IMS网络中基于SIP安全策略等级的协商控制方法

技术领域

本发明涉及IP多媒体子系统IMS中一种基于SIP信令的用户安全策略划分方法和协商控制方法，属于网络安全和访问控制技术领域。

背景技术

SIP信令

会话初始协议(SIP是互联网工程任务组IETF在1999年发表的一个标准，用来解决IP网上的信令控制。第三代合作伙伴计划3GPP选择SIP作为会话控制协议，该协议是IMS体系结构的核心。SIP可以建立音频、视频、多方通话等会话，也可以用来传送即时消息和文件，使得运营商能通过统一的业务平台提供综合业务，以实现网络的融合。在用户与IMS核心网建立IP连接并获取IMS业务的过程中，与SIP信令相关的主要有两个通信过程，IMS注册过程和多媒体会话建立过程。

IMS安全需求

根据3GPP技术规范33.102，IMS安全需求可以划分为三类安全：(1)认证和密钥协商AKA，包含用户设备UE和归属用户服务器HSS的相互认证和建立加密和传输密钥对，这部分在3GPP发布的IMS技术规范版本5中定义。(2)IMS接入安全AccessSecurity，包括网络接入安全的特征和机制定义，比如UE和IMS核心网是如何认证的，怎样协商安全机制、算法和密钥。接入安全为UE和代理-呼叫会话控制功能P-CSCF服务器提供安全关联，也负责SIP信令的机密性保护等。这部分在3GPP技术规范33.203中定义标准。(3)网络域安全Network Domain Security，提供整个核心网基于IP消息流的机密性、数据完整性、认证性和防重放攻击保护等，使用互联网安全协议IPSec等加密安全机制和协议，这部分在3GPP技术规范33.210中定义了标准。

IMS安全机制

根据3GPP所定义的IMS安全机制的相关标准，安全机制主要包括5类，分别为认证性、机密性、完整性、可用性和私密性。其中(1)认证性：在IMS安全标准中要求使用AKA认证机制，以实现认证用户设备和归属网络之间的相互认证，为网络设备之间传递的信息提供了数据源认证。(2)机密性：IMS安全标准没有强制要求UE和P-CSCF之间的SIP消息的机密性保护，建议在接入网的链路层提供加密保护。此外，对域内SIP服务器之间SIP信令的机密性保护是可选的；不同域网络设备之间的机密性保护是强制的。(3)完整性：网络流量中通过在每一个数据包中包含一个消息认证码MAC来实现数据的完整性保护，IMS安全标准要求UE和P-CSCF之间使用传输模式的IPSec封装安全负载，IMS核心网络设备间使用隧道模式的IPsec ESP，可使用信息摘要算法MD5或者安全散列算法SHA-1，来提供它们之间SIP信令的数据完整性保护。(4)可用性：IMS安全标准没有明确地消除拒绝服务攻击DoS，但是定义了安全域，它们由安全网关来保护，运营商能够直接实施自己的DoS保护机制。因此，除非运营商采取了相应的措施，IMS体系结构中的各个网络设备以及运营支撑系统中的服务器，都有可能遭到DoS攻击。(5)私密性：运营商通常将网络的细节如：网络设备的数量、性能，网络的容量等视为敏感的商业信息。P-CSCF通过它的代理功能来向终端用户隐藏这类的信息。问询-呼叫会话控制功能I-CSCF服务器用来向其它运营商隐藏网络拓扑信息，如加密发送至外部网络中P-CSCF的SIP信息。从IMS安全框架来看，隐藏机制是可选的。如表1归纳了IMS网络中与各安全属性相关的各层安全机制。

