CN100550728C

CN100550728C - 2g用户接入基于ip的多媒体子系统的方法

Info

Publication number: CN100550728C
Application number: CNB2004100371972A
Authority: CN
Inventors: 黄迎新; 朱奋勤
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2004-06-08
Filing date: 2004-06-08
Publication date: 2009-10-14
Anticipated expiration: 2024-06-08
Also published as: CN1708006A

Abstract

本发明提供了一种2G用户接入IMS的方法，其关键是，2G用户通过3GPP的分组域的鉴权后，该2G用户还需经IMS鉴权成功后，才能接入IMS，否则，该2G用户不能接入IMS。本发明在2G用户接入IMS时，增加了IMS对其的鉴权过程，使业务层鉴权与分组域的接入层鉴权过程独立，提高了系统的安全性。同时，对于在2G用户和P-CSCF之间通过空口通信的消息进行了完整性保护，为现有的检查用户标识和IP地址绑定的方式提供了的更高的安全保障。

Description

2G用户接入基于IP的多媒体子系统的方法

技术领域

本发明涉及移动通信技术领域，特别是指一种第二代移动通信网络(2G)用户接入基于IP的多媒体子系统(IMS)的方法。

背景技术

随着宽带网络的发展，移动通信不仅仅局限于传统的话音通信，通过与呈现业务(presence)、短消息、网页(WEB)浏览、定位信息、推送业务(PUSH)以及文件共享等数据业务的结合，移动通信能够实现音频、视频、图片和文本等多种媒体类型的业务，以满足用户的多种需求。

例如，短消息业务能够提供即时消息、聊天室以及多媒体短消息的服务；视频业务能够提供娱乐、多媒体信息和日常交流等服务；电子商务业务能够提供产品目录、搜索引擎、购物车、订单管理以及支付等服务；游戏业务能够提供单人游戏和群组游戏等服务；定位业务能够提供寻人、向导以及报警等服务；个人助理业务能够提供地址本、日程表、书签管理、文件存储、事件提醒以及电子邮件等服务。

在多种应用的推动下，第三代移动通信标准化伙伴项目(3GPP)以及第三代移动通信标准化伙伴项目2(3GPP2)等组织都先后推出了基于IP的多媒体子系统(IMS)架构，其目的是在移动网络中使用一种标准化的开放结构来实现多种多样的多媒体应用，以给用户提供更多的选择和更丰富的感受。

IMS架构叠加在分组域网络之上，由呼叫状态控制功能(CSCF)实体、媒体网关控制功能(MGCF)实体、媒体资源功能(MRF)实体和HSS等功能实体组成。

CSCF又可以分成服务CSCF(S-CSCF)、代理CSCF(P-CSCF)和查询CSCF(I-CSCF)三个逻辑实体，该三个逻辑实体可能是不同的物理设备上，也可能是同一个物理设备中不同的功能模块。S-CSCF是IMS的业务交换中心，用于执行会话控制，维持会话状态，管理用户信息，产生计费信息等；P-CSCF是终端用户接入IMS的接入点，用于完成用户注册，服务质量(QoS)控制和安全管理等；I-CSCF负责IMS域之间的互通，管理S-CSCF的分配，对外隐藏网络拓扑结构和配置信息，并产生计费数据等。

MGCF用于实现IMS网络和其它网络的互通；MRF用于提供媒体资源，如收放音，编解码和多媒体会议桥等。HSS是非常重要的用户数据库，用于支持各个网络实体对呼叫和会话的处理。

IMS是基于第三代移动通信网络的，因而IMS上的业务非常丰富，所以出现了运营商在2G的网络上使用IMS的需求。

现有的2G用户接入IMS的过程是这样的：

2G用户首先接入3GPP的分组域，该分组域网络会对用户进行鉴权，鉴权通过后，分组网络的分组网络网关节点(GGSN)给用户分配一个IP地址，该IP地址也是用户使用IMS子系统业务时使用的IP地址。GGSN将这个IP地址和用户的电话号码(MSIDSN)通知给IMS，IMS内的HSS通过用户的MSISDN查找到用户在IMS系统中的身份标识，即IP多媒体私有用户标识(IMPI)，并将该用户的IMPI、MSISDN以及IP地址等信息进行绑定保存。当2G用户使用IMS，S-CSCF从HSS中取得该用户的IMPI与IP地址的绑定关系，检查来自2G用户的通过空中接口经P-CSCF接入的身份标识和IP地址与自身保存的已绑定的身份标识和IP地址是否一致，如果是，则认为其是一个合法用户，控制该2G用户接入，允许该用户使用IMS业务，否则认为其是一个非法用户，拒绝该2G用户接入。

