JP4782139B2 - モバイルユーザーをトランスペアレントに認証してウェブサービスにアクセスする方法及びシステム - Google Patents

Description

本発明はパケットデータネットワーク、例えばインターネットに対して第１ネットワークの加入者を識別するための認証方法及びシステムに関する。特に、本発明は、モバイルネットワークにおける加入者に関連付けられた加入者の識別を利用することにより、パケットデータネットワークに対するモバイルネットワークの加入者の認証に使用するために開発された。

遠く離れた場所からプライベート又はパブリックのパケットデータネットワーク（ＰＤＮ）、例えば、インターネットにアクセスするユーザー数が非常に多くなってきている。加えて、場所に関わりなく人々に利用可能なマルチメディアサービスのビジョンの下で、パケット交換接続を用いた（例えばインターネットプロトコル（ＩＰ）を用いた）携帯電話網の開発を推進してきた。このことは、仮想接続がネットワークにおける他のエンドポイントに常に利用可能であることを意味する。パケットベースの無線通信サービスの規格としては、ＧＰＲＳ（General Packet Radio Service）、ＥＤＧＥ（Enhanced Data Rate for GSM Evolution）、及びＵＭＴＳ（Universal Mobile Telecommunications Service）が挙げられる。

近年は、コストの低下と増え続ける接続能力とにより、さらに高速度のデータ通信システムが顧客の敷地に設置されてきている。これらのデータ通信システムは、例えば公衆交換電話網（ＰＳＴＮ）の同じツイストペア銅線上で機能してインターネットに接続する。通常の電話線上でのインターネット接続は、他の高速モデムが使用されていても、デジタル加入者線（ＤＳＬ）アクセス技術により行われる。ＤＳＬは加入者の家庭と最寄りの電話局との間で電話サービスを家庭に持ち込むのに用いられる標準的な銅線上における高速データ転送を可能にする専用モデムを使用する。いくつかのＤＳＬ通信スキーム（一般にｘＤＳＬ技術と称される）があるが、商業的に利用可能な最も一般的な形式の一つは、下流への（すなわち加入者への）データ転送速度が上流への（すなわち加入者からの）データ転送速度よりも数倍速いＡＤＳＬ（非対称ＤＳＬ）である。

近年関心が示されてきた別のアクセス技術は、ＦＴＴＨ（Fibre-To-The-Home）であり、これは、光ファイバーが交換機から加入者の敷地まで設けられた高速広帯域アクセスシステムである。

短距離の無線インターネット接続においては、無線能力が内蔵されたコンピュータ又はハンドセット（例えば、ＰＤＡ）が、アクセスポイント又はゲートウェイの範囲内のどこでもデータを送受信するために無線技術を用いる。このアクセスポイントは、放送及び受信の基地局として機能すると共に、無線ネットワークと有線ネットワークとの間のインターフェースとして機能する。例えば、無線デバイスとアクセスポイントとの間の無線技術は、ＩＥＥＥ ８０２．１１規格（Ｗｉ−Ｆｉ（登録商標）仕様）又はＩＥＥＥ ８０２．１６規格（ＷｉＭＡＸ仕様）に基づくことができる。

広帯域アクセス技術は、サービスプロバイダがコンテンツを拡充すると共にビジネスユーザーと家庭ユーザーの両方にサービス提供することを可能にしてきた。例えば、一人のユーザーは、１以上のサービスプロバイダから音声サービス、インターネットアクセスサービス、映像サービス、ゲームサービスなどの複数のサービス又はアプリケーションを申し込むことができる。プライベート又はパブリックＰＤＮ（例えば、インターネット）を介して利用可能なこれらのサービス及び／又はアプリケーションは、ＤＳＬ線などの単一のネットワーク接続上で提供できる。

一方、ＰＤＮ上で利用可能な絶え間なく増大する数のサービスでは、ペイ・パー・セッション方式のサービス、加入申し込みが必要なサービス、又はユーザーのプロフィールに従ってカスタマイズされたサービスの場合には、許可されたユーザーにのみアクセスを許可している。従来のいくつかの認証手順では、パスワード、例えば自動手段により認識される文字列を使用することで、保護されたファイル、又は入力／出力デバイスにユーザーがアクセスすることを可能にする。

出願人は以下のことを考慮した。第１に、もちろんパスワードを用いた認証システムはユーザーに対してトランスペアレントでなく、ユーザーはサービスに同意するときパスワードを入力しなければならない。このことは、ユーザーがセッション中に複数のサービスにアクセスすることを欲する場合には特に望ましくない。第２に、実装するのは技術的には簡単だけれども、パスワードは複製されやすく又は盗まれやすいので危うい。

モバイル通信システムは、許可されたユーザーに対応する移動局により利用されるネットワークのリソースを制御する。従来のＧＳＭ（Global System for Mobile communications）では、移動局（ＭＳ）が加入者識別モジュール（ＳＩＭ）を含み、このＳＩＭは、ＭＳがＧＳＭシステムのネットワークインフラストラクチャにアクセスすることを許可するのに用いられるデータを含んだ加入者の情報を有する。ＳＩＭは個々の加入者を識別する固有の手段を与えるので、セキュリティデバイスとみることができる。ＳＩＭは暗号法と、外部から明確な形式にて決して明かされない秘密情報を記憶する固有の計算能力とを使用する。

従来のＧＳＭネットワークシステムでは、いくつかのデータベースが呼制御のためや認証及びセキュリティの目的のために利用可能であり、代表的なものとして、ホーム・ロケーション・レジスタ（ＨＬＲ）、ビジター・ロケーション・レジスタ（ＶＬＲ）、認証センター（ＡＵＣ）、及び装置識別レジスタ（ＥＩＲ）がある。ネットワークオペレータにより登録されたすべてのユーザーに対して、一時データ（ユーザーの現在の場所）だけでなく不変データ（ユーザーのプロフィールなど）もＨＬＲに記憶される。ユーザーへの呼の場合、常に最初にＨＬＲに問い合わせてユーザーの現在の場所を求める。ＶＬＲは一群の場所領域を担当し、担当領域内に現在いるユーザーのデータを記憶する。これは、より速いアクセスのためにＨＬＲからＶＬＲに転送された不変ユーザーデータの一部を含む。しかし、ＶＬＲは一時識別などのローカルデータを割り当てて記憶することもできる。ＡＵＣは認証及び暗号化に用いられるキーなどのセキュリティ関係のデータを生成し記憶し、一方ＥＩＲは加入者データではなくてむしろ装置データを登録する。

ＧＳＭはユーザーと装置とを明確に区別し、それらを別々に扱う。いくつかの加入者及び装置の識別子が定義されているが、加入者の移動を管理する必要があり、また残りのネットワーク要素すべてをアドレス指定する必要もある。国際移動局装置アイデンティティ（ＩＭＥＩ）は一種のシリアルナンバーであり、国際的に移動局（ＭＳ）を一意的に識別する。ＩＭＥＩは装置製造業者により割り当てられ、ネットワークオペレータにより登録される。ネットワークオペレータはそれをＥＩＲに記憶する。登録された各ユーザー、すなわち加入者は、その国際モバイル加入者アイデンティティ（ＩＭＳＩ）により一意的に識別される。一般に、ＩＭＳＩはＳＩＭ中に記憶される。有効なＩＭＳＩを有するＳＩＭが有効なＩＭＥＩを有する装置に挿入された場合にのみ、ＭＳを操作できる。移動局の「実際の電話番号」はモバイル加入者ＩＳＤＮ番号（ＭＳＩＳＤＮ）である。これは、移動局セットがＳＩＭに依存していくつかのＭＳＩＳＤＮを有することができるように、加入者（すなわち、加入者のＳＩＭ）に割り当てられる。

ＧＰＲＳ（General Packet Radio Service）はデジタル携帯電話網（例えば、ＧＳＭ又はＰＣＳ（Personal Communication Service））のために設計され、当初はＧＳＭのために開発されたサービスである。ＧＰＲＳはパケットデータネットワーク、例えばインターネットへの無線アクセスを大いに改善し簡単にする。これは移動局と外部のパケットデータネットワークとの間でユーザーデータパケットを効率的に転送するためにパケット無線原理を適用する。パケットは、ＧＰＲＳ移動局から他のＧＰＲＳ端末若しくはＰＤＮに、又は他のＧＰＲＳ端末若しくはＰＤＮからＧＰＲＳ移動局に直接ルーティングできる。インターネットプロトコル（ＩＰ）に基づいたネットワーク（例えば、グローバルインターネット又はプライベート／企業イントラネット）やＸ．２５ネットワークは、現在のバージョンのＧＰＲＳでサポートされている。

ＧＰＲＳはネットワークリソースと無線リソースの使用を最適化し、ＧＳＭインフラストラクチャの設置されたモバイル・スイッチング・センター（ＭＳＣ）ベースへの変化を要求しない。既存のＧＳＭアーキテクチャーに統合するために、一般にＧＰＲＳアーキテクチャーはＧＧＳＮ（Gateway GPRS Support Node）とＳＧＳＮ（Serving GPRS Support Node）とを備える。ＧＧＳＮはＭＳＣと同じ階層レベルにあり、他のパケットデータネットワーク（例えばインターネット）へのゲートウェイとして機能する。ＳＧＳＮはＧＰＲＳ使用可能モバイルデバイスへの仮想接続及びデータの送出を可能にするサービングノードである。ＳＧＳＮは移動局にデータを送信し移動局からデータを受信し、移動局（ＭＳ）の位置についての情報を維持する。ＳＧＳＮはＭＳとＧＧＳＮとの間を通信する。

一般にＧＰＲＳセキュリティ機能は既存のＧＳＭセキュリティと同等である。ＳＧＳＮは既存のＧＳＭにおけるものと同じアルゴリズム、キー及び基準に基づいて認証及び暗号設定手順を実行する。ＧＰＲＳはパケットデータ伝送のために最適化された暗号化アルゴリズムを用いる。

ＧＰＲＳ所属が成功した後に外部ＰＤＮとデータパケットを交換するために、ＭＳはＰＤＮにおいて用いられる１以上のアドレス、例えばＰＤＮがＩＰネットワークである場合にはＩＰアドレスに申し込まなければならない。このアドレスはＰＤＰアドレス（パケットデータプロトコルアドレス）と称する。各セッションでは、セッションの特徴を記述するいわゆるＰＤＰコンテキストが作られる。これは、ＰＤＰタイプ（例えば、ＩＰｖ４）、移動局に割り当てられたＰＤＰアドレス（例えば、164.130.10.10）、要求されるサービスの品質（ＱｏＳ）、及びＰＤＮへのアクセスポイントとして働くＧＧＳＮのアドレスを含む。このコンテキストはＭＳ、ＳＧＳＮ、及びＧＧＳＮに記憶される。アクティブＰＤＰコンテキストにより、移動局は外部のＰＤＮに「見え」、データパケットを送信及び受信することができる。これら２つのアドレスであるＰＤＰとＩＭＳＩとの間のマッピングにより、ＧＧＳＮがＰＤＮとＭＳとの間でデータパケットを転送することができる。ユーザーは所与の時間にアクティブないくつかの同時ＰＤＰコンテキストをもつことができる。

特許出願第ＷＯ０１／６７７１６号には、モバイル端末のＭＳＩＳＤＮ番号を、無線アプリケーションプロトコル（ＷＡＰ）ネットワークにおいて認証、ビリング及び個人化プロセスで使用するために一時的に割り当てられたＩＰアドレスと関連付ける方法が記載されている。

特許出願第ＷＯ０１／０３４０２号には、第１ネットワーク（すなわち、ＧＰＲＳネットワーク）の加入者を第２ネットワーク（例えば、ＩＰネットワーク）において識別するための認証方法が記載されており、第２ネットワークのアドレスは加入者に割り当てられている。第２ネットワークのアドレス（例えば、ＩＰアドレス）と加入者のアイデンティティとの間のマッピングについての情報が生成され、第２ネットワークに送信される。この加入者のアイデンティティは、加入者のＩＭＳＩ及び／又はＭＳＩＳＤＮとし得る。

出願人が分かったことは、加入者のアイデンティティをＩＰアドレスに関連付けることによってＩＰネットワークへのアクセスを認証することは、一般にＩＰパケットの偽装に弱く、インターネット上の侵入者がローカルシステムのＩＰアドレスを有効に装うことを可能にしていることである。加えて、これら２つのネットワークは（ルーティング可能なプライベートＩＰアドレスを利用して）どちらかを直接接続するか、又は互換性のあるアドレス計画を必要とする。

特許出願第ＷＯ０１／１７３１０号には、ＧＳＭセキュリティ原理を適用することによってＰＤＮへのアクセスを要求しているユーザーを認証するシステムが記載されている。遠隔のホストがアクセスネットワークを介してＰＤＮに接続され、ＭＳがＰＤＮに接続されたモバイルネットワークにつながれている。ＰＤＮへのユーザー要求を受信すると、ＰＤＮは認証トークンを生成してアクセスネットワーク及び遠隔ホストを介してユーザーに送信し、ユーザーは認証トークンをモバイルネットワーク上にてＰＤＮに送り戻す。その際、ＰＤＮは認証トークンを比較してＰＤＮへのユーザーアクセスを認めるか否かを決める。

出願人は、開示されている認証システムはユーザーにトランスペアレントではなく、ユーザーは認証を待たなければならず、また受信した認証トークンをＰＤＮに送り戻さなければならないことが分かった。さらに、遠隔のサーバーはユーザーの電話番号を知らなければならないので、開示されたシステムはユーザーのプライバシーを危うくし得る。

米国特許出願第２００４／０１３２４２９号には、モバイル端末プログラミング又はなんらかのＰＯＰ３若しくはＳＭＴＰパラメータについて特別の知識なしに、モバイル通信ネットワークを介して電子メールアカウントにアクセスする方法及びシステムが開示されている。モバイル端末はデフォルトのＰＯＰ３／ＳＭＴＰサーバーアドレスを用いて予め構成される。電子メールアカウントにアクセスするため、標準的なＰＯＰ３／ＳＭＴＰを用いるモバイルネットワークを介してモバイル端末クライアントとプロクシーサーバーとの間に通信が確立される。ユーザーは単にユーザーのＭＳＩＳＤＮに基づいて電子メールアカウントへのアクセスが許可され得る。

