JP2024530949A - セキュアチャネルの確立方法およびその装置、関連機器、並びに記憶媒体 - Google Patents

Abstract

本願は、セキュアチャネルの確立方法およびその装置、５Ｇメッセージ端末、５Ｇメッセージサーバ、並びに記憶媒体を開示する。ここで、前記方法は、５Ｇメッセージ端末が、アプリケーション層のための認証および鍵管理（ＡＫＭＡ）サービスに基づいて、第１鍵を生成することと、前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立することと、を含む。一実施形態では、前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立することは、前記第１鍵に基づいて第３鍵を生成し、第１アイデンティティを含むクライアント鍵交換メッセージを前記５Ｇメッセージサーバに送信することと、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のトランスポート層セキュリティ（ＴＬＳ）セキュアチャネルを確立することと、を含む。【選択図】図４

Description

（関連出願への相互参照）
本願は、２０２１年０８月０９日に中国特許局に提出された、出願番号が２０２１１０９１０３１１．１である中国特許出願に基づいて提出されるものであり、当該中国特許出願の優先権を主張し、当該中国特許出願のすべての内容が参照により本願に組み込まれている。

本願は、ネットワークセキュリティ分野に関し、特に、セキュアチャネルの確立方法およびその装置、関連機器、並びに記憶媒体に関する。

関連技術では、図１に示すように、第５世代移動通信技術（５Ｇ）メッセージサービスおよびアプリケーション層における当該サービスのアーキテクチャとプロセスが定義されている。５Ｇメッセージサービスのセキュリティ問題を如何に解決するか、特に、５Ｇメッセージ端末（英語ではＭＳＧｉｎ５Ｇ ＵＥと表記できる）と５Ｇメッセージサーバ（英語ではＭＳＧｉｎ５Ｇ Ｓｅｒｖｅｒと表記できる）との間のネットワーク情報のセキュリティを如何に保障するかは、解決すべき緊急の課題となっている。

関連技術的課題を解決するために、本願の実施例は、セキュアチャネルの確立方法およびその装置、関連機器、並びに記憶媒体を提供する。

本願の実施例の技術的解決策は、以下のように実現される。

本願の実施例は、５Ｇメッセージ端末によって実行される、セキュアチャネルの確立方法を提供し、前記方法は、
アプリケーション層のための認証および鍵管理（ＡＫＭＡ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ ｆｏｒ Ａｐｐｌｉｃａｔｉｏｎ）サービスに基づいて、第１鍵を生成することと、
前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立することと、を含む。

上記の解決策において、前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立することは、
前記第１鍵に基づいて第３鍵を生成し、第１アイデンティティを含むクライアント鍵交換メッセージを前記５Ｇメッセージサーバに送信することと、
前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のトランスポート層セキュリティ（ＴＬＳ：Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）セキュアチャネルを確立することと、を含む。

上記の解決策において、前記ＡＫＭＡサービスに基づいて、第１鍵を生成する前に、前記セキュアチャネルの確立方法は、
端末とコアネットワークとの間の初期認証を行うことをさらに含む。

上記の解決策において、前記ＡＫＭＡサービスに基づいて、第１鍵を生成することは、
前記５Ｇメッセージサーバにセッション確立要求を送信することであって、前記セッション確立要求は、第１アイデンティティを少なくとも含む、ことと、
前記第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成することであって、前記第２鍵と第１アイデンティティは、ＡＫＭＡサービスに基づいて生成されたものである、ことと、を含む。

上記の解決策において、前記第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成することは、前記５Ｇメッセージサーバに前記セッション確立要求を送信する前にまたは後に行われる。

上記の解決策において、前記方法は、
５Ｇメッセージサーバから送信されたセッション確立応答を受信することをさらに含み、
前記第１鍵を生成することは、前記セッション確立応答を受信する前にまたは後に行われる。

本願の実施例はさらに、５Ｇメッセージサーバによって実行される、セキュアチャネルの確立方法を提供し、前記方法は、
ＡＫＭＡサービスに基づいて、第１鍵を取得することと、
前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立することと、を含む。

上記の解決策において、前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立することは、
５Ｇメッセージ端末から送信された、第１アイデンティティを含むクライアント鍵交換メッセージを受信することと、
前記第１アイデンティティに基づいて、前記第１鍵を取得し、前記第１鍵を利用して、第３鍵を生成し、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のＴＬＳセキュアチャネルを確立することと、を含む。

上記の解決策において、前記ＡＫＭＡサービスに基づいて、第１鍵を取得することは、
前記５Ｇメッセージ端末から送信されたセッション確立要求を受信することであって、前記セッション確立要求は、第１アイデンティティを少なくとも含む、ことと、
コアネットワークに鍵要求を送信することであって、前記鍵要求は、前記第１アイデンティティを少なくとも含む、ことと、
前記コアネットワークから送信された第１情報を受信することと、を含み、前記第１情報は、前記第１アイデンティティによって識別される第２鍵に基づいて生成された前記第１鍵を少なくとも含み、前記第２鍵と第１アイデンティティは、ＡＫＭＡサービスに基づいて生成されたものである。

上記の解決策において、前記第１情報は、前記第１鍵の周期をさらに含む。

本願の実施例はさらに、セキュアチャネルの確立装置を提供し、前記装置は、
ＡＫＭＡサービスに基づいて、第１鍵を生成するように構成される第１処理ユニットと、
前記第１鍵に基づいて、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立するように構成される第２処理ユニットと、を備える。

本願の実施例はさらに、セキュアチャネルの確立装置を提供し、前記装置は、
ＡＫＭＡサービスに基づいて、第１鍵を取得するように構成される第３処理ユニットと、
前記第１鍵に基づいて、５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立するように構成される第４処理ユニットと、を備える。

本願の実施例はさらに、第１通信インターフェースと、第１プロセッサと、を備える、５Ｇメッセージ端末を提供し、
前記第１プロセッサは、
ＡＫＭＡサービスに基づいて、第１鍵を生成し、
前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立する。

本願の実施例はさらに、第２通信インターフェースと、第２プロセッサと、を備える、５Ｇメッセージサーバを提供し、
前記第２プロセッサは、
ＡＫＭＡサービスに基づいて、第１鍵を取得し、
前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立する。

本願の実施例はさらに、第１プロセッサと、プロセッサで実行可能なコンピュータプログラムを記憶した第１メモリと、を備える５Ｇメッセージ端末を提供し、
ここで、前記第１プロセッサは、前記コンピュータプログラムを実行することにより、上記の５Ｇメッセージ端末側のいずれか１つの方法におけるすべての処理を実行する。

本願の実施例はさらに、第２プロセッサと、プロセッサで実行可能なコンピュータプログラムを記憶した第２メモリと、を備える５Ｇメッセージサーバを提供し、
ここで、前記第２プロセッサは、前記コンピュータプログラムを実行することにより、上記の５Ｇメッセージサーバ側のいずれか１つの方法におけるすべての処理を実行する。

本願の実施例はさらに、プロセッサに、上記の５Ｇメッセージ端末側のいずれか１つの方法におけるすべての処理を実現させ、または上記の５Ｇメッセージサーバ側のいずれか１つの方法におけるすべての処理を実現させるためのコンピュータプログラムが記憶された、記憶媒体を提供する。

本願の実施例によるセキュアチャネルの確立方法およびその装置、関連機器、並びに記憶媒体では、５Ｇメッセージ端末は、ＡＫＭＡサービスに基づいて第１鍵を生成し、５Ｇメッセージサーバは、ＡＫＭＡサービスに基づいて第１鍵を取得し、前記５Ｇメッセージ端末および前記５Ｇメッセージサーバは、前記第１鍵に基づいて前記５Ｇメッセージ端末と前記５Ｇメッセージサーバとの間のセキュアチャネルを確立する。本願の実施例の解決策によれば、５Ｇメッセージ端末および５Ｇメッセージサーバは、ＡＫＭＡサービスに基づいて第１鍵を取得し、前記第１鍵に基づいて前記５Ｇメッセージ端末と前記５Ｇメッセージサーバとの間のセキュアチャネルを確立し、このようにして、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のインターフェースの保護のために、５Ｇメッセージ端末に認証クレデンシャルを事前に設定する必要がなく、サービスイネーブラアーキテクチャ層（ＳＥＡＬ：ｓｅｒｖｉｃｅ ｅｎａｂｌｅｒ ａｒｃｈｉｔｅｃｔｕｒｅ ｌａｙｅｒ）アーキテクチャを利用した認証メカニズムや拡張認証プロトコル（ＥＡＰ：Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）認証フレームワークなどの追加の認証メカニズムも必要なく、且つ端末に対して新たな要求を追加する必要もなく、ＡＫＭＡサービスのみに基づいて、アプリケーション層の５Ｇメッセージ端末と５Ｇメッセージサーバとの間の高速認証を実現することができ、それにより、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のインターフェースのセキュリティを保障することができる。

関連技術における５Ｇメッセージサービスのアプリケーション層のアーキテクチャの概略図である。

関連技術における５Ｇメッセージ端末および５ＧメッセージサーバのＳＥＡＬアーキテクチャに基づく認証の例示的なフローチャートである。

関連技術における５Ｇメッセージ端末および５Ｇメッセージサーバの二次認証の例示的なフローチャートである。

本願の実施例の１つのセキュアチャネルの確立方法の例示的なフローチャートである。

本願の実施例の別の１つのセキュアチャネルの確立方法の例示的なフローチャートである。

本願の適用実施例のネットワークアーキテクチャの概略図である。

本願の適用実施例の５Ｇメッセージ端末と５Ｇメッセージサーバとの間の認証の例示的なフローチャートである。

本願の実施例の１つのセキュアチャネルの確立装置の例示的な構造図である。

本願の実施例の別の１つのセキュアチャネルの確立装置の例示的な構造図である。

本願の実施例の５Ｇメッセージ端末の例示的な構造図である。

本願の実施例の５Ｇメッセージサーバの例示的な構造図である。

本願の実施例のセキュアチャネルの確立システムの例示的な構造図である。

以下では、図面および実施例を参照して、本願についてさらに詳細に説明する。

関連技術では、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のネットワーク情報のセキュリティを保障するために、次の２つの方式を採用して、５Ｇメッセージ端末と５Ｇメッセージサーバとの間の認証、認可および対応するインターフェース（即ち、図１に示すＭＳＧｉｎ５Ｇ－１インターフェース）のセキュリティを保護することができる。

