СПОСОБ ПЕРЕДАЧИ СООБЩЕНИЙ В СИСТЕМЕ СВЯЗИ Н.323 Российский патент 2009 года по МПК H04L12/46 

Предмет изобретения

Настоящее изобретение относится в общем смысле к способам связи в сети, а в частности - к способу обеспечения передачи сообщений в системе связи H.323.

Уровень техники

В системах связи система пакетной передачи (СПП (PBN)) не может обеспечить гарантированное качество обслуживания (QoS) и безопасное обслуживание в силу свойственных ей технических проблем, что делает СПП (PBN) сетью, не гарантирующей качество и безопасность обслуживания. Поэтому безопасность систем Н.323, функционирующих через СПП (PBN), представляет собой серьезную проблему.

В принципе для обеспечения безопасного обслуживания в системах Н.323 применяют способы опознавания и обеспечения конфиденциальности. Эти способы опознавания и обеспечения конфиденциальности, применяемые в системах Н.323, описаны в протоколе Н.235 отдела стандартизации связи Международного телекоммуникационного союза (ITU-T).

В протоколе Н.235 ITU-T описаны некоторые структуры обеспечения безопасности способов опознавания и обеспечения конфиденциальности для систем Н.323. В настоящее время структура обеспечения безопасности, в основном, базируется либо на симметричной криптографической системе, либо на сертификатах с сигнатурами (подписями). Структура, основанная на симметричной криптографической системе, например, на заранее определенном пароле, проста и легко реализуется, но при этом расширяемость системы будет низкой, так как от обоих участников связи требуется, чтобы они заранее имели общий ключ. Структура, основанная на сертификате с подписями (сигнатурами), обеспечивает высокую степень защиты и высокую расширяемость сети, но ее сложно реализовать и для нее необходимо содействие учреждения - органа сертификации.

Как международные стандарты структуры обеспечения безопасности для систем Н.323, предусматриваемые протоколом Н.235 ITU-T, далее подробно не описываются. Подробное описание можно найти в протоколе Н.235 ITU-T.

Система Н.323 обеспечивает два режима маршрутизации для передачи сообщений на базе протокола Н.225: модель шлюзовой маршрутизации (ШМ) и модель прямой маршрутизации. В модели шлюзовой маршрутизации (ШМ) сообщения протокола Н.225 между двумя конечными пунктами передаются через шлюзы. В режиме прямой маршрутизации происходит прямой обмен сообщениями протокола Н.225 между двумя терминалами без передачи их через шлюзы, так что режим прямой маршрутизации называется также моделью бесшлюзовой маршрутизации.

Все описанные выше структуры обеспечения безопасности в протоколе Н.235 ITU-T имеют своей целью технические алгоритмы гарантированного обеспечения безопасности в модели ШМ, и до настоящего времени не было предложено ни одного конкретного решения технических алгоритмов гарантированного обеспечения безопасности в модели бесшлюзовой маршрутизации по протоколу Н.235 ITU-T. Поскольку модель бесшлюзовой маршрутизации очень важна и широко применяется в системах Н.323, то для передачи сообщений протокола Н.225 в модели бесшлюзовой маршрутизации также требуется гарантия безопасности.

Сущность изобретения

Целью настоящего изобретения является создание способа передачи сообщений в системе связи Н.323 с использованием безопасной передачи сообщений модели ШМ для согласования ожидаемой информации, требуемой для опознавания, с использованием модели прямой маршрутизации для передачи сообщений между различными конечными пунктами, тем самым обеспечивая гарантию безопасности для прямой передачи сообщений между конечными пунктами.

Чтобы достичь этой цели, способ передачи сообщений в системе связи Н.323, где первый конечный пункт хочет обменяться одним или несколькими сообщениями со вторым конечным пунктом напрямую, содержит следующие действия:

А: первый конечный пункт и второй конечный пункт согласовывают идентификационную информацию через шлюз;

В: в зависимости от указанной идентификационной информации первый и второй конечные пункты обмениваются одним или несколькими сообщениями напрямую.

При этом одно или несколько сообщений являются сообщениями Q.931.

При этом идентификационная информация содержит информацию о ключах.

При этом информация о ключах представляет собой совместно используемый ключ, генерируемый алгоритмом Дифи-Хелмана.

При этом шаг А содержит следующие действия:

А1: первый конечный пункт передает второму конечному пункту сообщение о регистрации, разрешениях и состоянии (РРС (RAS)), содержащее первый ключевой параметр первого конечного пункта, через местный шлюз первого конечного пункта и местный шлюз второго конечного пункта;

А2: получив сообщение РРС (RAS), посланное из первого конечного пункта, второй конечный пункт получает первый ключевой параметр, содержащийся в сообщении РРС (RAS), генерирует второй ключевой параметр второй конечной точки в сообщении РРС (RAS) и посылает сообщение РРС (RAS) в первый конечный пункт через местный шлюз первого конечного пункта и местный шлюз второго конечного пункта;

A3: первый конечный пункт и второй конечный пункт генерируют совместный ключ на основании первого ключевого параметра и второго ключевого параметра.

