JP4263384B2

JP4263384B2 - ユーザ加入識別モジュールの認証についての改善された方法

Info

Publication number: JP4263384B2
Application number: JP2001177861A
Authority: JP
Inventors: マルコヴィッチミカエル; ビー．ミジコヴスキーセムヨン
Original assignee: ルーセントテクノロジーズインコーポレーテッド
Priority date: 2000-06-13
Filing date: 2001-06-13
Publication date: 2009-05-13
Anticipated expiration: 2021-06-13
Also published as: DE60002700T2; CN101541007A; CA2344757A1; AU5177701A; CN1332538A; JP2002084276A; CN101541007B; CA2344757C; EP1168870A1; KR100546916B1; DE60002700D1; KR20010112618A; EP1168870B1; BR0102260A; US6950521B1

Description

【０００１】
【発明の属する技術分野】
本発明は、一般的には、電気通信システム内で用いられるセキュリティスキーム、より詳細には、移動機のUSIM（User Subscription Identy Modules：ユーザ加入識別モジュール）として知られる部分の認証に対するセキュリティスキームの改善に関する。
【０００２】
【従来の技術】
通信システムを通じて運ばれる情報のセキュリティは、サービスプロバイダにとって主要な関心事である。通信システムの加入者は、特定の相手に向けられる非常にセンシティブで、かつ、プライベートな情報を幾度もやりとりする。サービスプロバイダは、自身の加入者に対して、通信システムのセキュリティ能力にあるレベルの信頼性を確保することを欲する。こうして様々な異なるセキュリティスキームが開発され、現在の通信システムにおいて用いられている。特に第三世代の無線通信システムにおいて用いられる一つのセキュリティシステムは、AKA（Authentication and Key Agreement：認証およびキー同意）手続きと呼ばれる。AKA手続きは、単に、加入者を認証し、セキュリティキーを生成するセキュリティシステムではなく、受信された加入者情報が正当なものであるか検証し、受信された加入者情報が通信システムのある点でこの情報が受信される前に不正に修正されてないことを確保する。第三世代の無線通信システムはデジタル音声および比較的高い速度のデータを生成するが、これら通信システムは、典型的には、American National Standards Institute (ANSI)あるいはEuropean Telecommunications Standards Institute (ETSI)などの標準機構によって制定される標準に従って情報を運ぶ。
【０００３】
図１は、無線通信システムの一部を示す。通信リンク１０２は、HLR（Home Location Register：ホームロケーションレジスタ）１００を、サービング網（Serving Network、SN）の一部である基地局１０４に結合する。SNは、加入者にサービスを提供している通信システム、あるいは通信システムの一部から成る。基地局１０４は、無線通信リンク１０６を介して加入者（例えば、移動機１０８）と通信する。図解を簡単にするために、SNの一つの基地局のみと、一つの移動機のみが示される。HLR１００は、通信システムに対するモビリティ管理を遂行する（サービスプロバイダによって所有および運用される）システム設備の一部を構成する。モビリティ管理は、加入者トラヒックを適切に扱う動作と、AKA手続きと関連する様々なパラメータを計算する動作から成る。例えば、モビリティマネージャは、加入者による呼の開始を検出し、これから加入者の位置と加入者を扱っている基地局を知る。次に、モビリティマネージャは、呼を発信した加入者を扱っている基地局に呼を掛け、加入者からの呼をどの基地局に向けるべきかを通知する。
【０００４】
HLR１００は、通信システムの全ての加入者の移動機の識別および認証情報を含む加入者別のデータレコードを含む。基地局１０４は、とりわけ、通信信号を送／受するための典型的な無線設備、および加入者およびシステムの情報を処理するための他の設備を含む。例えば、基地局１０４は、VLR（Vistors Location Resister：ビジタロケーションレジスタ）（図示せず）を備える。VLRは、HLRからセキュリティに関する情報を受け取り、追加のセキュリティに関する情報を生成し、これを該当する移動機に送る。VLRは、移動機からもセキュリティに関する情報を受信し、これを処理することで、移動機と基地局との間の通信を認証する（通信の正当性を検証する）。この認証（authentication）の過程が、ここで、AKA手続きの議論との関連で説明される。移動機１０８は、典型的な加入者の通信装置（例えば、セルホーン、無線ラップトップパソコン、その他）を表し、システム情報と加入者情報を基地局との間でやりとりする。システム情報とは、通信システムを動作するためにシステム装置によって生成される情報を意味する。
【０００５】
