JP5255060B2 - 安全な無線通信 - Google Patents

Description

本出願は、米国特許法第１１９条（ｅ）のもと、参照によりその全内容が本明細書に組み込まれる、２００７年１０月９日に出願された米国仮出願第６０／９９８１２５号の優先権の利益を主張するものである。

本発明は、安全な無線通信のための方法およびシステムに関する。具体的には、本発明は、相互認証された通信チャネルを確立するために、ネットワークとモバイル機器との両方において認証鍵を確立する方法に関する。

無線通信に関するセキュリティ方法および処理は近年進化している。具体的には、２Ｇ ＣＤＭＡセキュリティが３Ｇ ＣＤＭＡセキュリティへと進化した。

当技術分野でよく知られているように、２Ｇ ＣＤＭＡセキュリティは、セルラ認証および音声暗号化（Ｃｅｌｌｕｌａｒ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｖｏｉｃｅ Ｅｎｃｒｙｐｔｉｏｎ）（ＣＡＶＥ）を使用する。具体的には、２Ｇ ＣＤＭＡセキュリティは、少なくともＡＫｅｙと一般に呼ばれるルート鍵と、ＳＳＤ（共有秘密データ）鍵とを使用する。このＳＳＤ鍵は、よく知られているＳＳＤ更新手順によって生成される。このＳＳＤ鍵は準長期鍵であり、本明細書ではルート鍵として扱う。このＳＳＤ鍵は、例えばネットワークのビジタロケーションレジスタ（ＶＬＲ）がモバイル機器のホームサービングシステムである場合、そのＶＬＲと共有することができる。さらに、従来の２Ｇ ＣＤＭＡセキュリティプロトコルは、グローバルチャレンジ／レスポンス手順および固有チャレンジ／レスポンス手順を伴うことがある。

グローバルチャレンジ手順では、ネットワークがランダムチャレンジＲＡＮＤをモバイル機器にブロードキャストする。認証を必要とするネットワーク内のシステムアクセス（例えば登録、発呼、呼終了）を行うモバイル機器は、長期鍵を使用して認証レスポンスＡＵＴＨＲを作成し、送信する。このＲＡＮＤ／ＡＵＴＨＲの対は、検証するためにホームロケーションレジスタ／認証センタ（ＨＬＲ／ＡＣ）に転送される。さらに、種別が発呼の呼では、ＡＵＴＨＲを計算する際に末尾の６桁の数字が使用される。発呼および呼終了の両方で、モバイルはその呼に有用である鍵（すなわちＳＭＥＫＥＹおよびＰＬＣＭ）を生成する。ＲＡＮＤ／ＡＵＴＨＲの対が検証される場合、ＨＬＲ／ＡＣもＳＭＥＫＥＹおよびＰＬＣＭを生成し、ＶＬＲに返信する。

固有チャレンジ手順は、モバイル機器と通信しようと試みるネットワークにより、制御チャネル上またはトラフィックチャネル上で随時実行され得る。例えばＶＬＲは、固有チャレンジと期待レスポンスとの対、ＲＡＮＤＵとＡＵＴＨＵとをＨＬＲ／ＡＣに要求する。ネットワークがＲＡＮＤＵをモバイル機器に送信し、そのモバイル機器が長期鍵を使用してレスポンスＡＵＴＨＵを計算し、レスポンスＡＵＴＨＵをネットワークに送信する。ネットワークはそのＲＡＮＤＵ／ＡＵＴＨＵの対を検証する。

従来の３Ｇ ＣＤＭＡセキュリティプロトコルは認証および鍵一致（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ）（ＡＫＡ）プロトコルに基づき、通信が行われる前に（ｉ）モバイル機器がネットワークを認証し、（ｉｉ）ネットワークがモバイル機器を認証することを意味する相互認証を行う。３Ｇ ＣＤＭＡで使用されるよく知られているＡＫＡセキュリティプロトコルは、五つ組に基づく。その五つ組には、乱数ＲＡＮＤ、期待レスポンスＸＲＥＳ、暗号鍵ＣＫ、完全性鍵ＩＫ、およびネットワーク認証トークンＡＵＴＮが含まれる。従来のネットワーク認証トークンＡＵＴＮは、シーケンス番号ＳＱＮ、匿名鍵ＡＫ、認証管理フィールドＡＭＦ、およびメッセージ認証コード（ＭＡＣ）に基づく。

例えばこのモバイル機器は、このモバイル機器の中に記憶されたシーケンス番号ＳＱＮ、このモバイル機器の中に記憶された秘密鍵Ｋ、ＡＭＦ、および乱数ＲＡＮＤに基づく独自のＭＡＣを生成する。次いで、このモバイル機器において生成されるＭＡＣが、サービングシステムから受信されるネットワーク認証トークンＡＵＴＮから抽出されるＭＡＣと比較される。加えてさらに、このモバイル機器は、ネットワーク認証トークンから抽出されるシーケンス番号ＳＱＮが許容値であるかどうかを判定することができる。このモバイル機器がネットワークを成功裏に認証する場合、このモバイル機器はレスポンスＲＥＳを作成し、そのレスポンスＲＥＳをネットワークのサービングシステムに返信する。次いで、ネットワークのサービングシステムが、そのモバイル機器を認証するために期待レスポンスＸＲＥＳをレスポンスＲＥＳと比較し、それにより従来のＡＫＡセキュリティプロトコルによる相互認証を完成する。

