CN1889425A - 实现h.323网络节点间安全呼叫的方法及系统 - Google Patents

Abstract

本发明涉及一种实现H.323网络节点间安全呼叫的方法，所述节点遵循H.323协议相互通信，主叫节点将待传输信息以非对称加密方式加密后传输到被叫节点，包括以下步骤：(a)主叫节点从网守的公钥管理模块获取被叫节点的公钥，并使用所述被叫节点的公钥以及第一密钥加密相关信息，其中所述公钥管理模块保存有所有节点的公钥；(b)被叫节点使用从主叫节点获取的第二密钥以及被叫节点的私钥将从主叫节点接收的加密信息解密。本发明还提供一种对应的实现H.323网络节点间安全呼叫的系统。本发明通过采用非对称方式加密待传输信息，实现了网络传递信息的安全可靠。

Description

实现H.323网络节点间安全呼叫的方法及系统

技术领域

本发明涉及通信领域，更具体地说，涉及一种采用非对称加密实现安全呼叫的方法及系统。

背景技术

在长话业务中，IP电话业务占有的份额正日益增长。H.323是ITU-T提出的IP网络实时多媒体通信标准协议族。它由呼叫控制、媒体编码、管理控制和会议通信等一系列协议组成，不但包括IP电话的应用，而且还包括IP视频和数据应用以及多媒体会议应用，其主要目的是实现位于不同网络中的终端之间的多媒体交互通信。在采用H.323标准的IP网络中，主要有4种实体：终端、网关(GW，Gateway)、网守(GK，Gatekeeper)和多点控制单元(MCU，Multipoint Control Unit)。其中终端是在分组网络上遵循H.323标准进行实时通信的端点设备；网关负责不同网络之间的信令和控制信息的转换以及媒体信息变换和复用；而网守处于高层，提供对端点(终端、网关、多点控制单元统称为端点)和呼叫的管理功能，是IP电话网络系统中的重要管理实体。网守的主要功能有：地址解析、接入控制、带宽管理、区域管理等四项基本功能；此外，网守还能提供呼叫控制信令、呼叫管理等其他功能。软交换体系下，RFC2833协议定义了用于DTMF数字信号、电话音和电话信号的RTP负载格式。如果该类RTP负载格式数据在网上传送，很容易被其他人得到(比如通过抓包工具)。而一旦RTP负载格式数据被识别，则应用层的数据将很容易被解码。

加密是利用数学方法将待传输数据转换为不可读格式以保护数据的方法，其主要包括对称加密和非对称加密。

对称密钥加密是在发送端使用加密密钥将明文(未加密的数据)转换为暗文，在接收端使用解密密钥解密暗文，从而实现数据的安全传递。由于对称密钥加密在加密和解密时使用相同的密钥，所以这种加密过程的安全性取决于是否有未经授权的人获得了对称密钥。

非对称加密使用两个密钥：一个公钥和一个私钥，这两个密钥是相关的。在非对称加密中，公钥可在通信双方之间公开传递，或在公用储备库中发布，但相关的私钥是保密的。只有使用私钥才能解密用公钥加密的数据。使用私钥加密的数据只能用公钥解密。

对于某些使用H.323网络的商业部门(如银行)或者个人来说，RTP负载格式数据的泄漏可能造成安全隐患。而现有的H.323网络都使用对称加密方式来实现对RTP负载格式数据的加密，即在发送端用密钥加密后，将密钥告知接收端，接收端再使用该密钥对加密信息进行解密。但采用该种对称式加密法，安全性能相对较低，因为在网络上传输密钥时，很容易被窃听；而一旦密钥被他人获取，则加密信息极易被解密。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述IP电话业务中对称加密方法安全性不高的缺陷，提供一种实现H.323网络节点间安全呼叫的方法及系统。

本发明解决其技术问题所采用的技术方案是：构造一种实现H.323网络节点间安全呼叫的方法，所述节点遵循H.323协议相互通信，主叫节点将待传输信息以非对称加密方式加密后传输到被叫节点，包括以下步骤：

