專利名稱：互聯網協(xié)議多媒體子系統(tǒng)的訪問方法和用戶設備的制作方法
技術領域：
本發(fā)明大體上涉及通信網絡，特別地，涉及提供互聯網協(xié)議多媒體子系統(tǒng)(IMS)安全訪問的方法、實體和網絡。
技術背景互聯網協(xié)議多媒體子系統(tǒng)(IMS)是能夠為各種用戶終端提供其 所需的業(yè)務，例如，移動數據網業(yè)務以及IP多媒體業(yè)務的核心網絡。 它可以為用戶提供統(tǒng) 一 開放的網絡結構并且支持多種業(yè)務類型，同時 便于開發(fā)新業(yè)務，保障業(yè)務質量。為了防止某些非法用戶惡意地使用IMS網絡，為IMS網絡提供 了已經標準化的安全保障體制。IMS網絡的安全完全是基于用戶的 私有身份以及存在卡模塊上的密鑰。為此IMS定義了自己的IMS訂 戶標識模塊(ISIM, IMS Subscriber Identity Module )，類似于通用 移動通信系統(tǒng)(UMTS, Universal Mobile Telecommunications System ) 的UMTS訂戶標識模塊(USIM, UMTS Subscriber Identity Module )， 里面存儲有IMS相關的安全數據和算法。當前標準中所定義的ISIM 主要包含以下內容IMP I (IP Multimedia Private Identity ) : IM私有身份IMPU (IP Multimedia Public Identity ): 一個或多個IM公開身份用戶歸屬網絡的域名IMS域內的SQN序列號認證密鑰(IMS安全的基礎)通常在IMS網絡中，僅在ISIM和歸屬訂戶服務器(HSS， Home Subscriber Server )之間共享這些秘密參數和算法，其他的任何網絡 實體都不知曉密鑰和私有身份IMPI?？梢岳斫猓贗MS網絡中，用戶身份的認證，、數據加密和完整性保護等等都是基于上述安全內 容的。隨著IMS網絡的部署和發(fā)展，更多種類的用戶可能期望訪問IMS 網絡，所使用的接入技術包括DSL、線纜、以太網、無線局域網等 分組接入技術。可以理解，在使用上述這些技術實現分組接入時， 用戶設備UE并沒有被配置有類似于ISIM的物理卡或者安全存儲 器，而是僅依靠用戶名和密碼的方式進行網絡認證，從而獲取相應 的網絡安全特性。然而，由于這些不具備模塊/卡的用戶(例如，這 些用戶可以使用臺式機、筆記本、PDA等通過有線或者無線的方式 進行分組接入)無法獲取ISIM中包含的秘密參數和算法，因此這些 用戶不能利用現有的IMS安全方法訪問IMS網絡，這些現有安全方 法包括IMS AKA ( Authentication and Key Agreement, 認證和密鑰 協(xié)商)和IPSec。在現有技術中，使得IMS網絡為上述不具備物理卡或者安全存 儲器的用戶設備提供服務時，可能需要進行以下工作以便解決其中 的安全隱患1.手動地配置終端的信息，例如共享密鑰、IMPI、IMPU, P-CSCF等；2.選擇其它的安全機制取代IMS AKA和IPSec機制， 例如選擇HTTP摘要、Early IMS、 NASS綁定認證。通常，這些選 擇的安全機制會使得安全保護的等級下降，并且還會產生共存的問 題。可見，在現有技術中還沒有任何協(xié)議和解決方案能夠使得無物理 卡或者安全存儲器的用戶設備利用用戶名和密碼訪問IMS網絡而不 降低其安全保護等級，從而能夠獲得IMS網絡中完備的安全特征。發(fā)明內容因此，需要一種提供互聯網協(xié)議多媒體子系統(tǒng)安全訪問的方法和 用戶設備，能夠使得無物理卡或者安全存儲器的用戶設備利用用戶 名和密碼訪問IMS網絡而不降低其安全保護等級，從而能夠獲得 IMS網絡中完備的安全特征。