专利名称：一种用户终端接入软交换网络的安全交互方法
技术领域：
本发明涉及通讯安全领域，特别是涉及应用在软交换等基于IP网络通信系统的安全体系架构下的一种增强型的终端与系统安全交互方法。
背景技术：
随着软交换等IP通讯技术的发展，基于IP网络的语音技术在企业网和公共网络中得到了越来越多的应用，由于IP网络的开发性的设计理念，使得基于IP语音通讯存在一些安全性问题，如账号盗用、设备欺骗、系统劫持等问题。针对这些安全问题，要求终端接入软交换等系统，不但需要对用户终端进行认证，避免非法用户的接入，而且需要终端对系统的认证，避免终端被非法系统劫持。
目前，在通信系统的安全体系中，已经有一些安全认证流程存在，但是由于这些流程的设计问题，会将设备之间使用的密码在网络中采用明文(信任网络中)或密文(非信任网络中)进行传送，使得密码安全性大打折扣；另外由于验证点的选择不对，使得认证流程中存在安全隐患。
发明内容
本发明所要解决的技术问题在于提供一种用户终端接入软交换网络的安全交互方法，用于保证终端与系统安全认证。
为了实现上述目的，本发明提供了一种用户终端接入软交换网络的安全交互方法，应用于以软交换为基础的IP网络系统，该网络系统包括至少一个软交换核心控制设备和宽带接入网关、多个用户终端、安全认证服务器，其特征在于，该方法包括如下步骤步骤一，在所述用户终端上设置用户终端认证安全参数组，在所述宽带接入网关设置宽带接入网关认证安全参数组，在所述安全认证服务器设置与所述用户终端认证安全参数组对应的用户终端认证授权参数组及与所述宽带接入网关认证安全参数组对应的宽带接入网关认证授权参数组；步骤二，将所述用户终端通过所述宽带接入网关接入至所述软交换核心控制设备；步骤三，所述用户终端通过所述宽带接入网关、所述软交换核心控制设备，并根据所述用户终端认证安全参数组对系统进行认证；所述宽带接入网关根据所述宽带接入网关认证安全参数组对所述用户终端与所述软交换核心控制设备之间的消息进行安全保护；所述安全认证服务器通过所述软交换核心控制设备、所述宽带接入网关，并根据所述用户终端认证授权参数组、所述宽带接入网关认证授权参数组对所述用户终端进行认证。
所述的用户终端接入软交换网络的安全交互方法，其中，所述用户终端认证安全参数组的个数为一个或多个；所述宽带接入网关认证安全参数组的个数为一个或多个。
所述的用户终端接入软交换网络的安全交互方法，其中，所述每个宽带接入网关认证安全参数组/所述每个用户终端认证安全参数组包括认证、加密、完整性保护安全方式中的一种或多种方式的参数信息；所述每个宽带接入网关认证授权参数组/每个用户终端认证授权参数组分别包括对所述宽带接入网关/所述用户终端认证、加密、完整性保护安全方式中的一种或多种方式所需的计算信息。
所述的用户终端接入软交换网络的安全交互方法，其中，所述步骤三中，还包括所述宽带接入网关对所述用户终端与所述软交换核心控制设备之间的消息采用完整性保护密钥进行完整性保护的步骤。
所述的用户终端接入软交换网络的安全交互方法，其中，所述步骤三中，还包括所述软交换核心控制设备对收到的所述用户终端发送的注册请求消息进行完整性检查的步骤，若该消息检查不通过，则回应所述宽带接入网关一注册失败信息，所述宽带接入网关将该失败信息转发给所述用户终端；若该消息检查通过，则向所述安全认证服务器发送包含用户终端认证和系统认证的认证请求。
所述的用户终端接入软交换网络的安全交互方法，其中，所述步骤三中，还包括当所述软交换核心控制设备向所述用户终端返回一个注册失败/不成功消息时，所述用户终端对系统的合法性进行验证的步骤。
所述的用户终端接入软交换网络的安全交互方法，其中，所述用户终端通过比较根据所述用户终端认证安全参数组计算出的认证字与从所述软交换核心控制设备获得的系统验证码是否一致的方式对系统的合法性验证，若不一致，即系统不合法；若一致，则通过系统认证。
