特許ウォッチ

公開番号2025129676
公報種別公開特許公報(A)
公開日2025-09-05
出願番号2024026463
出願日2024-02-26
発明の名称通信方法、通信システム、セキュリティ制御装置、端末装置、および、プログラム
出願人株式会社国際電気通信基礎技術研究所
代理人個人,個人
主分類H04W 12/08 20210101AFI20250829BHJP(電気通信技術)
要約【課題】通信端末の現在位置において、通信端末が要求するセキュリティ機能が提供できない場合であっても、通信端末が要求するセキュリティ機能を実現し、セキュアな通信を可能とする通信システムを実現する。
【解決手段】通信システム1000では、端末装置1が要求するセキュリティレベルの通信を行うことができるか否かを、セキュリティ制御装置4により、セキュリティ機能照合処理を行うことで判断することができる。そして、通信システム1000では、端末装置1が要求するセキュリティレベルの通信を行うことができないと判断された場合、端末装置1がセキュリティ機能起動処理を実行し、例えば、コアネットワーク内に設置されたセキュリティ通信装置との間にセキュアセッションを確立させ、当該セキュアセッションにより、セキュア通信を実現させることができる。
【選択図】図1

特許請求の範囲【請求項１】
端末装置と、
前記端末装置と通信可能であり、かつ、コアネットワークに設置される通信装置と通信可能な基地局と、
前記コアネットワーク内に設置され、前記基地局で提供可能なセキュリティ機能の情報を取得することができ、かつ、前記基地局および外部のデータネットワークと通信可能な通信制御装置と、
セキュリティ制御装置と、
前記コアネットワーク内に設置され、前記端末装置とセキュア通信を行うことができ、かつ、前記外部のデータネットワークと通信可能なセキュリティ通信装置と、
を含む通信システムで実行される通信方法であって、
前記セキュリティ制御装置が、
前記基地局から、当該基地局に対して接続を要求している端末装置のセキュリティ要件を受信し、
前記通信制御装置から、前記基地局で提供可能なセキュリティ機能に関する情報である基地局セキュリティ機能情報を取得し、
前記セキュリティ要件と前記基地局セキュリティ機能情報とを照合し、前記基地局が、前記セキュリティ要件を満たすセキュア通信を実現できるか否かの判定処理を行い、
前記判定処理により、前記基地局が、前記セキュリティ要件を満たすセキュア通信を実現できないと判定された場合、前記基地局に対して、前記判定処理の結果を含むデータである判定処理結果データ、または、前記端末装置に第２のセキュリティ機能の利用を要求する通知である第２セキュリティ機能利用通知を送信する第１ステップと、
前記端末装置が、
前記基地局を介して、前記セキュリティ制御装置からの前記判定処理結果データまたは前記第２セキュリティ機能利用通知を受信し、
前記判定処理結果データが前記セキュリティ要件を満たすセキュア通信を実現できないことを示している場合、または、前記第２セキュリティ機能利用通知を受信した場合、第２のセキュリティ機能を実現する処理を起動し、前記セキュリティ要件を満たすセキュア通信コネクションを前記セキュリティ通信装置と確立させる処理を行う第２ステップと、
を備える通信方法。
続きを表示（約 2,000 文字）【請求項２】
前記端末装置と通信可能であり、かつ、コアネットワークに設置される通信装置と通信可能な第２基地局をさらに備える前記通信システムで実行される通信方法であって、
前記端末装置の通信先が、前記基地局から前記第２基地局に切り替えられた場合であって、前記端末装置と前記セキュリティ通信装置との間にセキュア通信コネクションが確立されている場合、
前記第２基地局は、前記端末装置と前記セキュリティ通信装置との間にセキュア通信コネクションを維持させ、
前記端末装置は、前記第２基地局を介して、前記セキュア通信コネクションによる通信を行う第３ステップ
をさらに備える、
請求項１に記載の通信方法。
【請求項３】
端末装置と、
前記端末装置と通信可能であり、かつ、コアネットワークに設置される通信装置と通信可能な基地局であって、当該基地局で提供可能なセキュリティ機能の情報を取得することができる前記基地局と、
前記コアネットワーク内に設置され、かつ、前記基地局および外部のデータネットワークと通信可能な通信制御装置と、
セキュリティ制御装置と、