ネットワーク認証トークンＡＵＴＮから抽出されたＭＡＣが、このモバイル機器の中で生成されるＭＡＣと一致しないとこのモバイル機器が認証処理中に判定する場合、このモバイル機器は、失敗メッセージをネットワークのサービングシステムに伝送する。さらに、ネットワーク認証トークンＡＵＴＮから抽出されたＭＡＣ値が、このモバイル機器によって生成されるＭＡＣ値と一致するが、シーケンス番号ＳＱＮが許容範囲外であるとこのモバイル機器が認証処理中に判定する場合、このモバイル機器は、再同期メッセージをネットワークに伝送する。上記に簡潔に説明し、３Ｇ ＣＤＭＡで使用されるこのＡＫＡセキュリティプロトコルは当技術分野でよく知られており、よって簡潔にするために本明細書ではさらなる情報を提供しない。

セキュリティプロトコルは、２Ｇ ＣＤＭＡセキュリティプロトコルから、一部の従来のＩＭＳセキュリティプロトコルにも実装されている３Ｇ ＣＤＭＡセキュリティプロトコルへと移行することによって進化してきたが、無線通信用に使用されるハードウェア機器の一部は更新されておらず、かつ／またはより高度に進化したプロトコルを処理する能力がない。例えば、２Ｇ ＣＤＭＡセキュリティプロトコルを処理するために使用されるハードウェアに、かなりの量の時間、研究、および資金を投じてきた可能性がある一部の企業は、費用に関連する様々な理由からハードウェアを更新しないことに決めている。したがって、一部の従来の２Ｇ ＣＤＭＡハードウェア装置は、従来の３Ｇ ＣＤＭＡのＡＫＡセキュリティプロトコルを使用して、相互認証された通信チャネルを提供することが現在はできない。

３Ｇ ＣＤＭＡに関して上述した五つ組に基づくＡＫＡセキュリティプロトコルを使用することなく、相互認証された通信チャネルを確立しようと試みる提案を行う。別の言い方をすれば、これらの提案は、２Ｇ ＣＤＭＡセキュリティプロトコルで前に使用されたＩＳ−４１認証手順を使用することを試みる。しかし、これらの提案のすべてが少なくとも以下の不完全性に見舞われる。具体的には、過去のＩＳ−４１セッション鍵（例えばＳＭＥＫＥＹやＰＬＣＭ）が漏洩（ｃｏｍｐｒｏｍｉｓｅ）すると、攻撃者が乱数を再現し、成功裏に鍵一致プロトコルを完成し、モバイル機器またはネットワークと通信することを可能にする。そのようなものとして、前に使用されたＩＳ−４１セッション鍵が暴かれる場合にはこれらの提案は安全ではない。

諸実施形態例は、モバイル機器とネットワークとの間で通信を確立することに関する、ＡＮＳＩ−４１セキュリティプロトコルを活用する方法および機器を提供する。

一実施形態では、ネットワークとの通信を認証するためにモバイル機器によって実行されるこの方法は、ネットワークから認証情報を受信するステップと、受信される認証情報から第１の乱数を得るステップとを含む。この第１の乱数は、ネットワークがそのモバイル機器に関連付ける乱数である。少なくとも１つのモバイル機器鍵が、セルラ認証および音声暗号化を使用し、第１の乱数に基づいて生成される。受信される認証情報から第２の乱数が得られる。この第２の乱数は、ネットワークに関連付けられる。少なくとも１つのネットワーク鍵が、セルラ認証および音声暗号化を使用し、第２の乱数から生成される。このモバイル機器鍵およびネットワーク鍵に基づいて認証鍵が生成される。認証および鍵一致セキュリティプロトコルによるこの認証鍵、および受信される認証情報の少なくとも一部分に基づいて、期待ネットワークメッセージ認証コードが生成される。ネットワークが、この期待ネットワークメッセージ認証コードに基づいて認証される。

別の実施形態では、モバイル機器とのネットワークを確立するためにネットワークによって実行される方法は、チャレンジを生成するステップを含む。このチャレンジは、シーケンス番号フィールド、認証管理フィールド、および乱数フィールドを含む。そのシーケンス番号フィールドは、シーケンス番号、およびネットワークがモバイル機器に関連付ける第１の乱数の一部分を含む。認証管理フィールドは第１の乱数の別の一部分を含み、乱数フィールドは第２の乱数、および第１の乱数のさらなる一部分を含む。この実施形態は、第１の乱数を使用して少なくとも１つのモバイル機器鍵を得るステップと、第２の乱数を使用して少なくとも１つのネットワーク鍵を得るステップと、そのモバイル機器鍵およびネットワーク鍵に基づいて認証鍵を生成するステップとをさらに含む。認証および鍵一致セキュリティプロトコルによるこの認証鍵に基づいて第１のメッセージ認証コードが生成され、シーケンス番号フィールド内のシーケンス番号、認証管理フィールド、および第１のメッセージ認証コードに基づいて認証トークンが生成される。このチャレンジおよび認証トークンは、モバイル機器に送信される。

本発明は、本明細書で以下に示す詳細な説明、および同様の要素を同様の参照番号によって示す添付図面により、より完全に理解されるであろう。これらの説明および図面は例示目的で示すに過ぎず、したがって本発明を限定するものではない。

一実施形態例による通信システムを示す図である。 モバイル機器の一実施形態例を示す図である。 通信チャネルを確立する際に従来から使用されている乱数よりも長さが長い乱数ＲＡＮＤＭの一実施形態例を示す図である。 ホーム加入者サーバ（ＨＳＳ）４００とモバイル機器との間に相互認証された通信チャネルを確立するために、ＨＳＳによって生成され、ＨＳＳおよびモバイル機器の両方によって使用され得るＡＫＡチャレンジの一実施形態例を示す図である。 相互認証された通信チャネルを形成するために、ＨＳＳ、ＨＬＲ／ＡＣ、およびモバイル機器によって実行される操作の、ならびにＨＳＳ、ＨＬＲ／ＡＣ、およびモバイル機器間の通信の一実施形態例を示す流れ図と信号図との混成図である。 ＨＳＳを認証する際のモバイル機器の操作例を示す流れ図である。

