特表 2019-537175 ネットワーク通信に関する改善

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】特表2019-537175(P2019-537175A)

(43)【公表日】2019年12月19日

(54)【発明の名称】ネットワーク通信に関する改善

(51)【国際特許分類】

   G06F 13/00 20060101AFI20191122BHJP

   G06F 21/44 20130101ALI20191122BHJP

【ＦＩ】

   G06F13/00 510A

   G06F21/44

【審査請求】未請求

【予備審査請求】未請求

【全頁数】29

(21)【出願番号】特願2019-541890(P2019-541890)

(86)(22)【出願日】2017年10月16日

(85)【翻訳文提出日】2019年6月3日

(86)【国際出願番号】GB2017053129

(87)【国際公開番号】WO2018073571

(87)【国際公開日】20180426

(31)【優先権主張番号】1617586.1

(32)【優先日】2016年10月17日

(33)【優先権主張国】GB

(81)【指定国】 AP(BW,GH,GM,KE,LR,LS,MW,MZ,NA,RW,SD,SL,ST,SZ,TZ,UG,ZM,ZW),EA(AM,AZ,BY,KG,KZ,RU,TJ,TM),EP(AL,AT,BE,BG,CH,CY,CZ,DE,DK,EE,ES,FI,FR,GB,GR,HR,HU,IE,IS,IT,LT,LU,LV,MC,MK,MT,NL,NO,PL,PT,RO,RS,SE,SI,SK,SM,TR),OA(BF,BJ,CF,CG,CI,CM,GA,GN,GQ,GW,KM,ML,MR,NE,SN,TD,TG),AE,AG,AL,AM,AO,AT,AU,AZ,BA,BB,BG,BH,BN,BR,BW,BY,BZ,CA,CH,CL,CN,CO,CR,CU,CZ,DE,DJ,DK,DM,DO,DZ,EC,EE,EG,ES,FI,GB,GD,GE,GH,GM,GT,HN,HR,HU,ID,IL,IN,IR,IS,JO,JP,KE,KG,KH,KN,KP,KR,KW,KZ,LA,LC,LK,LR,LS,LU,LY,MA,MD,ME,MG,MK,MN,MW,MX,MY,MZ,NA,NG,NI,NO,NZ,OM,PA,PE,PG,PH,PL,PT,QA,RO,RS,RU,RW,SA,SC,SD,SE,SG,SK,SL,SM,ST,SV,SY,TH,TJ,TM,TN,TR,TT

(71)【出願人】

【識別番号】519141405

【氏名又は名称】グローバル リーチ テクノロジー インコーポレイテッド

(74)【代理人】

【識別番号】100116872

【弁理士】

【氏名又は名称】藤田 和子

(72)【発明者】

【氏名】スペンサー クリストファー アラン

【テーマコード（参考）】

5B084

【Ｆターム（参考）】

5B084AA02

5B084AA29

5B084AA30

5B084AB34

5B084AB36

5B084BB16

5B084DA13

5B084DB01

5B084DB07

5B084DC03

5B084DC06

(57)【要約】

ユーザ機器のネットワークローミング中に認証サーバ間での期限付き信頼を確立する／可能にするために、期限付き信頼関係メッセージを記憶するための分散データストア（たとえば、メモリキャッシュ）と組み合わせた認証サーバ（たとえば、ＲＡＤＩＵＳサーバ）を提供する。これは、同期認証メッセージングシーケンスの従来の方法の必要性を回避し、より時間効率のよい非同期の手法で認証メッセージングシーケンスの伝送を可能にする。
【選択図】図５

【特許請求の範囲】

【請求項1】

複数の通信ネットワーク・アクセス・ポイントの間で通信ネットワーク内のクライアント機器を認証するための方法であって、
第１の通信ネットワークに第１の認証サーバ装置を、および複数のそれぞれの別の通信ネットワーク・アクセス・ポイントごとに別の認証サーバ装置を提供するステップと、
前記第１の認証サーバ装置により、第１のデータストアに前記クライアント機器を識別するクライアント識別データ項目、および前記クライアント識別データ項目に関連する満了時間を識別する満了データ項目を記憶し、前記別の通信ネットワーク・アクセス・ポイントの各々の前記別の認証サーバ装置に前記クライアント識別データ項目および前記満了データ項目を伝送するステップと、
前記別の認証サーバ装置それぞれにより、別のデータストアに受信した前記クライアント識別データ項目および満了データ項目を記憶し、前記満了データ項目により規定される期間が満了すると、前記記憶したクライアント識別データ項目を前記別のデータストアから削除するステップと、
任意の所与の前記別の認証サーバ装置により、前記第１の通信ネットワークへのアクセスのための前記クライアント機器からのリクエストを受信し、前記クライアント識別データ項目が、前記別のデータストアに記憶されたままである場合、前記クライアント機器との認証通信に対して非同期で前記第１の認証サーバ装置との認証通信を遂行することにより、前記クライアント機器を認証するステップと
を含む方法。

【請求項2】

前記所与の別の認証サーバ装置により、前記ユーザ機器からパスワードを受信するステップを含み、
前記クライアント識別データ項目が前記別のデータストアに記憶されたままである場合、前記クライアント機器を認証する前記ステップは、前記パスワードの検証を条件とせず、
前記クライアント識別データ項目が前記別のデータストアに記憶されままではない場合、前記クライアント機器を認証する前記ステップは、前記パスワードの検証を条件とする、
請求項１に記載の方法。

【請求項3】

前記クライアント機器を認証する前記ステップは、ＡＡＡ（認証、認可、およびアカウンティング）プロトコルまたはＲＡＤＩＵＳ（遠隔認証ダイヤルインユーザサービス）プロトコルによる認証通信を遂行するステップを含む、請求項１または２に記載の方法。

【請求項4】

前記第１の認証サーバ装置との前記認証通信は、前記第１の認証サーバ装置にアクセスリクエスト通信を伝送するステップと、前記第１の認証サーバ装置からアクセス許可通信を受信するステップとを含む、
請求項３に記載の方法。

【請求項5】

前記第１の認証サーバ装置との前記認証通信は、前記第１の認証サーバ装置にアカウンティング開始通信を伝送するステップと、前記第１の認証サーバ装置からアカウンティング応答通信を受信するステップとを含む、
請求項３または４に記載の方法。

【請求項6】

前記クライアント機器との前記認証通信は、前記クライアント機器からアクセスリクエスト通信を受信するステップと、前記クライアント機器にアクセス許可通信を伝送するステップとを含む、
請求項３〜５のいずれか一項に記載の方法。

【請求項7】

前記クライアント機器との前記認証通信は、前記クライアント機器からアカウンティング開始通信を受信するステップと、前記クライアント機器にアカウンティング応答通信を伝送するステップとを含む、
請求項３〜６のいずれか一項に記載の方法。

【請求項8】

前記クライアント識別データ項目は、ユーザ名、前記クライアント機器を識別する情報（たとえば、発呼局ＩＤ）のうち任意の１つまたは複数を備える、請求項１〜７のいずれか一項に記載の方法。

【請求項9】

前記満了データ項目は、時間または時点を表す値、日付を表す値、時間間隔を表す値のうち任意の１つまたは複数を備える、請求項１〜８のいずれか一項に記載の方法。

【請求項10】

前記満了データ項目は、前記クライアント機器との認証通信に対して非同期で前記第１の認証サーバ装置との前記認証通信を遂行するために、前記別の認証サーバ装置がどれだけの時間を提供しなければならないかを規定する第１の時間値を備える、請求項９に記載の方法。

【請求項11】

前記満了データ項目は、前記別の認証サーバ装置が、前記記憶したクライアント識別データ項目を前記別のデータストアからいつ削除しなければならないかを規定する第２の時間値を備える、請求項９または１０に記載の方法。

【請求項12】

前記削除するステップは、前記第１の時間値、前記第２の時間値のいずれか一方、またはこれらの両方により規定される期間が満了すると、前記記憶したクライアント識別データ項目を前記別のデータストアから削除するステップを含む、請求項１１に記載の方法。

【請求項13】

複数の通信ネットワーク・アクセス・ポイントの間で通信ネットワーク内のクライアント機器を認証するためのネットワーク通信装置であって、
複数のそれぞれの別の通信ネットワーク・アクセス・ポイントごとの別の認証サーバ装置と通信状態で配列された第１の通信ネットワークのための第１の認証サーバ装置と、
前記クライアント機器を識別するクライアント識別データ項目、および前記クライアント識別データ項目に関連する満了時間を識別する満了データ項目を記憶するように配列された、前記第１の認証サーバ装置と通信状態で配列された第１のデータストアであって、前記第１の認証サーバ装置は、前記別の通信ネットワーク・アクセス・ポイントの各々の前記別の認証サーバ装置に前記クライアント識別データ項目および前記満了データ項目を伝送するように配列される、第１のデータストアと、
前記第１の認証サーバ装置から伝送されるクライアント識別データ項目および満了データ項目を記憶するための、それぞれの別の認証サーバ装置と通信状態で配列された複数の別のデータストアであって、別の認証サーバ装置それぞれは、前記満了データ項目により規定される期間が満了すると、記憶したクライアント識別データ項目を前記それぞれの別のデータストアから削除するように配列される、複数の別のデータストアと
を含み、
前記別の認証サーバ装置それぞれは、前記第１の通信ネットワークにアクセスするための前記クライアント機器からのリクエストを受信し、前記クライアント識別データ項目が前記別のデータストアに記憶されたままである場合、前記クライアント機器との認証通信に対して非同期で前記第１の認証サーバ装置との認証通信を遂行することにより、前記クライアント機器を認証するように動作可能である、
ネットワーク通信装置。

【請求項14】

別の認証サーバ装置それぞれは、前記ユーザ機器からパスワードを受信するように配列され、
前記クライアント識別データ項目が前記別のデータストアに記憶されたままである場合、前記クライアント機器を前記認証することは、前記パスワードの検証を条件とせず、
前記クライアント識別データ項目が前記別のデータストアに記憶されたままではない場合、前記クライアント機器を前記認証することは、前記パスワードの検証を条件とする、
請求項１３に記載のネットワーク通信装置。

【請求項15】

前記クライアント機器を前記認証することは、ＡＡＡ（認証、認可、およびアカウンティング）プロトコルまたはＲＡＤＩＵＳ（遠隔認証ダイヤルインユーザサービス）プロトコルによる認証通信を遂行することを含む、請求項１３に記載のネットワーク通信装置。

【請求項16】

前記第１の認証サーバ装置との前記認証通信は、前記第１の認証サーバ装置にアクセスリクエスト通信を伝送することと、前記第１の認証サーバ装置からアクセス許可通信を受信することとを含む、
請求項１５に記載のネットワーク通信装置。

【請求項17】

前記第１の認証サーバ装置との前記認証通信は、前記第１の認証サーバ装置にアカウンティング開始通信を伝送することと、前記第１の認証サーバ装置からアカウンティング応答通信を受信することとを含む、
請求項１５または１６に記載のネットワーク通信装置。

