CN100589384C - 一种用户终端接入软交换***的安全交互方法 - Google Patents
一种用户终端接入软交换***的安全交互方法 Download PDFInfo
- Publication number
- CN100589384C CN100589384C CN200610011370A CN200610011370A CN100589384C CN 100589384 C CN100589384 C CN 100589384C CN 200610011370 A CN200610011370 A CN 200610011370A CN 200610011370 A CN200610011370 A CN 200610011370A CN 100589384 C CN100589384 C CN 100589384C
- Authority
- CN
- China
- Prior art keywords
- user terminal
- control point
- access control
- authentication
- parameter group
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明公开了一种用户终端接入软交换***的安全交互方法,应用于基于IP网络的软交换***,该方法包括:一,在用户终端上设置用户终端认证安全参数组,在接入控制点上设置接入控制点认证安全参数组,在安全认证服务器上设置与用户终端认证安全参数组对应的用户终端认证授权参数组及与接入控制点认证安全参数组对应的接入控制点认证授权参数组;二,将用户终端通过接入控制点接入至软交换核心控制设备;三,用户终端对***进行认证,接入控制点对用户终端与软交换核心控制设备之间的报文进行安全保护;安全认证服务器对用户终端进行安全接入认证。采用本发明增强了安全性要求,减少对软交换核心控制设备的攻击。
Description
技术领域
本发明涉及通讯安全领域,特别是涉及基于IP通讯网络的软交换等***中,接入域内一种用户终端安全接入***的安全交互双向认证及密钥分发方法。
背景技术
随着软交换等IP通讯技术的成熟,基于IP网络的语音技术在企业网和公共网络中得到了越来越多的应用,由于IP网络的开发性的设计理念,使得基于IP语音通讯存在一些安全性问题,特别是在软交换等***的接入域,由于网络的不可控,账号盗用、设备欺骗、***劫持,通讯的非法窃听等问题特别突出。针对这些安全问题,要求终端接入软交换等***对用户终端进行认证,避免非法用户的接入,而且需要终端对***的认证,避免终端被非法***劫持,同时需要对通讯消息进行完整性和机密性保护,保证通讯内容的安全。
目前,在通信***的安全体系中,已经有一些安全认证流程存在,但是由于这些流程的设计问题,导致一些流程会遭受重放攻击或由于密码协商问题导致密码的安全性比较低下。
发明内容
本发明所要解决的技术问题在于提供一种用户终端接入软交换***的安全交互方法,用于实现用户终端与基于IP网络软交换***之间的相互安全认证和通讯安全。
为了实现上述目的,本发明提供了一种用户终端接入软交换***的安全交互方法,应用于基于IP网络的软交换***,该***包括至少一个软交换核心控制设备和接入控制点、多个用户终端、安全认证服务器,其特征在于,该方法包括如下步骤:
步骤一,在所述用户终端上设置用户终端认证安全参数组,在所述接入控制点上设置接入控制点认证安全参数组,在所述安全认证服务器上设置与所述用户终端认证安全参数组对应的用户终端认证授权参数组及与所述接入控制点认证安全参数组对应的接入控制点认证授权参数组;
步骤二,将所述用户终端通过所述接入控制点接入至所述软交换核心控制设备;
步骤三,所述用户终端通过所述接入控制点、所述软交换核心控制设备,并根据所述用户终端认证安全参数组及***返回的鉴权信息对***进行认证,并交换与所述接入控制点之间的完整性密钥、机密性密钥;所述接入控制点根据所述接入控制点认证安全参数组、与所述用户终端之间的完整性密钥、机密性密钥对所述用户终端与所述软交换核心控制设备之间的报文进行安全保护;所述安全认证服务器通过所述软交换核心控制设备、所述接入控制点,并根据所述用户终端认证授权参数组、所述接入控制点认证授权参数组对所述用户终端进行安全接入认证。
所述的用户终端接入软交换***的安全交互方法,其中,所述用户终端认证安全参数组的个数为一个或多个;所述接入控制点认证安全参数组的个数为一个或多个。
所述的用户终端接入软交换***的安全交互方法,其中,所述每个用户终端认证安全参数组/所述每个接入控制点认证安全参数组包括认证、加密、完整性保护安全方式中的一种或多种方式的参数信息。
所述的用户终端接入软交换***的安全交互方法,其中,所述步骤三中,还包括所述接入控制点与所述用户终端之间的报文分别采用完整性密钥和机密性密钥进行完整性和机密性保护的步骤。
所述的用户终端接入软交换***的安全交互方法,其中,所述步骤三中,还包括所述用户终端对由所述接入控制点返回的注册响应报文进行完整性验证的步骤,若所述注册响应报文通过完整性验证,所述用户终端向所述接入控制点重新发起注册请求。
