CN100563246C - 一种基于ip的语音通信边界安全控制***及方法 - Google Patents

一种基于ip的语音通信边界安全控制***及方法 Download PDF

Info

Publication number
CN100563246C
CN100563246C CNB2005101019561A CN200510101956A CN100563246C CN 100563246 C CN100563246 C CN 100563246C CN B2005101019561 A CNB2005101019561 A CN B2005101019561A CN 200510101956 A CN200510101956 A CN 200510101956A CN 100563246 C CN100563246 C CN 100563246C
Authority
CN
China
Prior art keywords
security
signaling
message
control appliance
boundary
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CNB2005101019561A
Other languages
English (en)
Other versions
CN1852299A (zh
Inventor
刘利锋
郑志彬
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CNB2005101019561A priority Critical patent/CN100563246C/zh
Priority to CN2006800122708A priority patent/CN101160781B/zh
Priority to PCT/CN2006/001779 priority patent/WO2007062557A1/zh
Publication of CN1852299A publication Critical patent/CN1852299A/zh
Priority to US11/943,496 priority patent/US7904954B2/en
Application granted granted Critical
Publication of CN100563246C publication Critical patent/CN100563246C/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Telephonic Communication Services (AREA)

Abstract

一种VoIP边界安全控制***及方法，***包括一边界安全控制设备，该设备包括作为安全控制依据的两个动态信息表活动会话信息表和注册用户信息表；以及一与边界安全控制设备通讯连接的安全策略服务器，安全策略服务器用于为边界安全控制设备提供安全策略，并对由边界安全控制设备转发来的信令执行安全性检查。边界安全控制***首先依据活动会话信息表和注册用户信息表，对接收到的用户数据包的报文进行安全性检测和处理，让经过安全性检测处理的报文通过，然后再对通过的媒体报文和信令报文进行协议处理。该***和方法使边界限制了所有的未经过注册的用户的数据包进入核心网络，从而有效的避免了非法用户发起攻击。

