IP分組網(wǎng)中VoIP多層加密方法及系統(tǒng)的制作方法
【專利摘要】本發(fā)明公開了一種IP分組網(wǎng)中VoIP多層加密方法及系統(tǒng)，所述方法，包括：終端與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)對應的虛擬專網(wǎng)網(wǎng)關(guān)建立虛擬專網(wǎng)通道并形成網(wǎng)絡(luò)層安全隧道，用于進行網(wǎng)絡(luò)層安全保護傳輸；終端與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)的SIP服務(wù)器建立安全關(guān)聯(lián)，形成內(nèi)層SIP信令傳輸隧道，用于進行傳輸層安全保護傳輸；終端發(fā)起對對端終端的VoIP通信，建立RTP層安全連接，形成內(nèi)層VoIP數(shù)據(jù)端到端隧道，用于進行RTP層安全保護傳輸。本發(fā)明無需改造現(xiàn)有通信網(wǎng)絡(luò)，即可為VoIP通信提供高安全保護，不僅保證VoIP通信內(nèi)容的端到端加密傳輸，而且對密鑰數(shù)據(jù)和整個SIP消息進行了保護；此外，終端的語音通信行為將被保護在IP分組網(wǎng)絡(luò)中構(gòu)建的網(wǎng)絡(luò)層安全隧道中。
【專利說明】IP分組網(wǎng)中Vo IP多層加密方法及系統(tǒng)
【技術(shù)領(lǐng)域】
[0001 ] 本發(fā)明涉及通信【技術(shù)領(lǐng)域】，尤其涉及一種IP分組網(wǎng)中VoIP多層加密方法及系統(tǒng)。【背景技術(shù)】
[0002]通信網(wǎng)絡(luò)在網(wǎng)絡(luò)層實現(xiàn)全IP化的趨勢已經(jīng)非常明顯。在網(wǎng)絡(luò)層以下，固定網(wǎng)絡(luò)和移動網(wǎng)絡(luò)以一個異構(gòu)并存的方式在共同發(fā)展。用戶可以使用手機、PC、WIFI終端或其他IP接入設(shè)備，與商業(yè)3G/4G移動通信網(wǎng)、Internet網(wǎng)絡(luò)、無線本地網(wǎng)絡(luò)或?qū)Ｓ脽o線網(wǎng)絡(luò)等IP分組通信網(wǎng)連接起來，遠程接入內(nèi)部數(shù)據(jù)網(wǎng)絡(luò)進行VoIP (Voice over Internet Protocol)通信，滿足用戶移動語音通信需求。
[0003]VoIP的實質(zhì)是將模擬聲音信號數(shù)字化，以數(shù)據(jù)封包的形式在IP數(shù)據(jù)網(wǎng)絡(luò)上做實時傳遞。用戶移動接入VoIP通信場景中，VoIP數(shù)據(jù)包需要在IP分組網(wǎng)絡(luò)中傳輸，VoIP通信的安全性變得尤為重要。目前主要用兩種方式進行VoIP安全保護=IPSec協(xié)議和安全實時傳輸協(xié)議(Secure Real-time Transport Protocol, SRTP)。
[0004]IPSec協(xié)議作為IP網(wǎng)絡(luò)中普遍應用的安全協(xié)議，其可以為VoIP通信提供透明的安全服務(wù)，保護VoIP通信免遭竊聽和篡改，保證數(shù)據(jù)的完整性和機密性，有效抵御網(wǎng)絡(luò)攻擊。
[0005]此外，為了提供一種策略滿足VoIP的安全，SRTP應運而生。SRTP，即安全實時傳輸協(xié)議，是在實時傳輸協(xié)議的基礎(chǔ)上所定義的一個協(xié)議，旨在為單播和多播應用程序中的實時傳輸協(xié)議的數(shù)據(jù)提供加密、消息認證、完整性保護和重放保護。MIKEY是一種密鑰交換協(xié)議，通信雙方可以通過協(xié)議來協(xié)商SRTP協(xié)議所需要的會話密鑰和各種算法參數(shù)。最近對VoIP的安全研究主要集中在SRTP和密鑰交換協(xié)議的安全增強方面。專利申請?zhí)?01110056214.7的發(fā)明描述了 一種通過擴展MIKEY協(xié)議實現(xiàn)VoIP媒體流可信傳輸?shù)姆椒ǎ摲椒ɡ肕IKEY密鑰交換協(xié)議已有的數(shù)據(jù)結(jié)構(gòu)傳遞通信雙方的平臺狀況信息，實現(xiàn)了可信計算的遠程證明技術(shù)緊密地融入到MIKEY密鑰交換技術(shù)，確保平臺狀況信息和安全信道的真實連接。專利申請?zhí)?01110047621.1的發(fā)明提出了一種用于VoIP的實時數(shù)據(jù)加密傳輸方法。該方法使用一種改進的AES加密方法，并對傳統(tǒng)混合密鑰加密技術(shù)進行改進，根據(jù)需要靈活地在數(shù)據(jù)傳輸?shù)陌踩耘c實時性之間做出最佳的權(quán)衡。
[0006]上述的現(xiàn)有技術(shù)有如下的缺陷:
[0007]網(wǎng)絡(luò)層IPSec或應用層SRTP安全協(xié)議都可以實現(xiàn)VoIP通信的機密性、完整性、防重放、數(shù)據(jù)源認證等安全功能，防止VoIP通信遭竊聽、篡改和中間人攻擊，但保護效果都存在不足。
[0008]IPSec協(xié)議可以對IP頭、UDP頭、RTP頭和語音凈荷進行加密保護，但IPSec保護的SIP控制信令和語音媒體流在終端操作系統(tǒng)解密后，可能明文存儲于RTP緩存中。一旦攻擊者利用此漏洞對緩存中的VoIP數(shù)據(jù)和SIP控制信令實施竊聽和篡改攻擊，將會引起信息泄密。
[0009]SRTP協(xié)議針對語音實時業(yè)務(wù)特點設(shè)計，提供語音的端到端安全保護，但保護功能比較弱。它只能提供對語音凈荷的加密保護。VoIP包的IP頭和UDP頭全部暴露在外部，攻擊者截獲VoIP包后，很容易分析出語音包的主叫媒體流和被叫媒體流IP地址和UDP端口這可能為進一步攻擊提供有用信息。
