CN107493293A - 一种sip终端接入鉴权的方法 - Google Patents

Abstract

本发明提供了一种SIP终端接入鉴权的方法，涉及通信技术领域。SIP终端接入鉴权的方法中，在SIP终端向SIP服务器发出注册请求的过程中，SIP服务器会请求对SIP终端鉴权，SIP终端将SIP终端的MAC地址作为输入参数之一，按照SIP服务器指示的摘要认证算法计算出摘要认证响应、并发送给SIP服务器。SIP服务器在收到摘要认证响应时，同样将SIP服务器内保存的SIP终端的MAC地址作为输入参数之一，计算出摘要认证响应。如果SIP服务器计算出的摘要认证响应与SIP终端发送的摘要认证响应匹配，则允许SIP终端的注册请求，反之，则拒绝。利用上述方法，即使SIP账号、密码泄露了，如果不是通过预先绑定的SIP终端注册，SIP账号也无法登录使用，有效防止SIP账号被盗用的风险。

Description

一种SIP终端接入鉴权的方法

技术领域

本发明涉及通信技术领域，具体而言，涉及一种SIP终端接入鉴权的方法。

背景技术

目前，随着VoIP（Voice over Internet Protocol，中文名：网络电话）业务的兴起，采用SIP（Session Initiation Protocol，中文名：会话发起协议）终端接入SIP服务器实现语音、视频呼叫的业务越来越多。

相比于传统的模拟电话，SIP终端接入通信网络的过程不受物理线路的限制，只要有网络，就可以使用***预先分配的SIP账号和密码注册到SIP服务器上，并发起呼叫。

在SIP协议里规定的对SIP终端的鉴权方式是：当SIP服务器在收到对SIP终端发来的未经认证的访问请求时，会响应一个401Unauthorized（401未经授权）应答给SIP终端，其中包含realm、动态nonce、opaque、Algorithm、Qop等参数；SIP终端在重试发送注册请求时，也产生一个动态的cnonce值，并采用如下算法来计算摘要认证响应：

HA1 = md5("username:realm:password");

HA2 = md5("method:uri")

response = md5("HA1:nouce:nc:cnonce:qop:HA2");

SIP服务器收到SIP终端重发的注册请求后，要对用户名、口令进行合法性检查。SIP服务器使用已经保存在服务端的用户名和密码，并结合消息头域中的其他参数。采用和SIP终端相同的摘要认证算法（如MD5）计算摘要认证响应，并将计算结果与请求-摘要中的response值相比较。此鉴权过程的关键点在于：由于response的值与用户名、密码、nonce、cnonce、algorithm（约定的算法）等参数有关，因此如果结果一致，SIP服务器和SIP客户端双方都可以认为对方不是伪造的。

这样也就存在一个很大的风险，如果SIP账号和密码泄露，SIP账号和密码就有可能被盗用，并且SIP服务器也无法有效甄别哪个SIP终端是非法接入，SIP账号和密码就有可能被不法分子盗用。

因此，改进SIP终端接入SIP服务器的鉴权方法，使SIP服务器能够自动有效甄别出非法接入的SIP终端、并拒绝该SIP终端的注册请求，这是，目前亟待解决的技术问题。

发明内容

本发明的目的在于提供一种SIP终端接入鉴权的方法，其旨在解决SIP服务器也无法有效甄别SIP账号和密码是否被盗用、且无法有效拒绝被盗用的SIP账号的注册请求的技术问题。

本发明提供的技术方案：

一种SIP终端接入鉴权的方法包括以下步骤：

SIP终端向SIP服务器发送注册请求；

SIP服务器收到注册请求后，发送401Unauthorized消息给SIP终端，请求对SIP终端认证；

SIP终端收到401Unauthorized消息后，根据SIP服务器指示的摘要认证算法，将SIP终端的MAC地址作为输入参数之一，计算摘要认证响应，并计算出的摘要认证响应发送给SIP服务器；

