特許 7546778 加入者識別子の漏洩を防止するための方法、システム、およびコンピュータ可読媒体

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-08-29

(45)【発行日】2024-09-06

(54)【発明の名称】加入者識別子の漏洩を防止するための方法、システム、およびコンピュータ可読媒体

(51)【国際特許分類】

   H04W 12/02 20090101AFI20240830BHJP

   H04W 12/06 20210101ALI20240830BHJP

   H04W 12/72 20210101ALI20240830BHJP

   H04W 12/75 20210101ALI20240830BHJP

   H04W 92/24 20090101ALI20240830BHJP

【ＦＩ】

H04W12/02

H04W12/06

H04W12/72

H04W12/75

H04W92/24

【請求項の数】 20

(21)【出願番号】P 2023541627

(86)(22)【出願日】2021-12-17

(65)【公表番号】

(43)【公表日】2024-01-22

(86)【国際出願番号】 US2021064102

(87)【国際公開番号】W WO2022150176

(87)【国際公開日】2022-07-14

【審査請求日】2023-09-21

(31)【優先権主張番号】17/145,143

(32)【優先日】2021-01-08

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】502303739

【氏名又は名称】オラクル・インターナショナル・コーポレイション

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】ラジプット，ジャイ

(72)【発明者】

【氏名】マハランク，シャシキラン・バラチャンドラ

(72)【発明者】

【氏名】ワドワ，プラティーク

(72)【発明者】

【氏名】グランディ，ベンカタ・スリバツァ

【審査官】本橋 史帆

(56)【参考文献】

【文献】米国特許出願公開第２０１９／０２６０８０３（ＵＳ，Ａ１）

【文献】米国特許出願公開第２０２０／００３６７５４（ＵＳ，Ａ１）

【文献】米国特許第１０８３４５７１（ＵＳ，Ｂ１）

【文献】Nokia，Adding normative text on SEPP to the security architecture section[online]，3GPP TSG SA WG3 #90Bis S3-180675，Internet<URL:https://www.3gpp.org/ftp/tsg_sa/WG3_Security/TSGS3_90Bis_SanDiego/Docs/S3-180675.zip>，2018年02月19日

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｂ ７／２４－ ７／２６

Ｈ０４Ｗ ４／００－９９／００

３ＧＰＰ ＴＳＧ ＲＡＮ ＷＧ１－４

ＳＡ ＷＧ１－４

ＣＴ ＷＧ１、４

(57)【特許請求の範囲】

【請求項1】

電気通信ネットワークから加入者識別子の漏洩を防止する方法であって、前記方法は、
セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）が、訪問者ネットワークの加入者を認証するための認証応答メッセージを受信することを含み、前記認証応答メッセージは、ホームネットワーク内で前記加入者を識別するために使用されているホーム加入者識別子を含み、前記方法は、
前記ＳＥＰＰが、前記認証応答メッセージ内の前記ホーム加入者識別子を訪問者加入者識別子に置換することと、
前記ＳＥＰＰが、前記訪問者加入者識別子を含む認証応答メッセージを訪問者ネットワークに転送することとを含む、方法。

【請求項2】

前記方法は、前記訪問者ネットワークから、要求メッセージを受信することを含み、前記要求メッセージは、前記訪問者加入者識別子を含み、
前記方法は、
前記要求メッセージ内の前記訪問者加入者識別子を前記ホーム加入者識別子に置換することと、
前記ホーム加入者識別子を含む前記要求メッセージを前記ホームネットワーク内の宛先ノードに転送することとを含む、請求項１に記載の方法。

【請求項3】

前記方法は、前記ホームネットワーク内の前記宛先ノードから、応答メッセージを受信することを含み、前記応答メッセージは、前記ホーム加入者識別子を含み、
前記方法は、
前記応答メッセージ内の前記ホーム加入者識別子を前記訪問者加入者識別子に置換することと、
前記訪問者加入者識別子を含む前記応答メッセージを前記訪問者ネットワークに転送することとを含む、請求項２に記載の方法。

【請求項4】

加入者識別子のマッピングにおいて、前記訪問者加入者識別子と前記ホーム加入者識別子との間の関連付けを作成することを含む、請求項１～３のいずれか一項に記載の方法。

【請求項5】

前記加入者識別子のマッピングにアクセスすることと、
前記ホーム加入者識別子を見つけるために、前記マッピングにおいて前記訪問者加入者識別子を検索することと、
要求メッセージ内の前記訪問者加入者識別子を前記ホーム加入者識別子に置換することとによって、
前記訪問者ネットワークからの前記訪問者加入者識別子を含む当該要求メッセージを転送することを含む、請求項４に記載の方法。

【請求項6】

前記加入者識別子のマッピングにアクセスすることと、
前記訪問者加入者識別子を見つけるために、前記マッピングにおいて前記ホーム加入者識別子を検索することと、
応答メッセージ内の前記ホーム加入者識別子を前記訪問者加入者識別子に置換することとによって、
前記ホームネットワーク内のノードからの前記訪問者加入者識別子を含む当該応答メッセージを転送することを含む、請求項４に記載の方法。

【請求項7】

前記ホームネットワークは、５Ｇネットワークであり、
前記ホーム加入者識別子は、加入者永続識別子（ＳＵＰＩ）である、請求項１～６のいずれか一項に記載の方法。

【請求項8】

前記訪問者加入者識別子を含む前記認証応答メッセージを前記訪問者ネットワークに転送することは、前記認証応答メッセージを前記訪問者ネットワークの訪問者ＳＥＰＰに転送することを含む、請求項７に記載の方法。

【請求項9】

前記認証応答メッセージを受信することは、認証サービス機能（ＡＵＳＦ）を介して、統合データ管理（ＵＤＭ）ノードから前記認証応答メッセージを受信することを含む、請求項７または請求項８に記載の方法。

【請求項10】

前記認証応答メッセージは、前記加入者が前記訪問者ネットワーク上でローミングすることを許可する、請求項７から９のいずれか一項に記載の方法。

【請求項11】

電気通信ネットワークから加入者識別子の漏洩を防止するためのシステムであって、前記システムは、
少なくとも１つのプロセッサおよびメモリを含むセキュリティエッジプロテクションプロキシ（ＳＥＰＰ）と、
前記少なくとも１つのプロセッサによって実装され、以下のように構成された加入者識別子置換器とを備え、
前記加入者識別子置換器は、
訪問者ネットワークの加入者を認証するための認証応答メッセージを受信するように構成され、前記認証応答メッセージは、ホームネットワーク内で前記加入者を識別するために使用されているホーム加入者識別子を含み、
前記加入者識別子置換器は、
前記認証応答メッセージ内の前記ホーム加入者識別子を訪問者加入者識別子に置換し、
前記訪問者加入者識別子を含む認証応答メッセージを訪問者ネットワークに転送するように構成されている、システム。

