知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-08-22
(45)【発行日】2024-08-30
(54)【発明の名称】ＡＫＭＡ認証サービスの拡張Ａ－ＫＩＤ
(51)【国際特許分類】
H04W 12/06 20210101AFI20240823BHJP
H04W 12/04 20210101ALI20240823BHJP
H04W 12/69 20210101ALI20240823BHJP
H04L 9/08 20060101ALI20240823BHJP
H04L 9/32 20060101ALI20240823BHJP
【ＦＩ】
H04W12/06
H04W12/04
H04W12/69
H04L9/08 B
H04L9/32 100B
【請求項の数】
14
【外国語出願】
(21)【出願番号】P 2023048283
(22)【出願日】2023-03-24
(65)【公開番号】P2023147252
(43)【公開日】2023-10-12
【審査請求日】2023-05-24
(31)【優先権主張番号】202241018484
(32)【優先日】2022-03-29
(33)【優先権主張国・地域又は機関】IN
(73)【特許権者】
【識別番号】515076873
【氏名又は名称】ノキア テクノロジーズ オサケユイチア
(74)【代理人】
【識別番号】100094112
【弁理士】
【氏名又は名称】岡部 讓
(74)【代理人】
【識別番号】100106183
【弁理士】
【氏名又は名称】吉澤 弘司
(74)【代理人】
【識別番号】100114915
【弁理士】
【氏名又は名称】三村 治彦
(74)【代理人】
【識別番号】100125139
【弁理士】
【氏名又は名称】岡部 洋
(74)【代理人】
【識別番号】100209808
【弁理士】
【氏名又は名称】三宅 高志
(72)【発明者】
【氏名】ラジェシュ バブ ナタラジャン
(72)【発明者】
【氏名】サウラブ カレ
【審査官】前田 典之
(56)【参考文献】
【文献】Qualcomm Incorporated，pCR : AKMA Temporary UE Identifier，3GPP TSG SA WG3 #98Bis_e S3-200770，Internet<URL:https://www.3gpp.org/ftp/tsg_sa/WG3_Security/TSGS3_98Bis_e/Docs/S3-200770.zip>，2020年04月03日
【文献】3GPP TS 33.535 V17.5.0，3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Authentication and Key Management for Applications (AKMA) based on 3GPP credentials in the 5G System (5GS) (Release 17)，2022年03月24日，pp.14-15
(58)【調査した分野】(Int.Cl.，ＤＢ名)
ＩＰＣ Ｈ０４Ｂ ７／２４－ ７／２６
Ｈ０４Ｗ ４／００－９９／００
Ｈ０４Ｌ ９／０８
Ｈ０４Ｌ ９／３２
３ＧＰＰ ＴＳＧ ＲＡＮ ＷＧ１－４
ＳＡ ＷＧ１－４、６
ＣＴ ＷＧ１、４
(57)【特許請求の範囲】
【請求項1】
少なくとも１つのプロセッサと、コンピュータプログラムコードを含む少なくとも１つのメモリと
を備える装置であって、
前記少なくとも１つのメモリおよび前記コンピュータプログラムコードは、前記少なくとも１つのプロセッサを用いて、
＠シンボルによって分離されたユーザ名および領域を含む識別子フォーマットを含むＡＫＭＡ鍵識別子（Ａ－ＫＩＤ）を生成するステップであって、前記ユーザ名は、ルーティングインジケータ（ＲＩＤ）、ＡＫＭＡ一時ＵＥ識別子（Ａ－ＴＩＤ）および前記ユーザ名において前記ＲＩＤと前記Ａ－ＴＩＤとを区別する少なくとも１つの付加記号を含むステップと、
前記Ａ－ＫＩＤに基づいてＡＫＭＡ認証サービスの機能を実行するステップと
を前記装置に実行させ、
前記少なくとも１つの付加記号は、前記ユーザ名において前記ＲＩＤの長さを示すＲＩＤ長さを備える
ことを特徴とする装置。
【請求項2】
前記ＲＩＤ長さは、前記ユーザ名において前記ＲＩＤにプリペンドされることを特徴とする請求項１に記載の装置。
【請求項3】
前記少なくとも１つの付加記号は、前記ユーザ名において前記ＲＩＤと前記Ａ－ＴＩＤとの間に分離記号を備えることを特徴とする請求項１に記載の装置。
【請求項4】
前記少なくとも１つの付加記号は、前記ユーザ名において前記ＲＩＤに先行するＲＩＤラベルおよび前記Ａ－ＴＩＤに先行するＡ－ＴＩＤラベルとを備えることを特徴とする請求項１に記載の装置。
【請求項5】
前記装置は、ユーザ機器（ＵＥ）を備え、前記少なくとも１つのメモリおよび前記コンピュータプログラムコードは、前記少なくとも１つのプロセッサを用いて、
前記Ａ－ＫＩＤを生成するステップと、
前記Ａ－ＫＩＤを含むアプリケーションセッション確立要求メッセージをＡＫＭＡアプリケーション機能（ＡＦ）に送信するステップと
を前記ＵＥに実行させることを特徴とする請求項１に記載の装置。
【請求項6】
装置において認証および鍵管理アプリケーション（ＡＫＭＡ）認証サービスを実行する方法であって、＠シンボルによって分離されたユーザ名および領域を有する識別子フォーマットを有するＡＫＭＡ鍵識別子（Ａ－ＫＩＤ）を処理するステップであって、前記ユーザ名は、ルーティングインジケータ（ＲＩＤ）、ＡＫＭＡ一時ＵＥ識別子（Ａ－ＴＩＤ）およびユーザ名において前記ＲＩＤと前記Ａ－ＴＩＤとを区別する少なくとも１つの付加記号を含むステップと、
前記Ａ－ＫＩＤに基づいて前記ＡＫＭＡ認証サービスの機能を実行するステップ（１３０４）と
を備え、
前記少なくとも１つの付加記号は、前記ユーザ名において前記ＲＩＤの長さを示すＲＩＤ長さを備える
ことを特徴とする方法。
【請求項7】
前記ＲＩＤ長さは、前記ユーザ名において前記ＲＩＤにプリペンドされることを特徴とする請求項６に記載の装置。
【請求項8】
前記少なくとも１つの付加記号は、前記ユーザ名において前記ＲＩＤと前記Ａ－ＴＩＤとの間に分離記号を備えることを特徴とする請求項６に記載の方法。
【請求項9】
前記少なくとも１つの付加記号は、前記ユーザ名において前記ＲＩＤに先行するＲＩＤラベルおよび前記Ａ－ＴＩＤに先行するＡ－ＴＩＤラベルとを備えることを特徴とする請求項６に記載の方法。
【請求項10】
前記装置は、ユーザ機器（ＵＥ）を備え、前記Ａ－ＫＩＤに基づいて前記ＡＫＭＡ認証サービスの機能を実行するステップは、前記Ａ－ＫＩＤを含むアプリケーションセッション確立要求メッセージを前記ＵＥからＡＫＭＡアプリケーション機能（ＡＦ）に送信するステップを備えることを特徴とする請求項５に記載の方法。
【請求項11】
＠シンボルによって分離されたユーザ名および領域を有する識別子フォーマットを有するＡＫＭＡ鍵識別子（Ａ－ＫＩＤ）を処理するステップであって、前記ユーザ名は、ルーティングインジケータ（ＲＩＤ）、ＡＫＭＡ一時ＵＥ識別子（Ａ－ＴＩＤ）およびユーザ名において前記ＲＩＤと前記Ａ－ＫＩＤとを区別する少なくとも１つの付加記号を含むステップと、前記Ａ－ＫＩＤに基づいてＡＫＭＡ認証サービスの機能を実行するステップと
を装置に実行させる命令を備え、
前記少なくとも１つの付加記号は、前記ユーザ名において前記ＲＩＤの長さを示すＲＩＤ長さを備える
ことを特徴とするコンピュータ可読記憶媒体。
【請求項12】
前記ＲＩＤ長さは、前記ユーザ名において前記ＲＩＤにプリペンドされることを特徴とする請求項１１に記載のコンピュータ可読媒体。
【請求項13】
前記少なくとも１つの付加記号は、前記ユーザ名において前記ＲＩＤに先行するＲＩＤラベルおよび前記Ａ－ＴＩＤに先行するＡ－ＴＩＤラベルとを備えることを特徴とする請求項１１に記載のコンピュータ可読媒体。
【請求項14】
前記装置は、ユーザ機器（ＵＥ）を備え、前記Ａ－ＫＩＤに基づいて前記ＡＫＭＡ認証サービスの機能を実行するステップは、前記Ａ－ＫＩＤを含むアプリケーションセッション確立要求メッセージを前記ＵＥからＡＫＭＡアプリケーション機能（ＡＦ）に送信するステップを備えることを特徴とする請求項１１に記載のコンピュータ可読媒体。
【発明の詳細な説明】
【技術分野】
【0001】
この開示は、通信システムの分野、特に次世代ネットワークに関する。
【背景技術】
【0002】
第５世代（５Ｇ：Ｆｉｆｔｈ Ｇｅｎｅｒａｔｉｏｎ）などの次世代ネットワークは、第４世代（４Ｇ：Ｆｏｕｒｔｈ Ｇｅｎｅｒａｔｉｏｎ）規格を超えるモバイル通信規格の次の主要な段階を意味する。４Ｇネットワークと比較して、次世代ネットワークは無線アクセスとネットワークアーキテクチャの点で向上され得る。次世代ネットワークは、センチメートル波帯やミリ波帯など、無線アクセスネットワーク（ＲＡＮ：Ｒａｄｉｏ Ａｃｃｅｓｓ Ｎｅｔｏｒｋ）のために無線スペクトルの新しい領域を利用しようとしている。
