特許 7398030 ＵＥ、ネットワーク装置、ＵＥの方法、及びネットワーク装置の方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-12-06

(45)【発行日】2023-12-14

(54)【発明の名称】ＵＥ、ネットワーク装置、ＵＥの方法、及びネットワーク装置の方法

(51)【国際特許分類】

   H04W 12/037 20210101AFI20231207BHJP

   H04W 12/72 20210101ALI20231207BHJP

   H04W 60/00 20090101ALI20231207BHJP

【ＦＩ】

H04W12/037

H04W12/72

H04W60/00

【請求項の数】 20

(21)【出願番号】P 2022079916

(22)【出願日】2022-05-16

(62)【分割の表示】P 2019564717の分割

【原出願日】2019-01-09

(65)【公開番号】P2022107011

(43)【公開日】2022-07-20

【審査請求日】2022-05-16

(31)【優先権主張番号】201811001460

(32)【優先日】2018-01-12

(33)【優先権主張国・地域又は機関】IN

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100103894

【弁理士】

【氏名又は名称】家入 健

(72)【発明者】

【氏名】バスカラン シーバ バッキア メーリ

(72)【発明者】

【氏名】ラクシュミナラヤナン シバカミー

(72)【発明者】

【氏名】プラサド アナンド ラガワ

(72)【発明者】

【氏名】アルムガム シババラン

(72)【発明者】

【氏名】伊藤 博紀

(72)【発明者】

【氏名】吉澤 敬人

【審査官】望月 章俊

(56)【参考文献】

【文献】Nokia, LG Electronics. CATT，SIDF purpose in initiation of authentication[online]，3GPP TSG SA WG3 #89 S3-173446，Internet<URL:http://www.3gpp.org/ftp/tsg_sa/WG3_Se，2017年12月01日

【文献】Ericsson, Vodafone，SUCI -- format and generation[online]，3GPP TSG SA WG3 #88 S3-171786，Internet<URL:http://www.3gpp.org/ftp/tsg_sa/WG3_Se，2017年07月31日

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｗ４／００－Ｈ０４Ｗ９９／００

Ｈ０４Ｂ７／２４－Ｈ０４Ｂ７／２６

３ＧＰＰ ＴＳＧ ＲＡＮ ＷＧ１－４

ＳＡ ＷＧ１－４

ＣＴ ＷＧ１、４

(57)【特許請求の範囲】

【請求項1】

ＵＥ（User Equipment）であって、
複数の保護方式のうちの１つの保護方式を用いて秘匿化されたＳＵＰＩ（subscription permanent identifier）と、前記ＵＥが前記ＳＵＰＩを秘匿化するのに前記複数の保護方式のうちのどれを用いたかを識別する保護方式識別子と、を含み、それ故、第２のネットワーク装置が前記保護方式識別子によって識別される前記保護方式に基づいて前記ＳＵＰＩに非秘匿化できるように構成されたＳＵＣＩ（subscription concealed identifier）を生成する手段と、
前記第２のネットワーク装置への送信のために、Registration Requestメッセージに含まれる前記ＳＵＣＩを登録処理中に第１のネットワーク装置へ送信する手段と、を備え、
前記複数の保護方式は、第１の保護方式及び第２の保護方式を含み、
前記保護方式識別子は、前記第１の保護方式が用いられる場合は前記第１の保護方式を識別し、かつ、前記第２の保護方式が用いられる場合は前記第２の保護方式を識別する、
ＵＥ。

【請求項2】

前記第２のネットワーク装置は、第２のコアネットワーク装置である、
請求項１に記載のＵＥ。

【請求項3】

前記第２のコアネットワーク装置は、ＵＤＭ（Unified Data Management）を含む、
請求項２に記載のＵＥ。

【請求項4】

前記第２のコアネットワーク装置は、ＳＩＤＦ（Subscription Identifier De-concealing Function）を含む、
請求項２に記載のＵＥ。

【請求項5】

前記第１のネットワーク装置は、第１のコアネットワーク装置である、
請求項１乃至４のいずれか一項に記載のＵＥ。

【請求項6】

前記保護方式識別子は、プロファイルを識別する、
請求項１乃至４のいずれか一項に記載のＵＥ。

【請求項7】

ネットワーク装置であって、
ＵＥ（User Equipment）によって生成されるＳＵＣＩ（subscription concealed identifier）であって、複数の保護方式のうちの１つの保護方式を用いて秘匿化されたＳＵＰＩ（subscription permanent identifier）と、前記ＵＥが前記ＳＵＰＩを秘匿化するのに前記複数の保護方式のうちのどれを用いたかを識別する保護方式識別子と、を含む前記ＳＵＣＩを含むメッセージを受信する手段と、
前記保護方式識別子によって識別される前記保護方式に基づいて、前記ＳＵＣＩを前記ＳＵＰＩに非秘匿化する手段と、を備え、
前記複数の保護方式は、第１の保護方式及び第２の保護方式を含み、
前記保護方式識別子は、前記第１の保護方式が用いられる場合は前記第１の保護方式を識別し、かつ、前記第２の保護方式が用いられる場合は前記第２の保護方式を識別する、
ネットワーク装置。

【請求項8】

前記ネットワーク装置は、コアネットワーク装置である、
請求項７に記載のネットワーク装置。

【請求項9】

前記コアネットワーク装置は、ＵＤＭ（Unified Data Management）を含む、
請求項８に記載のネットワーク装置。

【請求項10】

前記コアネットワーク装置は、ＳＩＤＦ（Subscription Identifier De-concealing Function）を含む、
請求項８に記載のネットワーク装置。

