JP2010081636A - Ipネットワークの信頼できるドメインにおけるアイデンティティの処理 - Google Patents
Ipネットワークの信頼できるドメインにおけるアイデンティティの処理 Download PDFInfo
- Publication number
- JP2010081636A JP2010081636A JP2009266008A JP2009266008A JP2010081636A JP 2010081636 A JP2010081636 A JP 2010081636A JP 2009266008 A JP2009266008 A JP 2009266008A JP 2009266008 A JP2009266008 A JP 2009266008A JP 2010081636 A JP2010081636 A JP 2010081636A
- Authority
- JP
- Japan
- Prior art keywords
- certificate
- sip
- tls
- network
- proxy
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Withdrawn
Links
- 238000000034 method Methods 0.000 claims abstract description 20
- 238000012546 transfer Methods 0.000 claims abstract description 4
- 238000004891 communication Methods 0.000 claims description 11
- 230000000977 initiatory effect Effects 0.000 claims description 8
- 238000012545 processing Methods 0.000 claims description 4
- 238000012795 verification Methods 0.000 claims description 3
- 230000007246 mechanism Effects 0.000 description 7
- 230000009471 action Effects 0.000 description 5
- 230000003993 interaction Effects 0.000 description 3
- 230000000717 retained effect Effects 0.000 description 3
- 230000005540 biological transmission Effects 0.000 description 2
- 238000010586 diagram Methods 0.000 description 2
- 230000011664 signaling Effects 0.000 description 2
- 230000008859 change Effects 0.000 description 1
- 230000007774 longterm Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 230000008569 process Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/02—Details
- H04L12/22—Arrangements for preventing the taking of data from a data transmission channel without authorisation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
- H04L63/0414—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden during transmission, i.e. party's identity is protected against eavesdropping, e.g. by using temporary identifiers, but is known to the other party or parties involved in the communication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/16—Implementing security features at a particular protocol layer
- H04L63/166—Implementing security features at a particular protocol layer at the transport layer
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
- H04L65/1066—Session management
- H04L65/1101—Session protocols
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
- H04L65/1066—Session management
- H04L65/1101—Session protocols
- H04L65/1104—Session initiation protocol [SIP]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/14—Session management
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
- H04L65/10—Architectures or entities
- H04L65/1016—IP multimedia subsystem [IMS]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Computer Security & Cryptography (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Business, Economics & Management (AREA)
- General Business, Economics & Management (AREA)
- Multimedia (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Mobile Radio Communication Systems (AREA)
- Telephonic Communication Services (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
【課題】ネットワークの信頼性を考慮した、ユーザーのアイデンティティおよびプライバシの処理方法を提供する。