図１は、少なくとも１つのモバイル機器（ＭＥ）１００、ホームロケーションレジスタ（ＨＬＲ）３００、およびホーム加入サーバ（ＨＳＳ）４００を含む通信システム１０を示す。図１に示す通信システム１０は、単純化されており、ＭＥ１００、ＨＬＲ／ＡＣ３００、およびＨＳＳ４００間で通信するために使用される様々な中間構成要素を含むはずであることを当業者は理解されよう。ＭＥ１００の位置、ＭＥ１００によって要求されるサービスの種類等は、ＨＬＲ３００またはＨＳＳ４００が、要求されたサービスをＭＥ１００に提供するかどうかを決定し得る。

図１に関して説明するものとしての実施形態例によれば、ＨＬＲ３００は認証センタ（ＡＣ）３１０を含む。このＨＬＲ３００とＡＣ３１０とを別個のものとし、ＡＣ３１０の代わりにこの通信システムの別の構成要素が、図１に示すものとしてのＨＬＲ３００に含まれてよいことを当業者は理解されよう。本出願の残りの部分では、このＨＬＲ３００と認証センタ３１０とを一括してロケーションレジスタ／認証センタ（ＨＬＲ／ＡＣ）と呼ぶ。ＨＬＲ／ＡＣ３００は、セルラ認証および音声暗号化（ＣＡＶＥ）など、よく知られている２Ｇ ＣＤＭＡセキュリティ手順を実行するための機能を含む。

この実施形態例によれば、ＨＳＳ４００は、ＭＥ１００と先験的に任意のＡＫＡ暗号鍵について一致することなく、相互認証された通信チャネルを確立するために、ＨＬＲ／ＡＣ３００に関するビジティングロケーションレジスタ（ＶＬＲ）として機能し、ＨＬＲ／ＡＣ３００の２Ｇ ＣＤＭＡセキュリティ機能を活用することができる。

図２は、ＭＥ１００の一実施形態例を示す。図２に示すように、ＭＥ１００は、ユーザ識別モジュール（ＵＩＭ）、メモリ１２０、プロセッサ１３０、およびトランシーバ１４０を含む。このＵＩＭは、従来のユーザ識別モジュールとすることができる。あるいは、ＭＥ１００のＵＩＭは、従来の取外し可能ユーザ識別モジュール（ＲＵＩＭ）とすることができることを当業者は理解されよう。例えば、このＵＩＭは、２Ｇ ＣＤＭＡセキュリティプロトコルに基づいて機能するように開発されたモジュールとすることができる。そのようなものとして、このＵＩＭは当技術分野でよく知られているようにＭＩＮ／ＩＭＳＩ／ＴＭＳＩを記憶することができ、簡潔にするために本明細書ではこれ以上説明しない。

メモリ１２０、プロセッサ１３０、およびトランシーバ１４０は、図３および図４に関して以下に説明する方法の諸実施形態例を実行するために、このＵＩＭと併せて使用することができる。説明を簡単にするために、以下に説明する諸実施形態例では、このメモリ１２０、プロセッサ１３０、およびトランシーバ１４０を一括してＭＥと呼ぶ。

図３は、通信チャネルを確立する際に従来から使用されている乱数よりも長さが長い乱数ＲＡＮＤＭの一実施形態例を示す。ＭＥ１００が乱数ＲＡＮＤＭを生成する。例えばこの乱数ＲＡＮＤＭの生成は、ＭＥ１００にＵＩＭを挿入したときに、および／またはＨＳＳ４００から受信される信号に応答してトリガされる。図３に示す乱数ＲＡＮＤＭは、７２ビット含む。具体的には、この乱数ＲＡＮＤＭは、例えば２０個のランダムビット、セルラ認証および音声暗号化（ＣＡＶＥ）で使用される３２ビット、および６桁の呼出し番号を表す２０ビットを含む。以下、ＭＥ１００によって生成され、ＭＥ内に記憶される乱数ＲＡＮＤＭをＲＡＮＤＭ_ＭＥと呼び、この下付き文字のＭＥは、その乱数がＭＥ１００内に記憶されていることを指示する。この乱数ＲＡＮＤＭ_ＭＥがＨＳＳ４００に伝えられ、ＲＡＮＤＭ_ＨＳＳとしてＨＳＳ４００において記憶される。

図４は、ＨＳＳ４００とＭＥ１００との間に相互認証された通信チャネルを確立するために、ＨＳＳ４００によって生成され、ＨＳＳ４００およびＭＥ１００の両方によって使用され得るＡＫＡチャレンジの一実施形態例を示す。図４に示すように、このＡＫＡチャレンジは、図３に示す形式の乱数ＲＡＮＤＭを含む。ただし、このＡＫＡチャレンジに含まれる乱数ＲＡＮＤＭは、ＨＳＳ４００内に記憶される乱数ＲＡＮＤＭであるので、この乱数はＲＡＮＤＭ_ＨＳＳと呼ぶ。同様に、ＭＥ内に記憶される乱数ＲＡＮＤＭはＲＡＮＤＭ_ＭＥと呼ぶ。このＡＫＡチャレンジは、通信チャネルを確立する際に従来から使用されている乱数よりも長さが長い乱数ＲＡＮＤＭに少なくとも部分的に基づいて、セキュリティの向上を実現する。

