基于PKI的SIP认证技术研究

第２Ｏ卷第４期　２００７年ｌ２月　眚名取甚技术净　学报　

Ｊｏｕｒｎａｌ　ｏｆ　Ｑｉｎｇｄａｏ　Ｔｅｃｈｎｉｃａｌ　Ｃｏｌｌｅｇｅ　ＶｏＩ．２０　ＮＯ．４　Ｄｅｃ．２００７　

基于ＰＫＩ的ＳＩＰ认证技术研究　

魏冬东　，王　毅　

（１．中国海洋大学信息学院，山东青岛２６６００５；２．青岛广播电视大学，山东青岛２６６０１２）　

摘要：首先对Ｋｅｒｂｅｒｏｓ协议认证原理进行分析，然后基于公钥体制的加密技术和Ｋｅｒｂｅｒｏｓ协议，提出了　

一个安全性更高的身份认证协议，为ＳＩＰ多媒体通信的安全设计了一种可行的解决方案。　

关键词：ＳＩＰ协议；ＰＫＩ；Ｋｅｒｂｅｒｏｓ协议　

中图分类号：ＴＮ９１５．４文献标识码：Ａ　文章编号：１６７２—２６９８（２００７）０４—００７３—０５　

一、引言　

会话初始化协议（ｓｅｓｓｉｏｎ　ｉｎｉｔｉａｔｉｏｎ　ｐｒｏｔｏｃｏｌ，简　

称ＳＩＰ）近年来在通信和网络研究领域受到极大关　

注，是下一代网络（ＮＧＮ）中的核心协议之一。ＳＩＰ　

协议凭借其简单、易于扩展、便于实现等诸多优点越　

来越得到业界的青睐，因此ＳＩＰ协议的研究具有重要　

的意义。　

ＳＩＰ执行过程中的安全性是一个至关重要的问　

题，也是至今尚未完全解决的一个问题，包括保证信　

息的机密性和完整性，防止重放攻击和信息欺骗，提　

供会话中对参与者的鉴别等。ＳＩＰ协议是一个轻量　

级的协议，在设计上参照了ＨＴＴＰ、ＳＭＴＰ等互联网　

上成熟的协议，具有开放、简易、可扩充等优点，其自　身并没有制定相应安全策略。下面主要从认证与加　

密两方面探讨基于ＳＩＰ的多媒体通信安全问题的解　

决。　

二、ＳＩＰ协议介绍　

会话初始协议ＳＩＰ（Ｓｅｓｓｉｏｎ　Ｉｎｉｔｉａｔｉｏｎ　Ｐｒｏｔｏｃｏ１）　是由ＩＥＴＦ于ｌ９９９年提出的一个标准，用来解决ＩＰ　

网上的信令控制建立多媒体会话的信令协议，由于在　设计上借鉴了ＨＴＴＰ和ＳＭＴＰ协议的成功经验，因　

此ＳＩＰ协议具有良好的可扩展性、互操作性及可重用　

性。从１９９９年ＭＭＵＳＩＣ工作组提交第一版ＳＩＰ标　

准起，ＩＥＴＦ已经制订了大量的有关ＳＩＰ各种扩展和　

应用的协议。目前ＳＩＰ协议不仅仅被应用于网络电　

话、软交换中，３ＧＰＰ（３ｒｄ　Ｇｅｎｅｒａｔｉｏｎ　Ｐａｒｔｎｅｒｓｈｉｐ　

Ｐｒｏｊｅｃｔ）及３ＧＰＰ２（３ｒｄ　Ｇｅｎｅｒａｔｉｏｎ　Ｐａｒｔｎｅｒｓｈｉｐ　Ｐｒｏ—　ｊｅｃｔ　２）等组织也已经确定ＳＩＰ为未来３Ｇ网络中多媒　体子系统的核心呼叫控制协议。　

