CN100571461C

CN100571461C - 通信系统

Info

Publication number: CN100571461C
Application number: CNB2004800003856A
Authority: CN
Inventors: 盖博·贝吉库
Original assignee: Nokia Oyj
Current assignee: Yingweite Spe LLC
Priority date: 2003-02-20
Filing date: 2004-02-17
Publication date: 2009-12-16
Anticipated expiration: 2024-02-17
Also published as: CN1698393A; US20040177145A1; JP2006515698A; EP1595418B1; WO2004075587A1; EP1595418A1; EP3651435A1; US7917620B2

Abstract

在电信网中使用的安全服务器被安排来接收消息；确定消息是来自已知源还是来自未知源，和根据确定的结果修正消息；以及在电信网内转发消息。在电信网中使用的网络处理单元被安排来接收来自另一个网络单元的消息；确定消息是否被修正，和根据决定的结果，对于消息执行一个或多个安全检验。

Description

通信系统

技术领域

本发明涉及在电信网中使用的安全服务器、网络处理单元、电信网和对于进入电信网的消息执行安全检验的方法。

背景技术

已知提供了无线电信网，通过无线电信网，移动设备的两个用户可以进行通信，或借助于把信号从无线网传送到地面线路，移动用户可以与固定位置用户通信。一个已知类型的无线通信网是当前正在全世界投入使用的第三代合作项目(3GPP)系统。这个网络被称为通用移动电信系统(UMTS)，它比起以前的无线网标准的优点在于，除了在电路交换(核心)网(CS-CN)上的话音传送以外，它还允许使用分组交换(核心)网(PS-CN)的数据传送的快得多的速率。PS-CN可连接到互联网以及CS-CN可连接到公用交换电话网(PSTN)和综合数字业务网(ISDN)。

实际上，CS-CN功能是经由PS-CN中的被称为IP多媒体子系统(IMS)的子系统达到的。IMS可连接到诸如互联网那样的、基于IP的网络以提供诸如通过IP的话音的业务。在诸如移动电话的用户设备与IMS之间和在IMS的部件之间使用的信令协议是会话发起协议(SIP)。这个协议具有用户登记(例如，定位和通信能力)、寻址和路由能力。

在IMS网络内的一个重要的部件组是呼叫会话控制功能(CSCF)。这些功能执行服务器业务在于，它们处理信号和控制无线用户的会话，以及执行地址变换功能和操控用户资料。如果用户处在原籍网络中，则网络经由服务的CSCF(S-CSCF)被接入，以及这个服务器为用户提供会话控制和其他业务。如果用户正在漫游，则在漫游位置的局域网经由代理人-CSCF(P-CSCF)被接入，它为用户提供本地控制和业务，以及与用户的S-CSCF联系。S-CSCF和如果必要，PCSCF也执行收费功能。通常在IMS网络内有多个S-CSCF。

另一种类型的CSCF是询问CSCF(I-CSCF)。I-CSCF是在原籍网络内由访问的用户接入的第一接触点。它被安排来与原籍用户服务器(HSS)通信，HSS保持用户记帐信息和用户位置信息。I-CSCF被建立来通过使用由HSS提供的信息执行在S-CSCF内的负载平衡。由于它为来自其他网络的用户提供网络的单个进入点，它常常被用作为防止其他网络的运营商知道IMS网络的具体的结构的手段。

上述的这种类型的网络引起的问题在于，从外面到达I-CSCF的消息不一定来自可靠的源。由于I-CSCF结合HSS一起工作，确定进入的消息是否来自被识别为具有被保存在HSS中的细节或谁是与IMS网络有漫游协议的另一个网络的用户是件简单的事情。如果消息不是来自这样的用户，则到网络的接入可被限制，例如通过不提供需要由用户付费的任何业务，除非事先已付费。然而，对于明显地由在HSS中列出的网络用户发起的消息引起具体的问题。

