專利名稱：Ims多媒體通信方法和系統(tǒng)、終端及ims核心網(wǎng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信領(lǐng)域，具體而言，涉及一種IMS多媒體通信方法和系統(tǒng)、終端及 IMS核心網(wǎng)。
背景技術(shù)：
隨著 X (the 3rd Generation,第三代)網(wǎng)絡(luò)的發(fā)展，在 IMS (IP MultiMedia Subsystem, IP多媒體子系統(tǒng))核心網(wǎng)下可以部署越來越多的多媒體業(yè)務(wù)，例如視頻共享 (VS, VideoSharing)、基于IP的語音通信(VoIP, Voice over IP)、基于IP的視頻與語音通 信(V2IP, Videoand Voice over IP)、以及一鍵通(PoC，Push To Talk over CelIuar)等。 這些業(yè)務(wù)都是采用IP協(xié)議進(jìn)行傳輸，而不是采用2G網(wǎng)絡(luò)的SS7 (Signal System 7，7號信 令系統(tǒng))。IP協(xié)議的引入使得在IMS核心網(wǎng)部署分組交換業(yè)務(wù)非常方便，也使得IMS核心網(wǎng) 完全開放和易于訪問。由于接入網(wǎng)絡(luò)的多樣性和復(fù)雜性，從而引發(fā)了 IMS下多媒體通信的 安全問題。

發(fā)明內(nèi)容
本發(fā)明的主要目的在于提供一種IMS多媒體通信方法和系統(tǒng)、終端及IMS核心網(wǎng)， 以至少解決上述問題。根據(jù)本發(fā)明的一個方面，提供了一種IMS多媒體通信方法，包括終端與IMS核 心網(wǎng)進(jìn)行信令協(xié)商，并在信令協(xié)商的過程中建立終端與IMS核心網(wǎng)之間的媒體傳輸?shù)?IPSec-ESP安全關(guān)聯(lián)；終端和IMS核心網(wǎng)之間通過媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)進(jìn)行媒 體內(nèi)容的傳輸。根據(jù)本發(fā)明的又一方面，提供了一種IMS多媒體通信系統(tǒng)，包括終端和IMS核心 網(wǎng)，其中終端用于與IMS核心網(wǎng)進(jìn)行信令協(xié)商，并在信令協(xié)商的過程中建立與IMS核心網(wǎng) 之間的媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)，通過媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)進(jìn)行終端和 IMS核心網(wǎng)之間的媒體內(nèi)容的傳輸。根據(jù)本發(fā)明的又一方面，提供了一種終端，包括協(xié)商與建立模塊，用于與IMS 核心網(wǎng)進(jìn)行信令協(xié)商，并在信令協(xié)商的過程中建立終端與IMS核心網(wǎng)之間的媒體傳輸?shù)?IPSec-ESP安全關(guān)聯(lián)；媒體傳輸模塊，用于通過媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)將媒體內(nèi)容 發(fā)送給IMS核心網(wǎng)和/或接收來自IMS核心網(wǎng)的媒體內(nèi)容。根據(jù)本發(fā)明的又一方面，提供了一種IMS核心網(wǎng)，包括協(xié)商與建立模塊，用于與 終端進(jìn)行信令協(xié)商，并在信令協(xié)商的過程中建立與終端之間的媒體傳輸?shù)腎PSec-ESP安全 關(guān)聯(lián)；媒體傳輸模塊，用于通過媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)將媒體內(nèi)容發(fā)送給終端和/ 或接收來自終端的媒體內(nèi)容。通過本發(fā)明，終端和IMS核心網(wǎng)之間通過建立媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)，這 樣，可以在進(jìn)行媒體內(nèi)容的傳輸時通過該媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)進(jìn)行傳輸，從而確保了終端和IMS核心網(wǎng)之間傳輸?shù)拿襟w內(nèi)容的安全性，解決了相關(guān)技術(shù)中IMS下的多媒 體通信的安全問題，避免了媒體內(nèi)容在終端和IMS核心網(wǎng)之間進(jìn)行傳輸時被他人惡意地盜 取和篡改等。


此處所說明的附圖用來提供對本發(fā)明的進(jìn)一步理解，構(gòu)成本申請的一部分，本發(fā) 明的示意性實施例及其說明用于解釋本發(fā)明，并不構(gòu)成對本發(fā)明的不當(dāng)限定。在附圖中圖1是根據(jù)本發(fā)明實施例的IMS多媒體通信系統(tǒng)的架構(gòu)圖；圖2是根據(jù)本發(fā)明實施例的IMS多媒體通信系統(tǒng)中的終端的結(jié)構(gòu)示意圖；圖3是根據(jù)本發(fā)明實施例的IMS多媒體通信系統(tǒng)中的IMS核心網(wǎng)的結(jié)構(gòu)示意圖；圖4是根據(jù)本發(fā)明實施例的IMS多媒體通信方法的流程圖；圖5是根據(jù)本發(fā)明優(yōu)選實施例的IMS多媒體通信過程的流程示意圖。