ＵＭＴＳ（Universal Mobile Telecommunications Service）はＧＳＭ／ＧＰＲＳネットワークの直接的な発展であると見ることができる。ＵＭＴＳのセキュリティ機能は、ＧＳＭにおいて実装されたもの（例えば加入者の認証など）に基づいているが、これらのセキュリティ機能のいくつかは追加されたものであり、いくつかの既存のものは改良されてきた。

パケット交換は、メッセージデータの比較的短いブロックであるデータパケットを利用する。パケットは非同期転送モード（ＡＴＭ）におけるように固定長としてもよいし、フレームリレー若しくはインターネットプロトコル（ＩＰ）におけるように可変長としてもよい。望ましいシナリオの一つは、パケット交換無線ネットワークインフラストラクチャがインターネット電話をサポートする。インターネット電話又はＩＰ電話は、インターネット能力とＰＳＴＮ機能を融合するアプリケーション類である。ＩＰ電話アプリケーションは、インターネットインフラストラクチャ上でのリアルタイムの音声トラヒックの伝送と、既存のＰＳＴＮインフラストラクチャとのシームレスの統合とを可能にする。ＩＰ電話は音声呼（一般にＶｏＩＰ（Voice over IP）と称する）に主に焦点を当てているが、ファックス、映像及びモデムデータなどの他の音声帯域又はマルチメディアアプリケーションを送るのにも使用できる。

ＩＰ電話をサポートするために開発されたプロトコルはＳＩＰ（セッション・イニシエーション・プロトコル（Session Initiation Protocol））である。ＳＩＰは、マルチメディアセッションの設定、変更、及び解除を扱うための送信プロトコルであり、それと共に用いられるプロトコルと共同で、潜在的なセッション参加者に対する通信セッションのセッション特性を記述する。これらのセッションとしては、インターネットマルチメディア会議、インターネット電話呼及びマルチメディア配信が挙げられる。セッションを創出するのに用いられるＳＩＰ送信勧誘は、１組の互換性のあるメディアタイプについて参加者が合意することを可能にするセッション記述を伝える。ＳＩＰはユーザーの現在の場所に要求をプロクシーする又は再送することによってユーザーの移動性をサポートする。通常、通信セッション中にマルチメディア（オーディオ、音声又はデータ）を交換するのにリアルタイムプロトコル（ＲＴＰ）が用いられるが、ＳＩＰにより任意のトランスポートプロトコルを使用できる。ＳＩＰはクライアント-サーバーモデルを使用し、該モデルではクライアントはＳＩＰ要求を起こし、その要求にサーバーが応答する。ＳＩＰでは、エンドポイントエンティティはユーザーエージェントと称され、クライアント（ユーザーエージェントクライアント）、すなわちＳＩＰ要求の創出者と、応答を返すサーバー（ユーザーエージェントサーバー）との両方である。

ＳＩＰはインターネットにおいて利用されているが、インターネットは、ＳＩＰ要素とメッセージがセキュリティについて様々な脅威及び攻撃にさらされ得る不利な環境と考えられる。ＳＩＰベースのシステムでは、認証手段は、アプリケーション層、トランスポート層及びネットワーク層を含めて種々の層にて有効にし得る。

Ｈ．Ｔｓｃｈｏｆｅｎｉｇら「Ｕｓｉｎｇ ＳＡＭＬ ｆｏｒ ＳＩＰ」〔２００４年８月３１日現在インターネット（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｉｎｔｅｒｎｅｔ−ｄｒａｔｆｓ／ｄｒａｆｔ−ｔｓｃｈｏｆｅｎｉｇ−ｓｉｐ−ｓａｍｌ−００−ｔｘｔ）からダウンロードされる〕には、許可機構を提供するためにＳＩＰと共同でＳＡＭＬ（Security Assertion Markup Language）を使用する方法が提案されている。強化ネットワーク・アサート・アイデンティティのシナリオが記載されており、この強化は認証サービス（ＡＳ）によりアサートされた属性に基づいている。第２のユーザーと通信することを欲する第１のユーザーがＳＩＰ ＩＮＶＩＴＥを好ましいＡＳに送信する。選ばれたＳＩＰセキュリティ機構に依存して、ダイジェスト認証、Ｓ／ＭＩＭＥ又はトランスポート層セキュリティが、ＡＳに第１のユーザーのアイデンティティについての強い確信を付与するのに用いられる。第１のユーザーが認証され許可された後、ＳＡＭＬアサーションがＳＩＰメッセージに添付される。

インターネット上で提供を開始するサービスの数がますます増加しているので、これらのサービスにアクセスするために効果的で安全なシングル・サイン・オン（ＳＳＯ）機構を提供できることが重要になってきた。しばしば、インターネット上で提供されるサービスは、互いに遠く離れた場所にある複数のサーバー上に届けられる。ＳＳＯ機構により、ユーザーは１又は少数のサーバー上で実施される認証手順を介して複数の遠隔サーバー上に届けられる複数のサービスを使用するために、ユーザーのアイデンティティ及び許可を認証できる。

特許出願第ＷＯ０１／７２００９号には、サービスにアクセスする許可を要求したユーザーにトークンが転送されるＳＳＯ認証機構が開示されている。このトークンはある期間の間だけ有効にし得る。認証関連の機能はサービスから分離され、セッション中に上記の複数のサービスから新しいサービスにアクセスするために認証を再調整する必要はない。トークンが転送される前に、ユーザーはサービスへのアクセスを許可してもらうためにユーザーの証明、例えばユーザー名及びパスワードを伝えることによって登録する。

リバティ・アライアンス・プロジェクト（Liberty Alliance Project）は連合アイデンティティ及びアイデンティティベースのサービスのためのオープンな標準組織である。これはユーザーがリバティ・エネーブルド・サイト（Liberty-enabled site）にて一回サインオンし、再度の認証の必要なく別のリバティ・エネーブルド・サイトに進むときシームレスでサインオンすることを可能にするＳＳＯの規格を提供する。「Ｌｉｂｅｒｔｙ ＩＤ−ＷＳＦ−Ｗｅｂ Ｓｅｒｖｉｃｅｓ Ｆｒａｍｅｗｏｒｋ」〔ｈｔｔｐ：／／ｗｗｗ．ｐｒｏｊｅｃｔｌｉｂｅｒｔｙ．ｏｒｇ／ｒｅｓｏｕｒｃｅｓ／ｗｈｉｔｅｐａｐｅｒｓに公開〕には、Ｌｉｂｅｒｔｙ ＩＤ−ＷＳＦの構成要素の概要が示されている。メッセージ保護機構は、ウェブ・サービス・セキュリティ（ＷＳ−セキュリティ）仕様に従うＳＯＡＰヘッダーブロック中のＳＡＭＬアサーションの伝搬などのトークンベースの機構を含み得る。

特許出願第ＷＯ２００４／０６４４４２号には、国内ネットワークオペレータの連合(federation)を含む多国籍モバイルネットワークオペレータのパケット無線ネットワークにおけるユーザーローミングのためにＳＳＯサービスを提供する電気通信方法及びシステムが開示されており、これらの国内ネットワークオペレータの一つがユーザーの契約を保持している。この電気通信システムは、当該連合に含まれる任意の国内ネットワークオペレータの加入者であるユーザーにＳＳＯサービスを提供するために、多国籍モバイルネットワークオペレータ連合とサービス協定を締結した幾つかのサービスプロバイダを更に含む。各サービスプロバイダは、該連合におけるエントリーポイントとしてグローバルＳＳＯフロントエンドインフラストラクチャにユーザーをリダイレクトするための手段；認証アサーション（ＳＡＭＬアサーション）又はそのレファレンスであるトークンをユーザーから受信するための手段；アサーションが生成されたサイトからアサーションを取り出すための手段；及びこのサイトが信用できることを調べるための手段を備える。

米国特許出願第２００３／０１６３７３３号には、サービスプロバイダにアクセスしているユーザー（このユーザーは第１のモバイルネットワークオペレータとの契約を有する）を、前記第２のモバイルネットワークオペレータとの協定を有する第２のモバイルネットワークオペレータの認証ブローカーに向けてリダイレクトするための手段を備えた電気通信システムが開示されている。第１及び第２のモバイルネットワークオペレータは連合に属しており、認証ブローカーは認証プロバイダに向かう連合のエントリーポイントとして機能する。ユーザーは、ＳＳＯサービス要求を実行するために認証プロバイダに明確なアイデンティティ、例えば、ＭＳＩＳＤＮ／ＩＭＳＩを提示する。
特許出願第ＷＯ０１／６７７１６号 特許出願第ＷＯ０１／０３４０２号 特許出願第ＷＯ０１／１７３１０号 米国特許出願第２００４／０１３２４２９号 特許出願第ＷＯ０１／７２００９号 特許出願第ＷＯ２００４／０６４４４２号 米国特許出願第２００３／０１６３７３３号

発明の概要
本発明はパケットデータネットワーク（ＰＤＮ）である第２ネットワークを介してアクセス可能なアプリケーションサービスにアクセスするために第１ネットワークの加入者を認証する方法及びシステムに関する。アプリケーションサービスとは、この場合にはトランスポートレベルより上のレベル（１つ又は複数）として表すことができるアプリケーションレベルにて定義されるサービスを意味する。特に、アプリケーションレベルは、ＯＳＩ（Open System Interconnection）モデルにおいて定義されたレイヤ７、又はＴＣＰ／ＩＰモデルによるレベル５により（非限定的に）表すことができる。アプリケーションサービスの例はウェブサービスであり、これは一般にＨＴＴＰ ＧＥＴ／ＰＯＳＴ、ＳＭＴＰ、又はＳＯＡＰ ｏｖｅｒ ＨＴＴＰ、ウェブサイト（一般にブラウザを使用してアクセスされる）又はＶｏＩＰなどのプロトコルを用いてクライアントアプリケーションにより消費される。

出願人はＧＳＭネットワークなどの第１ネットワークの加入者は当該ネットワーク内で高レベルのセキュリティで認証されることに気付いた。

出願人は第１ネットワークが固定回線アクセスネットワークである場合には当該ネットワーク内で高レベルのセキュリティで加入者のアイデンティティを確認できることに更に気付いた。ｘＤＳＬ技術の場合のように固定アクセスネットワークが公衆交換電話網（ＰＳＴＮ）と共有の有線回線を使用する場合には、顧客敷地装置（ＣＰＥ）とＰＤＮへのゲートウェイとの間の通信において、一般には専用の安全な有線リンク、例えば標準的な銅製の電話線又は光ファイバーが用いられる。

Ｗｉ−Ｆｉ（登録商標）接続などの無線接続は従来からＰＤＮへの無線リンクに起因して相対的に低レベルのセキュリティを特徴としてきたが、近年はネットワークアクセスの相対的に高レベルのセキュリティを保証する解決策が提案されている。高レベルのセキュリティの解決策の例はＩＥＥＥ ８０２．１１ｉセキュリティ規格であり、これは例えばＤ．Ｈａｌａｓｚの「ＩＥＥＥ ８０２．１１ｉ ａｎｄ ｗｉｒｅｌｅｓｓ ｓｅｃｕｒｉｔｙ」〔２００５年９月２０日現在、インターネットのｈｔｔｐ：／／ｗｗｗ．ｅｍｂｅｄｄｅｄ．ｃｏｍ／ｓｈｏｗＡｒｔｉｃｌｅ．ｊｈｔｍｌ？ａｒｔｉｃｌｅＩＤ＝３４４００００２からダウンロードできる〕に記載されている。

出願人はＰＤＮを介してアプリケーションサービスが機能するアプリケーションレベルにて加入者を認証するために、第１ネットワークにおいて定義された加入者アイデンティティを使用できることを見いだした。特に、本発明によると、加入者をトランスペアレントに認証してアプリケーションサービスにアクセスさせることができる。

本発明の好ましい態様では、ＰＤＮを介してサービスを要求する加入者の第１ネットワークはパケット交換モバイルネットワークである。さらに好ましくは、このパケット交換モバイルネットワークはＧＳＭに基づいたＧＰＲＳ規格である。通常、ＰＤＮはモバイルネットワークの外部のネットワーク、例えばＩＰネットワークである。同様に、アプリケーションサービスをホストするアプリケーションサーバーは、加入者がセッションを開始する場所から同一のモバイルネットワーク内でホストされるが、該サーバーは外部のＰＤＮを介してアクセスされる場合にも、本発明が同様に適用される。例えば、アプリケーションサーバーはモバイルオペレータのＶＡＳ（Value-Added Service）プラットフォーム内に存在し得、これはＩＰネットワークにより提供される。特に、ＰＤＮはサービスプロバイダのプライベート又はパブリックのネットワークとし得る。

本発明の別の態様では、ＰＤＮを介してサービスを要求する加入者の第１ネットワークは固定アクセスネットワークであり、この場合、加入者はＰＣにリンクされたＤＳＬモデムや周辺デバイス（例えば電話ハンドセット又はＴＶセットトップボックス）にリンクされた住宅ゲートウェイなどの顧客敷地装置（ＣＰＥ）を用いることによってＰＤＮにアクセスする。ＣＰＥは専用電話回線、専用光ファイバー又はＩＥＥＥ ８０２．１１ｉセキュリティ規格に組み込まれた無線接続などの相対的に安全な有線回線又は無線リンクによって固定アクセスネットワークにアップリンクされる。

本発明の好ましい態様によると、固定アクセスネットワークはｘＤＳＬアクセスネットワークである。
アプリケーションサービス（以下、サービスともいう）にアクセスする要求は、アプリケーションレベルにて定義されたアクセス要求メッセージの形式を有する。