【請求項11】

ＵＥ（User Equipment）の方法であって、
複数の保護方式のうちの１つの保護方式を用いて秘匿化されたＳＵＰＩ（subscription permanent identifier）と、前記ＵＥが前記ＳＵＰＩを秘匿化するのに前記複数の保護方式のうちのどれを用いたかを識別する保護方式識別子と、を含み、それ故、第２のネットワーク装置が前記保護方式識別子によって識別される前記保護方式に基づいて前記ＳＵＰＩに非秘匿化できるように構成されたＳＵＣＩ（subscription concealed identifier）を生成し、
前記第２のネットワーク装置への送信のために、Registration Requestメッセージに含まれる前記ＳＵＣＩを登録処理中に第１のネットワーク装置へ送信し、
前記複数の保護方式は、第１の保護方式及び第２の保護方式を含み、
前記保護方式識別子は、前記第１の保護方式が用いられる場合は前記第１の保護方式を識別し、かつ、前記第２の保護方式が用いられる場合は前記第２の保護方式を識別する、
方法。

【請求項12】

前記第２のネットワーク装置は、第２のコアネットワーク装置である、
請求項１１に記載の方法。

【請求項13】

前記第２のコアネットワーク装置は、ＵＤＭ（Unified Data Management）を含む、
請求項１２に記載の方法。

【請求項14】

前記第２のコアネットワーク装置は、ＳＩＤＦ（Subscription Identifier De-concealing Function）を含む、
請求項１２に記載の方法。

【請求項15】

前記第１のネットワーク装置は、第１のコアネットワーク装置である、
請求項１１乃至１４のいずれか一項に記載の方法。

【請求項16】

前記保護方式識別子は、プロファイルを識別する、
請求項１１乃至１４のいずれか一項に記載の方法。

【請求項17】

ネットワーク装置の方法であって、
ＵＥ（User Equipment）によって生成されるＳＵＣＩ（subscription concealed identifier）であって、複数の保護方式のうちの１つの保護方式を用いて秘匿化されたＳＵＰＩ（subscription permanent identifier）と、前記ＵＥが前記ＳＵＰＩを秘匿化するのに前記複数の保護方式のうちのどれを用いたかを識別する保護方式識別子と、を含む前記ＳＵＣＩを含むメッセージを受信し、
前記保護方式識別子によって識別される前記保護方式に基づいて、前記ＳＵＣＩを前記ＳＵＰＩに非秘匿化し、
前記複数の保護方式は、第１の保護方式及び第２の保護方式を含み、
前記保護方式識別子は、前記第１の保護方式が用いられる場合は前記第１の保護方式を識別し、かつ、前記第２の保護方式が用いられる場合は前記第２の保護方式を識別する、
方法。

【請求項18】

前記ネットワーク装置は、コアネットワーク装置である、
請求項１７に記載の方法。

【請求項19】

前記コアネットワーク装置は、ＵＤＭ（Unified Data Management）を含む、
請求項１８に記載の方法。

【請求項20】

前記コアネットワーク装置は、ＳＩＤＦ（Subscription Identifier De-concealing Function）を含む、
請求項１８に記載の方法。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、ＵＤＭ（Unified Data Management）を有せる次世代システムに関する。

【背景技術】

【0002】

移動通信システムの分野において、非特許文献１及び非特許文献２に開示されているように、５Ｇ（5 Generation）と称される次世代システムの構成が検討されている。次世代システムにおいては、ＵＤＭ（Unified Data Management）によって加入者データ等を管理することが検討されている。ＵＤＭは、ＳＩＤＦ（Subscription Identifier De-concealing Function）サービスに基づいたＳＵＣＩ（Subscription Concealed Identifier）の非秘匿化（解読化）プロセスを提供する。ＳＵＣＩは、ＵＥ（User Equipment）によって生成される。ＳＵＣＩは、秘匿化されたＳＵＰＩ（Subscription Permanent Identifier）を含む。

【0003】

ＳＩＤＦサービスに基づいたＳＵＣＩの非秘匿化プロセスにおいて、非特許文献１には、ＵＤＭが、ＳＵＰＩを取得するためにＳＵＣＩの非秘匿化を実行することが開示されている。ＵＤＭは、ＳＵＰＩに基づいて、端末とネットワークとの認証処理に用いられる認証方法を選択する。

【先行技術文献】

【非特許文献】

【0004】

【文献】3GPP TS 33.501 V0.6.0 (2018-01), Security Architecture and Procedures for 5G System (Release 15)

【文献】3GPP TS 23.501 V15.0.0 (2017-12), System Architecture for 5G System; Stage 2 (Release 15)

【発明の概要】

【発明が解決しようとする課題】

【0005】

上述した関連技術において、ＵＤＭは、ＳＵＰＩの秘匿化に使用された保護方式がわからないため、ＳＵＣＩの非秘匿化プロセスを実行することができないという問題点がある。

【0006】

本開示の目的は、上述した課題を解決する通信端末、ネットワーク装置、及び方法を提供することである。

【課題を解決するための手段】

【0007】

本開示の第１の態様にかかる通信端末は、所定の保護方式を用いて秘匿化されたＳＵＰＩ（subscription permanent identifier）と、前記保護方式を識別する保護方式識別子と、を含むＳＵＣＩ（subscription concealed identifier）を生成する制御手段と、前記ＳＵＣＩを生成するために使用された前記保護方式に基づいて、第２ネットワーク装置が前記ＳＵＣＩから前記ＳＵＰＩを非秘匿化するために、前記ＳＵＣＩを登録処理中に第１ネットワーク装置へ送信する送信手段と、を有する。

