特許 6803481 サーバ及びユーザ装置間の通信を管理する方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6803481

(24)【登録日】2020年12月2日

(45)【発行日】2020年12月23日

(54)【発明の名称】サーバ及びユーザ装置間の通信を管理する方法

(51)【国際特許分類】

   H04W 12/06 20090101AFI20201214BHJP

   H04L 9/08 20060101ALI20201214BHJP

   H04W 12/04 20090101ALI20201214BHJP

【ＦＩ】

   H04W12/06

   H04L9/00 601B

   H04W12/04

【請求項の数】16

【全頁数】19

(21)【出願番号】特願2019-563672(P2019-563672)

(86)(22)【出願日】2018年2月2日

(65)【公表番号】特表2020-508017(P2020-508017A)

(43)【公表日】2020年3月12日

(86)【国際出願番号】EP2018052605

(87)【国際公開番号】WO2018141889

(87)【国際公開日】20180809

【審査請求日】2019年8月2日

(31)【優先権主張番号】17305124.4

(32)【優先日】2017年2月3日

(33)【優先権主張国】EP

(73)【特許権者】

【識別番号】519283417

【氏名又は名称】タレス ディアイエス フランス エスアー

(74)【代理人】

【識別番号】100086368

【弁理士】

【氏名又は名称】萩原 誠

(72)【発明者】

【氏名】アレン レリミ

(72)【発明者】

【氏名】ミシェル アンスロット

【審査官】 石原 由晴

(56)【参考文献】

【文献】 国際公開第２０１６／１４０８２３（ＷＯ，Ａ１）

【文献】 国際公開第２０１５／０１８５３２（ＷＯ，Ａ１）

【文献】 Gemalto，FS_NSA: Solution for Remote Provisioning[online]，3GPP TSG SA WG3 (Security) Meeting #85 S3-161866，Internet<URL:http://www.3gpp.org/ftp/tsg_sa/WG3_Security/TSGS3_85_Santa_Cruz/Docs/S3-161866.zip>，２０１６年１０月３１日

【文献】 Gemalto N.V.，Network Slice for Initial Attachment enabling Remote Subscription Management[online]，SA WG2 Meeting #118 S2-166754，Internet<URL:http://www.3gpp.org/ftp/tsg_sa/WG2_Arch/TSGS2_118_Reno/Docs/S2-166754.zip>，２０１６年１１月 ８日

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｂ ７／２４−７／２６

Ｈ０４Ｗ ４／００−９９／００

Ｈ０４Ｌ ９／０８

３ＧＰＰ ＴＳＧ ＲＡＮ ＷＧ１−４

ＳＡ ＷＧ１−４

ＣＴ ＷＧ１、４

(57)【特許請求の範囲】

【請求項1】

１セットのコマンド／応答ペアによるサーバ（３０）及びユーザ装置（２０）間の通信方法において、
前記ユーザ装置（２０）が、ＥＴＳＩ ＴＳ １２４．００８により定義される接続要求フレームのＩＭＳＩフィールドを使用して前記ペアの１つのコマンドを前記サーバ（３０）に伝送し、前記サーバ（３０）が、ＥＴＳＩ ＴＳ １２４．００８により定義される認証要求フレームの認証パラメータＲＡＮＤフィールド又は認証パラメータＡＵＴＮフィールドを使用して前記コマンドに対応する応答を伝送し、前記サーバ（３０）が、前記接続要求フレームに応答して前記認証要求フレームを送信する、ことを特徴とする方法。

【請求項2】

前記ユーザ装置（２０）が前記ＩＭＳＩフィールドのＭＳＩＮ部分を使用して前記コマンドを送信する、請求項１に記載の方法。

【請求項3】

前記ユーザ装置（２０）がセッション識別子を取得するための初期コマンドを送信し、前記サーバ（３０）が前記初期コマンドに応答して前記セッション識別子を送信し、前記ユーザ装置（２０）がセッション終了コマンドまで前記サーバ（３０）に送信される後続の全てのコマンドに前記セッション識別子を含める、請求項１に記載の方法。

【請求項4】

前記ユーザ装置（２０）が前記ユーザ装置（２０）に一意に割り当てられたターゲット識別子（１４）を格納し、前記サーバ（３０）がある範囲のトランザクション識別子を含み、前記コマンドが前記ターゲット識別子（１４）から生成されたパラメータを含み、前記サーバ（３０）が前記パラメータによって前記範囲内の前記ターゲット識別子（１４）を探し出す、請求項１に記載の方法。

【請求項5】

ＵＨが前記ターゲット識別子（１４）の６４最上位ビットを示し、ＰＨＬ_ｎが前記範囲の下限の６４最上位ビットを示し、ＰＨＨ_ｎが前記範囲の上限の６４最上位ビットを示し、Ｈが前記パラメータに含まれるプローブ値を示し、前記ユーザ装置（２０）が前記サーバ（３０）からＰＨＨ_ｎとＰＨＬ_ｎの両方を受信し、Ｈが（（ＵＨ−ＰＨＬ_ｎ）*１０００００）／（ＰＨＨ_ｎ−ＰＨＬ_ｎ）に等しく、前記サーバ（３０）が、ＰＨＬ_ｎ＋（Ｈ*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＬ_ｎ+１を生成し、ＰＨＬ_ｎ＋（（Ｈ＋１）*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＨ_ｎ+１を生成する、請求項４に記載の方法。

【請求項6】

前記ユーザ装置（２０）が耐タンパエレメント（１０）を組み込み、前記ユーザ装置（２０）が前記ユーザ装置（２０）に割り当てられたＩＭＳＩ（２６）を要求するコマンドを送信し、これに応答して前記サーバ（３０）が前記ターゲット識別子（１４）によって前記ＩＭＳＩ（２６）を選択し、前記ＩＭＳＩ（２６）を返送し、前記ユーザ装置（２０）が前記耐タンパエレメント（１０）に前記ＩＭＳＩ（２６）を転送する、請求項４に記載の方法。

【請求項7】

前記ユーザ装置（２０）が、移動体オペレータに割り当てられ、通信ネットワークへの安全なアクセスに必要なクレデンシャルを生成するのに必要な鍵（２８）を要求するためのコマンドを送信し、これに応答して前記サーバ（３０）が前記ターゲット識別子（１４）によって前記鍵（２８）を選択し、前記鍵（２８）を返送し、前記ユーザ装置（２０）が前記耐タンパエレメント（１０）に前記鍵（２８）を転送し、前記耐タンパエレメント（１０）が、前記鍵（２８）と前記耐タンパエレメント（１０）に予め格納されているシード（２４）の両方から前記クレデンシャルを計算する、請求項６に記載の方法。

【請求項8】

前記シードが前記ユーザ装置（２０）から取得され、前記移動体オペレータに送信され、前記移動体オペレータが、ＭＮＯ私有鍵とＭＮＯ公開鍵とからなるＭＮＯ鍵ペアを生成し、前記ＩＭＳＩを生成し、前記シードからＫｉを計算し、前記ＭＮＯ公開鍵が、前記移動体オペレータに割り当てられた前記鍵（２８）であり、前記移動体オペレータが、前記サーバ（３０）に前記ＭＮＯ公開鍵、前記ＩＭＳＩ及び前記ターゲット識別子（１４）を送信する、請求項７に記載の方法。

【請求項9】

前記移動体オペレータが、第三者（ＩＤＳ）に前記シード（２４）をチェックするよう要求することによって前記耐タンパエレメント（１０）が本物であることを検証する、請求項７に記載の方法。

【請求項10】

前記ユーザ装置（２０）がベースバンドを組み込み、前記ベースバンドが、前記サーバ（３０）からＩＭＳＩ（２６）及び移動体オペレータに割り当てられた鍵（２８）を取得するために、前記耐タンパエレメント（１０）を使用することなく前記セットのコマンドを送信し、前記ベースバンドが、前記ＩＭＳＩ（２６）と前記鍵（２８）の両方を前記耐タンパエレメント（１０）に転送し、前記耐タンパエレメント（１０）が、３ＧＰＰ鍵導出メカニズムに従って導出される接続クレデンシャルを計算する、請求項７に記載の方法。