[0010]VoIP安全研究論文和專利主要集中在安全協(xié)議增強方面。但對SRTP或IPSec協(xié)議進行改進或增強并不能解決上述提到的保護效果問題。使用單一的應用層或網(wǎng)絡(luò)層安全協(xié)議對VoIP通信進行保護都是不夠的。為充分利用各種安全協(xié)議的優(yōu)點，應將多種安全協(xié)議結(jié)合使用對VoIP通信提供安全保護。
【發(fā)明內(nèi)容】
[0011](一)要解決的技術(shù)問題
[0012]本發(fā)明要解決的技術(shù)問題是:提供一種安全性更高的IP分組網(wǎng)中VoIP多層加密方法。
[0013](二)技術(shù)方案
[0014]為解決上述問題，一方面，本發(fā)明提供了一種IP分組網(wǎng)中VoIP多層加密方法，其特征在于，包括以下步驟:
[0015]第一終端和第二終端分別與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)對應的虛擬專網(wǎng)網(wǎng)關(guān)建立虛擬專網(wǎng)通道并形成網(wǎng)絡(luò)層安全隧道；所述網(wǎng)絡(luò)層安全隧道用于將終端與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)設(shè)備交互的所有數(shù)據(jù)在終端與對應的虛擬專網(wǎng)網(wǎng)關(guān)之間進行網(wǎng)絡(luò)層安全保護傳輸；
[0016]所述第一終端和第二終端分別與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)的SIP服務(wù)器建立安全關(guān)聯(lián)，形成內(nèi)層SIP信令傳輸隧道；所述內(nèi)層SIP信令傳輸隧道用于將對應終端與SIP服務(wù)器之間交互的所有SIP控制信令在終端與SIP服務(wù)器之間進行傳輸層安全保護傳輸；
[0017]分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層SIP信令傳輸隧道對所述第一終端和第二終端與SIP服務(wù)器之間的SIP控制信令進行傳輸層和網(wǎng)絡(luò)層安全保護；
[0018]所述第一終端發(fā)起對第二終端的VoIP通信，使用SIP控制信令進行呼叫接續(xù)流程，建立RTP層安全連接，形成內(nèi)層VoIP數(shù)據(jù)端到端隧道；所述內(nèi)層VoIP數(shù)據(jù)端到端隧道用于對所述第一終端之間的第二終端之間的通信內(nèi)容進行RTP層安全保護傳輸；
[0019]分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層VoIP數(shù)據(jù)端到端隧道對所述第一終端和第二終端之間的通信內(nèi)容進行網(wǎng)絡(luò)層和RTP層安全保護傳輸。
[0020]優(yōu)選地，所述虛擬專網(wǎng)為IPSec虛擬專網(wǎng)或L2TP over IPSec虛擬專網(wǎng)。
[0021]優(yōu)選地，所述虛擬專網(wǎng)為IPSec虛擬專網(wǎng)，所述分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層SIP信令傳輸隧道對所述第一終端和第二終端與SIP服務(wù)器之間的SIP控制信令進行傳輸層和網(wǎng)絡(luò)層安全保護的步驟具體為:
[0022]終端將SIP控制信令發(fā)送出去前，先在UDP層或TCP層對SIP控制信令進行傳輸層加密，形成加密后的m)P包或TCP包；
[0023]將所述加密后的UDP包或TCP包封裝成IP報文，并通過所述網(wǎng)絡(luò)層安全隧道傳輸至對應的虛擬專網(wǎng)網(wǎng)關(guān)；
[0024]虛擬專網(wǎng)網(wǎng)關(guān)將從所述網(wǎng)絡(luò)層安全隧道中收到的IP報文，通過內(nèi)部數(shù)據(jù)網(wǎng)的底層承載發(fā)送至SIP服務(wù)器；
[0025]所述SIP服務(wù)器在傳輸層對所述密UDP包或TCP包進行解密，得到SIP控制信令。
[0026]優(yōu)選地，所述虛擬專網(wǎng)為IPSec虛擬專網(wǎng)，所述分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層VoIP數(shù)據(jù)端到端隧道對所述第一終端和第二終端之間的通信內(nèi)容進行網(wǎng)絡(luò)層和RTP層安全保護傳輸?shù)牟襟E具體為:
[0027]終端將通信內(nèi)容發(fā)送出去前，先在RTP層對通信內(nèi)容進行SRTP加密，形成加密后的RTP包；
[0028]將所述加密后的RTP包封裝成IP報文，并通過所述網(wǎng)絡(luò)層安全隧道傳輸至對應的虛擬專網(wǎng)網(wǎng)關(guān)；
[0029]所述虛擬專網(wǎng)網(wǎng)關(guān)將從所述網(wǎng)絡(luò)層安全隧道中收到的IP報文，通過內(nèi)部數(shù)據(jù)網(wǎng)的底層承載發(fā)送至對方終端對應的虛擬專網(wǎng)網(wǎng)關(guān)；
[0030]所述對方終端對應的虛擬專網(wǎng)網(wǎng)關(guān)將收到的IP報文，通過所述網(wǎng)絡(luò)層安全隧道傳輸至所述對方終端；
[0031]所述對方終端從所述網(wǎng)絡(luò)層安全隧道中收到所述IP報文，在RTP層進行解密得到所述通信內(nèi)容。
[0032]優(yōu)選地，所述虛擬專網(wǎng)為L2TP over IPSec虛擬專網(wǎng)，所述分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層SIP信令傳輸隧道對所述第一終端和第二終端與SIP服務(wù)器之間的SIP控制信令進行傳輸層和網(wǎng)絡(luò)層安全保護的步驟具體為:
[0033]終端將SIP控制信令發(fā)送出去前，先在UDP層或TCP層對SIP控制信令進行傳輸層加密，形成加密后的m)P包或TCP包；
[0034]將所述加密后的UDP包或TCP包依次封裝IP頭和PPP頭形成PPP幀；
[0035]將所述PPP幀通過所述網(wǎng)絡(luò)層安全隧道傳輸至對應的虛擬專網(wǎng)網(wǎng)關(guān)；
[0036]虛擬專網(wǎng)網(wǎng)關(guān)將從所述網(wǎng)絡(luò)層安全隧道中收到的PPP幀的PPP頭去掉，并將留下的加密后的m)P包或TCP包和ip頭重新封裝，通過內(nèi)部數(shù)據(jù)網(wǎng)的底層承載發(fā)送至sip服務(wù)器；
[0037]所述SIP服務(wù)器在傳輸層對所述密UDP包或TCP層包進行傳輸層解密，得到SIP控制信令。
[0038]優(yōu)選地，所述虛擬專網(wǎng)為L2TP over IPSec虛擬專網(wǎng)，所述分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層VoIP數(shù)據(jù)端到端隧道對所述第一終端和第二終端之間的通信內(nèi)容進行網(wǎng)絡(luò)層和RTP層安全保護傳輸?shù)牟襟E具體為:
[0039]終端將通信內(nèi)容發(fā)送出去前，先在RTP層對通信內(nèi)容進行RTP層加密，形成加密后的RTP包；
[0040]將所述加密后的RTP包依次封裝UDP頭、IP頭和PPP頭形成PPP幀后，通過所述網(wǎng)絡(luò)層安全隧道傳輸至對應的虛擬專網(wǎng)網(wǎng)關(guān)；
[0041]所述虛擬專網(wǎng)網(wǎng)關(guān)將從所述網(wǎng)絡(luò)層安全隧道中收到的PPP幀的PPP頭去掉；并將留下的加密后的RTP包、UDP頭和IP頭重新封裝形成IP包后，通過內(nèi)部數(shù)據(jù)網(wǎng)的底層承載發(fā)送至對方終端對應的虛擬專網(wǎng)網(wǎng)關(guān)；
[0042]所述對方終端對應的虛擬專網(wǎng)網(wǎng)關(guān)將收到的IP包加上PPP頭重新封裝成PPP幀后，通過所述網(wǎng)絡(luò)層安全隧道傳輸至所述對方終端；
[0043]所述對方終端從所述網(wǎng)絡(luò)層安全隧道中收到所述PPP幀后，去掉所述PPP頭、IP頭、UDP頭得到所述加密后的RTP包，并在RTP層進行解密得到所述通信內(nèi)容。
[0044]優(yōu)選地，所述SIP控制信令包括注冊消息和呼叫接續(xù)消息。[0045]優(yōu)選地，，所述第一終端和第二終端之間的通信內(nèi)容為VoIP媒體流。
[0046]優(yōu)選地，所述網(wǎng)絡(luò)層安全保護為IP層安全協(xié)議。
[0047]優(yōu)選地，所述IP層安全協(xié)議為IPSec協(xié)議。
[0048]優(yōu)選地，所述傳輸層安全保護為傳輸層安全協(xié)議。
[0049]優(yōu)選地，所述傳輸層安全協(xié)議為TLS協(xié)議。
[0050]優(yōu)選地，所述RTP層安全保護為RTP層安全協(xié)議。
[0051 ] 優(yōu)選地，所述RTP層安全協(xié)議為SRTP協(xié)議。
[0052]另一方面，本發(fā)明還提供了一種IP分組網(wǎng)中VoIP多層加密系統(tǒng)，包括:第一終端、第二終端以及內(nèi)部數(shù)據(jù)網(wǎng)；所述內(nèi)部數(shù)據(jù)網(wǎng)包括通過數(shù)據(jù)內(nèi)網(wǎng)相互連接的SIP服務(wù)器和兩個虛擬專網(wǎng)網(wǎng)關(guān)；
[0053]所述兩個虛擬專網(wǎng)網(wǎng)關(guān)，分別與所述第一終端和第二終端通過IP分組網(wǎng)絡(luò)連接，與對應的終端之間建立有網(wǎng)絡(luò)層安全隧道，所述網(wǎng)絡(luò)層安全隧道用于為對應終端與內(nèi)部數(shù)據(jù)網(wǎng)之間交互的所有數(shù)據(jù)提供網(wǎng)絡(luò)層安全保護傳輸；
[0054]SIP服務(wù)器，分別與所述第一終端和第二終端之間建立有內(nèi)層SIP信令傳輸隧道，所述內(nèi)層SIP信令傳輸隧道用于為對應終端與SIP服務(wù)器之間交互的所有SIP控制信令提供傳輸層保護傳輸；
[0055]所述第一終端和第二終端之間建立有內(nèi)層VoIP數(shù)據(jù)端到端隧道，所述內(nèi)層VoIP數(shù)據(jù)端到端隧道為所述第一終端和第二終端之間的通信內(nèi)容提供RTP層保護傳輸。
[0056]優(yōu)選地，所述IP分組網(wǎng)絡(luò)包括移動分組網(wǎng)絡(luò)、因特網(wǎng)分組網(wǎng)絡(luò)中的一種或多種。
[0057](三)有益效果
[0058]本發(fā)明無需改造現(xiàn)有通信網(wǎng)絡(luò)，即可為VoIP通信提供高安全保護。不僅保證VoIP通信內(nèi)容的端到端加密傳輸，而且對密鑰數(shù)據(jù)和整個SIP消息進行了保護；此外，終端的語音通信行為將被保護在IP分組網(wǎng)絡(luò)中構(gòu)建的網(wǎng)絡(luò)層安全隧道中。具體為:使用RTP層安全協(xié)議和IP層安全協(xié)議對VoIP媒體流提供安全保護，使用傳輸層安全協(xié)議和IP層安全協(xié)議保護SIP控制信令，既可以保證語音內(nèi)容的端到端安全保護，還能解決VoIP包的IP頭和UDP頭暴露問題，為VoIP通信提供機密性、完整性保護、防重放和數(shù)據(jù)源認證保護。此外，終端與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)對應的虛擬專網(wǎng)網(wǎng)關(guān)建立的L2TP虛擬專網(wǎng)(Virtual PrivateNetwork, VPN)在一定程度上有助于抵抗IP分組網(wǎng)對終端的攻擊。
