特表 2023-547946 暗号化ドメイン名サーバを用いたプロトコルのコンテンツフィルタリングサポート

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2023-11-14

(54)【発明の名称】暗号化ドメイン名サーバを用いたプロトコルのコンテンツフィルタリングサポート

(51)【国際特許分類】

   H04W 12/088 20210101AFI20231107BHJP

   H04W 48/08 20090101ALI20231107BHJP

   H04W 72/53 20230101ALI20231107BHJP

   H04W 12/37 20210101ALI20231107BHJP

   H04W 88/14 20090101ALI20231107BHJP

【ＦＩ】

H04W12/088

H04W48/08

H04W72/53

H04W12/37

H04W88/14

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2023527999

(86)(22)【出願日】2021-01-05

(85)【翻訳文提出日】2023-07-07

(86)【国際出願番号】 EP2021050087

(87)【国際公開番号】W WO2022100889

(87)【国際公開日】2022-05-19

(31)【優先権主張番号】20382975.9

(32)【優先日】2020-11-11

(33)【優先権主張国・地域又は機関】EP

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．３ＧＰＰ

２．ＧＯＯＧＬＥ ＣＨＲＯＭＥ

３．ＣＨＲＯＭＥ

４．ＦＩＲＥＦＯＸ

５．ＥＸＰＬＯＲＥＲ

(71)【出願人】

【識別番号】598036300

【氏名又は名称】テレフオンアクチーボラゲット エルエム エリクソン（パブル）

(74)【代理人】

【識別番号】100109726

【弁理士】

【氏名又は名称】園田 吉隆

(74)【代理人】

【識別番号】100150670

【弁理士】

【氏名又は名称】小梶 晴美

(74)【代理人】

【識別番号】100194294

【弁理士】

【氏名又は名称】石岡 利康

(72)【発明者】

【氏名】ムニョス デ ラ トーレ アロンソ， ミゲル アンヘル

【テーマコード（参考）】

5K067

【Ｆターム（参考）】

5K067EE02

5K067EE10

5K067EE16

(57)【要約】

本発明は、無線通信ネットワークが、無線通信ネットワークを通るパケットフローに使用されるプロトコルがドメイン名の暗号化を要求する場合であっても、コンテンツフィルタリングを実施することを可能にするための様々な方法、エンティティ、システムおよびコンピュータプログラムに関する。１つの方法は、特に、ユーザ機器（１００）とコンテンツプロバイダ（４００）との間でデータパケットを交換するためのデータパケットフローが提供される、無線通信ネットワーク（２００）内でポリシ制御エンティティ（２４０）を動作させるための方法に関し、データパケットフローは、コンテンツプロバイダ（４００）のドメイン名を暗号化している。本方法は、データリポジトリ（２５０）からユーザポリシプロファイルを受信するステップ（Ｓ６、Ｓ３１）を含み、ユーザポリシプロファイルは、データパケットをフィルタリングするためのコンテンツフィルタリングポリシを含む。本方法は、ユーザポリシプロファイルに基づくセッションポリシを無線通信ネットワーク（２００）のセッション制御エンティティ（２２０）に伝送するステップ（Ｓ８、Ｓ３２）であって、セッションポリシは、データパケットをフィルタリングするように無線通信ネットワーク（２００）のユーザプレーンエンティティ（２３０）に指示する、伝送するステップ（Ｓ８、Ｓ３２）と、ユーザポリシプロファイルに基づいてユーザポリシを無線通信ネットワーク（２００）のアクセス管理エンティティ（２１０）に伝送するステップ（Ｓ１２、Ｓ３３）であって、ユーザポリシは、非暗号化形態のドメイン名をデータパケットに追加するようにユーザ機器（１００）に指示する、伝送するステップ（Ｓ１２、Ｓ３３）とをさらに含む。
【選択図】図１

【特許請求の範囲】

【請求項1】

ユーザ機器（１００）とコンテンツプロバイダ（４００）との間でデータパケットを交換するためのデータパケットフローが提供される、無線通信ネットワーク（２００）内でポリシ制御エンティティ（２４０）を動作させるための方法であって、前記データパケットフローは、前記コンテンツプロバイダ（４００）のドメイン名を暗号化しており、前記方法は、
データリポジトリ（２５０）からユーザポリシプロファイルを受信するステップ（Ｓ６、Ｓ３１）であって、前記ユーザポリシプロファイルは、前記データパケットをフィルタリングするためのコンテンツフィルタリングポリシを含む、受信するステップ（Ｓ６、Ｓ３１）と、
前記ユーザポリシプロファイルに基づいてセッションポリシを前記無線通信ネットワーク（２００）のセッション制御エンティティ（２２０）に伝送するステップ（Ｓ８、Ｓ３２）であって、前記セッションポリシは、前記無線通信ネットワーク（２００）のユーザプレーンエンティティ（２３０）に、前記データパケットをフィルタリングするように指示する、セッションポリシを伝送するステップ（Ｓ８、Ｓ３２）と、
前記ユーザポリシプロファイルに基づいてユーザポリシを前記無線通信ネットワーク（２００）のアクセス管理エンティティ（２１０）に伝送するステップ（Ｓ１２、Ｓ３３）であって、前記ユーザポリシは、前記ユーザ機器（１００）に、前記ドメイン名を非暗号化形態で前記データパケットに追加するように指示する、ユーザポリシを伝送するステップ（Ｓ１２、Ｓ３３）と
を含む、方法。

【請求項2】

前記セッションポリシおよび／または前記ユーザポリシは、非暗号化形態の前記ドメイン名の伝送を前記ユーザプレーンエンティティ（２３０）に示すための識別子を含む、請求項１に記載の方法。

【請求項3】

前記ユーザポリシは、前記ユーザ機器（１００）に対する前記ユーザポリシのドメイン名システムキャッシュをクリアすることを求める要求を含む、請求項１または２に記載の方法。

【請求項4】

ユーザ機器（１００）とコンテンツプロバイダ（４００）との間でデータパケットを交換するためのデータパケットフローが提供される、無線通信ネットワーク（２００）内でユーザプレーンエンティティ（２３０）を動作させるための方法であって、前記データパケットフローは、前記コンテンツプロバイダ（４００）のドメイン名を暗号化しており、前記方法は、
前記無線通信ネットワーク（２００）のセッション制御エンティティ（２２０）から、前記データパケットをフィルタリングするように前記ユーザプレーンエンティティ（２３０）に指示するセッションポリシを受信するステップ（Ｓ９、Ｓ４１）と、
前記ユーザ機器（１００）から、非暗号化形態の前記ドメイン名を含む前記データパケットフローの少なくとも１つのデータパケットを受信するステップ（Ｓ１６、Ｓ４２）と、
前記少なくとも１つのデータパケットから前記ドメイン名を抽出するステップ（Ｓ１７、Ｓ４３）と、
前記セッションポリシおよび抽出されている前記ドメイン名に基づいて、前記データパケットをフィルタリングするステップ（Ｓ１８～Ｓ２１、Ｓ４４）と
を含む、方法。

【請求項5】

前記抽出するステップ（Ｓ１７、Ｓ４３）は、非暗号化形態の前記ドメイン名の伝送を示すための識別子を、前記少なくとも１つのデータパケット内で認識することによって、非暗号化形態の前記ドメイン名を含む前記少なくとも１つのデータパケットを識別する、請求項４に記載の方法。

【請求項6】

前記セッションポリシは、前記識別子を含む、請求項５に記載の方法。

【請求項7】

ユーザ機器（１００）とコンテンツプロバイダ（４００）との間でデータパケットを交換するためのデータパケットフローを確立するために無線通信ネットワーク（２００）に接続可能な前記ユーザ機器（１００）を動作させるための方法であって、前記データパケットフローは、前記コンテンツプロバイダ（４００）のドメイン名を暗号化しており、前記方法は、
前記データパケットフローの少なくとも１つのデータパケットに、非暗号化形態の前記ドメイン名を追加するステップ（Ｓ１５、Ｓ５１）と、
前記無線通信ネットワーク（２００）のユーザプレーンエンティティ（２３０）に前記少なくとも１つのデータパケットを伝送するステップ（Ｓ１６、Ｓ５２）と
を含む、方法。

【請求項8】

前記少なくとも１つのデータパケットに、非暗号化形態の前記ドメイン名の伝送を示すための識別子を追加するステップ（Ｓ１５、Ｓ５１）をさらに含む、請求項７に記載の方法。

【請求項9】

前記追加するステップ（Ｓ１５、Ｓ５１）の前に、
前記ユーザ機器（１００）のドメイン名システムキャッシュをクリアするステップをさらに含む、請求項７または８に記載の方法。

【請求項10】

前記追加するステップ（Ｓ１５、Ｓ５１）の前に、
前記無線通信ネットワーク（２００）のアクセス管理エンティティ（２１０）から、前記ユーザ機器（１００）に、前記ドメイン名を非暗号化形態で前記データパケットフローに追加するように指示するユーザポリシを受信するステップ（Ｓ１３）をさらに含む、請求項７から９のいずれか一項に記載の方法。

【請求項11】

前記ユーザポリシは、前記識別子を含む、請求項８または１０に記載の方法。

【請求項12】

前記データパケットフローは、ＴＬＳ、ＱＵＩＣまたはＤＮＳオーバＨＴＴＰＳのうちの少なくとも１つを実装する、請求項１から１１のいずれか一項に記載の方法。

【請求項13】

ユーザ機器（１００）とコンテンツプロバイダ（４００）との間でデータパケットを交換するためのデータパケットフローが提供される、無線通信ネットワーク（２００）のためのポリシ制御エンティティ（２４０、６０）であって、前記データパケットフローは前記コンテンツプロバイダ（４００）のドメイン名を暗号化しており、前記ポリシ制御エンティティ（２４０、６０）は、処理ユニット（６２）およびメモリ（６３）を備え、前記メモリ（６３）は、前記処理ユニット（６２）に、
データリポジトリ（２５０）からユーザポリシプロファイルを受信するステップ（Ｓ６、Ｓ３１）であって、前記ユーザポリシプロファイルは、前記データパケットをフィルタリングするためのコンテンツフィルタリングポリシを含む、受信するステップ（Ｓ６、Ｓ３１）と、
前記ユーザポリシプロファイルに基づいてセッションポリシを前記無線通信ネットワーク（２００）のセッション制御エンティティ（２２０）に伝送するステップ（Ｓ８、Ｓ３２）であって、前記セッションポリシは、前記無線通信ネットワーク（２００）のユーザプレーンエンティティ（２３０）に、前記データパケットをフィルタリングするように指示する、セッションポリシを伝送するステップ（Ｓ８、Ｓ３２）と、
前記ユーザポリシプロファイルに基づいてユーザポリシを前記無線通信ネットワーク（２００）のアクセス管理エンティティ（２１０）に伝送するステップ（Ｓ１２、Ｓ３３）であって、前記ユーザポリシは、前記ユーザ機器（１００）に、前記ドメイン名を非暗号化形態で前記データパケットに追加するように指示する、ユーザポリシを伝送するステップ（Ｓ１２、Ｓ３３）と
を実行させるように設定されている命令を含む、ポリシ制御エンティティ（２４０、６０）。

