專利名稱：基于端點之間的安全通信方法
技術(shù)領(lǐng)域：
本發(fā)明涉及信息安全技術(shù)領(lǐng)域，尤其涉及通信系統(tǒng)中不同端點之間進(jìn)行安全通信的方法。
背景技術(shù)：
基于H323協(xié)議的多媒體通信系統(tǒng)是基于無服務(wù)質(zhì)量(QOS，Quality ofService)保證的分組網(wǎng)絡(luò)(PBN，Packet Based Network)實現(xiàn)的。由于PBN網(wǎng)絡(luò)的本身技術(shù)原因，PBN網(wǎng)絡(luò)一般不能提供QOS保證，也就不能為這類網(wǎng)絡(luò)系統(tǒng)中的端點之間進(jìn)行通信時提供安全的服務(wù)質(zhì)量。
為了在這類不安全的網(wǎng)絡(luò)系統(tǒng)上提供適時的安全服務(wù)，在不同端點之間進(jìn)行通信時就必須考慮兩個問題鑒權(quán)(Authentication)和保密(Privacy)。
其中H235協(xié)議V3版本以前的版本已經(jīng)定義了一些用于H323協(xié)議的多媒體通信系統(tǒng)的鑒權(quán)和保密技術(shù)，但這些技術(shù)都是假定在網(wǎng)守(GK，Gate Keeper)路由模式(GK路由模式是應(yīng)用于H323協(xié)議通信系統(tǒng)中的一種路由模式，核心是利用GK來轉(zhuǎn)發(fā)不同端點之間的呼叫信令)下的技術(shù)方案。進(jìn)而，H235協(xié)議V3版本的附錄I提出了基于直接路由模式(直接路由模式是應(yīng)用于H323協(xié)議通信系統(tǒng)的另外一種路由模式，和上述GK路由模式相反，不利用GK來轉(zhuǎn)發(fā)不同端點之間的呼叫信令，而是由參與通信的兩個端點直接交互各自的呼叫信令)的鑒權(quán)和保密技術(shù)，但是這種基于直接路由模式的鑒權(quán)和保密技術(shù)主要利用在H235協(xié)議V3版本的附錄D和附錄F的基本特性上，提供給H323協(xié)議通信系統(tǒng)的安全通信服務(wù)時，要限制參與通信的不同端點必須由同一個GK管理，即要求參與通信的不同端點在網(wǎng)絡(luò)系統(tǒng)的同一GK管理域內(nèi)，因此給實際應(yīng)用過程造成了很大的限制。
在ITU-T近期發(fā)布的H235協(xié)議V3版本的增補(bǔ)版本Amd1的附錄I對上述H235協(xié)議V3版本的附錄I進(jìn)行了修正，提出了應(yīng)用于跨不同GK管理域(跨GK管理是指主叫端點和被叫端點分別處于不同的GK管理范圍內(nèi)，主叫端點需要在主叫端點的歸屬GK和被叫端點的歸屬GK提供幫助的情況下才能定位到被叫端點)且以直接路由模式為基礎(chǔ)的鑒權(quán)和加密技術(shù)，以針對參與通信的多個端點在處于不同GK管理域的情況下，為其提供安全通信服務(wù)。
下面參照圖1，簡單說明目前現(xiàn)有技術(shù)在多媒體通信系統(tǒng)中，以直接路由模式為基礎(chǔ)，對處于不同GK管理域的端點之間進(jìn)行通信時，為其提供安全通信服務(wù)的處理過程。圖1所示在H323協(xié)議網(wǎng)絡(luò)系統(tǒng)的模塊組成框圖中，主叫端點(EPa，End Point a)和被叫端點(EPb，End Point b)為兩個不同的端點，其中網(wǎng)守GKg是主叫端點EPa的歸屬GK，網(wǎng)守GKh是被叫端點EPb的歸屬GK。同時，這里跨不同GK管理域且以直接路由模式為基礎(chǔ)的鑒權(quán)和加密技術(shù)會預(yù)先設(shè)置EPa和GKg之間的共享密鑰Kag，并設(shè)置EPb和GKh之間的共享密鑰Kbh，這樣EPa和GKg之間通過Kag相互鑒權(quán)，EPb和GKh之間通過Kbh相互鑒權(quán)；同時還要設(shè)置GKg和GKh之間的共享密鑰Kgh，這樣，GKg和GKh之間通過Kgh相互鑒權(quán)。基于上述的設(shè)置條件，EPa和EPb之間進(jìn)行安全通信的處理過程如下1、EPa準(zhǔn)備呼叫EPb時，首先發(fā)送包括EPb標(biāo)識信息的呼叫接入請求消息(ARQ，Admissions Request)給GKg，以提出接入申請。
2、GKg接收到ARQ消息后，根據(jù)ARQ消息中包含的EPb標(biāo)識信息查詢EPb的歸屬網(wǎng)守為GKh，便發(fā)送定位請求消息(LRQ，Location Request)給GKh。
3、GKh收到LRQ消息后，產(chǎn)生隨機(jī)序列challenge和初始化向量IV，然后使用產(chǎn)生的隨機(jī)序列challenge對Kbh(EPb與GKh之間的共享密鑰)進(jìn)行加密運算得到導(dǎo)出密鑰EKbh和KSbh；相應(yīng)的，GKh根據(jù)產(chǎn)生的隨機(jī)序列challenge對Kgh(GKg和GKh之間的共享密鑰Kgh)得到導(dǎo)出密鑰EKgh和KSgh；其中上述根據(jù)隨機(jī)序列challenge對每個共享密鑰進(jìn)行加密運算時，都會對應(yīng)產(chǎn)生兩個導(dǎo)出密鑰，而兩個不同導(dǎo)出密鑰是由于在對共享密鑰進(jìn)行加密運算時，在其隨機(jī)序列challenge前面加入了不同的數(shù)據(jù)標(biāo)簽所導(dǎo)致；然后，GKh使用產(chǎn)生的初始化向量IV對導(dǎo)出密鑰Ekbh、KSbh、EKgh和KSgh進(jìn)行如下加密運算ENCEKgh，KSgh，IV(EKbh)_表示EKbh被EKgh和KSgh在IV初始化向量的基礎(chǔ)上進(jìn)行加密；ENCEKgh，KSgh，IV(KSbh)_表示KSbh被EKgh和KSgh在IV初始化向量的基礎(chǔ)上進(jìn)行加密；然后，GKh創(chuàng)建定位確認(rèn)消息(LCF，Location Confirm)，并把上面得到的ENCEKgh，KSgh，IV(EKbh)和ENCEKgh，KSgh，IV(KSbh)設(shè)置到LCF消息中包含的明文標(biāo)記Clear Token的相應(yīng)字段中，同時將隨機(jī)序列challenge、初始化向量IV和對應(yīng)的算法信息設(shè)置在該明文標(biāo)記Clear Token的相應(yīng)字段中，最后將LCF消息反饋給GKg。
4、GKg收到LCF消息后，通過讀取該消息中明文標(biāo)記Clear Token相應(yīng)字段中的challenge、IV和對應(yīng)算法信息，以對ENCEKgh，KSgh，IV(EKbh)和ENCEKgh， KSgh，IV(KSbh)實施解密，得到EKbh和KSbh；其后，GKg產(chǎn)生自身的隨機(jī)序列challenge和初始化向量IV，并產(chǎn)生EPa和EPb之間的共享密鑰Kab；利用上述同樣原理，使用GKg產(chǎn)生的隨機(jī)序列challenge和初始化向量IV及Kag(EPa和GKg之間的共享密鑰)和EKbh和KSbh對Kab進(jìn)行如下加密處理EKab1＝ENCEKag，KSag，IV(Kab)；及EKab2＝ENCEKbh，KSbh，IV(Kab)；然后，GKg創(chuàng)建兩個明文標(biāo)記Clear Token a和Clear Token b，以下簡稱CTa和CTb；GKg將自身產(chǎn)生的challenge、IV和加密得到的EKab1及其相應(yīng)的算法信息設(shè)置在CTa的相應(yīng)字段中；并將自身產(chǎn)生的challenge、IV和加密得到的Ekab2及其相應(yīng)的算法信息設(shè)置在CTb的相應(yīng)字段中；最后GKg將CTa和CTb同時設(shè)置到創(chuàng)建的呼叫接入確認(rèn)消息(ACF，Admissions Confirm)中，并將ACF消息反饋給EPa。