【請求項12】

前記加入者識別子置換器は、
前記訪問者ネットワークから、要求メッセージを受信するように構成され、前記要求メッセージは、前記訪問者加入者識別子を含み、
前記加入者識別子置換器は、
前記要求メッセージ内の前記訪問者加入者識別子を前記ホーム加入者識別子に置換し、
前記ホーム加入者識別子を含む前記要求メッセージを前記ホームネットワーク内の宛先ノードに転送するように構成されている、請求項１１に記載のシステム。

【請求項13】

前記加入者識別子置換器は、
前記ホームネットワーク内の前記宛先ノードから、応答メッセージを受信するように構成され、前記応答メッセージは、前記ホーム加入者識別子を含み、
前記加入者識別子置換器は、
前記応答メッセージ内の前記ホーム加入者識別子を前記訪問者加入者識別子に置換し、
前記訪問者加入者識別子を含む前記応答メッセージを前記訪問者ネットワークに転送するように構成されている、請求項１２に記載のシステム。

【請求項14】

前記加入者識別子置換器は、加入者識別子のマッピングにおいて、前記訪問者加入者識別子と前記ホーム加入者識別子との間の関連付けを作成するように構成されている、請求項１１から１３のいずれか一項に記載のシステム。

【請求項15】

前記加入者識別子置換器は、
前記加入者識別子のマッピングにアクセスすることと、
前記ホーム加入者識別子を見つけるために、前記マッピングにおいて前記訪問者加入者識別子を検索することと、
要求メッセージ内の前記訪問者加入者識別子を前記ホーム加入者識別子に置換することとによって、
前記訪問者ネットワークからの前記訪問者加入者識別子を含む当該要求メッセージを転送するように構成されている、請求項１４に記載のシステム。

【請求項16】

前記加入者識別子置換器は、
前記加入者識別子のマッピングにアクセスすることと、
前記訪問者加入者識別子を見つけるために、前記マッピングにおいて前記ホーム加入者識別子を検索することと、
応答メッセージ内の前記ホーム加入者識別子を前記訪問者加入者識別子に置換することによって、
前記ホームネットワーク内のノードからの前記訪問者加入者識別子を含む当該応答メッセージを転送するように構成されている、請求項１４に記載のシステム。

【請求項17】

前記ホームネットワークは、５Ｇネットワークであり、
前記ホーム加入者識別子は、加入者永続識別子（ＳＵＰＩ）である、請求項１１から１６のいずれか一項に記載のシステム。

【請求項18】

前記訪問者加入者識別子を含む前記認証応答メッセージを前記訪問者ネットワークに転送することは、前記認証応答メッセージを前記訪問者ネットワークの訪問者ＳＥＰＰに転送することを含む、請求項１７に記載のシステム。

【請求項19】

前記認証応答メッセージを受信することは、認証サービス機能（ＡＵＳＦ）を介して、統合データ管理（ＵＤＭ）ノードから前記認証応答メッセージを受信することを含む、請求項１７または請求項１８に記載のシステム。

【請求項20】

請求項１～１０のいずれかに記載の方法をプロセッサに実行させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

優先権主張
本願は、２０２１年１月８日に提出された米国特許出願第１７／１４５１４３号の優先権利益を主張する。その開示の全体は、参照により本明細書に組み込まれる。

【0002】

技術分野
本明細書に記載された主題は、加入者識別子の漏洩を防止することに関する。より具体的には、本明細書に記載された主題は、５Ｇ電気通信ネットワークにおいて加入者識別子の漏洩を防止するための方法、システム、およびコンピュータ可読媒体に関する。

【背景技術】

【0003】

背景
第３世代パートナーシッププロジェクト（３ＧＰＰ（登録商標））は、電気通信標準化団体のグループ間の共同作業である。３ＧＰＰは、３Ｇネットワーク、４Ｇネットワーク、およびロングタームエボリューション（ＬＴＥ）ネットワークを含む電気通信ネットワークの携帯電話システムの仕様を定義する。

【0004】

３ＧＰＰの次世代ネットワークは、５Ｇネットワークである。５Ｇの仕様は、データレートの向上、遅延の低減、エネルギーの節約、コストの削減、システム容量の拡大、および接続装置数の増加を目標としている。

【0005】

５Ｇシステムアーキテクチャは、公衆陸上移動ネットワーク（ＰＬＭＮ）の周囲に配置されるエンティティとして、セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）を導入する。ＳＥＰＰは、異なるネットワーク間のインターフェイスを介して送信されるメッセージを保護することができる。ＳＥＰＰは、以下のようなノード、すなわち、Ｎ３２インターフェイスでネットワーク機能から全てのサービスレイヤメッセージを受信し、ネットワークから送信する前にこれらのサービス層メッセージを保護すると共に、Ｎ３２インターフェイスで全てのメッセージを受信し、（セキュリティが存在する場合）セキュリティを検証した後これらのメッセージを適切なネットワーク機能に転送するノードとして構成することができる。

【0006】

ＳＥＰＰは、２つの異なるＰＬＭＮに跨る２つのＮＦ間で交換された全てのサービス層情報に対してアプリケーション層セキュリティを実装する。

【0007】

５Ｇシステムアーキテクチャは、加入者の加入者永続識別子（ＳＵＰＩ：subscriber permanent identifier）を含む。ＳＵＰＩは、５Ｇシステムの各加入者に割り当てられた全体的に一意な識別子である。５Ｇは、ＳＵＰＩを秘密に維持し、ユーザ機器（ＵＥ：user equipment）およびネットワークのみに識別されるようにするために、加入隠蔽識別子（ＳＵＣＩ：subscription concealed identifier）のような概念を導入している。

【発明の概要】

【発明が解決しようとする課題】

【0008】

ローミングシナリオ中に、５Ｇサービスベースのインターフェイス（ＳＢＩ）サービスにアクセスするために、ＳＵＰＩを訪問者ネットワーク（visitor network）と共有する必要がある。しかしながら、ＳＵＰＩを訪問者ネットワークと共有すると、ＳＵＰＩが漏洩する可能性がある。訪問者ネットワークのセキュリティが侵入され易いため、ＳＵＰＩは、訪問者ネットワークから漏洩する可能性がある。例えば、訪問者アクセスおよびモビリティ管理機能（ＡＭＦ）は、侵入され易く、データを漏洩する可能性がある。訪問者ネットワークから漏洩したデータは、数日から数カ月の間に公開されない可能性があるが、漏洩したＳＵＰＩは、漏洩が分かった時点で、既にダークウェブで売られている可能性がある。

【0009】

これらの問題および他の問題に照らして、加入者識別子の漏洩を防止するための方法、システム、およびコンピュータ可読媒体が必要とされている。

【課題を解決するための手段】

【0010】

概要
電気通信ネットワークから加入者識別子の漏洩を防止するための方法は、セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）が、訪問者ネットワークの加入者を認証するための認証応答メッセージを受信することを含み、認証応答メッセージは、ホームネットワーク内で加入者を識別するために使用されているホーム加入者識別子を含む。方法は、ＳＥＰＰが、認証応答メッセージ内のホーム加入者識別子を訪問者加入者識別子に置換することをさらに含む。方法は、ＳＥＰＰが、訪問者加入者識別子を含む認証応答メッセージを訪問者ネットワークに転送することをさらに含む。