所述的用户终端接入软交换网络的安全交互方法，其中，在所述用户终端对系统的合法性进行验证的步骤之后，还包括所述用户终端重新发起含有终端验证码的注册请求消息的步骤。
所述的用户终端接入软交换网络的安全交互方法，其中，还包括所述安全认证服务器校验所述终端验证码是否正确的步骤，若不正确/注册失败，则所述软交换核心控制设备返回所述用户终端一注册失败信息；若正确/注册成功，则发送一验证成功消息至所述软交换核心控制设备。
所述的用户终端接入软交换网络的安全交互方法，其中，还包括所述用户终端发起注册请求消息至所述用户终端、所述安全认证服务器双向认证完成的步骤，具体为步骤110，所述用户终端向所述宽带接入网关发起注册请求消息；步骤120，所述宽带接入网关接收该注册请求消息，并将其转发至所述软交换核心控制设备；步骤130，所述软交换核心控制设备接收并分析所述注册请求消息，并向所述安全认证服务器发起用户终端认证请求；步骤140，所述安全认证服务器通过查找所述用户终端认证授权参数组，生成密码信息，并发给所述软交换核心控制设备；步骤150，所述软交换核心控制设备通过分析所述注册请求消息与接收的密码信息生成系统验证码，并通过所述宽带接入网关向所述用户终端发送注册失败/不成功的消息；步骤160，所述用户终端验证系统是否合法，合法后向所述宽带接入网关再次发起注册请求消息；步骤170，所述软交换核心控制设备通过所述宽带接入网关接收注册请求消息，并将其转发至所述安全认证服务器；及步骤180，所述安全认证服务器对所述终端用户进行认证。
本发明在以软交换技术为基础的IP网络系统体系架构中，提出的用户终端安全通过宽带接入网关接入软交换网络进行安全交互的方法，保证终端安全认证。采用本发明，用户终端可以安全地通过宽带接入网关接入到软交换网络，其有益效果具体在于1)，安全认证服务器与用户终端之间有多于一组的认证方式；2)，软交换核心控制设备与用户终端之间信令传输可以采用加密、完整性保护两种方式中的一种或两种方式来保护；3)，可以实现用户终端与系统的双向认证；4)，安全认证服务器作为整个系统接入验证的唯一设备，避免了分散认证的安全性威胁；5)，加密、完整性密钥生成都是在设备自身生成，避免了密码在网络中传送的风险。
以下结合附图和具体实施例对本发明进行详细描述，但不作为对本发明的限定。
图1为本发明终端接入软交换网络的组网示意图；图2为本发明用户终端注册认证、密码生成流程示意图；图3为本发明用户终端发起注册请求消息至用户终端、安全认证服务器双向认证完成的流程示意图。
具体实施例方式
下面结合附图对技术方案的实施作进一步的详细描述。
在图1中，描述了本发明终端接入软交换网络的组网示意图。其中，SS(SoftSwitch)是指软交换核心控制设备101，IBP(Internet Border Point)是指宽带接入网关102，UE(User Equipment)是指用户终端103，而SAS(Security AuthenticationServer)是指安全认证服务器104；图中的虚线105是指各功能实体的安全认证参数存放在安全认证服务器SAS 104上，而实线106表示各功能实体之间通信连接关系。
在图1中，以软交换技术为基础的IP网络体系架构中，存在至少一个软交换核心控制设备101；一个或多个宽带接入网关102；多个用户终端103；一个安全认证服务器104。
其中，一个用户终端103或一个宽带接入网关102，至少有一个或一个以上的认证安全参数组，每个认证安全参数组提供认证、加密、完整性保护等安全方式中的一种或几种方式所需要的参数信息；对应于每个用户终端103或每个宽带接入网关102的每个认证安全参数组，在安全认证服务器104中都将存放一个对应的认证授权参数组，用于提供用户终端103和宽带接入网关102的认证、加密、完整性保护等安全方式中的一种或几种方式所需要的计算信息。
在图1中，根据每个认证授权参数组，安全认证服务器104将负责产生密码产生信息，进行认证码验证。
