非便携终端的网络连接方法

专利名称：非便携终端的网络连接方法
技术领域：
本发明涉及在需要进行终端用户的认证的网络中，将不具有用户识别信息的终端连接到网络的技术，尤其涉及假定使用了由与便携电话有关的标准
化机构3GPP (第三代伙伴项目(Third Generation Partnership Project))、3GPP2 (第三代伙伴项目2 Third Generation Partnership Project 2)规定的IMS(IP多媒体子系统(IP Multimedia Subsystem))网络的、向网络连接时的安全性且便利性高的终端的认证方法。
背景技术：
便携电话的第三代(3G: Third Generation)网络是综合了便携电话网和互联这样2个范例(paradigm)的技术。作为实现对互联网提供的所有业务的无处不在的无线接入的3G架构的关键技术是IMS (IP多媒体子系统IPMultimedia Subsystem) 。 IMS是由标准化机构3GPP (第三代伙伴项目ThirdGeneration Partership Project) 、 3GPP2 (第三代伙伴项目2 Third GenerationPartership Project 2)发展标准化的。另夕卜，IMS设计为在到达构成系统的各
节点的接入路径不是便携电话网的情况下也进行动作，在综合了固定电话网、ADSL等的宽带接入网等的下一代网络NGN (Next Generation Network)中也采用IMS。
通过在NGN上安装IMS,对于对固定电话和PC等便携电话之外的设备的加入者的确定和认证，也可通过使其具有与便携电话相同的方法来加以实施，有由通信运营商来构筑系统的优点。另外，对于加入者，也有可使便携电话和固定电话的合约一本化，或可无缝连续享受来自便携电话和/或PC的互联网接入中通信运营商的服务的优点。在由GPP/3GPP2规定的IMS中，为了认证使用3G便携电话终端的加入者，利用在终端上装载的称作UICC(通用集成电路卡)的IC卡。以进行认证的IMS系统侧与终端上IC卡两者中存储的长期共享保密密钥为基础，进行加入者的认证(3GPPTS24.228，3GPPTS 33.102， 3GPPTS 33.102)。
另一方面，为了解决因便携电话终端的处理能力和存储器容量、显示器的大小有限制，不能通过充分的质量来收看多媒体内容的问题，提出了使PC这种较高功能的终端和便携电话终端相协作，来提高多媒体内容的收视的便利性(日本特开2002—358260号公报)。
专利文献1日本特开2002—358260号公报
非专利文献13GPP TS 24.228; 3rd Generation Partnership Project;Technical Specification Group Core Network and Terminals; Signalling flowsfor the IP multimedia call control based on Session Initiation Protocol (SIP) andSession Description Protocol(SDP); Stage. 非专禾U文献23GPP TS 31.103;3rd Generation Partnership Project;Technical Specification Group Core Network and Terminals; Characteristics ofthe IP Multimedia Services Identity Module(ISIM) application
非专利文献33GPP TS 33.102;3rd Generation Partnership Project;Technical Specification Group Services and System Aspects; 3G Security;Security architecture
非专禾U文献4IETF; Network Working Group; R叫uest forComments:3310; Hypertext Transfer Protocol (HTTP) Digest AuthenticationUsing Authentication and Key Agreement(AKA)
在使用用户不具有用户识别信息的终端来连接到需要认证的网络的情况下，需要使用某些手段来将认证所需的信息输入到终端。例如，由于IMS(IP多媒体子系统)中的终端认证需要装载IC卡，所以在外出时想使用便携电话，但是在家时想使用固定电话等而想要暂时使用其他终端的情况下，终端的使用者为了使系统识别为是同一加入者，而需要将IC卡更换到该设备，不太便利。本发明不需要更换IC卡，解决了该第一问题。