5、EPa收到ACF消息后，通過讀取該消息中明文標(biāo)記CTa相應(yīng)字段中的challenge、IV和對應(yīng)算法信息，然后運用該算法信息使用challenge、IV對Kag進(jìn)行運算得出EKag和KSag，然后利用得到的EKag、KSag和IV解密EKab1＝ENCEKag，KSag，IV(Kab)得到Kab；EPa創(chuàng)建呼叫建立請求消息Setup，并把接收到的ACF消息中的明文標(biāo)記CTb完全復(fù)制到該Setup消息中，同時利用上述解密得到的Kab設(shè)置Setup消息中的鑒權(quán)信息，然后EPa把該Setup消息發(fā)給EPb。
EPb接收到EPa發(fā)來的Setup消息后進(jìn)行如下處理通過讀取該消息中明文標(biāo)記CTb相應(yīng)字段中的challenge、IV和對應(yīng)算法信息，然后運用該算法信息使用challenge、IV對Kbh進(jìn)行運算得出EKbh和KSbh，然后利用得到的EKbh、KSbh和IV解密Ekab2＝ENCEKbh，KSbh，IV(Kab)得到Kab；EPb利用解密得到的Kab對接收到的Setup消息進(jìn)行鑒權(quán)認(rèn)證。
后續(xù)在EPa和EPb的通信過程中，EPa和EPb就基于上述由GKg產(chǎn)生的密鑰數(shù)據(jù)Kab對通信信息進(jìn)行加密，然后對端使用該Kab對接收的消息進(jìn)行鑒權(quán)認(rèn)證，從而實現(xiàn)在分別處在不同GK管理域的兩個端點之間進(jìn)行通信時，為其提供其安全通信機(jī)制。
但是上述跨GK管理域且以直接路由模式為基礎(chǔ)的鑒權(quán)和保密技術(shù)在實現(xiàn)過程中，存在如下不足(1)主叫端點EPa和被叫端點EPb之間的共享密鑰Kab由主叫端點EPa的歸屬網(wǎng)守GKg生成，被叫端點EPb只能被動接受這個共享密鑰Kab，即使被叫端點EPb對這個共享密鑰Kab存在不信任，也必須被動接受，所以對于被叫端點EPb而言，其靈活性受到限制。
(2)在上述過程4中，由GKg創(chuàng)建明文標(biāo)記CTb時，密鑰Kab被GKg進(jìn)行了加密；而在EPb接收到Setup消息時，EPb還需要對該Setup消息中包含的明文標(biāo)記CTb的被加密部分進(jìn)行解密處理，以得到密鑰Kab，因此就要求在GKg側(cè)對密鑰Kab進(jìn)行加密時采用的算法和在EPb側(cè)對CTb進(jìn)行解密以得到密鑰Kab所采用的算法一致，這樣對于不同GK管理范圍內(nèi)的端點而言，必須保持不同端點之間采用一致的算法信息將導(dǎo)致該種安全通信機(jī)制具有較差的擴(kuò)展性。
(3)在上述過程3和4中，主叫端點EPa的歸屬網(wǎng)守GKg和被叫端點EPb的歸屬網(wǎng)守GKh之間需要傳遞被叫端點EPb和被叫端點EPb的歸屬網(wǎng)守GKh之間的導(dǎo)出密鑰(分別為EKbh和KSbh)，這樣就導(dǎo)致這兩個導(dǎo)出密鑰在GKg和GKh之間傳遞時，需要在GKh側(cè)進(jìn)行兩次加密處理，相應(yīng)在GKg側(cè)要進(jìn)行兩次對應(yīng)的解密處理，因此降低了該種安全通信機(jī)制的處理效率。

發(fā)明內(nèi)容
本發(fā)明要解決的技術(shù)問題是提出一種基于端點之間的安全通信方法，以實現(xiàn)由被叫端點的歸屬網(wǎng)守產(chǎn)生端點之間進(jìn)行安全通信所需的共享密鑰，使端點之間的安全通信機(jī)制具有較好的擴(kuò)展性和較高的處理效率。
為解決上述問題，本發(fā)明提出了一種基于端點之間的安全通信方法，用于處在不同網(wǎng)守管理域的端點之間進(jìn)行安全通信，包括步驟(1)在主叫端點呼叫被叫端點的過程中，由被叫端點的歸屬網(wǎng)守產(chǎn)生主叫端點和被叫端點之間的共享密鑰；(2)主叫端點和被叫端點之間基于所述共享密鑰進(jìn)行安全通信處理。
其中所述步驟(1)進(jìn)一步包括步驟(11)主叫端點發(fā)送包含被叫端點標(biāo)識信息的呼叫接入請求消息給自身的歸屬網(wǎng)守；(12)主叫端點的歸屬網(wǎng)守根據(jù)呼叫接入請求消息中包含的被叫端點標(biāo)識信息，生成包含被叫端點標(biāo)識信息的定位請求消息發(fā)送給被叫端點的歸屬網(wǎng)守；(13)被叫端點的歸屬網(wǎng)守接收到定位請求消息后，生成主叫端點和被叫端點之間的共享密鑰。
其中所述步驟(1)和步驟(2)之間還包括步驟(1-1)被叫端點的歸屬網(wǎng)守將主叫端點和被叫端點之間的共享密鑰加密傳輸給主叫端點，主叫端點利用所述共享密鑰對發(fā)送給被叫端點的呼叫建立請求消息進(jìn)行加密處理；(1-2)被叫端點的歸屬網(wǎng)守將主叫端點和被叫端點之間的共享密鑰加密傳輸給被叫端點，被叫端點利用所述共享密鑰對主叫端點發(fā)來的呼叫建立請求消息進(jìn)行鑒權(quán)處理。
其中所述步驟(1-1)進(jìn)一步包括(1-11)被叫端點的歸屬網(wǎng)守對主叫端點和被叫端點之間的共享密鑰進(jìn)行第一加密模式處理，并將處理數(shù)據(jù)發(fā)送給主叫端點的歸屬網(wǎng)守；(1-12)主叫端點的歸屬網(wǎng)守對接收數(shù)據(jù)進(jìn)行第一解密模式處理，得到主叫端點和被叫端點之間的共享密鑰；(1-13)主叫端點的歸屬網(wǎng)守對主叫端點和被叫端點之間的共享密鑰進(jìn)行第二加密模式處理，并將處理數(shù)據(jù)發(fā)送給主叫端點；(1-14)主叫端點對接收數(shù)據(jù)進(jìn)行第二解密模式處理，得到主叫端點和被叫端點之間的共享密鑰。
其中所述步驟(1)之前還包括預(yù)先設(shè)置主叫端點的歸屬網(wǎng)守和被叫端點的歸屬網(wǎng)守之間的共享密鑰；被叫端點的歸屬網(wǎng)守預(yù)先設(shè)置第一導(dǎo)出密鑰算法和第一加密算法；所述步驟(1-11)進(jìn)一步包括被叫端點的歸屬網(wǎng)守生成第一隨機(jī)序列和第一明文標(biāo)記；并基于第一導(dǎo)出密鑰算法利用第一隨機(jī)序列對主叫端點的歸屬網(wǎng)守和被叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第一導(dǎo)出密鑰；并基于第一加密算法利用第一導(dǎo)出密鑰對主叫端點和被叫端點之間的共享密鑰進(jìn)行加密，得到第一加密結(jié)果；并分別將第一加密結(jié)果，第一隨機(jī)序列，第一導(dǎo)出密鑰算法和第一加密算法設(shè)置到第一明文標(biāo)記的相應(yīng)字段中；并將第一明文標(biāo)記封裝到定位確認(rèn)消息中反饋給主叫端點的歸屬網(wǎng)守。
