專利名稱：用于支持傳統p-cscf以指示s-cscf跳過認證的方法、設備、系統和計算機程序產品的制作方法
技術領域：
本發(fā)明涉及身份保護。更具體來說，本發(fā)明涉及用于身份保護的方法、設備、系統和相關的計算機程序產品。本發(fā)明的示例可以被應用于互聯網協議(IP)多媒體子系統 (IMS)集中式服務(ICS)。
背景技術：
在第3代合作伙伴項目(3GPP)的例如第8版技術規(guī)范(TS)23. 292中已經考慮并介紹了 ICS。ICS可以提供通信服務，從而使得所有服務和服務控制例如基于IMS機制和使能器。ICS向例如通過集中式服務附著的用戶使能IMS服務。當ICS用戶通過使用電路交換(CS)訪問來訪問IMS時，即通過ICS移動交換中心(IMSC)服務器(支持ICS的MSC服務器)訪問時，可以在IMSC服務器中執(zhí)行認證和授權，并且因此例如服務呼叫會話控制功能 (S-CSCF)可以對于這樣的IMS登記跳過IMS認證。在例如通過CS域訪問IMS時，可以為ICS用戶指派所謂的專用ICS IMS私有用戶身份(IMPI)。S-CSCF可以對于上述情況使用該專用ICS IMPI以表明用戶已經由IMSC服務器認證并授權。但是ICS IMPI不被保護以防濫用。由于跳過了認證過程，因此惡意用戶可能使用這種專用ICS IMPI以便例如免費使用IMS服務。在較早的IMS版本中，這由P-CSCF解決，其檢查從用戶接收到的登記請求并且將其繼續(xù)傳遞給S-CSCF，從而表明該登記請求是否可能來自潛在的惡意用戶。如果P-CSCF表明所述登記請求可能來自惡意用戶，則S-CSCF隨后可以挑戰(zhàn)該登記請求。但是情況在ICS系統中有所不同，這是由于IMSC現在正在執(zhí)行登記，并且當用戶已經由IMSC成功認證并授權時應當避免由S-CSCF進行附加的認證。在標準化機構(例如3GPP)中討論了使用P —接入網信息(PANI)報頭來從IMSC 向S-CSCF表明可以跳過認證。PANI報頭可以包含關于接入網以及“網絡提供的”參數的信息。關于接入網的信息可以向S-CSCF通知已經執(zhí)行過認證。PAOT報頭解決方案的一個可能缺陷在于，較早版本的P-CSCF可能不支持所述“網絡提供的”機制。因此，可能存在一種可能性，即這個機制可能被惡意用戶濫用。惡意用戶可以設定所述“網絡提供的”參數，并且不知情的P-CSCF可能無法去除該參數。結果，S-CSCF 可能跳過認證。解決這一問題的一種方式可以是適當的管理，也就是說S-CSCF可以基于數據庫來決定是否接受所述“網絡提供的”指示。但是，這樣的數據庫需要附加的管理，這在漫游情況下可能變得難以處理。另一種方法在于使用僅基于數據庫的解決方案，其中存儲所有支持ICS的MSC服務器(IMSC)。此外，如果ICS用戶例如通過這種IMSC服務器向IMS登記，則S-CSCF可能僅僅跳過認證過程。但是，這種替換方案可能導致不可接受的管理工作量，并且將還導致數據庫的同步出大問題。另一個可能的缺陷可能在于，由于ICS用戶還可能在漫游的情況下通過受訪IMSC 服務器訪問其歸屬IMS域，因此還必須把外地CS漫游域內的所有IMSC服務器存儲在所述數據庫中。這意味著每當添加或去除IMSC服務器時，必須更新具有漫游協議的所有域內的數據庫。這將導致不可接受的管理工作量，并且將還導致數據庫的同步出大問題。

發(fā)明內容
考慮到前述內容，本發(fā)明的示例的一個目的是克服前面提到的一個或更多缺陷。 具體來說，本發(fā)明提供用于身份保護的方法、設備、系統以及有關的計算機程序產品。根據本發(fā)明的一個示例，在第一方面，所沭目的例如由一種方法實現,其包括:
在網絡實體處成功登記終端之后，傳送包括終端身份信息和完整性指示信息的登記消息，其中完整性指示信息表明終端身份信息的肯定完整性。根據如在前面的第一方面中定義的本發(fā)明的示例的進一步細化， 一所述方法還包括由網絡實體生成登記消息；
一所述登記消息是初始登記消息、重新登記消息和解除登記消息的其中之一； 一所述網絡實體是互聯網協議多媒體子系統集中式服務增強的移動交換中心。根據本發(fā)明的一個示例，在第二方面，所沭目的例如由一種方法實現,其包括: 在接收到包括終端身份信息和表明終端身份信息的完整性的完整性指示信息的登記
消息之后，基于所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而使得
i)如果表明肯定的完整性，則跳過對所述終端的認證過程；或者
ii)如果表明否定的完整性，則拒絕所接收到的登記消息而不提供與所述終端的登記有關的密鑰信息。根據如在前面的第二方面中定義的本發(fā)明的示例的進一步細化， 一所述方法還包括接收登記消息；
一所述密鑰信息涉及終端與網絡控制實體之間的安全登記；
一如果識別到終端的成功登記則執(zhí)行項目i)的處理，并且如果所接收到的登記消息被識別為不受保護則執(zhí)行項目ii)的處理；
一表明否定完整性的完整性指示信息由被設定為否的完整性受保護標志構成。根據如在前面的第一和第二方面中定義的本發(fā)明的示例的進一步細化，
一表明肯定完整性的完整性指示信息由被設定為是的完整性受保護標志構成； 一所述登記消息是會話發(fā)起協議登記消息；