进一步，考虑将IC卡更换到在外出目的地等中设置的设备上的情形时，伴随非法读取在IC卡上记录的长期共享保密密钥，而记录到终端上的危险，有安全性上的缺点。本发明中，不进行IC卡的更换，因没有在其他终端上公开长期共享保密密钥，解决了该第二问题。另外，在想要使其他设备再现便携电话中不能再现的多媒体内容的情况下，可以利用如日本特开2002 —
6358260号公报那样的方法，但是在"仅在便携加入者订立了业务合约的情
况下提供可收视的内容"等内容供应侧提供需要确定加入者的业务的情况
下，不能通过日本特开2002—358260号的方法来实现。在本发明中，通过向其他设备传送用户识别信息，可由内容供应侧确定加入者，解决了该第三问题。

发明内容
本发明中提供通过将便携终端的用户识别信息传送到其他协作终端，而使便携终端代替不具有用户识别信息的协作终端的手段。
本发明的协作终端，与具有用户识别信息的认证设备和用户认证服务器
连接，其特征在于，包括第一通信用接口，用于与所述认证设备进行通信；第二通信用接口，用于与所述用户认证服务器进行通信；以及程序处理部，若经所述第一通信用接口从所述认证设备接收到包含所述用户识别信息的第一消息，则从所述第一消息中取出所述用户识别信息，并经所述第二通信用接口 ，将包含所述用户识别信息的第二消息发送到所述用户认证服务器，若经所述第二通信用接口从所述用户认证服务器接收到包含所述用户认证服务器所生成的参数的第三消息，则经所述第一通信用接口，将请求利用保密密钥处理所述参数的消息发送到所述认证设备，所述保密密钥在所述认证设备和所述用户认证服务器中共享。
通过由便携终端代替协作终端，而不进行IC卡的更换，便携终端的使用者可以比现有技术更简单地利用其他终端。另外，通过防止保密共享密钥的非法读取，可以以较高的安全等级使用外出目的地等中设置的公共终端。进一步，由于从系统侧识别为与便携终端相同的加入者，所以可以在持续便携终端的加入合约订立状况的状态下使用其他终端。系统侧即使不具有认证便携终端之外的终端用的专用功能也可以，所以实现了系统保持者的设备的有效利用。


图1表示包含了 IMS系统的整体结构图的一例;图2表示便携终端100的结构的一例；图3表示协作终端200的结构的一例； 图4表示在IC卡U2上记录的信息；
图5表示在便携终端100的存储器107中记录的通信用程序113和协作 终端200的存储器207中记录的通信用程序213的主处理流程的一例；
图6表示通信用程序113和通信用程序213的子例程通信开始处理 (1001， 2001)的处理流程的一例；
图7表示通信用程序113和通信用程序213的子例程ID传送处理(1002， 2002)的处理流程的一例；
图8表示通信用程序113和通信用程序213的子例程认证计算处理 (1003， 2004)的处理流程的一例；
图9表示通信用程序113和通信用程序213的子例程通信结束处理 (1004， 2006)的处理流程的一例；
图10表示由3GPP TS24.228规定的IMS登记处理的时序图的一例； 图11表示由3GPP TS24.228规定的IMS登记处理的时序图的一例，接 图10;
图12表示IMS登记处理后的便携终端进行的内容下载的一例；
图13表示实施例2中的包含IMS系统的整体结构的一例；
图14表示实施例2中的IMS登记处理的时序图的一例；
图15表示实施例2中的IMS登记处理的时序图的一例，接图13;
图16表示本发明的应用例。
具体实施例方式
根据附图来说明本发明的实施例。实施例1
图1表示包含了IMS (IP多媒体子系统)系统的整体结构图的例子。 便携终端100装载了 IC (集成电路)，协作终端200与便携终端100 协作。近端通信网300用于连接便携终端100和协作终端200。网络的拓扑、 架构都不限定。在本实施例中，假定将基于USB (通信串行总线) 一便携电 话用连接器(connector)的直接连接或无线连接(蓝牙等)作为实现方式。 SIP代理服务器P-CSCF (Proxy—Call/Session Control Function) 1 400与接入网600相连，该接入网600上连接便携终端100。其具有由3GPP (第 三代伙伴项目Third Generation Partership Project) 、 3GPP2 (第三代伙伴项 目2 Third Generation Partership Project 2 )规定的功能。另外，P-CSCF1 400 在用户登记时被分配，通过接入网与用户连接。通过IPsec来进行与进行了 认证后的用户终端间的通信。P-CSCF1 400直接进行与便携终端100的SIP (会话发起协议)请求的收发。SIP代理服务器P-CSCF 2 500与接入网700 相连，该接入网700上连接协作终端200。其具有由3GPP/3GPP2规定的功 能。P-CSCF2 500直接进行与协作终端200的SIP请求的收发。
