[发明专利]一种访问控制方法和装置

说明书

技术领域

本发明涉及通信领域，尤其涉及一种访问控制方法和装置。

背景技术

在IP多媒体子系统(IP Multimedia Subsystem，IMS)中，为保护媒体流在端到端之间的安全传输，通过在IMS系统中配置密钥管理系统(KeyManagement System，KMS)，所述KMS负责提供用户鉴权、密钥生成等功能。以KMS保护所述IMS系统中用户A和用户B的通信连接为例进行说明，其中所述用户A和所述用户B分别与所述KMS采用GBA(Genericbootstrapping architecture)机制建立安全通道如图1所示：

步骤1、所述用户A向所述KMS申请用于与所述用户B通讯的第一媒体密钥和加密的票据，所述加密的票据包括第二媒体密钥和用户B的信息，其中所述第一媒体密钥和所述第二媒体密钥相同；

步骤2、所述KMS生成所述媒体密钥和加密的票据，并发送给所述用户A；

步骤3、所述用户A通过IMS核心网向用户B发送通信请求和所述加密的票据；

步骤4、所述用户B将接收到的加密的票据发送给所述KMS，请求得到所述加密的票据中的第二媒体密钥；

步骤5、所述KMS解密用户B发来的票据，验证所述用户B和所述加密的票据中被叫用户信息是否一致，如果一致，发送所述加密的票据中的第二媒体密钥给用户B；

步骤6、所述用户B在接收到所述第二媒体密钥后，接受用户A的通信请求。

由此，所述用户A和用户B进行通信。

在实现上述过程中，如果攻击者截取所述用户A的票据，并对截取的票据进行篡改，破坏票据的完整性，并发送大量篡改后的票据给所述用户B，所述用户B会将所述大量篡改后的票据发送给KMS，导致KMS无法及时响应所述用户B的服务请求，遭受到拒绝服务攻击，造成网络通信安全性低的问题。

发明内容

本发明提供一种访问控制方法和装置，能够减少不完整票据在网络中的传输。

为了解决上述问题，本发明提供了如下技术方案：

一种访问控制方法，包括：

网络信令节点接收第一用户向第二用户发送用于建立通信连接的MICKEY消息；

验证所述MICKEY消息是否完整；

若完整，则允许所述第一用户访问所述第二用户。

进一步的，所述方法还具有如下特点：

若不完整，则拒绝所述第一用户访问所述第二用户。

进一步的，所述方法还具有如下特点：

所述MICKEY消息包括MICKEY消息完整性保护密钥(MPK)和MICKEY消息授权码(MAC)；

所述网络信令节点验证所述MICKEY消息具体包括如下步骤：

从所述MICKEY消息中获取MPK；

采用所述MPK对所述MICKEY消息进行完整性验证，得到所述MICKEY消息对应的MAC；

将所述获取的MAC与所述MICKEY消息携带的MAC进行比较；

如果所述获取的MAC与所述MICKEY消息携带的MAC相同，确定所述MICKEY消息完整；否则，确定所述MICKEY消息不完整。

进一步的，所述方法还具有如下特点：

如果所述MICKEY消息中MPK是通过完整性保护密钥信息加密后的MPK，所述网络信令节点从所述MICKEY消息中提取MPK具体包括如下步骤：

所述网络信令节点根据配置的记录有所述MICKEY消息的密钥标识和完整性保护密钥信息的对应关系信息，获取用于解密所述MPK的密钥信息；

采用所述用于解密所述MPK的密钥信息，对MPK进行解密，得到解密后的MPK。

进一步的，所述方法还具有如下特点：

如果所述MICKEY消息是通过包括所述完整性保护密钥信息在内的至少两个密钥信息进行保护的，所述完整性保护密钥信息是由所述至少两个密钥信息共用的一个主密钥TPK派生的或者由多个主密钥中完整性保护主密钥TPKa派生的；

如果所述完整性保护密钥信息是由所述TPK派生的，所述MICKEY消息的密钥标识和完整性保护密钥信息的对应关系信息为所述MICKEY消息的密钥标识和所述TPK的对应关系；

如果所述完整性保护密钥信息是由所述独立主密钥派生的，所述MICKEY消息的密钥标识和完整性保护密钥信息的对应关系信息为所述MICKEY消息的密钥标识和所述TPKa的对应关系。

进一步的，所述方法还具有如下特点：

所述网络信令节点为P-CSCF或者S-CSCF。