刘庆攀，周文安，宋俊德

北京邮电大学电子工程系，北京 (100876)

E-mail: liuqingpan201@gmail.com

摘要：随着当今通信能力的不断提高，通信业务的不断多样化，基于SIP的IMS逐渐成为近几年的研究热点。而焦点集中在固网和移动网络的融合这一方面，它包括各种应用所需要的硬件的支持、软件体系结构、网络架构以及建立通用的安全计算平台等。在当今网络融合的大趋势下，IMS技术的产生为下一代网络的融合提供了基础。

本文主要对未来融合网络情况下引起的IMS安全性问题进行研究，并提出了一种解决IMS 多域安全性问题的思路。具体工作包括：

1）阐述了IMS的基本框架。

2）论述了IMS中的安全机制以及需要解决的安全性问题。

3）提出了一种IMS中多域安全性问题的解决思路。

关键词：IMS，SIP，安全

中图分类号：TP393

1. 引言

IMS是基于UMTS核心网分组域（PS域）上的，用PS域来传输呼叫控制信令，并负责承载数据业务，是于CS域的，但保持与CS域的互通。IMS建立了对呼叫/会话进行控制的软交换平台，控制信令在经过SGSN、GGSN节点后，就会与媒体平面的消息分开，信令消息将在CSCF间根据用户配置进行传送，媒体消息则在信令选择的路径上传送。3GPP在定义IMS时，并没有对节点标准化，而更多的是定义了很多功能，这些功能间由标准接口来连接。其在核心网络中位置[1]如图1所示。

图1 IMS在UMTS中的位置

可见，IMS在未来多网络融合趋势下有其相当重要的作用，而以往人们总对对单一网络内的认证、授权、加密等安全技术研究较多。本论文在未来网络大融合的趋势下先从SIP的安全机制过渡到IMS的安全机制，从IMS在安全性方面存在的问题入手，提出了IMS在未来多域安全性方面的一种基于SAML的解决思路。

2. SIP及IMS安全性

2.1 SIP协议的安全考虑

SIP协议的认证机制[2]可以分为两类，一类用于端到端的认证，另一类用于存取认证，RFC3261[3]标准指定很多的端到端的安全机制，包括基本的口令机制、摘要(digest)、PGP,、S/MIME。口令机制是一个弱的安全机制，digest机制比口令机制提供更好的安全性，但相对于现在的加密标准，它提供的安全性还是比较弱，它仅提供有限的完整性保护，PGP、S/MIME主要采用数字证书来验证对方，对于协议域之间的安全信任协商没有涉及。对于存取认证机制目前有kerberos和Diameter（继承radius发展）以及正在研究的GPRS/USIM来扩展SIP协议，Kerberos方案解决了本地域跟部件之间安全协商，但是交叉域之间的方案现在还不是很成熟，应用并不是很广泛。Diameter方案是基于扩展认证协议EAP,它的提出为了解决有关认证，授权，记账(AAA),当前不是很成熟，而且EAP采用的是二进制协议，这和采用文本的SIP协议不协调，一个理想的解决方案是扩展现在的SIP安全机制，采用目前开放的XML标准，结合XML相关的安全标准，以适应未来不同网络域信任协商的标准化要求。

2.2 IMS在安全方面存在的问题

在网络安全方面，IMS的接入安全[4]需要加以完善。由于IMS是建立在IP基础上，未来可能还需要跟Internet互联，这对于IMS的安全性要求比目前运营商在网络上运营要高得多，而且对于移动接入而言，由于IMS是叠加在分组域之上的网络，所以IMS的安全也和分组域的安全相对。也就是说，终端接入分组域网络时，网络首先要对终端进行鉴权，以保证安全性。当用户接入IMS时，还要再次进行安全认证。但是这样一来，各个不同网络域的安全机制各自，一个终端为了接入异地IMS系统，可能需要经过多个运营商的网络认证受权，这对于实时性要求很高的语音和视频媒体是不可想象的，IMS安全标准目前可以通过自身的安全机制保证IMS本身网络域的安全，但是对于跨运营商，跨网络的多个网络域目前还没有提出很好的方案，对于固定接入而言，IMS的接入安全更加重要，因为简单的宽带接入网络本身没有安全机制，这将对IMS网络的安全造成挑战。

FGNGN等标准组织沿用了IMS的接入安全机制，但是其中还存在一些隐患，这些隐患很大程度上体现在P-CSCF上，山于P-CSCF在IMS通信中起着重要作用，它需要连接来自不同运营商的接入网络(通过BGCF)，如果所有与该IMS网络域交互的终端的安全参数都在该IMS系统的HSS产生，以及认证都在该域内的P-CSCF上发生，这对于未来的分布式控制网络上是行不通的，需要参考PKI目前的研究的一些分布式信任模型的组织来解决未来不同网络域上IMS系统的信任传递问题。

3. 用SIP协议实现IMS多域安全问题

3.1 安全声明标记语言（SAML）

SAML[5]是一种基于XML的描述语言，它具有XML跨平台数据表述的特性。产生的主要原因是为认证和授权服务提供标准的安全信息描述和共享机制，使得各个企业之间的安全性实现互操作，为跨平台跨网络的节点提供协同安全服务。