上述2G用户接入IMS的方法存在以下缺陷：

1)由于IMS对登陆的用户没有独立地鉴权过程，因此，如果3GPP分组域的安全被破坏，那么IMS也就没有了安全性，即IMS的安全性完全依赖3GPP分组域的安全性，安全不独立。

2)由于IMS子系统本身没有对用户身份进行认证，而且没有对空中接口所传信息的完整性保护的过程，因而，IMS子系统检查2G用户身份标识与IP绑定的方法缺乏可信度。例如在UE和P-CSCF之间通过空中接口通信时，如果消息内容被非法者更改，则IMS网络并不能知道，因而无法从根本上保证消息的安全。

3)如果要求所有的2G用户都更换3G用户卡来保证系统的安全，几乎是不可能实现的。

因此需要解决2G用户接入IMS时的安全问题。

发明内容

有鉴于此，本发明的目的在于提供一种2G用户接入IMS的方法，由IMS对接入的2G用户进行独立地鉴权，从而提高系统的安全性。

为达到上述目的，本发明的技术方案是这样实现的：

一种2G用户接入基于IP的多媒体子系统的方法，2G用户通过3GPP的分组域的鉴权后，该方法还包括以下步骤：

a、2G用户所在终端将自身的IMSI转换为IMS能够识别的IMPI后，向IMS中的S-CSCF发送包含IMPI信息的登记请求；

b、S-CSCF收到用户的登记请求消息，判断完整性保护的标志，如果是为是且用户已经登记，则直接给该用户返回登记成功响应信息，并控制该2G用户接入IMS，否则，向该2G用户发送鉴权请求；

c、2G用户接收到该鉴权请求后，产生一个响应值，并将该响应值返回给S-CSCF，S-CSCF判断该接收到的响应值与自身内已保存的用于对该2G用户进行鉴权的值是否相同，如果不同，则拒绝该2G用户接入；如果相同，则S-CSCF从HSS中获取2G用户的IMPI与IP地址的绑定关系，检查来自2G用户的通过空中接口经P-CSCF接入的2G用户的身份标识、IP地址与自身保存的已绑定的身份标识、IP地址是否一致，如果是，则控制该2G用户接入IMS，否则拒绝该2G用户接入。

较佳地，步骤b所述S-CSCF向2G用户发送鉴权请求包括以下步骤：

b1、S-CSCF判断本地是否有该2G用户的鉴权矢量信息，如果有，则直接执行步骤b3，否则，向HSS发送包含IMPI的请求该2G用户鉴权矢量信息的消息，然后执行步骤b2；

b2、HSS将该2G用户的IMPI转换为IMSI后，向2G系统中的HLR查询该2G用户的鉴权矢量，然后将接收到的来自HLR的包含RAND、SRES和Kc信息的鉴权矢量信息返回给S-CSCF，S-CSCF保存接收到的鉴权矢量信息；

b3、S-CSCF向P-CSCF发送包含RAND和Kc信息的对用户进行鉴权的信息；P-CSCF将消息中的Kc信息保存在本地，然后将包含RAND信息以及通信信息和完整性保护算法信息的鉴权请求信息发送给该2G用户。

较佳地，步骤c所述2G用户接收到该鉴权请求，产生一个响应值后，进一步包括：2G用户根据接收的鉴权请求消息中的RAND信息计算出Kc，并将Kc保存在本地；

步骤c所述将该响应值返回给S-CSCF包括以下步骤：

c1、2G用户将自身产生的响应值以及通信信息和完整性保护算法信息包含在鉴权请求应答消息中发送给P-CSCF；

c2、P-CSCF对接收到的鉴权请求应答消息进行完整性检查，如果通过检查，在该消息中置入相应的标志，再将该标志后的鉴权请求应答消息发送给S-CSCF。

b1、S-CSCF向HSS发送包含IMPI的请求该2G用户鉴权矢量信息的消息；

b2、HSS将该2G用户的IMPI转换为IMSI后，向2G系统中的HLR查询该2G用户的鉴权矢量，然后将接收到的来自HLR的包含RAND、SRES和Kc信息的鉴权矢量信息返回给S-CSCF；

