WO2011022999A1 - 一种终端对视频会议数据进行加密的方法及系统 - Google Patents

一种终端对视频会议数据进行加密的方法及系统 Download PDF

Info

Publication number
WO2011022999A1
WO2011022999A1 PCT/CN2010/072870 CN2010072870W WO2011022999A1 WO 2011022999 A1 WO2011022999 A1 WO 2011022999A1 CN 2010072870 W CN2010072870 W CN 2010072870W WO 2011022999 A1 WO2011022999 A1 WO 2011022999A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
video conference
conference server
authentication
negotiation
Prior art date
Application number
PCT/CN2010/072870
Other languages
English (en)
French (fr)
Inventor
周煜申
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2011022999A1 publication Critical patent/WO2011022999A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN

Definitions

  • the present invention relates to video conferencing technologies in the field of communications, and in particular, to a method and system for encrypting video conference data based on an IP multimedia system (IMS).
  • IMS IP multimedia system
  • the IMS video conference is a centralized conference and requires the IMS core network to provide application server support.
  • the service-type call session control function (S-CSCF) provided by the IMS core network is used for session initiation protocol (SIP) negotiation in the conference service.
  • SIP session initiation protocol
  • the Media Resource Control Function (MRFC) entity and Media Resource Processing Function (MRFP) entity provided by the IMS core network is used to handle the processing and switching of various media streams and the floor.
  • the conference policy server provided by the IMS core network is used to manage the loading user. Meeting strategy developed by the operator. IMS video conferencing uses SIP on the control plane.
  • the 3rd Generation Partnership Project (3GPP) and the Internet Engineering Task Force (IETF) provide multiple authentication and security methods for the transmission of SIP signaling, ensuring control planes.
  • the security of the transmitted information is encrypted.
  • the data of the IMS video conference has not been encrypted in the prior art, that is, the security of the information transmitted on the user plane is not guaranteed.
  • the video The audio data and video data in the conference will be leaked, and because the IMS belongs to the IP network, if the malicious user catches the entire network on the IP network, the data of the video conference can be easily obtained. It can be seen that the security of existing video conference data is not guaranteed. Summary of the invention
  • the main purpose of the present invention is to provide a method and system for encrypting video conference data by a terminal, which can encrypt data of a video conference.
  • the present invention provides a method for encrypting video conference data by a terminal.
  • the method includes: the terminal generates a network authentication token (AUTN) during authentication with the video conference server. After the authentication succeeds, the video conference server is in the process.
  • the media format negotiation request sent by the terminal carries a random password (RAND);
  • the terminal combines AUTN and RAND to calculate the encryption key, and then negotiates with the video conference server for the encryption key and the encryption algorithm. After the negotiation and unified, the two sides start the encrypted communication.
  • the authentication process of the terminal and the video conference server further includes: after the authentication fails, the terminal re-executes the authentication operation with the video conference server.
  • the method further includes:
  • the terminal re-executes the media format negotiation operation with the video conference server.
  • the process of authenticating the terminal and the video conference server is specifically: the terminal generates a user name required to participate in the video conference, and then initiates a registration request to the video conference server according to the user name, and the video conference server notifies the terminal that the terminal needs to perform the process.
  • the terminal performs the authentication operation to obtain the AUTN and saves it, and notifies the AUTN to the video conference service to cry.
  • the video conference server authenticates the received AUTN, and determines that the authentication is successful, and returns the determination information to the terminal.
  • the video conference server sends a media format negotiation request to the terminal, and the terminal calculates an encryption key, and performs a negotiation process between the encryption key and the encryption algorithm with the video conference server. Specifically:
  • the video conference server adds a key negotiation field and a supported encryption algorithm to the media format negotiation request for media format negotiation with the terminal;
  • the terminal combines the RAND carried in the media format negotiation request with the AUTN obtained in the authentication process to calculate an encryption key, and notifies the video conference server of the calculated value corresponding to the encryption key and the supported encryption algorithm;
  • the video conference server compares the calculated value corresponding to the encryption key with the value sent by the terminal, and notifies the terminal of the comparison result.
  • the present invention also provides a system for encrypting video conference data by a terminal, the system comprising: a terminal and a video conference server;
  • the terminal is configured to perform an authentication operation with the video conference server, and generate an AUTN in the authentication process; determine, after the authentication, perform a media format negotiation operation between the user and the video conference server, and combine the AUTN and the video.
  • the RAND sent by the conference server calculates the encryption key; negotiates with the video conference server for the encryption key and the encryption algorithm, determines the unified communication, and performs the encrypted communication between itself and the video conference server;
  • the video conference server is configured to perform an authentication operation with the terminal.
  • the terminal determines that the media format negotiation operation between the terminal and the terminal is performed, and the media format negotiation request carrying the RAND is sent to the terminal;
  • the negotiation of the key and the encryption algorithm determines the encrypted communication with the terminal after the negotiation is unified.
  • the terminal is further configured to: after determining that the authentication is not passed, re-execute the authentication operation with the video conference server; correspondingly,
  • the video conference server is further configured to: after determining that the terminal fails to pass the authentication, re-execute the authentication operation with the terminal.
  • the terminal is further configured to: when determining that the encryption key negotiation with the video conference server is not uniform, re-execute the media format negotiation operation with the video conference server;