【請求項14】

前記セッションポリシおよび／または前記ユーザポリシは、非暗号化形態の前記ドメイン名の伝送を前記ユーザプレーンエンティティ（２３０）に示すための識別子を含む、請求項１３に記載のポリシ制御エンティティ（２４０、６０）。

【請求項15】

前記ユーザポリシは、前記ユーザ機器（１００）に対する前記ユーザポリシのドメイン名システムキャッシュをクリアすることを求める要求を含む、請求項１３または１４に記載のポリシ制御エンティティ（２４０、６０）。

【請求項16】

ユーザ機器（１００）とコンテンツプロバイダ（４００）との間でデータパケットを交換するためのデータパケットフローが提供される、無線通信ネットワーク（２００）のためのユーザプレーンエンティティ（２３０、８０）であって、前記データパケットフローは前記コンテンツプロバイダ（４００）のドメイン名を暗号化しており、前記ユーザプレーンエンティティ（２３０、８０）は、処理ユニット（８２）およびメモリ（８３）を備え、前記メモリ（８３）は、前記処理ユニット（８２）に、
前記無線通信ネットワーク（２００）のセッション制御エンティティ（２２０）から、前記データパケットをフィルタリングするように前記ユーザプレーンエンティティ（２３０、８０）に指示するセッションポリシを受信するステップ（Ｓ９、Ｓ４１）と、
前記ユーザ機器（１００）から、非暗号化形態の前記ドメイン名を含む前記データパケットフローの少なくとも１つのデータパケットを受信するステップ（Ｓ１６、Ｓ４２）と、
前記少なくとも１つのデータパケットから前記ドメイン名を抽出するステップ（Ｓ１７、Ｓ４３）と、
前記セッションポリシおよび抽出されている前記ドメイン名に基づいて、前記データパケットをフィルタリングするステップ（Ｓ１８～Ｓ２１、Ｓ４４）と
を実行させるように設定されている命令を含む、ユーザプレーンエンティティ（２３０、８０）。

【請求項17】

前記抽出するステップ（Ｓ１７、Ｓ４３）のために、前記メモリ（８３）は、前記処理ユニット（８２）に、非暗号化形態の前記ドメイン名の伝送を示すための識別子を、前記少なくとも１つのデータパケット内で認識することによって、非暗号化形態の前記ドメイン名を含む前記少なくとも１つのデータパケットを識別させるように設定されている命令を含む、請求項１６に記載のユーザプレーンエンティティ（２３０、８０）。

【請求項18】

前記セッションポリシは、前記識別子を含む、請求項１７に記載のユーザプレーンエンティティ（２３０、８０）。

【請求項19】

データパケットフローを確立するために無線通信ネットワーク（２００）に接続可能なユーザ機器（１００）であって、前記データパケットフローは前記ユーザ機器（１００）とコンテンツプロバイダ（４００）との間でデータパケットを交換するためのものであり、前記データパケットフローは前記コンテンツプロバイダ（４００）のドメイン名を暗号化しており、前記ユーザ機器（１００）は、処理ユニット（１０２）およびメモリ（１０３）を備え、前記メモリ（１０３）は、前記処理ユニット（１０２）に、
前記データパケットフローの少なくとも１つのデータパケットに、非暗号化形態の前記ドメイン名を追加するステップ（Ｓ１５、Ｓ５１）と、
前記無線通信ネットワーク（２００）のユーザプレーンエンティティ（２３０）に前記少なくとも１つのデータパケットを伝送するステップ（Ｓ１６、Ｓ５２）と
を実行させるように設定されている命令を含む、ユーザ機器（１００）。

【請求項20】

前記メモリ（１０３）は、前記処理ユニット（１０２）に、
前記少なくとも１つのデータパケットに、非暗号化形態の前記ドメイン名の伝送を示すための識別子を追加するステップ（Ｓ１５、Ｓ５１）を実行させるように設定されている命令をさらに含む、請求項１９に記載のユーザ機器（１００）。

【請求項21】

前記メモリ（１０３）は、前記処理ユニット（１０２）に、前記追加するステップ（Ｓ１５、Ｓ５１）の前に、
前記ユーザ機器（１００）のドメイン名システムキャッシュをクリアするステップを実行させるように設定されている命令をさらに含む、請求項１９または２０に記載のユーザ機器（１００）。

【請求項22】

前記メモリ（１０３）は、前記処理ユニット（１０２）に、前記追加するステップ（Ｓ１５、Ｓ５１）の前に、
前記無線通信ネットワーク（２００）のアクセス管理エンティティ（２１０）から、前記ユーザ機器（１００）に、前記ドメイン名を非暗号化形態で前記データパケットフローに追加するように指示するユーザポリシを受信するステップ（Ｓ１３）を実行させるように設定されている命令をさらに含む、請求項１９から２１のいずれか一項に記載のユーザ機器（１００）。

【請求項23】

前記ユーザポリシは、前記識別子を含む、請求項２０または２２に記載のユーザ機器（１００）。

【請求項24】

少なくとも２つのエンティティを備えるシステムであって、前記少なくとも２つのエンティティは、以下のエンティティグループ、すなわち、
－ 請求項１３から１５のいずれか一項に記載のポリシ制御エンティティ（２４０、６０）、
－ 請求項１６から１８のいずれか一項に記載のユーザプレーンエンティティ（２３０、８０）、
－ 請求項１９から２３のいずれか一項に記載のユーザ機器（１００）
から選択される、システム。

【請求項25】

ポリシ制御エンティティ（２４０、６０）、ユーザプレーンエンティティ（２３０）、ユーザ機器（１００）の少なくとも１つの処理ユニットによって実行されるプログラムコードを含むコンピュータプログラムであって、前記プログラムコードの実行は、
－ 前記ポリシ制御エンティティ（２４０、６０）の前記処理ユニットに、請求項１から３および１２のいずれか一項に記載の方法を実行させ、
－ 前記ユーザプレーンエンティティ（２３０、８０）の前記処理ユニットに、請求項４から６および１２のいずれか一項に記載の方法を実行させ、
－ 前記ユーザ機器（１００）の前記処理ユニットに、請求項７から１１および１２のいずれか一項に記載の方法を実行させる、コンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、無線通信ネットワークにおいてコンテンツ制御を可能にするための方法、ならびに、対応するデバイス、ネットワークノード、システム、およびコンピュータプログラムに関する。特に、本発明は、データパケットフローがサーバのドメイン名の暗号化を実施する場合であっても、サーバからのデータパケットフローに対して無線通信ネットワークによってコンテンツ制御が操作されることを可能にする。

【背景技術】

【0002】

図１は、サービスベースのインターフェースを有する５Ｇ ＮＲアーキテクチャを示す。５Ｇコアネットワーク部分は、ネットワークスライス選択機能（ＮＳＳＦ）１０、ネットワーク公開機能１５、ネットワークリポジトリ機能（ＮＲＦ）２０、ポリシ制御機能（ＰＣＦ）２５、統合データ管理（ＵＤＭ）３０、アプリケーション機能（ＡＦ）３５、認証サーバ機能（ＡＵＳＦ）４０、アクセス・モビリティ管理機能（ＡＭＦ）４５、およびセッション管理機能（ＳＭＦ）５０を含む。ユーザ機器（ＵＥ）６０が、無線アクセスネットワーク（ＲＡＮ）７０に接続されており、ユーザプレーン機能（ＵＰＦ）８０が、ＵＥ６０をデータネットワーク（ＤＮ）９０に接続するために提供される。

【0003】

５Ｇコア制御プレーン（ＣＰ）内にサービスベースのインターフェースを有することは、５ＧコアＣＰ内のネットワーク機能（ＮＦ）が、５ＧコアＣＰ内の他のＮＦによって消費されるサービスを提供することを暗示する。

【0004】

上記エンティティおよびインターフェースの役割は、３ＧＰＰ ＴＳ ２３．５０１に定義されており、手順は、ＴＳ ２３．５０２に記載されている。

【0005】

本発明の最も関連する５Ｇシステムアーキテクチャネットワーク機能は、以下のとおりである。
・ＰＣＦ２５、ネットワーク挙動を統制するための統合ポリシフレームワークをサポートする。特に、ＰＣＦ２５は、ポリシ・課金制御（ＰＣＣ）規則をポリシ・課金執行機能（ＰＣＥＦ）、たとえば、ＳＭＦ５０および／またはＵＰＦ８０に提供し、ＰＣＥＦは、提供されたＰＣＣ規則に従って、ポリシおよび課金決定を執行し、ＰＣＦ２５は、さらに、ユーザ機器６０にポリシを提供する。
・ＡＭＦ４５、たとえば、ＵＥ６０が異なるアクセスネットワークおよびＵＥモビリティ態様を通じて接続されるときに、ユーザ機器（ＵＥ）６０のアクセスを管理する。ＡＭＦ４５は、ＰＣＦ２５からＵＥ６０へと規則を転送するために使用することができる。

【0006】

・ＳＭＦ５０は、ＵＰＦ８０エンティティの選択および制御を含む、セッション確立、修正および解放の役割を担う。ＳＭＦ５０は、ＰＦＣＰ（パケットフロー中心プロトコル）手順を使用して、Ｎ４参照ポイントを介してＵＰＦ８０とインタラクトする。さらに、ＳＭＦ５０は、ＰＣＦ２５からＰＣＣ規則を受信し、それに従ってＵＰＦ８０を設定する。ＳＭＦ５０は、特に、ＰＦＣＰセッションを確立、修正または削除すること、ならびに、ＰＦＣＰセッションごとにＰＤＲ、ＦＡＲ、ＱＥＲおよび／またはＵＲＲを提供、たとえば追加、修正または削除することによって、ＵＰＦ８０におけるパケット処理を制御することができ、以て、ＰＦＣＰセッションは、個々のＰＤＵセッション、または、いかなるＰＤＵセッションにも結びつけられていない独立したＰＦＣＰセッションに対応することができる。各ＰＤＲは、入来するパケットが照合されるトラフィックフィルタまたはシグニチャを指定するＰＤＩを含むことができる。各ＰＤＲは、ＰＤＩに一致するパケットに適用するための命令のセットを提供する以下の規則に関連付けることができる。
－１つのＦＡＲ、パケットの処理、特に、ＤＬパケットの到来に関するＣＰ機能への通知を有するかまたは有しないパケットの転送、複製、ドロップまたはバッファリングに関係する命令を含む。
－０、１つまたは複数のＱＥＲ、トラフィックのＱｏＳ執行に関係する命令を含む。
－０、１つまたは複数のＵＲＲ、トラフィック測定および報告に関係する命令を含む。