接入网600用于将便携终端100与IMS公共网800相连。网络的拓扑、 架构都不限定。本实施例中，假定3G中的GPRS(通用无线分组业务General Packet Radio Service)为实现方式。作为IMS中的漫游(roaming)网的定位。 接入网700用于将协作终端200与IMS公共网800相连。网络的拓扑、架 构都不限定。在本实施例中，假定互联网连接(拨号连接、ADSL (非对称 数字用户线路Ays謹etric Digital Subscriber Line) 、 FTTH(光纤到户Fiber To The Home)等)。作为IMS中的漫游(roaming)网的定位。IMS公共网800 将接入网600、接入网700和IMS家庭(Home)网900相互连接。网络的 拓扑、架构都不限定。IMS家庭网900与IMS公共网800相连。网络的拓 扑、架构都不限定。是使用便携终端100的加入者订立合约的通信运营商管 理的网络，连接了对加入者提供业务的各节点。
SIP代理服务器I-CSCF910与IMS家庭(Home)网900相连。其具有 由3GPP/3GPP2规定的功能。I-CSCF 910位于IMS家庭网中，确定保存有 要登记的用户的加入者信息的HSS930。接着，根据来自HSS930的指示， 将登记处理交接到S-CSCF920。另夕卜，收发从与接入网600相连的P-CSCF1 400、与接入网700相连的P-CSCF2 500传送的SIP请求。将I-CSCF (询问 一呼叫会话控制功能(Interrogating-Call/Session Control Function))的SIP UR1 (统一资源识别器(Uniformed Resorce Identifier))登记到IMS公共网 上的DNS (DomainName Server)上，而与IMS家庭网所具有的域名相关联。 因此，作为从P-CSCF向IMS家庭网连接时的入口。
SIP代理服务器S-CSCF (服务一呼叫会话控制功能Serving — Call/Session Control Function) 920与IMS家庭网900相连。其具有由3GPP/3GPP2规定的功能。S-CSCF920进行用户识别信息的管理、各加入者 加入的业务的概要信息、认证用信息的管理等。收发从I-CSCF910传送的 SIP请求。按每个加入者来分配特定的S-CSCF920， S-CSCF920进行对所分 配的加入者的业务处理。应用程序服务器HSS (Home Subscriber Server) 930 与IMS家庭网900相连。其具有由3GPP/3GPP2规定的功能。全部记录与 加入者有关的信息，保持合约订立状态等的数据库。通过I-CSCF910、 S-CSCF920与Diameter协议(RFC 3588)进行通信。应用程序服务器AS (Application Server) 940与IMS家庭网900相连，其具有由3GPP/3GPP2 规定的功能。安装对于加入者业务的应用程序，保持与HSS930的接口。 图2表示便携终端100的结构。第一通信控制部101进行用于与接入网
1 600连接的通信控制。具体的处理方式可以与3G (第三代)便携电话终端 的情形同样地加以安装。102是与通信控制部101连接的通信用接口，可以 与便携电话的收发天线同样地加以安装。第二通信控制部103进行用于与近 端通信网300连接的通信控制。具体的处理方式可以与3G便携电话终端的 情形同样地加以安装。通信用接口 104与通信控制部103相连。可以与便携 电话的外部连接用连接器或蓝牙等的收发天线同样安装。程序处理部105是 执行(运算)存储器上的程序的处理器。可用CPU (中央处理器)这种通用 处理器等来实现。控制部106进行用于与总线连接的各功能部的管理，或进 行数据传送定时的控制等装置整体的处理控制。存储器107记录通信用程序 113。
画面输出部108用于对使用者的信息显示等的画面输出。可由液晶屏等 实现。输入部109用于输入来自使用者的程序启动指示等。可由键盘等实现。 IC卡读取部110是读出在IC卡存储部111中存储的IC卡112上记录的信 息的装置。可与3G便携电话终端同样实现。IC卡保存部111是保存IC卡 112，并与IC卡读取部110连接的装置。可与3G便携电话终端同样实现。 IC卡112记录由3GPP TS 31.103规定的用户识别信息。可与3G便携电话 终端同样实现。通信用程序113记录在存储器107上，表示了与协作终端 200上装载的通信程序213进行处理间通信用的处理顺序。
图3表示协作终端200的结构。第一通信控制部201进行用于与接入网
2 700连接的通信控制。具体的处理方式可以与个人计算机用的网络接口卡等同样安装。通信用接口 202与通信控制部201连接，可以与个人计算机用 的网络接口连接器等同样进行安装。第二通信控制部203进行与近端通信网 300连接的通信控制。具体的处理方式可以与3G便携电话终端的情形同样 地进行安装。通信用接口 204与通信控制部2 203连接，可以与便携电话的 外部连接用连接器或蓝牙等的收发天线同样安装。
