使用 SIP TLS 加密/解密

Question

在我的 SIP Sorcery 项目中，我正在创建一个到远程服务器的 TLS 连接，并由远程服务器提供证书提供程序。 使用以下代码 sn-p 连接似乎很好：

    static SIPTLSChannel channel_tls;
    static IPEndPoint remoteEP = new IPEndPoint(IPAddress.Parse("1.2.3.4"), 5061);
    static IPEndPoint localEndPoint= new IPEndPoint(IPAddress.Parse("10.0.0.1"), 8080);

    static void Main(string[] args)
    {
        //Certificate file path
        string Certificate = Environment.CurrentDirectory + @"\Certificate\myCa.cer";

        // Load the certificate into an X509Certificate object.
        X509Certificate2 cert = new X509Certificate2(Certificate);

        //TLS Channel connection
        channel_Tls = new SIPTLSChannel(cert, localEndPoint);
        Transport.RemoveSIPChannel(channel_Tcp);
        Transport.AddSIPChannel(channel_Tls);

        SIPRequest subscribe = new SIPRequest();
        .... [setting subscribe parameters] ....

        channel_Tls.Send(remoteEP, Encoding.UTF8.GetBytes(subscribe.ToString()), "myCa.cer");
    }

但是我很困惑如何创建私钥来加密/解密在客户端和服务器之间发送的数据？我可以看到 cert.PublicKey 不为空。我正在接收一些应用程序数据，但由于我无法在没有私钥的情况下对其进行解密，所以我看不到客户端和服务器之间出现了什么问题...

Answer 1

无需创建任何额外的加密密钥。 TLS 连接将对连接上发送的任何数据进行加密和解密。如果您进行wireshark 跟踪，您将能够看到TLS 握手，之后所有后续数据包基本上都是随机字节。

为了使 SIP TLS 通道能够操作您传递给它的文件或证书存储名称，必须包含或可访问私钥。从示例的外观来看，如果您提供 .cer 文件，则很可能没有可用的私钥，并且 SIP TLS 通道将无法初始化。通常，您需要一个 .pfx 或等效文件，将证书与私钥结合使用。

此外，在发送调用中，您不会传递文件 ptah，而是应该传递您将为远程服务器证书接受的名称。然后，SIP TLS 通道会将远程服务器提供的证书名称与您准备接受的证书名称相匹配。

channel_Tls.Send(remoteEP, Encoding.UTF8.GetBytes(subscribe.ToString()), "sip.someserver.com");

更新：

我在下面的其中一个 cmets 中略有错误，因为只有当客户端尝试连接时 SIPTLSChannel 上没有可用的私钥时才会引发异常。如果您只打算将 SIPTLSChannel 用于传出连接，那么您不需要私钥（除非另一端的服务器正在使用证书对您进行身份验证，这在 SIP 世界中是不常见的）。

关于从 SIPTLSChannel 中获取解密数据的原始问题，正如我最初提到的那样，这一切都发生在幕后。下面是建立与 SIP TLS 服务器（在本例中为 sipsorcery.com）的连接并读取响应的示例。来自服务器的传输请求和响应都通过加密的 TLS 通道进行传输，您可以使用wireshark 进行验证。

using System;
using System.Collections.Generic;
using System.Linq;
using System.Net;
using System.Security.Cryptography.X509Certificates;
using System.Text;
using System.Threading.Tasks;
using SIPSorcery.Net;
using SIPSorcery.SIP;
using SIPSorcery.SIP.App;
using SIPSorcery.Sys;

namespace SIPTLS
{
    class Program
    {
        static void Main(string[] args)
        {
            try
            {
                var sipTransport = new SIPTransport(SIPDNSManager.ResolveSIPService, new SIPTransactionEngine());
                sipTransport.SIPTransportRequestReceived += SIPRequestReceived;
                sipTransport.SIPTransportResponseReceived += SIPResponseReceived;

                X509Certificate2 cert = new X509Certificate2("test-cert.cer");
                SIPTLSChannel tlsChannel = new SIPTLSChannel(cert, new IPEndPoint(IPAddress.Any, 5061));
                sipTransport.AddSIPChannel(tlsChannel);

                var optionsReq = sipTransport.GetRequest(SIPMethodsEnum.OPTIONS, SIPURI.ParseSIPURI("sips:67.222.131.147:5061"));
                sipTransport.SendRequest(optionsReq);
            }
            catch(Exception excp)
            {
                Console.WriteLine("Exception Main. " + excp);
            }
            finally
            {
                Console.WriteLine("Press any key to exit...");
                Console.Read();
            }
        }

        private static void SIPRequestReceived(SIPEndPoint localSIPEndPoint, SIPEndPoint remoteEndPoint, SIPRequest sipRequest)
        {
            Console.WriteLine("SIP request received from " + remoteEndPoint + ".");
            Console.WriteLine(sipRequest.ToString());
        }

        private static void SIPResponseReceived(SIPEndPoint localSIPEndPoint, SIPEndPoint remoteEndPoint, SIPResponse sipResponse)
        {
            Console.WriteLine("SIP response received from " + remoteEndPoint + ".");
            Console.WriteLine(sipResponse.ToString());
        }
    }
}

如果您想生成自己的证书和私钥，这个关于设置MySQL certificates 的页面是一个很好的指南。

您可以通过使用浏览器连接到 TLS 通道正在使用的套接字来测试您的证书是否具有可用于客户端连接的私钥，例如在上述示例中，我使用https://myipaddress.com:5061。