【0008】

本開示の第２の態様にかかるネットワーク装置は、通信端末によって生成されるＳＵＣＩ（subscription concealed identifier）であって、所定の保護方式を用いて秘匿化されたＳＵＰＩ（subscription permanent identifier）と、前記保護方式を識別する保護方式識別子と、を含む前記ＳＵＣＩを含むメッセージを受信する受信手段と、前記ＳＵＣＩを生成するために使用された前記保護方式に基づいて、前記ＳＵＣＩから前記ＳＵＰＩを非秘匿化する制御手段と、を有する。

【0009】

本開示の第３の態様にかかる通信方法は、所定の保護方式を用いて秘匿化されたＳＵＰＩ（subscription permanent identifier）と、前記保護方式を識別する保護方式識別子と、を含むＳＵＣＩ（subscription concealed identifier）を生成し、前記ＳＵＣＩを生成するために使用された前記保護方式に基づいて、第２ネットワーク装置が前記ＳＵＣＩから前記ＳＵＰＩを非秘匿化するために、前記ＳＵＣＩを登録処理中に第１ネットワーク装置へ送信する。

【0010】

本開示の第４の態様にかかる非秘匿化方法は、通信端末によって生成されるＳＵＣＩ（subscription concealed identifier）であって、所定の保護方式を用いて秘匿化されたＳＵＰＩ（subscription permanent identifier）と、前記保護方式を識別する保護方式識別子と、を含む前記ＳＵＣＩを含むメッセージを受信し、前記ＳＵＣＩを生成するために使用された前記保護方式に基づいて、前記ＳＵＣＩから前記ＳＵＰＩを非秘匿化する。

【発明の効果】

【0011】

本開示における効果は、ネットワークにおいて、ＳＵＰＩを確実に取得することができる点である。

【図面の簡単な説明】

【0012】

【図1】実施の形態１にかかるＳＵＰＩ保護方式及びその方法の識別、並びにＳＵＰＩ非秘匿化を説明する図である。

【図2】実施の形態１にかかるＭＡＣ生成及びＳＰＳＩ完全性検証プロセスを説明する図である。

【図3】実施の形態１にかかるＳＰＳＩ暗号化及び復号化プロセスを説明する図である。

【図4】実施の形態にかかる通信端末の構成図である。

【図5】実施の形態にかかるネットワーク装置の構成図である。

【発明を実施するための形態】

【0013】

発明者は、ＳＩＤＦサービスに基づいたＳＵＣＩの非秘匿化（de-concealment）プロセスにおいて、次の二つの問題があると言っている。

【0014】

（ｉ）ＵＥ（User Equipment）は、ＳＵＰＩ（Subscription Permanent Identifier）からＳＵＣＩを生成するが、ＵＥが使用したＳＵＰＩ保護方式（ＳＰＳＩ：SUPI Protection Scheme Identifier/Indicator）のコアネットワークへの通知が不足している。

【0015】

（ｉｉ）ＳＰＳＩに対する保護の欠如は、攻撃者によるＳＰＳＩの改竄を容易にし、コアネットワークにおけるＳＵＰＩ非秘匿化の失敗につながる。

【0016】

上記の２つの問題を以下に詳細に説明する。

【0017】

（ｉ）ＳＵＰＩ保護方式（ＳＰＳＩ）及びその方法通知（Indication）の欠如
ホームネットワーク（ＰＬＭＮ（Public Land Mobile Network）が、ＳＵＰＩ秘匿化のためにどの保護方式（例えば、ＳＵＰＩ秘匿方式とその方法、又はＳＵＰＩ秘匿化で使用されている楕円曲線（Elliptic curve）又はセキュリティプロファイル）がＵＥで使用されているかを認識していない場合、ホームネットワークはＳＵＰＩを非秘匿化することができない。したがってホームネットワークは、加入（subscription）／加入者（subscriber）の識別が不可能となる。

【0018】

問題となるシナリオとして以下が考えられる。５ＧにおけるＳＵＰＩ秘匿化のために提案されている多様な楕円曲線は、ｓｅｃｐ３８４ｒ１、ＮＩＳＴ Ｐ－３８４、ＮＩＳＴ Ｐ－２５６、ｂｒａｉｎｐｏｏｌ３８４、ｂｒａｉｎｐｏｏｌ２５６、Ｍ－３８３、Ｃｕｒｖｅ４１４１７、及びＣｕｒｖｅ２５５１９を含む。ホームネットワーク内のＵＤＭはＳＩＤＦサービスを提供し、そこにおいて、ＵＤＭは、多数の加入者に対して同時に、異なる保護方式によるＳＵＰＩの非秘匿化を処理することが求められる。ＵＤＭ／ＳＩＤＦにおける一つの障害は、ＰＬＭＮ内のＳＵＰＩ非秘匿化プロセス全体に影響する。

【0019】

（ｉｉ）ＳＵＰＩ保護方式識別子（ＳＰＳＩ）の完全性及び機密性保護
ＵＥによって送信されたＳＰＳＩがコアネットワークに送信中に保護されない場合、ＳＰＳＩは攻撃者によって改竄される恐れがあり、コアネットワークで正しい保護方式を識別することができない状態にし、ＳＵＰＩ非秘匿化プロセスが失敗する。

【0020】

（実施の形態１）
以下に、上記の課題（ｉ）及び（ｉｉ）に対する解決法を詳細に説明する。

【0021】

（１）ＳＵＰＩ保護方式及びその方法通知の欠如に対する解決法
提案されているＳＰＳＩは、ＳＵＰＩからＳＵＣＩを生成するためにＵＥによって使用される保護方式及び／又は方法、及び／又は楕円曲線（ECC Curve）及び／又はセキュリティプロファイルを識別するための識別指標（Indicator）又は識別指標の組合せを含む。

