CN101026454A - 一种用户终端接入软交换系统的安全交互方法 - Google Patents

Abstract

本发明公开了一种用户终端接入软交换系统的安全交互方法，应用于基于IP网络的软交换系统，该方法包括：一、在用户终端上设置用户终端认证安全参数组，在接入控制点上设置接入控制点认证安全参数组，在安全认证服务器上设置与用户终端认证安全参数组对应的用户终端认证授权参数组及与接入控制点认证安全参数组对应的接入控制点认证授权参数组；二、将用户终端通过接入控制点接入至软交换核心控制设备；三、用户终端对系统进行认证，接入控制点对用户终端与软交换核心控制设备之间的报文进行安全保护；安全认证服务器对用户终端进行安全接入认证。采用本发明增强了安全性要求，减少对软交换核心控制设备的攻击。

Description

一种用户终端接入软交换系统的安全交互方法

技术领域

本发明涉及通讯安全领域，特别是涉及基于IP通讯网络的软交换等系统中，接入域内一种用户终端安全接入系统的安全交互双向认证及密钥分发方法。

背景技术

随着软交换等IP通讯技术的成熟，基于IP网络的语音技术在企业网和公共网络中得到了越来越多的应用，由于IP网络的开发性的设计理念，使得基于IP语音通讯存在一些安全性问题，特别是在软交换等系统的接入域，由于网络的不可控，账号盗用、设备欺骗、系统劫持，通讯的非法窃听等问题特别突出。针对这些安全问题，要求终端接入软交换等系统对用户终端进行认证，避免非法用户的接入，而且需要终端对系统的认证，避免终端被非法系统劫持，同时需要对通讯消息进行完整性和机密性保护，保证通讯内容的安全。

目前，在通信系统的安全体系中，已经有一些安全认证流程存在，但是由于这些流程的设计问题，导致一些流程会遭受重放攻击或由于密码协商问题导致密码的安全性比较低下。

发明内容

本发明所要解决的技术问题在于提供一种用户终端接入软交换系统的安全交互方法，用于实现用户终端与基于IP网络软交换系统之间的相互安全认证和通讯安全。

为了实现上述目的，本发明提供了一种用户终端接入软交换系统的安全交互方法，应用于基于IP网络的软交换系统，该系统包括至少一个软交换核心控制设备和接入控制点、多个用户终端、安全认证服务器，其特征在于，该方法包括如下步骤：

步骤一，在所述用户终端上设置用户终端认证安全参数组，在所述接入控制点上设置接入控制点认证安全参数组，在所述安全认证服务器上设置与所述用户终端认证安全参数组对应的用户终端认证授权参数组及与所述接入控制点认证安全参数组对应的接入控制点认证授权参数组；

步骤二，将所述用户终端通过所述接入控制点接入至所述软交换核心控制设备；

步骤三，所述用户终端通过所述接入控制点、所述软交换核心控制设备，并根据所述用户终端认证安全参数组及系统返回的鉴权信息对系统进行认证，并交换与所述接入控制点之间的完整性密钥、机密性密钥；所述接入控制点根据所述接入控制点认证安全参数组、与所述用户终端之间的完整性密钥、机密性密钥对所述用户终端与所述软交换核心控制设备之间的报文进行安全保护；所述安全认证服务器通过所述软交换核心控制设备、所述接入控制点，并根据所述用户终端认证授权参数组、所述接入控制点认证授权参数组对所述用户终端进行安全接入认证。

所述的用户终端接入软交换系统的安全交互方法，其中，所述用户终端认证安全参数组的个数为一个或多个；所述接入控制点认证安全参数组的个数为一个或多个。

所述的用户终端接入软交换系统的安全交互方法，其中，所述每个用户终端认证安全参数组/所述每个接入控制点认证安全参数组包括认证、加密、完整性保护安全方式中的一种或多种方式的参数信息。

所述的用户终端接入软交换系统的安全交互方法，其中，所述步骤三中，还包括所述接入控制点与所述用户终端之间的报文分别采用完整性密钥和机密性密钥进行完整性和机密性保护的步骤。

所述的用户终端接入软交换系统的安全交互方法，其中，所述步骤三中，还包括所述用户终端对由所述接入控制点返回的注册响应报文进行完整性验证的步骤，若所述注册响应报文通过完整性验证，所述用户终端向所述接入控制点重新发起注册请求。

所述的用户终端接入软交换系统的安全交互方法，其中，所述步骤三中，还包括所述接入控制点对所述用户终端发送的注册报文进行完整性保护检查，并在检查通过后，向所述软交换核心控制设备转发包含有一第一验证字的报文的步骤。