【0011】

本明細書に記載された主題の別の態様によれば、方法は、訪問者ネットワークから、要求メッセージを受信することを含み、要求メッセージは、訪問者加入者識別子を含み、当該方法は、要求メッセージ内の訪問者加入者識別子をホーム加入者識別子に置換することと、ホーム加入者識別子を含む要求メッセージをホームネットワーク内の宛先ノードに転送することとを含む。

【0012】

本明細書に記載された主題の別の態様によれば、方法は、ホームネットワーク内の宛先ノードから、応答メッセージを受信することを含み、応答メッセージは、ホーム加入者識別子を含み、当該方法は、応答メッセージ内のホーム加入者識別子を訪問者加入者識別子に置換することと、訪問者加入者識別子を含む応答メッセージを訪問者ネットワークに転送することとを含む。

【0013】

本明細書に記載の主題の別の態様によれば、方法は、加入者識別子マッピングにおいて、訪問者加入者識別子とホーム加入者識別子との間の関連付けを作成することを含む。

【0014】

本明細書に記載の主題の別の態様によれば、方法は、加入者識別子マッピングにアクセスし、マッピングにおいて訪問者加入者識別子を検索することによってホーム加入者識別子を見つけ、要求メッセージ 内の訪問者加入者識別子をホーム加入者識別子に置換することによって、訪問者ネットワークからの訪問者加入者識別子を含む要求メッセージを転送することを含む。

【0015】

本明細書に記載された主題の別の態様によれば、方法は、加入者識別子マッピングにアクセスし、マッピングにおいてホーム加入者識別子を検索することによって訪問者加入者識別子を見つけ、応答メッセージ 内のホーム加入者識別子を訪問者加入者識別子に置換することによって、ホームネットワーク内のノードからの訪問者加入者識別子を含む応答メッセージを転送することを含む。

【0016】

本明細書に記載の主題の別の態様によれば、ホームネットワークは、５Ｇネットワークであり、ホーム加入者識別子は、加入者永続識別子（ＳＵＰＩ）である。

【0017】

本明細書に記載の主題の別の態様によれば、訪問者加入者識別子と共に認証応答メッセージを訪問者ネットワークに転送することは、認証応答メッセージを訪問者ネットワークの訪問者ＳＥＰＰに転送することを含む。

【0018】

本明細書に記載された主題の別の態様によれば、認証応答メッセージを受信することは、認証サービス機能（ＡＵＳＦ：authentication service function）を介して、統合データ管理（ＵＤＭ：unified data management）ノードから認証応答メッセージを受信することを含む。

【0019】

本明細書に記載された主題の別の態様によれば、認証応答メッセージは、加入者が訪問者ネットワーク上でローミングすることを許可する。

【0020】

本明細書に記載された主題の別の態様によれば、電気通信ネットワークから加入者識別子の漏洩を防止するためのシステムは、少なくとも１つのプロセッサとメモリとを含むセキュリティエッジプロテクションプロキシ（ＳＥＰＰ）を含む。システムは、少なくとも１つのプロセッサによって実装され、訪問者ネットワークの加入者を認証するための認証応答メッセージを受信するように構成された加入者識別子置換器をさらに含み、認証応答メッセージは、ホームネットワーク内で加入者を識別するために使用されているホーム加入者識別子を含む。加入者識別子置換器は、認証応答メッセージ内のホーム加入者識別子を訪問者加入者識別子に置換し、訪問者加入者識別子を含む認証応答メッセージを訪問者ネットワークに転送するように構成されている。

【0021】

本明細書に記載の主題の別の態様によれば、加入者識別子置換器は、訪問者ネットワークから、要求メッセージを受信するように構成され、要求メッセージは、訪問者加入者識別子を含む。加入者識別子置換器は、要求メッセージ内の訪問者加入者識別子をホーム加入者識別子に置換し、ホーム加入者識別子を含む要求メッセージをホームネットワーク内の宛先ノードに転送するように構成されている。

【0022】

本明細書に記載の主題の別の態様によれば、加入者識別子置換器は、ホームネットワーク内の宛先ノードから、応答メッセージを受信するように構成され、応答メッセージは、ホーム加入者識別子を含む。加入者識別子置換器は、応答メッセージ内のホーム加入者識別子を訪問者加入者識別子に置換し、訪問者加入者識別子を含む応答メッセージを訪問者ネットワークに転送するように構成されている。

【0023】

本明細書に記載の主題の別の態様によれば、加入者識別子置換器は、加入者識別子マッピングにおいて、訪問者加入者識別子とホーム加入者識別子との間の関連付けを作成するように構成されている。

【0024】

本明細書に記載された主題の別の態様によれば、加入者識別子置換器は、加入者識別子マッピングにアクセスし、マッピングにおいて訪問者加入者識別子を検索することによってホーム加入者識別子を見つけ、要求メッセージ内の訪問者加入者識別子をホーム加入者識別子に置換することによって、訪問者ネットワークからの訪問者加入者識別子を含む要求メッセージを転送するように構成されている。

【0025】

本明細書に記載された主題の別の態様によれば、加入者識別子置換器は、加入者識別子マッピングにアクセスし、マッピングにおいてホーム加入者識別子を検索することによって訪問者加入者識別子を見つけ、応答メッセージ内のホーム加入者識別子を訪問者加入者識別子に置換することによって、ホームネットワーク内のノードからの訪問者加入者識別子を含む応答メッセージを転送するように構成されている。

【0026】

本明細書に記載の主題の別の態様によれば、ホームネットワークは、５Ｇネットワークであり、ホーム加入者識別子は、加入者永続識別子（ＳＵＰＩ）である。

【0027】

本明細書に記載の主題の別の態様によれば、訪問者加入者識別子と共に認証応答メッセージを訪問者ネットワークに転送することは、認証応答メッセージを訪問者ネットワークの訪問者ＳＥＰＰに転送することを含む。

【0028】

本明細書に記載された主題の別の態様によれば、認証応答メッセージを受信することは、認証サービス機能（ＡＵＳＦ）を介して、統合データ管理（ＵＤＭ）ノードから認証応答メッセージを受信することを含む。

【0029】

本明細書に記載された主題の別の態様によれば、認証応答メッセージは、加入者が訪問者ネットワーク上でローミングすることを許可する。

【0030】

本明細書に記載の主題の別の態様によれば、コンピュータのプロセッサによって実行されると、複数のステップを実行するようにコンピュータを制御する実行可能な命令を記憶する非一時的なコンピュータ可読媒体が提供される。当該複数のステップは、セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）が、訪問者ネットワークの加入者を認証するための認証応答メッセージを受信することを含み、認証応答メッセージは、ホームネットワーク内で加入者を識別するために使用されているホーム加入者識別子を含む。当該複数のステップは、ＳＥＰＰが、認証応答メッセージ内のホーム加入者識別子を訪問者加入者識別子に置換することと、ＳＥＰＰが、訪問者加入者識別子を含む認証応答メッセージを訪問者ネットワークに転送することとを含む。