具體實施例方式下文中將參考附圖并結(jié)合實施例來詳細(xì)說明本發(fā)明。需要說明的是，在不沖突的 情況下，本申請中的實施例及實施例中的特征可以相互組合。IMS多媒體通信主要包含兩方面的內(nèi)容控制面的信令協(xié)商和用戶面的媒體數(shù)據(jù) (內(nèi)容)傳輸，前者一般采用SIP (Session Initiation Protocol，會話發(fā)起協(xié)議)協(xié)議，后 者一般采用RTP (Real-time Transport Protocol，實時傳送協(xié)議)協(xié)議。圖1是根據(jù)本發(fā) 明實施例的IMS多媒體通信系統(tǒng)的架構(gòu)圖，如圖1所示，通常涉及終端10(UE-A和UE-B)和 IMS核心網(wǎng)20(UE-A的歸屬網(wǎng)絡(luò)和UE-B的歸屬網(wǎng)絡(luò))，本發(fā)明的以下實施例主要關(guān)注終端 10與IMS核心網(wǎng)20之間的安全通信，IMS核心網(wǎng)之間屬于專用有線網(wǎng)絡(luò)，通常不需要考慮 安全性問題。為了保護(hù)終端與IMS核心網(wǎng)之間的媒體內(nèi)容不會被惡意篡改和盜取，如圖1所示， 根據(jù)本發(fā)明實施例的IMS多媒體通信中的終端(UE) 10可以用于與IMS核心網(wǎng)20進(jìn)行信令 協(xié)商，并在信令協(xié)商的過程中建立與IMS核心網(wǎng)20之間的媒體傳輸?shù)腎PSec-ESP(IPsecur ity-Encapsulate Secure Payload, IP安全-封裝安全負(fù)載)安全關(guān)聯(lián)，通過該媒體傳輸 的IPSec-ESP安全關(guān)聯(lián)進(jìn)行終端10和IMS核心網(wǎng)20之間的媒體內(nèi)容的傳輸。例如，通過 該媒體傳輸?shù)腎PSec-ESP安全關(guān)發(fā)送媒體內(nèi)容到IMS核心網(wǎng)20以及接收IMS核心網(wǎng)20發(fā) 來的媒體內(nèi)容。從而，IMS核心網(wǎng)20也可以用于與UE 10進(jìn)行信令協(xié)商，并在信令協(xié)商的過程中建 立與IMS核心網(wǎng)20之間的媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)，通過該媒體傳輸?shù)腎PSec-ESP 安全關(guān)聯(lián)進(jìn)行終端10和IMS核心網(wǎng)20之間的媒體內(nèi)容的傳輸。例如，通過該媒體傳輸?shù)?IPSec-ESP安全關(guān)發(fā)送媒體內(nèi)容到終端10以及接收終端10發(fā)來的媒體內(nèi)容。進(jìn)一步，為了保護(hù)終端10與IMS核心網(wǎng)20進(jìn)行信令協(xié)商時的信令協(xié)商數(shù)據(jù)的完 整性和加密保護(hù)，終端10還用于在與IMS核心網(wǎng)20進(jìn)行信令協(xié)商之前，向IMS核心網(wǎng)20進(jìn) 行注冊，并在注冊的過程中建立與IMS核心網(wǎng)20之間的信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)， 從而終端10就可以通過該信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)與IMS核心網(wǎng)20進(jìn)行信令協(xié)商。在實際應(yīng)用中，如圖1所示，終端10中包含兩部分ISIM(IP MultimediaServices IdentityModule, IMS 業(yè)務(wù)i只另Ij模塊)/USIM(Universal Subscriber Identity Module，全球用戶識別模塊)和IMS多媒體通信客戶端(即圖1中的IMS Client)。其中， ISIM/USIM主要用于提供終端10的身份信息，而IMS多媒體通信客戶端為用戶使用的應(yīng) 用程序。IMS核心網(wǎng)20中包括的網(wǎng)元主要有HSS (Home Subscriber Server，歸屬用戶服 務(wù)器)、P-CSCF(Proxy-Call SessionControl Function，代理型-呼叫會話控制功能)和 MGCF(Media Gateway Control Function，媒體網(wǎng)關(guān)控制功能)，其中，HSS保存終端的IMS用 戶信息和ISIM/USIM的身份信息等，P-CSCF主要負(fù)責(zé)多媒體通信的用戶注冊和會話協(xié)商， 而MGCF負(fù)責(zé)媒體內(nèi)容的轉(zhuǎn)發(fā)。由上述的系統(tǒng)可知，根據(jù)本發(fā)明實施例的IMS多媒體通信系統(tǒng)中的終端10的結(jié)構(gòu) 示意圖可以如圖2所示，包括以下模塊協(xié)商與建立模塊102，用于與IMS核心網(wǎng)20進(jìn)行信 令協(xié)商，并在信令協(xié)商的過程中建立終端10與IMS核心網(wǎng)20之間的媒體傳輸?shù)腎PSec-ESP 安全關(guān)聯(lián)；媒體傳輸模塊104，用于通過該媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)將媒體內(nèi)容發(fā)送 給IMS核心網(wǎng)20和/或接收來自IMS核心網(wǎng)20的媒體內(nèi)容。從而，確保了終端與IMS核 心網(wǎng)之間的媒體內(nèi)容不會被惡意篡改和盜取。進(jìn)一步，為了保護(hù)終端10與IMS核心網(wǎng)20的協(xié)商與建立模塊102進(jìn)行信令協(xié)商 時的信令協(xié)商數(shù)據(jù)的完整性和加密保護(hù)，如圖2所示，該終端10還可以進(jìn)一步包括注冊與 建立模塊106，用于在協(xié)商與建立模塊102與IMS核心網(wǎng)20進(jìn)行信令協(xié)商之前，向IMS核心 網(wǎng)20進(jìn)行注冊，并在注冊的過程中建立與IMS核心網(wǎng)20之間的信令協(xié)商的IPSec-ESP安 全關(guān)聯(lián)；從而，協(xié)商與建立模塊102就可以通過該信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)與IMS核 心網(wǎng)20進(jìn)行信令協(xié)商。