SIP服务器收到SIP终端发来的摘要认证响应后，同样将SIP终端的MAC地址作为输入参数之一，采用和SIP终端相同的摘要认证算法，计算出摘要认证响应；

SIP服务器将计算出的摘要认证响应和接收到的报文中的摘要认证响应进行匹配，如果匹配一致，则允许SIP终端的注册请求，如果匹配不一致，则拒绝SIP终端的注册请求。

进一步地，SIP终端向SIP服务器发送注册请求之前，还包括步骤：

在SIP服务器中添加SIP账号，同时将SIP账号与使用该SIP账号的SIP终端的MAC地址绑定，并在SIP服务器中保存SIP账号、密码和SIP终端的MAC地址的对应关系。

进一步地，SIP终端向SIP服务器发送注册请求之前，还包括步骤：

在SIP服务器中添加SIP账号，同时将SIP账号与可以使用该SIP账号的多个SIP终端的MAC地址绑定，并在SIP服务器中保存SIP账号、密码和SIP终端的MAC地址的对应关系。

本发明提供的SIP终端接入鉴权的方法的有益效果是：

现有技术中，只要SIP账号泄露，就有被盗用的风险，并且很难判断哪个注册请求是非法接入的。利用本发明提供的SIP终端接入鉴权的方法，即使SIP账号、密码泄露了，如果不是通过预先绑定的SIP终端登录，SIP账号、密码也无法登录使用，这样，可以有效防止SIP账号被盗用的风险。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本发明实施例提供的SIP终端接入鉴权的方法的流程示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了规避SIP账号被盗用的风险，本实施例提出将SIP账号和SIP终端进行绑定，SIP终端向SIP服务器发出注册请求时，只有SIP账号与SIP终端是匹配的，SIP服务器才会接受此注册请求。

判断SIP账号与SIP终端是否匹配的方法如下：

每台SIP终端都有全球唯一的MAC地址，SIP服务器在分配SIP账号时，将SIP账号和SIP终端的MAC地址绑定到一起。这样，在SIP终端向SIP服务器发出注册请求的过程中，SIP服务器会要求对SIP终端鉴权，SIP终端在计算摘要认证响应（Digest AuthenticationResponse）的过程中，需要同时将SIP账号、密码和SIP终端的MAC地址作为输入参数。SIP终端将根据SIP账号、密码和SIP终端的MAC地址计算出的摘要认证响应发送给SIP服务器。

SIP服务器在收到SIP终端发来的摘要认证响应时，会根据SIP服务器内保存的SIP账号、密码和SIP终端的MAC地址，计算出摘要认证响应。

如果SIP服务器计算出的摘要认证响应与SIP终端发送的摘要认证响应匹配，则SIP服务器判断SIP账号与SIP终端匹配，允许SIP终端的注册请求。如果SIP服务器计算出的摘要认证响应与SIP终端发送的摘要认证响应不匹配，则SIP服务器判断SIP账号与SIP终端不匹配，此次注册请求存在SIP账号被盗用的风险，拒绝SIP终端的注册请求。

用户利用SIP终端在SIP服务器中注册SIP账号，同时绑定该SIP账号所对应的SIP终端的MAC地址。优选地，同一个SIP账号绑定可以使用该SIP账号的多个SIP终端的MAC地址，以便于一个SIP账号可以在多个SIP终端上登录使用。

具体的，请参阅图1，SIP终端接入鉴权的方法包括以下步骤：

S1：SIP终端向SIP服务器发送注册请求。

S2：SIP服务器收到此注册请求后，发送401Unauthorized消息给SIP终端，请求对SIP终端认证。

S3：SIP终端收到401Unauthorized消息后，根据SIP服务器指示的摘要认证算法，将SIP终端的MAC地址作为输入参数之一，计算摘要认证响应，并计算出的摘要认证响应发送给SIP服务器。