方式１において、５Ｇメッセージ端末と５Ｇメッセージサーバは、ＳＥＡＬアーキテクチャに基づいて認証を行う。

具体的に、ＳＥＡＬサーバ（英語ではＳＥＡＬ Ｓｅｒｖｅｒと表記できる）は、ＳＥＡＬ端末（即ち、ＳＥＡＬクライアント（英語ではＳＥＡＬ Ｃｌｉｅｎｔと表記できる）がインストールされた５Ｇメッセージ端末）にアクセストークン（ｔｏｋｅｎ）を発行し、５Ｇメッセージ端末がｔｏｋｅｎを運んで５Ｇメッセージサーバにアクセスした後、５Ｇメッセージサーバは、ＳＥＡＬサーバとドッキングしてｔｏｋｅｎ検証を行い、ｔｏｋｅｎ検証に合格した場合にのみ、５Ｇメッセージサーバは、端末の後続のビジネスインタラクション要求を許可する。

図２に示すように、５Ｇメッセージ端末および５ＧメッセージサーバのＳＥＡＬアーキテクチャに基づく認証のプルセスは、以下のステップを含むことができる。

ステップ２０１において、５Ｇメッセージ端末のＳＥＡＬクライアントとＳＥＡＬサーバとの１つのセキュアチャネルを確立する。その後、ステップ２０２を実行する。

ステップ２０２において、ＳＥＡＬクライアントが、ＳＥＡＬサーバに認証要求を送信する。その後、ステップ２０３を実行する。

ここで、５Ｇメッセージ端末は、５Ｇメッセージ端末によってサポートされる認証方式に基づいて、ＯＩＤＣ（ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ）認証要求などの前記認証要求を送信することができる。

ステップ２０３において、ＳＥＡＬサーバが、ユーザ名とパスワードを要求するためのハイパーテキストマークアップ言語（ＨＴＭＬ：Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）ページをＳＥＡＬクライアントに送信する。その後、ステップ２０４を実行する。

ステップ２０４において、ＳＥＡＬクライアントが、ユーザ名とパスワードをＳＥＡＬサーバに送信する。その後、ステップ２０５を実行する。

ここで、ＳＥＡＬクライアントは、前記ＨＴＭＬページに基づいて、ＳＥＡＬサーバにユーザ名とパスワードを送信する。

ステップ２０５において、ＳＥＡＬサーバが、ユーザ名とパスワードを検証する。検証に合格した後、ステップ２０６を実行する。

ステップ２０６において、ＳＥＡＬサーバが、ＳＥＡＬクライアントに認証応答を送信する。その後、ステップ２０７を実行する。

ここで、前記認証応答は、認可コード（英語ではＡｕｔｈｏｒｉｚａｔｉｏｎ Ｃｏｄｅと表記でき、ＡｕｔｈＣｏｄｅと略称できる）を含み、前記認証応答は、ステップ２０２における認証要求に対応し、つまり、前記認証要求がＯＩＤＣ認証要求である場合、前記認証応答は、ＯＩＤＣ認証応答である。

ステップ２０７において、ＳＥＡＬクライアントが、ＳＥＡＬサーバにｔｏｋｅｎ要求（例えば、ＯＩＤＣ ｔｏｋｅｎ要求）を送信する。その後、ステップ２０８を実行する。

ここで、前記ｔｏｋｅｎ要求は、ＡｕｔｈＣｏｄｅを含む。

ステップ２０８において、ＳＥＡＬサーバが、ＳＥＡＬクライアントにｔｏｋｅｎ応答を送信する。その後、ステップ２０９を実行する。

ここで、前記ｔｏｋｅｎ応答は、アクセスｔｏｋｅｎを含む。

ステップ２０９において、５Ｇメッセージ端末の５Ｇメッセージサービスクライアントが、ＳＥＡＬクライアントから認証クレデンシャル（即ち、アクセスｔｏｋｅｎ）を取得する。その後、ステップ２１０を実行する。

ステップ２１０において、５Ｇメッセージサービスクライアントおよび５Ｇメッセージサーバが、１つのセキュアチャネルを確立する。その後、ステップ２１１を実行する。

ステップ２１１において、５Ｇメッセージサービスクライアントが、５Ｇメッセージサーバにアプリケーション層登録要求を送信する。その後、ステップ２１２を実行する。

ここで、前記アプリケーション層登録要求は、アクセスｔｏｋｅｎを含む。

ステップ２１２において、５Ｇメッセージサーバが、ＳＥＡＬサーバとドッキングして、アクセスｔｏｋｅｎを検証する。その後、ステップ２１３を実行する。

ステップ２１３において、５Ｇメッセージサーバが、５Ｇメッセージサービスクライアントのアプリケーション層登録要求を受け入れるかまたは拒否する。

ここで、５Ｇメッセージサーバは、アクセスｔｏｋｅｎの検証結果に基づいて、５Ｇメッセージサービスクライアントのアプリケーション層登録要求を受け入れるか拒否するかを決定する。

方式２において、５Ｇメッセージ端末および５Ｇメッセージサーバは、二次認証を行う。

具体的に、５Ｇメッセージ端末が、５Ｇネットワーク初期認証（初回の認証）を完了した後、セッション管理機能（ＳＭＦ：Ｓｅｓｓｉｏｎ Ｍａｎａｇｅｍｅｎｔ Ｆｕｎｃｔｉｏｎ）がプロトコルデータユニット（ＰＤＵ：Ｐｒｏｔｏｃｏｌ Ｄａｔａ Ｕｎｉｔ）セッションを確立するとき、５Ｇメッセージ端末および５Ｇメッセージサーバは、二次認証（二回目の認証）を行い、即ち、５Ｇメッセージサーバは、５Ｇメッセージ端末に対してＥＡＰ認証を行い、認証成功の後、ＳＭＦは、５Ｇメッセージ端末のためにＰＤＵセッションを確立して、５Ｇメッセージサーバにアクセスする。

図３に示すように、５Ｇメッセージ端末および５Ｇメッセージサーバの二次認証のプロセスは、以下のステップを含むことができる。

ステップ３０１において、端末（即ち、５Ｇメッセージ端末）が認証サーバ機能（ＡＵＳＦ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｓｅｒｖｅｒ Ｆｕｎｃｔｉｏｎ）とインタラクションし、登録と初期認証プログラムを完了する。その後、ステップ３０２を実行する。

ステップ３０２において、端末が、アクセスおよびモビリティ管理機能（ＡＭＦ：Ａｃｃｅｓｓ ａｎｄ Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｆｕｎｃｔｉｏｎ）またはセキュリティアンカー機能（ＳＥＡＦ：ＳＥｃｕｒｉｔｙ Ａｎｃｈｏｒ Ｆｕｎｃｔｉｏｎ）にＰＤＵセッション確立要求を送信する。その後、ステップ３０３を実行する。

ステップ３０３において、ＡＭＦまたはＳＥＡＦが、ＳＭＦにＰＤＵセッション確立要求（英語ではＮｓｍｆ＿ＰＤＵｓｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔと表記できる）を送信する。その後、ステップ３０４を実行する。

ステップ３０４において、ＳＭＦが、ＡＭＦまたはＳＥＡＦにＰＤＵセッション確立応答（英語ではＮｓｍｆ＿ＰＤＵｓｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｓｐｏｎｓｅと表記できる）を送信する。その後、ステップ３０５を実行する。

ステップ３０５において、ＳＭＦが、統合データ管理（ＵＤＭ：Ｕｎｉｆｉｅｄ Ｄａｔａ Ｍａｎａｇｅｍｅｎｔ）からサブスクライブデータを取得し、端末から送信された要求を検証する。その後、ステップ３０６を実行する。

ステップ３０６において、ＳＭＦが、ＥＡＰ認証を開始する。その後、ステップ３０７を実行する。

ステップ３０７において、端末が、データネットワーク認証、認可および会計（ＤＮ－ＡＡＡ：Ｄａｔａ Ｎｅｔｗｏｒｋ－Ａｕｔｈｅｎｔｉｃａｔｉｏｎ、Ａｕｔｈｏｒｉｚａｔｉｏｎ ａｎｄ Ａｃｃｏｕｎｔｉｎｇ）サーバ（即ち、５Ｇメッセージサーバ）とＥＡＰ認証要求およびＥＡＰ認証応答メッセージをインタラクションする。ＥＡＰ認証を完了した後、ステップ３０８を実行する。

ステップ３０８において、ＤＮ－ＡＡＡが、ＥＡＰ認証成功をＳＭＦに通知する。その後、ステップ３０９を実行する。

ステップ３０９において、ＳＭＦが、ＥＡＰ認証成功をＡＭＦまたはＳＥＡＦに通知する。その後、ステップ３１０を実行する。

ステップ３１０において、ＡＭＦまたはＳＥＡＦが、端末にＰＤＵセッション確立応答を送信し、端末は、５Ｇメッセージサーバにアクセスする。

実際の適用では、上記の方式１には、次のような欠点が存在する。

１）５Ｇメッセージ端末は、ＳＥＡＬの関連機能を実現するためには、ＳＥＡＬクライアントをインストールする必要があり、軽量の５Ｇメッセージ端末の場合、即ち、モノのインターネット端末（様々なセンサなどを含む）などの、コンピューティングリソースおよび／または記憶リソースが限られている５Ｇメッセージ端末の場合、リソースコストの制限により、このような５Ｇメッセージ端末は、ＳＥＡＬクライアントをインストールすることができない。

２）インタラクションプロセスが複雑である。具体的に、５Ｇメッセージ端末は、アクセスｔｏｋｅｎを含む要求を５Ｇメッセージサーバに送信するとき、５Ｇメッセージサーバは、ＳＥＡＬサーバに対してｔｏｋｅｎ検証を要求する必要があり、言い換えれば、当該プロセスは、５ＧメッセージサーバとＳＥＡＬサーバのインタラクションを必要とする。

実際の適用では、上記の方式２には、次のような欠点が存在する。

１）５Ｇメッセージサーバから５Ｇメッセージ端末へのアクセス認証だけは実現できるが、５Ｇメッセージサーバと５Ｇメッセージ端末との間の通信チャネルの安全性は保障できないため、５Ｇメッセージサーバと５Ｇメッセージ端末との間の通信のインターフェースを保護するために、追加の方式を採用する必要がある。