同樣，根據(jù)本發(fā)明實施例的IMS多媒體通信系統(tǒng)中的IMS核心網(wǎng)20的結(jié)構(gòu)示意圖 如圖3所示，包括以下模塊協(xié)商與建立模塊202，用于與終端10進(jìn)行信令協(xié)商，并在信令 協(xié)商的過程中建立與終端10之間的媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)；媒體傳輸模塊204， 用于通過該媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)將媒體內(nèi)容發(fā)送給終端10和/或接收來自終 端10的媒體內(nèi)容。從而，確保了終端與IMS核心網(wǎng)之間的媒體內(nèi)容不會被惡意篡改和盜取。進(jìn)一步，為了保護(hù)終端10與IMS核心網(wǎng)20的協(xié)商與建立模塊202進(jìn)行信令協(xié)商 時的信令協(xié)商數(shù)據(jù)的完整性和加密保護(hù)，如圖3所示，IMS核心網(wǎng)20還可以包括信令協(xié)商 安全關(guān)聯(lián)建立模塊206，用于在協(xié)商與建立模塊202與終端10進(jìn)行信令協(xié)商之前，接受終端 10的注冊，并在注冊的過程中建立與終端10之間的信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)；則， 協(xié)商與建立模塊202就可以通過該信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)與終端10進(jìn)行信令協(xié) 商。在實際實施的過程中，上述的協(xié)商與建立模塊202和信令協(xié)商安全關(guān)聯(lián)建立模塊 206可以由P-CSCF來實現(xiàn)，而媒體傳輸模塊204可以由MGCF來實現(xiàn)。結(jié)合圖1所示的IMS多媒體通信系統(tǒng)，該通信系統(tǒng)進(jìn)行IMS多媒體通信的方法如 圖4所示，包括以下步驟步驟S402，終端與IMS核心網(wǎng)進(jìn)行信令協(xié)商，并在信令協(xié)商的過程中建立終端與 IMS核心網(wǎng)之間的媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)；步驟S404，終端和IMS核心網(wǎng)之間通過在步驟S402中建立的媒體傳輸?shù)?IPSec-ESP安全關(guān)聯(lián)進(jìn)行媒體內(nèi)容的傳輸。
本實施例中，終端和IMS核心網(wǎng)之間通過建立媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)，這 樣，可以在進(jìn)行媒體內(nèi)容的傳輸時通過該媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)進(jìn)行傳輸，從而 確保了終端和IMS核心網(wǎng)之間傳輸?shù)拿襟w內(nèi)容的安全性，解決了相關(guān)技術(shù)中IMS下的多媒 體通信的安全問題，避免了媒體內(nèi)容在終端和IMS核心網(wǎng)之間進(jìn)行傳輸時被他人惡意地盜 取和篡改等。為了進(jìn)一步地保護(hù)終端與IMS核心網(wǎng)進(jìn)行信令協(xié)商時的信令協(xié)商數(shù)據(jù)的完整性， 在步驟S402之前，終端向IMS核心網(wǎng)進(jìn)行注冊，并在注冊的過程中建立終端與IMS核心網(wǎng) 之間的信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)；則步驟S402中終端與IMS核心網(wǎng)進(jìn)行信令協(xié)商 時，終端和IMS核心網(wǎng)之間就可以通過該信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)進(jìn)行信令協(xié)商。例如，如圖5所示，終端向IMS核心網(wǎng)進(jìn)行注冊的過程包括以下步驟步驟1 終端UE-A向IMS核心網(wǎng)中的P-CSCF發(fā)送IMS注冊請求消息，其中，該IMS 注冊請求消息中攜帶有終端的信息和第一安全關(guān)聯(lián)信息。其中，終端的信息可以包括終端的IP地址、IMS用戶信息、和終端支持的算法列 表(包括完整性算法、加密算法和壓縮算法)以便在UE與核心網(wǎng)中的P-CSCF之間進(jìn)行算法 的協(xié)商；第一安全關(guān)聯(lián)信息包括終端隨機(jī)生成的SPI (Secure Parameter Index，安全參數(shù) 索引)信息(稱為第一 SPI信息，該SPI信息可以為8個字節(jié))及其對應(yīng)的端口信息。如 果有多個安全關(guān)聯(lián)，那么需要保證每次生成的SPI信息的唯一性，并且，如果上述算法列表 中的完整性算法、加密算法或壓縮算法均有多種具體算法，則每種算法具有其優(yōu)先級，終端 偏好的算法優(yōu)先級較高，所有算法可以按照優(yōu)先級由高到低的順序排列。在實際應(yīng)用中，上述第一 SPI信息及其對應(yīng)的端口信息可以為兩個信令安全關(guān)聯(lián) 的SPI值和對應(yīng)的端口號(主叫業(yè)務(wù)數(shù)據(jù)處理端口和被叫業(yè)務(wù)數(shù)據(jù)處理端口)。步驟2，P-CSCF收到終端的IMS注冊請求消息后，從該SIP協(xié)議的IMS注冊請求消 息中獲取UE的IP地址、IMS用戶信息、第一 SPI信息及其對應(yīng)的端口信息、UE支持的算法 列表、以及UE主動和被動發(fā)送接收SIP消息的一對端口號，并將這些信息保存下來。