  • the video conference server is further configured to re-execute the media format negotiation operation with the terminal when the encryption key negotiation with the terminal is not uniform.
  • the terminal performs an authentication operation with the video conference server, and generates an AUTN in the authentication process, specifically:
  • the user name required for participating in the video conference is generated, and then the registration request is initiated to the video conference server.
  • the authentication operation is performed, the AUTN is saved, and the AUTN is notified to the video conference server.
  • the terminal generates an AUTN in the process of authenticating with the video conference server.
  • the video conference server carries the RAND in the media format negotiation request sent to the terminal.
  • the terminal calculates the encryption key in combination with AUTN and RAND, and then negotiates with the video conference server for the encryption key and the encryption algorithm, and then performs the encrypted communication between the two parties after negotiation and unification.
  • the invention can encrypt the data of the video conference and ensure the confidentiality transmission of the video conference data. Since the user name registered by each terminal in the video conference is different, the encryption key generated by each terminal is different, and the terminal communicates with the server. In the process of effectively preventing third party eavesdropping.
  • FIG. 1 is a schematic flowchart of a method for encrypting video conference data by a terminal according to the present invention
  • FIG. 2 is a schematic flowchart of a specific embodiment of the present invention
  • FIG. 3 is a schematic structural diagram of a system for encrypting video conference data by a terminal according to the present invention. detailed description
  • the terminal generates an AUTN in the process of authenticating with the video conference server. After the authentication succeeds, the video conference server carries the RAND in the media format negotiation request sent to the terminal, and the terminal calculates the encryption by combining the AUTN and the RAND. The key is then negotiated with the video conference server for the encryption key and the encryption algorithm. After the negotiation is unified, the addition of both parties begins. Confidential communication.
  • the terminal re-executes the authentication operation with the video conference server. Further, if the encryption key negotiation between the terminal and the video conference server is not uniform, the terminal re-executes the media format negotiation operation with the video conference server.
  • FIG. 1 is a schematic flowchart of a method for encrypting video conference data by a terminal according to the present invention. As shown in FIG. 1 , the process includes the following steps:
  • Step 101 The terminal generates an AUTN in the process of authenticating with the video conference server;
  • Step 102 After the authentication succeeds, the video conference server carries the RAND in the media format negotiation request sent to the terminal;
  • Step 103 The terminal calculates an encryption key by combining AUTN and RAND;
  • Step 104 The terminal and the video conference server perform the negotiation of the encryption key and the encryption algorithm, and after the negotiation is unified, the encrypted communication between the two parties begins.
  • FIG. 2 is a schematic flowchart of a specific embodiment of the present invention. As shown in FIG. 2, the process includes the following steps:
  • Step 201 The terminal generates a username required to participate in the video conference.
  • the terminal sends a request message to its internal User Identity Module (SIM) to request an International Mobile Subscriber Identity (IMSI).
  • SIM User Identity Module
  • IMSI International Mobile Subscriber Identity
  • the terminal organizes the IMSI into an imsi@imsi.ctcims format.
  • the universal resource identifier (URI) of .cn the terminal defines the URI as its own username, as the terminal identifier for the terminal to interact with the video conference server.
  • Step 202 The terminal initiates a registration request to the video conference server according to the generated username, and the video conference server notifies the terminal that authentication is required.
  • the terminal initiates a registration request to the video conference server according to the generated user name, and the video conference server returns a reply request message to the terminal after receiving the registration request, and the message carries the code 401, and the terminal that informs the corresponding user name needs to be authenticated.
  • the terminal is notified of the authentication information.
  • the authentication information may include: a name, an IP address, and the like of the video conference server, and is used by the subsequent terminal to perform an authentication operation.
  • Step 203 The terminal performs an authentication operation to obtain an AUTN, saves the AUTN, and notifies the AUTN to the video conference server.
  • the terminal sends a request message to its internal SIM, requesting to obtain the electronic serial number (ESN) of the SIM, and after receiving the ESN returned by the SIM, the terminal uses the Digest mechanism to perform the ESN, the name and IP address of the video conference server, and the like.
  • the terminal calculates a response value of 128 bits, and the terminal defines the response value as AUTN.
  • the terminal saves the AUTN and notifies the AUTN to the video conference server.
  • the AUTN is different from the AUTN involved in the IMS video conference control plane, and the AUTN on the control plane is a 128-bit value generated by the network authentication center when the IMS network is registered, and is uniquely changed after each registration of the terminal. Unless the terminal exits the meeting or logs out.
  • the present invention combines the characteristics of the AUTN on the control plane, and considers that the terminal can participate in the video conference only after the authentication succeeds. Therefore, the response generated in the terminal authentication is defined as AUTN, which is also 128 bits.
  • Step 204 The video conference server authenticates the received AUTN, and after the authentication succeeds, returns the determination information to the terminal.
  • the video conference server authenticates the AUTN sent by the terminal, and if it is equal to the AUTN calculated by itself, it indicates that the authentication is successful, and the message carrying the code 200 OK is sent to the terminal to notify the terminal that the authentication is successful.
  • the video conference server calculates the AUTN according to the password information of the SIM in the terminal and the AK algorithm.
  • the password information of the SIM is stored in the video conference server before the SIM is put into the network, and the process of calculating the AUTN by the video conference server is There are technologies.
  • the message carrying the code 403 is sent to the terminal, indicating that the terminal is not connected. After the authentication, the authentication process fails, and it is necessary to return to step 101 to re-execute the authentication operation.
