JP6775683B2 - 次世代システムの認証 - Google Patents

次世代システムの認証 Download PDF

Info

Publication number
JP6775683B2
JP6775683B2 JP2019521802A JP2019521802A JP6775683B2 JP 6775683 B2 JP6775683 B2 JP 6775683B2 JP 2019521802 A JP2019521802 A JP 2019521802A JP 2019521802 A JP2019521802 A JP 2019521802A JP 6775683 B2 JP6775683 B2 JP 6775683B2
Authority
JP
Japan
Prior art keywords
authentication
upf
eap
response
computer program
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2019521802A
Other languages
English (en)
Other versions
JP2019533951A (ja
Inventor
ヘンダ， ノアメン ベン
ヘンダ， ノアメン ベン
ヴェサ レフトヴィルタ，
ヴェサ レフトヴィルタ，
サモーラ， ダビド カステリャノス
サモーラ， ダビド カステリャノス
Original Assignee
テレフオンアクチーボラゲット エルエム エリクソン（パブル）
テレフオンアクチーボラゲット エルエム エリクソン（パブル）
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by テレフオンアクチーボラゲット エルエム エリクソン（パブル）, テレフオンアクチーボラゲット エルエム エリクソン（パブル） filed Critical テレフオンアクチーボラゲット エルエム エリクソン（パブル）
Publication of JP2019533951A publication Critical patent/JP2019533951A/ja
Application granted granted Critical
Publication of JP6775683B2 publication Critical patent/JP6775683B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • Business, Economics & Management (AREA)
  • Telephonic Communication Services (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Computer And Data Communications (AREA)
  • Communication Control (AREA)