【請求項18】

前記クライアント機器との前記認証通信は、前記クライアント機器からアクセスリクエスト通信を受信することと、前記クライアント機器にアクセス許可通信を伝送することとを含む、
請求項１５〜１７のいずれか一項に記載のネットワーク通信装置。

【請求項19】

前記クライアント機器との前記認証通信は、前記クライアント機器からアカウンティング開始通信を受信することと、前記クライアント機器にアカウンティング応答通信を伝送することとを含む、
請求項１５〜１８のいずれか一項に記載のネットワーク通信装置。

【請求項20】

前記クライアント識別データ項目は、ユーザ名、前記クライアント機器を識別する情報（たとえば、発呼局ＩＤ）のうち任意の１つまたは複数を備える、請求項１３〜１９のいずれか一項に記載のネットワーク通信装置。

【請求項21】

前記満了データ項目は、前記クライアント機器との認証通信に対して非同期で前記第１の認証サーバ装置との前記認証通信を遂行するために、前記別の認証サーバ装置がどれだけの時間を提供しなければならないかを規定する第１の時間値を備える、請求項１３〜２０のいずれか一項に記載のネットワーク通信装置。

【請求項22】

前記満了データ項目は、前記別の認証サーバ装置が、前記記憶したクライアント識別データ項目を前記別のデータストアからいつ削除しなければならないかを規定する第２の時間値を備える、請求項１３〜２１のいずれか一項に記載のネットワーク通信装置。

【請求項23】

前記削除することは、前記第１の時間値、前記第２の時間値のいずれか一方、またはこれらの両方により規定される期間が満了すると、前記記憶したクライアント識別データ項目を前記別のデータストアから削除することを含む、請求項２２に記載のネットワーク通信装置。

【請求項24】

複数の通信ネットワーク・アクセス・ポイントの間で通信ネットワーク内のクライアント機器を認証するためのネットワーク通信装置であって、
複数のそれぞれの別の通信ネットワーク・アクセス・ポイントごとに別の認証サーバ装置とネットワーク通信状態で適合され、配列された第１の通信ネットワークのための第１の認証サーバ装置と、
前記クライアント機器を識別するクライアント識別データ項目と、満了データ項目により規定される期間が満了すると別のデータストアから前記クライアント識別データ項目を削除する際に使用するための、前記クライアント識別データ項目に関連する満了時間を識別する前記満了データ項目とを記憶するように配列された、前記第１の認証サーバ装置とネットワーク通信状態で配列された第１のデータストアであって、前記第１の認証サーバ装置は、前記別のデータストアに記憶するために、前記別の通信ネットワーク・アクセス・ポイントの各々の前記別の認証サーバ装置に、前記クライアント識別データ項目および前記満了データ項目を伝送するように配列される、第１のデータストアと
を含み、
前記第１の認証サーバ装置は、前記クライアント識別データ項目が前記別のデータストアに記憶されたままである間、前記クライアント機器と前記別の認証サーバ装置との間の認証通信に対して非同期で前記別の認証サーバ装置との認証通信を遂行することにより、前記別の認証サーバ装置を介して前記クライアント機器を認証するように配列される
ネットワーク通信装置。

【請求項25】

前記クライアント機器を前記認証することは、ＡＡＡ（認証、認可、およびアカウンティング）プロトコルまたはＲＡＤＩＵＳ（遠隔認証ダイヤルインユーザサービス）プロトコルによる認証通信を遂行することを含む、請求項２４に記載のネットワーク通信装置。

【請求項26】

前記クライアント識別データ項目は、ユーザ名、前記クライアント機器を識別する情報（たとえば、発呼局ＩＤ）のうち任意の１つまたは複数を備える、請求項２４または２５のいずれか一項に記載のネットワーク通信装置。

【請求項27】

前記満了データ項目は、前記クライアント機器との認証通信に対して非同期で前記第１の認証サーバ装置との前記認証通信を遂行するために、前記別の認証サーバ装置がどれだけの時間を提供しなければならないかを規定する第１の時間値を備える、請求項２４〜２６のいずれか一項に記載のネットワーク通信装置。

【請求項28】

前記満了データ項目は、前記別の認証サーバ装置が、前記記憶したクライアント識別データ項目を前記別のデータストアからいつ削除しなければならないかを規定する第２の時間値を備える、請求項２４〜２７のいずれか一項に記載のネットワーク通信装置。

【請求項29】

複数の通信ネットワーク・アクセス・ポイントの間で通信ネットワーク内のクライアント機器を認証するためのネットワーク通信装置であって、
第２の通信ネットワーク・アクセス・ポイントのための第２の認証サーバ装置とネットワーク通信状態で適合され、配列された、通信ネットワーク・アクセス・ポイントのための第１の認証サーバ装置と、
前記クライアント機器を識別するクライアント識別データ項目、および前記クライアント識別データ項目に関連する満了時間を識別する満了データ項目を記憶するように配列された、前記第１の認証サーバ装置と通信状態で配列されたデータストアであって、前記第１の認証サーバ装置は、前記満了データ項目により規定される期間が満了すると、記憶したクライアント識別データ項目を前記データストアから削除するように配列される、データストアと
を含み、
前記第１の認証サーバ装置は、前記データストアに記憶するために、前記第２の認証サーバ装置から伝送される前記クライアント識別データ項目および前記満了データ項目を受信するように配列され、
前記第１の認証サーバ装置は、前記クライアント識別データ項目が前記データストアに記憶されたままである間、前記クライアント機器と前記第１の認証サーバ装置との間の認証通信に対して非同期で前記第２の認証サーバ装置との認証通信を遂行することにより、前記第２の認証サーバ装置を介して前記クライアント機器の認証を得るように配列される、
ネットワーク通信装置。

【請求項30】

前記第１の認証サーバ装置は、前記ユーザ機器からパスワードを受信するように配列され、
前記クライアント識別データ項目が前記データストアに記憶されたままである場合、前記クライアント機器を前記認証することは、前記パスワードの検証を条件とせず、
前記クライアント識別データ項目が前記データストアに記憶されたままではない場合、前記クライアント機器を前記認証することは、前記パスワードの検証を条件とする、
請求項２９に記載のネットワーク通信装置。

【請求項31】

前記クライアント機器を前記認証することは、ＡＡＡ（認証、認可、およびアカウンティング）プロトコルまたはＲＡＤＩＵＳ（遠隔認証ダイヤルインユーザサービス）プロトコルによる認証通信を遂行することを含む、請求項２９または３０に記載のネットワーク通信装置。

【請求項32】

前記クライアント識別データ項目は、ユーザ名、前記クライアント機器を識別する情報（たとえば、発呼局ＩＤ）のうち任意の１つまたは複数を備える、請求項２９〜３１のいずれか一項に記載のネットワーク通信装置。

【請求項33】

前記満了データ項目は、前記クライアント機器との認証通信に対して非同期で前記第２の認証サーバ装置との前記認証通信を遂行するために、前記第１の認証サーバ装置がどれだけの時間を提供しなければならないかを規定する第１の時間値を備える、請求項２９〜３２のいずれか一項に記載のネットワーク通信装置。

【請求項34】

前記満了データ項目は、前記第１の認証サーバ装置が、前記記憶したクライアント識別データ項目を前記データストアからいつ削除しなければならないかを規定する第２の時間値を備える、請求項２９〜３３のいずれか一項に記載のネットワーク通信装置。

【請求項35】

前記削除することは、前記第１の時間値、前記第２の時間値のいずれか一方、またはこれらの両方により規定される期間が満了すると、前記記憶したクライアント識別データ項目を前記データストアから削除することを含む、請求項３４に記載のネットワーク通信装置。

【請求項36】

請求項１〜１２のいずれか一項に記載の前記方法を実装するための、１つまたは複数のコンピュータ上で実行可能な命令を含むコンピュータプログラムを包含するデータキャリア／ストアまたはコンピュータプログラム製品。

【請求項37】

実行されたとき、請求項１〜１２のいずれか一項に記載の前記方法を実装するように配列された命令を含むコンピュータプログラムを用いてプログラムされた１つまたは複数のコンピュータ。

【請求項38】

実行されたとき、請求項１〜１２のいずれか一項に記載の前記方法を実装するように配列された命令を含むコンピュータプログラムを用いてプログラムされたコンピュータのネットワーク。

【請求項39】

添付図面を参照して、実質的に本明細書の任意の一実施形態で開示されるようなネットワーク通信装置。

【請求項40】

添付図面を参照して、実質的に本明細書の任意の一実施形態で開示されるような方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、データローミング中に異なるネットワークを介して通信するためのネットワーク通信方法および装置に関する。

【背景技術】

【0002】

通信ネットワークは、典型的にはネットワーク・アクセス・ポイントまたはゲートウェイを介して通信ネットワークへのユーザアクセスを許可する。公衆ネットワーク（たとえば、インターネット）などの多くのネットワークでは、ユーザは、ある種のネットワークサービス／ウェブサイトなどへのアクセスを許可される前に、ネットワーク・アクセス・ポイントにアクセス資格証明書（access credentials）を提供する必要がある場合がある。これらの資格証明書が、アクセスポイントに接続された（またはアクセスポイント内部に提供される）認証サーバ／ソフトウェアにより検証された後にだけ、ユーザにネットワークアクセスが与えられる。「キャプティブポータル（ｃａｐｔｉｖｅ ｐｏｒｔａｌ）」技法は、ネ ットワークアクセス制御のための認証処理を実装するための一般的な機構である。

【0003】

キャプティブポータルを使用するネットワーク・アクセス・リクエストは、典型的には以下のように、図１Ａ、図１Ｂ、および図１Ｃに概略的に示すように進行する。クライアント／ユーザは、自身のウェブブラウザを活動化して、所望のネットワークサービス（たとえば、ｈｔｔｐ：／／ｗｅｂｐａｇｅ．ｃｏｍ／）にアクセスする。クライアント／ユーザは、キャプティブポータルに誘導され（図１Ａ）、キャプティブポータルで、資格証明書（たとえば、パスワード、ユーザ名など）を要求される。入力された資格証明書は、ネットワーク・アクセス・ポイント（ａｃｃｅｓｓ ｐｏｉｎｔ、ＡＰ）またはゲートウェイに転送され、ネットワーク・アクセス・ポイントで確認される／詳しく調べられる（図１Ｂ）。ユーザの資格証明書が検証されるまで／検証されなければ、キャプティブポータル以外のどんなものへのアクセスも防止される。ＡＰにより資格証明書が検証された後、たとえばＲＡＤＩＵＳプロトコルを使用して、ユーザのコンピュータは、要求されたようなネットワークへのアクセスを可能にするＤＨＣＰ（Dynamic Host Configuration Protocol）リースを受信する（図１Ｃ）。次いで、ユーザは、必要に応じてネットワーク（たとえば、インターネット）にアクセスしてもよい。キャプティブポータルは、クライアント機器のＭＡＣアドレスまたはＩＰアドレスをその機器に関する一意の識別子として使用する。