移動機１０８は、移動機装置の残りの部分に接続（インタフェース）されるUSIM（User Subscription Identy Modules：ユーザ加入識別モジュール）の部分を備える。USIMと移動機との間のインタフェースは、インタフェース標準に従って構築された任意のUSIMは、同一のインタフェース標準に従って構成される任意の移動機装置と用いることができるように標準化されている。典型的には、USIMは、移動機に接続され、ID番号および特定の加入者に一意な他の移動機識別情報を含む記憶デバイスとして用いられる。こうして、HLR（ホームロケーションレジスタ）内に格納される情報の一部はUSIM内にも格納される。USIMは、通常、シェルあるいは移動機のシェルと呼ばれる移動機装置の残りの部分と通信する能力をもつ。多くの一般大衆によってアクセス可能な移動機（例えば、タクシーセルホーン）を使用する場合、加入者は、USIM（"スマートカード"とも呼ばれる）をこれら移動機に挿入する。すると、USIM内に格納されている情報が移動機のシェルに送られ、移動機が通信システムへのアクセスを得ることを許される。USIMと移動機のシェルとの間のもう一つのタイプの構成においては、USIMが移動機のシェルの回路内に一体化される。一体化されたUSIMを備える移動機は、典型的には、個々の加入者によって所有され、通信システムは、移動機のUSIM内に格納されている情報を用いて、移動機を識別し、あるいは移動機がSNへのアクセスを正当に得たことを確認する。
【０００６】
移動機が通信システムへのアクセスを得ることを希望する場合、移動機は、最初、その通信システムの許可されたユーザであることを認識されることを必要とされる。移動機は、その後、システムの装置との間でAKA手続きを実行する。AKA手続きの結果として、移動機のUSIMは、２つのキーを生成する。第一のキーは、IK（Integrity Key：健全性キー）と呼ばれ、移動機と基地局との間でやりとりされる情報のデジタル署名を計算するために用いられる。IK（健全性キー）を用いて計算されるデジタル署名は、情報の健全性を検証するために用いられる。デジタル署名は、任意の受信された情報に正しいIKキーを適用したとき生成される所定のパターンから成る。IKキーは、基地局と移動機との間でやりとりされる情報を認証する（情報が正当であるかを確認する）のために用いられる。つまり、受信された情報にIKキーを適用した結果として、所定のデジタル署名が生成された場合、これは、受信された情報が（意図的にもあるいは偶発的にも）修正されてないことを示す。第二のキーは、CK（Ciphering key：暗号キー）と呼ばれ、これは、基地局１０４と移動機１０８との間で通信リンク１０６を通じて伝送される情報を暗号化するために用いられる。CKキー（暗号キー）による情報の暗号化はプライバシーを保護する。
【０００７】
IK（健全性キー）とCK（暗号キー）は、両方とも、基地局と移動機との間に正当なセキュリティアソシエーション（valid security accociation）を確立するために確立される（定められる）機密キーである。正当なセキュリティアソシエーションとは、（移動機に結合された）USIMとこれを扱う網（SN）によって独立に生成されるセットの同一のデータパターン（例えば、IK、CK）を指し、これは、USIMがSNにアクセスすることを許可されていること、および移動機によってSNから受信された情報が許可された正当なSN（サービング網）からのものであることを示す。正当なセキュリティアソシエーションは、さらに、移動機（つまり、移動機のUSIM）が自身の真正性をSNに対して証明したこと、およびSNの真正性が移動機（つまり、移動機のUSIM）によって検証されたことを示す。セキュリティアソシエーションが正当でない場合は、SN（サービング網）と移動機のUSIMによって独立に生成されたIK（健全性キー）およびCK（暗号キー）は一致しない。SNの所で計算されたIKおよびCKが移動機のUSIMの所で計算されたIKおよびCKと一致するか否かの決定については後に述べる。USIMは、IKおよびCKを移動機のシェルに送り、移動機のシェルはこれらキーを上述のように用いる。網の所のIKおよびCKは、実際には、HLR（ホームロケーションレジスタ）によって計算される。HLRは、AKA手続きの際に、様々な情報をVLRおよび移動機に送る。HLRは、とりわけ、IKおよびCKを生成し、これをVLR（ビジタロケーションレジスタ）に送る。
【０００８】
第三世代の無線通信システムに対する現在の標準（3GPP TSG 33.102）においては、AKA（Authentication and Key Agreement：認証およびキー同意）手続きを用いる認証セキュリティスキーム（authentication security scheme）が制定されている。AKA手続きを実行するために必要とされる情報は、AV（Authentication Vector：認証ベクトル）と呼ばれる情報のブロック内に含まれ、これはHLR内に格納される。AV（認証ベクトル）は、複数のパラメータ、つまり、RAND,XRES,IK,CKおよびAUTNを含む情報のブロックから成る。AUTN（認証）およびRAND（乱数）パラメータを除くと、これらパラメータの各々は、非可逆的アルゴリズム関数f_ｎをRANDおよび機密キーK_ｉに適用することで生成される。非可逆的アルゴリズム関数（algorithmic non‐reversible function）とは、情報を、結果としての処理された情報を用いて元の情報が再生できないようなやり方にて、数学的に操作および処理する特定のセットのステップから成る。実際には、AKA手続きにおいては様々なパラメータが用いられ、これらパラメータを生成するために様々な非可逆的アルゴリズム関数が用いられるが；これら様々なパラメータとこれらを生成するための関連する非可逆的アルゴリズム関数については後に説明する。K_ｉは、加入者ｉ（ここで、ｉは１以上の整数を表す）と関連する機密キーを表し、これは、HLR内および加入者ｉのSUIM内に格納される。RANDは、各AV（認証ベクトル）に一意な乱数から成り、HLRによって選択される。XRESは、移動機のUSIMによって、非可逆的アルゴリズム関数をRAND（乱数）およびK_ｉ（機密キー）に適用することで計算される期待される移動機の応答（Expected Mobile Station Response）を表す。IK（健全性キー）も、USIMおよびHLRの両方によって、非可逆的アルゴリズム関数をRANDおよびKiに適用することで計算される。
