び掛け、署名付き応答（ＳＲＥＳ）、および暗号鍵（Ｋ_ｃ）を含み、ＳＲＥＳとＫ_ｃはＲＡＮＤ値とＫ_ｉ鍵に基づいて計算される。ＥＡＰサーバ１４５は異なるトリプレットのＲＡＮＤ呼び掛けが異なることを規定する。

次いで、ＥＡＰサーバ１４５は（２２５で）アクセス端末１２０に呼び掛け要求を送信する。呼び掛け要求は１つまたは複数のＲＡＮＤ呼び掛けとＲＡＮＤ呼び掛けに対応するメッセージ認証コードＭＡＣ_ｋとを含む。ＭＡＣ値を計算するアルゴリズムは当業で周知である。ＭＡＣ値を計算するアルゴリズムの一例は、Ｈ．Ｋｒａｗｃｚｙｋ、Ｍ．Ｂｅｌｌａｒｅ、Ｒ．Ｃａｎｅｔｔｉ、「Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ ｆｏｒ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ」、ＲＦＣ２１０４、１９９７年２月と題する参考文献に記載されている。

図３に示す認証手順では、ＭＡＣ_ｋは受信したトリプレットのＲＡＮＤ値とアクセス端末１２０から（２２０で）前もって送信された）ＲＡＮＤ_ｃに基づいて計算される。例えば、ＥＡＰサーバ１４５が２つのＲＡＮＤ（Ｒ１およびＲ２）呼び掛けを送信するとした場合、ＭＡＣ_ｋは少なくともＲ１、Ｒ２およびＲＡＮＤ_ｃに基づいて計算される。ＥＡＰ−ＳＩＭプロトコルはＭＡＣ値の計算の前に認証鍵ｋが必要であると規定する。認証鍵ｋを計算するには、マスタ鍵（ＭＫ）を先に計算する必要がある。ＭＫは以下の式（１）に基づいて計算できる。

ＭＫ＝ＳＨＡ［．．．、暗号鍵（Ｋ_ｃ１、Ｋ_ｃ２、Ｋ_ｃ３）、ＲＡＮＤ_ｃ、．．．］（１）
上式で、ＳＡＨは安全なハッシュ・アルゴリズムを表し、暗号鍵はＧＳＭの一部で、ＲＡＮＤ_ｃはアクセス端末１２０が提供する最初の呼び掛けである。安全なハッシュ・アルゴリズムの一例は、「Ｓｅｃｕｒｅ Ｈａｓｈ Ｓｔａｎｄａｒｄ」と題する連邦情報処理標準（ＦＩＰＳ）出版物１８０−１、Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ、１９９５年４月１７日に記載されている。

ＭＡＣ値とマスタ鍵は他のタイプの情報（例えば、バージョン番号、識別など）に基づいて計算することもできる。ただし、図を見やすくし、本発明の実施形態を必要以上に複雑にしないために、本明細書では詳細は割愛する。

マスタ鍵（ＭＫ）が上式（１）を用いて計算されると、擬似乱数関数（ＰＲＦ）に提供され、認証鍵ｋが生成される。上記のように、認証鍵ｋはＭＡＣ値の計算に必要である。使用できる擬似乱数関数の一例は、Ｈ．Ｋｒａｗｃｚｙｋ、Ｍ．Ｂｅｌｌａｒｅ、Ｒ．Ｃａｎｅｔｔｉ、「Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ ｆｏｒ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ」、ＲＦＣ２１０４、１９９７年２月に記載されている。

認証鍵ｋが計算されると、ＥＡＰサーバ１４５は少なくともアクセス端末１２０に送信するＲＡＮＤ呼び掛け（すなわち、受信したＧＳＭトリプレットのＲＡＮＤ_ｃおよびＲＡＮＤ番号）に基づいてＭＡＣ値を決定する。計算されたＭＡＣ値は、１つまたは複数のＧＳＭトリプレットのＲＡＮＤ呼び掛けと共に、（２２５で）アクセス端末１２０に送信される。