在图2中，描述了一个本发明用户终端注册认证、密码生成流程示意图。该流程示意图主要描述了终端设备通过宽带接入网关在软交换核心控制设备上进行注册，注册过程中，安全认证服务器为终端与软交换设备之间产生密码生成的相关信息，以及完成对终端的安全性验证等内容。
用户终端注册认证、密码生成流程开始之前，需进行条件预设宽带接入网关已经与软交换系统建立了安全通讯机制。结合图1，该流程图包括步骤步骤201，用户终端UE 103通过宽带接入网关IBP 102向软交换核心控制设备SS 101发起注册请求消息，在注册请求消息中携带用户终端标识Cid、系统认证随机数R1。
步骤202，宽带接入网关IBP 102收到用户终端UE 103的注册请求消息后，将其通过加密等安全的机制发送至软交换核心控制设备SS 101，即采用宽带接入网关IBP 102与软交换核心控制设备SS 101之间的完整性保护密钥对消息进行完整性保护。
步骤203，软交换核心控制设备SS 101收到注册请求消息后，进行完整性检查，通过解密得到UE标识Cid、系统认证随机数R1和宽带接入网关标识Aid。若检查不通过的话，则回应宽带接入网关IBP 102注册失败，宽带接入网关IBP 102再转发给用户终端UE 103，退出流程。
步骤204，软交换核心控制设备SS 101收到用户终端UE 103的注册请求消息后，若检查通过的话，向安全认证服务器SAS 104发送认证请求(包括UE认证和系统认证)，该请求携带UE标识Cid和系统认证随机数R1。
步骤205，安全认证服务器SAS 104查找用户终端认证授权参数组，经过计算获得一个随机数R2、密码生成算法/方法，并发送至软交换核心控制设备SS 101。
步骤206，软交换核心控制设备SS 101根据分别从用户终端103和安全认证服务器SAS 104上收到的随机数R1、R2、密码生成算法以及预先分配的终端与软交换之间的共享密钥SKcs，生成终端与软交换之间完整性算法密钥IKCS，加密算法密钥CKCS，生成随机数R3，然后根据R1+SKcs+Cid+R3，生成系统验证码。
步骤207，软交换核心控制设备SS 101通过宽带接入网关IBP 102向用户终端UE103返回一个UE注册失败/不成功消息，以指示UE 103重新发起注册请求消息，在该消息中携带/包含R2、R3、系统验证码及密码生成算法，同时，宽带接入网关采用完整性保护密钥对消息进行完整性保护/检查。
步骤208，验证系统是否合法；UE 103首先根据R1+SKcs+Cid+R3计算出一个认证字，比较其与从软交换核心控制设备SS 101获得的系统验证码是否一致，若不一致，即系统不合法，则返回步骤201；若一致，则通过系统认证，然后再根据R1、R3生成终端与软交换之间完整性算法密钥IKCS、加密算法密钥CKCS。
步骤209，UE 103通过宽带接入网关IBP 102重新发起注册请求消息，注册请求消息中包含Cid、随机数R4以及终端验证码(终端与安全中心共享密钥SKcs、随机数R2、R4生成)，注册请求消息中的相关信息通过相关的密钥进行安全处理。
步骤210，宽带接入网关IBP 102采用IBP 102与SS 101之间的完整性保护密钥对消息进行完整性保护转发给软交换核心控制设备SS 101。
步骤211，软交换核心控制设备SS 101收到注册请求消息后，先进行完整性检查，若检查不通过，则通过宽带接入网关IBP 102发送UE注册失败消息，执行步骤207。若检查通过，经分析得到包含Cid、随机数R4以及终端验证码；并将这些消息发送给安全认证服务器SAS 104，该消息包含随机数R4、终端验证字。
步骤212，安全认证服务器SAS 104校验终端的验证码是否正确，如果不正确/不成功/注册失败，返回认证失败，转步骤207执行；如果正确/注册成功，发送验证成功消息至软交换核心控制设备SS 101。