  • Step 205 The video conference server requests media format negotiation with the terminal, and adds a key negotiation field and a supported encryption algorithm to the request.
  • the video conference server sends an Invite message to the terminal to invite the terminal to join the video conference, and requests the terminal to start media format negotiation with the video conference server, and uses the Session Description Protocol (SDP) as the negotiation mechanism to add the SEC to the SDP media line m.
  • SDP Session Description Protocol
  • SEC indicates that the encryption key needs to be negotiated.
  • 0 indicates that the video conference server sends a negotiation message carrying m to the terminal.
  • 1 indicates that the terminal will carry m.
  • the negotiation message is sent to the video conference server
  • DES ⁇ IDEA ⁇ RC2 ⁇ RC4 ⁇ RC5 indicates different encryption algorithm types
  • RAND indicates that the negotiation message is a random password.
  • DES DEA ⁇ RC2 ⁇ RC4 ⁇ RC5 in m indicates that the video conferencing server supports DES, IDEA, RC2, RC4, and RC5 encryption algorithms for subsequent negotiation with the terminal.
  • Step 206 After receiving the request, the terminal performs media format negotiation, and calculates an encryption key by combining the RAND and the AUTN in the m carried in the request.
  • the terminal performs the media format negotiation, and takes out the RAND in the m, and then the terminal sends an Authentication request message to the internal SIM, and the request message carries the RAND and the previously stored AUTN, and the SIM combines RAND and AUTN to calculate by using the AKA algorithm.
  • the CK is the required encryption key.
  • Step 207 The terminal notifies the video conference server of the calculated value corresponding to the encryption key and the supported encryption algorithm.
  • the conference server completes the negotiation of the encryption algorithm, and the DES encryption algorithm is used for encryption.
  • the encryption algorithm supported by the terminal is the same as one of several encryption algorithms supported by the video conference server in step 105, that is, the terminal negotiates with the server to obtain the same encryption algorithm; replaces the RES with the m sent by the video conference server. RAND in the middle, used for subsequent negotiation of the key.
  • the purpose of not directly notifying the CK to the video conference server is: the information transmission between the terminal and the video conference server is transmitted in plaintext. If the information is stolen, the encryption key CK carried in the information is leaked, and the confidentiality of the key is not Guarantee.
  • Step 208 The video conference server compares the calculated value corresponding to the encryption key with the value sent by the terminal, and notifies the terminal of the comparison result;
  • the video conference server compares the RES, or IK calculated by the AK and AUTN using the AKA algorithm with the RES, or IK calculated by the received terminal, because the RES, or IK and the encryption key exist-correspondence If the RES, or IK of the two are unified, it is proved that the video conference server and the terminal have the same encryption key, and the video conference server sends an ACK message to the terminal to notify the terminal that the encryption key negotiation is unified, and the encrypted communication can be started; If the RES, or IK of the two are not uniform, it is proved that the encryption key of the video conference server and the terminal is different, and the video conference server sends a NACK message to the terminal to notify the terminal that the encryption key is not uniform, and needs to return to step 105 to restart. Perform the media format negotiation process.
  • the reason that the terminal and the RES, or IK of the video conference server are not unified may be:
  • the terminal is maliciously tampering in the process of sending the message containing the RES, or IK to the video conference server.
  • Step 209 After receiving the unified comparison result, the terminal performs encrypted communication with the video conference server.
  • the terminal encrypts local video data, audio data, and the like by using an encryption key and an encryption algorithm determined by negotiation, and the encrypted data is packaged by using a real-time transport protocol (RTP) and sent to a video conference server;
  • RTP real-time transport protocol
  • FIG. 3 is a schematic structural diagram of a system for encrypting video conference data by a terminal according to the present invention. As shown in FIG. 3, the system includes: a terminal and a video conference server;
  • the terminal is configured to perform an authentication operation with the video conference server, and generate an AUTN in the authentication process; determine, after the authentication, perform a media format negotiation operation between the user and the video conference server, and combine the AUTN and the video.
  • the RAND sent by the conference server calculates the encryption key; negotiates with the video conference server for the encryption key and the encryption algorithm, determines the unified communication, and performs the encrypted communication between itself and the video conference server;
  • the video conference server is configured to perform an authentication operation with the terminal.
  • the terminal determines that the media format negotiation operation between the terminal and the terminal is performed, and the media format negotiation request carrying the RAND is sent to the terminal;
  • the negotiation of the key and the encryption algorithm determines the encrypted communication with the terminal after the negotiation is unified.
  • the terminal performs an authentication operation with the video conference server, and generates an AUTN in the authentication process, specifically:
  • the user name required for participating in the video conference is generated, and then the registration request is initiated to the video conference server.
  • the authentication operation is performed, the AUTN is saved, and the AUTN is notified to the video conference server.
  • the terminal is further configured to: after the authentication is not passed, re-execute the authentication operation with the video conference server; correspondingly,
  • the video conference server is further configured to: re-execute after the terminal fails to pass the authentication Authentication operation with the terminal.
  • the terminal is further configured to: when determining that the encryption key negotiation with the video conference server is not uniform, re-execute the media format negotiation operation with the video conference server; correspondingly,
  • the video conference server is further configured to re-execute the media format negotiation operation with the terminal when the encryption key negotiation with the terminal is not uniform.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Telephonic Communication Services (AREA)
  • Two-Way Televisions, Distribution Of Moving Picture Or The Like (AREA)

