"安全解决方案-数字图像处理及应用 谢风英"
本文主要讨论了在会话初始协议(SIP)中的安全解决方案,涉及到HTTP鉴权、S/MIME以及安全机制的实现要求。
A.3.3 HTTP鉴权在SIP中的应用:
SIP可以利用HTTP的鉴权机制,通过401和407响应代码以及包含凭证和证书的头字段进行身份验证。HTTP的分类鉴权方案可以在SIP中复用,同时提供重发保护和单向鉴权功能。分类鉴权的具体细节可在规范的22章中查阅。
A.3.4 S/MIME的使用:
由于网络中介如代理服务器可能需要查看SIP消息头以正确路由消息,所以不适合对整个SIP消息进行端到端加密。S/MIME允许SIP用户代理(UA)仅加密SIP消息中的MIME部分,保持消息头不受影响,从而确保这些部分的端到端安全。S/MIME提供了消息体的机密性、完整性和相互鉴权。通过SIP消息隧道,S/MIME也能保护SIP头字段的完整性和机密性。有关S/MIME的更多信息,可参考规范的23章。
A.4 安全机制的实现要求:
- 代理服务器、重定向服务器和注册服务器必须使用传输层安全协议(TLS),并且支持交互式和单向认证。规范建议UA可以启动TLS连接,并能作为TLS服务器。
- 所有支持TLS的SIP实体应持有证书权威机构(CA)的根证书,用于验证在TLS协商中接收到的证书。
- 所有支持TLS的SIP实体也必须支持SIPS URI方案。
- 代理服务器、重定向服务器、注册服务器和UA可以实现IPSec或其他底层安全协议。
- 用户代理在尝试连接服务器时应初始化TLS连接,并在该连接上发送SIP消息。
- 代理服务器、重定向服务器和注册服务器必须实现分类鉴权,其Digest域至少有一个,且"realm"字符串应与服务器的主机名和域名一致。
- UA可以支持MIME消息体的S/MIME签名和加密,且S/MIME证书的验证根证书可与TLS或IPSec证书的验证根证书共享或专用。
这些安全机制的操作在一定程度上参照了现有的WEB或电子邮件安全模式。用户代理通过用户名和密码(通过HTTP鉴权)以及验证TLS或IPSec证书来验证自身,服务器则通过TLS发送的站点证书验证自身或另一服务器。
SIP的安全解决方案是多层面的,包括使用HTTP鉴权进行身份验证,利用S/MIME保证消息内容的安全,以及实施TLS和IPSec等安全协议来确保通信的保密性和完整性。这些措施共同构成了SIP通信中的安全防护网。