专利名称：安全语音信令网关的制作方法
技术领域：
本发明涉及公共交换电话网(PSTN)上的语音通信，并特别涉及为语音网络提供增强的安全性的系统和方法。
背景技术：
传统的公共交换电话网(PSTN)通常被认为是安全的，特别是在陆上通信线路上进行通信的系统。
然而近年来，语音网络被解除管制，并且已经强制提供商将其网络向外部公司开放。已经发展了将语音通信与分组网络集成的新方法。已经研究了例如基于IP的语音(VOIP)的协议，其主要作为减小通常与交换语音通信相关联的长途费用的一种方式。分组网络，并且特别是普遍存在的因特网，依赖于公开的概念，这导致黑客等恶意地或出于一定利益地攻击分组网络。在为分组网络提供某种安全等级的安全系统的发展中已经花费了大量的努力。传统的交换语音通信与分组网络的集成，打开了特别涉及高端客户的安全问题的大门，所述高端客户包括军队、大公司以及特别是金融机构。然而至今，在用于交换电话网络(例如PSTN)的信令安全的领域中似乎没有任何发展。
分组网络利用加密和加密验证技术来向安全协议进展，但是至今在传统的语音网络中没有发现相同的情况。
也存在用于连接交换语音网络到分组语音网络的系统。一个这种系统的例子是Alcatel 5070 SSG，其提供交换网络的SS7(七号信令系统)协议和例如SIGTRAN的协议之间的网关，所述SIGTRAN在IP分组网络上实现SS7协议。Alcatel 5070 SSG允许来自交换网络域的信令业务通过分组网络，并且反之亦然。
VPN网关典型地用来终止IP网络中的安全IP SEC或SSL协议。所述协议可以提供安全且强大的网络业务的加密验证和加密。因此，本发明的主要目的是将所述验证和加密技术应用于交换语音网络环境。
发明内容
本发明提供了一种安全语音信令网关(SVSG，secure voice signalinggateway)，其是用于提供通过分组网络的安全语音信令通信的系统。SVSG所使用的方法与针对IP VPN所使用的技术有些类似。SVSG的应用包括隧道化通过IP网络的SS7信令协议以及保护两个服务交换点(SSP，serviceswitching point)之间的信令连接，并且实现网络运营商之间的共享SS7网络。SVSG使用加密和数字签名技术来确保所接收的消息对于不受外部的检查和修改而言是可信和安全的。SVSG功能性可以在独立的单元中被实现，也可以被集成到其它语音电话设备中，例如STP、SSP和SCP网络单元。
因此，根据本发明的第一方面，提供了一种在分组网络上、在第一和第二网络单元之间提供安全语音信令通信的方法，所述方法包括在所述第一网络单元上利用定义了第一和第二网络单元之间的关联的安全密钥来加密信令分组有效负载；从所述第一单元向第二单元发送所述加密的分组有效负载；以及在所述第二网络单元利用所述安全密钥来解密所述分组有效负载。
在本发明的所述方面的第二实施例中，所述信令分组有效负载以及MTP2或MTP3报头被加密，并且所述第一网络单元的地址被包括在被加密的分组中，以标识语音通信的始发点。这提供了应用中公知的冒充模式(masquerading mode)。
根据本发明的第二方面，提供了一种用于在分组网络上、在第一和第二网络单元之间提供安全语音信令通信的设备，所述设备包括用于在第一网络单元上利用定义了所述第一和第二网络单元之间的关联的安全密钥来加密信令分组有效负载的装置；用于从所述第一单元向第二单元发送被加密的分组有效负载的装置；以及用于在所述第二网络单元上利用所述安全密钥来解密所述分组有效负载的装置。
根据本发明的第三方面，提供了一种用于集成到SS7网络中以在分组网络上提供安全语音信令通信的安全语音信令网关(SVSG)，所述SVSG包括用于接收语音信令通信的第一接口；用于利用安全密钥来加密信令通信的信令分组有效负载的装置；以及用于通过第二接口发送被加密的信令分组有效负载给关联的SVSG的发送装置。
现在将参考附图详细描述本发明，其中图1示出了SVSG的简单视图；图2和图3示出了加密和解密分组处理的流程图；图4示出了在MTP3层的具有加密的SVSG的非冒充模式；图5示出了利用SCCP的非冒充模式；图6描述了在MTP3层的具有加密的SVSG的隧道化模式；图7示出了具有冒充和SCCP的隧道化模式；图8描述了具有GTT能力的SVSG；图9描述了利用标准VPN网关提供隧道化的通过IP网络的SS7的配置；图10描述了SS7网络的简单视图；图11示出了保护两个SSP之间的信令连接的例子；图12示出了网络运营商之间的共享SS7网络的例子。