当用户试图从网络外面接入网络时，包括请求的用户的识别号的消息被发送到网络。这个识别号由I-CSCF结合如上所述的HSS被检验。许多用户识别号是公开已知的，这样，未许可的用户在进行接入网络的请求时可采用公开已知的识别号。如果这个公开已知的识别号属于网络用户，则即使确定该识别号的用户是网络用户，该接入事实上也不是由该用户请求的。因此，未许可的用户获得接入到网络，而且获得接入到其识别号正在被采用的用户的帐户。这样的未许可的用户因此使用用户的帐户以及支付很大的帐单而或许用户直至接收到用户的下一个月帐单之前一直不知道这一点。

以类似的方式，未许可的用户可使用根据在两个网络之间的协议被许可使用该网络的另一个网络的用户的识别号。

希望提供一种电信网，其中使得使用公开已知的用户识别号的未许可的接入的可能性最小化。

发明内容

根据本发明的第一方面，提供了一种在通信网络中对消息执行安全检验的设备，包括：用于通过确定在第一网络接收的消息没有经由网络间安全接口和第二网络被接收，来判定所述消息没有通过安全检验的装置；用于修正所述消息以便指示所述消息还没有通过安全检验的装置；以及用于在所述第一网络内转发所述消息的装置。

根据本发明的第二方面，提供了一种在通信网络中对消息执行安全检验的设备，包括：用于通过确定在第一网络接收的消息没有在第一层通过安全装置被接收，来判定所述消息还没有通过安全检验的装置；用于修正所述消息以便包括指示所述消息还没有通过安全检验的第二层指示的装置，其中所述第二层是比所述第一层更高的层；以及用于在所述第一网络内转发所述消息的装置。

根据本发明的第三方面，提供了一种在通信网络中对消息执行安全检验的设备，包括：用于通过确定在第一网络接收的消息没有经由网络间安全接口和第二网络被接收，来判定所述消息还没有通过安全检验的装置；以及用于以指示所述消息还没有通过安全检验的方式在所述第一网络内转发所述消息的装置。

根据本发明的第四方面，提供了一种在通信网络中对消息执行安全检验的方法，包括：通过确定在第一网络接收的消息没有经由网络间安全接口和第二网络被接收，来判定所述消息没有通过安全检验，修正所述消息以便指示所述消息还没有通过安全检验；以及在所述第一网络内转发所述消息。

根据本发明的第五方面，提供了一种在通信网络中对消息执行安全检验的方法，包括：通过确定在第一网络接收的消息没有经由网络间安全接口和第二网络被接收，来判定所述消息还没有通过安全检验；以及以指示所述消息还没有通过安全检验的方式在所述第一网络内转发所述消息。

根据本发明的第六方面，提供了一种在通信网络中对消息执行安全检验的方法，包括：通过确定在第一网络接收的消息没有在第一层通过安全装置被接收，来判定所述消息还没有通过安全检验；修正所述消息以便包括指示所述消息还没有通过安全检验的第二层指示，其中所述第二层是比所述第一层更高的层；以及在所述第一网络内转发所述消息。

按照本发明，提供了在电信网中使用的安全服务器，被安排来：接收消息；确定消息是来自已知源还是来自未知源，和根据决定的结果，修正消息；以及在电信网内转发消息。

按照本发明，提供了在电信网中使用的网络处理单元，被安排来：接收来自另一个网络单元的消息；确定消息是否被修正，和根据决定的结果，对于消息执行一个或多个安全检验。

按照本发明，提供了包括安全服务器和网络处理单元的电信网，其中安全服务器被安排来：接收消息；确定消息是来自已知源还是来自未知源，和根据决定的结果，修正消息；以及把消息转发到网络处理单元。

按照本发明，提供了在电信网中对消息执行安全检验的方法，包括以下步骤：接收消息；确定消息是来自已知源还是来自未知源，和提供决定的结果，修正消息；以及在电信网内转发消息。

