特表2025-501420 | 知財ポータル「IP Force」

知財求人 - 知財ポータルサイト「IP Force」

▶ 中国移動通信有限公司研究院の特許一覧 ▶ 中国移動通信集団有限公司の特許一覧

特表2025-501420認証及び／又は鍵管理方法、第一機器、端末及び通信機器

書誌要約請求の範囲詳細な説明課題実施例実施するための形態図面の説明

目に優しい文字サイズ小中大 PDF Top

< >

1
2a
2b
3
4
5
6a
6b
7
8
9
10
11
12
13

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2025-01-20

(54)【発明の名称】認証及び／又は鍵管理方法、第一機器、端末及び通信機器

(51)【国際特許分類】

H04W 12/041 20210101AFI20250110BHJP

H04L 9/08 20060101ALI20250110BHJP

H04W 12/043 20210101ALI20250110BHJP

H04W 76/12 20180101ALI20250110BHJP

【ＦＩ】

H04W12/041

H04L9/08 B

H04L9/08 E

H04W12/043

H04W76/12

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024539857

(86)(22)【出願日】2022-12-28

(85)【翻訳文提出日】2024-07-09

(86)【国際出願番号】 CN2022142733

(87)【国際公開番号】W WO2023125642

(87)【国際公開日】2023-07-06

(31)【優先権主張番号】202111681982.1

(32)【優先日】2021-12-31

(33)【優先権主張国・地域又は機関】CN

(31)【優先権主張番号】202210701819.5

(32)【優先日】2022-06-20

(33)【優先権主張国・地域又は機関】CN

(81)【指定国・地域】

(71)【出願人】

【識別番号】518389015

【氏名又は名称】中国移動通信有限公司研究院

【氏名又は名称原語表記】ＣｈｉｎａＭｏｂｉｌｅＣｏｍｍｕｎｉｃａｔｉｏｎＣｏ．，ＬｔｄＲｅｓｅａｒｃｈＩｎｓｔｉｔｕｔｅ

【住所又は居所原語表記】３２ＸｕａｎｗｕｍｅｎＷｅｓｔＳｔｒｅｅｔ，ＸｉｃｈｅｎｇＤｉｓｔｒｉｃｔ，Ｂｅｉｊｉｎｇ１０００５３，Ｃｈｉｎａ

(71)【出願人】

【識別番号】518301095

【氏名又は名称】中国移動通信集団有限公司

(74)【代理人】

【識別番号】100108453

【弁理士】

【氏名又は名称】村山靖彦

(74)【代理人】

【識別番号】100110364

【弁理士】

【氏名又は名称】実広信哉

(74)【代理人】

【識別番号】100133400

【弁理士】

【氏名又は名称】阿部達彦

(72)【発明者】

【氏名】庄小君

(72)【発明者】

【氏名】黄 ▲曉▼▲ティン▼

(72)【発明者】

【氏名】田野

【テーマコード（参考）】

5K067

【Ｆターム（参考）】

5K067AA35

5K067EE02

5K067EE10

5K067EE16

(57)【要約】

本開示には、認証及び／又は鍵管理方法、第一機器、端末、及び通信機器が開示されている。ここで、方法は、第一機器が、ユーザ機器（ＵＥ）により発信された、鍵識別子が付帯されているセッション確立要求メッセージを受信することと、前記第一機器が、前記鍵識別子に基づいて前記ＵＥとの間の第一鍵を取得することとを含む。

【特許請求の範囲】

【請求項1】

認証及び／又は鍵管理方法であって、
第一機器が、ユーザ機器ＵＥにより発信された、鍵識別子が付帯されているセッション確立要求メッセージを受信することと、
前記第一機器が、前記鍵識別子に基づいて前記ＵＥとの間の第一鍵を取得することとを含む、
認証及び／又は鍵管理方法。

【請求項2】

前記方法は、
前記第一機器が、前記第一鍵に基づいて、第二機器のために前記ＵＥと前記第二機器間の第二鍵を生成することを更に含む、請求項１に記載の方法。

【請求項3】

前記第一機器が、前記第一鍵に基づいて、第二機器のために前記ＵＥと前記第二機器間の第二鍵を生成することは、
前記第一機器が、前記第一鍵と前記第二機器の識別子情報に基づいて第二鍵を生成することを含む、請求項２に記載の方法。

【請求項4】

前記方法は、
前記第一機器が、前記ＵＥから第三鍵に基づいて保護されているデータを受信して、前記データを第二機器に送信すること、
及び／又は、
前記第一機器が、第二機器から送信されたデータを受信し、前記データを前記第一鍵に基づいて保護して、前記データを前記ＵＥに送信すること、を更に含み、
前記第三鍵は、前記ＵＥにより生成され、前記第一鍵と同じものである、請求項１に記載の方法。

【請求項5】

前記鍵識別子に基づいて前記ＵＥとの間の第一鍵を取得することは、
前記第一機器が、前記鍵識別子に基づいて、ローカルにおいて前記鍵識別子に対応する第一鍵を取得すること、又は、
前記第一機器が前記鍵識別子に基づいて、アプリケーション層認証及び鍵管理アンカ機能（ＡＡｎＦ）から前記鍵識別子に対応する第一鍵を取得すること、を含む、請求項１に記載の方法。

【請求項6】

前記方法は、
前記第一機器が、前記ＵＥに、前記ＵＥがアクセス可能な第二機器のリストを提供することを更に含む、請求項１に記載の方法。

【請求項7】

前記方法は、
前記第一機器が前記ＵＥと、トランスポート層セキュリティ（ＴＬＳ）安全チャネルを確立することを更に含む、請求項１に記載の方法。

【請求項8】

前記第一機器が前記ＵＥと、ＴＬＳ安全チャネルを確立することは、
前記第一機器が、前記第一鍵又は前記第一鍵の派生鍵に基づいて、前記ＴＬＳ安全チャネルのプリマスター鍵又は外部プリ共有鍵を生成することを含む、請求項７に記載の方法。

【請求項9】

前記方法は、
前記第一機器がＵＥに第一保護データを送信することを更に含み、
前記第一保護データには、前記第一機器により前記第一鍵又は前記第一鍵の派生鍵に基づいて保護されているデータが含まれる、請求項１、７及び８のいずれか１項に記載の方法。

【請求項10】

前記方法は、
前記第一機器が前記ＵＥから送信された、第三鍵又は第三鍵の派生鍵に基づいて保護されているデータを受信することを更に含み、前記第三鍵は、ＵＥにより生成された、前記第一鍵と同じ鍵である、請求項１、７及び８のいずれか１項に記載の方法。

【請求項11】

前記第一機器が一組のアプリケーション機能（ＡＦ）／アプリケーションサーバ（ＡＳ）、又は同じ信頼ドメインにあるＡＦ／ＡＳを代理することに用いられる、請求項１に記載の方法。

【請求項12】

前記第一機器がアプリケーション層認証及び鍵管理（ＡＫＭＡ）アプリケーションプロキシ、又は認証プロキシ、又はＡＫＭＡ認証プロキシを含む、請求項１に記載の方法。

【請求項13】

認証及び／又は鍵管理方法であって、
ＵＥが、第一機器に、鍵識別子が付帯されているセッション確立要求メッセージを送信することと、
前記ＵＥが、前記第一機器から送信された第一保護データを受信することと、を含み、
前記第一保護データには、前記第一機器により第一鍵又は第一鍵の派生鍵に基づいて保護されているデータが含まれ、前記第一鍵が、前記第一機器により前記鍵識別子に基づいて取得されたものである、認証及び／又は鍵管理方法。

【請求項14】

前記方法は、
前記ＵＥが、前記第一鍵と同じ第三鍵を生成し、前記第三鍵又は第三鍵の派生鍵に基づいて保護されているデータを前記第一機器に送信して、前記第一機器が前記データを第二機器に送信するようにすること、
及び／又は、
前記ＵＥが、第二鍵と同じ第四鍵を生成し、前記第二機器から送信された第二保護データを受信すること、
及び／又は、
前記ＵＥが、前記第一機器により前記第一鍵に基づいて保護され、転送されたデータを受信すること、を更に含み、
前記第二保護データには、前記第二機器により前記第二鍵に基づいて保護されているデータが含まれ、前記第二鍵が、前記第一機器により前記第一鍵に基づいて、前記第二機器のために生成されたものである、請求項１３に記載の方法。