アクセス端末１２０の認証モジュール１２５（図２を参照）は（２２７で）移動体サービス交換局１１０（図１参照）とのセッションが確立されたかどうかを判定し、受信したＲＡＮＤ呼び掛けとＭＡＣ値とに基づいてデータ・ネットワーク１２９にアクセスする。アクセス端末１２０がＥＡＰサーバ１４５を認証することが可能であればセッションを確立することができる。下記のように、本発明の一実施形態では、受信したＭＡＣ値が有効であると決定した後で、また、受信したＲＡＮＤ呼び掛けのいずれの２つも同一（または実質的に同一）ではないと決定した後で、アクセス端末１２０はセッションを確立する。

アクセス端末１２０はＥＡＰサーバ１４５から送信されたＲＡＮＤ呼び掛けのそのＭＡＣ値を別に計算し、次いで、計算したＭＡＣ値を受信したＭＡＣ値と比較することで受信したＭＡＣ値の有効性を検証する。アクセス端末１２０は初期の鍵Ｋ_ｉを使用できるので、アクセス端末１２０ＥＡＰサーバ１４５が計算するのと同様にＭＡＣ値を計算できる。ＥＡＰ−ＳＩＭプロトコルでは、アクセス端末１２０は受信したＭＡＣ値が有効であるとの判定に基づいてＥＡＰサーバ１４５を認証できる。ただし、受信したＭＡＣ値の有効性に基づく認証は限定された機密保護しか提供しないことがある。これは、成り済ました者が６４ビットのＫ_Ｃ鍵の値を正しく推測してアクセス端末１２０とのセッションを確立する可能性があるからである。すなわち、Ｋ_Ｃの値を正しく推測することで、成り済ました者はマスタ鍵（ＭＫ）を計算して認証鍵ｋを引き出し、今度はそれを用いてＭＡＣ値を決定することができる。成り済ました者はＭＡＣ値をアクセス端末１２０に送信して自らを認証し、その後、アクセス端末１２０と無権限の会話を完全に行う。さらに、ＥＡＰ−ＳＩＭプロトコルによって許される複数のＧＳＭトリプレットの複数のＲＡＮＤ呼び掛けを送信することにより、認証手順がより安全になるとは必ずしもいえない。これは、ＲＡＮＤ呼び掛けの各々が一意でなければならないという制約がないためである。したがって、成り済ました者は所与のＲＡＮＤ呼び掛けについてＫ_Ｃの値を正しく推測し、Ｋ_Ｃの複数の複製に基づいてマスタ鍵を計算し、マスタ鍵に基づいて有効なＭＡＣ値を計算することができる。

無権限のアクセスの可能性を減らすために、本明細書に２つの実施形態を記載する。第１の実施形態は本発明の一実施形態の図３のブロック２２７の流れ図を示す図４に示されている。図を見やすくするために、ＥＡＰサーバ１４５は認証のために複数のＲＡＮＤ呼び掛けと、これらのＲＡＮＤ呼び掛けの１つのＭＡＣ値を送信するものとする。図４を参照すると、認証モジュール１２５（図２を参照）は受信したＲＡＮＤ呼び掛けのうちいずれか２つが同一であるかどうかを（４０５で）判定する。ＲＡＮＤ呼び掛けのうちいずれの２つも同一でない場合（言い換えれば、ＲＡＮＤ呼び掛けがすべて一意であれば）、認証モジュール１２５はＥＡＰサーバ１４５から受信したＭＡＣ値が有効かどうかを（４１０で）判定する。上記のように、アクセス端末１２０はＥＡＰサーバ１４５から送信されたＲＡＮＤ呼び掛けのそのＭＡＣ値を別に計算し、計算したＭＡＣ値を受信したＭＡＣ値と比較することで受信したＭＡＣ値の有効性を検証する（４１０で）ことができる。２つのＭＡＣ値が一致しない場合、アクセス端末１２０は（４１２で）ＥＡＰサーバ１４５から受信した（図３の参照番号２２５を参照）呼び掛け要求を無視する。規定の時間内に有効なＭＡＣ値を受信しなかった場合、認証は失敗し、接続は確立されない。