本発明の一態様は、パケットデータネットワーク（ＰＤＮ）である第２ネットワークを介してアプリケーションサービスにアクセスするために第１ネットワークの加入者を認証する方法であって、アプリケーションサービスへの前記アクセスが、データパケット中に入れられたアクセス要求メッセージの形式で行われ、前記データパケットが、前記加入者（加入者のアドレス）に割り当てられた前記第２ネットワークにおけるアドレスと、アプリケーションレベルのプロトコルに従ったシンタックスにより表された前記アクセス要求メッセージとを含み、前記方法が：
ａ）第２ネットワークへのアクセス要求メッセージをインターセプトし；
ｂ）前記アプリケーションレベルのプロトコルを認識し；
ｃ）第１ネットワークにおける前記加入者のアドレスと加入者の第１の識別子との間のマッピングを与え；
ｄ）加入者の第２の識別子を含んだ第１認証トークンを生成し；
ｅ）前記第１認証トークンを前記アクセス要求メッセージに関連付け、そして
ｆ）関連付けられた前記第１認証トークンと共にアクセス要求メッセージを第２ネットワークに送信する；
工程からなることを特徴とする方法に関する。

本発明の別の態様は、パケットデータネットワーク（ＰＤＮ）である第２ネットワークを介してアプリケーションサービスにアクセスするために第１ネットワークの加入者を認証するシステムであって、
第１ネットワークにつながれると共に、データパケット中に入れられたアクセス要求メッセージを生成する加入者局であって、前記アクセス要求メッセージはアプリケーションレベルのプロトコルに従ったシンタックスにより表される前記加入者局と；
前記第２ネットワークにおけるアドレスを前記加入者（加入者のアドレス）に割り当てると共に、加入者のアドレスと第１ネットワークにおける加入者の第１の識別子との間のマッピングを与える割当てサーバーと；
アクセス要求メッセージを加入者局から受信する機能、第１ネットワークと第２ネットワークをインターフェースする機能、及び前記加入者のアドレスを加入者局に割り当てる機能を実行するゲートウェイと；
加入者局で生成されてゲートウェイを介して第２ネットワークに向けられたデータパケットをインターセプトすると共に、データパケット中で少なくとも前記加入者のアドレスを取得する、ゲートウェイにリンクされた第１の論理エンティティと；
第１の論理エンティティにリンクされると共に、下記機能、すなわち：
加入者のアドレス及びアクセス要求メッセージを第１の論理エンティティから受信する機能、
アクセス要求メッセージの前記アプリケーションレベルのプロトコルを認識する機能、
前記加入者の第１の識別子を割当てサーバーに要求する機能、及び
加入者の第２の識別子を含んだ第１認証トークンを前記アプリケーションレベルのプロトコルに従って生成する機能、
を実行する第２の論理エンティティと；
を備え、第１の論理エンティティ又は第２の論理エンティティが前記認証トークンをアクセス要求メッセージに関連付けることを特徴とするシステムに関する。

詳細な説明
図１は本発明の好ましい態様を示す。図１の態様では、第１ネットワークがＧＰＲＳシステムであり、第２ネットワークがＩＰネットワーク１２である。図１の態様は、ＧＰＲＳネットワークの加入者が、加入者の移動局（ＭＳ）２からＩＰネットワークを介して、アプリケーションサーバー１１においてホストされるウェブサイトにてサービスにアクセスすることを欲している代表的なシナリオを表すことができる。ＭＳ２は基地局（ＢＴＳ）３に無線接続され、基地局（ＢＴＳ）３は基地局コントローラ（ＢＳＣ）４に接続する。一般にＢＴＳとＢＳＣとの結合機能は基地局サブシステム（ＢＳＳ）と称される。そこから、サービスＧＰＲＳサポートノード（ＳＧＳＮ）５がＧＧＳＮにアクセスし、ＧＧＳＮはデータネットワーク（この場合にはＩＰネットワーク１２）へのゲートウェイとして働く。ＳＧＳＮ５は一般に既存のＧＳＭと同じアルゴリズム、キー及び基準に基づいた認証及び暗号設定手順を実行する。

携帯電話であり得るＭＳ２は加入者識別モジュール（ＳＩＭ）を含み、加入者識別モジュール（ＳＩＭ）は識別及び認証情報を持っており、それによって携帯電話網がＭＳ端末を携帯電話網内で識別して該電話網内で機能することを許可することができる。

ＧＰＲＳデータを送信及び受信するために、ＭＳ２はサービスにアクセスするのに用いるパケットデータアドレス、すなわち、この態様ではＩＰアドレスをアクティブにする必要がある。加入者がサービスを要求するとき、ＭＳ２は、終端がＧＧＳＮ６にある無線ネットワーク上に要求を送信する。特定のプロトコルを用いて、ＧＧＳＮはそれ自体は公知の認証−許可−課金（ＡＡＡ）サーバー７に要求を送信する。ＡＡＡサーバーは例えばリモート認証ダイアルイン・ユーザー・サービス（ＲＡＤＩＵＳ）サーバー又はダイナミック・ホスト・コンフィグレーション・プロトコル（ＤＨＣＰ）サーバーとし得る。ＡＡＡサーバーがＲＡＤＩＵＳサーバーである場合、ＧＧＳＮはＲＡＤＩＵＳプロトコルを用いてＡＡＡサーバーと通信するためにＲＡＤＩＵＳクライアントを備える。標準的なＧＰＲＳ手順に従い、ＡＡＡサーバーはネットワークアクセス識別子（ＮＡＩ）又は国際モバイル加入者アイデンティティ（ＩＭＳＩ）などのいくつかの属性に基づいて加入者を認証することができる。ＩＭＳＩは特定の加入者に一義的に関連付けられた識別番号である。一般にＩＭＳＩはモバイルネットワークオペレータにより割り当てられ、考えられる特定の加入者に対するビリング及びサービス提供を追跡する。一般にＩＭＳＩはＳＩＭ中に保持される。

別法として、モバイルネットワークにおいて加入者を識別するために移動局国際ＩＳＤＮ番号（ＭＳＩＳＤＮ）を使用できる。しかし、より多くのＭＳＩＳＤＮ、すなわち電話番号を同じＩＭＳＩに関連付けることができるので、ＩＭＳＩは好ましい（しかし限定するものではない）加入者の識別子である。

ＡＡＡサーバーはＩＰアドレスをＭＳに割り当て、それをＧＧＳＮに戻す。ＧＧＳＮはこのＩＰアドレスをＭＳに割り当てる。アドレス割当てに用いられるプロトコルはＧＰＲＳネットワークに特有のものであり、一般にＰＤＰコンテキスト・アクティべーションといわれる。ＡＡＡはデータベースを含み、該データベースでは割り当てられたＩＰアドレスが加入者のアイデンティティ、例えばＩＭＳＩに関連付けられる。

例では１つのＩＰアドレスがＭＳ２に割当てられているが、ＧＧＳＮにより１より多いＩＰアドレスを同じＭＳに割当てることが可能なことも分かる。この場合、ＧＰＲＳ仕様に従い、ＧＧＳＮはＭＳに関連付けられたアクティブ接続（ＰＤＰコンテキスト）についての情報を記憶することができると共に、データパケット伝送においてＭＳにより用いられるＩＰアドレスがＧＧＳＮによりＭＳに割り当てられたＩＰアドレスの１つであるか否かを確認することができる。

ＧＰＲＳ−ＧＳＭネットワークのＳＧＳＮ５、ＧＧＳＮ６及びＡＡＡ７が、ＧＳＭセキュリティスキームを特徴とする同じドメイン内にあることに留意されたい。

本発明の好ましい態様によると、論理エンティティ（ソフトウェアモジュール）１０（以下、セキュリティ・トークン・インジェクター（ＳＴＩ）という）がＧＧＳＮ６に論理的にリンクされる。ＳＴＩはＧＰＲＳ／ＧＳＭネットワークから入ってくるトラヒックを制御するよう配置される。特に、ＳＴＩは、移動局で生成されてＧＧＳＮ６を介してＩＰネットワーク１２に向けられたデータパケットをインターセプトする。

データパケット（例えば、インターネットパケット）は、コアデータと、必要なアドレスと、ネットワークがデータを正しい宛先に送ることができるように添付された管理情報とからなるブロックである。データパケットはアプリケーションにより与えられたコアデータをもって出発する。コアデータはいくつかのヘッダーの層で包まれ、これらの層はＯＳＩモデルに従って記述できる。この（非限定的な）説明では、各層はデータパケットがカプセル化として公知の機構を通過する際にデータパケットを変更する。コアデータは、アプリケーションレベルのプロトコルに従ったシンタックスにより表されるアプリケーションレベルのメッセージを含む。アプリケーションレベルのプロトコルの例は、ＦＴＰ（ファイル転送プロトコル）、ＨＴＴＰ（ハイパーテキスト転送プロトコル）、ＳＯＡＰ（シンプル・オブジェクト・アクセス・プロトコル）又はＳＩＰである。

サービス又はサービス機能又はオペレーションへのアクセスを要求するアプリケーションレベルのメッセージは、このコンテキストではアクセス要求メッセージと称する。このコンテキストでは、アクセス要求メッセージは、必ずしもセッション開始時でのサービスへの同意の要求を記述するものではなく、サービスにより与えられる機能又はオペレーションへのアクセス要求をも記述する。ＳＩＰにおけるアクセス要求メッセージの例はＩＮＶＩＴＥメッセージであり、ユーザー・エージェント・クライアントがセッション（例えば、オーディオ、ビデオ、又はゲーム）を開始することを望むとき、ＩＮＶＩＴＥ要求を策定する。ＩＮＶＩＴＥ要求はサーバーにセッション（例えば、音声呼）を開設することを求める。別の例では、ウェブページが要求されたとき、所望のデータ、例えば、ＵＲＬを取り出すのに必要な情報と共に「ｇｅｔ」メッセージが作られる。「ｇｅｔ」メッセージを保持するアプリケーションレベルのプロトコルは例えばＨＴＴＰである。この場合、「ｇｅｔ」メッセージはＨＴＴＰ ＧＥＴヘッダーを含み、これはアプリケーションレベルでのサービス（この場合、インターネットを介してウェブページを検索するサービス）へのアクセス要求メッセージの一例である。

インターネットが実行されるプロトコル・スタックはインターネット・プロトコル・スイート（広く用いられている２つのプロトコル：伝送制御プロトコル（ＴＣＰ）及びインターネットプロトコル（ＩＰ）にちなんでＴＣＰ／ＩＰスイートともいう）により記述できる。ＴＣＰ／ＩＰスイートのプロトコルセットはＯＳＩ７層モデルの５層をカバーする。ＴＣＰ／ＩＰスイートを用いることにより、一般にメッセージはアプリケーションヘッダー（実際には一般に複数のヘッダーからなる）とアプリケーションレベルのボディ（又はペイロード）との両方に埋め込まれる。ヘッダーはアプリケーションレベルのプロトコルに従って規格化されたフォーマットを有する一方、ペイロードはアプリケーションによる情報を含み、データは標準的なヘッダー又はフォーマットに準拠していない。ＨＴＴＰにおけるヘッダーの例は、ＧＥＴメッセージなどのメッセージのタイプ、及び要求されるウェブページのＵＲＬである。次の層はトランスポート層であり、トランスポート層はＴＣＰ又はユーザー・データグラム・プロトコル（ＵＤＰ）において一般に定義されたヘッダー層を追加する。ネットワーク層（ＩＰ層としても公知のインターネットにおいて）では、ヘッダー（ＩＰヘッダー）は、ソースから宛先へのパケットを得るのに必要な、ソースアドレスと宛先アドレス、すなわちマシン番号を含んだ情報を含む。

ＳＴＩ１０は少なくともネットワークレベルにて動作し、ＧＧＳＮ６を出て行くデータパケットを捕まえる。もしＳＴＩがネットワークレベルでのみ、又は単にトランスポートレベルまでで動作するならば、ＧＧＳＮを出て行き（そしてＩＰネットワークに向かう）データパケットすべてを捕らえる必要がある。というのは、データパケット中に保持されたアプリケーションメッセージを識別できず、例えば、それがアクセス要求メッセージであるか否か、及びそのアプリケーションレベルのプロトコル上にメッセージが保持されているか否かを識別できないからである。ＳＴＩがアプリケーションレベルでも動作する場合には、アクセス要求メッセージを識別し、異なるアプリケーションレベルのプロトコルを区別することができる。例えば、もしアプリケーションレベルでも動作するならば、ＳＩＰアクセス要求メッセージのみをインターセプトして他のプロトコルで生成されたメッセージは通すようにＳＴＩをプログラミングできる。

ＳＴＩモジュールを実現するのに用いることができる技術の一つは、アプリケーションレベルのファイアウォールの技術である。市販のアプリケーション認識型ファイアウォールの例はＣｉｓｃｏ ＰＩＸ、Ｃｈｅｃｋ Ｐｏｉｎｔ Ｆｉｒｅｗａｌｌ−１（登録商標）及びＸｔｒａｄｙｎｅのＷＳ−ＤＢＣである。

アクセス要求メッセージを保持しているデータパケットにおいてＳＴＩがインターセプトしなければならない最小情報は、ネットワークレベルでの加入者のアドレス、例えばインターネットにおいて加入者に（すなわち、ＭＳに）割り当てられたＩＰアドレスについての情報である。一般に、ＳＴＩは後で詳細に説明するように認証プロセスの終わりにメッセージを保持したデータパケットを送信するために宛先アドレスの情報を必要とするであろう。好ましくは、この情報はデータパケットをインターセプトするときにＳＴＩにより抽出される。しかし、これは非限定的な特徴であり、ＳＴＩは認証システムが定義した宛先アドレス（複数可）にメッセージを転送するよう構成することもできる。宛先アドレスは必ずしもメッセージが向けられたアプリケーションサーバーのアドレスではないことに留意されたい。例えば、ＳＩＰプロトコルによると、メッセージをＳＩＰプロクシーに向けることができ、ＳＩＰプロクシーがメッセージヘッダーに含まれたアプリケーションレベルのアドレスにおいて指定されたアプリケーションサーバーに対してメッセージをアドレス指定する。

