CN101488957A - 基于sip的网络设备与终端的认证方法、装置及系统 - Google Patents

Abstract

本发明实施例公开一种基于SIP的网络设备与终端的认证方法、装置及网络系统，涉及通信领域，解决了在基于SIP的网络中，无法进行身份验证这一问题。本实施例提供的网络系统包括：网络设备，用于生成一次性口令，将所述一次性口令附加在SIP信令中向终端发送；终端，用于接收来自所述网络设备的所述SIP信令，对所述SIP信令中的所述一次性口令进行验证。通过本发明实施例，终端能够对发送该SIP信令的网络设备进行身份验证。

Description

基于SIP的网络设备与终端的认证方法、装置及系统

技术领域

本发明实施例涉及通信领域，尤其涉及一种基于SIP的网络设备与终端的认证方法、装置及系统。

背景技术

作为基于SIP(Session Initiation Protocol，会话初始协议)网络的一种，IMS(IP Multimedia Subsystem，IP多媒体系统)代表了电信网络的融合技术，其全网IP化的优势使之有能力进行最大化的电信网络融合，并且为电信解决方案和其他与我们的日常生活息息相关的产品/解决方案提供易于实现的集成能力，通过进一步丰富的业务逻辑为我们的生活提供便利，以此为背景，出现了视频门禁等各种设备，通过IMS信令网络实现室内机/管理机和各种终端之间的视频通话及其他控制功能。

以IP为承载，通过电信网络和各种设备系统的融合实现了通过电信网络对各种设备系统的控制，具有多方面的优势，能够避免重复建设和维护独立的设备间通信和控制网络，有效降低网络部署/升级/维护成本，通过和电信网络的集成确保各种设备通信系统的可用性；还可以使终端统一，用户直接使用室内电话机就可以对各种设备进行控制，减少了入户线路和设备，方便用户的使用，并降低成本；再有，合法用户可能通过无线通信系统，远程执行各种操作，可以拓展出多种相关业务场景。

在实现上述过程中，发明人发现现有技术中至少存在如下问题：

在基于SIP协议的网络中，在不充分部署接入域IPsec的情况下，多数终端对SIP信令不进行合法性检查，因而也就无法对发送该SIP信令的网络设备进行身份认证。

发明内容

本发明的实施例提供一种基于SIP的网络设备与终端的认证方法、装置及系统，能够对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份认证。

为达到上述目的，本发明的实施例采用如下技术方案：

一种身份认证方法，应用在基于会话初始协议SIP的网络中，包括：

生成一次性口令，该一次性口令用于终端进行身份验证；

将一次性口令附加在SIP信令中；

将携带一次性口令的SIP信令向终端发送。

本发明实施例提供的身份认证方法，能够生成一次性口令，并将一次性口令附加在SIP信令中向终端发送。因此，终端能够根据该一次性口令对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份验证。

一种身份认证方法，应用在基于会话初始协议SIP的网络中，包括：

接收来自网络设备的SIP信令，该SIP信令中携带一次性口令；

对SIP信令中的一次性口令进行验证。

本发明实施例提供的身份认证方法，能够对SIP信令中的一次性口令进行验证。因此，终端能够根据该一次性口令对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份验证。

一种网络设备，应用在基于会话初始协议SIP的网络中，包括：

生成单元，用于生成一次性口令，该一次性口令用于终端进行身份验证；

发送单元，用于将一次性口令附加在SIP信令中，向终端发送携带有一次性口令的SIP信令。

本发明实施例提供的网络设备，能够生成一次性口令，并将一次性口令附加在SIP信令中向终端发送。因此，终端能够根据该一次性口令对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份验证。

一种终端，应用在基于会话初始协议SIP的网络中，包括：

接收单元，用于接收来自网络设备的携带有一次性口令的SIP信令；

验证单元，用于验证接收到的所述一次性口令。

本发明实施例提供的终端，能够对SIP信令中的一次性口令进行验证。因此，该终端能够根据一次性口令对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份验证。