Description

本開示は、ネットワークにおける２次認証のための方法および装置に関する。
３ｒｄ Ｇｅｎｅｒａｔｉｏｎ Ｐａｒｔｎｅｒｓｈｉｐ Ｐｒｏｊｅｃｔ（第３世代移動体通信システム標準化プロジェクト）（３ＧＰＰ）は現在、次世代（ＮＧ）システムとも称される、５Ｇの標準を開発している。５Ｇが多くの新しいシナリオおよびユースケースをサポートすること、およびモノのインターネット（ＩｏＴ）のイネーブラーとなることが期待されている。ＮＧシステムが、センサー、スマートウェアラブル、車両、機械などのような広範にわたる新しいデバイスに接続をもたらすことが期待されている。したがって、柔軟性はＮＧシステムにおいて重要な特性である。これは、オペレータによって事前プロビジョンされ、ユニバーサル集積回路カード（ＵＩＣＣ）に安全に格納されている通常の認証および鍵合意（ＡＫＡ）資格情報と比較して、代替の認証方法およびさまざまなタイプの資格情報のサポートを義務づけるネットワークアクセスのセキュリティ要件に反映されている。これにより、工場所有者または企業は、認証およびアクセスネットワークセキュリティのために各自の識別および資格情報管理システムを活用できるようになる。
ＮＧシステムの新しい機能の中には、ネットワークスライシングの概念がある。ネットワークスライス（ＮＳ）は、基本的に、特定のサービスを提供することに専用のコアネットワークのインスタンスである。これにより、オペレータは、サービス品質（ＱｏＳ）に関して各々がさまざまなサービス要件を備える、多種多様な新しいユースケースを処理することができるようになる。たとえば、オペレータは、非常に低いレイテンシを必要とする（ミッションクリティカルプッシュツートーク（ＭＣＰＴＴ）のような）公共安全サービスのためのミッションクリティカルＮＳと並行して、さらには非常に低い帯域幅を伴う電気メーターのためのＩｏＴ ＮＳと並行して、通常のモバイルブロードバンド（ＭＢＢ）サービスのためにＮＳを実行していることもある。
ネットワークスライシングに関連して研究されているトピックの中には、異なるＮＳにアクセスするための認証および認可の手順の分離がある。
本明細書において提示される実施形態の目的は、次世代システムにおいて認証の分離を可能にすることである。
第１の態様によれば、ネットワークにおける２次認証のための方法が提示される。方法は、ユーザ機器（ＵＥ）によって実行され、ユーザプレーン（ＵＰ）機能（ＵＰＦ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立することと、ＵＰＦから拡張認証プロトコル（ＥＡＰ）ベースの認証要求を受信することと、ＥＡＰベースの認証応答をＵＰＦに送信することとを備える。
方法は、セキュリティアンカー機能（ＳＥＡＦ）との１次認証を確立することをさらに備えることができる。
方法は、ＵＰＦからＥＡＰベースの認証結果を受信することをさらに備えることができる。
ＵＥはさらに、次世代（ＮＧ）ＵＥであってもよい。ＵＰＦはさらに、ＮＧ ＵＰＦであってもよい。
第２の態様によれば、ネットワークにおける２次認証のための方法が提示される。方法は、ユーザプレーン（ＵＰ）機能（ＵＰＦ）によって実行され、ユーザ機器（ＵＥ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立することと、拡張認証プロトコル（ＥＡＰ）ベースの認証要求をＵＥに送信することと、ＥＡＰベースの認証応答をＵＥから受信することとを備える。
方法は、受信されたＥＡＰベースの認証応答の検証要求を、認証、認可、アカウンティング（ＡＡＡ）サーバに送信することと、ＡＡＡサーバから検証応答を受信することとをさらに備えることができる。
方法は、認証結果をＵＥに送信することであって、認証はＡＡＡサーバからの検証応答に基づく、送信することをさらに備えることができる。
ＵＥはさらに、次世代（ＮＧ）ＵＥであってもよい。ＵＰＦはさらに、ＮＧ ＵＰＦであってもよい。
第３の態様によれば、ネットワークにおける動作のためのユーザ機器（ＵＥ）が提示される。ＵＥは、プロセッサと、コンピュータプログラム製品とを備える。コンピュータプログラム製品は、プロセッサによって実行されるとき、ＵＥに、ＵＰ機能（ＵＰＦ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立することと、ＵＰＦから拡張認証プロトコル（ＥＡＰ）ベースの認証要求を受信することと、ＥＡＰベースの認証応答をＵＰＦに送信することとを行わせる命令を格納する。
ＵＥに、セキュリティアンカー機能（ＳＥＡＦ）との１次認証を確立することをさらに行わせてもよい。
ＵＥに、ＵＰＦからＥＡＰベースの認証結果を受信することをさらに行わせもよい。
ＵＥはさらに、次世代（ＮＧ）ＵＥであってもよい。ＵＰＦはさらに、ＮＧ ＵＰＦであってもよい。
第４の態様によれば、ネットワークにおいて動作可能なユーザプレーン（ＵＰ）機能（ＵＰＦ）が提示される。ＵＰＦは、プロセッサと、コンピュータプログラム製品とを備える。コンピュータプログラム製品は、プロセッサによって実行されるとき、ＵＰＦに、ユーザ機器（ＵＥ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立することと、拡張認証プロトコル（ＥＡＰ）ベースの認証要求をＵＥに送信することと、ＥＡＰベースの認証応答をＵＥから受信することとを行わせる命令を格納する。
ＵＰＦに、受信されたＥＡＰベースの認証応答の検証要求を、認証、認可、アカウンティング（ＡＡＡ）サーバに送信することと、ＡＡＡサーバから検証応答を受信することとをさらに行わせてもよい。
ＵＰＦに、認証結果をＵＥに送信することであって、認証はＡＡＡサーバからの検証応答に基づく、送信することをさらに行わせてもよい。
ＵＥはさらに、次世代（ＮＧ）ＵＥであってもよい。ＵＰＦはさらに、ＮＧ ＵＰＦであってもよい。
第５の態様によれば、ネットワークにおける動作のためのユーザ機器（ＵＥ）が提示される。ＵＥは、ＵＰ機能（ＵＰＦ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立するための手段と、ＵＰＦから拡張認証プロトコル（ＥＡＰ）ベースの認証要求を受信するための手段と、ＥＡＰベースの認証応答をＵＰＦに送信するための手段とを備える。
ＵＥは、セキュリティアンカー機能（ＳＥＡＦ）との１次認証を確立するための手段をさらに備えることができる。
ＵＥは、ＵＰＦからＥＡＰベースの認証結果を受信するための手段をさらに備えることができる。
ＵＥはさらに、次世代（ＮＧ）ＵＥであってもよい。ＵＰＦはさらに、ＮＧ ＵＰＦであってもよい。
第６の態様によれば、ネットワークにおいて動作可能なユーザプレーン（ＵＰ）機能（ＵＰＦ）が提示される。ＵＰＦは、ユーザ機器（ＵＥ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立するための手段と、拡張認証プロトコル（ＥＡＰ）ベースの認証要求をＵＥに送信するための手段と、ＥＡＰベースの認証応答をＵＥから受信するための手段とを備える。
ＵＰＦは、受信されたＥＡＰベースの認証応答の検証要求を、認証、認可、アカウンティング（ＡＡＡ）サーバに送信するための手段と、ＡＡＡサーバから検証応答を受信する手段とをさらに備えることができる。
ＵＰＦは、認証結果をＵＥに送信するための手段であって、認証はＡＡＡサーバからの検証応答に基づく手段をさらに備えることができる。
ＵＥはさらに、次世代（ＮＧ）ＵＥであってもよい。ＵＰＦはさらに、ＮＧ ＵＰＦであってもよい。
第７の態様によれば、ネットワークにおける２次認証のためのコンピュータプログラムが提示される。コンピュータプログラムは、ユーザ機器（ＵＥ）において実行されるとき、ＵＥに、ＵＰ機能（ＵＰＦ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立することと、ＵＰＦから拡張認証プロトコル（ＥＡＰ）ベースの認証要求を受信することと、ＥＡＰベースの認証応答をＵＰＦに送信することとを行わせるコンピュータプログラムコードを備える。
ＵＥはさらに、次世代（ＮＧ）ＵＥであってもよい。ＵＰＦはさらに、ＮＧ ＵＰＦであってもよい。
