一種保密通信業務的處理方法、設備和系統的制作方法
【技術領域】
[0001]本發明涉及無線通信技術領域和安全技術領域，尤其涉及一種基于交互式多媒體服務MS業務系統中保密通信業務的處理方法、設備和系統。
【背景技術】
[0002]為了能夠對IMS (Interactive Multimedia Service,交互式多媒體服務)媒體面承載傳輸的用戶業務信息進行端到端加密保護，3GPP (3rd Generat1n PartnershipProject,第三代移動通信標準化組織)在TS33.328中提出了兩種相對獨立的媒體面密鑰管理方案，實現媒體面會話密鑰的協商，并利用協商得到的會話密鑰，通信系統在主被叫終端之間或者終端與IMS網絡之間建立安全關聯,通過SRTP (Secure Real-time TransportProtocol,安全實時傳輸協議)或者 IP Sec (Internet Protocol Security, IP 安全)協議對用戶媒體面信息進行保護。
[0003]其中，3GPP在TS33.328中提出了兩種相對獨立的媒體面密鑰管理方案分別是SDES (Sess1n Descript1n Protocol Security Descript1ns for Media Streams,會話描述協議媒體流安全描述)和KMS (Key Management Service,密鑰管理服務)。
[0004]一、基于SDES的密鑰管理方案。
[0005]具體地，SDES是一種為保護媒體流設計的一種簡單的密鑰管理協議，是在現有SDP (Sess1n Initiat1n Protocol,會話描述協議)中新增了密碼屬性,用于攜帶終端產生的會話密鑰以及參數信息，完成單播流媒體數據的安全參數配置。
[0006]當SDES 應用在 IMS 系統中時,在 SIP (Sess1n Initiat1n Protocol,會話初始協議)建立過程中，交換終端設備A和終端設備B各自產生的用于媒體流加密的會話密鑰。
[0007]如圖1所示，為SDES密鑰管理的工作流程示意圖。一方面，在SIP會話建立時，終端設備A將用于對終端設備A發往終端設備B的媒體流加密的會話密鑰Kl寫入SDP密碼屬性中，并通過信令面SIP消息承載，發送給終端設備B。
[0008]另一方面，終端設備B在接收到終端設備A發送的SIP消息后，存儲密鑰K1，并將用于對終端設備B發往終端設備A的媒體流加密的會話密鑰K2通過SIP響應消息發送給終端設備A。
[0009]在終端設備A接收并存儲密鑰K2之后，終端設備A和終端設備B就都獲得了會話密鑰Kl和會話密鑰K2。
[0010]此后，終端設備A和終端設備B分別使用會話密鑰Kl和會話密鑰K2對SRTP協議承載的媒體流進行加解密操作，從而實現對用戶數據的保密。
[0011]但是，在SDES方案中，會話密鑰通過信令面SIP消息傳輸，其安全性完全依賴于SIP信令的安全。
[0012]而SIP信令傳輸的安全機制常見的有兩種:
[0013]一種是基于MS網絡域安全機制，即完全依賴MS網絡域的安全來保證SIP信令傳輸的安全性，但是，IMS網絡通常是在終端設備與SBC (Sess1n Border Controller,會話邊界控制器)之間采用加密手段，對終端設備接入鏈路上的SIP信令進行加密保護，而在IMS網絡的核心網內部SIP信令則采用明文傳輸方式，這樣就使得攻擊者利用明文傳輸SIP信令的漏洞獲取SIP信令中包含了會話密鑰，實現對終端設備之間媒體面信息的監聽，使得用戶之間通話的安全性降低。
[0014]另一種是基于S/MIME(Secure Multipurpose Internet Mail Extens1ns,安全多用途網際郵件擴充協議)加密保護，即采用S/MME協議對SIP信令中承載的SDP (Sess1nDescript1n Protocol,會話描述協議)消息內容進行端到端的加密。在終端設備無預設共享密鑰的情況下，利用公鑰證書系統，終端設備在發送會話密鑰之前需要從公鑰證書系統中獲取對端的公鑰，之后利用獲取的公鑰對SIP信令的內容進行加密后傳輸。這種方式使得密鑰管理與會話管理完全分離，運營商無法控制密鑰管理，在安全方面被旁路，無法滿足運營商開展保密通信業務的需求，實際應用受到限制。
[0015]二、基于KMS的密鑰管理方案。
[0016]具體地，KMS實體基于 GBA (Generic Bootstrapping Architecture,通用引導架構)機制對主被叫終端鑒權，并將產生的會話密鑰通過成功鑒權后建立的安全通道傳送給主被叫終端。如圖2所示，為KMS密鑰管理的流程示意圖。