【0004】

ＲＡＤＩＵＳプロトコル
ＲＡＤＩＵＳ（遠隔認証ダイヤルインユーザサービス(Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）)プロトコルは、認証、認可、およびアカウンティング（ａｕｔｈｅｎｔｉｃａｔｉｏｎ、ａｕｔｈｏｒｉｓａｔｉｏｎ、およびａｃｃｏｕｎｔｉｎｇ、ＡＡＡ）のための業界標準プロトコルである。ＲＡＤＩＵＳは、多くの場合、８０２．１Ｘ認証のために選ばれるバックエンドである。端末サーバまたはネットワーク・アクセス・サーバ（Network Access Server）（ＮＡＳ）は、ＲＡＤＩＵＳプロトコルを使用して、顧客情報のデータベースにＡＡＡリクエストを伝達し、顧客情報のデータベースからの結果を戻す。ＲＡＤＩＵＳ プロトコルは、ＲＦＣ ３５７９、ＲＦＣ ２８６６、およびＲＦＣ ３５８０の任意の１つまたはこれらの組合せなどの、ＲＦＣ ２０５８を廃止させた、および／またはＲＡＤＩＵＳプロトコル（またはＲＡＤＩＵＳプロトコルの様態）を規定する引き続くＲＦＣ文書によりそれ自体が廃止された後続のＲＦＣ文書の任意の１つまたは複数、ならびにＲＦＣ ２０５８などの、インタネットエンジニリングタスクフォース（Internet Engineering Task Force）（ＩＥＴＦ）の「ＲＦＣ」文書で規定されてもよい、またはたとえばＲＦＣ ６６１４を使用してもよい。

【0005】

ＲＡＤＩＵＳサーバは、ＲＡＤＩＵＳプロトコルを使用して、ＡＡＡサービスを提供する。ＲＡＤＩＵＳサーバは、顧客が端末サーバまたはネットワーク・アクセス・サーバ（Network Access Server）（ＮＡＳ）を使用するとき、必要なＡＡＡサービスを遂行する。ＲＡＤＩＵＳサーバは、以下のタスクを遂行する。
・認証：ユーザ名およびパスワードを確認することにより顧客識別を検証する
・認可：要求されたサービスにアクセスするための顧客特権を検証する
・アカウンティング：顧客がいつログインし、ログアウトしたか、およびセッションの継続期間を追跡する。
用語「アカウンティング」は、顧客の使用量を追跡することを指す。

【0006】

一般的な認証ツールは、いわゆる「キャプティブポータル」を使用するためのものである。キャプティブポータルは、標準ウェブブラウザを使用して、ネットワークサービスへのアクセスを与える前に、そのサービスにログイン詳細／資格証明書を提示する機会をユーザに許可する。このようにウェブブラウザを使用することは、多くのパーソナルコンピュータ（ラップトップ、ＰＣなど）のオペレーティングシステムがキャプティブポータルをサポートすることができ、かつ特注のソフトウェアを必要としないことを意味する。

【0007】

ＲＡＤＩＵＳサーバは、認証のために使用されるとき、２つのレスポンス、すなわち、「アクセス拒否（Access Reject）」レスポンスまたは「アクセス許可（Access Accept）」レスポンスのうち一方をネットワーク・アクセス・ポイントに戻してもよい。「アクセス拒否」レスポンスは、受け入れ可能な資格証明書をユーザが提供することができない場合、要求されたネットワーク資源へのアクセスを拒否するために発生する。「アクセス許可」レスポンスは、ユーザにアクセスが与えられるときに発生する。

【0008】

ＲＡＤＩＵＳは、ＲＡＤＩＵＳメッセージを他のＲＡＤＩＵＳサーバにプロキシする（すなわち、プロキシサーバを介して伝送する）ことができるようにする能力を有する。これは、第１のネットワーク（ネットワークＡ）のユーザが、第２のネットワーク（ネットワークＢ）のＲＡＤＩＵＳサーバ上で認証することにより、第２のネットワーク（ネットワークＢ）にアクセスすることが可能になることを意味する。すなわち、第１のネットワークでのＲＡＤＩＵＳ認証リクエストを、ＲＡＤＩＵＳを採用する別のネットワークにプロキシして、ユーザがその他のネットワークにアクセスすることができるようにする。

【0009】

第１のネットワーク（ネットワークＡ）のＲＡＤＩＵＳサーバが、第１のネットワークに接続された第２のネットワーク（ネットワークＢ）にアクセスすることを望むユーザからアクセス／認証リクエストを受信するとき、ユーザの資格証明書をローカルで（ネットワークＡで）検証する代わりに、そのリクエストを第２のネットワーク（ネットワークＢ）のＲＡＤＩＵＳサーバに転送（プロキシ）してもよい。次いで、第２のネットワーク（ネットワークＢ）のＲＡＤＩＵＳサーバは、ユーザの資格証明書を検証して、第１のネットワークのＲＡＤＩＵＳサーバに、ユーザのアクセスリクエストに関する「アクセス許可」メッセージを送り返してもよく、それにより、第１のネットワークを介して第２のネットワークにアクセスできるようにする。これは、「連合アクセス（federated access）」として知られている。

【0010】

ＲＡＤＩＵＳプロキシは、ＲＡＤＩＵＳクライアント（およびＲＡＤＩＵＳプロキシ）とＲＡＤＩＵＳサーバ（またはＲＡＤＩＵＳプロキシ）との間でＲＡＤＩＵＳ接続リクエストおよびアカウンティングメッセージを転送またはルーティングするように配列された機器である。ＲＡＤＩＵＳプロキシは、ユーザ名（Ｕｓｅｒ−Ｎａｍｅ）または着信局ＩＤ（Ｃａｌｌｅｄ−Ｓｔａｔｉｏｎ−ＩＤ）のＲＡＤＩＵＳ属性などの、ＲＡＤＩＵＳメッセージ内の情報を使用して、該当するＲＡＤＩＵＳサーバにＲＡＤＩＵＳメッセージをルーティングする。異なるネットワーク、位置、または組織内の複数のＲＡＤＩＵＳサーバで認証、認可、およびアカウンティングを行わなければならないとき、ＲＡＤＩＵＳプロキシをＲＡＤＩＵＳメッセージの転送ポイントとして使用することができる。ＲＡＤＩＵＳは、一般にたとえば多くの公衆ネットワークで使用可能な、資格証明書の単一のグローバルセットを提供する会社により、インターネット・サービス・プロバイダ（ｉｎｔｅｒｎｅｔ ｓｅｒｖｉｃｅ ｐｒｏｖｉｄｅｒ、ＩＳＰ）間でのローミングを容易にするために使用される。

【0011】

図２は、インターネット接続を介してアクセス可能な遠隔ＲＡＤＩＵＳサーバを使用してＡＡＡサービスを提供するために、キャプティブポータルと接続してＲＡＤＩＵＳプロキシサーバを使用することを概略的に示す。無線ネットワーク・アクセス・ポイント（ＡＰ）を介してインターネットサービスへのアクセスをユーザ装置（ｕｓｅｒ ｅｑｕｉｐｍｅｎｔ、ＵＥ）が要求することに応答して、ネットワーク・アクセス・サーバ（Network Access Server）（ＮＡＳ）からＵＥにキャプティブポータルが提供される。この配列は、異なる位置へＵＥがローミングすることにより遭遇する異なるネットワークで、異なるＡＰを介してインターネットサービスにアクセスすることができるようにするために、ＵＥによるネットワークローミングを許可する。

【0012】

従来、ＲＡＤＩＵＳサーバ内の資格証明書レコードに対して行われる、ＵＥを認証する処理の間に伝送および受信される一連のメッセージは、ＵＥが登録されているＲＡＤＩＵＳサーバに到達するために、１つまたは複数の（公衆またはプライベートの）ネットワークを横断しなければならない。ＵＥの物理的位置と（たとえば、無線ネットワークキャリアのＡＡＡを提供する）認証するＲＡＤＩＵＳサーバの物理的位置との間に大きな地理的距離が存在するとき、問題が発生する。図３は、そのような認証リクエストに関する典型的なネットワークメッセージングの流れを概略的に示す。「ローカルＲＡＤＩＵＳ」サーバと「キャリアＡＡＡ」（すなわち、遠隔ＲＡＤＩＵＳサーバ）との間に位置値決めされた、図３の「（１）」で示す垂直破線は、典型的なローミングするＲＡＤＩＵＳネットワークで、メッセージ遅延がどこで生じるかを識別する。これらの遅延は、ユーザ体験に悪影響を及ぼす。

【0013】

たとえば、遠隔ＲＡＤＩＵＳサーバが、ローカルＲＡＤＩＵＳサーバに対して世界一周の中間点にある場合、平均した片方向のデータ・パケット・トリップ時間は、約５００ｍｓかかり、累積ＲＡＤＩＵＳメッセージング時間は、最大約３秒に達する場合がある。これは、ＵＥが、遠隔ネットワークサービスに再接続することを必要とする新しいネットワークにローミングするとき、典型的には、ＵＥが認証され、ＲＡＤＩＵＳサーバがサービスを提供する所望のネットワークサービスにアクセスする（または、再びアクセスする）ことができるようになる前に、６つの同期ＲＡＤＩＵＳ認証メッセージ（アクセスリクエスト（Access Request）；アクセス拒否（Access Reject）；アクセスリクエスト（Access Request）；アクセス許可（Access Accept）；アカウンティング開始（Accounting Start）；アカウンティング応答（Accounting Response））を交換（送信および受信）しなければならないためである。

【0014】

実際は、拡張可能な認証プロトコル（Extensible Authentication Protocol）（ＥＡＰ）、または認証プロトコル−トンネル型トランスポートレイヤセキュリティ認証済プロトコル（an Authentication Protocol -Tunneled Transport Layer Security Authenticated Protocol）（EAP-TTLS）などの暗号化され認証されたトランスポートレイヤセキュリティ（Transport Layer Security）（ＴＬＳ）トンネル内部でＥＡＰをカプセル化するプロトコル（ＥＡＰ−ＴＴＬＳ）などの、セキュアなネットワーク認証を採用するとき、そのようなプロトコルは、ＵＥがアクセスポイントを横断してローミングするとき、認証リクエストを必要とし、その場合、ユーザ体験への害が非常に顕著になる。

【0015】

図３を参照すると、既存の方法によるネットワーク・アクセス・メッセージング・シーケンスの概略的表現が示されている。図３のメッセージングシーケンスを、クライアント機器とネットワークのＲＡＤＩＵＳサーバとの間で実装してもよい。最初に、ステップＳ１で、クライアント機器（ＵＥ）が、ローカルネットワークのネットワーク・アクセス・ポイント／ゲートウェイに「アソシエーションを開く（Open Association）」メッセージを送信する。アクセスポイントは、このメッセージに対して、第２のネットワークのローカルＲＡＤＩＵＳサーバ（Ｂ）に「アクセスリクエスト」メッセージを伝送することにより反応し、ローカルＲＡＤＩＵＳサーバ（Ｂ）は、認証が必要であることを意味する「アクセス拒否」メッセージを返すことにより反応する。