【解決手段】第1のSIPプロキシが、次のSIPプロキシにSIPリクエストを転送時に、TLSが、次のSIPプロキシへのホップにおいてサポートされているかどうかを判断するステップ、TLSがサポートされている場合には、TLS接続を確立するステップ、証明書をリクエストするステップ、証明書を受信するステップ、証明書および次のSIPプロキシのネットワークの信頼性を検証するステップ、証明書およびネットワークの信頼性が検証された場合に、アイデンティティ情報を保持するステップを含む。TLSがサポートされていない場合や証明書が検証されていない場合、ネットワークの信頼性が検証されていない場合には、アイデンティティ情報は取り除かれて、TLS接続を通じてSIPリクエストが転送される。
【選択図】図2
【解決手段】第1のSIPプロキシが、次のSIPプロキシにSIPリクエストを転送時に、TLSが、次のSIPプロキシへのホップにおいてサポートされているかどうかを判断するステップ、TLSがサポートされている場合には、TLS接続を確立するステップ、証明書をリクエストするステップ、証明書を受信するステップ、証明書および次のSIPプロキシのネットワークの信頼性を検証するステップ、証明書およびネットワークの信頼性が検証された場合に、アイデンティティ情報を保持するステップを含む。TLSがサポートされていない場合や証明書が検証されていない場合、ネットワークの信頼性が検証されていない場合には、アイデンティティ情報は取り除かれて、TLS接続を通じてSIPリクエストが転送される。
【選択図】図2
Description
本発明は、ネットワークの一部におけるアイデンティティの処理に関する。本発明はさらに、アサートしたアイデンティティに関して、信頼ドメインの境界を跨ぎ、ユーザーのプライバシ要件を受け付ける場合の、ユーザーがアサートしたアイデンティティの組み込みまたは除去に関する。
本出願は、2004年5月3日に出願の米国暫定特許出願番号第60/567,760号の優先権を主張するものである。より早期に出願されたこの出願の内容は、参照することにより組み込まれる。
3GPP(3rd Generation Partnership Project;第三世代パートナーシッププロジェクト)のIMS(IP Multimedia Subsystem;IPマルチメディアサブシステム)、リリース5において、システムは、信頼できるパーティの閉じたネットワークとみなされる。IMSセッションは、IMSネットワークにおいて開始または終了し、すべてのIMSネットワークは互いを信頼する。このモデルは、パブリックインターネットから開始または終了するIMSセッションの確立が生じないようにする。一方では、すべてのIMSネットワークが互いを信頼しているので、SIP(Session Initiation Protocol;セッション開始プロトコル)プロキシ(CSCF(Call Session Control Function;呼セッション制御機能)、BGCF(Breakout Gateway Control Function;ブレークアウトゲートウェイ制御機能)など)は、SIPのリクエストにおいて、アサートされたアイデンティティに関して何もアクションを行う必要がない。別の(信頼できる)IMSネットワークからリクエストを受信した時に、アサートされたアイデンティティが存在する場合、それは信頼されるべきである。SIPプロキシが、他のネットワークにSIPリクエストを送信しようとしている場合、そのアサートされたアイデンティティは、メッセージ内に保持される。
3GPP IMSリリース6によって、IMSセッションを、インターネットSIPのクライアントに/から確立することができる。しかし、特定のネットワークに対して、選択された(IMSまたは非IMS)ネットワークだけが信頼されているものとみなされるので、新たな信頼モデルが必要である。SIPプロキシ(例、CSCF、BGCFなど)は、トラフィックが信頼できないネットワークに送られる場合に、アサートされたアイデンティティにアクション(例、除去)を行えることが必要とされる。SIPプロキシは、信頼できるネットワークからSIPを受信し、アサートされたアイデンティティが存在する場合、それは保持される。しかし、SIPプロキシが信頼できないネットワークからSIPリクエストを受信し、アサートされたアイデンティティが存在する場合、そのリクエストは信頼できないので、SIPプロキシはそのアイデンティティを取り除く。同様に、SIPプロキシは、信頼できるネットワークにリクエストを送信しようとしている場合、あらゆるアサートされたアイデンティティを保持する。しかし、SIPプロキシが、信頼できないネットワークにリクエストを送信しようとしている場合、アサートされたアイデンティティは取り除かれる。
IMSにおける信頼ネットワークの概念は、互いを信頼する2つのネットワークの間に相互接続の同意が存在することによってサポートされる。2つのネットワークが相互接続の同意に署名するとき、それらのネットワークはセキュリティ情報を交換する。3GPP IMSリリース5では、信頼できる、および信頼できないノードが混在するものをサポートしていない。3GPP IMSリリース5では、全てのIMSネットワークが互いを信頼すること、すなわち、非IMSネットワークには接続できないことを規定している。3GPP IMSリリース5は、任意の2つのIMSネットワークの間に、IPsec(Internet Protocol security;インターネットプロトコルセキュリティ)ゲートウェイ、およびIPsecトンネルを提供する。しかし、IPsecゲートウェイは、SIP層ではなくIP層で動作し、SIPプロキシとは物理的および論理的に異なる要素であるため、IPsecゲートウェイは、リリース6における信頼できる/信頼できないモデル(trusted/untrusted model)には有用でない。加えて、2つのIMSオペレータ間のIPsecトンネルの存在は、これらのオペレータ間にSIPレベルで信頼関係があるとするには不十分である。
したがって、SIPリクエストを受信している特定のSIPプロキシに対して、信頼できる、または信頼できないソースから特定のリクエストを受信したかどうかを判断するための方法が必要である。さらに、SIPリクエストを転送する前に、SIPリクエストを別のネットワークに送信しようとしている特定のSIPプロキシに対して、次のSIPプロキシが信頼できる、または信頼できないことを判断することも必要である。
本発明は、ユーザーのアイデンティティおよびプライバシの処理方法を開示し、第1のSIP(Session Initiation Protocol;セッション開始プロトコル)プロキシが、次のSIPプロキシにSIPリクエストを転送しようとしており、TLS(Transport Layer Security;トランスポート層セキュリティ)が、次のSIPプロキシへのホップにおいてサポートされているかどうかを判断するステップを含む。前記方法は、TLSがサポートされている場合には、前記次のSIPプロキシへの前記ホップにTLS接続を確立するステップと、前記次のSIPプロキシから証明書をリクエストするステップと、前記証明書を受信するステップと、前記証明書および前記次のSIPプロキシのネットワークの信頼性を検証するステップと、前記証明書および前記ネットワークの信頼性が検証された場合に、アイデンティティ情報を保持するステップとを含む。前記方法はまた、TLSがサポートされていない場合、または前記証明書が検証されていない場合、あるいは前記ネットワークの信頼性が検証されていない場合には、前記アイデンティティ情報を取り除くステップを含む。前記方法はその後、前記TLS接続を通じて前記SIPリクエストを転送するステップをさらに含む。