(a)主叫节点从网守的公钥管理模块获取被叫节点的公钥，并使用所述被叫节点的公钥以及第一密钥加密相关信息，其中所述公钥管理模块保存有所有节点的公钥；

(b)被叫节点使用从主叫节点获取的第二密钥以及被叫节点的私钥将从主叫节点接收的加密信息解密。

在本发明所述的实现H.323网络节点间安全呼叫的方法中，所述公钥管理模块从包含节点公钥的注册请求消息获取节点公钥。

在本发明所述的实现H.323网络节点间安全呼叫的方法中，所述步骤(a)中，所述主叫节点通过来自公钥管理模块的包含被叫节点公钥的接入确认消息获取被叫节点的公钥。

在本发明所述的实现H.323网络节点间安全呼叫的方法中，所述主叫节点通过终端能力集消息将第二密钥传递给被叫节点。

在本发明所述的实现H.323网络节点间安全呼叫的方法中，所述第一密钥为主叫节点私钥，所述第二密钥为主叫节点公钥，所述步骤(a)中包括以下步骤：

(a1)主叫节点将主叫节点的公钥发送到被叫节点；

(a2)主叫节点使用被叫节点的公钥和主叫节点的私钥将待传输信息进行加密；

所述所述第一密钥、第二密钥为主叫节点生成的对称密钥，所述步骤(a)包括以下步骤：

(a1)主叫节点从网守获取被叫节点的公钥；

(a2)主叫节点随机生成对称密钥并用所述被叫节点的公钥加密所述对称密钥；

(a3)主叫节点将所述使用被叫节点公钥加密的对称密钥传送到被叫节点；

(a4)主叫节点使用对称密钥加密待传输信息；

所述步骤(b)包括以下步骤：

(b1)被叫节点使用被叫节点的私钥解密使用被叫节点公钥加密的对称密钥；

(b2)被叫节点使用对称密钥解密使用对称密钥加密的待传输信息。

在本发明所述的实现H.323网络节点间安全呼叫的方法中，所述待传输信息为RTP负载格式数据。

本发明还提供一种实现H.323网络节点间安全呼叫的系统，包括通过网络相互连接的网守和至少两个节点，所述节点间遵循H.323协议相互通信，所述网守包含有对每一节点的公钥进行管理的公钥管理模块，每一节点分别包含加密模块、密钥注册模块、终端能力集传输模块、以及解密模块，所述密钥注册模块与公钥管理模块连接以注册节点公钥；在两个节点通信过程中，主叫节点的加密模块从公钥管理模块获取被叫节点公钥并使用所述被叫节点公钥及第一密钥加密相关信息，所述被叫节点的解密模块通过主叫节点的终端能力集传输模块获取第二密钥、并用所述第二密钥及被叫节点的私钥解密加密后的信息。

在本发明所述的实现H.323网络节点间安全呼叫的系统中，所述终端能力集传输模块通过向终端能力集消息加入第二密钥的方式传输第二密钥。

在本发明所述的实现H.323网络节点间安全呼叫的系统中，所述第一密钥为主叫节点的私钥，所述第二密钥为主叫节点的公钥，在两个节点通信过程中，所述主叫节点的加密模块使用主叫节点私钥与被叫节点的公钥加密待传输信息，所述被叫节点的解密模块通过主叫节点的终端能力集传输模块获取主叫节点的公钥、并使用所述主叫节点的公钥和被叫节点的私钥解密来自主叫节点的待传输信息。

在本发明所述的实现H.323网络节点间安全呼叫的系统中，所述节点还包括生成对称密钥的模块；所述第一密钥、第二密钥为生成对称密钥的模块生成的对称密钥，在两个节点通信过程中，主叫节点的生成对称密钥的模块生成对称密钥，主叫节点的加密模块使用从公钥管理模块获取的被叫节点公钥加密所述对称密钥并通过终端能力集传输模块，同时使用对称密钥加密待传输信息，被叫节点的解密模块使用被叫节点的公钥解密加密的对称密钥并使用对称密钥解密来自主叫节点的待传输信息。