一所述終端身份信息由專用互聯網協議多媒體子系統集中式服務互聯網協議多媒體私有身份構成。根據本發(fā)明的一個示例，在第三方面，所沭目的例如由一種設備實現,其包括 用于在該設備處成功登記終端之后傳送包括終端身份信息和完整性指示信息的登記
消息的裝置，其中完整性指示信息表明終端身份信息的肯定完整性。根據如在前面的第三方面中定義的本發(fā)明的示例的進一步細化， 一所述設備還包括用于生成登記消息的裝置；
7一所述登記消息是初始登記消息、重新登記消息和解除登記消息的其中之一； 一所述設備由互聯網協議多媒體子系統集中式服務增強的移動交換中心構成。根據本發(fā)明的一個示例，在第四方面，所述目的例如由二Ii^實現，其包括
裝置，用于在接收到包括終端身份信息和表明終端身份信息的完整性的完整性指示信息的登記消息之后，基于所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而使得
i)如果表明肯定的完整性，則跳過對所述終端的認證過程；或者
ii)如果表明否定的完整性，則拒絕所接收到的登記消息而不提供與所述終端的登記有關的密鑰信息。根據如在前面的第四方面中定義的本發(fā)明的示例的進一步細化， 一所述密鑰信息涉及終端與網絡控制實體之間的安全登記；
一所述設備還包括用于接收登記消息的裝置；
一所述用于接收的裝置被配置成從網絡控制實體和根據第三方面的設備的其中之一接收登記消息；
一所述用于處理的裝置被配置成在識別到終端的成功登記的情況下根據項目i)進行處理，并且被配置成在所接收到的登記消息被識別為不受保護的情況下根據項目ii)進行處理；
一表明否定完整性的完整性指示信息由被設定為否的完整性受保護標志構成； 一所述設備由服務呼叫會話控制功能構成。根據如在前面的第三和第四方面中定義的本發(fā)明的示例的進一步細化，
一表明肯定完整性的完整性指示信息由被設定為是的完整性受保護標志構成； 一所述登記消息是會話發(fā)起協議登記消息；
一所述終端身份信息由專用互聯網協議多媒體子系統集中式服務互聯網協議多媒體私有身份構成；
一所述網絡控制實體由代理呼叫會話控制功能構成；
一所述用于傳送的裝置、用于生成的裝置、用于處理的裝置、用于接收的裝置以及所述設備的至少其中一項或更多項被實施為芯片組或模塊。根據本發(fā)明的一個示例，在第五方面，所述目的例如由一種設備實現，其包括: 被配置成在該設備處成功登記終端之后傳送包括終端身份信息和完整性指示信息的
登記消息的傳送器，其中完整性指示信息表明終端身份信息的肯定完整性。根據如在前面的第五方面中定義的本發(fā)明的示例的進一步細化， 一所述設備還包括被配置成生成登記消息的生成器；
一所述登記消息是初始登記消息、重新登記消息和解除登記消息的其中之一； 一所述設備由互聯網協議多媒體子系統集中式服務增強的移動交換中心構成。根據本發(fā)明的一個示例，在第六方面，所沭目的例如由一種設備實現,其包括
處理器，被配置成在接收到包括終端身份信息和表明終端身份信息的完整性的完整性指示信息的登記消息之后，根據所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而使得
i)如果表明肯定的完整性，則跳過對所述終端的認證過程；或者
8ii)如果表明否定的完整性，則拒絕所接收到的登記消息而不提供與所述終端的登記有關的密鑰信息。根據如在前面的第六方面中定義的本發(fā)明的示例的進一步細化， 一所述密鑰信息涉及終端與網絡控制實體之間的安全登記；
一所述設備還包括被配置成接收登記消息的接收器；
一所述接收器被配置成從網絡控制實體和根據第五方面的設備的其中之一接收登記消息；
一所述處理器被配置成在識別到終端的成功登記的情況下根據項目i)進行處理，并且被配置成在所接收到的登記消息被識別為不受保護的情況下根據項目ii)進行處理； 一表明否定完整性的完整性指示信息由被設定為否的完整性受保護標志構成； 一所述設備由服務呼叫會話控制功能構成。根據如在前面的第五和第六方面中定義的本發(fā)明的示例的進一步細化，
一表明肯定完整性的完整性指示信息由被設定為是的完整性受保護標志構成； 一所述登記消息是會話發(fā)起協議登記消息；
一所述終端身份信息由專用互聯網協議多媒體子系統集中式服務互聯網協議多媒體私有身份構成。一所述網絡控制實體由代理呼叫會話控制功能構成；
一所述傳送器、生成器、處理器、接收器以及所述設備的至少其中一項或更多項被實施為芯片組或模塊。根據本發(fā)明的一個示例，在第七方面，所述目的例如由一種系統實現，其包括: 終端；
根據前面的第三和第五方面當中任一個的設備；以及根據前面的第四和第六方面當中任一個的設備。根據本發(fā)明的一個示例，在第八方面，所述目的例如由一種計算機程序產品實現， 其包括用于在處理裝置或模塊上運行時執(zhí)行根據前面的第一和第二方面當中的任一個的方法的各方法步驟的代碼裝置。 根據本發(fā)明的一個示例，在第九方面，所述目的例如由一種計算機程序實現，其包括用于執(zhí)行一種方法的代碼裝置，所述方法包括
在網絡實體處成功登記終端之后，傳送包括終端身份信息和完整性指示信息的登記消息，其中完整性指示信息表明終端身份信息的肯定完整性。根據本發(fā)明的一個示例，在第十方面，所述目的例如由一種計算機稈序實現,其包括用于執(zhí)行一種方法的代碼裝置，所述方法包括