【０００９】
ANTUは認証トークンを表し、HLR（ホームロケーションレジスタ）からVLR（ビジタロケーションレジスタ）に送られる情報のブロックから成り、SN（サービング網）の真正性（本物であること）を移動機に対して証明するために用いられる。換言すれば、AUTN（認証トークン）は様々なパラメータを含み、移動機のUSIMは、これらパラメータの幾つかを処理することで、そのAUTN（認証トークン）が本当にSN（サービング網）の正当な基地局から送信されたものであるかを検証する。AUTN（認証トークン）は、以下のパラメータ、つまり、AK+SQN（AKとSQNの排他的OR論理和）、AMFおよびMACを含む。AKは、AV（認証ベクトル）を識別する一意なシーケンスベクトルから成るSQN（Sequence Number：シーケンス番号）の値を隠すために用いられる匿名キー（Anonymity Key）を表す。AK（匿名キー）は、非可逆的アルゴリズム関数をRANDおよびK_ｉに適用することで計算される。SQN、つまり、Sequence Number（シーケンス番号）は、USIM（ユーザ加入識別モジュール）およびHLR（ホームロケーションレジスタ）によって、同期されたやり方にて独立に生成される。AMFは、Authentication Management Field（認証管理欄）を表し、この特定の値は、HLRからUSIMに送られる異なる各コマンドを識別する。AMF（認証管理欄）はインバンド制御チャネルと考えることができる。MAC、つまり、Message Authentication Code（メッセージ認証コード）は、基地局と移動機の間で送られるメッセージの署名を表し、これは、メッセージが正しい情報を含むことを示す。つまり、MAC（メッセージ認証コード）は、移動機とSN（サービング網）との間でやりとりされるメッセージの内容を検証する役割を持つ。例えば、MAC＝f_ｎ（RAND,AMF,SQN,K_ｉ）が、SQNとAMFの正しい値の署名として、非可逆的アルゴリズム関数を使用し、機密キーK_ｉを用い、RANDにてランダム化することで生成される。
【００１０】
以下では、単に解説の目的で、AKA手続きについて、その一部が図１に示される通信システムの文脈内で説明する。図１に示される通信システムは、3GPP TSG33.102標準に準拠する。最初に、AV（認証ベクトル）がHLR１００から基地局１０４の所のVLR（あるいは基地局１０４に結合されたVLR）に送られる。この標準によると、VLR（ビジタロケーションレジスタ）は、受信されたAV（認証ベクトル）からXRES（応答）を導く。VLRは、さらに、受信されたAV（認証ベクトル）からAUTN（認証トークン）およびRAND（乱数）を導き、これらを通信リンク１０６を介して移動機１０８に送る。移動機１０８は、AUTNおよびRANDを受信し、AUTNおよびRANDを自身のUSIMに送る。USIMは、受信されたAUTNを以下のようにして検証する。つまり、USIMは、格納されている機密キー（K_ｉ）およびRAND（乱数）を用いて、AK（匿名キー）を計算し、次に、SQNをアンカバーする。USIMは、受信されたAK+SQNと、AKの計算された値との排他的ORにより、SQNをアンカバーする。この結果として、アンカバーされた、すなわち、解読されたSQNが得られる。USIMは、次に、MAC（メッセージ認証コード）を計算し、これをAUTN（認証トークン）の一部として受信されるMACと比較する。MACが一致する場合（つまり、受信されたAMCと計算されたMACが等しい場合）は、USIMは、SQN（シーケンス番号）が（標準によって定義される）正当な許容可能レンジ内にあるか検証し、レンジ内にある場合は、USIMは、この認証に対する試みを正当な試みとみなす。すると、USIMは、格納されているK_ｉ（機密キー）およびRAND（乱数）を用いて、RES（応答）,CK（暗号キー）およびIK（健全性キー）を計算する。SUIMは、次に、IK,CKおよびRESを移動機のシェルに送り、移動機に対して（通信リンク１０６）を介してRESを基地局１０４に送信するように指令する。RES（応答）は、基地局１０４によって受信され、基地局１０４はこれを自身のVLRに送る。VLR（ビジタロケーションレジスタ）は、RESをXRESと比較し、これらが互いに等しい場合は、VLRもAV（認証ベクトル）からCKおよびIKキーを導く。XRESとRESは等しいため、移動機によって計算されたキーと、HLRによって計算され、VLRに送られたキーは等しくなる。
【００１１】