図４に示すように、このＡＫＡチャレンジは、シーケンス番号（ＳＱＮ）フィールド、認証管理フィールド（ＡＭＦ）、および認証鍵一致乱数（ＡＫＡ＿ＲＡＮＤ）フィールドを含む。このＳＱＮフィールド、ＡＭＦ、およびＡＫＡ＿ＲＡＮＤフィールドそれぞれの少なくとも一部分は、前にＨＳＳ４００内に記憶され、このＡＫＡチャレンジを生成するために使用された、ＲＡＮＤＭ_ＨＳＳのいくつかのビットを含む。

図４を参照すると、このＳＱＮフィールドは、ＨＳＳ４００内に記憶されたシーケンス番号（ＳＱＮ_ＨＳＳ）の少なくとも一部分、指示子またはフラグ（Ｒ）、および乱数ＲＡＮＤＭ_ＨＳＳの一部分を含む。具体的には、このＳＱＮフィールドは、ＳＱＮ_ＨＳＳの１６ビット、指示子の１ビット、およびＲＡＮＤＭ_ＨＳＳの３１ビットを含む、合計４８ビットを有する。このＳＱＮフィールドは、メッセージ認証コード（ＭＡＣ）を生成するために使用される関数への入力のうちの１つである。

このＳＱＮフィールドの指示子Ｒは、新たな乱数ＲＡＮＤＭ_ＭＥを生成し記憶するようにＭＥ１００をトリガするために、ＨＳＳ４００によって使用される。前に指摘したように、この乱数ＲＡＮＤＭ_ＭＥは７２ビットとすることができる。例えば、指示子Ｒが「１」の場合、ＭＥ１００は新たな乱数ＲＡＮＤＭ_ＭＥを生成し記憶するのに対し、この指示子が「０」の場合、ＭＥ１００は新たな乱数ＲＡＮＤＭ_ＭＥを生成し記憶しない。

引き続き図４を参照すると、このＡＭＦは、ＨＳＳ４００内に記憶された乱数ＲＡＮＤＭ_ＨＳＳの１６ビットを含む。このＡＭＦは、ＭＡＣを計算するために使用される関数への入力のうちの別の入力である。

ＡＫＡ＿ＲＡＮＤフィールドは、ＨＳＳ４００内に記憶された乱数ＲＡＮＤＭ_ＨＳＳの一部分、およびＨＳＳ４００によって生成されるランダムビットを含む。具体的には、このＡＫＡ＿ＲＡＮＤフィールドは１２８ビット含む。このＡＫＡ＿ＲＡＮＤフィールドの１２８ビットには、乱数ＲＡＮＤＭ_ＨＳＳの２５ビット、２４ビット含む固有チャレンジＲＡＮＤＵ、およびＨＳＳ４００によって生成される他の７９ビットが含まれる。

図４に示すＡＫＡチャレンジを使用して実行される操作、およびそのＡＫＡチャレンジを使用する通信ならびに／またはそのＡＫＡチャレンジから抽出される情報を次に図５に関して説明する。

図５は、ＨＳＳ４００、ＨＬＲ／ＡＣ３００、およびＭＥ１００によって実行される操作の、ならびにＨＳＳ４００、ＨＬＲ／ＡＣ３００、およびＭＥ１００間の通信の実施形態例を示す流れ図と信号図との混成図である。

図示にように、このよく知られているＨＳＳ４００が、ＨＬＲ／ＡＣ３００と協同して、よく知られている乱数の対ＲＡＮＤＵ／ＡＵＴＨＵを得る。ＨＳＳ４００は、ＳＭＥＫＥＹやＰＬＣＭなどのネットワーク鍵ＫＥＹＳＮ_ＨＳＳを得るために、このＲＡＮＤＵ／ＡＵＴＨＵの対を、よく知られているＲＡＮＤＵ／ＡＵＴＨＲとしてＨＬＲ／ＡＣ３００に送信する。つまり、ＨＳＳ４００は、ＨＬＲ／ＡＣ３００の２Ｇ ＣＤＭＡセキュリティ機能を活用する。ＨＬＲ／ＡＣ３００は、ＣＡＶＥによりネットワーク鍵ＫＥＹＳＮ_ＨＳＳを生成し、そのネットワーク鍵ＫＥＹＳＮ_ＨＳＳをＨＳＳ４００に返信する。

同様に、ＨＳＳ４００は、モバイル乱数ＲＡＮＤＭ_ＨＳＳをＨＬＲ／ＡＣ３００に送信する。上述のように、このモバイル乱数ＲＡＮＤＭ_ＨＳＳは、ＲＡＮＤＭ_ＭＥとしてＭＥから前に受信され、モバイル乱数ＲＡＮＤＭ_ＨＳＳとしてＨＳＳ４００内に記憶されていてよい。つまりこのモバイル乱数ＲＡＮＤＭ_ＨＳＳは、ネットワークがモバイル機器に関連付ける乱数である。ＨＬＲ／ＡＣ３００は、ＳＭＥＫＥＹやＰＬＣＭなどのモバイル機器鍵ＫＥＹＳＭ_ＨＳＳを生成するために、このＲＡＮＤＭ_ＨＳＳに対してＣＡＶＥ操作を実行する。