一种网络系统，应用在基于会话初始协议SIP的网络中，包括：

网络设备，用于生成一次性口令，将所述一次性口令附加在SIP信令中；将所述SIP信令向终端发送；

终端，用于接收来自所述网络设备的所述SIP信令，对所述SIP信令中的所述一次性口令进行验证。

本发明实施例提供的网络系统，网络设备能够生成一次性口令，并将一次性口令附加在SIP信令中向终端发送，终端能够对该SIP信令中的一次性口令进行验证。因此，终端能够根据该一次性口令对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份验证。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的身份认证方法的流程框图；

图2为本发明另一实施例提供的身份认证方法的流程框图；

图3为本发明又一实施例提供的身份认证方法的流程框图；

图4为本发明另一实施例提供的身份认证方法的流程框图；

图5为本发明实施例提供的身份认证方法的流程框图；

图6为本发明另一实施例提供的身份认证方法的流程框图；

图7为本发明另一实施例中对非法设备进行身份认证方法的流程框图；

图8为本发明实施例提供的网络设备的结构框图；

图9为本发明实施例提供的终端的结构框图；

图10为本发明实施例提供的身份验证系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的实施例提供一种基于会话初始协议SIP的网络设备与终端的认证方法、装置及系统，能够对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份认证。本发明实施例基于会话初始协议SIP的网络可以是IMS(IP Multiple Subsystem，IP多媒体子系统)网络。

下面结合附图对本发明实施例进行详细描述。

本发明实施例提供的身份认证方法，如图1所示，该方法的步骤包括：

S101、生成一次性口令，该一次性口令用于终端进行身份验证；

S102、将一次性口令附加在SIP信令中；

具体的可以是：SIP协议支持自定义SIP头域，可以在给终端的SIP信令中插入自定义SIP头域，从而完成在SIP信令中附加该一次性口令。

S103、将携带一次性口令的SIP信令向终端发送。

本发明实施例的执行主体可以是网络侧的网络设备。

本发明实施例中的所谓一次性口令(One Time Password，OTP)，可以是指一种旨在保护关键的计算资源的密码体制，包括：在登录过程中加入不确定因素，使每次登录过程中传送的信息都不相同，以提高登录过程安全性，系统在接收到登录口令后进行一次验算即可验证用户的合法性。

本发明实施例提供的身份认证方法，能够生成一次性口令，并将一次性口令附加在SIP信令中向终端发送。因此，终端能够根据该一次性口令对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份验证。

进一步地，在本发明另一实施例提供的身份认证方法中，如图2所示，包括步骤：

S201、基于密钥、本地生成的随机数和时间戳，利用单向加密算法生成一次性口令，该一次性口令，用于终端进行身份验证；

S202、将一次性口令、随机数和时间戳附加在SIP信令中；

S203、将携带一次性口令、随机数和时间戳的SIP信令向终端发送。

本发明实施例的执行主体可以是网络侧的网络设备。

本发明实施例提供的身份认证方法，能够基于密钥、本地生成的随机数和时间戳，利用单向加密算法生成一次性口令，并将一次性口令、随机数和时间戳附加在SIP信令中向终端发送。因此，终端能够根据该一次性口令对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份验证。另外，利用时间戳，还能够防止重放攻击，基于单向加密算法和一定长度的密钥确保黑客不能利用嗅探器得到的数据反推或暴力破解得到密钥。

本发明又一实施例提供的身份认证方法，如图3所示，该方法包括：

S301、接收来自网络设备的SIP信令，该SIP信令中携带一次性口令；

S302、对SIP信令中的一次性口令进行验证。

本发明实施例的执行主体可以是终端设备。

本发明实施例提供的身份认证方法，能够对SIP信令中的一次性口令进行验证。因此，终端能够根据该一次性口令对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份验证。

其中，本发明另一实施例提供的身份认证方法，如图4所示，步骤S301进一步具体为：

S401、接收来自网络设备的SIP信令，该SIP信令中携带一次性口令、随机数和时间戳；

步骤S302进一步具体为：

S402、检查本地时间戳是否早于接收到的所述时间戳，若是，则根据接收到的所述随机数和所述时间戳以及本地的密钥，利用单向加密算法进行计算，生成一次性口令；若所述生成的一次性口令和接收到的所述一次性口令相同，则验证成功；