所述的用户终端接入软交换***的安全交互方法,其中,所述步骤三中,还包括所述接入控制点对所述用户终端发送的注册报文进行完整性保护检查,并在检查通过后,向所述软交换核心控制设备转发包含有一第一验证字的报文的步骤。
所述的用户终端接入软交换***的安全交互方法,其中,所述步骤三中,还包括所述软交换核心控制设备通过比较所述第一验证字与从所述安全认证服务器发送的一第二验证字是否一致来对所述用户终端进行验证的步骤,若所述第一验证字与所述第二验证字一致,则对所述用户终端验证成功;若不一致,则对所述用户终端验证失败。
所述的用户终端接入软交换***的安全交互方法,其中,在对所述用户终端验证成功时,所述步骤三中,还包括所述接入控制点向所述用户终端发送从所述软交换核心控制设备接收到的注册响应成功报文,并对该注册响应成功报文进行完整性保护的步骤。
所述的用户终端接入软交换***的安全交互方法,其中,所述步骤三中,还包括所述用户终端对该注册响应成功报文进行鉴别、完整性验证的步骤。
所述的用户终端接入软交换***的安全交互方法,其中,所述步骤三中,还包括所述软交换核心控制设备向安全认证服务器发送用户认证成功消息,并更新所述安全认证服务器上用户终端信息的步骤。
本发明在以软交换技术为基础的IP网络***体系架构中,提出了接入域内的用户终端与***之间的双向认证及密钥分发流程,采用本发明,用户终端可以安全地通过接入控制点SP接入到软交换***,增强了接入域的安全,满足通讯安全要求,其有益效果具体在于:
1),软交换核心控制设备与用户终端之间有多于一组的认证方式;
2),接入控制点SP与用户终端之间信令传输可以采用机密性、完整性保护两种方式中的一种或两种方式来保护;
3),可以实现用户终端与***的双向认证;
4),在可信任核心网络的边界点(接入控制点SP)与终端采用机密性和完整性机制,在接入域对非法数据流进行控制,分散的机制避免了非法数据对核心设备的攻击;
5),加密性密钥、完整性密钥生成都是在设备自身生成,避免了密码在网络中传送的风险。采用多种协商机制,对于机密性保护采用两种算法组合,避免算法不稳定而导致的安全隐患。
以下结合附图和具体实施例对本发明进行详细描述,但不作为对本发明的限定。
附图说明
图1为本发明软交换网络接入域组网示意图;
图2为本发明接入域内双向认证及密钥分发流程示意图。
具体实施方式
下面结合附图对技术方案的实施作进一步的详细描述。
请参阅图1所示,描述了软交换网络接入域示意图。其中,SS(Soft Switch)是指软交换核心控制设备101,SP(Signing Point)是指接入控制点102,Client是指用户终端103,而AUC(Authentication Center)是指安全认证服务器/认证中心104;图1中的虚线105是指各功能实体的安全认证参数存放在安全认证服务器AUC 104上,而实线106表示各功能实体之间通信连接关系。
在图1中,以软交换技术为基础的IP网络体系架构中,存在至少一个软交换核心控制设备101;一个或多个接入控制点102;多个用户终端103;一个安全认证服务器104。
其中,一个用户终端103至少有一个或一个以上的用户终端认证安全参数组,每个用户终端认证安全参数组提供验证/认证、加密、完整性保护等安全方式中的一种或几种方式所需要的参数信息;对应于每个用户终端103的每个用户终端认证安全参数组,在安全认证服务器104中都将存放一个对应的用户终端认证授权参数组,用于提供用户终端103的验证/认证、机密性、完整性保护等安全方式中的一种或几种方式所需要的计算信息。
其中,一个接入控制点102至少有一个或一个以上的接入控制点认证安全参数组,每个接入控制点认证安全参数组提供验证/认证、加密、完整性保护等安全方式中的一种或几种方式所需要的参数信息;对应于每个接入控制点102的每个接入控制点认证安全参数组,在安全认证服务器104中都将存放一个对应的接入控制点认证授权参数组,用于提供接入控制点102的验证/认证、机密性、完整性保护等安全方式中的一种或几种方式所需要的计算信息。
在图1中,根据每个认证授权参数组,安全认证服务器104将负责产生密码产生信息,由软交换核心控制设备101进行验证/认证码验证。
在图1中,由接入控制点SP 102产生***认证字,用户终端Client 103对***进行认证,接入控制点SP 102与用户终端Client 103之间分别采用完整性密钥和机密性密钥进行完整性和机密性保护,并根据安全认证服务器AUC104返回的信息交换所需密钥。
请参阅图2所示,描述了一个接入域内双向认证及密钥分发流程示意图。该流程示意图主要描述了用户终端对***进行验证/认证的机制,用户终端与接入控制点之间的密钥生成机制,以及消息保护机制,***对用户终端的验证/认证机制。
用户终端注册验证/认证、密码生成流程开始之前,需进行条件预设:认为接入控制点是***内信任域的设备。结合图1,该流程图包括步骤:
步骤200,用户终端Client 103按协议流程向接入控制点SP 102发起注册请求,及正常的协议注册报文,报文中携带用户终端Client 103产生的随机数R1和Client ID(客户端标识);