程序处理器205是执行(运算)存储器上的程序的处理器。可由如CPU 这种通用处理器等实现。控制部206进行与总线相连的各功能部的管理，或 进行数据传送定时的控制、装置整体的处理控制。可根据现有技术来安装。 存储器207记录通信用程序213。画面输出部208用于对使用者显示信息等 的画面输出。可由液晶屏等来实现。输入部209用于输入来自使用者的程序 启动指示等。可由键盘等来实现。通信用程序213记录在存储器207中，表 示用于与便携终端100上装载的通信程序113进行处理间通信的处理顺序。
图4表示在IC卡112上记录的信息。记录的信息由3GPPTS 31.103来 规定。所有的字段(114 117)仅可读出，用户不能改变值。私有用户ID (Private User ID) (IMPI) 114是表示分配给用户的私有用户ID的SIP URI。 在IC卡112中存储的IMPI 114仅一个。公用用户ID(Public User ID)(IMPU) 115是表示分配给用户的公用用户ID的SIP URI。在IC卡112中保存了一 个以上的IMPU115。家庭网络区域URI (Home URI) 116是包含家庭网络 的域名的SIPURI。该信息用于在IMS登记处理时搜索家庭网络的地址。IC 卡112中存储的HomelIRI116仅是一个。长期保密密钥(长期共享保密密钥) U7用于认证，或用于在终端与网络间使用的完全性保证密钥(IK)和加密 密钥(CK)的计算。
图5表示在便携终端100的存储器107上记录的通信用程序113与协作 终端200的存储器207上记录的通信用程序213的主处理流程。首先，在通 信程序113、 213两者中，启动通信开始处理(1001， 2001)，而开始通信 程序113和213的通信。后面描述子例程的内容。接着，在通信程序113、 213两者中，启动ID传送处理(1002， 2002)，并将便携终端100中保存 的IC卡112上记录的用户识别信息(ID信息)传送到协作终端200。后面 描述子例程的内部。接着，在通信程序213中，启动IMS登记处理(2003)。 其是将3GPP TS 24.229中规定的IMS登记处理中的第一次的SIP REGISTER请求发送到P-CSCF2 500的处理。接着，在通信程序113、 213两者中，启 动认证计算处理(1003、 2004)。通信程序213使用在IMS登记处理(2003) 的处理中从P-CSCF2 500接收到的参数，委托通信程序113制作认证信息。 后面描述子例程的内部。接着，在通信程序213中，启动IMS登记处理
(2005)。其是将3GPP TS 24.229中规定的IMS登记处理的第二次SIP REGISTER请求发送到P-CSCF2 500的处理。在该处理中IMS登记处理完 成。最后，在通信程序113、 213两者中，启动通信结束处理(1004， 2006)， 而结束通信程序113和213的通信。后面描述子例程的内部。
图6表示通信用程序113和通信用程序213的子例程通信开始处理
(1001， 2001)的处理流程。首先，通过由近端通信网300来连接便携终端 100和协作终端200，或由近端通信网300连接便携终端100和协作终端200， 并通过来自协作终端200的输入部209的操作，在通信程序113中，幵始等 待来自协作终端200的通信(1011)。在通信程序213中，并行地取得自身 的接口状态，并判断是否与便携终端100直接连接(2011)。在直接连接的 情况下，将直接连接的设备设置为便携终端100，而进入到下一处理(2013)。 在不直接连接的情况下，使画面输出部208显示输入便携终端100的网络ID
(地址等)的画面。若从输入部209接收输入，则将所输入的网络ID设置 为便携终端100，而进入下面的处理(2012)。
接着，在通信程序2B中，对所设置的便携终端IOO发送通信开始请求
(2014)。通信程序113接收从通信程序213发送的通信开始请求(1012)。 这里，在通信程序113中，还可进行是否可与协作终端200连接的判断，但 是在该实施例中加以省略。接着，通信程序113对通信程序213发送通信开 始响应(1013)。通信程序213接收来自通信程序113的通信开始响应(2015)。 因该接收完成，可进行通信程序113和213的通信处理。接着，在通信程序 113、213两者中，在彼此的通信联机(online)的状态下更新内部存储器(1014， 2016)，而结束子例程通信开始处理。
图7表示通信用程序113和通信用程序2B的子例程ID传送处理(1002、 2002)的处理流程。首先，在通信程序213中，对通信程序113发送ID传 送请求(2021)。若接收到来自通信程序213的ID传送请求，则通信程序 113进入到下一处理(1021)。接着，在通信程序113中，对自身的ID卡读取部110发送ID信息的读取请求，而读取数据(1022)。这里读取的数 据是IMPI114、 IMPU115、 HomeURI116三个。这些信息是通信程序213制 作在处理2003对P-CSCF2 500发送的SIP REGISTER请求所需的信息。接 着，通信程序113将在处理1022读取的ID信息发送到通信程序213(1023)。 通信程序213接收来自通信程序113的ID信息(2022)，并结束子例程ID 传送处理。