在接收到包括終端身份信息和表明終端身份信息的完整性的完整性指示信息的登記消息之后，基于所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而使得
i)如果表明肯定的完整性，則跳過對所述終端的認證過程；或者
ii)如果表明否定的完整性，則拒絕所接收到的登記消息而不提供與所述終端的登記有關的密鑰信息。在這一點上，必須指出的是，本發(fā)明的各示例使能以下各項當中的一項或更多項
一使得S-CSCF能夠通過確保在概念上只有IMSC可以發(fā)送這樣的完整性受保護的請求，并且通過P-CSCF只有用于ICS用戶的不受保護的登記(REGISTER)請求可以到達 S-CSCF檢驗登記請求的發(fā)送方是否是IMSC，；
一基于前面項，如果所述登記請求是從IMSC接收，則S-CSCF可以跳過認證和授權；
一針對在所述標準化機構(例如3GPP)中討論的問題提供一種解決方案；
一減輕管理工作量并且避免與數據庫同步有關的問題；
一使得IMSC服務器能夠生成附加地包括例如專用ICS IMPI的登記請求。


下面將參照附圖描述本發(fā)明的示例，其中
圖1示出了在接受登記請求的情況下用于根據本發(fā)明的一個示例的身份保護的方法； 圖2示出了在拒絕登記請求的情況下用于根據本發(fā)明的一個示例的身份保護的方法；
以及
圖3示出了用于根據本發(fā)明的一個示例的身份保護的設備(例如IMSC 2021和S-CSCF 2023)。
具體實施例方式下面將參照附圖以舉例的方式描述本發(fā)明的示例。應當提到的是，對于本說明書，術語“IMSC、SIP登記、專用ICS IMPI、完整性受保護標志、完整性受保護標志=‘是’和完整性受保護標志=‘否’”分別是用于“網絡實體、登記消息、終端身份信息、完整性指示信息、肯定完整性和否定完整性”的例子，其中后面提到的術語不限于在前面提到的術語上強加的特殊技術或實現方式細節(jié)。圖1示出了在接受登記請求的情況下用于根據本發(fā)明的一個示例的身份保護的方法，而圖2示出了在拒絕登記請求的情況下的方法。元件之間的信令在水平方向上表示， 而信令之間的時間方面則可以反映在信令序列的縱向排列或序列編號中。應當提到的是， 圖1和2中示出的時間方面不一定把所示出的任一方法步驟限制到所繪出的步驟序列。這一點特別適用于在功能上彼此分離的方法步驟。在圖1和2中，為了易于描述，可以提供主要功能的裝置或部分用實線功能框或箭頭和/或普通字體描繪，而可以提供可選功能的裝置或部分用虛線功能框、或箭頭和/或斜體字描繪。如圖1中所示，通信系統200可以包括終端或用戶裝備(UE) 201和網絡202。網絡202又可以包括MSC服務器或IMSC 2021 (下文中稱作“ IMSC”)、可選的歸屬訂戶服務器 /歸屬位置寄存器(HSS/HLR) 2022以及S-CSCF 2023。作為可選的準備措施，在可選步驟SO-I到S0-3中，例如UE 201可以向IMSC 2021 執(zhí)行登記(或附著)。此外，在可選步驟Sl-Oa中，例如IMSC 2021可以針對從UE 201接收的IMS登記執(zhí)行決定，并且在可選步驟Sl-Ob中，例如IMSC 2021可以執(zhí)行發(fā)現與UE 201 有關的IMS地址。在可選步驟Sl-I中，例如IMSC 2021可以執(zhí)行生成包括終端身份信息(例如專用 ICS IMPI)和完整性指示信息(例如完整性受保護標志)的登記消息，其中完整性指示信息表明終端身份信息的肯定完整性(例如標志=“是”)。在步驟S1-2中，例如IMSC 2021可以在網絡實體(例如IMSC 2021本身)處成功登記(參見可選步驟SO-I到S0-3)終端(例如UE 201)之后傳送所述登記消息(例如，SIP登記)。作為與IMSC 2021有關的上面方法的進一步細化，所述登記消息可以是初始登記消息、重新登記消息或者解除登記消息。此外，所述網絡實體可以是互聯網協議多媒體子系統集中式服務增強的移動交換中心。此外，在可選步驟S2-1中，例如S-CSCF 2023可以執(zhí)行接收在步驟Sl_2中傳送的
登記消息。隨后，在步驟S2-2中，在接收到包括終端身份信息(例如專用ICS IMPI)和表明終端身份信息的完整性的完整性指示信息(例如完整性受保護標志)的登記消息(例如SIP登記)之后，例如S-CSCF 2023可以基于所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而使得