【0031】

本明細書に記載された主題は、ソフトウェアとハードウェアおよび／またはファームウェアとの組み合わせで実装されてもよい。例えば、本明細書に記載された主題は、プロセッサによって実行されるソフトウェアで実装されてもよい。１つの例示的な実装形態において、本明細書に記載された主題は、コンピュータのプロセッサによって実行されると複数のステップを実行するようにコンピュータを制御するコンピュータ実行可能な命令を記憶するコンピュータ可読媒体を用いて実装されてもよい。

【0032】

本明細書に記載された主題を実装するのに適した例示的なコンピュータ可読媒体は、ディスクメモリ装置、チップメモリ装置、プログラマブル論理装置、および特定用途向け集積回路などの非一時的な装置を含む。さらに、本明細書に記載された主題を実装するコンピュータ可読媒体は、１つの装置またはコンピューティングプラットフォーム上に配置されてもよく、複数の装置またはコンピューティングプラットフォームに分散されてもよい。

【0033】

添付の図面を参照して、本明細書に記載された主題を説明する。

【図面の簡単な説明】

【0034】

【図1】例示的な５Ｇシステムネットワークアーキテクチャを示すブロック図である。

【図2】例示的なＳＥＰＰを示すブロック図である。

【図3】ローミングシナリオ中に訪問者ネットワークからのＵＥを認証するために交換されたメッセージを示すメッセージ流れ図である。

【図4】ローミングシナリオ中に訪問者ネットワークからのＵＥの追加のサービスを保護するために交換されたメッセージを示すメッセージ流れ図である。

【図5】電気通信ネットワークから加入者識別子の漏洩を防止するための例示的な方法を示す流れ図である。

【発明を実施するための形態】

【0035】

詳細な説明
本明細書に記載された主題は、電気通信ネットワークから加入者識別子の漏洩を防止するための方法、システム、およびコンピュータ可読媒体に関する。

【0036】

５Ｇ電気通信ネットワークにおいて、サービスを提供するネットワークノードは、プロデューサ（producer）ネットワーク機能（ＮＦ）と呼ばれている。サービスを消費するネットワークノードは、コンシューマ（consumer）ＮＦと呼ばれている。ネットワーク機能は、それがサービスを消費しているかまたは提供しているかに応じて、プロデューサＮＦおよびコンシューマＮＦの両方であり得る。

【0037】

特定のプロデューサＮＦは、多くのサービスエンドポイントを有することができる。サービスエンドポイントは、プロデューサＮＦによってホストされている１つ以上のＮＦインスタンスの接点である。サービスエンドポイントは、インターネットプロトコル（ＩＰ）アドレスおよびポート番号の組み合わせ、またはプロデューサＮＦをホストするネットワークノードのＩＰアドレスおよびポート番号に分解した完全修飾ドメイン名によって識別されている。ＮＦインスタンスは、サービスを提供するプロデューサＮＦのインスタンスである。特定のプロデューサＮＦは、複数のＮＦインスタンスを含み得る。なお、複数のＮＦインスタンスは、同じサービスエンドポイントを共有することもできる。

【0038】

プロデューサＮＦは、ネットワーク機能リポジトリ機能（ＮＲＦ）に登録する。ＮＲＦは、各ＮＦインスタンスによってサポートされているサービスを識別するための利用可能なＮＦインスタンスのサービスプロファイルを保持する。コンシューマＮＦは、ＮＲＦに登録したプロデューサＮＦインスタンスに関する情報を受信するように加入することができる。

【0039】

コンシューマＮＦに加えて、ＮＦサービスインスタンスに関する情報を受信するように加入することができる別のタイプのネットワークノードは、サービス通信プロキシ（ＳＣＰ）である。ＳＣＰは、ＮＲＦに加入し、プロデューサＮＦサービスインスタンスに関する到達可能性およびサービスプロファイル情報を取得する。コンシューマＮＦは、サービス通信プロキシに接続し、サービス通信プロキシは、必要なサービスを提供するプロデューサＮＦサービスインスタンスの間でトラフィックを負荷分散するか、またはトラフィックを宛先のプロデューサＮＦインスタンスに直接にルーティングする。

【0040】

ＳＣＰに加えて、プロデューサＮＦとコンシューマＮＦとの間でトラフィックをルーティングする一組の中間プロキシノードまたはネットワークノードの他の例は、セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）、サービスゲートウェイ、および５Ｇサービスメッシュのノードを含む。ＳＥＰＰは、異なる５Ｇ公衆陸上移動体ネットワーク（ＰＬＭＮ）の間に交換される制御プレーントラフィックを保護するために使用されているネットワークノードである。したがって、ＳＥＰＰは、全てのアプリケーションプログラミングインターフェイス（ＡＰＩ）メッセージに対して、メッセージフィルタリング、ポリシング、およびトポロジ隠蔽を実行する。

【0041】

５Ｇシステムアーキテクチャは、加入者の加入者永続識別子（ＳＵＰＩ）を含む。ＳＵＰＩは、５Ｇシステムの各加入者に割り当てられたグローバルに一意な識別子である。５Ｇは、ＳＵＰＩを秘密に維持し、ユーザ機器（ＵＥ）およびネットワークのみに識別されるようにするために、加入隠蔽識別子（ＳＵＣＩ）のような概念を導入している。

【0042】

ローミングシナリオ中に、５Ｇサービスベースのインターフェイス（ＳＢＩ）サービスにアクセスするために、ＳＵＰＩを訪問者ネットワーク（visitor network）と共有する必要がある。ローミングとは、携帯電話加入者がホームネットワークの地理的なサービスエリアの外部に移動しているときに、訪問者ネットワークを利用して、音声通話を自動的に発信および受信し、データを送信および受信し、ホームデータサービスを含む他のサービスにアクセスする能力を意味する。例えば、加入者が携帯電話会社の送信範囲を越えて移動する場合、加入者の携帯電話は、利用可能な別の電話会社のサービスに自動的にホップする。

【0043】

「ホームネットワーク」とは、加入者が登録しているネットワークを指す。「訪問者ネットワーク」は、加入者が一時的にローミングし、「ホームネットワーク」の範囲外にあるネットワークを指す。

【0044】

しかしながら、ＳＵＰＩを訪問者ネットワークと共有すると、ＳＵＰＩが漏洩する可能性がある。訪問者ネットワークのセキュリティが侵入され易いため、ＳＵＰＩは、訪問者ネットワークから漏洩する可能性がある。例えば、訪問者アクセスおよびモビリティ管理機能（ＡＭＦ）は、侵入され易く、データを漏洩する可能性がある。訪問者ネットワークから漏洩したデータは、数日から数カ月の間に公開されない可能性があるが、漏洩したＳＵＰＩは、漏洩が分かった時点で、既にダークウェブで売られている可能性がある。

【0045】

第３世代パートナーシッププロジェクト（３ＧＰＰ（登録商標））技術仕様３３．５０１は、５Ｇ認証プロシージャおよび他のセキュリティプロシージャを定義する。セキュリティアンカ機能（ＳＥＡＦ：security anchor function）は、ＳＥＡＦのポリシに従って、ＵＥとのシグナリング接続を確立する任意のプロシージャ中にＵＥとの認証を開始することができる。

