專(zhuān)利名稱(chēng)：基于綁定號(hào)碼鑒權(quán)機(jī)制實(shí)現(xiàn)sip終端安全撥打的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信領(lǐng)域，尤其涉及的是一種基于綁定號(hào)碼鑒權(quán)機(jī)制實(shí)現(xiàn)SIP終端安全撥打的方法，具體采用在SIP服務(wù)器上基于SIP終端和用戶(hù)其他電話號(hào)碼綁定的機(jī)制來(lái)實(shí)現(xiàn)防盜打功能。
背景技術(shù)：
現(xiàn)有技術(shù)一的方式是利用SIP (Session Initiation Protocol,會(huì)話發(fā)起協(xié)議)鑒權(quán)進(jìn)行防盜打，當(dāng)UA (UserAgent，用戶(hù)代理(SIP終端系統(tǒng))，含用戶(hù)代理客戶(hù)機(jī)UAC (UserAgentClient)和用戶(hù)代理服務(wù)器UAS(UserAgentserver)兩部分)在線，在其本地管理域注冊(cè)時(shí)，就可以與它的SIP服務(wù)器建立TLS (Transport Layer Security,安全傳輸層協(xié)議)連接。SIP服務(wù)器為UA提供證書(shū)，并且，此證書(shū)標(biāo)識(shí)的站點(diǎn)必須與UA要進(jìn)行注冊(cè)的域相符合。
當(dāng)SIP服務(wù)器提供有效證書(shū)時(shí)，UA知道該SIP服務(wù)器不是對(duì)UA進(jìn)行重定向、盜竊口令或試圖一些類(lèi)似攻擊的攻擊者。
隨后UA創(chuàng)建一個(gè)REGISTER請(qǐng)求，應(yīng)該說(shuō)明SIP服務(wù)器接收的站點(diǎn)證書(shū)對(duì)應(yīng)的Request-URI。當(dāng)UA在已有的TLS連接上發(fā)送REGISTER請(qǐng)求時(shí)，SIP服務(wù)器應(yīng)該挑戰(zhàn)請(qǐng)求，返回401 (需要代理認(rèn)證)響應(yīng)。響應(yīng)的Proxy-Authenticate頭字段的realm參數(shù)應(yīng)該與前面站點(diǎn)證書(shū)給出的域一致。當(dāng)UAC接收到此挑戰(zhàn),它就應(yīng)該提示用戶(hù)出示憑證,或者從挑戰(zhàn)的realm參數(shù)對(duì)應(yīng)的密鑰環(huán)中取出適當(dāng)?shù)膽{證。證書(shū)的用戶(hù)名應(yīng)該和REGISTER請(qǐng)求To頭字段URI的USERINF0部分一致。一旦摘要憑證插入到合適的Proxy-Authenticate頭字段，REGISTER就應(yīng)該再提交給SIP服務(wù)器。
由于SIP服務(wù)器要求用戶(hù)代理對(duì)其進(jìn)行認(rèn)證，所以這使攻擊者難于偽造用戶(hù)記錄地址的REGISTER請(qǐng)求。要注意的是，由于REGISTER通過(guò)機(jī)密的TLS連接發(fā)送，所以攻擊者不能夠截獲REGISTER，記錄憑證用于可能的重放攻擊。
現(xiàn)有技術(shù)二的方式是利用靜態(tài)IP綁定，在SIP服務(wù)器測(cè)配置用戶(hù)模板，對(duì)于每一個(gè)前來(lái)注冊(cè)的用戶(hù)，都對(duì)照是否存在模板，不存在的不允許注冊(cè)。
這個(gè)方案實(shí)現(xiàn)了靜態(tài)的IP地址綁定功能，保證了只有模板中指定的合法用戶(hù)才可以注冊(cè)成功，非法用戶(hù)無(wú)法完成注冊(cè)，不能盜打電話。