【請求項11】

プロセッサ（７０）を備え、コマンド／応答ペアによってサーバ（３０）と通信可能なユーザ装置（２０）において、
前記ユーザ装置（２０）が、前記プロセッサ（７０）により実行され、ＥＴＳＩ ＴＳ １２４．００８により定義される接続要求フレームを生成及び送信して、前記ペアの１つの接続要求フレームのＩＭＳＩフィールドに含まれているコマンドを前記サーバ（３０）に伝送するように適合された通信エージェント（７１）を備え、前記通信エージェント（７１）が、前記プロセッサ（７０）により実行され、前記接続要求フレームに応答して、ＥＴＳＩ ＴＳ １２４．００８により定義される認証要求フレームの認証パラメータＲＡＮＤフィールド又は認証パラメータＡＵＴＮフィールドで伝送された前記コマンドに対応する応答を受信するように適合される、ことを特徴とするユーザ装置（２０）。

【請求項12】

前記ユーザ装置（２０）が、次の順序付けられた一連のコマンド、すなわちセッション識別子の要求、ターゲット識別子（１４）の送信、ＩＭＳＩの要求、移動体オペレータに割り当てられた鍵（２８）の要求、及びセッション終了を前記サーバ（３０）に送信するように構成された、請求項１１に記載のユーザ装置（２０）。

【請求項13】

ＵＨが前記ターゲット識別子（１４）の６４最上位ビットを示し、ＰＨＬ_ｎが前記サーバ（３０）に格納されている範囲の下限の６４最上位ビットを示し、ＰＨＨ_ｎが前記範囲の上限の６４最上位ビットを示し、前記ユーザ装置（２０）が、プロセッサ（１７）と、前記プロセッサ（１７）により実行され、（（ＵＨ−ＰＨＬ_ｎ）*１０００００）／（ＰＨＨ_ｎ−ＰＨＬ_ｎ）に等しいプローブ値（Ｈ）を生成するように適合されたソフトウェアプローブエージェント（３４）とを備えた耐タンパエレメント（１０）を組み込む、請求項１２に記載のユーザ装置（２０）。

【請求項14】

プロセッサ（８０）を備え、コマンド／応答ペアによってユーザ装置（２０）と通信可能なサーバ（３０）において、
前記サーバ（３０）が、前記プロセッサ（８０）により実行され、ＥＴＳＩ ＴＳ １２４．００８により定義される接続要求フレームを受信して、前記ペアの１つの接続要求フレームのＩＭＳＩフィールドに含まれているコマンドを前記ユーザ装置（２０）から伝送するように適合されたプロビジョニングエージェント（８１）を備え、前記プロビジョニングエージェント（８１）が、前記プロセッサ（８０）により実行され、前記接続要求フレームに応答して、ＥＴＳＩ ＴＳ １２４．００８により定義される認証要求フレームの認証パラメータＲＡＮＤフィールド又は認証パラメータＡＵＴＮフィールドで伝送された前記コマンドに対応する応答を生成及び送信するように適合される、ことを特徴とするサーバ（３０）。

【請求項15】

前記ユーザ装置（２０）が、前記ユーザ装置（２０）に一意に割り当てられたターゲット識別子（１４）を格納するように意図され、前記サーバ（３０）が、ある範囲のトランザクション識別子を格納し、前記コマンドが前記ターゲット識別子（１４）から生成されたパラメータを含み、前記サーバ（３０）が前記パラメータを使用することによって前記範囲内の前記ターゲット識別子（１４）を探し出すように構成された、請求項１４に記載のサーバ（３０）。

【請求項16】

ＵＨが前記ターゲット識別子（１４）の６４最上位ビットを示し、ＰＨＬ_ｎが前記範囲の下限の６４最上位ビットを示し、ＰＨＨ_ｎが前記範囲の上限の６４最上位ビットを示し、Ｈが前記パラメータに含まれたプローブ値を示し、前記サーバ（３０）が、前記ユーザ装置（２０）にＰＨＨ_ｎとＰＨＬ_ｎの両方を送信するように構成され、Ｈが（（ＵＨ−ＰＨＬ_ｎ）*１０００００）／（ＰＨＨ_ｎ−ＰＨＬ_ｎ）に等しく、前記サーバ（３０）が、ＰＨＬ_ｎ＋（Ｈ*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＬ_ｎ+１を生成し、ＰＨＬ_ｎ＋（（Ｈ＋１）*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＨ_ｎ+１を生成するように構成された、請求項１５に記載のサーバ（３０）。

【発明の詳細な説明】

【技術分野】

【0001】

本発明はサーバ及びユーザ装置間の通信を管理する方法に関する。本発明は特に、サーバと、完全なテレコムクレデンシャルを有していないテレコムユーザ装置との間の通信チャネルを確立する方法に関する。

【背景技術】

【0002】

テレコム通信ネットワークを安全に接続するために、ユーザ装置には、対ＩＭＳＩ／Ｋｉとして知られている完全なテレコムクレデンシャルがプロビジョニングされる必要がある。ここでＩＭＳＩは、テレコム加入者の一意の識別子であり、Ｋｉは、移動体ネットワークオペレータにより加入者に一意に割り当てられた秘密鍵である。

【0003】

対ＩＭＳＩ／Ｋｉは通常、ＳＩＭカード、汎用集積回路カード（ＵＩＣＣ）、埋設型セキュアエレメント（例えばｅＵＩＣＣ）、ソフトウェアセキュアエンクレーブ、又はシステムオンチップ（ＳＯＣ）内に組み込まれたセキュアエレメント（すなわちｉＵＩＣＣ）である可能性がある耐タンパ性を有するエレメントに格納される。

【0004】

耐タンパエレメントは、含まれるデータへのアクセスを制御すること、及び他の機械又はエンティティによるそのデータの使用を許可する又は許可しないことができるため安全であると考えられる。耐タンパエレメントはまた、暗号コンポーネント（暗号プロセッサとしても知られている）をベースとする計算サービスを提供することができる。一般に、耐タンパエレメントはコンピューティング資源及びメモリ資源が限られており、電力を供給するホストマシンに接続されることが意図されている。耐タンパエレメントは、ホストマシンに対して取り外し可能であっても固定されていてもよい。

【0005】

製造プロセスに起因して、ユーザ装置（及びその耐タンパエレメント）が対ＩＭＳＩ／Ｋｉなしに出荷される可能性がある。

【0006】

このようなユーザ装置と、ユーザ装置が対ＩＭＳＩ／Ｋｉを入手できるようにすることが意図されたサーバとの間の通信セッションを安全に確立する必要がある。

【発明の概要】

【発明が解決しようとする課題】

【0007】

本発明の目的は、上述の技術的問題を解決することである。

【課題を解決するための手段】

【0008】

本発明の目的は、１セットのコマンド／応答ペアによるサーバ及びユーザ装置間の通信方法である。ユーザ装置は、ＥＴＳＩ ＴＳ １２４．００８により定義される接続要求フレームのＩＭＳＩフィールドを使用して上記ペアの１つのコマンドをサーバに伝送する。サーバは、ＥＴＳＩ ＴＳ １２４．００８により定義される認証要求フレームの認証パラメータＲＡＮＤフィールド又は認証パラメータＡＵＴＮフィールドを使用して、受信したコマンドに対応する応答を伝送する。サーバは、接続要求フレームに応答して認証要求フレームを送信する。

【0009】

有利には、ユーザ装置はＩＭＳＩフィールドのＭＳＩＮ部分を使用してコマンドを送信することができる。

【0010】

有利には、ユーザ装置はセッション識別子を取得するための初期コマンドを送信することができ、サーバは初期コマンドに応答してセッション識別子を送信することができ、ユーザ装置は、セッション終了コマンドまでサーバに送信される後続の全てのコマンドにセッション識別子を含めることができる。