２）５Ｇメッセージサーバは、ＥＡＰ認証フレームワークを使用する必要があるが、関連技術におけるいくつかのアプリケーション層の５Ｇメッセージサーバは、ＥＡＰ認証フレームワークをサポートしていない。

３）５Ｇメッセージ端末に、ユーザ名やパスワードなどの二次認証のための認証クレデンシャルを事前に設定する必要があるが、事前に設定されたクレデンシャルの安全性は保証できない。

これを鑑みて、本願の様々な実施例において、５Ｇメッセージ端末および５Ｇメッセージサーバは、ＡＫＭＡサービスに基づいて第１鍵を取得し、前記第１鍵に基づいて前記５Ｇメッセージ端末と前記５Ｇメッセージサーバとの間のセキュアチャネルを確立する。このようにして、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のインターフェースの保護について、上記の方式１と方式２と比較して、本願の実施例の解決策は、５Ｇメッセージ端末に認証クレデンシャルを事前に設定する必要がなく、追加の認証メカニズムも必要せず、例えば、ＳＥＡＬアーキテクチャを利用する認証メカニズム、ＥＡＰ認証フレームワークなどの追加の認証メカニズムは必要なく、端末に対して新たな要求を追加する必要もなく、ＡＫＭＡサービスのみに基づいて、アプリケーション層の５Ｇメッセージ端末と５Ｇメッセージサーバとの間の高速認証を実現することができ、軽量の５Ｇメッセージ端末と５Ｇメッセージサーバとの間の認証要件を満たすことができ、それにより、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のインターフェースのセキュリティを保障することができる。

本願の実施例は、５Ｇメッセージ端末によって実行される、セキュアチャネルの確立方法を提供し、図４に示すように、当該方法は、以下のステップを含む。

ステップ４０１において、ＡＫＭＡサービスに基づいて、第１鍵を生成する。

ステップ４０２において、前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立する。

ここで、前記５Ｇメッセージ端末と前記５Ｇメッセージサーバとの間のセキュアチャネルを確立することは、前記５Ｇメッセージ端末と前記５Ｇメッセージサーバとの間のデータ伝送のためのセキュアチャネルを確立することを指し、前記セキュアチャネルを確立した後、前記５Ｇメッセージ端末および前記５Ｇメッセージサーバは、前記セキュアチャネルに基づいてデータ伝送を行うことができ、それにより、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のインターフェースのセキュリティを保障することができる。

実際の適用において、前記５Ｇメッセージ端末は、まず、ネットワークにアクセスしてから、ＡＫＭＡサービスに基づいて、前記５Ｇメッセージサーバとセキュアチャネルを確立する必要がある。

これを鑑みて、１つの実施例において、図４に示すように、ステップ４０１を実行する前に、当該方法は、以下のステップをさらに含むことができる。

ステップ４００において、ネットワーク初期認証を行う。

つまり、前記５Ｇメッセージ端末は、端末とコアネットワークとの間の初期認証を行う。

実際の適用において、ステップ４００において、前記５Ｇメッセージ端末は、関連技術で定義されたネットワーク初期認証プロセスに基づいて、オペレータの５Ｇコアネットワーク（英語では５ＧＣと表記できる）とインタラクションすることにより、具体的には、ＡＵＳＦなどの機能エンティティとインタラクションすることにより、５Ｇネットワークの初期認証を完了することができ、本願の実施例は、ネットワーク初期認証の具体的な方式について限定しない。

本願の実施例において、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のインターフェースの保護について、５Ｇメッセージ端末に認証クレデンシャルを事前に設定する必要がなく、追加の認証メカニズムも必要なく、且つ端末に対して新たな要求を追加する必要もなく、ネットワークにアクセスするための初期認証クレデンシャル（即ち、加入者識別モジュール（ＳＩＭ：Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｍｏｄｕｌｅ）カードとオペレータネットワークに記憶された鍵であり、ユーザがオペレータネットワークにアクセスするために、即ち、ネットワーク初期認証を行うために使用される）のみを使用し、ＡＫＭＡサービスに基づいて、アプリケーション層の５Ｇメッセージ端末と５Ｇメッセージサーバとの間の高速認証を実現することができ、それにより、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のインターフェースのセキュリティを保障することができる。

ステップ４０１について、１つの実施例において、前記ＡＫＭＡサービスに基づいて、第１鍵を生成することは、具体的に、
前記５Ｇメッセージサーバにアクセス要求を送信することであって、前記アクセス要求は、第１アイデンティティを少なくとも含む、ことと、前記第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成することであって、前記第２鍵は、ＡＫＭＡサービスに基づいて生成されたものである、ことと、
前記５Ｇメッセージサーバから送信されたアクセス応答を受信することと、を含むことができる。

ここで、前記５Ｇメッセージサーバにアクセス要求を送信することは、前記５Ｇメッセージサーバにセッション確立要求を送信することとして理解してもよく、前記セッション確立要求は、第１アイデンティティを少なくとも含み、それに対応して、前記５Ｇメッセージサーバから送信されたアクセス応答を受信することは、前記５Ｇメッセージサーバから送信されたセッション確立応答を受信することとして理解してもよい。

１つの実施例において、当該方法は、
ネットワーク初期認証を完了した後、ＡＫＭＡサービスに基づいて、前記第２鍵と前記第１アイデンティティを取得することをさらに含むことができる。

具体的に、実際の適用において、ステップ４００において、前記５Ｇメッセージ端末がネットワーク初期認証を完了した後、前記５Ｇメッセージ端末は、コアネットワークとインタラクションし（具体的には、前記コアネットワークのＡＵＳＦなどの機能エンティティとインタラクションすることができる）、それにより、鍵ＫＡＵＳＦを生成し、前記５Ｇメッセージ端末がＡＫＭＡサービスをサポートし、且つＡＫＭＡサービス（英語ではｓｕｂｓｃｒｉｐｔｉｏｎと表記できる）に登録し、ＡＫＭＡサービスに加入した場合、前記５Ｇメッセージ端末および前記コアネットワークは、鍵ＫＡＵＳＦおよびＡＫＭＡサービスに基づいて、ＡＫＭＡ中間鍵ＫＡＫＭＡ（即ち、前記第２鍵）および当該鍵に対応する鍵識別子Ａ－ＫＩＤ（即ち、前記第１アイデンティティ）を生成する。

実際の適用において、前記５Ｇメッセージサーバにアクセス要求を送信すること、前記５Ｇメッセージサーバから送信されたアクセス応答を受信すること、および前記第１鍵を生成することは、時間的に特定の順序ではない。つまり、前記５Ｇメッセージ端末は、まず前記５Ｇメッセージサーバにアクセス要求を送信してから、前記第１鍵を生成してもよく、即ち、前記第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成することは、前記５Ｇメッセージサーバに前記セッション確立要求を送信した後に行われてもよく、前記５Ｇメッセージ端末は、まず前記第１鍵を生成してから前記アクセス要求を送信してもよく、即ち、前記第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成することは、前記５Ｇメッセージサーバに前記セッション確立要求を送信する前に行われてもよい。それに対応して、前記５Ｇメッセージ端末は、まず前記５Ｇメッセージサーバから送信されたアクセス応答を受信してから、前記第１鍵を生成してもよく、即ち、前記第１鍵を生成することは、前記セッション確立応答を受信した後行われてもよく、前記５Ｇメッセージ端末は、まず前記第１鍵を生成してから前記アクセス応答を受信してもよく、即ち、前記第１鍵を生成することは、前記セッション確立応答を受信する前に行われてもよい。

実際の適用において、前記５Ｇメッセージサーバは、前記５Ｇメッセージ端末から送信された、前記第１アイデンティティを含むアクセス要求を受信した後、前記第１アイデンティティを含む鍵要求を前記コアネットワークに送信することができ、前記コアネットワークは、前記第１アイデンティティに基づいて前記第２鍵を決定し、前記第２鍵を利用して第１鍵を生成し、生成された第１鍵を前記５Ｇメッセージサーバに返すことができ、前記５Ｇメッセージサーバは、前記第１鍵を受信した後、前記５Ｇメッセージ端末に前記アクセス応答を送信することができる。

実際の適用において、前記コアネットワークおよび前記５Ｇメッセージ端末が、前記第２鍵を利用して前記第１鍵を生成する具体的な方式は、必要に応じて設定することができ、本願の実施例は、これに対して限定しない。例示的に、前記コアネットワークおよび前記５Ｇメッセージ端末は、前記第２鍵と、前記５Ｇメッセージサーバに対応するアイデンティティ（英語ではＭＳＧｉｎ５Ｇ Ｓｅｒｖｅｒ ＩＤと表記できる）を利用し、鍵導出関数（ＫＤＦ：Ｋｅｙ Ｄｅｒｉｖａｔｉｏｎ Ｆｕｎｃｔｉｏｎ）などの予め設定されたアルゴリズムと組み合わせて前記第１鍵を生成することができ、前記予め設定されたアルゴリズムは、前記５Ｇメッセージ端末および前記コアネットワークのネゴシエーションによって決定されてもよいし、オペレータによって事前に設定されたアルゴリズムであってもよく、本願の実施例は、これに対して限定しない。

実際の適用において、前記コアネットワークは、予め設定されたポリシーを利用して、前記第１鍵の周期（ライフサイクルとも呼ばれる）を決定することができ、例えば、前記第１鍵の周期は、ＡＫＭＡ鍵アンカー機能（ＡＡｎＦ：ＡＫＭＡ Ａｎｃｈｏｒ Ｆｕｎｃｔｉｏｎ）などの機能エンティティによって決定されることができ、本願の実施例は、前記第１鍵の周期を決定する具体的な方式に対して限定しない。例示的に、前記コアネットワークは、５Ｇメッセージビジネス（即ち、５Ｇメッセージサービス）の要件およびオペレータの鍵管理ポリシーに基づいて、前記第１鍵の周期を決定することができる。

