特許 7335342 電気通信ネットワークにおける端末内の移動体装置と協働するセキュアエレメントを認証する方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-08-21

(45)【発行日】2023-08-29

(54)【発明の名称】電気通信ネットワークにおける端末内の移動体装置と協働するセキュアエレメントを認証する方法

(51)【国際特許分類】

   H04W 12/041 20210101AFI20230822BHJP

   H04L 9/32 20060101ALI20230822BHJP

   H04L 9/08 20060101ALI20230822BHJP

   H04W 12/06 20210101ALI20230822BHJP

   H04W 12/043 20210101ALI20230822BHJP

【ＦＩ】

H04W12/041

H04L9/32 200A

H04L9/32 200F

H04L9/08 C

H04W12/06

H04W12/043

【請求項の数】 7

(21)【出願番号】P 2021541565

(86)(22)【出願日】2020-01-16

(65)【公表番号】

(43)【公表日】2022-03-09

(86)【国際出願番号】 EP2020051045

(87)【国際公開番号】W WO2020148397

(87)【国際公開日】2020-07-23

【審査請求日】2021-08-23

(31)【優先権主張番号】19305068.9

(32)【優先日】2019-01-18

(33)【優先権主張国・地域又は機関】EP

(73)【特許権者】

【識別番号】519283417

【氏名又は名称】タレス ディアイエス フランス エスアー

(74)【代理人】

【識別番号】100086368

【弁理士】

【氏名又は名称】萩原 誠

(72)【発明者】

【氏名】リー タン，ファン

(72)【発明者】

【氏名】ミレイユ パウリアック

【審査官】竹内 亨

(56)【参考文献】

【文献】国際公開第２０１８／１６９０７１（ＷＯ，Ａ１）

【文献】NTT DOCOMO INC.，3<SP>rd</SP> Generation Partnership Project; Technical Specification Group Services and System Aspects; Security architecture and procedures for 5G system (Release 15)[online]，3GPP TS33.501 V15.2.0，Internet<URL:https://www.3gpp.org/ftp/Specs/archive/33_series/33.501/33501-f20.zip>，2018年09月21日，P1, 31-44

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｗ ４／００－９９／００

Ｈ０４Ｂ ７／２４－７／２６

Ｈ０４Ｌ ９／３２

Ｈ０４Ｌ ９／０８

３ＧＰＰ ＴＳＧ ＲＡＮ ＷＧ１－４

ＳＡ ＷＧ１－４

ＣＴ ＷＧ１、４

(57)【特許請求の範囲】

【請求項1】

ＳＥＡＦ及びＡＵＳＦ／ＵＤＭ／ＡＲＰＦを備える電気通信ネットワークにおける端末と協働するセキュアエレメントを認証する方法であって、前記方法が、３ＧＰＰ（登録商標） ＴＳ ３３．５０１による前記端末と前記ＳＥＡＦとの間の通信のためのアンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を生成することを含み、前記アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）が、
前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦにおいて、下記のステップ（ｉ）～（iii）
（ｉ）前記端末より前記ＳＥＡＦを介して、少なくとも下記ａ）～ｃ）を含むＳＵＣＩを受信し、
ａ）前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦのＭＣＣ／ＭＮＣコード；
ｂ）前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦの公開鍵により暗号化されたＭＳＩＮ及び安全な登録トークンＳＲＴ；
ｃ）前記公開鍵の鍵識別子；
（ii）前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦにおいて復号されたＳＵＣＩから加入者識別番号ＩＭＳＩと前記安全な登録トークンＳＲＴとを取得し、前記加入者識別番号ＩＭＳＩからこれに関連付けられた長期鍵Ｋを取得し、前記長期鍵Ｋ及び前記安全な登録トークンＳＲＴから鍵Ｋ_ＳＲＴを生成し、
（iii）前記セキュアエレメントにおいて、ランダムチャレンジＲＡＮＤと前記鍵Ｋ_ＳＲＴを用いた演算により得られた中間鍵Ｋ_{ＡＵＳＦ＿ＳＲＴ}を使用した前記アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）の演算を実行する、
を介して導出されることを特徴とする方法。

【請求項2】

ａ． 前記端末が、乱数、又は予め増加させた連続数である前記安全な登録トークンＳＲＴを生成し、
ｂ． 前記端末が、前記加入者識別番号ＩＭＳＩに加えて、前記安全な登録トークンＳＲＴの暗号化を含む前記ＳＵＣＩを、前記ＳＥＡＦを介して送信することによって前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦに登録し、
ｃ． 前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、前記加入者識別番号ＩＭＳＩ及び前記安全な登録トークンＳＲＴを取得する登録メッセージを受信すると、前記加入者識別番号ＩＭＳＩに関連付けられた前記長期鍵Ｋを取得し、
ｄ． 前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが前記長期鍵Ｋ及び前記安全な登録トークンＳＲＴから導出される前記鍵Ｋ_ＳＲＴを計算し、前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、前記ランダムチャレンジＲＡＮＤ、認証トークンＡＵＴＮ_ＳＲＴ、第１の期待チャレンジ応答ＸＲＥＳ^＊ _ＳＲＴ、及び前記第１の期待チャレンジ応答ＸＲＥＳ^＊ _ＳＲＴから導出される第２の期待チャレンジ応答ＨＸＲＥＳ^＊ _ＳＲＴを含む認証ベクトルＡＶ_ＳＲＴを、前記安全な登録トークンＳＲＴ及び前記長期鍵Ｋに基づいて計算し、
ｅ． 前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、３ＧＰＰ ＴＳ ３３．５０１による前記端末と前記ＳＥＡＦとの間の通信のための、前記鍵Ｋ_ＳＲＴから間接的に導出される前記アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を計算し、
ｆ． 前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが前記ＳＥＡＦに前記認証ベクトルＡＶ_ＳＲＴを送信し、
ｇ． 前記ＳＥＡＦが、前記認証ベクトルＡＶ_ＳＲＴを局所的に格納し、３ＧＰＰ ＴＳ ３３．５０１に従って前記認証ベクトルＡＶ_ＳＲＴに含まれている前記ランダムチャレンジＲＡＮＤ及び前記認証トークンＡＵＴＮ_ＳＲＴを端末に送信し、
ｈ．前記端末が、受信した前記ランダムチャレンジＲＡＮＤ及び前記認証トークンＡＵＴＮ_ＳＲＴの有効性の検証を、前記端末が
ｉ． 局所的に格納されている前記安全な登録トークンＳＲＴと、前記セキュアエレメントに格納され、前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦに格納されている前記長期鍵Ｋと同じ値を有する端末の局所的に格納されている長期鍵Ｋとに基づいて登録鍵Ｋ_ＳＲＴを導出し、
ｉｉ． 前記端末の局所的に格納されている前記長期鍵Ｋ及び前記安全な登録トークンＳＲＴに基づいて期待されるＡＵＴＮ_ＳＲＴを局所的に計算し、
ｉｉｉ． 前記期待されるＡＵＴＮ_ＳＲＴが前記ＳＥＡＦから受信した前記認証トークンＡＵＴＮ_ＳＲＴに等しいかどうかをチェックする
ことによって行い、
ｉ． ステップｈ．ｉｉｉにおける前記チェックするステップが成功した場合に、前記端末が、ステップｈ．ｉで計算された前記登録鍵Ｋ_ＳＲＴ及び前記受信したランダムチャレンジＲＡＮＤに基づいてチャレンジ応答ＲＥＳ^＊ _ＳＲＴを計算し、
ｊ． 前記端末が、３ＧＰＰ ＴＳ ３３．５０１による前記端末と前記ＳＥＡＦとの間の通信のための、前記端末の前記長期鍵Ｋ及び前記安全な登録トークンＳＲＴから導出することによって得られた前記登録鍵Ｋ_ＳＲＴから間接的に導出される別のアンカー鍵Ｋ_{ＳＥＡＦ＿ＳＲＴ}を生成し、
ｋ． 前記端末が、前記端末により計算された前記チャレンジ応答ＲＥＳ^＊ _ＳＲＴを前記ＳＥＡＦに送信し、
ｌ． 前記ＳＥＡＦが、受信した前記チャレンジ応答ＲＥＳ^＊ _ＳＲＴから別のＨＲＥＳ^＊ _ＳＲＴを導出し、前記ＨＲＥＳ^＊ _ＳＲＴがステップｇで局所的に格納された前記認証ベクトルＡＶ_ＳＲＴに含まれる前記第２の期待チャレンジ応答ＨＸＲＥＳ^＊ _ＳＲＴに等しいかを検証し、
ｍ． ステップｌにおける前記検証が成功した場合に、前記ＳＥＡＦがチェックに成功した前記チャレンジ応答ＲＥＳ^＊ _ＳＲＴを前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦに送信し、
ｎ． 前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、前記ＳＥＡＦから受信した前記チャレンジ応答ＲＥＳ^＊ _ＳＲＴがステップｄで計算された前記第１の期待チャレンジ応答ＸＲＥＳ^＊ _ＳＲＴに等しいかを検証し、
ｏ． ステップｎにおける前記検証が成功した場合に、前記端末が前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦによって認証されたと見なされ、前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、３ＧＰＰ ＴＳ ３３．５０１による前記端末の認証の状態を示す認証結果及びステップｅで計算された前記アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を前記ＳＥＡＦに送信し、
ｐ． 前記端末及び前記ＳＥＡＦが、３ＧＰＰ ＴＳ ３３．５０１に規定される通信のための前記アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を使用する、請求項１に記載の方法。