【0022】

変形例：ＳＵＰＩセキュリティプロファイル識別子は、ＳＵＣＩ非秘匿化においてサポートするＫＤＦ（Key derivation Function）、ハッシュ、ＭＡＣ（Message Authentication Code）、mackeylen、maclen、ENC、enckeylen、EC Diffie-Hellman primitive、ＥＣドメインパラメータ、点圧縮（point compression）、下位互換モード（backwards compatibility mode）等のセキュリティパラメータを含むセキュリティプロファイルを示す。

【0023】

ＳＰＳＩは、ＵＥによって、登録手順中（Registration Procedure）に、ＳＵＣＩとともに、そのサブパラメータとして又は単独のパラメータとしてネットワークに送信される。

【0024】

ＵＥから受信したＳＰＳＩに基づいて、ホームネットワークは、ＳＵＰＩ秘匿化のために使用された保護方式又は方法、又は楕円曲線（elliptic curve）又はセキュリティプロファイルを識別する。ネットワークは、この情報を使用して適切な保護方式／方法／ＥＣＣ曲線（ECC Curve）／セキュリティプロファイルを特定し、それによってＳＵＣＩからＳＵＰＩを非秘匿化（解読）する。

【0025】

以下に、図１を用いて、ＳＵＰＩ保護方式及びその方法の識別、並びにＳＵＰＩ非秘匿化について説明する。以下に記載する番号は、図１に示される番号と対応している。

【0026】

１．ＳＰＳＩは、ＵＥによって、登録要求メッセージ（Registration request message）においてＳＵＣＩと共に個々のパラメータとして又は該ＳＵＣＩの一部としてＡＭＦ（Authentication Management Field）／ＳＥＡＦ（SEcurity Anchor Function）に送信される。登録要求メッセージは、Ｎ１メッセージに含まれる。

【0027】

２．ＳＥＡＦがAuthentication Initiation RequestにおいてＳＵＣＩをＡＵＳＦに送信する場合、Authentication Initiation Requestは、ＳＰＳＩを含む。さらに、Authentication Initiation Requestは、SN（Serving Network）-nameを含む。Authentication Initiation Requestは、Ｎ１２メッセージに含まれる。

【0028】

３．ＡＵＳＦは、Authentication Information Request（Auth Info-Req）を以下の情報とともにＵＤＭに送信する。
・ＳＵＣＩ；
・提案されているＳＰＳＩ;
・serving network name;
・認証が３ＧＰＰアクセスを意図したものか、又は非３ＧＰＰアクセスを意図したものかを示す通知（indication）;
・ＡＵＳＦが５Ｇ－ＡＫＡを実行するように構成されている場合、要求されたＡＶ（Authentication Vevtor）の数。

【0029】

４．ＳＰＳＩとともにＳＵＣＩを含むAuth Info-Reqを受信すると、ＵＤＭは、ＳＰＳＩに基づいてＳＵＣＩ生成のために使用される保護方式及びその方法を特定する。

【0030】

５．ＵＤＭは、ＳＵＣＩを非秘匿化するために、対応するＵＤＭ／ＳＩＤＦインスタンス又はサービスを呼び出す。

【0031】

ステップ５の変形例：ＵＤＭインスタンスはＳＵＣＩを秘匿化するためにＳＩＤＦサービス／機能性（functionality）／機能（function）を呼び出す。

【0032】

ＵＤＭは、５Ｇでサポートされている異なるＳＵＰＩ保護方式に固有のＳＩＤＦサービスを提供してもよい。（ＵＤＭは複数のＳＩＤＦインスタンス又はサービス又は機能性を有す／提供する。）

【0033】

ＵＤＭ／ＡＵＳＦは、ＳＰＳＩによって通知される曲線のタイプ及び／又はＳＵＰＩ保護方式及びそれの方法、又はＳＵＰＩ秘匿化に使用されるセキュリティプロファイルに基づいてＳＵＣＩを非秘匿化するために、正しいＵＤＭ／ＳＩＤＦインスタンス又はＳＩＤＦサービスを呼び出す。

【0034】

もしくは、ＵＤＭ／ＡＵＳＦは、アクセスタイプに基づいて正しいＵＤＭ／ＳＩＤＦインスタンス又はＳＩＤＦサービスを呼び出す。

【0035】

もしくは、ＵＤＭ／ＡＵＳＦは、ＩＭＳＩ（International Mobile Subscriber Identify）及び非ＩＭＳＩタイプ等のＳＵＰＩタイプに基づいてＳＵＰＩを非秘匿化するために、正しいＵＤＭ／ＳＩＤＦインスタンス又はＳＩＤＦサービスを呼び出す。

【0036】

もしくは、ＵＤＭ／ＡＵＳＦは、ＵＥに提供されたサービスタイプ又はネットワークスライスに基づいてＳＵＰＩを非秘匿化するために、正しいＵＤＭ／ＳＩＤＦインスタンス又はＳＩＤＦサービスを呼び出す。

【0037】

続いて、サービングネットワークによって開始された加入（subscription）識別手順のためのホームネットワークによるＳＵＰＩ非秘匿化及びＳＩＤＦ呼び出し、について説明する。

【0038】

ホームネットワーク内のＡＵＳＦがＳＵＣＩを非秘匿化するためにサービングネットワークからＳＵＣＩ及びＳＰＳＩとともに加入識別要求／情報要求メッセージ（Subscription identification Request/information request message）を受信したとき、ＡＵＳＦは、ＳＩＤＦを呼び出す。

【0039】

ＳＰＳＩは、ＵＥによってサービングネットワークを介してＡＵＳＦに通知される。

【0040】

ホームネットワークエンティティ／ＡＵＳＦは、ＳＰＳＩによって示されるＳＵＰＩ保護方式に基づいてＳＵＣＩを非秘匿化するために、正しいＵＤＭ／ＳＩＤＦインスタンスを呼び出す。