現(xiàn)有技術(shù)一的缺點(diǎn)是:在SIP中使用HTTP摘要的主要限制之一就是摘要的完整性機(jī)制不能很好地為SIP服務(wù)。特別的，它們對(duì)Request-URI和消息方法提供保護(hù)，但是對(duì)UA希望保護(hù)的一些頭字段卻不提供保護(hù)。HTTP摘要的另一個(gè)限制就是域的范圍。SIP鑒權(quán)保證了非法用戶(hù)不能夠截獲REGISTER，但是如果非法用戶(hù)通過(guò)其他手段獲取了用戶(hù)的帳號(hào)信息，SIP鑒權(quán)是沒(méi)有作用的。
現(xiàn)有技術(shù)二的缺點(diǎn)是:IP地址綁定都是靜態(tài)配置的，雖然可以采取批處理文件的方式批量加載，但是事先要收集好相關(guān)的IP地址列表等信息。
因此，現(xiàn)有技術(shù)還有待于改進(jìn)和發(fā)展。發(fā)明內(nèi)容
本發(fā)明的目的在于提供一種基于綁定號(hào)碼鑒權(quán)機(jī)制實(shí)現(xiàn)SIP終端安全撥打的方法，旨在解決現(xiàn)有的兩種防盜打技術(shù)存在局限性、保護(hù)機(jī)制不全面的問(wèn)題。
本發(fā)明的技術(shù)方案如下:
本發(fā)明的有益效果:SIP終端基于號(hào)碼綁定的機(jī)制來(lái)實(shí)現(xiàn)防盜打功能，SIP終端在注冊(cè)的時(shí)候統(tǒng)一啟用呼出限制，比如可以限制國(guó)際長(zhǎng)途或者限制國(guó)內(nèi)長(zhǎng)途，甚至可以禁止呼出，通過(guò)綁定號(hào)碼的呼入認(rèn)證后解除呼出權(quán)限限制。本發(fā)明中SIP終端安全保護(hù)不要求綁定IP地址，因此SIP終端可以在任何地點(diǎn)動(dòng)態(tài)獲取IP地址注冊(cè)，保證終端的可移動(dòng)性；采用SIP帳號(hào)與用戶(hù)其他電話號(hào)碼綁定的方式，有效防止通過(guò)竊取帳號(hào)密碼進(jìn)行非法盜打的情況；綁定號(hào)碼呼入認(rèn)證時(shí)，SIP終端只要進(jìn)入響鈴狀態(tài)就可通過(guò)安全認(rèn)證解除呼叫限制，被叫無(wú)須接聽(tīng)，認(rèn)證過(guò)程不會(huì)產(chǎn)生額外話費(fèi)。


圖1是本發(fā)明提供的方法流程圖。
圖2是本發(fā)明提供的防盜打具體實(shí)施例流程。
圖3是本發(fā)明提供的方法中正常切換注冊(cè)地點(diǎn)的流程示意圖。
圖4是本發(fā)明提供的方法中SIP服務(wù)器的處理單元示意圖。
圖5是本發(fā)明提供的呼叫認(rèn)證解鎖示意圖。
具體實(shí)施方式
為使本發(fā)明的目的、技術(shù)方案及優(yōu)點(diǎn)更加清楚、明確，以下參照附圖并舉實(shí)施例對(duì)本發(fā)明進(jìn)一步詳細(xì)說(shuō)明。
目前防止SIP終端帳號(hào)被非法盜用存在的局限有:SIP終端的帳號(hào)與IP地址綁定，SIP終端存在移動(dòng)性受限的缺點(diǎn)；SIP終端通過(guò)DHCP動(dòng)態(tài)獲取IP地址則無(wú)法對(duì)SIP終端帳號(hào)是否被冒用進(jìn)行有效判別因而存在安全風(fēng)險(xiǎn)；SIP終端帳號(hào)被泄露有被盜打產(chǎn)生高額話費(fèi)的嚴(yán)重后果。本發(fā)明就是要解決以上問(wèn)題。