【0007】

・ＵＰＦ８０、ＳＭＦ５０から受信される規則に基づくユーザプレーントラフィックのハンドリング、特に、たとえばＰＤＲを通じたパケット検査、および、たとえばＦＡＲ、ＱＥＲ、ＵＲＲのいずれかを通じたトラフィックステアリング、ＱｏＳ、課金／報告などの異なる執行措置をサポートする。

【0008】

トラフィック暗号化は、モバイルネットワークにおいて大きく成長しており、同時に、暗号化メカニズムの複雑度も成長している。特に、今日のほとんどのアプリケーションは、ＨＴＴＰクリアテキストに基づいておらず、代わりに、ＨＴＴＰＳに基づく、すなわち、ＴＬＳプロトコル（トランスポート層セキュリティ）を使用する。加えて、トラフィックの大部分は、ＴＬＳよりも高い暗号化レベルを有する、ＱＵＩＣトランスポートに基づく。将来、ほとんどのトラフィックがＱＵＩＣトランスポートまたは他の種類の暗号化プロトコルに基づくと予想される。

【0009】

ＴＬＳプロトコルは、サーバ名表示（ＳＮＩ）として知られる拡張機能を指定する。コンテンツサーバが、単一のＩＰアドレスを背景とする複数の起源をホストすることが一般的である。フロー全体を解読する必要なしにアプリケーションフローを正しいサーバにルーティングするために、ＳＮＩ拡張が導入された。ＳＮＩ拡張機能は、クライアントによってクライアントハローメッセージにおいて送信され、クライアントが接続を試行しているサーバのドメイン名のクリアテキスト文字列を含む。ＳＮＩフィールドは、クリアテキストにおいて送信されるため、一般的に、フローを分類するためにオンパスネットワークエレメントによって使用される。

【0010】

ＩＥＴＦ（インターネットエンジニアリングタスクフォース）において、ＴＬＳプロトコルバージョン１．３向けにサーバ名表示（ＳＮＩ）を暗号化することが提案されている。この点について、ＴＬＳワーキンググループによって採用されている、たとえばｄｒａｆｔ－ｉｅｔｆ－ｔｌｓ－ｅｓｎｉ－０５などの、いくつかのＩＥＴＦ草案がある。

【0011】

高速ＵＤＰインターネット接続としても知られるＱＵＩＣは、ＵＤＰベースのストリーミング多重化暗号化トランスポートプロトコルである。ＱＵＩＣは、ＴＣＰに対するＵＤＰベースの置換として理解することができる。ＱＵＩＣは現在、ＩＥＴＦにおける標準化の最中であり、ＴＬＳ１．３に依拠し、したがって、ＱＵＩＣベースのアプリケーションも、将来的にサーバ名表示（ＳＮＩ）拡張機能を暗号化されることになる。

【0012】

ＤＮＳ（ドメイン名システム）は、インターネットの基本構成ブロックの１つである。ＤＮＳは、実際には、ウェブサイトが訪問されるとき、電子メールが送信されるとき、ＩＭ会話が開始されるときなどに、いつでも使用される。ユーザがアプリケーションを開くと、ＤＮＳプロトコルが使用されて、目標アプリケーションドメイン名のサーバＩＰアドレスが取り出される。ＤＮＳオーバＵＤＰ／ＴＣＰなどの今日のＤＮＳプロトコルは、通常、暗号化されていないが、ミドルボックスがＤＮＳトラフィックを検出することを妨げるためのＤＮＳ暗号化を提案している種々のＩＥＴＦ草案が存在する。ＤＮＳＳＥＣ、ＤＮＳオーバＨＴＴＰ／２、ＤＯＨ、ＤＮＳＣｒｙｐｔ、Ｑｕａｄ９などのような種々の提案が、ＩＥＴＦには存在する。５Ｇタイムフレームにおいては、ほとんどのＤＮＳトラフィックが暗号化されると予想される。

【0013】

したがって、ユーザ機器と、ユーザ機器によってアクセスされているサーバとの間でのドメイン名のエンドツーエンド暗号化に向かう傾向が存在することが、上記から明らかである。この傾向によってユーザのプライバシーが増大するが、特にコンテンツフィルタリングの分野における、ネットワークオペレータにとっての主要な欠点も防止される。

【0014】

より具体的には、今日のネットワークオペレータは、禁止されているサイトへのトラフィックをブロックするために種々のトラフィック管理措置を適用しており、それらの措置のうちの１つが、コンテンツフィルタリングである。この措置によって、ネットワークオペレータは、たとえば、子どもがインターネット上の暴力的または性的なマテリアルにアクセスするのを防止することを求める親の要求に応じることが可能になる。同様に、この措置によって、ネットワークオペレータは、違法なウェブサイトへのトラフィックをブロックすることを求める権限要求などに応じることが可能になる。

【0015】

現行のフィルタリング手法は、ユーザによってアクセスされているサーバのドメイン名に依拠する。現在、特にＤＮＳおよび／またはＴＬＳ／ＱＵＩＣ ＳＮＩが暗号化されているときなど、トラフィックが完全に暗号化されているときに、ＨＴＴＰベースのアプリケーションについてコンテンツフィルタリングを適用することは可能でない。これは、ＨＴＴＰＳ、ＨＴＴＰ／ＨＴＴＰ２オーバＴＬＳと、ＱＵＩＣベースのアプリケーション、ＨＴＴＰ３オーバＱＵＩＣの両方に当てはまる。加えて、ＤＮＳトラフィックが、ＤＮＳオーバＨＴＴＰＳ（ＤｏＨ）などによって暗号化されるとき、ＵＰＦにおけるＤＮＳ検査に基づくコンテンツフィルタリングをサポートすることさえ不可能である。

【0016】

したがって、ネットワークオペレータがコンテンツフィルタリングを提供することはますます不可能になってきている。

【発明の概要】

【0017】

したがって、ＨＴＴＰＳならびにＳＮＩおよび／またはＤＮＳ暗号化を伴うＱＵＩＣなどによってデータパケットフローが暗号化されているときであっても、ネットワークオペレータがコンテンツフィルタリングを適用することを可能にする技法が必要とされている。この必要は、独立請求項の特徴によって満たされる。さらなる態様が、従属請求項において説明される。

【0018】

１つの態様によれば、無線通信ネットワークにおいてポリシ制御エンティティを動作させるための方法が提供され、無線通信ネットワークは、ユーザ機器とコンテンツプロバイダとの間でデータパケットを交換するためのデータパケットフローを提供することが可能であり、データパケットフローは、コンテンツプロバイダのドメイン名を暗号化している。方法は、データリポジトリからユーザポリシプロファイルを受信するステップを含むことができ、ユーザポリシプロファイルは、データパケットをフィルタリングするためのコンテンツフィルタリングポリシを含む。さらに、本方法は、ユーザポリシプロファイルに基づいてセッションポリシを無線通信ネットワークのセッション制御エンティティに伝送するステップを含むことができ、セッションポリシは、無線通信ネットワークのユーザプレーンエンティティに、データパケットをフィルタリングするように指示する。加えて、本方法は、ユーザポリシプロファイルに基づいてユーザポリシを無線通信ネットワークのアクセス管理エンティティに伝送するステップを含むことができ、ユーザポリシは、ユーザ機器に、ドメイン名を非暗号化形態でデータパケットに追加するように指示する。

【0019】

さらに、別の態様は、無線通信ネットワークのためのポリシ制御エンティティであって、処理ユニットおよびメモリを備え、メモリは、処理ユニットに、ポリシ制御エンティティを動作させるための方法について上述したステップを実行させるように設定されている命令を含む、ポリシ制御エンティティに関する。

【0020】

さらに、別の態様は、無線通信ネットワークのためのポリシ制御エンティティであって、無線通信ネットワークは、ユーザ機器とコンテンツプロバイダとの間でデータパケットを交換するためのデータパケットフローを提供することが可能であり、データパケットフローは、コンテンツプロバイダのドメイン名を暗号化している、ポリシ制御エンティティに関する。ポリシ制御エンティティは、データリポジトリからユーザポリシプロファイルを受信するためのモジュールを備えることができ、ユーザポリシプロファイルは、データパケットをフィルタリングするためのコンテンツフィルタリングポリシを含む。さらに、ポリシ制御エンティティは、ユーザポリシプロファイルに基づいてセッションポリシを無線通信ネットワークのセッション制御エンティティに伝送するためのモジュールを備えることができ、セッションポリシは、無線通信ネットワークのユーザプレーンエンティティに、データパケットをフィルタリングするように指示する。さらに、ポリシ制御エンティティは、ユーザポリシプロファイルに基づいてユーザポリシを無線通信ネットワークのアクセス管理エンティティに伝送するためのモジュールを備えることができ、ユーザポリシは、ユーザ機器に、ドメイン名を非暗号化形態でデータパケットに追加するように指示する。

【0021】

さらに、別の態様は、無線通信ネットワーク内のユーザプレーンエンティティを動作させるための方法に関し、無線通信ネットワークは、ユーザ機器とコンテンツプロバイダとの間でデータパケットを交換するためのデータパケットフローを提供することが可能であり、データパケットフローは、コンテンツプロバイダのドメイン名を暗号化している。本方法は、無線通信ネットワークのセッション制御エンティティから、データパケットをフィルタリングするようにユーザプレーンエンティティに指示するセッションポリシを受信するステップを含むことができる。本方法は、ユーザ機器から、非暗号化形態のドメイン名を含むデータパケットフローの少なくとも１つのデータパケットを受信するステップと、少なくとも１つのデータパケットからドメイン名を抽出するステップとをさらに含むことができる。加えて、本方法は、セッションポリシおよび抽出されているドメイン名に基づいて、データパケットをフィルタリングするステップをさらに含むことができる。

【0022】

さらに、別の態様は、無線通信ネットワークのためのユーザプレーンエンティティであって、処理ユニットおよびメモリを備え、メモリは、処理ユニットに、ユーザプレーンエンティティを動作させるための方法について上述したステップを実行させるように設定されている命令を含む、ユーザプレーンエンティティに関する。

