專利名稱：一種防止媒體代理受黑客攻擊的方法和裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)信息安全領(lǐng)域，特別涉及一種防止媒體代理受黑客攻擊的方法和裝置。
背景技術(shù)：
隨著IP(Internet Protocol-因特網(wǎng)協(xié)議)技術(shù)的日益成熟，以軟交換和IP分組交換技術(shù)為核心的下一代網(wǎng)絡(luò)(Next Generation Network-NGN)技術(shù)，由于其具有廣闊的應(yīng)用前景和可以滿足人們多樣化、個性化的業(yè)務(wù)需求，已成為業(yè)界最關(guān)注的熱點之一。SBC(Session BorderControler-會話邊界控制器)作為信令代理和媒體代理設(shè)備是NGN中的重要設(shè)備之一，SBC的功能主要包括信令代理和媒體代理1.信令代理(Signalling Proxy，簡稱SP)如圖1所示，SBC對NGN用戶終端1來說，可看作是軟交換系統(tǒng)，即用戶的注冊和呼叫消息都會先發(fā)送給SBC，SBC經(jīng)過信令處理后再轉(zhuǎn)發(fā)給核心軟交換系統(tǒng)。同時，SBC對核心軟交換系統(tǒng)又可看作是用戶，軟交換系統(tǒng)首先將呼叫被叫的請求發(fā)送給SBC，SBC經(jīng)過信令處理后再轉(zhuǎn)發(fā)給真正的被叫用戶。一般SBC可以支持SIP(Session Initiation Protocol-會話啟動協(xié)議)、H.323、MGCP(Media Gateway Control Protocol-媒體網(wǎng)關(guān)控制協(xié)議)、H.248等協(xié)議中的一種或多種代理功能。由于SBC參與了整個流程，因此SBC可以獲取相應(yīng)的用戶注冊、呼叫等詳細(xì)信息。
2.媒體代理(Media Proxy，簡稱MP)SBC在作為信令代理的同時也可以進(jìn)行媒體流的代理。參見圖2，為信令流(虛線)和媒體流(實線)的傳輸示意圖。所有SBC所代理的用戶與外界互通的媒體流都需要經(jīng)過SBC進(jìn)行處理和轉(zhuǎn)發(fā)。當(dāng)SBC下的用戶作為主叫時，所看到的被叫也來自于SBC，當(dāng)SBC下的用戶作為被叫時，主叫用戶看到的被叫地址為SBC的地址。
家庭和企業(yè)網(wǎng)絡(luò)中的客戶端通常位于用戶駐地NAT/防火墻的后面，這給到客戶端的信令流和媒體流帶來了問題，因為NAT/防火墻只能為流出的數(shù)據(jù)流而“打開”，所以到客戶端的會話通常會受到攔阻。由于在IP分組的有效載荷中，由客戶端設(shè)備插入的私有IP地址和端口無法與NAT轉(zhuǎn)換后的公有IP地址和端口對應(yīng)，所以使得NAT設(shè)備阻礙了雙向語音和多媒體通信。
針對上面的私網(wǎng)NAT/防火墻穿透問題，使用SBC全代理的技術(shù)可以解決，其解決原理為如圖3所示，假設(shè)終端1的IP地址是“A”，NAT的IP地址是“B”，SBC的客戶側(cè)的媒體地址是“C”，SBC的服務(wù)器側(cè)的媒體地址是“D”，服務(wù)器的地址是“E”，終端2的IP地址是“F”。信令交互完成以后，SBC會根據(jù)SDP(Session Description Protocol-會話描述協(xié)議)的信息創(chuàng)建媒體的session(會話)表項(Aa，Cc)<->(Dd，F(xiàn)f)，當(dāng)終端1或終端2發(fā)送的媒體報文的首包發(fā)送給SBC以后，SBC會將session表項學(xué)習(xí)為(Bb，Cc)<->(Dd，F(xiàn)f)。