実際の適用において、前記コアネットワークは、生成された第１鍵を前記５Ｇメッセージサーバに返すとき、さらに、前記５Ｇメッセージサーバに前記第１鍵の周期を送信することができ、前記５Ｇメッセージサーバは、前記第１鍵の周期に従って前記第１鍵を維持することができ、つまり、前記第１鍵の周期に従って、前記第１鍵がまもなく期限切れになると決定した場合、前記５Ｇメッセージサーバは、前記コアネットワークに鍵更新要求を送信することができ、前記コアネットワークは、鍵更新要求を受信した場合、ＡＫＭＡサービスに基づいて、新しい第１鍵を生成し、新しい第１鍵を前記５Ｇメッセージサーバに返すことができ、前記５Ｇメッセージサーバは、新しい第１鍵を受信した後、前記５Ｇメッセージ端末に鍵更新指示を送信して、前記第１鍵を更新することを前記５Ｇメッセージ端末に指示することができ、ここで、前記５Ｇメッセージ端末が前記第１鍵を更新する方式は、必要に応じて設定することができ、本願の実施例は、これに対して限定しない。例示的に、前記５Ｇメッセージ端末は、５Ｇネットワークに再度アクセスすることができ、即ち、ネットワーク初期認証を再度行うことができる。

ステップ４０３では、実際の適用において、前記第１鍵に基づいて、前記５Ｇメッセージ端末と前記５Ｇメッセージサーバとの間のセキュアチャネルを確立する１つの実現形態は、前記５Ｇメッセージ端末および前記５Ｇメッセージサーバが、前記第１鍵を利用して、伝送されるデータを暗号化することであってもよい。別の１つの実現形態は、前記５Ｇメッセージ端末および前記５Ｇメッセージサーバが、前記第１鍵に基づいて、ＴＬＳチャネルなどのタイプのセキュアチャネルを確立することであってもよい。

これを鑑みて、１つの実施例において、前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立することは、
前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のトランスポート層セキュリティ（ＴＬＳ：ｔｒａｎｓｐｏｒｔ ｌａｙｅｒ ｓｅｃｕｒｉｔｙ）セキュアチャネル（ＴＬＳトンネルとも呼ばれる）を確立することを含むことができる。

ここで、前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のＴＬＳセキュアチャネルを確立することは、
前記第１鍵に基づいて第３鍵を生成し、第１アイデンティティを含むクライアント鍵交換（英語ではＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅと表記できる）メッセージを前記５Ｇメッセージサーバに送信することと、
前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のＴＬＳセキュアチャネルを確立すること、即ち、前記第３鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のＴＬＳセキュアチャネルを確立することと、を含むことができる。

具体的に、実際の適用において、前記５Ｇメッセージ端末は、前記５ＧメッセージサーバにＴＬＳセキュアチャネルの確立要求を送信することができ、前記ＴＬＳセキュアチャネルの確立要求は、第２情報と第３情報を含むことができ、前記第２情報は、事前共有鍵（ＰＳＫ：Ｐｒｅ－Ｓｈａｒｅｄ Ｋｅｙ）に基づく暗号化アルゴリズムを表し、前記第３情報は、前記５Ｇメッセージ端末がＰＳＫに基づくＴＬＳをサポートすることを表す。

前記５Ｇメッセージサーバは、前記ＴＬＳセキュアチャネルの確立要求を受信した後、前記第２情報が表す暗号化アルゴリズムから暗号化アルゴリズムを選択し、選択された暗号化アルゴリズムを含むＴＬＳセキュアチャネルの確立応答を送信することができ、同時に、前記５Ｇメッセージサーバは、前記５Ｇメッセージ端末に第４情報を送信することができ、前記第４情報は、前記５ＧメッセージサーバがＡＫＭＡプロトコルをサポートすることを表す。

前記５Ｇメッセージ端末は、前記ＴＬＳセキュアチャネルの確立応答を受信した後、前記５ＧメッセージサーバとＴＬＳハンドシェイクを行うことができ、ＴＬＳハンドシェイクのプロセスにおいて、前記５Ｇメッセージ端末は、前記第１鍵を利用して、ＴＬＳセキュアチャネルのプリマスタ（英語ではｐｒｅｍａｓｔｅｒ ｋｅｙと表記でき、後続の説明では、第３鍵と記載する）を生成し、前記第１アイデンティティを含むクライアント鍵交換（英語ではＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅと表記できる）メッセージを前記５Ｇメッセージサーバに送信することができ、前記５Ｇメッセージサーバは、前記第１アイデンティティに基づいて、前記第１鍵を取得し、前記第１鍵を利用して、前記第３鍵を生成し、パスワード変更スイート（英語ではＣｈａｎｇｅＣｉｐｈｅｒＳｕｉｔｅと表記できる）メッセージと、完了（Ｆｉｎｉｓｈｅｄ）メッセージを前記５Ｇメッセージ端末に送信してＴＬＳハンドシェイクを終了し、ＴＬＳセキュアチャネルを確立することができ、前記ＴＬＳセキュアチャネルは、前記５Ｇメッセージ端末と前記５Ｇメッセージサーバとの間のデータインタラクションを保護することができ、それにより、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のインターフェースのセキュリティを保障することができる。

ここで、ＴＬＳセキュアチャネルを確立するためには、５Ｇメッセージ端末および５Ｇメッセージサーバに、１つの対称鍵を必要とする場合

があるが、本願の実施例では、追加の認証メカニズムも必要せず、５Ｇメッセージ端末に認証クレデンシャルを事前に設定する必要がなく、且つ端末に対して新たな要求を追加する必要もなく、ＡＫＭＡサービスの助力を得て対称鍵を取得することができ、それにより、アプリケーション層の５Ｇメッセージ端末と５Ｇメッセージサーバとの間の高速認証、認証、および５Ｇメッセージ端末と５Ｇメッセージサーバとの間のインターフェースの保護を実現することができる。

それに対応して、本願の実施例はさらに、５Ｇメッセージサーバによって実行される、セキュアチャネルの確立方法を提供し、図５に示すように、当該方法は、以下のステップを含む。

ステップ５０１において、ＡＫＭＡサービスに基づいて、第１鍵を取得する。

ステップ５０２において、前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立する。

ここで、前記５Ｇメッセージサーバと前記５Ｇメッセージ端末との間のセキュアチャネルを確立することは、前記５Ｇメッセージサーバと前記５Ｇメッセージ端末との間のデータ伝送のためのセキュアチャネルを確立することを指し、前記セキュアチャネルを確立した後、前記５Ｇメッセージサーバおよび前記５Ｇメッセージ端末は、前記セキュアチャネルに基づいてデータ伝送を行うことができ、それにより、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のインターフェースのセキュリティを保障することができる。

ここで、１つの実施例において、前記ＡＫＭＡサービスに基づいて、第１鍵を取得することは、
前記５Ｇメッセージ端末から送信されたアクセス要求を受信することであって、前記アクセス要求は、第１アイデンティティを少なくとも含む、ことと、
コアネットワークに鍵要求を送信することであって、前記鍵要求は、前記第１アイデンティティを少なくとも含む、ことと、
前記コアネットワークから送信された第１情報を受信することと、を含むことができ、前記第１情報は、前記第１アイデンティティによって識別される第２鍵に基づいて生成された前記第１鍵を少なくとも含み、前記第２鍵と第１アイデンティティは、ＡＫＭＡサービスに基づいて生成されたものである。

ここで、前記５Ｇメッセージ端末から送信されたアクセス要求を受信することは、前記５Ｇメッセージ端末から送信されたセッション確立要求を受信することとして理解してもよく、前記セッション確立要求は、第１アイデンティティを少なくとも含む。

具体的に、実際の適用において、前記５Ｇメッセージ端末は、関連技術で定義されたネットワーク初期認証プロセスに基づいて、オペレータの５Ｇコアネットワークとインタラクションすることにより、５Ｇネットワークの初期認証を完了することができる。前記５Ｇメッセージ端末が前記コアネットワークにアクセスして、ネットワーク初期認証を完了した後、前記５Ｇメッセージ端末および前記コアネットワークは、鍵ＫＡＵＳＦを生成し、前記５Ｇメッセージ端末がＡＫＭＡサービスをサポートし、且つＡＫＭＡサービスに登録し署名した場合、前記５Ｇメッセージ端末および前記コアネットワークは、鍵ＫＡＵＳＦおよびＡＫＭＡサービスに基づいて、第２鍵および当該鍵に対応する第１アイデンティティを生成し、前記第２鍵および前記第１アイデンティティを取得した後、前記５Ｇメッセージ端末は、前記５Ｇメッセージサーバに前記アクセス要求を送信することができる。

実際の適用において、前記コアネットワークは、前記鍵要求を受信した後、前記第１アイデンティティを利用して、前記第２鍵を決定し、前記第２鍵を利用して、第１鍵を生成し、前記第１情報を用いて生成された第１鍵を前記５Ｇメッセージサーバに返すことができ、前記５Ｇメッセージサーバは、前記第１鍵を受信した後、前記５Ｇメッセージ端末にアクセス応答を送信することができる。

ここで、前記５Ｇメッセージ端末にアクセス応答を送信することは、前記５Ｇメッセージ端末にセッション確立応答を送信することとして理解してもよい。

実際の適用において、前記５Ｇメッセージサーバはさらに、前記第１鍵を維持することができる。

これを鑑みて、１つの実施例において、前記第１情報は、前記第１鍵の周期をさらに含み、当該方法は、
前記第１鍵の周期に従って、前記第１鍵を維持することをさらに含む。

具体的に、実際の適用において、前記５Ｇメッセージサーバは、前記第１鍵の周期に従って、前記第１鍵がまもなく期限切れになると決定した場合、前記コアネットワークに鍵更新要求を送信することができ、前記コアネットワークは、鍵更新要求を受信した場合、ＡＫＭＡサービスに基づいて、新しい第１鍵を生成し、新しい第１鍵を前記５Ｇメッセージサーバに返すことができ、前記５Ｇメッセージサーバは、新しい第１鍵を受信した後、前記５Ｇメッセージ端末に鍵更新指示を送信して、前記第１鍵を更新することを前記５Ｇメッセージ端末に指示することができる。

ステップ５０２では、実際の適用において、前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立する１つの実現形態は、前記５Ｇメッセージサーバおよび前記５Ｇメッセージ端末が、前記第１鍵を利用して、伝送されるデータを暗号化することであってもよい。別の１つの実現形態は、前記５Ｇメッセージサーバおよび前記５Ｇメッセージ端末が、前記第１鍵に基づいて、ＴＬＳチャネルなどのタイプのセキュアチャネルを確立することであってもよい。