【0016】

ステップＳ３〜ステップＳ６で、クライアント機器（ＵＥ）は、上記の図１Ａ〜図１Ｃを参照して論じる技法などの公知の技法に従ってローカルＤＨＣＰサーバ、ネットワーク・アクセス・ポイント、およびローカルキャプティブポータルと、周知のＤＨＣＰおよびＨＴＴＰのメッセージングシーケンスを遂行する。これらは、ステップＳ３で、ＵＥとローカルＤＨＣＰサーバとの間の、ＤＨＣＰ：「発見（Discovery）」；「提示（Offer）」；「リクエスト（Request）」；「肯定応答（Acknowledgement）」メッセージのシーケンスを含む。ステップＳ４で、ＵＥは、ローカルネットワーク・アクセス・ポイントにメッセージを送り、ローカルネットワーク・アクセス・ポイントは、ステップＳ５で、キャプティブポータルへＵＥをリダイレクトすることにより応答する。ステップＳ７で、ローカルネットワークのアクセスポイントは、クライアント機器（ＵＥ）から認証リクエストを受信し、それに応答して、ステップＳ８で、ローカルネットワークのＲＡＤＩＵＳサーバを介して、キャリアネットワーク（キャリアＡＡＡ）のＲＡＤＩＵＳサーバからローカルネットワークのアクセスポイントへアクセス許可メッセージが発行される。

【0017】

アクセスポイントとキャリアネットワークのＲＡＤＩＵＳサーバとの間のアクセス許可メッセージングシーケンスは、アクセスシーケンスとほとんど同じ方法で、ステップＳ９でアカウンティング開始を、およびステップＳ１０でアカウンティング応答を備えるメッセージングシーケンスを伴うステップＳ９およびＳ１０を備える。しかしながら、ローカルネットワークのローカルＲＡＤＩＵＳサーバと遠隔ネットワークの、上流にあるキャリアＲＡＤＩＵＳサーバ（ＡＡＡ）との間の待ち時間は、ステップ（Ｓ１２）で、ローカルＲＡＤＩＵＳサーバと上流にあるキャリアのＲＡＤＩＵＳサーバとの間のメッセージングシーケンスが、同期して行わなければならない（すなわち、一方を完全に完了した後だけ、他方が続く）という事実に起因する。これは、認証リクエストを遅らせる（holds-up）。

【0018】

本発明は、これらの問題に対処する。

【発明の概要】

【0019】

最も一般的には、本発明は、ユーザ機器のネットワークローミング中に認証サーバ間での期限付き信頼を確立する／可能にするために、期限付き信頼関係メッセージ（time-limited trust relationship message）を記憶するための分散データストア（たとえば、メモリキャッシュ）と組み合わせた認証サーバ（たとえば、ＲＡＤＩＵＳサーバ）を提供するという考えにある。これは、同期認証メッセージングシーケンスの従来の方法の必要性を回避し、より時間効率のよい非同期の手法で認証メッセージングシーケンスの伝送を可能にする。

【0020】

第１の様態では、本発明は、複数の通信ネットワークの間で通信ネットワーク内のクライアント機器を認証するための方法であって、第１の通信ネットワーク内に第１の認証サーバ装置を、および複数のそれぞれの別の通信ネットワークごとに別の認証サーバ装置を提供するステップと、第１の認証サーバ装置により、クライアント機器を識別するクライアント識別データ項目、およびクライアント識別データ項目に関連する満了時間を識別する満了データ項目を第１のデータストアに記憶して、別の通信ネットワークの各々の別の認証サーバ装置にクライアント識別データ項目および満了データ項目を伝送するステップと、別の認証サーバ装置それぞれにより、受信したクライアント識別データ項目および満了データ項目を別のデータストアに記憶して、満了データ項目により規定された期間が満了すると、記憶したクライアント識別データ項目を別のデータストアから削除するステップと、任意の所与の前記別の認証サーバ装置により、第１の通信ネットワークにアクセスするためのリクエストをクライアント機器から受信し、クライアント識別データ項目が別のデータストアに記憶されたままである場合、クライアント機器との認証通信に対して非同期で第１の認証サーバ装置との認証通信を遂行することにより、クライアント機器を認証するステップとを含む方法を提供してもよい。

【0021】

このようにして、クライアント機器は、第１のネットワーク内のサーバにより提供されるサービスにアクセスするために、別のネットワークの中の１つのネットワーク内のアクセスポイントを使用するとき、サービスを必要とし続ける間、別のネットワークのうちのもう１つのネットワークにローミングしてもよく、第１のネットワーク上で／第１のネットワークからアクセスするように認可される。そのようなアクセスは、これまでは別のネットワークの中の前のネットワークを介して得られており、この場合、別のネットワークの中の新しい／他のネットワークを介して得られてもよい。第１の通信ネットワークにアクセスするために、クライアント機器から別のネットワークの中の他のネットワークの認証サーバへネットワーク・アクセス・リクエストを発行してもよい。別のネットワークの中の他のネットワークの認証サーバは、このアクセスリクエストを受信するとき、クライアント識別データ項目が存在するかどうかを確認して、クライアント識別データ項目が認証サーバのデータストアに記憶されたままであるかどうかを確かめてもよい。クライアント識別データ項目が記憶されたままである場合、別のネットワークの中の他のネットワークの認証サーバは、第１のネットワークへのアクセスを自動的に与えてもよい。

【0022】

クライアント機器を認証するために、別のネットワークの中の他のネットワークの認証サーバは、クライアント機器との認証通信に対して非同期で、第１のネットワークの認証サーバとの認証通信を遂行してもよい。第１のネットワークの認証サーバとの認証通信は、たとえば、アクセスリクエスト通信／アクセス許可通信を伝送する／受信するステップ、および／またはアカウンティング開始通信／アカウンティング応答通信を伝送する／受信するステップを含んでもよい。これらの通信は、別のネットワークの中の他のネットワークの認証サーバで／から、アクセスリクエスト通信／アクセス許可通信／アカウンティング開始通信／アカウンティング応答通信を受信する／伝送するステップを含んでもよい、クライアント機器との並列認証通信に対して非同期で行われてもよい。

【0023】

別のネットワークの中の他のネットワークの認証サーバと第１のネットワークの認証サーバとの間のこの認証通信のシーケンスは、別のネットワークの中の他のネットワークの認証サーバとユーザ機器との間の認証通信と非同期であるので、これは、ユーザ機器が、第１のネットワークの認証サーバの調整を必要とすることなしに、認証メッセージを送信／受信してもよいことを意味する。これは、そのような認証メッセージが、厳密に同期して、連続して発生する必要がないので、より迅速に連続して送信および受信されてもよいことを意味する。送信側装置（たとえば、ユーザ機器または認証サーバ）は、認証メッセージのシーケンスの１つを送信する前に、最終的な受信側機器（たとえば、認証サーバまたはユーザ機器）と調整する必要がない。従来の認証メッセージングシーケンスで使用されるような同期メッセージングは、認証プロトコルを実装するとき、そのような調整を必要とし、これが、認証メッセージングシーケンスを完了する際の遅延につながる。

【0024】

１つまたは複数の認証サーバは、１つまたは複数のサーバクラスのコンピュータを備えてもよい、またはソフトウェアを実行するようにプログラムされたコンピュータ上で実行されたとき、認証サーバの機能を実装するように適合されたソフトウェアを備えてもよい。１つまたは複数のデータストアは、１つまたは複数のコンピュータと、１つまたは複数のデジタル・メモリ機器と、１つまたは複数のコンピュータ上に配列された、または必要に応じてそのような内容を記憶する／読み出す／取り出す／削除するデジタル・メモリ内の内容およびエントリを管理するために、そのような１つまたは複数のコンピュータ上で実装／実行するように配列されたソフトウェアとを含んでもよい。データストアは、キャッシュであってもよい。データストアは、「メモリキャッシュ」であってもよい。たとえば、データストアのソフトウェアは、走行しているとき、システムメモリまたはＲＡＭの中にデータをキャッシュするように配列されてもよい。たとえば、ソフトウェアは、クライアント識別データ項目および満了データ項目に関するエントリをＲＡＭの中にキャッシュする／記憶するように配列されてもよい。ＲＡＭは、ハードドライブよりもはるかに速くアクセスすることができるので、これにより、ファイルを取り込み、取り出すとき、遅れが低減される。認証サーバは、この目的のために、それぞれのデータストアを備えても、それぞれのデータストアとの通信を制御する状態にあってもよい。

【0025】

本方法は、所与の別の認証サーバ装置により、ユーザ機器からパスワードを受信するステップを含んでもよく、クライアント識別データ項目が、別のデータストアに記憶されたままである場合、クライアント機器を認証するステップは、パスワードの検証を条件とせず、クライアント識別データ項目が、別のデータストアに記憶されたままではない場合、クライアント機器を認証するステップは、パスワードの検証を条件とする。

【0026】

クライアント機器を認証するステップは、ＲＡＤＩＵＳプロトコルによる認証通信を遂行するステップを含んでもよい。ＲＡＤＩＵＳプロトコルは、インタネットエンジニリングタスクフォース（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）（ＩＥＴＦ）の「ＲＦＣ」文書で規定されてもよい。ＲＦＣ（Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ）文書は、インターネットに関する主要な技術開発および標準設定機関である、ＩＥＴＦおよびインターネット協会（Ｉｎｔｅｒｎｅｔ Ｓｏｃｉｅｔｙ）からの一種の出版物である。一例は、ＲＦＣ ２０５８を廃止させた、および／またはたとえばＲＦＣ ６６１４などの、ＲＡＤＩＵＳプロトコル（またはその様態）を規定する引き続くＲＦＣ文書によりそれ自体が廃止させられた後続のＲＦＣ文書の任意の１つまたは複数、ならびにＲＦＣ ２０５８などである。好ましい実施形態では、ＲＦＣ ３５７９、ＲＦＣ ２８６６、およびＲＦＣ ３５８０のうち任意の１つ、またはこれらの組合せによるＲＡＤＩＵＳプロトコルを使用してもよい。しかしながら、本発明は、この選択／組合せに限定されない。代替配列では、「Ｄｉａｍｅｔｅｒ」プロトコルを使用してもよい。「Ｄｉａｍｅｔｅｒ」プロトコルは、コンピュータネットワークのための認証、認可、およびアカウンティングのプロトコルである。「Ｄｉａｍｅｔｅｒ」プロトコルは、それに先行するＲＡＤＩＵＳプロトコルから進化した。Ｄｉａｍｅｔｅｒの基礎となるプロトコルは、ＲＦＣ ６７３３で、またはＲＦＣ ６７３３に先行する（たとえば、ＲＦＣ ６７３３により廃止された）Ｄｉａｍｅｔｅｒのための任意のＲＦＣ文書で、または（たとえば、ＲＦＣ ６７３３が廃止になる場合がある）ＲＦＣ ６７３３に続く、Ｄｉａｍｅｔｅｒのための任意のＲＦＣ文書で規定されてもよい。