第８の態様によれば、ネットワークにおける２次認証のためのコンピュータプログラムが提示される。コンピュータプログラムは、ユーザプレーン（ＵＰ）機能（ＵＰＦ）において実行されるとき、ＵＰＦに、ユーザ機器（ＵＥ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立することと、拡張認証プロトコル（ＥＡＰ）ベースの認証要求をＵＥに送信することと、ＥＡＰベースの認証応答をＵＥから受信することとを行わせるコンピュータプログラムコードを備える。
ＵＥはさらに、次世代（ＮＧ）ＵＥであってもよい。ＵＰＦはさらに、ＮＧ ＵＰＦであってもよい。
第９の態様によれば、コンピュータプログラム製品が提示される。コンピュータプログラム製品は、コンピュータプログラムと、コンピュータプログラムが格納されるコンピュータ可読ストレージ手段とを備える。概して、特許請求の範囲において使用されるすべての用語は、本明細書においてそうではないと明示的に規定されていない限り、当技術分野におけるそれらの通常の意味に従って解釈されるものとする。「（ａ／ａｎ／ｔｈｅ）要素、装置、コンポーネント、手段、ステップなど」のすべての参照は、そうではないと特に明記のない限り、要素、装置、コンポーネント、手段、ステップなどの少なくとも１つの例を参照するものとして広義に解釈されるものとする。本明細書において開示される任意の方法のステップは、特に明記のない限り、開示されている正確な順序で実行される必要はない。
これ以降、本発明の概念は、添付の図面を参照して、例証として説明される。
本明細書において提示される実施形態が適用され得る環境を示す概略図である。 ＬＴＥにおける２次認証のフローを概略的に示す図である。 次世代システムにおけるＥＡＰベースの２次認証のフローを概略的に示す図である。 本明細書において提示される実施形態のＥＡＰベースの２次認証のためのプロトコルアーキテクチャを概略的に示す図である。 本明細書において提示される実施形態のＥＡＰベースの２次認証のためのプロトコルアーキテクチャを概略的に示す図である。 本明細書において提示される実施形態の方法を示す流れ図である。 本明細書において提示される実施形態の方法を示す流れ図である。 本明細書において提示されるデバイスの一部のコンポーネントを示す概略図である。 本明細書において提示されるデバイスの一部のコンポーネントを示す概略図である。 本明細書において提示されるデバイスの機能モジュールを示す概略図である。 本明細書において提示されるデバイスの機能モジュールを示す概略図である。
これ以降、本発明の概念は、本発明の概念の特定の実施形態が示される添付の図面を参照して以下にさらに詳細に説明される。しかし、この発明の概念は、多数の異なる形態で具現化されてもよく、本明細書において記載される実施形態に限定されるものと解釈されるべきではなく、これらの実施形態は、この開示が綿密かつ完全なものとなり、本発明の概念の範囲を当業者に十分に伝達できるように、例証として提供されている。説明全体を通じて、類似する番号は類似する要素を示す。
異なるネットワークスライス（ＮＳ）にアクセスするための認証および認可の手順を分離する１つの可能なシナリオは次のとおりである。ＮＧユーザ機器（ＵＥ）が特定のＮＳにアクセスするために、オペレータは、２次ＮＳ固有の認証が後に続く、初期ネットワークアクセスのための１次（通常）認証を最初に実行することになる。２次ＮＳ固有の認証は、場合によっては、サードパーティの制御の下であってもよい。これは、サードパーティサービスプロバイダと、たとえば専用のＮＳインスタンスにおいてこのサードパーティにアクセスおよびトランスポートサービスを提供しているモバイルネットワークオペレータ（ＭＮＯ）との間の信頼を想定している。
Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ（ＬＴＥ）において、説明されるシナリオに関連し得るメカニズムがある。このメカニズムは、ＴＳ２３．４０１からの条項５．３．２において説明される。これは、いわゆる暗号化オプション要求に基づいており、プロトコル設定オプション（ＰＣＯ）と称される情報要素を使用する。
ＰＣＯは、非アクセス階層（ＮＡＳ）メッセージにおける情報要素の１つである。ＰＣＯは、モビリティ管理エンティティ（ＭＭＥ）およびサービングゲートウェイ（Ｓ−ＧＷ）を通じて情報をＰＤＮ−ＧＷに透過的に送信するためにパケットデータネットワーク（ＰＤＮ）接続要求のような複数のタイプのメッセージにおいて使用されることがある。たとえば、ＰＣＯは、ダイナミックホスト設定プロトコルバージョン４（ＤＨＣＰｖ４）を用いてデフォルトベアラアクティブ化の後に限りインターネットプロトコルバージョン４（ＩＰｖ４）アドレスを取得するようＵＥが選択することを指示するアドレス割り当てプリファレンスを含むことができる。
ＰＣＯの１つのユースケースは、パスワード認証プロトコル（ＰＡＰ）やチャレンジハンドシェーク認証プロトコル（ＣＨＡＰ）のユーザ名とパスワードのＰＤＮ−ＧＷへの転送であり、次いでアクセス認可のために認証、認可、アカウンティング（ＡＡＡ）サーバを通じてこれらを実行する。ＡＡＡサーバは、外部ドメインに配置されてもよい。ユーザ名およびパスワードは、機密事項であり、保護される必要があるため、ＵＥが暗号化を必要とするＰＣＯ（たとえば、ＰＡＰ／ＣＨＡＰユーザ名およびパスワード）を送信しようとする場合、ＵＥは、接続要求メッセージで暗号化オプション転送フラグを設定して、認証およびＮＡＳセキュリティセットアップが完了した後に限りＰＣＯを送信するものとする。
図２は、ＬＴＥにおいてＰＤＮ−ＧＷを通じてそのような追加の（つまり、２次の）認証手順を実行するために必要とされるメッセージフローを示す。後段において、ステップのさらに詳細な説明が提供される。
ＵＥは、ＵＥドメイン内にある。ＭＭＥ、Ｓ−ＧＷ、ホーム加入者サーバ（ＨＳＳ）、およびＰＤＮ−ＧＷは、ＭＮＯドメイン内にある。ＡＡＡサーバは、サードパーティドメイン内にある。
ステップ１において、ＵＥは、暗号化オプション転送フラグが設定された接続要求メッセージをＭＭＥに送信する。
ステップ２において、認証および鍵共有（ＡＫＡ）手順が、ＵＥとＨＳＳの間で実行される。認証に成功すると、次のステップが実行される。
ステップ３において、ＮＡＳセキュリティが、セキュアモードコマンド（ＳＭＣ）を使用してセットアップされる。ＮＡＳセキュリティがセットアップされた後、すべてのＮＡＳメッセージは機密性および保全性が保護される。
ステップ４において、ＭＭＥは、ＰＣＯの取得のために、暗号化オプション要求メッセージをＵＥに送信する。
ステップ５において、ＵＥは、ＰＣＯ情報要素にＰＡＰ／ＣＨＡＰユーザ名およびパスワードを含む暗号化オプション応答メッセージで応答する。ＵＥが複数のＰＤＮのサブスクリプションを有する場合、ＵＥは、メッセージにアクセスポイント名（ＡＰＮ）も含む。
ステップ６において、ＭＭＥは、受信されたデータを暗号化し、ＰＤＮ−ＧＷを識別するために可能な提供されたＡＰＮを使用して、作成セッション要求メッセージでＳ−ＧＷを通じてＰＣＯをターゲットＰＤＮ−ＧＷに転送する。
ステップ７において、ＰＤＮ−ＧＷは、ｄｉａｍｅｔｅｒ／ｒａｄｉｕｓアクセス要求メッセージで受信されたＰＡＰ／ＣＨＡＰ情報を外部ＡＡＡサーバに送信する。成功すると、セッション作成手順が通常どおりに進行する。
したがって、上記のステップ４〜７は、ステップ２の第１の認証が完了した後に実行される２次認証を表す。しかし、ＮＧシステムにおいてこのメカニズムまたは拡張を使用することは、何らかの欠点をもたらすことになる。
第１に、メカニズムは、可能な認証方法に関して極めて限定されている。現在、ＰＡＰおよびＣＨＡＰのサポートしかない。しかし、今日のＰＡＰは、セキュリティの観点からは陳腐化しており、基本的に使用することが可能であるのはＣＨＡＰのみである。
第２に、その他の方法をサポートし、認証情報のトランスポートのためにＰＣＯ情報要素を使用するために、メカニズムは、この目的に専用のＭＭＥとＳ−ＧＷならびにＳ−ＧＷとＰＤＮ−ＧＷの間の特別メッセージを指定するように求められる。すなわち、単に１回だけにはとどまらない往復回数が要求される認証方法を処理することになる。
さらに、このメカニズムが、さらに細分化されるＮＧアーキテクチャにどのように適合するかを見極めることは困難である。実際に、新しいアーキテクチャの特徴（ＴＲ ２３．７９９）を考慮すると、たとえば、モビリティ管理機能（ＭＭＦ）およびセッション管理機能ＳＭＦへのＭＭＥの分離に関する進行中の取組み（ＴＲ ２３．７９９）、ならびに制御およびユーザプレーン分離のための制御とユーザプレーンの分離（ＣＵＰＳ）の取組み（ＴＲ ２３．７１４）に関して、ＵＥとＰＤＮ−ＧＷの間のパスのホップはおそらくはさらに多くなる。このことは、コアネットワーク（ＣＮ）におけるさらに多くの過負荷およびシグナリングを暗示する。
