JP6371644B2 - 単一の登録手順を使用するクライアントのグループの安全な登録 - Google Patents
単一の登録手順を使用するクライアントのグループの安全な登録 Download PDFInfo
- Publication number
- JP6371644B2 JP6371644B2 JP2014179883A JP2014179883A JP6371644B2 JP 6371644 B2 JP6371644 B2 JP 6371644B2 JP 2014179883 A JP2014179883 A JP 2014179883A JP 2014179883 A JP2014179883 A JP 2014179883A JP 6371644 B2 JP6371644 B2 JP 6371644B2
- Authority
- JP
- Japan
- Prior art keywords
- group
- communication
- network
- message
- challenge
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
- H04L63/065—Network architectures or network communication protocols for network security for supporting key management in a packet data network for group communications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/104—Grouping of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
- H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
- H04L9/0844—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols with user authentication or key authentication, e.g. ElGamal, MTI, MQV-Menezes-Qu-Vanstone protocol or Diffie-Hellman protocols using implicitly-certified keys
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
- H04W12/069—Authentication using certificates or pre-shared keys
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
- H04W4/70—Services for machine-to-machine communication [M2M] or machine type communication [MTC]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/80—Wireless
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Multimedia (AREA)
- Mobile Radio Communication Systems (AREA)
Description
N個の(通信)デバイスの配置、ならびに認証エンティティ(オーセンティケータ)が、それらのデバイスの1つまたは複数のサービスへのアクセスを許可する前に、それらのデバイスの各々を認証する必要があることを検討する。既存のプロトコルでは、オーセンティケータは、個々のセッションを確立して、各デバイスと固定数の認証メッセージを交換する必要がある。したがって、配置がN個のデバイスを含む場合、およびオーセンティケータと各デバイス間でk個のメッセージが交換される必要がある場合、それらのデバイスすべてが認証されるためには、合計N*k個のメッセージが無線で伝送される必要がある。
(1) 個々のデバイスの認証の場合と同じセキュリティの強さを確保する。
(2) デバイスデータが他のデバイス(たとえ同一グループに属するものであっても)から引き起こされた潜在的な攻撃に対して保護されるように、デバイスごとに個別な一意の鍵を確立する。
(3) より少ない数の認証メッセージを使用する、好ましくは、単一認証処理の場合と同様に多くのメッセージを同じ帯域幅を使用してオーセンティケータと交換する。
(1) GW(GateWay)と称する新しいネットワークエンティティを導入する。GWはアグリゲータであり、グループに属するすべてのデバイス(本明細書において「ユーザ機器」またはUEとも称される)からの認証応答を収集する。通常、GWは、グループのデバイスに比較的接近して配置される。
(2) グループ認証の目的で、グループのすべてのデバイスは、認証メッセージをGWとのみ交換する。GWはさらに、グループ内の各デバイスの資格情報を確認するためにオーセンティケータとのネゴシエーションを実行する責任を負う。1つの実施形態において、フレームワークはまた、GWがオーセンティケータとなることを可能にする。このために、GWは、グループ内のすべてのデバイスを認証するために使用される必要な情報を受信する必要がある。この後者の実施形態が、帯域幅を節約するため、および全体として必要な信号伝達を大幅に低減するために好ましいことに留意されたい、
(3) デバイスのグループを認証するために、登録に先立ち(特にグループ鍵の)グループ資格情報がプロビジョニングされ、それらはグループ内のすべてのデバイスに対して同一である。フレームワークの設計は、異なる代替のグループ認証手順を含み、手順は各々、ネットワーク事業者のプリファレンスに基づいて適用されてパラメータ化されてもよい。選択される実際の手順に応じて、グループ資格情報は、各デバイスまたはGWのいずれかに提供されてもよい。グループ認証処理は、グループチャレンジに基づき、GWはグループチャレンジメッセージをグループ内のすべてのデバイスにブロードキャストする。デバイスは、GWへのメッセージでこのチャレンジに個別に応答する。グループ資格情報はグループ認証に使用されるが、それらの資格情報および個々の資格情報は共に、以下において説明されるように、一意の暗号および完全性保護鍵素材を生成するために各デバイスによって使用される。
(4) GWとグループ内の各デバイス間の通信は、好ましくは、無認可の帯域幅(たとえば、ZigBee、WiFiなどに割り振られた帯域幅)を使用する。この手法により、ネットワーク事業者に割り振られる認可帯域幅を使用するアクセスネットワークとGWとの間に必要とされる信号伝達は、はるかに少なくなる。
本明細書において説明される本発明の例示的なフレームワークは、以下の前提に基づいて設計される:
(1) デバイスは、特定のポリシーに基づいてグループ化され、デバイスの属するグループ(複数可)を認識する。ポリシー作成手順およびそのようなポリシーの展開に関与するネットワークエンティティの機能は、このフレームワーク設計の範囲を超える。言い換えれば、このフレームワークは、それに基づいてクライアントデバイスのグループが形成されるポリシーに非依存である。
(2) N個のデバイスのグループは、グループ識別子または識別情報(ID)によって表され、これはグループ認証処理に関与するすべてのネットワークエンティティに知られており、ネットワークエンティティは個々のデバイスを認証するために使用されるエンティティと同一のエンティティである。それらのエンティティはまた、そのようなグループに属するすべてのデバイスの識別情報を認識している。そのような情報は、ルックアップテーブルの形態ですべてのエンティティにローカルに格納されてもよい。エンティティがそれらのローカルに格納されたルックアップテーブルのコンテンツに関して同期されると仮定する。
(3) グループに属する各通信デバイス(以下の詳細な説明において「ユーザ機器」またはUEとも称される)は、無認可のスペクトル(たとえば、ZigBee)を使用して、ローカルゲートウェイ(GW)とのワイヤレス接続を保持する。始めに、UEが、登録の目的で3GPP対応のインターフェイスを装備していないと仮定する。したがって、グループ認証および鍵合意を目的とするUEとネットワーク間の任意の制御またはデータトラフィックは、GWを経由する。UEが3GPP(もしくは3GPP2またはWIMAX)対応のインターフェイスを装備している場合、基地局はGWの役割を果たす。
(4) 場合によっては、UEは特定の資格情報(グループ鍵と称され、以下で説明される)を事前にプロビジョニングされており、UEはグループ認証中に認証および鍵素材を生成するために使用する。別の場合では、GWのみがグループ鍵を認識するが、UEは認識しない。
(5) GWが接続される3GPPネットワークは、UMTS(Universal Mobile Telecommunications System)ネットワークである。
(6) UEグループ認証の1つの利点は、リモートアプリケーションサーバとデータセッションをさらに確立することにある。このサーバがすでに3GPPネットワークと相互に認証していると仮定する。
(7) UEとGW間のリンクがリンク層において保護されていると仮定する。したがって、UEとGW間の任意の通信は、リンク層資格情報を使用して暗号化される可能性がある。
本発明の1つの実施形態によれば、グループ認証フレームワークは、5つの主要ネットワークフレームワークモジュールから成る。本明細書において使用される「モジュール」という用語は、図1に示されるネットワークコンポーネント(すなわち、UE101、GW104、Node B106、アプリケーションサーバ108、SGSN110、およびHSS112)の1つまたは複数に従って実行される主要機能を指すことが意図されることを理解されたい。図2は、ネットワークフレームワーク200のモジュールを示す。ネットワークフレームワークモジュールの各々はさらに、以下のサブセクションAからEにおいてそれぞれ説明される。
UE101−1、101−2、...、101−Nを認証する前に、GW104が最初に認証される必要がある。加えて、GWは、ネットワークも信頼できることを確認する必要がある。「ネットワーク」という用語は本明細書において、ゲートウェイがUEのアクセスポイントとしての機能を果たすUMTSネットワーク(3GPP)を意味する(たとえば、Node B106、アプリケーションサーバ108、SGSN110、HSS112など)。この認証のために、1つの実施形態において、認証および鍵合意(AKA:Authentication and Key Agreement)手順が採用される。たとえば、UMTSネットワークが考慮される限りは、GW104を3GPPクライアントUEとして処理して、開示を引用により全体として本願に援用する3GPP TS33.102において説明されるAKA手順が採用されてもよい。
1. GW104は、登録要求をSGSN110に送信する(ステップ302)。
2. SGSN110は、GW104に代わって認証要求をHSS112に送信する(ステップ304)。
3. HSS112は、1つまたは複数の認証ベクトルを含む認証応答をSGSN110に送信する(ステップ306)。