これを鑑みて、１つの実施例において、前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立することは、
前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のＴＬＳセキュアチャネルを確立することを含むことができる。

ここで、前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のＴＬＳセキュアチャネルを確立することは、
５Ｇメッセージ端末から送信された、第１アイデンティティを含むクライアント鍵交換メッセージを受信することと、
前記第１アイデンティティに基づいて、前記第１鍵を取得し、前記第１鍵を利用して第３鍵を生成し、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のＴＬＳセキュアチャネルを確立すること、即ち、前記第３鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のＴＬＳセキュアチャネルを確立することと、を含むことができる。

ここで、前記５Ｇメッセージ端末および前記５Ｇメッセージサーバが、ＴＬＳセキュアチャネルを確立するプロセスは、上記で詳細に説明しており、ここでは、繰り返して説明しない。

本願の実施例によるセキュアチャネルの確立方法では、５Ｇメッセージ端末は、ＡＫＭＡサービスに基づいて第１鍵を生成し、５Ｇメッセージサーバは、ＡＫＭＡサービスに基づいて第１鍵を取得し、前記５Ｇメッセージ端末および前記５Ｇメッセージサーバは、前記第１鍵に基づいて前記５Ｇメッセージ端末と前記５Ｇメッセージサーバとの間のセキュアチャネルを確立する。本願の実施例の解決策によれば、５Ｇメッセージ端末および５Ｇメッセージサーバは、ＡＫＭＡサービスに基づいて第１鍵を取得し、前記第１鍵に基づいて前記５Ｇメッセージ端末と前記５Ｇメッセージサーバとの間のセキュアチャネルを確立し、このようにして、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のインターフェースの保護のために、５Ｇメッセージ端末に認証クレデンシャルを事前に設定する必要がなく、追加の認証メカニズムも必要なく、例えば、ＳＥＡＬアーキテクチャを利用した認証メカニズム、ＥＡＰ認証フレームワークなどの追加の認証メカニズムも必要なく、且つ端末に対して新たな要求を追加する必要もなく、ＡＫＭＡサービスのみに基づいて、アプリケーション層の５Ｇメッセージ端末と５Ｇメッセージサーバとの間の高速認証を実現することができ、それにより、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のインターフェースのセキュリティを保障することができる。

以下では、適用実施例を参照して、本願についてさらに詳細に説明する。

本適用実施例において、オペレータ５Ｇネットワークにアクセスするための初期クレデンシャル（即ち、ユーザＳＩＭカードとオペレータネットワークに記憶された、ユーザがオペレータネットワークにアクセスするための鍵）を利用して、５Ｇメッセージ端末および５Ｇメッセージサーバのためにインターフェース保護のためのセキュリティクレデンシャル（即ち、上記の第１鍵）を確立し、つまり、ネットワーク初期認証を完了した後、５Ｇコアネットワークによって生成されたＫＡＫＭＡ（即ち、上記の第２鍵）を中間鍵として利用してアプリケーション層鍵（即ち、上記の第１鍵）を生成し、図６に示すＭＳＧｉｎ５Ｇ－１インターフェースの保護を実現する。

本適用実施例において、５Ｇメッセージ端末が、コアネットワークとインタラクションし、ネットワーク初期認証を完了し、ＫＡＫＭＡを確立（即ち、取得）したことを前提として、図７に示すように、５Ｇメッセージ端末と５Ｇメッセージサーバとの間の認証プロセスは、具体的には、以下のステップを含むことができる。

ステップ７０１において、５Ｇメッセージ端末が、アプリケーション層セッション確立要求（Ａ－ＫＩＤ、即ち、上記の第１アイデンティティを含む）を５Ｇメッセージサーバに送信する。その後、ステップ７０２を実行する。

ステップ７０２において、５Ｇメッセージサーバが、コアネットワークからＫ５ＧＭＳＧ（即ち、上記の第１鍵）を取得する。その後、ステップ７０３を実行する。

ここで、５Ｇメッセージサーバは、前記セッション確立要求を受信した後、Ａ－ＫＩＤおよびＭＳＧｉｎ５Ｇ Ｓｅｒｖｅｒ ＩＤを鑑賞してコアネットワークから鍵を要求し、前記コアネットワークは、Ａ－ＫＩＤに基づいてＫＡＫＭＡを決定し、ＫＡＫＭＡおよびＭＳＧｉｎ５Ｇ Ｓｅｒｖｅｒ ＩＤを利用してＫ５ＧＭＳＧを生成し、生成されたＫ５ＧＭＳＧおよびＫ５ＧＭＳＧの鍵周期を５Ｇメッセージサーバに返す。

実際の適用において、前記コアネットワークは、以下の式を利用してＫ５ＧＭＳＧを生成することができる。
Ｋ５ＧＭＳＧ＝ＫＤＦ（ＫＡＫＭＡ，ＭＳＧｉｎ５Ｇ Ｓｅｒｖｅｒ ＩＤ） （１）

実際の適用において、Ｋ５ＧＭＳＧのライフサイクルは、ＡＡｎＦによって、５Ｇメッセージビジネスの要件およびオペレータの鍵管理ポリシーに基づいて設定されることができる。鍵がまもなく期限切れになる場合、５Ｇメッセージサーバは、５Ｇコアネットワークに対して鍵を更新するように要求することができ、５Ｇコアネットワークは、鍵更新要求を受信すると、ＡＫＭＡサービスに基づいて新しいＫ５ＧＭＳＧを生成することができる。

ステップ７０３において、５Ｇメッセージサーバが、アプリケーション層セッション確立応答を５Ｇメッセージ端末に送信する。その後、ステップ７０４を実行する。

ここで、前記アプリケーション層セッション確立応答は、ＭＳＧｉｎ５Ｇ Ｓｅｒｖｅｒ ＩＤを含み、前記アプリケーション層セッション確立応答は、Ｋ５ＧＭＳＧを生成することを５Ｇメッセージ端末に指示するために使用され、前記５Ｇメッセージ端末は、アプリケーション層セッション確立応答を受信した後、上記の式（１）を利用してＫ５ＧＭＳＧを生成することができる。

ステップ７０４において、５Ｇメッセージ端末および５Ｇメッセージサーバは、Ｋ５ＧＭＳＧに基づいてセキュアチャネルを確立する。

実際の適用において、５Ｇメッセージ端末および５Ｇメッセージサーバは、Ｋ５ＧＭＳＧに基づいて、ＴＬＳセキュアチャネルを確立して、ＭＳＧｉｎ５Ｇ－１インターフェースに対してセキュリティ保護を行うことができる。具体的に、Ｋ５ＧＭＳＧを利用してＴＬＳセキュアチャネルを確立するプロセスは、以下のステップを含むことができる。

１）５Ｇメッセージ端末が、５Ｇメッセージサーバに接続要求（即ち、上記のＴＬＳセキュアチャネルの確立要求）を送信し、前記接続要求に含まれるｃｌｉｅｎｔ ｈｅｌｌｏメッセージに、ＰＳＫに基づく暗号化アルゴリズム情報（即ち、上記の第２情報）および５Ｇメッセージ端末がＰＳＫに基づくＴＬＳをサポートすることを示す情報（即ち、上記の第３情報）を運ぶ。

２）５Ｇメッセージサーバが、ｓｅｒｖｅｒ ｈｅｌｌｏメッセージ（即ち、上記のＴＬＳセキュアチャネルの確立応答）に選択された暗号化アルゴリズムを運んで、５Ｇメッセージ端末に送信し、同時に、「３ＧＰＰ－ＡＫＭＡ」を含むＳｅｒｖｅｒＫｅｙＥｘｃｈａｎｇｅメッセージ（即ち、上記の第４情報）を５Ｇメッセージ端末に送信して、５Ｇメッセージ端末に、５ＧメッセージサーバがＡＫＭＡプロトコルをサポートすることを示す。

３）５Ｇメッセージ端末が、Ｋ５ＧＭＳＧを使用して、ＴＬＳのｐｒｅｍａｓｔｅｒ ｋｅｙ（即ち、上記の第３鍵）を導出（即ち、生成）し、その後、Ａ－ＫＩＤを含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを５Ｇメッセージサーバに送信する。

４）５Ｇメッセージサーバが、受信されたＡ－ＫＩＤに基づいて、Ｋ５ＧＭＳＧを取得し、Ｋ５ＧＭＳＧを利用して、ＴＬＳのｐｒｅｍａｓｔｅｒ ｋｅｙを導出し、ＣｈａｎｇｅＣｉｐｈｅｒＳｕｉｔｅおよびＦｉｎｉｓｈｅｄメッセージをＵＥに送信してＴＬＳハンドシェイクを終了して、ＴＬＳトンネルを確立する。

５）５Ｇメッセージ端末と５Ｇメッセージサーバとの間のデータインタラクションは、当該ＴＬＳトンネルによって保護される。

本適用実施例による解決策は、以下の利点を有する。

１）５Ｇメッセージ端末は、二次認証のためにクレデンシャルを事前に設定し、５Ｇネットワークにアクセスするための初期認証クレデンシャルを使用する必要なく、ＡＫＭＡサービスに基づいて、５Ｇメッセージ端末と５Ｇメッセージサーバとの間の認証を実現することができる。

２）５Ｇコアネットワークの初期認証クレデンシャルおよびアプリケーション層鍵（即ち、Ｋ５ＧＭＳＧ）を利用して、アプリケーション層の５Ｇメッセージ端末と５Ｇメッセージサーバとの間の認証を行い、追加の認証メカニズムは必要なく、即ち、５ＧメッセージサーバがＥＡＰ認証フレームワークをサポートする必要がない。

３）５Ｇメッセージ端末に対して塚の要求がなく（即ち、ＳＥＡＬクライアントをインストールする必要がない）、軽量端末と５Ｇメッセージサーバとの間の認証要件を満たすことができる。

本願の実施例の５Ｇメッセージ端末側の方法を実現するために、本願の実施例はさらに、５Ｇメッセージ端末に配置された、セキュアチャネルの確立装置を提供し、図８に示すように、当該装置は、
ＡＫＭＡサービスに基づいて、第１鍵を生成するように構成される第１処理ユニット８０１と、
前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立するように構成される第２処理ユニット８０２と、を備える。