【0023】

さらに、別の態様は、無線通信ネットワークのためのユーザプレーンエンティティであって、無線通信ネットワークは、ユーザ機器とコンテンツプロバイダとの間でデータパケットを交換するためのデータパケットフローを提供することが可能であり、データパケットフローは、コンテンツプロバイダのドメイン名を暗号化している、ユーザプレーンエンティティに関する。ユーザプレーンエンティティは、無線通信ネットワークのセッション制御エンティティから、データパケットをフィルタリングするようにユーザプレーンエンティティに指示するセッションポリシを受信するためのモジュールを備えることができる。ユーザプレーンエンティティは、ユーザ機器から、非暗号化形態のドメイン名を含むデータパケットフローの少なくとも１つのデータパケットを受信するためのモジュールと、少なくとも１つのデータパケットからドメイン名を抽出するためのモジュールとをさらに備えることができる。ユーザプレーンエンティティは、セッションポリシおよび抽出されているドメイン名に基づいて、データパケットをフィルタリングするためのモジュールをさらに備えることができる。

【0024】

さらに、別の態様は、ユーザ機器とコンテンツプロバイダとの間でデータパケットを交換するためのデータパケットフローを提供すること確立するために無線通信ネットワークに接続可能なユーザ機器を動作させるための方法に関し、データパケットフローは、コンテンツプロバイダのドメイン名を暗号化している。本方法は、データパケットフローの少なくとも１つのデータパケットに、非暗号化形態のドメイン名を追加するステップを含むことができる。本方法は、無線通信ネットワークのユーザプレーンエンティティに少なくとも１つのデータパケットを伝送するステップをさらに含むことができる。

【0025】

さらに、別の態様は、無線通信ネットワークに接続可能なユーザ機器であって、処理ユニットおよびメモリを備え、メモリは、処理ユニットに、ユーザ機器動作させるための方法について上述したステップを実行させるように設定されている命令を含む、ユーザ機器に関する。

【0026】

さらに、別の態様は、ユーザ機器とコンテンツプロバイダとの間でデータパケットを交換するためのデータパケットフローを提供すること確立するために無線通信ネットワークに接続可能なユーザ機器に関し、データパケットフローは、コンテンツプロバイダのドメイン名を暗号化している。ユーザ機器は、データパケットフローの少なくとも１つのデータパケットに、非暗号化形態のドメイン名を追加するためのモジュールを備えることができる。ユーザ機器は、無線通信ネットワークのユーザプレーンエンティティに少なくとも１つのデータパケットを伝送するためのモジュールをさらに備えることができる。

【0027】

さらに、別の態様は、上記のエンティティのいずれかから選択される少なくとも２つのエンティティを備えるシステムに関する。

【0028】

さらなる態様は、ポリシ制御エンティティ、ユーザプレーンエンティティ、ユーザ機器の少なくとも１つの処理ユニットによって実行されるプログラムコードを含むコンピュータプログラムに関し、プログラムコードの実行は、処理ユニットに、それぞれのエンティティについて上記で言及したような方法を実行させる。

【0029】

上記で言及した特徴、および、下記にこれより説明する特徴は、指示されているそれぞれの組合せにおいてだけでなく、本発明の範囲から逸脱することなく、他の組合せにおいて、または、単独においても使用することができることは理解されたい。上記で言及した態様および下記に説明する実施形態の特徴は、明示的に別途言及されない限り、他の実施形態において互いに組み合わされてもよい。

【0030】

他のデバイス、システム、方法、機構および利点は、以下の詳細な説明および図面を検討することによって、当業者に明らかであるかまたは明らかとなろう。すべてのこのような追加のシステム、方法、機構および利点が本明細書内に含まれ本発明の範囲内に含まれるとともに、添付の特許請求の範囲によって保護されることが意図されている。

【0031】

実施形態の様々な特徴は、添付の図面とともに読まれるときにより明らかになるであろう。

【図面の簡単な説明】

【0032】

【図1】３ＧＰＰによって定義されているものとしての５Ｇ ＮＲ参照アーキテクチャを示す概略図である。

【図2】データパケットフィルタリングを実施するために無線通信ネットワークによって実行される方法の例示的なフローチャートを示す概略図である。

【図3】ポリシ制御エンティティを動作させるための例示的な方法を示す概略図である。

【図4】ユーザプレーンエンティティを動作させるための例示的な方法を示す概略図である。

【図5】ユーザ機器を動作させるための例示的な方法を示す概略図である。

【図6】ポリシ制御エンティティの例示的な実施態様を示す概略図である。

【図7】ポリシ制御エンティティの例示的な実施態様を示す概略図である。

【図8】ユーザプレーンエンティティの例示的な実施態様を示す概略図である。

【図9】ユーザプレーンエンティティの例示的な実施態様を示す概略図である。

【図10】ユーザ機器の例示的な実施態様を示す概略図である。

【図11】ユーザ機器の例示的な実施態様を示す概略図である。

【発明を実施するための形態】

【0033】

以下において、添付の図面を参照して、本発明の実施形態を詳細に説明する。以下の実施形態の説明は、限定する意味において解釈されるべきではないことは理解されたい。本発明の範囲は、単なる例示であるべきである、以下にまたは図面によって説明される実施形態によって限定されるようには意図されていない。

【0034】

図面は、概略表現であるものとして考えられるべきであり、図面に示す要素は、必ずしも原寸に比例するようには示されていない。むしろ、様々な要素は、それらの機能および一般的な目的が当業者に明らかになるように表されている。図面に示され以降に説明されている物理または機能ユニットの機能ブロック、デバイス、構成要素の間の任意の接続または結合はまた、間接接続または結合によって実施されてもよい。構成要素間の結合は、有線または無線接続を介して確立されてもよい。機能ブロックは、ハードウェア、ソフトウェア、ファームウェア、またはそれらの組合せにおいて実施することができる。

【0035】

本発明の一般的ないくつかの態様は、たとえば、ポリシ制御エンティティが、コンテンツフィルタリングが適用されるべきである加入者プロファイルを取り出したときなど、コンテンツフィルタリングがトリガされる必要があるときはいつでも、ポリシ制御エンティティがユーザ機器に以下のことを指示することができるメカニズムを提案する。
－ たとえば、ＤＮＳ手順におけるＦＱＤＮドメイン、任意選択的および付加的にまたＴＬＳ／ＱＵＩＣベースのアプリケーションのＳＮＩなど、ユーザ機器上のアプリケーションがユーザ機器のより下位の層に要求するドメイン名を検出すること、ならびに
－ トークンならびに上記で検出したドメイン名および／またはＳＮＩによってＩＰオプションヘッダなどのトラフィックをマークすること。

【0036】

このように、ユーザ機器からのトラフィックをネットワークによって識別することができ、ドメイン名を取り出すことができる。また一般的に、代替的にまたは加えて、ポリシ制御エンティティは、ユーザ機器にＤＮＳクエリを強制的にトリガさせるために、ユーザ機器にそのＤＮＳキャッシュをクリアアウトするように指示することができる。上記は、すべてのユーザ機器セッショントラフィックに適用され得るが、場合によってはアプリＩＤごとに、すなわち、アプリケーションＩＤに基づいて適用され得る。たとえば、Ｇｏｏｇｌｅ Ｃｈｒｏｍｅアプリ、または、Ｃｈｒｏｍｅ、Ｆｉｒｅｆｏｘ、ＥｘｐｌｏｒｅｒなどのＵＥ内の任意のブラウザアプリなど。

【0037】

また一般的に、本発明のいくつかの態様は、ユーザプレーンエンティティがトークンを検出し、ドメイン名を抽出することができることを提案する。いくつかの実施態様において、ユーザプレーンエンティティは、ＩＣＡＰクライアントを作動させ、上記ドメイン名をＩＣＡＰサーバに送信することができる。次いで、ユーザプレーンエンティティは、成人向け／暴力的などの、返されたカテゴリに基づいて、トラフィックを許可／ブロックすることができる。このソリューションは、さらに、たとえば、ユーザが成人向け／暴力的なサイトに入ろうとしたか否かをチェックするために、コンテンツフィルタリングの対象としてトラフィックを報告することを可能にする。

【0038】

このように、提案されるソリューションは、ネットワークオペレータが、特に、トラフィックがＤＮＳ暗号化および／またはＨＴＴＰＳ／ＴＬＳもしくはＱＵＩＣによって暗号化されているときに、ユーザのアプリケーショントラフィックに対するコンテンツフィルタリングポリシをトリガすることを可能にする。

【0039】

図２は、コンテンツプロバイダ４００およびユーザ機器１００からのトラフィックのフィルタリングを実施するために、無線通信ネットワーク２００によって実行される方法の例示的なフローチャートを示す。

【0040】

本出願の文脈内で、「モバイルエンティティ」または「ユーザ機器」（ＵＥ）１００という用語は、たとえば、人（すなわち、ユーザ）が自身の個人的な通信のために使用するデバイスを指す。これは、たとえば、電話またはセッション開始プロトコル（ＳＩＰ）もしくはボイスオーバＩＰ（ＶｏＩＰ）電話機、携帯電話機、移動局、コードレス電話機などの電話タイプのデバイス、または、無線データ接続を備えたラップトップ、ノートブック、ノートパッド、タブレットのような個人情報端末タイプのデバイスとすることができる。ＵＥはまた、動物、植物、または機械のような非人間と関連付けられてもよい。ＵＥは、ＵＥを使用するユーザと関連付けられる、ＩＭＳＩ（国際移動加入者識別子）、ＴＭＳＩ（一時的移動加入者識別子）、またはＧＵＴＩ（グローバル一意一時的ＵＥ識別子）などの一意の識別子を含むＳＩＭ（加入者識別モジュール）または電子ＳＩＭを備えてもよい。ＵＥ内にＳＩＭが存在することによって、ユーザのサブスクリプションによってＵＥが一意にカスタマイズされる。

【0041】

明瞭にするために、ユーザと加入者との間には差異があるが、緊密な関連もあることに留意されたい。ユーザは、ネットワークに対するサブスクリプションを獲得すること、および、ネットワーク内の加入者になることによって、ネットワークにアクセスすることができる。次いで、ネットワークは、加入者を認識し（たとえば、ＩＭＳＩ、ＴＭＳＩまたはＧＵＴＩなどによって）、関連付けられるサブスクリプションを使用して関連する加入者データを識別する。ユーザは、ＵＥの実際の使用者であり、ユーザはまた、サブスクリプションを所有する者である場合もあるが、ユーザとサブスクリプションの所有者とは異なる場合もある。たとえば、サブスクリプション所有者が親である場合があり、ＵＥの実際の使用者がその親の子である可能性がある。

【0042】

無線通信ネットワーク２００は、一般的に、ユーザ機器１００との無線通信を可能にする任意の通信ネットワークである。いくつかの実施形態において、無線通信ネットワーク２００は、ＬＴＥネットワークまたは５Ｇ ＮＲネットワークであり得る。