其中所述步驟(1-12)進(jìn)一步包括主叫端點的歸屬網(wǎng)守讀取定位確認(rèn)消息中第一明文標(biāo)記相應(yīng)字段記載的第一加密結(jié)果，第一隨機(jī)序列，第一導(dǎo)出密鑰算法和第一加密算法；并基于第一導(dǎo)出密鑰算法利用第一隨機(jī)序列對主叫端點的歸屬網(wǎng)守和被叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第一導(dǎo)出密鑰；并基于第一加密算法利用第一導(dǎo)出密鑰對所述第一加密結(jié)果進(jìn)行解密，得到主叫端點和被叫端點之間的共享密鑰。
其中所述步驟(1)之前還包括預(yù)先設(shè)置主叫端點和主叫端點的歸屬網(wǎng)守之間的共享密鑰；主叫端點的歸屬網(wǎng)守預(yù)先設(shè)置第二導(dǎo)出密鑰算法和第二加密算法；所述步驟(1-13)進(jìn)一步包括主叫端點的歸屬網(wǎng)守生成第二隨機(jī)序列和第二明文標(biāo)記；并基于第二導(dǎo)出密鑰算法利用第二隨機(jī)序列對主叫端點和主叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第二導(dǎo)出密鑰；并基于第二加密算法利用第二導(dǎo)出密鑰對主叫端點和被叫端點之間的共享密鑰進(jìn)行加密，得到第二加密結(jié)果；并分別將第二加密結(jié)果，第二隨機(jī)序列，第二導(dǎo)出密鑰算法和第二加密算法設(shè)置到第二明文標(biāo)記的相應(yīng)字段中；并將第二明文標(biāo)記封裝到呼叫接入確認(rèn)消息中反饋給主叫端點。
其中所述步驟(1-14)進(jìn)一步包括主叫端點讀取呼叫接入確認(rèn)消息中第二明文標(biāo)記相應(yīng)字段記載的第二加密結(jié)果，第二隨機(jī)序列和第二導(dǎo)出密鑰算法和第二加密算法；并基于第二導(dǎo)出密鑰算法利用第二隨機(jī)序列對主叫端點和主叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第二導(dǎo)出密鑰；并基于第二加密算法利用第二導(dǎo)出密鑰對所述第二加密結(jié)果進(jìn)行解密，得到主叫端點和被叫端點之間的共享密鑰。
其中所述步驟(1-2)進(jìn)一步包括(1-21)被叫端點的歸屬網(wǎng)守對主叫端點和被叫端點之間的共享密鑰進(jìn)行第三加密模式處理，并將處理數(shù)據(jù)發(fā)送給主叫端點的歸屬網(wǎng)守；(1-22)主叫端點的歸屬網(wǎng)守將處理數(shù)據(jù)轉(zhuǎn)發(fā)給主叫端點；(1-23)主叫端點將處理數(shù)據(jù)轉(zhuǎn)發(fā)給被叫端點；(1-24)被叫端點對接收數(shù)據(jù)進(jìn)行第三解密模式處理，得到主叫端點和被叫端點之間的共享密鑰。
其中所述步驟(1)之前還包括預(yù)先設(shè)置被叫端點和被叫端點的歸屬網(wǎng)守之間的共享密鑰；被叫端點的歸屬網(wǎng)守預(yù)先設(shè)置第三導(dǎo)出密鑰算法和第三加密算法；所述步驟(1-21)進(jìn)一步包括被叫端點的歸屬網(wǎng)守生成第三隨機(jī)序列和第三明文標(biāo)記；并基于第三導(dǎo)出密鑰算法利用第三隨機(jī)序列對被叫端點和被叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第三導(dǎo)出密鑰；并基于第三加密算法利用第三導(dǎo)出密鑰對主叫端點和被叫端點之間的共享密鑰進(jìn)行加密，得到第三加密結(jié)果；并分別將第三加密結(jié)果，第三隨機(jī)序列，第三導(dǎo)出密鑰算法和第三加密算法設(shè)置到第三明文標(biāo)記的相應(yīng)字段中；并將第三明文標(biāo)記封裝到定位確認(rèn)消息中反饋給主叫端點的歸屬網(wǎng)守。
其中步驟(1-22)所述主叫端點的歸屬網(wǎng)守將處理數(shù)據(jù)轉(zhuǎn)發(fā)給主叫端點通過將接收的定位確認(rèn)消息中的第三明文標(biāo)記封裝到反饋給主叫端點的呼叫接入確認(rèn)消息中完成；其中步驟(1-23)所述主叫端點將處理數(shù)據(jù)轉(zhuǎn)發(fā)給被叫端點通過將接收的呼叫接入確認(rèn)消息中的第三明文標(biāo)記封裝到反饋給被叫端點的呼叫建立請求消息中完成。
所述步驟(1-24)進(jìn)一步包括
被叫端點讀取呼叫建立請求消息中第三明文標(biāo)記相應(yīng)字段記載的第三加密結(jié)果，第三隨機(jī)序列和第三導(dǎo)出密鑰算法和第三加密算法；并基于第三導(dǎo)出密鑰算法利用第三隨機(jī)序列對被叫端點和被叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第三導(dǎo)出密鑰；并基于第三加密算法利用第三導(dǎo)出密鑰對所述第三加密結(jié)果進(jìn)行解密，得到主叫端點和被叫端點之間的共享密鑰。
所述步驟(1)和步驟(2)之間還包括步驟主叫端點向被叫端點發(fā)送呼叫建立請求消息；被叫端點利用所述共享密鑰對接收的呼叫建立請求消息進(jìn)行鑒權(quán)，在鑒權(quán)通過的情況下向自身的歸屬網(wǎng)守發(fā)送呼叫接入請求消息；被叫端點的歸屬網(wǎng)守根據(jù)接收的呼叫接入請求消息，在判斷得出被叫端點為自身管理端點的情況下向被叫端點反饋呼叫接入確認(rèn)消息；被叫端點接收到呼叫接入確認(rèn)消息后，向主叫端點發(fā)送振鈴消息和呼叫連接消息。
所述步驟(2)進(jìn)一步包括主叫端點或被叫端點利用所述共享密鑰對發(fā)給對方端點的消息進(jìn)行加密處理；并利用所述共享密鑰對由對方端點發(fā)來的消息進(jìn)行鑒權(quán)處理和消息完整性檢查處理。
所述步驟(2)之后還包括主叫端點和被叫端點之間傳送呼叫釋放消息的步驟。
相對于現(xiàn)有技術(shù)，本發(fā)明基于端點之間的安全通信方法能夠達(dá)到以下有益效果A、處于不同網(wǎng)守管理域的端點之間進(jìn)行安全通信所需的共享密鑰由被叫端點的歸屬網(wǎng)守產(chǎn)生，因此可以使被叫端點控制所有呼叫接入的權(quán)限，增強(qiáng)了被叫方對端點之間共享密鑰的信任；
B、被叫端點的歸屬網(wǎng)守對端點間的共享密鑰進(jìn)行了兩次加密處理，主叫端點的歸屬網(wǎng)守對端點間的共享密鑰進(jìn)行了一次加密處理，而并不要求這三次加密處理采用相同的加密算法規(guī)則，因此就不要求主叫端點的歸屬網(wǎng)守對端點間的共享密鑰進(jìn)行加密所采用的算法和被叫端點對加密數(shù)據(jù)進(jìn)行解密以得到端點間的共享密鑰所采用的算法保持一致，這樣有利于安全通信機(jī)制的擴(kuò)展；C、主叫端點的歸屬網(wǎng)守和被叫端點的歸屬網(wǎng)守之間不需要傳輸被叫端點和被叫端點的歸屬網(wǎng)守之間的共享密鑰對應(yīng)的導(dǎo)出密鑰，因此在被叫端點的歸屬網(wǎng)守側(cè)就不必再對被叫端點和被叫端點的歸屬網(wǎng)守之間的共享密鑰的導(dǎo)出密鑰進(jìn)行加密處理，相應(yīng)在主叫端點的歸屬網(wǎng)守側(cè)也不必再對加密數(shù)據(jù)進(jìn)行解密處理，以得到被叫端點和被叫端點的歸屬網(wǎng)守之間的共享密鑰對應(yīng)的導(dǎo)出密鑰；因此提高了安全通信機(jī)制的處理效率。