【請求項15】

前記方法は、
前記ＵＥが、前記第一機器から、前記ＵＥがアクセス可能な第二機器のリストを取得することを更に含む、請求項１３に記載の方法。

【請求項16】

前記方法は、
前記ＵＥが前記第一機器と、ＴＬＳ安全チャネルを確立することを更に含む、請求項１３に記載の方法。

【請求項17】

前記ＵＥが前記第一機器と、ＴＬＳ安全チャネルを確立することは、
前記ＵＥが、前記第一鍵と同じ第三鍵を生成することと、
前記ＵＥが、前記第三鍵又は前記第三鍵の派生鍵に基づいて、前記ＴＬＳ安全チャネルのプリマスター鍵又は外部プリ共有鍵を生成することと、を含む、請求項１３に記載の方法。

【請求項18】

前記第一機器が一組のＡＦ／ＡＳ、又は同じ信頼ドメインにあるＡＦ／ＡＳを代理することに用いられる、請求項１３に記載の方法。

【請求項19】

前記第一機器がＡＫＭＡアプリケーションプロキシ、又は認証プロキシ、又はＡＫＭＡ認証プロキシを含む、請求項１３に記載の方法。

【請求項20】

認証及び／又は鍵管理に用いられる第一機器であって、
ＵＥにより発信された、鍵識別子が付帯されているセッション確立要求メッセージを受信するように構成される第一処理モジュールと、
前記鍵識別子に基づいて前記ＵＥとの間の第一鍵を取得するように構成される第一取得モジュールとを含む、第一機器。

【請求項21】

認証及び／又は鍵管理に用いられる端末であって、
第一機器に、鍵識別子が付帯されているセッション確立要求メッセージを送信するように構成される第二処理モジュールと、
前記第一機器から送信された第一保護データを受信するように構成される第一受信モジュールと、を含み、
前記第一保護データには、前記第一機器により第一鍵又は第一鍵の派生鍵に基づいて保護されているデータが含まれ、前記第一鍵が、前記第一機器により前記鍵識別子に基づいて取得されたものである、端末。

【請求項22】

通信機器であって、
メモリ、プロセッサ及び前記メモリに記憶され前記プロセッサ上で実行可能なプログラムを含み、前記プロセッサが前記プログラムを実行する際に、請求項１～１２のいずれか１項に記載の認証及び／又は鍵管理方法、又は請求項１３～１９のいずれか１項に記載の認証及び／又は鍵管理方法を実現する、通信機器。

【請求項23】

コンピュータプログラムが記憶されたコンピュータ可読記憶媒体であって、前記コンピュータプログラムが、プロセッサにより実行される際、請求項１～１２のいずれか１項に記載の認証及び／又は鍵管理方法のステップ、又は請求項１３～１９のいずれか１項に記載の認証及び／又は鍵管理方法のステップを実現する、コンピュータ可読記憶媒体。

【発明の詳細な説明】

【技術分野】

【0001】

（関連出願の相互参照）
本開示は、２０２１年１２月３１日に提出された出願番号２０２１１１６８１９８２．１の中国特許出願、及び、２０２２年０６月２０日に提出された出願番号２０２２１０７０１８１９．５の中国特許出願に基づいており、これらの中国特許出願の優先権を主張し、これらの中国特許出願の全ての内容は、参照として引用により本開示に組み込まれる。

【0002】

本開示は、通信技術の技術分野に関し、特に認証及び／又は鍵管理方法、第一機器、端末及び通信機器に関する。

【背景技術】

【0003】

現在、５Ｇ（第５世代移動通信技術）における３ＧＰＰ（登録商標）証明に基づいて、上位層アプリケーションに認証及び鍵管理能力を提供するためのアーキテクチャとプロセスが存在している。図１から図４に示されているように、これには、ＡＫＭＡ（ＡｕｔｈｅｎｔｉｃａｔｉｏｎａｎｄＫｅｙＭａｎａｇｅｍｅｎｔｆｏｒＡｐｐｌｉｃａｔｉｏｎｓ、アプリケーション層認証及び鍵管理）の基本ネットワークモデル、ＡＫＭＡ推論及びアンカリングプロセス、及びＡＫＭＡアプリケーション鍵（Ｋ_ＡＦ）の推論手順が含まれる。

【0004】

ＵＥ（ＵｓｅｒＥｑｕｉｐｍｅｎｔ、ユーザ機器、日本語では端末又はユーザとも呼ばれる）が複数のＡＦ（ＡｐｐｌｉｃａｔｉｏｎＦｕｎｃｔｉｏｎ、アプリケーション機能）と同時にＡＫＭＡを用いてアプリケーション層共有鍵を生成する必要があるとき、以下の問題が存在している。ＡＦがＡＫＭＡをサポートしていない場合、図４に示されているようなＡＫＭＡアプリケーションキー推論手順を使用して、ＵＥとＡＦ間のアプリケーション鍵を生成することができない。また、全てのＡＦが同じ信頼ドメインに属している場合、１つのＵＥが各ＡＦごとにＡＫＭＡを確立すると、ＡＵＳＦ（ＡｕｔｈｅｎｔｉｃａｔｉｏｎＳｅｒｖｅｒＦｕｎｃｔｉｏｎ、認証サーバ機能）及びＡＡｎＦ（ＡＫＭＡＡｎｃｈｏｒＦｕｎｃｔｉｏｎ、ＡＫＭＡアンカ機能）はそれぞれのＵＥとＡＦ間にＫ_ＡＫＭＡ（ＡＫＭＡＡｎｃｈｏｒＫｅｙ、ＡＫＭＡアンカ鍵）及びＫ_ＡＦ（ＡＫＭＡＡｐｐｌｉｃａｔｉｏｎＫｅｙ、ＡＫＭＡアプリケーション鍵）を個別に生成することになり、ＡＵＳＦ及びＡＡｎＦのリソースを消費して、ネットワーク帯域の消耗を引き起こしてしまい、また、攻撃者が悪意のあるＵＥを使って故意にＡＫＭＡ手順を開始することで、ＡＵＳＦとＡＡｎＦのリソースを消耗させることも可能である。

【発明の概要】

【発明が解決しようとする課題】

【0005】

関連の技術課題を解決するために、本開示の実施例において、認証及び／又は鍵管理方法、端末、及び通信機器が提供されている。

【課題を解決するための手段】

【0006】

本開示の実施例の技術的手段は、以下のように実現される。

【0007】

本開示の実施例において、認証及び／又は鍵管理方法であって、
第一機器が、ＵＥにより発信された、鍵識別子が付帯されているセッション確立要求メッセージを受信することと、
前記第一機器が、前記鍵識別子に基づいて前記ＵＥとの間の第一鍵を取得することとを含む、
認証及び／又は鍵管理方法が提供されている。

【0008】

上記技術的手段において、前記方法は、前記第一機器が、前記第一鍵に基づいて、第二機器のために前記ＵＥと前記第二機器間の第二鍵を生成することを更に含む。

【0009】

上記技術的手段において、前記第一機器が、前記第一鍵に基づいて、第二機器のために前記ＵＥと前記第二機器間の第二鍵を生成することは、
前記第一機器が、前記第一鍵と前記第二機器の識別子情報に基づいて第二鍵を生成することを含む。

【0010】

上記技術的手段において、前記方法は、
前記第一機器が、前記ＵＥから第三鍵に基づいて保護されているデータを受信して、前記データを第二機器に送信すること、
及び／又は、
前記第一機器が、第二機器から送信されたデータを受信し、前記データを前記第一鍵に基づいて保護して、前記データを前記ＵＥに送信すること、を更に含み、
前記第三鍵は、前記ＵＥにより生成され、前記第一鍵と同じものである。

【0011】

上記技術的手段において、前記鍵識別子に基づいて前記ＵＥとの間の第一鍵を取得することは、
前記第一機器が、前記鍵識別子に基づいて、ローカルにおいて前記鍵識別子に対応する第一鍵を取得すること、又は、
前記第一機器が前記鍵識別子に基づいて、ＡＡｎＦから該鍵識別子に対応する第一鍵を取得すること、を含む。

【0012】

上記技術的手段において、前記方法は、前記第一機器が、前記ＵＥに、前記ＵＥがアクセス可能な第二機器のリストを提供することを更に含む。

【0013】

上記技術的手段において、前記方法は、前記第一機器が前記ＵＥと、ＴＬＳ（トランスポート層セキュリティ）安全チャネルを確立することを更に含む。

【0014】

上記技術的手段において、前記第一機器が前記ＵＥと、ＴＬＳ安全チャネルを確立することは、
前記第一機器が、前記第一鍵又は前記第一鍵の派生鍵に基づいて、前記ＴＬＳ安全チャネルのプリマスター鍵又は外部プリ共有鍵を生成することを含む。

【0015】

上記技術的手段において、前記方法は、
前記第一機器がＵＥに第一保護データを送信することを更に含み、前記第一保護データには、前記第一機器により前記第一鍵又は前記第一鍵の派生鍵に基づいて保護されているデータが含まれる。

