版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請進(jìn)行舉報或認(rèn)領(lǐng)
文檔簡介
基于改進(jìn)sip協(xié)議的網(wǎng)絡(luò)安全通信模型
1sip電話電話通信安全性分析隨著信息產(chǎn)業(yè)的快速發(fā)展,多媒體通信業(yè)務(wù)將成為數(shù)據(jù)、視頻和語音業(yè)務(wù)的進(jìn)一步整合?,F(xiàn)有的通信網(wǎng)與數(shù)據(jù)網(wǎng)正在加速融合成為下一代網(wǎng)絡(luò)(NGN,nextgenerationnetwork)。其中以IETF(Internetengineeringtaskforce)為核心制定的會話初始化協(xié)議(SIP,sessioninitiationprotocol)是融合中的一個主要研究與應(yīng)用的熱點(diǎn)。SIP的主要功能是解決IP網(wǎng)中的信令控制。在IP網(wǎng)絡(luò)分層模型上,SIP用來進(jìn)行會話的管理、發(fā)起和終止會話、修改會話參數(shù)、調(diào)用服務(wù)、引入其他用戶、設(shè)置轉(zhuǎn)移呼叫、呼叫保持及建立、修改和終止有多方參與的多媒體會話進(jìn)程,從而構(gòu)成下一代的增值業(yè)務(wù)平臺。借鑒于廣泛存在的Internet協(xié)議如超文本傳輸協(xié)議(HTTP,hypertexttransferprotocol)和簡單郵件傳輸協(xié)議(SMTP,simplemailtransferprotocol),SIP采用基于文本形式的IP電話信令協(xié)議,因而其信令信息易被攻擊者模仿、纂改,并加以非法利用。信令消息中包含許多非常重要的參數(shù)如用戶驗(yàn)證密碼等,如果被非法用戶截獲并加以利用,將導(dǎo)致業(yè)務(wù)的被盜用或被干擾。此外,SIP用戶廣泛地分布于公用IP網(wǎng)上,IP地址不可知,安全防范范圍大,這使得ACL(accesscontrollist)等安全措施較難部署,并且也不利于攻擊發(fā)生之后的追查。與H.323相比,SIP信令協(xié)議的安全風(fēng)險較高,必須采取有效的措施來提高SIP信令協(xié)議的安全性,以保證業(yè)務(wù)正常運(yùn)行。目前,針對增強(qiáng)SIP通信安全性國內(nèi)外的研究比較多,文獻(xiàn)中作者建議應(yīng)用層采用End-To-End,網(wǎng)絡(luò)層與傳輸層采用Hop-By-Hop的安全機(jī)制來提高SIP通信的安全性;文獻(xiàn)中作者從用戶終端與代理服務(wù)器/注冊服務(wù)器、中間服務(wù)器與中間服務(wù)器、終端系統(tǒng)與終端系統(tǒng)3個階段介紹增強(qiáng)SIP的安全性的方法;文獻(xiàn)中作者從IP層的IPSec保護(hù),HTTPDigest的身份認(rèn)證,散列函數(shù)對消息進(jìn)行完整性檢查,采用S/MIME的安全通信幾個角度介紹增強(qiáng)安全性的方法。但以上文獻(xiàn)都只是從理論角度提出了一些相關(guān)的安全策略,既沒有詳細(xì)的理論分析也沒有具體的實(shí)驗(yàn)數(shù)據(jù)作為佐證,因而無法判斷其有效性。文獻(xiàn)中royalinstituteoftechnology(KTH)的JohanBilien等提出了使用SRTP保護(hù)媒體流,使用S/MIME和MIKEY保護(hù)端到端的認(rèn)證和密鑰交換,使用TLS逐跳加密SIP消息。