P-CSCF根據(jù)該IMS注冊請求消息中的IMS用戶信息獲取到AKA(Authenticatic)n and KeyAgreement，認(rèn)證和密鑰協(xié)商)鑒權(quán)五元組(稱為第一 AKA鑒權(quán)五元組)，例如， P-CSCF首先從HSS中獲取到與該IMS用戶信息所對應(yīng)的卡密鑰(即終端UE-A中的ISIM/ USIM中的密鑰)，然后，使用該卡密鑰和隨機(jī)數(shù)(可以隨機(jī)生成或者預(yù)先設(shè)定該隨機(jī)數(shù))獲 得上述第一 AKA鑒權(quán)五元組，其中，該第一 AKA鑒權(quán)五元組中包括第一 IK (完整性密鑰)、第 一 CK(加密密鑰)、和第一 RES(響應(yīng))字段。在實際應(yīng)用中可以采用AKA算法來使用該卡 密鑰和隨機(jī)數(shù)(可以隨機(jī)生成或者預(yù)先設(shè)定該隨機(jī)數(shù))獲得上述第一 AKA鑒權(quán)五元組。然后，P-CSCF向終端返回該IMS注冊請求消息的鑒權(quán)質(zhì)詢消息，其中，該鑒權(quán)質(zhì)詢 消息中包括第二安全關(guān)聯(lián)信息和P-CSCF的信息。其中，P-CSCF的信息包括=P-CSCF的IP 地址和P-CSCF支持的算法列表(包括完整性算法、加密算法和壓縮算法)；第二安全關(guān)聯(lián) 信息包括=P-CSCF隨機(jī)生成的SPI信息(稱為第二 SPI信息)及其對應(yīng)的端口信息。如果 有多個安全關(guān)聯(lián)，那么需要保證每次生成的SPI信息的唯一性，并且，如果上述算法列表中 的完整性算法、加密算法或壓縮算法均有多種具體算法，則每種算法具有其優(yōu)先級，終端偏 好的算法優(yōu)先級較高，所有算法可以按照優(yōu)先級由高到低的順序排列。同樣，在實際應(yīng)用中，上述第二 SPI信息及其對應(yīng)的端口信息可以為兩個信令安全關(guān)聯(lián)的SPI值和對應(yīng)的端口號(主叫業(yè)務(wù)數(shù)據(jù)處理端口和被叫業(yè)務(wù)數(shù)據(jù)處理端口 )。終端UE-A收到質(zhì)詢響應(yīng)消息之后，就可以驗證P-CSCF的質(zhì)詢響應(yīng)是否與UE-A本 地的ISIM/USIM的計算結(jié)果一致，從而完成對服務(wù)器的身份認(rèn)證，同時還可以得到UE-A的 AKA鑒權(quán)五元組(稱為第二 AKA鑒權(quán)五元組)，從中得到IK (稱為第二 IK)和CK (第二 CK)。 這樣，P-CSCF和UE-A已經(jīng)共享一對密鑰信息，建立信令協(xié)商的IPsec-ESP安全關(guān)聯(lián)所需的 完整性密鑰和加密密鑰從IK (包括第一 IK和第二 IK)和CK (包括第一 CK和第二 CK)進(jìn)行 展開，主要考慮完整性算法和加密算法本身的密鑰長度問題，例如3DES算法需要192位密 鑰，而IK和CK只有128位。此時，例如可以將IK和CK的128位中的前64位復(fù)制，并放在 該128位的尾部，從而湊成192位。在實際應(yīng)用中，上述鑒權(quán)質(zhì)詢消息中還可以包括第一 RES字段和上述隨機(jī)數(shù)。這 樣，終端UE-A驗證P-CSCF的質(zhì)詢響應(yīng)是否與UE-A本地的ISIM/USIM的計算結(jié)果一致，從 而完成對服務(wù)器的身份認(rèn)證的步驟可以為終端中的ISIM或USIM使用本地的卡密鑰和上 述鑒權(quán)質(zhì)詢消息中的隨機(jī)數(shù)獲得第二 AKA鑒權(quán)五元組，其中，第二 AKA鑒權(quán)五元組中包括 第二 IK、第二 CK、和第二 RES字段；終端判斷該第二 RES字段與上述鑒權(quán)質(zhì)詢消息中的第一 RES字段是否相同；若判斷結(jié)果為相同，則確定P-CSCF的身份認(rèn)證成功。步驟3 經(jīng)過前面兩次報文交互(即上述步驟1和2)之后，終端UE-A與P-CSCF已 經(jīng)完成了 SPI信息、所支持的算法和端口號的協(xié)商，建立信令協(xié)商的IPsec-ESP安全關(guān)聯(lián)的 信息已經(jīng)具備。其中，終端UE-A具有建立信令協(xié)商的IPsec-ESP安全關(guān)聯(lián)的兩組安全關(guān)聯(lián)參數(shù)如 下(1)主叫業(yè)務(wù)安全關(guān)聯(lián)參數(shù)終端的IP地址、P-CSCF的IP地址、終端的受保護(hù)客 戶端端口號、終端的SPI信息、終端與P-CSCF均支持的最高優(yōu)先級的算法(包括完整性算 法、加密算法和壓縮算法)、IK(即第二 IK)和CK (即第二 CK)；(2)被叫業(yè)務(wù)安全關(guān)聯(lián)參數(shù)終端的IP地址、P-CSCF的IP地址、終端的受保護(hù)服 務(wù)器端端口號、終端的另一個SPI信息、終端與P-CSCF均支持的最高優(yōu)先級算法(包括完 整性算法、加密算法和壓縮算法)、ΙΚ(即第二 IK)和CK (即第二 CK)。同樣，P-CSCF也具有建立信令協(xié)商的IPsec-ESP安全關(guān)聯(lián)的兩組安全關(guān)聯(lián)參數(shù)如 下(1)主叫業(yè)務(wù)安全關(guān)聯(lián)參數(shù)=P-CSCF的IP地址、終端的IP地址、P-CSCF的受保護(hù) 服務(wù)器端端口號、P-CSCF的SPI信息、P-CSCF與終端均支持的最高優(yōu)先級算法(包括完整 性算法、加密算法和壓縮算法)、IK (第一 IK)和CK (第一 CK)；(2)被叫業(yè)務(wù)安全關(guān)聯(lián)參數(shù)=P-CSCF的IP地址、終端的IP地址、P-CSCF的受保護(hù) 客戶端端口號、P-CSCF的另一個SPI信息、P-CSCF與終端均支持的最高優(yōu)先級算法(包括 完整性算法、加密算法和壓縮算法)、IK (第一 IK)和CK (第一 CK)。