例えばモバイル乱数ＲＡＮＤＭ_ＭＥが前に受信されていないか、ＨＳＳ４００から削除されており、モバイル乱数ＲＡＮＤＭ_ＨＳＳがＨＳＳ４００において入手できない可能性がある。この場合、ネットワークが乱数ＲＡＮＤＭ_ＨＳＳを作成する。例えば、ＨＳＳ４００が第２の乱数ＲＡＮＤＮを作成し、この第２の乱数ＲＡＮＤＮを、ＨＳＳ４００内に記憶されるモバイル乱数ＲＡＮＤＭ_ＨＳＳのＣＡＶＥ ＲＡＮＤ部（図３参照）として使用することができる。さらにＨＳＳ４００は、ＨＳＳ４００内に記憶されるモバイル乱数ＲＡＮＤＭ_ＨＳＳのランダムセクション内に含めるべきランダムビットを生成するとともに、そのモバイル乱数ＲＡＮＤＭ_ＨＳＳの呼出し番号セクションのビットをすべてを「１」に設定することができる。チャレンジ内で送信されるモバイル乱数ＲＡＮＤＭ_ＨＳＳの呼出し番号セクション内にすべてを含めることは、ＲＡＮＤＮに関する情報をＭＥに指示することができることを指摘しておく。

図５に戻ると、ステップＳ５５０で、ＨＳＳ４００が認証鍵ＡＫＡ＿ｋｅｙを生成する。例えばこの認証鍵ＡＫＡ＿ｋｅｙは、次の等式によって示されるように、ネットワーク鍵ＫＥＹＳＮ_ＨＳＳとモバイルＫＥＹＳＭ_ＨＳＳとのハッシュとすることができる：ＡＫＡ＿ｋｅｙ＝Ｈ_１（ＫＥＹＳＭ_ＨＳＳ，ＫＥＹＳＮ_ＨＳＳ）。ステップＳ５６０で、ＨＳＳ４００は、ＲＡＮＤＵ、ＡＭＦの値、およびシーケンス番号ＳＱＮ_ＨＳＳとともに、３Ｇ ＣＤＭＡの認証および鍵一致プロトコルによるＡＫＡ＿ＫＥＹを使用して、ＨＳＳ４００内に記憶されるメッセージ認証コードＭＡＣ_ＨＳＳを生成する。

次いでこのＨＳＳは、ステップＳ５７０で、図４のチャレンジと認証トークンＡＵＴＮとを生成する。この認証トークンＡＵＴＮは、匿名鍵ＡＫ、シーケンス番号ＳＱＮ_ＨＳＳ、認証管理フィールドＡＭＦ、およびメッセージ認証コードＭＡＣ_ＨＳＳを含むように形成される。このチャレンジと認証トークンＡＵＴＮとは、ＭＥ１００に送信される。

図６は、そのチャレンジと認証トークンＡＵＴＮとを受信したときに、ＨＳＳを認証する際のモバイル機器の操作例を示す流れ図である。具体的には、ＭＥ１００のトランシーバ１４０が、ＨＳＳ４００からチャレンジおよびトークンを受信し、その情報を処理するためにプロセッサ１３０に提供し、かつ／または記憶するためにメモリ１２０に提供する。

図６に示すように、ステップＳ６１０で、ＭＥ１００が、受信したチャレンジのＡＫＡ＿ＲＡＮＤフィールドからＲＡＮＤＵを抽出し、ＭＥ１００はその抽出した乱数ＲＡＮＤＵを使用して、ＰＬＣＭやＳＭＥＫＥＹなどのネットワーク鍵ＫＥＹＳＮ_ＭＥを生成することができる。前述のように、乱数に基づく鍵の生成については当技術分野でよく知られており、ＣＡＶＥを使用してＭＥ１００のＵＩＭにより容易に実行され得る。ＭＥ１００およびＨＬＲ／ＡＣ３００は、ネットワーク鍵ＫＥＹＳＮを同じ方法で生成することが理解されよう。

さらにステップＳ６２０で、ＭＥのプロセッサ１３０が、受信したチャレンジから乱数ＲＡＮＤＭ_ＨＳＳを抽出し、プロセッサ１３０はモバイル鍵ＫＥＹＳＭ_ＭＥを生成する。ここでも、ＭＥ１００は、モバイル鍵ＫＥＹＳＭ_ＭＥを生成するために、ＲＡＮＤＭ_ＨＳＳに対してＣＡＶＥを使用する。あるいは、このモバイル鍵ＫＥＹＳＭ_ＭＥがＲＡＮＤＭ_ＭＥに基づいて既に生成され、ＭＥ１００のメモリ１４０に記憶されている可能性がある。例えば、プロセッサ１３０は、２０個の最下位ビットを６桁のダイアルされた数字として、次の３２個の最下位ビットをＣＡＶＥ ＲＡＮＤとして設定し、モバイル認証レスポンスＡＵＴＨＭおよびモバイル鍵ＫＥＹＳＭ_ＭＥを得るために、この情報をＵＩＭに提供する。

ＭＥ１００により、ネットワーク鍵ＫＥＹＳＮ_ＭＥとモバイル鍵ＫＥＹＳＭ_ＭＥとの両方が得られると、ステップＳ６３０で、ＭＥ１００は認証鍵ＡＫＡ＿ｋｅｙを生成する。例えばこの認証鍵ＡＫＡ＿ｋｅｙは、次の等式によって示されるように、ネットワーク鍵ＫＥＹＳＮ_ＭＥとモバイルＫＥＹＳＭ_ＭＥとのハッシュとすることができる：ＡＫＡ＿ｋｅｙ＝Ｈ_１（ＫＥＹＳＮ_ＭＥ，ＫＥＹＳＭ _ＭＥ）。