前記コアネットワーク内に設置され、前記端末装置とセキュア通信を行うことができ、かつ、前記外部のデータネットワークと通信可能なセキュリティ通信装置と、
を含む通信システムで実行される通信方法であって、
前記セキュリティ制御装置が、
前記基地局から、当該基地局に対して接続を要求している端末装置のセキュリティ要件を受信し、
前記基地局から、当該基地局で提供可能なセキュリティ機能に関する情報である基地局セキュリティ機能情報を取得し、
前記セキュリティ要件と前記基地局セキュリティ機能情報とを照合し、前記基地局が、前記セキュリティ要件を満たすセキュア通信を実現できるか否かの判定処理を行い、
前記判定処理により、前記基地局が、前記セキュリティ要件を満たすセキュア通信を実現できないと判定された場合、前記基地局に対して、前記判定処理の結果を含むデータである判定処理結果データ、または、前記端末装置に第２のセキュリティ機能の利用を要求する通知である第２セキュリティ機能利用通知を送信する第１ステップと、
前記端末装置が、
前記基地局を介して、前記セキュリティ制御装置からの前記判定処理結果データまたは前記第２セキュリティ機能利用通知を受信し、
前記判定処理結果データが前記セキュリティ要件を満たすセキュア通信を実現できないことを示している場合、または、前記第２セキュリティ機能利用通知を受信した場合、第２のセキュリティ機能を実現する処理を起動し、前記セキュリティ要件を満たすセキュア通信コネクションを前記セキュリティ通信装置と確立させる処理を行う第２ステップと、
を備える通信方法。
【請求項４】
端末装置と通信可能な基地局から、当該基地局に対して接続を要求している前記端末装置のセキュリティ要件を受信し、
前記基地局および外部のデータネットワークと通信可能であり、かつ、前記基地局で提供可能なセキュリティ機能の情報を取得することができる通信制御装置または前記基地局から、前記基地局で提供可能なセキュリティ機能に関する情報である基地局セキュリティ機能情報を取得し、
前記セキュリティ要件と前記基地局セキュリティ機能情報とを照合し、前記基地局が、前記セキュリティ要件を満たすセキュア通信を実現できるか否かの判定処理を行い、
前記判定処理により、前記基地局が、前記セキュリティ要件を満たすセキュア通信を実現できないと判定された場合、前記基地局に対して、前記端末装置に第２のセキュリティ機能の利用を要求する通知である第２セキュリティ機能利用通知を送信するセキュリティ制御装置と、
前記基地局を介して、前記セキュリティ制御装置からの前記第２セキュリティ機能利用通知を受信し、
前記第２セキュリティ機能利用通知に基づいて、第２のセキュリティ機能を実現する処理を起動し、前記セキュリティ要件を満たすセキュア通信コネクションを、前記外部のデータネットワークと通信可能であり、通信装置とセキュア通信を行うことができるセキュリティ通信装置と確立させる端末装置と、
を備える通信システム。
【請求項５】
請求項４に記載の通信システムに用いられる前記セキュリティ制御装置。
【請求項６】
請求項４に記載の通信システムに用いられる前記端末装置。
【請求項７】
請求項１または３に記載の通信方法をコンピュータに実行させるためのプログラム。

発明の詳細な説明【技術分野】
【０００１】
本発明は、通信技術に関し、特に、基地局とユーザ端末装置とを含む通信システムにおいて、基地局のセキュリティ機能の対応状況、ユーザ端末装置の通信サービスの利用場所によらず、ユーザ端末装置が要求するセキュリティレベルの通信サービスを提供することを可能とする通信技術に関する。
続きを表示（約 2,500 文字）【背景技術】
【０００２】
５Ｇ（第５世代移動通信システム）は、高速、大容量、低遅延、多数接続の特徴を持った通信を実現できる通信システムであり、近年、多くの用途に利用されている。移動通信網を用いる通信システムである５Ｇでは、セキュリティに関する仕様が定められており（非特許文献１を参照）、５Ｇ規格に準拠する通信システムでは、当該システムを構成する通信制御装置（５Ｇコア装置）、基地局等は、５Ｇのセキュリティに関する仕様を満たす必要がある。
【先行技術文献】
【非特許文献】
【０００３】
3GPP, TS 33.501 Security architecture and procedures for 5G system (Release 17).
David Rupprecht, et., al., IMP4GT: IMPersonation Attacks in 4G NeTworks, NDSS 2022.