在上述四組安全關(guān)聯(lián)參數(shù)中，P-CSCF與終端均支持的最高優(yōu)先級算法是從算法列 表中選擇雙方都支持的算法，如果沒有交集，則不采用任何相應(yīng)算法。利用各自的安全關(guān)聯(lián) 參數(shù)，終端UE-A和P-CSCF可以建立四組信令協(xié)商的IPsec-ESP安全關(guān)聯(lián)，之后終端UE-A與 P-CSCF的信令協(xié)商消息就可以在這四個信令協(xié)商的IPsec-ESP安全關(guān)聯(lián)中進(jìn)行保護(hù)。根據(jù) 不同端口，UE與P-CSCF的一組安全關(guān)聯(lián)用于保護(hù)終端主叫業(yè)務(wù)的信令協(xié)商，另一組安全關(guān)聯(lián)用于保護(hù)終端被叫業(yè)務(wù)的信令協(xié)商。這樣UE與P-CSCF的信令協(xié)商數(shù)據(jù)可以實現(xiàn)完整性 和加密保護(hù)。步驟4 終端再把ISIM/USIM的計算結(jié)果，即第二 RES字段通過IMS鑒權(quán)驗證請 求消息發(fā)送給P-CSCF，以便服務(wù)器驗證終端的身份，其中，該IMS鑒權(quán)認(rèn)證請求消息中還包 括終端的信息和終端的第一安全關(guān)聯(lián)信息(終端的信息和終端的第一安全關(guān)聯(lián)信息與上 述IMS注冊請求消息中的相同)，以便P-CSCF能夠?qū)χ暗陌踩珔?shù)協(xié)商進(jìn)行確認(rèn)。P-CSCF在接收到該IMS鑒權(quán)驗證請求消息之后，首先驗證其中的終端的信息和終 端的第一安全關(guān)聯(lián)信息與本地保存的信息(即在步驟2中保存的IMS注冊請求消息中的第 一 SPI值以及端口號、以及終端支持的算法列表)是否一致，若不一致，則確定終端注冊失 ?。蝗粢恢?，則繼續(xù)驗證該IMS鑒權(quán)驗證請求消息中攜帶的第二 RES字段與之前計算得到的 第一 RES字段是否相同(即一致)，若相同，此時確定終端的AKA鑒權(quán)成功以及注冊成功。 從而實現(xiàn)了服務(wù)器對終端的身份認(rèn)證。上述的IMS鑒權(quán)驗證請求消息必須在終端和P-CSCF的主叫業(yè)務(wù)的信令協(xié)商的 IPsec-ESP安全關(guān)聯(lián)中進(jìn)行傳輸，其它人員無法再惡意地竊聽到終端與P-CSCF之間的通信信息ο步驟5 =P-CSCF向終端發(fā)送鑒權(quán)結(jié)果消息，其中，鑒權(quán)結(jié)果可以為鑒權(quán)成功或鑒權(quán) 失敗。通過上述的步驟1-5即完成了終端向核心網(wǎng)(具體為P-CSCF)的注冊過程，并在 注冊過程中建立了終端和核心網(wǎng)之間的信令協(xié)商的IPsec-ESP安全關(guān)聯(lián)，實現(xiàn)了信令協(xié)商 數(shù)據(jù)的加密保護(hù)和完整性保護(hù)。步驟6 終端UE-B也可以按照上述步驟1-5完成向核心網(wǎng)(具體為P-CSCF)的注 冊過程。如圖5所示，終端之間(UE-A和UE-B)通過核心網(wǎng)進(jìn)行IMS多媒體的媒體數(shù)據(jù)(內(nèi) 容)傳輸?shù)倪^程具體包括以下步驟步驟7 :UE-A發(fā)起IMS會話邀請請求消息給核心網(wǎng)，此消息攜帶媒體信息以及 UE-A再次隨機(jī)生成的用于建立媒體傳輸?shù)腟PI信息(稱為第三SPI信息)以便保護(hù)媒體 數(shù)據(jù)的安全傳輸。如果有多種媒體通信，例如同時包含音頻和視頻內(nèi)容的話，那么需要有兩 個SPI信息(即第三SPI信息包括兩個SPI信息)來分別建立兩組安全關(guān)聯(lián)。其中，媒體 信息可以包括媒體內(nèi)容的傳輸端口信息和媒體描述信息。步驟8 =UE-A側(cè)的P-CSCF收到此IMS會話邀請請求消息之后，該P-CSCF將此 IMS會話邀請請求消息中的信息保存下來，并將此IMS會話邀請請求消息發(fā)送到UE-B側(cè)的 P-CSCF, UE-B的P-CSCF通知自己的MGCF，生成MGCF的SPI信息，然后發(fā)送給UE-B ；UE-B作 為被叫，會使用被叫業(yè)務(wù)安全關(guān)聯(lián)進(jìn)行信令協(xié)商的安全保護(hù)。步驟9 =UE-B收到P-CSCF的IMS會話邀請請求消息后，發(fā)送振鈴響應(yīng)消息給UE-B 側(cè)的P-CSCF表示UE-B已經(jīng)收到UE-A的IMS會話邀請請求消息。步驟10 =IMS核心網(wǎng)將該振鈴響應(yīng)消息轉(zhuǎn)發(fā)給UE-A0終端UE-A收到此消息后知 道UE-B已經(jīng)收到IMS會話邀請請求消息。步驟11 =UE-B接受會話邀請，向UE-B的IMS核心網(wǎng)發(fā)送2000K響應(yīng)，此2000K響 應(yīng)攜帶UE-A和UE-B都支持的媒體格式以及音視頻傳輸端口號，此外還有UE-B的媒體傳輸SPI 信息οUE-B側(cè)的P-CSCF收到該2000K響應(yīng)消息后，將UE-B的媒體傳輸安全關(guān)聯(lián)信息通 知媒體網(wǎng)關(guān)服務(wù)器(MGCF)，這樣UE-B的MGCF與UE-B共享一組IPsec-ESP的安全關(guān)聯(lián)參數(shù) 信息，IK和CK從之前信令協(xié)商的AKA鑒權(quán)中進(jìn)行擴(kuò)展，加密算法和完整性算法使用之前所 選擇算法。步驟12 =UE-B側(cè)的P-CSCF將該2000K響應(yīng)消息轉(zhuǎn)發(fā)給UE-A側(cè)的P-CSCF，UE-A側(cè) 的P-CSCF通知其MGCF，MGCF生成SPI信息(稱為第四SPI信息)和準(zhǔn)備進(jìn)行媒體傳輸?shù)?端口號，然后將該2000K響應(yīng)消息發(fā)送給UE-A0這樣UE-A側(cè)的MGCF與UE-A也共享一組 IPsec-ESP的安全關(guān)聯(lián)參數(shù)信息。