【0043】

無線通信ネットワーク２００は、アクセス管理エンティティ２１０を備える。アクセス管理エンティティ２１０は、一般的に、たとえば、ＵＥアクセスが異なるアクセスネットワークおよびＵＥモビリティ態様を通じて接続されるときに、ＵＥアクセスを管理することができる。本発明の態様において、アクセス管理エンティティ２１０は、ＵＥ規則をポリシ制御エンティティ２４０からＵＥに転送するために使用することができる。５Ｇ ＮＲ実施態様において、アクセス管理エンティティ２１０は、ＡＭＦ（アクセス・モビリティ管理機能）によって実装することができる。ＬＴＥ実施態様において、アクセス管理エンティティ２１０は、モビリティ管理エンティティ（ＭＭＥ）によって実装することができる。

【0044】

無線通信ネットワーク２００は、ユーザプレーンエンティティ２３０をさらに備える。ユーザプレーンエンティティ２３０は、一般的に、少なくとも、セッション制御エンティティ２２０から受信される規則に基づいてユーザプレーントラフィックのハンドリングをサポートすることができる。したがって、ユーザプレーンエンティティ２３０は、たとえば、パケット検査、および、ＱｏＳ、課金などのような、ユーザ機器１００に特有の異なる執行措置を実行することができる。５Ｇ ＮＲ実施態様において、ユーザプレーンエンティティ２３０は、ＵＰＦ（ユーザプレーン機能）によって実装することができる。ＬＴＥ実施態様において、ユーザプレーンエンティティ２３０は、ＰＧＷ－Ｕ（パケットデータネットワークゲートウェイのユーザプレーン）および／またはＴＤＦ－Ｕ（トラフィック検出機能のユーザプレーン）によって実装することができる。

【0045】

無線通信ネットワーク２００は、ポリシ制御エンティティ２４０をさらに備える。ポリシ制御エンティティ２４０は、一般的に、少なくとも、無線通信ネットワーク２００の挙動を統制するための統合ポリシフレームワークをサポートすることができる。たとえば、ポリシ制御エンティティ２４０は、セッション制御エンティティ２２０にＰＣＣ（ポリシ・課金制御）規則を提供することができる。５Ｇ ＮＲ実施態様において、ポリシ制御エンティティ２４０は、ＰＣＦ（ポリシ制御機能）によって実装することができる。ＬＴＥ実施態様において、ポリシ制御エンティティ２４０は、ＰＣＲＦ（ポリシ・課金規則機能）によって実装することができる。

【0046】

無線通信ネットワーク２００は、セッション制御エンティティ２２０をさらに備える。セッション制御エンティティ２２０は、一般的に、少なくとも、ポリシ制御エンティティ２４０からＰＣＣ（ポリシ・課金制御）規則を受信し、それに従ってユーザプレーンエンティティ２３０を設定することができる。５Ｇ ＮＲ実施態様において、セッション制御エンティティ２２０は、ＳＭＦ（セッション管理機能）によって実装することができる。ＬＴＥ実施態様において、セッション制御エンティティ２２０は、ＰＧＷ－Ｃ（パケットデータネットワークゲートウェイの制御プレーン）および／またはＴＤＦ－Ｃ（トラフィック検出機能の制御プレーン）によって実装することができる。

【0047】

無線通信ネットワーク２００は、データリポジトリ２５０をさらに備える。データリポジトリ２５０は、一般的に、少なくとも、ポリシおよび／または設定データなどのデータの記憶および取り出しを可能にすることができる。５Ｇ ＮＲ実施態様において、データリポジトリ２５０は、ＵＤＲ（統合データリポジトリ）によって実装することができる。ＬＴＥ実施態様において、データリポジトリ２５０は、たとえば、３ＧＰＰ ＴＳ ２３．２０３によって、特に図５．１．１およびそれぞれの説明において記載されているようなＳＰＲ（サブスクリプションプロファイルリポジトリ）によって実装することができる。

【0048】

コンテンツプロバイダ４００は、無線通信ネットワーク２００を介してユーザ機器１００にコンテンツを提供することができるノードとすることができる。たとえば、コンテンツプロバイダ４００はサーバとすることができる。５Ｇ ＮＲ実施態様において、コンテンツプロバイダ４００は、ＡＦ（アプリケーション機能）によって実装することができる。ＬＴＥ実施態様において、コンテンツプロバイダ４００は、ＳＣＳ／ＡＦ（サービス機能サーバ／アプリケーション機能）によって実装することができる。

【0049】

サーバ３００は、インターネットコンテンツ適合プロトコル（ＩＣＡＰ）サーバ、または、一般的に、コンテンツプロバイダ４００によって提供されるコンテンツのカテゴリに関する情報を取り出すことを可能にする任意のサーバとすることができる。

【0050】

ユーザ機器１００、サーバ３００、コンテンツプロバイダ４００、および無線通信ネットワーク２００のエンティティのいずれかのうちのいずれかは、単独でまたは他のエンティティと組み合わせて、ハードウェア、ファームウェアおよび／またはソフトウェアによって実装することができることは理解されたい。

【0051】

図２に示す方法は、上述したエンティティのうちのいくつかの可能な挙動を示す。以下の説明から明らかになるように、本発明は必ずしも、図２に示すすべてのステップが実施されることを必要としない。

【0052】

図２において、ユーザ機器１００に関連付けられる加入者が、ネットワーク２００には分かっており、コンテンツフィルタリングポリシを受けると仮定する。図２は、一般的に、セッション確立の一部として発生し、第１の水平二重線と第２の水平二重線との間の部分として識別される設定セクションと、アプリケーショントラフィックの一部として発生し、第３の水平二重線の下方の部分として識別される使用事例セクションとを含む。図２は、セッション確立またはアプリケーショントラフィックに必要なすべてのステップを示しているわけではなく、本発明の実行に関与し得るステップに限定されることが明らかであろう。

【0053】

ネットワーク２００は、一般的に、ユーザ機器１００とコンテンツプロバイダ４００との間でデータパケットを交換するためのデータパケットフローが提供されるかまたは提供することができる無線通信ネットワークであり、データパケットフローは、コンテンツプロバイダ４００のドメイン名を暗号化している。好ましくは、ドメイン名および／またはＳＮＩの暗号化は、ＴＬＳ、ＱＵＩＣまたはＤＮＳオーバＨＴＴＰＳなどの所定のプロトコルに従って、ユーザ機器によって実施される。本明細書の文脈において、ドメイン名は、コンテンツプロバイダ４００のドメイン名および／またはコンテンツプロバイダ４００のＳＮＩを指すことができる。

【0054】

データパケットフローのために実装されるプロトコルは、ドメイン名および／またはＳＮＩの暗号化を必要とするため、通常、ネットワーク２００がいずれのＳＮＩおよび／もしくはドメイン名から、ならびに／または、いずれのＳＮＩおよび／もしくはドメイン名へとデータパケットフローが方向付けられているかを検出することは不可能である。これによって、実効的に、ネットワーク２００においてコンテンツフィルタリングが実施されることが妨げられる。しかしながら、以下からより明らかになるように、本発明の実施によって、ドメイン名および／またはＳＮＩを非暗号化形態でデータパケットフローに含めることがさらに可能であり、結果、ネットワーク２００がフィルタリングされるパケットを認識することができる。

【0055】

ステップＳ１において、ユーザ機器１００が、たとえば、ＰＤＵセッション確立手順などのセッション確立手順をトリガするためのメッセージをアクセス管理エンティティ２１０に伝送する。ステップＳ２において、アクセス管理エンティティ２１０が、セッション確立をトリガするためのメッセージをセッション制御エンティティ２２０に伝送する。

【0056】

ステップＳ３において、アクセス管理エンティティ２１０が、加入者に関連付けられるユーザポリシを要求するためのメッセージをポリシ制御エンティティ２４０に伝送する。ステップＳ４において、セッション制御エンティティ２２０が、加入者に関連付けられるセッションポリシを要求するためのメッセージをポリシ制御エンティティ２４０に伝送する。

【0057】

ステップＳ５において、ポリシ制御エンティティ２４０が、ユーザ機器のユーザ、すなわち、ユーザ機器を現在使用している加入者と関連付けられるユーザポリシプロファイルを要求するためのメッセージをデータリポジトリ２５０に伝送する。

【0058】

ステップＳ６において、データリポジトリ２５０が、ユーザポリシプロファイルをポリシ制御エンティティ２４０に伝送する。本発明の文脈において、ユーザポリシプロファイルは、少なくとも、データパケットをフィルタリングするためのコンテンツフィルタリングポリシを含む。すなわち、場合によっては、ユーザに関連付けられ得る他のポリシに加えて、ユーザポリシプロファイルは、ユーザが、たとえば暴力、わいせつ情報などに関連付けられるコンテンツをフィルタリングするための、コンテンツフィルタリングの対象であるか否かを判定することを可能にするデータを含む。コンテンツフィルタリングが実施される必要があるか否か、および、そうである場合、いずれのカテゴリのコンテンツについて実施される必要があるかを規定するための様々な様式を実装することができ、それらの様式は詳細には論じない。図２に示す実施形態において、ユーザポリシプロファイルが、現在のユーザについて、コンテンツフィルタリングが実施される必要があることを指示すると仮定する。

【0059】

ステップＳ７において、ポリシ制御エンティティ２４０が、ユーザポリシプロファイルに基づいて、たとえば、ポリシ・課金制御規則（ＰＣＣ）などのポリシ規則を生成する。ポリシ規則は、ユーザプレーンエンティティに対するセッションポリシを含むことができる。

【0060】

セッションポリシは、データパケットをフィルタリングするようにユーザプレーンエンティティ２３０に指示するための規則を含むことができる。特に、セッションポリシは、以下の説明からより明らかになるように、フィルタリングされるべきコンテンツに関連付けられるドメイン名へのおよび／または当該ドメイン名からのデータパケットをフィルタリングするように、ユーザプレーンエンティティ２３０に指示することができる。ドメイン名は、ユーザ機器１００とコンテンツプロバイダ４００との間のデータパケットフローから抽出することができる。いくつかの実施形態において、セッションポリシは、非暗号化形態のドメイン名の伝送をユーザプレーンエンティティ２３０に示すための識別子をさらに含むことができる。

【0061】

このようにして、以下に説明するように、ユーザ機器１００へのおよび／もしくはユーザ機器１００からの、または、一般的にユーザ機器１００とコンテンツプロバイダ４００との間のデータパケットからドメイン名を抽出するように、ユーザプレーンエンティティ２３０に指示することができる。抽出は、識別子を、ユーザ機器１００によって伝送される時に認識することによって単純化することができるが、本発明は、これに限定されず、ユーザプレーンエンティティ２３０は、代わりに、パケットから非暗号化形態のドメイン名を識別し、抽出するために、すべてのデータパケットを解析するように指示されてもよい。抽出されると、ドメイン名は、ユーザプレーンエンティティ２３０によって、ユーザ機器が、セッションポリシによって指示されているように、したがって、ユーザポリシプロファイルによって、フィルタリングされるべきであるコンテンツにアクセスしようとしているか否かを判定するために使用することができる。これが当てはまる場合、ユーザプレーンエンティティ２３０は、次いで、ユーザ機器１００と、そのドメイン名がそのユーザについてフィルタリングされるべきであるコンテンツと関連付けられると考えられるコンテンツプロバイダ４００との間でパケットを停止することができる。