該方法雖然能夠帶來一定的安全性,但由于這些安全措施并非完全針對SIP協(xié)議所制定,因而存在一定的局限性,如密鑰交換中傳輸介質(zhì)的選擇。隨著PKI(publickeyinfrastructure)技術(shù)的日益成熟,以此為基礎(chǔ)實(shí)現(xiàn)的應(yīng)用也越來越廣泛。當(dāng)今世界正逐步走向數(shù)字化,越來越多的文本、圖像、音頻和視頻等都以二進(jìn)制序列的形式被存儲和傳播。為了確定數(shù)字文檔產(chǎn)生或被更新的時間人們提出了數(shù)字時間認(rèn)證技術(shù),并在信息安全方面得到很好的應(yīng)用。本文首先介紹SIP網(wǎng)絡(luò)模型,然后分析SIP網(wǎng)絡(luò)目前遭受的安全威脅,最后結(jié)合PKI技術(shù)、數(shù)字時間認(rèn)證技術(shù)及SIP網(wǎng)絡(luò)的特點(diǎn),提出了SIP網(wǎng)絡(luò)安全通信模型,并且針對該模型進(jìn)行時間延遲測試。實(shí)驗(yàn)結(jié)果表明該模型在有效的提高了SIP網(wǎng)絡(luò)安全性的同時所帶來毫秒級的時間延遲是可接受的。2安全通信模型2.1非法invite請求的攻擊及防范由于SIP是基于文本的信令協(xié)議,因而容易被篡改、欺騙、竊聽和偽裝。典型的攻擊方法如下:1)注冊劫持:SIP注冊機(jī)制用來解決域內(nèi)用戶在何處可以被訪問的問題。SIP支持第三方注冊機(jī)制,致使From域和To域?qū)?yīng)的用戶可以不同,攻擊者通過修改From域的內(nèi)容成為授權(quán)用戶,進(jìn)行惡意注冊。但實(shí)現(xiàn)此類攻擊必須滿足攻擊者和合法用戶在同一個域內(nèi)。2)INVITE包攻擊:在SIP協(xié)議中,服務(wù)器對來自客戶端的訪問具有訪問控制權(quán)限,只有域內(nèi)的合法用戶才能向服務(wù)器提交INVITE請求。將未在任何域內(nèi)注冊的用戶呼叫某一域內(nèi)的合法用戶的行為稱為非法INVITE請求。如果被叫者客戶端支持客戶端之間的直接會話建立機(jī)制,并且不存在對主叫方的身份驗(yàn)證機(jī)制,同一個域內(nèi)的攻擊者可以繞過服務(wù)器,直接向被叫者提交INVITE請求。3)re-INVITE攻擊:re-INVITE請求就是在會話雙方建立起正常會話之后,其中一個客戶端向另一個客戶端重新發(fā)起INVITE請求。這個re-INVITE請求一般會改變初始INVITE請求中SDP消息的會話參數(shù)。如果攻擊者偽裝成會話的一方,向另一方發(fā)起re_INVITE請求,在這個請求中修改SDP消息體的接收主機(jī)IP和端口號,媒體流就會重定向到攻擊者的設(shè)備上。4)會話終止:會話終止攻擊也稱為Bye包攻擊。由于SIP數(shù)據(jù)包報文采用ASCII傳輸,惡意攻擊者可以通過截獲通信雙方的SIP數(shù)據(jù)包,提取其中的通信參數(shù),如To域,From域,Contact域等,偽造成通信的中一方向另一方發(fā)BYE請求,從而切斷會話。5)拒絕服務(wù):通常SIPProxy需要接受SIP呼叫請求,因此直接面對開放的IP網(wǎng)絡(luò)的眾多終端設(shè)備,較容易受到DoS攻擊。攻擊者通過偽造一個虛假的IP地址和相應(yīng)的Via字段假裝是某個主機(jī)發(fā)來的請求,然后大量發(fā)送給SIP服務(wù)器,使服務(wù)器遭受DoS攻擊。