Description

一种基于IP的语音通信边界安全控制***及方法
技术领域
本发明涉及通信技术领域，尤其涉及一种基于用户的VoIP(基于IP的语音通信)边界安全控制***及方法。
背景技术
在下一代网络(NGN)以及其他VoIP网络的部署中，会话边界控制设备(SBC)是经常会采用的设备，SBC被典型的部署到NGN或者VoIP网络接入层，用来代理所有用户的VoIP呼叫。通过会话边界控制进行安全控制是保护NGN核心网络免受攻击常用方法。通过SBC在网络边界的会话控制，可以为整个VoIP网络提供QoS(服务质量)、呼叫接纳、NAT穿越等能力。通过SBC也可以提供安全控制的能力，可以保护NGN核心网络避免受到恶意用户的直接攻击。最常规的VoIP网络边界安全控制的方法基于信令和媒体代理而实现(可以看作为B2B UA背靠背用户代理)，通过对信令和媒体报文的应用层识别做一些安全控制的能力，但SBC自身作为一种具有复杂信令协议栈处理功能设备，在协议解析的过程中，可能就会由于是畸形报文而陷入瘫痪，从而自身受到攻击，主要存在以下缺点：1、作为B2B UA(背靠背用户代理)自身的安全性无法保护，与其他被保护的设备具有同样的安全风险，只能通过牺牲自己换来被保护设备的安全。2、对任何的报文，首先进入协议栈处理，这样的安全控制容易受到恶意的资源占用攻击。3、很多攻击，可能为恶意的匿名用户，对于这样的攻击，无法进行追踪和定位。
发明内容
本发明所要解决的技术问题是：提供一种进行安全控制的方法和***，使网络中具有相关信令协议栈的设备以及SBC设备本身免遭恶意用户的攻击。
本发明为解决上述技术问题所采用的技术方案为：
一种基于IP的语音通信边界安全控制***，包括设置在软交换机或其他通信服务器和终端之间的边界安全控制设备，所述边界安全控制设备包括信令协议处理；其特征在于：边界安全控制设备还包括作为安全控制依据的两个动态信息表，所述动态信息表为活动会话信息表和注册用户信息表；所述***还包括一与所述边界安全控制设备通讯连接的安全策略服务器，所述安全策略服务器用于为所述边界安全控制设备提供安全策略，并对由所述边界安全控制设备转发来的信令执行安全性检查。
所述的***，其中：所述的边界安全控制设备和安全策略服务器分体设置。
所述的***，其中：所述的边界安全控制设备和安全策略服务器一体设置。
一种基于IP的语音通信边界安全控制方法，所述方法包括：边界安全控制***首先对接收到的用户数据包的报文进行安全性检测和处理，让经过安全性检测处理的报文通过，然后再对通过的媒体报文和信令报文进行协议处理。
所述的方法，其中：所述方法包括如下具体步骤：
A1、接收用户数据包，对数据包的报文类型进行判断；
A2、对于媒体报文，查询活动会话信息表上是否有对应活动会话记录，如果没有相关记录，丢弃该媒体报文；如果有相关记录，该媒体报文通过，并对该媒体报文进行协议处理；
A3、对于信令报文，通过查询注册用户信息表判断该信令报文是否为已注册用户发送的信令，如果是已注册用户发送的信令，该信令报文通过，并对该信令报文进行协议处理；
A4、对于非注册用户发送的信令报文，边界安全控制设备将该信令报文转发到安全策略服务器进行信令安全性和终端合法性审查，由安全策略服务器返回审查结果；没有通过安全审查的信令报文被丢弃；
A5、对于确认安全的信令报文，边界安全控制设备允许其通过，进行信令协议处理。
所述的方法，其中：所述的步骤A3还包括如下处理：对于已注册用户发送的信令，还要对该信令进行完整性检测和源认证，对于通过认证和完整性检测的已注册用户发送的信令，进行信令协议处理，否则丢弃该信令报文。
所述的方法，其中：所述的步骤A3还包括：对已注册用户发送的信令报文进行协议处理后，并根据处理结果动态更新活动会话信息表；所述的步骤A5还包括：对于确认安全的信令报文进行信令协议处理后，软交换机将给终端返回注册结果，并根据注册结果动态更新注册用户信息表。
本发明的有益效果为：1、由于本发明采用了基于用户信息的数据包检查机制，该边界将限制所有的未经过注册的用户的数据包进入核心网络，从而有效的避免了非法用户发起攻击。2、由于本发明方法先进行了报文的判断，然后进行协议处理，可以有效的降低对本设备发起攻击的可能性。3、本发明采用的***将进行安全控制的边界安全控制设备和用于安全检测的安全策略服务器进行有效的分离，便于分布式部署。4、由于本发明安全控制方法将安全威胁控制到合法注册用户之内，将使得对攻击的追踪可定位到用户，从而可大大降低该网络所面临安全威胁。5、本发明同时具有对注册信令报文进行特别的安全性审查，从而避免通过注册信令的匿名攻击。
附图说明
图1为本发明基于IP的语音通信边界安全控制***示意图；
图2为本发明基于IP的语音通信边界安全控制方法流程图。
具体实施方式
下面根据附图和实施例对本发明作进一步详细说明：
现有技术中，在软交换和终端之间也有控制设备(SBC)，该控制设备主要包括信令和媒体的代理功能，对媒体流和信令报文进行协议处理。本发明为了避免控制设备以及受保护网络中具有相关信令协议栈的设备遭受由于安全漏洞带来的安全威胁，采用了如图1所示的边界安全控制***。该***包括一边界安全控制设备，所述边界安全控制设备与现有技术的控制设备相比，除了包括原有协议处理功能外，还增加了安全控制功能，作为安全控制的执行设备。边界安全控制设备包括两个动态信息表--活动会话信息表和注册用户信息表，这两个动态信息表是作为安全控制的重要依据。其中，活动会话信息表(信息表A)记录着目前正在进行会话的相关信息，包括媒体通道地址、呼叫ID、主叫号码、主叫ID、被叫号码、被叫ID等信息。该信息表由会话信令更新，每当一次会话开始和结束或超时都将引起信息表内容的变化。该信息表将是是否允许媒体流通过的主要依据。注册用户信息表(信息表B)：记录着注册成功用户的相关信息，包括用户IP地址、用户ID、安全关联等信息。该信息表由注册信令和超时更新，每注册成功和取消注册以及超时都将引起信息表内容的变化，该信息表是是否接受信令的主要依据。
所述***还包括一与边界安全控制设备通讯连接的安全策略服务器，安全策略服务器用于为会话边界安全控制设备提供安全策略，并与安全控制设备进行联动，从而达到安全控制的目的。安全策略服务主要完成会话边界控制设备转发的信令安全性检查，或者通过信令获取终端所支持的安全机制，从而给边界安全控制设备提供处理策略。边界安全控制设备与安全策略服务器可以一体设置，例如在边界安全控制设备中增加一安全策略服务模块；也可以分开设置。分开设置的好处是：1、在每一个接入点，安全策略服务器可以分布式部署或者同时为多个会话边界控制设备服务，从而达到负载流量分配的目的。2、边界安全控制设备和安全策略服务器中某一部分出现故障导致其失效时，不会影响到另一部分的功能，例如安全策略服务器失效时，边界安全控制设备仍可以工作，老用户照样通话，只不过是对于新用户不能注册通话。
本发明的边界安全控制方法与现有技术不同，边界安全控制***首先对接收到的用户数据包的报文进行安全性检测和处理，让经过安全性检测处理的报文通过，然后再对通过的媒体报文和信令报文进行协议处理。具体流程如图2所示，包括如下步骤：
A1、初始化信息表A和信息表B；接收用户数据包，对数据包的报文类型进行判断；
A2、对于媒体报文，查询活动会话信息表上是否有对应活动会话记录，如果没有相关记录，丢弃该媒体报文；如果有相关记录，该媒体报文通过，并对该媒体报文进行协议处理；
A31、对于信令报文，通过查询注册用户信息表判断该信令报文是否为已注册用户发送的信令，如果是已注册用户发送的信令，对该信令进行完整性检测和源认证；
A32、对于通过认证和完整性检测的已注册用户发送的信令，进行信令协议处理，并根据处理结果动态更新活动会话信息表；否则丢弃该信令报文。
A4、对于非注册用户发送的信令报文，边界安全控制设备将该信令报文转发到安全策略服务器进行信令安全性和终端合法性审查，安全策略服务器将根据信令报文的安全性，以及终端是否具有强制的安全机制决定是否允许注册，由安全策略服务器返回审查结果；没有通过安全审查的信令报文被丢弃；
A51、对于确认安全的信令报文，边界安全控制设备允许其通过，进行信令协议处理；
A52、软交换机将给终端返回注册结果，并根据注册结果动态更新注册用户信息表。
上述方法中，每收到一个注册成功或者注册注销成功，都必须更新A信息表，每建立一次新的会话或者中止已存在的会话，都必须更新B信息表；对A、B信息表中每一个记录，都必须有超时更新的功能。本发明***和方法适用于对于所有的VoIP应用的边界安全控制。
可以理解的是，对本领域普通技术人员来说，可以根据本发明的技术方案及其发明构思加以等同替换或改变，而所有这些改变或替换都应属于本发明所附的权利要求的保护范围。