【0016】

上記技術的手段において、前記方法は、
前記第一機器がＵＥから送信された、前記第三鍵又は第三鍵の派生鍵に基づいて保護されているデータを受信することを更に含み、前記第三鍵は、ＵＥにより生成された、前記第一鍵と同じ鍵である。

【0017】

上記技術的手段において、前記第一機器が一組のＡＦ／ＡＳ（ＡｐｐｌｉｃａｔｉｏｎＳｅｒｖｅｒ、アプリケーションサーバ）、又は同じ信頼ドメインにあるＡＦ／ＡＳを代理することに用いられる。

【0018】

上記技術的手段において、前記第一機器がＡＡＰ／ＡＰ（ＡＡＰはＡＫＭＡＡｐｐｌｉｃａｔｉｏｎＰｒｏｘｙ（ＡＫＭＡアプリケーションプロキシ）又はＡＫＭＡＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｘｙ（ＡＫＭＡ認証プロキシ）の略であり、ＡＰはＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｘｙ（認証プロキシ）の略である）を含む。

【0019】

本開示の実施例において、認証及び／又は鍵管理方法であって、
ＵＥが、前記第一機器に、鍵識別子が付帯されているセッション確立要求メッセージを送信することと、
前記ＵＥが、前記第一機器から送信された第一保護データを受信することと、を含み、
前記第一保護データには、前記第一機器により第一鍵又は第一鍵の派生鍵に基づいて保護されているデータが含まれ、前記第一鍵が、前記第一機器により前記鍵識別子に基づいて取得されたものである、
認証及び／又は鍵管理方法が更に提供されている。

【0020】

上記技術的手段において、前記方法は、
前記ＵＥが、前記第一鍵と同じ第三鍵を生成し、前記第三鍵又は第三鍵の派生鍵に基づいて保護されているデータを前記第一機器に送信して、前記第一機器が前記データを第二機器に送信するようにすること、
及び／又は、
前記ＵＥが、前記第二鍵と同じ第四鍵を生成し、前記第二機器から送信された第二保護データを受信すること、
及び／又は、
前記ＵＥが、前記第一機器により前記第一鍵に基づいて保護され、転送されたデータを受信すること、を更に含み、
前記第二保護データには、前記第二機器により前記第二鍵に基づいて保護されているデータが含まれ、前記第二鍵が、前記第一機器により前記第一鍵に基づいて、前記第二機器のために生成されたものである。

【0021】

上記技術的手段において、前記方法は、前記ＵＥが、前記第一機器から、前記ＵＥがアクセス可能な第二機器のリストを取得することを更に含む。

【0022】

上記技術的手段において、前記方法は、前記ＵＥが前記第一機器と、ＴＬＳ安全チャネルを確立することを更に含む。

【0023】

上記技術的手段において、前記ＵＥが前記第一機器と、ＴＬＳ安全チャネルを確立することは、
前記ＵＥが、前記第一鍵と同じ第三鍵を生成することと、
前記ＵＥが、前記第三鍵又は前記第三鍵の派生鍵に基づいて、前記ＴＬＳ安全チャネルのプリマスター鍵又は外部プリ共有鍵を生成することと、を含む。

【0024】

上記技術的手段において、前記第一機器が一組のＡＦ／ＡＳ、又は同じ信頼ドメインにあるＡＦ／ＡＳを代理することに用いられる。

【0025】

上記技術的手段において、前記第一機器は、ＡＡＰ／ＡＰを含む。

【0026】

本開示の実施例において、認証及び／又は鍵管理に用いられる第一機器であって、
ＵＥにより発信された、鍵識別子が付帯されているセッション確立要求メッセージを受信するように構成される第一処理モジュールと、
前記鍵識別子に基づいて前記ＵＥとの間の第一鍵を取得するように構成される第一取得モジュールとを含む、
第一機器が更に提供されている。

【0027】

上記技術的手段において、前記第一機器は、前記第一鍵に基づいて、第二機器のために前記ＵＥと前記第二機器間の第二鍵を生成するように構成される生成モジュールを更に含む。

【0028】

上記技術的手段において、前記生成モジュールは、更に、前記第一鍵と前記第二機器の識別子情報に基づいて第二鍵を生成するように構成される。

【0029】

上記技術的手段において、前記第一処理モジュールは、更に、
前記ＵＥから第三鍵に基づいて保護されているデータを受信して、前記データを第二機器に送信するように、
及び／又は、
第二機器から送信されたデータを受信し、前記データを前記第一鍵に基づいて保護して、前記データを前記ＵＥに送信するように、構成され、
前記第三鍵は、前記ＵＥにより生成され、前記第一鍵と同じものである。

【0030】

上記技術的手段において、前記第一取得モジュールは、更に、
前記鍵識別子に基づいて、ローカルにおいて該鍵識別子に対応する第一鍵を取得するように、又は、
前記鍵識別子に基づいて、ＡＡｎＦから該鍵識別子に対応する第一鍵を取得するように構成される。

【0031】

上記技術的手段において、前記第一処理モジュールは、更に、
前記ＵＥに、前記ＵＥがアクセス可能な第二機器のリストを提供するように構成される。

【0032】

上記技術的手段において、前記第一処理モジュールは、更に、前記ＵＥと、ＴＬＳ安全チャネルを確立するように構成される。

【0033】

上記技術的手段において、前記第一処理モジュールは、更に、前記第一鍵又は前記第一鍵の派生鍵に基づいて、前記ＴＬＳ安全チャネルのプリマスター鍵又は外部プリ共有鍵を生成するように構成される。

【0034】

上記技術的手段において、前記第一処理モジュールは、更に、ＵＥに第一保護データを送信するように構成され、
前記第一保護データには、前記第一機器により前記第一鍵又は前記第一鍵の派生鍵に基づいて保護されているデータが含まれる。

【0035】

上記技術的手段において、前記第一処理モジュールは、更に、前記ＵＥから送信された、第三鍵又は第三鍵の派生鍵に基づいて保護されているデータを受信するように構成され、前記第三鍵は、ＵＥにより生成された、前記第一鍵と同じ鍵である。

【0036】

上記技術的手段において、前記第一機器が一組のＡＦ／ＡＳ、又は同じ信頼ドメインにあるＡＦ／ＡＳを代理することに用いられる。

【0037】

上記技術的手段において、前記第一機器は、ＡＡＰ／ＡＰを含む。

【0038】

本開示の実施例において、認証及び／又は鍵管理に用いられる端末であって、
前記第一機器に、鍵識別子が付帯されているセッション確立要求メッセージを送信するように構成される第二処理モジュールと、
前記第一機器から送信された第一保護データを受信するように構成される第一受信モジュールと、を含み、
前記第一保護データには、前記第一機器により前記第一鍵又は第一鍵の派生鍵に基づいて保護されているデータが含まれ、前記第一鍵が、前記第一機器により前記鍵識別子に基づいて取得されたものである、
端末が更に提供されている。

【0039】

上記技術的手段において、前記端末は、
前記第一鍵と同じ第三鍵を生成し、前記第三鍵又は第三鍵の派生鍵に基づいて保護されているデータを前記第一機器に送信して、前記第一機器が前記データを第二機器に送信するように構成される第三処理モジュールと、
前記第二鍵と同じ第四鍵を生成するように構成される第四処理モジュールと、
第二受信モジュールであって、前記第二機器から送信された第二保護データを受信するように構成され、前記第二保護データには、前記第二機器により前記第二鍵に基づいて保護されているデータが含まれ、前記第二鍵が、前記第一機器により前記第一鍵に基づいて、前記第二機器のために生成されたものであり、
及び／又は、
前記第一機器により前記第一鍵に基づいて保護され、転送されたデータを受信するように構成される第二受信モジュールと、を更に含む。

【0040】

上記技術的手段において、前記端末は、前記第一機器から、前記ＵＥがアクセス可能な第二機器のリストを取得するように構成される第二取得モジュールを更に含む。

【0041】

上記技術的手段において、前記第二処理モジュールは、更に、前記第一機器と、ＴＬＳ安全チャネルを確立するように構成される。

【0042】

上記技術的手段において、前記第二処理モジュールは、更に、
前記第一鍵と同じ第三鍵を生成することと、
前記第三鍵又は前記第三鍵の派生鍵に基づいて、前記ＴＬＳ安全チャネルのプリマスター鍵又は外部プリ共有鍵を生成することとを実行するように構成される。