【0003】
全国や世界中で広く使用されているモバイルネットワークでは、通信が傍受され、他の種類の攻撃を受け得る。セキュリティとプライバシーを確保するために、第３世代パートナーシッププロジェクト（３ＧＰＰ：３ｒｄ Ｇｅｎｅｒａｔｉｏｎ Ｐａｒｔｎｅｒｓｈｉｐ Ｐｒｏｊｅｃｔ）は、５Ｇモバイルネットワークのセキュリティメカニズムと、５Ｇモバイルネットワーク内で実行されるセキュリティ手順を定めている。ユーザ機器（ＵＥ：Ｕｓｅｒ Ｅｑｕｉｐｍｅｎｔ）と５Ｇモバイルネットワーク間のセキュリティ手順の一つに、プライマリ認証と鍵合意がある。プライマリ認証と鍵合意の手順は、ＵＥとネットワーク間の相互認証を可能にし、後続のセキュリティ手順でＵＥとサービングネットワーク間で使用できる鍵素材（ｋｅｙｉｎｇ ｍａｔｅｒｉａｌ）を提供する。
【0004】
他のセキュリティ手順は、ＵＥとアプリケーションプロバイダ間のもので、アプリケーション認証および鍵管理（ＡＫＭＡ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ ｆｏｒ Ａｐｐｌｉｃａｔｉｏｎ）と呼ばれる。ＡＫＭＡは、オペレータ認証インフラストラクチャを活用して、ＵＥとアプリケーション機能（ＡＦ：Ａｐｐｌｉｃａｔｉｏｎ Ｆｕｎｃｔｉｏｎ）間の通信を確保することが特徴である。ＡＫＭＡは３ＧＰＰ ＴＳ ３３．５３５ （ｖ１７．５．０）で説明されており、参照により本明細書に完全に組み込まれている。ＡＫＭＡは、ＵＥを認証するために５Ｇプライマリ認証手順を再使用する。ＡＫＭＡ認証サービスの一部として、ＡＫＭＡ鍵識別子（Ａ－ＫＩＤ：ＡＫＭＡ Ｋｅｙ ＩＤｅｎｔｉｆｉｅｒ）と呼ばれる鍵識別子が生成される。Ａ－ＫＩＤは「ｕｓｅｒｎａｍｅ＠ｒｅａｌｍ」のフォーマットであり、Ａ－ＫＩＤのユーザ名部分にはルーティングインジケータ（ＲＩＤ：Ｒｏｕｔｉｎｇ ＩｎＤｉｃａｔｏｒ）とＡＫＭＡ一時ユーザ識別子（Ａ－ＴＩＤ：ＡＫＭＡ Ｔｅｍｐｏｒａｒｙ ＵＥ Ｉｄｅｎｔｉｆｉｅｒ）が含まれる。ＲＩＤとＡ－ＴＩＤが可変長であり得るという問題があり、ＵＥがユーザ名部分でＲＩＤとＡ－ＴＩＤを暗号化するか、ＡＦがＡ－ＫＩＤのユーザ名を復号化するかが課題となる。
【発明の概要】
【0005】
本明細書では、ユーザ名がＲＩＤと、Ａ－ＴＩＤと、およびユーザ名においてＲＩＤとＡ－ＴＩＤとを区別する１つまたは複数の付加記号とを含む、拡張Ａ－ＫＩＤを導入する解決策について説明する。例えば、付加記号は、ユーザ名におけるＲＩＤの長さを示すＲＩＤ長さを備え、ＲＩＤ長さは、ユーザ名におけるＲＩＤの前にプリペンド（ｐｒｅｐｅｎｄ）されても良い。拡張Ａ－ＫＩＤの技術的な利点の一つは、ＲＩＤとＡ－ＴＩＤが可変長であるにもかかわらず、ユーザ名で容易に区別できることである。したがって、ＡＦ（または他のネットワーク機能）は、ＡＫＭＡ認証サービスのために拡張Ａ－ＫＩＤのユーザ名からＲＩＤを容易に復号できる。
【0006】
一実施形態において、ＡＫＭＡ要素は、少なくとも１つのプロセッサと、コンピュータプログラムコードを含む少なくとも１つのメモリとを備える。プロセッサは、＠シンボルによって分離されたユーザ名および領域（ｒｅａｌｍ）を有する識別子フォーマットを有する拡張Ａ－ＫＩＤを処理するステップをＡＫＭＡ要素に実行させる。ユーザ名は、ＲＩＤ、Ａ－ＴＩＤ、およびユーザ名においてＲＩＤとＡ－ＴＩＤとを区別する少なくとも１つの付加記号を含む。プロセッサは、拡張Ａ－ＫＩＤに基づいてＡＫＭＡ認証サービスの機能をＡＫＭＡ要素にさらに実行させる。
【0007】
一実施形態において、少なくとも１つの付加記号は、ユーザ名におけるＲＩＤの長さを示すＲＩＤ長さを備え、ＲＩＤ長さはユーザ名においてＲＩＤにプリペンドされる。
【0008】
一実施形態において、少なくとも１つの付加記号は、ユーザ名において、ＲＩＤとＡ－ＴＩＤとの間に分離記号を備える。
【0009】
一実施形態において、少なくとも１つの付加記号は、ユーザ名において、ＲＩＤに先行するＲＩＤラベルとＡ－ＴＩＤの前にあるＡ－ＴＩＤラベルとを備える。
【0010】
一実施形態において、ＡＫＭＡ要素はユーザ機器（ＵＥ）を備える。プロセッサは、拡張Ａ－ＫＩＤを生成するステップと、拡張Ａ－ＫＩＤを含むＡＫＭＡアプリケーション関数（ＡＦ）にアプリケーションセッション確立要求メッセージを送信するステップとをＡＫＭＡ要素にさらに実行させる。
【0011】
一実施形態において、ＡＫＭＡ要素は５Ｇコアネットワークの認証サーバ機能（ＡＵＳＦ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｓｅｒｖｅｒ Ｆｕｎｃｔｉｏｎ）を備える。プロセッサは、拡張Ａ－ＫＩＤを生成するステップと、ＡＫＭＡアンカー機能（ＡＡｎＦ：ＡＫＭＡ Ａｎｃｈｏｒ Ｆｕｎｃｔｉｏｎ）を選択するステップと、拡張Ａ－ＫＩＤを含むＡＡｎＦにＡＫＭＡ要求を送信するステップとをＡＵＳＦにさらに実行させる。
【0012】
一実施形態において、ＡＫＭＡ要素は、５ＧコアネットワークのＡＫＭＡアプリケーション機能（ＡＦ）またはネットワーク露出機能（ＮＥＦ：Ｎｅｔｗｏｒｋ Ｅｘｐｏｓｕｒｅ Ｆｕｎｃｔｉｏｎ）を備える。プロセッサは、拡張Ａ－ＫＩＤでＡＫＭＡ要求を受信するステップと、少なくとも１つの付加記号に基づいてユーザ名からＲＩＤを抽出するために拡張Ａ－ＫＩＤを処理するステップと、ＲＩＤに基づいてＡＡｎＦを選択するステップと、拡張Ａ－ＫＩＤを含むＡＡｎＦにＡＫＭＡ要求を送信するステップとをＡＫＭＡ ＡＦまたはＮＥＦにさらに実行させる。
【0013】
一実施形態において、ＡＫＭＡ要素においてＡＫＭＡ認証サービスを実行する方法が開示される。方法は、＠シンボルによって分離されたユーザ名および領域を有する識別子フォーマットを有する拡張Ａ－ＫＩＤを処理するステップを備える。ユーザ名は、ＲＩＤ、Ａ－ＴＩＤ、およびユーザ名においてＲＩＤとＡ－ＴＩＤとを区別する少なくとも１つの付加記号を含む。方法は、拡張Ａ－ＫＩＤに基づいてＡＫＭＡ認証サービスの機能を実行するステップをさらに備える。
【0014】
一実施形態において、少なくとも１つの付加記号は、ユーザ名においてＲＩＤの長さを示すＲＩＤ長さを備え、ＲＩＤ長さはユーザ名のＲＩＤにプリペンドされる。
【0015】
一実施形態において、少なくとも１つの付加記号は、ユーザ名においてＲＩＤとＡ－ＴＩＤの間の分離記号を含む。
【0016】
一実施形態において、少なくとも１つの付加記号は、ユーザ名においてＲＩＤに先行するＲＩＤラベルとＡ－ＴＩＤに先行するＡ－ＴＩＤラベルを含む。
【0017】
一実施形態において、ＡＫＭＡ要素はＵＥを備える。拡張Ａ－ＫＩＤを処理するステップは、拡張Ａ－ＫＩＤを生成するステップを備える。拡張Ａ－ＫＩＤに基づいてＡＫＭＡ認証サービスの機能を実行するステップは、ＵＥから、拡張Ａ－ＫＩＤを含むＡＫＭＡ ＡＦにアプリケーションセッション確立要求メッセージを送信するステップを備える。
【0018】
一実施形態において、ＡＫＭＡ要素は５ＧコアネットワークのＡＵＳＦを備える。拡張Ａ－ＫＩＤを処理するステップは、拡張Ａ－ＫＩＤを生成するステップを備える。拡張Ａ－ＫＩＤに基づいてＡＫＭＡ認証サービスの機能を実行するステップは、ＡＡｎＦを選択するステップと、拡張Ａ－ＫＩＤを含むＡＡｎＦにＡＫＭＡ要求を送信するステップとを備える。
【0019】
一実施形態において、ＡＫＭＡ要素は、５ＧコアネットワークのＡＫＭＡ ＡＦまたはＮＥＦを備える。拡張Ａ－ＫＩＤを処理するステップは、拡張Ａ－ＫＩＤでＡＫＭＡ要求を受信ステップと、少なくとも１つの付加記号に基づいてＲＩＤを抽出するために拡張Ａ－ＫＩＤを処理するステップとを備える。拡張Ａ－ＫＩＤに基づいてＡＫＭＡ認証サービスの機能を実行するステップは、ＲＩＤに基づいてＡＡｎＦを選択するステップと、拡張Ａ－ＫＩＤを含むＡＡｎＦにＡＫＭＡ要求を送信するステップとを備える。
【0020】
一実施形態において、ＡＫＭＡ要素は、＠シンボルで分離されたユーザ名および領域を有する識別子フォーマットを有する拡張Ａ－ＫＩＤを処理する手段を備える。ユーザ名は、ＲＩＤ、Ａ－ＴＩＤ、およびユーザ名においてＲＩＤとＡ－ＴＩＤとを区別する少なくとも１つの付加記号を含む。ＡＫＭＡ要素はさらに、拡張Ａ－ＫＩＤに基づいてＡＫＭＡ認証サービスの機能を実行する手段をさらに備える。
【0021】
他の実施形態は、コンピュータ可読媒体、他のシステム、または以下に説明する他の方法を含む。
【0022】
上記の発明の概要は、本明細書のいくつかの態様の基本的な理解を提供する。この概要は、本系最初の広範な概要ではない。これは、本明細書のキーや重要な要素を特定したり、本明細書の特定の実施形態の範囲や特許請求の範囲を説明したりすることを意図していない。その唯一の目的は、後に提示されるより詳細な説明の前段階として、本明細書のいくつかの概念を簡略化された形式で提示することである。