i)如果表明肯定的完整性，則跳過對所述終端(例如UE 201)的認證過程；或者 )如果表明否定的完整性(例如標志=“否”)，則拒絕所接收到的登記消息而不提供與所述終端的登記有關的密鑰信息(圖1中未示出)。最后，在可選步驟S0-4中，例如網絡202可以執(zhí)行完成登記信令。作為與S-CSCF 2023有關的上面方法的進一步細化，所述密鑰信息可以涉及在終端與網絡控制實體(例如圖2中示出的P-CSCF 2024)之間的安全登記。此外，如果識別到終端的成功登記，則可以執(zhí)行項目i)的處理，并且如果所接收到的登記消息被識別為不受保護則可以執(zhí)行項目ii)的處理。此外，表明否定完整性的完整性指示信息可以由被設定為否的完整性受保護標志構成(圖1中未示出)。作為與IMSC 2021和S-CSCF 2023有關的上面方法的進一步細化，表明肯定完整性的完整性指示信息可以由被設定為是的完整性受保護標志構成。此外，所述登記消息可以是會話發(fā)起協議(SIP)登記消息。此外，所述終端身份信息可以由專用互聯網協議(IP) 多媒體子系統(IMS)集中式服務(ICS)互聯網協議多媒體私有身份(IMPI)構成。如前所述，圖2示出了在拒絕登記請求的情況下的這些方法。如圖2中所示，在可選步驟SO-I中，惡意UE 201可能嘗試傳送例如包括其專用ICS IMPI和被設定為“是”的完整性受保護標志的欺詐SIP登記請求。在可選步驟S0-2中，例如P-CSCF 2024可以執(zhí)行接收所述欺詐SIP登記請求。在可選步驟S0-3中，例如P-CSCF 2024可以執(zhí)行處理，從而如果在P-CSCF 2024處不存在用于所接收到的專用ICS IMPI的安全性關聯(SA)，則可以確定所述登記請求是在任何SA之外接收到的，或者利用沒有綁定到所述專用ICS IMPI的SA。在這種情況下，P-CSCF 2024 可以把完整性受保護設定為“否”，或者可以去除該參數。此外，在可選步驟S0-4中，例如P-CSCF 2024可以執(zhí)行傳送具有所述惡意UE 201 的專用ICS IMPI以及被設定為“否”的完整性受保護標志的SIP登記請求。該SIP登記請求可以由S-CSCF 2021在前述可選步驟S2-1中接收到。隨后，在步驟S2-2中，例如S-CSCF 2023可以根據前述項目ii)執(zhí)行處理。最后，在可選步驟S0-5中，例如網絡202可以對惡意UE 201執(zhí)行拒絕登記請求。
圖3示出了根據本發(fā)明的一個示例的用于身份保護的設備(例如IMSC 2021和 S-CSCF 2023)。在圖3中，為了易于描述，可以提供主要功能的裝置或部分用實線功能框或箭頭和普通字體描繪，而可以提供可選功能的裝置或部分用虛線功能框或箭頭和斜體字描
fe οIMSC 2021可以包括CPU (或核心功能CF)20211、存儲器20212、傳送器(或用于傳送的裝置)20213、可選的接收器(或用于接收的裝置)20214以及可選的生成器(或用于生成的裝置)20215。S-CSCF 2023又可以包括CPU (或核心功能CF)20231 (其也可以充當處理器(或用于處理的裝置))、存儲器20232、可選的傳送器(或用于傳送的裝置)20233以及可選的接收器(或用于接收的裝置)20234。最后，可選的P-CSCF 2024可以具有基本上類似于S-CSCF 2023結構的結構。如CPU 20211的功能框的虛線延伸所示，IMSC 2021的用于生成的裝置20215可以是運行在IMSC 2021的CPU 20211上的功能，或者可以替換地是單獨的功能實體或裝置。CPU 20x1 (其中x=21和23)可以分別被配置成處理各種數據輸入以及控制存儲器 20x2、用于傳送的裝置202x3和用于接收的裝置20x4(以及IMSC 20221的用于生成的裝置 20215)的功能。存儲器20x2可以例如用來存儲代碼裝置，當例如運行在CPU 20x1上時，所述代碼裝置用于實施例如根據本發(fā)明的一個示例的方法。應當提到的是，用于傳送的裝置 20x3和用于接收的裝置20x4可以替換地被提供為對應的集成收發(fā)器。還應當提到的是， 所述傳送器/接收器可以被實施為i)用于例如通過空中接口進行收發(fā)的物理傳送器/接收器(例如在UE 201與IMSC 2021之間進行傳送的情況下);ii)例如用于例如在PS (分組交換)網絡中傳送/接收數據分組的路由實體(例如在被布置為單獨的網絡實體時在IMSC 2021或P-CSCF 2024和S-CSCF 2023之間)；iii)用于向/從給定存儲器區(qū)域寫入/讀取信息的功能(例如在被布置為集成網絡實體(未示出)時例如在IMSC 2021或P-CSCF 2024 和S-CSCF 2023的共享/公共CPU或存儲器的情況下)；或者iv) i)到iii)的任意適當組
口 O作為可選的準備措施，例如UE 201(未示出)可以向IMSC 2021執(zhí)行登記(或附著)。 此外，例如IMSC 2021可以針對從UE 201接收的IMS登記執(zhí)行決定，并且例如IMSC 2021 可以執(zhí)行發(fā)現與UE 201有關的IMS地址(例如專用ICS IMPI)?？蛇x地，例如IMSC 2021的用于生成的裝置20215可以執(zhí)行生成包括終端身份信息(例如專用ICS IMPI)和完整性指示信息(例如完整性受保護標志)的登記消息，其中完整性指示信息表明終端身份信息的肯定完整性(例如標志=“是”)。隨后，例如IMSC 2021的用于傳送的裝置20213可以在網絡實體(例如IMSC 2021 本身)處成功登記終端(例如UE 201)之后執(zhí)行傳送所述登記消息(例如SIP登記)?？商鎿Q地，例如P-CSCF 2024可以執(zhí)行接收所述欺詐SIP登記請求并且可以執(zhí)行處理，從而如果在P-CSCF 2024處不存在用于所接收到的專用ICS IMPI的安全性關聯 (SA)，則可以確定所述登記請求是在任何SA之外接收到的，或者利用沒有綁定到所述專用 ICS IMPI的SA。在這種情況下，P-CSCF 2024可以把完整性受保護設定為“否”或者可以去除該參數，并且可以執(zhí)行傳送具有惡意UE 201的專用ICS IMPI以及被設定為“否”的完整性受保護標志的SIP登記請求。