IMS中基于SIP的策略控制

运营商使用IMS网络提供服务最迫切的需求就是能够控制IMS网络中的一切行为，使IMS网络中的实体均按照运营商的规定来运作。这意味着IMS网络需要按照运营商部署的策略来运行，也即是说IMS网络需要进行相应的策略控制。简单的策略控制诸如控制媒体类型，控制编码方式等等，复杂的针对特定业务的策略则更为多样化和特殊化，如针对一个用户请求某个IMS业务提供商的服务，根据下面的一些内容和参数的不同，策略则可能不同：(1)业务类型不同，可能的策略不同，如运营商可能根据同一用户使用多方会议业务和使用无线移动网络对话业务而给出不同的策略，比如不同权限，不同控制流程等等；(2)用户的类型，用户是受限用户，一般用户还是高级用户等等，按照不同的分类方式和用户级别，运营商制订的策略各不相同；(3)不同运营商(或同一运营上在不同情况下如不同时段)也可能在同一种业务的基础上提供不同的策略控制，如对于视频服务或多方会议可能采取不同的控制方式。

IMS中安全等级划分和安全策略控制

在现有的SIP规范中，主要是通过SIP安全机制协议Sip-Sec-Agree来保证UE和P-CSCF间可以协商和采用共同的安全机制。这样存在两方面的问题：(1)仅仅协商UE和P-CSCF之间的安全机制是不足的，根据IMS规范以及前面归纳的安全机制，接入安全和网络域安全中有些机制是可选的，这种开放性往往会导致后向兼容性问题，比如不同版本的UE、不同网络域之间安全机制、不同运营商的安全配置不兼容问题，所以IMS提供各类多媒体服务时，不仅需要提供UE与P-CSCF之间的安全机制协商协议，还需要提供内部的网络域安全机制的协商机制，最终形成一套完整统一的由各部分安全机制组成的安全策略来保证IMS安全的兼容性。(2)IMS网络为用户提供多种多媒体服务，用户的服务质量QoS需求和安全需求存在多样性，不同的业务类型和不同的用户应用有不同的安全性需求，而QoS协商机制并没有充分考虑网络安全的需求和协商机制，也没有提供与安全相关的服务级别，来满足用户的安全需求。所以IMS应该在保证QoS资源预留前提下，考虑不同安全策略对网络性能以及提供给用户的端到端QoS指标的影响，并针对不同业务类型、不同用户类型，提供不同安全等级的安全策略，既满足个性化的用户服务质量保障，又降低网络安全所带来的资源开销，从而实现网络安全和QoS保障的最佳选择策略。

而现有的SIP规范中，没有一个正式的标准来规范基于SIP协议的策略控制和交互流程。特别是缺乏不同安全级别的安全策略定义规范，以及针对用户服务类型、综合考虑服务质量与安全需求的安全策略的协商控制机制，而这两点对于解决上述IMS网络安全问题至关重要，是满足未来IMS网络安全和保障和服务的必要条件。新的方案除了要满足上述分析的条件如框架清晰，简单实用，可扩展性强，安全策略对用户透明等等需求以外，还必须考虑整个方案的安全可信。

发明内容

本方案设计和实现了IMS网络中基于SIP的扩展控制方案，其目的是为了在IMS核心网为终端用户提供多媒体服务之前实现统一安全策略的协商和控制方法，最终确定网络安全和QoS保障的最佳配置方案。

本发明主要解决两方面的技术问题：(1)设计了IMS安全保护等级的划分方案，根据IMS技术规范，通过不同安全机制的组合来选择由弱到强的安全保护策略，提供了一套完整统一的IMS安全策略组合，为IMS与用户进行安全协商提供策略选择，将来还可以根据技术规范进行进一步的扩展，具有良好的兼容性。(2)设计了新的基于SIP的安全策略协商和控制方法，使得运营商能够针对不同业务类型、不同用户类型，提供不同安全等级的安全策略，既满足个性化的用户服务质量保障，又降低网络安全所带来的资源开销，从而实现网络安全和QoS保障的最佳选择策略。具体的方案提供了终端用户和IMS核心网交互协商流程和SIP消息字段，本发明中设计的协商控制机制可以为今后IMS网络安全保障和管理提供技术基础。

本发明的特征在于

其特征在于，是基于第三代合作伙伴计划3GPP所定义的IP多媒体子系统IMS技术规范TS 33.102，TS 33.203和TS 33.210，在作为客户端的用户设备UE和作为服务器端的IMS呼叫会话控制功能CSCF服务器依次按以下步骤实现的：