При этом шаг А1 содержит следующие действия:

первый конечный пункт загружает первый ключевой параметр в поле ClearToken сообщения запроса доступа (ЗД (ARQ)) и передает сообщение ЗД (ARQ) в местный шлюз первого конечного пункта;

получив сообщение ЗД (ARQ), шлюз первого конечного пункта определяет, является ли он также местным шлюзом второго конечного пункта; если является, то этот шлюз загружает ClearToken в сообщение запроса информации (ЗИ (IRQ)) и посылает сообщение ЗИ (IRQ) второму конечному пункту; в противном случае он загружает ClearToken в сообщение запроса местоположения (ЗМ (LRQ)) и передает сообщение ЗМ (LRQ) в местный шлюз второго конечного пункта;

получив сообщение ЗМ (LRQ) от местного шлюза первого конечного пункта, местный шлюз второго конечного пункта загружает ClearToken в сообщение ЗИ (IRQ) и передает сообщение ЗИ (IRQ) второму конечному пункту.

При этом шаг передачи сообщения ЗМ (LRQ) в местный шлюз второго конечного пункта содержит следующие действия:

передачу сообщения ЗМ (LRQ) в шлюз, соединенный с местным шлюзом первого конечного пункта;

получив сообщение ЗМ (LRQ), шлюз, соединенный с местным шлюзом первого конечного пункта, переадресует сообщение ЗМ (LRQ) в местный шлюз второго конечного пункта.

При этом поле generallD в ClearToken сконфигурировано как второй конечный пункт; поле senderslD в ClearToken сконфигурировано как первый конечный пункт.

При этом шаг А2 содержит следующие действия:

А21: получив сообщение РРС (RAS), переданное через шлюз, второй конечный пункт получает первый ключевой параметр согласно информации, содержащейся в сообщении РРС (RAS), и генерирует второй ключевой параметр второго конечного пункта в зависимости от первого ключевого параметра;

А22: второй конечный пункт загружает второй ключевой параметр в ClealToken сообщения ответ на запрос информации (ОЗИ (IRR)) и передает сообщение ОЗИ (IRR) в местный шлюз второго конечного пункта; местный шлюз второго конечного пункта определяет, является ли он местным шлюзом первого конечного пункта; если является, то шлюз второго конечного пункта загружает ClearToken в сообщение подтверждения доступа (ПД (ACF)), передает сообщение ПД (ACF) в первый конечный пункт и переходит к шагу А23; в противном случае шлюз второго конечного пункта загружает ClearToken в сообщение подтверждения местоположения (ПМ (LCF)) и передает сообщение ПМ (LCF) в шлюз первого конечного пункта; получив сообщение ПМ (LCF), шлюз первого конечного пункта загружает ClearToken в сообщение ПД (ACF), передает сообщение ПД (ACF) первому конечному пункту и потом переходит к шагу А23;

А23: получив сообщение ПД (ACF), первый конечный пункт получает второй ключевой параметр согласно информации в ClearToken.

При этом поле generallD в ClearToken сконфигурировано как первый конечный пункт; поле senderslD в ClearToken сконфигурировано как второй конечный пункт.

При этом шаг В содержит следующие действия:

первый конечный пункт напрямую посылает сообщение с запросом на установление соединения второму конечному пункту, используя совместный ключ;

получив сообщение с запросом на установление соединения, второй конечный пункт выполняет опознавание первого конечного пункта согласно совместному ключу и посылает предупреждающее (Alerting) сообщение и сообщение об установлении соединения первому конечному пункту, который прошел опознавание по совместному ключу;

после установления соединения первый конечный пункт посылает сообщение о разъединении соединения второму конечному пункту, используя совместный ключ, когда первый конечный пункт хочет разъединить соединение; или же второй конечный пункт посылает сообщение о разъединении соединения первому конечному пункту с использованием совместного ключа, когда второй конечный пункт хочет разъединить соединение.

Настоящее изобретение предусматривает также способ представления первому конечному пункту и второму конечному пункту идентификационной информации в системе связи.

Согласно одному варианту способ представления первому конечному пункту и второму конечному пункту идентификационной информации в системе связи содержит следующие действия:

первый конечный пункт посылает сообщение запроса доступа ЗД (ARQ), содержащее первый ключевой параметр первого конечного пункта, первому шлюзу, к которому относится первый конечный пункт;

получив сообщение ЗД (ARQ), первый шлюз посылает сообщение запроса местоположения ЗМ (LRQ), содержащее первый ключевой параметр, второму шлюзу, к которому относится второй конечный пункт;

получив сообщение ЗМ (LRQ), второй шлюз посылает сообщение запроса информации ЗИ (IRQ), содержащее первый ключевой параметр, второму конечному пункту;

получив сообщение ЗМ (LRQ), второй конечный пункт получает первый ключевой параметр и генерирует второй ключевой параметр второго конечного пункта в зависимости от первого ключевого параметра;

второй конечный пункт генерирует совместный ключ на базе первого ключевого параметра и второго ключевого параметра;

второй конечный пункт посылает сообщение ответа на запрос информации ОЗИ (IRR), содержащее второй ключевой параметр, во второй шлюз;

получив сообщение ОЗИ (IRR), второй шлюз посылает сообщение подтверждения местоположения ПМ (LCF), содержащее второй ключевой параметр, в первый шлюз;

получив сообщение ПМ (LCF), первый шлюз посылает сообщение подтверждения доступа ПД (ACF), содержащее второй ключевой параметр, первому конечному пункту;

получив сообщение ПД (ACF), первый конечный пункт получает второй ключевой параметр и генерирует совместный ключ на базе первого ключевого параметра и второго ключевого параметра.