但是現(xiàn)有的代理技術(shù)在媒體報文的首包沒有到來之前，如果SBC媒體代理受到黑客攻擊，將會導(dǎo)致SBC媒體代理學(xué)習(xí)錯誤，進(jìn)而導(dǎo)致業(yè)務(wù)不可用。圖4給出了黑客攻擊SBC媒體代理的原理示意圖假設(shè)黑客設(shè)計的源IP地址是“H”，在媒體報文的首包沒有到達(dá)之前，因為SBC媒體代理的IP地址“C”是對外公開的，黑客可以利用端口掃描的方法，讓SBC媒體代理設(shè)備的媒體session表項更新成黑客設(shè)計的源地址和端口，即(Aa，Cc)<->(Dd，F(xiàn)f)將會更新為(Hh，Cc)<->(Dd，F(xiàn)f)，從而導(dǎo)致業(yè)務(wù)不可用。

發(fā)明內(nèi)容
為了解決在合法的媒體報文的首包到來之前，媒體代理設(shè)備有可能會收到黑客攻擊，導(dǎo)致業(yè)務(wù)中斷的問題，本發(fā)明實施例提出了一種防止媒體代理受黑客攻擊的方法，所述方法包括媒體代理設(shè)備收到呼叫信令，隨機(jī)生成并記錄認(rèn)證碼，標(biāo)識媒體會話表項，并將所述認(rèn)證碼添加到所述呼叫信令中轉(zhuǎn)發(fā)出去；終端收到所述呼叫信令，從所述呼叫信令中解析出所述認(rèn)證碼，發(fā)送含有所述認(rèn)證碼的媒體報文；所述媒體代理設(shè)備收到所述媒體報文，根據(jù)所述認(rèn)證碼和所述媒體會話表項的標(biāo)識狀態(tài)處理媒體報文及更新所述媒體會話表項。
本發(fā)明實施例還提供了一種防止媒體代理受黑客攻擊的裝置，所述裝置包括生成記錄標(biāo)識模塊、添加模塊、媒體報文發(fā)送模塊和媒體報文轉(zhuǎn)發(fā)處理模塊；所述生成記錄標(biāo)識模塊用于接收到呼叫信令后，隨機(jī)生成并記錄認(rèn)證碼，標(biāo)識媒體會話表項，將生成的認(rèn)證碼和收到的呼叫信令發(fā)送給所述添加模塊；所述添加模塊用于接收所述生成模塊發(fā)送的認(rèn)證碼和呼叫信令，將收到的認(rèn)證碼添加到收到的呼叫信令中，并將添加了認(rèn)證碼的呼叫信令發(fā)送給所述媒體報文發(fā)送模塊；
所述媒體報文發(fā)送模塊用于接收所述添加模塊發(fā)送的呼叫信令，從收到的呼叫信令中解析出認(rèn)證碼，向媒體報文轉(zhuǎn)發(fā)模塊發(fā)送含有認(rèn)證碼的媒體報文；所述媒體報文轉(zhuǎn)發(fā)處理模塊用于接收所述媒體報文發(fā)送模塊發(fā)送的媒體報文，根據(jù)媒體報文中的認(rèn)證碼和所述生成記錄標(biāo)識模塊標(biāo)識的媒體會話表項的狀態(tài)處理媒體報文及更新媒體會話表項。
由于本發(fā)明實施例在媒體代理設(shè)備上隨機(jī)生成認(rèn)證碼，并記錄下該認(rèn)證碼，同時在媒體報文中攜帶了此認(rèn)證碼，所以使得在合法的媒體報文的首包沒有到達(dá)之前，媒體代理設(shè)備即使收到了媒體報文的黑客攻擊，也不會錯誤的更新媒體會話表項，導(dǎo)致業(yè)務(wù)中斷。


圖1是現(xiàn)有技術(shù)中SBC在NGN網(wǎng)絡(luò)中的典型組網(wǎng)示意圖；圖2是現(xiàn)有技術(shù)中通過SBC媒體代理實現(xiàn)媒體流和信令流傳輸?shù)脑硎疽鈭D；圖3是現(xiàn)有技術(shù)中通過SBC媒體代理實現(xiàn)媒體報文傳輸?shù)脑硎疽鈭D；圖4是現(xiàn)有技術(shù)中黑客攻擊SBC媒體代理的原理示意圖；圖5是本發(fā)明實施例防止媒體代理受黑客攻擊的方法流程圖；圖6是本發(fā)明實施例信令交互過程的示意圖；圖7是本發(fā)明實施例防止媒體代理受黑客攻擊的裝置的結(jié)構(gòu)圖。