Description

一种终端对视频^ i义数据进行加密的方法及系统 技术领域
本发明涉及通信领域中的视频会议技术， 尤其涉及一种终端对基于 IP 多媒体系统 ( IMS ) 的视频会议数据进行加密的方法及系统。 背景技术
随着通信网络的发展， 第三代数字通信 （3G ) 系统逐渐向长期演进 ( LTE ) 系统靠拢， 因此， 移动运营商需要引入 IMS域的构架对现有的通 信业务进行控制， 基于 IMS的视频会议则是其中的一种业务。
目前， 3G终端已达到了接入 IMS视频会议的能力， 而且多个运营商也 在大力发展基于 IMS的视频会议。 IMS视频会议是集中型会议， 需要 IMS 核心网提供应用服务器支持， 如： IMS 核心网提供的业务型呼叫会话控制 功能（S-CSCF ) 实体用于会议业务中会话初始化协议（SIP )的协商， IMS 核心网提供的媒体资源控制功能 （MRFC ) 实体和媒体资源处理功能 ( MRFP )实体用于处理各种媒体流的处理和切换以及发言权， IMS核心网 提供的会议策略服务器用于管理加载用户和运营商制订的会议策略。 IMS 视频会议在控制面上釆用 SIP, 第三代合作伙伴计划 （3GPP )和互联网工 程任务组（IETF )对 SIP信令的传输规定了多种鉴权、 保证安全的方法， 确保了控制面上所传输信息的安全保密性， 但现有技术中还未对 IMS视频 会议的数据进行加密， 即： 用户面上所传输信息的安全性没有保证， 对于 非法接入视频会议系统的终端， 视频会议中的音频数据和视频数据等都会 泄露， 又因为 IMS属于 IP网络， 如果恶意用户在 IP网络上进行全网抓才艮， 视频会议的数据很容易被获取。 可见， 现有视频会议数据的安全性没有得 到保障。 发明内容
有鉴于此， 本发明的主要目的在于提供一种终端对视频会议数据进行 加密的方法及系统， 可实现对视频会议的数据进行加密。
为达到上述目的， 本发明的技术方案是这样实现的：
本发明提供了一种终端对视频会议数据进行加密的方法， 该方法包括： 终端在与视频会议服务器进行鉴权过程中产生网络认证令牌（ AUTN ), 鉴权成功后， 视频会议服务器在向终端发送的媒体格式协商请求中携带随 机口令（RAND );
终端结合 AUTN和 RAND计算得出加密密钥，之后与视频会议服务器 进行加密密钥及加密算法的协商， 协商统一后开始进行双方的加密通信。
其中， 所述终端与视频会议服务器鉴权过程中， 进一步包括： 鉴权失败后， 终端重新执行与视频会议服务器间的鉴权操作。
进一步地， 所述终端与视频会议服务器进行加密密钥及加密算法协商 的过程中， 还包括：
如果终端与视频会议服务器的加密密钥协商不统一， 则终端重新执行 与视频会议服务器间的媒体格式协商操作。
上述方案中， 所述终端与视频会议服务器进行鉴权的过程， 具体为： 终端生成参加视频会议所需的用户名， 之后根据用户名向视频会议服 务器发起注册请求， 视频会议服务器通知终端需进行鉴权；
终端进行鉴权运算得到 AUTN后保存， 并将 AUTN通知视频会议服务 哭.
口 ？
视频会议服务器对收到的 AUTN进行鉴权， 确定鉴权成功时， 将确定 信息返回给终端。
进一步地， 所述视频会议服务器向终端发送媒体格式协商请求， 终端 计算加密密钥， 并与视频会议服务器进行加密密钥及加密算法的协商过程， 具体为：
视频会议服务器在与终端进行媒体格式协商的媒体格式协商请求中加 入密钥协商字段和支持的加密算法；
终端结合媒体格式协商请求中携带的 RAND 与鉴权过程中得到的 AUTN计算加密密钥， 并将计算所得的与加密密钥对应的值及所支持的加 密算法通知视频会议服务器；
视频会议服务器将计算所得的与加密密钥对应的值与终端所发的值作 比较， 并将比较结果通知终端。
本发明还提供了一种终端对视频会议数据进行加密的系统， 该系统包 括： 终端和视频会议服务器； 其中，
所述终端， 用于执行与视频会议服务器间的鉴权操作， 并在鉴权过程 中产生 AUTN; 确定通过鉴权后， 执行自身与视频会议服务器间的媒体格 式协商操作， 并结合 AUTN及视频会议服务器所发的 RAND计算得出加密 密钥； 与视频会议服务器进行加密密钥及加密算法的协商， 确定协商统一 后进行自身与视频会议服务器间的加密通信；
所述视频会议服务器， 用于执行与终端间的鉴权操作； 确定终端通过 鉴权后执行与终端间的媒体格式协商操作， 将携带 RAND的媒体格式协商 请求发送到终端； 与终端进行加密密钥及加密算法的协商， 确定协商统一 后进行与终端间的加密通信。
其中， 所述终端， 进一步用于确定未通过鉴权后， 重新执行与视频会 议服务器间的鉴权操作； 相应的，
所述视频会议服务器， 进一步用于确定终端未通过鉴权后， 重新执行 与终端间的鉴权操作。
其中， 所述终端， 进一步用于确定与视频会议服务器的加密密钥协商 不统一时， 重新执行与视频会议服务器间的媒体格式协商操作； 相应的， 所述视频会议服务器， 进一步用于确定与终端的加密密钥协商不统一 时， 重新执行与终端间的媒体格式协商操作。
上述方案中， 所述终端执行与视频会议服务器间的鉴权操作， 并在鉴 权过程中产生 AUTN , 具体为：
生成参加视频会议所需的用户名， 之后向视频会议服务器发起注册请 求， 收到视频会议服务器的鉴权通知后进行鉴权运算，得到 AUTN后保存， 并将 AUTN通知视频会议服务器。