最後に、ＵＥとＰＤＮ−ＧＷとの間に直接プロトコルがないので、このメカニズムは次善策である。特に多くの方法がトランスポート層に厳しい勧告および要件を有するので、その他の認証方法をサポートするのに十分に汎用的なものにすることは技術的に困難となろう。
ユーザプレーン（ＵＰ）で２次認証を実行することは、これがセットアップされると提示される。ＰＤＮへの完全なアクセスを許可するのではなく、２次認証の手順に対して限定されたＵＰセッションが実行されてもよい。２次認証が完了すると、限定されたＵＰセッションは、データネットワークに完全アクセスを有するセッションにアップグレードされてもよい。ＲＦＣ３７４８において規定されているように、拡張認証プロトコル（ＥＡＰ）の使用もまた提示される。ＥＡＰは、ＵＥと潜在的に外部のＡＡＡサーバとの間の認証のために使用され、ここでＮＧ−ＵＰ機能（ＵＰＦ）は、ＬＴＥにおけるＰＤＮ−ＧＷの役割と類似する役割を果たし、ＥＡＰオーセンティケータの機能を保証する。ＥＡＰペイロードは、プロトコルがＩＰベースである、ＲＦＣ５１９１において規定されているように、ネットワークアクセスの認証を搬送するためのプロトコル（ＰＡＮＡ）によって搬送される。もう１つの代替は、ＮＧ−ＵＰＦがＥＡＰサーバの機能を保証するものである。
提示される解決策は、ＥＡＰを使用し、ＥＡＰは幅広く使用され、ＥＡＰトランスポート層セキュリティ（ＴＬＳ）、ＥＡＰ認証および鍵合意（ＡＫＡ）、ＥＡＰトンネル化ＴＬＳ（ＴＴＬＳ）、およびＥＡＰ保護拡張認証プロトコル（ＰＥＡＰ）のような多数の認証方法のサポートを提供する。提示される解決策は、ＩＰベースであり、したがってアクセスネットワーク（ＡＮ）のタイプに非依存である。さらに、解決策はＵＰベースであるため、２次認証は、たとえＮＧ−ＵＥが複数の、場合によっては同時のＮＳ接続をサポートするようなシナリオであっても、ＮＳ固有ベースで独立して実行され得る。ＥＡＰを使用することにより、解決策はまた、異なるタイプの資格情報および認証方法をサポートする。ＥＡＰ交換は、エアインターフェイスを介する保護から恩恵を受けることができる。
したがって、２次認証は、ＮＧ−ＵＥにＩＰアドレスが割り当てられた後のＵＰベアラの流れである。次いで、ＥＡＰは、ＮＧ−ＵＥと（潜在的に外部の）ＡＡＡサーバの間の認証に使用され、ここでＮＧ−ＵＰＦはＥＡＰオーセンティケータの機能を保証する。
ＮＧ−ＵＰＦがＥＡＰオーセンティケータの役割を果たす実施形態は、図３を参照して提示される。
図３は、ＵＰベースの２次認証が外部ＡＡＡサーバで実行されるフローを示す。ＮＧ−ＵＥは、ＵＥドメイン内にある。ＮＧモビリティ管理機能（ＭＭＦ）、ＮＧセッション管理機能（ＳＭＦ）、ＮＧセキュリティアンカー機能（ＳＥＡＦ）、およびＮＧ−ＵＰＦは、ＭＮＯドメイン内にある。ＮＧ−ＵＰＦは、ＬＴＥにおけるＰＤＮ−ＧＷに対応するＵＰＦである。ＡＡＡサーバは、サードパーティドメイン内にある。ＮＧ−ＵＰＦの要件は、場合によっては、ＳＧｉインターフェイスのサポートのようなＬＴＥにおけるＰＤＮ−ＧＷのすべての必要とされるＵＰ機能のサポートに加えて、ＰＡＮＡおよびＥＡＰのサポートを含めることである。一般に、ＮＧプレフィックスは、ＬＴＥ概念に対応するＮＧシステム機能に使用される。
ステップ１において、ＮＧ−ＵＥは、接続手順を開始する接続要求を送信する。本明細書において提示される解決策は、ネットワークスライシングがどのようにサポートされるか、たとえばＮＳインスタンスがどのように選択されるか、およびＮＧ−ＵＥがどのように適正なＮＳインスタンスに方向付けられるかには依存していない。
ステップ２において、ＮＧ−ＵＥは、ＮＧ ＳＥＡＦとの１次認証を実行する。ＮＧ ＳＥＡＦは、ＮＧ認証サーバ機能（ＡＵＳＦ）にさらに接続されてもよい。その後、２次認証は、ＮＧ ＳＥＡＦおよびＮＧ ＭＭＦがどのように配備されるか（つまり、連結されるかまたは分離されるか）にも、ＮＧＳＥＡＦの位置（ホームまたは訪問先の地上波公共移動通信ネットワーク（ＰＬＭＮ））にも依存することはない。
ステップ３において、制御プレーンセキュリティは、ＮＧ−ＵＥと、ＮＧ ＮＡＳのエンドポイントの間で確立される。ＮＧ ＮＡＳのエンドポイントは、たとえばＮＧ ＭＭＦまたはＮＧ ＳＭＦであってもよい。
ステップ４において、プロトコルデータユニット（ＰＤＵ）セッションは、それ以降、ＮＧ ＵＰＦを介するＮＧ−ＵＥとデータネットワークの間のＵＰデータのトランスポートのために確立される。ステップ４は、２次認証手順を実行することのみを許容する限定されたセッションであってもよい。その後、２次認証は、ＮＧ−ＵＥとＮＧ−ＵＰＦの間のＩＰ接続を確立するので、セットアップされているＵＰに依存する。
ステップ５において、２次ＥＡＰベースの認証は、ＮＧ−ＵＥとＮＧ−ＵＰＦの間で実行され、ここでＥＡＰオーセンティケータの機能を保証し、バックエンドの外部ＡＡＡサーバに依存する。ＮＧ−ＵＥは、その後、この認証手順の結果に基づいてデータネットワークにおけるアクセスを許可される。
この提示される解決策は、非３ＧＰＰアクセスがどのように統合されるか、およびステップ１からステップ３がここで示されるとおり正確に、または異なるように実行されるかどうかには非依存である。ステップ４において達成されるＮＧ−ＵＥとＮＧ−ＵＰＦの間にＩＰ接続が確立される限り、ＥＡＰベースの認証は、ステップ５において実行され得る。無線アクセスネットワーク（ＲＡＮ）セキュリティが、ステップ５の前に確立されている場合は、ＥＡＰ交換はエアインターフェイス上でも保護される。
図４は、図３を参照して説明されるように、ＮＧ−ＵＰＦと、ＥＡＰオーセンティケータとしてのＮＧ−ＵＰＦを伴うＮＧ−ＵＥの間のＥＡＰベースの２次認証のプロトコルアーキテクチャを示す。図４に示されるアーキテクチャは、ＵＥとＰＤＮ−ＧＷの間のＵＰトラフィックのトランスポートに関しては、ＬＴＥのアーキテクチャと類似する。グレー表示されたボックスは、上記で説明されるＥＡＰベースの２次認証を提供するために必要とされる追加のプロトコル層を強調する。
ＥＡＰサーバとしてのＵＧ−ＵＰＦとのＥＡＰベースの２次認証のプロトコルアーキテクチャによる実施形態は、図５を参照して提示される。
この実施形態において、ＮＧ−ＵＰＦはＥＡＰ交換を終了させ、完全なＥＡＰサーバの機能を保証する。したがって、この実施形態のメッセージフローは、ステップ５において外部ＡＡＡサーバがコンタクトされていないことを除いては、図３のメッセージフローと類似している。
ＮＧ−ＵＥと、コアネットワーク内のＵＰトラフィックを終了させ、場合によっては外部ＡＡＡサーバと対話するＮＧ−ＵＰＦとの間のＮＧシステムにおける追加または２次認証のメカニズムが提示された。ＮＧ−ＵＰＦは、ＬＴＥにおけるＰＤＮ−ＧＷに対応する。メカニズムは、ＮＧ−ＵＰＦがＥＡＰオーセンティケータの役割またはＥＡＰサーバの機能を保証するように、ＵＰトラフィック上のＩＰを介するＥＡＰに基づく。
本明細書において説明される実施形態が実施され得る通信ネットワーク４は、図１に提示される。ユーザ機器（ＵＥ）１は、基地局（ＢＳ）２に無線により接続可能である。ＢＳ２は、コアネットワーク（ＣＮ）３に接続される。
実施形態によれば、ネットワークにおける２次認証のための方法が、図６Ａを参照して提示される。方法は、次世代（ＮＧ）ユーザ機器（ＵＥ）によって実行され、ＮＧ−ＵＰ機能（ＵＰＦ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立すること１１０、拡張認証プロトコル（ＥＡＰ）ベースの認証要求をＮＧ−ＵＰＦから受信すること１３０、およびＥＡＰベースの認証応答をＮＧ−ＵＰＦに送信すること１４０を備える。
方法は、ＮＧ ＳＥＡＦとの１次認証を確立すること１００をさらに備えることができる。
方法は、ＵＰＦからＥＡＰベースの認証結果を受信することをさらに備えることができる。
実施形態によれば、コアネットワークにおける２次認証のための方法が、図６Ｂを参照して提示される。方法は、次世代（ＮＧ）ユーザプレーン（ＵＰ）機能（ＵＰＦ）によって実行され、ＮＧユーザ機器（ＵＥ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立すること１１０、拡張認証プロトコル（ＥＡＰ）ベースの認証要求をＮＧ ＵＥに送信すること１２０、およびＥＡＰベースの認証応答をＮＧ ＵＥから受信すること１５０を備える。