この時点において、基地局１０４と移動機１０８との間にセキュリティアソシエーションが存在する。移動機１０８と基地局１０４は、IK（健全性キー）を用いて、これらの間で通信リンク１０６を通じてやりとりされる情報を暗号化する。さらに、移動機１０８と基地局１０４は、IKを用いて移動機１０８に対して設定された加入者とSNの間のリンクの正当性を検証する。通信システムは、このIKを、真正性の確認のために用いる。つまり、通信の際に移動機からIKの正しい値が送られた場合、通信システムは、移動機が、通信システムへのアクセスを正当に確保し、通信システムが、通信システム（つまり、SN）の資源（つまり、通信リンク、利用可能なチャネルを含むシステムの設備およびSNによって提供されるサービス）を利用することを許可しているものとみなす。こうして、IK（健全性キー）は、移動機の真正性（移動機が正当なものであること）を、SN（サービング網）に対して証明するために用いられる。移動機の真正性をSNに対して証明するためのIK（健全性キー）のこのような使用は、ローカル認証（local authentication）と呼ばれる。ローカル認証が達成された時点で、基地局１０４と移動機１０８は既に正当なIKを持つために、以降の手続きでは、この正当なIKを用いる方が簡単である。つまり、セッションの度に新たなIKを生成するやり方では、その都度、セキュリティアソシエーションを確立するために基地局１０４とHLR１００との間での情報のやりとり（つまり、システム間トラヒック）が必要となる。換言すれば、いったん加入者がシステムへのアクセスを確保され、加入者の移動機の真正性が確認されると、認証過程（authentication process）において生成されたIKおよびCKが、ユーザの移動機と基地局との間でやりとりされる情報の検証、および加入者とSNとの間のリンクの検証のために用いるられ、その後、新たなセッションの度にIK（健全性キー）を再計算する必要はなくなる。最後に、AKA手続きに対して制定された標準に準拠する移動機のシェルは、それらのUSIMがいったん取り外されると、認証過程において確立されたIKおよびCKを削除する。
【００１２】
【発明が解決しようとする課題】
ただし、AKA手続きに対して制定された標準の要件に従わない多くの不正移動機（通信システムへのアクセスを不正に試みる移動機）が存在する。これら不正移動機は、USIMが移動機から取り外された後も、IKおよびCKキーの使用を維持する。現在制定されているAKA手続きにおいては、不正移動機は、ローカル認証技法が用いられるために、通信システムの資源を以下のようにして不正に使用することができる。
【００１３】
以下では、不正移動機（例えば、タクシーホーン）が現在制定されているAKA手続きを採用する通信システムを不正に使用する一つの可能なシナリオについて説明する。加入者は、自身のUSIMカードをタクシーホーンに挿入し、呼を掛ける。いったん、移動機が上述のようにして認証されると、加入者は一つあるいはそれ以上の呼を発信する。全ての呼が完了すると、加入者はタクシーホーンからUSIMカードを取り外す。すると、タクシーホーンが標準に準拠する場合は、タクシーホーンは加入者のCKおよびIKを削除する。ただし、そのタクシーホーンが不正ホーンである場合は、そのタクシーホーンは、加入者のCK（暗号キー）およびIK（健全性キー）を削除しない。こうして、不正移動機は、加入者がUSIMカードを取り外した後も、加入者に知られることなく、（IKに基づくローカル認証が用いられた場合）、正当な移動機として認証されることとなる。こうして、不正な呼を不正な移動機を用いて、セキュリティアソシエーションが改められるまで掛けることが可能となる。サービスプロバイダによってはセキュリティアソシエーションは２４時間も持続することがある。
【００１４】
従って、現在制定されているAKA手続きを、不正移動機による加入者の認証キーの不正使用を阻止するできるように改善する必要性がある。
【００１５】
【課題を解決するための手段】
本発明は、不正移動機が通信システムの資源を不正に使用するのを阻止する改善されたAKA手続きに対する方法を提供する。移動機と基地局との間にセキュリティアソシエーションが確立されると、通信システムは、本発明の方法に従って、移動機の正当性を定期的にチャレンジする。このチャレンジは、移動機によって扱われている全ての移動機に対するグローバルチャレンジとすることも、基地局によって扱われているある特定の移動機に対するユニークチャレンジとすることもできる。
【００１６】
基地局によってどちらのタイプのチャレンジが送信されるかに関係なく、移動機のUSIMは、移動機のUSIMと基地局のVLRからのみ入手できる情報に基づいて認証応答を計算する。移動機のUSIMによって計算された認証応答は、移動機のシェルに送られ、移動機のシェルは、この認証応答を基地局に送る。基地局によって受信された認証応答は、次に、基地局のVLRに送られる。基地局のVLRは、これを自身によって独自に計算された認証応答と比較する。移動機は、VLRの認証応答が移動機のシェルから受信された認証応答と等しい場合に、本物であるとみなされる。こうして、AKA手続きの実行の結果としてのセキュリティアソシエーションが、既に制定されているAKA手続きに殆ど影響を与えることなく、定期的に検証される。より重要なことに、このセキュリティアソシエーションの定期的な認証により、不正移動機はシステム資源を不正に使用することを阻止される。本発明の方法は、さらに、移動機の正当性を非定期的、連続的、もしくは断続的にチャレンジするやり方にも関する。
【００１７】
本発明は、以下のステップを遂行する：
