CN101087326B - 一种通讯终端注册方法和系统 - Google Patents

Abstract

一种涉及电通信技术的通讯终端注册方法和系统，该方法为：对于采用H323协议的通信终端，使用SIM或USIM安全认证机制进行注册，通过H323协议的网守发现流程和注册流程承载，在网守发现流程和注册流程中的消息分别承载用于SIM或USIM认证的参数组和计算结果；该系统包括通信终端和网守，还包括认证鉴权中心，网守根据通信终端的网守请求消息，向认证鉴权中心发送相应的认证请求，认证鉴权中心根据认证请求向网守发送用于SIM认证或USIM认证流程的多个参数组，网守至少将其中的一个参数组传递至通信终端，通信终端根据参数进行相关计算，通信终端与网守根据相应的信息交互，完成通信终端的注册，本发明安全性高。

Description

一种通讯终端注册方法和系统

技术领域

本发明涉及电通信技术，尤其涉及一种通讯终端注册方法和系统。

背景技术

在采用国际电信联盟电信标准化部门(Telecommunication StandardizationSector of ITU)H323协议的多媒体通信系统中，大多采用的是“用户标识+密码”的方式实现对通讯终端的认证，例如图1所示，首先完成网守发现过程，其流程如下：

1、通讯终端1开机，请求接入网络，向网守2发送网守请求(GRQ：GatekeeperRequest)数据包。

2、网守2收到GRQ数据包后，发送网守确认(GCF：Gatekeeper Conform)消息给终端。

3、通讯终端1收到GCF消息，发现网守成功。

通讯终端1发现网守成功后，如图2所示，完成如下注册流程：

1、通讯终端1将“用户标识+密码”通过注册请求(RRQ：Register Request)消息，发送给网守2。

2、网守2收到RRQ消息后，使用用户标识为索引，找出数据库中的密码，将数据库中的密码与RRQ消息中的密码进行比较，进行如下操作：

2.1如果两者相同，则发送注册确认(RCF：Register Conform)消息至通讯终端1，通讯终端1收到RCF消息，则注册成功。

2.2如果两者不相同，发送RRJ消息至通讯终端1，通讯终端1收到注册受拒(RRJ：Register Reject)消息，注册失败。

以上描述了一般的“用户标识+密码”操作方式，现有技术中也有采用“用户标识+密码+信息-摘要算法(MD5：Message-Digest Algorithm 5)”的方式实现对用户的认证，与前面所述流程的不同之处仅在于：前者的密码为明文，而在包含“MD5”的方式中密码为密文。

现有技术具有如下缺点：

1、从上面的描述可以看出，这种“用户标识+密码”的RRQ消息在IP网络上一旦被截获，由于算法是公开的，可以通过程序，遍历所有密码的组合，可以在短时间内破译密码，他人的恶意使用会给用户造成损失。

2、IP电话运营商(处于网守2)可以从数据库中取得用户的用户标识和密码，也会对用户造成潜在的安全威胁。

3、现有的认证流程中都只有网络(网守2)对用户(通讯终端1)认证，却没有用户(通讯终端1)对网络(网守2)认证，这对于用户(通讯终端1)的安全性来说，总是处于被动和不利的位置。

总之，现有技术中的通讯终端认证注册安全性较差。

发明内容

本发明的目的在于提供一种安全性高的通讯终端注册方法和系统，以解决现有技术中通讯终端认证注册安全性较差的问题。

本发明所采用的通讯终端注册方法为：对于采用H323协议的通信终端，使用SIM或USIM安全认证机制进行注册，通过H323协议的网守发现流程和注册流程承载，网守发现流程中的GCF消息承载用于SIM认证或USIM认证的参数组，注册流程中的RRQ消息承载用于SIM认证或USIM认证的计算结果。