圖1是現(xiàn)有技術(shù)中，在直接路由模式下的處于不同GK管理域的端點之間進(jìn)行安全通信的處理過程；圖2是在本發(fā)明基于端點之間的安全通信方法中，被叫端點的歸屬網(wǎng)守將主被叫端點之間的共享密鑰加密處理后傳輸給主叫端點，主叫端點再對加密數(shù)據(jù)解密處理得到相應(yīng)共享密鑰的過程圖；圖3是在本發(fā)明基于端點之間的安全通信方法中，被叫端點的歸屬網(wǎng)守將主被叫端點之間的共享密鑰加密處理后傳輸給被叫端點，被叫端點再對加密數(shù)據(jù)解密處理得到相應(yīng)共享密鑰的過程圖；圖4是本發(fā)明基于端點之間的安全通信方法的具體實施例處理過程圖。
具體實施例方式
本發(fā)明基于端點之間的安全通信方法主要應(yīng)用于H323協(xié)議多媒體通信系統(tǒng)，實現(xiàn)在直接路由模式下為跨不同GK管理域的端點間進(jìn)行安全通信而提出的。相對于現(xiàn)有技術(shù)而言，本發(fā)明基于端點之間的安全通信方法要能夠減少主叫端點的歸屬網(wǎng)守和被叫端點的歸屬網(wǎng)守之間的加/解密次數(shù)；且同時能夠支持主叫端點的歸屬網(wǎng)守管理域和被叫端點的歸屬網(wǎng)守管理域采用不同的加/解密算法，主叫端點和被叫端點采用不同的加/解密算法；主叫端點和被叫端點之間的共享密鑰由被叫端點的歸屬網(wǎng)守生成，呼叫消息的接收與否完全由被叫端點的歸屬網(wǎng)守和被叫端點自身控制，從而擺脫主叫端點歸屬網(wǎng)守的控制，使被叫方對端點間的共享密鑰更加信任，這種信任機(jī)制對于運營商來講這是非常重要的。
本發(fā)明基于端點之間的安全通信方法設(shè)計宗旨是對于處在不同網(wǎng)守(GK，Gate Keeper)管理域的端點(EP，End Point)之間進(jìn)行的通信，當(dāng)主叫端點呼叫被叫端點時，由被叫端點的歸屬GK產(chǎn)生主叫端點和被叫端點之間的共享密鑰；主叫端點和被叫端點之間利用由被叫端點的歸屬GK產(chǎn)生的共享密鑰來進(jìn)行安全通信處理。
其中主叫端點和被叫端點之間利用由被叫端點的歸屬GK產(chǎn)生的共享密鑰來進(jìn)行安全通信的過程主要包括主叫端點或被叫端點利用由被叫端點的歸屬GK產(chǎn)生的共享密鑰對發(fā)給對方端點的消息進(jìn)行加密處理；同時，主叫端點或被叫端點利用由被叫端點的歸屬GK產(chǎn)生的共享密鑰對由對方端點發(fā)來的消息進(jìn)行鑒權(quán)處理和消息完整性檢查處理。
其中為實現(xiàn)上述主叫端點和被叫端點之間使用由被叫端點的歸屬GK產(chǎn)生的公共密鑰進(jìn)行安全通信的目的，主要需要進(jìn)行下面兩個工作第一，需要被叫端點的歸屬網(wǎng)守將主叫端點和被叫端點之間的共享密鑰加密處理后傳輸給主叫端點，主叫端點再利用解密得到的共享密鑰對發(fā)送給被叫端點的呼叫建立請求消息和后續(xù)發(fā)給被叫端點的業(yè)務(wù)消息進(jìn)行加密處理；參照圖2，該圖是在本發(fā)明基于端點之間的安全通信方法中，被叫端點的歸屬網(wǎng)守將主叫端點和被叫端點之間的共享密鑰加密處理后傳輸給主叫端點，主叫端點再對加密數(shù)據(jù)解密處理得到相應(yīng)共享密鑰的過程圖，其處理過程主要如下
步驟S1，主叫端點要呼叫和自身不在同一GK管理范圍域內(nèi)的被叫端點時，首先生成包含有被叫端點標(biāo)識信息的呼叫接入請求消息(ARQAdmissions Request)，并將ARQ消息發(fā)送給自身的歸屬GK；步驟S2，主叫端點的歸屬GK根據(jù)ARQ消息中包含的被叫端點標(biāo)識信息，定位到被叫端點所在的GK管理域，并生成包含被叫端點標(biāo)識信息的定位請求消息(LRQ，Location Request)發(fā)送到被叫端點的歸屬GK；步驟S3，被叫端點的歸屬GK接收到LRQ消息后，生成主叫端點和被叫端點之間的共享密鑰；步驟S4，被叫端點的歸屬GK對主被叫端點之間的共享密鑰進(jìn)行第一加密模式的處理，并將處理數(shù)據(jù)發(fā)送給主叫端點的歸屬網(wǎng)守；其利用第一加密模式對主被叫端點之間的共享密鑰進(jìn)行加密，并將加密數(shù)據(jù)發(fā)送給主叫端點的歸屬網(wǎng)守的過程具體包括預(yù)先由管理人員設(shè)置主叫端點的歸屬網(wǎng)守和被叫端點的歸屬網(wǎng)守之間的共享密鑰；并在被叫端點的歸屬網(wǎng)守內(nèi)預(yù)先設(shè)置第一導(dǎo)出密鑰算法和第一加密算法，該兩個算法規(guī)則可以為現(xiàn)有技術(shù)中標(biāo)準(zhǔn)的運算法則；這樣在被叫端點的歸屬網(wǎng)守中將對主被叫端點之間的共享密鑰進(jìn)行如下處理被叫端點的歸屬網(wǎng)守控制隨機(jī)序列發(fā)生器生成第一隨機(jī)序列；并創(chuàng)建第一明文標(biāo)記Clear Token1；首先，基于第一導(dǎo)出密鑰算法利用第一隨機(jī)序列對主叫端點的歸屬網(wǎng)守和被叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密變換得到第一導(dǎo)出密鑰；再次，基于第一加密算法利用上述得到的第一導(dǎo)出密鑰對主被叫端點之間的共享密鑰進(jìn)行加密變換，以得到第一加密結(jié)果；然后，將上述第一加密結(jié)果，第一隨機(jī)序列，第一導(dǎo)出密鑰算法和第一加密算法設(shè)置到第一明文標(biāo)記的相應(yīng)字段中；最后，將第一明文標(biāo)記封裝到定位確認(rèn)消息(LCF，Location Confirm)中，并將LCF消息反饋給主叫端點的歸屬網(wǎng)守。從而實現(xiàn)被叫端點的歸屬網(wǎng)守將對主被叫端點之間的共享密鑰實施第一加密模式處理后的加密數(shù)據(jù)發(fā)送給主叫端點的歸屬網(wǎng)守的目的。
步驟S5，主叫端點的歸屬GK對接收數(shù)據(jù)進(jìn)行第一解密模式處理，以得到主被叫端點之間的共享密鑰；基于上述第一加密模式，這里第一解密模式的具體處理過程如下主叫端點的歸屬GK讀取接收到的LCF消息中第一明文標(biāo)記相應(yīng)字段記載的第一加密結(jié)果，第一隨機(jī)序列，第一導(dǎo)出密鑰算法和第一加密算法；主叫端點的歸屬GK基于第一導(dǎo)出密鑰算法利用第一隨機(jī)序列對主叫端點的歸屬GK和被叫端點的歸屬GK之間的共享密鑰進(jìn)行加密變換得到第一導(dǎo)出密鑰；然后，主叫端點的歸屬GK基于第一加密算法利用得到的第一導(dǎo)出密鑰對第一加密結(jié)果進(jìn)行解密變換，這樣就得到了主被叫端點之間的共享密鑰。
步驟S6，主叫端點的歸屬GK對主被叫端點之間的共享密鑰進(jìn)行第二加密模式的處理，并將處理數(shù)據(jù)發(fā)送給主叫端點；其中利用第二加密模式對主被叫端點之間的共享密鑰進(jìn)行加處理，并將加密數(shù)據(jù)發(fā)送給主叫端點的過程具體包括預(yù)先由管理人員設(shè)置主叫端點和主叫端點的歸屬GK之間的共享密鑰；并在主叫端點的歸屬GK內(nèi)預(yù)先設(shè)置第二導(dǎo)出密鑰算法和第二加密算法；主叫端點的歸屬GK控制隨機(jī)序列發(fā)生器生成第二隨機(jī)序列，并由主叫端點的歸屬GK創(chuàng)建第二明文標(biāo)記Clear Token2；首先，主叫端點的歸屬GK基于第二導(dǎo)出密鑰算法利用第二隨機(jī)序列對主叫端點和主叫端點的歸屬GK之間的共享密鑰進(jìn)行加密變換得到第二導(dǎo)出密鑰；并基于該第二加密算法利用得到的第二導(dǎo)出密鑰對主被叫端點之間的共享密鑰再次進(jìn)行加密變換，以得到第二加密結(jié)果；然后，主叫端點的歸屬GK分別將上述的第二加密結(jié)果，第二隨機(jī)序列，第二導(dǎo)出密鑰算法和第二加密算法設(shè)置到第二明文標(biāo)記的相應(yīng)字段中；并將第二明文標(biāo)記封裝到呼叫接入確認(rèn)消息(ACF，Admissions Confirm)中，并將ACF消息反饋給主叫端點。