所述的用户终端接入软交换系统的安全交互方法，其中，所述步骤三中，还包括所述软交换核心控制设备通过比较所述第一验证字与从所述安全认证服务器发送的一第二验证字是否一致来对所述用户终端进行验证的步骤，若所述第一验证字与所述第二验证字一致，则对所述用户终端验证成功；若不一致，则对所述用户终端验证失败。

所述的用户终端接入软交换系统的安全交互方法，其中，在对所述用户终端验证成功时，所述步骤三中，还包括所述接入控制点向所述用户终端发送从所述软交换核心控制设备接收到的注册响应成功报文，并对该注册响应成功报文进行完整性保护的步骤。

所述的用户终端接入软交换系统的安全交互方法，其中，所述步骤三中，还包括所述用户终端对该注册响应成功报文进行鉴别、完整性验证的步骤。

所述的用户终端接入软交换系统的安全交互方法，其中，所述步骤三中，还包括所述软交换核心控制设备向安全认证服务器发送用户认证成功消息，并更新所述安全认证服务器上用户终端信息的步骤。

本发明在以软交换技术为基础的IP网络系统体系架构中，提出了接入域内的用户终端与系统之间的双向认证及密钥分发流程，采用本发明，用户终端可以安全地通过接入控制点SP接入到软交换系统，增强了接入域的安全，满足通讯安全要求，其有益效果具体在于：

1)，软交换核心控制设备与用户终端之间有多于一组的认证方式；

2)，接入控制点SP与用户终端之间信令传输可以采用机密性、完整性保护两种方式中的一种或两种方式来保护；

3)，可以实现用户终端与系统的双向认证；

4)，在可信任核心网络的边界点(接入控制点SP)与终端采用机密性和完整性机制，在接入域对非法数据流进行控制，分散的机制避免了非法数据对核心设备的攻击；

5)，加密性密钥、完整性密钥生成都是在设备自身生成，避免了密码在网络中传送的风险。采用多种协商机制，对于机密性保护采用两种算法组合，避免算法不稳定而导致的安全隐患。

以下结合附图和具体实施例对本发明进行详细描述，但不作为对本发明的限定。

附图说明

图1为本发明软交换网络接入域组网示意图；

图2为本发明接入域内双向认证及密钥分发流程示意图。

具体实施方式

下面结合附图对技术方案的实施作进一步的详细描述。

请参阅图1所示，描述了软交换网络接入域示意图。其中，SS(Soff Switch)是指软交换核心控制设备101，SP(Signing Point)是指接入控制点102，Client是指用户终端103，而AUC(Authentication Center)是指安全认证服务器/认证中心104；图1中的虚线105是指各功能实体的安全认证参数存放在安全认证服务器AUC104上，而实线106表示各功能实体之间通信连接关系。

在图1中，以软交换技术为基础的IP网络体系架构中，存在至少一个软交换核心控制设备101；一个或多个接入控制点102；多个用户终端103；一个安全认证服务器104。

其中，一个用户终端103至少有一个或一个以上的用户终端认证安全参数组，每个用户终端认证安全参数组提供验证/认证、加密、完整性保护等安全方式中的一种或几种方式所需要的参数信息；对应于每个用户终端103的每个用户终端认证安全参数组，在安全认证服务器104中都将存放一个对应的用户终端认证授权参数组，用于提供用户终端103的验证/认证、机密性、完整性保护等安全方式中的一种或几种方式所需要的计算信息。

其中，一个接入控制点102至少有一个或一个以上的接入控制点认证安全参数组，每个接入控制点认证安全参数组提供验证/认证、加密、完整性保护等安全方式中的一种或几种方式所需要的参数信息；对应于每个接入控制点102的每个接入控制点认证安全参数组，在安全认证服务器104中都将存放一个对应的接入控制点认证授权参数组，用于提供接入控制点102的验证/认证、机密性、完整性保护等安全方式中的一种或几种方式所需要的计算信息。

在图1中，根据每个认证授权参数组，安全认证服务器104将负责产生密码产生信息，由软交换核心控制设备101进行验证/认证码验证。

在图1中，由接入控制点SP102产生系统认证字，用户终端Client103对系统进行认证，接入控制点SP102与用户终端Client103之间分别采用完整性密钥和机密性密钥进行完整性和机密性保护，并根据安全认证服务器AUC104返回的信息交换所需密钥。

请参阅图2所示，描述了一个接入域内双向认证及密钥分发流程示意图。该流程示意图主要描述了用户终端对系统进行验证/认证的机制，用户终端与接入控制点之间的密钥生成机制，以及消息保护机制，系统对用户终端的验证/认证机制。