方法は、受信されたＥＡＰベースの認証応答の検証要求を、認証、認可、アカウンティング（ＡＡＡ）サーバに送信すること１６０、および検証応答をＡＡＡサーバから受信すること１７０をさらに備えることができる。
方法は、認証結果をＵＥに送信することをさらに備えることができ、認証はＡＡＡサーバからの検証応答に基づく。
実施形態によれば、ネットワークにおける動作のためのＮＧ ＵＥが、図７を参照して提示される。ＮＧ ＵＥ１は、プロセッサ１０、およびコンピュータプログラム製品１２、１３を備える。コンピュータプログラム製品は、プロセッサによって実行されるとき、ＮＧ ＵＥに、ＮＧ−ＵＰＦとのＵＰセッションまたは接続を確立すること１１０、ＥＡＰベースの認証要求をＮＧ−ＵＰＦから受信すること１３０、およびＥＡＰベースの認証応答をＮＧ−ＵＰＦに送信すること１４０を行わせる命令を格納する。
実施形態によれば、コアネットワークにおいて動作可能なＮＧ−ＵＰＦが、図８を参照して提示される。ＵＧ−ＵＰＦは、プロセッサ１０、およびプロセッサによって実行されるとき、ＮＧ−ＵＰＦに、ＮＧ ＵＥとのＵＰセッションまたは接続を確立すること１１０、ＥＡＰベースの認証要求をＮＧ−ＵＰＦに送信すること１２０、およびＥＡＰベースの認証応答をＮＧ ＵＥから受信すること１５０を行わせる命令を格納するコンピュータプログラム製品１２、１３を備える。
実施形態によれば、ネットワークにおける動作のためのＮＧ ＵＥが、図９を参照して提示される。ＮＧ ＵＥは、ＮＧ−ＵＰＦとのＵＰセッションまたは接続を確立する１１０ため、ＥＡＰベースの認証要求をＮＧ−ＵＰＦから受信する１３０ため、およびＥＡＰベースの認証応答をＮＧ−ＵＰＦに送信する１４０ための通信マネージャ６１を備える。
実施形態によれば、ネットワークにおいて動作可能なＮＧ−ＵＰＦが、図１０を参照して提示される。ＮＧ−ＵＰＦは、ＮＧ ＵＥとのＵＰセッションまたは接続を確立する１１０ため、ＥＡＰベースの認証要求をＮＧ ＵＥに送信する１２０ため、およびＥＡＰベースの認証応答をＮＧ ＵＥから受信する１５０ための通信マネージャ７１を備える。
実施形態によれば、ネットワークにおける２次認証のためのコンピュータプログラム１４、１５が提示される。コンピュータプログラムは、ＮＧ ＵＥ上で実行されるとき、ＮＧ ＵＥに、ＮＧ−ＵＰＦとのＵＰセッションまたは接続を確立すること１１０、ＥＡＰベースの認証要求をＮＧ−ＵＰＦから受信すること１３０、およびＥＡＰベースの認証応答をＮＧ−ＵＰＦに送信すること１４０を行わせるコンピュータプログラムコードを備える。
実施形態によれば、ネットワークにおける２次認証のためのコンピュータプログラム１４、１５が提示される。コンピュータプログラムは、ＮＧ−ＵＰＦ上で実行されるとき、ＮＧ−ＵＰＦに、ＮＧ ＵＥとのＵＰセッションまたは接続を確立すること１１０、ＥＡＰベースの認証要求をＮＧ ＵＥに送信すること１２０、およびＥＡＰベースの認証応答をＮＧ ＵＥから受信すること１５０を行わせるコンピュータプログラムコードを備える。
実施形態によれば、コンピュータプログラム製品１２、１３が提示される。コンピュータプログラム製品は、上記で提示されるように、コンピュータプログラム１４、１５、およびコンピュータプログラム１４、１５が格納されているコンピュータ可読ストレージ手段を備える。
図７は、ＮＧ ＵＥ１の一部のコンポーネントを示す概略図である。プロセッサ１０は、メモリに格納されているコンピュータプログラム１４のソフトウェア命令を実行することができる、適切な中央演算処理装置（ＣＰＵ）、マルチプロセッサ、マイクロコントローラ、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路などのうちの１つまたは複数の任意の組合せを使用して提供されてもよい。したがって、メモリは、コンピュータプログラム製品１２の一部であるか、または一部を形成するものと見なされてもよい。プロセッサ１０は、図１２および図１３を参照して本明細書において説明される方法を実行するように設定されてもよい。
メモリは、読取り書込みメモリおよび読取り専用メモリ（ＲＯＭ）の任意の組合せであってもよい。メモリはまた、たとえば磁気メモリ、光メモリ、ソリッドステートメモリ、またはさらにリモートに搭載されたメモリの任意の１つまたは組合せであってもよい、永続ストレージを備えることもできる。
データメモリの形式の第２のコンピュータプログラム製品１３はまた、たとえば、プロセッサ１０でのソフトウェア命令の実行中にデータを読み取りおよび／または格納するために提供されてもよい。データメモリは、読取りおよび書込みメモリと読取り専用メモリ（ＲＯＭ）の任意の組合せであってもよく、また、たとえば磁気メモリ、光メモリ、ソリッドステートメモリ、またはリモートに搭載されたメモリの任意の１つまたは組合せであってもよい、永続ストレージを備えることもできる。データメモリは、たとえば、ＮＧ ＵＥ１の機能を向上させるために、その他のソフトウェア命令１５を保留することができる。
ＮＧ ＵＥ１は、たとえばユーザインターフェイスを含む、入出力（Ｉ／Ｏ）インターフェイス１１をさらに備えることができる。ＮＧ ＵＥ１は、その他のノードからシグナリングを受信するように設定された受信機と、シグナリングをその他のノード（図示せず）に送信するように設定された送信機とをさらに備えることができる。ＮＧ ＵＥ１のその他のコンポーネントは、本明細書において提示される概念を不明瞭にすることがないように省略される。
図９は、ＮＧ ＵＥ１の機能ブロックを示す概略図である。モジュールは、キャッシュサーバで実行するコンピュータプログラムのような単独のソフトウェア命令として、または特殊用途向け集積回路、フィールドプログラマブルゲートアレイ、ディスクリート論理コンポーネント、送受信機などのような単独のハードウェアとして、またはその組合せとして実装されてもよい。代替の実施形態において、機能ブロックの一部はソフトウェアにより実装されてもよく、その他はハードウェアにより実装されてもよい。図６Ａに示される方法におけるステップに対応するモジュールは、通信マネージャユニット６１および決定モジュールユニット６０を備える。モジュールの１つまたは複数がコンピュータプログラムによって実装される実施形態において、これらのモジュールは必ずしもプロセスモジュールに対応するわけではないが、一部のプログラミング言語が通常はプロセスモジュールを含まないので、これらが実装されるプログラミング言語による命令として記述され得ることを理解されたい。
通信マネージャ６１は、ネットワークにおける動作のためのものである。このモジュールは、図６Ａの確立ＵＰステップ１１０、受信要求ステップ１３０、および送信応答ステップ１４０に対応する。このモジュールは、コンピュータプログラムを実行しているとき、たとえば、図７のプロセッサ１０によって実装されてもよい。
決定マネージャ６０は、ネットワークにおける動作のためのものである。このモジュールは、図６Ａの１次認証ステップ１００に対応する。このモジュールは、コンピュータプログラムを実行しているとき、たとえば、図７のプロセッサ１０によって実装されてもよい。
図８は、ＮＧ−ＵＰＦ３の一部のコンポーネントを示す概略図である。プロセッサ１０は、メモリに格納されているコンピュータプログラム１４のソフトウェア命令を実行することができる、適切な中央演算処理装置（ＣＰＵ）、マルチプロセッサ、マイクロコントローラ、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路などのなどの１つまたは複数の任意の組合せを使用して提供されてもよい。したがって、メモリは、コンピュータプログラム製品１２の一部であるか、または一部を形成するものと見なされてもよい。プロセッサ１０は、図６Ｂを参照して本明細書において説明される方法を実行するように設定されてもよい。
メモリは、読取り書込みメモリ（ＲＡＭ）および読取り専用メモリ（ＲＯＭ）の任意の組合せであってもよい。メモリはまた、たとえば磁気メモリ、光メモリ、ソリッドステートメモリ、またはさらにリモートに搭載されたメモリの任意の１つまたは組合せであってもよい、永続ストレージを備えることもできる。