4. SGSN110は、ベクトルの1つを使用して、乱数RANDおよび認証トークンAUTNを含むチャレンジをGW104に送信する(ステップ308)。
5. GW104は、チャレンジを受信して、AUTHを確認し、成功すると応答RESをSGSN110に送信する(ステップ310)。
6. SGSN110は、RESを受信して、RESを、使用される特定の認証ベクトルに含まれているXRESと比較する(ステップ312)。
7. RES=XRESである場合、GW104はその正統性を確認され、SGSN110は、認証結果をGW104に送信し、確認の成功についてGW104に知らせる(ステップ314)。
8. GW104は、AUTNを使用して、3GPP TS 33.102に従って、ネットワークを認証する(ステップ316)。
(図1におけるような)M2Mデバイス101−1、101−2、...、101−Nのグループ102が認証されるために、グループのすべてのデバイスは、同時にアクティブ(アライブ)である必要がある、すなわちGW104とアクティブな接続を保持する必要がある。しかし、各デバイスのアプリケーションおよびソフトウェア構成に応じて、グループ内の一部のデバイスがスリープモードにある可能性もある。たとえば、一部のM2Mアプリケーション(スマートメータアプリケーションなど)では、M2Mデバイスが所定の時間間隔でウェイクアップして、M2Mアプリケーションサーバ108への接続を確立し、それらのデータをアップロードすることを必要とする。そのようなデバイスのグループを認証するため、グループのすべてのデバイスがアライブ状態である必要がある。本発明のフレームワークは、認証のためにグループのデバイスを「準備させる」4つの例示的な手段を提供する。以下のサブセクションにおいて、それらの手段について説明する。GW104とUE101−1、101−2、...、101−N間を通過するメッセージが、以下で説明されるように、図1のUEとGWを接続することが示されるリンクを介して渡されることを理解されたい。
この手法により、M2Mアプリケーションサーバ108またはHSS112は、特殊な「ウェイクアップ」(アクティブ化)メッセージをGW104に通信する。このウェイクアップメッセージは、認証されるべきグループのIDを含む。GW104は、このメッセージを受信すると直ちに、そのローカルに格納されているルックアップテーブルを使用して、特定のグループに属するUEのセットを導き出す。その後、GW104は、ブロードキャストメッセージ(たとえば、ZigBeeメッセージ)を、特定のIDを持つグループのデバイスのすべてに伝送する。
ウェイクアップメッセージを使用してデバイス(101−1、101−2、...、101−N)のグループに通知する代わりに、デバイスは、認証処理に参加するために特定の時間間隔で(自発的に)ウェイクアップするようにスケジュールされてもよい。そのような手順には、デバイスとGW104との間で緩い時間同期化が必要となる。スケジュールされるウェイクアップの時間は、製造時において事前にプロビジョニングされるか、または無線によりプロビジョニングされてもよい。UEは、ウェイクアップすると直ちに、前述のサブセクションB1において説明されるように、GWとのZigBee接続を確立する。そのような手順により、グループは、UEとM2Mアプリケーションサーバ108との間にトラフィックがほとんどないか、または全くないときに認証されてもよいことに留意されたい。したがって、UEのグループが認証され、それらのIPアドレスを割り当てられる限りにおいて、UEのグループはスリープモードに戻ることができ、ウェイクアップしたとき、UEのグループはそれらの割り当てられているIPアドレスを使用してM2Mアプリケーションサーバ108へのデータ接続を確立することができる。
上記の2つの手法は、すべてのUEが一度にウェイクアップし、GWとのZigBee接続を同時に確立することを規定する。しかし、そのような手順は、特にグループが多数のUEで構成されるような場合(センサーネットワーク配置の場合など)、各UE101とGW104との間のリンクに特別な制御信号伝達のオーバーヘッドを課す。(同一グループに属す)多数のM2Mデバイスがそれらのデータをサーバ(GW104)に送信することをM2Mサーバが要求するようなシナリオにおいて、そのようなデバイスは同時にそろってウェイクアップするようにスケジュールされるのではなく、それらのスケジュールに何らかの遅延を伴うことになることが予想される。そのため、GW104は過負荷状態にはならない。一方、グループを認証するために、グループに属するすべてのデバイスがアライブ状態である必要があることに再度言及する。このため、このフレームワークは、GW104において認証素材をキャッシュに入れるオプションを提供する。特に、グループ102からの第1のUE101がウェイクアップして、(グループ認証の目的のため)GW104とのZigBee接続を確立すると直ちに、GW104はコアネットワークに認証素材を要求する(この手順は以下のサブセクションCにおいて説明される)。加えて、GW104は、グループ認証処理が開始されうるように、グループのすべてのUEがアライブ状態になるまでこの素材をキャッシュに入れる。キャッシュに入れられたパラメータ(G_AUTNおよびG_RAND)ならびにこれらがGW104により使用される手段は、以下のサブセクションCにおいて説明される。
このフレームワークはまた、GW104が意図されるデバイスのグループを認証するためのメカニズムを、GWがそのようなタスクを実行できる限りにおいて提供する。言い換えれば、GW104はこれ以降、(i)デバイスのグループが正統であることを確認すること、および(ii)認証の結果を3GPPコアネットワークエンティティ(Node B106、SGSN110、HSS112など)、およびM2Mアプリケーションサーバ108にレポートすることに責任を負うことになる。同様に、サブセクションB3において上記で説明されるように、GW104は、認証パラメータのセットを受信してキャッシュに入れる。しかし、ここでGW104は、認証処理をローカルに実行するために、追加のパラメータ(G_XRESと呼ばれる)をキャッシュに入れる必要がある。そのようなプロセスがどのように実行されるのかを、以下のサブセクションにおいて説明する。
グループ認証プロトコルは、対象となるグループ内のすべてのUEがアライブ状態であり、アクティブなZigBeeセッションを確立していることをGW104が確認すると、直ちに開始される。以下において、このプロトコルの5つの例示的な実施形態を提示する。
この手法は、図4Aに示される。プロトコル400により、GW104は、グループのすべてのデバイスから認証応答を収集して、それらの応答を確認のためにSGSN110に転送する。特に、プロトコルのステップは以下のとおりである:
1. GW104は、グループ登録要求をSGSN110に送信する(ステップ402)。
2. SGSN110は、この要求をHSS112に転送する(ステップ404)。
3. HSS112は、1つまたは複数の「グループベクトル」Vを生成して、SGSN110に送信する(ステップ406)。そのようなベクトルは、以下のような形態をとる。
V={G_AUTN,G_RAND,[XRES1,CK1,IK1],[XRES2,CK2,IK2],...,[XRESN,CKN,IKN]}
これらのパラメータは、3GPP TS 33.102の場合と同様に定義される。
4. SGSN110は、G_RANDおよびG_AUTNを含むグループ認証応答をGW104に送信する(ステップ408)。GW104が、上記のセクションB3およびB4で説明されるように、G_RANDおよびG_AUTNをキャッシュに入れることができることに留意されたい。
5. GW104は、「グループ鍵」KGを使用して作成されたG_AUTNを確認する(ステップ410)。この鍵は、UEには知られておらず、すでにGWに提供されている。
6. GW104は、G_RANDを含むZigBeeブロードキャストメッセージをUEに送信する(ステップ412)。このメッセージは、上記で言及したZigBee規格に従って、KZBで暗号化される。
7. 各UE101は、このメッセージを受信し、RESiを計算して、このRESiをGW104に送信する(ステップ414)。
8. GW104は、すべてのRESi応答をUE101から収集して、それらをSGSN110に送信する(ステップ416)。ここで、GW104は、UE101からの個々の応答を転送するか、またはより少ない、より大きいメッセージにその応答を集約してSGSN110に転送することができる。
9. SGSN110はグループベクトルを使用して各応答を確認し、次いでSGSN110は、グループ認証結果をGW104に送信する(ステップ418)。このメッセージは、各UEの認証結果を含む。
10. すべてのUE101が正常に認証された場合、GW104は単に「成功」メッセージをすべてのUEにブロードキャストする。それ以外の場合、GW104は、(i)どのUEが正常に認証されたかに関する情報を含む成功メッセージをブロードキャストする、および(ii)どのUEが確認されなかったかに関する情報を含むエラーメッセージを、失敗の原因と共にブロードキャストする(ステップ420)。あるいは、「成功」メッセージは省略されてもよく、正常に認証されたUE101は、それらのIDがエラーブロードキャストメッセージに含まれているかどうかを検査することにより、認証の成功を認識することができる。各UE101は、ブロードキャストメッセージの受信をGW104に個々に通知し、GW104は共通の確認応答メッセージをSGSN110に転送する。
11. 正常に認証されたUE101は、個々のKi鍵を使用して、CKiおよびIKi鍵を計算する(ステップ422)(3GPP TS 33.102を参照)。
この手法は、図4Bに示される。HSS112が、上記のサブセクションC1のステップ9に従って、UE101の応答を確認するために認証ベクトル(複数可)をSGSN110に提供する代わりに、HSS112は代替として、RESi応答の確認を実行することができる。この場合、SGSN110は、[XRES1,CK1,IK1]を認識している必要はない。この場合明らかなように、GW104は、SGSN110を通じて、UE101からHSS112にRESi応答を送信する。さらに具体的には、この場合のプロトコル430のステップは以下のとおりである:
1. GW104は、グループ登録要求をSGSN110に送信する(ステップ432)。
2. SGSN110は、この要求をHSS112に転送する(ステップ434)。
3. HSS112は、「グループベクトル」VをSGSN110に送信する(ステップ436)。このベクトルは、V={G_AUTN,G_RAND}の形態をとる。これらのパラメータは、3GPP TS 33.102の場合と同様に定義される。
4. SGSN110は、G_RANDおよびG_AUTNを含むグループ認証応答をGW104に送信する(ステップ438)。GW104が、上記のセクションB3およびB4で説明されるように、G_RANDおよびG_AUTNをキャッシュに入れることができることに留意されたい。
5. GW104は、「グループ鍵」KGを使用して作成されたG_AUTNを確認する(ステップ440)。この鍵は、UEには知られておらず、すでにGWに提供されている。