本发明提供的终端对视频会议数据进行加密的方法及系统， 终端在与 视频会议服务器鉴权过程中产生 AUTN, 鉴权成功后， 视频会议服务器在 向终端发送的媒体格式协商请求中携带 RAND , 终端结合 AUTN和 RAND 计算得出加密密钥， 之后与视频会议服务器进行加密密钥及加密算法的协 商， 协商统一后开始进行双方的加密通信。 本发明可实现对视频会议的数 据进行加密， 确保视频会议数据的保密性传输， 由于视频会议中每个终端 注册的用户名不同， 因此每个终端生成的加密密钥不同， 在终端与服务器 通信的过程中， 有效防止第三方窃听。 附图说明
图 1为本发明终端对视频会议数据进行加密的方法实现流程示意图； 图 2为本发明一具体实施例的流程示意图；
图 3为本发明终端对视频会议数据进行加密的系统结构示意图。 具体实施方式
本发明的基本思想是： 终端在与视频会议服务器鉴权过程中产生 AUTN, 鉴权成功后，视频会议服务器在向终端发送的媒体格式协商请求中 携带 RAND , 终端结合 AUTN和 RAND计算得出加密密钥， 之后与视频会 议服务器进行加密密钥及加密算法的协商， 协商统一后开始进行双方的加 密通信。
其中， 如果鉴权失败， 终端重新执行与视频会议服务器间的鉴权操作。 进一步地， 如果终端与视频会议服务器的加密密钥协商不统一， 则终 端重新执行与视频会议服务器间的媒体格式协商操作。
下面结合附图及具体实施例对本发明作进一步详细说明。
图 1 为本发明终端对视频会议数据进行加密的方法实现流程示意图， 如图 1所示， 该流程包括以下步骤：
步骤 101 : 终端在与视频会议服务器鉴权过程中产生 AUTN;
步骤 102: 鉴权成功后， 视频会议服务器在向终端发送的媒体格式协商 请求中携带 RAND;
步骤 103: 终端结合 AUTN和 RAND计算得出加密密钥；
步骤 104: 终端与视频会议服务器进行加密密钥及加密算法的协商， 协 商统一后开始进行双方的加密通信。
图 2为本发明一具体实施例的流程示意图， 如图 2所示， 该流程包括 以下步骤：
步骤 201 : 终端生成参加视频会议所需的用户名；
具体为： 终端向其内部的用户身份识别模块（SIM )发送请求消息， 请 求获得国际移动用户识别码（ IMSI ),终端收到 SIM返回的 IMSI后 ,将 IMSI 组织成格式为 imsi@imsi.ctcims.cn的通用资源标志符 （URI ), 终端将 URI 定义为自身的用户名， 作为终端与视频会议服务器进行交互的终端标识。
步骤 202: 终端根据生成的用户名向视频会议服务器发起注册请求，视 频会议服务器通知终端需进行鉴权；
具体为： 终端根据已生成的用户名向视频会议服务器发起注册请求， 视频会议服务器收到注册请求后将回复请求消息返回给终端， 消息中携带 代码 401 ,通知相应用户名的终端需要鉴权，并将鉴权信息通知终端。这里， 所述鉴权信息可包括： 视频会议服务器的名称、 IP地址等， 用于后续终端 进行鉴权运算。
步骤 203: 终端进行鉴权运算得到 AUTN后保存， 并将 AUTN通知视 频会议服务器；
具体为： 终端向其内部的 SIM发送请求消息， 请求获得 SIM的电子序 列号 （ ESN ), 终端收到 SIM返回的 ESN后， 釆用 Digest机制对 ESN、 视 频会议服务器的名称和 IP地址等进行鉴权运算， 终端计算得到 128位的响 应值 response, 终端将该响应值 response定义为 AUTN, 终端保存 AUTN, 并将 AUTN通知视频会议服务器。
这里， 所述 AUTN与 IMS视频会议控制面所涉及的 AUTN不同 ,控制 面上的 AUTN是在 IMS网络注册时由网络认证中心产生的 128位数值， 在 终端每次注册后是唯一不变的， 除非终端退出会议或注销。 本发明结合控 制面上的 AUTN的特点， 考虑到终端只有鉴权成功后才能参与到视频会议 中， 因此这里将终端鉴权中产生的 response定义为 AUTN, 恰好也为 128 位。
步骤 204: 视频会议服务器对收到的 AUTN进行鉴权， 鉴权成功后， 将确定信息返回给终端；
具体为： 视频会议服务器对终端所发的 AUTN进行鉴权， 如果和自身 计算所得的 AUTN相等， 则表明鉴权成功， 将携带代码 200 OK的消息发 送到终端， 通知终端鉴权成功。 这里， 视频会议服务器根据自身存储的终 端中 SIM的密码信息并运用 AK算法计算得到 AUTN, SIM的密码信息在 SIM入网前已存储在视频会议服务器内， 所述视频会议服务器计算 AUTN 的过程为现有技术。
进一步地， 如果视频会议服务器自身计算所得的 AUTN与终端计算所 得的 AUTN不相等， 则将携带代码 403的消息发送到终端， 说明终端未通 过鉴权， 鉴权过程失败， 需返回步骤 101重新执行鉴权操作。
步骤 205: 视频会议服务器请求与终端进行媒体格式协商， 在请求中加 入密钥协商字段和支持的加密算法；
具体为： 视频会议服务器向终端发送 Invite 消息邀请终端加入视频会 议， 并要求终端开始与视频会议服务器进行媒体格式协商， 釆用会话描述 协议（SDP ) 为协商机制， 在 SDP媒体行 m中加入 SEC类型字段， 表示 需要进行加密密钥协商， 并列出所支持的加密算法， 得到 m=SEC 0 DESM DEA\RC2\RC4\RC5 RAND。