具体的，摘要认证算法为：

HA1 = md5("username:realm:password:MAC")；

HA2 = md5("method:uri")

response = md5("HA1:nouce:nc:cnonce:qop:HA2")；

其中，response信息里包含了SIP账号、密码和SIP终端的MAC地址。

S4：SIP服务器收到SIP终端发来的摘要认证响应后，同样将SIP终端的MAC地址作为输入参数之一，采用和SIP终端相同的摘要认证算法，计算出摘要认证响应（md5）。

S5：SIP服务器将计算出的摘要认证响应和接收到的报文中的摘要认证响应进行匹配。

如果SIP服务器计算出的摘要认证响应与SIP终端发送的摘要认证响应匹配一致，则SIP服务器判断SIP账号与SIP终端匹配一致，允许SIP终端的注册请求。

如果SIP服务器计算出的摘要认证响应与SIP终端发送的摘要认证响应匹配不一致，则SIP服务器判断SIP账号与SIP终端匹配不一致，此次注册请求存在SIP账号被盗用的风险，拒绝SIP终端的注册请求。

容易理解的是，SIP终端向SIP服务器发送注册请求之前，需要在SIP服务器中添加SIP账号，同时将SIP账号与使用该SIP账号的SIP终端的MAC地址绑定，并在SIP服务器中保存SIP账号、密码和SIP终端的MAC地址的对应关系。

此外，对于SIP终端向SIP服务器初次发送注册请求的情况，只需要将注册的SIP账号、密码和SIP终端的MAC地址保存至SIP服务器中，SIP服务器不会发送401Unauthorized消息给SIP终端、请求对SIP终端认证。

从第二次SIP终端向SIP服务器发送注册请求开始，SIP终端与SIP服务器之间才实施本实施例提供的SIP终端接入鉴权的方法。

现有技术中，只要SIP账号泄露，就有被盗用的风险，并且很难判断哪个注册请求是非法接入的。

利用本发明提供的SIP终端接入鉴权的方法，即使SIP账号、密码泄露了，如果不是通过预先绑定的SIP终端登录，SIP账号、密码也无法登录使用，这样，可以有效防止SIP账号被盗用的风险。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (3)

1.一种SIP终端接入鉴权的方法，其特征在于：所述SIP终端接入鉴权的方法包括以下步骤：

SIP终端向SIP服务器发送注册请求；

SIP服务器收到注册请求后，发送401Unauthorized消息给SIP终端，请求对SIP终端认证；

SIP终端收到401Unauthorized消息后，根据SIP服务器指示的摘要认证算法，将SIP终端的MAC地址作为输入参数之一，计算摘要认证响应，并计算出的摘要认证响应发送给SIP服务器；

SIP服务器收到SIP终端发来的摘要认证响应后，同样将SIP终端的MAC地址作为输入参数之一，采用和SIP终端相同的摘要认证算法，计算出摘要认证响应；

SIP服务器将计算出的摘要认证响应和接收到的报文中的摘要认证响应进行匹配，如果匹配一致，则允许SIP终端的注册请求，如果匹配不一致，则拒绝SIP终端的注册请求。

2.根据权利要求1所述的一种SIP终端接入鉴权的方法，其特征在于：SIP终端向SIP服务器发送注册请求之前，还包括步骤：

在SIP服务器中添加SIP账号，同时将SIP账号与使用该SIP账号的SIP终端的MAC地址绑定，并在SIP服务器中保存SIP账号、密码和SIP终端的MAC地址的对应关系。

3.根据权利要求1所述的一种SIP终端接入鉴权的方法，其特征在于：SIP终端向SIP服务器发送注册请求之前，还包括步骤：

在SIP服务器中添加SIP账号，同时将SIP账号与可以使用该SIP账号的多个SIP终端的MAC地址绑定，并在SIP服务器中保存SIP账号、密码和SIP终端的MAC地址的对应关系。