【0027】

第１の認証サーバ装置との認証通信は、第１の認証サーバ装置にアクセスリクエスト通信を伝送するステップと、第１の認証サーバ装置からアクセス許可通信を受信するステップとを含んでもよい。代わりにまたは追加で、第１の認証サーバ装置との認証通信は、第１の認証サーバ装置にアカウンティング開始通信を伝送するステップと、第１の認証サーバ装置からアカウンティング応答通信を受信するステップとを含んでもよい。代わりにまたは追加で、クライアント機器との認証通信は、クライアント機器からアクセスリクエスト通信を受信するステップと、クライアント機器にアクセス許可通信を伝送するステップとを含む。代わりにまたは追加で、クライアント機器との認証通信は、クライアント機器からアカウンティング開始通信を受信するステップと、クライアント機器にアカウンティング応答通信を伝送するステップとを含む。

【0028】

クライアント識別データ項目は、ユーザ名、発呼局ＩＤ（Calling-Station-ld）、課金可能なユーザ識別（Chargeable User Identity）（ＣＵＩ）のうち任意の１つまたは複数を備えてもよい。発呼局ＩＤは、たとえば（ＩＥＴＦにより規定される）ＲＡＤＩＵＳ属性に従って規定されてもよい。これにより、ネットワーク・アクセス・サーバは、呼が到来する電話番号を（自動番号識別または類似の技術を使用して）アクセスリクエストパケットの一部として含めることができるようになる。他の例は、サービス名、ＩＰアドレスを含む。

【0029】

たとえば、ＣＵＩは、ＲＦＣ ４３７２で、またはＲＦＣ ４３７２に先行する（たとえば、ＲＦＣ ４３７２より廃止された）ＣＵＩのための任意のＲＦＣ文書で、または（たとえば、ＲＦＣ ４３７２が廃止になる場合がある）ＲＦＣ ４３７２に続く、ＣＵＩのための任意のＲＦＣ文書で指定されてもよい。ＣＵＩは、所与のサイトを訪問する所与のユーザに関して静的なままでいる、ユーザに関する一意の識別子である。

【0030】

満了データ項目は、時間または時点を表す値、日付を表す値、時間間隔のうち任意の１つまたは複数を備えてもよい。満了データ項目により規定される期間は、満了データ項目自体により規定される時間値または時点で終了する期間であってもよい。たとえば、満了データ項目は、客観的時間フレーム（すなわち、グリニッジ平均時（Ｇｒｅｅｎｗｉｃｈ Ｍｅａｎ Ｔｉｍｅ、ＧＭＴ）による満了時間を規定する数値または英数字の時間および／またはデータ値（たとえば、１８：００時ＧＭＴ、または３１ Ｄｅｃ ２０１６ ２３：５９：５９ＧＭＴ）、または直後に期間の満了が発生すべき時間間隔を規定する数値の時間間隔／期間（たとえば、２．０時間、１２０分など）を備えてもよい。別の認証サーバ装置は、その別の認証サーバ装置が満了データ項目を受信する／記憶する時間に／時間から期間を開始するように配列されてもよい。たとえば、別の認証サーバ装置は、時間Ｔ１に受信／記憶してもよく、満了データ項目は、
（ａ）時間値「１８：００時ＧＭＴ」であって、別の認証サーバ装置は、（１８：００−Ｔ１）時ＧＭＴにより規定される期間の後に、（記憶した）クライアント識別データ項目を削除するように配列されてもよい、時間値、または
（ｂ）時間：分：秒の形式の時間、たとえば、「３１ Ｄｅｃ ２０１６ ２３：５９：５９ＧＭＴ」を含んでもよい日付などの時間値であって、別の認証サーバ装置は、（３１ Ｄｅｃ ２０１６ ２３：５９：５９−Ｔ１）ＧＭＴにより規定される期間の後に、（記憶した）クライアント識別データ項目を削除するように配列されてもよい、時間値、または
（ｃ）時間分（time minutes）、たとえば「１２０分」を含んでもよい時間値であって、別の認証サーバ装置は、（１２０−Ｔ１）分により規定される期間の後に、（記憶した）クライアント識別データ項目を削除するように配列されてもよい、時間値
を備える。

【0031】

時間値は、数値の時間および／または数字もしくは英数字のデータ値であってもよいタイムスタンプまたは他の時間メッセージ／値（たとえば、本明細書で以後、忘れるまでの時間値（Ｔｉｍｅ−ｔｏ−Ｆｏｒｇｅｔ（ＴＴＦ）時間値）と呼ばれる）を備えてもよい。時間値は、クライアント機器との認証通信に対して非同期で第１の認証サーバ装置との認証通信を遂行するために、別の認証サーバ装置がどれくらいの期間、許可しなければならない／待たなければならない／提供しなければならないかを規定する、数値の時間（たとえば、分単位で）および／または数字もしくは英数字のデータ値であってもよい時間値（たとえば、本明細書で以後、更新するまでの時間値（Ｔｉｍｅ−ｔｏ−Ｒｅｎｅｗ（ＴＴＲ）時間値）と呼ばれる）を備えてもよい。

【0032】

満了データ項目は、ＴＴＦ（Time-to-Forget）時間値とＴＴＲ（Time-to-Renew）時間値の両方を備えてもよい。削除する処理は、ＴＴＦ（Time-to-Forget）時間値、ＴＴＲ（Time-to-Renew）時間値のいずれか一方、またはこれらの両方／もしくは各々により規定される１つまたは複数の期間が満了すると、記憶したクライアント識別データ項目を別のデータストアから削除するステップを含んでもよい。

【0033】

たとえば、別の認証サーバ装置は、ＴＴＦ（Time-to-Forget）時間値およびＴＴＲ（Time-to-Renew）時間値により規定される期間の中から短いほうの期間が満了すると、記憶したクライアント識別データ項目を別の認証サーバ装置のデータストアから削除するように配列されてもよい。たとえば、別の認証サーバ装置は、時間Ｔ１に、日付／時間、たとえば「３１ Ｄｅｃ ２０１６ ２３：５９：５９ＧＭＴ」などのＴＴＦ時間値を、および分単位の期間、たとえば「１２０分」などのＴＴＲ時間値を備える満了データ項目を受信／記憶してもよい。別の認証サーバ装置は、２つの期間（３１ Ｄｅｃ ２０１６ ２３：５９：５９−Ｔ１）ＧＭＴおよび（１２０−Ｔ１）分のうち短いほうにより規定される期間の後、すなわちこれら２つの一方がどちらでも最初に満了すると、（記憶した）クライアント識別データ項目を削除するように配列されてもよい。

【0034】

第１の認証サーバ装置は、クライアント識別データ項目の中にある満了データ項目のＴＴＦ時間値とＴＴＲ時間値とを識別／区別するように配列されてもよく、別の認証サーバ装置はそれに応じて、受信したクライアント識別データ項目からのＴＴＦ時間値とＴＴＲ時間値との間を識別／区別するように配列されてもよい。

【0035】

認証サーバの１つまたは複数のデータストアとの間の認証メッセージング／伝送およびデータ伝送は、適切なセキュリティソフトウェアおよび／またはプロトコルを介して、伝送中に保護されてもよい。たとえば、インタネットプロトコルセキュリティ（Internet Protocol Security）（ＩＰｓｅｃ）プロトコルを使用してもよい。ＩＰｓｅｃは、当業者に周知であり、かつ入手可能なような、通信セッションの各ＩＰパケットを認証し、暗号化することにより作動するセキュアなインターネットプロトコル（ＩＰ）通信のためのプロトコルスイートである。ＩＰｓｅｃプロトコルは、当初はＲＦＣ １８２５〜ＲＦＣ １８２９で規定され、ＲＦＣ １８２５〜ＲＦＣ １８２９は、ＲＦＣ ２４０１およびＲＦＣ ２４１２により廃止された。たとえば、ＲＦＣ ４３０１およびＲＦＣ ４３０９で新しい標準が規定された。

【0036】

第２の様態では、本発明は、複数のそれぞれの別の通信ネットワークの各１つの中の別の認証サーバ装置とネットワーク通信状態で配列された第１の通信ネットワーク内に第１の認証サーバ装置を含む複数の通信ネットワークとの間で、１つの通信ネットワーク内のクライアント機器を認証するためのネットワーク通信装置を提供してもよい。

【0037】

第１のデータストアは、クライアント機器を識別するクライアント識別データ項目、およびクライアント識別データ項目に関連する満了時間を識別する満了データ項目を記憶するように配列された第１の認証サーバ装置とネットワーク通信状態で配列され、第１の認証サーバ装置は、別の通信ネットワークの各々の別の認証サーバ装置にクライアント識別データ項目および満了データ項目を伝送するように配列される。

【0038】

複数の別のデータストアは、第１の認証サーバ装置から伝送されるクライアント識別データ項目および満了データ項目を記憶するために、それぞれの別の認証サーバ装置とネットワーク通信状態になるように配列され、別の認証サーバ装置はそれぞれ、満了データ項目により規定される期間が満了すると、記憶したクライアント識別データ項目をそれぞれの別のデータストアから削除するように配列される。

【0039】

前記別の認証サーバ装置はそれぞれ、第１の通信ネットワークにアクセスするためのクライアント機器からのリクエストを受信し、クライアント識別データ項目が別のデータストア内に記憶されたままである場合、クライアント機器との認証通信に対して非同期で第１の認証サーバ装置との認証通信を遂行することにより、クライアント機器を認証するように動作可能である。

【0040】

別の認証サーバ装置はそれぞれ、ユーザ機器からパスワードを受信するように配列されてもよく、クライアント識別データ項目が、別のデータストアに記憶されたままである場合、クライアント機器を認証するステップは、パスワードの検証を条件とせず、クライアント識別データ項目が、別のデータストアに記憶されたままではない場合、クライアント機器を認証するステップは、パスワードの検証を条件とする。

【0041】

クライアント機器を認証する処理は、ＡＡＡ（Authentication, Authorisation and Accounting）プロトコルまたはＲＡＤＩＵＳ（Remote Authentication Dial In User Service）プロトコルによる認証通信を遂行するステップを含んでもよい。

【0042】

第１の認証サーバ装置との認証通信は、第１の認証サーバ装置にアクセスリクエスト通信を伝送するステップと、第１の認証サーバ装置からアクセス許可通信を受信するステップとを含んでもよい。代わりにまたは追加で、第１の認証サーバ装置との認証通信は、第１の認証サーバ装置にアカウンティング開始通信を伝送するステップと、第１の認証サーバからアカウンティング応答通信を受信するステップとを含んでもよい。代わりにまたは追加で、クライアント機器との認証通信は、クライアント機器からアクセスリクエスト通信を受信するステップと、クライアント機器にアクセス許可通信を伝送するステップとを含んでもよい。代わりにまたは追加で、クライアント機器との認証通信は、クライアント機器からアカウンティング開始通信を受信するステップと、クライアント機器にアカウンティング応答通信を伝送するステップとを含んでもよい。

【0043】

クライアント識別データ項目は、ユーザ名、発呼局ＩＤのうち任意の１つまたは複数を備えてもよい。

【0044】

満了データ項目は、時間または時点を表す値、日付を表す値、時間間隔のうち任意の１つまたは複数を備えてもよい。満了データ項目により規定される期間は、満了データ項目自体により規定される時間値または時点で終了する期間であってもよい。別の認証サーバ装置は、その別の認証サーバ装置が満了データ項目を受信する／記憶する時間に／時間から期間を開始するように配列されてもよい。