图8表示通信用程序113和通信用程序213的子例程认证计算处理 (1003， 2004)的处理流程。首先，在通信程序213中，对通信程序113发 送认证计算处理请求(2031)。这时，作为处理2003的响应，请求中含有 从P-CSCF2 500接收的参数、RAND (随机询问(challenge)值)、AUTN (网络认证令牌)。通信程序113若接收到来自通信程序213的认证计算处 理请求，就进入到下面的处理(1031)。接着，在通信程序113中，对自身 的IC卡读取器110发送长期保密密钥(KI) 117的读取请求，并读取数据 (1032)。
接着，通信程序113根据在处理1031从通信程序213接收的RAND与 在处理1032读取的长期保密密钥(KI) 117，计算出认证信息(1033)。所 谓认证信息是指RES (对询问值的响应值)、CK (加密用的会话密钥)、 IK (完全性保证用的会话密钥)3个。算出方法遵循由3GPPTS 33.102规定 的算法。另外，在该定时进行网络认证令牌AUTN的合法性确认，并进行 网络认证。接着，通信程序113将在处理1023算出的认证信息(RES， CK， IK)送到通信程序213 (1034)。通信程序213接收来自通信程序113的认 证信息(2032)，并结束子例程认证计算处理。
图9表示通信用程序113和通信用程序213的子例程通信结束处理
(1004， 2006)的处理流程。首先，在通信程序213中，对通信程序113发 送通信结束请求(2041)。通信程序113接收从通信程序213发送的通信结 束请求(1041)。接着，通信程序113对通信程序213发送通信结束响应
(1042)。通信程序213接收来自通信程序113的通信结束响应(2042)。 通过该接收完成，结束通信程序113和213的通信处理。接着，在通信程序 113， 213两者中，在彼此的通信为脱机的状态下更新存储器107 (1043, 2043)，并结束子例程通信结束处理。图10是由3GPPTS24.228规定的IMS登记处理的时序图。在图10中， 纵线分别表示便携终端100、协作终端200、 P—CSCF2 500、 I一CSCF910、 S—CSCF 920、HSS 930。在时序中，协作终端200动作为SIP UA(User Agent, 即用户代理)，便携终端100从IMS系统节点(P—CSCF2 500、I一CSCF 910、 S—CSCF 920、 HSS 930)隐蔽。换而言之，在时序上，协作终端200动作 为如装载了 IC卡112的便携终端100那样。通信开始请求(3001)表示前 述的处理1012, 2014。通信开始响应(3002)表示前述的处理1013， 2015。 ID传送请求(3003)表示前述的处理1021， 2021。 ID传送响应(3004)表 示前述的处理i022， 1023， 2022。传送的ID信息(IMPI114， IMPU115， HomeURI116)由协作终端200加以保持。
图11是由3GPPTS 24.228规定的IMS登记处理的时序图，接续图10。 认证计算处理请求(3018)表示前述的处理1031, 2031。认证计算处理响应 (3019)表示前述的处理1032， 1033， 1034, 2032。在协作终端200中保 持所传送的认证信息(CK， IK， RES)。通信结束请求(3031)表示前述 的处理1041， 2041。通信结束响应(3032)表示前述的处理1042， 2042。
图12表示基于IMS登记处理后的协作终端200的内容下载的例子。若 IMS登记完成，则由于协作终端200与便携终端100的IMPU116相关联， 所以从IMS系统侧(P—CSCF2 500， S—CSCF920， HSS930等)可以判断 为便携终端100的合约参加者使用了协作终端200。
在图12中，纵线分别表示便携终端100、协作终端200、P—CSCF2 500、 I—CSCF910、 S—CSCF920、 AS 940、 HSS 930、内容供应商。在时序中， 协作终端200动作为SIPUA (User Agent)。从协作终端200对P—CSCF2 500发送会话开始请求(SIP INVITE请求)(4001) 。 P—CSCF2 500除了 验证发送源的IP地址和在请求上添加的IMPU116是否与登记在自身的信息 一致之后，将SIP INVITE请求传送到S—CSCF 920 (4002) 。 IMS登记时， 由于P—CSCF2 500通知对该IMPU116的S—CSCF920的IP地址，所以不 经I—CSCF910就将请求传送到S —CSCF920。接着，S—CSCF920使用称 作滤波器标准(滤波器基准)的现有技术，来决定请求的传送目的地(4003)。 在图12的例子中，以在请求上添加的业务ID为基准，将请求传送到业务认 证用的AS (Application Server) 940。