[0059]本發(fā)明可用于用戶使用任何具有IP接入能力的設(shè)備在IP接入環(huán)境中隨時、隨地和通信網(wǎng)連接起來，遠程接入內(nèi)部數(shù)據(jù)網(wǎng)絡(luò)進行VoIP通信，滿足用戶安全、移動的語音通需求。
【專利附圖】
【附圖說明】
[0060]圖1為根據(jù)本發(fā)明實施例一種IP分組網(wǎng)中VoIP多層加密方法的步驟流程示意圖；
圖2為根據(jù)本發(fā)明實施例一種IP分組網(wǎng)中VoIP多層加密方法中虛擬專網(wǎng)為L2TP overIPSec虛擬專網(wǎng)時VoIP多層加密流程圖；
[0061]圖3為根據(jù)本發(fā)明實施例加密方法對終端和VPN網(wǎng)關(guān)之間傳輸?shù)臄?shù)據(jù)進行L2TPover IPSec保護的示意圖；[0062]圖4為根據(jù)本發(fā)明實施例加密方法對終端與SIP服務(wù)器之間的SIP控制信令進行TLS和IPSec保護的流程示意圖；
[0063]圖5為根據(jù)本發(fā)明實施例加密方法對所述第一終端和第二終端之間的通信內(nèi)容進行IPSec和SRTP保護傳輸?shù)氖疽鈭D；
[0064]圖6為根據(jù)本發(fā)明實施例加密方法終端發(fā)出的VoIP媒體流IP包格式的示意圖；
[0065]圖7為根據(jù)本發(fā)明實施例一種IP分組網(wǎng)中VoIP多層加密系統(tǒng)的結(jié)構(gòu)示意圖。
【具體實施方式】
[0066]下面結(jié)合附圖及實施例對本發(fā)明進行詳細說明如下。
[0067]實施例一:
[0068]圖1所示為本實施例記載的一種IP分組網(wǎng)中VoIP多層加密方法的流程圖，所述方法包括以下步驟:
[0069]SllO:第一終端和第二終端分別與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)對應的VPN網(wǎng)關(guān)建立VPN通道并形成網(wǎng)絡(luò)層安全隧道；所述網(wǎng)絡(luò)層安全隧道用于將終端與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)設(shè)備交互的所有數(shù)據(jù)在終端與對應的VPN網(wǎng)關(guān)之間進行網(wǎng)絡(luò)層安全保護傳輸；
[0070]S120:所述第一終端和第二終端分別與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)的SIP服務(wù)器建立安全關(guān)聯(lián)，形成內(nèi)層SIP信令傳輸隧道；所述內(nèi)層SIP信令傳輸隧道用于將對應終端與SIP服務(wù)器之間交互的所有SIP控制信令在終端與SIP服務(wù)器之間進行傳輸層安全保護傳輸；
[0071]S130:分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層SIP信令傳輸隧道對所述第一終端和第二終端與SIP服務(wù)器之間的SIP控制信令進行傳輸層和網(wǎng)絡(luò)層安全保護；
[0072]S140:所述第一終端發(fā)起對第二終端的VoIP通信，使用SIP控制信令進行呼叫接續(xù)流程，建立RTP層安全連接，形成內(nèi)層VoIP數(shù)據(jù)端到端隧道；所述內(nèi)層VoIP數(shù)據(jù)端到端隧道用于對所述第一終端之間的第二終端之間的通信內(nèi)容進行RTP層安全保護傳輸；
[0073]S150:分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層VoIP數(shù)據(jù)端到端隧道對所述第一終端和第二終端之間的通信內(nèi)容進行網(wǎng)絡(luò)層和RTP層安全保護傳輸。
[0074]其中，所述網(wǎng)絡(luò)層安全保護為IP層安全協(xié)議。所述IP層安全協(xié)議為IPSec協(xié)議或其它IP層安全協(xié)議。
[0075]其中，所述傳輸層安全保護為傳輸層安全協(xié)議。所述傳輸層安全協(xié)議為TLS協(xié)議或其它傳輸層安全協(xié)議。
[0076]其中，所述RTP層安全保護為RTP層安全協(xié)議。所述RTP層安全協(xié)議為SRTP協(xié)議或其它RTP層安全協(xié)議。
[0077]實施例二:
[0078]本實施例包括了實施例一的內(nèi)容，更為具體的，在本實施例中，所述VPN為IPSecVPN。
[0079]所述分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層SIP信令傳輸隧道對所述第一終端和第二終端與SIP服務(wù)器之間的SIP控制信令進行傳輸層和網(wǎng)絡(luò)層安全保護的步驟具體為:
[0080]終端將SIP控制信令發(fā)送出去前，先在UDP層或TCP層對SIP控制信令進行傳輸層加密，形成加密后的m)P包或TCP包；
[0081]將所述加密后的UDP包或TCP包封裝成IP報文，并通過所述網(wǎng)絡(luò)層安全隧道傳輸至對應的VPN網(wǎng)關(guān)；
[0082]VPN網(wǎng)關(guān)將從所述網(wǎng)絡(luò)層安全隧道中收到的IP報文，通過內(nèi)部數(shù)據(jù)網(wǎng)的底層承載發(fā)送至SIP服務(wù)器；
[0083]所述SIP服務(wù)器在傳輸層對所述密UDP包或TCP包進行解密，得到SIP控制信令。
[0084]所述分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層VoIP數(shù)據(jù)端到端隧道對所述第一終端和第二終端之間的通信內(nèi)容進行網(wǎng)絡(luò)層和RTP層安全保護傳輸?shù)牟襟E具體為:
[0085]終端將通信內(nèi)容發(fā)送出去前，先在RTP層對通信內(nèi)容進行SRTP加密，形成加密后的RTP包；
[0086]將所述加密后的RTP包封裝成IP報文，并通過所述網(wǎng)絡(luò)層安全隧道傳輸至對應的VPN網(wǎng)關(guān)；
[0087]所述VPN網(wǎng)關(guān)將從所述網(wǎng)絡(luò)層安全隧道中收到的IP報文，通過內(nèi)部數(shù)據(jù)網(wǎng)的底層承載發(fā)送至對方終端對應的VPN網(wǎng)關(guān)；
[0088]所述對方終端對應的VPN網(wǎng)關(guān)將收到的IP報文，通過所述網(wǎng)絡(luò)層安全隧道傳輸至所述對方終端；
[0089]所述對方終端從所述網(wǎng)絡(luò)層安全隧道中收到所述IP報文，在RTP層進行解密得到所述通信內(nèi)容。
[0090]實施例三:
[0091]本實施例記載了一種IP分組網(wǎng)中VoIP多層加密方法，其包括了實施例一的內(nèi)容，但是在本實施例中，所述虛擬專網(wǎng)為L2TP over IPSec虛擬專網(wǎng)。本實施例的方法具體包括以下步驟:
[0092]第一終端和第二終端分別與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)對應的VPN網(wǎng)關(guān)建立L2TP VPN安全通道并通過IKE建立IPSec安全協(xié)議的安全關(guān)聯(lián)，形成網(wǎng)絡(luò)層安全隧道；所述網(wǎng)絡(luò)層安全隧道用于將終端與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)設(shè)備交互的所有數(shù)據(jù)在終端與對應的VPN網(wǎng)關(guān)之間進行IPSec保護傳輸；
[0093]所述第一終端和第二終端分別與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)的SIP服務(wù)器執(zhí)行握手協(xié)議，建立用于安全層傳輸協(xié)議(Transport Layer Security, TLS)連接的安全關(guān)聯(lián),形成內(nèi)層SIP信令傳輸隧道；所述內(nèi)層SIP信令傳輸隧道用于將對應終端與SIP服務(wù)器之間交互的所有SIP控制信令在終端與SIP服務(wù)器之間進行TLS保護傳輸；
[0094]分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層SIP信令傳輸隧道對所述第一終端和第二終端與SIP服務(wù)器之間的SIP控制信令進行TLS和IPSec保護；
[0095]所述第一終端和第二終端分別通過注冊流程在SIP服務(wù)器中注冊自己的聯(lián)系地址；
[0096]所述第一終端發(fā)起對第二終端的VoIP通信，使用SIP控制信令進行呼叫接續(xù)流程，通過SIP控制信令的消息體SDP擴展攜帶用于SRTP的密鑰交換消息，建立用于SRTP連接的安全關(guān)聯(lián)，形成內(nèi)層VoIP數(shù)據(jù)端到端隧道；所述內(nèi)層VoIP數(shù)據(jù)端到端隧道用于對所述第一終端之間的第二終端之間的通信內(nèi)容進行SRTP保護傳輸；
[0097]分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層VoIP數(shù)據(jù)端到端隧道對所述第一終端和第二終端之間的通信內(nèi)容進行IPSec和SRTP保護傳輸。
[0098]如圖2所示為本實施例方法的一個具體實例的步驟流程圖，包括步驟:[0099]1、終端A與內(nèi)部數(shù)據(jù)網(wǎng)邊界部署的終端A側(cè)對應VPN網(wǎng)關(guān)(以下簡稱A側(cè)VPN網(wǎng)關(guān))建立L2TP VPN安全通道，所述A側(cè)VPN網(wǎng)關(guān)使用IKE對VPN連接進行認證，并與終端A建立IPSec安全協(xié)議的安全關(guān)聯(lián)SA，形成網(wǎng)絡(luò)層安全隧道。所述網(wǎng)絡(luò)層安全隧道建立成功后，A側(cè)VPN網(wǎng)關(guān)將為終端A分配內(nèi)網(wǎng)IP地址。此后，終端A與內(nèi)部數(shù)據(jù)網(wǎng)交互的所有數(shù)據(jù)將在終端A和A側(cè)VPN網(wǎng)關(guān)之間進行IPSec保護傳輸。
[0100]2、終端B與內(nèi)部數(shù)據(jù)網(wǎng)邊界部署的終端B側(cè)對應VPN網(wǎng)關(guān)(以下簡稱B側(cè)VPN網(wǎng)關(guān))建立L2TP VPN安全通道，所述B側(cè)VPN網(wǎng)關(guān)使用IKE對VPN連接進行認證，并與終端B建立IPSec安全協(xié)議的安全關(guān)聯(lián)SA，形成網(wǎng)絡(luò)層安全隧道。所述網(wǎng)絡(luò)層安全隧道建立成功后，B側(cè)VPN網(wǎng)關(guān)將為終端B分配內(nèi)網(wǎng)IP地址。此后，終端B與內(nèi)部數(shù)據(jù)網(wǎng)交互的所有數(shù)據(jù)將在終端B和B側(cè)VPN網(wǎng)關(guān)之間進行IPSec保護傳輸。
[0101]3、終端A與內(nèi)網(wǎng)SIP服務(wù)器執(zhí)行握手協(xié)議，建立用于TLS連接的安全關(guān)聯(lián)SA。此后，終端A與SIP服務(wù)器的所有SIP控制指令將在終端A與SIP服務(wù)器之間進行TLS保護傳輸。
[0102]4、終端B與內(nèi)網(wǎng)SIP服務(wù)器執(zhí)行握手協(xié)議，建立用于TLS連接的安全關(guān)聯(lián)SA。此后，終端B與SIP服務(wù)器的所有SIP控制指令將在終端B與SIP服務(wù)器之間進行TLS保護傳輸。
