SIP协议安全方案介绍

从理论上来说，要保证SIP会话的安全，可以使用各种已有的安全协议。例如通过HTTP协议Authentication机制可以对SIP会话参与者进行身份验证。SIP协议与SMTP协议报文结构相似的特点也使得S/MIME机制可以应用到SIP会话中，来保证SIP消息的机密性与完整性，从传输层与网络层的安全协议（TLS与IPsec）出发，也可以使用TLS协议来对SIP消息进行安全保护，或使用IPsec提供VPN通道来实现安全保护。

在SIP安全解决方案的产品中，各个公司大部分依赖于其硬件设备来对进出的SIP会话通信进行过滤、封装，或在SIP会话参与者之间建立VPN通道，来实现SIP会话参与者之间的安全连接，同时这些硬件设备还集成了应用层网关等功能，来对SIP报文进行分析，实现NAT穿透等功能。Cisco、Convergence等公司都有这方面的产品。在基于软件的SIP安全方案中，大部分通过对SIP客户端进行加强，通过客户端来安全会话通道，例如Minisip与Zfone。

进一步研究方向

基于SIP协议的VoIP及视频会议等服务得到了越来越广泛的应用，SIP协议的安全问题也越来越受到人们的重视。在已有的方案中，采用硬件设备来对进出的SIP会话进行控制，或者通过硬件设备来建立VPN通道来对SIP会话进行保护的方式可以到达好的安全性能，但是代价较大。基于软件的安全SIP客户端多采用PKI证书体系来实现身份认证与其他安全保护功能，但PKI体系本身难于管理，效率较低等问题难以满足实时SIP应用的要求，因此，我们认为以下几点是SIP安全研究需要进一步解决的问题：

建立有效的身份认证体系，对SIP会话参与者进行身份认证；

寻找轻载的数字签名方案，来对SIP消息进行完整性保护；

建立高效的密钥管理与协商机制，快速的协商会话密钥，对SIP信令流与媒体流进行机密性保护。

>>> SIP协议背景

会话初始化协议（Session Initial Protocol简称为SIP协议）是IETF MMUSIC工作组提出的信令协议，主要用来对包含多媒体元素的会话（如音频视频通话、即时消息通信、在线游戏、虚拟现实等）进行信令控制，其主要功能是会话的控制与管理，包括建立有两个或多个用户参与的会话，对已经建立的会话进行属性修改，结束会话等。

MMUSIC工作组提出SIP协议的初衷在于为基于IP网络的视频和音频通信业务设定一个通用的，可扩展的信令标准，它与传统电信网上的信令协议（如PSTN系统中的7号信令协议SS7）完成的功能很类似。SIP协议主要被用来对音频视频会话进行控制，它与H.323协议共同组成了VoIP系统中最主要的信令控制协议，由于SIP协议具有实现简单、可扩展性强等优点，其应用领域也在不断扩展，目前Internet中很多涉及到会话建立过程的应用都开始采用SIP协议作为它们的信令控制协议，如事件订阅与通知服务等。2000年11月，SIP协议被3GPP组织纳入其IP多媒体子系统（IP Multimedia Subsystem,简称为IMS）框架，作为其中的信令协议组成部分。

>>> SIP协议安全解决方案介绍

Cisco SIP安全解决方案

Cisco通过Cisco PIX系列防火墙来对基于SIP的会话进行保护，通过对进出的SIP消息进行检查来防止非法UA假冒身份进行安全攻击，同时该系列防火墙通过访问控制功能能够防止非法入侵者对安全网络进行访问。使用防火墙来部署SIP安全方案也简化了网络管理员对网络的安全管理，网络管理员只需要对防火墙进行部署就可以达到安全保护的作用，而不用对每个SIP客户端进行安全配置。

Cisco PIX防火墙还具有应用层网关的功能，能够对SIP报文进行分析，进行地址转换，从而使得SIP消息能够穿透NAT，顺利发送到目的地。

为了防止攻击者对传输过程中的SIP消息进行完整性与机密性的攻击，Cisco的SIP安全方案中通过网关设备来在SIP客户端之间建立VPN连接，实现会话参与者的身份验证，并通过VPN通道来使得SIP消息能够安全地通过不安全区域。

Covergence SIP安全解决方案

在Covergence的SIP安全方案中，通过其Eclipse系列设备来对SIP客户端进行身份认证，同时通过对信令流与媒体流的加密与数字签名来实现SIP消息机密性与完整性的保护。Eclipse系列设备还能够对SIP信令流进行控制与监控。

Minisip安全SIP客户端

Minisip是一个SIP客户端，主要用于进行安全的SIP通信。Minisip所采用的安全方案中利用了PKI证书或预共享密钥来对会话参与者进行身份认证，通过MIKEY密钥协商协议来协商会话密钥，从而对会话的内容进行加密保护。Minisip支持TLS来实现逐跳的安全，也支持端到端的安全保护。媒体流的安全传输通过SRTP协议来实现。

Zfone SIP安全方案

Zfone安全方案可以对各种不同的SIP客户端进行安全保护。通过运行Zfone软件，SIP客户端之间的通信就会被Zfone软件加密，安全地传输到相应目的地。Zfone安全方案中没有采用PKI证书机制，而是通过P2P的形式在SIP会话参与者之间进行会话密钥的协商。