在ＩＰ网络分层模型上，ＳＩＰ是工作在应用层上　

的一个信令协议，它可以用来创建、修改、以及终结一　

个或者多个参与者的会话。所谓的会话（ｓｅｓｓｉｏｎ），就　

是指用户之间的数据交换。在基于ＳＩＰ协议的应用　中，会话可以是各种不同的数据，如音频、视频和文本　

数据，还可以是诸如游戏应用的数据等等。　ＳＩＰ的设计参考了在Ｉｎｔｅｒｎｅｔ上流行的ＨＴＴＰ　

（ＨｙｐｅｒＴｅｘｔ　Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｐｒｏｔｏｃｏ１）、ＳＭＴＰ（Ｓｉｍｐｌｅ　

Ｍａｉｌ　Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｐｒｏｔｏｃｏ１）等协议，和这些协议一　

样，ＳＩＰ协议采用基于文本格式的客户机／服务器方　

式，以文本的形式表示消息的语法、语义和编码，由客　

户机发起请求，服务器进行响应，ＳＩＰ沿用了一些　

ＨＴＴＰ的语法规则和定义，其中包括响应编码结构、　

一些消息头和它的整个动作机制等。　

ＳＩＰ协议具有很好的扩充性，同时也具有很好的　

包容性。ＳＩＰ本身没有对媒体传输机制加以定义，但　

可以方便地结合不同的标准与协议来构建Ｉｎｔｅｒｎｅｔ　

多媒体通信系统，包括用于预留网络带宽资源的ＲＳ—　

ＶＰ、用于多媒体数据传输并提供ＱｏＳ反馈的ＲＴＰ／　

ＲＴＣＰ、用于多媒体数据分发控制的ＲＴＳＰ、用于描述　

会话属性的ＳＤＰ等，而且将来随着该体系结构的不　

断发展和完善，还会有其它新的协议标准加入该体系　

中。　

ＳＩＰ协议位于ＩＰ网络的应用层，它可运行ＴＣＰ、　

ＵＤＰ和ＳＣＴＰ等各种传输层之上。ＳＩＰ协议采用客　户机／服务器方式，客户机初始呼叫而服务器应答呼　

叫。　

（一）ＳＩＰ的主要功能　

收稿日期：２００７—０７—１６　

作者简介：魏冬东（１９７３一），男，四川广安人，工程师。　

７３　维普资讯 http://www.cqvip.com ２００７年第４期　音名取甚技术净　学报　

ＳＩＰ是主要用于建立、修改及终止多方多媒体会　

话的应用层信令协议。ＳＩＰ提供了在会话建立和终　

结过程中用户定位、用户可用性、用户能力、会话建立　

及管理等五个方面的功能＿２］。ＳＩＰ中有两种基本实　

体：用户代理（ＵＡ）和ＳＩＰ服务器。按照逻辑功能区　

分，ＳＩＰ系统有用户代理（Ｕｓｅｒ　Ａｇｅｎｔ）、代理服务器　

（Ｐｒｏｘｙ　Ｓｅｒｖｅｒ）、重定向服务器（Ｒｅｄｉｒｅｃｔ　Ｓｅｒｖｅｒ）和　

注册服务器（Ｒｅｇｉｓｔｒａｒ）四个功能实体口］。　

１．用户代理。用户代理分为两个部分：客户端　

（ＵｓｅｒＡｇｅｎｔ　Ｃｌｉｅｎｔ），负责发起请求；服务器端　

（ＵｓｅｒＡｇｅｎｔ　Ｓｅｒｖｅｒ），负责接收请求并做出响应。二　

者构成用户代理存在用户终端中。　

２．代理服务器。ＳＩＰ代理服务器接收请求，决定　

将这些请求传送到何处，并且将它们传送到下一服务　

器。由于呼叫者未必知道被呼叫方的ＩＰ地址或主机　

名，ＳＩＰ服务器的主要功能是提供名字解析和用户定　