【0041】

続いて、単一又は複数のＵＤＭインスタンスの場合のＳＵＣＩ非秘匿化、について説明する。

【0042】

変形例１：複数のＵＤＭインスタンスがＳＩＤＦサービスを提供し、そこにおいて、各インスタンスは、単一障害点を防ぐために５Ｇでサポートされている全てのＳＵＰＩ保護方式をサポートする。

【0043】

変形例２：複数のＵＤＭインスタンスがＳＩＤＦサービスを提供し、そこにおいて、各インスタンスは、単一障害点を防ぐために５Ｇで使用されている特定のＳＵＰＩ保護方式をサポートする。

【0044】

変形例３：５Ｇでサポートされている全てのＳＵＰＩ保護方式に対して、複数のＵＤＭインスタンスは、単一障害点を防ぐために同様のサービスを提供してもよい。

【0045】

変形例４：特定のＵＤＭ／ＳＩＤＦインスタンスは、ＰＬＭＮの外部のエンティティに対するＡＵＳＦ／ＵＤＭからのＳＵＰＩ非秘匿化サービス要求を処理するために割り当てられかつ呼び出される。

【0046】

変形例５：特定のＵＤＭ／ＳＩＤＦインスタンスは、サードパーティサービスプロバイダーに対するＡＵＳＦからのＳＵＰＩ非秘匿化サービス要求を処理するために割り当てられかつ呼び出される。

【0047】

以下に、可能なＳＵＰＩ構成とそれらのフォーマット、を示す。以下に挙げるすべてのオプションはＳＵＰＩ秘匿方法に関連する。

【0048】

オプション１：＜ＳＵＣＩ＞｜｜＜方式ＩＤ＞｜｜＜ＥＣＣ曲線／メソッド識別子（ＩＤ）＞
（<SUCI>||<Scheme ID>||<ECC Curve/Method Identifier (ID)>）

【0049】

オプション２：＜ＳＵＣＩ＞｜｜＜方式ＩＤ＞｜｜＜セキュリティプロファイルＩＤ＞
（<SUCI>||<Scheme ID>||<Security Profile ID>）

【0050】

オプション３：方式－出力＝＜方式ＩＤ＞｜｜＜ＥＣＣ曲線／方法ＩＤ＞
（scheme-output =<Scheme ID>||<ECC Curve/Method ID>）

【0051】

オプション４：方式－出力＝＜方式ＩＤ＞｜｜＜セキュリティプロファイルＩＤ＞
（scheme-output =<Scheme ID>||<Security Profile ID>）

【0052】

オプション５：方式－出力＝＜方式ＩＤ｜｜方法ＩＤ＞
（scheme-output = <Scheme ID || Method ID>）

【0053】

オプション６：Ｎ１メッセージの個別パラメータとして：＜方式ＩＤ｜｜方法ＩＤ＞
（As separate parameters in the N1 message: <Scheme ID || Method ID>）

【0054】

オプション７：Ｎ１メッセージの個別パラメータとして：＜方式ＩＤ＞
（As separate parameters in the N1 message: <Scheme ID>）

【0055】

オプション８：Ｎ１メッセージの個別パラメータとして：＜方法ＩＤ＞
（As separate parameters in the N1 message: <Method ID>）

【0056】

オプション９：Ｎ１メッセージの個別パラメータとして：＜ＥＣＣ曲線タイプＩＤ＞
（As separate parameters in the N1 message: <ECC Curve Type ID>）

【0057】

オプション１０：Ｎ１メッセージの個別パラメータとして：＜セキュリティプロファイルＩＤ＞
（As separate parameters in the N1 message: <Security Profile ID>）

【0058】

オプション１１：全てのオプションの組を含む、そこにおいて、各オプション１～１０はＭＡＣと連結される。
（It includes set of all options, where each Option 1 to 10 concatenated with MAC）

【0059】

（２）ＳＵＰＩ保護方式識別子の完全性保護の欠如の解決法
ＳＰＳＩは、ＵＥとホームネットワークとの間で共有される秘密鍵を使用するＵＥによって完全性が保護される。秘密鍵はホームネットワークによってＵＥに事前に準備されるか、ＵＥ及びホームネットワークで生成される。共有秘密鍵がＳＰＳＩ完全性保護のために使用される場合、それは一時的な（Ephemeral）共有鍵又は一時的なマスター共有鍵又は一時的なｍａｃ鍵、又は楕円曲線統合暗号化方式（Elliptic curve integrated encryption scheme）又は他の楕円曲線ベースの保護方式（Elliptic curve based protection scheme）の実施中にこれらの鍵から導出された鍵であってもよい。ＭＡＣ生成及びＳＰＳＩ完全性検証プロセスを図２に示す。

【0060】

ホームネットワークは、ＳＰＳＩが攻撃者によって改竄されていないことを確認するために、秘密の共有鍵を使用してＭＡＣを生成し、ＵＥから受信したＳＰＳＩのＭＡＣを検証する。

【0061】

ＭＡＣ生成に使用される関数（ｆ）は、ＮＩＡ－１、ＮＩＡ－２、ＮＩＡ－３等の任意のｍａｃアルゴリズムであればよい。

【0062】

ＳＰＳＩは、オプションとして、ＨＮ公開鍵を使用するＵＥによって機密保護される。ＳＰＳＩが機密保護されている場合、ホームネットワークは、その秘密鍵（private key）又はそれから派生した鍵を使用してＳＰＳＩを復号化する。ＳＰＳＩ暗号化及び復号化プロセスを図３に示す。