[0103]5、終端A通過注冊流程在SIP服務(wù)器中注冊自己的聯(lián)系地址。這里，注冊流程使用的注冊消息通過TLS和IPSec進行保護。
[0104]6、終端B通過注冊流程在SIP服務(wù)器中注冊自己的聯(lián)系地址。這里，注冊流程使用的注冊消息通過TLS和IPSec進行保護。
[0105]7、終端A發(fā)起對終端B的VoIP通信時，使用TLS和IPSec保護的SIP控制消息進行呼叫接續(xù)流程。用于SRTP的密鑰交換消息將承載在SIP消息體SDP中，實現(xiàn)用于SRTP連接的安全關(guān)聯(lián)SA的建立。
[0106]8、終端A和終端B之間的通信內(nèi)容使用SRTP和IPSec保護傳輸。
[0107]由上可以看出，步驟I和2實現(xiàn)了 SIP控制信令和VoIP媒體流的外層保護；步驟3和4實現(xiàn)了 SIP控制信令的內(nèi)層保護；而步驟7和8則實現(xiàn)了 VoIP媒體流的內(nèi)層保護。
[0108]由上可知，本發(fā)明利用L2TP over IPSec隧道技術(shù)在IP分組網(wǎng)中建立了 VPN，實現(xiàn)內(nèi)部數(shù)據(jù)網(wǎng)絡(luò)的安全移動接入。終端在VPN中進行基于SIP服務(wù)器的VoIP安全通信。L2TPover IPSec VPN技術(shù)結(jié)合了 L2TP在內(nèi)部IP地址管理以及IPSec在安全方面的優(yōu)勢。如圖3所示為對終端和VPN網(wǎng)關(guān)之間傳輸?shù)臄?shù)據(jù)進行L2TP over IPSec保護的示意圖。其中L2TP用于在UDP傳輸層建立相應通道以承載PPP幀，實現(xiàn)終端與VPN網(wǎng)關(guān)之間的PPP連接；IPSec用于對整個L2TP隧道進行安全保護。
[0109]圖4所示為本實施例分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層SIP信令傳輸隧道對終端與SIP服務(wù)器之間的SIP控制信令進行TLS和IPSec保護的示意圖，其步驟具體為:
[0110]終端將SIP控制信令發(fā)送出去前，先在UDP層對SIP控制信令進行TLS加密，形成加密后的m)P包；然后將所述加密后的UDP包依次封裝ip頭和ppp頭形成ppp幀；
[0111]將所述PPP幀通過所述網(wǎng)絡(luò)層安全隧道傳輸至對應的VPN網(wǎng)關(guān)；
[0112]VPN網(wǎng)關(guān)將從所述網(wǎng)絡(luò)層安全隧道中收到的PPP幀的PPP頭去掉，并將留下的加密后的UDP包和IP頭重新封裝，通過內(nèi)部數(shù)據(jù)網(wǎng)的底層承載發(fā)送至SIP服務(wù)器；[0113]所述SIP服務(wù)器在UDP層對所述加密后的UDP包進行TLS解密，得到SIP控制信令。
[0114]圖5為分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層VoIP數(shù)據(jù)端到端隧道對所述第一終端和第二終端之間的通信內(nèi)容進行IPSec和SRTP保護傳輸?shù)氖疽鈭D，其步驟具體為:
[0115]終端將通信內(nèi)容發(fā)送出去前，先在RTP層對通信內(nèi)容進行SRTP加密，形成加密后的SRTP包；
[0116]將所述加密后的SRTP包依次封裝UDP頭、IP頭和PPP頭形成PPP幀后，通過所述網(wǎng)絡(luò)層安全隧道傳輸至對應的VPN網(wǎng)關(guān)；
[0117]所述VPN網(wǎng)關(guān)將從所述網(wǎng)絡(luò)層安全隧道中收到的PPP幀的PPP頭去掉；并將留下的加密后的SRTP包、UDP頭和IP頭重新封裝形成IP包后，通過內(nèi)部數(shù)據(jù)網(wǎng)的底層承載發(fā)送至對方終端對應的VPN網(wǎng)關(guān)；
[0118]所述對方終端對應的VPN網(wǎng)關(guān)將收到的IP包加上PPP頭重新封裝成PPP幀后，通過所述網(wǎng)絡(luò)層安全隧道傳輸至所述對方終端；
[0119]所述對方終端從所述網(wǎng)絡(luò)層安全隧道中收到所述PPP幀后，去掉所述PPP頭、IP頭、UDP頭得到所述加密后的SRTP包，并在RTP層對所述SRTP包進行SRTP解密得到所述通信內(nèi)容。
[0120]在本實施例中，所述終端發(fā)出的VoIP媒體流IP包格式如圖6所示。終端對PPP幀內(nèi)的語音幀進行SRTP保護，對承載L2TP幀的外部IP包進行安全封裝負載(ESP)傳輸模式保護。
[0121]在本實施例中，所述SIP控制信令包括所述注冊消息和呼叫接續(xù)消息。
[0122]在本實施例中，所述第一終端和第二終端之間的通信內(nèi)容為VoIP媒體流。
[0123]實施例四:
[0124]如圖7所示為本實施例記載的一種實現(xiàn)實施例三所述方法的IP分組網(wǎng)中VoIP多層加密系統(tǒng)的結(jié)構(gòu)示意圖，包括:第一終端510、第二終端520以及內(nèi)部數(shù)據(jù)網(wǎng)530 ;所述內(nèi)部數(shù)據(jù)網(wǎng)530包括通過數(shù)據(jù)內(nèi)網(wǎng)相互連接的SIP服務(wù)器531和兩個VPN網(wǎng)關(guān)532 ；
[0125]所述兩個VPN網(wǎng)關(guān)532，分別與所述第一終端510和第二終端520通過IP分組網(wǎng)絡(luò)540連接，與對應的終端之間建立有網(wǎng)絡(luò)層安全隧道550，所述網(wǎng)絡(luò)層安全隧道550用于為對應終端與內(nèi)部數(shù)據(jù)網(wǎng)530之間交互的所有數(shù)據(jù)提供IPSec保護傳輸；這里，終端與內(nèi)部數(shù)據(jù)網(wǎng)530之間交互的所有數(shù)據(jù)包括在網(wǎng)絡(luò)層安全隧道550中傳輸?shù)慕K端與SIP服務(wù)器、其他終端之間交互的數(shù)據(jù)，實現(xiàn)了 VoIP數(shù)據(jù)和SIP控制信令的外層保護；