ＳＴＩ１０により捕らえられたデータパケット中に含まれる情報の少なくとも一部は、アプリケーションレベルにて動作するソフトウェアコンポーネント９（身分証明局（ＩＡ）という）に送られる。ＩＡは外部のＰＤＮ、すなわちＩＰネットワーク１２にアクセスする加入者のアイデンティティの管理を担当する。ＩＡは少なくとも加入者のＩＰアドレスと、アクセス要求メッセージのアプリケーションレベルのプロトコルについての情報とをＳＴＩから受信する。この後者の情報は、データパケットをＳＴＩから（ＳＴＩがネットワーク／トランスポートレベルまででのみ動作する場合には「閉じたエンベロープ」として）受信することにより、又はＳＴＩがアプリケーションレベルでも動作する場合にはプロトコルの種類（例えば、ＳＯＡＰ、ＨＴＴＰ、ＳＩＰ）などの特定の情報を受信することにより得ることができる。アプリケーションレベルで動作するＳＴＩから受信する他の情報としては、メッセージタイプ（例えば、ＩＮＶＩＴＥ又はＲＥＧＩＳＴＥＲ）や要求されるサービスのユニバーサル・リソース識別子（ＵＲＩ）、例えばウェブページのＵＲＬが挙げられる。

ＩＡ９は、加入者のＩＰアドレスの知識をＳＴＩ１０から取得すること、及び割り当てられたＩＰアドレスと加入者のアイデンティティ（複数も可）との間のマッピングを含んでいるＡＡＡ７に問い合わせて加入者のアイデンティティの知識を取得することによって、サービスを要求する移動局ＭＳ２（すなわち、加入者）を識別する。加入者のアイデンティティとして、好ましくはＩＭＳＩがＩＡにより抽出される。

好ましくは、ＩＡは加入者のアイデンティティ及び加入者の要求サービスに関連した情報を記憶する。サービスプロバイダが異なるプロトコル（例えば、電子メールアカウントにはＰＯＰ３、ウェブのナビゲーションにはＨＴＴＰ）を用いてより多くのサービスを提供する場合には、要求されるサービスについての情報は、ＩＰアドレス及び／又はサービスプロバイダのＵＲＩ及び／又はサービスにより用いられるプロトコルであり得る。図２には、ＩＡに記憶された情報を示す表が例示される。図示した表は、サービスプロバイダＳＰ−１、ＳＰ−２等により特徴付けられた１以上のサービスにアクセスすることを欲する加入者Ａ、Ｂ及びＣにマッピングを提供する。図２の例では、加入者は加入者のＩＭＳＩにより識別される。好ましくは、仮名ＰＳが加入者に対してＩＡにより作られ、例えば、加入者のＩＭＳＩに対応したＰＳが作られる。別法として、図２に示されるように、複数の仮名を１人の加入者に生成でき、この場合、各仮名は加入者により要求される特定のサービスを特徴付ける。後で明らかになるように、ＩＭＳＩなどの機密データを開示することを避けるためには、仮名を生成するのが好ましい。

例えば、ＩＰアドレスを加入者に関連付けられたＩＭＳＩとマッピングすることによって加入者のアイデンティティを検証した後、ＩＡはアクセス要求メッセージのアプリケーションレベルのプロトコルに従ってソフトウェアトークンを生成する。例えば、ウェブサービスに対するＳＯＡＰメッセージの場合、ＷＳ−セキュリティ仕様に従ってトークンを定義できる。トークンはアクセス要求メッセージ中に、例えばメッセージの既存のアプリケーションヘッダーに挿入されるフィールドとして、又はメッセージ中に加えられる新しいアプリケーションヘッダーとして、挿入される。

ＳＴＩがどのレベルで動作するかに依存して、トークンがＩＡによりメッセージ中に挿入され得るか、又はＩＡがＳＴＩにトークンをメッセージ中に挿入するよう命じることができる。後者の選択肢では、ＳＴＩがアプリケーションレベルでも動作することが想定される。いずれにしても、ＳＴＩが変更されたアクセス要求メッセージ（すなわち、トークンを含んでいる）をアプリケーションサーバー１１に送信し、アプリケーションサーバー１１が認証されたメッセージを受信する。

メッセージの認証は、例えば、トークンを検証してそれをサービスのアプリケーションロジックに送る特定のアプリケーションサーバーソフトウェアによって、アプリケーションサービス（アプリケーションサーバー１１内で動作している）によりアクノリッジし得る。認証を制御するフレームワークの例は、Ｓｕｎ Ｊａｖａ Ｓｙｓｔｅｍ Ａｃｃｅｓｓ Ｍａｎａｇｅｒであり、これはオープンＪａｖａ２プラットフォームに基づいたアーキテクチャーである。

認証トークンは、モバイルネットワーク、一般にはモバイルオペレータのドメインにおいて定義された加入者のアイデンティティに関連付けられた加入者の識別子、例えばＩＭＳＩ又はＭＳＩＳＤＮなどを含む。

好ましくは、トークン中に含まれる加入者の識別子は、ＳＩＭベースのアイデンティティ、例えば、ＩＭＳＩ又はＭＳＩＳＤＮに関連付けられた仮名である。本発明は認証トークンにおけるモバイルネットワークにおいて定義された加入者のアイデンティティの使用を排除しないが、セキュリティ脅威（例えば、モバイルオペレータのビリング処理に対する詐欺行為）を避けるために、仮名を使用して、加入者のプライバシーを保護し、ＩＭＳＩなどの機密情報の開示を防ぐ。別法として、識別子は、例えば加入者の信用度に依存してモバイルオペレータにより加入者に割り当てられた許可文字列／符号とし得る。識別子は一意的に加入者のアイデンティティに対応するのが好ましいが、同一の許可文字列／符号を例えば年齢でグループ分けされた加入者グループに割り当てることができる。

随意に、ＩＡは生成されたトークンをＳＴＩに転送する前に、パブリック・キー・インフラストラクチャ（ＰＫＩ）サービス８に送り、パブリック・キー・インフラストラクチャ（ＰＫＩ）サービス８は、例えばそれ自体公知の非対称暗号法でデジタル署名をトークンに追加することによってトークンを証明する。ＰＫＩ８はＥｎｔｒｕｓｔ ＰＫＩ若しくはＶｅｒｉＳｉｇｎ（登録商標）などの商用のフレームワーク、又はＯｐｅｎＳＳＬなどのフリーウェア／オープン・ソース・ツールとし得る。

本発明の認証システムの利点は、加入者に対してトランスペアレントであることであり、加入者はサービスを要求した後は、認証の結果のみ、すなわちサービスへのアクセス又はアクセスの拒絶が分かるだけである。

ＳＴＩ及びＩＡを含んだ認証ソフトウェアプラットフォームは、モバイルネットワークオペレータの直接的な制御下におくことができる。

ＳＴＩ１０とＩＡ９は、ＧＧＳＮ６の外部の別のコンポーネントとして示されているが、例えばＧＧＳＮのＧＰＲＳ規格制御ロジック中に内蔵されたソフトウェアモジュールとしてＧＧＳＮ内に実装することができる。このことにより、ＧＧＳＮとＳＴＩとの間の物理的な接続が除かれるので、ネットワークレベルの攻撃に対してＳＴＩのセキュリティを向上させることができる。

モジュールＳＴＩ及びＩＡは、Ｊａｖａ、Ｃ、Ｃ＋＋及びＣＯＲＢＡなどの標準的な言語にて実現され公知のハードウェアコンポーネント上にインストールされたソフトウェアコンポーネントとし得る。

図３は、本発明の好ましい態様により、アプリケーションサーバー内でホストされるウェブサービスに対するアクセス操作の処理図を示す。図３に示されたプロセスフローにおいて相互作用する主なコンポーネントは、図１について説明したのと同じ一般的な論理機能を有し、同じ参照番号で示される。

図３に示された態様では、ＭＳ２は、ＧＰＲＳ、ＥＤＧＥ又はＵＭＴＳなどのパケット交換携帯電話網内で接続及びデータ転送のためにデータ・イネーブルド・クライアントを含んだ携帯電話とし得る。例えば、携帯電話は、パケット交換ネットワークへの接続のために携帯電話を利用するパーソナルコンピュータに（有線又は無線リンクにより）リンクさせることができる。アプリケーションサーバー１１は、公衆ＩＰネットワークを介してサーバーに接続される携帯電話網の外部にあるドメインにおいてホストされる。

図３では、ＭＳは、例えばＳＯＡＰプロトコル（データをウェブサービスに送るとき及びウェブサービスから送るとき用いられるＸＭＬベースの言語である）を用いることにより、公衆ＩＰネットワークにおいて提供されるサービス「ａｂｃ」へのアクセスを要求する。ＳＯＡＰメッセージはＨＴＴＰメッセージ（アプリケーションレベルにて）中に含まれ得る。ＳＯＡＰ要求は、例えばヘッダー中のＨＴＴＰ ＰＯＳＴ又はＨＴＴＰ ＧＥＴ要求とし得るが、ＳＯＡＰメッセージはボディ中に含まれる。例えば図３には、ＨＴＴＰ ＰＯＳＴ要求の例、すなわち“ＰＯＳＴ ／ａｂｃ ＨＴＴＰ／１．１”が与えられている。工程３１は、ＭＳが外部のネットワークへのアクセスを得るのに必要な、ＭＳ２とＧＧＳＮ６との間での相互作用を簡略化して表す。工程３１中、ＭＳはＡＡＡ７により識別され許可され、ＡＡＡ７はＩＰアドレスをＭＳに割り当て、ＩＰアドレスと加入者のアイデンティティとの間のマッピング情報をメモリに少なくともデータセッションの期間中記憶する。この態様では、加入者のアイデンティティはＩＭＳＩからなる。工程３１の携帯電話網内での許可及び認証段階の後、データパケット中に保持されたアクセス要求メッセージがＧＧＳＮにより外部のネットワークに転送される（工程３２）。工程３２の破線は、メッセージが本発明による認証機構なしで進んだであろう論理経路、すなわち、メッセージがアプリケーションサーバー１１に送信されたであろう論理経路を表す（その際にはアプリケーションサーバー１１は、認証のためのチャレンジ／レスポンス機構によってユーザーに要求したであろう）。

本発明によると、工程３２においてアクセス要求メッセージを含んだデータパケットが、ＧＧＳＮ６と公衆ネットワークとの間に位置するＳＴＩ１０によりインターセプトされる。ＳＴＩはインターセプトしたデータパケットから加入者のＩＰアドレス、すなわちセッションのためにＭＳに割り当てられたアドレス、好ましくはＩＰ宛先アドレス、すなわちアプリケーションサーバー１１のアドレスを抽出する。次にＳＴＩはアプリケーションメッセージ（この場合ＳＯＡＰメッセージ）と加入者のＩＰアドレスをＩＡ９に転送する（工程３３）。

ＳＴＩがアプリケーションレベルより低いレベルで動作する場合には、このメッセージは例えばアプリケーションヘッダー（複数も可）をＩＡに向けて転送することによって自動的にＩＡに転送される。逆に、ＳＴＩがアプリケーションレベルにて動作する場合には、アプリケーションレベルのメッセージにおいて用いられるプロトコル、この場合ＳＯＡＰ ｏｖｅｒ ＨＴＴＰプロトコルを認識する。いずれにしても、ＩＡは加入者のＩＰアドレスと、メッセージが準拠しているアプリケーションレベルのプロトコルとについての知識を取得する。ＳＴＩとＩＡとの間での情報の伝送は、例えばインターフェース定義言語（ＩＤＬ）などの共通オブジェクト・リクエスト・ブローカー・アーキテクチャー（ＣＯＲＢＡ）、又はウェブサービス記述言語（ＷＳＤＬ）などのウェブサービス言語において指定されたインターフェースによって行われ得る。

工程３４では、ＩＡ９はＧＳＭネットワークにおいて（ＭＳ２により携帯電話網に接続された）加入者のアイデンティティを求めるためにＡＡＡ７に問い合わせをする。このアイデンティティはデータパケット中に捕らえられたソースＩＰアドレスに対応している。工程３５では、ＡＡＡ７が、ＩＰアドレスに関連付けられた加入者のアイデンティティ（この場合ＩＭＳＩにより表される）をＩＡに提供することによって問い合わせに応答する。

次の工程（工程３５）で、ＩＡは加入者の識別子を含んだトークンを生成する。このトークン（例えば文字列）は、例えばＷＳ-セキュリティ仕様に従って定義し得る（図３中に＜ＷＳ＞tokenとして示す）。好ましくは、トークン中に含まれる識別子は、ＩＡにより生成されＩＭＳＩに関連付けられた仮名である。この識別子はまた、図２に示す例のように、例えば、シングル・サイン・オン（ＳＳＯ）アクセス機構の場合のように、セッション内の異なるサービスにアクセスするために同じ加入者（すなわち同じＩＭＳＩ）に複数の仮名が生成された場合にはサービスプロバイダに関連付けることもできる。ＩＡは仮名（複数も可）と携帯電話網内で定義された加入者のアイデンティティ（すなわち、ＩＭＳＩ）との間のマッピングを少なくともセッションの期間中は記録しておく。

以下の例はＸＭＬフォーマットにて表されると共にＯＡＳＩＳ（Ｏｒｇａｎｉｚａｔｉｏｎ ｆｏｒ ｔｈｅ Ａｄｖａｎｃｅｍｅｎｔ ｏｆ Ｓｔｒｕｃｔｕｒｅｄ Ｉｎｆｏｒｍａｔｉｏｎ ｓｔａｎｄａｒｄｓ）オープン規格に準拠した（簡略化された）ＳＡＭＬトークンである：