步驟S7，主叫端點對接收數(shù)據(jù)進(jìn)行第二解密模式處理，以得到主被叫端點之間的共享密鑰，基于上述第二加密模式，這里第二解密模式的具體處理過程如下主叫端點讀取接收到的ACF消息中第二明文標(biāo)記相應(yīng)字段記載的第二加密結(jié)果，第二隨機(jī)序列，第二導(dǎo)出密鑰算法和第二加密算法；主叫端點基于第二導(dǎo)出密鑰算法利用第二隨機(jī)序列對主叫端點和主叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第二導(dǎo)出密鑰；并基于第二加密算法利用得到的第二導(dǎo)出密鑰對第二加密結(jié)果進(jìn)行解密處理，以得到主被叫端點之間的共享密鑰。
步驟S8，主叫端點就可以利用步驟S7解密得到的主被叫端點之間的共享密鑰對發(fā)往被叫端點的呼叫建立請求消息(Setup)和后續(xù)的業(yè)務(wù)消息進(jìn)行加密處理，確保只有消息在使用該共享密鑰進(jìn)行加密處理后的基礎(chǔ)上，才能發(fā)送出去，以提高通信的安全性。
第二，同時需要被叫端點的歸屬GK將主被叫端點之間的共享密鑰加密處理后傳輸給被叫端點，被叫端點再利用解密得到的共享密鑰對主叫端點發(fā)來的Setup消息和后續(xù)發(fā)來的業(yè)務(wù)消息進(jìn)行鑒權(quán)處理和檢查消息完整性的處理。參照圖3，該圖是在本發(fā)明基于端點之間的安全通信方法中，被叫端點的歸屬網(wǎng)守將主被叫端點之間的共享密鑰加密處理后傳輸給被叫端點，被叫端點再對加密數(shù)據(jù)解密處理得到相應(yīng)共享密鑰的過程圖，其處理過程主要如下步驟S10，主叫端點要呼叫和自身不在同一GK管理范圍域內(nèi)的被叫端點時，首先生成包含有被叫端點標(biāo)識信息的呼叫接入請求消息(ARQAdmissions Request)，并將ARQ消息發(fā)送給自身的歸屬GK；步驟S20，主叫端點的歸屬GK根據(jù)ARQ消息中包含的被叫端點標(biāo)識信息，定位到被叫端點所在的GK管理域，并生成包含被叫端點標(biāo)識信息的定位請求消息(LRQ，Location Request)發(fā)送到被叫端點的歸屬GK；步驟S30，被叫端點的歸屬GK接收到LRQ消息后，生成主叫端點和被叫端點之間的共享密鑰；步驟S40，被叫端點的歸屬GK對主被叫端點之間的共享密鑰進(jìn)行第三加密模式的處理，并將處理數(shù)據(jù)發(fā)送給主叫端點的歸屬網(wǎng)守；其利用第三加密模式對主被叫端點之間的共享密鑰進(jìn)行加密，并將加密數(shù)據(jù)發(fā)送給主叫端點的歸屬網(wǎng)守的過程具體包括預(yù)先由管理人員設(shè)置被叫端點和被叫端點的歸屬GK之間的共享密鑰；并在被叫端點的歸屬GK內(nèi)預(yù)先設(shè)置第三導(dǎo)出密鑰算法和第三加密算法，該兩個算法規(guī)則也可以為現(xiàn)有技術(shù)中標(biāo)準(zhǔn)的運算法則；這樣在被叫端點的歸屬GK中將對主被叫端點之間的共享密鑰進(jìn)行如下處理被叫端點的歸屬GK控制隨機(jī)序列發(fā)生器生成第三隨機(jī)序列；并由被叫端點的歸屬GK創(chuàng)建第三明文標(biāo)記Clear Token3；被叫端點的歸屬GK基于第三導(dǎo)出密鑰算法利用第三隨機(jī)序列對被叫端點和被叫端點的歸屬GK之間的共享密鑰進(jìn)行加密變換得到第三導(dǎo)出密鑰；再基于第三加密算法利用上述得到的第三導(dǎo)出密鑰再次對主被叫端點之間的共享密鑰進(jìn)行加密變換，以得到第三加密結(jié)果；然后，被叫端點的歸屬GK將上述第三加密結(jié)果，第三隨機(jī)序列，第三導(dǎo)出密鑰算法和第三加密算法分別設(shè)置到第三明文標(biāo)記的相應(yīng)字段中；最后，將第三明文標(biāo)記封裝到LCF消息中，并將LCF消息反饋給主叫端點的歸屬網(wǎng)守。
步驟S50，主叫端點的歸屬GK將接收到的LCF消息中包含的第三明文標(biāo)記取出并封裝到ACF消息中反饋給主叫端點；步驟S60，主叫端點將接收的ACF消息中包含的第三明文標(biāo)記取出并封裝到Setup消息中發(fā)送給被叫端點。
步驟S70，被叫端點對接收數(shù)據(jù)進(jìn)行第三解密模式處理，以得到主被叫端點之間的共享密鑰，基于上述第三加密模式，這里第三解密模式的具體處理過程如下被叫端點讀取接收到的Setup消息中第三明文標(biāo)記相應(yīng)字段記載的第三加密結(jié)果，第三隨機(jī)序列和第三導(dǎo)出密鑰算法和第三加密算法；被叫端點基于第三導(dǎo)出密鑰算法利用第三隨機(jī)序列對被叫端點和被叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第三導(dǎo)出密鑰；并基于第三加密算法利用得到的第三導(dǎo)出密鑰對第三加密結(jié)果進(jìn)行解密處理，以得到主被叫端點之間的共享密鑰；被叫端點得到主被叫之間的共享密鑰后，就可以使用該共享密鑰對主叫端點發(fā)來的Setup消息和后續(xù)的業(yè)務(wù)消息進(jìn)行鑒權(quán)處理和檢查消息完整性的處理。
其中，上述利用第一加/解密模式、第二加/解密模式和第三加/解密模式對主被叫端點之間的共享密鑰進(jìn)行加/解密處理時，運用導(dǎo)出密鑰算法求解導(dǎo)出密鑰時用到的隨機(jī)序列和運算加密算法對主被叫端點之間的共享密鑰進(jìn)行加密處理時用到的隨機(jī)序列是相同的，當(dāng)然，這兩個運算過程還可以采用不同的隨機(jī)序列，但運算原理和上述相似，這里不再贅述。
當(dāng)然，上述在主叫端點和被叫端點得到自身雙方之間的共享密鑰后，每一端都可以利用該共享密鑰對發(fā)往對方端點的消息進(jìn)行加密，也可以利用該共享密鑰對由對方端點發(fā)來的消息進(jìn)行鑒權(quán)處理或檢查消息完整性的處理等。
下面以H235協(xié)議為例，進(jìn)行詳細(xì)說明本發(fā)明基于端點之間的安全通信方法的具體實施過程。參照圖4，該圖是本發(fā)明基于端點之間的安全通信方法的具體實施例處理過程圖；在本實施例中，這里忽略H235協(xié)議中的GK發(fā)現(xiàn)過程(GRQ/GCF過程)和端點注冊過程(RRQ/RCF過程)，以及端點和其歸屬GK之間的安全特性協(xié)商；這些過程都是H235協(xié)議的標(biāo)準(zhǔn)過程，沒有任何改動，所以不予詳細(xì)描述，具體情況請參考H235協(xié)議V3版本。
且假設(shè)了本實施例的前提GK對自身所管理的端點已經(jīng)進(jìn)行了認(rèn)證，端點對自身所屬的GK也進(jìn)行了認(rèn)證，從而使端點和其歸屬的GK之間達(dá)到了相互信任。主叫端點EPa的歸屬網(wǎng)守GKg與被叫端點EPb的歸屬網(wǎng)守GKh之間也進(jìn)行相互認(rèn)證，避免網(wǎng)絡(luò)上的惡意攻擊。在上述假設(shè)完成的條件下，主叫端點EPa和被叫端點EPb之間基本就能夠保證RAS消息的安全。