用户终端注册验证/认证、密码生成流程开始之前，需进行条件预设：认为接入控制点是系统内信任域的设备。结合图1，该流程图包括步骤：

步骤200，用户终端Client103按协议流程向接入控制点SP102发起注册请求，及正常的协议注册报文，报文中携带用户终端Client103产生的随机数R1和Client ID(客户端标识)；

步骤201，接入控制点SP102向软交换核心控制设备SS101转发用户的注册报文，注册报文中携带接入控制点SP102的设备标识SP ID(接入控制点标识)和Client ID(客户端标识)；

步骤202，软交换核心控制设备SS101没有用户终端Client103的用户鉴权信息，向安全认证服务器AUC104发出对用户终端Client103的鉴权验证/认证请求，请求中包含Client ID和SP ID；

步骤203，安全认证服务器AUC104根据Client ID、SP ID，获取与用户终端Client103的共享密钥Kc以及与接入控制点SP102的共享密钥Ksp，生成一个随机数R2，由R2、Client ID和共享密钥Kc等一起生成对用户终端Client103的验证字Authenticator，同时生成用户终端Client103和接入控制点SP102之间的会话密钥Kc，sp，其中Kc，sp分别由共享密钥Kc和Ksp加密，最后将R2、验证字Authenticator、加密后的会话密钥(Ekc(Kc，sp)、Eksp(Kc，sp))作为软交换核心控制设备SS101验证/认证请求的响应返回给软交换核心控制设备SS101；

步骤204，软交换核心控制设备SS101向接入控制点SP102返回注册响应报文或注册失败消息；当返回注册失败消息时，表明需要对用户终端Client103进行验证/认证；响应报文的参数中包括挑战字R2，同时将安全认证服务器AUC104下发的经过Kc、Ksp加密后的两个会话密钥EKc[Kc，sp]和EKsp[Kc，sp]传给接入控制点SP102，软交换核心控制设备SS101保留验证字Authenticator；

步骤205，接入控制点SP102向用户终端Client103返回注册响应报文或注册失败消息；当返回注册失败消息时，表明需要对用户终端Client103进行验证/认证；响应报文的参数中包括挑战字R2，经过Kc加密过的会话密钥EKc[Kc，sp]，同时接入控制点SP102采用共享密钥Ksp对加密过的会话密钥EKsp[Kc，sp]进行解密，得到Kc，sp，并用该会话密钥Kc，sp和随机数R1对发给用户终端Client103的响应报文中的认证参数进行完整性保护，即，计算报文中的认证参数验证字并随报文一起返回给用户终端Client103；

步骤206，用户终端Client103通过共享密钥Kc对经过加密后的会话密钥EKc[Kc，sp]解密得到Kc，sp，用该会话密钥Kc，sp和随机数R1对接入控制点SP102返回的报文中的认证参数进行完整性验证，如验证通过，则说明接入控制点SP102及网络侧设备是合法的，并用共享密钥Kc、客户端标识Client ID及接入控制点SP102返回的随机数R2重新计算验证字Authenticator’，向接入控制点SP102重新发起注册请求，并通过Kc，sp对报文进行完整性保护，报文中包括新计算得到的验证字Authenticator’，若用户终端Client103对系统/网络验证/认证失败，放弃或从第1步，即步骤200开始重新发起注册请求；

步骤207，接入控制点SP102通过会话密钥Kc，sp对报文进行完整性检查，如果检查通过，则向软交换核心控制设备SS101转发用户的注册报文，包含用户计算得到的验证字Authenticator’，否则说明用户终端Client103非法，退出注册过程；

步骤208，软交换核心控制设备SS101将接入控制点SP102发过来的注册报文中的验证字Authenticator’和安全认证服务器AUC104发过来的验证字Authenticator进行比较，对用户终端Client103进行验证/认证，若验证字Authenticator’与验证字Authenticator两者不一致，则表明对用户终端Client103的验证/认证失败，则重发报文或退出注册过程，若两者一致，则表明对用户终端Client103的验证成功，向接入控制点SP102返回注册成功响应报文；

步骤209，接入控制点SP102收到软交换核心控制设备SS101的注册响应成功报文，向用户终端Client103转发注册响应成功报文，同时用会话密钥Kc，sp对响应报文进行保护，保证报文的完整性，接入控制点SP102同时记录下该用户终端Client103的相关信息(用户号码、地址、端口等)，并标识该用户为一合法用户；

步骤210，用户终端Client103采用会话密钥Kc，sp对注册响应成功报文进行鉴别，验证注册响应成功报文的完整性，至此注册验证/认证及会话密钥协商成功，同时软交换核心控制设备SS101会向安全认证服务器AUC104发出用户验证/认证成功消息，更新安全认证服务器AUC104上的用户终端信息。