上記の例のＳＡＭＬトークンは、ＧＳＭネットワークにおいて定義されたアイデンティティに関連付けられた「PSEUDONYM」（すなわち、ＩＡにより与えられた識別子）を名前とするユーザーのアイデンティティをアサートする。好ましくは、ＳＡＭＬトークンはサービスへのアクセスを許可するために用いられる認証方法についての情報を含み、この場合、ＧＳＭセキュリティスキーム（＜ＧＳＭ＞で示される）により定義されている。追加のオプション情報は、認証の発行人（ｏｐｅｒａｔｏｒ．ｃｏｍにより示される）とトークンの有効期間の条件（コマンドＮｏｔＢｅｆｏｒｅ及びＮｏｔＡｆｔｅｒにより示される）である。

随意に、トークンは、デジタル署名をトークンに添えるため、又は公知の暗号化機構により暗号化するために、ＰＫＩ８サービスに転送される（工程３６）。工程３７では、ＰＫＩはデジタル署名で証明され且つ／又は暗号化により保護されたトークンを戻す。証明／暗号化されたトークンは図３においてＤＳ（＜ＷＳ＞−ｔｏｋｅｎ）により示される。

工程３５（ＰＫＩサービスが含まれる場合には工程３７）に続いて、ＩＡは生成されたトークンを含んだ新しいアクセス要求メッセージ（「Ｎｅｗ−ｓｏａｐ」により示される）を生成する。好ましくは、この新しいメッセージは、ＯＡＳＩＳ ＷＳ−セキュリティ仕様に記載されている追加フィールドとしてＳＯＡＰエンベロープ中にトークンが追加されたＭＳから送信されるアクセス要求メッセージである。工程３８で、新しいアクセス要求メッセージ（トークンを含む）が伝送のためにＳＴＩに送られる。ＳＴＩは、情報を抽出したデータパケットを予め複製しそのメモリに記憶しておき、それから、受信したアクセス要求メッセージをアプリケーションサーバー１１に送信する（工程３９）。

デジタル署名がトークンに添えられていたならば、アプリケーションサーバーはＰＫＩサービスに問い合わせすることによりデジタル署名を検証する（工程４０）。例えば、ＰＫＩはトークンのデジタル署名の証明書が有効であることを検証する。

最後に、トークンにより加入者のアイデンティティの認証を受信したアプリケーションサーバー１１は、認証された加入者に要求サービスを提供する（工程４１）。

図３に記載の認証機構はユーザーにトランスペアレントであり、ユーザーはサービスにアクセスするために証明を入力する必要がないことが分かる。加えて、この認証機構により、一般にサービスを提供するサービスプロバイダ間に協定が存在することを前提とするＳＳＯ機構を用いて複数のサービスへのトランスペアレントなアクセスが可能になる（アイデンティティ連合）。

図４は本発明の別の態様による外部のＩＰネットワークに接続されたパケット交換ネットワークのブロック図を示す。ＭＳ２はパケット交換モバイルネットワーク１３、例えばＵＭＴＳネットワークに無線リンクされている。詳細には示されていないが、モバイルネットワーク１３はＡＡＡサーバーとＧＧＳＮを含む。この態様におけるＩＰネットワークは次世代ネットワーク（ＮＧＮ）１５であり、これはパケットベースのインターネットと電話ネットワークとの間の収束を可能にすると共に音声、データ及びビデオを含んだ顧客トラヒックのすべてのタイプをサポートするパケットベースのネットワークである。ＮＧＮ技術のアプリケーションはＶｏｉｃｅ ｏｖｅｒ ＩＰ（ＶｏＩＰ）である。この例では、ＮＧＮネットワークにおける呼／セッション機能は、セッション開始プロトコル（ＳＩＰ）に基づいている。図４に示された態様によると、携帯電話ＭＳ２はＳＩＰメッセージをＮＧＮ１５を介してＳＩＰサーバー１４にアドレス指定する。モバイルネットワーク１３のＧＧＳＮを出て行くＳＩＰメッセージは、認証プラットフォーム１７によりインターセプトされる。認証プラットフォーム１７はＳＴＩ１０、ＩＡ９及び随意にＰＫＩ８を含み、これらは図１に関して説明した機能と同じ一般的な論理機能を有する。認証の後、ＳＩＰサーバー１４は常にＮＧＮ１５を介してＳＩＰメッセージをＳＩＰ電話１６に転送し、ＳＩＰ電話１６は、ＩＰベースの又は陸線／携帯電話のどちらかである他の電話に呼を発し、該他の電話から呼を受けるためのクライアントアプリケーションを含んだＩＰノードであり（すなわち、ユーザー・エージェント・クライアント及びユーザー・エージェント・サーバー）、例えばパーソナルコンピュータにインストールできる。ＳＩＰメッセージの例は、ＳＩＰ電話１６を用いてマルチメディア呼（例えば、テレビ会議）を設定するために携帯電話２から発せられる要求である。

ＳＩＰサーバーにおいてホストされるＳＩＰサービスに対してＮＧＮを介してアクセスする操作の処理図が、図５に概略的に示される。ＭＳ２はＳＩＰプロトコルを用いることによりＮＧＮにおいて提供されるサービスへのアクセスを要求する。例えば、このサービスはテレビ会議セッションの設定であり、これはＩＮＶＩＴＥコマンドにより要求できる。ＳＩＰメッセージは例えば「ＩＮＶＩＴＥ ｓｉｐ：ｎａｍｅ＠ａｃｍｅ．ｃｏｍＳＩＰ／２．０」とすることができ、ここで、ｎａｍｅ＠ａｃｍｅ．ｃｏｍはＲｅｑｕｅｓｔ＿ＵＲＩであり、これは、ＳＩＰメッセージの宛先を指定するＳＩＰ ＵＲＩ（例えばＵＲＬ）である。Ｒｅｑｕｅｓｔ＿ＵＲＩはＳＩＰ電話において定義されたユーザー又はユーザーエージェントサーバーとし得る。この例では、Ｒｅｑｕｅｓｔ＿ＵＲＩはＳＩＰ電話１６により識別されるユーザーである。ＳＩＰメッセージはＴＣＰ又はＵＤＰによりネットワークレベルにてトランスポートし得る。

工程５０は、ＭＳが外部のネットワークへのアクセスを得るのに必要な、ＭＳ２とＧＧＳＮ６との間での相互作用を簡略化して表す。工程５０中、ＭＳはＡＡＡ７により識別され許可され、ＡＡＡ７はＩＰアドレスをＭＳに割り当て、ＩＰアドレスと加入者のアイデンティティ（例えばＩＭＳＩ）との間のマッピング情報をメモリに少なくともデータセッションの期間中記憶する。工程５０の携帯電話網内での許可及び認証段階の後、データパケット中に保持されたアクセス要求メッセージがＧＧＳＮにより外部のネットワークに転送される（工程５１）。工程５１の破線は、メッセージが本発明による認証機構なしで進んだであろう論理経路、すなわち、メッセージがＳＩＰサーバー１４に送信されたであろう論理経路を表す。

本発明によると、工程５２においてＳＩＰメッセージが、ＧＧＳＮとＮＧＮとの間に位置するＳＴＩ１０によりインターセプトされる。ＳＴＩはインターセプトしたデータパケットから、ソースＩＰアドレス（すなわちＭＳに割り当てられたアドレス）と、宛先ＩＰアドレス、すなわち要求を取り扱いＩＮＶＩＴＥメッセージを正しい被呼者（ＳＩＰ ＵＲＩにより示される）に転送することができるＳＩＰサーバーのアドレスとを抽出する。次にＳＴＩはＳＩＰメッセージと加入者のＩＰアドレスをＩＡ９に転送する（工程５２）。

工程５３では、ＩＡ９はＳＩＰメッセージを含んだデータパケット中に捕らえられたソースＩＰアドレスに対応する加入者のアイデンティティを求めるためにＡＡＡ７に問い合わせをする。工程５４では、ＡＡＡ７が、ＩＰアドレスに関連付けられた加入者のアイデンティティ（この場合ＩＭＳＩにより表される）をＩＡに提供することによって問い合わせに応答する。

次の工程（工程５４）で、ＩＡは加入者の識別子を含んだトークンを生成する。このトークンは、例えばＳＡＭＬ仕様に従って定義し得る（図５中に［ＳＡＭＬ］ｔｏｋｅｎとして示す）。好ましくは、識別子は、ＩＡにより生成されＩＭＳＩに関連付けられた仮名である。

随意に、トークンは、デジタル署名をトークンに添えるため、且つ／又は公知の暗号化機構により暗号化するために、ＰＫＩ８サービスに転送される（工程５５）。工程５６では、ＰＫＩはデジタル署名で証明され且つ／又は暗号化により保護されたトークンを戻す。証明／暗号化されたトークンは図５においてＤＳ（［ＳＡＭＬ］−ｔｏｋｅｎ）により示される。

工程５４（ＰＫＩサービスが含まれる場合には工程５６）に続いて、ＩＡは生成されたトークンを含んだ新しいアクセス要求メッセージ（「Ｎｅｗ ＳＩＰ ｈｅａｄｅｒ」により示される）を生成する。好ましくは、この新しいメッセージは、ＳＩＰヘッダー６１により図５に示されるように、ＳＩＰプロトコルに記載されている追加フィールドとしてＳＩＰヘッダー中にトークンが追加されたＭＳから送信されるアクセス要求メッセージである。ＤＳ（［ＳＡＭＬ］ｔｏｋｅｎ）に先行するフィールド「ＳＡＭＬ−Ｐａｙｌｏａｄ」は、ＩＥＴＦにより定義されたキーワードであり、ＳＡＭＬ−ｔｏｋｅｎヘッダーを識別するのに用いられる。

新しいアクセス要求メッセージ（トークンを含む）が伝送のためにＳＴＩに送られる（工程５７）。次に、ＳＴＩは、受信したＳＩＰメッセージ６１をＳＩＰサーバー１４に送る（工程５８）。

デジタル署名がトークンに添えられていたならば、アプリケーションサーバーはＰＫＩサービスに問い合わせすることによりデジタル署名を検証する（工程５９）。

最後に、トークンにより加入者のアイデンティティの認証を受信したアプリケーションサーバー１４は、ＩＮＶＩＴＥに対する標準的なＳＩＰ肯定応答である「２００ ＯＫ」メッセージをＭＳに送ることにより、ＩＮＶＩＴＥメッセージに対して肯定応答を送信する（工程６０）。それから、ＲＴＰを用いる音声映像ストリームをエンドポイント間に確立できる。

図４に戻ると、認証プラットフォーム１７はモバイルネットワークの外部にあるものとして示されているが、モバイルネットワーク１３中に、すなわちモバイルオペレータのセキュリティドメイン中に実装することもできる。

図６は本発明の好ましい態様によるアプリケーションサーバー中にホストされたウェブサイトへのアクセス操作の処理図を示す。ウェブサイトへのアクセスは、無線アプリケーションプロトコル（ＷＡＰ）を用いることによりＩＰネットワークに接続されたＧＳＭなどの回線交換モバイルネットワークから又はＧＰＲＳから行われる。この態様によると、ＭＳ２、例えばＧＳＭ電話は、ＷＡＰデータを解釈するマイクロブラウザーを含む。このＷＡＰデータはＵＤＰなどのネットワークプロトコルを用いて送られる。アプリケーションサーバーは専用のＷＡＰサーバー又は従来のウェブサーバーとし得る。外部のネットワークへの携帯電話網のゲートウェイの論理機能はＧＧＳＮ６により実行される。

図６に示される態様は、例えばリバティ・アライアンス・プロジェクトにより定義されたアイデンティティ連合フレームワーク（ＩＤ−ＦＦ）に適用できる。ＩＤ-ＦＦはＳＡＭＬ規格に基づいており、標準的なＳＯＡＰベースの認証及びシングル・サイン・オンのサービスのインターフェースをアイデンティティプロバイダに提供する。

図６では、ＭＳ２は、例えばＨＴＴＰプロトコルを用いることにより、公衆ＩＰネットワークにおいて提供されるサービス「ａｂｃ」へのアクセスを要求する。図６には、ＨＴＴＰ ＧＥＴ要求の例、すなわち“ＧＥＴ ／ａｂｃ ＨＴＴＰ／１．１”が与えられている。工程７１は、ＭＳが外部のネットワークへのアクセスを得るのに必要な、ＭＳ２とＧＧＳＮとの間での相互作用を簡略化して表す。工程７１中、ＭＳはＡＡＡ７により識別され許可され、ＡＡＡ７はＩＰアドレスをＭＳに割り当て、ＩＰアドレスと加入者のアイデンティティとの間のマッピング情報をメモリに少なくともデータセッションの期間中記憶する。この態様では、加入者のアイデンティティはＩＭＳＩからなる。工程７１の携帯電話網内での許可及び認証段階の後、データパケット中に保持されたアクセス要求メッセージがＧＧＳＮにより外部のネットワークに転送される（工程７２）。工程７２の破線は、メッセージが本発明による認証機構なしで進んだであろう論理経路、すなわち、メッセージがウェブ／ＷＡＰサーバーに送信されたであろう論理経路を表す。

本発明によると、工程７２においてアクセス要求メッセージを含んだデータパケットが、ＧＧＳＮと公衆ネットワークとの間に位置するＳＴＩ１０によりインターセプトされる。ＳＴＩはインターセプトしたデータパケットから加入者のＩＰアドレス、すなわちセッションのためにＭＳに割り当てられたアドレス、及びＩＰ宛先アドレス、すなわちアプリケーションサーバー１１のアドレスを抽出する。次にＳＴＩはアプリケーションメッセージ（この場合にはＨＴＴＰ ＧＥＴメッセージ）と加入者のＩＰアドレスをＩＡ９に転送する（工程７３）。

工程７４では、ＩＡ９は（ＭＳ２により携帯電話網に接続された）加入者のアイデンティティを求めるためにＡＡＡ７に問い合わせをする。このアイデンティティはデータパケット中に捕らえられたソースＩＰアドレスに対応している。工程７５では、ＡＡＡ７が、ＩＰアドレスに関連付けられた加入者のアイデンティティ（この場合ＩＭＳＩにより表される）をＩＡに提供することによって問い合わせに応答する。