【0046】

ＵＥは、登録要求中のＳＵＣＩまたは５Ｇ－ＧＵＴＩを使用することができる。ＳＥＡＦは、認証を開始したいときに、Ｎａｕｓｆ_ＵＥ認証_確認要求メッセージをＡＵＳＦに送信することによって、Ｎａｕｓｆ_ＵＥ認証サービスを呼び出す。ＳＥＡＦは、有効な５Ｇ－ＧＵＴＩを持ち、ＵＥを再認証する場合、ＳＵＰＩをＮａｕｓｆ_ＵＥ認証_確認要求メッセージに入れる。そうでない場合、ＳＵＣＩをＮａｕｓｆ_ＵＥ認証_確認要求に入れる。

【0047】

Ｎａｕｓｆ_ＵＥ認証_確認要求メッセージを受信すると、ＡＵＳＦは、サービングネットワーク名を期待されるサービングネットワーク名と比較することによって、サービングネットワークにおいて要求しているＳＥＡＦがＮａｕｓｆ_ＵＥ認証_確認要求内のサービングネットワーク名を使用する権利があることを確認する。ＡＵＳＦは、受信したサービングネットワーク名を一時的に記憶する。サービングネットワークがサービングネットワーク名を使用することを許可されていない場合、ＡＵＳＦは、Ｎａｕｓｆ_ＵＥ認証_確認応答において「サービングネットワークが許可されていない」で応答する。

【0048】

５Ｇ ＡＫＡは、訪問先ネットワークからのＵＥの認証成功の証明をホームネットワークに提供することによって、認証プロシージャを強化する。この証明は、認証確認メッセージに含めて、訪問先ネットワークによって送信される。５Ｇ ＡＫＡの認証プロシージャは、３ＧＰＰ ＴＳ３３．５０１に記載されているように機能する。ＳＵＰＩは、Ｎａｕｓｆ_ＵＥ認証応答に含めて返される。次いで、訪問者ＰＬＭＮ ＮＦコンシューマは、ＳＢＩサービスアクセス要求において、同じＳＵＰＩを異なるメッセージに使用する。

【0049】

表１は、訪問者ＰＬＭＮからホームＰＬＭＮへのＰＬＭＮ間メッセージを示す。

【0050】

【表1】

【0051】

３ＧＰＰ ＴＳ３３．５０１に記載されているように、認証プロシージャにおいてホームＳＵＰＩを提供する代わりに、ＳＥＰＰは、認証応答中の擬似ＳＵＰＩ（または訪問者ＳＵＰＩ）を返すことができる。訪問者ＳＵＰＩは、訪問者ネットワークによって、サービスアクセス要求の異なるメッセージに使用されてもよい。

【0052】

この解決策は、いくつかの利点、すなわち、
・ＳＵＰＩの漏洩を防止し、さらなる攻撃を回避すること、
・ＳＥＰＰでの実装が容易であること、および、
・複数のインターフェイス（ｎｕｄｍ－ｓｄｍ、ｎｕｄｍ－ｕｅｃｍ、ｎｐｃｆ－ｕｅポリシ、ｎｓｍｆ－ｐｄｕセッション）に適用可能であること、
のうち、１つ以上を提供することができる。

【0053】

図１は、例示的な５Ｇシステムネットワークアーキテクチャを示すブロック図である。図１のアーキテクチャは、同じホーム公衆陸上移動ネットワーク（ＨＰＬＭＮ）に配置され得るＮＲＦ１００とＳＣＰ１０１とを含む。ＮＲＦ１００は、利用可能なプロデューサＮＦサービスインスタンスおよびサポートされているサービスのプロファイルを保持し、コンシューマＮＦまたはＳＣＰが新しい／更新されたプロデューサＮＦサービスインスタンスの登録に加入し、その登録を通知されることを可能にすることができる。

【0054】

また、ＳＣＰ１０１は、プロデューサＮＦインスタンスのサービス発見および選択をサポートすることができる。ＳＣＰ１０１は、コンシューマＮＦとプロデューサＮＦとの間の接続の負荷分散を実行することができる。さらに、ＳＣＰ１０１は、本明細書に記載された方法を用いて、好ましいＮＦ場所に基づいた選択およびルーティングを行うことができる。

【0055】

ＮＲＦ１００は、プロデューサＮＦインスタンスのＮＦまたはサービスプロファイルのリポジトリである。コンシューマＮＦまたはＳＣＰは、プロデューサＮＦインスタンスと通信するために、ＮＲＦ１００から、ＮＦもしくはサービスプロファイルまたはプロデューサＮＦインスタンスを取得しなければならない。ＮＦまたはサービスプロファイルは、３ＧＰＰ（登録商標）技術仕様書（ＴＳ）２９．５１０に定義されているJavaScript（登録商標）オブジェクト表記法（ＪＳＯＮ）データ構造である。

【0056】

図１において、（ＮＲＦ１００以外の）任意のノードは、サービスを要求しているかまたは提供しているかに応じて、コンシューマＮＦまたはプロデューサＮＦのいずれかであってもよい。図示の例において、ノードは、ネットワークにおいてポリシーに関連する動作を実行するポリシー制御機能（ＰＣＦ）１０２と、ユーザデータを管理するユーザデータ管理（ＵＤＭ）機能１０４と、アプリケーションサービスを提供するアプリケーション機能（ＡＦ）１０６とを含む。

【0057】

図１に示されたノードは、アクセスおよびモビリティ管理機能（ＡＭＦ）１１０とＰＣＦ１０２との間のセッションを管理するセッション管理機能（ＳＭＦ）１０８をさらに含む。ＡＭＦ１１０は、モビリティ管理エンティティ（ＭＭＥ）が４Ｇネットワークにおいて実行している動作と同様のモビリティ管理動作を実行する。認証サーバ機能（ＡＵＳＦ）１１２は、ネットワークへのアクセスを求めるユーザ機器（ＵＥ）１１４などのユーザ機器の認証サービスを実行する。

【0058】

ネットワークスライス選択機能（ＮＳＳＦ）１１６は、ネットワークスライスに関連する特定のネットワーク能力および特性にアクセスしようとする装置に、ネットワークスライスサービスを提供する。ネットワーク露出機能（ＮＥＦ）１１８は、ネットワークに接続されたＩｏＴ（Internet of things）装置および他のＵＥに関する情報を取得しようとするアプリケーション機能に対して、アプリケーションプログラミングインターフェイス（ＡＰＩ）を提供する。ＮＥＦ１１８は、４Ｇネットワークのサービス能力露出機能（ＳＣＥＦ）と同様の機能を実行する。