AS 940接收从S—CSCF 920传送的请求，并向HSS 930确认作为请豕 发送源的IMPU116是否订立了在相同请求上添加的业务ID的合约(4004)。 HSS930从HSS930上的数据库检索IMPUI16、业务ID的合约订立状況，并 向AS 940响应(4005) 。 AS 940接收来自HSS 930的合约订立状況的响应， 若已订立合约，则向S—CSCF920响应为可继续之后的处理(4006)。在检 测出IMPU的非法和未订立合约的情况下，向S—CSCF920响应出错。S — CSCF 920在确认了订立合约订立状況的情况下，向内容供应商传送从协作 终端200发送的SIP INVITE请求(4007)。
内容供应商作为SIP UA动作，并响应SIP 200 OK回复(4008) 。 SIP200 OK回复经S—CSCF 920、P—CSCF2 500，响应到协作终端200(4009,4010)。 若该响应到达，则在协作终端200和内容供应商之间建立SIP会话，而可进 行任意的数据传送。在通常的SIP会话开始中，除了图12所示的处理之外， 还进行QoS (Quality of Service)能力和/或内容再现能力的通知、QoS资源 的分配确认等。协作终端200下载内容的一系列处理(4011) (4016)为 交换多个请求和响应，直到内容下载完成为止。
SIP会话上的内容交换完成，并结束SIP会话的步骤(4017) (4022) 具体为协作终端200发送SIP BYE请求，经P—CSCF2 500、 S—CSCF 920 到达内容供应商。内容供应商发送对BYE请求的ACK响应，并使SIP会话 完成。
如图12的例子所示，在IMS登记处理后不进行协作终端200和便携终 端100的通信，而可仅由协作终端200进行SIP会话的建立，或从供应商接 受面向便携终端加入者的业务。图16表示实施例1的更具体应用例。作为 代替便携终端100的协作终端200的例子，表示了 IP—TV6002、 PC6003、 固定电话6004。
在IP—TV6002的例子(图16上段)中，将某个内容供应商6005提供 的视频在IP-TV6002—内容供应商6005之间的SIP会话上接受分配，并将 视频显示在IP-TV6002上。这时，作为协作终端200的IP-TV6002具有便携 终端100的IMPU115，内容供应商6005可以确认在SIP请求等中包含的 IMPU115。由此，内容供应商6005可以确定与IMPU115相关联的加入者， 并可进行基于加入者的业务合约状态的内容发送。另外，通过与现有技术的组合，还可在IMS系统上实现联机结算，可进行新的商业模型的研发。
在PC6003的例子(图16中段)中，PC6003作为协作终端200，而登 记在IMS系统上。 一旦登记在IMS系统上，则可从其他IMS终端向该终端 进行收发。即，可以实现的业务进行从其他IMS终端向协作终端200具有 (从便携终端100传送的)的IMPUU5发送SIP会话，能够实现从TV电话 终端6006向作为协作终端200的PC6003发送来开始TV电话会话等的业务。
在公众电话6004的例子(图16下段)中，公众电话6004作为协作终 端200登记在IMS系统上。与PC的例子相同，由于可进行收发，所以能够 实现如下业务，即，例如在便携终端100的电波达不到的位置等，将IMPUU5 传送到有线公众电话6004来进行通话发送。
作为本发明的特征，通过便携终端100和协作终端200利用近端通信进 行IMPU115的传送的这一点，以及不向协作终端200传送长期共享保密密 钥117的这一点，可以尽量防止协作终端200的非法使用。这包含可使协作 终端200公众化的可能性，在产业上很重要。若可使协作终端200公众化， 则例如在上述3个例子中，不需要使用者保持或携带协作终端200，可以使 用外出目的地、出差目的地、屋外的公众协作终端200来使用业务。
在考虑协作终端200是公共设施的情况下，在使用者结束使用协作终端 200后，具有使用者的IMPU115的协作终端200有被他人使用的危险。为 了防止该情况，使协作终端200的IMPU115无效，只要由使用者保持的协 作终端200对同一1MPU115进行IMS重新登记处理(3GPPTS24.228标准) 就可以。这是因为若将IMPU115从协作终端200拉到便携终端100，贝瞎 IMS系统侧使协作终端200的联系地址与IMPUU5相关联，相反，协作终 端200的联系地址和IMPU115的关联被解除。
实施例2
第2实施例是扩展实施例1并进一步提高安全性的实施例。通过便携终 端IOO预先掌握用过即弃的用户ID，对协作终端200不公开IC卡112内的 ID信息的方式。根据

本实施例。在本实施例中，如图13所示，实 施例1的构成要素中包含对便携终端100发送用过即弃的一次性ID的一次 性ID发送服务器450、在协作终端200进行IMS登记处理的情况下和IMS登记处理后的内容下载時作为中继的代理服务器550。