[0126]SIP服務(wù)器531，分別與所述第一終端510和第二終端520之間建立有內(nèi)層SIP信令傳輸隧道560,所述內(nèi)層SIP信令傳輸隧道560用于為對應終端與SIP服務(wù)器531之間交互的所有SIP控制信令提供TLS保護傳輸；
[0127]所述第一終端510和第二終端520之間建立有內(nèi)層VoIP數(shù)據(jù)端到端隧道570，所述內(nèi)層VoIP數(shù)據(jù)端到端隧道570為所述第一終端510和第二終端520之間的通信內(nèi)容提供SRTP和IPSec保護傳輸。
[0128]所述IP分組網(wǎng)絡(luò)540包括移動分組網(wǎng)絡(luò)、因特網(wǎng)分組網(wǎng)絡(luò)中的一種或多種。
[0129]這里，所述終端包括手機或計算機等具有IP接入能力的設(shè)備，支持VoIP客戶端、L2TP VPN客戶端和IPSec\TLS\SRTP安全功能。VPN網(wǎng)關(guān)支持L2TP VPN服務(wù)器和IPSec功能；SIP服務(wù)器支持TLS功能。
[0130]本發(fā)明無需改造現(xiàn)有通信網(wǎng)絡(luò)，即可為VoIP通信提供高安全保護，不僅保證VoIP通信內(nèi)容的端到端加密傳輸，而且對密鑰數(shù)據(jù)和整個SIP消息進行了保護；此外，終端的語音通信行為將被保護在IP分組網(wǎng)絡(luò)中構(gòu)建的網(wǎng)絡(luò)層安全隧道中。
[0131]以上實施方式僅用于說明本發(fā)明，而并非對本發(fā)明的限制，有關(guān)【技術(shù)領(lǐng)域】的普通技術(shù)人員，在不脫離本發(fā)明的精神和范圍的情況下，還可以做出各種變化和變型，因此所有等同的技術(shù)方案也屬于本發(fā)明的范疇，本發(fā)明的專利保護范圍應由權(quán)利要求限定。
【權(quán)利要求】
1.一種IP分組網(wǎng)中VoIP多層加密方法，其特征在于，包括以下步驟: 第一終端和第二終端分別與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)對應的虛擬專網(wǎng)網(wǎng)關(guān)建立虛擬專網(wǎng)通道并形成網(wǎng)絡(luò)層安全隧道；所述網(wǎng)絡(luò)層安全隧道用于將終端與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)設(shè)備交互的所有數(shù)據(jù)在終端與對應的虛擬專網(wǎng)網(wǎng)關(guān)之間進行網(wǎng)絡(luò)層安全保護傳輸； 所述第一終端和第二終端分別與內(nèi)部數(shù)據(jù)網(wǎng)內(nèi)的SIP服務(wù)器建立安全關(guān)聯(lián)，形成內(nèi)層SIP信令傳輸隧道；所述內(nèi)層SIP信令傳輸隧道用于將對應終端與SIP服務(wù)器之間交互的所有SIP控制信令在終端與SIP服務(wù)器之間進行傳輸層安全保護傳輸； 分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層SIP信令傳輸隧道對所述第一終端和第二終端與SIP服務(wù)器之間的SIP控制信令進行傳輸層和網(wǎng)絡(luò)層安全保護； 所述第一終端發(fā)起對第二終端的VoIP通信，使用SIP控制信令進行呼叫接續(xù)流程，建立RTP層安全連接，形成內(nèi)層VoIP數(shù)據(jù)端到端隧道；所述內(nèi)層VoIP數(shù)據(jù)端到端隧道用于對所述第一終端之間的第二終端之間的通信內(nèi)容進行RTP層安全保護傳輸； 分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層VoIP數(shù)據(jù)端到端隧道對所述第一終端和第二終端之間的通信內(nèi)容進行網(wǎng)絡(luò)層和RTP層安全保護傳輸。
2.如權(quán)利要求1所述的方法，其特征在于，所述虛擬專網(wǎng)為IPSec虛擬專網(wǎng)或L2TPover IPSec虛擬專網(wǎng)。
3.如權(quán)利要求2所述的方法，其特征在于，所述虛擬專網(wǎng)為IPSec虛擬專網(wǎng)，所述分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層SIP信令傳輸隧道對所述第一終端和第二終端與SIP服務(wù)器之間的SIP控制信令進行傳輸層和網(wǎng)絡(luò)層安全保護的步驟具體為: 終端將SIP控制信令發(fā)送出去前，先在UDP層或TCP層對SIP控制信令進行傳輸層加密，形成加密后的m)P包或TCP包； 將所述加密后的UDP包或TCP包封裝成IP報文，并通過所述網(wǎng)絡(luò)層安全隧道傳輸至對應的虛擬專網(wǎng)網(wǎng)關(guān)； 虛擬專網(wǎng)網(wǎng)關(guān)將從所述網(wǎng)絡(luò)層安全隧道中收到的IP報文，通過內(nèi)部數(shù)據(jù)網(wǎng)的底層承載發(fā)送至SIP服務(wù)器； 所述SIP服務(wù)器在傳輸層對所述密UDP包或TCP包進行解密，得到SIP控制信令。