同時本實施例還有一個前提基礎(chǔ)主叫端點EPa和自身的歸屬網(wǎng)守GKg之間已經(jīng)設(shè)置了共享密鑰Kag；EPa的歸屬GKg和EPb的歸屬GKh之間已經(jīng)設(shè)置了共享密鑰Kgh；被叫端點EPb和自身的歸屬網(wǎng)守GKh之間也已經(jīng)設(shè)置了共享密鑰Kbh。
在直接路由模式下，EPa和EPb之間如果沒有對Q931消息進(jìn)行認(rèn)證，即使它們之間的RAS消息是安全的，也不能保證整個呼叫過程的安全性。所以，本發(fā)明的核心思想主要就是在安全的RAS消息交互過程中協(xié)商出一致的安全方案(即EPa和EPb之間的共享密鑰)，使得EPa和EPb之間后續(xù)的Q931消息能夠利用該協(xié)商出的安全方案進(jìn)行安全通信(其中圖4中虛線過程表示端點之間的RAS消息交互過程；實線過程表示端點之間的Q931消息交互過程)。具體實現(xiàn)流程如下1、ARQ請求EPa向其歸屬的GKg發(fā)呼叫接入請求ARQ消息，該ARQ消息中攜帶了一個明文標(biāo)記ClearToken，這個ClearToken中tokenOID字段設(shè)置為″I0″表明EPa支持H235協(xié)議V3版本附錄I，ClearToken中的其他字段無用。同時該ARQ消息中還攜帶有EPb的標(biāo)識信息。
2、LRQ請求GKg在收到EPa發(fā)來的ARQ消息后，根據(jù)該ARQ消息中包含的EPb標(biāo)識信息(ARQ消息的destinationInfo字段或者destCallSignalAddress字段表示EPb標(biāo)識信息)，知道Epb為不屬于自己管轄的端點，所以GKg發(fā)起LRQ消息向GKh查詢EPb的地址。GKg在轉(zhuǎn)化ARQ消息為LRQ消息時，發(fā)現(xiàn)ARQ消息中包含的ClearToken的tokenOID字段值為″I0″，就知道EPa支持H235協(xié)議V3版本的附錄I功能，于是在LRQ消息中也生成一個ClearToken，其中tokenOID字段也設(shè)置為″I0″，ClearToken中的其他字段無用，LRQ消息的endpointIdentifier字段設(shè)置為主叫節(jié)端點EPa的端點ID，LRQ消息的destinationInfo字段或者destCallSignalAddress字段設(shè)置為被叫端點EPb的端點ID。如果GKg不支持附錄I功能，在發(fā)出的LRQ消息中就不用創(chuàng)建tokenOID字段為″I0″的ClearToken，后續(xù)的處理過程按照不支持附錄I的普通通信方式進(jìn)行消息交互。
3、LCF確認(rèn)GKh收到LRQ消息后，檢查該LRQ消息中獨立ClearToken的tokenOID字段值是否為″I0″，如果tokenOID字段值為″I0″，表明對方端點支持附錄I功能。如果GKh自己也支持附錄I功能，就根據(jù)LRQ消息提供的被叫端點EPb的端點ID信息，查詢到被叫EPb是否支持附錄I功能。
如果被叫端點EPb和GKh都支持附錄I功能，GKh就生成EPa和EPb之間的共享密鑰Kab；接下來，GKh產(chǎn)生隨機(jī)序列challenge1，用預(yù)先指定的導(dǎo)出密鑰算法對GKh和GKg之間的共享密鑰Kgh和隨機(jī)序列challenge1進(jìn)行計算，得到Kgh的導(dǎo)出密鑰EKgh，然后用預(yù)先指定的加密算法利用得到的導(dǎo)出密鑰Ekgh對Kab進(jìn)行加密得到EKab1；GKh將EKab1和加密參數(shù)(加密算法和加密用到的初始向量、隨機(jī)序列等)分別設(shè)置到一個獨立的明文標(biāo)記ClearToken的ClearToken.h235Key.secureSharedSecret字段的對應(yīng)子字段中；如果GKh接收的LRQ消息中設(shè)置了endpointIdentifier字段，GKh就要把這個endpointIdentifier字段的數(shù)據(jù)設(shè)置到ClearToken的ClearToken.h235Key.secureSharedSecret.generalID字段中；GKh將求解導(dǎo)出密鑰Ekgh過程所用到的導(dǎo)出密鑰算法設(shè)置到ClearToken的ClearToken.h235Key.secureSharedSecret.keyDerivationOID字段，求解導(dǎo)出密鑰Ekgh過程所用到challenge1設(shè)置到ClearToken的ClearToken.challenge字段；ClearToken的ClearToken.generalID字段設(shè)置為GKg的端點ID信息，ClearToken.senderID字段設(shè)置為GKh的端點ID，最后GKh把這個ClearToken的tokenOID設(shè)置為"I3″；以下對這個ClearToken簡稱為CT3。
同樣GKh用另外的密鑰導(dǎo)出算法對GKh和EPb之間的共享密鑰Kbh和另外的challenge運算，以得到導(dǎo)出密鑰EKbh，基于另外的加密算法用得到的EKbh加密Kab得到EKab2；GKh把加密結(jié)果EKab2和加密參數(shù)(加密算法和加密用到的初始化向量、隨機(jī)序列等)分別設(shè)置到另外一個明文標(biāo)記ClearToken的ClearTokenh235Key.secureSharedSecret字段的相應(yīng)子字段中；如果GKh接收到的LRQ消息中設(shè)置了endpointIdentifier字段，就要把這個字段的數(shù)據(jù)也設(shè)置到ClearToken的h235Key.secureSharedSecret.generalID字段中；求解導(dǎo)出密鑰EKbh時用到的challenge設(shè)置到ClearToken.challenge字段，ClearToken.generalID設(shè)置為EPb的端點ID，ClearToken.senderID設(shè)置為GKh的端點ID，最后把這個ClearToken的tokenOID設(shè)置為″I2″，H235協(xié)議V3版本把這個ClearToken稱為CTb，后面的描述用CTb來代表這個ClearToken。GKh將上述得到的CT3和CTb設(shè)置到LCF消息中，并將LCF消息反饋給GKg。
4、ACF確認(rèn)GKg收到GKh反饋回的LCF消息后，進(jìn)行取ClearToken的操作，如果取到兩個以上的ClearToken，且其中一個ClearToken的tokenOID為″I3″(即CT3)，另外一個ClearToken的tokenOID為″I2″(即CTb)，表明GKh(包括EPb)同意使用附錄I的安全方案。GKg構(gòu)造ACF消息，并創(chuàng)建一個新的ClearToken，其中該ClearToken的tokenOID設(shè)置為″I1″(這個ClearToken在H235協(xié)議V3版本中簡稱為CTa，以下將該ClearToken就簡稱為CTa)，GKg生成一個隨機(jī)的challenge設(shè)置到CTa.challenge中；利用CT3提供的參數(shù)(challenge，導(dǎo)出密鑰算法，加密算法，加密用到的初始化向量等)和共享密鑰Kgh(實際要經(jīng)過導(dǎo)出密鑰算法對Kgh進(jìn)行運算得到導(dǎo)出密鑰EKgh)解密CT3.h235Key.secureSharedSecret.encryptedSessionKey字段的數(shù)據(jù)得到密鑰Kab，GKg根據(jù)主叫端點和主叫端點的歸屬網(wǎng)守之間的共享密鑰Kag和CTa.challenge中challenge運算預(yù)先設(shè)定的導(dǎo)出密鑰算法求解導(dǎo)出密鑰EKag，用EKag加密Kab并把加密結(jié)果和加密參數(shù)設(shè)置到CTa.h235Key.secureSharedSecret中的對應(yīng)子字段中，最后把CTb.generalID字段信息復(fù)制到CTa.h235Key.secureSharedSecret.generalID字段；把整個CTb完全復(fù)制到ACF消息中，如果由于GKg接收到的LRQ未設(shè)置endpointIdentifier字段導(dǎo)致GKh無法設(shè)置CTb.h235Key.secureSharedSecret.generalID字段，GKg需要把EPa的端點ID設(shè)置到CTb.h235Key.secureSharedSecret.generalID字段；最后把經(jīng)過上述處理后的ACF消息反饋給端點EPa。