SIP不是一個(gè)很容易實(shí)現(xiàn)安全的協(xié)議。媒介的使用、多面的信任關(guān)系，在完全不信任的元素間的期望用法以及用戶(hù)之間的操作，都使得安全問(wèn)題非常重要。今天，在廣泛變化的環(huán)境和用法中，需要在不必大量協(xié)調(diào)的情況下部署安全解決方案。為了滿(mǎn)足這些不同的需要，需要一些適用于SIP不同方面和用法的特殊機(jī)制。
SIP注冊(cè)機(jī)制允許用戶(hù)代理向SIP服務(wù)器進(jìn)行SIP認(rèn)證鑒權(quán)，SIP服務(wù)器是用于定位用戶(hù)(由記錄地址指定)的一個(gè)設(shè)備。SIP服務(wù)器評(píng)估REGISTER消息的From頭字段中聲稱(chēng)的身份，確定請(qǐng)求是否能修改To頭字段中與記錄地址相關(guān)聯(lián)的聯(lián)系地址。如果這兩個(gè)字段相同，就會(huì)有許多有效部署，第三方就能代表用戶(hù)注冊(cè)聯(lián)系。
UA的所有者可任意修改SIP請(qǐng)求的頭字段，這就為惡意注冊(cè)開(kāi)了后門(mén)。攻擊者可以成功地模仿成授權(quán)更改與記錄地址相關(guān)的contact的一方,例如,攻擊者可以取消一個(gè)URI (Universal Resource Identifier,通用資源標(biāo)識(shí)符)的所有現(xiàn)有聯(lián)系的注冊(cè),然后注冊(cè)自己的設(shè)備作為相應(yīng)的聯(lián)系地址，從而將被攻擊用戶(hù)的所有請(qǐng)求直接發(fā)送到攻擊者的設(shè)備。
參見(jiàn)圖1和圖2本發(fā)明是基于SIP終端和用戶(hù)其他電話號(hào)碼綁定的機(jī)制來(lái)實(shí)現(xiàn)防盜打的方法，在SIP終端注冊(cè)的時(shí)候SIP服務(wù)器查詢(xún)是否綁定了其他電話號(hào)碼，如果已經(jīng)綁定就啟用呼出限制，比如可以禁止國(guó)際長(zhǎng)途或者只能撥打市話，甚至可以禁止呼出，通過(guò)綁定號(hào)碼呼入方式認(rèn)證解除呼出限制。
參見(jiàn)圖1，發(fā)明提供的一種基于綁定號(hào)碼鑒權(quán)機(jī)制實(shí)現(xiàn)SIP終端安全撥打方法的具體方法步驟流程包括:
步驟S1:在SIP服務(wù)器上配置SIP終端帳號(hào)的安全綁定功能，讓SIP終端帳號(hào)和用戶(hù)特定的電話號(hào)碼綁定；
步驟S2 =SIP終端發(fā)起注冊(cè)請(qǐng)求，SIP服務(wù)器收到請(qǐng)求后查找對(duì)應(yīng)的安全綁定功能，如果未配置啟用綁定功能，注冊(cè)成功能后不啟用呼出權(quán)限限制；如果啟用安全綁定功能，SIP終端通認(rèn)過(guò)SIP服務(wù)器認(rèn)證后，SIP服務(wù)器給SIP終端開(kāi)啟用呼出限制功能，此時(shí)可呼入但默認(rèn)啟用某等級(jí)呼叫權(quán)限等級(jí)，呼出受限，例:限制包括市話的全部呼出；
步驟S3:用戶(hù)采用綁定號(hào)碼呼叫SIP終端，SIP服務(wù)器檢測(cè)到SIP終端已注冊(cè)，向SIP終端發(fā)INVITE消息，SIP終端進(jìn)入回鈴狀態(tài)，SIP服務(wù)器根據(jù)回鈴消息判斷是否是綁定的電話號(hào)碼發(fā)起的呼叫，如果是就解除SIP終端的呼出限制，如果不是綁定的電話號(hào)碼則允許呼入電話進(jìn)入振鈴狀態(tài)但所撥打?qū)?yīng)的SIP終端呼出限制保持不變。