【図面の簡単な説明】
【0023】
ここで、本発明のいくつかの実施例を、例としてのみ、添付図面を参照して説明する。同じ参照番号は、すべての図面上で同じ要素または同じ種類の要素を表す。
【0024】
【発明を実施するための形態】
【0025】
図および以下の説明は、具体的な実施形態を例示している。したがって、当業者は、ここで明示的に説明または示されていないが、実施形態の原理を具体化し、実施形態の範囲内に含まれる様々な配置を考案することができることが理解されるであろう。さらに、本明細書に説明されるいかなる例も、実施形態の原理の理解を助けることを意図しており、そのような具体的に言及された例および条件に限定されないものとして解釈されるべきである。結果として、本発明の概念は、以下に記載されている具体的な実施形態または例に限定されるものではなく、特許請求の範囲およびそれに相当するものに限定される。
【0026】
図１は、５Ｇシステム１００の高レベルアーキテクチャを示す。５Ｇシステム１００は、５Ｇアクセスネットワーク（（Ｒ）ＡＮ：Ａｃｅｓｓ Ｎｅｔｗｏｒｋ）１０２、５Ｇコアネットワーク（ＣＮ：Ｃｏｒｅ Ｎｅｔｗｏｒｋ）１０４、５Ｇユーザ機器（ＵＥ：Ｕｓｅｒ Ｅｑｕｉｐｍｅｎｔ）１０６を備える通信システム（例えば、３ＧＰＰシステム）である。アクセスネットワーク１０２は、５Ｇコアネットワーク１０４に接続するＮＧ－ＲＡＮおよび／または非３ＧＰＰアクセスネットワークを備える。アクセスネットワーク１０２は、進化型ＵＭＴＳ地上無線アクセスネットワーク（Ｅ－ＵＴＲＡＮ：Ｅｖｏｌｖｅｄ－ＵＭＴＳ Ｔｅｒｒｅｓｔｒｉａｌ Ｒａｄｉｏ Ａｃｃｅｓｓ Ｎｅｔｗｏｒｋ）アクセス（例えば、ｅＮｏｄｅＢ、ｇＮｏｄｅＢ、ｎｇ－ｅＮｏｄｅＢを介して）、ワイヤレスローカルエリアネットワーク（ＷＬＡＮ：Ｗｉｒｅｌｅｓｓ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）アクセス、固定アクセス、衛星無線アクセス、新無線アクセス技術（ＲＡＴ：Ｒａｄｉｏ Ａｃｃｅｓｓ Ｔｅｃｈｎｏｌｏｇｙ）などをサポートすることができる。コアネットワーク１０４は、アクセスネットワーク１０２をデータネットワーク（ＤＮ：Ｄａｔａ Ｎｅｔｗｏｒｋ）１０８と相互接続する。コアネットワーク１０４は、ネットワーク機能（ＮＦ：Ｎｅｔｗｏｒｋ Ｆｕｎｃｔｉｏｎ）１１０を含み、ＮＦは、専用ハードウェア上のネットワーク要素として、専用ハードウェア上で実行されるソフトウェアインスタンスとして、適切なプラットフォーム（例えば、クラウドインフラストラクチャ）上でインスタンス化された仮想化機能としてなどにより実装され得る。データネットワーク１０８は、事業者外部の公開またはプライベートのデータネットワークでも、事業者内のデータネットワーク（例えば、ＩＭＳサービスに対する）でもよい。ＵＥ１０６は、サービスにアクセスするためにコアネットワーク１０４に登録するように構成された５Ｇ対応デバイスである。ＵＥ１０６は、携帯電話（例えば、スマートフォン）、タブレットまたはＰＤＡ、モバイルブロードバンドアダプタを有するコンピュータなどのエンドユーザデバイスであってもよい。ＵＥ１０６は、音声サービス、データサービス、マシンツーマシン（Ｍ２Ｍ：Ｍａｃｈｉｎｅ－ｔｏ－Ｍａｃｈｉｎｅ）またはマシンタイプ通信（ＭＴＣ：Ｍａｃｈｉｎｅ Ｔｙｐｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）サービス、および/またはその他のサービスに対して有効にすることができる。
【0027】
図２は、５Ｇシステムの非ローミングアーキテクチャ２００を示す。図２のアーキテクチャ２００は、３ＧＰＰ ＴＳ ２３．５０１（ｖ１７．４．０）でさらに説明されているように、サービスベースの表現であり、本明細書に完全に含まれているかのように参照によって組み込まれている。アーキテクチャ２００は、コアネットワーク１０４のネットワーク機能（ＮＦ：Ｎｅｔｗｏｒｋ Ｆｕｎｃｔｉｏｎ）を含み、制御プレーン（ＣＰ：Ｃｏｎｔｒｏｌ Ｐｌａｎｅ）のＮＦはユーザプレーン（ＵＰ：Ｕｓｅｒ Ｐｌａｎｅ）から分離されている。コアネットワーク１０４の制御プレーンは、認証サーバ機能（ＡＵＳＦ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｓｅｒｖｅｒ Ｆｕｎｃｔｉｏｎ）２１０、アクセスモビリティ管理機能（ＡＭＦ：Ａｃｃｅｓｓ ａｎｄ Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｆｕｎｃｔｉｏｎ）２１２、セッション管理機能（ＳＭＦ：Ｓｅｓｓｉｏｎ Ｍａｎａｇｅｍｅｎｔ Ｆｕｎｃｔｉｏｎ）２１４、ポリシー制御機能（ＰＣＦ：Ｐｏｌｉｃｙ Ｃｏｎｔｒｏｌ Ｆｕｎｃｔｉｏｎ）２１６、統合データ管理（ＵＤＭ：Ｕｎｉｆｉｅｄ Ｄａｔａ Ｍａｎａｇｅｍｅｎｔ）２１８、ネットワークスライス選択機能（ＮＳＳＦ：Ｎｅｔｗｏｒｋ Ｓｌｉｃｅ Ｓｅｌｅｃｔｉｏｎ Ｆｕｎｃｔｉｏｎ）２２０、およびアプリケーション機能（ＡＦ：Ａｐｐｌｉｃａｔｉｏｎ Ｆｕｎｃｔｉｏｎ）２２２を含む。コアネットワーク１０４の制御プレーンは、ネットワーク曝露機能（ＮＥＦ：Ｎｅｔｗｏｒｋ Ｅｘｐｏｓｕｒｅ Ｆｕｎｃｔｉｏｎ）２２４、ＮＦレポジトリ機能（ＮＲＦ：ＮＦ Ｒｅｐｏｓｉｔｏｒｙ Ｆｕｎｃｔｉｏｎ）２２６、サービス通信プロキシ（ＳＣＰ：Ｓｅｒｖｉｃｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｐｒｏｘｙ）２２８、ネットワークスライスアドミッション制御機能（ＮＳＡＣＦ：Ｎｅｔｗｏｒｋ Ｓｌｉｃｅ Ａｄｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｆｕｎｃｔｉｏｎ）２３０、ネットワークスライス固有ＳＮＰＮ認証許可機能（ＮＳＳＡＡＦ：Ｎｅｔｗｏｒｋ Ｓｌｉｃｅ ｓｐｅｃｉｆｉｃ ａｎｄ ＳＮＰＮ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｆｕｎｃｔｉｏｎ）２３２、およびエッジアプリケーションサーバディスカバリ機能（ＥＡＳＤＦ：Ｅｄｇｅ Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｒｖｅｒ Ｄｉｓｃｏｖｅｒｙ Ｆｕｎｃｔｉｏｎ）２３４をさらに含む。コアネットワーク１０４のユーザプレーンは、データネットワーク108と通信する１つまたは複数のユーザプレーン機能（ＵＰＦ：Ｕｓｅｒ Ｐｌａｎｅ Ｆｕｎｃｔｉｏｎ）２４０を含む。ＵＥ１０６は、（Ｒ）ＡＮ１０２を介して、コアネットワーク１０４の制御プレーンおよびユーザプレーンにアクセスすることができる。
【0028】
図１～図２のように、５Ｇシステム１００を備えるモバイルネットワークを実装するキャリアからサービスにアクセスできる加入者が多数存在する。加入者とモバイルネットワーク間の通信（すなわち、ＵＥを介して）は、３ＧＰＰで規格化されているようなセキュリティメカニズムによって保護されている。加入者およびキャリアは、セキュリティメカニズムからセキュリティ保証を期待する。セキュリティメカニズムの１つは、ＵＥとネットワーク間の相互認証を提供するプライマリ認証手順である。次に、プライマリ認証についてさらに説明する。
【0029】
プライマリ認証および鍵合意手順の目的は、ＵＥ１０６とネットワーク間の相互認証を可能にし、その後のセキュリティ手順においてＵＥ１０６とサービスネットワーク間で使用できる鍵素材を提供することである。プライマリ認証および鍵合意手順によって生成された鍵素材は、ホームネットワークのＡＵＳＦ２１０からサービスネットワークのセキュリティアンカー機能（ＳＥＡＦ：Ｓｅｃｕｒｉｔｙ Ａｎｃｈｏｒ Ｆｕｎｃｔｉｏｎ）に提供されるＫＳＥＡＦ鍵と呼ばれるアンカー鍵となる。ＳＥＡＦは、サービングネットワークのＡＭＦ２１２を介して認証機能を提供し、秘密化加入永続識別子（ＳＵＰＩ：ＳＵｂｓｃｒｉｐｔｉｏｎ Ｐｅｒｍａｎｅｎｔ Ｉｄｅｎｔｉｆｉｅｒ）を含む加入秘密化識別子（ＳＵＣＩ：ＳＵｂｓｃｒｉｐｔｉｏｎ Ｃｏｎｃｅａｌｅｄ Ｉｄｅｎｔｉｆｉｅｒ）を使用したプライマリ認証をサポートする。ＳＵＰＩは、５Ｇシステム１００の各加入者に割り当てられたグローバルに一意の５Ｇ識別子である。ＳＵＣＩは、ＳＵＰＩタイプ、加入者のホームネットワークを識別するホームネットワーク識別子（ＨＮ－ＩＤ：Ｈｏｍｅ Ｎｅｔｗｏｒｋ Ｉｄｅｎｔｉｆｉｅｒ）、ホームネットワークオペレータによって加入者に割り当てられ、ＵＥのユニバーサル加入者識別モジュール（ＵＳＩＭ）でプロビジョニングされるルーティングインジケータ（ＲＩＤ：Ｒｏｕｔｉｎｇ ＩｎＤｉｃａｔｏｒ）、保護スキーム識別子、ホームネットワーク公開鍵識別子、およびスキーム出力を含む。アンカー鍵ＫＳＥＡＦは、ＫＡＵＳＦ鍵と呼ばれる中間鍵から引き出す。ＫＡＵＳＦ鍵は、プライマリ認証手順の結果としてＵＥ１０６とホームネットワークの間で確立される。