【0011】

有利には、ユーザ装置は、上記ユーザ装置に一意に割り当てられたターゲット識別子を格納することができ、サーバはある範囲のトランザクション識別子を含むことができ、コマンドはターゲット識別子から生成されたパラメータを含むことができ、サーバは上記パラメータによって範囲内のターゲット識別子を探し出すことができる。

【0012】

有利には、ＵＨがターゲット識別子の６４最上位ビットを示し、ＰＨＬ_ｎが範囲の下限の６４最上位ビットを示し、ＰＨＨ_ｎが範囲の上限の６４最上位ビットを示し、Ｈがパラメータに含まれるプローブ値を示し、ユーザ装置はサーバからＰＨＨ_ｎとＰＨＬ_ｎの両方を受信することができ、Ｈは（（ＵＨ−ＰＨＬ_ｎ）*１０００００）／（ＰＨＨ_ｎ−ＰＨＬ_ｎ）に等しい。サーバは、ＰＨＬ_ｎ＋（Ｈ*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＬ_ｎ+１を生成することができ、ＰＨＬ_ｎ＋（（Ｈ＋１）*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＨ_ｎ+１を生成することができる。

【0013】

有利には、ユーザ装置は、耐タンパエレメントを組み込むことができる。ユーザ装置は、ユーザ装置に割り当てられたＩＭＳＩを要求するコマンドを送信することができる。これに応答して、サーバはターゲット識別子によってＩＭＳＩを選択し、ＩＭＳＩを返送することができる。ユーザ装置は、耐タンパエレメントにＩＭＳＩを転送することができる。

【0014】

有利には、ユーザ装置は、移動体オペレータに割り当てられ、通信ネットワークへの安全なアクセスに必要なクレデンシャルを生成するのに必要な鍵を要求するためのコマンドを送信することができる。これに応答して、サーバはターゲット識別子によってこの鍵を選択し、返送することができる。ユーザ装置は、耐タンパエレメントにこの鍵を転送することができ、耐タンパエレメントは、この鍵と耐タンパエレメントに予め格納されているシードの両方から上記クレデンシャルを計算することができる。

【0015】

有利には、シードはユーザ装置から取得し、移動体オペレータに送信することができる。移動体オペレータは、ＭＮＯ私有鍵とＭＮＯ公開鍵とからなるＭＮＯ鍵ペアを生成し、ＩＭＳＩを生成し、シードからＫｉを計算することができる。ＭＮＯ公開鍵は、移動体オペレータに割り当てられた鍵であってよい。移動体オペレータは、サーバにＭＮＯ公開鍵、ＩＭＳＩ及びターゲット識別子を送信することができる。

【0016】

有利には、移動体オペレータは、第三者にシードをチェックするよう要求することによって耐タンパエレメントが本物であることを検証することができる。

【0017】

有利には、ユーザ装置はベースバンドを組み込むことができる。ベースバンドは、サーバからＩＭＳＩと移動体オペレータに割り当てられた鍵とを取得するために、耐タンパエレメントを使用することなく上記セットのコマンドを送信することができる。ベースバンドは、上記ＩＭＳＩと上記鍵の両方を耐タンパエレメントに転送することができる。耐タンパエレメントは、３ＧＰＰ鍵導出メカニズムに従って導出される接続クレデンシャルを計算することができる。

【0018】

本発明の別の目的は、プロセッサを備え、１セットのコマンド／応答ペアによってサーバと通信可能なユーザ装置である。ユーザ装置は、プロセッサにより実行され、ＥＴＳＩ ＴＳ １２４．００８により定義される接続要求フレームを生成及び送信して、上記ペアの１つの接続要求フレームのＩＭＳＩフィールドに含まれているコマンドをサーバに伝送するように適合された通信エージェントを備える。通信エージェントは、プロセッサにより実行され、接続要求フレームに応答して、ＥＴＳＩ ＴＳ １２４．００８により定義される認証要求フレームの認証パラメータＲＡＮＤフィールド又は認証パラメータＡＵＴＮフィールドで伝送された上記コマンドに対応する応答を受信するように適合される。

【0019】

有利には、ユーザ装置は、次の順序付けられた一連のコマンド、すなわちセッション識別子の要求、ターゲット識別子の送信、ＩＭＳＩの要求、移動体オペレータに割り当てられた鍵の要求、及びセッション終了をサーバに送信するように構成されてよい。

【0020】

有利には、ＵＨがターゲット識別子（１４）の６４最上位ビットを示し、ＰＨＬ_ｎがサーバ（３０）に格納されている範囲の下限の６４最上位ビットを示し、ＰＨＨ_ｎが範囲の上限の６４最上位ビットを示し、ユーザ装置は、プロセッサと、プロセッサにより実行され、（（ＵＨ−ＰＨＬ_ｎ）*１０００００）／（ＰＨＨ_ｎ−ＰＨＬ_ｎ）に等しいプローブ値（Ｈ）を生成するように適合されたソフトウェアプローブエージェントとを備えた耐タンパエレメントを組み込むことができる。

【0021】

本発明の別の目的は、プロセッサを備え、１セットのコマンド／応答ペアによってユーザ装置と通信可能なサーバである。サーバは、プロセッサにより実行され、ＥＴＳＩ ＴＳ １２４．００８により定義される接続要求フレームを受信して、上記ペアの１つの接続要求フレームのＩＭＳＩフィールドに含まれているコマンドをユーザ装置から伝送するように適合されたプロビジョニングエージェントを備える。プロビジョニングエージェントは、プロセッサにより実行され、接続要求フレームに応答して、ＥＴＳＩ ＴＳ １２４．００８により定義される認証要求フレームの認証パラメータＲＡＮＤフィールド又は認証パラメータＡＵＴＮフィールドで伝送された上記コマンドに対応する応答を生成及び送信するように適合される。

【0022】

有利には、ユーザ装置は、上記ユーザ装置に一意に割り当てられたターゲット識別子を格納するように意図されてよい。サーバはある範囲のトランザクション識別子を格納することができる。コマンドはターゲット識別子から生成されたパラメータを含むことができ、サーバは上記パラメータを使用することによって範囲内のターゲット識別子を探し出すように構成されてよい。

【0023】

有利には、ＵＨがターゲット識別子の６４最上位ビットを示し、ＰＨＬ_ｎが範囲の下限の６４最上位ビットを示し、ＰＨＨ_ｎが範囲の上限の６４最上位ビットを示し、Ｈがパラメータに含まれるプローブ値を示し、サーバはユーザ装置にＰＨＨ_ｎとＰＨＬ_ｎの両方を送信するように構成されてよく、Ｈは（（ＵＨ−ＰＨＬ_ｎ）*１０００００）／（ＰＨＨ_ｎ−ＰＨＬ_ｎ）に等しい。サーバは、ＰＨＬ_ｎ＋（Ｈ*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＬ_ｎ+１を生成し、ＰＨＬ_ｎ＋（（Ｈ＋１）*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＨ_ｎ+１を生成するように構成されてよい。

【図面の簡単な説明】

【0024】

本発明の他の特徴及び利点は、対応する添付の図面を参照しながら本発明の複数の好適な実施形態の以下の説明を読めばより明らかになるだろう。

【0025】

【図1】本発明のある実施例によるユーザ装置とサーバの間の通信管理のフロー図。

【図2】本発明のある実施例によるユーザ装置のアーキテクチャの模式図。

【図3】本発明のある実施例によるサーバのアーキテクチャの模式図。

【図4】本発明のある実施形態によるユーザ装置の耐タンパエレメントにテレコムクレデンシャルをプロビジョニングするための通信管理のフロー図。

【発明を実施するための形態】

【0026】

本発明は、完全なテレコムクレデンシャルがプロビジョニングされることが意図されたいずれのタイプのユーザ装置にも適用可能である。

【0027】

このようなユーザ装置は、例えばスマートフォン、タブレット、パーソナルコンピュータ、スマートウォッチ、車両、計器、スロットマシン、ＴＶ又はコンピュータであってよい。