データメモリの形式の第２のコンピュータプログラム製品１３はまた、たとえば、プロセッサ１０でのソフトウェア命令の実行中にデータを読み取りおよび／または格納するために提供されてもよい。データメモリは、読取りおよび書込みメモリ（ＲＡＭ）と読取り専用メモリ（ＲＯＭ）の任意の組合せであってもよく、また、たとえば磁気メモリ、光メモリ、ソリッドステートメモリ、またはさらにリモートに搭載されたメモリの任意の１つまたは組合せであってもよい、永続ストレージを備えることもできる。データメモリは、たとえば、ＮＧ−ＵＰＦ３の機能を向上させるために、その他のソフトウェア命令１５を保留することができる。
ＮＧ−ＵＰＦ３は、たとえばユーザインターフェイスを含む、入出力（Ｉ／Ｏ）インターフェイス１１をさらに備えることができる。ＮＧ−ＵＰＦ３は、その他のノードからシグナリングを受信するように設定された受信機と、シグナリングをその他のノード（図示せず）に送信するように設定された送信機とをさらに備えることができる。ＮＧ−ＵＰＦ３のその他のコンポーネントは、本明細書において提示される概念を不明瞭にすることがないように省略される。
図１０は、ＮＧ−ＵＰＦ３の機能ブロックを示す概略図である。モジュールは、キャッシュサーバで実行するコンピュータプログラムのような単独のソフトウェア命令として、または特殊用途向け集積回路、フィールドプログラマブルゲートアレイ、ディスクリート論理コンポーネント、送受信機などのような単独のハードウェアとして、またはその組合せとして実装されてもよい。代替の実施形態において、機能ブロックの一部はソフトウェアにより実施されてもよく、その他はハードウェアにより実装されてもよい。図６Ｂに示される方法におけるステップに対応するモジュールは、通信マネージャユニット７１および決定マネージャユニット７０を備える。モジュールの１つまたは複数がコンピュータプログラムによって実装される実施形態において、これらのモジュールは必ずしもプロセスモジュールに対応するわけではないが、一部のプログラミング言語が通常はプロセスモジュールを含まないので、これらが実装されるであろうプログラミング言語による命令として記述され得ることを理解されたい。
通信マネージャ７１は、コアネットワークにおける動作のためのものである。このモジュールは、図６Ｂの確立ＵＰステップ１１０、送信要求ステップ１２０、および送信応答ステップ１５０に対応する。このモジュールは、コンピュータプログラムを実行しているとき、たとえば、図８のプロセッサ１０によって実装されてもよい。
決定マネージャユニット７０は、コアネットワークにおける動作のためのものである。このモジュールは、図６Ｂの検証要求ステップ１６０、および検証応答ステップ１７０に対応する。このモジュールは、コンピュータプログラムを実行しているとき、たとえば、図８のプロセッサ１０によって実装されてもよい。
本発明の概念は、主として、いくつかの実施形態を参照して上記で説明された。しかし、当業者によって容易に理解されるように、上記で開示されている実施形態以外の他の実施形態は、添付の特許請求の範囲によって規定されるように本発明の概念の範囲内で同等に可能である。
以下に示すのは、開示される主題のさまざまな態様をさらに示す特定の列挙される実施形態である。
１． 次世代（ＮＧ）ユーザ機器（ＵＥ）によって実行される、ネットワークにおける２次認証のための方法であって、
ＮＧ−ＵＰ機能（ＵＰＦ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立すること（１１０）と、
ＵＰ ＮＧ−ＵＰＦから拡張認証プロトコル（ＥＡＰ）ベースの認証要求を受信すること（１３０）と、
ＥＡＰベースの認証応答をＵＰ ＮＧ−ＵＰＦに送信すること（１４０）とを備える方法。
２． ＮＧセキュリティアンカー機能（ＳＥＡＦ）との１次認証を確立すること（１００）をさらに備える１項に記載の方法。
３． 次世代（ＮＧ）ユーザプレーンＵＰ機能（ＵＰＦ）によって実行される、ネットワークにおける２次認証のための方法であって、
ＮＧユーザ機器（ＵＥ）へのＵＰセッションまたは接続を確立すること（１１０）と、
拡張認証プロトコル（ＥＡＰ）ベースの認証要求をＮＧ ＵＥに送信すること（１２０）と、
ＥＡＰベースの認証応答をＮＧ ＵＥから受信すること（１５０）とを備える方法。
４． 受信されたＥＡＰベースの認証応答の検証要求を、認証、認可、アカウンティング（ＡＡＡ）サーバに送信すること（１６０）と、
ＡＡＡサーバから検証応答を受信すること（１７０）とをさらに備える３項に記載の方法。
５． ネットワークにおける動作のための次世代（ＮＧ）ユーザ機器（ＵＥ）であって、
プロセッサ（１０）と、
プロセッサによって実行されるとき、ＮＧ ＵＥに、
ＮＧ−ＵＰ機能（ＵＰＦ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立すること（１１０）と、
ＵＰ ＮＧ−ＵＰＦから拡張認証プロトコル（ＥＡＰ）ベースの認証要求を受信すること（１３０）と、
ＥＡＰベースの認証応答をＮＧ−ＵＰＦに送信すること（１４０）とを行わせる命令を格納するコンピュータプログラム製品（１２、１３）とを備えるＮＧ ＵＥ。
６． ＮＧユーザ機器（ＵＥ）に、ＮＧセキュリティアンカー機能（ＳＥＡＦ）との１次認証を確立すること（１００）をさらに行わせる５項に記載のＮＧ ＵＥ。
７． ネットワークにおいて動作可能な次世代（ＮＧ）ユーザプレーン（ＵＰ）機能（ＵＰＦ）であって、
プロセッサ（１０）と、
プロセッサによって実行されるとき、ＮＧ−ＵＰＦに、
ＮＧユーザ機器（ＵＥ）とのＵＰセッションまたは接続を確立すること（１１０）と、
拡張認証プロトコル（ＥＡＰ）ベースの認証要求をＮＧ ＵＥに送信すること（１２０）と、
ＥＡＰベースの認証応答をＮＧ ＵＥから受信すること（１５０）とを行わせる命令を格納するコンピュータプログラム製品（１２、１３）とを備えるＮＧ−ＵＰＦ。
８． 受信されたＥＡＰベースの認証応答の検証要求を、認証、認可、アカウンティング（ＡＡＡ）サーバに送信すること（１６０）と、
ＮＧユーザプレーン（ＵＰ）機能（ＵＰＦ）に、ＡＡＡサーバから検証応答を受信すること（１７０）とをさらに行わせる７項に記載のＮＧ−ＵＰＦ。
９． ネットワークにおける動作のための次世代（ＮＧ）ユーザ機器（ＵＥ）であって、
ＮＧ−ＵＰ機能（ＵＰＦ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立する（１１０）ため、拡張認証プロトコル（ＥＡＰ）ベースの認証要求をＮＧ−ＵＰＦから受信する（１３０）ため、およびＥＡＰベースの認証応答をＮＧ−ＵＰＦに送信する（１４０）ための通信マネージャ（６１）を備えるＮＧ ＵＥ。
１０. ネットワークにおいて動作可能な次世代（ＮＧ）ユーザプレーン（ＵＰ）機能（ＵＰＦ）であって、
ＮＧユーザ機器（ＵＥ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立する（１１０）ため、拡張認証プロトコル（ＥＡＰ）ベースの認証要求をＮＧ ＵＥに送信する（１２０）ため、およびＥＡＰベースの認証応答をＮＧ ＵＥから受信する（１５０）ための通信マネージャ（７１）を備えるＮＧ−ＵＰＦ。
１１． ネットワークにおける２次認証のためのコンピュータプログラム（１４、１５）であって、次世代（ＮＧ）ユーザ機器（ＵＥ）において実行されるとき、ＮＧ ＵＥに、
ＮＧ−ＵＰ機能（ＵＰＦ）とのユーザプレーン（ＵＰ）セッションまたは接続を確立すること（１１０）と、
ＵＰ ＮＧ−ＵＰＦから拡張認証プロトコル（ＥＡＰ）ベースの認証要求を受信すること（１３０）と、
ＥＡＰベースの認証応答をＮＧ−ＵＰＦに送信すること（１４０）とを行わせるコンピュータプログラムコードを備えるコンピュータプログラム。
１２． ネットワークにおける２次認証のためのコンピュータプログラム（１４、１５）であって、次世代（ＮＧ）ユーザプレーン（ＵＰ）機能（ＵＰＦ）において実行されるとき、ＮＧ−ＵＰＦに、
ＮＧユーザ機器（ＵＥ）へのユーザプレーン（ＵＰ）セッションまたは接続を確立すること（１１０）と、
拡張認証プロトコル（ＥＡＰ）ベースの認証要求をＮＧ ＵＥに送信すること（１２０）と、
ＥＡＰベースの認証応答をＮＧ ＵＥから受信すること（１５０）とを行わせるコンピュータプログラムコードを備えるコンピュータプログラム。
１３． １１項または１２項のいずれか一項に記載のコンピュータプログラム（１４、１５）と、コンピュータプログラム（１４、１５）が格納されているコンピュータ可読ストレージ手段とを備えるコンピュータプログラム製品（１２、１３）。