图14是本实施例的IMS登记处理的时序图。在图14中，对图10追加 了一次性ID发出服务器450和代理服务器550。 一次性ID发出服务器450 对便携终端100的一次性ID发出请求发出一次性ID。这时，也可发出多个 一次性ID。便携终端100通过利用一次性ID，可以在协作终端200中进行 IMS登记处理，而不用公开真正的ID (IMPI114、 IMPU115)。此外，协作 终端200通过经代理服务器550进行IMS登记处理和内容下载，从而代理 服务器550保持会话，而对协作终端200隐藏内容的发送源。
便携终端100在与协作终端200的认证处理之前，对一次性ID发出服 务器450进行一次性ID发出请求(5001)。接收了一次性ID发出请求的一 次性ID发出服务器450对HSS930进行所发出的1个以上的一次性ID和便 携终端IOO的真正ID (IMPIU4、 IMPU115)的关联登记(5002)。在关联 登记确认响应(5003)接收后，对便携终端100进行一次性ID的发出(5004)。 在上述处理后，与图10同样，在便携终端100和协作终端200之间，进行 通信开始请求、通信开始响应(5005， 5006)。
便携终端100若从协作终端200接收到ID传送请求(5007)，则返回 一次性ID传送请求(5008)。协作终端200接收的仅是用过即弃的一次性 ID，据此不能确定用户，不担心用户的通信履历等保留在协作终端200中。 此外，将ID传送请求传送到代理服务器，而使代理服务器550代为进行对 IMS网络的登记处理。与实施例1不同，HSS从一次性ID检索所关联的真 正的ID (5015)。之后，进行与实施例1同样的动作。从代理服务器550， 经协作终端200向便携终端100发送认证计算处理请求(5022)。
图15接图14。认证计算处理响应(5023)通过与实施例1相同的顺序 进行。之后，从SIP Register (5024)到200 OK (5034)为止通过与图11 相同的步骤来进行。连接完成通知(5035)向协作终端200通知代理服务器 550完成了 IMS登记处理的情况，接收了该通知的协作终端200与实施例1 同样，在与便携终端100之间进行通信结束请求(5036)和通信结束响应 (5037)。
经代理服务器550进行基于IMS登记处理后的协作终端200的内容下 载。在本实施例中，若IMS登记完成，则由于代理服务器与便携终端100的IMPU115相关联，所以在IMS系统侧(P—CSCF2 500， S—CSCF920，
HSS 930等)能够判断为便携终端100的加入订立合约者正在使用代理服务 器550。与实施例1不同，将代理服务器550登记到IMS网络上，而接受服 务。
协作终端200在从内容供应商下载内容的情况下，取向代理服务器550 进行内容的下载的传送请求的方式。由此，在协作终端200是在街上等设置 的不确定多个终端的情况下，通过使协作终端200不保持会话，用户也能够 安心使用。
此外，通过在协作终端200和内容供应商等之间设置代理服务器550， 可以对协作终端200隐藏内容发送源。
例如，考虑用户在外出地通过作为协作终端200的与网络相连的TV等 来观看自己家中的DVD录像机的录像的情形。用户经自己家里的家庭网关 向协作终端200下载DVD录像机的录像。这时，在其间不设置代理服务器 550的情况下，有可能将家庭网关的URL等有关个人的信息记录在协作终 端200上。通过在其间设置代理服务器550，能够仅下载DVD播放器的录 像，而不用让协作终端200知道发送源的URL，能够进一步提高安全性。 另外，通过在一次性ID上设置使用期限，即使协作终端200非法保持一次 性ID，并接收用户不允许的业务，在向图12中所称的HSS930确认业务的 合约订立信息时(4004)，通过调査一次性ID的使用期限，也能够防止非 法使用。对于接受业务的处理，由于可以以图12所示的处理为基础，在 HSS930上追加调查一次性ID的使用期限的功能来实现，所以省略了详细的 说明。
权利要求
1、一种协作终端，与具有用户识别信息的认证设备和用户认证服务器连接，其特征在于，包括第一通信用接口，用于与所述认证设备进行通信；第二通信用接口，用于与所述用户认证服务器进行通信；以及程序处理部，若经所述第一通信用接口从所述认证设备接收到包含所述用户识别信息的第一消息，则从所述第一消息中取出所述用户识别信息，并经所述第二通信用接口，将包含所述用户识别信息的第二消息发送到所述用户认证服务器，若经所述第二通信用接口从所述用户认证服务器接收到包含所述用户认证服务器所生成的参数的第三消息，则经所述第一通信用接口，将请求利用保密密钥处理所述参数的消息发送到所述认证设备，所述保密密钥在所述认证设备和所述用户认证服务器中共享。
2、 根据权利请求1所述的协作终端，其特征在于，包括输入接口，用于接收来自用户的输入处理；以及输出接口，用于显示对用户的指示或处理结果、内容。