通過對以上典型攻擊方法的分析可知,產(chǎn)生上述攻擊的最根本原因就是認(rèn)證的單向性,消息發(fā)送者身份的無法確認(rèn)性,及消息的名文性。2.2業(yè)務(wù)通信的安全性信息的安全性就是要保證信息的完整性、機(jī)密性、可用性、抗否認(rèn)性與新鮮性。完整性與機(jī)密性可利用摘要認(rèn)證和加密的方式予以保證,可用性可通過授權(quán)訪問予以實(shí)現(xiàn),抗否認(rèn)性可采用數(shù)字簽名的方式予以證明,新鮮性可采用數(shù)字時戳的方法予以體現(xiàn)。SIP的通信從理論上可以分為3個過程:建立-通話-結(jié)束。實(shí)質(zhì)上就是信令的安全性與媒體流的安全性。因而本文從信令的安全性與媒體流的安全性兩個角度考慮。信令通信與語音通信過程中都需要保證信息的完整性、機(jī)密性、可用性、抗否認(rèn)性與新鮮性。基于以上需求,結(jié)合相應(yīng)的安全方法,提出了基于SIP網(wǎng)絡(luò)的安全通信模型,模型如圖1所示。借鑒公鑰基礎(chǔ)設(shè)施PKI與數(shù)字時戳,模型中引入證書權(quán)威機(jī)構(gòu)CA(保證自簽名證書的有效性)與時戳權(quán)威TSA。CA給下屬的每個用戶產(chǎn)生一對公私密鑰對,公私密鑰對通過安全信道傳遞給用戶(密鑰的發(fā)放可借助PKI,故在此不再贅述)。時戳權(quán)威(TSA,time-stampauthority)的任務(wù)是專門從可信時間源(如原子鐘)獲取精確的時間,向PKI內(nèi)的各個實(shí)體提供時戳服務(wù)。利用CA分配的公私密鑰對對信令消息中的必要部分進(jìn)行加密,保證信令消息的完整性和機(jī)密性;利用數(shù)字證書保證信令消息的可用性與抗否認(rèn)性;利用TSA提供信令消息的新鮮性證明。從而有效的保證了呼叫建立階段信令消息的完整性、機(jī)密性、可用性、抗否認(rèn)性和新鮮性。信令的建立可以分為注冊和呼叫建立兩部分。借鑒原有的通信流程和上述安全手段重新制定相應(yīng)的協(xié)議保證其消息的安全性。2.2.1sip協(xié)議的安全機(jī)制目前,SIP在注冊過程中采用的認(rèn)證機(jī)制為HTTP摘要認(rèn)證。摘要認(rèn)證機(jī)制基于挑戰(zhàn)/應(yīng)答方式,應(yīng)答中包含一個有效的校驗(yàn)和(checksum),即摘要。假定客戶端和服務(wù)器都知道一個有權(quán)使用資源的用戶名和密碼。當(dāng)客戶端第一次申請資源時,若未提供合適的認(rèn)證,服務(wù)器將在響應(yīng)中指明一個特有值nonce??蛻舳耸盏絥once后,產(chǎn)生一個新的請求,請求頭中包括:digestusername,realm,nonce,uri和response消息,其中,response是對服務(wù)器發(fā)送nonce的響應(yīng),是由用戶秘密信息和nonce雜湊產(chǎn)生的一個32位十六進(jìn)制數(shù)編碼的摘錄值。當(dāng)服務(wù)器再次收到請求時,用同樣的雜湊函數(shù)計(jì)算出摘錄值response,與請求中的response相比,若完全相同,就表明身份已經(jīng)證實(shí)有效。其流程如圖2(a)所示。由于在nonce中加入時戳和uri,使不同時間片中的nonce不同,中間竊聽者即使原封不動地把response照抄下來,也會因時間已過期而不能得逞。即使竊聽者能夠準(zhǔn)確地改回系統(tǒng)時間,也只能訪問由Etag標(biāo)識的某一文檔,而不能訪問其他文檔。