具體實施例方式
下面結(jié)合附圖和具體實施例對本發(fā)明作進(jìn)一步說明，但不作為對本發(fā)明的限定。
實施例本發(fā)明實施例提出了一種防止媒體代理受黑客攻擊的方法，信令的交互過程如圖6所示。如圖5所示，其具體包括以下步驟步驟101終端1向NAT防火墻發(fā)送邀請信令報文Invite，NAT防火墻將邀請信令報文Invite發(fā)送給媒體代理設(shè)備。
步驟102媒體代理設(shè)備收到邀請信令報文Invite后，修改其內(nèi)部的信令I(lǐng)P地址，同時在其上行口分配用于傳輸媒體報文的IP地址和端口，并將邀請信令報文Invite通過軟交換轉(zhuǎn)發(fā)給終端2。
步驟103終端2收到邀請信令報文Invite后，向軟交換發(fā)送振鈴信令報文180 Ring，軟交換將振鈴信令報文180 Ring轉(zhuǎn)發(fā)給媒體代理設(shè)備。
步驟104媒體代理設(shè)備將收到的振鈴信令報文180 Ring通過NAT防火墻轉(zhuǎn)發(fā)給終端1。
步驟105終端1收到振鈴信令報文180 Ring。
步驟106終端2向軟交換發(fā)送信令報文200 OK，軟交換將信令報文200 OK轉(zhuǎn)發(fā)給媒體代理設(shè)備。
步驟107媒體代理設(shè)備收到信令報文200 OK后，隨機(jī)生成字符串，并記錄下該字符串，將字符串添加到信令報文200 OK中，并將信令報文200 OK通過NAT防火墻轉(zhuǎn)發(fā)給終端1。
媒體代理設(shè)備收到信令報文200 OK后，除了執(zhí)行本步驟的操作外，媒體代理設(shè)備還要修改其內(nèi)部的信令I(lǐng)P地址，同時在其下行口分配用于傳輸媒體報文的IP地址和端口，生成媒體報文的會話表項，標(biāo)識該會話表項為沒有學(xué)習(xí)完成的狀態(tài)。
步驟108終端1收到信令報文200 OK后，從信令報文200 OK中解析出字符串，并保存該字符串，向NAT防火墻發(fā)送應(yīng)答，NAT防火墻將應(yīng)答通過媒體代理設(shè)備、軟交換轉(zhuǎn)發(fā)給終端2。
至此，終端1和終端2之間完成了信令交互的過程。
以下步驟是終端1和終端2之間媒體報文的交互過程。
步驟109終端1向NAT防火墻發(fā)送含有字符串的媒體報文，NAT防火墻將含有字符串的媒體報文轉(zhuǎn)發(fā)給媒體代理設(shè)備。
步驟110媒體代理設(shè)備收到含有字符串的媒體報文后，根據(jù)媒體報文的目的地址和端口去匹配媒體代理設(shè)備中的媒體會話表項中的目的地址和端口，如果匹配成功，則執(zhí)行步驟111，否則執(zhí)行步驟116。
步驟111媒體代理設(shè)備檢查媒體會話表項是否學(xué)習(xí)完成，如果學(xué)習(xí)完成，則執(zhí)行步驟112，否則執(zhí)行步驟113。
步驟112媒體代理設(shè)備去掉媒體報文中的字符串，按照媒體會話表項，將媒體報文通過軟交換轉(zhuǎn)發(fā)給終端2。
步驟113媒體代理設(shè)備檢查收到的媒體報文是否攜帶字符串，如果沒有攜帶字符串，則執(zhí)行步驟116，否則執(zhí)行步驟114。
步驟114媒體代理設(shè)備將媒體報文中的字符串和媒體會話表項中記錄的字符串進(jìn)行比較，如果兩個字符串一樣，則執(zhí)行步驟115，否則執(zhí)行步驟116。