【請求項3】

ａ． 前記端末が、乱数、又は予め増加させた連続数である前記安全な登録トークンＳＲＴを生成し、
ｂ． 前記端末が、前記加入者識別番号ＩＭＳＩに加えて、前記安全な登録トークンＳＲＴの暗号化を含む前記ＳＵＣＩを、前記ＳＥＡＦを介して送信することによって前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦに登録し、
ｃ． 前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、前記加入者識別番号ＩＭＳＩ及び前記安全な登録トークンＳＲＴを取得する登録メッセージを受信すると、前記加入者識別番号ＩＭＳＩに関連付けられた前記長期鍵Ｋを前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦによって取得し、
ｄ． 前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが前記ランダムチャレンジＲＡＮＤを生成し、前記長期鍵Ｋ及び前記ランダムチャレンジＲＡＮＤから、認証トークンＡＵＴＮ、第１の期待チャレンジ応答ＸＲＥＳ^＊、第１の暗号鍵ＣＫ、第１の完全性鍵ＩＫ、及び３ＧＰＰ ＴＳ ３３．５０１に規定される前記第１の期待チャレンジ応答ＸＲＥＳ^＊から導出される第２の期待チャレンジ応答ＨＸＲＥＳ^＊を導出し、
ｅ． 前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、前記第１の暗号鍵ＣＫ及び前記安全な登録トークンＳＲＴから導出される第２の暗号鍵ＣＫ_ＳＲＴ、及び前記第１の完全性鍵ＩＫ及び前記安全な登録トークンＳＲＴから導出される第２の完全性鍵ＩＫ_ＳＲＴを生成し、
ｆ． 前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、３ＧＰＰ ＴＳ ３３．５０１による前記端末と前記ＳＥＡＦとの間の通信のための、前記第２の暗号鍵ＣＫ_ＳＲＴ及び前記第２の完全性鍵ＩＫ_ＳＲＴから導出される前記中間鍵Ｋ_{ＡＵＳＦ＿ＳＲＴ}から導出される前記アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を計算し、
ｇ． 前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが前記ＳＥＡＦに認証ベクトルＡＶ_ＳＲＴを送信し、
ｈ． 前記ＳＥＡＦが、前記認証ベクトルＡＶ_ＳＲＴを局所的に格納し、ステップｇで計算された３ＧＰＰ ＴＳ ３３．５０１に従って前記認証ベクトルＡＶ_ＳＲＴに含まれている前記ランダムチャレンジＲＡＮＤ及び前記認証トークンＡＵＴＮを前記端末に送信し、
ｉ． 前記端末が、受信した前記ランダムチャレンジＲＡＮＤ及び前記認証トークンＡＵＴＮの有効性の検証を、前記端末が
ｉ． 前記端末が、端末の局所的に格納されている長期鍵Ｋと前記受信したランダムチャレンジＲＡＮＤから、３ＧＰＰ ＴＳ ３３．５０１に規定される、期待される認証トークンＸＡＵＴＮ、端末チャレンジ応答ＲＥＳ^＊、第１の端末暗号鍵ＣＫ、第１の端末完全性鍵ＩＫを導出し、
ｉｉ． 前記端末が、前記第１の端末暗号鍵ＣＫ及び前記安全な登録トークンＳＲＴから導出される第２の端末暗号鍵ＣＫ_ＳＲＴ、及び前記第１の端末完全性鍵ＩＫ及び前記安全な登録トークンＳＲＴから導出される第２の端末完全性鍵ＩＫ_ＳＲＴを生成し、
ｉｉｉ． 前記端末が、３ＧＰＰ ＴＳ ３３．５０１による前記端末と前記ＳＥＡＦとの間の通信のための、前記第２の端末暗号鍵ＣＫ_ＳＲＴ及び前記第２の端末完全性鍵ＩＫ_ＳＲＴから導出される端末鍵Ｋ_{ＡＵＳＦ＿ＳＲＴ}から導出される別の端末アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を計算する、
ことによって行い、
ｊ． ステップｉにおける前記検証が成功した場合に、前記端末が、前記端末により計算された前記端末チャレンジ応答ＲＥＳ^＊を前記ＳＥＡＦに送信し、
ｋ． 前記ＳＥＡＦが、受信した前記端末チャレンジ応答ＲＥＳ^＊から別のＨＲＥＳ^＊を導出し、前記ＨＲＥＳ^＊がステップｈで局所的に格納された前記認証ベクトルＡＶ_ＳＲＴに含まれる前記第２の期待チャレンジ応答ＨＸＲＥＳ^＊に等しいかを検証し、
ｌ． ステップｋにおける前記検証が成功した場合に、前記ＳＥＡＦがチェックに成功した前記端末チャレンジ応答ＲＥＳ^＊を前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦに送信し、
ｍ． 前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、前記ＳＥＡＦから受信した前記端末チャレンジ応答ＲＥＳ^＊がステップｄで計算された前記第１の期待チャレンジ応答ＸＲＥＳ^＊に等しいかを検証し、
ｎ． ステップｍにおける前記検証が成功した場合に、前記端末が前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦによって認証されたと見なされ、前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、３ＧＰＰ ＴＳ ３３．５０１による前記端末の認証の状態を示す認証結果及びステップｆで計算された前記アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を前記ＳＥＡＦに送信し、
ｏ． 前記端末及び前記ＳＥＡＦが、３ＧＰＰ ＴＳ ３３．５０１に規定される通信のための前記アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を使用する、請求項１に記載の方法。