12
作為與IMSC 2021有關的進一步細化，所述登記消息可以是初始登記消息、重新登記消息或者解除登記消息。此外，所述網絡實體可以是互聯網協議多媒體子系統集中式服務增強的移動交換中心。可選地，例如S-CSCF 2023的用于接收的裝置20234可以執(zhí)行接收由IMSC 2021 的用于傳送的裝置20213傳送的登記請求消息(其例如包括完整性受保護=“是”)，或者由 P-CSCF 2024傳送的登記請求消息(其例如包括完整性受保護=“否”)。隨后，在接收到包括終端身份信息(例如專用ICS IMPI)和表明終端身份信息的完整性的完整性指示信息(例如完整性受保護標志)的登記消息(例如SIP登記)之后，例如 S-CSCF 2023的用于處理的裝置20231可以基于所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而使得
i)如果表明肯定的完整性，則跳過對所述終端(例如UE 201)的認證過程；或者 )如果表明否定的完整性(例如標志=“否”)，則拒絕所接收到的登記消息而不提供與所述終端的登記有關的密鑰信息。作為與S-CSCF 2023有關的進一步細化，所述密鑰信息可以涉及終端與網絡控制實體(例如圖2中示出的P-CSCF 2024)之間的安全登記。此外，如果識別到終端的成功登記則所述用于處理的裝置可以被配置成根據項目i)進行處理，如果所接收到的登記消息被識別為不受保護則根據項目ii)進行處理。此外，表明否定完整性的完整性指示信息可以由被設定到“否”的完整性受保護標志構成。作為與IMSC 20221和S-CSCF 2023有關的進一步細化，表明肯定完整性的完整性指示信息可以由被設定為“是”的完整性受保護標志構成。此外，所述登記消息可以是會話發(fā)起協議(SIP)登記消息。此外，所述終端身份信息可以由專用互聯網協議(IP)多媒體子系統(IMS)集中式服務(ICS)互聯網協議多媒體私有身份(IMPI)構成。此外，用于傳送的裝置20213、用于生成的裝置20215、用于處理的裝置20231、用于接收的裝置20234和/或IMSC 2021和/或S-CSCF 2023或者所實施的對應功能的至少其中一項或更多項可以被實施為芯片組或模塊。最后，本發(fā)明還涉及一種系統，其可以包括終端或用戶裝備、前述IMSC 2021以及前述 S-CSCF 2023。在不限于本段中的后面細節(jié)的情況下，可以如下概括
具體實施例方式
由于ICS用戶已經在CS域內被成功認證，因此其通過CS域/IMSC服務器的IMS通信受到保護。因此，可以使用表明成功的“完整性保護”的參數來從MSC服務器向S-CSCF表明可以跳過IMS中的認證。已經提出使用授權報頭中的參數。一種適當的參數可以是所謂的“完整性受保護”參數。當ICS用戶例如通過IMSC服務器訪問IMS時，IMSC服務器應當使用專用ICS IMPI 向IMS登記該ICS用戶(如在3GPP TS 23. 292中所規(guī)定的那樣)。并且在登記請求中，可以把授權報頭中的“完整性受保護”參數設定為“是”。這樣做的理由在于該用戶已經在IMSC 中被認證。當S-CSCF接收到所述登記請求并且識別到所述專用IMPI以及所述“完整性受保護”參數被設定為“是”，其可以跳過針對該登記請求的認證過程。并且在所述“完整性受保護”參數沒有被設定為“是”的情況下，S-CSCF可以總是拒絕具有專用ICS IMPI的登記請求。S-CSCF絕不應當在所述拒絕中提供用以允許UE和P-CSCF建立用于所述專用ICSIMPI的SA的密鑰。由于引入了 “完整性受保護”參數，因此所有P-CSCF都可以確保當用于登記請求的“完整性受保護”參數被設定為“是”時，通過對于包含在該登記請求中的ICS IMPI的安全性關聯(SA)而接收到該登記請求。從而確保不會發(fā)生惡意用戶對所述完整性受保護參數的濫用。由于S-CSCF絕不可以向UE和P-CSCF提供用來建立用于專用ICS IMPI的SA的密鑰，因此S-CSCF僅僅可以從IMSC接收到用于專用ICS IMPI的登記，其中所述“完整性受保護”參數被設定為“是”。因此，S-CSCF可以安全地跳過對于這樣的登記請求的認證。換句話說，當攻擊者濫用ICS IMPI以向IMS登記時，不會在P-CSCF與UE之間建立 SA，這是因為S-CSCF不會為該ICS IMPI提供密鑰。因此，沒有P-CSCF能夠對于這樣的登記請求把所述“完整性受保護”參數設定為“是”。并且S-CSCF可以拒絕這樣的登記請求。再換一種說法，在S-CSCF中已經提出，如果識別到ICS IMPI并且完整性標志被設定為“否”則允許S-CSCF拒絕請求而不提供任何密鑰，而當所述標志被設定為“是”并且識別出專用ICS IMPI時則允許跳過進一步的認證。此外，例如第5版S-CSCF可以挑戰(zhàn)不受保護的登記請求，其中可以提供密鑰以保護下一條登記請求。并且，UE可以隨后在受保護的登記請求中插入針對所述挑戰(zhàn)的響應。 