IMS网络及其中SIP协议的安全研究

论文摘要

第三代移动通信的标准日益完善,已经不再满足于只提供话音和简单的数据业务。它正试图把核心通信网改造成一个全IP的网络,来提供一个类似于Internet的丰富多彩的服务。目前进展最快的就是3G核心网络-IMS（IP多媒体子系统）。通信运营商通过引入以SIP（会话初始化协议）为呼叫信令的IMS网络,为大众提供一些基于Internet的应用、服务和协议的多媒体业务。国际上对于IMS的研究,已经到了NGN（下一代网络）和IMS全面融合的阶段。标准已经相对成熟,各大网络设备提供商在全球有丰富的成功商用案例,服务于多个预商用和实际商用网络。运营商可以设想更丰富的业务模式,对业务进行组合打包,增加附加值。各种新的业务应用给运营商带来新的商业模型,但需要考虑如何盈利和可持续发展,如何在技术源头和市场机会之间进行相互促进,推动自身业务和网络的转型。国内对于IMS和SIP方面的研究方兴未艾,华为,中兴,阿尔卡特-朗讯等均开发有自己的IMS项目。中兴与中国移动合作中国自己的3G标准:TD-SCDMS。利用贝尔实验室在IMS关键领域的创新和各项专利技术及全国四个研发中心的科研实力,阿尔卡特-朗讯在国内IMS领域的研究到了商用出口的阶段。本文主要进行了以下工作:介绍了IMS以及主要的功能实体,然后讨论了SIP协议的历史及其实现机制,而后分析了SIP协议的安全现状和可能的攻击方式,包括常见的中间人攻击,也有对SIP消息的删除和修改。最后讨论了PKI,IPSec等安全技术在IMS中应用和安全体制的建立。对PKI技术的介绍侧重在介绍CA（认证中心）建立,证书的生命周期以及交叉认证的知识。PKI就是解决这些证书的签发和管理的通用安全基础设施,通过PKI体系,IMS各通信实体便能确立相互信任关系。IMS的接入安全机制承担的任务有对接入用户的鉴权（包括认证Authentication和授权Authorization）;再就是鉴权结束后,UE和P-CSCF之间建立IPSec SA（即IPSec安全关联）,为后续的SIP信令提供安全保护。IMS的鉴权机制采用鉴权和密钥协商AKA机制来实现的,建立IPSec SA之前需要协商安全密钥,在IMS接入安全中,密钥的协商不是通过IKE机制来实现的,而是通过在认证期间由AKA机制协商产生的密码组作为SA的密钥。通过一个IMS安全连接建立时注册的例子,来揭示IMS安全的体系的整体面貌。正是使用认证,授权等技术,IMS各功能实体间发送的SIP消息得到安全保证,从维护了IMS体系的安全。本文的主要意义在于IMS可以帮助电信运营商实现网络全IP化的技术,简单、灵活、支持所有开放标准以及独立于接入网络,但是安全却是IMS的死穴。IMS是基于TCP/IP协议的,它通过包交换的方式替代传统电信的电路交换。所以可以说,IMS的引入将使电信领域进入“类互联网”时代,安全问题将成为电信运营商的头号大敌。特别是在当前各大运营商纷纷上马3G网络的特殊时期,安全更是显得尤为重要,安全的实现就是在IMS和公众互联网之间所设立的一道墙,以防止一切可疑内容的通过。3GPP/3GPP2在IMS安全问题上进行了详细的定义,包括SIM应用和认证程序。但很遗憾,3GPP/3GPP2并没有对如何防止拒绝服务对DNS的攻击作相关定义,这给IMS留下了巨大的安全隐患。本文的目的是IMS应该参考互联网的安全技术,来应对已有的和还未知的各种网络安全问题。本人首次接触SIP是07年在IBM中国研究院实习期间,参与研发一种监控SIP设备的网管系统。后来在青岛阿尔卡特-朗讯研发中心实习阶段,真正参与了IMS商用系统的研发,先后在Feature Server 5000项目（应用服务开发）和DataGrid Suit（用户信息数据库开发）项目工作,对IMS的框架和SIP协议有了较深的理解。这些项目经历对本文的完成起到了不可或缺的作用,使本文所做的工作具有了实践基础。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 引言
• 1.2 选题背景
• 1.3 主要工作
• 1.4 论文结构
• 第二章 IP多媒体子系统
• 2.1 IMS背景介绍
• 2.2 IMS的功能实体
• 2.2.1 CSCF（呼叫状态控制功能）
• 2.2.2 MGCF（媒体网关控制功能）和MGW（媒体网关）
• 2.2.3.MRFC（媒体资源功能控制）和MRFP（媒体资源功能处理）
• 2.2.4 BGCF（网关控制功能）
• 2.2.5 HSS（归属用户服务器）
• 2.2.6 AS（应用服务器）
• 第三章 SIP介绍
• 3.1 SIP协议的历史
• 3.2 SIP协议的实现机制
• 3.3 SIP协议系统组成
• 3.3.1 SIP消息的组成
• 3.3.2 SIP网络元素组成
• 第四章 SIP协议安全分析
• 4.1 SIP协议的安全现状
• 4.2 SIP安全性考虑
• 4.2.1 消息删除和修改
• 4.2.2 监听攻击
• 4.2.3 中间人攻击
• 4.2.4 拒绝服务攻击（DOS）
• 第五章 IMS采用的安全技术及安全接入
• 5.1 PKI技术
• 5.1.1 认证中心CA
• 5.1.2 证书和证书库
• 5.1.3 密钥备份及恢复
• 5.1.4 密钥和证书的更新
• 5.1.5 证书作废处理系统
• 5.1.6 客户端证书处理
• 5.1.7 交叉认证
• 5.2 IPSec协议体系
• 5.2.1 IPSec协议的体系结构
• 5.2.2 AH协议
• 5.2.3 ESP协议
• 5.2.4 IPSec的工作模式
• 5.2.5 安全关联
• 5.2.6 因特网密钥交换
• 5.3 IMS安全接入
• 5.3.1 AKA机制
• 5.3.2 UE与P-CSCF之间的安全关联
• 5.3.3 用户注册的例子中安全体制的建立
• 总结和展望
• 附录、附图表
• 引文出处及参考文献
• 致谢
• 在读期间的主要科研工作
• 学位论文评阅及答辩情况表