【請求項4】

前記安全な登録トークンＳＲＴが乱数である、請求項１乃至３のいずれかに記載の方法。

【請求項5】

前記安全な登録トークンＳＲＴが認証要求ごとに前記セキュアエレメントによって変更される、請求項１乃至４のいずれかに記載の方法。

【請求項6】

ＳＥＡＦ及びＡＵＳＦ／ＵＤＭ／ＡＲＰＦを備える電気通信ネットワークにおける端末内の移動体装置と協働するよう意図されたセキュアエレメントであって、前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、３ＧＰＰ ＴＳ ３３．５０１による前記端末と前記ＳＥＡＦとの間の通信のためのアンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を生成することを含み、前記アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）が、
前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦにおいて、下記のステップ（ｉ）～（iii）
（ｉ）前記端末より前記ＳＥＡＦを介して、少なくとも下記ａ）～ｃ）を含むＳＵＣＩを受信し、
ａ）前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦのＭＣＣ／ＭＮＣコード；
ｂ）前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦの公開鍵により暗号化されたＭＳＩＮ及び安全な登録トークンＳＲＴ；
ｃ）前記公開鍵の鍵識別子；
（ii）前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦにおいて復号されたＳＵＣＩから加入者識別番号ＩＭＳＩと前記安全な登録トークンＳＲＴとを取得し、前記加入者識別番号ＩＭＳＩからこれに関連付けられた長期鍵Ｋを取得し、前記長期鍵Ｋ及び前記安全な登録トークンＳＲＴから鍵Ｋ_ＳＲＴを生成し、
（iii）前記セキュアエレメントにおいて、ランダムチャレンジＲＡＮＤと前記鍵Ｋ_ＳＲＴを用いた演算により得られた中間鍵Ｋ_{ＡＵＳＦ＿ＳＲＴ}を使用した前記アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）の演算を実行する、
を介して導出されることを特徴とするセキュアエレメント。

【請求項7】

ＳＥＡＦと、電気通信ネットワークにおける端末内の移動体装置と協働するよう意図されたセキュアエレメントとを備える前記電気通信ネットワークのＡＵＳＦ／ＵＤＭ／ＡＲＰＦであって、前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、３ＧＰＰ ＴＳ ３３．５０１による前記端末と前記ＳＥＡＦとの間の通信のためのアンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を生成することを含み、前記アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）が、
前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦにおいて、下記のステップ（ｉ）～（iii）
（ｉ）前記端末より前記ＳＥＡＦを介して、少なくとも下記ａ）～ｃ）を含むＳＵＣＩを受信し、
ａ）前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦのＭＣＣ／ＭＮＣコード；
ｂ）前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦの公開鍵により暗号化されたＭＳＩＮ及び安全な登録トークンＳＲＴ；
ｃ）前記公開鍵の鍵識別子；
（ii）前記ＡＵＳＦ／ＵＤＭ／ＡＲＰＦにおいて復号されたＳＵＣＩから加入者識別番号ＩＭＳＩと前記安全な登録トークンＳＲＴとを取得し、前記加入者識別番号ＩＭＳＩからこれに関連付けられた長期鍵Ｋを取得し、前記長期鍵Ｋ及び前記安全な登録トークンＳＲＴから鍵Ｋ_ＳＲＴを生成し、
（iii）前記セキュアエレメントにおいて、ランダムチャレンジＲＡＮＤと前記鍵Ｋ_ＳＲＴを用いた演算により得られた中間鍵Ｋ_{ＡＵＳＦ＿ＳＲＴ}を使用した前記アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）の演算を実行する、
を介して導出されることを特徴とするＡＵＳＦ／ＵＤＭ／ＡＲＰＦ。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、電気通信、より正確には電気通信ネットワークにおける端末内の移動体装置と協働するセキュアエレメントを認証する方法に関する。

【背景技術】

【0002】

本発明は、ＵＳＩＭ、より一般的にはその他のｘＵＩＣＣ製品（埋め込まれている又はそうでない、ｅＵＩＣＣ（埋め込みＵＩＣＣ）又はｉＵＩＣＣ（組み込みＵＩＣＣ）など）に関する。ｘＵＩＣＣはＵＳＩＭ（汎用Ｓｉｍアプリケーション）を埋め込む。

【0003】

本明細書では、端末及びユーザ装置（ＵＥ）という表現は区別なく用いられる。端末又はＵＥは、移動体装置と、移動体装置と協働するセキュアエレメント（ｘＵＩＣＣ）とから構成される。

【0004】

３ＧＰＰの設立以来、受動的な盗聴が無線通信における重要な問題であることが知られている。２Ｇから現今の５Ｇまで、エアインターフェイスの完全性及び機密性は、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦシステム及びＵＳＩＭに格納されている秘密鍵‘Ｋ’に依拠している。この秘密鍵Ｋ（かつては２Ｇネットワークに関連する３ＧＰＰ仕様書でＫｉと呼ばれていた）は、３ＧＰＰ仕様書ＴＳ ３３．５０１、例えば５Ｇネットワーク向けの２０１８年１２月付のバージョンＶ１５．３．１において“長期鍵Ｋ”という名称で知られている。

【0005】

この仕様書は参照によって本明細書に組み込まれる。

【0006】

図１は、典型的には認証が５Ｇ環境でどのようにして行われるかを説明するフローチャートを示している。この図には、次のいくつかの要素が示されている。
－ユーザ装置２０（ＵＥ又は端末）。すなわちセキュアエレメント（ＵＳＩＭ）と協働する移動体装置（ＭＥ）。
－通常、ＶＰＬＭＮ（訪問先公衆陸上移動体ネットワーク）又はＨＰＬＭＮであり得るサービングネットワークレベルにあるＳＥＡＦ２１（セキュリティアンカー機能）。
－ＡＵＳＦ（認証サーバ機能）、ＵＤＭ／ＡＲＰＦ２２（統合データ管理／認証クレデンシャルリポジトリ及び処理機能）。ＡＵＳＦ／ＵＤＭ／ＡＲＰＦはＨＰＬＭＮ２２（ホーム公衆陸上移動体ネットワーク）レベルにある。

【0007】

ＳＥＡＦ２１はＡＵＳＦから中間鍵を受信する。

【0008】

ＡＵＳＦ（ＨＳＳ、ＥＡＰサーバ）はＡＲＰＦと相互作用し、ＳＥＡＦからの要求を終了する。ＡＵＳＦはオペレータのネットワーク又は第三者システムに存在する。

【0009】

ＵＤＭ／ＡＲＰＦはＡｕＣ（認証センター）に対応する。ＵＤＭ／ＡＲＰＦは長期的なセキュリティクレデンシャルを格納し、オペレータのホームネットワークドメインシステムに存在する。

【0010】

ＴＳ ３３．５０１、例えば２０１８年１２月付のバージョンＶ１５．３．１には、この図に示されているような認証（ＡＫＡ－認証及び鍵合意）がどのようにして行われるかが記載されている。