受信したＭＡＣ値が有効であると認証モジュール１２５が（４１０で）判定すると、認証モジュール１２５は受信したＲＡＮＤ呼び掛けに基づいてＳＲＥＳ値を（４１５で）計算し、次いでＳＲＥＳ値の中のＭＡＣ値を決定する。別の実施形態では、認証モジュール１２５は、暗号鍵、ＲＡＮＤ呼び掛けなどの他の情報に基づいてＭＡＣ値を決定できる。次いでＭＡＣ値は応答−呼び掛けパケット（図３の参照番号２３０を参照）内でＥＡＰサーバ１４５に（４１７で）送信される。アクセス端末１２０からＭＡＣ値を受信したＥＡＰサーバ１４５は、ＭＡＣ値の有効性を検証し、ＭＡＣ値が有効と判定された場合、アクセス端末１２０に成功信号（図３の参照番号２４５を参照）を送信する。成功信号を受信すると、認証モジュール１２５はアクセス端末１２０と移動体サービス交換局（１１０、図を参照）との間に（４２０で）セッションを確立する。

ＥＡＰサーバ１４５から受信した複数のＭＡＣ値のうち少なくとも２つが同一であると認証モジュール１２５が（４０５で）判定した場合、認証モジュール１２５はアクセス端末１２０との間にセッションを確立する前に一意の有効なＲＡＮＤ呼び掛けを送信するようにＥＡＰサーバ１４５に要求する。ＲＡＮＤ呼び掛けの各々が一意であることを要求することで、非良心的な当事者は少なくとも２つの異なる値（例えば、Ｋ_ｃ鍵）を正しく推測してアクセス端末１２０とのセッションを確立しなければならないため、認証手順はより安全になる。

ＥＡＰサーバ１４５からのＭＡＣ値が一意でないと（４０５で）判定されると、認証モジュール１２５はいくつかの方法の１つでＥＡＰに新しいＲＡＮＤ呼び掛けを送信させる。一実施形態では、認証モジュール１２５はＥＡＰサーバ１４５からの呼び掛け要求（図３の参照番号２２５を参照）を（４２５で）無視することができる。事前選択された時間が満了すると、ＥＡＰサーバ１４５は新しいＲＡＮＤ呼び掛けとそれに対応するＭＡＣ値とを送信できる。別の実施形態では、認証モジュール１２５はＥＡＰサーバ１４５からの呼び掛け要求を（４３０で）拒否し、さらにＥＡＰサーバ１４５に新しいＲＡＮＤ呼び掛けとそれに対応するＭＡＣ値とを送信させることができる。さらに別の実施形態では、認証モジュール１２５はアクセス端末１２０との間で（４３５で）セッションを確立させ、その後接続を終了し、したがってＥＡＰサーバ１４５に新しいＲＡＮＤ呼び掛けとそれに対応するＭＡＣ値とを送信させることができる。

このように、本発明の１つまたは複数の実施形態によれば、受信したＲＡＮＤ呼び掛けの各々が互いに異なることをアクセス端末が要求する場合には認証手順がより安全になる。この手法は、提案されたＥＡＰ−ＳＩＭプロトコルに大幅な変更を加えず、または全く変更を加えずにＥＡＰ−ＳＩＭプロトコルの状況において採用できる。図３の認証手順を確実にする別の実施形態は、署名付き応答（ＳＲＥＳ）をマスタ鍵（ＭＫ）の計算の一部とすることを要求することを含む。したがって、上記の式（１）を以下のように式（２）として書き直すことができる。
ＭＫ＝ＳＨＡ［．．．、暗号鍵（Ｋ_ｃ１、Ｋ_ｃ２、Ｋ_ｃ３）、ＳＲＥＳ_１、ＳＲＥＳ_２、ＳＲＥＳ_３、ＲＡＮＤ_ｃ、．．．］ （２）