本発明はまた、第1のSIPプロキシが、ユーザーのアイデンティティおよびプライバシを処理するために、信頼できるネットワークに属するかどうかを判断する方法の提供を目的とし、次のSIPプロキシが前記第1のSIPプロキシからリクエストを受信する。前記方法は、第1のSIPプロキシからSIPリクエストを受信するステップと、前記SIPリクエストがTLSを介して受信されたかどうかを判断するステップとを含む。前記方法はまた、前記SIPリクエストがTLSを介して受信された場合には、前記第1のSIPプロキシから証明書をリクエストするステップと、前記証明書を受信するステップと、前記証明書および前記第1のSIPプロキシのネットワークの信頼性を検証するステップと、前記証明書および前記ネットワークの信頼性が検証された場合に、アイデンティティ情報を保持するステップとを含む。前記方法はまた、TLSがサポートされていない場合、または前記証明書が検証されていない場合、あるいは前記ネットワークの信頼性が検証されていない場合には、前記アイデンティティ情報を取り除くステップを含む。前記方法はその後、前記SIPリクエストに応答するステップをさらに含む。
本発明はまた、通信装置の提供を目的とし、次のSIPプロキシへのホップにTLS接続を確立するための確立手段と、TLSが前記次のSIPプロキシへの前記ホップにおいてサポートされているかどうかを判断するための判断手段と、前記次のSIPプロキシから証明書をリクエストするためのリクエスト手段と、前記証明書を受信するための受信手段と、前記証明書および前記次のSIPプロキシのネットワークの信頼性を検証するための検証手段と、前記TLS接続を通じて前記SIPリクエストを転送するための転送手段とを備える。前記通信装置は、前記証明書が検証された場合、前記ネットワークの信頼性が検証された場合、およびTLSがサポートされている場合に、アイデンティティ情報を保持するように構成され、また、TLSがサポートされていない場合、または前記証明書が検証されていない場合、あるいは前記ネットワークの信頼性が検証されていない場合に、前記アイデンティティ情報を取り除くように構成される。
本発明はまた、通信システムの提供を目的とし、次のSIPプロキシへのホップにTLS接続を確立するように構成された、TLS接続確立装置と、TLSが前記次のSIPプロキシへの前記ホップにおいてサポートされているかどうかを判断するように構成された、TLSサポートアナライザと、前記次のSIPプロキシから証明書をリクエストし、前記証明書を受信し、前記証明書および前記次のSIPプロキシのネットワークの信頼性を検証するように構成された、検証モジュールと、前記TLS接続を通じて前記SIPリクエストを転送するように構成された、SIPリクエストハンドラとを備える。前記通信システムは、前記証明書が検証された場合、前記ネットワークの信頼性が検証された場合、およびTLSがサポートされている場合に、アイデンティティ情報を保持するように構成され、また、TLSがサポートされていない場合、または前記証明書が検証されていない場合、あるいは前記ネットワークの信頼性が検証されていない場合に、前記アイデンティティ情報を取り除くように構成される。
本発明の実施形態のこれらの、および他の機能、側面、および利点は、添付図とともに以下の説明を参照することによって明らかになろう。しかし、添付図面は、単に例証を目的としたものであり、本発明の範囲を定義するものではないことを理解されたい。
本発明のより深い理解に資するための、また本明細書に組み込まれてその一部を構成する添付図は、本発明の原理の説明として用いられる記述とともに、本発明の実施形態を例示する。
PS(Packet-Switched;パケット交換)ドメインでは、モバイル装置とネットワークとの間にセキュリティの関連付けが確立されるまで、サービスは提供されない。IMS(IP Multimedia Core Network Subsystem;IPマルチメディアコアネットワークサブシステム)は、基本的にPSドメインに対するオーバーレイであり、PSドメインへの依存が低い。したがって、マルチメディアサービスへのアクセスを許可する前に、マルチメディアクライアントとIMSとの間には別々のセキュリティの関連付けが必要である。IMSのセキュリティアーキテクチャを、図1に示す。
図1は、ホーム/サービングネットワーク110と、訪問先/ホームネットワーク120と、ユーザー機器102と、HSS(Home Subscriber Server;ホームサブスクライバサーバー)111を有するホーム/サービングネットワークとの関連を示す図である。図1は、モバイル装置(すなわち、UE(User Equipment;ユーザー機器)102、サブスクライバなど)と、S-CSCF(Serving Call Session Control Function;サービング呼セッション制御機能)113、P-CSCF(Proxy Call Session Control Function;プロキシ呼セッション制御機能)121、およびI-CSCF(Interrogating Call Session Control Function;問い合わせ呼セッション制御機能)112などの様々なネットワーク要素との間の呼管理プロトコルを示す図である。
ユーザー側のIMS認証キーおよび機能は、UICC(Universal Integrated Circuit Card;汎用ICカード)に格納される。IMS認証キーおよび機能は、論理的に独立すること、またキーおよび機能をPSドメインの認証に使用することが可能である。しかし、これは、共通の認証キーおよび機能が、IMSおよびPSドメインの認証に使用されることを排除していない。ISIM(IP Multimedia Services Identity Module;IPマルチメディアアイデンティティモジュール)103は、UICCに一群のIMSのセキュリティデータおよび機能を提供する。
図1では、5つの異なるセキュリティの関連付けがあり、IMSのセキュリティの保護に対して異なるニーズがあり、それぞれ番号1、2、3、4、および5を付す。第1の関連付け、番号1は、相互認証を提供する。HSSは、S-CSCFにサブスクライバの認証能力を移譲する。しかし、HSSは、キーおよびチャレンジを発生させる役割を果たす。ISIMおよびHSSの長期的なキーは、IMPIに関連する。サブスクライバは、1つの(ネットワーク内部の)ユーザープライベートアイデンティティ(IMPU)を1つ、外部ユーザーパブリックアイデンティティ(IMPU)を少なくとも1つ有する。第2の関連付け、番号2は、Gm参照点の保護のために、UEとP-CSCFとの間に、安全なリンクおよびセキュリティの関連付けを提供する。データ発信元認証、すなわち受信されるデータのソースが請求されているような裏付けが提供される。
第3の関連付け、番号3は、Cxインターフェースに対してネットワークドメイン内に内部的にセキュリティを提供する。第4の関連付け、番号4は、SIPが可能なノードに対して異なるネットワーク間にセキュリティを提供する。このセキュリティの関連付けは、P-CSCFがVN(Visited Network;訪問先ネットワーク)に存在する場合にのみ適用可能であり、P-CSCFがHN(Home Network;ホームネットワーク)に存在する場合は、番号5を適用する。最後の関連付け、番号5は、SIPが可能なノード間に内部的にセキュリティを提供する。