【0011】

（３ＧＰＰ ＴＳ ３３．５０１の§６．１．３．２に記載される）様々なステップが示される。

【0012】

ステップ１において、各Ｎｕｄｍ＿Ａｕｔｈｅｎｔｉｃａｔｅ＿Ｇｅｔ要求に対して、ＵＤＭ／ＡＲＰＦは５Ｇ ＨＥ ＡＶ（認証ベクトル）を作成する。ＵＤＭ／ＡＲＰＦは、ＴＳ ３３．１０２に定義されるように“１”に設定された認証管理フィールド（ＡＭＦ）分離ビットを含むＡＶを生成することによってこれを行う。次いでＵＤＭ／ＡＲＰＦはＫ_ＡＵＳＦを導出し、ＸＲＥＳ^＊を計算する。最終的にＵＤＭ／ＡＲＰＦは、ＲＡＮＤ、ＡＵＴＮ、ＸＲＥＳ^＊及びＫ_ＡＵＳＦから５Ｇ ＨＥ ＡＶを作成する。

【0013】

ステップ２において、ＵＤＭは、Ｎｕｄｍ＿ＵＥＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｇｅｔ応答で、５Ｇ ＨＥ ＡＶが５Ｇ‐ＡＫＡに使用できる旨の表示と共に５Ｇ ＨＥ ＡＶをＡＵＳＦに返す。Ｎｕｄｍ＿ＵＥＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｇｅｔ要求にＳＵＣＩが含まれていた場合に、ＵＤＭはＮｕｄｍ＿ＵＥＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｇｅｔ応答にＳＵＰＩを含めることになる。

【0014】

ステップ３において、ＡＵＳＦは、受信したＳＵＰＩと共にＸＲＥＳ^＊を一時的に格納する。ＡＵＳＦはＫ_ＡＵＳＦを格納することがある。

【0015】

ステップ４において、ＡＵＳＦは、ＸＲＥＳ^＊からＨＸＲＥＳ^＊を、Ｋ_ＡＵＳＦからＫ_ＳＥＡＦを計算することによって、ＵＤＭ／ＡＲＰＦから受信した５Ｇ ＨＥ ＡＶから５Ｇ ＳＥ ＡＶを生成し、５Ｇ ＨＥ ＡＶにおいてＸＲＥＳ^＊をＨＸＲＥＳ^＊に、Ｋ_ＡＵＳＦをＫ_ＳＥＡＦに置き換える。

【0016】

ステップ５において、ＡＵＳＦはＫ_ＳＥＡＦを取り除き、Ｎａｕｓｆ＿ＵＥＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ａｕｔｈｅｎｔｉｃａｔｅ応答で５Ｇ ＳＥ ＡＶ（ＲＡＮＤ，ＡＵＴＮ，ＨＸＲＥＳ^＊）をＳＥＡＦに返す。

【0017】

ステップ６において、ＳＥＡＦは、ＮＡＳメッセージ認証要求でＲＡＮＤ，ＡＵＴＮをＡＭＦ（ここでは図示されていない）を介してＵＥに送信する。このメッセージはまた、ＵＥ（ＵＳＩＭと協働するＭＥ）により使用されるｎｇＫＳＩと、Ｋ_ＡＭＦ及び認証が成功した場合に作成される部分的ネイティブセキュリティコンテキストを識別するためのＡＭＦとを含むことができる。ＭＥは、ＮＡＳメッセージ認証要求で受信したＲＡＮＤ及びＡＵＴＮをＵＳＩＭに転送するものとする。

【0018】

ステップ７において、ＲＡＮＤ及びＡＵＴＮを受信すると、ＵＳＩＭは、ＴＳ ３３．１０２に記載されるようにＡＵＴＮを受け入れることができるかどうかをチェックすることによって５Ｇ ＡＶの新鮮さを検証する。ＡＵＴＮを受け入れることができる場合に、ＵＳＩＭは応答ＲＥＳを計算する。ＵＳＩＭはＲＥＳ、ＣＫ、ＩＫをＭＥに返す。ＵＳＩＭがＴＳ ３３．１０２に記載されるように変換関数ｃ３を用いてＣＫ及びＩＫからＫｃ（すなわちＧＰＲＳ Ｋｃ）を計算し、これをＭＥに送信する場合に、ＭＥはこのようなＧＰＲＳ Ｋｃを無視し、このＧＰＲＳ ＫｃをＵＳＩＭ又はＭＥに格納しないものとする。ＭＥは次にＲＥＳからＲＥＳ^＊を計算する。ＭＥはＣＫ｜｜ＩＫからＫ_ＡＵＳＦを計算する。ＭＥはＫ_ＡＵＳＦからＫ_ＳＥＡＦを計算するものとする。

【0019】

ステップ８において、ＵＥはＮＡＳメッセージ認証応答でＲＥＳ^＊をＳＥＡＦに返す。

【0020】

ステップ９において、ＳＥＡＦはＲＥＳ^＊からＨＲＥＳ^＊を計算し、ＳＥＡＦはＨＲＥＳ^＊とＨＸＲＥＳ^＊を比較する。これらが一致する場合、ＳＥＡＦはサービングネットワークの観点から認証が成功したと見なす。

【0021】

ステップ１０において、ＳＥＡＦは、ＵＥから受信するＲＥＳ^＊を、Ｎａｕｓｆ＿ＵＥＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ａｕｔｈｅｎｔｉｃａｔｅ要求メッセージでＡＵＳＦに送信する。

【0022】

ステップ１１において、ＡＵＳＦは、ＲＥＳ^＊を含むＮａｕｓｆ＿ＵＥＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ａｕｔｈｅｎｔｉｃａｔｅ要求メッセージを認証確認として受信する。ＲＥＳ^＊とＸＲＥＳ^＊が等しい場合、ＡＵＳＦはホームネットワークの観点から認証が成功したものと見なす。ＡＵＳＦは認証結果についてＵＤＭに知らせる。

【0023】

ステップ１２において、ＡＵＳＦは、認証がホームネットワークの観点から成功したか否かをＮａｕｓｆ＿ＵＥＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ａｕｔｈｅｎｔｉｃａｔｅ応答でＳＥＡＦに示す。認証が成功した場合は、Ｋ_ＳＥＡＦはＮａｕｓｆ＿ＵＥＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ａｕｔｈｅｎｔｉｃａｔｅ応答でＳＥＡＦに送信される。ＡＵＳＦが認証においてＳＥＡＦからＳＵＣＩを受信した場合、かつ認証が成功した場合は、ＡＵＳＦはＮａｕｓｆ＿ＵＥＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ａｕｔｈｅｎｔｉｃａｔｅ応答メッセージにＳＵＰＩも含む。

【0024】

認証が成功した場合、Ｎａｕｓｆ＿ＵＥＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ａｕｔｈｅｎｔｉｃａｔｅ応答メッセージで受信した鍵Ｋ_ＳＥＡＦは、鍵階層でいうところのアンカー鍵になる。そしてＳＥＡＦはＫ_ＳＥＡＦからＫ_ＡＭＦを導出する。

【0025】

この認証にＳＵＣＩが使用される場合、ＳＥＡＦは、ＳＵＰＩを含むＮａｕｓｆ＿ＵＥＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ａｕｔｈｅｎｔｉｃａｔｅ応答メッセージを受信した後に、ｎｇＫＳＩ及びＫ_ＡＭＦをＡＭＦに提供するのみとし、ＳＵＰＩがサービングネットワークに知られるまでＵＥに通信サービスが提供されないことになる。