ＳＲＥＳ値を含むようにマスタ鍵を定義すると、非良心的な当事者はＫ_ｃだけでなくＳＲＥＳ値の正しい値を推測しなければならないので認証はより安全になる。式（２）はＥＡＰサーバ１４５が３つのＧＳＭトリプレッツを使用する（Ｋ_ｃ１、Ｋ_ｃ２、Ｋ_ｃ３、ＳＲＥＳ_１、ＳＲＥＳ_２、およびＳＲＥＳ_３の各項があるため）ことを前提にするが、この式は単一のトリプレットまたは任意の他の数のトリプレットで使用するように容易に変更できる。ＭＫを計算するために式（２）を使用すると、１つのトリプレット（したがって、１つのＲＡＮＤ呼び掛け）しか使用しなくても認証はより安全になる。これは敵がＫ_ｃの値だけでなくＳＲＥＳ値も正確に予測しなければならないからである。ＭＫの計算を変更するこの別の実施形態では、ＥＡＰ−ＳＩＭプロトコルがマスタ鍵の計算のためのアルゴリズムを定義する限り、ＥＡＰ−ＳＩＭプロトコルを変更する必要がある。

一実施形態では、図３および図４の認証手順で式（１）の代わりに式（２）を使用してもよい。すなわち、一実施形態では、認証手順はマスタ鍵の計算にＳＲＥＳ値を含ませる（式（２）に示すように）ことができ、さらに、ＥＡＰサーバ１４５に複数のＧＳＰトリプレットを使用する場合に一意のＲＡＮＤ呼び掛けを送信させる手順を含ませることもできる。

図３は相互認証手順を示すが、本発明の１つまたは複数の上記の実施形態が一方的認証手順にも適用できることを理解されたい。片務的認証手順では、ＥＡＰサーバ１４５は、例えば、アクセス端末１２０に１つまたは複数のＲＡＮＤ呼び掛けを送信し、アクセス端末１２０が受信したＲＡＮＤ呼び掛けに応答することでアクセス端末１２０を認証することができる。

例示するために、本発明の１つまたは複数の実施形態を無線通信システムの状況で述べている。ただし、別の実施形態では、本発明を有線ネットワークで実施することもできることを理解されたい。さらに、本発明は音声専用通信または音声およびデータ通信をサポートするシステムに適用可能である。

本明細書のさまざまな実施形態で例示したさまざまなシステム層、ルーチン、またはモジュールは実行可能な制御装置（図２の制御装置１２２など）であってもよいことは当業者には明らかであろう。制御装置１２２はマイクロプロセッサ、マイクロコントローラ、デジタル信号プロセッサ、プロセッサ・カード（１つまたは複数のマイクロプロセッサまたはマイクロコントローラを含む）、またはその他の制御もしくは演算装置を含むことができる。本明細書で言及した記憶装置はデータおよび命令を記憶する１つまたは複数のマシン可読記憶媒体を含むことができる。記憶媒体は、動的または静的ランダム・アクセス・メモリ（ＤＲＡＭまたはＳＲＡＭ）、消去可能なプログラマブル読み出し専用メモリ（ＥＥＰＲＯＭ）、電気的に消去可能なプログラマブル読み出し専用メモリ（ＥＥＰＲＯＭ）およびフラッシュ・メモリなどの半導体メモリ・デバイス、固定、フロッピー（登録商標）、着脱式ディスク、テープなどのその他の磁気媒体、およびコンパクト・ディスク（ＣＤ）またはデジタル・ビデオ・ディスク（ＤＶＤ）などの異なる形態のメモリを含むことができる。さまざまなシステム内でさまざまなソフトウェア層、ルーチン、またはモジュールを構成する命令はそれぞれの記憶装置内に記憶できる。命令がそれぞれの制御装置１２２によって実行されると、対応するシステムはプログラミングされた処理を実行する。

上記で開示されている特定の実施形態は例示的なものにすぎない。本発明は本明細書の教示の恩恵にあずかる当業者には明らかな、異なったまたは均等な形で変更し、実施することができる。さらに、本明細書に示す詳細な構成または設計は特許請求の範囲に記載する場合を除いて限定されない。したがって、上記で開示した特定の実施形態は改変および変更ができ、そのような変形形態はすべて本発明の範囲と精神を逸脱するものではないことは明らかである。したがって、本明細書で述べた保護策は特許請求の範囲に記載する。