步驟13 經(jīng)過步驟7-12的消息交互，UE-A和UE-B具有各自媒體傳輸?shù)陌踩P(guān)聯(lián) 的參數(shù)信息，UE-A采用之前信令協(xié)商的IK和CK以及之前選中的完整性算法和加密算法建 立與UE-A媒體網(wǎng)關(guān)的安全關(guān)聯(lián)，根據(jù)傳輸媒體數(shù)目，可能有一組或者多組安全關(guān)聯(lián)，實現(xiàn) 了對媒體數(shù)據(jù)傳輸?shù)陌踩Ｗo(hù)。步驟14 =UE-B根據(jù)步驟7_12的消息交互信息，建立與UE-B所處的媒體網(wǎng)關(guān)之間 的媒體傳輸?shù)腎Psec-ESP安全關(guān)聯(lián)，之后UE-A和UE-B的媒體數(shù)據(jù)傳輸已處于安全保護(hù)之 中。步驟15 =UE-A利用與核心網(wǎng)建立的媒體傳輸?shù)腎Psec-ESP安全關(guān)聯(lián)傳輸媒體內(nèi) 容，實現(xiàn)各種多媒體通信功能，例如音頻、視頻和圖像。步驟16 =UE-B的媒體內(nèi)容通過之前的安全關(guān)聯(lián)進(jìn)行傳輸，媒體內(nèi)容采用之前信令 協(xié)商的IK和CK進(jìn)行加密保護(hù)。多媒體通信結(jié)束之后，可以結(jié)束媒體傳輸?shù)腎Psec-ESP安 全關(guān)聯(lián)，而信令協(xié)商的IPsec-ESP安全關(guān)聯(lián)一直保持，直到用戶注銷為止。從以上的描述中，可以看出，本發(fā)明實現(xiàn)了如下技術(shù)效果終端和IMS核心網(wǎng)之間 通過建立媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)，這樣，可以在進(jìn)行媒體內(nèi)容的傳輸時通過該媒 體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)進(jìn)行傳輸，從而確保了終端和IMS核心網(wǎng)之間傳輸?shù)拿襟w內(nèi) 容的安全性，解決了相關(guān)技術(shù)中IMS下的多媒體通信的安全問題，避免了媒體內(nèi)容在終端 和IMS核心網(wǎng)之間進(jìn)行傳輸時被他人惡意地盜取和篡改等。顯然，本領(lǐng)域的技術(shù)人員應(yīng)該明白，上述的本發(fā)明的各模塊或各步驟可以用通用 的計算裝置來實現(xiàn)，它們可以集中在單個的計算裝置上，或者分布在多個計算裝置所組成 的網(wǎng)絡(luò)上，可選地，它們可以用計算裝置可執(zhí)行的程序代碼來實現(xiàn)，從而，可以將它們存儲 在存儲裝置中由計算裝置來執(zhí)行，并且在某些情況下，可以以不同于此處的順序執(zhí)行所示 出或描述的步驟，或者將它們分別制作成各個集成電路模塊，或者將它們中的多個模塊或 步驟制作成單個集成電路模塊來實現(xiàn)。這樣，本發(fā)明不限制于任何特定的硬件和軟件結(jié)合。以上所述僅為本發(fā)明的優(yōu)選實施例而已，并不用于限制本發(fā)明，對于本領(lǐng)域的技 術(shù)人員來說，本發(fā)明可以有各種更改和變化。凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修 改、等同替換、改進(jìn)等，均應(yīng)包含在本發(fā)明的保護(hù)范圍之內(nèi)。
權(quán)利要求
1.一種IP多媒體子系統(tǒng)IMS多媒體通信方法，其特征在于，包括終端與IMS核心網(wǎng)進(jìn)行信令協(xié)商，并在所述信令協(xié)商的過程中建立所述終端與所述 IMS核心網(wǎng)之間的媒體傳輸?shù)腎P安全-封裝安全負(fù)載IPSec-ESP安全關(guān)聯(lián)；所述終端和所述IMS核心網(wǎng)之間通過所述媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)進(jìn)行媒體內(nèi) 容的傳輸。
2.根據(jù)權(quán)利要求1所述的方法，其特征在于，在終端與IMS核心網(wǎng)進(jìn)行信令協(xié)商之前，還包括所述終端向所述IMS核心網(wǎng)進(jìn)行注 冊，并在所述注冊的過程中建立所述終端與所述IMS核心網(wǎng)之間的信令協(xié)商的IPSec-ESP 安全關(guān)聯(lián)；終端與IMS核心網(wǎng)進(jìn)行信令協(xié)商包括所述終端和所述IMS核心網(wǎng)之間通過所述信令 協(xié)商的IPSec-ESP安全關(guān)聯(lián)進(jìn)行所述信令協(xié)商。
3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述終端向所述IMS核心網(wǎng)進(jìn)行注冊，并 在所述注冊的過程中建立所述終端與所述IMS核心網(wǎng)之間的信令協(xié)商的IPSec-ESP安全關(guān) 聯(lián)包括所述終端向所述核心網(wǎng)中的代理型_呼叫會話控制功能P-CSCF發(fā)送IMS注冊請求消 息，其中，所述IMS注冊請求消息中包括所述終端的信息和所述終端的第一安全關(guān)聯(lián)信 息；所述P-CSCF保存接收的所述IMS注冊請求消息中的信息到本地，并向所述終端返回鑒 權(quán)質(zhì)詢消息，其中，所述鑒權(quán)質(zhì)詢消息中包括所述第二安全關(guān)聯(lián)信息和所述P-CSCF的信 息；所述終端接收所述鑒權(quán)質(zhì)詢消息之后，所述終端和所述P-CSCF之間通過所述第一安 全關(guān)聯(lián)信息和所述P-CSCF的第二安全關(guān)聯(lián)信息建立所述信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)。