【0063】

関数（ｆ）は、ＳＰＳＩ機密保護に用いられるＵＥ側の暗号アルゴリズム及びネットワーク側の復号アルゴリズムである。ＳＰＳＩ機密保護は、ＲＳＡや楕円曲線暗号技術（ＥＣＣ：Elliptic Curve Cryptography）等の公開鍵暗号技術（非対称）暗号化アルゴリズム、又はこれらから派生したその他の方式に基づく。

【0064】

ＳＰＳＩ機密性は、ゼロ方式（null scheme）がＳＵＰＩ秘匿化／保護に使用される場合を含む、全てのシナリオで加入者／加入／ユーザのプライバシーを保証する、という効果がある。

【0065】

完全性保護又はＳＰＳＩの暗号化にアルゴリズム又は関数が使用される場合、それは（ｉ）ＵＥとコアネットワークとの間で取り決められてもよく、（ｉｉ）アルゴリズムＩＤ／関数ＩＤが、登録要求（Registration Request）においてＵＥによって送信されてもよい。

【0066】

本開示においては、以下に示す識別子が用いられ、さらに、以下に示す機能が実行される。
１）ＳＵＰＩ秘匿化で使用されるＳＵＰＩ保護方式とその方法を識別する識別子
２）ＳＵＰＩ秘匿化で使用される楕円曲線を識別する識別子
３）ＳＵＰＩ秘匿化で使用されるセキュリティプロファイルを識別する識別子
４）ＳＵＰＩ非秘匿化で使用される保護方式及び方法に固有のＵＤＭ／ＳＩＤＦインスタンス又はサービス呼び出し
５）ＳＵＰＩタイプ又はアクセスタイプに基づくＵＤＭ／ＳＩＤＦインスタンス又はサービス呼び出し
６）ＵＥによるＨＮ公開鍵を使用するＳＰＳＩの機密保護
７）ＵＥとＨＮの共有秘密鍵を使用するＳＰＳＩの完全性保護

【0067】

ＳＵＰＩ保護方式及びその方法通知の欠如に対する方法は、以下のステップを含む。
１）ＵＥは、コアネットワークにおいてＳＵＰＩ非秘匿化をサポートするために、ＳＵＰＩ秘匿化の実施中に使用したＳＵＰＩ保護方式とその方法識別子、又は楕円曲線識別子又はセキュリティプロファイル識別子をコアネットワークエンティティに送信する。
２）コアネットワークにおけるＵＤＭ／ＳＩＤＦは、ＳＵＰＩ秘匿化に使用された保護方式及び方法に固有のＳＩＤＦを呼び出す。

【0068】

ＳＵＰＩ保護方式識別子の完全性及び機密性保護の欠如に対する方法は、以下のステップを含む。
１）ＵＥからコアネットワークに送信されるＳＰＳＩは、ＨＮ公開鍵を使用して機密保護される。
２）ＵＥからコアネットワークに送信されるＳＰＳＩは、共有秘密鍵を使用して完全性保護される。

【0069】

なお、本開示は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。

【0070】

続いて以下では、上述の実施形態で説明された通信端末１０及びネットワーク装置２０の構成例について説明する。

【0071】

図４は、通信端末１０の構成例を示すブロック図である。通信端末１０は、ＵＥであってもよい。Radio Frequency（RF）トランシーバ１１０１は、基地局と通信するためにアナログRF信号処理を行う。RFトランシーバ１１０１により行われるアナログRF信号処理は、周波数アップコンバージョン、周波数ダウンコンバージョン、及び増幅を含む。RFトランシーバ１１０１は、アンテナ１１０２及びベースバンドプロセッサ１１０３と結合される。すなわち、RFトランシーバ１１０１は、変調シンボルデータをベースバンドプロセッサ１１０３から受信し、送信RF信号を生成し、送信RF信号をアンテナ１１０２に供給する。変調シンボルデータは、OFDM（Orthogonal Frequency Division Multiplexing）シンボルデータであってもよい。また、RFトランシーバ１１０１は、アンテナ１１０２によって受信された受信ＲＦ信号に基づいてベースバンド受信信号を生成し、これをベースバンドプロセッサ１１０３に供給する。

【0072】

ベースバンドプロセッサ１１０３は、無線通信のためのデジタルベースバンド信号処理（データプレーン処理）とコントロールプレーン処理を行う。デジタルベースバンド信号処理は、(a) データ圧縮／復元、(b) データのセグメンテーション／コンカテネーション、及び(c) 伝送フォーマット（伝送フレーム）の生成／分解を含む。さらに、デジタルベースバンド信号処理は、(d) 伝送路符号化／復号化、及び(e) 変調（シンボルマッピング）／復調を含む。さらに、デジタルベースバンド信号処理は、(f) Inverse Fast Fourier Transform（IFFT）によるOFDMシンボルデータ（ベースバンドOFDM信号）の生成などを含む。一方、コントロールプレーン処理は、レイヤ１、レイヤ２、及びレイヤ３の通信管理を含む。レイヤ１は、例えば、送信電力制御である。レイヤ２は、例えば、無線リソース管理、及びhybrid automatic repeat request（HARQ）処理である。レイヤ３は、例えば、アタッチ、モビリティ、及び通話管理に関するシグナリングである。

【0073】

例えば、LTEおよびLTE-Advancedの場合、ベースバンドプロセッサ１１０３によるデジタルベースバンド信号処理は、Packet Data Convergence Protocol（PDCP）レイヤ、Radio Link Control（RLC）レイヤ、MACレイヤ、およびPHYレイヤの信号処理を含んでもよい。また、ベースバンドプロセッサ１１０３によるコントロールプレーン処理は、Non-Access Stratum（NAS）プロトコル、RRCプロトコル、及びMAC CEの処理を含んでもよい。