【0030】
図３は、３ＧＰＰ ＴＳ ３３．５０１（ｖ１７．５．０）で説明されているような、プライマリ認証の開始を示すシグナリング図である。ＵＥ１０６は、登録要求などのＮ１メッセージ（すなわち、最初のＮｏｎ－Ａｃｃｅｓｓ Ｓｔｒａｔｕｍ（ＮＡＳ）メッセージ）をサービスネットワーク（例えば、サービングネットワークのＡＭＦ２１２）に送信する。ＵＥ１０６は、登録要求においてＳＵＣＩまたは５Ｇグローバル一意一時識別子（５Ｇ－ＧＵＴＩ：５Ｇ Ｇｌｏｂａｌ Ｕｎｉｑｕｅ Ｔｅｍｐｏｒａｒｙ Ｉｄｅｎｔｉｆｉｅｒ）を使用する。ＡＭＦ２１２のＳＥＡＦ３０２は、ＵＥ１０６とのシグナリング接続を確立する任意の手順中に、ＵＥ１０６との認証を開始することができる。ＳＥＡＦ３０２は、Ｎａｕｓｆ＿ＵＥ認証認証要求メッセージをＡＵＳＦ２１０に送信してＮａｕｓｆ＿ＵＥ認証サービスを呼び出し、認証を開始する。Ｎａｕｓｆ＿ＵＥ認証認証要求メッセージは、ＳＵＣＩまたはＳＵＰＩ、およびサービングネットワーク名（ＳＮ－Ｎａｍｅ）を含む。Ｎａｕｓｆ＿ＵＥ認証認証要求メッセージを受信すると、ＡＵＳＦ２１０は、サービングネットワーク名と予想されるサービングネットワーク名を比較することによって、サービングネットワーク内の要求ＳＥＡＦ３０２がＮａｕｓｆ＿ＵＥ認証認証要求メッセージにおいてサービングネットワーク名を使用する権利があるかどうかを確認する。サービングネットワークがサービングネットワーク名の使用を許可される場合、ＡＵＳＦ２１０はＵＤＭ２１８にＮｕｄｍ＿ＵＥ認証取得要求メッセージを送信する。Ｎｕｄｍ＿ＵＥ認証取得要求メッセージは、ＳＵＣＩまたはＳＵＰＩ、およびサービングネットワーク名を含む。Ｎｕｄｍ＿ＵＥ認証取得要求メッセージを受信すると、ＵＤＭ２１８は、ＳＵＰＩ（受信した場合）を識別するか、ＳＵＰＩをＳＵＣＩ（受信した場合）から非表示にする加入識別秘密解除機能（ＳＩＤＦ：Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ Ｄｅ－ｃｏｎｃｅａｌｉｎｇ Ｆｕｎｃｔｉｏｎ）を呼び出す。ＵＤＭ２１８（またはＵＤＭ２１８の認証証明レポジトリ処理機能（ＡＲＰＦ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｒｅｄｅｎｔｉａｌ Ｒｅｐｏｓｉｔｏｒｙ ａｎｄ Ｐｒｏｃｅｓｓｉｎｇ Ｆｕｎｃｔｉｏｎ））は、ＳＵＰＩに基づいてプライマリ認証の認証方法を選択する。
【0031】
図４は、３ＧＰＰ ＴＳ３３．５０１で説明されているような認証手順を示すシグナリング図である。Ｎｕｄｍ＿認証取得要求に対して、ＵＤＭ２１８は５Ｇホーム環境認証ベクトル（５Ｇ ＨＥ ＡＶ：５Ｇ Ｈｏｍｅ Ｅｎｖｉｒｏｎｍｅｎｔ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｖｅｃｔｏｒ）を作成する。ＵＤＭ２１８はＫＡＵＳＦ鍵を取得し、チャレンジに対する期待される応答（ＸＲＥＳ＊）を計算する。ＵＤＭ２１８は、認証トークン（ＡＵＴＮ：ＡＵｔｈｅｎｔｉｃａｔｉｏｎ Ｔｏｋｅｎ）、期待される応答（ＸＲＥＳ＊）、ＫＡＵＳＦ鍵、およびランダムチャレンジ（ＲＡＮＤ）を備える５Ｇ ＨＥ ＡＶを作成する。次に、ＵＤＭ２１８は、認証に使用される５Ｇ ＨＥ ＡＶとともに、Ｎｕｄｍ＿ＵＥ認証取得応答メッセージをＡＵＳＦ２１０に送信する（例えば、５Ｇ認証鍵合意（ＡＫＡ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ））。ＳＵＣＩがＮｕｄｍ＿ＵＥＡｕｔｈｅｎｔｉｃａｔｉｏｎ＿Ｇｅｔ Ｒｅｑｕｅｓｔに含まれていた場合、ＵＤＭ２１８は、ＳＵＣＩの秘密解除後に、Ｎｕｄｍ＿ＵＥ認証取得応答メッセージをＳＵＰＩに含む。加入者がＡＫＭＡ加入を有する場合、ＵＤＭ２１８は、Ｎｕｄｍ＿ＵＥ認証取得応答メッセージにＡＫＭＡ指示とＲＩＤとを含む。
【0032】
Ｎｕｄｍ＿ＵＥ認証取得応答メッセージに応答して、ＡＵＳＦ２１０は、受信したＳＵＣＩまたはＳＵＰＩとともに期待された応答（ＸＲＥＳ＊）を一時的に記憶する。ＡＵＳＦは、その後、期待された応答（ＸＲＥＳ＊）からハッシュ期待応答（ＨＸＲＥＳ＊）およびＫＡＵＳＦ鍵からＫＳＥＡＦ鍵を計算し、５Ｇ ＨＥ ＡＶにおいてＸＲＥＳ＊をＨＸＲＥＳ＊に、ＫＡＵＳＦ鍵をＫＳＥＡＦ鍵に置き換えることによって、ＵＤＭ２１８から受信した５Ｇ ＨＥ ＡＶから５Ｇ認証ベクトル（５Ｇ ＡＶ：５Ｇ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｖｅｃｔｏｒ）を生成する。ＡＵＳＦ２１０は、ＫＳＥＡＦ鍵を削除し、認証トークン（ＡＵＴＮ）、ハッシュ期待応答（ＨＸＲＥＳ＊）、およびランダムチャレンジ（ＲＡＮＤ）を含む５Ｇサービング環境認証ベクトル（５Ｇ ＳＥ ＡＶ：５Ｇ Ｓｅｒｖｉｎｇ Ｅｎｖｉｒｏｎｍｅｎｔ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｖｅｃｔｏｒ）を生成するためにＫＳＥＡＦ鍵を削除する。ＡＵＳＦ２１０は、５Ｇ ＳＥ ＡＶを含むＮａｕｓｆ＿ＵＥ認証認証応答メッセージをＳＥＡＦ３０２に送信する。これに応じて、ＳＥＡＦ３０２は認証トークン（ＡＵＴＮ）およびランダムチャレンジ（ＲＡＮＤ）をＮＡＳメッセージ認証要求メッセージでＵＥ１０６に送信する。
【0033】
図４には示されていないが、ＵＥ１０６は、モバイル機器（ＭＥ：Ｍｏｂｉｌｅ Ｅｑｕｉｐｍｅｎｔ）およびＵＳＩＭを含む。ＭＥはＮＡＳメッセージ認証要求内で認証トークン（ＡＵＴＮ）およびランダムチャレンジ（ＲＡＮＤ）を受信し、認証トークン（ＡＵＴＮ）およびランダムチャレンジ（ＲＡＮＤ）をＵＳＩＭに転送する。ＵＳＩＭは、認証トークン（ＡＵＴＮ）を受け付けることができるかどうかを確認することで、受信した値の新しさを確認する。そうである場合、ＵＳＩＭはランダムチャレンジ（ＲＡＮＤ）に基づいて応答（ＲＥＳ）、暗号鍵（ＣＫ）、整合性鍵（ＩＫ）を計算し、応答（ＲＥＳ）、ＣＫ鍵、ＩＫ鍵をＭＥに戻す。ＭＥはＲＥＳからＲＥＳ＊を計算し、ＣＫ｜｜ＩＫからＫＡＵＳＦ鍵を、ＫＡＵＳＦ鍵からＫＳＥＡＦ鍵を計算する。
【0034】
ＵＥ１０６は、ＲＥＳ＊を含むＮＡＳメッセージ認証応答メッセージをＳＥＡＦ３０２に送信する。これに応じて、ＳＥＡＦ３０２はＲＥＳ＊からＨＲＥＳ＊を計算し、ＨＲＥＳ＊とＨＸＲＥＳ＊を比較する。一致した場合、ＳＥＡＦ３０２はサービングネットワークの観点から認証が成功したとみなす。ＳＥＡＦ３０２は、ＵＥ１０６から受信したＲＥＳ＊をＮａｕｓｆ＿ＵＥ認証認証要求メッセージでＡＵＳＦ２１０に送信する。認証確認としてＲＥＳ＊を含むＮａｕｓｆ＿ＵＥ認証認証要求メッセージを受信すると、ＡＵＳＦ２１０はホームネットワークオペレータポリシーに基づいてＫＡＵＳＦキーを記憶し、受信したＲＥＳ＊と記憶したＸＲＥＳ＊を比較する。ＲＥＳ＊とＸＲＥＳ＊が等しい場合、ＡＵＳＦ２１０はホームネットワークの観点から認証が成功したとみなす。ＡＵＳＦ２１０は、認証結果についてＵＤＭ２１８に通知する（不図示）。また、ＡＵＳＦ２１０は、ホームネットワークの観点から認証が成功したかどうかを示すＮａｕｓｆ＿ＵＥ認証認証応答メッセージをＳＥＡＦ３０２に送信する。認証が成功した場合、ＫＳＥＡＦ鍵はＮａｕｓｆ＿ＵＥ認証認証応答メッセージでＳＥＡＦ３０２に送信される。ＡＵＳＦ２１０が認証要求でＳＥＡＦ３０２からＳＵＣＩを受信した場合、認証が成功した場合、ＡＵＳＦ２１０はＮａｕｓｆ＿ＵＥ認証認証応答メッセージにＳＵＰＩを含む。
【0035】
ＡＫＭＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ ｆｏｒ Ａｐｐｌｉｃａｔｉｏｎ）は、オペレータ認証インフラストラクチャを活用してＵＥ１０６とＡＦ２２２間の通信をセキュリティで保護する特徴を有する。図５は、ＡＫＭＡの基本的なネットワークモデル５００を示す。図６は、内部ＡＦ（すなわちオペレータネットワーク内にあるＡＦ）の基準点表現におけるＡＫＭＡアーキテクチャ６００を示す。図７は、外部ＡＦ（すなわち、オペレータネットワーク外にあるＡＦ）の基準点表現におけるＡＫＭＡアーキテクチャ７００を示す。
【0036】