5、Setup建立EPa收到ACF消息后，提取該ACF消息中的CTa和CTb，同理上述根據(jù)CTa中的信息和EPa與GKg的共享密鑰Kag(實際最終利用的是導(dǎo)出密鑰EKag)解密CTa.h235Key.secureSharedSecret.EncryptedSessionKey字段數(shù)據(jù)得到密鑰Kab。EPa創(chuàng)建Setup消息，把ACF消息中包含的整個CTb復(fù)制到Setup消息中；然后利用共享密鑰Kab設(shè)置H235協(xié)議V3附錄D方案中的鑒權(quán)信息；EPa直接向EPb發(fā)出呼叫建立請求消息Setup。
EPb收到Setup消息后的處理提取Setup消息中包含的CTb，同理上述根據(jù)CTb.genralID和CTb.sendersID以及CTb.challenge等字段的信息，求得Kbh的導(dǎo)出密鑰EKbh，再利用導(dǎo)出密鑰EKbh解密CTb.h235Key.secureSharedSecret.EncryptedSessionKey字段數(shù)據(jù)得到密鑰Kab；EPb利用解得的Kab對Setup消息進(jìn)行鑒權(quán)處理。
后續(xù)的處理過程和H323系統(tǒng)普通的呼叫過程一致6、EPb發(fā)起ARQ請求EPb再利用解得的Kab對EPa發(fā)來的Setup消息進(jìn)行鑒權(quán)通過后，便向自身的歸屬GKh發(fā)起呼叫接入請求消息ARQ。
7、GKh反饋ACF確認(rèn)GKh接收到ARQ消息后，如果根據(jù)該ARQ消息中包含的有關(guān)EPb端點的標(biāo)識信息判斷得知該EPb為自身的管理端點，側(cè)向EPb反饋接入請求確認(rèn)消息ACF。
8、振鈴Alerting
EPb收到GKh反饋的ACF消息后，向EPa發(fā)送振鈴消息Alerting。
9、呼叫連接ConnectEPb收到GKh反饋的ACF消息后，同時向EPa發(fā)呼叫連接消息Connect。
10、呼叫釋放Release Complete在端點之間完成通信后，EPa向EPb(或者EPb向EPa)發(fā)呼叫釋放消息。
上述在第5步結(jié)束時，EPa和EPb之間已經(jīng)確立了共享密鑰Kab，Q931呼叫過程中的Setup/Alerting/Connect/ReleaseComplete等消息(第8至第10步)就可以采用H235協(xié)議標(biāo)準(zhǔn)的方法利用這個共享密鑰Kab進(jìn)行加密鑒權(quán)(或者是消息完整性檢查)，從而保證了在直接路由模式下Q931消息的安全。
以上所述僅是本發(fā)明的優(yōu)選實施方式，應(yīng)當(dāng)指出，對于本技術(shù)領(lǐng)域的普通技術(shù)人員來說，在不脫離本發(fā)明技術(shù)原理的前提下，還可以作出若干改進(jìn)和潤飾，這些改進(jìn)和潤飾也應(yīng)視為本發(fā)明的保護(hù)范圍。
權(quán)利要求
1.一種基于端點之間的安全通信方法，用于處在不同網(wǎng)守管理域的端點之間進(jìn)行安全通信，其特征在于，包括步驟(1)在主叫端點呼叫被叫端點的過程中，由被叫端點的歸屬網(wǎng)守產(chǎn)生主叫端點和被叫端點之間的共享密鑰；(2)主叫端點和被叫端點之間基于所述共享密鑰進(jìn)行安全通信處理。
2.根據(jù)權(quán)利要求1所述的基于端點之間的安全通信方法，其特征在于，所述步驟(1)進(jìn)一步包括步驟(11)主叫端點發(fā)送包含被叫端點標(biāo)識信息的呼叫接入請求消息給自身的歸屬網(wǎng)守；(12)主叫端點的歸屬網(wǎng)守根據(jù)呼叫接入請求消息中包含的被叫端點標(biāo)識信息，生成包含被叫端點標(biāo)識信息的定位請求消息發(fā)送給被叫端點的歸屬網(wǎng)守；(13)被叫端點的歸屬網(wǎng)守接收到定位請求消息后，生成主叫端點和被叫端點之間的共享密鑰。
3.根據(jù)權(quán)利要求1所述的基于端點之間的安全通信方法，其特征在于，所述步驟(1)和步驟(2)之間還包括步驟(1-1)被叫端點的歸屬網(wǎng)守將主叫端點和被叫端點之間的共享密鑰加密傳輸給主叫端點，主叫端點利用所述共享密鑰對發(fā)送給被叫端點的呼叫建立請求消息進(jìn)行加密處理；(1-2)被叫端點的歸屬網(wǎng)守將主叫端點和被叫端點之間的共享密鑰加密傳輸給被叫端點，被叫端點利用所述共享密鑰對主叫端點發(fā)來的呼叫建立請求消息進(jìn)行鑒權(quán)處理。
4.根據(jù)權(quán)利要求3所述的基于端點之間的安全通信方法，其特征在于，所述步驟(1-1)進(jìn)一步包括(1-11)被叫端點的歸屬網(wǎng)守對主叫端點和被叫端點之間的共享密鑰進(jìn)行第一加密模式處理，并將處理數(shù)據(jù)發(fā)送給主叫端點的歸屬網(wǎng)守；(1-12)主叫端點的歸屬網(wǎng)守對接收數(shù)據(jù)進(jìn)行第一解密模式處理，得到主叫端點和被叫端點之間的共享密鑰；(1-13)主叫端點的歸屬網(wǎng)守對主叫端點和被叫端點之間的共享密鑰進(jìn)行第二加密模式處理，并將處理數(shù)據(jù)發(fā)送給主叫端點；(1-14)主叫端點對接收數(shù)據(jù)進(jìn)行第二解密模式處理，得到主叫端點和被叫端點之間的共享密鑰。
5.根據(jù)權(quán)利要求4所述的基于端點之間的安全通信方法，其特征在于，所述步驟(1)之前還包括預(yù)先設(shè)置主叫端點的歸屬網(wǎng)守和被叫端點的歸屬網(wǎng)守之間的共享密鑰；被叫端點的歸屬網(wǎng)守預(yù)先設(shè)置第一導(dǎo)出密鑰算法和第一加密算法；所述步驟(1-11)進(jìn)一步包括被叫端點的歸屬網(wǎng)守生成第一隨機(jī)序列和第一明文標(biāo)記；并基于第一導(dǎo)出密鑰算法利用第一隨機(jī)序列對主叫端點的歸屬網(wǎng)守和被叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第一導(dǎo)出密鑰；并基于第一加密算法利用第一導(dǎo)出密鑰對主叫端點和被叫端點之間的共享密鑰進(jìn)行加密，得到第一加密結(jié)果；并分別將第一加密結(jié)果，第一隨機(jī)序列，第一導(dǎo)出密鑰算法和第一加密算法設(shè)置到第一明文標(biāo)記的相應(yīng)字段中；并將第一明文標(biāo)記封裝到定位確認(rèn)消息中反饋給主叫端點的歸屬網(wǎng)守。