在本发明所述的实现H.323网络节点间安全呼叫的系统中，所述密钥注册模块通过向注册请求消息中加入节点公钥的方式向网守注册公钥，所述公钥管理模块通过向接入确认消息中加入被叫节点公钥的方式向主叫节点传输被叫节点公钥。

本发明的实现H.323网络节点间安全呼叫的方法及系统，通过采用非对称方式加密待传输信息，实现了H.323网络中传递信息的安全可靠。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是实现本发明实现安全呼叫方法的系统的结构示意图；

图2是本发明实现安全呼叫方法的呼叫流程图；

图3是本发明实现安全呼叫方法的流程框图；

图4是本发明第一实施例的加密及解密的流程图；

图5是本发明第二实施例的加密及解密的流程图。

具体实施方式

如图1所示，是实现本发明实现安全呼叫方法的系统结构示意图。多个节点(图中仅示出两个，即主叫节点11、被叫节点15)分别通过网关13连接到IP网络14。在本实施例中，节点是指在分组网络上遵循H.323标准并能够在分组交换网络中提供实时、双向通信的的端点设备，其包括系统控制单元、H.225.0层、分组网络接口、音频编解码单元等；网关负责不同网络之间的信令和控制信息的转换以及媒体信息变换和复用，包括数据传输格式(如H.225.0到H.221)和通信规程的转换(如H.245到H.242)。

该系统中还包括一个或多个网守(图中仅示出一个)。网守在系统中主要提供4种基本服务：地址翻译、带宽控制、许可控制与区管理功能。

为实现本发明的安全呼叫方法，网守12包含有对主叫节点11和被叫节点15的公钥进行管理的公钥管理模块，而主叫节点11和被叫节点15的终端分别包含有使用密钥加密待传输信息的加密模块、将本端公钥向网守注册的密钥注册模块以及向对端节点传输本端加密能力的终端能力集传输模块。

其中密钥注册模块通过向注册请求消息中加入本端节点公钥的方式向网守12注册公钥；终端能力集传输模块通过向终端能力集消息加入本端节点的加密能力实现本端节点加密能力的传输；所述公钥管理模块通过向接入确认消息中加入被叫节点公钥的方式向主叫节点传输被叫节点公钥。上述的公钥或加密能力可以以参数的形式包含于注册请求消息、终端能力集消息及接入确认消息中。

以下以一个呼叫建立过程来说明本发明实现安全呼叫的方法。如图2、图3所示：

首先，主叫节点11和被叫节点15在接入网络时分别向网守12发送注册请求(RRQ)消息以进行注册，该注册请求消息中除携带注册信息外，还分别携带各自的节点公钥(例如公钥以参数形式包含于消息中)，网守12在接到注册请求消息后，分别存储各节点的公钥(步骤S31)。

当主叫节点11发起呼叫时，首先向网守12发送接入请求(ARQ)消息，该接入请求消息除了进行接入认证、地址解析等之外，还包括要求网守12向其返回被叫节点15公钥的参数；网守12处理接收到的接入请求消息后，向主叫节点11返回一个接入确认(ACF)消息，该接入确认消息中包括有被叫节点15的公钥(例如以参数形式包含于消息中)(步骤S32)。

接着，主叫节点11与被叫节点15进行呼叫建立(步骤S33)。该呼叫建立过程主要包括以下几个步骤：主叫节点11向被叫节点15发送建立连接消息(SETUP)；被叫节点15依次向主叫节点11返回呼叫进行中(CALLPROCEEDING)消息、振铃(ALERTING)消息以及连接(CONNECT)消息。