6. GW104は、G_RANDを含むZigBeeブロードキャストメッセージをUE101に送信する(ステップ442)。このメッセージは、ZigBee規格に従って、KZBで暗号化される。
7. 各UE101は、このメッセージを受信し、RESiを計算して、このRESiをGW104に送信する(ステップ444)。
8. GW104は、すべてのRESi応答をUE101から収集して、それらをSGSN110に送信する(ステップ446)。ここで、GW104は、UE101からの個々の応答を転送するか、またあるいはより少ない、より大きいメッセージにその応答を集約してSGSN110に転送することができる。
9. SGSN110は、これらの応答をHSS112に転送する(ステップ448)。
10. HSS112は各応答を確認するために選択されたグループベクトルを使用し、次いで、HSS112はグループ認証結果をSGSN110に送信し、SGSN110はこのメッセージをさらにGW104に転送する(ステップ450)。このメッセージは、各UE101の認証結果を含む。
11. すべてのUE101が正常に認証された場合、GW104は単に「成功」メッセージをすべてのUE101にブロードキャストする。それ以外の場合、GW104は、(i)どのUEが正常に認証されたかに関する情報を含む成功メッセージをブロードキャストする、および(ii)どのUEが確認されなかったかに関する情報を含むエラーメッセージを、失敗の原因と共にブロードキャストする(ステップ452)。あるいは、「成功」メッセージは省略されてもよく、正常に認証されたUE101は、それらのIDがエラーブロードキャストメッセージに含まれているかどうかを検査することにより、認証の成功を認識することができる。各UE101は、ブロードキャストメッセージの受信をGW104に個々に通知し、GW104は共通の確認応答メッセージをHSS112に転送する。
12. 正常に認証されたUE101は、個々のKi鍵を使用して、CKiおよびIKi鍵を計算する(ステップ454)(3GPP TS 33.102を参照)。
2. SGSN110は、この要求をHSS112に転送する(ステップ464)。
3. HSS112は、1つまたは複数の「グループベクトル」を生成して、SGSN110に送信する(ステップ466)。そのようなベクトルは、以下のような形態をとる:
V={G_AUTN,G_RAND,G_XRES,[MTC_CK1,MTC_IK1],...,[MTC_CKN,MTC_IKN]}
4. SGSN110は、G_RANDおよびG_AUTNを含むグループ認証応答をGW104に送信する(ステップ468)。GW104が、上記のセクションB3およびB4で説明されるように、G_RANDおよびG_AUTNをキャッシュに入れることができることに留意されたい。
5. GW104は、G_AUTNおよびG_RANDを含むZigBeeブロードキャストメッセージをすべてのUE101に送信する(ステップ470)。この場合、KGを提供されていないので、GWがG_AUTNを確認できないことに留意されたい。
6. 各UE101は、個々にG_AUTNを確認する(ステップ472)。
7. 各UE101は、G_RESを含むメッセージで応答する(ステップ474)。G_RESの値は、提供されたKG鍵を使用して計算される。この鍵はUE101およびHSS112にのみ知られており、GW104には知られていないことを再度言及する。また、各UE101が同じG_RANDを受信し、KGを有するので、各正規のUE101はG_RESの同じ値を計算すべきであることにも留意されたい。
8. GW104は、UE101からの応答をSGSN110に送信する(ステップ476)。明らかに、このメッセージは、GW104が同じG_RES値を提供したUE識別情報をグループ化できるので、C1およびC2の場合よりもはるかに少ない帯域幅を占有するものと予想される。
9. SGSN110はグループベクトルを使用して応答を確認し、すべてのG_RES値について、SGSN110は、G_RES=G_XRESであるかどうかを検査する。その後、SGSN110は、グループ認証結果をGW104に送信する(ステップ478)。
10. GW104は、認証の結果を各UE101に知らせる(ステップ480)。すべてのUE101が正常に認証された場合、GW104は単に「成功」メッセージをすべてのUE101にブロードキャストする。それ以外の場合、GW104は、(i)どのUE101が正常に認証されたかに関する情報を含む成功メッセージをブロードキャストする、および(ii)どのUE101が確認されなかったかに関する情報を含むエラーメッセージを、失敗の原因と共にブロードキャストする。あるいは、「成功」メッセージは省略されてもよく、正常に認証されたUE101は、それらのIDがエラーブロードキャストメッセージに含まれているかどうかを検査することにより、認証の成功を認識することができる。各UE101は、ブロードキャストメッセージの受信をGW104に個々に通知し、GW104は共通の確認応答メッセージをSGSN110に転送する。
11. 正常に認証された各UE101は、個々のKi鍵(KGとは異なる)を使用して、CKiおよびIKi鍵を計算し、加えて、MTC_CKiおよびMTC_IKiが以下のように計算される(ステップ482):
MTC_CKi=CKi XOR CKG
MTC_IKi=IKi XOR IKG
ただし、
CKG=f3(KG,G_RAND),IKG=f4(KG,G_RAND)
CKi=f3(Ki,G_RAND),IKi=f4(Ki,G_RAND)
サブセクションC2の場合と同様に、HSS112は、このタスクをSGSN110に割り当てるのではなく、UEの応答を確認することを決定することができる。この場合、G_AUTNおよびG_RANDのみが、サブセクションC2に従って、SGSN110に送信される。
グループ認証プロトコルの帯域幅要件をさらに低減するため、3GPPネットワークは、グループの正統性の確認をGW104に割り当てることができる。GW104は、そのようなタスクを実行できるようにするため、UE101からの応答が正しく計算されたG_RES値を含むかどうかを検査できる必要がある。したがって、GW104は、すでにG_XRESパラメータを含む認証ベクトルを受信する必要がある。上記のC3の場合と同様に、ここでは、すべてのUE101が共通のKG鍵を認識すると仮定される。さらに具体的には、この場合のプロトコル485のステップは図4Dに示され、以下のとおりである:
1. GW104は、グループ登録要求をSGSN110に送信する(ステップ486)。
2. SGSN110は、この要求をHSS112に転送する(ステップ488)。
3. HSS112は、1つまたは複数の「グループベクトル」を生成して、SGSN110に送信する(ステップ490)。そのようなベクトルは、以下のような形態をとる:
V={G_AUTN,G_RAND,G_XRES,[MTC_CK1,MTC_IK1],...,[MTC_CKN,MTC_IKN]}
4. SGSN110は、G_RAND、G_AUTN、およびG_XRESを含むグループ認証応答をGWに送信する(ステップ491)。GW104が、上記のセクションB3およびB4で説明されるように、それらのパラメータをキャッシュに入れることができることに留意されたい。
5. GW104は、G_AUTNおよびG_RANDを含むZigBeeブロードキャストメッセージをすべてのUE101に送信する(ステップ492)。この場合、KGをプロビジョニングされていないので、GW104がG_AUTNを確認できないことに留意されたい。
6. 各UE101は、個々にG_AUTNを確認する(ステップ493)。
7. 各UE101は、G_RESを含むメッセージで応答する(ステップ494)。G_RESの値は、プロビジョニングされたKG鍵を使用して計算される。この鍵はUE101およびHSS112にのみ知られており、GW110には知られていないことを再度言及する。また、各UE101が同じG_RANDを受信し、KGを有するので、各正規のUE101はG_RESの同じ値を計算すべきであることにも留意されたい。
8. GW104は、すべての受信したG_RESを、ローカルに格納されているG_XRESと比較する。さらに、GW104は、正常に認証されたUE101のリスト、および正常に認証されなかったUE101のリストをコンパイルする(ステップ495)。
9. GW104は、2つのリストをSGSN110に送信する(ステップ496)。明らかに、このメッセージは、GWによって配信された2つのリストのサイズが小さくなっているので、C1、C2、およびC3の場合よりもはるかに少ない帯域幅を占有するものと予想される。代替として、GW104は、リストの1つを送信することを省略することができる。リストのうちの1つのみを検査することにより、SGSN110は、どのUE101が正常に認証されたかについての結果を導き出すことができる。
10. GW104は、認証の結果を各UE101に知らせる(ステップ497)。すべてのUE101が正常に認証された場合、GW104は単に「成功」メッセージをすべてのUE101にブロードキャストする。それ以外の場合、GW104は、(i)どのUE101が正常に認証されたかに関する情報を含む成功メッセージをブロードキャストする、および(ii)どのUE101が確認されなかったかに関する情報を含むエラーメッセージを、失敗の原因と共にブロードキャストする。あるいは、「成功」メッセージは省略されてもよく、正常に認証されたUE101は、それらのIDがエラーブロードキャストメッセージに含まれているかどうかを検査することにより、認証の成功を認識することができる。各UE101は、ブロードキャストメッセージの受信をGW104に個々に通知し、GW104は共通の確認応答メッセージをSGSN110に転送する。
11. 正常に認証された各UEi101は、個々のKi鍵(KGとは異なる)を使用して、CKiおよびIKiを計算し、加えて、MTC_CKiおよびMTC_IKiが以下のように計算される(ステップ498):
MTC_CKi=CKi XOR CKG
MTC_IKi=IKi XOR IKG
ただし、
CKG=f3(KG,G_RAND),IKG=f4(KG,G_RAND)
CKi=f3(Ki,G_RAND),IKi=f4(Ki,G_RAND)
C5. GWがデバイスを信頼し、デバイスをグループとして登録する。
UE101がM2Mアプリケーションサーバ108とのトラフィックセッション(複数可)を確立できるようにするため、ルーティング可能IPアドレスは最初にUE101に割り当てられる必要がある。そのために、UE101は、GGSN110とのPDP(パケットデータプロトコル)コンテキストを確立する必要がある。非常に多数のUE101が単一のGW104に接続されうることを考慮すれば、各UE101に3GPPコアネットワークとのPDPコンテキストをネゴシエートさせることはオーバーヘッドの観点から過度な増大をまねく。したがって、このフレームワークでは、GW104は、UE101に代わってそれらのネゴシエーションを実行する責任を負う。さらに具体的には、IPアドレス割り当て手順500のステップは図5に示され、以下のとおりである:
1. GW104は、「PDPコンテキストアクティブ化(activate PDP context)」メッセージをSGSN110に送信する(ステップ502)。このメッセージは、グループIDおよびPDPタイプを含む。このメッセージはまた、UMTSにおいて個々の3GPP UEのPDPアクティブ化のために使用されるパラメータと同じパラメータを含む。
