WO2004034645A1

WO2004034645A1 - Ｗｌａｎ相互接続における識別情報の保護方法

Info

Publication number: WO2004034645A1
Application number: PCT/JP2003/013103
Authority: WO
Inventors: Pek-Yew Tan; Hong Cheng; Toyoki Ue
Original assignee: Matsushita Electric Industrial Co., Ltd.
Priority date: 2002-10-11
Filing date: 2003-10-14
Publication date: 2004-04-22
Also published as: US7945777B2; US7594113B2; CN101541000A; EP1538779A1; US20090319774A1; EP1538779B1; JP4619788B2; US20060101273A1; JP4999884B2; JP2009246988A; AU2003272988A1; CN100499538C; CN1714542A; CN101541000B; EP1538779A4; JPWO2004034645A1

Abstract

階層的暗号化方式及び非対称暗号化の使用の導入によって、無許可のエンティティからメッセージ交換における重要な情報を隠す。これによって、相互接続で直面する中間の攻撃者を強く防ぐことが可能となる。また、一般的な規則をＷＬＡＮに特有のコマンドにマッピングすることが可能なルール・インタープリタを有するネットワーク構造を導入することでアクセス・コントロールを行う。これによって、モバイルのユーザのホーム・ネットワークが相互接続しているＷＬＡＮすべてに関する情報を理解する必要がなくなる。また、すべてのＷＬＡＮに対して、ホーム・ネットワークがＷＬＡＮ技術と無関係の共通のインターフェイスを使用することが可能となる。以上により、ＷＬＡＮの相互接続におけるユーザの識別情報の保護とアクセス・コントロールの問題を解決する。

Description

W L A N相互接続における識別情報の保護方法

技術分野

本発明は、無線データ通信分野明に関し、特に、他のネットワークから到来したモパイル'ユーザに対する無線 LAN (ワイヤレス ·ローカル.エリア · 田

ネットワーク； WLAN) 環境におけるサービスの提供に関する。また、本発明は、モバイノレ ·ユーザに対する WL ANのリソースのアクセス ' コントロールのために利用され、特に、認証、許可、課金の問題におけるアクセス · コントローノレに関する。背景技術

無線 LANは、有線 LANの拡張又は代替として実現されるフレキシブルなデータ通信システムである。無線 LANは、無線周波数（RF) 技術を用いて、無線を介してデータの送受信を行い、有線通信に必要とされるものを最低限度にする。これにより、無線 LANは、ユーザの動きに応じてデータの接続性を結合する。また、無線 LANは、例えば、ヘルスケア、小売業、製造業、卸売業、学究など、多くの産業別マーケットで強い支持を得ている。これらの産業では、携帯型端末やノートブック型コンピュータを使用して、処理を行うための集中ホストにリアルタイム情報を送信することによって、生産性が増加する点で利益がある。今日、無線 LANは、幅広いビジネスの取引先に渡り、多目的の接続の代替物として、さらに広く認識されてきている。

無線 LANは、移動電話のモパイル 'ネットワークよりもはるかに高いァクセス .データ速度を提供するが、一般的に無線発信機から 50メートルまでの限定された範囲にのみ供給するものである。しかしながら、例えば、 G SM/G P R Sや WCDMAなどの公共ネットワークは、広い範囲、一般的には全国規模の範囲に渡って提供される。 WL ANと公共ネットワークの両方の加入者に対して、統合的なサービスを供給するため、 WLANは、他の W LANや移動電話のモバイノレ ·ネットワークと相互に接続をしなければならない。

いくつかの標準化グループが、 WLAN及び 3 Gネットワーク相互接続の問題に関する研究を開始している。 3 GP P (非特許文献 1) では、可能性の研究報告が公開されている。この書類は、相互接続と使用の概要の範囲に関して言及を行った。相互接続の概要は詳細に記述されており、最も単純な

「一般的な広告と顧客サービス」から最も洗練された「3 GP P C S サービスへのアクセス」までの 6段階に分割されている。また、相互接続の概要に必要ないくつかの要件が与えられた。同様に、機能と要件の定義の書類（非特許文献 3) で、例えば、認証、アクセス · コントロール、対価請求に関する詳細な要件が議論されており、認証に係るいくつかの方法が検証されている。それらは、主に UMT S AKA及び GSM S I Mの解決策に基づくものであり、例えば、アクセス · コントロールや対価請求などの他の態様に関する解決策は与えられていない。これらの書類はまだ完結しておらず、活動的に研究を行っているワーキング ·グループが存在している。

E A P方法による AK A方式を用いた草稿は入手可能であり（非特許文献 4)、それによつて、無線による EAPを介して、無線 LAN及び I EEE 8 02.1 X技術の環境で、第 3世代モパイル'ネットワーク認証インフラストラクチャの利用が可能となるが、それに係る問題は、 UMT S加入者識別モジュール、又は同等のソフトウェア 'モジュ^"ルが必要なことであり、すべての装置がこれを利用することができるとは限らない可能性がある。同様に、 EAP— AK A方式においても、まずユーザが EAPサーバに接続する場合、 EAPサーバに送られる明確なテキスト中のユーザの IMS Iが必要とされる。これによつて、移動端末を盗聴しているエンティティ（他のネットヮークから到来したモバイル 'ユーザ等）にユーザの識別情報が漏洩することになるかもしれない。その方式は、チャレンジメッセージ一レスポンス ' メカェズム及び認証のための対称暗号化を利用している。

I EEEもまた、 WLANの認証の問題について研究している。 EAPO Lを紹介している I EEE 80 2.1 X (非特許文献 5) は、イーサネット環境の最上層で E A P (非特許文献 6)を利用するための解決策を与えている。それに係る問題は、イーサネット又は FDD I Zトークン■ リング MACでのみ動作するという点である。他の技術においてそれを動作させるためには、いくつかの改造を施さなければならない。これは、認証における E A P方法を利用するための基本的なやり方を供給するのみであり、実際の解決策は、展開されている個々の EAP方法に依存している。同様に、この研究は、例えば、アクセス ' コントロールや Q o Sなどの相互接続における他のいずれの態様にも取りかかっていない。

I ETFは、ネットワーク 'アクセスにおける認証、許可、課金の要件の発展に焦点を合わせている AAAワーキング ·グループ（非特許文献 7) を持っている。彼らは、 D I AMETER (ダイァメター）の提案に係る研究に基づいている。また、例えば、 SEAMOBYグループ（非特許文献 8) や S I P P I NGグループ（非特許文献 9) などのように、相互接続の問題に関する研究を行っている他のワーキング 'グループも存在するが、そのほとんどが I Pに基づく環境を仮定しており、 WL ANの問題に特定しておらず、あらゆる問題に対する確実な解決策は存在していない。

WLANが移動端末にサービスを提供するため、移動端末の加入者情報に基づいて、いくつかの決定が行われなければならない。サービスを要求する T/JP2003/013103

4 移動端末が、 WL AN以外の別の管理ドメインに登録されている場合、この情報は、移動端末のホーム ' ドメインから取得されなければならないが、ほとんどの場合、情報は秘匿的であり、信頼関係の欠如によって W LANには開示され得ない。したがって、ホーム ' ドメインは、機密性を損なうことなく作用するため、 WL ANに対する重要な情報の供給方法を持っていなければならない。これ以外にも、いくつかのネットワークもまた、移動端末の位置情報の保護を供給することを必要としている。すなわち、移動端末の識別情報もまた、 WL ANと移動端末との間のメッセージ交換において隠蔽されるべきである。

WL ANにおけるサービス供給は、任意の基礎となる技術の特定のパラメータを必要としている。移動端末のホーム■ネットワークがこの情報を特定できる可能性は低く、場合によっては全く不可能である。したがって、 WL ANのエンティティは、ホーム 'ネットワークからの管理情報を局所的な管理メッセージに翻訳できなければならない。

移動端末の加入者情報はそのホーム ' ドメインに格納されており、 WLA Nは、それに対して直接のアクセスを行わず、リアルタイム 'モニタリング及び移動端末に供給されるサービスの管理を得るために、時折、ホーム ' ドメインに対して報告を送らなければならない。たくさんの移動端末が存在する場合には、これらの報告は大量のトラフィックを生じ、この結果、リアルタイム . コントロールの的確さが減少する。したがって、 WLANがいくつかの処理を局所的に行うことが所望される。

なお、本明細書において、非特許文献 1は、 3 G P P .http://www.3gpp.org, 非特許文献 2は、「無線ローカル'エリア 'ネットワーク（WLAN) における相互接続に対する 3 GP Pシステムの可能性の研究（公開第 6版）」 3GPP TR22.934 VI.1.0 (2000-05)、 http://www.3gpp.org/specs/specs.htm 非特許文献 3は、「無線ローカル'エリア 'ネットワーク（WLAN) における相互接続に対する 3 GP Pシステム；機能と構造の定義（公開第 6版）」 3GPP TR22.934 V0.3.0 (2000-06)、 http://www.3gpp.org/specs/specs.litmL 非特許文献 4 は、「 E A P A K A 認証」、 httpV/www.itei.org/internet-drafts/draft-arJc :o-pptext-eap-ajK:a-03.txts 特許文献 5は、「ローカル及ぴメトロポリタン'エリア 'ネットワークの標準：ポートベースのネットワーク . アクセス · コントロール」 IEEE Std

802.1X-2001、 http://www.ieee.org, 非特許文献 6は、 EAP (拡張認証プ口トコノレ j、 http：〃 www.ietf.org/html.cnarters/eap-cliarter.html、特許又献 7 は、 A A A ( 認証 ' 許可 ' 課金）グループ、 http://www.ietf.org/html.charters/aaa-charter.htmL ^^特許文献 8 te、 S E AMOBY (コンテクスト転送、ハンドオフ侯補探索、休止モードホスト喚起) クノレープ、 httpV/w w.ietf.org/html.charters/seamoby-charter.htmls 非特許文献 9は、 S I P P I NG (セッション開始プロトコル提案調査）グノレ一プ、 http：〃 www.ietf.org/html.cliarters/sipping-cnarter.html、非特許文献 1 0 は、 DIAMETER ( ダイァメター）、 http：〃 wwwietf.org/internet-drafts/sraft-ietf-aaa-diameter-08.txt、非特許文献 1 1は、「応用暗号化」第 2版、ブルース =シュナイダー、ウィリー、 1 9 9 6、非特許文献 1 2は、ディフサーブ ' ワーキング ' グループ、 http-// ww.ietf.org/litml.charters/ciifi:serv-cliarter.html ^^特午文献 1 3 ίま、 I Ρ ·モビリティ 'サポート RFC3220、 http：〃 www.ietf.org/rfc/rfc3220.txt のことを指している。発明の開示

WLANは、移動端末の加入者情報への直接のアクセスを行うことが許されていないため、ホーム ·ネットワークが、移動端末に配信を行うために、 WL ANの必須事項を供給するための代わりとなる必要がある。本発明は、あるルールに基づいた解決策を提供する。ルール 'エンジンは、 WLAN上に配置され、 WL ANの暫定的なサービスの管理を行う。移動端末のホーム · ネットワークは、ルール■エンジンと一緒に配置されたルール ·ィンタープリタにルール情報を送信し、ルール 'インタープリタは、これらのルールを WL ANに特定の管理情報に翻訳し、ルール'エンジンに与えて実行させる。これにより、 WLANは、ホーム 'ネットワークの情報機密性を損なうことなく移動端末への配信方法を知る。

ホーム 'ネットワークは、このルール 'エンジンを利用して、 WLANに課金を行うために、任意のデータ処理機能を割り当てることも可能である。したがって、 WLANは、移動端末のホーム，ネットワークに送り返す前に局所的にいくつかのデータを処理することが可能である。これにより、信号経路にとって価値のあるネットワーク · リソースを保持しておくことが可能である。

本発明では、移動端末の識別情報を守秘するため、例えば、公開鍵及びあらかじめ共有された秘密の提携（セキュリティのメカニズム）など、対称及び非対称の暗号化構造の結合に基づく特定の方式が導入される。移動端末は、これを利用して、ある重要な情報に含まれる識別情報が W LANに漏洩することなく、ホーム■ネットワークとこの情報を通信することが可能となる。本発明は、 WLANが他のネットワークと相互接続するために利用されるものである。相互に接続するネットワークは、別の WLAN又は公衆の移動電話ネットワークが適用可能であり、その両方で本発明を展開するのは容易である。本発明は、ユーザ識別情報及び重要な情報の保護と、アクセス■ コントロールの 2つの目的のために利用される。

本発明をユーザ識別情報及び重要な情報の保護に利用するためには、実行者は、メッセージの作成を必要とするのみである。このメッセージは、本発明で記述される方式に基づく作成及ぴ暗号化のための保護を必要とするもので、例えば、移動端末と WL ANアクセス ■ポイント間、アクセス ·ポイントとホーム . ドメイン .サーバ間のメッセージが挙げられる。これらのメッセージは、どの基礎的な伝送プロトコルにも束縛されず、したがって、適用の要求に依存する適切な方法を用いて配信され得る。例えば、 I EEE 80 2. 1 1システムでは、無,棣インタ一フェイスのメッセージは E A P O'L (EAP over LAN) の最上部で転送され、 I Pネットワークでは、アクセス ' ポィントとホーム ·ネットワーク ■サーバとの間のメッセージは、ダイァメター（非特許文献 10) の最上部で転送される。