按照本发明，提供了在电信网中使用的安全服务器，被安排来：接收消息；确定消息是来自已知源还是来自未知源，和以取决于决定的结果的方式在通信网内转发消息。

按照本发明，提供了包括安全服务器和网络处理单元的电信网，其中安全服务器被安排来：接收消息；确定消息是来自已知源还是来自未知源，和以取决于决定的结果的方式把消息转发到网络处理单元。

按照本发明，提供了在电信网中对消息执行安全检验的方法，包括以下步骤：接收消息；确定消息是来自已知源还是来自未知源，和以取决于决定的结果的方式在通信网内转发消息。

按照本发明，提供了在电信网中使用的安全服务器，被安排来：接收消息；和确定消息是来自已知源还是来自未知源，和根据决定的结果，确定对于消息以后要采取的行动。

按照本发明，提供了在电信网中对消息执行安全检验的方法，包括以下步骤：接收消息；和确定消息是来自已知源还是来自未知源，以及根据决定的结果，确定对于消息以后要采取的行动。

附图说明

现在参照附图，仅仅作为例子，描述本发明的实施例，其中：

图1示意地显示IMS网络和从网络外面接入到该网络；

图2a和2b显示按照本发明的第一实施例的流程图；

图3a和3b显示按照本发明的第二实施例的流程图；

图4a和4b显示按照本发明的第三实施例的流程图；

图5显示包括Za和Zb接口的两个安全域。

具体实施方式

在描述本发明的实施例之前，首先说明分别在网络之间和在网络内可存在的Za和Zb接口。这个说明取自3GPP TS 33/210 V6.0.0(2002-12)技术说明书，发布6。这个技术说明书覆盖技术说明书小组业务和系统方面；3G安全性；网络域安全性和IP网络层安全性。图5显示两个安全域以及在这些域的实体之间的Za与Zb接口。

这些接口是为了保护原来的基于IP的协议而被规定的：

Za接口(SEG-SEG)

Za接口覆盖在安全域之间的所有的NDS/IP(网络域安全性/互联网协议)业务。SEG(安全性网关)使用IKE(互联网密钥交换)，以便协商、建立和保持在它们之间的安全的ESP(密封安全净负荷)通道。服从于漫游协定，SEG间通道通常在所有的时间是可提供的，但它们也可按需要被建立。ESP将被使用于加密和鉴权/整体性，但仅仅鉴权/整体性模式是允许的。通道以后被使用于在安全域A与安全域B之间转发NDS/IP业务。

一个SEG可被专用于仅仅服务于所有的漫游伙伴的某个子组。这将限制需要保持的SA和通道的数目。

遵从这个技术规范的所有的安全域将操作Za接口。

Zb接口(NE-SEG/NE-NE)

Zb接口位于SEG与NE之间和在同一个安全域内的NE之间。Zb接口对于实施是任选的。如果被实施，它将实施ESP+IKE。

在Zb接口上，ESP总是被使用于鉴权/整体性保护。加密的使用是任选的。ESP安全联系将被使用于需要安全保护的所有的控制面。

是否在需要时或事先建立安全联系，是由安全域运营商决定的。安全联系以后被使用于在NE之间交换NDS/IP业务。

在Za接口上建立的安全政策服从于漫游协定。这与在Zb接口上强制的安全政策不同，后者是由安全域运营商单方面决定的。

首先参照图1，图上显示UMTS系统的IMS网络1。在IMS网络1内，有I-CSCF 2，被连接到每个PCSCF 4、S-CSCF 6和HSS 8。HSS 8和S-CSCF 6也互相连接在一起。实际上，有一个以上的S-CSCF，但为了方便起见只显示一个。这些部件都配备有用于执行各种功能的适当的软件，以及可以提供适当的编程对于网络的具体的需要被建立。某些功能可以是基于硬件的。