2. SGSN110は、前述のパラメータを含む「PDPコンテキスト作成(create PDP context)」メッセージをゲートウェイGPRSサポートノード(GGSN:Gateway GPRS Support Node)に送信する(ステップ504)。GGSNは図1に具体的に示されていないが、GGSNがSGSNに接続され、GPRSネットワークと、インターネットのような外部パケット交換ネットワークとの間の相互作用に責任を負うことが知られていることに留意されたい。
3. GGSNはPDPコンテキストのインターフェイス識別子を選択し、アドレススペースを作成して、「PDPコンテキスト作成応答(create PDP context response)」メッセージでSGSN110に応答する(ステップ506)。このメッセージは、(a)GW104に接続されるすべてのUE101のPDPアドレス、および(b)グループIDに対応するグループマルチキャストアドレスを含む。
4. SGSN110は、すべてのUE101の割り当てられたIPアドレス、およびグループに対応するマルチキャストアドレスを含む「PDPコンテキストアクティブ化確定(activate PDP context accept)」メッセージをGW104に送信する(ステップ508)。
5. GW104は、このメッセージをすべてのUE101にブロードキャストする(ステップ510)。このメッセージは、CKGを使用して暗号化され、IKGを使用して完全性保護される。
6. 各UE101は、確認メッセージでGWに個々に応答する(ステップ512)。UE101は、GW104がそのような情報をすでに認識しているので、ルータ要請メッセージをGGSNに送信することはない。同様に、GGSNは、任意のルータアドバタイズメントをUE101のグループに送信することはない。そのようなアドバタイズメントは、後者の登録中にGGSNによりGW104に送信された。
7. GW104は、すべてのUE101からの応答を収集する(ステップ514)。その後、GW104は、単一確認応答メッセージをGGSNに送信する。
すべてのUE101がそれらのIPアドレスを割り当てられた後、UE101は、ルーティング可能パスを介して、場合によってはインターネット経由で、M2Mアプリケーションサーバ108に到達することができる。デバイスは、M2Mアプリケーションサービスにアクセスする前に、サービスレイヤにおいてこのサーバに最初に登録する必要がある。本発明の技法の1つの目的は、デバイスのグループを、単純な方法で、すなわち各デバイスを個々に登録する必要なく、M2Mアプリケーションサーバに登録するためのメカニズムを提供することである。さまざまなネットワークおよびセキュリティプロトコルがサービスレイヤにおけるM2Mデバイスの登録に採用されてもよいが(AKA、TLS−PSKなど)、このフレームワークは、わずかな調整を行なうだけでそれらのプロトコルのいずれにも採用することができるか、またさらにはいかなる変更も行なわずに適用されてもよい。
1. 手順は、UE101の正統性を確認するGW104または認証エンティティ(たとえば、M2Mアプリケーションサーバ108)により開始される(ステップ602)。
2. 認証エンティティは、グループを構成するデバイスを識別し、UE101にチャレンジするために認証パラメータのセットをGW104に送信する(ステップ604)。
3. GW104は、チャレンジをすべてのUE101にブロードキャストし、それらの応答を受信する。さらに、GW104は、応答を認証エンティティに転送する(ステップ606)。この場合も同様に、認証エンティティは、M2Mアプリケーションサーバ108であってもよいか、または応答を確認する別のオーセンティケータであってもよい。
4. 確認後、個々のセッション鍵および共通グループセッション鍵は、すべての関与するエンティティにより確立される(ステップ608)。
5. アプリケーションレイヤ鍵素材は、それらのセッション鍵から生成される(ステップ610)。そのようなアプリケーションレイヤ鍵は、事前に合意された鍵の存在を必要とする、TLS−PSKによるHTTPSの場合のように、各アプリケーションに関与するデータトラフィックを安全にするために使用されてもよい(開示を引用により全体として本明細書において援用する、U.BlumenthalおよびP.Goel、「Preshared Key(PSK) Ciphersuites with NULL Encryption for Transport Layer Security(TLS)」、RFC 4785を参照)。
1. オーセンティケータは、EAP−要求/識別情報をGW104に送信する(ステップ622)。
2. すべてのUE101がアライブ状態であり、GW104へのZigBee接続を確立していると仮定して、GW104は、グループIDを含むEAP−応答/識別情報メッセージでオーセンティケータに応答する(ステップ624)。
3. EAPサーバは、そのローカルデータベースを使用して、特定のグループに属するデバイスを識別する(ステップ626)。続いて、EAPサーバは、(a)各UE101の提供された個々のルート鍵KR、および(b)各UE101にも知られている共通グループルート鍵KGRに基づいて認証ベクトルを取得する。取得された各ベクトルは、V={G_AUTNS,G_RANDS,G_XRESS,[MTC_CKS1,MTC_IKS1],...,[MTC_CKSN,MTC_IKSN]}のような形態をとる。
4. EAPサーバは、オーセンティケータを通じて、EAP−グループ要求メッセージをGW104に送信する(ステップ628)。このメッセージは、G_RANDS、G_AUTNS、およびG_MACS、すなわちEAPパケットをカバーするメッセージ認証コードを含む(たとえば、開示を引用により全体として本明細書において援用する、J.ArkkoおよびH.Haverinen、「Extensible Authentication Protocol Method for 3rd Generation Authentication and Key Agreement(EAP−AKA)」を参照)。
5. GW104は、上記の3つのパラメータを含むZigBeeブロードキャストメッセージをグループのすべてのUE101に送信する(ステップ630)。このメッセージは、ZigBee規格に従って、KZBで暗号化される。
6. このブロードキャストメッセージを受信した後、各UE101は、G_AUTNSを個々に確認するためにAKAアルゴリズムを実行する(ステップ632)。
7. 各UE101は、G_RESSを含むメッセージでGW104に応答する(ステップ634)。G_RESSの値は、提供されたKGR鍵を使用して計算される。この鍵はUEおよびEAPサーバにのみ知られていることを再度言及する。さらに、各UE101が同じG_RANDSを受信し、KGRを有するので、各正規のUE101はG_RESSの同じ値を計算すべきである。
8. GW104は、すべての応答を収集し、それらをEAP−グループ応答メッセージで(オーセンティケータを通じて)EAPサーバに送信する(ステップ636)。このメッセージはまた、G_MACSも含む。
9. EAPサーバは、G_RESSをG_XRESSと比較することにより、G_RESSをUE101ごとに検査する。サーバはまた、G_MACSも確認する(ステップ638)。
10. EAPサーバは、応答を認証の結果と共にGW104に送信する(ステップ640)。
11. GW104は、認証の結果を各UE101に知らせる(ステップ642)。すべてのUEが正常に認証された場合、GWは単に「成功」メッセージをすべてのUEにブロードキャストする。それ以外の場合、GWは、(i)どのUEが正常に認証されたかに関する情報を含む成功メッセージをブロードキャストする、および(ii)どのUEが確認されなかったかに関する情報を含むエラーメッセージを、失敗の原因と共にブロードキャストする。あるいは、「成功」メッセージは省略されてもよく、正常に認証されたUEは、それらのIDがエラーブロードキャストメッセージに含まれているかどうかを検査することにより、認証の成功を認識することができる。各UEは、ブロードキャストメッセージの受信をGWに個々に通知し、GWは共通の確認応答メッセージをオーセンティケータに転送する。
12. 正常に認証された各UEi101は、個々のKi鍵(KGとは異なる)を使用して、CKSiおよびIKSiを計算し、加えて、MTC_CKSiおよびMTC_IKSiが以下のように計算される(ステップ644):
MTC_CKSi=CKSi XOR CKGR
MTC_IKSi=IKSi XOR IKGR
ただし、
CKGR=f3(KG,G_RANDS),IKGR=f4(KGR,G_RANDS)
CKRi=f3(KR,G_RANDS),IKSi=f4(KR,G_RANDS)
13. MTC_CKSiは、グループ登録が有効を維持する限り、特定のUEiのセッション鍵KSiとして使用されてもよい(ステップ646)。この鍵から、3GPP TS33.102に従って、UEおよびオーセンティケータの両方により、任意の数のアプリケーション鍵KA(UEでローカルに実行する)が導き出されてもよい(たとえば図6Bを参照)。新しく登録されるたびに新しいセッション鍵が導き出されるので、すべてのアプリケーションレイヤ鍵は、新しいグループ登録ごとに更新される。
サブセクションIIにおいて、UEとGW間のリンクが暗号化される可能性があるという前提事項(7)を示した。この前提事項は、G_RESが、KGに加えてUEの一意の識別子(たとえば、UMTSの場合IMSI)を使用して各UEにより計算されると仮定することにより緩和されてもよい。これにより、G_RESの値は、UEごとに異なる。
IV. 例示的なコンピューティングシステム
Claims (10)
- 通信ネットワークにおいて通信デバイスのグループを登録するための方法であって、
ネットワークデバイスから通信デバイスのグループにグループチャレンジメッセージを送信するステップと、
ネットワークデバイスにおいて、それぞれグループ内の少なくとも2つの通信デバイスからグループチャレンジに対する少なくとも2つの応答メッセージを受信するステップであって、応答メッセージのそれぞれはグループに対応する同じグループ資格情報を備えるステップと、
ネットワークデバイスにおいて、グループチャレンジに対する応答メッセージを集約するステップと、
前記少なくとも2つの通信デバイスをグループとして、相互に認証させるために、集約メッセージをネットワークデバイスから通信ネットワーク内のオーセンティケータに送信するステップとを備え、
前記グループに対応する同じグループ資格情報が、グループ内の少なくとも2つの通信デバイスによって、グループチャレンジをグループ内の通信デバイスに共通な鍵と組み合わせることによって、それぞれ計算される、方法。 - グループ内のすべての通信デバイスがグループとしてオーセンティケータと相互に認証されるように、集約メッセージが通信ネットワーク内のオーセンティケータに送信される、請求項1に記載の方法。
- オーセンティケータが通信ネットワーク内のアプリケーションサーバである、請求項2に記載の方法。
- ネットワークデバイスがグループ内の通信デバイスを認証する、請求項1に記載の方法。
- ネットワークデバイスにおいて、2つ以上の通信デバイスのグループに対するアドレス割り当てを取得するステップをさらに備える、請求項1に記載の方法。