在本实施例中，加密算法和完整性算法均采用对称加密算法，其中完整性保护是同时采用两种算法，会话密钥可以根据预先配置在通信实体和安全认证服务器上的共享密钥直接获得，也可以在此基础上根据共享密钥和随机数来计算获得。

在本实施例中，详细描述了接入域双向验证/认证及密钥分发流程，对其中涉及到信令等方面，仅是示意性的说明，供参考。

在本发明中，信令安全传输部分完成在用户终端Client、接入控制点SP之间进行加密性密钥和完整性密钥的安全生成，增强了安全性要求，减少对软交换核心控制设备的攻击。

当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (10)

1、一种用户终端接入软交换系统的安全交互方法，应用于基于IP网络的软交换系统，该系统包括至少一个软交换核心控制设备和接入控制点、多个用户终端、安全认证服务器，其特征在于，该方法包括如下步骤：

步骤一，在所述用户终端上设置用户终端认证安全参数组，在所述接入控制点上设置接入控制点认证安全参数组，在所述安全认证服务器上设置与所述用户终端认证安全参数组对应的用户终端认证授权参数组及与所述接入控制点认证安全参数组对应的接入控制点认证授权参数组；

步骤二，将所述用户终端通过所述接入控制点接入至所述软交换核心控制设备；

步骤三，所述用户终端通过所述接入控制点、所述软交换核心控制设备，并根据所述用户终端认证安全参数组及系统返回的鉴权信息对系统进行认证，并交换与所述接入控制点之间的完整性密钥、机密性密钥；所述接入控制点根据所述接入控制点认证安全参数组、与所述用户终端之间的完整性密钥、机密性密钥对所述用户终端与所述软交换核心控制设备之间的报文进行安全保护；所述安全认证服务器通过所述软交换核心控制设备、所述接入控制点，并根据所述用户终端认证授权参数组、所述接入控制点认证授权参数组对所述用户终端进行安全接入认证。

2、根据权利要求1所述的用户终端接入软交换系统的安全交互方法，其特征在于，所述用户终端认证安全参数组的个数为一个或多个；所述接入控制点认证安全参数组的个数为一个或多个。

3、根据权利要求2所述的用户终端接入软交换系统的安全交互方法，其特征在于，所述每个用户终端认证安全参数组/所述每个接入控制点认证安全参数组包括认证、加密、完整性保护安全方式中的一种或多种方式的参数信息。

4、根据权利要求2或3所述的用户终端接入软交换系统的安全交互方法，其特征在于，所述步骤三中，还包括所述接入控制点与所述用户终端之间的报文分别采用完整性密钥和机密性密钥进行完整性和机密性保护的步骤。

5、根据权利要求4所述的用户终端接入软交换系统的安全交互方法，其特征在于，所述步骤三中，还包括所述用户终端对由所述接入控制点返回的注册响应报文进行完整性验证的步骤，若所述注册响应报文通过完整性验证，所述用户终端向所述接入控制点重新发起注册请求。

6、根据权利要求4所述的用户终端接入软交换系统的安全交互方法，其特征在于，所述步骤三中，还包括所述接入控制点对所述用户终端发送的注册报文进行完整性保护检查，并在检查通过后，向所述软交换核心控制设备转发包含有一第一验证字的报文的步骤。

7、根据权利要求6所述的用户终端接入软交换系统的安全交互方法，其特征在于，所述步骤三中，还包括所述软交换核心控制设备通过比较所述第一验证字与从所述安全认证服务器发送的一第二验证字是否一致来对所述用户终端进行验证的步骤，若所述第一验证字与所述第二验证字一致，则对所述用户终端验证成功；若不一致，则对所述用户终端验证失败。

8、根据权利要求7所述的用户终端接入软交换系统的安全交互方法，其特征在于，在对所述用户终端验证成功时，所述步骤三中，还包括所述接入控制点向所述用户终端发送从所述软交换核心控制设备接收到的注册响应成功报文，并对该注册响应成功报文进行完整性保护的步骤。

9、根据权利要求8所述的用户终端接入软交换系统的安全交互方法，其特征在于，所述步骤三中，还包括所述用户终端对该注册响应成功报文进行鉴别、完整性验证的步骤。

10、根据权利要求8所述的用户终端接入软交换系统的安全交互方法，其特征在于，所述步骤三中，还包括所述软交换核心控制设备向安全认证服务器发送用户认证成功消息，并更新所述安全认证服务器上用户终端信息的步骤。

Images