根據本發(fā)明的 一個方面，提供一種互聯網協(xié)議多媒體子系統(tǒng)的訪問方法，包括以下步驟利用進行分組接入的用戶名和密碼生成互 聯網協(xié)議多媒體子系統(tǒng)的安全內容；根據安全內容執(zhí)行互聯網協(xié)議 多媒體子系統(tǒng)的安全認證。根據本發(fā)明的另一方面，還提供一種用戶設備，用于接入互聯網 協(xié)議多媒體子系統(tǒng)，其中該用戶設備包括軟終端，用于利用進行 分組接入的用戶名和密碼生成互聯網協(xié)議多々某體子系統(tǒng)的安全內 容；安全認證裝置，根據安全內容執(zhí)行互聯網協(xié)議多媒體子系統(tǒng)的 安全認證。根據本發(fā)明的另一方面，還提供一種計算機軟件產品，包括用 于利用進行分組接入的用戶名和密碼生成互聯網協(xié)議多媒體子系統(tǒng) 的安全內容的軟件代碼。通過使用本發(fā)明，能夠使得用戶利用用戶名和密碼來訪問IMS 網絡，而無需用戶進行任何有關IMS網絡的附加配置。這些用戶的 用戶設備可以不具有類似于ISIM等這樣的物理卡或者安全存儲器， 但不會因此造成IMS網絡安全保護等級的降低，也即支持IMS AKA 和IPSec。在用戶訪問IMS網絡時不會產生對于IMS網絡的多認證 機制共存要求，而且易于獲得統(tǒng)一的認證，這是因為在本發(fā)明的用 戶認證過程中僅存在一組主認證數據。同時，用戶不會意識到本發(fā) 明的處理過程，因為其對于用戶是不可見的，這也避免了額外的安 全危險。此外，本發(fā)明最大程度上減少了對于訂戶數據管理的影響。結合附圖閱讀本發(fā)明實施方式的詳細描述后，本發(fā)明的其它特點 和優(yōu)點將變得更加清楚。


圖1示出了根據本發(fā)明一個實施方式的提供互聯網協(xié)議多媒體 子系統(tǒng)安全訪問的方法的流程圖；圖2示出了根據本發(fā)明一個實施方式的用戶設備的示意框圖； 圖3示出了能夠實施根據本發(fā)明一個實施方式的計算機環(huán)境。
具體實施方式
IMS網絡基于數據網，但是它的安全機制卻和數據網不相關。 IMS網絡的安全結構包括5個安全層面i. 提供用戶和IMS網絡之間的雙向認證。i人證是基于存在于IMS 用戶和歸屬訂戶服務器HSS的安全內容(包括安全數據和函數)。 歸屬訂戶服務器HSS向服務呼叫會話控制功能(S-CSCF, Service-Call Session Control Function )分發(fā)認證向量。服務呼叫會話 控制功能S-CSCF代表IMS網絡對用戶進行認證。ii. 提供用戶設備UE和代理呼叫會話控制功能(P-CSCF, Proxy-Call Session Control Function )之間的空中接口之間的安全鏈接。其 中包括提供加密和完整化保護。iii. 提供網絡域內CSCF和HSS之間的安全。iv. 提供不同網絡之間的CSCF網絡實體之間的網絡域安全。v. 提供相同網絡內的CSCF之間的安全。上述安全層面i、 ii涉及IMS接入網的安全，而安全層面iii、 iv、 v則涉及網絡域內范圍的安全。本發(fā)明的技術方案主要解決涉及IMS 接入網安全的問題。在IMS接入網安全方面，IMS網絡采用了一些關4建技術，包括IMS AKA: IMS對用戶的認證機制是IMS AKA，其流程完全類似 于UMTS的AKA,用來提供用戶和網絡之間的雙向認證。這個認證 是基于存在于諸如ISIM等物理卡或安全存儲器和HSS之中的認證 密鑰K進行的。而AKA過程中產生的密鑰則是用于UE和P-CSCF 之間加密和完整化保護的會話密鑰。認證是在用戶注冊或重新注冊 的時候進行的。雖然IMS訪問可以使用不同的認證機制，如HTTP 摘要(RFC2617 )、IMS-AKA( RFC3310和3GPP TS 33.203 )和pre-IMS 認證(3GPPTR 33.878 )等，但是IMS客戶端需要支持更安全的認 證方式即IMS-AKA才能保證用戶終端和IMS網絡之間的安全訪問。