【0045】

時間値は、数値の時間および／または数字もしくは英数字のデータ値であってもよいタイムスタンプまたは他の時間メッセージ／値（たとえば、本明細書で以後、ＴＴＦ（Time-to-Forget）時間値と呼ばれ、ＴＴＦ時間値をＲＡＤＩＵＳプロトコルの「属性」として実装してもよい）を備えてもよい。数値の時間（たとえば、分単位で）および／または数字もしくは英数字のデータ値であってもよい時間値は、クライアント機器との認証通信に対して非同期で第１の認証サーバ装置との認証通信を遂行するために、別の認証サーバ装置がどれくらいの期間、許可しなければならない／待たなければならない／提供しなければならないかを規定してもよい（たとえば、本明細書で以後、ＴＴＲ（Time-to-Renew）時間値と呼び、ＴＴＲ時間値をＲＡＤＩＵＳプロトコルの「属性」として実装してもよい）。

【0046】

満了データ項目は、ＴＴＦ（Time-to-Forget）時間値とＴＴＲ（Time-to-Renew）時間値の両方を備えてもよい。削除する処理は、ＴＴＦ（Time-to-Forget）時間値、ＴＴＲ（Ｔｉｍｅ−ｔｏ−Ｒｅｎｅｗ）時間値のいずれか一方、またはこれらの両方／もしくは各々により規定される１つまたは複数の期間が満了すると、記憶したクライアント識別データ項目を別のデータストアから削除するステップを含んでもよい。たとえば、別の認証サーバ装置は、ＴＴＦ（Time-to-Forget）時間値およびＴＴＲ（Time-to-Renew）時間値により規定される期間の中から短いほうの期間が満了すると、記憶したクライアント識別データ項目を別の認証サーバ装置のデータストアから削除するように配列されてもよい。第１の認証サーバ装置は、クライアント識別データ項目内の満了データ項目のＴＴＦ時間値とＴＴＲ時間値とを識別／区別するように配列されてもよく、別の認証サーバ装置は、それに応じて、受信したクライアント識別データ項目からのＴＴＦ時間値とＴＴＲ時間値との間を識別／区別するように配列されてもよい。

【0047】

認証サーバは、適切なセキュリティソフトウェアおよび／またはプロトコルを介して認証サーバの１つまたは複数のデータストアとの間で認証メッセージング／伝送およびデータ伝送を保護するように配列されてもよい。たとえば、ＩＰｓｅｃ（Internet Protocol Security）プロトコルを使用してもよい。

【0048】

別の一様態では、本発明は、複数の通信ネットワーク・アクセス・ポイントの間で通信ネットワーク内の機器を認証するためのネットワーク通信装置であって、複数のそれぞれの別の通信ネットワーク・アクセス・ポイントごとに別の認証サーバ装置とネットワーク通信するように適合され、配列された、第１の通信ネットワークのための第１の認証サーバ装置と、クライアント機器を識別するクライアント識別データ項目を、および満了データ項目により規定される期間が満了すると、別のデータストアからクライアント識別データ項目を削除する際に使用するための、クライアント識別データ項目に関連する満了時間を識別する前記満了データ項目を記憶するように配列され、第１の認証サーバ装置とネットワーク通信状態で配列された第１のデータストアであって、第１の認証サーバ装置は、前記別のデータストアに記憶するために、前記別の通信ネットワーク・アクセス・ポイントの各々の前記別の認証サーバ装置にクライアント識別データ項目および満了データ項目を伝送するように配列される、第１のデータストアとを含むネットワーク通信装置を提供してもよく、第１の認証サーバは、前記クライアント識別データ項目が別のデータストアに記憶されたままである間、クライアント機器と別の認証サーバとの間の認証通信に対して非同期で別の認証サーバ装置との認証通信を遂行することにより、前記別の認証サーバ装置を介してクライアント機器を認証するように配列される。したがって、ユーザ／クライアント機器は、別の認証サーバによりサービスを提供される（たとえば、ローカルの）アクセスポイントにローミングしてもよく、第１の（たとえば、遠隔の）認証サーバにより管理される認証を介して提供される資源へのアクセスを求めてもよい。

【0049】

クライアント機器を認証するステップは、ＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ、Ａｕｔｈｏｒｉｓａｔｉｏｎ、およびＡｃｃｏｕｎｔｉｎｇ）プロトコルまたはＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）プロトコルによる認証通信を遂行するように配列されてもよい。クライアント識別データ項目は、ユーザ名、クライアント機器を識別する情報（たとえば、発呼局ＩＤ）のうち任意の１つまたは複数を備えてもよい。満了データ項目は、クライアント機器との認証通信に対して非同期で第１の認証サーバ装置と認証通信を遂行するために、別の認証サーバ装置がどれだけの時間を提供しなければならないかを規定する第１の時間値を備えてもよい。満了データ項目は、別の認証サーバ装置が、記憶したクライアント識別データ項目を別のデータストアからいつ削除しなければならないかを規定する第２の時間値を備えてもよい。

【0050】

さらに別の一様態では、本発明は、複数の通信ネットワーク・アクセス・ポイントの間で通信ネットワーク内のクライアント機器を認証するためのネットワーク通信装置であって、第２の通信ネットワーク・アクセス・ポイントのための第２の認証サーバ装置とネットワーク通信するように適合され、配列された、通信ネットワーク・アクセス・ポイントのための第１の認証サーバ装置と、第１の認証サーバ装置と通信状態で配列され、かつクライアント機器を識別するクライアント識別データ項目、およびクライアント識別データ項目に関連する満了時間を識別する満了データ項目を記憶するように配列されたデータストアであって、第１の認証サーバ装置は、前記満了データ項目により規定される期間が満了すると、記憶したクライアント識別データ項目をデータストアから削除するように構成され、第１の認証サーバ装置は、前記データストアに記憶するために、前記第２の認証サーバ装置から伝送されたクライアント識別データ項目および満了データ項目を受信するように配列される、データストアとを含むネットワーク通信装置を提供してもよく、第一の認証サーバは、前記クライアント識別データ項目がデータストアに記憶されたままである間、クライアント機器と第１の認証サーバとの間の認証通信に対して非同期で第２の認証サーバ装置との認証通信を遂行することにより、前記第２の認証サーバ装置を介してクライアント機器の認証を得るように配列される。したがって、ユーザ／クライアント機器は、第１の認証サーバによりサービスを提供される第１の（たとえば、ローカルの）アクセスポイントにローミングしてもよく、第２の（たとえば、遠隔の）認証サーバにより管理される認証を介して提供される資源へのアクセスを求めてもよい。

【0051】

第１の認証サーバ装置は、ユーザ機器からパスワードを受信するように配列されてもよく、前記クライアント識別データ項目が、データストアに記憶されたままである場合、クライアント機器を認証する前記ステップは、パスワードの検証を条件とせず、前記クライアント識別データ項目が、データストアに記憶されたままではない場合、クライアント機器を認証する前記ステップは、パスワードの検証を条件とする。クライアント機器を認証する処理は、ＡＡＡプロトコルまたはＲＡＤＩＵＳプロトコルによる認証通信を遂行するステップを含んでもよい。クライアント識別データ項目は、ユーザ名、クライアント機器を識別する情報（たとえば、発呼局ＩＤ）のうち任意の１つまたは複数を備えてもよい。

【0052】

満了データ項目は、クライアント機器との認証通信に対して非同期で第２の認証サーバ装置との認証通信を遂行するために、第１の認証サーバ装置がどれだけの時間を提供しなければならないかを規定する第１の時間値を備えてもよい。満了データ項目は、第１の認証サーバ装置が、記憶したクライアント識別データ項目を第１の認証サーバ装置のデータストアからいつ削除しなければならないかを規定する第２の時間値を備えてもよい。削除する処理は、第１の時間値、第２の時間値のいずれか一方、またはこれらの両方により規定される期間が満了すると、記憶したクライアント識別データ項目を別のデータストアから削除するステップを含んでもよい。

【0053】

別の一様態では、本発明は、上述のような方法を実装するための、１つまたは複数のコンピュータ上で実行可能な命令を含むコンピュータプログラムを包含するデータキャリア／ストアまたはコンピュータプログラム製品を提供してもよい。

【0054】

別の一様態では、本発明は、実行されたとき、上述の方法を実装するように配列された命令を含むコンピュータプログラムを用いてプログラムされた１つまたは複数のコンピュータを提供してもよい。

【0055】

別の一様態では、本発明は、実行されたとき、上述の方法を実装するように配列された命令を含むコンピュータプログラムを用いてプログラムされたコンピュータのネットワークを提供してもよい。

【図面の簡単な説明】

【0056】

【図1A】「キャプティブポータル」モデルによるネットワークアクセス認証の処理を概略的に示す。

【図1B】「キャプティブポータル」モデルによるネットワークアクセス認証の処理を概略的に示す。

【図1C】「キャプティブポータル」モデルによるネットワークアクセス認証の処理を概略的に示す。

【図2】遠隔ＲＡＤＩＵＳサーバを介して認証を得るために、キャプティブポータルおよびネットワーク・アクセス・サーバと接続してプロキシＲＡＤＩＵＳサーバを使用することを概略的に示す。

【図3】ＲＡＤＩＵＳプロトコルによるネットワーク・アクセス・メッセージング・シーケンスを概略的に示す。

【図4】ＲＡＤＩＵＳプロトコルを使用する、本発明の一実施形態によるネットワーク・アクセス・メッセージング・シーケンスを概略的に示す。

【図5】ネットワークをローミングするユーザ機器（network-roaming user device）を認証する際に使用するための、本発明の一実施形態によるネットワーク通信装置を概略的に示す。

【図6】アクセスポイントをローミングするユーザ機器（Access-point-roaming user device）を認証する際に使用するための、本発明の一実施形態によるネットワーク通信装置を概略的に示す。

【図7】アクセスポイントをローミングするユーザ機器を認証する際に使用するための、本発明の一実施形態によるネットワーク通信装置を概略的に示す。

【発明を実施するための形態】

【0057】

図５は、第１のネットワーク、別個の第２のネットワーク、および別個の第３のネットワークを含む複数の通信ネットワークの中の第３の通信ネットワークでクライアント機器（ユーザ装置、ＵＥ）を認証するためのネットワーク通信装置を概略的に示す。クライアント機器（ＵＥ）は、最初に第１のネットワーク内の第１の位置（位置＃１）に位置し、第１のネットワークを介して第３のネットワーク上で利用可能なネットワークサービスにアクセスする。第３のネットワークは、第１のネットワークおよび第２のネットワークとネットワーク通信状態で配列された第１の認証サーバ装置（たとえば、任意の適切なＡＡＡサーバ、たとえば、この例ではＲＡＤＩＵＳサーバ）を包含する。第１のネットワークおよび第２のネットワークの各々は、それぞれ第３のネットワークのＲＡＤＩＵＳサーバと通信するように配列されたそれぞれのＲＡＤＩＵＳ認証サーバ（第１のネットワーク内のＲＡＤＩＵＳサーバ「Ａ」、第２のネットワーク内のＲＡＤＩＵＳサーバ「Ｂ」）を包含する。ＲＡＤＩＵＳサーバ「Ａ」およびＲＡＤＩＵＳサーバ「Ｂ」はそれぞれ、自身のローカルネットワーク上で受信する認証リクエストを第３のネットワークのＲＡＤＩＵＳサーバにプロキシする（伝送する）ためのプロキシサーバとしての役割を果たす。