本发明基于SIM注册方法包括如下步骤：

A1、通信终端向网守发送GRQ消息，所述的GRQ消息上承载请求认证的用户标识；

A2、网守收到GRQ消息后，网守向认证鉴权中心发送认证请求；

A3、认证鉴权中心生成多个三参数组(RAND，XRES，Kc)，并将数据发送给网守；

A4、网守收到多个三参数组后，选择其中一个参数组承载于GCF消息中，发送给通信终端；

A5、通信终端收到GCF消息后，根据RAND参数计算出Kc和RES，判断RES和XRES是否相同，进行如下操作：

A51、若RES和XRES相同，通信终端向网守发送承载有计算结果RES的RRQ消息，继续如下步骤A6；

A52、否则，结束认证；

A6、网守收到RRQ消息，比较XRES和RES，如果相同，注册成功，向通信终端发送RCF消息。

所述的步骤A6之后，还包括如下步骤：

所述的网守通过对保活的RRQ消息的应答，承载RAND，可以再次启动认证过程。

所述的步骤A6之后，还包括如下步骤：

通信终端在H225或H245消息采用网守路由模式的情况下，发起呼叫业务时，使用生成的密钥Kc对H225或H245消息、以及业务数据进行加密。

本发明基于USIM注册方法包括如下步骤：

B1、通信终端向网守发送GRQ消息，所述的GRQ消息上承载请求认证的用户标识；

B2、网守收到GRQ消息后，向认证鉴权中心发送认证请求；

B3、认证鉴权中心生成多个五参数组(RAND、AUTN、CK、IK、XRES)，并将数据发送给网守；

B4、网守收到多个五参数组后，选择其中一个参数组承载于GCF消息中，发送给通信终端；

B5、通信终端收到GCF消息后，根据RAND参数计算出X_AUTN和RES，以AUTN和计算出的X_AUTN为依据进行如下操作：

B51、若AUTN能够接受X_AUTN，即两者相同，通信终端向网守发送承载有计算结果RES的RRQ消息，继续如下步骤B6；

B52、否则，结束认证；

B6、网守收到RRQ消息后，比较XRES和RES，如果相同，注册成功，向通信终端发送RCF消息。

所述的步骤B6之后，还包括如下步骤：

所述的网守通过对保活的RRQ消息的应答，承载RAND和AUTN，可以再次启动认证过程。

所述的步骤B6之后，还包括如下步骤：

通信终端在H225或H245消息采用网守路由模式的情况下，发起呼叫业务时，使用加密密钥CK对H225或H245消息、以及业务数据进行加密。

本发明中的通讯终端注册系统，包括通信终端和网守，所述的通信终端与网守之间采用H323协议，完成网守发现流程和注册流程，其特征在于：还包括认证鉴权中心，其中，

所述的网守根据通信终端的网守请求消息，向认证鉴权中心发送相应的认证请求；

所述的认证鉴权中心根据认证请求向网守发送用于SIM认证或USIM认证流程的多个参数组，所述的网守至少将其中的一个参数组传递至通信终端，通信终端根据参数进行相关计算，通信终端与网守根据所述参数组和计算结果进行相应的信息交互，完成通信终端的注册。

本发明的有益效果为：在本发明中，对于采用H323协议的通信终端，使用SIM/USIM安全认证机制进行注册，将安全的SIM/USIM认证(SIM：SubscribeIdentity Module，用户识别模块；USIM：User Services Identity Module，用户业务识别模块)引入到H323多媒体通信中，在网守发现流程中的GCF消息承载用于SIM认证或USIM认证的参数组，注册流程中的RRQ消息承载用于SIM认证或USIM认证的计算结果，充分利用了SIM/USIM认证的高安全性，在基于SIM/USIM的认证中，网络发送给用户的RAND参数是实时更新的，即使数据被截获，该数据的有效时间比较短，不会给用户带来大的损失，有关用于SIM/USIM认证的参数组由相对独立于通信终端和网守的第三方(认证鉴权中心)取得，使本发明的安全性高，而且，本发明实现了双向认证(终端对网络的认证以及网络队终端的认证)，相对于现有技术，大大增强了通讯终端认证注册安全性，况且，这种基于SIM/USIM的认证在网络操作中已得到了广泛应用，对于本发明来说，充分利用已有的认证方式，不用增设硬件，软件开发、维护简便，系统升级总体成本低，可有效地实现对H323 VoIP业务的认证注册。