При другом варианте способ представления первому конечному пункту и второму конечному пункту идентификационной информации в системе связи содержит следующие действия:

первый конечный пункт посылает сообщение запроса доступа ЗД (ARQ), содержащее первый ключевой параметр первого конечного пункта, шлюзу, к которому относятся первый конечный пункт и второй конечный пункт;

получив сообщение ЗД (ARQ), шлюз посылает сообщение запроса информации ЗИ (IRQ), содержащее первый ключевой параметр, второму конечному пункту;

получив сообщение ЗИ (IRQ), второй конечный пункт получает первый ключевой параметр и генерирует второй ключевой параметр в зависимости от первого ключевого параметра;

второй конечный пункт генерирует совместный ключ на базе первого ключевого параметра и второго ключевого параметра;

второй конечный пункт посылает в шлюз сообщение ответа на запрос информации ОЗИ (IRR), содержащее второй ключевой параметр;

получив сообщение ОЗИ (IRR), шлюз посылает сообщение подтверждения доступа ПД (ACF), содержащее второй ключевой параметр, первому конечному пункту;

получив сообщение ПД (ACF), первый конечный пункт получает второй ключевой параметр и генерирует совместный ключ на базе первого ключевого параметра и второго ключевого параметра.

Согласно другому аспекту система связи включает в себя первую конечную точку, вторую конечную точку и шлюз (Ш);

при этом первая конечная точка и вторая конечная точка сконфигурированы для согласования идентификационной информации через шлюз (Ш); и первая конечная точка и вторая конечная точка сконфигурированы для обмена одним или несколькими сообщениями напрямую в соответствии с идентификационной информацией.

Из описания вышеупомянутого технического алгоритма, предусмотренного настоящим изобретением, очевидно, что идентификационная информация при прямой передаче сообщений между различными конечными пунктами должна быть подтверждена путем согласования, и согласование идентификационной информации должно вестись безопасным образом через шлюз, чтобы гарантировать безопасность согласуемой идентификационной информации между различными конечными пунктами. Так как шлюз может выполнять защитное опознавание конечных пунктов, управляемых шлюзом, конечные пункты также могут выполнять защитное опознавание для местных шлюзов, и различные шлюзы выполняют взаимное опознавание друг друга. Поскольку защиту сообщений РРС (RAS) можно гарантировать, то можно гарантировать безопасность согласуемой идентификационной информации при ее согласовании безопасными сообщениями РРС (RAS). Идентификационная информация согласно настоящему изобретению подчиняется принципу обмена ключами Дифи-Хелмана, при котором не требуется кодировать и расшифровывать промежуточную ключевую информацию, такую как ClearToken, и поэтому нет особых требований к промежуточным объектам в системе Н.323, например, к шлюзам, и не оказывается воздействие на рабочие характеристики промежуточных объектов. Если для согласования совместного ключа используются сообщения РРС (RAS), то нет необходимости использовать заранее статически задаваемый совместный ключ между различными конечными пунктами, что не только позволяет проводить прямую безопасную передачу сообщений между различными конечными пунктами, но и также увеличивает расширяемость сети Н.323, ранее низкую при использовании симметричной системы ключей в протоколе Н.235. Поэтому настоящее изобретение определяет и обеспечивает безопасную структуру передачи сообщений в системе Н.323 в режиме прямой маршрутизации, тем самым повышая безопасность системы Н.323.

Краткое описание чертежа

На чертеже приведена схема алгоритма, иллюстрирующая передачу сообщений в системе Н.323 в соответствии с предпочтительной реализацией настоящего изобретения.

Подробное описание изобретения

Далее идет подробное описание настоящего изобретения со ссылками на сопровождающий чертеж.

Согласно предпочтительной реализации настоящего изобретения информация, требуемая для опознавания при прямой передаче сообщений между различными конечными пунктами, подтверждается с помощью шлюзовой маршрутизации (ШМ), и затем различные конечные пункты напрямую обмениваются сообщениями на основании согласованной информации, требуемой для опознавания.

Таким образом, настоящее изобретение предлагает порядок согласования идентификационной информации для прямой передачи сообщений между различными конечными пунктами с использованием передачи сообщений согласно модели ШМ.

Поскольку протокол Н.235 ITU-T предусматривает безопасные структуры для передачи сообщений согласно модели ШМ в системах Н.323, согласование идентификационной информации между различными конечными пунктами путем передачи сообщений согласно модели шлюзовой маршрутизации в настоящем изобретении может гарантировать безопасность согласования идентификационной информации.

В настоящем изобретении идентификационную информацию для прямой передачи сообщений между различными конечными пунктами согласуют передачей сообщений РРС (RAS) по протоколу Н.225. Чтобы гарантировать безопасность согласуемой идентификационной информации, должна быть гарантирована безопасность сообщений РРС (RAS), поэтому технический алгоритм, предусматриваемый настоящим изобретением, должен быть реализован при условии, что гарантирована безопасность сообщений РРС (RAS).

Так как сообщения РРС (RAS) должны передаваться через такие сетевые объекты, как конечные пункты и шлюз, чтобы гарантировать безопасность сообщения РРС (RAS), то шлюз должен выполнить защитное опознавание управляемых им конечных пунктов, а эти конечные пункты должны выполнить защитное опознавание своих соответствующих местных шлюзов, что обеспечивает доверие друг к другу конечных пунктов и их местных шлюзов. Опознавание должно быть реализовано между различными шлюзами, чтобы предотвратить злонамеренные атаки на сеть. При использовании указанного опознавания может быть гарантирована безопасная передача сообщений РРС (RAS) между различными конечными пунктами, управляемыми как одним и тем же местным шлюзом, так и разными шлюзами.