図５において、ＡＫＭＡ用のネットワークモデル５００は、ＡＵＳＦ２１０、ＡＭＦ２１２、ＵＤＭ２１８、ＡＦ２２２、ＮＥＦ２２４を含む。ＡＫＭＡ用のネットワークモデル５００は、ホーム公開モバイルネットワーク（ＨＰＬＭＮ：Ｈｏｍｅ Ｐｕｂｌｉｃ Ｌａｎｄ Ｍｏｂｉｌｅ Ｎｅｔｗｏｒｋ）におけるアンカー機能であるＡＫＭＡアンカー機能（ＡＡｎＦ：ＡＫＭＡ Ａｎｃｈｏｒ Ｆｕｎｃｔｉｏｎ）５３６も含む。ＡＡｎＦ５３６は、ＡＫＭＡアンカー鍵（ＫＡＫＭＡ）およびＡＫＭＡサービス用のＳＵＰＩを記憶し、ＡＫＭＡサービス用のＳＵＰＩは、ＵＥ１０６が５Ｇプライマリ認証に成功した後にＡＵＳＦ２１０から受信される。また、ＡＡｎＦ５３６はＵＥ１０６とＡＦ２２２の間で使用される鍵素材を生成し、ＵＥ ＡＫＭＡコンテキストを維持する。ＡＡｎＦ５３６は、ＵＥ１０６のＳＵＰＩをオペレータのネットワーク内にあるＡＦ２２２、またはＮＥＦ２２４に送信する。ＡＫＭＡ ＡＦ２２２は、ＡＫＭＡ鍵識別子（Ａ－ＫＩＤ）を使用して、ＡＡｎＦ５３６からＫＡＦと呼ばれるＡＫＭＡアプリケーション鍵を要求する。
【0037】
ＡＫＭＡは、ＵＥ１０６を認証するために５Ｇプライマリ認証手順を再使用する。概要として、５Ｇプライマリ認証が成功すると、ＫＡＵＳＦ鍵がＡＵＳＦ２１０およびＵＥ１０６に記憶される。ＵＥ１０６がプライマリ認証を終了した後、ＡＦ２２２との通信を開始する前に、ＵＥ１０６はＫＡＵＳＦ鍵からＫＡＫＭＡ鍵およびＡ－ＫＩＤを生成する。ＵＤＭ２１８からＫＡＵＳＦ鍵を受信した後、ＡＵＳＦ２１０はＫＡＵＳＦ鍵を記憶し、ＫＡＵＳＦ鍵からＫＡＫＭＡ鍵およびＡ－ＫＩＤを生成する。ＡＵＳＦ２１０は、ＫＡＫＭＡ鍵およびＡ－ＫＩＤをＵＥ１０６のＳＵＰＩとともにＡＡｎＦ５３６に送信する。
【0038】
従来、ＵＥ１０６およびＡＵＳＦ２１０によって生成されるＡ－ＫＩＤは、「ｕｓｅｒｎａｍｅ＠ｒｅａｌｍ」のフォーマットである。ユーザ名（ｕｓｅｒｎａｍｅ）はＲＩＤおよびＡＫＭＡ一時ＵＥ識別子（Ａ－ＴＩＤ：ＡＫＭＡ Ｔｅｍｐｏｒａｒｙ ＵＥ ＩＤｅｎｔｉｆｉｅｒ）を含み、領域（ｒｅａｌｍ）はＨＮ－ＩＤを含む。ＲＩＤは、認証トラフィックをＵＤＭ２１８にルーティングするためにＨＮ－ＩＤとともに使用される。Ａ－ＴＩＤは、Ａ－ＴＩＤ派生機能を持つＫＡＵＳＦ鍵から引き出す。従来のＡ－ＫＩＤで発生する問題の１つは、ＲＩＤおよびＡ－ＴＩＤが可変長であることだ。これは、Ａ－ＫＩＤのユーザ名でＲＩＤおよびＡ－ＴＩＤをどのように暗号化するかという課題をＵＥ１０６に提示し、（ＲＩＤに基づいて）ＡＡｎＦ５３６を選択するなど、Ａ－ＫＩＤのユーザ名からＲＩＤおよびＡ－ＴＩＤを復号化するネットワーク機能（例えば、ＡＦ２２２、ＮＥＦ２２４）の課題を提示する。
【0039】
以下に説明する実施形態において、ユーザ名においてＲＩＤとＡ－ＴＩＤとを容易に区別できるように、拡張Ａ－ＫＩＤが定義される。図８は、例示的な実施形態における拡張Ａ－ＫＩＤ８００を示す。拡張Ａ－ＫＩＤ８００は、＠シンボル８０６によって分離されたユーザ名８０２および領域８０４を有する識別子フォーマットを有する。本実施形態において、ユーザ名８０２は、ＵＥ１０６のＲＩＤ８１２、Ａ－ＴＩＤ８１４、およびユーザ名８０２においてＲＩＤ８１２とＡ－ＴＩＤ８１４とを区別する１つまたは複数の付加記号８１０を含む。ＲＩＤ８１２とＡ－ＴＩＤ８１４とを区別するために使用される付加記号８１０は、必要に応じて変化し得る。
【0040】
図９は、例示的な実施形態における、拡張Ａ－ＫＩＤ８００のためのユーザ名８０２のフォーマット例を示す。本実施形態において、拡張Ａ－ＫＩＤ８００のユーザ名８０２は、ＲＩＤ８１２およびＡ－ＴＩＤ８１４を含み、ＲＩＤ長さ９１０を付加記号８１０として含む。ＲＩＤ長さ９１０は、ユーザ名８０２におけるＲＩＤ８１２の長さを示す値（例えば、１桁または複数桁）である。したがって、ユーザ名８０２は、ＲＩＤ８１２およびＡ－ＴＩＤ８１４を連結し、ＲＩＤ８１２にＲＩＤ長さ９１０をプリペンドすることによって構築され得る。たとえば、ＲＩＤ８１２の値が「１２」であり、Ａ－ＴＩＤ８１４の値が「５６７８」であるとする。したがって、この例において、拡張Ａ－ＫＩＤ８００のユーザ名８０２は、「２１２５６７８」を備え、ユーザ名８０２の最初の桁がＲＩＤ８１２の長さを示す。他の例では、ＲＩＤ８１２の値が「０１２」で、Ａ－ＴＩＤ８１４の値が「５６７」であるとする。したがって、この例における拡張Ａ－ＫＩＤ８００のユーザ名８０２は「３０１２５６７」を備えてもよく、ユーザ名８０２の最初の桁はＲＩＤ８１２の長さを示す。
【0041】
図１０は、例示的な実施形態における拡張Ａ－ＫＩＤ８００のユーザ名８０２の他のフォーマット例を示す。本実施形態において、拡張Ａ－ＫＩＤ８００のユーザ名８０２は、ＲＩＤ８１２およびＡ－ＴＩＤ８１４を含み、また、ＲＩＤ８１２およびＡ－ＴＩＤ８１４の間の分離記号１０１０（または複数の記号）を付加記号８１０として含む。分離記号１０１０は、ピリオド「．」、スペース「 」、ダッシュ「－」、または別の記号を備え得る。したがって、ユーザ名８０２は、ＲＩＤ８１２、分離記号１０１０、Ａ－ＴＩＤ８１４の順に挿入することによって構築されてもよい。例えば、ＲＩＤ８１２の値が「１２」であり、Ａ－ＴＩＤ８１４の値が「５６７８」であるとする。したがって、この例における拡張Ａ－ＫＩＤ８００のユーザ名８０２は、「１２．５６７８」を備え得る。他の例において、ＲＩＤ８１２の値が「０１２」で、Ａ－ＴＩＤ８１４の値が「５６７」であるとする。したがって、この例において、拡張Ａ－ＫＩＤ８００のユーザ名８０２は「０１２．５６７」を備え得る。
【0042】
図１１は、例示的な実施形態における拡張Ａ－ＫＩＤ８００におけるユーザ名８０２の他のフォーマット例を示す。本実施形態において、拡張Ａ－ＫＩＤ８００のユーザ名８０２は、ＲＩＤ８１２およびＡ－ＴＩＤ８１４を含み、さらにＲＩＤ８１２に先行するＲＩＤラベル１１１０およびＡ－ＴＩＤ８１４に先行するＡ－ＴＩＤラベル１１１１を付加記号８１０として含む。ユーザ名８０２は、ＲＩＤ８１２とＡ－ＴＩＤラベル１１１１の間の分離記号１０１０をさらに含み得る。したがって、ユーザ名８０２は、ＲＩＤラベル１１１０、ＲＩＤ８１２、Ａ－ＴＩＤラベル１１１１、Ａ－ＴＩＤ８１４の順に挿入することによって構築され得る。例えば、ＲＩＤ８１２の値が「１２」で、Ａ－ＴＩＤ８１４の値が「５６７８」であるとする。したがって、この例における拡張Ａ－ＫＩＤ８００のユーザ名８０２は、「ｒｉｄ１２ａｔｉｄ５６７８」を備え得る。他の例において、ＲＩＤ８１２の値が「０１２」であり、Ａ－ＴＩＤ８１４の値が「５６７」であるとする。したがって、この例において、拡張Ａ－ＫＩＤ８００のユーザ名８０２は、「ｒｉｄ０１２ａｔｉｄ５６７」を備え得る。
【0043】
図９～図１１の例において、ＲＩＤ８１２は、ユーザ名８０２のＡ－ＴＩＤ８１４の前に記述される。しかしながら、ＲＩＤ８１２およびＡ－ＴＩＤ８１４は、ユーザ名８０２においてＡ－ＴＩＤ８１４がＲＩＤ８１２より前になるように、他の実施形態において置き換えられてもよい。同様の概念は、このシナリオで前述したように適用される。
【0044】
拡張Ａ－ＫＩＤ８００の技術的な利点の一つは、ＲＩＤ８１２およびＡ－ＴＩＤ８１４が可変長であるにもかかわらず、ユーザ名８０２において容易に区別できることである。したがって、ネットワーク機能（例えば、ＡＦ２２２またはＮＥＦ２２４）は、ＡＡｎＦ５３６の選択などのために、拡張Ａ－ＫＩＤ８００のユーザ名８０２からＲＩＤ８１２およびＡ－ＴＩＤ８１４を容易に復号化することができる。
【0045】
したがって、拡張Ａ－ＫＩＤ８００は、ＡＫＭＡ認証サービスにおいて使用されてもよい。図１２は、例示的な実施形態におけるＡＫＭＡ要素１２００のブロック図である。ＡＫＭＡ要素１２００は、ＡＫＭＡ認証サービスに対して有効にされる処理要素である。例えば、ＡＫＭＡ要素１２００は、ＵＥ１０６と、ＡＵＳＦ２１０、ＡＦ２２２、ＮＥＦ２２４、ＡＡｎＦ５３６などのネットワーク要素またはネットワーク機能（ＮＦ）、または別のタイプのデバイスとを備え得る。ＡＫＭＡ要素１２００は、ＡＫＭＡ認証サービスの操作、手順、または機能をサポートするように構成された回路、論理、ハードウェア、手段などで構成されるＡＫＭＡコントローラ１２０２を含む。ＡＫＭＡ要素１２００のサブシステムの１つまたは複数は、アナログおよび／またはデジタル回路で構成されるハードウェアプラットフォーム上に実装され得る。ＡＫＭＡコントローラ１２０２は、メモリ１２３２にロードされるソフトウェアの命令１２３４（すなわちコンピュータ可読コード）を実行する１つまたは複数のプロセッサ１２３０に実装されてもよい。プロセッサ１２３０は、ＡＫＭＡ要素１２００の機能を提供する命令１２３４を実行するように構成された統合ハードウェア回路を備える。プロセッサ１２３０は、特定の実装に応じて、１つまたは複数のプロセッサのセットを備えてもよく、マルチプロセッサコアを備えてもよい。メモリ１２３２は、データ、命令、アプリケーションなどのための非一時的コンピュータ可読記憶媒体であり、プロセッサ１２３０によってアクセス可能である。メモリ１２３２は、一時的または永続的に情報を記憶できるハードウェア記憶装置である。メモリ１２３２は、ランダムアクセスメモリ、またはその他の揮発性または不揮発性記憶装置を備える。