采用這種機(jī)制,使得客戶機(jī)與服務(wù)器的共享密碼不以明文形式在網(wǎng)絡(luò)中發(fā)送,提供了一定程度的認(rèn)證保密性。但該安全機(jī)制仍存在著一定的機(jī)制缺陷:1)只能提供服務(wù)器對客戶機(jī)的單向認(rèn)證,容易遭受服務(wù)器偽裝攻擊。2)摘要算法單一固定,目前主要使用MD5。3)不具備密鑰協(xié)商功能,無法保障認(rèn)證結(jié)束后的安全通信。針對SIP中認(rèn)證方案存在的不足,結(jié)合SIP認(rèn)證過程中存在的安全問題,及SIP協(xié)議流程提出新的注冊子協(xié)議。該協(xié)議應(yīng)提供雙向認(rèn)證和時間同步功能。新的注冊子協(xié)議:客戶端與服務(wù)器之間的相互認(rèn)證過程;如相互認(rèn)證通過,則客戶端應(yīng)根據(jù)服務(wù)器端時鐘進(jìn)行調(diào)整,實(shí)現(xiàn)時間同步。設(shè)TC為客戶端向TSA獲取可信時間產(chǎn)生的隨機(jī)數(shù)與本地時間的組合,TS表示TSA返回給客戶端的TC與可信時間的組合。SSK、SPK分別表示服務(wù)器的私鑰與公鑰。CSK、CPK分別表示客戶端的私鑰與公鑰,Sign為對消息進(jìn)行Hash之后的結(jié)果的簽名,流程如圖2(b)所示。協(xié)議如下:1)客戶端首先產(chǎn)生注冊信令,并將整個信令進(jìn)行Hash,生成Hash結(jié)果H,然后用CSK對H和用戶名進(jìn)行簽名形成Sign,最后構(gòu)造注冊數(shù)據(jù)包并發(fā)送給服務(wù)器。數(shù)據(jù)包中包括Register信令、TC和Sign。2)服務(wù)器首先對整個信令消息進(jìn)行Hash得到H,然后用CPK和H對Sign進(jìn)行驗(yàn)證。如果驗(yàn)證通過則獲取當(dāng)前Internet標(biāo)準(zhǔn)時鐘,并將當(dāng)前時間附著在TC之后生成TS,重新生成整個信令的Hash值H,并用SSK進(jìn)行簽名形成Sign。最后構(gòu)造回應(yīng)數(shù)據(jù)包200OK并回應(yīng)給客戶端,數(shù)據(jù)包中包括200OK信令、Sign和TS。3)客戶端首先對整個信令消息進(jìn)行Hash得到H,然后用SPK和H對Sign進(jìn)行驗(yàn)證。如果驗(yàn)證通過則根據(jù)TS校對時鐘,注冊成功。由于在數(shù)據(jù)包中增加發(fā)送方的數(shù)字簽名,這樣冒充任何一方的攻擊都難以實(shí)現(xiàn);通過Hash算法保證消息的完整性;通過時間同步可校對客戶端時鐘,并可防止消息重放攻擊。時間同步子協(xié)議:確??蛻舳伺c標(biāo)準(zhǔn)時鐘同步。在注冊過程中,如果客戶端與服務(wù)器端時鐘差異較大就可能產(chǎn)生消息重放攻擊與偽裝攻擊。因服務(wù)器的時鐘為可信時鐘,所以客戶端應(yīng)與服務(wù)器的時鐘同步。在此客戶端需要可信時間獲取協(xié)議,協(xié)議流程如下:1)客戶端產(chǎn)生一個隨機(jī)數(shù)N,將這個隨機(jī)數(shù)用SPK加密,連同對當(dāng)前時間的請求形成TC發(fā)給TSA。2)TSA收到客戶端的時間獲取請求后,用SSK解密。TSA將TC、當(dāng)前時間連在一起,并用SSK加密生成TS,并發(fā)送給客戶端。3)客戶端收到TSA的響應(yīng)以后,用SPK解密TS,并比較TSA發(fā)送的隨機(jī)數(shù)與客戶端發(fā)送的是否相同,如果驗(yàn)證通過,則認(rèn)為收到的時間的確是TSA發(fā)來的,用該時間校對自己的時鐘??