Прямая передача сообщений между различными конечными пунктами включает передачу сообщений Q.931. В процедуре опознавания между различными конечными пунктами участвует совместно используемый ключ. Так как способ обмена ключами по принципу Дифи-Хелмана не требует шифрования в ходе процедуры согласования совместного ключа между конечным пунктом одного участника и конечным пунктом другого участника, настоящее изобретение предусматривает такое согласование совместного ключа между различными конечными пунктами. Таким образом, нет необходимости шифровать информацию в ходе процедуры согласования совместного ключа; поэтому процесс согласования совместного ключа не может оказывать воздействие на рабочие характеристики промежуточных объектов, таких как шлюз, в системах Н.323.

В этой реализации различные конечные пункты обозначены как конечный пункт 1 и конечный пункт 2, причем для реализации безопасной передачи сообщений принята модель прямой, а не шлюзовой маршрутизации. В настоящей реализации шаги определения идентификационной информации для прямой передачи сообщений между конечным пунктом 1 и конечным пунктом 2 содержат следующие действия: сначала конечный пункт 1 передает свои ключевые параметры конечному пункту 2 согласно модели шлюзовой маршрутизации, а потом конечный пункт 2 генерирует собственные ключевые параметры, в зависимости от ключевых параметров конечного пункта 1, и передает собственные ключевые параметры конечному пункту 1 согласно модели шлюзовой маршрутизации. Таким образом, генерируется совместный ключ между конечным пунктом 1 и конечным пунктом 2, и при использовании этого совместного ключа может быть гарантирована безопасность передачи сообщений Q.931 прямой маршрутизацией между конечным пунктом 1 и конечным пунктом 2.

Подробный технический алгоритм определения идентификационной информации в ходе прямой передачи сообщений между конечным пунктом 1 и конечным пунктом 2, предусмотренный в данной реализации, содержит следующие действия: обозначим местный шлюз конечного пункта 1 как Ш1, и конечный пункт 1 может загрузить свои ключевые параметры в параметр dhkey ClearToken, указать в ClearToken, что ClearToken передается конечным пунктом 1 и будет передан конечному пункту 2, а потом загрузить ClearToken в сообщение РРС (RAS), например, сообщение запроса доступа ЗД (ARQ), причем адрес вызываемого абонента в сообщении ЗД (ARQ) - это адрес конечного пункта 2. Конечный пункт 1 передает сообщение ЗД (ARQ) в Ш1.

Получив сообщение ЗД (ARQ), переданное из конечного пункта 1, Ш1 определяет, является ли Ш1 местным шлюзом конечного пункта 2 в зависимости от адреса вызываемого абонента в сообщении ЗД (ARQ). Если Ш1 является местным шлюзом конечного пункта 2, т.е. конечный пункт 1 и конечный пункт 2 принадлежат одному и тому же шлюзу, то Ш1 загружает ClearToken, содержащийся в сообщении ЗД (ARQ), в сообщение запроса информации ЗИ (IRQ) и передает сообщение ЗИ (IRQ) конечному пункту 2. Если Ш1 не является местным шлюзом конечного пункта 2, то Ш1 должен запросить адрес конечного пункта 2 через другие соединенные с ним шлюзы. Если с Ш1 соединен шлюз, например Ш2, то Ш1 загружает ClearToken, содержащийся в сообщении ЗД (ARQ), в сообщение запроса местоположения ЗМ (LRQ) и передает сообщение ЗМ (LRQ) в шлюз Ш2.

Получив сообщение ЗМ (LRQ) Ш2 может определить, что информацию ClearToken нужно передать конечному пункту 2 согласно ClearToken, содержащемуся в сообщении ЗМ (LRQ). Ш2 определяет, является ли он местным шлюзом конечного пункта 2 согласно адресу вызываемого абонента в сообщении ЗМ (LRQ); если является, то Ш2 загружает ClearToken в сообщение запроса информации ЗИ (IRQ) и передает сообщение ЗИ (IRQ) в конечный пункт 2; в противном случае Ш2 должен запросить адрес конечного пункта 2 в других соединенных с ним шлюзах.

Получив сообщение ЗИ (IRQ), переданное из Ш2, конечный пункт 2 получает ключевые параметры конечного пункта 1 из dhkey поля CrearToken в сообщении ЗИ (IRQ), генерирует ключевые параметры конечного пункта 2, вычисляет ключ сеанса по алгоритму Дифи-Хелмана и вставляет ключевые параметры конечного пункта 2 в dhkey поля ClearToken сообщения ответа на запрос информации ОЗИ (IRR). В ClearToken должно быть указано, что ClearToken передается конечным пунктом 2 и будет передано конечному пункту 1. Потом конечный пункт 2 передает сообщение ОЗИ (IRR) в собственный шлюз Ш2.