認証ベクトル（Authentication Vector）がHLR（ホームロケーションレジスタ）によって基地局のVLR（ビジタロケーションレジスタ）に送られる。このAV（認証ベクトル）は、AKA手続きの実行において用いられる幾つかのパラメータ、とりわけ、AK（匿名キー）およびSQN（シーケンス番号）を含む。従来は、AKはSQNと排他的OR結合され（つまり、"＋"にて表現される演算が遂行され）、これによって基地局と移動機との間の一般大衆からアクセス可能な通信リンクを通じて送信されるSQNが保護されたが、本発明においては、AKとSQNは、互いに排他的OR結合することなく、VLRによって受信される。別のやり方として、AKを、AKとSQNの排他的ORによって与えられる値に加えて、AV内に含めることもできる。こうして、VLRは、AKの値を知る。従来の技術と同様に、VLRは、AKにて排他的OR結合することで隠されたSQNを、AUTN（認証トークン）と呼ばれるAV（認証ベクトル）の一部として移動機に送信することでAKA手続きを開始する。VLRは、AKA手続きを開始するために必要とされるRAND（乱数）も生成し、これを移動機に送る。移動機のシェルは、AUTN（認証トークン）を受信すると、これを移動機のUSIMに送る。USIMは、AK（匿名キー）を計算するが、ただし、これを移動機のシェルに送ることはない。AKA手続きが実行され、結果として、移動機と基地局との間にセキュリティアソシエーションが確立される。
【００１８】
次のアクセスリクエストがあると、あるいは移動機あるいは基地局からの通信システムの資源の使用に対する任意のリクエストがあると、ローカル認証チャレンジが基地局と移動機との間で遂行される。ローカル認証チャレンジは、移動機が通信システムの資源を利用するセッションの際にも遂行される。より具体的には、基地局は、移動機に対して自身の真正性（自身が本物であること）を基地局に対して証明することを要請するチャレンジインテロゲーションメッセージ（challenge interrogation message）を移動機に送る。チャレンジインテロゲーションメッセージは、特定の移動機に向けられるユニークメッセージとすることも、基地局によって扱われている全ての移動機に対して自身の真正性を基地局に対して証明することを要請するグローバルメッセージとすることもできる。これに応答して、移動機のUSIMは、ローカル認証応答（local authentication response、AUTH_Ｌ）を計算する。AUTH_Ｌ（ローカル認証応答）は、AK,IKおよびRANDUあるいはRAND_Ｇパラメータに非可逆アルゴリズム関数ｆ_ｎを適用することで計算される。RANDUパラメータ（つまり、RANDom Unique number）は、チャレンジインテロゲーションメッセージが特定の移動機に向けられるときに用いられる。RAND_Ｇ（つまり、RANDom Global number）はチャレンジが基地局によって扱われている全ての移動機にグローバルに送られるときに用いられる。RANDUあるいはRAND_Ｇパラメータは、VLRによって、チャレンジインテロゲーションメッセージの部分として送られる。チャレンジインテロゲーションメッセージを移動機に送ると、基地局のVLRは、独自に、これもIK,AKRANDUあるいはRAND_Ｇパラメータを用いて、AUTH_Ｌを計算する。
【００１９】
移動機は、チャレンジインテロゲーションメッセージに応答して、AUTH_Ｌを基地局に送信する。移動機からのAUTH_Ｌは基地局によって受信され、基地局のVLRに送られる。基地局のVLRは、受信されたAUTH_Ｌを自身が独自に計算したAUTH_Ｌと比較する。これら２つのAUTH_Ｌが等しい場合は、移動機のUSIMは本物であることを確認され、そのセキュリティアソシエーションは正当であるとみなされる。これら２つのAUTHLが等しくない場合は、セキュリティアソシエーションは不当であるとみなされ、本発明の方法は移動機が通信システムの資源にアクセスすることを阻止する。
【００２０】
【発明の実施の形態】
図２は、本発明の方法のステップを示すが、以下では、これらステップについて、図１の文脈内で説明する。本発明の方法は、3GPP TSG 3.102標準によって定義されるAKA（Authentication and Key Agreement：認証およびキー同意）スキーム、およびAKAスキームを用いる他の標準に適用する。例えば、本発明の方法は、ANSI‐41標準によって定義されるアーキテクチャを持つ様々な通信システムに適用する。これら通信システムには、これに限定されるものではないが、広帯域CDMA（W‐CDMA）システム、TDMA（時分割多元アクセス）システム、UMTS（Universal Mobile Telecommunications System：ユニバーサル移動体電気通信システム）、およびETSIによって定義される第三世代のGSMシステム（Global System for Mobile communication：移動体通信に対するグローバルシステム）が含まれる。ステップ２００において、AKA手続きが開始される。AKA手続きは、移動機（例えば、１０８）がサービス網にアクセスすることを希望するとき、あるいはサービス網が移動機１０８に向けられた呼を受信し、移動機と相手との間に呼を設定することを希望するときのいずれかによって開始される。いずれの場合も、ステップ２００において、HLR（Home Location Register：ホームロケーションレジスタ）１００は、AV（Authentication Vector：認証ベクトル）信号を通信リンク１０２を通じて基地局１０４に送信する。基地局１０４の所のVLR（Vistors Location Resister：ビジタロケーションレジスタ）（図示せず）は、AVを通信リンク１０２を通じて受信する。この通信リンク１０２は通信システムの加入者によってアクセスすることはできない。AVは、通常は、複数のパラメータ、とりわけ、AK+SQN（AKとSQNの排他的OR結合）を含むが、本発明においては、AVは、AK（Anonymity Key：匿名キー）については平文値（clear value）にて送られる。従来の技術においては、基地局はSQNとAKの論理結合（つまり、AK+SQN）の暗号化版を含むAV（認証ベクトル）を受信するが、本発明の方法においては、HLRは、VLRにAKの個々の値を知らせるために、AKを平文版にて基地局（つまり、VLR）に送ることが可能となる。換言すれば、従来のAKA手続きにおいてはAKはSQN（Sequence Number：シーケンス番号）と排他的OR結合されたが、本発明においてはSQNと排他的OR結合する必要はなくなる。別の方法として、AK+SQN（AKとSQNの排他的論理和）およびAKの両方をHLRからVLRに送ることもできる。こうして、基地局１０４の所のVLRがいったんHLR１００からAVを受信すると、VLRはAKの値を格納する。