【0028】

本発明は、通常はテレコムデバイスに実装される通信プロトコルを全く新しい方法で使用することによって利用する。ユーザ装置及びサーバは、ユーザ装置により送信されるコマンドとサーバにより返送される応答とからなるコマンド／応答ペアのメカニズムによって通信する。

【0029】

ユーザ装置は、ＥＴＳＩ ＴＳ １２４．００８（例えば２００９年７月付けのバージョン８．６．０）により定義される接続要求フレームを使用して、このフレームのＩＭＳＩフィールドを通じて１つのコマンドを伝送する。

【0030】

サーバは、ＥＴＳＩ ＴＳ １２４．００８（例えば２００９年７月付けのバージョン８．６．０）により定義される認証要求フレームを使用して、このフレームの認証パラメータＲＡＮＤフィールド又は認証パラメータＡＵＴＮフィールドの一方（又は両方）を通じて、受信したコマンドに対応する応答を伝送する。

【0031】

サーバはＴＳ １２４．００８により指定される接続要求に対する従来の応答を送信しないことに留意されたい。

【0032】

好ましくは、ユーザ装置は、接続要求フレームのＩＭＳＩフィールドのＭＳＩＮ（移動体加入者識別番号）部分を使用してデータをサーバに向けて伝送する。例えばＭＳＩＮ部分は３つの領域に分割することができる：
−セッション識別子をコード化するために確保された３桁（割り当てスロットとも呼ばれる）
−ペイロードに確保された５桁
−コマンド識別子のために確保された１桁。

【0033】

好ましくは、ユーザ装置及びサーバは、新しいコマンドセットについて次の約束事を使用するように構成される。
−新しいセッション識別子の要求のための「０」
−ユーザ装置に割り当てられた一意の識別子の送信のための「１」
−ＩＭＳＩの要求のための「２」
−加入者／移動体オペレータに割り当てられた鍵の要求のための「３」
−コマンドをいくつかの後続フレームに分割する必要がある場合のシーケンス番号「４」〜「８」
−セッションを閉じる（すなわちセッションを終了させる）ための「９」。

【0034】

有利には、シーケンス番号はループ式に管理することができる。すなわち「８」に達したら「４」から続く（すなわち「４」からの再番号割当が行われる循環連続／モジュロ）。したがって、後続フレームの数に制限はない。

【0035】

図１は、本発明のある実施例による通信管理のフロー図を示している。

【0036】

ユーザ装置２０には一時的なクレデンシャルとターゲット識別子１４とも呼ばれる一意の識別子ＵＵＩＤ_ＵＥとがプロビジョニングされていると仮定する。この実施例では、サーバ３０はホームロケーションレジスタ（ＨＬＲ又はＤ−ＨＬＲ）である。

【0037】

ステップＳ０１において、ユーザ装置２０は、セッション識別子を要求する第１のコマンドを送信することによってサーバ３０とのやりとりを開始する。任意選択的に、送信したペイロードは、サーバ３０がユーザ装置２０にプロビジョニングされるテレコムクレデンシャルがどの移動体ネットワークオペレータのものであるかを特定できるようにするＭＮＯコードを含むことができる。例えばＭＮＯコードは、移動体ネットワークオペレータの名前のハッシュ（５桁の長さを有する）として計算することができる。

【0038】

ステップＳ０２において、サーバ３０は、ステップＳ０１で受信したコマンドに応答してセッション識別子を選択し、これを認証要求フレームによってユーザ装置に送信する。好ましくは、セッション識別子は認証パラメータＲＡＮＤフィールドで伝送される。

【0039】

ステップＳ０３において、ユーザ装置２０は、ユーザ装置に割り当てられた一意の識別子（ＵＵＩＤ_ＵＥ）の送信を開始する。ＵＵＩＤ_ＵＥの長さが利用可能なペイロードのサイズより大きいと仮定すると、いくつかの接続要求フレームが必要である。別の接続要求フレームは、サーバが一連の接続要求フレームをまとめて考えることを可能にするシーケンス番号である「４」〜「８」に等しいコマンド識別子と共に送信することができる。

【0040】

サーバ３０は、ある範囲のトランザクション識別子が予めプロビジョニングされていると仮定される。この範囲は、既にいくつかのトランザクション識別子がユーザ装置に割り当てられている場合に穴を含む可能性がある。

【0041】

好ましい実施形態では、ＵＵＩＤ_ＵＥは１６バイト長である。必要な接続要求フレームの数を減らすために、次のアルゴリズムを用いて改良を実行することができる。

【0042】

次のように仮定する。
−Ｎは、ＵＵＩＤ_ＵＥ（すなわちターゲット識別子１４）と一致する可能性がある、サーバ３０において利用可能なトランザクション識別子の数である。換言すれば、Ｎはサーバに格納されている範囲の自由なトランザクション識別子の数である。
−ＰＨＬ_ｎは利用可能な範囲の下限の６４最上位ビットを示す。
−ＰＨＨ_ｎは利用可能な範囲の上限の６４最上位ビットを示す。
−ＵＨはＵＵＩＤ_ＵＥ（ターゲット識別子１４）の６４最上位ビットを示す。
−ＰＬＬ_ｎは利用可能な範囲の下限の６４最下位ビットを示す。
−ＰＬＨ_ｎは利用可能な範囲の上限の６４最下位ビットを示す。
−ＵＬはＵＵＩＤ_ＵＥ（ターゲット識別子１４）の６４最下位ビットを示す。
−Ｈはユーザ装置によりサーバに送信されるプローブ値を示す。

【0043】

ユーザ装置２０は、サーバ３０からＰＨＨ_ｎとＰＨＬ_ｎの両方を受信する。この送信は、ステップＳ０３のコマンドに応答してステップＳ０４において行うことができる。

【0044】

ステップＳ０５において、ユーザ装置はＨを（（ＵＨ−ＰＨＬ_ｎ）*１０００００）／（ＰＨＨ_ｎ−ＰＨＬ_ｎ）に等しいものとして計算し、Ｈをサーバに送信する。

【0045】

ステップＳ０６において、サーバ３０は、ＰＨＬ_ｎ＋（Ｈ*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＬ_ｎ+１及びＰＨＬ_ｎ＋（（Ｈ＋１）*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＨ_ｎ+１を生成する。サーバ３０は、更新されたＰＨＬ_ｎ+１と更新されたＰＨＨ_ｎ+１の両方をユーザ装置に送信する。

【0046】

ステップＳ０７において、ユーザ装置はＨを上記のように計算し、これをサーバに送信する。

【0047】

この実施例では、サーバはＵＵＩＤ_ＵＥの６４最上位ビットの特定に成功している。したがって、ステップＳ０８において、サーバはこれに応答してＰＬＨ_ｎとＰＬＬ_ｎの両方を送信する。

【0048】

同じアルゴリズムが、ステップＳ０９〜Ｓ１０において最下位ビットについて再度実行される。この実施例では、サーバはステップＳ１０においてＵＵＩＤ_ＵＥの６４最下位ビットの特定に成功しており、ユーザ装置にＵＵＩＤ_ＵＥの送信の終了を通知するための応答を送信する。

【0049】

次にステップＳ１１において、ユーザ装置はＩＭＳＩを要求するコマンドを送信する。これに応答してサーバは、ステップＳ１２において認証要求フレームによってＩＭＳＩを送信する。

【0050】

ステップＳ１３においてユーザ装置は、加入者／移動体オペレータに割り当てられた鍵を要求するコマンドを送信する。好ましくは、この鍵はユーザ装置により使用されて最終Ｋｉを生成するための一時的な鍵である。一時的な鍵の通常のサイズに起因して、図１の実施例では２つの鍵全体（ＰＫ１及びＰＫ２部分）を転送するのに２つのやりとりが必要である（ステップＳ１３〜１６）。

【0051】

このときユーザ装置は、受信した一時的な鍵とユーザ装置に予め設定されているシードの両方を使用することによってＫｉを生成することができる。好ましくは、ユーザ装置はシードを格納した耐タンパエレメントを組み込み、Ｋｉの生成を実行する。