作为一种描述语言，SAML并非一种新的认证或授权技术，但其关注的重点不仅局限于信息的描述，而是如何用XML实现安全信息的共享，使得在分布式环境下，可用标准的方式描述和使用己广泛采用的安全技术。SAML规范主要由两部分构成:声明和请求/响应协议。声明是SAML的基本数据对象，是对主体(用户、计算机或客户端软件)的身份、权限等信息的XML描述，它包括认证声明(Authentication Assertion),属性声明(Attribute Assertion)和授权决议声明(Decision Assertion)三种形式，其中，认证声明描述与身份鉴别事件相关的信息(如认证的机构、方式和有效期等);属性声明描述与授权相关的信息(如主体的系统用户标识、所属用户组、角色，可访问的资源及权限等);授权决议声明描述了许可权查询和检查结果，根据授权请求的种类，声明有两种方式:二值授权决议信息或详细的用户许可权描述。请求/响应协议规定了两点间共享SAML数据所需交换的消息种类和格式，而两点间的消息传输通过与具体传输协议的绑定实现，因可与多种业界标准的传输协议或XML消息交换架构相绑定(如SIP,HTTP, MIME, SMTP、FTP,以及SOAP, ebXML, Biztalk等)，使得SAML具有良好的开放性。

3.2用SAML实现SIP协议中的多域安全性问题的思路

图2 扩展SIP协议的信任模型

如图2所示为扩展SIP协议的信任模型[6]，IMS网络是由bupt.edu.cn和tanghu.net两个域组成，分别用D1和D2表示。UA是指用户代理。在SIP协议的每个网络域中增加两个SAML节点，一个是发行（SA_issusing）,另一个是决策（SA_relying）。发行用来生成SAML 索引，决策用来代理目的用户（UA）查询SAML声明，校验它，结果反馈给目的用户。起始用户首先通过SA认证，SA生成一个SAML索引给它，然后起始用户将生成的索引给需要认证该主体的节点（图中的proxy@bupt.edu.cn），该节点得到认证索引后与SA联系获得有关该主体的认证结果。SAML就是用来传递信任，即传递本地域对UA的认证声明。

主要流程如下：

1、UA@tanghu.net发送Invite请求给SA1_issuing指示需要与UA@bupt.edu.cn进行会

话。

2、SA1_issuing接收到Invite消息，为UA@tanghu.net生成自签名认证并传送给

Relying1，根据UA@tanghu.net的注册信息发送带有SAML索引的重定向路由消息

给UA@tanghu.net。新扩展一个重定向代码438，以指示当前消息中包含SAML有

关信息。并通过代理服务器把索引发送给Relying2。

3、Relying2查询SA2_issuing对UA@bupt.edu.cn直接信任度，同时查询SA2_issuing中的PathServer服务计算网络域成员间的信任度，并把接收到的SAML索引发到

SA1_issuing已得到验证。

4、SA1_issuing校验SAML索引，如果合法则生成UA@tanghu.net的认证声明，并通

过SAML响应消息格式发送到Relying2。如果索引不合法则通过438响应发送给

Relying2指示索引有错需重新发送SAML索引。

4 总结

本文主要从SIP及IMS在安全性方面进行研究，对未来融合网络下的域间安全性这一难题进行了一定的研究，进而发现了多域间通信带来的一些安全性问题，并给出了基于SAML的SIP协议的扩展的思路来解决IMS在多域间的安全性方面的问题。

参考文献

[1] 孙元宁.IMS标准及演进方向[ J ].电信科学.2007年第23卷第3期:第51页

[2] 高俊娜.在IMS中SIP协议的实现以及安全管理研究[ DB ].《中国学位论文文摘数据库》.2005年

[3] J.Rosenberg , H.Schulzrinne , G.Camarillo等. RFC3261 [ S ].”SIP:SessionInitiationProtocol” .IETF.2002年

[4] 张文华．IP多媒体子系统仿真测试器的研究与实现[ DB ].《中国学位论文文摘数据库》.2004年

[5] Mikka Poikselka , Georg Mayer , Hisham Khartabil等.The IMS:IP Multimedia Concepts and Services in the Mobile Domain [ M ].机械工业出版社．2005年

[6] 3GPP TS 33.310 v7.0.0.”3rd Genetation Partnership Project; Technical Specification Group Service and System Aspects; network Domain Security (NDS); Authentication Framework (AF)(Release7)“ [ S ].2005年

Security Research Of Ims

Liu Qingpan, Zhou Wenan, Song Junde

Department of Electronic Engineering, Beijing University of Posts and Telecommunications,

Beijing (100876)

Abstract

Currently, along with the fast increasing of communication ability and applications, IMS, based on SIP, is becoming a hotspot in the recent years.The focus is on the convergence of fixed and mobile networks, These include hardware, software and network framework which are needed in application, even include secure computation platform. With the trend of network integration, IMS technology is the base of integration between fixed and mobile network.

This paper mainly researches on the security of IMS on the background of network convergence in the future, and puts forward a solution to the problem.The details work include:

1)Introducing the IMS structure in detail and related aspects.

2)Expatiating the security scheme in IMS and some problems needing to be worked out.

3)Bring forward a solution to the multi-domain security problem.

Keywords:IMS, SIP, Security下载本文