步驟115媒體代理設(shè)備更新媒體會話表項的源地址和端口，同時將該會話表項記錄為學(xué)習(xí)完成狀態(tài)，去掉媒體報文中的字符串，按照媒體會話表項，將媒體報文通過軟交換轉(zhuǎn)發(fā)給終端2。
步驟116媒體代理設(shè)備丟棄收到的媒體報文。
本實施例由于媒體代理設(shè)備在信令交互的過程中隨機(jī)生成了字符串作為認(rèn)證碼，并記錄下了該認(rèn)證碼，同時在媒體報文中攜帶此認(rèn)證碼，所以媒體代理設(shè)備在合法的媒體報文的首包到達(dá)之前，即使收到了媒體報文的黑客攻擊，也不會錯誤的更新媒體會話表項，不會導(dǎo)致業(yè)務(wù)中斷。認(rèn)證碼除了可以為字符串以外，還可以是其他的形式，例如攜帶數(shù)字等，本實施例在信令200 OK中攜帶了字符串作為認(rèn)證碼，此外還可以在其它的信令中攜帶，例如SIP信令中的180 Ring等，本發(fā)明實施例所述技術(shù)方案不僅適合在SBC設(shè)備上實現(xiàn)，而且還可以在其它具備信令代理和媒體代理功能的設(shè)備上實現(xiàn)。
參見圖7，本發(fā)明實施例還提供了一種防止媒體代理受黑客攻擊的裝置，裝置包括生成記錄標(biāo)識模塊、添加模塊、媒體報文發(fā)送模塊和媒體報文轉(zhuǎn)發(fā)處理模塊；生成記錄標(biāo)識模塊用于接收到呼叫信令后，隨機(jī)生成并記錄認(rèn)證碼，標(biāo)識媒體會話表項，將生成的認(rèn)證碼和收到的呼叫信令發(fā)送給添加模塊；添加模塊用于接收生成模塊發(fā)送的認(rèn)證碼和呼叫信令，將收到的認(rèn)證碼添加到收到的呼叫信令中，并將添加了認(rèn)證碼的呼叫信令發(fā)送給媒體報文發(fā)送模塊；媒體報文發(fā)送模塊用于接收添加模塊發(fā)送的呼叫信令，從收到的呼叫信令中解析出認(rèn)證碼，向媒體報文轉(zhuǎn)發(fā)模塊發(fā)送含有認(rèn)證碼的媒體報文；媒體報文轉(zhuǎn)發(fā)處理模塊用于接收媒體報文發(fā)送模塊發(fā)送的媒體報文，根據(jù)媒體報文中的認(rèn)證碼和生成記錄標(biāo)識模塊標(biāo)識的媒體會話表項的狀態(tài)處理媒體報文及更新媒體會話表項。
生成記錄標(biāo)識模塊包括分配單元、媒體會話表項建立單元和記錄單元；分配單元用于根據(jù)生成記錄標(biāo)識模塊收到的呼叫信令，分配傳輸媒體報文的IP地址和端口，并將分配的IP地址和端口信息發(fā)送給媒體會話表項建立單元；媒體會話表項建立單元用于接收分配單元發(fā)送的IP地址和端口信息，并根據(jù)IP地址和端口信息建立媒體會話表項；記錄單元用于將生成記錄標(biāo)識模塊隨機(jī)生成的認(rèn)證碼記錄到媒體會話表項建立單元建立的媒體會話表項中。
媒體報文轉(zhuǎn)發(fā)處理模塊包括匹配單元、更新單元和比較單元；匹配單元用于將媒體報文的IP地址和端口與媒體會話表項建立單元建立的媒體會話表項中的IP地址和端口進(jìn)行匹配，如果匹配成功，則將媒體報文發(fā)送給比較單元，如果匹配不成功，則丟棄收到的媒體報文；
比較單元用于接收匹配單元發(fā)送的媒體報文，將媒體報文中的認(rèn)證碼與媒體會話表項建立單元建立的媒體會話表項中的認(rèn)證碼進(jìn)行比較，如果兩個認(rèn)證碼一致，則向更新單元發(fā)送更新媒體會話表項的消息，如果兩個認(rèn)證碼不一致，則丟棄收到的媒體報文；更新單元用于接收比較單元發(fā)送的消息，更新媒體會話表項建立單元建立的媒體會話表項。