Получив сообщение ОЗИ (IRR), Ш2 определяет, что ClearToken будет передаваться конечному пункту 1 согласно содержанию ClearToken, т.е. Ш2 определяет по сообщению ОЗИ (IRR), что конечный пункт, которому нужно ответить, это конечный пункт 1. Потом Ш2 определяет, является ли он местным шлюзом конечного пункта 1; если является, то конечный пункт 1 и конечный пункт 2 принадлежат к одному и тому же шлюзу и Ш2 должен загрузить ClearToken из сообщения ОЗИ (IRR) в сообщение подтверждения доступа (ПД (ACF)) и передать сообщение ПД (ACF) в конечный пункт 1. Если Ш2 не является местным шлюзом конечного пункта 1, то конечный пункт 1 и конечный пункт 2 принадлежат к разным шлюзам: конечный пункт 1 к шлюзу Ш1, а конечный пункт 2 - к шлюзу Ш2. Так как сообщение подтверждения местоположения (ПМ (LCF)) соответствует сообщению ЗМ (LRQ), то Ш2 должен загрузить ClearToken из сообщения ОЗИ (IRR) в сообщение ПМ (LCF) и передать сообщение ПМ (LCF) в шлюз Ш1. Получив сообщение ПМ (LCF) из Ш2, Ш1 определяет, что ClearToken нужно передать в конечный пункт 1 согласно содержанию ClearToken в сообщении ПМ (LCF), загружает ClearToken в сообщение ПД (ACF) и передает сообщение ПД (ACF) в конечный пункт 1. Конечный пункт 1 получает ключевые параметры конечного пункта 2 из ClearToken, содержащегося в сообщении ПД (ACF). Таким образом, генерируется совместный ключ для конечного пункта 1 и конечного пункта 2, который может быть использован для передачи сообщения способом прямой маршрутизации.

Так как протокол Н.235 позволяет выполнять различные типы опознавания сообщений в сообщении Н.323, технический алгоритм, предусмотренный в настоящем изобретении, применим для модели шлюзовой маршрутизации без каких-либо изменений, т.е. конечные пункты, принадлежащие к одному местному шлюзу или к различным местным шлюзам, получают совместный ключ, используя описанный выше способ, и реализуют передачу сообщений с применением совместного ключа по модели шлюзовой маршрутизации.

Теперь технический алгоритм настоящего изобретения будет подробно раскрыт с привязкой к чертежу.

На чертеже пунктирные линии обозначают передачу сообщений РРС (RAS) на базе протокола Н.225, а сплошные линии - передачу сообщений Q.931 на базе протокола Н.235. ЕР1 и ЕР2 обозначают два различных конечных пункта в системе Н.323, а Ш1 и Ш2 обозначают два различных шлюза в системе Н.323. Ш1 - это местный шлюз ЕР1, а Ш2 - местный шлюз ЕР2.

В данной реализации настоящего изобретения процедура обнаружения шлюзов (RGQ/GCF), процедура регистрации конечных пунктов (RRQ/RCF) и безопасное согласование между конечным пунктом и его местным шлюзом не будут описаны подробно. Подробное описание можно найти в протоколе Н.235.

Шаг 1: ЕР1 загружает нужные параметры совместного ключа в ClearToken сообщения ЗД (ARQ), задает generallD в ClearToken равным ЕР2, a senderslD в ClearToken равным ЕР1. Таким образом, может быть определено, что ClearToken передают из ЕР1 в ЕР2. ЕР1 передает сообщение ЗД (ARQ) в свой местный шлюз Ш1.

Шаг 2: получив сообщение ЗД (ARQ), Ш1 преобразует сообщение ЗД (ARQ) в сообщение ЗМ (LRQ) и запрашивает адрес ЕР2 в Ш2, так как вызываемый конечный пункт в сообщении ЗД (ARQ) - это ЕР2, который не принадлежит к Ш1. Преобразуя сообщение ЗД (ARQ), Ш1 знает, что информацию в ClearToken нужно передать в ЕР2, так как generallD в ClearToken - это ЕР2, поэтому Ш1 переносит всю информацию ClearToken из сообщения ЗД (ARQ) в сообщение ЗМ (LRQ) и передает сообщение ЗМ (LRQ) в Ш2.

Шаг 3: получив сообщение ЗМ (LRQ), переданное из Ш1, Ш2 определяет, что generallD в ClearToken сообщения ЗМ (LRQ) - это ЕР2, что показывает, что Ш2 должен передать информацию ClearToken в ЕР2. Так как Ш2 - это местный шлюз ЕР2, Ш2 загружает ClearToken в сообщение ЗИ (IRQ) и передает сообщение ЗИ (IRQ) в ЕР2, одновременно передавая в ЕР2 и ClearToken.

Шаг 4: получив сообщение ЗИ (IRQ), переданное из Ш2, ЕР2 извлекает параметр dhkey ЕР1 из ClearToken в сообщении ЗИ (IRQ), генерирует собственный параметр Дифи-Хелмана, вычисляет ключ сеанса по алгоритму Дифи-Хелмана и задает собственный параметр Дифи-Хелмана в параметре dhkey в ClearToken сообщения ОЗИ (IRR). Наконец, задает generallD в ClearToken как ЕР1, задает senderslD в ClearToken как ЕР2, показывая, что ClearToken передается из ЕР2 в ЕР1. После этого ЕР2 передает сообщение ОЗИ (IRR) в Ш2.

Шаг 5: получив сообщение ОЗИ (IRR), переданное из ЕР2, Ш2 определяет, что ClearToken нужно передать в ЕР1, по значению generallD, содержащемуся в ClearToken сообщения ОЗИ (IRR). Ш2 должен загрузить ClearToken в сообщение и передать сообщение в ЕР1. Ш2 может загрузить ClearToken в сообщение ПМ (LCF), соответствующее сообщению ЗМ (LRQ) на шаге 2, и передать сообщение ПМ (LCF) в Ш1.