ステップＳ６４０で、ＭＥ１００が期待メッセージ認証コードＸＭＡＣを生成する。この期待メッセージ認証コードＸＭＡＣは、ＡＫＡチャレンジのＳＱＮ部からのモバイル乱数ＲＡＮＤＭ_ＨＳＳ、ならびに３Ｇ ＣＤＭＡの認証および鍵一致セキュリティプロトコルによりＭＥ１００内で生成され、記憶される認証鍵ＡＫＡ＿ｋｅｙを使用して、ＭＥ１００によって生成される。

次いでステップＳ６５０で、ＭＥ１００は、この期待メッセージ認証コードＸＭＡＣを、認証トークンＡＵＴＮから得たＭＡＣＭ_ＨＳＳと比較する。期待メッセージ認証コードＸＭＡＣと、ＨＳＳ４００に関連するＭＡＣＭ_ＨＳＳとが一致しない場合、図６に示すように、ＭＥ１００は認証失敗をＨＳＳ４００に送信し、このセキュリティプロトコルは打ち切られる。あるいは、期待メッセージ認証コードＸＭＡＣと、ＨＳＳ４００に関連するＭＡＣＭ_ＨＳＳとが一致する場合、図６に示すこの方法はステップＳ６６０に進む。

ステップＳ６６０で、ＭＥ１００は、ＡＫＡチャレンジ内でＨＳＳ４００から受信したモバイル乱数ＲＡＮＤＭ_ＨＳＳが、ＭＥ１００内に記憶されたモバイル乱数ＲＡＮＤＭ_ＭＥと一致するかどうかを判定する。ＨＳＳ４００から受信したモバイル乱数ＲＡＮＤＭ_ＨＳＳが、ＭＥ１００のメモリ１４０に記憶されたモバイル乱数ＲＡＮＤＭ_ＭＥと一致しない場合、ステップＳ６７０で、ＭＥ１００は再同期メッセージを生成し、送信する。図６に示すように、この再同期メッセージは、シーケンス番号ＳＱＮ_{ＲＥＳＹＮＣ}フィールドとＭＡＣＳフィールドとを含む。

一実施形態例によれば、この再同期メッセージは、ＭＥ１００内に記憶されるモバイル乱数ＲＡＮＤＭ_ＭＥを含む。例えば、図６では、シーケンス番号フィールドはＲＡＮＤＭ_ＭＥの４８ビットを含み、ＭＡＣＳフィールドはモバイル乱数ＲＡＮＤＭ_ＭＥの２４ビットを含む。さらに、このＭＡＣＳフィールドは、ＭＡＣＳの１８ビットと排他的論理和演算されるモバイル認証レスポンスＡＵＴＨＲＭの１８ビットとともに、ＭＡＣＳの２２ビットを含む。モバイル認証レスポンスＡＵＴＨＲＭの生成については当技術分野でよく知られており、よって簡潔にするために本明細書では説明しない。

再同期メッセージを受信することに応答して、ＨＳＳ４００は、ＭＥ１００を検証するために、認証鍵ＡＫＡ＿ｋｅｙを使用してＭＡＣＳ_ＨＳＳを生成する。具体的には、ＨＳＳ４００は、前に生成した認証鍵ＡＫＡ＿ｋｅｙ、ＨＳＳ４００内に記憶されたモバイル乱数ＲＡＮＤＭ_ＨＳＳ、およびＨＳＳ４００内に記憶された乱数ＡＫＡ＿ＲＡＮＤを使用して疑似ランダム関数を実行する。

次いでＨＳＳ４００は、ＭＡＣＳ_ＨＳＳを、ＭＥ１００によって提供される再同期メッセージ内で受信されるＭＡＣＳと比較する。例えば、ＨＳＳ４００は、再同期メッセージ内で受信されるＭＡＣＳの２２個の最下位ビットを抽出し、抽出した２２ビットを、ＭＡＣＳ_ＨＳＳの２２個の最下位ビットと比較することができる。

さらに、ＨＳＳ４００は、ＭＡＣＳの次の１８ビットを排他的論理和演算することにより、ＭＥ１００から受信されるモバイル認証レスポンスＡＵＴＨＲＭを抽出する。一実施形態例によれば、次いでＨＳＳ４００は、ＭＥ１００を検証しかつ新たなモバイル鍵ＫＥＹＳＭ_ＨＳＳを得るために、追加情報とともにそのＡＵＴＨＲＭをＨＬＲ／ＡＣ３００に送信する。この追加情報には、例えばＣＡＶＥ ＲＡＮＤＭ_ＭＥや呼出し番号が含まれる。モバイル認証レスポンスがＨＬＲ／ＡＣ３００によって検証される場合、ＭＡＣＳの１８ビットも検証され、よって合計４０ビットが検証される。

あるいは、ステップＳ６６０で、ＲＡＮＤＭ_ＨＳＳがＲＡＮＤＭ_ＭＥに等しい場合、図６に示すこの方法はステップＳ６８０に進む。ステップＳ６８０で、ＭＥ１００は、シーケンス番号ＳＱＮが許容できるかどうかを判定する。現在の認証処理に関連するシーケンス番号ＳＱＮが、ＭＥ１００内に前に記憶されたシーケンス番号ＳＱＮ_ＭＥと比較される。例えば、現在の認証処理に関連するシーケンス番号ＳＱＮは、ＭＥ１００内に前に記憶されたシーケンス番号ＳＱＮ_ＭＥよりも大きいが、特定の範囲内にあるはずである。別の言い方をすれば、現在の認証処理に関連するシーケンス番号ＳＱＮは、ＭＥ１００内に前に記憶されたシーケンス番号ＳＱＮ_ＭＥよりも大きく、許容できるシーケンス番号、ＳＱＮ_ＭＥ＋Δの上限よりも小さいはずであり、すなわちＳＱＮＭＤ＜ＳＱＮ＜ＳＱＮＭＥ＋Δであり、ただしΔは整数値である。