步骤213，软交换核心控制设备SS 101向宽带接入网关IBP 102发送注册成功的消息。
步骤214，宽带接入网关IBP 102收到SS 101消息后，采用完整性保护密钥对消息进行完整性保护/检查。
步骤215，宽带接入网关IBP 102向用户终端UE 103转发注册结果消息。
请参阅图3所示，为本发明用户终端发起注册请求消息至用户终端、安全认证服务器双向认证完成的流程示意图。结合图2，该流程包括如下步骤步骤310，用户终端UE 103向宽带接入网关IBP 102发起一注册请求消息；步骤320，宽带接入网关IBP 102接收该注册请求消息，并将其转发至软交换核心控制设备SS 101；步骤330，软交换核心控制设备SS 101接收并分析所述注册请求消息，并向安全认证服务器SAS 104发起一用户终端认证请求；步骤340，安全认证服务器SAS 104通过查找所述用户终端认证授权参数组，生成密码信息，并发给软交换核心控制设备SS 101；步骤350，软交换核心控制设备SS 101通过分析所述注册请求消息与接收的密码信息生成系统验证码，并通过宽带接入网关IBP 102向用户终端UE 103发送一注册失败/不成功的消息；步骤360，用户终端UE 103验证系统是否合法，合法后向宽带接入网关IBP 102再次发起注册请求消息；步骤370，软交换核心控制设备SS 101通过宽带接入网关IBP 102接收注册请求消息，并将其转发至安全认证服务器SAS 104；及步骤380，安全认证服务器SAS 104对所述终端用户进行认证。
在本实施例中，加密算法和完整性算法均采用对称加密算法，会话密钥可以根据预先配置在通信实体和安全认证服务器上的共享密钥直接获得，也可以在此基础上根据共享密钥和随机数来计算获得。
在本实施例中，详细描述了用户终端如何安全通过宽带接入网关注册软交换的一个安全流程和密码生成方法，对其中涉及到信令等方面，仅是示意性的说明，供参考。
在本发明中，信令安全传输部分完成在用户终端、软交换控制设备之间安全传输信令功能以及安全认证的功能，实现安全认证流程，以及加密密钥和完整性密钥的安全生成，增强了安全性要求。
当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。
权利要求
1.一种用户终端接入软交换网络的安全交互方法，应用于以软交换为基础的IP网络系统，该网络系统包括至少一个软交换核心控制设备和宽带接入网关、多个用户终端、安全认证服务器，其特征在于，该方法包括如下步骤步骤一，在所述用户终端上设置用户终端认证安全参数组，在所述宽带接入网关设置宽带接入网关认证安全参数组，在所述安全认证服务器设置与所述用户终端认证安全参数组对应的用户终端认证授权参数组及与所述宽带接入网关认证安全参数组对应的宽带接入网关认证授权参数组；步骤二，将所述用户终端通过所述宽带接入网关接入至所述软交换核心控制设备；步骤三，所述用户终端通过所述宽带接入网关、所述软交换核心控制设备，并根据所述用户终端认证安全参数组对系统进行认证；所述宽带接入网关根据所述宽带接入网关认证安全参数组对所述用户终端与所述软交换核心控制设备之间的消息进行安全保护；所述安全认证服务器通过所述软交换核心控制设备、所述宽带接入网关，并根据所述用户终端认证授权参数组、所述宽带接入网关认证授权参数组对所述用户终端进行认证。
2.根据权利要求1所述的用户终端接入软交换网络的安全交互方法，其特征在于，所述用户终端认证安全参数组的个数为一个或多个；所述宽带接入网关认证安全参数组的个数为一个或多个。
3.根据权利要求2所述的用户终端接入软交换网络的安全交互方法，其特征在于，所述每个宽带接入网关认证安全参数组/所述每个用户终端认证安全参数组包括认证、加密、完整性保护安全方式中的一种或多种方式的参数信息；所述每个宽带接入网关认证授权参数组/每个用户终端认证授权参数组分别包括对所述宽带接入网关/所述用户终端认证、加密、完整性保护安全方式中的一种或多种方式所需的计算信息。