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、５Ｇのセキュリティに関する仕様（非特許文献１に規定されている仕様）では、ユーザトラフィック（ユーザプレーン）に関する完全性検証は、必須機能ではなく、オプションとなっている。つまり、５Ｇの仕様に準拠した基地局、通信装置であってもユーザトラフィックの完全性検証機能を具備していないものが存在する可能性がある。このように、５Ｇの仕様に準拠した基地局、通信装置においても、例えば、ユーザトラフィックにおいて完全性検証機能は未対応であるなど、具備しているセキュリティ機能が異なることがありうるので、例えば、ユーザの位置によっては、その位置周辺に設置されている基地局が完全性検証機能に対応していない場合、ユーザのトラフィックにおける完全性は保証されない。例えば、非特許文献２に記載されている攻撃手法では、ユーザトラフィックの完全性検証が有効になっていない場合において、ユーザの通信端末と基地局との間に中間者として介在することでユーザトラフィックの改ざんが可能となる。
【０００５】
５Ｇの仕様に準拠した基地局、通信装置が、ユーザトラフィックにおいて完全性検証機能は未対応である場合、非特許文献２に記載の攻撃方法により、トラフィックが改ざんされる可能性がある。
【０００６】
また、５Ｇの仕様で定められているセキュリティ機能以上の安全性強度を必要とする場合においても、基地局が仕様以上のセキュリティ機能を提供している可能性は、ほぼない。例えば、５Ｇの仕様では、通信の暗号化に用いられる暗号は１２８ビット安全性（暗号化時の鍵長を１２８ビットとする安全性）を有する暗号アルゴリズムを利用することと定められている。一方、Ｗｉ－Ｆｉのセキュリティ仕様であるＷＰＡ３においては、Ｅｎｔｅｒｐｒｉｓｅモードにおいて１９２ビット安全性（暗号化時の鍵長を１９２ビットとする安全性）を有する暗号アルゴリズムの使用が定められている。５Ｇ環境下において、ＷＰＡ３のＥｎｔｅｒｐｒｉｓｅモードと同等のセキュリティ強度を享受するのは難しい。
【０００７】
通信システム側のセキュリティ機能に懸念がある場合の対策として、ユーザの通信端末のＶＰＮ機能（ＶＰＮ：ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）を利用することが考えられる。しかし、５Ｇにおいて、現状、ユーザの通信端末にインストールされたアプリケーションが、接続先の５Ｇシステムで提供されているセキュリティ機能を把握する方法はない。そのため、通信システム側のセキュリティ機能に懸念がある場合にユーザの通信端末のＶＰＮ機能を利用する方法を５Ｇにおいて実現するためには、通信端末側に具備されている５Ｇ通信のモジュール側で、アプリケーションに対して、接続先の５Ｇシステムで提供されているセキュリティ機能についての情報を提供する機能を新たに具備する必要がある。そのため、現在すでに市場に出回っている通信端末および５Ｇ通信のモジュールに対して、上記機能を新たに搭載し、上記方法（通信システム側のセキュリティ機能に懸念がある場合にユーザの通信端末のＶＰＮ機能を利用する方法）を実現させることは難しい。
【０００８】
また、通信端末内の通信モジュールがアプリケーションに対して上記情報（接続先の５Ｇシステムで提供されているセキュリティ機能についての情報）を提供するためのインタフェースに関する仕様はなく、標準化機関による標準仕様の策定、あるいは、通信端末の開発ベンダと通信モジュールの開発ベンダとの双方による仕様の策定および合意が必要となる。
【０００９】
そこで、本発明は、上記課題に鑑み、通信システム（例えば、５Ｇ通信システム）において、通信端末の現在位置において、通信端末が要求するセキュリティ機能が提供できない場合であっても、通信端末が要求するセキュリティ機能を実現し、セキュアな通信を可能とする通信システム、通信方法、セキュリティ制御装置、端末装置、および、プログラムを実現することを目的とする。
【課題を解決するための手段】
【００１０】
上記課題を解決するために、本願で開示される発明の代表的な一例（１つの側面）は、端末装置と、端末装置と通信可能であり、かつ、コアネットワークに設置される通信装置と通信可能な基地局と、コアネットワーク内に設置され、基地局で提供可能なセキュリティ機能の情報を取得することができ、かつ、基地局および外部のデータネットワークと通信可能な通信制御装置と、セキュリティ制御装置と、コアネットワーク内に設置され、端末装置とセキュア通信を行うことができ、かつ、外部のデータネットワークと通信可能なセキュリティ通信装置と、を含む通信システムで実行される通信方法である。当該通信方法は、第１ステップと、第２ステップとを備える。
（【００１１】以降は省略されています）

関連特許