【0052】

ステップＳ１７において、ユーザ装置はセッションを終了させるためのコマンドを送信する。このときセッション識別子をサーバによって解放し別のユーザ装置に再割り当てすることができる。ステップＳ１８において、ユーザ装置にセッションの終了を知らせるための応答がサーバによって返送される。サーバは割り当てられたスロットを回復し、これを別のデバイスに再割り当てすることができる。

【0053】

セッション識別子によって、サーバは複数の受信メッセージの中から関連するユーザ装置を特定できることに留意されたい。

【0054】

換言すれば、サーバがＵＵＩＤ_ＵＥの値を知る前に必要な接続要求フレームの数を最小限に抑えるために次のアルゴリズムを用いることができる。

【0055】

このアルゴリズムは、２ではなく１０００００規模の二分法の原理を用いる。

【0056】

サーバは、その範囲の動的な下限及び動的な上限を維持することになる。サーバは、ユーザ装置により送信されたプローブ値（すなわちＨ）によって検索値の範囲を次第に制限することになる。したがって、動的な下限及び動的な上限は、求められるものに対応する１つの値に収束することになる。改良された二分法の原理は２回、すなわち１回は最上位ビットについて、そしてもう１回は最下位ビットについて実行される。

【0057】

／／６４ＭＳＢ（最上位ビット）部分
Ｘ＝０〜５について、
ユーザ装置は
Ｈ＝（（ＵＨ−ＰＨＬ_ｎ）*１０００００）／（ＰＨＨ_ｎ−ＰＨＬ_ｎ）を計算し、Ｈをサーバに送信する。
サーバにおいて、ＩＦ （ＰＨＨ_ｎ−ＰＨＬ_ｎ）＝０ ＴＨＥＮ ＱＵＩＴ ＬＯＯＰ
ＥＮＤ ＩＦ

【0058】

サーバは、ＰＨＬ_ｎ＋（Ｈ*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＬ_ｎ+１及びＰＨＬ_ｎ＋（（Ｈ＋１）*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＨ_ｎ+１を生成し、更新されたＰＨＬ_ｎ+１と更新されたＰＨＨ_ｎ+１の両方をユーザ装置に送信する。

【0059】

ＮＥＸＴ Ｘ
ＩＦ Ｘ＜６
／／６４ＬＳＢ（最下位ビット）部分
Ｘ＝０〜５について、
ユーザ装置は
Ｈ＝（（ＵＨ−ＰＬＬ_ｎ）*１０００００）／（ＰＬＨ_ｎ−ＰＬＬ_ｎ）を計算し、Ｈをサーバに送信する。
サーバにおいて、ＩＦ （ＰＬＨ_ｎ−ＰＬＬ_ｎ）＝０ ＴＨＥＮ ＱＵＩＴ ＬＯＯＰ
ＥＮＤ ＩＦ

【0060】

サーバは、ＰＬＬ_ｎ＋（Ｈ*（ＰＬＨ_ｎ−ＰＬＬ_ｎ）／１０００００）に等しい更新されたＰＬＬ_ｎ+１及びＰＬＬ_ｎ＋（（Ｈ＋１）*（ＰＬＨ_ｎ−ＰＬＬ_ｎ）／１０００００）に等しい更新されたＰＬＨ_ｎ+１を生成し、更新されたＰＬＬ_ｎ+１と更新されたＰＬＨ_ｎ+１の両方をユーザ装置に送信する。

【0061】

ＮＥＸＴ Ｘ
ＥＮＤ ＩＦ
ＩＦ Ｘ＜６
／／ＵＵＩＤ_ＵＥの転送が成功した
ＥＮＤ ＩＦ

【0062】

５つのステップの後にループが収束しない場合、ＵＵＩＤ_ＵＥはサーバの範囲に属さないことに留意されたい。

【0063】

最大ループ（やりとり）数は、２×Ｌｏｇ（Ｎ）／Ｌｏｇ（１０００００）である。例えばサーバの範囲にある利用可能なトランザクション識別子についてＮ＝１，０００，０００である場合、やりとりの数は４以下である。

【0064】

サーバの範囲内に対象ＵＵＩＤ_ＵＥに一致する（すなわち値が等しい）トランザクション識別子がない場合、サーバは、移動体オペレータに関連する事前交渉によるサブスクリプションのプール内に一時的なＩＭＳＩを窺うことができる（ステップＳ０１で送信されたコマンドのＭＮＯコードを使用して移動体オペレータを特定することができる）。この場合、サーバは動的割り当てを実行し、一時的なＩＭＳＩがユーザ装置に割り当てられたことを移動体オペレータに通知する。

【0065】

ステップＳ０２を参照すると、サーバは、有利にはユーザ装置がステップＳ０３においてＵＵＩＤ_ＵＥ送信のための第１の接続要求フレームを送信する前にプローブ値Ｈを計算できるように、認証要求のＲＡＮＤ及びＡＵＴＮフィールドでＰＨＨ_ｎ及びＰＨＬ_ｎを送信することができる。ＲＡＮＤ及びＡＵＴＮを使用することにより、演算が６４ビットではなく１２８ビット境界を使用することによって実行された後、ステップＳ０７及びＳ０８は削除することができる。

【0066】

ステップＳ０１の前に、サーバ３０に入力するためにいくつかの事前ステップを実行することができる。

【0067】

例えばシードは、ユーザ装置２０からＯＥＭ（相手先商標製品製造会社）によって取得し、移動体オペレータに送信することができる。次に移動体オペレータは、ＭＮＯ私有鍵とＭＮＯ公開鍵とからなるＭＮＯ非対称鍵ペアを生成することができる。移動体オペレータはＩＭＳＩを生成し、シードからＫｉを計算することができる。次に移動体オペレータはサーバ３０にトリプレット、すなわちＭＮＯ公開鍵＋ＩＭＳＩ＋トランザクション識別子を送信する。サーバ３０はこのトリプレットをサーバが格納しているトランザクション識別子の範囲に追加することができる。このようにしてサーバには、多くのユーザ装置（又は多くの耐タンパエレメント）に対応する多くのトリプレットを入力することができる。

【0068】

図４は、本発明のある実施形態によるユーザ装置の耐タンパエレメント（ＴＲＥ）にテレコムクレデンシャルをプロビジョニングするための通信管理のフロー図を示している。

【0069】

次の表記が以下で使用される。
ＣＥＲＴ．Ｘ．ＥＣＤＳＡ： ＸのＥＣＤＳＡ静的証明書
ＳＫ．Ｘ．ＥＣＤＳＡ： 署名のためのＸのＥＣＤＳＡ私有鍵
ＰＫ．Ｘ．ＥＣＤＳＡ： 署名のためのＸのＥＣＤＳＡ公開鍵
ＳＫ．Ｘ．ＥＣＤＨＥ： ＸのＥＣＤＨＥ私有鍵（一時的）
ＡＴＫ．Ｘ．ＥＣＤＨＥ： ＥＣＤＨＥ認証トークン（鍵共有のためのＸの動的証明書）
ＣＥＲＴ．Ｘ．ＥＣＫＡ： 鍵共有のためのＸのＥＣＫＡ静的証明書
ＳＫ．Ｘ．ＥＣＫＡ： 鍵共有のためのＸのＥＣＫＡ私有鍵
ＰＫ．Ｘ．ＥＣＫＡ： 鍵共有のためのＸのＥＣＫＡ公開鍵
ＰＫ．Ｘ．ＥＣＤＨＥ： ＸのＥＣＤＨＥ公開鍵（一時的）
ＶＥＲＩＦＹ（Ｙ）［Ｘ］： 鍵ＹでＸを検証する
ＳＩＧＮ（Ｙ）［Ｘ，...］： 鍵ＹでＸに署名する
ＤＥＲＩＶＥ（Ｘ）［Ｙ］： 私有鍵Ｘ及び証明書／認証トークンＹから共有セッション鍵を計算する
｛ＳＫ，ＰＫ｝＝ＥＣＤＨＥ（）： 一時的なＥＣＤＨ鍵ペアを生成する。
｛Ｍ，Ｉ｝＝ＥＮＣＲＹＰＴ（Ｙ）［Ｘ］： 鍵ＹでＸを暗号化する。暗号文Ｍ及び完全性チェックＩを得る。
Ｘ＝ＤＥＣＲＹＰＴ（Ｙ，Ｉ）［Ｍ］： 鍵ＹでＭを復号化し、Ｉを用いることによって完全性をチェックする。平文Ｘを得る。