b3、S-CSCF保存接收到的鉴权矢量信息，并将Kc转换为IK和CK后，向P-CSCF发送包含RAND、IK和CK信息的对用户进行鉴权的信息；P-CSCF将消息中的IK和CK信息保存在本地，然后将包含RAND以及通信信息和完整性保护算法信息的鉴权请求信息发送给该2G用户。

b3、S-CSCF保存接收到的鉴权矢量信息，向P-CSCF发送包含RAND和Kc信息的对用户进行鉴权的信息；P-CSCF将消息中的Kc转换为IK和CK信息保存在本地，然后将包含RAND信息以及通信信息和完整性保护算法信息的鉴权请求信息发送给该2G用户。

较佳地，步骤c所述2G用户接收到该鉴权请求，产生一个响应值后，进一步包括：2G用户根据接收的鉴权请求消息中的RAND信息计算出Kc，并将Kc转换为IK和CK后，将IK和CK信息保存在本地；

步骤c所述将该响应值返回给S-CSCF包括以下步骤：

较佳地，步骤a所述2G用户所在终端发起的登记请求是经P-CSCF转发的，且所述2G用户向S-CSCF发送的登记请求中还包括标识接入网类型的字段，P-CSCF和S-CSCF根据登记请求消息中的标识接入网类型的字段判断该2G用户所应用的终端是2G模式终端还是3G模式终端。

较佳地，所述2G用户与P-CSCF经空中接口的消息由Kc或Kc衍生出的密钥进行完整性保护。

较佳地，步骤a所述2G用户所在终端发起的登记请求由用户侧或网络触发。

应用本发明，2G用户通过3GPP的分组域的鉴权后，该2G用户还需经IMS鉴权成功后，才能接入IMS，否则，该2G用户不能接入IMS。本发明在2G用户接入IMS时，增加了IMS对其的鉴权过程，使业务层鉴权与分组域的接入层鉴权过程独立，提高了系统的安全性。同时，对于在2G用户和P-CSCF之间通过空口通信的消息进行了完整性保护，为现有的检查用户标识和IP地址绑定的方式提供了的更高的安全保障。

附图说明

图1所示为应用本发明的IMS对2G用户进行鉴权的流程示意图。

具体实施方式

为使本发明的技术方案更加清楚，下面结合附图对本发明再做进一步地详细说明。

本发明的思路是：2G用户通过3GPP的分组域的鉴权后，该2G用户通过所在终端将自身的IMSI转换为IMS能够识别的IMPI后，向IMS中的S-CSCF发送包含IMPI信息的登记请求，该消息是由P-CSCF和I-CSCF等中间实体转发的。所述S-CSCF收到2G用户的登记请求消息后，检查该登记请求消息中的完整性保护标志，如果该保护标志为是，且该用户已经登记，那么发送登记成功消息给用户，允许该用户接入。如果该消息的完整性保护标志为否，那么不管该用户是否已经登记，S-CSCF都向用户发送鉴权请求消息。该2G用户接收到上述鉴权请求后，产生一个响应值，并将该响应值返回给S-CSCF，S-CSCF判断该接收到的响应值与自身内已保存的用于对该2G用户进行鉴权的值是否相同，如果是，则控制该2G用户接入IMS，否则拒绝该2G用户接入。

2G用户接受3GPP的分组域的鉴权过程与现有技术相同，在此不再详细叙述。下面详细说明IMS对请求接入的2G用户进行鉴权的过程。

图1所示为应用本发明的IMS对2G用户进行鉴权的流程示意图。

步骤101，UE将自身的国际用户识别码(IMSI)转换成为IMS使用的用户私有身份标识格式IMPI，并向IMS中的S-CSCF发送包含IMPI信息的登记请求，该请求消息经过P-CSCF、I-CSCF的转发到达S-CSCF。

