[發明專利]管理網絡安全框架及其信息處理方法

無效

• 申請號: 200610167202.0
• 申請日: 2006-12-13
• 公開（公告）號: CN101094226A
• 公開（公告）日: 2007-12-26
• 發明（設計）人: 馬宇智;苗福友
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京凱特來知識產權代理有限公司
• 代理人: 鄭立明

技術領域

本發明涉及通訊領域，尤其涉及一種管理網絡安全框架及其信息處理方法。

背景技術

隨著互聯網的飛速發展以及新技術、新應用的不斷涌現，互聯網已經成為人們學習知識、獲取信息、交流思想、開發潛能和休閑娛樂的重要平臺。但網絡安全問題也日益凸顯，每年由各類安全事件造成的損失數以億計。網絡安全問題已經嚴重影響到當前經濟以及社會穩定，也嚴重影響了人民群眾正常的工作、學習和生活，網絡安全問題已經成為當前亟需解決的重大問題。

網絡安全問題主要包括如下三類：

1、信息篡改，報文在傳輸的過程中被中間的惡意網絡節點非法篡改；

2、信息泄露，報文在傳輸過程中被非法攔截，并加以非法利用；

3、身份仿冒，一個惡意節點仿冒一個合法節點參與到協議通信中。

如何解決上述網絡安全問題是當前的研究熱點，傳統的管理網絡安全建立在管理協議自身的安全機制的基礎上，即管理協議自身提供協議數據的機密性和完整性保證，以及用戶認證和訪問控制授權等安全機制，例如，SNMP(簡單網絡管理協議)版本3通過協議自己的USM(基于用戶的安全模型)和VACM(基于視圖的訪問控制模型)模型提供相關安全特性。傳統的管理網絡安全框架可分為共享式和獨占式兩種模式，其示意圖如圖1所示。

在圖1所示的共享模式中，一個管理站被多個用戶所使用，這些用戶共享一個管理通道。為了給每個用戶提供安全保證，管理協議中需要攜帶報文機密性、報文完整性、用戶認證和訪問控制等相關的安全參數，被管設備除保證管理報文的機密性和完整性外，還要對每個用戶進行認證和授權。

在圖1所示的獨占模式中，一個管理站由一個用戶所使用，管理通道被該用戶所獨享，管理通道和用戶之間存在確定的一對一綁定關系。如果管理通道本身能夠提供身份認證，管理協議中無需攜帶用戶信息，被管設備僅對管理站進行認證和授權即可。

當前管理網絡安全的解決方案有兩大發展趨勢：

1：將高層的管理協議(簡單網絡管理協議SNMP、基于XML的網絡配置協議NETCONF等)運行于低層安全協議(傳輸層安全協議TLS、安全外殼SSH、區塊擴展交換協議BEEP等)之上，以解決管理數據機密性和完整性的安全問題，以及完成部分用戶認證的工作，例如，將SNMP運行于SSH之上，將NETCONF運行于SSH或BEEP之上。針對該趨勢IETF相關工作組正在制訂SNMP運行于SSH之上的標準。

2、引入獨立的AAA(驗證、授權、計費)系統，用于管理用戶的認證，以及訪問控制授權。針對該趨勢目前IETF尚沒有專門的工作組制訂這方面的標準。

現有技術中一種管理網絡安全的解決方案為：在圖1所示的共享模式的基礎上，引入安全協議SSH，管理報文的機密性和完整性由SSH來保證。該技術方案的基本處理過程包括如下步驟：

步驟一、建立SSH會話通道。

當一個SNMP用戶要訪問某個設備，需要通過SNMP引擎發起SNMP請求時，首先使用SSH傳輸協議為該SNMP用戶建立安全傳輸連接，該安全傳輸連接提供數據機密性和完整性保證；然后通過SSH用戶認證協議對該SNMP用戶進行認證；如果用戶認證成功，則由SSH連接協議在SNMP引擎之間建立通信信道，并將SNMP用戶與建立的通信信道進行關聯。于是，SSH會話通道建立完成。

步驟二、啟動SSH子系統。

SSH會話通道建立完成后，SNMP作為SSH的一個子系統被SNMP引擎啟動。

步驟三、管理信息交互。

在SSH會話通道建立完成并且啟動了SSH子系統后，管理站和被管設備之間就可以按照SSH協議的規定方式交互各種管理信息。

步驟四、新增加用戶。

當另外一個使用相同的管理站引擎的SNMP用戶需要訪問同一個設備的時候，重復執行上述步驟一到三，為該SNMP用戶再建立一個獨立的SSH會話通道和SSH子系統。

上述現有技術的解決方案的缺點為：

1、一個通道信道與一個SNMP用戶相關聯，管理站和同一個被管設備之間的通信信道隨用戶數增加而增加，系統開銷較大；

2、SSH連接建立(包括驗證)是由管理站的SNMP引擎完成，而實際用戶是通過應用程序使用SNMP引擎的，并且多個用戶要共享一個管理站引擎。在該解決方案中，用戶的驗證完全由管理站的SNMP引擎決定，用戶對于用戶的驗證沒有控制權，因此，對用戶認證沒有必要，由于用戶認證引起的連接通信信道開銷也是沒有必要的。

發明內容