步骤(1)，客户端UE注册IMS归属网络时，客户端UE和服务器端的CSCF服务器依次按照以下步骤执行：

步骤(1.1)，基于已有的会话初始协议SIP的安全机制协议Sip-Sec-Agree，所述客户端UE通过其归属网络域中的代理-呼叫会话控制功能服务器P-CSCF，向其归属网络域中的服务-呼叫会话控制功能服务器S-CSCF提供客户端所支持的第一跳接入安全机制，

步骤(1.2)，所述客户端UE声明支持安全策略协商服务Security-policy-service消息头扩展，并由所述S-CSCF将该用户设备信息标记在本地数据库中，

步骤(1.3)，所述S-CSCF根据IMS技术规范中所定义的域内和域间的可选或必选的安全机制，以及步骤(1.2)中所述的客户端支持的安全机制组合出在下述安全保护强度由弱到强的总共七个不同等级的安全策略，保护强度通过计算该策略对于认证性、机密性、完整性、可用性、私密性共5个安全属性上的效用值之和来得到，用于所述IMS归属网络域针对所述客户端UE发起业务的整体安全策略，供选择使用，所述七个等级的安全策略为P1～P7如下：

安全策略P1，包含采用认证和密钥协商AKA的相互认证+注册，在认证性的安全保护效用值为2，可用性效用值为1，总体保护强度效用值为3，

安全策略P2，包含采用认证和密钥协商AKA的相互认证+注册+采用信息摘要算法MD5的第一跳安全保护，在认证性的效用值为3，完整性的效用值为1，可用性的效用值为3，所述总体保护强度效用值为7，

安全策略P3，包含采用认证和密钥协商AKA的相互认证+注册+采用信息摘要算法MD5的第一跳安全保护+同时采用信息摘要算法MD5和加强型数据加密标准3DES的域间安全保护，认证性、机密性、完整性、可用性四种安全属性的效用值分别为3、2、2、4，所述总体保护强度效用值为11，

安全策略P4，包含采用认证和密钥协商AKA的相互认证+注册+采用信息摘要算法MD5的第一跳安全保护+同时采用信息摘要算法MD5和加强型数据加密标准3DES的域间安全保护+采用信息摘要算法MD5的域内安全保护，在认证性、机密性、完整性、可用性四种安全属性的效用值分别为3、2、3、4，所述总体保护强度效用值为12，

安全策略P5，包含采用认证和密钥协商AKA的相互认证+注册+采用安全散列算法SHA-1的第一跳安全保护+同时采用安全散列算法SHA-1和加强型数据加密标准3DES的域间安全保护+采用安全散列算法SHA-1的域内安全保护，在认证性、机密性、完整性、可用性四种安全属性的效用值分别为3、2、6、4，所述总体保护强度效用值为15，

安全策略P6，包含采用认证和密钥协商AKA的相互认证+注册+同时采用信息摘要算法MD5和加强型数据加密标准3DES的第一跳安全保护+同时采用信息摘要算法MD5和加强型数据加密标准3DES的域间安全保护+同时采用信息摘要算法MD5和加强型数据加密标准3DES的域内安全保护+网络拓扑隐藏保护，在认证性、机密性、完整性、可用性、私密性五种安全属性的效用值分别为4、4、3、6、1，所述总体保护强度效用值为18，

安全策略P7，包含采用认证和密钥协商AKA的相互认证+注册+同时采用安全散列算法SHA-1和加强型数据加密标准3DES的第一跳安全保护+同时采用安全散列算法SHA-1和加强型数据加密标准3DES的域间安全保护+同时采用安全散列算法SHA-1和加强型数据加密标准3DES的域内安全保护+网络拓扑隐藏保护，在认证性、机密性、完整性、可用性、私密性五种安全属性的效用值分别为4、4、6、6、1，所述总体保护强度效用值为21，在所述七个等级的安全策略中，“+”表示不同机制的组合；