本實施例由于生成記錄標(biāo)識模塊在信令交互的過程中隨機(jī)生成了認(rèn)證碼，并記錄下了該認(rèn)證碼，同時在媒體報文發(fā)送模塊發(fā)送的媒體報文中攜帶此認(rèn)證碼，所以媒體代理設(shè)備在合法的媒體報文的首包到達(dá)之前，即使收到了媒體報文的黑客攻擊，也不會錯誤的更新媒體會話表項，不會導(dǎo)致業(yè)務(wù)中斷。
以上所述的實施例只是本發(fā)明較優(yōu)選的具體實施方式
，本領(lǐng)域的技術(shù)人員在本發(fā)明技術(shù)方案范圍內(nèi)進(jìn)行的通常變化和替換都應(yīng)包含在本發(fā)明的保護(hù)范圍內(nèi)。
權(quán)利要求
1.一種防止媒體代理受黑客攻擊的方法，其特征在于，所述方法包括媒體代理設(shè)備收到呼叫信令，隨機(jī)生成并記錄認(rèn)證碼，標(biāo)識媒體會話表項，并將所述認(rèn)證碼添加到所述呼叫信令中轉(zhuǎn)發(fā)出去；終端收到所述呼叫信令，從所述呼叫信令中解析出所述認(rèn)證碼，發(fā)送含有所述認(rèn)證碼的媒體報文；所述媒體代理設(shè)備收到所述媒體報文，根據(jù)所述認(rèn)證碼和所述媒體會話表項的標(biāo)識狀態(tài)處理媒體報文及更新所述媒體會話表項。
2.如權(quán)利要求1所述的防止媒體代理受黑客攻擊的方法，其特征在于，媒體代理設(shè)備收到呼叫信令，隨機(jī)生成并記錄認(rèn)證碼，標(biāo)識媒體會話表項，并將所述認(rèn)證碼添加到所述呼叫信令中轉(zhuǎn)發(fā)出去具體包括所述媒體代理設(shè)備收到呼叫信令，分配用于傳輸所述媒體報文的IP地址和端口，創(chuàng)建媒體會話表項，隨機(jī)生成認(rèn)證碼，將該認(rèn)證碼記錄在所述媒體會話表項中，標(biāo)識所述媒體會話表項為沒有學(xué)習(xí)完成狀態(tài)，并將所述認(rèn)證碼添加到所述呼叫信令中轉(zhuǎn)發(fā)出去。
3.如權(quán)利要求2所述的防止媒體代理受黑客攻擊的方法，其特征在于，所述媒體代理設(shè)備收到所述媒體報文，根據(jù)所述認(rèn)證碼和所述媒體會話表項的標(biāo)識狀態(tài)處理媒體報文及更新所述媒體會話表項具體包括所述媒體代理設(shè)備將收到的媒體報文的目的IP地址和端口與所述媒體會話表項中記錄的目的IP地址和端口進(jìn)行匹配；如果匹配成功，則所述媒體代理設(shè)備檢查所述媒體會話表項的學(xué)習(xí)狀態(tài)是否完成，如果完成，則所述媒體代理設(shè)備去掉所述媒體報文中的認(rèn)證碼，按照所述媒體會話表項轉(zhuǎn)發(fā)所述媒體報文，如果沒有完成，則所述媒體代理設(shè)備檢查所述媒體報文中的認(rèn)證碼與所述媒體會話表項中記錄的認(rèn)證碼是否一致，如果一致，則所述媒體代理設(shè)備更新所述媒體會話表項，將所述媒體會話表項記錄為學(xué)習(xí)完成狀態(tài)，去掉所述媒體報文中的認(rèn)證碼，按照所述媒體會話表項轉(zhuǎn)發(fā)所述媒體報文，如果不一致，則所述媒體代理設(shè)備直接丟棄收到的所述媒體報文；如果匹配不成功，則所述媒體代理設(shè)備直接丟棄收到的所述媒體報文。
4.如權(quán)利要求3所述的防止媒體代理受黑客攻擊的方法，其特征在于，所述媒體代理設(shè)備更新所述媒體會話表項具體包括所述媒體代理設(shè)備更新所述媒體會話表中的源地址和端口。