步骤102，S-CSCF收到2G用户的登记请求消息后，检查该登记请求消息中的完整性保护标志，如果该保护标志为是，且该用户已经登记，则发送登记成功消息给该2G用户，并执行步骤106，允许该2G用户接入IMS；如果该消息的完整性保护标志为否，则不管该2G用户是否已经登记，S-CSCF都向用户发送鉴权请求消息。在S-CSCF发送鉴权请求消息之前，首先判断本地是否有该用户的鉴权矢量信息，如果有，则S-CSCF向该2G用户发送包含鉴权矢量信息的消息，然后执行步骤105，否则执行步骤103。

步骤103，S-CSCF向HSS发送包含IMPI的请求该2G用户鉴权矢量信息的消息。由于经IMSI转化得到的IMPI，其IMPI有相应的标志信息，所以HSS知道该IMPI是经IMSI转换得到的，不会直接根据IMPI去查找用户的相关信息。HSS将该2G用户的IMPI转换为IMSI后，向2G系统中的HLR查询该2G用户的鉴权矢量，然后将接收到的来自HLR的包含随机数RAND、希望得到的鉴权响应值SRES和密钥Kc的鉴权矢量信息返回给S-CSCF，即HSS给S-CSCF返回鉴权矢量三元组。当然，HSS给S-CSCF返回的鉴权矢量三元组可以是一组，也可以是多组。如果是多组，S-CSCF按照排列的顺序读取第一组。

步骤104，S-CSCF接收到HSS返回的鉴权矢量信息后，保存所有鉴权矢量信息，然后向该2G用户发送鉴权请求。其具体过程为：

S-CSCF经I-CSCF向P-CSCF发送包含RAND和Kc信息的对用户进行鉴权的消息，P-CSCF接收到该对用户进行鉴权的消息后，首先在本地保存该消息中的Kc信息，然后将后面通信过程中用到的通信信息和完整性保护算法信息插入到该对用户进行鉴权的消息中，向2G用户发送包含RAND信息以及通信信息和完整性保护算法信息的鉴权请求消息。

完整性保护在UE和P-CSCF的空中口通信中是很重要的。所谓完整性保护是指，发送信息的实体通过算法及密钥等手段对发送出的信息进行处理，接收端在收到该消息后，使用相同的算法及密钥等进行检查，如果消息在传送途中被修改，那么接收端就会发现该消息被修改了，这种对消息的保护就叫做完整性保护。应用完整性保护可以防止用户通信使用的消息被修改等非法操作，所以P-CSCF向UE发送的消息需要指示出后面通信中要应用的完整性算法。P-CSCF将选定的完整性算法标识放在消息中，以供UE读取。上述通信信息主要包括端口号和安全相关信息，如果支持IPsec(IPsecurity)那么安全相关信息就是IPsec相关协商信息，如果不支持IPsec，那么安全相关信息可以是完整性算法标识等信息。

步骤105，2G用户接收到该鉴权请求后，产生一个响应值SRES，将该响应值SRES包含在鉴权响应消息中返回给S-CSCF。具体实现过程为：

2G用户产生响应值SRES后，根据接收到的鉴权请求消息中的RAND信息计算出Kc，将Kc保存在本地，然后给P-CSCF发送鉴权响应消息，该鉴权响应消息中不但包含响应值SRES，还包括通信信息和应用的完整性算法标识信息，同时，该消息应用Kc或Kc衍生的密钥及所选定的完整性算法进行完整性保护。

P-CSCF收到来自2G用户的鉴权响应消息后，首先对该消息的完整性进行检查，完整性检查通过后在该消息中置入相应的标志，将该消息经I-CSCF发送给S-CSCF。如果P-CSCF检查到该消息没有通过完整性保护，或未进行完整性保护，则直接丢弃该消息。

步骤106，S-CSCF接收到鉴权响应消息后，检查鉴权响应消息中的响应值SRES与自身保存的用于对该2G用户进行鉴权的值SRES是否相同，如果相同，则认为该用户是合法用户，即通过对该用户的鉴权，通知该2G用户鉴权成功，并控制该2G用户接入IMS，否则，认为该2G用户未通过鉴权，通知该2G用户鉴权失败，并拒绝该2G用户接入IMS。