【0070】

次の文献が使用される。
［ａ］ＡＥＳ１２８： 高度暗号化標準（ＡＥＳ）の仕様書−ＦＩＰＳ ＰＵＢ １９７
［ｂ］ＢＳＩ技術ガイドラインＴＲ−０３１１１： 楕円曲線暗号化−バージョン２．０
［ｃ］ＳＨＡ−２５６： セキュアハッシュ標準の仕様書−ＦＩＰＳ ＰＵＢ １８０−３、２００８

【0071】

次の演算が実行可能である。
署名
ＣＥＲＴ．Ｘ．ＥＣＤＳＡ＝ＳＩＧＮ（ＳＫ．Ｙ．ＥＣＤＳＡ）［ＰＫ．Ｘ．ＥＣＤＳＡ，Ｘ０，Ｘ１，Ｘ２，Ｘ３．．．］
ＡＴＫ．Ｘ．ＥＣＤＨＥ＝ＳＩＧＮ（ＳＫ．Ｗ．ＥＣＤＳＡ）［ＰＫ．Ｘ．ＥＣＤＨＥ，Ｘ０，Ｘ１，Ｘ２，Ｘ３．．．］
ここでＸ０，Ｘ１，Ｘ２，Ｘ３，．．．は署名するための任意の値である。

【0072】

検証
ＶＥＲＩＦＹ（ＣＥＲＴ．Ｙ．ＥＣＤＳＡ）［ＣＥＲＴ．Ｘ．ＥＣＤＳＡ］は、ＣＥＲＴ．Ｙ．ＥＣＤＳＡにＰＫ．Ｙ．ＥＣＤＳＡを使用することによってブール（成功の場合はＴＲＵＥ）を返す。

【0073】

導出
ＫＳ_ＸＹ^Ｎ＝ＤＥＲＩＶ（ＳＫ．Ｘ．Ａ）［Ｂ．Ｙ．Ｃ］ ここでＫＳ_ＸＹ^Ｎは共有秘密鍵である。
ＫＳ_ＹＸ^Ｎ＝ＤＥＲＩＶ（ＳＫ．Ｙ．Ｃ）［Ｂ．Ｘ．Ａ］ ここでＫＳ_ＹＸ^Ｎは共有秘密鍵である。
ここで、
ＡはＥＣＫＡ又はＥＣＤＨＥであり
ＢはＣＥＲＴ又はＡＴＫであり
ＣはＥＣＫＡ又はＥＣＤＨＥである。
ＫＳ_ＸＹ^Ｎ＝ＫＳ_ＹＸ^Ｎ
ＫＳ_ＸＹ^Ｎ又はＫＳ_ＹＸ^Ｎは、Ｎ個の鍵の行列、すなわちＫＳ_ＸＹ[１]，ＫＳ_ＸＹ[２]，．．．，ＫＳ_ＸＹ[Ｎ]である。

【0074】

鍵導出関数
関数ＤＥＲＩＶＥ（Ｘ）[Ｙ]は、[ｂ]の証明書又は認証トークン内で私有鍵Ｘ及び公開鍵ＹからＮ個の共有秘密鍵ＫＳ^Ｎの行列を計算することを可能にする。手順は、[ｂ]で定義される共有秘密ＥＣＫＡ−ＥＧ又はＥＣＫＡ−ＤＨ及び鍵導出関数の計算から始まる：
ＫＤＦ−１２８は、[ｃ]のＳＨＡ−２５６を使用し、行列の要素として１セットのＮ×１２８ビット導出鍵Ｋ[１]〜Ｋ[Ｎ]を生成することによるＸ９．６３鍵導出関数である。
Ｋｉ_Ｎ＝ＫＤＦ−１２８（ＳｈＳ，Ｉ，ＳＩ）
ここで
・ＳｈＳ： [ｂ]に定義される鍵共有アルゴリズムＥＣＫＡ−ＥＧ（静的鍵及び一時的鍵を使用する）又はＥＣＫＡ−ＤＨ（２つの一時的鍵を使用する）からの共有秘密２５６ビット
・Ｉ： １〜Ｎのカウンタ３２ビット値
・ＳＩ： ＳＩ＝Ｎ｜｜ＫＥＹ＿ＴＹＰＥ｜｜１２８である共有情報
〇 ＫＥＹ＿ＴＹＰＥ： ＫＳ１について‘１０’
〇 ＫＥＹ＿ＴＹＰＥ： ＫＳ２について‘２０’
ＫＤＦ関数は［８］のＳＨＡ２５６である。

【0075】

暗号化／復号化関数
データの暗号化及び復号化は、ｅＧＣＭ−１２８アルゴリズムに基づく対称関数である。
Ｍ_ＤＳＴ，Ｈ_{ＣＨＥＣＫ}＝ｅＧＣＭ−ＡＥＳ１２８（Ｋ，ＩＶ，ＥＩＶ）［Ｍ_ＳＲＣ］
ここで
・Ｋ： １２８ビット暗号化／復号化及び完全性鍵
・ＩＶ： １２８ビット初期値完全性チェック
・Ｍ_ＳＲＣ： 暗号化／復号化するメッセージストリーム。メッセージの長さは「ＦＦ」でパディングされた１２８ビットブロックの倍数とする。
・ＥＩＶ： １２８ビット初期値暗号化鍵
・Ｍ_ＤＳＴ： 暗号化／復号化されたメッセージストリーム。暗号化されたメッセージの長さはＭ_ＳＲＣメッセージと同じである。
・Ｈ_ＳＲＣ： 平文（ソース）の１２８ビット完全性チェック結果
全ての鍵及び初期値は次のような鍵導出関数から導出される：
・Ｋ＝ＫＤＦ−１２８のＫ［１］
・ＩＶ＝ＫＤＦ−１２８のＫ［２］
・ＥＩＶ＝ＫＤＦ−１２８のＫ［３］
その結果、
Ｍ_ＤＳＴ，Ｈ_ＳＲＣ＝ｅＧＣＭ−１２８（Ｋ，ＩＶ，ＥＩＶ）［Ｍ_ＳＲＣ］
をターゲットにする
Ｍ_ＤＳＴ，Ｈ_ＳＲＣ＝ＥＮＣＲＹＰＴ（ＫＳ^３）［Ｍ_ＳＲＣ］
の一般表記は、
Ｍ_ＤＳＴ，Ｈ_ＳＲＣ＝ｅＧＣＭ−１２８（ＫＳ［１］，ＫＳ［２］，ＫＳ［３］）［Ｍ_ＳＲＣ］
である。

【0076】

他の暗号化及び完全性チェックアルゴリズムも効率的に使用することができる。

【0077】

我々は暗号化方法を有するｅＧＣＭ−１２８を提案しているが、ＦＩＰＳ−ＰＵＢ−８１のＣＢＣ−ＡＥＳ−１２８及びＦＩＰＳ ＰＵＢ １９８−１のＨＭＡＣ−ＳＨＡ２５６がプロトコルの受け入れを容易にするためにこれに取って代わることができる。
ＭＤＳＴ＝ＣＢＣ−ＡＥＳ−１２８（ＫＥ，ＩＶ）［ＭＳＲＣ］
ＨＳＲＣ＝ＨＭＡＣ−ＳＨＡ２５６（ＫＨ）［ＭＳＲＣ］
ここで、
ＫＥ：１２８ビット暗号化／復号化及び完全性鍵：ＫＤＦ−１２８のＫ［１］
ＩＶ：１２８ビット初期値完全性チェック：ＫＤＦ−１２８のＫ［２］
ＭＳＲＣ：暗号化／復号化するメッセージストリーム。メッセージの長さは「ＦＦ」でパディングされた１２８ビットブロックの倍数とする。
ＫＨ：１２８ビット初期鍵：ＫＤＦ−１２８のＫ［３］
ＭＤＳＴ：暗号化／復号化されたメッセージストリーム。暗号化されたメッセージの長さはＭＳＲＣメッセージと同じである。
ＨＳＲＣ：平文（ソース）の１２８ビット完全性チェック結果