【0026】

図２は、ＳＵＣＩ（サブスクリプション秘匿化識別子）をどのようにして生成することができるかを示している。この図は一目瞭然である。ＳＵＣＩは、少なくとも平文のＭＣＣ／ＭＮＣ（移動体国コード／移動体ネットワークコード）コードと、ホームネットワークの公開鍵で暗号化されたＭＳＩＮ（移動体加入者識別子）とを含む。ホームネットワークは、ＳＵＣＩを受信すると、これをそのサブスクリプション識別子秘匿化解除機能（ＳＩＤＦ）によって公開鍵で解読してＭＳＩＮ（非対称鍵ソリューション）を取得し、ひいてはＳＵＣＩからＳＵＰＩを取得する。したがって、ＳＵＣＩは部分的に暗号化されたＳＵＰＩ（サブスクリプション永続識別子）である。ＳＵＣＩのフォーマットは３ＧＰＰ ＴＳ ２３．００３で特定されている。ＳＵＣＩがＵＥによりどのようにして計算されるかについての一例が３ＧＰＰ ＴＳ ３３．５０１に示されている。

【0027】

図３は、ＡＵＴＮメッセージがどのようにして生成されるのかと、結果として生じるＡＶとを示している。

【0028】

まとめると、３Ｇ、４Ｇ又は５Ｇデバイス及びネットワーク認証プロセスにおいて、まずＡＵＳＦ／ＵＤＭ／ＡＲＰＦによってランダムチャレンジ（ＲＡＮＤ）が、これと共に事前共有秘密鍵Ｋ及びランダムチャレンジＲＡＮＤに基づいた認証トークン（ＡＵＴＮ）が生成される。ポイントツーポイント認証の反対側で、ＵＳＩＭは、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦから受信したランダムチャレンジ（ＲＡＮＤ）及びそれ自体の事前共有秘密鍵Ｋに基づいて応答を計算しなければならない。ＵＳＩＭはまた、その計算した応答をＡＵＳＦ／ＵＤＭ／ＡＲＰＦに返す前に、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦから受信したもの（ＡＵＴＮ）に等しいことを検証する期待される認証トークン（ＸＡＵＴＮ）を計算する。

【0029】

次いでＡＵＳＦ／ＵＤＭ／ＡＲＰＦは、その期待応答に対するＵＳＩＭ応答を検証してＵＳＩＭ識別番号を確認する。

【0030】

次いで、事前共有秘密鍵Ｋ及びパーティ間で交換されたランダムチャレンジに基づいてエアインターフェイスの完全性及び機密性を保護するために、通信の両側で鍵が生成される。

【0031】

このようなプロセスにおける注意点は事前共有秘密鍵Ｋに対する感度である。本発明では、事前共有秘密鍵Ｋが３ＧＰＰエンティティ（輸送中及び格納時）及びＵＳＩＭに良好に保管されると想定される。しかしながら、本発明は、鍵Ｋが（例えばＵＳＩＭメーカーとＡＵＳＦ／ＵＤＭ／ＡＲＰＦの間の輸送中に）この現実の状況の外側に漏洩する可能性があり、悪意のあるパーティが鍵Ｋを知っていることを利用してエアインターフェイス上の通信を受動的に盗聴するという仮説を取る。

【0032】

したがって、問題は、既存の認証プロセス及び以下の機密性及び完全性保護機構により、悪意のある第三者がエアインターフェイスを介してランダムチャレンジを得ることによって通信を盗聴することが可能になり、このランダムチャレンジ及びその知っている鍵Ｋから機密性保護鍵を計算できることである。

【0033】

そして、悪意のある第三者は、後に続くエアインターフェイスを介した全ての通信を、計算した機密性保護鍵で解読することができる。

【0034】

攻撃を受けているサブスクリプションの識別番号が、（例えば、ターゲットの識別番号、電話番号、ＳＩＭカードに書き込まれたＩＭＳＩなどを知ることによって）攻撃者によって推測される可能性があることも想定される。

【0035】

２Ｇ／３Ｇ／４Ｇ及び５Ｇにおいて、識別番号プライバシー機構がアクティブでない場合、攻撃者は、デバイスのネットワークへの新規登録／接続中にエアインターフェイスを介してサブスクリプション識別番号を獲得することができる。

【0036】

５Ｇにおいて、ユーザ識別番号プライバシー機構が使用され、サブスクリプション／ユーザの識別番号がＡＵＳＦ／ＵＤＭ／ＡＲＰＦ公開鍵で間接プロセスによってのみ暗号化されている場合、悪意のある第三者はユーザ／サブスクリプション識別番号を推測することができる。

【0037】

このような３ＧＰＰ領域外に漏洩した鍵Ｋによる受動的な盗聴を防ぐために、いくつかの解決策が存在する。

【0038】

第１に、端末とサービングネットワークとの間にディフィー・ヘルマン・メカニズムを実装することによって、米国特許第９７８７６６１号に記載されているように悪意のある第三者によるエアインターフェイスの受動的な盗聴を防止することが可能になる。

【0039】

このような解決策の欠点は、
－端末、訪問先ネットワーク（ＭＭＥ／ＡＭＦ）、及びホームネットワーク（ＨＳＳ又はＵＤＭ／ＡＵＳＦ／ＡＲＰＦ）のレベルで変更が必要であること、
－端末の移動体装置部分で追加の公開鍵暗号化が必要であること、
である。

【0040】

第２の解決策は、長期鍵を頻繁に置き換えられることである。頻度は認証ごとに高い可能性がある。デバイスとホームネットワーク鍵ストアとの間の非同期化のリスクは、変更の頻度が増すほど高くなるため、同期機構を設けることが必要である。さらに、鍵の変更が、初期鍵Ｋ及び平文で送信されるトークンに依拠する場合、又は鍵Ｋに基づいて推測できる場合、悪意のある第三者は新しい鍵を推測できることになる。

【0041】

第３の方法は、国際公開２０１６／２０７３１６に記載されているように、鍵が漏洩したと思われる時点で、別のものに切り替えられるように、いくつかの鍵をＵＳＩＭに事前に格納することである。

【0042】

しかしながら、１つの鍵を獲得できたことで他の鍵も獲得できると想定できるため、この問題は悪意のある第三者にとってより挑戦しがいのあるものになる。

【発明の概要】

【0043】

本発明は、これらの問題に対する解決策を提案する。

【0044】

より正確には、本発明は、ＳＥＡＦ及びＡＵＳＦ／ＵＤＭ／ＡＲＰＦを備える電気通信ネットワークにおける端末内の移動体装置と協働するセキュアエレメントを認証する方法であって、方法が、３ＧＰＰ ＴＳ ３３．５０１による端末とＳＥＡＦとの間の通信のためのアンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を生成することを含み、アンカー鍵が、長期鍵Ｋからの導出により得られた鍵（Ｋ_ＳＲＴ）と、端末によりＡＵＳＦ／ＵＤＭ／ＡＲＰＦに送信され、ＳＵＣＩ中のＳＵＰＩと共にＡＵＳＦ／ＵＤＭ／ＡＲＰＦ公開鍵で秘匿化された安全な登録トークンＳＲＴとから間接的に導出される方法を提案する。