ここで、１つの実施例において、前記第２処理ユニット８０２はさらに、
前記第１鍵に基づいて第３鍵を生成し、第１アイデンティティを含むクライアント鍵交換メッセージを前記５Ｇメッセージサーバに送信し、
前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のＴＬＳセキュアチャネルを確立するように構成される。

１つの実施例において、前記第１処理ユニット８０１はさらに、前記ＡＫＭＡサービスに基づいて第１鍵を生成する前に、端末とコアネットワークとの間の初期認証を行うように構成される。

１つの実施例において、前記第１処理ユニット８０１はさらに、
前記５Ｇメッセージサーバにセッション確立要求を送信し、前記セッション確立要求は、第１アイデンティティを少なくとも含み、
前記第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成するように構成され、前記第２鍵と第１アイデンティティは、ＡＫＭＡサービスに基づいて生成されたものである。

１つの実施例において、前記第１処理ユニット８０１はさらに、前記５Ｇメッセージサーバに前記セッション確立要求を送信する前にまたは後に、第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成するように構成される。

１つの実施例において、前記第１処理ユニット８０１はさらに、
５Ｇメッセージサーバから送信されたセッション確立応答を受信するように構成され、
前記第１鍵を生成することは、前記セッション確立応答を受信する前にまたは後に行われる。

実際の適用において、前記第１処理ユニット８０１および前記第２処理ユニット８０２は、セキュアチャネルの確立装置におけるプロセッサによって通信インターフェースと組み合わせて実現することができる。

本願の実施例の５Ｇメッセージサーバ側の方法を実現するために、本願の実施例はさらに、５Ｇメッセージサーバに設置された、セキュアチャネルの確立装置を提供し、図９に示すように、当該装置は、
ＡＫＭＡサービスに基づいて、第１鍵を取得するように構成される第３処理ユニット９０１と、
前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立するように構成される第４処理ユニット９０２と、を備える。

ここで、１つの実施例において、前記第４処理ユニット９０２はさらに、
５Ｇメッセージ端末から送信された、第１アイデンティティを含むクライアント鍵交換メッセージを受信し、
前記第１アイデンティティに基づいて、前記第１鍵を取得し、前記第１鍵を利用して、第３鍵を生成し、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のＴＬＳセキュアチャネルを確立するように構成される。

１つの実施例において、前記第３処理ユニット９０１はさらに、
前記５Ｇメッセージ端末から送信されたセッション確立要求を受信し、前記セッション確立要求は、第１アイデンティティを少なくとも含み、
コアネットワークに鍵要求を送信し、前記鍵要求は、前記第１アイデンティティを少なくとも含み、
前記コアネットワークから送信された第１情報を受信するように構成され、前記第１情報は、前記第１アイデンティティによって識別される第２鍵に基づいて生成された前記第１鍵を少なくとも含み、前記第２鍵と第１アイデンティティは、ＡＫＭＡサービスに基づいて生成されたものである。

実際の適用において、前記第３処理ユニット９０１および前記第４処理ユニット９０２は、セキュアチャネルの確立装置におけるプロセッサによって通信インターフェースと組み合わせて実現することができる。

なお、上記の実施例によるセキュアチャネルの確立装置がセキュアチャネルを確立するとき、上記の各プログラムモジュールの分割のみを例に挙げて説明したが、実際の応用では、必要に応じて上記の処理を異なるプログラムモジュールにより割り当てられて完了してもよく、即ち、装置の内部構造を異なるプログラムモジュールに分割して、上述の処理のすべてまたは一部を完了する。
外、上記の実施例によるセキュアチャネルの確立装置は、セキュアチャネルの確立方法の実施例と同じ構想に属し、その具体的な実現プロセスについては方法の実施例を参照し、ここでは繰り返して説明しない。

上記のプログラムモジュールのハードウェア実装に基づき、且つ本願の実施例の５Ｇメッセージ端末側の方法を実現するために、本願の実施例はさらに、５Ｇメッセージ端末を提供し、図１０に示すように、当該５Ｇメッセージ端末１０００は、
５Ｇメッセージサーバと情報インタラクションを行うことができる、第１通信インターフェース１００１と、
前記第１通信インターフェース１００１に接続され、５Ｇメッセージサーバとの情報インタラクションを実現するために、コンピュータプログラムを実行することにより、上記の５Ｇメッセージ端末側の１つまたは複数の技術的解決策による方法を実行する、第１プロセッサ１００２と、
第１メモリ１００３と、を備え、前記コンピュータプログラムは、前記第１メモリ１００３に記憶されている。

具体的に、前記第１プロセッサ１００２は、
ＡＫＭＡサービスに基づいて、第１鍵を生成し、
前記第１鍵に基づいて、前記５Ｇメッセージ端末１０００と５Ｇメッセージサーバとの間のセキュアチャネルを確立するように構成される。

ここで、１つの実施例において、前記第１プロセッサ１００２はさらに、
前記第１鍵に基づいて第３鍵を生成し、前記第１通信インターフェース１００１を介して、第１アイデンティティを含むクライアント鍵交換メッセージを前記５Ｇメッセージサーバに送信し、
前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のＴＬＳセキュアチャネルを確立するように構成される。

１つの実施例において、前記第１プロセッサ１００２はさらに、前記ＡＫＭＡサービスに基づいて第１鍵を生成する前に、端末とコアネットワークとの間の初期認証を行うように構成される。

１つの実施例において、前記第１プロセッサ１００２はさらに、
前記第１通信インターフェース１００１を介して、前記５Ｇメッセージサーバにセッション確立要求を送信し、前記セッション確立要求は、第１アイデンティティを少なくとも含み、
前記第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成するように構成され、前記第２鍵と第１アイデンティティは、ＡＫＭＡサービスに基づいて生成されたものである。

１つの実施例において、前記第１プロセッサ１００２はさらに、前記５Ｇメッセージサーバに前記セッション確立要求を送信する前にまたは後に、第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成するように構成される。

１つの実施例において、前記第１プロセッサ１００２はさらに、
前記第１通信インターフェース１００１を介して、５Ｇメッセージサーバから送信されたセッション確立応答を受信するように構成され、
前記第１鍵を生成することは、前記セッション確立応答を受信する前にまたは後に行われる。

説明すべきこととして、第１プロセッサ１００２および第１通信インターフェース１００１の具体的な処理プロセスは、上記の方法を参照して理解できる。

当然、実際の適用において、５Ｇメッセージ端末１０００内の各コンポーネントはバスシステム１００４によって結合される。理解できることとして、バスシステム１００４は、これらのコンポーネント間の接続通信を実現するために使用される。データバスに加えて、バスシステム１００４は、電力バス、制御バスおよびステータス信号バスをさらに含む。しかし、説明を明確にするために、図１０では、様々なバスがバスシステム１００４と表記されている。

本願の実施例における第１メモリ１００３は、様々なタイプのデータを記憶して、５Ｇメッセージ端末１０００の動作をサポートするように構成される。これらのデータの例には、５Ｇメッセージ端末１０００で動作される任意のコンピュータプログラムを含む。

上記の本願の実施例で開示された方法は、前記第１プロセッサ１００２に適用されるか、または前記第１プロセッサ１００２によって実現されることができる。前記第１プロセッサ１００２は、信号の処理能力を有する集積回路チップであり得る。実現プロセスにおいて、上記の方法の各ステップは、前記第１プロセッサ１００２内のハードウェアの集積論理回路またはソフトウェアの形の命令によって完了できる。上記の前記第１プロセッサ１００２は、汎用プロセッサ、デジタル信号プロセッサ（ＤＳＰ：Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、または他のプログラマブルロジックデバイス、ディスクリートゲートまたはトランジスタロジックデバイス、ディスクリートハードウェアコンポーネントなどであり得る。前記第１プロセッサ１００２は、本願の実施例で開示された各方法、ステップおよび論理ブロック図を実現または実行できる。汎用プロセッサは、マイクロプロセッサ、または任意の従来のプロセッサなどであり得る。本願の実施例で開示される方法のステップは、ハードウェア復号化プロセッサによって直接実行されてもよいし、復号化プロセッサ内のハードウェアとソフトウェアモジュールの形成すによって実行されてもよい。ソフトウェアモジュールは、記憶媒体に配置でき、当該記憶媒体は、第１メモリ１００３に配置され、前記第１プロセッサ１００２は、第１メモリ１００３内の情報を読み取り、そのハードウェアと組み合わせて上記の方法のステップを完了する。

例示的な実施例において、５Ｇメッセージ端末１０００は、１つまたは複数の特定用途向け集積回路（ＡＳＩＣ：Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＤＳＰ、プログラマブルロジックデバイス（ＰＬＤ：Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）、複合プログラマブルロジックデバイス（ＣＰＬＤ：Ｃｏｍｐｌｅｘ Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）、フィールドプログラマブルゲートアレイ

（ＦＰＧＡ：Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ、汎用プロセッサ、コントローラ、マイクロプロセッサ（ＭＣＵ：Ｍｉｃｒｏ Ｃｏｎｔｒｏｌｌｅｒ Ｕｎｉｔ）、マイクロプロセッサ（Ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ）、または他の電子素子で実現でき、上記の方法を実行するために使用されることができる。

上記のプログラムモジュールのハードウェア実装に基づき、且つ本願の実施例の５Ｇメッセージサーバ側の方法を実現するために、本願の実施例はさらに、５Ｇメッセージサーバを提供し、図１１に示すように、当該５Ｇメッセージサーバ１１００は、
５Ｇメッセージ端末と情報インタラクションを行うことができる、第２通信インターフェース１１０１と、
前記第２通信インターフェース１１０１に接続され、５Ｇメッセージ端末との情報インタラクションを実現するために、コンピュータプログラムを実行することにより、上記の５Ｇメッセージサーバ側の１つまたは複数の技術的解決策による方法を実行する、第２プロセッサ１１０２と、
第２メモリ１１０３と、を備え、前記コンピュータプログラムは、前記第２メモリ１１０３に記憶されている。

具体的に、前記第２プロセッサ１１０２は、
ＡＫＭＡサービスに基づいて、第１鍵を取得し、
前記第１鍵に基づいて、前記５Ｇメッセージサーバ１１００と５Ｇメッセージ端末との間のセキュアチャネルを確立するように構成される。