【0043】

上記技術的手段において、前記第一機器が一組のＡＦ／ＡＳ、又は同じ信頼ドメインにあるＡＦ／ＡＳを代理することに用いられる。

【0044】

上記技術的手段において、前記第一機器は、ＡＡＰ／ＡＰを含む。

【0045】

本開示の実施例において、通信機器であって、
メモリ、プロセッサ及び前記メモリに記憶され前記プロセッサ上で実行可能なプログラムを含み、前記プロセッサが前記プログラムを実行する際に、上述の認証及び／又は鍵管理方法を実現する、通信機器が更に提供されている。

【0046】

本開示の実施例において、コンピュータプログラムが記憶されたコンピュータ可読記憶媒体であって、該コンピュータプログラムが、プロセッサにより実行される際、上述の認証及び／又は鍵管理方法のステップを実現する、コンピュータ可読記憶媒体。

【発明の効果】

【0047】

本開示の上述技術的手段は、少なくとも以下の有益な効果を奏する。

【0048】

本開示の実施例に係る認証及び／又は鍵管理方法、第一機器、及び、通信機器では、ＡＫＭＡ基本ネットワークモデルにＡＡＰ／ＡＰ（すなわち第一機器であり、ここで、ＡＡＰはＡＫＭＡアプリケーションプロキシ又はＡＫＭＡ認証プロキシを指し、ＡＰは、認証プロキシを指す）を導入して、該ＡＡＰ／ＡＰは、一組又は同じ信頼ドメインにあるＡＦ／ＡＳのプロキシとされるか、又は、一組又は同じ信頼ドメインにあるＡＦ／ＡＳの中の特定の１つＡＦ／ＡＳがＡＡＰ／ＡＰとされてもよい。つまり、ＡＡＰ／ＡＰが１つ以上のＡＦ／ＡＳに代わってＡＫＭＡアプリケーション鍵を申し込むことができる。ＡＦ／ＡＳはＡＡＰ／ＡＰを信頼している。これにより、ＡＵＳＦ及びＡＡｎＦが、ＵＥとＡＦ／ＡＳとのためにＡＫＭＡアプリケーション鍵を確立するためのリソースを減少させ、ＡＫＭＡ鍵を取得する際の遅延を減少させ、低遅延シナリオのサービスニーズを満たす。それに、関連技術においてＡＦがＡＫＭＡ基本ネットワークモデルをサポートしていないが、それでもＡＫＭＡを用いてアプリケーション層の認証と鍵提供を実現する必要があるという問題も解決できる。

【図面の簡単な説明】

【0049】

【図1】関連技術におけるＡＫＭＡの基本ネットワークモデルの概略図である。

【図2a】関連技術におけるＡＦがコアネットワーク内にある場合のＡＫＭＡの参照点のネットワークモデルの概略図である。

【図2b】関連技術におけるＡＦがコアネットワーク外にある場合のＡＫＭＡの参照点のネットワークモデルの概略図である。

【図3】関連技術におけるＫ_ＡＫＭＡの推論とアンカリング手順のフローチャートである。

【図4】関連技術におけるＡＫＭＡアプリケーション鍵推論手順の概略図である。

【図5】本開示の実施例に係るＡＡＰ／ＡＰが導入されたＡＫＭＡネットワークモデルの概略図である。

【図6a】本開示の実施例に係るＡＡＰ／ＡＰが導入されたＡＦ／ＡＳがコアネットワーク内にある場合のＡＫＭＡ参照点のネットワークモデルの概略図である。

【図6b】本開示の実施例に係るＡＡＰ／ＡＰが導入されたＡＦ／ＡＳがコアネットワーク外にある場合のＡＫＭＡ参照点のネットワークモデルの概略図である。

【図7】本開示の実施例に係る認証及び／又は鍵管理方法のフローチャートである。

【図8】本開示の実施例に係る別の認証及び／又は鍵管理方法のフローチャートである。

【図9】本開示の実施例に係る認証及び／又は鍵管理方法の概略図である。

【図10】本開示の実施例に係る別の認証及び／又は鍵管理方法のフローチャートである。

【図11】本開示の実施例に係る第一機器の構造の概略図である。

【図12】本開示の実施例に係る端末の構造の概略図である。

【図13】本開示の実施例に係るエッジクラウドシステムにおける低遅延シナリオでのＡＡＰ／ＡＰの展開の概略図である。

【発明を実施するための形態】

【0050】

本開示の解決しようとする技術的問題、技術的手段及び利点をより明確にするよう、以下、図面と具体的な実施例を参照しながら、詳細を記述する。

【0051】

図５、図６ａ、図６ｂに示すように、本開示の実施例において、ＡＡＰ／ＡＰが導入されたＡＫＭＡ基本ネットワークモデル、ＡＡＰ／ＡＰが導入されたＡＦ／ＡＳがコアネットワーク内にある場合のＡＫＭＡ参照点のネットワークモデルの概略図、ＡＡＰ／ＡＰが導入されたＡＦ／ＡＳがコアネットワーク外にある場合のＡＫＭＡ参照点のネットワークモデルの概略図を提供している。ＡＡＰ／ＡＰは関連するアーキテクチャに新たに追加されたエンティティであり、ここで、ＡＡＰはＡＫＭＡアプリケーションプロキシ（ＡＫＭＡＡｐｐｌｉｃａｔｉｏｎＰｒｏｘｙ）又はＡＫＭＡ認証プロキシ（ＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｘｙ）を指し、ＡＰは認証プロキシ（ＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｘｙ）を指す。該ＡＡＰ／ＡＰは一組又は同じ信頼ドメインにあるＡＦ／ＡＳのプロキシとされるか、又は、一組又は同じ信頼ドメインにあるＡＦ／ＡＳの中の特定の１つのＡＦ／ＡＳが、ＡＡＰ／ＡＰとされてもよい。ＡＡＰ／ＡＰは１つ以上のＡＦ／ＡＳに代わってＡＫＭＡアプリケーション鍵を申し込むことができる。ＡＦ／ＡＳはＡＡＰ／ＡＰを信頼しており、それぞれのＡＦ／ＡＳは同じ信頼ドメインに属していてもよく、例えば、同じ垂直産業の一組のアプリケーションに属している。更に、ＡＦは、５Ｇシステムの他のネットワーク機能（又はネットワークエレメント）と同様に、ネットワーク機能に従って定義された名称であることが、理解されるであろう。一方で、ＡＳはサービスレベルに従った定義であり、サービス機能によって分類される。よって、一般的にはＡＳはネットワーク層から見えないが、通常、ＡＦの実現としてはＡＳであってもよい。つまり、或る場合にはＡＦとＡＳは等価な概念となってもよい。

【0052】

本開示の実施例において、ＡＡＰ／ＡＰが導入された後のＫ_ＡＫＭＡの推論とアンカリングプロセスは元の標準プロセスと同様である。図３に示すプロセスのように、ＵＥとＡＡｎＦの両方がＫ_ＡＫＭＡを備えており、その時点でＡＫＭＡアプリケーション鍵の推論手順が行われる。

【0053】

ＵＥとＡＡＰ／ＡＰ間の通信が始まる前に、ＵＥとＡＡＰ／ＡＰはＡＫＭＡが使用可能かどうか、それに、ＵＥがＡＡＰ／ＡＰを通じてどのＡＦ／ＡＳとアプリケーション鍵を生成できるかを知っておく必要がある。これは、ＵＥとＡＡＰ／ＡＰの具体的なアプリケーションに暗黙的に含まれているか、又は、ＡＡＰ／ＡＰがＵＥに指示を出すことで行われる。例えば、ユーザがアクセスを開始すると、ＡＡＰ／ＡＰはＵａ＊プロトコルを通じてＡＫＭＡ起動メッセージと、ＵＥがＡＡＰ／ＡＰ経由でアクセスできるＡＦ／ＡＳのリストを返信する。該ＡＦ／ＡＳリストには各ＡＦ／ＡＳの識別子が含まれている。ここで、１つのＡＡＰ／ＡＰが維持するＡＦ／ＡＳの識別子は重複しない。

【0054】

図７に示すように、本開示の実施例において、認証及び／又は鍵管理方法が提供されており、前記方法は、ステップ７０１とステップ７０２を含む。

【0055】

ステップ７０１、第一機器が、ユーザ機器ＵＥにより発信された、鍵識別子が付帯されているセッション確立要求メッセージを受信する。

【0056】

ここで、該第一機器にはＡＡＰ／ＡＰが含まれてもよく、具体的には、通信事業者ネットワーク内部のＡＡＰ／ＡＰ、又は、通信事業者ネットワーク外部のＡＡＰ／ＡＰを含んでもよく、ＡＡＰ／ＡＰが通信事業者ネットワーク外部にある場合、ＡＡＰ／ＡＰはＮＥＦを通じてコアネットワークのネットワークエレメントと通信する。