S-CSCF只有在來自UE的響應錯誤的情況下才能最終拒絕所述受保護的登記請求。針對受保護的登記請求還有其他異常處理。但是對于不受保護的登記請求，第5版S-CSCF可以嘗試挑戰(zhàn)該請求，這是認證過程的一部分。此外，所述拒絕取決于拒絕的定義例如第5版S-CSCF可以利用挑戰(zhàn)拒絕不受保護的登記請求(例如響應代碼401，未授權)。UE隨后可以在下一條登記請求中對所述挑戰(zhàn)做出響應。支持ICS用戶的S-CSCF可以在沒有任何挑戰(zhàn)或密鑰的情況下拒絕不受保護的登記請求(例如響應代碼403，禁止)。如果拒絕是負面響應的話，則所述二者都可以被視為拒絕。支持ICS的S-CSCF可以使用專用拒絕。并且該專用拒絕不可以提供用以保護UE與 P-CSCF之間的通信的任何密鑰。[其他示例]
出于如前所述的本發(fā)明的目的，應當提到的是
一接入技術可以是通過其用戶裝備可以訪問接入網(或者對應的基站)的任何技術?？梢允褂萌魏萎斍暗幕蛭磥淼募夹g，比如WiMAX (全球微波接入互操作性)或WLAN (無線局域網)、藍牙、紅外等等；雖然前面提到的技術大多是例如處于不同無線電頻譜的無線接入技術，但是在本發(fā)明的意義上的接入技術也可以意味著絲捆扎(wireboimd)技術，比如電纜網絡之類的基于IP的接入技術或固定線路?！W絡可以是站實體或其他用戶裝備可以通過其連接到和/或利用由接入網所提供的服務的任何器件、單元或裝置；這樣服務特別包括數據和/或(音頻)視覺通信、數據下載等等；
一通常來說，本發(fā)明可以適用于依賴基于數據分組的傳輸方案的那些網絡/用戶裝備環(huán)境，根據所述基于數據分組的傳輸方案，數據被在數據分組中被傳送并且其例如基于互聯網協議IP。但是本發(fā)明不限于此，并且任何其他當前的或未來的IP或移動IP (MIP)版本或者更一般來說遵循類似于(M)IPv4/6的原理的協議也都適用；
一用戶裝備可以是系統用戶可以通過其體驗來自接入網的服務的任何器件、單元或裝置；
一可能被實施為軟件代碼部分并且利用網絡元件或終端(作為其器件、設備和/或模塊的示例，或者作為包括其設備和/或模塊的實體的示例)處的處理器運行的方法步驟是獨立于軟件代碼的，并且可以利用任何已知的或未來開發(fā)的編程語言來指定，只要由所述方法步驟定義的功能被保存；
一一般來說，在所實施的功能方面不改變本發(fā)明的想法的情況下，任何方法步驟都適于被實施為軟件或者通過硬件來實施；
一有可能被實施為IMSC和/或S-CSCF或其任何(多個)模塊處的硬件組件的方法步驟和/或器件、單元或裝置是獨立于硬件的，并且可以利用任何已知的或未來開發(fā)的硬件技術或者諸如MOS (金屬氧化物半導體)、CMOS (互補MOS)、BiMOS (雙極型M0S)、BiCMOS (雙極型CM0S)、ECL (發(fā)射極耦合邏輯)、TTL (晶體管一晶體管邏輯)等等的任意混合來實施，這例如可以利用ASIC (專用IC (集成電路))組件、FPGA (現場可編程門陣列)組件、CPLD (復雜可編程邏輯器件)組件或者DSP (數字信號處理器)組件來實現；此外，可能被實施為軟件組件的任何方法步驟和/或器件、單元或裝置可以替換地基于例如能夠進行認證、授權、鍵控和/或業(yè)務保護的任何安全性體系結構；
一各種器件、單元或裝置(例如IMSC和/或S-CSCF或者其對應裝置當中的任一項)可以被實施為單獨的器件、單元或裝置，但是這并不排除按照分布式方式將其實施在整個系統中，只要所述器件、單元或裝置的功能被保存；
一可以通過半導體芯片、芯片組或者包括這樣芯片或芯片組的(硬件)模塊來代表一件設備；但是這并不排除將一件設備或模塊的功能實施為(軟件)模塊中的軟件而不是用硬件實施的可能性，其中所述(軟件)模塊比如是包括用于在處理器上執(zhí)行/運行的可執(zhí)行軟件代碼部分的計算機程序或計算機程序產品；
一器件可以被視為一件設備或者被視為多于一件設備的組裝，例如不管其功能彼此協作還是彼此獨立，但是都處于同一器件外殼內。雖然在前文中參照本發(fā)明的具體實施例描述了本發(fā)明，但是本發(fā)明不限于此，并且可以對其進行許多修改。為了清楚起見，下表提供了在前面的描述中使用的縮寫的概況。應當提到的是，所述縮寫可以代表復數，例如“UE”可以代表復數個“用戶裝備”。3GPP第3代合作伙伴項目 TR/TS技術報告/技術規(guī)范 UE用戶裝備
CS 電路交換 PS分組交換 IP互聯網協議 IMS IP多媒體子系統 ICS IMS集中式服務
IMPI IMS私有用戶身份_
MSCI移動交換中心
IMSC ICS 增強的 MSC
1權利要求
1.一種方法，其包括在網絡實體處認證終端之后，傳送包括終端身份信息和完整性指示信息的登記消息， 其中完整性指示信息表明終端身份信息的肯定完整性。
2.根據權利要求1的方法，其還包括由所述網絡實體生成登記消息。
3.根據權利要求1或2的方法，其中，所述登記消息是初始登記消息、重新登記消息和解除登記消息的其中之一。
4.一種方法，其包括在接收到包括終端身份信息和表明終端身份信息的完整性的完整性指示信息的登記消息之后，基于所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而如果表明肯定的完整性，則跳過對所述終端的認證過程。