[0017]基于GBA，KMS能夠利用運營商為上層應用業務提供的統一認證能力建立與主被叫終端之間的安全關聯，加密傳輸會話密鑰等信息。
[0018]但是，由于GBA認證的核心實體BSF (Bean Scripting Framework)由運營商管理維護，負責生成維護KMS與終端設備之間的會話密鑰，因此，運營商實際負責密鑰安全傳輸通道的建立，終端設備需要的會話密鑰傳輸的安全性依賴于運營商。這樣，KMS密鑰管理方案不能滿足終端設備對密鑰管理的高安全等級需求，更不適于運營商開展保密通信業務。
[0019]由此可見，目前MS網絡中媒體面承載傳輸的用戶業務信息進行端到端加密保護的方式既無法滿足用戶與運營商各自需求，又存在安全性較低的問題。
【發明內容】
[0020]本發明實施例提供了一種保密通信業務的處理方法、設備和系統，用于解決目前IMS網絡中媒體面承載傳輸的用戶業務信息進行端到端加密保護的方式存在的既無法滿足用戶與運營商各自需求，又使得媒體面數據傳輸安全性較低的問題。
[0021]一種保密通信業務的處理方法，包括:
[0022]加密應用服務器EAS接收第一終端設備發送的保密通信業務建立請求消息，其中，所述保密通信業務建立請求消息用于表征所述第一終端設備與第二終端設備之間需要建立保密通信業務，所述保密通信業務建立請求消息中包含了用于獲取會話密鑰的參數信息；
[0023]所述EAS將所述用于獲取會話密鑰的參數信息攜帶在會話密鑰請求消息中發送給所述第一終端設備和所述第二終端設備所屬的密鑰管理中心KMC，其中，所述會話密鑰請求消息用于表征請求所述KMC為所述第一終端設備和所述第二終端設備之間需要建立的保密通信業務產生會話密鑰；
[0024]所述EAS接收所述KMC返回的加密后的會話密鑰，并將加密后的所述會話密鑰發送給所述第一終端設備，使得所述第一終端設備能夠利用所述會話密鑰實現與所述第二終端設備之間的保密通信，其中，所述加密后的所述會話密鑰是所述KMC根據所述用于獲取會話密鑰的參數信息對產生的會話密鑰進行加密處理后得到的。
[0025]所述用于獲取會話密鑰的參數信息中包含了所述第一終端設備的標識信息和所述第二終端設備的標識信息；
[0026]所述EAS在將所述用于獲取會話密鑰的參數信息攜帶在會話密鑰請求消息中發送給所述第一終端設備和所述第二終端設備所屬的密鑰管理中心KMC之前，所述方法還包括:
[0027]所述EAS根據所述第一終端設備的標識信息和所述第二終端設備的標識信息，確定所述第一終端設備和所述第二終端設備所屬的密鑰管理中心KMC。
[0028]所述方法還包括:
[0029]所述EAS將加密后的會話密鑰發送給所述第二終端設備，使得所述第二終端設備能夠利用所述會話密鑰實現與所述第一終端設備之間的保密通信。
[0030]所述EAS將加密后的會話密鑰發送給所述第一終端設備和/或者第二終端設備，包括:
[0031]所述EAS通過MS網絡信令將加密后的會話密鑰發送給所述第一終端設備和/或者第二終端設備。
[0032]所述加密后的會話密鑰包含了利用第一保護密鑰加密后的會話密鑰和利用第二保護密鑰加密后的會話密鑰；
[0033]所述加密后的所述會話密鑰是所述KMC根據所述用于獲取會話密鑰的參數信息對產生的會話密鑰進行加密處理后得到的，包括:
[0034]所述KMC根據所述用于獲取會話密鑰的參數信息中包含的所述第一終端設備的標識信息，確定所述第一終端設備的標識信息對應的第一終端設備在登錄所述KMC時產生的第一保護密鑰，并利用所述第一保護密鑰對產生的所述會話密鑰進行加密運算，得到利用第一保護密鑰加密后的會話密鑰；以及
[0035]根據所述用于獲取會話密鑰的參數信息中包含的所述第二終端設備的標識信息，確定所述第二終端設備的標識信息對應的第二終端設備在登錄所述KMC時產生的第二保護密鑰，并利用所述第二保護密鑰對產生的所述會話密鑰進行加密運算，得到利用第二保護密鑰加密后的會話密鑰。
[0036]一種保密通信業務的處理方法，包括:
[0037]第一終端設備向加密應用服務器EAS發送保密通信業務建立請求消息，其中，所述保密通信業務建立請求消息用于表征所述第一終端設備與第二終端設備之間需要建立保密通信業務，所述保密通信業務建立請求消息中包含了用于獲取會話密鑰的參數信息；
[0038]所述第一終端設備接收所述EAS發送的加密后的會話密鑰，其中，所述加密后的會話密鑰是所述EAS將所述用于獲取會話密鑰的參數信息攜帶在會話密鑰請求消息中發送給所述第一終端設備和所述第二終端設備所屬的密鑰管理中心KMC，由所述KMC根據所述用于獲取會話密鑰的參數信息對產生的會話密鑰進行加密處理后得到的，所述會話密鑰請求消息用于表征請求所述KMC為所述第一終端設備和所述第二終端設備之間需要建立的保密通信業務產生會話密鑰。