- グループ内の通信デバイスのうちの所与の1つが認証されると、所与の通信デバイスがアプリケーションサーバとのデータセッションを確立する、請求項1に記載の方法。
- 通信ネットワークにおいて通信デバイスのグループを登録する際に使用するための装置であって、
メモリと、
メモリに結合されたプロセッサであって、通信デバイスのグループにグループチャレンジメッセージを送信し、それぞれグループ内の少なくとも2つの通信デバイスからグループチャレンジに対する少なくとも2つの応答メッセージを受信し、グループチャレンジに対する応答メッセージを集約し、前記少なくとも2つの通信デバイスをグループとして、相互に認証させるために、集約メッセージを通信ネットワーク内のオーセンティケータに送信するように構成され、応答メッセージのそれぞれがグループに対応する同じグループ資格情報を備えるプロセッサとを備え、
前記グループに対応する同じグループ資格情報が、グループ内の少なくとも2つの通信デバイスによって、グループチャレンジをグループ内の通信デバイスに共通な鍵と組み合わせることによって、それぞれ計算される、装置。 - 通信ネットワークにおいて通信デバイスのグループを登録するための方法であって、
グループの通信デバイスの所与の1つにおいて、ネットワークデバイスにより通信デバイスのグループに送信されたグループチャレンジメッセージを受信するステップと、
所与の通信デバイスからネットワークデバイスに、グループチャレンジに対する応答メッセージを送信するステップであって、応答メッセージが、グループ内の少なくとも1つの他の通信デバイスからネットワークデバイスに送信される、グループチャレンジに対する応答メッセージと、グループに対応する同じグループ資格情報を備えるステップと、
ネットワークデバイスからオーセンティケータに送信された集約メッセージを使用して、所与の通信デバイスを、グループ内の前記少なくとも1つの他の通信デバイスとともにグループとして、通信ネットワーク内のオーセンティケータと相互に認証させるステップであって、集約メッセージが、所与の通信デバイスからの応答メッセージと、前記少なくとも1つの他の通信デバイスからネットワークデバイスにおいて受信した、グループチャレンジに対する応答メッセージとを含むステップとを備え、
前記グループに対応する同じグループ資格情報が、所与の通信デバイスと、前記少なくとも1つの他の通信デバイスとによって、グループチャレンジをグループ内の通信デバイスに共通な鍵と組み合わせることによって、それぞれ計算される、方法。 - 通信ネットワークにおいて通信デバイスのグループを登録する際に使用するための装置であって、
グループの通信デバイスの所与の1つに関連付けられたメモリと、
所与の通信デバイスに関連付けられ、メモリに結合されたプロセッサであって、ネットワークデバイスにより通信デバイスのグループに送信されたグループチャレンジメッセージを受信し、ネットワークデバイスに、グループチャレンジに対する応答メッセージを送信し、ネットワークデバイスからオーセンティケータに送信された集約メッセージを使用して、所与の通信デバイスを、グループ内の少なくとも1つの通信デバイスとともにグループとして、通信ネットワーク内のオーセンティケータと相互に認証させるように構成され、応答メッセージが、グループ内の前記少なくとも1つの他の通信デバイスからネットワークデバイスに送信される、グループチャレンジに対する応答メッセージと、グループに対応する同じグループ資格情報を備え、集約メッセージが、所与の通信デバイスからの応答メッセージと、前記少なくとも1つの他の通信デバイスからネットワークデバイスにおいて受信した、グループチャレンジに対する応答メッセージとを含む、プロセッサとを備え、
前記グループに対応する同じグループ資格情報が、所与の通信デバイスと、前記少なくとも1つの他の通信デバイスとによって、グループチャレンジをグループ内の通信デバイスに共通な鍵と組み合わせることによって、それぞれ計算される、装置。 - 通信ネットワークにおいてユーザのグループを登録するための方法であって、
ネットワークデバイスからユーザのグループにグループチャレンジメッセージを送信するステップと、
ネットワークデバイスにおいて、それぞれグループ内の少なくとも2つのユーザからグループチャレンジに対する少なくとも2つの応答メッセージを受信するステップであって、応答メッセージのそれぞれがグループに対応する同じグループ資格情報を備えるステップと、
ネットワークデバイスにおいて、グループチャレンジに対する応答メッセージを集約するステップと、
前記少なくとも2つのユーザをグループとして、相互に認証させるために、集約メッセージをネットワークデバイスから通信ネットワーク内のオーセンティケータに送信するステップとを備え、
前記グループに対応する同じグループ資格情報が、グループ内の少なくとも2つのユーザによって、グループチャレンジをグループ内のユーザに共通な鍵と組み合わせることによって、それぞれ計算される、方法。
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US12/813,153 US9450928B2 (en) | 2010-06-10 | 2010-06-10 | Secure registration of group of clients using single registration procedure |
US12/813,153 | 2010-06-10 |
Related Parent Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2013514245A Division JP5613324B2 (ja) | 2010-06-10 | 2011-06-06 | 単一の登録手順を使用するクライアントのグループの安全な登録 |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2015029288A JP2015029288A (ja) | 2015-02-12 |
JP6371644B2 true JP6371644B2 (ja) | 2018-08-08 |
Family
ID=44627432
Family Applications (2)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2013514245A Active JP5613324B2 (ja) | 2010-06-10 | 2011-06-06 | 単一の登録手順を使用するクライアントのグループの安全な登録 |
JP2014179883A Active JP6371644B2 (ja) | 2010-06-10 | 2014-09-04 | 単一の登録手順を使用するクライアントのグループの安全な登録 |
Family Applications Before (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2013514245A Active JP5613324B2 (ja) | 2010-06-10 | 2011-06-06 | 単一の登録手順を使用するクライアントのグループの安全な登録 |
Country Status (6)
Country | Link |
---|---|
US (1) | US9450928B2 (ja) |
EP (1) | EP2580901B1 (ja) |
JP (2) | JP5613324B2 (ja) |
KR (1) | KR101497785B1 (ja) |
CN (1) | CN103039053B (ja) |
WO (1) | WO2011156259A1 (ja) |
Families Citing this family (62)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10200325B2 (en) | 2010-04-30 | 2019-02-05 | Shazzle Llc | System and method of delivering confidential electronic files |
WO2011137346A2 (en) * | 2010-04-30 | 2011-11-03 | Peer Fusion Llc | System and method of delivering confidential electronic files |
US9450928B2 (en) | 2010-06-10 | 2016-09-20 | Gemalto Sa | Secure registration of group of clients using single registration procedure |
US20120044865A1 (en) * | 2010-08-20 | 2012-02-23 | Industrial Technology Research Institute | Apparatus And Method For Coupling An M2M Device To A Wireless Network |
US8942170B1 (en) * | 2010-09-08 | 2015-01-27 | Zte (Usa) Inc. | Group identification of wireless communication devices |
EP2617210A1 (en) * | 2010-09-17 | 2013-07-24 | Nokia Siemens Networks Oy | Method for context establishment in telecommunication networks |
GB2484922B (en) * | 2010-10-25 | 2014-10-08 | Sca Ipla Holdings Inc | Infrastructure equipment and method |
EP2671166A4 (en) * | 2011-02-03 | 2016-07-13 | Telcordia Tech Inc | GROUP COMMUNICATION SYSTEM AND METHOD IN 3GPP MACHINE TO MACHINE NETWORKS |
KR20120090855A (ko) * | 2011-02-08 | 2012-08-17 | 한국전자통신연구원 | 기계간 통신에서의 송신 방법 |
TW201628371A (zh) * | 2011-03-23 | 2016-08-01 | 內數位專利控股公司 | 確寶網路通訊系統及方法 |
EP2884812B1 (en) * | 2011-04-01 | 2016-12-28 | Interdigital Patent Holdings, Inc. | Apparatus and method for sharing a common PDP context |
KR102051492B1 (ko) * | 2011-04-15 | 2020-01-08 | 삼성전자주식회사 | 머신-대-머신 서비스 제공 방법 및 장치 |
CN102833742B (zh) * | 2011-06-17 | 2016-03-30 | 华为技术有限公司 | 机器类通信设备组算法的协商方法和设备 |