Claims (6)

1、一种基于IP的语音通信边界安全控制***，其特征在于：包括设置在软交换机或其他通信服务器和终端之间的边界安全控制设备，所述边界安全控制设备包括信令协议处理，以及作为安全控制依据的动态信息表，所述动态信息表包括活动会话信息表和注册用户信息表；所述基于IP的语音通信边界安全控制***还包括一与所述边界安全控制设备通讯连接的安全策略服务器，所述安全策略服务器用于为所述边界安全控制设备提供安全策略，并对由所述边界安全控制设备转发来的信令执行安全性检查。
2、根据权利要求1所述的***，其特征在于：所述的边界安全控制设备和安全策略服务器分体设置。
3、根据权利要求1所述的***，其特征在于：所述的边界安全控制设备和安全策略服务器一体设置。
4、一种基于IP的语音通信边界安全控制方法，所述方法包括：边界安全控制***首先对接收到的用户数据包的报文进行安全性检测和处理，让经过安全性检测处理的报文通过，然后再对通过的媒体报文和信令报文进行协议处理；
所述方法具体包括：
A1、接收用户数据包，对数据包的报文类型进行判断；
A2、对于媒体报文，查询活动会话信息表上是否有对应活动会话记录，如果没有相关记录，丢弃该媒体报文；如果有相关记录，该媒体报文通过，并对该媒体报文进行协议处理；
A3、对于信令报文，通过查询注册用户信息表判断该信令报文是否为已注册用户发送的信令，如果是已注册用户发送的信令，该信令报文通过，并对该信令报文进行协议处理；
A4、对于非注册用户发送的信令报文，边界安全控制设备将该信令报文转发到安全策略服务器进行信令安全性和终端合法性审查，由安全策略服务器返回审查结果；没有通过安全审查的信令报文被丢弃；
A5、对于确认安全的信令报文，边界安全控制设备允许其通过，进行信令协议处理。
5、根据权利要求4所述的方法，其特征在于：所述的步骤A3还包括如下处理：对于已注册用户发送的信令，还要对该信令进行完整性检测和源认证，对于通过认证和完整性检测的已注册用户发送的信令，进行信令协议处理，否则丢弃该信令报文。
6、根据权利要求4或5所述的方法，其特征在于：所述的步骤A3还包括：对已注册用户发送的信令报文进行协议处理后，并根据处理结果动态更新活动会话信息表；所述的步骤A5还包括：对于确认安全的信令报文进行信令协议处理后，软交换机将给终端返回注册结果，并根据注册结果动态更新注册用户信息表。
CNB2005101019561A 2005-11-30 2005-11-30 一种基于ip的语音通信边界安全控制***及方法 Expired - Fee Related CN100563246C (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CNB2005101019561A CN100563246C (zh) 2005-11-30 2005-11-30 一种基于ip的语音通信边界安全控制***及方法
CN2006800122708A CN101160781B (zh) 2005-11-30 2006-07-20 一种通信边界安全控制方法、设备及安全控制***
PCT/CN2006/001779 WO2007062557A1 (fr) 2005-11-30 2006-07-20 Procede de gestion de la securite, dispositif pour limite de communication et systeme de gestion de la securite
US11/943,496 US7904954B2 (en) 2005-11-30 2007-11-20 Method, device and security control system for controlling communication border security