ここで、１つの実施例において、前記第２プロセッサ１１０２はさらに、
前記第２通信インターフェース１１０１を介して、５Ｇメッセージ端末から送信された、第１アイデンティティを含むクライアント鍵交換メッセージを受信し、
前記第１アイデンティティに基づいて、前記第１鍵を取得し、前記第１鍵を利用して、第３鍵を生成し、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のＴＬＳセキュアチャネルを確立するように構成される。

１つの実施例において、前記第２プロセッサ１１０２はさらに、
前記第２通信インターフェース１１０１を介して、前記５Ｇメッセージ端末から送信されたセッション確立要求を受信し、前記セッション確立要求は、第１アイデンティティを少なくとも含み、
前記第２通信インターフェース１１０１を介して、コアネットワークに鍵要求を送信し、前記鍵要求は、前記第１アイデンティティを少なくとも含み、
前記第２通信インターフェース１１０１を介して、前記コアネットワークから送信された第１情報を受信するように構成され、前記第１情報は、前記第１アイデンティティによって識別される第２鍵に基づいて生成された前記第１鍵を少なくとも含み、前記第２鍵と第１アイデンティティは、ＡＫＭＡサービスに基づいて生成されたものである。

説明すべきこととして、第２プロセッサ１１０２および第２通信インターフェース１１０１の具体的な処理プロセスは、上記の方法を参照して理解できる。

当然、実際の適用において、５Ｇメッセージサーバ１１００内の各コンポーネントはバスシステム１１０４によって結合される。理解できることとして、バスシステム１１０４は、これらのコンポーネント間の接続通信を実現するために使用される。データバスに加えて、バスシステム１１０４は、電力バス、制御バスおよびステータス信号バスをさらに含む。しかし、説明を明確にするために、図１１では、様々なバスがバスシステム１１０４と表記されている。

本願の実施例における第２メモリ１１０３は、様々なタイプのデータを記憶して、５Ｇメッセージサーバ１１００の動作をサポートするように構成される。これらのデータの例には、５Ｇメッセージサーバ１１００で動作される任意のコンピュータプログラムを含む。

上記の本願の実施例で開示された方法は、前記第２プロセッサ１１０２に適用されるか、または前記第２プロセッサ１１０２によって実現されることができる。前記第２プロセッサ１１０２は、信号の処理能力を有する集積回路チップであり得る。実現プロセスにおいて、上記の方法の各ステップは、前記第２プロセッサ１１０２内のハードウェアの集積論理回路またはソフトウェアの形の命令によって完了できる。上記の前記第２プロセッサ１１０２は、汎用プロセッサ、ＤＳＰ、または他のプログラマブルロジックデバイス、ディスクリートゲートまたはトランジスタロジックデバイス、ディスクリートハードウェアコンポーネントなどであり得る。前記第２プロセッサ１１０２は、本願の実施例で開示された各方法、ステップおよび論理ブロック図を実現または実行できる。汎用プロセッサは、マイクロプロセッサ、または任意の従来のプロセッサなどであり得る。本願の実施例で開示される方法のステップは、ハードウェア復号化プロセッサによって直接実行されてもよいし、復号化プロセッサ内のハードウェアとソフトウェアモジュールの形成すによって実行されてもよい。ソフトウェアモジュールは、記憶媒体に配置でき、当該記憶媒体は、第２メモリ１１０３に配置され、前記第２プロセッサ１１０２は、第２メモリ１１０３内の情報を読み取り、そのハードウェアと組み合わせて上記の方法のステップを完了する。

例示的な実施例において、５Ｇメッセージサーバ１１００は、１つまたは複数のＡＳＩＣ、ＤＳＰ、ＰＬＤ、ＣＰＬＤ、ＦＰＧＡ、汎用プロセッサ、コントローラ、ＭＣＵ、Ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ、または他の電子素子によって実現されることができ、上記の方法を実行するために使用される。

理解できることとして、本願の実施例のメモリ（第１メモリ１００３、および第２メモリ１１０３）は、揮発性メモリまたは不揮発性メモリであってもよいし、揮発性メモリと非揮発性メモリの両方を含んでもよい。ここで、不揮発性メモリは、読み取り専用メモリ（ＲＯＭ：Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、プログラマブル読み取り専用メモリ（ＰＲＯＭ：Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ－Ｏｎｌｙ Ｍｅｍｏｒｙ）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ：Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ－Ｏｎｌｙ Ｍｅｍｏｒｙ）、電気的消去可能プログラマブル読み取り専用メモリ（ＥＥＰＲＯＭ：Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ－Ｏｎｌｙ Ｍｅｍｏｒｙ）、磁気ランダムアクセスメモリ（ＦＲＡＭ（登録商標）：ｆｅｒｒｏｍａｇｎｅｔｉｃ ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）、フラッシュメモリ（Ｆｌａｓｈ Ｍｅｍｏｒｙ）、磁気表面メモリ、光ディスク、またはリードオンリーメモリ（ＣＤ－ＲＯＭ：Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅａｄ－Ｏｎｌｙ Ｍｅｍｏｒｙ）であり得、磁気表面メモリは、磁気ディスクメモリまたは磁気テープメモリであり得る。揮発性メモリは、外部キャッシュとして使用される、ランダムアクセスメモリ（ＲＡＭ：Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）であり得る。例示的であるが限定的ではない例示によれば、多くの形のＲＡＭ、例えば、スタティックランダムアクセスメモリ（ＳＲＡＭ：Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、同期スタティックランダムアクセスメモリ（ＳＳＲＡＭ：Ｓｙｎｃｈｒｏｎｏｕｓ Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ：Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、同期ダイナミックランダムアクセスメモリ（ＳＤＲＡＭ：Ｓｙｎｃｈｒｏｎｏｕｓ Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ダブルデータレートの同期ダイナミックランダムアクセスメモリ（ＤＤＲＳＤＲＡＭ：Ｄｏｕｂｌｅ Ｄａｔａ Ｒａｔｅ Ｓｙｎｃｈｒｏｎｏｕｓ Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、拡張型同期ダイナミックランダムアクセスメモリ（ＥＳＤＲＡＭ：Ｅｎｈａｎｃｅｄ Ｓｙｎｃｈｒｏｎｏｕｓ Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、同期接続ダイナミックランダムアクセスメモリ（ＳＬＤＲＡＭ：ＳｙｎｃＬｉｎｋ Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ダイレクトメモリバスランダムアクセスメモリ（ＤＲＲＡＭ：：Ｄｉｒｅｃｔ Ｒａｍｂｕｓ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などが利用可能である。本願の実施例で説明されるメモリは、これらおよび任意の他の適切なタイプのメモリを含むが、これらに限定されないことを意図する。

本願の実施例による方法を実現するために、本願の実施例はさらに、セキュアチャネルの確立システムを提供し、図１２に示すように、当該システムは、５Ｇメッセージ端末１２０１と、５Ｇメッセージサーバ１２０２と、を備える。

ここで、説明すべきこととして、前記５Ｇメッセージ端末１２０１および前記５Ｇメッセージサーバ１２０２の具体的な処理プロセスは、上記で詳細に説明しており、ここでは、繰り返して説明しない。

例示的な実施例において、本願の実施例はさらに、記憶媒体、即ち、コンピュータ記憶媒体を提供し、具体的には、コンピュータ可読記憶媒体であり、例えば、コンピュータプログラムが記憶された第１メモリ１００３を含み、上記のコンピュータプログラムは、５Ｇメッセージ端末１０００の第１プロセッサ１００２によって実行されることにより、上記の５Ｇメッセージ端末側の方法の前記ステップを遂行することができる。別の例として、コンピュータプログラムが記憶された第２メモリ１１０３を含み、上記のコンピュータプログラムは、５Ｇメッセージサーバ１１００の第２プロセッサ１１０２によって実行されることにより、上記の５Ｇメッセージサーバ側の方法の前記ステップを遂行することができる。コンピュータ可読記憶媒体は、ＦＲＡＭ（登録商標）、ＲＯＭ、ＰＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、Ｆｌａｓｈ Ｍｅｍｏｒｙ、磁気表面メモリ、光ディスク、またはＣＤ－ＲＯＭなどのメモリであってもよい。