US10044713B2 (en) | 2011-08-19 | 2018-08-07 | Interdigital Patent Holdings, Inc. | OpenID/local openID security |
US8942698B2 (en) | 2011-11-02 | 2015-01-27 | Qualcomm Incorporated | Methods and devices for facilitating access terminal registration with a registration server |
WO2013120225A1 (en) * | 2012-02-16 | 2013-08-22 | Nokia Siemens Networks Oy | Method and system for group based service bootstrap in m2m environment |
FR2990094A1 (fr) * | 2012-04-26 | 2013-11-01 | Commissariat Energie Atomique | Methode et systeme d'authentification des noeuds d'un reseau |
CN104396283A (zh) | 2012-06-29 | 2015-03-04 | 日本电气株式会社 | 用于m2m中的基于组的特征的安全性的更新 |
WO2014022856A1 (en) * | 2012-08-03 | 2014-02-06 | ENNIS, Louis, C. | Mobile social media platform and devices |
CN103685353A (zh) * | 2012-09-05 | 2014-03-26 | 中兴通讯股份有限公司 | 网关管理终端的方法及装置 |
US9292077B2 (en) | 2013-01-04 | 2016-03-22 | Qualcomm Incorporated | Methods and apparatus for efficient service layer assistance for modem sleep operations |
KR20150103734A (ko) * | 2013-01-10 | 2015-09-11 | 닛본 덴끼 가부시끼가이샤 | Ue 들의 mtc 그룹에 대한 브로드캐스팅에서의 그룹 인증 |
WO2014190177A1 (en) * | 2013-05-22 | 2014-11-27 | Convida Wireless, Llc | Access network assisted bootstrapping |
KR101406530B1 (ko) | 2013-05-30 | 2014-06-11 | 제주대학교 산학협력단 | 스마트 미터를 이용한 암호키 관리 서비스 방법 및 시스템 |
JP2016526805A (ja) * | 2013-06-28 | 2016-09-05 | 日本電気株式会社 | セキュアシステム、及び、セキュア通信を行う方法 |
JP6838789B2 (ja) * | 2013-06-28 | 2021-03-03 | 日本電気株式会社 | Ue及びその通信方法 |
US20160381543A1 (en) * | 2013-06-28 | 2016-12-29 | Nec Corporation | Secure discovery for proximity based service communication |
KR102084104B1 (ko) | 2013-07-25 | 2020-03-03 | 콘비다 와이어리스, 엘엘씨 | 종단간 m2m 서비스 계층 세션 |
WO2015015714A1 (en) * | 2013-07-31 | 2015-02-05 | Nec Corporation | Devices and method for mtc group key management |
CN104581704B (zh) * | 2013-10-25 | 2019-09-24 | 中兴通讯股份有限公司 | 一种实现机器类通信设备间安全通信的方法及网络实体 |
CN104754576B (zh) * | 2013-12-31 | 2018-07-31 | 华为技术有限公司 | 设备验证方法、用户设备及网络设备 |
CN104954327B (zh) * | 2014-03-27 | 2019-02-22 | 东华软件股份公司 | 用于终端连接控制的服务器及方法、终端及方法、和*** |
US9451462B2 (en) * | 2014-08-10 | 2016-09-20 | Belkin International Inc. | Setup of multiple IoT network devices |
US9918351B2 (en) | 2014-04-01 | 2018-03-13 | Belkin International Inc. | Setup of multiple IOT networks devices |
US9992670B2 (en) * | 2014-08-12 | 2018-06-05 | Vodafone Ip Licensing Limited | Machine-to-machine cellular communication security |
US9872240B2 (en) | 2014-08-19 | 2018-01-16 | Belkin International Inc. | Network device source entity triggered device configuration setup |
US9529986B2 (en) | 2014-10-08 | 2016-12-27 | International Business Machines Corporation | Utilizing multiple computing devices to verify identity |
US9298901B1 (en) | 2014-10-08 | 2016-03-29 | International Business Machines Corporation | Credential validation using multiple computing devices |
JP6791115B2 (ja) * | 2015-02-16 | 2020-11-25 | 日本電気株式会社 | 通信システム、通信端末、認証方法及びプログラム |
US9860221B2 (en) * | 2015-03-10 | 2018-01-02 | Intel Corporation | Internet of things group formation using a key-based join protocol |
US9717004B2 (en) * | 2015-03-17 | 2017-07-25 | Qualcomm Incorporated | Apparatus and method for sponsored connectivity to wireless networks using application-specific network access credentials |
SG10201503071UA (en) * | 2015-04-20 | 2016-11-29 | Huawei Internat Pte Ltd | Method for aggregate authentication protocol in m2m communication |
US20170041783A1 (en) * | 2015-08-05 | 2017-02-09 | Alcatel-Lucent Usa Inc. | Method and apparatus for bulk authentication of wireless sensors |
WO2017040749A1 (en) * | 2015-09-01 | 2017-03-09 | Convida Wireless, Llc | Service layer registration |
KR102209718B1 (ko) * | 2015-11-20 | 2021-01-28 | 에스케이텔레콤 주식회사 | 데이터 송수신 방법, 및 이를 위한 장치 |
CN108702620A (zh) * | 2016-02-23 | 2018-10-23 | 华为技术有限公司 | 一种安全通信方法及核心网节点 |
CN107579826B (zh) | 2016-07-04 | 2022-07-22 | 华为技术有限公司 | 一种网络认证方法、中转节点及相关*** |
EP3485667B1 (en) * | 2016-07-14 | 2021-12-22 | Telefonaktiebolaget LM Ericsson (publ) | Enhanced aggregated re-authentication for wireless devices |
US10887295B2 (en) * | 2016-10-26 | 2021-01-05 | Futurewei Technologies, Inc. | System and method for massive IoT group authentication |
CN108112012A (zh) * | 2016-11-24 | 2018-06-01 | ***通信有限公司研究院 | 一种群组终端的网络认证方法及装置 |
EP3679709B1 (en) | 2017-09-08 | 2021-11-03 | Convida Wireless, LLC | Automated service enrollment in a machine-to-machine communications network |
US20190223014A1 (en) * | 2018-01-12 | 2019-07-18 | Qualcomm Incorporated | Systems and methods for secure communication of zigbee keys |
CN110234112B (zh) * | 2018-03-05 | 2020-12-04 | 华为技术有限公司 | 消息处理方法、***及用户面功能设备 |
CN110366179A (zh) * | 2018-04-09 | 2019-10-22 | 中兴通讯股份有限公司 | 一种认证方法、设备和计算机可读存储介质 |
US10966085B2 (en) * | 2018-09-28 | 2021-03-30 | Intel Corporation | Methods for autonomous authentication for vehicle-to-vehicle (V2V) communications in out-of-coverage scenarios |
JP6751430B2 (ja) * | 2018-12-05 | 2020-09-02 | 株式会社日立製作所 | 情報処理システムおよび情報収集システム |