ステップＳ６８０で、シーケンス番号ＳＱＮが許容範囲外であると判定される場合、ステップＳ６９０で、ＭＥ１００は再同期メッセージを送信する。図６に示すように、この再同期メッセージは、シーケンス番号ＳＱＮ_{ＲＥＳＹＮＣ}フィールドとＭＡＣＳフィールドとを含む。例えば、この再同期メッセージのＳＱＮ_{ＲＥＳＹＮＣ}フィールドは、４８ビットのシーケンス番号のうちの３２個の最上位ビットについてゼロを含むことができ、４８ビットのシーケンス番号のうちの１６個の最下位ビットを、ＭＥ１００内に前に記憶されたシーケンス番号ＳＱＮ_ＭＥに設定することができる。前に説明したように、ＭＥ１００は、受信したチャレンジに基づいてＡＫＡ＿ＫＥＹを生成する。生成されるＡＫＡ＿ｋｅｙは、再同期メッセージのＭＡＣＳフィールド内に含められるＭＡＣＳを計算するために使用される。

シーケンス番号ＳＱＮが許容範囲外であると判定されたので、ＨＳＳ４００は生成された再同期メッセージを受信する。ＨＳＳ４００は、受信される再同期メッセージを処理する。例えば、ＨＳＳ４００は、シーケンス再同期フィールドＳＱＮ_{ＲＥＳＹＮＣ}内に含まれる４８ビットのシーケンス番号のうちの３２個の最上位ビットがゼロに設定されていると、ＭＥ１００内に記憶されたシーケンス番号ＳＱＮ_ＭＥをその再同期メッセージが含むことを指示すると認識するように構成することができる。したがってＨＳＳ４００は、将来使用するためにシーケンス番号ＳＱＮ_ＭＥを記憶する。ただし上記に説明したように、ＨＳＳ４００は、ＭＡＣＳフィールド内に含まれる６４ビットのＭＡＣＳを使用してもＭＥ１００を検証する。

ステップＳ６８０で、ＭＥ１００は、現在の認証操作に関連するシーケンス番号ＳＱＮが許容範囲内にあると判定する場合、ステップＳ７００で、ＭＥ１００はレスポンスメッセージＲＥＳを生成する。ＭＥ内に記憶された乱数および秘密鍵に基づくレスポンスメッセージＲＥＳの生成については当技術分野でよく知られており、よって簡潔にするために本明細書では説明しない。ＭＥ１００は、その乱数および秘密鍵に基づいて暗号鍵ＣＫおよび完全性鍵ＩＫも計算する。暗号鍵ＣＫおよび完全性鍵ＩＫの計算についても当技術分野でよく知られている。

図５に戻ると、ＭＥ１００はレスポンスメッセージＲＥＳをＨＳＳ４００に送信する。ＨＳＳ４００は、ステップＳ５８０において、よく知られている方法で期待レスポンスメッセージＸＲＥＳを既に生成している。ステップＳ５９０で、このＨＳＳ、またはＨＳＳ４００の代わりのネットワークエンティティが、そのレスポンスメッセージを期待レスポンスメッセージＸＲＥＳと比較する。一致がない場合、認証は失敗する。しかし一致がある場合、ＨＳＳ４００とＭＥ１００とが相互認証された通信チャネルを確立する。

上記に説明した方法、機器、およびシステムは少なくとも６４ビットのセキュリティ保証を提供する。さらに、チャレンジの形成中に、これらの方法はモバイル機器からの乱数およびネットワークからの乱数の両方を送信するステップを含む。認証鍵一致（ＡＫＡ）鍵は、チャレンジからのＣＤＭＡ鍵に基づく。加えてさらに、このモバイル機器は、再同期中ではなくＵＩＭの挿入時にのみ、このモバイル機器に関連する７２ビットの乱数を再生成する。再同期中、モバイル機器内で生成されもしくは記憶されるその７２ビットの乱数が送信されるか、または１６ビットのシーケンス番号が送信される。ネットワークが再同期メッセージを検証しかつ受諾し、モバイル機器によって提供される７２ビットの乱数を記憶する。加えてさらに、チャレンジを送信するとき、ネットワークは、ネットワークがモバイル機器に関連付ける７２ビットの乱数、および新たに作成される乱数を使用してＣＤＭＡ鍵を作成し、そのＣＤＭＡ鍵は次いでＡＫＡ鍵を作成する。そのＡＫＡ鍵は、ＭＡＣ、ＲＥＳ、ＣＫ、およびＩＫを作成するために、標準ＡＫＡ関数とともに使用される。

本発明をこのように説明したが、同じものが多数の方法で改変され得ることは明白である。そのような改変形態は本発明の趣旨および範囲からの逸脱としてみなすべきではなく、当業者にとって明らかであろうそのようなすべての修正形態が本発明の範囲に含まれることを意図する。

Claims (10)