【0074】

ベースバンドプロセッサ１１０３は、デジタルベースバンド信号処理を行うモデム・プロセッサとコントロールプレーン処理を行うプロトコルスタック・プロセッサを含んでもよい。モデム・プロセッサは、例えば、Digital Signal Processor（DSP）である。コントロールプレーン処理を行うプロトコルスタック・プロセッサは、例えば、Central Processing Unit（CPU）、又はMicro Processing Unit（MPU）である。この場合、コントロールプレーン処理を行うプロトコルスタック・プロセッサは、後述するアプリケーションプロセッサ１１０４と共通化されてもよい。

【0075】

アプリケーションプロセッサ１１０４は、CPU、MPU、マイクロプロセッサ、又はプロセッサコアとも呼ばれる。アプリケーションプロセッサ１１０４は、複数のプロセッサ（複数のプロセッサコア）を含んでもよい。アプリケーションプロセッサ１１０４は、メモリ１１０６又は図示されていないメモリから読み出されたシステムソフトウェアプログラム及び様々なアプリケーションプログラムを実行することによって、通信端末１０の各種機能を実現する。システムソフトウェアプログラムは、例えば、Operating System（OS）であってもよい。アプリケーションプログラムは、例えば、通話アプリケーション、WEBブラウザ、メーラ、カメラ操作アプリケーション、音楽再生アプリケーションであってもよい。

【0076】

いくつかの実装において、図４に破線（１１０５）で示されているように、ベースバンドプロセッサ１１０３及びアプリケーションプロセッサ１１０４は、１つのチップ上に集積されてもよい。言い換えると、ベースバンドプロセッサ１１０３及びアプリケーションプロセッサ１１０４は、１つのSystem on Chip（SoC）デバイス１１０５として実装されてもよい。SoCデバイスは、システムLarge Scale Integration（LSI）またはチップセットと呼ばれることもある。

【0077】

メモリ１１０６は、揮発性メモリ若しくは不揮発性メモリ又はこれらの組合せである。メモリ１１０６は、物理的に独立した複数のメモリデバイスを含んでもよい。揮発性メモリは、例えば、Static Random Access Memory（SRAM）若しくはDynamic RAM（DRAM）又はこれらの組み合わせである。不揮発性メモリは、マスクRead Only Memory（MROM）、Electrically Erasable Programmable ROM（EEPROM）、フラッシュメモリ、若しくはハードディスクドライブ、又はこれらの任意の組合せである。例えば、メモリ１１０６は、ベースバンドプロセッサ１１０３、アプリケーションプロセッサ１１０４、及びSoC１１０５からアクセス可能な外部メモリデバイスを含んでもよい。メモリ１１０６は、ベースバンドプロセッサ１１０３内、アプリケーションプロセッサ１１０４内、又はSoC１１０５内に集積された内蔵メモリデバイスを含んでもよい。さらに、メモリ１１０６は、Universal Integrated Circuit Card（UICC）内のメモリを含んでもよい。

【0078】

メモリ１１０６は、上述の実施形態で説明された通信端末１０による処理を行うための命令群およびデータを含むソフトウェアモジュール（コンピュータプログラム）を格納してもよい。いくつかの実装において、ベースバンドプロセッサ１１０３又はアプリケーションプロセッサ１１０４は、当該ソフトウェアモジュールをメモリ１１０６から読み出して実行することで、上述の実施形態で説明された通信端末１０の処理を行うよう構成されてもよい。

【0079】

図５は、ネットワーク装置２０の構成例を示すブロック図である。ネットワーク装置２０は、コアネットワーク装置であってもよい。コアネットワーク装置は、ＡＭＦエンティティ、ＵＤＭエンティティ、ＳＥＡＦエンティティ、ＡＵＳＦエンティティ、ＡＲＰＦエンティティであってもよい。図５を参照すると、ネットワーク装置２０は、ネットワークインターフェース１２０１、プロセッサ１２０２、及びメモリ１２０３を含む。ネットワークインターフェース１２０１は、ネットワークノード（e.g., ＡＮ５０、ＳＭＦ３０等）と通信するために使用される。ネットワークインターフェース１２０１は、例えば、IEEE（Insititute of Electrical and Electronics Engineers） 802.3 seriesに準拠したネットワークインタフェースカード（NIC）を含んでもよい。

【0080】

プロセッサ１２０２は、メモリ１２０３からソフトウェア（コンピュータプログラム）を読み出して実行することで、上述の実施形態においてシーケンス図及びフローチャートを用いて説明されたネットワーク装置２０の処理を行う。プロセッサ１２０２は、例えば、マイクロプロセッサ、MPU、又はCPUであってもよい。プロセッサ１２０２は、複数のプロセッサを含んでもよい。

【0081】

メモリ１２０３は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ１２０３は、プロセッサ１２０２から離れて配置されたストレージを含んでもよい。この場合、プロセッサ１２０２は、図示されていないI/Oインタフェースを介してメモリ１２０３にアクセスしてもよい。

【0082】

図５の例では、メモリ１２０３は、ソフトウェアモジュール群を格納するために使用される。プロセッサ１２０２は、これらのソフトウェアモジュール群をメモリ１２０３から読み出して実行することで、上述の実施形態において説明されたネットワーク装置２０の処理を行うことができる。

【0083】

図４及び図５を用いて説明したように、上述の実施形態に通信端末１０及びネットワーク装置２０が有するプロセッサの各々は、図面を用いて説明されたアルゴリズムをコンピュータに行わせるための命令群を含む１又は複数のプログラムを実行する。このプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（Non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体、光磁気記録媒体（例えば光磁気ディスク）、Compact Disc Read Only Memory（CD-ROM）、CD-R、CD-R/W、半導体メモリを含む。磁気記録媒体は、フレキシブルディスク、磁気テープ、ハードディスクドライブであってもよい。半導体メモリは、例えば、マスクROM、Programmable ROM（PROM）、Erasable PROM（EPROM）、フラッシュROM、Random Access Memory（RAM）であってもよい。例えば、また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