次の工程（工程７６）で、ＩＡは加入者の識別子を含んだトークンを生成する。好ましくは、トークン中に含まれる識別子は、ＩＡにより生成されＩＭＳＩに関連付けられた仮名である。このトークンは、例えばＳＡＭＬ仕様に従って定義し得る（図６中に［ＳＡＭＬ］−ｔｏｋｅｎとして示す）。好ましくは、識別子は、ＩＡにより生成されＩＭＳＩに関連付けられた仮名である。

随意に、トークンは、デジタル署名をトークンに添えるため、且つ／又は公知の暗号化機構により暗号化するために、ＰＫＩ８サービスに転送される（工程７６）。工程７７では、ＰＫＩはデジタル署名で証明され且つ／又は暗号化により保護されたトークンを戻す。証明／暗号化されたトークンは図６においてＤＳ（［ＳＡＭＬ］−ｔｏｋｅｎ）により示される。

工程７５（ＰＫＩサービスが含まれる場合には工程７７）に続いて、ＩＡはリバティ・アライアンスにより定義された規格に従ってＳＡＭＬアサーションに対するポインターとして機能する「アーチファクト」を生成する。前記アーチファクトは図６において「Ａｒｔｉｆａｃｔ（ＳＡＭＬ）」により示されている。次に、工程７８にてアーチファクトがＳＴＩに与えられる。工程７９では、ＳＴＩは「Ａｒｔｉｆａｃｔ（ＳＡＭＬ）」を含んだＨＴＴＰ ＧＥＴメッセージをウェブ／ＷＡＰサーバーに送る。工程８０の間、アーチファクトを含んだアクセス要求メッセージを受信したサーバーは、ＩＡに対してアーチファクトに対応したＳＡＭＬトークンを提供するよう要求する。要求しているモバイル加入者の識別子を含んだＳＡＭＬトークンを受信した後、加入者が識別され（そして許可され）、次にサーバー（すなわち、サービスプロバイダ）が肯定応答「ｗｅｌｃｏｍｅ」をＭＳに送る（工程８１）。

図７は本発明の別の好ましい態様を示し、サービスを要求している加入者の第１ネットワークがＡＤＳＬアクセスネットワークであり、第２ネットワークがＩＰネットワークである。図７の態様はＡＤＳＬネットワークの加入者がアプリケーションサーバー２４内でホストされるウェブサイトでのサービスをＩＰネットワークを介して加入者のパーソナルコンピュータ（ＰＣ）１８からアクセスすることを欲しているような代表的なシナリオを表すことができる。この例では、ＰＣ１８は標準的なシリアルＵＳＢ（ユニバーサル・シリアル・バス）インターフェースを介してＡＤＳＬモデム１９に接続される。一般にＰＣ１８及びＡＤＳＬモデム１９は顧客敷地装置（ＣＰＥ）６８と称される。しかし、１以上のＰＣ、ＩＰ電話又はＴＶセットトップボックスに接続された住宅ゲートウェイなどの代わりのＣＰＥを考えることもできる。したがって、一般に、例えば、ログオンＩＤとパスワードをＰＣのキーボードからタイプすることにより、又は（例えば、スマートカード内に含まれるか又は住宅ゲートウェイのファームウェアに組み込まれた文字列コードを用いて）住宅ゲートウェイから自動認証によって、電気通信を開始し、ルーティングし、又は終了させるため、およびＰＤＮにアクセスすべく認証要求を行なうためにＣＰＥが用いられる。強調すべきは、ＰＤＮ（例えば、インターネット）へのアクセスを許可するためのこの認証はアクセスネットワーク内であることである。

加入者はＣＰＥ６８を介してＤＳＬアクセスマルチプレクサー（ＤＳＬＡＭ）３０に接続される。ＤＳＬＡＭ３０はマルチプレクサー／デマルチプレクサーを備え、顧客回線（すなわち、有線リンク６７）が中央局（オペレータ敷地）６６のＤＳＬＡＭ内の割り当てられたＡＤＳＬ端末装置に接続される。ＤＳＬＡＭ３０は、ルーティング又はサービス選択を含めてアプリケーションレベルのセッション管理を行なう広帯域ネットワークアクセスサーバー（ＢＮＡＳ）２９にアップリンクする。ＣＰＥは、図７において参照番号２０で概略的に示されたエンドユーザーの場所（例えば、家庭又は会社）にある。ＣＰＥとＤＳＬＡＭとの間の接続は有線リンク６７、一般には標準的な銅製の電話線である。従来のアナログ電話、すなわち従来の一般電話システム（ＰＯＴＳ）２３は、同じ有線リンク６７を介してＰＳＴＮ２５に随意に接続し得る。したがって、有線リンク６７はＰＯＴＳ及びＤＳＬ信号の両方を伝えることができる。ＤＳＬＡＭ３０と共にＢＮＡＳ２９は、外部のパケットデータネットワーク（この場合にはＩＰネットワーク２２）に対するゲートウェイとして機能する。ＣＰＥとＤＳＬＡＭとの間の通信では顧客敷地と中央局との間の専用有線リンクが用いられるので、ＤＳＬインフラストラクチャ内の通信の高レベルのセキュリティが保証されることに注目すべきである。

ＢＮＡＳは、加入者にアクセスを許可するために、ＩＰネットワークへのアクセスを要求する加入者の認証を処理する。ログオン認証は認証、許可及び課金（ＡＡＡ）サーバー２６により実行される。ＡＡＡサーバー２６は図１の態様において説明したモバイルネットワークのＡＡＡサーバーと同様の論理操作を実行する。特に、ＡＡＡサーバーはデータベースを含み、該データベースでは、割り当てられたＩＰアドレスがｘＤＳＬネットワーク内の加入者のアイデンティティに関連付けられている。公知の方法に従い、ＰＤＮにアクセスするための認証（ログオン認証ともいう）を、パスワードベースの機構、スマートカード又は暗号トークンに基づいて行なうことができる。好ましいログオン認証機構では、ログオンＩＤ、一般には（外部のデータネットワークへの接続を要求するときに加入者が入力する）パスワードに関連付けられたユーザー名が使用される。ログオンＩＤはまたスマートカードの中に含ませることもできる。ログオンＩＤを用いることにより、同じ加入者局を使い得る異なるユーザー間の識別、例えば同じＰＣを介して接続するユーザー間の識別が可能になる。別法として、ＰＳＴＮの呼出し回線識別（ＣＬＩ）によりＡＤＳＬインフラストラクチャ内で加入者を識別することができる。

本発明によると、セキュリティ・トークン・インジェクター（ＳＴＩ）６５がＢＮＡＳ２９に論理的にリンクされる。ＳＴＩはＡＤＳＬネットワークから入ってくるトラヒックを制御するように配置される。特に、ＳＴＩ６５はＣＰＥ６８で生成されＢＮＡＳ２９を介してＩＰネットワーク２２に向けられたデータパケットをインターセプトする。

ＳＴＩ６５は少なくともネットワークレベルにて動作し、ＢＮＡＳ２９を出て行くデータパケットを捕まえる。もしＳＴＩがネットワークレベルでのみ、又は単にトランスポートレベルまでで動作するならば、ＢＮＡＳを出て行き（そしてＩＰネットワークに向かう）データパケットすべてを捕らえる必要がある。というのは、データパケット中に保持されたアプリケーションメッセージを識別できず、例えば、それがアクセス要求メッセージであるか否か、及びそのアプリケーションレベルのプロトコル上にメッセージが保持されているか否かを識別できないからである。ＳＴＩがアプリケーションレベルでも動作する場合には、アクセス要求メッセージを識別し、異なるアプリケーションレベルのプロトコルを区別することができる。例えば、もしアプリケーションレベルでも動作するならば、ＨＴＴＰアクセス要求メッセージのみをインターセプトして他のプロトコルで生成されたメッセージは通すようにＳＴＩをプログラミングできる。

ＳＴＩ６５の一般的な論理機能は図１に関して説明したＳＴＩ１０と同様である。特に、アクセス要求メッセージを保持しているデータパケットにおいてＳＴＩがインターセプトしなければならない最小情報は、ネットワークレベルでの加入者のアドレス、例えばインターネットにおいて加入者に割り当てられたＩＰアドレスについての情報である。

ＳＴＩ６５により捕らえられたデータパケット中に含まれる情報の少なくとも一部は、アプリケーションレベルにて動作するソフトウェアコンポーネントの身分証明局（ＩＡ）６４に送られる。ＩＡは外部のＰＤＮ、すなわちＩＰネットワーク２２にアクセスする加入者のアイデンティティの管理を担当する。ＩＡは少なくとも加入者のＩＰアドレスと、アクセス要求メッセージのアプリケーションレベルのプロトコルについての情報とをＳＴＩから受信する。この後者の情報は、データパケットをＳＴＩから（ＳＴＩがネットワーク／トランスポートレベルまででのみ動作する場合には「閉じたエンベロープ」として）受信することにより、又はＳＴＩがアプリケーションレベルでも動作する場合にはプロトコルの種類などの特定の情報を受信することにより得ることができる。

ＩＡ６４の論理機能は図１に関して説明したものと実質的に同じである。特に、ＩＡは、ＳＴＩ６５からそのＩＰアドレスの知識を取得すること、及び（割り当てられたＩＰアドレスと加入者のアイデンティティ（複数も可）との間のマッピングを含む）ＡＡＡ２６に問い合わせて加入者のアイデンティティの知識を取得することにより、サービスを要求する加入者（すなわち、例えば、スマートカードログオンを介して又はＣＬＩから加入者の局）を識別する。

好ましくは、ＩＡは加入者のアイデンティティ及び加入者の要求サービスに関連した情報を記憶する。サービスプロバイダが異なるプロトコル（例えば、電子メールアカウントにはＰＯＰ３、ウェブのナビゲーションにはＨＴＴＰ）を用いてより多くのサービスを提供する場合には、要求されるサービスについての情報は、ＩＰアドレス及び／又はサービスプロバイダのＵＲＩ及び／又はサービスにより用いられるプロトコルであり得る。図８には、ＩＡ６４に記憶された情報を示す表が例示される。図示した表は、サービスプロバイダＳＰ−１、ＳＰ−２等により特徴付けられた１以上のサービスにアクセスすることを欲する加入者Ａ、Ｂ及びＣにマッピングを提供する。図８の例では、加入者は加入者のログオンＩＤ、例えばユーザーネームとパスワード（ＬＯＧＩＮ−Ａ、ＬＯＧＩＮ−Ｂなど）により識別される。好ましくは、仮名ＰＳが各加入者に対してＩＡにより作られ、例えば、加入者のログオンＩＤに対応したＰＳが作られる。別法として、図８に示されるように、複数の仮名を１人の加入者に生成でき、この場合、各仮名は加入者により要求される特定のサービスを特徴付ける。ＣＬＩ又はログオンＩＤなどの機密データを開示することを避けるためには、仮名を生成するのが好ましい。

例えば、ＩＰアドレスを加入者に関連付けられたログオンＩＤとマッピングすることによって加入者のアイデンティティを検証した後、ＩＡはアクセス要求メッセージのアプリケーションレベルのプロトコルに従ってソフトウェアトークンを生成する。トークンはアクセス要求メッセージ中に、例えばメッセージの既存のアプリケーションヘッダーに挿入されるフィールドとして、又はメッセージ中に加えられる新しいアプリケーションヘッダーとして、挿入される。

ＳＴＩがどのレベルで動作するかに依存して、トークンがＩＡによりメッセージ中に挿入され得るか、又はＩＡがＳＴＩにトークンをメッセージ中に挿入するよう命じることができる。後者の選択肢では、ＳＴＩがアプリケーションレベルでも動作することが想定される。いずれにしても、ＳＴＩが変更されたアクセス要求メッセージ（すなわち、トークンを含んでいる）をアプリケーションサーバー２４に送信し、アプリケーションサーバー２４が認証されたメッセージを受信する。

認証トークンは、固定アクセスネットワークにおいて定義された加入者のアイデンティティに関連付けられた加入者の識別子を含む。

好ましくは、トークン中に含まれる加入者の識別子は、加入者のアイデンティティ、例えばＣＬＩ又はログオンＩＤに関連付けられた仮名である。本発明はＰＳＴＮ又は固定アクセスネットワークにおいて定義された加入者のアイデンティティを認証トークンにおいて使用することを排除しないが、仮名を使用して加入者のプライバシーを保護し、機密情報の開示を防ぐ。別法として、識別子は、例えば加入者の信用度に依存してＰＳＴＮオペレータにより加入者に割り当てられた許可文字列／符号とし得る。識別子は一意的に加入者のアイデンティティに対応するのが好ましいが、同一の許可文字列／符号を例えば年齢でグループ分けされた加入者グループに割り当てることができる。

随意に、ＩＡ６４は生成されたトークンをＳＴＩに転送する前に、パブリック・キー・インフラストラクチャ（ＰＫＩ）サービス６３に送り、パブリック・キー・インフラストラクチャ（ＰＫＩ）サービス６３は、例えばそれ自体公知の非対称暗号法でデジタル署名をトークンに追加することによってトークンを証明する。

ＳＴＩ６５とＩＡ６４は、ＢＮＡＳ２９の外部の別のコンポーネントとして示されているが、例えばＢＮＡＳの制御ロジック中に内蔵されたソフトウェアモジュールとしてＢＮＡＳ内に好ましくは実装することができる。このことにより、ＢＮＡＳとＳＴＩとの間の物理的な接続が除かれるので、ネットワークレベルの攻撃に対してＳＴＩのセキュリティを向上させることができる。