5.根據權利要求4的方法，其還基于所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而如果表明否定的完整性，則拒絕所接收到的登記消息而不提供與所述終端的登記有關的密鑰信息。
6.根據權利要求4或5的方法，其還包括接收登記消息。
7.根據權利要求4到6當中的任一條的方法，其中，所述密鑰信息涉及所述終端與網絡控制實體之間的安全登記。
8.根據權利要求4到7當中的任一條的方法，其中，如果識別到所述終端的認證則執(zhí)行根據權利要求4的處理，并且如果所接收到的登記消息被識別為不受保護則執(zhí)行根據權利要求5的處理。
9.根據權利要求4到8當中的任一條的方法，其中，表明否定完整性的完整性指示信息由被設定為否的完整性受保護標志構成。
10.根據權利要求1到9當中的任一條的方法，其中，表明肯定完整性的完整性指示信息由被設定為是的完整性受保護標志構成。
11.根據權利要求1到10當中的任一條的方法，其中，所述登記消息是會話發(fā)起協議登記消息。
12.根據權利要求1到11當中的任一條的方法，其中，所述終端身份信息由專用互聯網協議多媒體子系統集中式服務互聯網協議多媒體私有身份構成。
13.一種設備，其包括用于在該設備處認證終端之后傳送包括終端身份信息和完整性指示信息的登記消息的裝置，其中完整性指示信息表明終端身份信息的肯定完整性。
14.根據權利要求13的設備，其還包括用于生成登記消息的裝置。
15.根據權利要求13或14的設備，其中，所述登記消息是初始登記消息、重新登記消息和解除登記消息的其中之一。
16.一種設備，其包括裝置，用于在接收到包括終端身份信息和表明終端身份信息的完整性的完整性指示信息的登記消息之后，基于所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而如果表明肯定的完整性，則跳過對所述終端的認證過程。
17.根據權利要求16的設備，其中，所述用于處理的裝置還基于所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而如果表明否定的完整性，則拒絕所接收到的登記消息而不提供與所述終端的登記有關的密鑰信息。
18.根據權利要求16或17的設備，其中，所述密鑰信息涉及所述終端與網絡控制實體之間的安全登記。
19.根據權利要求16到18當中的任一條的設備，其還包括用于接收登記消息的裝置。
20.根據從屬于權利要求18的權利要求19的設備，其中，所述用于接收的裝置被配置成從網絡控制實體和根據權利要求13到15的設備的其中之一接收登記消息。
21.根據權利要求16到20當中的任一條的設備，其中，所述用于處理的裝置被配置成在識別到所述終端的認證的情況下根據權利要求16進行處理，并且被配置成在所接收到的登記消息被識別為不受保護的情況下根據權利要求17進行處理。
22.根據權利要求16到21當中的任一條的設備，其中，表明否定完整性的完整性指示信息由被設定為否的完整性受保護標志構成。
23.根據權利要求13到22當中的任一條的設備，其中，表明肯定完整性的完整性指示信息由被設定為是的完整性受保護標志構成。
24.根據權利要求13到23當中的任一條的設備，其中，所述登記消息是會話發(fā)起協議登記消息。
25.根據權利要求13到M當中的任一條的設備，其中，所述終端身份信息由專用互聯網協議多媒體子系統集中式服務互聯網協議多媒體私有身份構成。
26.根據權利要求18到25當中的任一條的設備，其中，所述網絡控制實體由代理呼叫會話控制功能構成。
27.根據權利要求13到15以及從屬于權利要求13到15的權利要求23到25當中的任一條的設備，其中，所述設備由互聯網協議多媒體子系統集中式服務增強的移動交換中心構成。
28.根據權利要求16到22以及從屬于權利要求16到22的權利要求23到沈當中的任一條的設備，其中，所述設備由服務呼叫會話控制功能構成。
29.根據權利要求13到觀當中的任一條的設備，其中，所述用于傳送的裝置、用于生成的裝置、用于處理的裝置、用于接收的裝置以及所述設備的至少其中一項或更多項被實施為芯片組或模塊。
30.一種系統，其包括終端；根據權利要求13到15、從屬于權利要求13到15的權利要求23到25、權利要求27或從屬于權利要求13到15的權利要求四當中的任一條的設備；以及根據權利要求16到22、從屬于權利要求16到22的權利要求23到沈、權利要求28或從屬于權利要求16到22的權利要求四當中的任一條的設備。
31.一種包括代碼裝置的計算機程序產品，當所述代碼裝置運行在處理裝置或模塊上時，其用于執(zhí)行根據權利要求1到12當中的任一條的方法的各方法步驟。
32.一種方法，其包括在網絡實體處成功登記終端之后，傳送包括終端身份信息和完整性指示信息的登記消息，其中完整性指示信息表明終端身份信息的肯定完整性。
33.根據權利要求32的方法，其還包括由所述網絡實體生成登記消息。
34.根據權利要求32或33的方法，其中，所述登記消息是初始登記消息、重新登記消息和解除登記消息的其中之一。