5.一種防止媒體代理受黑客攻擊的裝置，其特征在于，所述裝置包括生成記錄標(biāo)識模塊、添加模塊、媒體報文發(fā)送模塊和媒體報文轉(zhuǎn)發(fā)處理模塊；所述生成記錄標(biāo)識模塊用于接收到呼叫信令后，隨機(jī)生成并記錄認(rèn)證碼，標(biāo)識媒體會話表項，將生成的認(rèn)證碼和收到的呼叫信令發(fā)送給所述添加模塊；所述添加模塊用于接收所述生成模塊發(fā)送的認(rèn)證碼和呼叫信令，將收到的認(rèn)證碼添加到收到的呼叫信令中，并將添加了認(rèn)證碼的呼叫信令發(fā)送給所述媒體報文發(fā)送模塊；所述媒體報文發(fā)送模塊用于接收所述添加模塊發(fā)送的呼叫信令，從收到的呼叫信令中解析出認(rèn)證碼，向媒體報文轉(zhuǎn)發(fā)模塊發(fā)送含有認(rèn)證碼的媒體報文；所述媒體報文轉(zhuǎn)發(fā)處理模塊用于接收所述媒體報文發(fā)送模塊發(fā)送的媒體報文，根據(jù)媒體報文中的認(rèn)證碼和所述生成記錄標(biāo)識模塊標(biāo)識的媒體會話表項的狀態(tài)處理媒體報文及更新媒體會話表項。
6.如權(quán)利要求5所述的防止媒體代理受黑客攻擊的裝置，其特征在于，所述生成記錄標(biāo)識模塊包括分配單元、媒體會話表項建立單元和記錄單元；所述分配單元用于根據(jù)所述生成記錄標(biāo)識模塊收到的呼叫信令，分配傳輸媒體報文的IP地址和端口，并將分配的IP地址和端口信息發(fā)送給所述媒體會話表項建立單元；所述媒體會話表項建立單元用于接收所述分配單元發(fā)送的IP地址和端口信息，并根據(jù)IP地址和端口信息建立媒體會話表項；所述記錄單元用于將所述生成記錄標(biāo)識模塊隨機(jī)生成的認(rèn)證碼記錄到所述媒體會話表項建立單元建立的媒體會話表項中。
7.如權(quán)利要求6所述的防止媒體代理受黑客攻擊的裝置，其特征在于，所述媒體報文轉(zhuǎn)發(fā)處理模塊包括匹配單元、更新單元和比較單元；所述匹配單元用于將媒體報文的IP地址和端口與所述媒體會話表項建立單元建立的媒體會話表項中的IP地址和端口進(jìn)行匹配，如果匹配成功，則將媒體報文發(fā)送給所述比較單元，如果匹配不成功，則丟棄收到的媒體報文；所述比較單元用于接收所述匹配單元發(fā)送的媒體報文，將媒體報文中的認(rèn)證碼與所述媒體會話表項建立單元建立的媒體會話表項中的認(rèn)證碼進(jìn)行比較，如果兩個認(rèn)證碼一致，則向所述更新單元發(fā)送更新媒體會話表項的消息，如果兩個認(rèn)證碼不一致，則丟棄收到的媒體報文；所述更新單元用于接收所述比較單元發(fā)送的消息，更新所述媒體會話表項建立單元建立的媒體會話表項。
全文摘要
本發(fā)明公開了一種防止媒體代理受黑客攻擊的方法和裝置，屬于網(wǎng)絡(luò)信息安全領(lǐng)域。為了解決在合法的媒體報文的首包到來之前，媒體代理設(shè)備有可能會收到黑客攻擊，導(dǎo)致業(yè)務(wù)中斷的問題，本發(fā)明提出了防止媒體代理受黑客攻擊的方法媒體代理設(shè)備收到呼叫信令，隨機(jī)生成并記錄認(rèn)證碼，標(biāo)識媒體會話表項，并將認(rèn)證碼添加到呼叫信令中轉(zhuǎn)發(fā)出去；終端收到呼叫信令，從呼叫信令中解析出認(rèn)證碼，發(fā)送含有認(rèn)證碼的媒體報文；媒體代理設(shè)備收到媒體報文，根據(jù)認(rèn)證碼和媒體會話表項的標(biāo)識狀態(tài)處理媒體報文及更新媒體會話表項。本發(fā)明還提供了防止媒體代理受黑客攻擊的裝置。采用本發(fā)明方法可以有效的防止黑客攻擊。
文檔編號H04L12/56GK101013937SQ20071000287
公開日2007年8月8日 申請日期2007年2月8日 優(yōu)先權(quán)日2007年2月8日
發(fā)明者姚鑫, 徐進(jìn) 申請人:華為技術(shù)有限公司