図７〜９ではデジタル加入者線（ＤＳＬ）技術（特にＡＤＳＬ技術）の場合について本発明の態様を説明したが、本発明はｘＤＳＬ技術に限定されるものではないことが分かる。実際、他のアクセス技術及び／又はネットワーク構成、例えば、限定するものではないがハイブリッドファイバー同軸ケーブル（ＨＦＣ）、無線接続（例えば、ＷｉＦｉ（登録商標）又はＷｉＭＡＸ）、ファイバー・ツー・ザ・ホーム（ＦＴＴＨ）、及び／又はイーサネットなども本発明の他の態様において使用できる。

図９はアプリケーションサーバー内でホストされたウェブサイトへのアクセス操作の処理図を示す。このプロセスフローにおいて相互作用する主なコンポーネントは、図７に関して説明したものと同じ一般的な論理機能を有しており、同じ参照番号で示されている。この態様では、加入者局はＳＯＡＰプロトコルを用いることにより公衆ＩＰネットワークにおいて提供されるサービス「ａｂｃ」へのアクセスを要求する。このＨＴＴＰ要求は、例えばＨＴＴＰ ＰＯＳＴ、例えば「ＰＯＳＴ ／ａｂｃ ＨＴＴＰ／１．１」とし得る。加入者局（この態様ではＡＤＳＬモデムにリンクされたエンドユーザー周辺デバイス１８（例えば、ＰＣ））が、工程９１にてＡＤＳＬインフラストラクチャ内で公知の方法で認証する。すなわち、工程９１は、加入者局が外部のネットワークにアクセスするのに必要な、ＰＣ１８（ＤＳＬモデムを介する）とＢＮＡＳ２９との間での相互作用を概略的に示す。認証段階では、ＡＡＡ２６がＩＰアドレスを加入者局に割り当てると共に、少なくともデータセッションの期間中、ＩＰアドレスと加入者のアイデンティティとの間のマッピング情報をメモリに記憶する。次に、ＩＰサービスにアクセスするために加入者局がＡＤＳＬアクセスネットワークから認証され、ＩＰアドレスが加入者に割り当てられる。

工程９１のアクセスネットワーク内での許可及び認証段階の後、工程９２にて、データパケット中に保持されたアクセス要求メッセージがＢＮＡＳにより外部のネットワークに転送される。工程９２の破線は、メッセージが本発明による認証機構なしで進んだであろう論理経路、すなわち、メッセージがアプリケーションサーバー２４に送信されたであろう論理経路を表す。

本発明によると、工程９２においてアクセス要求メッセージを含んだデータパケットが、ＢＮＡＳ２９と公衆ネットワークとの間に位置するＳＴＩ６５によりインターセプトされる。ＳＴＩはインターセプトしたデータパケットから加入者のＩＰアドレス、すなわちセッションのために加入者局に割り当てられたアドレス、好ましくはＩＰ宛先アドレス、すなわちアプリケーションサーバー２４のアドレスを抽出する。次にＳＴＩはアプリケーションメッセージ（この場合ＳＯＡＰメッセージ）と加入者のＩＰアドレスをＩＡ６４に転送する（工程９３）。

ＳＴＩがアプリケーションレベルより低いレベルで動作する場合には、このメッセージは例えばアプリケーションヘッダー（複数も可）をＩＡに向けて転送することによって自動的にＩＡに転送される。逆に、ＳＴＩがアプリケーションレベルにて動作する場合には、アプリケーションレベルメッセージにおいて用いられるプロトコル、この場合ＳＯＡＰ ｏｖｅｒ ＨＴＴＰプロトコルを認識する。いずれにしても、ＩＡは加入者のＩＰアドレスと、メッセージが準拠しているアプリケーションレベルのプロトコルとについての知識を取得する。ＳＴＩとＩＡとの間での情報の伝送は、例えばインターフェース定義言語（ＩＤＬ）などの共通オブジェクト・リクエスト・ブローカー・アーキテクチャー（ＣＯＲＢＡ）、又はウェブサービス記述言語（ＷＳＤＬ）などのウェブサービス言語において指定されたインターフェースによって行われ得る。

工程９４では、ＩＡ６４はＰＳＴＮにおいて加入者のアイデンティティを求めるためにＡＡＡ２６に問い合わせをする。このアイデンティティはデータパケット中に捕らえられたソースＩＰアドレスに対応している。工程９５では、ＡＡＡ２６が、ＩＰアドレスに関連付けられた加入者のアイデンティティ（この場合ログオンＩＤにより表される）をＩＡに提供することによって問い合わせに応答する。

次の工程（工程９６）で、ＩＡは加入者の識別子を含んだトークンを生成する。このトークン（例えば文字列）は、例えばＷＳ−セキュリティ仕様に従って定義し得る（図９中に＜ＷＳ＞ｔｏｋｅｎとして示す）。好ましくは、トークン中に含まれる識別子は、ＩＡにより生成されログオンＩＤに関連付けられた仮名である。この識別子はまた、図８に示す例のように、例えば、シングル・サイン・オン（ＳＳＯ）アクセス機構の場合のように、セッション内の異なるサービスにアクセスするために同じ加入者（すなわち同じログオンＩＤ）に複数の仮名が生成された場合にはサービスプロバイダに関連付けることもできる。ＩＡは仮名（複数も可）とＰＳＴＮ内で定義された加入者のアイデンティティ（例えばログオンＩＤ又はＣＬＩ）との間のマッピングを少なくともセッションの期間中は記録しておく。

随意に、トークンは、デジタル署名をトークンに添えるため、又は公知の暗号化機構により暗号化するために、ＰＫＩ６３サービスに転送される（工程９７）。工程９８では、ＰＫＩはデジタル署名で証明され且つ／又は暗号化により保護されたトークンを戻す。証明／暗号化されたトークンは図９においてＤＳ（＜ＷＳ＞−ｔｏｋｅｎ）により示される。

工程９５（ＰＫＩサービスが含まれる場合には工程９７）に続いて、ＩＡは生成されたトークンを含んだ新しいアクセス要求メッセージ（「Ｎｅｗ−ｓｏａｐ」により示される）を生成する。工程９８で、新しいアクセス要求メッセージ（トークンを含む）が伝送のためにＳＴＩに送られる。例えば、新しいメッセージは、ＯＡＳＩＳ ＷＳ−セキュリティ仕様において記述された追加フィールドとしてトークンがＳＯＡＰエンベロープ中に追加されている、加入者局から送信されたアクセス要求メッセージである。ＳＴＩは、情報を抽出したデータパケットを予め複製しそのメモリに記憶しておき、それから、受信したアクセス要求メッセージをアプリケーションサーバー２４に送信する（工程９９）。

デジタル署名がトークンに添えられていたならば、アプリケーションサーバーはＰＫＩサービスに問い合わせすることによりデジタル署名を検証する（工程１００）。例えば、ＰＫＩはトークンのデジタル署名の証明書が有効であることを検証する。

最後に、トークンにより加入者のアイデンティティの認証を受信したアプリケーションサーバー２４は、認証された加入者に要求サービスを提供する（工程１０１）。

図９に記載の認証機構はユーザーにトランスペアレントであり、ユーザーはサービスにアクセスするために証明を入力する必要がないことが分かる。加えて、この認証機構により、一般にサービスを提供するサービスプロバイダ間に協定が存在することを前提とするＳＳＯ機構を用いて複数のサービスへのトランスペアレントなアクセスが可能になる（アイデンティティ連合）。

近年、ユーザーは複数の電気通信ネットワークの加入者であり、したがって異なるネットワークからアプリケーションサービスにアクセスすることを欲する又は必要とすることが益々一般的になってきた。図２及び８に関して説明したように、（必ずしもそうではないが）異なるサービスプロバイダにより与えられ得る異なるアプリケーションサービスに同意した同じ加入者に対して、異なる仮名を生成することができる。出願人は、ユーザーがサービスにアクセスする異なるネットワークに対して同一である仮名によって、サービスアプリケーションにて（すなわち、サービスプロバイダに対して）ユーザーを識別できることが分かった。図１０はユーザーが複数の電気通信ネットワーク、すなわちＡＤＳＬアクセスネットワーク１２１、無線（ＷｉＦｉ（登録商標））アクセスネットワーク１２４、ＧＰＲＳ／ＧＳＭネットワーク１２８及びＵＭＴＳネットワーク１２６の加入者であるシナリオを概略的に示す。ユーザーはネットワーク１２１、１２４、１２６又は１２８からＩＰネットワーク１２０を介してアプリケーションサーバー１２９にてアプリケーションサービスにアクセスする要求を送ることができる。ＩＰアドレスは、常に第１ネットワーク内で、要求が生成されてＡＡＡサーバー（図示せず）により識別子に関連付けられる第１ネットワーク内で、アクティブにされる。本発明の好ましい態様によると、セキュリティ・トークン・インジェクター（ＳＴＩ）は、加入者がアプリケーションサービスを要求する各第１ネットワークのアクセスゲートウェイ又はアクセスポイント（例えば、ＢＮＡＳ、ＧＧＳＮ）（これはＩＰネットワークのゲートウェイとして機能する）に論理的にリンクされる。ＳＴＩ１２２、１２３、１２５及び１２７はネットワーク１２１、１２４、１２６及び１２７からそれぞれ発せられたアクセス要求メッセージをインターセプトする。図示されてはいないが、各ＳＴＩは、ＩＰネットワークを介してアプリケーションサービスにアクセスする加入者のアイデンティティを管理することを担当する身分証明局（ＩＡ）に論理的にリンクされる。ＳＴＩ及びＩＡの機能と論理操作は、上記の態様に関して詳細に説明される。特に、各第１ネットワークのＩＡは、取得したＩＰアドレスから加入者のアイデンティティの知識を得て、仮名をＩＰアドレスに関連付け、これは、（第１ネットワーク内の加入者のアイデンティティに対する関連性により）加入者を識別するだけでなく、要求されるアプリケーションサービスに関連する。要求サービスを仮名に関連付けできるためには、ＩＡ（又はＳＴＩがアプリケーションレベルで動作する場合にはＳＴＩ）は要求サービスのＵＲＩをアクセス要求メッセージから抽出する必要がある。ＵＲＩの知識を得ることにより、加入者の識別子をサービス関連の仮名に関連付け、それからアクセス要求メッセージ中に挿入することができる。サービス関連の仮名は、要求サービスを実施しているサービスプロバイダにより生成し、それからＩＡに通信することができる。このような通信を行なういくつかの解決策が可能である。これは、アイデンティティ連合をサポートするためにリバティ・アライアンス協会により規定されたプロトコルなどのプロトコルによって、オフライン方式によるか、ＩＡにより提供されサービスプロバイダにより用いられる何らかの提供ツールによるか、又はランタイムにて実行できる。

この態様においても加入者のアイデンティティは、ユーザーがサービスを要求する第１ネットワークにより保証されることが分かる。

マルチネットワークアクセスの可能なシナリオは、マルチプラットフォームオペレータにより管理される複数のネットワーク、例えば、ＧＰＲＳ、ＵＭＴＳ及び固定アクセスネットワーク（例えばＰＳＴＮの電話線上のｘＤＳＬなど）の加入者であるユーザーのマルチネットワークアクセスであり得る。

出願人はいくつかのサービスではクライアント（すなわち、加入者局）とサーバーとの間での相互認証が必要とされることが分かった。換言すれば、インターネットなどの外部のネットワークを介して何らかのサービスを利用する場合、ユーザーは自身がほんとうに所望の又は正しいサーバーと通信しているか否かを知る必要があるか又は知ることを欲し得る。リモートコンピュータがサーバーの挙動を模倣できるならば、ユーザーは欺かれて正しいサーバーを通信していると考えるかもしれない。例えば、金融機関、その顧客及び金融取引についての情報は、従来からセキュリティと信頼性に非常に神経質なものと考えられてきた。今日では、非対称キーペア暗号法が例えば、インターネットバンキングにおいてセキュリティと秘密性を保証するためにしばしば用いられる。

図１１は、本発明の好ましい態様において、相互認証の場合にＰＤＮを介してアプリケーションサーバー内にホストされたサービスにアクセスすることを示す簡略プロセス図である。工程１１３では、移動局又はＣＰＥであり得る加入者局１１０が、アプリケーションサーバー１１２内でホストされるサービスを要求する。この例では、メッセージはＰＯＳＴ型のＨＴＴＰアクセス要求メッセージである。常に工程１１３では本発明の方法（上記態様において詳細に記載）に従い、前記メッセージがＳＴＩ１１１によりインターセプトされ、トークン、すなわちＴｏｋｅｎ−ｃが生成され該メッセージに関連付けられる。次にＳＴＩはメッセージを関連のトークンと共にアプリケーションサーバーに送る（工程１１４）。メッセージを受信し（随意に認証の有効性を検証し）た後、サーバー１１２は応答トークン、すなわち、Ｔｏｋｅｎ−ｓを生成し、これは、受信したＰＯＳＴメッセージに対する肯定応答「Ｗｅｌｃｏｍｅ」中に入れられる。Ｔｏｋｅｎ−ｓは例えばＳＡＭＬアサーションなどの規格に従ってアプリケーションサービス（例えばＪａｖａ Ｓｅｒｖｌｅｔ又はＭｉｃｒｏｓｏｆｔ Ａｃｔｉｖｅ Ｓｅｒｖｅｒ Ｐａｇｅｓ）を実行するソフトウェア中に実装された文字列とし得る。別法として、Ｔｏｋｅｎ−ｓは好ましくはサービスプロバイダ敷地にてサーバーに論理的にリンクされた論理エンティティ（図中に図示せず）により生成される。論理エンティティはアプリケーションサーバーの前に配置されたアプリケーション・ファイア・ウォールとし得る。