35.一種方法，其包括在接收到包括終端身份信息和表明終端身份信息的完整性的完整性指示信息的登記消息之后，基于所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而使得i)如果表明肯定的完整性，則跳過對所述終端的認證過程；或者ii)如果表明否定的完整性，則拒絕所接收到的登記消息而不提供與所述終端的登記有關的密鑰信息。
36.根據權利要求35的方法，其還包括接收登記消息。
37.根據權利要求35或36的方法，其中，所述密鑰信息涉及所述終端與網絡控制實體之間的安全登記。
38.根據權利要求35到37當中的任一條的方法，其中，如果識別到所述終端的成功登記則執(zhí)行項目i)的處理，并且如果所接收到的登記消息被識別為不受保護則執(zhí)行項目ii) 的處理。
39.根據權利要求35到38當中的任一條的方法，其中，表明否定完整性的完整性指示信息由被設定為否的完整性受保護標志構成。
40.根據權利要求32到39當中的任一條的方法，其中，表明肯定完整性的完整性指示信息由被設定為是的完整性受保護標志構成。
41.根據權利要求32到40當中的任一條的方法，其中，所述登記消息是會話發(fā)起協議登記消息。
42.根據權利要求32到41當中的任一條的方法，其中，所述終端身份信息由專用互聯網協議多媒體子系統集中式服務互聯網協議多媒體私有身份構成。
43.一種設備，其包括用于在該設備處成功登記終端之后傳送包括終端身份信息和完整性指示信息的登記消息的裝置，其中完整性指示信息表明終端身份信息的肯定完整性。
44.根據權利要求43的設備，其還包括用于生成登記消息的裝置。
45.根據權利要求43或44的設備，其中，所述登記消息是初始登記消息、重新登記消息和解除登記消息的其中之一。
46.一種設備，其包括裝置，用于在接收到包括終端身份信息和表明終端身份信息的完整性的完整性指示信息的登記消息之后，基于所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而使得i)如果表明肯定的完整性，則跳過對所述終端的認證過程；或者ii)如果表明否定的完整性，則拒絕所接收到的登記消息而不提供與所述終端的登記有關的密鑰信息。
47.根據權利要求46的設備，其中，所述密鑰信息涉及所述終端與網絡控制實體之間的安全登記。
48.根據權利要求46或47的設備，其還包括用于接收登記消息的裝置。
49.根據從屬于權利要求47的權利要求48的設備，其中，所述用于接收的裝置被配置成從網絡控制實體和根據權利要求43到45的設備的其中之一接收登記消息。
50.根據權利要求46到49當中的任一條的設備，其中，所述用于處理的裝置被配置成在識別到所述終端的成功登記的情況下根據項目i)進行處理，并且被配置成在所接收到的登記消息被識別為不受保護的情況下根據項目ii)進行處理。
51.根據權利要求46到50當中的任一條的設備，其中，表明否定完整性的完整性指示信息由被設定為否的完整性受保護標志構成。
52.根據權利要求43到51當中的任一條的設備，其中，表明肯定完整性的完整性指示信息由被設定為是的完整性受保護標志構成。
53.根據權利要求43到52當中的任一條的設備，其中，所述登記消息是會話發(fā)起協議登記消息。
54.根據權利要求43到53當中的任一條的設備，其中，所述終端身份信息由專用互聯網協議多媒體子系統集中式服務互聯網協議多媒體私有身份構成。
55.根據權利要求47到54當中的任一條的設備，其中，所述網絡控制實體由代理呼叫會話控制功能構成。
56.根據權利要求43到45以及從屬于權利要求43到45的權利要求52到54當中的任一條的設備，其中，所述設備由互聯網協議多媒體子系統集中式服務增強的移動交換中心構成。
57.根據權利要求46到51以及從屬于權利要求46到51的權利要求52到55當中的任一條的設備，其中，所述設備由服務呼叫會話控制功能構成。
58.根據權利要求43到57當中的任一條的設備，其中，所述用于傳送的裝置、用于生成的裝置、用于處理的裝置、用于接收的裝置以及所述設備的至少其中一項或更多項被實施為芯片組或模塊。
59.一種系統，其包括終端；根據權利要求43到45、從屬于權利要求43到45的權利要求52到54、權利要求56或從屬于權利要求43到45的權利要求58當中的任一條的設備；以及根據權利要求46到51、從屬于權利要求46到51的權利要求52到55、權利要求57或從屬于權利要求46到51的權利要求58當中的任一條的設備。
60.一種包括代碼裝置的計算機程序產品，當所述代碼裝置運行在處理裝置或模塊上時，其用于執(zhí)行根據權利要求32到42當中的任一條的方法的各方法步驟。
全文摘要
本發(fā)明公開了一種方法，其包括在網絡實體處成功登記終端之后，傳送包括終端身份信息和完整性指示信息的登記消息，其中完整性指示信息表明終端身份信息的肯定完整性。本發(fā)明還公開了一種方法，其包括在接收到所述登記消息之后，基于所述終端身份信息和完整性指示信息對所接收到的登記消息進行處理，從而使得i)如果表明肯定的完整性，則跳過對所述終端的認證過程，或者ii)如果表明否定的完整性，則拒絕所接收到的登記消息而不提供與所述終端的登記有關的密鑰信息。
文檔編號H04L29/12GK102171988SQ200980138890
公開日2011年8月31日 申請日期2009年7月31日 優(yōu)先權日2008年8月1日
發(fā)明者沈加東 申請人:諾基亞西門子通信公司