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CNB2005101019561A CN100563246C (zh) 2005-11-30 2005-11-30 一种基于ip的语音通信边界安全控制***及方法

Publications (2)

Publication Number Publication Date
CN1852299A CN1852299A (zh) 2006-10-25
CN100563246C true CN100563246C (zh) 2009-11-25

Family

ID=37133767

Family Applications (2)

Application Number Title Priority Date Filing Date
CNB2005101019561A Expired - Fee Related CN100563246C (zh) 2005-11-30 2005-11-30 一种基于ip的语音通信边界安全控制***及方法
CN2006800122708A Expired - Fee Related CN101160781B (zh) 2005-11-30 2006-07-20 一种通信边界安全控制方法、设备及安全控制***

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN2006800122708A Expired - Fee Related CN101160781B (zh) 2005-11-30 2006-07-20 一种通信边界安全控制方法、设备及安全控制***

Country Status (3)

Country Link
US (1) US7904954B2 (zh)
CN (2) CN100563246C (zh)
WO (1) WO2007062557A1 (zh)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101651537B (zh) 2008-08-15 2013-07-10 上海贝尔阿尔卡特股份有限公司 一种在通信网络***中进行分散式安全控制的方法和装置
US8689301B2 (en) * 2008-09-30 2014-04-01 Avaya Inc. SIP signaling without constant re-authentication
CN101699801B (zh) * 2009-10-30 2011-09-28 孙喜明 一种数据传输方法及传输数据的虚拟对等网络***
KR101088852B1 (ko) * 2009-12-09 2011-12-06 한국인터넷진흥원 인터넷 전화 과금우회 공격 탐지 시스템 및 그 탐지 방법
US8667057B1 (en) 2010-10-01 2014-03-04 Google Inc. Method and system for delivering object update messages including payloads
JP5673027B2 (ja) * 2010-11-26 2015-02-18 富士通株式会社 スイッチおよびスイッチ制御方法
CN109981528A (zh) * 2017-12-27 2019-07-05 航天信息股份有限公司 一种保护用户信息安全的方法
US10749900B2 (en) 2018-09-28 2020-08-18 The Mitre Corporation Deploying session initiation protocol application network security
US11329956B2 (en) 2020-07-28 2022-05-10 Bank Of America Corporation Scalable encryption framework using virtualization and adaptive sampling
CN115695862B (zh) * 2022-10-31 2024-01-23 杭州领信数科信息技术有限公司 一种视频交换边界上的信令审计方法及***