US20220191008A1 (en) * | 2019-03-12 | 2022-06-16 | Nokia Technologies Oy | Communication network-anchored cryptographic key sharing with third-party application |
US20220345894A1 (en) * | 2019-08-16 | 2022-10-27 | Idac Holdings, Inc. | Registration and security enhancements for a wtru with multiple usims |
US20230015789A1 (en) * | 2021-07-08 | 2023-01-19 | Vmware, Inc. | Aggregation of user authorizations from different providers in a hybrid cloud environment |
EP4374270A1 (en) * | 2021-07-21 | 2024-05-29 | Visa International Service Association | Authentication using group signatures of user devices |
CN116015698A (zh) * | 2021-10-21 | 2023-04-25 | 伊姆西Ip控股有限责任公司 | 用于***设备认证的方法、设备和计算机程序产品 |
US20230379172A1 (en) * | 2022-05-17 | 2023-11-23 | Mellanox Technologies, Ltd. | Multi-destination challenge-response security tokens |
Family Cites Families (41)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE19703998A1 (de) | 1997-02-04 | 1998-08-06 | Bosch Gmbh Robert | Verfahren zum Betrieb einer Fernwirkeinrichtung und Fernwirkeinrichtung |
JP2001211147A (ja) * | 2000-01-25 | 2001-08-03 | Advanced Mobile Telecommunications Security Technology Research Lab Co Ltd | キーエスクロー方法 |
JP2002124941A (ja) * | 2000-10-18 | 2002-04-26 | Mitsubishi Electric Corp | 暗号通信システムおよび暗号鍵配送方法 |
JP2002163212A (ja) * | 2000-11-28 | 2002-06-07 | Canon Inc | 通信システム及びその制御方法、及び媒体 |
US20080301776A1 (en) * | 2001-02-14 | 2008-12-04 | Weatherford Sidney L | System method for providing secure access to a communications network |
US7266687B2 (en) * | 2001-02-16 | 2007-09-04 | Motorola, Inc. | Method and apparatus for storing and distributing encryption keys |
US7123719B2 (en) * | 2001-02-16 | 2006-10-17 | Motorola, Inc. | Method and apparatus for providing authentication in a communication system |
US7564824B2 (en) * | 2002-02-04 | 2009-07-21 | Qualcomm Incorporated | Methods and apparatus for aggregating MIP and AAA messages |
US7120797B2 (en) | 2002-04-24 | 2006-10-10 | Microsoft Corporation | Methods for authenticating potential members invited to join a group |
JP4574957B2 (ja) * | 2002-05-30 | 2010-11-04 | 株式会社東芝 | グループ管理機関装置、利用者装置、サービス提供者装置及びプログラム |
WO2003107588A1 (en) | 2002-06-17 | 2003-12-24 | Koninklijke Philips Electronics N.V. | System for authentication between devices using group certificates |
US7194628B1 (en) * | 2002-10-28 | 2007-03-20 | Mobile-Mind, Inc. | Methods and systems for group authentication using the naccache-stern cryptosystem in accordance with a prescribed rule |
JP2004242210A (ja) | 2003-02-07 | 2004-08-26 | Ntt Docomo Inc | マルチキャスト配信システム及びその方法並びにデータ中継装置、クライアント装置、認証・鍵管理装置 |
US7464166B2 (en) * | 2003-04-11 | 2008-12-09 | Telefonaktiebolaget Lm Ericsson (Publ) | Contention-based forwarding with integrated multi-user detection capability |
JP2005309590A (ja) | 2004-04-19 | 2005-11-04 | Nippon Telegraph & Telephone East Corp | ユーザ認証システム、及びユーザ認証方法 |
JPWO2005106681A1 (ja) * | 2004-04-30 | 2008-03-21 | 松下電器産業株式会社 | セキュアデバイスを利用したデジタル著作権管理 |
US7451316B2 (en) * | 2004-07-15 | 2008-11-11 | Cisco Technology, Inc. | Method and system for pre-authentication |
DE102004049026B4 (de) | 2004-10-05 | 2007-06-21 | Nec Europe Ltd. | Verfahren zur Authentifizierung von Elementen einer Gruppe |
JP4564851B2 (ja) * | 2005-01-24 | 2010-10-20 | 日本電信電話株式会社 | タグ情報検証方法及びプログラム |
CN1327681C (zh) * | 2005-08-08 | 2007-07-18 | 华为技术有限公司 | 一种实现初始因特网协议多媒体子***注册的方法 |
US20070070959A1 (en) * | 2005-09-23 | 2007-03-29 | Almeroth Kevin C | Infrastructure mesh networks |
US8064948B2 (en) * | 2006-01-09 | 2011-11-22 | Cisco Technology, Inc. | Seamless roaming for dual-mode WiMax/WiFi stations |
US20080108322A1 (en) * | 2006-11-03 | 2008-05-08 | Motorola, Inc. | Device and / or user authentication for network access |
US8060741B2 (en) * | 2006-12-29 | 2011-11-15 | Industrial Technology Research Institute | System and method for wireless mobile network authentication |
JP2009027513A (ja) | 2007-07-20 | 2009-02-05 | National Institute Of Information & Communication Technology | 認証システム、認証方法、ならびに、プログラム |
US7840708B2 (en) * | 2007-08-13 | 2010-11-23 | Cisco Technology, Inc. | Method and system for the assignment of security group information using a proxy |
WO2009079050A2 (en) * | 2007-09-19 | 2009-06-25 | Verayo, Inc. | Authentication with physical unclonable functions |
US9198033B2 (en) * | 2007-09-27 | 2015-11-24 | Alcatel Lucent | Method and apparatus for authenticating nodes in a wireless network |
EP2259205B1 (en) | 2008-03-28 | 2018-04-25 | Panasonic Corporation | Software updating apparatus, software updating system, alteration verification method and alteration verification program |
US8600896B2 (en) | 2008-03-28 | 2013-12-03 | Panasonic Corporation | Software updating apparatus, software updating system, invalidation method, and invalidation program |
US7917541B2 (en) * | 2008-03-31 | 2011-03-29 | Microsoft Corporation | Collecting and aggregating data using distributed resources |
US20090327443A1 (en) * | 2008-06-26 | 2009-12-31 | Sprint Spectrum L.P. | Method and System for Aggregating Messages |