IPSec: IPSec在IP層上提供了多種安全機制，主要是利用IPSecESP傳輸模式來對UE和P-CSCF之間的信令和消息進行強制的完整 化保護以及可選的加密保護。在IMS客戶端和P-CSCF之間建立一 個安全的IPSec通道，能確保IMS客戶端安全地訪問IMS網絡，這 個通道是在IMS注冊過程中建立起來的?？梢岳斫?，IMS網絡的安全完全是基于用戶的私有身份以及存儲 在諸如IMS的ISIM卡的物理卡或者安全存儲器中的安全內容。因 此，對于不具有物理卡或者安全存儲器的用戶設備，例如通過DSL、 線纜、以太網、無線局域網等分組接入沖支術來訪問IMS網絡的用戶 設備，無法通過上述IMS的安全技術來獲得高等級的安全保護。本發(fā)明的解決方案的主要思想在于利用不具有物理卡或者安全 存儲器的用戶設備所用的現有用戶名和密碼(例如，通過DSL、線 纜、以太網、無線局域網等分組接入技術訪問網絡所用的現有用戶 名和密碼)提供/獲取IMS網絡安全所需的信息。圖1示出了根據本發(fā)明一個實施方式的提供互聯網協(xié)議多媒體 子系統(tǒng)安全訪問的方法的流程圖。在圖1中，參考標號IO表示無卡用戶設備，其例如是通過DSL、 線纜、以太網、無線局域網等分組接入技術來訪問IMS網絡的臺式 機、筆記本電腦、個人數字助理(PDA)或者任何其它種類的不具 備物理卡或者安全存儲器的用戶設備；參考標號IOO表示無卡用戶 設備10例如通過DSL、線纜、以太網、無線局域網等分組接入技術 所接入的分組接入網；參考標號1001、 1002、 1003和1004表示IMS 網絡中的功能實體和/或網絡實體，其中1001表示代理呼叫會話控制 功能P-CSCF、 1002表示查詢呼叫會話控制功能I-CSCF、 1003表示 服務呼叫會話控制功能S-CSCF、 1004表示歸屬訂戶服務器；參考標 號110表示IMS中所用的域名服務器，其中IMS通過使用DNS來 實現不同語言的URL鏈接和傳統(tǒng)電話號碼與IP地址之間的解析。如圖1所示，在初始階段，無卡用戶設備10利用用戶名 (PA—USERNAME )和密碼(PA—PASSWORD )向分組接入網100 進4亍分組纟妾入。在步驟1中，無卡用戶設備10利用進行分組接入的用戶名(PAJJSERNAME )和密碼(PA_PASSWORD )生成IMS的安全內 容。這些安全內容包括IMPU、 IMPI、用戶歸屬網絡的域名HOST、 認證密鑰K。例如，IMPI和IMPU可以通過直4妻映射到預先配置的 安全數據來獲得，即IMPI=PA—USERNAME@HOST ， IMPU= PA—USERNAME@HOST; HOST可以通過查詢的方式獲得，也可以 通過預先配置的安全數據來獲得；而認證密鑰K可以通過預先配置 的安全函數F 由密碼 PA—PASSWORD 導出，即 K=F(PA—PASSWORD )。在根據本發(fā)明的一種實施方式中，優(yōu)選地可生成與所生成的 IMPU相關聯的IMPU,即關聯IMPU,作為用戶在網絡中可見并且 用于會話建立的IMPU。這樣從分組接入用戶名和密碼中所導出的用 于執(zhí)行認證等安全過程的IMPU、 IMPI對于用戶是不可見的，由此 降低了暴露用于會話建立過程的IMPU所造成的安全隱患。接著，利用在步驟1中所獲得的安全內容執(zhí)行IMS網絡的安全 認證過程。優(yōu)選地，該安全認證過程與現有的IMS網絡的安全認證 過程相同。以下參照步驟2至步驟22，對安全認證過程進行描述。 在步驟2中，無卡用戶設備10向P-CSCF 1001發(fā)送包括IMPI 和IMPU的SIP注冊消息，以便能夠向SIP注冊服務器即S-CSCF 1003進行注冊。在步驟3中，P-CSCF 1001向DNS 110發(fā)送DNS請求，并且從 DNS 110獲得I-CSCF 1002的路由信息。