IMSには、上述されていない、他のインターフェースおよび参照点が存在する。これらのインターフェースおよび参照点は、IMS内、同じセキュリティのドメイン内、または異なるセキュリティドメイン間に存在する。UEとHNとの間には、相互認証が必要である。独立したIMSのセキュリティ機構は、セキュリティ違反に対して更なる保護を提供する。例えば、PSドメインのセキュリティに違反した場合、IMSは、それ自体のセキュリティ機構による保護を継続する。
上述のように、信頼モデルのサポートは、信頼できるネットワーク間に相互接続の同意が存在することによって確保される。すべてのSIPプロキシは、証明書中に可視的なセキュリティパラメータとともに、信頼できるネットワークのリストを含むデータベースを含む。セキュリティパラメータは、認証局、または一般名称、あるいは組織であってよい。
プライバシは、多くの場合、秘匿性(confidentiality)と同等に考えられる。これには、情報を解読する許可を与えられた人を除く、すべてのエンティティから、暗号化および暗号鍵を用いて情報を隠すことが含まれる。これに対してIMSネットワークのSIPのプライバシ拡張は、このような秘匿性を提供しない。この機構の目的は、むしろIMSのサブスクライバに特定のアイデンティティ情報を明かさない可能性を提供することである。これは、IMSネットワークのプライバシ機構が、CSCFに通常のSIP状態以外の状態を発生させないという点で、有用である。
少なくとも1つの実施形態によれば、リリース6のIMSが非IMSネットワークと通信している場合、通信の約束の利用可能性とともに、相互作用に対するセキュリティ機構が適用されているかどうかに基づいて、IMSネットワークのCSCFが信頼関係(trust relation)を決定する。通信するネットワークが信頼できない場合、プライバシ情報は、外部のネットワークへのトラフィックから取り除かれる。SIPのシグナリングを受信するとき、CSCFはまた、何らかプライバシ情報がすでに含まれているかどうかも検証する。相互作用のネットワークが信頼できない場合、その情報はCSCFによって取り除かれ、それ以外ならば保持される。
セキュリティ機構の欠如により、通信するネットワークが信頼できない非IMSネットワークであると示される場合、IMSと非IMSネットワークとの接続には、通常別々のCSCFが必要である。IMSネットワークに接続しているCSCFは、セキュリティを確立するSEGを介して到達可能なすべてのIMSネットワークを暗黙に信頼する。リリース5のCSCFは、常にこの信頼関係およびネットワークの構成を仮定している。リリース6のCSCFに対して、この暗黙的信頼の設定は、オペレータがネットワークおよびインターフェースの構成に基づいて設定することができる構成のオプションである。
図2は、本発明の一実施形態に基づいた、プライバシの処理を示すフローチャートである。SIPリクエストを次のSIPプロキシに転送しようとしているIMS SIPプロキシは、ステップ201で、次のホップへのTLS(Transport Layer Security;トランスポート層セキュリティ)接続を確立する。TLSが次のホップでサポートされていない場合、ステップ203で、ネットワークは信頼されず、プライバシ情報は取り除かれる。判断ステップ202でTLSがサポートされていると判断された場合、IMS SIPプロキシは、ステップ204で、他のSIPプロキシから証明書をリクエストする。証明書の受信に関して、IMS SIPプロキシは、ステップ205で、その証明書が有効であるかどうか、および信頼できるネットワークに属しているかどうかを判断する。信頼できるネットワークに属している場合、IMSプロキシは、アサートされたアイデンティティを保持し、それ以外ならば取り除く。次いで、ステップ206で、IMSプロキシは、TLS接続を通じてSIPリクエストを転送する。また、SIPプロキシが、以前の接続の結果として、他のパーティに対する証明書を予め有することも可能である。その結果、その証明書が依然として有効であることを単に検証するに十分とすることが可能である。
同様に、SIPリクエストを受信するIMS SIPプロキシは、これらの同じルールを適用する。リクエストがTLSを介して受信されない場合、送信SIPプロキシは信頼されない。リクエストがTLSを介して送信される場合、IMS SIPプロキシは、送信SIPプロキシに証明書をリクエストする。次いで、IMS SIPプロキシは、信頼できるネットワークのリストに対して証明書を検証し、送信SIPプロキシが信頼できるかどうかを判断する。また、より早期の接続からの証明書が存在する場合がある。
加えて、各IMSネットワークは、より高い優先権をTLSに与えるために、SIPサービスに対して、UDP(User Datagram Protocol;ユーザーデータグラムプロトコル)、TCP(Transmission Control Protocol;伝送制御プロトコル)、SCTP(Stream Control Transmission Protocol;ストリーム制御伝送プロトコル)(または他のトランスポートプロトコル)を通じて、DNS(Domain Name Server;ドメインネームサーバー)のNAPTR(Naming Authority Pointer;ネーミング権限ポインタ)の記録を構成する。これによって、IMSネットワークは、トランスポートプロトコルとして常にTLSを最初に試みることができる。
リリース5のネットワークとのインターオペラビリティに関して、リリース6のIMSネットワークは、下位互換性のあるソリューション、すなわちSGW(Security Gateway;セキュリティゲートウェイ)を介したIPsec(Internet Protocol security;インターネットプロトコルセキュリティ)を使用する。パケットがIPsecで保護されていることを受信CSCFに示すように、受信SGWは、CSCFの保護されたポートにSIPメッセージのポート番号を変更する必要がある。相互接続の同意がある場合は、ユーザーアイデンティティが転送されるか、または受信時に信頼される。それ以外ならば、ユーザーアイデンティティは取り除かれる。本発明の別の側面は、IMSリリース5のノードとIMSリリース6との間の下位互換性の提供方法を目的とする。
第1の実施例において、IMSリリース5のSIPプロキシは、IMSリリース6のノードにSIPリクエストを送信する。IMSリリース5のSIPプロキシは、IMSリリース6のネットワークが信頼できるとみなすので、アサートされたアイデンティティには何もアクションを行わない。しかし、IMSリリース6のSIPプロキシは、そのリクエストがTLSを使用していないので、アイデンティティを取り除くことになる。
本発明の実施形態によれば、リクエストは、2つのIMSネットワーク間のドメイン間の境界を通り抜けるので、SIPメッセージは、IMSリリース5のネットワークのSGWを通り抜け、次いで、IMSリリース6のネットワークのSGWを通り抜けることになる。このトラフィックは、IPsec ESP(Encapsulated Security Payload;カプセル化セキュリティペイロード)を使用して保護される。IMSリリース6のネットワークのSGWは、(リリース6のネットワークのSIPプロキシの)宛先ポート番号が、保護されたポート番号を再び対象とすることができる。IMSリリース6のネットワークのSIPプロキシは、2つのポート番号を割り当てる。その1つは、標準的なトラフィックが受信される所であり、もう1つは、SGWが(IMSリリース5のネットワークから)IPsecトンネルを介して受信されるトラフィックを送信する所である。IPsecトンネルの存在は、他端がIMSネットワークであること(およびリリース5のガイドラインによって信頼されていること)を示す。