首先在SIP服務(wù)器配置SIP終端帳號(hào)的安全綁定功能，讓SIP帳號(hào)和用戶(hù)特定的電話號(hào)碼綁定。SIP終端發(fā)起注冊(cè)請(qǐng)求，SIP服務(wù)器收到請(qǐng)求后查找對(duì)應(yīng)的安全綁定功能，SIP終端通認(rèn)過(guò)SIP服務(wù)器認(rèn)證后，SIP服務(wù)器給SIP終端開(kāi)啟呼出限制功能。
然后采用綁定的電話號(hào)碼撥打SIP終端，SIP服務(wù)器檢測(cè)到SIP終端已注冊(cè)，向SIP終端發(fā)INVITE消息，SIP服務(wù)器根據(jù)SIP終端的回鈴消息判斷是由綁定的電話號(hào)碼發(fā)起的呼叫，解除SIP終端的呼出限制。綁定號(hào)碼呼入認(rèn)證時(shí)，被叫無(wú)須接聽(tīng)，認(rèn)證過(guò)程不會(huì)產(chǎn)生額外話費(fèi)，SIP服務(wù)判斷用戶(hù)下線后要重新采用綁定號(hào)碼呼叫才能解除呼出限制。
參見(jiàn)圖4，發(fā)明中的SIP服務(wù)器包含的處理單元包括:
Unitl綁定信息維護(hù)單元；
維護(hù)SIP終端和特定電話號(hào)碼綁定的信息，可以提供增加，修改，刪除和查詢(xún)的機(jī)制，供Unit2查詢(xún)使用。
Unit2呼叫檢測(cè)單元；
對(duì)于已經(jīng)啟用呼出限制的SIP終端的呼叫進(jìn)行檢測(cè)，終端振鈴后觸發(fā)檢測(cè)事件，查詢(xún)Unitl維護(hù)的綁定信息表，根據(jù)查詢(xún)結(jié)果返回查詢(xún)成功和失敗供Unit3使用。
Unit3呼出限制控制單元；
可以根據(jù)不同的SIP終端設(shè)定不同的呼出限制，防止SIP終端被盜打，呼出限制包括:禁止國(guó)際長(zhǎng)途，禁止長(zhǎng)途通話，禁止呼出等，但不限制接聽(tīng)?？梢圆樵?xún)，修改，解除呼出限制。Unit3對(duì)在UNITl里面維護(hù)數(shù)據(jù)的SIP終端默認(rèn)啟用呼出限制，可以根據(jù)Unit2的檢測(cè)結(jié)果和SIP終端是否已注冊(cè)決定是否解除呼出限制。
參見(jiàn)圖5，發(fā)明中SIP服務(wù)器檢測(cè)呼叫和解鎖的過(guò)程:
步驟1:用戶(hù)綁定號(hào)碼撥打SIP終端，發(fā)送INVITE消息；
步驟2 =SIP終端發(fā)送180 (B向鈴)/183響應(yīng)；
步驟3:SIP服務(wù)器根據(jù)180 (響鈴)/183響應(yīng)觸發(fā)UNIT2的檢測(cè)事件，查詢(xún)Unitl維護(hù)的綁定信息表，如果匹配就解除呼出限制，否則保持限制。
參見(jiàn)圖2，是本發(fā)明提供的一個(gè)具體防盜打流程實(shí)施例，描述了合法用戶(hù)的SIP終端的注冊(cè)過(guò)程和采用綁定電話號(hào)呼叫解鎖過(guò)程，非法用戶(hù)由于沒(méi)有綁定的號(hào)碼(手機(jī)13988888888)，無(wú)法解除呼出限制，不能使有SIP終端帳號(hào)拔打電話。
在SIP服務(wù)器中預(yù)先配置了 SIP終端帳號(hào)(01086868686)和用戶(hù)號(hào)碼(13988888888)的綁定關(guān)系。SIP終端向SIP服務(wù)器發(fā)出注冊(cè)請(qǐng)求，通過(guò)SIP服務(wù)器鑒認(rèn)證后注冊(cè)成功，SIP服務(wù)器對(duì)SIP終端的帳號(hào)默認(rèn)啟動(dòng)呼出限制，SIP終端可以接聽(tīng)電話但是呼出電話受限；