Шаг 6: получив сообщение ПМ (LCF), переданное из Ш2, Ш1 извлекает информацию ClearToken, содержащуюся в сообщении CLF, и узнает, что ClearToken нужно передать в ЕР1, по значению generallD в ClearToken, так что Ш1 загружает информацию ClearToken в сообщение ПД (ACF) и передает сообщение ПД (ACF) в ЕР1.

Получив сообщение ПД (ACF), переданное из GFK1, ЕР1 получает параметры Дифи-Хелмана ЕР2 из ClearToken сообщения ПД (ACF) и вычисляет ключ сеанса по алгоритму Дифи-Хелмана. Таким образом, генерируется совместный ключ ЕР1 и ЕР2 с помощью обмена ключами Дифи-Хелмана, и совместный ключ обозначается как ShareddKeyEp1Ep2. После того, как сгенерирован совместный ключ для ЕР1 и ЕР2, можно гарантировать безопасность прямой передачи сообщений между ЕР1 и ЕР2.

Способ применения ключа в процессе прямой передачи сообщений между ЕР1 и ЕР2 аналогичен спецификации в протоколе Н.235, что будет показано на шагах 7-10.

Шаг 7: ЕР1 кодирует сообщение запроса на установление соединения (ЗУС (Setup)), используя ключ ShareddKeyEp1Ep2, а потом передает сообщение ЗУС (Setup) напрямую в ЕР2.

Шаг 8: получив сообщение ЗУС (Setup), переданное напрямую из ЕР1, ЕР2 выполняет опознавание передающей стороны сообщения ЗУС (Setup), ЕР1, используя ключ ShareddKeyEp1Ep2, и, если опознавание прошло успешно, то ЕР2 кодирует сообщение Altering, используя ключ ShareddKeyEp1Ep2, и передает сообщение Altering напрямую в ЕР1.

Шаг 9: ЕР2 кодирует сообщение об установлении соединения, используя ShareddKeyEp1Ep2, и передает зашифрованное сообщение об установлении соединения напрямую в ЕР1.

Шаг 10: если любой абонент ЕР1 и ЕР2 хочет разъединить соединение, то абонент, инициирующий разъединение, кодирует сообщение о разъединении соединения, используя ShareddKeyEp1Ep2, и передает зашифрованное сообщение о разъединении соединения напрямую другому абоненту. Например, ЕР1 хочет разъединить соединение, и тогда ЕР1 кодирует сообщение о разъединении соединения, используя ShareddKeyE1E2, и передает зашифрованное сообщение о разъединении соединения напрямую в ЕР2.

Шаги 1 - 10 в реализации изобретения описывают способ защиты прямой передачи сообщений между двумя конечными пунктами, принадлежащими к различным шлюзам. Этот способ также применяют для защиты прямой передачи сообщений между двумя конечными пунктами, принадлежащими к одному и тому же шлюзу, и при этом условии, так как ЕР1 и ЕР2 принадлежат к одному и тому же шлюзу, т.е. Ш1 и Ш1 это один и тот же шлюз, шаг 2 и шаг 5 можно пропустить, а остальные шаги оставить без изменения, что не будет описываться подробно.

Подводя итог, все вышеописанное - это только пример относительно предпочтительной реализации настоящего изобретения. Это описание не накладывает ограничений на объем патентной защиты настоящего изобретения.

Изобретение относится к области систем пакетной передачи данных. Техническим результатом является повышение защиты передачи сообщений модели прямой маршрутизации системы Н.323. Сущность изобретения заключается в том, что: первый конечный пункт и второй конечный пункт подтверждают идентификационную информацию через шлюз; согласно указанной идентификационной информации первый конечный пункт и второй конечный пункт обмениваются сообщениями напрямую. Не нужно изменять функции промежуточных объектов для применения способа, предусматриваемого настоящим изобретением, так как в этом способе принят метод обмена ключами Дифи-Хелмана. Настоящее изобретение повышает расширяемость сети симметричной системы ключей за счет режима согласования. 4 н. и 16 з.п. ф-лы, 1 ил.

1. Способ передачи сообщений в системе связи Н.323, при котором первый конечный пункт обменивается одним или несколькими сообщениями со вторым конечным пунктом напрямую, включающий следующие действия:
А. первый конечный пункт и второй конечный пункт согласовывают идентификационную информацию через шлюз (Ш);
В. в зависимости от указанной идентификационной информации первый конечный пункт и второй конечный пункт обмениваются одним или несколькими сообщениями напрямую.

2. Способ по п.1, отличающийся тем, что шаг А содержит следующие действия:
первый конечный пункт отправляет первый ключевой параметр первого конечного пункта второму конечному пункту через шлюз (Ш),
первый конечный пункт получает второй ключевой параметр, отправленный вторым конечным пунктом через шлюз (Ш), при этом первый конечный пункт и второй конечный пункт генерируют совместный ключ на основании первого ключевого параметра и второго ключевого параметра, причем второй конечный пункт генерирует второй ключевой параметр в соответствии с первым ключевым параметром;
а шаг В содержит следующие действия:
в соответствии с совместным ключом первый конечный пункт обменивается одним или несколькими сообщениями со вторым конечным пунктом напрямую.