连接完成后，主叫节点11和被叫节点15分别向对端节点发送终端能力集(TCS)消息，该终端能力集消息分别携带本端节点使用RTP负载格式数据的能力、加密能力(步骤S34)。这样，主叫节点11和被叫节点15都可以得到对端节点的密钥。在本实施例中，加密能力可包括以下内容：密钥、加密方法及获取密钥的统一资源标志符(URI)。终端能力集消息所定义的加密能力不特指RTP负载格式数据，利用它也可以对RTP负载格式数据以外有需要进行加密的信息进行加密。加密能力是在TCS消息中传递给对方，此处的TCS可以是H.245通道上的TCS消息，在其他呼叫方式中也可以是Q.931的隧道字段中的TCS消息。当然本发明并不限于上述RTP负载格式数据的加密，同样适用于其他信息以及新技术中出现的类似协议中的信息。

随后完成的主从确定过程(MSD)决定呼叫双方的主方和从方，并执行打开逻辑通道过程。最后，主叫节点11和被叫节点15之间开始传递加密后的RTP负载格式数据。该通信过程如下：在主叫节点11将信息加密后(步骤S35)，主叫节点11将加密后的信息传递给被叫节点15(步骤S36)，被叫节点15则将加密信息解密后做进一步处理(步骤S37)。当然，主叫节点加密信息的步骤(即步骤S35)可以先于能力交换步骤(即步骤S34)执行。

在本发明的一个实施例中，上述的步骤S35～S37通过以下方法实现：主叫节点11在加密时，对待传输信息用主叫节点11的私钥(第一密钥)和被叫节点15的公钥进行加密(步骤S41)。相应地，被叫节点15在接收到加密信息(步骤S42)后，使用被叫节点15的私钥和主叫节点11的公钥(第二密钥)进行解密(步骤S43)，其中，主叫节点11的公钥(第二密钥)从主叫节点11发送的TCS消息获取(在步骤S34中获取)。其中主叫节点11加密待传输信息的顺序可以是先使用主叫节点11的私钥，然后使用被叫节点15的公钥；也可以先使用被叫节点15的公钥，然后使用主叫节点11的私钥。相应地，被叫节点15使用密钥解密地顺序也做相应改变。

在本发明的另一实施例中，上述的步骤S34～S37通过以下方法实现：主叫节点11随机生成对称密钥(第一密钥)(步骤S51)，并使用被叫节点15的公钥加密生成的对称密钥(步骤S52)；同时，主叫节点11使用生成的对称密钥(第一密钥)加密待传输信息(例如RTP负载格式数据)(步骤S54)，并将加密后的对称密钥(第二密钥)及待传输信息发送给被叫节点(步骤S53)。相应地，被叫节点15使用被叫节点的私钥解密对称密钥(第二密钥)，再使用解密后的对称密钥(第二密钥)解密待传输信息(步骤S55)。其中加密后的对称密钥可通过TCS消息传送。该实施例较前一实施例的效率高。

本发明不改变H.323网络中主叫节点11和被叫节点15间呼叫的流程，通过在注册请求消息、接入请求消息、接入确认消息、及终端能力交换消息中加入节点公钥信息，在H.323呼叫中使用了非对称加密，从而实现了对RTP负载格式数据等信息的安全传递。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (12)

1、一种实现H.323网络节点间安全呼叫的方法，所述节点遵循H.323协议相互通信，其特征在于，主叫节点将待传输信息以非对称加密方式加密后传输到被叫节点，包括以下步骤：

(a)主叫节点从网守的公钥管理模块获取被叫节点的公钥，并使用所述被叫节点的公钥以及第一密钥加密相关信息，其中所述公钥管理模块保存有所有节点的公钥；

(b)被叫节点使用从主叫节点获取的第二密钥以及被叫节点的私钥将从主叫节点接收的加密信息解密。

2、根据权利要求1所述的实现H.323网络节点间安全呼叫的方法，其特征在于，所述公钥管理模块从包含节点公钥的注册请求消息获取节点公钥。

3、根据权利要求1所述的实现H.323网络节点间安全呼叫的方法，其特征在于，所述步骤(a)中，所述主叫节点通过来自公钥管理模块的包含被叫节点公钥的接入确认消息获取被叫节点的公钥。