【0062】

ステップＳ８において、ポリシ制御エンティティ２４０が、少なくともセッションポリシを含むメッセージをセッション制御エンティティ２２０に伝送する。いくつかの実施形態において、ステップＳ８は、ステップＳ４におけるメッセージに応答する、セッション確立応答の一部とすることができる。

【0063】

ステップＳ９において、セッション制御エンティティ２２０が、少なくともセッションポリシを含むメッセージをユーザプレーンエンティティ２３０に伝送することができる。このようにして、ユーザプレーンエンティティ２３０に、セッションポリシを通知することができる。いくつかの実施形態において、ステップＳ９において伝送されるメッセージは、ユーザプレーンエンティティ２３０へのセッション確立要求とすることができるが、本発明はそれに限定されず、コンテンツフィルタリングに関連付けられるセッションポリシも、セッション確立要求メッセージの前または後に伝送することができる。特に、いくつかの実施形態において、セッション制御エンティティ２２０は、パケット検出規則（ＰＤＲ）を示すために、ユーザプレーンエンティティ２３０に向けたパケット転送制御プロトコル（ＰＦＣＰ）セッション確立手順をトリガすることができる、すなわち、これは、データパケットを特定の処理規則に照合するための情報、および、ＦＡＲ、ＱＥＲ、ＵＲＲなどのような、ＰＤＵセッションの対応する執行措置を含む。特に、いくつかの実施形態において、セッション制御エンティティ２２０は、適用可能な場合は識別子によって、またはより一般的には非暗号化ドメイン名によってマークされているトラフィックを検出すること、および、セッションポリシによって示されるものとしてのコンテンツフィルタリングポリシを適用することを、ユーザプレーンエンティティ２３０に要求することができる。

【0064】

例示されている実施形態において、セッションポリシが、ポリシ制御エンティティ２４０からセッション制御エンティティ２２０を通じてユーザプレーンエンティティ２３０に伝送されるが、本発明はこれに限定されない。いくつかの実施形態において、ポリシ制御エンティティ２４０は、セッションポリシをユーザプレーンエンティティ２３０に直接的に伝送することができる。

【0065】

ステップＳ１１において、ポリシ制御エンティティ２４０が、ユーザ機器に対するユーザポリシを生成する。

【0066】

ユーザポリシは、たとえば、コンテンツプロバイダ４００のドメイン名などのドメイン名を、非暗号化形態でデータパケットに追加するようにユーザ機器１００に指示するための規則を含むことができる。特に、ユーザ機器１００には、ＤＮＳ手順におけるＦＱＤＮドメインおよび／または特にＴＬＳトラフィックのＳＮＩなどの、ユーザ機器１００上のアプリケーションがユーザ機器１００のより下位の層に要求するドメイン名を検出するように指示することができる。ユーザ機器１００にはまた、ユーザ機器１００とコンテンツプロバイダ４００との間のデータパケットフローのデータパケットのうちの１つまたは複数に、好ましくは、暗号化形態のドメイン名を含むデータパケットのうちの少なくとも１つに、ドメイン名および／またはＳＮＩを含めるように指示することもできる。

【0067】

いくつかの実施形態において、ユーザポリシは、非暗号化形態のドメイン名の伝送をユーザプレーンエンティティ２３０に示すための識別子をさらに含むことができる。識別子は、好ましくは、適用可能な場合はセッションポリシに含まれるものと同じである。このようにして、データパケットのＩＰオプションヘッダなどのトラフィックを、上記で検出されたドメイン名および／またはＳＮＩに加えて、識別子によってマークすることが可能である。

【0068】

上記の説明において、適用可能な場合、識別子は、ユーザプレーンエンティティ２３０およびユーザ機器１００に伝送されるものとして示されている。これによって、ユーザ機器１００は、非暗号化形態のドメイン名および／またはＳＮＩの存在を、ユーザプレーンエンティティ２３０に示すことが可能である。たとえば、識別子ならびに非暗号化形態のドメイン名および／またはＳＮＩを、ユーザプレーンエンティティに警告するように、好ましくは識別子を最初にして、ユーザ機器によってデータパケットに含めることができる。しかしながら、本発明はこれに限定されるものではない。場合によっては、ユーザプレーンエンティティ２３０およびユーザ機器１００に識別子を伝送する代わりに、たとえば、ユーザ機器１００およびネットワーク２００によって実装される電気通信規格によって定義される所定の値を有することによって、識別子がそれらのエンティティの一方または両方に知られていてもよい。

【0069】

代替的に、または加えて、いくつかの実施形態において、ユーザポリシは、ユーザ機器に対する、そのＤＮＳキャッシュをクリアする指示をさらに含むことができる。これは、有利には、ＤＮＳクエリにおける非暗号化ドメイン名の伝送が、ユーザプレーンエンティティ２３０によって認識され得るように、ユーザ機器におけるＤＮＳクエリをトリガすることを可能にする。

【0070】

いくつかの実施形態において、ユーザ機器１００には、すべてのセッショントラフィックについて上記の指示のいずれかを実施するように指示することができる。代替的に、または加えて、ユーザポリシは、ユーザ機器に対する、上記のステップのうちの１つまたは複数をアプリケーションごとに適用する指示を含むことができる。たとえば、ユーザポリシは、たとえば、Ｇｏｏｇｌｅ Ｃｈｒｏｍｅ、Ｆｉｒｅｆｏｘ、Ｅｘｐｌｏｒｅｒなどのブラウザなどのアプリケーションを識別するための１つまたは複数のアプリケーション識別子を含むことができる。

【0071】

ステップＳ１２において、ポリシ制御エンティティ２４０が、少なくともユーザポリシを含むメッセージをアクセス管理エンティティ２１０に伝送する。いくつかの実施形態において、メッセージは、ステップＳ３のメッセージに応答したものとすることができる。

【0072】

ステップＳ１３において、アクセス管理エンティティ２１０が、少なくともユーザポリシを含むメッセージをユーザ機器１００に伝送する。いくつかの実施形態において、このメッセージは、ステップＳ１におけるメッセージに応答する、セッション確立応答の一部とすることができる。

【0073】

ステップＳ１４において、ユーザ機器が、ユーザポリシを記憶する。これによって、コンテンツフィルタリングを目的としたユーザ機器１００およびネットワーク２００の設定が完結するが、必要に応じて、ＰＤＵセッション確立を完了するために追加のステップが実施されてもよいことは明らかであろう。

【0074】

上記ステップによって、ユーザ機器１００には、一般的に、たとえデータパケットフローを定義するプロトコルが、ドメイン名および／またはＳＮＩを暗号化形態で含めることのみをユーザ機器１００に指示する場合であっても、少なくともドメイン名および／またはＳＮＩを非暗号化形態でデータパケットフローに含めるように指示することができる。すなわち、プロトコルによる要求に対する暗号化形態に加えて、ユーザ機器１００はまた、ドメイン名および／またはＳＮＩを非暗号化形態でデータパケットフローに含めることもできる。これによって、以下から明らかになるように、ユーザプレーンエンティティ２３０が、データパケットフロー内の非暗号化ドメイン名および／またはＳＮＩを検出することが可能になり、以て、コンテンツフィルタリングが可能になる。

【0075】

図２内の第２の水平二重線によって概略的に示されているようにセッション確立が完了した後、ユーザ機器１００は、図２内の第３の水平二重線によって概略的に示されているように、コンテンツプロバイダとアプリケーショントラフィックを交換することができる。

【0076】

特に、ユーザは、コンテンツプロバイダ４００とデータを交換することを要求する、ユーザ機器１００上のアプリケーションを始動することができる。たとえば、アプリケーションは、ＴＬＳおよび／またはＱＵＩＣを介してドメインｅｘａｍｐｌｅ．ｃｏｍとデータを交換することを要求する。

【0077】

ステップＳ１５において、ユーザ機器１００が、コンテンツプロバイダ４００の非暗号化形態のドメイン名および／またはＳＮＩを、アプリケーショントラフィックのデータパケットフローの少なくとも１つのデータパケットに追加する。

【0078】

好適な実施形態において、追加されるドメイン名および／またはＳＮＩは、アプリケーショントラフィックに対するＤＮＳクエリにおいて使用されるドメイン名として、ユーザ機器によって検出することができる。そのような実施形態において、ユーザ機器１００に対する、そのＤＮＳキャッシュをクリアする前述の指示には、すべての新たなドメイン名および／またはＳＮＩに対するＤＮＳクエリをユーザ機器に強制的に実施させるという有利な効果があり、したがって、新たなドメイン名がある度に検出されることが保証される。しかしながら、本発明はこれに限定されるものではない。代替的に、または加えて、ドメイン名および／またはＳＮＩは、ユーザ機器によって、ＤＮＳオーバＨＴＴＰＳに加えて、たとえば、ＴＬＳまたはＱＵＩＣなどの、任意のデータパケットプロトコルを通じてデータを伝送することを求めるアプリケーション要求から抽出されてもよい。このようにして、たとえ新たなＤＮＳクエリがなくとも、本発明は、ドメイン名および／またはＳＮＩを抽出し、これをデータパケットフローに追加することに進むことができる。

【0079】

好適な実施形態において、非暗号化形態のドメイン名の伝送を示すための識別子が実装される場合、ステップＳ１５はまた、識別子をパケットフローの少なくとも１つのデータパケットに、好ましくは、ドメイン名が非暗号化形態で追加されるものと同じデータパケットに追加することも含むことができる。

【0080】

いくつかの実施形態において、ドメイン名が非暗号化形態で追加されるデータパケットは、好ましくは、たとえば、ドメイン名および／またはＳＮＩを暗号化形態で実装するＴＬＳ、ＱＵＩＣまたはＤＮＳオーバＨＴＴＰＳのいずれかによるデータパケットなどの、暗号化形態のドメイン名を含むデータパケットフローのデータパケットである。また好ましくは、ドメイン名が非暗号化形態で追加されるデータパケットは、好ましくは、暗号化形態のドメイン名を含むデータパケットである。代替的に、または加えて、ドメイン名が非暗号化形態で追加されるデータパケットは、好ましくは、ユーザ機器からコンテンツプロバイダ４００に送信される最初のデータパケットである。

【0081】

いくつかの好適な実施形態において、ドメイン名は、データパケットのＩＰオプションヘッダ内に、非暗号化形態で追加される。実装される場合、識別子も、ＩＰオプションヘッダに追加することができる。