【0045】

２つの好適な実施形態が請求項２及び３に示される。

【0046】

好ましくは安全な登録トークンは乱数である。

【0047】

有利には、安全な登録トークンは認証要求ごとにセキュアエレメントによって変更される。

【0048】

本発明はまた、ＳＥＡＦ及びＡＵＳＦ／ＵＤＭ／ＡＲＰＦを備える電気通信ネットワークにおける端末内の移動体装置と協働するよう意図されたセキュアエレメントであって、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが３ＧＰＰ ＴＳ ３３．５０１による端末とＳＥＡＦとの間の通信のためのアンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を生成するように、セキュアエレメントが、端末によりＡＵＳＦ／ＵＤＭ／ＡＲＰＦに送信され、ＳＵＣＩに秘匿化されたＳＵＰＩと共にＡＵＳＦ／ＵＤＭ／ＡＲＰＦ公開鍵で秘匿化された安全な登録トークン（ＳＲＴ）を生成し、アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）が、長期鍵Ｋをセキュアエレメントにより導出することにより得られた鍵（Ｋ_ＳＲＴ）と、端末によりＡＵＳＦ／ＵＤＭ／ＡＲＰＦに送信され、ＳＵＣＩに秘匿化されたＳＵＰＩと共にＡＵＳＦ／ＵＤＭ／ＡＲＰＦ公開鍵で秘匿化された安全な登録トークン（ＳＲＴ）とから導出されるセキュアエレメントを提案する。

【0049】

本発明はまた、ＳＥＡＦと電気通信ネットワークにおける端末内の移動体装置と協働するよう意図されたセキュアエレメントとを備える電気通信ネットワークのＡＵＳＦ／ＵＤＭ／ＡＲＰＦであって、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが３ＧＰＰ ＴＳ ３３．５０１による端末とＳＥＡＦとの間の通信のためのアンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を生成するように、セキュアエレメントによりＳＵＣＩに秘匿化されたＳＵＰＩと共に送信された安全な登録トークン（ＳＲＴ）を受信し、アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）が、長期鍵Ｋをセキュアエレメントにより導出することにより得られた鍵（Ｋ_ＳＲＴ）と、端末によりＡＵＳＦ／ＵＤＭ／ＡＲＰＦに送信され、秘匿化された安全な登録トークン（ＳＲＴ）とから導出されるＡＵＳＦ／ＵＤＭ／ＡＲＰＦに関する。

【図面の簡単な説明】

【0050】

本発明は、以下の図面と関連する以下の本発明の２つの好適な実施形態の説明を読むことによってより良く理解される。

【0051】

【図1】技術水準を示す図。

【図2】技術水準を示す図。

【図3】技術水準を示す図。

【図4】本発明の第１の好適な実施形態を示す図。

【図5】本発明の第２の好適な実施形態を示す図。

【発明を実施するための形態】

【0052】

図４は、本発明の第１の好適な実施形態を示している。

【0053】

この図では、改良されたセキュアエレメントと協働する移動体装置（ＭＥ）から構成されたＵＥ３０が、ＳＥＡＦ３１（図１のＳＥＡＦ２１と同一）及び改良されたＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２とメッセージを交換する。

【0054】

本発明の原理は、ＵＥ３０（ＵＳＩＭ）によりＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２に送信され、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２の公開鍵で暗号化された安全な登録トークン（ＳＲＴ）に基づいて事前共有秘密鍵Ｋを導出することに依拠する。

【0055】

第１のステップ４０において、ＵＥ３０は、少なくともＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２のＭＣＣ／ＭＮＣコードと、ＭＳＩＮと、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２の公開鍵及び鍵の鍵識別子（例えばユーザのグループの各ユーザごとの）で暗号化された安全な登録トークンＳＲＴとを含むＳＵＣＩを、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２にＳＥＡＦ３１を介して送信する。安全な登録トークンは、好ましくはセキュアエレメントによって生成される。

【0056】

ＳＵＰＩは、例えばＩＭＳＩ、又はネットワークアクセス識別子の形態をとるネットワーク固有の識別番号である。本明細書では、ＩＭＳＩとＳＵＰＩは同じ意味で区別なく用いられる。

【0057】

ＳＲＴは、例えば乱数又は連続数（この連続数はこのプロセスに先立って増加させている）である。ＳＲＴは、ＳＵＣＩ中のＳＵＰＩと共にＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２の公開鍵によって秘匿化される。したがって、ＳＲＴは暗号化されている。

【0058】

第２のステップ４１において、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２は、登録メッセージを受信すると、加入識別番号（ＩＭＳＩ）及びＳＲＴを取得する。ＩＭＳＩから、このＩＭＳＩに関連付けられた長期鍵Ｋを取得する。

【0059】

次いでＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２は、長期鍵Ｋ及びＳＲＴによって鍵Ｋ_ＳＲＴを生成する。したがって、Ｋ_ＳＲＴは長期鍵Ｋ及びＳＲＴから導出される。

【0060】

次いでＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２は、ランダムチャレンジＲＡＮＤを生成し、Ｋ_ＳＲＴ及びＲＡＮＤからＡＵＴＮ_ＳＲＴ、第１の期待チャレンジ応答ＸＲＥＳ^＊ _ＳＲＴ並びに鍵ＣＫ_ＳＲＴ（機密性保護のための）及びＩＫ_ＳＲＴ（完全性保護のための）を生成する。第１の期待チャレンジ応答ＸＲＥＳ^＊ _ＳＲＴから、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２は第２の期待チャレンジ応答ＨＸＲＥＳ^＊ _ＳＲＴを生成する。鍵ＣＫ_ＳＲＴ及びＩＫ_ＳＲＴから、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２は、３ＧＰＰ ＴＳ ３３．５０１による端末３０とＳＥＡＦ３１との間の通信のためのアンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を生成し、アンカー鍵は鍵ＣＫ_ＳＲＴ及びＩＫ_ＳＲＴから取得された中間鍵Ｋ_{ＡＵＳＦ＿ＳＲＴ}から導出される。

【0061】

次いでＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２は、ステップ４２において、ＲＡＮＤ、ＡＵＴＮ_ＳＲＴ及びＨＸＲＥＳ^＊ _ＳＲＴを含む認証ベクトルＡＶ_ＳＲＴをＳＥＡＦ３１に送信する。

【0062】

ステップ４３において、ＳＥＡＦ３１は認証ベクトルを局所的に格納し、ＲＡＮＤ及び認証トークンＡＵＴＮ_ＳＲＴをＵＥ３０に送信する。

【0063】

ＵＥ３０はＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２のように、自身の側でＫ_ＳＲＴ、認証トークンＡＵＴＮ_ＳＲＴ、ＲＥＳ^＊ _ＳＲＴ、ＣＫ_ＳＲＴ及びＩＫ_ＳＲＴを生成する。ＵＥ３０はまた、ＡＵＴＮ_ＳＲＴがＸＡＵＴＮ_ＳＲＴに等しいか検証し、鍵ＣＫ_ＳＲＴ及びＩＫ_ＳＲＴからＫ_{ＡＵＳＦ＿ＳＲＴ}を、Ｋ_{ＡＵＳＦ＿ＳＲＴ}からＫ_{ＳＥＡＦ＿ＳＲＴ}を生成する。