第2の実施例において、IMSリリース5のSIPプロキシは、IMSリリース6のネットワークからSIPリクエストを受信している。IMSリリース5のネットワークは、すべてが信頼できるとみなすので、IMSリリース5のSIPプロキシは、アサートされたアイデンティティに何もアクションを行わない。リリース5のガイドラインによれば、リクエストは、この場合セキュリティゲートウェイを介して届くべきであるが、このアクションには影響を及ぼさない。
第3の実施例では、IMSリリース6のSIPプロキシは、IMSリリース5のネットワークにリクエストを送信している。デフォルトでは、IMSリリース5はTLSをサポートしていないので、IMSリリース6のSIPプロキシは、アサートされたアイデンティティを取り除く。本発明の実施形態によれば、好適なアクションは、何も行われない。何らかの理由でアサートされたアイデンティティを送信する必要がある場合、オペレータは、他のパーティがリリース5であるという理由でTLSの使用を免除するということを含む、相互接続の同意を行わなければならない。次に、送信プロキシは、それ自体のネットワークのセキュリティゲートウェイにIPsec ESPが適用されなければならない旨を、示さなければならない。この指示は、送信プロキシの専用のソースIPアドレスを使用することによって行うことができる。
第4の実施例では、IMSリリース6のSIPプロキシは、IMSリリース5ネットワークからSIPリクエストを受信している。IMSリリース5のネットワークは、TLSをサポートしていないので、IMSリリース6のSIPプロキシは、デフォルトで、信頼できないネットワークから届いたリクエストであるとみなすことになる。この場合、ソリューションは、上述の第1の実施例に関する説明と同じである。
TLSによって保護されるSIPのシグナリングは、IMS CSCFと外部のネットワークに位置するプロキシ/CSCFとのSIPの相互運用の保護に使用することが可能である。CSCFは、SIP、NAPTR/SRV機構を介して分析することができるDNSサーバーのURI、を公開することによって、外部のプロキシとのTLS接続をリクエストすることができる。TLSのハンドシェイク段階の間に、証明書を送受信する場合、CSCFは、相互作用のパートナーのリストに対して証明書上の名前を検証する。TLSセッションは、いずれのネットワークからも開始することができる。TLS接続は、複数のSIPダイアログを搬送することができる。
上述の説明は、本発明の特定の実施形態を対象としたものである。しかし、説明された実施形態の一部又は全ての利点を保持したまま、これらを様々に変形したり修正したりすることができることは明らかである。従って、かかる変形と修正のすべてを本発明の真の精神と範囲内においてカバーすることは、添付の特許請求の範囲の目的とするところである。
Claims (6)
- SIP(Session Initiation Protocol;セッション開始プロトコル)プロキシによって実行される方法であって、
次のSIPプロキシにSIPリクエストを転送することを含み、ただし前記転送することが、次のSIPプロキシへのホップにおいて、TLS(Transport Layer Security;トランスポート層セキュリティ)がサポートされているかどうかを判断することを含み、
TLSがサポートされている場合には、
前記次のSIPプロキシへの前記ホップにTLS接続を確立すること、
前記次のSIPプロキシへ証明書(certificate)を要求すること、
前記証明書を受信すること、
前記証明書および前記次のSIPプロキシのネットワークの信頼性を検証すること、
前記証明書および前記ネットワークの信頼性が検証された場合に、アイデンティティ情報を保持することを含み、
TLSがサポートされていない場合、もしくは前記証明書が検証されない場合、または前記ネットワークの信頼性が検証されない場合には、前記アイデンティティ情報を取り除くことを含み、
さらに前記TLS接続を通じて前記SIPリクエストを転送することを有する、
方法。 - SIP(Session Initiation Protocol;セッション開始プロトコル)プロキシによって実行される方法であって、
第1のSIPプロキシからSIPリクエストを受信することと、
前記SIPリクエストがTLS(Transport Layer Security;トランスポート層セキュリティ)を介して受信されたかどうかを判断することとを有し、
前記SIPリクエストがTLSを介して受信された場合には、
前記第1のSIPプロキシへ証明書(certificate)をリクエストすること、
前記証明書を受信すること、
前記証明書および前記第1のSIPプロキシのネットワークの信頼性を検証すること、
前記証明書および前記ネットワークの信頼性が検証された場合に、アイデンティティ情報を保持することを含み、
TLSがサポートされていない場合、または前記証明書が検証されない場合、あるいは前記ネットワークの信頼性が検証されない場合には、前記アイデンティティ情報を取り除くことを含み、
さらに前記SIPリクエストに応答することを有する、
方法。 - 通信装置であって、
次のSIP(Session Initiation Protocol;セッション開始プロトコル)プロキシへのホップにTLS(Transport Layer Security;トランスポート層セキュリティ)接続を確立する確立手段と、
TLSが前記次のSIPプロキシへの前記ホップにおいてサポートされているかどうかを判断する判断手段と、
前記次のSIPプロキシへ証明書(certificate)をリクエストするためのリクエスト手段と、
前記証明書を受信する受信手段と、
前記証明書および前記次のSIPプロキシのネットワークの信頼性を検証する検証手段と、
前記TLS接続を通じて前記SIPリクエストを転送する転送手段とを備え、
前記通信装置は、前記証明書が検証され、前記ネットワークの信頼性が検証され、およびTLSがサポートされている場合はアイデンティティ情報を保持するように構成され、TLSがサポートされていない場合もしくは前記証明書が検証されない場合または前記ネットワークの信頼性が検証されていない場合は前記アイデンティティ情報を取り除くように構成される、通信装置。 - 通信システムであって、
次のSIP(Session Initiation Protocol;セッション開始プロトコル)プロキシへのホップにTLS(Transport Layer Security;トランスポート層セキュリティ)接続を確立するように構成された、TLS接続確立装置と、
前記次のSIPプロキシへの前記ホップにおいてTLSがサポートされているかどうかを判断するように構成された、TLSサポートアナライザと、
前記次のSIPプロキシへ証明書(certificate)をリクエストし、前記証明書を受信し、前記証明書および前記次のSIPプロキシのネットワークの信頼性を検証するように構成された、検証モジュールと、
前記TLS接続を通じて前記SIPリクエストを転送するように構成された、SIPリクエストハンドラとを備え、