【0082】

ステップＳ１６において、ドメイン名が非暗号化形態で追加されたデータパケットが、ユーザ機器からユーザプレーンエンティティ２３０に伝送される。

【0083】

ステップＳ１７において、ユーザプレーンエンティティ２３０が、少なくとも１つのデータパケットからドメイン名を抽出する。ドメイン名の認識は、たとえば、ユーザ機器１００からのすべてのデータパケットを解析して、ドメイン名としてフォーマットされているデータシーケンスを探すことによって実施することができる。代替的に、または加えて、識別子が実装される実施形態において、ドメイン名を求めての解析は、データパケットフロー内での識別子の認識によってトリガすることができる。たとえば、所定の英数字列などの識別子の認識は、ドメイン名ベースのフォーマット化規則の認識よりも計算集約度が低いため、これは特に有利である。参照されている実施形態において、識別子とドメイン名との間の距離は、ユーザプレーンエンティティ２３０におけるドメイン名の検出および抽出に必要な計算労力をさらに単純化するように、予め定めることができ、かつ／または、識別子によって示すことができる。また代替的に、または加えて、識別子は、ユーザプレーンエンティティ２３０の動作をさらに単純化するように、ドメイン名の長さを示すフィールドを含むことができるか、または、そのフィールドを後続させることができる。

【0084】

ステップＳ１８において、ユーザプレーンエンティティが、少なくとも抽出されたドメイン名および／またはＳＮＩを含むメッセージをサーバ３００に伝送する。サーバ３００は、ドメイン名および／またはＳＮＩに基づいて、所定の様式においてドメイン名および／またはＳＮＩによって提供されるコンテンツをカテゴリ化することができる任意のサーバであると理解される。すなわち、サーバ３００は、所定の様式において、抽出されたドメイン名および／またはＳＮＩによって、いずれのタイプまたはレベルのコンテンツが利用可能にされるかをネットワーク２００に示すことができる。従来技術のプロトコルによって可能にされるものとしての、非暗号化形態のドメイン名の検出に基づいてステップＳ１８を実施するための任意の既知の様式を実施することができることは明らかであろう。

【0085】

好適な実施形態において、サーバ３００はＩＣＡＰサーバによって実装することができ、したがって、ステップＳ１８のメッセージは、ＩＣＡＰクライアントとして動作するユーザプレーンエンティティ２３０からＵＰＦメッセージとして送信することができ、ＩＣＡＰクエリメッセージ内にドメイン名および／またはＳＮＩを含む。

【0086】

ステップＳ１９において、サーバ３００は、ステップＳ１８のメッセージとともに受信されるドメイン名および／またはＳＮＩによって提供されるコンテンツを評価する。ステップＳ２０において、サーバ３００は、ドメイン名および／またはＳＮＩによって提供されるコンテンツのタイプおよび／またはレベルの指示によって、ステップＳ１８のメッセージに返答する。

【0087】

ステップＳ２１において、サーバ３００から取得される情報に基づいて、好ましくはまた、セッションポリシにも基づいて、ユーザプレーンエンティティ２３０が、ユーザ機器１００とコンテンツプロバイダ４００との間のデータパケットをフィルタリングすべきか否かを判断する。たとえば、セッションポリシが暴力的なコンテンツを許容するが、性的なコンテンツは許容しない場合に、サーバ３００が暴力的なコンテンツを示す場合、トラフィックは許可され、一方、サーバ３００が性的なコンテンツを示す場合、トラフィックはブロックされる。このように、ステップＳ１８～Ｓ２１は、セッションポリシおよび抽出されているドメイン名に基づいて、データパケットのフィルタリングを実施することを可能にする。

【0088】

図２に示されてはいないが、ユーザプレーンエンティティ２３０によってパケットがフィルタリングされる、すなわち、ブロックされる場合、ユーザプレーンエンティティ２３０はまた、このフィルタリングをネットワーク２００内の他のエンティティに報告してもよい。たとえば、本発明がペアレンタルコントロールシステムの一部として実装される場合、これによって、加入者が許可されていないコンテンツにアクセスしようとしたことを報告することが可能である。

【0089】

また代替的に、または加えて、図２に示されてはいないが、パケットがフィルタリングされない場合、ユーザプレーンエンティティ２３０は、データパケットフローからの非暗号化形態の抽出されたドメイン名および／またはＳＮＩの除去に進んでもよい。このようにして、説明されているように、ネットワーク２００がコンテンツフィルタリングを実施することを依然として可能にしながら、ネットワーク２００とコンテンツプロバイダ４００との間のデータパケットフローのセキュリティを強化することができる。

【0090】

擬似コードで書かれており、たとえば、オプションの識別子がｔｏｋｅｎＩｄ（トークンＩＤ）として示され、オプションのＤＮＳキャッシュクリアも実施する５Ｇ実施態様を参照した、図２による方法において交換されるメッセージの１つの可能な例示的実施形態は、たとえば、以下のように形式化することができる。
－ Ｓ１：ＰＤＵセッション確立要求
－ Ｓ２：Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ要求
－ Ｓ３：Ｎｐｃｆ＿ＡＭＰｏｌｉｃｙＣｏｎｔｒｏｌ＿Ｃｒｅａｔｅ要求
－ Ｓ４：Ｎｐｃｆ＿ＳＭＰｏｌｉｃｙＣｏｎｔｒｏｌ＿Ｃｒｅａｔｅ要求
－ Ｓ５：｛ＳＵＰＩ｝を含むＵＤＲポリシプロファイル要求
－ Ｓ６：｛コンテンツフィルタリングポリシ｝を含むＵＤＲポリシプロファイル応答
－ Ｓ７：ＰＣＣ規則を生成するＰＣＦ
－ Ｓ８：｛ｔｏｋｅｎＩｄによってマークされたトラフィックを検出し、コンテンツフィルタリングポリシを適用することを求める要求を含むＰＣＣ規則｝を含むＮｐｃｆ＿ＳＭＰｏｌｉｃｙＣｏｎｔｒｏｌ＿Ｃｒｅａｔｅ応答
－ Ｓ９：ＰＦＣＰセッション確立要求｛ｔｏｋｅｎＩｄによってマークされたトラフィックを検出し、コンテンツフィルタリングポリシを適用することを求める要求を含むＰＤＲ／ＦＡＲ／ＱＥＲ／ＵＲＲ｝
－ Ｓ１０：ＰＦＣＰセッション確立応答
－ Ｓ１１：ＰＣＦが、ドメイン名を検出し、（ｔｏｋｅｎＩｄ，ドメイン名）をマークし、ＤＮＳキャッシュをクリアアウトすることをＵＥに要求する
－ Ｓ１２：｛（ｔｏｋｅｎＩｄ，ドメイン名）をマークし、ＤＮＳキャッシュをクリアアウトするためのＵＥポリシ｝を含むＮｐｃｆ＿ＡＭＰｏｌｉｃｙＣｏｎｔｒｏｌ＿Ｃｒｅａｔｅ応答
－ Ｓ１３：｛（ｔｏｋｅｎＩｄ，ドメイン名）をマークし、ＤＮＳキャッシュをクリアアウトするためのＵＥポリシ｝を含むセッション確立応答
－ Ｓ１４：ＵＥがＵＥポリシを記憶する
－ Ｓ１５：ＵＥがＴＬＳまたはＱＵＩＣを介してアプリケーション（ｅｘａｍｐｌｅ．ｃｏｍ）を始動する。ＵＥが、要求されたドメイン名を検出し、ｔｏｋｅｎＩｄおよびドメイン名によってトラフィックをマークする
－ Ｓ１６：｛ｔｏｋｅｎＩｄ，ドメイン名｝を含むアプリケーショントラフィック
－ Ｓ１７：ＵＰＦがｔｏｋｅｎＩｄを検出し、ドメイン名を抽出する
－ Ｓ１８：｛ドメイン名｝を含むＩＣＡＰクエリ
－ Ｓ１９：ＩＣＡＰサーバが暴力コンテンツカテゴリにおいてデータベース内でドメイン名を見つける
－ Ｓ２０：｛コンテンツカテゴリ＝暴力｝を含むＩＣＡＰ応答
－ Ｓ２１：ＵＰＦが、コンテンツカテゴリに基づいて、対応する措置（たとえば、ブロック）を適用する

【0091】

上記は本発明を特定のステップに限定するようには意図されておらず、当業者に明らかになるように、この例示的な実施態様にあるようなすべてのステップが実施されなければならないわけではないことが明らかであろう。上述したような１つのステップの実施が，必ずしも、上記のように実施されるものとしてのすべてのステップを必要とするわけではないことがさらに明らかであろう。

【0092】

特に、図２および図３を参照すると、一態様は、ユーザ機器１００とコンテンツプロバイダ４００との間でデータパケットを交換するためのデータパケットフローが提供される、無線通信ネットワーク２００内でポリシ制御エンティティ２４０を動作させるための方法に関連することができ、データパケットフローは、コンテンツプロバイダ４００のドメイン名を暗号化する。本方法は、データリポジトリ２５０からユーザポリシプロファイルを受信するステップＳ６、Ｓ３１を含むことができ、ユーザポリシプロファイルは、データパケットをフィルタリングするためのコンテンツフィルタリングポリシを含む。本方法は、ユーザポリシプロファイルに基づくセッションポリシを無線通信ネットワーク２００のセッション制御エンティティ２２０に伝送するステップＳ８、Ｓ３２であって、セッションポリシは、データパケットをフィルタリングするように無線通信ネットワーク２００のユーザプレーンエンティティ２３０に指示する、伝送するステップＳ８、Ｓ３２と、ユーザポリシプロファイルに基づいてユーザポリシを無線通信ネットワーク２００のアクセス管理エンティティ２１０に伝送するステップＳ１２、Ｓ３３であって、ユーザポリシは、非暗号化形態のドメイン名をデータパケットに追加するようにユーザ機器１００に指示する、伝送するステップＳ１２、Ｓ３３とをさらに含むことができる。

【0093】

このようにして、加入者に関連付けられるユーザポリシプロファイルを取得し、対応するセッションポリシおよびユーザポリシを作成し、それらをそれぞれの受信先に転送することが可能である。これによって、ユーザプレーンエンティティ２３０およびユーザ機器１００が、コンテンツフィルタリングを実行することが可能であるように設定されることが可能である。

【0094】

いくつかの実施形態において、セッションポリシおよび／またはユーザポリシは、非暗号化形態のドメイン名の伝送をユーザプレーンエンティティ２３０に示すための識別子を含むことができる。前述のように、識別子は、非暗号化形態のドメイン名の存在、および／または長さなどのその特性を示すことによって、ユーザプレーンエンティティ２３０の動作を単純化することができる。