步骤201,接入控制点SP 102向软交换核心控制设备SS 101转发用户的注册报文,注册报文中携带接入控制点SP 102的设备标识SP ID(接入控制点标识)和Client ID(客户端标识);
步骤202,软交换核心控制设备SS 101没有用户终端Client 103的用户鉴权信息,向安全认证服务器AUC 104发出对用户终端Client 103的鉴权验证/认证请求,请求中包含Client ID和SP ID;
步骤203,安全认证服务器AUC 104根据Client ID、SP ID,获取与用户终端Client 103的共享密钥Kc以及与接入控制点SP 102的共享密钥Ksp,生成一个随机数R2,由R2、Client ID和共享密钥Kc等一起生成对用户终端Client103的验证字Authenticator,同时生成用户终端Client 103和接入控制点SP 102之间的会话密钥Kc,sp,其中Kc,sp分别由共享密钥Kc和Ksp加密,最后将R2、验证字Authenticator、加密后的会话密钥(Ekc(Kc,sp)、Eksp(Kc,sp))作为软交换核心控制设备SS 101验证/认证请求的响应返回给软交换核心控制设备SS 101;
步骤204,软交换核心控制设备SS 101向接入控制点SP 102返回注册响应报文或注册失败消息;当返回注册失败消息时,表明需要对用户终端Client103进行验证/认证;响应报文的参数中包括挑战字R2,同时将安全认证服务器AUC 104下发的经过Kc、Ksp加密后的两个会话密钥EKc[Kc,sp]和EKsp[Kc,sp]传给接入控制点SP 102,软交换核心控制设备SS 101保留验证字Authenticator;
步骤205,接入控制点SP 102向用户终端Client 103返回注册响应报文或注册失败消息;当返回注册失败消息时,表明需要对用户终端Client 103进行验证/认证;响应报文的参数中包括挑战字R2,经过Kc加密过的会话密钥EKc[Kc,sp],同时接入控制点SP 102采用共享密钥Ksp对加密过的会话密钥EKsp[Kc,sp]进行解密,得到Kc,sp,并用该会话密钥Kc,sp和随机数R1对发给用户终端Client 103的响应报文中的认证参数进行完整性保护,即,计算报文中的认证参数验证字并随报文一起返回给用户终端Client 103;
步骤206,用户终端Client 103通过共享密钥Kc对经过加密后的会话密钥EKc[Kc,sp]解密得到Kc,sp,用该会话密钥Kc,sp和随机数R1对接入控制点SP
102返回的报文中的认证参数进行完整性验证,如验证通过,则说明接入控制点SP 102及网络侧设备是合法的,并用共享密钥Kc、客户端标识Client ID及接入控制点SP 102返回的随机数R2重新计算验证字Authenticator’,向接入控制点SP 102重新发起注册请求,并通过Kc,sp对报文进行完整性保护,报文中包括新计算得到的验证字Authenticator’,若用户终端Client 103对***/网络验证/认证失败,放弃或从第1步,即步骤200开始重新发起注册请求;
步骤207,接入控制点SP 102通过会话密钥Kc,sp对报文进行完整性检查,如果检查通过,则向软交换核心控制设备SS 101转发用户的注册报文,包含用户计算得到的验证字Authenticator’,否则说明用户终端Client 103非法,退出注册过程;
步骤208,软交换核心控制设备SS 101将接入控制点SP 102发过来的注册报文中的验证字Authenticator’和安全认证服务器AUC 104发过来的验证字Authenticator进行比较,对用户终端Client 103进行验证/认证,若验证字Authenticator’与验证字Authenticator两者不一致,则表明对用户终端Client103的验证/认证失败,则重发报文或退出注册过程,若两者一致,则表明对用户终端Client 103的验证成功,向接入控制点SP 102返回注册成功响应报文;
步骤209,接入控制点SP 102收到软交换核心控制设备SS 101的注册响应成功报文,向用户终端Client 103转发注册响应成功报文,同时用会话密钥Kc,sp对响应报文进行保护,保证报文的完整性,接入控制点SP 102同时记录下该用户终端Client 103的相关信息(用户号码、地址、端口等),并标识该用户为一合法用户;
步骤210,用户终端Client 103采用会话密钥Kc,sp对注册响应成功报文进行鉴别,验证注册响应成功报文的完整性,至此注册验证/认证及会话密钥协商成功,同时软交换核心控制设备SS 101会向安全认证服务器AUC 104发出用户验证/认证成功消息,更新安全认证服务器AUC 104上的用户终端信息。
在本实施例中,加密算法和完整性算法均采用对称加密算法,其中完整性保护是同时采用两种算法,会话密钥可以根据预先配置在通信实体和安全认证服务器上的共享密钥直接获得,也可以在此基础上根据共享密钥和随机数来计算获得。
在本实施例中,详细描述了接入域双向验证/认证及密钥分发流程,对其中涉及到信令等方面,仅是示意性的说明,供参考。
在本发明中,信令安全传输部分完成在用户终端Client、接入控制点SP之间进行加密性密钥和完整性密钥的安全生成,增强了安全性要求,减少对软交换核心控制设备的攻击。