位。可以获得的是Ｅ—ｍａｉｌ形式的地址或与被呼叫方　

关联的电话号码。使用该信息，呼叫者的用户代理能　

够确定特定服务器来解析地址信息。代理服务器还　

包含身份认证、由指定地址寻找目的端点的确实位置　以及通话管理等等，代理服务器可以说是ＳＩＰ通信的　

枢纽。ＳＩＰ代理服务器还可以扩充其功能模块，例如　

更复杂的电话转接或者账单纪录等，应用广泛。　

ＳＩＰ代理服务器分为有状态代理服务器和无状　

态代理服务器。有状态和无状态代理服务器的区别　

是：有状态代理服务器记住它接收的入请求，以及回　

送的响应和它转送的出请求；无状态代理服务器一旦　

转送请求后就忘记所有的信息。这允许有状态代理　

服务器生成请求以并行地尝试多个可能的用户位置　

并且送回最好的响应。无状态代理服务器可能是最　

快的，并且是ＳＩＰ结构的骨干。有状态代理服务器可　

能是离用户代理最近的本地设备，它控制用户域并且　是应用服务的主要平台。　

３．重定向服务器。接收用户代理的ＳＩＰ请求，把　请求中的原地址映射成零个或多个新地址，返回给用　

户代理，使得呼叫者可以直接联系在下一眼务器上被　

呼叫方的地址。但不是将这些请求传递给下一服务　

器而是向呼叫者发送响应以指示被呼叫用户的地址。　

它不能发起ＳＩＰ请求，也不能接收呼叫请求。　

４．注册服务器。接收用户代理的注册请求，完成　

用户地址的注册。上述逻辑实体可能共存于一个物　

理设备中，如一般将注册服务器和代理服务器捆绑在　

一起。　

图１是ＳＩＰ的一个基本的组网模型。　

７４　图１　ＳＩＰ的网络结构　

（二）典型的ＳＩＰ呼叫建立过程　

１．ＳＩＰ用户代理Ａ向ＳＩＰ代理服务器Ａ发送呼　

叫建立请求（ＩＮＶＩＴＥ）。　

２．ＳＩＰ代理服务器Ａ向定位服务器查询被叫位　

置信息。　

３．定位服务器返回被叫位置信息（ＳＩＰ代理服务　

器Ｂ地址）。　

４．ＳＩＰ代理服务器Ａ向ＳＩＰ代理服务器Ｂ发送　

呼叫建立请求。　

５．ＳＩＰ代理服务器Ｂ向被叫用户代理Ｂ发送呼　叫建立请求。　

６．被叫用户代理Ｂ向ＳＩＰ代理服务器Ｂ回复应　答消息。　

７．ＳＩＰ代理服务器Ｂ向ＳＩＰ代理服务器Ａ回复　

应答消息。　

８．ＳＩＰ代理服务器Ａ向ＳＩＰ用户代理Ａ指示被　

叫是否同意建立呼叫，如果同意，呼叫建立成功。　

（三）ＳＩＰ组件之间进行协调，在同一域和不同域　

中的ＵＡ之间建立ＳＩＰ会话过程　

１．在同一域中建立ＳＩＰ会话。图２说明了在同　

一域的两个用户之间建立ＳＩＰ会话的过程。用户　

Ａｌｉｃｅ和Ｂｏｂ都在域Ａ中的ＳＩＰ注册服务器上注册　

了信息和ＩＰ地址。用户Ａｌｉｃｅ想和Ｂｏｂ通话，发起　

呼叫，告诉ＳＩＰ代理服务器要联系用户Ｂｏｂ。然后，　

ＳＩＰ代理服务器向ＳＩＰ注册服务器发出请求，要求提　

供用户Ｂｏｂ的ＩＰ地址，并收到用户Ｂｏｂ的ＩＰ地址。　

ＳＩＰ代理服务器转发用户Ａｌｉｃｅ与用户Ｂｏｂ进行通　

信的邀请信息（使用ＳＤＰ），包括用户Ａｌｉｃｅ要使用的　

协议参数。用户Ｂｏｂ通知ＳＩＰ代理服务器可以接受　