【0095】

いくつかの実施形態において、ユーザポリシは、ユーザ機器１００に対する、そのドメイン名システムキャッシュをクリアすることを求める要求を含むことができる。前述のように、これは、非暗号化形態のドメイン名を追加するために使用することができる、ユーザ機器におけるＤＮＳクエリを強制する。これによって、ユーザプレーンエンティティが、ＤＮＳクエリのみを検出し、したがって、ユーザプレーンエンティティ２３０における認識および抽出プロセスを単純化することによって、ユーザ機器１００とコンテンツプロバイダ４００との間のすべてのトラフィックをフィルタリングすることができることが保証される。その上、この実施態様によって、非暗号化形態のドメイン名の認識および挿入に関するユーザ機器の実施態様を、ＤＮＳクエリの事例のみに限定することができるため、単純化することができることが保証される。

【0096】

特に、図２および図４を参照すると、さらなる態様は、ユーザ機器１００とコンテンツプロバイダ４００との間でデータパケットを交換するためのデータパケットフローが提供される、無線通信ネットワーク２００内でユーザプレーンエンティティ２３０を動作させるための方法に関連することができ、データパケットフローは、コンテンツプロバイダ４００のドメイン名を暗号化する。本方法は、無線通信ネットワーク２００のセッション制御エンティティ２２０から、データパケットをフィルタリングするようにユーザプレーンエンティティ２３０に指示するセッションポリシを受信するステップＳ９、Ｓ４１を含むことができる。本方法は、非暗号化形態のドメイン名を含むデータパケットフローの少なくとも１つのデータパケットをユーザ機器１００から受信するステップＳ１６、Ｓ４２と、少なくとも１つのデータパケットからドメイン名を抽出するステップＳ１７、Ｓ４３と、セッションポリシおよび抽出されたドメイン名に基づいてデータパケットをフィルタリングするステップＳ１８～Ｓ２１、Ｓ４４とをさらに含むことができる。

【0097】

この実施態様によって、ユーザプレーンエンティティ２３０は、ドメイン名および／またはＳＮＩがデータパケットフローのプロトコルによって暗号化されている事例においても、ユーザ機器によってプロコトルによる暗号化形態のものに追加される、非暗号化形態のドメイン名および／またはＳＮＩを認識することによって、コンテンツフィルタリングを有利に実施することができる。

【0098】

いくつかの実施形態において、抽出するステップＳ１７、Ｓ４３は、非暗号化形態のドメイン名の伝送を示すための識別子を、少なくとも１つのデータパケット内で認識することによって、非暗号化形態のドメイン名を含む少なくとも１つのデータパケットを識別することができる。

【0099】

すなわち、識別子の存在によって、前述のように、非暗号化形態のドメイン名を含むデータパケットを容易に識別することができる。この事例では、同じデータパケットが非暗号化形態のドメイン名と識別子の両方を含むものとして説明されているが、本発明はそれに限定されず、識別子は、非暗号化形態のドメイン名を含むデータパケットとは異なる、好ましくはそれに先行するデータパケットに含まれてもよい。

【0100】

いくつかの実施形態において、セッションポリシが識別子を含むことができる。この実施態様によって、ユーザ機器にそれぞれ異なる識別子を適切に提供することによって、各加入者について、および／または、ネットワーク２００上のユーザ機器１００によって確立される各ＰＤＵセッションについて、および／または、ユーザ機器１００の異なるアプリケーションについて、異なる可能性があり得る識別子を使用することが可能である。すなわち、識別子は、非暗号化形態のドメイン名および／またはＳＮＩの存在を識別するだけでなく、加入者および／またはコンテンツプロバイダ４００上のコンテンツにアクセスすることを意図しているアプリケーションなどのような追加の情報を提供するために使用することもできる。

【0101】

特に、図２および図５を参照すると、さらなる態様は、ユーザ機器１００とコンテンツプロバイダ４００との間でデータパケットを交換するためのデータパケットフローを確立するために無線通信ネットワーク２００に接続可能なユーザ機器１００を動作させるための方法に関連することができ、データパケットフローは、コンテンツプロバイダ４００のドメイン名を暗号化する。本方法は、非暗号化形態のドメイン名をデータパケットフローの少なくとも１つのデータパケットに追加するステップＳ１５、Ｓ５１と、無線通信ネットワーク２００のユーザプレーンエンティティ２３０に少なくとも１つのデータパケットを伝送するステップＳ１６、Ｓ５２とを含むことができる。

【0102】

このようにして、ユーザ機器１００は、たとえデータパケットフローのプロトコルがドメイン名が暗号化されることを必要とする場合であっても、非暗号化形態のドメイン名を追加することができる。すなわち、同じく非暗号化形態のドメイン名を提供することによって、ユーザ機器は、ネットワーク２００がコンテンツフィルタリングを実施することを可能にする。

【0103】

いくつかの実施形態において、追加するステップＳ１５、Ｓ５１はまた、非暗号化形態のドメイン名の伝送を示すための識別子を少なくとも１つのデータパケットに追加することも含むことができる。識別子の存在は、ネットワーク２００によるデータパケットフロー内での非暗号化形態のドメイン名の認識を単純化する。

【0104】

いくつかの実施形態において、本方法はまた、追加ステップＳ１５、Ｓ５１の前に、ユーザ機器１００のドメイン名システムキャッシュをクリアするステップも含むことができる。このようにして、ユーザ機器１００におけるＤＮＳクエリを保証することができる。

【0105】

いくつかの実施形態において、本方法はまた、追加ステップＳ１５、Ｓ５１の前に、非暗号化形態のドメイン名をデータパケットフローに追加するようにユーザ機器１００に指示するユーザポリシを、無線通信ネットワーク２００のアクセス管理エンティティ２１０から受信するステップＳ１３も含むことができる。このようにして、ユーザ機器に、追加ステップＳ１５、Ｓ５１を実施するための命令を提供することができる。これによって、さらに、ネットワーク２００が、コンテンツフィルタリングが実施される必要があるユーザ機器１００のみに命令を提供することが可能である。

【0106】

いくつかの実施形態において、ユーザポリシが識別子を含むことができる。このようにして、ユーザ機器１００とユーザプレーンエンティティ２３０の両方に識別子を転送することができ、両方が同じ識別子を提供されることが保証される。好適な実施形態において、これによってまた、ユーザ機器に提供される識別子が、特定のセッションおよび／もしくは特定のユーザ機器向けに設定されることも可能であり、ならびに／または、複数の識別子がユーザ機器１００におけるそれぞれのアプリケーションに提供されることも可能である。

【0107】

上述した方法のいずれかにおいて、データパケットフローは、ＴＬＳ、ＱＵＩＣまたはＤＮＳオーバＨＴＴＰＳのうちの少なくとも１つを実装することができる。説明されているように、それらの規格の最近の実装において、ドメイン名および／またはＳＮＩが暗号化されており、これによって、ネットワーク２００がコンテンツフィルタリングを実施することが妨げられている。しかしながら、上述したように、非暗号化形態のドメイン名および／またはＳＮＩを提供することによって、本発明は、ネットワーク２００におけるドメイン名および／またはＳＮＩの認識を可能にし、したがって、コンテンツフィルタリングが実施されることを可能にする。

【0108】

上記の方法は、複数のノードによって実施される複数のステップを含む図面を参照して独立して説明されているが、本発明を、１つまたは複数のノードによって実行される、それらのステップのサブセットによって実施することができることは明らかであろう。その上、所与の実施形態について説明されている１つのステップの特徴および利点が、異なる実施形態について説明されている同じステップおよび／または類似のステップにも適用され得る。

【0109】

その上、上記の説明は方法ステップに関して論じられているが、本発明はまた、それぞれのデバイスによって実施することもできることが明らかであろう。特に、図６、図８および図１０はそれぞれ、以下の例示的な概略図を示す。
－ ポリシ制御エンティティ２４０、６０
－ ユーザプレーンエンティティ２３０、８０
－ ユーザ機器１００

【0110】

これらが各々、処理ユニット、インターフェースおよびメモリを備える。インターフェースまたはトランシーバは、無線通信ネットワーク内のおよび／またはその外部の他のエンティティとの通信を可能にするように設定されている。メモリは、処理ユニットに、それぞれのエンティティを参照して上述したステップのいずれかを実行させるように設定されている命令を含むことができる。

【0111】

その上、本発明を実施するためのそれぞれのデバイスはまた、モジュールに関して定義することもできる。特に、図７、図９および図１１はそれぞれ、以下の様々なモジュールを示す。
－ ポリシ制御エンティティ２４０、７０
－ ユーザプレーンエンティティ２３０、９０
－ ユーザ機器１００、１１０

【0112】

それらのモジュールは、一般的に、各エンティティが、それぞれのエンティティと組み合わせて前述したステップのいずれかを実施することを可能にする。より具体的には、図７は、それぞれステップＳ６、Ｓ８およびＳ１２またはステップＳ３１、Ｓ３２およびＳ３３の機能を実行するために設定されたモジュール７１、７２、および７３を概略的に示す。同様に、図９は、それぞれステップＳ９、Ｓ１６、Ｓ１７およびＳ１８～Ｓ２１またはステップＳ４１、Ｓ４２、Ｓ４３およびＳ４４の機能を実行するために設定されたモジュール９１、９２、９３および９４を概略的に示す。同様に、図１１は、それぞれステップＳ１５およびＳ１６またはステップＳ５１およびＳ５２の機能を実行するために設定されたモジュール１１１および１１２を概略的に示す。

【0113】

それらのエンティティのいずれかが、前述した他のステップのモジュール実施態様をさらに含むことができることは明らかであろう。

【0114】

加えて、一実施形態は、上述したエンティティのいずれかから、特に、ポリシ制御エンティティ２４０、ユーザプレーンエンティティ２３０およびユーザ機器１００の中から選択される少なくとも２つのエンティティを備えるシステムに関連することができる。

【0115】

上記から明らかになるように、本発明の様々な実施形態は、ユーザ機器においてドメイン名を暗号化し、ネットワークオペレータにとって読解不可能にするプロトコルであっても、ドメイン名に関連付けられるカテゴリに基づいてトラフィックをフィルタリングするためのソリューションを可能にする。非暗号化形態のドメイン名をユーザ機器においてデータパケットフローにさらに追加することによって、ネットワークはそれにアクセスし、フィルタリングを実行することができる。加えて、有利な実施形態は、非暗号化形態のドメイン名の伝送をユーザプレーンエンティティに示すための識別子を提供することによって、ネットワークの動作を単純化する。いくつかのさらなる有利な実施形態において、ユーザ機器においてＤＮＳキャッシュをクリアアウトする命令が、ユーザ機器のより下位のレベルが、ＤＮＳクエリを実施するためにドメイン名を通知されることを保証し、結果、ユーザ機器が、ドメイン名を検出し、それを非暗号化形態でデータパケットフローに含めることを保証することができる。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【国際調査報告】