此外，在上述步骤S402验证成功之后还包括：

S403、验证成功后，将本地时间戳更新为接收的网络设备的时间戳。

本发明实施例的执行主体可以是终端设备。

本发明实施例提供的身份认证方法，能够对SIP信令中携带的一次性口令进行验证。因此，终端能够根据该一次性口令对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份验证。另外，利用时间戳，还能够防止重放攻击，基于单向加密算法和一定长度的密钥确保黑客不能利用嗅探器得到的数据反推或暴力破解得到密钥。

本发明实施例提供的身份认证方法，如图5所示，该方法步骤包括：

S501、网络设备生成一次性口令，并将该一次性口令附加在SIP信令中向终端发送；

S502、终端接收来自网络设备的SIP信令，并对SIP信令中的所述一次性口令进行验证。

本发明实施例方法可以根据实际需要对各个步骤顺序进行调整。

本发明实施例提供的身份认证方法，网络设备能够生成一次性口令，并将一次性口令附加在SIP信令中向终端发送，终端能够对该SIP信令中携带的一次性口令进行验证。因此，终端能够根据该一次性口令对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份验证。

本发明另一实施例提供的身份认证方法，应用在基于SIP协议的网络中，能够对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份认证。具体实例化可以为在彩色固网中的视频门禁系统，即网络设备实例化为AS(Application Server，应用服务器)，终端实例化为门禁终端，并在业务逻辑层面实现门禁终端对网络设备开门请求的身份验证机制。通过门禁终端和AS共同实现对收到的开门请求SIP信令INFO请求的一次性口令检查，来验证该INFO请求是否来自合法的应用服务器，对于来自合法的AS的合法INFO请求执行开门动作，对于黑客伪造的非法INFO请求使用403 forbidden拒绝。

另外，在本实施例实现过程中，由于CSCF(Call State Control Function，呼叫状态控制功能)/SBC(Session Border Controller，边界会话控制器)在门禁系统业务处理中只负责SIP信令的路由能力，不干扰业务逻辑处理，为分析方便，本实施例实现过程将CSCF/SBC省略。

如图6所示。该方法的步骤包括：

S601、室内机向应用服务器(AS)发送开门INFO请求；

S602、AS首先验证室内机身份是否合法，若合法，则基于本地密钥Ks、随机数、时间戳等变量，利用单向加密算法计算生成一次性口令；

其中，在本实施例中不讨论AS对“室内机身份验证”部分的实现机制；

本步骤S602所利用的单向加密算法(HASH算法)，可以使用HMAC-SHA1或HMAC_MD5；

门禁终端和AS共同维护用于身份验证的密钥Ks，不同的门禁终端使用不通的密钥Ks，为确保信息安全，密钥Ks永远不出现在信令链路上；

为确保系统不存在类似“千年虫”问题，要求时间戳位数足够大，本实施例可以使用64位时间戳；

S603、AS将生成的一次性口令和随机数、时间戳等参数插入到INFO请求中，通过网络发给门禁终端；

S604、门禁终端接收来自AS的一次性口令以及随机数、时间戳等参数，之后，门禁终端首先检查本地时间戳和从AS收到的时间戳哪个更新，若AS的时间戳更新，则门禁终端基于本地保存的密钥Ks和从AS收到的随机数、时间戳等变量利用相同的单向加密算法进行计算，得到计算结果，将该计算结果和从AS收到的一次性口令进行比较，若两者完全一致则证明该INFO请求所对应的开门请求是合法的，门禁终端执行开门动作，并更新本地时间戳为从AS收到的时间戳变量。

在此，要求门禁终端的初始时间戳“早于”AS，不要求AS和门禁终端保持严格的时间同步，且不允许使用门禁终端上报的时间戳更新AS的时间；

S605、门禁终端向AS返回200OK响应；

S606、AS将200OK响应返回给室内机，结束当前事件会话。

当开门请求为非法时执行步骤S604′至步骤S606′，

S604′、门禁终端接收来自AS的一次性口令以及随机数、时间戳等参数，之后，门禁终端首先检查本地时间戳和从应用服务器收到的时间戳哪个更新，若终端的时间戳更新，则开门请求非法，不执行开门动作；若AS的时间戳更新，但一次性口令验证失败，则开门请求非法，不执行开门动作；