SIP終端用戶(hù)用手機(jī)13988888888拔打SIP終端(01086868686)，SIP服務(wù)器檢測(cè)到SIP帳號(hào)01086868686已注冊(cè)，向SIP終端發(fā)起INVITE呼叫請(qǐng)求，SIP服務(wù)器收到SIP終端發(fā)來(lái)的180 (響鈴)/183響應(yīng)，根據(jù)180/183消息判斷呼入主叫碼是綁定的號(hào)碼，則解除SIP終端的呼出限制。
當(dāng)非法用戶(hù)盜用該SIP終端帳號(hào)向SIP服務(wù)器發(fā)起注冊(cè)，通過(guò)SIP服務(wù)器鑒權(quán)認(rèn)證后注冊(cè)成功，此時(shí)SIP服務(wù)器根據(jù)UNITl中保存的綁定信息決定啟用呼出限制，由于非法用戶(hù)沒(méi)有合法用戶(hù)的手機(jī)13988888888則無(wú)法解除呼出限制，從而實(shí)現(xiàn)防止非法用戶(hù)盜用SIP帳號(hào)進(jìn)行盜打的目的。
本發(fā)明沒(méi)有把用戶(hù)和IP地址做綁定，允許用戶(hù)自由的用任何IP地址注冊(cè)SIP終端。具體流程如圖3。
用戶(hù)在辦公室的軟件電話進(jìn)行撥打的流程是先注冊(cè)然后SIP服務(wù)器根據(jù)UNITl中保存的綁定信息決定啟用呼出限制，用戶(hù)用手機(jī)撥打用戶(hù)對(duì)應(yīng)的SIP終端，SIP服務(wù)器檢測(cè)匹配后解除用戶(hù)呼出限制。當(dāng)用戶(hù)下班回家后用家用的IP地址進(jìn)行登錄注冊(cè)同樣的流程進(jìn)行匹配啟用呼出限制，檢測(cè)電話號(hào)碼匹配進(jìn)一步解除呼出限制，不受IP地址的限制。
本發(fā)明通過(guò)基于SIP終端和用戶(hù)其他電話號(hào)碼綁定的機(jī)制來(lái)實(shí)現(xiàn)防盜打功能，SIP終端中注冊(cè)的時(shí)候統(tǒng)一啟用呼出限制，通過(guò)其他電話號(hào)碼的呼叫認(rèn)證之后才解除呼出限制。沒(méi)有把SIP賬號(hào)和IP地址做綁定，SIP終端可以動(dòng)態(tài)獲取IP地址，SIP軟終端可以在任何地點(diǎn)用任何IP注冊(cè)，有效保障了終端的移動(dòng)性。采用SIP帳號(hào)和用戶(hù)其他號(hào)碼綁定的方式，有效防止非法用戶(hù)盜用帳號(hào)拔打電話，綁定號(hào)碼呼入進(jìn)入回鈴狀態(tài)后可主動(dòng)掛機(jī)或由SIP終端拒接綁定號(hào)碼呼入電話均可觸發(fā)認(rèn)證鑒權(quán)，認(rèn)證不會(huì)產(chǎn)生額外話費(fèi)。
應(yīng)當(dāng)理解的是，本發(fā)明的應(yīng)用不限于上述的舉例，對(duì)本領(lǐng)域普通技術(shù)人員來(lái)說(shuō)，可以根據(jù)上述說(shuō)明加以改進(jìn)或變換，所有這些改進(jìn)和變換都應(yīng)屬于本發(fā)明所附權(quán)利要求的保護(hù)范圍。
權(quán)利要求
1.一種基于綁定號(hào)碼鑒權(quán)機(jī)制實(shí)現(xiàn)SIP終端安全撥打的方法，其特征在于，包括以下步驟: SIP帳號(hào)和用戶(hù)特定的電話號(hào)碼綁定； 對(duì)綁定了特定電話號(hào)碼的SIP終端注冊(cè)成功啟用呼出限制； SIP終端的呼出限制需要用綁定的電話呼叫SIP終端，否則始終保持呼出限制；SIP終端的呼出限制功能由SIP終端的上行SIP服務(wù)器控制。