用户Ａｌｉｃｅ的邀请，且已做好接收消息的准备。ＳＩＰ　

代理服务器将此消息传达给用户Ａｌｉｃｅ，从而建立　

ＳＩＰ会话。然后，用户创建一个点到点ＲＴＰ连接，实　

现用户间的交互通信。　

２．在不同的域中建立ＳＩＰ会话。图３说明了不　维普资讯 http://www.cqvip.com 眚鸟职盛技术学　学报　２００７年第４期　

图２　同一个域内用户会话建立过程　在同一个域内的用户建立会话的过程。用户Ａｌｉｃｅ　

邀请用户Ｂｏｂ进行ＳＩＰ会话时，域Ａｌｉｃｅ中的ＳＩＰ代　

理服务器辨别出用户Ｂｏｂ不在同一域中。然后，ＳＩＰ　

代理服务器在ＳＩＰ重定向服务器上查询用户Ｂｏｂ的　

ＩＰ地址。ＳＩＰ重定向服务器既可在域Ａｌｉｃｅ中，也可　

在域Ｂｏｂ中，也可既在域Ａｌｉｃｅ中又在域Ｂｏｂ中。　

ＳＩＰ重定向服务器将用户Ｂｏｂ的联系信息反馈给　

ＳＩＰ代理服务器，该服务器再将ＳＩＰ会话邀请信息转　

发给域Ｂｏｂ中的ＳＩＰ代理服务器。域Ｂｏｂ中的ＳＩＰ　

代理服务器将用户Ａｌｉｃｅ的邀请信息发送给用户　

Ｂｏｂ。用户Ｂｏｂ再沿邀请信息经由的同一路径转发　

接受邀请的信息。　

Ｊ业　－．　ｌＩ　ｎ，ａｔｅ　舞／

鼹琶　■～…一曲　

鼬　Ｉ＿Ⅲ…ｌ　

、　懈务器重定向　代理脯整器…一一　．．　３Ｉｎｖｉｔｅ　６．Ｒｉｎｇｉｎｇ　

图３不同域之间的会话建立过程　三、Ｋｅｒｂｅｒｏｓ体制　

Ｋｅｒｂｅｒｏｓ体制是典型基于共享秘钥的认证体　

制，是为ＴＣＰ／ＩＰ网络设计的可信的第三方鉴别协　

议。Ｋｅｒｂｅｒｏｓ可提供安全的网络鉴别，允许个人访　

问网络中不同的机器。Ｋｅｒｂｅｒｏｓ基于对称密钥学，　

它与网络上的每个实体分别共享一个不同的私密钥，　

是否知道该密钥便是身份证明。　ｋｅｒｂｅｒｏｓ协议包括两种服务器　］：一个认证服务　

器ＡＳ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｓｅｒｖｅｒ），可以在用户登录时确　

认用户身份。一个或多个门票分配服务器ＴＧＳ　

（Ｔｉｃｋｅｔ　Ｇｒａｎｔｉｎｇ　Ｓｅｒｖｅｒ），为用户之间的通信分配票　

据，使应用服务器相信ＴＧＳ持有者的身份真实性。　

其认证协议基本结构如图４所示：　

四、改进的Ｋｅｒｂｅｒｏｓ认证协议　图４　ｋｅｒｂｅｒｏｓ协议原理图　

采用ＰＫＩ技术对Ｋｅｒｂｅｒｏｓ协议进行改进，在一　

定程度上克服了传统Ｋｅｒｂｅｒｏｓ认证协议中密钥管理　

困难、容易受到口令攻击和对时间同步性要求高的缺　点，提高了Ｋｅｒｂｅｒｏｓ认证协议的安全性，同时减少公　

钥运算次数，提高了身份认证速度，使其更符合工业　

控制网络的高实时性要求，可以更好地解决工业控制　网络的身份认证问题　］。其认证协议基本结构如图　

５所示：　

首先对符号说明如下：　ＰｒｖＫ　：Ｘ的私有密钥；ＰｕｂＫ　：Ｘ的公开密钥；　

Ｋ　，　：Ｘ，Ｙ的共享密钥；｛１１１｝　：用密钥Ｋ加密　

｛Ｉｎ｝。　

图５　改进后ｋｅｒｂｅｒｏｓ协议原理图　改进协议模型与Ｋｅｒｂｅｒｏｓ协议模型类似，内容