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6243815B1 (en) * 1997-04-25 2001-06-05 Anand K. Antur Method and apparatus for reconfiguring and managing firewalls and security devices
US7574735B2 (en) * 2002-02-13 2009-08-11 Nokia Corporation Method and network element for providing secure access to a packet data network
CN1173529C (zh) * 2002-06-05 2004-10-27 华为技术有限公司 基于边界网关协议报文的控制报文安全保护方法
US7372848B2 (en) * 2002-10-11 2008-05-13 Agilent Technologies, Inc. Dynamically controlled packet filtering with correlation to signaling protocols
US7454499B2 (en) * 2002-11-07 2008-11-18 Tippingpoint Technologies, Inc. Active network defense system and method
KR100706984B1 (ko) * 2003-01-31 2007-04-12 라이트 엔지니어링 인코포레이티드 저-손실 재료를 이용한 고효율 고속 전기 디바이스
WO2004071038A1 (ja) 2003-02-05 2004-08-19 Nippon Telegraph And Telephone Corporation ファイアウォール装置
CN100353717C (zh) * 2003-03-28 2007-12-05 华为技术有限公司 一种针对互联网协议的安全访问控制方法
CN100358280C (zh) * 2003-06-18 2007-12-26 联想(北京)有限公司 一种网络安全装置及其实现方法
CN100456689C (zh) * 2003-08-06 2009-01-28 华为技术有限公司 一种网络管理安全认证的方法
US7380011B2 (en) * 2003-10-01 2008-05-27 Santera Systems, Inc. Methods and systems for per-session network address translation (NAT) learning and firewall filtering in media gateway
US7626979B1 (en) * 2004-07-28 2009-12-01 Sprint Communications Company L.P. Packet voice network border control
US20060041935A1 (en) * 2004-08-17 2006-02-23 Conley James W Methodology for configuring network firewall
JP4405360B2 (ja) * 2004-10-12 2010-01-27 パナソニック株式会社 ファイアウォールシステム及びファイアウォール制御方法
CN1604589A (zh) 2004-10-28 2005-04-06 无锡三通科技有限公司 支持会话启动协议穿越的防火墙实现方法
US7764612B2 (en) * 2005-06-16 2010-07-27 Acme Packet, Inc. Controlling access to a host processor in a session border controller
US20060288411A1 (en) * 2005-06-21 2006-12-21 Avaya, Inc. System and method for mitigating denial of service attacks on communication appliances
US8477759B2 (en) * 2005-09-30 2013-07-02 Qualcomm Incorporated Filtering of malformed data packets in wireless communication
US20070083927A1 (en) * 2005-10-11 2007-04-12 Intel Corporation Method and system for managing denial of services (DoS) attacks
US7716729B2 (en) * 2005-11-23 2010-05-11 Genband Inc. Method for responding to denial of service attacks at the session layer or above
WO2007062257A2 (en) * 2005-11-28 2007-05-31 Lew Holdings, Lls Trajectory gasifier burners

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
谁来保护VoIP安全. 陈翔.中国计算机报. 2005
谁来保护VoIP安全. 陈翔.中国计算机报. 2005 *

Also Published As

Publication number Publication date
CN1852299A (zh) 2006-10-25
CN101160781A (zh) 2008-04-09
CN101160781B (zh) 2010-10-27
US7904954B2 (en) 2011-03-08
WO2007062557A1 (fr) 2007-06-07
US20080098473A1 (en) 2008-04-24

Similar Documents

Publication Publication Date Title
CN100563246C (zh) 一种基于ip的语音通信边界安全控制***及方法
US7716729B2 (en) Method for responding to denial of service attacks at the session layer or above
NO329044B1 (no) Tjenestebegrensning i mobile kommunikasjonsnettverk
WO2010041414A1 (ja) 通信システム及び通信制御方法
JP3928866B2 (ja) ＤｏＳ攻撃元検出方法、ＤｏＳ攻撃阻止方法、セッション制御装置、ルータ制御装置、プログラムおよびその記録媒体
CN108429773B (zh) 认证方法及认证***
Gruber et al. Voice calls for free: How the black market establishes free phone calls—Trapped and uncovered by a VoIP honeynet
CN102480487B (zh) 基于认证的多用户在线视频游戏方法及***
Welch Exploiting the weaknesses of SS7
EP2569998B1 (en) Enabling set up of a connection from a non-registered UE in IMS
JP2010200029A (ja) 通信ネットワークシステムとその呼制御装置及び発信規制方法
Wang et al. Voice pharming attack and the trust of VoIP
EP3020175B1 (en) Methods and apparatus for implementing a communication barring service
Sheoran et al. NASCENT: Tackling caller-ID spoofing in 4G networks via efficient network-assisted validation
MX2013002194A (es) Privacidad de llamadas en red con grabacion.
US8625511B2 (en) Method and communication terminal for implementing a voice service through a wireless network
JP5381087B2 (ja) 通信システム及び通信制御方法
JP2006515698A (ja) 通信システム
US7315537B2 (en) Method for the transmission of data in a packet-oriented data network
Ackermann et al. Vulnerabilities and Security Limitations of current IP Telephony Systems
CN102958055B (zh) 一种非法回拨业务的鉴别方法和***
KR101379779B1 (ko) 발신 정보가 변조된 보이스 피싱 및 문자 피싱 공격을 탐지 및 차단하는 방법
US7962143B2 (en) Method and apparatus for call content interception within a communications network
Magklaris Attacks on SS7
CN106888444A (zh) 实现基于lte的语音漫游用户做被叫的方法和业务***

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20091125

CF01 Termination of patent right due to non-payment of annual fee