[发明专利]一种保证SIP通信安全的方法和系统

说明书

技术领域

本发明涉及通信技术领域，尤其涉及一种保证SIP通信安全的方法和系统。

背景技术

由于IPv4采用的是32位的地址，导致现行的IP(Internet Protocol，互联 网协议)地址资源有限，已不能满足用户的需求，因此国际互联网研究组织发 布了新的主机标识方法，即IPv6，IPv6采用的是128位的地址。然而要实现 IPv4到IPv6的完全迁移需要花费一段很长的时间，因此IPv6与IPv4会在一定 时间共存，NAT_PT(Network Address Translate_Protocol Translate，网络地址 翻译和协议翻译)是IETF提出的IPv6和IPv4间的转换机制，用来处理IPv4 与IPv6不兼容问题，NAT-PT在IPv6和IPv4之间设立网关，网关管理一张IPv4 和IPv6的地址表，将IPv6地址和IPv4地址分别看作NAT技术中的内部地址 和全局地址，结合应用层网关实现IP地址和端口信息的转换。提供IPv6与IPv4 间的透明传输，但这同时也带来了复杂的安全性问题。

SIP(Session Initiation Protocol，会话初始化协议)是由IETF(The Internet  Engineering Task Force，互联网工程任务组)定义，基于IP的一个应用层控制 协议。由于SIP是基于纯文本的信令协议，可以管理不同接入网络上的通信。 由于SIP协议是一个基于文本的协议，用于控制多个参与者参加的多媒体会话 的建立和终结，并没有具体规定使用SIP协议的安全策略，这就使SIP协议在传 输中容易受到攻击。

SIP消息经常带有发送者的敏感信息，要求在两个终端之间传输的数据包 不能查看或改动，但是通过NAT-PT服务器穿越支持不同IP网络时，SIP数据 包的内容会被修改，这使基于SIP通信的IPv6与IPv4的网络存在安全问题。 因此，如何去寻找有效的方法来保证SIP消息的安全传输、尤其在两种网络的 安全传输成为国内外关注的焦点。

目前对于基于单一IPv4网络的安全通信的方案，建议应用层采用 End-To-End，网络层与传输层采用Hop-By-Hop的安全机制来提高SIP通信的 安全性；或者从用户终端与代理服务器/注册服务器、中间服务器与中间服务器、 终端系统与终端系统3个阶段增强SIP通信的安全性。

现有技术还提出了一种IPv6与IPv4之间的SIP通信安全性的解决方案， 该方案是基于终端和SIP代理服务器之间已经建立起可信任域的前提下提出 的，根据SIP的安全机制，在消息INVITE请求里添加了Encr-Src的头字段。 头字段的内容就是为UA加密SIP消息的安全服务器名，头字段的内容与客户 在注册时SIP代理服务器返回的证书里的代理服务器名称一致，下面结合如图 1所示的系统结构示意图给出具体通信过程。

发送域终端101向接收域终端102发送一个IPv6的INVITE请求，请求经 过NAT-PT服务器103时，被转化为IPv4的请求送到第一SIP代理服务器104， 第一SIP代理服务器104发送使用S/MIME加密的INVITE消息体，由于消息 的头域并没有加密，所以消息可以被传送到第二SIP代理服务器105，第二SIP 代理服务器105对消息体进行解密并清除Encr-Src里的第一SIP代理服务器 104名称，并通过一个安全的路径发到接收域终端102。接收域终端102检查 第二SIP代理服务器105发送过了的消息的完整性以确保没有不可信任的第三 方修改过该消息。完成后，接收域终端102产生一个Encr-Src头域为第二SIP 代理服务器105名称的200OK响应经过第二SIP代理服务器105加密后发回 发送域。

经过第一SIP代理服务器104的解密，并通过NAT-PT服务器103把消息 转换成IPv6格式后送到发送域终端101，发送域终端101检查消息完整性之后 生成ACK确认消息发送到接收域终端102，然后双方建立会话。

上述现有技术方案都存在缺点。前者只是针对基于单一的IPv4网络，而 且对网络层路由提出很复杂的要求；后者IPv6与IPv4网络SIP安全通信的方 法，需要终端与SIP代理服务器建立相互信任关系，在此前提下才能保证通信 安全，然而在复杂的网络环境中，很难保证终端与代理服务器之间的路径是安 全的。

发明内容