【0046】
図１３は、例示的な実施形態におけるＡＫＭＡ認証サービスを実行する方法１３００を示すフローチャートである。方法１３００のステップは、図１２のＡＫＭＡ要素１２００を参照して説明されるが、当業者は、方法１３００が他のシステム、装置、またはネットワーク機能で実行され得ることを理解するだろう。本明細書に説明されるフローチャートのステップは、すべてを含むわけではなく、示されていない他のステップを含む場合があり、ステップは代替の順序で実行されてもよい。
【0047】
ＡＫＭＡコントローラ１２０２は、上述のように、拡張Ａ－ＫＩＤ８００を処理し、ユーザ名８０２は、ＲＩＤ８１２、Ａ－ＴＩＤ８１４、およびユーザ名８０２のＲＩＤ８１２とＡ－ＴＩＤ８１４とを区別する１つまたは複数の付加記号８１０を含む（ステップ１３０２）。例えば、ＡＫＭＡコントローラ１２０２は、ＲＩＤ８１２、Ａ－ＴＩＤ８１４、および付加記号８１０を含むユーザ名８０２を有する拡張Ａ－ＫＩＤ８００を引き出しまたは生成し得る。他の例において、ＡＫＭＡコントローラ１２０２は、ＲＩＤ８１２、Ａ－ＴＩＤ８１４、および付加記号８１０を含むユーザ名８０２を有する拡張Ａ－ＫＩＤ８００を受信し、付加記号８１０に基づいて、拡張Ａ－ＫＩＤ８００のユーザ名８０２からＲＩＤ８１２を復号化または抽出できる。
【0048】
その後、ＡＫＭＡコントローラ１２０２は、拡張Ａ－ＫＩＤ８００に基づいてＡＫＭＡ認証サービスの１つまたは複数の機能を実行し得る（ステップ１３０４）。例えば、ＡＫＭＡコントローラ１２０２は、拡張Ａ－ＫＩＤ８００を含む他の要素にＡＫＭＡ要求を送信し得る。他の例において、ＡＫＭＡコントローラ１２０２は、拡張Ａ－ＫＩＤ８００のユーザ名８０２から抽出されたＲＩＤ８１２に基づいてＡＡｎＦ５３６を選択し得る。
【0049】
ＡＫＭＡ要素１２００の一例はＵＥ１０６である。図１４は、例示的な実施形態におけるＵＥ１０６のブロック図である。ＵＥ１０６は、無線インタフェース構成要素１４０２、１つまたは複数のプロセッサ１４０４、メモリ１４０６、ユーザインタフェース構成要素１４０８、およびバッテリ１４１０を含む。無線インタフェース構成要素１４０２は、ＲＦユニット１４２０（例えば、１つまたは複数の無線トランシーバ）および１つまたは複数のアンテナ１４２２など、ＵＥ１０６のローカル無線リソースを表すハードウェア構成要素である。無線インタフェース構成要素１４０２は、ＷｉＦｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、５Ｇ新無線（ＮＲ：Ｎｅｗ Ｒａｄｉｏ）、ロングタームエボリューション（ＬＴＥ：Ｌｏｎｇ－Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）用に構成され得る。プロセッサ１４０４は、ＵＥ１０６の機能を提供する内部回路、論理、ハードウェアなどを表す。プロセッサ１４０４は、メモリ１４０６にロードされるソフトウェアの命令１４４０（すなわち、コンピュータプログラムコード）を実行するように構成され得る。プロセッサ１４０４は、特定の実装に応じて、１つまたは複数のプロセッサのセットを備えてもよく、マルチプロセッサコアを備えてもよい。メモリ１４０６は、データ、命令１４４０、アプリケーションなどのためのコンピュータ可読記憶媒体であり、プロセッサ１４０４によってアクセス可能である。メモリ１４０６は、一時的または永続的に情報を記憶できるハードウェア記憶装置である。メモリ１４０６は、ランダムアクセスメモリ、またはその他の任意の揮発性または不揮発性記憶装置を備え得る。ユーザインタフェース構成要素１４０８は、エンドユーザとインタラクションするためのハードウェア構成要素である。例えば、ユーザインタフェース構成要素１４０８は、ディスプレイ１４５０、スクリーン、タッチスクリーンなどを含むことができる（例えば、液晶ディスプレイ（ＬＣＤ：Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、発光ダイオード（ＬＥＤ：Ｌｉｇｈｔ Ｅｍｉｔｔｉｎｇ Ｄｉｏｄｅ）ディスプレイなど）。ユーザインタフェース構成要素１４０８は、キーボードまたはキーパッド１４５２、トラッキング装置（例えば、トラックボールまたはトラックパッド）、スピーカー、マイクなどを含んでもよく、ＵＥ１０６は、特に図１４に示されていない様々な他の構成要素を含み得る。
【0050】
ＵＥ１０６は、ＵＥ１０６のセキュリティおよび整合性機能を提供する集積回路である加入者識別モジュール（ＳＩＭ：Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）１４６０も含む（例えば、ＳＩＭカード、ユニバーサルＳＩＭ（ＵＳＩＭ）など）。ＳＩＭ１４６０は、ＵＥ１０６用の１つまたは複数の加入プロファイルが含まれるか、またはプロビジョニングされる。加入プロファイルは、加入、加入パラメータ、加入資格情報などが関連付けられている。加入資格情報は、加入を一意に識別し、ＵＥ１０６とネットワークを相互に認証するために使用されるホームネットワークの公開キー、長期秘密鍵（Ｋ）、加入識別子（例えば、ＳＵＰＩ）を含む一連の値である。
【0051】
プロセッサ１４０４は、本実施形態においてＡＫＭＡコントローラ１４３４を実装し得る。ＡＫＭＡコントローラ１４３４は、ＡＫＭＡ認証サービスの操作、手順、または機能をサポートするように構成される。
【0052】
図１５は、例示的な実施形態におけるＡＫＭＡ認証サービスを実行する他の方法１５００を示すフローチャートである。方法１５００のステップは、図１４のＵＥ１０６を参照して説明されるが、当業者は、方法１５００が他のシステム、デバイス、またはネットワーク機能で実行され得ることを理解するだろう。
【0053】
プライマリ認証の間、ＵＥ１０６は、ＡＫＭＡ ＡＦ２２２との通信を開始する前に、ＫＡＵＳＦ鍵からＫＡＫＭＡ鍵およびＡ－ＫＩＤを生成する。本実施形態において、ＵＥ１０６のＡＫＭＡコントローラ１４３４は、拡張Ａ－ＫＩＤ８００を引き出しまたは生成し、ユーザ名８０２はＲＩＤ８１２、Ａ－ＴＩＤ８１４、およびユーザ名８０２においてＲＩＤ８１２とＡ－ＴＩＤ８１４とを区別する１つまたは複数の付加記号８１０を含む（ステップ１５０２）。一例において、付加記号８１０はＲＩＤ長さ９１０を備え得る。ＡＫＭＡコントローラ１４３４は、ＲＩＤ８１２とＡ－ＴＩＤ８１４を連結し、ユーザ名８０２においてＲＩＤ長さ９１０をＲＩＤ８１２にプリペンドしてもよい（オプションのステップ１５０６）。したがって、ＡＫＭＡコントローラ１４３４は、ユーザ名８０２の最初の桁（複数の桁であってもよい）としてＲＩＤ長さ９１０を挿入し、その後にＲＩＤ８１２を挿入し、その後にＡ－ＴＩＤ８１４を挿入することができる。他の例において、付加記号８１０は分離記号１０１０を備え得る。ＡＫＭＡコントローラ１４３４は、ＲＩＤ８１２およびＡ－ＴＩＤ８１４を連結し、ユーザ名８０２においてＲＩＤ８１２とＡ－ＴＩＤ８１４の間に分離記号１０１０を挿入することができる（オプションのステップ１５０８）。したがって、ＡＫＭＡコントローラ１４３４は、ＲＩＤ８１２の後に分離記号１０１０を挿入し、その後にユーザ名８０２のＡ－ＴＩＤ８１４を挿入してもよい。他の例において、付加記号８１０はＲＩＤ８１２およびＡ－ＴＩＤ８１４のラベルを備え得る。ＡＫＭＡコントローラ１４３４は、ユーザ名において、ＲＩＤ８１２に先行してＲＩＤラベル１１１０を挿入し、Ａ－ＴＩＤ８１４に先行してＡ－ＴＩＤラベル１１１１を挿入することができる（オプションのステップ１５１０）。したがって、ＡＫＭＡコントローラ１４３４は、ユーザ名８０２において、ＲＩＤラベル１１１０、ＲＩＤ８１２、Ａ－ＴＩＤラベル１１１１、Ａ－ＴＩＤ８１４の順に挿入することができる。
【0054】
次に、ＡＫＭＡコントローラ１４３４は、拡張Ａ－ＫＩＤ８００を含むＡＫＭＡ ＡＦ２２２にＡＫＭＡ要求（例えば、アプリケーションセッション確立要求メッセージ）を送信する（ステップ１５０４）。
【0055】
ＡＫＭＡ要素１２００の他の例は、５Ｇコアネットワーク１０４のネットワーク要素である。図１６は、例示的な実施形態におけるネットワーク要素１６００のブロック図である。ネットワーク要素１６００は、サーバ、デバイス、装置、機器（ハードウェアを含む）、システムなどで構成され、５Ｇコアネットワーク１０４の１つまたは複数のネットワーク機能（ＮＦ）１１０を実装する。本実施形態において、ネットワーク要素１６００は、ネットワークインタフェース構成要素１６０２と、１つまたは複数のプラットフォームで動作するＡＫＭＡコントローラ１４０４とを備えるサブシステムを含む。ネットワークインタフェース構成要素１６０２は、他のネットワーク要素および／またはＵＥと制御プレーンメッセージまたはシグナリングを交換するように構成された回路、論理、ハードウェア、手段などを備え得る。ネットワークインタフェース構成要素１６０２は、さまざまなプロトコル（ＮＡＳプロトコルを含む）または基準点を使用して動作することができる。ＡＫＭＡコントローラ１６０４は、ＡＫＭＡ認証サービスの操作、手順、または機能をサポートするように構成された回路、論理、ハードウェア、手段などを備えても良い。