4.根据权利要求2或3所述的用户终端接入软交换网络的安全交互方法，其特征在于，所述步骤三中，还包括所述宽带接入网关对所述用户终端与所述软交换核心控制设备之间的消息采用完整性保护密钥进行完整性保护的步骤。
5.根据权利要求2或3所述的用户终端接入软交换网络的安全交互方法，其特征在于，所述步骤三中，还包括所述软交换核心控制设备对收到的所述用户终端发送的注册请求消息进行完整性检查的步骤，若该消息检查不通过，则回应所述宽带接入网关一注册失败信息，所述宽带接入网关将该失败信息转发给所述用户终端；若该消息检查通过，则向所述安全认证服务器发送包含用户终端认证和系统认证的认证请求。
6.根据权利要求2或3所述的用户终端接入软交换网络的安全交互方法，其特征在于，所述步骤三中，还包括当所述软交换核心控制设备向所述用户终端返回一个注册失败/不成功消息时，所述用户终端对系统的合法性进行验证的步骤。
7.根据权利要求6所述的用户终端接入软交换网络的安全交互方法，其特征在于，所述用户终端通过比较根据所述用户终端认证安全参数组计算出的认证字与从所述软交换核心控制设备获得的系统验证码是否一致的方式对系统的合法性验证，若不一致，即系统不合法；若一致，则通过系统认证。
8.根据权利要求6所述的用户终端接入软交换网络的安全交互方法，其特征在于，在所述用户终端对系统的合法性进行验证的步骤之后，还包括所述用户终端重新发起含有终端验证码的注册请求消息的步骤。
9.根据权利要求8所述的用户终端接入软交换网络的安全交互方法，其特征在于，还包括所述安全认证服务器校验所述终端验证码是否正确的步骤，若不正确/注册失败，则所述软交换核心控制设备返回所述用户终端一注册失败信息；若正确/注册成功，则发送一验证成功消息至所述软交换核心控制设备。
10.根据权利要求2或3所述的用户终端接入软交换网络的安全交互方法，其特征在于，还包括所述用户终端发起注册请求消息至所述用户终端、所述安全认证服务器双向认证完成的步骤，具体为步骤110，所述用户终端向所述宽带接入网关发起注册请求消息；步骤120，所述宽带接入网关接收该注册请求消息，并将其转发至所述软交换核心控制设备；步骤130，所述软交换核心控制设备接收并分析所述注册请求消息，并向所述安全认证服务器发起用户终端认证请求；步骤140，所述安全认证服务器通过查找所述用户终端认证授权参数组，生成密码信息，并发给所述软交换核心控制设备；步骤150，所述软交换核心控制设备通过分析所述注册请求消息与接收的密码信息生成系统验证码，并通过所述宽带接入网关向所述用户终端发送注册失败/不成功的消息；步骤160，所述用户终端验证系统是否合法，合法后向所述宽带接入网关再次发起注册请求消息；步骤170，所述软交换核心控制设备通过所述宽带接入网关接收注册请求消息，并将其转发至所述安全认证服务器；及步骤180，所述安全认证服务器对所述终端用户进行认证。
全文摘要
本发明公开了一种用户终端接入软交换网络的安全交互方法，应用于以软交换为基础的IP网络系统，该方法包括步骤步骤一，在用户终端上设置用户终端认证安全参数组，在宽带接入网关设置宽带接入网关认证安全参数组，在安全认证服务器设置与用户终端认证安全参数组对应的用户终端认证授权参数组及与宽带接入网关认证安全参数组对应的宽带接入网关认证授权参数组；步骤二，将用户终端通过宽带接入网关接入至软交换核心控制设备；步骤三，用户终端系统进行认证；宽带接入网关根据宽带接入网关认证安全参数组对用户终端与软交换核心控制设备之间的消息进行安全保护；安全认证服务器对用户终端进行认证。本发明采用多种认证方式实现了安全的双向认证。
文档编号H04L9/32GK1992710SQ20051013075
公开日2007年7月4日 申请日期2005年12月27日 优先权日2005年12月27日
发明者权海斌, 赵军锋, 曹刚 申请人:中兴通讯股份有限公司