各方式を動作させるため、本発明の適用前に、移動端末は、モバイル 'ュ一ザのホーム · ドメイン .サーバの公開鍵を保有していなければならない。この鍵は、ィンデッタスの文字列又はィンデッタス値で識別されるべきものであり、この情報は、ユーザの S I Mカード内に格納されるか、最初の使用前に配布されて手入力されることが可能である。本発明は、鍵の更新を行うための方法を有するので、鍵の管理が容易である。また、補足として、他の鍵の管理方式に推測して利用可能でもある。

さらに、相互接続のアクセス · コントロールのために本発明を利用する場合、実行者は、本発明に記述されるように、 WLANにインタープリタを配置する必要がある。このインタープリタは、ユーザのホーム 'ネットワークから送られるルールを適切なパラメータを有する WL ANに特有のコマンドに変換する。この方法では、ホーム 'ネットワークは WLANに特有の技術のいかなる情報も保持する必要はない。また、ユーザのホーム ·ネットヮークがアクセス不可能か、又は、例えば、任意のローカルの WL ANリソースへのアクセスを許可するなどの決定を行うことができない場合、ィンタープリタは、デフォルトのローカルの管理決定を行うことも可能である。これによって、信号欠損の場合におけるサービスの中断を最小限に抑えることが可能となる。また、ルール 'インタープリタは、ホーム · ドメインのルール■サーバによって設定された特定のルールに従って、ユーザのホーム ' ドメインに課金情報を送り返すことも可能である。集められた課金の属性は、その要求に基づいてルール 'サーバによって作成される。また、リアルタイム 'モニタリングを支援するためにルール ·ィンタープリタが作成を行うことも可能であり、ルール 'サーバからの発行指示によって、簡単に課金にバッチを当てることも可能となる。図面の簡単な説明

. 図 1は、 WLAN相互接続のメッセージ'シーケンスの例一この図は、保護されたユーザ識別情報を信号化するためのメッセージ · フォーマツトを使用して、移動端末、アクセス 'ポイント、ホーム ·ネットワーク ■サーバの相互認証を達成する W LAN相互接続のシーケンスの例を与える。

図 2は、アクセス ·ポイントに情報を送る移動端末のメッセージ■ フォーマット 1の例一この図は、アクセス 'ポイントに情報を転送する移動端末が使用するためのメッセージ■ フォーマツトの実施例を与える。

図 3は、ホーム■ ドメイン 'サーバに情報を送るアクセス ·ポイントのメッセージ · フォーマツト 2の例 ― この図は、ホーム · ドメイン 'サーバに情報を転送するアクセス 'ポイントが使用するためのメッセージ · フォーマットの実施例を与える。

図 4は、中央サーバにメッセージを送るホーム ' ドメイン 'サーバのメッセージ . フォーマット 3の例一この図は、中央サーバに情報を転送するホーム · ドメイン .サーバが使用するメッセージ · フォーマツトの実施例を与える。

図 5は、ホーム ' ドメイン 'サーバに返答する中央サーバのメッセージ ' フォーマット 4の例一この図は、ホーム ' ドメイン 'サーバに情報を転送する中央サーバが使用するためのメッセージ■ フォーマツトの実施例を与える。

図 6は、アクセス ·ポイントに返答するホーム■ ドメイン ·サーバのメッセージ■ フォーマット 5の例一この図は、アクセス 'ポイントに情報を転送するホーム ' ドメイン 'サーバが使用するためのメッセージ ' フォーマットの実施例を与える。

図 7は、移動端末に返答するアクセス ' ポイントのメッセージ · フォーマット 6の例一この図は、移動端末に情報を転送するアクセス ·ポイントが使用するためのメッセージ■ フォーマツトの実施例を与える。

図 8は、 MT— AP—ホーム ' ドメイン 'サーバー中央サーバ間のメッセージの流れ及び各メッセージ間の構成の対応をわかりやすくまとめた図である。

図 9は、図 8の逆のメッセージの流れ及び各メッセージ間の構成の対応をわかりやすくまとめた図である。

図 10は、 WL AN相互接続の異なるシナリオの例一この図は、ユーザの信用及び加入者情報にアクセスするために仮想端末を利用し、 W L A N 装置がサービスを享受できるようにする WL AN相互接続のための異なるシナリオを与える。

図 1 1は、 WL ANと他のネットワークとの間の相互接続のフレームヮークの例一この図は、アクセス · コントロールの規則を局在化させるためにルール ·ィンタープリタを利用する W LAN相互接続のためのフレームヮークの実施例を与える。

図 1 2は、相互接続のフレームワークの実施例一この図は、ルール - インタープリタが適用された場合の WL ANにおける動作シーケンスの例を与える。発明を実施するための最良の形態

以下、本発明の実施の形態について、添付図面を参照して詳細に説明する。このセクションでは、 W L A Nの相互接続におけるポリシー（通信に関する取り決め）の制御を行う装置及び方法が開示される。本発明を理解しやすくするため、以下の定義を使用する。

「W L A N」は、無線ローカル'エリア 'ネットワークを示すものであり、無線技術を通じて、移動端末に L A Nサービスを提供するために、任意の数の装置を含んでいる。

「移動端末」は、無線技術を通じて、 W L A Nや他のネットワークによつて提供されるサービスにアクセスするために利用される装置を示すものである。

「ホーム■ネットワーク」は、 MTが相互接続の一連の概要において、 M Tが元々所属するネットワークを示すものであり、 MTのサービス加入者情報が格納されている場所である。

「ネットワーク 'エレメント」は、ネットワークで動作している任意の装置であり、情報処理の実行が可能な装置を示すものである。

「ルール 'エンジン」は、ノレール■サーバによって設定され、ノレール 'ィンタープリタによってローカルな特定のコマンドに翻訳されたルールを実行するネットワーク 'エレメントを示すものである。

「ルール■インタープリタ」は、ルール 'サーバによって与えられるルールを解釈し、ローカルな技術に特有であり適切なパラメータを有するコマンドに翻訳し、実行するルール ·エンジンに供給するネットワーク 'エレメントを示すものである。

「ルール .サーバ」は、要求の有無を問わず、ルール 'インタープリタ及びルール ·エンジンに適切なルールのセットを送信するネットワーク ·エレメントを示すものである。「エア 'インターフェイス」は、移動端末が W L A Nにアクセスするための任意の無線アクセス技術を示すものである。

「ストリーム」は、任意の共通の属性を有し、ネットワーク内を転送するバケツトの集まりである。

「トラフィック」は、ネットワーク内を転送するストリームの集まりである。

「フロー」は、データ経路と、ストリームを配信する場合に使用されるデータ経路に必要とされるネットワーク · リソースとを示すものである。

「Q o S」は、データストリーム又はトラフィックのサービス品質という用語を示すものである。

「メッセージ」は、相互接続の制御を目的としてネットワーク ' エレメント間で交換される情報を示すものである。

「処理シーケンス」は、相互接続の制御のため、特定のネットワーク 'ェレメント間で交換される特定の順序の一連のメッセージを示すものである。

「上位レイヤ」は、現在のエンティティの最上層に存在する任意のェンティティを示すものであり、現在のエンティティから渡されたバケツトの処理を行う。

以下の記述では、説明を行うため、具体的な数、時間、構造、その他のパラメータが本発明を完全に理解するために示される。しかしながら、このような具体的な詳細がなくても本発明を実施できることは当業者には明らかになるだろう。また、本発明を不必要にあいまいなものとしないよう、周知の構成要素やモジュールがプロック図で図示される。

(実施の形態 1 )

W L A Nと他のネットワークとの間の相互接続のためには、認証、許可、課金 (Authentication, Authorization, and Accounting：以下 A A Aと略す)、

Q o Sの提供、移動性の制御など、いくつかの大きな問題を解決する必要がある。それらの問題の大部分は、例えば、許可/参加の制御、 Q o Sや移動性の機能の展開など、ポリシーに基づく解決策が望まれるものである。

そこで本発明は、ポリシーに基づくフレームワークを用いて、それらの W L A Nの相互接続に関連する問題の解決策を提供する。相互接続するネットワークは、例えば、 3 Gネットワーク、別の W L A Nネットワーク、又は専有ネットワークなどを始めとした、どの種類のネットワークも可能である。相互接続のメッセージの交換のためには、 A AAの目的のために、モバイル .ユーザの識別情報の供給が要請される。この情報は、例えば、意図されたネットワーク .エレメント（例えば、 A A Aサーバ）のみが取得可能でなければならない。さもなければ、ネットワークのセキュリティは悪化し、ュ一ザの口一カル情報が悪意のある人間に明らかとなってしまうことになる。そこで本発明は、階層的暗号化及び非対称暗号化を用いて、許可されていない集団から情報を隠蔽するための方法を与える。この方法は、重要セキュリティを管理する協会を必要としないので、認証処理において有用である。本発明の完全な理解のため、以下において、メッセージの交換のために利用されるいくつかの処理シーケンス及び情報データ構造を与える。なお、プ口トコルと名付けられたものが図示されているが、同一の目的で他のプロトコルを使用することを排除するものではなく、本発明での推奨を示すものでもない。また、任意のデータ構造が使用され、本発明の実施の一例を与える。現実に実施する場合には、新しい情報が加えられたり、任意の部分が実際に用いられる状況に応じて省かれたりし得ることは、当業者にとっては明らかである。

図 1は、本発明の実施の形態 1に係る処理シーケンスを示すものである。本実施の形態では、移動端末と中央サーバとの間で通信が行われる場合を例にとつて説明する。

図 1に示されるように、符号 1 0 1で記される移動端末（MT ) は、符号 1 06で記されるエア■ィンターフェイスを介して、 W LAN内の符号 1 0 2で記されるアクセス .ポイント（AP) に接続される。メッセージは、ァクセス .ポイント（1 0 2) から、符号 1 07で記される相互接続インターフェイス及び符号 1 03で記される一連の中間サーバ Zプロキシを介して、符号 104で記されるモバイル■ユーザのホーム ' ドメイン 'サーバに送信される。到達可能性の理由により、 A A A処理は、ホーム ' ドメイン 'サーノ（104)、又は、符号 1 05で記される後段のサーバ（中央サーバ）（1 05) で行われ得る。ホーム · ドメイン■サーバ（1 04) と中央サーバ（1 05) とが併置される場合には、メッセージ交換は内部のインターフェイスを介して行われるので、メッセージの正確なフォーマツトを知る必要はない。本実施例では、移動端末（1 0 1) 力中央サーバ（1 05) と、ほぼ永久的なセキュリティ関係を持っていると仮定し、例えば、 3 G端末などの I MS Iに関連するものが適用可能である。さらに、ホーム ' ドメイン 'サーバ（104) は、非対称の暗号化方式（非特許文献 1 1) のための公開鍵及び秘密鍵のペアを持っており、移動端末（1 0 1) は、公開鍵を持っていると仮定する。この情報は、ユーザに対して、加入時に配布することが可能であり、例えば、装置のように S IMカードのようなデバイスに格納されるか、使用する端末に施錠されて与えられるか、公のアクセス可能なサーバに置かれ、使用前にダウンロードされるようにする。

図 1の中で示されるように、移動端末（1 0 1) 力エア ·ィンターフェイス (1 06) を介して、アクセス 'ポイント (1 02) にメッセージを送信することによって、動作が開始される。

そのメッセージは、図 2中に示されるフォーマツト Msglであり、メッセージは異なるメカニズムによって転送され、どの W LAN技術がエア ·インターフェイス（1 06) で使用されているかに依存する。例えば、 I EEE 802.1 1では、そのメッセージを、イーサネット（非特許文献 1 1) 上の E A Pによって運ぶことが可能であり、また、 H i p e r LAN/ 2では、これを、 R L Cメッセージ上に存在させることも可能であって、メッセージ自体は任意の基礎的な技術に拘束されることはない。

図 2の中で示されるメッセージの実施例は、 1 0個の部分（20 1〜2 1 0) を含んでいる。なお、実際の適用では、必要なフィールドにより多くの情報を埋め込むことも可能であり、実際の配置状況に依存して、不必要なものは削除され得ることは、当業者にとっては明らかである。また、説明の便宜上、メッセージ■フィールドは、任意のシーケンスに導入される。なお、実際に実施する場合には、任意の順に、同じ暗号化レベルのフィールドを置くことも可能である。各フィールドは、その内容を示す固定長の識別情報と、実際の長さを示すための長さフィールドを有することが可能である。

メッセージは、符号 20 1で記される W LAN固有ローカル I Dフィ一ノレドカら始まり、ここには、ローカルの WL ANコンテクストにおける移動端末（101) を識別するための情報が含まれることになる。例えば、 I EE E 802. 1 1ネットワークでは、これを移動端末のイーサネット ■ァドレスとし、また、 H i p e r LAN/2ネットワークでは、これを移動端末 ( 1 0 1) に割り当てられた MAC I Dとすることが可能である。

また、符号 202で記される A Pへのチャレンジメッセージ ·フィールド力上記のフィールドの直後に配置される。そこには、移動端末（101) の生成されたランダムな文字列又は数が含まれることになる。アクセス .ポイント（102) は、移動端末（10 1) に対して、それ自体を確認するためのセキュリティ鍵と共に、この文字列を使用して、返答を生成することになっている。返答を生成するために使用される方式としては、例えば、 HM AC-MD 5 (非特許文献 1 2) など、任意のメッセージ認証方式が可能である。使用されるセキュリティ鍵は、ホーム■ ドメイン ·サーバ（1 04) から返ってくるメッセージによって運ばれる。符号 20 3で記されるネットワークへのチャレンジメッセージに対して予期される結果のフィールドは、次の通りである。このフィールドは、ァクセス ·ポイント（102) がホーム · ドメイン ·サーバ（1 04) から受け取るべき返答を含んでいる。相互接続の環境では、アクセス 'ポイント（1 0 2) は、おそらく多数のドメインと相互に接続して動作を行うことになる。その返答が正当なサーバから移動端末（1 0 1) へのものであることをァクセス .ポイント（102) が確認するためには、返答メッセージに含まれる通信結果とフィールド内の内容とを比較することが可能である。

続いて、符号 204で記されるホーム ' ドメイン情報フィールドが存在する。このフィールドは、移動端末（1 0 1) のホーム 'ネットワークを識別するための情報を含んでいる。そのような情報は、移動端末の AAAの情報を処理する適切な AAAのサーバにメッセージを送るために、アクセス ·ポイント（102)及び他の中間ノードによって使用される。ドメイン情報は、 user@domain.name の开$をしている DNS ドメインネームのフォーマット、又は、ネットワーク 'アクセス識別情報（NA I： Network Access Identifier) のフォーマットとすることが可能である。また、直接的に、メッセージが向かうサーバの I Pァドレスとすることも可能である。

さらに、このフィールドには、ユーザ識別情報の暗号化のために使用されるホーム ' ドメイン .サーバ（1 04) の公開鍵のインデックスが含まれている。ホーム ' ドメイン 'サーバ（1 04) ,、同時に数個の公開一暗号化鍵のペアを使用するかもしれないので、移動端末（1 0 1) は、現在のメッセ一ジを暗号化するために、どの鍵のペアが使用されるか示す必要がある。また、このインデックスは、実施要件に依存する数又は文字列とすることが可能である。ホーム ' ドメイン 'サーバ（104) は、例えば、それを、鍵のペアを検索するための実際の値に変換するために、任意のハッシュ関数を使用する。インデックス情報はドメイン情報のフィールドに埋め込まれている。例えば、 NA Iがドメイン情報を伝えるために使用される場合、ここでは実際のユーザ I Dが必要ではないので、鍵のインデックスを保持するために、 NA Iのユーザ部分を使用することが可能である。符号 205で記された MTフィールドの公開鍵メッセージ内に含まれている。これは、ホーム - ドメイン 'サーバ（104) 又はアクセス 'ポイント（102) 力他のェンティティから盗取されることなく、移動端末（101) に対して安全にメッセージを送るためのものである。

ここまで、上記のフィールド（201〜205) は、すべて盗取されることを防ぐために、アクセス 'ポイント（102) の公開鍵でのみ暗号化されるものであり、したがって、アクセス 'ポイント（102) によってァクセス可能なものである。アクセス 'ポイント（102) の公開鍵は、周期的なブロードキャストによって移動端末（101)に配信することが可能である。一方、ここ以降、下記のフィールド（206~209) はすべて、移動端末（101) によって、ホーム · ドメイン 'サーバ（104) の公開鍵で暗号化されるものであり、アクセス 'ポイント（102) 及び中間の任意のノードは利用不可能である。アクセス 'ポイント（102) 及び中間サーバ/ プロキシ（103) は、適切なサーバにメッセージを転送するために、ホーム - ドメイン Info (204) を使用することが可能である。

いったんサーバによって受け取られた場合、それは、メッセージを解読し、かつ必要な情報を得るためにホーム ' ドメイン Info (204) に含まれる鍵ィンデッタスによって示されたペアにおける秘密鍵を使用して、メッセージを復号し、必要な情報を取得する。この符号 206〜209に記されるメッセージの部分は、アクセス 'ポイント (102) がホーム ■ ドメイン 'サーバ (104) に送るメッセージ（図 1の記号 Msg2で記されるメッセージ）に直接コピーされるべきものである。

符吾 210で記されるセキュリティ ■フィールドは、情報の完全の保護の 3013103

17 ためにメッセージに含まれるものであり、実施時には、これを、例えば HM AC— MD 5方式を使用して計算されたメッセージの要約とすることが可能である。

図 1に示されるように、メッセージ Msg 1を受け取った後、アクセス -ポイント（ 1 02)は、必要な情報を抽出し、別のメッセージ Msg 2を形成し、可能な中間サーバ/プロキシ（1 03) を介して、ホーム ' ドメイン 'サ一バ (104) に、そのメッセージを送る。利用可能な WL AN技術の数が速く増加するにつれて、それらを相互に接続するために使用される技術（符号 1 07で記される）は多様となってきている。実例のためにここで使用される例は、 I ETFの I Pに基づいた技術が使用されることを前提としている。しかしながら、本発明は、いかなる基礎的な技術の使用に対しても意図されていることは、当業者にとっては明らかである。任意の修正 Z適応によって、

I Pとは異なるものに基づいた技術で使用することが可能であり、専有プロトコルの最上層でさえ使用可能となり得る。

図 3は、 Msg2のためのメッセージのフォーマットを示すものである。メッセージは符号 30 1で記される AP及び WL ANァドレス ■フィ一ルドから始まり、この情報は、返答メッセージの^/一ティングのために必要とされるものである。なお、この情報のフォーマットは限定されるものではなく、例えば、単純な方法として、アクセス 'ポイント（1 0 2) 力 I Pアドレスを持っている場合には、アクセス ' ポイント（1 0 2) の I Pアドレスを使用することが可能である。一方、 A P識別子及ぴ WL ANゲートウェイのアドレスが要求される。この直後に、符号 302で記される WL AN固有 I Dフィールドが存在する。このフィールドは、符号 20 1で記されるメッセージ ' フォーマツト 1内のものと同一である。

上記の情報はすべて、ネットワーク ■ノードが移動端末（1 0 1) を識別するためのものであり、したがって、帰路を確立するためのものである。 W LAN固有 I D (302) は一時的な I Dであり、 WL ANの状況においてのみ、意味を有するものなので、それは移動端末（101) の実際の識別子に関する情報を導くものではない。上記のように、これらのフィールドは、パスに沿ったすべてのノードによって、アクセス可能であるべきで、したがつて、特殊な技術で暗号化されるべきではない。接続が point-to-pointなの力 \ または逆方向へのルーティングが必要でないものの場合には、接続の端点まで共有されているセキュリティのメカニズムによって、この情報を保護することが可能である。

フィールド 303から 308力 204から 209で名付けられた Msg 1 のものから直接的に得られることは明白である。中間ノードが存在しない場合、フィーノレド 303のホーム ■ ドメイン Infoは、メッセージをホーム ' ドメイン .サーバ（104) にルーティングさせるために使用される。

符号 304で記される MT公開鍵フィールドは、移動端末（101) の公開鍵を伝送するため使用され、その結果、もし要求されれば返答メッセ一ジを保護することが可能となる。鍵の合法性を確認するために、例えば、鍵のフィンガープリントのようなチェックサムが、安全な方法で提供されるべきである。これは、ユーザ 'データ内にフィンガープリントを置くことによつて達成可能であり、ユーザと、加入者情報を保持しているサーバとの間のセキュリティのメカニズムによって保護される。

フィールド 305から 308は、ホーム ' ドメイン 'サーバ（104) によってのみ読み出し可能でなければならない。したがって、それらは、ホーム ' ドメイン 'サーバ（104) の公開鏈によって暗号化されて保護され、任意の中間のネットワーク 'エレメントによるアクセスは不可能である。符号 305で記されるホーム'ドメィン内固有のユーザ I Dフィールドが、 MT公開鍵フィールドに続くものであり、これは、ホーム 'ネットワークによってモパイルのユーザに割り当てられたユーザ I Dであり、ホーム ·ネッ 3013103

19 トワークの状況下でユーザをユニークに識別するために用いられるものである。ユーザが N A Iを userID@home.domain のフォーマツトで持っていれば、この識別子は、 @の前のユーザ I Dの部分に相当するものである。このホーム ' ドメイン内固有のユーザ I Dは普遍なものではなく、ホーム ' ドメインは、返答メッセージに埋め込むことによって、移動端末（101) に対して新しい識別子を割り当てることが可能である。

メッセージを受け取った後、ホーム ' ドメイン 'サーバ（104) は、ホーム . ドメイン Infoフィールド（ 303 ) をチェックし、移動端末（101) によってメッセ一ジの暗号化に使用された公開鍵のィンデックスを見つけ出す。その後、鍵のペアにおける対応する秘密鍵を用いてメッセージを復号し、ユーザ I D情報を取得する。ユーザ加入者情報が、サーバ、又はホーム ' ドメインの内部に格納されている場合には、それは、このユーザ I D情報をュ一ザのレコード .エントリにマッピングし、それによつて、メッセージを置き換えたものを復号し、さらなる処理を行う方法を有するべきである。

また、これらがすべて別の中央サーバによって管理されるか、ホーム ' ドメインが、どこかの外部サーバに AAAのプロセスを外部委託した場合には、ホーム ' ドメイン .サーバ（104) は、ユーザ I Dを付して、そのサーバにメッセージの残り部分の転送を行う。メッセージの残り部分のフィールドは、ユーザ加入者情報（すなわち、不変の識別子）に関連したセキュリティのメカェズムによって暗号化される。したがって、ユーザ加入者情報を有するエンティティによって、情報のこの部分のみが検索されることも可能である。

1番目のフィーノレドは、符号 306で記されるネットワークへのチヤレンジメッセージのフィールドである。これは、移動端末（101) によってランダムに生成された情報であり、移動端末（101) 返答メッセージの起源の権限を確認するために利用するものである。例えば、中央サーバ（1 0 5) などのネットワーク側は、このチャレンジメッセージに基づいた移動端末（1 0 1) への返答を作るため、ユーザ加入者情報に由来した鍵を使用するべきであり、チヤレンジメッセージへの返答は返答メッセージに埋め込まれるべきである。また、ネットワーク側は、返答を送るための正当なソースであることを証明するために、アクセス 'ポイント（1 02) への返答を生成するべきである。移動端末（1 0 1) 及びアクセス 'ポイント（1 02) への返答は、実施の要件に応じて、同一又は異なるものになり得る。

ネットワークへのチャレンジメッセージのフィーノレド（ 306)の後には、符号 30 7で記される不変ユーザ I Dフィールドが存在する。このブイールドは、永久かつ広くユーザを識別するための情報を含み、それは、ユーザの全加入期間を通じて一定である。この情報を使用した場合には、ユーザを追跡することが可能となり、データ 'ベースから加入者情報を検索することが可能となる。このフィールドは、加入者情報がホーム ' ドメイン'サーバ（ 1 04) に格納されていない場合のために含まれるものである。また、ホーム · ドメイン内固有の I Dからマッピングされた識別情報と、この I Dとを比較することによって、サーバが、移動端末（1 0 1) の権限を確認するためにそれを使用することが可能である。

I Dフィールドに続いて、符号 308で記されるユーザ ·データ 'フィ一ルドが存在する。このフィールドは、 AAAのセッションのため、移動端末 (1 0 1) からのデータを含むものである。実際に実施する場合には、加入者情報に由来したユーザのセキュリティのメカニズムを使用する任意のメカニズムによって、このフィールドを保護することも可能であり、また、情報の完全性を保護するための情報を含ませることも可能である。

メッセージの最後には、符号 309で記されるセキュリティ 'フィールドが存在する。このフィールドは、メッセージ全体の完全性を保護するための情報を含むものであり、実際に含まれる内容は、配置の要求に依存する。ホーム . ドメイン .サーバ（104) 及ぴ中央サーバ（105) が併置される場合には、ホーム ■ ドメイン 'サーバ（104) は、中央サーバ（10 5) と同様のすべての処理を行うことが可能であり、アクセス 'ポイント（1 02) に対して直接メッセージを返答することが可能である。また、それらが統合されない場合には（すなわち、実際のユーザ情報がホーム · ドメイン - サーバ（104) にない場合）、サーバはメッセージ Msg3を使用して、図 1に示されるように、中央サーバ（105) にメッセージを転送する必要がめ。

図 4では、 Msg 3の実施例が示されている。

メッセージは、符号 401で記されるホーム · ドメイン Infoフィーノレドから始まる。これは、中央サーバ（105) がホーム ' ドメイン 'サーバ（1 04) を識別するための情報を含むものである。なお、これは、中央サーバ (105) 及びホーム · ドメイン 'サーバ (104) が同じドメイン内に存在しないことを前提とする。このフィールドに続いて、符号 402で記されるネットワークへのチャレンジメッセージのフィーノレド、符号 403で記されるホーム · ドメイン内固有のユーザ I Dフィールド、符号 404で記される不変ユーザ I Dフィールド、符号 405で記されるユーザ■データ · フィールドが存在する。

ネットワークへのチャレンジメッセージのフィーノレド (402) 及びホーム'ドメイン内固有のユーザ I Dフィーノレド（403) は、 Msg2から復号された情報を含むものである。

また、不変ユーザ I Dフィールド（404) 及びユーザ ·データ ' フィ一ルド（405) は、 Msg 2の対応するフィールドから直接コピーされるものであり、これらの 2つのフィールドは、移動端末（101) によって、加入者情報に由来したセキュリティ鍵で暗号化される。

メッセージの最後には、符号 406で記されるセキュリティ ' フィールドが存在する。これは、ホーム ' ドメイン 'サーバ（1 04) 及び中央サーバ (405) で共有するセキュリティのメカニズムを使用して、メッセージの完全を保護するためのものである。メッセージを受け取った後、中央サーバ (105) は、暗号化されたフィールドを復号し、情報を検索して適切な処理を行なう必要がある。

また、図 5には、返答メッセージ（Msg4) の実施例が示されている。メッセージは、符号 50 1で記されるホーム · ドメイン Infoフィーノレドから始まる。これは、これらの 2つのサーバが直接接続されない場合にホーム · ドメイン .サーバ（1 04) を識別するための情報を含むものである。符号 502で記されるホーム ' ドメイン内固有のユーザ I Dフィールドは、ホーム - ドメイン 'サーバ（1 04) が移動端末（1 0 1) を識別するための情報を含ませるために使用されるものであり、これによつて、ホーム ' ドメイン .サーバ（1 04) は、どこに返答メッセージを転送しなければならないかを知ることができる。

また、中央サーバ（105) は、さらに 2つのセキュリティが関連付けられた返答を関連づけたと準備しなければならない。 1番目は、符号 50 3で記される AP応答鍵が存在する。この鍵は、アクセス 'ポイント（1 02) が A Pのチヤレンジメッセージへの返答を生成するために、アクセス 'ポィント（1 0 2) に配信されるものであり、モパイルのユーザの加入者情報に由来し、したがって、移動端末でも取得可能なものである。また、これとは別に、符号 5 04で記される A Pのネットワークへのチャレンジメッセージ - レスポンスが存在する。これも、アクセス 'ポイント（102) に配信されるものである。

また、アクセス 'ポイント (102) は、ネッ 1、ワークへのチヤレンジメッセージに対して予想される結果（20 3) とそれとを比較して、また返答のソースの権限を確認する。これらの²つのフィールドは、 2つのサーバによって共有されるセキュリティのメカニズムによってのみ保護される。

これらの 2つのフィールドに続いて、符号 505で記される MTのネットワークへのチャレンジメッセージ · レスポンスが存在する。これは、サーバが移動端末（1 0 1) に対して、それ自体を確証するためのものであり、移動端末（10 1) に配信されるべきものである。

次に、符号 506で記される不変ユーザ I Dフィールドが存在する。これは、移動端末（1 0 1) 力メッセージが自端末のためのものであるか否かをチェックするためのものである。

次のフィールドは、符号 507で記されるユーザ'データである。これは、サーバからの AAAに関連する返答を含むものであり、実際の内容は、 AA Aのセッションで実行された動作に依存する。例えば、それは、ユーザ I D がモパイルのユーザに割り当てられた新しいホーム ■ ドメイン内固有のユーザ I Dを含むものである。上記の 3つのフィ一/レド 50 5、 506及び 50 7は、加入者情報に由来した中央サーバ（1 05) と移動端末（1 0 1) との間のセキュリティのメカニズムに基づいて暗号化され、それらは、移動端末（10 1) によってのみアクセス可能である。

メッセージ中の最後のフィールドは、符号 5 0 8で記されるセキュリティ -フィールドである。このフィールドは、ホーム ■ ドメインサーバ ( 1 0 4) と中央サーバ（1 0 5) の間で共有されるセキュリティのメカニズムを利用して、メッセージ全体の完全性を保護するための情報を含んでいる。中央サーバ（ 1 05) からメッセージを受け取った後、ホーム · ドメイン ' サーバ（1 04) は、必要な情報を抽出し、適宜処理を行う。そして、新しいメッセージが形成され、図 1の Msg5で記される実施の要求に従って、同一ルート又は異なるパスを通ってアクセス 'ポイント（1 02) に転送される。ホーム - ドメイン 'サーバ（1 04) で行われる処理は、 WL AN固有 I D及び WL ANァドレスにユーザ I Dをマツビングすることを含むものである。マッピングされたこれらの情報は単に、アクセス ·ポイント (1 02) からの対応するメッセージ内に含まれていた情報である。

図 6では、 Msg5のメッセージ · フォーマツトの実施例が示されている。このメッセージは、符号 60 1で記される A P及び WL ANァドレス - フィールドから始まる。このフィールドは、モパイルのユーザが提携した WL ANのアクセス'ポィント（ 102)の識別をするための情報を含んでいる。アドレス情報は、図 3で示される Msg2において利用可能である。ホーム-' ドメイン 'サーバ（1 04) は、ユーザ I Dによってソートされたアドレスのテーブルを保持することが可能である。サーバがそのユーザ I Dのための新しいメッセージを受け取った場合にテーブルは更新されて、対応する返答メッセージの形成する場合に使用される。メッセージの上記の部分は、正確なターミナルにそれをルーティングするために必要なものであり、したがつて、暗号化されてはならない。

このフィールドに、符号 602で記される W LAN固有ローカル I Dフィ一ルドが続く。それは、このメッセージが関係する移動端末を、アクセス ' ポイント（1 02) が識別するための情報を含んでいる。この I Dは Msg2 においても取得可能であり、 A P及び WL ANアドレス（601) のためのものと同一の方法を用いて検索が行われることも可能である。

メッセージ中の次のフィーノレドは、符号 603で記される APレスポンス鍵フィールドである。これは、アクセス 'ポイント（1 02) が移動端末（1 0 1) のチャレンジメッセージに対するレスポンスを生成するための情報を含んでおり、その内容は、 Msg4の中の符号 503で記される同一のフィールドから直接コピーされる。

それに続いて、符号 604で記される A Pのネットワークへのチャレンジメッセージ ' レスポンスのフィールドが存在する。こフィールドは、中央サーバ（10 5) によって計算されたレスポンスを含むものであり、ァクセス -ポイント（102) が中央サーバ（105) の合法性を確認するためのものである。また、アクセス ' ポイント（102) への AAA処理の成功/ 失敗ステータスを示すため、それをホーム · ドメイン 'サーバ（1 04) によって利用されるようにすることも可能であり、また、 Msg4の中の符号 5 04で記されるフィールドから直接コピーされることも可能である。また、上記のフィールドは、指定されたアクセス 'ポイント（102) によってのみ、アクセスされるものであり、したがって、ホーム · ドメイン'サーバ ( 1 04) とアクセス 'ポイント（102) との間で共有されるセキュリティのメカニズムによって、例えば、 A P公開鍵による保護が行われるべきである。そのメッセージ内の次には、符号 605で記される新しいホーム · ドメイン ·サーバ公開鍵フィールドが存在する。このフィールドは付加的なものであり、ホーム . ドメイン .サーバ（104) がその公開鍵を変更する必要がある場合にのみ使用される。含有される情報は、新たな公開鍵とその鍵のィンデッタスを有するものである。

このフィールド及ぴそれに続くフィールド 606-608は、移動端末（1 0 1) によってのみアクセス可能なものであり、したがって、メッセージ Msg2内のホーム · ドメイン .サーバ（104) に送られる移動端末（10 1) の公開鍵によって保護されるべきものである。

新しい鍵の合法性を確認するために、例えば、鍵のフィンガープリントのようなチェックサムもまた、安全な方法で提供されるべきである。これは、加入者情報を保持しているユーザとサーバとの間のセキュリティのメカェズムによって保護されるユーザ 'データ ' フィールドに、その情報を置くことによって達成することが可能である。個別の中央サーバの場合には、ホーム' ドメイン 'サーバ（104) は、中央サーバ（105) に対して送るメッセージ Msg3にフィンガープリントを付加し、 Vターン · メッセージのユーザ■データ . フィールドにそれを含めてくれるように中央サーバ（105) _n—

PCT/JP2003/013103

26 に依頼することが可能である。なお、実際のキーの代わりに鍵生成の素材を運ぶためにフィールドが使用可能であることは、当業者にとって明白である。実際の鍵は、古い鍵又は加入者情報に由来して MT側で取得されるものであり、これによつて、よりよい保護を提供することが可能となる。

続いて、符号 606で記される MTのネットワークへのチャレンジメッセージ . レスポンス . フィールドが存在する。このフィールドは移動端末（1 01) との同一性を確認するために中央サーバ（105) によって生成されたチヤレンジメッセージ · レスポンスを含むものである。

次に、符号 607で記される不変ユーザ I Dフィールド及び符号 608で記されるユーザ■データ · フィールドが存在する。これらのフィールドはすベて中央サーバ（105) によって生成され、 Msg 4内の符号 505力、ら 5 07で記される対応フィールドから直接コピーされる。それらは中央サーバ (105) と移動端末（101) の間のセキュリティのメカニズムによって保護され、ユーザの加入者情報に由来するものである。

メッセージの最後のフィーノレド (609) はセキユリティ · フィールドであり、このフィールドは、ホーム ■ ドメイン 'サーバ (104) 及びァクセス -ポイント（105) によって共有されるセキュリティのメカニズムを使用して、メッセージ全体の完全性'を保護する情報を伝えるために使用される - ものである。

メッセージを受け取った後、アクセス 'ポイント (102) は、 602、 603のような必要なフィールドを抽出し処理を行う。そして、新しいメッセージが生成されて、メッセージ Msg5内のフィールドを置き換えたものを運ぶ移動端末（101) に転送される。

図 7では、 Msg6のための新しいメッセージ 'フォーマツトの実施例であるが示されている。

メッセージは、符号 701で記される WL AN固有ローカル I Dから始まる。これは、移動端末（1 04) 1 メッセージがそれに送られるかどうかをチェックするためのものであり、このフィールドは、暗号化される必要はない。また、このフィールドの実際の内容は、使用される技術に依存し、例えば、 I EEE 80 2.i lネットワークでは、これは端末の 48ビットのィ一サネット ·ァドレスとすることが可能であり、 H i p e r LAN/ 2ネットワーク中では、アクセス 'ポイント (1 0 2) によって割り当てられた端末の MAC I Dとすることが可能である。

続.いて、符号 70 2で記される A Pのチャレンジメッセージ'レスポンス ■ フィールドが存在する。これは、 Msg5内の中央サーバ（1 05) から送られた符号 60 3で記される鍵を使用して、アクセス 'ポイント（1 0 2) によって計算されるチャレンジメッセージを含んでおり、移動端末（1 0 1) は、アクセス ' ポイント（1 0 2) の合法性を確認するため、このチヤレンジメッセージを使用する。このフィールドと以降のフィールド 70 3〜 70 5は意図された受信装置によってのみ、アクセスされるべきであり、したがつて、移動端末（1 01) の公開鍵によって暗号化されるべきである。

メッセージ中の次のフィールドは、符号 703で記される MTのネットヮークへのチャレンジメッセージ ' レスポンスである。このフィーノレドは、端末と共有されるセキュリティのメカニズムを使用して、中央サーバ（10 5) によって生成されたレスポンスを含んでおり、移動端末（1 01) に対してネットワークを認証するために使用されるものである。

続いて、符号 704で記される不変ユーザ I Dフィールドが存在する。この情報は、さらにメッセージが移動端末（1 0 1) に送られることを、移動端末（1 0 1) 自体が確認するために使用される。

符号 70 5で記されたユーザ 'データ ■フィールドは、中央サーバ（1 0 5) によって返答された AAAに関連する情報を含むものであり、 AAAの処理.のために用いられる。上記のフィールドは中央サーバ（10 5) によつて生成され、移動端末（1 0 1 ) 及び中央サーバ（1 0 5 ) によって共有されるセキュリティのメカニズムによって暗号化され、保護されなければならなレ、。

メッセージ中の最後のフィールドは、符号 7 0 6で記されるセキュリティ 'フィールドである。このフィールドは、メッセージ全体の完全性の保護をするために必要な情報を含んでいる。

図 8は、以上説明した M T— A P—ホーム ' ドメイン 'サーバ一中央サーバ間のメッセージの流れ及び各メッセージ間の構成の対応をわかりやすくまとめた図である。また、図 9は、図 8の逆のメッセージの流れ及び各メッセージ間の構成の対応をわかりやすくまとめた図である。以上の説明では、本発明を使用する移動端末（1 0 1 ) と A AAのサーバとの間の単純なメッセージ交換の例が与えられている。

このように、本実施の形態によれば、いくつかのネットワーク 'エレメント（中継局）を介して通信相手とメッセージを交換する際に、メッセージを構成する各フィールドを、各フィールドを必要とする各ネットワーク ' エレメントの公開鍵でそれぞれ暗号化する。すなわち、各ネットワーク · ェレメントとの間で有効なセキュリティのメカニズム（暗号化方式）をそれぞれ用いて、メッセージを構成する各フィールドを別個に暗号化する。

具体的には、移動端末がサーバにメッセージを送信する際は、このメッセージのうち、モパイル■ユーザの識別情報を含む部分はサーバの公開鍵を使用して暗号化し、残りの部分は通信経路上のネットワーク 'エレメントの公開鍵を使用して暗号化する。または、このメッセージのうち、モパイル 'ュ一ザの識別情報を含む部分をモパイル■ユーザの加入者情報に由来した鍵で暗号化し、この暗号化されたメッセージをサーバの公開鍵を使用してさらに暗号化し、階層的な暗号化を実現する。

すなわち、本発明は、対称及び非対称の暗号化方式の組み合わせを使用することによって、無許可のエンティティにどのようなユーザの識別情報も漏らすことなく、 WL AN相互接続における AAAの処理を安全に行なうことのできる解決策を与える。また、それは、仲裁者の攻撃を防ぐことにおいて有用である。なお、メッセージ 'シーケンスの異なる組み合わせを備えたより複雑な適用によって本発明を使用することが可能なことは、当業者にとつては明らかである。

本発明の実装時には、本発明は、仲裁者の攻撃を防ぐことにおいて特に有用である。例えば、偽造されたアクセス ·ポイントが、移動端末（1 0 1 ) と実際のアクセス .ポイント（1 0 2) との間に存在する場合、それは、 A Pへのチャレンジメッセージ（2 0 2) とネットワークへのチヤレンジメッセージに対して予想される結果に関する情報のみを取得することが可能である。この偽りのアクセス · ポイント (偽造されたアクセス · ポイント) は、移動端末（1 0 1 ) の実際のホーム · ドメイン 'サーバ（1 04) からの鍵を必要とするが、鍵はアクセス 'ポイント（1 0 2) から転送されることはないので、この偽りのアクセス ·ポィント (偽造されたアクセス ·ポィント）は、 APへのチャレンジメッセージ（2 0 2) への正しい返答を得ることができない。したがって、偽造されたアクセス ·ポイントは、移動端末（1 0 1) に対して、実際のアクセス 'ポイント（1 0 2) であるふりをすることは不可能である。

さらに、本発明は、アクセス 'ポイント ( 1 0 2) とホーム■ ドメイン - サーバ（1 0 4) の間のリンクに、悪意あるエンティティの破壌が存在する状況でも有用である。この場合、メッセージのうちの重要な部分がホーム - ドメイン 'サーバ（1 04) の公開鍵によって暗号化されるので、この外部のエンティティは、アクセス ·ポイント（1 0 2) から送られるメッセージ内の有用な情報を取得することができない。また、ホーム ' ドメイン 'サー Λ ( 1 04) から送り返されたメッセージは、 A Pの公開鍵で暗号化されているので、そのエンティティは、そこから有用な情報を取得することも不可能である。

図 10は、本発明の WL AN相互接続のシナリオの変形例を示すものである。

このシナリオでは、ユーザ証明及び加入者情報は、符号 1 0 l aで記される仮想 MTに格納される。仮想 MT (1 01 a) は、 WL ANのいかなる場所に置くことも可能であり、例えば、アクセス ·ポイントと併置することも可能である。相互接続シーケンスは、仮想 MT (1 0 1 a) から始まる。メッセージ ·シーケンス及びフォーマツトは、上述と同一のものを必要としているが、ここでの唯一の違いは、仮想 MT (1 0 1 a) がエア ' インターフェイス (106) を介してアクセス■ポイントに接続されることはないとレ、うことである。

符号 1 02 aによって記されるアクセス ■サーバは、 WLANから相互接続したネットワークまでの接続をコントロールするエンティティである。仮想 MT (10 1 a) は、例えば、有線、赤外線、ブルートゥースなどを始めとするいかなるインターフェイスの使用によって、アクセス 'サーバ（1 0 2 a) に接続することが可能である。さらに、仮想 MT (1 01 a) とァクセス 'サーバ（1 02 a) とを併置することが可能である。この状況では、 Msg 1及び Msg 6は内部で使用され、上で定義するほど正確なフォーマツトを必要とはしない。また、他のメッセージ'シーケンス及びフォーマツトは、影響されず同じままである。

この仮想 MT (10 1 a) が加入しているホーム · ドメインからアクセスのサービスを取得するのに成功した場合、それに関連した符号 1 00 1によつて記される任意の WLAN装置もサービスの利用が許可される。 WLAN 装置（1 001) と仮想 MT (1 01 a) の間のセキュリティのメカニズムの設定は独占的であり、セキュリティ ■ レベルは WLANによって決定されることになっている。

このシナリオの現実世界での例は、ユーザ■ホストが家での WLANのァクセス .ポイントである場合であり、ユーザが公衆網（例えば 3 Gネットヮーク）に対して加入しており、アクセス 'ポイントに認証されて、家に存在するすべての装置が、いったん認証された 3 Gサービスにアクセスすることができるよう望む場合である。これは、アクセス 'ポイントと仮想 MT ( 1 0 1 a)とを併置させることにより上記の本発明を使用して実施可能である。仮想 MT (101 a) はユーザの信用及び加入者情報 (例えばユーザの U I CC) にアクセスし、相互接続処理を続け、その後、 WLAN装置（1 00 1) 力ユーザによって望まれたどんな方法（例えば単純なパスワード保護）をも使用する APと連携を図り、例えば、 I MSサービスへのアクセスなどの 3 Gサービスを利用することが可能となる。

相互に動作しているネットワークに多数の APが存在する状況（仮想 MT (1 01 a) が APコントローラ、又は、相互接続するネットワークへの W LANのアクセス 'サーバ（1 02 a) と併置されている状況）に応じて、本発明を調整できることは、当業者にとっては明白である。また、この方式力有線の装置に当てはまることも明らかであり、すなわち、エア 'インタ一フェイスの代わりにワイヤー又はその他のィンターフェイスを介して A P に連結された装置が、さらに 3 Gサービスを享受することができる。仮想端末が WLANの中に複数存在する場合には、それらの各々が、相互接続処理を独立して行うべきである。 1つの仮想端末が複数のユーザの情報にァクセスすることができる場合（例えば、複合 U I CCカードを同時に受ける場合）、各ユーザに対する相互接続処理は独立して行なわれるべきである。仮想端末は、例えば、パスワード保護やセキュリティ · トークンなどの独占的な手段を用いて、 WLAN装置（1 00 1) のユーザ加入サービスへのアクセスを制御することが可能である。 (実施の形態 2)

相互接続では、時折、 WLANがユーザ加入者情報に基づく決定（例えば、承認コントロール）を行う必要がある。この情報は、ユーザのホーム■ ドメインに格納され、一般に共有されることは許されないので、 WLANは決定を下すためにホーム · ドメイン 'サーバ（1 04) に依存しなければならない。し力し、ホーム ' ドメインが、相互接続する異なる WLANで使用される技術に関して、必ずしも詳細な知識を持つとは限らないので、ホーム - ドメイン 'サーバ（104) は、 WLAN内のリソース管理エンティティに対して正確な指示を与えることは不可能である。さらに、いくつかの適用（例えば、承認コントロール）では、ローカル 'ネットワーク情報を必要とし、ホーム · ドメィンにおける決定を妨げられる。

図 1 1は、その問題を解決する本発明の実施例を示すものである。構成上、符号 80 1で記される移動端末が、 WLAN機能によってネットワークに接続される。 WLAN機能は、符号 80 2で記されるルール■ エンジン及び符号 803で記されるルール■ィンタープリタを含んでいる。

ルール ·エンジン (80 2) は、ルーノレ■ィンタープリタ (803) からのコマンドを実行するものであり、それによつて、移動端末（80 1) のァクセス可能性がコントローノレされ、ロー力ノレ ·ネットワーク ■ リソースが管理される。図 1 1に示されるように、このエンジンは、 WLAN内のァクセス .ポイントと併置することが可能であるが、これは必須なことではなく、実際の実施では、それがアクセス 'ポイントとの通信チャンネルを有する個別のエンティティであり得る。ルール 'エンジン（802) は、さらに、移動端末（8 0 1) へのシグナリングに対するチャンネルを有している。

ノレ一ノレ . インタープリタ（803) は、モバイノレのユーザのホーム ' ドメインから規則（ルール）を受け取り、 WLANのローカルの文脈で、それらの規則を解釈するエンティティであり、さらに、モパイルのユーザのステー 2003/013103

33 タスに関連する情報をそのホーム · ドメインに報告する責任を持っている。ルール .インタープリタ（8 0 3) は、 WLANの外部に存在する符号 8 04で記されるルール■サーバから規則を受け取る。なお、ルール■サーバ (804) の配置に関する要請はなく、相互接続サービスを利用するモバイルのユーザに関する規則を提供することが要請されている。

ルール .サーバ（804) は、 WL ANと相互接続する多数のネットヮークに対して動作することも可能である。さらに、ルール 'サーバ（804) は、 WL ANのルール 'インタープリタ（80 3) に接続し、実際のサーバからの情報を検索するためにバック 'エンド 'チャンネル（符号 80 5で記されるバック 'エンド処理）を使用するプロキシでもあり得る。

図 1 2には、実施例における典型的な動作が示されている。

符号 S T 900 1で記されるように、モパイルのユーザは、 WLAN内の移動端末（80 1) を介して、任意のサービスを要求する。そして、符号 S T 9002で記されるように、ローカル · リソースをコントロールする WL AN内ルール .エンジン（80 2) は、得られる対応動作に関する質問をルール .インタープリタ（80 3) に対して行う。符号 ST 9003に記されるように、ルール 'インタープリタ（803) は、ローカル 'キャッシュ内で、動作に適用可能な有効な規則が存在するか否かをチェックする。そして、存在する場合には、規則及び現在の WLANにおけるネットワーク ·ステータスに基づく決定を行い、さらに、要求されれば、対応するステータスのフイードパックを行う。このロー力ノレ 'キャッシュは、インタープリタの物理メモリ、又は、外部の不揮発性の格納装置で実施され得る。

キャッシュに格納されている情報は、前段階処理でのルール 'サーバ（8 04) から受け取った、その有効期間を示す時間範囲を備えた規則を含むものである。また、任意のインデックス化する情報も、規則の識別及び検索のために含まれるべきである。規則の有効性が終了した場合、それは無効なものとして印が付けられ、早い段階で削除されるべきである。ルール 'サーバ (804) からの新しい規則は、キャッシュ内のルールを無効にすることも可能である。規則の適切な検索のため、ルールの適用可能な範囲を定義する任意の情報も一緒に蓄えられる。これは、例えばこの規則を使用しているべきモパイルのユーザのドメイン情報とすることが可能である。実施要件に依存して、より多くの情報が格納可能であることは、当業者にとって明白である。ルール .サーバ（804) が接続している各々の WLANの基本的な技術を取得できる可能性は低いので、規則は非常に総括的なフォーマツトである。

したがって、ノレール -インタープリタ（803) は、ローカル 'ネットヮーク ·ステータスに関する規則から、適切なパラメータで WLAN固有の決定を行う必要がある。例えば、規則を「3Mb p _Sの帯域を許可；時間制限 10分間」とすることが可能である。 WLANが H i p e r LAN/2を使用している場合、ルール 'インタープリタ（803) は、これを「m個の M ACフレーム毎にアツプリンク及ぴダウンリンク用の端末に L CHの番号 n を割り付ける」や「 g個の MACフレームの後、 A Pから接続取り消しコマンドを送る」という決定に翻訳することができる。なお、 11、 m、 gは、 H i p e r LANZ 2仕様の情報から計算される。なお、上記のものが単なる例に過ぎないことは、当業者にとって明白であり、規則は、動作に依存してルール 'サーバ（804) とルールインタープリタ（803) の間で同意された任意の総括的なフォーマツトにすることが可能である。他の WLAN技術が使用される場合、ルール 'インタープリタ（80 3) は例えば、 I EE E 802. 1 1技術と同一の方法で動作すべきである。

また、ルール 'インタープリタ（80 3) のローカル■キャッシュで利用可能なルールが存在しない場合には、符号 S T 900 5で記されるように、ルール .インタープリタ（803は、ルール 'サーバ（804) に対して要求を送る。ルール■サーバ（804) がルール■ィンタープリタ（80 3) に接続した複数のルール ·サーバが存在するか、ルール 'サーバ（8 04) がプロキシである場合、ルール 'インタープリタ（80 3) は、どのサーバを使用するべきであるか決定するためにモパイルのユーザのドメイン情報を使用する必要がある。ルールサーバ（804) からの返答がないか、リクェストに関する規則がルール■サーバ（804) で利用可能でない場合、ルール -インタープリタ（80 3) は、利用するサーバを決定するために、モバィルのユーザのドメイン情報を決定する必要がある。

また、もし、ルール 'サーバ 804からの返答がないか、要求に関する規則が全く存在しない場合には、ルール 'インタープリタ（803) は、動作に関する決定を行うためのあらかじめ定められたデフォルトの任意の規則のセットを利用することが可能である。

また、例えば、ルール 'サーバ（804) から利用可能なユーザのァクセス範囲に関する情報が得られない場合には、ルール ' インタープリタ（80 3) は、それにローカルのイントラネットのみをアクセス可能とする力 \ 又は、ユーザの WL ANへのホーム 'ネットワークの信頼レベルに依存して、インターネット*リソースのアクセスを決定させることができる。このデフォルトの規則は、ノレ一 · インタープリタ（80 3) のローカル ' キャッシュに格納可能であり、また、ルール ·ィンタープリタ (80 3) によってァクセス可能な任意の外部記憶装置に格納可能である。なお、異なる動作の異なる規則が存在し得ることは、当業者にとって明白である。

ルール .サーバ（804) がルール · ィンタープリタ (803) から質問を受け取った場合、符号 S Τ 9006で記されるように、それは、対応する規則を求めてそのルール ·データベースを検索する。そして、ルール■サーバ（804) が規則を得た場合、符号 S Τ 9007で記されるように、ルール ·サーバ（804) は、ルール■ィンタープリタ（8 03) にその規則を送り、ルール■サーバ（804) から規則を受け取った後、ルール ' インタープリタ（803) は、新しい規則でそのローカル ·キャッシュを更新し、符号 ST 9008で記されるように、新しい規則を WL AN固有のコマンドに翻訳する。

規則を転送するためのフォーマットは、ルール 'サーバ（804) とルール .インタープリタ（803) との間で合意される必要がある。ルール -サーバ（804) からノレ一ノレ 'インタープリタ（803) にノレ一ノレのフォーマットの定義を送ることによって、これをダイナミックに行うことが可能となる。この定義で、ルール 'インタープリタ（803) がメッセージから必要な規則に関する情報を抽出することが可能となる。これを達成するために、ルール .インタープリタ（803) は、規則を定義するために使用される可能性がある 1セットの動作を支援する必要がある。

Riue—interpretation— op erations '■'■={

ADD;

SUB;

MUL;

DIV;

AND;

OR;

EQUAL;

CONDITION;

NEGOTIATE;

ACCEPT;

REJECT;

STOP;

RELOAD; }

上記のデータ構造 1はルール 'インタープリタ（803) に支援された動作の例であり、規則の定義を支援するのに必要な動作リストの例は、データ構造 1で与えられる。このうち、 ADD、 MUL、 SUB, DIVは、数学の文脈における加算、減算、乗算、除算の動作に対応している。また、 A D、 OR、 EQUALは、すべての計算言語で広く用いられている論理的な動作であり、例えば Cプログラミング言語の "& &"、 ""| |"、 "=" と同じ動作である。 CONDITIONは、規則がその使用範囲を抑制する条件を持っていることを意味し、 NEGOTIATEは、実際の決定を下す前に交渉が必要なことを意味する。また、 ACCEPTは、動作の要請を受け入れることを意味し、 REJECTは、動作の要請を拒絶することを意味する。また、 STOPは現在の動作を中断するためのもの、 RELOAD はルール 'サーバ (804) が定義を更新して再度展開するようルール 'インタープリタ（803) に指示することを意味するためのものである。なお、実際の実施でルール■インタープリタ（803) に支援されるより多くの動作があり得ることは、当業者にとって明白である。規則を形成するために、ルール 'インタープリタ（803) はさらに 1セットの基本的な属性のセットを理解することができる必要がある。これは動作及びネットワークに依存するものである。また、異なるネットワークで相互に接続するため、 WL ANのルール 'インタープリタ（803) は、そのネットワークの中で使用される情報を理解する必要があるに過ぎない。例えば、 3 Gネットワークで相互接続する場合、ルール .インタープリタ（80 3) は、ある基本的な 3 Gに関連する属性を知る必要がある。また、別の方法は、ルール'インタープリタ（803) 及びルール'サーバ（804) に、相互接続するネットワークであり得るすべての情報を作ることを可能とする 1セットの属性に関して合意させることである。

Rule_mterpretation_QoS_attrib tes"={ 3 013103

38

MaxBan dwi dth；

MinB an dwi dth;

AverageBand idth;

MaxDelay;

MaxJitter;

MaxPktSize

Burst;

Filter;

Meter;

Marker;

Dropper;

StartTime;

StopTime;

}

上記のデータ構造 2は、 Q o Sの規則を翻訳するための属性リストの例であり、 QoSに関連する動作のために支援される必要のある属性リストの例は、データ構造 2 で与えられる。 MaxBandwidth、 MinBandwidth、 AverageBandwidthは、帯域幅に関連する情報の属性である。 MaxDelay及ぴ MaxJitterは、規則に関して遅延に関連する情報を与え、 MaxPktSizeは、支援されるために最大のパケット 'サイズに関する情報を与える。また、 Burst は、バーストネスが許可されることを示すものである。また、 Filter は、ソース ' アドレス（始点アドレス）、デスティネーション ' アドレス（終点アドレス）、ソース 'ポート（始点ポート）、デスティネーション 'ポート (終点ポート）、 T O Sフィールドなどのフィールドを含むコンパゥンドの属性である。それは、他のストリームから規則を適用するため、ストリームの識別を行うために使用される。なお、フィルタを使用して、規則が 1つの端末又は 1グループのユーザに適用されることが明示されることは、当業者にとって明白である。

Meter, Marker, Dropperは、 DiffServ (非特許文献 1 2 ) に特有のコンノ、。ゥンドのフィールドである。 Start ne、 Stop imeは、任意の動作のスタート及びストップ時間を示すものである。実際の実施では、相互に接続するネットワークで使用される技術に依存して、ルール 'インタープリタ（8 0 3 ) に支援される属性がより多く存在することは、当業者にとって明白である。ルール · インタープリタ ( 8 0 3 ) に支援される上記の属性及び動作を使用して、ルール 'サーバ（8 0 4 ) は、転送のための規則のフォーマットを定義することが可能となる。例えば、サーバは、以下のようなフォーマツトを定義する必要がある。

Example_QoS_format::={Operation 、 AVERAGEBAND WIDTH 、 BANDWIDTH_VAR (TIME— PERIOD})

それは、フォーマツトを以下のように定義することが可能である。

Exampie_QoS_format_defmition： :={

OPERATION: :=OPERATION;

AVERAGEBAND WIDTH::=AverageBandwidth;

BANDWIDTH_VAR::=MaxBandwidth SUB MinBandwidt ;

TIME— PERIOD ::=StartTime SUB StopTime;

}

したがって、 QoSに関する規則は以下のように送られる。

Example_QoS_rule::=[ALLOW;iOMBps, 100Kbps, 5hour}

規則を作る属性及び動作のより複雑な組み合わせが存在することは、当業者にとって明白である。

Rule— interpretation一 mobility— attributes::=i

OriginalAddress; CurrentAddress;

HomeAgentAddress;

LocalAgentAddress;

NextAgentAddress

Tunnel Address;

Loc alAcce s sAddre s s；

Start ime;

StopTime;

Filter;

}

上記のデータ構造 3はモビリティの規則を翻訳するための属性リストの例である。モビリティを支援するためにルール 'インタープリタ（8 0 3 ) によって支癀される必要のある属性の集合の一例は、データ構造 3で与えられる。 OriginalAddressは、例えばモパイル I P (非特許文献 1 3 ) の文脈における移動端末（8 0 1 ) のホーム ·ァドレスである。また、 CurrentAddress はモバイル I Pの文脈における気付ァドレスである。 HomeAgentAddress 及び LocalAgentAddressは、モパイル I Pの文脈におけるホーム 'エージェントのァドレス及びフォーリン ■ エージェントのァドレスである。 NextAgentAddressは、移動端末（8 0 1 ) が入ることを予測される次のドメインのエージェントであり得る。 unnelAddressは、トンネリングによつて導かれる必要がある場合のトラフィックで、トンネリングを行うためのァドレスである。 LocalAccessAddressは、ロー力ノレ A A Aのサービスを行うためのアドレスである。 StartTime及び StopTimeは、上記の情報の寿命を示すために使用されるものである。 Filterは、他のストリームから規則を適用するため、ストリームの識別を行うために使用されるコンパウンドの属性でめる。実際に実施される場合、リスト内により多くの属性を含み、上記の属性の定義は使用される技術に依存することは、当業者にとって明白である。符号

S T 9 0 0 8に記されるように、ルール ·サーバ（8 0 4 ) 力、らノレール■ィンタープリタ（8 0 3 ) に送られる定義を使用して、規則を解釈した後、符号 S T 9 0 0 9で記されるように、ルール■インタープリタ（8 0 3 ) は、ルール.エンジン（8 0 2 )に実行させるための詳細な決定を送る。さらに、規則を適切に行なうためにより高いレベルの協力関係が必要な場合には、ルール■インタープリタ（8 0 3 ) 力移動端末（8 0 1 ) に対していくつかの情報を転送することが可能であり、例えば、 I Pレイヤフィルタ情報を送ることで、ストリームは適切な印でイーサネット層にまで送られる。また、ルール .サーバ（8 0 4 ) 力新しい定義を送ることによって規律のフォーマツトを再定義し、その後、 RELOAD動作の規則を送ることも可能である。これには、あらかじめ設定された時間に更新を行わせる時間情報を伴わせることも可能である。

システムでは、課金とモニタリングの支援を行うよう、ルール 'インタープリタ（8 0 3 ) を形成することも可能である。通常の課金の実施では、 W L A Nは、モパイルのユーザのホーム 'ネットワークに集められた生のデータをすべて転送する必要があるが、すべてのデータが必要とは限らないので、ネットワーク .リソースの浪費となる。また、生のデータをすベて処理して、所望の情報を取得する必要があり、それは、ホーム 'ネットワークの課金サーバの計算に大きな負担をかけることとなる。

これを解決する方法は、まず W L A Nにローカルの処理を行わせて、データだけにホーム■ネットワークに固有のデータのみ送り返すことである。異なる W L A Nはレコードのための異なる統計を有するので、いくつかの予備フィルタリングが必要とされる。ルール 'インタープリタ（8 0 3 ) は対応する統計を集めて、それらを相互接続において有用なレコードに変換する。レコードのセットは、より精巧なレコードを形成するために使用される基本的なセットでなければならない。ルール ·サーバ（8 0 4 ) 及ぴルール ·ィンタープリタ（8 0 3 )は、基本的なセットについて合意しなければならず、すなわち、例えば、 R F C 2 9 2 4に定義される属性のような共通のオーブンな標準が採用される。

Rule—interpretation一 accounting一 attrioutes::={

StartTime;

EndTime;

CurrentTime;

ReportPeriod;

B atchRep ortin gTime PacketTransmitted;

PacketDropped;

By teTr ansmitte d;

ByteDropped;

Priority;

Bit— rate一 average;

Bit一 rate— Max;

Bit— rate— Min;

Max_Pkt_siz e；

Min一 Pkt—size;

Max一 Pkt— interval;

Min一 Pkt一 interval;

Min一 Drop—interval;

}

上記のデータ構造 4は課金規則の翻訳のための属性の例である。課金の規則の形成のため、ルール 'インタープリタ（8 0 3 ) によって支援される属性の例は、データ構造 4で与えられる。これらの属性は、ルール'ェン

( 8 0 2 ) によって集められ、ルール 'インタープリタ（8 0 3 ) で利用可能となる基礎的な情報を含まなければならない。ルール .サーバ（8 0 4 ) は、これらの属性及び数学の動作の定義を使用して、ルール .インタープリタ（8 0 3 ) が所望する課金レコードを送る。例えば、ホーム ·ネットヮークによって要求される詳細なレコードがトラフィック、使用される帯域幅の持続、帯域幅変化、パケットの低下割合である場合、ルール 'サーバ（8 0 4 ) によって送られる課金リストの定義は、次のとおりである。

Example— accounting一 list: ·={

DURATION :--End ime SUB StartTime;

BAND WIDTH: --Bit_rate_aver age;

BANDWIDTH_VAK: :=Bit_rate_Max SUB Bit— rate— Min;

DROP_RATE_PKT::=

PacketDropped DIV TOTAL_P T: :=[P acketTr ansmitte d ADD PacketDropped];

}

例においてリスト化されたものより、 W L A Nによって集められたものの方が、より多くの属性が存在することは当業者にとって明白である。集められた実際の情報もまた、 W L ANで使用される技術に依存する。課金の明細に使用される属性がルール ·インタープリタ（8 0 3 ) によって認識されない場合、エラー報告がルール'サーバ（8 0 4 ) の基へ送られるべきであり、その結果、エラーが気付かれるか、代わりのものが交渉される。また、 W L A Nのステータス ■モニタリングのために上記の方式を使用することも可能であることは明白である。例えば、プリペイドサービスの課金などのリアルタイムの課金も、上記で提供される設備を使用して実施することが可能であり、例えば、以下のお T0P;C0NDITION ByteTranmitted EQUAL 10MB} のように規則を設定することにより、実行可能である。

ルル .インタープリタ（80 3) は、これを例えば、 H i p e r LAN /2システム用のし〇^1の数のょうな W LAN特有の条件に翻訳し、また分離を出す、条件の履行上のアクセス 'ポイントに命令する。ユーザのトップアップ又はサービスの更新の場合に、ルール■サーバ（804) からの新しい規則は、新しい条件を備え、古いものを無効とすることが可能である。ルール .インタープリタ（803) も、 WL ANのネットワーク条件が変化する場合に、規則の翻訳を適応させることが許されており、これは、例えば、調整スキームの変化やシステムのエラー割合の変化を起こし得るもので、以前の翻訳は有効ではなくなる。この種の状況が生じる場合、ルール 'インタープリタ（80 3) は、サービスが中断されないように、規則と WL ANのロー力ノレのパラメータとの間のマッピングを適応させ、ノレール 'サーバ（8

04) に変更を報告する必要があり、ルール 'サーバ（804) は、変化及び可能な再発行の規則を評価することが可能となる。このようにして、 WL ANの一時的な状態によるサービス中断を回避することができる。

本発明の第 1の態様は、 WL ANの相互接続におけるモパイル■ユーザの識別情報を保護する方法であって、 i . 異なる暗号化レベルの異なる鍵で前記モパイル■ユーザの識別情報を含むメッセージの階層的暗号化を行い、 i 正しいネットワークに前記暗号化されたメッセージをルーティングする援助のためにホーム ' ドメインの名前を使用し、 i i i . 前記モパイル 'ュ一ザの実際の識別情報をさらに隠蔽するために一時的なドメイン固有の識別子を使用するステップを有する方法である。

本発明の第 2の態様は、上記の手順において、前記モパイル'ユーザの識別情報を保護する方法であって、に意図された受信者の鍵を有する前記モバイル'ユーザの識別情報の保護のために、非対称暗号化方式を使用し、 i

1. 攻撃から保護するため、移動端末及ぴネットワークの相互認証のためのチヤレンジメッセージ一レスポンス交換方式を使用するステップをさらに有する方法である。

本発明の第 3の態様は、上記の手順において、前記モバイル 'ユーザの識別情報を保護する方法であって、 i . メッセージ交換の開始に先立って、前記移動端末と前記意図された受信者の非対称暗号化鍵を共有し、前記移動端末によつて安全にアクセスされ得る格納装置にそれを格納し、 i i . 現在の前記鍵によって暗号化され保護された返答メッセージに新しい鍵を含めることによって、使用される前記非対称暗号化鍵のペアを更新し、 i i i . ドメイン情報に情報を埋め込むことによって、前記識別情報の保護のための前記 " 暗号化で現在用いられている前記非対称暗号化鍵のペアを識別するステップをさらに有する方法である。

本発明の第 4の態様は、上記の手順において、前記モパイル 'ユーザの識別情報を保護する方法であって、前記 WLANの相互接続のためのメッセージ -シーケンスが、 1回のメッセージの循環で WL ANに属する前記移動端末とそのホーム 'ネットワークと相互に認証することが可能であり、前記メッセージ .シーケンスが、前記移動端末が前記アクセス .ポイントに、前記喑号化された識別情報、相互の認証情報、モパイル .ユーザのホーム■ ドメイン情報、その他の必要な情報を送信し、 i i . 前記アクセス 'ポイントがモバイノレ ' ユーザのホーム ' ドメイン ' サーバに、前記モバイノレ ' ユーザのドメイン情報を用いて、前記暗号化されたモパイル ·ユーザ識別情報、前記相互の認証情報、その他の必要な情報を送信し、 i i i .前記アクセス - ポイントが前記移動端末から、前記モパイル 'ユーザのホーム ■ ドメイン ' サーバから、前記相互の認証情報とその他の情報を受信し、 i v. 前記移動端末が前記アクセス 'ポイントから、他のサーバから前記アクセス 'ポイントによつて転送される前記相互の認証情報とその他の情報とを受信することを有する方法である。本発明の第 5の態様は、上記の手順において、前記モパイル 'ユーザの識別情報を保護する方法であって、前記 WL AN相互接続の前記メッセージ · シーケンスが、 i . 前記モバイル■ユーザのホーム ■ ドメイン■サーバが前記中央サーバに対して、前記アクセス ·ポイントによって転送される移動端末からの前記相互の認証情報とその他の情報とを有するメッセージを送信し、 i i . 前記モバイル■ユーザのホーム ' ドメイン 'サーバが前記中央サーバから、前記移動端末に転送される相互の認証情報とその他の情報とを有する前記メッセージを受信することを有する方法である。

本発明の第 6の態様は、上記の手順において、前記モパイル'ユーザの識別情報を保護する方法であって、前記 WLAN相互接続の前記メッセージ ' シーケンスに用いられる 1セットのメッセージ■フォーマットが、 i . すべてのネットワーク ■ノードにとってアクセス可能な前記 WLANに特有のモパイル.ユーザ識別情報と、 i i . すべてのネットワーク ' ノードにとってアクセス可能なモバイル■ユーザのホーム ' ドメイン情報と、 i i i . 前記意図された受信者によってのみアクセス可能であり、階層的暗号化されたモパイル.ユーザの信用及び識別情報と、 _{i v}. 前記相互認証に含まれる集団によってのみアクセス可能であり、暗号化された認証チヤレンジメッセージ及びレスポンスと、 V . メッセージの完全性の保護のための情報とを、有する方法である。

本発明の第 7の態様は、上記の手順において、前記モパイル 'ユーザの識別情報を保護する方法であって、前記 W L A N相互接続のために使用されるメッセージ ·フォーマツトが、 i . 前記意図された受信者への前記階層的暗号化が用いられた鍵を識別するための情報と、 i に前記識別情報の保護のための新しい鍵を生成するための情報とを、さらに有する方法である。

本発明の第 8の態様は、上記の手順において、前記モバイル'ユーザの識別情報を保護する方法であり、前記 WL AN内のユーザ加入者情報を共有可能とする方法であって、 i .前記ユーザの信用及ぴ加入者情報にアクセスし、前記相互接続するネットワークの通常の移動端末と'して前記相互接続の機能を実行することができる 1つ以上の仮想端末を配置し、 i i . 相互接続するネットワークによって提供されるサービスにアクセスするために、前記仮想端末に関連した WL AN装置用のゲートウェイとして使用し、 i i i . 前記仮想端末によって前記相互接続するネットワークへの前記 W L A N装置の前記サービス ■アクセスを制御するステップを有する方法である。

本発明の第 9の態様は、上記の手順において、前記モパイル 'ユーザの識別情報を保護する方法であって、 i . 前記仮想端末によって 1つ以上の前記ユーザの信用及び加入者情報に同時にアクセスし、 i にこれらの 1つ以上のユーザが加入する WL AN内の前記相互接続するネットワークからのサービスを共有するステップを有する方法である。

本発明の第 1 0の態様は、 W LANを他のネットワークと相互に接続する方法であって、 i . 前記 WL AN内のルール 'エンジンによって規則のセットを実行させ、前記 WL AN内におけるリソースの割り当てを適宜制御し、 i i ·前記ネットワーク中のノレール ·サーバからルール-ィンタープリタに、前記規則のセットを送り、 i i 前記 WL AN内の前記ルール 'インタープリタによって、前記ルール'サーバからの前記規則を翻訳し、前記ルール - エンジンのための WL AN特有のァクションの指示に変換するステップを有する方法である。

本発明の第 1 1の態様は、上記の手順において、前記 WLANを他のネットワークと相互に接続する方法であって、 i . 前記 WLAN内にローカルに前記規則を格納し、 i i . 前記ルール ·サーバが利用可能でない場合か、適切な規則が与えられない場合に、前記ルール■インタープリタによりデフォルトの規則のセットを使用するステップをさらに有する方法である。

本発明の第 1 2の態様は、上記の手順において、前記 WLANを他のネットワークと相互に接続する方法であって、 i . 前記ルール 'サーバから前記規則の定義を送ることにより、前記ルール ·インタープリタでのルールの前記翻訳を作り、 i i . 前記規則の寿命を設定し、前記ルール 'サーバからの前記メッセージに含め、 i i i . 前記ルール■サーバから新しい定義と再展開メッセージとを送ることにより、前記ルール 'インタープリタの振る舞いを修正し、再度展開させる方法である。

本発明の第 1 3の態様は、上記の手順において、前記 WL AN相互接続方式においてリアルタイム ·ステータスの報告を行うため、前記 WL ANを他のネットワークと相互に接続する方法であって、 i . 前記ルール ·サーバが、前記ルール 'インタープリタから報告される前記情報及び前記フォーマットを特定し、 i i . 前記ルール 'インタープリタが、前記実際の W LANからの前記情報を前記ルール ·サーバで設定された前記フォーマツトで形成するステップを有し、前記ルール 'インタープリタにおける前記情報では、数学的なオペレーション、論理的なオペレーション、前記数学的及び論理的オペレーシヨンを実行するためのオペレーション ' コマンドが許され、前記オペレーシヨン ' コマンドが実行条件付きオペレーション、実行される前記オペレーションの時間情報、前記オペレーション及び前記オペレーションの再実行の承認の制御を含む方法である。

本発明の第 14の態様は、上記の手順において、前記 WLANを他のネットワークと相互に接続する方法であって、 i . 前記 WLAN内のネットヮーク · ステータス及ぴネットワーク · リソースの有効性が変化する場合、前記ルール ·ィンタープリタによって自動的に前記規則の前記翻訳を適応させ、 i i . 前記ルール ·ィンタープリタで行われた前記適応を前記ルール■サーパに報告するステップを有する方法である。

本発明の第 1 5の態様は、上記の手順において、前記 WLANを他のネットワークと相互に接続する方法であって、 i . 前記ルール ·サーバから前記 WLAN内に供給する個々の端末に関連する Q o Sを作り、 i i . 前記ルール ·サーバから前記 WL AN内に供給する端末のグループに関連する Q o S を作るステップを有する方法である。

本発明の第 1 6の態様は、上記の手順において、前記 WLANを他のネットワークと相互に接続する方法であって、 i . 前記ルール■サーバから前記 WLAN内に個々の端末に関連するトラフィック ■ルーティングとモビリティ情報を作り、 i i . 前記ルール 'サーバから前記 WLAN内に端末のダループに関連するトラフィック ·ルーティングとモビリティ情報を作るステツプを有する方法である。

本発明の第 1 7の態様は、上記の手順において、前記 WLANを他のネットワークと相互に接続する方法であって、 i . 前記 WLANに特有の要求に従って、前記ルール'エンジンでローカルな課金を行い、 i i · 前記ルール，インタープリタで前記課金の結果に従って、前記規則の翻訳を管理し、 i i i - 前記ルール ·サーバによって前記ルール ·インタープリタでの前記課金報告フォーマツトを作り i V . 前記ルール ' インタープリタで、前記 WL A Nに特有の統計から、前記ルール■サーバによって設定された前記フォーマットで前記課金報告を作るステップを有する方法である。

本発明の第 1 8の態様は、上記の手順において、前記 WLANを他のネットワークと相互に接続する方法であって、前記ルール 'インタープリタでローカルの課金基準を設定することによって、あらかじめ支払いを行った加入者に対してリアルタイムに課金を支援し、 i i . 前記ルール 'インタープリタで課金規則を設定することによつて追加課金を支援するステップを有する方法である。

本発明の第 1 9の態様は、 WLANの相互接続におけるモパイル ·ユーザの識別情報を保護するための装置であって、 i . 異なる暗号化レベルの異なる鍵で前記モパイル ·ユーザの識別情報を含むメッセージの階層的暗号化を行う手段と、 i に正しいネットワークに前記暗号化されたメッセージをル一ティングする援助のためにホーム ' ドメインの名前を使用する手段と、 ί i i . 前記モパイル 'ユーザの実際の識別情報をさらに隠蔽するために一時的なドメイン固有の識別子を使用する手段とを、有する装置である。

本発明の第 2 0の態様は、上記の構成において、前記モバイル 'ユーザの識別情報を保護するための装置であって、 ί . 意図された受信者の鍵を有する前記モパイル■ユーザの識別情報の保護のために、非対称暗号化方式を使. 用する手段と、 i i . 攻撃から保護するため、移動端末及びネットワークの相互認証のためのチャレンジメッセージ一レスポンス交換方式を使用する手段とを、さらに有する装置である。

本発明の第 2 1の態様は、上記の構成において、前記モバイル 'ユーザの識別情報を保護するための装置であって、 i . メッセージ交換の開始に先立つて、前記移動端末と前記意図された受信者の非対称暗号化鍵を共有し、前記移動端末によつて安全にアクセスされ得る格納装置にそれを格納する手段と、 i i . 現在の前記鍵によって暗号化され保護された返答メッセージに新しい鍵を含めることによって、使用される前記非対称暗号化鍵のペアを更新する手段と、 i i i . ドメイン情報に情報を埋め込むことによって、前記識別情報の保護のための前記暗号化で現在用いられている前記非対称暗号化鍵のペアを識別する手段と、をさらに有する装置である。

本発明の第 2 2の態様は、モパイル■ユーザの識別情報を保護するためのシステムであって、前記 W L A Nの相互接続のためのメッセージ■ シーケンスが、ァグセス■ポィントを経由する 1回のメッセージの循環で W L A Nに属する前記移動端末とそのホーム 'ネットワークと相互に認証することが可能であり、前記メッセージ 'シーケンスが、 i . 前記移動端末が前記ァクセス .ポイントに、前記暗号化された識別情報、相互の認証情報、モパイル - ユーザのホーム . ドメイン情報、その他の必要な情報を送信し、 i i . 前記アクセス ·ポィントがモパイル■ユーザのホーム■ ドメイン 'サーバに、前記モパイル ·ユーザのドメイン情報を用いて、前記暗号化されたモパイル - ユーザ識別情報、前記相互の認証情報、その他の必要な情報を送信し、 i i i . 前記アクセス ·ポイントが前記移動端末から、前記モバイル 'ユーザのホーム . ドメイン ·サーバから、前記相互の認証情報とその他の情報を受信し、 i v . 前記移動端末が前記アクセス 'ポイントから、他のサーバから前記アクセス ·ポイントによって転送される前記相互の認証情報とその他の情報とを受信することを有するシステムである。

本発明の第 2 3の態様は、上記の構成において、前記モパイル■ユーザの識別情報を保護するための装置であって、前記 W L A N相互接続の前記メッセージ ' シーケンスが、 i . 前記モパイル 'ユーザのホーム ' ドメイン 'サーバが前記中央サーバに対して、前記アクセス 'ポイントによって転送される移動端末からの前記相互の認証情報とその他の情報とを有するメッセージを送信し、 i i . 前記モパイル 'ユーザのホーム ' ドメイン ·サーバが前記中央サーバから、前記移動端末に転送される相互の認証情報とその他の情報とを有する前記メッセージを受信することを有するシステムである。

本発明の第 2 4の態様は、上記の構成において、前記モパイル 'ユーザの識別情報を保護するためのシステムであって、前記 W L A N相互接続の前記メッセージ ·シーケンスに用いられる 1セットのメッセージ · フォーマツト 1S i . すべてのネットワーク ' ノードにとってアクセス可能な前記 W L A Nに特有のモパイル■ユーザ識別情報と、 i i . すべてのネットワーク - ノ一ドにとってアクセス可能なモパイル ·ユーザのホーム · ドメイン情報と、 i i i . 前記意図された受信者によってのみアクセス可能であり、階層的暗号化されたモバイル ·ユーザの信用及び識別情報と、 i v . 前記相互認証に含まれる集団によってのみアクセス可能であり、暗号化された認証チヤレンジメッセージ及びレスポンスと、 v . メッセージの完全性の保護のための情報とを、有するシステムである。

本発明の第 2 5の態様は、上記の構成において、前記モパイル 'ユーザの識別情報を保護するためのシステムであって、前記 W L A N相互接続のために使用されるメッセージ ·フォーマツトが、 i . 前記意図された受信者への前記階層的暗号化が用いられた鍵を識別するための情報と、 i i . 前記識別情報の保護のための新しい鍵を生成するための情報とを、さらに有するシステムである。 ·

本発明の第 26の態様は、上記の構成において、前記モパイル■ユーザの識別情報を保護するためのシステムであり、前記 W LAN内のユーザ加入者情報を共有可能とするためのシステムであって、 i . 前記ユーザの信用及び加入者情報にアクセスし、前記相互接続するネットワークの通常の移動端末として前記相互接続の機能を実行することができる 1 つ以上の仮想端末と、 i i . 前記仮想端末によって相互接続するネットワークへの前記 WL AN装置のサービス · アクセスを制御する装置とを、有し、前記相互接続するネットワークによって提供される前記サービスにアクセスするために、前記仮想端末がそれに関連した WLAN装置用のゲートウエイとして使用されるシステムである。

本発明の第 27の態様は、上記の構成において、前記モパイル 'ユーザの識別情報を保護するためのシステムであって、に 1つ以上の前記ユーザの信用及び加入者情報に同時にアクセス可能な仮想端末と、 i i . これらの 1 つ以上のユーザが加入する WL AN内の前記相互接続するネットワークからのサービスを共有するための装置とを、有するシステムである。

本発明の第 28の態様は、 WL ANを他のネットワークと相互に接続するためのシステムであって、 i . 規則のセットを実行し、前記 WLAN内におけるリソースの割り当てを適宜制御する前記 WL AN内のルール · エンジンと、 i i . ルール 'インタープリタに前記規則のセットを送る、前記 WLA Nと相互接続するネットワーク内のルール■サーバ及びルール■データべ一スと、 i i i . 前記ルール · サーバからの前記規則を翻訳し、前記ルール - エンジンのための WL AN特有のァクションの指示に変換する前記 W LAN 内のルール ·ィンタープリタとを、を有するシステムである。

本発明の第 2 9の態様は、上記の構成において、前記 WLANを他のネットワークと相互に接続するためのシステムであって、 i . 前記 WLAN内にローカルに前記規則を格納するための装置と、 i i . 前記ルール 'サーバが利用可能でない場合か、適切な規則が与えられない場合に、前記ルール -ィ 'ンタープリタによりデフォルトの規則のセットを使用するための装置とを、さらに有するシステムである。

本発明の第 30の態様は、上記の構成において、前記 WLANを他のネットワークと相互に接続するためのシステムであって、 i . 前記ルール ·サ一パから前記規則の定義を送ることにより、前記ルール 'インタープリタでのルールの前記翻訳を作るための装置と、 i i . 前記ルール 'サーバからの前記メッセージに含めることによって、前記規則の寿命を設定するための装置と、 i i に前記ルール 'サーバから新しい定義と再展開メッセージとを送ることにより、前記ルール ' インタープリタの振る舞いを修正し、再度展開させるための装置とを、有するシステムである。

本発明の第 3 1の態様は、上記の構成において、前記 WLAN相互接続方式においてリアルタイム'ステータスの報告を行うため、前記 WLANを他のネットワークと相互に接続するためのシステムであって、前記ルール ' ィンタープリタから報告される前記情報及び前記フォーマツトを特定するための前記ルール 'サーバと、 i 前記実際の WLANからの前記情報を前記ルール ·サーバで設定された前記フォーマツトで形成し、前記ルール ·サーバによって設定された前記規則のフォーマットを作るための数学的、論理的、そして、承認を制御するオペレーションを実行することが可能な前記ルール 'インタープリタと、を有するシステムである。

本発明の第 3 2の態様は、上記の構成において、前記 WLANを他のネットワークと相互に接続するためのシステムであって、前記 WLAN内のネットワーク ■ステータス及びネットワーク · リソースの有効性が変化する場合、前記ルール ·インタープリタによって自動的に前記規則の前記翻訳を適応させるための装置と、 i 前記ルール 'インタープリタで行われた前記適応を前記ルール 'サーバに報告するための装置と、を有するシステムである。

本発明の第 3 3の態様は、上記の構成において、前記 WLANを他のネットワークと相互に接続するためのシステムであって、 i . 前記ルール 'サーバから前記 WLAN内に供給する個々の端末に関連する Q o Sを作るための装置と、 i 前記ルール 'サーバから前記 WLAN内に供給する端末のグループに関連する Q o Sを作るための装置とを、有するシステムである。本発明の第 34の態様は、上記の構成において、前記 WLANを他のネットワークと相互に接続するためのシステムであって、 i . 前記ルール 'サーバから前記 WLAN内に個々の端末に関連するトラフィック ■ルーティングとモビリティ情報を作るための装置と、 i i . 前記ルール .サーバから前記 WLAN内に端末のグループに関連するトラフィック ·ルーティングとモビリティ情報を作るための装置とを、有するシステムである。

本発明の第 3 5の態様は、上記の構成において、前記 WLANを他のネットワークと相互に接続するためのシステムであって、 i . 前記 WLANに特有の要求に従って、前記ルール■エンジンでローカルな課金を行うための装置と、 ί i . 前記ルール .インタープリタで前記課金の結果に従って、前記規則の翻訳を管理するための装置と、 i i i . 前記ルール 'サーバによって前記ルール 'インタープリタでの前記課金報告フォーマツトを作るための装置と、 i v. 前記ルール 'インタープリタで、前記 WLANに特有の統計から、前記ルール ·サーバによって設定された前記フォーマツトで前記課金報告を作るための装置と、を有するシステムである。

本発明の第 3 6の態様は、上記の構成において、前記 WLANを他のネットワークと相互に接続するためのシステムであって、 i . 前記ルール 'インタープリタでローカルの課金基準を設定することによって、あらかじめ支払いを行った加入者に対してリアルタイムに課金を支援するための装置と、 i i . 前記ルール 'インタープリタで課金規則を設定することによって追加課金を支援するための装置とを、有するシステムである。

本発明は、 WL AN相互接続において、メッセージ交換の際にモパイルのユーザの識別情報を保護するための方法を提供する。それが適用された場合、アクセス ■ コントローノレのためのモノィノレのユーザからのメッセージが、ュ一ザの実際の識別情報を漏洩することなく、適切なエンティティに正確に送られるようにすることが可能となる。また、本発明は、識別情報の保護で使用される非対称の暗号化のための鍵情報を管理するための方法を提供する。これらすべてによって、メッセージ交換は、攻撃、特に仲裁者の攻撃から保護される。

また、本発明は、 WL ANでインタープリタを使用することによって、 W LAN相互接続におけるリソース ■ コントロールの管理を行うための方法を有している。その適用によって、相互に動作されたネットワークは、 WLA Nについての詳細な技術の知識を有する必要なしに、 WL ANの端末のァクセス . コントロールを行うことが可能となる。また、それによつて、ネットワークが情報を転送する方法を交渉することが可能となる。また、それが適用された場合、任意のローカルの課金処理を行い、かつ相互に接続されたネットワークに所望の情報だけを報告する WL ANを形成することが可能である。これによつて、貴重な信号の帯域幅を節約することが可能となる。

本明細書は、 2002年 1 0月 1 1 日出願の特願 2002— 2 9 9 5 6 9 に基づく。この内容はすべてここに含めておく。産業上の利用可能性

本発明は、無線データ通信分野に関し、特に、本発明は、他のネットヮークから到来したモパイル■ユーザに対する無線 LAN環境におけるサービスの提供に関する。それは W LANと公衆無線ネットワーク（例えば、 3 Gネットワーク、他の無線技術を用いた WL AN、別の管理ドメイン）との相互接続（inter-working) に利用される。また、本発明は、モパイル 'ユーザに対する W LANのリソ^ "スのアクセス ■ コントロールのために利用され、特に、認証、許可、課金の問題におけるアクセス · コントロールに関する。また、相互接続における Qo S (サービス品質）の提供とモビリティ ·サポートの問題の解決を図ることも可能である。

Claims

請求の範囲

1 . 少なくとも一の中継局を介して送信するメッセージの各フィールドを、各フィールドを必要とする中継局または通信相手との間で有効な暗号化方式を使用してそれぞれ暗号化するユーザ識別情報保護方法。

2 . 前記メッセージのうち、モパイル ·ユーザの識別情報を含む部分は前記通信相手との間で有効な暗号化方式を使用して暗号化するステップと、前記メッセージのうちの残りの部分は前記中継局との間で有効な暗号化方式を使用して暗号化するステツ.プと、

を有する請求の範囲 1記載のユーザ識別情報保護方法。

3 . 前記メッセージのうち、モパイル ·ユーザの識別情報を含む部分は前記モパイル ·ユーザの加入者情報に由来した暗号化方式で暗号化する第 1の前記第 1のステップによって暗号化されたメッセージを前記通信相手との間で有効な暗号化方式を使用してさらに暗号化する第 2のステップと、を有する請求の範囲 1記載のユーザ識別情報保護方法。

4 . 暗号化レベルの異なる鍵でモパイル ·ユーザの識別情報を含むメッセージの各部をそれぞれ階層的に暗号化するステップと、

ホーム ' ドメインの名前を使用して、暗号化されたメッセージを正しいネットワークにノレ一ティングするステップと、

一時的なドメィン固有の識別子を使用して前記モパイル ·ユーザの実際の識別情報をさらに隠蔽するステップと、

を有するユーザ識別情報保護方法。

5 . 非対称暗号化を使用して、意図された受信者の鍵を有する前記モバイル ·ユーザの識別情報を保護するステップと、

移動端末及ぴネットワークの相互認証のためのチャレンジメッセージーレスポンス交換方式を使用して、第三者からの攻撃から前記識別情報を保護するステップと、

をさらに有する請求の範囲 4記載のユーザ識別情報保護方法。

6 . メッセージ交換の開始に先立って、前記移動端末と前記意図された受信者間の非対称暗号化鍵を共有し、前記移動端末によって安全にアクセスされる格納装置に前記非対称暗号化鍵を格納するステップと、

現在の前記非対称暗号化鍵によって暗号化された返答メッセージに新しい非対称暗号化鍵を含め、前記非対称暗号化鍵のペアを更新するステツプと、ドメイン情報に情報を埋め込むことによって、前記識別情報の保護のための前記暗号化で現在用いられている前記非対称暗号化鍵のペアを識別するステツプと、

をさらに有する請求の範囲 5記載のユーザ識別情報保護方法。

7 . メッセージ 'シーケンスが、 1回のメッセージの循環で W L A Nに属する前記移動端末とそのホーム ·ネットワークと相互に認証することが可能であって、

前記メッセージ ·シーケンスが、前記移動端末が前記アクセス ' ポイントに、前記暗号化された識別情報、相互の認証情報、モパイル■ユーザのホーム ' ドメイン情報、その他の必要な情報を送信するステップと、

前記アクセス ■ポィントが、モパイル ·ユーザのホーム · ドメイン 'サーバに、前記モパイル■ユーザのドメイン情報を用いて、前記暗号化されたモパイル .ユーザ識別情報、前記相互の認証情報、その他の必要な情報を送信するステップと、

前記アクセス .ポイントが、前記移動端末から、前記モパイル 'ユーザのホーム■ ドメイン■サーバから、前記相互の認証情報とその他の情報を受信するステップと、

前記移動端末が、前記アクセス 'ポイントから、他のサーバから前記ァクセス ·ポイントによって転送される前記相互の認証情報とその他の情報とを受信するステップと、

を有する請求の範囲 4記載のユーザ識別情報保護方法。

8 . 前記メッセージ 'シーケンスは、

前記モパイル■ユーザのホーム■ ドメイン 'サーバが前記中央サーバに対して、前記アクセス ·ポイントによって転送される移動端末からの前記相互の認証情報とその他の情報とを有するメッセージを送信するステップと、前記モパイル'ユーザのホーム' ドメイン■サーバが前記中央サーバから、前記移動端末に転送される相互の認証情報とその他の情報とを有する前記メッセージを受信するステップと、

を有する請求の範囲 7記載のユーザ識別情報保護方法。

9 . 前記メッセージ ·シーケンスに用いられる 1セットのメッセージ■ フォーマットは、

すべてのネットワーク ■ ノードにとってアクセス可能な前記 W L A Nに特有のモパイル 'ユーザ識別情報と、すべてのネットワーク 'ノードにとつてアクセス可能なモパイル 'ユーザのホーム ' ドメイン情報と、前記意図された受信者によってのみアクセス可能であり、階層的暗号化されたモバイル 'ユーザの信用及び識別情報と、前記相互認証に含まれる集団によってのみアクセス可能であり、暗号化された認証チヤレンジメッセージ及びレスポンスと、メッセージの完全性の保護のための情報と、を有する、

請求の範囲 7記載のユーザ識別情報保護方法。

1 0 . 前記メッセージ ' フォーマットは、

前記意図された受信者への前記階層的暗号化が用いられた鍵を識別するための情報と、前記識別情報の保護のための新しい鍵を生成するための情報と、をさらに有する、

請求の範囲 9記載のユーザ識別情報保護方法。

1 1 . 前記ユーザの信用及ぴ加入者情報にアクセスし、前記相互接続するネットワークの通常の移動端末として前記相互接続の機能を実行することができる 1つ以上の仮想端末を配置するステップと、

相互接続するネットワークによって提供されるサービスにアクセスするために、前記仮想端末に関連した W L A N装置用のグートウニイとして使用するステップと、

前記仮想端末によって前記相互接続するネットワークへの前記 W L A N装置の前記サービス ·アクセスを制御するステップと、

を有する請求の範囲 7記載のユーザ識別情報保護方法。

1 2 . 前記仮想端末によって 1つ以上の前記ユーザの信用及び加入者情報に同時にアクセスするステップと、

これらの 1つ以上のユーザが加入する W L A N内の前記相互接続するネットワークからのサービスを共有するステップと、

を有する請求の範囲 1 1記載のユーザ識別情報保護方法。