1. ネットワーク（３００、３１０、４００）との通信を認証するためにモバイル機器（１００）によって実行される方法であって、
   ネットワークから認証情報を受信するステップと、
   受信される認証情報から第１の乱数を得るステップであって、この第１の乱数は、モバイル機器がネットワークに送信した乱数である、第１の乱数を得るステップと、
   セルラ認証および音声暗号化を使用し、第１の乱数に基づいて少なくとも１つのモバイル機器鍵を生成するステップ（Ｓ６２０）と、
   受信される認証情報から第２の乱数を得るステップであって、この第２の乱数はネットワークに関連付けられる、第２の乱数を得るステップと、
   セルラ認証および音声暗号化を使用し、第２の乱数から少なくとも１つのネットワーク鍵を生成するステップ（Ｓ６１０）と、
   モバイル機器鍵およびネットワーク鍵に基づいて認証鍵を生成するステップ（Ｓ６３０）と、
   認証および鍵一致セキュリティプロトコルによる認証鍵、および受信される認証情報の少なくとも一部分に基づいて、期待メッセージ認証コードを生成するステップ（Ｓ６４０）と、
   期待メッセージ認証コードに基づいてネットワークを認証するステップ（Ｓ６５０、Ｓ６６０、Ｓ６８０）と
   を含む、方法。
2. 認証するステップが、
   受信される認証情報からメッセージ認証コードを得るステップと、
   期待メッセージ認証コードを、得られたメッセージ認証コードと比較するステップ（Ｓ６５０）と
   を含む、請求項１に記載の方法。
3. 認証するステップが、
   第１の乱数を、モバイル機器内に記憶された第３の乱数と比較するステップ（Ｓ６６０）と、
   第１の乱数が第３の乱数と一致しない場合に再同期メッセージをネットワークに送信するステップであって、その再同期メッセージが第３の乱数の少なくとも一部分を含む、送信するステップと
   をさらに含む、請求項２に記載の方法。
4. 受信される認証情報がシーケンス番号フィールド、認証管理フィールド、および認証鍵一致乱数フィールドを含み、
   方法が、
   シーケンス番号フィールド内のシーケンス番号が許容範囲内にあるかどうかを判定するステップ（Ｓ６８０）と、
   シーケンス番号が許容範囲内にないと判定される場合に再同期メッセージを送信するステップと
   さらに含む、請求項２に記載の方法。
5. 再同期メッセージが、モバイル機器内に記憶されたシーケンス番号を含む、請求項４に記載の方法。
6. 受信される認証情報がシーケンス番号フィールド、認証管理フィールド、および認証鍵一致乱数フィールドを含み、
   方法が、
   受信される認証情報からメッセージ認証コードを得るステップと、
   期待メッセージ認証コードを、得られたメッセージ認証コードと比較するステップ（Ｓ６５０）と、
   第１の乱数を、モバイル機器内に記憶された第３の乱数と比較するステップ（Ｓ６６０）と、
   シーケンス番号フィールド内のシーケンス番号が許容範囲内にあるかどうかを判定するステップ（Ｓ６８０）と、
   期待メッセージ認証コードが、得られたメッセージ認証コードと一致し、第１の乱数が第３の乱数と一致し、シーケンス番号フィールドが許容範囲内にある場合に、認証レスポンスをネットワークに送信するステップ（Ｓ７００）と
   をさらに含む、請求項１に記載の方法。
7. モバイル機器との通信チャネルを確立するためにネットワーク（３００、３１０、４００）によって実行される方法であって、
   シーケンス番号フィールド、認証管理フィールド、および乱数フィールドを含むチャレンジを生成するステップ（Ｓ５７０）であって、シーケンス番号フィールドがシーケンス番号、およびネットワークがモバイル機器から受信した第１の乱数の一部分を含み、認証管理フィールドが第１の乱数の別の一部分を含み、乱数フィールドが第２の乱数、および第１の乱数のさらなる一部分を含む、チャレンジを生成するステップ（Ｓ５７０）と、
   第１の乱数を使用して少なくとも１つのモバイル機器鍵を得るステップと、
   第２の乱数を使用して少なくとも１つのネットワーク鍵を得るステップと、
   モバイル機器鍵およびネットワーク鍵に基づいて認証鍵を生成するステップ（Ｓ５５０）と、
   認証および鍵一致セキュリティプロトコルによる認証鍵に基づいて第１のメッセージ認証コードを生成するステップ（Ｓ５６０）と、
   シーケンス番号フィールド内のシーケンス番号、認証管理フィールド、および第１のメッセージ認証コードに基づいて認証トークンを生成するステップ（Ｓ５７０）と、
   チャレンジおよび認証トークンをモバイル機器に送信するステップと
   を含む、方法。
8. チャレンジおよび認証トークンに対するレスポンスをモバイル機器から受信するステップと、
   レスポンスに基づいて、モバイル機器との相互認証された通信チャネルを確立するステップと
   をさらに含む、請求項７に記載の方法。
9. モバイル機器から再同期メッセージを受信するステップであって、その再同期メッセージが第３の乱数および第２のメッセージ認証コードを含む、受信するステップと、
   第２のメッセージ認証コードに基づいてモバイル機器を検証するステップと、
   モバイル機器が検証される場合、モバイル機器のための別のチャレンジを生成するために第２の乱数を記憶するステップと
   をさらに含む、請求項７に記載の方法。
10. モバイル機器から再同期メッセージを受信するステップであって、その再同期メッセージは、その再同期メッセージがモバイル機器に関連するシーケンス番号を含むことを指示するいくつかのビットを含み、その再同期メッセージは、モバイル機器に関連するシーケンス番号および第２のメッセージ認証コードをさらに含む、再同期メッセージを受信するステップと、
    第２のメッセージ認証コードに基づいてモバイル機器を検証するステップと、
    モバイル機器が検証される場合、別のチャレンジを生成するために、モバイル機器に関連するシーケンス番号を記憶するステップと
    をさらに含む、請求項７に記載の方法。

Images