Claims (17)

  1. ユーザ機器（ＵＥ）によって実行される、ネットワークにおける２次認証のための方法であって、
    セキュリティアンカー機能（ＳＥＡＦ）との１次認証を確立すること（１００）と、
    ユーザプレーン（ＵＰ）機能（ＵＰＦ）との、または前記ＵＰＦを介するユーザプレーン（ＵＰ）セッションまたは接続を確立すること（１１０）と、
    前記ＵＰＦを介して拡張認証プロトコル（ＥＡＰ）ベースの認証要求を受信すること（１３０）と、
    ＥＡＰベースの認証応答を前記ＵＰＦに送信すること（１４０）と、
    ＥＡＰベースの認証結果を前記ＵＰＦを介して受信することであって、前記ＥＡＰベースの認証結果は、サードパーティドメインの認証、認可、アカウンティング（ＡＡＡ）サーバからの検証応答に基づく、受信することとを備える方法。
  2. 前記ユーザ機器（ＵＥ）は次世代（ＮＧ）ＵＥである、請求項１に記載の方法。
  3. 前記ユーザプレーン機能（ＵＰＦ）は次世代（ＮＧ）ＵＰＦである、請求項１に記載の方法。
  4. 前記ＳＥＡＦは、認証サーバ機能（ＡＵＳＦ）にさらに接続される、請求項１に記載の方法。
  5. ユーザプレーン（ＵＰ）機能（ＵＰＦ）によって実行される、ネットワークにおける２次認証のための方法であって、
    ユーザ機器（ＵＥ）へのＵＰセッションまたは接続を確立すること（１１０）と、
    拡張認証プロトコル（ＥＡＰ）ベースの認証要求を前記ＵＥに送信すること（１２０）と、
    ＥＡＰベースの認証応答を前記ＵＥから受信すること（１５０）と、
    前記受信されたＥＡＰベースの認証応答の検証要求を、サードパーティドメインの認証、認可、アカウンティング（ＡＡＡ）サーバに送信すること（１６０）と、
    前記ＡＡＡサーバから検証応答を受信すること（１７０）と、
    認証結果を前記ＵＥに送信することであって、前記認証は前記ＡＡＡサーバからの前記検証応答に基づくこととを備える方法。
  6. 前記ユーザ機器（ＵＥ）は次世代（ＮＧ）ユーザ機器（ＵＥ）である、請求項５に記載の方法。
  7. 前記ユーザプレーン機能（ＵＰＦ）は次世代（ＮＧ）ＵＰＦである、請求項５に記載の方法。
  8. ネットワークにおける動作のためのユーザ機器（ＵＥ）であって、
    プロセッサ（１０）と、
    前記プロセッサによって実行されるとき、前記ＵＥに、
    セキュリティアンカー機能（ＳＥＡＦ）との１次認証を確立すること（１００）と、
    ユーザプレーン（ＵＰ）機能（ＵＰＦ）との、または前記ＵＰＦを介するユーザプレーン（ＵＰ）セッションまたは接続を確立すること（１１０）と、
    前記ＵＰＦを介して拡張認証プロトコル（ＥＡＰ）ベースの認証要求を受信すること（１３０）と、
    ＥＡＰベースの認証応答を前記ＵＰＦに送信すること（１４０）と、
    ＥＡＰベースの認証結果を前記ＵＰＦを介して受信することであって、前記ＥＡＰベースの認証結果は、サードパーティドメインの認証、認可、アカウンティング（ＡＡＡ）サーバからの検証応答に基づく、受信することとを行わせる命令を格納するコンピュータプログラム製品（１２、１３）とを備えるＵＥ。
  9. 前記ユーザ機器（ＵＥ）は次世代（ＮＧ）ＵＥである、請求項８に記載のＵＥ。
  10. 前記ＵＰＦは次世代（ＮＧ）ＵＰＦである、請求項８に記載のユーザ機器（ＵＥ）。
  11. 前記ＳＥＡＦは、認証サーバ機能（ＡＵＳＦ）にさらに接続される、請求項８に記載のユーザ機器（ＵＥ）。
  12. ネットワークにおいて動作可能なユーザプレーン（ＵＰ）機能（ＵＰＦ）であって、
    プロセッサ（１０）と、
    前記プロセッサによって実行されるとき、前記ＵＰＦに、
    ユーザ機器（ＵＥ）とのＵＰセッションまたは接続を確立すること（１１０）と、
    拡張認証プロトコル（ＥＡＰ）ベースの認証要求を前記ＵＥに送信すること（１２０）と、
    ＥＡＰベースの認証応答を前記ＵＥから受信すること（１５０）と、
    前記受信されたＥＡＰベースの認証応答の検証要求を、サードパーティドメインの認証、認可、アカウンティング（ＡＡＡ）サーバに送信すること（１６０）と、
    前記ＡＡＡサーバから検証応答を受信すること（１７０）と、
    認証結果を前記ＵＥに送信することであって、前記認証は前記ＡＡＡサーバからの前記検証応答に基づくこととを行わせる命令を格納するコンピュータプログラム製品（１２、１３）とを備えるＵＰＦ。
  13. 前記ＵＰＦは次世代（ＮＧ）ＵＰＦである、請求項１２に記載のＵＰＦ。
  14. 前記ＵＥは次世代（ＮＧ）ＵＥである、請求項１２に記載のＵＰＦ。
  15. ネットワークにおける２次認証のためのコンピュータプログラム（１４、１５）であって、ユーザ機器（ＵＥ）において実行されるとき、前記ＵＥに、
    セキュリティアンカー機能（ＳＥＡＦ）との１次認証を確立すること（１００）と、
    ユーザプレーン（ＵＰ）機能（ＵＰＦ）との、または前記ＵＰＦを介するユーザプレーン（ＵＰ）セッションまたは接続を確立すること（１１０）と、
    前記ＵＰＦを介して拡張認証プロトコル（ＥＡＰ）ベースの認証要求を受信すること（１３０）と、
    ＥＡＰベースの認証応答を前記ＵＰＦに送信すること（１４０）と、
    ＥＡＰベースの認証結果を前記ＵＰＦを介して受信することであって、前記ＥＡＰベースの認証結果は、サードパーティドメインの認証、認可、アカウンティング（ＡＡＡ）サーバからの検証応答に基づく、受信することとを行わせるコンピュータプログラムコードを備えるコンピュータプログラム。
  16. ネットワークにおける２次認証のためのコンピュータプログラム（１４、１５）であって、ユーザプレーン（ＵＰ）機能（ＵＰＦ）において実行されるとき、前記ＵＰＦに、
    ユーザ機器（ＵＥ）へのユーザプレーン（ＵＰ）セッションまたは接続を確立すること（１１０）と、
    拡張認証プロトコル（ＥＡＰ）ベースの認証要求を前記ＵＥに送信すること（１２０）と、
    ＥＡＰベースの認証応答を前記ＵＥから受信すること（１５０）と、
    前記受信されたＥＡＰベースの認証応答の検証要求を、サードパーティドメインの認証、認可、アカウンティング（ＡＡＡ）サーバに送信すること（１６０）と、
    前記ＡＡＡサーバから検証応答を受信すること（１７０）と、
    認証結果を前記ＵＥに送信することであって、前記認証は前記ＡＡＡサーバからの前記検証応答に基づくこととを行わせるコンピュータプログラムコードを備えるコンピュータプログラム。
  17. 請求項１５または１６のいずれか一項に記載のコンピュータプログラム（１４、１５）と、前記コンピュータプログラム（１４、１５）が格納されているコンピュータ可読ストレージ手段とを備えるコンピュータプログラム製品（１２、１３）。
JP2019521802A 2016-10-31 2017-10-25 次世代システムの認証 Active JP6775683B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US201662415006P 2016-10-31 2016-10-31
US62/415,006 2016-10-31
PCT/EP2017/077330 WO2018077960A1 (en) 2016-10-31 2017-10-25 Authentication for next generation systems