具体实施例方式
图1是本发明的SVSG的高级表示法。SVSG是提供语音网络中的两点之间的安全通信的设备。通过从一个SVSG到另一个隧道化语音信令业务来提供所述功能性。SVSG使用加密和数字签名技术来确保所接收的消息对于不受外来者的检查和修改而言是可信且安全的。所述SVSG功能性可以在独立的单元中被实现，或可以被集成到其它语音电话设备中。
如图1所示，SVSG从第一接口(黑色)接收信令业务，根据分组的始发点代码和目的点代码对其加密，并且将其发送到其它接口(红色)。被加密的分组被发送到执行相反操作的网络中的第二SVSG。SVSG可以在MTP3和SCCP层工作，并且也可以在栈的其它层工作。
为了使SVSG起作用，网络必须知道由其它SVSG用来加密的密钥。可以利用标准安全机制来共享所述信息，所述安全机制例如是共享安全密钥、公共密钥基础设施、例如因特网密钥交换的密钥协商等。
根据从第一接口到第二接口的地址转换，SVSG工作在两种不同的模式中，即冒充模式和非冒充模式。在所述冒充模式中，SVSG针对其在第二接口上发送的所有分组使用其自己的点代码，这因而提供了身份隐藏。在所述非冒充模式中，SVSG允许分组保持MTP3报头(以及最终的SCCP报头)。
也可以以两种不同的模式来实现隧道化第一，面向分组，其中每个分组被加密并然后被发送到合适的SVSG，或第二，面向连接，其中永久SCCP连接被建立在SVSG之间并且被用来发送所述分组。
首先描述了SVSG仅工作在MTP3层的简单例子，然后描述了使用SCCP所必需的修改和限制。
在没有冒充的配置中，SVSG仅加密在所述第一接口所接收的分组的有效负载(即不包括MTP3和SCCP报头)，并且在第二接口上发送它们，并且解密在第二接口所接收的分组的有效负载，并且在第一接口上发送它们。
图4和图5中示出了所述情况的示例。SVSG1和SVSG2共享用于分组加密的相同密钥。通过针对SVSG1和SVSG2之间的关联所定义的密钥，利用加密算法来加密所述有效负载。
所述模式使得可能在例如全局码翻译(GTT，Global Title Translation)的网络中继续使用SCCP功能性，这是由于仅修改了所述有效负载。
然而在所述冒充模式中，SVSG加密了整个分组，包括MTP3和最终的SCCP报头，并将其置于MTP3分组的有效负载中，所述始发点代码针对所述MTP3分组是SVSG的地址。所述地址翻译的过程类似于IP网络中使用的网络地址转换。在图6和图7中示出了所述情况的示例。
冒充的优点在于其允许更多老练的网络提供商通过对外界隐藏其网络拓扑而实现某种级别的匿名性。从外部的角度来看，仅SVSG的点代码是可见的。
当启动冒充时，SCCP不能被用来执行两个SVSG之间的全局码翻译。SVSG因而应当具有某些GTT功能性，从而至少能够知道其将发送分组给哪个SVSG，如图8所示。
所述两种先前的模式是基于分组(on packet per packet basis)而工作的。SVSG也使得可能在SVSG之间创建永久SCCP连接。所有在所述连接上被发送的数据被加密。由于互操作性的考虑，允许不对所有分组进行加密的情况。
根据由运营商所定义的策略，可以在不进行加密的情况下转发不是去往SVSG之后的设备的分组，或将其丢弃。
相同的考虑应用于接收的分组。由运营商定义的策略应当定义如何处理没有被加密的分组。
在该文献中，SS7协议栈包括由ITU(Q.700系列)利用MTP和ATM所定义的SS7、由T1组织所定义的SS7以及由IETF SIGTRAN工作组所定义的IP上的SS7。除了安全功能之外，SVSG还可以应用于不同的协议，并且可以允许不同SS7特征之间的互操作性。
根据所使用的协议，SVSG可以使用允许在两个SVSG之间进行加密的其它协议。例如，在SIGTRAN使用的情况下，可能使用两个SVSG之间的IP安全机制(例如IPSec、SSL或TLS)。通过使用两个传统的SS7到SIGTRAN网关和两个标准的VPN(IPSec、SSL或TLS)网关，也可以实现所述安排，如图9所描述的那样。
SVSG可以被用在不同的网络配置中，例如
图10示出了简单的典型SS7网络结构；以及图11示出了两个SSP之间的安全信令连接的例子。