説明すべきこととして、「第１」、「第２」等の用語は、類似する対象を区別するためのものであり、特定の順番または先後順序を説明するために使用されるものではない。

さらに、本願の実施例で説明された技術的解決策は、競合することなく、任意に組み合わせることができる。

上記は、本願の好ましい実施例に過ぎず、本願の保護範囲を限定することを意図するものではない。

本願の実施例はさらに、プロセッサに、上記の５Ｇメッセージ端末側のいずれか１つの方法におけるすべての処理を実現させ、または上記の５Ｇメッセージサーバ側のいずれか１つの方法におけるすべての処理を実現させるためのコンピュータプログラムが記憶された、記憶媒体を提供する。
本発明は、例えば、以下を提供する。
（項目１）
５Ｇメッセージ端末によって実行される、セキュアチャネルの確立方法であって、
アプリケーション層のための認証および鍵管理（ＡＫＭＡ）サービスに基づいて、第１鍵を生成することと、
前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立することと、を含む、セキュアチャネルの確立方法。
（項目２）
前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立することは、
前記第１鍵に基づいて第３鍵を生成し、第１アイデンティティを含むクライアント鍵交換メッセージを前記５Ｇメッセージサーバに送信することと、
前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のトランスポート層セキュリティ（ＴＬＳ）セキュアチャネルを確立することと、を含む、
項目１に記載のセキュアチャネルの確立方法。
（項目３）
前記ＡＫＭＡサービスに基づいて、第１鍵を生成する前に、前記セキュアチャネルの確立方法は、
端末とコアネットワークとの間の初期認証を行うことをさらに含む、
項目１または２に記載のセキュアチャネルの確立方法。
（項目４）
前記ＡＫＭＡサービスに基づいて、第１鍵を生成することは、
前記５Ｇメッセージサーバにセッション確立要求を送信することであって、前記セッション確立要求は、第１アイデンティティを少なくとも含む、ことと、
前記第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成することであって、前記第２鍵と第１アイデンティティは、ＡＫＭＡサービスに基づいて生成されたものである、ことと、を含む、
項目１または２に記載のセキュアチャネルの確立方法。
（項目５）
前記第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成することは、前記５Ｇメッセージサーバに前記セッション確立要求を送信する前にまたは後に行われる、
項目４に記載のセキュアチャネルの確立方法。
（項目６）
前記セキュアチャネルの確立方法は、
５Ｇメッセージサーバから送信されたセッション確立応答を受信することをさらに含み、
前記第１鍵を生成することは、前記セッション確立応答を受信する前にまたは後に行われる、
項目４に記載のセキュアチャネルの確立方法。
（項目７）
５Ｇメッセージサーバによって実行される、セキュアチャネルの確立方法であって、
アプリケーション層のための認証および鍵管理（ＡＫＭＡ）サービスに基づいて、第１鍵を取得することと、
前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立することと、を含む、セキュアチャネルの確立方法。
（項目８）
前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立することは、
５Ｇメッセージ端末から送信された、第１アイデンティティを含むクライアント鍵交換メッセージを受信することと、
前記第１アイデンティティに基づいて、前記第１鍵を取得し、前記第１鍵を利用して、第３鍵を生成し、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のトランスポート層セキュリティ（ＴＬＳ）セキュアチャネルを確立することと、を含む、
項目７に記載のセキュアチャネルの確立方法。
（項目９）
前記ＡＫＭＡサービスに基づいて、第１鍵を取得することは、
前記５Ｇメッセージ端末から送信されたセッション確立要求を受信することであって、前記セッション確立要求は、第１アイデンティティを少なくとも含む、ことと、
コアネットワークに鍵要求を送信することであって、前記鍵要求は、前記第１アイデンティティを少なくとも含む、ことと、
前記コアネットワークから送信された第１情報を受信することと、を含み、前記第１情報は、前記第１アイデンティティによって識別される第２鍵に基づいて生成された前記第１鍵を少なくとも含み、前記第２鍵と第１アイデンティティは、ＡＫＭＡサービスに基づいて生成されたものである、
項目７または８に記載のセキュアチャネルの確立方法。
（項目１０）
前記第１情報は、前記第１鍵の周期をさらに含む、
項目７または８に記載のセキュアチャネルの確立方法。
（項目１１）
セキュアチャネルの確立装置であって、
ＡＫＭＡサービスに基づいて、第１鍵を生成するように構成される第１処理ユニットと、
前記第１鍵に基づいて、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立するように構成される第２処理ユニットと、を備える、セキュアチャネルの確立装置。
（項目１２）
セキュアチャネルの確立装置であって、
アプリケーション層のための認証および鍵管理（ＡＫＭＡ）サービスに基づいて、第１鍵を取得するように構成される第３処理ユニットと、
前記第１鍵に基づいて、５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立するように構成される第４処理ユニットと、を備える、セキュアチャネルの確立装置。
（項目１３）
第１通信インターフェースと、第１プロセッサと、を備える、５Ｇメッセージ端末であって、
前記第１プロセッサは、
アプリケーション層のための認証および鍵管理（ＡＫＭＡ）サービスに基づいて、第１鍵を生成し、
前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立する、５Ｇメッセージ端末。
（項目１４）
第２通信インターフェースと、第２プロセッサと、を備える、５Ｇメッセージサーバであって、
前記第２プロセッサは、
アプリケーション層のための認証および鍵管理（ＡＫＭＡ）サービスに基づいて、第１鍵を取得し、
前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立する、５Ｇメッセージ端末。
（項目１５）
第１プロセッサと、プロセッサで実行可能なコンピュータプログラムを記憶した第１メモリと、を備える５Ｇメッセージ端末であって、
前記第１プロセッサは、前記コンピュータプログラムを実行することにより、項目１ないし６のいずれか一項に記載のセキュアチャネルの確立方法におけるすべての処理を実行する、５Ｇメッセージ端末。
（項目１６）
第２プロセッサと、プロセッサで実行可能なコンピュータプログラムを記憶した第２メモリと、を備える５Ｇメッセージサーバであって、
前記第２プロセッサは、前記コンピュータプログラムを実行することにより、項目７ないし１０のいずれか一項に記載のセキュアチャネルの確立方法におけるすべての処理を実行する、５Ｇメッセージサーバ。
（項目１７）
プロセッサに、項目１ないし６のいずれか一項に記載のセキュアチャネルの確立方法におけるすべての処理を実現させ、または項目７ないし１０のいずれか一項に記載のセキュアチャネルの確立方法におけるすべての処理を実現させるためのコンピュータプログラムが記憶された、記憶媒体。

Claims (17)

1. ５Ｇメッセージ端末によって実行される、セキュアチャネルの確立方法であって、
   アプリケーション層のための認証および鍵管理（ＡＫＭＡ）サービスに基づいて、第１鍵を生成することと、
   前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立することと、を含む、セキュアチャネルの確立方法。
2. 前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立することは、
   前記第１鍵に基づいて第３鍵を生成し、第１アイデンティティを含むクライアント鍵交換メッセージを前記５Ｇメッセージサーバに送信することと、
   前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のトランスポート層セキュリティ（ＴＬＳ）セキュアチャネルを確立することと、を含む、
   請求項１に記載のセキュアチャネルの確立方法。
3. 前記ＡＫＭＡサービスに基づいて、第１鍵を生成する前に、前記セキュアチャネルの確立方法は、
   端末とコアネットワークとの間の初期認証を行うことをさらに含む、
   請求項１または２に記載のセキュアチャネルの確立方法。
4. 前記ＡＫＭＡサービスに基づいて、第１鍵を生成することは、
   前記５Ｇメッセージサーバにセッション確立要求を送信することであって、前記セッション確立要求は、第１アイデンティティを少なくとも含む、ことと、
   前記第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成することであって、前記第２鍵と第１アイデンティティは、ＡＫＭＡサービスに基づいて生成されたものである、ことと、を含む、
   請求項１または２に記載のセキュアチャネルの確立方法。
5. 前記第１アイデンティティによって識別される第２鍵を利用して、前記第１鍵を生成することは、前記５Ｇメッセージサーバに前記セッション確立要求を送信する前にまたは後に行われる、
   請求項４に記載のセキュアチャネルの確立方法。
6. 前記セキュアチャネルの確立方法は、
   ５Ｇメッセージサーバから送信されたセッション確立応答を受信することをさらに含み、
   前記第１鍵を生成することは、前記セッション確立応答を受信する前にまたは後に行われる、
   請求項４に記載のセキュアチャネルの確立方法。
7. ５Ｇメッセージサーバによって実行される、セキュアチャネルの確立方法であって、
   アプリケーション層のための認証および鍵管理（ＡＫＭＡ）サービスに基づいて、第１鍵を取得することと、
   前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立することと、を含む、セキュアチャネルの確立方法。
8. 前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立することは、
   ５Ｇメッセージ端末から送信された、第１アイデンティティを含むクライアント鍵交換メッセージを受信することと、
   前記第１アイデンティティに基づいて、前記第１鍵を取得し、前記第１鍵を利用して、第３鍵を生成し、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のトランスポート層セキュリティ（ＴＬＳ）セキュアチャネルを確立することと、を含む、
   請求項７に記載のセキュアチャネルの確立方法。
9. 前記ＡＫＭＡサービスに基づいて、第１鍵を取得することは、
   前記５Ｇメッセージ端末から送信されたセッション確立要求を受信することであって、前記セッション確立要求は、第１アイデンティティを少なくとも含む、ことと、
   コアネットワークに鍵要求を送信することであって、前記鍵要求は、前記第１アイデンティティを少なくとも含む、ことと、
   前記コアネットワークから送信された第１情報を受信することと、を含み、前記第１情報は、前記第１アイデンティティによって識別される第２鍵に基づいて生成された前記第１鍵を少なくとも含み、前記第２鍵と第１アイデンティティは、ＡＫＭＡサービスに基づいて生成されたものである、
   請求項７または８に記載のセキュアチャネルの確立方法。
10. 前記第１情報は、前記第１鍵の周期をさらに含む、
    請求項７または８に記載のセキュアチャネルの確立方法。
11. セキュアチャネルの確立装置であって、
    ＡＫＭＡサービスに基づいて、第１鍵を生成するように構成される第１処理ユニットと、
    前記第１鍵に基づいて、５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立するように構成される第２処理ユニットと、を備える、セキュアチャネルの確立装置。
12. セキュアチャネルの確立装置であって、
    アプリケーション層のための認証および鍵管理（ＡＫＭＡ）サービスに基づいて、第１鍵を取得するように構成される第３処理ユニットと、
    前記第１鍵に基づいて、５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立するように構成される第４処理ユニットと、を備える、セキュアチャネルの確立装置。
13. 第１通信インターフェースと、第１プロセッサと、を備える、５Ｇメッセージ端末であって、
    前記第１プロセッサは、
    アプリケーション層のための認証および鍵管理（ＡＫＭＡ）サービスに基づいて、第１鍵を生成し、
    前記第１鍵に基づいて、前記５Ｇメッセージ端末と５Ｇメッセージサーバとの間のセキュアチャネルを確立する、５Ｇメッセージ端末。
14. 第２通信インターフェースと、第２プロセッサと、を備える、５Ｇメッセージサーバであって、
    前記第２プロセッサは、
    アプリケーション層のための認証および鍵管理（ＡＫＭＡ）サービスに基づいて、第１鍵を取得し、
    前記第１鍵に基づいて、前記５Ｇメッセージサーバと５Ｇメッセージ端末との間のセキュアチャネルを確立する、５Ｇメッセージ端末。
15. 第１プロセッサと、プロセッサで実行可能なコンピュータプログラムを記憶した第１メモリと、を備える５Ｇメッセージ端末であって、
    前記第１プロセッサは、前記コンピュータプログラムを実行することにより、請求項１ないし６のいずれか一項に記載のセキュアチャネルの確立方法におけるすべての処理を実行する、５Ｇメッセージ端末。
16. 第２プロセッサと、プロセッサで実行可能なコンピュータプログラムを記憶した第２メモリと、を備える５Ｇメッセージサーバであって、
    前記第２プロセッサは、前記コンピュータプログラムを実行することにより、請求項７ないし１０のいずれか一項に記載のセキュアチャネルの確立方法におけるすべての処理を実行する、５Ｇメッセージサーバ。
17. プロセッサに、請求項１ないし６のいずれか一項に記載のセキュアチャネルの確立方法におけるすべての処理を実現させ、または請求項７ないし１０のいずれか一項に記載のセキュアチャネルの確立方法におけるすべての処理を実現させるためのコンピュータプログラムが記憶された、記憶媒体。