当然,本发明还可有其他多种实施例,在不背离本发明精神及其实质的情况下,熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形,但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。
Claims (10)
1、一种用户终端接入软交换***的安全交互方法,应用于基于IP网络的软交换***,该***包括至少一个软交换核心控制设备和接入控制点、多个用户终端、安全认证服务器,其特征在于,该方法包括如下步骤:
步骤一,在所述用户终端上设置用户终端认证安全参数组,在所述接入控制点上设置接入控制点认证安全参数组,在所述安全认证服务器上设置与所述用户终端认证安全参数组对应的用户终端认证授权参数组及与所述接入控制点认证安全参数组对应的接入控制点认证授权参数组;
步骤二,将所述用户终端通过所述接入控制点接入至所述软交换核心控制设备;
步骤三,所述用户终端通过所述接入控制点、所述软交换核心控制设备,并根据所述用户终端认证安全参数组及***返回的鉴权信息对***进行认证,并交换与所述接入控制点之间的完整性密钥、机密性密钥;所述接入控制点根据所述接入控制点认证安全参数组、与所述用户终端之间的完整性密钥、机密性密钥对所述用户终端与所述软交换核心控制设备之间的报文进行安全保护;所述安全认证服务器通过所述软交换核心控制设备、所述接入控制点,并根据所述用户终端认证授权参数组、所述接入控制点认证授权参数组对所述用户终端进行安全接入认证。
2、根据权利要求1所述的用户终端接入软交换***的安全交互方法,其特征在于,所述用户终端认证安全参数组的个数为一个或多个;所述接入控制点认证安全参数组的个数为一个或多个。
3、根据权利要求2所述的用户终端接入软交换***的安全交互方法,其特征在于,所述每个用户终端认证安全参数组/所述每个接入控制点认证安全参数组包括认证、加密、完整性保护安全方式中的一种或多种方式的参数信息。
4、根据权利要求2或3所述的用户终端接入软交换***的安全交互方法,其特征在于,所述步骤三中,还包括所述接入控制点与所述用户终端之间的报文分别采用完整性密钥和机密性密钥进行完整性和机密性保护的步骤。
5、根据权利要求4所述的用户终端接入软交换***的安全交互方法,其特征在于,所述步骤三中,还包括所述用户终端对由所述接入控制点返回的注册响应报文进行完整性验证的步骤,若所述注册响应报文通过完整性验证,所述用户终端向所述接入控制点重新发起注册请求。
6、根据权利要求4所述的用户终端接入软交换***的安全交互方法,其特征在于,所述步骤三中,还包括所述接入控制点对所述用户终端发送的注册报文进行完整性保护检查,并在检查通过后,向所述软交换核心控制设备转发包含有一第一验证字的报文的步骤。
7、根据权利要求6所述的用户终端接入软交换***的安全交互方法,其特征在于,所述步骤三中,还包括所述软交换核心控制设备通过比较所述第一验证字与从所述安全认证服务器发送的一第二验证字是否一致来对所述用户终端进行验证的步骤,若所述第一验证字与所述第二验证字一致,则对所述用户终端验证成功;若不一致,则对所述用户终端验证失败。
8、根据权利要求7所述的用户终端接入软交换***的安全交互方法,其特征在于,在对所述用户终端验证成功时,所述步骤三中,还包括所述接入控制点向所述用户终端发送从所述软交换核心控制设备接收到的注册响应成功报文,并对该注册响应成功报文进行完整性保护的步骤。
9、根据权利要求8所述的用户终端接入软交换***的安全交互方法,其特征在于,所述步骤三中,还包括所述用户终端对该注册响应成功报文进行鉴别、完整性验证的步骤。
10、根据权利要求8所述的用户终端接入软交换***的安全交互方法,其特征在于,所述步骤三中,还包括所述软交换核心控制设备向安全认证服务器发送用户认证成功消息,并更新所述安全认证服务器上用户终端信息的步骤。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN200610011370A CN100589384C (zh) | 2006-02-24 | 2006-02-24 | 一种用户终端接入软交换***的安全交互方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN200610011370A CN100589384C (zh) | 2006-02-24 | 2006-02-24 | 一种用户终端接入软交换***的安全交互方法 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN101026454A CN101026454A (zh) | 2007-08-29 |
CN100589384C true CN100589384C (zh) | 2010-02-10 |
Family
ID=38744403
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN200610011370A Expired - Fee Related CN100589384C (zh) | 2006-02-24 | 2006-02-24 | 一种用户终端接入软交换***的安全交互方法 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN100589384C (zh) |