【0064】

したがって、このステップ４４においてＵＥ３０は、受信したチャレンジＲＡＮＤ及び認証トークンＡＵＴＮ_ＳＲＴの有効性を検証し、この有効性検証は端末ＵＥ３０が、
－局所的に格納されている安全な登録トークンＳＲＴ及び局所的に格納されている長期鍵Ｋに基づいて登録鍵Ｋ_ＳＲＴを導出し、
－端末の局所的に格納されている長期鍵Ｋ及びＳＲＴに基づいて期待されるＸＡＵＴＮ_ＳＲＴを局所的に計算し、
－期待されるＸＡＵＴＮ_ＳＲＴがＳＥＡＦ３１から受信したＡＵＴＮ_ＳＲＴに等しいかチェックする、
ことによって、また
－このチェックが成功した（ＡＵＴＮ_ＳＲＴがＸＡＵＴＮ_ＳＲＴに等しい）場合に、端末３０が前に計算した端末鍵Ｋ_ＳＲＴ及び受信したチャレンジＲＡＮＤに基づいてチャレンジ応答ＲＥＳ^＊ _ＳＲＴを計算し、
－端末３０が、３ＧＰＰ ＴＳ ３３．５０１による端末３０とＳＥＡＦ３１との間の通信のための、端末３０の長期鍵Ｋからの導出により得られた鍵Ｋ_ＳＲＴと安全な登録トークンＳＲＴとから間接的に導出される別のアンカー鍵Ｋ_{ＳＥＡＦ＿ＳＲＴ}を生成する、
ことによって実行される。

【0065】

ＸＡＵＴＮ_ＳＲＴがＡＵＴＮ_ＳＲＴに等しいかのチェックは本明細書における近道である。実際、ＵＳＩＭは
－ＳＱＮの値をＡＵＴＮの内容から計算するステップと、
－ＸＭＡＣを計算するステップと、
－ＸＭＡＣがＭＡＣに等しいか検証するステップと、
－ＳＱＮの有効性を検証するステップと
を実現する。

【0066】

次のステップ４５において、ＵＥ３０は、ＵＥ３０により計算されたチャレンジ応答ＲＥＳ^＊ _ＳＲＴをＳＥＡＦ３１に送信する。

【0067】

ステップ４６において、ＳＥＡＦ３１は、受信したＲＥＳ^＊ _ＳＲＴから別のＨＲＥＳ^＊ _ＳＲＴを導出し、ＨＲＥＳ^＊ _ＳＲＴがステップ４２における局所的に格納されている認証ベクトルに含まれたＨＸＲＥＳ^＊ _ＳＲＴに等しいかを検証する。

【0068】

この検証ステップが成功した場合は、ＳＥＡＦ３１はステップ４７において、チェックに成功したＲＥＳ^＊ _ＳＲＴをＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２に送信する。

【0069】

ステップ４８において、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２は、上記ＳＥＡＦ３１から受信したＲＥＳ^＊ _ＳＲＴが、以前に計算された期待されるチャレンジ応答ＸＲＥＳ^＊ _ＳＲＴに等しいかを検証する。それらが一致する場合は、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２はＵＥ３０が認証されたと見なし、ステップ４９において３ＧＰＰ ＴＳ ３３．５０１による端末３０の認証の状態を示す認証結果及びＫ_{ＳＥＡＦ＿ＳＲＴ}をＳＥＡＦ３１に送信する。

【0070】

その後、ＳＥＡＦ３１及びＵＥ３０は、３ＧＰＰ ＴＳ ３３．５０１に規定される通信のためのアンカー鍵Ｋ_{ＳＥＡＦ＿ＳＲＴ}を使用することができる。

【0071】

したがって、本発明は、長期鍵Ｋからの導出により取得された鍵Ｋ_ＳＲＴと、セキュアエレメント／端末３０によりＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３２に送信され、ＳＵＣＩ中の端末／セキュアエレメントＳＵＰＩと共に、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ公開鍵で秘匿化された安全な登録トークンＳＲＴとからＵＥ３０により生成され間接的に導出されたアンカー鍵Ｋ_{ＳＥＡＦ＿ＳＲＴ}の使用に依拠する。

【0072】

これより本発明の別の実施形態が図５に関連して説明される。

【0073】

この図には、図４に示されたものと同じ要素が示されている。

【0074】

ＳＥＡＦ３１は図４と同じであるが、ＵＥ及びＡＵＳＦ／ＵＤＭ／ＡＲＰＦは別の動作を行うため、それぞれ３３及び３４で参照される。ステップ４０において、ＵＥ３３は、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３４に図４と同じＳＵＣＩを送信する。これはＵＥ３３が、例えば乱数又はこのプロセスに先立って増加させた連続数である安全な登録トークン（ＳＲＴ）を生成及び送信することを意味する。

【0075】

端末３３は、加入者識別番号（ＳＵＰＩ）に加えて、安全な登録トークンＳＲＴの暗号化を含む端末ＳＵＣＩを、ＳＥＡＦ３１を介して送信することによってＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３４への登録を試みる。

【0076】

ステップ６０において、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３４は、端末識別番号及びＳＲＴを取得する登録メッセージを受信すると、加入者識別番号（セキュアエレメント／端末のＩＭＳＩ又は別の一意の参照番号）に関連付けられた長期鍵Ｋを取得する。

【0077】

次いでＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３４は、ランダムチャレンジＲＡＮＤを生成する。ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３４は、長期鍵Ｋ及びＲＡＮＤから、認証トークンＡＵＴＮ、期待チャレンジ応答ＸＲＥＳ^＊ _、暗号鍵ＣＫ、完全性鍵ＩＫ_、及び第２の期待チャレンジ応答ＨＸＲＥＳ^＊を導出する。ＨＸＲＥＳ^＊は、３ＧＰＰ ＴＳ ３３．５０１に規定されるように第１の期待チャレンジ応答ＸＲＥＳ^＊から導出される。

【0078】

次いでＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３４は、第２の暗号鍵ＣＫ_ＳＲＴ及び第２の完全性鍵ＩＫ_ＳＲＴを生成する。第２の暗号鍵は第１の暗号鍵及びＳＲＴから導出され、第２の完全性鍵は第１の完全性鍵及びＳＲＴから導出される。

【0079】

次いでＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３４は、３ＧＰＰ ＴＳ ３３．５０１による端末とＳＥＡＦ３１との間の通信のためのアンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を計算する。アンカー鍵は鍵（Ｋ_{ＡＵＳＦ＿ＳＲＴ}）から導出され、この鍵Ｋ_{ＡＵＳＦ＿ＳＲＴ}はＣＫ_ＳＲＴ及びＩＫ_ＳＲＴから導出される。

【0080】

ステップ６１において、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３４はＳＥＡＦ３１に認証ベクトルＡＶ_ＳＲＴを送信する。

【0081】

ＳＥＡＦ３１は認証ベクトルを局所的に格納し、ＲＡＮＤ及び認証トークンＡＵＴＮを端末３３に送信する（ステップ６２）。ＲＡＮＤ及びＡＵＴＮは３ＧＰＰ ＴＳ ３３．５０１に従って以前に計算された認証ベクトルに含まれている。