2.根據(jù)權(quán)利要求1所述的基于綁定號(hào)碼鑒權(quán)機(jī)制實(shí)現(xiàn)SIP終端安全撥打的方法，其特征在于，用綁定的電話呼叫SIP終端，SIP服務(wù)器要檢測(cè)SIP終端是否處于注冊(cè)狀態(tài)，是則解除SIP終端的呼出限制。
3.根據(jù)權(quán)利要求1所述的基于綁定號(hào)碼鑒權(quán)機(jī)制實(shí)現(xiàn)SIP終端安全撥打的方法，其特征在于，SIP服務(wù)器檢測(cè)呼叫和解鎖的過(guò)程包括以下步驟: 步驟1:用戶(hù)綁定號(hào)碼撥打SIP終端，發(fā)送INVITE消息； 步驟2 =SIP終端發(fā)送響鈴或響應(yīng)； 步驟3 =SIP服務(wù)器根據(jù)響鈴或響應(yīng)觸發(fā)呼叫檢測(cè)單元的檢測(cè)事件，查詢(xún)綁定信息維護(hù)單元的維護(hù)的綁定信息表，如果匹配就解除呼出限制，否則保持限制。
4.根據(jù)權(quán)利要求3所述的基于綁定號(hào)碼鑒權(quán)機(jī)制實(shí)現(xiàn)SIP終端安全撥打的方法，其特征在于，所述綁定信息維護(hù)單元用于維護(hù)SIP終端和特定電話號(hào)碼綁定的信息，提供增加，修改，刪除和查詢(xún)的機(jī)制，供呼叫檢測(cè)單元查詢(xún)。
5.根據(jù)權(quán)利要求4所述的基于綁定號(hào)碼鑒權(quán)機(jī)制實(shí)現(xiàn)SIP終端安全撥打的方法，其特征在于，所述呼叫檢測(cè)單元用于啟用呼出限制的SIP終端的呼叫進(jìn)行檢測(cè)，SIP終端振鈴后觸發(fā)檢測(cè)事件，查詢(xún)綁定信息維護(hù)單元維護(hù)的綁定信息表，根據(jù)查詢(xún)結(jié)果返回查詢(xún)成功和失敗供呼出限制控制單元使用。
6.根據(jù)權(quán)利要求5所述的基于綁定號(hào)碼鑒權(quán)機(jī)制實(shí)現(xiàn)SIP終端安全撥打的方法，其特征在于，所述呼出限制控制單元用于根據(jù)不同的SIP終端設(shè)定不同的呼出限制，防止SIP終端被盜打，呼出限制包括:禁止國(guó)際長(zhǎng)途，禁止長(zhǎng)途通話和禁止呼出。
全文摘要
本發(fā)明提供一種基于用戶(hù)綁定號(hào)碼鑒權(quán)機(jī)制實(shí)現(xiàn)SIP終端安全撥打的方法，包括在SIP服務(wù)器上配置用戶(hù)模板，讓SIP帳號(hào)和用戶(hù)特定的電話號(hào)碼綁定；用戶(hù)發(fā)出注冊(cè)請(qǐng)求，SIP服務(wù)器收到請(qǐng)求后查找對(duì)應(yīng)的用戶(hù)模板，如果不存在模板，按照正常的注冊(cè)流程處理；如果存在模板，SIP服務(wù)器給用戶(hù)啟用呼出限制；接聽(tīng)權(quán)限獲取后，SIP服務(wù)器要求用綁定的電話號(hào)碼撥打用戶(hù)對(duì)應(yīng)的SIP終端，若SIP服務(wù)器檢測(cè)到模板中綁定的電話號(hào)碼在撥打?qū)?yīng)的SIP終端則給SIP終端開(kāi)解除呼出限制，若不是綁定的電話號(hào)碼在撥打?qū)?yīng)的SIP終端則保持呼出限制。本發(fā)明可有效防止非法用戶(hù)盜打，SIP終端可以選擇拒接電話號(hào)碼的認(rèn)證呼叫，不會(huì)產(chǎn)生額外話費(fèi)。
文檔編號(hào)H04W12/06GK103166962SQ201310068228
公開(kāi)日2013年6月19日 申請(qǐng)日期2013年3月4日 優(yōu)先權(quán)日2013年3月4日
發(fā)明者顏君志, 吳曉東, 黃昊, 唐小兵 申請(qǐng)人:廣東天波信息技術(shù)股份有限公司