步骤(2)，所述客户端UE和所述服务器端的CSCF服务器依次按照以下步骤执行，完成业务请求过程：

步骤(2.1)，所述客户端UE在业务请求消息中包含支持安全策略协商服务消息Supported：Security-policy-service，在代理请求Proxy-Require消息头中包含安全策略标签sec-policy，表示该业务需要与所述的S-CSCF服务器协商统一的安全策略，

步骤(2.2)，所述S-CSCF服务器通过在归属网络域中的所述P-CSCF收到步骤(2.1)所述的业务请求消息后，依次执行以下步骤执行基于用户业务类型的安全策略选择方法：

步骤(2.2.1)，所述S-CSCF根据注册记录和步骤(1.1)和(1.3)中所支持的安全机制，基于用户类型、业务类型和运营商类型，推荐适合该客户端UE的安全策略等级，

步骤(2.2.2)，所述S-CSCF检查可选安全机制中是否有不匹配、不识别的情况，如果存在，则向客户端UE发送安全机制不可识别消息411SecurityMechanism Undecipherable，否则执行步骤(2.2.3)，

步骤(2.2.3)，所述S-CSCF检查是否存在可供选择的安全策略，若不存在，则向客户端UE发出安全策略协商失败消息422Security Policy AgreementFailed，否则执行步骤(2.2.4)，

步骤(2.2.4)，所述S-CSCF将推荐的安全策略所包含的所有安全机制写入会话应答消息183 Session Progress的安全策略Security-policy消息头，该消息头包含安全策略等级policyid、接入安全机制access-sec、域内安全机制intra-domain-sec和域间安全机制inter-domain-sec标签，将安全机制所采用的具体算法写入消息域中对应的消息头中，发送给所述客户端UE；

步骤(2.3)，所述客户端UE通过所述P-CSCF收到所述S-CSCF根据步骤(2.2)发送来的会话应答消息后，依次执行以下步骤：

步骤(2.3.1)，所述客户端UE检查会话应答消息，如果是安全机制不可识别消息411Security Mechanism Undecipherable，表示安全机制不可识别，重新执行步骤(2.1)进行安全策略的协商过程，

步骤(2.3.2)，所述客户端UE检查会话应答消息，如果是安全策略协商失败消息422Security Policy Agreement Failed，表示协商失败，停止协商过程，

步骤(2.3.3)，所述客户端UE接收到步骤(2.2.4)中会话应答消息中所述S-CSCF推荐的安全策略消息头，确认接受后，将该消息头内所包含的所有内容复制到请求应答消息INVITE中的安全策略确认Security-policy-verify消息头中，发送给所述的S-CSCF；

步骤(2.4)，所述S-CSCF在收到所述客户端UE发送的安全策略确认Security-policy-verify消息头后，比较确认该UE是否接受步骤(2.2.4)所推荐的安全策略，如果不一致，则重复步骤(2.2)，如果完全一致，所述S-CSCF将删除业务请求指令中与安全策略协商服务扩展相关的字段，并转发给对应的应用服务器上，同时针对该UE所请求的业务类型，按照之前协商好的整体安全策略，提供接入保护、域内保护、域间保护的安全机制。

本发明的效果如下：

(1)本发明在IMS网络中定义了安全保护等级的划分方案，提供了一套完整统一的IMS安全策略组合，为IMS运营商与终端用户进行安全协商提供了策略选择，将来还可以根据技术规范进行扩展。

(2)本发明所设计的基于SIP安全策略协商和控制方法，将用于网络运营商针对不同业务类型、不同用户类型提供相应的安全策略，满足个性化的用户服务质量保障，又降低网络安全带来的资源开销，实现网络安全保护和服务质量保障的最佳策略选择。

附图说明

图1是本发明中终端UE安全策略协商控制流程图。

图2是本发明中S-CSCF安全策略协商控制流程图。

图3是本发明中IMS初始化时S-CSCF划分安全策略等级的算法。

图4是本发明中S-CSCF选择安全策略流程图。

图5是本发明中请求业务过程中安全策略协商控制流程图。