【0057】

該セッション確立要求メッセージに含まれている鍵識別子は、ＡＫＭＡ鍵識別子Ａ－ＫＩＤであってもよい。

【0058】

実際の応用時、該ＡＡＰ／ＡＰは、通信事業者ネットワークの認証及び許可を受けた後、ＡＫＭＡ鍵識別子Ａ－ＫＩＤを通じてＡＡｎＦに、ＡＫＭＡアプリケーション鍵Ｋ_ＡＦを要求できるようになる。ＡＡＰ／ＡＰは、一組若しくは同じ信頼ドメインにあるＡＦ／ＡＳのプロキシとされ得るか、又は、一組若しくは同じ信頼ドメインにあるＡＦ／ＡＳの中の特定の１つのＡＦ／ＡＳがＡＡＰ／ＡＰの役割を担い得、これらのＡＦ／ＡＳのためにＫ_ＡＦからＡＫＭＡ鍵を推論する。

【0059】

ステップ７０２、前記第一機器が、前記鍵識別子に基づいてＵＥとの間の第一鍵を取得する。

【0060】

該ステップにおいて、第一機器が該鍵識別子に基づいて、第一機器とＵＥ間の第一鍵を取得し、該第一鍵はＡＫＭＡアプリケーション鍵Ｋ_ＡＦであってもよく、そして、第一機器は該第一鍵に基づいて、一組又は同じ信頼ドメインにある他のＡＦ／ＡＳのためにＡＫＭＡ鍵を推論することができるようになる。

【0061】

具体的に、前記鍵識別子に基づいてＵＥとの間の第一鍵を取得することは、
前記第一機器が、前記鍵識別子に基づいて、ローカルにおいて前記鍵識別子に対応する第一鍵を取得すること、又は、
前記第一機器が前記鍵識別子に基づいて、ＡＡｎＦから前記鍵識別子に対応する第一鍵を取得すること、を含む。

【0062】

本開示の実施例において、第一機器は、一組又は同じ信頼ドメインにあるＡＦ／ＡＳのプロキシとされ得る。同じ信頼ドメインにあるＡＦ／ＡＳのプロキシとされる場合、該第一機器は、前記第一鍵に基づいて、第二機器のために、ＵＥと第二機器間の第二鍵を生成することができる。具体的には、前記第一機器は、前記第一鍵と前記第二機器の識別子情報に基づいて第二鍵を生成することができ、ここで、該第二機器と第一機器は同じ信頼ドメインにある。

【0063】

本開示の実施例において、該第一機器と第二機器又はＵＥとの間でデータ伝送が行われる。具体的には、前記第一機器は、ＵＥから第三鍵に基づいて保護されているデータを受信して、前記データを第二機器に送信する。前記第三鍵は、前記ＵＥにより生成され、前記第一鍵と同じものであり、及び／又は、前記第一機器が、第二機器から送信されたデータを受信し、該データを前記第一鍵に基づいて保護して、前記データ（つまり、前記第一鍵に基づいて保護されたデータ）を前記ＵＥに送信する。

【0064】

実際の応用において、前記第一機器は、前記ＵＥに、前記ＵＥがアクセス可能な第二機器のリストを提供することができる。該リストには、各第二機器の識別子が含まれてもよく、かつ、第二機器の識別子は重複しない。

【0065】

一実施例において、該方法は、前記第一機器が前記ＵＥと、ＴＬＳ安全チャネルを確立することを含んでもよく、このように、前記第一機器と前記ＵＥとは、ＴＬＳ安全チャネルを通じて安全伝送を行えるようになる。

【0066】

当業者が理解できることに、安全チャネルを確立する本質は、第一機器とＵＥはそれぞれ、対称鍵を１ペア推論し、該対称鍵を用いてデータの暗号化及び／又は完全性保護を行う、ということである。

【0067】

本開示の実施例において、前記第一機器がＵＥと、ＴＬＳ安全チャネルを確立することは、具体的には、前記第一機器が、前記第一鍵又は前記第一鍵の派生鍵に基づいて、前記ＴＬＳ安全チャネルのプリマスター鍵又は外部プリ共有鍵を生成することを含んでもよい。つまり、本出案の実施例において、ＡＫＭＡ技術に基づいて生成された第一鍵又はその派生鍵をＴＬＳチャネル確立のためのプリ共有鍵（Ｐｒｅ－ｓｈａｒｅｄｋｅｙ／ｓｅｃｒｅｔ、又はＰｒｅｓｈａｒｅｄｋｅｙ／ｓｅｃｒｅｔ）として利用し、ＴＬＳ安全チャネルのプリマスター鍵（Ｐｒｅｍａｓｔｅｒｋｅｙ／ｓｅｃｒｅｔ）又は外部プリ共有鍵（ｅｘｔｅｒｎａｌｐｒｅ－ｓｈａｒｅｄｋｅｙ／ｓｅｃｒｅｔ、ＰＳＫ）を生成してもよい。（プリマスター鍵と外部プリ共有鍵の概念は等価であり、説明を簡潔にするために、以降はプリマスター鍵という名称で説明する）。後続では、プリマスター鍵又はプリマスター鍵の派生鍵に基づいて、データの暗号化及び／又は完全性保護を行うことができる。このようにすることで、ＡＫＭＡメカニズムにより生成された第一鍵又はその派生鍵を巧みに利用してＴＬＳチャネルのプリ共有鍵設定の問題を解決するとともに、ＴＬＳ安全チャネルメカニズムを利用して、第一機器とＵＥ間の通信の安全性を効果的に保証することができるという利点がある。該案は、追加の複雑な操作や大規模な機器改造を必要とせず、シンプルかつ実現が容易であり、大規模な展開や普及に適している。

【0068】

いくつかの実施例において、該方法は、
前記第一機器がＵＥに第一保護データを送信することを更に含んでもよく、前記第一保護データには、前記第一機器により前記第一鍵又は前記第一鍵の派生鍵に基づいて保護されているデータが含まれる。

【0069】

いくつかの実施例において、該方法は、
前記第一機器が前記ＵＥから送信された第三鍵又は第三鍵の派生鍵に基づいて保護されているデータを受信することを更に含んでもよく、前記第三鍵は、前記ＵＥにより生成され、前記第一鍵と同じ鍵である。

【0070】

前記第一機器とＵＥが、ＴＬＳ安全チャネルを利用して通信の安全を保護している場合、ここでの第一鍵又は前記第一鍵の派生鍵は、すなわちＴＬＳチャネルのプリマスター鍵又はプリマスター鍵の派生鍵であり、そして、プリマスター鍵又はプリマスター鍵の派生鍵を利用してデータの安全保護を行うことになる。

【0071】

同様に、前記第一機器とＵＥが、ＴＬＳ安全チャネルを利用して通信の安全を保護している場合、ここでの第三鍵又は第三鍵の派生鍵は、すなわちＴＬＳチャネルのプリマスター鍵又はその派生鍵であり、そして、プリマスター鍵又はプリマスター鍵の派生鍵を利用してデータの安全保護を行うことになる。

【0072】

ここでの派生鍵とは、第一鍵／第三鍵に基づいて一回以上の派生を経て得られる鍵を指す。第一鍵からｎ回派生した後の派生鍵はＴＬＳチャネルのプリ共有鍵とされ得、第一鍵からｍ回派生した後の派生鍵はＴＬＳチャネルのプリマスター鍵とされ得、第三鍵の派生鍵も第一鍵の派生鍵と類似して扱われる。

【0073】

以下、ネットワークの展開に合わせて本提案に係る技術的手段を記述する。

【0074】

図８、９に示すように、本開示の実施例において、認証及び／又は鍵管理方法が提供されており、前記方法は、ステップ８０１～８０３を含む。

【0075】

ステップ８０１、ＡＡＰ／ＡＰが、ＵＥにより発信された、ＡＫＭＡ鍵識別子が付帯されているセッション確立要求メッセージを受信する。

【0076】

ここで、Ａ－ＫＩＤの正式名称はＡＫＭＡＫｅｙＩＤｅｎｔｉｆｉｅｒ（ＡＫＭＡ鍵識別子）であり、ＡＫＭＡ鍵識別子と略称されている。

【0077】

具体的には、実際の応用時、該ステップの前にＫ_ＡＵＳＦからＫ_ＡＫＭＡとＡ－ＫＩＤを推論することができる。

【0078】

ＵＥがＡＡＰ／ＡＰとの通信を起動する際に、ＡｐｐｌｉｃａｔｉｏｎＳｅｓｓｉｏｎＥｓｔａｂｌｉｓｈｍｅｎｔＲｅｑｕｅｓｔ（すなわちアプリケーション層のセッション確立要求）メッセージにＡ－ＫＩＤパラメータを含める。該メッセージを送信する前又は送信した後に、ＵＥはＫ_ＡＫＭＡ及び／又はＫ_ＡＦを推論する可能性がある。