S605′、门禁终端向AS返回403 forbidden响应；

S606′、AS将403 forbidden响应返回给室内机，结束当前事件会话并返回。

本实施例的一次性口令验证机制同样适用于AS下发给门禁终端的其他请求，如INVITE请求等。

对于非法设备伪造的非法请求，如图7所示，执行以下步骤：

S607、非法设备向门禁终端发送请求；

S608、门禁终端对该请求进行验证，验证失败；

S609、门禁终端拒绝请求，返回403 forbidden。

本发明实施例方法可以根据实际需要对各个步骤顺序进行调整。

本发明实施例提供的身份认证方法，网络设备AS能够基于时间戳、随机数，利用单向加密算法计算得出一次性口令，并附在SIP信令中发送给门禁终端，门禁终端首先根据时间戳判断该请求是否合法，然后利用接收的时间戳和随机数，以及本地保存的密钥，采用同样的单向加密算法计算得出结果，与接收的一次性口令作对比，相同则确定请求合法，执行动作，不相同则拒绝。因此，在基于SIP的网络中，该一次性口令验证机制提供了门禁系统终端和网络设备AS之间的信任能力，门禁终端有能力判断请求是否来自合法的AS，也就能够对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份认证。另外，通过时间戳机制有效防止了重放攻击，且基于异步的实现不需要维持门禁终端和AS之间严格的时间同步，只要求门禁终端初始时间戳“早于”AS，再有，基于单向加密算法和一定长度的密钥确保黑客不能利用嗅探器得到的数据反推或暴力破解得到密钥。

本发明实施例提供的网络设备，如图8所示，包括：

生成单元701，用于生成一次性口令；

发送单元702，用于将所述一次性口令附加在SIP信令中，向终端发送携带有所述一次性口令的SIP信令。

其中，该生成单元701包括：

随机数生成模块701A，用于生成随机数；

口令生成模块701B，用于基于本地密钥、随机数、时间戳，利用单向加密算法，生成一次性口令。

进一步地，该网络设备中还可以包括存储模块701C，用于存储本地密钥和/或时间戳；

本发明实施例的网络设备可以是应用服务器等。

本发明实施例的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。

本发明实施例提供的网络设备，能够生成一次性口令，并将一次性口令附加在SIP信令中向终端发送。因此，终端能够根据该一次性口令对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份验证。

本发明实施例提供的终端，应用在基于SIP协议的网络中，如图9所示，包括：

接收单元801，用于接收来自网络设备的携带有一次性口令的SIP信令；

验证单元802，用于验证接收到的所述一次性口令。

其中，接收单元801，接收到的SIP信令中还可与携带随机数和时间戳。

另外，验证单元802包括：

比较模块802A，用于比较本地时间戳与接收到的来自网络设备的时间戳，若本地时间戳早于接收到的来自网络设备的时间戳，则口令生成模块基于本地密钥和接收到的随机数、时间戳，利用单向加密算法进行计算，生成一次性口令；

口令生成模块802B，用于基于本地密钥和接收到的来自网络设备的随机数、时间戳，利用单向加密算法进行计算，生成一次性口令；

判断模块802C，用于判断口令生成模块生成的一次性口令与接收到的一次性口令是否相同，若相同，则验证成功。

进一步地，该验证单元802还包括：

存储模块802D，用于存储本地密钥和/或时间戳；

本发明实施例的终端可以是门禁终端、计算机、手机、视频电话等。

本发明实施例的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。

本发明实施例提供的终端，能够对SIP信令中的一次性口令进行验证。因此，能够根据该一次性口令对SIP信令进行合法性检查，从而能够对发送该SIP信令的网络设备进行身份验证。

本发明实施例提供的网络系统，如图10所示，包括：

网络设备901，用于生成一次性口令，将所述一次性口令附加在SIP信令中；将所述SIP信令向终端发送；

终端902，用于接收来自所述网络设备的所述SIP信令，对所述SIP信令中的所述一次性口令进行验证。

其中，网络设备901和终端902可以与上述实施例提供的相同，在此就不再赘述。

本发明实施例的网络设备可以是应用服务器等。本发明实施例的终端可以是门禁终端、计算机、手机、视频电话等。

本发明实施例系统的各个单元可以集成于一个装置，也可以分布于多个装置。上述单元可以合并为一个单元，也可以进一步拆分成多个子单元。本发明实施例提供的身份认证系统，网络设备能够生成一次性口令，并将一次性口令附加在SIP信令中向终端发送，终端能够对该SIP信令中携带的一次性口令进行验证。因此，终端能够对发送该SIP信令的网络设备进行身份验证。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (16)