附图说明

图1为现有技术中网守发现流程示意图；

图2为现有技术中注册流程示意图；

图3为本发明总体结构示意图；

图4为本发明基于SIM注册流程示意图；

图5为本发明基于USIM注册流程示意图。

具体实施方式

下面根据附图和实施例对本发明作进一步详细说明：

根据图3，本发明包括通信终端10、网守20和认证鉴权中心30，通信终端10与网守20之间采用H323协议，完成网守发现流程和注册流程，在本发明中，通信终端10可以为GPRS终端、TD_SCDMA终端、WCDMA终端、802.16终端、VoIP电话终端(包含软终端)等，网守20根据通信终端10的网守请求GRQ消息，向认证鉴权中心30发送相应的认证请求，认证鉴权中心30根据该认证请求向网守20发送用于SIM认证或USIM认证流程的多个参数组，网守20至少将所收到的多个参数组中的一个参数组传递至通信终端10，通信终端10根据参数进行相关计算，通信终端10与网守20根据所述参数组和计算结果进行相应的信息交互，完成通信终端10的注册，本发明中，SIM认证或USIM认证流程通过H323协议的网守发现流程和注册流程承载。

根据图3和图4，本发明中基于SIM注册方法采用如下步骤：

1、通信终端10向网守20发送网守请求(GRQ：Gatekeeper Request)消息，该GRQ消息上承载请求认证的用户标识。

2、网守20收到GRQ消息后，网守20向认证鉴权中心30发送认证请求。

3、认证鉴权中心30生成多个三参数组(RAND，XRES，Kc)，并将数据发送给网守20。

其中，RAND：Random challenge，随机挑战。

      XRES：Expected Response，预期响应。

      Kc：密钥。

4、网守20收到多个三参数组后，选择其中一个参数组，并将其成员RAND承载到网守确认(GCF：Gatekeeper Conform)消息的非标准字段上，发送给通信终端10。

5、通信终端10收到GCF消息后，根据RAND参数计算出Kc和RES，判断RES和XRES是否相同，进行如下操作：

5.1若RES和XRES相同，说明该网络是该用户(即通讯终端1)签约的网络，籍此进行通讯终端10对网络的认证，然后，通信终端10向网守20发送承载有计算结果RES的注册请求(RRQ：Register Request)消息，继续如下步骤VI。

5.2、否则，结束认证。

6、网守20收到RRQ消息，比较XRES和RES，进行如下操作：

6.1、若两者相同，籍此通过网络对通讯终端10的认证，注册成功，网守20向通信终端10发送注册确认(RCF：Register Conform)消息，继续如下步骤VII。

6.2、否则，网守20发送注册受拒(RRJ：Register Reject)消息至通讯终端10，通讯终端10收到RRJ消息，注册失败。

7、网守20通过对保活的RRQ消息的应答，承载RAND，可以再次启动认证过程，即，重复上述步骤V至步骤VI，对于可能存在的非法用户非法接入网守20，通过采用该步骤，网守20周期性地对通信终端10再次认证，可使用户的损失尽可能地降为最低。

通信终端10在完成了上述步骤I至步骤VI(或步骤VII)的注册后，通信终端10在H225或H245消息采用网守路由模式的情况下，发起呼叫业务时，可使用生成的密钥Kc对H225或H245消息，以及对业务数据进行加密，可以防止他人监听语音、视频等数据，进一步提高H323多媒体通信的安全性。