【0078】

長期鍵
ユーザ装置は、秘密を受け入れ、暗号計算を安全に実行することができる耐タンパエレメント（ＴＲＥ）を組み込むと仮定される。
ＴＲＥのための長期鍵は次のものである：
・ＣＥＲＴ．ＰＮ．ＥＣＤＳＡ：＝ＳＩＧＮ（ＳＫ．ＣＩ．ＥＣＤＳＡ）［ＰＫ．ＰＮ．ＥＣＤＳＡ］。ＣＩにより署名されたＴＲＥの部品番号証明書
・ＣＥＲＴ．ＴＲＥ．ＥＣＤＳＡ：＝ＳＩＧＮ（ＳＫ．ＰＮ．ＥＣＤＳＡ）［ＰＫ．ＴＲＥ．ＥＣＤＳＡ］。ＰＮ私有鍵ＳＫ．ＰＮ．ＥＣＤＳＡにより署名されたＴＲＥの証明書
・ＳＫ．ＴＲＥ．ＥＣＤＳＡ：＝ＴＲＥの静的私有鍵
・ＣＥＲＴ．ＣＩ．ＥＣＤＳＡ：＝発行者ルート証明書

ＩＤＳのための長期鍵は次のものである：
・ＣＥＲＴ．ＩＤＳ．ＥＣＫＡ：＝ＳＩＧＮ（ＳＫ．ＣＩ．ＥＣＤＳＡ）［ＰＫ．ＩＤＳ．ＥＣＫＡ］
・ＳＫ．ＩＤＳ．ＥＣＫＡ：＝ＨＳＭ１にホストされた鍵共有のためのＩＤＳの静的私有鍵
・ＣＥＲＴ．ＣＩ．ＥＣＤＳＡ：＝発行者ルート証明書

【0079】

ＴＲＥクレデンシャル生成
ＶＥＲＩＦＹ（ＣＥＲＴ．ＣＩ．ＥＣＤＳＡ）［ＣＥＲＴ．ＩＤＳ．ＥＣＫＡ］
ＫＳ１^３＝ＤＥＲＩＶＥ（ＳＫ．ＴＲＥ．ＥＣＤＨＥ）［ＣＥＲＴ．ＩＤＳ．ＥＣＫＡ］
Ｍ１，Ｈ１＝ＥＮＣＲＹＰＴ（ＫＳ１^３）［ＣＥＲＴ．ＴＲＥ．ＥＣＤＳＡ］
｛ＳＫ．ＴＲＥ．ＥＣＤＨＥ，ＰＫ．ＴＲＥ．ＥＣＤＨＥ｝＝ＥＣＤＨＥ（）

ＡＴＫ．ＴＲＥ．ＥＣＤＨＥ＝ＳＩＧＮ（ＳＫ．ＴＲＥ．ＥＣＤＳＡ）［ＰＫ．ＴＲＥ．ＥＣＤＨＥ，ＩＳＳＮ，ＵＵＩＤ_ＵＥ］

ＣＥＲＴ．ＰＮ．ＥＣＤＳＡ，ＡＴＫ．ＴＲＥ．ＥＣＤＨＥ，Ｍ１，Ｈ１はＴＲＥクレデンシャルであり、ＩＳＳＮはブールである。

【0080】

ＴＲＥクレデンシャル検証
ＫＳ１^３＝ＤＥＲＩＶＥ（ＳＫ．ＩＤＳ．ＥＣＫＡ）［ＡＴＫ．ＰＢＬ．ＥＣＤＨＥ］
ＣＥＲＴ．ＰＢＬ．ＥＣＤＳＡ＝ＤＥＣＲＹＰＴ（ＫＳ１^３）［Ｍ１］
ＶＥＲＩＦＹ（ＣＥＲＴ．ＣＩ．ＥＣＤＳＡ）［ＣＥＲＴ．ＰＮ．ＥＣＤＳＡ］
ＶＥＲＩＦＹ（ＣＥＲＴ．ＰＮ．ＥＣＤＳＡ）［ＣＥＲＴ．ＴＲＥ．ＥＣＤＳＡ］
ＶＥＲＩＦＹ（ＣＥＲＴ．ＴＲＥ．ＥＣＤＳＡ）［ＡＴＫ．ＴＲＥ．ＥＣＤＨＥ］

【0081】

ＭＮＯによるＫｉ計算
｛ＳＫ．ＭＮＯ．ＥＣＤＨＥ，ＰＫ．ＭＮＯ．ＥＣＤＨＥ｝＝ＥＣＤＨＥ（）
Ｋｉ＝ＤＥＲＩＶＥ（ＳＫ．ＭＮＯ．ＥＣＤＨＥ）［ＡＴＫ．ＴＲＥ．ＥＣＤＨＥ］

【0082】

ＴＲＥによるＫｉ計算
Ｋｉ＝ＤＥＲＩＶＥ（ＳＫ．ＴＲＥ．ＥＣＤＨＥ）［ＰＫ．ＭＮＯ．ＥＣＤＨＥ］

【0083】

図４の段階Ｇにおいて、サービスプロバイダ又はユーザ装置ＯＥＭメーカー（ＳＰ／ＯＥＭ）はＵＵＩＤ_ＵＥを生成する、又はユーザ装置からＵＵＩＤ_ＵＥを取得する。

【0084】

有利には、ＵＵＩＤ_ＵＥはいくつかの数学的性質を与える具体的な式に従ってユーザ装置によって生成することができる。例えば次の式を使用することができる：
ＵＵＩＤ_ＵＥ＝ＡＥＳ１２８［Ｋ_ＴＲＥ^ＳＩ］（Ｒａｎｄ｜ＣＡＴＶ｜ＳＮ）
ここで
Ｒａｎｄ：６２ビットランダム値である
ＣＡＴＶ：ＳＮの解読の成否をチェックするための１６ビット秘密定数パターンである
ＳＮ：耐タンパエレメントのシリアル番号
Ｋ_ＴＲＥ^ＳＩ：耐タンパエレメントによって管理される秘密鍵

【0085】

有利には、ＳＰ／ＯＥＭは証明機関／発行者（ＣＩ）の証明書をＣＥＲＴ．ＩＤＳ．ＥＣＫＡとして取得し、ＣＥＲＴ．ＩＤＳ．ＥＣＫＡとＵＵＩＤ_ＵＥの両方を耐タンパエレメントに注入することができる。ＳＰ／ＯＥＭはユーザ装置からＴＲＥクレデンシャルを取得することができる。好ましくは、ＳＰ／ＯＥＭは移動体オペレータ（ＭＮＯ）との商業協定によりクレデンシャルを転送する。

【0086】

図４の段階Ｖにおいて、移動体オペレータは検証のためにＴＲＥクレデンシャルをＩＤＳに転送することができる。ＩＤＳはＡＴＫ．ＴＲＥ．ＥＣＤＨＥに連署し、これをＭＮＯに返送する。ＭＮＯはＴＲＥが本物であるという証拠を入手し、
− ＰＫ．ＴＲＥ．ＥＣＤＨＥ
− ＵＵＩＤ_ＵＥ
− ＩＳＳＮ＝ＴＲＵＥ ｉｆ ＳＮ’＝ＳＮ及びＲａｎｄ’｜ＣＡＴＶ｜ＳＮ’＝ＡＥＳ１２８^−１［Ｋ_ＴＲＥ^ＳＩ］（ＵＵＩＤ_ＵＥ）
ＩＳＳＮをチェックすることによって、ＭＮＯは、不正行為者がデータ交換を監視することによりＵＵＩＤ_ＵＥを取得する可能性がある「レーシング攻撃」を防ぐために、ＵＵＩＤ_ＵＥがＴＲＥと関連していることを評価し、これを別のＵＥの別のＴＲＥで使用する。