4、根据权利要求1所述的实现安全呼叫的方法，其特征在于，所述主叫节点通过终端能力集消息将第二密钥传递给被叫节点。

5、根据权利要求1所述的实现H.323网络节点间安全呼叫的方法，其特征在于，所述第一密钥为主叫节点私钥，所述第二密钥为主叫节点公钥，所述步骤(a)中包括以下步骤：

(a1)主叫节点将主叫节点的公钥发送到被叫节点；

(a2)主叫节点使用被叫节点的公钥和主叫节点的私钥将待传输信息进行加密；

所述步骤(b)中包括以下步骤：

(b1)被叫节点使用主叫节点的公钥和被叫节点的私钥将从主叫节点接收的加密信息解密以获取待传输信息。

6、根据权利要求1所述的实现H.323网络节点间安全呼叫的方法，其特征在于，所述第一密钥、第二密钥为主叫节点生成的对称密钥，所述步骤(a)包括以下步骤：

(a1)主叫节点从网守获取被叫节点的公钥；

(a2)主叫节点随机生成对称密钥并用所述被叫节点的公钥加密所述对称密钥；

(a3)主叫节点将所述使用被叫节点公钥加密的对称密钥传送到被叫节点；

(a4)主叫节点使用对称密钥加密待传输信息；

所述步骤(b)包括以下步骤：

(b1)被叫节点使用被叫节点的私钥解密使用被叫节点公钥加密的对称密钥；

(b2)被叫节点使用对称密钥解密使用对称密钥加密的待传输信息。

7、根据权利要求5或6所述的实现H.323网络节点间安全呼叫的方法，其特征在于，所述待传输信息为RTP负载格式数据。

8、一种实现H.323网络节点间安全呼叫的系统，包括通过网络相互连接的网守和至少两个节点，所述节点间遵循H.323协议相互通信，其特征在于，所述网守包含有对每一节点的公钥进行管理的公钥管理模块，每一节点分别包含加密模块、密钥注册模块、终端能力集传输模块、以及解密模块，所述密钥注册模块与公钥管理模块连接以注册节点公钥；在两个节点通信过程中，主叫节点的加密模块从公钥管理模块获取被叫节点公钥并使用所述被叫节点公钥及第一密钥加密相关信息，所述被叫节点的解密模块通过主叫节点的终端能力集传输模块获取第二密钥、并用所述第二密钥及被叫节点的私钥解密加密后的信息。

9、根据权利要求8所述的实现H.323网络节点间安全呼叫的系统，其特征在于，所述终端能力集传输模块通过向终端能力集消息加入第二密钥的方式传输第二密钥。

10、根据权利要求8所述的实现H.323网络节点间安全呼叫的系统，其特征在于，所述第一密钥为主叫节点的私钥，所述第二密钥为主叫节点的公钥，在两个节点通信过程中，所述主叫节点的加密模块使用主叫节点私钥与被叫节点的公钥加密待传输信息，所述被叫节点的解密模块通过主叫节点的终端能力集传输模块获取主叫节点的公钥、并使用所述主叫节点的公钥和被叫节点的私钥解密来自主叫节点的待传输信息。

11、根据权利要求8所述的实现H.323网络节点间安全呼叫的系统，其特征在于，所述节点还包括生成对称密钥的模块；所述第一密钥、第二密钥为生成对称密钥的模块生成的对称密钥，在两个节点通信过程中，主叫节点的生成对称密钥的模块生成对称密钥，主叫节点的加密模块使用从公钥管理模块获取的被叫节点公钥加密所述对称密钥并通过终端能力集传输模块，同时使用对称密钥加密待传输信息，被叫节点的解密模块使用被叫节点的公钥解密加密的对称密钥并使用对称密钥解密来自主叫节点的待传输信息。

12、根据权利要求8所述的实现H.323网络节点间安全呼叫的系统，其特征在于，所述密钥注册模块通过向注册请求消息中加入节点公钥的方式向网守注册公钥，所述公钥管理模块通过向接入确认消息中加入被叫节点公钥的方式向主叫节点传输被叫节点公钥。

Images