蛻舳嗽跁r間請求中加入隨機(jī)數(shù)可防止重放攻擊,隨機(jī)數(shù)使用TSA的公鑰加密,就保證只有TSA可以知道隨機(jī)數(shù)的值。TSA對TS用私鑰加密,保證了第三方不能冒充TSA來響應(yīng)客戶端的時間請求。該協(xié)議由于采用公私鑰加解密運(yùn)算和網(wǎng)絡(luò)遲延,會有一定誤差,但誤差應(yīng)在秒級別上。在呼叫建立階段,為保證消息的抗否性,客戶端希望TSA給他發(fā)送的消息加蓋數(shù)字時戳,由于TSA被客戶端無條件信任,因而當(dāng)此條消息被加蓋數(shù)字時戳后,就可以確認(rèn)消息發(fā)出的時間。通過增加時間同步子協(xié)議可以防止消息重放攻擊和偽裝攻擊,通過加蓋數(shù)字時戳可以防止發(fā)送者對在某時所發(fā)消息的抵賴性。在注冊過程中還有一個問題需要解決,即漫游注冊。漫游注冊子協(xié)議:保證合法注冊的用戶異地通信問題。協(xié)議流程如下:1)客戶端首先產(chǎn)生注冊信令,并將整個信令進(jìn)行Hash,生成Hash結(jié)果H,然后用CSK對H和用戶名進(jìn)行簽名形成Sign,最后構(gòu)造注冊數(shù)據(jù)包,發(fā)送給當(dāng)?shù)卮矸?wù)器LP(localproxy)。數(shù)據(jù)包中包括Register信令、TC和Sign。2)LP首先對信令消息進(jìn)行解析,如果發(fā)現(xiàn)該客戶端非本代理服務(wù)器注冊用戶,則向重定向服務(wù)器發(fā)送請求,解析該客戶端的代理服務(wù)器RP(remoteproxy)的IP地址,并將呼叫請求轉(zhuǎn)發(fā)給RP。3)RP對客戶端進(jìn)行認(rèn)證,如果驗(yàn)證通過則回應(yīng)LP200OK信令,并且信令中包含客戶端的CPK,如果驗(yàn)證不通過則返回403錯誤。4)LP接收RP返回的信令,如果是200OK,則構(gòu)造200OK信令,并對整個信令消息及用CPk加密的SPK進(jìn)行Hash得到H,然后用SSK對H進(jìn)行簽名形成Sign。獲取當(dāng)前Internet標(biāo)準(zhǔn)時鐘,并將當(dāng)前時間附著在TC之后生成TS。最后構(gòu)造回應(yīng)數(shù)據(jù)包200OK,數(shù)據(jù)包中包括200OK信令、Sign、TS和(SPK)CPk。否則返回403錯誤。客戶端首先用CSK解密得到SPk,然后對整個信令消息進(jìn)行Hash得到H,用SPK和H對Sign進(jìn)行驗(yàn)證。如果驗(yàn)證通過則根據(jù)TS校對時鐘,漫游注冊成功。2.2.2invite電話呼叫建立是指從呼叫方發(fā)起INVITE信令起到被叫方回應(yīng)200OK的過程。為保證消息的完整性和抗否認(rèn)性,在呼叫建立階段所有的消息都要進(jìn)行Hash并使用數(shù)字證書;密鑰協(xié)商的目的就是為媒體流通信協(xié)商通信密鑰,以提高信息的機(jī)密性和可用性。媒體流通信對速度的要求很高,而密鑰協(xié)商過程對安全性要求很高,故在此采用混合密鑰機(jī)制,即在密鑰協(xié)商的過程中采用非對稱加密算法,媒體流通信采用對稱加密算法。借鑒原有呼叫流程,增加以上安全策略后,形成新的呼叫建立子協(xié)議。協(xié)議流程如圖3所示,其中虛線表示從caller到callee的信令流,實(shí)線表示callee到caller的信令流,粗線表示媒體流。