前記通信システムは、前記証明書が検証され、前記ネットワークの信頼性が検証され、およびTLSがサポートされている場合はアイデンティティ情報を保持するように構成され、TLSがサポートされていない場合や前記証明書が検証されていない場合、または前記ネットワークの信頼性が検証されていない場合は前記アイデンティティ情報を取り除くように構成される、通信システム。 - SIP(Session Initiation Protocol;セッション開始プロトコル)プロキシのデータ処理装置に、請求項1に記載の方法を実行させる、プログラム。
- SIP(Session Initiation Protocol;セッション開始プロトコル)プロキシのデータ処理装置に、請求項2に記載の方法を実行させる、プログラム。
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US56776004P | 2004-05-03 | 2004-05-03 |
Related Parent Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2007512547A Division JP4806400B2 (ja) | 2004-05-03 | 2005-04-29 | Ipネットワークの信頼できるドメインにおけるアイデンティティの処理 |
Publications (1)
Publication Number | Publication Date |
---|---|
JP2010081636A true JP2010081636A (ja) | 2010-04-08 |
Family
ID=35242008
Family Applications (2)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2007512547A Active JP4806400B2 (ja) | 2004-05-03 | 2005-04-29 | Ipネットワークの信頼できるドメインにおけるアイデンティティの処理 |
JP2009266008A Withdrawn JP2010081636A (ja) | 2004-05-03 | 2009-11-24 | Ipネットワークの信頼できるドメインにおけるアイデンティティの処理 |
Family Applications Before (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2007512547A Active JP4806400B2 (ja) | 2004-05-03 | 2005-04-29 | Ipネットワークの信頼できるドメインにおけるアイデンティティの処理 |
Country Status (8)
Country | Link |
---|---|
US (1) | US8045540B2 (ja) |
EP (1) | EP1743449B1 (ja) |
JP (2) | JP4806400B2 (ja) |
KR (1) | KR100884314B1 (ja) |
CN (1) | CN1951061A (ja) |
PL (1) | PL1743449T3 (ja) |
TW (1) | TWI295135B (ja) |
WO (1) | WO2005107145A1 (ja) |
Families Citing this family (30)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20060230279A1 (en) * | 2005-03-30 | 2006-10-12 | Morris Robert P | Methods, systems, and computer program products for establishing trusted access to a communication network |
US20060230278A1 (en) * | 2005-03-30 | 2006-10-12 | Morris Robert P | Methods,systems, and computer program products for determining a trust indication associated with access to a communication network |
US20060268851A1 (en) * | 2005-05-10 | 2006-11-30 | International Business Machines Corporation | Method and apparatus for address resolution protocol persistent in a network data processing system |
US20060265737A1 (en) * | 2005-05-23 | 2006-11-23 | Morris Robert P | Methods, systems, and computer program products for providing trusted access to a communicaiton network based on location |
EP1920392A4 (en) * | 2005-08-31 | 2014-08-06 | Ericsson Telefon Ab L M | IMS NODE, INFORMATION NODE, USER NODE, ACCESS CONTROL SYSTEM, TRANSMISSION METHOD BETWEEN USER NODE AND INFORMATION NODE, METHOD OF COMMUNICATING WITH IMS NODE |
US8595814B2 (en) * | 2005-12-13 | 2013-11-26 | Google Inc. | TLS encryption in a managed e-mail service environment |
EP1964350B1 (en) * | 2005-12-22 | 2013-02-13 | Telecom Italia S.p.A. | Multi-vendor ims architecture |
US20070186101A1 (en) * | 2006-02-06 | 2007-08-09 | Nokia Corporation | Trust concept for the SIP reason header |
US9419955B2 (en) * | 2006-03-28 | 2016-08-16 | Inventergy Inc. | System and method for carrying trusted network provided access network information in session initiation protocol |
ES2393943T3 (es) * | 2006-05-02 | 2013-01-02 | Research In Motion Limited | Aparato y método para generar y transmitir un identificador de encaminamiento anónimo para mantener la privacidad de la identidad de un agente de usuario de sip |