【0056】
図１６に示すように、ネットワーク要素１６００は、５Ｇコアネットワーク１０４のＡＵＳＦ２１０を表し得る。ネットワーク要素１６００は、追加的または代替的に、ＡＫＭＡ ＡＦ２２２、ＮＥＦ２２４、またはＡＡｎＦ５３６を表すことができる。
【0057】
ネットワーク要素１６００の１つまたは複数のサブシステムは、アナログおよび／またはデジタル回路で構成されるハードウェアプラットフォームに実装することができる。ネットワーク要素１６００の１つまたは複数のサブシステムは、メモリ１６３２にロードされるソフトウェアの命令１６３４（すなわち、コンピュータ可読コード）を実行する１つまたは複数のプロセッサ１６３０に実装することができる。プロセッサ１６３０は、ネットワーク要素１６００の機能を提供する命令１６３４を実行するように構成された統合ハードウェア回路を備える。プロセッサ１６３０は、特定の実装に応じて、１つまたは複数のプロセッサのセットを備えてもよく、マルチプロセッサコアを備えてもよい。メモリ１６３２は、データ、命令、アプリケーションなどのための非一時的コンピュータ可読記憶媒体であり、プロセッサ１６３０によってアクセス可能である。メモリ１６３２は、一時的および／または永続的に情報を記憶できるハードウェア記憶装置である。メモリ１６３２は、ランダムアクセスメモリ、またはその他の任意の揮発性または不揮発性記憶装置を備えても良い。
【0058】
ネットワーク要素１６００は、特に図１６に示されていない様々な他の構成要素を含むことができる。
【0059】
図１７は、例示的な実施形態におけるＡＫＭＡ認証サービスを実行する他の方法１７００を示すフローチャートである。方法１７００のステップは、図１６のネットワーク要素１６００を参照して説明されるが、当業者は、方法１７００が他のシステム、デバイス、またはネットワーク機能で実行される可能性があることを理解するだろう。
【0060】
本実施形態において、ネットワーク要素１６００はＡＵＳＦ２１０を備える。ＡＵＳＦ２１０がプライマリ認証中にＵＤＭ２１８からＡＫＭＡ指示を受信した場合、ＡＵＳＦ２１０はプライマリ認証手順が正常に完了した後、ＫＡＵＳＦ鍵からＫＡＫＭＡ鍵およびＡ－ＫＩＤを生成する。本実施形態において、ＡＵＳＦ２１０のＡＫＭＡコントローラ１６０４は、拡張Ａ－ＫＩＤ８００を引き出しまたは生成し、ユーザ名８０２は、ＲＩＤ８１２、Ａ－ＴＩＤ８１４、およびユーザ名８０２においてＲＩＤ８１２とＡ－ＴＩＤ８１４とを区別する１つまたは複数の付加記号８１０を含む（ステップ１７０２）。一例において、付加記号８１０はＲＩＤ長さ９１０を含むことができる。ＡＫＭＡコントローラ１６０４は、ＲＩＤ８１２とＡ－ＴＩＤ８１４を連結し、ユーザ名８０２においてＲＩＤ長さ９１０をＲＩＤ８１２にプリペンドすることができる（オプションのステップ１７０８）。したがって、ＡＫＭＡコントローラ１６０４は、ユーザ名８０２の最初の桁（複数の桁でもよい）としてＲＩＤ長さ９１０を挿入し、その後にＲＩＤ８１２を挿入し、その後にＡ－ＴＩＤ８１４を挿入することができる。他の例において、付加記号８１０は分離記号１０１０を含むことができる。ＡＫＭＡコントローラ１６０４は、ＲＩＤ８１２とＡ－ＴＩＤ８１４を連結し、ユーザ名８０２においてＲＩＤ８１２とＡ－ＴＩＤ８１４の間に分離記号１０１０を挿入することができる（オプションのステップ１７１０）。したがって、ＡＫＭＡコントローラ１６０４は、ユーザ名において、ＲＩＤ８１２の後に分離記号１０１０を挿入し、その後にＡ－ＴＩＤ８１４を挿入し得る。他の例において、付加記号８１０はＲＩＤ８１２とＡ－ＴＩＤ８１４のラベルを含み得る。ＡＫＭＡコントローラ１６０４は、ユーザ名において、ＲＩＤ８１２に先行してＲＩＤラベル１１１０を挿入し、Ａ－ＴＩＤ８１４に先行してＡ－ＴＩＤラベル１１１１を挿入し得る（オプションのステップ１７１２）。したがって、ＡＫＭＡコントローラ１６０４は、ＲＩＤラベル１１１０、ＲＩＤ８１２、Ａ－ＴＩＤラベル１１１１、Ａ－ＴＩＤ８１４の順にユーザ名８０２に挿入してもよい。
【0061】
次に、ＡＫＭＡコントローラ１６０４は、ＲＩＤ８１２に基づいてＡＡｎＦ５３６を選択し（ステップ１７０４）、拡張Ａ－ＫＩＤ８００を含むＡＡｎＦ５３６にＡＫＭＡ要求（例えば、Ｎａａｎｆ＿ＡＫＭＡ＿Ａｎｃｈｏｒ Ｋｅｙ＿Ｒｅｇｉｓｔｅｒ Ｒｅｑｕｅｓｔ）を送信する（ステップ１７０６）。ＡＫＭＡコントローラ１６０４は、ＡＡｎＦ５３６へのＡＫＭＡ要求に、ＫＡＫＭＡ鍵、ＵＥ１０６のＳＵＰＩなどの追加の情報を含み得る。
【0062】
図１８は、例示的な実施形態においてＡＫＭＡ認証サービスを実行する他の方法１８００を示すフローチャートである。方法１８００のステップは、図１６のネットワーク要素１６００を参照して説明されるが、当業者は、方法１８００が他のシステム、デバイス、またはネットワーク機能で実行される可能性があることを理解するだろう。
【0063】
本実施形態において、ネットワーク要素１６００は、ＡＦ２２２またはＮＥＦ２２４を備える。ＡＦ２２２またはＮＥＦ２２４は、ＡＫＭＡ要求に応答してＡＡｎＦ５３６を発見するように構成される。ＡＦ２２２がオペレータのネットワークにある場合、ＡＦ２２２はＡＫＭＡ要求で受信したＡ－ＫＩＤに基づいてＡＡｎＦ５３６を発見する。ＡＦ２２２がオペレータのネットワークの外部にある場合、オペレータのネットワーク内のＮＥＦ２２４はＡＫＭＡ要求で受信したＡ－ＫＩＤに基づいてＡＡｎＦ５３６を検出する。
【0064】
ＡＫＭＡコントローラ１６０４は、拡張Ａ－ＫＩＤ８００を持つＡＫＭＡ要求を受信する（ステップ１８０２）。ＡＫＭＡコントローラ１６０４は、拡張Ａ－ＫＩＤ８００を処理、復号、または解読して、付加記号８１０に基づいてユーザ名８０２からＲＩＤ８１２を抽出する（ステップ１８０４）。一例において、付加記号８１０は、ユーザ名８０２にプリペンドされたＲＩＤ長さ９１０を備え得る。したがって、ＡＫＭＡコントローラ１６０４は、ユーザ名８０２の最初の桁を処理してＲＩＤ長さ９１０を決定し（オプションのステップ１８１０）、ＲＩＤ長さ９１０に基づいてユーザ名８０２からＲＩＤ８１２を抽出する（オプションのステップ１８１２）。他の例において、付加記号８１０は、ユーザ名８０２においてＲＩＤ８１２とＡ－ＴＩＤ８１４の間の分離記号１０１０を備えても良い。したがって、ＡＫＭＡコントローラ１６０４は、ユーザ名８０２の分離記号１０１０を識別し（オプションのステップ１８１４）、ユーザ名８０２から分離記号１０１０の前（または後）のＲＩＤ８１２を抽出し得る（オプションのステップ１８１６）。他の例において、付加記号８１０はＲＩＤ８１２およびＡ－ＴＩＤ８１４のラベルを備えることができる。したがって、ＡＫＭＡコントローラ１６０４は、ユーザ名８０２のＲＩＤ８１２に先行してＲＩＤラベル１１１０を識別し（オプションのステップ１８１８）、ＲＩＤラベル１１１０に基づいてユーザ名８０２からＲＩＤ８１２を抽出し得る（オプションのステップ１８２０）。
【0065】
次に、ＡＫＭＡコントローラ１６０４は、拡張Ａ－ＫＩＤ８００から抽出されたＲＩＤ８１２（ステップ１８０６）に基づいてＡＡｎＦ５３６を選択する。ＡＡｎＦ５３６の選択後、ＡＫＭＡコントローラ１６０４は、ＡＫＭＡアプリケーション鍵ＫＡＦを取得するなどためにＡＫＭＡ要求を、拡張Ａ－ＫＩＤ８００でＡＡｎＦ５３６に送信する（ステップ１８０８）。たとえば、ＡＫＭＡ ＡＦ２２２は、Ｎａａｎｆ＿ＡＫＭＡアプリケーション鍵取得要求メッセージを拡張Ａ－ＫＩＤ８００を含むＡＡｎＦ５３６へ送信してもよい。他の例において、ＮＥＦ２２４は、拡張Ａ－ＫＩＤ８００を含むＡＡｎＦ５３６にＮａａｎｆ＿ＡＫＭＡ＿ＡＦ鍵要求メッセージを送信してもよい。ＡＡｎＦ５３６は、ＡＫＭＡ要求の受信に応答して、拡張Ａ－ＫＩＤ８００を記憶する。
【0066】
図１９は、例示的な実施形態においてＡＫＭＡ認証サービスを実行する他の方法１９００を示すフローチャートを示す。方法１９００のステップは、図１６のネットワーク要素１６００を参照して説明されるが、当業者は、方法１９００が他のシステム、デバイス、またはネットワーク機能で実行される可能性があることを理解するであろう。
【0067】