3、 一种认证设备，具有保存用户识别信息的单元，其特征在于该认证设备与用户认证服务器之间共享保密密钥，该用户认证服务器使用所述用户识别信息对用户进行认证，该认证设备包括通信用接口，用于与协作终端进行通信，该协作终端经网络与所述用户认证服务器连接；以及控制部，经所述通信用接口，将包含所述用户识别信息的第一消息发送到所述协作终端，若经所述通信用接口从所述协作终端接收到包含利用所述保密密钥处理的参数的第二消息，则经所述通信用接口，将利用所述保密密钥处理所述参数的结果发送到所述协作终端。
4、 根据权利要求3所述的认证设备，其特征在于，包括存储单元，用于保存所述用户识别信息和所述保密密钥；存储单元保存部，用于保存所述存储单元；以及存储单元读取部，用于读取所述存储单元中所保存的所述用户识别信息和所述保密密钥。
5、 一种用户认证系统，对不具有用户识别信息的协作终端进行认证，其特征在于，包括所述协作终端，若从具有用户识别信息的认证设备接收到包含所述用户识别信息的第一消息，则从所述第一消息中取出所述用户识别信息，并将包含所述用户识别信息的第二消息发送到用户认证服务器；所述用户认证服务器，若接收到所述第二消息，则将包含参数的第三消息发送到所述协作终端，该参数用于基于在与所述认证设备之间共享的保密密钥进行的认证中；以及所述用户认证设备，若从所述协作终端接收到请求利用所述保密密钥对所述协作终端所接收的所述参数进行处理的第四消息，则将包含利用所述保密密钥处理所述参数的结果的第五消息发送到所述协作终端。
6、 根据权利要求5所述的用户认证系统，其特征在于所述用户认证服务器管理所述用户识别信息、所述保密密钥、登记用户的加入业务概要。
7、 一种用户认证系统，对不具有用户识别信息的协作终端进行认证，其特征在于，包括一次性用户识别信息发出服务器，发出用于与所述协作终端的协作的一次性用户识别信息；认证设备，从所述一次性用户识别信息发出服务器接收包含所述一次性用户识别信息的第一消息，并将包含所述一次性用户识别信息的第二消息发送到所述协作终端；所述协作终端，若从所述认证设备接收到所述第二消息，则将包含所述一次性用户识别信息的第三消息发送到代理服务器；所述代理服务器，若接收到所述第三消息，则将包含所述一次性用户识别信息的第四消息发送到用户认证服务器，若从所述用户认证服务器接收到包含参数的第五消息，则经所述协作终端，向所述认证设备发送包含所述参数的第六消息，所述参数用于基于在所述认证设备和所述用户认证服务器中共享的保密密钥进行的认证中；以及所述用户认证服务器，若作为对所述第六消息的回复而经所述代理服务器接收到包含利用所述保密密钥处理所述参数的结果的第七消息，则与自身持有的利用所述保密密钥处理所述参数的结果进行对照。
8、 根据权利要求7所述的用户认证系统，其特征在于 若从所述认证设备接收到一次性用户识别信息的发出请求，则所述一次性用户识别信息发出服务器发出所述一次性用户识别信息；在所述用户认证服务器中，将所述一次性用户识别信息与所述认证设备 具有的所述用户识别信息相关联起来进行登记。
9、 根据权利要求7所述的用户认证系统，其特征在于所述认证设备向所述一次性用户识别信息发出服务器发送一次性用户识别信息的发出请求；若从所述一次性用户识别信息发出服务器接收到所述一次性用户识别 信息，则将所述一次性用户识别信息保存在存储单元中。
10、 一种权利请求9所述的认证设备，其特征在于，包括所述存储单元，用于保存所述用户识别信息和所述保密密钥； 存储单元保存部，用于保存所述存储单元；以及存储单元读取部，用于读取在所述存储单元中保存的所述用户识别信息 和所述保密密钥。
11、 根据权利请求7所述的用户认证系统，其特征在于， 所述协作终端将包含所述一次性用户识别信息的会话开始请求发送到所述代理服务器；所述代理服务器从所接收的会话开始请求中取出所述一次性用户识别 信息，并向所述用户认证服务器发送包含所述一次性用户识别信息的用户的 合约订立状况请求；若从所述用户认证服务器接收到用户的合约订立状况响应，则将所述会 话开始请求传送到内容发送服务器。
12、 根据权利请求ll所述的用户认证系统，其特征在于，包括 若从所述协作终端接收到所述会话开始请求，则所述代理服务器在所述一次性用户识别信息的有效期限以内的情况下，返回所述会话开始响应，并 传送来自内容服务器的通信，在所述一次性用户识别信息的有效期限己经截 止的情况下，返回出错消息。
全文摘要
本发明所要解决的技术问题是可以使用其他设备，而不用公开在IC卡中保存的安全性信息。另外，在使便携终端与其他协作终端协作的情况下，提供内容供应商可确定协作设备的使用者的手段。其解决方案是具有用于将便携终端和协作终端连接到公共网上的独立的通信接入路径，且使便携终端和协作终端近距离进行通信，将在便携终端上保存的认证用的用户识别信息传送到协作终端。此外，通过不传送长期共享保密密钥的方式，实现高安全性。
文档编号H04W12/00GK101466095SQ20081018439
公开日2009年6月24日 申请日期2008年12月12日 优先权日2007年12月20日
发明者长谷川笃 申请人:株式会社日立制作所