具體協(xié)議流程如下:1)客戶端UA1發(fā)送INVITE請求給代理服務(wù)器S1,消息中包含INVITE請求,Sign(UA1對整個信令信息Hash后結(jié)果使用私鑰CSK1簽名的結(jié)果),UA1的公鑰CPK1。2)S1首先對整個信令消息進(jìn)行Hash得到H,然后用CPK1和H對Sign進(jìn)行驗(yàn)證。如果驗(yàn)證通過,S1對其轉(zhuǎn)發(fā)的INVITE信息Hash得到H,并使用SSK1對H進(jìn)行簽名得到簽名值Sign。然后利用重定向服務(wù)器找到被叫者的代理服務(wù)器S2,并將呼叫請求轉(zhuǎn)發(fā)給S2,請求消息中包括轉(zhuǎn)發(fā)的INVITE請求,CPK1,Sign。3)S1回應(yīng)Trying消息給UA1,消息中包括Trying信令和Sign(S1使用SSK1對Trying信令進(jìn)行Hash后得到的H進(jìn)行的簽名)。4)S2轉(zhuǎn)發(fā)呼叫請求給UA2,消息中包括INVITE請求、CPK1和Sign(S2使用SSK2對INVITE信令進(jìn)行Hash后得到的H進(jìn)行的簽名)。5)S2發(fā)送Trying信令給S1,消息中包括Trying信令和Sign(S2使用SSK2對Trying信令進(jìn)行Hash后得到的H進(jìn)行的簽名)。6)UA2發(fā)送Ringing消息給S2,消息中包括Ringing信令,CPK2和Sign(UA2使用CSK2對Ringing信令進(jìn)行Hash后得到的H進(jìn)行的簽名)。7)S2轉(zhuǎn)發(fā)Ringing消息給S1,消息中包括Ringing信令,CPK2和Sign(S2使用SSK2對Ringing信令進(jìn)行Hash后得到的H進(jìn)行的簽名)。8)S1轉(zhuǎn)發(fā)Ringing消息給UA1,消息中包括Ringing信令,CPK2和Sign(S1使用SSK1對Ringing信令進(jìn)行Hash后得到的H進(jìn)行的簽名)。9)UA2發(fā)送200Ok消息給S2,消息中包括200OK信令、使用CPK1加密的UA2支持的加解密方法M2和Sign(UA2使用CSK2對200OK信令進(jìn)行Hash后得到的H進(jìn)行的簽名)。10)S2轉(zhuǎn)發(fā)200OK消息給S1,消息中包括200OK信令、使用CPK1加密的UA2支持的加解密方法M2和Sign(S2使用SSK2對200OK信令進(jìn)行Hash后得到的H進(jìn)行的簽名)。11)S1轉(zhuǎn)發(fā)200OK消息給UA1,消息中包括200OK信令、使用CPK1加密的UA2支持的加解密方法M2和Sign(S1使用SSK1對200OK信令進(jìn)行Hash后得到的H進(jìn)行的簽名)。12)UA1回應(yīng)Ack消息給UA2,消息中包括Ack信令、使用CPK2加密的語音通信過程中使用的加解密方法MC和Sign(UA1對整個信令信息Hash后結(jié)果H使用私鑰CSK1簽名的結(jié)果)。13)媒體傳輸之后,UA1發(fā)送Bye消息給UA2,消息中包括Bye信令和Sign(UA1對整個信令信息Hash后結(jié)果H使用私鑰CSK1簽名的結(jié)果)。14)UA2回應(yīng)200OK消息給UA1,消息中包括200OK信令和Sign(UA2對整個信令信息Hash后結(jié)果H使用私鑰CSK2簽名的結(jié)果)。說明:1)每個信令的發(fā)送之前,都會對收到的信令進(jìn)行驗(yàn)證,故只在第2)步進(jìn)行解釋,3)~14)步略去。