4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述終端的信息包括所述終端的IP地 址、IMS用戶信息、和所述終端支持的算法列表；在所述P-CSCF保存接收的所述IMS注冊 請求消息中的信息到本地之后、以及所述P-CSCF向所述終端返回鑒權(quán)質(zhì)詢消息之前，還包 括所述P-CSCF獲取與所述IMS用戶信息對應(yīng)的卡密鑰；所述P-CSCF使用所述卡密鑰和隨機(jī)數(shù)獲得第一認(rèn)證和密鑰協(xié)商AKA鑒權(quán)五元組，其 中，所述第一 AKA鑒權(quán)五元組中包括第一完整性密鑰IK、第一加密密鑰CK、和第一響應(yīng)RES字段。
5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述鑒權(quán)質(zhì)詢消息中還包括所述第一 RES字段和所述隨機(jī)數(shù)；在所述終端接收所述鑒權(quán)質(zhì)詢消息之后，還包括所述終端中的ISIM或USIM使用本地的卡密鑰和所述隨機(jī)數(shù)獲得第二 AKA鑒權(quán)五元 組，其中，所述第二 AKA鑒權(quán)五元組中包括第二 IK、第二 CK、和第二 RES字段；所述終端判斷所述第二 RES字段與所述第一 RES字段是否相同；若判斷結(jié)果為相同，則所述終端確定所述P-CSCF的身份認(rèn)證成功。
6.根據(jù)權(quán)利要求5所述的方法，其特征在于，在所述終端和所述P-CSCF之間通過所述 第一安全關(guān)聯(lián)信息和所述P-CSCF的第二安全關(guān)聯(lián)信息建立所述信令協(xié)商的IPSec-ESP安 全關(guān)聯(lián)之后，還包括所述終端通過與所述P-CSCF的信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)向所述P-CSCF發(fā)送 IMS鑒權(quán)驗證請求消息，其中，所述IMS鑒權(quán)驗證請求消息中包括所述終端的信息、所述終 端的第一安全關(guān)聯(lián)信息、和所述第二 RES字段；所述P-CSCF接收所述IMS鑒權(quán)驗證請求消息之后，驗證所述終端的信息和所述終端的 第一安全關(guān)聯(lián)信息與本地保存的信息是否一致；若一致，則所述P-CSCF繼續(xù)判斷所述第二 RES字段與所述第一 RES字段是否相同，并 在判斷結(jié)果為相同的情況下，確定所述終端的身份認(rèn)證成功以及注冊成功； 所述P-CSCF向所述終端返回身份認(rèn)證成功的消息。
7.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述第一安全關(guān)聯(lián)信息包括所述終端隨 機(jī)生成的第一安全參數(shù)索引SPI信息及其對應(yīng)的端口信息，所述第二安全關(guān)聯(lián)信息包括 所述P-CSCF隨機(jī)生成的第二 SPI信息及其對應(yīng)的端口信息，所述P-CSCF的信息包括所述 P-CSCF的IP地址和所述P-CSCF支持的算法列表；所述終端和所述P-CSCF之間通過所述 第一安全關(guān)聯(lián)信息和所述P-CSCF的第二安全關(guān)聯(lián)信息建立所述信令協(xié)商的IPSec-ESP安 全關(guān)聯(lián)包括所述終端使用所述第一 SPI信息及其對應(yīng)的端口信息、所述P-CSCF的IP地址、所述終 端和所述P-CSCF均支持的算法、所述第二 IK、和第二 CK建立與所述P-CSCF的信令協(xié)商的 IPSec-ESP安全關(guān)聯(lián)，其中，所述終端和所述P-CSCF均支持的算法是從所述終端支持的算 法列表以及所述P-CSCF支持的算法列表中選擇出的；所述P-CSCF使用所述第二 SPI信息及其對應(yīng)的端口信息、所述終端的IP地址、所述 終端和所述P-CSCF均支持的算法、所述第一 IK、和第一 CK建立與所述終端的信令協(xié)商的 IPSec-ESP安全關(guān)聯(lián)。
8.根據(jù)權(quán)利要求7所述的方法，其特征在于，所述終端和所述IMS核心網(wǎng)之間通過所述 信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)進(jìn)行所述信令協(xié)商，并在所述信令協(xié)商的過程中建立所述 終端與所述IMS核心網(wǎng)之間的媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)包括所述終端向所述P-CSCF發(fā)送IMS會話邀請請求消息，其中，所述IMS會話邀請請求消 息中包括所述終端的媒體信息和所述終端隨機(jī)生成的第三SPI信息；所述P-CSCF保存接收的所述IMS會話邀請請求消息中的信息，將所述IMS會話邀請請 求消息轉(zhuǎn)發(fā)到所述IMS會話邀請請求消息所邀請的另一終端；在所述P-CSCF接收到所述另一終端返回的響應(yīng)消息之后，通知所述核心網(wǎng)中的媒體 網(wǎng)關(guān)控制功能MGCF隨機(jī)生成第四SPI信息，并將所述響應(yīng)消息轉(zhuǎn)發(fā)給所述終端，其中，所述 響應(yīng)消息中包括所述第四SPI信息；所述終端使用所述第三SPI信息、所述終端和所述P-CSCF均支持的算法、所述第二 IK、 和第二 CK建立與所述MGCF的媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)；所述MGCF使用所述第四SPI信息、所述終端和所述P-CSCF均支持的算法、所述第一 IK、和第一 CK建立與所述終端的媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)。