这里，所述 SDP媒体行 m用于协商音频、视频编解码格式等具体参数， m=<媒体 ><端口〉〈传送 ><格式列表〉， 本发明对媒体行 m进行扩展， 定义为 m=SEC 0 DES\IDEA\RC2\RC4\RC5 RAND增加了 SEC类型字段， SEC表 示需要协商的是加密密钥， 0表示视频会议服务器将携带 m的协商消息发 给终端， 1表示终端将携带 m的协商消息发给视频会议服务器， DES\IDEA \RC2\RC4\RC5表示不同的加密算法类型， RAND表示协商消息传递的是随 机口令。
本步骤中， m中的 DES DEA\RC2\RC4\RC5表示视频会议服务器支持 DES、 IDEA, RC2、 RC4、 以及 RC5加密算法， 用于后续与终端进行加密 算法的协商。
步骤 206: 终端收到请求后进行媒体格式协商， 并结合请求中所携带的 m中的 RAND与 AUTN计算加密密钥；
具体为： 终端进行媒体格式协商， 并取出 m中的 RAND, 之后终端向 其内部的 SIM发送 Authentication请求消息， 请求消息中携带 RAND和之 前存储的 AUTN, SIM结合 RAND和 AUTN运用 AKA算法计算得出 RES、 CK和 IK三个值， 并将携带 RES、 CK和 IK的 Authentication Response消 息返回给终端。 其中， 所述 CK即为所需的加密密钥。 步骤 207:终端将计算所得的与加密密钥对应的值及所支持的加密算法 通知视频会议服务器；
具体为： 终端将计算所得的与加密密钥 CK对应的 RES及所支持的加 密算法， 如 DES通知视频会议服务器， 即： 将含有 m=SEC 1 DES RES的 携带代码 200 OK的消息发送到视频会议服务器， 则完成了加密算法的协 商， 后续将釆用 DES加密算法进行加密。
这里， 所述终端支持的加密算法与步骤 105 中视频会议服务器支持的 几种加密算法中的一种相同， 即： 终端与服务器协商得到相同的加密算法； 将 RES替换视频会议服务器所发的 m中的 RAND,用于后续对密钥的协商。
本发明中， 也可将计算所得的与 CK对应的 IK通知视频会议服务器， 即另 m=SEC 1 DES IK。 这里， 不直接将 CK通知视频会议服务器的目的在 于： 终端与视频会议服务器间信息传输为明文传输， 如果信息被窃取到， 信息中携带的加密密钥 CK就泄露了， 密钥的保密性没有保障。
步骤 208:视频会议服务器将计算所得的与加密密钥对应的值与终端所 发的值作比较， 并将比较结果通知终端；
具体为： 视频会议服务器将结合 RAND和 AUTN运用 AKA算法计算 所得的 RES、 或 IK与收到的终端计算所得的 RES、 或 IK进行比较， 由于 RES , 或 IK与加密密钥存在——对应关系， 如果两者的 RES、 或 IK统一， 则证明视频会议服务器与终端的加密密钥相同，视频会议服务器将 ACK消 息发送到终端， 以通知终端加密密钥协商统一， 可开始进行加密通信； 如 果两者的 RES、 或 IK不统一， 则证明视频会议服务器与终端的加密密钥不 相同， 视频会议服务器将 NACK消息发送到终端， 以通知终端加密密钥不 统一， 需返回步骤 105 , 重新开始执行媒体格式协商过程。
这里，所述终端与视频会议服务器的 RES、或 IK不统一的原因可能为： 终端将含有 RES, 或 IK的消息发给视频会议服务器的过程中被恶意篡改。 步骤 209:终端收到统一的比较结果后与视频会议服务器进行双方的加 密通信；
具体为： 终端利用协商确定的加密密钥和加密算法对本地视频数据、 音频数据等进行加密，将经加密的数据利用实时传送协议（ RTP )进行打包， 并发送给视频会议服务器； 对于视频会议服务器发来的数据， 终端将收到 的数据解密后进行播放。
图 3为本发明终端对视频会议数据进行加密的系统结构示意图，如图 3 所示， 该系统包括： 终端和视频会议服务器； 其中，
所述终端， 用于执行与视频会议服务器间的鉴权操作， 并在鉴权过程 中产生 AUTN; 确定通过鉴权后， 执行自身与视频会议服务器间的媒体格 式协商操作， 并结合 AUTN及视频会议服务器所发的 RAND计算得出加密 密钥； 与视频会议服务器进行加密密钥及加密算法的协商， 确定协商统一 后进行自身与视频会议服务器间的加密通信；
所述视频会议服务器， 用于执行与终端间的鉴权操作； 确定终端通过 鉴权后执行与终端间的媒体格式协商操作， 将携带 RAND的媒体格式协商 请求发送到终端； 与终端进行加密密钥及加密算法的协商， 确定协商统一 后进行与终端间的加密通信。
这里， 所述终端执行与视频会议服务器间的鉴权操作， 并在鉴权过程 中产生 AUTN, 具体为：
生成参加视频会议所需的用户名， 之后向视频会议服务器发起注册请 求， 收到视频会议服务器的鉴权通知后进行鉴权运算，得到 AUTN后保存， 并将 AUTN通知视频会议服务器。
所述终端， 进一步用于确定未通过鉴权后， 重新执行与视频会议服务 器间的鉴权操作； 相应的，
所述视频会议服务器， 进一步用于确定终端未通过鉴权后， 重新执行 与终端间的鉴权操作。
所述终端， 进一步用于确定与视频会议服务器的加密密钥协商不统一 时， 重新执行与视频会议服务器间的媒体格式协商操作； 相应的，
所述视频会议服务器， 进一步用于确定与终端的加密密钥协商不统一 时， 重新执行与终端间的媒体格式协商操作。
以上所述， 仅为本发明的较佳实施例而已， 并非用于限定本发明的保 护范围， 凡在本发明的精神和原则之内所作的任何修改、 等同替换和改进 等， 均应包含在本发明的保护范围之内。