【0059】

無線アクセスネットワーク（ＲＡＮ）１２０は、無線リンクを介して、ユーザ機器（ＵＥ）１１４をネットワークに接続する。g-Node B（ｇＮＢ）（図１に図示せず）または他の無線アクセスポイントを用いて、無線アクセスネットワーク１２０にアクセスすることができる。ユーザプレーン機能（ＵＰＦ）１２２は、ユーザプレーンサービスの様々なプロキシ機能をサポートすることができる。このようなプロキシ機能の一例は、マルチパス伝送制御プロトコル（ＭＰＴＣＰ）プロキシ機能である。

【0060】

また、ＵＰＦ１２２は、性能測定機能をサポートすることができる。ＵＥ１１４は、性能測定機能を用いて、ネットワーク性能測定値を取得することができる。また、図１は、データネットワーク（ＤＮ）１２４を示しており、ＵＥは、ＤＮ１２４を介して、インターネットサービスなどのデータネットワークサービスを利用する。

【0061】

ＳＥＰＰ１２６は、別のＰＬＭＮから着信するトラフィックをフィルタリングし、ホームＰＬＭＮから発信するトラフィックのトポロジ隠蔽を実行する。ＳＥＰＰ１２６は、外部ＰＬＭＮに配置され、外部ＰＬＭＮのセキュリティを管理するためのＳＥＰＰと通信することができる。したがって、異なるＰＬＭＮに配置されたＮＦ間のトラフィックは、ホームＰＬＭＮ用および外部ＰＬＭＮ用の２つのＳＥＰＰ機能をトラバースすることができる。

【0062】

ＳＥＰＰ１２６は、訪問者ネットワークの加入者を認証するための認証応答メッセージを受信するように構成されている。認証応答メッセージは、ホームネットワーク内で加入者を識別するために使用されているホーム加入者識別子を含む。また、ＳＥＰＰ１２６は、認証応答メッセージ内のホーム加入者識別子を訪問者加入者識別子に置換するように構成されてもよい。さらに、ＳＥＰＰ１２６は、訪問者加入者識別子を含む認証応答メッセージを訪問者ネットワークに転送するように構成されてもよい。

【0063】

図２は、例示的なＳＥＰＰ１２６を示すブロック図である。ＳＥＰ１２６は、少なくとも１つのプロセッサ２０２と、メモリ２０４とを含む。ＳＥＰＰ１２６は、少なくとも１つのプロセッサ２０２によって実行される加入者識別子置換器２０６を含む。

【0064】

加入者識別子置換器２０６は、識別子生成器２０８と、識別子マッピング器２１０とを含む。識別子生成器２０８は、訪問者ネットワークに提供するための訪問者ＳＵＰＩを生成するように構成されている。例えば、識別子生成器２０８は、固有の加入者識別子を生成する任意の適切な方法を用いて、ホームネットワーク上で使用されている加入者識別子とは異なる新しい固有の加入者識別子を加入者のために生成することができる。

【0065】

識別子マッピング器２１０は、ホームＳＵＰＩと訪問者ＳＵＰＩとの間のマッピングデータベース２１２に、訪問者ＳＵＩＰとホームネットワーク上で使用されるホーム（実際のまたは本当の）ＳＵＰＩとの間の関連付けを作成するように構成されている。本明細書は、ＳＵＰＩを用いて動作するものとしてＳＥＰＰ１２６を説明するが、一般的に、ＳＥＰＰ１２６は、ホームネットワーク内で使用され、訪問者ネットワークに送信される任意の種類の加入者識別子を使用することができる。

【0066】

加入者識別子置換器２０６は、
・訪問者ネットワークから、訪問者加入者識別子を含む要求メッセージを受信し、
・要求メッセージ内の訪問者加入者識別子をホーム加入者識別子に置換し、
・ホーム加入者識別子を含む要求メッセージをホームネットワーク内の宛先ノードに転送する、ように構成されている。

【0067】

加入者識別子置換器２０６は、加入者が訪問者ネットワーク上で認可された後に加入者からの追加の要求を処理するようにさらに構成されている。例えば、加入者識別子置換器２０６は、
・ホームネットワーク内の宛先ノードから、ホーム加入者識別子を含む応答メッセージを受信し、
・応答メッセージ内のホーム加入者識別子を訪問者加入者識別子に置換し、
・訪問者加入者識別子を含む応答メッセージを訪問者ネットワークに転送する、ように構成されている。

【0068】

加入者識別子置換器２０６は、加入者が訪問者ネットワークから要求を出した後、加入者の要求に対する応答を処理するようにさらに構成されてもよい。例えば、加入者識別子２０６は、
・ホームネットワーク内の宛先ノードから、ホーム加入者識別子を含む応答メッセージを受信し、
・応答メッセージ内のホーム加入者識別子を訪問者加入者識別子に置換し、
・訪問者加入者識別子を含む応答メッセージを訪問者ネットワークに転送する、ように構成されている。

【0069】

一般的に、加入者識別子置換器２０６は、マッピングデータベース２１２において、識別子生成器２０８によって生成されたＳＵＰＩと訪問者ＳＵＰＩとの間の関連付けを作成することによって機能する。訪問者ネットワークから要求を受信すると、ＳＥＰＰ１２６は、マッピングデータベース２１２にアクセスし、ホームＳＵＰＩを検索し、訪問者ＳＵＰＩをホームＳＵＰＩに置換することによって、訪問者ＳＵＰＩをホームＳＵＰＩに置換する。ホームネットワーク内のノードから応答を受信すると、ＳＥＰＰ１２６は、マッピングデータベース２１２にアクセスし、訪問者ＳＵＰＩを検索し、ホームＳＵＰＩを訪問者ＳＵＰＩに置換することによって、ホームＳＵＰＩを訪問者ＳＵＰＩに置換する。

【0070】

加入者識別子置換器２０６は、任意の適切な技術を用いて、加入者識別子を置換するためのメッセージを識別するように構成されてもよい。例えば、加入者識別子置換器２０６は、加入者識別子を置換するためのメッセージ種類またはインターフェイス種類のリストを記憶することができる。その後、ＳＥＰＰ１２６は、リスト上のメッセージ種類のうちの１つに一致するメッセージを受信すると、加入者識別子の置換を実行する。リストは、単なる例であり、一般的に、任意の適切なデータ構造または技法を用いて、加入者識別子を置換するためのメッセージを識別することができる。

【0071】

いくつかの例において、加入者識別子置換器２０６は、（訪問者ネットワークに送信される）いくつかのアウトバウンドメッセージをチェックすることによって、メッセージがホーム加入者識別子を含むか否かを判断するように構成されている。メッセージがホーム加入者識別子を含む場合、加入者識別子置換器２０６は、メッセージを訪問者ネットワークに転送する前に、ホーム加入者識別子を訪問者加入者識別子に置換する。

【0072】

同様に、加入者識別子置換器２０６は、（訪問者ネットワークから発信する）特定のインバウンドメッセージをチェックすることによって、メッセージが訪問者加入者識別子を含むか否かを判断するように構成することができる。メッセージが訪問者加入者識別子を含む場合、加入者識別子２０６は、ホームネットワーク内のメッセージを転送する前に、訪問者加入者識別子をホーム加入者識別子に置換する。