【００２１】
他のパラメータに加えて、SQN（シーケンス番号）、AK（匿名キー）、MAC（Message Authentication Code：メッセージ認証コード）およびAMF（Authentication Management Field：認証管理欄）を含むAV（認証ベクトル）は、基地局のVLRによって受信され、基地局のVLRは、SQNをAKにてマスクすることで、SQNの暗号化された値をアセンブルする（組立る）。こうして暗号化されたSQNは、基地局によって、AUTN（認証トークン）信号の一部としてRAND（乱数）信号とともに移動機１０８に送られる。より詳細には、VLRは、SQNを暗号化することで（つまり、AKとSQNの排他的OR結合を遂行することで）、AK（匿名キー）を隠し（偽装し）、AUTN（認証トークン）をアセンブルし、認証リクエストを、AUTN信号としてRAND信号とともに移動機１０８に送る。移動機１０８は、受信されたAUTNをRAND信号とともに、セキュリティアソシエーションを定義するセキュリティパラメータの検証および生成のために自身のUSIM（User Subscription Identy Modules：ユーザ加入識別モジュール）に送くる。
【００２２】
ステップ２０２において、USIMは、パラメータIK（Integrity Key：健全性キー）とCK（Ciphering Key：暗号キー）を、従来のやり方にて生成する。より詳細には、USIMは、RESをｆ_２（RAND,K_ｉ）から生成する。ｆ_２は、XRESの生成においても用いられることに注意する。USIMは、さらに、IKをｆ_３（RAND,K_ｉ）の計算から生成し、CKをｆ_４（RAND,K_ｉ）の計算から生成し、AKをｆ_５（RAND,K_ｉ）の計算から生成する。当業者においては容易に理解できるように、これらパラメータを計算するために用いられるセットの非可逆アルゴリズム関数（non‐reversible algorithmic function）は、通信システムが準拠する通信標準に基づいて選択される。ただし、以下では、特定の非可逆アルゴリズム関数を用いて幾つかのパラメータが計算されるが、これは解説を目的とするものであり、標準の要件に適合することも、適合しないこともある。USIMは、さらに、MAC（メッセージ認証コード）の期待される値を（f_１関数を用いて）計算し、これをAUTN（認証トークン）内に受信される値と比較する。MACが正当なものである場合は、USIMは、AKおよびSQNの個々の値を解読し、SQN値が受理可能なレンジ内にあることを検証する。ステップ２０２において、VLRは、同様にして、HLRから、USIM内で行なわれるのと同様なやり方にて計算されたIK、CKおよびXRESを受信する。USIMは、RES、CKおよびIKを移動機１０８のシェルに送り、移動機１０８はRESを基地局１０４に送り、基地局１０４はこれを自身のVLRに送る。
【００２３】
ステップ２０４において、VLRは受信されたRESを自身で計算したXRESと比較する。RESとXRESが等しい場合は、VLRの所のCK（暗号キー）とIK（健全性キー）は、移動機のUSIMの所のCKとIKに等しい。こうして、有効（正当）なセキュリティアソシエーションが確立され、これが、加入者とこれを扱っている網（SN）との間のリンク（つまり、リンク１０６）に対して、あるセッションのある持続期間だけ、確認される。こうして、移動機の真正性（移動機が本物であること）が確立されるが、これは、移動機がSNに正当にアクセスし、SNからSNの資源を使用する許可をS正当に得たことを意味する。ここで、セッションとは、認証過程に費やされた時間、加入者に与えられたアクセス時間、および加入者が実際に資源を利用する時間の長さを指す。例えば、あるセッションは、通信システムが準拠する標準に従って呼を設定するために費やされる時間を含む電話呼の時間期間、システムによって加入者に通信システムへのアクセスを与えるために費やされる時間期間、および加入者が、相手と通信（例えば、音声呼）を行なうために、通信システムの資源が用いた時間量から成る。
【００２４】
ステップ２０６において、セッション中のある時点において、基地局１０４の所のVLRは、チャレンジインテロゲーションメッセージ（challenge interrogation message）をブロードキャストし、確立されたセキュリティアソシエーションの真正性にチャレンジする。より詳細には、移動機１０８が通信リンク１０６を介して基地局との間で情報をやりとりする許可をシステムから得ているか否かがチャレンジされる。つまり、加入者とこれを扱っている網（SN）との間のリンク（つまり、通信リンク１０６を通じてやりとりされる情報）に対する認証がチャレンジされる。このチャレンジインテロゲーションメッセージは、メッセージが基地局によって扱われている全ての移動機にブロードキャストされるグローバルチャレンジ（global challenge）とすることも、基地局によって扱われている特定の移動機に送られるユニークメッセージ（unique challenge）とすることもできる。さらに、このチャレンジインテロゲーションメッセージは、あるセッションの間に、VLRによって、周期的に送ることも、非周期的に送ることも、断続的に送ることも、あるいは連続的に送ることもできる。