在每个连接之间，显示了由虚线椭圆表示的Zb接口10。这个接口被显示为虚线是因为它是任选的。这是因为网络提供商在他们的网络内不想要使用Zb接口。

Zb接口在被提供时是在IMS网络1内每对连接的实体之间存在的安全接口。Zb接口仅仅出现IMS网络内，因为它只应用于在同一个安全域内的实体，即，IMS网络1。Zb接口的目的是为在IMS网络内发送的消息提供安全性。由于IMS网络1是在UMTS网络内，安全协议由密封安全净负荷(ESP)协议提供。这个协议提供对于在网络内行进的消息的数据整体性的检验和数据起源真实性检验。Zb接口也利用使用互联网密钥交换(IKE)协议的保密密钥。

由于Zb接口的存在，接收来自IMS网络1内另一个实体的消息的在IMS网络1内的任何实体知道该消息是否通过Zb接口到来的(因此被安全检查)。

从图1可以看到，I-CSCF 2是从网络外部发起的消息到IMS网络的进入点。I-CSCF 2被连接的网络外部的安全网关(SEG)12，通过它消息可以经由安全检验的路径进入IMS网络。这个路径包括Za接口14，用实线椭圆表示。Za接口工作时类似于Zb接口，但在当前的UMTS网络技术说明书中是强制的。SEG 12提供在IMS网络1与Za接口14之间的网关功能。经由Za接口通过SEG 12的任何消息由I-CSCF 2获知是已被安全检验的。

在图1上也显示第二网络16，以及它被显示为具有它自己的SEG18。网络16是与IMS网络1具有漫游协定的网络。因此，在网络16与IMS网络1之间的任何业务是通过Za接口发送的，这样，接收的网络知道这样接收的消息已被安全检验和是来自许可的和鉴权的用户的。具有移动电话20和作为IMS网络1的用户的漫游的用户被显示为在用于接入网络16的适当的位置。

在图1上也显示第二移动电话22。这个移动电话22试图直接接入IMS网络1，即，不通过诸如网络16的另一个网络。

应当看到，网络的相对大小和它们的相对位置以及移动电话的位置仅仅作为例子显示在图1上。实际上，IMS网络1具有Za接口与多个网络的连接，但为了方便起见只显示了一个网络16。而且，本发明可应用于不同于UMTS的其他类型的网络。

在运行时，具有移动电话20的用户可以藉助于漫游协定接入网络16。移动电话20当它漫游到由网络16覆盖的区域，将请求越区切换到网络16，以及将以技术上已知的方式被提供以连接。在被提供以连接之前，将执行特许和鉴权过程。这个过程包括基于口令的检验或某些其他适当的验证，关于用户的个人实际上是用户而不是使用它们的身份的其他什么人。如果特许和鉴权是成功的，则建立安全信道供使用，因此，如果移动电话20的用户然后希望使用他的原籍网络业务，则任何请求通过Za接口作为SIP消息被发送，这样，IMS网络1知道，它们是原来的请求。

这样的消息包含识别发送者的报头，被称为P宣称的身份报头。如果发送者是具有公开已知的用户识别号的用户，则这个报头的格式是；

<sip:userl_publicl@homel.net>

如果移动电话22把请求直接发送到IMS网络1，I-CSCF 2知道该请求不是通过Za接口发来的，以及因此该请求还没有进行安全检验。这样的系统的P宣称身份的报头不能相信为原来的，因为假冒用户可能采用另一个用户的公开识别号。在现有技术的系统中，这样的消息无论如何直接传送到S-CSCF 6用于处理，以及S-CSCF不知道该消息是潜在地有问题的。在具有Zb接口的现有技术系统中，这样的消息通过Zb接口被传送，这样，再次地，S-CSCF将进行处理它，因此，如果移动电话22的用户实际上只要使用IMS网络1的用户的识别号，则该用户就被允许接入用户的帐户。

本发明的以下实施例描述对于这个问题的解决方案。

在本发明的第一实施例中，Zb接口不使用于IMS网络1内，这样，这不能被用作为消息的安全检查的装置.