9.根據(jù)權(quán)利要求8所述的方法，其特征在于，所述終端和所述IMS核心網(wǎng)之間通過所述 媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)進(jìn)行媒體內(nèi)容的傳輸包括所述終端使用所述第二 IK、所述第二 CK、以及所述終端和所述P-CSCF均支持的算法 加密所要發(fā)送的媒體內(nèi)容，并發(fā)送加密后的媒體內(nèi)容到所述MGCF ；以及所述MGCF使用所述第一 IK、所述第一 CK、以及所述終端和所述P-CSCF均支持的算法解密所述加密后的媒體內(nèi) 容；或者，所述MGCF使用所述第一 IK、所述第一 CK、以及所述終端和所述P-CSCF均支持的 算法加密要發(fā)送到所述終端的媒體內(nèi)容，并發(fā)送加密后的媒體內(nèi)容到所述終端；以及所述 終端使用所述第二 IK、所述第二 CK、以及所述終端和所述P-CSCF均支持的算法解密所述加 密后的媒體內(nèi)容。
10.一種IP多媒體子系統(tǒng)IMS多媒體通信系統(tǒng)，其特征在于，包括終端和IMS核心網(wǎng)， 其中所述終端用于與所述IMS核心網(wǎng)進(jìn)行信令協(xié)商，并在所述信令協(xié)商的過程中建立與所 述IMS核心網(wǎng)之間的媒體傳輸?shù)腎P安全-封裝安全負(fù)載IPSec-ESP安全關(guān)聯(lián)，通過所述媒 體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)進(jìn)行所述終端和所述IMS核心網(wǎng)之間的媒體內(nèi)容的傳輸。
11.根據(jù)權(quán)利要求10所述的系統(tǒng)，其特征在于，所述終端還用于在與所述IMS核心網(wǎng)進(jìn) 行信令協(xié)商之前，向所述IMS核心網(wǎng)進(jìn)行注冊，并在所述注冊的過程中建立與所述IMS核心 網(wǎng)之間的信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)，通過所述信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)與所 述IMS核心網(wǎng)進(jìn)行所述信令協(xié)商。
12.—種終端，其特征在于，包括協(xié)商與建立模塊，用于與IP多媒體子系統(tǒng)IMS核心網(wǎng)進(jìn)行信令協(xié)商，并在所述信令 協(xié)商的過程中建立所述終端與所述IMS核心網(wǎng)之間的媒體傳輸?shù)腎P安全_封裝安全負(fù)載 IPSec-ESP安全關(guān)聯(lián)；媒體傳輸模塊，用于通過所述媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)將媒體內(nèi)容發(fā)送給所述 IMS核心網(wǎng)和/或接收來自所述IMS核心網(wǎng)的媒體內(nèi)容。
13.根據(jù)權(quán)利要求12所述的終端，其特征在于，還包括注冊與建立模塊，其中所述注冊與建立模塊用于在所述協(xié)商與建立模塊與所述IMS核心網(wǎng)進(jìn)行信令協(xié)商之前，向所述IMS核心網(wǎng)進(jìn)行注冊，并在所述注冊的過程中建立與所述IMS核心網(wǎng)之間的信令 協(xié)商的IPSec-ESP安全關(guān)聯(lián)；所述協(xié)商與建立模塊用于通過所述信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)與所述IMS核心網(wǎng) 進(jìn)行所述信令協(xié)商。
14.一種IP多媒體子系統(tǒng)IMS核心網(wǎng)，其特征在于，包括協(xié)商與建立模塊，用于與終端進(jìn)行信令協(xié)商，并在所述信令協(xié)商的過程中建立與所述 終端之間的媒體傳輸?shù)腎P安全_封裝安全負(fù)載IPSec-ESP安全關(guān)聯(lián)；媒體傳輸模塊，用于通過所述媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)將媒體內(nèi)容發(fā)送給所述 終端和/或接收來自所述終端的媒體內(nèi)容。
15.根據(jù)權(quán)利要求14所述的IMS核心網(wǎng)，其特征在于，還包括信令協(xié)商安全關(guān)聯(lián)建立模 塊，其中信令協(xié)商安全關(guān)聯(lián)建立模塊用于在所述協(xié)商與建立模塊與所述終端進(jìn)行信令協(xié)商 之前，接受所述終端的注冊，并在所述注冊的過程中建立與所述終端之間的信令協(xié)商的 IPSec-ESP安全關(guān)聯(lián)；所述協(xié)商與建立模塊用于通過所述信令協(xié)商的IPSec-ESP安全關(guān)聯(lián)與所述終端進(jìn)行 所述信令協(xié)商。
全文摘要
本發(fā)明公開了一種IMS多媒體通信方法和系統(tǒng)、終端及IMS核心網(wǎng)，其中，IMS多媒體通信方法包括終端與IMS核心網(wǎng)進(jìn)行信令協(xié)商，并在信令協(xié)商的過程中建立終端與IMS核心網(wǎng)之間的媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)；終端和IMS核心網(wǎng)之間通過媒體傳輸?shù)腎PSec-ESP安全關(guān)聯(lián)進(jìn)行媒體內(nèi)容的傳輸。本發(fā)明確保了終端和IMS核心網(wǎng)之間傳輸?shù)拿襟w內(nèi)容的安全性，解決了相關(guān)技術(shù)中IMS下的多媒體通信的安全問題，避免了媒體內(nèi)容在終端和IMS核心網(wǎng)之間進(jìn)行傳輸時被他人惡意地盜取和篡改等。
文檔編號H04L29/06GK102006294SQ201010559798
公開日2011年4月6日 申請日期2010年11月25日 優(yōu)先權(quán)日2010年11月25日
發(fā)明者康望星, 施元慶, 梁潔輝 申請人:中興通訊股份有限公司