さらに、このチャレンジインテロゲーションメッセージは、セキュリティアソシエーションが確立された後の各セッションの開始の度に送信することもできる。このチャレンジインテロゲーションメッセージによって、移動機１０８とSNとの間のローカル認証（local authentication）が開始される。このチャレンジインテロゲーションメッセージは、基地局１０４の所のVLRによって生成される乱数（つまり、グローバルチャレンジに対するRAND_Ｇあるいはユニークチャレンジに対するRANDU）を含む。このチャレンジインテロゲーションメッセージとして具体的にどのようなフォーマットを用いるかは、通信システムが準拠する標準によって定義されるフォーマットに依存する。移動機１０８は、乱数を受信し、この乱数を自身のUSIMに送る。USIMは、非可逆アルゴリズム関数をIK、AKパラメータおよびこの乱数（つまり、RAND_ＧあるいはRANDU）に適用し、AUTH_Ｌと呼ばれるローカル認証応答（local authentication response）を計算する。より具体的には、グローバルチャレンジに対しては、AUTH_Ｌ＝f_ｎ(RAND_Ｇ,AK)_ＩＫを計算し、ユニークチャレンジに対しては、AUTH_Ｌ＝f_ｎ(RANDU,AK)_ＩＫを計算する。AUTH_Ｌ（ローカル認証応答）を計算するために用いられる非可逆アルゴリズム関数には、通信システムが準拠する標準によって定義される一群の関数（f_ｎ、ここでｎは１以上の整数）からの任意の一つを選択することができる。基地局１０４の所のVLRは、AUTH_Ｌを同一のやり方にて独自に計算する。AK（匿名キー）は、VLRとUSIMにしか知られておらず、不正電話機はAKへのアクセスを持たないために、不正電話機はAUTH_Ｌを計算することはできない。こうして、ローカル認証は、SNと移動機のUSIMによってのみ知られている情報（つまり、AK）に基づいて遂行される。USIMによって計算されたローカル認証応答（AUTH_Ｌ）は、移動機のシェルに送られ、移動機のセルは、これを（例えば、これを基地局に送られるメッセージに付加することで）基地局１０４に送る。基地局１０４は、受信されたAUTH_ＬをVLRに送り、VLRは、これを自身で独自に計算したAUTH_Ｌと比較する。
【００２５】
本発明の方法のもう一つの実施例においては、移動機１０８のUSIMは、AUTH_Ｌを移動機１０８のシェルに送る。移動機のシェルは、IKおよびAUTH_Ｌを用いて、MAC‐Iと呼ばれるパラメータを計算する。移動機のシェルは、次に、MAC‐Iを基地局に送り、基地局はMAC‐IをVLRに送る。VLRは、自身のMAC‐Iを（自身もIKおよびAUTH_Ｌを用いて）計算し、これを受信されたMAC‐Iと比較する。こうして、MAC‐Iが、ローカル認証のため、および移動機とSNとの間でやりとりされる情報の内容を検証するための両方の目的に用いられる。この実施例においては、MAC‐Iを用いることで、AUTH_Ｌをメッセージに付加する必要性はなくなる。
【００２６】
ステップ２０８において、２つのAUTH_Ｌ（あるいはMAC‐I）が等しい場合、つまり、VLRによって計算されたAUTH_Ｌ（あるいはMAC‐I）と、移動機のUSIMによって計算され、移動機１０８から受信されたAUTH_Ｌ（あるいはMAC‐I）が等しい場合は、そのセッションと移動機（つまり、移動機のUSIM）が認証される。VLRは、こうして、移動機１０８と基地局１０４との間に既に設定されているリンク（つまり、SNと加入者との間に設定されているリンク）の真正性が確認され、あるいはこの間にリンクが設定されることが許可され、その後、本発明の方法は、ステップ２０４に戻る。移動機は、通信システムの資源へのアクセスを与えられる。リンクが既に設定されている場合は、移動機は、通信システムの資源に引き続いてアクセスすることを許される。VLRが、SNと加入者との間のリンクを認証できない場合（つまり、受信されたAUTH_ＬあるいはMAC‐IがVLRによって計算されたAUTH_ＬあるいはMAC‐Iと等しくない場合）は、本発明の方法はステップ２１０に進み、ここで、移動機はSNにアクセスすることを阻止される。つまり、リンクは脱落され、そのリンクと関連するCK（暗号キー）とIK（健全性キー）は、SN（つまり、基地局１０４）によってもはや受理されなくなる。このセキュリティアソシエーションは、もはや有効ではなくなり、移動機は、通信システムの資源へのアクセスを与えられない。従って、USIMを持たない不正移動機は、自身の真正性を通信システムに対して証明することはできず、従って、通信システムの資源を不正に使用することはできない。
【図面の簡単な説明】
【図１】図１は無線通信システムの一部を示す図である。
【図２】本発明の方法のステップを示す図である。
【符号の説明】
１００ HLR（ホームロケーションレジスタ）
１０２通信リンク
１０６無線通信リンク
１０４基地局
１０８移動機

Claims

サーバネットワークとの確立されたセキュリティアソシエーションを有する移動機のシェルと着脱可能かつ通信可能に接続されるユーザ識別モジュールを認証する方法であって、
前記ユーザ識別モジュールで前記移動機のシェルからの第１のメッセージを受信するステップと、
前記第１のメッセージと、前記サーバネットワークに知られており前記移動機のシェルには知られていない第１の鍵とに基づいて、前記ユーザ識別モジュールで第２のメッセージを決定するステップとを含み、前記第１の鍵は前記セキュリティアソシエーションの確立の間に生成されるものであり、さらに、