【0073】

図３は、ローミングシナリオ中に訪問者ネットワークからのＵＥを認証するために交換されたメッセージを示すメッセージ流れ図３００である。

【0074】

図３に示すように、ホームネットワークは、ホームＰＬＭＮ３０２を含み、訪問者ネットワークは、訪問者ＰＬＭＮ３０４を含む。ホームＰＬＭＮ３０２は、少なくともホームＳＥＰＰ３０６と、ＡＵＳＦ３０８と、ＵＤＭ３１０とを含む。訪問者ＰＬＭＮ３０４は、少なくとも訪問者ＳＥＰＰ３１２と、ＡＭＦ３１４とを含む。

【0075】

３１６において、ＡＭＦ３１４は、ＵＥ認証要求（Ｎａｕｓｆ_ＵＥ認証（ｓｕｃｉ，サービングネットワーク名））をホームネットワークに送信する。

【0076】

３１８において、訪問者ＳＥＰＰ３１２は、要求をホームＳＥＰＰ３０６に転送する。
３２０において、ホームＳＥＰＰ３０６は、要求をＡＵＳＦ３０８に転送する。

【0077】

３２２において、ＡＵＳＦ３０８は、ＵＤＭ３１０（Ｎｕｄｍ_ＵＥ認証（ｓｕｃｉ，サービングネットワーク名））から、ＡＶおよびＳＵＰＩをフェッチする。

【0078】

３２４において、ＵＤＭ３１０は、ＡＶおよびＳＵＰＩ（Ｎｕｄｍ_ＵＥ認証応答（５Ｇ ＨＥ ＡＶ、ＳＵＰＩ））を送信する。

【0079】

３２６において、ＡＵＳＦ３０８は、ＡＶをＡＭＦに返す（Ｎａｕｓｆ_ＵＥ認証応答（５Ｇ ＳＥ ＡＶ、ａｕｔｈＣｔｘＩｄ））。ＳＵＰＩは、返されない。

【0080】

３２８において、ホームＳＥＰＰ３０６は、応答を訪問者ＳＥＰＰ３１２に転送する。
３３０において、訪問者ＳＥＰＰ３１２は、応答をＡＭＦ３１４に転送する。

【0081】

３３２において、ＡＭＦ３１４は、認証イベント（Ｎａｕｓｆ_ＵＥ認証（ａｕｔｈＣｔｘＩｄ、ｒｅｓＳｔａｒ））を送信する。

【0082】

３３４において、訪問者ＳＥＰＰ３１２は、イベントをホームＳＥＰＰ３０６に転送する。

【0083】

３３６において、ホームＳＥＰＰ３０６は、要求をＡＵＳＦ３０８に転送する。
３３８において、ＡＵＳＦ３０８は、認証イベント（Ｎｕｄｍ_ＵＥ認証要求）をＵＤＭ３１０に送信する。

【0084】

３４０において、ＵＤＭ３１０は、ＡＵＳＦ３０８（Ｎｕｄｍ_ＵＥ認証要求）に応答する。

【0085】

３４２において、ＡＵＳＦ３０８は、認証結果およびＳＵＰＩ（Ｎａｕｓｆ_ＵＥ認証応答（認証結果、ＳＵＰＩ））に応答する。ＡＵＳＦ３０８は、３２４においてＵＤＭからのＳＵＰＩを既に記憶している。

【0086】

ローミングシナリオ中に、５Ｇ ＳＢＩサービスにアクセスするために、ＳＵＰＩを訪問者ネットワークと共有する必要がある。しかしながら、ＳＵＰＩを訪問者ネットワークと共有すると、ＳＵＰＩが漏洩する可能性がある。訪問者ネットワークのセキュリティが侵入され易いため、ＳＵＰＩは、訪問者ネットワークから漏洩する可能性がある。例えば、ＡＭＦ３１４は、侵入され易く、データを漏洩する可能性がある。訪問者ネットワークから漏洩したデータは、数日から数カ月の間に公開されない可能性があるが、漏洩したＳＵＰＩは、漏洩が分かった時点で、既にダークウェブで売られている可能性がある。

【0087】

３ＧＰＰ ＴＳ３３．５０１に記載されているように、認証プロシージャにおいてホームＳＵＰＩを提供する代わりに、ＳＥＰＰは、認証応答で訪問者ＳＵＰＩを返すことができる。訪問者ＳＵＰＩは、訪問者ネットワークによって、サービスアクセス要求の異なるメッセージに使用されてもよい。

【0088】

再び３４２を参照して、ホームＳＥＰＰ３０６は、ホームＳＵＰＩ（ホームネットワーク内で使用された実際のＳＵＰＩ）を訪問者ＳＵＰＩに置換する。

【0089】

３４４において、ホームＳＥＰＰ３０６は、（訪問者ＳＵＰＩを含む）更新された応答を訪問者ＳＥＰＰ３１２に転送する。

【0090】

３４６において、訪問者ＳＥＰＰ３１２は、更新された応答をＡＭＦ３１４に転送する。ＡＭＦ３１４は、訪問者ＳＵＰＩを記憶し、訪問者ＳＵＰＩを実際のホームＳＵＰＩであるかのように使用する。

【0091】

図４は、ローミングシナリオ中に訪問者ネットワークからのＵＥの追加のサービスを保護するために交換されたメッセージを示すメッセージ流れ図４００である。

【0092】

図４に示すように、訪問者ＰＬＭＮ３０４は、コンシューマネットワーク機能４０２を含む。ホームＰＬＭＮ３０２は、プロデューサネットワーク機能４０４を含む。

【0093】

５Ｇ電気通信ネットワークにおいて、サービスを提供するネットワークノードは、プロデューサネットワーク機能（ＮＦ）と呼ばれている。サービスを消費するネットワークノードは、コンシューマＮＦと呼ばれている。ネットワーク機能は、それがサービスを消費しているかまたは提供しているかに応じて、プロデューサＮＦおよびコンシューマＮＦの両方であり得る。

【0094】

特定のプロデューサＮＦは、多くのサービスエンドポイントを有することができる。サービスエンドポイントは、プロデューサＮＦによってホストされている１つ以上のＮＦインスタンスの接点である。サービスエンドポイントは、インターネットプロトコル（ＩＰ）アドレスおよびポート番号の組み合わせ、またはプロデューサＮＦをホストするネットワークノードのＩＰアドレスおよびポート番号に分解した完全修飾ドメイン名によって識別されている。ＮＦインスタンスは、サービスを提供するプロデューサＮＦのインスタンスである。特定のプロデューサＮＦは、複数のＮＦインスタンスを含み得る。なお、複数のＮＦインスタンスは、同じサービスエンドポイントを共有することもできる。

【0095】

プロデューサＮＦは、ネットワーク機能リポジトリ機能（ＮＲＦ）に登録する。ＮＲＦは、各ＮＦインスタンスによってサポートされているサービスを識別するための利用可能なＮＦインスタンスのサービスプロファイルを保持する。コンシューマＮＦは、ＮＲＦに登録したプロデューサＮＦインスタンスに関する情報を受信するように加入することができる。