【0087】

ＭＮＯは鍵ペアを
｛ＳＫ．ＭＮＯ．ＥＣＤＨＥ，ＰＫ．ＭＮＯ．ＥＣＤＨＥ｝＝ＥＣＤＨＥ（）
として生成する。
ＭＮＯはＩＭＳＩを生成し、Ｋｉを計算する。
Ｋｉ＝ＤＥＲＩＶＥ（ＳＫ．ＭＮＯ．ＥＣＤＨＥ）［ＡＴＫ．ＴＲＥ．ＥＣＤＨＥ］
ＭＮＯはＤ−ＨＬＲに
− ＰＫ．ＭＮＯ．ＥＣＤＨＥ
− ＩＭＳＩ
− ＵＵＩＤ_ＵＥ
を転送する。

【0088】

ＭＮＯはＩＭＳＩ及びＫｉをそのＨＬＲ／ＨＳＳ（ホームロケーションレジスタ／ホーム加入者サーバとしても知られている）に転送する。

【0089】

図４の段階Ａにおいて、ＴＲＥは、例えば図１に記載したようにそのＵＵＩＤ_ＵＥをサーバ（Ｄ−ＨＬＲ）に伝達する。次にＴＲＥはＩＭＳＩ及びＰＫ．ＭＮＯ．ＥＣＤＨＥを入手する。ＴＲＥはＫｉを計算し、ＭＮＯのＨＬＲ／ＨＳＳに対して通常の３ＧＰＰ認証を実行する。

【0090】

移動体オペレータは、耐タンパエレメントのシードをチェックすることによって耐タンパエレメントの真偽を検証できることに留意されたい。例えばシードは、耐タンパエレメントに予め割り当てられた非対称ペアに属する公開鍵であってよい。また、ＴＲＥの認証は、ＵＥが本物のＴＲＥにしか復号化できないＭＮＯクレデンシャルを使用することによって３ＧＰＰネットワークに接続できる場合、間接的に行うことができる。

【0091】

図２は、本発明のある実施例によるユーザ装置２０のアーキテクチャを模式的に示している。

【0092】

ユーザ装置２０はプロセッサ７０と不揮発性メモリ７２とを備える。ユーザ装置２０はコマンド／応答ペアによって遠隔サーバと通信するように構成される。

【0093】

ユーザ装置２０は、プロセッサ７０により実行され、ＥＴＳＩ ＴＳ １２４．００８により定義される接続要求フレームを生成及び送信して１つのコマンドをサーバに伝送するように適合されたソフトウェア通信エージェント７１を備える。ソフトウェア通信エージェント７１は、接続要求フレームのＩＭＳＩフィールドにコマンドを含むように適合される。ソフトウェア通信エージェント７１はまた、プロセッサ７０により実行され、接続要求フレームに応答して、ＥＴＳＩ ＴＳ １２４．００８により定義される認証要求フレームの認証パラメータＲＡＮＤフィールド又は認証パラメータＡＵＴＮフィールドで伝送された上記コマンドに対応する応答を受信するように適合される。

【0094】

図２の実施例では、ユーザ装置は、独自のプロセッサ１７と、揮発性メモリ１８と、不揮発性メモリ１６とを備えた耐タンパエレメント１０を組み込む。不揮発性メモリ１６は、長期鍵Ｋｉを計算するのに必要なＵＵＩＤ_ＵＥ１４とシード２４とを格納している。不揮発性メモリ１６は、プロセッサ１７により実行され、ＭＳＢについて（（ＵＨ−ＰＨＬ_ｎ）*１０００００）／（ＰＨＨ_ｎ−ＰＨＬ_ｎ）及びＬＳＢについて（（ＵＨ−ＰＬＬ_ｎ）*１０００００）／（ＰＬＨ_ｎ−ＰＬＬ_ｎ）に等しいプローブ値Ｈを生成するように適合されたソフトウェアプローブエージェント３４を備える。

【0095】

また、ＵＥは、ベースバンドからＴＲＥを使用することなくＵＵＩＤ_ＵＥの送信及びＭＮＯクレデンシャル（ＩＭＳＩ及びＰＫ．ＭＮＯ．ＥＣＤＨＥ）の取得を実行することができる。その結果、ＵＥベースバンドはＩＭＳＩ及びＰＫ．ＭＮＯ．ＥＣＤＨＥをＤ−ＨＬＲから取得した後、これを３ＧＰＰ鍵導出に従って導出された接続クレデンシャルを計算するＴＲＥに転送することができる。

【0096】

図３は、本発明のある実施例によるサーバ３０のアーキテクチャを模式的に示している。

【0097】

サーバ３０は、プロセッサ８０と、不揮発性メモリ８２と、格納領域ＤＢとを備える。不揮発性メモリ８２は、プロセッサ８０により実行され、ＥＴＳＩ ＴＳ １２４．００８により定義される接続要求フレームを受信して１つのコマンドをユーザ装置２０から伝送し、受信した接続要求フレームのＩＭＳＩフィールドからコマンドを抽出するように構成されたソフトウェアプロビジョニングエージェント８１を格納する。プロビジョニングエージェント８１は、プロセッサ８０により実行され、接続要求フレームに応答して、ＥＴＳＩ ＴＳ １２４．００８により定義される認証要求フレームの認証パラメータＲＡＮＤフィールド又は認証パラメータＡＵＴＮフィールドで伝送された受信したコマンドに対応する応答を生成及び送信するように適合される。

【0098】

格納領域ＤＢは、トランザクション識別子２４と、ＩＭＳＩ２６と、鍵２８とを含むある範囲のトリプレットを含む。不揮発性メモリ８２は、プロセッサ８０により実行され、その範囲のトランザクション識別子と一致するターゲット識別子１４を探し出すように構成されたソフトウェア選択エージェント８３を格納する。好ましくは、格納領域ＤＢはデータベースとして実装することができる。

【0099】

不揮発性メモリ８２は、プロセッサ８０により実行され、（図１で定義されたように）ＰＨＨ_ｎとＰＨＬ_ｎの両方をユーザ装置２０に送信し、ＰＨＬ_ｎ＋（Ｈ*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＬ_ｎ+１を生成し、ＰＨＬ_ｎ＋（（Ｈ＋１）*（ＰＨＨ_ｎ−ＰＨＬ_ｎ）／１０００００）に等しい更新されたＰＨＨ_ｎ+１を生成するように構成されたソフトウェア選択エージェント８４を格納する。

【0100】

本発明は、一群のユーザ装置のプロビジョニングを管理するのによく適している。

【0101】

本発明は、ユーザ装置（又はＴＲＥ）にテレコムクレデンシャル（ＩＭＳＩ／Ｋｉ）をプロビジョニングするのによく適している。本発明は特に、参照により本明細書に含まれる出願ＷＯ２０１６／１６５９００ Ａ１に記載される一次ブートローダを備えたシステムに適用される。

【0102】

本発明は上記の実施形態又は実施例に限定されない。特に、例えばコマンド識別子は異なる値を有する可能性がある。

【0103】

本発明の利点は、３ＧＰＰネットワークを使用することにより、同じ３ＧＰＰネットワークとのレガシー接続を実行するために、必須のクレデンシャルの安全なプロビジョニングを可能にすることである。本発明は、３ＧＰＰクレデンシャルをプロビジョニングするためのデータチャネルにアクセスするために３ＧＰＰクレデンシャルを必要とし、上記データチャネルをブートストラップするための初期の３ＧＰＰクレデンシャルがない場合の無限ループから抜け出すことを可能にする。

【0104】

本発明の利点は、デバイスの製造時に、さらにデバイスの現場への分布後も知られていないローカル３ＧＰＰ対応オペレータの選択を可能にすることである。

【図1】

【図2】

【図3】

【図4】