【0058】

第３のネットワークのＲＡＤＩＵＳサーバは、分散されたセキュアなメモリキャッシュ（ｄｉｓｔｒｉｂｕｔｅｄ、ｓｅｃｕｒｅ ｍｅｍｏｒｙ ｃａｓｈ、ｄＳＭＣ）の一部であり、かつクライアント機器（ＵＥ）を識別するクライアント識別データ項目だけではなく、クライアント識別データ項目に関連する満了時間を識別する満了データ項目も記憶するように配列された第１のデータストアと通信状態にある。満了データ項目は、ＴＴＦタイムスタンプ（すなわち、ＴＴＦで期間が終了する期間）、ＴＴＲ数値（すなわち、ＴＴＲで期間が終了する期間）のうち任意の１つまたは複数を備えてもよい。ＴＴＦおよびＴＴＲは、ＲＡＤＩＵＳプロトコルに関する属性に準拠した新しいＲＡＤＩＵＳ「属性」として実装される。

【0059】

第３のネットワークのＲＡＤＩＵＳサーバは、第１の通信ネットワークおよび第２の通信ネットワークの各々のＲＡＤＩＵＳサーバ（ＡおよびＢ）にクライアント識別データ項目および満了データ項目を伝送するように配列される。

【0060】

第１の通信ネットワークおよび第２の通信ネットワークのＲＡＤＩＵＳサーバ（ＡおよびＢ）の各々はまた、分散されたセキュアなメモリキャッシュ（ｄＳＭＣ）の一部であり、かつさらにまたクライアント機器（ＵＥ）を識別するクライアント識別データ項目だけではなく、クライアント識別データ項目に関連する満了時間を識別する満了データ項目も、第３のネットワークのＲＡＤＩＵＳサーバから受信されたときにそれぞれ記憶するように配列されたそれぞれの別のデータストアとネットワーク通信状態で配列される。このようにして、第１の、第２の、および第３の通信ネットワークのデータストアは、ｄＳＭＣの分散様態を集合的に規定する。

【0061】

第１のネットワークおよび第２のネットワークのＲＡＤＩＵＳサーバ（ＡおよびＢ）の各々は、満了データ項目により規定される期間が満了すると、受信した／記憶したクライアント識別データ項目を自身に関連するデータストア（ｄＳＭＣ）から削除するように配列される。クライアント識別データ項目は、ユーザ名、発呼局ＩＤのうち任意の１つまたは複数を備えてもよい。期間は、ＴＴＦタイムスタンプ、ＴＴＲ数値のいずれか一方、またはこれらの両方により規定されてもよい。

【0062】

クライアント機器（ＵＥ）は、第３のネットワーク、および第３のネットワークにアクセスするよう許可されるサービスとネットワーク通信状態にある間に、第１の通信ネットワーク内の位置＃１から第２の通信ネットワーク内の位置＃２へローミングするとき、第３のネットワークおよびそのサービスに連続してアクセスする必要がある。しかしながら、そのようなアクセスを、これまでは第１のネットワークを介して行われており、次に第２のネットワークを介して行わなければならない。したがって、第３のネットワークにアクセスするためのリクエストは、第２のネットワークのＲＡＤＩＵＳサーバから第３のネットワークのＲＡＤＩＵＳサーバで提出され（place）なければならない。

【0063】

この目的を達成するために、第３の通信ネットワークにアクセスするために、ネットワーク・アクセス・リクエストを、クライアント機器から第２のネットワークのＲＡＤＩＵＳサーバへ発行しなければならない。第２のネットワークのＲＡＤＩＵＳサーバは、このアクセスリクエストを受信するとき、クライアント識別データ項目の存在が自身のｄＳＭＣデータストアに記憶されたままであるかどうかを確認する。クライアント識別データ項目が記憶されたままである場合、ＲＡＤＩＵＳサーバは、クライアント識別データ項目がｄＳＭＣデータストアに記憶されたままである場合だけであるが、第３のネットワークに自動的にアクセスするように配列される。

【0064】

第２の（および第１の）ネットワークのＲＡＤＩＵＳサーバはまた、ネットワークアクセス認証の処理の一部として、ユーザ機器からパスワードを受信するように配列される（たとえば、「キャプティブポータル」モデル）。クライアント識別データ項目がｄＳＭＣデータストアに記憶されたままである場合、クライアント機器の認証は、パスワードの検証を必要とすることなく行われる。しかしながら、クライアント識別データ項目がｄＳＭＣデータストアに記憶されたままではない場合、クライアント機器の認証は、パスワードの検証を条件とする。

【0065】

クライアント機器（ＵＥ）を認証するために、第２のネットワークのＲＡＤＩＵＳサーバは、クライアント機器（ＵＥ）との認証通信に対して非同期で、第３のネットワークのＲＡＤＩＵＳサーバとの認証通信を遂行する。第３のネットワークのＲＡＤＩＵＳサーバとの認証通信は、第３のネットワークのＲＡＤＩＵＳサーバにアクセスリクエスト通信を伝送するステップと、第３のネットワークのＲＡＤＩＵＳサーバからアクセス許可通信を受信するステップとを含む。追加で、第３のネットワークのＲＡＤＩＵＳサーバとの認証通信は、第３のネットワークのＲＡＤＩＵＳサーバにアカウンティング開始通信を伝送するステップと、第３のネットワークのＲＡＤＩＵＳサーバからアカウンティング応答を受信するステップとを含む。

【0066】

これらの通信は、クライアント機器（ＵＥ）との並列認証通信に対して非同期で行われる。これらは、第２のネットワークのＲＡＤＩＵＳサーバで、クライアント機器からアクセスリクエスト通信を受信するステップと、第２のネットワークのＲＡＤＩＵＳサーバからクライアント機器へアクセス許可通信を伝送するステップとを含む。追加で、クライアント機器との認証通信は、第２のネットワークのＲＡＤＩＵＳサーバで、クライアント機器からアカウンティング開始通信を受信するステップと、第２のネットワークのＲＡＤＩＵＳサーバからクライアント機器へアカウンティング応答通信を伝送するステップとを含む。

【0067】

第２のネットワークのＲＡＤＩＵＳサーバと第３のネットワークのＲＡＤＩＵＳサーバとの間の認証通信のこのシーケンスは、第２のネットワークのＲＡＤＩＵＳサーバとユーザ機器（ＵＥ）との間の認証通信と非同期であるので、これは、ユーザ機器（ＵＥ）が、第３のネットワークのＲＡＤＩＵＳサーバと調整する必要なしに認証メッセージを送信してもよいことを意味する。これは、そのような認証メッセージが、厳密に同期して、連続して行われる必要がないので、より迅速に連続して送信および受信されてもよいことを意味する。送信側装置（たとえば、ユーザ機器（ＵＥ）またはＲＡＤＩＵＳサーバ）は、認証メッセージのシーケンスの１つを送信する前に、最終的な受信側機器（たとえば、ＲＡＤＩＵＳサーバまたはユーザ機器（ＵＥ））と調整する必要がない。ＲＡＤＩＵＳプロトコル（または他の適切なプロトコル）を実装するとき、従来の認証メッセージングシーケンスで使用される同期メッセージングは、そのような調整を必要とし、これが、認証メッセージングシーケンスを完了する際の遅延につながる。ホームサーバに到達するまでの認証メッセージの待ち時間は、さらにまた各ネットワーク内の複数のアクセスポイントにわたりローミングするとき、高速なローミング体験を中断させる。

【0068】

３つの認証サーバの１つまたは複数のｄＳＭＣデータストアとの間の認証メッセージング／伝送およびデータ伝送は、ＩＰｓｅｃプロトコルを介して伝送中に保護される。このプロトコルは、当業者に周知であり、かつ入手可能であり、セキュアなインターネットプロトコル（ＩＰ）通信を提供し、通信セッションの各ＩＰパケットを認証および暗号化することにより作動する。このようにして、３つのネットワークの３つの相互接続された／通信するｄＳＭＣデータストアは、セキュアな分散メモリキャッシュを提供する。分散メモリキャッシュは、ユーザ機器（ＵＥ）が、異なるネットワーク内のアクセスポイント間をローミングすることができるようにする、または図５の位置＃１および位置＃２が両方とも第１のネットワーク内の位置である場合など、同じネットワーク内の異なるアクセスポイント間をローミングすることができるようにする。

【0069】

たとえば、図６は、図５を参照して上述した実装形態に非常に類似する代替実装形態を概略的に示し、図６では、「第１のネットワーク」および「第２のネットワーク」のＲａｄｉｕｓサーバ（ＡおよびＢ）はそれぞれ、同じ１つの「第１のネットワーク」内のそれぞれ２つの別個のネットワーク・アクセス・ポイント「ＡＰ＃１」および「ＡＰ＃２」である。この例では、クライアント機器（ＵＥ）は、第１のアクセスポイントから第２のアクセスポイントへローミングする。図６の例にある本発明の実装形態は、図５を参照して記述したものであるが、ネットワーク間ではなくむしろ１つのネットワーク内でのローミングに関する。

【0070】

別の一例では、図７は、図５および図６を参照して上述した実装形態に非常に類似する代替実装形態を概略的に示し、図７では、「第１のネットワーク」および「第２のネットワーク」のＲａｄｉｕｓサーバ（ＡおよびＢ）はそれぞれ、同じ１つの「第１のネットワーク」内のそれぞれ２つの別個のネットワーク・アクセス・ポイント「ＡＰ＃１」および「ＡＰ＃２」である。図６の「第２のネットワーク」の「ＲＡＤＩＵＳサーバ」は、この例では今では（むしろ）「第１のネットワーク」内にあり、その結果、プロキシＲＡＤＩＵＳサーバ（「ＡＰ＃１」、「ＡＰ＃２」）、およびクライアント識別データ項目および満了データ項目が生じるＲＡＤＩＵＳサーバは、すべて同じ「第１のネットワーク」内にある。この例では、クライアント機器（ＵＥ）は、第１のアクセスポイントから第２のアクセスポイントへローミングする。図７の例にある本発明の実装形態は、図５を参照して記述したものであるが、ネットワーク間ではなくむしろ１つのネットワーク内でのローミングに関する。

【0071】

図４を参照すると、図６に示す実施形態などの、本発明の一実施形態によるネットワーク・アクセス・メッセージング・シーケンスの概略表現が示されている。たとえば、クライアント機器が第１のネットワークから第２のネットワークへローミングし、第３のネットワークのサービスへの継続的なアクセスを要求したとき、図４のメッセージングシーケンスを、クライアント機器（ＵＥ）と第３のネットワークのＲＡＤＩＵＳサーバとの間で実装してもよい。