第一实施例由图2a和2b上的步骤代表。首先转到图2a，在过程30开始时，在I-CSCF处接收SIP消息。这个消息或者通过Za接口或者直接从网络外部被接收.在步骤32，I-CSCF 2确定这两个替换例中哪个替换例是这种情形。

如果回答是没有(即，消息不是经由Za接口接收的)，则I-CSCF进到步骤34，在步骤34，对于消息的P宣称身份的报头作出修正。在这个实施例中，在报头上加上一个参数，表示该请求没有通过安全检查。以上显示的示例性报头所以被修正为具有以下格式：

<sip:userl_publicl@homel.net>；screening＝no

I-CSCF然后进到步骤36，其中具有修正的报头的消息被转发到S-CSCF 6。

如果步骤32的回答是“是”，则该消息是经由Za接口到来的，以及I-CSCF直接进到步骤36，并把消息转发到S-CSCF 6，而不用对消息作任何修正。

在步骤38，承载它的真实性表示的消息到达S-CSCF。换句话说，如果消息以正常的P宣称身份的报头到达，则S-CSCF 6知道，它已通过安全检查。如果消息以修正的P宣称身份的报头到达，则S-CSCF6知道，它没有通过安全检查。

S-CSCF 6的以后的功能被表示在图2b。在步骤40，S-CSCF 6读出消息。在步骤42，确定消息的P宣称身份的报头是否包括由I-CSCF 2加上的参数。如果回答是否定的，则S-CSCF 6进到步骤44，在其中处理消息。如果回答是“是”，则S-CSCF 6进到步骤46，在其中它对于消息执行安全检验，诸如特许和鉴权检验。如果这些检验表明消息是来自真正的用户，则消息以后按为正常处理。如果消息原来不是来自真正的用户，则S-CSCF可决定不按正常处理该消息，而是只部分地处理它，例如不允许使用必须付费的业务。S-CSCF可决定完全不处理该消息。因此，避免非法接入到具有在消息中载送的P宣称身份的用户的帐户。

在本发明的第二实施例中，Zb接口再次不使用于IMS网络1内，这样，这再次不能被用作为消息的安全检查的装置。

第二实施例由图3a和3b上的步骤代表。首先转到图3a，在过程50开始时，在I-CSCF处接收SIP消息。这个消息或者通过Za接口或者直接从网络外部被接收。在步骤52，I-CSCF 2确定这两个替换例中哪个替换例是这种情形。

如果回答是没有(即，消息不是经由Za接口接收的)，则I-CSCF进到步骤54，在其中它检验查看是否存在P宣称身份的报头以及如果是的话，对于消息的P宣称身份的报头作出修正。在这个实施例中，P宣称身份的报头被去除，以表示该请求没有通过安全检查。有可能只去除报头的一部分，如果想要的话。

I-CSCF然后进到步骤56，其中不带有报头的消息被转发到S-CSCF 6。

如果步骤52的回答是“是”，则该消息是经由Za接口到来的，以及I-CSCF直接进到步骤56，并把消息转发到S-CSCF 6，而不用对消息作任何修正。

在步骤58，承载它的真实性表示的消息到达S-CSCF。换句话说，如果消息以正常的P宣称身份的报头到达，则S-CSCF 6知道，它已通过安全检查。如果消息以修正的P宣称身份的报头到达，则S-CSCF6知道，它没有可靠的发起者。

S-CSCF 6的以后的功能被表示在图3b。在步骤60，S-CSCF 6读出消息。在步骤62，确定消息的P宣称身份的报头是否被I-CSCF 2去除。如果回答是否定的，则S-CSCF 6进到步骤64，在其中处理消息。如果回答是“是”，则S-CSCF 6进到步骤66，在其中它对于消息执行安全检验，诸如特许和鉴权检验。如果这些检验表明消息是来自真正的用户，则消息以后按为正常处理.如果消息原来不是来自真正的用户，则S-CSCF可决定不按正常处理该消息，而是只部分地处理它，例如不允许使用必须付费的业务。S-CSCF可决定完全不处理该消息。因此，避免非法接入到具有在消息中载送的P宣称身份的用户的帐户。