【0079】

ステップ８０２、ＡＫＭＡ鍵識別子に基づいて、ＵＥとの間のＫ_ＡＦを取得する。

【0080】

実際の応用において、該ＡＡＰ／ＡＰは１つのＡＡｎＦを選択して鍵要求メッセージを送信し、前記ＡＡｎＦからの応答メッセージに付帯されるＡＫＭＡアプリケーション鍵Ｋ_ＡＦを受信することができる。

【0081】

ここで、ＡＡＰ／ＡＰには、Ａ－ＫＩＤに関連するアクティブ化したコンテキストがない場合、ＡＡＰ／ＡＰは１つのＡＡｎＦを選択し、ＡＡｎＦにＮａａｎｆ＿ＡＫＭＡ＿ＡｐｐｌｉｃａｔｉｏｎＫｅｙ＿ＧｅｔＲｅｑｕｅｓｔメッセージ（すなわち鍵要求メッセージ）を送信してＵＥのＫ_ＡＦを要求する。ＡＡＰ／ＡＰは関連技術で定義されたプロセスに従って１つのＡＡｎＦを選択することができる。

【0082】

ここで、鍵要求メッセージにはＡ－ＫＩＤとＡＦ／ＡＳの識別子（例えばＡＦ＿ＩＤ）が付帯されている。ＡＦ＿ＩＤにはＡＦのＦＱＤＮ（ＦｕｌｌｙＱｕａｌｉｆｉｅｄＤｏｍａｉｎＮａｍｅ、全限定ドメイン名）と安全プロトコル識別子が含まれてもよく、該安全プロトコル識別子はＵａ＊プロトコル識別子として表されてもよい。ここで、Ｕａ＊プロトコル識別子はＡＡＰ／ＡＰとＵＥ間で使用される安全プロトコルを識別するために使用される。

【0083】

実際の応用時、ＡＡｎＦは設定されたローカルポリシー又はＮＲＦ（ネットワークリポジトリ機能）によって提供される許可情報又はポリシーに基づいて、ＡＡＰ／ＡＰにサービスを提供するかどうかを確認することができる。具体的には、ＡＡｎＦがＡＡＰ／ＡＰにサービスを提供するかどうかを確認することは、
前記ＡＡｎＦがＡＦ／ＡＳの識別子に基づいて前記ＡＡｎＦが、ＡＡＰ／ＡＰにサービスを提供可能であるかをチェックすること、
チェックの結果が、前記ＡＡｎＦがＡＡＰ／ＡＰにサービスを提供可能である場合、前記Ａ－ＫＩＤに基づいて、ＡＡｎＦに有効なＫ_ＡＫＭＡが存在するかを確認すること、
前記ＡＡｎＦに有効なＫ_ＡＫＭＡが存在する場合、ユーザの使用が許可され得るＡＫＭＡを決定すること、
前記ＡＡｎＦに有効なＫ_ＡＫＭＡが存在しない場合、エラー応答を発すること、を含んでもよい。

【0084】

図９に示すように、ＡＡｎＦにＫ_ＡＦがない場合、ＡＡｎＦはＫ_ＡＫＭＡからＵＥのＡＫＭＡアプリケーション鍵Ｋ_ＡＦを推論する。

【0085】

具体的なＫ_ＡＦの推論手順は関連技術における定義に従って実行され得、本開示の実施例において繰り返して述べない。

【0086】

図９に示すように、ＡＡｎＦはＡＡＰ／ＡＰにＮａａｎｆ＿ＡＫＭＡ＿ＡｐｐｌｉｃａｔｉｏｎＫｅｙ＿ＧｅｔＲｅｓｐｏｎｓｅメッセージ（すなわち鍵応答メッセージ）を送信することができ、該鍵応答メッセージにはＫ_ＡＦとライフサイクルが付帯されている。つまり、ＡＡＰ／ＡＰはＡＡｎＦから送信された鍵応答メッセージに付帯されているＵＥのＡＫＭＡアプリケーション鍵Ｋ_ＡＦとライフサイクルを受信する。

【0087】

ステップ８０３、ＵＥにアプリケーション層セッション確立応答メッセージを送信する。

【0088】

図８と図９を組み合わせて見ると、ＡＡＰ／ＡＰがＵＥにＡｐｐｌｉｃａｔｉｏｎＳｅｓｓｉｏｎＥｓｔａｂｌｉｓｈｍｅｎｔＲｅｓｐｏｎｓｅ（すなわちアプリケーション層セッション確立応答）メッセージを送信する場合、図９の第４番目のステップの情報でＡＫＭＡ鍵要求が失敗したことが示されていれば、ＡＡＰ／ＡＰはアプリケーションセッション確立要求を拒否し、本ステップでエラー原因を付帯するべきである。次に、ＵＥは最新のＡ－ＫＩＤを付帯する新たなアプリケーションセッション確立要求をＡＡＰ／ＡＰに発信する可能性がある。

【0089】

実際の応用時、ＡＡＰ／ＡＰが通信事業者ネットワーク外部にある場合、ＡＡＰ／ＡＰはＮＥＦ（ＮｅｔｗｏｒｋＥｘｐｏｓｕｒｅＦｕｎｃｔｉｏｎ、ネットワーク公開機能）を通じてＡＡｎＦからＫ_ＡＦとライフサイクルを取得できる。

【0090】

ＵＥとＡＡＰ／ＡＰの間でＫ_ＡＦを有した後、ＡＡＰ／ＡＰは、ＡＡＰ／ＡＰに関連するＡＦ／ＡＳに基づいて、鍵を推論することができる。例えば、Ｋ_ＡＦとＡＦ／ＡＳの識別子を入力として使用して、ＵＥとＡＦ／ＡＳ間のアプリケーションキーを推論する。ＵＥは同じアルゴリズムに基づいてＵＥとＡＦ／ＡＳ間のアプリケーション鍵を生成する。ＵＥがＡＦ／ＡＳにアプリケーション要求を送信すると、ＡＦ／ＡＳはＡＡＰ／ＡＰにアプリケーション鍵を要求し、その後、ＵＥとの間で該鍵に基づいて後続きの認証又はセッション保護を行うことができる。

【0091】

実際の応用時、ＡＡＰ／ＡＰはＡＦ／ＡＳのために個別の鍵を推論しなくてもよい。この場合、ＵＥがＡＦ／ＡＳと通信するときには、ＡＦ／ＡＳの識別子をサービスメッセージに付帯してＡＡＰ／ＡＰに送信することができ、ＡＡＰ／ＡＰがそれをＡＦ／ＡＳに転送する。ＵＥとＡＡＰ／ＡＰ間は認証とデータ伝送保護が行われており、またＡＡＰ／ＡＰとＡＦ／ＡＳ間は相互信頼に基づく安全プロトコル通信が行われているため、ＵＥからＡＡＰ／ＡＰへ、そしてＡＡＰ／ＡＰからＡＦ／ＡＳへのアプリケーション層の逐次的な安全保護が実現され得る。これにより、ＵＥから各ＡＦ／ＡＳへのデータ伝送の安全性が実現される。

【0092】

本開示の実施例に係る認証及び／又は鍵管理方法では、ＡＫＭＡ基本ネットワークモデルにＡＡＰ／ＡＰを導入して、該ＡＡＰ／ＡＰは、一組又は同じ信頼ドメインにあるＡＦ／ＡＳのプロキシとされるか、又は、一組又は同じ信頼ドメインにあるＡＦ／ＡＳの中の特定の１つＡＦ／ＡＳがＡＡＰ／ＡＰとされてもよい。つまり、ＡＡＰ／ＡＰが１つ以上のＡＦ／ＡＳに代わってＡＫＭＡアプリケーション鍵を申し込むことができる。ＡＦ／ＡＳはＡＡＰ／ＡＰを信頼している。これにより、ＡＵＳＦ及びＡＡｎＦが、ＵＥとＡＦ／ＡＳとのためにＡＫＭＡアプリケーション鍵を確立するためのリソースを減少させ、ＡＫＭＡ鍵を取得する際の遅延を減少させ、低遅延シナリオのサービスニーズを満たす。