本実施形態において、ネットワーク要素１６００はＡＡｎＦ５３６を備える。ＡＫＭＡコントローラ１６０４は、拡張Ａ－ＫＩＤ８００を持つＡＫＭＡ要求を受信する（ステップ１９０２）。たとえば、ＡＡｎＦ５３６は、拡張Ａ－ＫＩＤ８００を含むＡＵＳＦ２１０からＮａａｎｆ＿ＡＫＭＡアンカー鍵登録要求メッセージを受信してもよい。他の例において、ＡＡｎＦ５３６は、拡張Ａ－ＫＩＤ８００を含むＡＫＭＡ ＡＦ２２２からＮａａｎｆ＿ＡＫＭＡアプリケーション鍵取得要求メッセージを受信してもよい。さらに他の例において、ＡＡｎＦ５３６は、拡張Ａ－ＫＩＤ８００を含むＮＥＦ２２４からＮａａｎｆ＿ＡＫＭＡ＿ＡＦ鍵要求メッセージを受信してもよい。次に、ＡＫＭＡコントローラ１６０４は、拡張Ａ－ＫＩＤ８００を記憶する（ステップ１９０４）。
【0068】
ＡＫＭＡ認証サービスの詳細は、拡張Ａ－ＫＩＤ８００を使用して以下で説明される。図２０は、例示的な実施形態におけるプライマリ認証後のＡＫＭＡアンカー鍵（ＫＡＫＭＡ）の生成を示すシグナリング図である。プライマリ認証手順の間、ＡＵＳＦ２１０は、加入資格（例えば、ＡＫＡ認証ベクトル）およびＮＵＤＭ＿ＵＥ認証取得要求サービス操作を使用した認証方法などの認証情報を取得するために、ＵＤＭ２１８とインタラクションする。これに応じて、ＵＤＭ２１８は、ＵＥ１０６に対してＫＡＫＭＡ鍵を生成する必要があるかどうかのＡＫＭＡ指示をＡＵＳＦ２１０に提供してもよい。ＡＫＭＡ指示が含まれている場合、ＵＤＭ２１８は、Ｎｕｄｍ＿ＵＥ認証取得要求にＵＥ１０６のＲＩＤを含む。
【0069】
ＡＵＳＦ２１０がＵＤＭ２１８からＡＫＭＡ指示を受信した場合、ＡＵＳＦ２１０はＫＡＵＳＦ鍵を記憶し、プライマリ認証手順が正常に完了した後にＫＡＵＳＦ鍵からＫＡＫＭＡ鍵および拡張Ａ－ＫＩＤ８００を生成する。同様に、ＵＥ１０６はＡＫＭＡ ＡＦ２２２との通信を開始する前に、ＫＡＫＭＡ鍵および拡張Ａ－ＫＩＤ８００をＫＡＵＳＦ鍵から生成する。ＡＫＭＡ鍵素材が生成された後、ＡＵＳＦ２１０はＡＡＮＦ５３６を選択し、Ｎａａｎｆ＿ＡＫＭＡアンカー登録要求メッセージ２００４を使用して、ＵＥ１０６のＳＵＰＩとともに拡張Ａ－ＫＩＤ８００およびＫＡＫＭＡ鍵をＡＡＮＦ５３６に送信する。ＡＡＮＦ５３６は、Ｎａａｎｆ＿ＡＫＭＡアンカー鍵登録応答メッセージを使用してＡＵＳＦ２１０に応答を送信する。
【0070】
図２１は、例示的な実施形態におけるＡＫＭＡアプリケーション鍵（ＫＡＦ）の生成を示すシグナリング図である。ＵＥ１０６とＡＫＭＡ ＡＦ２２２の通信を開始する前に、ＵＥ１０６およびＡＫＭＡ ＡＦ２２２はＡＫＭＡを使用するかどうかを知る必要がある。この知識は、ＵＥ１０６およびＡＫＭＡ ＡＦ２２２の特定のアプリケーションに暗黙的であるかまたはＡＫＭＡ ＡＦ２２２からＵＥ１０６によって示される。ＵＥ１０６は、ＡＫＭＡ ＡＦ２２２との通信を開始する前に、ＫＡＵＳＦからＡＫＭＡアンカー鍵（ＫＡＫＭＡ）および拡張Ａ－ＫＩＤ８００を生成する。ＵＥ１０６がＡＫＭＡ ＡＦ２２２との通信を開始する場合、ＵＥ１０６はＡＫＭＡ ＡＦ２２２へのＡＫＭＡ要求に拡張Ａ－ＫＩＤ８００を含む（例えば、アプリケーションセッション確立要求メッセージ２１０４）。ＵＥ１０６は、メッセージを送信する前または後にＫＡＦ鍵を引き出し得る。
【0071】
ＡＫＭＡ ＡＦ２２２に拡張Ａ－ＫＩＤ ８００に関連するアクティブコンテキストがない場合、加記号８１０に基づいて拡張Ａ－ＫＩＤ８００のユーザ名８０２からＲＩＤ８１２を抽出するためにＡＫＭＡ ＡＦ２２２は拡張Ａ－ＫＩＤ８００を復号し、ＲＩＤ８１２に基づいてＡＡＮＦ５３６を選択する。次に、ＡＫＭＡ ＡＦ２２２は、、ＵＥ１０６のＫＡＦ鍵を要求するために拡張Ａ－ＫＩＤ８００を持つＡＡＮＦ５３６にＮａａｎｆ＿ＡＫＭＡ＿ＡｐｐｌｉｃａｔｉｏｎＫｅｙ＿Ｇｅｔ要求２１０６を送信する。ＡＫＭＡ ＡＦ２２２は、要求に識別（ＡＦ＿ＩＤ）も含む。
【0072】
ＡＡｎＦ５３６は、設定されたローカルポリシーに基づいて、またはＡＦ＿ＩＤを使用してＮＲＦ２２６から提供された許可情報またはポリシーに基づいて、ＡＫＭＡ ＡＦ２２２にサービスを提供できるかどうかを確認する。成功した場合、ＡＡｎＦ５３６は、拡張Ａ－ＫＩＤ８００によって識別されるＵＥ固有ＫＡＫＭＡ鍵の存在に基づいて、加入者がＡＫＭＡの使用を許可されているかどうかを確認する。ＡＡｎＦ５３６は、ＫＡＦ鍵がまだない場合はＫＡＫＭＡ鍵からＫＡＦ鍵を取得し、ＳＵＰＩ、ＫＡＦ鍵、およびＫＡＦの有効期限を使用して、Ｎａａｎｆ＿ＡＫＭＡ＿ＡｐｐｌｉｃａｔｉｏｎＫｅｙ＿Ｇｅｔ応答をＡＫＭＡ ＡＦ２２２に送信する。ＡＫＭＡ ＡＦ２２２は、ＡＫＭＡ応答（例えば、アプリケーションセッション確立応答）をＵＥ１０６に送信する。
【0073】
図に示されている、またはここに記載されているさまざまな要素またはモジュールのいずれも、ハードウェア、ソフトウェア、ファームウェア、またはこれらのいくつかの組み合わせとして実装され得る。例えば、要素は専用ハードウェアとして実装されてもよい。専用ハードウェア要素は、「プロセッサ」、「コントローラ」、またはいくつかの類似の用語として呼ばれることがある。プロセッサによって提供される場合、機能は、単一の専用プロセッサ、単一の共有プロセッサ、または複数の個別のプロセッサによって提供され、その一部は共有される場合がある。さらに、「プロセッサ」または「コントローラ」という用語の明示的な使用は、ソフトウェアを実行できるハードウェアのみを指すと解釈すべきではなく、デジタル信号プロセッサ（ＤＳＰ）ハードウェア、ネットワークプロセッサ、特定用途向け集積回路（ＡＳＩＣ）またはその他の回路、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、ソフトウェアを記憶するための読み取り専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、不揮発性ストレージ、ロジック、またはその他の物理ハードウェア構成要素またはモジュールを暗黙的に含む場合があり、これらに限定されない。
【0074】
また、要素は、その要素の機能を実行するためにプロセッサまたはコンピュータによって実行可能な命令として実装される場合がある。命令の例としては、ソフトウェア、プログラムコード、ファームウェアなどがある。命令は、要素の機能を実行するようプロセッサに指示するためにプロセッサによって実行されるときに動作する。命令は、プロセッサによって読み取り可能な記憶装置に記憶される場合がある。記憶装置の例としては、デジタルメモリやソリッドステートメモリ、磁気ディスクや磁気テープなどの磁気記憶媒体、ハードドライブ、光学的に読み取り可能なデジタルデータ記憶媒体などがある。本明細書で使用される「回路」という用語は、次の１つまたは複数またはすべてを指す場合がある。
（ａ）ハードウェアのみの回路実装（アナログおよび／またはデジタル回路のみの実装など）
（ｂ）ハードウェア回路およびソフトウェアの組み合わせであって（該当する場合）、
（ｉ）アナログおよび／またはデジタルハードウェア回路とソフトウェア／ファームウェアの組み合わせ
（ｉｉ）ハードウェアプロセッサの一部であって、ソフトウェア（デジタル信号プロセッサを含む）、ソフトウェア、およびメモリが連携して、携帯電話やサーバなどの装置にさまざまな機能を実行させる）
（ｃ）動作にソフトウェア（例えば、ファームウェア）を必要とするが、動作に必要でない場合はソフトウェアが存在しないことがあるハードウェア回路およびプロセッサ。
（ａ）ハードウェアのみの回路実装（アナログおよび／またはデジタル回路のみの実装など）
（ｂ）ハードウェア回路およびソフトウェアの組み合わせであって（該当する場合）、
（ｉ）アナログおよび／またはデジタルハードウェア回路とソフトウェア／ファームウェアの組み合わせ
（ｉｉ）ハードウェアプロセッサの一部であって、ソフトウェア（デジタル信号プロセッサを含む）、ソフトウェア、およびメモリが連携して、携帯電話やサーバなどの装置にさまざまな機能を実行させる）
（ｃ）動作にソフトウェア（例えば、ファームウェア）を必要とするが、動作に必要でない場合はソフトウェアが存在しないことがあるハードウェア回路およびプロセッサ。
【0075】
この回路の定義は、あらゆる請求の範囲を含む、本明細書におけるこの用語のすべての使用に適用される。さらなる例として、本明細書で使用されるように、回路という用語は、単にハードウェア回路またはプロセッサ（または複数のプロセッサ）、またはハードウェア回路またはプロセッサの一部と、それ（またはそれら）に付随するソフトウェアおよび/またはファームウェアの実装も対象とする。回路という用語は、例えば、特定の請求項の要素に該当する場合、モバイルデバイス用のベースバンド集積回路またはプロセッサ集積回路、またはサーバ、セルラーネットワークデバイス、またはその他のコンピューティングまたはネットワークデバイス内の同様の集積回路も対象とする。
【0076】
ここでは特定の実施形態について説明したが、開示の範囲はそれらの特定の実施形態に限定されない。開示の範囲は、以下の請求項およびそれに相当するものによって定義される。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