在步驟4中，利用所獲得的路由信息，P-CSCF 1001將包括IMPI 和IMPU的SIP注冊消息轉發(fā)到I-CSCF 1002。在步驟5中，I-CSCF 1002向HSS 1004進行用戶注冊狀態(tài)查詢， 并且接收來自HSS 1004的用戶注冊狀態(tài)查詢結果。在步驟6中，在確定用戶已注冊之后，I-CSCF 1002將包括IMPI, IMPU的SIP注冊消息轉發(fā)到S-CSCF 1003。在步驟7中，在S-CSCF 1003和HSS 1004之間執(zhí)行認證的信令 過程。在步驟8中，S-CSCF 1003對來自HSS 1004的認證矢量進行選擇。在步驟9中，S-CSCF 1003向I-CSCF 1002發(fā)送包括IMPI和所 獲得的密鑰信息等的401未授權消息。在步驟10中，I-CSCF 1002向P-CSCF 1001轉發(fā)包括IMPI和所 獲得的密鑰信息等的401未授權消息。在步驟ll中，P-CSCF 1001存儲所接收消息中的密鑰信息，并 將該信息從消息中去除，然后繼續(xù)將所得到的401未授權消息轉發(fā) 到無卡用戶設備10。在步驟12中，無卡用戶設備10生成認證響應和會話密鑰。在步驟13中，無卡用戶設備10向P-CSCF 1001發(fā)送包括IMPI 和認證響應的SIP注冊消息，以便能夠向SIP注冊服務器即S-CSCF 1003進行注冊。在步驟14中，P-CSCF 1001向DNS IIO發(fā)送DNS請求，并且從 DNS 110獲得I-CSCF 1002的路由信息。在步驟15中，利用所獲得的路由信息，P-CSCF 1001將包括IMPI 和認證響應的SIP注冊消息轉發(fā)到I-CSCF 1002。在步驟16中，I-CSCF 1002向HSS 1004進行用戶注冊狀態(tài)查詢， 并且接收來自HSS 1004的用戶注冊狀態(tài)查詢結果。在步驟17中，在確定用戶已注冊之后，I-CSCF 1002將包括IMPI 和認證響應的SIP注冊消息轉發(fā)到S-CSCF 1003。在步驟18中，S-CSCF 1003對該無卡用戶設備IO進行認證。在步驟19中，S-CSCF 1003和HSS 1004之間執(zhí)行注冊通知的信 令過程。在步驟20中，當用戶已經成功認證，貝'j S-CSCF 1003向I-CSCF 1002發(fā)送iU正成功消息。在步驟21中，I-CSCF 1002向P-CSCF IOOI轉發(fā)該認證成功消在步驟22中，P-CSCF 1001將該認證成功消息轉發(fā)到無卡用戶 設備10。由此，該安全認證過程結束。關于IMS安全認證過程的更加詳細的描述參見3GPP TS 33.203 V7.5.0 ( 2007-03 ) Section6.0 (該文件的全文可以從網址 http:〃www.3gpp.org /ftp/Specs/archive/33一series/33.203/33203-750.zip 獲得)，并且將其作為參考全文引入于此。圖2示出了根據本發(fā)明一個實施方式的用戶設備的示意框圖。 在圖2中，參考標號20表示如圖1中所示無卡用戶設備，其例 如是通過DSL、線纜、以太網、無線局域網等分組接入技術來訪問 IMS網絡的臺式機、筆記本電腦、個人數字助理(PDA)或者任何表示軟終端，用于實現利用分組接入的用戶名和密碼生成IMS的安 全內容；參考標號202表示分組數據接入裝置，用于執(zhí)行到分組接 入網的訪問；參考標號203表示IMS網絡認證裝置，用于執(zhí)行與IMS 功能實體和/或網絡實體之間的認證過程。如圖2所示，在初始階段，分組數據接入裝置202利用用戶名 (PA—USERNAME )和密碼(PA—PASSWORD )向分組4妄入網進行 分組接入。