图12示出了网络运营商之间的共享SS7网络的例子。在所述情况下，通过阴影而指明的每种SVSG仅知道相同阴影的其它SVSG的密钥。例如，以一种阴影所表示的SSP不能接入由不同阴影所表示的SCP，这是由于两个SVSG不能交换分组。
尽管已经描述并说明了本发明的特定实施例，然而可以在不脱离基本概念的情况下进行许多改变对于本领域的技术人员而言是显而易见的。应当理解到，任何所述改变应当落在如附加的权利要求所定义的本发明的完整范围内。
权利要求
1.一种在分组网络上、在第一和第二网络单元之间提供安全语音信令通信的方法，所述方法包括在所述第一网络单元上利用定义了所述第一和第二网络单元之间的关联的安全密钥来加密信令分组有效负载；从所述第一单元向所述第二单元发送所述加密的分组有效负载；以及在所述第二网络单元上利用所述安全密钥来解密所述分组有效负载。
2.根据权利要求1的方法，其中，所述信令网络是基于七号信令系统协议组的。
3.根据权利要求1的方法，其中，所述信令分组有效负载和关联的报头在所述第一网络单元被加密并在所述第二网络单元被解密。
4.根据权利要求3的方法，其中，所述第一网络单元的地址被包括在所述加密的分组中，并标识了其始发点。
5.根据权利要求1的方法，其中，在所述第一单元上执行全局码翻译(GTT)，以确定所述分组网络中的哪个网络单元发送所述分组。
6.根据权利要求4的方法，其中，所述加密的分组是消息传送部分第三级(MTP3)分组。
7.根据权利要求1的方法，其还包括确定是丢弃、加密并发送还是不进行加密而发送所接收的信令分组的步骤。
8.根据权利要求7的方法，其中，所述确定的步骤基于包括所述分组网络中的标准、源和目的地址的策略。
9.一种用于在分组网络上、在第一和第二网络单元之间提供安全语音信令通信的设备，所述设备包括用于在所述第一网络单元上利用定义了所述第一和第二网络单元之间的关联的安全密钥来加密信令分组有效负载的装置；用于从所述第一单元向所述第二网络单元发送所述加密的分组有效负载的装置；以及用于在所述第二网络单元上利用所述安全密钥来解密所述分组有效负载的装置。
10.根据权利要求9的设备，其中，所述第一和第二网络单元是安全语音信令网关(SVSG)设备。
11.根据权利要求10的设备，其中，通过从第一安全语音信令网关到第二安全语音信令网关隧道化语音信令业务，来提供安全的通信。
12.根据权利要求11的设备，其中，所述安全密钥是下列密钥之一共享安全密钥、公共密钥基础设施以及因特网密钥交换。
13.一种用于集成到七号信令系统网络中以在分组网络上提供安全语音信令通信的安全语音信令网关(SVSG)，所述安全语音信令网关包括用于接收所述语音信令通信的第一接口；用于利用安全密钥来加密信令通信的信令分组有效负载的装置；以及用于通过第二接口发送所述加密的信令分组有效负载到关联的安全语音信令网关的发送装置。
14.根据权利要求13的安全语音信令网关，其是在独立的单元中被实现的。
15.根据权利要求13的安全语音信令网关，其被集成到语音电话设备中。
16.一种用于集成到七号信令系统网络中以在分组网络上提供安全语音信令通信的安全语音信令网关(SVSG)，所述安全语音信令网关包括用于接收语音信令通信的加密的信令分组有效负载的第一接口；用于解密所述加密的信令分组有效负载的解密装置；以及用于通过第二接口发送所述解密的信令分组有效负载给端系统的发送装置。
17.根据权利要求16的安全语音信令网关，其是在独立的单元中被实现的。
18.根据权利要求16的安全语音信令网关，其被集成到语音电话设备中。
全文摘要
描述了在公共交换电话网(PSTN)上提供用于语音通信的安全信令的系统和方法。在第一安全语音信令网关(SVSG)接收呼叫信令，在所述SVSG中利用安全密钥对所述呼叫信令进行加密。在目的网络单元，从第一SVSG到第二SVSG隧道化所述加密的有效负载。目的SVSG解密有效负载，并将其传送到目的地。根据本发明，通信可以是冒充的或非冒充的，在冒充的情况中，第一SVSG的地址作为起源而被给出，在非冒充的情况中，保留语音通信的实际起源。
文档编号H04L12/66GK1777092SQ200510123509
公开日2006年5月24日 申请日期2005年11月17日 优先权日2004年11月18日
发明者S·D·德苏扎, O·L·穆瓦涅 申请人:阿尔卡特公司