3. Способ по п.1, отличающийся тем, что одно или несколько сообщений являются сообщениями Q.931.

4. Способ по п.2, отличающийся тем, что совместный ключ генерируют с использованием алгоритма Дифи-Хелмана.

5. Способ по п.1, отличающийся тем, что шаг А содержит следующие действия:
А1. первый конечный пункт передает второму конечному пункту сообщение о регистрации, разрешениях и состоянии (РРС (RAS)), содержащее первый ключевой параметр первого конечного пункта, через местный шлюз первого конечного пункта и местный шлюз второго конечного пункта;
А2. получив сообщение РРС (RAS), посланное из первого конечного пункта, второй конечный пункт получает первый ключевой параметр, содержащийся в сообщении РРС (RAS), генерирует второй ключевой параметр в сообщении РРС (RAS) и посылает сообщение РРС (RAS) в первый конечный пункт через местный шлюз (Ш) первого конечного пункта и местный шлюз (Ш) второго конечного пункта;
A3. первый конечный пункт и второй конечный пункт генерируют совместный ключ на основании первого ключевого параметра и второго ключевого параметра.

6. Способ по п.5, отличающийся тем, что шаг А1 содержит следующие действия:
первый конечный пункт загружает первый ключевой параметр в поле ClearToken сообщения запроса доступа (ЗД (ARQ)) и передает сообщение ЗД (ARQ) в местный шлюз первого конечного пункта;
получив сообщение ЗД (ARQ), шлюз первого конечного пункта определяет, является ли он также местным шлюзом второго конечного пункта;
если является, то этот шлюз загружает ClearToken в сообщение запроса информации (ЗИ (IRQ)) и посылает сообщение ЗИ (IRQ) второму конечному пункту; в противном случае, он загружает ClearToken в сообщение запроса местоположения (ЗМ (LRQ)) и передает сообщение ЗМ (LRQ) в местный шлюз второго конечного пункта;
получив сообщение ЗМ (LRQ) от местного шлюза первого конечного пункта, местный шлюз второго конечного пункта загружает ClearToken в сообщение ЗИ (IRQ) и передает сообщение ЗИ (IRQ) второму конечному пункту.

7. Способ по п.6, отличающийся тем, что шаг передачи сообщения ЗМ (LRQ) в местный шлюз второго конечного пункта содержит следующие действия: передачу сообщения ЗМ (LRQ) в шлюз, соединенный с местным шлюзом первого конечного пункта;
переадресация шлюзом, соединенный с местным шлюзом первого конечного пункта, сообщения ЗМ (LRQ) в местный шлюз второго конечного пункта после получения сообщения ЗМ (LRQ).

8. Способ по п.6, отличающийся тем, что поле generalID в ClearToken сконфигурировано как второй конечный пункт; поле sendersID в ClearToken сконфигурировано как первый конечный пункт.

9. Способ по п.5, отличающийся тем, что шаг А2 содержит следующие действия:
А21. получив сообщение РРС (RAS), переданное через шлюз, второй конечный пункт получает первый ключевой параметр согласно информации, содержащейся в сообщении РРС (RAS), и генерирует второй ключевой параметр второго конечного пункта в зависимости от первого ключевого параметра;
А22. второй конечный пункт загружает второй ключевой параметр в ClearToken сообщения ответ на запрос информации (ОЗИ (IRR)) и передает сообщение ОЗИ (IRR) в местный шлюз второго конечного пункта; местный шлюз второго конечного пункта определяет, является ли он местным шлюзом первого конечного пункта; если является, то шлюз второго конечного пункта загружает ClearToken в сообщение подтверждения доступа (ПД (ACF)), передает сообщение ПД (ACF) в первый конечный пункт и переходит к шагу А23; в противном случае, шлюз второго конечного пункта загружает ClearToken в сообщение подтверждения местоположения (ПМ (LCF)) и передает сообщение ПМ (LCF) в шлюз первого конечного пункта; получив сообщение ПМ (LCF), шлюз первого конечного пункта загружает ClearToken в сообщение ПД (ACF), передает сообщение ПД (ACF) первому конечному пункту и потом переходит к шагу А23;
А23. получив сообщение ПД (ACF) первый конечный пункт получает второй ключевой параметр согласно информации в ClearToken.

10. Способ по п.9, отличающийся тем, что поле generalID в ClearToken сконфигурировано как первый конечный пункт; поле sendersID в ClearToken сконфигурировано как второй конечный пункт.

11. Способ по п.5, отличающийся тем, что шаг В содержит следующие действия:
первый конечный пункт напрямую посылает сообщение с запросом на установление соединения второму конечному пункту, используя совместный ключ;
получив сообщение с запросом на установление соединения, второй конечный пункт выполняет опознавание первого конечного пункта согласно совместному ключу и посылает предупреждающее сообщение и сообщение об установлении соединения первому конечному пункту, который прошел опознавание по совместному ключу.

12. Способ по п.11, содержащий дополнительно следующие действия:
после установления соединения первый конечный пункт посылает сообщение о разъединении соединения второму конечному пункту, используя совместный ключ, когда первый конечный пункт хочет разъединить соединение; или же второй конечный пункт посылает сообщение о разъединении соединения первому конечному пункту с использованием совместного ключа, когда второй конечный пункт хочет разъединить соединение.