【0084】

以上、実施の形態を参照して本願開示を説明したが、本願開示は上記によって限定されるものではない。本願開示の構成や詳細には、開示のスコープ内で当業者が理解し得る様々な変更をすることができる。

【0085】

この出願は、２０１８年１月１２日に出願されたインド出願２０１８１１００１４６０を基礎とする優先権を主張し、その開示の全てをここに取り込む。

【0086】

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
所定の保護方式を用いて秘匿化されたＳＵＰＩ（subscription permanent identifier）と、前記保護方式を識別する保護方式識別子と、を含むＳＵＣＩ（subscription concealed identifier）を生成する制御手段と、
前記ＳＵＣＩを生成するために使用された前記保護方式に基づいて、第２ネットワーク装置が前記ＳＵＣＩから前記ＳＵＰＩを非秘匿化するために、前記ＳＵＣＩを登録処理中に第１ネットワーク装置へ送信する送信手段と、を有する通信端末。
（付記２）
前記送信手段は、前記ＳＵＣＩをＮＡＳメッセージに含めて送信する、付記１に記載の通信端末。
（付記３）
前記ＮＡＳメッセージは、Registration Requestメッセージである、付記２に記載の通信端末。
（付記４）
前記第２ネットワーク装置は、第２コアネットワーク装置である、付記１乃至３のいずれか一項に記載の通信端末。
（付記５）
前記第２コアネットワーク装置は、ＵＤＭ（Unified Data Management）である、付記４に記載の通信端末。
（付記６）
前記第１ネットワーク装置は、第１コアネットワーク装置である、付記１乃至５のいずれか一項に記載の通信端末。
（付記７）
前記第１コアネットワーク装置は、ＡＭＦ（Authentication Management Field）である、付記６に記載の通信端末。
（付記８）
前記保護方式識別子は、プロファイルを識別する、付記１乃至７のいずれか一項に記載の通信端末。
（付記９）
通信端末によって生成されるＳＵＣＩ（subscription concealed identifier）であって、所定の保護方式を用いて秘匿化されたＳＵＰＩ（subscription permanent identifier）と、前記保護方式を識別する保護方式識別子と、を含む前記ＳＵＣＩを含むメッセージを受信する受信手段と、
前記ＳＵＣＩを生成するために使用された前記保護方式に基づいて、前記ＳＵＣＩから前記ＳＵＰＩを非秘匿化する制御手段と、を有するネットワーク装置。
（付記１０）
前記ネットワーク装置は、コアネットワーク装置である、付記９に記載のネットワーク装置。
（付記１１）
前記コアネットワーク装置は、ＵＤＭ（Unified Data Management）である、付記１０に記載のネットワーク装置。
（付記１２）
所定の保護方式を用いて秘匿化されたＳＵＰＩ（subscription permanent identifier）と、前記保護方式を識別する保護方式識別子と、を含むＳＵＣＩ（subscription concealed identifier）を生成し、
前記ＳＵＣＩを生成するために使用された前記保護方式に基づいて、第２ネットワーク装置が前記ＳＵＣＩから前記ＳＵＰＩを非秘匿化するために、前記ＳＵＣＩを登録処理中に第１ネットワーク装置へ送信する、通信方法。
（付記１３）
前記ＳＵＣＩを登録処理中に第１ネットワーク装置へ送信する際に、前記ＳＵＣＩをＮＡＳメッセージに含めて送信する、付記１２に記載の通信方法。
（付記１４）
前記ＮＡＳメッセージは、Registration Requestメッセージである、付記１３に記載の通信方法。
（付記１５）
前記第２ネットワーク装置は、第２コアネットワーク装置である、付記１２乃至１４のいずれか一項に記載の通信方法。
（付記１６）
前記第２コアネットワーク装置は、ＵＤＭ（Unified Data Management）である、付記１５に記載の通信方法。
（付記１７）
前記第１ネットワーク装置は、第１コアネットワーク装置である、請求項１２乃至１６のいずれか一項に記載の通信方法。
（付記１８）
前記第１コアネットワーク装置は、ＡＭＦ（Authentication Management Field）である、付記１７に記載の通信方法。
（付記１９）
前記保護方式識別子は、プロファイルを識別する、付記１２乃至１８のいずれか一項に記載の通信方法。
（付記２０）
通信端末によって生成されるＳＵＣＩ（subscription concealed identifier）であって、所定の保護方式を用いて秘匿化されたＳＵＰＩ（subscription permanent identifier）と、前記保護方式を識別する保護方式識別子と、を含む前記ＳＵＣＩを含むメッセージを受信し、
前記ＳＵＣＩを生成するために使用された前記保護方式に基づいて、前記ＳＵＣＩから前記ＳＵＰＩを非秘匿化する、非秘匿化方法。
（付記２１）
前記非秘匿化方法は、コアネットワーク装置において実行される、付記２０に記載の非秘匿化方法。
（付記２２）
前記コアネットワーク装置は、ＵＤＭ（Unified Data Management）である、付記２１に記載の非秘匿化方法。

【符号の説明】

【0087】

１０ 通信端末
２０ ネットワーク装置
１１０１ RFトランシーバ
１１０２ アンテナ
１１０３ ベースバンドプロセッサ
１１０４ アプリケーションプロセッサ
１１０５ SoC
１１０６ メモリ
１２０１ ネットワークインターフェース
１２０２ プロセッサ
１２０３ メモリ

【図1】

【図2】

【図3】

【図4】

【図5】