Families Citing this family (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN105721153B (zh) * | 2014-09-05 | 2020-03-27 | 三星Sds株式会社 | 基于认证信息的密钥交换***及方法 |
CN109699031B (zh) * | 2018-01-11 | 2020-03-20 | 华为技术有限公司 | 采用共享密钥、公钥和私钥的验证方法及装置 |
CN110035433B (zh) | 2018-01-11 | 2024-03-19 | 华为技术有限公司 | 采用共享密钥、公钥和私钥的验证方法及装置 |
CN112953718B (zh) * | 2019-11-26 | 2024-05-28 | ***通信集团安徽有限公司 | Ims网络用户的鉴权方法及装置、呼叫会话控制功能实体 |
-
2006
- 2006-02-24 CN CN200610011370A patent/CN100589384C/zh not_active Expired - Fee Related
Also Published As
Publication number | Publication date |
---|---|
CN101026454A (zh) | 2007-08-29 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN108270571B (zh) | 基于区块链的物联网身份认证***及其方法 | |
CN109728909B (zh) | 基于USBKey的身份认证方法和*** | |
CN101189827B (zh) | 综合认证和管理服务提供者、终端和用户身份模块的方法以及使用该方法的***和终端 | |
CN104767731B (zh) | 一种Restful移动交易***身份认证防护方法 | |
CN101304423B (zh) | 用户身份认证方法及*** | |
JPH06223041A (ja) | 広域環境利用者認証方式 | |
CN103229452A (zh) | 移动手持设备的识别和通信认证 | |
EP1391073A1 (en) | Use and generation of a session key in a secure socket layer connection | |
KR20060065863A (ko) | Epon 구간내에서의 링크 보안을 위한 인증 방법 | |
CN101262342A (zh) | 分布式授权与验证方法、装置及*** | |
CN100561919C (zh) | 一种宽带接入用户认证方法 | |
CN101741860A (zh) | 一种计算机远程安全控制方法 | |
CN111224784B (zh) | 一种基于硬件可信根的角色分离的分布式认证授权方法 | |
CN104901940A (zh) | 一种基于cpk标识认证的802.1x网络接入方法 | |
CN101577620A (zh) | 一种以太网无源光网络(epon)***认证方法 | |
CN100579012C (zh) | 一种终端用户安全接入软交换网络的方法 | |
CN111147257A (zh) | 身份认证和信息保密的方法、监控中心和远程终端单元 | |
CN112565294A (zh) | 一种基于区块链电子签名的身份认证方法 | |
CN101192927A (zh) | 基于身份保密的授权与多重认证方法 | |
CN101094063B (zh) | 一种游牧终端接入软交换网络***的安全交互方法 | |
CN100589384C (zh) | 一种用户终端接入软交换***的安全交互方法 | |
CN101272379A (zh) | 基于IEEE802.1x安全认证协议的改进方法 | |
CN110519222A (zh) | 基于一次性非对称密钥对和密钥卡的外网接入身份认证方法和*** | |
CN114091009A (zh) | 利用分布式身份标识建立安全链接的方法 | |
KR101358704B1 (ko) | 싱글 사인 온을 위한 인증 방법 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C14 | Grant of patent or utility model | ||
GR01 | Patent grant | ||
CF01 | Termination of patent right due to non-payment of annual fee | ||
CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20100210 Termination date: 20180224 |