Claims

权利要求书
1、 一种终端对视频会议数据进行加密的方法， 其特征在于， 该方法包 括：
终端在与视频会议服务器进行鉴权过程中产生网络认证令牌 AUTN, 鉴权成功后， 视频会议服务器在向终端发送的媒体格式协商请求中携带随 机口令 RAND;
终端结合 AUTN和 RAND计算得出加密密钥，之后与视频会议服务器 进行加密密钥及加密算法的协商， 协商统一后开始进行双方的加密通信。
2、 根据权利要求 1所述的终端对视频会议数据进行加密的方法， 其特 征在于， 所述终端与视频会议服务器鉴权过程中， 该方法进一步包括： 鉴权失败后， 终端重新执行与视频会议服务器间的鉴权操作。
3、 根据权利要求 1或 2所述的终端对视频会议数据进行加密的方法， 其特征在于， 所述终端与视频会议服务器进行加密密钥及加密算法协商的 过程中， 该方法还包括：
如果终端与视频会议服务器的加密密钥协商不统一， 则终端重新执行 与视频会议服务器间的媒体格式协商操作。
4、 根据权利要求 1或 2所述的终端对视频会议数据进行加密的方法， 其特征在于， 所述终端与视频会议服务器进行鉴权的过程， 具体为：
终端生成参加视频会议所需的用户名， 之后根据用户名向视频会议服 务器发起注册请求， 视频会议服务器通知终端需进行鉴权；
终端进行鉴权运算得到 AUTN后保存， 并将 AUTN通知视频会议服务 哭.
口 ？
视频会议服务器对收到的 AUTN进行鉴权， 确定鉴权成功时， 将确定 信息返回给终端。
5、 根据权利要求 1或 2所述的终端对视频会议数据进行加密的方法， 其特征在于， 所述视频会议服务器向终端发送媒体格式协商请求， 终端计 算加密密钥， 并与视频会议服务器进行加密密钥及加密算法的协商过程， 具体为：
视频会议服务器在与终端进行媒体格式协商的媒体格式协商请求中加 入密钥协商字段和支持的加密算法；
终端结合媒体格式协商请求中携带的 RAND 与鉴权过程中得到的 AUTN计算加密密钥， 并将计算所得的与加密密钥对应的值及所支持的加 密算法通知视频会议服务器；
视频会议服务器将计算所得的与加密密钥对应的值与终端所发的值作 比较， 并将比较结果通知终端。
6、 一种终端对视频会议数据进行加密的系统， 其特征在于， 该系统包 括： 终端和视频会议服务器； 其中，
所述终端， 用于执行与视频会议服务器间的鉴权操作， 并在鉴权过程 中产生 AUTN; 确定通过鉴权后， 执行自身与视频会议服务器间的媒体格 式协商操作， 并结合 AUTN及视频会议服务器所发的 RAND计算得出加密 密钥； 与视频会议服务器进行加密密钥及加密算法的协商， 确定协商统一 后进行自身与视频会议服务器间的加密通信；
所述视频会议服务器， 用于执行与终端间的鉴权操作； 确定终端通过 鉴权后执行与终端间的媒体格式协商操作， 将携带 RAND的媒体格式协商 请求发送到终端； 与终端进行加密密钥及加密算法的协商， 确定协商统一 后进行与终端间的加密通信。
7、 根据权利要求 6所述的终端对视频会议数据进行加密的系统， 其特 征在于， 所述终端， 进一步用于确定未通过鉴权后， 重新执行与视频会议 服务器间的鉴权操作； 相应的，
所述视频会议服务器， 进一步用于确定终端未通过鉴权后， 重新执行 与终端间的鉴权操作。
8、 根据权利要求 6或 7所述的终端对视频会议数据进行加密的系统， 其特征在于， 所述终端， 进一步用于确定与视频会议服务器的加密密钥协 商不统一时， 重新执行与视频会议服务器间的媒体格式协商操作； 相应的， 所述视频会议服务器， 进一步用于确定与终端的加密密钥协商不统一 时， 重新执行与终端间的媒体格式协商操作。
9、 根据权利要求 6或 7所述的终端对视频会议数据进行加密的系统， 其特征在于， 所述终端执行与视频会议服务器间的鉴权操作， 并在鉴权过 程中产生 AUTN, 具体为：
生成参加视频会议所需的用户名， 之后向视频会议服务器发起注册请 求， 收到视频会议服务器的鉴权通知后进行鉴权运算，得到 AUTN后保存， 并将 AUTN通知视频会议服务器。
PCT/CN2010/072870 2009-08-27 2010-05-18 一种终端对视频会议数据进行加密的方法及系统 WO2011022999A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN 200910090587 CN101635823B (zh) 2009-08-27 2009-08-27 一种终端对视频会议数据进行加密的方法及系统
CN200910090587.9 2009-08-27

Publications (1)

Publication Number Publication Date
WO2011022999A1 true WO2011022999A1 (zh) 2011-03-03

Family

ID=41594859

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/072870 WO2011022999A1 (zh) 2009-08-27 2010-05-18 一种终端对视频会议数据进行加密的方法及系统

Country Status (2)

Country Link
CN (1) CN101635823B (zh)
WO (1) WO2011022999A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112016082A (zh) * 2020-10-26 2020-12-01 成都掌控者网络科技有限公司 一种权限清单安全控制方法
CN112672098A (zh) * 2020-12-30 2021-04-16 北京弈天诚达科技有限公司 一种云视频会议加密方法、装置及系统