軟終端201利用進行分組接入的用戶名(PA—USERNAME )和 密碼(PA—PASSWORD )生成IMS的安全內容。例如，軟終端201 可以由網絡運營商提供，并且可以具有網絡運營商預先為該用戶配 置的安全數據。IMPI和IMPU可以通過直接映射到預先配置的安全 數據來獲得，即 IMPI=PA—USERNAME@HOST , IMPU= PA—USERNAME@HOST; HOST可以通過查詢的方式獲得，也可以 通過預先配置的安全數據來獲得；而認證密鑰K可以通過預先配置 的安全函數 F 由密碼 PA—PASSWORD 導出，即 K=F (PA PASSWORD)。在根據本發(fā)明的一種實施方式中，優(yōu)選地軟終端201可生成與導出的IMPU相關聯的IMPU,即關聯IMPU，作為用戶在網絡中可見 并且用于會話建立的IMPU，以便由此降低暴露用于會話建立過程的 IMPU所造成的安全隱患。IMS網絡認證裝置203利用由軟終端201所生成安全內容來執(zhí)行 IMS網絡的安全認i正過程。優(yōu)選地，該安全i人i正過程與當前定義的 IMS網絡的安全認證過程相同，正如參照圖1中步驟2、 11、 12、 13 和22所描述的。圖3示出了實施根據本發(fā)明的軟終端的計算機環(huán)境。 圖3中所示的計算機系統(tǒng)包括CPU(中央處理單元)301、RAM(隨 機存取存儲器)302、 ROM(只讀存儲器)303、系統(tǒng)總線304,硬盤控 制器305、鍵盤控制器306、串行接口控制器307、并行接口控制器 308、顯示器控制器309、硬盤310、鍵盤311、串行外部設備312、 并行外部設備313和顯示器314。在這些部件中，與系統(tǒng)總線304 相連的有CPU301、 RAM 302、 ROM 303、硬盤控制器305、鍵盤控 制器306,串行接口控制器307,并行接口控制器308和顯示器控制 器309。硬盤310與硬盤控制器305相連，鍵盤311與鍵盤控制器 306相連，串行外部設備312與串行接口控制器307相連，并行外部 設備313與并行接口控制器308相連，以及顯示器314與顯示器控 制器309相連。圖3中每個部件的功能在本技術領域內都是眾所周知的，并且圖 3所示的結構也是常規(guī)的。這種結構不僅用于個人計算機，而且用于 手持設備，如PalmPC、 PDA (個人數據助理)等等。在不同的應用 中可以向圖3中所示的結構添加某些部件，或者圖3中的某些部件 可以被省略。圖3中所示的整個系統(tǒng)由通常作為軟件存儲在硬盤310 中、或者存儲在EPROM或者其它非易失性存儲器中的計算機可讀 指令控制。根據本發(fā)明的軟終端可從運營商網絡(圖中未示出)下 載，或者由運營商直接提供并存儲在硬盤310中，或者從網絡下載 的軟終端可被加載到RAM 302中，并由CPU301執(zhí)行，以便為無卡用戶設備提供互聯網協(xié)議多媒體子系統(tǒng)安全訪問。盡管圖3中描述的計算機系統(tǒng)能夠支持根據本發(fā)明的提供互聯 網協(xié)議多媒體子系統(tǒng)安全訪問的解決方案，但是該計算機系統(tǒng)只是 計算機系統(tǒng)的一個例子。本領域普通技術人員可以理解，許多其它 計算機系統(tǒng)設計也能實現本發(fā)明的實施方式。本發(fā)明一種實施方式可以實現為例如由圖3所示計算機系統(tǒng)所使用的計算機程序產品，其可以包含有用于實現根據本發(fā)明的提供 互聯網協(xié)議多媒體子系統(tǒng)安全訪問的方法的代碼。該計算機程序產品可以作為加載到圖3所示的計算機系統(tǒng)作為軟終端來進行操作。雖然結合附圖描述了本發(fā)明的實施方式，但是本領域技術人員可 以在所附權利要求的范圍內做出各種變形或修改。
權利要求