【0093】

図１０に示すように、本開示の実施例において、認証及び／又は鍵管理方法が提供されており、前記方法は、ステップ１００１及び１００２を含む。

【0094】

ステップ１００１、ＵＥが、第一機器に、鍵識別子が付帯されているセッション確立要求メッセージを送信する。

【0095】

ここで、第一機器はＡＡＰ／ＡＰを含んでもよく、具体的には、通信事業者ネットワーク内部のＡＡＰ／ＡＰ、又は、通信事業者ネットワーク外部のＡＡＰ／ＡＰを含んでもよい。ＡＡＰ／ＡＰが通信事業者ネットワーク外部にある場合、ＡＡＰ／ＡＰはＮＥＦを通じてコアネットワークのネットワークエレメントと通信することができる。

【0096】

ステップ１００２、前記ＵＥが、第一機器から送信された第一保護データを受信する。

【0097】

具体的には、該第一保護データは、第一機器が第一鍵又は第一鍵の派生鍵に基づいて保護しているデータを含む。前記第一鍵は、前記第一機器が鍵識別子に基づいて取得したものであり、該第一鍵はＡＫＭＡアプリケーション鍵Ｋ_ＡＦであってもよい。

【0098】

第一機器に関しては、第一機器が、一組のＡＦ／ＡＳ又は同じ信頼ドメインにあるＡＦ／ＡＳのプロキシとして、第一鍵を取得した後、これらのＡＦ／ＡＳのためにＫ_ＡＦからＡＫＭＡ鍵を推論することができる。該第一鍵は、前記第一機器が、前記鍵識別子に基づいて取得したものであり、具体的には、第一機器は、前記鍵識別子に基づいてローカルから、該鍵識別子に対応の第一鍵を取得することができる。又は、前記第一機器は、前記鍵識別子に基づいてＡＡｎＦから、該鍵識別子に対応の第一鍵を取得することができる。

【0099】

その一方、前記ＵＥに関しては、前記ＵＥが、前記第一鍵と同じ第三鍵及び第二鍵と同じ第四鍵を生成することができる。つまり、ＵＥ側のＡＫＭＡアプリケーション鍵はＵＥ自体が生成し、それぞれ第一機器及び第二機器との通信に使用される第三鍵及び第四鍵を生成し、かつ、第三鍵及び第四鍵は、それぞれ第一鍵及び第二鍵と同じである。ＡＦ／ＡＳのＡＫＭＡアプリケーション鍵はＡＡＰ／ＡＰにより生成される。上述のように、第一鍵及び第二機器の識別情報に基づいて、第二鍵が生成される。

【0100】

本開示の実施例において、該第一機器と、第二機器又はＵＥとの間でデータ伝送が行われ、具体的に、前記ＵＥは、前記第三鍵又は第三鍵の派生鍵に基づいて保護されているデータを前記第一機器に送信して、前記第一機器が前記データを第二機器に送信するようにしてもよく、
及び／又は、前記ＵＥは、前記第二機器から送信された第二保護データを受信してもよく、前記第二保護データには、前記第二機器により前記第二鍵に基づいて保護されているデータが含まれ、前記第二鍵が、前記第一機器により前記第一鍵に基づいて、前記第二機器のために生成されたものであり、
及び／又は、前記ＵＥが、前記第一機器により前記第一鍵に基づいて保護され、転送されたデータを受信してもよい。

【0101】

いくつかの実施例において、前記方法は、前記ＵＥが前記第一機器と、ＴＬＳ安全チャネルを確立することを更に含む。

【0102】

いくつかの実施例において、前記ＵＥが前記第一機器と、ＴＬＳ安全チャネルを確立することは、具体的に、
前記ＵＥが、前記第一鍵と同じ第三鍵を生成することと、
前記ＵＥが、前記第三鍵又は前記第三鍵の派生鍵に基づいて、前記ＴＬＳ安全チャネルのプリマスター鍵又は外部プリ共有鍵を生成することと、を含んでもよい。ＵＥに関するこの部分の内容は、前述の第一機器に関する内容で既に説明されており、ここでは繰り返して述べない。

【0103】

実際の応用において、前記第一機器は、ＵＥに、ＵＥがアクセス可能な第二機器のリストを提供することができる。つまり、前記ＵＥは、第一機器から、ＵＥがアクセス可能な第二機器のリストを取得することができ、該リストには、各第二機器の識別子が含まれてもよく、かつ、第二機器の識別子は重複しない。

【0104】

本開示の実施例に係る認証及び／又は鍵管理方法では、ＡＫＭＡ基本ネットワークモデルにＡＡＰ／ＡＰを導入して、ＡＡＰ／ＡＰが１つ以上のＡＦ／ＡＳに代わってＡＫＭＡアプリケーション鍵を申し込むことができる。ＡＦ／ＡＳはＡＡＰ／ＡＰを信頼しており、ＵＥが、該ＡＰＰ／ＡＰとのインタラクションを通じて、ＡＡＰ／ＡＰとの間の第一鍵を取得して、ＡＵＳＦ及びＡＡｎＦが、ＵＥとＡＦ／ＡＳとのためにＡＫＭＡアプリケーション鍵を確立するためのリソースを減少させ、ＡＫＭＡ鍵を取得する際の遅延を減少させ、低遅延シナリオのサービスニーズを満たす。

【0105】

図１１に示すように、本開示の実施例において、認証及び／又は鍵管理に用いられる第一機器が提供されており、前記第一機器は、第一処理モジュール１１０１及び第一取得モジュール１１０２を含む。

【0106】

前記第一処理モジュール１１０１は、ＵＥにより発信された、鍵識別子が付帯されているセッション確立要求メッセージを受信するように構成され、
前記第一取得モジュール１１０２は、前記鍵識別子に基づいて前記ＵＥとの間の第一鍵を取得するように構成される。

【0107】

一実施例において、前記第一機器は、生成モジュールを更に含んでもよい。
前記生成モジュールは、前記第一鍵に基づいて、第二機器のために前記ＵＥと前記第二機器間の第二鍵を生成するように構成される。

【0108】

一実施例において、前記生成モジュールは、更に、前記第一鍵と前記第二機器の識別子情報に基づいて第二鍵を生成するように構成される。

【0109】

一実施例において、前記第一処理モジュール１１０１は、更に、
前記ＵＥから第三鍵に基づいて保護されているデータを受信して、前記データを第二機器に送信するように、
及び／又は、
第二機器から送信されたデータを受信し、前記データを前記第一鍵に基づいて保護して、前記データを前記ＵＥに送信するように、構成され、
前記第三鍵は、前記ＵＥにより生成され、前記第一鍵と同じものである。

【0110】

一実施例において、前記第一取得モジュール１１０２は、更に、
前記鍵識別子に基づいて、ローカルにおいて該鍵識別子に対応する第一鍵を取得するように、又は、
前記鍵識別子に基づいて、ＡＡｎＦから該鍵識別子に対応する第一鍵を取得するように構成される。

【0111】

一実施例において、前記第一処理モジュール１１０１は、更に、前記ＵＥに、前記ＵＥがアクセス可能な第二機器のリストを提供するように構成される。

【0112】

一実施例において、前記第一処理モジュール１１０１は、更に、前記ＵＥと、ＴＬＳ安全チャネルを確立するように構成される。

【0113】

一実施例において、前記第一処理モジュール１１０１は、更に、前記第一鍵又は前記第一鍵の派生鍵に基づいて、前記ＴＬＳ安全チャネルのプリマスター鍵又は外部プリ共有鍵を生成するように構成される。

【0114】

一実施例において、前記第一処理モジュール１１０１は、更に、ＵＥに第一保護データを送信するように構成され、前記第一保護データには、前記第一機器により前記第一鍵又は前記第一鍵の派生鍵に基づいて保護されているデータが含まれる。

【0115】

一実施例において、前記第一処理モジュール１１０１は、更に、前記ＵＥから送信された、第三鍵又は第三鍵の派生鍵に基づいて保護されているデータを受信するように構成され、前記第三鍵は、ＵＥにより生成された、前記第一鍵と同じ鍵である。

【0116】

本開示の実施例に係る第一機器では、該第一機器が１つ以上のＡＦ／ＡＳに代わってＡＫＭＡアプリケーション鍵を申し込むことができる。これらのＡＦ／ＡＳは第一機器を信頼しており、同じ信頼ドメインに属するものであってもよい。これにより、ＡＵＳＦ及びＡＡｎＦが、ＵＥとＡＦ／ＡＳとのためにＡＫＭＡアプリケーション鍵を確立するためのリソースを減少させ、ＡＫＭＡ鍵を取得する際の遅延を一定の程度で減少させ、低遅延シナリオのサービスニーズを満たす。

【0117】

なお、本開示の実施例に係る第一機器は、上述の認証及び／又は鍵管理方法を実行可能な装置であり、そのため、上述の認証及び／又は鍵管理方法の全ての実施例は、該第一機器に適用しており、かつ、同じ又は類似の有益な効果を達成できる。