4.如權(quán)利要求2所述的方法，其特征在于，所述虛擬專網(wǎng)為IPSec虛擬專網(wǎng)，所述分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層VoIP數(shù)據(jù)端到端隧道對所述第一終端和第二終端之間的通信內(nèi)容進行網(wǎng)絡(luò)層和RTP層安全保護傳輸?shù)牟襟E具體為: 終端將通信內(nèi)容發(fā)送出去前，先在RTP層對通信內(nèi)容進行SRTP加密，形成加密后的RTP包； 將所述加密后的RTP包封裝成IP報文，并通過所述網(wǎng)絡(luò)層安全隧道傳輸至對應的虛擬專網(wǎng)網(wǎng)關(guān)； 所述虛擬專網(wǎng)網(wǎng)關(guān)將從所述網(wǎng)絡(luò)層安全隧道中收到的IP報文，通過內(nèi)部數(shù)據(jù)網(wǎng)的底層承載發(fā)送至對方終端對應的虛擬專網(wǎng)網(wǎng)關(guān)； 所述對方終端對應的虛擬專網(wǎng)網(wǎng)關(guān)將收到的IP報文，通過所述網(wǎng)絡(luò)層安全隧道傳輸至所述對方終端； 所述對方終端從所述網(wǎng)絡(luò)層安全隧道中收到所述IP報文，在RTP層進行解密得到所述通信內(nèi)容。
5.如權(quán)利要求2所述的方法,其特征在于,所述虛擬專網(wǎng)為L2TPover IPSec虛擬專網(wǎng)，所述分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層SIP信令傳輸隧道對所述第一終端和第二終端與SIP服務(wù)器之間的SIP控制信令進行傳輸層和網(wǎng)絡(luò)層安全保護的步驟具體為: 終端將SIP控制信令發(fā)送出去前，先在UDP層或TCP層對SIP控制信令進行傳輸層加密，形成加密后的m)P包或TCP包； 將所述加密后的m)P包或TCP包依次封裝IP頭和PPP頭形成ppp幀； 將所述PPP幀通過所述網(wǎng)絡(luò)層安全隧道傳輸至對應的虛擬專網(wǎng)網(wǎng)關(guān)； 虛擬專網(wǎng)網(wǎng)關(guān)將從所述網(wǎng)絡(luò)層安全隧道中收到的PPP幀的PPP頭去掉，并將留下的加密后的UDP包或TCP包和IP頭重新封裝，通過內(nèi)部數(shù)據(jù)網(wǎng)的底層承載發(fā)送至SIP服務(wù)器；所述SIP服務(wù)器在傳輸層對所述密UDP包或TCP層包進行傳輸層解密，得到SIP控制信令。
6.如權(quán)利要求2所述的方法,其特征在于,所述虛擬專網(wǎng)為L2TPover IPSec虛擬專網(wǎng)，所述分別通過所述網(wǎng)絡(luò)層安全隧道和內(nèi)層VoIP數(shù)據(jù)端到端隧道對所述第一終端和第二終端之間的通信內(nèi)容進行網(wǎng)絡(luò)層和RTP層安全保護傳輸?shù)牟襟E具體為: 終端將通信內(nèi)容發(fā)送出去前，先在RTP層對通信內(nèi)容進行RTP層加密，形成加密后的RTP 包； 將所述加密后的RTP包依次封裝UDP頭、IP頭和PPP頭形成PPP幀后，通過所述網(wǎng)絡(luò)層安全隧道傳輸至對應的虛擬專網(wǎng)網(wǎng)關(guān)； 所述虛擬專網(wǎng) 網(wǎng)關(guān)將從所述網(wǎng)絡(luò)層安全隧道中收到的PPP幀的PPP頭去掉；并將留下的加密后的RTP包、UDP頭和IP頭重新封裝形成IP包后，通過內(nèi)部數(shù)據(jù)網(wǎng)的底層承載發(fā)送至對方終端對應的虛擬專網(wǎng)網(wǎng)關(guān)； 所述對方終端對應的虛擬專網(wǎng)網(wǎng)關(guān)將收到的IP包加上PPP頭重新封裝成PPP幀后，通過所述網(wǎng)絡(luò)層安全隧道傳輸至所述對方終端； 所述對方終端從所述網(wǎng)絡(luò)層安全隧道中收到所述PPP幀后，去掉所述PPP頭、IP頭、UDP頭得到所述加密后的RTP包，并在RTP層進行解密得到所述通信內(nèi)容。
7.如權(quán)利要求1所述的方法，其特征在于，所述網(wǎng)絡(luò)層安全保護為IP層安全協(xié)議，所述IP層安全協(xié)議為IPSec協(xié)議。
8.如權(quán)利要求1所述的方法，其特征在于，所述傳輸層安全保護為傳輸層安全協(xié)議，所述傳輸層安全協(xié)議為TLS協(xié)議。
9.如權(quán)利要求1所述的方法，其特征在于，所述RTP層安全保護為RTP層安全協(xié)議，所述RTP層安全協(xié)議為SRTP協(xié)議。
10.一種IP分組網(wǎng)中VoIP多層加密系統(tǒng)，其特征在于，包括:第一終端、第二終端以及內(nèi)部數(shù)據(jù)網(wǎng)；所述內(nèi)部數(shù)據(jù)網(wǎng)包括通過數(shù)據(jù)內(nèi)網(wǎng)相互連接的SIP服務(wù)器和兩個虛擬專網(wǎng)網(wǎng)關(guān); 所述兩個虛擬專網(wǎng)網(wǎng)關(guān)，分別與所述第一終端和第二終端通過IP分組網(wǎng)絡(luò)連接，與對應的終端之間建立有網(wǎng)絡(luò)層安全隧道，所述網(wǎng)絡(luò)層安全隧道用于為對應終端與內(nèi)部數(shù)據(jù)網(wǎng)之間交互的所有數(shù)據(jù)提供網(wǎng)絡(luò)層安全保護傳輸； SIP服務(wù)器，分別與所述第一終端和第二終端之間建立有內(nèi)層SIP信令傳輸隧道，所述內(nèi)層SIP信令傳輸隧道用于為對應終端與SIP服務(wù)器之間交互的所有SIP控制信令提供傳輸層保護傳輸； 所述第一終端和第二終端之間建立有內(nèi)層VoIP數(shù)據(jù)端到端隧道，所述內(nèi)層VoIP數(shù)據(jù)端到端隧道為所述第一終端和第二終 端之間的通信內(nèi)容提供RTP層保護傳輸。
【文檔編號】H04L12/46GK103888334SQ201210558804
【公開日】2014年6月25日 申請日期:2012年12月20日 優(yōu)先權(quán)日:2012年12月20日
【發(fā)明者】謝進柳, 侯長江, 王巨盆 申請人:興唐通信科技有限公司