【0072】

最初に、ステップＳ１０で（このステップは任意選択である）、クライアント機器（ＵＥ）は、第２のネットワークのネットワーク・アクセス・ポイント／ゲートウェイに「アソシエーションを開く（Open Association）」メッセージを送信する。アクセスポイントは、第２のネットワークのローカルＲＡＤＩＵＳサーバ（Ｂ）に「アクセスリクエスト（Access Request）」メッセージを伝送することによりこの「アソシエーションを開く」メッセージに反応し、ローカルＲＡＤＩＵＳサーバ（Ｂ）は、ｄＳＭＣを検索して、ｄＳＭＣが認証リクエストに関するレコードをすでに有しているかどうかを確かめることにより反応する。ステップＳ２０で、ＵＥに結果を戻してもよい。これらの２つのステップを任意選択で使用して、上流にあるキャリアＡＡＡからｄＳＭＣの更新を開始することができる。

【0073】

ステップＳ３０〜ステップＳ６０で、クライアント機器（ＵＥ）は、上記の図１Ａ〜図１Ｃを参照して論じた技法などの公知の技法に従ってローカルＤＨＣＰサーバ、ネットワーク・アクセス・ポイント、およびローカルキャプティブポータルと、周知のＤＨＣＰおよびＨＴＴＰ ＧＥＴメッセージングシーケンスを遂行する。これらは、ステップＳ３０で、ＵＥとローカルＤＨＣＰサーバとの間のＤＨＣＰ：「発見」；「提示」；「要求」；「肯定応答」メッセージのシーケンスを含む。ステップＳ４０で、ＵＥは、ローカルネットワーク・アクセス・ポイントにメッセージ（たとえば、ＨＴＴＰ ＧＥＴ；ｈｔｔｐ：／／ｗｗｗ．ｇｏｏｇｌｅ．ｃｏｍ）を送り、ローカルネットワーク・アクセス・ポイントは、ＵＥをキャプティブポータルにリダイレクトすることによりＵＥメッセージに応答し（たとえば、ＨＴＴＰ ３０２ Ｒｅｄｉｒｅｃｔ；ｈｔｔｐｓ：／／ｐｏｒｔａｌｓ．ｏｄｙｓｓｙｓ．ｎｅｔ／ａｃｃｏｕｎｔ／ｃａｐｔｉｖｅＰｏｒｔａｌ／１２３４５６）、リダイレクトは、ステップＳ５０で行われる（たとえば、ＵＥからキャプティブポータルへのＨＴＴＰ ＧＥＴ；ｈｔｔｐｓ：／／ｐｏｒｔａｌｓ．ｏｄｙｓｓｙｓ．ｎｅｔ／ａｃｃｏｕｎｔ／ｃａｐｔｉｖｅＰｏｒｔａｌ／１２３４５６；ＵＥからキャプティブポータルへのＨＴＴＰ ２００メッセージ）。

【0074】

ステップＳ７０で、ｄＳＭＣが接続された、第２のネットワークのローカルＡＡＡ／ＲＡＤＩＵＳ（「Ｂ」）は、アクセスポイント（ＡＰ）またはゲートウェイ（ＧＷ）を介してクライアント機器（ＵＥ）から認証リクエスト（たとえば、ＨＴＴＰ ＧＥＴ ＡＰ／ＧＷ ＵＡＭ Ａｕｔｈ ＵＲＬ）を受信し、これに応答して、自身のセキュアなキャッシュの内部で、そのＵＥに関する加入者のユーザ名（ＵＳＥＲ−ＮＡＭＥ）および／または発呼局ＩＤ（ＣＡＬＬＩＮＧ−ＳＴＡＴＩＯＮ−ＩＤ）データを探す。このデータは、クライアント機器識別データに対応する。このデータは、ＵＥが第２のネットワークを介して（すなわち、サーバ「Ａ」を介して）第３のネットワークにアクセスしていた間、第３のネットワークのＲＡＤＩＵＳサーバがＵＥからの以前のアクセスリクエストを受信したときに／受信していた間に、第３のネットワークのＲＡＤＩＵＳサーバから、第２のネットワークのＲＡＤＩＵＳサーバ（「Ｂ」）により、セキュアなキャッシュにすでに記憶されている。認証リクエストをｄＳＭＣが受信した時間が、クライアント機器識別データがｄＳＭＣから削除されるべき期間が終了する（すなわち、「ＴＴＦ」を経過した）よりも後ではないので、クライアント機器識別データがｄＳＭＣ内に存在して残っている場合、ステップＳ８０で、第２のネットワークのアクセスポイントのＲＡＤＩＵＳサーバ（「Ｂ」）からＵＥへアクセス許可メッセージが発行される。ＴＴＦ時間値とＴＴＲ時間値の両方の値が第３のネットワークのＲＡＤＩＵＳサーバからＲＡＤＩＵＳサーバ（「Ｂ」）に記憶されている場合、ＲＡＤＩＵＳサーバ（「Ｂ」）は、ＴＴＦ時間値およびＴＴＲ時間値により規定される期間の中から短いほうの期間が満了すると、記憶したクライアント識別データ項目を自身のｄＳＭＣから削除するように配列されてもよい。この承認メッセージは、ＵＥから提供されたパスワードデータがどんなものであろうと伝送される。アクセス許可メッセージは、第３のネットワークのＲＡＤＩＵＳサーバ（すなわち、キャリアのＲＡＤＩＵＳサーバ）から最初に受信した任意のＲＡＤＩＵＳ属性と共に、ＵＥに戻される。

【0075】

しかしながら、ｄＳＭＣが、ユーザ名または発呼局ＩＤに関するレコードを、そのデータが削除されたために有しない（たとえば、更新すべき時間（ＴＴＲ）またはＴＴＦが、どちらか早い方が満了した）場合、第２のネットワークのＲＡＤＩＵＳサーバは、第３のネットワークのＲＡＤＩＵＳサーバに（すなわち、キャリアのＡＡＡ、たとえばＲＡＤＩＵＳに）アクセスリクエストをプロキシするように配列される。

【0076】

ＵＥと第２のネットワークのＲＡＤＩＵＳサーバ（「Ｂ」）との間のアクセス許可メッセージングシーケンスと非常に類似した方法で、アクセスポイント（ＡＰ）またはゲートウェイ（ＧＷ）を介して、ＵＥと第２のネットワークのＲＡＤＩＵＳサーバ（「Ｂ」）との間で、ステップＳ９０でアカウンティング開始を、およびステップＳ１００でアカウンティング応答を備えるメッセージングシーケンスが始まる（たとえば、ＨＴＴＰ ３０２ Ｒｅｄｉｒｅｃｔ；ｈｔｔｐｓ：／／ｐｏｒｔａｌｓ．ｏｄｙｓｓｙｓ．ｎｅｔ／ａｃｃｏｕｎｔ／ｃａｐｔｉｖｅＰｏｒｔａｌ／ｓｕｃｃｅｓｓｐａｇｅ）。これは、第２のネットワークのＲＡＤＩＵＳサーバから即座に始まる。第２のネットワークのＲＡＤＩＵＳサーバから第３のネットワーク（すなわち、上流にあるキャリア）のＲＡＤＩＵＳサーバへ遅延更新（lazy update）もまた発行される。認証が行われた後、ＵＥとキャプティブポータルとの間の通信（Ｓ１１０）により、ＵＥはその後、所望のキャリア資源の必要とされる資源にアクセスすることができるようになる（たとえば、ＨＴＴＰ ＧＥＴ；ｈｔｔｐｓ：／／ｐｏｒｔａｌｓ．ｏｄｙｓｓｙｓ．ｎｅｔ／ａｃｃｏｕｎｔ／ｃａｐｔｉｖｅＰｏｒｔａｌ／ｓｕｃｃｅｓｓｐａｇｅ、およびＨＴＴＰ ２００）。

【0077】

第３のネットワークのＲＡＤＩＵＳは、ｄＳＭＣから送信されるアカウンティング開始および後続のアカウンティングパケットすべてを受信することによりアクセス許可に関する知識を完全に有する。

【0078】

ローカルネットワークのローカルＲＡＤＩＵＳサーバと遠隔ネットワークの、上流にあるキャリアのＲＡＤＩＵＳサーバとの間の待ち時間が関係している（involved）とき、またはその場合、分散されたセキュアなメモリキャッシュおよび期限付き信頼データ／メッセージを改善することにより、改善されたユーザ体験を可能になる。

【0079】

ステップ（Ｓ８０）〜（Ｓ１００）で、第２のネットワークのＲＡＤＩＵＳサーバとＵＥとの間で行われるメッセージングシーケンスに対して非同期で、ステップ（Ｓ１２０）で、メッセージングシーケンス（第２のネットワークのＲＡＤＩＵＳサーバと第３のネットワークのＲＡＤＩＵＳサーバとの間で送信／受信）を行うことができる。その結果、メッセージングシーケンスは、図３のステップ（Ｓ１２）で同期メッセージングシーケンスにより認証リクエストが遅延するように認証リクエストを遅らせる必要がない。

【0080】

ＥＡＰに関しては、ユーザ名（ＵＳＥＲＮＡＭＥ）および／または発呼局ＩＤ（ＣＡＬＬＩＮＧ−ＳＴＡＴＩＯＮ−ＩＤ）を照合するために、ｄＳＭＣを介してローカルＲＡＤＩＵＳサーバにより内部認証が確かめられるように、外部認証は、ローカルＲＡＤＩＵＳサーバ上でＥＡＰのトンネルを終端する必要がある（required to terminate its tunnel）場合がある。これは、ローカルＲＡＤＩＵＳサーバが、パスワード（ＰＡＳＳＷＯＲＤ）を読み出す／処理する、または記憶する必要がないことを意味する。ユーザ名および／または発呼局ＩＤに基づき、信頼期間（満了データ項目）の範囲内で認証を行ってもよい。たとえば、無料インターネットを使用する場合、所望であれば、信頼期間（満了データ項目）をかなり長くすることができる、またはキャリアが料金を請求する場合、信頼期間（満了データ項目）を短くしたいと望んでもよい。そのバランスは、信頼応答（より高速な）とエンド・ツー・エンド・ルックアップ（より遅い）との間のトレードオフにある。キャリアは、ｄＳＭＣに保持されたデータが信頼期間（満了データ項目）に基づき満了すること、およびユーザパスワードをｄＳＭＣに記憶する必要がないことを分かっているので、ｄＳＭＣを遠隔の国々もしくは位置に、および／または必要な場合には、分散方式で外部に配置してもよい。キャリアまたはローカルプロバイダによりｄＳＭＣを構成し、監視し（look after）、簡単で直感的な組込ウェブＧＵＩを介して管理することができる。標準に基づくＩＰｓｅｃを介して伝送中にｄＳＭＣとの間のデータを保護してもよい。

【図1A】

【図1B】

【図1C】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【国際調査報告】