1、一种身份认证方法，其特征在于，应用在基于会话初始协议SIP的网络中，包括：

生成一次性口令，所述一次性口令用于终端进行身份验证；

将所述一次性口令附加在SIP信令中；

将所述携带一次性口令的SIP信令向终端发送。

2、根据权利要求1所述的身份认证方法，其特征在于，所述生成一次性口令包括：

基于密钥、本地生成的随机数和时间戳，利用单向加密算法生成一次性口令。

3、根据权利要求2所述的身份认证方法，其特征在于，还包括：

将所述随机数和所述时间戳附加在SIP信令中；

将所述携带随机数和时间戳的SIP信令向终端发送。

4、一种身份认证方法，其特征在于，应用在基于会话初始协议SIP的网络中，包括：

接收来自网络设备的SIP信令，所述SIP信令中携带一次性口令；

对所述SIP信令中的一次性口令进行验证。

5、根据权利要求4所述的身份认证方法，其特征在于，所述接收来自网络设备的SIP信令，所述SIP信令中携带一次性口令、随机数和时间戳。

6、根据权利要求5所述的身份认证方法，其特征在于，对所述一次性口令进行验证包括：

检查本地时间戳是否早于接收到的所述时间戳，若是，则根据接收到的所述随机数和所述时间戳以及本地的密钥，利用单向加密算法进行计算，生成一次性口令；若所述生成的一次性口令和接收到的所述一次性口令相同，则验证成功。

7、一种网络设备，其特征在于，应用在基于会话初始协议SIP的网络中，包括：

生成单元，用于生成一次性口令，所述一次性口令用于终端进行身份验证；

发送单元，用于将所述一次性口令附加在SIP信令中，向终端发送携带有所述一次性口令的SIP信令。

8、根据权利要求7所述的网络设备，其特征在于，所述生成单元包括：

随机数生成模块，用于生成随机数；

口令生成模块，用于基于本地密钥、随机数、时间戳，利用单向加密算法，生成一次性口令。

9、根据权利要求8所述的网络设备，其特征在于，所述生成单元还包括：

存储模块，用于存储本地密钥或时间戳。

10、一种终端，其特征在于，应用在基于会话初始协议SIP的网络中，包括：

接收单元，用于接收来自网络设备的携带有一次性口令的SIP信令；

验证单元，用于验证接收到的所述一次性口令。

11、根据权利要求10所述的网络设备，其特征在于，

所述接收单元接收到的SIP信令中还携带有随机数和时间戳。

12、根据权利要求11所述的网络设备，其特征在于，所述验证单元包括：

比较模块，用于比较本地时间戳与接收到的来自所述网络设备的时间戳，若所述本地时间戳早于接收到的所述网络设备的时间戳，则口令生成模块基于本地密钥和接收到的所述网络设备的随机数、时间戳，利用单向加密算法进行计算，生成一次性口令；

口令生成模块，用于基于本地密钥和接收到的来自所述网络设备的随机数、时间戳，利用单向加密算法进行计算，生成一次性口令；

判断模块，用于判断所述口令生成模块生成的一次性口令与接收到的所述一次性口令是否相同，若相同，则验证成功。

13、根据权利要求12所述的网络设备，其特征在于，所述验证单元还包括：

存储模块，用于存储本地密钥或时间戳。

14、一种网络系统，其特征在于，应用在基于会话初始协议SIP的网络中，包括：

网络设备，用于生成一次性口令，将所述一次性口令附加在SIP信令中；将所述SIP信令向终端发送；

终端，用于接收来自所述网络设备的所述SIP信令，对所述SIP信令中的所述一次性口令进行验证。

15、根据权利要求14所述的网络系统，其特征在于，所述网络设备包括：

生成单元，用于生成一次性口令；

发送单元，用于将所述一次性口令附加在SIP信令中，向终端发送携带有所述一次性口令的SIP信令。

16、根据权利要求14所述的网络系统，其特征在于，所述终端包括：

接收单元，用于接收来自网络设备的携带有一次性口令的SIP信令；

验证单元，用于验证接收到的所述一次性口令。

Images