根据图3和图5，本发明中基于USIM注册方法采用如下步骤：

1)通信终端10向网守20发送GRQ消息，该GRQ消息上承载请求认证的用户标识。

2)网守20收到GRQ消息后，向认证鉴权中心30发送认证请求。

3)认证鉴权中心30生成多个五参数组(RAND、AUTN、CK、IK、XRES)，并将数据发送给网守20。

其中，RAND：Random challenge，    随机挑战。

      AUTN：Authentication Token，认证标识。

      CK：  Cipher Key，          加密密钥。

      IK：  Integrity Key，       完整性密钥。

      XRES：Expected Response，   预期响应。

4)网守20收到多个五参数组后，选择其中一个参数组，并将其成员(RAND，AUTN)承载到GCF消息的非标准字段上，发送给通信终端10。

5)通信终端10收到GCF消息后，根据RAND参数计算出X_AUTN和RES，以AUTN和计算出的X_AUTN为依据进行如下操作：

51)若AUTN能够接受X_AUTN，即两者相同，说明该网络是该用户(即通讯终端1)签约的网络，籍此进行通讯终端10对网络的认证，然后，通信终端10向网守20发送承载有计算结果RES的RRQ消息，继续如下步骤6)。

52)否则，结束认证。

6)网守20收到RRQ消息后，比较XRES和RES，进行如下操作：

61)若两者相同，籍此通过网络对通讯终端10的认证，注册成功，网守20向通信终端10发送RCF消息，继续如下步骤7)。

62)否则，网守20发送RRJ消息至通讯终端10，注册失败。

7)网守20通过对保活的RRQ消息的应答，承载RAND和AUTN，可以再次启动认证过程，即，重复上述步骤5)至步骤6)，对于可能存在的非法用户非法接入网守20，通过采用该步骤，网守20周期性地对通信终端10再次认证，可使用户的损失尽可能地降为最低。

通信终端10在完成了上述步骤1)至步骤6)(或步骤7))的注册后，通信终端10在H225或H245消息采用网守路由模式的情况下，发起呼叫业务时，可使用加密密钥CK对H225或H245消息，以及对业务数据进行加密，可以防止他人监听语音、视频等数据，进一步提高H323多媒体通信的安全性。

综上所述，本发明对于采用H323协议的通信终端10，使用SIM/USIM安全认证机制进行注册，在网守发现流程中的GCF消息承载用于SIM认证或USIM认证的参数组，注册流程中的RRQ消息承载用于SIM认证或USIM认证的计算结果，将安全的SIM/USIM认证引入到H323多媒体通信中，充分利用了SIM/USIM认证的高安全性，增强了通讯终端10认证注册的安全性，提供了一种安全性高的认证注册方法。

Claims (6)

1.一种通讯终端注册方法，其特征在于：对于采用H323协议的通信终端，使用SIM或USIM安全认证机制进行注册，通过H323协议的网守发现流程和注册流程承载，网守发现流程中的网守确认GCF消息承载用于SIM认证或USIM认证的参数组，注册流程中的注册请求RRQ消息承载用于SIM认证或USIM认证的计算结果；其中：