【0118】

図１２に示すように、本開示の実施例において、認証及び／又は鍵管理に用いられる端末が更に提供されており、前記端末は、第二処理モジュール１２０１及び第一受信モジュール１２０２を含み、
第二処理モジュール１２０１が、第一機器に、鍵識別子が付帯されているセッション確立要求メッセージを送信するように構成され、
第一受信モジュール１２０２が、前記第一機器から送信された第一保護データを受信するように構成され、
前記第一保護データには、前記第一機器により第一鍵又は第一鍵の派生鍵に基づいて保護されているデータが含まれ、前記第一鍵が、前記第一機器により前記鍵識別子に基づいて取得されたものである。

【0119】

一実施例において、前記端末は、
前記第一鍵と同じ第三鍵を生成し、前記第三鍵又は第三鍵の派生鍵に基づいて保護されているデータを前記第一機器に送信して、前記第一機器が前記データを第二機器に送信するように構成される第三処理モジュールと、
前記第二鍵と同じ第四鍵を生成するように構成される第四処理モジュールと、
第二受信モジュールであって、前記第二機器から送信された第二保護データを受信するように構成され、前記第二保護データには、前記第二機器により前記第二鍵に基づいて保護されているデータが含まれ、前記第二鍵が、前記第一機器により前記第一鍵に基づいて、前記第二機器のために生成されたものであり、
及び／又は、
前記第一機器により前記第一鍵に基づいて保護され、転送されたデータを受信するように構成される第二受信モジュールと、を更に含んでもよい。

【0120】

一実施例において、前記端末は、前記第一機器から、前記ＵＥがアクセス可能な第二機器のリストを取得するように構成される第二取得モジュールを更に含んでもよい。

【0121】

一実施例において、前記第二処理モジュール１２０１は、更に、前記第一機器と、ＴＬＳ安全チャネルを確立するように構成される。

【0122】

一実施例において、前記第二処理モジュール１２０１は、更に、
前記第一鍵と同じ第三鍵を生成することと、
前記第三鍵又は前記第三鍵の派生鍵に基づいて、前記ＴＬＳ安全チャネルのプリマスター鍵又は外部プリ共有鍵を生成することとを実行するように構成される。

【0123】

本開示の実施例に係る端末では、ＡＫＭＡ基本ネットワークモデルにＡＡＰ／ＡＰを導入して、ＡＡＰ／ＡＰが１つ以上のＡＦ／ＡＳに代わってＡＫＭＡアプリケーション鍵を申し込むことができる。ＡＦ／ＡＳはＡＡＰ／ＡＰを信頼しており、ＵＥが、該ＡＰＰ／ＡＰとのインタラクションを通じて、ＡＡＰ／ＡＰとの間の第一鍵を取得して、ＡＵＳＦ及びＡＡｎＦが、ＵＥとＡＦ／ＡＳとのためにＡＫＭＡアプリケーション鍵を確立するためのリソースを減少させ、ＡＫＭＡ鍵を取得する際の遅延を減少させ、低遅延シナリオのサービスニーズを満たす。

【0124】

なお、本開示の実施例に係る端末は、上述の認証及び／又は鍵管理方法を実行可能な装置であり、そのため、上述の認証及び／又は鍵管理方法の全ての実施例は、該端末に適用しており、かつ、同じ又は類似の有益な効果を達成できる。

【0125】

関連するＡＫＭＡネットワークモデルをエッジコンピューティングのシナリオに適用する際、１つのメーカーが複数のＡＰＰ（Ａｐｐｌｉｃａｔｉｏｎ、アプリケーション）を持っている可能性がある。これらのＡＰＰはＡＦ／ＡＳとされ、ＵＥとＡＰＰ間の共有鍵としてＡＫＭＡアプリケーション鍵を使用し、後続のアプリケーション層保護用の鍵を推論するために使用する場合、各ＡＰＰはコアネットワーク内のＡＡｎＦにＡＫＭＡアプリケーション鍵を要求する必要がある。遅延に厳しいサービスにとっては、アプリケーション層共有鍵の生成時間が低遅延要件を満たせない可能性がある。

【0126】

図１３に示すように、本開示の実施例において、エッジクラウドシステムにおける低遅延シナリオのＡＡＰ／ＡＰ展開アーキテクチャが提供されている。エッジクラウド上に遅延要件が厳しい複数のＡＰＰ（例えば、ＡＰＰ１、ＡＰＰ２など）を展開しており、これらのＡＰＰがＡＦ／ＡＳとされる。この場合、ＡＡＰ／ＡＰがあらかじめコアクラウドのＮＥＦ及びＡＡｎＦとインタラクションして鍵を取得することで、全てのＡＰＰがこの安全チャネルを使用できるようになり、個別のＡＰＰごとにコアクラウドから鍵を取得する必要がなくなる。その結果、ＵＥとＡＰＰ間のアプリケーション層の安全チャネルを確立し、低遅延の要件を満たすことができる。

【0127】

本開示の実施例において、メモリ、プロセッサ及び前記メモリに記憶され前記プロセッサ上で実行可能なプログラムを含む通信機器が更に提供しており、前記プロセッサが、前記プログラムを実行する際に、上記の認証及び／又は鍵管理方法の実施例における各手順を実現し、かつ、同じ技術的効果を達成でき、重複を避けるため、ここで繰り返して述べない。

【0128】

本開示の実施例において、コンピュータプログラムが記憶されたコンピュータ可読記憶媒体が更に提供されており、該コンピュータプログラムが、プロセッサにより実行される際、上記の認証及び／又は鍵管理方法の実施例における各手順を実現し、かつ、同じ技術的効果を達成でき、重複を避けるため、ここで繰り返して述べない。ここで、前記コンピュータ可読記憶媒体としては、例えば、リードオンリーメモリ（Ｒｅａｄ－ＯｎｌｙＭｅｍｏｒｙ、ＲＯＭと略称）、ランダムアクセスメモリ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ、ＲＡＭと略称）、磁気ディスク又は光ディスクなどのものである。

【0129】

当業者であれば、本開示の実施例が、方法、システム又はコンピュータプログラム製品として提供され得ることを理解しているであろう。そのため、本開示が、完全にハードウェアベースの実施例、完全にソフトウェアベースの実施例、又はハードウェアとソフトウェアの組み合わせによる実施例の形で実現可能である。また、本開示は、コンピュータ利用可能なコードが含まれる１つ以上のコンピュータ可読記憶媒体（磁気メモリ及び光学メモリなどが含まれるがそれらに限られない）上に実施されたコンピュータプログラム製品の形式でも実現できる。

【0130】

本開示は、本開示の実施例の方法、機器（システム）及びコンピュータプログラム製品に関するフローチャート及び／又はブロック図を参照して記述されている。フローチャート及び／又はブロック図の各プロセス及び／又はブロック、並びに、フローチャート及び／又はブロック図におけるプロセス及び／又はブロックの組合せは、コンピュータプログラム指令によって実現され得ることが理解されるであろう。これらのコンピュータプログラム指令は、汎用コンピュータ、専用コンピュータ、埋め込み型プロセッサ、又はその他のプログラム可能なデータ処理機器のプロセッサに提供されて、機械を生成する。この機械は、コンピュータ又は他のプログラム可能なデータ処理機器のプロセッサによって実行される指令を介して、フローチャート中の１つ又は複数のプロセス及び／又はブロック図中の１つ又は複数のブロックで指定された機能を実現する装置を生成するものである。

【0131】

これらのコンピュータプログラム指令は、特定の方法で動作するようにコンピュータ又はその他のプログラム可能なデータ処理機器を指示するコンピュータ可読記憶媒体に記憶され、コンピュータ可読記憶媒体で記憶された指令は、フローチャート中の１つ又は複数のプロセス及び／又はブロック図中の１つ又は複数のブロックで指定された機能を実行する、紙製品が含まれる指令装置を構成する。

【0132】

これらのコンピュータプログラム指令は、コンピュータ又はその他のプログラム可能なデータ処理機器にロードされ得、一連の操作ステップをコンピュータ又は他のプログラム可能な装置上で実行させることで、コンピュータにより実現される処理を生成する。これにより、コンピュータ又は他のプログラム可能な機器で実行される指令が、フローチャート中の１つ又は複数のプロセス及び／又はブロック図中の１つ又は複数のブロックで指定された機能を実現するステップを提供する。

【0133】

以上は本開示のいくつかの実施例である。なお、当業者にとって、本開示の原理から逸脱することなく多くの改良及び変更を加えることができ、それらも本開示の保護範囲と見なされるべきである。

【符号の説明】

【0134】

１１０１第一処理モジュール
１１０２第一取得モジュール
１２０１第二処理モジュール
１２０２第一受信モジュール

【図1】