2)TSA對每條經(jīng)過自己的消息都進(jìn)行HASH,然后將Hash結(jié)果和時間戳一起保存,以便以后核對使用。3)第12)步中,UA1使用CSK1提取M2,與自己支持的加解密方法進(jìn)行匹配,如果匹配不成功則在ACK信令發(fā)送提示;如果配匹上一種,那么通信過程中就使用該方法進(jìn)行加解密;如果匹配結(jié)果大于一種,那么隨機(jī)選取2種分別用于雙方發(fā)送的信息。4)第1)、9)、11)和12)構(gòu)成了密鑰協(xié)商子協(xié)議。至此,利用此安全通信模型進(jìn)行的信令與語音通信已經(jīng)完成。和原有的系統(tǒng)相比有以下改善:1)使用雙向認(rèn)證,使偽裝攻擊難以實(shí)現(xiàn),提高了系統(tǒng)的可用性。2)借鑒PKI體系結(jié)構(gòu),在信令消息中增加數(shù)字證書,使竊聽、篡改、偽裝、媒體流重定向等攻擊方式難以實(shí)現(xiàn),保證信令消息的完整性、機(jī)密性與抗否認(rèn)性。3)使用數(shù)字時戳,使重放攻擊難以實(shí)現(xiàn),并提供了證明消息新鮮性的有力證據(jù)。4)借鑒TSA,提供獲取可信時間、時間簽名和時間同步,提高了系統(tǒng)的可用性。5)針對媒體流通信,增加密鑰協(xié)商功能,且媒體流通信中采用的加解密方法僅由通話雙方進(jìn)行協(xié)商,使媒體流竊聽與篡改難以實(shí)現(xiàn),提高了媒體通信的機(jī)密性與完整性。6)當(dāng)通信雙方支持的加解密方法多于一種時,雙方采用不同的加解密方法對發(fā)送的媒體流進(jìn)行加密,即使竊聽者破解了一種加密方法也只能得到單向數(shù)據(jù)流。提高了媒體流傳輸?shù)陌踩?。采用混合密鑰機(jī)制,媒體流通信中采用對稱密鑰對媒體流進(jìn)行加解密,增強(qiáng)了媒體流通信的機(jī)密性;密鑰協(xié)商階段采用公私鑰機(jī)制,提高密鑰協(xié)商的機(jī)密性。3系統(tǒng)通信模型測試在基于SIP網(wǎng)絡(luò)的安全通信模型中增加了加解密、簽名/認(rèn)證、認(rèn)證時戳和時間同步等安全措施,這些安全措施在提高通信中信令流與媒體流安全性的同時也會產(chǎn)生一定的時間延遲。為了測試該安全通信模型的可用性,設(shè)計(jì)并搭建了如圖4所示的測試環(huán)境。兩臺客戶端zzx與heartIP地址分別為8和00,硬件配置為CPU:PⅢ800、內(nèi)存:128MB,軟件配置為WindowsXP操作系統(tǒng),裝有支持標(biāo)準(zhǔn)的SIP客戶端軟件SJPhone和支持加密的SIP客戶端軟件;兩臺服務(wù)器和IP地址分別為33和,其中裝有支持標(biāo)準(zhǔn)的SIP服務(wù)器端軟件OPENSER,裝有支持加密的SIP服務(wù)器端軟件。硬件配置為CPUP42.4GHz*4、內(nèi)存1GB,軟件配置為Linux2.4.18-5操作系統(tǒng)。竊聽者IP地址為7,硬件配置為CPU:PⅢ800、內(nèi)存:128MB,軟件配置為WindowsXP操作系統(tǒng),裝有ethereal-0.99.0-1網(wǎng)絡(luò)數(shù)據(jù)流監(jiān)聽工具,監(jiān)聽服務(wù)器和客戶端之間的通信。服務(wù)器、客戶端和竊聽者通過100M集線器互連。實(shí)驗(yàn)中zzx作為caller,heart作為callee,并且都在33上進(jìn)行注冊。以一個典型的呼叫建立過程為例:zzx通過33向heart發(fā)起呼叫。