前記ユーザ識別モジュールが前記第１の鍵を有することを前記サーバネットワークが検証できるよう、前記第２のメッセージを前記サーバネットワークに提供するステップとを含む、認証する方法。
前記移動機のシェルから前記第１のメッセージを受信するステップが、
前記サーバネットワークにより提供されるチャレンジインテロゲーションメッセージに応答して、前記第１のメッセージを受信するステップを含む、
請求項１記載の方法。
前記チャレンジインテロゲーションメッセージに応答して、前記第１のメッセージを受信するステップが、固有の前記チャレンジインテロゲーションメッセージとグローバルチャレンジインテロゲーションメッセージのうちの少なくとも１つに応答して、前記移動機のシェルから前記第１のメッセージを受信するステップを含む、
請求項２に記載の方法。
前記第１のメッセージを受信するステップが、前記サーバネットワークにより提供される乱数を受信するステップを含む、
請求項２に記載の方法。
前記第２のメッセージを決定するステップが、非可逆的アルゴリズム関数を、前記乱数と、前記サーバネットワークに知られており前記移動機のシェルには知られていない第１の鍵とに適用するステップを含む、
請求項４に記載の方法。
前記第２のメッセージを決定するステップが、前記移動機のシェルと前記サーバネットワークとに知られている第２の鍵を使用する前記非可逆的アルゴリズム関数を、前記乱数と前記第１の鍵とに適用して、前記第２のメッセージを決定するステップを含む、
請求項５に記載の方法。
前記第２のメッセージを決定するステップが、前記移動機のシェルと前記サーバネットワークとに知られている健全性キーを使用する非可逆的アルゴリズム関数を、前記乱数と前記第１の鍵とに適用して、前記第２のメッセージを決定するステップを含む、
請求項６に記載の方法。
前記第２のメッセージを前記サーバネットワークへ提供するステップが、
前記移動機のシェルに前記第２のメッセージを提供するステップであり、前記移動機のシェルは少なくとも前記第２のメッセージを前記サーバネットワークに提供するように構成されているステップを含む、
請求項１に記載の方法。
前記サーバネットワークに知られており前記移動機のシェルには知られていない第１の鍵に基づいて前記第２のメッセージを決定するステップが、前記サーバネットワークに知られており前記移動機のシェルには知られていない匿名キーに基づいて前記第２のメッセージを決定するステップを含む、
請求項１に記載の方法。
移動機のシェルに着脱可能に接続されたユーザ識別モジュールと通信可能に接続される前記移動機のシェルとの確立されたセキュリティアソシエーションを有するサーバネットワークによって認証する方法であって、
前記サーバネットワークで、前記移動機のシェルからの第１のメッセージを受信するステップと、
前記第１のメッセージと、前記ユーザ識別モジュールに知られており前記移動機のシェルには知られていない第１の鍵とに基づいて、前記ユーザ識別モジュールを認証するステップとを含み、前記第１の鍵は前記セキュリティアソシエーションの確立の間に生成される、
認証する方法。
前記第１のメッセージを受信するステップが、
前記セキュリティアソシエーションが確立された後に前記移動機のシェルに第２のメッセージを前記サーバネットワークから提供するステップと、
前記第２のメッセージに応答して、前記第１のメッセージを前記サーバネットワークで受信するステップとを含む、
請求項１０に記載の方法。
前記第２のメッセージを提供するステップが、固有のチャレンジインテロゲーションメッセージとグローバルチャレンジインテロゲーションメッセージのうちの少なくとも１つを提供するステップを含む、
請求項１１に記載の方法。
前記第２のメッセージを提供するステップが、
乱数を提供するステップを含む、
請求項１１に記載の方法。
前記第１のメッセージを受信するステップが、前記乱数と、前記ユーザ識別モジュールに知られており前記移動機のシェルには知られていない第１の鍵とに基づいて前記ユーザ識別モジュールによって形成される第１のメッセージを受信するステップを含む、
請求項１３に記載の方法。
前記第１のメッセージと、前記ユーザ識別モジュールに知られており前記移動機のシェルには知られていない前記第１の鍵とに基づいて前記ユーザ識別モジュールを認証するステップが、
前記第２のメッセージとの一部と、前記ユーザ識別モジュールには知られており前記移動機のシェルには知られていない前記第１の鍵とに基づいて第３のメッセージを決定するステップと、
前記第３のメッセージと第１のメッセージを比較するステップと、
前記第１のメッセージが前記第３のメッセージに等しいとき、前記ユーザ識別モジュールを認証するステップとを含む、
請求項１１に記載の方法。
前記第３のメッセージを決定するステップが、
非可逆的アルゴリズム関数を、前記第２のメッセージの一部と、前記ユーザ識別モジュールには知られており前記移動機のシェルには知られていない前記第１の鍵とに適用するステップを含む、
請求項１５に記載の方法。
前記第１のメッセージを受信するステップは、前記移動機のシェルに知られている第２の鍵と、前記第１の鍵を用いる前記ユーザ識別モジュールにより形成される第４のメッセージとを用いて前記移動機のシェルによって形成された前記第１のメッセージを受信するステップを含む、
請求項１０に記載の方法。
前記第１のメッセージと、前記ユーザ識別モジュールに知られており前記移動機のシェルには知られていない第１の鍵に基づいて、前記ユーザ識別モジュールを認証するステップが、
前記第１と第２の鍵とに基づいて第５のメッセージを生成するステップと、
前記第１のメッセージと前記第５のメッセージとを比較するステップと、
前記第１のメッセージが前記第５のメッセージに等しいとき、前記ユーザ識別モジュールを認証するステップとを含む、
請求項１７に記載の方法。