6.根據(jù)權(quán)利要求5所述的基于端點之間的安全通信方法，其特征在于，所述步驟(1-12)進(jìn)一步包括主叫端點的歸屬網(wǎng)守讀取定位確認(rèn)消息中第一明文標(biāo)記相應(yīng)字段記載的第一加密結(jié)果，第一隨機(jī)序列，第一導(dǎo)出密鑰算法和第一加密算法；并基于第一導(dǎo)出密鑰算法利用第一隨機(jī)序列對主叫端點的歸屬網(wǎng)守和被叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第一導(dǎo)出密鑰；并基于第一加密算法利用第一導(dǎo)出密鑰對所述第一加密結(jié)果進(jìn)行解密，得到主叫端點和被叫端點之間的共享密鑰。
7.根據(jù)權(quán)利要求4所述的基于端點之間的安全通信方法，其特征在于，所述步驟(1)之前還包括預(yù)先設(shè)置主叫端點和主叫端點的歸屬網(wǎng)守之間的共享密鑰；主叫端點的歸屬網(wǎng)守預(yù)先設(shè)置第二導(dǎo)出密鑰算法和第二加密算法；所述步驟(1-13)進(jìn)一步包括主叫端點的歸屬網(wǎng)守生成第二隨機(jī)序列和第二明文標(biāo)記；并基于第二導(dǎo)出密鑰算法利用第二隨機(jī)序列對主叫端點和主叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第二導(dǎo)出密鑰；并基于第二加密算法利用第二導(dǎo)出密鑰對主叫端點和被叫端點之間的共享密鑰進(jìn)行加密，得到第二加密結(jié)果；并分別將第二加密結(jié)果，第二隨機(jī)序列，第二導(dǎo)出密鑰算法和第二加密算法設(shè)置到第二明文標(biāo)記的相應(yīng)字段中；并將第二明文標(biāo)記封裝到呼叫接入確認(rèn)消息中反饋給主叫端點。
8.根據(jù)權(quán)利要求7所述的基于端點之間的安全通信方法，其特征在于，所述步驟(1-14)進(jìn)一步包括主叫端點讀取呼叫接入確認(rèn)消息中第二明文標(biāo)記相應(yīng)字段記載的第二加密結(jié)果，第二隨機(jī)序列和第二導(dǎo)出密鑰算法和第二加密算法；并基于第二導(dǎo)出密鑰算法利用第二隨機(jī)序列對主叫端點和主叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第二導(dǎo)出密鑰；并基于第二加密算法利用第二導(dǎo)出密鑰對所述第二加密結(jié)果進(jìn)行解密，得到主叫端點和被叫端點之間的共享密鑰。
9.根據(jù)權(quán)利要求3所述的基于端點之間的安全通信方法，其特征在于，所述步驟(1-2)進(jìn)一步包括(1-21)被叫端點的歸屬網(wǎng)守對主叫端點和被叫端點之間的共享密鑰進(jìn)行第三加密模式處理，并將處理數(shù)據(jù)發(fā)送給主叫端點的歸屬網(wǎng)守；(1-22)主叫端點的歸屬網(wǎng)守將處理數(shù)據(jù)轉(zhuǎn)發(fā)給主叫端點；(1-23)主叫端點將處理數(shù)據(jù)轉(zhuǎn)發(fā)給被叫端點；(1-24)被叫端點對接收數(shù)據(jù)進(jìn)行第三解密模式處理，得到主叫端點和被叫端點之間的共享密鑰。
10.根據(jù)權(quán)利要求9所述的基于端點之間的安全通信方法，其特征在于，所述步驟(1)之前還包括預(yù)先設(shè)置被叫端點和被叫端點的歸屬網(wǎng)守之間的共享密鑰；被叫端點的歸屬網(wǎng)守預(yù)先設(shè)置第三導(dǎo)出密鑰算法和第三加密算法；所述步驟(1-21)進(jìn)一步包括被叫端點的歸屬網(wǎng)守生成第三隨機(jī)序列和第三明文標(biāo)記；并基于第三導(dǎo)出密鑰算法利用第三隨機(jī)序列對被叫端點和被叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第三導(dǎo)出密鑰；并基于第三加密算法利用第三導(dǎo)出密鑰對主叫端點和被叫端點之間的共享密鑰進(jìn)行加密，得到第三加密結(jié)果；并分別將第三加密結(jié)果，第三隨機(jī)序列，第三導(dǎo)出密鑰算法和第三加密算法設(shè)置到第三明文標(biāo)記的相應(yīng)字段中；并將第三明文標(biāo)記封裝到定位確認(rèn)消息中反饋給主叫端點的歸屬網(wǎng)守。
11.根據(jù)權(quán)利要求10所述的基于端點之間的安全通信方法，其特征在于，步驟(1-22)所述主叫端點的歸屬網(wǎng)守將處理數(shù)據(jù)轉(zhuǎn)發(fā)給主叫端點通過將接收的定位確認(rèn)消息中的第三明文標(biāo)記封裝到反饋給主叫端點的呼叫接入確認(rèn)消息中完成；步驟(1-23)所述主叫端點將處理數(shù)據(jù)轉(zhuǎn)發(fā)給被叫端點通過將接收的呼叫接入確認(rèn)消息中的第三明文標(biāo)記封裝到反饋給被叫端點的呼叫建立請求消息中完成。
12.根據(jù)權(quán)利要求11所述的基于端點之間的安全通信方法，其特征在于，所述步驟(1-24)進(jìn)一步包括被叫端點讀取呼叫建立請求消息中第三明文標(biāo)記相應(yīng)字段記載的第三加密結(jié)果，第三隨機(jī)序列和第三導(dǎo)出密鑰算法和第三加密算法；并基于第三導(dǎo)出密鑰算法利用第三隨機(jī)序列對被叫端點和被叫端點的歸屬網(wǎng)守之間的共享密鑰進(jìn)行加密得到第三導(dǎo)出密鑰；并基于第三加密算法利用第三導(dǎo)出密鑰對所述第三加密結(jié)果進(jìn)行解密，得到主叫端點和被叫端點之間的共享密鑰。
13.根據(jù)權(quán)利要求1所述的基于端點之間的安全通信方法，其特征在于，所述步驟(1)和步驟(2)之間還包括步驟主叫端點向被叫端點發(fā)送呼叫建立請求消息；被叫端點利用所述共享密鑰對接收的呼叫建立請求消息進(jìn)行鑒權(quán)，在鑒權(quán)通過的情況下向自身的歸屬網(wǎng)守發(fā)送呼叫接入請求消息；被叫端點的歸屬網(wǎng)守根據(jù)接收的呼叫接入請求消息，在判斷得出被叫端點為自身管理端點的情況下向被叫端點反饋呼叫接入確認(rèn)消息；被叫端點接收到呼叫接入確認(rèn)消息后，向主叫端點發(fā)送振鈴消息和呼叫連接消息。
14.根據(jù)權(quán)利要求1所述的基于端點之間的安全通信方法，其特征在于，所述步驟(2)進(jìn)一步包括主叫端點或被叫端點利用所述共享密鑰對發(fā)給對方端點的消息進(jìn)行加密處理；并利用所述共享密鑰對由對方端點發(fā)來的消息進(jìn)行鑒權(quán)處理和消息完整性檢查處理。
15.根據(jù)權(quán)利要求1所述的基于端點之間的安全通信方法，其特征在于，所述步驟(2)之后還包括主叫端點和被叫端點之間傳送呼叫釋放消息的步驟。
全文摘要
本發(fā)明提出了一種基于端點之間的安全通信方法，用于處在不同網(wǎng)守管理域的端點之間進(jìn)行安全通信，包括在主叫端點呼叫被叫端點的過程中，由被叫端點的歸屬網(wǎng)守產(chǎn)生主叫端點和被叫端點之間的共享密鑰；主叫端點和被叫端點之間基于所述共享密鑰進(jìn)行安全通信處理。本發(fā)明基于端點之間的安全通信方法使不同網(wǎng)守管理域的端點之間的安全通信機(jī)制具有較好的擴(kuò)展性和較高的處理效率。
文檔編號H04L9/32GK1691583SQ20041003678
公開日2005年11月2日 申請日期2004年4月26日 優(yōu)先權(quán)日2004年4月26日
發(fā)明者王奇 申請人:華為技術(shù)有限公司