IMS网络中基于SIP安全策略等级的协商控制方法

摘要

IMS网络中基于SIP安全策略等级的协商控制方法，提供了一种IP多媒体子系统IMS网络中基于会话初始协议SIP的安全策略等级的协商控制机制，属于网络安全保护和访问控制技术领域，其特征在于，包含以下两方面内容：1)根据IMS技术规范，通过不同安全机制的组合来选择由弱到强的安全保护策略，提供了一套完整统一的IMS安全策略组合，为IMS与用户设备UE进行安全协商提供策略选择。2)通过定义新的SIP消息域和协商过程，为终端用户和IMS运营商提供了协商流程和SIP消息字段格式，来实现IMS运营商和终端用户协商和确定业务安全策略的方法，最终实现运营商能够针对不同业务类型、不同用户类型，提供不同安全等级的安全策略，既满足个性化的用户服务质量保障，又降低网络安全所带来的资源开销，从而实现网络安全保护和服务质量保障的最佳选择策略。

主权项

1. IMS网络中基于SIP安全策略等级的协商控制方法，其特征在于，是基于第三代合作伙伴计划3GPP所定义的IP多媒体子系统IMS技术规范TS 33.102，TS 33.203和TS33.210，在作为客户端的用户设备UE和作为服务器端的IMS呼叫会话控制功能CSCF服务器依次按以下步骤实现的：步骤(1)，客户端UE注册IMS归属网络时，客户端UE和服务器端的CSCF服务器依次按照以下步骤执行：步骤(1. 1)，基于已有的会话初始协议SIP的安全机制协议Sip-Sec-Agree，所述客户端UE通过其归属网络域中的代理-呼叫会话控制功能服务器P-CSCF，向其归属网络域中的服务-呼叫会话控制功能服务器S-CSCF提供客户端所支持的第一跳接入安全机制，步骤(1. 2)，所述客户端UE声明支持安全策略协商服务Security-policy-service消息头扩展，并由所述S-CSCF将该用户设备信息标记在本地数据库中，步骤(1. 3)，所述S-CSCF根据IMS技术规范中所定义的域内和域间的可选或必选的安全机制，以及步骤(1.2)中所述的客户端支持的安全机制组合出在下述安全保护强度由弱到强的总共七个不同等级的安全策略，保护强度通过计算该策略对于认证性、机密性、完整性、可用性、私密性共5个安全属性上的效用值之和来得到，用于所述IMS归属网络域针对所述客户端UE发起业务的整体安全策略，供选择使用，所述七个等级的安全策略为P1～P7如下：安全策略P1，包含采用认证和密钥协商AKA的相互认证+注册，在认证性的安全保护效用值为2，可用性效用值为1，总体保护强度效用值为3，安全策略P2，包含采用认证和密钥协商AKA的相互认证+注册+采用信息摘要算法MD5的第一跳安全保护，在认证性的效用值为3，完整性的效用值为1，可用性的效用值为3，所述总体保护强度效用值为7，安全策略P3，包含采用认证和密钥协商AKA的相互认证+注册+采用信息摘要算法MD5的第一跳安全保护+同时采用信息摘要算法MD5和加强型数据加密标准3DES的域间安全保护，认证性、机密性、完整性、可用性四种安全属性的效用值分别为3、2、2、4，所述总体保护强度效用值为11，安全策略P4，包含采用认证和密钥协商AKA的相互认证+注册+采用信息摘要算法MD5的第一跳安全保护+同时采用信息摘要算法MD5和加强型数据加密标准3DES的域间安全保护+采用信息摘要算法MD5的域内安全保护，在认证性、机密性、完整性、可用性四种安全属性的效用值分别为3、2、3、4，所述总体保护强度效用值为12，安全策略P5，包含采用认证和密钥协商AKA的相互认证+注册+采用安全散列算法SHA-1的第一跳安全保护+同时采用安全散列算法SHA-1和加强型数据加密标准3DES的域间安全保护+采用安全散列算法SHA-1的域内安全保护，在认证性、机密性、完整性、可用性四种安全属性的效用值分别为3、2、6、4，所述总体保护强度效用值为15，安全策略P6，包含采用认证和密钥协商AKA的相互认证+注册+同时采用信息摘要算法MD5和加强型数据加密标准3DES的第一跳安全保护+同时采用信息摘要算法MD5和加强型数据加密标准3DES的域间安全保护+同时采用信息摘要算法MD5和加强型数据加密标准3DES的域内安全保护+网络拓扑隐藏保护，在认证性、机密性、完整性、可用性、私密性五种安全属性的效用值分别为4、4、3、6、1，所述总体保护强度效用值为18，安全策略P7，包含采用认证和密钥协商AKA的相互认证+注册+同时采用安全散列算法SHA-1和加强型数据加密标准3DES的第一跳安全保护+同时采用安全散列算法SHA-1和加强型数据加密标准3DES的域间安全保护+同时采用安全散列算法SHA-1和加强型数据加密标准3DES的域内安全保护+网络拓扑隐藏保护，在认证性、机密性、完整性、可用性、私密性五种安全属性的效用值分别为4、4、6、6、1，所述总体保护强度效用值为21，在所述七个等级的安全策略中，“+”表示不同机制的组合；步骤(2)，所述客户端UE和所述服务器端的CSCF服务器依次按照以下步骤执行，完成业务请求过程：步骤(2. 1)，所述客户端UE在业务请求消息中包含支持安全策略协商服务消息Supported：Security-policy-service，在代理请求Proxy-Require消息头中包含安全策略标签sec-policy，表示该业务需要与所述的S-CSCF服务器协商统一的安全策略，步骤(2. 2)，所述S-CSCF服务器通过在归属网络域中的所述P-CSCF收到步骤(2.1)所述的业务请求消息后，依次执行以下步骤执行基于用户业务类型的安全策略选择方法：步骤(2. 2.1)，所述S-CSCF根据注册记录和步骤(1.1)和(1.3)中所支持的安全机制，基于用户类型、业务类型和运营商类型，推荐适合该客户端UE的安全策略等级，步骤(2. 2.2)，所述S-CSCF检查可选安全机制中是否有不匹配、不识别的情况，如果存在，则向客户端UE发送安全机制不可识别消息411SecurityMechanism Undecipherable，否则执行步骤(2.2.3)，步骤(2. 2.3)，所述S-CSCF检查是否存在可供选择的安全策略，若不存在，则向客户端UE发出安全策略协商失败消息422Security Policy AgreementFailed，否则执行步骤(2.2.4)，步骤(2. 2.4)，所述S-CSCF将推荐的安全策略所包含的所有安全机制写入会话应答消息183Session Progress的安全策略Security-policy消息头，该消息头包含安全策略等级policyid、接入安全机制access-sec、域内安全机制intra-domain-sec和域间安全机制inter-domain-sec标签，将安全机制所采用的具体算法写入消息域中对应的消息头中，发送给所述客户端UE；步骤(2. 3)，所述客户端UE通过所述P-CSCF收到所述S-CSCF根据步骤(2.2)发送来的会话应答消息后，依次执行以下步骤：步骤(2. 3.1)，所述客户端UE检查会话应答消息，如果是安全机制不可识别消息411Security Mechanism Undecipherable，表示安全机制不可识别，重新执行步骤(2.1)进行安全策略的协商过程，步骤(2. 3.2)，所述客户端UE检查会话应答消息，如果是安全策略协商失败消息422Security Policy Agreement Failed，表示协商失败，停止协商过程，步骤(2. 3.3)，所述客户端UE接收到步骤(2.2.4)中会话应答消息中所述S-CSCF推荐的安全策略消息头，确认接受后，将该消息头内所包含的所有内容复制到请求应答消息INVITE中的安全策略确认Security-policy-verify消息头中，发送给所述的S-CSCF；步骤(2. 4)，所述S-CSCF在收到所述客户端UE发送的安全策略确认Security-policy-verify消息头后，比较确认该UE是否接受步骤(2.2.4)所推荐的安全策略，如果不一致，则重复步骤(2.2)，如果完全一致，所述S-CSCF将删除业务请求指令中与安全策略协商服务扩展相关的字段，并转发给对应的应用服务器上，同时针对该UE所请求的业务类型，按照之前协商好的整体安全策略，提供接入保护、域内保护、域间保护的安全机制。