Families Citing this family (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101635823B (zh) * 2009-08-27 2011-09-21 中兴通讯股份有限公司 一种终端对视频会议数据进行加密的方法及系统
CN102594794B (zh) * 2011-12-24 2015-04-29 华为技术有限公司 一种媒体加密会议的接入方法及装置
CN102647420A (zh) * 2012-03-31 2012-08-22 苏州阔地网络科技有限公司 一种防止非法连接的控制方法及系统
CN104753870B (zh) * 2013-12-30 2018-09-28 中国移动通信集团公司 一种数据传输方法和系统
CN103914541B (zh) * 2014-04-03 2017-08-01 小米科技有限责任公司 信息搜索的方法及装置
CN105246070A (zh) * 2014-06-17 2016-01-13 中兴通讯股份有限公司 通话的加密处理方法及装置
CN105205645A (zh) * 2014-06-30 2015-12-30 江苏韦度一号信息科技有限公司 一种数字办公系统
CN104579628B (zh) * 2015-01-07 2017-10-17 中国人民解放军国防科学技术大学 音频会议安全保密系统及保密方法
CN107026830A (zh) * 2016-02-02 2017-08-08 上海格尔软件股份有限公司 一种应用程序自动升级的安全方法
CN105959264A (zh) * 2016-04-25 2016-09-21 四川联友电讯技术有限公司 改善碎片化异步会议系统信息安全的方法
CN107426521A (zh) * 2016-05-24 2017-12-01 中兴通讯股份有限公司 一种视频通话方法及终端
CN107124266B (zh) * 2017-03-07 2020-10-27 苏州科达科技股份有限公司 基于量子加密的视频通信系统以及方法
CN107948676A (zh) * 2017-12-08 2018-04-20 苏州科达科技股份有限公司 视频数据传输方法及装置
CN108055262B (zh) * 2017-12-11 2020-08-18 苏州科达科技股份有限公司 视频会议终端注册方法、终端及网守
CN108833943B (zh) * 2018-04-24 2020-12-08 苏州科达科技股份有限公司 码流的加密协商方法、装置及会议终端
CN109041205A (zh) * 2018-08-23 2018-12-18 刘高峰 客户端注册方法、装置及系统
CN110602432B (zh) * 2019-08-23 2021-01-26 苏州米龙信息科技有限公司 基于生物识别的会议系统及会议数据传输方法
CN113347215B (zh) * 2021-08-09 2021-10-01 北京电信易通信息技术股份有限公司 一种移动视频会议加密方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1973569A (zh) * 2004-06-21 2007-05-30 艾斯奥托公司 用于保护认证和密钥协商协议的方法
CN101176296A (zh) * 2005-03-11 2008-05-07 艾利森电话股份有限公司 网络辅助终端到simm/uicc密钥建立
CN101635823A (zh) * 2009-08-27 2010-01-27 中兴通讯股份有限公司 一种终端对视频会议数据进行加密的方法及系统

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1859087A (zh) * 2005-12-30 2006-11-08 华为技术有限公司 一种客户端和服务器密钥协商方法及其系统
CN101197673B (zh) * 2006-12-05 2011-08-10 中兴通讯股份有限公司 固定网络接入ims双向认证及密钥分发方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1973569A (zh) * 2004-06-21 2007-05-30 艾斯奥托公司 用于保护认证和密钥协商协议的方法
CN101176296A (zh) * 2005-03-11 2008-05-07 艾利森电话股份有限公司 网络辅助终端到simm/uicc密钥建立
CN101635823A (zh) * 2009-08-27 2010-01-27 中兴通讯股份有限公司 一种终端对视频会议数据进行加密的方法及系统

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112016082A (zh) * 2020-10-26 2020-12-01 成都掌控者网络科技有限公司 一种权限清单安全控制方法
CN112672098A (zh) * 2020-12-30 2021-04-16 北京弈天诚达科技有限公司 一种云视频会议加密方法、装置及系统
CN112672098B (zh) * 2020-12-30 2022-09-20 北京真视通数字科技有限公司 一种云视频会议加密方法、装置及系统

Also Published As

Publication number Publication date
CN101635823B (zh) 2011-09-21
CN101635823A (zh) 2010-01-27

Similar Documents

Publication Publication Date Title
WO2011022999A1 (zh) 一种终端对视频会议数据进行加密的方法及系统
US9537837B2 (en) Method for ensuring media stream security in IP multimedia sub-system
US7382881B2 (en) Lawful interception of end-to-end encrypted data traffic
KR101461455B1 (ko) 인증 방법, 시스템 및 장치
JP4284324B2 (ja) 移動無線システムにおける暗号鍵を形成および配布する方法および移動無線システム
CN106850526B (zh) Ims系统中的端到边缘媒体保护的方法和设备
US7813509B2 (en) Key distribution method
WO2015180654A1 (zh) 一种保密通信实现方法及装置
JP4856723B2 (ja) メディアサーバと加入者機器との間においてメディアデータを暗号化して伝送するための方法、装置および／またはコンピュータプログラム製品
WO2007098660A1 (fr) Procédé et système d&#39;authentification d&#39;entités de réseau dans un sous-système multimédia
JP4838881B2 (ja) メディアデータを符号化および復号化するための方法、装置ならびにコンピュータプログラム製品
CN111756726A (zh) 一种支持国密算法的sip安全认证方法
WO2008040213A1 (fr) Procédé, système et dispositif de chiffrement et de signature de messages dans un système de communication
EP3248355B1 (en) Enhanced establishment of ims session with secure media
US8539564B2 (en) IP multimedia security
Chen et al. An efficient end-to-end security mechanism for IP multimedia subsystem
Belmekki et al. Secure SIP signalling service in IMS network
Floroiu et al. A comparative analysis of the security aspects of the multimedia key exchange protocols
WO2011017851A1 (zh) 客户端安全访问消息存储服务器的方法和相关设备
Traynor et al. Vulnerabilities in Voice over IP
WO2008083620A1 (fr) Procédé, système et appareil pour une négociation de contexte de sécurité de flux multimédia

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10811159

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10811159

Country of ref document: EP

Kind code of ref document: A1