CN101242426B (zh) * | 2007-02-06 | 2010-12-08 | 华为技术有限公司 | 建立传输层安全连接的方法、系统及装置 |
US8725874B2 (en) * | 2007-09-27 | 2014-05-13 | International Business Machines Corporation | Dynamic determination of an ideal client-server for a collaborative application network |
US20090126001A1 (en) * | 2007-11-08 | 2009-05-14 | Microsoft Corporation | Techniques to manage security certificates |
EP2068565A1 (fr) * | 2007-12-07 | 2009-06-10 | Gemplus | Module d'identité d'abonné et serveur de diffusion associé, adaptés pour gérer des programmes d'une durée non déterminée |
US8468366B2 (en) | 2008-03-24 | 2013-06-18 | Qualcomm Incorporated | Method for securely storing a programmable identifier in a communication station |
CN102448064B (zh) * | 2008-04-11 | 2015-09-16 | 艾利森电话股份有限公司 | 通过非3gpp接入网的接入 |
CN104394146B (zh) * | 2009-04-13 | 2017-10-20 | 黑莓有限公司 | 用于确定sip消息的可信度的系统和方法 |
US9590990B2 (en) * | 2009-05-11 | 2017-03-07 | International Business Machines Corporation | Assigning user requests of different types or protocols to a user by trust association interceptors |
TW201138494A (en) * | 2009-10-23 | 2011-11-01 | Interdigital Patent Holdings | Protection against unsolicited communication |
TWI548259B (zh) * | 2009-12-22 | 2016-09-01 | 群邁通訊股份有限公司 | 隱私通話系統及方法 |
CN103262494B (zh) * | 2010-04-15 | 2016-07-06 | 谷歌技术控股有限责任公司 | 对基于白名单的在线安全设备供应框架的跨域身份管理的方法和系统 |
CN102006294B (zh) * | 2010-11-25 | 2014-08-20 | 中兴通讯股份有限公司 | Ims多媒体通信方法和系统、终端及ims核心网 |
US20130121322A1 (en) * | 2011-11-10 | 2013-05-16 | Motorola Mobility, Inc. | Method for establishing data connectivity between a wireless communication device and a core network over an ip access network, wireless communication device and communicatin system |
US9686284B2 (en) * | 2013-03-07 | 2017-06-20 | T-Mobile Usa, Inc. | Extending and re-using an IP multimedia subsystem (IMS) |
US9992183B2 (en) | 2013-03-15 | 2018-06-05 | T-Mobile Usa, Inc. | Using an IP multimedia subsystem for HTTP session authentication |
CN206310556U (zh) * | 2016-12-15 | 2017-07-07 | 广东美的厨房电器制造有限公司 | 转盘组件及烹饪装置 |
US10715996B1 (en) | 2019-06-06 | 2020-07-14 | T-Mobile Usa, Inc. | Transparent provisioning of a third-party service for a user device on a telecommunications network |
CN110311921B (zh) * | 2019-07-11 | 2022-02-25 | 南方电网科学研究院有限责任公司 | 一种配电终端加解密方法、系统、设备及计算机存储介质 |
CN110958226A (zh) * | 2019-11-14 | 2020-04-03 | 广州江南科友科技股份有限公司 | 一种基于tls的密码设备访问控制方法 |
CN117581508A (zh) * | 2022-05-13 | 2024-02-20 | 北京小米移动软件有限公司 | 认证方法、装置、通信设备及存储介质 |
Family Cites Families (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
BR0113510A (pt) * | 2000-08-25 | 2003-07-01 | Research In Motion Ltd | Sistema e método para implementar um protocolo de segurança de camada de transporte aprimorado |
US6865681B2 (en) * | 2000-12-29 | 2005-03-08 | Nokia Mobile Phones Ltd. | VoIP terminal security module, SIP stack with security manager, system and security methods |
US7240366B2 (en) * | 2002-05-17 | 2007-07-03 | Microsoft Corporation | End-to-end authentication of session initiation protocol messages using certificates |
GB0216000D0 (en) * | 2002-07-10 | 2002-08-21 | Nokia Corp | A method for setting up a security association |
-
2005