基于SIM注册方法包括如下步骤：

A1、通信终端向网守发送网守请求GRQ消息，所述的GRQ消息上承载请求认证的用户标识；

A2、网守收到GRQ消息后，网守向认证鉴权中心发送认证请求；

A3、认证鉴权中心生成多个三参数组随机挑战RAND，预期响应XRES，密钥Kc，并将数据发送给网守；

A4、网守收到多个三参数组后，选择其中一个参数组承载于GCF消息中，发送给通信终端；

A5、通信终端收到GCF消息后，根据RAND参数计算出Kc和响应RES，判断RES和XRES是否相同，进行如下操作：

A51、若RES和XRES相同，通信终端向网守发送承载有计算结果RES的RRQ消息，继续如下步骤A6；

A52、否则，结束认证；

A6、网守收到RRQ消息，比较XRES和RES，如果相同，注册成功，向通信终端发送RCF消息；

基于USIM注册方法包括如下步骤：

B1、通信终端向网守发送GRQ消息，所述的GRQ消息上承载请求认证的用户标识；

B2、网守收到GRQ消息后，向认证鉴权中心发送认证请求；

B3、认证鉴权中心生成多个五参数组RAND、认证标识AUTN、加密密钥CK、完整性密钥IK、XRES，并将数据发送给网守；

B4、网守收到多个五参数组后，选择其中一个参数组承载于GCF消息中，发送给通信终端；

B5、通信终端收到GCF消息后，根据RAND参数计算出X_AUTN和RES，以AUTN和计算出的X_AUTN为依据进行如下操作：

B51、若AUTN能够接受X_AUTN，即两者相同，通信终端向网守发送承载有计算结果RES的RRQ消息，继续如下步骤B6；

B52、否则，结束认证；

B6、网守收到RRQ消息后，比较XRES和RES，如果相同，注册成功，向通信终端发送RCF消息。

2.根据权利要求1所述的通讯终端注册方法，其特征在于：所述的步骤A6之后，还包括如下步骤：

所述的网守通过对保活的RRQ消息的应答，承载RAND，可以再次启动认证过程。

3.根据权利要求1或2所述的通讯终端注册方法，其特征在于：所述的步骤A6之后，还包括如下步骤：

通信终端在H225或H245消息采用网守路由模式的情况下，发起呼叫业务时，使用生成的密钥Kc对H225或H245消息、以及业务数据进行加密。

4.根据权利要求1所述的通讯终端注册方法，其特征在于：所述的步骤B6之后，还包括如下步骤：

所述的网守通过对保活的RRQ消息的应答，承载RAND和AUTN，可以再次启动认证过程。

5.根据权利要求1或4所述的通讯终端注册方法，其特征在于：所述的步骤B6之后，还包括如下步骤：

通信终端在H225或H245消息采用网守路由模式的情况下，发起呼叫业务时，使用加密密钥CK对H225或H245消息、以及业务数据进行加密。

6.一种通讯终端注册系统，包括通信终端和网守，所述的通信终端与网守之间采用H323协议，完成网守发现流程和注册流程，其特征在于：还包括认证鉴权中心，其中，

所述的网守根据通信终端的网守请求消息，向认证鉴权中心发送相应的认证请求；

所述的认证鉴权中心根据认证请求向网守发送用于SIM认证或USIM认证流程的多个参数组，所述的网守至少将其中的一个参数组传递至通信终端，通信终端根据参数进行相关计算，通信终端与网守根据所述参数组和计算结果进行相应的信息交互，完成通信终端的注册；

基于SIM注册方法包括如下步骤：

A1、通信终端向网守发送GRQ消息，所述的GRQ消息上承载请求认证的用户标识；

A2、网守收到GRQ消息后，网守向认证鉴权中心发送认证请求；

A3、认证鉴权中心生成多个三参数组RAND，XRES，Kc，并将数据发送给网守；

A4、网守收到多个三参数组后，选择其中一个参数组承载于GCF消息中，发送给通信终端；

A5、通信终端收到GCF消息后，根据RAND参数计算出Kc和RES，判断RES和XRES是否相同，进行如下操作：

A51、若RES和XRES相同，通信终端向网守发送承载有计算结果RES的RRQ消息，继续如下步骤A6；

A52、否则，结束认证；

A6、网守收到RRQ消息，比较XRES和RES，如果相同，注册成功，向通信终端发送RCF消息；

基于USIM注册方法包括如下步骤：

B1、通信终端向网守发送GRQ消息，所述的GRQ消息上承载请求认证的用户标识；

B2、网守收到GRQ消息后，向认证鉴权中心发送认证请求；

B3、认证鉴权中心生成多个五参数组RAND、AUTN、CK、IK、XRES，并将数据发送给网守；

B4、网守收到多个五参数组后，选择其中一个参数组承载于GCF消息中，发送给通信终端；

B5、通信终端收到GCF消息后，根据RAND参数计算出X_AUTN和RES，以AUTN和计算出的X_AUTN为依据进行如下操作：

B51、若AUTN能够接受X_AUTN，即两者相同，通信终端向网守发送承载有计算结果RES的RRQ消息，继续如下步骤B6；

B52、否则，结束认证；

B6、网守收到RRQ消息后，比较XRES和RES，如果相同，注册成功，向通信终端发送RCF消息。

Images