13. Способ представления первому конечному пункту и второму конечному пункту идентификационной информации в системе связи, содержащий следующие действия:
первый конечный пункт посылает сообщение запроса доступа ЗД (ARQ), содержащее первый ключевой параметр первого конечного пункта, первому шлюзу, к которому относится первый конечный пункт;
получив сообщение ЗД (ARQ) первый шлюз посылает сообщение запроса местоположения ЗМ (LRQ), содержащее первый ключевой параметр, второму шлюзу, к которому относится второй конечный пункт;
получив сообщение ЗМ (LRQ) второй шлюз посылает сообщение запроса информации ЗИ (IRQ), содержащее первый ключевой параметр, второму конечному пункту;
получив сообщение ЗМ (LRQ) второй конечный пункт получает первый ключевой параметр и генерирует второй ключевой параметр второго конечного пункта в зависимости от первого ключевого параметра;
второй конечный пункт генерирует совместный ключ на базе первого ключевого параметра и второго ключевого параметра;
второй конечный пункт посылает сообщение ответа на запрос информации ОЗИ (IRR), содержащее второй ключевой параметр, во второй шлюз;
получив сообщение ОЗИ (IRR) второй шлюз посылает сообщение подтверждения местоположения ПМ (LCF), содержащее второй ключевой параметр, в первый шлюз;
получив сообщение ПМ (LCF) первый шлюз посылает сообщение подтверждения доступа ПД (ACF), содержащее второй ключевой параметр, первому конечному пункту;
получив сообщение ПД (ACF) первый конечный пункт получает второй ключевой параметр и генерирует совместный ключ на базе первого ключевого параметра и второго ключевого параметра.

14. Способ по п.13, отличающийся тем, что первый ключевой параметр содержится в ClearToken сообщения ЗД (ARQ), сообщения ЗМ (LRQ) и сообщения ОЗИ (IRR) соответственно;
поле generalID в ClearToken сконфигурировано как второй конечный пункт;
поле sendersID в ClearToken сконфигурировано как первый конечный пункт.

15. Способ по п.13, отличающийся тем, что второй ключевой параметр содержится в ClearToken сообщения ОЗИ (IRR), сообщения ПМ (LCF) и сообщения ПД (ACF), соответственно;
поле generalID в ClearToken сконфигурировано как первый конечный пункт; поле sendersID в ClearToken сконфигурировано как второй конечный пункт.

16. Способ представления первому конечному пункту и второму конечному пункту идентификационной информации в системе связи, содержащий следующие действия:
первый конечный пункт посылает сообщение запроса доступа ЗД (ARQ), содержащее первый ключевой параметр первого конечного пункта, шлюзу, к которому относятся первый конечный пункт и второй конечный пункт;
получив сообщение ЗД (ARQ) шлюз посылает сообщение запроса информации ЗИ (IRQ), содержащее первый ключевой параметр, второму конечному пункту;
получив сообщение ЗИ (IRQ) второй конечный пункт получает первый ключевой параметр и генерирует второй ключевой параметр в зависимости от первого ключевого параметра;
второй конечный пункт генерирует совместный ключ на базе первого ключевого параметра и второго ключевого параметра;
второй конечный пункт посылает в шлюз сообщение ответа на запрос информации ОЗИ (IRR), содержащее второй ключевой параметр;
получив сообщение ОЗИ (IRR) шлюз посылает сообщение подтверждения доступа ПД (ACF), содержащее второй ключевой параметр, первому конечному пункту;
получив сообщение ПД (ACF), первый конечный пункт получает второй ключевой параметр и генерирует совместный ключ на базе первого ключевого параметра и второго ключевого параметра.

17. Способ по п.16, отличающийся тем, что первый ключевой параметр содержится в ClearToken сообщения ЗД (ARQ), сообщения ЗМ (LRQ) и сообщения ОЗИ (IRR), соответственно;
поле generalID в ClearToken сконфигурировано как второй конечный пункт; поле sendersID в ClearToken сконфигурировано как первый конечный пункт.

18. Способ по п.16, отличающийся тем, что второй ключевой параметр содержится в ClearToken сообщения ОЗИ (IRR), сообщения ПМ (LCF) и сообщения ПД (ACF) соответственно;
поле generalID в ClearToken сконфигурировано как первый конечный пункт; поле sendersID в ClearToken сконфигурировано как второй конечный пункт.

19. Система связи, содержащая первый конечный пункт, второй конечный пункт и шлюз (Ш), отличающаяся тем, что первый конечный пункт и второй конечный пункт сконфигурированы для согласования идентификационной информации через шлюз (Ш); и первый конечный пункт и второй конечный пункт сконфигурированы для обмена одним или несколькими сообщениями напрямую в соответствии с идентификационной информацией.

20. Система связи по п.19, отличающаяся тем, что
первый конечный пункт сконфигурирован для отправки первого ключевого параметра от первого конечного пункта и для получения второго ключевого параметра;
шлюз (Ш) сконфигурирован для отправки первого ключевого параметра от первого конечного пункта второму конечному пункту и для отправки второго ключевого параметра от второго конечного пункта первому конечному пункту; и
второй конечный пункт сконфигурирован для получения первого ключевого параметра и генерирования второго ключевого параметра в соответствии с первым ключевым параметром;
причем первый конечный пункт и второй конечный пункт сконфигурированы для генерирования совместного ключа на основании первого ключевого параметра и второго ключевого параметра и обмена одним или несколькими сообщениями напрямую согласно совместному ключу.