【0082】

ステップ６３においてＵＥ３３は、受信したチャレンジＲＡＮＤ及び認証トークンＡＵＴＮの有効性を検証し、この有効性検証は、ＵＥ３３が、
－端末の局所的に格納されている長期鍵Ｋ及び受信したチャレンジＲＡＮＤから、３ＧＰＰ ＴＳ ３３．５０１に規定される、期待される認証トークンＸＡＵＴＮ、端末チャレンジ応答ＲＥＳ^＊、端末暗号鍵ＣＫ、端末完全性鍵ＩＫを導出し（これは３ＧＰＰ ＴＳ ３３．５０１に既に存在するものに対応する）、
－第１の端末暗号鍵及びＳＲＴから導出される第２の端末暗号鍵ＣＫ_ＳＲＴ、及び第１の端末完全性鍵及びＳＲＴから導出される第２の端末完全性鍵ＩＫ_ＳＲＴを生成し、
－３ＧＰＰ ＴＳ ３３．５０１による端末とＳＥＡＦ３１との間の通信のための、端末ＣＫ_ＳＲＴ及び端末ＩＫ_ＳＲＴから導出される端末鍵（Ｋ_{ＡＵＳＦ＿ＳＲＴ}）から導出される別の端末アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を計算する
ことによって実行される。

【0083】

ステップ６４において、検証が成功した場合は、ＵＥ３３はＳＥＡＦ３１にＵＥ３３により計算されたチャレンジ応答ＲＥＳ^＊を送信する。

【0084】

ステップ６５において、ＳＥＡＦは受信したＲＥＳ^＊から別のＨＲＥＳ^＊を導出し、ＨＲＥＳ^＊がステップ６１で受信した局所的に格納されている認証ベクトルに含まれるＨＸＲＥＳ^＊に等しいかを検証する。

【0085】

検証が成功した場合は、ＳＥＡＦ３１はステップ６６において、チェックに成功したＲＥＳ^＊をＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３４に送信する。

【0086】

ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３４は、ステップ６７において、ＳＥＡＦ３１から受信したＲＥＳ^＊が、ステップ６０で計算された期待されるチャレンジ応答ＸＲＥＳ^＊に等しいかを検証する。

【0087】

ステップ６７における検証が成功した場合は、ＵＥ３３はＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３４によって認証されたと見なされ、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ３４は、ステップ６８において、３ＧＰＰ ＴＳ ３３．５０１による端末の認証の状態を示す認証結果及びステップ６０において計算されたＫ_{ＳＥＡＦ＿ＳＲＴ}をＳＥＡＦ３１に送信する。

【0088】

ステップ６９において、ＵＥ３３及びＳＥＡＦ３１は、３ＧＰＰ ＴＳ ３３．５０１に規定される通信のためのＫ_{ＳＥＡＦ＿ＳＲＴ}を使用する。

【0089】

この第２の代替策の利点は、（ＵＳＩＭではなく）端末の移動体装置部分が、ＵＳＩＭがＳＵＰＩ及びＳＲＴのＳＵＣＩへの秘匿化（ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ公開鍵によるＳＵＰＩ及びＳＲＴの暗号化）を実行できない場合に、ＳＲＴに基づいたＣＫ及びＩＫの導出を実行できることである。

【0090】

この第２の代替策では、ＵＳＩＭ（能力がある場合）は、ＳＲＴに基づいてＣＫ及びＩＫの導出を行うことができるため、新しいプロセスが端末に対して透過的になる。

【0091】

前述のように安全な登録トークンは、好ましくは乱数であり、認証要求ごとにセキュアエレメントによって変更することができる。

【0092】

本発明はまた、ＳＥＡＦ及びＡＵＳＦ／ＵＤＭ／ＡＲＰＦを備える電気通信ネットワークにおける端末内の移動体装置と協働するよう意図されたセキュアエレメントであって、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが、３ＧＰＰ ＴＳ ３３．５０１による端末とＳＥＡＦとの間の通信のためのアンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を生成するように、セキュアエレメントが端末によりＡＵＳＦ／ＵＤＭ／ＡＲＰＦに送信され、ＳＵＣＩ中のＳＵＰＩと共にＡＵＳＦ／ＵＤＭ／ＡＲＰＦ公開鍵で秘匿化された安全な登録トークン（ＳＲＴ）を生成し、アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）が、長期鍵Ｋをセキュアエレメントから導出することにより得られた鍵（Ｋ_ＳＲＴ）と、端末によりＡＵＳＦ／ＵＤＭ／ＡＲＰＦに送信され、ＳＵＣＩ中のＳＵＰＩと共にＡＵＳＦ／ＵＤＭ／ＡＲＰＦ公開鍵で秘匿化された安全な登録トークン（ＳＲＴ）とから間接的に導出されるセキュアエレメントに関する。

【0093】

本発明はまた、ＳＥＡＦと、電気通信ネットワークにおける端末内の移動体装置と協働するよう意図されたセキュアエレメントとを備える電気通信ネットワークのＡＵＳＦ／ＵＤＭ／ＡＲＰＦであって、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦが３ＧＰＰ ＴＳ ３３．５０１による端末とＳＥＡＦとの間の通信のためのアンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）を生成するように、端末／セキュアエレメントにより送信され、ＳＵＣＩ中のＳＵＰＩと共にＡＵＳＦ／ＵＤＭ／ＡＲＰＦ公開鍵で秘匿化された安全な登録トークン（ＳＲＴ）を受信し、アンカー鍵（Ｋ_{ＳＥＡＦ＿ＳＲＴ}）が、セキュアエレメントに格納されている長期鍵Ｋを導出することにより得られた鍵（Ｋ_ＳＲＴ）と、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ公開鍵で秘匿化され、端末によりＡＵＳＦ／ＵＤＭ／ＡＲＰＦに送信され、ＳＵＣＩ中のＳＵＰＩと共にＡＵＳＦ／ＵＤＭ／ＡＲＰＦ公開鍵で秘匿化された安全な登録トークン（ＳＲＴ）とから間接的に導出されるＡＵＳＦ／ＵＤＭ／ＡＲＰＦに関する。

【0094】

以前の全ての３ＧＰＰ認証／登録プロセス（２Ｇから現在の５Ｇ技術）と異なり、本発明は、鍵導出の基礎として安全な登録鍵（Ｋ_ＳＲＴ）を使用する。この安全な登録鍵は、ＵＳＩＭメーカー又はデバイスメーカーには知られておらず、ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ及び現場のＵＳＩＭにしか知られていない。

【0095】

他の解決策と異なり、本発明はネットワークの中間ノード（例えば、ＳＥＡＦ、ＡＭＦ、移動体装置）の変更を必要としないため、ホームネットワーク（ＡＵＳＦ／ＵＤＭ／ＡＲＰＦ）とＵＳＩＭの間で容易に実施することができる。

【0096】

他の解決策と異なり、本発明は３ＧＰＰ ＴＳ ３３．５０１に既に定義されているサブスクリプション識別番号プライバシーに使用されるＵＳＩＭ内部の既存の公開鍵アセットを使用しているが、ＵＳＩＭがＳＵＣＩ計算を行うことができず、移動体装置がＳＵＰＩプライバシーを与えることができる場合は、本機構はＵＥの移動体装置部分によって実行することもできる（第２の代替策）。

【0097】

ＵＳＩＭによってサポートされる場合、本発明はこれを移動体装置に対して透過的にする。

【図1】

【図2】

【図3】

【図4】

【図5】