Publications (2)

Publication Number Publication Date
JP2019533951A JP2019533951A (ja) 2019-11-21
JP6775683B2 true JP6775683B2 (ja) 2020-10-28

Family

ID=60293936

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019521802A Active JP6775683B2 (ja) 2016-10-31 2017-10-25 次世代システムの認証

Country Status (15)

Country Link
US (2) US10609556B2 (ja)
EP (1) EP3459278B1 (ja)
JP (1) JP6775683B2 (ja)
KR (1) KR102136037B1 (ja)
CN (1) CN109891921B (ja)
BR (1) BR112019008447A2 (ja)
CA (1) CA3042304C (ja)
DK (1) DK3459278T3 (ja)
ES (1) ES2806991T3 (ja)
MA (1) MA45505B1 (ja)
MX (1) MX2019004705A (ja)
MY (1) MY195382A (ja)
RU (1) RU2727160C1 (ja)
WO (1) WO2018077960A1 (ja)
ZA (1) ZA201902024B (ja)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2530750A (en) * 2014-09-30 2016-04-06 Vodafone Ip Licensing Ltd Communications bearer selection for a communications interface
EP3501155B1 (en) * 2017-01-27 2023-06-07 Telefonaktiebolaget LM Ericsson (publ) Secondary authentication of a user equipment
US11564193B2 (en) 2018-05-18 2023-01-24 Nokia Technologies Oy Authentication in public land mobile networks comprising tenant slices
US11032743B1 (en) * 2019-11-30 2021-06-08 Charter Communications Operating, Llc Methods and apparatus for supporting devices of different types using a residential gateway
WO2022262948A1 (en) * 2021-06-15 2022-12-22 Telefonaktiebolaget Lm Ericsson (Publ) Methods and means for providing access to external networks

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2007134547A1 (fr) * 2006-05-24 2007-11-29 Huawei Technologies Co., Ltd. Procédé et système pour créer et distribuer une clé de sécurité ip mobile après réauthentification
FI20075252A0 (fi) 2007-04-13 2007-04-13 Nokia Corp Menetelmä, radiojärjestelmä, matkaviestin ja tukiasema
US8145905B2 (en) * 2007-05-07 2012-03-27 Qualcomm Incorporated Method and apparatus for efficient support for multiple authentications
US9276909B2 (en) * 2008-08-27 2016-03-01 Qualcomm Incorporated Integrity protection and/or ciphering for UE registration with a wireless network
FR2943881A1 (fr) * 2009-03-31 2010-10-01 France Telecom Procede et dispositif de gestion d'une authentification d'un utilisateur.
US8806587B2 (en) * 2009-04-07 2014-08-12 Togewa Holding Ag Method and system for authenticating a network node in a UAM-based WLAN network
US8627422B2 (en) 2010-11-06 2014-01-07 Qualcomm Incorporated Authentication in secure user plane location (SUPL) systems
WO2012149783A1 (zh) 2011-09-29 2012-11-08 华为技术有限公司 用于接入移动网络的方法和装置以及用户设备
WO2015039096A1 (en) * 2013-09-16 2015-03-19 Convida Wireless, Llc Mobile network operator (mno) control of wifi qos via eap/diameter
US9883385B2 (en) * 2015-09-15 2018-01-30 Qualcomm Incorporated Apparatus and method for mobility procedure involving mobility management entity relocation
US10009751B2 (en) * 2015-12-28 2018-06-26 Cisco Technology, Inc. Virtual mobility anchor for network sharing
US10104544B2 (en) * 2016-04-05 2018-10-16 Qualcomm Incorporated LTE-level security for neutral host LTE
US10716002B2 (en) * 2016-07-05 2020-07-14 Samsung Electronics Co., Ltd. Method and system for authenticating access in mobile wireless network system
EP3449648B1 (en) * 2016-07-05 2024-05-01 Samsung Electronics Co., Ltd. Method and apparatus for accessing cellular network for sim profile
CN107623668A (zh) * 2016-07-16 2018-01-23 华为技术有限公司 一种网络认证方法、相关设备及***
US10433163B2 (en) * 2016-09-19 2019-10-01 Qualcomm Incorporated Techniques for deriving security keys for a cellular network based on performance of an extensible authentication protocol (EAP) procedure
WO2018056957A1 (en) * 2016-09-20 2018-03-29 Nokia Solutions And Networks Oy Next generation key set identifier
WO2018070436A1 (en) * 2016-10-11 2018-04-19 Nec Corporation Method, session management function node, user plane function node, and user equipment for session management parameters maintenance and computer readable recording medium therein

Also Published As

Publication number Publication date
JP2019533951A (ja) 2019-11-21
CA3042304C (en) 2021-08-24
RU2727160C1 (ru) 2020-07-21
ZA201902024B (en) 2020-10-28
EP3459278A1 (en) 2019-03-27
US10904756B2 (en) 2021-01-26
CA3042304A1 (en) 2018-05-03
US20190007830A1 (en) 2019-01-03
WO2018077960A1 (en) 2018-05-03
EP3459278B1 (en) 2020-04-22
MX2019004705A (es) 2019-06-06
KR102136037B1 (ko) 2020-07-21
ES2806991T3 (es) 2021-02-19
BR112019008447A2 (pt) 2019-07-09
CN109891921B (zh) 2022-03-01
MA45505A1 (fr) 2019-06-28
MA45505B1 (fr) 2019-11-29
US20200196147A1 (en) 2020-06-18
CN109891921A (zh) 2019-06-14
MY195382A (en) 2023-01-18
US10609556B2 (en) 2020-03-31
KR20190065413A (ko) 2019-06-11
DK3459278T3 (da) 2020-06-15

Similar Documents

Publication Publication Date Title
US11818566B2 (en) Unified authentication for integrated small cell and Wi-Fi networks
US11895229B2 (en) States secondary authentication of a user equipment
US11272365B2 (en) Network authentication method, and related device and system
US10454686B2 (en) Method, apparatus, and system for providing encryption or integrity protection in a wireless network
JP6775683B2 (ja) 次世代システムの認証
CN112997454B (zh) 经由移动通信网络连接到家庭局域网
JP6022706B2 (ja) 無線装置での安全なオンラインサインアップ及びプロビジョニング
EP2735183B1 (en) Secure on-line sign-up and provisioning for wi-fi hotspots using a device-management protocol
EP3378248B1 (en) Methods and apparatus for wireless communication using a security model to support multiple connectivity and service contexts
US20210400489A1 (en) 3gpp private lans
US11496894B2 (en) Method and apparatus for extensible authentication protocol
CN108370369B (zh) 使用重定向促进客户端设备和应用服务器之间安全通信的网关、客户端设备和方法
CN115942305A (zh) 一种会话建立方法和相关装置
US20230027515A1 (en) Method and apparatus for authenticating and authorizing network function in mobile communication system
OA19340A (en) Authentification for next generation systems

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20190712

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190712

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20200710

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200908

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20201006

R150 Certificate of patent or registration of utility model

Ref document number: 6775683

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250