【0096】

コンシューマＮＦに加えて、ＮＦサービスインスタンスに関する情報を受信するように加入することができる別のタイプのネットワークノードは、サービス通信プロキシ（ＳＣＰ）である。ＳＣＰは、ＮＲＦに加入し、プロデューサＮＦサービスインスタンスに関する到達可能性およびサービスプロファイル情報を取得する。コンシューマＮＦは、サービス通信プロキシに接続し、サービス通信プロキシは、必要なサービスを提供するプロデューサＮＦサービスインスタンスの間でトラフィックを負荷分散するか、またはトラフィックを宛先のプロデューサＮＦインスタンスに直接にルーティングする。

【0097】

ＳＣＰに加えて、プロデューサＮＦとコンシューマＮＦとの間でトラフィックをルーティングする一組の中間プロキシノードまたはネットワークノードの他の例は、セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）、サービスゲートウェイ、および５Ｇサービスメッシュのノードを含む。ＳＥＰＰは、異なる５Ｇ公衆陸上移動体ネットワーク（ＰＬＭＮ）の間に交換される制御プレーントラフィックを保護するために使用されているネットワークノードである。したがって、ＳＥＰＰは、全てのアプリケーションプログラミングインターフェイス（ＡＰＩ）メッセージに対して、メッセージフィルタリング、ポリシング、およびトポロジ隠蔽を実行する。

【0098】

４０６において、コンシューマネットワーク機能４０２は、訪問者ＳＵＰＩを含むＳＢＩサービス要求を送信する。

【0099】

４０８において、訪問者ＳＥＰＰ３１２は、要求をホームＳＥＰＰ３０６に転送する。ホームＳＥＰＰ３０６は、訪問者ＳＵＰＩをホームＳＵＰＩに置換する。

【0100】

４１０において、ホームＳＥＰＰ３０６は、要求をプロデューサネットワーク機能４０４に転送する。

【0101】

４１２において、プロデューサネットワーク機能４０４は、要求（ＳＢＩサービス応答）に応答する。ホームＳＥＰＰ３０６は、応答メッセージがホームＳＵＰＩを含むか否かを確認し、応答メッセージがホームＳＵＰＩを含む場合、ホームＳＥＰＰ３０６は、ホームＳＵＰＩを訪問者ＳＵＰＩに置換する。

【0102】

４１４において、ホームＳＥＰＰ３０６は、応答を訪問者ＳＥＰＰ３１２に転送する。
４１６において、訪問者ＳＥＰＰ３１２は、応答をコンシューマネットワーク機能４０２に転送する。

【0103】

図５は、電気通信ネットワークから加入者識別子の漏洩を防止するための例示的な方法５００を示す流れ図である。

【0104】

方法５００は、セキュリティエッジプロテクションプロキシ（ＳＥＰＰ）が、訪問者ネットワークの加入者を認証するための認証応答メッセージを受信すること（５０２）を含む。認証応答メッセージは、ホームネットワーク内で加入者を識別するために使用されているホーム加入者識別子を含む。方法５００は、ＳＥＰＰが、認証応答メッセージ内のホーム加入者識別子を訪問者加入者識別子に置換すること（５０４）を含む。方法５００は、ＳＥＰＰが、訪問者加入者識別子を含む認証応答メッセージを訪問者ネットワークに転送すること（５０６）を含む。

【0105】

いくつかの例において、方法５００は、訪問者ネットワークから、訪問者加入者識別子を含む要求メッセージを受信することと、要求メッセージ内の訪問者加入者識別子をホーム加入者識別子に置換することと、ホーム加入者識別子を含む要求メッセージをホームネットワーク内の宛先ノードに転送することとを含む。また、方法５００は、ホームネットワーク内の宛先ノードから、ホーム加入者識別子を含む応答メッセージを受信することと、応答メッセージ内のホーム加入者識別子を訪問者加入者識別子に置換することと、訪問者加入者識別子を含む応答メッセージを訪問者ネットワークに転送することとを含む。

【0106】

いくつかの例において、方法５００は、加入者識別子マッピングにおいて、訪問者加入者識別子とホーム加入者識別子との間の関連付けを作成することを含む。また、方法５００は、加入者識別子マッピングにアクセスし、マッピングにおいて訪問者加入者識別子を検索することによってホーム加入者識別子を見つけ、要求メッセージ内の訪問者加入者識別子をホーム加入者識別子に置換することによって、訪問者ネットワークからの訪問者加入者識別子を含む要求メッセージを転送することを含む。

【0107】

また、方法５００は、加入者識別子マッピングにアクセスし、マッピングにおいてホーム加入者識別子を検索することによって訪問者加入者識別子を見つけ、応答メッセージ内のホーム加入者識別子を訪問者加入者識別子に置換することによって、ホームネットワーク内のノードからの訪問者加入者識別子を含む応答メッセージを転送することを含む。

【0108】

いくつかの例において、ホームネットワークは、５Ｇネットワークであり、ホーム加入者識別子は、加入者永続識別子（ＳＵＰＩ）である。訪問者加入者識別子を含む認証応答メッセージを訪問者ネットワークに転送することは、認証応答メッセージを訪問者ネットワークの訪問者ＳＥＰＰに転送することを含むことができる。認証応答メッセージを受信することは、認証サービス機能（ＡＵＳＦ）を介して、統合データ管理（ＵＤＭ）ノードから認証応答メッセージを受信することを含むことができる。認証応答メッセージは、加入者が訪問者ネットワーク上でローミングすることを許可することができる。

【0109】

いくつかの例において、方法５００は、（訪問者ネットワークに送信される）いくつかのアウトバウンドメッセージをチェックすることによって、メッセージがホーム加入者識別子を含むか否かを判断することを含む。メッセージがホーム加入者識別子を含む場合、方法５００は、メッセージを訪問者ネットワークに転送する前に、ホーム加入者識別子を訪問者加入者識別子に置換することを含む。

【0110】

同様に、方法５００は、（訪問者ネットワークから発信する）特定のインバウンドメッセージをチェックすることによって、メッセージが訪問者加入者識別子を含むか否かを判断することを含むことができる。メッセージが訪問者加入者識別子を含む場合、方法５００は、ホームネットワーク内でメッセージを転送する前に、訪問者加入者識別子をホーム加入者識別子に置換することを含む。

【0111】

本開示の範囲は、本明細書に（明示的にまたは暗黙的に）開示される任意の特徴または特徴の組み合わせ、または開示された任意の特徴の一般化を含む（これらの特徴または一般化が本明細書に記載された課題のいずれかまたは全てを緩和するか否かに関わらず）。したがって、本願（または本願の優先権を主張する出願）を審査する間に、これらの特徴の任意の組み合わせを含むように、新しい請求項を作成することができる。

【0112】

特に、添付の特許請求の範囲を参照して、添付の特許請求の範囲に列挙された特定の組み合わせに限らず、従属請求項に記載の特徴を独立請求項に記載の特徴に組み合わせることができ、独立請求項に記載の特徴を任意の適切な方法で組み合わせることができる。

【図1】

【図2】

【図3】

【図4】

【図5】