1.一種互聯網協(xié)議多媒體子系統(tǒng)的訪問方法，包括以下步驟利用進行分組接入的用戶名和密碼生成所述互聯網協(xié)議多媒體子系統(tǒng)的安全內容；根據所述安全內容執(zhí)行所述互聯網協(xié)議多媒體子系統(tǒng)的安全認證。
2. 根據權利要求1所述的方法，其中所述安全內容包括 互聯網協(xié)議多媒體公開身份；互聯網協(xié)議多媒體私有身份；用戶歸屬網絡的域名；認i正密鑰。
3. 根據權利要求2所述的方法，其中還包括 通過將所述用戶名和密碼直接映射到預先配置的安全數據來生成所述互聯網協(xié)議多媒體公開身份和所述互聯網協(xié)議多媒體私有身 份。
4. 根據權利要求2所述的方法，其中還包括 通過針對所述用戶名和密碼進行網絡查詢的方式生成所述用戶歸屬網絡的域名。
5. 根據權利要求2所述的方法，其中還包括 通過將所述用戶名和密碼直接映射到預先配置的安全數據來生成所述用戶歸屬網絡的域名。
6. 根據權利要求2所述的方法，其中還包括 通過預先配置的安全函數來導出認證密鑰。
7. 根據權利要求3所述的方法，其中還包括生成與所述生成的互聯網協(xié)議多媒體公開身份相關聯的關聯互 聯網協(xié)議多媒體公開身份，作為用戶在網絡中可見并且用于會話建 立的互聯網協(xié)議多媒體公開身份。
8. —種用戶設備，用于接入互聯網協(xié)議多媒體子系統(tǒng)，其中該 用戶設備包括軟終端，用于利用進行分組接入的用戶名和密碼生成所述互聯網協(xié)議多媒體子系統(tǒng)的安全內容；系統(tǒng)的安全認證。
9. 根據權利要求8所述的用戶設備，其中所述安全內容包括 互聯網協(xié)議多媒體公開身份； 互聯網協(xié)議多媒體個人身份；用戶歸屬網絡的域名； 認證密鑰。
10. 根據權利要求9所述的用戶設備，其中 所述軟終端用于通過將所述用戶名和密碼直接映射到預先配置的安全數據來生成所述互聯網協(xié)議多媒體公開身份和所述互聯網協(xié) 議多媒體個人身份。
11. 根據權利要求9所述的用戶設備，其中 所述軟終端用于通過針對所述用戶名和密碼進行網絡查詢的方式生成所述用戶歸屬網絡的域名。
12. 根據權利要求9所述的用戶設備，其中所述軟終端用于通過將所述用戶名和密碼直接映射到預先配置 的安全數據來生成用戶歸屬網絡的域名。
13. 根據權利要求9所述的用戶設備，其中 所述軟終端通過預先配置的安全函數來導出認證密鑰。
14. 根據權利要求10所述的用戶設備，其中所述軟終端生成與所述生成的互聯網協(xié)議多媒體公開身份相關 聯的互聯網協(xié)議多媒體公開身份，即關聯互聯網協(xié)議多媒體公開身 份，作為用戶在網絡中可見并且用于會話建立的互聯網協(xié)議多媒體 公開身份。
15. —種計算機軟件產品，包括用于利用進行分組接入的用戶名和密碼生成互聯網協(xié)議多媒體 子系統(tǒng)的安全內容的軟件代碼。
全文摘要
本發(fā)明提供一種互聯網協(xié)議多媒體子系統(tǒng)的訪問方法，包括以下步驟利用進行分組接入的用戶名和密碼生成互聯網協(xié)議多媒體子系統(tǒng)的安全內容；根據安全內容執(zhí)行互聯網協(xié)議多媒體子系統(tǒng)的安全認證。本發(fā)明還提供相關的用戶設備和計算機程序產品。通過使用本發(fā)明，能夠使得用戶利用用戶名和密碼訪問來訪問IMS網絡，而無需用戶進行任何有關IMS網絡的附加配置。這些用戶的用戶設備可以不具有類似于ISIM等這樣的物理卡或者安全存儲器，但不會因此造成IMS網絡安全保護等級的降低，也即支持IMS AKA和IPSec。
文檔編號H04L9/32GK101335620SQ200710043180
公開日2008年12月31日 申請日期2007年6月29日 優(yōu)先權日2007年6月29日
發(fā)明者朱紅儒, 豹 李 申請人:上海貝爾阿爾卡特股份有限公司