在本发明的第三实施例中，Zb接口被使用于IMS网络1内，以及可被使用于安全检查的目的，

第三实施例由图4a和4b上的步骤代表。首先转到图4a，在过程70开始时，在I-CSCF处接收SIP消息。这个消息或者通过Za接口或者直接从网络外部被接收。在步骤72，I-CSCF 2确定这两个替换例中哪个替换例是这种情形。步骤72的回答确定消息被转发到S-CSCF6的方式。

如果回答是“否”(即，消息不是经由Za接口接收的)，则I-CSCF进到步骤74，在其中消息被转发到S-CSCF 6。该消息是直接被转发的，即，不通过Zb接口。

如果对步骤72的回答是“是”，则该消息是经由Za接口到来的，以及I-CSCF直接进到步骤76，并把消息通过Zb接口转发到S-CSCF6。Zb接口可以对于消息进行进一步的内部安全检验，即使它已被作为该消息的发出者的网络16检验。

在步骤78，消息以表示它的真实性的方式到达S-CSCF。换句话说，如果消息通过Zb接口到达，则S-CSCF 6知道，它已通过安全检验。如果消息直接到达，即，没有通过Zb接口到达，则S-CSCF 6知道，它没有通过安全检验。

S-CSCF 6的以后的功能被表示在图4b。在步骤80，S-CSCF 6读出消息。在步骤82，确定消息是否由I-CSCF 2通过Zb接口被发送。如果回答是“是”，则S-CSCF 6进到步骤84，在其中处理消息。如果回答是“否”，则S-CSCF 6进到步骤86，在其中它对于消息执行安全检验，诸如特许和鉴权检验。如果这些检验表明消息是来自真正的用户，则消息以后被处理。如果消息原来不是来自真正的用户，则S-CSCF可决定不按正常处理该消息，而是只部分地处理它，例如不允许使用必须付费的业务。S-CSCF可决定完全不处理该消息。因此，避免非法接入到具有在消息中载送的P宣称身份的用户的帐户。

因此，可以看到，本发明提供可以单独地或组合地使用的、时于假冒用户试图通过使用IMS网络1的真正的用户的公开已知的识别号接入IMS网络1的问题的几个解决方案。如果移动电话20的用户是网络16的用户和籍助于漫游协定原来允许他使用IMS网络1，本发明的实施例同样行得通。换句话说，本发明提供区分正在使用公开地可提供的识别号的真正的用户与非真正的用户的方法。

本发明不限于以上描述的具体的网络部件，也不限于SIP协议。移动电话11可能实际上没有试图直接接入IMS网络1，而是可能经由其他电信实体接入IMS网络1。可以设想属于本发明的范围的其他实施例，例如，不必修正非保密的SIP消息的报头，但消息的不同的部分可被修正.非保密消息可以以不同于添加参数的某些其他方式被加标记。虽然可能有些不方便，但有可能修正通过Za接口到来的消息，而不是未通过Za接口来的消息。

本发明也可应用于具有已由假冒用户采用的、不同于P宣称身份的报头的报头的消息。所以，本发明的实施例可以引入这样的不同类型的报头的修正，或这样的报头的删除或部分删除。

Claims

1.一种在通信网络中对消息执行安全检验的设备，包括：

用于通过确定在第一网络接收的消息没有经由网络间安全接口和第二网络被接收，来判定所述消息没有通过安全检验的装置；

用于修正所述消息以便指示所述消息还没有通过安全检验的装置；以及

用于在所述第一网络内转发所述消息的装置。

2.一种在通信网络中对消息执行安全检验的设备，包括：

用于通过确定在第一网络接收的消息没有在第一层通过安全装置被接收，来判定所述消息还没有通过安全检验的装置；

用于修正所述消息以便包括指示所述消息还没有通过安全检验的第二层指示的装置，其中所述第二层是比所述第一层更高的层；以及

用于在所述第一网络内转发所述消息的装置。

3.按照权利要求1或2的设备，包括：用于通过把表示所述消息还没有通过安全检验的参数加到所述消息中来修正所述消息以便指示所述消息还没有通过安全检验的装置。

4.按照权利要求3的设备，其中所述消息包括身份报头，并且所述设备包括用于把所述参数加到所述消息的身份报头中的装置。

5.按照权利要求4的设备，其中所述消息包括SIP消息。

6.按照权利要求4的设备，其中所述身份报头包括P宣称身份。

7.按照权利要求1或2的设备，其中所述消息包括身份报头，并且其中所述设备进一步包括：用于通过去除所述身份报头的至少一部分来修正所述消息以便指示所述消息还没有通过安全检验的装置。