其中zzx、heart和server收發(fā)信令過程如圖5所示,其中,zzx、server和heart分別收發(fā)信令5、9和4條,分別標(biāo)記為0-4、0-8和0-3。在安全通信模型中需要用到對稱加密算法、非對稱加密算法、數(shù)字證書和Hash。在本次測試中對稱加密算法選取des-cbc,非對稱加密算法選取RSA,數(shù)字證書中加密和認(rèn)證算法采用RSA,Hash算法采用sha-1。采用上述安全策略之后,捕獲一次完整呼叫過程的數(shù)據(jù)包,圖6從上至下依次列出第1個、第4個、第6個和第8個數(shù)據(jù)包的內(nèi)容。從圖6可以看出,在第1個數(shù)據(jù)包中增加了呼叫者的公鑰caller_pubk和簽名sign;在第2個數(shù)據(jù)包中增加了被叫者的公鑰calle
溫馨提示
- 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
- 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
- 5. 人人文庫網(wǎng)僅提供信息存儲空間,僅對用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對任何下載內(nèi)容負(fù)責(zé)。
- 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請與我們聯(lián)系,我們立即糾正。
- 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時也不承擔(dān)用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。
最新文檔
- 2025版土地使用權(quán)出讓居間合同規(guī)范文本-城市綜合體開發(fā)3篇
- 二零二五版住宅小區(qū)車位產(chǎn)權(quán)轉(zhuǎn)移及使用權(quán)購買合同3篇
- 2025版住宅小區(qū)消防設(shè)備設(shè)施定期檢查與維護(hù)合同范本2篇
- 2025年度木門行業(yè)環(huán)保認(rèn)證與推廣合同3篇
- 2025年度國際物流合作解約及責(zé)任分擔(dān)協(xié)議書
- 二零二五年度美容店轉(zhuǎn)讓合同包括美容院品牌授權(quán)及區(qū)域代理權(quán)
- 2025年度二零二五年度大型活動臨時工人搬運(yùn)服務(wù)承包協(xié)議
- 2025年度私人承包廠房租賃合同安全責(zé)任追究協(xié)議
- 二零二五板材行業(yè)數(shù)據(jù)分析與市場預(yù)測合同3篇
- 二零二五年度鏟車清雪作業(yè)安全責(zé)任保險合同
- 中考模擬考試化學(xué)試卷與答案解析(共三套)
- 新人教版五年級小學(xué)數(shù)學(xué)全冊奧數(shù)(含答案)
- 風(fēng)電場升壓站培訓(xùn)課件
- 收納盒注塑模具設(shè)計(jì)(論文-任務(wù)書-開題報告-圖紙)
- 博弈論全套課件
- CONSORT2010流程圖(FlowDiagram)【模板】文檔
- 腦電信號處理與特征提取
- 高中數(shù)學(xué)知識點(diǎn)全總結(jié)(電子版)
- GB/T 10322.7-2004鐵礦石粒度分布的篩分測定
- 2023新譯林版新教材高中英語必修一重點(diǎn)詞組歸納總結(jié)
- 蘇教版四年級數(shù)學(xué)下冊第3單元第2課時“常見的數(shù)量關(guān)系”教案
評論
0/150
提交評論