上述2G用户可以使用2G或3G模式的终端，在2G模式的网络中应用上述流程。此时，由于2G网络本身的安全性是有限的，因此，可以再次应用现有的IP地址绑定的方式对通信进行检查，从而进一步增强网络的安全性。即当S-CSCF对2G用户鉴权成功后，S-CSCF再次从HSS中取得该用户的IMPI与IP地址的绑定关系，检查来自2G用户的通过空中接口经P-CSCF接入的用户身份标识和IP地址，与自身保存的已绑定的用户身份标识和IP地址是否一致，如果是，才认为该2G用户是合法用户，然后再控制该2G用户接入IMS，否则，拒绝该2G用户接入IMS，另外在后面的通信过程中S-CSCF仍然可以通过IP地址绑定的方式，检查用户的真实性。上述再次鉴权的过程中，由密钥Kc对空中接口所传送的消息进行完整性保护。

鉴权可以是由用户侧触发，即上述过程描述的用户主动发送登记消息，也可以由网络触发，即网络发送消息通知该用户需要鉴权，那么这时用户也发送登记消息，后继的流程相同。

上述2G用户还可以使用3G模式的终端，在3G模式的网络中应用上述流程，即除了用户卡为2G模式的，其余均为3G模式的设备和系统。此时，只需3G模式的终端和IMS中的S-CSCF或P-CSCF将2G系统中的密钥Kc转换成为3G中应用的密钥IK和CK即可，其余步骤不变。也就是说，在步骤104中，S-CSCF将Kc转换为IK和CK后，再经I-CSCF向P-CSCF发送包含RAND、IK和CK信息的对用户进行鉴权的消息，或者，在P-CSCF接收到该对用户进行鉴权的消息后，首先根据该消息中的Kc信息将Kc转换为IK和CK后，再在本地保存IK和CK信息，然后向2G用户发送包含RAND信息以及通信信息和完整性保护算法信息的鉴权请求消息；在步骤105中，2G用户根据接收到的鉴权请求消息中的RAND信息计算出Kc，将Kc转换为IK和CK后，再将IK和CK保存在本地。

在步骤101中2G用户发送的登记请求中包括接入网类型字段，因此，IMS中的P-CSCF和S-CSCF根据登记请求中的接入网类型字段，就可判断出该2G用户所使用的设备是2G模式的设备还是3G模式中的设备。

由于HSS与HLR是兼容的，所以HSS和HLR可以为一个实体，分别为3G和2G的用户服务，也可以为不同的实体，为3G和2G的用户服务。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1、一种2G用户接入基于IP的多媒体子系统的方法，2G用户通过3GPP的分组域的鉴权后，其特征在于，该方法还包括以下步骤：

2、根据权利要求1所述的方法，其特征在于，步骤b所述S-CSCF向2G用户发送鉴权请求包括以下步骤：

3、根据权利要求2所述的方法，其特征在于，

步骤c所述2G用户接收到该鉴权请求，产生一个响应值后，进一步包括：

2G用户根据接收的鉴权请求消息中的RAND信息计算出Kc，并将Kc保存在本地；

步骤c所述将该响应值返回给S-CSCF包括以下步骤：

4、根据权利要求1所述的方法，其特征在于，步骤b所述S-CSCF向2G用户发送鉴权请求包括以下步骤：

5、根据权利要求1所述的方法，其特征在于，步骤b所述S-CSCF向2G用户发送鉴权请求包括以下步骤：

6、根据权利要求4或5所述的方法，其特征在于，

2G用户根据接收的鉴权请求消息中的RAND信息计算出Kc，并将Kc转换为IK和CK后，将IK和CK信息保存在本地；

步骤c所述将该响应值返回给S-CSCF包括以下步骤：

7、根据权利要求1所述的方法，其特征在于，步骤a所述2G用户所在终端发起的登记请求是经P-CSCF转发的，且所述2G用户向S-CSCF发送的登记请求中还包括标识接入网类型的字段，P-CSCF和S-CSCF根据登记请求消息中的标识接入网类型的字段判断该2G用户所应用的终端是2G模式终端还是3G模式终端。

8、根据权利要求3所述的方法，其特征在于，所述2G用户与P-CSCF经空中接口的消息由Kc或Kc衍生出的密钥进行完整性保护。

9、根据权利要求1所述的方法，其特征在于，步骤a所述2G用户所在终端发起的登记请求由用户侧或网络触发。