JP5033090B2 (ja) | 2008-09-08 | 2012-09-26 | 日本放送協会 | 認証情報生成装置、コンテンツ配信装置、受信装置およびセキュリティモジュール |
WO2010061561A1 (ja) | 2008-11-26 | 2010-06-03 | パナソニック株式会社 | 監視システム、プログラム実行装置、監視プログラム、記録媒体及び集積回路 |
KR101129315B1 (ko) * | 2008-12-18 | 2012-03-26 | 한국전자통신연구원 | 라우팅 확장성과 이동성을 지원하는 터널 포인트의 동작 방법 |
JP2010183327A (ja) | 2009-02-05 | 2010-08-19 | Nec Corp | 分割ダウンロードシステムにおける通信装置および通信制御方法 |
US9590961B2 (en) * | 2009-07-14 | 2017-03-07 | Alcatel Lucent | Automated security provisioning protocol for wide area network communication devices in open device environment |
US8578038B2 (en) * | 2009-11-30 | 2013-11-05 | Nokia Corporation | Method and apparatus for providing access to social content |
CN101710900B (zh) * | 2009-12-24 | 2012-07-25 | 公安部第一研究所 | 一种sip注册域内信令安全交互方法 |
JP2011154410A (ja) | 2010-01-25 | 2011-08-11 | Sony Corp | 解析サーバ及びデータ解析方法 |
US9450928B2 (en) | 2010-06-10 | 2016-09-20 | Gemalto Sa | Secure registration of group of clients using single registration procedure |
-
2010
- 2010-06-10 US US12/813,153 patent/US9450928B2/en active Active
-
2011
- 2011-06-06 KR KR1020127032167A patent/KR101497785B1/ko active IP Right Grant
- 2011-06-06 WO PCT/US2011/039243 patent/WO2011156259A1/en active Application Filing
- 2011-06-06 JP JP2013514245A patent/JP5613324B2/ja active Active
- 2011-06-06 CN CN201180028463.3A patent/CN103039053B/zh active Active
- 2011-06-06 EP EP11727587.5A patent/EP2580901B1/en active Active
-
2014
- 2014-09-04 JP JP2014179883A patent/JP6371644B2/ja active Active
Also Published As
Publication number | Publication date |
---|---|
EP2580901B1 (en) | 2020-04-22 |
KR101497785B1 (ko) | 2015-03-02 |
US9450928B2 (en) | 2016-09-20 |
CN103039053B (zh) | 2016-10-26 |
JP2013537729A (ja) | 2013-10-03 |
EP2580901A1 (en) | 2013-04-17 |
US20110307694A1 (en) | 2011-12-15 |
JP2015029288A (ja) | 2015-02-12 |
JP5613324B2 (ja) | 2014-10-22 |
WO2011156259A1 (en) | 2011-12-15 |
KR20130034649A (ko) | 2013-04-05 |
CN103039053A (zh) | 2013-04-10 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP6371644B2 (ja) | 単一の登録手順を使用するクライアントのグループの安全な登録 | |
US11582231B2 (en) | Key-derivation verification in telecommunications network | |
US10943005B2 (en) | Secure authentication of devices for internet of things | |
US9590961B2 (en) | Automated security provisioning protocol for wide area network communication devices in open device environment | |
US10880291B2 (en) | Mobile identity for single sign-on (SSO) in enterprise networks | |
JP5392879B2 (ja) | 通信デバイスを認証するための方法および装置 | |
US9467431B2 (en) | Application specific master key selection in evolved networks | |
EP1842319B1 (en) | User authentication and authorisation in a communications system | |
US10601815B2 (en) | Methods and devices for bootstrapping of resource constrained devices | |
JP4687788B2 (ja) | 無線アクセスシステムおよび無線アクセス方法 | |
WO2012174959A1 (zh) | 一种机器到机器通信中组认证的方法、***及网关 | |
US20200389788A1 (en) | Session Key Establishment | |
GB2537377A (en) | Security improvements in a cellular network | |
US20210165885A1 (en) | Extended Authentication Method And Apparatus For Generic Bootstrapping Architecture, And Storage Medium | |
US9326141B2 (en) | Internet protocol multimedia subsystem (IMS) authentication for non-IMS subscribers | |
US20170078288A1 (en) | Method for accessing communications network by terminal, apparatus, and communications system | |
WO2020208294A1 (en) | Establishing secure communication paths to multipath connection server with initial connection over public network | |
JP6861285B2 (ja) | 緊急アクセス中のパラメータ交換のための方法およびデバイス | |
Broustis et al. | Group authentication: A new paradigm for emerging applications | |
Abdelkader et al. | A novel advanced identity management scheme for seamless handoff in 4G wireless networks | |
Deng et al. | Practical unified authentication for 3g-wlan interworking | |
Othmen et al. | Re-authentication protocol from WLAN to LTE (ReP WLAN-LTE) | |
Dinckan et al. | Authentication and ciphering in GPRS Network | |
Kostopoulos et al. | Security in wireless networks: the FlexiNET approach |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20151211 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20160112 |
|
A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A711 Effective date: 20160122 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20160408 |
|
A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20160726 |
|
A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A711 Effective date: 20161004 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20161109 |
|
A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20161128 |
|
A912 | Re-examination (zenchi) completed and case transferred to appeal board |
Free format text: JAPANESE INTERMEDIATE CODE: A912 Effective date: 20161216 |
|
A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20180131 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20180511 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20180713 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 6371644 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |