特許 6121512 暗号鍵の生成

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6121512

(24)【登録日】2017年4月7日

(45)【発行日】2017年4月26日

(54)【発明の名称】暗号鍵の生成

(51)【国際特許分類】

   H04L 9/08 20060101AFI20170417BHJP

   H04L 9/32 20060101ALI20170417BHJP

【ＦＩ】

   H04L9/00 601C

   H04L9/00 601E

   H04L9/00 675A

【請求項の数】12

【外国語出願】

【全頁数】17

(21)【出願番号】特願2015-241380(P2015-241380)

(22)【出願日】2015年12月10日

(62)【分割の表示】特願2013-252327(P2013-252327)の分割

【原出願日】2008年7月21日

(65)【公開番号】特開2016-96557(P2016-96557A)

(43)【公開日】2016年5月26日

【審査請求日】2016年1月12日

(31)【優先権主張番号】61/059,386

(32)【優先日】2008年6月6日

(33)【優先権主張国】US

(73)【特許権者】

【識別番号】598036300

【氏名又は名称】テレフオンアクチーボラゲット エルエム エリクソン（パブル）

(74)【代理人】

【識別番号】100076428

【弁理士】

【氏名又は名称】大塚 康徳

(74)【代理人】

【識別番号】100115071

【弁理士】

【氏名又は名称】大塚 康弘

(74)【代理人】

【識別番号】100112508

【弁理士】

【氏名又は名称】高柳 司郎

(74)【代理人】

【識別番号】100116894

【弁理士】

【氏名又は名称】木村 秀二

(74)【代理人】

【識別番号】100130409

【弁理士】

【氏名又は名称】下山 治

(74)【代理人】

【識別番号】100161399

【弁理士】

【氏名又は名称】大戸 隆広

(72)【発明者】

【氏名】ネスルント， マッツ

(72)【発明者】

【氏名】ノーマン， カール

【審査官】 青木 重徳

(56)【参考文献】

【文献】 国際公開第２００７／０６２８８２（ＷＯ，Ａ１）

【文献】 特表２００６−５１８１２１（ＪＰ，Ａ）

【文献】 特開２００８−０４２７１５（ＪＰ，Ａ）

【文献】 特表２００５−５０３７１７（ＪＰ，Ａ）

【文献】 特表２００８−５１２０６８（ＪＰ，Ａ）

【文献】 国際公開第２００５／０３２２０１（ＷＯ，Ａ１）

【文献】 国際公開第２００６／１１３１８９（ＷＯ，Ａ１）

【文献】 国際公開第２００７／０６２６８９（ＷＯ，Ａ１）

【文献】 国際公開第２００８／０５４３２０（ＷＯ，Ａ１）

【文献】 米国特許第０７１３１００６（ＵＳ，Ｂ１）

【文献】 3GPP，Rationale and track of security decisions in Long Term Evolution (LTE) RAN / 3GPP System Architectur，[online]，２００７年，p.52-66，[retrieved on 2011-04-13], Retrieved from the Internet:，ＵＲＬ，http://www.3gpp.org/ftp/specs/archive/33_series/33.821/

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／０８

Ｈ０４Ｌ ９／３２

(57)【特許請求の範囲】

【請求項1】

ユーザ機器とネットワーク・エンティティ（２０４）との間の通信を保護するための暗号鍵（１２０）を生成するための方法であって、前記方法は前記ネットワーク・エンティティ（２０４）により開始される認証／暗号鍵配送手続きの一部として前記ユーザ機器により実行され、
前記認証／暗号鍵配送手続きを実行することによって前記ユーザ機器により算出された暗号鍵の集合を備えるか又は前記集合から導出される第１パラメータ（１０６）と、トークン（１１６）を備えるか又は前記トークンから導出される第２パラメータ（１０８）とを含む少なくとも２つのパラメータを提供する工程（３０６）と、
前記提供されたパラメータ（１０６，１０８）に基づいてアクセス・セキュリティ管理エンティティ鍵Ｋ_ASMEを生成するために鍵導出関数を適用する工程（３０８）であって、前記トークン（１１６）はシーケンス番号＜ＳＱＮ＞と匿名鍵＜ＡＫ＞との排他的論理和を備え、前記暗号鍵の集合はＵＭＴＳ認証／暗号鍵配送＜ＡＫＡ＞プロトコルに準拠する乱数チャレンジを用いて鍵生成関数ｆ３によって生み出された秘匿鍵＜ＣＫ＞（１１０）及びＵＭＴＳ ＡＫＡプロトコルに準拠する乱数チャレンジを用いて鍵生成関数ｆ４によって生み出された完全性鍵＜ＩＫ＞（１１２）を備えるか又は前記秘匿鍵＜ＣＫ＞及び完全性鍵＜ＩＫ＞から導出される、工程（３０８）と、
前記生成されたアクセス・セキュリティ管理エンティティ鍵Ｋ_ASMEに基づいて更なる暗号鍵を生成するために１つ以上の更なる鍵導出関数を適用する工程と
を有し、
前記ＳＱＮは、前記ユーザ機器について前記認証／暗号鍵配送手続きの動作が前記ネットワーク・エンティティ（２０４）により開始された回数を示すことを特徴とする方法。

【請求項2】

前記トークンは、前記ＳＱＮと前記匿名鍵＜ＡＫ＞との前記排他的論理和、認証・鍵管理フィールド＜ＡＭＦ＞、及びメッセージ認証コード＜ＭＡＣ＞の連結であることを特徴とする請求項１に記載の方法。

【請求項3】

前記更なる暗号鍵は、
ノンアクセスストラタム＜ＮＡＳ＞トラフィックの保護のための暗号鍵の集合と、
無線リソース制御＜ＲＲＣ＞トラフィックの保護のための暗号鍵の集合と、
ユーザプレーン＜ＵＰ＞トラフィックの保護のための暗号鍵の集合と、
ＲＲＣトラフィックの保護のための前記暗号鍵とＵＰトラフィックの保護のための前記暗号鍵との少なくとも一方を導出するための中間暗号鍵＜Ｋ_eNB＞と
のうちの少なくとも１つを含むことを特徴とする請求項１に記載の方法。

【請求項4】

前記ネットワーク・エンティティ（２０４）はシステムアーキテクチャエボリューション＜ＳＡＥ＞／ロングタームエボリューション＜ＬＴＥ＞のネットワーク内に存在することを特徴とする請求項１乃至３の何れか１項に記載の方法。

【請求項5】

前記ネットワーク・エンティティ（２０４）は、認証センタ＜ＡｕＣ＞／ホーム加入者サーバ＜ＨＳＳ＞とモビリティ管理エンティティ＜ＭＭＥ＞とを備えることを特徴とする請求項１乃至４の何れか１項に記載の方法。

【請求項6】

前記認証／暗号鍵配送手続きは前記ユーザ機器と前記ネットワーク・エンティティ（２０４）とにより連携して実行されることを特徴とする請求項１乃至５の何れか１項に記載の方法。

【請求項7】

前記認証／暗号鍵配送手続きはＵＭＴＳ ＡＫＡプロトコルに基づくことを特徴とする請求項１乃至６の何れか１項に記載の方法。

【請求項8】

請求項１乃至７の何れか１項に記載の方法の各工程をユーザ機器に実行させるためのコンピュータプログラム。

【請求項9】

認証／暗号鍵配送手続きを実行するように構成されたユーザ機器のために暗号鍵（１２０）を生成するように構成された装置（１００）であって、
前記認証／暗号鍵配送手続きを実行することによって前記ユーザ機器により算出された暗号鍵の集合を備えるか又は前記集合から導出される第１パラメータ（１０６）と、トークン（１１６）を備えるか又は前記トークンから導出される第２パラメータ（１０８）とを含む少なくとも２つのパラメータを提供するように構成された第１コンポーネント（１０２）と、
前記提供されたパラメータ（１０６，１０８）に基づいてアクセス・セキュリティ管理エンティティ鍵Ｋ_ASMEを生成するために鍵導出関数を適用するように構成された第２コンポーネント（１０４）と
を備え、
前記トークン（１１６）はシーケンス番号＜ＳＱＮ＞と匿名鍵＜ＡＫ＞との排他的論理和を備え、
前記暗号鍵の集合はＵＭＴＳ認証／暗号鍵配送＜ＡＫＡ＞プロトコルに準拠する乱数チャレンジを用いて鍵生成関数ｆ３によって生み出された秘匿鍵＜ＣＫ＞（１１０）及びＵＭＴＳ ＡＫＡプロトコルに準拠する乱数チャレンジを用いて鍵生成関数ｆ４によって生み出された完全性鍵＜ＩＫ＞（１１２）を備えるか又は前記秘匿鍵＜ＣＫ＞及び完全性鍵＜ＩＫ＞から導出され、
前記装置は、前記生成されたアクセス・セキュリティ管理エンティティ鍵Ｋ_ASMEに基づいて更なる暗号鍵を生成するために１つ以上の更なる鍵導出関数を適用するようにさらに構成され、
前記ＳＱＮは、前記ユーザ機器について前記認証／暗号鍵配送手続きの動作が開始された回数を示すことを特徴とする装置（１００）。

【請求項10】

請求項９に記載の装置（１００）を備えることを特徴とするユーザ機器。

【請求項11】

請求項１０に記載のユーザ機器とネットワーク・エンティティ（２０４）とを備えることを特徴とするシステム。

【請求項12】

前記ネットワーク・エンティティはＳＡＥ／ＬＴＥのネットワークで用いられることを特徴とする請求項１１に記載のシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は一般に暗号鍵を生成するための技術に関する。特に、本発明は高水準のセキュリティを提供する暗号鍵生成技術に関する。

【背景技術】

【0002】

認証／暗号鍵配送プロトコル（ＡＫＡ）は対称暗号を用いるチャレンジ・レスポンス方式のプロトコルである。ＡＫＡの主目的は互いに通信する２つのエンティティによる相互認証と、これらの間で交換される通信を保護するための暗号鍵（ｃｒｙｐｔｏｇｒａｐｈｉｃ ｋｅｙ）の確立とを含む。ＡＫＡの変形の１つがＵＭＴＳ ＡＫＡであり、技術仕様である非特許文献１において３Ｇ移動体通信ネットワークについて３ＧＰＰによって標準化されたセキュリティ・アーキテクチャに含まれる。

【0003】

ＵＭＴＳ ＡＫＡの基本概念が図１に示される。この図を参照すると、ＵＭＴＳ ＡＫＡプロトコルはユーザ機器（ＵＥ）とネットワーク・エンティティ（ＮＥ）との間で実行される。ネットワーク・エンティティはユーザ認証要求をＵＥへ送信することによってＡＫＡを開始する。要求とともに、乱数チャレンジまたは乱数コード（ＲＡＮＤ）と認証トークン（ＡＵＴＮ）とがＵＥへ送信される。ＲＡＮＤとＡＵＴＮとを受信すると、ＵＥはとりわけ秘匿鍵（ＣＫ、Cipher Key）と完全性鍵とを算出し、次いで、それらを秘匿機能および完全性機能のために用いる。

【0004】

３ＧＰＰはまた、いわゆる「３Ｇの先の」通信ネットワークの標準化に着手している。システムアーキテクチャレボリューション（ＳＡＥ）およびロングタームエボリューション（ＬＴＥ）は３Ｇの先のネットワークに密接に関連した２つの側面である。従来の３Ｇネットワークと比較すると、ＳＡＥ／ＬＴＥに基づくネットワークは高度なおよび／または多くのセキュリティ要件を課しうる。例えば、様々な水準において通信を保護するために、より多くの暗号鍵が必要になりうる。別の標準関連文書である非特許文献２で、３ＧＰＰはＳＡＥ／ＬＴＥで用いられるより多くの暗号鍵を導出するために鍵階層を推奨している。

【0005】

図２はこの鍵階層を示す。階層の一番上にあるのは鍵Ｋであり、ＵＥの汎用加入者識別モジュール（ＵＳＩＭ）とネットワーク内に存在する認証センタ（ＡｕＣ）との間で共有される長期暗号鍵である。１つ下のレベルは、上述のＵＭＴＳ ＡＫＡ動作と同一または同様の方法でＵＥによって、特にＵＥ内のＵＳＩＭによって導出される暗号鍵ＣＫ、ＩＫの組である。階層における更に下には、ＣＫと、ＩＫと、必要な場合にはいくつかの他のパラメータとからＵＥによって導出される鍵Ｋ_ASMEである。導出されると、Ｋ_ASMEはＡｕＣからアクセス・ネットワークへ、特にＳＡＥ／ＬＴＥネットワークのアクセス・セキュアリング管理エンティティ（ＡＳＭＥ）へ転送され、次いでＵＥとネットワークとの間で共有される。アクセス・ネットワークがＬＴＥ技術に基づく場合に、ＡＳＭＥの機能はモビリティ管理エンティティ（ＭＭＥ）によって扱われる。

【0006】

鍵Ｋ_ASMEと階層におけるその「下の」鍵とは、ある暗号化関数を適用することによって導出されうる。例えば、
Ｋ_ASME＝ＫＤＦ（ＣＫ‖ＩＫ，0x02‖ＰＭＬＮ＿ＩＤ‖＜他のパラメータ＞）
であり、ここで、ＫＤＦは汎用ブートストラッピング・アーキテクチャ（ＧＢＡ）の鍵導出関数（ＫＤＦ）に基づく。１つのＧＢＡ ＫＤＦは非特許文献３に規定される。

【0007】

ＧＢＡ ＫＤＦはセキュア・ハッシュ・アルゴリズム（ＳＨＡ）ハッシュ関数のような暗号化ハッシュ関数を利用しうる。多くのＳＨＡハッシュ関数のなかで、ＳＨＡ−２５６は高度にセキュアな変形である。なぜなら、衝突耐性が考慮されており、擬似乱数関数のように動作するからである。その名前が示唆するように、ＳＨＡ−２５６は２５６ビットのダイジェスト（出力）長を有するセキュア・ハッシュ・アルゴリズムのハッシュ関数である。ＰＬＭＮ＿ＩＤはＵＥへサービスを提供するネットワークの識別子である。

【0008】

高水準のセキュリティを実現するためには、ＧＢＡ ＫＤＦ関数が主にＣＫおよびＩＫだけに基づくのは十分でないと認識されてきている。これに対する根拠は、所与のＵＥが同じＣＫを２度得るかも知れず、または２つの異なるＵＥが同じＣＫを得るかもしれないというリスクである。このような場合に、ＫＤＦへの入力の「一意性」は不確定であり、（同じＫ_ASMEを用いる）異なるＵＥ間の衝突が生じうる。

【0009】

一般的な見解として、ｘ＝ｙならばＫＤＦ（ｘ）はＫＤＦ（ｙ）と同じ鍵を作り出すのは確かであるが、逆は常に成り立つとはかぎらない。すなわち、たとえｘ≠ｙだとしても、ＫＤＦ（ｘ）＝ＫＤＦ（ｙ）となることが起こりうるかもしれない。しかしながら、ＫＤＦは上述されたように衝突耐性を有するように設計されているＳＨＡ−２５６に基づくことが推奨されているため、これは起こりそうもない出来事である。よって、本明細書で説明される技術について、ｘ＝ｙの場合かつその場合に限りＫＤＦ（ｘ）＝ＫＤＦ（ｙ）が成り立つことを支障なく仮定できる。この仮定によって、本明細書で説明される技術はＫＤＦへの入力の「一意性」を保証することに焦点を合わせられる。

【0010】

ＧＢＡ ＫＤＦ仕様の標準化団体（ＥＴＳＩ／ＳＡＧＥ、特別アルゴリズム専門家グループ）は上記の問題に着目し、異なるＵＥ間の衝突を避けるためにＵＥのプライベート・ユーザ識別子（ＩＭＰＩ）を＜他のパラメータ＞に含めることを推奨している。さらなる推奨として、ＲＡＮＤのような乱数コードも＜他のパラメータ＞に含まれうる。これは、ＥＴＳＩ／ＳＡＧＥから３ＧＰＰ ＳＡ３へのリエゾン声明において（非特許文献４に）説明される。

【0011】

しかしながら、上記の推奨はなおもＫＤＦへの入力の「一意性」を保証できないことが発見されている。これはＧＢＡ ＫＤＦ関数のセキュリティ特性と、１つ且つ同一のＵＥ（例えば１つ且つ同一のＩＭＰＩ）についてのＳＡＥ／ＬＴＥにおけるその使用法とに関する以下の分析からわかる。

【0012】

第一に、以下の基本的な構造が検討される：
ＫＤＦ（ＣＫ，ＩＭＰＩ）。

【0013】

（ＵＥが一定である場合に）ＩＭＰＩ＝ＩＭＰＩ´であることが仮定されているため、この基本的な構造は、ＣＫ＝ＣＫ´の場合且つその場合に限り、２つの入力（ＣＫ，ＩＭＰＩ）、（ＣＫ´，ＩＭＰＩ´）の衝突につながるだろう。

【0014】

第二に、別の構造が検討され、これは実際のＧＢＡ ＫＤＦにより近い：
ＫＤＦ（ＣＫ‖ＩＫ，ＩＭＰＩ）。

【0015】

しかしながら、ＩＫを入力へ含めることは、最初は信じられるかもしれないように上記の衝突特性を変えない。すなわち、ＣＫ＝ＣＫ´の場合かつその場合に限り、ＫＤＦ（ＣＫ‖ＩＫ，ＩＭＰＩ）はＫＤＦ（ＣＫ´‖ＩＫ´，ＩＭＰＩ）に等しくなるだろう。ＩＫを含めることがなぜ助けにならないかを理解するために、ＵＥで実行される暗号アルゴリズムによってＣＫおよびＩＫがどのように作り出されるかを検討する必要がある。

【0016】

典型的なＵＥ側の暗号アルゴリズムは図９に示されるミレナージュ（Milenage）・アルゴリズムである。図９では、Ｅｋはラインダール・アルゴリズムとしても知られるアドバンスド・エンクリプション・スタンダード（ＡＥＳ）アルゴリズムを示し、（ＡｕＣおよびＵＥのＵＳＩＭに記憶された）鍵Ｋを用いる。ここで、ＣＫ＝ＣＫ´の場合に何が起こるかを検討する。ＡＥＳは置換（１対１対応）であるため、これは、（太い矢印において生じる）中間値が、たまたまＣＫになるｆ３の出力によって一意に決定されることを暗示する。しかし、これは、ＣＫを作り出す際に太い矢印における値が、ＣＫ´が作り出される場合と同じ場所において生じる値と同じでなければならないことを暗示する。同様に、これは、ｆ４への入力として生じる値が同一でなければならず、その結果として同じｆ４の値が生じなければならないことを意味する。これが生じるため、ｆ４はＩＫである。よって、ＩＫ＝ＩＫ´である場合かつその場合に限り、ＣＫ＝ＣＫ´であることが示される。

【0017】

次に、標準化団体（ＳＡＧＥ）の推奨に従う「改良された」構造、すなわち入力にＲＡＮＤを含めることを検討する：
ＫＤＦ（ＣＫ‖ＩＫ，ＲＡＮＤ‖ＩＭＰＩ）。

【0018】

ＣＫ＝ＣＫ´（よって、ＩＫ＝ＩＫ´）であると仮定する。ＲＡＮＤを用いることによって一意性が保証されることが期待される。しかしながら、これは正しくない。ここでも、ＲＡＮＤからＣＫおよびＩＫを作り出したミレナージュ・アルゴリズムの「関連」部分を検討する。図９に示されるように、ＲＡＮＤに対応する太い矢印における値がＲＡＮＤ´に対応するものと同じである状況が存在する。しかしやはりＡＥＳ（Ｅｋ）は置換であり、その結果、両方の入力はやはり等しくなるはずである。すなわちＲＡＮＤ＝ＲＡＮＤ´である。（ＡＥＳはＫに依存するという事実は助けにならない。なぜなら、一定のＵＥが仮定され、よって同じＫが両方の場合で生じるだろうからである。）

【0019】

言い換えると、ＲＡＮＤ＝ＲＡＮＤ´である場合かつその場合に限り、（ＣＫ‖ＩＫ，ＲＡＮＤ‖ＩＭＰＩ）＝（ＣＫ´‖ＩＫ´，ＲＡＮＤ´‖ＩＭＰＩ）であることが示されている。ＳＡＥ／ＬＴＥの場合に、ＰＬＭＮ＿ＩＤも入力に含まれるかもしれないが、ＵＥが同じネットワーク内に何度か留まることが十分にありうるため、このパラメータＰＬＭＮ＿ＩＤは一意性を保証する目的では頼りにできない。

【0020】

衝突を避けるための代替のアプローチはｆ３アルゴリズムおよびｆ４アルゴリズムの暗号処理についてＡＥＳ以外の別のアルゴリズムを用いることでありうる。特に、上述の分析はＡＥＳが置換であるという事実に基づいた。したがって、ＡＥＳの代わりに非置換（多対１対応）を用いることが可能でありうるだろう。これは２つの理由で問題になる。始めに、既存のＵＳＩＭが３ＧＰＰ ＳＡＥアーキテクチャに適するように適合されなければならない。第二に、非置換関数を選択することによって、例えばｆ３の２つの出力が衝突する可能性が現実に増加する。

【0021】

入力の一意性の欠如は深刻なセキュリティ問題になりうる。ＲＡＮＤ＝ＲＡＮＤ´である場合かつその場合に限り衝突は生じ、ＲＡＮＤは１２８ビットであるため、衝突は約２^(128/2)＝２⁶⁴回の認証の後に生じることが予想される（これはいわゆる「誕生日パラドックス」である）。明らかに、これは（１２８ビットである）ＧＢＡの目標とするセキュリティ水準よりも低い。ＬＴＥの場合は更に悪い。なぜなら、ＬＴＥでは２５６ビットのセキュリティ水準を提供することが必要だからである。よって、高い衝突確率はＳＡＥ／ＬＴＥにおいて要求されるセキュリティ水準を提供することへの重大な障害となる。

【先行技術文献】

【非特許文献】

【0022】

【非特許文献1】３Ｇ ＴＳ３３．１０２

【非特許文献2】３ＧＰＰ ＴＲ３３．８２１

【非特許文献3】３Ｇ ＴＳ３３．２２０

【非特許文献4】３ＧＰＰ文書番号Ｓ３−０３０２１９

【発明の概要】

【発明が解決しようとする課題】

【0023】

従って、上述の衝突を避ける解決策が必要となる。解決策はまた、理想的にすでに配布されたＵＳＩＭで動作し、すべてのＵＳＩＭの置き換えを必要とするべきではない。

【課題を解決するための手段】

【0024】

第１側面によれば、暗号鍵を生成するための方法が提供される。暗号鍵はとりわけ２つのエンティティ間の通信を保護するために用いられる。本方法は第１エンティティによって実行される。本方法は第２エンティティによって開始される分散セキュリティ動作の一部を形成する。本方法は、少なくとも２つのパラメータを提供することを有し、第１パラメータはセキュリティ動作を実行することによって第１エンティティにより算出された暗号鍵の集合を備えるか、この集合から導出される。第２パラメータは第１エンティティについて第２エンティティによりセキュリティ動作が開始されるごとに異なる値を有するトークンを備えるかこのトークンから導出される（言い換えると、トークンの値は任意の２つのセキュリティ動作について決して同じにならない）。本方法は、提供されるパラメータに基づいて暗号鍵を生成するために鍵導出関数を適用することを有する。

【0025】

「パラメータがＸを備える」という表現は、文字列形式において、変数Ｘがパラメータまたはその一部を形成することを意味しうる。「パラメータがＸから導出される」という表現は、パラメータが少なくとも変数Ｘに数学関数のような所定の関数を適用した結果であることを意味しうる。関数の例は算術演算、論理演算、文字列演算、およびこれらの任意の組み合わせを含むがこれらに限定されない。算術演算は加算、減算、乗算などや、これらの任意の意味のある組み合わせでありうる。論理演算はＡＮＤ、ＯＲ、排他的論理和（ｘＯＲ）、ＮＯＴなどや、これらの任意の意味のある組み合わせでありうる。文字列演算は連結、反転、置換などや、これらの任意の意味のある組み合わせでありうる。さらに、算術演算、論理演算、および文字列演算は組み合わされうる。

【0026】

特に、上述のトークンは、第１エンティティについて第２エンティティにより開始されたセキュリティ動作の回数を示すシーケンス番号（ＳＱＮ）を備えるか、またはこのシーケンス番号から導出されうる。開始ごとに、ＳＱＮは第２エンティティによって増やされうる。この仕組みは、開始されたセキュリティ動作ごとにトークンが異なる値を有することを保証する。

【0027】

トークンは多くの形式を取りうる。１つの場合に、ＳＱＮそのものがトークンになりえる。これに代えて、トークンは、算術演算、論理演算、および文字列演算のうちの少なくとも１つのような所定の数学演算を伴うアルゴリズムを用いてＳＱＮから導出されうる。例えば、トークンは、ＳＱＮに基づいて第２エンティティにより作成されて第１エンティティへ配信される認証トークン（ＡＵＴＮ）を備えるか、または認証トークンから導出されうる。この作成および配信はセキュリティ動作の一部でありうる。

【0028】

特に、トークンはＳＱＮと匿名鍵（ＡＫ、Anonymity Key）との排他的論理和を備えうる。更に具体的に、トークンは、ＳＱＮと匿名鍵（ＡＫ）との排他的論理和、認証・鍵管理フィールド（ＡＭＦ）、およびメッセージ認証コード（ＭＡＣ）の連結でありうる。この連結は、
トークン＝ＡＵＴＮ＝（ＳＱＮ ｘＯＲ ＡＫ）‖ＡＭＦ‖ＭＡＣ
または
トークン＝function（ＡＵＴＮ）＝function（（ＳＱＮ ｘＯＲ ＡＫ）‖ＡＭＦ‖ＭＡＣ）
と表現されうる。

【0029】

第２パラメータはさらに、乱数チャレンジまたは乱数コード（ＲＡＮＤ）を備えるか、またはＲＡＮＤから導出されうる。ＲＡＮＤはセキュリティ動作の一部として第２エンティティにより生成されて第１エンティティへ配信されうる。第２パラメータはなおもさらに、第１エンティティの識別子を備えるか、またはこの識別子から導出されうる。この識別子はプライベート・ユーザ識別子（ＩＭＰＩ）または国際移動体加入識別子（ＩＭＳＩ）でありうる。なおもさらに、第２パラメータは通信ネットワークおよび特に第１エンティティのサービング・ネットワークの識別子を備えるか、またはこの識別子から導出されうる。例えば、この識別子は公衆地上波移動体ネットワーク識別子（ＰＬＭＮ＿ＩＤ）でありうる。

【0030】

具体的に、第２パラメータは、0x02、ＰＬＭＮ＿ＩＤ、ＲＡＮＤ、ＩＭＰＩまたはＩＭＳＩ、およびトークンの連結を備えるか、またはこの連結から導出されうる。これは、
0x02‖ＰＬＭＮ＿ＩＤ‖ＲＡＮＤ‖ＩＭＰＩ‖トークン
と表現されうる。トークンがＳＱＮそのものである場合に、上記は
0x02‖ＰＬＭＮ＿ＩＤ‖ＲＡＮＤ‖ＩＭＰＩ‖ＳＱＮ
となり、トークンがＡＵＴＮである場合に、上記は
0x02‖ＰＬＭＮ＿ＩＤ‖ＲＡＮＤ‖ＩＭＰＩ‖ＡＵＴＮ
となる。

【0031】

本方法で用いられる第１パラメータに関して、このパラメータは、セキュリティ動作を実行することによって第１エンティティにより得られていた暗号鍵の集合を備えるか、またはこの集合から導出されうる。暗号鍵の集合は秘匿鍵（ＣＫ）および完全性鍵（ＩＫ）を備えるか、またはこれらから導出されうる。

【0032】

ＣＫとＩＫとは、ＡＵＴＮおよびＲＡＮＤに基づいて第１エンティティにより算出された秘匿鍵と完全性鍵とでありうる。ＡＵＴＮおよびＲＡＮＤは第２エンティティから配信されうる。この算出だけでなくＡＵＴＮおよびＲＡＮＤの配信はセキュリティ動作の一部を形成しうる。

【0033】

１つの実装では、第１パラメータはＣＫとＩＫとの連結を備えるか、またはこの連結から導出されうる。これは数学的にＣＫ‖ＩＫと表現されうる。

【0034】

本明細書で説明される方法は暗号鍵を生成する。この鍵は少なくとも第１エンティティと第２エンティティとによって、これらの間の任意の後続の通信において共有されうる。ある実装では、この鍵は図２の「鍵階層」において参照されるＫ_ASMEでありえ、第１エンティティと第２エンティティのアクセス・セキュリティ管理エンティティ（ＡＳＭＥ）とによって共有されうる。

【0035】

本方法は、多くの暗号鍵を生成するように１つ以上の更なる鍵導出関数を適用することを有するように拡張されうる。このような生成は上述の基本的な非拡張の方法で生成された暗号鍵、例えばＫ_ASMEに基づくかこれを利用する。

【0036】

拡張された方法で生成される暗号鍵は、ノンアクセスストラタム（ＮＡＳ）トラフィックを保護するための暗号鍵の集合、無線リソース制御（ＲＲＣ）トラフィックの保護のための暗号鍵の集合、ユーザプレーン（ＵＰ）トラフィックの保護のための暗号鍵の集合、およびＲＲＣトラフィックを保護するための暗号鍵とＵＰトラフィックを保護するための暗号鍵との少なくとも一方を導出するためのＫ_eNBのような中間暗号鍵、のうちの少なくとも１つを含みうる。これらの鍵の理解を容易にするために、ＳＡＥ／ＬＴＥで用いられる鍵階層を説明する図２が参照される。

【0037】

具体的に、ＮＡＳトラフィックを保護するための暗号鍵の集合は暗号化アルゴリズムでＮＡＳトラフィックを保護するための鍵（Ｋ_NASenc）と、完全性アルゴリズムでＮＡＳトラフィックを保護するための別の鍵（Ｋ_NASint）とのうちの少なくとも一方を備えうる。同様に、ＲＲＣトラフィックの保護のための暗号鍵の集合は暗号化アルゴリズムでＲＲＣトラフィックを保護するための鍵（Ｋ_RRCenc）と、完全性アルゴリズムでＲＲＣトラフィックを保護するための別の鍵（Ｋ_RRCint）とのうちの少なくとも一方を備えうる。さらに、ＵＰトラフィックの保護のための暗号鍵の集合は暗号化アルゴリズムでＵＰトラフィックを保護するための鍵（Ｋ_UPenc）を備えうる。

【0038】

本明細書で説明される技術について、「第１エンティティ」は移動局のようなユーザ機器でありうる。「第２エンティティ」は通信ネットワーク内に位置するエンティティでありえ、それ故「ネットワーク・エンティティ」でありうる。特に、第２エンティティはＳＡＥ／ＬＴＥネットワーク内に位置しうる。

【0039】

第２エンティティは認証センタ（ＡｕＣ）／ホーム加入者サーバ（ＨＳＳ）とモビリティ管理エンティティ（ＭＭＥ）とを備えうる。ＭＭＥは第１エンティティについてセキュリティ動作を開始する責任を有しうる。生成される暗号鍵はＡｕＣ／ＨＳＳにより生成されて、第１エンティティとＭＭＥとによって共有されうる。ＡｕＣ／ＨＳＳは、特に第１エンティティについてセキュリティ動作が開始されるごとに、ＳＱＮを増分しうる。さらに、ＡｕＣ／ＨＳＳはまた、ＳＱＮに基づいてＡＵＴＮを作成しうる。

【0040】

本明細書で参照されるセキュリティ動作は第１エンティティと第２エンティティとが連携して実行されうる。例えば、セキュリティ動作はＵＭＴＳ ＡＫＡプロトコルのようなＡＫＡ手続きに基づきうる。

【0041】

本方法で参照される鍵導出関数は汎用ブートストラッピング・アーキテクチャ（ＧＢＡ）鍵導出関数でありうる。汎用ブートストラッピング・アーキテクチャ鍵導出関数はセキュア・ハッシュ・アルゴリズム（ＳＨＡ）ハッシュ関数を採用しうる。特に、２５６ビットの長さのダイジェストを有するセキュア・ハッシュ・アルゴリズムのハッシュ関数（ＳＨＡ−２５６）が採用されうる。

【0042】

別の側面によれば、コンピュータプログラム製品が提供される。コンピュータプログラム製品は、コンピュータプログラム製品が計算装置のためのコンピュータシステムで実行される場合に本明細書で説明される方法のステップを実行するためのコンピュータコード部を備える。コンピュータプログラム製品はコンピュータで読み取り可能な記録媒体に格納されうる。

【0043】

一般に、本解決策は、ハードウェア、ソフトウェア、または統合ハードウェア／ソフトウェア・アプローチで実施されうる。

【0044】

ハードウェアによる実現に関して、通信エンティティのために暗号鍵を生成するように構成された装置が提供される。装置はセキュリティ動作を実行でき、暗号鍵の生成はその一部でありうる。本装置は、少なくとも２つのパラメータを提供するように構成された第１コンポーネントを備える。第１パラメータはセキュリティ動作を実行することによって通信エンティティにより算出された暗号鍵の集合を備えるか、この集合から導出される。第２パラメータは通信エンティティについてセキュリティ動作が開始されるごとに異なる値を有するトークンを備えるかこのトークンから導出される。本装置は、提供されるパラメータに基づいて暗号鍵を生成するために鍵導出関数を実行するように構成された第２コンポーネントをさらに備える。上述のように、トークンは多くの可能な形式をとりうる。

【0045】

トークンは、通信エンティティについて開始されたセキュリティ動作の回数を示すＳＱＮを備えるか、またはこのＳＱＮから導出されうる。１つの実装では、ＳＱＮそのものがトークンである。これに代えて、トークンは、算術演算、論理演算、および文字列演算のうちの少なくとも１つを伴うアルゴリズムを用いてＳＱＮから導出されうる。例えば、トークンは、ＳＱＮに基づいて作成されて通信エンティティへ配信されたＡＵＴＮを備えるか、またはこのＡＵＴＮから導出されうる。ここで、この作成および配信はセキュリティ動作の一部を形成する。例えば、トークンは、ＳＱＮと匿名鍵（ＡＫ）との排他的論理和、認証・鍵管理フィールド（ＡＭＦ）、およびメッセージ認証コード（ＭＡＣ）の連結でありうる。特に、これは、
トークン＝ＡＵＴＮ＝（ＳＱＮ ｘＯＲ ＡＫ）‖ＡＭＦ‖ＭＡＣ
と表現されうる。

【0046】

トークンに加えて、第２パラメータはさらに、ＲＡＮＤを備えるか、またはこのＲＡＮＤから導出されうる。ＲＡＮＤはセキュリティ動作の一部として通信エンティティへ配信されうる。さらに、第２パラメータは、通信エンティティの識別子を備えるか、またはこの識別子から導出されうる。この識別子の一例は通信エンティティのプライベート・ユーザ識別子（ＩＭＰＩ）である。なおもさらに、第２パラメータは通信エンティティのサービング・ネットワークの識別子を備えるか、またはこの識別子から導出されうる。この識別子は公衆地上波移動体ネットワーク識別子（ＰＬＭＮ＿ＩＤ）でありうるだろう。

【0047】

第２パラメータの特定の例は、0x02、ＰＬＭＮ＿ＩＤ、ＲＡＮＤ、ＩＭＰＩまたはＩＭＳＩ、およびトークンの連結を備えるか、またはこの連結から導出されうる。例えば、第２パラメータは、
0x02‖ＰＬＭＮ＿ＩＤ‖ＲＡＮＤ‖ＩＭＰＩ‖トークン
と表現されうる。トークンがＳＱＮである場合に、上記は
0x02‖ＰＬＭＮ＿ＩＤ‖ＲＡＮＤ‖ＩＭＰＩ‖ＳＱＮ
となり、トークンがＡＵＴＮである場合に、上記は
0x02‖ＰＬＭＮ＿ＩＤ‖ＲＡＮＤ‖ＩＭＰＩ‖ＡＵＴＮ
となる。

【0048】

上述のように、第１パラメータは、暗号鍵の集合を備えるか、またはこの集合から導出されうる。特に、この暗号鍵の集合は、セキュリティ動作の一部として通信エンティティにより算出された秘匿鍵（ＣＫ）および完全性鍵（ＩＫ）を備えうる。これに代えて、暗号鍵の集合は秘匿鍵および完全性鍵から導出されうる。

【0049】

特定の実装として、第１パラメータはＣＫ‖ＩＫと表現されうるＣＫとＩＫとの連結を備えるか、またはこの連結から導出されうる。

【0050】

本装置は提供された第１パラメータおよび第２パラメータに基づいて暗号鍵を生成するだけでなく、生成された暗号鍵に基づいて更なる暗号鍵を生成できる。これを行う場合に、本装置は、生成された暗号鍵に基づいて更なる暗号鍵を生成するように１つ以上の更なる鍵導出関数を適用するように構成されうる。

【0051】

これらの「更なる暗号鍵」は、ノンアクセスストラタム（ＮＡＳ）トラフィックの保護のための暗号鍵の集合、無線リソース制御（ＲＲＣ）トラフィックの保護のための暗号鍵の集合、ユーザプレーン（ＵＰ）トラフィックの保護のための暗号鍵の集合、およびＲＲＣトラフィックを保護するための暗号鍵とＵＰトラフィックを保護するための暗号鍵との少なくとも一方を導出するためのＫ_eNBのような中間暗号鍵、のうちの少なくとも１つを備えうる。

【0052】

上記で参照される通信エンティティは移動局（例えば移動体電話やネットワーク・カード）のようなユーザ機器でありうる。

【0053】

更なる側面によれば、上記で提示された装置を備えるユーザ機器が提供される。ユーザ機器は移動局でありうる。

【0054】

なおも更なる側面によれば、上述のユーザ機器を備えるシステムが提供される。本システムはネットワーク・エンティティも備える。ネットワーク・エンティティはＳＡＥ／ＬＴＥネットワーク内で用いられうる。ネットワーク・エンティティはＡｕＣ／ＨＳＳとＭＭＥとを備えうる。ＭＭＥはユーザ機器についてセキュリティ動作を開始する責任を有しうる。ＡｕＣ／ＨＳＳは暗号鍵を生成しうる。生成される暗号鍵はユーザ機器とＭＭＥとによって共有されうる。ＡｕＣ／ＨＳＳは、特にユーザ機器についてセキュリティ動作が開始されるごとに、ＳＱＮを増分しうる。さらに、ＡｕＣ／ＨＳＳはまた、ＳＱＮに基づいてＡＵＴＮを作成しうる。

【図面の簡単な説明】

【0055】

【図1】ＵＭＴＳ ＡＫＡプロトコルの基本概念を示す図である。

【図2】ＳＡＥ／ＬＴＥシステムについて提案される鍵階層を説明するブロック図である。

【図3】装置の実施形態を示すブロック図である。

【図4】システムの実施形態を示すブロック図である。

【図5】方法の実施形態を示すブロック図である。

【図6】ＵＭＴＳ ＡＫＡ動作の手続きであるネットワーク・エンティティによる認証ベクトル生成を示すブロック図である。

【図7】ＵＭＴＳ ＡＫＡ動作の別の手続きである認証・鍵確立を示すブロック図である。

【図8】ＵＭＴＳ ＡＫＡ動作の一部としてＵＥによって実行される汎用認証機能を示すブロック図である。

【図9】ＵＥにおいて上述の認証機能を実行するための特定の暗号アルゴリズムを示すブロック図である。

【図10】上述の暗号アルゴリズムの特定の詳細を示すブロック図である。

【発明を実施するための形態】

【0056】

図面に説明される例示の実施形態を参照しつつ、以下に暗号鍵生成技術が説明される。

【0057】

以下の説明では、説明のためであって限定のためではなく、暗号鍵生成技術の完全な理解を提供するために、特定のステップ列、インタフェース、および構成のような個別の詳細が説明される。これらの個別の詳細から逸脱する他の実施形態で本技術が実施されうることが当業者には明らかだろう。例えば、本技術は主にＵＭＴＳ ＡＫＡプロトコルの文脈でＳＡＥ／ＬＴＥネットワーク環境において説明されるものの、本技術はまた、他のセキュリティ・プロトコル、アーキテクチャ、または環境に関連して実施されうることが当業者に明らかだろう。

【0058】

さらに、本明細書で以下に説明される機能は、プログラムされたマイクロプロセッサまたは汎用コンピュータと連携して機能するソフトウェアを用いて実行されうることを当業者は理解するだろう。本技術は主に方法および装置の形式で説明されるが、本技術はまた、コンピュータプログラム製品に具現化されてもよいだけでなく、コンピュータプロセッサと本プロセッサに結合したメモリとを備えるシステムに具現化されてもよいことも理解されるだろう。ここで、本明細書で開示される機能を実行する１つ以上のプログラムでメモリが符号化される。

【0059】

図３は（図３に図示されない）通信エンティティについて暗号鍵を生成するように構成された装置１００の実施形態を示す。通信エンティティはセキュリティ動作を実行するように構成される。装置１００は、第１コンポーネント１０２と第２コンポーネント１０４とを備える。第１コンポーネント１０２は、矢印１０６、１０８で比喩的に示される少なくとも２つのパラメータを提供するように構成される。

【0060】

第１パラメータ１０６は暗号鍵１１０、１１２の集合を備えるか、またはこの集合から導出される。（図には２つの鍵が示されるものの、暗号鍵の集合は任意の個数の鍵を含みうる。）暗号鍵の集合はセキュリティ動作を実行することによって通信エンティティによって算出される。暗号鍵１１０、１１２の集合から第１パラメータ１０６を導出することは比喩的にブロック１１４として示される。第２パラメータ１０８はトークン１１６を備えるか、またはこのトークン１１６から導出される。トークン１１６は、セキュリティ動作が通信エンティティについて開始されるごとに異なる値を有する。トークン１１６から第２パラメータ１０８を導出することは比喩的にブロック１１８として示される。装置１００の第２コンポーネント１０４は、提供されたパラメータ１０６、１１８に基づいて暗号鍵１２０を生成するために鍵導出関数を実行するように構成される。

【0061】

図４を参照して、上述の装置１００を備えるシステム２００の実施形態が示される。装置１００は、移動局のような、ＵＥでありうる通信エンティティ２０２に含まれうる。当然ながら、通信エンティティ２０２は装置１００に適合可能な任意の適切な種類の通信エンティティでありうる。さらに、システムは、ＳＡＥ／ＬＴＥネットワーク内に存在しうるネットワーク・エンティティ２０４を備える。ネットワーク・エンティティ２０４はＡｕＣまたはＨＳＳとＭＭＥとを備えうる。これはまた、ＳＡＥ／ＬＴＥネットワーク内の別の通信エンティティでありうる。

【0062】

図３、図４に示される暗号鍵生成装置１００に対応して、暗号鍵を生成するための方法の実施形態を示す図３００が図５に示される。生成される鍵は２つのエンティティ間の通信を保護するために用いられる。第１エンティティ３０２は図４に示される通信エンティティ２０２に対応してもよく、第２エンティティ３０４は図４のネットワーク・エンティティ２０４に対応してもよい。第１エンティティはＵＥでありうる。しかしながら、本実施形態はＵＥ‐ネットワーク・エンティティ間のシナリオに限定されない。そうではなく、一般に任意の２つの通信エンティティに適用されうる。

【0063】

ＭＭＥは通信エンティティ２０２についてセキュリティ動作を開始する責任を有しうる。生成される暗号鍵はＭＭＥと通信エンティティ２０２とによって共有されうる。

【0064】

特に、方法の実施形態は、矢印３００´で比喩的に説明されるセキュリティ動作の一部として第１エンティティ３０２により実行される。セキュリティ動作は第１エンティティ３０２について第２エンティティ３０４により（特にそのＭＭＥにより）開始される。実施形態自体は２つのステップ３０６、３０８を有する。ステップ３０６では少なくとも２つのパラメータ（図３の１０６と１０８）を提供する。第１パラメータは、セキュリティ動作３００´を実行することによって第１エンティティ３０２により算出された暗号鍵（図３に示される１１０と１１２）の集合を備えるか、またはこの集合から導出される。第２パラメータは、第１エンティティ３０２についてセキュリティ動作３００´が第２エンティティにより開始されるごとに異なる値を有するトークン（図３に示される１１６）を備えるか、またはこのトークンから導出される。第２ステップ３０８で、提供されたパラメータ（図３に示される１１６と１１８）に基づいて暗号鍵（図３に示される１２０）を生成するために鍵導出関数が適用される。

【0065】

以下に、２つのＵＥ間の鍵衝突、またはさらに重要なものとして１つ且つ同一のＵＥについてのセキュリティ動作の２つの異なる実行間の鍵衝突を本技術がどのように首尾よく回避するかを特に強調しつつ、暗号鍵生成技術を説明するための実質的な詳細が与えられる。

【0066】

暗号鍵生成はＵＭＴＳ ＡＫＡ動作の一部でありうる。ＵＭＴＳ ＡＫＡは、ＵＥ特にそのＵＳＩＭと、ＵＥのホーム環境（ＨＥ）内のＡｕＣ／ＨＳＳとが、ユーザ固有の秘密鍵Ｋ、所定のメッセージ認証関数ｆ１、ｆ２、および所定の暗号鍵生成関数ｆ３、ｆ４、ｆ５を共有するという実装に基づく。さらに、ＵＳＩＭとＡｕＣ／ＨＳＳとは、ネットワーク認証をサポートするためにカウンタまたはシーケンス番号ＳＱＮ_UE、ＳＱＮ_HEをそれぞれ管理する。例えば、ＡｕＣ／ＨＳＳは、特に第１エンティティについてセキュリティ動作が開始されるごとに、ＳＱＮ_HEを増分しうる。ＵＭＴＳ ＡＫＡ動作は、認証ベクトル（ＡＶ）生成、認証・鍵確立を含む複数の手続きを有する。

【0067】

ＡＶ手続きの目的は、複数のユーザ認証を実行するために、ＵＥのＨＥからＳＮ／ＶＬＲ（またはＭＭＥ）に未使用の（fresh）ＡＶの配列を提供することである。ＨＥによる認証ベクトル生成が図６に説明される。この図を参照して、ＳＮ／ＶＬＲから要求を受信すると、ＡｕＣ／ＨＳＳはｎ個の認証ベクトルＡＶ（１…ｎ）の順序配列をＳＮ／ＶＬＲへ送信する。各ＡＶは乱数（すなわち乱数チャレンジ）ＲＡＮＤ、期待応答ＸＲＥＳ、秘匿鍵ＣＫ、完全性鍵ＩＫ、および認証トークンＡＵＴＮを備える。

【0068】

ＡｕＣ／ＨＳＳは、未使用のシーケンス番号ＳＱＮと予測不可能なチャレンジＲＡＮＤとを生成することから始める。続いて、以下の値が算出される：
‐メッセージ認証コードＭＡＣ＝ｆ１（ＳＱＮ‖ＲＡＮＤ‖ＡＭＦ）、ここでｆ１はメッセージ認証関数、
‐期待応答ＸＲＥＳ＝ｆ２（ＲＡＮＤ）、ここでｆ２は（場合によっては切り落とされた（truncated））メッセージ認証関数、
‐秘匿鍵ＣＫ＝ｆ３（ＲＡＮＤ）、ここでｆ３は鍵生成関数、
‐完全性鍵ＩＫ＝ｆ４（ＲＡＮＤ）、ここでｆ４は鍵生成関数、
‐匿名鍵ＡＫ＝ｆ５（ＲＡＮＤ）、ここでｆ５は鍵生成関数。

【0069】

最後に、認証トークンＡＵＴＮ＝（ＳＱＮ ｘＯＲ ＡＫ）‖ＡＭＦ‖ＭＡＣが作成される。これはＡＵＣ／ＨＳＳにより作成されうる。ここで、ＡＫはＳＱＮを秘匿するために用いられる匿名鍵である。なぜなら、ＳＱＮはＵＥの識別子およびロケーションをさらしうるからである。ＳＱＮの隠匿は受動的攻撃から保護するためである。ＡＫの使用はオプションでありうる。ＡＫが用いられない場合に値ＡＫ＝000...0がその代わりに比喩的に用いられうる。

【0070】

ＡＶの配列は認証応答において要求元のＳＮ／ＶＬＲへ返信される。各ＡＶはＳＮ／ＶＬＲとＵＳＩＭとの間の１つ（且つ唯１つ）の認証／暗号鍵配送について有効である。

【0071】

ＵＭＴＳ ＡＫＡ動作の次の手続きである認証・鍵確立はＳＮ／ＶＬＲとＵＥとの間で相互認証し、新たな秘匿鍵および完全性鍵を確立することである。この処理は図７に説明される。この図を参照して、ＳＮ／ＶＬＲが認証／暗号鍵配送を開始する場合に、それは配列から次のＡＶを選択し、パラメータであるＲＡＮＤおよびＡＵＴＮをＵＥへ送信する。ＵＳＩＭはＡＵＴＮが受け入れ可能であるかどうかを調べ、そうであるならばＳＮ／ＶＬＲへ返信される応答ＲＥＳを作り出す。特にＵＥ′の手続きが図８に示される。

【0072】

図８を参照して、ＲＡＮＤおよびＡＵＴＮを受信すると、ＵＥはまず匿名鍵ＡＫ＝ｆ５（ＲＡＮＤ）を算出し（またはＡＫ＝000...0を使用し）、シーケンス番号ＳＱＮ＝（ＳＱＮ ｘＯＲ ＡＫ） ｘＯＲ ＡＫを読み出す。次に、ＵＥはＸＭＡＣ＝ｆ１（ＳＱＮ‖ＲＡＮＤ‖ＡＭＦ）を算出し、これをＡＵＴＮに含まれるＭＡＣと比較する。これらが異なるならば、ＵＥはユーザ認証却下を理由の表示とともにＳＮ／ＶＬＲへ返信し、ＵＥは手続きを中止する。さもなければ、ＵＥは受信されたＳＱＮが正しい範囲内にあることを検証する。

【0073】

ＳＱＮが正しい範囲内にあると考えられるならば、ＵＥはＲＥＳ＝ｆ２（ＲＡＮＤ）を算出し、ＳＮ／ＶＬＲへ戻されるユーザ認証応答にこのパラメータを含める。最後に、ＵＥは秘匿鍵ＣＫ＝ｆ３（ＲＡＮＤ）と完全性鍵ＩＫ＝ｆ４（ＲＡＮＤ）とを算出する。効率性を向上するために、ＲＥＳ、ＣＫ、およびＩＫはまた、ＲＡＮＤを受信した後の任意の時点で早期に算出されうるだろう。ＵＥは再同期のためにＲＡＮＤを記憶しうる。

【0074】

ユーザ認証応答を受信すると、ＳＮ／ＶＬＲはＲＥＳと、選択された認証ベクトルからの期待応答ＸＲＥＳとを比較する。ＸＲＥＳがＲＥＳに等しいならば、ユーザの認証は受け入れられている。次いで、新たに算出された鍵ＣＫ、ＩＫは秘匿機能および完全性機能を実行するエンティティへＵＳＩＭおよびＳＮ／ＶＬＲによって転送されるだろう。

【0075】

上記から、ＵＭＴＳ ＡＫＡ動作は組（ＲＡＮＤ，ＡＵＴＮ）に基づき、ＡＵＴＮは
ＡＵＴＮ＝（ＳＱＮ ｘＯＲ ＡＫ）‖ＡＭＦ‖ＭＡＣ
として、シーケンス番号ＳＱＮを備えるか、またはこのＳＱＮから導出されることが見て取れる。ここで、ＡＫは匿名鍵であり、上記の出力”ｆ５”からミレナージュ（図９参照）によって作り出されうる。

【0076】

以下の関数
ＫＤＦ（ＣＫ‖ＩＫ，ＲＡＮＤ‖ＩＭＰＩ‖ＳＱＮ）
は上述の衝突問題への第１解決策である。ここで、ＳＱＮはこのように入力に含まれている。ここで、２つのＲＡＮＤが同一、すなわちＲＡＮＤ＝ＲＡＮＤ´だとしても、ＳＱＮが常に（例えば１だけ）増加しているという事実は、入力が異なり、一意であり、または区別できることを保証するだろう。

【0077】

代替の解決策は、
ＫＤＦ（ＣＫ‖ＩＫ，ＲＡＮＤ‖ＩＭＰＩ‖ＡＵＴＮ）
を用いることである。この解決策は、ＡＵＴＮがＡＫＡシグナリングから「そのまま」用いられうるため、より単純に実装されうる。しかしながら、この場合の入力の「一意性」は明らかでないかもしれない。なぜなら、
ＡＵＴＮ＝（ＳＱＮ ｘＯＲ ＡＫ）‖ＡＭＦ‖ＭＡＣ
であり、ＳＱＮ≠ＳＱＮ´だとしても、ＡＫが場合によっては違いを「打ち消し」うるため、（ＳＱＮ ｘＯＲ ＡＫ）と（ＳＱＮ´ ｘＯＲ ＡＫ´）とが異なることはすぐには見て取れない。しかしながら、以下のように、（ＳＱＮ ｘＯＲ ＡＫ）が異なっていることが証明されうる。

【0078】

（ＣＫ‖ＩＫ，ＲＡＮＤ‖ＩＭＰＩ‖ＡＵＴＮ）＝（ＣＫ´‖ＩＫ´，ＲＡＮＤ′‖ＩＭＰＩ‖ＡＵＴＮ´）
が成り立つと想定する。これがＣＫ＝ＣＫ´、ＩＫ＝ＩＫ´、およびＲＡＮＤ＝ＲＡＮＤ´を暗示することがすでに示されている。よって、ＡＵＴＮ＝ＡＵＴＮ´が成り立ちうるかどうかを調べることが残っている。これを調べることは、
（ＳＱＮ ｘＯＲ ＡＫ）‖ＡＭＦ‖ＭＡＣ＝（ＳＱＮ´ ｘＯＲ ＡＫ´）‖ＡＭＦ´‖ＭＡＣ´
が成り立つかどうかを調べることに置き換えうる。

【0079】

一般性を失わずにＡＭＦ＝ＡＭＦ´かつＭＡＣ＝ＭＡＣ´であると仮定しよう。次いで、以下の
ＳＱＮ ｘＯＲ ＡＫ ＝ ＳＱＮ´ ｘＯＲ ＡＫ´
が成り立ちうるかどうかを調べることだけが必要になる。

【0080】

ＲＡＮＤ＝ＲＡＮＤ´が予想されることを再考しよう。図９に示されるミレナージュ・アルゴリズムを参照して、これはＡＫ＝ＡＫ´（なぜならこれらは同じＲＡＮＤから作り出されたため）を暗示する。よって、
ＳＱＮ＝ＳＱＮ´
となるべきであるが、これは矛盾する。なぜなら、前述のように、ＳＱＮは常に「ステップアップ」し、よってＳＱＮ≠ＳＱＮ´であるからである。

【0081】

よって、第２解決策もＫＤＦ関数への入力の一意性が保証されることが証明される。

【0082】

一意性を達成するためにＳＱＮまたはＡＵＴＮを用いる代わりの一般の解決策とて、ＵＥについてネットワークによりＵＭＴＳ ＡＫＡ動作が開始されるごとに異なる値を有する任意のトークンが利用可能である。例えば、（上述の解析によって、）必要な一意性特性を有するため、（ＡＵＴＮの一部を形成する）ＳＱＮ ｘＯＲ ＡＫが用いられうる。

【0083】

上述の暗号鍵生成技術は数多くの利点を示す。例えば、これはＫＤＦ入力の一意性を保証する。従って、起こりえる同一の入力によってもたらされる衝突を首尾よく回避する。この技術を用いれば、生成される暗号鍵が例えばＳＡＥ／ＬＴＥシステムの高水準のセキュリティ要件を満たすことができるだろう。さらなる利点として、本技術はＵＳＩＭを交換する必要なく、すでに配備されたＵＳＩＭに基づいて実装されうる。ＳＱＮでなくＡＵＴＮを用いることによる別の個別の利点は、本発明が（ＵＳＩＭ以外の）移動体端末において実施されうることである。

【0084】

暗号鍵生成技術の実施形態が添付の図面で説明され前述の明細書で記載されてきたが、本技術はここに開示された実施形態に限定されないことが理解されるだろう。本技術は本発明の範囲を逸脱することなく数多くの再構成、修正および置換が可能である。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】