- 2005-04-29 CN CNA2005800141314A patent/CN1951061A/zh active Pending
- 2005-04-29 WO PCT/IB2005/001168 patent/WO2005107145A1/en active Application Filing
- 2005-04-29 JP JP2007512547A patent/JP4806400B2/ja active Active
- 2005-04-29 PL PL05740449T patent/PL1743449T3/pl unknown
- 2005-04-29 KR KR1020067025272A patent/KR100884314B1/ko active IP Right Grant
- 2005-04-29 EP EP05740449.3A patent/EP1743449B1/en active Active
- 2005-05-03 TW TW094114163A patent/TWI295135B/zh active
- 2005-05-03 US US11/120,206 patent/US8045540B2/en active Active
-
2009
- 2009-11-24 JP JP2009266008A patent/JP2010081636A/ja not_active Withdrawn
Also Published As
Publication number | Publication date |
---|---|
US20050249219A1 (en) | 2005-11-10 |
KR20070006933A (ko) | 2007-01-11 |
PL1743449T3 (pl) | 2013-12-31 |
CN1951061A (zh) | 2007-04-18 |
EP1743449A1 (en) | 2007-01-17 |
JP2007538426A (ja) | 2007-12-27 |
EP1743449B1 (en) | 2013-08-14 |
JP4806400B2 (ja) | 2011-11-02 |
US8045540B2 (en) | 2011-10-25 |
TW200620949A (en) | 2006-06-16 |
KR100884314B1 (ko) | 2009-02-18 |
WO2005107145A1 (en) | 2005-11-10 |
TWI295135B (en) | 2008-03-21 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP4806400B2 (ja) | Ipネットワークの信頼できるドメインにおけるアイデンティティの処理 | |
JP2007538426A5 (ja) | ||
Hautakorpi et al. | Requirements from Session Initiation Protocol (SIP) Session Border Control (SBC) Deployments | |
US8544080B2 (en) | Mobile virtual private networks | |
KR101280281B1 (ko) | 일련의 경계 게이트웨이들을 통하는 ip 멀티미디어 베어러 경로 최적화를 위한 개선된 방법 및 시스템 | |
US7574735B2 (en) | Method and network element for providing secure access to a packet data network | |
CN102217270B (zh) | 使用认证令牌来授权防火墙打开针孔 | |
KR20060090291A (ko) | Ip 어드레스 바인딩들에 기초한 멀티미디어 트래픽의필터링 방법 및 시스템 | |
KR20100032412A (ko) | 대체 종단 대 종단 미디어 경로를 식별하는 방법 및 시스템 | |
KR100928247B1 (ko) | 통신 네트워크들 간의 보안 통신을 제공하기 위한 방법 및시스템 | |
US20130219474A1 (en) | Method and system for providing service access to a user | |
Keromytis | Voice over IP: Risks, threats and vulnerabilities | |
Rasol et al. | An improved secure SIP registration mechanism to avoid VoIP threats | |
US20090327721A1 (en) | Method and Apparatuses for Securing Communications Between a User Terminal and a SIP Proxy Using IPSEC Security Association | |
US11218515B2 (en) | Media protection within the core network of an IMS network | |
JP2008187686A (ja) | トンネル通信システム、制御装置およびトンネル通信装置 | |
Sher et al. | Secure Service Provisioning Framework (SSPF) for IP Multimedia System and Next Generation Mobile Networks | |
Sher et al. | Development of IMS privacy & security management framework for Fokus open IMS testbed | |
Sher et al. | IMS—A Secure Architecture for All IP Networks | |
Singhai et al. | VoIP Security | |
Bhupathiraju | Security aspects in voice over IP systems | |
Packet et al. | Internet Engineering Task Force (IETF) J. Hautakorpi, Ed. Request for Comments: 5853 G. Camarillo Category: Informational Ericsson | |
Sisalem et al. | Authentication and Authorisation for Integrated SIP Services in Heterogeneous Environments. | |
Kong | Security system for passive IP devices on SIP-based networks | |
Egger et al. | Safe Call |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A761 | Written withdrawal of application |
Free format text: JAPANESE INTERMEDIATE CODE: A761 Effective date: 20110812 |