[0039]所述方法還包括:
[0040]所述第一終端設備在接收所述EAS發送的加密后的會話密鑰時，將所述加密后的會話密鑰發送給所述第二終端設備。
[0041]所述第一終端設備將所述加密后的會話密鑰發送給所述第二終端設備，包括:
[0042]所述第一終端設備通過IMS網絡信令將所述加密后的會話密鑰發送給所述第二終端設備；
[0043]或者，
[0044]所述第一終端設備通過建立的與第二終端設備的媒體面數據傳輸通道將所述加密后的會話密鑰發送給所述第二終端設備。
[0045]所述方法還包括:
[0046]所述第一終端設備在接收所述EAS發送的加密后的會話密鑰時，利用登錄所述KMC時產生的第一保護密鑰對所述加密后的會話密鑰進行解密，得到所述KMC為所述第一終端設備與所述第二終端設備之間進行保密通信業務產生的會話密鑰。
[0047]一種保密通信業務的處理方法，包括:
[0048]密鑰管理中心KMC接收加密應用服務器EAS發送的會話密鑰請求消息，其中，所述會話密鑰請求消息用于表征請求所述KMC為第一終端設備和第二終端設備之間需要建立的保密通信業務產生會話密鑰，所述會話密鑰請求消息中包含了用于獲取會話密鑰的參數信息，所述用于獲取會話密鑰的參數信息是所述EAS接收到的所述第一終端設備發送的用于表征所述第一終端設備與所述第二終端設備之間需要建立保密通信業務的保密通信業務建立請求消息中攜帶的；并
[0049]向所述EAS返回加密后的會話密鑰，以便于所述EAS將加密后的所述會話密鑰發送給所述第一終端設備，使得所述第一終端設備能夠利用所述會話密鑰實現與所述第二終端設備之間的保密通信，其中，所述加密后的所述會話密鑰是所述KMC根據所述用于獲取會話密鑰的參數信息對產生的會話密鑰進行加密處理后得到的。
[0050]所述用于獲取會話密鑰的參數信息中包含的所述第一終端設備的標識信息和第二終端設備的標識信息；
[0051]所述KMC向所述EAS返回加密后的會話密鑰，包括:
[0052]所述KMC生成用于為所述第一終端設備與所述第二終端設備之間執行保密通信業務需要的會話密鑰；
[0053]所述KMC根據用于獲取會話密鑰的參數信息中包含的所述第一終端設備的標識信息，確定所述第一終端設備的標識信息對應的第一終端設備在登錄所述KMC時產生的第一保護密鑰，并利用所述第一保護密鑰對生成的所述會話密鑰進行加密運算，得到利用第一保護密鑰加密后的會話密鑰；以及
[0054]根據用于獲取會話密鑰的參數信息中包含的所述第二終端設備的標識信息，確定所述第二終端設備的標識信息對應的第二終端設備在登錄所述KMC時產生的第二保護密鑰；并利用所述第二保護密鑰對生成的所述會話密鑰進行加密運算，得到利用第二保護密鑰加密后的會話密鑰；
[0055]所述KMC將所述利用第一保護密鑰加密后的會話密鑰和所述利用第二保護密鑰加密后的會話密鑰作為加密后的會話密鑰，通過密鑰響應消息發送給所述EAS。
[0056]一種用于保密通信業務的加密應用服務器，包括:
[0057]接收模塊，用于接收第一終端設備發送的保密通信業務建立請求消息，其中，所述保密通信業務建立請求消息用于表征所述第一終端設備與第二終端設備之間需要建立保密通信業務，所述保密通信業務建立請求消息中包含了用于獲取會話密鑰的參數信息；
[0058]發送模塊，用于將所述用于獲取會話密鑰的參數信息攜帶在會話密鑰請求消息中發送給所述第一終端設備和所述第二終端設備所屬的密鑰管理中心KMC，其中，所述會話密鑰請求消息用于表征請求所述KMC為所述第一終端設備和所述第二終端設備之間需要建立的保密通信業務產生會話密鑰；
[0059]處理模塊，用于接收所述KMC返回的加密后的會話密鑰，并將加密后的所述會話密鑰發送給所述第一終端設備，使得所述第一終端設備能夠利用所述會話密鑰實現與所述第二終端設備之間的保密通信，其中，所述加密后的所述會話密鑰是所述KMC根據所述用于獲取會話密鑰的參數信息對產生的會話密鑰進行加密處理后得到的。
[0060]所述用于獲取會話密鑰的參數信息中包含了所述第一終端設備的標識信息和所述第二終端設備的標識信息；
[0061]所述加密應用服務器還包括:
[0062]確定模塊，用于在將所述用于獲取會話密鑰的參數信息攜帶在會話密鑰請求消息中發送給所述第一終端設備和所述第二終端設備所屬的密鑰管理中心KMC之前，根據所述第一終端設備的標識信息和所述第二終端設備的標識信息，確定所述第一終端設備和所述第二終端設備所屬的密鑰管理中心KMC。
[0063]所述處理模塊，還用于將加密后的會話密鑰發送給所述第二終端設備，使得所述第二終端設備能夠利用所述會話密鑰實現與所述第一終端設備之間的保密通信。
[0064]所述處理模塊，具體用于通過MS網絡信令將加密后