本発明の一実施形態による通信システムのブロック図である。 本発明の一実施形態によるアクセス端末のブロック図である。 本発明の一実施形態による、図１の通信システム内で実行される認証手順の例示的なメッセージの流れ図である。 本発明の一実施形態による、図１の通信システム内で採用できる方法の流れ図である。

Claims (9)

1. 通信システム内で認証を実行する方法であって、
   サーバからの第１及び第２のランダムな呼び掛けを含む認証要求を受信するステップと、
   該第１のランダムな呼び掛けと該第２のランダムな呼び掛けとを比較するステップと、
   該第１のランダムな呼び掛けが該第２のランダムな呼び掛けと同一であると決定したことに応答して該認証要求を拒否するステップ及び、
   該第１のランダムな呼び掛けが該第２のランダムな呼び掛けと異なると決定したことに応答して該サーバに符号化された値を送信するステップであって、該符号化された値は、該第１及び該第２のランダムな呼び掛けと、無線チャネル上で送信されない鍵とに基づいて生成されるステップからなる方法。
   
2. 該認証要求を拒否するステップが、該認証要求に応答しないステップ、サーバからの要求を拒否するステップ及び、音声及びデータ通信の少なくとも１つのセッションを確立し、該セッションを終了するステップの少なくとも１つを実行するステップからなる請求項１に記載の方法。
   
3. 該サーバへの最初のランダムな呼び掛けに応答して、該第１のランダムな呼び掛けと該第２のランダムな呼び掛けの少なくとも１つに対応するメッセージ認証コードを受信するステップからなる請求項１に記載の方法。
   
4. 該受信したメッセージ認証コードが有効かどうかを検証するステップ及び、該メッセージ認証コードが有効であると決定したことに応答して通信セッションを確立するステップからなる請求項３に記載の方法。
   
5. 該受信したメッセージ認証コードを検証するステップが、
   該第１のランダムな呼び掛けと該第２のランダムな呼び掛けとに対応する１つまたは複数の暗号鍵に基づいてマスタ鍵を決定するステップ、
   該マスタ鍵に基づいてメッセージ認証コードを計算するステップ及び、
   該計算されたメッセージ認証コードと該受信したメッセージ認証コードとを比較するステップからなる請求項４に記載の方法。
   
6. 該認証要求を受信するステップが、第３のランダムな呼び掛けを含む該認証要求を受信するステップからなり、該認証要求を拒否するステップが、該受信したランダムな呼び掛けのいずれか２つが同一である場合に該要求を拒否するステップからなる請求項５に記載の方法。
   
7. 通信システム内で認証を実行する装置であって、
   サーバからの第１及び第２のランダムな呼び掛けを含む認証要求を受信するように構成された受信機及び、
   該受信機に通信可能に接続され、該第１のランダムな呼び掛けと該第２のランダムな呼び掛けとを比較し、
   該第１のランダムな呼び掛けが該第２のランダムな呼び掛けと同一であると決定したことに応答して該認証要求を拒否し、
   該第１のランダムな呼び掛けが該第２のランダムな呼び掛けと異なると決定したことに応答して該サーバに符号化された値を送信するように構成された制御装置からなり、該符号化された値が、該第１及び該第２のランダムな呼び掛けと、無線チャネル上で送信されない鍵とに基づいて生成される装置。
   
8. 該制御装置が、該第１のランダムな呼び掛けと該第２のランダムな呼び掛けが一意でないという判定に基づいて該認証要求を無視するか、該制御装置が、該第１のランダムな呼び掛けと該第２のランダムな呼び掛けが一意でないという判定に基づいて該サーバからの該要求を拒否するか、該制御装置が、該第１のランダムな呼び掛けと該第２のランダムな呼び掛けが一意でないという判定に基づいて音声及びデータ通信の少なくとも１つのセッションを確立し、該セッションを終了するか、その少なくとも１つを実行するように構成された請求項７に記載の装置。
   
9. 該制御装置が該第１のランダムな呼び掛け及び該第２のランダムな呼び掛けに対応するメッセージ認証コードを受信するように構成された請求項８に記載の装置。

Images