Ｔｏｋｅｎ−ｓを含むと共にアプリケーションサーバー１１２により加入者局１１０に送信された応答メッセージは、ＳＴＩ１１１によりインターセプトされ、ＳＴＩ１１１がＴｏｋｅｎ−ｓを応答メッセージから抽出してその有効性を検証する。この有効性は、デジタル署名、又はネットワークオペレータ（ＳＴＩがオペレータ敷地にあることを想定）とサービスプロバイダとの間で共有された秘密、例えば対称キーによって検証できる。Ｔｏｋｅｎ−ｓの有効性が肯定的に検証されたなら、ＳＴＩはインターセプトされた肯定応答メッセージ「Ｗｅｌｃｏｍｅ」を加入者局に送信するか（工程１１６）又は加入者局１１０に送信される新しい肯定応答メッセージを生成する。そうでない場合には、ＳＴＩは通信を中断してエラーメッセージを加入者局（図中に図示されていない）に送る。

本態様ではＳＴＩはアプリケーションレベルで動作することが仮定されているので、ＳＴＩはアプリケーションサーバーから送信された応答メッセージをインターセプトできるだけでなく、Ｔｏｋｅｎ−ｓを抽出することもできる。ＳＴＩがトランスポートレベルまでで動作する場合には、ＳＴＩ１１１が応答メッセージをインターセプトし、それからＩＡ（図１１中に図示せず）に送信し、ＩＡがアプリケーションレベルのＴｏｋｅｎ−ｓを抽出してその有効性を検証することが分かる。

好ましくは、無許可の者によりＴｏｋｅｎ−ｓがインターセプト又は盗まれるのを避けるために、前記トークンを暗号化により保護するか又は寿命に関連付けることもできる。

サーバーの認証の機構もまたエンドユーザーに対してトランスペアレントであるという利点を有することに留意されたい。

サービスを要求する加入者の第１ネットワークがＧＰＲＳシステムであり、第２ネットワークがＩＰネットワークである本発明の一態様を示す。 第１ネットワークがモバイルネットワークである本発明の一態様により身分証明局（ＩＡ）に記憶された情報を有する表の例を示す。 アプリケーションサーバーにおいてホストされるウェブサービスに対するアクセス操作について、本発明の好ましい態様による処理図を示す。 本発明の別の態様において外部のＮＧＮＩＰネットワークに接続されたパケット交換ネットワークのブロック図を示す。 本発明の別の態様において、ＳＩＰサーバーにおいてホストされるＳＩＰサービスに対する、ＮＧＮを介するアクセス操作の処理図を概略的に示す。 アプリケーションサーバーにおいてホストされるウェブサイトに対するアクセス操作について、本発明の好ましい態様による処理図を示す。 サービスを要求する加入者の第１ネットワークが固定ネットワーク（ＡＤＳＬ）であり、第２ネットワークがＩＰネットワークである本発明の別の態様を示す。 第１ネットワークが固定ネットワークである本発明の一態様により身分証明局（ＩＡ）に記憶された情報を有する表の例を示す。 本発明の別の好ましい態様において、アプリケーションサーバーにおいてホストされるウェブサービスに対するアクセス操作の処理図を示す。 サービスを要求するユーザーが複数の（第１の）ネットワークの加入者であり、第２ネットワークがＩＰネットワークである本発明の一態様を示す。 本発明の別の態様による相互認証の場合の処理図を概略的に示す。

符号の説明

２ ＭＳ（移動局）
３ ＢＴＳ（基地局）
４ ＢＳＣ（基地局コントローラ）
５ ＳＧＳＮ（サービングＧＰＲＳサポートノード）
６ ＧＧＳＮ（ゲートウェイＧＰＲＳサポートノード）
７ ＡＡＡ（認証・許可・課金サーバー）
８ ＰＫＩ（パブリック・キー・インフラストラクチャ）
９ ＩＡ（身分証明局）
１０ ＳＴＩ（セキュリティ・トークン・インジェクター）
１１ サーバー
１２ ＩＰネットワーク

Claims (37)

1. 第１ネットワークの加入者が、パケットデータネットワーク（ＰＤＮ）である第２ネットワークを介してアプリケーションサーバーにアクセスするための方法であって、前記アプリケーションサーバーへの前記アクセスは、データパケット中に入れられたアクセス要求メッセージの形式で行われ、前記アクセス要求メッセージは、前記アプリケーションサーバーが提供するサービスのアプリケーションレベルのプロトコルを識別し、前記データパケットは、前記加入者に割り当てられた加入者のアドレスと、前記アクセス要求メッセージとを含み、前記加入者のアドレスは、前記第２ネットワークにおけるアドレスであり、前記加入者のアドレスと前記第１ネットワークにおける前記加入者の第１の識別子との間のマッピングは、割当てサーバーによって与えられ、前記方法は、
   ａ）第１の論理エンティティが、前記加入者が使用する加入者局からの前記第２ネットワークへの第１のデータパケットをインターセプトする工程と、
   ｂ）前記第１の論理エンティティにリンクされた第２の論理エンティティが、前記第１のデータパケットに含まれる前記アクセス要求メッセージによって識別される前記アプリケーションレベルのプロトコルを認識し、前記第１のデータパケットに含まれる前記加入者のアドレスにマッピングされた前記第１の識別子を前記割当てサーバーから取得し、認識した前記アプリケーションレベルのプロトコルに従って前記加入者の第２の識別子を含んだ第１認証トークンを生成する工程であって、前記第２の識別子は、前記第２の論理エンティティが生成し前記第１の識別子に関連付けられた識別子である、工程と
   ｃ）前記第１の論理エンティティが、前記第１のデータパケットに含まれる前記加入者のアドレスと、前記第１のデータパケットに含まれる前記アクセス要求メッセージと、生成された前記第１認証トークンとを含む第２のデータパケットを前記第２ネットワークに送る工程と
   を含む、方法。
2. 前記第２ネットワークがＩＰネットワークであり、前記加入者のアドレスがＩＰアドレスである請求項１に記載の方法。
3. 前記第１ネットワークがモバイルネットワークである請求項１又は２に記載の方法。
4. 前記モバイルネットワークがパケット交換携帯電話網である請求項３に記載の方法。
5. 前記パケット交換携帯電話網がＧＰＲＳネットワークである請求項４に記載の方法。
6. 前記パケット交換携帯電話網がＥＤＧＥ又はＵＭＴＳネットワークである請求項４に記載の方法。
7. 前記加入者の前記第１の識別子と前記加入者の前記第２の識別子が互いに異なる請求項１に記載の方法。
8. 前記第１ネットワークがＧＳＭネットワークであり、前記加入者の前記第１の識別子がＳＩＭベースのアイデンティティである請求項７に記載の方法。
9. 前記ＳＩＭベースのアイデンティティがＧＳＭネットワークにおける前記加入者に関連付けられたＩＭＳＩである請求項８に記載の方法。
10. 前記加入者の前記第２の識別子が前記加入者の前記第１の識別子に関連付けられた仮名である請求項７に記載の方法。
11. 前記第１の論理エンティティ又は前記第２の論理エンティティが、前記第１認証トークンを前記アクセス要求メッセージ中に含ませる工程を更に含む請求項１〜１０のいずれか一項に記載の方法。
12. 前記第１認証トークンが生成された後に、前記第２の論理エンティティが、前記第１認証トークンをデジタル署名と共に暗号化する工程を更に含む請求項１〜１１のいずれか一項に記載の方法。
13. 前記第１認証トークンを前記アクセス要求メッセージによって識別される前記アプリケーションレベルのプロトコルに従ったシンタックスにより表す請求項１〜１２のいずれか一項に記載の方法。
14. 前記アプリケーションレベルのプロトコルをＳＩＰ、ＨＴＴＰ及びＳＯＡＰ ｏｖｅｒ ＨＴＴＰからなる群から選ぶ請求項１〜１３のいずれか一項に記載の方法。
15. 前記アプリケーションレベルのプロトコルがＳＩＰ又はＨＴＴＰであり、前記第１認証トークンをＳＡＭＬ規格に従って指定する請求項１に記載の方法。
16. 前記第１ネットワークが固定アクセスネットワークである請求項１に記載の方法。
17. 前記固定アクセスネットワークがデジタル加入者線（ｘＤＳＬ）アクセス技術を用いる請求項１６に記載の方法。
18. 前記加入者の前記第１の識別子がログオンＩＤである請求項１６に記載の方法。
19. 工程ｃ）の後に、
    ｄ）前記第２のデータパケットを、前記第２ネットワークを介して前記アプリケーションサーバーにて受ける工程と、
    ｅ）前記アプリケーションサーバーが、受けた前記第２のデータパケットが含む前記アクセス要求メッセージへの第１の応答メッセージを生成する工程と、
    ｆ）前記アプリケーションサーバーが、第２認証トークンを生成し、前記第２認証トークンを前記第１の応答メッセージ中に含める工程と、
    ｇ）前記第１の論理エンティティが、前記第２認証トークンを含んだ前記第１の応答メッセージをインターセプトする工程と、
    ｈ）前記第１の論理エンティティが、前記第２認証トークンを前記第１の応答メッセージから抽出する工程と、
    ｉ）前記第１の論理エンティティが、前記第２認証トークンを検証し、該検証が肯定的ならば第２の応答メッセージを前記第１ネットワークに送る工程と
    を更に含む請求項１に記載の方法。
20. 工程ｄ）の後に、前記アプリケーションサーバーが前記第１認証トークンを検証する工程を更に含む請求項１９に記載の方法。
21. 前記第２の論理エンティティが、前記第１認証トークンが含む前記第２の識別子と要求された前記アプリケーションサーバーが提供するサービスとの間のマッピングを与える工程を更に含む請求項１に記載の方法。
22. 前記第１認証トークンが含む前記第２の識別子と要求された前記アプリケーションサーバーが提供するサービスとの間のマッピングを提供する前記ステップは、前記第２の論理エンティティが、要求された前記アプリケーションサーバーのＵＲＩを、前記第１のデータパケットが含む前記アクセス要求メッセージから抽出することを含む請求項２１に記載の方法。
23. 前記加入者の前記第２の識別子は、前記加入者の前記第１の識別子及び要求された前記アプリケーションサーバーが提供するサービスに関連付けられた仮名である請求項２１に記載の方法。
24. 第１ネットワークの加入者が、パケットデータネットワーク（ＰＤＮ）である第２ネットワークを介してアプリケーションサーバーにアクセスするためのシステムであって、前記アプリケーションサーバーへの前記アクセスは、データパケット中に入れられたアクセス要求メッセージの形式で行われ、前記アクセス要求メッセージは、前記アプリケーションサーバーが提供するサービスのアプリケーションレベルのプロトコルを識別し、前記データパケットは、前記加入者に割り当てられた加入者のアドレスと、前記アクセス要求メッセージとを含み、前記加入者のアドレスは、前記第２ネットワークにおけるアドレスであり、前記システムは、
    前記第１ネットワークにつながれ、前記加入者が使用して、第１のデータパケットを生成する加入者局と；
    前記加入者のアドレスを前記加入者に割り当て、前記加入者のアドレスと前記第１ネットワークにおける前記加入者の第１の識別子との間のマッピングを与える割当てサーバーと；
    前記第１ネットワークと前記第２ネットワークとをインターフェースし、前記割当てサーバーから受けた前記加入者のアドレスを前記加入者局に与え、前記加入者局から前記第１のデータパケットを受ける前記ゲートウェイと；
    前記ゲートウェイにリンクされ、前記加入者局で生成され前記ゲートウェイを介して前記第２ネットワークに向けられた前記第１のデータパケットをインターセプトし、前記第１のデータパケット中で少なくとも前記加入者のアドレスを取得する、第１の論理エンティティと；
    前記第１の論理エンティティにリンクされ、前記第１のデータパケットに含まれる前記加入者のアドレス及び前記アクセス要求メッセージを前記第１の論理エンティティから受け、受けた前記アクセス要求メッセージによって識別される前記アプリケーションレベルのプロトコルを認識し、受けた前記加入者のアドレスにマッピングされた前記第１の識別子を前記割当てサーバーから取得し、前記加入者の第２の識別子を含んだ第１認証トークンを、認識した前記アプリケーションレベルのプロトコルに従って生成する第２の論理エンティティであって、前記第２の識別子は、前記第２の論理エンティティが生成し前記第１の識別子に関連付けられた識別子である、前記第２の論理エンティティと；
    を備え、前記第１の論理エンティティは、前記第１のデータパケットに含まれる前記加入者のアドレスと、前記第１のデータパケットに含まれる前記アクセス要求メッセージと、前記第１認証トークンとを含む第２のデータパケットを前記第２ネットワークに送る、システム。
25. 前記割当てサーバーと前記ゲートウェイが前記第１ネットワークに含まれる請求項２４に記載のシステム。
26. 前記第１の論理エンティティと前記第２の論理エンティティが前記第１ネットワークに含まれる請求項２４に記載のシステム。
27. 前記第１ネットワークがモバイルネットワークであり、前記加入者局が無線リンクを介して前記第１ネットワークにつながれた移動局である請求項２４に記載のシステム。
28. 前記第１ネットワークがパケット交換携帯電話網である請求項２７に記載のシステム。
29. 前記ゲートウェイがＧＧＳＮである請求項２７又は２８に記載のシステム。
30. 前記割当てサーバーが認証・許可・課金（ＡＡＡ）サーバーである請求項２４に記載のシステム。
31. 前記第２ネットワークがＩＰネットワークである請求項２４に記載のシステム。
32. 前記第２の論理エンティティに論理的にリンクされ、前記第１認証トークンを暗号化する証明論理エンティティを更に含む請求項２４に記載のシステム。
33. 前記第１の論理エンティティがアプリケーションレベルのファイアウォールである請求項２４に記載のシステム。
34. 前記第１ネットワークが固定アクセスネットワークであり、前記加入者局が有線リンクを介して前記第１ネットワークにつながれた顧客敷地装置である請求項２４に記載のシステム。
35. 前記加入者の前記第１の識別子がログオンＩＤである請求項３４に記載のシステム。
36. 前記第１の論理エンティティがまた、前記第２ネットワークを介して送信されて前記ゲートウェイを介して前記加入者局に向けられた応答メッセージをインターセプトする請求項２４に記載のシステム。
37. 前記応答メッセージが第２認証トークンを含む請求項３６に記載のシステム。