8.按照权利要求7的设备，进一步包括：用于检测所述身份报头是否为特定的类型的以及如果是的话则去除所述报头的至少一部分的装置。

9.按照权利要求7的设备，其中所述消息包括SIP消息。

10.按照权利要求8的设备，包括用于检测所述身份报头是否包括P宣称身份类型的装置。

11.按照权利要求1或2的设备，其中所述设备包括询问呼叫会话控制功能。

12.一种在通信网络中对消息执行安全检验的设备，包括：

用于通过确定在第一网络接收的消息没有经由网络间安全接口和第二网络被接收，来判定所述消息还没有通过安全检验的装置；以及

用于以指示所述消息还没有通过安全检验的方式在所述第一网络内转发所述消息的装置。

13.按照权利要求1或12的设备，其中所述网络间安全接口是Za接口。

14.按照权利要求12的设备，包括：用于如果判定所述消息还没有通过安全检验则不用安全装置转发所述消息的装置。

15.按照权利要求14的设备，其中所述安全装置包括Zb接口。

16.按照权利要求1或12的设备，其中所述消息包括SIP消息。

17.按照权利要求12的设备，所述设备包括询问呼叫会话控制功能。

18.一种在通信网络中对消息执行安全检验的方法，包括：

通过确定在第一网络接收的消息没有经由网络间安全接口和第二网络被接收，来判定所述消息没有通过安全检验，

修正所述消息以便指示所述消息还没有通过安全检验；以及

在所述第一网络内转发所述消息。

19.一种在通信网络中对消息执行安全检验的方法，包括：

通过确定在第一网络接收的消息没有经由网络间安全接口和第二网络被接收，来判定所述消息还没有通过安全检验；以及

以指示所述消息还没有通过安全检验的方式在所述第一网络内转发所述消息。

20.一种在通信网络中对消息执行安全检验的方法，包括：

通过确定在第一网络接收的消息没有在第一层通过安全装置被接收，来判定所述消息还没有通过安全检验；

修正所述消息以便包括指示所述消息还没有通过安全检验的第二层指示，其中所述第二层是比所述第一层更高的层；以及

在所述第一网络内转发所述消息。

21.按照权利要求18或20的方法，包括：通过把表示所述消息还没有通过安全检验的参数加到所述消息中来修正所述消息，以便指示所述消息还没有通过安全检验。

22.按照权利要求21的方法，其中所述消息包括身份报头，并且所述方法进一步包括把所述参数加到所述消息的身份报头中。

23.按照权利要求22的方法，其中所述消息包括SIP消息。

24.按照权利要求22的方法，其中所述身份报头包括P宣称身份。

25.按照权利要求18或20的方法，其中所述消息包括身份报头，并且所述方法进一步包括：通过去除所述身份报头的至少一部分来修正所述消息以便指示所述消息还没有通过安全检验。

26.按照权利要求25的方法，进一步包括：检测所述身份报头是否为特定的类型的以及如果是的话则去除所述报头的至少一部分。

27.按照权利要求25的方法，其中所述消息包括SIP消息。

28.按照权利要求26的方法，包括检测所述身份报头是否包括P宣称身份类型。

29.按照权利要求18或19的方法，其中所述网络间安全接口是Za接口。

30.按照权利要求19的方法，包括如果判定所述消息还没有通过安全检验则不用安全装置转发所述消息。

31.按照权利要求18或19的方法，其中所述消息包括SIP消息。